检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
使用工作负载Identity安全访问云服务 应用场景 工作负载Identity允许集群中的工作负载模拟IAM用户来访问云服务，从而无需直接使用IAM账号的 AK/SK 等信息，降低安全风险。 本文档介绍如何在UCS中使用工作负载Identity。 方案流程 使用工作负载Identity的流程如图1
略实例的逻辑与定义进行了分离。 为了帮助您更好地理解策略定义的工作原理，每个预置策略定义都包含以下三个部分：一个示例策略实例，用于展示如何使用该策略定义；一个违反策略实例的资源定义，用于说明不符合该策略要求的资源样例；一个符合策略实例的资源定义，用于展示满足策略要求的资源样例。这
查看FederatedHPA策略，可以看到6m23s时负载的CPU使用率为200%，超过了目标值，此时触发了FederatedHPA策略，将工作负载扩容为4个Pod，随后的几分钟内，CPU使用并未下降，直到到8m16s时CPU使用率才开始下降，这是因为新创建的Pod并不一定创建成功，可能
nginx-disallowed spec: containers: - name: nginx image: nginx 父主题： 使用策略定义库
nginx-seccomp spec: containers: - name: nginx image: nginx 父主题： 使用策略定义库
command: - /bin/bash - -c - sleep 99999 父主题： 使用策略定义库
image: nginx securityContext: readOnlyRootFilesystem: false 父主题： 使用策略定义库
）创建。 设置集群网络 请参照设置集群网络对集群间网络互通进行检查与设置。 通过Kubectl命令创建MCS对象 使用kubectl连接集群联邦，详细操作请参见使用kubectl连接集群联邦。 创建并编辑 mcs.yaml 文件，文件内容定义如下所示，参数定义请参见表1。 vi mcs
- "run" - "--server" - "--addr=localhost:8080" 父主题： 使用策略定义库
cache-volume hostPath: path: /tmp # directory location on host 父主题： 使用策略定义库
# directory location on host - name: demo-vol emptyDir: {} 父主题： 使用策略定义库
authorization.k8s.io kind: Group name: system:unauthenticated 父主题： 使用策略定义库
络 参照表2进行排查。 参照表2进行设置。 排查网络是否存在网段冲突 进入对等连接详情页查看。 修改对等连接路由中的冲突网段。 父主题： 使用MCS
示例：使用策略中心实现Kubernetes资源合规性治理 假设您是一家大型企业的平台工程师，负责整个基础设施环境的安全策略配置和管理，确保企业多个团队使用集群资源的合规性。利用UCS策略中心，您可以： 创建统一的策略实例：使用UCS策略中心创建一个统一的策略实例，包含所有团队需要
ports: - port: 80 targetPort: 80 nodePort: 30007 父主题： 使用策略定义库
image: nginx securityContext: procMount: Unmasked 父主题： 使用策略定义库
nginx-apparmor spec: containers: - name: nginx image: nginx 父主题： 使用策略定义库
user: sysadm_u role: sysadm_r type: svirt_lxc_net_t 父主题： 使用策略定义库
- create - delete - deletecollection - patch - update 父主题： 使用策略定义库
stPorts”字段。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中hostNetwork为true时，使用的端口必须在指定的端口范围内。 apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
