检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
为ELB Ingress配置了HTTPS证书后访问异常的原因有哪些？ 为ELB Ingress配置了HTTPS证书后，如果证书配置出现以下问题，可能导致访问异常，您可以参考表格中的原因进行排查。 访问异常原因 问题现象 解决方案 证书已过期 通过curl命令测试时报错信息如下： SSL
使用CCE设置工作负载访问方式时，端口如何填写？ CCE支持工作负载的内部互访和被互联网访问两种方式。 内部访问：包括集群内访问（通过集群虚拟IP）和节点访问（通过节点私有IP）两种方式。 表1 内部访问类型说明 内部访问类型 说明 端口如何填写 集群内访问（通过集群虚拟IP）
d被重调度后IP会变化导致新的Pod无法访问公网）。 通过NAT网关配置SNAT规则，通过NAT网关访问公网。 下面将详细讲解通过NAT网关访问公网的方法，NAT网关能够为VPC内的容器实例提供网络地址转换（Network Address Translation）服务，SNAT功
户端实际访问的IP地址或DNS域名匹配。 当客户端无法直接访问集群内网私有IP地址或者公网弹性IP地址时，您可以将客户端可直接访问的IP地址或者DNS域名通过SAN的方式签入集群服务端证书，以支持客户端开启双向认证，提高安全性。典型场景例如DNAT访问、域名访问等特殊场景。 如果
台上，证书也在CCE的管理平台上，不对用户开放，这个证书在平台上会定期维护，不会出现过期的情况。 X509证书在Kubernetes集群上也是默认开启的，更新平台自动会维护更新。 获取集群证书 通过CCE控制台获取集群证书，使用该证书可以访问Kubernetes，详情请参见获取集群证书。
NodePort访问 约束与限制 “节点访问 ( NodePort )”默认为VPC内网访问，如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 创建Service后，如果服务亲和从集群级别切换为节点级别，连接跟踪表将不会被清理，建议用户创建Service后不要修改
Server绑定弹性公网IP。配置完成后，集群API Server将具有公网访问能力。 绑定弹性公网IP后，集群存在公网访问风险，建议为控制节点安全组加固5443端口的入方向规则。详情请参见如何配置集群的访问策略。 此操作将会短暂重启 kube-apiserver 并更新集群访问证书（kubeconfig），请避免在此期间操作集群。
节点设置为不可调度后，新的Pod将无法调度至该节点，节点上已运行的Pod则不受影响。 登录CCE控制台，单击集群名称进入集群。 在集群控制台左侧导航栏中选择“节点管理”，切换至“节点”页签。 在节点列表中找到目标节点，单击“更多 > 禁止调度”。 图2 禁止调度 在弹出的对话框
集群外部访问Ingress异常 Ingress基于七层的HTTP和HTTPS协议进行转发，是集群流量的入口，可以通过域名和路径对访问做到更细粒度的划分。集群在添加Ingress后，可能会出现无法正常访问的情况，本文提供添加Ingress失败或无法正常访问的通用排查思路，帮助您找到
cluster.local:80”。 访问通道、容器端口与访问端口映射如图1所示。 图1 集群内访问 创建ClusterIP类型Service 登录CCE控制台，单击集群名称进入集群。 在左侧导航栏中选择“服务”，在右上角单击“创建服务”。 设置集群内访问参数。 Service名称：自定义服务名称，可与工作负载名称保持一致。
需要手动吊销集群访问凭证，以确保集群安全。 吊销集群访问凭证的存在两类场景： 子用户（非管理员）：支持吊销自身的集群访问凭证。 主账号或管理员用户（admin用户组用户）：支持吊销其他用户或委托账号的集群访问凭证。 吊销集群访问凭证后，该凭证的持有人将无法访问集群，且无法恢复已吊销的凭证，请谨慎操作。
调低该配置可能导致请求超时 开启过载防护 集群过载控制开关，开启后将根据控制节点的资源压力，动态调整请求限制，维护控制节点和集群的可靠性。 参数名 取值范围 默认值 是否允许修改 作用范围 support-overload false：不启用过载控制 true：启用过载控制 false 允许
转发策略配置 域名：实际访问的域名地址，不配置时可通过IP地址访问Ingress。请确保所填写的域名已注册并备案，一旦配置了域名规则后，必须使用域名访问。 路径匹配规则：支持前缀匹配、精确匹配、正则匹配，请按需选择。 路径：后端应用对外提供访问的路径，此处添加的访问路径要求后端应用内存在相同的路径，否则转发无法生效。
namespaceSelector：根据命名空间的标签选择，具有该标签的命名空间都可以访问或被访问。 podSelector：根据Pod的标签选择，具有该标签的Pod都可以访问或被访问。 ipBlock：根据地址段选择，网段内的IP地址都可以访问或被访问。 网络策略支持的集群对比 集群类型 CCE Standard集群
用户访问集群API Server的方式有哪些？ 当前CCE提供两种访问集群API Server的方式： 集群API方式：（推荐）集群API需要使用证书认证访问。直接连接集群API Server，适合大规模调用。 API网关方式：API网关采用token方式认证，需要使用账号信息获
获取集群访问的地址 功能介绍 该API用于通过集群ID获取集群访问的地址，包括PrivateIP(HA集群返回VIP)与PublicIP 集群管理的URL格式为：https://Endpoint/uri。其中uri为资源路径，也即API访问的路径。 调用方法 请参见如何调用API。
对外端口：开放在负载均衡服务地址的端口，可任意指定。 访问控制： 继承ELB已有配置：CCE不对ELB侧已有的访问控制进行修改。 允许所有IP访问：不设置访问控制。 白名单：仅所选IP地址组可以访问ELB地址。 黑名单：所选IP地址组无法访问ELB地址。 v1.25.16-r10、v1.27
只有前一个实例部署Ready或者删除完成后，有状态负载才会操作后一个实例。 并行策略：支持有状态负载并行创建或者删除所有的实例，有状态负载发生变更时立刻在实例上生效。 调度策略：通过配置亲和与反亲和规则，可实现灵活的工作负载调度，支持负载亲和与节点亲和。 负载亲和：提供常用的负载亲和策略，快速实现负载亲和部署。
Controller的工作原理如下： 用户创建Ingress资源，在Ingress中配置流量访问规则，包括负载均衡器、访问路径、SSL以及访问的后端Service端口等。 Ingress Controller监听到Ingress资源发生变化时，就会根据其中定义的流量访问规则，在ELB侧重新配置监听器以及后端服务器路由。
com/ascend-310参数指定NPU数量时，requests和limits值需要保持一致。 指定huawei.com/ascend-310后，在调度时不会将负载调度到没有NPU的节点。如果缺乏NPU资源，会报类似“0/2 nodes are available: 2 Insufficient
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
