正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
路径:后端应用对外提供访问的路径,此处添加的访问路径要求后端应用内存在相同的路径,否则转发无法生效。 目标服务名称:请选择已有Service或新建Service。页面列表中的查询结果已自动过滤不符合要求的Service。 目标服务访问端口:可选择目标Service的访问端口。 域名:无需填写 路径匹配规则:前缀匹配
etes场景下,默认禁用了seccomp filter,在内核以及权限满足时受该漏洞影响。 CCE当前不受影响 判断方法 uname -a查看内核版本号 规避和消减措施 CCE集群节点不受该漏洞影响。对于自建的K8s集群,建议用户对工作负载: 最小权限运行容器 根据社区提供的配置方法配置seccomp
宿主机中执行任意操作。 CCE集群未使用runc的systemd cgroup特性,因此不受此漏洞影响。 判断方法 您可以在节点上执行命令查看容器引擎使用的cgroup。 容器引擎为containerd的节点,执行以下命令: crictl info |grep -i systemdCgroup
containerd版本号小于1.4.1-96。 判断方法 在CCE新Console上的CCE Turbo集群的集群信息下的“节点管理”处,查看“运行时版本”,若运行时为containerd且版本号小于 1.4.1-96则涉及该漏洞。 漏洞修复方案 使用可信的镜像,避免使用来源不明
Engine的用户不易受到影响。 当前CCE采用华为优化的Docker容器,未启用Docker的AuthZ插件,因此不会触发该漏洞。 判断方法 您可以在节点上执行命令查看Docker使用的插件。 容器引擎为Docker的节点,执行以下命令: ps –elf | grep docker 显示如下: 其中没有设
若您需要从客户端计算机连接到Kubernetes集群,可使用Kubernetes命令行客户端kubectl,您可登录CCE控制台,单击待连接集群名称,在集群“总览”页面查看访问地址以及kubectl的连接步骤。 图1 集群连接信息 您需要先下载kubectl以及配置文件,复制到您的客户端机器,完成配置后,即可
出现集群过载现象。 客户端查询数据量过大:如发起大量LIST请求,或单个LIST请求查询大量数据。 假设客户端通过Field Selectors指定查询集群中的部分pod数据,并且需要查询etcd(客户端也可以指定从kube-apiserver缓存查询)。由于etcd无法按Fie
至少有一个未分区且符合规格的数据盘。 排查步骤 您也可以参考以下步骤,通过集群日志查看节点纳管失败的报错信息,然后根据相应的解决方法解决问题: 登录CCE控制台,单击集群列表上方的“操作记录”查看具体的报错信息。 单击“操作记录”窗口中失败状态的报错信息。 根据上一步获取的失败报错信息自行解决后,尝试重新纳管节点。
缺省。 如将绑定的安全组未创建,可单击“创建安全组”,完成创建后单击刷新按钮。 须知: 最多可选择5个安全组。 鼠标悬浮在安全组名称上,可查看安全组的详细信息。 64566556-bd6f-48fb-b2c6-df8f44617953 5451f1b0-bd6f-48fb-b2c6-df8f44617953
dataVolumes中创建的另一块100G 数据盘未被任何selector选中并被group管理。因此此块云盘作为裸盘挂载至节点,不做初始化。 创建后登录节点查看,可以发现有一块100G的盘已经挂载但没有被初始化。 API示例如下: { "kind": "Node", "apiVersion":
efs-deployment-example.yaml 创建完成后,在CCE界面“存储管理 > 极速文件存储卷”中单击PVC名称,在PVC详情页面可查看极速文件存储服务和PVC的绑定关系。 父主题: 极速文件存储卷
描述(可选) 添加告警规则描述。 检查CoreDNS容器内存使用率是否大于80%。 告警规则(PromQL) 输入普罗查询语句。关于如何编写普罗查询语句,请参见查询示例。 本例中设置CoreDNS当内存使用率的最大值大于80%产生告警,示例如下: (sum(container_me
支持全量检查集群整体运行状况(开通监控中心后),发现集群故障与潜在风险 针对诊断结果,智能给出健康评分 支持定时巡检,并可视化巡检结果 支持查看巡检历史,方便用户分析故障原因 针对故障和潜在风险,给出风险等级并提供修复建议 使用场景 运维对集群做变更前的集群状况检测,可随时主动触发健康诊断
EulerOS 2.0、Ubuntu 22.04、EulerOS 2.9、EulerOS 2.10操作系统,采用如下命令查看内核版本: uname -a 若查询结果在3.15-6.8之间,则受该漏洞影响。 漏洞消减方案 建议容器工作负载设置seccomp,示例如下: 针对Huawei
单击“确定”,完成配置操作。 验证 以8U32G节点为例,并提前在集群中部署一个CPU request为1,limit为2的工作负载。 登录到节点池中的一个节点,查看/var/lib/kubelet/cpu_manager_state输出内容。 cat /var/lib/kubelet/cpu_manager_state
0c96fad22880f32a3f84c009862af6f7 使用被授予用户连接集群,您会发现可以查询和创建default命名空间的资源,但无法查询kube-system命名空间资源,也无法查询集群级别的资源。 # kubectl get pod NAME
pod/liveness-http created 如上,这个Probe往容器的80端口发送HTTP GET请求,如果请求不成功,Kubernetes会重启容器。 查看Pod详情。 $ kubectl describe po liveness-http Name: liveness-http
资源消耗 ASM 商用场景 无需修改应用的服务代码,非侵入式治理 界面可视化,灰度发布或蓝绿发布过程中的流量变化可通过拓扑图、曲线图等直观查看 可配置的灰度策略更全面,包括基于流量比例、基于请求内容(Header、Cookie、操作系统、浏览器) 需要为集群启用Istio,占用额外资源
io镜像仓库的镜像进行验签。如需对所有镜像验签,请填写**。 单击“安装”。 待插件安装完成后,选择对应的集群,然后单击左侧导航栏的“插件中心”,可筛选“已安装插件”查看相应的插件。 组件说明 表2 swr-cosign组件 容器组件 说明 资源类型 swr-cosign swr-cosign负责对镜像文件
get node命令查询 force: true timeout: 0 nodeName:表示待排水的节点,参数值为Kubernetes中的节点名称,而不是控制台上的节点名称。 Kubernetes中的节点名称可以使用kubectl get node命令查询。 force:是