检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
客户端 优化域名解析请求 选择合适的镜像 避免IPVS缺陷导致的DNS概率性解析超时 使用节点DNS缓存NodeLocal DNSCache 及时升级集群中的CoreDNS版本 谨慎调整VPC和虚拟机的DNS配置 父主题： CoreDNS配置优化实践
Ingress支持的Service类型请参见ELB Ingress支持的Service类型。 已准备可信的证书，您可以从证书提供商处获取证书。操作详情请参见购买SSL证书。 使用TLS类型的密钥证书配置SNI 您可以使用以下方式使用TLS类型的密钥证书配置SNI。 当使用HTTPS协议时，才支持配置SNI。
Size，WSS）的计算方式如下： 在Pod中执行cat /sys/fs/cgroup/memory/memory.stat，得到total_cache（缓存内存量）、total_rss（当前应用进程实际使用内存量）、total_inactive_file（不活跃文件内存使用量）。 WSS = total_cache
如果使用对象存储，需要全局设置OBS Administrator权限。 说明： 由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的RBAC策略后，大概需要等待13分钟RBAC策略才能生效；授予OBS相关的系统策略后，大概需要等待5分钟系统策略能生效。 如果使用文件存储，需要设置SFS FullAccess权限。
Seccomp是一种系统调用过滤机制，它能够限制进程能够使用的系统调用，从而减少潜在的攻击面。Linux操作系统提供了数百个系统调用，但并非所有这些调用对于容器化应用都是必需的。通过限制容器可以执行的系统调用，您可以显著降低应用程序受到攻击的风险。 Seccomp的核心原理是拦截所有系统调用，
Ingress支持的Service类型请参见ELB Ingress支持的Service类型。 已准备可信的证书，您可以从证书提供商处获取证书。操作详情请参见购买SSL证书。 约束与限制 仅使用独享型ELB时，Ingress支持对接HTTPS协议的后端服务。 对接HTTPS协议的后端服务时，Ingress的对外协议也需要选择HTTPS。
路由概述 为什么需要Ingress Service基于TCP和UDP协议进行访问转发，为集群提供了四层负载均衡的能力。但是在实际场景中，Service无法满足应用层中存在着大量的HTTP/HTTPS访问需求。因此，Kubernetes集群提供了另一种基于HTTP协议的访问方式——Ingress。
创建完成后可以查询到密钥。 kubectl get secret -n default 相关操作 密钥创建完成后，您还可以执行表2中的操作。 密钥列表中包含系统密钥资源，系统密钥资源不可更新，也不能删除，只能查看。 表2 其他操作 操作 说明 编辑YAML 单击密钥名称后的“编辑YAML”，可编辑当前密钥的YAML文件。
Ingress支持的Service类型请参见ELB Ingress支持的Service类型。 已准备可信的证书，您可以从证书提供商处获取证书。操作详情请参见购买SSL证书。 约束与限制 仅当负载均衡端口使用HTTPS协议时，支持使用HTTP/2功能。 配置HTTP/2后，如果您在CCE控制台删除开启HTT
取值范围： 不涉及 默认取值： 若不配置，默认创建最新版本的集群。 若指定集群基线版本但是不指定具体r版本，则系统默认选择对应集群版本的最新r版本。建议不指定具体r版本由系统选择最新版本。 说明： Turbo集群支持1.19及以上版本商用。 platformVersion String
com/torvalds/linux/commit/35dfb013149f74c2be1ff9c78f14e6a3cd1539d1。 解决方案 您可以通过使用节点DNS缓存NodeLocal DNSCache降低IPVS缺陷的影响，具体操作请参见使用NodeLocal DNSCache提升DNS性能。 父主题：
Ingress支持的Service类型请参见ELB Ingress支持的Service类型。 已准备可信的证书，您可以从证书提供商处获取证书。操作详情请参见购买SSL证书。 使用TLS类型的密钥证书 您可以使用以下方式配置TLS类型的密钥证书。 通过控制台配置 通过kubectl命令行配置 登录CCE控制台，单击集群名称进入集群。
如果检查后无上述问题，可采用下方优化策略。 优化策略： 修改CoreDNS的缓存时间 配置存根域 修改ndots 增加coredns的缓存时间：有利于同一个域名的第N次解析，减少级联DNS的请求数量。 配置存根域：有利于减少DNS请求链路。 修改方式： 修改CoreDNS缓存时间及配置存根域 修改方法请参见为CoreDNS配置存根域。
节点kube-proxy故障 CCE 节点异常立即触发告警 登录集群查看告警节点状态，确认异常后，优先将此节点设置为不可调度，并将业务pod调度到其他节点 节点操作系统内核故障 CCE 节点异常立即触发告警 登录集群查看告警节点状态，确认异常后，优先将此节点设置为不可调度，并将业务pod调度到其他节点 节点的连接跟踪表已满
当监听器配置为HTTPS协议时，可选择“HTTP”、“HTTPS”或“GRPC”。仅独享型ELB支持选择GRPC协议，且需开启HTTP/2，系统将自动为您添加kubernetes.io/elb.http2-enable:true注解。当前GRPC功能仅在部分区域开放，请以控制台呈现为准。
CCE挂载文件存储卷 使用说明 符合标准文件协议：用户可以将文件系统挂载给服务器，像使用本地文件目录一样。 数据共享：多台服务器可挂载相同的文件系统，数据可以共享操作和访问。 私有网络：数据访问必须在数据中心内部网络中。 容量与性能：单文件系统容量较高（PB级），性能极佳（IO读写时延ms级）。
迁移完成后，节点上用户自定义的资源标签、K8s标签、污点不受影响。 迁移完成后，节点上名为cce.cloud.com/cce-nodepool的系统标签会被删除。如果已有工作负载使用该标签进行亲和/反亲和调度，在Kubelet重启时会将该节点上已存在的Pod停止并重新调度。 将默认节点池中的节点迁移到自定义节点池
先保障在线业务的网络带宽。 约束与限制 使用出口网络带宽保障特性需满足以下要求： 仅支持Huawei Cloud EulerOS 2.0操作系统的节点。 仅支持CCE Turbo集群，且集群版本为v1.23及以上。 集群中需要安装Volcano 1.9.0及以上版本的插件，且开启
登录CCE控制台，单击集群名称进入集群。 查看集群“概览”页，在右边“连接信息”下证书认证一栏，单击“下载”。 在弹出的“证书获取”窗口中，根据系统提示选择证书的过期时间并下载集群X509证书。 使用集群证书调用Kubernetes原生API。 例如使用curl命令调用接口查看Pod信息，如下所示，其中example
运行npd 配置DNS缓存 合理部署CoreDNS 应用层面 如果您希望应用程序始终可用，尤其是在流量高峰期间确保您的应用程序和服务不间断地运行，您需要通过可扩展且有弹性的方式运行应用，并及时关注应用的运行状态。 运行多个实例 设置资源配额 应用多可用区部署 系统插件多可用区部署 自动弹性伸缩
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
