华为云用户手册

合作方接入点 华为云与中信网络在部分城市部署了网络预连接，您可以通过表3的中信网络接入点连接至华为云。 如需更多信息或支持，可提交工单或联系销售经理。 表3 合作方接入点 城市 地址 长沙 湖南省长沙市雨花区人民东路38号，东一宾馆4楼 天津 天津滨海高新区华苑产业区海泰华科八路6号四层A区403号 福州 象园路33号耀龙审计局综合大楼3层 南京 江苏省南京市中山北路283号江苏物资大厦17楼 合肥 合肥市高新区合欢路与香樟大道交叉口合肥有线电视宽带网络有限公司4层 济南 经七路纬五路75号5楼 重庆 重庆市九龙坡区石坪桥横街66号九龙大厦副楼5层 成都 成都市草市街2号光大国际大厦四层

华为云接入点 表1 中国区域接入点信息 区域 接入点 运营商 位置区域信息 华北-北京四 北京-亚太 中立 北京亦庄亚太 北京-酒仙桥 鹏博士 北京恒通国际创新园 北京-汇天 中立 北京汇天云端产业园 北京-中金 中立 北京经开区中金数据 廊坊-万国 中立 廊坊万国数据 廊坊-润泽 电信 廊坊润泽信息港 廊坊-华为基地 华为 廊坊华为生产基地 武汉-武钢 中立 武汉武钢数据产业园 武汉-武研所 华为 武汉华为研究所 华北-乌兰察布一 乌兰察布-集宁 华为 乌兰察布华为云数据中心 乌兰察布-玫瑰营 华为 乌兰察布玫瑰营基地 华东-上海一 苏州-万国 中立 苏州万国数据中心 苏州-国科 联通 苏州国科数据中心 苏州-苏研所 华为 苏州华为研究所 苏州-坤汇 中立 苏州坤汇网络 苏州-吴江 移动 苏州移动数据中心 上海-万国 中立 上海万国数据中心 上海-宝信 移动 上海宝信数据中心 上海-光环 中立 上海光环新网数据中心 杭州-杭钢 中立 杭州杭钢云数据中心 杭州-杭研所 华为 杭州华为研究所 华东-上海二 上海-万国 中立 上海万国数据中心 上海-光环 中立 上海光环新网数据中心 上海-宝信 移动 上海宝信数据中心 华东二 芜湖-江北 华为 芜湖江北数据中心 芜湖-三山 华为 芜湖三山数据中心 芜湖-职教 华为 芜湖职教数据中心 华东-青岛 青岛-胶州 华为 胶州卡奥斯 青岛-红岛 移动 红岛移动数据中心 华南-广州 广州-云埔 电信 广州云埔数据中心 广州-华新园 中立 华南创新材料园 广州-大学城 中立 广州大学城 广州-明美 联通 广州明美电子 广州-化龙 联通 伟鑫创新产业园 深圳-宝德 中立 深圳观澜高新园 深圳-福田 中立 福田中鹏云 深圳-南山 中立 南山特发港 深圳-弈峰 中立 电达谷源产业园 东莞-团泊洼 华为 东莞松山湖华为 华南-广州-友好用户环境 广州-化龙 联通 伟鑫创新产业园 广州-云埔 电信 广州云埔数据中心 西南-贵阳一 成都-成研所 华为 成都华为研究所 贵阳-贵安移动 移动 贵安电子信息产业园 贵阳-七星湖 华为 贵安云上屯数据中心 贵阳-高端园 华为 贵阳高端园区 中国-香港 香港-沙田 电信 沙田火炭新鸿基 香港-西贡移动 移动 将军澳移动环球网络 香港-西贡GS 电信 将军澳GlobalSwitch 香港-荃湾 中立 香港-荃湾-MEGA 表2 国际区域接入点信息 区域 接入点 运营商 亚太-曼谷 曼谷-NTT NTT 曼谷-TRUE TRUE 亚太-新加坡 新加坡-Equinix Equinix 新加坡-Global Switch Global Switch 新加坡-1Net 1-Net 新加坡-Singtel Singtel 新加坡-Telin3 Telin 新加坡-STT STT 亚太-雅加达 雅加达-DCI DCI 雅加达-EDGE EDGE 亚太-马尼拉 马尼拉-GBP Globe 马尼拉-Digital Halo Digital Halo 非洲-约翰内斯堡 尼日利亚-拉各斯-Medallion Medallion 约翰内斯堡-IS Parklands Internet Solutions Parklands 约翰内斯堡-Teraco Teraco 约翰内斯堡-DPA Vodacom 约翰内斯堡-ADC ADC 约翰内斯堡-MTN MTN 非洲-开罗 开罗-Xceed Xceed 拉美-墨西哥城一 墨西哥-Ixtlahuaca Ixtlahuaca 墨西哥-Tultitlan KIO MEX 5 拉美-墨西哥城二 墨西哥-Tultitlan KIO MEX 5 墨西哥-Scala Scala 拉美-圣保罗一 圣保罗-Equinix Equinix 圣保罗-ODATA ODATA 圣保罗-Scala Scala 圣保罗-VIVO Telefonica 秘鲁-利马一 利马-TIC Telefonica 拉美-圣地亚哥 圣地亚哥-Paine Paine 圣地亚哥-Claro Claro 土耳其-伊斯坦布尔 伊斯坦布尔-Turkcell Turkcell 伊斯坦布尔-NGN NGN 中东-利雅得 利雅得-STC Khurais STC Khurais 利雅得-Remal Remal

合作方接入点 华为云与中信网络在部分城市部署了网络预连接，您可以通过表3的中信网络接入点连接至华为云。 如需更多信息或支持，可提交工单或联系销售经理。 表3 合作方接入点 城市 地址 长沙 湖南省长沙市雨花区人民东路38号，东一宾馆4楼 天津 天津滨海高新区华苑产业区海泰华科八路6号四层A区403号 福州 象园路33号耀龙审计局综合大楼3层 南京 江苏省南京市中山北路283号江苏物资大厦17楼 合肥 合肥市高新区合欢路与香樟大道交叉口合肥有线电视宽带网络有限公司4层 济南 经七路纬五路75号5楼 重庆 重庆市九龙坡区石坪桥横街66号九龙大厦副楼5层 成都 成都市草市街2号光大国际大厦四层

华为云接入点 表1 中国区域接入点信息 区域 接入点 运营商 位置区域信息 华北-北京四 北京-亚太 中立 北京亦庄亚太 北京-酒仙桥 鹏博士 北京恒通国际创新园 北京-汇天 中立 北京汇天云端产业园 北京-中金 中立 北京经开区中金数据 廊坊-万国 中立 廊坊万国数据 廊坊-润泽 电信 廊坊润泽信息港 廊坊-华为基地 华为 廊坊华为生产基地 武汉-武钢 中立 武汉武钢数据产业园 武汉-武研所 华为 武汉华为研究所 华北-乌兰察布一 乌兰察布-集宁 华为 乌兰察布华为云数据中心 乌兰察布-玫瑰营 华为 乌兰察布玫瑰营基地 华东-上海一 苏州-万国 中立 苏州万国数据中心 苏州-国科 联通 苏州国科数据中心 苏州-苏研所 华为 苏州华为研究所 苏州-坤汇 中立 苏州坤汇网络 苏州-吴江 移动 苏州移动数据中心 上海-万国 中立 上海万国数据中心 上海-宝信 移动 上海宝信数据中心 上海-光环 中立 上海光环新网数据中心 杭州-杭钢 中立 杭州杭钢云数据中心 杭州-杭研所 华为 杭州华为研究所 华东-上海二 上海-万国 中立 上海万国数据中心 上海-光环 中立 上海光环新网数据中心 上海-宝信 移动 上海宝信数据中心 华东二 芜湖-江北 华为 芜湖江北数据中心 芜湖-三山 华为 芜湖三山数据中心 芜湖-职教 华为 芜湖职教数据中心 华东-青岛 青岛-胶州 华为 胶州卡奥斯 青岛-红岛 移动 红岛移动数据中心 华南-广州 广州-云埔 电信 广州云埔数据中心 广州-华新园 中立 华南创新材料园 广州-大学城 中立 广州大学城 广州-明美 联通 广州明美电子 广州-化龙 联通 伟鑫创新产业园 深圳-宝德 中立 深圳观澜高新园 深圳-福田 中立 福田中鹏云 深圳-南山 中立 南山特发港 深圳-弈峰 中立 电达谷源产业园 东莞-团泊洼 华为 东莞松山湖华为 华南-广州-友好用户环境 广州-化龙 联通 伟鑫创新产业园 广州-云埔 电信 广州云埔数据中心 西南-贵阳一 成都-成研所 华为 成都华为研究所 贵阳-贵安移动 移动 贵安电子信息产业园 贵阳-七星湖 华为 贵安云上屯数据中心 贵阳-高端园 华为 贵阳高端园区 中国-香港 香港-沙田 电信 沙田火炭新鸿基 香港-西贡移动 移动 将军澳移动环球网络 香港-西贡GS 电信 将军澳GlobalSwitch 香港-荃湾 中立 香港-荃湾-MEGA 表2 国际区域接入点信息 区域 接入点 运营商 亚太-曼谷 曼谷-NTT NTT 曼谷-TRUE TRUE 亚太-新加坡 新加坡-Equinix Equinix 新加坡-Global Switch Global Switch 新加坡-1Net 1-Net 新加坡-Singtel Singtel 新加坡-Telin3 Telin 新加坡-STT STT 亚太-雅加达 雅加达-DCI DCI 雅加达-EDGE EDGE 亚太-马尼拉 马尼拉-GBP Globe 马尼拉-Digital Halo Digital Halo 非洲-约翰内斯堡 尼日利亚-拉各斯-Medallion Medallion 约翰内斯堡-IS Parklands Internet Solutions Parklands 约翰内斯堡-Teraco Teraco 约翰内斯堡-DPA Vodacom 约翰内斯堡-ADC ADC 约翰内斯堡-MTN MTN 非洲-开罗 开罗-Xceed Xceed 拉美-墨西哥城一 墨西哥-Ixtlahuaca Ixtlahuaca 墨西哥-Tultitlan KIO MEX 5 拉美-墨西哥城二 墨西哥-Tultitlan KIO MEX 5 墨西哥-Scala Scala 拉美-圣保罗一 圣保罗-Equinix Equinix 圣保罗-ODATA ODATA 圣保罗-Scala Scala 圣保罗-VIVO Telefonica 秘鲁-利马一 利马-TIC Telefonica 拉美-圣地亚哥 圣地亚哥-Paine Paine 圣地亚哥-Claro Claro 土耳其-伊斯坦布尔 伊斯坦布尔-Turkcell Turkcell 伊斯坦布尔-NGN NGN 中东-利雅得 利雅得-STC Khurais STC Khurais 利雅得-Remal Remal

云专线权限 默认情况下，管理员创建的 IAM 用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 云专线部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问云专线时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对云专线服务，管理员能够控制IAM用户仅能对某一类云专线资源进行指定的管理操作。 如表1所示，包括了云专线的所有系统权限。 表1 云专线系统权限 系统角色/策略名称 描述 类别 依赖关系 Direct Connect Administrator 云专线服务的管理员权限，拥有该权限的用户拥有云专线服务所有执行权限。 拥有该权限的用户必须同时拥有Tenant Guest、VPC Administrator权限。 系统角色 依赖Tenant Guest、VPC Administrator策略。 VPC Administrator：项目级策略，在同项目中勾选。 Tenant Guest：项目级策略，在同项目中勾选。 DCaaS Partner 云专线服务合作伙伴用户权限，拥有该权限的用户可以为其他用户创建托管和标准连接。 拥有该权限的用户必须同时拥有Tenant Guest、VPC Administrator权限。 系统角色 依赖Tenant Guest、VPC Administrator策略。 VPC Administrator：项目级策略，在同项目中勾选。 Tenant Guest：项目级策略，在同项目中勾选。 DCAAS FullAccess 操作权限：对云专线服务的所有执行权限。 作用范围：项目级服务。 系统策略 无 DCAAS ReadOnlyAccess 操作权限：对云专线服务的只读权限。 作用范围：项目级服务。 系统策略 无 表2列出了云专线常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 常用操作与系统权限的关系 操作 Direct Connect Administrator DCaaS Partner DCAAS FullAccess DCAAS ReadOnlyAccess 创建物理连接 √ √ √ × 查询物理连接 √ √ √ √ 修改物理连接 √ √ √ × 删除物理连接 √ √ √ × 创建虚拟网关 √ √ √ × 查询虚拟网关 √ √ √ √ 修改虚拟网关 √ √ √ × 删除虚拟网关 √ √ √ × 创建全域接入网关 √ √ √ × 查询全域接入网关 √ √ √ √ 修改全域接入网关 √ √ √ × 删除全域接入网关 √ √ √ × 创建虚拟接口 √ √ √ × 查询虚拟接口 √ √ √ √ 修改虚拟接口 √ √ √ × 删除虚拟接口 √ √ √ × 创建运营物理连接 √ √ √ × 查询运营物理连接 √ √ √ √ 修改运营物理连接 √ √ √ × 删除运营物理连接 √ √ √ × 创建租户物理连接 √ √ √ × 查询租户物理连接 √ √ √ √ 修改租户物理连接 √ √ √ × 删除租户物理连接 √ √ √ ×

Agent启停 当Agent处于启动状态时，启停按钮显示为；当Agent处于停止状态时，启停按钮显示为。 停止Agent 在实例列表页面，单击需要停用Agent的实例所在行的启停按钮。 在弹出的“停用Agent”弹框单击“确定”，完成对所选实例的停止。 启动Agent 在实例列表页面，单击需要启动Agent的实例所在行的启停按钮。 在弹出的“启用Agent”弹框单击“确定”，完成对所选实例的启动。

步骤二：开启 AOM 可信服务并设置委托管理员（若进行监控的账号为组织管理员，可跳过此步骤） 使用组织中的管理员账号登录组织Organizations控制台。 在左侧导航栏选择“可信服务”。 在可信服务列表中，单击“ 应用运维管理 服务（AOM）”操作列的“启用”，开启AOM可信服务。 单击“应用运维管理服务（AOM）”操作列的“设置委托管理员”，选择需要设置为委托管理员的账号，单击“确定”。如图1所示，将paas_aom设置为委托管理员。 图1 设置委托管理员

在Linux环境打包镜像 用户在Linux环境下，可以使用以下打包镜像的方式。 用户基于使用的镜像创建一个弹性云服务器，详细操作请参考弹性 云服务器入门 。 执行命令将install_uniagentd_self_OS.sh脚本下载到弹性云服务器上的/root 目录下： 下载命令的拼接规则：wget https://aom-uniagent-{region_id}.{obs_domain}/install_uniagentd_self_OS.sh 以华北-北京四区域为例： wget https://aom-uniagent-cn-north-4.obs.cn-north-4.myhuaweicloud.com/install_uniagentd_self_OS.sh {region_id}=cn-north-4 {obs_domain}=obs.cn-north-4.myhuaweicloud.com 在/etc/init.d/目录下添加执行以下命令，将install_uniagentd_self_OS.sh脚本设置成开机自启动： bash /root/install_uniagentd_self_OS.sh config 如果在/etc/init.d/目录下有AOMInstall开机启动脚本，即设置成功。 执行以下命令，删除配置脚本。执行完之后，即可制作镜像，制作私有镜像之前，Linux机器不能重启。 rm -f /root/install_uniagentd_self_OS.sh 在目标E CS 弹性云服务器的操作列单击“创建镜像”去创建私有镜像，详细操作请参考创建镜像。 根据用户的使用需要，配置镜像信息。

其他Exporter接入AOM实现指标监控 如果您所使用的Exporter还没有提供相应的接入方式，可以参考如下步骤进行接入。 查看支持的中间件Exporter。当前支持的中间件Exporter请参考：开源社区Exporter列表。 在常用中间件Exporter接入AOM中，已经提供部分常用中间件Exporter接入指导，您可以参考相关实践步骤，在CCE集群中部署其他的Exporter，并配置CCE集群指标采集规则，然后进行验证。

常用中间件Exporter接入AOM 表1 常用中间件Exporter接入AOM 操作指导 说明 PostgreSQL Exporter接入AOM实现指标监控 使用PostgreSQL过程中需要对PostgreSQL运行状态进行监控，以便了解PostgreSQL服务是否运行正常，及时排查PostgreSQL故障问题原因。Prometheus监控服务提供了CCE容器场景下基于Exporter的方式来监控PostgreSQL运行状态。本文介绍如何部署Exporter以及实现PostgreSQL Exporter告警接入等操作。 MySQL Exporter接入AOM实现指标监控 MySQL Exporter专门为采集MySQL数据库监控指标而设计开发，通过Exporter上报核心的数据库指标，用于异常报警和监控大盘展示。目前，Exporter支持5.6版本或以上版本的MySQL。在MySQL低于5.6版本时，部分监控指标可能无法被采集。 Kafka Exporter接入AOM实现指标监控 使用Kafka过程中需要对Kafka运行状态进行监控，例如集群状态、消息消费情况是否有积压等。Prometheus监控服务提供了CCE容器场景下基于Exporter的方式来监控Kafka运行状态。本文介绍如何部署Kafka Exporter以及实现Kafka Exporter告警接入等操作。 Memcached Exporter接入AOM实现指标监控 使用Memcached过程中需要对Memcached运行状态进行监控，以便了解Memcached服务是否运行正常，排查Memcached故障等。Prometheus监控服务提供了CCE容器场景下基于Exporter的方式来监控Memcached运行状态。本文为您介绍如何使用Prometheus监控服务Memcached。 MongoDB Exporter接入AOM实现指标监控 使用MongoDB过程中需要对MongoDB运行状态进行监控，以便了解MongoDB服务是否运行正常，排查MongoDB故障问题原因。Prometheus监控服务提供了CCE容器场景下基于Exporter的方式来监控MongoDB运行状态。本文介绍如何部署Exporter以及实现MongoDB Exporter告警接入等操作。 ElasticSearch Exporter接入AOM实现指标监控 使用ElasticSearch过程中需要对ElasticSearch运行状态进行监控，例如集群及索引状态等。Prometheus监控服务提供了CCE容器场景下基于Exporter的方式来监控ElasticSearch运行状态。本文介绍如何部署ElasticSearch Exporter以及实现ElasticSearch Exporter告警接入等操作。 Redis Exporter接入AOM实现指标监控 使用数据库Redis过程中需要对Redis运行状态进行监控，以便了解Redis服务是否运行正常，及时排查Redis故障等。Prometheus监控服务提供了CCE容器场景下基于Exporter的方式来监控Redis运行状态。本文为您介绍如何使用Prometheus监控Redis。

SSL证书介绍 SSL证书就是遵守SSL（Secure Socket Layer）协议，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。服务器通过安装SSL证书可以实现数据信息在客户端和服务器之间的加密传输，可以防止数据信息的泄露，保证了双方传递信息的安全性，而且可以通过服务器证书验证他所访问的网站是否是真实可靠。 SSL证书分为权威证书和自签名证书。权威证书由权威的数字证书认证机构签发，您可向第三方证书代理商购买，使用权威证书的Web网站，默认客户端都是信任的。自签名证书是由用户自己颁发给自己的，一般可以使用openssl生成，默认客户端是不信任的，浏览器访问时会弹出告警，选择忽略告警可继续正常访问。

使用SSL证书 当服务有公网访问时，可以使用SSL证书，设置ELB为HTTPS协议。 在创建负载的过程中，负载访问方式选择“公网访问”，ELB协议选择“HTTP/HTTPS”，证书选项选择SSL证书，负载创建过程中会将SSL证书自动安装到弹性负载均衡器上，从而实现数据传输加密。 图2 使用SSL证书 负载创建完成后，云容器实例将会在ELB中创建与负载名字相同证书。云容器实例服务创建以“beethoveen-cci-ingress”开头名称的证书，请勿删除或更新该类证书，否则引起访问异常。

Secret文件格式说明 secret.yaml资源描述文件 例如现在有一个应用需要获取下面的key-value并加密，可以通过Secret来实现： key1: value1 key2: value2 定义的Secret文件secret.yaml内容如下。其中Value需要进行Base64编码，Base64编码方法请参见如何进行Base64编码。 apiVersion: v1 kind: Secret metadata: name: mysecret # secret的名称 annotations: description: "test" labels: label-01: value-01 label-02: value-02 data: key1: dmFsdWUx #需要用Base64编码 key2: dmFsdWUy #需要用Base64编码 type: Opaque # 必须为Opaque secret.json资源描述文件 定义的Secret文件secret.json内容如下。 { "apiVersion": "v1", "kind": "Secret", "metadata": { "annotations": { "description": "test" }, "labels": { "label-01": "value-01", "label-02": "value-02" }, "name": "mysecret" }, "data": { "key1": "dmFsdWUx", "key2": "dmFsdWUy" }, "type": "Opaque" }

功能概览 使用CCE集群+bursting基于如下模型，用户需要重点关注下发负载和调度。 下发负载涉及到用户给负载进行的配置项，和用户自身的业务高度相关。 工作负载配置项 功能描述 功能规格 相关文档拓展 调度 用户可以通过多种方式来管理CCE集群的工作负载，来控制其调度到CCI服务。通过合理的调度策略配置，提升用户集群的资源利用率。 支持3种调度策略。 支持2种管理调度策略的方式。 支持多个虚拟节点调度。 调度负载到CCI 资源配额 用户通过配置pod的cpu、memory等字段约束容器使用资源规格和上限。插件对资源规格进行规整，尽可能为用户降低成本。 提供对pod资源配额进行规整的能力。 实例资源配额 镜像 用户通过镜像配置自身业务镜像，将自己的业务容器运行在华为云CCE集群+CCI服务上。 支持修改镜像配置方式。 支持原地升级镜像。 镜像 存储 用户通过存储相关的配置为工作负载外挂存储卷，以完成业务中数据持久存储的诉求。 支持多种存储类型。 支持替换工作负载hostpath配置方式。 存储 网络 用户通过网络配置规划CCE集群和CCI集群之间的网络拓扑。 支持CCI侧负载通过service发布。 支持CCE集群pod与CCI集群中pod通过service互通。 支持指定cluster-dns。 网络 日志 用户可以通过同时安装CCE Log Collector插件和bursting插件，采集CCI侧工作负载的日志。 支持弹性CCI的负载通过CCE Log Collector上报日志。 支持日志自动转储。 日志 监控 用户可以通过配置插件对接监控平台，提升弹性CCI工作负载的可观测性。 支持对接AOM。 支持对接普罗米修斯。 监控

资源使用说明 CCE集群+bursting的使用场景涉及到华为云周边服务的搭配使用，如下表格详细描述了涉及到的周边服务。 涉及服务 资源说明 备注 CCI 插件会在CCI服务新建一个名为“cce-burst-”+“CCE集群ID”的命名空间。 不建议直接在CCI服务使用该命名空间，如需使用CCI服务，请另外新建命名空间。 CCI服务命名空间不产生计费。 CCE CCE侧的工作负载、Secret、Congfigmap、PV、PVC会同步到CCI，同时也占用CCE节点的资源。 CCE集群资源规模1000 pod+1000 configmap建议申请2U4G节点规格。 CCE集群资源规模2000 pod+2000 configmap建议申请4U8G节点规格。 CCE集群资源规模4000 pod+4000 configmap建议申请8U16G节点规格。 ELB 开启“支持CCE集群pod与CCI集群pod通过service互通”功能bursting插件会自动创建ELB资源。 创建共享型性能保障规格的ELB，名称为cce-lb-xxx。 当卸载插件时，该ELB资源也会被自动清除。 VPC 弹性CCI的负载共享使用CCE集群所在VPC。 CCI命名空间Service网段为10.247.0.0/16，CCE集群的VPC子网网段请避开该网段。 SWR 创建弹性到CCI的工作负载选择镜像时，直接对接华为云SWR服务。 创建负载请确认镜像已被正确上传至您的SWR仓库。

Pod annotation CCE集群+bursting的使用场景涉及到自定义注解，相关注解含义如下表所示。 annotation key 描述 相关文档 scheduling.cci.io/managed-by-profile 标记当前pod被哪个profile资源管理。 调度负载到CCI virtual-kubelet.cci.io/burst-pod-cpu 标记弹性后规整的cpu资源。 实例资源配额 virtual-kubelet.cci.io/burst-pod-memory 标记弹性后规整的memory资源。 实例资源配额 coordinator.cci.io/inject-volumes CCI pod日志采集相关，日志采集插件注入。 日志 logconf.k8s.io/fluent-bit-configmap-reference CCI pod日志采集相关，日志采集插件注入。 日志 logconfigs.logging.openvessel.io CCI pod日志采集相关，日志采集插件注入。 日志 sandbox-volume.openvessel.io/volume-names CCI pod日志采集相关，日志采集插件注入。 日志 coordinator.cci.io/image-replacement 镜像地址前缀替换相关。 镜像

操作步骤 安装“云原生监控插件”。 登录CCE控制台。 选择CCE集群，单击进入CCE集群总览页面。 在导航栏左侧单击“插件中心”，进入插件中心首页。 选择“云原生监控插件”，单击“安装”。 图1 安装云原生监控插件 在安装插件页面，进行规格配置，部署模式选择“Server模式”。 如果需要在Agent部署模式下使用HPA功能，请联系技术支持人员。 通过云原生监控插件，提供系统资源指标。 如果CCE集群中未安装metrics-server插件，请开启Metric API，详情请参见通过Metrics API提供资源指标。配置完成后，可使用Prometheus采集系统资源指标。 如果CCE集群中已安装metrics-server插件，可以选择以下任意一种方式进行处理： 方式一：请卸载“Kubernetes Metrics Server”插件后，开启Metric API。 登录CCE控制台。 选择CCE集群，单击进入CCE集群总览页面。 在导航栏左侧单击“插件中心”，进入插件中心首页。 选择“Kubernetes Metrics Server”插件，单击“卸载”。 开启Metric API，详情请参见通过Metrics API提供资源指标。配置完成后，可使用Prometheus采集系统资源指标。 方式二：修改APIService对象。 需要更新APIService对象“v1beta1.metrics.k8s.io”： apiVersion: apiregistration.k8s.io/v1 kind: APIService metadata: labels: app: custom-metrics-apiserver release: cceaddon-prometheus name: v1beta1.metrics.k8s.io spec: group: metrics.k8s.io groupPriorityMinimum: 100 insecureSkipTLSVerify: true service: name: custom-metrics-apiserver namespace: monitoring port: 443 version: v1beta1 versionPriority: 100 可以将该对象保存为文件，命名为metrics-apiservice.yaml，然后执行以下命令： kubectl apply -f metrics-apiservice.yaml 执行kubectl top pod -n monitoring命令，如果显示如下，则表示Metrics API能正常访问： # kubectl top pod -n monitoring NAME CPU(cores) MEMORY(bytes) ...... custom-metrics-apiserver-d4f556ff9-l2j2m 38m 44Mi ...... 卸载插件时，需要执行以下kubectl命令，同时删除APIService对象，否则残留的APIService资源将导致metrics-server插件安装失败。 kubectl delete APIService v1beta1.metrics.k8s.io

云审计 服务支持的CCI操作列表 CCI通过云审计服务（Cloud Trace Service，简称 CTS ）为您提供云服务资源的操作记录，记录内容包括您从云管理控制台或者开放API发起的云服务资源操作请求以及每次请求的结果，供您查询、审计和回溯使用。 表1 云审计服务支持的CCI操作列表 操作名称 事件名称 创建一个Service对象 createService 删除一个Service对象 deleteService 删除指定Namespace下的所有Service对象 deleteServicesByNamespace 替换指定的Service对象 replaceService 更新指定的Service对象 updateService 删除一个Endpoint对象 deleteEndpoint 删除指定Namespace下的所有Endpoint对象 deleteEndpointsByNamespace 替换指定Namespace下的Endpoint对象 replaceEndpoint 更新指定Namespace下的Endpoint对象 updateEndpoint 创建一个Deployment对象 createDeployment 删除一个Deployment对象 deleteDeployment 删除指定Namespace下的所有Deployment对象 deleteDeploymentsByNamespace 替换指定Namespace下的Deployment对象 replaceDeployment 更新指定Namespace下的Deployment对象 updateDeployment 创建一个Statefulset对象 createStatefulset 删除一个Statefulset对象 deleteStatefulset 删除指定Namespace下的所有Statefulset对象 deleteStatefulsetsByNamespace 替换指定Namespace下的Statefulset对象 replaceStatefulset 更新指定Namespace下的Statefulset对象 updateStatefulset 创建一个Job对象 createJob 删除一个Job对象 deleteJob 删除指定Namespace下的所有Job对象 deleteJobsByNamespace 替换指定Namespace下的某个Job对象的状态 replaceJob 更新指定Namespace下的某个Job对象的状态 updateJob 创建一个Cronjob对象 createCronjob 删除一个Cronjob对象 deleteCronjob 删除指定Namespace下的所有Cronjob对象 deleteCronjobsByNamespace 替换指定Namespace下的某个Cronjob对象的状态 replaceCronjob 更新指定Namespace下的某个Cronjob对象的状态 updateCronjob 创建一个Ingress对象 createIngress 删除一个Ingress对象 deleteIngress 删除指定Namespace下的所有Ingress对象 deleteIngressesByNamespace 替换指定Namespace下的特定Ingress对象 replaceIngress 更新指定Namespace下的某个Ingress对象的状态 updateIngress 创建一个Namespace createNamespace 删除一个Namespace deleteNamespace 创建一个Pod createPod 更新指定Pod updatePod 替换指定Pod replacePod 删除一个Pod deletePod 删除Namespace下所有的Pod deletePodsByNamespace 删除指定Event deleteEvent 创建一个Configmap createConfigmap 更新指定Configmap updateConfigmap 替换指定Configmap replaceConfigmap 删除一个Configmap deleteConfigmap 删除指定Namespace下所有的Configmap deleteConfigmapsByNamespace 创建一个Secret createSecret 更新指定Secret updateSecret 替换指定Secret replaceSecret 删除指定Secret deleteSecret 删除指定Namespace下所有的Secret deleteSecretsByNamespace 创建Network createNetworks 删除指定Network deleteNetwork 创建一个Network createNetwork 删除指定Namespace下所有的Network deleteNetworksByNamespace 更新指定Network updateNetwork 替换指定Network replaceNetwork 创建network-attachment-definition createNetworkAttachmentDefinition 删除指定Namespace下所有的network-attachment-definitions deleteNetworkAttachmentDefinitionsByNamespace 删除指定network-attachment-definition deleteNetworkAttachmentDefinition 创建PV createPersistentvolume 删除指定Namespace下所有的PV deletePersistentvolumesByNamespace 替换指定PV replacePersistentvolume 更新指定PV updatePersistentvolume 删除指定PV deletePersistentvolume 创建PVC createPersistentvolumeclaim 导入已有PVC createPersistentvolumeclaimByStorageInfo 删除指定Namespace下所有的PVC deletePersistentvolumeclaimsByNamespace 替换指定PVC replacePersistentvolumeclaim 更新指定PVC updatePersistentvolumeclaim 删除指定PVC deletePersistentvolumeclaim 购买一个套餐包 createPackageproduct 购买活动套餐包 createActiveproduct 创建Kubeflow job createKubeflowJob 删除指定Namespace下所有的Kubeflow job deleteKubeflowJobsByNamespace 替换指定Kubeflow job replaceKubeflowJob 更新指定Kubeflow job updateKubeflowJob 删除指定Kubeflow job deleteKubeflowJob 创建Volcano job createVolcanoJob 删除指定Namespace下所有的Volcano job deleteVolcanoJobsByNamespace 替换指定Volcano job replaceVolcanoJob 更新指定Volcano job updateVolcanoJob 删除指定Volcano job deleteVolcanoJob 创建Agency createAgency 更新配额 modifyQuota 创建一个imagecache对象 createImagecache 删除一个imagecache对象 deleteImagecache 替换指定的imagecache对象 replaceImagecache 更新指定的imagecache对象 updateImagecache 上传模板 createChart 更新指定模板 updateChart 删除指定模板 deleteChart 上传插件 createAddon 更新指定插件 updateAddon 删除指定插件 deleteAddon 创建模板实例 createRelease 更新模板实例 updateRelease 删除模板实例 deleteRelease 创建插件实例 createAddonInstance 更新插件实例 updateAddonInstance 删除插件实例 deleteAddonInstance 创建插件readme createAddonReadme 删除插件Readme deleteAddonReadme 父主题： 审计

PersistentVolumeClaim（PVC） 云容器实例使用PVC申请并管理持久化存储，PVC可以让您无需关心底层存储资源如何创建、释放等动作，而只需要申明您需要何种类型的存储资源、多大的存储空间。 在实际使用中，您可以通过Pod中的Volume来关联PVC，通过PVC使用持久化存储，如图1所示。 图1 使用持久化存储 在云容器实例控制台，您可以导入已经创建的EVS、SFS和SFS Turbo，导入这些存储资源的同时会创建一个PVC用于这些存储资源。 您还可以在云容器实例控制台直接购买EVS和SFS，购买动作不仅购买实际的存储资源，同时还会创建PVC，也就是在这里购买就会直接导入到云容器实例中。

使用第三方镜像拉取用户业务镜像 使用CCI提供的工具创建第三方镜像仓库认证secret。 imagepull-secret-generator --ak=$ak --sk=$sk --private-user=$user --private-password=$password --output-file-path=my-imagepull-secret.json --project-name=region --secret-name=my-imagepull-secret --swr-address=swr.***.com 登录CCE集群节点，为集群创建secret。 kubectl apply -f my-imagepull-secret.json 创建负载，使用secret。 在spec.imagePullSecrets中指定第三方仓库认证secret。 apiVersion: apps/v1 kind: Deployment metadata: labels: app: test-imagepull virtual-kubelet.io/burst-to-cci: enforce name: test-imagepull spec: replicas: 1 selector: matchLabels: app: test-imagepull template: metadata: labels: app: test-imagepull spec: containers: - image: xxx/my-image:latest imagePullPolicy: Always name: nginx resources: limits: cpu: 1 memory: 2Gi requests: cpu: 1 memory: 2Gi imagePullSecrets: - name: my-imagepull-secret

操作步骤 登录CCE控制台。 选择CCE集群，单击进入CCE集群总览页面。 在导航栏左侧单击“监控中心”，进入监控中心首页。 单击“立即开通”。 在导航栏左侧单击“工作负载”，进入工作负载首页。 单击工作负载对应的右侧操作“监控”按钮。 查看负载监控指标，详情请参考云原生监控插件。 关于更多监控中心的用法，请参考应用运维管理（AOM）服务帮助文档。 也可以在CCI2.0 console界面上查看指标；前置条件：当前命名空间需开启AOM监控

配置流水线权限 访问CodeArts Pipeline首页。 在流水线列表页搜索目标流水线，单击操作列，选择“编辑”。 进入流水线“任务编排”页面，切换至“权限管理”页面，关闭“继承项目权限配置”，即可为流水线配置角色权限和人员权限。 配置角色权限 通过勾选/取消勾选，指定角色对当前流水线的查看、执行、编辑、删除操作权限。 图1 配置角色权限 配置人员权限 通过勾选/取消勾选，指定人员对当前流水线的查看、执行、编辑、删除操作权限。 图2 配置人员权限

流水线扩展插件使用场景 使用者可通过扩展插件对接使用各类云服务。如使用CodeArts Pipeline提供的官方插件，如Kubernetes发布。 开发者利用官方工具镜像进行插件开发，自行实现业务逻辑。当前支持开发者使用主流多语言进行业务脚本编写，如：shell/nodejs/python/java等。针对业务的特殊环境要求，支持使用自定义执行机配合基础插件（执行容器镜像）提供更加多样的执行方式。 使用者可开发扩展插件对接已有的第三方CI/CD工具。

配置发布管理原子插件 发布管理提供滚动升级插件、通用k8s部署插件、灰度起负载插件、灰度引流插件、灰度下线插件和人工卡点插件五种插件，用于滚动升级和灰度升级，以下分别介绍各插件配置方法。 滚动升级插件 滚动升级包括两种部署方式：镜像创建和YAML创建。 镜像创建：替换工作负载中容器的镜像。 表2 参数说明 参数项 说明 命名空间 待升级的服务所在的命名空间。 工作负载 命名空间下的工作负载。 容器 工作负载中需要升级的容器。 YAML创建：使用yaml文件升级或上线工作负载。 表3 参数说明 参数项 说明 仓库类型 代码仓库的类型，当前仅支持Repo。 代码仓 当前项目下的代码仓。 分支 代码仓库分支。 工作负载YAML路径 升级的工作负载YAML路径，填写YAML文件的相对路径。 当前目录为代码分支的根目录。 仅支持单个YAML文件。 YAML路径可以使用“${变量名}”引用环境变量，YAML文件中可以使用“{{变量名}}”引用环境变量。 通用k8s部署插件 通用k8s部署插件，按照用户配置的代码仓信息及文件路径，取到对应的文件，并将其下发至用户的k8s集群。 表4 参数说明 参数项 说明 仓库类型 代码仓库的类型，当前仅支持Repo。 代码仓 当前项目下的代码仓。 分支 代码仓库分支。 资源路径 填写YAML文件的相对路径。 当前目录为代码分支的根目录。 YAML路径可以使用“${变量名}”引用环境变量，YAML文件中可以使用“{{变量名}}”引用环境变量。 灰度起负载插件 灰度起负载包括两种部署方式：镜像升级和YAML部署。 镜像创建：替换工作负载中容器的镜像，创建与线上配置完全一致的工作负载，仅更新构建产物（镜像包）。 表5 参数说明 参数项 说明 命名空间 待升级的服务所在的命名空间。 服务 集群命名空间下的Service，需要确保该Service有且仅有一个工作负载与其关联。 自定义版本号 开关关闭，系统将自动随机生成灰度版本号；开关开启，用户可以按需配置灰度版本号。 灰度版本号 灰度版本号将作为新旧负载的引流标识，用于区分正式版本和灰度版本，请按需配置，支持使用${ENV}引用环境变量。如：${TIMESTAMP}，表示引用系统时间戳环境变量作为灰度版本号。 支持大小写英文字母、数字、“-”、“_”、“.”，长度不超过62个字符。 YAML创建：使用yaml文件上线或升级工作负载。 表6 参数说明 参数项 说明 命名空间 待升级的服务所在的命名空间。 服务 集群命名空间下的服务，需要确保该服务有且仅有一个工作负载与其关联。 仓库类型 代码仓库的类型，当前仅支持Repo。 代码仓 当前项目下的代码仓。 分支 代码仓库分支。 工作负责YAML路径 填写YAML文件的相对路径。 当前目录为代码分支的根目录。 仅支持单个YAML文件。 YAML路径可以使用“${变量名}”引用环境变量，YAML文件中可以使用“{{变量名}}”引用环境变量。 灰度引流插件 选择引流类型，包括：Service蓝绿引流和ASM灰度引流。 Service蓝绿引流：基于集群Service将所有流量切换至新负载（灰度负载）。 ASM灰度引流：基于ASM的VirtualService和DestinationRule配置来控制访问流量，可以基于流量比例、请求Header等进行灰度引流，要求集群内安装ASM（应用服务网格）。 灰度下线插件 灰度下线插件会自动下线服务关联的旧工作负载，无需配置。 人工卡点插件 可以在卡点确认时进行批准或驳回部署策略，运行至人工卡点时流水线将暂停，若审批通过则继续执行，若驳回则终止执行。 表7 参数说明 参数项 说明 超时处理 超过等待审批时间后流水线的处理方案。 卡点失败，发布流终止执行：运行至人工卡点时流水线将暂停，若超时不处理则终止执行流水线。 忽略结果，发布流继续执行：运行至人工卡点时流水线将暂停，若超时不处理则继续执行流水线。 卡点时长 等待审批的时间，时间范围为1分钟至12小时。 卡点说明 卡点内容说明。长度不超过200个字符。

新建发布管理自定义策略 发布管理环境预置了滚动升级模板、灰度升级模板和空白yaml模板，用户可以基于任一模板，添加原子插件，编辑发布策略。 进入发布管理环境列表页面。 单击环境名称，进入“环境信息”页面。 单击“发布策略”页签，切换至“发布策略”页面。 单击“自定义策略”旁的，弹出“新建策略”对话框，选择策略模板，单击“确定”。 在模板的基础上自定义编排插件，并配置相关信息。 表1 新建策略 参数项 说明 策略名称 策略的名称。支持中文、英文字母、数字、“-”、“_”，不超过128个字符。 策略描述 长度不超过200个字符。 编排插件 选择策略模板后会自动生成相应的插件，可根据需要自定义编排并配置插件信息，插件参数配置请参考配置发布管理原子插件。 单击，可添加插件。 单击，可复制当前插件。 单击，可删除当前插件。 配置完成后，单击“保存”。 在左侧目录找到刚创建的策略，单击策略所在行，即可应用该策略，应用后策略会变为“默认”的状态。

查看发布管理发布结果 进入发布管理环境列表页面。 单击环境名称，进入“环境信息”页面。 单击“部署历史”页签，切换至“部署历史”页面，页面展示该环境的所有工单历史。 单击工单名称，可以进入工单的详情页面，详情页面展示本次发布的发布流信息、基本信息以及各原子插件发布单信息。 发布流信息 图1 发布流信息 展示工单执行结果、工单类型、触发人、流水线、发布策略模板等信息，单击对应原子插件可展示该插件的发布单信息。 取消：在发布过程中，单击“取消”可手动取消本次发布。 重试：在发布过程中，如果出现失败或取消运行，单击“重试”可重试发布流。 回滚：单击“回滚”弹出提示确认框，确认后将取消本次发布过程，将服务状态恢复至发布前。 环境直接发布时，部署工单不展示流水线信息。 支持在发布流的任意时刻回滚，可用于当前部署版本不符合预期，需要快速将环境恢复到上一次可用状态的场景。 基本信息 展示环境名称、策略、服务扩展点、变量版本、镜像、开始时间、结束时间。 原子插件发布单信息 展示各原子插件的发布详情，单击可以手动刷新发布单详情。 图2 原子插件的发布详情 表1 原子插件发布单信息 插件类型 发布单信息 滚动升级 发布单展示升级的工作负载信息、工作负载对应的实例信息以及关键事件信息。 工作负载信息 负载名称、类型、命名空间及创建时间。 实例信息 实例名称、实例运行状态、Pod IP、Host IP （Pod所在节点的IP）、实例创建的时间。 关键事件 查看Pod的关键事件信息，可用于辅助Pod问题定位，包括Kubernetes组件名、事件类型、K8s事件、首次发生时间、最近发生时间。 灰度起负载 发布单展示升级的工作负载信息、工作负载对应的实例信息以及关键事件信息，单击卡片可以切换新旧负载，查看对应负载信息。 工作负载信息 旧负载名称、新负载名称、负载类型及命名空间。 实例信息 实例名称、实例运行状态、Pod IP、Host IP （Pod所在节点的IP）、实例创建的时间。 关键事件 查看Pod的关键事件信息，可用于辅助Pod问题定位，包括Kubernetes组件名、事件类型、K8s事件、首次发生时间、最近发生时间。 灰度引流 发布单展示服务名称、旧版本号、新版本号和命名空间。 灰度下线 发布单展示负载名称、负载类型和命名空间。 人工卡点 发布单展示卡点时长、操作时间、卡点说明、卡点状态等信息。 父主题： 发布管理(CodeArts Release)使用指南

通过云原生发布插件进行发布 配置流水线。 在流水线阶段新建任务， 添加“云原生发布”插件，参数说明如表1。 云原生发布提供环境级别的服务发布能力，支持在CCE集群对环境进行自定义编排发布（如：滚动发布和灰度发布）。 图1 配置云原生发布插件 表1 参数说明 参数项 说明 名称 插件的名称。支持输入中文、大小写英文字母、数字、“-”、“_”、“,”、“;”、“:”、“.”、“/”、“(”、“)”、“（”、“）”、空格，长度不超过128个字符。 环境级别 任务发布的环境类别，对发布管理的环境类型，目前支持开发环境、测试环境、预发环境和生产环境。 环境 需要发布的环境，详见新建发布管理环境。 产物地址 部署发布时使用的镜像地址，如：swr.example.com/demo/springboot-helloworld:v1.1，可以通过“${}”引用流水线参数，如：swr.example.com/demo/springboot-helloworld:${version}。 说明： 推荐使用 SWR容器镜像 服务，可通过编译构建制作镜像并推送到SWR仓库。 配置完成后，运行流水线，可实时查看运行进展。 单击云原生发布插件任务，可查看任务运行情况，包括任务日志和任务结果。 图2 查看云原生发布插件运行结果 任务日志：查看实时日志信息和运行状态。 任务结果：查看任务基本信息，包括工单名称、工单ID、触发人等。 单击工单ID或“查看详情”可进入发布管理工单详情页面，工单详情页介绍请参见查看发布管理发布结果。

配置流水线定时执行 配置流水线在指定的时间自动执行。 访问CodeArts Pipeline首页。 在流水线列表页搜索目标流水线，单击操作列，选择“编辑”。 进入流水线“任务编排”页面，切换至“执行计划”页面。 单击“定时任务”区域的“创建定时任务”，增加一个定时任务，打开“启用定时执行”开关（默认开启），配置如下信息： 图4 配置定时任务 表1 定时任务 参数项 说明 启用定时执行 选择是否开启定时执行。 执行日 选择执行日期。 时间段 选择执行时间段和时区。 间隔时间 设置间隔时间，即每间隔多长时间触发一次。 执行方案 选择定时执行的执行方案，也可新建执行方案，新建执行方案可参考配置执行方案。 最多可以设置10个定时任务。 单击右上角，可删除定时任务；单击右上角，可复制定时任务。 配置完成后，保存流水线。

配置流水线并发策略 默认单条流水线最大执行并发数为5，超过并发数后新的触发忽略不执行。可以通过并发策略为单条流水线配置同时处于运行中和暂停状态的流水线最大实例个数，即并发数，更细粒度地为用户分配并发资源。 访问CodeArts Pipeline首页。 在流水线列表页搜索目标流水线，单击操作列，选择“编辑”。 进入流水线“任务编排”页面，切换至“执行计划”页面。 打开“并发策略”开关（默认关闭），设置并发数和超过并发后执行策略。 图6 配置并发策略 表3 配置并发策略 参数项 说明 并发个数 单条流水线最大执行并发数，受套餐和购买并发数限制。 超过并发后执行策略 超过并发数后可选择如下两种处理方式： 排队等待：超过并发数后新的触发排队等待执行，可进入流水线详情页查看排队记录。 单条流水线最多支持100条排队记录。 单条排队记录排队时长超过24小时后会被放弃执行。 排队记录支持手动取消排队，即放弃执行。 排队记录执行时，配置信息以入队时为准。 忽略不执行：超过并发数后新的触发忽略不执行。 配置完成后，保存流水线。

Webhook触发 通过Webhook触发，用户可以通过任意第三方系统触发流水线执行。 访问CodeArts Pipeline首页。 在流水线列表页搜索目标流水线，单击操作列，选择“编辑”。 进入流水线“任务编排”页面，切换至“执行计划”页面。 打开“Webhook”开关（默认关闭），参数说明如表2，保存流水线后即可生效。 图5 配置Webhook触发 表2 配置Webhook触发 参数项 说明 Webhook触发源 将该地址复制到第三方系统触发器，使用Post方法调用，即可运行流水线。 IAM认证 启用IAM认证，需要将用户IAM Token加入接口请求头，调用示例如下： curl --header "Content-Type: application/json" --header 'x-auth-token: XXXX（IAM Token）' --request POST --data "{}" Webhook触发源 不启用IAM认证，调用示例如下： curl --header "Content-Type: application/json" --request POST --data "{}" Webhook触发源