检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
选择合适的镜像 Alpine容器镜像内置的musl libc库与标准的glibc存在以下差异： 3.3版本及更早版本的Alpine不支持search参数，不支持搜索域，无法完成服务发现。 并发请求/etc/resolve.conf中配置的多个DNS服务器，导致NodeLocal DNSCache的优化失效。
才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有的权限对云服务进行操作。关于策略的语法结构及示例，请参见IAM权限管理说明。 权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制
Ingress控制器从较老的版本升级后，使用IE浏览器无法访问已有的服务，状态码显示为308。 问题根因 NGINX Ingress控制器在升级后默认的永久重定向状态码从301变成了308，而部分老版本的IE浏览器不支持308重定向，因此出现无法访问的问题。 NGINX Ingr
通过IDC的域名解析服务器进行解析。 如果是需要解析华为云内域名，则转发给DNS Endpoint，使用华为云DNS解析出地址并返回。 如果是需要解析IDC域名，则直接通过IDC的域名解析服务器直接解析出地址并返回。 图2 节点同时访问华为云域名和外部域名 对于容器中的域名解析，可在创建Pod时将DNS
目前只支持StatefulSet类型的Pod或直接创建的Pod固定EIP，暂不支持Deployment、DaemonSet等其他类型的工作负载配置Pod固定EIP。 固定EIP创建后，生命周期内（如过期时间未到/Pod还在使用中）不支持通过Pod修改EIP属性。 对Pod的EIP地址无明确要求的业务不建议
[镜像名称1:版本名称1] [镜像仓库地址]/[组织名称]/[镜像名称2:版本名称2] [镜像名称1:版本名称1]：请替换为您本地所要上传的实际镜像的名称和版本名称。 [镜像仓库地址]：可在SWR控制台上查询，登录指令中末尾的域名即为镜像仓库地址。 [组织名称]：请替换为已创建的组织名称。 [镜像名
为保障CPU调度稳定性以及降低多个容器同时发生CPU Burst时的争用，默认设置的CPU Burst值与CPU Quota值相等，即容器最多可以使用两倍的CPU Limit值，默认为Pod内所有业务容器设置CPU Burst。 例如容器的CPU Limit值为4时，CPU Burst默认值为400000（此处1核=
定到特定的用户、用户组或ServiceAccount上。如下图所示。 图1 角色绑定 上图中的用户在CCE中可以是IAM用户或用户组，通过这样的绑定设置，就可以非常方便地实现命名空间内容资源的权限控制。 下面将通过给一个IAM用户user-example配置查看Pod的权限（该用
[镜像名称1:版本名称1] [镜像仓库地址]/[组织名称]/[镜像名称2:版本名称2] [镜像名称1:版本名称1]：请替换为您本地所要上传的实际镜像的名称和版本名称。 [镜像仓库地址]：可在SWR控制台上查询，登录指令中末尾的域名即为镜像仓库地址。 [组织名称]：请替换为已创建的组织名称。 [镜像名
Engine，简称CCE）的基本使用流程以及相关的常见问题，帮助您快速上手容器服务。 您可以通过控制台、Kubectl命令行、API参考使用云容器引擎服务。 使用步骤 完整的云容器引擎使用流程包含以下步骤： 图1 CCE使用流程 注册账号并登录CCE控制台。 使用账号登录时，默认拥有所有IAM
)需要在命名空间权限下设置admin或者edit权限才能查看。 如果您设置的是单一命名空间的view权限，则看到的只能是指定命名空间下的资源。 依赖服务的权限设置 如果IAM用户需要在CCE Console控制台拥有相应功能的查看或使用权限，请确认已经对该用户所在的用户组设置了CCE Administrator、CCE
不可以，数据盘是必须要的。 新建节点会给节点绑定一个供kubelet及容器引擎使用的专用数据盘，详情请参见数据盘空间分配说明。CCE数据盘默认使用LVM（Logical Volume Manager）进行磁盘管理，开启后您可以通过空间分配调整数据盘中不同资源的空间占比，具体请参见LVM简介。
弹性云服务器ECS：一种可随时自助获取、可弹性伸缩的云服务器，帮助用户打造可靠、安全、灵活、高效的应用环境，确保服务持久稳定运行，提升运维效率。 虚拟私有云VPC：是用户在云上申请的隔离的、私密的虚拟网络环境。用户可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性IP搭建业务系统。
iptables：社区传统的kube-proxy模式，完全以iptables规则的方式来实现service负载均衡。该方式最主要的问题是在服务多的时候产生太多的iptables规则，非增量式更新会引入一定的时延，大规模情况下有明显的性能问题。 ipvs：主导开发并在社区获得广泛支持的kube-p
跨区域使用OBS桶 默认情况下，Pod仅支持使用同一个区域（Region）的OBS桶。CCE支持工作负载使用其他区域的OBS桶，在某些场景下有利于提升OBS桶的资源利用率，但跨区域使用OBS相比同区域访问时延波动要更大。 约束与限制 CCE容器存储（Everest）版本要求1.2
系统预置采集配置 为保证插件默认行为的一致性，系统预置采集功能默认不开启，强烈建议您开启系统预置采集功能。 开启预置采集后，系统预置的采集任务会由ServiceMonitor/PodMonitor形式转换为方便可视化管理的采集任务形式，您可以方便地对云原生监控插件的系统预置采集任务进行管
解决方法 2.3.3及以上版本的NGINX Ingress默认仅支持TLS v1.2及v1.3版本，如果需要支持更多TLS版本，您可以在NGINX Ingress控制器插件配置的ssl-ciphers参数中添加@SECLEVEL=0字段，以启用对更多TLS版本的支持。更多详情请参见TLS/HTTPS。
外部安全研究人员披露sudo中的堆溢出漏洞（CVE-2021-3156），该漏洞在类似Unix的主要操作系统上都可以使用。在其默认配置下会影响从1.8.2到1.8.31p2的所有旧版本以及从1.9.0到1.9.5p1的所有稳定版本。成功利用此漏洞，任何没有特权的用户都可以在易受攻击的主机上获得root特权。
的网络，容器的网络是使用专门的网络插件来管理。 节点网络 节点网络为集群内主机（节点，图中的Node）分配IP地址，您需要选择VPC中的子网用于CCE集群的节点网络。子网的可用IP数量决定了集群中可以创建节点数量的上限（包括Master节点和Node节点），集群中可创建节点数量还
系统会扫描过去一天的审计日志，检查用户是否调用目标K8s版本已废弃的API。 说明： 由于审计日志的时间范围有限，该检查项仅作为辅助手段，集群中可能已使用即将废弃的API，但未在过去一天的审计日志中体现，请您充分排查。 37 节点NetworkManager检查异常处理 检查节点上的NetworkManager状态是否正常。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
