本小节介绍容器安全内容。 容器安全能够扫描镜像中的漏洞与配置信息，帮助企业解决传统安全软件无法感知容器环境的问题；同时提供容器进程白名单、容器文件监控、容器信息收集和容器逃逸检测功能，有效防止容器运行时安全风险事件的发生。

本节介绍了容器组的用户指南。 基本概念 容器组（Pod）是Kubernetes中最小的可部署单元。一个Pod（容器组）包含了一个应用程序容器（某些情况下是多个容器）、存储资源、一个唯一的网络IP地址、以及一些确定容器该如何运行的选项。Pod容器组代表了Kubernetes中一个独立的应用程序运行实例，该实例可能由单个容器或者几个紧耦合在一起的容器组成。 操作场景 Kubernetes集群中的Pod存在如下两种使用途径： 一个Pod中只运行一个容器。"onecontainerperpod" 是Kubernetes中最常见的使用方式。此时，您可以认为Pod容器组是该容器的wrapper，Kubernetes通过Pod管理容器，而不是直接管理容器。 一个Pod中运行多个需要互相协作的容器。您可以将多个紧密耦合、共享资源且始终在一起运行的容器编排在同一个Pod中，可能的情况有： 1、Content management systems,file and data loaders, local cache managers等 2、log and checkpoint backup,compression, rotation, snapshotting等 3、data change watchers, logtailers, logging and monitoring adapters, event publishers等 4、proxies, bridges, adapters等 5、controllers, managers,configurators, and updaters 您可以在云容器引擎中方便的管理容器组（Pod），如查看YAML、远程登录、销毁重建等操作。 前提条件 您需要存在一个可用集群，若没有可用集群，请参照集群开通中内容创建。 操作步骤及说明 1、查看YAML 1)登录云容器引擎控制台，在左侧导航栏中选择“工作负载 > 容器组” 2)单击实例列表中后的“查看YAML” 2、销毁重建 1)登录云容器引擎控制台，在左侧导航栏中选择“工作负载 > 容器组” 2)单击实例列表中后的“销毁重建 请仔细阅读系统提示，删除操作无法恢复，请谨慎操作。 说明 若Pod所在节点不可用或者关机，负载无法删除时可以在详情页面实例列表选择强制删除。请确保要删除的存储没有被其他负载使用，导入和存在快照的存储只做解关联操作。 3、远程登录 1)登录云容器引擎控制台，在左侧导航栏中选择“工作负载 > 容器组” 2)单击实例列表中后的“远程登录” 3)在弹出的对话框中点击“登录”

操作步骤 1.检查待纳管的云主机是否具备独立数据盘，且首块数据盘未被分区或格式化。独立数据盘非强制要求，但若缺失，容器数据将默认存储于系统盘。 2.若首块数据盘已被分区或格式化，可先备份数据，再使用以下命令擦除磁盘： plaintext wipefs a 3.登录云容器引擎控制台，进入要纳管节点的集。 4.在集群控制台左侧导航栏中选择“节点 ”，切换至“节点”页签并点击“纳管节点”。 5.点击选择“已有的服务器 ”，选择待纳管的云服务器，点击"确定"。 6. 选择“操作系统 ”，填写“登录密码 ”以及“确认密码 ”，再根据需要填写高级配置：节点标签 、节点污点 、部署前/后执行脚本. 7. 单击“下一步 ”，并单击“提交”。 重复纳管 出于数据安全考虑，节点纳管时会跳过已格式化或分区的磁盘。当对主机执行"纳管移除再次纳管"操作时，容器数据将直接存储于系统盘，而非数据盘。 可通过以下步骤使容器数据落于数据盘。 1.登录云主机控制台访问云主机。 2.定位云容器引擎使用的数据盘： 若主机仅有一块数据盘，直接执行步骤3。 若有多块磁盘，容器引擎一般会选择位于系统盘之上（即倒数第二块）的磁盘作为容器数据盘，或通过磁盘类型、容量信息定位磁盘的盘符。 云盘列表中显示的是云盘的名称和id，云盘挂载到os时会自动分配磁盘设备名称，可以使用云盘id前缀查找到云盘的设备名称。 登录到操作系统，可通过如下指令查到云盘在os中的设备名称。 3.检查云盘是否已经被格式化。 可以使用步骤2找到的磁盘设备名称，使用blkid指令检查结果。 plaintext blkid grep nvme1n1 若发现磁盘已经被格式化，则执行wipefs a指令擦除。 4.在云容器引擎控制台执行节点纳管操作。

操作步骤 1.检查待纳管的云主机是否具备独立数据盘，且首块数据盘未被分区或格式化。独立数据盘非强制要求，但若缺失，容器数据将默认存储于系统盘。 2.若首块数据盘已被分区或格式化，可先备份数据，再使用以下命令擦除磁盘： plaintext wipefs a 3.登录云容器引擎控制台，进入要纳管节点的集。 4.在集群控制台左侧导航栏中选择“节点 ”，切换至“节点”页签并点击“纳管节点”。 5.点击选择“已有的服务器 ”，选择待纳管的云服务器，点击"确定"。 6. 选择“操作系统 ”，填写“登录密码 ”以及“确认密码 ”，再根据需要填写高级配置：节点标签 、节点污点 、部署前/后执行脚本. 7. 单击“下一步 ”，并单击“提交”。 重复纳管 出于数据安全考虑，节点纳管时会跳过已格式化或分区的磁盘。当对主机执行"纳管移除再次纳管"操作时，容器数据将直接存储于系统盘，而非数据盘。 可通过以下步骤使容器数据落于数据盘。 1.登录云主机控制台访问云主机。 2.定位云容器引擎使用的数据盘： 若主机仅有一块数据盘，直接执行步骤3。 若有多块磁盘，容器引擎一般会选择位于系统盘之上（即倒数第二块）的磁盘作为容器数据盘，或通过磁盘类型、容量信息定位磁盘的盘符。 云盘列表中显示的是云盘的名称和id，云盘挂载到os时会自动分配磁盘设备名称，可以使用云盘id前缀查找到云盘的设备名称。 登录到操作系统，可通过如下指令查到云盘在os中的设备名称。 3.检查云盘是否已经被格式化。 可以使用步骤2找到的磁盘设备名称，使用blkid指令检查结果。 plaintext blkid grep nvme1n1 若发现磁盘已经被格式化，则执行wipefs a指令擦除。 4.在云容器引擎控制台执行节点纳管操作。

维度 弹性文件服务 对象存储 云硬盘 概念 弹性文件服务提供了一个高度可扩展的文件系统，可在云环境中共享文件数据。具有高可用性、持久性和可靠性。 对象存储具有高度的可扩展性和耐久性，可以存储任意类型的海量数据，并且能够自动处理数据冗余、故障恢复和数据分发。 云硬盘提供了高性能、低延迟、可扩展的块级存储。云硬盘可以被挂载到弹性云主机或物理机上，使其能够持久化地存储数据。 存储方式 弹性文件服务采用文件存储方式。文件存储将数据组织为层次化的目录和文件结构，用户可以通过文件路径和名称来操作文件和目录。 对象存储将数据存储为独立的对象。每个对象由数据本身和与之相关的元数据（例如文件名、文件类型、大小等）组成。 云硬盘采用块存储方式。块存储将数据分为固定大小的块（通常为几KB或几MB），并通过唯一的块地址进行访问。 访问方式 弹性文件服务通过网络共享的方式进行访问。用户可以在需要的弹性云主机实例或容器实例上挂载文件系统，并通过标准的文件系统接口（如NFS、SMB等）访问共享的文件系统。 对象存储需要指定桶地址，通过HTTP或HTTPS等传输协议进行访问。 云硬盘类似于PC机的硬盘，无法单独使用，通常通过挂载（Mount）的方式来访问。它可以被挂载到弹性云主机或物理机上，使其在操作系统中可见。 适用场景 如应用程序的配置文件、日志文件等需要共享的文件数据以及在容器化应用中支持多个容器实例之间的数据共享和同步。 如大数据分析，数据湖，数据备份和归档等大规模数据存储和分析场景；静态网站托管解决方案存储。 如作为弹性云主机或物理机的数据存储介质进行数据存储和持久化；大规模数据处理与分布式计算等高性能计算场景。 容量 弹性文件服务可按需扩展，单文件系统容量默认最大为32TB。如需更大容量的文件系统，可提工单申请。 对象存储服务没有容量限制，存储资源可无限扩展。 云硬盘支持按需扩容，最小扩容步长为1 GB，单个云硬盘可由10 GB扩展至32 TB。 是否支持数据共享 是 是 是 是否支持远程访问 是 是 否

本节介绍了:节点容器运行时的用户指南。 容器运行时介绍 容器运行时是负责管理节点上容器的生命周期。Kubernetes通过 Kubelet 的 Container Runtime Interface（CRI）与容器运行时交互，控制容器的创建与管理。 基于 Containerd性能更好、更稳定、占用资源更少等优点，云容器引擎选择 Containerd作为容器运行时的解决方案。 云容器引擎早期在 Kubernetes v1.23上还支持选择 Docker，当前则需提工单申请，未来会移除对 Docker的支持，强烈建议您使用 Containerd或迁移到 Containerd。 云容器引擎选择 Containerd作为容器运行时的解决方案，对比 Docker，Containerd的优点如下： 1. 调用链更短 Containerd： Kubelet > CRI plugin（在 Containerd中）> Containerd Docker： K8s v1.23及以下版本：Kubelet > Dockershim（在 Kubelet中）> Docker > Containerd K8s v1.24及以上版本：Kubelet > cridockerd > Docker > Containerd 2. CPU和内存占用更少 3. 稳定性和安全性更好 4. Pod 启动更快 Containerd 和 Docker的常用命令对比 Containerd 支持两种命令行工具：ctr和 crictl。其中，ctr是 Containerd 的客户端工具，crictl是兼容 CRI 的容器运行时的命令行工具。crictl 可以用来检查和调试 Kubernetes节点上容器运行时和应用程序。 操作 Docker crictl ctr 上传镜像 docker push crictl push ctr n k8s.io i push 拉取镜像 docker pull crictl pull ctr n k8s.io i pull 查看镜像详情 docker inspect crictl inspecti 无 列出本地镜像列表 docker images crictl images ctr n k8s.io i ls 删除本地镜像 docker rmi crictl rmi ctr n k8s.io i rm 创建容器 docker create crictl create crt n k8s.io c create 启动容器 docker start crictl start crt n k8s.io run 连接容器 docker attach crictl attach 无 进入容器 docker exec crictl exec 无 查看容器详情 docker inspect crictl inspect crt n k8s.io c info 查看容器日志 docker logs crictl logs 无 查看容器资源使用情况 docker stats crictl stats 无 更新容器资源限制 docker update crictl update 无 停止容器 docker stop crictl stop 无 列出容器列表 docker ps crictl ps crt n k8s.io c ls 删除容器 docker rm crictl rm crt n k8s.io c del 启动 Pod 无 crictl start 无 运行 Pod 无 crictl runp 无 查看 Pod详情 无 crictl inspectp 无 停止 Pod 无 crictl stopp 无 列出 Pod列表 无 crictl pods 无 删除 Pod 无 crictl rmp 无

使用海量文件静态存储卷，即使用预先在海量文件服务控制台已创建文件系统，通过手动创建PV指定已有文件系统，创建PVC时使用已有PV的方式，实现容器内挂载海量文件。 该模式下需要用户自建文件系统及PV资源，一定程度上增加操作和管理复杂性，一般推荐使用动态创建存储的方式。 sharePath模式是指将完整的海量文件存储作为持久卷使用。当用户挂载持久卷声明时，海量文件的根目录会被挂载到容器中。 前提条件 已创建容器集群 已在插件市场安装存储插件cstorcsi，插件版本>3.6.0，且插件正常运行。（建议使用>4.0的CSI版本） 已在海量文件服务控制台创建文件系统 已建文件系统VPC需要包括容器集群所属VPC，如没有，在文件系统列表页，针对指定实例点击“添加VPC” 使用限制 参见海量文件使用限制 通过控制台使用海量文件静态存储卷 1、创建持久卷（PV） 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“存储”——“持久卷”，单击左上角“创建持久卷”； 在创建对话框，配置持久卷PV的相关参数。配置项说明如下： 配置项 说明 名称 PV的名称，以pvc开头。 持久卷类型 当前支持云盘、弹性文件、对象存储、并行文件、海量文件，这里选择海量文件。 具体创建页中展示的存储类型由当前资源池支持情况决定。 存储驱动 采用默认CSI驱动。 访问模式 单机读写（ReadWriteOnce）：卷可以被一个节点以读写方式挂载。 多机只读（ReadOnlyMany）：卷可以被多个节点以只读方式挂载。 多机读写（ReadWriteMany）：卷可以被多个节点以读写方式挂载。 海量文件名称 选择已创建的文件系统。 已有存储类 选择存储类，该功能一般在静态的方式下不怎么使用。 除非用户有一个持久卷申明并且携带了存储类，那么这里才需要添加存储类，使其与持久卷申明匹配。 模式 使用已有海量文件：基于已经存在的海量文件，使用海量文件本身作为一个持久卷。 使用海量文件子目录：基于某个已经存在的海量文件，使用它的子目录作为一个持久卷。 挂载选项 挂载参数，用户可根据自己的情况实际定制相关参数。 注意 请务必在挂载时使用noresvport参数，该参数可以在网络故障时自动切换端口，保障网络连接，防止文件系统卡住。挂载参数的说明参见 查看这里 标签 用于对 PV 对象进行标记和分类的元数据属性，可以赋予 PV 以自定义的属性或标识。 说明 静态导入场景下，回收策略均为默认Retain，cstorcsi不会删除数据。 参数配置完成后，点击“确定”。创建成功后，可以在持久卷列表查看，此时PV状态为“可用”。

本文介绍ECI实例如何设置容器环境变量。 ECI实例支持为容器配置环境变量信息，可按需在容器运行环境中设定一个变量。 配置说明 1.在弹性容器实例控制台左侧导航栏中选择“容器组”，进入容器组列表页。 2.点击“创建弹性容器组”，进入弹性容器实例订购页。 3.在容器设置的高级设置中设置环境变量。

本文介绍如何开启容器审计功能。 在容器安全列表内，可以查看审计功能是否已开启。若操作列中开启审计字体为“灰色”，表示审计功能暂不可用，需要先开启该功能；若为“红色”，则表示审计功能可用。 集群开启审计功能 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“安装配置 > 组件安装”，进入组件安装页面。 3. 单击集群列表操作列的“集群组件配置”，进入集群全局设置页面。 4. 开启容器审计功能，单击“保存”。 容器开启审计功能 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“容器安全 > 实时检测”，进入实时检测页面。 3. 在容器列表操作列单击“开启审计”，或勾选多个容器，单击列表右上方的“开启审计”，批量为容器开启审计功能。 配置容器审计 配置“容器调查审计信息保留时间”或“容器调查审计信息保留容量”。详细操作请参见容器设置。

本文主要介绍数据盘空间分配说明。 本章节将详细介绍节点数据盘空间分配的情况，以便您根据业务实际情况配置数据盘大小。 在创建节点时，您需要配置节点数据盘，且数据盘容量不小于100G。您可“单击展开高级配置”，自定义节点数据盘的空间分配。 自定义容器引擎空间大小说明]：CCE 将数据盘空间划分为两块：一块用于存放容器引擎 (Docker/Containerd) 工作目录、容器镜像的数据和镜像元数据；另一块用于Kubelet组件和EmptyDir临时存储等。容器引擎空间的剩余容量将会影响镜像下载和容器的启动及运行。 容器引擎和容器镜像空间（默认占90%）：用于容器运行时工作目录、存储容器镜像数据以及镜像元数据。 Kubelet组件和EmptyDir临时存储（默认占10%）：用于存储Pod配置文件、密钥以及临时存储EmptyDir等挂载数据。 自定义Pod容器空间大小：即容器的basesize设置，每个工作负载下的容器组 Pod 占用的磁盘空间设置上限（包含容器镜像占用的空间）。合理的配置可避免容器组无节制使用磁盘空间导致业务异常。建议此值不超过容器引擎空间的 80%。该参数与节点操作系统和容器存储Rootfs相关，部分场景下不支持设置。

命名空间保密字典用于存储应用运行所需的各种配置信息。通过配置项，用户可以灵活管理应用在容器中的运行环境，支持多种注入方式： 环境变量：配置项可在容器中作为环境变量使用，方便在应用部署后随时调整配置。 命令行参数：可通过启动命令将配置项传入应用，实现即时配置。 挂载配置文件 ：配置项可写入文件并挂载到容器中，便于集中管理和动态更新配置。 本章节将详细说明如何在 云应用引擎控制台中创建命名空间的配置项，并展示如何在应用中使用这些配置，实现高效的配置管理与灵活部署。 创建保密字典功能入口 1. 登录 CAE 控制台。 2. 在左侧导航栏选择配置管理 > 保密字典，进入保密字典管理页面。 3. 单击创建 ，在弹出的创建保密字典 面板，根据需求选择不同的保密字典类型，并根据下表说明完成参数配置 ，然后单击确认。 说明 在创建保密字典时，您可以根据需要存放的信息选择不同的类型： Opaque类型：Opaque 是默认的 Secret 类型，适用于存储各类没有特定格式的敏感信息，如密码或API密钥。当您需要存储一些自定义格式的敏感信息时，Opaque 类型提供了灵活性，让您可以以键值对的形式自由地保存所需的数据。 TLS证书类型：这种类型专门用于存储 TLS 证书相关的数据，当您的服务需要启用 HTTPS 访问时，可以使用这种类型的 Secret 来保存和管理 TLS 证书，以确保在 CAE 环境中的 Pod 中使用，确保数据传输的安全性。 私有镜像仓库登录密钥类型：这种类型适用于存储访问私有容器镜像仓库的凭证，使得 Kubernetes 在拉取私有镜像时能够进行身份验证。如果您的应用使用的容器镜像存储在私有仓库中，您需要提供凭证才能访问这些镜像。在这种情况下，该类型的 Secret 用于存储仓库用户名和密码或访问令牌，确保 CAE 在部署应用时能够拉取到私有镜像。

本文介绍如何隔离容器。 支持将存在异常的Pod进行隔离，被隔离的Pod将不允许与其他资源进行通信。 注意事项 特权容器、节点启动容器、安全容器、pause应用类型容器暂不支持隔离。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 实时检测”，进入容器实时检测页面。 3. 单击容器列表右侧操作列中的“隔离Pod”。 4. 在弹出的对话框中，输入说明信息。 5. 单击“确认”，隔离容器。

系统技术栈版本名称 技术栈类型 部署方式 1.0.0j180jar SPRINGCLOUD Ecs部署、容器部署 1.0.0j180t818war SPRINGCLOUD Ecs部署、容器部署 1.0.0j180jar DUBBO Ecs部署、容器部署 1.0.0j180t818war DUBBO Ecs部署、容器部署 1.24.0staticresourcetar STATICRESOURCE Ecs部署 1.0.0staticresourceimage STATICRESOURCE 容器部署 1.0.0j180t704jar TONGWEB 容器部署 1.0.0j180t704war TONGWEB 容器部署 1.0.0phpimage PHP 容器部署 1.0.0rocketMqimage ROCKETMQ 容器部署 1.0.0postgreSqlimage POSTGRESQL 容器部署 1.0.0zookeeperimage ZOOKEEPER 容器部署 1.0.0mongoDbimage MONGODB 容器部署 1.0.0nginximage NGINX 容器部署 1.0.0nodeJsimage NODEJS 容器部署 1.0.0mysqlimage MYSQL 容器部署 1.0.0redisimage REDIS 容器部署 1.0.0kafkaimage KAFKA 容器部署 1.0.0oracleimage ORACLE 容器部署 1.0.0hadoopimage HADOOP 容器部署 1.0.0springBootimage SPRINGBOOT 容器部署 1.0.0tomcatimage TOMCAT 容器部署 1.0.0pythonimage PYTHONRUNTIME 容器部署 1.0.0goimage GO 容器部署 1.0.0cimage C 容器部署 1.0.0c++image C++ 容器部署 1.0.0cimage C 容器部署

一站式整合天翼云云产品 无缝集成云容器引擎，微服务引擎、应用性能监控和云日志服务等云产品能力，轻松一站式管理业务应用，提供更好用的工具链，应用异常采集，关联调用链和日志，帮助快速定位应用故障。

基本信息 负载类型：选择守护进程DaemonSet。工作负载类型的介绍请参见工作负载概述。 负载名称：填写工作负载的名称。 命名空间：选择工作负载的命名空间，默认为当前进入的命名空间。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。 时区同步：选择是否开启时区同步。开启后容器与节点使用相同时区（时区同步功能依赖容器中挂载的本地磁盘，请勿修改删除），时区同步详细介绍请参见时区同步。 说明 DaemonSet负载没有实例数量的配置。 容器配置 Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 容器名称：为容器命名。 镜像更新策略：选择是否总是拉取镜像。 镜像名称：选择容器使用的镜像，支持多种镜像来源。 镜像版本：选择需要部署的镜像版本。 资源配额：配置 CPU 和内存的申请值和限制值。 初始化容器：选择是否作为初始化容器。 生命周期：配置容器生命周期的特定操作。 健康检查：设置存活探针、就绪探针及启动探针。 环境变量：设置容器运行环境的变量。 数据存储：挂载本地存储或云存储。 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。请输入用户ID，容器将以当前用户权限运行。 镜像访问凭证：选择访问镜像仓库的凭证。

标签名 标签值 MSEAPPNAME 接入到微服务治理中心的应用名。 MSENAMESPACE（选填） 接入到微服务治理中心的命名空间，默认为：default。如需环境规划可在微服务治理中心控制台>应用治理>应用接入>云容器引擎>环境规划页面获取。 MSGCPROJECT（选填） 接入到微服务治理中心的项目，默认为：default。如需环境规划可在微服务治理中心控制台>应用治理>应用接入>云容器引擎>环境规划页面获取。 MSGCGROUP（选填） 接入到微服务治理中心的分组，默认为：default。如需环境规划可在微服务治理中心控制台>应用治理>应用接入>云容器引擎>环境规划页面获取。

采用天翼云主机的DNS配置 当Pod不需要访问集群内的其他服务，只需要通过云主机DNS来做解析，也不希望DNS解析经过CoreDNS，可以采用Default策略，示例配置如下： apiVersion: v1 kind: Pod metadata: name: nginxdemo namespace: default spec: containers: image: registryvpcgzsyj.crs.ctyun.cn:30015/library/nginxphoton:v1.8.6 name: demo imagePullPolicy: Always name: alpine dnsPolicy: Default 在HostNetwork网络模式下访问集群服务 当Pod使用hostNetwork作为容器网络，此时若需解析集群内Service域名，可使用ClusterFirstWithHostNet策略，示例配置如下： apiVersion: v1 kind: Pod metadata: name: nginxdemo namespace: default spec: hostNetwork: true dnsPolicy: ClusterFirstWithHostNet containers: image: registryvpcgzsyj.crs.ctyun.cn:30015/library/nginxphoton:v1.8.6 name: demo 使用HostAliases配置容器Pod的/etc/hosts 当需要配置Pod的静态域名解析，可声明HostAliases字段，以修改Pod内/etc/hosts，示例配置如下： apiVersion: v1 kind: Pod metadata: name: hostaliasespod spec: hostAliases: ip: "127.0.." hostnames: "foo.local" "bar.local" ip: "10.1.." hostnames: "foo.remote" containers: image: registryvpcgzsyj.crs.ctyun.cn:30015/library/nginxphoton:v1.8.6 name: demo command: cat args: "/etc/hosts" Pod启动后，/etc/hosts文件会被添加如下内容： Kubernetesmanaged hosts file. 127.0.. localhost ::1 localhost ip6localhost ip6loopback fe00::0 ip6localnet fe00::0 ip6mcastprefix fe00::1 ip6allnodes fe00::2 ip6allrouters 10.200.. hostaliasespod

本文为您介绍容器安全卫士的产品定义及安全能力。 容器安全卫士是作用于容器集群的安全防护产品，提供了对容器环境下，业务动态及静态安全风险的事前发现、事中预警、事后溯源的安全闭环。可方便快捷的解决业务容器化后带来的安全问题。 容器安全卫士产品主要安全能力包括：深度资产清单、实时风险发现、快速安全防护、及时事后溯源。 深度资产清单 对容器集群等基础资产可进行自动清点，在此基础上，还会进一步识别容器进程、容器挂载、容器端口、容器软件等深度资产信息，并会进行全资产的关联，便于分析。 实时风险发现 针对静态风险，会识别漏洞、恶意文件、软件许可、风险软件、敏感信息等全面的风险。针对动态风险，采用触发式的方式，实时监测业务产生的所有行为，并进行智能研判，快速预警。 快速安全防护 基于相关能力可快速定位风险影响范围，同时提供详细的风险信息，帮助用户对风险进行判断，确定风险后，可立即进行加白、隔离等快速安全防护处置。 及时事后溯源 由于容器特性，在容器消逝后，运行过程中的行为数据不再保留。容器安全卫士不但会记录正在运行业务的容器及相关信息，对已经消逝的容器也会对其详细行为信息进行保留，以防止事后发现安全事件无法溯源的问题。

本章节介绍如何通过镜像部署微服务应用到容器 概述 在微服务云应用平台中接入您的应用进行发布，所支持的介质类型大体上可分为制品（JAR/WAR/TAR包等）、镜像等，您可以按实际需求选择接入的方式。 本文介绍如何通过镜像部署微服务应用到容器。 通过镜像部署微服务应用到容器 前提条件 1. 您已开通微服务云应用平台 2. 您已订购一个云容器引擎实例 3. 您已订购一个nacos注册中心实例 创建环境和导入资源 在左侧导航栏，选择环境管理。在环境列表左上角点击创建环境。环境创建好后，将云容器引擎和nacos注册中心导入到环境中。 创建项目和应用 在左侧导航栏，选择应用列表。在应用列表点击新增项目。展开新增完成的项目，在应用管理下创建应用，技术栈选择 SpringCloud。 项目关联环境 展开项目，在环境管理下将步骤1创建的环境关联上。 创建容器应用实例并部署 基本信息 项目/应用：步骤2创建的应用 应用实例名称：无需修改，使用默认名称即可 技术栈版本：选择1.0.0j180jar 接入方式：选择镜像 应用实例版本：无需修改，使用默认版本即可 企业项目：选择default 部署配置 选择集群：选择步骤1导入到环境中的云容器引擎 镜像类型：选择Demo镜像（支持自购镜像仓库、Demo镜像和MSAP仓库镜像） 选择镜像：选择springcloudprovidernacos.jar镜像使用1.0.0版本 完成以上信息填写后，点击下一步进入到预览页面，确认信息无误后，点击创建按钮，完成应用实例创建。 应用实例创建完成后，直接点击查看实例详情按钮，到实例详情页面。点击上方发布应用实例按钮，进入到应用发布界面。点击右下角发布按钮，进入到发布单详情界面。等待发布单完成初始化后再点击发布按钮进行应用发布。应用开始发布后，可点击应用实例发布单，查看应用发布具体信息。

网络模型为集群内Pod分配IP地址并提供网络服务，CCE支持容器隧道网络、VPC网络，你可在创建集群时进行选择。 选择网络模型 下表介绍了CCE所支持的网络模型，您可根据实际业务需求进行选择。 说明： 集群创建成功后，网络模型不可更改，请谨慎选择。 表网络模型对比 对比维度 容器隧道网络 VPC 网络 数据面依赖 OVS IPVlan，VPC路由 适用集群 CCE集群 虚机集群 CCE集群 虚机集群 是否支持网络策略 （networkpolicy） 是 否 IP地址管理 IP地址可迁移 每个节点分配一个小子网。 在VPC Router上添加静态路由，下一跳为节点IP。 网络性能 基于vxlan隧道封装，有性能损耗。 无隧道封装，性能好，媲美主机网络。 跨节点通过VPC Router转发。 组网规模 最大可支持2000节点 受限VPC路由表能力。 外部依赖 无 依赖VPC Router静态路由表能力。 适用场景 一般容器业务场景。 对网络时延、带宽要求不是特别高的场景。 对网络时延、带宽要求高。 容器与虚机IP互通，使用了微服务注册框架的，如Dubbo、CSE等。 说明： VPC网络集群实际支持规模受限于VPC的路由表路由条目配额，创建前请提前评估集群规模。 VPC网络模型默认支持容器与同一VPC的虚拟机直接互访，与其他VPC的主机在配置对等连接策略后可以支持直接互访。此外，云专线/VPN等混合组网场景在合理规划后可以支持对端直接与容器互访。

本章主要介绍共享私有镜像 操作场景 镜像上传后，您可以共享私有镜像给其他帐号，并授予下载该镜像的权限。 被共享的用户需要登录容器镜像服务控制台，在“我的镜像 > 他人共享”页面查看共享的镜像。被共享的用户单击镜像名称，可进入镜像详情页面查看镜像版本、下载指令等。 约束与限制 仅具备该私有镜像管理权限的IAM用户才能共享镜像，被共享者只有只读权限，只能下载镜像。 镜像共享功能只能在同一区域内使用，不支持在不同区域间镜像共享。 一个私有镜像最多可以共享给500个租户。 操作步骤 步骤 1 登录容器镜像服务控制台。 步骤 2 在左侧导航栏选择“我的镜像”，单击右侧镜像的名称。 步骤 3 在镜像详情页面选择“共享”页签。 步骤 4 单击“共享镜像”，根据下表填写相关参数，然后单击“确定”。 图 共享镜像 表 共享镜像 参数 说明 共享给 输入帐号名称。 截止日期 选择共享截止日期。如勾选“永久有效”，则共享永久有效。 描述 输入描述，01000个字符。 权限 当前仅支持“下载”权限。 步骤 5 共享完成后，您可以在“我的镜像 > 自有镜像”中，勾选“我共享的镜像”，查看所有共享的镜像。

本章节介绍云容器集群Pod进程停止故障演练。 背景介绍 在 CCE 中，Pod 容器内进程若意外终止，可能导致业务中断和 Pod 重建。本演练模拟进程终止，评估系统容错及自愈与告警能力。 基本原理 通过kill 9停止节点上的指定进程。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的pod列表。 5. 在弹出的对话框中，单击添加pod。 6. 勾选您希望进行故障演练的一个或多个pod ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎Pod。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎Pod实例。 添加故障动作 ：单击立即添加 ，在列表中选择进程停止动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 进程关键词：例如nginx。 停止进程的方式：强制结束表示使用 SIGKILL (信号9)，优雅结束表示使用 SIGTERM (信号15) 容器选择模式：选择攻击pod中容器，可以“按资源定义的首个容器”，也可以“指定容器名称”，当选择指定容器名称时，需要输入容器的名称。 容器名称：填写攻击目标的容器名

本节主要介绍设置ServiceStage依赖服务的权限 设置CCE命名空间权限 由于IAM只能给ServiceStage用户组授予CCE集群相关资源的普通操作权限，不包括集群（启用Kubernetes RBAC鉴权）的命名空间权限，需要在CCE集群单独设置CCE的命名空间权限。 CCE的命名空间权限设置方法，请参考“帮助中心 > 云容器引擎 > 用户指南 > 权限管理”。 设置CTS服务权限 通过IAM给ServiceStage设置权限后，对于ServiceStage依赖的CTS服务并不会生效，需要单独设置CTS服务权限。 CTS服务权限设置方法，请参考“帮助中心 > 云审计服务 > 用户指南 > 权限管理”。

本章节介绍如何使用K8s配置项替换配置文件 概述 当您选择使用Kubernetes进行容器化部署时，可以使用配置项去保存一些不需要加密的配置信息，如JVM堆内存、JVM属性参数等，在创建或者部署应用时，系统会自动将配置信息直接注入到容器中。 在微服务云应用平台场景下，这种配置管理方式变得更加灵活和强大。微服务云应用平台不仅支持上述的配置注入，还允许您将配置项以文件的形式直接挂载到容器内的指定目录。这意味着，除了能够动态调整应用的运行参数外，您还可以确保这些配置信息以文件的形式存在，这不仅方便了日常的管理和维护工作，也使得在需要时更新配置或进行故障排查变得更为直观和高效，从而显著提升了整体的运维体验和工作效率。 前提条件 1. 您已开通微服务云应用平台 2. 您已订购一个云容器引擎实例 常用使用场景 覆盖目录下已经存在的文件 这里以常用的nginx镜像举例，在官方的nginx镜像中，/etc/nginx目录下的nginx.conf文件是需要配置的，并且在不同的环境下，该文件内容也不相同。此时，可以使用将配置项以文件形式挂载到容器指定目录下，覆盖原文件，来实现不同环境使用不同配置的效果。 首先需要创建K8s配置项，左侧导航栏，选择容器应用实例 > Kubernetes配置，进入到配置列表，点击左上角创建配置项。需要注意的是：配置项下的键值对映射，键是文件名称，值为文件内容。 挂载配置项，左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。在应用实例列表选择需要覆盖的应用，进入应用详情界面，点击上方新增版本按钮，进入应用配置界面，在配置管理模块下配置文件挂载。 在配置管理中，可以通过挂载文件的方式，向容器中注入配置信息。需要注意的是，在挂载文件路径中，需要填写到文件名称。如下图所示： 参数 描述 配置类型 目前只支持配置项。 挂载类型 挂载到文件。 挂载源 挂载到应用容器文件系统中的配置项的名称。 挂载主目录 设置容器的挂载主目录，必须以斜杠（/）开头。 文件挂载方式 保留原文件：保留原目录下的文件，添加本次挂载文件。注意，相同文件名将保留本次挂载文件，隐藏原目录重名文件。 挂载配置 要挂载的Key：需要挂载到应用容器文件系统中的配置项指定的Key。挂载文件路径：相对挂载主目录的子路径。

本节介绍风险阻断的用户指南。 概述 通过风险阻断功能，配置阻断规则以及可放通的规则和漏洞白名单，能够在拉取镜像时检查容器镜像是否符合阻断策略，并采取阻断措施，返回相关阻断说明。提高容器运行环境的安全系数。 添加风险阻断策略 本功能只能在企业版实例使用，对于个人版实例不支持使用此功能。 1. 进入容器镜像服务控制台。 2. 在顶部菜单栏，选择所需资源池。 3. 在实例页面中选择已开通的企业版实例。 4. 在企业版实例管理页面的左侧菜单上选择 "安全可信" "风险阻断"，在界面左上角点击“配置阻断策略”按钮。 5. 在弹出界面中设置策略所属命名空间、阻断规则、放通未扫描和漏洞白名单等信息，点击“确定”，各参数说明如下： 参数 是否必填 说明 命名空间 必填 本策略关联的命名空间，凡是此命名空间下的所有镜像拉取都会使用当前策略进行检查。 阻断规则 必填 可选项包括：严重、高危、中危和低危。凡是所拉取的镜像包含规则指定漏洞等级及以上的，则会被阻断拦截。 放通未扫描 非必填 当所拉取的镜像因正在扫描或者扫描失败而无法获取扫描结果的，需要勾选此选项方可正常拉取，否则仍然会被阻断拦截。 漏洞白名单 非必填 可录入一条或多条漏洞的CVE ID（多条用英文逗号“,”分隔），如果镜像安全扫描结果中包含该漏洞ID，将被阻断规则忽略。

约束与限制 如果IP经过NAT，则只能获取到NAT转化后的IP地址，无法获取到NAT转化前的IP地址。 如果客户端为容器，只能获取到容器所在主机的IP地址，无法获取容器的IP。 四层监听器（TCP/UDP）开启“获取客户端IP”功能之后，不支持同一台服务器既作为后端服务器又作为客户端的场景。 独享型负载均衡的四层监听器（TCP/UDP）默认开启源地址透传功能，无需手动开启，且不支持关闭。 说明 如果客户端经过WAF+ELB访问服务器，则还可以通过WAF直接获取客户端真实IP。 七层服务 针对七层服务（HTTP/HTTPS协议），需要对应用服务器进行配置，然后使用XForwardedFor的方式获取来访者的真实IP地址。 实的来访者IP会被负载均衡放在HTTP头部的XForwardedFor字段，格式如下： XForwardedFor: 来访者真实IP, 代理服务器1IP, 代理服务器2IP, ... 当使用此方式获取来访者真实IP时，获取的第一个地址就是来访者真实IP。 配置Apache服务器 1. 安装Apache 2.4。 例如在CentOS 7.5环境下，可以执行如下命令执行安装： yum install httpd 2. 修改Apache的配置文件/etc/httpd/conf/httpd.conf，在最末尾添加以下配置信息。 LoadModule remoteipmodule modules/modremoteip.so RemoteIPHeader XForwardedFor RemoteIPInternalProxy 100.125.0.0/16 图 修改Apache的配置文件示例图 说明 将代理服务器的网段添加到 RemoteIPInternalProxy 。 共享型负载均衡需要添加的IP地址段为 100.125.0.0/16（100.125.0.0/16 是负载均衡服务保留地址，其他用户无法分配到该网段内，不会存在安全风险）和高防IP地址段。多个IP地址段用逗号分隔。 独享型负载均衡需要添加ELB实例关联的VPC子网网段。 3. 修改Apache的配置文件/etc/httpd/conf/httpd.conf，将日志输出格式修改为如下所示（%a代表源IP地址）： LogFormat "%a %l %u %t "%r" %>s %b "%{Referer}i" "%{UserAgent}i"" combined 4. 重启Apache。 systemctl restart httpd 5. 查看httpd的访问日志，您可以获取真实的来访者IP。

操作步骤及说明 步骤 1 登录云容器引擎控制台。 步骤 2 单击集群名称进入集群，在左侧选择“工作负载”，选择“有状态”，在右上角单击“创建StatefulSet”。 步骤 3 配置工作负载的信息。 基本信息 负载类型：选择有状态工作负载StatefulSet。工作负载类型的介绍请参见工作负载概述。 负载名称：填写工作负载的名称。 命名空间：选择工作负载的命名空间，默认为当前进入的命名空间。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。 实例数量：填写实例的数量，也就是Pod的数量。 时区同步：选择是否开启时区同步。开启后容器与节点使用相同时区（时区同步功能依赖容器中挂载的本地磁盘，请勿修改删除），时区同步详细介绍请参见时区同步。 容器配置 容器信息Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 容器名称：为容器命名。 镜像更新策略：选择是否总是拉取镜像。 镜像名称：选择容器使用的镜像，支持多种镜像来源。 镜像版本：选择需要部署的镜像版本。 资源配额：配置 CPU 和内存的申请值和限制值。 初始化容器：选择是否作为初始化容器。 生命周期：配置容器生命周期的特定操作。 健康检查：设置存活探针、就绪探针及启动探针。 环境变量：设置容器运行环境的变量。 数据存储：挂载本地存储或云存储。 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。请输入用户ID，容器将以当前用户权限运行。 特权容器：选择是否启用特权容器。 镜像访问凭证：选择访问镜像仓库的凭证。 说明 有状态负载支持“动态挂载”云硬盘。动态挂载通过[[volumeClaimTemplates]](

本文介绍CCE容器集群拉取本地私有仓库镜像权限不足问题。 问题背景 用户自己搭建了一套harbor镜像仓库，并购买了天翼云的容器引擎产品。用户需要cce集群能够使用用户本地搭建的harbor镜像仓库中的镜像。 操作前提 保证该harbor仓库所在网络与cce容器引擎集群的网络是联通的 解决方案 准备好仓库的ca.crt文件 在初期进行harbor私有仓库搭建的时候，为了保证对于harbor的安全使用，对harbor的https访问进行配置，为了能够使cce集群拉取harbor的镜像，我们需要搭建harbor仓库时所使用的CA证书。证书通常存放在Harbor主机上的docker 证书目录：/etc/docker/certs.d/harbor域名/中，在/etc/docker/certs.d/harbor域名/ 中存放着我们所需要的文件：ca.crt 在cce集群上创建存放证书的文件夹 执行以下命令，创建文件夹，用于存放证书文件： mkdir p /etc/docker/certs.d/harbor域名/ 拷贝证书文件到指定文件夹 登陆本地harbor主机，将CA文件拷贝到集群主机指定文件夹下，执行以下命令： scp r /etc/docker/certs.d/harbor域名/ca.crt root@集群主机IP:/etc/docker/certs.d/harbor域名/ 验证 登陆集群节点，再集群节点上进行操作。 方法一：重新部署相关服务，验证是否能够正常拉取镜像。 方法二：通过登陆harbor仓库，执行拉取镜像操作： docker login harbor域名 docker pull 仓库名/镜像名:镜像tag

Job 和 CronJob： Job：定义一次性任务，执行后即视为完成，创建此类型负载请参见创建普通任务(Job)，旧版本页面请参见创建任务。 CronJob：根据排期表多次运行同一个 Job，创建此类型负载请参见创建定时任务(CronJob)，旧版本页面请参见创建定时任务。 云容器引擎（CCE）提供了基于 Kubernetes 原生类型的容器部署和管理能力，支持容器工作负载的部署、配置、监控、扩容、升级、卸载、服务发现及负载均衡等生命周期管理。 Deployment与StatefulSet的区别 对比维度 Deployment StatefulSet 适用场景 适用于无状态应用，如前端 Web 服务、无状态 API 网关、临时计算任务等无需保持状态的服务。 适用于有状态应用，如数据库（MySQL、PostgreSQL）、有状态中间件（Kafka、ZooKeeper）、分布式存储集群（Etcd）等需持久状态的应用。 Pod 命名与启动顺序 Pod 名称由系统随机生成（如 nginxdeploy7cbb48f9d6abc12），无固定创建或删除顺序。 Pod 名称按索引顺序固定（如 mysql0、mysql1），严格按索引顺序依次创建（从0开始）和逆序终止。 存储卷管理 通常多个 Pod 共享同一个 PersistentVolumeClaim（PVC），存储数据的一致性需由应用自身保证。 通过 VolumeClaimTemplate 为每个 Pod 动态创建独立的 PVC，Pod 重建后仍绑定原存储，保证数据持久性。 网络标识稳定性 Pod IP 和 DNS 记录随 Pod 重启或重建而变化，一般通过 Service 以负载均衡方式对外提供服务。 每个 Pod 拥有稳定的 DNS 域名（格式： . . .svc.cluster.local），IP 可能变化但域名永久有效。 更新策略 支持 RollingUpdate（逐步替换 Pod，新Pod就绪后，旧Pod才会被删除，确保更新过程中始终有Pod提供服务）和 Recreate（全部删除后重建），可结合 ReplicaSet 实现版本回滚。 默认采用顺序更新策略（RollingUpdate），按 Pod 索引逐次进行，确保拓扑秩序；也可配置为并行更新。 服务访问方式 通过 ClusterIP 或 LoadBalancer 类型的 Service 统一接入，请求被随机分发到任一后端 Pod。 需配合 Headless Service（clusterIP: None）使用，客户端可通过稳定 DNS 直接寻址到特定 Pod。 扩缩容行为 直接调整副本数，新 Pod 无顺序要求，可快速弹性伸缩。 扩容时按索引顺序新增 Pod（如先创建 web2，再 web3），缩容则按索引逆序终止。 数据持久化特点 适合只读或可共享的存储卷（如 NFS），Pod 销毁后存储卷通常可被其他 Pod 复用。 每个 Pod 对应专属存储，Pod 与存储生命周期绑定，适合需要独立数据目录的场景（如数据库主从节点）。

本章节介绍如何为应用设置公网访问 概述 应用发布到K8s集群后，无法直接被外部访问，可为应用添加公网负载均衡来实现应用的公网访问。 设置公网访问 前提条件 已订购开通公网弹性负载均衡实例（需与应用所发布环境相同VPC），并导入到环境。 添加负载均衡(公网)访问方式 左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。点击需要设置公网的应用实例，进入应用实例详情页面，左下角访问方式配置出，添加负载均衡（公网）。 服务名称：输入合法名称即可 选择ELB：选择订购成功的公网ELB 外部流量策略：建议选择Cluster流量策略，网络插件cubecni的云容器引擎不支持Local流量策略。

本节介绍了用户指南: 海量文件概述。 云容器引擎支持挂载天翼云海量文件存储卷。cstorcsi插件支持使用海量文件动态存储卷和静态存储卷，通过将海量文件存储卷挂载到容器指定目录下，以满足数据持久化需求。 海量文件服务OceanFS为全托管、可扩展的海量文件系统，适用于海量数据及高带宽应用场景。OceanFS支持弹性扩展至PB级别，具备高可用性与数据持久性，适用于高性能计算、媒体处理、文件共享、内容管理及Web服务等多种场景。 使用限制 插件版本 使用海量文件存储功能，需要cstorcsi插件版本 >3.6.0 文件协议 当前cstorcsi插件仅支持NFS协议 容量 单个文件系统最小容量为100GB subpath模式 在subpath模式下，暂不支持目录配额，subpath使用的容量实际上是整个海量文件的容 其他限制 参见 海量文件使用限制 产品优势 共享访问 1. 支持多台客户端挂载访问同一文件系统，可支持连接上千个客户端实例。 2. 支持NFSv3/v4.1。 3. 支持IPv4和IPv6网络协议。 海量可扩展 1. 用户可以根据业务需要配置文件系统的初始存储容量，后续可以随着数据量的变化而扩容。 2. 支持PB级存储空间。 安全可信 1. 支持使用VPC用户隔离、权限组等安全管理功能进行访问权限控制，保障数据安全可靠。 2. 文件服务支持HA高可用，出现任何硬件故障时，业务自动切换到其他节点，服务可用性在99.95%及以上。 友好易用 1. 操作界面友好、简单易用，用户可通过控制台界面快速轻松地创建、配置和管理文件系统，省去复杂的文件系统部署工作。 2. 提供全托管服务，不必考虑复杂的安装、配置及性能调优工作，用户可轻松创建使用文件系统，只需几分钟便可使用高性能的文件系统。

本文介绍如何升级应用。 升级操作可以通过应用管理界面列表操作【升级】进入升级页面，也可以通过点击具体的应用进入详情页点击【升级】页签进入升级页面。 操作步骤 1.登录云容器引擎控制台，在左侧控制台导航栏中选择【工作负载】>【无状态】或【有状态】,进入应用管理界面>单击已创建的某一个应用，进入应用详情页面，选择【升级】页签； 2.请根据业务需求进行应用的升级，该过程与创建应用容器设置步骤相似，升级的参数说明请参见下表： 参数 参数说明 容器配置 选择镜像 在对应的容器下，单击【选择镜像】进行修改 镜像版本 进行镜像版本的更改 容器名称 单击列表框，修改容器名称 容器规格 对容器允许使用的cpu的最小值、最大值，内存的最小值、最大值进行修改 其它设置 生命周期 支持对生命周期进行修改，为应用提供极大的灵活性 生命周期包括：启动命令、启动后处理、停止前处理 健康检查 支持对通过探针监测容器进行修改 环境变量 容器运行环境中设定的一个变量。可以在应用部署后修改，为应用提供极大的灵活性； 在【环境变量】页签，单击【添加环境变量】； 输入变量名称、变量/变量引用。 数据存储 支持对数据存储进行修改，增加本地磁盘 安全设置 支持通过修改用户ID对容器权限进行修改 容器日志 容器设置日志采集策略、配置日志目录。用于收集容器日志以及日志防爆。通过添加日志策略对容器设置进行修改 3.更新完成后，单击【提交】。