检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
kubernetes.io/force-ssl-redirect String 是否强制重定向到HTTPS,即使Ingress未启用TLS,通过HTTP访问时,请求将会被强制重定向(状态码为308)到HTTPS。 具体使用场景和说明请参见为Nginx Ingress配置重定向规则。 配置URL重写规则
Secret。 执行如下命令,创建名为“ingress-test-secret.yaml”的YAML文件,此处文件名可自定义。 vi ingress-test-secret.yaml YAML文件配置如下: apiVersion: v1 data: tls.crt: LS0******tLS0tCg==
使用kubectl命令行工具连接集群,详情请参见通过kubectl连接集群。 在集群中创建一个Deployment。 创建deployment.yaml文件,文件内容示例如下: kind: Deployment apiVersion: apps/v1 metadata: name: example
创建ELB实例。若选择已有的ELB实例,CCE集群会为Service配置ELB监听器、后端服务器组等资源;若选择自动创建ELB实例,CCE除了会为Service配置ELB监听器、后端服务器组等资源,还会负责ELB实例的自动创建。本文将介绍负载均衡型Service的异常问题排查流程。
在CCE集群中使用容器的安全配置建议 控制Pod调度范围 通过nodeSelector或者nodeAffinity限定应用所能调度的节点范围,防止单个应用异常威胁到整个集群。参考节点亲和性。 在逻辑多租等需强隔离场景,系统插件应该尽量运行在单独的节点或者节点池上,与业务Pod分离,降低集群中的提权攻击风
请参见通过kubectl连接集群,使用kubectl连接集群。 创建名为“ingress-test.yaml”的YAML文件,此处文件名可自定义。 vi ingress-test.yaml 以关联已有ELB为例,YAML配置文件如下: apiVersion: networking.k8s.io/v1 kind: Ingress
ubPath volume挂载的容器,访问卷外的文件和目录,包括主机文件系统上的文件和目录。 容器使用subPath去挂载一些文件或者目录时,攻击者可能利用Symlink Exchange 访问除挂载目录之外的目录或者主机上的文件,造成越权。 表1 漏洞信息 漏洞类型 CVE-ID
IPVS(IP Virtual Server)是在Netfilter上层构建的,并作为Linux内核的一部分,实现传输层负载均衡。IPVS可以将基于TCP和UDP服务的请求定向到真实服务器,并使真实服务器的服务在单个IP地址上显示为虚拟服务。 IPVS模式下,kube-proxy使用I
检查到您集群中Ingress配置与ELB配置不一致,请确认是否在ELB侧修改过Ingress自动创建的监听器、转发策略、转发规则、后端云服务器组、后端云服务器和证书配置。 升级后会覆盖您在ELB自行修改的内容,请整改后再进行集群升级。 解决方案 根据诊断分析中的日志排查哪些资源需要整改
io/dockerconfigjson类型时,输入私有镜像仓库的账号和密码。 当密钥为kubernetes.io/tls或IngressTLS类型时,上传证书文件和私钥文件。 说明: 证书是自签名或CA签名过的凭据,用来进行身份认证。 证书请求是对签名的请求,需要使用私钥进行签名。 密钥标签 密钥的标
是用户使用CCE时也会使用其他云服务,包括:弹性云服务器、云硬盘、虚拟私有云、弹性负载均衡、容器镜像服务等。 什么是配额? 为防止资源滥用,平台限定了各服务资源的配额,对用户的资源数量和容量做了限制。如您最多可以创建多少台弹性云服务器、多少块云硬盘。 如果当前资源配额限制无法满足使用需要,您可以申请扩大配额。
通过后台创建daemonSet,选择nginx镜像、开启特权容器、配置生命周期、添加hostNetwork: true字段。 新建daemonSet文件。 vi daemonSet.yaml Yaml示例如下: spec.spec.containers.lifecycle字段是指容器启动后执行设置的命令。
Docker、containerd或者其他基于runc的容器运行时存在安全漏洞,攻击者可以通过特定的容器镜像或者exec操作可以获取到宿主机的runc执行时的文件句柄并修改掉runc的二进制文件,从而获取到宿主机的root执行权限。 华为云容器引擎已修复runc漏洞CVE-2019-5736。 表1 漏洞信息 漏洞类型
应用容器化改造方案概述 本手册基于云容器引擎实践所编写,用于指导您已有应用的容器化改造。 什么是容器 容器是操作系统内核自带能力,是基于Linux内核实现的轻量级高性能资源隔离机制。 云容器引擎CCE是基于开源Kubernetes的企业级容器服务,提供高可靠高性能的企业级容器应用管
存放的是二进制数据,无法直接存放文件,如果需要存放文件,需要先格式化文件系统后使用。 存放的是文件,会以文件和文件夹的层次结构来整理和呈现数据。 存放的是文件,会以文件和文件夹的层次结构来整理和呈现数据。 存放的是对象,可以直接存放文件,文件会自动产生对应的系统元数据,用户也可以自定义文件的元数据。
问题场景二:关键文件不可修改 集群原地升级过程中会修改/etc/sudoers文件和/etc/sudoers.d/sudoerspaas文件,以获取sudo权限,更新节点上属主和属组为root的组件(例如docker、kubelet等)与相关配置文件。请登录节点执行如下命令,排查文件的可修改性。
timezone=GMT+08后,从节点复制到容器中。 容器内的文件复制至宿主机: docker cp mycontainer: /usr/local/tomcat/bin/catalina.sh /home/catalina.sh 宿主机中的文件复制至容器内: docker cp /home/catalina
8系统时,如果在Docker服务文件中配置了MountFlags=shared字段,会因为systemd特性的原因导致容器挂载点被卸载。 解决方法 修改Docker服务文件,删除MountFlags=shared字段,重启Docker。 登录节点。 执行如下命令,删除配置文件中MountFlags=shared字段,然后保存。
无法获取节点池使用的密钥对 当扩容节点池失败时,事件中包含Ecs.0314错误,表明无法查询到节点池使用的密钥对,导致创建云服务器失败。 ...call fsp to query keypair fail, error code : Ecs.0314, reason is : the keypair
此类异常Pod仅为异常记录,并不实际占用系统资源。 排查步骤 导致文件系统异常的原因有很多,例如物理控制节点的异常开关机。此类异常Pod并不影响正常业务,当系统文件未能恢复,出现大量异常Pod时,可采取以下步骤进行规避排查: 执行以下命令,将该Node标记为不可调度,并将已有Pod驱逐到其他节点。 kubectl drain