文档中心

函数服务

云沙箱

沙箱镜像

沙箱镜像是沙箱实例启动时使用的容器镜像。您可以直接选择已完成预热的公共镜像，也可以预热包含自有工具、依赖或运行环境的自定义镜像。本文介绍两类镜像的适用场景，并介绍如何提交自定义镜像预热任务，并通过镜像状态验证预热结果。

如何选择镜像类型

veFaaS 提供公共镜像和自定义镜像两种类型，以下说明各自的适用场景与选择建议。

镜像类型	适用场景	选择建议
公共镜像	使用平台预置的代码执行、浏览器、Linux 桌面或评测环境。	不需要安装专有工具和依赖时优先选择，可减少准备与预热成本。
自定义镜像	需要自有工具、特定依赖、内部运行时或企业自建镜像仓库。	公共镜像不能满足运行环境要求时选择。使用前需要完成镜像准备、网络连通和访问授权。

公共镜像

函数服务（veFaaS）针对不同的沙箱应用提供多种公共镜像。每个公共镜像均已完成了镜像预热，方便您在创建沙箱应用时快速加载镜像，实现开箱即用能力。

镜像类型	说明
All-in-One	集成多类工具的一站式运行环境镜像，能满足人工智能智能体（AI Agent）多场景协同任务的高效执行需求。
Code	预装主流编译器与代码编辑器的专用镜像，提供安全隔离的代码编译、运行及调试环境。
Browser	内置无图形界面的浏览器引擎和应用程序编程接口（API），适用于网页自动化测试、合规的信息采集等任务。
Computer	标准 Linux 桌面/终端，提供完整的 Linux 操作系统环境，支持标准 Shell 命令与桌面交互操作。
实验	实验性沙箱环境，用于集成与测试前沿或社区驱动的 Agent 框架与运行时（如 OpenCode、OpenClaw 等），支持快速验证新架构、新交互模式与新能力编排机制，可能存在功能变动或不稳定特性。
R2E-Gym-Subset	【邀测·申请试用】R2E 强化学习环境子集，提供 R2E（Request-to-Execution，请求到执行）核心任务环境，用于轻量化评估智能体在特定场景下的执行与反馈能力。
WebArena	【邀测·申请试用】基于 WebArena 基准构建的网页交互评测环境，提供图形用户界面（Graphical User Interface，GUI），用于评估智能体在网页浏览、信息搜索和多步骤界面操作任务中的能力。
SWE-bench（软件工程基准测试）	【邀测·申请试用】专为评估人工智能（AI）模型修复软件工程代码缺陷的能力提供标准化测试环境。

自定义镜像

云沙箱支持预热沙箱应用使用的自定义镜像，减少创建沙箱实例时的镜像拉取耗时，实现实例秒级启动。

说明

预热是容器领域的一种优化技术，指在应用部署或容器启动前，提前将所需的容器镜像拉取并缓存到目标节点（例如 Kubernetes 集群的工作节点、边缘节点等），避免部署时再从远端仓库拉取，从而缩短容器启动时间、降低仓库与网络压力、提升部署效率。

应用场景

自定义镜像仓库预热适用于以下场景：

公网镜像仓库：镜像仓库部署在公网可达的环境（例如自建 Harbor、Nexus），预热时只需填写仓库地址与访问凭证，访问方式选择公网。

IDC 内网镜像仓库：镜像仓库部署在本地数据中心或自有机房，出于安全合规要求仅允许内网访问、不对公网暴露，通过选择私有网络、子网、安全组，经由已打通的专线访问内网仓库，无需手动填写 DNS 服务器地址和解析后的镜像仓库地址。

单仓库多凭证与多部门复用：同一镜像仓库地址下存在多个不同用户名密码，对应不同仓库权限，不同部门可用各自权限分别预热同一镜像。

前提条件

预热自定义镜像前，请完成以下准备：

准备镜像：已构建符合 OCI 规范的容器镜像，并将镜像推送至函数服务可访问的镜像仓库。如果使用镜像仓库 CR，需要将镜像推送至目标镜像仓库，操作说明参见标准版实例拉取和推送镜像。

准备仓库信息：如果使用自定义镜像仓库，请准备包含镜像版本（Tag）的完整镜像地址，以及具有目标镜像拉取权限的访问凭证。

配置公网访问：如果选择公网访问，请确保镜像仓库网络可达，且函数服务具备目标镜像的拉取权限。

配置私网访问：如果选择私网 VPC，请提前在当前地域创建私有网络和子网，并确保所选网络与镜像仓库之间网络连通，操作说明参见创建私有网络和子网。

预热自定义镜像

预热自定义镜像的操作步骤如下：

登录函数服务控制台。

在顶部导航栏，选择目标地域。

左侧导航栏选择云沙箱 > 沙箱镜像。

在沙箱镜像页面，选择自定义镜像页签，单击镜像预热。

在镜像预热页面，配置要预热的镜像。镜像来源支持火山引擎镜像仓库与自定义镜像仓库两种：

火山引擎镜像仓库：使用镜像仓库 CR 托管的镜像。镜像上传后可直接执行预热，无需额外配置仓库访问凭证和网络访问方式。

自定义镜像仓库：使用第三方或自建镜像仓库中的镜像，例如 Harbor、Nexus 和兼容 Registry V2 标准的仓库。执行预热时，需要配置仓库访问凭证和网络访问方式。

火山引擎镜像仓库

自定义镜像仓库

参数	说明
选择镜像来源	选择火山引擎镜像仓库。
选择镜像	在镜像实例下拉列表中，选择目标镜像实例。您还可以选择命名空间和镜像仓库，缩小目标镜像仓库的范围。说明通过命名空间或镜像仓库筛选镜像仓库时，不支持指定镜像仓库中的镜像版本，默认预热最新版本的镜像。根据需要选择镜像。预热最新版本：在仓库列表中直接选择一个或多个仓库。系统将为每个仓库默认选择最新的镜像版本。预热指定版本：单击仓库名称，在镜像版本列表，选择一个或多个需要预热的镜像版本。说明在镜像版本列表单击返回仓库列表，可以返回仓库列表，继续选择其他镜像仓库或镜像版本。
预览	查看已选择的镜像版本，支持移除不需要的镜像版本。移除单个：单击对应镜像右侧的移除，移除某个镜像。全部移除：单击清空所有移除全部已选镜像。

参数	说明
选择镜像来源	选择自定义镜像仓库。
镜像地址	每行填写一个完整镜像地址。支持多个镜像批量预热，同一镜像仓库的不同镜像版本支持同时预热。格式 <registry-domain>/<namespace>/<repository-name>:<tag> <registry-domain>：镜像仓库域名。填写镜像仓库提供的访问域名，不包含 http:// 或 https://。 <namespace>：命名空间。用于对镜像仓库中的镜像进行分组和权限隔离。 <repository-name>：OCI 制品仓库的名称，也就是镜像地址中的镜像名称。 <tag>：镜像版本，例如 v1.0.0、20261020 或 latest。示例以下示例同时填写了两个镜像地址，每行填写一个完整镜像地址。 registry.example.com/example-namespace/example-repository:v1.0.0 registry.example.com/example-namespace/another-repository:latest
认证方式	拉取镜像时的身份认证类型，需与仓库实际支持的认证方式匹配，可选：用户名密码：以用户名和密码组合校验身份（BasicAuth），填写访问仓库的用户名与密码。 Bearer Token：以令牌校验身份，填写访问仓库的 Token，适用于 Harbor 等仓库的机器人账户。匿名访问：镜像仓库对目标镜像公开、无需认证，可直接拉取。
拉取选项	用于设置云沙箱从自定义镜像仓库拉取镜像时采用的传输协议和 HTTPS 证书校验策略。默认使用 HTTPS 协议并校验证书，请在仓库配置不满足默认要求时修改。使用 HTTP 协议拉取镜像：镜像仓库未配置 HTTPS 证书、仅支持 HTTP 协议访问时选择。注意 HTTP 协议为明文传输，存在被篡改与窃听风险，生产环境建议优先为仓库配置 HTTPS 协议。跳过 HTTPS 证书校验：镜像仓库使用自签证书或证书链不完整、无法完成正常校验时选择。注意跳过校验会降低链路安全性，请谨慎选择。
访问方式	选择云沙箱拉取镜像时访问镜像仓库的网络路径：公网：默认访问方式。仓库可通过公网地址访问时选择，无需额外网络配置。私网 VPC：镜像仓库仅内网暴露（如部署在 IDC 内网）时选择，需进一步配置私有网络、子网、安全组，经由已打通的专线访问仓库。需确保所选网络可访问镜像仓库，并注意：私有网络、子网与安全组需属于同一 VPC。子网需存在空闲 IP。安全组需放通仓库服务端口（HTTPS 通常为 TCP 443、HTTP 通常为 TCP 80）及 DNS 解析端口（UDP/TCP 53）。使用前需先打通云上私有网络到本地数据中心的专线。

单击开始预热，提交镜像预热任务。

说明

任务提交失败时，可根据错误提示信息处理。如果仍无法处理，请提交工单申请获取技术支持。

在自定义镜像页签查看刚提交的镜像预热任务状态。镜像状态显示已预热表示预热完成。

最近更新时间：2026.11.02 16:16:46

这个页面对您有帮助吗？

有用

无用