--ip [docker0 ip] 注册成功的状态： 图4 状态 容器内的Agent与宿主机中的固件交互，缺省情况下会把宿主机的IP挂载到容器内，如果宿主机的IP是动态获取的，会导致容器内的Agent与宿主机中的固件无法交互；需要使用“ifconfig”命令查看docker0的ip（172

查看更多 →

/home 说明：scp 用户名@宿主机ip:/自定义目录/所传文件名 /虚拟机目录 方法二：宿主机和虚拟机网络连通且可以通过Xshell登录虚拟机的情况下，可以使用Xftp进行文件传输。 方法三：如果宿主机和虚拟机网络不通，使用虚拟光驱挂载方式。 第一步：在宿主机中创建ISO文件 在Linux终端中执行：

查看更多 →

安全运行时 普通运行时 容器所在节点类型 弹性 云服务器 -物理机 弹性云 服务器 -虚拟机 弹性云服务器-物理机 容器引擎 Containerd Docker、Containerd 容器运行时 Kata runC 容器内核 独占内核 与宿主机共享内核 容器隔离方式 轻量虚拟机 Cgroups和Namespace

查看更多 →

创建临时容器，向容器共享宿主机文件（以Linux系统的宿主机为例），并执行命令： 通过宿主机系统目录和容器目录的挂载，将宿主机文件共享到容器： 示例1：通过将宿主机系统的/root/.hcloud/目录挂载到容器的/root/.hcloud/目录下，将宿主机配置文件共享到容器： docker

查看更多 →

-p：端口映射，宿主机6060端口：docker容器8080端口，6060可随意修改成未被占用的端口 -v：工作目录路径，宿主机/opt/workdir：容器/usr/local/workdir 访问服务器 访问地址：http://ip:6060/abi，ip为宿主机ip地址，60

查看更多 →

当runc版本<=1.0.0-rc94时存在符号链接挂载与容器逃逸漏洞，攻击者可通过创建恶意Pod，挂载宿主机目录至容器中，利用runc的符号链接以及条件竞争漏洞，最终可能会导致容器逃逸，使攻击者能够访问宿主机的文件系统。 您需要检查节点上的runc版本是否<=1.0.0-rc94，以判断是否受该漏洞影响。

查看更多 →

当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU卡状态。运行如下命令，返回NPU设备信息。 npu-smi info

查看更多 →

当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU卡状态。运行如下命令，返回NPU设备信息。 npu-smi info

查看更多 →

否 空文件夹，建议用户主要用这个目录。 /cache 否 裸机规格支持，挂载宿主机NVMe的硬盘。 /dev/shm 否 用于PyTorch引擎加速。 /usr/local/nvidia 是 宿主机的nvidia库。 父主题： FAQ

查看更多 →

端口映射，宿主机6060端口：docker容器8080端口，6060可随意修改成未被占用的端口 -v 工作目录路径,宿主机/opt/mdmworkdir：容器/usr/local/workdir 访问服务器 访问地址：http://ip:6060/mdm，ip为宿主机ip地址，6

查看更多 →

-p：端口映射，宿主机6060端口：docker容器8080端口，6060可随意修改成未被占用的端口 -v：工作目录路径,宿主机/opt/sjzlworkdir：容器/usr/local/workdir 访问服务器 访问地址：http://ip:6060/sjzl ip为宿主机ip地址 6060为宿主机映射的端口

查看更多 →

在Windows虚拟机中安装Virtualbox增强功能 在Windows虚拟机中安装Virtualbox增强功能，可以在虚拟机与宿主机之间开启共享功能，方便虚拟机和宿主机实现文件共享。 操作步骤 在VirtualBox Windows虚拟机处，选择“设备 > 安装增强功能”。 图1 安装增强功能

查看更多 →

本地磁盘应用场景 使用本地磁盘有四种形式： 主机路径（HostPath）：将容器所在宿主机的文件目录挂载到容器指定的挂载点中，如容器需要访问宿主机的/etc/hosts，则可以使用HostPath将宿主机的/etc/hosts路径映射至容器路径。 临时路径（EmptyDir）：适用于

查看更多 →

容器启动时可以将宿主机目录映射到容器内，方便容器内业务直接读写宿主机上的资源。这是一种存在风险的使用方式，如果容器启动时映射了宿主机操作系统关键目录，容易造成从容器内破坏宿主机系统的事件。 CGS监控到容器启动时mount了宿主机危险路径时触发告警，CGS定义的宿主机危险目录包括：“/boot”，“

查看更多 →

当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 父主题： 准备工作

查看更多 →

true参数，详情请参见在Pod中配置主机网络（hostNetwork）。配置完成后的Pod会占用宿主机的端口，Pod的IP就是宿主机的IP，不会占用容器网络的IP。使用时需要考虑是否与宿主机上的端口冲突，因此一般情况下除非某个特定应用必须使用宿主机上的特定端口，否则不建议使用主机网络。 父主题： 附录

查看更多 →

true参数，详情请参见在Pod中配置主机网络（hostNetwork）。配置完成后的Pod会占用宿主机的端口，Pod的IP就是宿主机的IP，不会占用容器网络的IP。使用时需要考虑是否与宿主机上的端口冲突，因此一般情况下除非某个特定应用必须使用宿主机上的特定端口，否则不建议使用主机网络。 父主题： 节点运维

查看更多 →

当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU卡状态。运行如下命令，返回NPU设备信息。 npu-smi info

查看更多 →

当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU卡状态。运行如下命令，返回NPU设备信息。 npu-smi info

查看更多 →

true）来启动容器是否支持？ 目前，CCI尚不支持特权模式。 特权容器主要场景是让容器共享、操作宿主机的设备，CCI是基于kata的hypervisor虚拟化级别隔离，所以宿主机的资源对容器完全隔离。 其他场景，推荐通过k8s原生SecurityContext中更细粒度的权限策

查看更多 →

限制挂载本地宿主机文件到容器中 使用emptyDir或云存储 HostNetwork 限制将宿主机端口映射到容器上 使用type=LoadBalancer的负载均衡 HostPID 限制容器可见宿主机PID空间 用户不感知节点，无需使用 HostIPC 限制容器进程和宿主机进程间通信

查看更多 →