Azure AKS中Calico在ARM64系统池崩溃问题分析与解决方案-CSDN博客

Azure AKS中Calico在ARM64系统池崩溃问题分析与解决方案

问题背景

在Azure Kubernetes Service(AKS)环境中，当用户使用ARM64架构的节点池并启用Calico网络策略时，系统会出现Typha和kube-controllers组件崩溃的问题。这一问题主要影响Kubernetes 1.29及以上版本，因为这些版本默认使用Calico 3.26。

问题根源分析

该问题的根本原因在于Calico组件的构建方式差异：

构建环境差异：AKS在ARM64架构上构建Calico组件时启用了CGO(允许调用C语言库)，而Tigera官方则是通过AMD64交叉编译ARM64版本，这种方式默认禁用了CGO。
容器镜像问题：Tigera提供的Docker镜像是基于scratch(极简基础镜像)构建的，没有包含必要的系统库文件。当这些组件运行在AKS的ARM64节点上时，由于启用了CGO需要依赖系统库，而scratch镜像中缺少这些库文件，导致"binary not found"错误。
组件影响范围：Calico Node DaemonSet和Operator不受影响，只有Typha和kube-controllers会出现崩溃。

临时解决方案

在官方修复推出前，用户可以采取以下临时解决方案：

避免使用ARM64系统池：创建非ARM64架构的节点池来运行Calico组件。
切换网络策略方案：将网络策略从Calico改为Cilium：
- 先将network policy设置为none
- 然后再设置为cilium

官方修复进展

Calico项目已经接受了相关修复代码，但尚未发布正式版本。AKS团队计划通过ImageSet机制来临时解决此问题，让用户使用未正式发布的Calico 3.26.4版本(包含修复commit c06a60)。

用户可以通过应用以下ImageSet CRD来提前测试修复版本：

apiVersion: operator.tigera.io/v1
kind: ImageSet
metadata:
  name: calico-v3.26.3 #实际为v3.26.4-c06a60
spec:
  images:
  - image: "calico/cni"
    digest: "sha256:c4d73d9636834e81da5a1a9d914f5967326da18aa91f268b78df151deee82a58"
  - image: "calico/kube-controllers"
    digest: "sha256:3d1c7be4e4259c8bb2ac582669d6905c977a11e59b5eb510933d15fd7b124987"
  - image: "calico/node"
    digest: "sha256:79afaa3426e573c1ba42f6c55198ae4311422149c4939c87eb6c0d90d6e9609a"
  - image: "calico/typha"
    digest: "sha256:db15c177c804ddc7c870cc72bc37a36499af3c744cb633714ea1911eba14433e"
  - image: "calico/pod2daemon-flexvol"
    digest: "sha256:688277437bb230895286ad2cf5b827d5b1c8a850ad87f912dffca3c715b1a960"
  - image: "calico/apiserver"
    digest: "sha256:b159e24deff1fe31b57d50f9c459a5ec91b4ff9fa34d8a18e2bd421c2b58d9ac"
  - image: "calico/csi"
    digest: "sha256:64765b0edd5ee3f62ccdd69b57ae389c57e23eaa8a5b1bfa0cbc446f4d66f6b8"
  - image: "calico/node-driver-registrar"
    digest: "sha256:411409512c6569aa3a29d6ee8fba6d545fc37dc9fe5b6a3117fe8887cc4252fc"
  # 这是一个虚拟镜像，实际不使用
  - image: "calico/windows-upgrade"
    digest: "sha256:411409512c6569aa3a29d6ee8fba6d545fc37dc9fe5b6a3117fe8887cc4252fc"

注意事项

应用ImageSet后，可能会在calico-node日志中看到关于XDP状态的警告信息，这些警告在AKS管理的Calico环境中通常不会造成实际影响，因为AKS不使用eBPF功能。
完整的修复已经包含在AKS代码库中，用户可以通过AKS发布跟踪页面了解修复版本何时到达所在区域。
使用ImageSet临时解决方案时，可能会观察到tigerastatuses.operator.tigera.io的状态降级，这需要进一步监控确认是否影响实际功能。