检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CCE集群中新增节点时无法添加新的节点，提示子网剩余可用IP不足。 原因分析： 集群默认的节点子网网段较小，子网中的私有IP已用完，无法为节点分配新的私有IP。 解决方法： 场景一：VPC网段的IP未分配完 您可以在创建节点时，在网络配置中选择一个新的节点子网。如果没有可用的节点子网，您可以前
登录云容器引擎（CCE）控制台，单击集群名称进入集群，选择左侧导航栏的“日志中心”。 未进行授权的用户需要先授权，已授权的用户可忽略本步骤。 在弹出框中单击“确认授权”。 图1 添加授权 在页面中勾选需要采集的日志类型，单击“开启”，等待约30秒后，页面自动跳转。 图2 开启 采集容器标准输出：您可按需开启，开启
CCE集群纳管节点时的常见问题及排查方法？ 概述 本文主要介绍纳管/添加已有的ECS实例到CCE集群的常见问题。 纳管时，会将所选弹性云服务器的操作系统重置为CCE提供的标准镜像，以确保节点的稳定性，请选择操作系统及重置后的登录方式。 所选弹性云服务器挂载的系统盘、数据盘都会在纳管时被格式化，请确保信息已备份。
er与聚合API server的网络直接连通，攻击者就可以利用这个漏洞向聚合API服务器发送任何API请求； 如果集群开启了匿名用户访问的权限，则匿名用户也利用这个漏洞。不幸的是Kubernetes默认允许匿名访问，即kube-apiserver的启动参数”-- anonymou
NodePort：用于从集群外部访问的场景，通过节点上的端口访问Service，详细介绍请参见NodePort类型的Service。 LoadBalancer：用于从集群外部访问的场景，其实是NodePort的扩展，通过一个特定的LoadBalancer访问Service，这个LoadBalanc
Service解决了Pod的内外部访问问题，但还有下面这些问题没解决。 同时访问所有Pod 一个Service内部的Pod互相访问 Headless Service正是解决这个问题的，Headless Service不会创建ClusterIP，并且查询会返回所有Pod的DNS记录，这样就
为ELB Ingress配置黑名单/白名单访问策略 使用ELB Ingress时，您可以通过添加白名单和黑名单的方式控制访问负载均衡监听器的IP。 白名单：指定的IP允许访问，而其它IP不能访问。 黑名单：指定的IP不能访问，而其它IP允许访问。 前提条件 已创建一个CCE Standard或CCE
ELB监听器访问控制配置项检查异常处理 检查项内容 检查当前集群Service是否通过annotation配置了ELB监听器的访问控制。 若有配置访问控制则检查相关配置项是否正确。 解决方案 如果配置项存在错误，请参考为负载均衡类型的Service配置黑名单/白名单访问策略进行重新配置。
节点无法连接互联网（公网），如何排查定位？ 当节点无法连接互联网时，请参照如下方法排查。 排查项一：节点是否绑定弹性IP 登录ECS控制台，查看节点对应的弹性云服务器是否已绑定弹性IP。 若弹性IP一栏有IP地址，表示已绑定弹性IP。若没有，请为弹性云服务器绑定弹性IP。 图1 节点是否已绑定弹性IP
在Kubernetes集群中，当一个节点需要访问位于其他节点上的Pod时，通常情况下，Pod的响应数据包会被自动执行SNAT，此时源地址会从Pod的IP地址变更为节点的IP地址。这种自动的IP地址转换可能会导致通信异常，从而使得跨节点的访问变得不可行。 为了确保节点能够正常访问位于其他节点上的Pod，需要将节
自定义的安全加固等操作时，需要在创建节点的时候注入一些脚本。CCE创建节点提供了Kubernetes安装前和安装后两处注入脚本的功能。但是使用通常碰到如下限制： 注入脚本的字符有限。 各种需求、场景的多样性可能会经常修改注入的脚本内容，而对于CCE节点池的注入脚本是固定的，不适合经常修改。
Polkit（PolicyKit）是一个用于在类Unix操作系统中控制系统范围权限的组件。pkexec是Plokit框架中的一部分，执行具有提升权限的命令，是sudo的替代方案。请使用Polkit的用户及时安排自检并做好安全加固。 参考链接：https://www.qualys.
单击后方“选择镜像”，选择容器使用的镜像。 容器镜像服务 共享版：提供简单易用、安全可靠的镜像管理功能。 我的镜像：可选择您上传的私有镜像。关于上传镜像的操作详情请参见客户端上传镜像。 镜像中心：可选择SWR提供的公共镜像。关于镜像中心的说明请参见镜像中心。 共享镜像：可选择由其他账号共享的镜像。关于共享镜像的操作详情请参见共享私有镜像。
Region）的OBS桶。CCE支持工作负载使用其他区域的OBS桶，在某些场景下有利于提升OBS桶的资源利用率，但跨区域使用OBS相比同区域访问时延波动要更大。 约束与限制 CCE容器存储（Everest）版本要求1.2.42及以上版本。 挂载存储的节点必须能够访问OBS桶，跨区
CCE集群的节点是否支持绑定多网卡？ CCE集群的节点不支持绑定多网卡，请勿手动绑定多网卡，否则会对集群的网络访问造成影响。 父主题： 网络规划
51s 访问WordPress 获取WordPress的外部访问地址。 单击WordPress工作负载名称，进入工作负载详情页。在“访问方式”页签下可以看到WordPress的IP地址，其中公网地址就是外部访问地址。 图6 访问WordPress应用 在浏览器中输入“外部访问地址:端口”，即可成功访问应用。
IP直接访问另外一个集群的Pod。同理，如果两端集群的节点需要相互访问，节点安全组需要放通对端集群的VPC网段。 两端的VPC路由表中均需要添加访问对端网段的路由。例如，VPC 1的路由表需添加访问VPC 2网段的路由，同时，VPC 2的路由表也需要添加访问VPC 1的路由。 添
filter，在内核以及权限满足时受该漏洞影响。 CCE当前不受影响 判断方法 uname -a查看内核版本号 规避和消减措施 CCE集群节点不受该漏洞影响。对于自建的K8s集群，建议用户对工作负载： 最小权限运行容器 根据社区提供的配置方法配置seccomp 相关链接 https://blog.aquasec
节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 选择器：添加标签，Service根据标签选择Pod，填写后单击“确认添加”。也可以引用已有工作负载的标签，单击“引用负载标签”，在弹出的窗口中选择负载，然后单击“确定”。
对性能要求不高：由于需要额外的VXLAN隧道封装，相对于另外两种容器网络模式，性能存在一定的损耗（约5%-15%）。所以容器隧道网络适用于对性能要求不是特别高的业务场景，比如：Web应用、访问量不大的数据中台、后台服务等。 大规模组网：相比VPC路由网络受限于VPC路由条目配额的限制，容器隧道
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
