在ACS集群中创建Agent Sandbox

步骤一：通过 SandboxSet 创建预热池

预热池是一组预先创建的 Sandbox 副本，由 SandboxSet CR 管理。应用从预热池中直接获取已就绪的 Sandbox，可显著提高交付效率。

1. 单击左侧导航栏自定义资源，选择资源定义（CustomResourceDefinition）页签，单击使用YAML创建资源。

2. 使用以下 YAML 创建 SandboxSet 资源。ack-sandbox-manager 会自动监听并识别该资源，同步初始化名为 code-interpreter 的沙箱模板配置。

   启用动态存储挂载功能，需要为容器开放特权容器（Privileged Container）和宿主机路径（hostPath，/var/run/csi）的容器安全验证，可以提交工单放开限制，但由此带来的安全风险需要用户承担一定责任，相关机制请参见安全责任共担模型。

   apiVersion: agents.kruise.io/v1alpha1
   kind: SandboxSet
   metadata:
     name: code-interpreter
     namespace: default
   spec:
     runtimes:
     - name: csi           # 支持CSI挂载能力，新建的Sandbox会被注入对应的Sidecar
     - name: agent-runtime # 注入envd等环境管理工具
     replicas: 4
     template:
       metadata:
         labels:
           alibabacloud.com/acs: "true"
           alibabacloud.com/compute-class: agent-sandbox # Agent Sandbox 实例类型 
           alibabacloud.com/compute-qos: default # 算力质量 default/best-effort
       spec:
         automountServiceAccountToken: false
         containers:
         - image: registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter:v1.6 # 替换成实际集群所在的地域
           imagePullPolicy: IfNotPresent
           name: sandbox
           resources:
             limits:
               cpu: "1"
               memory: 1Gi
             requests:
               cpu: "1"
               memory: 1Gi
               ephemeral-storage: 30Gi
         terminationGracePeriodSeconds: 30

   code-interpreter镜像使用说明

   • 镜像拉取：registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter镜像是 ACS 基于 e2b-code-interpreter 项目制作的示例镜像，兼容 E2B 客户端的run_code接口，推荐直接使用。可将镜像地址中的地域修改为实际的地域以提高拉取速度，或去除-vpc通过公网拉取。

   • 使用自定义镜像：如需使用 E2B code-interpreter（直接使用或作为 base 镜像），推荐选择 ACS 提供的版本化镜像。ACS 不保证运行时与 E2B 官方 latest 镜像的兼容性。如需要使用自定义镜像，请确保镜像满足以下条件：

     1. 包含 cp、mv、mkdir 等基础指令。

     2. 包含 bash 且可执行文件位于/bin/bash。

     使用自定义镜像时，E2B 的run_code方法暂时无法使用。

3. 单击左侧导航栏容器组，选择对应的命名空间，查看已创建的code-interpreter Sandbox。

   可通过kubectl get sbs命令查看 SandboxSet 资源，其中AVAILABLE表示已就绪的 Sandbox 数量。

当一个 Sandbox 被分配后，SandboxSet 会自动触发补充流程，以维持预热池实例数量。

步骤二：获取Agent Sandbox

开发者还可通过Kubernetes SDK方式来操作Sandbox资源。

步骤一：为 SandboxSet 开启原地变配

在 SandboxSet 的 spec.template.metadata.annotations 中添加 scaling.alibabacloud.com/enable-inplace-resource-resize: "true"，允许预热池中的 Sandbox 在被分配时执行原地 VPA。

以下示例仅创建一个较小规格的预热池，后续分配时可指定规格动态扩容。

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxSet
metadata:
  name: code-interpreter
spec:
  template:
    metadata:
      annotations:
        # 允许从预热池分配 Sandbox 时执行原地 VPA
        scaling.alibabacloud.com/enable-inplace-resource-resize: "true"
    spec:
      containers:
        - name: interpreter
          image: xxx
          resources:
            requests:
              cpu: 500m     
              memory: 1Gi 
            limits:
              cpu: 500m 
              memory: 1Gi
...

步骤二：分配时声明目标资源规格

从预热池中分配Agent Sandbox时，可通过以下两种方式将 CPU 动态扩容至指定规格：

from e2b_code_interpreter import Sandbox

sbx = Sandbox.create(template="code-interpreter", metadata={
    "e2b.agents.kruise.io/cpu-request": "1000m",
    "e2b.agents.kruise.io/cpu-limit": "1000m"
})

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxClaim
metadata:
  name: code-interpreter-vpa-claim
  namespace: default
spec:
  templateName: code-interpreter
  replicas: 1
  claimTimeout: 5m
  ttlAfterCompleted: 15m
  inplaceUpdate:  # 声明目标资源规格
    resources:
      requests:
        cpu: 1000m
      limits:
        cpu: 1000m

准备域名

可参考添加/删除内网权威域名 (Zone)配置域名your.domain.com和*.your.domain.com，并解析到Ingress的地址；如果访问完全在ACS集群内部，也可以直接使用集群内Headless Service地址：sandbox-manager.sandbox-system.svc.cluster.local。

申请证书

E2B 客户端可以通过 HTTPS 协议请求后端。在生产场景下，推荐使用以下方式申请证书。

kubectl create secret tls sandbox-manager-tls \
        --cert=fullchain.pem \
        --key=privkey.pem -n sandbox-system

export SSL_CERT_FILE=/path/to/ca-fullchain.pem
python main.py # 通过 python 调用 E2B SDK

sudo certbot certonly \
  --manual \
  --preferred-challenges=dns \
  --email your-email@example.com \
  --server https://acme-v02.api.letsencrypt.org/directory \
  --agree-tos \
  -d "your.domain.com" \
  -d "*.your.domain.com"

sudo cp /etc/letsencrypt/live/your.domain.com/fullchain.pem ./fullchain.pem
sudo cp /etc/letsencrypt/live/your.domain.com/privkey.pem ./privkey.pem

kubectl create secret tls sandbox-manager-tls \
  --cert=fullchain.pem \
  --key=privkey.pem \
  --namespace=sandbox-system

域名解析

通过以下命令查看接入点信息：

kubectl get ingress sandbox-manager -o jsonpath='{range .status.loadBalancer.ingress[*]}{.hostname}{.ip}{"\n"}{end}' -n sandbox-system

根据输出的接入点信息，配置域名 your.domain.com 或者 *.your.domain.com 的解析。更多域名解析相关的操作，请参见快捷入口。

• 如果输出的是一个 IP 地址（如47.114.***.***），请将主机记录 *.your.domain.com 以 A 记录类型解析到该 IP。

• 如果输出的是一个域名（如alb-*****62roo70i*****.cn-hangzhou.alb.aliyuncsslb.com），请将主机记录 *.your.domain.com 以 CNAME 记录类型解析到对应域名。

• 如果输出多个接入点，将记录解析到其中任意一个接入点，或为所有接入点配置轮询均可。

ack-agent-sandbox-controller组件安装失败，错误信息：[RAM Role AliyunCSManagedAgentSandboxRole is not granted］

1. 进入RAM访问控制-角色页面，搜索AliyunCSManagedAgentSandboxRole，然后单击角色名称进入角色详情页。

2. 在角色详情页，勾选AliyunCSManagedAgentSandboxRolePolicy，然后单击解除授权。

3. 重新进行授权，单击授权链接。