检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
安全组ID，数量不多于5个，多个安全组之间以英文逗号分隔。 yangtse.io/additional-security-group-ids 为Pod添加安全组配置，即在已有的配置上增加指定的安全组。 安全组ID，安全组ID数量和已有的安全组数量相加不多于5个，多个安全组之间以英文逗号分隔。
ServiceAccount Token安全性提升说明 发布时间：2022/11/24 Kubernetes 1.21及以上版本的集群中，Pod将不再自动挂载永久Token，默认使用TokenRequest API获得Token，并使用投射卷（Projected Volume）挂载到Pod中。
ServiceAccount Token安全性提升说明 Kubernetes 1.21以前版本的集群中，Pod中获取Token的形式是通过挂载ServiceAccount的Secret来获取Token，这种方式获得的Token是永久的。该方式在1.21及以上的版本中不再推荐使用，并且根据社区版本迭代策略，在1
加密云硬盘存储卷 云盘加密功能适用于需要高安全性或合规性要求的应用场景，可以保护数据的隐私性和自主性。本文将为您介绍如何使用数据加密服务（DEW）中管理的密钥对云盘存储卷数据进行加密。 前提条件 您已经创建好一个集群，并且在该集群中安装CCE容器存储（Everest）。 已在数据
而Pod Security Admission则是这些安全性标准的控制器，用于在创建Pod时执行定义好的安全限制。 Pod安全性标准定义了三种安全性策略级别： 表1 Pod安全性策略级别 策略级别（level） 描述 privileged 不受限制，通常适用于特权较高、受信任的
Apache containerd安全漏洞公告（CVE-2020-15257） 漏洞详情 CVE-2020-15257是containerd官方发布的一处Docker容器逃逸漏洞。containerd是一个支持Docker和常见Kubernetes配置的容器运行时管理组件，它处理
端口的安全组规则，加固集群的访问控制策略。 登录CCE控制台，单击集群名称进入集群，在总览页面找到“集群ID”并复制。 登录VPC控制台，在左侧导航栏中选择“访问控制 > 安全组”。 在筛选栏中，选择筛选条件为“描述”，并粘贴集群ID进行筛选。 筛选结果中将会包含多个安全组，找到
文件即可。 验证 通过浏览器访问Ingress地址可以正常访问，但因为是自己签发的证书和密钥，所以这里CA不认可，显示不安全。 图2 验证结果 父主题： 安全加固
containerd镜像Volume非安全处理漏洞公告（CVE-2022-23648） 漏洞详情 containerd开源社区中披露了一个漏洞，如果镜像具有恶意的属性，在容器内的进程可能会访问主机上任意文件和目录的只读副本，从而造成宿主机上敏感信息泄露。 表1 漏洞信息 漏洞类型 CVE-ID
集群节点如何不暴露到公网？ 问题解决： 如果不需要访问集群节点的22端口，可在安全组规则中禁用22端口的访问。 如非必须，集群节点不建议绑定EIP。 如有远程登录集群节点的需求，推荐使用华为云堡垒机服务作为中转连接集群节点。 父主题： 安全加固
nginx-ingress插件安全漏洞预警公告（CVE-2021-25748） 漏洞详情 Kubernetes开源社区中披露了1个ingress-nginx漏洞，用户通过Ingress 对象的“spec.rules[].http.paths[].path”字段可以获取ingres
inating状态。 问题根因 Kubernetes为了防止误删除PV和PVC导致数据丢失，存在数据保护机制，无法使用delete命令直接删除。 解决方案 执行以下命令，先解除保护机制，再删除PV或PVC。 如果已经使用kubectl delete命令删除PV或PVC，会一直处在
VPC”，在网络控制台单击“访问控制 > 安全组”。 在界面右侧的安全组列表中找到集群的安全组。单击“入方向规则”页签，单击“添加规则”，添加入方向规则如下。 集群类型 ELB类型 放通安全组 协议端口 放通源地址网段 CCE Standard 共享型ELB 节点安全组，名称规则默认是{集群名}-cce-node-{随机ID}
path'限制在已知安全字符中（参考社区最新规则，或者采用annotation-value-word-blocklist中的建议值）。 2. 漏洞CVE-2021-25746消减措施：通过实施准入策略，将'metadata.annotations'的值限制在已知的安全字符中（参考社区
securityGroups 否 String 安全组ID。如果没有对安全组进行规划，请和default-network中的安全组保持一致。 获取方式： 登录虚拟私有云控制台，在左侧导航栏选择“访问控制 > 安全组”，单击安全组名称，在“基本信息”页签下找到“ID”字段复制即可。 subnets
方法进行排查。 在集群“总览”页面，在“网络信息”选择“节点默认安全组”，单击跳转到安全组页面，查看安全组入方向规则。 检查所有安全组规则，确认是否开启了来自VPC私网、目标端口为TCP/10250的入方向访问，若未开放，请添加上述安全组规则。 若以上均不符合，请提交工单咨询。
13集群版本将提供升级能力。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 拒绝服务攻击 CVE-2019-9512 高 2019-08-13 资源管理错误 CVE-2019-9514 高 2019-08-13 漏洞影响 默认集群在VPC和安全组内保护下不受影响。 如果用户通
些对象添加了一个新的不可变字段，以拒绝更改。此拒绝可保护集群免受可能无意中中断应用程序的更新。因为这些资源是不可变的，kubelet不会监视或轮询更改。这减少了kube-apiserver的负载，提高了可扩展性和性能。更多信息，请参见Immutable ConfigMaps。 优
些对象添加了一个新的不可变字段，以拒绝更改。此拒绝可保护集群免受可能无意间中断应用程序的更新。因为这些资源是不可变的，kubelet不会监视或轮询更改。这减少了kube-apiserver的负载，提高了可扩展性和性能。更多信息，请参见Immutable ConfigMaps。 优
企业项目：显示集群所属的企业项目。了解更多企业项目相关信息，请查看企业管理。 删除保护：开启删除保护后，需通过虚拟MFA、手机短信或邮箱等再次确认当前操作。请前往“IAM 服务 > 安全设置 > 敏感操作”开启操作保护。 资源标签：对资源进行自定义标记，实现资源的分类。 集群
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
