Container Service for Kubernetes：建立ACK專有叢集

叢集的名稱。長度為1~63個字元，可包含數字、底線（_）或中劃線（-），需以英文大小寫字母、中文或數字開頭。

公測中，請前往配額平台申請。

開啟IPv6雙棧後，將建立IPv4/IPv6雙棧叢集。

配置叢集的Virtual Private Cloud。您可以指定可用性區域，自動建立一個VPC，也可以在已有VPC列表中選擇已建立的VPC。

勾選專用網路為使用已有時，支援使用選擇已有安全性群組。

支援選擇自動建立普通安全性群組、自動建立企業級安全性群組、選擇已有安全性群組。

• 自動建立的安全性群組對於出方向預設全部允許。如果您因為業務原因需要修改，請確保在入方向已允許存取100.64.0.0/10網段。該網段用於訪問阿里雲其他服務，以執行鏡像拉取、查詢ECS基礎資訊等操作。

• 指定已有安全性群組時，系統預設不會為安全性群組配置額外的訪問規則，可能會導致訪問異常，請自行管理安全性群組規則，請參見配置叢集安全性群組。

支援Flannel和Terway網路外掛程式。關於兩者的詳細對比，請參見容器網路外掛程式Terway與Flannel對比。

• Flannel是社區開源的網路外掛程式，在ACK中採用了阿里雲VPC專用網路模式，報文經過VPC路由表直接轉寄，適用於節點規模較小、需要簡化網路設定、無需對容器網路進行自訂控制的情境。

• Terway是阿里雲自研的網路外掛程式，通過ENI實現Pod的網路通訊，提供了基於eBPF的網路加速、NetworkPolicy和Pod層級交換器/安全性群組等能力，適用於對節點規模、網路效能和安全等有較高需求的高效能運算、遊戲、微服務等情境。

  說明

  • 在Terway模式下，節點上可以啟動並執行Pod數均受節點的彈性網卡和輔助IP的配額限制。

  • 網路外掛程式選擇Terway時，會使用彈性網卡的輔助IP分配給Pod，一個Pod佔用一個彈性網卡輔助IP地址。

  • 當專用網路選擇共用VPC時，網路外掛程式僅支援Terway。

  選擇Terway時，還支援以下能力。

  • DataPathV2

    使用DataPathv2加速模式，僅支援在建立叢集時配置。選中後，Terway會採取不同於共用ENI常規模式的流量轉寄鏈路，實現更快的網路通訊。更多資訊，請參見網路加速。

    說明

    開啟後，Terway policy容器預計會在每個Worker節點上多佔用0.5核512MB的資源，此消耗會隨著叢集規模增大而增大。在Terway預設配置中，policy容器的CPU上限為1核，記憶體無限制。

  • NetworkPolicy 支援

    勾選後，則會支援Kubernetes原生的NetworkPolicy。

    說明

    • 從Terway v1.9.2開始，建立叢集NetworkPolicy由eBPF的實現提供，資料面會開啟DataPathv2功能。

    • 通過控制台管理NetworkPolicy的功能正在公測中，如果您希望使用，請在配額平台提交申請。

  • Trunk ENI 支援

    支援為每個Pod配置固定IP、獨立的虛擬交換器、安全性群組，提供精細化流量管理、流量隔離、網路原則配置和IP管理能力。更多資訊，請參見為Pod配置固定IP及獨立虛擬交換器、安全性群組。

    說明

    • ACK託管叢集無需申請即可選擇Trunk ENI選項。如果您希望在ACK專有叢集中開啟Trunk ENI，請先在配額平台提交申請。

    • 從Kubernetes 1.31開始，建立的ACK託管叢集會自動啟用Trunk ENI功能，無需手動進行選擇。

需同時選擇IPv6雙棧。

為服務網段配置IPv6位址區段。配置網段時，必須使用ULA地址，位址區段範圍在fc00::/7內，且地址前置長度在112~120之間。推薦和服務網段保持相同的可用地址數量。

關於叢集網路位址區段規劃的更多資訊，請參見Kubernetes叢集網路規劃。

支援iptables和IPVS兩種模式。

• iptables：成熟穩定的kube-proxy代理模式。Kubernetes Service的服務發現和負載平衡使用iptables規則配置，但效能一般，受規模影響較大，適用於存在少量Service的叢集。

• IPVS：高效能的kube-proxy代理模式。Kubernetes Service的服務發現和負載平衡使用Linux IPVS模組進行配置，適用於存在大量Service的叢集，且對負載平衡有高效能要求。

根據叢集Kubernetes版本選擇容器運行時。如何選型，請參見containerd、安全沙箱、Docker運行時的對比。

• containerd（推薦）：支援所有版本的叢集。

• 安全沙箱：支援1.31及以下版本的叢集。

• Docker（已停止支援）：支援1.22及以下版本的叢集。

節點池擴容ECS執行個體時預設採用的付費類型，支援隨用隨付、訂用帳戶和搶佔式執行個體。

• 訂用帳戶：需配置購買時間長度以及自動續約。

• 搶佔式執行個體：目前僅支援具有保護期的搶佔式執行個體。需同時配置單台執行個體上限價格。

  當指定執行個體規格的即時市場價格低於單台執行個體上限價格時，能成功建立搶佔式執行個體。超過保護期後（1小時），每5分鐘檢測一次執行個體規格的即時市場價格和庫存。如果某一時刻的市場價格高於出價或執行個體規格庫存不足，搶佔式執行個體會被釋放。使用方式，請參見搶佔式執行個體Auto Scaling最佳實務。

為保證節點池統一，隨用隨付、訂用帳戶節點池與搶佔式執行個體節點池之間不支援轉換。例如，對於建立節點池時選擇付費類型為隨用隨付或訂用帳戶的節點池，編輯節點池時不展示搶佔式執行個體；反之亦然。

為叢集開啟安全強化。建立完成後，加固方案不支援轉換。

• 不開啟：對ECS執行個體不進行安全強化。

• 等保加固：阿里雲為Alibaba Cloud Linux 2和Alibaba Cloud Linux 3等保2.0三級版鏡像提供等保合規的基準檢查標準和掃描程式。等保加固在保障原生鏡像相容性和效能的基礎上進行了等保合規適配，使其滿足國家資訊安全部發布的《GB/T22239-2019資訊安全技術網路安全等級保護基本要求》。更多資訊，請參見ACK等保加固使用說明。

  重要

  等保加固會禁止Root使用者通過SSH遠程登入。您可通過ECS控制台使用VNC方式登入系統建立可使用SSH的普通使用者。具體操作，請參見通過VNC串連執行個體。

• 阿里雲 OS 加固：僅當系統鏡像選擇Alibaba Cloud Linux 2或Alibaba Cloud Linux 3時，可為節點開啟阿里雲OS加固。

支援ESSD AutoPL、ESSD雲端硬碟、ESSD Entry、SSD雲端硬碟和高效雲端硬碟。系統硬碟可選的類型與選擇的執行個體規格類型系列相關。如果雲端硬碟類型下拉式清單沒有顯示的雲端硬碟類型，代表不支援該雲端硬碟類型。

您可以選擇配置更多系統硬碟類型，配置與系統硬碟不同的磁碟類型，提高擴容成功率。建立執行個體時，系統將根據指定的磁碟類型順序，選擇第一個匹配的磁碟類型用於建立執行個體。

支援ESSD AutoPL、ESSD雲端硬碟、ESSD Entry以及上一代雲端硬碟（SSD雲端硬碟和高效雲端硬碟）。資料盤可選的類型與選擇的執行個體規格類型系列相關。如果雲端硬碟類型下拉式清單沒有顯示的雲端硬碟類型，代表不支援該雲端硬碟類型。

• 掛載資料盤時，所有雲端硬碟類型均支援加密。選擇密鑰時，阿里雲預設使用服務密鑰（Default Service CMK）進行加密，您也可以選擇事先在KMS服務中建立好的自訂密鑰（BYOK）為該雲端硬碟進行加密。

• 在需要容器鏡像加速、大模型快速載入等情境下，您還可以使用快照建立資料盤，提升系統的響應速度和處理能力。

• 每個節點上需有一塊資料盤被掛載到/var/lib/container（/var/lib/kubelet、/var/lib/containerd將掛載到/var/lib/container目錄下）。對於節點上的其他資料盤，您可以進行初始化設定，自訂其掛載目錄。使用說明，請參見ACK節點池中資料盤可以自訂目錄掛載嗎？

為節點添加汙點，汙點（Taints）包含鍵、值和Effect（效果）。有效汙點鍵包含首碼（可選）和名稱。如果有首碼，用正斜線（/）分隔。更多資訊，請參見汙點和容忍度。汙點有以下限制：

• 鍵：汙點鍵的名稱長度為1~63個字元，必須以字母、數字或字元[a-z0-9A-Z]開頭和結尾，中間可包含字母、數字、短劃線（-）、底線（_）、英文半形句號（.）。

  如果指定首碼，必須是DNS子域。即一系列由英文半形句號（.）分隔的DNS標籤，不超過253個字元，並以正斜線（/）結尾。關於DNS子域，請參見DNS子域。

• 值：汙點值可以為空白，不超過63個字元，必須以字母、數字或字元[a-z0-9A-Z]開頭和結尾，可包含字母、數字、短劃線（-）、底線（_）、英文半形句號（.）。

• Effect：可選擇NoSchedule、NoExecute、PreferNoSchedule三種。

  • NoSchedule：如果汙點中存在至少一個Effect值為NoSchedule的汙點，則系統不會將Pod分配到該節點。

  • NoExecute：任何不能忍受這個汙點的Pod都會被驅逐，任何可以忍受這個汙點的Pod都不會被驅逐。

  • PreferNoSchedule：系統會盡量避免將Pod調度到存在其不能容忍汙點的節點上，但不會強制執行。

節點加入叢集後，將運行您指定的執行個體自訂資料指令碼。關於User-Data指令碼，請參見User-Data指令碼。

例如，指定執行個體自訂資料為echo "hello world"，則節點實際運行指令碼如下。

#!/bin/bash
[節點初始化指令碼]
echo "hello world"

安裝後，可在CloudMonitor控制台查看所建立ECS執行個體的監控資訊。

該選項僅對節點池新增節點生效，對節點池已有節點無效。已有節點如需安裝CloudMonitor外掛程式，請通過CloudMonitor控制台安裝。

是否為節點分配IPv4地址。如果未選中，不會分配公網IP地址，當選擇公網IP後，還需配置頻寬計費方式和頻寬峰值。

該選項僅對節點池新增節點生效，對節點池已有節點無效。已有節點如需訪問公網，請配置並綁定Elastic IP Address地址。具體操作，請參見將EIP綁定至ECS執行個體。