正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
runc符号链接挂载与容器逃逸漏洞预警公告(CVE-2021-30465) 漏洞详情 业界安全研究人员披露runc符号链接挂载与容器逃逸漏洞(CVE-2021-30465),攻击者可通过创建恶意Pod,利用符号链接以及条件竞争漏洞,可挂载宿主机目录至容器中,最终可能会导致容器逃逸。目前漏洞细节、POC已公开,风险高。
设置public会创建对应的弹性公网ip,并收取一定费用。 配置建议: 需要对外网提供服务时,需要有公网访问地址,需要选择public类型。无对外访问需求,仅在局域网内访问时,设置inner类型即可。 负载均衡器所在的子网IPv4网络ID 负载均衡器所在的子网,默认为集群所在子网
多节点场景 如果集群下有多个节点时,除进行以上操作外,还需要设置节点的亲和策略,但工作负载创建后实例运行数不得超过亲和的节点数。 完成效果 进行如上设置并在工作负载运行后,工作负载实例ip与节点ip将保持一致,重启工作负载后ip也将保持不变。 父主题: 网络指导
式的文件存储系统。 节点paas用户/用户组说明 在集群中创建节点时,默认会在节点上创建paas用户/用户组。节点上的CCE组件和CCE插件在非必要时会以非root用户(paas用户/用户组)运行,以实现运行权限最小化,如果修改paas用户/用户组可能会影响节点上CCE组件和业务Pod正常运行。
仪表盘提供了丰富的视图监控指标呈现,包括集群视图、Pod视图等等。 前提条件 集群处于“运行中”状态。 集群已开通“监控中心”。 查看/切换视图 登录CCE控制台,单击集群名称进入集群详情页。 在左侧导航栏中选择“监控中心”,单击“仪表盘”页签,默认展示集群视图。 监控中心仪表盘提供了预
该示例为一个需要配置访问跨VPC虚机IP的Deployment,该Deployment的副本数最大为10且滚动升级最大浪涌为25%,即升级过程中可能的最大Pod数为13。在该工作负载注解中,指定了Pod延时启动时间为20s,在该时间内保证Pod正常启动后,跨VPC网络可正常访问。 表1 Pod延迟启动annotation配置
符合标准文件协议:用户可以将文件系统挂载给服务器,像使用本地文件目录一样。 数据共享:多台服务器可挂载相同的文件系统,数据可以共享操作和访问。 私有网络:数据访问必须在数据中心内部网络中。 安全隔离:直接使用云上现有IaaS服务构建独享的云文件存储,为租户提供数据隔离保护和IOPS性能保障。
般情况下除非某个特定应用必须占用宿主机上的特定端口,否则不建议使用主机网络。 由于Pod使用主机网络,访问Pod需要直接通过节点端口,因此要注意放通节点安全组端口,否则会出现访问不通的情况。 另外由于占用主机端口,使用Deployment部署hostNetwork类型Pod时,要
区资源不足会导致后续其他实例无法调度。 强制模式:插件Deployment实例强制调度到不同可用区的节点上,每个可用区下最多运行一个实例。如集群下节点不满足多可用区,插件实例将无法全部运行。节点故障后,插件实例存在无法迁移风险。 节点亲和 不配置:插件实例不指定节点亲和调度。 指
端口说明 10248 TCP kubelet健康检查端口 10250 TCP kubelet服务端口,提供节点上工作负载的监控信息和容器的访问通道 10255 TCP kubelet只读端口,提供节点上工作负载的监控信息 动态端口(与宿主机限制的范围有关,比如 内核参数 net.ipv4
网络指导 CCE如何与其他服务进行内网通信? 使用CCE设置工作负载访问方式时,端口如何填写? Ingress中的property字段如何实现与社区client-go兼容? 服务加入Istio后,如何获取客户端真实源IP? 为什么更换命名空间后无法创建Ingress? 服务发布到ELB,ELB的后端为何会被自动删除?
符合标准文件协议:用户可以将文件系统挂载给服务器,像使用本地文件目录一样。 数据共享:多台服务器可挂载相同的文件系统,数据可以共享操作和访问。 私有网络:数据访问必须在数据中心内部网络中。 安全隔离:直接使用云上现有IaaS服务构建独享的云文件存储,为租户提供数据隔离保护和IOPS性能保障。
目标,您需要为集群安装log-agent插件,该插件可以采集Kubernetes事件,并在“监控中心 > 事件”页面进行展示。 功能入口 登录CCE控制台,单击集群名称进入集群详情页。 在左侧导航栏中选择“监控中心”,单击“事件”页签。 事件页面分为两个页签:“概览”和“事件”。
否过多,是否超出了节点的处理能力。通常情况下,节点平均负载应该保持在一个合理的范围内,以确保节点的稳定性和可靠性。 Iptables 连接数:连接跟踪表的最大条目数和当前已分配的条目数。 父主题: 监控中心
即按1个的步长升级,实际升级过程中会换算成数字,且换算会向上取整。这个值也可以直接设置成数字。 仅Deployment支持配置。 最大无效实例数(maxUnavailable) 与spec.replicas相比,可以有多少个Pod失效,也就是删除的比例,默认值是25%。 比如spec
为300s。 默认:300s 容器迁移对节点无法访问状态的容忍时间 default-unreachable-toleration-seconds 表示节点处于unreachable状态下的容忍时间。当环境出现异常,例如节点无法访问(如节点网络异常)时,容器将在该容忍时间后自动驱逐,默认为300s。
通过kubectl命令行创建 请参见通过kubectl连接集群,使用kubectl连接集群。 创建一个名为securitygroup-demo.yaml的描述文件。 vi securitygroup-demo.yaml 例如,用户创建如下的SecurityGroup资源对象,给所有
请参照购买Autopilot集群中内容创建。 在创建容器工作负载前,您需要配置访问SWR和OBS服务的VPC终端节点,详情请参见配置访问SWR和OBS服务的VPC终端节点。 若工作负载需要被外网访问,请为工作负载创建负载均衡类型的服务。 单个实例(Pod)内如果有多个容器,请确保容器使用的端口不冲突
30 forward . 10.0.0.190 } CoreDNS其他配置详解,请参见自定义 DNS 服务。 配置验证 创建一个Pod访问IDC的域名,如下所示,同样能够ping通,说明能够解析。 web-terminal-568c6566df-c9jhl:~# kubectl
、生物信息学、基因组学及其他大数据应用所需要而Kubernetes当前缺失的一系列特性,提供了高性能任务调度引擎、高性能异构芯片管理、高性能任务运行管理等通用计算能力。 Volcano Scheduler Volcano Scheduler是负责Pod调度的组件,它由一系列act