检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
升级操作系统 当CCE发布新版本的操作系统镜像时，已有节点无法自动升级，您可以手动进行批量升级。 注意事项 该操作会通过重置节点的方式升级操作系统，节点上已运行的工作负载业务可能会由于单实例部署、可调度资源不足等原因产生中断，请您合理评估升级风险，并挑选业务低峰期进行，或对关键业务应用设置PDB策略（Pod
Master上有Job被调度时，Jenkins Master通过Kubernetes插件向Kubernetes平台发起请求，请Kubernetes根据Pod模板产生对应的Pod对象，Pod对象会向Jenkins Master发起请求，Master连接成功后，就可以在Pod上面执行Job了。 图1 K8s安装Jenkins架构
图1 上传脚本 为脚本配置只读安全策略，保证CCE节点可以免密下载的的同时，外网不可以下载。 配置tools/cce目录的策略，选择“只读模板”。 图2 配置对象策略 修改匿名用户、指定对象、条件的配置信息。 图3 匿名用户 图4 指定对象 图5 设置条件 设置的条件中主要包含两个：UserAgent和源IP。
在CCE集群中使用容器的安全配置建议 控制Pod调度范围 通过nodeSelector或者nodeAffinity限定应用所能调度的节点范围，防止单个应用异常威胁到整个集群。参考节点亲和性。 在逻辑多租等需强隔离场景，系统插件应该尽量运行在单独的节点或者节点池上，与业务Pod分离
# 动态挂载 - name: data-volume-template # 定义数据存储卷的模板 spec: accessModes: - ReadWriteOnce
审计与日志 审计 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，系统将开始记录CCE资
使用负载均衡时支持设置超时时间 使用负载均衡器类型的Service或ELB类型的Ingress时，支持设置超时时间。 商用 4 支持订阅默认告警模板 告警助手提供集群内置告警一键开启能力，覆盖容器服务异常事件告警、集群相关基础资源的关键指标告警及集群中应用的指标告警。在集群发生故障时能
操作系统问题说明 低版本内核的CentOS节点反复创删应用时偶现cgroup kmem泄露问题 CCE集群IPVS转发模式下conn_reuse_mode问题说明 cgroup统计资源异常导致kubelet驱逐Pod 低版本内核的CentOS节点出现容器OOM时，偶现ext4文件系统卡死问题
节点系统参数优化 可优化的节点系统参数列表 修改节点日志缓存内存占用量上限RuntimeMaxUse 修改最大文件句柄数 修改节点内核参数 修改节点进程 ID数量上限kernel.pid_max 父主题： 节点运维
Kubernetes集群，支持运行Docker容器，提供了Kubernetes集群管理、容器应用全生命周期管理、应用服务网格、Helm应用模板、插件管理、应用调度、监控与运维等容器全栈能力，为您提供一站式容器平台服务。借助云容器引擎，您可以在华为云上轻松部署、管理和扩展容器化应用程序。
可能会形成十分严重的生产事件。 面对以上的种种不足，CCE提供了简单的集群管理能力和灵活的弹性放缩能力，深度集成应用服务网格和Helm标准模板，能够有效帮助企业简化集群运维管理方式，降低运营成本，以简单易用、高性能、安全可靠、开放兼容等诸多优点，获取了大量企业用户的青睐。因此很多
操作系统版本支持机制 同步机制 云容器引擎CCE发布的集群节点组件会随CCE集群版本发布定期更新。 操作系统重大漏洞修复：跟随集群补丁升级策略发布。 集群版本与操作系统对应关系 如下为当前已经发布的集群版本与操作系统版本的对应关系，请参考： 表1 弹性云服务器-虚拟机节点操作系统
集群系统密钥说明 CCE默认会在每个命名空间下创建如下密钥。 default-secret paas.elb default-token-xxxxx（xxxxx为随机数） 下面将详细介绍这个几个密钥的用途。 default-secret default-secret的类型为kubernetes
Deployment控制器下的Pod都有个共同特点，那就是每个Pod除了名称和IP地址不同，其余完全相同。需要的时候，Deployment可以通过Pod模板创建新的Pod；不需要的时候，Deployment就可以删除任意一个Pod。 但是在某些场景下，这并不满足需求，比如有些分布式的场景，要求
templateGeneration 字段被删除。 spec.selector 现在变成必需字段，并且在对象创建之后不可变更； 可以将现有模板的标签作为选择算符以实现无缝迁移。 spec.updateStrategy.type 的默认值变为 RollingUpdate （extensions/v1beta1
操作系统镜像版本说明 本文为您提供CCE集群操作系统版本相关的最新发布动态。 如需获取最新的集群版本与操作系统版本对应表，请参见集群版本与操作系统对应关系。 Huawei Cloud EulerOS 2.0 内核版本 发布时间 发布说明 5.10.0-182.0.0.95.r1941_123
操作系统镜像发布记录 操作系统版本支持机制 操作系统镜像版本说明 父主题： 产品发布记录
节点系统参数检查异常处理 检查项内容 检查您节点上默认系统参数是否被修改。 解决方案 如您的bms节点上bond0网络的mtu值非默认值1500，将出现该检查异常。 非默认参数可能导致业务丢包，请改回默认值。 父主题： 升级前检查异常问题排查
层面对用户组或用户进行细粒度授权，具体解释如下： 集群权限：是基于IAM系统策略的授权，可以让用户组拥有“集群管理”、“节点管理”、“应用模板”、“插件中心”权限。 命名空间权限：是基于Kubernetes RBAC能力的授权，可以让用户或用户组拥有Kubernetes资源的权限
设置资源配额及限制 Kubernetes在一个物理集群上提供了多个虚拟集群，这些虚拟集群被称为命名空间。命名空间可用于多种工作用途，满足多用户、多环境、多应用的使用需求，通过为每个命名空间配置包括CPU、内存、Pod数量等资源的额度可以有效限制资源滥用，从而保证集群的可靠性，更多信息请参见资源配额。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
