VMware Tanzu Educates Training Platform 中的 Secret Copier 终止命名空间问题解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_07328/article/details/148756884

VMware Tanzu Educates Training Platform 中的 Secret Copier 终止命名空间问题解析

educates-training-platform A platform for hosting interactive workshop environments in Kubernetes, or on top of a local container runtime. 项目地址: https://gitcode.com/gh_mirrors/ed/educates-training-platform

在 Kubernetes 平台运维过程中，我们经常会遇到命名空间处于终止状态(Terminating)的情况。本文将深入分析 VMware Tanzu Educates Training Platform 项目中 Secret Copier 组件在处理终止命名空间时遇到的问题，以及如何优化其处理逻辑。

问题背景

Secret Copier 是 Tanzu Educates Training Platform 中的一个关键组件，负责将特定 Secret 复制到匹配规则的命名空间中。然而，当目标命名空间处于终止状态时，Secret Copier 会尝试在该命名空间中创建 Secret，导致操作失败并抛出 403 Forbidden 错误。

错误现象分析

从错误日志中可以看到，当 Secret Copier 尝试在处于终止状态的命名空间 tanzu-boo-w02-s007 中创建 Secret 时，Kubernetes API 返回了明确的错误信息：

secrets "shepherd-token" is forbidden: unable to create new content in namespace tanzu-boo-w02-s007 because it is being terminated

这种错误不仅会导致当前命名空间的操作失败，更重要的是，它可能会中断整个 Secret Copier 的协调(Reconcile)过程，影响其他正常命名空间的 Secret 复制操作。

技术原理

在 Kubernetes 中，命名空间终止是一个特殊的状态转换过程：

当删除命名空间时，Kubernetes 会首先将其标记为"Terminating"状态
系统会尝试清理该命名空间中的所有资源
只有当所有资源都被成功删除后，命名空间才会被最终移除

在此期间，Kubernetes API 会拒绝在该命名空间中创建任何新资源的请求，这正是 Secret Copier 遇到问题的根本原因。

解决方案

为了优雅地处理这种情况，我们可以在 Secret Copier 的逻辑中添加命名空间状态检查。具体实现应包含以下改进：

前置状态检查：在处理每个命名空间前，先检查其状态是否为"Terminating"
错误隔离：确保单个命名空间的失败不会影响其他命名空间的处理
日志优化：为跳过终止命名空间的情况添加适当的日志记录

核心代码修改应集中在 reconcile_config 函数中，在调用 update_secrets 前添加状态检查：

def reconcile_config(config_name, config_obj):
    api = pykube.HTTPClient(pykube.KubeConfig.from_env())
    namespace_query = pykube.Namespace.objects(api)

    for namespace_item in namespace_query:
        # 新增命名空间状态检查
        if namespace_item.obj.get("status", {}).get("phase") == "Terminating":
            continue
            
        rules = list(
            matches_target_namespace(
                namespace_item.name, namespace_item.obj, [config_obj]
            )
        )

        if rules:
            update_secrets(namespace_item.name, rules)