云服务器内容精选

华为云首页用户手册

网络管理FAQ

云容器引擎 CCE_AUTOPILOT集群-集群安全组规则:ENI安全组出方向规则加固建议

ENI安全组出方向规则加固建议对于出方向规则，Autopilot集群创建的ENI安全组默认全部放通，通常情况下不建议修改。如需加固出方向规则，请注意如下端口需要放通。表3 ENI安全组出方向规则最小范围端口放通地址段说明所有端口本安全组属于本安全组的目的地址需全部放通，容器间网络互访。 TCP：5443 VPC网段 kube-apiserver服务端口，提供K8s资源的生命周期管理。 TCP：443 100.125.0.0/16网段访问OBS端口或者SWR端口，拉取镜像。 UDP：53 100.125.0.0/16网段用于域名解析。 TCP：443 VPC网段通过SWR终端节点，拉取镜像。所有端口 198.19.128.0/17网段访问VPCEP服务。 TCP：9443 VPC网段 Node节点网络插件访问Master节点。

云容器引擎 CCE_AUTOPILOT集群网络管理FAQ
云容器引擎 CCE_AUTOPILOT集群-集群安全组规则:ENI安全组

ENI安全组 Autopilot集群会创建名为{集群名}-cce-eni-{随机ID}的ENI安全组，默认为集群中的容器绑定该安全组，默认端口说明请参见表2。表2 ENI安全组默认端口说明方向端口默认源地址说明是否可修改修改建议入方向规则全部本安全组属于本安全组的源地址需全部放通。不可修改不涉及 Master节点网段 Master节点主动访问kubelet（如执行kubectl exec {pod}）。不可修改不涉及出方向规则全部所有IP地址（0.0.0.0/0及::/0）默认全部放通。可以修改如需加固出方向规则，请注意指定端口需要放通，详情请参见ENI安全组出方向规则加固建议。

云容器引擎 CCE_AUTOPILOT集群网络管理FAQ
云容器引擎 CCE_AUTOPILOT集群-集群安全组规则:Master节点安全组

Master节点安全组集群自动创建的Master节点安全组名称为{集群名}-cce-control-{随机ID}，默认端口说明请参见表1。表1 Master节点安全组默认端口说明方向端口默认源地址说明是否支持修改修改建议入方向规则全部本安全组属于本安全组的源地址需全部放通。不可修改不涉及出方向规则全部所有IP地址（0.0.0.0/0及::/0）默认全部放通。不可修改不涉及

云容器引擎 CCE_AUTOPILOT集群网络管理FAQ