正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
更新Service和Pod对象权限的潜在攻击者,能够劫持集群内来自其他Pod或者节点的流量。潜在攻击者通过设置Service对象的spec.externalIPs字段,能够劫持集群内其他Pod或者节点访问该externalIP(如某公网知名IP)的流量,并将其转发到攻击者创建的恶
开启集群过载控制 操作场景 过载控制开启后,将根据控制节点的资源压力,动态调整系统外LIST请求的并发限制,维护控制节点和集群的可靠性。 约束与限制 集群版本需为v1.23及以上。 开启集群过载控制 方式一:创建集群时开启 创建v1.23及以上集群时,可在创建集群过程中,开启过载控制选项。
CVE-2020-13401漏洞源于IPv6动态分配除提供了IPv6的DHCP技术外,还支持Router Advertisement技术。路由器会定期向节点通告网络状态,包括路由记录。客户端会通过NDP进行自身网络配置。本文介绍该漏洞的影响。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间
由于kube-apiserver中在升级请求的代理后端中允许将请求传播回源客户端,攻击者可以通过截取某些发送至节点kubelet的升级请求,通过请求中原有的访问凭据转发请求至其他目标节点,从而造成被攻击节点的权限提升漏洞。该漏洞为中危漏洞,CVSS评分为6.4。 如果有多个集群共享使用了相同的CA
仪表盘 使用仪表盘 集群视图 APIServer视图 Pod视图 主机视图 Node视图 节点池视图 GPU视图 XGPU视图 CoreDNS视图 PVC视图 Kubelet视图 Prometheus Server视图 Prometheus Agent视图 父主题: 监控中心
工作负载参数配置实践 容器网络带宽限制的配置建议 使用hostAliases参数配置Pod的/etc/hosts文件 容器与节点时区同步 在CCE Turbo集群中配置Pod延时启动参数 工作负载安全实践 在CCE集群中使用容器的安全配置建议 在CCE集群中使用密钥Secret的安全配置建议
0~v1.17.6 kube-proxy <v1.16.10 CCE集群控制面已经通过安全组进行防护,只允许从租户节点或者相邻节点访问安全端口,默认安全。 集群node节点上系统组件监听在127.0.0.1的端口只涉及健康检查、监控信息查询等请求,不会有信息泄露风险。 综上,该CVE对CCE集群影响不大。
默认值。详情请参考创建节点。 节点规格:选择一个4核16GiB的规格。 操作系统:Huawei Cloud EulerOS 2.0。 弹性公网IP:选择“自动创建”,为节点绑定一个EIP,可用于公网镜像拉取等操作。 确认规格后创建该节点。本实践中,1个节点即可满足基本诉求。 创建生产集群
---------------+ 预期输出表明,该容器被分配显存总量为5120 MiB,实际使用了4912MiB。 查看所在节点的GPU显存隔离情况(在节点上执行)。 nvidia-smi 预期输出: Wed Apr 12 09:31:10 2023 +-----
当容器申请的资源较大时,一个小规格节点上无法运行多个容器,节点剩余资源就无法利用,存在资源浪费的情况。 使用大规格节点的优势: 网络带宽上限较大,对于大带宽类的应用,资源利用率高。 多个容器可以运行在同一节点,容器间通信延迟低,减少网络传输。 拉取镜像的效率更高。因为镜像只需要拉取一次就可以被节点上的多个
114.114.114,该域名无法解析租户区域名。 根因分析 CCE会将用户的子网DNS信息配置到node节点上,coredns插件中也是使用该配置信息,因此会导致用户在节点容器内解析域名会偶发失败的状况。 解决方案 建议您通过修改coredns插件的存根域更新用户集群子网DNS
Pod列表中包含Pod名称、状态、命名空间、Pod IP、所在节点、重启次数、CPU申请/限制、内存申请/限制、CPU使用率,以及内存使用率等信息。 图1 Pod列表 您可以利用列表上方的命名空间,以及搜索栏中的Pod名称、状态、Pod IP和所在节点进行筛选,快速定位所需的Pod。 您也可以单击
Standard/CCE Turbo 容器业务端口 业务容器中启用的端口 参数名 取值范围 默认值 是否允许修改 作用范围 targetPort 无 无 允许 CCE Standard/CCE Turbo 配置建议: 建议配置业务容器中实际启用的端口 节点端口 节点上监听的nodeport端口
Standard/CCE Turbo 配置建议: 请确保该端口在Pod所在节点已被监听,否则会影响健康检查结果。 健康检查初始等待时间 开始健康检查的初始等待时间(秒) 参数名 取值范围 默认值 是否允许修改 作用范围 delay 1-50 5 允许 CCE Standard/CCE Turbo 健康检查的超时时间
集群控制节点安全组规则。 登录CCE控制台,单击集群名称进入集群,在总览页面找到“集群ID”并复制。 登录VPC控制台,在左侧导航栏中选择“访问控制 > 安全组”。 在筛选栏中,选择筛选条件为“描述”,并粘贴集群ID进行筛选。 筛选结果中将会包含多个安全组,找到控制节点的安全组(
计费开始时间 初始计费模式 初始规格配置 数量 集群 2023/03/18 15:30:00 按需计费 区域:上海一 集群规模:50节点 高可用:是 1 节点(弹性云服务器 ECS) 2023/03/18 15:40:00 按需计费 区域:上海一 规格:c7.large.2(2vCPUs,4GiB)
65535之间的整数值。在内部工作负载互访时,将通过“Cluster IP:访问端口”来访问。 节点访问(通过节点私有IP) 可以通过“节点IP:节点端口”的形式访问工作负载。若该节点绑定了弹性IP,则外网就可以访问该工作负载。 容器端口:指容器中工作负载启动监听的端口。端口根据
创建不同可用区的节点。 重复以下步骤,选择创建不同可用区的节点。您也可以通过创建多个节点池,节点池中关联不同的可用区规格,扩容不同节点池的实例数来为集群创建不同AZ的节点。 在集群控制台左侧导航栏中选择“节点管理”,切换至“节点”页签并单击右上角的“创建节点”。 在节点配置步骤中,选择节点可用区。
为什么容器无法连接互联网? 当容器无法连接互联网时,首先需要排查容器所在节点能否连接互联网。其次,需要查看容器的网络配置是否正确,例如DNS配置是否可以正常解析域名。 排查项一:节点能否连接互联网 登录ECS控制台。 查看节点对应的弹性云服务器是否已绑定弹性IP或者配置NAT网关。 如图1
检查到本次升级涉及GPU插件,可能影响新建GPU节点时GPU驱动的安装。 解决方案 由于当前GPU插件的驱动配置由您自行配置,需要您验证两者的兼容性。建议您在测试环境验证安装升级目标版本的GPU插件,并配置当前GPU驱动后,测试创建节点是否正常使用。 您可以执行以下步骤确认GPU插件的升级目标版本与当前驱动配置。