K8s集群Postgres初始化作业连接失败，求故障排查方向

在K8s集群中部署了一个用于初始化Postgres数据库的Job，但运行期间无法连接数据库。该作业在另一个集群连接不同RDS Postgres数据库时可正常运行。

报错信息：

Unable to connect to the database at "postgresql://<username>:<password>@<endpoint>:5432/boundary?sslmode=disable"

CREATE DATABASE "boundary"
    WITH ENCODING='UTF8'
    OWNER=<username>
    CONNECTION LIMIT=-1;

作业执行的命令：

boundary database migrate -config /boundary/boundary-config.hcl || boundary database init  -config /boundary/boundary-config.hcl || sleep 10000

手动可以连接该数据库，但作业无法连接，数据库用户名权限与正常集群一致，请问可能的故障原因是什么？

• K8s网络策略限制：当前集群的网络策略可能阻止了Job Pod访问RDS的5432端口，检查集群中是否有针对该Namespace或Pod的出站网络规则，对比正常集群的网络策略配置。
• DNS解析失败：Job Pod内部无法正确解析RDS的endpoint域名。可以在Job Pod中执行nslookup <endpoint>验证解析结果，确认是否和本地解析一致，排查集群DNS服务是否正常。
• 配置文件/环境变量错误：虽然权限一致，但当前集群的boundary-config.hcl配置可能存在隐性错误，比如密码包含特殊字符未转义、endpoint拼写错误，或者环境变量注入失败导致连接串参数不正确。
• RDS安全组规则：检查RDS的安全组是否允许当前K8s集群的出口IP段访问5432端口。正常集群的出口IP可能已经在安全组白名单，而当前集群的IP段未被添加。
• SSL模式配置冲突：虽然连接串指定了sslmode=disable，但RDS可能强制要求SSL连接，导致连接失败。可以尝试将sslmode改为require或verify-ca测试，同时确认Job镜像中是否包含必要的SSL证书。
• Job Pod的网络配置异常：当前集群的Pod可能使用了特殊的网络插件（如Calico、Cilium），导致Pod的网络出口受限，或者Pod没有分配到正确的IP地址，无法访问外部RDS。
• 数据库状态异常：如果boundary数据库已存在但处于锁定、不可用状态，也会导致连接失败。可以手动检查数据库的运行状态，必要时先删除数据库再重新执行Job。

内容的提问来源于stack exchange，提问作者cosmos-1905-14