模擬問題集DOP-C02練習問題 11

DOP-C02 練習問題 11

AWS DevOps Engineer – Professional・インシデントおよびイベントへの対応・無料公開(全 200 問中 15 問を無料公開中)

問題
ある DevOps エンジニアは、マネージドノードグループを含む Amazon Elastic Kubernetes Service (Amazon EKS) クラスターの作成に成功しました。DevOps エンジニアがクラスターにノードグループを追加しようとすると、クラスターは「NodeCreationFailure: Instances failed to join the Kubernetes cluster」というエラーを返します。 DevOps エンジニアは、EC2 ワーカーノードが稼働中であり、EKS クラスターがアクティブな状態にあることを確認しました。 DevOps エンジニアはこの問題をどのようにトラブルシューティングすべきですか?

選択肢と解説

  • 1
    EKS クラスターの VPC サブネットが 172.17.0.0/16 の CIDR 範囲と重複していないことを確認する。
  • 2
    kubectl を使用して、クラスターを作成した認証情報を使うように kubeconfig ファイルを更新する。
  • AWSSupport-TroubleshootEKSWorkerNode ランブックを実行する。
  • 4
    クラスター用に AWS Identity and Access Management (IAM) OpenID Connect (OIDC) プロバイダーを作成する。

解説

【正解】C

【0からの解説】
「NodeCreationFailure: Instances failed to join the Kubernetes cluster」は、ワーカーノード(EC2 インスタンス)は起動したものの、Kubernetes クラスターに参加できなかったことを示す典型的なエラーです。原因は多岐にわたり、ノードの IAM ロールの権限不足、サブネットのルーティング/インターネット到達性、セキュリティグループの設定、aws-auth ConfigMap の設定、DNS(kube-dns/CoreDNS)到達性などが考えられます。
AWS はこの問題の切り分けを自動化する Systems Manager の自動化ランブック「AWSSupport-TroubleshootEKSWorkerNode」を提供しています。このランブックはクラスター名とインスタンス ID を入力すると、ノードがクラスターに参加できない一般的な原因(IAM、ネットワーク、設定など)を体系的にチェックして結果を返してくれます。原因が一つに特定できない本問の状況では、まずこのランブックを実行して網羅的に切り分けるのが最も適切です。

【誤りの選択肢】
A:EKS のドキュメントでは予約 CIDR として 10.100.0.0/16 や 172.20.0.0/16 などがサービス CIDR に使われますが、172.17.0.0/16 は Docker のデフォルトブリッジ範囲であり、これ単独が「ノードがクラスターに参加できない」エラーの一般的な根本原因とは言えません。網羅的な切り分けにはなりません。
B:kubeconfig の更新は kubectl でクラスターに接続できないときの対処であり、ノードがクラスターに「参加」できない問題とは別の話です。エラーの原因解決にはなりません。
D:IAM OIDC プロバイダーは IRSA(Pod に IAM ロールを割り当てる仕組み)に必要なものであり、ワーカーノードがクラスターに参加する処理とは無関係です。

【参考】
Troubleshoot worker nodes failing to join an EKS cluster (AWS re:Post)
Run the AWSSupport-TroubleshootEKSWorkerNode runbook
← 練習問題 10練習問題 12
DOP-C02 の模擬問題集は全 200

本番形式の練習テスト 4 回を、試験モード/演習モードで受験できます。 全問に解説付き、ドメイン別の弱点分析にも対応。模試プラン(月額 ¥980)からご利用いただけます。

DOP-C02 の模試を受ける料金プランを見る

DOP-C02 の無料公開問題

問題 1問題 2問題 3問題 4問題 5問題 6問題 7問題 8問題 9問題 10問題 11問題 12問題 13問題 14問題 15