检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
监控安全风险 通过AOM查看Pod监控数据 为使用户更好的掌握工作负载的运行状态，CCI配合AOM对其进行全方位的监控。 通过AOM界面您可监控CCI的基础资源和运行在CCI上的应用，同时在AOM界面还可查看相关的日志和告警。 更多内容，请参见监控管理。 Pod资源监控指标 CC
HostPath转localDir、emptyDir或flexVolume 使用场景 在使用CCE或者其他K8s集群时，可以使用HostPath。由于CCI为共享集群，未开放HostPath能力，所以当使用HostPath的Pod想通过Virtual Kubelet弹到CCI时，
基于华为云的安全性带来的限制，CCI目前还不支持Kubernetes中HostPath、DaemonSet等功能，具体如下表所示。 不支持的功能 说明 推荐替代方案 HostPath 挂载本地宿主机文件到容器中 使用云盘或者SFS文件系统 HostNetwork 将宿主机端口映射到容器上 使用type=LoadBalancer的负载均衡
不在同一个2层域中。CCI服务侧没有信息泄漏风险。 用户容器内核默认没有开启net.ipv4.conf.all.route_localnet=1参数，用户绑定在localhost的进程无法进行同VPC内跨节点访问。用户侧没有信息泄漏风险。 父主题： 漏洞修复公告
漏洞源于kubelet的驱逐管理器（eviction manager）中没有包含对Pod中挂载的/etc/hosts文件的临时存储占用量管理，因此在特定的攻击场景下，一个挂载了/etc/hosts的Pod可以通过对该文件的大量数据写入占满节点的存储空间，从而造成节点的拒绝访问（Denial
Turbo云存储类型，且只支持使用CSI类型的StorageClass。 负载Hostpath配置方式 操作场景 在使用CCE或者其他K8s集群时，用户使用HostPath类型存储。但CCI是共享集群，不开放HostPath能力，因此使用HostPath的Pod通过bursting弹到CCI时，会被拦截。如无法改变Pod
量付费的计费模式，秒级计费，按小时结算。 套餐包计费，允许您根据实际业务需求灵活地调整资源使用，无需提前预置资源，从而降低预置过多或不足的风险。一般适用于电商抢购等设备需求量瞬间大幅波动的场景。 表1 按需计费模式 计费模式 按需计费 套餐包 付费方式 后付费 按照实例实际使用时长计费。
资源套餐包 概述 套餐包计费模式允许您根据实际业务需求灵活地调整资源使用，无需提前预置资源，从而降低预置过多或不足的风险。本文将介绍套餐包CCI资源的计费规则。 适用场景 套餐包计费模式一般适用于电商抢购等设备需求量瞬间大幅波动的场景。 约束与限制 按需套餐包不支持企业项目，可用于扣减所有企业项目下的按需资源。
过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断。 最大无效实例数：每次滚动升级允许的最大无效实例数，如果等于实例数有断服风险（最小存活实例数 = 实例数 - 最大无效实例数）。 替换升级：将先把您工作负载的老版本实例删除，再安装指定的新版本，升级过程中业务会中断。
rule if the http host header is equal to Host. 2. If Host is a wildcard, then the request matches this rule if the http host header is to equal
rule if the http host header is equal to Host. 2. If Host is a wildcard, then the request matches this rule if the http host header is to equal
rule if the http host header is equal to Host. 2. If Host is a wildcard, then the request matches this rule if the http host header is to equal
rule if the http host header is equal to Host. 2. If Host is a wildcard, then the request matches this rule if the http host header is to equal
rule if the http host header is equal to Host. 2. If Host is a wildcard, then the request matches this rule if the http host header is to equal
rule if the http host header is equal to Host. 2. If Host is a wildcard, then the request matches this rule if the http host header is to equal
ClusterFirst. hostAliases No hostAliases object HostAliases is an optional list of hosts and IPs that will be injected into the pod's hosts file if
过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断。 最大无效实例数：每次滚动升级允许的最大无效实例数，如果等于实例数有断服风险（最小存活实例数 = 实例数 - 最大无效实例数）。 替换升级：先删除旧实例，再创建新实例。升级过程中业务会中断。 客户端DNS配置：负
安全 责任共担 身份认证与访问控制 数据保护技术 审计与日志 监控安全风险
EphemeralContainers feature. hostAliases 否 Array of io.k8s.api.core.v1.HostAlias objects HostAliases is an optional list of hosts and IPs that will be
EphemeralContainers feature. hostAliases Array of io.k8s.api.core.v1.HostAlias objects HostAliases is an optional list of hosts and IPs that will be
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
