本文介绍如何重启Pod。 通过重启Pod，可以将存在异常的Pod进行杀死，通过K8s机制再重新启动一个新的Pod。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 实时检测”，进入容器实时检测页面。 3. 单击容器列表右侧操作列中的“重启Pod”。 4. 在弹出的提示框中单击“确认”。

参数 参数说明 云存储类型 文件存储：文件存储适用于多种使用场景，包括媒体处理、内容管理、大数据和分析应用程序等。 分配方式 使用已有存储 云存储名称：选择已创建的存储，您需要提前创建存储，创建存储步骤请参见 创建文件存储卷 。 子类型：已创建的文件存储子类型。 存储容量：该容量值为PVC的属性值，若在IaaS侧实施过存储扩容后，容量值不一致是正常的。CCE1.13集群开始支持端到端容器存储扩容功能后，PVC容量才会和存储实体容量一致 自动分配存储 自动创建存储，需要输入存储的容量。 子类型：文件存储子类型为NFS。 存储容量：单位为GB。请不要超过存储容量配额，否则会创建失败。 添加容器挂载 配置如下参数： 1. 子路径：输入文件存储的子路径，如：tmp。 Kubernetes中数据卷挂载的subpath，指引用卷内的子路径而不是其根，不填写时默认为根。现只支持文件存储，必须是相对路径，且不能以“/”或“../”开头。 2. 挂载路径：输入挂载路径，如：/tmp。 数据存储挂载到容器上的路径，请不要挂载在系统目录下，如“ / ”、“ /var/run ” 等，会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，工作负载创建失败。 须知： 挂载高危目录的情况下 ，建议使用低权限帐号启动，否则可能会造成宿主机高危文件被破坏。 3. 设置权限。 只读：只能读容器路径中的数据卷。 读写：可修改容器路径中的数据卷，容器迁移时新写入的数据不会随之迁移，会造成数据丢失。 单击“添加容器挂载”可增加多条设置，单击“确定”完成配置。

本章节主要介绍分布式消息服务RabbitMQ的实例类问题。 RabbitMQ使用的版本是多少？ 服务端RabbitMQ的版本是3.8.35、3.7.17。 RabbitMQ实例SSL连接的协议版本号是多少？ TLS v1.2版本。 创建实例时为什么无法查看子网和安全组等信息？ 创建实例时，如果无法查看虚拟私有云、子网、安全组、弹性IP，可能原因是该用户无Server Administrator和VPC Administrator权限，增加权限的详细步骤请参考《统一身份认证服务 用户指南》的“用户指南 > 用户组及授权 > 查看或修改或删除用户组”章节。 若其中一台RabbitMQ重启失败，需要会如何处理？ 重启RabbitMQ实例时，不会重启实例所在虚拟机，仅重启RabbitMQ进程。 重启集群实例时，若其中一台RabbitMQ进程重启失败，则重启后实例状态依然为“运行中”，并提示“部分节点故障”。在每台虚拟机上都有RabbitMQ的守护进程，定时检查RabbitMQ进程是否存在，当进程不存在时会自动拉起RabbitMQ进程。 如果RabbitMQ实例异常持续超过1分钟，会上报告警。 RabbitMQ集群实例如何均衡分发请求到每个虚拟机？ 集群内部使用LVS做负载均衡，由LVS将请求均衡分发到每个虚拟机节点。 RabbitMQ实例集群内部的队列是否有冗余备份？ 队列是否做镜像（即冗余备份）取决于用户的需要，如果用户设置了镜像，会在集群中多个代理上存储队列的副本，当某个代理故障，集群会从其他正常的代理中选择一个代理，用来同步队列数据。

本节介绍了：监控常见问题。 为什么容器集群监控数据异常无法显示？ 本文介绍容器集群监控数据异常无法显示的问题现象、排查步骤和解决方法。 问题现象 容器集群监控数据异常无法显示。 排查步骤 一、检查集群是否已安装最新版本ccsemonitor插件 登录云容器引擎控制台，在集群详情页中选择插件 > 插件实例 ，查看是否安装最新版本ccsemonitor插件。如无安装请先安装ccsemonitor插件。 二、检查监控相关负载是否正常 登录云容器引擎控制台，在集群详情页中选择插件 > 插件实例 ，选择ccsemonitor插件实例，进入插件实例详情页，点击资源列表tab，查看监控相关的pod是否都是Running状态。如果有pod非Runing状态可以通过pod事件进一步排查，如无法解决请提工单反馈。 三、检查指标采集器是否能正常上报数据 登录云容器引擎控制台，在集群详情页中选择工作负载 > 无状态 ，命名空间选择 kubesystem ，查看工作负载 ccseopentelemetrycollector 的日志，查看是否有报错，如有报错，请提工单反馈。

本文介绍如何使用数据缓存创建实例。 创建数据缓存后，您可以使用数据缓存创建ECI实例，将缓存好的数据直接挂载到ECI实例中，免去拉取数据的等待时间，加速业务启动。 前提条件 确保数据缓存已经处于可用状态。 配置说明 1. 创建容器组过程中，输入数据缓存的bucket名称，点击添加，选择缓存目录和目标容器。 2. 创建容器组完成，等待一段时间变成Running状态后，点击远程连接，进入容器查看刚刚使用的数据缓存。 3. 可以在容器testdir目录查看之前拉取的数据。

步骤二：创建持久卷声明（PVC） 1. 创建示例yaml文件pvcstaticnas.yaml： shell apiVersion: v1 kind: PersistentVolumeClaim metadata: annotations: volume.beta.kubernetes.io/storageprovisioner: nas.csi.cstor.com name: pvcstaticnas namespace: default spec: accessModes: ReadWriteOnce resources: requests: storage: 500Gi volumeMode: Filesystem volumeName: {YOURPVNAME} 替换PV名称 2. 执行以下命令，创建pvc： plaintext kubectl apply f pvcstaticnas.yaml 步骤三：创建工作负载 1. 创建示例yaml文件podpvcstaticnas.yaml： shell apiVersion: apps/v1 kind: StatefulSet metadata: name: nginxpvcstaticnas labels: app: nginxpvcstaticnas spec: replicas: 1 serviceName: "" selector: matchLabels: app: nginxpvcstaticnas template: metadata: labels: app: nginxpvcstaticnas spec: containers: image: "registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.26alpineslim" imagePullPolicy: "IfNotPresent" name: "nginx" resources: limits: cpu: "100m" memory: "256Mi" requests: cpu: "100m" memory: "256Mi" volumeMounts: mountPath: "/mnt/data" name: "volume1" subPath: "ccsetest" volumes: name: "volume1" persistentVolumeClaim: claimName: {YOURPVCNAME} 替换为步骤2中的PVC名称 2. 执行以下命令，创建StatefulSet： plaintext kubectl apply f podpvcstaticnas.yaml 步骤四：验证数据持久化 1. 登录弹性容器服务管理控制台。 2. 在容器组列表页点击刚才创建的实例。 3. 点击“远程连接”页签，进入到容器内。 4. 向/mnt/data 目录下写一个文件，执行: plaintext echo "Hello World" > /mnt/data/test.log 5. 查看/mnt/data 目录下文件，执行： plaintext cat /mnt/data/test.log 预期结果如下： 6. 退出“远程连接”，使用kubectl删除pod，会触发pod自动重建，等待Pod重新运行正常。 plaintext kubectl delete po nginxpvcstaticnas0 7. 对新建Pod，登录弹性容器服务管理控制台，继续执行“远程连接”，进入到容器内查看数据。执行： plaintext cat /mnt/data/test.log 预期结果如下： 8. 以上步骤说明，pod删除重建后，重新挂载SFS弹性文件，数据仍然存在，说明SFS弹性文件系统中的数据可持久化保存。

本节介绍本地注册集群。 CCE One 本地注册集群是用于将本地数据中心 Kubernetes 集群接入天翼云容器服务管理平台统一管理的集群形态， 提供单集群控制台管理能力。 前提条件 CCE One 注册集群提供公网和内网接入端点。请确保目标集群网络可以正常访问注册集群接入端点的9443端口。关于云上云下网络专线接通方案，请参见 云专线。 操作步骤 创建 CCE One 注册集群 1. 登录分布式容器管理控制台，在左侧导航栏选择集群资源 >注册集群。 2. 在页面左侧顶部，选择资源池。注册集群所在的开通资源池， 所选资源池与用户和资源部署地域的距离越近，网络时延越低，访问速度越快。 3. 在注册集群 指引页面，单击本地集群选项卡中的注册集群。 4. 在注册集群订购页面，按照页面指引完成集群配置。 配置项 说明 集群服务商 服务商类型。 集群名称 自定义集群的名称，实例名称不允许重复。 舰队 创建注册集群完成后自动将集群加入指定舰队。创建时可不指定，注册集群创建完成后可手动加入舰队。 企业项目 集群归属的企业项目。企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 虚拟私有云 配置集群的虚拟私有云VPC。在已有VPC列表中选择已创建的VPC，或单击创建虚拟私有云创建新的VPC。 子网 在列表中根据可用区选择已有子网，或单击创建子网创建新的子网。集群控制面与默认节点池将使用此处指定的子网。 安全组 支持选择自动创建安全组 、选择已有安全组。 指定已有安全组时，系统默认不会为安全组配置额外的访问规则，可能会导致访问异常，请参考安全组规则列表。 API server 访问 为API Server创建一个按量付费的私网ELB实例，作为集群API Server的内网连接端点。API Server提供了各类资源对象（Pod、Service等）的增删改查及Watch等HTTP Rest接口。 支持选择是否开放使用 EIP 暴露 API Server。 开放：开启后，将为 API Server 私网 ELB 实例绑定一个 EIP，获得从公网访问集群 API Server 的能力。 不开放：不会创建EIP，仅能在VPC内使用KubeConfig连接并操作集群。 注意 删除默认创建的ELB实例会导致API Server无法访问。 绑定EIP到ELB实例后，API Server可以通过公网接收请求，但集群内的资源无法通过此访问公网。 绑定公网IP 设置是否启用绑定EIP。选中此选项，会在集群中自动绑定EIP，用于建立集群链接。 说明 公网接入必选项；如果云上云下集群已通过专线接通网络，可以不勾选。 集群删除保护 推荐开启集群删除保护，防止通过控制台或OpenAPI误删除集群。 5. 配置完成后，单击下一步，进入集群确认页面，确认以下信息： 确认集群配置是否正确。 确认依赖检查项是否通过。 创建集群前，需阅读《天翼云分布式容器云平台服务协议》《天翼云分布式容器云平台服务等级协议》。 6. 配置完成后，单击提交订单 。提交订单后，可以在集群列表看到创建的注册集群。等待集群创建完成（集群状态：待接入）。

本文介绍对象存储存储卷概述。 Serverless集群支持使用天翼云对象存储作为存储卷。当前cstorcsi插件支持使用对象存储静态存储卷，通过将对象存储挂载到容器指定目录下，以实现数据持久化需求。 天翼云对象存储为客户提供海量、弹性、高可靠、高性价比的存储产品，是专门针对云计算、大数据和非结构化数据的海量存储形态，通过S3协议和标准的服务接口，提供非结构化数据（图片、音视频、文本等格式文件）的无限存储服务。 使用限制 服务开通 使用前请在云容器引擎Serverless版所在资源池，相应开通对象存储服务，参照指引：点这里。开通地域选择参见：点这里。 存储类型 当前cstorcsi仅支持标准、低频两种存储类型。 数据加密 当前cstorcsi不支持上传对象以加密的方式存储在ZOS中。 其他 对象存储产品本身使用限制参见：点这里。 产品规格 cstorcsi支持标准存储、低频存储两种存储类型，这些存储类型具有不同的特点和适用场景，详见：对象存储性能说明。 使用场景 根据业务需求，对象存储类型的存储卷常见以下使用场景： 1. 使用对象存储动态存储卷（暂不支持）：即用户无需预先创建bucket，只需创建PVC时指定存储类（StorageClass），存储插件cstorcsi就会自动创建bucket及对应PV资源。 2. 使用对象存储静态存储卷：即用户预先创建bucket，并创建对应的PV资源。之后在创建PVC时选择已有PV进行挂载。适用于已有可用的底层存储或底层存储需要包周期的场景。 3. 有状态负载挂载对象存储：支持有状态负载通过PVC模版的方式，实现为每一个Pod关联一个独有的PVC及PV，当Pod被重新调度后，仍然能够根据该PVC名称挂载原有的数据。

本文介绍如何重启智算容器实例。 1. 在弹性容器实例控制台左侧导航栏中选择“智算容器组实例管理”。 2. 选择需要重启的实例，点击重启操作即可。

本章节介绍云主机备份的应用场景:数据备份恢复和业务快速迁移部署。 云主机备份可为多种资源提供备份保护服务，有效保障用户数据的安全性和正确性，确保业务安全。云主机备份适用于数据备份和恢复以及业务快速迁移和部署的场景。 数据备份和恢复 云主机备份在以下场景中，均可快速恢复数据，保障业务安全可靠。 受黑客攻击或病毒入侵 通过云主机备份，可立即恢复到最近一次没有受黑客攻击或病毒入侵的备份时间点。 数据被误删 通过云主机备份，可立即恢复到删除前的备份时间点，找回被删除的数据。 应用程序更新出错 通过云主机备份，可立即恢复到应用程序更新前的备份时间点，使系统正常运行。 云主机宕机 通过云主机备份，可立即恢复到宕机之前的备份时间点，使服务器能再次正常启动。 业务快速迁移&部署 为云主机创建备份，使用备份创建镜像，可快速创建与现有云主机相同配置的新云服务器，实现业务的快速部署。 详情请参考最佳实践整机镜像跨可用区迁移。

本文主要介绍 Pod互访QoS限速。 操作场景 部署在同一节点上的不同业务容器之间存在带宽抢占，容易造成业务抖动。您可以通过对Pod间互访进行QoS限速来解决这个问题。 约束与限制 Pod间互访设置QoS限速支持容器隧道网络模型、VPC网络模型，其中VPC网络模型在使用Pod网络限速时需遵循以下约束： 仅支持1.19.10以上的集群版本。 仅支持普通容器（容器运行时为runc），不支持安全容器（容器运行时为kata）。 仅支持限制Pod访问Pod的场景限速，不对访问节点，对外访问产生影响。 带宽限速上限值为机型带宽上限和4.3G两者之间的最小值。 目前仅支持兆（M）级别以上的限速。 操作步骤 您可以通过对Pod添加annotations指定Pod出口带宽和入口带宽，如下所示。 apiVersion: v1 kind: Pod metadata: annotations: kubernetes.io/ingressbandwidth: 100M kubernetes.io/egressbandwidth: 100M ... kubernetes.io/ingressbandwidth：Pod的入口带宽 kubernetes.io/egressbandwidth：Pod的出口带宽 如果不设置这两个参数，则表示不限制带宽。

本节介绍虚拟节点用户指南。 分布式容器云平台的注册集群已集成弹性容器实例（ECI）的虚拟节点，实现与云上弹性算力的衔接。用户可以在自建集群中创建虚拟节点，并使用云上弹性算力运行Pod。 前提条件 已创建注册集群； 用户IDC集群或者三方Kubernetes集群连通性正常； 集群使用Underlay网络模式，容器Pod IP集群外可访问； 依赖集群标准kubeproxy configmap； 功能优势 使用虚拟节点有如下优势： 全托管免运维； 弹性高效； 低成本； 安全隔离； 使用限制 网络插件限制：ECI默认通过云上VPC路由联通网络，不支持自定义CNI插件； 可用区不能重复创建，可用区内按需弹性； 参考 弹性容器实例 的功能限制 自建Kubernetes集群对接ECI，不支持Kubernetes中的Daemonset、HostPath等功能； 使用流程 参考使用流程 指定ECS和ECI的资源分配 。 创建虚拟节点 1. 登录分布式容器云平台，在左侧导航栏选择 集群资源 > 集群管理，选中需要操作的集群名称，点击进入集群详情； 2. 点击左侧菜单节点 > 节点，在节点列表页面，点击创建虚拟节点，进入创建虚拟节点页面； 3. 选择可用区，如有需要添加标签和污点，确定创建； 4. 在节点列表页面，查看虚拟节点信息，，虚拟节点的类型显示为virtualkubelet，并且标有 "virtualkubelet.io/providercubeeci:NoSchedule"污点； 在分布式容器云平台创建的虚拟节点，在弹性容器实例（ECI）中也能查看，由弹性容器实例 按使用情况计费； 每个可用区不可重复创建虚拟节点，可用区内根据Pod所需资源按量创建；

本节介绍了添加环境变量的用户指南。 环境变量是指容器运行环境中设定的一个变量，在云容器云引擎负载中的设置效果，与Dockerfile中利用“ENV”指令定义的环境变量效果相同，用户可在部署工作负载时进行灵活配置。 注意 请务必注意，一旦容器启动，其内部内容应当保持不变。若尝试在容器运行期间修改配置项（例如，将应用的密码、证书或环境变量直接配置到容器中），在容器重启（如因节点异常导致Pod重新调度）后，这些修改将不复存在，可能导致业务异常。为避免配置丢失，建议通过入参等方式将配置信息导入容器中。 环境变量的设置 自定义方式：用户可手动输入环境变量的名称及其对应的值。 配置项导入：允许将整个配置项中的所有键值对导入为环境变量。 配置项键值导入：用户可选择配置项中的特定键值，将其值导入为某个环境变量的值。例如，可将名为“configmapexample”的配置项中键为“configmapkey”的值导入为名为“key1”的环境变量的值。 密钥导入：允许将整个密钥中的所有键值对导入为环境变量。 密钥键值导入：用户可选择密钥中的特定键值，将其值导入为某个环境变量的值。例如，可将名为“secretexample”的密钥中键为“secretkey”的值导入为名为“key2”的环境变量的值。 变量/变量引用：允许使用Pod定义的字段值作为环境变量的值。 资源引用：允许使用容器定义的资源请求值或限制值作为环境变量的值。

问题描述 随着产品的不断发展，CCE标准输出日志默认采集到应用运维管理（AOM）已不推荐使用，但为了兼容老用户使用习惯，该默认配置未修改。如果该默认配置不符合您的使用要求，须在云日志服务（LTS）控制台进行关闭。推荐您将CCE标准输出日志直接采集到云日志服务（LTS），由LTS对日志进行统一管理。 说明 关闭CCE标准输出到AOM后，您在云日志服务（LTS）中配置的CCE标准输出采集到LTS才会生效。 解决办法 步骤 1 在云日志服务（LTS）控制台，单击左侧导航栏“主机管理”。 步骤 2 选择“主机”页签，单击“CCE集群”。 步骤 3 在CCE集群中，选择您需要关闭标准输出到AOM的CCE集群，关闭采集容器标准输出到AOM按钮。 步骤 4 单击“确定”，待ICAgent重启完成后，已关闭CCE标准输出到AOM。

本节介绍如何创建边缘裸金属实例。 创建边缘裸金属注意事项 裸金属资源池需独立规划部署，创建边缘裸金属资源前请与您的客户经理联系确认资源池实际库存量。 由于边缘裸金属的资源特性及安全要求，部分资源配置功能需要运营运维人员处理，请在创建前联系您的客户经理，我们将为您的资源创建提供一对一专人服务。 创建资源时，请注意保存您设置的登录密码。创建完成后，账号密码仅会通过注册账号邮箱下发一次，收到邮件后即可远程登录，请注意妥善保存，防止密码泄露。 基于安全考虑，部分装机镜像默认开启系统防火墙，如您无法建立远程连接，可以联系您的客户经理，并提供您用于远程连接的本地资源IP地址，由运营运维人员帮您修改系统防火墙配置，即可继续访问。 操作步骤 1. 登录ECX控制台。 2. 单击左侧导航栏【边缘裸金属>裸金属服务器】，再点击右上角【+购买裸金属服务器】可进入创建裸金属实例页面。 3. 选择付费方式，支持包年包月以及按需付费两种方式。 4. 选择区域集群。 5. 选择实例规格，根据选中的集群不同，实例规格库存不同，请以页面展示为准。 6. 选择需要安装的操作系统并配置账号密码，目前操作系统支持公有镜像和自定义镜像。 7. 选择是否出网，如是，则默认创建双Bond网卡，自动分配出网网卡与内网网卡，内网网卡需指定VPC，如否，则默认创建全bond网卡，需指定VPC。 或 8. 带宽支持【新增独享带宽】、【新增共享带宽】以及【加入已有共享带宽】，其中，若选择新增共享带宽，在该资源开通后，后续裸金属开通可选择加入该共享带宽。 9. 带宽计费方式与实例付费方式关联，若实例付费方式选择【包年包月】，则带宽计费方式仅可选择“包年包月”；若实例付费方式选择【按需计费】，则带宽计费方式可选择“按使用流量”。 10. 设置公网带宽上限。 11. 确认配置并单击【下一步：确认下单】。

本文对创建筛选条件的操作步骤进行说明。 使用场景 筛选条件是用于指定镜像的网络流量的规则合集，您可以设置筛选条件来镜像符合条件的流量。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在左侧导航栏，选择“流量镜像筛选条件”选项。 5. 在筛选条件页面，点击右上角的“创建筛选条件”按钮。 6. 在创建筛选条件弹窗中，填写筛选条件的名称和描述。 7. 单击“确定”创建完成。 注意 筛选条件下无筛选规则时默认不镜像流量。

如果创建的私有镜像和云主机在一个区域，后续可以为云主机切换操作系统，选择私有镜像即可。切换操作系统的详细指导请参见切换操作系统。

名称 描述 ListInventoryConfigurationsResult 整个响应的容器。 类型：容器。 子节点：ContinuationToken、InventoryConfiguration、IsTruncated、NextContinuationToken。 ContinuationToken 本次请求的continuationtoken参数。 类型：字符串。 父节点：ListInventoryConfigurationsResult。 InventoryConfiguration 清单配置的容器。 类型：容器。 父节点：ListInventoryConfigurationsResult 子节点：Destination、IsEnabled、Filter、Id、OptionalFields、Schedule。 Destination 存放清单结果的容器。 类型：容器。 父节点：InventoryConfiguration。 子节点：OOSBucketDestination。 OOSBucketDestination 存放清单结果的Bucket信息。 类型：容器。 父节点：Destination。 子节点：Bucket、Format、Prefix。 Bucket 存放清单结果文件的Bucket。 类型：字符串。 父节点：OOSBucketDestination。 Format 清单结果文件的类型。 类型：字符串。 父节点：OOSBucketDestination。 Prefix 清单结果的存储路径前缀。 类型：字符串。 父节点：OOSBucketDestination。 IsEnabled 清单功能是否启用： true：启用清单功能。 false：不启用清单功能。 类型：布尔型。 父节点：InventoryConfiguration。 Filter 清单筛选的前缀。 类型：容器。 父节点：InventoryConfiguration。 子节点：Prefix。 Prefix 筛选规则的匹配前缀。 类型：字符串。 父节点：Filter。 Id 清单名称。 类型：字符串。 父节点：InventoryConfiguration。 OptionalFields 清单结果配置项的容器。 类型：容器。 父节点：InventoryConfiguration。 子节点：Field。 Field 清单结果中包含配置项： Size：Object的大小。 LastModifiedDate：Object最后一次修改时间。 ETag：Object的ETag值，用于标识Object的内容。 StorageClass：Object的存储类型。 IsMultipartUploaded：是否为通过分片上传方式上传的Object。 说明 如果未设置配置项，清单默认输出源Bucket和Key（文件名称）。 类型：字符串。 父节点：OptionalFields。 Schedule 存放清单结果导出周期的容器。 类型：容器。 父节点：InventoryConfiguration。 子节点：Frequency。 Frequency 清单结果文件导出的周期： Daily：按天导出清单结果文件。 Weekly：按周导出清单结果文件。 类型：字符串。 父节点：Schedule。 IsTruncated 是否还有未列举的清单： true：表示还有未列举的清单。您可以将NextContinuationToken字段的值作为下一次list请求的continuationtoken参数，以获取下一页的清单配置列表。 false：表示本次已列举完成所有清单。 类型：布尔型。 父节点：ListInventoryConfigurationsResult。 NextContinuationToken 当响应中的IsTruncated为true，且NextContinuationToken非空时，使用该字段作为下一次list请求的continuationtoken参数。 类型：字符串。 父节点：ListInventoryConfigurationsResult。

本章节介绍微服务云应用平台事件中心相关能力 概述 微服务云应用平台事件中心包含Kubernetes事件和微服务治理事件。 查看Kubernetes事件 Kubernetes事件包含应用扩缩容、POD启动失败、镜像拉取失败、POD被驱逐、Pod OOM五种事件，用户可以根据时间查询上述五种事件情况。 查看微服务治理事件 服务治理事件包含无损下线、离群实例摘除、离群实例恢复三种事件，用户可以根据时间查询上述三种事件情况。

本文主要介绍如何使用ICAgent采集容器日志。 集群kubesystem命名空间下名为icagent的DaemonSet），ICAgent负责收集工作负载的日志并上报到AOM，您可以在CCE控制台和AOM控制台查看工作负载的日志。 约束与限制 ICAgent只采集.log、 .trace和 .out类型的文本日志文件。 费用说明 AOM每月赠送每个账号500M免费日志采集额度。 使用ICAgent采集日志 在工作负载中可以单独配置日志采集策略，此策略需要使用ICAgent。 步骤 1 在CCE中创建工作负载时，在配置容器信息时可以设置容器日志。 步骤 2 单击添加日志策略。 以nginx为例，不同工作负载根据实际情况配置。 图 添加日志策略 步骤 2 存储类型有“主机路径”和“容器路径”两种类型可供选择： 表 配置日志策略 参数 参数说明 :: 存储类型 主机路径：HostPath模式，将主机路径挂载到指定的容器路径（挂载路径）。用户可以在节点的主机路径中查看到容器输出在挂载路径中的日志信息。 容器路径：EmptyDir模式，将节点的临时路径挂载到指定的路径（挂载路径）。临时路径中存在的但暂未被采集器上报到AOM的日志数据在Pod实例删除后会消失。 主机路径 请输入主机的路径，如：/var/paas/sys/log/nginx 挂载路径 请输入数据存储要挂载到容器上的路径，如：/tmp 说明 请不要挂载到系统目录下，如“/”、“/var/run”等，否则会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，工作负载创建失败。 挂载高危目录的情况下 ，建议使用低权限帐号启动，否则可能会造成宿主机高危文件被破坏。 AOM只采集最近修改过的前20个日志文件，且默认采集两级子目录。 AOM只采集挂载路径下的“.log”、“.trace”、“.out”文本日志文件。 容器中挂载点的权限设置方法，请参见为Pod或容器配置安全性上下文。 主机扩展路径 仅“主机路径”类型需要填写 通过实例的ID或者容器的名称扩展主机路径，实现同一个主机路径下区分来自不同容器的挂载。 会在原先的“卷目录/子目录”中增加一个三级目录。使用户更方便获取单个Pod输出的文件。 None：不配置拓展路径。 PodUID：Pod的ID。 PodName：Pod的名称。 PodUID/ContainerName：Pod的ID/容器名称。 PodName/ContainerName：Pod名称/容器名称。 采集路径 设置采集路径可以更精确的指定采集内容，当前支持以下设置方式： 不设置则默认采集当前路径下.log .trace .out文件 设置表示递归采集5层目录下的.log .trace .out文件 设置表示模糊匹配 例子： 采集路径为/tmp/ /test.log表示采集/tmp目录及其15层子目录下的全部以test开头的.log文件。 注意 使用采集路径功能请确认您的采集器ICAgent版本为5.12.22或以上版本。 日志转储 此处日志转储是指日志的本地绕接。 设置：AOM每分钟扫描一次日志文件，当某个日志文件超过50MB时，会立即对其转储（转储时会在该日志文件所在的目录下生成一个新的zip文件。对于一个日志文件，AOM只保留最近生成的20个zip文件，当zip文件超过20个时，时间较早的zip文件会被删除），转储完成后AOM会将该日志文件清空。 不设置：若您在下拉列表框中选择“不设置”，则AOM不会对日志文件进行转储。 说明 AOM的日志绕接能力是使用copytruncate方式实现的，如果选择了设置，请务必保证您写日志文件的方式是append（追加模式），否则可能出现文件空洞问题 当前主流的日志组件例如Log4j、Logback等均已经具备日志文件的绕接能力，如果您的日志文件已经实现了绕接能力，则无需设置。否则可能出现冲突 建议您的业务自己实现绕接，可以更灵活的控制绕接文件的大小和个数。 步骤 3 单击“确定”，并完成创建工作负载。

本节介绍如何创建并管理容器进程访问策略。 添加进程阻断策略 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 进程控制”，进入进程控制页面。 3. 单击“添加策略”，进入添加策略页面。 4. 在添加策略页面输入策略名称（必填）和描述信息（非必填），选择或输入目标对象（支持通配符），选择策略规则。 5. 单击“保存”按钮，系统提示保存成功，安全策略设置完毕。 管理进程阻断策略 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 进程控制”，进入进程控制页面。 3. 查找策略：搜索框支持按策略名称、启用状态查找目的策略。 4. 策略管理：在策略列表内，支持对已添加策略进行编辑、删除、开启、关闭。

本节介绍容器舰队概述。 容器舰队可提供多集群的统一管理，包括统一的权限管理、统一的安全策略、统一的配置管理以及统一的多集群编排等能力。 使用限制 一个注册集群只能加入一个容器舰队。 支持的功能 集群接入分布式容器云平台后，可以加入容器舰队并关联集群联邦能力，进行多集群管理。对容器舰队支持能力如下： 创建舰队：舰队是多个集群的集合，可以实现集群的分类，提供多集群的统一管理。 添加集群到舰队：舰队提供统一的权限管理、安全策略、配置管理以及统一的多集群编排等能力。集群加入舰队后，集群关联的权限将被更新为舰队的权限。 权限关联：舰队权限配置将同步舰队下所有成员集群。若舰队权限未配置，新签发子账号默认拥有只读权限。权限管理基于Kubernetes RABC控制体系的资源权限定义。 可观测性：提供舰队资源总览，包括集群数、节点数、CPU分配率、内存分配率等。 舰队关联已有联邦实例：舰队成员集群将自动注册为联邦实例的成员集群，提供集群联邦多集群管理。

本文介绍节点相关的操作，包括开启、关闭节点防护，删除节点等。 开启/关闭防护 注意 关闭防护的节点不支持扫描操作。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“节点安全”。 3. 进入节点安全页面。 关闭防护：单击节点列表上方的“关闭防护”，或者在列表中单击“防护状态”图标，可以关闭当前节点的防护容器。 开启防护：单击节点列表上方的“开启防护”，或者在列表中单击“防护状态”图标，可以恢复当前被关闭的节点防护容器。 删除节点 单击节点列表上方的“删除”，或者在列表中单击操作列的“删除”，可以删除节点的防护容器。 注意 节点状态为“未连接”时，才可以删除。 批量操作 支持批量暂停、恢复或删除节点。 1. 先勾选节点列表中的“多选框”，支持多选。 2. 再对防护容器进行关闭防护、开启防护、删除操作。 开启debug日志 单击节点列表操作列中的“开启debug日志”，可将防御容器日志开启debug模式。 下载日志 单击节点列表操作列中的“下载日志”，可将防御容器日志以压缩包的形式下载到本地。

内置保留字段 数据格式 说明 tagtopic 字符串 采集配置名称 tagfileName 字符串 采集路径与文件名称 tagpodIp 字符串 云容器引擎接入场景下，pod的IP地址 tagpodName 字符串 云容器引擎接入场景下，pod的名称 tagappName 字符串 工作负载名称 tagcontainerName 字符串 容器名称 taghostIp 字符串 云容器引擎宿主机IP tagnamespace 字符串 工作负载所在命名空间 taghostName 字符串 云容器引擎宿主机名称 ts 整型，Unix时间戳（毫秒） 日志采集时间 message 字符串 日志原文

本节介绍了自动变更集群规格的用户指南。 操作场景 容器集群规模是集群支持管理的最大节点数量，当集群规模不满足您的诉求或控制面组件负载达到阈值时，可以通过开启“自动变更规格”功能自动扩大集群控制面规模。该功能默认关闭，需手动开启。 约束限制 1. 自动变更规格功能仅适用于托管版容器集群。 2. 自动变更规格对特定客户开放，如需使用，请联系客户经理或通过工单申请。 3. 自动变更规格涉及自动支付，自动支付暂不支持代金券支付，对于预付费账号，请确保余额充足，以便顺利完成支付和规格变更。 4. 自动变更规格过程中，容器集群组件会进行滚动更新，可能导致短暂的服务中断，建议避免在此过程中执行创建负载等核心操作。 5. 控制面组件负载触发依赖于cubeprometheus插件采集控制面组件指标数据，请先安装cubeprometheus插件，再安装masterautoscaler插件。 6. 若卸载了cubeprometheus插件，会导致masterautoscaler无法采集控制面组件指标，无法触发自动变更。 7. 若卸载重装了cubeprometheus插件，masterautoscaler插件也需要先卸载再安装。 收费策略 集群变更规格（升配或降配）会直接影响集群管理费用的计算。变更完成后，新规格立即生效并按新规格计费。 费用计算规则 1. “按需计费”集群：升配和降配生效后，按照变更后规格的费用按需计费。 2. “包年包月”集群： 升配：新规格价格高于老规格价格，客户需要支付新老规格的差价，在升配期间自动扣除费用。 降配：新规格价格低于老规格价格，天翼云会将新老规格的差价退给客户，在降配期间自动返还费用。

应用防护管理 前提条件 已购买主机安全版本为旗舰版、网页防篡改版或容器版。 约束限制 当前只支持操作系统为Linux的服务器。 目前仅支持Java应用接入。 未开启旗舰版、网页防篡改版、容器版防护不支持应用防护相关操作。 查看检测报告 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、选择“主动防御 > 应用防护 > 防护设置”，进入“防护设置”页面。 4、单击目标服务器“操作”列的“查看报告”，查看目标服务器全量检测详情。 5、单击告警名称可查看目标告警的详细信息。 告警详情页可查看目标告警的取证信息（请求信息、攻击源IP等）和扩展信息（检测规则、检测探针等），可根据取证信息和扩展信息来排查问题、添加防护措施。 关闭应用防护 前提条件 已购买主机安全版本为旗舰版、网页防篡改版或容器版。 约束限制 当前只支持操作系统为Linux的服务器。 目前仅支持Java应用接入。 未开启旗舰版、网页防篡改版、容器版防护不支持应用防护相关操作。 操作步骤 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、选择“主动防御 > 应用防护”，进入“应用防护”页面。 4、单击目标服务器“微服务RASP防护”的图标或单击“操作”列的“关闭防护”。 5、在弹窗中确认正在关闭微服务RASP防护的服务器信息，确认无误，单击“确认”，完成防护关闭。 说明 sRASP防护关闭后，目标服务器会在“防护设置”页面进行自动删除，若需为其他服务器开启防护，可按照开启应用防护操作步骤为其他服务器开启防护。

本节介绍了为什么使用密钥文件无法正常登录Linux弹性云主机的问题描述、可能原因、处理方法。 问题描述 用户使用创建弹性云主机时使用的密钥文件登录Linux弹性云主机时，登录失败。 可能原因 根据Linux弹性云主机使用的镜像不同，可能会存在如下原因： 原因一：Linux弹性云主机的镜像为用户自己制作的私有镜像，且在创建该私有镜像时用户未安装Cloudinit工具。 原因二：Linux弹性云主机的镜像安装了Cloudinit工具，但是在创建弹性云主机时，获取密钥失败。 处理方法 针对原因一： 创建私有镜像时不安装Cloudinit工具，将无法对弹性云主机进行自定义配置，此时，用户只能使用镜像原有密码或密钥登录弹性云主机。 其中，镜像原有密码或密钥指创建私有镜像时，用户自己设置的操作系统密码或密钥。 如果忘记镜像原有密码，或镜像原有密钥丢失，可以通过弹性云主机页面提供的“重置密码”功能，自助完成弹性云主机的密码重置。 针对原因二： a. 勾选待获取密码的弹性云主机，单击“重启”，重新启动弹性云主机。 b. 重启成功后，再次使用密钥文件登录弹性云主机，确认是否能够正常登录。 是，结束。 否，请联系客服寻求技术支持。

本章节介绍云原生工具箱相关功能 概述 云原生工具箱是微服务应用平台研发团队针对云原生应用架构提供的研发提效工具，提高在开发、测试、调试和诊断等阶段的开发效率。 审计终端 前提条件 1. 云容器引擎安装云原生工具箱插件成功 2. 云原生工具箱已经安装并绑定了公网elb 操作步骤 1. 登录微服务云应用控制台，选择“应用运维 > 容器应用实例>应用发布>应用实例” 2. 在容器应用实例列表界面，选择指定的目标应用实例，点击进入“应用总览” 3. 左侧菜单栏切换到“云原生工具箱”，点击“进入云原生工具箱” 4. 在云原生工具箱的操作页面，先打开终端窗口，然后执行ls rht;pwd等linux命令 5. 然后点击审计日志的跳转入口，进入到pod审计日志的页面。查看列表中是否显示用户操作的命令行信息 6. 点击审计日志列表中的预览和文件下载，并查看下载后的文件是否能够正常打开 文件管理

本节介绍如何创建并管理容器防篡改策略。 添加文件防篡改策略 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 文件防篡改”，进入文件防篡改页面。 3. 单击“添加策略”，进入添加策略页面。 4. 在新建策略页面输入策略名称（必填）和描述信息（非必填），选择或输入目标对象（支持通配符），设置监控路径。 5. 单击“保存”按钮，系统提示保存成功，安全策略设置完毕。 管理文件防篡改策略 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 文件防篡改”，进入文件防篡改页面。 3. 查找策略：搜索框支持按策略名称、启用状态查找目的策略。 4. 策略管理：在策略列表内，支持对已添加策略进行查看、编辑、删除、开启、关闭。

本节介绍了POD联网使用案例的用户指南。 本文介绍如何在容器集群创建的pod中，实现访问公网。 准备工作 已创建云服务引擎集群； 已在容器集群中创建pod，该pod需要进行公网访问。 操作步骤 步骤一：确定要访问公网的pod ip，确定其所属vpc的子网网段； 步骤二：购买弹性IP; 步骤三：购买NAT网关及配置路由； 步骤四：配置SNAT规则； 步骤五：pod内测试连通性。 步骤一：确定要访问公网的pod ip，确定其所属vpc的子网网段 1、首先确定容器集群部署所用网络插件类型，步骤如下 登录天翼云“云容器引擎”管理控制台； 选择指定资源池，进去集群列表； 点击进入指定集群； 在“集群信息”“基本信息”中查看网络插件； 2、确定访问公网的pod所属vpc子网网段 以无状态部署为例： “工作负载”“无状态”，选择命名空间，进入指定deployment； 进入deployment实例详情，查看pod列表； 如果网络插件是calico，那么记录实例所在节点ip： 如果网络插件是cubecni，那么记录pod ip： 在“虚拟私有云”“子网” 中，查看上述记录ip所属ip网段；

参数 是否必填 参数类型 说明 示例 下级对象 AccessControlPolicy 否 Container 包含权限控制参数的容器 AccessControlList 否 Container 包含ACL信息的容器 Owner 否 Container 包含存储桶拥有者ID和显示名的容器 ID 否 String 存储桶拥有者的ID DisplayName 否 String 存储桶拥有者的显示名，可设置为空或不传 Grant 否 Container 关于权限拥有者和权限的容器 Grantee 否 Container 关于被授予许可的用户的ID和显示名的容器 Permission 否 String 存储桶被授予的权限

名称 描述 是否必须 WebsiteConfiguration 请求的容器。 类型：容器。 子节点：IndexDocument、ErrorDocument、RoutingRules或RedirectAllRequestsTo。 注意 IndexDocument和RedirectAllRequestsTo互斥。如果填写了RedirectAllRequestsTo，则IndexDocument、ErrorDocument、RoutingRules都不能填写。 是 IndexDocument Suffix元素的容器。 注意：如果未填写RedirectAllRequestsTo，则IndexDocument必填。 类型：容器。 父节点：WebsiteConfiguration。 子节点：Suffix。 否 Suffix 在请求website endpoint上的路径时，Suffix会被加在请求的后面。例如，如果suffix是Index.html，而你请求的是bucket/images/，那么返回的响应是名为images/index.html的Object。 类型：字符串。 父节点：IndexDocument。 是 ErrorDocument Key的容器。 类型：容器。 父节点：WebsiteConfiguration。 子节点：Key。 否 Key 如果出现4XX错误，会返回指定的Object。 类型：字符串。 有效值：长度为1~1024的字符串。 父节点：ErrorDocument。 是 RoutingRules 托管模式配置到当前Bucket的重定向规则容器。 注意 如果RoutingRules下有多个RoutingRule，各RoutingRule之间无影响，按照配置的先后顺序向下执行，当有一个满足条件时，就不再继续向后匹配。如果都没有匹配，就不使用重定向规则。 类型：容器。 父节点：WebsiteConfiguration。 子节点：RoutingRule。 否 RoutingRule 重定向规则的容器。一条重定向规则包含一个Condition和一个Redirect，当Condition匹配时，Redirect生效。容器中至少要有一个重定向规则。 注意 一个RoutingRule下，出现多个Condition和Redirect时，以最后一个为准。 类型：容器。 父节点：RoutingRules。 子节点：Condition、Redirect。 是 Condition 描述重定向规则匹配的条件的容器。如果重定向规则匹配的条件未配置，则重定向规则将应用于所有请求。 注意 该容器可以不配置，如果配置，则至少应该包含HttpErrorCodeReturnedEquals、KeyPrefixEquals中的一个。 类型：容器。 父节点：RoutingRule。 子节点：HttpErrorCodeReturnedEquals、KeyPrefixEquals。 否 HttpErrorCodeReturnedEquals 指定Redirect生效时的HTTP错误码。当发生错误时，如果错误码等于这个值，那么Redirect生效。 注意 ErrorCodeReturnedEquals和KeyPrefixEquals同时存在时，只有都匹配时，Redirect才生效。 类型：字符串。 有效值：[ 400, 417 ]，[ 500, 505]。 例如：当返回的http错误码为404时重定向到NotFound.html，可以将Condition中的HttpErrorCodeReturnedEquals设置为404，Redirect中的ReplaceKeyWith设置为NotFound.html。 父节点：Condition。 否 KeyPrefixEquals 重定向规则生效时的文件名的前缀。 注意 HttpErrorCodeReturnedEquals 和KeyPrefixEquals同时存在时，只有都匹配时，Redirect才生效。 类型：字符串。 取值：长度为01024的字符串。 父节点：Condition。 否 Redirect 重定信息容器。 注意 Redirect配置包含的元素可以为空，也可以包含以下元素:Protocol、HostName、ReplaceKeyPrefixWith、ReplaceKeyWith。当某一元素存在多条值时以最后一条为准。 类型：容器。 父节点：RoutingRule。 子节点：Protocol、HostName、ReplaceKeyPrefixWith、ReplaceKeyWith。 是 Protocol 重定向请求时使用的协议。 类型：字符串。 有效值：http、https，默认值为http。 父节点：Redirect或者RedirectAllRequestsTo。 否 HostName 重定向请求时使用的站点名。 如果父节点为RedirectAllRequestsTo，此项必须填写。 类型：字符串。 有效值：1~1024个字符，不能包含空格。父节点为Redirect，也不能包含斜杠(/)。 父节点：Redirect或者RedirectAllRequestsTo。 否 ReplaceKeyPrefixWith 重定向请求时使用的文件名前缀。 注意 ReplaceKeyPrefixWith与ReplaceKeyWith不能同时存在。 类型：字符串。 有效值：0~1024个字符。 父节点：Redirect。 否 ReplaceKeyWith 指定重定向请求时使用的文件名。 注意 ReplaceKeyPrefixWith与ReplaceKeyWith不能同时存在。 类型：字符串。 有效值：0~1024个字符。 父节点：Redirect。 否 RedirectAllRequestsTo 托管模式为重定向请求的容器。 注意 如果未填写IndexDocument，则RedirectAllRequestsTo必填。如果填写了RedirectAllRequestsTo，则IndexDocument、ErrorDocument、RoutingRules都不能填写。 父节点：WebsiteConfiguration。 子节点：HostName、Protocol。 否