文档中心

容器服务

网络

指定安全组创建实例

指定安全组创建实例

弹性容器实例支持使用默认安全组创建，也支持指定安全组创建。本文主要介绍通过指定安全组，创建弹性容器实例的步骤。

背景信息

未指定安全组时，使用的默认安全组为：创建 VKE 集群时默认开通且放通了所有出入流量的 Pod 安全组。

使用限制

VCI 实例从 Kubernetes 视角不支持修改安全组，如有修改需求建议修改安全组后，重新指定安全组创建实例。

VCI 实例从私有网络弹性网卡（即主网卡，简称 ENI）视角支持修改安全组。但每次更新或扩缩容 VCI 实例后，关联的安全组，会恢复为最初创建 VCI 实例时指定的安全组。此时，需要您重新指定安全组创建实例。

前提条件

已创建 VCI 业务相关集群。详细操作，请参见在 VPC-CNI 网络模型集群中使用 VCI、在 Flannel 网络模型集群中使用 VCI。

已创建安全组。详细操作，请参见创建安全组。

VCI 业务所在集群已完成安全组配置。详细操作，请参见安全组设置。

Kubernetes 方式创建

创建 Pod 或者工作负载（包括 Deployment、StatefulSet、Job、CronJob）时，通过添加 Annotation，指定安全组。

Annotation 说明，如下所示。

Annotation Key	Annotation Value 示例值	说明
vke.volcengine.com/security-group-ids	sg-3thbinrkp94bwbh**, sg-2b49fbsd723bf4**	设置 VCI 实例安全组。可填写多个安全组，使用半角逗号（,）分割。安全组数量限制，请参见安全组约束限制。指定安全组创建 VCI 实例时，不会叠加默认安全组的规则。指定多个安全组时，请关注多个安全组策略叠加对网络连通性的影响。多个安全组策略叠加使用方法，请参见安全组应用示例。

以创建无状态负载（Deployment）为例，完整的示例代码如下所示：

控制台方式创建

与 Kubernetes 方式创建相同，在创建工作负载时添加注解（Annotation），指定安全组。

下图以无状态负载（Deployment）为例，其他工作负载的创建方法与之相似。详细的创建工作负载方法，请参见工作负载。

说明

弹性容器实例不支持守护进程（Daemonset）。更多信息，请参见使用限制。

alt

查询实例所属安全组

弹性网卡（ENI）的所属安全组支持修改，您可以根据 VCI 实例绑定的弹性网卡 ID，查询该弹性网卡绑定的安全组。

获取 VCI 实例的 ID，或者 VCI 实例绑定的弹性网卡 ID。

通过 Pod Annotation 中vci.vke.volcengine.com/instance-id参数的值，获取 VCI 实例 ID。

通过 Pod Annotation 中vke.volcengine.com/eni-id参数的值，获取弹性网卡 ID。

根据查询到的弹性网卡 ID（弹性网卡 ID 或实例 ID），查询与之关联的安全组信息。

控制台：

登录私有网络控制台。

左侧导航栏单击网卡，并在网卡页面通过弹性网卡 ID，搜索弹性网卡。

单击网卡名称，在网卡详情面板的关联安全组页签，查看安全组信息。

OpenAPI：

调用私有网络的 DescribeNetworkInterfaces 接口，查询网卡的信息。详细说明，请参见 DescribeNetworkInterfaces。

最近更新时间：2026.08.19 11:23:57

这个页面对您有帮助吗？

有用

有用

无用

无用