Gardener项目中Kubernetes服务主机环境变量注入问题的分析与解决

问题背景

在Gardener项目的端到端测试中，发现了一个与Kubernetes服务主机环境变量注入相关的稳定性问题。具体表现为在pull-gardener-e2e-kind-ha-*-zone测试套件中，测试用例会间歇性失败，错误信息显示无法通过直接路径访问API服务器。

问题现象

测试失败时，日志中会出现以下关键错误信息：

Got stuck at:
Waiting for:
Kubernetes control plane is running at https://api/\.e2e-wake-up-ncp\.local\.internal\.local\.gardener\.cloud:443

深入分析kube-apiserver日志后，发现更底层的错误：

Failed calling webhook, failing open kubernetes-service-host.resources.gardener.cloud: failed calling webhook: Post "https://gardener-resource-manager.shoot--local--e2e-wake-up-ncp:443/webhooks/kubernetes-service-host?timeout=2s": dial tcp 10.2.174.141:443: connect: connection refused

技术分析

这个问题涉及到Kubernetes中一个关键的环境变量KUBERNETES_SERVICE_HOST的注入机制。在Gardener架构中：

1. 环境变量注入机制：Gardener使用一个专门的webhook（kubernetes-service-host.resources.gardener.cloud）来向Pod注入KUBERNETES_SERVICE_HOST环境变量。这个环境变量对于Pod内部访问Kubernetes API服务器至关重要。

2. 失败处理策略：当前webhook配置了failurePolicy=Ignore，这意味着当webhook调用失败时，系统会忽略错误而不是使操作失败。这种设计是有意为之的，因为系统提供了通过API服务器代理的备用访问路径。

3. 问题根源：测试失败的根本原因是webhook服务（gardener-resource-manager）在某些时刻不可用（表现为connection refused），导致环境变量注入失败。虽然配置了忽略策略，但测试用例恰好需要验证这个环境变量的存在和正确性。

解决方案

针对这个问题，技术团队提出了以下解决方案：

1. 测试增强：修改测试逻辑，使其能够容忍临时的环境变量注入失败。具体做法是：

   • 检查Pod中是否成功注入了环境变量
   • 如果发现注入失败，自动重新创建Pod直到成功
   • 增加适当的超时和重试机制

2. 长期改进：虽然当前解决方案可以稳定测试，但从架构角度，还需要进一步调查为什么会出现webhook服务不可用的情况，特别是在高可用(HA)配置下。可能的改进方向包括：

   • 增强gardener-resource-manager的可用性
   • 优化webhook服务的服务发现机制
   • 考虑增加webhook调用的重试逻辑

实施效果

通过上述改进，测试稳定性得到了显著提升。特别是在高可用性测试场景下，系统现在能够更可靠地处理环境变量注入的问题，确保了测试的准确性和一致性。

这个案例也展示了在复杂云原生系统中，各种组件间的依赖关系如何影响系统行为，以及如何通过分层设计和适当的容错机制来提高系统鲁棒性。