helm 安装失败

[llkllk]

Error: INSTALLATION FAILED: failed to create resource: admission webhook "validation.istio.io" denied the request: configuration is invalid: Envoy filter: could not resolve Any message type: type.googleapis.com/envoy.extensions.filters.http.custom_response.v3.CustomResponse

[cr7258]

安装的是哪个版本的 Higress？完整的安装命令请提供一下。

[CH3CHO]

是不是集群里还装了 istio，是哪个版本的 istio，怎么安装的？

[llkllk]

helm install higress -n higress-system higress.io/higress
最新版本 2.1.0
我也怀疑istio，升级到最新1.25.1，问题依然存在

[llkllk]

除了helm 报 Error: INSTALLATION FAILED: admission webhook "validation.istio.io" denied the request: configuration is invalid: Envoy filter: could not resolve Any message type: type.googleapis.com/envoy.extensions.filters.http.custom_response.v3.CustomResponse
higress-gateway 报 configmap "higress-ca-root-cert" not found

[CH3CHO]

higress-gateway 报 configmap "higress-ca-root-cert" not found

1. 看看 higress-controller pod 状态是否正常
2. 如果正常，看看这个 ConfigMap 是不是真的存在
3. 如果存在，那重启一下 higress-gateway 看看

我也怀疑istio，升级到最新1.25.1，问题依然存在

这个我本地测试一下看看。

[CH3CHO]

我也怀疑istio，升级到最新1.25.1，问题依然存在

我本地新装了 istio 1.25.1，然后是可以正常安装 higress 的。建议你先在你的 K8s 集群里找到 validation.istio.io 这个 webhook，有可能是老版本 istio 装上去的，升级的时候没有删掉。

[llkllk]

我把 istio-system 名字空间删了，helm install 成功了，但 higress-gateway 仍然报 "higress-ca-root-cert" not found，configmap 确实也没有 higress-ca-root-cert

[CH3CHO]

看一下 controller pod 状态对不对

[llkllk]

controller pod 状态 HTTP probe failed with statuscode: 503

[CH3CHO]

controller pod 状态 HTTP probe failed with statuscode: 503

看看日志，什么原因

[llkllk]

日志没啥错，info cert cermgr reconcile old config: to new config:&{AutomaticHttps:true FallbackForInvalidSecret:false RenewBeforeDays:30 CredentialConfig:[] ACMEIssuer:[{Name:letsencrypt Email:your81715@yours28937.com AK: SK:}] Version:20250409085948} 这个算吗

[CH3CHO]

日志没啥错，info cert cermgr reconcile old config: to new config:&{AutomaticHttps:true FallbackForInvalidSecret:false RenewBeforeDays:30 CredentialConfig:[] ACMEIssuer:[{Name:letsencrypt Email:your81715@yours28937.com AK: SK:}] Version:20250409085948} 这个算吗

controller pod 里有两个容器，两个容器的日志都贴上来吧。

[llkllk]

嗯，discovery这个有 error pkica Failed to write secret to CA (error: admission webhook "mutate.kyverno.svc-fail" denied the request: mutation policy mutate-credential-secret error: failed to validate resource mutated by policy mutate-credential-secret: unknown object type "nil" in io.k8s.api.core.v1.Secret.data.cert-chain.pem
unknown object type "nil" in io.k8s.api.core.v1.Secret.data.key.pem
unknown object type "nil" in io.k8s.api.core.v1.Secret.data.root-cert.pem). Abort.

[CH3CHO]

找一下这个 webhook 是谁的，失败的原因是什么。