检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
什么是安全容器？ 安全容器这个概念主要与普通容器进行比较的。 和普通容器相比，它最主要的区别是每个容器（准确地说是pod）都运行在一个单独的微型虚拟机中，拥有独立的操作系统内核，以及虚拟化层的安全隔离。因为云容器实例采用的是共享多租集群，因此容器的安全隔离比用户独立拥有私有Kub
安全 责任共担 身份认证与访问控制 数据保护技术 审计与日志 监控安全风险
监控安全风险 通过AOM查看Pod监控数据 为使用户更好的掌握工作负载的运行状态，CCI配合AOM对其进行全方位的监控。 通过AOM界面您可监控CCI的基础资源和运行在CCI上的应用，同时在AOM界面还可查看相关的日志和告警。 更多内容，请参见监控管理。 Pod资源监控指标 CC
和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全
云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务并创建和配置追踪器后，CTS可记录您从云管理
CCI应用进行优雅滚动升级 应用场景 用户在CCI中部署工作负载时，应用发布成了LoadBalance类型的Service或Ingress且对接的独享型ELB，经过ELB的访问流量支持直通到容器中；当应用进行滚动升级或者弹性扩缩容，通过配置容器探针，最短就绪时间等可以做到优雅升级
云容器实例同时具备容器级别的启动速度和虚拟机级别的安全隔离能力，提供更好的容器体验。 原生支持Kata Container 基于Kata的内核虚拟化技术，为您提供全面的安全隔离与防护 自有硬件虚拟化加速技术，让您获得更高性能的安全容器 图1 通过Kata容器实现多租户容器强隔离 SSL SSL（安全套接层，Secure
应用场景 大数据、AI计算 当前主流的大数据、AI训练和推理等应用（如Tensorflow、Caffe）均采用容器化方式运行，并需要大量GPU、高性能网络和存储等硬件加速能力，并且都是任务型计算，需要快速申请大量资源，计算任务完成后快速释放。 云容器实例提供如下特性，能够很好的支持这类场景。
如何设置应用的探针？ 云容器实例基于Kubernetes，提供了应用存活探针和应用业务探针，您可以在创建工作负载的时候设置，具体请参见健康检查。 父主题： 容器工作负载类
使用CCI部署静态Web应用 本节通过在云容器实例上部署一个名称为2048的静态Web游戏应用为例，帮助您学习如何使用云容器实例。 您将按以下流程学习如何使用云容器实例。 操作流程 操作步骤 说明 准备工作 您需要注册华为账号，并为账户充值。 步骤一：构建镜像并上传至SWR镜像仓库 将应用构建镜像
身份认证与访问控制 基于IAM进行访问控制 身份认证与访问控制 父主题： 安全
负载访问504问题定位思路 负载访问504问题一般是因为ELB实例绑定的Port到后端 CCI 负载Pod的安全组没有放通。查看CCI负载Pod使用的安全组，确保安全组规则放通ELB实例绑定的Port。 Pod绑定的安全组可以通过查看负载对应Network获得，调用Network接口，响应里面metadata
√ √ 查询network详情 √ √ √ 策略授权系统权限 CCI服务支持基于策略授权的授权模型。如表4所示，包括了CCI基于策略授权中的所有系统策略。策略授权的系统策略与角色授权的系统策略并不互通。 表4 CCI系统策略 系统策略名称 描述 策略类别 CCIFullAccessPolicy
系统委托说明 由于CCI服务在运行中对弹性负载均衡、容器镜像等各类云服务都存在依赖关系，因此当您首次登录CCI控制台时，CCI将自动请求获取当前区域下的云资源权限，从而更好地为您提供服务。CCI服务与其他服务的关系详细信息参考见与其他服务的关系。 CCI自动创建的委托：cci_admin_trust
kube-proxy安全漏洞CVE-2020-8558公告 华为云CCI团队已经于7月10日识别kube-proxy安全漏洞CVE-2020-8558并对其进行了详细分析，分析结论为：基于CCI服务当前形态，用户与CCI服务均不受本次漏洞的影响，无需进行处理。 漏洞详情 Kube
CCI权限：是基于IAM的细粒度授权。通过命名空间级别权限设置可以控制用户操作Namespace（如创建、删除Namespace等）。更多细粒度权限说明请参见CCI细粒度鉴权系统策略关联Actions。 CCI服务暂不支持Landingzone场景。 创建Namespace时，打开RBAC鉴权开关，则此Namesp
内核参数配置 CCI服务底座使用安全容器构建了业内领先的Serverless容器平台，同物理机系统内核隔离且互不影响。对于资深业务部署场景，内核参数调优是比较通用的方式。在安全范围内，CCI服务允许客户根据Kubernetes社区推荐的方案，通过Pod的安全上下文（Security C
SSL证书 SSL（安全套接层，Secure Sockets Layer）是一种安全协议，目的是为互联网通信，提供安全及数据完整性保障。 云容器实例支持上传SSL证书，在使用HTTPS访问时，云容器实例将SSL证书自动安装到七层负载均衡器上，实现数据传输加密。 Secret与SSL证书共用同一个配额。
里？ 如果没有挂载EVS等磁盘，应用数据存储在容器的物理机磁盘，每个Pod存储空间限制为CPU物理机磁盘为20G，GPU物理机磁盘为20G，如果为专属节点可根据客户需求进行调整。 为了确保数据的安全性，在创建容器时容器引擎会从devicemapper获取虚拟化盘，其他容器引擎无法访问。
单个CCI实例的vCPU数量 0.25核-32核，或者自定义选择48核、64核。 支持的容器操作系统类型 仅支持Linux容器。 CCI实例的网络类型 仅支持VPC网络。 Kubernetes应用限制 基于华为云的安全性带来的限制，CCI目前还不支持Kubernetes中HostPath、DaemonSet等功能，具体如下表所示。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
