检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
集群节点如何不暴露到公网？ 问题解决： 如果不需要访问集群节点的22端口，可在安全组规则中禁用22端口的访问。 如非必须，集群节点不建议绑定EIP。 如有远程登录集群节点的需求，推荐使用华为云堡垒机服务作为中转连接集群节点。 父主题： 安全加固
nginx-ingress插件安全漏洞预警公告（CVE-2021-25748） 漏洞详情 Kubernetes开源社区中披露了1个ingress-nginx漏洞，用户通过Ingress 对象的“spec.rules[].http.paths[].path”字段可以获取ingres
修复Kubernetes Dashboard安全漏洞公告（CVE-2018-18264） 漏洞详情 Kubernetes社区发现Kubernetes Dashboard安全漏洞CVE-2018-18264：使用Kubernetes Dashboard v1.10及以前的版本有跳过
VPC”，在网络控制台单击“访问控制 > 安全组”。 在界面右侧的安全组列表中找到集群的安全组。单击“入方向规则”页签，单击“添加规则”，添加入方向规则如下。 集群类型 ELB类型 放通安全组 协议端口 放通源地址网段 CCE Standard 共享型ELB 节点安全组，名称规则默认是{集群名}-cce-node-{随机ID}
而Pod Security Admission则是这些安全性标准的控制器，用于在创建Pod时执行定义好的安全限制。 Pod安全性标准定义了三种安全性策略级别： 表1 Pod安全性策略级别 策略级别（level） 描述 privileged 不受限制，通常适用于特权较高、受信任的
Apache containerd安全漏洞公告（CVE-2020-15257） 漏洞详情 CVE-2020-15257是containerd官方发布的一处Docker容器逃逸漏洞。containerd是一个支持Docker和常见Kubernetes配置的容器运行时管理组件，它处理
络丢包等异常。 排查项五：检查容器所在节点安全组是否放通 用户可单击服务列表中的“网络 > 虚拟私有云 VPC”，在网络控制台单击“访问控制 > 安全组”，找到CCE集群对应的安全组规则进行修改和加固。 CCE集群： Node节点的安全组名称是：{集群名}-cce-node-{随机字符}。
containerd镜像Volume非安全处理漏洞公告（CVE-2022-23648） 漏洞详情 containerd开源社区中披露了一个漏洞，如果镜像具有恶意的属性，在容器内的进程可能会访问主机上任意文件和目录的只读副本，从而造成宿主机上敏感信息泄露。 表1 漏洞信息 漏洞类型
path'限制在已知安全字符中（参考社区最新规则，或者采用annotation-value-word-blocklist中的建议值）。 2. 漏洞CVE-2021-25746消减措施：通过实施准入策略，将'metadata.annotations'的值限制在已知的安全字符中（参考社区
获取项目ID的接口为“GET https://{Endpoint}/v3/projects”，其中{Endpoint}为IAM的终端节点，可以从终端节点（Endpoint）获取。接口的认证鉴权请参见认证鉴权。 响应示例如下，其中projects下的“id”即为项目ID。 {
查。 在集群“总览”页面，在“网络信息”选择“节点默认安全组”，单击跳转到安全组页面，查看安全组入方向规则。 检查所有安全组规则，确认是否开启了来自VPC私网、目标端口为TCP/10250的入方向访问，若未开放，请添加上述安全组规则。 若以上均不符合，请提交工单咨询。 当前账号未被授予该操作所需的集群RBAC权限
集群备份恢复 CCE备份恢复为无状态和有状态应用的备份和恢复提供了一套可靠、安全、灵活且高效的解决方案。通过遵循CCE备份恢复的全流程指导，您可以顺利地完成应用的备份和恢复。 建议在用户业务量小时执行备份和恢复操作。 方案优势 易用性：在应用备份和恢复阶段，已实现工具自动化。这些工具免安装，简单轻量且配置灵活。
创建方法请参见云专线快速入门。 操作步骤 在CCE集群所在VPC创建 DNS Endpoint。 登录VPCEP控制台。 单击右上角“购买终端节点”。 选择DNS服务和VPC，注意此处VPC需要选择CCE集群所在VPC。 图1 创建DNS Endpoint 单击“立即购买”，完成创建。
描述 securityGroups 否 String 安全组ID。如果没有对安全组进行规划，请和default-network中的安全组保持一致。 获取方式： 登录虚拟私有云控制台，在左侧导航栏选择“访问控制 > 安全组”，单击安全组名称，在“基本信息”页签下找到“ID”字段复制即可。
修复Kubernetes HTTP/2漏洞公告 漏洞详情 近期Kubernetes社区发布了与Go相关的安全漏洞CVE-2019-9512和CVE-2019-9514。具体的安全问题出现在Go语言的net/http库中，它会影响Kubernetes的所有版本和所有组件。这些漏洞可能导致所有处理HTTP或HTTPS
其他服务。 图1 某企业APP微服务示意图 本文介绍一种自建IDC与CCE集群共享域名解析的方案，可做到同时解析华为云域名和外部域名。 解决方案一：通过DNS Endpoint做级联解析 利用VPCEP服务创建DNS Endpoint，使得IDC能访问华为云域名解析服务器，将DNS
节点网络配置 节点关联自定义安全组 节点池自定义安全组配置。 参数名 取值范围 默认值 是否允许修改 作用范围 customSecurityGroups UUID列表，最大支持配置5个。 禁止重复 NULL 允许 CCE Turbo 配置自定义安全组后，原集群默认节点安全组将不会被配置至新创建节点。
登录节点 前提条件 使用SSH方式登录时，请确认节点安全组已放通SSH端口（默认为22）。详情请参见配置安全组规则。 通过公网使用SSH方式登录时要求该节点（弹性云服务器 ECS）已绑定弹性公网IP。 只有运行中的弹性云服务器才允许用户登录。 Linux操作系统用户名为root。
供相应的误操作解决方案。 集群/节点 表1 集群及节点高危操作 分类 高危操作 导致后果 误操作后解决方案 Master节点 修改集群内节点安全组 说明： 安全组命名规则：集群名称-cce-control-随机数 可能导致Master节点无法使用 参照新建集群的安全组进行修复，放
纳管节点时失败，报错“安装节点失败”如何解决？ 问题描述 节点纳管失败报错安装节点失败。 问题原因 登录节点，查看/var/paas/sys/log/baseagent/baseagent.log安装日志，发现如下报错： 查看节点LVM设置，发现/dev/vdb没有创建LVM逻辑卷。 解决方案 手工创建逻辑卷：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
