检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
创建VPC和子网 背景信息 在创建集群之前，您需要创建虚拟私有云（VPC），为CCE服务提供一个安全、隔离的网络环境。 如果用户已有VPC，可重复使用，不需多次创建。 创建VPC 登录管理控制台，选择“网络 > 虚拟私有云 VPC”。 在虚拟私有云控制台，单击右上角的“创建虚拟私有云”，按照提示完成创建。
管理内核参数配置 CCE Autopilot是云容器引擎服务推出的Serverless版集群，同物理机系统内核隔离且互不影响。对于资深业务部署场景，内核参数调优是比较通用的方式。在安全范围内，CCE Autopilot服务允许客户根据Kubernetes社区推荐的方案，通过Pod的安全上下文（Security
VPC网络和容器网络融合，性能无损耗 网络隔离 Pod可直接关联安全组，基于安全组的隔离策略，支持集群内外部统一的安全隔离。 容器隧道网络模式：集群内部网络隔离策略，支持NetworkPolicy。 VPC网络模式：不支持 Pod可直接关联安全组，基于安全组的隔离策略，支持集群内外部统一的安全隔离。
创建命名空间 操作场景 命名空间（Namespace）是对一组资源和对象的抽象整合。在同一个集群内可创建不同的命名空间，不同命名空间中的数据彼此隔离。使得它们既可以共享同一个集群的服务，也能够互不干扰。 例如可以将开发环境、测试环境的业务分别放在不同的命名空间。 前提条件 至少已创建一个集群。
管理命名空间 使用命名空间 创建工作负载时，您可以选择对应的命名空间，实现资源或租户的隔离。 查询工作负载时，选择对应的命名空间，查看对应命名空间下的所有工作负载。 命名空间使用实践 按照不同环境划分命名空间 一般情况下，工作负载发布会经历开发环境、联调环境、测试环境，最后到生产
etworkAttachmentDefinition），并将该容器网络配置与相应的命名空间或工作负载关联，进而实现业务的子网划分或业务安全隔离的诉求。目前，Autopilot集群仅支持kubectl命令行配置该功能。 图1 自定义容器网络配置示意图 目前容器网络配置（Networ
数据共享：多台服务器可挂载相同的文件系统，数据可以共享操作和访问。 私有网络：数据访问必须在数据中心内部网络中。 安全隔离：直接使用云上现有IaaS服务构建独享的云文件存储，为租户提供数据隔离保护和IOPS性能保障。 应用场景：适用于多读多写（ReadWriteMany）场景下的各种工作负载（D
的按需付费，减少不必要的成本支出。 安全隔离与自动预警 CCE Autopilot集群基于QingTian架构，实现虚拟机级别的安全隔离能力，并通过专属的container OS提供精简且安全的运行环境。其底层统一资源池设计支持快速故障隔离和修复，确保应用的持续安全稳定运行。系统
用户仅能访问特定子项目中的资源，使得资源的权限控制更加精确。 图1 项目隔离模型 同样在我的凭证下，您可以查看项目ID。 企业项目 企业项目是项目的升级版，针对企业不同项目间的资源进行分组和管理，是逻辑隔离。企业项目中可以包含多个区域的资源，且项目中的资源可以迁入迁出。 关于企业
网络 容器网络 服务（Service） 路由（Ingress） Pod网络配置 从容器访问公网
容器网络 使用容器网络配置为命名空间/工作负载绑定子网及安全组 父主题： 网络
TCP：443 100.125.0.0/16网段 访问OBS端口或者SWR端口，拉取镜像。 UDP：53 100.125.0.0/16网段 用于域名解析。 TCP：443 VPC网段 通过SWR终端节点，拉取镜像。 所有端口 198.19.128.0/17网段 访问VPCEP服务。 TCP：9443
网络管理 如何正确配置集群安全组规则？
Pod网络配置 为Pod配置EIP 为Pod配置固定EIP 父主题： 网络
健康检查使用UDP协议的安全组规则说明 操作场景 Autopilot集群使用独享型ELB，当负载均衡协议为UDP时，健康检查也采用UDP协议，您需要打开ENI安全组的ICMP协议安全组规则，入方向规则放通ELB后端子网网段的源地址。 操作步骤 登录CCE控制台，单击服务列表中的“网络
中小型项目、多个团队或项目共享一台物理机的场景。 快速扩展：部署虚拟机时，可以根据需求快速创建新的虚拟机实例，便于横向扩展。 资源隔离：每个虚拟机都是独立的，可以确保不同项目之间的环境隔离，避免互相影响。 成本较低：相比物理机，虚拟机在资源利用上更加高效，减少了硬件投资。 性能损失：虚拟机的性能会受到虚拟化层的影响，性能较物理机低。
为Pod配置EIP 使用场景 CCE Autopilot集群中，Pod使用的是VPC的弹性网卡/辅助弹性网卡，可直接绑定弹性公网IP。 为方便用户在CCE内直接为Pod关联弹性公网IP，用户只需在创建Pod时，配置annotation（yangtse.io/pod-with-eip:
为Pod配置固定EIP 使用场景 CCE Autopilot集群支持为StatefulSet工作负载或直接创建的Pod分配固定的公网IP（EIP）。 约束限制 开启固定EIP功能需要和Pod自动创建EIP功能配合使用，详情请参见为Pod配置EIP。 目前只支持StatefulSe
- 一个Region下每个账号可创建的集群总数限制为50个。 我的配额 虚拟私有云 VPC 1/集群 每个集群需要选择1个VPC，为集群提供隔离、私密的虚拟网络环境。 一个Region下每个账号可创建的VPC限制为5个。 子网 1/集群 每个集群至少需要选择1个子网用于分配容器IP。
服务（Service） 集群内访问（ClusterIP） 负载均衡（LoadBalancer） Headless Service 父主题： 网络
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
