检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
io/ssl-redirect注解进行配置，对应的参数值可设置为“true”或“false”： true：使用TLS证书时，将HTTP访问重定向至HTTPS（状态码为308）。 false：使用TLS证书时，禁止将HTTP访问重定向至HTTPS。 如果您在没有使用TLS证书的情况
Kubernetes kube-apiserver输入验证错误漏洞公告（CVE-2020-8559） 漏洞详情 Kubernetes官方披露了kube-apiserver组件的安全漏洞，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其
Ingress控制器指标。 服务器默认证书：选择一个IngressTLS或kubernetes.io/tls类型的密钥，用于配置Nginx Ingress控制器启动时的默认证书。如果无可选密钥，您可以单击“创建TLS类型的密钥证书”进行新建，详情请参见创建密钥。关于默认证书更多说明请参见Default
nds" 表10 extraArg扩展参数配置 参数 是否必选 参数类型 描述 default-ssl-certificat 否 String 默认证书配置，见Default SSL Certificate。 请求示例 { "kind": "Addon", "apiVersion":
的EIP配置DDoS高防服务或配置API Server访问策略。 绑定EIP将会短暂重启集群API Server并更新kubeconfig证书，请避免在此期间操作集群。 单击“确定”。 配置API Server访问策略 集群的API Server绑定EIP将会暴露到互联网，存在被
用户访问集群API Server的方式有哪些？ 当前CCE提供两种访问集群API Server的方式： 集群API方式：（推荐）集群API需要使用证书认证访问。直接连接集群API Server，适合大规模调用。 API网关方式：API网关采用token方式认证，需要使用账号信息获取tok
委托 ID。 您可以通过以下方案获取 ID： 方式一：如果您可以获取此证书申请人下载的证书，证书的通用名称 (CN - Common Name) 即所需 ID。 方式二：如果您无法获取到此证书申请人下载的证书，您可以通过云审计服务查询删除用户 (deleteUser)、删除委托 (deleteAgency)
Secret Secret是一种加密存储的资源对象，您可以将认证信息、证书、私钥等保存在Secret中，而不需要把这些敏感数据暴露到镜像或者Pod定义中，从而更加安全和灵活。 Secret与ConfigMap非常像，都是key-value键值对形式，使用方式也相同，不同的是Sec
集群。 证书认证 系统生成：默认开启X509认证模式，X509是一种非常通用的证书格式。 自有证书：您可以将自定义证书添加到集群中，用自定义证书进行认证。 您需要分别上传自己的CA根证书、客户端证书和客户端证书私钥。 注意： 请上传小于1MB的文件，CA根证书和客户端证书上传格式支持
内部错误异常处理 检查项内容 该检查非常规检查项，表示升级前检查流程中出现了内部错误。 解决方案 该问题出现后，请您优先重试升级前检查； 若重试升级前检查仍失败，请您提交工单，联系技术支持人员。 父主题： 升级前检查异常问题排查
[AK]”形式填写。 访问密码：遵循SWR的长期有效的认证凭证规则，需要用AK和SK来生成，详细说明请参考获取长期有效登录指令。 验证远程证书：建议取消勾选。 配置同步规则。 新建规则 填写如下参数。 名称：自定义。 复制模式：选择“Push-based”，表示把镜像由本地Harbor推送到远端仓库。
监听器使用的服务器证书和SNI证书。 该字段支持填写多个证书ID，通过逗号(,)分隔。第一个证书为监听器默认服务器证书，后续的证书为SNI证书。 配置建议： 推荐使用此配置作为HTTPS监听器的证书配置 一个HTTPS监听器最多支持配置50个SNI证书，超过此值后将不生效 TLS证书 监听器使用的服务器证书信息
集群绑定或解绑弹性IP、配置或更新自定义域名时，集群服务端证书将同步签入最新的集群访问地址（包括集群绑定的弹性IP、集群配置的所有自定义域名）。 异步同步集群通常耗时约5-10min，同步结果可以在操作记录中查看“同步证书”。 对于已绑定EIP的集群，如果在使用双向认证时出现认证不通过的情况（x509:
问域名，且不同的域名可以使用不同的安全证书。开启SNI后，允许客户端在发起TLS握手请求时就提交请求的域名信息。负载均衡收到TLS请求后，会根据请求的域名去查找证书：若找到域名对应的证书，则返回该证书认证鉴权；否则，返回缺省证书（服务器证书）认证鉴权。 转发策略配置：请求的访问地
端口和IP访问。 在使用cce集群过程中，由于业务场景需要，在节点上配置了kubeconfig.json文件，kubectl使用该文件中的证书和私钥信息可以控制整个集群。在不需要时，请清理节点上的/root/.kube目录下的目录文件，防止被恶意用户利用： rm -rf /root/
登录节点，执行以下命令查看证书。 ll /opt/cloud/cce/kubernetes/kubelet/pki 文件名称即为证书创建时间，请确认证书创建时间是否晚于当前时间。 如果证书生效的时间晚于当前时间，您可以采取以下措施之一解决： 删除节点重新创建。 等待证书生效时间到达，节点会自动变成可用状态。
检查到您集群中Ingress配置与ELB配置不一致，请确认是否在ELB侧修改过Ingress自动创建的监听器、转发策略、转发规则、后端云服务器组、后端云服务器和证书配置。 升级后会覆盖您在ELB自行修改的内容，请整改后再进行集群升级。 解决方案 根据诊断分析中的日志排查哪些资源需要整改，常见场景是在I
检查Service参数是否填写正确。 检查转发配置的参数是否填写正确。 检查证书问题。 如果Ingress开启了HTTPS访问，还需要排除证书配置错误的问题。您可使用相同ELB创建一个HTTP协议的Ingress访问，如HTTP协议下访问正常，则说明HTTPS协议证书可能存在问题。 如果以上排查均无效果，请进行抓包分析，或提交工单寻求帮助。
CCE中设置的环境变量与Dockerfile中的“ENV”效果相同。 容器启动后，容器中的内容不应修改。如果修改配置项（例如将容器应用的密码、证书、环境变量配置到容器中），当容器重启（例如节点异常重新调度Pod）后，会导致配置丢失，业务异常。 配置信息应通过入参等方式导入容器中，以免重启后配置丢失。
设置集群访问凭证 在Jenkins中能够识别的证书文件为PKCS#12 certificate，因此需要先将集群证书转换生成PKCS#12格式的pfx证书文件。 前往CCE控制台的“总览 > 连接信息”页面中下载集群证书，证书包含ca.crt、client.crt、client
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
