检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
变量引用：用Pod定义的字段作为环境变量的值，例如Pod的名称。 资源引用：用Container定义的字段作为环境变量的值，例如容器的CPU限制。 添加环境变量 在创建工作负载时，配置容器信息，选择“环境变量”。 设置环境变量。 图1 添加环境变量 YAML样例 apiVersion: apps/v1
变量/变量引用：用Pod定义的字段作为环境变量的值，例如Pod的名称。 资源引用：用Container定义的字段作为环境变量的值，例如容器的CPU限制。 添加环境变量 登录UCS控制台，进入集群联邦页面，在创建工作负载时，配置容器信息，选择“环境变量”。 设置环境变量。 图1 设置环境变量 YAML样例
策略定义与策略实例的基本概念 策略定义 在创建策略实例之前，您需要先定义一个策略定义，它描述了强制执行约束的Rego代码和约束的模式。约束的模式允许管理员像调整函数参数一样微调约束的行为。策略定义中的Rego代码描述了强制执行的具体逻辑，根据您的需求来实现不同的合规性规则。而约束
定时任务（CronJob）即定时任务，是基于时间的Job，类似于Linux系统的crontab，在指定的时间周期运行指定的Job，即： 在给定时间点只运行一次。 在给定时间点周期性地运行。 CronJob的典型用法如下所示： 在给定的时间点调度Job运行。 创建周期性运行的Job，例如数据库备份、发送邮件。
使用策略定义库 策略定义库概述 k8spspvolumetypes k8spspallowedusers k8spspselinuxv2 k8spspseccomp k8spspreadonlyrootfilesystem k8spspprocmount k8spspprivilegedcontainer
登录集群控制台。 在左侧导航栏中选择“自定义资源”，在右上角单击“YAML创建”。 在线编辑或选择导入自定义资源的YAML文件，单击“确定”。 其他操作： 单击操作列“查看YAML”，可查看自定义资源的YAML内容。 单击操作列“查看资源”，可查看集群中已有的自定义资源实例。 父主题： 单集群管理
时可直接输入产物地址+引用镜像版本号，也可以使用${变量名}使用环境变量引用构建产物。 图4 设置云原生发布任务 修改工作负载的YAML文件，在image字段中引用ARTIFACT默认变量，产物地址会通过ARTIFACT默认变量渲染到工作负载YAML的image字段。 image:{{ARTIFACT}}
策略定义库概述 UCS为您提供了预置的策略定义库，通过这个库，您可以创建具体的策略实例，进而将策略实例定义细节的任务委托给具备专业知识的个人或团队。这种做法不仅实现了关注点的隔离，还将策略实例的逻辑与定义进行了分离。 为了帮助您更好地理解策略定义的工作原理，每个预置策略定义都包含
容。 说明： 配置项可用于创建工作负载存储卷和设置工作负载环境变量，设置工作负载环境变量时，该配置项数据不可为空。 配置标签 标签以Key/value键值对的形式附加到各种对象上（如工作负载、节点、服务等）。 标签定义了这些对象的可识别属性，用来对它们进行管理和选择。 输入标签键、值。
和分支。 YAML路径为相对路径，当前目录为代码分支的根目录。 YAML路径可以使用“${变量名}”引用环境变量，YAML文件中可以使用“{{变量名}}”引用环境变量，具体操作请参见环境变量配置。 父主题： 流水线
密码。 说明： 密钥可用于创建工作负载存储卷和设置工作负载环境变量，设置工作负载环境变量时，该密钥数据不可为空。 密钥标签 标签以Key/value键值对的形式附加到各种对象上（如工作负载、节点、服务等）。 标签定义了这些对象的可识别属性，用来对它们进行管理和选择。 输入键、值。
allowedUsers：数组 作用 拒绝白名单外的资源更新ServiceAccount。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，pararmeters中定义了允许的组列表allowedGroups和允许的用户列表allowedUsers。 # IMPORTANT: Before
健康检查：设置健康检查可以在容器运行过程中定时检查容器的健康状况，详情请参见设置容器健康检查。 环境变量：容器运行环境中设定的一个变量，通过环境变量设置的配置项不会随着Pod生命周期结束而变化，详情请参见设置环境变量。 数据存储：配置容器存储，可以使用本地存储和存储卷声明（PVC）。建议使用PVC
pathPrefix: 字符串 作用 约束PodSecurityPolicy中的“hostPath”字段的参数。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中的allowedHostPaths指定了字段的值。 apiVersion: constraints.gatekeeper
健康检查：设置健康检查可以在容器运行过程中定时检查容器的健康状况，详情请参见设置容器健康检查。 环境变量：容器运行环境中设定的一个变量，通过环境变量设置的配置项不会随着Pod生命周期结束而变化，详情请参见设置环境变量。 数据存储：配置容器存储，可以使用本地存储和存储卷声明（PVC）。建议使用PVC
生效资源类型：Pod 参数： tags：字符串数组 exemptImages：字符串数组 作用 约束容器镜像tag。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，pararmeters中表示不允许容器镜像tag为latest。 apiVersion: constraints.gatekeeper
作用 约束PodSecurityPolicy中的“readOnlyRootFilesystem”字段。 策略实例示例 以下策略实例展示了策略定义生效的资源类型。 apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPRe
kubernetes.io/allowedProfileNames”注解。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中allowedProfiles定义了允许的注解。 apiVersion: constraints.gatekeeper.sh/v1beta1
推荐级别：L1 生效资源类型：Pod 参数： repos：字符串数组 作用 容器镜像必须以指定字符串列表中的字符串开头。 策略实例示例 以下策略实例定义容器镜像必须以“openpolicyagent/”开头。 apiVersion: constraints.gatekeeper.sh/v1beta1
约束PodSecurityPolicy中的“volumes”字段类型。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters的volumes字段定义了允许的类型列表。 apiVersion: constraints.gatekeeper.sh/v1beta1
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
