检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
业界安全研究人员披露runc systemd属性注入漏洞（CVE-024-3154），攻击者可将恶意的systemd属性（如：ExecStartPre、ExecStart、ExecReload）注入Pod注解中，进而在宿主机中执行任意操作。 漏洞详情 表1 漏洞信息 漏洞类型 CVE-ID
ubernetes集群、部署容器化应用，并方便地进行管理和维护。 容器化Web应用：使用CCE集群，能帮助用户快速部署Web业务应用，对接华为云中间件（如GaussDB、Redis），并支持配置高可用容灾、自动弹性伸缩、发布公网、灰度升级等。 中间件部署平台：CCE集群可以作为中
镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。 操作步骤 以root用户登录到安装有Docker的服务器上。 进入apptest目录。 cd apptest 此处必须确保制作镜像的文件均在同个目录下。 构建镜像。 docker build -t
本文主要为您介绍网络管理相关实践。 场景分类 相关最佳实践 集群网络配置相关实践 集群网络地址段规划实践 集群网络模型选择及各模型区别 CCE Turbo配置容器网卡动态预热 在VPC网络集群中访问集群外地址时使用Pod IP作为客户端源IP 网络环境打通相关实践 使用VPC和云专线实现容器与IDC之间的网络通信
ICAgent监控 华为云AOM云服务提供了基于主机的ICAgent的组件，用于采集指标、日志和应用性能数据。对于在ECS、BMS控制台直接购买的主机，您需手动安装ICAgent。对于集群节点，ICAgent会自动安装，您不用手动安装ICAgent。详情请参见安装ICAgent（华为云主机）。
（Custom Resource，CR）来满足业务需求。 CRD允许用户创建新的资源类别的同时又不必添加新的Kubernetes API服务器，从而有效提高集群管理的灵活性。 创建CRD 登录CCE控制台。 单击集群名称进入集群，在左侧选择“自定义资源”，在右上角单击“YAML创建”。
攻击整集群。 华为云CCE容器服务： CCE容器服务创建的Kubernetes集群属于单租户专属，不存在跨租户共享，影响范围较小，对于多用户场景需要关注。 当前CCE采用华为优化的Docker容器，其中RUNC采用静态编译，目前公开披露的攻击方法无法成功入侵。 华为云CCI容器实例服务：
集群：控制节点资源费用，按照每个集群的类型（虚拟机或裸金属、控制节点数）、集群规模（最大支持的节点数）的差异收取不同的费用。 控制节点资源的价格目录请参见：云容器引擎价格目录。 其他云服务资源：集群所使用的IaaS基础设施费用，包括集群创建使用过程中自动创建或手动加入的相关资源，如云服务器、云硬盘、弹性IP
024-47176、CVE-2024-47177） 漏洞公告 2024/10/11 6 华为云容器服务CCE Autopilot数据面账单变更公告 产品变更公告 2024/09/14 7 华为云容器服务CCE Autopilot于2024年9月30日00:00（北京时间）转商 产品变更公告
时，才会触发预热容器网卡的解绑回收。只支持数值配置。 调大此值会减慢空闲容器网卡的回收，加快Pod的启动速度，但会降低IP地址的利用率，特别是在IP地址紧张的场景，请谨慎调大。 调小此值会加快空闲容器网卡的回收，提高IP地址的利用率，但在瞬时大量Pod激增的场景，部分Pod启动会稍微变慢。 默认：2 建议配置为大
络，避免后续业务扩容受限。 网络规划 集群所在子网或容器网段较小，将可能导致集群实际支持的可用节点数少于业务所需容量。 网络规划 集群网络地址段规划实践 如何设置CCE集群中的VPC网段和子网网段？ 创建集群前，提前梳理云专线、对等连接、容器网段、服务网段和子网网段等相关网段的规划，避免出现网段冲突影响业务。
Controller，Ingress Controller根据Ingress的路由规则，查找到对应的Service，进而通过Endpoint查询到Pod的IP地址，然后将请求转发给Pod。 图2 Ingress工作机制 创建Ingress 下面例子中，使用http协议，关联的后端Service为“n
创建节点时使用OBS桶实现自定义脚本注入 选择合适的节点数据盘大小 节点日常管理实践 存储扩容 通过Core Dump文件定位容器问题 容器与节点时区同步 将节点容器引擎从Docker迁移到Containerd 节点安全实践 CCE节点安全配置建议 父主题： 节点
复制报错信息中的资源ID，进入到VPC服务的安全组界面，根据ID过滤安全组。 单击进入安全组详情界面，选择关联实例页签。 查询该安全组关联的其他资源，例如服务器、弹性网卡实例、辅助弹性网卡实例等。您可以将残留的资源（辅助弹性网卡会自动删除）删除。 以删除残留的弹性网卡为例，您需要前往弹性网卡界面将上一步查询到的网卡删除。
支持 支持 支持 Ingress带宽限制 支持 支持 支持 带宽限制不支持的场景 无 无 Pod访问100.125.0.0/16等云服务网段地址 Pod健康检查 带宽限制取值范围 仅支持单位M或G的限速配置，如100M，1G；最小取值1M，最大取值4.29G。 Pod带宽限制仅支持
创建节点时使用OBS桶实现自定义脚本注入 选择合适的节点数据盘大小 节点池日常管理实践 存储扩容 通过Core Dump文件定位容器问题 容器与节点时区同步 将节点容器引擎从Docker迁移到Containerd CCE节点安全配置建议 节点池弹性伸缩实践 使用HPA+CA实现工作负载和节点联动弹性伸缩
prometheus prometheus: server type: LoadBalancer 创建完成后在浏览器访问“负载均衡公网IP地址:服务端口”，访问Prometheus。 图1 访问Prometheus 单击“Status > Targets”，可以查看到Prometheus监控了哪些目标。
数据源端，接收数据的第三方Prometheus实例作为目的端。 步骤一：获取数据上报地址 Prometheus提供了Remote Write标准接口，您可以在CCE云原生监控插件中填写数据上报地址（Remote Write URL），将本地采集到的监控数据远程存储到Prometheus中。
您可以通过“日志”功能查看无状态工作负载、有状态工作负载、守护进程集、普通任务的日志信息。本文以无状态工作负载为例说明如何查看日志。 查看日志前请将浏览器与后端服务器时间调成一致。 登录CCE控制台，进入一个已有的集群，在左侧导航栏中选择“工作负载”。 选择“无状态负载”页签，单击工作负载后的“日志”。
集群密钥信息的风险 。 华为云CCE提供的Dashboard插件已将对应镜像升级到v1.10.1版本，不受Kubernetes Dashboard漏洞CVE-2018-18264影响。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 华为云修复时间 Access
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
