检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
见KEP-2185和issues 96748。 BoundServiceAccountTokenVolume特性已稳定，该特性能够提升服务账号（ServiceAccount）Token的安全性，改变了Pod挂载Token的方式，Kubernetes 1.21及以上版本的集群中会默认开启。
的无状态负载（Deployment）、有状态负载（StatefulSet）、普通任务（Job）三种资源类型的容器实例（Pod），弹性创建到华为云云容器实例CCI服务上，以减少集群扩容带来的消耗。详情请参见virtual kubelet。 字段说明 表1 参数描述 参数 是否必选 参数类型
AuthZ插件，进而导致未授权操作和权限提升。未使用AuthZ插件或运行旧版Docker Engine的用户不易受到影响。 当前CCE采用华为优化的Docker容器，未启用Docker的AuthZ插件，因此不会触发该漏洞。 判断方法 您可以在节点上执行命令查看Docker使用的插件。
设置性能管理配置 操作场景 应用性能管理服务（APM）当前支持给JAVA类工作负载提供调用链、拓扑等监控能力。您可为JAVA类工作负载安装APM探针，以提供更精准的问题分析与定位，协助您高效解决应用难题。 工作负载创建时和创建后，均可以对JAVA类工作负载监控进行设置。 如果您已
管理命名空间 使用命名空间 创建工作负载时，您可以选择对应的命名空间，实现资源或租户的隔离。 查询工作负载时，选择对应的命名空间，查看对应命名空间下的所有工作负载。 命名空间使用实践 按照不同环境划分命名空间 一般情况下，工作负载发布会经历开发环境、联调环境、测试环境，最后到生产
计费FAQ 云容器引擎CCE如何定价/收费？ CCE集群的计费方式如何由按需改为包年包月？ CCE创建的节点是否支持按需转包周期？ 华为云支持哪几种开具发票模式？ CCE是否支持余额不足提醒？ CCE是否支持账户余额变动提醒？ 包周期的CCE集群到期可以直接删除吗？ 如何退订我的云容器引擎？
网络管理最佳实践 本文主要为您介绍网络管理相关实践。 场景分类 相关最佳实践 集群网络配置相关实践 集群网络地址段规划实践 集群网络模型选择及各模型区别 CCE Turbo配置容器网卡动态预热 保留Pod IP非伪装网段最佳实践 网络环境打通相关实践 使用VPC和云专线实现容器与IDC之间的网络通信
存储管理最佳实践 本文主要为您介绍存储管理相关实践。 场景分类 相关最佳实践 存储扩容实践 存储扩容 存储配置实践 挂载第三方租户的对象存储 通过StorageClass动态创建SFS Turbo子目录 自定义StorageClass 使用延迟绑定的云硬盘（csi-disk-topology）实现跨AZ调度
管理节点标签 节点标签可以给节点打上不同的标签，给节点定义不同的属性，通过这些标签可以快速的了解各个节点的特点。 节点标签使用场景 节点标签的主要使用场景有两类。 节点管理：通过节点标签管理节点，给节点分类。 工作负载与节点的亲和与反亲和：通过为节点添加标签，您可以使用节点亲和性
审计与日志 审计 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，系统将开始记录CCE资
集群管理最佳实践 本文将为您介绍与集群相关的最佳实践，包括集群规划、创建、管理和维护等方面，帮助您优化集群的性能、提高可靠性和安全性，从而更好地满足业务需求。 场景分类 相关最佳实践 创建集群实践 CCE集群选型建议 集群网络地址段规划实践 集群网络模型选择及各模型区别 通过CCE搭建IPv4/IPv6双栈集群
优化Nginx Ingress性能 Nginx Ingress Controller性能调优主要分为系统参数调优和Nginx参数调优： 系统参数调优：华为云上的操作系统已经默认优化了一些常见参数，其他还需要调优的系统参数主要包括连接队列的大小、源端口的范围。系统参数调优后可以保证Nginx处
工作负载网络异常时，如何定位排查？ 排查思路 以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低频率原因排查，从而帮助您快速找到问题的原因。 如果解决完某个可能原因仍未解决问题，请继续排查其他可能原因。 排查项一：容器+容器端口 排查项二：节点IP+节点端口 排查项三：负载均衡IP+端口
描述 project_id 是 String 参数解释： 项目ID，获取方式请参见如何获取接口URI中参数。 约束限制： 不涉及 取值范围： 账号的项目ID 默认取值： 不涉及 cluster_id 是 String 参数解释： 集群ID，获取方式请参见如何获取接口URI中参数。 约束限制：
描述 project_id 是 String 参数解释： 项目ID，获取方式请参见如何获取接口URI中参数。 约束限制： 不涉及 取值范围： 账号的项目ID 默认取值： 不涉及 请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 是 String
云容器引擎CCE服务已通过等保三级认证，您可以在创建节点时进行安全加固，详情请参见如何进行安全加固。 但在您使用集群前，还需要充分理解云容器引擎的安全责任边界，华为云无法限制您在服务托管范围外的行为，您需要为这部分的行为承担安全责任。详情请参见责任共担。 如何进行安全加固 登录CCE控制台。 在左侧导
最大分段大小（MSS）和TCP选择性确认（SACK）功能相关，攻击者可远程发送特殊构造的攻击包造成拒绝服务攻击，导致服务器不可用或崩溃。 华为云CCE团队已经紧急修复Linux内核SACK漏洞，并已发布解决方案。 参考链接： https://www.suse.com/support/kb/doc/
网络配置 网络配置支持为您的集群配置节点默认安全组，扩展容器网段等。 集群网络配置 表1 集群网络配置参数说明 参数名称 参数说明 虚拟私有云 显示集群所在虚拟私有云。 虚拟私有云（Virtual Private Cloud，简称VPC）可以为云服务器、云容器、云数据库等资源构建
调度配置 为您提供kube-scheduler基础配置信息，并提供Volcano作为容器调度器的高级调度能力配置，您可以在此开启装箱策略、基于优先级的调度与抢占、AI任务性能增强、异构资源管理等高级调度能力，提升集群资源利用率，为您节约成本。 设置集群默认调度器 默认调度器 (default-scheduler)
不同集群间共享使用了相同的集群CA和认证凭据。 漏洞修复方案 对于集群内跨节点的攻击，建议您采取以下安全防范措施： 请妥善保管认证凭据。 授权子账号遵循权限最小化原则，通过设置RBAC权限，限制不必要的pods/exec、pods/attach、pods/portforward和proxy类型的资源访问。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
