本文介绍如何在控制台创建阿里云容器服务安全加密计算托管集群(Alibaba Cloud Container Service for Kubernetes-Trusted Execution Environment,简称ACK-TEE)。
索引
前提条件
使用限制
限制项 | 说明 | 配额申请链接/相关文档 | |
费用 | 用户账户至少需要有100元的余额并通过实名认证,否则无法创建按量付费的ECS实例和负载均衡。 | ||
网络 | ACK集群仅支持专有网络VPC。 | ||
云资源 | ECS实例 | 仅支持创建按量付费和包年包月的ECS实例。实例创建后,您可以通过ECS管理控制台将按量付费转预付费。 | |
VPC路由条目 | 每个账户初始默认状况下VPC路由条目不超过200条,当ACK集群的网络模式是Flannel时,集群的路由条目最大不能超过200个(网络模式是Terway则不受该影响)。如集群需要更多路由条目数,您需要对目标VPC申请提高配额 。 | ||
安全组 | 每个账号默认最多可以创建100个安全组。 | ||
负载均衡实例 | 每个账号默认最多可以创建60个按量付费的负载均衡实例。 | ||
EIP | 每个账号默认最多可以创建20个EIP。 |
创建加密计算托管集群时,以下界面参数需要按照表中的要求配置,否则创建的集群将无法支持运行Intel SGX应用。
配置项 | 说明 |
可用区 | 目前仅规格族为安全增强计算型c7t、安全增强通用型g7t、安全增强内存型r7t的实例规格支持加密计算集群,请确保所选可用区包含这些实例规格。关于ECS实例规格可购买地域和可用区的更多信息,请参见ECS实例规格可购买地域总览。 |
容器运行时 | Containerd 1.4.4或更高版本 |
实例规格 | 选择规格族为安全增强计算型c7t、安全增强通用型g7t、安全增强内存型r7t的实例规格。 说明 Intel IceLake仅支持基于Intel SGX DCAP的远程证明方式,不支持基于Intel EPID方式的远程证明方式,您的程序可能需要适配后才能正常使用远程证明功能。关于远程证明的更多信息,请参见attestation-services。 |
操作系统类型 | Alibaba Cloud Linux 2.xxxx 64位UEFI版 |
网络插件 | Flannel |
步骤一:登录容器服务管理控制台
登录容器服务管理控制台,在左侧导航栏选择集群。
在集群列表页面,单击页面右上角的集群模板。
在选择集群模板页面的托管集群区域选择加密计算托管集群,并单击创建。
步骤二:配置集群
在ACK 托管版页面,完成集群基础选项配置和高级选项配置。
集群基础选项
配置项 | 描述 |
账号全部资源 | 将鼠标悬浮于页面上方的账号全部资源,选择资源组。在控制台页面顶部选择的资源组可过滤出该资源组内的专有网络及对应的虚拟交换机。在创建集群时,只显示过滤的专有网络实例及专有网络对应的虚拟交换机实例。 |
集群名称 | 集群的名称。长度为1~63个字符,可包含数字、下划线(_)或中划线(-),需以英文大小写字母、中文或数字开头。 |
集群规格 | 选择集群规格,支持Pro 版和基础版。企业生产和测试环境中推荐使用ACK集群Pro版。ACK集群基础版仅供个人学习与测试使用。 |
地域 | 集群所在的地域。 |
付费类型 | 支持按量付费和包年包月两种付费类型。选择包年包月时,需设置以下参数。 说明 设置付费类型为包年包月时,仅ECS云服务器和SLB负载均衡按照包年包月的方式计费,其他云资源仍然按照按量付费的方式计费。关于云资源的详细介绍,请参见云产品资源计费。
|
Kubernetes 版本 | 当前支持的Kubernetes版本。 |
加密计算 | 选中开启。 |
IPv6双栈 | |
专有网络 | 设置集群的网络,您可以选择普通VPC和共享VPC。
说明 ACK集群仅支持专有网络。您可以在已有VPC列表中选择所需的VPC。如果没有您需要的专有网络,可以通过单击创建专有网络进行创建,请参见创建和管理专有网络。 |
网络插件 | 加密计算仅支持Flannel。 |
虚拟交换机 | 设置虚拟交换机。 您可以在已有虚拟交换机列表中,根据可用区选择交换机。如果没有您需要的交换机,可以通过单击创建虚拟交换机进行创建,请参见创建和管理交换机。 |
Pod 网络 CIDR | 网络插件选择Flannel时,需要配置Pod 网络 CIDR。 Flannel网络插件需要配置Pod网络CIDR,网段不能和VPC及VPC已有ACK集群使用的网段重复,创建成功后不能修改,而且Service地址段不能和Pod地址段重复。有关集群网络地址段规划的信息,请参见Kubernetes集群网络规划。 |
节点 Pod 数量 | 如果网络模式为Flannel,需设置节点 Pod 数量。 |
Service CIDR | 设置Service CIDR。需要指定Service CIDR,网段不能与VPC及VPC内已有ACK集群使用的网段重复,创建成功后不能修改,而且Service地址段也不能和Pod地址段重复。有关集群网络地址段规划的信息,请参见Kubernetes集群网络规划。 |
IPv6 Service CIDR | 开启IPv6双栈后,您需要为Service CIDR配置IPv6地址段。配置网段时,请注意:
关于集群网络地址段规划的信息,请参见Kubernetes集群网络规划。 |
配置 SNAT | 创建集群时,默认选中。如果您选择的VPC不具备公网访问能力,选中为专有网络配置 SNAT后,ACK将为您创建NAT网关并自动配置SNAT规则。 |
API server 访问 | ACK默认为API Server默认创建一个按使用量计费的私网SLB实例。 重要
您可设置是否开放使用 EIP 暴露 API Server。API Server提供了各类资源对象(Pod,Service等)的增删改查及Watch等HTTP Rest接口。
|
安全组 | |
集群删除保护 | 是否启用集群删除保护。推荐开启,以防止通过控制台或OpenAPI误删除集群。 |
资源组 | 创建的集群将归属于选择的资源组。一个资源只能归属于一个资源组。根据不同的业务场景,您可以将资源组映射为项目、应用或组织等概念。 |
集群高级选项
单击显示高级选项,配置集群高级选项。
步骤三:配置节点池
单击下一步:节点池配置,完成节点池基础选项配置和高级选项配置。
节点池基础选项
配置项 | 描述 |
节点池名称 | 自定义的节点池名称。 |
托管节点池 | 是否开启托管功能。 |
集群维护窗口 | 选中托管节点池后,可设置此配置项。 托管节点池将在维护窗口进行自动化升级,例如节点池镜像升级、运行时升级、Kubernetes版本等。更多信息,请参见托管节点池概述。 单击设置,在集群维护窗口对话框,设置维护周期、维护起始时间以及维护时长,然后单击确定。 |
容器运行时 | 根据集群Kubernetes版本选择容器运行时。
|
实例规格及已选规格 | 目前仅规格族为安全增强计算型c7t、安全增强通用型g7t、安全增强内存型r7t的实例规格支持运行Intel SGX2.0应用。 |
期望节点数 | 节点池应该维持的总节点数量。您可以通过调整期望节点数,达到扩容或缩容节点池的目的。如无需创建节点,可以填写为0。更多信息,请参见扩缩容节点池。 说明 建议创建时最少选择两台,创建好之后,可以根据您的实际情况,加减节点。节点太少或者规格太低,会影响集群组件的运行。 |
系统盘 | 支持ESSD AutoPL、ESSD云盘、ESSD Entry、SSD云盘和高效云盘。 系统盘可选的类型与选择的实例规格相关。如果云盘类型下拉列表没有显示的云盘类型,代表不支持该云盘类型。 关于云盘的更多信息,请参见块存储概述;查询实例规格支持的云盘类型,请参见实例规格族。 说明
您可以选择配置更多系统盘类型,配置与系统盘不同的磁盘类型,提高扩容成功率。创建实例时,系统将根据指定的磁盘类型顺序,选择第一个匹配的磁盘类型用于创建实例。 |
挂载数据盘 | 支持ESSD AutoPL、ESSD云盘、ESSD Entry以及上一代云盘(SSD云盘和高效云盘)。挂载数据盘时,数据盘可选的类型与选择的实例规格相关。如果云盘类型下拉列表没有显示的云盘类型,代表不支持该云盘类型。 关于云盘的更多信息,请参见块存储概述;查询实例规格支持的云盘类型,请参见实例规格族。
说明 一台ECS实例最多可挂载64块数据盘,不同实例规格支持挂载的最多云盘数量不同。实例规格支持挂载的云盘数量上限,可以通过DescribeInstanceTypes接口查询(DiskQuantity)。 |
操作系统 | 仅支持Alibaba Cloud Linux 2.xxxx 64位UEFI版。 |
安全加固 |
说明 集群创建完成后,安全加固选项不支持修改。 |
登录方式 | |
公网 IP | 是否为节点分配IPv4地址。如果未选中,不会配公网IP地址,当选择公网IP后,还需配置带宽计费方式和带宽峰值。 说明 该选项仅对节点池新增节点生效,对节点池已有节点无效。已有节点如需访问公网,请配置并绑定弹性公网IP地址。具体操作,请参见将EIP绑定至ECS实例。 |
云监控插件 | 是否安装云监控插件。安装后,可在云监控控制台查看所创建ECS实例的监控信息。 说明 该选项仅对节点池新增节点生效,对节点池已有节点无效。已有节点如需安装云监控插件,请通过云监控控制台安装。 |
节点池高级选项
单击显示高级选项,配置节点池高级选项。
步骤四:配置组件
单击下一步:组件配置,完成组件基础选项配置和高级选项配置。
组件基础配置
配置项 | 描述 |
Ingress | 设置是否安装Ingress网络组件。如果有对外暴露服务的需求,则推荐安装Ingress组件。默认为Nginx Ingress。
|
服务发现 | 设置是否安装NodeLocal DNSCache组件,默认安装NodeLocal DNSCache。 NodeLocal DNSCache用于运行DNS缓存代理以提升域名解析性能和稳定性。关于NodeLocal DNSCache的更多信息,请参见使用NodeLocal DNSCache。 |
存储插件 | 默认是CSI存储插件。默认选中创建默认NAS文件系统和CNFS容器网络文件系统动态存储类型,并默认开启 NAS 回收站特性,支持数据快速恢复。Kubernetes集群通过Pod可自动绑定阿里云云盘、NAS、OSS存储服务。更多信息,请参见存储管理-CSI。 |
容器监控 | 默认选中使用 Prometheus 监控服务,为容器服务ACK集群提供基础监控和报警。 |
日志服务 | 默认选中创建 Ingress Dashboard,您可以选择是否在日志服务控制台中创建 Ingress Dashboard。更多信息,请参见Nginx Ingress访问日志分析与监控。 |
报警配置 | 默认选中使用默认报警模板配置报警,开启默认报警规则。开启后,可以设置报警通知联系人分组,默认为Default Contact Group。详细介绍,请参见容器服务报警管理。 |
控制平面组件日志 | 默认选中开启,将从ACK控制层收集托管集群控制平面组件日志到您账号中的SLS日志服务的Log Project中。更多信息,请参见收集ACK托管集群控制平面组件日志。 |
集群巡检 | 启用智能运维的集群巡检功能,定期扫描集群内配额、资源水位、组件版本等,识别集群内潜在的风险。更多信息, 请参见使用集群巡检。 |
组件高级选项
单击显示高级选项,选中需要安装的组件。
步骤五:确认配置
单击下一步:确认配置,确认配置信息,仔细阅读并选中服务协议,然后单击创建集群。
集群创建成功后,您可以在容器服务管理控制台的集群列表页面查看所创建的集群。
一个包含多节点的集群的创建时间一般约为十分钟。
相关操作
查看集群基本信息
在集群列表页面中,找到刚创建的集群,单击操作列中的详情,单击基本信息和连接信息页签,查看集群的基本信息和连接信息。其中:
API Server 公网连接端点:Kubernetes的API Server对公网提供服务的地址和端口,可以通过此服务在用户终端使用kubectl等工具管理集群。
绑定公网IP和解绑公网IP功能仅支持托管版Kubernetes集群。
绑定公网IP:您可以选择在已有EIP列表中绑定EIP或者新建EIP。
绑定公网IP操作会导致API Server短暂重启,请避免在此期间操作集群。
解绑公网IP:解绑公网IP后您将无法通过公网访问API Server。
解绑公网IP操作会导致API Server短暂重启,请避免在此期间操作集群。
API Server 内网连接端点:Kubernetes的API Server对集群内部提供服务的地址和端口,此IP为负载均衡的地址。
查看集群日志信息
您可以单击操作列的
,进入日志中心页面查看集群的日志信息。查看集群节点信息
您可以获取集群KubeConfig并通过kubectl工具连接集群,执行
kubectl get node
查看集群的节点信息。