天翼云容器镜像服务协议，详情请参见这里。

本文介绍了该产品的服务等级协议。 产品服务等级协议，详情参见《天翼云分布式容器云平台服务等级协议》。

本节介绍云容器引擎的最佳实践：使用等保加固版本CTyunOS镜像。 云容器引擎提供了CTyunOS的等保2.0标准三级版操作系统镜像，该版本操作系统镜像实现了国家信息安全部发布的《GB/T222392019信息安全技术网络安全等级保护基本要求》中对操作系统提出的大部分三级安全要求，其中主要安全加固模块有：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范。用户可以为节点池的工作节点选择实现了等保加固的CTyunOS操作系统。 使用方式 开通新集群在节点池订购页面选择CTyunOS加固版操作系统镜像。 新建节点池选择CTyunOS加固版操作系统镜像并扩容。 升级节点池功能中勾选更换操作系统并选择加固版操作系统镜像。 使用须知 CTyunOS等保加固版本镜像实现了《GB/T222392019信息安全技术网络安全等级保护基本要求》中对操作系统提出的大部分第三级安全要求，但这并不代表该加固版操作系统可以确保通过第三方的操作系统等保加固标准测试，相关通过标准和风险需要用户自行评估。 如需禁用root通过ssh登录并创建管理员账号进行系统管理请用户运行/root/extraenhance.py文件按指引执行。 部分未执行的加固项需要用户根据实际需求自行完成，详细见/root/extraenhance.py文件输出。 虽然等保加固版本的操作系统在性能上与普通版本的操作系统没有显著差距，但是加固项的引入会增加后期用户的维护成本（如密码管理、文件权限管理、日志审计等），因此，如无特殊需要仍建议用户使用普通版本CTyunOS镜像。 CTyunOS等保加固版本镜像对账户密码做了一定的限制，用户在使用过程中需要根据这些限制留意密码的管理和维护，其中包括： 1、密码有效期为90天，密码到期后需要进行密码重置以更新密码的有效期。 2、密码长度至少为8位，并且至少包含一个大写字母、一个小写字母、一个特殊字符以及一个数字字符，在云主机控制台进行密码重置时务必确认输入的密码符合该要求，否则密码重置会失败，如密码test@2025会重置失败，而Test@2025可以重置成功。 3、密码重用次数最大为五次，重用次数超过五次将导致密码重置失败。 4、输入密码错误次数超过五次时将锁定账户禁止登录，锁定时长为900秒。

本节主要介绍计费模式 容器镜像服务目前商用免费。

本节介绍该产品服务等级协议。 产品服务等级协议，详情参见天翼云云容器引擎服务等级协议。

本文主要介绍最佳实践 天翼云容器镜像服务最佳实践.pdf

本文介绍容器安全卫士的计费模式。 计费模式 容器安全卫士当前支持包年/包月计费模式。 支持续订，续订周期为3个月起。关于续订的更多信息请参见续订。 计费项 容器安全卫士根据产品版本 、防护节点数量进行收费。 计费项 说明 产品版本 提供标准版、高级版。不同版本差异请参见[]( 防护节点数量 购买后若需要增加防护节点，可以扩容，详细操作请参见[]( 说明 一个账号支持购买一个包周期实例，实例必须绑定一个主套餐版本，可叠加购买节点。 产品价格 产品标准价格如下： 计费项 标准版（单节点） 高级版（单节点） 主套餐 290元/月 500元/月

本节介绍了容器镜像服务的产品规格。 规格说明：

本文主要介绍相关术语解释 镜像（Image） 容器镜像是一个模板，是容器应用打包的标准格式，在部署容器化应用时可以指定镜像，镜像可以来自于镜像中心或者用户的私有Registry。例如一个容器镜像可以包含一个完整的Ubuntu操作系统环境，里面仅安装了用户需要的应用程序及其依赖文件。容器镜像用于创建容器。容器引擎本身提供了一个简单的机制来创建新的镜像或者更新已有镜像，您也可以下载其他人已经创建好的镜像来使用。 容器（Container） 一个通过容器镜像创建的运行实例，一个节点可运行多个容器。容器的实质是进程，但与直接在宿主执行的进程不同，容器进程运行于属于自己的独立的命名空间。 镜像（Image）和容器（Container）的关系，就像是面向对象程序设计中的类和实例一样，镜像是静态的定义，容器是镜像运行时的实体。容器可以被创建、启动、停止、删除、暂停等。 组织 组织用于隔离镜像仓库，每个组织可对应一个公司或部门，将其拥有的镜像集中在该组织下。同一用户可属于不同的组织。支持为帐号下不同用户分配相应的访问权限（读取、编辑、管理）。

排查项二：节点是否配置网络ACL 步骤 1 登录VPC控制台。 步骤 2 单击左侧导航栏的“访问控制 > 网络ACL”。 步骤 3 排查节点所在集群的子网是否配置了网络ACL，并限制了外部访问。 四、VPC的子网无法删除，怎么办？ VPC的子网无法删除可能是因为您在CCE的集群中使用了该VPC的子网，因此需要在CCE界面删除相应的集群后，再删除VPC的子网。 注意 删除集群会将集群内的节点以及运行的工作负载和服务都销毁，请谨慎操作。 不建议在ECS界面删除CCE集群中的节点。 五、 如何修复出现故障的容器网卡？ 容器的网卡出现故障，会导致容器不断重启，且该容器无法对外提供服务。可通过如下步骤修复出现故障的容器网卡： 操作步骤 步骤 1 执行如下命令，删除故障容器的Pod。 kubectl delete pod {podName} n {podNamespace} 其中： {podName} ：替换为实际故障容器所属pod名称。 {podNamespace} ：替换为实际Pod所在的namespace名称。 步骤 2 删除故障容器的Pod之后系统自动为容器重建Pod，从而修复容器网卡。 六、 如何批量修改集群node节点安全组？ 约束与限制 一个安全组关联的实例数量建议不超过1000个，否则可能引起安全组性能下降。 操作步骤 步骤 1 登录VPC控制台，并在左上角选择区域和项目。 步骤 2 在左侧导航树选择“访问控制 > 安全组”。 步骤 3 在安全组界面，单击操作列的“管理实例”。 步骤 4 在“服务器”页签，并单击“添加”。 步骤 5 勾选需要加入安全组的服务器，单击“确定”。您也可以通过服务器的名称、ID、私有IP地址、状态、企业项目或标签进行筛选。 通过修改左下角的单页最大显示条数，您可至多一次性添加20台服务器至安全组中。 注意 加入新的安全组后，节点仍保留原安全组。如需移除，请单击原安全组的“管理实例”按钮，并勾选其中的节点服务器进行移除。

本节介绍了容器镜像服务:容器镜像常用操作。 安装容器运行时 常见的容器运行时包括以下3种，可以根据需求选择安装。 Docker Containerd CRIO docker常用操作 1. 登录容器镜像服务实例。 plaintext docker login usernamecrsuser testregistryhuadong1.crs.ctyun.cn 登录的用户名和密码为开通实例时设置的用户名和密码，如果忘记密码，可以在访问凭证页面重置密码。 2. 拉取镜像。 plaintext docker pull testregistryhuadong1.crs.ctyun.cn/nstest/repotest: 3. 推送镜像。 plaintext docker tag testregistryhuadong1.crs.ctyun.cn/nstest/repotest: docker push testregistryhuadong1.crs.ctyun.cn/nstest/repotest: 4. 示例： 使用docker images命令查看本地镜像。 plaintext docker images REPOSITORY TAG IMAGE ID CREATED SIZE busybox latest xxxxxxx 7 weeks ago 4.86MB 使用docker tag命令重命名镜像。 plaintext docker tag b539af69bc01 testregistryhuadong1.crs.ctyun.cn/nstest/repotest:v1 使用docker push命令推送镜像。 plaintext docker push testregistryhuadong1.crs.ctyun.cn/nstest/repotest:v1 ctr常用操作 1. 拉取镜像。 plaintext ctr image pull user tester testregistryhuadong1.crs.ctyun.cn/nstest/repotest: 2. 推送镜像。 plaintext ctr image tag testregistryhuadong1.crs.ctyun.cn/nstest/repotest: ctr image push user tester testregistryhuadong1.crs.ctyun.cn/nstest/repotest: 3. 示例： 使用ctr image ls命令查看本地镜像。 plaintext ctr image ls REF TYPE DIGEST SIZE PLATFORMS LABELS docker.io/library/busybox:latest application/vnd.docker.dist... sha256:3fbc632167424... 2.1 MiB linux/amd6 使用ctr image tag命令重命名镜像。 plaintext ctr image tag docker.io/library/busybox:latest testregistryhuadong1.crs.ctyun.cn/nstest/repotest:v1 使用ctr image push命令推送镜像。 plaintext ctr image push user tester testregistryhuadong1.crs.ctyun.cn/nstest/repotest:v1

维度 子维度 CCE Turbo集群 CCE集群 集群 定位 面向云原生2.0的新一代容器集群产品，计算、网络、调度全面加速 标准版本集群，提供商用级的容器集群服务 集群 节点形态 支持虚拟机和物理机混合 支持虚拟机和物理机混合 网络 网络模型 云原生网络2.0 ：面向大规模和高性能的场景。 组网规模最大支持2000节点 云原生网络1.0 ：面向性能和规模要求不高的场景。 容器隧道网络模式 VPC网络模式 网络 网络性能 VPC网络和容器网络融合，性能无损耗 VPC网络叠加容器网络，性能有一定损耗 网络 容器网络隔离 Pod可直接关联安全组，基于安全组的隔离策略，支持集群内外部统一的安全隔离。 隧道网络模式：集群内部网络隔离策略，支持Networkpolicy。 VPC网络模式：不支持 安全 隔离性 物理机：安全容器，支持虚机级别的隔离 虚拟机：普通容器 普通容器，Cgroups隔离

本节介绍了容器镜像服务常见问题:购买类。 什么是命名空间/项目？ 命名空间定义了属性与镜像存储空间。用户需要首先建立命名空间，才能在命名空间下建立镜像仓库，并上传镜像。 说明 旧版本将命名空间定义为项目，两者本质是一致。 容器镜像服务最多能存储多少个镜像？ 容器镜像服务对存储的对象数量没有限制，但是镜像所占用空间之和无法超过镜像所在的总空间，您可以根据需要合理安排空间的使用。 docker push将镜像推送到容器镜像服务使用的什么协议？ docker push将镜像推送到容器镜像服务使用的是HTTPS协议。HTTPS是一种安全超文本传输协议，通过计算机网络进行安全通信的传输协议，HTTPS 利用 SSL/TLS 来加密数据包，提供身份认证、保护交换数据的隐私与完整性。

本章节介绍通过Demo应用，快速体验容器应用托管。 概述 在微服务云应用平台中接入您的应用进行发布，所支持的介质类型大体上可分为制品（JAR/WAR/TAR包等）、镜像等，您可以按实际需求选择接入的方式。 为了帮助您快速体验如何将微服务应用托管到容器。微服务云应用平台提供了官方Demo应用，您可以将该Demo应用托管到到容器中。本文介绍部署两个Demo应用：consumer和provider应用，并验证consumer调用provider。 托管Demo微服务应用 前提条件 1. 您已开通微服务云应用平台 2. 您已订购一个云容器引擎实例 3. 您已订购一个nacos注册中心实例 4. 您已开通微服务治理中心 【可选】 5. 您已开通应用性能监控 【可选】 创建环境和导入资源 说明 环境：即我们常说的开发环境、生产环境，是用于应用部署和运行的计算、网络、中间件等资源的集合。 例如可以把同VPC下的云容器引擎、注册中心、数据库等实例组成一个环境。 资源：是支撑应用运行的设施，资源可以导入到环境里供应用使用。例如常用资源包括：云容器引擎、ECS、注册配置中心、微服务治理中心、应用性能监控、数据库实例等。 在左侧导航栏，选择环境管理。在环境列表左上角点击创建环境。环境创建好后，进入环境详情页面，将云容器引擎实例和nacos注册中心实例导入到环境中。

本文主要介绍云日志服务与其他服务的关系。 虚拟私有云(CTVPC ，Virtual Private Cloud) 虚拟私有云为您需要接入的弹性云主机或容器集群提供一个逻辑隔离的区域，构建一个安全可靠、 可配置和管理的虚拟网络环境。更多信息请参见虚拟私有云。 弹性云主机（CTECS，Elastic Cloud Server） 通过云日志服务，您可采集弹性云主机上的应用日志。云主机由 CPU、内存、镜像、云硬盘组成，同时结合VPC、安全组、数据多副本保存等能力，打造一个既高效又可靠安全的计算环境。更多信息请参见弹性云主机。 云容器引擎 云容器引擎提供高可靠高性能的企业级容器应用管理服务，支持Kubernetes社区原生应用和工具，帮助用户在云上轻松部署、管理和扩展容器化应用。更多信息请参见云容器引擎产品介绍。 VPC终端节点 VPC终端节点（CTVPCEP，VPC EndPoint）可以在VPC内提供便捷、安全、私密的通道与云日志服务进行连接，用于进行日志数据上报。该服务使用天翼云内部网络，无需弹性公网IP，为您提供性能更加强大、更加灵活的网络。更多信息请参见VPC终端节点产品介绍。

检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

专属云中的云容器引擎 场景特点：专属云容器引擎在天翼公有云中为企业用户提供物理隔离的资源和服务专属云空间。租户独占计算资源和存储资源，并使用天翼云高可靠的云网络，满足租户应用系统的高可靠、高性能和高安全等要求，支撑企业关键应用，减轻企业运维负担 场景优势： 专属隔离 租户在专属云中独享计算资源、存储资源和容器集群，与公有云其它租户的资源物理隔离，满足特殊行业核心数据隔离合规等要求 安全可靠 资源独占零抖动，服务专享高安全，可支持云上云下双中心、多点容灾备份 灵活组合 专属云中的云容器引擎支持与数据库、应用平台等服务实例对接，可灵活搭配公有云服务，实现资源弹性扩容

本节介绍委托、IAM权限策略和RBAC权限关系,以及如何为服务账号授予相应权限。 根据权限类型，分布式云容器平台的权限包括服务角色、IAM权限策略和RBAC权限。您需要为服务账号授予对应的权限，才能正常使用分布式云容器平台的功能。 权限类型 权限类型 是否必须授权 授权说明 委托 使用开通订购功能时必须授权，使用主账号或子账号授权一次即可。 授权后分布式云容器平台才能访问其他关联的云服务资源。 IAM系统权限策略 主账号默认拥有所有权限，无需额外授权。而子账号必须授权后才能访问分布式云容器平台。 授权后子账号才能使用分布式云容器平台系统功能。 RBAC权限 主账号默认拥有所有权限，无需额外授权。子账号可以根据需求授予权限，如果没有授权，则采用默认只读权限。 授权后，子账号才能对分布式云容器平台集群内的K8s资源进行操作。 委托 云服务委托是指，在特定业务场景下，云服务为实现特定功能目标，通过获取其他云服务的访问权限，自动化管理关联资源，从而优化整体服务质量的一种协作机制。 例如，分布式云容器平台上订购注册集群后，需要关联创建ELB、安全组等资源。分布式云容器平台通过委托机制获取关联服务权限，从而自动地完成配置和关联资源创建，提升订购功能的使用体验。 分布式云容器平台目前提供以下服务角色，具体的策略内容请参见IAM控制台。 委托名称 权限说明 CtyunAssumeRoleForCCEONE 分布式云容器平台在集群管控操作中使用该角色访问您在ELB、EIP、安全组等服务中的资源。

本小节介绍Agent。 Agent是企业主机安全（Host Security Service, HSS）提供的Agent，用于执行检测任务，全量扫描主机/容器；实时监测主机/容器的安全状态，并将收集的主机/容器信息上报给云端防护中心。 Agent的作用 每日凌晨定时执行检测任务，全量扫描主机/容器；实时监测主机/容器的安全状态；并将收集的主机/容器信息上报给云端防护中心。 根据您配置的安全策略，阻止攻击者对主机/容器的攻击行为。 说明 如果未安装Agent或Agent状态异常，您将无法使用企业主机安全服务。 网页防篡改与主机安全共用同一个Agent，您只需在同一主机安装一次。 Linux Agent相关进程 Agent进程运行账号：root。 Agent包含以下进程： Agent进程名称 进程功能 进程所在路径 hostguard 该进程用于系统的各项安全检测与防护、Agent进程的守护和监控。 /usr/local/hostguard/bin/hostguard upgrade 该进程用于Agent版本的升级。 /usr/local/hostguard/bin/upgrade Windows Agent相关进程 Agent进程运行账号：system。 Agent包含以下进程： Agent进程名称 进程功能 进程所在路径 HostGuard.exe 该进程用于系统的各项安全检测与防护。 C:Program Files (x86)HostGuardHostGuard.exe HostWatch.exe 该进程用于Agent进程的守护和监控。 C:Program Files (x86)HostGuardHostWatch.exe upgrade.exe 该进程用于Agent升级。 C:Program Files (x86)HostGuardupgrade.exe

本文介绍弹性容器实例ECI的产品定义。 弹性容器实例（简称ECI）是基于天翼云自研的、敏捷安全的Serverless容器运行服务，具备极速启动、安全可靠、成本低的特点，完全免运维，按使用量付费。 产品概述 天翼云弹性容器实例ECI提供了多种部署方式，包括通过OpenAPI和控制台部署容器应用。此外，您还可以通过天翼云云容器引擎和 Serverless容器引擎产品部署业务，并无缝使用天翼云网络、存储等其它资源服务。无论是哪种部署方式，弹性容器实例ECI都将为您提供快速响应的容器运行环境，实现极高的成本效益。 在使用弹性容器实例ECI时，所有容器都基于完全隔离的资源，您可以按照应用场景的实际需求进行定制和管理，从而更好地支持您的业务发展。同时，弹性容器实例ECI提供了丰富的应用实例化配套服务，包括数据存储、负载均衡、弹性伸缩、监控告警等，从而可以为您提供可靠、稳定、高效的容器运行环境。 产品架构 弹性容器实例 ECI 向下基于天翼云计算、网络及存储构建坚实底座，容器镜像服务CRS 提供了容器镜像全生命周期的托管服务。向上无缝集成天翼云Serverless容器引擎服务，方便用户管理其业务负载。在应用形态上，适用于大数据计算、事件驱动、DevOps、AI大模型等各类应用场景。

Server Client 容器隧道集群（IPVS） VPC集群（IPVS） 容器隧道集群（iptables） VPC集群（iptables） 节点访问类型Service 同节点 OK，Pod容器所在节点通，其他不通 OK，访问Pod容器所在节点通 OK，访问Pod容器所在节点通 OK，访问Pod容器所在节点通 节点访问类型Service 跨节点 OK，Pod容器所在节点通，其他不通 OK，访问Pod容器所在节点通 OK，访问Pod容器所在节点通，访问本节点IP+访问端口通；其他不通 OK，访问Pod容器所在节点通，访问本节点IP+访问端口通；其他不通 节点访问类型Service 同节点容器 OK，Pod容器所在节点通，其他不通 OK，访问Pod容器所在节点不通 OK，访问Pod容器所在节点通 OK，访问Pod容器所在节点不通 节点访问类型Service 跨节点容器 OK，Pod容器所在节点通，其他不通 OK，访问Pod容器所在节点通 OK，访问Pod容器所在节点通 OK，访问Pod容器所在节点通 独享型负载均衡类型Service 同节点 公网通，私网不通 公网通，私网不通 公网通，私网不通 公网通，私网不通 独享型负载均衡类型Service 同节点容器 公网通，私网不通 公网通，私网不通 公网通，私网不通 公网通，私网不通 nginxingress插件的service为Local级别独享型 同节点 公网通，私网不通 公网通，私网不通 公网通，私网不通 公网通，私网不通 nginxingress插件的service为Local级别独享型 同节点容器 公网通，私网不通 公网通，私网不通 公网通，私网不通 公网通，私网不通

本文介绍云容器引擎Serverless版的产品定义。 云容器引擎Serverless版是天翼云提出的Serverless Kubernetes容器服务。与传统Kubernetes集群相比，Serverless集群无需购买节点即可直接部署容器应用，同时无需对集群进行节点维护和容量规划，降低了Kubernetes使用门槛，让用户更专注于应用程序，而不是管理底层基础设施。Serverless集群提供完善的Kubernetes兼容能力，您可以轻松迁移已有的Kubernetes应用到Serverless集群上，并且根据应用配置的CPU和内存资源量进行按需付费。 Serverless集群中的每个Pod都是基于天翼云弹性容器实例ECI运行，实现了安全隔离的容器运行环境。每个容器底层采用轻量级虚拟化安全沙箱技术，实现了容器实例间的强隔离，避免了容器实例间相互影响的问题。Serverless集群还具有易用性、灵活性和安全性等优点，能够满足不同规模应用场景的需求，并提供了完善的监控、日志和核心运维能力。

容器镜像 容器镜像是一种容器化标准交付件，用于打包应用程序及其依赖的环境。可以基于 Dockerfile 文件将应用构建为容器镜像并上传到容器镜像仓库中，然后您可以在测试或者生产环境中拉取容器镜像并启动容器。

高级设置 启停处理 启动执行：用于指定容器在启动时执行的命令和参数。虽然启动执行里有添加命令和添加参数两个按钮，但是我们可以只是用添加命令、或者只使用添加参数、或者两者同时使用，其达到的效果是完全一致的 启动后处理：配置容器在启动完成后执行的命令。用法上和上面的启动执行完全一致 停止前处理：配置容器在停止前执行的命令。用法上和上面的启动执行完全一致 容器健康检查 容器的健康检查支持就绪检查和存活检查两种，建议给容器都配上这两种健康检查方式 就绪检查：会检查容器是否处于ready状态，不就绪则停止转发流量到当前实例 存活检查：检查容器是否正常，不正常则重启实例 三种健康检查方式的公共参数解释： 目前支持三种健康检查方式： Http方式：需要填写端口、协议、请求路径等参数，然后kubelet 会向容器内运行的程序发送一个 HTTP GET 请求来执行探测。如果容器的处理程序返回成功码，则kubelet认为容器是存活/就绪的。如果处理程序返回失败码，则kubelet会杀死这个容器并且重新启动它/认为它没有就绪 Tcp方式：需要填写主机、端口等参数，然后kubelet 会尝试在指定端口和容器建立套接字链接。如果能建立链接，这个容器就被看作是健康的/就绪的，如果不能则这个容器就被看作是有问题的/没有就绪的 命令方式：需要添加命令，然后kubelet 在容器中执行该命令来进行检测。如果命令执行成功并且返回值为0，kubelet会认为这个容器是健康存活的/就绪的。如果这个命令返回非 0 值，kubelet 会杀死这个容器并重新启动它/认为它没有就绪

服务名称 服务类别 关联与区别 防护对象 态势感知（专业版）（SA） 安全管理 SA着重呈现全局安全威胁攻击态势，统筹分析多服务威胁数据和云上安全威胁，并提供防护建议。 呈现全局安全威胁攻击态势。 AntiDDoS流量清洗（AntiDDoS） 网络安全 AntiDDoS集中于异常DDoS攻击流量的检测和防御。 同步相关攻击日志、防护等数据给SA。 保障企业业务稳定性。 企业主机安全（HSS） 主机安全 HSS着手于保障主机整体安全性，检测主机安全风险，执行防护策略。 同步相关告警、防护等数据给SA。 保障主机整体安全性。 Web应用防火墙（独享版）（WAF） 应用安全 WAF服务对网站业务流量进行多维度检测和防护，防御常见攻击，阻断攻击进一步威胁。 同步相关入侵日志、告警数据等给SA，呈现全网Web风险态势。 保障Web应用程序的可用性、安全性。

本小节介绍企业主机安全的计费模式。 计费模式概述 主机安全服务提供包年/包月、按需计费两种计费模式，以满足不同场景下的用户需求。 包年/包月：一种预付费模式，即先付费再使用，按照订单的购买周期进行结算。购买周期越长，享受的折扣越大。 按需计费：一种后付费模式，即先使用再付费，按照主机安全服务实际使用时长计费，秒级计费，按小时结算。按需计费模式允许您根据实际业务需求灵活地调整资源使用，无需提前预置资源，从而降低预置过多或不足的风险。 计费模式 包年/包月 按需计费 ::: 付费方式 预付费按照订单的购买周期结算。 后付费按照主机安全服务实际使用时长计费。 计费周期 按订单的购买周期计费。 秒级计费，按小时结算。 适用计费项 配额版本：基础版、专业版、企业版、旗舰版、网页防篡改版和容器版。 配额版本：企业版、容器版。 关闭防护计费 按订单的购买周期计费。主机、容器关闭防护对包年/包月计费无影响。 关闭防护后不计费。 升级规格 基础版、专业版、企业版支持升级规格。 不支持升级规格。 适用场景 适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。对于长期使用者，推荐该方式。 适用于主机、容器防护需求波动的场景，可以随时开通，随时删除。

本节介绍了：创建一个无状态工作负载——创建工作负载及服务的用户指引。 进入云容器引擎控制台，在集群选项卡中选择一个集群进入集群详情界面。选择工作负载 > 无状态 > 新增 选择命名空间，创建一个Deployment 配置项说明 配置项 说明 Deployment名称 工作负载的名称 数据卷（选填） 为容器提供存储，目前支持临时路径、主机路径、配置文件、本地卷（Local PV）、NFS、Ceph，还需挂载到容器的指定路径中。 实例数量 工作负载的副本数，可选择手动设置或自动伸缩。 实例内容器 工作负载中的容器实例配置，可配置一个或多个。 容器名称 容器实例的名称 镜像及镜像版本 支持选择容器镜像服务企业版、容器镜像服务个人版的镜像。 CPU/内存限制 Request用于预分配资源，当集群中的节点没有request所要求的资源数量时，容器会创建失败。Limit用于设置容器使用资源的最大上限，避免异常情况下节点资源消耗过多。 环境变量（选填） 支持配置容器的环境变量。 启动执行（选填） 启动执行命令：对应镜像的ENTRYPOINT命令，将会覆盖镜像的ENTRYPOINT命令；每个输入框仅输入一个命令或参数。 启动执行参数：对应镜像的CMD命令，将会覆盖镜像的CMD命令；每个输入框仅输入一个命令或参数。 启动后处理 容器启动后执行，注意由于是异步执行，无法保证一定在ENTRYPOINT之后运行；每个输入框仅输入一个命令或参数。 停止前处理 容器停止前执行，常用于资源清理；每个输入框仅输入一个命令或参数。 容器健康检查 存活检查：检查容器是否正常，不正常则重启实例。 就绪检查：检查容器是否就绪，不就绪则停止转发流量到当前实例。 特权级容器 容器开启特权级，将拥有宿主机的root权限。 Container安全上下文 为Container设置安全上下文，仅适用于该Container：若Pod、Container层面都设置了用户、用户组、Selinux上下文，Container的设置会覆盖Pod的设置。 访问设置 配置Service访问负载

前提条件 已创建工作负载，确认容器内服务端口 已创建负载均衡器，可参考：创建负载均衡器 集群组件ccsecloudcontrollermanager（命名空间kubesystem下）版本需大于等于v1.0.4，版本可通过查看组件使用的镜像确认 HTTP/HTTPS请求获取客户端真实源IP地址 负载均衡SVC SVC创建 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“网络”“服务”，点击”创建服务“，进入创建页，进行以下配置： 配置项 说明 类型 选择"负载均衡" 负载均衡 选择已建负载均衡器名称 注解 1、点击“添加注解” 2、注解类型选择“天翼云注解”，注解名称选择“service.beta.kubernetes.io/ctyunloadbalancerxforwardedfor”，值为“true”，点击“添加” 3、注解类型选择“天翼云注解”，注解名称选择“service.beta.kubernetes.io/ctyunloadbalancerprotocolport”，值为“{PORTOCOL}:{PORT}”，点击“添加” 4、如果是https监听，需要添加指定https证书的注解，注解类型选择“天翼云注解”，注册名称选择“service.beta.kubernetes.io/ctyunloadbalancersslcert”,值为https证书的id，点击添加 端口映射 1、填入正确的工作负载容器内端口 2、服务端口填入上一步注解中定义的监听器端口，比如这里配置为88 工作负载绑定 选择需要获取客户端真实ip的工作负载类型、名称 说明 {PROTOCOL}:{PORT}中，PROTOCOL为监听协议，值为http或https；PORT为负载均衡监听器端口，填入一个当前负载均衡器可用端口，比如http:88；https证书的id可从天翼云负载均衡控制台证书列表中获取 配置完成后，点击“提交” 负载均衡SVC创建完成后，到负载均衡控制台，选择指定负载均衡器，查看详情如下： 说明 监听器 监听器会新增一条HTTP88的记录，并已开启“通过XForwardedFor获取客户端IP” 后端主机组 后端主机组新增关联监听器HTTP88的记录

您可以参考本节导出容器节点列表至本地查看。 操作步骤 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在左侧导航栏选择“资产管理 > 容器管理”，进入“容器管理”界面。 说明 如果您的服务器已通过企业项目的模式进行管理，您可选择目标“企业项目”后查看或操作目标企业项目内的资产和检测信息。 4、选择“容器节点管理”页签。 5、在容器列表上方，单击“导出”，导出列表。如需导出部分容器节点信息，请勾选对应的容器节点，然后单击“导出”。 说明 单次最多支持导出1000条容器节点信息。

本文介绍云容器引擎的功能特性。 集群管理 支持1.15/1.18版本的Kubernetes 。 支持设置Master节点数量1个（基础版）或3个（高级版）。 支持50个Worker节点的集群规模。 支持绑定弹性IP，使用云主机、云硬盘、VPC作为集群的基础计算、存储、网络资源。 支持通过不同企业项目纳管集群。 支持挂载普通IO、高IO类型数据盘。 支持通过前端web界面及后台kubectl操控集群。 支持管理命名空间，可创建/删除命名空间。 节点管理 支持查看节点基本信息，节点事件记录，并进行节点重启等基本操作。 支持查看节点资源的使用情况，包括CPU、内存、网络速率、硬盘使用量等指标。 工作负载管理 支持创建与管理无状态应用（Deployment）、有状态应用（StatefulSet）。 支持最大100个实例数，支持同时多容器创建，支持用户自定义容器规格、容器镜像、环境变量等，支持容器生命周期处理，支持用户进行健康检查、本地存储卷HostPath，LocalVolume的容器数据存储挂载、容器日志挂载等设置。支持与节点、应用的亲和性、反亲和性调度策略。支持手动与自动触发应用伸缩，支持Pod级别的水平伸缩告警策略，可设置CPU使用率及物理内存使用率两种指标。支持迁移时间窗设置，支持通过YAML文件进行直接编辑应用。 支持负载应用的升级、版本回退功能。 支持查看应用资源的使用情况，包括CPU、内存、网络速率等指标，支持进行事件查看。 支持管理应用标签及注解，可自定义标签的key与value。 支持容器组管理，可查看容器组详细信息，并提供容器终端可实现对容器内部进行操控。

本节主要介绍购买混合集群。 您可以通过云容器引擎控制台非常方便快速的创建Kubernetes集群。Kubernetes是大规模容器集群管理软件，一个集群可以管理一组节点资源。 CCE集群支持虚拟机与裸金属服务器混合、支持GPU等异构节点的混合部署，基于高性能网络模型提供全方位、多场景、安全稳定的容器运行环境，您可以通过购买节点实现多种场景的混合部署。 前提条件 创建首个集群前，您必须先确保已存在虚拟私有云，否则无法创建集群。若您已有虚拟私有云，可重复使用，无需重复创建。 虚拟私有云为CCE集群提供一个隔离的、用户自主配置和管理的虚拟网络环境。 您需要新建一个密钥对，用于远程登录节点时的身份认证。 若使用密码登录节点，请跳过此操作。 创建集群前，请提前规划好容器网段和服务网段。网段参数在集群创建后不可更改，需要重新创建集群才能调整，请谨慎选择。 创建集群须知 创建集群过程中会同步创建一些基础资源，列表如下： 资源名称 描述 控制节点及其相关资源 存在于云容器引擎资源租户下，用户不可见。 弹性云主机（可选创建） 集群节点，即用户的计算资源，对应“弹性云主机”中的ECS。 ECS命名规则为：集群名称随机数，可自定义，批量创建时会再加一串随机数。 安全组 集群会创建两个安全组，一个用于管理集群控制节点的安全组，一个用于管理集群工作节点的安全组。 警告 集群创建时自动创建的安全组以及安全组规则禁止删除，否则会导致集群异常。 1. 控制节点安全组 命名规则：集群名称ccecontrol随机数 作用： 出方向允许。 其他节点访问控制节点kubernetes相关服务。 2. 工作节点安全组 命名规则：集群名称ccenode随机数 作用： 出方向允许。 开放linux或windows远程登录（22、3389）。 kubernetes组件之间访问使用（4789、10250）。 kubernetes用于对外开放的端口（3000032767）。 相同安全组之间可以互相访问。 磁盘（可选创建） 分别给各个节点创建两个磁盘，一个是节点的系统盘，一个是给docker运行使用的数据盘。 弹性IP（可选创建） 需用户选择，给节点绑定弹性IP ，可以使节点访问外网。

本小节介绍SWR私有镜像管理。 私有镜像仓库中的镜像来源于容器镜像服务(SWR)的自有镜像，企业主机安全支持对这些共享镜像手动执行漏洞、恶意文件、软件信息、文件信息、基线检查、敏感信息的扫描并提供扫描报告。 约束限制 仅HSS容器版支持该功能。 仅支持对Linux镜像执行安全扫描。 查看私有镜像 1、 登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 3、 在左侧导航栏中，选择“资产管理 > 容器管理” ，进入容器管理界面，选择“容器镜像 > SWR私有镜像”页签。 4、单击“从SWR更新自有镜像”，可以同步SWR所有自有镜像。 手动扫描私有镜像 您可以手动执行全量、批量或单镜像的安全扫描。安全扫描的时长主要取决于镜像的大小。一般情况下扫描一个镜像可以在三分钟之内完成，扫描完成后，单击“安全报告”查看安全报告。 SWR私有镜像支持的安全扫描项如下： 扫描项 说明 漏洞 检测镜像中存在的漏洞。 恶意文件 检测镜像中存在的恶意文件。 软件信息 统计镜像中的软件信息。 文件信息 统计镜像中的文件信息。 基线检查 配置检查： − 检测CentOS 7、Debian 10、EulerOS和Ubuntu16镜像的系统配置项。 − 检测SSH应用配置项。 弱口令检查：检测镜像中存在的弱口令。 口令复杂度检查：检测镜像中不安全的口令复杂度策略。 敏感信息 检测镜像中含有敏感信息的文件。 默认不检测的路径如下： − /usr/ − /lib/ − /lib32/ − /bin/ − /sbin/ − /var/lib/ − /var/log/ − /nodemodules/ / .md − /nodemodules//test/ − /service/iam/examplestest.go − /grafana/public/build/.js 说明 可在“漏洞报告>敏感信息”页面，单击“敏感文件过滤路径管理”，设置不需要检测的Linux路径，最多可添加20个路径。 不检测的场景如下： − 文件大于20M。 − 文件类型为二进制、常用进程和自动生成类型。 软件合规 检测不允许使用的软件和工具。 基础镜像信息 检测未使用基础镜像构建的业务镜像。 1、登录管理控制台，进入企业主机安全页面。 2、在左侧导航栏中，选择“资产管理 > 容器管理”，进入容器管理界面。 3、选择“容器镜像 > 私有镜像仓库”，展开镜像名称，单击“操作”列的“安全扫描”，扫描单个镜像。 4、 在弹出的提示框中，单击“确定”，启动扫描任务。 5、待目标镜像“扫描状态”列显示为“扫描完成”，即扫描结束。