本节介绍了容器镜像加签验签的用户指南。 概述 镜像签名功能保障镜像来源安全可靠，避免中间人攻击和非法镜像的更新与运行。CRS支持为命名空间的镜像自动加签，每次推送容器镜像后都会匹配加签规则自动加签，保障您的容器镜像内容可信。 镜像签名步骤 为命名空间下的镜像设置自动加签的步骤如下： 1. 登录容器镜像服务控制台。 2. 在顶部菜单栏，选择所需资源池。 3. 在实例页面中选择容器镜像仓库实例。 4. 在企业版实例管理页面的左侧菜单上选择"安全可信" "镜像签名"，点击左上角的创建镜像加签规则按钮。 5. 在弹出的对话框，填写镜像加签规则的，然后点击“确定”按钮，完成创建，界面各项参数说明如下表； 参数 是否必选 说明 命名空间 必选 选择需要自动加签的命名空间名称 使用默认私钥 非必选 加签时是否使用默认的私钥，勾选则表明使用默认私钥加签，若不勾选则表明使用自定义私钥，则需要往下录入自定义私钥的信息 私钥 非必选 如果上述"使用默认私钥"不勾选，则必须在此框填入自定义私钥的信息，可以将私钥直接贴入，或者从"文件导入"，私钥目前只支持长度位数是2048，格式为PKC8的RSA密钥 密码 非必选 如果创建RSA密钥对时有添加密码，则需要再此处填上，否则会影响加签执行 6. 创建完毕的规则会展示在镜像签名的列表中，可对签名规则进行编辑，如更换签名密钥等。 注意 1. 镜像加签不会影响镜像的常规使用，更不会影响镜像中原有的能力及业务功能。 2. 单个命名空间只能创建一个加签规则。 3. 如果是使用自定密钥，密钥对需要自行保存维护好，使用跟密钥对应的公钥方可验签成功。

本节介绍网络的用户指南:NodeLocal DNSCache加速。 在集群中部署NodeLocal DNSCache可以提升服务发现的稳定性和性能，NodeLocal DNSCache通过在集群节点运行DNS缓存代理来提高集群DNS性能。 本文介绍如何安装NodeLocal DNSCache，并在应用中使用NodeLocal DNSCache。 NodeLocal DNSCache简介 云容器引擎NodeLocal DNSCache插件是基于社区开源项目NodeLocal DNSCache的一套DNS本地缓存解决方案，该方案主要由DNS本地缓存和DNSConfig动态注入控制器组成： DNSConfig动态注入控制器，基于Admission Webhook机制拦截Pod创建的请求，自动注入使用DNS缓存的Pod DNSConfig配置； DNS缓存代理，在每个集群节点上创建一个虚拟网络接口（默认监听IP 169.254.20.10），配合Pod的DNSConfig和节点上的网络配置，Pod内产生的DNS请求会被该服务所代理。 工作原理图如下图所示： 说明 1、已注入DNS本地缓存的Pod，默认会通过NodeLocal DNSCache的服务地址（169.254.20.10）解析域名; 2、NodeLocal DNSCache本地若无缓存应答解析请求，则将请求转发到CoreDNS进行解析； 3、CoreDNS对于非集群内域名，会通过节点配置的DNS服务进行解析； 4、已注入DNS本地缓存的Pod，当无法连通NodeLocal DNSCache时，会继续通过CoreDNS进行解析，此链路为备用链路； 5、未注入DNS本地缓存的Pod，会通过CoreDNS进行解析。 安装NodeLocal DNSCache 可在云容器引擎控制台安装NodeLocal DNSCache插件，步骤请参考安装插件。

支持在线镜像制作和镜像共享。 预置镜像 平台预置了一些常用镜像，可以在创建任务时直接使用 自定义镜像 平台允许通过开发机和使用天翼云容器镜像服务来制作镜像，具体步骤如下： 使用开发机制作镜像 1. 启动在线制作环境：进入模型定制模块，选择开发机，点击【JupyterLab】>【创建JupyterLab】或【VSCode】>【创建VSCode】，选择一个系统内置镜像，选择运行环境，提交后操作列点击启动 2. 镜像制作：等待启动成功，当创建的JupyterLab或VSCode的状态显示【运行中】后即可点击操作列【打开】，在开发环境中安装自己需要的软件和环境，退出，选中创建的JupyterLab或VSCode，操作列点【更多】>【制作镜像】，即可将容器中的操作环境打包成新的镜像，并出现在自定义镜像列表中，可参见开发机制作镜像模块内容 镜像共享 1. 登陆天翼云容器镜像服务，访问地址（ /dashboard），在【同资源池】下，按需创建【个人版】或【企业版】，进入实例详情创建属于您自己的命名空间和镜像仓库。 2. 有了镜像仓库后，根据实例详情访问凭证中的指引通过公网地址将您的镜像上传至仓库中。 3. 进入镜像共享，创建镜像共享，将您希望使用的镜像共享至一站式智算服务平台，共享目标用户填入【huijuprod】，共享后您就可以在一站式智算服务平台的自定义镜像中看到此镜像。 注意 1、如果您想在模型开发JupyterLab和VSCode中使用自定义镜像，需要将对应的软件安装包打包进您的自定义镜像中。 方法1：在docker file中具体执行命令：

查看调用链详情 1. 在容器应用详情左边导航栏中选择“应用监控。 2. 在顶部菜单栏中选择“调用链查询”。 3. 在应用列表中选择您想查看的应用，点击「 应用名称 」打开新的应用详情链接。 4. 点击TraceID，打开Trace详情弹窗。 具体使用说明可参考天翼云官网的应用性能监控​>用户指南​>Trace详情的文档。 查看日志 1. 在容器应用详情左边导航栏中选择“应用监控“。 2. 在顶部菜单栏中选择“调用链查询”。 3. 在应用列表中选择您想查看的应用，点击应用名称打开新的应用详情链接。 4. 点击TraceID，打开Trace详情弹窗。 5. 右侧点击“查看日志”，跳转到“云日志服务”界面查看日志详情。 监控概览 以应用为维度，统计整个应用的关键指标，帮助您快速掌握应用的整体状况。 1. 在容器应用详情左边导航栏中选择“应用监控“。 2. 在顶部菜单栏中选择“监控概览”查看相应信息。 具体使用说明可参考天翼云官网的应用性能监控​>用户指南​>监控概览的文档。 应用拓扑 以应用为维度，进行可视化拓扑展示。 1. 在容器应用详情左边导航栏中选择“应用监控“。 2. 在顶部菜单栏中选择“应用拓扑”查看相应信息。 具体使用说明可参考天翼云官网的应用性能监控​>用户指南​>应用拓扑的文档。

本节介绍了用户指南: 弹性文件概述。 云容器引擎支持挂载天翼云弹性文件存储卷。cstorcsi插件兼容动态和静态两种存储卷类型，通过将弹性文件存储卷挂载至容器指定目录，可满足数据持久化需求。 弹性文件存储提供按需扩展的高性能NAS服务，支持云上多台弹性云主机、容器及物理机等计算资源的大规模并发访问，具备高可用性与数据持久性保障。其提供标准POSIX文件访问接口，可实现现有应用与文件存储的无缝集成。 使用限制 规格类型 当前cstorcsi插件支持SFS Turbo标准型、SFS Turbo性能型 文件协议 当前cstorcsi插件仅支持NFS协议 容量 单个文件系统最小容量为500GB 文件系统加密 暂不支持文件存储加密 性能规格 SFS Turbo标准型、SFS Turbo性能型规格对比：弹性文件性能对比 说明 最大IOPS、最大带宽两个参数的值均为读写总和。比如最大IOPSIOPS读+IOPS写。 最大IOPS大小与容量无关。 时延是指低负载情况下的最低延迟，非稳定时延。 参数 SFS Turbo标准型 SFS Turbo性能型 最大带宽 1.5GB/s 2GB/s 最高IOPS 5000 30000 时延 1~10ms 1ms 最大容量 500GB~32TB 500GB~32TB 优势 大容量、低时延 大容量、高带宽、低成本 应用场景 适用于大容量、低时延的业务，如代码存储、日志存储、Web服务、虚拟桌面等 适用于海量小文件、随机IO密集型以及时延敏感型业务，如高性能计算、文件共享、内容管理等

本节介绍了通过自定义域名访问集群的用户指南。 前提条件 已经创建了一个天翼云账号，并且有一个已经创建好的云容器引擎集群。 集群中已经部署了应用服务，并且可以通过Cluster IP或NodePort进行访问。 已经拥有一个域名，并可以对其进行DNS配置。 创建Ingress Controller 登录云容器引擎控制台，单击集群名称进入集群。 在左侧导航栏中找到网络，下拉找到路由，点击路由，点击左上角创建路由。 创建Ingress Controller。 安装完成后，可以使用kubectl命令查看Ingress Controller的服务： plaintext kubectl get services n ingressnginx 确保ingressnginxcontroller服务已经创建并在运行。 创建Ingress资源 编写Ingress资源配置文件 创建一个新的YAML文件，例如myingress.yaml，内容如下： plaintext apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: myingress namespace: default spec: rules: host: http: paths: path: / pathType: Prefix backend: service: name: port: number: 替换 为您的自定义域名， 为您的Kubernetes服务名称， 为服务的端口号。 应用Ingress资源 使用kubectl应用刚才创建的Ingress资源文件： plaintext kubectl apply f myingress.yaml 验证Ingress资源是否已创建： plaintext kubectl get ingress 配置自定义域名的DNS记录 获取Ingress Controller的外部IP 使用以下命令获取Ingress Controller的外部IP： plaintext kubectl get services n ingressnginx 记录ingressnginxcontroller服务的EXTERNALIP。

添加该配置，改为true } ] } 3. 重建Cubecni Pods使得配置生效。 plaintext 滚动重建Pod kubectl nkubesystem rollout restart ds/cubecni 等待Pod重建完成 kubectl nkubesystem get po l appcubecni owide w IPv6支持 IPv6处于内测阶段，当开启IPv6后，有如下限制： 暂不支持使用多个Pod子网； 单个节点可申请50个IPv6地址，故单节点最多创建50个使用容器网络的Pod。 低网络时延 Pod直接访问Pod场景，时延对比如下图所示。可见cubecni IPVLAN模式时延接近主机网络。独占ENI模式时延有时约略优于主机网络，理想情况下相比于calico IPIP模式提升约30%： 图示中，host表示主机网络时延，集群停止k8s服务后，节点运行sockperf客户端访问另一节点sockperf服务端的时延； cubecni IPVLAN模式时延接近baseline，该场景流量不经主机网络栈处理，不会因此额外引入时延； cubecni 独占ENI模式，Pod独占弹性网卡，时延无限接近主机网络； cubecni PolicyRoute模式，流量经主机网络栈处理，故时延较高； calico IPIP模式，流量均经过主机网络栈处理，且有IPIP解封包开销，iptables更为复杂，故时延较高。 当集群部署监控和日志等消耗带宽的插件后，容器网络整体时延均会增加，calico IPIP模式时延增加幅度大于cubecni。

本节介绍了容器镜像服务常见问题:镜像加速。 开启镜像加速后，对象存储Bucket的使用量增加 由于加速镜像同样也是容器镜像，并存放在用户企业版实例中，因此也会产生存储开销，即用户上传了一个300MiB的普通镜像，经过转换后会产生一个约300MiB的加速镜像。 运行加速镜像失败 1. 运行镜像版本Tag带“accelerated”后缀的加速镜像，需要先在集群中安装好加速插件“cubeaccelerationsuite“，并等待插件正常运行后方可正常运行加速。 2. 运行加速镜像的集群对容器运行时有所限制，需要容器运行时是containerd且1.6.23ccse版本的节点方可运行。 安装镜像加速插件失败 1. 集群需要具备标签ctyun.cn/imageaccelerateenabledtrue的Worker节点方可安装。 2. 标签ctyun.cn/imageaccelerateenabledtrue不能打到Master节点上，否则会视为无效，本插件会跳过在所有Master节点上搭建加速环境。 镜像加速插件卸载 卸载插件包含运行环境的清理操作，因此凡是打了ctyun.cn/imageaccelerateenabledtrue标签的节点切莫提前取消标签 命名空间或者镜像仓库已开启镜像加速，但上传镜像后没有加速镜像生成 1. 加速镜像转换需要一定耗时，镜像容量越大，例如转换耗时越长，转换 40GiB 的镜像大约耗时 30 分钟。 2. 镜像容量控制在60GiB以内，否则会增大转换失败的风险，镜像转换重新触发可重新执行镜像push操作，由于镜像之前已上传，因此push可快速完成。

序号 Docker命令 Containerd命令 备注 1 docker ps [选项] crictl ps [选项] 列出容器列表 2 docker create [选项] crictl create [选项] 创建容器 3 docker start [选项] 容器ID... crictl start [选项] 容器ID... 启动容器 4 docker stop [选项] 容器ID... crictl stop [选项] 容器ID... 停止容器 5 docker rm [选项] 容器ID... crictl rm [选项] 容器ID... 删除容器 6 docker attach [选项] 容器ID crictl attach [选项] 容器ID 连接容器 7 docker exec [选项] 容器ID 启动命令 [参数...] crictl exec [选项] 容器ID 启动命令[参数...] 进入容器 8 docker inspect [选项] 容器NAME ID... crictl inspect [选项] 容器ID... 9 docker logs [选项] 容器ID crictl logs [选项] 容器ID 查看容器日志 10 docker stats [选项] [容器ID...] crictl stats [选项] [容器ID] 查看容器的资源使用情况 11 docker update [选项] 容器ID... crictl update [选项] 容器ID... 更新容器资源限制

本节介绍节点池节点恢复的用户指南。 当节点发生异常时，云容器引擎会通过异常诊断、恢复决策，进而执行恢复任务，实现节点的故障恢复。本文主要介绍故障恢复的适用场景及恢复流程。 前提条件 部分诊断项目依赖nodeproblemdetecto插件和事件中心，请提前正确安装NPD和事件中心。 诊断条件 云容器引擎会监控节点的健康状态，依据节点的运行状况（Condition）动态决策是否可以启动节点恢复流程。通过执行 kubectl describe node命令，检查节点的Condition字段，可以获取详细的运行状态信息。一旦检测到节点状态异常，并且异常状态持续时间超过了预设的阈值（即故障持续达到一定时间），在云容器引擎控制台可以触发节点恢复机制，修复节点故障，确保集群的稳定性和高可用性。 检测项目 描述 检测来源 故障等级 阈值时间 恢复行为 KubeletNotReady（PLEG is not healthy） PLEG健康检查失败或运行时异常，导致节点NotReady。 kubernetes 高 3min 重启containerd或Docker。 NodeStatusUnknown（Kubelet stopped posting node status） kubelet意外停止工作，导致节点NotReady。 kubernetes 高 3min 重启kubelet。 RuntimeOffline containerd或Docker停止工作，节点不可用。 nodeproblemdetector 高 3min 重启containerd或Docker。 NTPProblem 时间同步服务异常。 nodeproblemdetector 高 30s 重启ntpd或chronyd。 ReadonlyFilesystem 节点文件系统变为只读。 nodeproblemdetector 高 90s 用户自行重启节点实例。 SystemdOffline Systemd状态异常，无法启动、销毁容器。 nodeproblemdetector 高 90s 用户自行重启节点实例。

本节介绍了用户指南;存储基础知识。 数据卷（Volume） Container 中的文件在磁盘上采用临时存储机制，这给 Container 中运行的重要应用程序带来以下影响： 容器崩溃时文件丢失： kubelet 虽然会重新启动容器，但容器会以干净的状态重启，原有文件数据不可恢复。 多容器文件共享困难：在同一 Pod 中运行多个容器并需要共享文件时，临时存储无法提供稳定的的共享存储空间。 Kubernetes 卷（Volume）能够有效解决上述问题： 卷提供持久化存储：卷通过将容器文件挂载到持久化存储介质（如网络存储或本地磁盘），确保容器重启后数据仍然保留。 多容器共享相同的卷：同一 Pod 中的多个容器可挂载相同的卷，实现高效的文件共享与通信，避免数据复制和同步的开销。 数据卷（Volume）是 Pod 与外部存储设备之间的数据传输通道，同时也是 Pod 内部容器之间、Pod 之间以及 Pod 与外部环境实现数据共享的机制。 Kubernetes 支持多种类型的 Volume。通常，与 Kubernetes 代码一同发布和迭代的内置存储卷插件属于 InTree 类型；而由存储服务商基于 CSI 或 FlexVolume 接口扩展的、独立于 Kubernetes 代码的存储卷插件则称为 OutOfTree 类型。目前，CSI 是更受推荐的扩展接口。

问题描述 已配置公网NAT网关，存量Pod能访问公网，但部分新创建的Pod（Pod IP属于新子网）无法访问公网。 问题原因 新增的Pod子网未加入到NAT网关的SNAT规则。 解决办法 请配置NAT网关SNAT规则，加入新配置的子网。 双栈环境下部分Pod解析集群外域名失败，如何处理？ 问题描述 云主机所在子网开启了IPv6，部分Pod解析外部域名正常，部分Pod持续解析外部域名异常。 问题原因 该域名有A记录，没有AAAA记录，异常容器使用musllibc解析域名。当域名解析收到A NoError和AAAA NxDomain组合时，会认为解析失败。 解决办法 1. 容器镜像使用glibc替代musllibc； 2. 或业务不使用libc解析域名，例如Golang服务使用PureGo Resolver解析名称。

本章节介绍如何通过制品(JAR包)部署微服务应用到容器 概述 在微服务云应用平台中接入您的应用进行发布，所支持的介质类型大体上可分为制品（JAR/WAR/TAR包等）、镜像等，您可以按实际需求选择接入的方式。 本文介绍如何通过制品（JAR包）部署微服务应用到容器。 通过JAR包部署微服务应用到容器 前提条件 1. 您已开通微服务云应用平台 2. 您已订购一个云容器引擎实例 3. 您已订购一个nacos注册中心实例 创建环境和导入资源 在左侧导航栏，选择环境管理。在环境列表左上角点击创建环境。环境创建好后，将云容器引擎和nacos注册中心导入到环境中。 创建项目和应用 在左侧导航栏，选择应用列表。在应用列表点击新增项目。展开新增完成的项目，在应用管理下创建应用，技术栈选择 SpringCloud。 项目关联环境 展开项目树，在环境管理下将步骤1创建的环境关联上。 创建容器应用实例并部署 在左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。在应用实例左上角点击创建应用实例。 基本信息 项目/应用：选择步骤2创建的应用 应用实例名称：无需修改，使用默认名称即可 技术栈版本：选择1.0.0j180jar 接入方式：选择制品 镜像目标架构：云容器引擎是ARM架构勾选linux/arm64，云容器引擎是X86架构勾选linux/amd64或不勾 应用实例版本：无需修改，使用默认版本即可 企业项目：选择default 部署配置 选择集群：选择步骤1导入到环境中的云容器引擎 部署包来源：选择官方demo（支持上传自定义程序包、选择已有程序包、选择官方提供的demo） Demo类型：任意选择一个 制品版本：输入制品版本 完成以上信息填写后，点击下一步进入到预览页面，确认信息无误后，点击创建按钮，完成应用实例创建。 应用实例创建完成后，直接点击查看实例详情按钮，到实例详情页面。点击上方发布应用实例按钮，进入到应用发布界面。点击右下角发布按钮，进入到发布单详情界面。等待发布单完成初始化后再点击发布按钮进行应用发布。应用开始发布后，可点击应用实例发布单，查看应用发布具体信息。

参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String 类型 application/json regionId 是 String 资源池编码（资源池ID，您可以查看 bb9fdb42056f11eda1610242ac110002

参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String 类型 application/json regionId 是 String 资源池编码（资源池ID，您可以查看 bb9fdb42056f11eda1610242ac110002

参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String 类型 application/json regionId 是 String 资源池编码（资源池ID，您可以查看 bb9fdb42056f11eda1610242ac110002

参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String 类型 application/json regionId 是 String 资源池编码（资源池ID，您可以查看 bb9fdb42056f11eda1610242ac110002

参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String 类型 application/json regionId 是 String 资源池编码（资源池ID，您可以查看 bb9fdb42056f11eda1610242ac110002

本章节介绍如何在服务网格中使用本地限流 前提条件 1. 已开通云容器引擎，至少有一个云容器引擎集群实例。产品入口：云容器引擎。 2. 开通天翼云服务网格实例。 操作步骤 我们以bookinfo应用为例演示本地限流能力，首先在default命名空间部署bookinfo应用。 然后在default命名空间部署针对productpage服务的限流策略，token数量最大为5，每2秒重新填充5个token： apiVersion: istio.ctyun.cn/v1beta1 kind: LocalRateLimiter metadata: name: productpagelimit spec: workloadSelector: 匹配工作负载 labels: app: productpage context: SIDECARINBOUND statPrefix: httplocalratelimiter configs: name: productpage routeConfig: vhost: name: 'inboundhttp9080' rateLimitConfig: tokenBucket: maxTokens: 5 tokensPerFill: 5 fillInterval: 2s filterEnabled: runtimeKey: localratelimitenabled defaultValue: numerator: 100 denominator: HUNDRED filterEnforced: runtimeKey: localratelimitenforced defaultValue: numerator: 100 denominator: HUNDRED responseHeadersToAdd: appendAction: OVERWRITEIFEXISTSORADD header: key: xlocalratelimit value: 'true' 我们使用gostresstesting工具验证效果，如下图所示，结果状态码中有200和429（请求被限流）；200的个数每2秒增加5个，符合我们设定的2秒重新填充5个token的设定；429状态码在持续增加。 单独请求productpage服务可以看到请求被限流的情况：

本文为您介绍容器安全卫士的产品规格。 根据支持功能不同，容器安全卫士提供标准版和高级版供用户选择。 一级功能 二级功能 功能描述 标准版 高级版 仪表盘 从全局视角统计重要资产、防护情况、告警趋势、及安全情况，便于用户更好的进行安全响应处置，提升运营效率。 ✓ ✓ 资产中心 查看集群资产、镜像资产、主机节点资产、应用服务资产、K8S配置详细信息。 ✓ ✓ 告警响应 运行态检测 查看所有容器、主机、K8S入侵告警事件，并对其进行响应处置。 ✓ ✓ 告警响应 镜像告警 查看所有触发安全策略的镜像告警事件，并对其进行响应处置。 ✓ ✓ 告警响应 IaC告警 查看存在未通过高危检查的文件。 × ✓ 告警响应 响应中心 查看告警处置记录，包括隔离Pod列表、暂停容器列表、重启Pod列表、镜像阻断列表，并进行白名单管理、一键封堵。 ✓ ✓ 安全合规 基线管理 对各版本的Linux系统按照等保、CIS的基线要求检测，覆盖主流操作系统的检测。 对各版本的kubernetes按照CIS基线要求检测。 对各个版本容器运行环境按照CIS基线要求检测。 ✓ ✓ 安全合规 基线配置 自定义配置基线扫描周期、安全合规达标率等。 ✓ ✓ 镜像安全 镜像管理 对业务环境主机中和镜像仓库中的镜像资产统一管理、安全扫描，并提供可写入dockerfile的修复建议。 ✓ ✓ 镜像安全 镜像策略 通过漏洞规则、文件规则、软件包规则、及其他规则设置来对风险制品镜像进行告警或阻断管控。 ✓ ✓ 镜像安全 镜像设置 配置节点镜像和仓库镜像扫描周期。 ✓ ✓ 容器安全 实时检测 从命名空间或节点的视角实时检测容器安全状态，对容器进行基线检查、容器审计等。 ✓ ✓ 容器安全 容器策略 创建并管理容器入侵检测策略及入侵检测规则。 ✓ ✓ 容器安全 文件防篡改 创建并管理容器防篡改策略。 × ✓ 容器安全 进程访问控制 创建并管理容器进程访问策略，支持进程阻断/放行。 × ✓ 容器安全 弱口令 弱口令字典管理及弱口令检测。 × ✓ 容器安全 容器设置 设置容器保留时长、容器审计信息保留时长，及容器扫描周期。 ✓ ✓ 节点安全 节点安全 查看节点信息、集群组件信息、防御容器健康状态，对节点实时入侵监测，扫描节点漏洞，开启节点debug日志。 ✓ ✓ 节点安全 节点设置 自定扫描新增节点，设置节点更新周期。 ✓ ✓ IaC安全 IaC检查 对于部署资源所编写的编排文件，支持扫描编写内容是否存在风险以及是否符合编写规范。 × ✓ IaC安全 规则管理 统一管理K8S manifests/helmchart文件规则、Dockerfile文件规则、ConfigMap文件规则等。 × ✓ IaC安全 IaC设置 配置自动扫描、周期扫描策略。 × ✓ 集群安全 组件漏洞 扫描Kubernetes 内的kubelet、calico、etcd等组件漏洞信息。 × ✓ 集群安全 安全检查 对集群进行安全检查，发现未通过检查项及影响范围，提供解决方案及参考链接。 × ✓ 集群安全 插件管理 可通过提供插件的形式，帮助用户验证1day漏洞信息。 × ✓ 集群安全 集群审计 记录了对APIServer的访问事件，通过查看、分析日志，可以了解集群的运行状况、排查异常，发现集群潜在的安全、性能等风险对异常事件支持报警。 × ✓ 集群安全 集群策略 配置集群审计策略，管理集群审计规则，管理集群告警规则。 × ✓ 集群安全 集群设置 配置自动扫描新增集群及集群扫描周期。 × ✓ 网络安全 网络策略 通过对单个业务之间，业务组之间，以及租户之间的网络访问策略配置，实现业务之间隔离，来减小被入侵之后的影响范围。 × ✓ 网络雷达 对容器环境中网络流量进行绘图，打破网络黑洞，支持对命名空间、Pod、主机、集群、外网级别的网络监测。通过对单个业务之间、业务组之间以及多租户之间的网络访问策略配置，通过对业务之间的隔离，来减小被入侵之后的影响范围。通过网络拓扑图从网络层判断入侵的影响范围。 × ✓ 平台管理 日志审计 对系统操作日志进行统计及报表输出。 ✓ ✓ 安装配置 支持天翼云原生集群或非原生集群部署方式。 ✓ ✓ 订单中心 查看用户订单情况，可以进行退订、扩容、续订等操作。 ✓ ✓ 任务中心 查看任务执行情况，可以进行终止、删除、查看详情等操作。 ✓ ✓ 消息中心 查收系统内部消息。 ✓ ✓

本文介绍ECI实例概述。 每个ECI实例对应一个容器组，由vCPU、内存、网络等基础组件组成，用于运行一个或多个容器。本文介绍ECI实例的基本配置、创建方式和生命周期等。 说明 弹性容器实例产品具备高弹性、低成本、高并发等特性，适用于在线业务弹性扩容、在线业务托管、AI和大数据处理等业务，有短期创建大量资源、快速使用并释放的场景。 为了避免频繁创建删除操作的消息提示对您造成困扰，弹性容器实例产品将消息提示策略进行优化：除了第一次创建弹性容器实例时，系统会向您发送的邮件、短信、站内信提示，其余创建删除操作，系统将停止发送消息提示，请您随时留意控制台资源情况。 基本配置 ECI实例包含实例规格、容器镜像、网络、存储等基础组件，您可以方便地定制、更改实例的配置。您对该ECI实例拥有完全的控制权，不需要进行底层服务器的管理和配置操作，只需要提供打包好的容器镜像，即可运行容器。 实例规格：一个ECI实例主要包括vCPU和内存规格。创建实例时，可以指定ECI规格（直接指定vCPU和内存），也可以指定ECS规格来满足GPU、增强网络能力等特殊需求。 容器镜像：一个ECI实例由一个或者多个容器组成，部署容器应用时，需要准备好容器镜像。容器镜像包含容器应用运行所需的程序、库文件、配置等。拉取镜像时，需要保证网络畅通，推荐您使用镜像缓存功能来节约实例的启动耗时。 网络：一个ECI实例将占用所属VPC下的子网的一个弹性网卡资源，默认具备一个内网IP地址。如果需要连接公网，例如需要拉取公网镜像。则需要为ECI实例绑定EIP，或者为所属VPC绑定NAT网关。 存储：一个ECI实例默认有40 GiB的临时存储空间，您可以根据需要增加临时存储空间。如果想要保留存储的文件，建议使用外挂数据卷，支持挂载云盘、弹性文件和对象存储等天翼云存储数据卷。

本节介绍集群联邦概述。 集群联邦 集群联邦基于多云容器编排能力，旨在管理跨云、跨地域场景下的多集群应用，为您提供多集群统一管理、应用部署、服务发现、弹性伸缩、故障迁移等能力。 功能优势 完全兼容Kubernetes原生API，支持从单集群到多集群零改造升级，无缝集成现有Kubernetes工具链生态。 丰富的多集群调度策略：集群亲和性调度、多集群拆分/再平衡调度，多维度的高可用部署，包括多Region、多AZ、多集群、多云供应商 。提供自动化的多集群故障优雅迁移能力，对故障集群实例进行集中式或分散式的迁移，保证服务实例不跌零 多集群流量分发：多集群Service实现跨集群的服务发现和访问。多集群Ingress提供跨集群的负载均衡和流量路由机制，支持自动切流，可自动摘除故障集群上的流量，保障服务的可用性 。 多集群弹性伸缩：基于工作负载的系统指标变动、自定义指标变动或固定的时间周期，实行多集群统一的负载伸缩策略，提升工作负载的可用性和稳定性 。 全域容器智能分析：实时监控应用及资源，采集各项指标及事件等数据以分析应用健康状态，提供多集群统一的全栈监控视图，对业务提供端到端追踪和可视化，提供集群健康诊断能力，缩短问题分析定位时间 。

参数 参数说明 templates 用于存放所有的template（模板）文件。 values.yaml 用于描述template文件所需的配置参数。 须知 定义template文件配置参数时，请注意此处定义的“镜像地址”务必和容器镜像仓库中对应的镜像地址保持一致。否则创建工作负载会异常，提示镜像拉取失败。 镜像地址获取方法如下：在CCE控制台，单击左侧导航栏的“镜像仓库”，进入容器镜像服务控制台。在“我的镜像 > 自有镜像”中，单击已上传镜像的名称，在“镜像版本 ”页签的“下载指令”栏中即可获取镜像地址，单击 按钮即可复制该指令。 README.md 一个markdown文件，包括： 描述Chart提供的工作负载或服务。 运行Chart的前提。 解释values.yaml文件中的配置 安装和配置Chart的相关信息。 Chart.yaml 模板的基本信息说明。注：Helm v3版本apiVersion从v1切换到了v2。 .helmignore 设定在工作负载安装时不需要读取templates的某些文件或数据。

本文向您介绍训推智算服务平台操作类常见问题。 平台已预置的模型有哪些？ 进入模型服务模块，选择在线服务，点击【预置服务】，可以看到平台预置的模型，平台预置了多款等基础大模型，包括通义千问、Llama、ChatGLM 等系列，可以直接使用。不同的基础模型的参数和能力不同，我们将持续推出不同能力方向的模型。 平台提供的开发工具有哪些？ JupyterLab和Visual Studio Code (VSCode)。 GPU模型脚本如何迁移到昇腾NPU上？ 新建脚本train.py，写入以下原GPU脚本代码。 添加以下库代码。 plaintext import time import torch ...... import torchnpu from torchnpu.npu import amp 导入AMP模块 from torchnpu.contrib import transfertonpu 使能自动迁移 IDE无法打开图片或预览MD文件，该怎么办？ 无法在IDE打开图片或预览MD文件，这是由于浏览器设置问题，需要开启Chrome浏览器 的 unsafelytreatinsecureoriginassecure 功能。 进入Chrome Flag管理界面配置： chrome://flags/ unsafelytreatinsecureoriginassecure。 训推智算服务平台预置的镜像有哪些？ 进入智算资产模块，选择我的镜像，点击【系统内置镜像】，可以看到平台内置的镜像，包括PyTorch、TensorFlow等。 如果在自定义镜像列表看不到容器镜像服务分享过来的镜像，怎么办？ 请进行以下检查： 容器镜像服务所选区域与平台是不是同资源池。 截止时间是不是大于等于当前时间，超出截止时间后共享失效。 共享镜像状态是不是启用。

本文介绍如何创建配置项。 配置项是一种用于存储应用所需配置信息的资源类型，内容由用户决定。资源创建完成后，可在容器应用中加载使用。例如，在“数据卷”中加载资源文件，使其成为容器中的文件，或者在“环境变量”中加载，使其成为容器中的环境变量。 操作步骤 1.单击左侧导航栏的【配置中心】>【配置项】，单击【创建配置项】； 2.参照下表设置新增配置参数，其中带“”标志的参数为必填参数。输入完成后，单击【创建】； 参数 参数说明 集群 配置项所在集群 命名空间 配置项所在命名空间[]( 名称 新建配置项的名称，同一个命名空间里命名必须唯一 添加项/删除项 增加/删除一对键、配置项内容 键 配置项的键值。键值只能由字母、数字、句点、连字符和下划线组成 配置项内容 配置项的内容，通过上传文件/直接输入来表示 3.单击【创建】，等待创建成功，创建成功后，服务列表中会出现已创建的配置项，后续可进行编辑配置项、编辑YAML、删除配置项等操作。

本节介绍了云审计的用户指南。 操作场景 本服务现已对接天翼云++云审计++，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： ● 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 ● 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 ● 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 ● 用户通过云审计能查询到多久前的操作事件：7天。 ● 用户操作后多久可以通过云审计查询到数据：5分钟。 ● 其它限制请参考++使用限制云审计++。 操作步骤 1. 开通云审计服务。 参见++开通云审计服务云审计++。 2. 查看云审计事件。 参见++查看审计事件云审计++。 3. 在事件列表中，选择事件来源为“容器”，资源类型选择“云容器引擎”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考++用户指南、++++常见问题++。

本章节主要介绍如何使用函数流实现流式大文件处理。 背景与价值 Serverless Workflow由于自身可编排、有状态、持久化、可视化监控、异常处理、云服务集成等特性，适用于很多应用场景，比如： 复杂度高需要抽象的业务（订单管理，CRM 等） 业务需要自动中断 / 恢复能力，如多个任务之间需要人工干预的场景（人工审批，部署流水线等） 业务需要手动中断 / 恢复（数据备份 / 恢复等） 需要详细监控任务执行状态的场景 流式处理（日志分析，图片 / 视频处理等）当前大部分 Serverless Workflow 平台更多关注控制流程的编排，忽视了工作流中数据流的编排和高效传输，上述场景创建函数流触发器中，由于数据流相对简单，所以各大平台支持都比较好，但是对于文件转码等存在超大数据流的场景，当前各大平台没有给出很好的解决方案。FunctionGraph函数工作流针对该场景，提出了 Serverless Streaming 的流式处理方案，支持毫秒级响应文件处理。 技术原理 FunctionGraph函数工作流提出 Serverless Streaming 的流式可编排的文件处理解决方案，步骤与步骤之间通过数据流驱动，更易于用户理解。本章通过图片处理的例子解释该方案的实现机制。 如果需要驱动一个工作流执行，工作流系统需要处理两个部分： 控制流：控制工作流的步骤间流转，以及步骤对应的 Serverless 函数的执行。确保步骤与步骤之间有序执行。 数据流：控制整个工作流的数据流转，通常来说上一个步骤的输出是下一个步骤的输入，比如上述图片处理工作流中，图片压缩的结果是打水印步骤的输入数据。 在普通的服务编排中，由于需要精准控制各个服务的执行顺序，所以控制流是工作流的核心部分。然而在文件处理等流式处理场景中，对控制流的要求并不高，以上述图片处理场景举例，可以对大图片进行分块处理，图片压缩和加水印的任务不需要严格的先后顺序，图片压缩处理完一个分块可以直接流转到下一个步骤，而不需要等待图片压缩把所有分块处理完再开始加水印的任务。 基于上述理解，FunctionGraph工作流的 Serverless Streaming 方案架构设计如下图所示： 在 Serverless Streaming 的流程中，弱化控制流中步骤之间的先后执行顺序，允许异步同时执行，步骤与步骤之间的交互通过数据流驱动。其中数据流的控制通过 Stream Bridge 组件来实现。同时函数 SDK 增加流式数据返回接口，用户不需要将整个文件内容返回，而是通过 gRPC Stream 的方式将数据写入到 Stream Bridge，Stream Bridge 用来分发数据流到下一个步骤的函数 Pod 中。

可用性。支持高吞吐量的事件发布和消费；支持服务Serverless化和自动弹性伸缩，轻松应对突发流量；支持无状态实例，节点异常对服务无影响，服务可用性高。 易用性。支持无缝迁移上云，完全兼容CloudEvents 1.0；支持多种访问方式，包括控制台与CloudEvents SDK。支持接入多种应用程序，包括天翼云服务和自定义应用。 安全性。对接统一身份认证服务，支持通过天翼云账号向RAM用户授权。支持HTTP/HTTPS协议。

本章节主要介绍环境管理 环境概述 环境是用于应用组件部署和运行的计算、存储、网络等基础资源的集合。ServiceStage把相同VPC下的计算资源（如云容器引擎CCE）、网络资源（如弹性负载均衡ELB、弹性公网EIP等）和中间件（如分布式缓存DCS、微服务引擎CSE等）组合为一个环境，如：开发环境，测试环境，预生产环境，生产环境。 环境内网络互通，可以按环境维度来管理资源、部署服务，减少具体基础资源运维管理的复杂性。 同一个项目下，最多支持创建300个环境。 创建环境 在部署应用组件之前，您需要先创建环境。 操作步骤 1、登录ServcieStage控制台，进入“环境管理”，单击“创建环境”。 2、填写环境配置信息，其中带“”标志的参数为必填参数。 参数 参数说明 环境名称 环境的名称。 企业项目 设置企业项目。企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。开通企业项目后可以使用。 描述 环境说明信息。 单击 ，输入环境描述信息。 单击，保存描述。 虚拟私有云(VPC) 选择环境资源所在VPC。 新建VPC，请参考“帮助中心 > 虚拟私有云 > 用户指南 > 虚拟私有云和子网 > 虚拟私有云 > 创建虚拟私有云和子网”。 环境类型 根据应用组件部署方式，选择环境类型。 Kubernetes：适用于容器部署方式（云容器引擎部署），应用组件以容器镜像方式通过Kubernetes调度部署。 3、单击“立即创建”，完成环境创建。 环境创建完成后，进入环境详情页面，可以查看环境详情、进行环境资源配置等操作。

参数 参数类型 说明 示例 下级对象 ServerSideEncryptionConfiguration Container 服务器端加密规则的容器 Rule Rule Container 设置加密规则的容器 ApplyServerSideEncryptionByDefault ApplyServerSideEncryptionByDefault Container 设置服务端默认加密规则的容器 SSEAlgorithm SSEAlgorithm String 设置加密算法，支持AES256算法机密 AES256

业务场景 将 Redis 客户端部署到 CCSE 集群中，以通过 CCSE 连接到 Redis，并访问和操作 Redis 数据。 业务需求 1. 将 Redis 客户端容器化，以便更好地管理和部署。 2. 用 CCSE 提供的容器编排能力，实现高可用和负载均衡。 3. 确保 Redis 客户端能够安全地连接到 Redis，并正常地进行数据读写操作。 需求分析 1. 准备 Redis 客户端容器镜像，包含 Redis 客户端的依赖和配置。 2. 创建 CCSE 集群，配置网络和节点资源。 3. 部署 Redis 客户端容器到 CCSE 集群中。 4. 配置容器环境变量，指定连接 Redis 的相关信息。 5. 运行 Redis 客户端容器，并测试连接和数据操作功能。 实现方案 1. 准备 Redis 客户端容器镜像：创建一个 Dockerfile，并在其中指定 Redis 客户端的版本和依赖。例如： FROM redis:latest 配置客户端所需的其他依赖和配置 ... 2. 创建 CCSE 集群：在 CCSE 控制台创建一个集群，并配置网络和节点资源。根据实际需求选择合适的规格和数量。 3. 部署 Redis 客户端容器：使用 CCSE 控制台或命令行工具，在创建的 CCSE 集群中部署 Redis 客户端容器。指定前面准备的 Redis 客户端容器镜像。 4. 配置容器环境变量：在 Redis 客户端容器中配置连接 Redis 的环境变量，包括 Redis 服务器的地址、端口、密码等。例如，在容器启动时，设置以下环境变量 export REDISHOSTyourdcshost export REDISPORTyourdcsport export REDISPASSWORDyourdcspassword 5. 测试连接和数据操作：启动 Redis 客户端容器，并使用适当的客户端库和代码进行连接测试和数据操作。例如，使用 Java 语言的 Jedis 客户端库： import redis.clients.jedis.Jedis; public class RedisClientExample { public static void main(String[] args) { // 获取环境变量 String host System.getenv("REDISHOST"); int port Integer.parseInt(System.getenv("REDISPORT")); String password System.getenv("REDISPASSWORD"); // 创建 Jedis 客户端实例 Jedis jedis new Jedis(host, port); jedis.auth(password); // 进行数据操作 jedis.set("key", "value"); String value jedis.get("key"); System.out.println("Value: " + value); // 关闭连接 jedis.close(); } } 以上示例代码展示了如何使用 Java 的 Jedis 客户端库连接 Redis，并进行数据操作。您可以根据自己的需求和使用的编程语言选择适当的客户端库，并根据环境变量配置连接参数。 通过以上步骤，您可以将 Redis 客户端部署到 CCSE 集群容器中，并通过 CCSE 连接到Redis，实现对 Redis 数据的访问和操作。

本节主要介绍计费模式 应用编排服务目前免费使用。 AOS服务本身不收取任何费用，但在使用模板创建堆栈时，AOS会帮助您创建模板指定的云服务资源，其中部分云服务资源是收费的（例如云容器引擎、弹性云主机器ECS、云硬盘EVS等），您需要为这些云服务资源付费。具体收费以各云服务价格为准。