检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
当持有该凭证的员工离职或已授权的凭证疑似泄露等场景发生时，需要手动吊销集群访问凭证，以确保集群安全。 吊销集群访问凭证的存在两类场景： 子用户（非管理员）：支持吊销自身的集群访问凭证。 主账号或管理员用户（admin用户组用户）：支持吊销其他用户或委托账号的集群访问凭证。 吊销集
Server绑定弹性公网IP。配置完成后，集群API Server将具有公网访问能力。 绑定弹性公网IP后，集群存在公网访问风险，建议为控制节点安全组加固5443端口的入方向规则。详情请参见如何配置集群的访问策略。 此操作将会短暂重启 kube-apiserver 并更新集群访问证书（kubeconfig），请避免在此期间操作集群。
对于需要在节点上提前安装一些工具或者做用户自定义的安全加固等操作时，需要在创建节点的时候注入一些脚本。CCE创建节点提供了Kubernetes安装前和安装后两处注入脚本的功能。但是使用通常碰到如下限制： 注入脚本的字符有限。 各种需求、场景的多样性可能会经常修改注入的脚本内容，而对于CCE节点池的注入脚本是固定的，不适合经常修改。
筛选结果中将会包含多个安全组，找到控制节点的安全组（以[cce集群名称]-cce-control开头），单击“配置规则”。 修改入方向的5443端口规则，单击“修改”。 根据需求修改允许访问的源地址。例如，客户端需要访问API Server的IP为100.*.*.*，则可添加5443端口入方向规则的源地址为100
单击后方“选择镜像”，选择容器使用的镜像。 容器镜像服务 共享版：提供简单易用、安全可靠的镜像管理功能。 我的镜像：可选择您上传的私有镜像。关于上传镜像的操作详情请参见客户端上传镜像。 镜像中心：可选择SWR提供的公共镜像。关于镜像中心的说明请参见镜像中心。 共享镜像：可选择由其他账号共享的镜像。关于共享镜像的操作详情请参见共享私有镜像。
户端实际访问的IP地址或DNS域名匹配。 当客户端无法直接访问集群内网私有IP地址或者公网弹性IP地址时，您可以将客户端可直接访问的IP地址或者DNS域名通过SAN的方式签入集群服务端证书，以支持客户端开启双向认证，提高安全性。典型场景例如DNAT访问、域名访问等特殊场景。 如果
均为容器化实例，分别绑定了两个Local类型的本地存储卷，并通过NodePort服务对外提供访问。 迁移前通过浏览器访问Wordpress站点，创建站点名称为“Migrate to CCE”，并发布一篇文章用于验证迁移后PV数据的完整性。Wordpress中发布的文章会被存储在
请求超时时间 kube-apiserver的请求超时时间 参数名 取值范围 默认值 是否允许修改 作用范围 request-timeout 大于等于0 1m0s 系统配置，不支持修改 CCE Standard/CCE Turbo 请求处理的超时时间 配置建议： 除特殊情况，建议保持默认值1m0s
Ingress控制器插件升级导致集群内Nginx类型的Ingress路由访问异常 问题现象 集群中存在未指定Ingress类型（annotations中未添加kubernetes.io/ingress.class: nginx）的Nginx Ingress路由，NGINX Ingress控制器插件从1
无法访问 无法访问 DNAT网关类型Service 公网 与服务Pod同节点 无法访问 无法访问 无法访问 无法访问 与服务Pod不同节点 无法访问 无法访问 无法访问 无法访问 与服务Pod同节点的其他容器 无法访问 无法访问 无法访问 无法访问 与服务Pod不同节点的其他容器 无法访问
ELB监听器访问控制配置项检查异常处理 检查项内容 检查当前集群Service是否通过annotation配置了ELB监听器的访问控制。 若有配置访问控制则检查相关配置项是否正确。 解决方案 如果配置项存在错误，请参考为负载均衡类型的Service配置黑名单/白名单访问策略进行重新配置。
为负载均衡类型的Service配置黑名单/白名单访问策略 使用负载均衡类型的服务时，您可以通过添加白名单和黑名单的方式控制访问负载均衡监听器的IP。 白名单：指定的IP允许访问，而其它IP不能访问。 黑名单：指定的IP不能访问，而其它IP允许访问。 配置黑名单/白名单访问策略后，如果
51s 访问WordPress 获取WordPress的外部访问地址。 单击WordPress工作负载名称，进入工作负载详情页。在“访问方式”页签下可以看到WordPress的IP地址，其中公网地址就是外部访问地址。 图6 访问WordPress应用 在浏览器中输入“外部访问地址:端口”，即可成功访问应用。
任务ID（job_id） 登录CCE控制台，在左侧导航栏中选择“集群管理”。此处以集群管理为例，获取正在创建中的集群job_id。 图4 创建集群 获取job_id。 以Chrome浏览器为例，F12打开浏览器Console，单击“Network”。 单击CCE控制台中的“操作记录”，查看集群操作记录详情。
连接集群 通过kubectl连接集群 通过CloudShell连接集群 通过X509证书连接集群 通过自定义域名访问集群 配置集群API Server公网访问 吊销集群访问凭证 父主题： 集群
服务发现使用域名的方式，注册的服务的域名为：服务名.命名空间.svc.cluster.local 。这种使用有限制，注册中心部署必须容器化部署。 方案二：容器部署使用主机网络部署，然后亲和到集群的某一个节点，这样可以明确知道容器的服务地址（就是节点的地址），注册的地址为：服务所在
如果涉及集群跨VPC访问其他服务的场景，您还需要关注所访问的云服务是否允许VPC外部访问，如部分服务可能需要添加白名单或放通安全组才允许访问。对于VPC网络模型的集群，您还需要额外放通容器网段。 以VPC网络模型的集群访问另一VPC下的ECS为例，您需要在ECS的安全组中放通集群所在VPC网段以及容器网段，才可
、虚拟机，其运行结果是一致的。因此可以很轻易地将在一个平台上运行的应用，迁移到另一个平台上，而不用担心运行环境的变化导致应用无法正常运行的情况。 更轻松的维护和扩展 Docker使用的分层存储以及镜像的技术，使得应用重复部分的复用更为容易，也使得应用的维护更新更加简单，基于基础镜
NodePort：用于从集群外部访问的场景，通过节点上的端口访问Service，详细介绍请参见NodePort类型的Service。 LoadBalancer：用于从集群外部访问的场景，其实是NodePort的扩展，通过一个特定的LoadBalancer访问Service，这个LoadBalanc
为ELB Ingress配置了HTTPS证书后访问异常的原因有哪些？ 为ELB Ingress配置了HTTPS证书后，如果证书配置出现以下问题，可能导致访问异常，您可以参考表格中的原因进行排查。 访问异常原因 问题现象 解决方案 证书已过期 通过curl命令测试时报错信息如下： SSL
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
