在ACS集群中创建Agent Sandbox

步骤一：通过 SandboxSet 创建预热池

预热池是一组预先创建的 Sandbox 副本，由 SandboxSet CR 管理。应用从预热池中直接获取已就绪的 Sandbox，可显著提高交付效率。

1. 单击左侧导航栏自定义资源，选择资源定义（CustomResourceDefinition）页签，单击使用YAML创建资源。

2. 使用以下 YAML 创建 SandboxSet 资源。ack-sandbox-manager 会自动监听并识别该资源，同步初始化名为 code-interpreter 的沙箱模板配置。

   在YAML中添加alibabacloud.com/compute-class: agent-sandbox标签即指定使用Agent Sandbox实例类型。

   apiVersion: agents.kruise.io/v1alpha1
   kind: SandboxSet
   metadata:
     name: code-interpreter
     namespace: default
   spec:
     scaleStrategy:
       maxUnavailable: 500
     # 预热池的大小，建议比预估的请求突发量略大
     replicas: 10
     # 可选，创建的沙箱在休眠、唤醒过程中需要保留的内容
     # persistentContents:
       # - ip
     # Sandbox 模板，与 Sandbox CRD 一致
     template:
       metadata:
         # annotations:
           # 可选，不填则使用acs-profile中的安全组配置，
           # 需确保对应安全组有足够的可用IP，至少需要大于replicas
           # IP不足会导致sandbox创建缓慢甚至失败
           # network.alibabacloud.com/security-group-ids: sg-8******
         labels:
           # 使用 ACS 算力
           alibabacloud.com/acs: "true"
           alibabacloud.com/compute-class: agent-sandbox # Agent Sandbox 实例类型 
           alibabacloud.com/compute-qos: default # 算力质量 default/best-effort
       spec:
         initContainers:
           # 以 native-sidecar 形式声明 agent-runtime，自动给Sandbox容器注入 envd 等运行时组件
           - name: runtime
             image: registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/agent-runtime:v0.0.5 # 请将 cn-zhangjiakou 替换为实际地域ID 
             command: [ "sh", "/workspace/entrypoint_inner.sh" ]
             volumeMounts:
               # 与主容器的共享目录
               - name: envd-volume
                 mountPath: /mnt/envd
             env:
               - name: ENVD_DIR
                 value: /mnt/envd
               # 这个环境变量使得 sidecar 共享主容器的资源，不产生额外费用
               - name: __IGNORE_RESOURCE__
                 value: "true"
             restartPolicy: Always
         containers:
         - name: sandbox
           # e2b code-interpreter 镜像，支持全地域、vpc 拉取
           image: registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter:v1.6 # 请将 cn-zhangjiakou 替换为实际地域ID
           imagePullPolicy: IfNotPresent
           # 推荐设置资源需求，否则在 ACS 环境下会被设置成超小规格影响运行
           resources:
             limits:
               cpu: 1
               memory: 1Gi
             requests:
               cpu: 1
               memory: 1Gi
           startupProbe:
             failureThreshold: 10
             httpGet:
               path: /health
               port: 49999
             initialDelaySeconds: 1
             periodSeconds: 2
             timeoutSeconds: 1
           env:
             # 指定 runtime 注入的 envd 组件位置
             - name: ENVD_DIR
               value: /mnt/envd
           volumeMounts:
             # 与 runtime 的共享目录
             - name: envd-volume
               mountPath: /mnt/envd
           # 通过 post start hook 启动 envd 服务
           lifecycle:
             postStart:
               exec:
                 command: [ "/bin/bash", "-c", "/mnt/envd/envd-run.sh" ]
         # 保证容器快速销毁，提高复用的概率
         terminationGracePeriodSeconds: 1
         volumes:
           - name: envd-volume
             emptyDir: { }

   code-interpreter镜像使用说明

   • 镜像拉取：registry-cn-hangzhou-vpc.ack.aliyuncs.com/acs/code-interpreter镜像是 ACS 基于 e2b-code-interpreter 项目制作的示例镜像，兼容 E2B 客户端的run_code接口，推荐直接使用。可将镜像地址中的地域修改为实际的地域以提高拉取速度，或去除-vpc通过公网拉取。

   • 使用自定义镜像：如需使用 E2B code-interpreter（直接使用或作为 base 镜像），推荐选择 ACS 提供的版本化镜像。ACS 不保证运行时与 E2B 官方 latest 镜像的兼容性。如需要使用自定义镜像，请确保镜像满足以下条件：

     1. 包含 cp、mv、mkdir 等基础指令。

     2. 包含 bash 且可执行文件位于/bin/bash。

     使用自定义镜像时，E2B 的run_code方法暂时无法使用。

3. 单击左侧导航栏容器组，选择对应的命名空间，查看已创建的code-interpreter Sandbox。

   可通过kubectl get sbs命令查看 SandboxSet 资源，其中AVAILABLE表示已就绪的 Sandbox 数量。当一个 Sandbox 被获取后，SandboxSet 会自动触发补充流程，以维持库存数量。

步骤二：获取Agent Sandbox

开发者还可通过Kubernetes SDK方式来操作Sandbox资源。

准备域名

可参考添加/删除内网权威域名 (Zone)配置域名your.domain.com和*.your.domain.com，并解析到Ingress的地址；如果访问完全在ACS集群内部，也可以直接使用集群内Headless Service地址：sandbox-manager.sandbox-system.svc.cluster.local。

申请证书

E2B 客户端可以通过 HTTPS 协议请求后端。在生产场景下，推荐使用以下方式申请证书。

kubectl create secret tls sandbox-manager-tls \
        --cert=fullchain.pem \
        --key=privkey.pem -n sandbox-system

export SSL_CERT_FILE=/path/to/ca-fullchain.pem
python main.py # 通过 python 调用 E2B SDK

sudo certbot certonly \
  --manual \
  --preferred-challenges=dns \
  --email your-email@example.com \
  --server https://acme-v02.api.letsencrypt.org/directory \
  --agree-tos \
  -d "your.domain.com" \
  -d "*.your.domain.com"

sudo cp /etc/letsencrypt/live/your.domain.com/fullchain.pem ./fullchain.pem
sudo cp /etc/letsencrypt/live/your.domain.com/privkey.pem ./privkey.pem

kubectl create secret tls sandbox-manager-tls \
  --cert=fullchain.pem \
  --key=privkey.pem \
  --namespace=sandbox-system

域名解析

通过以下命令查看接入点信息：

kubectl get ingress sandbox-manager -o jsonpath='{range .status.loadBalancer.ingress[*]}{.hostname}{.ip}{"\n"}{end}' -n sandbox-system

根据输出的接入点信息，配置域名 your.domain.com 或者 *.your.domain.com 的解析。更多域名解析相关的操作，请参见快捷入口。

• 如果输出的是一个 IP 地址（如47.114.***.***），请将主机记录 *.your.domain.com 以 A 记录类型解析到该 IP。

• 如果输出的是一个域名（如alb-*****62roo70i*****.cn-hangzhou.alb.aliyuncsslb.com），请将主机记录 *.your.domain.com 以 CNAME 记录类型解析到对应域名。

• 如果输出多个接入点，将记录解析到其中任意一个接入点，或为所有接入点配置轮询均可。