检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
命名空间权限：作用于集群内部，用于管理集群资源操作（如创建工作负载等）。 集群管理（IAM）权限：云服务层面的权限，用于管理CCE集群与周边资源（如VPC、ELB、ECS等）的操作。 对于IAM Admin用户组的管理员用户来说，可以为IAM子用户授予集群管理权限（如CCE Administrator、CCE
Docker资源管理错误漏洞公告（CVE-2021-21285） 漏洞详情 Docker是一款开源的应用容器引擎，支持在Linux系统上创建一个容器（轻量级虚拟机）并部署和运行应用程序，以及通过配置文件实现应用程序的自动化安装、部署和升级。 Docker 19.03.15和20.10.3之前的版本存
自建K8s集群迁移方案概述 操作场景 随着容器化技术的发展，越来越多的企业使用容器代替了虚拟机完成应用的运行部署，而Kubernetes的发展让容器化的部署变得简单并且高效。目前许多企业选择自建Kubernetes集群，但是自建集群往往有着沉重的运维负担，需要运维人员自己配置管理
持ipv4私网和ipv4公网。设置public会创建对应的弹性公网ip，并收取一定费用。 配置建议： 需要对外网提供服务时，需要有公网访问地址，需要选择public类型。无对外访问需求，仅在局域网内访问时，设置inner类型即可。 负载均衡器所在的子网IPv4网络ID 负载均衡器所在的子网，默认为集群所在子网
开发者社区精选最佳实践 Solution as Code一键式部署类最佳实践 表1 CCE最佳实践 分类 相关文档 集群相关 CCE集群选型建议 集群网络地址段规划实践 集群网络模型选择及各模型区别 通过CCE搭建IPv4/IPv6双栈集群 使用共享VPC创建CCE Turbo集群 将K8s集群迁移到CCE
安全组检查异常处理 检查项内容 检查Node节点安全组规则中，协议端口为ICMP:全部，源地址为Master节点安全组的规则是否被删除。 仅VPC网络模型的集群执行该检查项，非VPC网络模型的集群将跳过该检查项。 解决方案 请登录VPC控制台，前往“访问控制 > 安全组”，在搜索
SSD：超高I/O everest.io/csi.dedicated-storage-id 是 专属盘所在DSS存储池的ID。 获取方法：在云服务器控制台，单击左侧栏目树中的“专属分布式存储 > 存储池”，单击要对接的存储池名称展开详情，复制ID值即可。 everest.io/crypt-key-id
集群内资源迁移（Velero） 操作场景 本文使用Wordpress应用为例，将自建Kubernetes集群中应用整体迁移到CCE集群。Wordpress应用包含Wordpress和MySQL两个组件，均为容器化实例，分别绑定了两个Local类型的本地存储卷，并通过NodePort服务对外提供访问。
Jenkins的Master和Agent均可安装在虚拟机或容器中，且组合形式可多样，参见表1。 表1 Jenkins部署模式 部署模式 Master Agent 优缺点分析 单Master 虚拟机 - 优点：本地化构建，操作简单。 缺点：任务管理和执行都在同一台虚拟机上，安全风险较高。 单Master
cce-gpu-topology-predicate true/false true 允许 CCE Standard/CCE Turbo 一台AI服务器上共有8块NPU 1980芯片，4P * 2方式。每4块NPU 1980芯片之间通过HCCS互联，4块之间通过PCIe swith互联。 HCCS互联的4块NPU
举例：当前节点容器小网段掩码为25，则单节点容器可用地址为个128个，那么net.ipv4.neigh.default.gc_thresh3建议配置为128*128=16384个。 以上计算公式均为最极端场景： 1. 节点上的所有容器都会主动连接容器关联子网的所有IP地址，如网关类容器需要连接集群内所有其他容器。
持ipv4私网和ipv4公网。设置public会创建对应的弹性公网ip，并收取一定费用。 配置建议： 需要对外网提供服务时，需要有公网访问地址，需要选择public类型。无对外访问需求，仅在局域网内访问时，设置inner类型即可。 负载均衡器所在的子网IPv4网络ID 负载均衡器所在的子网，默认为集群所在子网
云容器引擎CCE 建议选择按需计费。 集群类型：CCE集群 集群版本：v1.25 集群规模：50节点 高可用：是 1 2.91元/小时 虚拟机节点 建议选择按需计费。 虚拟机节点类型：通用计算增强型 节点规格：4核 | 8GiB 操作系统：EulerOS 2.9 系统盘：50GiB | 通用型SSD
例如，假设节点可挂载的云硬盘上限为20，除去节点上已挂载的1块系统盘和1块数据盘后，节点剩余可挂载的云硬盘数量为18块。若该节点通过ECS控制台自定义挂载了2块裸盘用于创建本地存储池，则实际上仅能挂载16块数据盘。该场景下，如果该节点上调度18个挂载1块云硬盘的工作负载实例，
为什么访问部署的应用时浏览器返回404错误码？ CCE服务本身在浏览器中访问应用时不会返回任何的错误码，请优先排查自身业务。 404 Not Found 如果404的返回如下图所示，说明这个返回码是ELB返回的，说明ELB找不到相关的转发策略。请排查相关的转发规则等。 图1 404:ALB
为负载均衡类型的Service配置获取客户端IP 使用共享型ELB创建负载均衡类型的服务时，您可以通过配置annotation配置ELB的监听器获取客户端IP的能力。 使用独享型ELB时默认开启获取客户端IP，无需配置。 配置获取客户端IP后，如果您在YAML中删除对应的annotation，ELB侧的配置将会保留。
SSD：超高I/O everest.io/csi.dedicated-storage-id 是 专属盘所在DSS存储池的ID。 获取方法：在云服务器控制台，单击左侧栏目树中的“专属分布式存储 > 存储池”，单击要对接的存储池名称展开详情，复制ID值即可。 everest.io/crypt-key-id
采集Kubernetes事件 CCE 云原生日志采集插件插件可采集Kubernetes事件上报到云日志服务（LTS）和应用运维管理（AOM），用于保存事件信息和事件告警。 费用说明 LTS创建日志组免费，并每月赠送每个账号一定量免费日志采集额度，超过免费额度部分将产生费用（价格计算器）。
布服务。 按比例发布：按访问灰度发布服务的请求比例。 按HTTP请求头 键：a 值：b 灰度转发策略配置 域名：实际访问的域名地址，不配置时可通过IP地址访问Ingress。请确保所填写的域名已注册并备案，一旦配置了域名规则后，必须使用域名访问。 开启灰度：开启灰度后，集群外部访问流量将按此规则转发至目标服务。
例如，vault开源三方插件在使用secrets-store-csi-driver挂载密钥时，如果插件的root-dir地址与CCE配置路径不一致（插件默认value值与社区地址一致：/var/lib/kubelet）会导致容器内无法获取到vault的密钥。 这是因为CSI插件依赖挂载传播
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
