检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
orter暴露的指标，通过Prometheus RemoteWrite的方式，将数据写入至AOM实例。 监控中心将基于AOM实例中存储的指标，提供多维度数据洞察、仪表盘的功能。 云原生监控插件也提供了基于RemoteWrite对接三方云原生监控平台的能力，将集群内的监控指标通过Bearer
CCE容器网络扩展指标 插件介绍 CCE容器网络扩展指标插件（dolphin）是一款容器网络流量监控管理插件，支持CCE Turbo集群非主机网络容器的流量统计，以及节点内容器联通性健康检查。 字段说明 表1 参数描述 参数 是否必选 参数类型 描述 basic 否 object
v3创建。若环境存在同名资源且无helm v3的归属标记“app.kubernetes.io/managed-by: Helm”时，则会提示资源冲突。 解决方案 删除相关报错资源，重新通过helm创建。 查看报错内容，确认产生冲突的资源。请您关注“Unable to continue
子路径 请输入存储卷的子路径，将存储卷中的某个路径挂载至容器，可以实现在单一Pod中使用同一个存储卷的不同文件夹。如：tmp，表示容器中挂载路径下的数据会存储在存储卷的tmp文件夹中。不填写时默认为根路径。 权限 只读：只能读容器路径中的数据卷。 读写：可修改容器路径中的数据卷，容器迁
23 修复重复挂盘偶现挂载后读写失败的问题 1.3.17 v1.19 v1.21 v1.23 调整everest-csi-driver滚动更新的最大不可用数：从10更新到10% 自定义规格支持Pod反亲和 统计节点上可由csi插件管理的scsi卷个数的上限 支持Driver自定义资源规格部署
API API URL说明 集群管理 节点管理 节点池管理 存储管理 插件管理 集群升级 配额管理 API版本信息 标签管理 配置管理 模板管理 插件实例字段说明
亲和策略的节点，否则插件实例将无法运行。 容忍策略 容忍策略与节点的污点能力配合使用，允许（不强制）插件的 Deployment 实例调度到带有与之匹配的污点的节点上，也可用于控制插件的 Deployment 实例所在的节点被标记污点后插件的 Deployment 实例的驱逐策略。
h设置为0的API请求绕过权限检查，导致Docker守护进程将没有正文的请求转发到AuthZ插件，进而导致未授权操作和权限提升。未使用AuthZ插件或运行旧版Docker Engine的用户不易受到影响。 当前CCE采用华为优化的Docker容器，未启用Docker的AuthZ插件，因此不会触发该漏洞。
Linux系统内核在3.15-6.8中的netfilter: nf_tables组件存在释放后重利用漏洞，nft_verdict_init() 函数允许在钩子判定中使用正值作为丢弃错误，当 NF_DROP 发出类似于 NF_ACCEPT 的丢弃错误时，nf_hook_slow()
健康中心概述 集群健康诊断用于诊断集群的健康状态，该功能集合了容器运维专家的经验，为您提供了集群级别的健康诊断最佳实践。可对集群健康状况进行全面检查，帮助您及时发现集群故障与潜在风险，并给出应对的修复建议供您参考。 健康诊断覆盖范围 健康诊断覆盖范围如下图所示： 图1 健康诊断覆盖范围
Volume的生命周期与挂载它的Pod相同，但是Volume里面的文件可能在Volume消失后仍然存在，这取决于Volume的类型。 Volume的类型 Kubernetes的Volume有非常多的类型，在实际使用中使用最多的类型如下。 emptyDir：一种简单的空目录，主要用于临时存储。
最新公告 以下为CCE发布的最新公告，请您关注。 序号 公告标题 公告类型 发布时间 1 Kubernetes安全漏洞公告（CVE-2024-10220） 漏洞公告 2024/12/04 2 Kubernetes安全漏洞公告（CVE-2024-9486，CVE-2024-9594）
13.6 v1.15.11 v1.17 修复僵尸进程未被回收的问题 0.7.1 1.13.5 v1.15.11 v1.17 增加污点容忍配置 0.7.1 1.13.2 v1.15.11 v1.17 增加资源限制，增强cni插件的检测能力 0.7.1 父主题： 插件版本发布记录
默认情况下，Pod仅支持使用同一个区域（Region）的OBS桶。CCE支持工作负载使用其他区域的OBS桶，在某些场景下有利于提升OBS桶的资源利用率，但跨区域使用OBS相比同区域访问时延波动要更大。 约束与限制 CCE容器存储（Everest）版本要求1.2.42及以上版本。 挂载存储的节点必须能够访问OBS
Polkit（PolicyKit）是一个用于在类Unix操作系统中控制系统范围权限的组件。pkexec是Plokit框架中的一部分，执行具有提升权限的命令，是sudo的替代方案。请使用Polkit的用户及时安排自检并做好安全加固。 参考链接：https://www.qualys.
检查项内容 检查CCE使用的目录/var/paas内文件的属主和属组是否都为paas。 解决方案 问题场景一： 错误信息为“xx file permission has been changed!”。 解决方案： CCE使用/var/paas目录进行基本的节点管理活动并存储属主和属组均为paas的文件数据。
Kubernetes社区近日公布了一个安全漏洞（CVE-2024-10220），该漏洞使得具有创建Pod权限的攻击者能够通过部署配置了gitRepo卷的Pod来执行容器外的任意命令。攻击者可以利用目标Git仓库中的钩子（hooks）目录，实现容器逃逸并执行攻击命令。 漏洞详情 表1 漏洞信息 漏洞类型
权限 能否只配置命名空间权限，不配置集群管理权限？ 如果不配置集群管理权限的情况下，是否可以使用API呢？ 如果不配置集群管理权限，是否可以使用kubectl命令呢？ IAM用户无法使用调用API
量key2的值，导入后容器中将会存在一个名为key2的环境变量，其值为secret_value。 变量/变量引用：用Pod定义的字段作为环境变量的值。例如图1中将此Pod的名称导入为环境变量key3的值，导入后容器中将会存在一个名为key3的环境变量，其值为该Pod的名称。 资源
CPU调度 CPU管理策略 增强型CPU管理策略 父主题： 调度
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
