容器代理IP绑定EIP资源配额不足：账户有余额，Pod也可能排不上节点

在腾讯云 TKE 的 VPC-CNI 场景中，Pod 直接绑定 EIP 不只取决于账户是否还能申请公网地址。调度器还需要知道这个 Pod 要占用 EIP 资源，并找到有对应容量的节点。因此，账户有余额、集群还有 CPU，都不能证明这次绑定具备条件。

本文讨论这一特定的 Pod 直绑方式，不是所有 Kubernetes 网络插件的通用配置。如果容器只是通过 NAT 网关连接上游代理，未采用 Pod 直接绑定 EIP，就不应照搬下面的扩展资源字段。

注解表达绑定意图，resources表达调度需求

腾讯云 Pod 直接绑定弹性公网 IP 文档的示例，同时声明了 eni-ip 和 eip 两种扩展资源。对于需要关联 EIP 的 Pod，文档要求添加 EIP 的 requests 与 limits，让调度器选择仍有可用 EIP 资源的节点。

下面仅是工作负载模板中一个容器的资源片段，并非可独立部署的完整清单。保留原有 CPU、内存等配置，并结合产品文档补齐网络及 EIP 注解：

resources:
  requests:
    tke.cloud.tencent.com/eni-ip: "1"
    tke.cloud.tencent.com/eip: "1"
  limits:
    tke.cloud.tencent.com/eni-ip: "1"
    tke.cloud.tencent.com/eip: "1"

只写“自动关联 EIP”的注解，而漏掉调度资源声明，不能替代这一步。反过来，字段写齐也不会创造容量：节点仍然可能没有剩余的可分配资源。

“不足”发生在哪里，决定下一步查什么

先看 Pod 事件中的失败阶段。Pod 尚未调度、事件指出某种扩展资源不足时，应核对工作负载声明，以及符合节点选择、亲和性等条件的节点资源；不要先改代理密码。Pod 已有节点，但 EIP 申请或关联失败时，再核对云侧资源配额、绑定条件与相关控制器事件。不能仅凭页面上的“失败”二字，把两种情况当成同一个问题。

以下只读命令可在有权限的集群中查看线索，替换占位名称后使用；输出可能含内部地址，不要原样贴到公开工单：

kubectl describe pod POD_NAME -n NAMESPACE
kubectl describe node NODE_NAME

前者查看调度和关联事件；后者查看 Capacity、Allocatable、Allocated resources 中对应的扩展资源。若还没有选中节点，应检查候选节点，而不是只看任意一台空闲机器。调度相关的资源占用要看声明量，不能拿瞬时 CPU 利用率推算 EIP 是否有余量。

空闲节点不一定属于这个Pod的候选集合

举个容量示意：三个符合其他约束的候选节点，剩余 EIP 调度槽位分别为 1、0、0；工作负载新增两个各需一个槽位的 Pod。即使账户还有可申请额度，这组节点当前也只能容纳其中一个。若另有节点还剩槽位，却被节点选择条件排除，它也不能解决本次调度。这是假设示例，不是实测配额。

腾讯云文档还提示，节点可绑定的 EIP 数受配额及云服务器绑定数量限制，不能把“账户可申请数量”当成“每个节点可绑定数量”。应按当前机型与产品限制核对，本文不预设一个适用于所有节点的固定数字。

确认是候选节点容量不足后，再评估扩容合适节点或调整工作负载约束；确认是云侧申请配额问题，再按对应资源的配额流程处理。不要随意释放已有 EIP 腾位置，它可能仍承担业务入口或白名单身份。若 EIP 已经绑定成功，只是观察到的出口不对，则应转向SNAT指定出口EIP的链路区分，不再继续按“缺少配额”处理。