部署Istio 1.16版本时Pod崩溃问题求助

一、istiod Pod崩溃原因与解决办法 #

原因分析 #

istiod使用的system:serviceaccount:istio-system:istiod-service-account ServiceAccount缺少集群级别的wasmplugins.extensions.istio.io资源list权限，导致CRD控制器无法同步WasmPlugin资源，进而引发Pod崩溃。同时注意到istioctl客户端版本（1.17.1）与控制平面版本（1.16.2）不匹配，可能加剧部署时的RBAC配置异常。

解决办法 #

• 检查WasmPlugin CRD是否存在：

  kubectl get crd wasmplugins.extensions.istio.io
  

  若CRD不存在，重新安装Istio 1.16.2版本的CRD组件：

  istioctl install --set profile=default --revision=1-16-2 --skip-confirmation
  

• 为istiod-service-account补充缺失的权限：
  更新现有Istio集群角色，添加WasmPlugin资源的操作权限：

  kubectl patch clusterrole istiod-clusterrole -p '{"rules":[{"apiGroups":["extensions.istio.io"],"resources":["wasmplugins"],"verbs":["list","watch","get","update","create","delete"]}]}'
  

  重新绑定集群角色到ServiceAccount：

  kubectl apply -f - <<EOF
  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRoleBinding
  metadata:
    name: istiod-clusterrole-binding
  roleRef:
    apiGroup: rbac.authorization.k8s.io
    kind: ClusterRole
    name: istiod-clusterrole
  subjects:
  - kind: ServiceAccount
    name: istiod-service-account
    namespace: istio-system
  EOF
  

• 对齐客户端与控制平面版本：卸载当前1.17.1版本的istioctl，安装与控制平面一致的1.16.2版本，避免版本不兼容引发的配置问题。

二、external-dns Pod崩溃原因与解决办法 #

原因分析 #

failed to sync cache: timed out waiting for the condition通常由以下因素导致：

• external-dns的ServiceAccount缺少访问Kubernetes核心资源的权限，无法同步缓存；
• Istio Sidecar注入到external-dns Pod，干扰其与Kubernetes API Server的通信；
• Kubernetes API Server负载过高，响应延迟超出超时阈值；
• external-dns配置的资源扫描范围过大，缓存同步耗时超过默认限制。

解决办法 #

• 修复external-dns的RBAC权限：确保其ServiceAccount拥有必要资源的list和watch权限，示例配置：

  kubectl apply -f - <<EOF
  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRole
  metadata:
    name: external-dns
  rules:
  - apiGroups: [""]
    resources: ["services","endpoints","pods"]
    verbs: ["get","watch","list"]
  - apiGroups: ["extensions","networking.k8s.io"]
    resources: ["ingresses"]
    verbs: ["get","watch","list"]
  - apiGroups: [""]
    resources: ["nodes"]
    verbs: ["list","watch"]
  EOF
  

  将集群角色绑定到external-dns的ServiceAccount（替换命名空间为实际部署的命名空间）：

  kubectl apply -f - <<EOF
  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRoleBinding
  metadata:
    name: external-dns-viewer
  roleRef:
    apiGroup: rbac.authorization.k8s.io
    kind: ClusterRole
    name: external-dns
  subjects:
  - kind: ServiceAccount
    name: external-dns
    namespace: external-dns
  EOF
  

• 禁用Istio对external-dns命名空间的Sidecar注入：

  kubectl label namespace external-dns istio-injection=disabled
  

  重启external-dns Pod使配置生效：

  kubectl rollout restart deployment external-dns -n external-dns
  

• 调整缓存同步超时参数：在external-dns的Deployment容器参数中添加--cache-sync-timeout=5m（可根据实际情况调整时长），延长缓存同步的超时时间。
• 检查API Server状态：通过kubectl get apiserver或云服务商控制台确认API Server运行正常，无负载过高、响应延迟等问题。

内容的提问来源于stack exchange，提问作者Bhagavat Bhise