容器服务 Kubernetes 版 ACK：创建ACK专有集群

将鼠标悬浮于页面上方的账号全部资源，选择资源组。在控制台页面顶部选择的资源组可过滤出该资源组内的专有网络及对应的虚拟交换机。在创建集群时，只显示过滤的专有网络实例及专有网络对应的虚拟交换机实例。

集群的名称。长度为1~63个字符，可包含数字、下划线（_）或中划线（-），需以英文大小写字母、中文或数字开头。

支持按量付费和包年包月两种付费类型。选择包年包月时，需设置以下参数。

• 购买时长：目前支持选择1、2、3、6个月和1~3年。

• 自动续费：设置是否自动续费。

开启IPv6双栈将创建双栈Kubernetes集群。双栈功能正在公测中，如需使用请前往配额平台申请。

设置集群的网络，您可以选择普通VPC和共享VPC。

• 共享VPC：VPC的所有者账号（资源所有者）可以将其账号下的VPC内的交换机资源共享给其组织内的其他账号使用。

• 普通VPC：不具备共享功能的VPC。

选择自动创建普通安全组、自动创建企业级安全组、选择已有安全组。关于安全组的详细内容，请参见安全组概述。

您可为API Server所使用的CLB选择按量付费或包年包月付费类型。

您可设置是否开放使用 EIP 暴露 API Server。API Server提供了各类资源对象（Pod，Service等）的增删改查及Watch等HTTP Rest接口。

• 开放：ACK会创建一个EIP，并挂载到SLB上。此时，Master节点的6443端口（对应API Server）会暴露出来，您可以在外网通过KubeConfig连接并操作集群。

• 不开放：不会创建EIP，仅能在VPC内使用KubeConfig连接并操作集群。

设置启用的网络插件和插件配置，支持Flannel和Terway网络插件。详细信息，请参见使用Terway网络插件。

• Flannel：基于社区的、简单稳定的Flannel CNI插件，功能较为简单，支持的特性少，例如不支持基于Kubernetes标准的NetworkPolicy。

• Terway：阿里云容器服务自研的网络插件，将阿里云的弹性网卡分配给容器，支持Kubernetes的NetworkPolicy来定义容器间的访问策略，支持对单个容器做带宽的限制。

  说明

  • 在Terway模式下，节点上可以运行的Pod数均受节点的弹性网卡和辅助IP的配额限制。

  • 当专有网络选择共享VPC时，网络插件仅支持Terway。

  • 网络插件选择Terway时，会使用弹性网卡的辅助IP分配给Pod，一个Pod占用一个弹性网卡辅助IP地址。

  设置网络插件为Terway时，还可以配置以下参数：

  • 设置是否选中Pod独占弹性网卡以获得最佳性能。如需使用Pod独占弹性网卡以获得最佳性能功能，请前往配额平台提交申请。

    • 如果选中，Pod将独占一个专有的弹性网卡。

      说明

      启用Pod独占弹性网卡以获得最佳性能功能后，一个节点上能运行的Pod数量将减少，请谨慎选择。

    • 如果不选中，使用弹性网卡的辅助IP分配给Pod，一个Pod占用一个弹性网卡辅助IP地址。

  • 设置是否选中IPvlan。

    • 只在弹性网卡共享模式支持选中。

    • 如果选中，采用IPvlan eBPF作为网卡共享模式虚拟化技术，并且只能使用Alibaba Cloud Linux系统，性能优于默认模式。

    • 如果不选中，则使用默认模式，采用策略路由作为网卡共享模式虚拟化技术，同时兼容Centos 7和Alibaba Cloud Linux的系统。

    • IPvlan功能仅支持在创建集群时配置。集群一旦创建成功，将不支持开启或关闭IPvlan功能。

    关于Terway模式的IPvlan模式的详细信息，请参见使用Terway网络插件。

  • 设置是否选中NetworkPolicy 支持。

    • 只在弹性网卡共享模式下支持选中，默认不选中。

    • 如果选中，集群支持使用Kubernetes的NetworkPolicy策略对Pod进行网络控制。

    • 如果不选中，集群将不会支持使用Kubernetes的NetworkPolicy策略对Pod进行网络控制，这样将不存在网络策略对Kubernetes的API Server产生过大的负载。

    如何使用ACK集群的网络策略及常用的使用场景，请参见在ACK集群使用网络策略。

  • 设置是否选中Trunk ENI 支持。如需使用Trunk ENI 支持，请前往配额平台提交申请。Terway Trunk ENI支持为每个Pod配置固定IP、独立的虚拟交换机、安全组，提供精细化流量管理、流量隔离、网络策略配置和IP管理能力。更多信息，请参见为Pod配置固定IP及独立虚拟交换机、安全组。

开启IPv6双栈后，您需要为服务网段配置IPv6地址段。配置网段时，请注意：

• 必须使用ULA地址，地址段范围在fc00::/7内，且地址前缀长度在112~120之间。

• 推荐和服务网段保持相同的可用地址数量。

关于集群网络地址段规划的信息，请参见Kubernetes集群网络规划。

支持iptables和IPVS两种模式。

• iptables：成熟稳定的kube-proxy代理模式。Kubernetes Service的服务发现和负载均衡使用iptables规则配置，但性能一般，受规模影响较大，适用于存在少量Service的集群。

• IPVS：高性能的kube-proxy代理模式。Kubernetes Service的服务发现和负载均衡使用Linux IPVS模块进行配置，适用于存在大量Service的集群，且对负载均衡有高性能要求。

根据集群Kubernetes版本选择容器运行时。

• containerd：推荐使用，支持所有版本的集群。

• 安全沙箱：支持1.24及以下版本的集群。

• Docker：支持1.22及以下版本的集群。

更多信息，请参见如何选择Docker运行时、containerd运行时、或者安全沙箱运行时？。

根据实例规格或属性选择Worker节点池使用的ECS实例，可通过vCPU、内存、规格族、架构等属性进行筛选。

节点池扩容时，将从选中的实例规格中扩容。具体扩容到的实例规格取决于节点池扩缩容策略。选择的实例规格越多，节点池成功弹出节点的概率越大。

由于实例规格不可用或库存不足，导致节点池弹出节点失败时，可以尝试添加更多实例规格。您可以参照控制台的弹性强度建议添加实例规格，也可以创建节点池后查看节点池弹性强度。

• 关于实例规格，请参见实例规格族。

• 关于节点池弹性强度，请参见查看节点池弹性强度。

• 不开启：对ECS实例不进行安全加固。

• 等保加固：仅当系统镜像选择Alibaba Cloud Linux 2或Alibaba Cloud Linux 3时，可为节点开启等保加固。阿里云为Alibaba Cloud Linux 2和Alibaba Cloud Linux 3等保2.0三级版镜像提供等保合规的基线检查标准和扫描程序。更多信息，请参见ACK等保加固使用说明。

  重要

  等保加固在保障原生镜像兼容性和性能的基础上进行了等保合规适配，使其满足国家信息安全部发布的《GB/T22239-2019信息安全技术网络安全等级保护基本要求》。

  等保加固会禁止Root用户通过SSH远程登录。您可通过ECS控制台使用VNC方式登录系统创建可使用SSH的普通用户。具体操作，请参见使用VNC登录实例。

• 阿里云 OS 加固：仅当系统镜像选择Alibaba Cloud Linux 2或Alibaba Cloud Linux 3时，可为节点开启阿里云OS加固。

目前支持设置密钥、设置密码和创建后设置。

• 创建时设置：

  • 设置密钥：阿里云SSH密钥对是一种安全便捷的登录认证方式，由公钥和私钥组成，仅支持Linux实例。更多信息，请参见SSH密钥对概述。

  • 设置密码：密码限制为8～30个字符，且必须同时包含大写字母、小写字母、数字和特殊符号。

• 创建后设置：在实例创建完成后，自行绑定密钥对或者重置实例密码。具体操作，请参见绑定SSH密钥对和重置实例登录密码。

支持ESSD AutoPL、ESSD云盘、ESSD Entry、SSD云盘和高效云盘。

系统盘可选的类型与选择的实例规格相关。如果云盘类型下拉列表没有显示的云盘类型，代表不支持该云盘类型。 关于云盘的更多信息，请参见块存储概述；查询实例规格支持的云盘类型，请参见实例规格族。

您可以选择配置更多系统盘类型，配置与系统盘不同的磁盘类型，提高扩容成功率。创建实例时，系统将根据指定的磁盘类型顺序，选择第一个匹配的磁盘类型用于创建实例。

支持ESSD AutoPL、ESSD云盘、ESSD Entry以及上一代云盘（SSD云盘和高效云盘）。挂载数据盘时，数据盘可选的类型与选择的实例规格相关。如果云盘类型下拉列表没有显示的云盘类型，代表不支持该云盘类型。 关于云盘的更多信息，请参见块存储概述；查询实例规格支持的云盘类型，请参见实例规格族。

• ESSD AutoPL还支持：

  • 预配置性能：在保持存储容量大小不变的情况下，可以结合实际业务的需求量灵活配置云盘的预配置性能，从而实现云盘容量与性能解耦。

  • 性能突发：开启后，波动性业务面临突发的数据读写压力时，云盘会根据业务实际情况临时提升云盘性能，直至业务恢复至平稳状态。

• ESSD云盘还支持：

  自定义性能级别。ESSD云盘容量越大，可供选择的性能级别越高（460 GiB容量以上可选PL2，1260 GiB以上可选PL3）。更多信息，请参见容量范围与性能级别的关系。

• 挂载数据盘时，所有云盘类型均支持加密。选择密钥时，阿里云默认使用服务密钥（Default Service CMK）进行加密，您也可以选择事先在KMS服务中创建好的自定义密钥（BYOK）为该云盘进行加密。

• 在需要容器镜像加速、大模型快速加载等场景下，您还可以使用快照创建数据盘，提升系统的响应速度和处理能力。

• 每个节点上需有一块数据盘被挂载到/var/lib/container（/var/lib/kubelet、/var/lib/containerd将挂载到/var/lib/container目录下）。对于节点上的其他数据盘，您可以进行初始化设置，自定义其挂载目录。使用说明，请参见ACK节点池中数据盘可以自定义目录挂载吗？

一台ECS可绑定标签的上限为20个。如需提高上限，请到配额平台提交申请。由于ACK和ESS存在以下标签占用，因此最多可指定17个ECS标签。

• ACK默认占用两个ECS标签。

  • ack.aliyun.com:<您的集群ID>

  • ack.alibabacloud.com/nodepool-id:<您的节点池ID>

• ESS默认占用1个ECS标签：acs:autoscaling:scalingGroupId:<您的节点池伸缩组ID>。

为节点添加污点，污点（Taints）包含键、值和Effect（效果）。有效污点键包含前缀（可选）和名称。如果有前缀，用正斜线（/）分隔。更多信息，请参见污点和容忍度。污点有以下限制：

• 键：污点键的名称长度为1~63个字符，必须以字母、数字或字符[a-z0-9A-Z]开头和结尾，中间可包含字母、数字、短划线（-）、下划线（_）、英文半角句号（.）。

  如果指定前缀，必须是DNS子域。即一系列由英文半角句号（.）分隔的DNS标签，不超过253个字符，并以正斜线（/）结尾。关于DNS子域，请参见DNS子域。

• 值：污点值可以为空，不超过63个字符，必须以字母、数字或字符[a-z0-9A-Z]开头和结尾，可包含字母、数字、短划线（-）、下划线（_）、英文半角句号（.）。

• Effect：可选择NoSchedule、NoExecute、PreferNoSchedule三种。

  • NoSchedule：如果污点中存在至少一个Effect值为NoSchedule的污点，则系统不会将Pod分配到该节点。

  • NoExecute：任何不能忍受这个污点的Pod都会被驱逐，任何可以忍受这个污点的Pod都不会被驱逐。

  • PreferNoSchedule：系统会尽量避免将Pod调度到存在其不能容忍污点的节点上，但不会强制执行。

指定kubelet节点的CPU管理策略。

• None：默认策略。

• Static：允许为节点上具有某些资源特征的Pod赋予增强的CPU亲和性和独占性。

节点名称由前缀、节点IP地址及后缀三部分组成：

• 总长度为2-64个字符。节点名称首尾必须为小写字母和数字。

• 前缀和后缀允许使用大小写字母、数字、连字符（-）和点号（.）。必须以大小写字母开头，不能以连字符（-）或点号（.）开头或结尾。不能连续使用连字符（-）或点号（.）。

• 前缀必选（ECS限制），后缀可选。

例如：节点IP地址为192.XX.YY.55，指定前缀为aliyun.com，后缀为test。

• 如果节点为Linux节点，则节点名称、ECS实例、ECS实例Hostname均为aliyun.com192.XX.YY.55test。

• 如果节点为Windows节点，则ECS实例Hostname为192-XX-YY-55，节点名称、ECS实例名称均为aliyun.com192.XX.YY.55test。

节点加入集群后，将运行您指定的实例自定义数据脚本。关于User-Data脚本，请参见User-Data脚本。

例如，指定实例自定义数据为echo "hello world"，则节点实际运行脚本如下。

#!/bin/bash
[节点初始化脚本]
echo "hello world"

是否安装云监控插件。安装后，可在云监控控制台查看所创建ECS实例的监控信息。

配置自定义镜像后，自定义镜像将取代默认系统镜像。

• 自定义ECS镜像：集群所有节点将基于此镜像进行部署。关于创建自定义镜像操作，请参见基于自定义镜像创建集群或节点池。

• 共享ECS镜像：集群所有节点将基于此镜像进行部署。关于共享镜像的更多信息，请参见操作步骤。