检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
容器隧道网络在节点网络基础上通过隧道封装网络数据包。当从容器访问同一VPC下的其他资源时，节点访问权限的有效性决定了容器访问的通畅性。因此，如果出现访问不通的情况，需要检查与确认被访问服务的安全组配置是否允许容器所在节点的访问。 VPC网络 在VPC网络中，使用VPC路由功能来转发容器的流量。容器网段与节点所
遇到跨域资源共享问题，需要配置CORS允许跨域访问。 第三方服务集成：网站可能需要调用第三方服务（例如地图服务、社交平台登录等）的API接口，则需要配置CORS允许跨域访问。 使用内容分发网络CDN：静态资源可能通过CDN提供，而CDN域名与主站域名不同，需要使用跨域访问来加载这些资源。
与服务Pod同节点 无法访问 无法访问 无法访问 无法访问 与服务Pod不同节点 无法访问 无法访问 无法访问 无法访问 与服务Pod同节点的其他容器 无法访问 无法访问 无法访问 无法访问 与服务Pod不同节点的其他容器 无法访问 无法访问 无法访问 无法访问 NGINX Ingr
NPD插件版本过低导致进程资源残留问题 问题描述 在节点负载压力比较大的场景下，可能存在NPD进程资源残留的问题。 问题现象 登录到CCE集群的ECS节点，查询存在大量npd进程。 解决方案 升级CCE节点故障检测（简称NPD）插件至最新版本。 登录CCE控制台，进入集群，在左侧
在左侧列表单击“对等连接”，在新页面右上角区域，单击“创建对等连接”。 根据界面提示设置对等连接参数，相关参数说明请参见表3。 图1 创建对等连接 表3 创建对等连接参数说明 参数 说明 示例 对等连接名称 必选参数。 此处填写对等连接的名称。 由中文字符、英文字母、数字、中划线和下划线等构成，一般不超过64个字符。
度相关也可能存在资源争抢，整体调度分配，能够有效解决死锁。在集群资源不足的场景下，Gang的调度策略对于集群资源的利用率的提升是非常明显的。 配置组调度策略 安装Volcano后，您可通过“配置中心 > 调度配置”选择开启或关闭Gang调度能力，默认开启。 登录CCE控制台。 单
GPU显卡（可选）：默认为不限制。当集群中存在GPU节点时，工作负载实例可以调度到指定GPU显卡类型的节点上。 实例间发现服务配置 Headless Service用于解决StatefulSet内Pod互相访问的问题，Headless Service给每个Pod提供固定的访问域名。具体请参见Headless Service。
cgroup统计资源异常导致kubelet驱逐Pod 故障现象 ARM架构节点上，cgroup统计资源异常导致kubelet驱逐Pod，节点无法正常使用。 kubelet一直在驱逐pod，把容器全终止之后还是认为内存不足。 此时实际资源使用正常。 查看/sys/fs/cgroup
用户访问集群API Server的方式有哪些？ 当前CCE提供两种访问集群API Server的方式： 集群API方式：（推荐）集群API需要使用证书认证访问。直接连接集群API Server，适合大规模调用。 API网关方式：API网关采用token方式认证，需要使用账号信息获
遇到跨域资源共享问题，需要配置CORS允许跨域访问。 第三方服务集成：网站可能需要调用第三方服务（例如地图服务、社交平台登录等）的API接口，则需要配置CORS允许跨域访问。 使用内容分发网络CDN：静态资源可能通过CDN提供，而CDN域名与主站域名不同，需要使用跨域访问来加载这些资源。
AI套件（NVIDIA GPU）插件和Volcano调度器插件。 登录CCE控制台，单击集群名称进入集群，在左侧选择“配置中心”。 切换至“异构资源配置”页签，开启“GPU虚拟化”。 集群默认驱动：集群中GPU节点默认使用的GPU驱动版本。如果选择“自定义驱动链接地址”，则需填写Nvidi
大于等于0 50和200节点：200 1000节点： 500 2000节点： 1000 系统配置，不支持修改 CCE Standard/CCE Turbo 从1.21版本开始不再支持手动配置，根据集群规格自动配置如下： 50和200节点：200 1000节点：500 2000节点：1000
集群访问配置 访问方式 kubectl：您需要先下载kubectl以及kubeconfig配置文件，完成配置后，即可以使用kubectl访问Kubernetes集群。详情请参见通过kubectl连接集群。 公网地址：为Kubernetes集群的API Server绑定弹性公网IP。配置完成后，集群API
od都需要访问，节点与节点、节点与Pod、Pod与Pod都需要访问。那集群中包含有哪些网络，各自的用处是什么，具体请参见集群网络构成。 集群中的Pod是如何访问的：访问Pod就是访问容器，也就是访问用户的业务，Kubernetes提供Service和Ingress来解决Pod的访
需要手动吊销集群访问凭证，以确保集群安全。 吊销集群访问凭证的存在两类场景： 子用户（非管理员）：支持吊销自身的集群访问凭证。 主账号或管理员用户（admin用户组用户）：支持吊销其他用户或委托账号的集群访问凭证。 吊销集群访问凭证后，该凭证的持有人将无法访问集群，且无法恢复已吊销的凭证，请谨慎操作。
为了应对集群节负载不均衡等问题，动态平衡各个节点之间的资源使用率，需要基于节点的相关监控指标，构建集群资源视图，在集群治理阶段，通过实时监控，在观测到节点资源率较高、节点故障、Pod 数量较多等情况时，可以自动干预，迁移资源使用率高的节点上的一些Pod到利用率低的节点上。 图1 LoadAware策略示意图
使用其他区域的OBS桶，在某些场景下有利于提升OBS桶的资源利用率，但跨区域使用OBS相比同区域访问时延波动要更大。 约束与限制 CCE容器存储（Everest）版本要求1.2.42及以上版本。 挂载存储的节点必须能够访问OBS桶，跨区域通常使用公网或专线打通。您可以在需要使用OBS的节点上Ping
K8s废弃资源检查异常处理 检查项内容 检查集群是否存在对应版本已经废弃的资源。 解决方案 问题场景一： 1.25及以上集群中的service存在废弃的annotation：tolerate-unready-endpoints 报错日志信息如下： some check failed
限。 解决方案 使用华为云账号或者具有管理员权限的账号登录IAM管理控制台，在左侧导航栏中选择“用户”。 在IAM用户页签查找出现报错的用户名，单击用户名右侧的“授权”。 选择相应的权限后，单击“确定”，提交授权。 当前账号未被授予该操作所需的IAM权限 问题现象 当您访问控制台
如果集群开启了匿名用户访问的权限，则匿名用户也利用这个漏洞。不幸的是Kubernetes默认允许匿名访问，即kube-apiserver的启动参数”-- anonymous-auth=true”；给予用户Pod的exec/attach/portforward的权限，用户也可以利用这个
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
