检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
新建集群和网格 登录CCE 控制台，选择在当前企业版集群所在的同VPC下创建集群。 重新部署业务。 在ASM控制台，创建基础版本网格，选择步骤1新建的集群。 在新建的网格详情页，依次单击“网格配置-sidecar管理-sidecar管理”，选择需要开启自动注入的命名空间（准备工作中
一、若升级前服务未添加网关，则升级后无需修改。 二、若升级前服务添加了网关，则升级后进行如下修改： 为网格所在集群配置kubectl命令，参考CCE控制台集群详情页的指导进行配置。 在istio-system命名空间下创建两个virtualservice YAML文件。 文件名：tomcat-default-gateway
群校验报错常见场景及解决方案如下所述： 集群需要两个可用资源大于2 vCPUs、4GiB的节点，当前资源不足，无法创建网格 解决方案：在ECS控制台选择对应的节点进行扩容。 集群容器网段与网格控制面网段冲突 解决方案： 已购买网格，添加集群场景：重新规划集群容器网段。 购买网格同
在左侧导航栏选择“服务管理”，在列表右上方选择服务所在命名空间。 选择httpbin服务，单击操作列的“安全”，在右侧页面选择“JWT认证”页签，单击“立即配置”，在弹出的“JWT认证”页面填写如下信息： 发行者：JWT的颁发者，本文设置为“test”。 令牌受众：JWT受众列表，设置哪些服务可以使用JWT
灰度发布部署版本为什么不能更换镜像？ 问题描述 灰度发布部署灰度版本时不能更换镜像类型。 原因分析 灰度发布针对服务的同一镜像，只允许选择不同的版本号。 解决方法 将所需镜像打包成同一镜像的不同版本并上传至镜像仓库。 父主题： 灰度发布
流水账单”中，“消费时间”即按需产品的实际使用时间。 查看指定资源的账单 下面介绍ASM网格如何查看指定资源的账单。 登录ASM控制台，单击网格名称进入网格，在“网格配置--基本信息”页面复制网格ID。 在控制台顶部菜单栏中选择“费用 > 费用账单 ”，进入“流水和明细账单”页面。 选择“明细账单”，在筛选
服务间的依赖情况。并且可以对关心的服务进行下钻，从服务级别下钻到服务版本级别，还可以进一步下钻到服务实例级别。通过实例级别的拓扑可以观察到配置了熔断规则后，网格如何隔离故障实例，使其逐渐接收不到流量。并且可以在故障实例正常时，如何进行实例的故障恢复，自动给恢复的实例重新分配流量。
在网格到期前均可开通自动续费，到期前7日凌晨3:00首次尝试自动续费，如果扣款失败，每天凌晨3:00尝试一次，直至网格到期或者续费成功。到期前7日自动续费扣款是系统默认配置，您也可以根据需要修改此扣款日。 父主题： 续费
流量治理 流量治理概述 配置流量策略 查看流量监控 更改流量策略 父主题： 用户指南（新版）
启用服务网格后，状态一直为安装中 问题描述 为CCE集群启用服务网格（即购买网格）后，网格状态一直显示为“安装中”，鼠标放上去提示“正在启用istio服务网格：开通用户安全组规则成功”。 问题定位 登录CCE控制台，进入对应集群详情页，在“资源 > 命名空间”中查看istio-system命名空间是否存在。
产品公告 Istio Operator保留用户关键运行配置说明 ASM企业版关闭创建入口说明 ASM关于istio-system、istio-operator命名空间下重要系统资源修改风险说明
安全 配置安全策略 JWT认证原理 在ASM中对入口网关进行JWT请求认证 父主题： 用户指南（新版）
按需转包年/包月 操作步骤 登录ASM控制台，单击网格名称进入网格，在“网格配置--基本信息”页面，点击“计费模式”后面的“转包周期”。 进入转包周期，选择“网格规模”和“周期时长”，点击“提交”。 父主题： 变更计费模式
开通自动续费后，还可以手动续费该资源。手动续费后，自动续费仍然有效，在新的到期时间前的第7天开始扣款。 自动续费的到期前7日自动扣款属于系统默认配置，您也可以根据需要修改此扣款日，如到期前6日、到期前5日等等。 更多关于自动续费的规则介绍请参见自动续费规则说明。 前提条件 请确认包年/包月应用服务网格还未到期。
跨集群通信经过东西向流量网关，存在转发性能瓶颈 扁平网络和非扁平网络集群混合场景 图3 扁平网络和非扁平网络混合部署 为了减少运维负担，不建议扁平网络和非扁平网络的集群混合加入ASM网格中，如果必须混合部署，有以下使用约束： 所有扁平网络的集群必须使用容器对接ENI的网络模型，对非扁平网络的集群没有特殊要求。
6-r2以上版本，如果集群为1.19以及以上版本，ASM会自动设置EnableLegacyFSGroupInjection 为false， 该配置控制sidecar注入时不设置fsgroup为1337，此修改会修正业务容器挂载文件属组被设置为1337的错误做法。若业务前期进行了对应适配，则需要改正回来。
Gateway和DestinationRule可以通过credentialName配置从Kubernetes Secret中加载私钥和证书。对于Istio1.8及更高版本，Secret通过XDS API从Istiod传送到网关或工作负载。 网关或工作负载部署应该只能访问存储在其命名空间内的Kubernetes
Sidecar。 请谨慎使用注解方式排除流量拦截，因为 IP/端口排除注解不仅适用于 Init 容器流量，还适用于应用容器流量。 即发送到配置的 IP/端口的应用流量将绕过 Istio Sidecar。 更多详情参考：https://istio.io/latest/docs/se
披露/发现时间 DoS CVE-2022-23635 2022-02-22 影响评分 7.5 高危 触发场景 简单安装时，Istiod是从集群内获取的，受攻击的可能性小一点。 多集群场景安装的时候，15012端口是暴露在公网的，受攻击影响的可能性大一些。 根本原因 15012端口接收的请求不
解决办法：ASM从1.8版本开始不再支持如下插件（tracing，kiali，grafana，prometheus）部署，升级前需要将上述插件卸载。您可以自行安装开源版本插件，或者使用APM。 升级前集群状态检查任务失败。 解决办法：升级前会检查集群状态，若集群状态异常则无法进行网格升级。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
