API 网关支持对接 VCI Agent Sandbox，将容器集群 VCI 实例下的 Agent Sandbox Pod 抽象为一个 Upstream，作为网关的路由后端。适用于业务采用 Agent Sandbox 部署，希望通过网关按 Sandbox ID 动态发布业务的场景。本文为您介绍如何创建 VCI Agent Sandbox 类型 Upstream。 ## 前提条件 * 已创建 API 网关实例，具体操作可参见 [创建实例](https://www.volcengine.com/docs/6569/85693)。 * 已将待对接集群添加为 Upstream 来源，具体操作可参见 [导入 VKE 集群](https://www.volcengine.com/docs/6569/133830)。 * 已为 Agent Sandbox Pod 配置 Label，具体操作可参见 [将节点 Label/Annotation 注入到 Pod](https://docs.volcengine.com/docs/6460/1159259?lang=zh)。 ## 使用限制 API 网关实例与容器服务集群必须处于同一 VPC 下。 ## 操作步骤 1. 登录 [API 网关控制台](https://console.volcengine.com/veapig)。 2. 在顶部导航栏，选择目标地域。 3. 在左侧导航栏 **实例管理** 下拉框中选择目标实例后，单击 **Upstream 列表**。 4. 在 Upstream 列表页面，单击 **创建 Upstream**。 5. 在创建 Upstream 页面，按要求填写参数信息。 * **基本信息** |配置项 |说明 | |---|---| |Upstream 名称 |自定义 Upstream 名称，同一实例下的 Upstream 名称唯一。 | * **后端配置** |配置项 |说明 | |---|---| |后端服务 |选择 Upstream 对接的后端服务类型。本场景选择 **VCI Agent Sandbox**。 | |监听范围 |配置监听范围。

* **全部 Sandbox**：覆盖所选集群内全部 Sandbox。

* **按 Label 选择**：需输入 Sandbox Label 的 Key 与 Value，支持 **使用表格编辑** 和 **使用 JSON 格式编辑**。 | 6. 单击 **确定**，完成配置。 ## 结果验证 Upstream 实例创建成功后，您可在 Upstream 列表查看已创建的 VCI Agent Sandbox 类型 Upstream。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_b403b9e5eaeeda0b1ffc77e24e7a3c7a.png) ## 安全组配置 * 当 API 网关对接 VPC\-CNI 集群时，默认已放行，无需执行放行操作。 * 当 API 网关对接 Flannel 集群时，需要为待对接 Flannel 集群下的所有节点开放 APIG 安全组（命名为`apig-sg-`），确保网关可以正常访问集群中的资源。容器服务中所有节点均绑定了命名为`<集群ID>-common`的默认安全组，您只需在默认安全组中添加一条入规则，放行 APIG 安全组。具体操作如下： 1. 登录 [容器服务控制台](https://console.volcengine.com/vke)，在左侧导航栏选择 **集群**，在集群列表页面单击目标 Flannel 集群，进入当前集群管理页面。 2. 在左侧导航栏选择 **节点**，在节点列表页面单击任一节点名称，进入当前节点详情页面。 3. 在基本信息区域，寻找命名为`<集群ID>-common`的容器服务默认安全组，并单击进入当前安全组。 4. 切换至 **访问规则** 页签，在 **入向规则** 区域单击 **添加规则**。 5. 在 **添加入方向规则** 对话框，按要求配置 APIG 安全组信息。表格中未提到的参数保持默认配置。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f13430ef64aad6e9b391ba3f97579f33.png) |配置项 |说明 | |---|---| |协议类型 |选择 ALL ，允许所有通信协议的访问。 | |源地址 |选择 **安全组**，选择命名为`apig-sg-`的 APIG 安全组。 | 6. 单击 **确定**，完成配置。