检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
k8spspcapabilities 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedCapabilities：数组 exemptImages：字符串数组 requiredDropCapabilities：数组 作用 限制PodSecurit
k8sdisallowanonymous 基本信息 策略类型：合规 推荐级别：L1 生效资源类型：RoleBinding、ClusterRoleBinding 参数： allowedRoles：字符串数组 作用 不允许将白名单以外的ClusterRole和Role关联到system:anonymous
k8spspforbiddensysctls 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedSysctls：数组 forbiddenSysctls：数组 作用 约束PodSecurityPolicy中的“sysctls”字段不能使用的name。
参考表1填写待添加集群的基础信息，其中带“*”的参数为必填参数。 表1 注册集群基础信息配置 参数 参数说明 集群名称* 输入集群的自定义名称，需以小写字母开头，由小写字母、数字、中划线（-）组成，且不能以中划线（-）结尾。 集群服务商* 选择一个集群服务商。 所属区域* 选择集群所在的区域。 集群标签 非必填项，以
k8srequiredresources 基本信息 策略类型：合规 推荐级别：L1 生效资源类型：Pod 参数： exemptImages：字符串数组 limits cpu memory requests cpu memory 作用 约束容器资源使用。 策略实例示例
集群各个组件运行正常。 集群各个节点处于ready状态。 操作步骤 下载ucs-ctl二进制工具，放到任一台本地集群的管控节点/root/ucs目录下。 将所有节点密码信息记录到表格中，并保存到二进制所在节点/root/ucs/update_cert.csv，格式请参考表1。 表1
svirt_sandbox_file_t user: system_u 符合策略实例的资源定义 示例中seLinuxOptions参数均在参数列表中，符合策略实例。 apiVersion: v1 kind: Pod metadata: name: nginx-selinux-allowed
k8spspflexvolumes 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedFlexVolumes：数组 作用 约束PodSecurityPolicy中的allowedFlexVolumes字段类型。 策略实例示例 以下策略实例展示了
参考表1填写待添加集群的基础信息，其中带“*”的参数为必填参数。 表1 注册集群基础信息配置 参数 参数说明 集群名称* 输入集群的自定义名称，需以小写字母开头，由小写字母、数字、中划线（-）组成，且不能以中划线（-）结尾。 集群服务商* 选择一个集群服务商。 所属区域* 选择集群所在的区域。 集群标签 非必填项，以
k8spsphostnetworkingports 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages: 字符串数组 hostNetwork: max: 整型 min: 整型 作用 约束PodSecurityPolicy中的
k8spspfsgroup 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： rule: 字符串，支持MayRunAs、MustRunAs和RunAsAny ranges max: 整型 min: 整型 作用 控制PodSecurityPolicy中的“fsGroup”字段在限制范围内。
percentage: value: 1.5 fixedDelay: 10s 请根据实际需求调整配置参数。 父主题： 服务路由
k8spspreadonlyrootfilesystem 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages：字符串数组 作用 约束PodSecurityPolicy中的“readOnlyRootFilesystem”字段。 策略实例示例
k8spspallowprivilegeescalationcontainer 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages：字符串数组 作用 约束PodSecurityPolicy中的“allowPrivilegeEscalation”字段为false。
k8spspprocmount 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages：字符串数组 procMount：字符串 作用 约束PodSecurityPolicy中的“allowedProcMountTypes”字段。 策略实例示例
k8spspprivilegedcontainer 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages：字符串数组 作用 禁止PodSecurityPolicy中的“privileged”字段为true。 策略实例示例 以下策略实例展示了策略定义生效的资源类型。
本地集群安装失败怎么办？ 现象一：ucs-ctl的二进制使用错误，报错：./ucs-ctl: cannot execute binary file: Exec format error 问题原因：选择的集群架构和安装部署本地集群节点的cpu架构不一致。 例如： 集群架构选择X86
kube-state-metrics -nmonitoring 修改kube-state-metrics的启动参数。 例如需要采集Pod的所有labels时，则将kube-state-metrics的启动参数修改为： --metric-labels-allowlist=pods=[*],nodes=[node
k8spsphostnamespace 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数：无 作用 限制PodSecurityPolicy中的“hostPID”和“hostIPC”字段。 策略实例示例 以下策略实例展示了策略定义生效的资源类型。 apiVersion:
k8sreplicalimits 基本信息 策略类型：合规 推荐级别：L1 生效资源类型：* 参数： ranges: min_replicas: 整型 max_replicas: 整型 作用 要求具有“spec.replicas”字段的对象（Deployments、ReplicaSets等）在定义的范围内。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
