检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
以创建IngressTLS密钥证书为例。如图1： 图1 创建密钥 密钥数据中上传的证书文件和私钥文件必须是配套的，不然会出现无效的情况。 解决方法 一般情况下，您需要从证书提供商处获取有效的合法证书。如果您需要在测试环境下使用，您可以自建证书和私钥，方法如下： 自建的证书通常只适用于测试场景，使用时界面会提
在集群中创建节点时，默认会在节点上创建paas用户/用户组。节点上的CCE组件和CCE插件在非必要时会以非root用户（paas用户/用户组）运行，以实现运行权限最小化，如果修改paas用户/用户组可能会影响节点上CCE组件和业务Pod正常运行。 CCE组件正常运行依赖paas用户/用户组，您需要注意以下几点要求：
集群权限（IAM授权） CCE集群权限是基于IAM系统策略和自定义策略的授权，可以通过用户组功能实现IAM用户的授权。 集群权限仅针对与集群相关的资源（如集群、节点等）有效，您必须确保同时配置了命名空间权限，才能有操作Kubernetes资源（如工作负载、Service等）的权限。
CCE集群弹性引擎 插件简介 CCE集群弹性引擎插件基于社区Autoscaler组件，能够根据应用的资源需求自动调整集群节点数量，优化资源利用率和性能。作为Kubernetes中的核心控制器，Autoscaler具备根据资源需求情况自动扩展或缩减节点的能力。当集群中的Pod因为资源不足
rnetes集群上部署Pod的用户都可以滥用kernel.core_pattern内核参数，在集群中的任何节点上以root身份实现容器逃逸和执行任意代码。 该问题已被收录为CVE-2022-0811。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 容器逃逸 CVE-2022-0811
编写开机运行脚本 应用容器化时，一般需要准备开机运行的脚本，写作脚本的方式和写一般shell脚本相同。该脚本的主要目的包括： 启动应用所依赖的软件。 将需要修改的配置设置为环境变量。 开机运行脚本与应用实际需求直接相关，每个应用所写的开机脚本会有所区别。请根据实际业务需求来写该脚本。
24版本中移除Dockershim，因此建议您将节点容器引擎从Docker逐步迁移至官方推荐的Containerd，以确保未来与Kubernetes版本的兼容性和持续支持。 前提条件 已创建至少一个集群，并且该集群支持Containerd节点，详情请参见节点操作系统与容器引擎对应关系。 您的集群中存在容器引擎为Docker的节点或节点池。
23，推荐使用>=2.1.23版本。 节点上的第一块数据盘（供容器运行时和Kubelet组件使用）不支持导入为存储池。 条带化模式的存储池不支持扩容，条带化存储池扩容后可能造成碎片空间，无法使用。 存储池不支持缩容和删除。 如果删除节点上存储池的磁盘，会导致存储池异常。 导入存储池 创建节点时导入
集群诊断 云容器引擎CCE服务提供一键集群诊断能力，包括集群诊断、节点诊断、工作负载诊断、核心插件诊断和外部依赖诊断，可以辅助您定位集群中出现的问题。本文介绍如何在集群中使用集群诊断功能。 前提条件 已获取资源权限。 集群版本高于v1.17。 集群处于“运行中”状态。 功能入口
全面、清晰、多维度数据可视化能力。此外，您还可以根据自己的需求，采集和监控工作负载的自定义指标，实现个性化的监控策略。 资源监控指标 资源基础监控包含CPU/内存/磁盘等指标数据，您可以全面监控集群的健康状态和负荷程度，具体请参见监控概述。您可以在CCE控制台从集群、节点、工作负
etes 调度器和调度策略。 为什么Pod数量在节点上分布不均匀 资源需求：不同节点的资源配置可能不同，例如CPU、内存大小，导致Pod中定义的Request值无法被满足。即使节点实际负载很低，也无法调度到该节点。 自定义调度策略：Pod可能根据自定义的亲和性和反亲和性策略进行调度，导致Pod在节点上分布不均匀。
能否只配置命名空间权限，不配置集群管理权限？ 命名空间权限和集群管理权限是相互独立又相互补充的两个权限体系： 命名空间权限：作用于集群内部，用于管理集群资源操作（如创建工作负载等）。 集群管理（IAM）权限：云服务层面的权限，用于管理CCE集群与周边资源（如VPC、ELB、ECS等）的操作。
如果某IAM子用户先配置了集群管理权限和命名空间权限，然后在界面下载kubeconfig认证文件。后面再删除集群管理权限（保留命名空间权限），依然可以使用kubectl来操作Kubernetes集群。因此如需彻底删除用户权限，必须同时删除该用户的集群管理权限和命名空间权限。 场景二 如果某
使用GPU虚拟化 本文介绍如何使用GPU虚拟化能力实现算力和显存隔离，高效利用GPU设备资源。 前提条件 已完成GPU虚拟化资源准备。 如果您需要通过命令行创建，需要使用kubectl连接到集群，详情请参见通过kubectl连接集群。 约束与限制 单个GPU卡最多虚拟化成20个GPU虚拟设备。
时支持，且需要everest插件版本>=1.2.29。 节点上的第一块数据盘（供容器运行时和Kubelet组件使用）不支持导入为存储池。 条带化模式的存储池不支持扩容，条带化存储池扩容后可能造成碎片空间，无法使用。 存储池不支持缩容和删除。 如果删除节点上存储池的磁盘，会导致存储池异常。 导入存储池 创建节点时导入
开启集群过载控制 操作场景 过载控制开启后，将根据控制节点的资源压力，动态调整系统外LIST请求的并发限制，维护控制节点和集群的可靠性。 约束与限制 集群版本需为v1.23及以上。 开启集群过载控制 方式一：创建集群时开启 创建v1.23及以上集群时，可在创建集群过程中，开启过载控制选项。
法调度时，尝试自动扩容已开启弹性伸缩的节点池。若Pod已经设置亲和某个节点，则不会自动扩容节点。 该功能可以和HPA策略配合使用，具体请参见使用HPA+CA实现工作负载和节点联动弹性伸缩。 自定义节点弹性策略开关：根据节点弹性策略自动扩容节点池，默认开启。 节点扩容资源上限 节点
Linux内核整数溢出漏洞（CVE-2022-0185） 漏洞详情 国外安全研究人员William Liu和Jamie Hill-Daniel发现Linux内核中包含一个整数溢出漏洞，可导致写操作越界。本地攻击者可以使用这一点导致拒绝服务(系统崩溃)或执行任意代码，在容器场景下拥
不同集群间共享使用了相同的集群CA和认证凭据。 漏洞修复方案 对于集群内跨节点的攻击，建议您采取以下安全防范措施： 请妥善保管认证凭据。 授权子账号遵循权限最小化原则，通过设置RBAC权限，限制不必要的pods/exec、pods/attach、pods/portforward和proxy类型的资源访问。
该节点上的负载调度是否依赖该标签： 若无依赖，请删除该标签。 若存在依赖，请修改负载调度策略，解除依赖后再删除该标签。 检查到节点含有CNIProblem污点，请优先恢复 检查到节点含有key为node.cloudprovider.kubernetes.io/cni-proble
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
