检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
群自动创建的默认安全组规则放通指定端口，以保证集群中的正常网络通信。 不同网络模型的默认安全组规则如下： VPC网络模型安全组规则 容器隧道网络模型安全组规则 云原生网络2.0（CCE Turbo集群）安全组规则 安全组规则的修改和删除可能会影响集群的正常运行，请谨慎操作。如需修
安全 安全配置概述 CCE集群安全配置建议 CCE节点安全配置建议 CCE容器运行时的安全配置建议 在CCE集群中使用容器的安全配置建议 在CCE集群中使用镜像服务的安全配置建议 在CCE集群中使用密钥Secret的安全配置建议 在CCE集群中使用工作负载Identity的安全配置建议
DNS域名解析插件，单击“安装”。 在安装插件页面，根据需求选择“规格配置”。 选择“系统预置规格”时，您可根据并发域名解析能力选择“小规格”、“中规格”或“大规格”，系统会根据不同的预置规格配置插件的实例数及资源配额，具体配置值请以控制台显示为准。 “小规格”的外部域名解析能力
域名DNS CCE集群内域名解析失败，如何定位处理？ 为什么CCE集群的容器无法通过DNS解析？ 为什么修改子网DNS配置后，无法解析租户区域名？ 解析外部域名很慢或超时，如何优化配置？ 如何设置容器内的DNS策略？
为什么修改子网DNS配置后，无法解析租户区域名？ 问题描述 用户集群子网DNS配置，增加了DNS服务器配置，如114.114.114.114，该域名无法解析租户区域名。 根因分析 CCE会将用户的子网DNS信息配置到node节点上，coredns插件中也是使用该配置信息，因此会导致用户在节点容器内解析域名会偶发失败的状况。
eDNS所能提供的域名解析QPS。 您也可以选择自定义规格，通过选择不同的副本数、CPU配额和内存配额，来定制集群的CoreDNS参数规格。 单击“确定”，完成配置下发。 排查项三：解析外部域名很慢或超时 如果域名解析失败率低于1/10000，请参考解析外部域名很慢或超时，如何优
安全加固 集群节点如何不暴露到公网？ 如何配置集群的访问策略 如何获取TLS密钥证书？ 如何批量修改集群node节点安全组？ 父主题： 网络管理
华为云域名解析服务器。 CCE集群访问IDC上部署的内容审核服务时，需要使用IDC内部域名服务器。 这就需要在CCE集群上既能使用华为云域名解析服务器，也能够使用IDC内部域名服务器。如果将CCE节点上域名解析服务器指向IDC的域名解析服务器，那会导致无法解析华为云的域名；如果修
以上参数可以根据业务需要进行优化或修改。 场景一：解析外部域名慢 优化方案： 如果此工作负载不需要访问集群内的k8s服务，可以参考如何设置容器内的DNS策略？。 如果此工作服务访问其他的k8s服务时，使用的域名中“.”的个数小于2，可以将ndots参数设置为2。 场景二：解析外部域名超时 优化方案： 通常业务内的超时时间要大于timeout
nameserver：域名解析服务器。 search：域名的查找后缀规则，查找配置越多，说明域名解析查找匹配次数越多，这里匹配有3个后缀，则查找规则至少6次，因为IPv4，IPv6都要匹配一次。 options：域名解析选项，多个KV值；其中典型的有ndots ，访问的域名字符串内的点字
安全运行时与普通运行时 相比于普通运行时，安全运行时可以让您的每个容器（准确地说是Pod）都运行在一个单独的微型虚拟机中，拥有独立的操作系统内核，以及虚拟化层的安全隔离。通过使用安全运行时，不同容器之间的内核、计算资源、网络都是隔离开的，保护了Pod的资源和数据不被其他Pod抢占和窃取。
某客户在DNS服务中做内网解析，将自有的域名绑定到DNS服务中的内网域名中，并绑定到特定的VPC中，发现本VPC内的节点（ECS）可以正常解析内网域名的记录，而VPC内的容器则无法解析。 适用场景 VPC内的容器无法进行正常DNS解析的情况。 解决方案 由于本案例涉及的是内网域名解析，按照内网域名解析的规则，
解决方案 使用CoreDNS有以下几种自定义域名解析的方案。 为CoreDNS配置存根域：为特定域名指定域名解析服务器，可以直接在控制台添加，简单易操作。 使用 CoreDNS Hosts 插件配置任意域名解析：为特定域名配置本地解析记录，简单直观，可以添加任意解析记录，类似
Pod安全配置 PodSecurityPolicy配置 Pod Security Admission配置 父主题： 工作负载
监控安全风险 结合应用运维管理AOM服务，CCE提供基于Kubernetes原生类型的容器监控能力，可实时监控应用及资源，采集各项指标及事件等数据以分析应用健康状态，提供全面、清晰、多维度数据可视化能力。此外，您还可以根据自己的需求，采集和监控工作负载的自定义指标，实现个性化的监控策略。
CCE集群安全配置建议 从安全的角度，建议您对集群做如下配置。 使用最新版本的CCE集群 Kubernetes社区一般4个月左右发布一个大版本，CCE的版本发布频率跟随社区版本发布节奏，在社区发布Kubernetes版本后3个月左右同步发布新的CCE版本，例如Kubernetes
加固VPC安全组规则 CCE作为通用的容器平台，安全组规则的设置适用于通用场景。用户可根据安全需求，通过网络控制台的安全组找到CCE集群对应的安全组规则进行安全加固。 详情请参见如何加固CCE集群的自动创建的安全组规则？ 节点应按需进行加固 CCE服务的集群节点操作系统配置与开源
安全 责任共担 数据保护技术 审计与日志 监控安全风险 认证证书
安全配置概述 基于安全责任共担模式，CCE服务确保集群内master节点和CCE自身组件的安全，并在集群、容器级别提供一系列的层次化的安全能力，而用户则负责集群Node节点的安全并遵循CCE服务提供的安全最佳实践，做好安全配置和运维。 CCE服务的应用场景 云容器引擎是基于业界主
SAN实现。域名访问场景的典型使用方式如下： 客户端配置Host域名指定DNS域名地址，或者客户端主机配置/etc/hosts，添加域名映射。 云上内网使用，云解析服务DNS支持配置集群弹性IP与自定义域名的映射关系。后续更新弹性IP可以继续使用双向认证+自定义域名访问集群，无需重新下载kubeconfig
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
