容器安全服务 CGS

None 如何使用 容器安全服务 容器安全服务（Container Guard Service，CGS）是针对云容器引擎服务（CCE）集群进行安全防护和对 容器镜像服务 （SWR）镜像仓库中的镜像进行安全扫描的一种安全检测服务，同时提供容器进程白名单、文件只读保护和容器逃逸检测功能，有效防止容器运行时安全风险事件的发生。

查看更多 →

华为云容器安全服务帮助中心，为用户提供产品简介、购买、用户指南、常见问题等技术文档，帮助您快速上手使用容器安全服务。

查看更多 →

什么是容器安全服务 容器安全服务（Container Guard Service，CGS）能够扫描镜像中的漏洞与配置信息，帮助企业解决传统安全软件无法感知容器环境的问题；同时提供容器进程白名单、文件只读保护和容器逃逸检测功能，有效防止容器运行时安全风险事件的发生。 相关概念 镜像

查看更多 →

容器安全服务的日志路径 CGS日志保存于宿主机系统的 /var/log/shield目录下。 日志文件中包含“shield.log”、“message.log”和“defender_audit.log”。 shield.log：记录CGS运行日志、错误日志等信息。 message

查看更多 →

容器安全服务支持跨区域使用吗？ 容器安全服务不支持跨区域（Region）使用。购买的容器安全配额必须与CCE和SWR区域一致，您才能使用容器安全服务。 如果您购买的容器安全配额在“华北-北京四”，而CCE和SWR在“华东-上海一”，则您将不能使用容器安全服务。 父主题： 产品咨询

查看更多 →

容器安全服务shield插件是否会影响业务？ 不会影响业务。 容器安全服务shield插件以daemonset插件方式安装，容器化方式运行在集群的每个集群节点上，启动时需要预分配固定资源（CPU：0.3core、内存：300m），启动后只对启动的容器进行监控，不影响您的业务。 父主题：

查看更多 →

容器安全服务支持多个帐号共享使用吗？ 容器安全服务不支持多个帐号共享使用。例如，如果您在某个区域通过注册华为云创建了2个帐号（“domain1”和“domain2”），当您在“domain1”帐号下购买了容器安全服务，则“domain2”帐号不能使用“domain1”的容器安全服务。

查看更多 →

哪些区域可以使用容器安全服务？ 容器安全服务支持的区域说明如下： 华北-北京一 华北-北京四 华南-广州 华东-上海一 华东-上海二 西南-贵阳一 容器安全服务需要获取CCE和SWR的数据，因此，在购买容器安全配额时，请您先确认您选择的区域是否与CCE和SWR所在区域一致，若不在同一区域，您将无法使用容器安全服务。

查看更多 →

√ √ 切换流程 将CGS整体切换至HSS的过程需要您先关闭原CGS、再购买HSS容器版本并开启防护即可。 图1 CGS切换流程 步骤一：关闭原CGS防护 登录管理控制台。 在页面左上角选择“区域”，单击，选择“安全与合规 > 容器安全服务”，进入容器安全服务平台界面。 进入容器安全“防护列表”，查看集群防护列表。

查看更多 →

容器安全服务支持线下及跨平台部署吗？ 容器安全服务暂不支持线下及跨平台部署。 容器安全服务支持对华为云上的云容器引擎（CCE）集群进行安全防护和对容器 镜像服务 （SWR）镜像仓库中的镜像进行安全扫描。 父主题： 产品咨询

查看更多 →

什么是容器安全服务的按需计费？ 在开启集群防护时，已购买的包周期防护配额小于当前已开启防护的集群节点个数，超出的节点，每小时按照差额执行按需扣费。 按需计费：按需是每小时计费，先使用后付费。使用方式比较灵活，可以即开即停。 实例从“开启防护”开启计费到“关闭防护”结束计费，按实际使用时长（小时）计费。

查看更多 →

容器安全服务的日志处理机制是什么？ 容器安全服务每隔10分钟更新一次log文件，如果文件大于30M，则将最近30M的日志信息写入对应的日志备份文件，当前日志文件内容清空。 日志备份文件的文件名为日志源文件名加上“ .last ”后缀，如 “shield.log”的备份文件为 “shield

查看更多 →

容器安全服务的漏洞库多久更新一次？ 容器安全服务实时获取官方发布的漏洞信息，每天凌晨将漏洞更新至漏洞库中并执行全面的漏洞扫描和给出解决方案。您可根据自身业务情况进行修复或调整有风险的镜像。 查看本地镜像漏洞详情和解决方案，请参见：管理本地镜像漏洞。 查看私有镜像仓库漏洞详情和解决方案，请参见：管理私有镜像仓库漏洞。

查看更多 →

产品咨询 CGS是否支持Apache Log4j2 远程代码执行漏洞检测？ 镜像、容器、应用的关系是什么？ 容器安全服务支持线下及跨平台部署吗？ 哪些区域可以使用容器安全服务？ 容器安全服务支持多个帐号共享使用吗？ 容器安全服务支持跨区域使用吗？

查看更多 →

新增以下FAQ： 容器安全服务的日志处理机制是什么？ 容器安全服务的日志路径 容器安全服务shield插件是否会影响业务？ 2020-06-18 第十四次正式发布。 新增容器安全服务的漏洞库多久更新一次？ 2020-06-05 第十三次正式发布。 哪些区域可以使用容器安全服务？，新增支持使用CGS的区域。

查看更多 →

支持按“包年/包月”的方式进行购买。 区域 在下拉框中选择区域。 须知： 容器安全服务不支持跨区域使用。待检测的镜像和待防护的集群必须和容器安全服务在同一区域。 支持使用容器安全服务的区域，请查看哪些区域可以使用容器安全服务。 版本选择 支持“企业版”。 防护节点数 购买容器安全的配额。 说明：

查看更多 →

在页面上方选择“区域”后，单击，选择“安全与合规 > 容器安全服务”，进入“防护列表”界面。 选择“防护列表 > 集群列表 ”单击目标集群“操作”列的“开启防护”。 在弹出的提示框中，阅读《容器安全服务免责声明》后，勾选“我已阅读并同意《容器安全服务免责声明》”并单击“是”，如图1所示。 图1

查看更多 →

如何关闭集群防护 容器集群节点的Shield状态离线如何处理？ 无服务授权权限和创建委托失败的原因？ 容器安全服务的漏洞库多久更新一次？ 容器安全服务的日志处理机制是什么？ 容器安全服务的日志路径 容器安全服务shield插件是否会影响业务？

查看更多 →

服务授权 容器安全服务支持云容器引擎服务（CCE）集群进行安全防护和对容器镜像服务（SWR）镜像仓库中的镜像进行安全扫描。 首次使用容器安全服务的用户需要进行服务授权。 约束与限制 容器安全服务不支持跨区域使用。待检测的镜像和待防护的集群必须和容器安全服务在同一区域。 已获取登录

查看更多 →

在页面上方选择“区域”后，单击，选择“安全与合规 > 容器安全服务”，进入“防护列表”界面。 选择“防护列表 > 集群列表 ”单击目标集群“操作”列的“开启防护”。 在弹出的提示框中，阅读《容器安全服务免责声明》后，勾选“我已阅读并同意《容器安全服务免责声明》”并单击“是”，如图1所示。 图1

查看更多 →

查看恶意文件检测详情 容器安全服务能自动检测私有镜像仓库恶意文件，为您展示资产中存在的安全威胁，大幅降低您使用镜像的安全风险。 检测周期 容器安全服务每日凌晨自动执行一次全面的检测。 前提条件 已购买企业版容器安全服务。 操作步骤 登录管理控制台。 在页面上方选择“区域”后，单击，选择“安全与合规

查看更多 →