安全组放通了还超时，说明问题不在安全组本身，而在下面这几层之一。 1. 函数有没有真正加入 VPC。函数默认跑在平台托管的网络里，访问不到你的 VPC 内网地址。必须在函数配置里绑定 VPC、子网和安全组，绑定后函数才会被放进该子网。没绑的话，函数访问 RDS 内网地址会直接超时。 2. 子网的路由和网络 ACL。安全组只管实例级，子网还有网络 ACL（如果启用了），ACL 是子网级的无状态规则，出方向和入方向都要放通。安全组是有状态的，ACL 不是——这一点经常被忽略。 3. RDS 侧的白名单。RDS 除了安全组，通常还有自己的访问白名单。函数所在子网的网段必须加进 RDS 白名单，否则连接会在 RDS 侧被拒绝。表现可能是超时（如果白名单是丢弃而不是拒绝）。 4. 子网可用 IP 是否够。函数绑定 VPC 后会占用子网 IP，子网 IP 耗尽时新实例起不来或者绑不上，表现为冷启动超时。检查子网的可用 IP 数。 5. 超时时间设置。函数的执行超时默认值可能比较短，首次连接数据库还要建连、握手、认证，容易超过限制。把函数超时设到 30 秒以上再测。 6. 排查手法。写一个最小的测试函数，只做两件事：socket.create_connection((rds_host, 3306), timeout=5)，把异常打出来。三种结果分别对应不同原因： 连接超时 → 网络层不通（VPC 绑定、安全组、ACL、路由）；连接被拒绝 → 网络通了但端口没监听或白名单拒绝；连上但认证失败 → 网络没问题，是账号密码/库权限问题。 先跑通这个最小测试，再去调业务代码，能省掉大量猜测。

安全组放通了还超时，说明问题不在安全组本身，而在下面这几层之一。 1. 函数有没有真正加入 VPC。函数默认跑在平台托管的网络里，访问不到你的 VPC 内网地址。必须在函数配置里绑定 VPC、子网和安全组，绑定后函数才会被放进该子网。没绑的话，函数访问 RDS 内网地址会直接超时。 2. 子网的路由和网络 ACL。安全组只管实例级，子网还有网络 ACL（如果启用了），ACL 是子网级的无状态规则，出方向和入方向都要放通。安全组是有状态的，ACL 不是——这一点经常被忽略。 3. RDS 侧的白名单。RDS 除了安全组，通常还有自己的访问白名单。函数所在子网的网段必须加进 RDS 白名单，否则连接会在 RDS 侧被拒绝。表现可能是超时（如果白名单是丢弃而不是拒绝）。 4. 子网可用 IP 是否够。函数绑定 VPC 后会占用子网 IP，子网 IP 耗尽时新实例起不来或者绑不上，表现为冷启动超时。检查子网的可用 IP 数。 5. 超时时间设置。函数的执行超时默认值可能比较短，首次连接数据库还要建连、握手、认证，容易超过限制。把函数超时设到 30 秒以上再测。 6. 排查手法。写一个最小的测试函数，只做两件事：socket.create_connection((rds_host, 3306), timeout=5)，把异常打出来。三种结果分别对应不同原因： 连接超时 → 网络层不通（VPC 绑定、安全组、ACL、路由）；连接被拒绝 → 网络通了但端口没监听或白名单拒绝；连上但认证失败 → 网络没问题，是账号密码/库权限问题。 先跑通这个最小测试，再去调业务代码，能省掉大量猜测。

安全组放通了还超时，说明问题不在安全组本身，而在下面这几层之一。 1. 函数有没有真正加入 VPC。函数默认跑在平台托管的网络里，访问不到你的 VPC 内网地址。必须在函数配置里绑定 VPC、子网和安全组，绑定后函数才会被放进该子网。没绑的话，函数访问 RDS 内网地址会直接超时。 2. 子网的路由和网络 ACL。安全组只管实例级，子网还有网络 ACL（如果启用了），ACL 是子网级的无状态规则，出方向和入方向都要放通。安全组是有状态的，ACL 不是——这一点经常被忽略。 3. RDS 侧的白名单。RDS 除了安全组，通常还有自己的访问白名单。函数所在子网的网段必须加进 RDS 白名单，否则连接会在 RDS 侧被拒绝。表现可能是超时（如果白名单是丢弃而不是拒绝）。 4. 子网可用 IP 是否够。函数绑定 VPC 后会占用子网 IP，子网 IP 耗尽时新实例起不来或者绑不上，表现为冷启动超时。检查子网的可用 IP 数。 5. 超时时间设置。函数的执行超时默认值可能比较短，首次连接数据库还要建连、握手、认证，容易超过限制。把函数超时设到 30 秒以上再测。 6. 排查手法。写一个最小的测试函数，只做两件事：socket.create_connection((rds_host, 3306), timeout=5)，把异常打出来。三种结果分别对应不同原因： 连接超时 → 网络层不通（VPC 绑定、安全组、ACL、路由）；连接被拒绝 → 网络通了但端口没监听或白名单拒绝；连上但认证失败 → 网络没问题，是账号密码/库权限问题。 先跑通这个最小测试，再去调业务代码，能省掉大量猜测。

ImagePullBackOff 说明 kubelet 拉镜像失败了，按这几个方向查。 1. 先看真实错误。kubectl describe pod -n ，翻到 Events 段落，里面的 Failed 消息才是根因。常见的几类： manifest unknown / not found：镜像名或 tag 写错，或者镜像不在该区域；unauthorized / authentication required：没有 imagePullSecrets，或 secret 里的凭证失效；i/o timeout / connection refused：节点访问不了镜像仓库；no space left on device：节点磁盘满了。 2. 凭证问题最常见。用私有仓库（SWR 私有镜像）必须配 imagePullSecrets： kubectl create secret docker-registry swr-cred \  --docker-server=swr.cn-north-4.myhuaweicloud.com \  --docker-username=@ \  --docker-password= -n 然后在 Pod spec 里引用 imagePullSecrets: [{name: swr-cred}]，或者在 ServiceAccount 上挂，这样该 SA 下所有 Pod 都自动带上。注意 SWR 的登录用户名格式是「区域@AK」，不是单纯的 AK。 3. 节点到仓库的网络。节点如果在私有子网，需要能出网或者配了 SWR 的 VPCE 终端节点。在节点上手动 docker pull / nerdctl pull 试一次，能复现就说明是节点侧问题。同时看节点安全组的出方向规则。 4. 节点磁盘。镜像层会占节点本地盘，磁盘满时拉取会失败但错误信息不一定直观。看 df -h /var/lib/docker 或 /var/lib/containerd，并检查 kubelet 的 imageGC 阈值。 5. 大镜像超时。镜像层数多、单层很大时，默认拉取超时可能不够。CCE 节点上可以调大 kubelet 的 --image-pull-progress-deadline，或者优化镜像（合并层、减小基础镜像）。 6. 定位技巧。先 kubectl describe 拿到错误类型，再在节点上手工 pull 一次。能 pull 通就是 kubelet 的凭证/配置问题，pull 不通就是网络或仓库问题。这一步能把范围砍一半。

ImagePullBackOff 说明 kubelet 拉镜像失败了，按这几个方向查。 1. 先看真实错误。kubectl describe pod -n ，翻到 Events 段落，里面的 Failed 消息才是根因。常见的几类： manifest unknown / not found：镜像名或 tag 写错，或者镜像不在该区域；unauthorized / authentication required：没有 imagePullSecrets，或 secret 里的凭证失效；i/o timeout / connection refused：节点访问不了镜像仓库；no space left on device：节点磁盘满了。 2. 凭证问题最常见。用私有仓库（SWR 私有镜像）必须配 imagePullSecrets： kubectl create secret docker-registry swr-cred \  --docker-server=swr.cn-north-4.myhuaweicloud.com \  --docker-username=@ \  --docker-password= -n 然后在 Pod spec 里引用 imagePullSecrets: [{name: swr-cred}]，或者在 ServiceAccount 上挂，这样该 SA 下所有 Pod 都自动带上。注意 SWR 的登录用户名格式是「区域@AK」，不是单纯的 AK。 3. 节点到仓库的网络。节点如果在私有子网，需要能出网或者配了 SWR 的 VPCE 终端节点。在节点上手动 docker pull / nerdctl pull 试一次，能复现就说明是节点侧问题。同时看节点安全组的出方向规则。 4. 节点磁盘。镜像层会占节点本地盘，磁盘满时拉取会失败但错误信息不一定直观。看 df -h /var/lib/docker 或 /var/lib/containerd，并检查 kubelet 的 imageGC 阈值。 5. 大镜像超时。镜像层数多、单层很大时，默认拉取超时可能不够。CCE 节点上可以调大 kubelet 的 --image-pull-progress-deadline，或者优化镜像（合并层、减小基础镜像）。 6. 定位技巧。先 kubectl describe 拿到错误类型，再在节点上手工 pull 一次。能 pull 通就是 kubelet 的凭证/配置问题，pull 不通就是网络或仓库问题。这一步能把范围砍一半。

安全组放通了还超时，说明问题不在安全组本身，而在下面这几层之一。 1. 函数有没有真正加入 VPC。函数默认跑在平台托管的网络里，访问不到你的 VPC 内网地址。必须在函数配置里绑定 VPC、子网和安全组，绑定后函数才会被放进该子网。没绑的话，函数访问 RDS 内网地址会直接超时。 2. 子网的路由和网络 ACL。安全组只管实例级，子网还有网络 ACL（如果启用了），ACL 是子网级的无状态规则，出方向和入方向都要放通。安全组是有状态的，ACL 不是——这一点经常被忽略。 3. RDS 侧的白名单。RDS 除了安全组，通常还有自己的访问白名单。函数所在子网的网段必须加进 RDS 白名单，否则连接会在 RDS 侧被拒绝。表现可能是超时（如果白名单是丢弃而不是拒绝）。 4. 子网可用 IP 是否够。函数绑定 VPC 后会占用子网 IP，子网 IP 耗尽时新实例起不来或者绑不上，表现为冷启动超时。检查子网的可用 IP 数。 5. 超时时间设置。函数的执行超时默认值可能比较短，首次连接数据库还要建连、握手、认证，容易超过限制。把函数超时设到 30 秒以上再测。 6. 排查手法。写一个最小的测试函数，只做两件事：socket.create_connection((rds_host, 3306), timeout=5)，把异常打出来。三种结果分别对应不同原因： 连接超时 → 网络层不通（VPC 绑定、安全组、ACL、路由）；连接被拒绝 → 网络通了但端口没监听或白名单拒绝；连上但认证失败 → 网络没问题，是账号密码/库权限问题。 先跑通这个最小测试，再去调业务代码，能省掉大量猜测。

ImagePullBackOff 说明 kubelet 拉镜像失败了，按这几个方向查。 1. 先看真实错误。kubectl describe pod -n ，翻到 Events 段落，里面的 Failed 消息才是根因。常见的几类： manifest unknown / not found：镜像名或 tag 写错，或者镜像不在该区域；unauthorized / authentication required：没有 imagePullSecrets，或 secret 里的凭证失效；i/o timeout / connection refused：节点访问不了镜像仓库；no space left on device：节点磁盘满了。 2. 凭证问题最常见。用私有仓库（SWR 私有镜像）必须配 imagePullSecrets： kubectl create secret docker-registry swr-cred \  --docker-server=swr.cn-north-4.myhuaweicloud.com \  --docker-username=@ \  --docker-password= -n 然后在 Pod spec 里引用 imagePullSecrets: [{name: swr-cred}]，或者在 ServiceAccount 上挂，这样该 SA 下所有 Pod 都自动带上。注意 SWR 的登录用户名格式是「区域@AK」，不是单纯的 AK。 3. 节点到仓库的网络。节点如果在私有子网，需要能出网或者配了 SWR 的 VPCE 终端节点。在节点上手动 docker pull / nerdctl pull 试一次，能复现就说明是节点侧问题。同时看节点安全组的出方向规则。 4. 节点磁盘。镜像层会占节点本地盘，磁盘满时拉取会失败但错误信息不一定直观。看 df -h /var/lib/docker 或 /var/lib/containerd，并检查 kubelet 的 imageGC 阈值。 5. 大镜像超时。镜像层数多、单层很大时，默认拉取超时可能不够。CCE 节点上可以调大 kubelet 的 --image-pull-progress-deadline，或者优化镜像（合并层、减小基础镜像）。 6. 定位技巧。先 kubectl describe 拿到错误类型，再在节点上手工 pull 一次。能 pull 通就是 kubelet 的凭证/配置问题，pull 不通就是网络或仓库问题。这一步能把范围砍一半。

OBS 返回 403 有几个完全不同的来源，先看响应体里的错误码，别只看状态码。 1. AccessDenied（权限不足）。三种策略会同时生效，任意一个拒绝就 403： IAM 权限（账号/用户级）；桶策略（Bucket Policy，桶级）；桶 ACL（对象级）。 IAM 给的是「这个身份能对 OBS 做什么」，桶策略给的是「这个桶允许谁做什么」。桶策略里如果显式写了 Deny，IAM 给多大权限都没用——Deny 优先级最高。 2. SignatureDoesNotMatch（签名不匹配）。不是权限问题，是签名算错了。常见原因：AK/SK 用错、签名串里的 host 和实际请求的 host 不一致、QueryString 没有按 ASCII 排序、URI 编码规则不对（斜杠不编码，其余编码一次）。预签名 URL 尤其容易踩这个坑。 3. 预签名 URL 过期。返回的错误码是 AccessDenied 但带「Request has expired」字样。检查 X-Amz-Date 与当前时间的偏差，超过 15 分钟会直接报错。 4. 跨域请求被拒（浏览器场景）。浏览器直传 OBS 时，如果桶没配 CORS 规则，预检请求 OPTIONS 会被拒，控制台显示 403 但实际不是权限问题。需要在桶设置里配置允许的来源、方法和头部。 5. 排查顺序建议： 用 curl -i 拿到完整响应头和 XML body，看 Code 和 Message 字段；用同一组 AK/SK 通过 OBS 客户端或 API Explorer 直接调同一个接口，排除 SDK 和代码问题；如果 API Explorer 能通而代码不通，问题在签名或参数；如果都不通，问题在策略；检查桶策略里有没有显式 Deny，以及请求的 host 风格（虚拟主机 vs 路径）是否和签名时一致。 补一个容易被忽略的点：子账号除了 IAM 权限，还需要在桶策略里被显式授权，因为默认桶是私有的，只给 IAM 权限不够。

安全组放通了还超时，说明问题不在安全组本身，而在下面这几层之一。 1. 函数有没有真正加入 VPC。函数默认跑在平台托管的网络里，访问不到你的 VPC 内网地址。必须在函数配置里绑定 VPC、子网和安全组，绑定后函数才会被放进该子网。没绑的话，函数访问 RDS 内网地址会直接超时。 2. 子网的路由和网络 ACL。安全组只管实例级，子网还有网络 ACL（如果启用了），ACL 是子网级的无状态规则，出方向和入方向都要放通。安全组是有状态的，ACL 不是——这一点经常被忽略。 3. RDS 侧的白名单。RDS 除了安全组，通常还有自己的访问白名单。函数所在子网的网段必须加进 RDS 白名单，否则连接会在 RDS 侧被拒绝。表现可能是超时（如果白名单是丢弃而不是拒绝）。 4. 子网可用 IP 是否够。函数绑定 VPC 后会占用子网 IP，子网 IP 耗尽时新实例起不来或者绑不上，表现为冷启动超时。检查子网的可用 IP 数。 5. 超时时间设置。函数的执行超时默认值可能比较短，首次连接数据库还要建连、握手、认证，容易超过限制。把函数超时设到 30 秒以上再测。 6. 排查手法。写一个最小的测试函数，只做两件事：socket.create_connection((rds_host, 3306), timeout=5)，把异常打出来。三种结果分别对应不同原因： 连接超时 → 网络层不通（VPC 绑定、安全组、ACL、路由）；连接被拒绝 → 网络通了但端口没监听或白名单拒绝；连上但认证失败 → 网络没问题，是账号密码/库权限问题。 先跑通这个最小测试，再去调业务代码，能省掉大量猜测。

OBS 返回 403 有几个完全不同的来源，先看响应体里的错误码，别只看状态码。 1. AccessDenied（权限不足）。三种策略会同时生效，任意一个拒绝就 403： IAM 权限（账号/用户级）；桶策略（Bucket Policy，桶级）；桶 ACL（对象级）。 IAM 给的是「这个身份能对 OBS 做什么」，桶策略给的是「这个桶允许谁做什么」。桶策略里如果显式写了 Deny，IAM 给多大权限都没用——Deny 优先级最高。 2. SignatureDoesNotMatch（签名不匹配）。不是权限问题，是签名算错了。常见原因：AK/SK 用错、签名串里的 host 和实际请求的 host 不一致、QueryString 没有按 ASCII 排序、URI 编码规则不对（斜杠不编码，其余编码一次）。预签名 URL 尤其容易踩这个坑。 3. 预签名 URL 过期。返回的错误码是 AccessDenied 但带「Request has expired」字样。检查 X-Amz-Date 与当前时间的偏差，超过 15 分钟会直接报错。 4. 跨域请求被拒（浏览器场景）。浏览器直传 OBS 时，如果桶没配 CORS 规则，预检请求 OPTIONS 会被拒，控制台显示 403 但实际不是权限问题。需要在桶设置里配置允许的来源、方法和头部。 5. 排查顺序建议： 用 curl -i 拿到完整响应头和 XML body，看 Code 和 Message 字段；用同一组 AK/SK 通过 OBS 客户端或 API Explorer 直接调同一个接口，排除 SDK 和代码问题；如果 API Explorer 能通而代码不通，问题在签名或参数；如果都不通，问题在策略；检查桶策略里有没有显式 Deny，以及请求的 host 风格（虚拟主机 vs 路径）是否和签名时一致。 补一个容易被忽略的点：子账号除了 IAM 权限，还需要在桶策略里被显式授权，因为默认桶是私有的，只给 IAM 权限不够。