检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
在NVIDIA Container Toolkit v1.16.1及更早版本的环境中，攻击者通过运行一个恶意镜像，可能实现容器逃逸，从而获得主机系统的访问权限。成功利用此漏洞可能会导致代码执行、拒绝服务、权限提升、信息泄露和数据篡改。 判断方法 如果集群未安装CCE AI套件（NVIDIA GPU）插件或插件版本低于2
CCE提供了如下两种EmptyDir类型： 临时路径：Kubernetes原生的EmptyDir类型，生命周期与容器实例相同，并支持指定内存作为存储介质。容器实例消亡时，EmptyDir会被删除，数据会永久丢失。 本地临时卷：本地临时存储卷将节点的本地数据盘通过LVM组成存储池（
当前集群的节点分布尚未覆盖三个可用区，请参照创建节点或创建节点池在未部署的可用区中创建新节点。 操作步骤 kubectl连接集群，具体请参见kubectl连接集群。 创建存储类StorageClass的Yaml文件。 vi storageclass.yaml 向storageclass
检查项内容 检查节点的ID文件内容是否符合格式。 解决方案 在CCE控制台上的“节点管理”页面，单击异常节点名称进入ECS界面。 复制节点ID，保存到本地。 图1 复制节点ID 登录异常节点，备份文件 。 cp /var/lib/cloud/data/instance-id /tmp/instance-id
变更集群规格 操作场景 当前集群管理规模可支持管理的用户节点个数不能满足用户诉求，可通过“变更集群规格”功能来扩大使用的用户节点个数。 约束限制 单控制节点的集群不允许变更到1000节点及以上。 变更集群规格不支持修改控制节点数量。 变更集群规格目前只支持扩容到更大规格，不支持降低集群规格。
修复Linux内核SACK漏洞公告 修复Docker操作系统命令注入漏洞公告（CVE-2019-5736） 全面修复Kubernetes权限许可和访问控制漏洞公告（CVE-2018-1002105） 修复Kubernetes Dashboard安全漏洞公告（CVE-2018-18264）
NF_DROP 发出类似于 NF_ACCEPT 的丢弃错误时，nf_hook_slow() 函数会导致双重释放漏洞，本地攻击者利用此漏洞可将普通用户权限提升至 root 权限。 该漏洞是一个本地提权漏洞，需要攻击者先渗透到集群的node节点，利用难度较高。 判断方法 如果集群node节点OS是CentOS
default-secret default-secret的类型为kubernetes.io/dockerconfigjson，其data内容是登录SWR镜像仓库的凭据，用于从SWR拉取镜像。在CCE中创建工作负载时如果需要从SWR拉取镜像，需要配置imagePullSecrets的取
云原生混部 云原生混部概述 开启云原生混部 动态资源超卖 基于Pod实例画像的资源超卖 CPU Burst弹性限流 出口网络带宽保障 父主题： 调度
PodSecurity支持beta，PodSecurity替代废弃的PodSecurityPolicy，PodSecurity是一个准入控制器，它根据设置实施级别的特定命名空间标签在命名空间中的Pod上实施Pod安全标准。在1.23中PodSecurity默认启用。 社区1.22 ReleaseNotes
控生态，提供了托管式的Prometheus实例 for CCE，适合需要对容器服务集群及其上面运行的应用进行一体化监控场景。AOM实例默认提供对容器服务CCE集群的云原生监控插件的集成，监控中心开通后，指标将自动上报指标到指定的AOM实例。详情请参见Prometheus监控。 AOM
检查集群升级后，新建节点是否能新建Pod。 检查步骤 基于新建节点检查创建了新节点后，通过创建DaemonSet类型工作负载，在每个节点上创建Pod。 登录CCE控制台，单击集群名称进入集群。 在导航栏中选择“工作负载”，单击右上角“创建工作负载”或“YAML创建”。创建DaemonSet的操
nerd启动过慢，影响docker/containerd标准输出。 如果您集群中使用了nginx，可能会出现转发变慢等问题。 解决方案 请登录节点手动删除用不到的镜像，防止后续升级异常。 父主题： 升级前检查异常问题排查
面的操作详情，请参见LTS用户指南。 图3 通过CCE控制台查看目标集群控制面审计日志 通过LTS控制台查看目标集群控制面审计日志 登录LTS控制台，选择“日志管理”页面。 通过集群ID查到对应的日志组，单击该日志组名称，查看日志流。详情请参见LTS用户指南。 图4 通过LTS控制台查看目标集群控制面审计日志
13版本集群说明 Kubernetes版本（CCE增强版） 版本说明 v1.13.10-r0 主要特性： CCE集群支持添加ARM节点 负载均衡支持设置名称 4层负载均衡支持健康检查，7层负载均衡支持健康检查/分配策略/会话保持 CCE集群支持创建裸金属节点（容器隧道网络） 支持AI加速型节点（搭载海思Ascend
在有状态负载中动态挂载专属存储：仅有状态工作负载支持，可以为每一个Pod关联一个独有的PVC及PV，当Pod被重新调度后，仍然能够根据该PVC名称挂载原有的数据。适用于多实例的有状态工作负载。 计费说明 您需要提前创建专属存储池资源并付费，在容器中挂载专属存储时将使用存储中已购买的资源。 关于专属存储的价格信息，请参见计费说明。
者BUG修复时，用户无需升级集群或新建集群来升级存储功能，仅需安装或升级storage-driver插件。 安装插件 本插件为系统默认安装，若因特殊情况卸载后，可参照如下步骤重新安装。 未安装storage-driver插件的集群，可参考如下步骤进行安装： 登录CCE控制台，单击
自定义调度策略：Pod可能根据自定义的亲和性和反亲和性策略进行调度，导致Pod在节点上分布不均匀。 节点污点和容忍度：节点存在某些污点，未设置容忍度的Pod无法调度到该节点上运行。 部分工作负载特性导致：工作负载可能具有特殊的分布约束，例如工作负载挂载某个可用区的云硬盘时只能调度到相同可用区的节点上。
工作负载、节点池等相关视图的呈现。 接入管理 登录CCE控制台，单击左侧导航栏中的“云原生成本治理”。 图1 云原生成本治理 单击“接入管理”，查看集群接入情况，并对剩余未接入集群进行接入。 图2 接入集群 选中需要接入的集群，单击“批量接入”，可批量将选中的集群进行开通。开通成
最大扩容实例数，取值范围为0~2147483647。 须知： 在CCE Turbo集群中，如果使用独享型ELB对接到工作负载，则最大实例数不能超过ELB的后端服务器组配额（默认为500），否则将会导致多余的实例无法添加到ELB后端。 minReplicas 是 最小缩容实例数，取值范围为0~2147483647。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
