该组件由三个主要部分组成：ack-node-problem-detector：在每个符合选择条件的节点上运行一个Pod副本，以监控节点的健康状态并上报集群条件状态和事件。kube-event-init：安装kube-eventer组件时，负责初始化云端的SLS日志服务事件中心云上...
服务器迁移中心 SMC（Server Migration Center）容器化迁移功能支持不停机迁移，可将物理机、主流虚拟化环境（VMware/Xen/KVM/Hyper-V）及多云平台（阿里云/AWS/Azure/GCP/腾讯云等）的服务器和业务应用容器化，并生成镜像推送至阿里云容器...
容器组代表了Kubernetes中一个独立的应用程序运行实例，该实例可能由单个容器或者几个紧耦合在一起的容器组成。本文介绍如何通过ACS控制台查看、变更容器组配置及如何手动伸缩容器应用。查看容器组 查看容器组详细信息 登录 容器计算服务...
Pod代表了Kubernetes中一个独立的应用程序运行实例，该实例可能由单个容器或者几个紧耦合在一起的容器组成。您可以在容器服务控制台上查看Pod、变更Pod配置以及手动伸缩容器应用。前提条件 已创建工作负载。具体操作，请参见 工作负载。...
本文从运行时安全、可信软件供应链和基础架构安全三个维度介绍阿里云容器服务Kubernetes版的安全体系，包括安全巡检、策略管理、运行时监控和告警、镜像扫描、镜像签名、云原生应用交付链、默认安全、身份管理、细粒度访问控制等。...
本文从运行时安全、可信软件供应链和基础架构安全三个维度介绍阿里云容器服务Kubernetes版的安全体系，包括安全巡检、策略管理、运行时监控和告警、镜像扫描、镜像签名、云原生应用交付链、默认安全、身份管理、细粒度访问控制等。...
本文从运行时安全、可信软件供应链和基础架构安全三个维度介绍阿里云容器服务Kubernetes版的安全体系，包括安全巡检、策略管理、运行时监控和告警、镜像扫描、镜像签名、云原生应用交付链、默认安全、身份管理、细粒度访问控制等。...
通过SBOM文件，您可以了解软件的组成部分，识别和管理组件间的依赖关系，确保安全性与合规性，简化审计流程，提高应急响应能力，支持软件供应链透明性，并优化开发和维护流程。以下是SBOM文件示例。{"bomFormat":"CycloneDX",#SBOM格式类型...
全地域 诊断分析 2025年04月 功能名称 功能描述 发布地域 相关文档 新增功能：容器镜像内容分析 镜像内容分析，用于审查和解析容器镜像的组成及特性。通过镜像内容分析，您可以检测安全漏洞、进行合规检查、管理和追踪软件版本。这不仅有助...
其中，Journal是Systemd的一个组成部分，用于收集和存储系统日志。在容器场景下，如需获取kubelet、操作系统层等涉及节点稳定性的关键指标日志，需通过Systemd Journal日志数据进行查询和分析。在对操作系统层、容器引擎层稳定性敏感的场景...
Runtime安全为运行中的容器提供主动防护，主要实现方法是检测并阻止容器内发生恶意活动，减少应用程序的攻击面。通过Seccomp等手段限制容器应用对内核进行系统调用 配置容器或Pod以使用Seccomp配置文件 Linux操作系统有几百个系统调用，但...
Kubernetes支持以Request和Limit的形式来描述容器内存资源需求，应用的内存性能会受到多种因素影响，例如Page Cache回收、其他容器的过度使用，甚至引发节点资源不足而导致整机OOM，影响服务质量。ack-koordinator 提供容器内存QoS功能，...
Runtime安全为运行中的容器提供主动防护，主要实现方法是检测并阻止容器内发生恶意活动，减少应用程序的攻击面。通过Seccomp等手段限制容器应用对内核进行系统调用 配置容器或Pod以使用Seccomp配置文件 Linux操作系统有几百个系统调用，但...
为解决因容器引擎层的不透明性而导致的故障排查困难问题，阿里云 容器服务 Kubernetes 版 ACK（Container Service for Kubernetes）推出SysOM工具，通过提供操作系统内核层的容器监控数据，增强了对容器内存问题的可观测性。这使您能够更...
安全监控提供监控和告警能力，包括恶意镜像启动、病毒和恶意程序的查杀、容器内部入侵行为、容器逃逸和高风险操作预警等主要的容器侧攻击行为。本文介绍如何使用安全监控功能。前提条件 已创建Kubernetes集群，具体操作，请参见 创建ACK...
安全监控提供监控和告警能力，包括恶意镜像启动、病毒和恶意程序的查杀、容器内部入侵行为、容器逃逸和高风险操作预警等主要的容器侧攻击行为。本文介绍如何使用安全监控功能。前提条件 已创建Kubernetes集群，具体操作，请参见 创建ACK...
在 容器服务 Kubernetes 版 中，您可以通过限制容器以特权模式运行、限制应用程序进程以root身份运行以及禁用Service Account令牌自动挂载等方式，防止容器中运行的进程逃离容器的隔离边界并获得对宿主机的访问权限。通过正确配置Pod安全...
在 容器服务 Kubernetes 版 中，您可以通过限制容器以特权模式运行、限制应用程序进程以root身份运行以及禁用Service Account令牌自动挂载等方式，防止容器中运行的进程逃离容器的隔离边界并获得对宿主机的访问权限。通过正确配置Pod安全...
阿里云容器计算服务ACS 支持采用Sidecar容器的形式实现类似DaemonSet的效果。为了避免在使用Sidecar模式时增加Pod的资源消耗，同时保证Sidecar容器和业务容器合理共享资源，您可以通过配置调度策略来忽略Sidecar容器的资源占用。本文介绍...
说明 在容器化的大模型推理服务部署中，主要有几个阶段：容器创建与启动、镜像拉取、模型文件下载和推理服务加载模型并启动。由于大模型推理服务的镜像和模型都较大（例如vLLM镜像约16.5 GB，DeepSeek-R1-Distill-Qwen-7B模型约14 GB），...
每个进程一个容器 部分开发者习惯将容器当作虚拟机（VM）使用，并在一个容器中运行多个进程，例如监控进程、日志进程、sshd 进程，甚至整个 Systemd。这种做法会带来以下问题：判断 Pod 的整体资源占用会更加复杂，也不利于正确配置 ...
ECS云资源往往是集群产生费用的主要组成部分，也是IT运维人员最直接管理的资源。节点池成本洞察能够为您提供节点池资源使用分析和付费策略的选择。应用成本洞察以Label通配符匹配的方式，筛选出您关心的应用进行成本和资源的统计，侧重于...
容器镜像 一个ECI实例由一个或者多个容器组成，部署容器应用时，需要准备好容器镜像。容器镜像包含容器应用运行所需的程序、库文件、配置等。拉取镜像时，需要保证网络畅通，推荐您使用镜像缓存功能来节约实例的启动耗时。网络 一个ECI实例...
容器服务平台提供Pod诊断功能，帮助您诊断异常的Pod信息。本文介绍Pod诊断的检查项以及对应的修复方案。容器服务平台构建了基于专家经验的故障诊断系统，并基于海量数据训练了AI智能故障诊断模型。Pod诊断融合了基于专家经验和AI智能诊断两...
集群、容器的性能指标监控 解决方案 方案介绍 适用场景 参考文档 云监控容器服务ACK的监控方案 容器服务 Kubernetes 版 ACK（Container Service for Kubernetes）提供集群、容器的部分性能指标监控，并集成在容器服务控制台中展示。...
阿里云 容器计算服务 ACS（Container Compute Service）以Kubernetes为使用界面，采用Serverless形态提供弹性的算力资源，使您轻松高效运行容器应用。本文将指导您如何通过ACS控制台及ACS集群证书在ACS集群中快速部署并公开一个容器化生成...
MSE Ingress工作原理 组成部分 MSE Ingress Controller：MSE Ingress Controller本身不是网络数据平面，它是管理MSE云原生网关实例以及配置的控制平面。即MSE Ingress Controller不处理任何业务请求流量，它位于流量旁路，管理着处理业务...
MSE Ingress工作原理 组成部分 MSE Ingress Controller：MSE Ingress Controller本身不是网络数据平面，它是管理MSE云原生网关实例以及配置的控制平面。即MSE Ingress Controller不处理任何业务请求流量，它位于流量旁路，管理着处理业务...
执行以下命令，查看节点的资源分配信息：kubectl describe node[$nodeName]关注输出中的如下部分：Allocatable:cpu:3900m ephemeral-storage:114022843818 hugepages-1Gi:0 hugepages-2Mi:0 memory:12601Mi pods:60 Allocated resources:...
执行以下命令，查看节点的资源分配信息：kubectl describe node[$nodeName]关注输出中的如下部分：Allocatable:cpu:3900m ephemeral-storage:114022843818 hugepages-1Gi:0 hugepages-2Mi:0 memory:12601Mi pods:60 Allocated resources:...
操作步骤 下文主要介绍使用CentOS镜像创建ECI实例时需要注意的配置和步骤，部分配置采用默认或者最简配置。打开 弹性容器实例售卖页。配置实例基本信息。选择付费模式和实例类型。此处保持默认选择即可。付费模式为 按量付费，实例类型为 ...
弹性容器实例适用于容器形态下大部分业务场景，从弹性及成本角度，特别适用于在线业务的免运维托管、大数据计算任务（Spark、Presto）、事件驱动型业务和Job型业务，以及DevOps、机器学习、在线测试等各类场景。概述 弹性容器实例可以通过...
操作步骤 下文主要介绍拉取Nginx镜像创建ECI实例时需要注意的配置和步骤，部分配置采用默认或者最简配置。打开 弹性容器实例售卖页。配置实例基本信息。选择付费模式和实例类型。此处保持默认选择即可。付费模式为 按量付费，实例类型为 ...
通常容器提供的默认内核参数配置能够满足大部分业务的日常需求，但在某些特殊的业务场景中为了让应用达到最佳的运行状态，往往需要优化部分内核参数配置。安全沙箱支持通过Annotation为Pod配置自定义内核参数，也支持开启特权容器模式后在...
控制平面：由Injector、Cache Runtime Controller和Application Controller三部分组成。Injector：负责将不同数据访问、Runtime实现信息转换为Sidecar可以识别的信息，注入到读取数据的应用中，同时控制应用中容器的启动顺序。该功能不限于...
操作步骤 下文主要介绍创建ECI实例并开启自动匹配镜像缓存时需要注意的配置和步骤，部分配置采用默认或者最简配置。登录 弹性容器实例控制台。在 镜像缓存 页面，查看已有的镜像缓存。说明 镜像缓存的创建分为手动创建和自动创建两种方式。...
混合集群是通过阿里云注册集群接入本地数据中心自建Kubernetes集群的容器集群，它可以为自建Kubernetes扩容云上ECS节点，同时也可以管理云上云下计算资源。本文介绍混合集群的网络模式及如何实现云上云下网络互联互通。混合集群的网络模式 ...
如需采集Knative服务的容器文本日志，您可以通过DaemonSet的方式，在每个节点上自动运行一个日志代理，以提升运维效率。ACK集群已兼容日志服务SLS，支持无侵入式采集日志。您可以安装日志采集组件，该组件会在节点上部署一个采集实例，用于...
安全沙箱运行时将应用及其依赖环境运行在一个轻量级虚拟机中，为应用Pod提供独立内核层模拟或者细粒度的隔离层，这样可以有效防止容器内部的恶意攻击或漏洞，避免影响到宿主机或其他容器。本文为您介绍安全沙箱的架构、核心优势和常用场景...
在现代云计算和容器化环境中，Pod实例是Kubernetes中最小的可部署单元，通常由一个或多个容器组成。Pod实例的计算类型和算力质量对于应用的性能以及资源利用率有着重要的影响。容器计算服务 ACS（Container Compute Service）提供了多种...