检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
临时存储卷（EmptyDir） 临时存储卷概述 在存储池中导入临时卷 使用本地临时卷 使用临时路径 父主题： 存储
CVE-2020-8559 中 2020-07-15 漏洞影响 由于kube-apiserver中在升级请求的代理后端中允许将请求传播回源客户端，攻击者可以通过截取某些发送至节点kubelet的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成被攻击节点的权限提升漏洞。该漏洞为中危漏洞，CVSS评分为6
Standard 集群下容器使用的网段，决定了集群下容器的数量上限。创建后不可修改。 手动设置网段：用户自定义容器使用的虚拟网段，不可与集群中其他资源使用的网段（节点子网、服务网段等）冲突。 自动设置网段： 系统随机分配一个不冲突的网段供用户使用，因后续不支持修改建议商用场景选择手动分配，确保网段符合用户诉求。
Kubernetes社区在 kube-apiserver 中发现了一个安全问题，该问题允许聚合 API Server将客户端流量重定向到任意 URL，这可能导致客户端执行意外操作以及将客户端的 API 服务器凭据转发给第三方。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 SSRF
管理监控采集任务 开启默认关闭的采集任务、添加基础免费指标之外的指标后，若您已对接AOM，AOM服务会按量收取费用。具体请参考价格详情。 登录CCE控制台，单击集群名称进入集群详情页。 在左侧导航栏中选择“配置中心”，切换至“监控运维配置”页签。 修改“采集配置”。 监控采集任务
inner/public inner 允许 CCE Standard/CCE Turbo 设置负载均衡器支持的网络类型，设置为inner，负载均衡器只支持ipv4私网；设置pulic，负载均衡器支持ipv4私网和ipv4公网。设置public会创建对应的弹性公网ip，并收取一定费用。 四层负载均衡实例规格名称。
DNS DNS概述 工作负载DNS配置说明 使用CoreDNS实现自定义域名解析 使用节点本地域名解析加速（NodeLocal DNSCache）提升DNS性能 父主题： 网络
inner/public inner 允许 CCE Standard/CCE Turbo 设置负载均衡器支持的网络类型，设置为inner，负载均衡器只支持ipv4私网；设置pulic，负载均衡器支持ipv4私网和ipv4公网。设置public会创建对应的弹性公网ip，并收取一定费用。 四层负载均衡实例规格名称。
其他更高版本的集群 已在ELB控制台创建一个IP地址组，详情请参见创建IP地址组。 通过控制台设置 登录CCE控制台，单击集群名称进入集群。 选择左侧导航栏的“服务”，在右侧选择“服务”页签，单击右上角“创建服务”。 设置Service参数。 Service名称：自定义Service名称，例如service-acl。
速率超过设置的限速后，新建连接请求将被丢弃，并会返回给客户端503状态码。 perSourceIpQps：可选参数，基于客户端源IP进行限速，支持的取值范围为1~100000。 同时配置QPS（总限速）和perSourceIpQps（基于客户端源IP限速）时，基于客户端源IP限速
内容管理、大数据分析和分析工作负载程序等。 图1 CCE挂载文件存储卷 使用说明 符合标准文件协议：用户可以将文件系统挂载给服务器，像使用本地文件目录一样。 数据共享：多台服务器可挂载相同的文件系统，数据可以共享操作和访问。 私有网络：数据访问必须在数据中心内部网络中。 容量与性
配置命名空间权限（控制台） CCE中的命名空间权限是基于Kubernetes RBAC能力的授权，通过权限设置可以让不同的用户或用户组拥有操作不同Kubernetes资源的权限。 登录CCE控制台，在左侧导航栏中选择“权限管理”。 在右边下拉列表中选择要添加权限的集群。 在右上角单击“添加权限”，进入添加权限页面。
一键设置节点调度策略 您可以通过控制台将节点设置为不可调度，系统会为该节点添加键为node.kubernetes.io/unschedulable，效果为NoSchedule的污点。节点设置为不可调度后，新的Pod将无法调度至该节点，节点上已运行的Pod则不受影响。 登录CCE控制台，单击集群名称进入集群。
点或者节点池上，与业务Pod分离，降低集群中的提权攻击风险。因此您可以在系统插件安装页面，将节点亲和策略设置为“指定节点调度”或“指定节点池调度”。 容器安全配置建议 通过设置容器的计算资源限制（request和limit），避免容器占用大量资源影响宿主机和同节点其他容器的稳定性
会每天给联系人发送短信和邮件提醒，最多连续提醒3天。 您可到消息中心“消息接收设置 > 财务信息 > 账户余额预警”中修改预警提醒的联系人信息。 企业主客户可批量为企业子客户设置预警阈值，具体操作请参见批量设置子账号预警阈值。 父主题： 计费类
URL说明 集群管理、节点管理、节点池管理、配额管理的URL格式为：https://Endpoint/uri。其中uri为资源路径，也即API访问的路径。 Kubernetes API、存储管理、插件管理的URL格式为：https://{clusterid}.Endpoint/uri。其中
限，也就是说该用户允许对集群以及所有命名空间中的全部资源进行完全控制。 使用CCE控制台查看集群时，显示情况依赖于命名空间权限的设置情况，如果没有设置命名空间权限，则无法查看集群下的资源。 集群权限（IAM系统策略授权） 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加
当节点cpu和内存负载过高时，会导致节点网络时延过高，或系统OOM，最终展示为不可用。 解决方案： 建议迁移业务，减少节点中的工作负载数量，并对工作负载设置资源上限，降低节点CPU或内存等资源负载。 将集群中对应的cce节点进行数据清理。 限制每个容器的CPU和内存限制配额值。 对集群进行节点扩容。
弹性云服务器-虚拟机：基于弹性云服务器部署容器服务。 弹性云服务器-物理机：基于擎天架构的服务器部署容器服务。 裸金属服务器：基于裸金属服务器部署容器服务，需要挂载本地盘或支持挂载云硬盘。 CCE Turbo集群： 弹性云服务器-虚拟机：基于弹性云服务器部署容器服务，仅支持可添加多张弹性网卡的机型。 弹性
窗时间设置需大于“生命周期”的停止前处理时间，建议在容器停止前命令执行时间的基础上加30s。例如，停止前处理时间设置为30s，因此缩容时间窗设置为60s。 图3 停止前命令 设置节点亲和：Service为节点级别的服务亲和模式时建议设置。在高级配置中选择“调度策略”，设置节点亲和
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
