参数 描述 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： 相同，主机和备机会部署在同一个可用区。 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 单机：只创建一个主实例。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。

手动扩容副本数 当集群节点数长时间较为固定时，您可以通过以下命令扩容CoreDNS副本数，如：扩容副本数为3。 plaintext kubectl scale replicas3 deployment/coredns n kubesystem 关闭kubedns服务的session亲和性配置 session亲和性配置可能导致CoreDNS不同副本间存在较大负载差异，建议按以下步骤关闭。 控制台操作方式 登录云容器引擎管理控制台。 在控制台左侧导航栏中，点击集群。 在集群列表页面中，点击目标集群名称。 在集群管理页左侧导航栏中，选择网络 > 服务。 在kubesystem命名空间下，点击服务kubedns右侧的查看YAML。 如果发现sessionAffinity字段为None，则无需进行以下步骤。如果发现sessionAffinity为ClientIP，则进行以下步骤。 点击编辑按钮，删除sessionAffinity、sessionAffinityConfig及所有子键，然后点击保存。 plaintext 删除以下所有内容。 sessionAffinity: ClientIP sessionAffinityConfig: clientIP: timeoutSeconds: 10800 再次点击服务kubedns右侧的查看YAML，校验sessionAffinity字段是否为None，为None则KubeDNS服务变更成功。 命令行方式 执行以下命令查看kubedns服务配置信息。 plaintext kubectl n kubesystem get svc kubedns o yaml 如果发现sessionAffinity字段为None，则无需执行以下步骤。如果发现sessionAffinity为ClientIP，则执行以下步骤：打开并编辑名为kubedns的服务。 plaintext kubectl n kubesystem edit service kubedns 删除sessionAffinity相关设置（sessionAffinity、sessionAffinityConfig及所有子键），并保存退出。 plaintext 删除以下所有内容。 sessionAffinity: ClientIP sessionAffinityConfig: clientIP: timeoutSeconds: 10800 修改完成后，再次运行以下命令查看sessionAffinity字段是否为None，为None则KubeDNS服务变更成功。 plaintext kubectl n kubesystem get svc kubedns o yaml A记录和AAAA记录并发解析异常

本章主要介绍下载镜像 操作场景 您可以使用docker pull命令下载容器镜像服务中的镜像。 前提条件 在下载镜像前，请确保您的下载虚拟机网络畅通。 在下载镜像前，请联系管理员在控制台授权容器镜像服务下载权限。 “我的镜像”展示当前用户所有的自有镜像（该用户所在组织所拥有的镜像）和共享镜像（该组织下其他用户共享的私有镜像）。 IAM用户创建后，需要管理员在组织中为您添加授权，您才具有该组织内镜像的读取、编辑等权限。详情请参考授权管理。 下载“我的镜像” 步骤 1 以root用户登录容器引擎所在的虚拟机。 步骤 2 参考“客户端上传镜像”中的方法，获取登录访问权限，连接容器镜像服务。 步骤 3 登录容器镜像服务控制台。 步骤 4 在左侧导航栏选择“我的镜像”，单击右侧镜像名称。 步骤 5 在镜像详情页面中，单击对应镜像版本“下载指令”列的复制图标，复制镜像下载指令。 图 获取镜像下载指令 步骤 6 在虚拟机中执行步骤5复制的镜像下载指令。 示例： docker pull registry.cn jssz1.ctyun.cn /group/nginx:v2.0.0 使用docker images命令查看是否下载成功。

本章节介绍微服务治理中心权限管理功能 概述 微服务治理中心支持IAM权限管控，通过创建IAM用户并对其分配访问权限，用户可以实现对云服务和资源的访问及操作权限，避免分享账号。 前提条件 已创建IAM用户以及相应用户组，操作详情请参见创建IAM用户。 添加权限 使用主账号登录IAM控制台。 在控制台左侧导航栏中选择用户组。 选择相应的用户组项，在右侧操作列单击授权。 在用户组权限管理页面，勾选对应的权限策略，根据提示完成授权。 权限说明 权限策略是灵活的授权项，可以精确到功能和资源两个维度，对于微服务治理中心，控制台功能和应用资源将分别进行权限管控，实现细粒度的访问控制。 多个策略以”or”的关系进行评估，总体遵循Deny优先原则。 权限策略包含系统策略和自定义策略两种。 系统策略：微服务治理中心提供三种预置策略。 微服务治理中心查看者：只读权限，拥有控制台信息查询权限。 微服务治理中心使用者：读写权限，拥有除管理微服务治理中心产品和管理应用外的所有权限。 微服务治理中心管理者：管理权限，等同于主账号访问权限，拥有所有功能操作权限。 自定义策略：创建自定义策略可以支持更细粒度的授权，对于微服务治理中心，可以自定义功能访问权限以及资源访问权限。具体操作步骤请参考创建自定义策略。 配置示例： { "Version": "1.1", "Statement": [ // 具有服务鉴权功能权限和所有资源池特定命名空间下所有应用的访问权限 { "Effect": "Allow", "Action": [ "msgc:inst:getAppInfo", "msgc:inst:getServiceInfo", "msgc:inst:readAuthConfig", "msgc:inst:writeAuthConfig" ], "Resource": [ "ctrn:msgc::xxxxxxxx:namespace/${namespaceVal}/app/" ] } ] } 资源路径说明： 路径模板 ctrn:msgc:${regionCode}:${accountId}:namespace/${ns}/app/${appId} 参数说明： 参数 描述 regionCode 资源池标识，支持通配符‘’。 accountId 账户标识，系统自动填充。 ns 命名空间名称，支持通配符‘’。 appId 应用标识，支持通配符‘’。

参数 描述 区域 租户当前所在区域，也可在页面左上角切换。说明不同区域内的产品内网不互通，且创建后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 Microsoft SQL Server。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用Microsoft SQL Server数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况：相同，主机和备机会部署在同一个可用区。不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 单机：只创建一个主实例。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区仅可在创建实例时选择，一旦选定无法修改。 实例字符集 定义数据库或表列的排序规则，或应用于字符串表达式时的排序规则强制转换操作。用于设置当前实例的字符集。

本节包含全量数据恢复：恢复到指定时间点的相关内容。 操作场景 关系型数据库服务支持使用已有的自动备份，恢复实例数据到指定时间点。 实例恢复到指定时间点，会从OBS备份空间中选择一个该时间点最近的全量备份下载到实例上进行全量恢复，再重放增量备份到指定时间点，恢复时长和实例的数据量有关，平均恢复速率为30MB/s。 功能说明 表 功能说明 类别 说明 恢复范围 恢复整个实例。 恢复后实例数据 恢复后实例数据与用于恢复的“全备文件+增备文件”中的数据一致。 恢复到新实例会为用户重新创建一个和该时间点数据相同的实例。 恢复到已有实例会导致实例数据被覆盖。 恢复的时间点 可以恢复到全量备份保留时间内，最早的一个全量备份之后的任意时间点内的数据。 恢复类型 恢复到新实例 恢复到已有实例(非原实例) 恢复到新实例各配置项 新实例的数据库引擎和数据库版本，自动与原实例相同。 其他参数需要重新配置。 恢复时长 恢复时长和实例的数据量有关，平均恢复速率为30MB/s。 限制条件 恢复到已有实例（非原实例）的限制： − 恢复到已有实例会导致实例数据被覆盖，且恢复过程中实例将不可用。 − 只可选择与原实例相同VPC，相同引擎，相同版本的实例。例如：16.5版本的实例备份只能恢复到16.5版本的目标实例，无法恢复到16.6版本的目标实例。 − 请确保目标实例的存储空间大于或等于当前实例的存储空间，否则会导致任务下发失败。

参数 描述 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： − 相同，主机和备机会部署在同一个可用区。 − 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 单机：采用单个数据库节点部署架构，与主流的主备实例相比，它只包含一个节点，但具有高性价比。适用于个人学习、微型网站以及中小企业的开发测试环境。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。

本章介绍关系数据库的优势，关系型数据库具有低成本、高安全性、高可靠性等优势，相对传统数据库运维繁琐等缺陷，关系型数据库使用更加方便简单。 低成本 即开即用 您可以通过官网实时生成目标实例，关系型数据库服务配合弹性云主机一起使用，通过内网连接关系型数据库可以有效的降低应用响应时间、节省公网流量费用。 弹性扩容 可以根据您的业务情况弹性伸缩所需的资源，按需开支，量身订做。配合云监控（Cloud Eye）监测数据库压力和数据存储量的变化，您可以灵活调整实例规格。 完全兼容 您无需再次学习，关系型数据库各引擎的操作方法与原生数据库引擎的完全相同。关系型数据库还兼容现有的程序和工具。 运维便捷 RDS的日常维护和管理，包括但不限于软硬件故障处理、数据库补丁更新等工作，保障关系型数据库运转正常。提供专业数据库管理平台，重启、重置密码、参数修改、查看错误日志和慢查询日志、恢复数据等一键式功能。提供CPU利用率、IOPS、连接数、磁盘空间等实例信息实时监控及报警，让您随时随地了解实例动态。 高安全性 网络隔离 通过虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组实现网络隔离。虚拟私有云允许租户通过配置虚拟私有云入站IP范围，来控制连接数据库的IP地址段。关系型数据库实例运行在租户独立的虚拟私有云内，可提升关系型数据库实例的安全性。您可以综合运用子网和安全组的配置，来完成关系型数据库实例的隔离。

步骤四：创建聊天助手 1. 创建聊天助理。点击最上边栏的“聊天”进入聊天助手页面。点击“新建助理”，配置聊天。 首先进行“助理设置”。这里可以根据需求，选定相应的知识库并可以增加“显示引文”、“文本转语音等功能”，配置提示引擎。点击“提示引擎”对于聊天助手的提示引擎进行配置。 此处可以调节文本/向量混合检索的权重、可以选取topN的大小，可以配置Rerank模型等多种相关配置。 2. 配置相应模型。 点击“模型设置”，进行模型相关的配置。 此处选择之前的deepseekchat模型进行配置，深度用户可以选择相应的自由度配置。 3. 创建聊天对话框 点击创建好的聊天助理，选择“聊天”框的+符号创建会话，这时，可以输入相关的问题，开启RAG的使用了。

本节介绍当正常内容被拦截时，如何解除拦截。 操作场景 对于系统内置规则，解除误报功能可以处理规则误判的情况，当系统将正常内容误判为敏感内容时，可以通过此功能屏蔽内置规则处理误报问题。 操作步骤 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 内容规则库 > 规则列表”。 3. 在敏感内容列表右上方，单击“解除误报”。 4. 在弹框中配置解除拦截的信息。 5. 配置完成后，单击“解除误报”即可。 配置示例 如果发现某条合规的问题被拦截，如下图，可以看到提示检测引擎为“关键字引擎”，违规原因中有提到违规关键词。 则在解除误报弹窗中配置如下信息： 规则内容：填写在上述拦截信息中“违规原因”提到的关键词信息。 规则类型：上述拦截信息中“检测引擎”为关键字引擎，则选择 “关键词”。

Pod的DNS配置策略 Kubernetes支持以下特定Pod的DNS策略，这些策略由Pod规约中的dnsPolicy字段设置: "Default" : Pod继承其所在的节点的/etc/resolv.conf名称解析配置，域名解析行为与节点完全一致 "ClusterFirst" : Pod规约中默认采用此配置，通过此配置Pod可以通过云容器引擎的提供的CoreDNS服务解析Service名称。任何与集群域后缀不匹配的任何DNS查询（例如 "www.kubernetes.io"）由CoreDNS转发给其所在控制面节点中/etc/resolv.conf文件中记录的上游DNS服务器去解析。不过，若是以hostNetwork方式运行的Pod将其dnsPolicy设置为了ClusterFirst, 则dnsPolicy会强制从ClusterFirst转换成Default "ClusterFirstWithHostNet": 适用于以hostNetwork方式运行的Pod，将其DNS策略显式设置为"ClusterFirstWithHostNet"时可同时使用CoreDNS解析集群内部Service名称，又能使用节点的DNS服务解析非Service名称 "None": Pod将忽略Kubernetes环境中的DNS设置，避免Pod里面没有配置任何DNS，建议在Pod规约中配置dnsConfig字段来为Pod提供域名解析服务 Pod的DNS应用案例 案例一：完全采用自定义的DNS服务器为Pod提供域名解析服务 要求自定义的DNS服务器能同时解析Kubernetes Service域名和外部域名，自定义服务器要能满足Kubernetes管理Service域名的需求。 apiVersion: v1 kind: Pod metadata: name: busybox namespace: default spec: containers: image: busybox:1.28 command: sleep "3600" imagePullPolicy: IfNotPresent name: busybox restartPolicy: Always dnsPolicy: "None" dnsConfig: nameservers: 100.95.0.1 searches: ns1.svc.cluster.local my.dns.search.suffix options: name: ndots value: "3"

概述 本章节主要介绍沙箱模板管理和沙箱实例管理中的一些通用功能，沙箱模版管理包含查看沙箱模版和删除沙箱模版，沙箱实例管理包含查看沙箱实例、创建沙箱实例和删除沙箱实例。 智能体引擎目前支持5种类型沙箱类型，即：基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱。因为不同的沙箱模版类型创建参数不同，所以创建沙箱模版功能请参见各个类型沙箱模版章节。 沙箱模板管理 查看沙箱模板 操作步骤 1. 登录智能体引擎控制台。 2. 左侧导航到沙箱菜单下，查看沙箱模板列表。 删除沙箱模版 操作步骤 1. 登录智能体引擎控制台。 2. 左侧导航到沙箱 菜单下，选择需要删除的沙箱模版，点击删除。 注意： 删除沙箱模版会同时删除沙箱实例下的实例。 沙箱实例管理 沙箱实例管理通用功能以基础沙箱为例，其他沙箱模版的下的沙箱实例操作类似，这里不再赘述。 查看沙箱实例 操作步骤 1. 登录智能体引擎控制台。 2. 左侧导航到沙箱菜单下，选择指定模版，点击模版卡片进入模版。 3. 切换到实例页面，查看指定模版沙箱实例列表。

通过自定义度量指标进行Pod的水平自动伸缩 参见 Pod 水平自动扩缩（HPA）云容器引擎用户指南运维管理监控 天翼云 和 prometheusadapter 方案 Kubernetes 实践指南 安装cubeprometheus插件，开通应用性能服务。 业务暴露指标（针对用户自定义应用暴露指标采集上报方案，参见 单集群监控） 安装cubemetricsadapter插件，如需自定义指标进行HPA，则在configmap中定义指标及计算公式。填写prometheus url（该prometheus实例部署在预置区，仅支持内网通过VPCE访问） adapter values.yaml 定义指标+指定prometheus url 声明工作负载和HPA对象（定义与上述差不多）

本文将从功能简介、背景信息、前提条件、操作步骤、配置说明等方面介绍如何设置规则防护功能。 功能介绍 规则防护引擎使用基于正则的规则防护引擎和基于机器学习的 AI 防护引擎，进行 Web 漏洞和未知威胁防护。 目前防护 Web 攻击包括：SQL 注入、XSS 攻击、恶意扫描、命令注入攻击、Web 应用漏洞、WebShell 上传、不合规协议、木马后门等17类通用的 Web 攻击。 支持规则模板配置（安全基础配置—漏洞防护配置），用户可根据实际业务需要选择适合的模板，同时提供基于指定域名 URL 和规则 ID 白名单处置策略，进行误报处理。 背景信息 在控制台添加服务域名时，系统将通过4个问题确认网站的防护场景，并为您推荐默认生效的防护规则集，支持选择防护动作为告警或拦截。接入边缘云WAF业务成功后，将默认生效此防护规则集。 规则防护引擎基于各类防护场景，设定了七套防护规则集，能够满足各种网站业务防护需求，帮助网站抵御大量的Web攻击并提供漏洞防护。目前边缘云WAF安全团队总共已经维护五百多条防护规则，支持自动更新Web 0day漏洞攻击防护规则 全量防护规则集：适用于重保等级高，且允许一定程度误报的业务场景。该漏洞规则集防护包含全量规则，绝大部分规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），容易出现误报，请谨慎选择；敏感防护规则集：适用于常规网站，且允许少量误报的业务场景。该漏洞规则集防护等级较为严格，容易误报的规则处理动作为告警，其他规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），存在一定误报可能性； 宽松防护规则集：适用于常规网站，允许存在一定漏报的业务场景。该漏洞规则集防护等级较为宽松，关闭容易产生误报的规则，则可能存在一定漏报，接入后请及时关注； PHP防护规则集：适用于后台开发语言为PHP的网站业务。该漏洞规则集主要针对后台语言为PHP进行制定，关闭其他容易产生误报的规则，接入后请及时关注； JAVA防护规则集：适用于后台开发语言为JAVA的网站业务。该漏洞规则集主要针对后台语言为JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注； 非PHP和JAVA防护集：适用于后台开发语言明确非PHP和JAVA网站业务。该漏洞规则集主要针对后台语言为非PHP和JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注； 下载类业务规则集：适用于下载类业务，即包含zip、rar、tar、gz等下载类后缀的业务网站。该漏洞规则集主要针对下载类业务进行设定规则，关闭其他容易产生误报的规则，接入后请及时关注；

本文介绍云容器引擎Serverless版的功能特性。 虚拟节点 Serverless集群无需管理节点，但为了兼容原生Kubernetes，以及提供应对突发业务流量的弹性能力，您仍会在集群中看到虚拟节点的存在。 Pod配置 在Serverless集群中创建Pod时，您可以通过添加Annotation来定制Pod。 网络管理 Serverless集群支持Service和Ingress等对象的个性化定制，并且允许通过CoreDNS和弹性IP等办法提供服务发现功能。 存储管理 支持天翼云盘挂载，提供标准的CSI，支持存储卷的自动创建。 可观测性 Serverless集群支持安装相应组件启动监控功能。 镜像管理 Serverless集群支持使用ImageCache来加速创建Pod，帮助您快速响应业务。 组件管理 Serverless集群提供多种类型的组件，以扩展集群的各种功能。根据业务需求，您可以随时部署、升级或卸载这些组件。 应用管理 Serverless集群支持灰度发布、蓝绿发布、应用监控以及应用弹性伸缩。同时，内置的模板市场支持Helm应用一键部署，大大简化云服务集成。

本页介绍天翼云TeleDB数据库实例开通相关操作。 在实例开通模块，可开通数据库引擎，可选关系型数据库和数据库生态工具等。 1. 以用户名和密码登录TeleDBDCP数据库管理平台。 2. 在左侧导航树选择实例管理 > 实例开通 ，进入实例开通页面。 3. 配置实例基本信息。 您需要注意如下参数： 引擎选项：您需要先填写引擎选项，即需要开通的引擎类型、引擎规格、性能规格。 实例设置：根据选择引擎，设置实例相关信息，不同数据库实例设置的内容不同，例如TeleDB需要填写实例名称、主备复制模式、字符集、root密码等。 4. 单击下一步 ，进入实例开通下一个页面。 5. 根据实际情况，填写基本信息。 > 您需要先选择主机组，将新建的实例与主机组进行绑定，初次分配以及后续的扩容等操作，都只允许选择该主机组当中的实例主机。其中，主机组中为running状态的主机，才可以用于分配使用。 > 主机选择可选自动分配 ，或单击选择主机手动选择主机。 > 填写主机配置相关信息。 6. 单击提交工单，完成实例开通。 7. 您可通过实例管理 > 工单管理，查看工单详情。 8. 您可通过实例管理 > 实例列表 ，查看实例详情信息。

本节介绍网络的用户指南:Service概述 Pod地址可变性 Pod销毁重建后，其IP地址也会变化，例如deployment工作负载升级时，新建的pod地址会改变。Kubernetes的Service可提供一个固定的IP地址（来自订购集群时配置的服务网段）和Service域名，结合标签选择器，对一组pod做负载均衡。客户端可通过该地址或域名访问IP地址可变的pod。如下图所示，nginx部署的前端服务，通过service地址访问后端服务. Service类型 Service支持如下类型： 1. ClusterIP：Service默认类型，用于集群内应用间访问，客户端可通过ClusterIP或内部Service域名访问后端Pod； 2. NodePort：用于集群外部访问集群内服务，将Service通过集群节点固定端口暴露，集群外部可通过任一集群节点IP和该固定端口来访问Serivce； 3. LoadBalancer：用于集群外部访问集群内服务，通过LoadBalancer实例访问NodePort或直通Pod，相对于NodePort方式，有更高的可用性和性能； 4. Headless：该类Service没有IP地址，可用于DNS负载均衡场景，客户端访问Service域名时会通过DNS返回该Service所有后端Pod的IP地址； 5. ExternalName：将集群外部域名映射到集群内部Service上，使得集群内可通过Service名访问外部域名。 Service创建 登录云容器引擎控制台，进入指定集群，选择服务（Service）>创建，按需配置信息即可。

本节介绍了容器镜像服务的产品介绍。 容器镜像服务是一种支持容器镜像全生命周期管理的服务，提供简单易用、安全可靠的镜像管理功能，帮助用户快速部署容器化服务。容器镜像服务与云容器引擎无缝集成，帮助企业降低交付复杂度，打造云原生应用一站式解决方案。 个人版功能 功能项 说明 镜像仓库管理 支持Linux、ARM等多架构的容器镜像管理，支持设置容器镜像的公开/私有权限 命名空间管理 通过命名空间组织、管理镜像仓库 镜像安全扫描 支持对容器镜像进行安全扫描，展示漏洞编号、漏洞位置、漏洞等级等详细信息 企业版功能（包含个人版的所有功能） 功能项 说明 存储隔离 每个用户的容器镜像、Helm Chart等存放于用户的对象存储中，实现存储隔离 Helm Chart管理 支持Helm Chart的管理、分发 镜像加速 支持加速镜像转换，部署业务工作负载时使用加速镜像，实现镜像数据免全量下载和在线解压，大幅度提升应用分发效率，缩短容器启动时间 镜像同步 支持跨资源池同步镜像 版本不可变 支持配置镜像版本不可变，保证相同版本的镜像仅被成功推送一次，可有效避免因误操作引起的版本覆盖问题 版本保留 支持配置版本保留规则，让用户自定义需要保留的镜像版本，实现镜像版本清理 镜像分享 支持将私有镜像分享给指定用户 操作审计 支持记录用户在容器镜像服务控制台内所进行的操作，为行为分析、安全分析等提供依据 访问控制 支持配置公网白名单

性能增强，可靠性增强 控制面和数据面在社区版本基础上进行可靠性加固和性能优化。 多基础设施 提供免运维的托管控制面，提供全局统一的服务治理，灰度、安全和服务运行监控能力，并支持对支持容器和VM等多种基础设施的统一服务发现和管理。 协议扩展 社区通用的HTTP、gRPC、TCP、TLS外扩展对Dubbo协议的支持。 传统SDK集成 提供Spring Cloud、Dubbo等传统微服务SDK的集成解决方案，传统的微服务SDK开发的业务代码无需大的代码修改即可迁移到云原生的容器和网格运行环境上来。

本节介绍了云容器引擎的退订说明。 如果您有退订的需求，可以进行登录天翼云管理中心或云容器引擎控制台进行退订操作。天翼云目前支持7天无理由全额退订和非七天无理由退订以及其他退订，详细规则请参考文档费用中心退订。

$%^+{[]}:,.?/）。 5. 设置网络，选择合适的虚拟私有云、子网以及安全组。 网络参数说明如下： 参数 说明 虚拟私有云 文档数据库服务实例所在的虚拟专用网络，可对不同业务进行网络隔离，方便地管理、配置内部网络，进行安全、快捷的网络变更。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 安全组 安全组限制安全访问规则，加强文档数据库服务与其它服务间的安全访问。 6. 设置购买量：购买时长，购买数量，是否自动续订。 7. 同意产品协议后，点击下一步，根据引导完成实例订单的创建。静待几分钟后，会在租户控制台看到订购成功的实例。 Ⅱ类型资源池 1. 登录天翼云控制台，进入文档数据库服务管理控制台>管理中心>实例管理，点击“创建数据库实例”。 2. 选择基础配置：根据自身的业务实际需求选择相应的文档数据库服务产品的版本、类型、存储引擎、CPU/内存规格、存储类型和存储空间大小。 3. 填写实例配置：设置文档数据库服务的实例名称、数据库的管理员帐号和管理员密码。 注意 用户订购实例时，需要填写数据库的管理员密码，该数据库帐户的权限为root。帐户名默认为root，且不可更改。 填写的管理员密码需要满足如下条件： 密码必须长度在 8 到 26 个字符。 密码必须包含大写字母、小写字母、数字和特殊字符（~!@

本节主要介绍创建密钥 密钥（Secret）是一种用于存储应用认证信息、应用密钥等敏感信息的资源，内容由用户决定。密钥创建完成后，可在应用中作为文件或者环境变量使用。 前提条件 已创建需要使用密钥的集群。 创建混合集群，请参考“帮助中心 > 云容器引擎 > 用户指南 > 集群管理 > 创建混合集群”。 已创建密钥所在命名空间，请参考“帮助中心 > 云容器引擎 > 用户指南 > 集群管理 > 命名空间”。 创建密钥 1、登录ServiceStage控制台，选择“应用管理 > 应用配置 > 密钥”。 2、单击“创建密钥”。 3、ServiceStage支持“可视化”和“YAML”两种方式来创建密钥。 方式一：可视化。参照下表设置基本信息，其中带“”标志的参数为必填参数。 表 基本信息说明 参数 参数说明 :: 基本信息 密钥名称 新建的密钥的名称，同一个命名空间内命名必须唯一。 所在集群 使用新建密钥的集群。 单击“创建集群”，可以新建集群。 命名空间 新建密钥所在的命名空间，默认为default。 描述 密钥的描述信息。 单击“创建命名空间”，可以新建命名空间。 密钥类型 根据业务需要选择新建的密钥类型。 Opaque：一般密钥类型。当密钥配置文件中未作显式设定时，默认的密钥类型是Opaque。 kubernetes.io/dockerconfigjson：存放拉取私有仓库镜像所需的认证信息。 IngressTLS：存放7层负载均衡服务所需的证书。 其他：若需要创建其他类型的密钥，请手动输入密钥类型。 镜像仓库地址 当“密钥类型”选择kubernetes.io/dockerconfigjson时有效。输入镜像仓库的地址。 密钥数据 应用密钥的文件data字段值。 当密钥为Opaque类型时，输入键、值。其中“值”必须使用Base64编码。单击“添加更多密钥数据”，可以增加密钥数据 。 当密钥为kubernetes.io/dockerconfigjson类型时，输入“镜像仓库地址”、“用户名”和“密码”。 当密钥为IngressTLS类型时，上传“证书文件”和“私钥文件”。 当密钥为其他类型时，输入“密钥类型”及对应的“键”、“值”。 密钥标签 标签以Key/value键值对的形式附加到各种对象上（如应用、节点、服务等）。 标签定义了这些对象的可识别属性，用来对它们进行管理和选择。 单击“添加标签” 。 输入键、值。 方式二：YAML。 若需要通过上传文件的方式创建资源，请确保资源描述文件已创建。ServiceStage支持yaml格式，详情请参考Secret资源文件配置说明。 a.在“所在集群”下拉框中，选择相应的集群。 b.（可选）单击“上传文件”，选择已创建的Secret类型资源文件后，单击“打开”。 请上传小于2MB的文件。 c.在“编排内容”中写作或者修改上传的Secret资源文件。 4、配置完成后，单击“创建”。 密钥列表中会出现新创建的密钥。

本文介绍参数模板的作用及如何创建参数模板。 参数模板的作用 参数模板用来管理和存放一组数据库参数列表，可以看作是一个存放参数的容器。一个参数模板对应一个具体的数据库引擎版本。 可以将参数模板应用到一个或多个实例上，达到修改实例参数的效果。使用同一份参数模板应用到多个实例，达到批量修改的效果，避免针对每个实例都要重复修改参数。 参数模板不属于某个实例，不反映某个实例当前的参数配置，应用模板到某个实例后不代表该实例拥有该参数模板，只是将参数模板里的参数值对该实例的参数进行修改。 系统针对不同版本数据库引擎提供不同的默认参数模板，默认参数模板中的参数值反应了实例开通后的默认参数设置。 自定义参数模板只允许添加允许修改的参数（可选参数列表系统会自动过滤不可修改的参数）。 注意事项 创建参数模板，必须至少填一个可修改参数到模板中。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 关系数据库SQL Server版】，进入关系数据库SQL Server产品页面。然后单击【管理控制台】，进入TeleDB数据库【概览】页面。 2. 在左侧导航栏，选择【SQL Server > 参数模板】，进入自定义参数模板页面。然后在顶部菜单栏，选择区域和项目。 3. 单击【创建参数模板】，填写模板名称，选择SQL Server数据库引擎版本，填写描述，单击【添加参数】，添加一个或多个参数到模板中，每个参数填写配置值，单击【确定】，创建参数模板。 参数模板名称长度在864位之间，区分大小写，可包含字母、数字、中划线、下划线或句点，不能包含其他特殊字符。参数模板名称不能和已有模板名称重复。 数据库引擎版本只能选择一个。 参数模板的描述长度不能超过256个字符。 可添加的参数范围视引擎版本而定，并非所有版本的引擎的可选参数都是一样的，且只展示可编辑的参数。 参数模板中至少添加一个参数，参数值必须在允许范围内设置。只允许添加可修改的参数。 添加参数过程中，可以对某个参数进行删除。

本小节介绍微隔离防火墙接入工作负载(BEA端)操作方法。 功能说明 授权码代表了工作负载的身份，一个工作负载在接入系统时，系统将根据其授权码决定是否允许其接入、配置什么样的安全策略、分配到哪个工作组等。 操作步骤 1.创建授权码有两个入口，一个是菜单栏的授权管理，通过此入口可以查看管理所有授权码。 第二个入口，可以通过工作组详情查看该工作组的授权码（由某个组的授权码接入的工作负载，将自动分配到该工作组）。 2.创建授权码 点击创建授权码，在弹出的对话框中输入相关参数，点击确定即可完成授权码的建立。 3.点击授权码，可进入授权码详细页面。 4.授权码详细页面最下方的自动化安装部分，可根据此授权码自动生成安装命令，用于实现工作负载的自动化安装。 注意 1.执行该命令，系统会自动到管理中心下载安装脚本，请确保安装客户端的工作负载与管理中心网络可达。 2.安装脚本执行后自动判定系统版本，并从管理中心获取相应安装包。 3.linux系统安装命令一致、Windows系统安装命令一致。 4.agent成功安装后，不会清空原有iptables中的策略。后续产品添加安全策略会在iptables最上层添加。若只在监测模式下运行，可在安装命令后加nf true则不安装产品防护模块。

1.3 产品优势 快速交付：EATP套件以标准化产品形态，将传统自建方案3至6个月的交付周期压缩至2至3周，大幅缩短AI推理服务上线时间，帮助企业快速抢占业务窗口。 提升资源效能：通过精细化GPU调度与推理加速引擎，EATP将GPU集群平均利用率从传统模式的30%~50%提升至70%~90%，有效摊薄单位算力成本；引入自动化运维机制后，日常运维人力投入降低60%以上，在AI业务规模化过程中实现显著降本增效。 安全合规：依托天翼云安全可信的基础设施底座，EATP套件提供兼顾合规遵从、性能极致与商业敏捷的AI Token全生命周期管理方案，确保企业AI服务安全、高效、可持续运营。 更多产品使用方法请参考附件。EATP单机版用户手册.pdf 说明 首次登录EATP默认用户名为：admin，密码为：Eatp123@ 登录后，应用中可修改账号用户名及密码。

物理机服务为您提供优质的服务体验,本文带您了解产品优势。 安全稳定 天翼云物理机提供硬件隔离，确保敏感数据物理隔离，避免与其他租户共享计算资源，提供了更高的安全性和隔离性。 性能可靠 用户可以在无虚拟化层的情况下直接访问物理硬件资源，获得更高的性能和更低的延迟。这使用户可以将自己的操作系统、虚拟化软件和应用程序部署到物理机上，获得与传统物理机相似的性能。 高吞吐低时延 结合天翼云全新分布式4.0架构及深度学习智能调度引擎，实现超大规模部署，云网络访问性能带宽最高可达50Gbps，支持高带宽、低时延云存储，满足企业数据库、大数据、容器、HPC、AI等关键业务部署密度和性能诉求。 灵活可控 天翼云物理机允许用户根据需求选择硬件配置、存储选项和网络设置，并根据需要进行动态调整。用户可以定制适合自己业务需求的物理机环境，提供灵活的部署和管理选项。

本章介绍天翼云关系型数据库的使用约束和限制情况。 Microsoft SQL Server引擎的关系型数据库服务仅提供附带许可实例，即实例创建后具有微软SQL Server软件对应版本许可授权，不提供用户自带许可。 为保障用户在使用上的安全性，Microsoft SQL Server的部分功能存在限制，详见下表。 Microsoft SQL Server实例分为三个实例类型，即单机实例、主备实例和集群版实例。不同系列支持的功能不同。 功能和约束与限制 功能 单机实例 主备实例/集群版实例 数据库数量 100 100 数据库帐号数量 无限制 无限制 邮件功能 不支持 不支持 数据集成功能（SSIS） 不支持 不支持 数据分析功能（SSAS） 不支持 不支持 数据报表功能（SSRS） 不支持 不支持 R语言服务 不支持 不支持 公共语言运行时集成（CLR） 不支持 不支持 异步消息通讯 不支持 不支持 复制订阅功能 不支持 不支持 策略管理 不支持 不支持

本节介绍了云容器引擎的最佳实践:会话保持。 不使用会话保持 前提条件 创建一个nginx工作负载，并确保工作负载的实例个数大于1，工作负载不需要其他的额外特殊配置。 创建一个ClusterIP类型的服务（Service）并关联到上述nginx工作负载，注意Session Affinity不需要设置，保持默认值即可。 测试验证 发起服务调用，在集群节点上执行这个命令发起对服务的100次调用 > for i in {1..100};do curl 10.96.116.221:80;done; 上述curl命令中的IP和端口来自如下地方： 观察工作负载日志，查看Pod实例的日志输出。 结论：服务请求会随机的转发到任一个Pod实例。 集群内请求会话保持 1、前提条件 创建一个nginx工作负载，同上。 创建一个ClusterIP类型的服务（Service）并关联到上述nginx工作负载，注意需要展开高级设置，并设置Session Affinity为客户端IP。 2、测试验证 发起服务调用，同上。观察工作负载日志，查看Pod实例的日志输出。 结论：服务请求会全部转发到某一个Pod实例，进行会话保持。 集群外NodePort访问请求会话保持 1、前提条件 创建一个nginx工作负载，同上。创建一个NodePort类型的服务（Service）并关联到上述nginx工作负载，指定一个合法的主机端口，注意需要展开高级设置，并设置Session Affinity为客户端IP。 2、测试验证 发起服务调用；在集群外执行这个命令发起对服务的100次调用 > for i in {1..100};do curl 10.142.232.160:30080;done; 上述curl命令中的IP可以是集群的vip或者集群任意节点IP，端口是服务（Service）中指定的主机端口。 观察工作负载日志，查看Pod实例的日志输出。 结论：集群外的请求会全部转发到某一个Pod实例，进行会话保持。

本章节介绍如何将数据库实例恢复到指定时间点。 操作场景 关系型数据库服务支持使用已有的自动备份，恢复实例数据到指定时间点。 关系型数据库服务支持将备份恢复到新实例。 当用户在某个时间点删除了某个数据库，或者修改了某个数据库的一些记录时，用户需要只对该实例数据库进行恢复，而不需要将整个实例进行恢复。您可以根据需要恢复库到指定时间点。 限制条件 如果您要将数据库备份恢复到新实例： 数据库引擎和数据库端口，与原实例相同，不可修改。 数据库密码需重新设置。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在左侧导航栏中选择“备份恢复”页签，单击“恢复到指定时间点”。 步骤 6 在“恢复到指定时间点”弹出框中，填选相关信息，单击“确定”。 1. 选择恢复日期，可恢复的时间区间，输入该恢复时间区间内的一个恢复时间点。 2. 选择恢复方式， 恢复到新实例 跳转到“恢复到新实例”的服务选型页面： 数据库引擎和数据库端口，与原实例相同，不可修改。 存储空间大小默认和原实例相同，且必须大于或等于原实例存储空间大小，数据库密码需重新设置。 其他参数默认，用户可设置。 3. 勾选需要恢复的数据库，您可以根据需要，自定义恢复后的新数据库名。如果恢复到的新数据库名未填写，默认按原数据库名进行恢复。 说明 新数据库名不能与原数据库重名，重命名恢复之后，使用原库名建立的同义词不可用。 新数据库名不能包含rdsadmin、master、msdb、tempdb、model或resource字段（不区分大小写）。 数据库名称长度在1~64个字符之间，包含字母、数字、下划线或中划线，不能包含其他特殊字符。 步骤 7 查看恢复结果。 RDS会为您重新创建一个和该备份数据相同的实例。可看到实例由“创建中”变为“正常”，说明恢复成功。 恢复成功的新实例是一个独立的实例，与原有实例没有关联。

索引名称 索引的默认名称是索引键和索引中每个键的方向(即1或1)的连接，使用下划线作为分隔符。例如，在 { item : 1, quantity: 1 }上创建的索引名称为item1quantity1。 您可以创建具有自定义名称的索引，比如比默认名称更易于阅读的索引。例如，考虑一个经常查询products集合以填充现有库存数据的应用程序。下面的createIndex() 方法在名为查询的商品和数量上创建一个索引: db.products.createIndex( { item: 1, quantity: 1 } , { name: "query for inventory" }) 您可以使用 db.collection.getIndexes()方法查看索引名称。一旦创建索引，您将无法重命名。相反，您必须删除并使用新名称重新创建索引。 文档数据库服务提供了许多不同的索引类型来支持特定类型的数据和查询。 创建索引 在文档数据库服务中，可以使用 createIndex() 方法来创建索引。下面是创建索引的一般步骤： 1. 连接到文档数据库服务的数据库。 2. 选择要创建索引的集合。 3. 使用 createIndex() 方法创建索引。createIndex() 方法接受两个参数： 1. 索引键（Index Keys）：一个包含一个或多个字段的文档，用于指定要在哪些字段上创建索引。可以使用对象字面量或字符串表示法指定索引键。 2. 选项（Options）：一个包含一个或多个选项的文档，用于指定索引的属性和行为。可以省略选项对象，使用默认值。 以下是一些常用的可选参数： 1. background：指定创建索引时是否在后台运行。如果设置为 true，则创建索引的过程将在后台运行，不会阻塞其他操作。默认值为 false。 2. unique：指定索引是否唯一。如果设置为 true，则索引键值必须唯一。默认值为 false。 3. sparse：指定索引是否稀疏。如果设置为 true，则只有包含索引键的文档才会被索引。默认值为 false。 4. name：指定索引的名称。如果未指定名称，则文档数据库服务将自动生成一个唯一的索引名称。 5. expireAfterSeconds：对于 TTL 索引而言，指定文档应在多长时间后过期（以秒为单位）。 6. partialFilterExpression：指定一个筛选器表达式，该表达式将被应用于索引的文档子集。只有满足表达式的文档才会被包含在索引中。 7. collation：指定索引应使用的排序规则。可以使用排序规则来控制大小写、重音符号和特定字符的排序方式。 8. storageEngine：指定索引应使用的存储引擎。可以使用存储引擎来控制索引的存储方式和性能 例如，以下是在 users 集合中为 username 字段创建一个升序索引的示例： db.users.createIndex({ username: 1 }) 如果要在 users 集合中为 username 和 email 字段创建一个复合索引，可以使用以下代码： db.users.createIndex({ username: 1, email: 1 }) 需要留意的是，创建索引可能需要一些时间，具体时间取决于集合的大小和索引的复杂度。在创建索引时，可以使用 explain() 方法来查看查询计划和性能统计信息，以便评估索引的效果和性能。

本节介绍了云审计的用户指南。 操作场景 本服务现已对接天翼云++云审计++，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： ● 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 ● 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 ● 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 ● 用户通过云审计能查询到多久前的操作事件：7天。 ● 用户操作后多久可以通过云审计查询到数据：5分钟。 ● 其它限制请参考++使用限制云审计++。 操作步骤 1. 开通云审计服务。 参见++开通云审计服务云审计++。 2. 查看云审计事件。 参见++查看审计事件云审计++。 3. 在事件列表中，选择事件来源为“容器”，资源类型选择“云容器引擎”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考++用户指南、++++常见问题++。

如果想获得更好的防护效果，建议开启“模型推理引擎”。 准备工作 开启模型推理引擎的前提是配置 “基础模型”。 首先需要准备一个大模型，建议使用 “Qwen/Qwen2.532BInstruct” 或其量化版本 “qwen2.5:32binstructq4KM”。 说明 用户也可以使用其他32b以上的模型。相比之下，DeepSeek和QWen3这类具有强制思考机制的模型，防护效果相对更优，但检测时间会更长。用户可结合自身实际需求，在这两者之间进行选择。 测试网络连通性 根据模型信息和模型提供地址信息拼接一条Curl命令，用于测试网络连通性和模型是否正确。 以调用硅基流动接口举例： java curl location ' header 'ContentType: application/json' header 'Authorization: Bearer skXXXX' data '{ "model": "Qwen/Qwen2.532BInstruct", "messages": [ { "content": "你好", "role": "user" } ] }' 下面解析这段Curl命令，填入到“系统管理 > 模型设置 > 基础模型设置”中。 基础模型设置说明： 配置项 配置说明 模型接口地址 说明 此处通常是/v1，但实际情况也可能有所不同。只需要去掉/chat/completions，前面全部保留即可。 API密钥 header 'Authorization: Bearer skXXXX'：复制 skXXXX填入“API密钥”输入框。 说明 密钥不一定是 sk 开头，根据实际情况填写即可。 也可能没有密码，没有密码可不填。 模型名称 "model": "Qwen/Qwen2.532BInstruct"：注意这里的模型名称要完全一致的填入 “模型名称” 输入框。 填写无误后，单击“测试连接”，稍等几秒钟弹窗“连接测试成功”后，点击“保存设置”即可。