策略中心-华为云

华为云UCS-启用策略中心:约束与限制

约束与限制仅华为云账号或具备U CS FullAccess权限的用户可进行策略中心的启用操作。为非华为云集群启用策略中心前，请确保集群能够拉取公网镜像。启用策略中心功能后，系统将在舰队或集群上安装Gatekeeper插件。需要注意的是，插件会占用部分集群资源（如表1所示）。因此，在启用策略中心功能之前，请确保您的集群具有足够的资源。这将有助于确保策略中心功能的顺利部署，同时避免对现有工作负载的性能产生负面影响。表1 Gatekeeper插件的资源占用情况 CPU Mem Requests：100m * 3 Limits：1000m * 3 Requests：256Mi * 3 Limits：512Mi * 3 “* 3”表示有3个Pod。当舰队或集群处于启用中的状态时，请避免在该舰队或集群上执行任何操作。在启用过程中执行操作可能会影响启用的成功。

华为云UCS 策略中心

华为云UCS-启用策略中心:操作步骤

操作步骤登录UCS控制台，在左侧导航栏中选择“策略中心”。单击页面中的“启用”按钮，弹出“启用策略管理功能”对话框。在下拉列表中选择容器舰队或集群，单击“确定”，返回主页面。您将会看到舰队或集群的策略管理状态显示为启用中。请耐心等待大约3分钟，策略管理将成功启用。如果在启用策略管理功能时出现“The thorttling threshold has been reached: policy ip over ratelimit”，说明因为启用集群较多被限流了，请稍等一会再重试即可。

华为云UCS 策略中心

华为云UCS-示例：使用策略中心实现Kubernetes资源合规性治理:验证策略实例是否生效

验证策略实例是否生效策略实例分发成功后可在集群中执行符合策略实例的动作，此时该动作可正常执行；若在集群中执行不符合策略实例的动作，该动作将被拒绝掉（取决于设置的策略执行方式）。尝试在集群中创建一个Pod，定义标签为：owner: user.agilebank.demo，符合策略实例，Pod可以创建成功。如果在创建Pod时不包含策略实例中定义的标签，则Pod创建不成功，同时在“不合规资源”页签会生成相应的记录。

华为云UCS 策略中心

华为云UCS-示例：使用策略中心实现Kubernetes资源合规性治理:创建策略实例

创建策略实例登录UCS控制台，在左侧导航栏中选择“策略中心”。在列表中找到已启用策略中心功能的容器舰队或集群，单击“创建策略实例”。填写如下参数：图1 创建策略实例策略定义：从内置的33个策略定义中选择一个，本教程以“k8srequiredlabels”为例，该策略定义的作用是要求资源包含指定的标签，其值与提供的正则表达式匹配。这里设置标签的key为owner，正则表达式为^[a-zA-Z]+.agilebank.demo$。策略执行方式：包括拦截和告警两种方式。拦截表示不符合策略要求的资源将无法创建，告警表示不符合策略要求的资源仅告警提醒，仍可以正常创建。本教程以“拦截”执行方式为例。策略生效范围：选择生效的命名空间。本教程以“default”命名空间为例。单击“创建”，创建完成后系统会自动分发策略，如果分发成功，策略实例将在集群中生效。

华为云UCS 策略中心

华为云UCS-创建和管理策略实例:创建策略实例

创建策略实例登录UCS控制台，在左侧导航栏中选择“策略中心”。在列表中找到已启用策略中心功能的容器舰队或集群，单击“创建策略实例”。填写如下参数：图1 创建策略实例策略定义：从内置的33个策略定义中选择一个，以便为您的集群或容器舰队配置资源审计规则。尽管当前不支持自定义策略定义，但这些预定义的策略定义基本可以满足您在合规性和安全性方面的需求。策略定义的详细介绍请参阅策略定义库概述。策略执行方式：包括拦截和告警两种方式。拦截表示不符合策略要求的资源将无法创建，告警表示不符合策略要求的资源仅告警提醒，仍可以正常创建。策略生效范围：选择生效的命名空间。单击“创建”，创建完成后系统会自动分发策略，如果分发成功，策略实例将在集群中生效。策略实例分发成功后可在集群中执行符合策略实例的动作，此时该动作可正常执行；若在集群中执行不符合策略实例的动作，该动作将被拒绝掉或者上报告警事件。

华为云UCS 策略中心

华为云UCS-创建和管理策略实例:修改/删除策略实例

修改/删除策略实例作为平台工程师，您通常需要定期审视和更新策略实例，或者删除一些不再使用的策略实例。要执行这些操作，请参考以下步骤：登录UCS控制台，在左侧导航栏中选择“策略中心”。在列表中找到已启用策略中心功能的容器舰队或集群，单击舰队或集群名称，进入详情页面。在“策略实施详情”中单击“策略实例”页签。找到待操作的策略实例，单击操作列的“编辑”或“删除”，完成相关参数的修改，或者删除策略实例。

华为云UCS 策略中心

华为云UCS-创建和管理策略实例:查看策略实施状态

查看策略实施状态在容器舰队或集群的策略详情页，可以查看策略实施详情和状态，以及舰队或集群的不合规资源、告警事件和强制拦截事件的情况。您可以根据这些数据评估集群的合规情况，并及时采取修复措施。当前，不合规资源统计的上报时间大约在15至30分钟之间。如果下发策略实例后未对违规资源进行拦截或告警，请检查是否已开启ValidatingAdmissionPolicy特性门控、是否已启用ValidatingAdmissionWebhook和MutatingAdmissionWebhook准入控制器，详情请参考准入控制器的作用是什么？

华为云UCS 策略中心

多云容器平台 MCP-故障迁移策略:机制说明

机制说明应用在创建时，会在第一轮分配中会优先按照每个集群的最小实例数进行分配，如果总的分配未达到总实例数，则再按照权重进行第二次分配。故障迁移策略会将长期无法调度的pod迁移到资源较为空闲的集群。例如因为资源不足而无法调度的pod，当调度算法检测到当前存在无法调度的pod才会在空闲集群启动新的pod，以补足总实例数；如果存在无法调度的pod，但pod的总数已达到故障迁移策略的总实例数，pod状态会显示pending状态，这种情况属于正常现象，无需关注。当集群出现异常时，不再为其分配实例即权重为0。

多云容器平台 MCP 策略中心

云服务器内容精选

策略中心

7*24

备案

专业服务

退订

建议反馈

售前咨询热线