检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
集群默认的Node节点安全组ID。 约束限制： 不涉及 取值范围： 不涉及 默认取值： 不指定该字段系统将自动为用户创建默认Node节点安全组。 指定该字段时集群将绑定指定的安全组。 说明： 指定Node节点安全组需要放通部分端口来保证正常通信。详细设置请参考集群安全组规则配置。 co
存储扩容 通过Core Dump文件定位容器问题 容器与节点时区同步 将节点容器引擎从Docker迁移到Containerd 节点安全实践 CCE节点安全配置建议 父主题： 节点
BoundServiceAccountTokenVolume特性进入Beta，该特性能够提升服务账号（ServiceAccount）Token的安全性，改变了Pod挂载Token的方式，Kubernetes 1.21及以上版本的集群中会默认开启。 社区1.20 ReleaseNotes
BoundServiceAccountTokenVolume特性进入Beta，该特性能够提升服务账号（ServiceAccount）Token的安全性，改变了Pod挂载Token的方式，Kubernetes 1.21及以上版本的集群中会默认开启。 社区1.20 ReleaseNotes
4 CCE集成华为云容器安全服务（CGS） CCE集成华为云容器安全服务（CGS），容器安全服务能够扫描镜像中的漏洞与配置信息，帮助企业解决传统安全软件无法感知容器环境的问题；同时提供容器进程白名单、文件只读保护和容器逃逸检测功能，有效防止容器运行时安全风险事件的发生。 商用 5
其他Pod到coredns的Pod网络是否正常，其他Pod到coredns的服务是否网络正常，如网络不正常： 安全组是否正常 ACL是否正常 是否跨节点Pod网络是否正常，如果跨节点Pod网络不通则需要确认以下问题是否存在： 修改了节点内核 安全组和ACL策略未放通 VPC路由表是否正常 节点上的iptables规则是否正常
ValidatingAdmissionPolicy类型检查现在可以正确处理CEL表达式中的“authorizer”变量。 ValidatingAdmissionPolicy支持对messageExpression字段进行类型检查。 kube-controller-manager组件
ValidatingAdmissionPolicy类型检查现在可以正确处理CEL表达式中的“authorizer”变量。 ValidatingAdmissionPolicy支持对messageExpression字段进行类型检查。 kube-controller-manager组件
节点IP 支持随机分配。 关联安全组 指定节点池创建出来的节点使用哪个安全组。最多选择5个安全组。 创建集群时会默认创建一个节点安全组，名称为{集群名}-cce-node-{随机ID}，默认会使用该安全组。 节点安全组需要放通一些端口以保障节点通信，如选择其他安全组，需要放通这些端口，具体请参见集群安全组说明。
网”创建。创建后子网不可修改。 节点默认安全组 您可选择使用CCE自动生成的安全组，或选择已有安全组作为节点默认安全组。 须知： 节点默认安全组必须放通指定端口来保证集群内部正常通信，否则将无法成功创建节点，安全组端口配置说明请参考集群安全组规则配置。 启用IPv6 开启后将支持
service-node-port-range NodePort端口范围，修改后需前往安全组页面同步修改节点安全组30000-32767的TCP/UDP端口范围，否则除默认端口外的其他端口将无法被外部访问。 端口号小于20106会和CCE组件的健康检查端口冲突，引发集群不可用；端口号高于32767会和net.ipv4
创建节点访问类型Service 图2 节点端口位置 检查该服务是否能正常访问。单击“节点管理”，单击“节点”，选择任一节点，复制对应的弹性公网IP。 在浏览器中输入“节点弹性公网IP地址：节点访问端口”，出现Flink的Dashboard页面则说明访问成功。若访问不成功，请检查集群安全组入站规则中是否已将该节点访问端口的源地址设置为“0
Volume）挂载到Pod中。使用这种方法获得的Token具有固定的生命周期，并且当挂载的Pod被删除时这些Token将自动失效。详情请参见Token安全性提升说明。 如果您在业务中需要一个永不过期的Token，您也可以选择手动管理ServiceAccount的Secret。尽管存在手动创建永久ServiceAccount
18.5 kubelet v1.17.0~v1.17.8 kubelet<v1.16.13 漏洞修复方案 建议您采取以下安全防范措施： 通过设置集群Pod安全策略或admission准入机制强制Pod删除CAP_DAC_OVERRIDE系统权限： securityContext:
Service，简称LTS），用于收集来自主机和云服务的日志数据，通过海量日志数据的分析与处理，可以将云服务和应用程序的可用性和性能最大化，为您提供实时、高效、安全的日志处理能力，帮助您快速高效地进行实时决策分析、设备运维管理、用户业务趋势分析等。 云原生观测 CCE云原生观测相关的功能包括健康中心、
rics组件不采集Kubernetes资源的所有的labels和annotation。如需采集，您需要手动在启动参数中开启采集开关，并同时检查名称为kube-state-metrics的ServiceMonitor中采集白名单是否添加相应指标，详情请参见采集Pod所有labels和annotations。
Turbo 此配置是Nodeport类型的service可分配端口范围 配置建议： 30000-32767 端口号小于20106会和CCE组件的健康检查端口冲突，引发集群不可用 端口号高于32767会和net.ipv4.ip_local_port_range范围冲突，影响性能 父主题： 集群
如集群间容器或节点存在相互访问，则两侧集群的安全组在入方向上均需按以下规则放通对应网段： 请求端集群为VPC网络模型时，目的端集群的节点安全组需放通请求端集群的VPC网段（包含节点子网）和容器网段。 请求端集群为容器隧道网络模型时，目的端集群的节点安全组需放通请求端集群的VPC网段（包含节点子网）。
网络管理 网络异常问题排查 网络规划 安全加固 网络指导
插件 插件概述 容器调度与弹性插件 云原生可观测性插件 云原生异构计算插件 容器网络插件 容器存储插件 容器安全插件 其他插件
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
