检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
弹性云服务器ECS：一种可随时自助获取、可弹性伸缩的云服务器，帮助用户打造可靠、安全、灵活、高效的应用环境，确保服务持久稳定运行，提升运维效率。 虚拟私有云VPC：是用户在云上申请的隔离的、私密的虚拟网络环境。用户可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性IP搭建业务系统。
enable-admission-plugin-node-restriction 节点限制插件限制了节点的 kubelet 只能操作当前节点的对象，增强了在高安全要求或多租户场景下的隔离性。详细信息请参考官方文档。 开启/关闭 Pod节点选择器插件 enable-admission-plugin-pod-node-selector
本示例为VPC-B的网段：172.17.0.0/16 下一跳地址 系统默认填写当前对等连接，您无需选择。 peering-AB 描述 路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含“<”和“>”。 本端VPC-A到对端VPC-B的去程路由。 添加另一端VPC的路由 勾选该
令。它支持通过标准的Web浏览器和HTTP协议提供远程CLI，提供灵活的接口便于集成到独立系统中，可直接作为一个服务连接，通过cmdb获取信息并登录服务器。 web-terminal可以在Node.js支持的所有操作系统上运行，而不依赖于本机模块，快速且易于安装，支持多会话。 开
存储扩容 通过Core Dump文件定位容器问题 容器与节点时区同步 将节点容器引擎从Docker迁移到Containerd 节点安全实践 CCE节点安全配置建议 父主题： 节点
在CloudShell中使用kubectl访问集群需要在集群控制节点的安全组（安全组名称：集群名称-cce-control-随机数）中放通如下网段访问5443端口。5443端口默认对所有网段放通，如果您对安全组做过加固，当出现在CloudShell中无法访问集群时，请检查5443端口是否放通了198
监控管理插件。支持流量统计信息ipv4发送公网报文数和字节数、ipv4接收报文数和字节数以及ipv4发送报文数和字节数，且支持通过PodSelector来对监控后端作选择，支持多监控任务、可选监控指标，且支持用户获取Pod的label标签信息。监控信息已适配Prometheus格
master 重要 检查集群删除控制节点安全组是否成功。 删除控制节点网卡安全组失败 Failed to delete the security group of port 重要 检查集群删除控制节点网卡安全组是否成功。 删除集群ENI/SubENI安全组失败 Failed to delete
Docker 19.03.15和20.10.3之前的版本存在资源管理错误漏洞，攻击者可以利用该漏洞导致dockerd守护进程崩溃。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 资源管理错误 CVE-2021-21285 中 2021-02-02 漏洞影响 docker
修改SAN后，需重新下载kubeconfig.json配置文件。 登录CCE控制台，单击集群名称进入集群。 在集群总览页中的“连接信息”版块，单击kubectl后的“配置”按钮，查看kubectl的连接信息，并在弹出页面中下载配置文件。 配置kubectl。 登录到您的客户端机器，复制1.b中下载的配置文件（kubeconfig
Securitycontext字段中是否包含runAsuser/fsGroup。securityContext是kubernetes中的字段，即安全上下文，它用于定义Pod或Container的权限和访问控制设置。 启动命令中是否包含ls、chmod、chown等查询或修改文件权限的操作。
其他Pod到coredns的Pod网络是否正常，其他Pod到coredns的服务是否网络正常，如网络不正常： 安全组是否正常 ACL是否正常 是否跨界点Pod网络是否正常，如果跨节点Pod网络不通则需要确认以下问题是否存在： 修改了节点内核 安全组和ACL策略未放通 VPC路由表是否正常 节点上的iptables规则是否正常
参数解释： 节点池自定义安全组相关配置。支持节点池新扩容节点绑定指定的安全组。 未指定安全组ID，新建节点将添加Node节点默认安全组。 指定有效安全组ID，新建节点将使用指定安全组。 指定安全组，应避免对CCE运行依赖的端口规则进行修改。详细设置请参考集群安全组规则配置。 约束限制：
点池弹性伸缩行为与预期不符。 例如，节点进行规格变更后，增加CPU和内存（从2U4G变更4U8G）。 节点池扩容时，将根据节点池的节点模板信息计算资源，而ECS侧变更规格导致节点的规格与节点池设定的规格不一致，导致当前集群的CPU和内存使用量计算存在偏差，使扩容时节点池的资源总数可以部分超出CPU/内存的扩容上限。
网络管理 网络异常问题排查 网络规划 安全加固 网络指导
无 Pod访问100.125.0.0/16等云服务网段地址 Pod健康检查 Pod带宽限制仅支持普通容器（容器运行时为runC），暂不支持安全容器（容器运行时为Kata）。 Pod带宽限制不支持HostNetwork类型Pod。 Pod带宽限制仅支持单位M或G的限速配置，如100M，1G；最小取值1M，最大取值4
配置项描述 配置项的描述信息 参数名 取值范围 默认值 是否允许修改 作用范围 description 描述信息以annotation注记形式承载，所有annotation总计不超过256kb “” 允许 - 配置建议： 用户根据需求记录Configmap的描述信息，如Configmap的归属、用途等
自建Kubernetes集群操作系统可能存在安全漏洞和配置错误，这可能导致未经授权的访问、数据泄露等安全问题。 企业级的安全可靠 云容器引擎提供容器优化的各类型操作系统镜像，在原生Kubernetes集群和运行时版本基础上提供额外的稳定测试和安全加固，减少管理成本和风险，并提高应用程序的可靠性和安全性。 高效性
约成本。 业务上云、数据本地托管 对于金融、医疗等行业用户，由于安全合规要求，敏感数据要求存储在本地IDC中，而一般业务由于高并发、快响应等方面的特点需要部署在云上，并需要进行统一管理。 开发与部署分离 出于IP安全的考虑，用户希望将生产环境部署在公有云上，而将开发环境部署在本地的IDC。
集群删除 集群删除失败：安全组中存在残留资源 冻结或不可用的集群删除后如何清除残留资源 父主题： 集群
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
