检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
请提交工单增加ECS内存配额。 400 CCE.01400011 Insufficient security group quota. 安全组配额不足。 请提交工单增加安全组配额。 400 CCE.01400012 Insufficient EIP quota. EIP配额不足。 请提交工单增加EIP配额。
建对等连接,配置方法请参见对等连接。 与ELB不同VPC的集群,集群node安全组(云原生2.0网络时为eni安全组)入方向需要放通源地址为ELB所在VPC网段。 ELB添加跨VPC后端,集群对应的安全组需要放通负载均衡器的后端子网网段、且不支持UDP类型监听器,详情请参见ELB约束限制。
ist替代。 在Kubernetes1.30版本中,移除了在1.27版本已废弃的准入插件SecurityContextDeny,使用Pod安全性准入插件(PodSecurity)替代。 CCE对Kubernetes 1.30版本的增强 在版本维护周期中,CCE会对Kubernetes
或者公网弹性IP地址时,您可以将客户端可直接访问的IP地址或者DNS域名通过SAN的方式签入集群服务端证书,以支持客户端开启双向认证,提高安全性。典型场景例如DNAT访问、域名访问等特殊场景。 如果您有特殊的代理访问或跨域访问需求,可以通过自定义SAN实现。域名访问场景的典型使用方式如下:
修复或场景优化时,N版本号增加。关于CCE补丁版本详情,请参见补丁版本发布记录。 集群升级 为了方便您体验新特性、规避已知漏洞/问题,使用安全、稳定、可靠的Kubernetes版本,建议您定期升级CCE集群。CCE集群版本EOS之后,您将无法获得相应的技术支持以及CCE服务SLA保障,请您务必及时升级CCE集群。
ist替代。 在Kubernetes1.30版本中,移除了在1.27版本已废弃的准入插件SecurityContextDeny,使用Pod安全性准入插件(PodSecurity)替代。 CCE对Kubernetes 1.30版本的增强 在版本维护周期中,CCE会对Kubernetes
/usr/bin/kubectl /usr/local/bin/kubectl 挂载完成后,如图1所示。 图1 挂载主机到容器对应路径 在“安全设置”中配置“运行用户”为:0(即root用户)。 图2 配置运行用户 “高级配置”步骤可以保持默认,直接单击“创建工作负载”,完成工作负载创建。
CCE支持多种类型的集群创建,以满足您各种业务需求,可为您提供高可靠、安全的商业级容器集群服务。 根据需求选择“CCE Standard集群”或“CCE Turbo集群”。 CCE Standard集群:标准版本集群,提供高可靠、安全的商业级容器集群服务。 CCE Turbo集群:拥有更高性
已有的Pod。 若需要重新设置污点时,可执行kubectl taint node [node] key:[effect]-命令去除污点。 安全驱逐节点上的工作负载。 kubectl drain [node] 其中,[node]为待转移工作负载所在节点的IP。 在左侧导航栏中选择“工作负载
移除tiller Helm v3 使用更加简单和灵活的架构,移除了 tiller,直接通过kubeconfig连接apiserver,简化安全模块,降低了用户的使用壁垒。 改进了升级策略,采用三路策略合并补丁 Helm v2 使用双路策略合并补丁。在升级过程中,会对比最近一次发布的chart
Harbor是VMware公司开源的企业级Docker Registry管理项目,在开源Docker Distribution能力基础上扩展了例如权限管理(RBAC)、镜像安全扫描、镜像复制等功能。Harbor目前已成为自建容器镜像托管及分发服务的首选。 公网访问场景 Harbor上配置镜像仓库。 Harbor在1
群中使用边车功能。 更多使用细节请参考原生边车容器。 混合版本代理(Alpha) 在Kubernetes 1.28版本,发布了用于改进集群安全升级的新机制(混合版本代理)。该特性为Alpha特性。当集群进行升级时,集群中不同版本的kube-apiserver为不同的内置资源集(组
群中使用边车功能。 更多使用细节请参考原生边车容器。 混合版本代理(Alpha) 在Kubernetes 1.28版本,发布了用于改进集群安全升级的新机制(混合版本代理)。该特性为Alpha特性。当集群进行升级时,集群中不同版本的kube-apiserver为不同的内置资源集(组
参数解释: 节点池自定义安全组相关配置。支持节点池新扩容节点绑定指定的安全组。 未指定安全组ID,新建节点将添加Node节点默认安全组。 指定有效安全组ID,新建节点将使用指定安全组。 指定安全组,应避免对CCE运行依赖的端口规则进行修改。详细设置请参考集群安全组规则配置。 约束限制:
2000节点:2000 Nodeport类型服务端口范围 service-node-port-range NodePort端口范围,修改后需前往安全组页面同步修改节点安全组30000-32767的TCP/UDP端口范围,否则除默认端口外的其他端口将无法被外部访问。 端口号小于20106会和CCE组
例如,当有一个需要访问云上数据库的StatefulSet类型业务,需要在对云上数据库进行严格的访问控制,只允许该业务进行访问,则可固定该业务的Pod IP,配置云上数据库的安全组只允许该业务的容器IP可进行访问。 约束限制 仅以下指定版本的CCE Turbo集群支持用户配置Pod固定IP: v1.19集群:v1.19
是 String 虚拟私有云ID network_id 是 String 子网ID security_group_id 是 String 安全组ID project_id 是 String 项目ID region 是 String 所在区域。 如:cn-north-4 表3 flavor
Volume)挂载到Pod中。使用这种方法获得的Token具有固定的生命周期,并且当挂载的Pod被删除时这些Token将自动失效。详情请参见Token安全性提升说明。 如果您在业务中需要一个永不过期的Token,您也可以选择手动管理ServiceAccount的Secret。尽管存在手动创建永久ServiceAccount
如果要开启该特性,需要给kubelet增加启动参数为--seccomp-default=true,这样会默认开启seccomp为RuntimeDefault,提升整个系统的安全。1.25集群将不再支持使用注解“seccomp.security.alpha.kubernetes.io/pod”和“container
的细粒度权限控制和IAM Token认证,支持集群级别和命名空间级别的权限控制,从而有效地限制用户对特定资源的访问,确保资源使用的隔离性和安全性。 表1 IAM授权与RBAC授权 授权 说明 IAM授权 对用户组进行IAM授权侧重于对云平台资源的访问管理,通过策略控制每个用户组对具体资源的权限。