使配置立即生效 5. 执行如下命令拉取ownCloud镜像： plaintext docker pull owncloud 6. 创建ownCloud容器并运行，ownCloud参数说明如下： 参数 说明 owncloud 容器名称。 /data/owncloud/:/var/www/html 目录映射，/data/owncloud/为数据文件存储的目录，该配置可将数据存储到文件系统中。 p 7070:80 端口映射，本次使用7070端口。 7. 执行如下命令，创建owncloud容器并运行 plaintext docker run p 7070:80 d v /data/owncloud/:/var/www/html owncloud 8. 执行如下命令，检查ownCloud容器 plaintext docker ps 可以查看owncloud的ContanerID及端口情况，状态为up说明运行中。 步骤四：浏览器打开ownCloud 1. 在虚拟机管理界面的安全组选项中，对浏览器所在机器的ip地址和ownCloud所使用的7070方向和入方向进行放开。本文采用的是对全部协议和端口进行放通。 2. 在本地浏览器输入弹性云主机的弹性IP:7070,打开ownCloud登录页面。设定管理员账号和密码，点击“安装完成”。 3. 安装完成后进入网盘页面，可以进行内容上传，新建文件夹，共享内容等。

本章节介绍云容器集群Pod Java方法抛自定义异常。 背景介绍 在 CCE 环境中，业务系统多以 Java 应用运行在资源 Pod 中。本演练通过在 Pod 内注入 Java 方法自定义异常，模拟生产中的调用异常故障。 基本原理 通过Java Agent拦截指定JVM进程内方法，增加thow操作模拟抛出异常。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的pod列表。 5. 在弹出的对话框中，单击添加pod。 6. 勾选您希望进行故障演练的一个或多个Pod ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎Pod。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎Pod实例。 添加故障动作 ：单击立即添加 ，在列表中选择JAVA类方法抛自定义异常动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 进程关键词：java进程的关键词。 类名：注入延迟的类名，带全包名。 方法名：注入延迟的方法名。 延迟时间：注入的延迟时间，单位是毫秒。 容器名称：java进程所在容器名称。

本节介绍了清理对象存储空间的用户指南。 总体说明 在控制台中删除容器镜像后，ZOS存储空间（ZOS Bucket）中的镜像的层仍然存在。及时删除ZOS存储空间中的无效镜像层数据，清理其占用的存储空间，能避免不必要的费用开销。 注意 1、仅企业版实例支持制品清理能力。 2、在执行制品清理任务时，既可以从镜像服务中拉取镜像，也可以往镜像服务中推送镜像。 3、 执行清理任务时，往前数两小时内新上传的镜像层，在本次清理任务中是不会被清理。 操作步骤 模拟执行 说明 模拟执行只会模拟执行一次，列举出会清理的层及制品，并不会实际对ZOS中所存储的层数据执行清理操作，仅用于评估使用。 1. 登录容器镜像服务控制台； 2. 在顶部菜单栏，选择所需资源池； 3. 在实例页面中选择容器镜像仓库实例； 4. 在企业版实例管理页面的左侧菜单上选择 实例管理 制品清理； 5. 点击模拟执行 ，在弹出框中，按照实际情况选择是否允许回收无Tag的artifacts ，再点击确定，从而开始执行模拟制品清理任务； 6. 执行后可在执行历史中查看执行结果及日志。 立即执行 说明 立即执行可以马上执行一次清理任务，无需等待到达定时清理的时间点。当出现OSS存储空间不足时且又急需足够的存储空间时，可以执行这个操作。但是清理属于计算密集型操作，会影响仓库性能。需要操作者自行评估是否会影响当前镜像服务的使用。 1. 登录容器镜像服务控制台； 2. 在顶部菜单栏，选择所需资源池； 3. 在实例页面中选择容器镜像仓库实例； 4. 在企业版实例管理页面的左侧菜单上选择 实例管理 制品清理； 5. 点击立即执行 ，在弹出框中，按照实际情况选择是否允许回收无Tag的artifacts ，再点击确定，开始执行制品清理任务； 6. 执行后可在执行历史中查看执行结果及日志。

创建接入集群，获取接入命令 1、在分布式容器云平台控制台左侧导航栏中选择【分布式容器云】>【接入集群】，进入接入集群列表页。 2、点击【创建接入集群】，在弹窗中填写待接入集群的相关信息。 3、点击【确定】提交创建请求。 4、提交后，即可在列表中查看该接入集群，集群状态为"等待接入中"，还需要在待接入的集群中执行接入命令。 在待接入集群中执行接入命令 1、在分布式容器云平台控制台左侧导航栏中选择【分布式容器云】>【接入集群】，进入接入集群详情页。 2、选择指定管控实例，点击接入集群名称进入接入集群详情页。 3、点击左侧【集群接入】子菜单，查看集群接入命令并复制，对于待接入集群类型为本地IDC或第三方云厂商集群，请复制公网接入命令。 4、使用putty，xshell或webconsole等命令行工具登录至待接入集群的master节点，确保集群中已存在打上了"ccseonenodetype""edge"标签的x86节点。 粘贴上述复制的接入命令，回车执行接入命令。 5、等待相关容器启动完成，可通过执行kubectl logs f n kubesystem ccseoneclusterinstallerXXXXXXXXXXXX查看接入进度。 接入过程一般约为3~5分钟。 接入集群状态变为"就绪"时，说明该集群已经被成功接入CCSE ONE管控实例中。

本章节介绍如何通过镜像部署微服务应用到容器 概述 在微服务云应用平台中接入您的应用进行发布，所支持的介质类型大体上可分为制品（JAR/WAR/TAR包等）、镜像等，您可以按实际需求选择接入的方式。 本文介绍如何通过镜像部署微服务应用到容器。 通过镜像部署微服务应用到容器 前提条件 1. 您已开通微服务云应用平台 2. 您已订购一个云容器引擎实例 3. 您已订购一个nacos注册中心实例 创建环境和导入资源 在左侧导航栏，选择环境管理。在环境列表左上角点击创建环境。环境创建好后，将云容器引擎和nacos注册中心导入到环境中。 创建项目和应用 在左侧导航栏，选择应用列表。在应用列表点击新增项目。展开新增完成的项目，在应用管理下创建应用，技术栈选择 SpringCloud。 项目关联环境 展开项目，在环境管理下将步骤1创建的环境关联上。 创建容器应用实例并部署 基本信息 项目/应用：步骤2创建的应用 应用实例名称：无需修改，使用默认名称即可 技术栈版本：选择1.0.0j180jar 接入方式：选择镜像 应用实例版本：无需修改，使用默认版本即可 企业项目：选择default 部署配置 选择集群：选择步骤1导入到环境中的云容器引擎 镜像类型：选择Demo镜像（支持自购镜像仓库、Demo镜像和MSAP仓库镜像） 选择镜像：选择springcloudprovidernacos.jar镜像使用1.0.0版本 完成以上信息填写后，点击下一步进入到预览页面，确认信息无误后，点击创建按钮，完成应用实例创建。 应用实例创建完成后，直接点击查看实例详情按钮，到实例详情页面。点击上方发布应用实例按钮，进入到应用发布界面。点击右下角发布按钮，进入到发布单详情界面。等待发布单完成初始化后再点击发布按钮进行应用发布。应用开始发布后，可点击应用实例发布单，查看应用发布具体信息。

本节介绍了云容器引擎的应用场景，便于用户选择业务场景使用。 微服务架构 企业应用通过微服务拆分和容器化改造后，推荐使用云容器引擎+容器镜像服务+微服务云应用平台+注册配置中心的产品组合，实现一站式云原生应用托管，加速企业业务迭代。 持续集成交付 提供从开发到上线一致的运行环境，借助第三方工具进行流水线开发测试，自动完成从代码变更到代码构建、测试、镜像构建和应用部署的DevOps完整流程。进行持续交付，替代传统部署方式，提高交付效率。 弹性伸缩 企业应用按业务流量自动扩缩容，不需要人工干预，预防流量激增时导致的业务不可用风险，并且减少对闲置资源的浪费和费用支出。

本节主要介绍实施步骤 实施步骤 资源和套餐准备 说明 针对测试资源组有以下说明与使用约束： 测试资源组包含共享资源组和私有资源组两种类型，共享资源组为系统默认提供，私有资源组需要自行创建。 共享资源组的执行节点已绑定弹性IP，当被测应用有网络访问限制时，建议创建私有资源组。 当并发大于10000或者40000QPS或者总带宽大于100Mb时，建议创建私有资源组。 JMeter测试任务只可以使用私有资源组。 1、登录性能测试控制台，在左侧导航栏选择“总览”，进入“总览”页面。 2、单击“购买服务套餐包”，进入“购买性能测试套餐”页面。 3、设置以下信息。 性能测试套餐参数说明 参数 说明 服务版本 根据需求选择专业版或者铂金版。 区域 选择“区域”。例如，选择“华北北京四”。不同的区域之间套餐包不互通，每个区域需分别购买。 企业项目 该参数针对企业用户使用。企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理，默认项目为default。 计费模式 “专业版”只支持“按需套餐包”。 “铂金版”支持“按需套餐包”和“包周期套餐包”。 峰值并发 执行压测任务支持的最大并发用户数。例如，选择“5万”。 VUM额度 仅在“计费模式”为“按需套餐包”时，需要设置。VUM是性能测试的计费单位，VUM VU（虚拟并发用户数） M（分钟）。 有效期 仅在“计费模式”为“按需套餐包”时，涉及该参数。默认为“一年”。套餐包到期后，未使用的VUM会被清零。 包周期时长 仅在“计费模式”为“包周期套餐包”时，需要设置。选择需要包周期的时长，可选择：1至9个月，或1年，也可自动续费。 4、单击“立即购买”，进入订单确认页面。 5、确认订单无误后，支付订单。 6、登录性能测试控制台，在左侧导航栏中选择“测试资源”，单击“云容器CCE资源准备”。 7、（可选）首次使用时，请根据提示信息，授权性能测试创建私有资源组。 8、进入创建资源组页面后，如果是首次使用没有云容器引擎服务CCE集群，则需要先执行创建集群然后再创建资源组。如果已有可用的云容器引擎服务CCE集群，直接执行创建资源组。 9、创建集群。 单击页面上方的“创建集群”，进入购买CCE集群页面，设置集群参数。 说明 集群管理规模选择与执行节点个数相关，例如，需要20个执行节点，那么集群调试节点规模选择50节点即可满足业务需求。 CCE集群的网络模型建议选择“容器隧道网络”，容器网段和服务网段需要与被测对象保持一致。 说明 节点规格至少为vCPU为4核，内存8GB。 操作系统需选择欧拉EulerOS。 创建的节点数量至少需要2台（1台调试节点、1台执行节点），具体数量由压测对象要求规格决定。例如，压测10万并发用户数，vCPU为4核，内存8GB的资源需要21个执行节点（1个调试节点，20个执行节点）。 当CCE集群节点与被测应用不在同一VPC网络时，建议CCE集群节点绑定弹性IP。可使用已有的弹性IP，如果没有弹性IP也可以选择自动创建，选中后将根据您的配置创建弹性IP，并自动为每个节点进行分配。当创建的弹性IP数量小于节点个数时，会将弹性IP随机绑定到节点上。 10、 创建资源组。 在左侧导航栏中选择“测试资源”，单击“云容器CCE资源准备”。 参照下表设置基本信息。 创建私有资源组 参数 参数说明 资源组名称 新建私有资源组的名称，可自定义。 节点集群 在下拉框选择已创建的CCE集群。 调试节点 选择执行压测的调试机。调试节点在资源组创建成功后不可修改。 执行节点 选择执行压测的执行机，即在压测过程中能够提供自身性能数据的施压目标机器。 单击“创建”。

基本信息 负载类型：选择守护进程DaemonSet。工作负载类型的介绍请参见工作负载概述。 负载名称：填写工作负载的名称。 命名空间：选择工作负载的命名空间，默认为default。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。 容器运行时：CCE集群默认使用普通运行时。 时区同步：选择是否开启时区同步。开启后容器与节点使用相同时区（时区同步功能依赖容器中挂载的本地磁盘，请勿修改删除），时区同步详细介绍请参见时区同步。 容器配置 容器信息 Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 基本信息：容器基本信息 生命周期：设置容器生命周期 健康检查：设置容器健康检查 环境变量：设置环境变量 数据存储：存储概述 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。请输入用户ID，容器将以当前用户权限运行。 容器日志：使用ICAgent采集容器日志 说明 负载实例数大于1时，不支持挂载云硬盘类型的存储。 镜像访问凭证：用于访问镜像仓库的凭证，默认取值为defaultsecret，使用defaultsecret可访问SWR镜像仓库的镜像。defaultsecret详细说明请参见defaultsecret。 GPU显卡：默认为不限制。当集群中存在GPU节点时，工作负载实例可以调度到指定GPU显卡类型的节点上。

本节介绍了访问凭证(个人版)的用户指南。 概述 在拉取私有镜像或者上传镜像前，需要docker login输入您的用户名/密码作为访问凭证，容器镜像服务支持重置访问凭证的密码。 登录实例 1. 进入容器镜像服务控制台。 2. 点击已开通的个人版实例。 3. 左侧导航栏点击"访问凭证"，进入访问凭证页面。 4. 根据当前界面给出的操作指引，登录实例。 重置密码 1. 进入容器镜像服务控制台。 2. 点击已开通的个人版实例。 3. 左侧导航栏点击"访问凭证"，进入访问凭证页面。 4. 点击页面中的重置密码按钮。 5. 输入新密码并点击设置即可完成重置密码。

CCE支持HPA策略和CustomedHPA策略两种工作负载伸缩方式。两种策略的对比如下： HPA和CustomedHPA策略对比 伸缩策略 HPA策略 CustomedHPA策略 实现方式 Kubernetes中实现POD水平自动伸缩的功能，即Horizontal Pod Autoscaling 弹性伸缩增强能力 策略规则 基于指标（CPU利用率、内存利用率），对无状态工作负载进行弹性扩缩容。 基于指标（CPU利用率、内存利用率）或周期（每天、每周、每月或每年的具体时间点），对无状态工作负载进行弹性扩缩容。 主要功能 在kubernetes社区HPA功能的基础上，增加了应用级别的冷却时间窗和扩缩容阈值等功能。 指标触发 支持按照当前实例数的百分比进行扩缩容。 支持设置一次扩缩容的最小步长。 支持按照实际指标值执行不同的扩缩容动作。 周期触发 支持选择天、周、月或年的具体时间点或周期作为触发时间 说明： 伸缩策略优先级：手动伸缩和自动伸缩同时配置的情况下，在不执行手动伸缩时，资源调度以自动伸缩为准，伸缩按照监控信息自动触发，如果使用手动伸缩，自动伸缩会暂时失效。 HPA工作原理 HPA（Horizontal Pod Autoscaler）是用来控制Pod水平伸缩的控制器，HPA周期性检查Pod的度量数据，计算满足HPA资源所配置的目标数值所需的副本数量，进而调整目标资源（如Deployment）的replicas字段。 想要做到自动弹性伸缩，先决条件就是能感知到各种运行数据，例如集群节点、Pod、容器的CPU、内存使用率等等。而这些数据的监控能力Kubernetes也没有自己实现，而是通过其他项目来扩展Kubernetes的能力，CCE提供如下两个插件来实现该能力： []( " ")Prometheus是一套开源的系统监控报警框架，能够采集丰富的Metrics（度量数据），目前已经基本是Kubernetes的标准监控方案。 []( " ")Metrics Server是Kubernetes集群范围资源使用数据的聚合器。Metrics Server从kubelet公开的Summary API中采集度量数据，能够收集包括了Pod、Node、容器、Service等主要Kubernetes核心资源的度量数据，且对外提供一套标准的API。 使用HPA（Horizontal Pod Autoscaler）配合Metrics Server可以实现基于CPU和内存的自动弹性伸缩，再配合Prometheus还可以实现自定义监控指标的自动弹性伸缩。 HPA主要流程如下图所示。 HPA 的核心有如下2 个部分： 监控数据来源 最早社区只提供基于CPU和Mem的HPA，随着应用越来越多搬迁到k8s上以及Prometheus的发展，开发者已经不满足于CPU和Memory，开发者需要应用自身的业务指标，或者是一些接入层的监控信息，例如：Load Balancer的QPS、网站的实时在线人数等。社区经过思考之后，定义了一套标准的Metrics API，通过聚合API对外提供服务。 − metrics.k8s.io： 主要提供Pod和Node的CPU和Memory相关的监控指标。 − custom.metrics.k8s.io： 主要提供Kubernetes Object相关的自定义监控指标。 − external.metrics.k8s.io：指标来源外部，与任何的Kubernetes资源的指标无关。 扩缩容决策算法 HPA controller跟据当前指标和期望指标来计算缩放比例，计算公式如下： desiredReplicas ceil[currentReplicas ( currentMetricValue / desiredMetricValue )] 例如当前的指标值是200m，目标值是100m，那么按照公式计算期望的实例数就会翻倍。那么在实际过程中，可能会遇到实例数值反复伸缩，导致集群震荡。为了保证稳定性，HPA controller从以下几个方面进行优化： − 冷却时间：在1.11版本以及之前的版本，社区引入了horizontalpodautoscalerdownscalestabilizationwindow和horizontalpodautoScalerupscalestabilizationwindow这两个启动参数代表扩容冷却时间和缩容冷却时间，这样保证在冷却时间内，跳过扩缩容。1.14版本之后引入延迟队列，保存一段时间内每一次检测的决策建议，然后根据当前所有有效的决策建议来进行决策，从而保证期望的副本数尽量小的发生变更，保证稳定性。 − 忍受度：可以看成一个缓冲区，当实例变化范围在忍受范围之内的话，保持原有的实例数不变。 首先定义ratio currentMetricValue / desiredMetricValue 当ratio – 1.0 tolerance时， 就会根据之前的公式计算期望值。 当前社区版本中默认值为0.1 由于当前冷却时间窗，忍受度都是全局的参数，对于用户来说，可能应用所需的忍受度和冷却时间窗都不一致，所以当前CCE在社区的基础上，提供应用级别的忍受度和冷却时间窗。 HPA是基于指标阈值进行伸缩的，常见的指标主要是 CPU、内存，当然也可以通过自定义指标，例如QPS、连接数等进行伸缩。但是存在一个问题：基于指标的伸缩存在一定的时延，这个时延主要包含：采集时延(分钟级) + 判断时延(分钟级) + 伸缩时延(分钟级)。这个分钟级的时延，可能会导致应用CPU飚高，相应时间变慢。为了解决这个问题，CCE提供了定时策略，对于一些有周期性变化的应用，提前扩容资源，而业务低谷时，定时回收资源。

类别 说明 总览 提供监控概览及仪表盘功能。 监控概览 “监控概览”界面提供了资源、应用、应用用户体验的全链路、多层次、一站式运维界面。 仪表盘 通过仪表盘可将不同图表展示到同一个屏幕上，通过不同的仪表形式来展示资源数据，例如，曲线图、数字图等，进而全面、深入地掌握监控数据。 告警 提供告警列表、事件列表、告警规则、告警通知等功能。 告警列表 告警是指AOM自身或外部服务在异常情况或在可能导致异常情况下上报的信息，并且您需采取相应措施清除故障，否则会由于AOM自身或外部服务的功能异常而引起业务的异常。 告警列表展示已设时间范围内产生的告警。 事件列表 事件告诉您AOM自身或外部服务发生了某种变化，但不一定会引起业务异常，事件一般用来表达一些重要信息。 事件列表展示已设时间范围内产生的事件。 告警规则 通过告警规则可对服务设置事件条件或者对资源的指标设置阈值条件。当服务的资源数据满足事件条件时产生事件类告警。当资源的指标数据满足阈值条件时产生阈值告警，当没有指标数据上报时产生数据不足事件，以便您在第一时间发现异常并进行处理。 监控 提供应用监控、组件监控、主机监控、容器监控、指标浏览等功能。 应用监控 应用是您根据业务需要，对相同或者相近业务的一组组件进行逻辑划分，AOM提供以应用维度整体进行监控。 组件监控 组件即您部署的服务，包括容器和普通进程。 组件列表展示了每个组件的类型、CPU占用、内存占用和告警状态等信息，AOM支持从组件下钻到实例，从实例下钻到容器。通过各层状态，您可完成对组件的立体监控。 主机监控 通过AOM您可监控主机的资源占用与健康状态，监控主机的磁盘、文件系统等常用系统设备，监控运行在主机上的业务进程或实例的资源占用与健康状态。 容器监控 容器监控的对象仅为通过CCE部署的工作负载、通过ServiceStage创建应用。 指标浏览 指标浏览展示了各资源的指标数据，您可实时监控指标值及趋势，还可将关注的指标添加到仪表盘，对其创建阈值规则和导出监控报告等操作，以便实时查看业务及分析数据。 日志 提供日志搜索、日志文件、日志转储、日志路径等功能。 日志搜索 当需要通过日志来分析和定位问题时，使用日志搜索功能可帮您快速在海量日志中查询到所需的日志，您还可结合日志的来源信息和上下文原始数据一起辅助定位问题。 日志文件 您可快速查看组件实例的日志文件，以便定位问题。 日志转储 AOM支持将日志转储到对象存储服务（Object Storage Service，简称OBS）的OBS桶中，以便进行长期存储。 日志路径 AOM支持容器服务日志和虚机（这里的虚机指操作系统为Linux的弹性云主机或物理机）日志采集，即采集您自定义的日志文件并展现在AOM界面中，以供您检索。使用该功能前首先要配置日志采集路径。 配置管理 提供ICAgent管理、应用发现、日志配置等功能。 ICAgent管理 ICAgent用于采集指标、日志和应用性能数据。对于在ECS、BMS控制台直接购买的主机，您需手动安装ICAgent。对于通过CCE间接购买的主机，ICAgent会自动安装，您不用安装ICAgent。 数据订阅 支持用户订阅指标或者告警信息，订阅后可以将数据转发到用户配置的kafka或DMS的Topic中，供消费者消费转发的订阅的信息。 应用发现 应用发现是指AOM通过配置的规则发现和收集您主机上部署的应用和关联的指标。 日志配置 提供日志配额和分词设置功能。 配额配置 当指标超过配额时，时间较早的指标将会被删除。 指标配置 指标采集开关用来控制是否对指标数据进行采集（SLA指标、自定义指标除外）。

本章节介绍如何使用云容器引擎快速接入云原生网关 概述 云原生网关体验流程如下： 创建网关实例 > 绑定ELB > 添加服务来源 > 添加服务 > 配置路由规则 > 测试验证 > 查看监控 前置条件 1. 已创建云原生网关实例； 2. 已创建ELB实例； 3. 已开通天翼云日志服务（LTS）和应用性能监控服务（APM），网关实例开启了指标监控、链路追踪和日志服务； 绑定ELB 实例开通成功后，需要绑定到ELB提供外部访问；当前支持私网ELB和公网ELB；可以到ELB开通页面在网关同VPC下创建ELB实例； 从网关列表页选择指定网关进入网关详情页，在基础信息页可以看到网关入口选项，选择绑定ELB，在下拉列表中选择已经开通的公网或者私网ELB实例及端口，绑定即可。 绑定完成后可以看到当前绑定的ELB列表及访问地址。 添加服务来源 通过网关列表页面选择网关实例进入对应实例的详情页，在服务来源子菜单下可以添加云原生网关的服务来源，当前支持将与网关同vpc下的nacos实例和云容器引擎集群作为服务来源 添加服务 在网关实例服务列表菜单下可以创建服务，当前支持从容器、Nacos服务来源创建服务，或者创建固定地址的服务； 选择从容器创建服务时需要指定： （1）服务所在的命名空间； （2）在服务列表栏可以看到选择的命名空间下的服务信息（K8s Service），每个服务可能有多个端口，在云原生网关中，每个端口都可以创建为一个服务； （3）根据需求可以配置后端服务的请求协议（HTTP、HTTPS、GRPC、GRPCS）、websocket选项、MTLS选项等；

本文介绍使用云应用引擎时，应用的实例配额限制、CPU和内存限制，以及网络、容器、镜像等限制条件。 配额限制 限制项 限制值 说明 可创建应用的用户 实名认证，且账户内金额大于0元。 无 单应用实例数 20 单个应用的实例数量上限 总应用实例数 100 单Region下用户能够创建的全部应用实例数量 内存用量 10G 单Region下用户所有应用使用的内存大小上限 CPU核数 2核 单Region下用户所有应用使用的CPU核数上限 网络 专有网络VPC 不支持经典网络。专有网络VPC内部署的实例默认不可访问公网，如需访问公网，则需进行相关配置。 容器 Linux容器 不支持Windows容器。 系统盘磁盘空间 默认20GiB 不支持更改系统盘磁盘空间大小。为了保证您的业务连续性，在SAE控制台使用镜像部署应用时，请确保镜像大小不超过20GiB。

本文将介绍如何通过控制台使用镜像来创建应用。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 步骤一：配置应用基本信息 1. 在集群管理页面的左侧导航栏中，选择“工作负载” 。 2. 点击“无状态”，在无状态页面中，单击“创建Deployment” 。 3. 进入创建Deployment页面，设置应用的基本信息。 步骤二：配置容器 在实例内容器中，配置容器的名称、镜像、类型以及资源等。 说明 在实例内容器的页签中，可以单击上方的“+添加容器”来为您的应用创建多个容器。 1. 设置容器的基本信息。 配置项 描述 容器名称 填写容器的名称 更新策略 支持IfNotPresent、Always、Never 镜像及镜像版本 支持在容器镜像服务或开源镜像中选择镜像以及镜像版本 CPU/内存配额限制 Limit用于设置容器使用资源的最大上限，避免异常情况下节点资源消耗过多 初始化容器 初始化容器用于业务容器启动前安装特定工具或脚本 启动命令（选填） ● 运行命令：对应镜像的ENTRYPOINT命令，将会覆盖镜像的ENTRYPOINT命令；每个输入框仅输入一个命令或参数启动执行 ● 运行参数：对应镜像的CMD命令，将会覆盖镜像的CMD命令；每个输入框仅输入一个命令或参数 启动后处理（选填） ● 命令行脚本：容器启动后执行，注意由于是异步执行，无法保证一定在ENTRYPOINT之后运行；每个输入框仅输入一个命令或参数 ● HTTP请求：输入路径、端口、主机地址 停止前处理（选填） ● 命令行脚本：容器停止前执行，常用于资源清理。每个输入框仅输入一个命令或参数 ● HTTP请求：输入路径、端口、主机地址 容器健康检查（选填） ● 存活检查：检查容器是否正常，不正常则重启实例 ● 就绪检查：检查容器是否就绪，不就绪则停止转发流量到当前实例 ● 启动探针：检查容器内应用是否已经启动 环境变量（选填） 支持配置容器的环境变量 数据存储（选填） 支持挂载数据卷到容器内的指定路径，支持EmptyDir、Config Map、Secret 2. 服务配置 。开启Service选项后，可以设置暴露后端应用的方式。 说明 根据应用的实际需求，您可以根据以下方式进行服务访问方式设置： 集群内访问 ：这适用于只在集群内部工作的应用，方便应用之间进行内部通信。 负载均衡 ：对于需要暴露到公网的应用，您可以采用负载均衡类型的服务，并通过天翼云提供的负载均衡服务ELB，使得该服务获得公网访问能力。 配置项 描述 访问类型 目前支持虚拟集群IP和负载均衡两种服务访问方式： ● 集群内访问 ：即ClusterIP，是一种通过集群内部IP暴露服务的方式。选择这个值意味着服务只能在集群内部访问 ● 负载均衡 ：即LoadBalancer，通过天翼云ELB提供服务支持，可以根据实际需要选择公网访问或者私网访问。支持使用已有ELB或者新建ELB 注解 为服务添加注解，即Annotation 端口配置 支持指定协议、容器端口以及服务端口。确保容器端口与后端Pod中暴露的容器端口一致

本文将介绍如何在控制台如何查看Serverless集群的容器组。 操作步骤 1. 登录云容器引擎控制台。 2. 在控制台的左侧导航栏中点击“集群” 。 3. 在集群管理页面的左侧导航栏中，选择“工作负载”。 4. 点击“容器组” ，在容器组页面下可以查看所有创建的容器。 5. 点击想要查看的实例名称 ，即可进入查看该容器组的详细信息。包括查看容器组的事件、日志以及监控等。

参数 参数说明 插件规格 根据业务需求，选择插件的规格，包含如下选项： 演示规格（100容器以内）：适用于体验和功能演示环境，该规模下prometheus占用资源较少，但处理能力有限。建议在集群内容器数目不超过100时使用。 小规格（2000容器以内）：建议在集群中的容器数目不超过2000时使用。 中规格（5000容器以内）：建议在集群中的容器数目不超过5000时使用。 大规格（超过5000容器）：建议集群中容器数目超过5000时使用此规格。 实例数 选择上方插件规格后，显示插件中的实例数，此处仅作显示。 容器 选择插件规格后，显示插件容器的CPU和内存配额，此处仅作显示。 监控数据保留期 自定义监控数据需要保留的天数，默认为15天。 存储 按照界面提示配置如下参数： 类型：支持云硬盘。 可用区：请根据业务需要进行选择。可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 子类型：支持普通IO、高IO和超高IO三种类型。 容量：请根据业务需要输入存储容量，默认10G。 说明： 若命名空间monitoring下已存在pvc，将使用此存储作为存储源。

计算资源（包含：Master节点/工作节点池）： 支持包年/包月，按需计费2种计费类型。 X86架构：计算增强型、海光计算增强型、通用型、海光通用型、内存优化型、海光内存优化型、GPU图形加速型、GPU计算加速型。ARM架构：鲲鹏计算增强型、鲲鹏通用型、鲲鹏内存优化型。 弹性裸金属：CPU类型弹性裸金属。 具体价格可以参考：云主机价格 弹性裸金属价格 云硬盘（包含系统盘、数据盘） 名称 磁盘类型 普通IO SATA 高IO SAS 通用型SSD 通用型SSD 超高IO SSD X系列 XSSD0、XSSD1、XSSD2 具体价格可以参考：云硬盘价格 ELB（用于内网 API Server绑定使用） 名称 计费方式 包月标准价格（元/月） 按需标准价格（元/小时） 负载均衡标准型I 按需/包周期 360 0.49 负载均衡标准型II 按需/包周期 720 0.99 负载均衡增强型I 按需/包周期 1000 1.37 负载均衡增强型II 按需/包周期 1300 1.78 负载均衡高阶型I 按需/包周期 1800 2.47 用于内网 API Server绑定使用的ELB，包年预付费享受8.5折。 注意 容器下云主机、云硬盘支持包年折扣，折扣价以IaaS产品资费说明为准。其他可选项资费，可查看对应云产品计费说明。容器获得用户委托代客开的云产品默认按需计费，用户也可在对应产品控制台开通云资源后在容器侧绑定使用。

本文主要介绍 本地磁盘存储。 通过本地磁盘存储将容器所在宿主机的文件目录挂载到容器的指定路径中（对应Kubernetes的HostPath），也可以不填写源路径（对应Kubernetes的EmptyDir），不填写时将分配主机的临时目录挂载到容器的挂载点，指定源路径的本地硬盘数据卷适用于将数据持久化存储到容器所在宿主机，EmptyDir（不填写源路径）适用于容器的临时存储。 本地磁盘使用场景 您可以通过如下四种形式使用本地磁盘存储： 主机路径挂载：将容器所在宿主机的文件目录挂载到容器指定的挂载点中，如容器需要访问/etc/hosts则可以使用HostPath映射/etc/hosts等场景。 临时路径挂载：用于临时存储，生命周期与容器实例相同。容器实例消亡时，EmptyDir会被删除，数据会永久丢失。 配置项挂载：将ConfigMap配置项中的key映射到容器中，可以用于挂载配置文件到指定容器目录。配置项（ConfigMap）是一种用于存储工作负载所需配置信息的资源类型，内容由用户决定。ConfigMap的创建请参见创建配置项，具体使用请参见使用配置项。 密钥挂载 ： 将密钥中的数据挂载到容器的某一路径中。密钥是一种用于存储工作负载所需要认证信息、密钥的敏感信息等的资源类型，内容由用户决定。Secret的创建请参见创建密钥，具体使用请参见使用密钥。 下面分别介绍如何通过这四种形式进行挂载。

本节主要介绍前提条件 注册天翼云帐号，并登录成功。 获取AK/SK，请参考AK/SK获取方法。 说明 如果使用微服务引擎专业版，需要配置AK/SK。 如果使用微服务引擎专享版，不需要配置AK/SK。 创建一个虚拟私有网络VPC，请参考创建虚拟私有云和子网。 创建一个CCE集群，集群中至少包含一个ECS节点(为方便后续步骤的操作，节点 规格最好选择4vCPUs、8GB内存)并且绑定弹性IP。集群绑定弹性IP，请参考云容器引擎 > 购买容器集群。 本例将绑定GitHub源码仓库，实现源码构建、归档、应用创建， 需要先到GitHub官网注册帐号。 在ServiceStage创建仓库授权，授权访问GitHub仓库，请参考微服务云应用平台 > 仓库授权。

云防火墙和安全组、网络ACL的访问控制有什么区别？ 云防火墙、安全组、网络ACL都可以实现通过IP地址/IP地址组设置访问控制策略，为您的互联网边界和VPC边界、弹性云服务器、子网提供防护。 云防火墙和安全组、网络ACL的主要区别如下所示。 类别 云防火墙 安全组 网络ACL 定义 云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持AI提升智能防御能力满足云上业务的变化和扩张需求，极简应用让用户快速灵活应对威胁。云防火墙服务是为用户业务上云提供网络安全防护的基础服务。 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器、云容器、云数据库等实例提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当实例加入该安全组后，即受到这些访问规则的保护。 网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的网络流量。 防护场景 互联网边界 VPC边界 SNAT场景 弹性云服务器 子网 功能特性 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。 支持通过地理位置、域名、域名组、黑/白名单过滤。 支持入侵防御系统（IPS）、病毒防御（AV）功能。 支持三元组（即协议、端口和对端地址）过滤。 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。

推送镜像 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击容器镜像 镜像仓库，选择创建了触发器的镜像仓库。 4. 选择操作指南标签页，根据指引完成镜像的推送。 查看触发记录 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击容器镜像 镜像仓库，选择创建了触发器的镜像仓库。 4. 选择触发器 标签页，操作 栏选择更多 查看触发记录可以查看触发器的触发记录。每当新推送的镜像命中触发器的Tag匹配条件时，则会新增一条触发记录，并且云容器引擎工作负载的镜像会自动更新。

参数 参数说明 插件规格 根据业务需求，选择插件的规格，包含如下选项： 演示规格（100容器以内）：适用于体验和功能演示环境，该规模下prometheus占用资源较少，但处理能力有限。建议在集群内容器数目不超过100时使用。 小规格（2000容器以内）：建议在集群中的容器数目不超过2000时使用。 中规格（5000容器以内）：建议在集群中的容器数目不超过5000时使用。 大规格（超过5000容器）：建议集群中容器数目超过5000时使用此规格。 实例数 选择上方插件规格后，显示插件中的实例数，此处仅作显示。 容器 选择插件规格后，显示插件容器的CPU和内存配额，此处仅作显示。 数据保留期 自定义监控数据需要保留的天数，默认为15天。 存储 支持云硬盘作为存储，按照界面提示配置如下参数： 可用区：请根据业务需要进行选择。可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 子类型：支持普通IO、高IO和超高IO三种类型。 容量：请根据业务需要输入存储容量，默认10G。 说明 若命名空间monitoring下已存在pvc，将使用此存储作为存储源。

删除应用 前提条件 若应用下还存在关联的应用实例，则无法删除。 在“应用详情“页面，单击右上角的“删除应用“，在弹出的对话框中单击 “确认”。 收藏应用 1. 登录微服务云应用控制台，选择“应用管理 > 应用列表”。 2. 点击项目名，在应用管理右侧选择应用分组，选择应用分组下的某个应用，单击应用名右侧的“收藏应用”。 取消收藏 1. 登录微服务云应用控制台，选择“应用管理 > 应用列表”。 2. 选择“收藏应用”，选择某个应用，单击应用名右侧的“取消收藏”。 应用详情 应用详情分为三块内容：部署信息、基本信息、发布记录。 部署信息 概述 查看应用的部署情况，根据不同的应用发布方式，分为容器应用实例、ECS应用实例。选择相应的页签去查看应用的部署详情。该应用所属的项目关联的环境下的应用实例数，根据不同环境展示不同环境下的应用实例部署信息。 1. 登录微服务云应用控制台，选择“应用管理 > 应用列表”。 2. 点击项目名，在应用管理下选择应用分组下的某个应用，单击应用名，单击右侧的“部署信息”。 环境：应用所属项目下关联的所有环境以及环境下已发布的应用实例数，勾选展示。 容器应用实例：容器部署方式下不同环境的应用实例列表信息。 ECS应用实例：Ecs部署方式下不同环境的应用实例列表信息。 应用实例列表基本信息：包含应用实例名称、运行实例数/期望实例数、实例总数、所属项目、所属分组、应用名称、部署单元、技术栈版本、标签、工作负载类型（容器应用实例）、发布时间、发布状态、实例来源、操作。

本节介绍了：创建一个无状态工作负载——查看容器实例事件的用户指引。 在工作负载实例详情的界面中，选择事件可以查看负载事件及容器事件。

本文主要介绍参考知识类问题。 一、 如何使容器重启后所在容器IP仍保持不变？ 单节点场景 如果集群下仅有1个节点时，要使容器重启后所在容器IP保持不变，需在工作负载中配置主机网络，在工作负载的yaml中的spec.spec.下加入hostNetwork: true字段。 多节点场景 如果集群下有多个节点时，除进行以上操作外，还需要设置节点的亲和策略，但工作负载创建后实例运行数不得超过亲和的节点数。 完成效果 进行如上设置并在工作负载运行后，工作负载实例ip与节点ip将保持一致，重启工作负载后ip也将保持不变。 二、云容器引擎CCE和微服务引擎的区别是什么？ 对于使用者而言，云容器引擎关注的重点是pod的部署，微服务引擎关注的是服务的使用。 对于技术实现来看，微服务引擎是对云容器引擎的再一次封装。 基础概念 云容器引擎（CCE） 云容器引擎（Cloud Container Engine，简称CCE）提供高度可扩展的、高性能的企业级Kubernetes集群，支持运行Docker容器，提供了Kubernetes集群管理、容器应用全生命周期管理、应用服务网格、Helm应用模板、插件管理、应用调度、监控与运维等容器全栈能力，为您提供一站式容器平台服务。借助云容器引擎，您可以在天翼云上轻松部署、管理和扩展容器化应用程序。 应用管理与运维平台（ServiceStage） ServiceStage应用管理与运维平台是一个应用托管和微服务管理平台，可以帮助企业简化部署、监控、运维和治理等应用生命周期管理工作。ServiceStage面向企业提供微服务、移动和Web类应用开发的全栈解决方案，帮助您的各类应用轻松上云，聚焦业务创新，帮助企业数字化快速转型

本节主要介绍计费项与产品价格 应用服务网格的服务费用除网格费用（目前基础版网格免费）之外，还可能包括网格所管理的天翼云基础资源费用，包括用户创建或手动加入的相关资源，如云容器引擎、云主机、云硬盘、弹性IP/带宽、弹性负载均衡等，该部分云资源价格参照天翼云相应产品价格说明。

操作场景 节点访问 ( NodePort )是指在每个节点的IP上开放一个静态端口，通过静态端口对外暴露服务。节点访问 ( NodePort )会路由到ClusterIP服务，这个ClusterIP服务会自动创建。通过请求 : ，可以从集群的外部访问一个NodePort服务。 约束与限制 “节点访问 ( NodePort )”默认为VPC内网访问，如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 创建service后，如果服务亲和从集群级别切换为节点级别，连接跟踪表将不会被清理，建议用户创建service后不要修改服务亲和属性，如需修改请重新创建servcie。 同一个节点内的容器不支持访问externalTrafficPolicy为local的service。 工作负载创建时设置 您可以在创建工作负载时通过控制台设置Service访问方式，本节以nginx为例进行说明。 步骤 1 参考创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)，在“工作负载访问设置”步骤，单击“添加服务”。 访问类型：选择“节点访问 ( NodePort )”。 说明： 如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 Service 名称：自定义服务名称，可与工作负载名称保持一致。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载实际监听的端口，取值范围为165535。 − 访问端口：容器端口映射到节点私有IP上的端口，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 步骤 2 完成配置后，单击“确定”。 步骤 3 单击“下一步：高级设置”进入高级设置页面，直接单击“创建”。 步骤 4 单击“查看工作负载详情”，在访问方式页签下获取访问地址，例如“192.168.0.160:30358”。 工作负载创建完成后设置 您可以在工作负载创建完成后对Service进行配置，此配置对工作负载状态无影响，且实时生效。具体操作如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”，在工作负载列表页单击要设置Service的工作负载名称。 说明： 如果当前Service被关联到Ingress，则更新Service的端口信息后Ingress将不可用，需要删除重建。 步骤 2 在“Service”页签，单击“添加Service”。 步骤 3 在“添加Service”页面，访问类型选择“节点访问 ( NodePort )”。 说明： 如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 步骤 4 设置节点访问参数： Service 名称：自定义服务名称，可与工作负载名称保持一致。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作 负载：要添加Service的工作负载，此处不可修改。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到节点私有IP上的端口，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 步骤 5 单击“创建”。工作负载已添加“节点访问 ( NodePort )”的服务。 验证访问方式 步骤 1 在管理控制台首页，单击“计算 > 弹性云主机”。 步骤 2 在弹性云主机页面，找到同一VPC内任意一台云服务器，并确认连接到访问地址中IP与端口的安全组是开放的。 步骤 3 单击“远程登录”，弹出登录页面，输入用户密码登录。 步骤 4 使用curl命令访问工作负载验证工作负载是否可以正常访问。 说明： 节点访问(NodePort)会在集群内节点上分配一个虚拟IP，即可以在集群内部通过虚拟IP的验证方式验证。其中，虚拟IP访问端口默认与容器端口一致。 如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 curl 192.168.0.160:30358 其中“192.168.0.160:30358”为步骤4中获取到的访问地址，即节点虚拟IP+访问端口。 回显如下表示访问成功。 Welcome to nginx! body { width: 35em; margin: 0 auto; fontfamily: Tahoma, Verdana, Arial, sansserif; } Welcome to nginx! If you see this page, the nginx web server is successfully installed and working. Further configuration is required. For online documentation and support please refer to Thank you for using nginx. 更新Service 您可以在添加完Service后，更新此Service的端口配置，操作步骤如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”，在Service页签下，选择对应的集群和命名空间，单击需要更新端口配置的Service后的“更新”。 步骤 2 在更新Service页面，访问类型选择“节点访问 ( NodePort )”。 步骤 3 更新节点访问参数： Service 名称：您创建的Service名称，此处不可修改。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作负载：要添加Service的工作负载，此处不可修改。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到节点私有IP上的端口，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 步骤 4 单击“更新”。工作负载已更新Service。

本文主要介绍 容器隧道网络。 容器隧道网络模型 容器隧道网络在节点网络基础上通过隧道封装构建的独立于节点网络平面的容器网络平面，CCE集群容器隧道网络使用的封装协议为VXLAN，后端虚拟交换机采用的是openvswitch，VXLAN是将以太网报文封装成UDP报文进行隧道传输。容器隧道网络具有付出少量隧道封装性能损耗，即可获得通用性强、互通性强、高级特性支持全面（例如NetworkPolicy网络隔离）的优势，可以满足大多数性能要求不高的场景。 图 容器隧道网络 说明 节点内Pod间通信：同节点的Pod间通信直接通过本节点的ovs网桥直接转发。 跨节点Pod间通信：所有跨节点Pod间的通信通过ovs隧道网桥进行封装后，转发到对端节点上。 优缺点 优点 容器网络和节点网络解耦，不受VPC配额规格、响应速度的限制（如VPC路由条目数、弹性网卡数、创建速度限制） 支持网络隔离，具体请参见网络策略（ NetworkPolicy ） 支持带宽限制 支持大规模组网 缺点 由于隧道封装，网络问题排查难度较大，整体性能较低 无法直接利用VPC提供的负载均衡、安全组等能力 不支持外部网络与容器IP直通

Demo下载 1. Demo下载地址：微服务治理中心控制台>应用治理>应用接入>云容器引擎 15分钟快速体验导航。 2. ctyunmsedemo.tar.gz项目介绍。 quickstart文件夹 ：提供simpledemo、appa、appb、appc和zuul的启动jar包和一键启动脚本，简单配置即可快速接入微服务治理中心。 springcloud文件夹 ：appa、appb和appc的项目源码。 simpledemo文件夹 ：simpledemo的项目源码。 Demo镜像打包 demo镜像制作并上传云容器引擎镜像仓库。（需提前制作jdk镜像包） 1. 通过jar文件和dockerfile文件制作镜像。 FROM jdk8 ADD ./appa.jar /usr/local WORKDIR /usr/local RUN cd /usr/local && ls CMD [“java”, “jar”, “/usr/local/appa.jar”] 2. 通过容器镜像服务创建镜像仓库，镜像服务>实例列表>镜像仓库>创建仓库 进入云容器引擎控制台，点击容器镜像服务。 在实例列表页面，选择容器镜像服务实例。 进入镜像仓库菜单，点击创建仓库。 选择命名空间，设置仓库名称，点击创建。 3. demo上传至云容器引擎镜像仓库。 执行docker build f ./Dockerfilea t msgcappa:1.1 .命令，构建demo镜像。 docker build f ./Dockerfilea t msgcappa:1.1 . 登录容器镜像服务实例。 docker login username{user} registrycrs{regionCode}.ctyun.cn 推送镜像。 docker tag registryvpccrs{regionCode}.ctyun.cn/msgctest/ : docker push registryvpccrs{regionCode}.ctyun.cn/msgctest/ :

参数 参数说明 云存储类型 云硬盘：云硬盘的使用方式与传统服务器硬盘完全一致。同时，云硬盘具有更高的数据可靠性，更高的I/O吞吐能力和更加简单易用等特点，适用于文件系统、数据库或者其他需要块存储设备的系统软件或工作负载。 注意 如需挂载云硬盘，创建工作负载时的实例数量必须选择为1个实例，即单实例，选择多实例后挂载云硬盘的选项将置灰，无法挂载。 创建有状态工作负载并添加云存储时，云硬盘暂不支持使用已有存储。 云硬盘不支持跨可用区挂载，且暂时不支持被多个工作负载、同一个工作负载的多个实例或多个任务使用。 分配方式 使用已有存储 选择已创建的存储，您需要提前创建好存储。 针对同一集群和命名空间，创建无状态工作负载时可以选择“使用已有存储”。 创建有状态工作负载时暂不支持选择“使用已有存储”，只能使用“自动分配存储”。 自动分配存储 选择自动分配存储后，需要配置如下选项： 1. 访问模式：是用来对PV进行访问模式的设置，用于描述用户应用对存储资源的访问权限。 ReadWriteOnce (RWO)： 基于云硬盘非共享卷提供容器负载单Pod单独单写块存储的功能，但是该卷只能被单个节点挂载。v1.13.10r1开始支持RWO模式的存储卷。 ReadWriteMany (RWX)： 基于云硬盘共享卷提供容器负载访问块存储的功能。由于容器侧不支持跨节点的共享卷读写一致性能力，在老集群（<1.15.6）下受限使用（需要确保单负载单实例单独单写），1.15开始只支持创建和使用RWO模式的非共享卷 2. 可用区：存储所在的可用区，自动分配存储仅支持Node节点所在可用区。 3. 子类型：选择存储的子类型。 高I/O：指由SAS存储介质构成的云硬盘。 普通I/O：指由SATA存储介质构成的云硬盘。 超高I/O：指由SSD存储介质构成的云硬盘。 4. 存储容量：输入存储容量，单位为GB。请不要超过存储容量配额，否则会创建失败。 添加容器挂载 1. 单击“添加容器挂载”。 2. 挂载路径：输入数据卷挂载到容器上的路径。 须知 请不要挂载在系统目录下，如“ / ”、“ /var/run” 等，会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，工作负载创建失败。 挂载高危目录的情况下 ，建议使用低权限帐号启动，否则可能会造成宿主机高危文件被破坏。 3. 设置权限。 只读：只能读容器路径中的数据卷。 读写：可修改容器路径中的数据卷，容器迁移时新写入的数据不会随之迁移，会造成数据丢失。

本文介绍如何开启容器安全防护。 为快速实现云原生应用防护，您需要购买容器安全卫士实例、配置防护策略并开启防护。 防护开启后，通过仪表盘查看访问统计信息和攻击防护记录，掌握业务的安全状况。 配置流程 步骤一：购买容器安全卫士实例 详细步骤请参见购买容器安全卫士。 步骤二 ：安装Sever/Agent 详细步骤请参见安装Server/Agent。 步骤三：配置防护策略 Server/Agent安装完成后，系统默认使用“默认策略”防护所有容器，并将“状态”切换为开启。 用户也可以自定义防护策略，详细步骤如下： 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“容器安全 > 容器策略”，进入容器策略页面。 3. 在“入侵检测策略”页面，可以添加防护策略，并将策略的“启用状态”切换为开启。 4. 在“入侵检测规则”页面，可管理命令执行、读写文件、网络活动、文件内容等检测规则。

本节介绍了设置容器规格的用户指南。 在Kubernetes中，设置容器规格是确保应用程序在集群中有效运行的关键步骤。通过配置容器的资源请求和限制，可以优化资源使用，提升应用程序的稳定性和性能。 在Kubernetes中，资源请求（requests）和限制（limits）是用于指定容器所需的最小和最大资源量的设置。主要资源包括CPU和内存。 资源请求（requests）：容器运行时所需的最小资源量。根据申请值调度该实例到满足条件的节点去部署工作负载。 资源限制（limits）：容器允许使用的最大资源量。如果容器尝试使用超过限制的资源，可能会被终止。 通过控制台中设置容器规格 1、登录CCE控制台，单击集群名称进入集群。 2、在集群控制台左侧导航栏中选择“工作负载 ”，切换至“无状态 ”页签，单击“创建Deployment”。 3、在实例内容器设置CPU/内存限制。 4、点击“提交”，创建完成。 常见问题和解决方法 Pod调度失败 确保节点有足够的资源满足容器的资源请求。 检查集群资源配额设置，确保配额没有被超出。