Container Compute Service：在ACS叢集中建立Agent Sandbox

步驟一：通過 SandboxSet 建立預熱池

預熱池是一組預先建立的 Sandbox 副本，由 SandboxSet CR 管理。應用從預熱池中直接擷取已就緒的 Sandbox，可顯著提高交付效率。

1. 單擊左側導覽列自訂資源，選擇資源定義（CustomResourceDefinition）頁簽，單擊使用YAML建立資源。

2. 使用以下 YAML 建立 SandboxSet 資源。ack-sandbox-manager 會自動監聽並識別該資源，同步初始化名為 code-interpreter 的沙箱模板配置。

   apiVersion: agents.kruise.io/v1alpha1
   kind: SandboxSet
   metadata:
     name: code-interpreter
     namespace: default
   spec:
     runtimes:
     - name: csi           # 支援CSI掛載能力，建立的Sandbox會被注入對應的Sidecar
     - name: agent-runtime # 注入envd等環境管理工具
     replicas: 4
     template:
       metadata:
         labels:
           alibabacloud.com/acs: "true"
           alibabacloud.com/compute-class: agent-sandbox # Agent Sandbox 執行個體類型 
           alibabacloud.com/compute-qos: default # 算力品質 default/best-effort
       spec:
         automountServiceAccountToken: false
         containers:
         - image: registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter:v1.6 # 替換成實際叢集所在的地區
           imagePullPolicy: IfNotPresent
           name: sandbox
           resources:
             limits:
               cpu: "1"
               memory: 1Gi
             requests:
               cpu: "1"
               memory: 1Gi
               ephemeral-storage: 30Gi
         terminationGracePeriodSeconds: 30

   關於 SandboxSet CRD 各欄位的詳細含義及進階配置，請參見Sandbox CRD 欄位說明。

   code-interpreter鏡像使用說明

   • 鏡像拉取：registry-cn-zhangjiakou-vpc.ack.aliyuncs.com/acs/code-interpreter鏡像是 ACS 基於 e2b-code-interpreter 專案製作的樣本鏡像，相容 E2B 用戶端的run_code介面。為了提高鏡像拉取速度可將鏡像地址中的地區修改為實際的地區名字，或去除-vpc通過公網拉取。

     重要

     該鏡像僅用於示範和測試環境，不建議在生產環境使用。如需在生產環境中部署，請務必進行必要的安全強化、效能最佳化及功能增強，以滿足實際業務的安全性與穩定性要求。

   • 使用自訂鏡像：如需使用 E2B code-interpreter（直接使用或作為 base 鏡像），推薦選擇 ACS 提供的版本化鏡像。ACS 不保證運行時與 E2B 官方 latest 鏡像的相容性。如需要使用自訂鏡像，請確保鏡像滿足以下條件：

     1. 包含 cp、mv、mkdir 等基礎指令。

     2. 包含 bash 且可執行檔位於/bin/bash。

     使用自訂鏡像時，E2B 的run_code方法暫時無法使用。

3. 單擊左側導覽列容器組，選擇對應的命名空間，查看已建立的code-interpreter Sandbox。

   可通過kubectl get sbs命令查看 SandboxSet 資源，其中AVAILABLE表示已就緒的 Sandbox 數量。

當一個 Sandbox 被分配後，SandboxSet 會自動觸發補充流程，以維持預熱池執行個體數量。

步驟二：擷取Agent Sandbox

開發人員還可通過Kubernetes SDK方式來操作Sandbox資源。

步驟一：為 SandboxSet 開啟原地變更配置

在 SandboxSet 的 spec.template.metadata.annotations 中添加 scaling.alibabacloud.com/enable-inplace-resource-resize: "true"，允許預熱池中的 Sandbox 在被分配時執行原地 VPA。

以下樣本僅建立一個較小規格的預熱池，後續分配時可指定規格動態擴容。

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxSet
metadata:
  name: code-interpreter
spec:
  template:
    metadata:
      annotations:
        # 允許從預熱池分配 Sandbox 時執行原地 VPA
        scaling.alibabacloud.com/enable-inplace-resource-resize: "true"
    spec:
      containers:
        - name: interpreter
          image: xxx
          resources:
            requests:
              cpu: 500m     
              memory: 1Gi 
            limits:
              cpu: 500m 
              memory: 1Gi
  replicas: 5  # 預熱執行個體數量

步驟二：分配時聲明目標資源規格

從預熱池中分配Agent Sandbox時，可通過以下兩種方式將 CPU 動態擴容至指定規格：

from e2b_code_interpreter import Sandbox
sbx = Sandbox.create(template="code-interpreter", metadata={
    "e2b.agents.kruise.io/cpu-request": "1000m",
    "e2b.agents.kruise.io/cpu-limit": "1000m"
})

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxClaim
metadata:
  name: code-interpreter-vpa-claim
  namespace: default
spec:
  templateName: code-interpreter
  replicas: 1
  claimTimeout: 5m
  ttlAfterCompleted: 15m
  inplaceUpdate:  # 聲明目標資源規格
    resources:
      requests:
        cpu: 1000m
      limits:
        cpu: 1000m

準備網域名稱

可參考添加/刪除內網權威網域名稱 (Zone)佈建網域名your.domain.com和*.your.domain.com，並解析到Ingress的地址；如果訪問完全在ACS叢集內部，也可以直接使用叢集內Headless Service地址：sandbox-manager.sandbox-system.svc.cluster.local。

申請認證

E2B 用戶端可以通過 HTTPS 協議請求後端。在生產情境下，推薦使用以下方式申請認證。

kubectl create secret tls sandbox-manager-tls \
        --cert=fullchain.pem \
        --key=privkey.pem -n sandbox-system

export SSL_CERT_FILE=/path/to/ca-fullchain.pem
python main.py # 通過 python 調用 E2B SDK

sudo certbot certonly \
  --manual \
  --preferred-challenges=dns \
  --email your-email@example.com \
  --server https://acme-v02.api.letsencrypt.org/directory \
  --agree-tos \
  -d "your.domain.com" \
  -d "*.your.domain.com"

sudo cp /etc/letsencrypt/live/your.domain.com/fullchain.pem ./fullchain.pem
sudo cp /etc/letsencrypt/live/your.domain.com/privkey.pem ./privkey.pem

kubectl create secret tls sandbox-manager-tls \
  --cert=fullchain.pem \
  --key=privkey.pem \
  --namespace=sandbox-system

網域名稱解析

通過以下命令查看存取點資訊：

kubectl get ingress sandbox-manager -o jsonpath='{range .status.loadBalancer.ingress[*]}{.hostname}{.ip}{"\n"}{end}' -n sandbox-system

根據輸出的存取點資訊，佈建網域名 your.domain.com 或者 *.your.domain.com 的解析。更多網域名稱解析相關的操作，請參見快捷入口。

• 如果輸出的是一個 IP 位址（如47.114.***.***），請將主機記錄 *.your.domain.com 以 A 記錄類型解析到該 IP。

• 如果輸出的是一個網域名稱（如alb-*****62roo70i*****.cn-hangzhou.alb.aliyuncsslb.com），請將主機記錄 *.your.domain.com 以 CNAME 記錄類型解析到對應網域名稱。

• 如果輸出多個存取點，將記錄解析到其中任意一個存取點，或為所有存取點配置輪詢均可。

ack-agent-sandbox-controller組件安裝失敗，錯誤資訊：[RAM Role AliyunCSManagedAgentSandboxRole is not granted］

1. 進入RAM存取控制-角色頁面，搜尋AliyunCSManagedAgentSandboxRole，然後單擊角色名稱進入角色詳情頁。

2. 在角色詳情頁，勾選AliyunCSManagedAgentSandboxRolePolicy，然後單擊解除授權。

3. 重新進行授權，單擊授權連結。