集群巡檢
更新時間 2025-07-15 17:09:52
最近更新時間: 2025-07-15 17:09:52
分享文章
本節介紹集群巡檢用戶指南。
前提條件
操作步驟
配置集群巡檢
登陸分布式容器云平臺，在左側導航欄中選擇集群資源 > 集群管理，進入注冊集群列表頁。
在注冊集群列表中點擊需要配置巡檢的集群，進入單集群管理頁面。
在單集群管理頁面導航欄中選擇運維管理 > 集群巡檢 > 添加 ，進入集群巡檢配置頁面。
在集群巡檢配置頁面，設置定時規則 ，閱讀注意事項后選擇我已知曉并同意 ，然后點擊確定。
查看巡檢結果
登陸分布式容器云平臺，在左側導航欄中選擇集群資源 > 集群管理，進入注冊集群列表頁。
在注冊集群列表中點擊需要查看巡檢結果的集群，進入單集群管理頁。
在單集群管理頁面導航欄中選擇運維管理 > 集群巡檢 ，選擇需要查看的報告，點擊查看詳情。
報告詳情頁會展示集群的風險項，可以對風險項的級別、風險類型、命名空間進行篩選，每個風險項都會給出異常影響及解決方案。
支持的巡檢項
| 檢查項 | 描述 | 級別 |
|---|---|---|
| PrivilegeEscalationAllowed | 允許特權升級 | 緊急 |
| CanImpersonateUser | role/clusterrole 有偽裝成其他用戶權限 | 警告 |
| CanDeleteResources | role/clusterrole 有刪除 kubernetes 資源權限 | 警告 |
| CanModifyWorkloads | role/clusterrole 有修改 kubernetes 資源權限 | 警告 |
| NoCPULimits | 資源沒有設置 CPU 使用限制 | 警告 |
| NoCPURequests | 資源沒有設置預留 CPU | 警告 |
| HighRiskCapabilities | 開啟了高危功能，例如 ALL/SYS_ADMIN/NET_ADMIN | 緊急 |
| HostIPCAllowed | 開啟了主機 IPC | 緊急 |
| HostNetworkAllowed | 開啟了主機網絡 | 緊急 |
| HostPIDAllowed | 開啟了主機PID | 緊急 |
| HostPortAllowed | 開啟了主機端口 | 緊急 |
| ImagePullPolicyNotAlways | 鏡像拉取策略不是 always | 警告 |
| ImageTagIsLatest | 鏡像標簽是 latest | 警告 |
| ImageTagMiss | 鏡像沒有標簽 | 緊急 |
| InsecureCapabilities | 開啟了不安全的功能，例如 KILL/SYS_CHROOT/CHOWN | 警告 |
| NoLivenessProbe | 沒有設置存活狀態檢查 | 警告 |
| NoMemoryLimits | 資源沒有設置內存使用限制 | 警告 |
| NoMemoryRequests | 資源沒有設置預留內存 | 警告 |
| NoPriorityClassName | 沒有設置資源調度優先級 | 通知 |
| PrivilegedAllowed | 以特權模式運行資源 | 緊急 |
| NoReadinessProbe | 沒有設置就緒狀態檢查 | 警告 |
| NotReadOnlyRootFilesystem | 沒有設置根文件系統為只讀 | 警告 |
| NotRunAsNonRoot | 沒有設置禁止以 root 用戶啟動進程 | 警告 |
| CertificateExpiredPeriod | 將檢查 ApiServer 證書的到期日期少于30天 | 緊急 |
| EventAudit | 事件檢查 | 警告 |
| NodeStatus | 節點狀態檢查 | 警告 |
| DockerStatus | docker 狀態檢查 | 警告 |
| KubeletStatus | kubelet 狀態檢查 | 警告 |
