本节介绍智算套件产品优势。 高效管理 控制面全托管，统一纳管GPU、NPU、RDMA等异构智算资源，提供完善的监控、运维能力，解决企业在异构算力管理、资源效率、成本控制等方面的核心痛点。 智能调度 支持共享GPU、算力切分、拓扑感知、故障感知、优先级等调度策略，满足不同场景下客户对算力的细粒度把控。 断点续训 CheckPoint 秒级读写，主动感知故障事件和潜在风险，自动重调度和优雅容错，解决传统系统 “故障恢复慢、数据易丢失、人工干预成本高” 的痛点。 弹性伸缩 工作节点弹性伸缩，支持集群HPA与VPA，轻松应对业务负载波动，避免资源闲置，提升集群资源的利用率及调度能力。 推理加速 通过AI网关优化流量分配、KVCache减少重复计算、PD分离匹配阶段特性，大幅提升推理效率。 可观测 可视化GPU资源监控大盘，一键集群巡检，全链路日志监测，724告警策略，为AI业务的持续运营提供“全天候、无死角”的保障。

本节介绍了:监控常见问题。 为什么容器集群监控数据异常无法显示？ 本文介绍容器集群监控数据异常无法显示的问题现象、排查步骤和解决方法。 问题现象 容器集群监控数据异常无法显示。 排查步骤 一、检查集群是否已安装最新版本ccsemonitor插件 登录云容器引擎控制台，在集群详情页中选择插件 > 插件实例 ，查看是否安装最新版本ccsemonitor插件。如无安装请先安装ccsemonitor插件。 二、检查监控相关负载是否正常 登录云容器引擎控制台，在集群详情页中选择插件 > 插件实例 ，选择ccsemonitor插件实例，进入插件实例详情页，点击资源列表tab，查看监控相关的pod是否都是Running状态。如果有pod非Runing状态可以通过pod事件进一步排查，如无法解决请提工单反馈。 三、检查指标采集器是否能正常上报数据 登录云容器引擎控制台，在集群详情页中选择工作负载 > 无状态 ，命名空间选择 kubesystem ，查看工作负载 ccseopentelemetrycollector 的日志，查看是否有报错，如有报错，请提工单反馈。

如何删除通过弹性伸缩组创建的云主机实例？ 通过弹性伸缩组自动创建的实例，支持以下两种删除方式： 1. 您可以进入到弹性伸缩组中，手动移出并释放通过弹性伸缩创建的云主机实例。具体可参考帮助文档将实例移出伸缩组。 2. 当弹性伸缩执行缩容活动时，将根据实例创建方式自动移出或移出并释放云主机实例。 弹性伸缩中，如何获取伸缩活动结果？ 弹性伸缩提供两种渠道获取伸缩活动结果，具体如下： 通过日志审计获取 ：弹性伸缩已原生对接云审计服务，会自动将伸缩组信息、伸缩活动详情、活动起止时间、执行结果等关键数据推送至云审计，可参文档弹性伸缩支持云审计的关键操作了解更多。 通过云监控获取 ：弹性伸缩会将所有伸缩活动以 “事件” 形式同步至云监控服务。您可在云监控中配置告警通知，包括站内信、邮箱、短信、告警回调等，实时获取伸缩活动的结果。

此小节介绍如何购买日志审计(原生版)实例。 规格说明 日志审计（原生版）为您提供5、10、15、20、50、100、200、500资产八种规格，您可以根据自身业务的每秒事件指标（Evert Per SecondEPS）选择相应的规格。 资产规格 最高支持EPS值 资源需求 资产规格 最高支持EPS值 CPU 内存 系统盘 数据盘 5资产 50 8核 32GB 40GB 256GB 10资产 100 8核 32GB 40GB 512GB 15资产 150 8核 32GB 40GB 1TB 20资产 200 8核 32GB 40GB 1TB 50资产 500 8核 32GB 40GB 2TB 100资产 800 16核 32GB 40GB 4TB 200资产 1000 16核 64GB 40GB 6TB 500资产 2000 16核 64GB 40GB 10TB 支持的区域 根据所选购买区域，购买步骤略有不同，日志审计（原生版）支持的区域请参见支持的区域。 前提条件 购买日志审计（原生版）前，您需要注册天翼云账号并完成实名认证。

本节介绍如何配置白名单规则对指定请求进行放行。 网站域名接入Web应用防火墙后，您可以选择开启白名单功能，并配置白名单规则。 可用于放行具有指定特征的请求，使请求不经过全部或特定防护模块（Web基础防护、BOT防护）的检测。 也可用于处理误报事件，对于误报的事件可进行规则级别的加白，将单次拦截放通。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版不支持白名单功能，请升级到更高版本使用。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“防护白名单”模块，可以选择开启/关闭防护。 7. 点击防护规则右侧的“前去配置”，进入防护白名单页面。 8. 单击“新建白名单”，在弹出的对话框中，配置白名单规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 规则描述 可选项。设置规则的描述信息。 匹配条件 设置白名单请求需要匹配的条件（即特征）。单击“新增条件”，可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 生效范围 设置白名单生效范围，表示触发匹配条件的请求不受所选规则的检测，可选项： 全部规则：规则防护引擎包含的全部规则。选择该项，表示触发匹配条件的请求不受任何防护模块的检测，将被直接放行到源站服务器。 特定模块：只忽略检测指定的防护模块，支持BOT防护和Web基础防护。在模块右侧的下拉框，选择不检测的规则类型。 特定规则ID：只忽略检测指定的规则，在模块右侧的下拉框，选择不检测的规则ID。 9. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

权限 授权项 查询防敏感信息泄漏规则 waf:antiLeakageRule:get 查询网页防篡改规则 waf:antiTamperRule:get 查询CC攻击防护规则 waf:ccRule:get 查询精准访问防护规则 waf:preciseProtectionRule:get 查询误报屏蔽规则 waf:falseAlarmMaskRule:get 查询隐私屏蔽规则 waf:privacyRule:get 查询黑白名单规则 waf:whiteBlackIpRule:get 查询地址位置访问控制规则 waf:geoIpRule:get 查询证书 waf:certificate:get 修改WAF证书 waf:certificate:put 查询防护事件 waf:event:get 查询防护域名 waf:instance:get 查询防护策略 waf:policy:get 查询用户套餐信息 waf:bundle:get 查询防护事件下载链接 waf:dumpEventLink:get 查询页面配置信息 waf:consoleConfig:get 查询回源IP段 waf:sourceIp:get 更新防敏感信息泄漏规则 waf:antiLeakageRule:put 更新网页防篡改规则 waf:antiTamperRule:put 更新CC攻击防护规则 waf:ccRuleRule:put 更新精准访问防护规则 waf:preciseProtectionRule:put 更新误报屏蔽规则 waf:falseAlarmMaskRule:put 更新隐私屏蔽规则 waf:privacyRule:put 更新黑白名单规则 waf:whiteBlackIpRule:put 更新地址位置访问控制规则 waf:geoIpRule:put 更新防护域名 waf:instance:put 更新防护策略 waf:policy:put 删除防敏感信息泄漏规则 waf:antiLeakageRule:delete 删除网页防篡改规则 waf:antiTamperRule:delete 删除CC攻击防护规则 waf:ccRule:delete 删除精准访问防护规则 waf:preciseProtectionRule:delete 删除误报屏蔽规则 waf:falseAlarmMaskRule:delete 删除隐私屏蔽规则 waf:privacyRule:delete 删除黑白名单规则 waf:whiteBlackIpRule:delete 删除地址位置访问控制规则 waf:geoIpRule:delete 删除防护域名 waf:instance:delete 删除防护策略 waf:policy:delete 创建防敏感信息泄漏规则 waf:antiLeakageRule:create 创建网页防篡改规则 waf:antiTamperRule:create 创建CC攻击防护规则 waf:ccRule:create 创建精准访问防护规则 waf:preciseProtectionRule:create 创建误报屏蔽规则 waf:falseAlarmMaskRule:create 创建隐私屏蔽规则 waf:privacyRule:create 创建黑白名单规则 waf:whiteBlackIpRule:create 创建地址位置访问控制规则 waf:geoIpRule:create 创建证书 waf:certificate:create 创建防护域名 waf:instance:create 创建防护策略 waf:policy:create 查询防敏感信息泄漏规则列表 waf:antiLeakageRule:list 查询网页防篡改规则列表 waf:antiTamperRule:list 查询CC攻击防护规则列表 waf:ccRuleRule:list 查询精准访问防护规则列表 waf:preciseProtectionRule:list 查询误报屏蔽规则列表 waf:falseAlarmMaskRule:list 查询隐私屏蔽规则列表 waf:privacyRule:list 查询黑白名单规则列表 waf:whiteBlackIpRule:list 查询地址位置访问控制规则列表 waf:geoIpRule:list 查询防护域名列表 waf:instance:list 查询防护策略列表 waf:policy:list 查询独享引擎实例列表 waf:premiumInstance:list 查询独享引擎 waf:premiumInstance:get 创建独享引擎实例 waf:premiumInstance:create 删除独享引擎实例 waf:premiumInstance:delete 更新独享引擎 waf:premiumInstance:put

本章节介绍数据库安全应用场景。 安全等保合规 数据库安全服务要满足政企、能源、金融、医疗、教育、网络货运等行业的等保二级、三级监管要求，需要对云上数据库进行安全审计，符合国家法律、行业监管的要求。 《等级保护2.0》中明确提到需要数据库审计提供集中审计功能。 《信息安全等级保护测评》第八章测评单元指出，企业测评单元应该包括以下要求：综合安全审计系统、数据库审计系统等提供集中审计的系统。 数据库审计 无论是自建数据库还是云数据库，都有可能面临来自内外网络的恶意攻击，以及内部人员各类误操作导致的数据损失。当出现数据被删除、信息被篡改、敏感信息泄漏等重大安全事件时，必须要进行全面的事件还原和严肃的追责处理。 天翼云数据库安全服务通过部署数据库安全审计Agent或者云原生RDS免Agent模式，获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据，实现对ECS/BMS自建数据库以及RDS数据库的安全审计，对数据库内部违规和不正当操作的定位追责。 数据库安全检测 数据库日常运行的风险除了内部违规和不正当操作外，还有来自于SQL注入、拖库、洗库、撞库、日志异常等导致的性能问题。 天翼云数据库安全检测提供SQL注入、风险操作、日志异常行为检测等安全检测功能，用于检测数据库使用过程中的数据安全风险。用户可根据自身业务需求，选择启用适当的数据安全检测规则，完成数据库安全检测。

使用须知 在创建迁移任务前，请务必阅读以下使用须知。 表 使用须知 类型名称 使用和操作限制 :: 数据库权限设置 全量迁移最小权限要求： 源数据库账号需要具备如下权限： SELECT、SHOW VIEW、EVENT。 目标数据库账号必须拥有如下权限： SELECT、CREATE、ALTER、DROP、DELETE、INSERT、UPDATE、INDEX、EVENT、CREATE VIEW、CREATE ROUTINE、TRIGGER、REFERENCES、WITH GRANT OPTION。当目标库为8.0.148.0.18版本时，还需要有SESSIONVARIABLESADMIN权限。 全量+增量最小迁移权限要求： 源数据库账号需要具备如下权限： SELECT、SHOW VIEW、EVENT、LOCK TABLES、REPLICATION SLAVE、REPLICATION CLIENT。 目标数据库账号必须拥有如下权限： SELECT、CREATE、ALTER、DROP、DELETE、INSERT、UPDATE、INDEX、EVENT、CREATE VIEW、CREATE ROUTINE、TRIGGER、REFERENCES、WITH GRANT OPTION。当目标库为8.0.148.0.18版本时，还需要有SESSIONVARIABLESADMIN权限。 用户迁移最小权限要求： 用户迁移时，帐户需要有mysql.user的SELECT权限。 目标数据库账号需要有mysql库的SELECT，INSERT，UPDATE，DELETE权限。 源数据库要求 源数据库中的库名不能包含：' /"以及非ASCII字符。 源数据库中的表名、视图名不能包含：'<>/"以及非ASCII字符。 源数据库中的库名不允许为iblogfile。 MySQL源数据库的binlog日志必须打开，且binlog日志格式必须为Row格式。 在磁盘空间允许的情况下，建议源数据库binlog保存时间越长越好，建议为3天。 源数据库expirelogsdays参数值为0，可能会导致迁移失败。 增量迁移时，必须设置MySQL源数据库的serverid。如果源数据库版本小于或等于MySQL5.6，serverid的取值范围在2－4294967296之间；如果源数据库版本大于或等于MySQL5.7，serverid的取值范围在1－4294967296之间。 MySQL源数据库建议开启skipnameresolve，减少连接超时的可能性。 源数据库GTID状态建议为开启状态。 源库不支持mysql binlog dump命令。 源数据库和目标数据库字符集需保持一致，否则迁移失败。 源数据库logslaveupdates参数需设置为开启状态，否则会导致迁移失败。 源数据库的binlogrowimage参数需设置为FULL，否则会导致迁移失败。 源数据库MySQL8.0目前不支持参数lowercasetablenames等于0的迁移。 目标数据库要求 不支持从高版本迁移到低版本。 建议MySQL目标库的binlog日志格式为Row格式，否则增量迁移可能出错。 目标数据库实例的运行状态必须正常。 目标数据库实例必须有足够的磁盘空间。 除了MySQL系统数据库之外，目标数据库不能包含与源数据库同名的数据库。 建议目标库的事务隔离级别至少保证在已提交读。 DRS迁移时会有大量数据写入目标库，目标库maxallowedpacket 参数过小会导致无法写入，建议将目标库maxallowedpacket参数值设置大一点，使其大于100MB。 目标数据库GTID状态建议为开启状态。 源数据库和目标数据库的参数serveruuid相同, 将导致增量迁移失败。 源数据库和目标数据库的参数collationserver需保持一致，否则可能导致迁移失败。 所选迁移对象和外键依赖的表需一起进行迁移，否则会导致迁移失败。 源数据库和目标数据库的参数timezone需保持一致，否则可能导致迁移失败。 源数据库和目标数据库的sqlmode参数值需保持一致，否则可能导致迁移失败。 迁移的对象中包含引擎为MyISAM的表，则目标数据库sqlmode不能包含noenginesubstitution参数，否则可能会导致迁移失败。 源数据库和目标数据库的innodbstrictmode参数值需保持一致，否则可能导致迁移失败。 目标数据库和源数据库的lowercasetablenames参数需保持一致，否则可能导致迁移失败。 目标数据库的logbintrustfunctioncreators参数需设置为on，否则可能导致迁移失败。 迁移对象约束 支持数据库、表、视图、索引、约束、函数、存储过程、触发器（TRIGGER）和事件（EVENT）的迁移。 不支持系统库的迁移以及事件状态的迁移。 不支持非MyISAM和非InnoDB表的迁移。 操作须知 相互关联的数据对象要确保同时迁移，避免迁移因关联对象缺失，导致迁移失败。常见的关联关系：视图引用表、视图引用视图、存储过程/函数/触发器引用视图/表、主外键关联表等。 不支持外键级联操作。 由于MySQL本身限制，若源库的一次性事件（EVENT）设定的触发时间在迁移开始前，该事件（EVENT）不会迁移到目标库。 多对一场景下，创建迁移任务时，目标库读写设置需要跟已有任务设置为一致。 由于无主键表缺乏行的唯一性标志，网络不稳定时涉及少量重试，表数据存在少量不一致的可能性。 不支持目标数据库恢复到全量迁移时间段范围内的PITR操作。 源库和目标库为RDS for MySQL实例时，不支持带有TDE特性并建立具有加密功能表。 如果源库MySQL不支持TLS1.2协议，或者为版本较低的自建库（低于5.6.46或在5.75.7.28之间），需提交运维申请才能使用SSL测试连接。 如果源数据库为自建库，并且安装了Percona Server for MySQL 5.6.x或Percona Server for MySQL 5.7.x时，内存管理器必须使用Jemalloc库，以避免因系统表频繁查询带来的内存回收不及时，并最终导致数据库Out of Memory问题。 迁移任务目标数据库可以设置“只读”和“读写”。 只读：目标数据库实例将转化为只读、不可写入的状态，迁移任务结束后恢复可读写状态，此选项可有效的确保数据迁移的完整性和成功率，推荐此选项。 读写：目标数据库可以读写，但需要避免操作或接入应用后会更改迁移中的数据（注意：无业务的程序常常也有微量的数据操作），进而形成数据冲突、任务故障、且无法修复续传，充分了解要点后可选择此选项。 建议将expirelogday参数设置在合理的范围，确保恢复时断点处的binlog尚未过期，以保证服务中断后的顺利恢复。 在任务启动、任务全量迁移阶段，不建议对源数据库做删除类型的DDL操作，比如删除数据库、索引、视图等，这样可能会引起任务迁移失败。 迁移过程中，不允许修改、删除连接源和目标数据库的用户的用户名、密码、权限，或修改源和目标数据库的端口号。 为了保持数据一致性，不允许对正在迁移中的目标数据库进行修改操作(包括但不限于DDL、DML操作)。 迁移过程中，不允许源库写入binlog格式为statement的数据。 迁移过程中，不允许源库执行清除binlog的操作。 迁移过程中，不允许在源库创建库名为iblogfile的数据库。 选择表级对象迁移时，增量迁移过程中不支持对表进行重命名操作。 增量迁移场景下，不支持源数据库进行恢复到某个备份点的操作（PITR）。 增量迁移阶段，支持断点续传功能，在主机系统崩溃的情况下，对于非事务性的无主键的表可能会出现重复插入数据的情况。 增量迁移支持DDL语句。 当源和目标库是同一个大版本且为整实例迁移时，增量迁移支持DCL语句，不支持通过更新mysql.user表进行的账号变更。相关DCL语句可参考MySQL官网文档。 在结束迁移任务时，将进行所选事件（EVENT）和触发器（TRIGGER）的迁移。请确保任务结束前，不要断开源和目标数据库的网络连通性，并在结束任务时关注迁移日志上报的状态，达到数据库完整迁移效果。

态势感知（专业版）与企业主机安全HSS服务的区别。 服务含义区别 态势感知（专业版）是云原生的新一代安全运营中心，基于云原生安全，提供云上资产管理、安全态势管理、安全信息和事件管理、安全编排与自动响应等能力，可以鸟瞰整个云上安全，精简云安全配置、云防护策略的设置与维护，提前预防风险，同时，可以让威胁检测和响应更智能、更快速，帮助您实现一体化、自动化安全运营管理，满足您的安全需求。 企业主机安全（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机 安全、容器 安全和 网页防篡改 ，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。 简而言之，态势感知（专业版）是呈现全局 安全态势的服务，HSS是提升主机 和容器安全性的服务。 服务功能区别 态势感知（专业版）通过采集 全网安全数据 （包括HSS、WAF、AntiDDoS等安全服务检测数据），提供云上资产管理、安全态势管理、安全信息和事件管理、安全编排与自动响应等能力，帮助您实现一体化、自动化安全运营管理，满足您的安全需求。 HSS通过在主机中安装Agent，使用AI、机器学习和深度算法等技术分析主机中风险，并从HSS云端防护中心下发检测和防护任务，全方位保障主机安全。同时可从可视化控制台，管理主机Agent上报的安全信息。 态势感知（专业版）与HSS主要功能区别： 功能项 共同点 不同点 资产安全 主机资产 呈现主机资产的整体安全状态。 态势感知（专业版）：仅支持同步HSS主机资产风险信息，列表呈现各主机资产的整体安全状况。 HSS：不仅支持呈现主机的安全状况，还支持深度扫描主机中的账号、端口、进程、Web目录、软件信息和自启动任务。 资产安全 网站资产 态势感知（专业版）：支持检查和扫描网站安全状态，列表呈现各网站资产的整体安全状况。 HSS：不支持该功能。 漏洞管理 主机漏洞 呈现主机漏洞扫描结果，管理主机漏洞。 态势感知（专业版）：仅支持同步HSS主机漏洞扫描结果，管理主机漏洞。 HSS：支持检测Linux漏洞、Windows漏洞、WebCMS漏洞、应用漏洞，提供漏洞概览，包括主机漏洞检测详情、漏洞统计、漏洞类型分布、漏洞TOP5和风险服务器TOP5，帮助您实时了解主机漏洞情况。 基线检查 云服务基线 态势感知（专业版）：针对云服务关键配置项，从多种风险类别，了解云服务风险配置的所在范围和风险配置数目。 HSS：不支持该功能。 基线检查 主机基线 态势感知（专业版）：不支持该功能。 HSS：针对主机，提供基线检查功能，包括检测复杂策略、弱口令及配置详情，包括对主机配置基线通过率、主机配置风险TOP5、主机弱口令检测、主机弱口令风险TOP5的统计。

设置Pod反亲和性 Pod反亲和性允许您基于其他Pod的标签来避免Pod被调度到相同的节点。以下是一个示例： apiVersion: apps/v1 kind: Deployment metadata: name: mydeployment spec: replicas: 5 selector: matchLabels: app: myapp template: metadata: labels: app: myapp spec: affinity: podAntiAffinity: requiredDuringSchedulingIgnoredDuringExecution: labelSelector: matchLabels: app: myapp topologyKey: "kubernetes.io/hostname" containers: name: mycontainer image: myrepo/myimage:latest 注意 在上述示例中，新创建的Pod将避免与具有标签appmyapp的Pod调度到相同的节点上。 应用配置并验证 应用配置 使用以下命令应用配置文件： kubectl apply f mydeployment.yaml 验证Pod分布 使用以下命令查看Pod的分布情况： kubectl get pods o wide 确认Pod被调度到了期望的节点上。 常见问题和解决方法 Pod未按预期调度 确保节点和Pod的标签正确无误。 检查调度器事件日志，找出调度失败的原因。 调度失败 确保集群中有符合条件的节点。 调整亲和性和反亲和性的规则，确保其合理且不冲突。

参数 参数说明 规则类型 选择规则的类型，主要包括指标监控、事件监控、站点监控三种。 云服务 配置告警规则监控的云服务资源类型。 维度 用于指定告警规则对应指标的维度名称。 监控对象 用来配置该告警规则针对的具体资源，可以是一个或多个。 选择类型 可以选择从模板导入或自定义创建。 模板 选择需要导入的模板。 发送通知 配置是否发送邮件通知用户，可以选择“是” （推荐选择）或者“否”。 选择告警联系组 配置发生告警通知的用户组。 重复告警 告警发生后，如果监控项未恢复正常，之后间隔多久再次发送告警。 触发场景 触发告警邮件的场景，可在告警及恢复时发送提醒信息。 通知周期 配置告警通知的周期时间。 通知时段 配置告警通知的时间段。 通知方式 配置告警通知的通知方式，支持邮箱及短信。 名称 该告警规则的自定义名称。 企业项目 选择告警规则适用的企业项目。 描述 添加对该告警规则描述（此参数非必填项）。

本节为您介绍物理机对其他产品的支持情况。 实例 支持自动化发放物理机，远程Console登录。 支持客户自主管理物理机生命周期：查询、启动、关机、重启、删除。 导出物理机列表：将客户名下的所有物理机信息，以CSV文件的形式导出至本地。 支持重置密码。 支持重装操作系统：物理机操作系统无法正常启动、中毒等场景，可以重装操作系统。 支持通过API管理物理机。 支持主机监控，可实时获取物理机的CPU、内存、磁盘I/O等监控指标数据。 支持云审计，记录与物理机相关的操作事件，便于日后的查询、审计和回溯。 磁盘 弹性裸金属可支持挂/卸载云硬盘。 支持非共享卷和共享卷。 支持云硬盘扩容。 镜像 可以使用公共镜像、私有镜像、共享镜像发放物理机。 支持通过物理机创建私有镜像。 私有镜像支持不同账号之间共享镜像。 网络 支持虚拟私有云。 创建安全组并定义安全组规则，为物理机提供安全防护。 支持绑定弹性IP，满足客户互联网访问需求。 支持绑定多张网卡。

服务名称 物理机与其他服务的关系 镜像服务（CTIMS，Image Management Service） 通过镜像服务，您可以在物理机实例上实现应用场景的快速部署。您也可以将物理机转换为私有镜像，供个人使用，或者共享给他人。 虚拟私有云(CTVPC ，Virtual Private Cloud) 为物理机提供一个逻辑上完全隔离的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等，加强物理机的安全保护。 云硬盘（CTEVS，Elastic Volume Service） 可以将云硬盘挂载至弹性裸金属，并可以随时扩容云硬盘容量。 云监控 云监控提供了完备的监控项目，在您购买物理机后，即可在云监控的控制中心查看您的产品运行状态、各个指标的使用情况，并为监控项设置告警规则。 云审计 通过云审计服务，您可以记录与物理机相关的操作事件，便于日后的查询、审计和回溯。

本文主要介绍云日志服务中查看告警发送历史。 告警发送历史支持展示当前租户下所有发送的告警历史，支持筛选和对告警信息进行操作。 功能入口 1. 登录云日志服务控制台。 2. 在左侧导航栏中选择告警管理告警发送历史。 功能说明 展示当前租户下所有告警发送信息。 支持对告警名称、告警状态、告警等级、通知策略和创建时间进行筛选。 告警名称：显示告警规则名称。 告警状态：显示事件当前状态是待认领、已解决、处理中。 告警等级：显示告警的重要层级分布是一般、次要、重要、紧急。 通知策略：告警对应的通知策略。 处理人：告警的最新解决/认领人。 创建时间：告警产生的时间。 支持认领、解决、指定处理人操作。 认领：当告警处于待认领状态时，可主动领取当前告警。 解决：当告警处于待认领/处理中状态时，点击解决可更新告警状态为已解决。 指定处理人：指定他人处理该告警。 支持查看告警详情。

本文介绍如何创建和管理数据缓存。 数据缓存可以提前拉取业务所需数据，以便在创建ECI实例时可以直接挂载使用。 创建数据缓存 1. 在弹性容器实例控制台左侧导航栏中选择“数据缓存”，进入数据缓存列表页。 2. 点击“创建数据缓存”，进入创建数据缓存创建页面。 3. 按需选择网络配置，如果是从公网拉取数据集，并且没有配置公网NAT网关，需要配置EIP(自动创建或使用已有)。 4. 设置数据缓存。 5. 设置数据源。 6. 点击确定按钮后，即可在数据缓存列表中查看创建的数据缓存。 管理数据缓存 1. 点击数据缓存名称，进入详情，可查看事件。 2. 点击制作任务，可以跳转到容器组实例详情查看制作任务过程日志。

本节介绍了DDoS高防（边缘云版）的告警记录功能。 使用场景 业务接入DDoS高防（边缘云版）后，您可以设置告警策略，当异常攻击事件匹配告警策略时，将产生告警记录。 您可以在控制台查看历史告警记录，如果配置了告警邮箱，也会将告警记录发送至您的邮箱。 前提条件 已开通DDoS高防（边缘云版）。 已配置告警策略。 说明 默认脱敏显示您的联系方式等敏感信息，点击明文显示时，请您注意保护数据安全！ 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【告警管理】【告警记录】页面。 3.默认将按照告警时间由近到远展示告警记录，您也可以指定告警名称、域名、告警类型、告警原因、告警时间进行查询。 4.若配置告警邮箱，则会在每条攻击记录产生时发送一条告警邮件。

接口功能介绍 病毒查杀病毒查杀上一次检测事件接口。 接口约束 此功能为收费功能。确认已经购买服务器配额，并且开启服务器防护。如果没有购买配额，可按照页面提示进行购买。如果没有开启防护，请在服务器列表页开启机器防护。 URI GET /v1/virus/lastScan 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200 表 returnObj 参数 参数类型 说明 示例 下级对象 taskId String 任务id 1asasadada num Integer 风险数量 1 time String 扫描时间 20220610 10:10:10

本文介绍科研助手的技术运维类常见问题。 作业运行常见问题 1. 作业提交后，为什么没有立刻启动？ 作业提交后会由平台进行调度，根据优先级排队等待资源，等待时间依资源池繁忙程度而定。一个作业内可以包含多个任务节点和实例，有可能出现作业中某些实例分配了资源开始运行，其它实例还在等待的情况。 2. 作业运行结束后，其中的数据是否还在？ 作业运行结束后，其中的数据将被销毁，请在作业业务逻辑中及时保存数据，例如将数据存储到对象存储等持久化存储介质中。 3. 通过息壤·科研助手提交的作业，是否支持节点间通信？ 同一个集群内的实例，可以通过内网 IP 进行通信，不同集群间实例不能互相通信。 调试和查错常见问题 1. 如何进行开发调试？ 息壤·科研助手提供了开发环境，可现在开发环境进行单机调试。 2. 如果程序执行失败怎么调试？ 程序失败时可以通过查看作业和实例事件获取更多的作业运行信息。如果问题还未能解决，请联系售后技术支持。

数据类型 采集数据 传输方式 存储方式 数据用途 时限 性能指标数据 JVM相关数据、异常、数据库、SQL语句以及中间件调用相关的数据 通过WSS方式传输 APM服务端按照租户隔离存储 指标查看页面展示 免费版7天，企业版30天，到期彻底删除 调用链数据 调用链event数据，包含中间件调用的相关数据 通过WSS方式传输 APM服务端按照租户隔离存储 调用链前台查询展示 免费版7天，企业版30天，到期彻底删除 资源信息 服务类型、服务名称、创建时间、删除时间、所在节点地址和服务发布端口 通过WSS方式传输 APM服务端按照租户隔离存储 资源库前台查询展示 免费版7天，企业版30天，到期彻底删除 资源属性 系统类型、系统启动事件、CPU个数、服务执行用户名称、服务进程id、服务的PodID、CPU标志、系统版本、服务使用的Web框架、JVM版本、时区、系统名称、采集器版本以及LastMail的Url 通过WSS方式传输 APM服务端按照租户隔离存储 资源库前台查询展示 免费版7天，企业版30天，到期彻底删除

本节介绍数据安全中心部署形态和使用方式。 产品形态 数据安全中心为SaaS形态产品，无需购买云主机单独部署。 使用说明 客户购买后，使用数据安全中心前，须先开通并使用对象存储OBS或关系型数据库RDS云产品中任意一种，确保有可供数据安全中心扫描的数据。开通数据安全中心后，数据安全中心服务将自动检测用户已添加的资产，并应用敏感规则对其进行风险等级的评价。 使用步骤 1. 进行云资产授权，详见云资产委托授权/停止授权。 2. 添加资产，详见批量添加资产。 3. 识别敏感数据，包括创建敏感数据规则、创建敏感数据规则组、创建敏感数据识别任务、查看识别结果和处理异常事件等，详细操作见敏感数据识别。 4. 进行数据脱敏，根据脱敏算法来配置脱敏规则，执行数据脱敏任务来达到数据脱敏，详细操作见数据脱敏。

功能模块 权限名称 MySQLadmin MySQLuser MySQLreviewer 实例管理 MySQL切换策略/复制方式 Y Y 实例管理 MySQL设置监控频率 Y Y 实例管理 MySQL绑定/解绑实例标签 Y Y 实例管理 MySQL设置内网域名 Y Y 实例管理 MySQL设置数据库只读 Y Y 实例管理 MySQL启用/禁用root账号 Y Y 实例管理 MySQL修改数据库端口 Y Y 实例管理 MySQL切换VPC Y Y 实例管理 MySQL事件定时器 Y Y 实例管理 MySQL修改实例名称 Y Y 实例管理 MySQL修改连接地址 Y Y 日志管理 MySQL修改实例Binlog本地设置 Y Y 日志管理 MySQL日志服务 Y Y 日志管理 MySQLBinlog日志下载 Y Y 日志管理 MySQL创建合并任务 Y Y 日志管理 MySQL日志备份清理 Y Y 帐号管理 MySQL账户管理/密码插件管理 Y Y 数据安全 MySQL安装/卸载TDE Y Y 数据安全 MySQL拦截sql语句 Y Y 数据安全 MySQL白名单配置与修改 Y Y 数据安全 MySQL添加安全组 Y Y 数据安全 MySQL解绑安全组 Y Y 数据安全 MySQL自定义密码策略 Y Y 数据库代理 MySQL代理配置 Y Y 数据库代理 MySQL代理绑定eip Y Y

操作名称 资源类型 事件名称 取消忽略端口 hss notIgnorePortStatus 忽略端口 hss ignorePortStatus 取消忽略配置检测项 hss notIgnoreCheckRuleStat 忽略配置检测项 hss ignoreCheckRuleStat 重新进行基线检测 hss runBaselineDetect 解绑配额 hss cancelHostsQuota 关闭容器防护 hss closeContainerProtectStatus 开启容器防护 hss openContainerProtectStatus 解除已拦截IP hss changeBlockedIp 处理事件状态 hss changeEvent 恢复已隔离文件 hss changeIsolatedFile 删除告警白名单 hss removeAlarmWhiteList 添加登录白名单 hss addLoginWhiteList 删除登录白名单 hss removeLoginWhiteList 新增服务器组 hss addHostsGroup 分配到服务器组 hss associateHostsGroup 修改服务器组 hss changeHostsGroup 删除服务器组 hss deleteHostsGroup 关闭主机防护 hss closeHostsProtectStatus 开启主机防护 hss openHostsProtectStatus 卸载agent hss uninstallAgents 运行镜像扫描 hss runImageScan 从SWR服务同步镜像列表 hss runImageSynchronizeTask 更新并扫描SWR镜像 hss runSwrImageScan 重新体检 hss resetRiskScore 添加策略组 hss addPolicyGroup 删除策略组 hss deletePolicyGroup 部署策略组 hss deployPolicyGroup 修改策略内容 hss modifyPolicyDetail 修改策略组 hss modifyPolicyGroup 关闭自动隔离查杀 hss closeAutoKillVirusStatus 开启自动隔离查杀 hss openAutoKillVirusStatus 设置常用登录IP hss modifyLoginCommonIp 设置常用登录地 hss modifyLoginCommonLocation 设置SSH登录白名单 hss modifyLoginWhiteIp 修复漏洞 hss changeVulStatus 添加防护目录 hss addHostProtectDirInfo 添加特权进程 hss addPrivilegedProcessInfo 添加定时关闭防护配置 hss addTimingOffConfigInfo 删除远端备份服务器 hss deleteBackupHostInfo 删除防护目录 hss deleteHostProtectDirInfo 删除特权进程 hss deletePrivilegedProcessInfo 删除定时关闭防护配置 hss deleteTimingOffConfigInfo 设置定时关闭防护周期 hss setDateOffConfigInfo 修改防护目录开启状态 hss setProtectDirSwitchInfo 修改动态网页防篡改状态 hss setRaspSwitch 设置远端备份服务器 hss setRemoteBackupInfo 修改定时关闭防护状态 hss setTimingOffSwitchInfo 关闭网页防篡改防护 hss closeWtpProtectionStatusInfo 开启网页防篡改防护 hss openWtpProtectionStatusInfo 修改远端备份服务器 hss updateBackupHostInfo 修改防护目录 hss updateHostProtectDirInfo 修改特权进程 hss updatePrivilegedProcessInfo 修改Tomcat bin目录 hss updateRaspPathInfo 修改定时关闭防护时间段 hss updateTimingOffConfigInfo

本节介绍如何配置全局白名单。 防护对象接入Web应用防火墙后，您可以选择开启全局白名单功能，并配置白名单规则。 可用于放行具有指定特征的请求，使请求不经过全部（包含 Web 基础防护、CC 防护、BOT 防护、精准访问控制）或特定防护模块（Web基础防护）的检测。 也可用于处理误报事件，对于误报的事件可进行规则级别的加白，将单次拦截放通。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 全局防护配置”，进入全局防护配置页面。 5. 定位到“防护白名单”模块，可以选择开启/关闭防护。 6. 点击防护规则右侧的“前去配置”，进入白名单页面。 7. 单击“新建白名单”，在弹出的对话框中，配置白名单规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 企业项目 选择需要配置白名单实例所在的企业项目。 接入对象 设置白名单作用对象，支持选择“全部防护对象”或选择“特定防护对象”。 说明 全局白名单不支持独享版和监听器防护对象。 规则描述 可选项。设置规则的描述信息。 匹配条件 设置白名单请求需要匹配的条件（即特征）。单击“新增条件”，可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 生效范围 设置白名单生效范围，表示触发匹配条件的请求不受所选规则的检测，可选项： 全部规则：选择该项，表示触发匹配条件的请求不受Web 基础防护、CC 防护、BOT 防护、精准访问控制模块的检测，将被直接放行到源站服务器。 特定模块：只忽略检测指定的防护模块，支持Web基础防护。在模块右侧的下拉框，选择不检测的规则类型。 特定规则ID：只忽略检测指定的规则，支持Web基础防护。在模块右侧的下拉框，选择不检测的规则ID。 8. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

本文主要介绍云审计服务支持的DMS for Kafka操作列表。 通过云审计服务，您可以记录与分布式消息服务Kafka相关的操作事件，便于日后的查询、审计和回溯。 表 云审计服务支持的DMS for Kafka操作列表 操作名称 资源类型 事件名称 创建DMS实例订单成功 kafka createDMSInstanceOrderSuccess 创建DMS实例任务执行成功 kafka createDMSInstanceTaskSuccess 创建DMS实例订单失败 kafka createDMSInstanceOrderFailure 创建DMS实例任务执行失败 kafka createDMSInstanceTaskFailure 删除创建失败的DMS实例成功 kafka deleteDMSCreateFailureInstancesSuccess 删除创建失败的DMS实例失败 kafka deleteDMSCreateFailureInstancesFailure 删除DMS实例任务执行成功 kafka deleteDMSInstanceTaskSuccess 删除DMS实例任务执行失败 kafka deleteDMSInstanceTaskFailure 批量删除DMS实例任务 kafka batchDeleteDMSInstanceTask 提交批量删除DMS实例请求成功 kafka batchDeleteDMSInstanceSuccess 批量删除DMS实例任务执行成功 kafka batchDeleteDMSInstanceTaskSuccess 提交批量删除DMS实例请求失败 kafka batchDeleteDMSInstanceFailure 批量删除DMS实例任务执行失败 kafka batchDeleteDMSInstanceTaskFailure 提交修改DMS实例订单请求成功 kafka modifyDMSInstanceOrderSuccess 提交修改DMS实例订单请求失败 kafka modifyDMSInstanceOrderFailure 提交扩容实例请求成功 kafka extendDMSInstanceSuccess 扩容DMS实例任务执行成功 kafka extendDMSInstanceTaskSuccess 提交扩容实例请求失败 kafka extendDMSInstanceFailure 扩容DMS实例任务执行失败 kafka extendDMSInstanceTaskFailure 提交重置DMS实例密码请求成功 kafka resetDMSInstancePasswordSuccess 提交重置DMS实例密码请求失败 kafka resetDMSInstancePasswordFailure 提交重启DMS实例请求成功 kafka restartDMSInstanceSuccess 重启DMS实例任务执行成功 kafka restartDMSInstanceTaskSuccess 提交重启DMS实例请求失败 kafka restartDMSInstanceFailure 重启DMS实例任务执行失败 kafka restartDMSInstanceTaskFailure 提交批量重启DMS实例请求成功 kafka batchRestartDMSInstanceSuccess 批量重启DMS实例任务执行成功 kafka batchRestartDMSInstanceTaskSuccess 提交批量重启DMS实例请求失败 kafka batchRestartDMSInstanceFailure 批量重启DMS实例任务执行失败 kafka batchRestartDMSInstanceTaskFailure 提交修改DMS实例信息请求成功 kafka modifyDMSInstanceInfoSuccess 修改DMS实例信息任务执行成功 kafka modifyDMSInstanceInfoTaskSuccess 提交修改DMS实例信息请求失败 kafka modifyDMSInstanceInfoFailure 修改DMS实例信息任务执行失败 kafka modifyDMSInstanceInfoTaskFailure 删除后台任务成功 kafka deleteDMSBackendJobSuccess 删除后台任务失败 kafka deleteDMSBackendJobFailure 冻结DMS实例任务执行成功 kafka freezeDMSInstanceTaskSuccess 冻结DMS实例任务执行失败 kafka freezeDMSInstanceTaskFailure 解冻DMS实例任务执行成功 kafka unfreezeDMSInstanceTaskSuccess 解冻DMS实例任务执行失败 kafka unfreezeDMSInstanceTaskFailure Kafka专享实例创建Topic成功 kafka KafkacreatetopicSuccess Kafka专享实例创建Topic失败 kafka KafkacreatetopicFailure Kafka专享实例删除Topic成功 kafka KafkadeletetopicsSuccess Kafka专享实例删除Topic失败 kafka KafkadeletetopicsFailure 开启自动创建Topic成功 kafka enableautotopicSuccess 开启自动创建Topic失败 kafka enableautotopicFailure 重置消费组偏移量成功 kafka KafkaresetconsumeroffsetSuccess 重置消费组偏移量失败 kafka KafkaresetconsumeroffsetFailure 创建用户成功 kafka createUserSuccess 创建用户失败 kafka createUserFailure 删除用户成功 kafka deleteUserSuccess 删除用户失败 kafka deleteUserFailure 更新用户策略成功 kafka updateUserPoliciesTaskSuccess 更新用户策略失败 kafka updateUserPoliciesTaskFailure

本文介绍自动化策略工具(PolicyEditor)的使用方法。 使用方式 使用地址：自动化策略工具 使用方法 自动化策略工具（PolicyEditor）由若干条策略组成。使用自动化策略工具，可以在界面上逐条添加或删除策略，并自动生成策略的JSON文本。 自动化策略工具中，每条策略需要设置其效果、授权账号、授权资源、授权操作： 效果（Effect） 指定这条策略是允许访问（Allow）还是禁止访问（Deny）。 授权账号 可选所有账号或指定账号，授权多个用户，输入对象存储userID并以英文逗号隔开。对象存储userID可通过提交工单的方式查询。 授权资源（Resource） 可授权桶及桶内对象，可输入桶名称或对象目录及名称，多个资源以英文逗号隔开。常见场景如下： a. 表示某个Bucket：buckettest b. 表示某个Bucket下所有文件：buckettest/ c. 表示某个Bucket下某个目录：buckettest/2023 d. 表示某个Bucket下某个目录下所有文件：buckettest/2023/ e. 表示某个Bucket下某个目录下某个文件：buckettest/2023/1120.txt 授权操作（Action） 指定访问资源的动作，可以选择多项。一般来说用户使用提供的通配动作就足够了： s3:：表示允许所有动作。 s3:Get：表示允许所有的读动作。 s3:Put：表示允许所有的写动作。 s3:List：表示允许所有的列举动作。 s3:DeleteBucketPolicy：表示允许删除桶策略。 s3:DeleteBucket：表示允许删除桶。 s3:DeleteBucketWebsite：表示允许删除桶的静态网站信息。 s3:GetBucketAcl：表示允许获取桶的访问控制信息。 s3:GetBucketCORS：表示允许获取桶的跨域资源共享策略。 s3:GetBucketEncryption：表示允许获取桶的服务端加密配置。 s3:GetBucketLogging：表示允许获取桶的日志信息。 s3:GetBucketPolicy：表示允许获取桶策略。 s3:GetBucketTagging：表示允许获取桶标签。 s3:GetBucketVersioning：表示允许获取桶的版本信息。 s3:GetBucketWebsite：表示允许获取桶的静态网站信息。 s3:GetLifecycleConfiguration：表示允许获取桶的生命周期配置。 s3:GetBucketObjectLockConfiguration：表示允许获取桶对象的锁定信息。 s3:GetReplicationConfiguration：表示允许获取桶的数据复制规则。 s3:ListAllMyBuckets：表示允许列举所有桶。 s3:ListBucketMultipartUploads：表示允许列举所有执行中的Multipart Upload事件。 s3:ListBucket：表示允许列举用户创建的所有桶。 s3:ListBucketVersions：表示允许列举桶的版本。 s3:PutBucketAcl：表示允许配置桶的访问控制信息。 s3:PutBucketCORS：表示允许配置桶的跨域资源共享策略。 s3:PutBucketEncryption：表示允许配置桶的服务端加密配置。 s3:PutBucketLogging：表示允许配置桶的日志信息。 s3:PutBucketNotification：表示允许配置桶通知。 s3:PutBucketPolicy：表示允许配置桶策略。 s3:PutBucketTagging：表示允许配置桶标签。 s3:PutBucketVersioning：表示允许配置桶的版本信息。 s3:PutBucketWebsite：表示允许配置桶静态网站信息。 s3:PutLifecycleConfiguration：表示允许配置桶的生命周期。 s3:PutBucketObjectLockConfiguration：表示允许配置桶对象的锁定信息。 s3:PutReplicationConfiguration：表示允许配置桶的数据复制规则。 s3:AbortMultipartUpload：表示允许终止执行中的Multipart Upload事件。 s3:DeleteObject：表示允许删除对象。 s3:DeleteObjectVersion：表示允许删除对象版本。 s3:DeleteObjectTagging：表示允许删除对象标签。 s3:DeleteObjectVersionTagging：表示允许删除对象版本标签。 s3:DeleteReplicationConfiguration：表示允许删除数据复制规则。 s3:GetObjectAcl：表示允许获取对象的访问控制信息。 s3:GetObject：表示允许获取对象。 s3:GetObjectVersion：表示允许获取带版本的对象信息。 s3:GetObjectVersionAcl：表示允许获取对象版本的访问控制信息。 s3:GetObjectTagging：表示允许获取对象的标签。 s3:GetObjectVersionTagging：表示允许获取对象版本的标签。 s3:GetObjectRetention：表示允许获取对象的保留信息。 s3:GetObjectLegalHold：表示允许获取对象的合规保留信息。 s3:ListMultipartUploadParts：表示允许获取对象执行中的Multipart Upload事件信息。 s3:PutObjectAcl：表示允许配置对象的访问控制信息。 s3:PutObject：表示允许配置对象信息。 s3:PutObjectVersionAcl：表示允许配置对象版本的访问控制信息。 s3:PutObjectTagging：表示允许配置对象的标签。 s3:PutObjectVersionTagging：表示允许配置对象版本的标签。 s3:PutObjectRetention：表示允许配置对象的保留信息。 s3:PutObjectLegalHold：表示允许配置对象的合规保留信息。 s3:BypassGovernanceRetention：表示允许绕过合规保留。 s3:RestoreObject：表示允许解冻对象。 授权条件 指定授权访问时应该满足的条件，可以指定多个。 键：需要设置的条件类型的名称，例如CurrentTime为当前时间。 条件运算符：设置当前键的运算符，例如等于、不等于、布尔运算等。 值：根据当前键和条件运算符决定，可输入时间、数值等。 示例说明 授权Buckettest及其文件所有权限示例如下： 注意 点击“生成授权策略”后，左侧数据会自动清空。

本节介绍云等保专区产品的漏洞扫描。 漏洞扫描系统功能主要包含网站漏洞扫描、数据库漏洞扫描、基线核查、主机漏洞扫描、安全事件扫描五大扫描功能，以及统计报告控制体系、用户权限管理体系等辅助功能。 功能 描述 首页 资产总量分布 统计资产总数及不同类型资产数目及占比。 统计主机风险资产、网站风险资产占比（风险等级非信息类资产）。 首页 弱点总量分布 统计当前发现的所有弱点数及根据不同弱点类型统计弱点数目。 首页 资产风险分布 从不同风险等级维度统计风险资产数量。 首页 风险主机TOP5 根据风险主机弱点数，列出风险数最多的5个主机资产。 首页 风险网站TOP5 根据风险网站的弱点数，列出风险数最多的5个网站资产。 首页 主机资风险/服务分布 统计主机资产出现次数最多的10个弱点、漏洞风险、服务类型、端口。 首页 网站资产风险/服务分布 统计网站资产出现次数最多的10个弱点、漏洞风险、服务类型。 首页 弱点发现趋势 按时间展示弱点的趋势状态，弱点的数据包括所有扫描类型的数据（不包含信息类漏洞）。 资产管理 资产列表 支持主机资产、网站资产两种类型。 支持新增、导入、导出、删除、编辑资产。 支持按照组织视角展示资产。 资产管理 授权管理 支持主机授权信息管理。 支数据库授信息管理。 任务管理 创建任务 支持创建通用任务、专项任务。 通用任务支持主机扫描、网站扫描、数据库扫描、基线配置核查、事件内容。 专项任务支持弱口令扫描、存活主机探测、大数据漏洞扫描、物联网漏洞扫描、信创漏洞扫描。 任务管理 任务列表 支持查看已下发的所有扫描任务，可对任务进行集中管理，包括查询任务、新增任务、执行任务等。 模板中心 漏洞模板 支持主机策略、网站策略、数据库策略管理。 支持新增、编辑、另存为、删除、查看策略。 支持使用自定义策略下发扫描任务。 模板中心 基线模板 支持工信部、公安部行业基线核查模板。 支持对应用程序、操作系统、网络设备、虚拟化设备、数据库五类资产的安全配置进行核查。 支持查看基线模板详情。 模板中心 扫描参数 支持设置主机扫描、网站扫描高级参数模板。 可根据需要设置与恢复默认扫描参数配置。 模板中心 字典模板 主机扫描和弱口令发现任务中引用的各协议弱口令字典。可自定义弱口令字典。 模板中心 报告模板 根据不同任务类型，设置离线报告导出的内容。 支持设置主机扫描报告、网站扫描报告、数据库扫描报告、基线核查报告、事件内容报告。 支持系统默认模板及自定义报告内容模板。 模板中心 端口列表 系统默认提供的端口列表模板。 报告管理 报告管理 支持对已扫描完成的任务导出离线报告。 支持对已导出报告进行下载。 系统管理 用户管理 支持角色管理及用户管理。 支持新增角色、编辑角色、删除角色。 支持新增用户，并指定用户角色。 系统管理 系统设置 提供系统服务、升级、数据备份等管理功能。 支持在线升级和离线升级。 支持系统SSH服务开启、系统重启、系统关闭、网卡重启操作。 支持设置系统时间。 支持根据需要备份系统数据。 系统管理 配置管理 提供网络配置、安全配置、告警配置、版权配置功能。 支持网卡设置、路由配置、DNS配置、网关配置。 支持密码安全复杂度、登录安全设置、超时设置、磁盘告警设置、多因子认证设置。 支持验证码登录、认证证书登录、用户名密码登录。 系统管理 引擎管理 支持对系统各个引擎状态进行查看与监控。 系统管理 常用工具 支持Ping、Traceroute、Dig、Telnet、SSH、CURL、Nmap命令工具。 系统管理 许可管理 支持查看许可授权内容及更新许可。 了解更多漏洞扫描相关操作内容，请下载阅读《云等保专区漏洞扫描 v1.0 用户指南》。

本文介绍云主机如何自查病毒及中病毒后处理建议(Linux系统)。 一，排查思路 1. 排查系统运行情况 结合用户反映的故障现象，查看进程运行情况（例如，故障现象为资源占用率高，则排查占用资源较多的进程；故障现象为网络带宽占用较多，则排查网络连接较多的进程）、网络连接情况。进一步排查可疑进程所关联的文件、启动进程的账户等信息。 2. 排查系统运行环境 通过排查系统账户、启动项、计划任务、系统服务启动等情况，排查可疑进程自动拉起的信息，为阻止恶意程序自运行提供依据。 3. 排查攻击来源 查看登录日志、运行日志，排查是否存在远程暴力破解行为、是否有不明IP登录系统，系统内是否出现不明账户，分析passwd、shadow文件完整性和修改时间是否正常，同时对安全事件发生事件进行判定。 4. 排查非法入侵系统后的操作 查看历史操作命令，据此对非法入侵系统后的操作进行分析，对非法操作造成的破坏进行针对性地恢复。 5. 确定解决方法 根据排查结果，研究解决安全事件的方法。如无法彻底清除恶意程序，则考虑在备份重要数据后重装。 6. 系统加固 安全事件处理完毕后，应分析入侵的方式，有针对地对系统进行加固，防止被再次攻击。 二，常见安全入侵排查 （一）挖矿病毒 1. 现象 CPU占用率接近100%。 2. 排查思路 确认占用CPU资源的进程，分析该进程对应的程序，查找可疑文件，并根据文件内容确认是否为挖矿程序。 3. 排查过程 对于用户反馈云主机性能卡顿，CPU和内存占用较高的情况： 执行TOP命令，查看占用CPU较高的异常进程，一般多为80%以上，有个别病毒占用CPU可能不高，但是从command名称明显不是系统进程或用户进程，如TSM，Lixsyn，ynlyvtpxia等。 对于用户反馈连接云主机卡顿，但CPU和内存占用不高的情况： 可能是云主机出网带宽跑满导致。此时ping云主机公网IP会出现大量丢包。 通过该进程PID，查看其关联的程序。 经查看，发现该进程关联隐藏路径，进一步排查该路径下的文件情况。 查看该路径下pools.txt文件，发现内有挖矿文件关联的钱包信息，且关联的IP地址5.255.85.210为荷兰IP地址，因此可确认该主机被植入挖矿进程。 解决办法： 杀掉占用CPU资源的病毒进程。 删除恶意程序。 停用与恶意程序关联的系统账户并修改系统账户密码，限制该账户远程登录权限。 检查定时任务、开机自启动文件等，彻底清理挖矿程序痕迹。

监控指标 含义 running 当前活跃线程数 connected 当前连接线程数 cached 当前缓存线程数 qps 计算公式：Queries / Uptime tps 计算公式：(commitrollback) / Uptime innodbnumopenfiles InnoDB打开文件数 opentables 打开表数 openfiles 打开的文件数 mysql.selectscan 执行全表搜索查询的数量 mdllocksession MDL锁阻塞的连接数 innodbrowlockwaits InnoDB表总等待row locks次数 Innodbrowlocktime 从系统启动到现在锁定的总时间 innodbrowlocktimeavg InnoDB表平均等待row locks时间 mysql.slaveiorunning 读取源二进制日志的I/O线程是否正在运行 mysql.slavesqlrunning 执行中继日志中事件的SQL线程是否正在运行 usr 用户CPU使用率 sys 系统CPU使用率 wait 等待I/O CPU使用率 memusage 统计测量对象的内存使用率。 datadiskawait 数据盘平均每次设备I/O操作的等待时间 recv 接收字节数 send 发送字节数

威胁处置 威胁处置支持恢复被隔离的文件，支持解封被隔离的IP。 恢复文件：支持恢复被隔离的文件，恢复至原文件路径。 解封IP：手动解放被禁止访问的IP地址，解封后对应IP可正常访问服务器。 导出告警 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“入侵检测 > 告警中心”，进入告警中心页面。 3. 单击告警列表右上角的“导出”按钮，导出告警。 如果您只需要导出某个ATT&CK攻击阶段的告警或某一类告警，您可以先选中相应的ATT&CK攻击阶段或告警事件类型，再单击“导出”按钮。 4. 页面右上角会显示导出状态，当导出完成后，单击“下载”，将告警列表下载到本地。 注意 若“关闭”页面，此时告警列表还未下载到本地，若需要下载，则需要重新导出。

参数 参数说明 生命周期 生命周期脚本定义，主要针对容器类任务的生命周期事件采取的动作。 启动命令：输入容器启动命令，容器启动后会立即执行。详细步骤请参见容器设置。 启动后处理：任务启动后触发。详细步骤请参见设置容器生命周期。 停止前处理：任务停止前触发。详细步骤请参见设置容器生命周期。 环境变量 在容器中添加环境变量，一般用于通过环境变量设置参数。在环境变量页签，单击“添加环境变量”。当前支持三种类型。 手动添加：输入变量名称、变量/变量引用。 密钥导入：输入变量名称，选择导入的密钥名称和数据。您需要提前创建密钥，具体请参见创建密钥。 配置项导入：输入变量名称，选择导入的配置项名称和数据。您需要提前创建配置项，具体请参见创建配置项。 数据存储 支持挂载本地磁盘或者云存储到容器中，以实现数据文件的持久化存储。 详细步骤请参见存储管理。 容器日志 CCE支持配置工作负载日志策略，便于日志收集分析，以及按周期防爆处理。详细步骤请参见采集容器标准输出日志。

本文介绍如何查看IaC告警信息及如何处置相关告警。 在IaC告警页面，用户可以查看IaC告警信息，并对告警进行处理。 查看告警列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“告警响应 > IaC告警”，进入IaC告警页面。 3. 查看告警数据统计：显示未处理的告警数量，并分别按不同级别进行数量统计。 4. 单击数据统计中某一级别的告警，下方报警列表将根据选择的级别进行筛选。 5. 告警列表内，支持按照“报警级别”、“文件名称/路径”、“文件类型”、“集群名称”、“命名空间”、“状态”进行筛选查询。 告警信息参数说明： 参数 说明 报警名称 报警的原因。单击报警名称可查看报警详情。 报警级别 报警分为紧急、异常、提示这三种类型。 集群名称 存在报警的镜像所属集群的名称。 受影响的命名空间 受影响的命名空间名称。 文件名称/路径 告警的文件名称。单击可查看文件详情及文件告警详情。 文件类型 告警的文件类型。 处理状态 状态分为已处理和未处理。 最近发现时间 最近一次发现报警事件的时间。

示例 1. 在本次设置中，镜像选择nginx。 2. 在访问设置中，服务访问方式中选择虚拟集群IP，协议选择TCP，容器端口和服务端口分别配置为80和30003。 3. 创建完成后，进入工作负载的无状态页面，可以看到新建的nginx应用出现在无状态列表下。 4. 在群管理页面的左侧导航栏中，选择“网络”下的“服务”页面，可以看到新建的nginx服务出现在服务列表下。 5. 在群管理页面的左侧导航栏中，选择“工作负载”，点击“容器组”，在容器组页面下可以查看所有创建的容器。 6. 点击想要查看的实例名称，即可进入查看该容器组的详细信息。