检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
命名空间权限（Kubernetes RBAC授权） 命名空间权限（kubernetes RBAC授权） 命名空间权限是基于Kubernetes RBAC能力的授权，通过权限设置可以让不同的用户或用户组拥有操作不同Kubernetes资源的权限。Kubernetes RBAC API
在CCE集群中使用工作负载Identity的安全配置建议 工作负载Identity允许集群中的工作负载模拟IAM用户来访问云服务，从而无需直接使用IAM账号的AK/SK等信息，降低安全风险。 本文档介绍如何在CCE中使用工作负载Identity。 约束与限制 支持1.19.16及以上版本集群
Kubernetes kubelet和kube-proxy授权问题漏洞公告（CVE-2020-8558） 漏洞详情 Kubernetes官方发布安全公告，其核心组件kube-proxy存在主机边界绕过漏洞（CVE-2020-8558）。利用漏洞攻击者可能通过同一局域网下的容器，或在集群节点上访问同一个二层域下的相邻节点上绑定监听了本地
OpenSSH远程代码执行漏洞公告（CVE-2024-6387） OpenSSH是一个基于SSH协议的安全网络通信工具，通过加密所有流量以消除窃听、连接劫持和其他攻击。此外，OpenSSH 还提供大量安全隧道功能、多种身份验证方法和复杂的配置选项，是远程服务器管理和安全数据通信的必备工具
CRI-O容器运行时引擎任意代码执行漏洞（CVE-2022-0811） 漏洞详情 crowdstrike安全团队披露CRI-O 1.19版本中存在一个安全漏洞，攻击者可以利用该漏洞绕过保护措施并在主机上设置任意内核参数。这将导致任何有权在使用CRI-O的Kubernetes集群上部署
为负载均衡类型的Service配置HTTP/2 Service支持HTTP/2的方式暴露服务。在默认情况下，客户端与负载均衡之间采用HTTP1.X协议，使用HTTP/2可提升客户端与ELB间的访问性能，但ELB与后端服务器间仍采用HTTP1.X协议。 当负载均衡端口使用HTTPS协议时
IAM用户无法使用调用API 问题现象 使用IAM用户调用API时，出现以下报错： "code":403,"message":"This user only supports console access, not programmatic access." 该错误表示IAM用户没有编程访问权限
（停止维护）Kubernetes 1.9及之前版本说明 云容器引擎（CCE）严格遵循社区一致性认证。本文介绍CCE发布Kubernetes 1.9及之前版本所做的变更说明。 表1 v1.9及之前版本集群说明 Kubernetes版本（CCE增强版） 版本说明 v1.9.10-r2
（停止维护）Kubernetes 1.9及之前版本说明 云容器引擎（CCE）严格遵循社区一致性认证。本文介绍CCE发布Kubernetes 1.9及之前版本所做的变更说明。 表1 v1.9及之前版本集群说明 Kubernetes版本（CCE增强版） 版本说明 v1.9.10-r2
吊销集群访问凭证 在多租户场景下，CCE会为每个用户生成一个独立的集群访问凭证（kubeconfig或X509证书），该凭证包含了用户身份及授权信息，以便其可以连接到相应的集群并执行授权范围内的操作。这种方式可以确保不同用户之间的隔离和安全性，同时也方便了管理和授权。但该凭证的有效时间一般为固定值
用户访问集群API Server的方式有哪些？ 当前CCE提供两种访问集群API Server的方式： 集群API方式：（推荐）集群API需要使用证书认证访问。直接连接集群API Server，适合大规模调用。 API网关方式：API网关采用token方式认证，需要使用账号信息获取
为负载均衡类型的Service配置HTTP/HTTPS协议 约束与限制 Service使用HTTP/HTTPS协议仅v1.19.16及以上版本集群支持。 表1 ELB支持HTTP/HTTPS协议的场景 ELB类型 使用场景 是否支持HTTP/HTTPS协议 说明 共享型ELB 对接已有
如果不配置集群管理权限，是否可以使用kubectl命令呢？ 使用kubectl命令无需经过IAM认证，因此理论上不配置集群管理（IAM）权限是可以使用kubectl命令的。但前提是需要获取具有命名空间权限的kubectl配置文件（kubeconfig），以下场景认证文件传递过程中均存在安全泄露风险
为负载均衡类型的Service配置服务器名称指示（SNI） SNI证书是一种扩展服务器证书，允许同一个IP地址和端口号下对外提供多个访问域名，可以根据客户端请求的不同域名来使用不同的安全证书，确保HTTPS通信的安全性。 在配置SNI时，用户需要添加绑定域名的证书，客户端会在发起SSL
示例：某部门权限设计及配置 概述 随着容器技术的快速发展，原有的分布式任务调度模式正在被基于Kubernetes的技术架构所取代。云容器引擎（Cloud Container Engine，简称CCE）是高度可扩展的、高性能的企业级Kubernetes集群，支持社区原生应用和工具。借助云容器引擎
使用SWR企业版镜像仓库镜像 操作场景 CCE支持拉取SWR企业版镜像仓库的镜像来创建工作负载。 SWR企业版镜像仓库必须经过认证（账号密码）才能访问，而CCE中容器拉取镜像是使用密钥认证方式，这就要求在拉取镜像前先创建镜像仓库的密钥。 前提条件 使用SWR企业版镜像仓库镜像时，请确保工作负载运行的节点可访问对应的企业版镜像仓库实例
为负载均衡类型的Service配置TLS TLS协议适用于需要超高性能和大规模TLS卸载的场景。您可以为Service配置TLS协议，转发来自客户端加密的TCP协议请求。 Service配置TLS协议依赖ELB能力，使用该功能前请确认当前区域是否支持使用TLS协议，详情请参见添加TLS
数据保护技术 CCE通过多种数据保护手段和特性，保障数据的安全可靠。 表1 CCE的数据保护手段和特性 数据保护手段 简要说明 详细介绍 服务发现支持证书配置 CCE集群中的应用服务支持使用HTTPS传输协议，保证数据传输的安全性，您可以根据需求创建四层或七层的访问方式来对接负载均衡器
使用SWR企业版镜像仓库镜像 操作场景 CCE支持拉取SWR企业版镜像仓库的镜像来创建工作负载。 SWR企业版镜像仓库必须经过认证（账号密码）才能访问，而CCE中容器拉取镜像是使用密钥认证方式，这就要求在拉取镜像前先创建镜像仓库的密钥。 前提条件 使用SWR企业版镜像仓库镜像时，请确保工作负载运行的节点可访问对应的企业版镜像仓库实例
将Prometheus监控数据上报至第三方监控平台 操作场景 CCE云原生监控插件可以将集群中收集到的Prometheus指标，上报到您指定的监控平台，例如AOM，或者您也可以指定支持Prometheus数据的第三方监控平台。本文以对接第三方Prometheus实例为例，使用CCE
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
