正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如果设置为Always ,则每次容器启动或者重启时,都会从远程仓库拉取镜像。 如果省略imagePullPolicy,策略默认为Always。 如果设置为IfNotPreset,有下面两种情况: 当本地不存在所需的镜像时,会从远程仓库中拉取。 如果需要的镜像和本地镜像内容相同,只不过
oleBinding、ingressClass、validatingWebhookConfiguration 解决方案 使用kubectl连接集群。 查找NGINX Ingress相关资源。 className="nginx" namespace="kube-system" className=`if
kubectl edit ns rdbms 集群证书获取方法请参见获取集群证书。 https://x.x.x.x:5443为连接集群的地址。您可以登录CCE控制台,进入集群,查看连接信息的内网地址进行获取。 再次查看namespace确认已经被删除。 $ kubectl get ns | grep
GPU/NPU工作负载:添加指定污点的容忍度,可以调度至GPU/NPU节点。 普通工作负载:未添加指定污点的容忍度,无法调度至GPU/NPU节点。 操作步骤如下: 登录CCE控制台,单击集群名称进入集群。 在左侧列表中选择“节点管理”,勾选GPU/NPU节点,并单击“标签与污点管理”。 单击“新增批量操作”,为GPU/NPU节点添加污点。
NF_DROP 发出类似于 NF_ACCEPT 的丢弃错误时,nf_hook_slow() 函数会导致双重释放漏洞,本地攻击者利用此漏洞可将普通用户权限提升至 root 权限。 该漏洞是一个本地提权漏洞,需要攻击者先渗透到集群的node节点,利用难度较高。 判断方法 如果集群node节点OS是CentOS
样,所以创建出来的目录权限不相同。 umask值用于为用户新创建的文件和目录设置缺省权限。如果umask的值设置过小,会使群组用户或其他用户的权限过大,给系统带来安全威胁。因此设置所有用户默认的umask值为0077,即用户创建的目录默认权限为700,文件的默认权限为600。 可
限的组件。pkexec是Plokit框架中的一部分,执行具有提升权限的命令,是sudo的替代方案。请使用Polkit的用户及时安排自检并做好安全加固。 参考链接:https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt 表1
约束与限制 云容器引擎对单个用户的资源数量和容量限定了配额,默认情况下,您最多可以创建5个集群(每个Region下),每个集群中最多可以添加 50 个节点。如果您需要创建更多的集群或添加更多的节点,请提交工单申请。配额的详细信息请参见关于配额。 更详细的限制请参见具体API的说明。
node是调用kubelet的metrics API来获取数据的,因此看到的是节点上已使用的资源总和除以可分配的所有资源。 社区issue链接:https://github.com/kubernetes/kubernetes/issues/86499。 场景示例 例如,某节点的参数可通过kubectl
labels["virtual-kubelet.io/burst-to-cci"] auto/localPrefer/enforce/off off 允许 - auto:根据用户集群内调度器实际打分结果自动决定是否弹性至CCI,其中在TaintToleration算法上会优先选择调度到CCE节点。 localPre
时,容器运行时会因为容器镜像仍处于被引用的状态而拦截kubelet的删除行为,导致kubelet在定期回收镜像过程中出现失败。 解决方法 登录节点上执行以下命令,过滤出告警提示的容器,确认是否处于exited状态。其中{containerId}需要替换为告警中提到的容器ID。 节点使用docker运行时:
集群与虚拟私有云、子网的关系是怎样的? “虚拟私有云”类似家庭生活中路由器管理192.168.0.0/16的私有局域网,是为用户在云上构建的一个私有网络,是弹性云服务器、负载均衡、中间件等工作的基本网络环境。根据实际业务需要可以设置不同规模的网络,一般可为10.0.0.0/8~24,172
该漏洞为Linux内核权限校验漏洞,根因为没有针对性的检查设置release_agent文件的进程是否具有正确的权限。在受影响的OS节点上,工作负载使用了root用户运行进程(或者具有CAP_SYS_ADMIN权限),并且未配置seccomp时将受到漏洞影响。 CCE集群受该漏洞影响的范围如下: x86场景EulerOS
not be used.", "code": 403} 问题根因 事件信息表示账号被停用或没有权限,请检查账号状态是否正常。 如账号正常请查看该用户的命名空间权限,您需要拥有该命名空间的开发权限、运维权限或管理员权限之一,或者包含PVC/PV读写操作的自定义权限。详情请参见配置命名空间权限(控制台)。
跟踪和问题定位等常见应用场景。 用户开通云审计服务后,系统将开始记录CCE资源的操作,并为您保存最近7天的操作记录。CTS支持记录的CCE操作请参见云审计服务支持CCE操作列表。 CTS的详细介绍和开通配置方法,请参见CTS快速入门。 CCE用户查看云审计日志方法,请参见云审计日志。
发布时间:2024/02/19 Kubernetes社区已在v1.24版本移除dockershim,默认不再支持Docker运行时。考虑到当前仍然有部分用户使用Docker,CCE将继续支持创建Docker节点。 建议您在新建节点时选择更加轻量、安全的Containerd运行时,同时将存量节点
19版本中存在一个安全漏洞,攻击者可以利用该漏洞绕过保护措施并在主机上设置任意内核参数。这将导致任何有权在使用CRI-O的Kubernetes集群上部署Pod的用户都可以滥用kernel.core_pattern内核参数,在集群中的任何节点上以root身份实现容器逃逸和执行任意代码。 该问题已被收录为CVE-2022-0811。
CCE是否支持余额不足提醒? 用户可在费用中心总览页面“可用额度”区域单击“设置”,设置“可用额度预警”后的开关,即可开通或关闭可用额度预警功能。单击“修改”,可以对预警阈值进行修改。 开通后,当可用额度(含现金余额、信用余额、通用代金券、现金券)的总金额低于预警阈值时, 会每天
当前集群的节点分布尚未覆盖三个可用区,请参照创建节点或创建节点池在未部署的可用区中创建新节点。 操作步骤 kubectl连接集群,具体请参见kubectl连接集群。 创建存储类StorageClass的Yaml文件,需要使用高可用类型的云盘避免云盘挂载失败。 vi storageclass
取值范围 默认值 是否允许修改 作用范围 labels 无 无 允许 - 标签是资源对象的一种附加标识,可以通过标签进行过滤查询 配置建议: 用户按需将一些查询和管理维度(如密钥所属业务领域、微服务等)抽象为标签,方便对配置项进行过滤查询 父主题: 密钥