GKE Autopilot集群作业与容器日志未在GCP Cloud Logging显示问题咨询

一、作业/容器日志无法检索排查 #

• 先校验集群日志采集组件配置：Autopilot默认开启工作负载日志采集，可执行命令gcloud container clusters describe <集群名称> --region <集群所在区域> --format="value(loggingConfig.componentConfig.enableComponents)" 检查返回结果是否包含WORKLOADS、CONTAINER项，若缺失需要在Terraform的google_container_cluster资源的logging_config配置块中显式启用对应组件。
• 校验节点服务账号权限：确认Autopilot节点池使用的默认服务账号拥有roles/logging.logWriter权限，同时该账号未被VPC SC策略限制访问Cloud Logging服务。
• 校验VPC网络与安全策略：
  • 确认集群所在VPC已开启Private Google Access，日志上报走内网链路
  • 确认VPC SC策略中已将logging.googleapis.com加入允许访问的API列表，且未拦截集群网段到Cloud Logging服务的流量
• 校验容器日志输出方式：确认业务容器的日志是输出到stdout/stderr标准流，而非写入容器本地文件，GKE默认采集规则仅采集标准流日志。

二、无法连接单个容器排查 #

• 先排除集群连接基础问题：执行kubectl get nodes确认客户端可以正常访问Kubernetes API，拿到节点列表。
• 校验主节点授权网络配置：私有集群默认仅允许授权网段访问Kubernetes API，确认你执行连接操作的客户端IP（含Cloud Shell公网IP）已经加入集群的master authorized networks白名单。
• 校验VPC SC策略：确认VPC SC规则中允许你的客户端IP/服务账号访问container.googleapis.com的exec相关接口，没有拦截GKE API代理的转发流量。
• 校验Kubernetes RBAC权限：执行命令kubectl auth can-i exec pods/<目标Pod名称> --namespace <Pod所在命名空间> 确认你使用的Kubernetes账号拥有对应Pod的exec权限，若无权限需要补充对应角色绑定配置。

内容的提问来源于stack exchange，提问作者anilit99