私有GKE集群部署OpenTelemetryCollector失败求助

1. 排查私有GKE集群网络访问限制 #

私有GKE集群的控制平面默认无法直接访问集群内Pod服务，需确认：

• 已启用控制平面到集群节点的网络访问：通过GKE控制台或gcloud命令配置master-access，允许控制平面访问集群VPC网络。
• 检查opentelemetry-operator-system命名空间的网络策略，确保放行控制平面IP段对opentelemetry-operator-webhook-service443端口的访问。

2. 验证cert-manager证书签发状态 #

OTel Operator依赖cert-manager签发Webhook证书，执行以下命令确认证书状态：

kubectl get certificates -n opentelemetry-operator-system

需确保证书状态为Ready。若未就绪：

• 检查cert-manager的Issuer/ClusterIssuer配置，确认使用ClusterIssuer（跨命名空间签发）或对应命名空间内的Issuer。
• 查看cert-manager控制器日志排查签发失败原因：

kubectl logs -n cert-manager cert-manager-6f65f67cf-s5jpl

3. 修复cert-manager Webhook TLS握手错误 #

日志中的http: TLS handshake error from x.x.x.x:34552: EOF多由证书信任或网络中断导致：

• 确认cert-manager的CA证书已被集群Webhook配置信任：检查ValidatingWebhookConfiguration和MutatingWebhookConfiguration中是否正确引用了cert-manager的CA证书。
• 重启cert-manager Webhook组件，确保证书挂载正常：

kubectl rollout restart deployment cert-manager-webhook -n cert-manager

4. 临时禁用Webhook验证（仅用于排查） #

若上述步骤无效，可临时关闭OTel Operator的Webhook验证（生产环境不建议长期使用）：

kubectl set env deployment/opentelemetry-operator-controller-manager -n opentelemetry-operator-system ENABLE_WEBHOOKS=false

之后重新部署OpenTelemetryCollector，验证是否能成功创建资源。

5. 升级组件版本以匹配兼容性 #

当前使用的cert-manager v1.11.0版本较旧，建议升级到与OTel Operator兼容的版本（例如cert-manager v1.13+搭配OTel Operator v0.80+），版本不匹配可能引发证书签发和Webhook通信异常。

内容的提问来源于stack exchange，提问作者Rahees Khan