性能增强，可靠性增强 控制面和数据面在社区版本基础上进行可靠性加固和性能优化。 多基础设施 提供免运维的托管控制面，提供全局统一的服务治理，灰度、安全和服务运行监控能力，并支持对支持容器和VM等多种基础设施的统一服务发现和管理。 协议扩展 社区通用的HTTP、gRPC、TCP、TLS外扩展对Dubbo协议的支持。 传统SDK集成 提供Spring Cloud、Dubbo等传统微服务SDK的集成解决方案，传统的微服务SDK开发的业务代码无需大的代码修改即可迁移到云原生的容器和网格运行环境上来。

物理机服务接口对应权限表 如下是物理机服务相关权限三元组及生效范围： 控制台接口 权限三元组 配置支持 控制台接口 IAM（资源池/全局） 权限三元组 企业项目（资源组） 创建物理机 dps:physicalServer:create √ √ 物理机列表获取 dps:physicalServer:list √ √ 物理机详情获取 dps:physicalServer:get √ √ 开机 dps:physicalServer:start √ √ 关机 dps:physicalServer:stop √ √ 重启 dps:physicalServer:reboot √ √ 续订 dps:physicalServer:renew √ √ 包周期退订 dps:physicalServer:delete √ √ 按量删除 dps:physicalServer:delete √ √ 重置密码 dps:physicalServer:resetServerPwd √ √ 一键重装 dps:physicalServer:rebuild √ √ 立即释放 dps:physicalServer:delete √ √ 批量开机 dps:physicalServer:start √ √ 批量关机 dps:physicalServer:stop √ √ 批量重启 dps:physicalServer:reboot √ √ 批量续订 dps:physicalServer:renew √ √ 批量退订 dps:physicalServer:delete √ √ 批量删除 dps:physicalServer:delete √ √ 批量立即释放 dps:physicalServer:delete √ √ 批量一键重装 dps:physicalServer:rebuild √ √ 批量重置密码 dps:physicalServer:resetServerPwd √ √ 远程登录 dps:physicalServer:login √ √ 制作镜像 dps:physicalServer:serverImages √ √ 实例属性 dps:physicalServer:put √ √ 创建相同配置 dps:physicalServer:create √ √ 到期转按量 dps:switchRequired:create √ √ 转包周期 dps:switchPeriod:create √ √ 物理机详情页 物理机详情获取 dps:physicalServer:get √ √ 物理机详情页 修改描述 dps:physicalServer:put √ √ 物理机详情页 修改实例名称 dps:physicalServer:put √ √ 物理机详情页 网卡 列表获取 vpc:cloudServerNics:list √ 物理机详情页 网卡 详情获取 vpc:cloudServerNics:get √ 物理机详情页 网卡 绑定 dps:physicalServer:binding √ 物理机详情页 网卡 解绑 dps:physicalServer:unbinding √ 物理机详情页 网卡 修改内网IP vpc:cloudServerNics:change √ 物理机详情页 网卡 修改内网IP vpc:subnets:list √ 物理机详情页 网卡 更换VPC vpc:cloudServerNics:change √ 物理机详情页 网卡 更换VPC vpc:subnets:list √ 物理机详情页 网卡 更换VPC vpc:securityGroups:list √ 物理机详情页 网卡 更换VPC vpc:vpcs:list √ 物理机详情页 网卡 管理辅助私网IP vpc:cloudServerNics:change √ 物理机详情页 云硬盘 列表获取 evs:volumes:list √ √ 物理机详情页 云硬盘 详情获取 evs:volumes:get √ √ 物理机详情页 云硬盘 挂载 evs:volumes:attach √ √ 物理机详情页 云硬盘 卸载 evs:volumes:detach √ √ 物理机详情页 弹性IP 列表获取 vpc:publicIps:list √ √ 物理机详情页 弹性IP 详情获取 vpc:publicIps:get √ √ 物理机详情页 弹性IP 绑定 vpc:publicIps:update √ √ 物理机详情页 弹性IP 解绑 vpc:publicIps:detach √ √ 物理机详情页 安全组 列表获取 vpc:securityGroups:list √ √ 物理机详情页 安全组 详情获取 vpc:securityGroups:get √ √ 物理机详情页 安全组 更改安全组 vpc:securityGroups:update √ √ 天翼云支持对用户组/子用户，进行资源池或全局维度的权限授权；同时也支持在企业项目中，对用户组进行资源组维度的权限授权。部分没有企业项目属性的接口或资源，授权只能以资源池或全局维度进行。以资源池或全局维度进行的授权判断，其优先级高于企业项目中的资源组维度授权。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到磁盘IO高负载 动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，可以通过以下多种方式验证演练效果。 1、观测实例指标： 在演练运行详情 页的监控指标 页签，观测磁盘读速率 和磁盘写速率指标。 登录分布式缓存服务Redis版 控制台， 进入目标实例的性能监控 页， 观测磁盘读速率 和磁盘写速率指标。 2、业务应用验证： 观察业务应用表现，查看是看是否出现请求响应变慢、写入延迟升高，部分读写请求可能超时或失败，整体吞吐量下降。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到停止节点动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录注册配置中心控制台，观测实例节点状态。 2、业务应用验证： 查看依赖RCC的分布式应用日志，确认是否存在服务注册/发现失败、配置获取超时等临时错误，判断错误出现及消失时间是否与节点故障、集群自愈时间匹配，验证错误是否在集群自愈后自动消除。 验证应用的容错机制是否生效（如请求重试、多节点冗余调用），避免因单个RCC节点故障导致业务中断。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到磁盘IO高负载 动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，可以通过以下多种方式验证演练效果。 1、观测实例指标： 在演练运行详情 页的监控指标 页签，观测磁盘读速率 和磁盘写速率指标。 登录分布式缓存服务Redis版 控制台， 进入目标实例的性能监控 页， 观测磁盘读速率 和磁盘写速率指标。 2、业务应用验证： 观察业务应用表现，查看是看是否出现请求响应变慢、写入延迟升高，部分读写请求可能超时或失败，整体吞吐量下降。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到停止节点动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录注册配置中心控制台，观测实例节点状态。 2、业务应用验证： 查看依赖RCC的分布式应用日志，确认是否存在服务注册/发现失败、配置获取超时等临时错误，判断错误出现及消失时间是否与节点故障、集群自愈时间匹配，验证错误是否在集群自愈后自动消除。 验证应用的容错机制是否生效（如请求重试、多节点冗余调用），避免因单个RCC节点故障导致业务中断。

为什么在企业项目上进行授权后，子用户仍缺少部分权限？ 企业项目上进行授权后，代表该用户组下的子用户，对于企业项目下的资源能够拥有策略指定的权限。但是对于部分没有企业项目属性的服务，这种情况下将无法生效。例如，在企业项目上，为指定用户组A绑定策略“ecs admin”后，用户组A下的子用户能够查看企业项目下资源的云主机实例，但是使用安全组规则时仍会报错，此时是因为安全组规则不具有企业项目属性，需要额外在IAM中完成授权。IAM授权的详细步骤请参考用户组授权。 为什么在按照企业项目设置了用户组和策略，但是用户看到了不在该企业项目下的资源/按企业项目隔离用户可见资源失效？ 这种情况可能是由于在资源池/全局范围上进行了IAM授权，覆盖了企业项目授权的隔离作用。解决方案是，针对需要在企业项目上进行隔离的权限，只在企业项目上通过设置用户组和策略完成授权。例如，如果需要子用户只能看到特定企业项目下的云主机ECS，在该企业项目下，配置子用户所属的用户组，同时配置ecs admin。同时，查询该用户的资源池/全局授权情况（可以通过授权管理，或子用户查看中的权限管理查看用户和所属用户组上的权限配置），如果存在ecs admin这类云主机权限，取消该授权。最后，重新登录子用户查看是否能够隔离资源。 关于资源池/全局授权和企业项目授权之间的关系，详见IAM授权与企业项目授权。

2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎节点。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎节点实例。 添加故障动作 ：单击立即添加 ，在列表中选择进程挂起动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 进程关键词：例如nginx。 3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到挂起进程动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务请求量、应用提供服务平均响应时间指标。 2、业务应用验证： 观察运行在目标节点上的业务 Pod，确认其提供的服务是否已无响应。 核心验证点：检查 Kubernetes 的事件（kubectl get events）或Pod详情（kubectl describe pod），确认 liveness probe 是否因超时而失败，并最终导致 Pod 被重启。

2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎节点。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎节点实例。 添加故障动作 ：单击立即添加 ，在列表中选择进程挂起动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 进程关键词：例如nginx。 3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到挂起进程动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务请求量、应用提供服务平均响应时间指标。 2、业务应用验证： 观察运行在目标节点上的业务 Pod，确认其提供的服务是否已无响应。 核心验证点：检查 Kubernetes 的事件（kubectl get events）或Pod详情（kubectl describe pod），确认 liveness probe 是否因超时而失败，并最终导致 Pod 被重启。

本文主要介绍权限管理 如果您需要在云上购买的APM资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制APM资源的访问。 通过IAM，您可以在云帐号中给员工创建IAM用户，并使用策略来控制员工对APM资源的访问范围。例如您的员工中有负责软件开发的人员，您希望开发人员拥有APM的使用权限，但是不希望开发的人员拥有删除服务发现规则等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用服务发现规则，但是不允许删除服务发现规则的权限策略，控制服务对服务发现规则资源的使用范围。 如果帐号已经能满足您的使用需求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用APM的其它功能。 IAM是提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。 APM权限 默认情况下，管理员创建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对APM进行操作。 APM是全局级服务，在授予用户APM权限时，默认对APM支持的所有区域生效。APM资源是租户隔离的，当前租户下所有子用户共享资源，如果需要隔离资源，可以通过企业项目实现。 APM部署时不区分物理区域，为全局级服务。授权时，在“企业 > 项目管理”中设置权限，访问APM时，不需要切换区域。 如表所示，包括了APM的所有系统权限。 表 APM系统权限 角色名称 描述 类别 APM FullAccess 应用性能管理服务的所有执行权限。 系统策略 APM ReadOnlyAccess 应用性能管理服务的只读权限。 系统策略 下表列出了APM常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表 常用操作与系统权限的关系 操作 APM FullAccess APM ReadOnlyAccess 获取告警列表 √ √ 获取告警详情 √ √ 获取告警通知详情 √ √ 获取应用配置 √ √ 创建应用配置 √ x 删除应用配置 √ x 修改应用配置 √ x 获取标签 √ √ 新增标签 √ x 删除标签 √ x 修改标签 √ x 查询告警模板 √ √ 添加告警模板 √ x 删除告警模板 √ x 修改告警模板 √ x 获取通知 √ √ 删除通知 √ x 添加通知 √ x 修改通知 √ x 获取URL跟踪 √ √ 删除URL跟踪 √ x 添加URL跟踪 √ x 修改URL跟踪 √ x 获取URL跟踪视图 √ √ 获取URL跟踪列表 √ √ 获取全局拓扑 √ √ 获取子应用 √ √ 获取环境配置 √ √ 添加环境配置 √ x 删除环境配置 √ x 修改环境配置 √ x 获取实例 √ √ 删除实例 √ x 修改实例 √ x 获取监控项 √ √ 修改监控项 √ x 获取采集状态 √ √ 获取自定义告警策略 √ √ 删除自定义告警策略 √ x 修改自定义告警策略 √ x 添加自定义告警策略 √ x 获取环境拓扑 √ √ 获取指标视图 √ √ 获取调用链列表 √ √ 获取调用链详情 √ √ 获取采集器信息 √ √ 获取访问密钥 √ √ 修改访问密钥 √ x 删除访问密钥 √ x 添加访问密钥 √ x 获取通用配置 √ √ 修改通用配置 √ x

参数 说明 Version 标识策略的版本号： 1.0：RBAC策略。RBAC策略是将服务作为一个整体进行授权，授权后，用户可以拥有这个服务的所有权限。 Statement 策略授权语句，描述策略的详细信息，包含Effect（作用）和Action（授权项）。 Effect（作用） 作用包含两种：Allow（允许）和Deny（拒绝），系统预置策略仅包含允许的授权语句。 Action（授权项） 对资源的具体操作权限，支持单个或多个操作权限，支持通配符号，通配符号表示所有。 Resource（资源） 策略所作用的资源，格式为：服务名:region:domainId:资源类型:资源路径，支持通配符号，通配符号表示所有。在JSON视图中，不带Resource表示对所有资源生效。 Resource支持以下字符：09azAZ./，如果Resource中包含不支持的字符，请采用通配符号。 OBS是全局级服务，region填“”；domainId表示资源拥有者的帐号ID，建议填写“”简单地表示所填资源的帐号ID。 示例： − "obs:::bucket:": 表示所有的OBS桶。 − "obs:::object:mybucket/myobject/": 表示桶mybucket中“myobject”目录下的所有对象。 Condition（条件） 使策略生效的特定条件，可选。格式为：条件运算符: {条件名:[条件值1, 条件值2]} 条件包含全局条件名和云服务条件名，OBS支持的条件名与桶策略中的Condition一致，在IAM配置时，需要加上“obs:”。详细的Condition介绍如条件所示。 Condition的条件值仅支持以下字符：,./ azAZ09@$%&，如果条件值中包含不支持的字符，请考虑使用模糊匹配的条件运算符，如：StringLike，StringStartWith等。 示例： − "StringEndWithIfExists":{"g:UserName":["specialCharacter"]}：表示当用户输入的用户名以"specialCharacter"结尾时该条statement生效。 "StringLike":{"obs:prefix":["private/"]}：表示在列举桶内对象时，需要指定prefix为private/或者包含private/这一子字符串。

参数 参数说明 sql语句 用户提交的sql语句。 已执行时间（秒） 连接持续时间。 schema 所使用数据库schema。 用户名 连接使用的用户名。 客户端地址 前端连接对应的客户端主机地址。 物理数据库 后端数据库对应的物理数据库。 是否自动提交 标记是否自动提交。 编码 sql语句使用的编码方式。 事务级别 sql语句的事务级别类型。 处理器名 该sql语句使用的处理器。 前端连接标识 用于标识前端连接的标识符号。 前端连接持续时间（秒） 前端连接的连接时长。 前端连接待写数据包数 可以查看当前的前端连接中待发送数据包个数。 前端连接接收缓冲区大小 查看前端连接的发送缓冲区大小。 后端连接持续时间（秒） 后端连接的连接时长。 后端连接待写数据包数 可以查看当前的后端连接中待发送数据包个数。 后端连接是否关闭 标识后端连接是否已关闭。 后端连接是否使用中 标识后端连接是否在使用中。

DRDS系统策略 DRDS默认提供两种系统策略供用户选择，策略仅包括数据库管理控制台内的相关功能权限，涉及订单下单等非管理控制台的权限还需进行相应的权限配置。DRDS的两种默认策略分别是管理员策略（DRDS admin），浏览者策略（DRDS viewer），两种策略的权限模型具体如下： 功能模块 权限名称 drds admin drds viewer 实例管理 DRDS查询实例节点 Y Y 实例管理 DRDS查看节点日志 Y Y 实例管理 DRDS检测节点运行状态 Y Y 实例管理 DRDS启动节点 Y 实例管理 DRDS重启节点 Y 实例管理 DRDS停止节点 Y 实例管理 DRDS设置节点属性 Y 实例管理 DRDS查询实例分组 Y Y 用户管理 DRDS查询实例用户列表 Y Y 用户管理 DRDS添加实例用户 Y 用户管理 DRDS编辑实例用户 Y 用户管理 DRDS修改实例用户密码 Y 用户管理 DRDS删除实例用户 Y 用户管理 DRDS查询用户关联的角色 Y Y 用户管理 DRDS添加用户关联的角色 Y 用户管理 DRDS修改用户关联的角色 Y 用户管理 DRDS删除用户关联的角色 Y 用户管理 DRDS查询用户权限 Y Y 用户管理 DRDS添加用户权限 Y 用户管理 DRDS修改用户权限 Y 用户管理 DRDS删除用户权限 Y 用户管理 DRDS获取所有用户密码策略列表 Y Y 用户管理 DRDS获取用户的分组权限 Y Y 角色管理 DRDS新增角色权限 Y 角色管理 DRDS删除角色权限 Y 角色管理 DRDS修改角色权限 Y 角色管理 DRDS查询角色权限 Y Y 角色管理 DRDS新增角色 Y 角色管理 DRDS修改角色 Y 角色管理 DRDS删除角色 Y 角色管理 DRDS查询角色 Y Y schema管理 DRDS获取集群所有的分组权限 Y Y schema管理 DRDS查询分组属性和schema属性 Y Y schema管理 DRDS设置分组属性值和schema属性值 Y schema管理 DRDS查询Schema列表 Y Y schema管理 DRDS获取Schema各种类型的表的数量 Y Y schema管理 DRDS查询Schema基本信息 Y Y schema管理 DRDS创建前检测Schema Y Y schema管理 DRDS创建Schema Y schema管理 DRDS删除Schema Y schema管理 DRDS导出Schema脚本 Y Y schema管理 DRDS查询schema分片 Y Y schema管理 DRDS查询全局序列列表 Y Y schema管理 DRDS新增全局序列 Y schema管理 DRDS修改当前序列值 Y schema管理 DRDS批量删除序列 Y schema管理 DRDS查看序列DDL语句 Y Y schema管理 DRDS查询schema库表 Y Y schema管理 DRDS创建schema库表 Y schema管理 DRDS删除schema库表 Y schema管理 DRDS验证建表DDL语句 Y Y schema管理 DRDS查看schemaDDL语句 Y Y schema管理 DRDS查询库表公共字段 Y Y schema管理 DRDS设置分片规则 Y schema管理 DRDS查询schema所有已设置分片规则的库表 Y Y schema管理 DRDS查看库表详情 Y Y schema管理 DRDS查询所有分片算法 Y Y 分组管理 DRDS查询DML审计规则 Y Y 分组管理 DRDS新增DML审计规则 Y 分组管理 DRDS更新DML审计规则 Y 分组管理 DRDS删除DML审计规则 Y 分组管理 DRDS查询DML审计日志 Y Y DDL审计 DRDS查询DDL审计规则 Y Y DDL审计 DRDS更新DDL审计规则 Y DDL审计 DRDS查询DDL审计日志 Y Y 分组管理 DRDS查询属性分组信息 Y Y 监控 DRDS查询实例TPS Y Y 监控 DRDS查询实例CPU Y Y 监控 DRDS查询实例前端连接 Y Y 监控 DRDS查询实例后端连接 Y Y 监控 DRDS查询语句执行情况 Y Y 统计分析 DRDS获取分片表统计数据 Y Y 统计分析 DRDS获取SQL执行统计数据 Y Y 统计分析 DRDS获取慢SQL统计数据 Y Y 统计分析 DRDS获取总SQL数 Y Y 统计分析 DRDS获取解释SQL语句 Y Y 统计分析 DRDS获取事务统计图表数据 Y Y 说明 上述表格进包含部分重要权限，如需查看全部权限请访问IAM平台。

SQL设计 查询时指定返回需要的字段，不要返回用不到的字段。 查询或比较字段是否为NULL时，只能使用IS NULL或IS NOT NULL条件。 查询条件中，尽量使用NOT EXISTS替代NOT IN。 聚合数据时，尽量使用UNION ALL代替UNION。 删除数据时，尽量使用TRUNCATE代替全表DELETE。 分批提交大事务中对数据的修改，防止事务提交或回滚时压力集中。 创建函数时，应该定义函数易变性分类为对它们合法的分类中最严格的种类，而不是选择默认的VOLATILE。VOLATILE类函数调用并发过高可能导致新连接无法接入。 安全 禁止将应用数据库对象所有者赋予“public”，必须赋予某个特定角色。 数据库密码应具备一定复杂度，禁止使用简单密码。 应该为每个业务分配不同的数据库账号，禁止多个业务共用一个数据库帐号。 访问对象时，显式指定对象所在的模式，避免误访问到其他模式下的同名对象。

参数 说明 注意事项 “OBS桶” 日志存储的OBS桶的名称。 创建或者已存在的OBS桶需满足“区域”必须跟创建集群的区域保持一致。 “备份路径” 日志在OBS桶中的存放路径。 备份路径配置规则： l 备份路径不能包括下列符号：:?"<>。 l 备份路径不能以“/”开头。 l 备份路径不能以“.”开头或结尾。 l 备份路径的总长度不能超过1023个字符。 “IAM委托” 指当前帐号授权云搜索服务访问或维护存储在OBS中数据。 创建或者已存在的IAM需满足如下条件： l “委托类型”选择“云服务”。 l “云服务”选择“Elasticsearch”。 l 设置当前委托具备“全局服务”中“对象存储服务”项目的“OBS Administrator”权限。

顺序消息是分布式消息服务RocketMQ版提供的一种严格按照顺序来发布和消费的消息类型。 顺序消息分为全局顺序消息和分区顺序消息： 全局顺序消息：对于指定的一个Topic，将队列数量设置为1，这个队列内所有消息按照严格的先入先出FIFO（First In First Out）的顺序进行发布和订阅。 分区顺序消息：对于指定的一个Topic，同一个队列内的消息按照严格的FIFO顺序进行发布和订阅。生产者指定分区选择算法，保证需要按顺序消费的消息被分配到同一个队列。 全局顺序消息和分区顺序消息的区别仅为队列数量不同，代码没有区别。 收发消息前，请参考收集连接信息收集RocketMQ所需的连接信息。 准备环境 开源的Java客户端支持连接分布式消息服务RocketMQ版，推荐使用的客户端版本为4.9.7。 通过以下任意一种方式引入依赖： 1. 使用Maven方式引入依赖。 org.apache.rocketmq rocketmqclient 4.9.7 org.apache.rocketmq rocketmqacl 4.9.7 2. 点击下载依赖JAR包：rocketmqall4.9.7binrelease.zip 发送顺序消息 参考如下示例代码 import org.apache.rocketmq.acl.common.AclClientRPCHook; import org.apache.rocketmq.acl.common.SessionCredentials; import org.apache.rocketmq.client.producer.DefaultMQProducer; import org.apache.rocketmq.client.producer.SendResult; import org.apache.rocketmq.common.message.Message; import org.apache.rocketmq.remoting.RPCHook; import org.apache.rocketmq.remoting.common.RemotingHelper; public class ProducerFifoExample { private static RPCHook getAclRPCHook() { return new AclClientRPCHook(new SessionCredentials( "accessKey", // 分布式消息服务RocketMQ控制台用户管理菜单中创建的用户ID "accessSecret" // 分布式消息服务RocketMQ控制台用户管理菜单中创建的密钥 )); } public static void main(String[] args) throws Exception { / 创建Producer，如果想开启消息轨迹，可以按照如下方式创建： DefaultMQProducer producer new DefaultMQProducer("YOUR GROUP ID", getAclRPCHook(), true, null); / DefaultMQProducer producer new DefaultMQProducer("YOUR GROUP ID", getAclRPCHook()); // 填入控制台NAMESRV接入点地址 producer.setNamesrvAddr("XXX:xxx"); ; // 如果需要开启SSL，请增加此行代码 producer.start(); for (int i 0; i { // 选择适合自己的分区选择算法，保证同一个参数得到的结果相同。 Integer id (Integer) arg; int index id % mqs.size(); return mqs.get(index); }, orderId); System.out.printf("%s%n", sendResult); } catch (Exception e) { e.printStackTrace(); } } producer.shutdown(); } } 注意 上述代码中，相同id的消息需要保证顺序，不同id的消息不需要保证顺序，所以在分区选择算法中以“id/队列个数的余数”作为消息发送的队列。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包重复动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 对业务接口（特别是写操作接口，如创建订单、支付、更新状态等）发起请求，并观察其行为。一个设计良好的幂等接口，即使收到重复请求，也应该只执行一次业务逻辑，并返回一致的结果。如果出现数据重复创建、状态被错误覆盖等问题，则说明幂等性设计存在缺陷。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到内存高负载 动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 在演练运行详情页的监控指标 页签中，观测内存使用率指标。 登录分布式缓存服务Redis版 控制台， 进入目标实例的性能监控 页， 观测内存使用率指标。 2、业务应用验证： 观察业务应用表现，查看对该Redis实例的读写操作是否出现失败或延迟。 如果是对主节点注入故障，查看该Redis实例的主备切换是否触发，应用是否连接到新的主节点。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到内存高负载 动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 在演练运行详情页的监控指标 页签中，观测内存使用率指标。 登录分布式缓存服务Redis版 控制台， 进入目标实例的性能监控 页， 观测内存使用率指标。 2、业务应用验证： 观察业务应用表现，查看对该Redis实例的读写操作是否出现失败或延迟。 如果是对主节点注入故障，查看该Redis实例的主备切换是否触发，应用是否连接到新的主节点。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包重复动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 对业务接口（特别是写操作接口，如创建订单、支付、更新状态等）发起请求，并观察其行为。一个设计良好的幂等接口，即使收到重复请求，也应该只执行一次业务逻辑，并返回一致的结果。如果出现数据重复创建、状态被错误覆盖等问题，则说明幂等性设计存在缺陷。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到CPU高负载 动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，可以通过以下方式验证演练效果。 1、观测实例指标： 在演练运行详情 页的监控指标 页签，观测主机CPU使用率指标。 登录分布式缓存服务Redis版 控制台， 进入目标实例的性能监控 页， 观测主机CPU使用率 指标。 2、业务应用验证： 观察业务应用表现，查看对该Redis实例的读写操作是否出现失败或延迟。 如果是对主节点注入故障，查看该Redis实例的主备切换是否触发；如确认触发，查看业务应用是否连接到新的主节点。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到CPU高负载 动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，可以通过以下方式验证演练效果。 1、观测实例指标： 在演练运行详情 页的监控指标 页签，观测主机CPU使用率指标。 登录分布式缓存服务Redis版 控制台， 进入目标实例的性能监控 页， 观测主机CPU使用率 指标。 2、业务应用验证： 观察业务应用表现，查看对该Redis实例的读写操作是否出现失败或延迟。 如果是对主节点注入故障，查看该Redis实例的主备切换是否触发；如确认触发，查看业务应用是否连接到新的主节点。

在使用全局索引前,您需要开启GiServer节点服务。本文为您介绍详细的操作步骤。 前提条件 已创建DRDS实例。具体操作，请参见步骤一：购买DRDS实例。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 分布式关系型数据库 ，进入分布式关系型数据库产品页面。然后单击管理控制台 ，进入概览 页面。 2. 在左侧导航栏，选择DRDS > 实例管理 ，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击操作 列的管理 ，进入实例基本信息 页面。 4. 单击全局索引 ，进入GiServer存储设置页签。 5. 在GiServer设置区域，配置存储相关参数并启动GiServer节点。 具体操作，请参见索引存储设置。当节点启动成功后，您可以在索引服务管理 页签下，查看GiServer节点信息，其中，节点初始化状态 为已初始化 、节点状态 为运行中 。 说明 您可以根据实际情况，在索引服务管理 页签下，启动GiServer节点的export和日志采集，用于监控和管理GiServer。具体操作，请参见管理exporter和管理日志采集。 6. 确保实例分组参数 页签下的uselndex和autolndex属性值为true，如需修改，请参见管理分组参数。 注意 默认会在启动GiServer节点时自动设置uselndex和autolndex属性值为true，停止所有的GiServer节点时自动设置为false。

本节介绍分布式缓存服务Redis版产品功能特性 一级分类 二级分类 功能描述 基础能力 开源兼容 兼容开源5.0，6.0，7.0系列，集群兼容性高; 支持string，hash，list，set，sortedset等常见类型。 基础能力 开箱即用 提供即开即用、安全可靠、弹性扩容、便捷管理的在线分布式缓存能力。 基础能力 高级命令支持 支持事务和订阅。 基础能力 水平扩展、透明访问 支持基于水平分片算法的集群扩展、提供接入层透明的访问能力。 基础能力 CPU兼容 支持跨平台的软硬件，如飞腾、鲲鹏、海光国产CPU。 高可用 服务可靠性 支持主备、集群高可用实例类型。 高可用 节点故障自动切换功能 节点故障自动检测、恢复。 高可用 数据持久化 RDB+AOF组合持久化策略，保障数据丢失最小化。 高可用 在线扩容 支持实例存储空间、内存等资源平滑扩容。 运维 集群管理 集群可视化管理，查看节点状态，修改配置。 运维 运维监控 提供丰富的服务监控指标、系统监控指标。 运维 数据备份恢复 提供数据备份及数据恢复机制。 运维 安装部署 一键安装部署。 运维 权限管理 支持多账号，支持设置读写、只读权限，最小化授权。 运维 日志功能 支持日志记录、慢日志排查超时问题等日志功能。 开发 多语言连接 支持Java、Python、C

处理方法 以Message ID为幂等键对消息进行幂等处理的步骤如下： （1）在数据库中创建一张unique key索引为唯一Message ID的表。 （2）在Producer客户端为每条消息设置唯一Message ID。 设置唯一Message ID的示例代码如下： AMQP.BasicProperties props newAMQP.BasicProperties.Builder().messageId(UUID.randomUUID().toString()).build(); channel.basicPublish("ExchangeName","RoutingKey",true, props,("消息发送"+ i).getBytes()); （3）在Consumer客户端根据唯一Message ID对消息进行幂等处理。 根据唯一Message ID进行幂等处理的示例代码如下： channel.basicConsume(Producer.QueueName, false, "MyConsumerTag", new DefaultConsumer(channel) { @Override public void handleDelivery(String consumerTag, Envelope env, AMQP.BasicProperties properties, byte[] body) throws IOException { // 1. 获取业务唯一性索引数据。 try{ String messageId properties.getMessageId(); // Message ID或者其他作为unique key的信息。 // 2. 开启数据库事务。 idempTable.insert(messageId); // 3. 对接收到的消息，进行业务逻辑处理。 // 4. 提交或回滚事务。// 处理成功，则进行ACK，否则不要进行ACK。 channel.basicAck(env.getDeliveryTag(), false); } catch (数据库主键冲突异常 e){ // 重复消息，直接确认掉。 channel.basicAck(env.getDeliveryTag(), false); } } } );

弹性的数据存储与管理 支持结构化存储表、视图、存储过程等对象。 支持ACID事务。（原子性、隔离性、一致性、持久性） 部署灵活，弹性可伸缩数据存储架构。 支持秒级扩容至PB级，应对业务峰值零压力。 高性能数据处理 每秒处理万级事务。 列存储索引加速分析查询。 高可用性 Always On可用性组。 故障转移集群实现分钟级恢复。 解决运维烦恼 快速部署：无需提前购置软件或硬件，只需点击鼠标或运用API数分钟即可生成数据库实例。 轻量运维：天翼云支持自动备份、监控、故障切换、主从复制等，让您专注于业务而不是繁琐的日常维护等。 弹性伸缩：扩缩容操作简单灵活，通常仅约几十秒闪断或无闪断。 如何使用关系型数据库SQL Server？ 你可以通过以下方式管理SQL Server实例，进行实例创建、网络设置、数据库创建、账号创建等操作： 控制台：提供图形化的web界面，操作方便。 API：控制台上的所有操作都可以通过API实现。

问题现象 Flink Jar作业运行异常，作业日志中有如下报错信息： org.apache.flink.shaded.curator.org.apache.curator.ConnectionState Authentication failed 问题原因 因为帐号没有在全局配置中配置服务授权，导致该帐号在创建跨源连接访问外部数据时因为权限不足而导致跨源访问失败。 解决方案 1.登录DLI管理控制台，选择“全局配置 > 服务授权”。 2.在服务授权界面，全选委托权限。 3.单击“更新委托授权”。界面会提示“委托权限更新成功”，表示修改成功。 4.委托授权完成后，重新创建跨源连接和运行作业。 Flink Jar作业设置backend为OBS，报错不支持OBS文件系统 问题现象 客户执行Flink Jar作业，通过设置checkpoint存储在OBS桶中，作业一直提交失败，并伴有报错提交日志，提示OBS桶名不合法。 原因分析 1.确认OBS桶名是否正确。 2.确认所用AKSK是否有权限。 3.设置依赖关系provided防止Jar包冲突。 4.确认客户esdkobsjava3.1.3.jar的版本。 5.确认是集群存在问题。 处理步骤 1.设置依赖关系provided。 2.重启clusteragent应用集群升级后的配置。 3.去掉OBS依赖，否则checkpoint会写不进OBS。 Hadoop jar包冲突，导致Flink提交失败 问题现象 Flink 提交失败，异常为： Caused by: java.lang.RuntimeException: java.lang.ClassNotFoundException: Class org.apache.hadoop.fs.obs.metrics.OBSAMetricsProvider not found at org.apache.hadoop.conf.Configuration.getClass(Configuration.java:2664) at org.apache.hadoop.conf.Configuration.getClass(Configuration.java:2688) ... 31 common frames omitted Caused by: java.lang.ClassNotFoundException: Class org.apache.hadoop.fs.obs.metrics.OBSAMetricsProvider not found at org.apache.hadoop.conf.Configuration.getClassByName(Configuration.java:2568) at org.apache.hadoop.conf.Configuration.getClass(Configuration.java:2662) ... 32 common frames omitted

此小节介绍云堡垒机访认证设置。 管理员登录并切换管理角色，打开系统管理 > 认证设置，该配置为全局认证策略，默认配置“静态认证”“令牌认证”，应用于所有账号，为空的情况下默认为静态认证方式。 全局避险 开启全局避险开关以后，所有账号都可以使用静态认证方式登录。

本章主要介绍概述 租户设置用于各服务在租户级的配置，主要包含以下内容。 租户设置 分类 说明 ::: 通用设置 全局设置 设置租户中的用户能否修改自己的昵称。详情请参考[]( devcloud010033)全局设置。 工作 项目设置模板 管理创建项目时可以选择的“项目设置模板”。详情请参考“《需求管理用户指南》>项目模板>自定义模板”。 工作 设置项目创建者 设置租户中的特性用户可以创建项目。详情请参考设置项目创建者。 工作 项目和成员管理 查看租户中的全部项目及成员列表。详情请参考项目和成员管理[]( devcloud010028)。 代码托管 租户级IP白名单 管理哪些IP可以访问代码托管服务。详情请参考“《代码托管用户指南》> 安全管理 > IP白名单”。 编译构建 自定义模板 管理自定义构建模板。详情请参考[]( devcloud010029)自定义模板。 编译构建 自定义构建环境 管理自定义构建环境。详情请参考“《编译构建用户指南》>构建环境>自定义构建环境”。 编译构建 文件管理 管理Maven构建settings.xml文件。详情请参考“《编译构建用户指南》>文件管理”。 编译构建 构建任务回收站 管理已删除的构建任务。详情请参考构建任务回收站[](

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到JVM延迟动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 业务应用日志：检查您的应用日志，确认是否有因处理超时而打印的警告或错误信息。 终端用户体验：直接访问触发了延迟注入功能的前端页面或接口，直观地感受响应时间的变长。 压力测试工具：使用 JMeter 等工具对目标接口进行测试，观察其平均响应时间（Avg Response Time）和吞吐量（TPS）是否出现符合预期的劣化。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包重复动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 对运行在目标节点上的业务 Pod 的写操作接口（如创建订单、支付、更新状态等）发起请求，并观察其行为。一个设计良好的幂等接口，即使收到重复请求，也应该只执行一次业务逻辑，并返回一致的结果。如果出现数据重复创建、状态被错误覆盖等问题，则说明幂等性设计存在缺陷。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到JVM延迟动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 业务应用日志：检查您的应用日志，确认是否有因处理超时而打印的警告或错误信息。 终端用户体验：直接访问触发了延迟注入功能的前端页面或接口，直观地感受响应时间的变长。 压力测试工具：使用 JMeter 等工具对目标接口进行测试，观察其平均响应时间（Avg Response Time）和吞吐量（TPS）是否出现符合预期的劣化。