稳定性☆ACK安全沙箱适用场景 场景一：相对于runC容器，安全沙箱（runV）容器可以强隔离不可信应用 runC容器的安全风险 通过Namespace和Cgroups技术隔离的容器攻击面大。节点上所有容器共享Host Kernel，一旦内核出现漏洞，恶意代码会逃逸...
基线风险数 针对服务器操作系统、数据库、软件和容器的配置进行安全检测，可以帮您加固系统安全，降低入侵风险并满足安全合规要求。关于基线风险的详细说明，请参见 基线检查。您可以单击 基线风险数 区域进入基线风险数页面，单击目标基线...
这不仅有助于优化组件的依赖关系，还能提升容器的安全性和性能。华东1（杭州）、华东2（上海）、华北2（北京）、华南1（深圳）、中国香港、新加坡、美国（弗吉尼亚）和德国（法兰克福）容器镜像内容分析 2025年03月 功能名称 功能描述 发布...
本文介绍阿里云容器服务ACK可观测的详细计费说明和相关可观测功能。容器可观测计费说明 可观测监控Prometheus版计费 创建集群时，如果您希望利用 阿里云Prometheus 收集监控数据，则需选择并启用 容器监控。可观测的Prometheus服务 容器...
一个使用Host Networking Namespace的容器，且容器内UID设置为0时，攻击者可以通过containerd-shim API来操作宿主机上其他的containerd-shim进程，从而发生提权攻击。本文主要描述了该漏洞的影响范围，漏洞产生的原因和防范措施。目前CVE-...
本文介绍如何使用容器镜像服务ACR（Container Registry）、密钥管理服务KMS（Key Management Service）、云安全中心（Security Center）和kritis-validation-hook组件实现自动验证容器镜像签名，确保只部署可信授权方签名的容器镜像，降低...
ContainerName string container-1 要制作镜像的容器的名称。Image.Repository string registry-vpc.cn-beijing.aliyuncs.com/test/test-*ACR镜像仓库地址。出于安全考虑，目前仅支持将镜像推送（Push）至ACR。Image.Tag String 1.0.1 镜像...
true EnvironmentVar array object 否 容器的环境变量信息列表。object 否 容器的环境变量信息列表。Key string 否 容器的环境变量名。PATH Value string 否 容器的环境变量值。usr/bin/local/FieldRef.FieldPath string 否 使用 Pod 字段...
ECI能为Kubernetes提供基础的容器Pod运行环境，每个ECI实例相当于一个Pod。本文介绍ECI Pod的基本配置、生命周期和使用限制等。基本配置 基于Kubernetes社区的Virtual Kubelet技术，ECI支持以虚拟节点的形式接入到Kubernetes集群中。一个...
本文介绍如何使用容器镜像服务ACR（Container Registry）、密钥管理服务KMS（Key Management Service）、云安全中心（Security Center）和kritis-validation-hook组件实现自动验证容器镜像签名，确保只部署可信授权方签名的容器镜像，降低...
本文介绍了容器镜像（Container Image）的基本概念，从而为使用容器镜像服务建立知识基础。容器镜像 容器镜像是一种容器化标准交付物，用于打包应用程序及其依赖的环境。可以基于Dockerfile文件将应用构建为容器镜像并上传到容器镜像仓库中...
日志与监控 组件名称 组件类型 描述 alicloud-monitor-controller 系统组件 监控应用容器的生命周期和状态变化。metrics-server 系统组件 Metrics Server为集群的自动伸缩机制提供应用容器的资源监控指标。ack-node-problem-detector 可选...
在 容器服务 Kubernetes 版 中，您可以通过限制容器以特权模式运行、限制应用程序进程以root身份运行以及禁用Service Account令牌自动挂载等方式，防止容器中运行的进程逃离容器的隔离边界并获得对宿主机的访问权限。通过正确配置Pod安全...
对于已创建的ACS集群，启用DNS服务发现方案仅对新建的容器Pod生效，即启用前创建的容器Pod并不会随着方案的启用而切换其DNS配置文件，需重新创建容器Pod来使其接入新的DNS服务发现方案。ACS集群中DNS域名解析原理 在ACS集群创建容器Pod时，...
在开启镜像签名之后，您可以配置验签策略，只部署通过验签规则的可信镜像到您的ACK集群，并且支持配置验签规则的白名单，解决第三方组件自动注入的Sidecar容器的镜像无法通过镜像验签，导致无法部署Pod的问题。更多信息，请参见 kritis-...
您可以安装日志采集组件，该组件会在节点上部署一个采集实例，用于收集节点上所有容器的日志，便于后续的管理和分析。前提条件 已在集群中部署Knative，请参见 部署与管理Knative组件。已创建一个Knative服务，请参见 快速部署一个Knative...
在开启镜像签名之后，您可以配置验签策略，只部署通过验签规则的可信镜像到您的ACK集群，并且支持配置验签规则的白名单，解决第三方组件自动注入的Sidecar容器的镜像无法通过镜像验签，导致无法部署Pod的问题。更多信息，请参见 kritis-...
在 容器服务 Kubernetes 版 中，您可以通过限制容器以特权模式运行、限制应用程序进程以root身份运行以及禁用Service Account令牌自动挂载等方式，防止容器中运行的进程逃离容器的隔离边界并获得对宿主机的访问权限。通过正确配置Pod安全...
步骤二：配置容器 在 容器配置 向导页面中，配置容器的镜像、资源、端口、环境变量、生命周期、数据卷和日志等信息。说明 在 容器1 页签右侧，单击 添加容器，可以为应用的Pod设置多个容器。在 基本配置 区域，完成容器的基本配置。配置项 ...
DescribeContainerLog 获取容器日志信息 调用DescribeContainerLog获取容器组内某个容器的日志信息。CommitContainer 创建CommitContainer任务 调用CommitContainer接口创建异步任务，将ECI实例中的指定容器保存为镜像，并推送至阿里云ACR...
说明 在实际生产环境中，应避免手动直接操作Pod，而是通过控制ReplicaSet、Deployment等对象来进行容器的管理和更新，以确保集群状态的一致性和正确性。执行以下命令验证容器状态，确认容器状态为Running重启成功。kubectl get pods 如何...
重要 云监控的Kubernetes容器监控功能逐步下线中，详情请参见 云监控 Kubernetes 容器监控功能变更通知，推荐您 使用阿里云可观测监控 Prometheus 版 作为替代方案，该方案涵盖了与云监控相同的功能。功能特性 云监控会自动获取您当前阿里...
名称 类型 示例值 描述 Container.N.VolumeMount.N.Name String test-volume 要挂载到容器的数据卷的名称，对应Volume.N.Name的值。Container.N.VolumeMount.N.MountPath String/usr/share 挂载目录。容器挂载目录下的内容会被数据卷的内容...
步骤二：配置容器 在 容器配置 向导页面中，配置容器的镜像、资源、端口、环境变量、健康检查、生命周期、数据卷和日志等信息。说明 在 容器1 页签右侧，单击 添加容器，可以为应用的Pod设置多个容器。在 基本配置 区域，完成容器的基本...
弹性容器实例为您提供免运维、弹性、低成本、高效的容器运行环境。核心优势 弹性容器实例的核心优势主要体现在以下几方面：免运维 采用Serverless架构，基础设施托管。您无需关心底层服务器，只需要提交容器镜像；无需预先创建集群和维护...
Kubernetes支持以Request和Limit的形式来描述容器内存资源需求，应用的内存性能会受到多种因素影响，例如Page Cache回收、其他容器的过度使用，甚至引发节点资源不足而导致整机OOM，影响服务质量。ack-koordinator 提供容器内存QoS功能，...
步骤二：配置容器 在 容器配置 向导页面中，配置容器的镜像、资源、端口、环境变量、健康检查、生命周期、数据卷和日志等信息。说明 在 容器1 页签右侧，单击 添加容器，可以为应用的Pod设置多个容器。在 基本配置 区域，完成容器的基本...
当您采用Sidecar容器的形式实现类似DaemonSet的效果时，可能会出现Job类Pod无法运行完成的情况，此时可以通过设置环境变量的方式，为Sidecar容器标记容器类型，并设置忽略Sidecar容器的退出码，以保证Job可以正常运行完成。功能说明 在ACK ...
步骤二：配置容器 在 容器配置 向导页面中，配置容器的镜像、资源、端口、环境变量、生命周期、数据卷和日志等信息。说明 在 容器1 页签右侧，单击 添加容器，可以为应用的Pod设置多个容器。在 基本配置 区域，完成容器的基本配置。配置项 ...
名称 类型 示例值 描述 Container.N.VolumeMount.N.Name String test-volume 要挂载到容器的数据卷的名称，对应Volume.N.Name的值。Container.N.VolumeMount.N.MountPath String/usr/share 挂载目录。容器挂载目录下的内容会被数据卷的内容...
集群、容器的性能指标监控 解决方案 方案介绍 适用场景 参考文档 云监控容器服务ACK的监控方案 容器服务 Kubernetes 版 ACK（Container Service for Kubernetes）提供集群、容器的部分性能指标监控，并集成在容器服务控制台中展示。...
负载均衡SLB产品家族介绍 存储 服务 说明 相关文档 云盘 云盘是一种数据块级别的块存储产品，采用分布式多副本机制，您可以使用云盘作为容器的持久化存储，在创建ECI实例时将其挂载到容器上。云盘概述 文件存储NAS 文件存储NAS是一个可共享...
目前ECI支持配置的参数如下：支持配置的参数 说明 runAsUser 设置运行容器的用户ID。该参数配置会覆盖Dockerfile中的USER指令。runAsGroup 设置运行容器的用户组。runAsNonRoot 设置容器是否以非root模式运行容器。取值为true表示以非root...
原理解析 Pod生命 周期 Pod中的容器包括两种类型：初始化容器：运行服务的主容器前置依赖的容器，完成一些初始化操作。主容器（工作容器）：就是运行服务进程的容器。Pod启动过程如下：运行初始化容器：在主容器启动之前，要运行的容器，为...
ECI能为Kubernetes提供基础的容器Pod运行环境，但业务间的依赖、负载均衡、弹性伸缩、定期调度等能力依然需要Kubernetes来提供。本文为您介绍阿里云容器服务Kubernetes版（简称ACK）如何与ECI对接，使用ECI作为Pod的运行资源。对接方式 ECI...
您可以收到相应的漏洞信息评估和相关的漏洞修复建议，为您大幅降低使用容器的安全风险。容器镜像服务也接入了云安全的扫描引擎，可支持镜像系统漏洞、镜像应用漏洞和镜像恶意样本的识别。镜像签名 在容器镜像管理中，您可以通过内容可信的...
混合集群中的容器网络插件包括本地数据中心中运行的容器网络插件和云上计算节点上运行的容器网络插件两部分。本文将介绍如何在混合集群中部署和配置Terway网络插件。前提条件 对于 场景二：本地数据中心容器网络模式为BGP网络 及 场景三：...
名称 类型 示例值 描述 Container.N.VolumeMount.N.Name String test-volume 要挂载到容器的数据卷的名称，对应Volume.N.Name的值。Container.N.VolumeMount.N.MountPath String/usr/share 挂载目录。容器挂载目录下的内容会被数据卷的内容...
本文介绍容器镜像服务ACR包年包月计费方式的退款说明。退款条件 若您开通了包年包月的计费方式，预先支付了费用，在购买时长未到期前，因业务调整不再使用包年包月的实例，可申请退款。退款方式 您可以在 费用与成本 下的 订单管理 退订...
重要 对于Pod Security Context和Container Security Context中均设置的参数（如runAsUser），容器的设置将覆盖Pod的设置。目前ECI支持配置的参数如下：支持配置的参数 说明 runAsUser 设置运行容器的用户ID。该参数配置会覆盖Dockerfile中...