检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
本地硬盘：将容器所在宿主机的文件目录挂载到容器的指定路径中（对应Kubernetes的HostPath），也可以不填写源路径（对应Kubernetes的EmptyDir），不填写时将分配主机的临时目录挂载到容器的挂载点，指定源路径的本地硬盘数据卷适用于将数据持久化存储到容器所在宿主机，Empt
4-r0及以上集群版本中支持修改。 重定向至HTTPS：开启后进行HTTPS端口配置。 对外端口：HTTPS协议的端口。 证书来源：支持TLS密钥和ELB服务器证书。 服务器证书：使用在ELB服务中创建的证书。 如果您没有可选择的ELB证书，可前往ELB服务创建，详情请参见创建证书。 前端协议：“HTTP”
CCE集群中的节点无法远程登录，如何排查解决？ CCE创建节点成功后，无法ssh远程登录。ssh回显提示“所选的用户密钥未在远程主机上注册”，即root用户不能直接登录到节点。 出现上述问题的原因是CCE创建的节点安装了cloudinit，有默认的linux用户，并且该密钥也是用于linux。
使用场景 DNS配置或其他选项不合理时，可以向pod的“/etc/hosts”文件中添加条目，使用hostAliases在pod级别覆盖对主机名的解析。 操作步骤 使用kubectl连接集群。 创建hostaliases-pod.yaml文件。 vi hostaliases-pod
Prometheus Agent视图 Prometheus Agent是轻量化的容器监控模式，可以收集有关主机和应用程序的指标数据，并将数据上报并存储到AOM或三方监控平台。Prometheus Agent视图展示了Prometheus提供的一些内置指标，可用于监控和度量系统的性能和状态。
填写如下参数。 提供者：必须选“Huawei SWR”。 目标名：自定义。 目标URL：使用SWR的公网域名，格式为https://{SWR镜像仓库地址}，例如：https://swr.cn-east-3.myhuaweicloud.com。镜像仓库地址获取方法：登录容器镜像服务控制
端口范围配置 Nodeport类型服务端口范围 service的NodePort模式下能够使用的主机端口号范围，默认是30000-32767 参数名 取值范围 默认值 是否允许修改 作用范围 service-node-port-range 20106-32767 30000-32767
中存在一处权限提升漏洞（CVE-2021-4034，亦称PwnKit），攻击者通过在其默认配置中利用此漏洞实现用任何非特权用户获取易受攻击主机的完全root权限，目前漏洞POC/EXP已公开，风险较高。 Polkit（PolicyKit）是一个用于在类Unix操作系统中控制系统范
尽管Namespace和Cgroup从资源层面上实现了容器与宿主机的环境独立性，使得宿主机的资源对容器不可见，但这种隔离并没有实现真正意义上的安全隔离。由于容器共享宿主机的内核，一旦容器内部发生恶意行为或利用内核漏洞，就可能突破资源隔离，导致容器逃逸，进而威胁到宿主机及其他容器的安全。 为了提高运行时安全
概述 Kubernetes是一个开源的容器编排部署管理平台，用于管理云平台中多个主机上的容器化应用。Kubernetes的目标是让部署容器化的应用简单并且高效，Kubernetes提供了应用部署、规划、更新、维护的一种机制。 对应用开发者而言，可以把Kubernetes看成一个集
检查项内容 检查节点上的Pod是否直接挂载docker/containerd.sock文件。升级过程中Docker/Containerd将会重启，宿主机sock文件发生变化，但是容器内的sock文件不会随之变化，二者不匹配，导致您的业务无法访问Docker/Containerd。Pod重建后sock文件重新挂载，可恢复正常。
Ingress支持的Service类型请参见ELB Ingress支持的Service类型。 已准备可信的证书，您可以从证书提供商处获取证书。操作详情请参见购买SSL证书。 使用TLS类型的密钥证书 您可以使用以下方式配置TLS类型的密钥证书。 通过控制台配置 通过kubectl命令行配置 登录CCE控制台，单击集群名称进入集群。
Prometheus Server视图 Prometheus本地数据存储模式可以收集有关主机和应用程序的指标数据并存储在集群中，监控数据可以选择上报并存储到AOM或三方监控平台。Prometheus Server视图展示了Prometheus提供的一些内置指标，可用于监控和度量系统的性能和状态。
监控CCE Turbo集群容器网络扩展指标 CCE容器网络扩展指标插件是一款容器网络流量监控管理插件，可支持CCE Turbo集群非主机网络容器的流量统计，以及节点内容器连通性健康检查。监控信息已适配Prometheus格式，可以通过调用Prometheus接口查看监控数据。 本
的id。作为Gitlab服务器，需要一个固定的 URL访问地址，因此需要配置gitlab.rb（宿主机路径：/home/gitlab/config/gitlab.rb）。 在宿主机上通过vi打开文件/home/gitlab/config/gitlab.rb。 vi /home/gitlab/config/gitlab
CVE-2020-8558 高 2020-07-08 漏洞影响 当攻击者拥有主机网络配置能力或运行在一个具备了CAP_NET_RAW能力的容器实例时，就可以获取在目标节点上监听了127.0.0.1的服务socket信息。如果在目标主机上存在127.0.0.1可以访问到且不需要任何认证鉴权的暴露服
界。本地攻击者可以使用这一点导致拒绝服务(系统崩溃)或执行任意代码，在容器场景下拥有CAP_SYS_ADMIN权限的用户可导致容器逃逸到宿主机。目前已存在poc，但尚未发现已公开的利用代码。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 资源管理错误 CVE-2022-0185
A GPU驱动程序中与设备隔离相关的安全漏洞。当容器以非特权模式启动，攻击者利用这个漏洞，通过在容器中创建特殊的字符设备文件后，能够获取宿主机上所有GPU设备的访问权限。 关于漏洞的详细信息，请参见CVE-2021-1056。 如果您的CCE集群中存在GPU（ECS）节点，并使用了CCE推荐的NVIDIA
容器隧道网络模型说明 容器隧道网络模型 容器隧道网络是在主机网络平面的基础上，通过隧道封装技术来构建一个独立的容器网络平面。CCE集群容器隧道网络使用了VXLAN作为隧道封装协议，并使用了Open vSwitch作为后端虚拟交换机。VXLAN是一种将以太网报文封装成UDP报文进行隧道传输的协议，而Open
添加告警规则。 事件类告警：根据集群上报到AOM的事件配置告警。推荐配置的事件和配置方法请参见添加事件类告警。 指标类告警：实时监控环境中主机、组件等资源使用情况，根据监控指标阈值告警。推荐配置阈值指标和配置方法请参见添加指标类告警。 在SMN创建主题 SMN（Simple Message
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
