检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
集群管理最佳实践 本文将为您介绍与集群相关的最佳实践，包括集群规划、创建、管理和维护等方面，帮助您优化集群的性能、提高可靠性和安全性，从而更好地满足业务需求。 场景分类 相关最佳实践 创建集群实践 CCE集群选型建议 集群网络地址段规划实践 集群网络模型选择及各模型区别 通过CCE搭建IPv4/IPv6双栈集群
修复部分安全问题。 v1.25.4-r10 v1.25.5 - 优化节点池伸缩时的事件信息。 修复部分安全问题。 v1.25.4-r0 v1.25.5 节点池配置管理支持软驱逐和硬驱逐的设置。 支持为自动创建的EVS块存储添加TMS资源标签，以便于成本管理。 - 修复部分安全问题。
Ingress控制器指标。 服务器默认证书：选择一个IngressTLS或kubernetes.io/tls类型的密钥，用于配置Nginx Ingress控制器启动时的默认证书。如果无可选密钥，您可以单击“创建TLS类型的密钥证书”进行新建，详情请参见创建密钥。关于默认证书更多说明请参见Default
安装Helm模板chart包 CCE提供的模板不能满足要求时，可下载模板的chart包进行安装。 在https://github.com/helm/charts的stable目录中查找您需要的chart包，下载后将chart包上传至节点。 下载并解压已获取的chart包，一般chart包格式为
CloudShell基于VPCEP实现，在CloudShell中使用kubectl访问集群需要在集群控制节点的安全组（安全组名称：集群名称-cce-control-随机数）中放通5443端口。5443端口默认对所有网段放通，如果您对安全组做过加固，当出现在CloudShell中无法访问集群时，请检查5443端口是否放通了198
修复Linux内核SACK漏洞公告 漏洞详情 2019年6月18日，Redhat发布安全公告，Linux内核处理器TCP SACK模块存在3个安全漏洞(CVE-2019-11477、CVE-2019-11478、CVE-2019-11479)，这些漏洞与最大分段大小（MSS）和T
修复部分安全问题。 v1.25.4-r10 v1.25.5 - 优化节点池伸缩时的事件信息。 修复部分安全问题。 v1.25.4-r0 v1.25.5 节点池配置管理支持软驱逐和硬驱逐的设置。 支持为自动创建的EVS块存储添加TMS资源标签，以便于成本管理。 - 修复部分安全问题。
号隔开，列表长度大于等于1。列表中的首个ID为服务器证书，其余ID为SNI证书（SNI证书中必须带有域名）。 获取方法：在CCE控制台，单击顶部的“服务列表 > 网络 > 弹性负载均衡”，并选择“证书管理”。在列表中复制对应证书名称下的ID即可。 v1.19.16-r2、v1.21
双向认证。 CA证书：SSL解析方式选择“双向认证”时需要添加CA证书，用于认证客户端身份。CA证书又称客户端CA公钥证书，用于验证客户端证书的签发者；在开启HTTPS双向认证功能时，只有当客户端能够出具指定CA签发的证书时，HTTPS连接才能成功。 服务器证书：当监听器端口启用
nds" 表10 extraArg扩展参数配置 参数 是否必选 参数类型 描述 default-ssl-certificat 否 String 默认证书配置，见Default SSL Certificate。 请求示例 { "kind": "Addon", "apiVersion":
Nginx Ingress高级配置示例 为Nginx Ingress配置HTTPS证书 为Nginx Ingress配置重定向规则 为Nginx Ingress配置URL重写规则 为Nginx Ingress配置HTTPS协议的后端服务 为Nginx Ingress配置GRPC协议的后端服务
是否允许在pod中配置使用特权容器 配置建议： 如用户出于安全原因，严格禁止使用特权容器，可以选择禁用 禁用特权容器会使已经配置了特权容器的业务无法正常下发，请排查确认集群所有相关业务均不涉及使用特权容器后再禁用 允许匿名请求 是否启用针对 API 服务器的安全端口的匿名请求 参数名 取值范围 默认值
15，若客户的webhook证书没有Subject Alternative Names (SAN)，kube-apiserver不再默认将X509证书的CommonName字段作为hostname处理，最终导致认证失败。 升级前检查您自建webhook server的证书是否配置了SAN字段。
CRI-O容器运行时引擎任意代码执行漏洞（CVE-2022-0811） 漏洞详情 crowdstrike安全团队披露CRI-O 1.19版本中存在一个安全漏洞，攻击者可以利用该漏洞绕过保护措施并在主机上设置任意内核参数。这将导致任何有权在使用CRI-O的Kubernetes集群上部署Pod的用户都可以滥用kernel
Ingress控制器插件配置的ssl-ciphers参数中添加@SECLEVEL=0字段，以启用对更多TLS版本的支持。更多详情请参见TLS/HTTPS。 登录CCE控制台，进入集群，在左侧导航栏中选择“插件中心”，单击NGINX Ingress控制器下的“管理”。 单击对应控制器实例的“编辑”按钮。
annotation参数 相关文档 配置ELB证书 kubernetes.io/elb.tls-certificate-ids kubernetes.io/elb.tls-ciphers-policy 为ELB Ingress配置HTTPS证书 使用HTTP/2 kubernetes.io/elb
"HTTPS" spec: tls: - secretName: ingress-test-secret #替换为您的TLS密钥证书 rules: - host: '' http: paths: - path:
创建VPC和子网 背景信息 在创建集群之前，您需要创建虚拟私有云（VPC），为CCE服务提供一个安全、隔离的网络环境。 如果用户已有VPC，可重复使用，不需多次创建。 创建VPC 登录管理控制台，选择“网络 > 虚拟私有云 VPC”。 在虚拟私有云控制台，单击右上角的“创建虚拟私有云”，按照提示完成创建。
-f kubernetes/dockerfiles/spark/Dockerfile . 上传镜像。 （可选）登录SWR管理控制台，选择左侧导航栏的“组织管理”，单击页面右上角的“创建组织”，创建一个组织。 如已有组织可跳过此步骤。 在左侧导航栏选择“我的镜像”，单击右侧“客户端
历史API 获取集群证书 创建PV 删除PV
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
