检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
UCS服务资源权限（IAM授权） UCS服务资源权限是基于IAM系统策略的授权，UCS服务资源包括容器舰队、集群、联邦实例等等，管理员可以针对用户的角色（如开发、运维）进行差异化授权，精细控制他们对UCS资源的使用范围。 IAM通过用户组功能实现用户的授权，在给用户组授权之前，请您提前阅读用户组可以添加的
k8spspforbiddensysctls 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedSysctls：数组 forbiddenSysctls：数组 作用 约束PodSecurityPolicy中的“sysctls”字段不能使用的name
服务版本 服务版本是同一个服务不同特征的后端实例集合，通过服务路由定义的规则可以将不同流量分发到这种一定特征的后端实例上。ASM服务版本通过流量策略来定义不同版本标签的服务分组。 查看服务版本 登录UCS控制台，在左侧导航栏中单击“服务网格”。 单击服务网格名称，进入详情页。 在左侧导航栏
工作负载 无状态负载 有状态负载 守护进程集 任务和定时任务 容器组 设置容器规格 设置容器生命周期 设置容器健康检查 设置环境变量 工作负载升级配置 调度策略（亲和与反亲和） 容忍策略 父主题： 单集群管理
命名空间 集群控制台可以创建只作用于当前集群的命名空间，用于当前集群创建工作负载、创建任务等，支持对命名空间进行配额管理或删除命名空间，但所有操作只作用于当前集群。 其中默认创建default命名空间只支持管理配额不支持删除。 集群自带的命名空间，如：kube-public和kube-system
获取权限策略列表 功能介绍 获取权限策略列表 URI GET /v1/permissions/rules 表1 Query参数 参数 是否必选 参数类型 描述 limit 否 Integer 分页获取列表时，页的大小，默认为-1 offset 否 Integer 分页获取列表时，起始偏移量
网格服务 应用服务网格支持对运行在Kubernetes集群上的无状态负载（Deployment）进行流量治理和流量全方位监控，将服务加入网格后，可以实现服务的灰度发布、限流、熔断、会话保持等流量治理能力以及一站式、图形化拓扑的流量健康与性能、调用链监控。本节介绍如何为网格添加服务和删除服务
集群联邦RBAC授权 UCS集群联邦可以实现基于华为云IAM的精细化权限管理。并在联邦中创建 Kubernetes 原生 RBAC 资源，实现联邦访问权限的精细化管理。 使用须知 UCS的权限管理功能与当前联邦RBAC授权互不影响。使用UCS API时，前者生效；使用KubeConfig
服务健康 服务健康是通过对实际的访问情况进行统计来找出不健康的实例，属于被动型的健康检查。健康检查通过的实例，才会向服务端注册。 网格须开通AOM服务，否则无法查看服务健康。 操作步骤 登录UCS控制台，在左侧导航栏中单击“服务网格”。 单击服务网格名称，进入详情页。 在左侧导航栏
关联服务 关联服务呈现了当前服务与上下游服务间的关系，增强了网格的可观测性能力，提升了网格应用管理的易用性。本节介绍如何查看网格中某服务的关联服务。 网格须开通AOM服务，否则无法查看关联服务。 操作步骤 登录UCS控制台，单击左侧导航栏中的“服务网格”，进入网格列表页。 单击服务网格名称
服务与路由 服务 路由 父主题： 单集群管理
k8spspselinuxv2 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedSELinuxOptions：对象数组，包含level、role、type、user四个字符串对象 exemptImages：字符串数组 作用 约束Pod定义SELinux
k8spspflexvolumes 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedFlexVolumes：数组 作用 约束PodSecurityPolicy中的allowedFlexVolumes字段类型。 策略实例示例 以下策略实例展示了策略定义生效的资源类型
命名空间 命名空间（Namespace）是对一组资源和对象的抽象整合。在同一个集群内可创建不同的命名空间，不同命名空间中的数据彼此隔离。使得它们既可以共享同一个集群的服务，也能够互不干扰。例如可以将开发环境、测试环境的业务分别放在不同的命名空间。 命名空间按创建类型分为两大类：集群默认创建
自定义资源 自定义资源（Custom Resource Definitions, CRD）允许用户创建一个与Deployment、Service类似的定制资源对象，用户可以通过kubectl命令来创建和访问这种自定义资源，为用户提供模块化的Kubernetes扩展，详情请参考使用
为网格添加集群 企业版网格支持对多个集群进行管理，且支持服务跨集群通信。 约束与限制 目前支持v1.21、v1.23和v1.25版本的集群加入企业版网格。 为了满足高可用的要求，集群需要至少包含两个可用节点，每个节点至少保证有2U4G的可用资源。 集群的容器网段不能和网格内已有集群的容器网段冲突
k8spspreadonlyrootfilesystem 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages：字符串数组 作用 约束PodSecurityPolicy中的“readOnlyRootFilesystem”字段。 策略实例示例
k8spspallowprivilegeescalationcontainer 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages：字符串数组 作用 约束PodSecurityPolicy中的“allowPrivilegeEscalation
k8spsphostnetworkingports 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： exemptImages: 字符串数组 hostNetwork: max: 整型 min: 整型 作用 约束PodSecurityPolicy中的“
k8spsphostfilesystem 基本信息 策略类型：安全 推荐级别：L3 生效资源类型：Pod 参数： allowedHostPaths: readOnly: 布尔值 pathPrefix: 字符串 作用 约束PodSecurityPolicy中的“hostPath
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
