阿里云容器服务ACK创建Kubernetes托管版集群-云淘科技

限制项

说明

配额申请链接/相关文档

费用

用户账户至少需要有100元的余额并通过实名认证，否则无法创建按量付费的ECS实例和负载均衡。

计费概述

网络

ACK集群仅支持专有网络VPC。

什么是专有网络

云资源

ECS实例

仅支持创建按量付费和包年包月的ECS实例。实例创建后，您可以通过ECS管理控制台将按量付费转预付费。

按量付费转包年包月

VPC路由条目

每个账户初始默认状况下VPC路由条目不超过200条，当ACK集群的网络模式是Flannel时，集群的路由条目最大不能超过200个（网络模式是Terway则不受该影响）。如集群需要更多路由条目数，您需要对目标VPC申请提高配额 。

配额中心

安全组

每个账号默认最多可以创建100个安全组。

查看和提升安全组配额

负载均衡实例

每个账号默认最多可以创建60个按量付费的负载均衡实例。

配额中心

EIP

每个账号默认最多可以创建20个EIP。

配额中心

配置项

描述

账号全部资源

将鼠标悬浮于页面上方的账号全部资源，选择资源组。在控制台页面顶部选择的资源组可过滤出该资源组内的专有网络及对应的虚拟交换机。在创建集群时，只显示过滤的专有网络实例及专有网络对应的虚拟交换机实例。

集群名称

填写集群的名称。

说明

长度为1~63个字符，可包含数字、下划线（_）或中划线（-），需以英文大小写字母、中文或数字开头。

集群规格

选择集群规格，支持Pro 版和基础版。企业生产和测试环境中推荐使用Pro版集群。基础版集群仅供个人学习与测试使用。

地域

选择集群所在的地域。

付费类型

容器服务Kubernetes版支持按量付费和包年包月两种付费类型。选择包年包月时，需设置以下参数。

说明

设置付费类型为包年包月时，仅ECS云服务器和SLB负载均衡按照包年包月的方式计费，其他云资源仍然按照按量付费的方式付费。关于云资源的详细介绍，请参见云产品资源计费。

• 购买时长：目前支持选择1、2、3、6个月和1~3年。

• 自动续费：设置是否自动续费。

Kubernetes 版本

显示当前ACK支持的Kubernetes版本。

IPv6双栈

开启IPv6双栈将创建双栈Kubernetes集群。双栈功能正在公测中，如需使用请前往配额平台申请。

重要

• 仅1.22及以上版本的Kubernetes集群支持IPv6双栈功能。

• Worker节点与控制平面之间的通信使用IPv4地址。

• 容器网络插件需选择Terway。

• 集群使用的VPC及ECS需要支持IPv6双栈。

专有网络

设置集群的网络，您可以选择普通VPC和共享VPC。

• 共享VPC：VPC的所有者账号（资源所有者）可以将其账号下的VPC内的交换机资源共享给其组织内的其他账号使用。

• 普通VPC：不具备共享功能的VPC。

说明

Kubernetes集群仅支持专有网络。您可以在已有VPC列表中选择所需的VPC。如果没有您需要的专有网络，可以通过单击创建专有网络进行创建，请参见创建和管理专有网络。

网络插件

设置启用的网络插件和插件配置，支持Flannel和Terway网络插件。详细信息，请参见Terway与Flannel对比。

• Flannel：简单稳定的社区的Flannel CNI插件。但功能偏简单，支持的特性少，例如：不支持基于Kubernetes标准的NetworkPolicy。

• Terway：阿里云容器服务自研的网络插件，将阿里云的弹性网卡分配给容器，支持Kubernetes的NetworkPolicy来定义容器间的访问策略，支持对单个容器做带宽的限流。

  说明

  • 在Terway模式下，节点上可以运行的Pod数均受节点的弹性网卡和辅助IP的配额限制。

  • 当专有网络选择共享VPC时，网络插件仅支持Terway。

  • 网络插件选择Terway时，会使用弹性网卡的辅助IP分配给Pod，一个Pod占用一个弹性网卡辅助IP地址。

  设置网络插件为Terway时，还可以配置以下参数：

  • 设置是否选中Pod独占弹性网卡以获得最佳性能。如需使用Pod独占弹性网卡以获得最佳性能功能，请前往配额平台提交申请。

    • 如果选中，Pod将独占一个专有的弹性网卡。

      说明

      启用Pod独占弹性网卡以获得最佳性能功能后，一个节点上能运行的Pod数量将减少，请谨慎选择。

    • 如果不选中，使用弹性网卡的辅助IP分配给Pod，一个Pod占用一个弹性网卡辅助IP地址。

  • 设置是否选中IPvlan。

    • 只在弹性网卡共享模式支持选中。

    • 如果选中，采用IPvlan eBPF作为网卡共享模式虚拟化技术，并且只能使用Alibaba Cloud Linux系统，性能优于默认模式。

    • 如果不选中，则使用默认模式，采用策略路由作为网卡共享模式虚拟化技术，同时兼容Centos 7和Alibaba Cloud Linux的系统。

    • IPvlan功能仅支持在创建集群时配置。集群一旦创建成功，将不支持开启或关闭IPvlan功能。

    关于Terway模式的IPvlan模式的详细信息，请参见Terway IPvlan模式。

  • 设置是否选中NetworkPolicy 支持。

    • 只在弹性网卡共享模式下支持选中，默认不选中。

    • 如果选中，集群支持使用Kubernetes的NetworkPolicy策略对Pod进行网络控制。

    • 如果不选中，集群将不会支持使用Kubernetes的NetworkPolicy策略对Pod进行网络控制，这样将不存在网络策略对Kubernetes的API Server产生过大的负载。

  • 设置是否选中Trunk ENI 支持。如需使用Trunk ENI 支持，请前往配额平台提交申请。Terway Trunk ENI支持为每个Pod配置固定IP、独立的虚拟交换机、安全组，提供精细化流量管理、流量隔离、网络策略配置和IP管理能力。更多信息，请参见为Pod配置固定IP及独立虚拟交换机、安全组。

虚拟交换机

设置虚拟交换机。

您可以在已有虚拟交换机列表中，根据可用区选择交换机。如果没有您需要的交换机，可以通过单击创建虚拟交换机进行创建，请参见创建和管理交换机。

Pod 虚拟交换机

网络插件选择Terway时，您需要为Pod分配IP的虚拟交换机。每个Pod虚拟交换机分别对应一个Worker实例的虚拟交换机，Pod虚拟交换机和Worker实例的虚拟交换机的可用区需一致。

Pod 网络 CIDR

网络插件选择Flannel时，需要配置Pod 网络 CIDR。

Flannel网络插件需要配置Pod网络CIDR，网段不能和VPC及VPC已有Kubernetes集群使用的网段重复，创建成功后不能修改，而且Service地址段不能和Pod地址段重复。有关Kubernetes网络地址段规划的信息，请参见Kubernetes集群网络规划。

节点 Pod 数量

如果您选择的网络模式为Flannel，您需设置节点 Pod 数量。

Service CIDR

设置Service CIDR。您需要指定Service CIDR，网段不能与VPC及VPC内已有Kubernetes集群使用的网段重复，创建成功后不能修改，而且Service地址段也不能和Pod地址段重复。有关Kubernetes网络地址段规划的信息，请参见Kubernetes集群网络规划。

IPv6 Service CIDR

开启IPv6双栈后，您需要为Service CIDR配置IPv6地址段。配置网段时，请注意：

• 必须使用ULA地址，地址段范围在fc00::/7内，且地址前缀长度在112~120之间。

• 推荐和Service CIDR保持相同的可用地址数量。

关于Kubernetes网络地址段规划的信息，请参见Kubernetes集群网络规划。

配置 SNAT

创建集群时，默认选中。如果您选择的VPC不具备公网访问能力，选中为专有网络配置 SNAT后，ACK将为您创建NAT网关并自动配置SNAT规则。

API Server 访问

ACK默认为API Server默认创建一个内网SLB实例，该实例按使用量计费，您可以手动转换计费方式。更多信息，请参见按量付费。

重要

删除默认创建的SLB实例将会导致无法访问API Server。

您可设置是否开放使用 EIP 暴露 API Server。API Server提供了各类资源对象（Pod，Service等）的增删改查及Watch等HTTP Rest接口。

• 如果选择开放，ACK会创建一个EIP，并挂载到SLB上。此时，Master节点的6443端口（对应API Server）暴露出来，您可以在外网通过kubeconfig连接并操作集群。

• 如果选择不开放，则不会创建EIP，您只能在VPC内部用KubeConfig连接并操作集群。

安全组

支持选择自动创建普通安全组、自动创建企业级安全组、选择已有安全组。有关安全组的详细内容，请参见安全组概述。

说明

• 只有白名单用户可以使用选择已有安全组功能，请前往配额平台申请。

• 指定已有安全组时，系统默认不会为安全组配置额外的访问规则，可能会导致访问异常，请自行管理安全组规则。关于如何管理安全组规则，请参见最小化集群访问规则。

集群删除保护

设置是否启用集群删除保护。选择开启可以防止通过控制台或API误释放集群。

资源组

创建的集群将归属于选择的资源组。一个资源只能归属于一个资源组。根据不同的业务场景，您可以将资源组映射为项目、应用或组织等概念。更多信息，请参见资源组。

配置项

描述

时区

选择集群所要使用的时区。默认时区为浏览器所配置的时区。

kube-proxy 代理模式

支持iptables和IPVS两种模式。

• iptables：成熟稳定的kube-proxy代理模式，Kubernetes Service的服务发现和负载均衡使用iptables规则配置，但性能一般，受规模影响较大，适用于存在少量Service的集群。

• IPVS：高性能的kube-proxy代理模式，Kubernetes Service的服务发现和负载均衡使用Linux ipvs模块进行配置，适用于存在大量Service的集群，对负载均衡有高性能要求的场景。

标签

为集群绑定标签。输入键和对应的值，单击添加。

说明

• 键是必需的，而值是可选的，可以不填写。

• 键不能是aliyun、http://、https://开头的字符串，不区分大小写，最多64个字符。

• 值不能是http:// 或https://，可以为空，不区分大小写，最多128个字符。

• 同一个资源，标签键不能重复，相同标签键（Key）的标签会被覆盖。

• 如果一个资源已经绑定了20个标签，已有标签和新建标签会失效，您需要解绑部分标签后才能再绑定新的标签。

集群本地域名

设置是否配置集群本地域名。

说明

默认域名为cluster.local，可自定义域名。域名由两段组成，每段不超过63个字符，且只能使用大小写字母和数字，不能为空。

自定义证书 SAN

在集群API Server服务端证书的SAN（Subject Alternative Name）字段中添加自定义的IP或域名，以实现对客户端的访问控制。

具体操作，请参见自定义集群API Server证书SAN。

服务账户令牌卷投影

开启服务账户令牌卷投影以降低在Pod中使用Service Account遇到的安全性问题，可使得kubelet支持基于Pod粒度的Token签发，并且支持Token audience和过期时间的配置。详情请参见部署服务账户令牌卷投影

Secret 落盘加密

在ACK Pro托管集群中，选中选择 KMS 密钥可以使用在阿里云密钥管理服务KMS（Key Management Service）中创建的密钥加密Kubernetes Secret密钥。设置Secret落盘加密的详情，请参见使用阿里云KMS进行Secret的落盘加密。

配置项

描述

节点池名称

自定义的节点池名称。

托管节点池相关配置

托管节点池

自愈规则

自动升级规则

CVE自动修复

集群维护窗口

容器运行时

根据Kubernetes 版本选择容器运行时。容器运行时与支持的集群版本信息如下。

• containerd：推荐使用，支持所有集群版本。

• 安全沙箱：支持1.24版本及以下集群。

• docker：支持1.22版本及以下集群。

更多信息，请参见如何选择Docker运行时、Containerd运行时、或者安全沙箱运行时？。

实例规格

支持选择多个实例规格。可通过vCPU、内存筛选实例规格，也可选择架构和分类。

说明

选择实例规格后，在已选规格区域依次展示实例规格详情。

节点池扩容时，将从选中的实例规格中扩容。具体扩容到的实例规格取决于节点池扩缩容策略。选择的实例规格越多，节点池成功弹出节点的概率越大。

由于实例规格不可用或库存不足，导致节点池弹出节点失败时，可以尝试添加更多实例规格。您可以参照控制台的弹性强度建议添加实例规格，也可以创建节点池后查看节点池弹性强度。

• 关于实例规格，请参见实例规格族。

• 关于节点池弹性强度，请参见查看节点池弹性强度。

说明

ARM实例仅支持ARM镜像。关于ARM节点池，请参见配置ARM节点池。

已选规格

呈现选中的规格。

期望节点数

节点池应该维持的节点数量。您可以通过调整期望节点数，达到扩容或缩容节点池的目的。如无需创建节点，可以填写为0。更多信息，请参见扩缩容节点池。

说明

建议创建时至少选择两台，创建完成后，可以根据您的实际情况，增减节点。节点太少或者规格太低均会影响集群组件的运行。

系统盘

支持ESSD AutoPL、ESSD云盘、SSD云盘和高效云盘。

系统盘可选的类型与选择的实例规格相关。如果云盘类型下拉列表没有显示的云盘类型，代表不支持该云盘类型。 查询实例规格支持的云盘类型，请参见实例规格族。

说明

• ESSD云盘支持自定义性能级别。ESSD云盘容量越大，可供选择的性能级别越高（460 GiB容量以上可选PL2，1260 GiB以上可选PL3）。更多信息，请参见容量范围与性能级别的关系。

• 创建系统盘时，仅ESSD云盘支持加密。选择密钥时，阿里云默认使用服务密钥（Default Service CMK）进行加密，您也可以选择事先在KMS服务中创建好的自定义密钥（BYOK）为该云盘加密。

挂载数据盘

支持ESSD AutoPL、ESSD云盘、SSD云盘和高效云盘。

挂载数据盘时，数据盘可选的类型与选择的实例规格相关。如果云盘类型下拉列表没有显示的云盘类型，代表不支持该云盘类型。查询实例规格支持的云盘类型，请参见实例规格族。

说明

• ESSD云盘支持自定义性能级别。ESSD云盘容量越大，可供选择的性能级别越高（460 GiB容量以上可选PL2，1260 GiB以上可选PL3）。更多信息，请参见容量范围与性能级别的关系。

• 挂载数据盘时，所有云盘类型均支持加密。选择密钥时，阿里云默认使用服务密钥（Default Service CMK）进行加密，您也可以选择事先在KMS服务中创建好的自定义密钥（BYOK）为该云盘加密。

• 最大可挂载的数据盘数量与选择的实例规格相关，当前已挂载的数据盘数量和剩余可挂载的数据盘数量请在挂载数据盘后面查看。

操作系统

安全加固

• 不开启：表示对ECS实例不进行安全加固。

• 等保加固：仅当系统镜像选择Alibaba Cloud Linux 2或Alibaba Cloud Linux 3时，可为节点开启等保加固。阿里云为Alibaba Cloud Linux 2和Alibaba Cloud Linux 3等保2.0三级版镜像提供等保合规的基线检查标准和扫描程序。更多信息，请参见ACK等保加固使用说明。

  重要

  等保加固在保障原生镜像兼容性和性能的基础上进行了等保合规适配，使其满足国家信息安全部发布的《GB/T22239-2019信息安全技术网络安全等级保护基本要求》。

  等保加固会禁止Root用户通过SSH远程登录。您可通过ECS控制台使用VNC方式登录系统创建可使用SSH的普通用户。具体操作，请参见使用VNC连接实例。

• CIS加固：仅当系统镜像选择Alibaba Cloud Linux 2或Alibaba Cloud Linux 3时，可为节点开启CIS加固。更多信息，请参见ACK CIS加固使用说明。

说明

集群创建完成后，安全加固选项不支持更改。

登录方式

目前支持设置密钥、设置密码和创建后设置。

说明

当安全加固类型选择等保加固时，仅支持设置密钥。

• 创建时设置：

  • 设置密钥：阿里云SSH密钥对是一种安全便捷的登录认证方式，由公钥和私钥组成，仅支持Linux实例。更多信息，请参见SSH密钥对概述。

  • 设置密码：密码限制为8～30个字符，且同时包含大写字母、小写字母、数字和特殊符号。

• 创建后设置：在实例创建完成后，自行绑定密钥对或者重置实例密码。具体操作，请参见绑定SSH密钥对和重置实例登录密码。

公网 IP

是否为节点分配IPV4地址。如果未选中，不会配公网IP地址，当选择公网IP后，还需配置带宽计费方式和带宽峰值。

说明

该选项仅对节点池新增节点生效，对节点池已有节点无效。已有节点如需访问公网，请配置并绑定弹性公网IP地址。具体操作，请参见绑定ECS实例。

云监控插件

是否安装云监控插件。安装后，可在云监控控制台查看所创建ECS实例的监控信息。

说明

该选项仅对节点池新增节点生效，对节点池已有节点无效。已有节点如需安装云监控插件，请通过云监控控制台安装。

配置项

描述

实例保护

设置是否启用实例保护。

说明

为防止通过控制台或API误释放集群节点，默认启用实例保护。

ECS 标签

为弹出的ECS添加标签，标签键不可重复。最大长度为128个字符，标签键和标签值不能以aliyun、acs:开头，不能包含https://、http://。

一台ECS可绑定标签的上限为20个。由于ACK和ESS存在以下标签占用，因此您可以最多指定17个ECS标签。

• ACK默认占用两个ECS标签。

  • ack.aliyun.com:

  • ack.alibabacloud.com/nodepool-id:

• ESS默认占用1个ECS标签：acs:autoscaling:scalingGroupId:。

说明

• 开启弹性伸缩后，因弹性伸缩将默认占用两个ECS标签，因此节点池会额外占用两个ECS标签：k8s.io/cluster-autoscaler:true、k8s.aliyun.com:true。

• 自动伸缩组件为了预检测弹出节点的调度行为，需依靠ECS标签记录K8s的节点标签和污点。因此节点每个标签会转为k8s.io/cluster-autoscaler/node-template/label/标签键：标签值，节点每个污点会转为k8s.io/cluster-autoscaler/node-template/taint/污点键/污点值：污点效果。

污点 （Taints）

为Kubernetes集群节点添加污点，污点（Taints）包含键、值和Effect（效果）。有效污点键包含前缀（可选）和名称。如果有前缀，用正斜线（/）分隔。更多信息，请参见污点和容忍度。污点有以下限制：

• 键：污点键的名称长度为1~63个字符，必须以字母、数字或字符[a-z0-9A-Z]开头和结尾，中间可包含字母、数字、短划线（-）、下划线（_）、英文半角句号（.）。

  如果指定前缀，必须是DNS子域。即一系列由英文半角句号（.）分隔的DNS标签，不超过253个字符，以正斜线（/）结尾。关于DNS子域，请参见DNS子域。

• 值：污点值可以为空，不超过63个字符，必须以字母、数字或字符[a-z0-9A-Z]开头和结尾，可包含字母、数字、短划线（-）、下划线（_）、英文半角句号（.）。

• Effect：可选择NoSchedule、NoExecute、PreferNoSchedule三种。

  • NoSchedule：如果污点中存在至少一个Effect值为NoSchedule的污点，则系统不会将Pod分配到该节点。

  • NoExecute：任何不能忍受这个污点的Pod都会被驱逐，任何可以忍受这个污点的Pod都不会被驱逐。

  • PreferNoSchedule：系统会尽量避免将Pod调度到存在其不能容忍污点的节点上，但不会强制执行。

节点标签

扩缩容策略

• 优先级策略：根据以上配置的虚拟交换机的优先级进行扩缩容（选择的虚拟交换机的顺序，由上到下优先级递减）。当优先级较高的虚拟交换机所在可用区无法创建ECS实例时，自动使用下一优先级的虚拟交换机创建ECS实例。

• 成本优化策略：按vCPU单价从低到高尝试创建。当伸缩配置已设置抢占式计费方式的多实例规格时，优先创建对应抢占式计费实例。当抢占式计费实例规格由于库存等原因无法创建时，自动尝试以按量付费的方式创建。

  当付费类型为抢占式实例时，还可配置以下参数：

  • 按量实例所占比例%：节点池实例中按量实例应占的比例，取值范围为[0,100]。

  • 开启抢占式实例补偿：开启后，当收到抢占式实例将被回收的系统消息时（即抢占式实例被回收前5分钟左右），伸缩组将尝试创建新的实例，替换掉将被回收的抢占式实例。

  • 允许按量实例补偿：开启后，如果因价格或库存等原因无法创建足够的抢占式实例，伸缩组将自动尝试创建按量实例，以满足ECS实例数量要求。

• 均衡分布策略：只有设置多个专有网络交换机时，均衡分布策略才能生效。在伸缩组指定的多可用区（即指定多个专有网络交换机）之间均匀分配ECS实例。如果由于库存不足等原因造成可用区之间不平衡，您可以再次进行均衡操作，以平衡资源的可用区分布。

重要

节点池创建完成后，扩缩容策略不支持编辑。

CPU Policy

指定Kublet节点的CPU管理策略。

• None：默认策略。

• Static：允许为节点上具有某些资源特征的Pod赋予增强的CPU亲和性和独占性。

更多信息，请参见CPU管理策略。

自定义镜像

• 您可以选择一个自定义ECS镜像。选择自定义镜像后，集群所有节点将基于此镜像进行部署。关于创建自定义镜像操作，请参见使用自定义镜像创建Kubernetes集群。

• 您可以选择一个共享ECS镜像。选择共享的镜像后，集群所有节点将基于此镜像进行部署。关于共享镜像的更多信息，请参见操作步骤。

说明

• 目前自定义镜像的操作系统仅支持CentOS 7.x和Alibaba Cloud Linux。

• 当前只有白名单用户可使用该功能。请前往配额平台申请。

RDS 白名单

单击请选择您想要添加白名单的RDS实例，将节点IP添加至RDS实例的白名单。

自定义节点名称

是否开启自定义节点名称。自定义节点名称后，将同时更改节点名称、ECS实例名称、ECS实例Hostname。

节点名称由前缀，节点IP地址及后缀三部分组成：

• 总长度为2-64个字符。

• 前缀和后缀允许使用大小写字母、数字、连字符（-）和点号（.）。必须以大小写字母开头，不能以连字符（-）或点号（.）开头或结尾。不能连续使用连字符（-）或点号（.）。

• 前缀必选（ECS限制），后缀可选。

• 对于开启自定义节点名称的Windows实例，其Hostname固定为IP地址，用”-“代替IP地址中的”.”，且不包含前缀和后缀。

例如：节点IP地址为192.1xx.x.xx，指定前缀为aliyun.com，后缀为test。

• 如果节点为Linux节点，则节点名称、ECS实例、ECS实例Hostname均为aliyun.com192.1xx.x.xxtest。

• 如果节点为Windows节点，则ECS实例Hostname为192-1xx-x-xx，节点名称、ECS实例名称均为aliyun.com192.1xx.x.xxtest。

实例自定义数据

节点加入集群后，将运行您指定的实例自定义数据脚本。关于User-Data脚本，请参见User-Data脚本。

例如，指定实例自定义数据为echo "hello world"，则节点实际运行脚本如下。

#!/bash/bin
[节点初始化脚本]
echo "hello world"

说明

创建集群或扩容节点成功不代表实例自定义脚本执行成功，可登录节点执行grep cloud-init /var/log/messages查看执行日志。