本文介绍GPU云主机相关的名词概念。 概念 介绍 GPU 图形处理器（Graphics Processing Unit）。相比CPU具有众多计算单元和更多的流水线，适合用于大规模并行计算等场景。 CUDA NVIDIA推出的通用并行计算架构，帮助您使用NVIDIA GPU解决复杂的计算问题。 cuDNN NVIDIA推出的用于深度神经网络的GPU加速库。 镜像 提供了运行实例所需的信息，包括操作系统、初始化应用数据等。 地域和可用区 实例和其他资源的部署物理位置。 SSH密钥对 一种安全便捷的登录认证方式，由公钥和私钥组成，仅支持Linux实例。 安全组 一种虚拟防火墙，您可以基于安全组控制实例的入流量和出流量。 弹性网卡 一种独立的虚拟网卡，可以绑定到弹性云主机或从弹性云主机解绑，实现业务的灵活扩展和迁移。 云硬盘 可弹性扩展的块存储设备，可以用作实例的系统盘或可扩展数据盘使用。 快照 某一时间点云盘数据状态的备份文件，用于备份或者恢复整个云盘。 VPC 虚拟私有云（Virtual Private Cloud）。为云服务器、云容器、云数据库等云上资源构建隔离、私密的虚拟网络环境。VPC丰富的功能帮助用户灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。

本文主要介绍 创建无状态负载(Deployment) 。 操作场景 在运行中始终不保存任何数据或状态的工作负载称为“无状态负载 Deployment”，例如nginx。您可以通过控制台或kubectl命令行创建无状态负载。 前提条件 在创建容器工作负载前，您需要存在一个可用集群。若没有可用集群，请参照购买CCE集群中内容创建。 若工作负载需要被外网访问，请确保集群中至少有一个节点已绑定弹性IP，或已创建负载均衡实例。 说明 单个实例（Pod）内如果有多个容器，请确保容器使用的端口不冲突 ，否则部署会失败。 通过控制台创建 步骤 1 登录CCE控制台。 步骤 2 单击集群名称进入集群，在左侧选择“工作负载”，在右上角单击“创建负载”。 步骤 3 配置工作负载的信息。 基本信息 负载类型：选择无状态工作负载Deployment。工作负载类型的介绍请参见工作负载概述。 负载名称：填写工作负载的名称。 命名空间：选择工作负载的命名空间，默认为default。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。 实例数量：填写实例的数量，也就是Pod的数量。 容器运行时：CCE集群默认使用普通运行时。 时区同步：选择是否开启时区同步。开启后容器与节点使用相同时区（时区同步功能依赖容器中挂载的本地磁盘，请勿修改删除），时区同步详细介绍请参见时区同步。 容器配置 容器信息Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 基本信息：容器基本信息 生命周期：设置容器生命周期 健康检查：设置容器健康检查 环境变量：设置环境变量 数据存储：存储概述 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。请输入用户ID，容器将以当前用户权限运行。 容器日志：使用ICAgent采集容器日志 说明 负载实例数大于1时，不支持挂载云硬盘类型的存储。 镜像访问凭证：用于访问镜像仓库的凭证，默认取值为defaultsecret，使用defaultsecret可访问SWR镜像仓库的镜像。defaultsecret详细说明请参见defaultsecret。 GPU显卡：默认为不限制。当集群中存在GPU节点时，工作负载实例可以调度到指定GPU显卡类型的节点上。 服务配置 服务（Service）是用来解决Pod访问问题的。每个Service有一个固定IP地址，Service将访问流量转发给Pod，而且Service可以给这些Pod做负载均衡。 您也可以在创建完工作负载之后再创建Service，Service的概念和使用方法请参见Service概述。 高级配置 升级策略：工作负载升级配置 调度策略：调度策略（亲和与反亲和） 容忍策略：容忍策略与节点的污点能力配合使用，允许（不强制）负载调度到带有与之匹配的污点的节点上，也可用于控制负载所在的节点被标记污点后负载的驱逐策略，详情请参见容忍度（ Toleration ）。 步骤 3 单击右下角“创建工作负载”。

本节主要介绍镜像创建无状态工作负载（Nginx） 。 您可以使用容器镜像快速创建一个可公网访问的单实例工作负载。本章节将指导您基于云容器引擎CCE快速部署Nginx容器应用，并管理该容器应用的全生命周期，以期让您具备将云容器引擎应用到实际项目中的能力。 前提条件 您需要创建一个至少包含一个4核8G节点的集群，且该节点已绑定弹性IP，并确保其可联网下载容器镜像。 集群是运行工作负载的逻辑分组，包含一组云主机资源，每台云主机即集群中的一个节点。 创建集群的方法，请参见 集群。 Nginx应用概述 Nginx是一款轻量级的Web服务器，您可通过CCE快速搭建nginx web服务器。 本章节将以创建Nginx应用为例，来创建一个工作负载，预计需要5分钟。 本章节执行完成后，可成功访问Nginx的网页，如下图。 图 本例结果 操作步骤 步骤 1 登录CCE控制台。 步骤 2 单击集群进入集群控制台。 步骤 3 在左侧菜单栏选择“工作负载”，单击右上角“创建负载”。 步骤 4 填写以下参数，其它保持默认。 基本信息 负载类型：选择无状态负载。 负载名称：nginx。 命名空间：default。 实例数量：请设置为1。 容器配置 在基本信息中，“镜像名称”输入框中输入“nginx:latest”。 服务配置 单击服务配置下的加号，创建服务（Service），用于从外部访问负载。本例将创建一个负载均衡类型的Service，请在右侧弹窗中配置如下参数。 Service名称：输入应用发布的可被外部访问的名称，设置为：nginx。 访问类型：选择“负载均衡 ( LoadBalancer )”。 服务亲和：保持默认。 负载均衡器：如果已有负载均衡（ELB）实例，可以选择已有ELB，如果没有可选择“自动创建”，创建一个公网类型负载均衡器。 端口配置： 对外协议：TCP。 服务端口：设置为9888，该端口号将映射到容器端口。 容器端口：容器中应用启动监听的端口，nginx镜像请设置为80，其他应用容器端口和应用本身的端口一致。 步骤 5 单击右下角“创建工作负载”。 等待工作负载创建成功。 创建成功后在无状态负载下会显示一个运行中的工作负载。

产品分类 产品名称 存储 混合存储网关、云硬盘、弹性文件服务、媒体存储、云备份、云硬盘备份、对象存储、云主机备份、海量文件服务 OceanFS、云容灾、对象存储（经典版）I型、并行文件 网络与CDN 弹性IP、天翼云SDWAN、NAT网关、VPN连接、云间高速、虚拟私有云、弹性负载均衡、共享流量包、智能边缘云、云专线CDA、应用加速、边缘安全加速平台、CDN加速、智能DNS、VPC终端节点、全站加速、科研助手 计算 弹性云主机、天翼云电脑（政企版）、函数计算、弹性高性能计算、镜像服务、弹性伸缩服务、物理机、云骁智算平台、数据加密 数据库 关系数据库SQL Server版、关系数据库PostgreSQL版、分布式关系型数据库、关系数据库MySQL版、数据传输服务、文档数据库服务、数据管理服务、分布式缓存服务Redis版、时序数据库Influx版、分布式融合数据库HTAP、云数据库ClickHouse 监控与管理 云日志服务、应用性能监控 应用服务 API网关、EasyCoding敏捷开发平台、软件开发生产线CodeArts 数据库 关系型数据库MySQL版（CTRDS）、关系型数据库PostgreSQL版、关系型数据库SQL Server版、云数据库GaussDB、分布式关系型数据库、分布式融合数据库HTAP、文档数据库服务、时序数据库Influx版、分布式缓存服务Redis版 人工智能 AI能力开放平台、慧聚一站式智算服务平台 大数据 云搜索服务、大数据管理平台 DataWings、翼MapReduce 容器与中间件 应用服务网格、弹性容器实例、分布式容器云平台、容器镜像服务、分布式消息服务RabbitMQ、分布式消息服务RocketMQ、微服务应用平台MSAP、云容器引擎、分布式消息服务Kafka、微服务引擎注册配置中心、微服务引擎MSE、应用性能监控apm、分布式容器云平台CCSE ONE 安全及管理 云防火墙（原生版）、统一身份认证、密钥管理、服务器安全卫士（原生版）、云监控、Web应用防火墙（原生版）、证书管理服务、DDoS高防（边缘云版）、云堡垒机、Web应用防火墙（边缘云版）、云审计 企业应用 云通信短信 视频 视频直播、智能视图服务、云点播 专属云 专属云（计算独享型） 价格 账务 其他 数据库审计、云日志服务、轻量型云主机、云原生网关、API网关

本文为您介绍容器安全卫士的基本概念。 容器 容器（Container）是一个视图隔离、资源可限制、独立文件系统的进程集合。它类似于虚拟机，但更轻量，可以在应用程序之间共享操作系统。 “视图隔离”是指能够看到部分进程以及具有独立的主机名等；控制资源使用率则是可以对内存大小以及CPU 使用个数等进行限制。常见的容器引擎包括Docker、Containerd等。 镜像 镜像（Image）是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源等文件外，还包含了一些为运行准备的配置参数（如环境变量）。 镜像是容器的模板，而容器是镜像的实例。镜像是静态的，而容器是动态的。 仓库镜像是指存储在镜像仓库内的镜像，节点镜像是指存储在集群节点上的镜像。 仓库 仓库（Repository）是集中存储和分发容器镜像文件的场所，分为公共仓库和私有仓库。 集群 集群特指容器集群，即Kubernetes（简称k8s）集群或基于Kubernetes衍生的企业定制版（例如Openshift集群），由一套Kubernetes系统管理的多台服务器形成一个集群。 Kubernetes是一个容器的编排和管理系统，提供服务发现、弹性伸缩、负载均衡、故障自愈等功能。 Kubernetes将集群中的服务器划分为Master（控制节点）和Node（计算节点）： Master节点上运行着集群管理相关的一组进程，例如etcd、kubeapiserver、kubecontrollermanager和kubescheduler，这些进程实现了整个集群的资源管理、Pod调度、弹性伸缩、安全控制、系统监控和纠错等管理能力，并且都是全自动完成的。 Node作为集群中的计算节点，运行上层业务应用程序，在Node上Kubernetes管理的最小运行单元是Pod。Node上运行着Kubernetes的kubelet、kubeproxy服务进程，这些服务进程负责Pod的创建、启动、监控、重启、销毁以及实现软件模式的负载均衡器。

本章节介绍应用扩缩容的相关功能 概述 应用扩缩容包括手动扩缩容和弹性扩缩容，手动扩缩容根据设置的pod数量来进行扩缩，弹性扩缩容可以根据实例的CPU使用率、内存使用率、响应时间、请求量等信息来进行动态扩缩，达到设置的指标时进行扩容，低于设置的指标时进行缩容。 手动扩缩 在左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。点击应用实例进入到应用详情界面。在上方点击扩缩 > 手动扩缩 ,在应用扩缩容对话框中设置要扩容或缩容的应用Pod数，单击 确定 。如果将Pod数量设置为0，系统将物理删除该应用下所有的Pod，仅保留应用的基本创建信息。 开始扩缩容后，在应用总览页面出现应用正在变更...字样，您可以单击 查看详情 ，查看应用变更的详细过程。应用变更需要几分钟，请您耐心等待。变更完成后在应用总览页面的基本信息区域查看实例的运行状态，如果显示为Pod运行中，说明应用部署成功。 弹性扩缩 在左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。点击应用实例进入到应用详情界面。在上方点击扩缩 > 弹性扩缩，在弹性扩缩容对话框中设置弹性策略。在策略名称的文本框，输入自定义的弹性策略名称。在触发条件区域，单击 +新增触发器 ，然后在右侧弹出的创建触发器面板配置触发器规则，配置完成后，单击 确定 。弹性伸缩能够感知应用内各个实例的状态，并根据实例状态动态实现应用扩容和缩容。在保证服务质量的同时，提升应用的可用率。执行应用变更（如部署应用、应用扩缩、变更规格等）时，无法配置弹性策略。应用处于变更中时，弹性策略将会自动关闭，待变更完成后，自动恢复弹性策略。 触发器名称 ：必须必须以字母开头，允许数字、字母、下划线以及中划线组合。最大长度30个字符。 触发器类型 ：您支持定时触发和指标触发。 定时触发 ：适用于负载强周期型应用。 配置项 描述 周期 在下拉列表选择每天、每周或每月。 说明：选择每周后，根据需求可选择具体日期配置触发规则。如果一周内不同日期的单天内触发规则不同，可通过创建多条定时触发器来实现。 单天内触发时间 单击添加创建每天的触发时间和实例数。 1，如果错过设定的触发时刻，定时策略需要等到下一周期才会被触发。 2，两个邻近触发时间间隔要大于10分钟。 3，两个邻近触发时刻设定的实例数变化需要大于10%。 之后保持实例数 根据实际情况设置弹性策略执行后保持的实例数。 开启实例数保持 勾选后，若同时设置指标触发弹性策略，在设定时间段内，以两者中较大值为准。 若不勾选，只会在设定的时刻执行一次伸缩动作，之后可能会受其他指标触发策略影响，实例数发生变化。 指标触发： 支持应用平均CPU使用率、应用平均内存使用率、应用提供服务平均每秒请求量、应用提供服务平均响应时间（毫秒）等系统来源指标。 配置项 描述 推荐使用创景 应用平均CPU使用率 基于实时数据统计，该应用每个实例平均CPU使用率，数据源来自K8s自身监控。 适用于绝大多数应用。 应用平均内存使用率 基于实时数据统计，该应用每个实例平均内存使用率，数据源来自K8s自身监控。 适用于可以归还内存给操作系统的应用（Java应用不适用）。 应用提供服务平均每秒请求量 基于过去1分钟数据统计，该应用每个实例平均每秒接收到的服务请求量，数据源来自微服务云应用平台产品应用监控。 适用于微服务流量的应用。 应用提供服务平均响应时间（毫秒） 基于过去1分钟数据统计，该应用处理请求的平均响应时间（毫秒），数据源来自微服务云应用平台产品应用监控。 适用于微服务响应延迟有要求的应用。 配置最大应用实例个数和最小应用实例个数： 最大实例个数：可设置的范围为（2,1000）。触发弹性伸缩条件后，应用扩容，其实例数可达到最大值。 最小实例个数：可设置的范围为（0,1000）。触发弹性伸缩条件后，应用缩容，其实例数可达到最小值。 自定义弹性策略：启用弹性伸缩策略并配置扩容和缩容行为。 冷却时间：根据需要设置冷却时间。单位为秒，范围为（0,3600）。扩容行为冷却时间默认为0秒，缩容行为冷却时间默认为300秒。 扩容行为：在扩容行为区域，单击添加扩容策略 ，在添加扩容策略对话框，配置扩容策略，然后单击确定。 配置项 描述 策略类型 根据需要选择副本个数或百分比作为策略类型。支持Pods和Percent类型： Pods：表示副本个数类型。 Percent：表示百分比类型。 最大步长/百分比 根据选择的策略类型设置该参数值。 时间周期 策略执行周期。例如，策略类型选择Percent，步长/百分比设置为10，时间周期为60秒，则允许在一分钟内最多扩容或缩容当前副本个数的百分之十。 缩容行为：请参见扩容行为。 选择策略：支持Min、Max和Disabled三种策略。默认为Max。 配置好弹性策略后，在弹性伸缩对话框右上角单击启用 。弹性策略触发后，如果微服务云应用平台根据所设置的策略对应用实例进行扩容或缩容，表示自动弹性伸缩策略设置成功。同时您可以前往事件中心查看应用扩缩容相关事件。

操作场景 在运行中始终不保存任何数据或状态的工作负载称为“无状态负载 Deployment”，例如nginx。您可以通过控制台或kubectl命令行创建无状态负载。 前提条件 在创建容器工作负载前，您需要存在一个可用集群。若没有可用集群 ，请参照集群管理>购买混合集群中内容进行创建。 若工作负载需要被外网访问，请确保集群中至少有一个节点已绑定弹性IP，或已购买负载均衡实例。 创建多个工作负载时，请确保容器使用的端口不冲突 ，否则部署会失败。 通过控制台创建 云容器引擎提供了多种创建工作负载的方式，您可以通过如下方式进行创建： 基于“我的镜像”创建工作负载，用户首先需要将镜像上传至容器镜像服务。 基于“共享镜像”创建工作负载，即其它租户通过“容器镜像服务”共享给您的镜像。 您希望通过YAML方式创建工作负载，您可在“创建无状态工作负载”高级设置页面单击界面右侧的“YAML创建”，通过yaml的方式创建工作负载。YAML编写完成后，可单击“创建”，直接创建工作负载。 说明： YAML文件是和界面保持同步的，您也可以通过界面和YAML互动完成工作负载的创建。例如： 界面中填写工作负载名称后，YAML文件会自动关联该名称。 界面中添加完镜像后，YAML中也会自动关联该镜像。 控制台界面右侧的“YAML创建”不支持多个YAML混合，请分别创建，否则创建时将会报错。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”，单击“创建无状态工作负载”。参照下表设置工作负载基本信息，其中带“”标志的参数为必填参数。 工作负载基本信息 参数 参数说明 工作负载名称 新建工作负载的名称，命名必须唯一。 请输入4到63个字符的字符串，可以包含小写英文字母、数字和中划线（），并以小写英文字母开头，小写英文字母或数字结尾。 集群名称 新建工作负载所在的集群。 命名空间 在单集群中，不同命名空间中的数据彼此隔离。使应用可以共享同个集群的服务，也能够互不干扰。若您不设置命名空间，系统会默认使用default命名空间。 实例数量 工作负载的实例数量。工作负载可以有一个或多个实例，用户可以设置具体实例个数，默认为2，可自定义设置为1。 每个工作负载实例都由相同的容器部署而成。设置多个实例主要用于实现高可靠性，当某个实例故障时，工作负载还能正常运行。若使用单实例，节点异常或实例异常会导致服务异常。 时区同步 单击开启后，容器将和节点使用相同时区。 须知：时区同步功能开启后，在“数据存储 > 本地磁盘”中，将会自动添加HostPath类型的磁盘，请勿修改删除该磁盘。 工作负载描述 工作负载描述信息。 步骤 2 单击“下一步：容器设置”，添加容器。 1. 单击“添加容器”，选择需要部署的镜像。 − 我的镜像：展示了您创建的所有镜像仓库。 − 第三方镜像：CCE支持拉取第三方镜像仓库（即镜像仓库之外的镜像仓库）的镜像创建工作负载。使用第三方镜像时，请确保工作负载运行的节点可访问公网。第三方镜像的具体使用方法请参见如何使用第三方镜像。 若您的镜像仓库不需要认证，密钥认证请选择“否”，并输入“镜像名称”，单击“确定”。 若您的镜像仓库都必须经过认证（帐号密码）才能访问，您需要先创建密钥再使用第三方镜像，具体操作请参见如何使用第三方镜像。 − 共享镜像：其它租户通过“容器镜像服务”共享给您的镜像将在此处展示，您可以基于共享镜像创建工作负载。 2. 配置镜像基本信息。 工作负载是Kubernetes对一组Pod的抽象模型，用于描述业务的运行载体，一个Pod可以封装1个或多个容器，您可以单击右上方的“添加容器”，添加多个容器镜像并分别进行设置。 镜像参数说明 参数 说明 镜像名称 导入的镜像，您可单击“更换镜像”进行更换。 镜像版本 选择需要部署的镜像版本。 容器名称 容器的名称，可修改。 特权容器 特权容器是指容器里面的程序具有一定的特权。 若选中，容器将获得超级权限，例如可以操作宿主机上面的网络设备、修改内核参数等。 容器规格 CPU 配额： 申请：容器需要使用的最小CPU值，默认0.25Core。 限制：允许容器使用的CPU最大值。建议设容器配额的最高限额，避免容器资源超额导致系统故障。 内存配额： 申请：容器需要使用的内存最小值，默认512MiB。 限制：允许容器使用的内存最大值。如果超过，容器会被终止。 申请和限制的具体请参见设置容器规格。 GPU 配额：当集群中包含GPU节点时，才能设置GPU，无GPU节点不显示此选项。 容器需要使用的GPU百分比。勾选“使用”并设置百分比，例如设置为10%，表示该容器需使用GPU资源的10%。若不勾选“使用”，或设置为0，则无法使用GPU资源。 GPU 显卡：工作负载实例将被调度到GPU显卡类型为指定显卡的节点上。 若勾选“不限制”，容器将会随机使用节点中的任一显卡。您也可以勾选某个显卡，容器将使用特定显卡。 3. 生命周期：用于设置容器启动和运行时需要执行的命令。 − 启动命令：设置容器启动时执行的命令，具体请参见设置容器启动命令。 − 启动后处理：设置容器成功运行后执行的命令，详细配置方法请参见设置容器生命周期。 − 停止前处理：设置容器结束前执行的命令，通常用于删除日志/临时文件等，详细配置方法请参见设置容器生命周期。 4. 健康检查：CCE提供了存活与业务两种探针，用于判断容器和用户业务是否正常运行。详细配置方法请参见设置容器健康检查。 − 工作负载存活探针：检查容器是否正常，不正常则重启实例。 − 工作负载业务探针：检查用户业务是否就绪，不就绪则不转发流量到当前实例。 5. 环境变量：在容器中添加环境变量，一般用于通过环境变量设置参数。 在“环境变量”页签，单击“添加环境变量”，当前支持三种类型： − 手动添加：输入变量名称、变量/变量引用。 − 密钥导入：输入变量名称，选择导入的密钥名称和数据。您需要提前创建密钥，具体请参见配置中心>创建密钥。 − 配置项导入：输入变量名称，选择导入的配置项名称和数据。您需要提前创建配置项，具体请参见配置中心>创建配置项。 说明： 对于已设置的环境变量，单击环境变量后的“编辑”，可对该环境变量进行编辑。单击环境变量后的“删除”，可删除该环境变量。 6. 数据存储：给容器挂载数据存储，支持本地磁盘和云存储，适用于需持久化存储、高磁盘IO等场景。具体请参见存储管理。 7. 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。 请输入用户ID，容器将以当前用户权限运行。 8. 容器日志：设置容器日志采集策略、配置日志目录。用于收集容器日志便于统一管理和分析。详细配置请参见采集容器标准输出日志、采集容器内路径日志。 步骤 3 单击“下一步：工作负载访问设置”，单击“添加服务”，设置工作负载访问方式。 若工作负载需要和其它服务互访，或需要被公网访问，您需要添加服务，设置工作负载访问方式。 工作负载访问的方式决定了这个工作负载的网络属性，不同访问方式的工作负载可以提供不同网络能力，具体请参见网络管理>网络概述。 步骤 4 单击“下一步：高级设置”，配置更多高级策略。 升级策略：您可以指定无状态工作负载的升级方式，包括逐步“滚动升级”和整体“替换升级”。 − 滚动升级：将逐步用新版本的实例替换旧版本的实例，升级的过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断。 最大无效实例数：每次滚动升级允许的最大无效实例数，如果等于实例数有断服风险（最小存活实例数 实例数 最大无效实例数）。 − 替换升级：将先把您工作负载的老版本实例删除，再安装指定的新版本，升级过程中业务会中断。 缩容策略：为工作负载删除提供一个时间窗，预留给生命周期中PreStop阶段执行命令。若超过此时间窗，进程仍未停止，该工作负载将被强制删除。 − 缩容时间窗 (s)：请输入时间，该时间为工作负载停止前命令的执行时间窗（09999秒），默认30秒。 − 缩容优先级：可根据业务需要选择“优先减少新实例”或“优先减少老实例”。 迁移策略：当工作负载实例所在的节点不可用时，系统将实例重新调度到其它可用节点的时间窗。 − 迁移时间窗 (s)：请输入时间，默认为300秒。 调度策略：您可以根据需要自由组合静态的全局调度策略或动态的运行时调度策略来实现自己的需求。具体请参见亲和反亲和性调度>调度策略概述。 Pod高级设置 − Pod标签：内置app标签在工作负载创建时指定，主要用于设置亲和性与反亲和性调度，暂不支持修改。您可以单击下方的“添加标签”增加标签。 说明： 客户端DNS配置：CCE集群内置DNS插件CoreDNS，为集群内的工作负载提供域名解析服务。详细使用方法请参见Kubernetes集群内置DNS配置说明。 − DNS策略： 追加域名解析配置：选择该配置后，将保留默认配置，以下“IP地址”和“搜索域”配置可能不生效。 替换域名解析配置：选择该配置后，将仅使用以下“IP地址”和“搜索域”配置进行域名解析。 继承Pod所在节点域名解析配置：将继承Pod所在节点的域名解析配置。 − IP地址：您可对自定义的域名配置域名服务器，值为一个或一组DNS IP地址，如“1.2.3.4”。 − 搜索域：定义域名的搜索域列表，当访问的域名不能被DNS解析时，会把该域名与搜索域列表中的域依次进行组合，并重新向DNS发起请求，直到域名被正确解析或者尝试完搜索域列表为止。 − 超时时间（s）：查询超时时间，请自定义。 − ndots：表示域名中必须出现的“.”的个数，如果域名中的“.”的个数不小于ndots，则该域名为一个FQDN，操作系统会直接查询；如果域名中的“.”的个数小于ndots，操作系统会在搜索域中进行查询。 自定义指标监控：是指监控系统提供的一种指标收集机制，该机制允许工作负载在部署时自定义需要上报的指标名称以及获取这些指标数据的接入点信息，在应用运行时由监控系统按固定的频率访问接入点进行指标的收集。 性能管理配置：性能管理服务可协助您快速进行工作负载的问题定位与性能瓶颈分析。 步骤 5 配置完成后，单击“创建”，在创建成功页面单击“返回工作负载列表”，查看工作负载状态。 在工作负载列表中，当工作负载状态为“运行中”时，表示工作负载创建成功。工作负载状态不会实时更新，请刷新页面查看。 步骤 6 在“无状态负载 Deployment”页面的工作负载列表中，复制“外部访问地址”，可在浏览器中访问工作负载。 说明： 当工作负载访问方式设为“节点访问（NodePort）”并绑定弹性IP或设为“负载均衡 ( LoadBalancer )”时，才可以获取外部访问地址，可以访问外网。 工作负载列表页在超过500条以上时，将采用Kubernetes的分页机制进行分页。Kubernetes的分页机制：仅支持回到第一页和查看下一页，不支持查看上一页，且在分页显示的情况下，资源总数显示的是批量查询出的数目而不是真实总数。 通过kubectl命令行创建 本节以nginx工作负载为例，说明kubectl命令创建工作负载的方法。 前提条件 请参见通过kubectl操作CCE集群配置kubectl命令，使弹性云主机连接集群。 操作步骤 步骤 1 登录已配置好kubectl命令的弹性云主机。 步骤 2 创建一个名为nginxdeployment.yaml的描述文件。其中，nginxdeployment.yaml为自定义名称，您可以随意命名。 vi nginxdeployment.yaml 描述文件内容如下。此处仅为示例，deployment的详细说明请参见kubernetes官方文档。 apiVersion: apps/v1 kind: Deployment metadata: name: nginx spec: replicas: 1 selector: matchLabels: app: nginx strategy: type: RollingUpdate template: metadata: labels: app: nginx spec: containers: image: nginx imagePullPolicy: Always name: nginx imagePullSecrets: name: defaultsecret 以上yaml字段解释如下表。 deployment字段详解 字段名称 字段说明 必选/可选 apiVersion 表示API的版本号。 说明 集群版本为1.9之前的无状态应用apiVersion格式为extensions/v1beta1，1.9之后的集群兼容extensions/v1beta1和apps/v1两种格式Version，请根据集群版本输入。 必选 kind 创建的对象类别。 必选 metadata 资源对象的元数据定义。 必选 name deployment的名称。 必选 Spec 用户对deployment的详细描述的主体部分都在spec中给出。 必选 replicas 实例数量。 必选 selector 定义Deployment可管理的容器实例。 必选 strategy 升级类型。当前支持两种升级方式，默认为滚动升级。 RollingUpdate：滚动升级。 ReplaceUpdate：替换升级。 可选 template 描述创建的容器实例详细信息。 必选 metadata 元数据。 必选 labels metadata.labels定义容器标签。 可选 spec: containers image（必选）：容器镜像名称。 imagePullPolicy（可选）：获取镜像的策略，可选值包括Always（每次都尝试重新下载镜像）、Never（仅使用本地镜像）、IfNotPresent（如果本地有该镜像，则使用本地镜像，本地不存在时下载镜像），默认为Always。 name（必选）：容器名称。 必选 imagePullSecrets Pull镜像时使用的secret名称。若使用私有镜像，该参数为必选。 需要Pull SWR容器镜像仓库的镜像时，参数值固定为defaultsecret。 当Pull第三方镜像仓库的镜像时，需设置为创建的secret名称。 可选 步骤 3 创建deployment。 kubectl create f nginxdeployment.yaml 回显如下表示已开始创建deployment。 deployment "nginx" created 步骤 4 查看deployment状态。 kubectl get pods deployment状态显示为Running，表示deployment已创建成功。 NAME READY STATUS RESTARTS AGE icagentm9dkt 0/0 Running 0 3d nginx1212400781qv313 1/1 Running 0 3d 参数解析： NAME：pod的名称 READY：已经部署完毕的pod副本数 STATUS：状态 RESTARTS：重启次数 AGE：已经运行的时间 步骤 5 若工作负载（即deployment）需要被访问（集群内访问或节点访问），您需要设置访问方式，具体请参见8 网络管理创建对应服务。

本节介绍了云容器引擎的计费项及其计费方式。 一套专有版容器集群实例包括IaaS云资源（如：弹性云主机/弹性裸金属、云硬盘、ELB等），涉及计费的资源如下表所示。 计费项 计费项说明 计费方式 备注 IaaS云资源（参照天翼云一类节点计费说明） 计算资源（vCPU和内存） 包年/包月、按需计费 专有版集群，需购买Master节点承载K8S集群控制面，一般建议3/5台Master节点 IaaS云资源（参照天翼云一类节点计费说明） 存储资源（GB） 包年/包月、按需计费 专有版集群，需购买Master节点承载K8S集群控制面，一般建议3/5台Master节点 IaaS云资源（参照天翼云一类节点计费说明） ELB（绑定API Server使用） 包年/包月、按需计费 专有版集群，需购买Master节点承载K8S集群控制面，一般建议3/5台Master节点 其他可选的云资源 NAT网关 按需计费 非必须，用于Pod访问外网 其他可选的云资源 EIP 按需计费 非必须，用于外网 API Server绑定使用 其他可选的云资源 Ingress的ELB及EIP 按需计费 非必须，用于暴露loadbalancer服务的Ingress插件 其他可选的云资源 云日志 按需计费 非必须，用于容器日志采集存储检索 其他可选的云资源 容器镜像服务 个人版免费/企业版包周期计费 非必须，用于部署容器时拉取容器镜像 一套托管版容器集群实例包括集群管理、IaaS云资源（如：弹性云主机、云硬盘、ELB等），其中涉及计费的资源如下表所示。 计费项 计费项说明 计费方式 备注 托管基础版 管理10节点（非高可用） 包年/包月、按需计费 说明 托管基础版建议个人学习用途，不承诺sla，不建议生产系统使用。 托管pro版 管理50/200/1000/2000节点（高可用） 包年/包月、按需计费 说明 托管基础版建议个人学习用途，不承诺sla，不建议生产系统使用。 IaaS云资源（参照天翼云一类节点计费说明） 计算资源（vCPU和内存） 包年/包月、按需计费 说明 托管基础版建议个人学习用途，不承诺sla，不建议生产系统使用。 IaaS云资源（参照天翼云一类节点计费说明） 存储资源（GB） 包年/包月、按需计费 说明 托管基础版建议个人学习用途，不承诺sla，不建议生产系统使用。 IaaS云资源（参照天翼云一类节点计费说明） ELB（绑定API Server使用） 包年/包月、按需计费 说明 托管基础版建议个人学习用途，不承诺sla，不建议生产系统使用。 其他可选的云资源 NAT网关 按需计费 非必须，用于Pod访问外网 其他可选的云资源 EIP 按需计费 非必须，用于外网 API Server绑定使用 其他可选的云资源 Ingress的ELB及EIP 按需计费 非必须，用于暴露loadbalancer服务的Ingress插件 其他可选的云资源 云日志 按需计费 非必须，用于容器日志采集存储检索 其他可选的云资源 容器镜像服务 个人版免费/企业版包周期计费 非必须，用于部署容器时拉取容器镜像

简介 节点是容器集群组成的基本元素。节点取决于业务，既可以是虚拟机，也可以是物理机。每个节点都包含运行Pod所需要的基本组件，包括Kubelet、Kubeproxy 、Container Runtime等。 说明：CCE创建的Kubernetes集群包含master节点和node节点，本章讲述的节点特指node节点，node节点是集群的计算节点，即运行容器化应用的节点。 在云容器引擎CCE中，主要采用高性能的弹性云主机作为节点来构建高可用的Kubernetes集群。 注意事项 为了保证节点的稳定性，CCE集群节点上会根据节点的规格预留一部分资源给Kubernetes的相关组件（kubelet、kubeproxy以及docker等）和Kubernetes系统资源，使该节点可作为您的集群的一部分。 因此，您的节点资源总量与节点在Kubernetes中的可分配资源之间会存在差异。节点的规格越大，在节点上部署的容器可能会越多，所以Kubernetes自身需预留更多的资源。 节点的网络（如虚机网络、容器网络等）均被CCE接管，不允许用户自行添加网卡或改变路由，若自行修改，CCE不保证服务可用。 节点购买后如需对其进行升级或降低规格等操作，请将节点关机后进行变更，也可以重新购买节点后，将老节点删除。 节点生命周期 生命周期是指节点从创建到删除（或释放）历经的各种状态。 状态 状态属性 说明 可用 稳定状态 节点正常运行状态，并连接上集群。 在这个状态的节点可以运行您的业务。 不可用 稳定状态 节点运行异常状态。 在这个状态下的实例，不能对外提供业务，需要重置节点或联系管理员进行处理。 创建中 中间状态 创建节点实例后，在节点状态进入运行中之前的状态。 安装中 中间状态 节点处于安装Kubernetes软件的过程中。 删除中 中间状态 节点处于正在被删除的状态。 如果长时间处于该状态，则说明出现异常，需要联系管理员处理。 关机 稳定状态 节点被正常停止。 在这个状态下的实例，不能对外提供业务，您可以在弹性云主机列表页对其进行开机操作。 错误 稳定状态 节点处于异常状态。 在这个状态下的实例，不能对外提供业务，需要重置节点或联系管理员进行处理。

本文介绍如何集群创建。 集群是计算资源的集合，包含一组节点资源，容器运行在节点上。在创建容器应用前，您需要存在一个可用集群。目前最多可以创建5个集群，请确保至少有一个可用的集群。如集群数量不够，可申请增加配额。 操作前提 能够确保账户中有充足的余额，否则将导致您的业务开通失败； 在【创建集群】之前，请确保已完成VPC、子网的创建及安全组的配置，若未创建可参考上一【环境设置】部分。 操作步骤 1. 登录天翼云； 2. 选择【控制台】>点击切换到具体资源池，如杭州2节点； 3. 在控制台中找到【容器服务】>点击【容器引擎】，进入容器服务界面； 4. 进入【总览】页面>单击【创建集群】按钮，进入集群创建界面； 5. 按照需要完成集群参数填写，集群创建参数详见下表，其中带“”的参数为必填参数。 参数 参数说明 基础配置 集群名称 新建集群的名称 Kubernetes版本 1.15/1.18 地域 根据最初选择的地域决定，集群创建过程中不可选 虚拟私有云 新建集群所在的虚拟私有云。若没有可选虚拟私有云，单击“创建虚拟私有云”进行创建 子网 节点虚拟机运行的子网环境。若没有可选子网，单击“创建子网”进行创建 系列 分为基础版、高级版（基础版集群将创建1个master节点和相应控制节点，worker节点配置由用户自由选择；高级版集群将创建3个master节点和相应控制节点，worker节点配置由用户自由选择。) 容器CIDR 默认是10.223.0.0/16，确定容器网段后，容器实例将在规划的网段内分配IP。不能与集群所选的VPC重复，当vpc和容器网段或者服务网段冲突提示：默认网段与所选虚拟私有云网段有冲突，请重新选择vpc 服务CIDR 默认是10.96.0.0/16，服务网段为kubernetes service ip网段，请根据业务需求选择该网段。不能与集群所选的VPC重复 企业项目 此项与主子账户权限有关，如果有主子账户权限分配要求，请提前规划企业项目 注： 如果您选择了IPv4/IPv6双栈的VPC和子网，那么要同时设置IPv4的容器CIDR和服务CIDR，以及IPv6的容器CIDR和服务CIDR，均不能与集群所选VPC重复。默认情况下，IPv6容器CIDR：fd03::/112；IPv6服务CIDR：fd05::/112。如有需要用户请根据个人需求进行修改。 worker 节点配置 规格 请根据业务需求选择相应的节点规格。 当前使用的是通用型S2类型云主机，可选规格以界面上显示为准 操作系统 请选择节点对应的操作系统 系统盘 默认为普通IO，50GB 数据盘 普通IO、高IO，规格为[50,2048]GB，默认50GB;范围502048GB;整数;填入小数自动四舍五入为整数，输入为空自动设置为50；步长为10 弹性IP 使用已有IP：使用已经创建出的弹性公网IP 创建后设置：不使用弹性公网IP（不使用弹性公网IP不能通过公网发送请求，可创建后绑定） 网络模型 容器隧道网络：基于底层 VPC 网络，构建独立的容器 VXLAN 隧道化的容器网络，与底层网络解耦，支持高扩展性，网络策略，多容器网络平面 worker节点数 默认最小值是1，只允许填入整数；步长为1；设置的节点数不能超过最大节点规模50；输入为空自动设置为1 购买时长 根据需求，设置购买时长 6. 确认右侧订单详情无误并确保已放开安全组6443、9080、9443、2379、2380端口后，单击【创建集群】，进入付费界面，完成费用支付； 7. 集群创建预计需要 610 分钟。请根据界面提示查看集群创建过程。创建完成后，点击【返回集群管理】链接； 8. 在导航栏单击【资源管理】>【集群管理】标签，进入集群列表界面，可查看创建的集群。

本文主要介绍 负载均衡(LoadBalancer)。 操作场景 负载均衡( LoadBalancer )可以通过弹性负载均衡从公网访问到工作负载，与弹性IP方式相比提供了高可靠的保障，一般用于系统中需要暴露到公网的服务。 负载均衡访问方式由公网弹性负载均衡服务地址以及设置的访问端口组成，例如“10.117.117.117:80”。 在访问时从ELB过来的流量会先访问到节点，然后通过Service转发到Pod。 图 负载均衡( LoadBalancer ) 在使用CCE Turbo集群 + 独享型ELB实例时，支持ELB直通Pod，使部署在容器中的业务时延降低、性能无损耗。 从集群外部访问时，从ELB直接转发到Pod；集群内部访问可通过Service转发到Pod。 图 ELB直通容器 约束与限制 CCE中的负载均衡 ( LoadBalancer )访问类型使用弹性负载均衡 ELB提供网络访问，存在如下产品约束： 自动创建的ELB实例建议不要被其他资源使用，否则会在删除时被占用，导致资源残留。 1.15及之前版本集群使用的ELB实例请不要修改监听器名称，否则可能导致无法正常访问。 创建service后，如果服务亲和从集群级别切换为节点级别，连接跟踪表将不会被清理，建议用户创建service后不要修改服务亲和属性，如需修改请重新创建service。 当服务亲和设置为节点级别（即externalTrafficPolicy为local）时，集群内部可能使用ELB地址访问不通，具体情况请参见集群内使用ELB地址无法访问Service说明。 l CCE Turbo集群仅支持集群级别服务亲和。 独享型ELB仅支持1.17及以上集群。 独享型ELB规格必须支持网络型（TCP/UDP），且网络类型必须支持私网（有私有IP地址）。如果需要Service支持HTTP，则独享型ELB规格需要为网络型（TCP/UDP）和应用型（HTTP/HTTPS）。 使用控制台创建LoadBalancer类型Service时会自动生成一个节点端口（nodeport），端口号随机。使用kubectl创建LoadBalancer类型Service时，如不指定节点端口，也会随机生成一个节点端口，端口号随机。 使用CCE集群时，如果LoadBalancer类型Service的服务亲和类型为集群级别（cluster），当请求进入到集群时，会使用SNAT分发到各个节点的节点端口（nodeport），不能超过节点可用的nodeport数量，而服务亲和为节点级别（local）则无此约束。使用CCE Turbo集群时，如果是使用共享型ELB依然有此约束，而独享型ELB无此约束，建议使用CCE Turbo时配合使用独享型ELB。 集群服务转发模式为IPVS时，不支持配置节点的IP作为Service的externalIP，会导致节点不可用。 IPVS模式集群下，Ingress和Service使用相同ELB实例时，无法在集群内的节点和容器中访问Ingress，因为kubeproxy会在ipvs0的网桥上挂载LB类型的Service地址，Ingress对接的ELB的流量会被ipvs0网桥劫持。建议Ingress和Service使用不同ELB实例。

步骤二：创建持久卷声明（PVC） 1. 创建示例yaml文件pvcstaticnas.yaml： shell apiVersion: v1 kind: PersistentVolumeClaim metadata: annotations: volume.beta.kubernetes.io/storageprovisioner: nas.csi.cstor.com name: pvcstaticnas namespace: default spec: accessModes: ReadWriteOnce resources: requests: storage: 500Gi volumeMode: Filesystem volumeName: {YOURPVNAME} 替换PV名称 2. 执行以下命令，创建pvc： plaintext kubectl apply f pvcstaticnas.yaml 步骤三：创建工作负载 1. 创建示例yaml文件podpvcstaticnas.yaml： shell apiVersion: apps/v1 kind: StatefulSet metadata: name: nginxpvcstaticnas labels: app: nginxpvcstaticnas spec: replicas: 1 serviceName: "" selector: matchLabels: app: nginxpvcstaticnas template: metadata: labels: app: nginxpvcstaticnas spec: containers: image: "registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.26alpineslim" imagePullPolicy: "IfNotPresent" name: "nginx" resources: limits: cpu: "100m" memory: "256Mi" requests: cpu: "100m" memory: "256Mi" volumeMounts: mountPath: "/mnt/data" name: "volume1" subPath: "ccsetest" volumes: name: "volume1" persistentVolumeClaim: claimName: {YOURPVCNAME} 替换为步骤2中的PVC名称 2. 执行以下命令，创建StatefulSet： plaintext kubectl apply f podpvcstaticnas.yaml 步骤四：验证数据持久化 1. 登录弹性容器服务管理控制台。 2. 在容器组列表页点击刚才创建的实例。 3. 点击“远程连接”页签，进入到容器内。 4. 向/mnt/data 目录下写一个文件，执行: plaintext echo "Hello World" > /mnt/data/test.log 5. 查看/mnt/data 目录下文件，执行： plaintext cat /mnt/data/test.log 预期结果如下： 6. 退出“远程连接”，使用kubectl删除pod，会触发pod自动重建，等待Pod重新运行正常。 plaintext kubectl delete po nginxpvcstaticnas0 7. 对新建Pod，登录弹性容器服务管理控制台，继续执行“远程连接”，进入到容器内查看数据。执行： plaintext cat /mnt/data/test.log 预期结果如下： 8. 以上步骤说明，pod删除重建后，重新挂载SFS弹性文件，数据仍然存在，说明SFS弹性文件系统中的数据可持久化保存。

Pi2型弹性云主机功能如下： 处理器与内存配比为1:4。 处理器：第二代英特尔® 至强® 可扩展处理器 6278，主频2.6GHz，睿频3.5GHz，或英特尔® 至强® 可扩展处理器 6151, 主频3.0GHz，睿频3.4GHz 支持NVIDIA Tesla T4 GPU卡，单实例最大支持4张T4 GPU卡。 提供GPU硬件直通能力。 单GPU单精度计算能力最高8.1 TFLOPS。 单GPU INT8计算能力最高130 TOPS。 单GPU提供16GiB GDDR6显存，带宽320GiB/s。 内置1个NVENC和2个NVDEC。 常规支持软件列表 Pi2实例主要用于GPU推理计算场景，例如图片识别、语音识别、自然语言处理等场景。也可以支持轻量级训练场景。 常用的软件支持列表如下： Tensorflow、Caffe、PyTorch、MXNet等深度学习框架。 使用须知 Pi2型云主机，关机后基础资源(包括vCPU、内存、镜像)不计费，但系统盘仍会收取容量对应的费用。如有其他绑定的产品，如云硬盘、弹性IP、带宽等，按各自产品的计费方法进行收费。 说明 Pi2型云主机，关机后资源会被释放，下次开机时如果后台资源不足，可能会导致云主机开机失败。如果您需要长期使用该云主机，建议保持开机状态。 Pi2型弹性云主机当前支持如下版本的操作系统： − Windows Server 2016 Standard 64bit − Ubuntu Server 16.04 64bit − CentOS 7.5 64bit Pi2型云主机，所在物理机发生故障时，云主机支持自动恢复。 使用公共镜像创建的Pi2型云主机，默认已安装Tesla驱动。 使用私有镜像创建的Pi2型云主机，请确认在制作私有镜像时已安装Tesla驱动。如果未安装，请在云主机创建完成后安装驱动，以实现计算加速功能。详细操作请参考GPU加速型实例安装Tesla驱动及CUDA工具包章节。

本文介绍如何设置镜像缓存。 可以使用镜像缓存来实现加速创建Pod，通过指定镜像缓存ID的方式： 使用方式 配置项 示例值 说明 指定镜像缓存 k8s.ctyun.cn/eciimcid imcdfaexxxxx 明确指定使用某个镜像缓存创建Pod 配置参考如下： plaintext apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: annotations: k8s.ctyun.cn/eciimcid: imcdfaexxxxx 指定镜像缓存 labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.25alpine ports: containerPort: 80 nodeName: vndu53cymkxxxxcnhuadong1jsnj1apublicctcloud

本文介绍如何设置镜像缓存。 可以使用镜像缓存来实现加速创建Pod，通过指定镜像缓存ID的方式： 使用方式 配置项 示例值 说明 指定镜像缓存 k8s.ctyun.cn/eciimcid imcdfaexxxxx 明确指定使用某个镜像缓存创建Pod 配置参考如下： shell apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: annotations: k8s.ctyun.cn/eciimcid: imcdfaexxxxx 指定镜像缓存 labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.25alpine ports: containerPort: 80 nodeName: vndu53cymkxxxxcnhuadong1jsnj1apublicctcloud

本文介绍弹性文件服务与其他服务之间的关系。 弹性文件服务与其他云服务的关系如图所示： 弹性文件服务与其他云服务详细关系如下： 服务名称 弹性文件服务与其他服务之间的关系 相关内容 弹性云主机/物理机 文件系统不可独立使用，须挂载至同一VPC下的弹性云主机、物理机等计算服务后进行访问和读写。 挂载文件系统 容器 弹性文件服务可为容器应用提供共享存储，可以满足用户容器高可用和容器数据持久化存储及备份需求。 容器挂载文件系统 虚拟私有云 虚拟私有云VPC为弹性文件服务构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云中资源的安全性，简化用户的网络部署。计算服务无法访问不在同一VPC下的文件系统，使用弹性文件服务时需将文件系统和计算服务归属于同一VPC下。 创建文件系统 云监控 当用户开通了弹性文件服务后，无需额外安装其他插件，即可在云监控查看对应服务的性能指标，包括读带宽、写带宽和读写带宽等。 数据监控

项目影响 交投集团现已在全市建设“交投能源”充电站数十个，充电车位400多个。市民通过小程序接入充电，平台访问快速，用户感知良好。 项目平台采用云原生架构，使用了天翼云众多高阶产品，包括云容器引擎、消息队列、云数据库等，为新能源充电桩上云场景树立了一个标杆。 云容器引擎整体方案介绍 业务痛点 客户期望使用xc架构主机构建容器集群，基于天翼云海光、鲲鹏主机开通容器。 业务缺乏云原生架构弹性扩展和智能运维能力。 小程序访问具有明显波峰波谷特征，需实现应用弹性扩展，又能节省不必要的成本。 技术方案 云容器引擎产品的架构图如下： 提升业务稳定性：选择天翼云容器引擎部署业务应用，经过电信上云容器大规模场景实践验及证优化，业务无需过多改造，只需注册到容器集群，不仅提升了稳定性，还节省了大量运维人力成本。 快速弹性应对突发流量：容器可以快速弹性扩展，一次性扩容多台云主机，业务负载能水平、定时伸缩。 简化用云体验：容器整合了天翼云IaaS和PaaS多种能力，如集成了应用性能监控、云日志服务，可以快速定位性能问题，更好地保证业务的连续性

弹性公网IP 弹性公网IP（Elastic IP Address，简称EIP）是可以独立购买的公网IP地址资源，支持绑定到专有网络类型的虚拟机实例、专有网络类型的公网SLB实例、NAT网关和容器实例上。 共享带宽 共享带宽可以实现多个弹性公网IP共用一个带宽实例，弹性公网IP可以加入到共享带宽，实现同一区域下的所有已绑定弹性公网IP的虚拟机、裸金属服务器、弹性负载均衡、NAT网关等实例共享一条带宽资源。 NAT网关 NAT（Network Address Translation，简称NAT）网关能够为虚拟私有云（Virtual Private Cloud，简称VPC）内的计算实例提供网络地址转换服务，实现多个虚拟机使用共享弹性IP访问Internet（Source NAT，简称SNAT）或使多个虚拟机提供互联网服务（Destination NAT，简称DNAT）。 负载均衡 负载均衡（Server Load Balancer，简称SLB）是对多台云服务器进行流量数据按需分发的服务。通过将流量数据分发到不同的云服务器从而提高系统整体的服务吞吐能力，并通过消除单点故障以提高系统整体的可用性。天翼云SLB提供面向4层（TCP/UDP）及面向7层（HTTP）公网负载均衡和私网负载均衡。 内网VIP 内网虚拟IP（Virtual IP Address，简称VIP）是指从VPC子网网段内预占未使用的内网IP作为VIP，内网VIP可绑定到后端多台虚拟机，可以使用内网VIP访问后端绑定的多个主备部署的虚拟机，提高实例对象的内网访问可靠性。

本节介绍了POD联网使用案例的用户指南。 本文介绍如何在容器集群创建的pod中，实现访问公网。 准备工作 已创建云服务引擎集群； 已在容器集群中创建pod，该pod需要进行公网访问。 操作步骤 步骤一：确定要访问公网的pod ip，确定其所属vpc的子网网段； 步骤二：购买弹性IP; 步骤三：购买NAT网关及配置路由； 步骤四：配置SNAT规则； 步骤五：pod内测试连通性。 步骤一：确定要访问公网的pod ip，确定其所属vpc的子网网段 1、首先确定容器集群部署所用网络插件类型，步骤如下 登录天翼云“云容器引擎”管理控制台； 选择指定资源池，进去集群列表； 点击进入指定集群； 在“集群信息”“基本信息”中查看网络插件； 2、确定访问公网的pod所属vpc子网网段 以无状态部署为例： “工作负载”“无状态”，选择命名空间，进入指定deployment； 进入deployment实例详情，查看pod列表； 如果网络插件是calico，那么记录实例所在节点ip： 如果网络插件是cubecni，那么记录pod ip： 在“虚拟私有云”“子网” 中，查看上述记录ip所属ip网段；

本节主要介绍产品特性。 云容器引擎提供高性能、可扩展的企业级Kubernetes集群，包括集群管理、节点管理、节点池管理、工作负载、亲和/反亲和性调度、容器网络、容器存储、插件管理、模板市场、弹性伸缩、权限管理等功能，为您提供一站式容器平台服务。 集群管理 云容器引擎CCE是一种托管的Kubernetes服务，可进一步简化基于容器的应用程序部署和管理，您可以在CCE中方便的创建Kubernetes集群、部署您的容器化应用，以及方便的管理和维护。 一站式部署和运维：使用云容器引擎，您可以一键创建Kubernetes容器集群，无需自行搭建Docker和Kubernetes集群。您可以通过云容器引擎自动化部署和一站式运维容器应用，使得应用的整个生命周期都在云容器引擎内高效完成。 支持多类型容器集群：通过云容器引擎您可以直接使用高性能的弹性云主机、物理机、GPU云主机等多种异构基础设施，您可以根据业务需要在云容器引擎中快速创建集群，并通过云容器引擎对创建的集群进行统一管理。 节点管理 节点是容器集群组成的基本元素。节点取决于业务，既可以是虚拟机，也可以是物理机。每个节点都包含运行Pod所需要的基本组件，包括 Kubelet、Kubeproxy 、Container Runtime等。在云容器引擎CCE中，主要采用高性能的弹性云主机或物理机作为节点来构建高可用的Kubernetes集群。

本章主要介绍使用API网关开放云容器引擎CCE实施步骤。 准备CCE工作负载信息 1、创建CCE集群。 a. 登录云容器引擎控制台，在“集群管理”页面购买CCE Standard集群或CCE Turbo集群。此处选择CCE Standard集群，容器网络模型为“VPC网络”。 b. 集群创建完成后，记录容器网段。 c. 在APIG专享版实例的“路由”中添加容器网段。 1. 登录API网关控制台，在左侧导航栏中“实例管理”。 2. 单击对应实例名称，进入实例信息页面。 3. 在“路由”区域添加容器网段。 2、创建工作负载。 a. 在云容器引擎控制台的“集群管理”页面，单击已创建的集群名称，进入集群详情。 b. 在左侧导航栏中选择“工作负载”。 c. 单击“创建负载”。此处选择“无状态负载 Deployment”负载类型。 通过创建负载通道开放CCE工作负载 1、创建负载通道。 a. 进入API网关控制台，在左侧导航栏上方选择实例。 b. 在左侧导航栏中选择“API管理 > API策略”。 c. 在“负载通道”页签中单击“创建负载通道”。 1. 基本信息配置 参数 配置说明 :: 通道名称 填写负载通道名称，根据规划自定义。建议您按照一定的命名规则填写负载通道名称，方便您快速识别和查找。此处填写“VPCdemo”。 端口 填写已创建工作负载的容器端口，指工作负载中pod里业务直接对外开放的接口。此处填写“80”，80端口默认为http协议端口。 分发算法 此处选择“加权轮询”。通过分发算法确定请求被发送到哪台主机。结合弹性服务器权重值，将请求轮流转发到每一台服务器。 通道类型 此处选择“微服务”。 2、微服务配置。 参数 配置说明 :: 微服务类型 默认选择“云容器引擎CCE”。 集群 选择已创建的集群。 命名空间 选择已创建集群中的命名空间，此处选择“default”。 工作负载类型 此处选择“无状态负载 Deployment”，与已创建的工作负载类型一致。 服务标识名 此处选择已创建的工作负载中的Pod标签“app”和“deploymentdemo”，指定工作负载。 服务标识值 此处选择已创建的工作负载中的Pod标签“app”和“deploymentdemo”，指定工作负载。 3、服务器分组配置。 参数 配置说明 :: 服务器分组名称 此处填写“servergroupv1”。 权重分配 此处填写“1”。 后端服务端口 此处填写“80”，与已创建工作负载中的容器端口一致。 描述 此处填写“Pod标签version值为v1的服务器分组”。 标签 此处选择已创建的工作负载中的Pod标签“versionv1”。 4、健康检查配置。 参数 配置说明 :: 协议 默认为“TCP协议”。 检查端口 填写为通道中后端服务器端口。 正常阈值 默认为“2”。判定VPC通道中主机正常的依据：连续检查x成功，x为您设置的正常阈值。 异常阈值 默认为“5”。判定VPC通道中主机异常的依据为：连续检查x失败，x为您设置的异常阈值。 超时时间 默认为“5”。检查期间，无响应的时间。 间隔时间 默认为“10”。连续两次检查的间隔时间。 5、单击“完成”。 在负载通道列表中，单击负载通道名称可查看创建的负载通道详情。

本文介绍了容器镜像按需加速的用户指南。 传统容器运行需要将全量镜像数据下载后再解包，然而容器启动可能仅使用其中部分的内容，导致容器启动耗时长。通过容器镜像服务企业版的按需加载功能，您可以在业务部署中使用加速镜像版本，实现镜像数据免全量下载和在线解压，大幅提升应用分发效率，享受极致的弹性体验。本文介绍如何按需加载容器镜像。 前置条件 已开通企业版镜像服务 已开通云容器引擎集群 背景信息 通过按需加速功能，您可以在部署业务工作负载时使用加速镜像，实现镜像数据免全量下载和在线解压，大幅度提升应用分发效率，缩短容器启动时间，减少容器镜像所消耗的存储空间。加速效果与镜像大小以及网络等因素有关。 注意 在创建容器实例时，选用Containerd作为容器运行时的集群支持使用镜像加速，而对于选用Docker作为运行时的实例则不支持使用。 转换加速镜像 通过在镜像仓库或者在命名空间级别启用自动转换加速镜像，在上传镜像后会自动转换成加速镜像。镜像转换时间取决于镜像大小，对原始镜像不做任何变更改动。 转换后的加速镜像与原始镜像所在的命名空间及镜像仓库保持一致，仅镜像版本（即镜像的Tag）比原始镜像多增加了“accelerated”后缀。 注意 1.在已有命名空间或镜像仓库中开启镜像加速自动转换，所覆盖的命名空间或镜像仓库下的存量镜像则不会自动转换； 2.加速镜像会增加对象存储Bucket的使用量； 3.因加速镜像转换需要一定耗时，建议提前提前上传镜像，预留足够的转化时长，以免影响业务的发布时间，例如，转换 40GiB 的镜像大约耗时 30 分钟； 4.随着镜像容量增加，除了增加转换时长，同样也会增加转换失败的风险，建议转的镜像容量控制在60GiB以内。 1. 登录容器镜像控制台。 2. 在顶部菜单栏，选择所需资源池。 3. 在实例页面中选择指定的企业版实例。 4. 在命名空间中开启镜像加速：在企业版实例管理页面的左侧菜单上选择 "容器镜像" "命名空间"。在命名空间创建时，打开开启镜像加速开关，其余信息点填写完成后点击创建按钮。对于现存的命名空间，在命名空间列表中的开启镜像加速开关列中，打开开关。 5. 在镜像仓库中开启镜像加速：在企业版实例管理页面的左侧菜单上选择 "容器镜像" "镜像仓库"。在未开启镜像加速的命名空间下创建镜像仓库时，打开开启镜像加速开关，其余信息点填写完成后点击创建。对于现存的镜像仓库，在镜像仓库列表中，选择未开启镜像加速的命名空间下的镜像仓库，点击编辑，在编辑页面中打开开启镜像加速开关，然后点击更新按钮。 6. 在启用镜像加速的命名空间或者镜像仓库中上传镜像，稍等片刻后，在镜像仓库的版本列表页中查看到已经转换完成的带“accelerated”后缀的加速镜像，转换时间受镜像自身大小影响。

操作场景 负载均衡( LoadBalancer )可以通过弹性负载均衡从公网访问到工作负载，与弹性IP方式相比提供了高可靠的保障，一般用于系统中需要暴露到公网的服务。 负载均衡访问方式由公网弹性负载均衡ELB服务地址以及设置的访问端口组成，例如“10.117.117.117:80”。 约束与限制 CCE中的负载均衡 ( LoadBalancer )访问类型使用弹性负载均衡 ELB提供网络访问，存在如下产品约束： − 自动创建的ELB实例建议不要被其他资源使用，否则会在删除时被占用，导致资源残留。 − 正在使用的ELB实例请不要修改监听器名称，否则可能导致无法正常访问。 创建service后，如果服务亲和从集群级别切换为节点级别，连接跟踪表将不会被清理，建议用户创建service后不要修改服务亲和属性，如需修改请重新创建servcie。 容器内不支持访问externalTrafficPolicy为local的service。 工作负载创建时设置 可以在创建工作负载时通过CCE控制台设置Service访问方式，本节以nginx为例进行说明。 步骤 1 参考创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)，在“工作负载访问设置”步骤，单击“添加服务”。 访问类型：选择“负载均衡 ( LoadBalancer )”。 Service 名称：自定义服务名称，可与工作负载名称保持一致。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 负载均衡配置： 负载均衡：请根据业务需求选择。 根据业务需求选择“公网”或“私网”，详情请参见。 − 公网：支持自动创建和使用已有负载均衡实例两种方式。 − 私网：支持自动创建和使用已有负载均衡实例两种方式。 负载均衡实例需与当前集群处于相同VPC且为相同公网或私网类型。 − 规格配置：选择“公网 > 自动创建”时显示此配置项，单击可修改负载均衡实例的名称、规格、计费模式和带宽。 − 健康检查：默认开启。请根据界面提示进行配置，部分参数可参考设置容器健康检查。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载实际监听端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口最终映射到负载均衡服务地址的端口，用负载均衡服务地址访问工作负载时使用，端口范围为165535，可任意指定。 步骤 2 完成配置后，直接单击“确定”。 步骤 3 单击“下一步：高级配置”进入高级设置页面，直接单击“创建”。 步骤 4 创建成功后，单击“工作负载 > 无状态负载 Deployment”或“工作负载 > 有状态负载 StatefulSet”，在工作负载列表页面，单击“工作负载名称”进入工作负载详情页，在“访问方式”页签下，即可获取方式地址。 步骤 5 单击访问地址，即可跳转到访问页面。 工作负载创建完成后设置 您可以在工作负载创建完成后对Service进行配置，此配置对工作负载状态无影响，且实时生效。具体操作如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”或“工作负载 > 有状态负载 StatefulSet”，在工作负载列表页单击要设置Service的工作负载名称。 步骤 2 在“Service”页签，单击“添加Service”。 步骤 3 在“添加service”页面，访问类型选择“负载均衡 ( LoadBalancer )”。 步骤 4 设置负载均衡参数。 Service 名称：自定义服务名称，可与工作负载名称保持一致。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作负载：要添加Service的工作负载，此处不可修改。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 负载均衡配置： 负载均衡：根据业务需求选择“公网”或“私网”。 − 公网：支持自动创建和使用已有负载均衡实例两种方式。 − 私网：支持自动创建和使用已有负载均衡实例两种方式。 负载均衡实例需与当前集群处于相同VPC且为相同公网或私网类型。 − 规格配置：选择“公网 > 自动创建”时显示此配置项，可修改负载均衡实例的名称、规格、计费模式和带宽。 − 健康检查：默认开启。请根据界面提示进行配置，部分参数可参考设置容器健康检查。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口最终映射到负载均衡服务地址的端口，用负载均衡服务地址访问工作负载时使用，端口范围为165535，可任意指定。 步骤 5 单击“创建”。工作负载已添加“负载均衡 ( LoadBalancer )”的服务。 更新Service 您可以在添加完Service后，更新此Service的端口配置。操作如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”，在Service页签下，选择对应的集群和命名空间，单击需要更新端口配置的Service的“更新”。 步骤 2 在“更新Service”页面，访问类型选择“负载均衡 ( LoadBalancer )”。 步骤 3 更新负载均衡参数： Service 名称：您创建的Service名称，此处不可修改。 集群名称：工作负载所在集群的名称，更新时此处不可修改。 命名空间：工作负载所在命名空间，更新时此处不可修改。 关联工作负载：要添加Service的工作负载，更新时此处不可修改。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 负载均衡配置： 负载均衡：更新时公网/私网在此处不可修改，但可以选择集群所在VPC下的其他负载均衡实例。 负载均衡实例需与当前集群处于相同VPC且为相同公网或私网类型。 − 健康检查：默认开启。请根据界面提示进行配置，部分参数请参考设置容器健康检查。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口最终映射到负载均衡服务地址的端口，用负载均衡服务地址访问工作负载时使用，端口范围为165535，可任意指定。 步骤 4 单击“更新”。工作负载已更新Service。

本节介绍资源委托协议。 使用 CCE One 服务需要授予访问以下云资源的权限： 访问计算类服务 注册集群按需弹性云上资源时会关联创建云服务器，需要获取访问弹性云服务器、弹性裸金属服务器的权限。 访问存储类服务 为注册集群关联云上节点和容器挂载存储，需要获取访问云硬盘、弹性文件、对象存储等服务的权限。 访问网络类服务 为注册集群及联邦提供网络代理及服务对外暴露，需要获取访问虚拟私有云、弹性负载均衡、弹性IP、NAT网关等服务的权限。 访问容器与监控类服务 为三方注册集群下容器提供镜像拉取、监控和日志分析等功能，需要获取访问容器镜像、应用运维管理等服务的权限同意授权后，CCE One 将在统一身份认证服务为您创建名为 CtyunAssumeRoleForCCEONE 的 委托，为保证服务正常使用，在使用 CCE One 服务期间请不要删除或修改 CtyunAssumeRoleForCCEONE 委托。

本文介绍如何使用云容器引擎Serverless版。 本文介绍如何通过控制台创建Serverless集群、使用镜像部署应用以及查看容器信息。 前提条件 已开通并授权云容器引擎。 已登录弹性容器实例控制台开通服务。 操作步骤 创建Serverless集群 1.登录云容器引擎控制台。 2.在控制台的左侧导航栏中点击“集群”。 3.在集群列表页面中，单击页面右上角的“创建集群”，进入订购页后单击“Serverless版”。 4.在订购Serverless容器引擎页面中，完成集群的基本配置。部分配置说明如下： 配置项 描述 实例名称 填写集群的实例名称 企业项目 按需选择企业项目 计费模式 默认使用按需计费模式 Kubernetes版本 显示当前Serverless集群支持的Kubernetes版本 部署方式 支持单可用区部署、多可用区部署 可用区 按需选择可用区 API Server访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。同时，您也可以选择是否使用EIP暴露API Server，选择不开放时，则无法通过外网访问集群API Server 虚拟私有云 集群所使用的VPC，支持使用已有的VPC或创建虚拟私有云 所在子网 集群所使用的子网，支持使用已有的子网或创建子网 默认安全组 安全组是一种虚拟防火墙，能够控制实例的出入站流量，Serverless集群会自动生成一条默认的安全组，以确保容器之间能正常通信 启用IPv6 启用IPv6双栈将创建双栈Serverless集群 Service CIDR 设置Service CIDR。Service网段不能与VPC及VPC内已有集群使用的网段重复，并且Service地址段也不能和Pod地址段重复。集群创建成功后不能再修改该网段 自定义证书SAN 按需添加自定义的IP或域名，以实现对客户端的访问控制 集群本地域名 填写集群的本地域名 集群删除保护 设置是否启用集群删除保护，防止通过控制台或者API误删除集群 集群标签 为集群绑定标签，作为云资源的标识 集群描述 按需对集群进行描述说明 时区 集群所要使用的时区 5.集群配置完成后，单击“下一步”。 6.按需进行插件配置，配置完成后，单击“确认配置”。 7.确定产品名称、基础配置以及费用无误后提交订单。 8.集群创建成功后，您可以进入云容器引擎控制台，在集群选项卡中可以看到新创建的集群。点击集群名称进入集群详情界面，可以查看集群相关信息。

本文介绍如何通过CSI插件为CCSE容器挂载天翼云弹性文件服务作为数据卷。 基础信息 云容器引擎（简称CCSE）提供高度可扩展的、高性能的Kubernetes集群、一站式容器服务；获得信通院可信云《全栈容器云解决方案》认证，其整合了镜像、监控、日志、负载均衡、灰度/蓝绿、多种弹性策略、高效调度、集群插件、模板市场等基础能力，帮助企业快速构建和运行可弹性扩展的应用。本文介绍如何通过CSI插件为CCSE容器挂载天翼云弹性文件服务作为数据卷。 注意事项 CCSE引擎挂载弹性文件系统依赖cstorcsi插件，该插件在创建云容器引擎完成后通过插件市场进行配置。 云容器引擎和弹性文件系统须属于同一个VPC和子网下。 操作步骤 步骤一：创建云容器引擎CCSE 从天翼云官网创建一个云容器引擎CCSE，详细步骤参见云容器引擎CCSE订购集群。 步骤二：安装cstorcsi插件 1. 进入购买的CCSE集群，在“插件>插件市场”中选择“cstorcsi”插件进行安装。 2. 安装时需要在yaml文件中填入用户天翼云的AK、SK信息，并点击底部的“安装”按钮： 注意 安装过程中需提供用户AK/SK，获取方式参考

本节主要介绍CCE集群的网络地址段规划实践。 在CCE中创建集群时，您需要根据具体的业务需求规划VPC的数量、子网的数量、容器网段划分和服务网段连通方式。 本文将介绍VPC环境下CCE集群里各种地址的作用，以及地址段该如何规划。 约束与限制 通过搭建VPN方式访问CCE集群，需要注意VPN网络和集群所在的VPC网段、容器使用网段不能冲突。 集群各网段基本概念 VPC网段/子网网段 虚拟私有云（Virtual Private Cloud，简称VPC）是您在天翼云上申请的为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境。您可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性公网IP搭建业务系统。 子网是用来管理弹性云服务器网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云服务器IP地址都属于该子网。 默认情况下，同一个VPC的所有子网内的弹性云服务器均可以进行通信，不同VPC的弹性云服务器不能进行通信。不同VPC的弹性云服务器可通过创建对等连接通信。 在CCE中创建集群时，需要选择VPC和子网，集群的控制节点（k8s控制面）将在所选择的子网中创建。 容器网段（pod网段） Pod是Kubernetes内的概念，每个Pod具有一个IP地址。 在CCE中创建集群时，可以指定Pod的地址段（即容器网段），容器网段不能和子网网段重叠。例如子网网段用的是 192.168.0.0/16，集群的容器网段就不能使用192.168.0.0/18，192.168.1.0/18等，因为这些地址都涵盖在 192.168.0.0/16 里了。

本节介绍Cubecni网络插件的用户指南 网络模型 Cubecni网络插件使用VPC资源构建Underlay容器网络，可用于使用云主机（ECS）和弹性裸金属（EBM）部署的Kubernetes集群，适用于高性能场景。Cubecni基于弹性网卡构建的Underlay容器网络，没有封包解包开销，部分场景无主机路由和netfilter处理开销，容器网络性能相比于容器隧道网络有一定的优势，并且支持同一VPC内云服务器从集群外直接访问容器等特殊场景。 Cubecni支持多种模式，下图为共享ENIIPVLAN模式网络模型： 共享ENIIPVLAN模式 Cubecni会为节点添加弹性网卡并申请多个辅助IP，Pod主网卡是该弹性网卡的IPVLAN虚拟网络接口，Pod IP为弹性网卡的辅助IP。此模式下，流量走向示意如下： 说明： 1. 节点内Pod间通信：同节点的Pod间通信直接通过IPVLAN转发； 2. 跨节点Pod间通信：跨节点Pod间通信走弹性网卡二层网络，不经主机网络栈处理； 3. Pod访问Service：走主机网络栈处理和转发； 4. Pod访问集群外地址：Pod访问集群外地址走子网网关转发。

本节介绍Cubecni网络插件的用户指南 网络模型 Cubecni网络插件使用VPC资源构建Underlay容器网络，可用于使用云主机（ECS）和弹性裸金属（EBM）部署的Kubernetes集群，适用于高性能场景。Cubecni基于弹性网卡构建的Underlay容器网络，没有封包解包开销，部分场景无主机路由和netfilter处理开销，容器网络性能相比于容器隧道网络有一定的优势，并且支持同一VPC内云服务器从集群外直接访问容器等特殊场景。 Cubecni支持多种模式，下图为共享ENIIPVLAN模式网络模型： 共享ENIIPVLAN模式 Cubecni会为节点添加弹性网卡并申请多个辅助IP，Pod主网卡是该弹性网卡的IPVLAN虚拟网络接口，Pod IP为弹性网卡的辅助IP。此模式下，流量走向示意如下： 说明： 1. 节点内Pod间通信：同节点的Pod间通信直接通过IPVLAN转发； 2. 跨节点Pod间通信：跨节点Pod间通信走弹性网卡二层网络，不经主机网络栈处理； 3. Pod访问Service：走主机网络栈处理和转发； 4. Pod访问集群外地址：Pod访问集群外地址走子网网关转发。

云服务名称 区域 支持IAM 支持企业项目 支持IAM 支持企业项目 系统策略 分布式消息服务Kafka 全局 是 是 是 是 有 分布式消息服务RabbitMQ 全局 是 是 是 是 有 分布式消息服务RocketMQ 全局 是 是 是 是 有 微服务云应用平台 全局 是 是 是 是 有 云容器引擎 全局 是 是 是 是 有 弹性容器实例 全局 是 是 是 是 有 函数计算 全局 是 是 是 是 有 云日志服务LTS 全局 是 是 是 是 有 容器镜像服务 全局 是 是 是 是 有 分布式消息服务MQTT 全局 是 是 是 是 有 应用服务网格 全局 是 是 是 是 有 微服务引擎 全局 是 是 是 是 有

资源类型 配置项 配置明细 说明 ECS） ECS名称 ecsbendi 自定义，易理解可识别 ECS） 规格 通用计算增强型 c3.large.2 2vCPUs 4GiB 本示例中选择的规格。实际选择的规格需要结合业务场景选择，请参考弹性云服务器的实例规格。 ECS） 操作系统 Windows 2016 ECS） 系统盘 通用型SSD 40GiB

本文介绍如何使用企业项目进行访问控制。 管理企业项目 企业项目定义 企业项目管理，为客户提供与企业组织架构和业务管理模型匹配的云治理能力。以面向企业资源管理为出发点，帮助企业以公司、部门、项目等组织架构分级管理来实现企业在云上的人、物、权管理，提供企业人员管理、项目管理、资源管理等能力。 创建企业项目 进入IAM控制台，点击企业项目，单击右上侧的“创建企业项目”，输入名称和描述即可，相关操作参考：创建企业项目。 企业项目授权 通过为企业项目添加用户组，并设置策略，实现企业项目和用户组的关联。将用户加入到用户组，使用户具有用户组中的权限，从而精确地控制用户所能访问的项目，以及所能操作的资源。具体步骤如下： 1. 在新创建的企业项目所在行，单击操作列的“查看用户组”，选择指定用户组继续点击“设置策略”。 2. 进入“设置策略”页面，添加指定策略，点击确定，完成授权过程。 关联资源与企业项目 企业项目可以将云资源按企业项目统一管理。 1. 购买弹性容器实例时选择企业项目。 在购买页面，“企业项目”下拉列表中选择目标企业项目，实现资源与企业项目关联。 2. 资源迁入。 对于账号下的存量弹性容器实例，您可以在“企业项目管理”页面将资源迁入目标企业项目。 “default”为默认企业项目，账号下原有资源和未选择企业项目的资源均在默认企业项目内。