检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
认证证书 合规证书 华为云服务及平台通过了多项国内外权威机构（ISO/SOC/PCI等）的安全合规认证，用户可自行申请下载合规资质证书。 图1 合规证书下载 资源中心 华为云还提供以下资源来帮助用户满足合规性要求，具体请查看资源中心。 图2 资源中心 销售许可证&软件著作权证书
安全配置概述 基于安全责任共担模式，CCE服务确保集群内master节点和CCE自身组件的安全，并在集群、容器级别提供一系列的层次化的安全能力，而用户则负责集群Node节点的安全并遵循CCE服务提供的安全最佳实践，做好安全配置和运维。 CCE服务的应用场景 云容器引擎是基于业界主
更改集群节点的默认安全组 操作场景 集群在创建时可指定自定义节点安全组，方便统一管理节点的网络安全策略。对于已创建的集群，支持修改集群默认的节点安全组。 约束与限制 一个安全组关联的实例数量建议不超过1000个，否则可能引起安全组性能下降。更多关于安全组的限制请参考安全组限制。 不支
容器安全插件 CCE密钥管理（对接 DEW） 容器镜像签名验证 父主题： 插件
每给客户部署一套应用，就需要增加一台虚拟机的维护，随着客户量的增加，维护成本非常高。 自动化运维。 企业无需关注虚拟机的维护，只需要关注业务的开发。 父主题： 实施步骤
设置资源配额及限制 Kubernetes在一个物理集群上提供了多个虚拟集群，这些虚拟集群被称为命名空间。命名空间可用于多种工作用途，满足多用户、多环境、多应用的使用需求，通过为每个命名空间配置包括CPU、内存、Pod数量等资源的额度可以有效限制资源滥用，从而保证集群的可靠性，更多信息请参见资源配额。
丰富的诊断能力，请参考开通监控中心开通。 配置定时巡检规则 在“健康诊断”页面右上角打开“定时巡检”开关，并配置定时巡检启动的时间。集群将在指定时间自动开始集群巡检任务。单个集群，每天仅支持配置一个定时巡检时间。 图1 定时巡检 手动发起诊断 当您初次使用健康诊断时，单击“马上诊
如何批量修改集群node节点安全组？ 约束与限制 一个安全组关联的实例数量建议不超过1000个，否则可能引起安全组性能下降。更多关于安全组的限制请参考安全组限制。 操作步骤 登录VPC控制台，并在左上角选择区域和项目。 在左侧导航树选择“访问控制 > 安全组”。 在安全组界面，单击操作列的“管理实例”。
容器镜像服务为您提供了一个强大的工具——镜像安全扫描功能。只需一键操作，您就可以对您的镜像进行全面的安全检查。这项服务能够深入扫描您在镜像仓库中的私有镜像，识别出潜在的安全漏洞，并为您提供针对性的修复建议。 了解更多关于如何使用镜像安全扫描功能，以及如何解读和应用扫描结果中的修复建议，请参见镜像安全扫描。 使用镜像签名并配置验签策略
密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 CCE服务安全责任共担模型 父主题： 安全
宿主机的资源对容器不可见，但这种隔离并没有实现真正意义上的安全隔离。由于容器共享宿主机的内核，一旦容器内部发生恶意行为或利用内核漏洞，就可能突破资源隔离，导致容器逃逸，进而威胁到宿主机及其他容器的安全。 为了提高运行时安全性，可以通过多种机制对容器内部的恶意活动进行检测和预防，这
安装Docker Docker几乎支持在所有操作系统上安装，用户可以根据需要选择要安装的Docker版本。 容器镜像服务支持使用Docker 1.11.2及以上版本上传镜像。 安装Docker、构建镜像建议使用root用户进行操作，请提前获取待安装docker机器的root用户密码。 以root用户登录待安装Docker的机器。
安全组”，在搜索框内输入集群名称，此时预期过滤出两个安全组： 安全组名称为“集群名称-node-xxx”，此安全组关联CCE用户节点。 安全组名称为“集群名称-control-xxx”，此安全组关联CCE控制节点。 图1 查看集群安全组 单击用户节点安全组，确保含有如下规则允许Master节点使用ICMP协议访问节点。
在CCE集群中使用密钥Secret的安全配置建议 当前CCE已为secret资源配置了静态加密，用户创建的secret在CCE的集群的etcd里会被加密存储。当前secret主要有环境变量和文件挂载两种使用方式。不论使用哪种方式，CCE传递给用户的仍然是用户配置时的数据。因此建议：
数据保护技术 CCE通过多种数据保护手段和特性，保障数据的安全可靠。 表1 CCE的数据保护手段和特性 数据保护手段 简要说明 详细介绍 服务发现支持证书配置 CCE集群中的应用服务支持使用HTTPS传输协议，保证数据传输的安全性，您可以根据需求创建四层或七层的访问方式来对接负载均衡器。
执行以下命令，编辑Dockerfile文件。 vim Dockerfile 增加文件内容如下: # 使用Nginx镜像作为基础镜像 FROM nginx:latest # 执行一条命令修改Nginx镜像index.html的内容 RUN echo "hello world" > /usr/sh
原集群和目标集群中均需要安装部署Velero实例，安装步骤一致，分别用于备份和恢复。 CCE集群的Master节点不对外提供远程登录端口，您可通过kubectl操作集群完成Velero安装。 如果备份资源量较大，请调整Velero及node-agent工具的cpu和内存资源（建议调整至1U1G及以上），请参考备份工具资源分配不足。
集群网络模型选择及各模型区别 自研高性能商业版容器网络插件，支持容器隧道网络、VPC网络、云原生网络2.0网络模型： 集群创建成功后，网络模型不可更改，请谨慎选择。 容器隧道网络（Overlay）：基于底层VPC网络构建了独立的VXLAN隧道化容器网络，适用于一般场景。VXLAN
查询指定节点池支持配置的参数内容 功能介绍 该API用于查询指定节点池支持配置的参数内容。 调用方法 请参见如何调用API。 URI GET /api/v3/projects/{project_id}/clusters/{cluster_id}/nodepools/{nodepo
网卡上，在下拉框中最多可以选择5条，安全组必选，不可缺省。 如将绑定的安全组未创建，可单击“创建安全组”，完成创建后单击刷新按钮。 须知： 最多可选择5个安全组。 鼠标悬浮在安全组名称上，可查看安全组的详细信息。 64566556-bd6f-48fb-b2c6-df8f44617953
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
