检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云原生服务中心的所有权限,包括订阅服务、查看服务列表或详情、创建服务实例、查看实例列表或详情、删除服务实例、退订服务等操作。 UCS FullAccess 只读权限 云原生服务中心的只读权限,包括查看服务列表或详情、查看实例列表或详情等操作。 UCS ReadOnlyAccess 父主题: 权限相关
local”。 添加方式 您可以在创建工作负载时设置访问方式,也可以在工作负载创建完成后添加访问方式。 方式一:创建工作负载时配置,请参见创建工作负载时设置。 方式二:工作负载创建完成后设置,请参见创建工作负载后设置。 创建工作负载时设置 创建Deployment、StatefulS
亲和,设置特定区域的用户流量访问特定的集群。 自定义模式:您可以自定义配置域名解析到每个集群的权重。并且可以配置地域亲和,设置特定区域的用户流量访问特定的集群。 单击“创建”完成域名访问任务创建,完成该任务需要一段时间,请耐心等待。可单击“返回域名访问列表”或“查看域名访问详情”查看创建的域名访问。
UCS权限概述 UCS在统一身份认证服务(IAM)能力基础上,为用户提供细粒度的权限管理功能,帮助用户灵活便捷地对租户下的IAM用户设置不同的UCS资源权限,结合权限策略和舰队设计,可实现企业不同部门或项目之间的权限隔离。 图1 权限设计 UCS权限类型 UCS权限管理是在IAM
访问日志 服务网格提供了访问日志查询能力,可对网格中数据面所有Proxy的AccessLog进行采集。本文介绍如何查看采集的访问日志。 网格需已“启用访问日志”能力,如何开启请参考启用网格。 操作步骤 登录UCS控制台,单击左侧导航栏中的“服务网格”,进入服务网格列表页。 单击服务网格名称,进入服务网格详情页。
访问日志各字段解读 sidercar会在标准输出中打印访问日志,istio 1.18及以上版本的访问日志提供JSON格式的内容,下面以如下istio日志为例对每个字段的含义进行解读,解读内容见下表。 { "start_time": "%START_TIME%", "route_name":
0字符。 访问类型:选择“节点访问 NodePort”。 服务亲和: 集群级别:集群下所有节点的IP+访问端口均可以访问到此服务关联的负载,服务访问会因路由跳转导致一定性能损失,且无法获取到客户端源IP。 节点级别:只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载,
返回新建权限策略的UID信息。 { "uid" : "xxxx-xxxx-xxxx-xxxx" } 状态码 状态码 描述 201 返回新建权限策略的UID信息。 400 客户端请求错误,服务器无法执行请求 500 服务器内部错误 错误码 请参见错误码。 父主题: 权限管理
的操作权限一样,就可以在创建权限时选择多个用户以达到批量授权的目的。 本文以添加一个“readonly_user”用户为例。 权限类型:支持管理员权限、只读权限、开发权限和自定义权限。 表1 权限类型说明 权限类型 说明 管理员权限 对所有集群资源对象的读写权限 只读权限 对所有集群资源对象的只读权限
法访问UCS控制台,请参考表1授予相关权限。 表1 UCS功能所需的最小权限 功能 权限类型 权限范围 最小权限 容器舰队 管理员权限 创建、删除舰队 注册华为云集群(CCE集群、CCE Turbo集群)、本地集群或附着集群 注销集群 将集群加入、移出舰队 为集群或舰队关联权限
身份认证与访问 UCS支持IAM与Kubernetes的角色访问控制(RBAC)的精细的权限管理,实现UCS服务资源权限、集群中Kubernetes资源权限两种维度的权限控制,这两种权限针对的是不同类型的资源,在授权机制上也存在一些差异,具体如下: UCS服务资源权限:是基于IA
多名成员,权限分配如图1 权限设计所示。 项目组A在开发过程中需要舰队1、2的管理员权限以及舰队3的只读权限。 项目组B在开发过程中需要舰队1、3的管理员权限以及舰队2的只读权限。 图1 权限设计 方案介绍 要想实现上述的权限隔离,必须结合使用IAM系统策略和UCS权限管理功能,
在UCS控制台中内置了三种常见的权限类型:管理员权限、开发权限、只读权限,您可以直接使用这些权限类型为用户授权。当然,如果现有权限类型无法满足您的需求,也可以自定义权限,只需要指定操作类型和资源对象即可。 表3 权限类型说明 权限类型 说明 管理员权限 对所有Kubernetes资源对象的读写权限 开发权限
示上游连接失败。 典型场景 目标服务的服务端口不通。如客户端通过错误的端口访问目标服务时,会导致服务访问失败,客户端代理的Outbound日志会记录503UF。 目标服务的服务实例端口不通,会导致服务访问失败,同时服务端Inbound日志会记录503UF。 典型日志 服务端口错误的客户端出流量日志。
"description" : "this is description" } } 响应示例 无 状态码 状态码 描述 200 更新权限策略成功 400 客户端请求错误,服务器无法执行请求 500 服务器内部错误 错误码 请参见错误码。 父主题: 权限管理
设置集群网络 创建MCS前,需要保证集群间的节点网络互通与容器网络互通。 请参考表1检查集群网络情况。若集群或容器间网络还未打通,请参考表中设置方法对集群网络进行配置。若按照方法进行设置后仍无法打通网络,请参考常见问题进行问题排查。 表1 打通集群间网络 集群间网络 检查方法 打通方法
跨region集群打通方法 以北京四、广州region为例,进行跨region集群引入网格,其中北京四为网格控制面所在region。 网段约束 各集群所在的VPC网段不能冲突。 各集群所设置的容器网段不能冲突。 CCE网络插件实现会在路由表中添加路由,为了防止路由冲突造成网络无法
同region集群打通方法 以两个北京四集群为例,网格控制面也位于北京四,两个集群在不同的VPC中,需要使用VPC对等连接打通网络以使用网格功能。 网段约束 各集群所在的VPC网段不能冲突。 各集群所设置的容器网段不能冲突。 CCE网络插件实现会在路由表中添加路由,为了防止路由冲
8GB的节点为例,已经部署一个包含两个实例的工作负载到该集群上,并设置两个实例(实例1,实例2)的资源为{CPU申请,CPU限制,内存申请,内存限制}={1Core,2Core,2GB,2GB}。 那么节点上CPU和内存的资源使用情况如下: 节点CPU可分配量=4Core-(实例1申请的1Core+实例2申请的1Core)=2Core
最大长度:16384 响应参数 无 请求示例 无 响应示例 无 状态码 状态码 描述 200 删除权限策略成功 400 客户端请求错误,服务器无法执行请求 500 服务器内部错误 错误码 请参见错误码。 父主题: 权限管理