云安全中心：Serverless安全

ACK Serverless集群的ECI Pod启动客户端

在容器服务管理控制台的目标集群管理页面的左侧导航栏，选择工作负载 > 容器组，单击使用YAML创建资源，在YAML模板的spec > template > metadata下增加annotations参数配置，并将其设置为k8s.aliyun.com/eci-aliyundun-enabled: "true"。

新建的YAML模板示例：

apiVersion: apps/v1 # for versions before 1.8.0 use apps/v1beta1
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      annotations:
        k8s.aliyun.com/eci-aliyundun-enabled: 'true'
      labels:
        app: nginx
    spec:
    #  nodeSelector:
    #    env: test-team
      containers:
      - name: nginx
        image: nginx:1.7.9 # replace it with your exactly <image_name:tags>
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "500m"

如果使用镜像创建资源，可在高级配置中添加Pod注解：k8s.aliyun.com/eci-aliyundun-enabled=true。资源创建的具体操作，请参见使用镜像创建无状态应用。

托管版与专有版容器集群ACK的ECI Pod启动客户端

托管版与专有版容器集群ACK的ECI Pod启动客户端

1. 登录容器服务管理控制台，进入对应版本的集群管理页面，部署ack-virtual-node组件，将Pod调度到ECI上运行。具体操作，请参见通过虚拟节点将Pod调度到ECI上运行。

2. 在容器服务管理控制台的集群管理页面左侧导航栏，选择工作负载 > 容器组，然后单击使用YAML创建资源，在YAML模板的metadata下增加annotations参数配置，并将其设置为k8s.aliyun.com/eci-aliyundun-enabled: "true"，在spec > containers下配置环境变量env，设置容器类型为ECI_CONTAINER_TYPE = sidecar。

   新建的YAML模板示例：

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-aegis-alinux2-lifsea-x86
     labels:
       eci: "true"
     annotations:
       k8s.aliyun.com/eci-aliyundun-enabled: "true"
   spec:
     containers:
     - name: sidecar
       image: registry-vpc.cn-shanghai.aliyuncs.com/eci_open/centos:7
       command:
       - /bin/sh
       - -c
       args:
       - sleep inf
       env:
       - name: ECI_CONTAINER_TYPE
         value: sidecar
     - name: nginx
       image: registry-vpc.cn-shanghai.aliyuncs.com/eci_open/centos:7
       command:
       - /bin/sh
       - -c
       args:
       - sleep inf

ACS集群的ECI Pod启动客户端

在容器计算服务控制台的目标集群管理页面的左侧导航栏，选择工作负载 > 无状态，单击使用YAML创建资源，在YAML模板的spec > template > metadata下增加annotations参数配置，并将其设置为security.alibabacloud.com/aliyundun-enabled: 'true'。具体内容，请参见ACS Pod实例概述和使用YAML创建。

YAML模板示例：

apiVersion: apps/v1 # for versions before 1.8.0 use apps/v1beta1
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
        alibabacloud.com/compute-class: general-purpose
        alibabacloud.com/compute-qos: default
      annotations:
         security.alibabacloud.com/aliyundun-enabled: 'true'
    spec:
    #  nodeSelector:
    #    env: test-team
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # replace it with your exactly <image_name:tags>
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "500m"

如果使用镜像创建资源，可在高级配置中添加Pod注解：security.alibabacloud.com/aliyundun-enabled=true。资源创建的具体操作，请参见使用镜像创建。

新购开通Serverless资产防护

免费版和申请试用的用户，可以通过购买云安全中心按量付费实例方式，开通Serverless资产防护能力。

1. 访问云安全中心购买页并使用您的阿里云账号登录。

2. 在购买页面，选择购买方式为按量付费，单击Serverless资产的是。

3. 单击自定义按需绑定，在授权管理对话框中，您可选择全量绑定或自定义绑定，配置目标Serverless资产的防护授权。

   重要

   如果未进行自定义绑定，则默认全量绑定，且开启新增资产自动绑定。

   

4. 仔细阅读并选中云安全中心服务协议，单击立即下单。

云安全中心会自动接入当前阿里云账号下状态为运行中的Serverless资产（ECI实例和SAE应用），并根据授权管理配置，绑定授权目标Serverless资产。

新增开通Serverless资产防护

已购买云安全中心实例的付费版（防病毒版、高级版、企业版和旗舰版）的用户，可以新增开通Serverless资产防护能力。

1. 登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。

2. 在左侧导航栏，选择资产中心 > Serverless 资产。

3. 在Serverless资产页面，单击立即开通。

   您也可以在总览页面右侧的按量付费服务区域，打开Serverless资产开关。

4. 在确认对话框中，您可单击自定义按需绑定，配置目标Serverless资产的防护授权，单击确定。

   重要

   如果未进行自定义绑定，按照以下逻辑绑定授权Serverless资产：

   • 如果是首次开通，则默认全量绑定，且开启新增资产自动绑定。

   • 如果不是首次开通，则默认自动绑定授权给上一次开通该功能已绑定授权的Serverless资产。如果上一次开通该功能绑定授权的ECI实例和SAE应用为0，则默认全量绑定，且开启新增资产自动绑定。

   • 如果当前账号已欠费，且欠费前已开通Serverless资产功能，用户结清当前账号欠费账单后，默认绑定之前已绑定授权的Serverless资产。

5. 在确认对话框中，选中我已阅读并同意云安全中心（按量付费）用户协议，然后单击立即开通。