本文介绍访问DDoS高防（边缘云版）域名资源出现404状态码的排查过程。 问题现象 在使用天翼云DDoS高防（边缘云版）时，出现404报错页面。 问题原因 404状态码是HTTP协议中的一种状态码，表示客户端所请求的资源未找到。当服务器无法找到与请求的URL对应的资源时，会返回404状态码给客户端，Web浏览器中显示为“页面未找到”、“页面不存在”或类似的提示，具体如下图示： 导致该错误的原因可能有如下几种： 场景一：网站配置未正确配置：如果网站配置未正确配置，指向了错误的资源路径，源站会无法找到正确的内容，从而导致404页面的出现。 场景二：服务器资源不存在：如果网站管理员删除或重命名源服务器上的某个文件或目录，服务器对应旧URI路径的资源不存在，那么边缘节点将无法得到对应的文件，从而返回404状态码。 场景三：拼写错误或客户端URL生成规则错误：如果在URL中存在拼写错误、文件路径错误或客户端URL生成规则有误等问题，将无法在服务器找到对应的资源，从而返回404状态码。 解决方案 如果您遇到访问出现404页面的情况，根据不同场景，可以尝试以下解决方法： 场景一：检查网站配置是否正确：控制台网站配置的回源域名/回源IP、回源HOST、回源端口、回源协议等配置是否正确。 1、回源域名/回源IP错误：检查回源域名/回源IP配置是否为目标源服务器的域名或IP、拼写是否正确。 2、回源HOST配置错误：回源HOST用于指定边缘节点回源时，请求URI具体的资源站点位置。如果回源HOST配置错误，源站无法根据HOST定位到URI资源的站点位置，源站也会响应404。回源域名/回源IP、回源HOST的区分如下： 回源域名/回源IP：指您的源站服务器，即存储和提供网站内容的主要服务器，该地址决定了回源时建连的具体IP地址。 回源HOST：指边缘节点回源请求头中携带的HOST字段值，决定了回源请求访问到源IP地址上的具体站点位置。若未指定回源HOST，默认取值当前加速域名。 3、回源端口/回源协议配置错误：该问题通常存在于源站端口非默认80/443端口，或http、https仅单一协议中存在资源。例如： 源站HTTP服务端口为81，则需要修改回源配置，自定义【源站端口】为HTTP 81，同时需要修改回源协议为HTTP。 源站HTTPS服务端口为82，目前HTTPS服务端口不支持自助自定义，请提交工单联系天翼云客服进行配置。 源站仅单一协议存在资源（HTTP默认80端口，HTTPS默认443端口），则根据实际源站情况，修改回源协议为HTTP或HTTPS。

操作场景 健康检查是指容器运行过程中，根据用户需要，定时检查容器健康状况。若不配置健康检查，如果服务出现业务异常，pod将无法感知，也不会自动重启去恢复业务。最终导致虽然pod状态显示正常，但pod中的业务异常的情况。 CCE提供了两种健康检查的探针： 工作负载存活探针：用于检测容器是否正常，类似于我们执行ps命令检查进程是否存在。如果容器的存活检查失败，集群会对该容器执行重启操作；若容器的存活检查成功则不执行任何操作。 工作负载业务探针：用于检查用户业务是否就绪，不就绪则不转发流量到当前实例。一些程序的启动时间可能很长，比如要加载磁盘数据或者要依赖外部的某个模块启动完成才能提供服务。这时候程序进程在，但是并不能对外提供服务。这种场景下该检查方式就非常有用。如果容器的就绪检查失败，集群会屏蔽请求访问该容器；若检查成功，则会开放对该容器的访问。 检查方式 HTTP 请求检查 HTTP 请求方式针对的是提供HTTP/HTTPS服务的容器，集群周期性地对该容器发起HTTP/HTTPS GET请求，如果HTTP/HTTPS response返回码属于200~399范围，则证明探测成功，否则探测失败。使用HTTP请求探测必须指定容器监听的端口和HTTP/HTTPS的请求路径。 例如：提供HTTP服务的容器，HTTP检查路径为：/healthcheck；端口为：80；主机地址可不填，默认为容器实例IP，此处以172.16.0.186为例。那么集群会周期性地对容器发起如下请求：GET TCP 端口检查 对于提供TCP通信服务的容器，集群周期性地对该容器建立TCP连接，如果连接成功，则证明探测成功，否则探测失败。选择TCP端口探测方式，必须指定容器监听的端口。 例如：我们有一个nginx容器，它的服务端口是80，我们对该容器配置了TCP端口探测，指定探测端口为80，那么集群会周期性地对该容器的80端口发起TCP连接，如果连接成功则证明检查成功，否则检查失败。 执行命令检查 命令检查是一种强大的检查方式，该方式要求用户指定一个容器内的可执行命令，集群会周期性地在容器内执行该命令，如果命令的返回结果是0则检查成功，否则检查失败。 对于上面提到的TCP端口检查和HTTP请求检查，都可以通过执行命令检查的方式来替代： − 对于TCP端口探测，我们可以写一个程序来对容器的端口进行connect，如果connect成功，脚本返回0，否则返回1。 − 对于HTTP请求探测，我们可以写一个脚本来对容器进行wget。 wget 并检查response 的返回码，如果返回码在200~399 的范围，脚本返回0，否则返回1。 须知： 必须把要执行的程序放在容器的镜像里面，否则会因找不到程序而执行失败。 如果执行的命令是一个shell脚本，由于集群在执行容器里的程序时，不在终端环境下，因此不能直接指定脚本为执行命令，需要加上脚本解决器。比如脚本是/data/scripts/healthcheck.sh ，那么我们使用执行命令检查时，指定的程序应该是sh /data/scripts/healthcheck.sh 。究其原因是集群在执行容器里的程序时，不在终端环境下。 表公共参数说明 参数 参数说明 延迟时间 延迟检查时间，单位为秒，此设置与业务程序正常启动时间相关。 例如，设置为30，表明容器启动后30秒才开始健康检查，该时间是预留给业务程序启动的时间。 超时时间 超时时间，单位为秒。 例如，设置为10，表明执行健康检查的超时等待时间为10秒，如果超过这个时间，本次健康检查就被视为失败。若设置为0或不设置，默认超时等待时间为1秒。

简单易用 容器镜像服务的管理控制台简单易用，支持镜像的全生命周期管理 安全可靠 容器镜像服务遵循HTTPS协议保障镜像安全传输，提供账号间、账号内多种安全隔离机制，确保用户数据访问的安全 无缝对接CCE 容器镜像服务提供镜像部署入口，与云容器引擎CCE无缝对接，一键式部署容器应用 开放兼容 全面支持社区Registry V2协议，支持通过控制台或社区CLI管理镜像

本文主要介绍容器网络模型对比。 容器网络为集群内Pod分配IP地址并提供网络服务，CCE支持如下几种网络模型，您可在创建集群时进行选择。 容器隧道网络 VPC网络 云原生网络2.0 网络模型对比 主要介绍CCE所支持的网络模型，您可根据实际业务需求进行选择。 注意： 集群创建成功后，网络模型不可更改，请谨慎选择。 表 网络模型对比 对比维度 容器隧道网络 VPC网络 云原生网络2.0 适用场景 一般容器业务场景。 对网络时延、带宽要求不是特别高的场景。 对网络时延、带宽要求高。 容器与虚机IP互通，使用了微服务注册框架，如Dubbo、CSE等。 对网络时延、带宽要求高，高性能场景。 容器与虚机IP互通，使用了微服务注册框架的，如Dubbo、CSE等。 核心技术 OVS IPVlan，VPC路由 VPC弹性网卡/弹性辅助网卡 适用集群 CCE集群 CCE集群 CCE Turbo集群 网络隔离 Pod支持Kubernetes原生NetworkPolicy 否 Pod支持使用安全组隔离 ELB直通容器 否 否 是 IP地址管理 容器网段单独分配l 节点维度划分地址段，动态分配（地址段分配后可动态增加） 容器网段单独分配 节点维度划分地址段，静态分配（节点创建完成后，地址段分配即固定，不可更改） 容器网段从VPC子网划分，无需单独分配 网络性能 基于vxlan隧道封装，有一定性能损耗。 无隧道封装，跨节点通过VPC 路由器转发，性能好，媲美主机网络。 容器网络与VPC网络融合，性能无损耗 组网规模 最大可支持2000节点 默认支持200节点，受限于VPC路由表能力。VPC网络模式下，集群每添加一个节点，会在VPC的路由表中添加一条路由（包括默认路由表和自定义路由表），因此集群本身规模受VPC路由表上限限制。 最大可支持2000节点 注意 VPC路由网络集群实际支持规模受限于VPC的路由表路由条目配额，创建前请提前评估集群规模。 云原生网络2.0集群实际支持规模受限于网络平面选择的VPC子网网段大小，创建前请提前评估集群规模。 VPC路由网络默认支持容器与同一VPC的虚拟机直接互访，与其他VPC的主机在配置对等连接策略后可以支持直接互访。此外，云专线/VPN等混合组网场景在合理规划后可以支持对端直接与容器互访。 请勿在创建集群后修改VPC侧的主网段掩码大小，若强行修改会导致VPC集群新建节点的部分网络功能异常。

本文介绍域名接入边缘安全与加速服务后,如何为域名配置合适的动态防御策略。 Web动态防御能力是以“动态防御”理念为核心,通过动态代码封装、动态内容混淆等防逆向分析技术和动态令牌、前置性动态环境验证等人机识别技术,在无需特征更新的情况下,实现针对应用漏洞及业务逻辑的主动隐藏防护能力,经现网验证,动态防御能力针对当前各类自动化工具触发的漏洞攻击、数据爬取、业务欺诈等威胁的主动、动态防御效果明显,能够为 Web系统/H5、APP、小程序、公众号等各类应用及 API服务提供有效的防御能力。 操作前提 已经在边缘安全加速平台控制台完成接入域名，并且域名已处于启用的状态。 操作内容须知 本文描述都是建立在您已经完成域名新增，并且域名状态处于已启用的前提下进行操作，您可以参考功能的描述文档开启并设置相对应的功能。 1. 登录边缘安全加速控制台 2. 在左侧导航栏，选择域名>域名管理。 策略1：内容混肴 采用一次一密的混淆算法与密钥对客户端（访问者）提交的数据内容，例如表单、ajax 请求内容进行混淆处理，每次混淆的结果均不相同，将关键参数和重要信息从明文的形式转化为毫无规律的乱码，防止伪造参数、窃听和篡改交易内容等攻击行为。该功能在一定程度上可以解决攻击者通过篡改 post 中的参数进行越权攻击的风险。 目前控制台尚未开放以上功能，如有防护需求请通过提交工单给天翼云客服，由其人工操作开启。

本节介绍了DDoS高防（边缘云版）如何配置CC防护功能。 使用场景 CC攻击（Challenge Collapsar）是DDoS（分布式拒绝服务）的一种。CC攻击是目前应用层攻击的主要手段之一，借助代理服务器生成指向目标系统的合法请求，如模拟多个正常用户不停地访问需要大量数据操作的动态页面，造成服务器资源的浪费，CPU长时间处于满载，网络拥塞，正常访问被中止。CC防护根据访问者的URL，频率、行为等访问特征，智能识别CC攻击，迅速识别CC攻击并进行拦截，在大规模CC攻击时可以避免源站资源耗尽，保证企业网站的正常访问。 前提条件 已开通DDoS高防（边缘云版）。 域名状态为“已启用”。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【业务接入】【域名接入】页面。 3.选择需要配置的域名，在操作栏点击【防护配置】按钮，进入【CC防护配置】页面。 4.CC防护配置项说明： 配置项 说明 防护开关 控制CC防护功能是否生效。 防护模式 阈值：域名访问达到防护条件时进行防护校验。 永久：域名每次访问都进行防护校验。 检测条件 设置检测条件，当触发检测条件后，对请求进行防护。该配置在阈值模式下才可进行配置。 防护时长 达到检测条件后持续对应时间内都进行防护校验。该配置在阈值模式下才可进行配置。 跨域请求防护 若您所防护的域名存在跨域访问场景（即被其他域名网站引用访问），建议关闭跨域请求防护，以免被CC防护算法拦截。 5.完成配置点击右上角【保存】按钮。

本文将向您介绍如何通过边缘安全加速平台安全与加速服务设置Web规则白名单。 功能介绍 若您希望请求针对域名防护规则集中的某条规则加白，可以配置规则白名单。 背景信息 您的域名接入边缘安全加速平台安全与加速服务后，配置防护策略将默认作用于所有符合策略的请求，若您希望某类请求不经过某个防护策略，可以分别配置对应的白名单功能。 若您希望请求针对任意防护策略加白，可以配置网站白名单，配置详情可见设置网站白名单。 若防护规则集中的某条规则出现误报情况，可以配置规则白名单，配置详情可见下文。 若您希望请求针对Bot防护策略加白，可以配置Bot策略白名单，配置详情可见Bot策略白名单。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为免费版及以上版本，支持使用Web规则白名单功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】【Web应用防火墙】，选择您要配置的域名，进入基础安全防护【防护规则引擎】详细设置页。 3. 选择您希望设置白名单范围的规则ID，点击操作列【加白】按钮，设置加白的匹配范围，粒度支持配置URI、IP、IPS、PATH、BODY等，支持配置多个生效条件。

容器镜像服务（Software Repository for Container）是一种支持容器镜像全生命周期管理的服务， 提供简单易用、安全可靠的镜像管理功能，帮助用户快速部署容器化服务。 您可以使用控制台或CLI上传、下载和管理容器镜像，并对接云容器引擎完成容器应用部署。

本节介绍NFS协议的文件存储如何挂载到Linux系统的边缘虚拟机上。 操作场景 当创建文件存储后，您需要使用边缘虚拟机来挂载该文件存储，以实现多个边缘虚拟机共享使用文件存储的目的。 同一文件存储不能同时支持 NFS 协议和 SMB 协议。 边缘裸金属服务器操作与边缘虚拟机一致，但裸金属服务器使用的是 underlay 的 VPC 网络挂载文件存储。 前提条件 在需要操作的地域创建虚拟私有云 VPC。 已创建该 VPC 下的边缘虚拟机，并根据操作系统类型，安装相应的 NFS 客户端。 已创建该 VPC 下的文件存储，协议类型为 NFS，并获取到文件存储的挂载点名称。 如果需要跨 VPC 访问文件存储，需要配置对等连接以确保 VPC 网络互通。 操作步骤 1. 以 root 用户登录弹性边缘虚拟机。 2. 安装 NFS 客户端。 查看系统是否安装 NFS 软件包。 说明 CentOS、Red Hat、Oracle Enterprise Linux、SUSE、Euler OS、Fedora或OpenSUSE系统下，执行如下命令： rpm qagrep nfs Debian或Ubuntu系统下，执行如下命令： dpkg l nfscommon 不同操作系统回显会有所不同，如果回显如下类似信息，说明已经成功安装 NFS 软件包。 说明 CentOS、Red Hat、Euler OS、Fedora 或 Oracle Enterprise Linux 系统下，回显如下类似信息： libnfsidmap nfsutils SUSE 或 OpenSUSE 系统下，回显如下类似信息： nfsidmap nfsclient Debian 或 Ubuntu 系统下，回显如下类似信息： nfscommon 如果查看到未安装，根据不同的操作系统，执行不同命令。 注意 执行以下命令前要求边缘虚拟机已连接到互联网，否则安装 NFS 客户端失败。 说明 CentOS、Red Hat、Euler OS、Fedora 或 Oracle Enterprise Linux 系统下，执行如下命令： sudo yum y install nfsutils Debian 或 Ubuntu 系统下，执行如下命令： sudo aptget install nfscommon SUSE 或 OpenSUSE 系统下，执行如下命令： zypper install nfsclient 3. 执行如下命令，创建用于挂载文件存储的本地路径。 mkdir 本地路径 说明 如果本地路径已挂载其他磁盘等资源，为被占用状态时，需要新建其它目录进行挂载（nfs 客户端不会对重复挂载进行拦截，当重复挂载时会表现为最后一次成功挂载的信息）。 4. 执行如下命令，将文件存储挂载到与文件存储所属 VPC 相同的边缘虚拟机上。 mount t nfs o vers3,timeo600,noresvport,nolock 挂载地址 本地路径 参数说明 参数 说明 :: vers 文件存储版本，支持 NFSv3 和 NFSv4。如果您的业务场景不包含多台实例同时编辑同一个文件，建议您选择 NFSv3，达到最优性能。 timeo NFS 客户端重传请求前的等待时间（单位为 0.1 秒）。建议值：600。 noresvport 指定 NFS 客户端向 NFS 服务端重新发起建立连接时使用新的 TCP 端口。强烈建议使用 noresvport 参数，这可以保障网络发生故障恢复事件后文件存储服务不会中断。 lock/nolock 选择是否使用 NLM 协议在服务器上锁文件。当选择 nolock 选项时，锁对于同一主机的应用有效，对不同主机不受锁的影响。建议值：nolock。如不加此参数，则默认为 lock，就会发生其他服务器无法对此文件存储写入的情况。ECX文件存储暂不支持非本地锁操作，需要显式添加 nolock 参数防止客户端调用非本地锁而导致抢锁失败的写入慢问题。 proto NFS 客户端向服务器发起传输请求使用的协议，可以为 UDP 或者 TCP。 挂载地址 文件存储的格式为：文件存储 ip:/ 路径，例如：192.168.0.10:/var/ecx/filenvmecv4lq0bkrj0lnj8u23n0。 本地路径 边缘虚拟机上用于挂载文件存储的本地路径，例如 “/localpath”。 注意 请将上述命令中的 “挂载地址” 替换为实际的文件存储 IP 地址及路径，将 “本地路径” 替换为在边缘虚拟机上创建的具体本地路径。 挂载文件存储时，更多性能调优的挂载参数，可参考更多参数配置，各参数之间以逗号进行分隔。例如： mount t nfs o vers3,timeo600,nolock,rsize1048576,wsize1048576,hard,retrans3,tcp,noresvport,ro,async,noatime,nodiratime 挂载地址 本地路径 更多参数 参数 说明 :: rsize 每次向服务器读取文件的最大字节数。实际数据小于或等于此值。rsize 必须是 1024 倍数的正整数，小于 1024 时自动设为 4096，大于 1048576 时自动设为 1048576。默认时，服务器和客户端进行协商后设置。建议设置为最大值 1048576。 wsize 每次向服务器写入文件的最大字节数。实际数据小于或等于此值。wsize 必须是 1024 倍数的正整数，小于 1024 时自动设为 4096，大于 1048576 时自动设为 1048576。默认时，服务器和客户端进行协商后设置。建议设置为最大值 1048576。 soft/hard 取值为 soft，即软挂载方式挂载系统，如果 NFS 请求超时，则客户端向调用程序返回错误；取值为 hard，即使用硬连接方式，如果 NFS 请求超时，则客户端一直重新请求直至成功。默认为 hard。 retrans 客户端返回错误前的重传次数。建议值：1。 tcp/udp 不指定 mountproto 时，客户端默认先尝试使用 udp 协议挂载，如果 udp 网络不通则会在卡顿几秒后再尝试 tcp 协议挂载。当前默认没有放通安全组入方向 mount 协议的 udp 端口号，需要将 mount 挂载协议设置为 TCP 传输协议，即 mountprototcp。 ro/rw ro：表示采用只读的方式挂载。rw：表示采用读写的方式挂载。默认为 rw。未写明 ro/rw 时，则默认为采用 rw 读写的方式挂载。 noresvport 指定 NFS 客户端向 NFS 服务端重新发起建立连接时使用新的 TCP 端口。强烈建议使用 noresvport 参数，这可以保障网络发生故障恢复事件后文件存储服务不会中断。 sync/async sync 为同步写入，表示将写入文件的数据立即写入服务端；async 为异步写入，表示将数据先写入缓存，再写入服务端。同步写入要求 NFS 服务器必须将每个数据都刷入服务端后，才可以返回成功，时延较高。建议设置为 async。 noatime 如果不需要记录文件的访问时间，可以设置该参数。避免频繁访问时，修改访问时间带来的开销。 nodiratime 如果不需要记录目录的访问时间，可以设置该参数。避免频繁访问时，修改访问时间带来的开销。 说明 没有 “使用建议” 的参数推荐使用默认参数。 5. 挂载完成后，执行如下命令，查看已挂载的文件存储。 mount l 如果回显包含如下类似信息，说明挂载成功。 挂载地址 on /localpath type nfs (rw,vers3,timeo600,nolock,addr) 6. 挂载成功后，用户可以在边缘虚拟机上访问文件存储，执行读取或写入操作。

本小节介绍查看容器告警事件。 企业主机安全可对您已开启的告警防御能力提供总览数据，帮助您快速了解安全告警概况包括存在告警的容器、待处理告警事件、已处理告警事件。 事件列表仅保留近30天内发生的告警事件，您可以根据自己的业务需求，自行判断并处理告警，快速清除资产中的安全威胁。 告警事件处理完成后，告警事件将从“未处理”状态转化为“已处理”。 约束限制 未开启防护的服务器不支持告警事件相关操作。 操作步骤 1、登录管理控制台。 2、在左侧导航栏中选择“入侵检测 > 安全告警事件 > 容器安全告警”，进入“容器安全告警”页面，查看容器告警事件信息。 查看容器告警事件概览。 安全告警统计：您可以查看存在告警的容器数量，以及待处理和已处理告警事件数量。 威胁等级：您可以查看容器存在的告警等级分布数量。 TOP事件类型：您可以查看容器中告警数量排在前五的事件类型。 查看容器告警事件分类列表。 在“事件类型”栏，选择告警事件类型，查看每个事件类型对应的告警事件列表。在告警事件列表中可以查看告警威胁等级、告警名称、受影响容器实例名称等信息。 查看容器告警事件详细信息。 单击目标告警事件的告警名称，进入告警事件详情页面，可以查看容器ID、IP地址、虚拟机名称、镜像ID等信息。

本文介绍如何创建无状态应用。 无状态应用中各实例之间相互独立，互不依赖，任意一个Web请求完全与其他请求隔离。无状态容器应用更易实现可靠性和伸缩性。 注： 创建多个容器应用时，请确保容器应用使用的端口不冲突 ，否则部署会失败。 操作前提 已创建集群并添加节点[]( 操作步骤 1.在左侧控制台导航栏中选择【工作负载】>【无状态应用】，进入无状态应用列表； 2.单击【创建应用】，进入应用创建页面； 3.按照页面提示填写，包含基本信息、容器设置、添加服务、高级配置几步。 1）基本信息填写：按照下表设置基本信息，其中带“”标志的参数为必填参数： 参数 说明 应用名称 新建容器应用的名称，命名必须唯一 集群 应用所在集群。若没有可选集群，单击“创建集群”进行创建，操作步骤请参见集群创建 命名空间 应用所在命名空间。若没有可选命名空间，单击“创建命名空间”进行创建，操作步骤请参见创建命名空间 实例数量 应用可以有一个或多个实例，用户可以设置具体实例个数。每个应用实例都由相同的容器部署而成。设置多个实例主要用于实现高可靠性，当某个实例故障时，应用还能正常运行 2）单击【下一步】，进入容器设置页面，完成镜像选择及容器配置（可选项：一个应用实例包含1个或多个相关容器。若您的应用包含多个容器，请单击【添加】，进行容器的添加）；请按照下表设置基本信息，其中带“”标志的参数为必填参数： 参数 说明 选择镜像 天翼云官方镜像：展示了天翼云官方平台的公开镜像 我的镜像：展示了用户创建的所有镜像仓库 镜像版本 根据导入的镜像，决定其可选择的版本 容器名称 容器的名称，可修改 容器规格 可选择设定的配额，或选择自定义配额 高级配置 生命周期：生命周期脚本定义，针对容器类应用的生命周期事件采取的动作。步骤参见设置应用生命周期 . 启动命令：输入容器启动命令，容器启动后会立即执行 . 启动后处理：应用启动后触发 . 停止前处理：：应用停止前触发 高级配置 环境变量：容器运行环境中设定的一个变量。可以在应用部署后修改，为应用提供极大的灵活性。 在“环境变量”页签，单击“添加环境变量”。变量类型分三种：手动添加、私密凭据导入、配置项导入。手动添加时，输入变量名称、变量/变量引用；私密凭据导入时，填写变量名称，并选择已经导入的变量/变量引用；配置项导入时，填写变量名称，并选择已经导入的变量/变量引用 高级配置 数据存储：支持挂载本地磁盘到容器中，以实现数据文件的持久化存储。详细步骤请参见为应用挂载数据卷 高级配置 健康检查：用于监测容器是否正常运行。设置了存活与业务两种探针 高级配置 安全设置：请输入用户ID，对容器权限进行设置，保护系统和其他容器不受其影响。 高级配置 容器日志：设置日志采集策略、配置日志目录。用于收集容器日志以及日志防爆 3）（可选）单击【下一步】，进入添加服务页面>【添加服务】，该步骤非必要步骤，也可后期进行配置，具体配置参数说明请参考设置应用访问策略； 4）（可选）单击【下一步】，进入高级配置页面，为应用设置更多高级设置，你可以为集群添加升级策略、迁移策略、缩容策略、调度则略，具体相关说明如下： 配置升级策略 参数 说明 替换升级 先删除旧实例，再创建新实例。升级过程中业务会中断 滚动升级 滚动升级将逐步用新版本的实例替换旧版本的实例，升级的过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断 配置迁移策略 选择是，输入时间，可设置范围(09999秒)，默认30秒，输入为有效整数。当应用实例所在的节点不可用时，系统将实例重新调度到其它可用节点的时间窗； 选择否，应用实例所在的节点不可用时，应用实例将不会调度到其它可用节点。 配置缩容策略 输入时间，可设置范围(09999秒)，默认30秒；为应用删除提供一个时间窗，预留给生命周期中PreStop阶段执行命令。若超过此时间窗，进程仍未停止，该应用将被强制删除。 配置调度策略 你可以根据需要自由组合静态的全局调度策略或动态的运行时调度策略来实现自己的需求。详情请参见设置应用调度策略。 5）配置完成后请单击【提交】,等待应用创建完成，创建完成后返回应用列表； 4.在应用列表中，待应用状态为“运行中”，应用创建成功。应用状态不会实时更新，请按F5查看。

本文主要介绍如何使用客户端限速功能。 背景说明 在您使用AOne零信任服务、AOne学术加速服务时，可根据企业场景进行单客户端访问限速。 在AOne零信任场景，限速仅针对内网访问进行，若您订购的是“带宽计费”，则带宽超量达到阈值后则会进行自动限速。 若是AOne学术加速场景，限速仅针对学术加速资源进行限速，不影响其他互联网访问。 操作步骤 1.登录边缘安全加速控制台，进入AOne零信任或AOne学术加速工作台。 2.在左侧导航栏，选择设置客户端设置客户端限速，查看相应的配置和管理。 3.可根据业务需求进行相关配置操作。 功能说明 开启限速后，该企业全部用户单个客户端的对应访问带宽速率将受到影响，开启限速时，需填写限速阈值。

本文介绍裸金属Kickstart模板、如何创建私有模板及使用模板。 概述 Kickstart模板是裸金属服务器运行环境的模板，模板中定义了操作系统的初始密码、SSH端口、系统盘分区配置等内容。 用户可以选择系统默认模板配置进行装机，也可选择私有模板，私有Kickstart模板仅对用户自己可见，选择私有Kickstart模板创建裸金属服务器可节省用户重复配置裸金属服务器的时间。 创建私有模板 1. 登录ECX控制台。 2. 单击导航栏【边缘裸金属>镜像服务>Kickstart模板>私有模板】，点击【+新增Kickstart模板】。 3. 填写Kickstart模板信息后提交，即可创建私有模板。 通过复制快速创建私有模板 1. 登录ECX控制台。 2. 单击导航栏【边缘裸金属>镜像服务>Kickstart模板>私有模板】。 3. 点击操作列【更多>复制】，即在原有模版的基础进行修改。 4. 确认信息无误后，点击【保存】创建新的私有模版。

指标名称 介绍 单位 containermemoryworkingsetbytes 容器当前工作集 Byte machinememorybytes 机器上安装的内存量 Byte containercpuusagesecondstotal 容器累计 CPU 时间消耗 s machinecpucores 逻辑 CPU 核心数 containerfsusagebytes 容器文件系统上容器消耗的字节数 Byte containerfslimitbytes 容器文件系统上可消耗的字节数 Byte containernetworkreceivebytestotal 容器接收字节的累计数量 Byte containernetworktransmitbytestotal 容器传输字节的累计数量 Byte ecimemoryusage ECI内存使用率 % ecicpuusage ECI CPU使用率 % ecifilesystemusage ECI文件系统使用率 % ecinetworkinrate ECI网络接受速率 Byte/s ecinetworkoutrate ECI网络发送速率 Byte/s

本文介绍ECI实例如何挂载配置项数据卷。 配置项(configFile)是ECI为客户提供的一种存放配置文件的存储形态，用于向ECI实例注入配置数据，便于容器从自定义路径读取相关配置信息。 使用限制 待挂载配置项的文件内容采用明文输入，平台会自动进行base64编码。 配置说明 1.在弹性容器实例控制台左侧导航栏中选择“容器组”，进入容器组列表页。 2.点击“创建弹性容器组”，进入弹性容器实例订购页。 3.在容器组配置中打开“高级设置”，添加配置项。 4.在容器配置中打开“高级设置”，添加配置项存储卷并指定容器内的挂载路径，以及是否只读挂载等，最后点击“+添加存储”为容器配置存储卷。

本文介绍如何查看ECI实例事件。 前提条件 部署ECI实例后，您可以通过弹性容器实例控制台查看该ECI实例的事件信息。 操作步骤 1. 在弹性容器实例控制台左侧导航栏中选择“容器组”，进入容器组列表页。 2. 在容器组列表中找到该实例，点击实例名称进入实例详情页面。参考如下图： 3. 在实例详情页面点击事件页签查看该实例的事件列表。参考如下图： 4. 最终展示该实例的所有事件信息。参考如下图：

本文介绍云容器引擎的产品优势。 云容器引擎是基于业界主流的Docker和Kubernetes开源技术构建的容器服务，提供众多契合企业大规模容器集群场景的功能，在系统可靠性、高性能、开源社区兼容性等多个方面具有独特的优势，满足企业在构建容器云方面的各种需求。云容器引擎的优点有：大幅提高线上业务的运维、弹性伸缩能力；大幅提高资源、设备及人力的利用率，降低成本；大幅提升产品、业务应用的研发效率。 管理简单 帮助用户屏蔽了底层技术架构，云容器引擎具有强大的集群管理功能，简单的操作流程。用户可自定义集群应用，只需进行简单的单击操作，即可完成业务部署，无需参与底层网络、存储等的技术设计，无需手动搭建docker及kubernetes集群，并进行证书、密钥等配置，减少技术人员的投入，节约人力成本。 云容器引擎平台为集群、应用、容器、网络、配置项、命名空间等丰富的集群资源提供了直观的界面化管理，简化了用户操作。用户可随时随地登陆，进行应用容器的生命周期管理，灵活的安排运行的应用业务，浏览当前具备的资源及业务运行状态，大幅降低了用户的管理成本、运维成本。 安全稳定 云容器引擎服务提供3个master主节点的高可用集群，去中心化式的集群架构，确保当单个主控节点出现问题时，集群也能够无中断的继续运行。相比用户自建的单主控节集群，业务稳定性与连续性大大提高。 云容器服务基于天翼云优秀的IAAS层基础架构搭建，成熟的虚拟化技术、优质的网络架构，以及多层次的安全防护能力，从底层确保了上层容器服务的稳定可靠性。用户可自定义安全组规则，进一步提高隔离水平。 伴随业务版本的快速迭代，云容器引擎服务提供了渐进式的滚动升级策略，搭配容器镜像服务，通过web界面一键完成应用版本升级，无忧实现业务平滑替换，提高业务连续性，保障优质的用户体验感。 云容器引擎提供集群、节点、容器多层面的状态监控，支持全时段的事件监控，应用日志查看，容器健康检查等功能，用户只需登陆容器引擎平台总览页面，即可将集群、网络、CPU、内存资源等信息尽收眼底，时刻把握集群情况，并快速定位故障发生原因，减少运维人力，提高运维效率。 轻松应对 云容器引擎提供了应用层级别的水平伸缩能力，即Horizontal Pod Autoscaling（HPA），支持用户自定义Pod伸缩策略，根据容器资源使用情况，自动快速调整Pod数量，及时应对用户业务流量变化，保障业务对外能力可用。 云容器引擎支持应用与节点、应用间的亲和、反亲和性质的调度策略配置，帮助用户实现节点负载的合理安排和组织，提高系统的稳定性、扩展性。提高各节点的资源利用效率。支持Pod级别迁移策略配置，当节点出现故障时可快速迁移应用。 开放兼容 云容器引擎服务深度整合了天翼云平台成熟的计算、存储、网络、安全等云产品功能，提高了系统的可扩展性。用户可集合平台提供的其它云产品能力，如云主机监控、存储管理等，进一步构建完善云上业务系统。 云容器引擎在Docker技术的基础上，为容器化的应用提供部署运行、资源调度、服务发现和动态伸缩等一系列完整功能，提高了大规模容器集群管理的便捷性。云容器引擎基于业界主流Kubernetes实现，完全兼容Kubernetes/Docker社区原生版本，与社区最新版本保持紧密同步，完全兼容Kubernetes API和Kubectl。 特色功能 镜像仓库：容器引擎为用户提供了配套的镜像仓库管理服务，支持创建仓库及镜像管理等基础功能，并为用户提供了丰富的官方镜像资源，覆盖面广，满足用户不同的业务需求，保障了镜像的可靠性与安全性。用户无需自行搭建和运维仓库，即可一键快速完成业务容器化部署，提高业务容器化效率。 天翼云平台为用户提供了专业的售后运营团队，全天候724小时服务。用户可通过工单、电话等渠道，对产品故障进行反应。团队将及时响应，并快速定位问题，解决客户的疑难杂症。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的攻击挑战功能。 功能介绍 攻击挑战，即反复攻击惩罚，指自动阻断在短时间内发起多次 Web 攻击（规则引擎触发）的客户端 IP，一段时间内阻止所有请求，阻断日志可以在攻击日志中查看，可以快速拦截恶意攻击 Web 的 IP，快速应对恶意扫描及代理、Web 攻击威胁等行为，可提升攻防对抗效率。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为基础版及以上版本，支持攻击挑战（反复攻击惩罚）相关功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【Web应用防火墙】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力高级安全防护【攻击挑战】详细设置页。 配置说明 防护开关 攻击挑战功能的总开关，关闭时攻击挑战的配置策略将不生效。 配置项说明 配置项 说明 开关 防护策略开关，可选择开启或者关闭策略 命中防护规则 仅勾选的攻击类型会做统计，勾选范围为目前边缘安全加速平台支持防护的Web攻击类型 封禁对象 即统计粒度，支持一种粒度或两种粒度组合, 支持粒度缺失统计 粒度缺失统计 当客户端IP、客户端端口、服务端口其中两种粒度组合时，不展示,这两个粒度不可能缺失 触发条件 在【统计周期】之内，【统计粒度】触发防护规则次数达到【阈值】次，则执行【处理动作】 统计频率：防护策略的统计周期，支持配置秒、分、时单位 触发阈值：即触发已选攻击类型的攻击阈值。有两种触发条件：命中防护规则达N次、命中防护规则ID达M个，当两者同时配置时，攻击满足两个条件才会触发拦截 封禁时长：即拦截持续时间 处理动作 请求触发攻击挑战策略后的处理动作，可选择拦截或者告警 处理动作持续时长 满足触发条件后，处理动作会持续的时间 例外的规则ID 例外的规则ID，规则ID可在域名规则中查询 例外客户端IP 不需要经过攻击挑战策略的客户端IP 描述 多行文本，能够输入此条防护规则的相关描述，最多支持输入200个字符

本章节介绍云容器集群Pod进程停止故障演练。 背景介绍 在 CCE 中，Pod 容器内进程若意外终止，可能导致业务中断和 Pod 重建。本演练模拟进程终止，评估系统容错及自愈与告警能力。 基本原理 通过kill 9停止节点上的指定进程。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的pod列表。 5. 在弹出的对话框中，单击添加pod。 6. 勾选您希望进行故障演练的一个或多个pod ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎Pod。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎Pod实例。 添加故障动作 ：单击立即添加 ，在列表中选择进程停止动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 进程关键词：例如nginx。 停止进程的方式：强制结束表示使用 SIGKILL (信号9)，优雅结束表示使用 SIGTERM (信号15) 容器选择模式：选择攻击pod中容器，可以“按资源定义的首个容器”，也可以“指定容器名称”，当选择指定容器名称时，需要输入容器的名称。 容器名称：填写攻击目标的容器名

应用场景 对性能要求不高：由于需要额外的VXLAN隧道封装，相对于另外两种容器网络模式，性能存在一定的损耗。大概有5%15%的性能损失。所以容器隧道网络适用于对性能要求不是特别高的业务场景，比如：web应用、访问量不大的数据中台、后台服务等。 大规模组网：相比VPC路由网络受限于VPC路由条目配额的限制，容器隧道网络没有网络基础设施的任何限制；同时容器隧道网络把广播域控制到了节点级别，容器隧道网络最大可支持2000节点规模。 容器IP地址管理 容器隧道网络按如下规则分配容器IP： 容器网段需单独分配，与节点网段无关 节点维度划分地址段，集群的所有节点从容器网段中分配一个或多个固定大小（默认16）的IP网段 当节点上的IP地址使用完后，可再次申请分配一个新的IP网段 容器网段依次循环分配IP网段给新增节点或存量节点 调度到节点上的Pod依次循环从分配给节点的一个或多个IP网段内分配IP地址 图 容器隧道网络IP地址分配 按如上IP分配，容器隧道网络的集群最多能创建节点数量 容器网段IP数量 ÷ 节点从容器网段中一次分配的IP网段大小（默认为16） 比如容器网段为172.16.0.0/16，则IP数量为65536，一次分配16，则最多可创建节点数量为65536/164096。当然，这是一种极端情况，如果创建4096个节点，则每个节点最多只能创建16个Pod，因为给每个节点只分配了16个IP的网段。另外集群能创建多少节点，还受节点网络和集群规模的影响。 图 网络模型选择（创建集群时配置）

本文简单介绍iBox边缘盒子的产品优势。

本节介绍如何批量设置有序的虚拟机名称。 目前边缘虚拟机支持批量开通并在开通时指定虚拟机名称，具体操作如下： 1. 登录ECX控制台。 2. 单击左侧【边缘虚拟机>实例】导航栏。 3. 点击【+新建实例】。 4. 在【系统配置】项可设置虚拟机名称。 目前批量设置虚拟机自定义名称遵循以下规则： 允许重名。 支持自动增加数字后缀命名，名称自动按序增加4位数字后缀。例如：输入ecx，从ecx0001开始命名，若客户名下已有ecx0001的虚拟机，则从ecx0002开始命名。

不支持的功能 说明 HostPath 挂载本地宿主机文件到容器中 HostNetwork 将宿主机端口映射到容器上 DaemonSet 在容器所在宿主机上部署Static Pod typeNodePort的Service 将宿主机端口映射到容器上

方法二：开通安全防护功能 CDN加速作为帮助用户加速获取资源文件的产品，其主要功能在于缓存加速，如果客户的业务存在潜在的被恶意访问风险，需要防止流量盗刷，配置高级频率控制和其他安全类防护，建议叠加开通Web应用防火墙（边缘云版），详情请见：Web应用防火墙（边缘云版）。 注意 针对同一个域名，天翼云CDN加速支持叠加Web应用防火墙（边缘云版）产品，无需做域名的迁移，但域名需先在CDN控制台添加完成后再在Web应用防火墙（边缘云版）控制台上新增。具体操作指南实例，详情请见：CDN叠加Web应用防火墙（边缘云版）。 方法三：开启带宽控制功能 天翼云CDN加速支持带宽控制功能，该功能可以控制带宽总用量，从而避免因带宽突发带来更多的费用。如果客户需要对使用天翼云CDN加速的域名带宽做限速，可通过提交工单或拨打4008109889热线电话联系天翼云客服进行咨询。相关功能介绍，详情请见：带宽控制。 方法四：开启访问控制功能 天翼云CDN加速控制台支持自助配置访问控制功能，您可以针对域名访问特性进行配置，从而避免产生不必要的流量消耗。 访问控制功能 说明 Referer防盗链 Referer防盗链是基于HTTP请求头中Referer字段来设置访问控制规则，实现对用户来源的识别和过滤，防止网站资源被非法盗用。 IP黑白名单 客户端IP是客户端与CDN节点建立连接时所使用的IP，通过识别客户端IP来过滤用户请求，拦截特定IP的访问或者允许特定IP的访问，可以用来解决恶意IP盗刷、攻击等问题。 UA黑白名单 UserAgent（简称UA）是HTTP请求头的一部分，可体现用户使用的终端标识。通过识别HTTP请求头中的UA字段，可以识别特定终端，从而限制用户行为，拦截或允许某一类用户的访问，实现防盗链、防盗刷、防攻击的目的。 URL黑白名单 URL黑白名单是网络安全管理中的一种重要机制，主要用于控制用户对特定资源的访问权限。 URL鉴权配置 为了防止站点资源被恶意下载或者非法盗用，避免产生不必要的带宽浪费，可配置URL鉴权功能。配置URL鉴权后，CDN会对加密串及时间戳进行校验，从而有效地保护用户站点资源。 单请求限速 单请求限速功能可以限制CDN节点响应给用户的下行速率，从而减少域名的整体带宽，节省成本。

本文简单介绍iBox边缘盒子的功能特性。 单机 云边 产品部署 应用场景 核心优势 产品功能

您可以参考本节导出容器节点列表至本地查看。 操作步骤 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在左侧导航栏选择“资产管理 > 容器管理”，进入“容器管理”界面。 说明 如果您的服务器已通过企业项目的模式进行管理，您可选择目标“企业项目”后查看或操作目标企业项目内的资产和检测信息。 4、选择“容器节点管理”页签。 5、在容器列表上方，单击“导出”，导出列表。如需导出部分容器节点信息，请勾选对应的容器节点，然后单击“导出”。 说明 单次最多支持导出1000条容器节点信息。

您可以参考本节导出容器节点列表至本地查看。 操作步骤 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在左侧导航栏选择“资产管理 > 容器管理”，进入“容器管理”界面。 说明 如果您的服务器已通过企业项目的模式进行管理，您可选择目标“企业项目”后查看或操作目标企业项目内的资产和检测信息。 4、选择“容器节点管理”页签。 5、在容器列表上方，单击“导出”，导出列表。如需导出部分容器节点信息，请勾选对应的容器节点，然后单击“导出”。 说明 单次最多支持导出1000条容器节点信息。

本文介绍ECI实例生命周期。 本文介绍ECI实例的生命周期状态，您可以根据实例状态，设计和实现符合您业务逻辑的处理逻辑。 ECI实例状态 在实例的生命周期中，不同的阶段有其固有的状态，具体如下表所示。 ECI实例状态 说明 创建中（Scheduling） 实例正在创建 启动中（Pending） 实例中有一个或多个容器还在启动中，并且没有处于运行中的容器 运行中（Running） 实例中所有容器均已经创建成功，并且至少有一个容器正在运行中，或者正在重启 重启中（Restarting） 实例正在重启 更新中（Updating） 实例正在更新 终止中（Terminating） 实例正在终止。对于运行中的实例，如果配置了preStop，则在删除实例时，实例将进入Terminating状态。执行完preStop后，实例将自动删除 运行成功（Succeeded） 实例中所有容器均已运行成功终止，并且不会再重启 运行失败（Failed） 实例中所有容器均已运行终止，并且至少有一个容器是运行失败终止，即容器以非0状态退出或者被系统终止 创建失败（ScheduleFailed） 实例创建失败 ECI实例的生命周期状态转换如下图所示。 容器状态 状态 说明 启动中（Waiting） 容器正在等待创建，还未开始运行。一般在InitContainer运行时，应用容器会处于Waiting状态，直到InitContainer退出 运行中（Running） 容器已经成功创建，并且正在运行 运行终止（Terminated） 容器运行终止并退出，包括运行成功终止和运行失败终止

本文介绍了边缘安全加速平台安全与加速服务API防护模块下接口滥用拦截的使用方法。 功能介绍 攻击者常通过脚本、工具频繁调用某个接口完成账号暴力破解、批量注册等恶意行为。 高频的请求不仅不符合用户正常的操作行为，并且也容易导致接口高负载出现不稳定。 接口滥用拦截可识别客户端的异常高频的API请求，并进行实时拦截，防止接口被恶意滥用。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 注意 未订购“API安全”扩展能力，接口滥用拦截功能设置“关闭”、“告警”动作，无法设置“拦截”动作。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【API安全】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入安全防护【接口滥用拦截】详细设置页。 配置说明

参数 类型 是否必传 名称 描述 code int 是 状态码 成功100000 message string 是 信息描述 成功返回success，其他返回异常信息描述 configuredproduct list<string> 否 已配置产品列表 支持返回产品：“001”(静态加速)，“003”(下载加速),“004”(视频点播加速),“008”(CDN加速),“006”(全站加速),“010”(web应用防火墙（边缘云版）)。若本参数不返回，则该域名未配置上述产品。 canaddproduct list<string> 否 可新增产品列表 支持返回产品：“001”(静态加速)，“003”(下载加速),“004”(视频点播加速),“008”(CDN加速),“006”(全站加速),“010”(web应用防火墙（边缘云版）)。若本参数不返回，则该域名不可新增上述产品。

本文介绍ECI实例如何挂载EmptyDir数据卷。 临时目录(EmptyDir)是ECI为客户提供的一种空目录存储形态，用于临时存放数据，便于容器组内多个容器之间进行数据共享。除此之外，临时目录也支持tmpfs（基于 RAM 的文件系统）。虽然tmpfs速度非常快，但是要注意它与磁盘不同，并且写入的所有文件都会计入容器的内存消耗，受容器内存限制约束。 使用限制 待挂载临时目录支持两种模式，即空目录或tmpfs内存。 待挂载临时目录不具备持久化存储能力，生命周期与ECI实例一致。 配置说明 1. 在弹性容器实例控制台左侧导航栏中选择“容器组”，进入容器组列表页。 2. 点击“创建弹性容器组”，进入弹性容器实例订购页。 3. 在容器组配置中打开“高级设置”，添加临时存储。 4. 在容器配置中打开“高级设置”，添加临时存储存储卷并指定容器内的挂载路径，最后点击“+添加存储”为容器配置存储卷。

容器配置 Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 容器名称：为容器命名。 镜像更新策略：选择是否总是拉取镜像。 镜像名称：选择容器使用的镜像，支持多种镜像来源。 镜像版本：选择需要部署的镜像版本。 资源配额：配置 CPU 和内存的申请值和限制值。 初始化容器：选择是否作为初始化容器。 生命周期：设置容器生命周期 环境变量：设置容器运行环境的变量。 数据存储：挂载本地存储或云存储。 镜像访问凭证：选择访问镜像仓库的凭证。 高级配置 设置任务期望成功数，并行数，超时时间(秒)，重试次数，设置标签与注解、网络配置等： 期望成功数：即completions，指定job需要成功运行Pods的数量。 并行数：任务负载执行过程中允许同时创建的最大实例数，并行数应不大于实例数。 超时时间(秒)：当任务执行超出该时间时，任务将会被标识为执行失败，任务下的所有实例都会被删除。为空时表示不设置超时时间。 重试次数：即backoffLimit，指定job失败后进行重试的次数。默认是6次，每次失败后重试会有延迟时间，该时间是指数级增长，最长时间是6min。 重启策略：Job失败了是从不重启还是只要失败了就重启。 完成模式：非索引: 当执行成功的Pod数达到实例数时， Job执行成功. Job中每一个Pod都是同质的，他们之间是独立无关。索引: 系统会为每个Pod分配索引值，取值为 0 到实例数1。每个分配了索引的Pod都执行成功，则Job执行成功。索引模式下，Job中的Pod命名遵循$(jobname)$(index)模式 挂起任务：默认任务创建后被立即执行。选择挂起任务后，任务创建后处于挂起状态；将其关闭后，任务继续执行。单击右下角“创建工作负载”完成创建。