接口功能介绍 调用此接口可删除 EIP。 接口约束 待删除的EIP需未绑定任何云产品实例。 URI POST /v4/eip/delete 请求参数 请求Body参数 参数 参数类型 是否必填 说明 示例 ::::: clientToken String 是 客户端存根，用于保证订单幂等性, 长度 1 64 79fa97e3c48bxxxx9f466a13d8163678 regionID String 是 资源池 ID projectID String 否 企业项目 ID，默认为"0" eipID String 是 eipxxxx 响应参数 参数 参数类型 说明 示例 :::: statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object object 返回结果 表 returnObj 参数 参数类型 示例 说明 :::: masterOrderID String 55d531d7bf2d47658897c42ffb918423 订单 id masterOrderNO String 20221021191602644224 订单编号 regionID String 81f7728662dd11ec810800155d307d5b 可用区 id

本章节主要介绍天翼云物理机的物理网络。 物理机有四种网络类型，分别是VPC网络、高速网络（HB）、自定义vlan网络(QINQ)和IB网络，四种网络之间相互隔离不互通。其中，VPC网络接口和高速网络接口是基于系统维护vlan网卡组建bond后创建的vlan子接口。自定义vlan网络网卡和IB网络网卡由用户进行自定义管理配置。 说明 图中的ToR表示服务器机柜的布线方式，接入交换机放在机架顶部，服务器放在下方。HB表示高速网络。QinQ表示802.1Q隧道。 VPC网络接口和HB高速网络接口由系统生成，租户不可修改。这两个网络接口属于同一个网卡Bond。 弹性云主机和物理机之间可以通过VPC网络通信，只有VPC网络支持安全组、弹性IP和弹性负载均衡能力。 对于高速网络和自定义vlan网络，同一网络中的物理机实例之间仅提供2层连接。

名词 说明 环境 用于隔离不同应用的逻辑单元。 应用 一组资源的逻辑集合，通常代表一个业务系统。应用是进行演练和管理的核心对象。 资源 构成应用的组件节点，例如云主机、容器、分布式缓存服务Redis版、分布式消息服务Kafka等实例。 演练 通过向应用的特定资源注入指定故障，并观察其影响，从而验证系统稳定性与韧性的过程。 动作 注入到目标资源上的一个原子性故障，例如“CPU高负载”或“网络延迟”。用户可以在一次演练中对多个动作进行自由组合和编排。 动作组 一个或多个动作的逻辑分组，通常代表一个完整的故障场景。在一个演练任务中，不同的动作组之间可以并行执行。 探针 安装在目标资源（如云主机）上，用于执行具体故障注入动作的代理程序（Agent）。 保护策略 一种自动化的安全机制，用于控制演练的“爆炸半径”。当触发预设条件时，系统会依据此策略自动中止演练并回滚故障。

本章节介绍了分布式消息服务RocketMQ的产品规格。 分布式消息服务RocketMQ兼容开源RocketMQ 4.8.0，具体产品规格如下。 分布式消息服务RocketMQ 分布式消息服务RocketMQ产品规格由以下六个维度定义： 资源规格：定义使用的弹性云服务器的规格类型。 代理个数：定义实例的规模。 存储容量：定义单个代理可以保存的存储容量。 单个代理TPS：定义单个代理的TPS性能。 单个代理Topic数上限：定义单个代理可以创建的Topic数量。 单个代理消费组数上限：定义单个代理可以创建的消费组数量。 分布式消息服务RocketMQ支持的产品规格如表1所示。 表1 实例规格说明 资源规格 代理（个） 存储容量（GB/代理） 单个代理TPS 单个代理Topic数上限 单个代理消费组数上限 rocketmq.4u8g.cluster.small 1 ~ 2 300 ~ 60000 15000 2000 2000 rocketmq.4u8g.cluster 1 ~ 10 300 ~ 600000 20000 4000 4000 rocketmq.8u16g.cluster 1 ~ 10 300 ~ 900000 25000 8000 8000 rocketmq.12u24g.cluster 1 ~ 10 300 ~ 900000 28000 12000 12000 rocketmq.16u32g.cluster 1 ~ 10 300 ~ 900000 30000 16000 16000

当关系数据库MySQL版实例数据备份空间不足时，您可以扩容备份空间。本文介绍如何扩容天翼云关系数据库MySQL版产品的备份空间。 操作场景 当您的备份类型为云硬盘时，可以选择在备份空间不足时选择备份空间扩容，以满足您的备份需求。 说明 当您的备份空间类型为对象存储时，可无需关注空间使用问题，对象存储无上限，超过免费额度将按量收取您的费用。 备份空间扩容不会停服，实例状态会变为“扩容中”。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，然后在操作 列选择更多 > 备份空间扩容，进入备份空间扩容页面。 4. 调整变更后的配置，单击提交。

本文为您介绍如何查看接入容灾管理中心的应用详情。 操作场景 在您接入应用后，可以通过多活容灾服务控制台查看您接入的应用的详细信息。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“应用管理”，进入应用管理页面，点击应用列表中的应用名称，进入应用详情页。 5. 在基础信息部分，可以查看应用名称、应用端口、绑定的容灾管理中心、绑定的云主机、健康检查等信息。 6. 在数据库信息部分，可以查看数据库类型、数据库实例名、连接地址。 7. 在存储库信息部分，可以查看Bucket名称、Bucket内网域名、Bucket外网域名等信息。

本节为您介绍如何进行专线设置。 操作场景 当智能网关设备端口使用MPLS接入时，用户需要对传输网络为MPLS的配口进行设置。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成天翼云智能网关硬件版的创建，并设置MPLS链路。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本节我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”，进入天翼云SDWAN总览页面。 4. 选择“智能网关”，单击目标智能网关名称，进入智能网关详情页。 5. 在详情页，单击“设备管理”页签。 6. 单击“专线配置 >设置”。 7. 根据页面提示，设置连接类型和IP地址/掩码。连接类型选择“静态IP”时，需要输入IP地址，选择“动态IP”时，无需配置IP地址。 8. 单击“确定”按钮，完成专线设置。

本节为您介绍如何操作SN切换。 操作场景 天翼云智能网关支持SN切换。操作SN切换之后，旧设备的入云、组网和静态路由规则可平滑迁移至新设备，其他高级配置，如ACL、QoS等，在切换完成后可能会失效，需要重新为新设备下发相应规则，请做好业务规划。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 已经购买智能网关设备。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本节我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”，进入天翼云SDWAN总览页面。 4. 选择“智能网关”，单击目标智能网关的实例名称，进入详情页。 5. 在“基本信息”页签下，单击“切换”，进入SN切换界面，根据界面提示输入需要切换的新设备的SN。 6. 单击“确定”按钮。

本章介绍OpenSSL高危漏洞。 OpenSSL安全公告称存在一个影响OpenSSL 1.1.1d、OpenSSL 1.1.1e、OpenSSL 1.1.1f的高危漏洞（CVE20201967），该漏洞可被用于发起DDoS攻击。 漏洞编号 CVE20201967 漏洞名称 OpenSSL高危漏洞 影响范围 OpenSSL 1.1.1d OpenSSL 1.1.1e OpenSSL 1.1.1f 官网解决方案 官方建议受影响的用户尽快安装最新的漏洞补丁。 < < < 检测与修复建议 天翼云企业主机安全服务支持对该漏洞的便捷检测与修复。 1. 检测并查看漏洞详情，如下图所示，详细的操作步骤请参见漏洞管理。 手动检测漏洞 2. 漏洞修复与验证，详细的操作步骤请参见漏洞管理。

本节介绍了日志管理的操作场景、注意事项、批量配置访问日志等内容。 操作场景 配置访问日志后，RDS实例新生成的日志记录会上传到云日志服务（Log Tank Service，简称LTS）进行管理。 注意事项 确保与RDS实例相同region下的LTS服务已有日志组和日志流。 批量配置访问日志 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在左侧导航栏选择“日志配置管理”，选择“PostgreSQL”引擎。 步骤 5 选择一个或多个实例，单击“配置访问日志”。 步骤 6 在下拉框分别选择LTS日志组和日志流，单击“确定”。 说明 错误日志和慢日志不能使用同一个日志流。 配置完成后不会立即生效，存在10分钟左右的时延，请知悉。 步骤 7 如需解除LTS配置，选择一个或多个实例，单击“解除配置”。 步骤 8 在弹框中，单击“确定”。 结束

本章介绍关系数据库的产品类型简介，支持高可用部署。 目前，云数据库RDS的实例分为如下几个类型： 单机实例 主备实例 实例类型简介 实例类型 简介 使用说明 适用场景 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 个人学习。微型网站。中小企业的开发测试环境。 主备实例 采用一主一备的经典高可用架构，支持跨AZ高可用，选择主可用区和备可用区不在同一个可用区（AZ）。主实例和备实例共用一个IP地址。 备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。当主节点故障后，会发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 大中型企业的生产数据库。覆盖互联网、物联网、零售电商、物流、游戏等行业的应用。

事件类型 告警名称 告警说明 企业版 旗舰版 网页防篡改版 加入告警白名单 隔离查杀 恶意软件 恶意程序 恶意程序可能是黑客入侵成功之后植入的木马、后门等，用于窃取数据或攫取不当利益。 例如：黑客入侵之后植入木马，将受害主机作为挖矿、DDoS肉鸡使用，这类程序会大量占用主机的CPU资源或者网络资源，破坏用户业务的稳定性。 通过程序特征、行为检测，结合AI图像指纹算法以及云查杀，有效识别后门、木马、挖矿软件、蠕虫和病毒等恶意程序，也可检测出主机中未知的恶意程序和病毒变种，并提供一键隔离查杀能力。 √ √ √ √ √ 恶意软件 勒索软件 检测来自网页、软件、邮件、存储介质等介质捆绑、植入的勒索软件。 勒索软件用于锁定、控制您的文档、邮件、数据库、源代码、图片、压缩文件等多种数据资产，并以此作为向您勒索钱财的筹码。 × √ √ √ ×（部分支持） 恶意软件 Webshell 检测云服务器上web目录中的文件，判断是否为Webshell木马文件，支持检测常见的PHP、JSP等后门文件类型。 您可以在“策略管理”的“Webshell检测”中配置Webshell检测，HSS会实时检测执行的可疑指令，主机被远程控制执行任意命令等。 × √ √ √ × 恶意软件 反弹Shell 实时监控用户的进程行为，及时发现进程的非法Shell连接操作产生的反弹Shell行为。 支持对TCP、UDP、ICMP等协议的检测。 您可以在“策略管理”的“恶意文件检测”中配置反弹Shell检测，HSS会实时检测执行的可疑指令，主机被远程控制执行任意命令等。 × √ √ √ × 漏洞利用 一般漏洞利用 实时检测利用漏洞入侵主机的行为，对发现的入侵行为进行告警上报。 √ √ √ √ × 系统异常行为 文件提权 当黑客成功入侵主机后，会尝试利用漏洞进行root提权或者文件提权，从而达到非法创建和修改系统帐号的权限或者篡改文件的目的。 HSS检测当前系统的“进程提权”和“文件提权”操作。 检测以下异常提权操作： 利用SUID程序漏洞进行root提权。 利用内核漏洞进行root提权。 对文件的提权。 √ √ √ √ × 系统异常行为 进程提权 检测以下进程提权操作并进行告警： 利用SUID程序漏洞进行root提权。 利用内核漏洞进行root提权。 √ √ √ √ × 系统异常行为 关键文件变更 篡改系统关键文件，通常是黑客入侵成功后进行身份隐藏或者发起下一步攻击的准备工作。 对系统关键文件（例如：ls、ps、login、top等）及目录进行监控，一旦文件被修改就进行告警，提醒用户关键文件存在被篡改的可能。监控的关键文件的路径请参见关键文件变更监控路径。 关键文件变更信息包括“被更改的关键文件路径”、“文件最后修改时间”以及配置文件所在的“服务器名称”。 文件/目录变更信息包括“文件别名”、“被更改的关键文件路径”以及配置文件所在的“服务器名称”。 添加关键文件指纹库，收集关键文件信息，便于清点合法文件信息，检测异常文件。 对于关键文件变更，HSS只检测目录或文件是否被修改，不关注是人为或者某个进程修改的。 √ √ √ √ × 系统异常行为 文件/目录变更 实时监控系统文件/目录，对创建、删除、移动、修改属性或修改内容的操作进行告警，提醒用户文件/目录可能被篡改。 √ √ √ √ × 系统异常行为 进程异常行为 检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。 对于进程的非法行为、黑客入侵过程进行告警。 进程异常行为可以监控以下异常行为： 监控进程CPU使用异常。 检测进程对恶意IP的访问。 检测进程并发连接数异常等。 √ √ √ √（部分支持） × 系统异常行为 高危命令执行 您可以在“策略管理”的“高危命令检测”中预置高危命令。 HSS实时检测当前系统中执行的高危命令，当发生高危命令执行时，及时触发告警。 √ √ √ √ × 系统异常行为 异常Shell 检测系统中异常Shell的获取行为，包括对Shell文件的修改、删除、移动、复制、硬链接、访问权限变化。 您可以在“策略管理”的“恶意文件检测”中配置异常Shell检测，HSS会实时检测执行的可疑指令，主机被远程控制执行任意命令等。 √ √ √ √ × 系统异常行为 Crontab可疑任务 检测并列出当前所有主机系统中自启动服务、定时任务、预加载动态库、Run注册表键或者开机启动文件夹的汇总信息。 帮助用户通过自启动变更情况，及时发现异常自启动项，快速定位木马程序的问题。 × × √ √ × 用户异常行为 暴力破解 黑客通过帐户暴力破解成功登录主机后，便可获得主机的控制权限，进而窃取用户数据、植入挖矿程序，DDoS木马攻击等恶意操作，严重危害主机的安全。 检测SSH、RDP、FTP、SQL Server、MySQL等帐户遭受的口令破解攻击。 如果30秒内，帐户暴力破解次数（连续输入错误密码）达到5次及以上，HSS就会拦截该源IP，禁止其再次登录，防止主机因帐户破解被入侵。 SSH类型攻击默认拦截12小时，其他类型攻击默认拦截24小时。 根据帐户暴力破解告警详情，如“攻击源IP”、“攻击类型”和“拦截次数”，您能够快速识别出该源IP是否为可信IP，如果为可信IP，您可以通过手动解除拦截的方式，解除拦截的可信IP。 √ √ √ √ × 用户异常行为 异常登录 检测“异地登录”和“帐户暴力破解成功”等异常登录。若发生异常登录，则说明您的主机可能被黑客入侵成功。 检测主机异地登录行为并进行告警，用户可根据实际情况采取相应措施（例如：忽略、修改密码等）。 异地登录检测信息包括被拦截的“登录源IP”、“登录时间”，攻击者尝试登录主机时使用的“用户名”和“云服务器名称”。 若在非常用登录地登录，则触发安全事件告警。 若帐户暴力破解成功，登录到云主机，则触发安全事件告警。 √ √ √ √ × 用户异常行为 非法系统帐号 黑客可能通过风险帐号入侵主机，以达到控制主机的目的，需要您及时排查系统中的帐户。 HSS检查系统中存在的可疑隐藏帐号、克隆帐号；若存在可疑帐号、克隆帐号等，则触发告警。 √ √ √ √ ×

应用托管到云应用引擎 CAE（Cloud App Engine）后，CAE 对应用所运行设备的 CPU、负载、内存、网络和磁盘进行数据采集与分析，并以动态图的方式展示，方便您实时、直观地了解应用所运行设备的状态。所有监控均以应用为单位进行数据统计和处理。 CAE 基础监控指标 监控项 单位 统计值 应用 cpu % 平均值 最大值 最小值 应用平均负载 无 平均值 最大值 最小值 应用内存使用率 % 平均值 最大值 最小值 应用内存使用量 字节数 平均值 最大值 最小值 应用磁盘使用率 % 平均值 最大值 最小值 应用磁盘使用量 字节数 平均值 最大值 最小值 网络流入流出速率 字节数/秒 平均值 最大值 最小值 网络数据包 包数量/秒 平均值 最大值 最小值 磁盘 IOPS 次数/秒 平均值 最大值 最小值 磁盘吞吐率 字节数/秒 平均值 最大值 最小值 注意事项 由于从数据采集到分析存在一定延时，时延约2分钟，因此 CAE 无法提供百分之百的实时监控视图。 如果托管在 CAE 上的应用由于升级或扩缩容导致实例发生变更，将会导致监控数据产生断点，不能保持连续。

云日志服务提供手机号号码函数，用于获取手机号的运营商，归属省份以及归属城市。 函数列表 函数名称 语法 说明 mobilecarrier mobilecarrier(x) 获取手机号号码运营商。 mobilecity mobilecity(x) 获取手机号号码运所属城市。 mobileprovince mobileprovince(x) 获取手机号号码运所属省份。 mobilecarrier函数 获取手机号号码运营商。 语法 mobilecarrier(x) 参数说明 参数名称 说明 类型 是否必选 x 手机号号码 string类型 是 返回值类型 string 示例 类型 示例 统计分析语句 select mobilecarrier('18922732377') 返回结果 mobilecity函数 获取手机号号码运所属城市。 语法 mobilecity(x) 参数说明 参数名称 说明 类型 是否必选 x 手机号号码 string类型 是 返回值类型 string类型 示例 类型 示例 统计分析语句 select mobilecity('18922732377') 返回结果 mobileprovince函数 获取手机号号码运所属省份。 语法 mobileprovince(x) 参数说明 参数名称 说明 类型 是否必选 x 手机号号码 string类型 是

云日志服务提供手机号号码函数，用于获取手机号的运营商，归属省份以及归属城市。 函数列表 函数名称 语法 说明 mobilecarrier mobilecarrier(x) 获取手机号号码运营商。 mobilecity mobilecity(x) 获取手机号号码运所属城市。 mobileprovince mobileprovince(x) 获取手机号号码运所属省份。 mobilecarrier函数 获取手机号号码运营商。 语法 mobilecarrier(x) 参数说明 参数名称 说明 类型 是否必选 x 手机号号码 string类型 是 返回值类型 string 示例 类型 示例 统计分析语句 select mobilecarrier('18922732377') 返回结果 mobilecity函数 获取手机号号码运所属城市。 语法 mobilecity(x) 参数说明 参数名称 说明 类型 是否必选 x 手机号号码 string类型 是 返回值类型 string类型 示例 类型 示例 统计分析语句 select mobilecity('18922732377') 返回结果 mobileprovince函数 获取手机号号码运所属省份。 语法 mobileprovince(x) 参数说明 参数名称 说明 类型 是否必选 x 手机号号码 string类型 是

本章节主要介绍配置存算分离集群（委托方式） 。 MRS支持用户将数据存储在OBS服务中，使用MRS集群仅做数据计算处理的存算模式。MRS通过IAM服务的“委托”机制进行简单配置，实现使用ECS自动获取的临时AK/SK访问OBS。避免了AK/SK直接暴露在配置文件中的风险。 通过绑定委托，ECS或BMS云服务将有权限来管理您的部分资源，请根据实际业务场景需求确认是否需要配置委托。 MRS提供如下访问OBS的配置方式，请选择其中一种配置即可（推荐使用委托方式）： 通过为MRS集群绑定ECS委托方式访问OBS，避免了AK/SK直接暴露在配置文件中的风险，具体请参考本章节。 在MRS集群中配置AK/SK，AK/SK会明文暴露在配置文件中，请谨慎使用，具体请参考配置存算分离集群（AKSK方式）。 集群的Hadoop、Hive、Spark、Presto、Flink组件支持该功能。 1.创建具有访问OBS权限的ECS委托 说明 MRS在IAM的委托列表中预置了MRSECSDEFAULTAGENCY委托，可在集群创建过程中可以选择该委托，该委托拥有对象存储服务的OBS OperateAccess权限和在集群所在区域拥有CESFullAccess（对开启细粒度策略的用户）、CES Administrator和KMS Administrator权限。同时请勿在IAM修改MRSECSDEFAULTAGENCY委托。 如需使用预置的委托，请跳过创建委托步骤。如需使用自定义委托，请参考如下步骤进行创建委托（创建或修改委托需要用户具有Security Administrator权限）。 1. 登录管理控制台。 2. 在服务列表中选择“管理与监管 > 统一身份认证服务”。 3. 选择“委托 > 创建委托”。 4. 设置“委托名称”。例如：mrsecsobs。 5. “委托类型”选择“云服务”，在“云服务”中选择“弹性云主机ECS 裸金属服务器BMS”，授权ECS或BMS调用OBS服务。 6. “持续时间”选择“永久”并单击“下一步”。 7. 在弹出授权页面的搜索框内，搜索“OBS OperateAccess”策略，勾选“OBS OperateAccess”策略。 8. 单击“下一步”，选择权限范围方案，默认选择“所有资源”，单击“展开其他方案”，选择“全局服务资源”。 9. 在弹出的提示框中单击“知道了”，开始授权。界面提示“授权成功。”，单击“完成”，委托成功创建。

事后：损失最小化，被勒索后“及时恢复” 当前勒索攻击发展迅速，任何工具都无法提供100%防护。若不幸失陷，备份恢复能够将损失最小化。通过云备份服务快速恢复业务，保障业务安全运行。 备份数据恢复业务：首先还原业务关键型系统，请在还原之前再次验证备份是否正常。 勒索防护配置说明 当前勒索病毒频繁升级、变种，主机安全可支持对勒索病毒的检测及系统风险项的识别，但无法做到百分百的病毒防护能力，需要通过配置CBR备份服务进一步提升勒索病毒防护能力、消减勒索带来的影响。仅配置CBR备份服务，可能出现备份副本到勒索攻击时间节点间的业务无法恢复，需要同步配置HSS勒索病毒防护功能实时检测勒索病毒，减小业务受损范围。 云安全事件数据表明，HSS与CBR对勒索综合防御能力均具有影响，为使您的业务环境处于最佳勒索防御状态，强烈建议开通HSS旗舰版勒索防护策略，开通并配置小时级别永久保存的CBR备份： 企业主机安全HSS服务状态 云备份 CBR服务状态 被加密概率 加密后恢复概率 防御勒索病毒侵害的综合得分（0~100） 开通版本 勒索防护策略 配置状态 最短备份周期（推荐） 被加密概率 加密后恢复概率 防御勒索病毒侵害的综合得分（0~100） 非常高（90%） 0% 0 基础版 不支持 非常高（90%） 0% 0 企业版 不支持 非常高（85%） 0% 10 旗舰版 未配置 中（50%） 0% 15 基础版/未开通 不支持 已配置 天 非常高（90%） 50% 20 企业版 不支持 已配置 天 非常高（85%） 50% 30 基础版/未开通 不支持 已配置 小时 非常高（90%） 90% 30 旗舰版 未配置 已配置 天 中（50%） 50% 35 企业版 不支持 已配置 小时 非常高（85%） 90% 40 旗舰版 未配置 已配置 小时 中（50%） 90% 45 旗舰版 已配置 非常低（<10%） 0% 60 旗舰版 已配置 已配置 天 非常低（<10%） 50% 80 旗舰版 已配置 已配置 小时 非常低（<10%） 90% 90 旗舰版 已配置 已配置 小时（永久备份） 非常低（<10%） 90% 99（推荐）

本文主要介绍 创建用户并授权使用DMS for Kafka。 如果您需要对您所拥有的DMS for Kafka服务进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用DMS for Kafka资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将DMS for Kafka资源委托给更专业、高效的其他帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用DMS for Kafka服务的其它功能。 本章节为您介绍对用户授权的方法，操作流程如下图所示。 前提条件 给用户组授权之前，请您了解用户组可以添加的DMS for Kafka系统策略，并结合实际需求进行选择，DMS for Kafka支持的系统策略及策略间的对比，请参见：DMS for Kafka权限管理。 示例流程 图 给用户授权DMS for Kafka权限流程 1. 创建用户组并授权 在IAM控制台创建用户组，并授予DMS for Kafka的只读权限“DMS ReadOnlyAccess”。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入 1 中创建的用户组。 3. 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限： 在“服务列表”中选择分布式消息服务Kafka，进入Kafka实例主界面，单击右上角“购买Kafka实例”，尝试购买Kafka实例，如果无法购买Kafka实例（假设当前权限仅包含DMS ReadOnlyAccess），表示“DMS ReadOnlyAccess”已生效。 在“服务列表”中选择云硬盘（假设当前策略仅包含DMS ReadOnlyAccess），若提示权限不足，表示“DMS ReadOnlyAccess”已生效。

本节为您介绍如何安装Agent及管理Agent。 审计代理插件（Agent）是安装在数据库系统或者业务系统上的插件，其功能是捕获访问数据库系统的数据包，并将数据包发送至天翼云数据库审计。当数据库系统部署在公有云、私有云或者实际场景下无法进行端口镜像时，可以通过流量代理的方式抓取数据库流量。 支持的操作系统 Agent支持的操作系统版本请参考使用限制。 Agent工作原理 Agent在数据库服务器的接口上抓取属于资产下发的IP+Port 的数据库操作的流量。 Agent 包含两个进程：dbagent.exe 和 dbMonitor.exe。 DBAgent与天翼云数据库审计的13002端口建立连接负责流量转发。 DBMonitor与天翼云数据库审计的13001端口建立连接负责控制部分，包含接收天翼云数据库审计下发的资产和其他配置。 通过SSH远程安装Agent 您可以通过SSH协议将Agent自动安装到需要审计的服务器上，目前仅支持Linux系统。 在界面上输入需要审计的服务器IP、SSH端口、root用户名、密码，天翼云数据库审计通过scp协议将agent安装包传输到宿主机上并自动安装。 1. 在菜单栏选择“系统管理 > Agent管理”进入“Agent管理”页面，选择“Agent安装”页签。 2. 单击“开始安装”进入通过SSH远程安装Agent页面，编辑审计服务器IP，并添加安装Agent的服务器，单击“安装”。 填写参数说明请参见下表： 参数 参数说明 审计服务器IP 默认为当前的审计服务器IP，用户可以根据需要修改。 安装Agent的服务器 输入需要安装Agent的服务器IP及该服务器root账户的密码，默认端口为22，用户可以根据实际情况修改。 支持表单格式和文本格式输入。 支持IPv4和IPv6。 最多填写20个。 说明 单击“安装状态”可进入“安装状态”查看页面，可进行以下操作： 单击“卸载”可远程卸载已经成功安装了的Agent。 单击“重新安装”可对未成功安装Agent的服务器重新安装。 将光标悬停至“安装失败”后的图标，查看安装失败原因。 若您的业务部署在一类节点的资源池上，审计服务器IP需改为数据库审计所在的VPC组的公网IP。（一类节点可参考[支持的区域](/document/10446453/10489850

接口功能介绍 SDWAN入云校验网段，针对已经加入云间高速的SDWAN，当SDWAN发生子网变动，检验变动后的网段是否和云间高速其他网段冲突。 接口约束 无 URI POST /v4/ec/sdwan/checkcidr 路径参数 无 Query参数 无 请求参数 请求头header参数 无 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 sdwanID 是 String sdwan ID 212e45d0d2ce11edb8e1005056892474 CIDRs 是 Array of Strings sdwan新增的v4网段，与v6CIDRs不能同时为空 ["10.11.12.0/24"] v6CIDRs 是 Array of Strings sdwan新增的v6网段，与CIDRs不能同时为空 响应参数 参数 参数类型 说明 示例 下级对象 traceID String 链路追踪ID 74cb2e661f9545daaac5ee013470fd96 statusCode Integer 返回状态码 取值范围: 800:成功 900:失败 800 errorCode String 业务细分码，为product.module.code三段式码 message String 失败时的错误描述，一般为英文描述 description String 失败时的错误描述，一般为中文描述 returnObj Object 返回参数 returnObj 表 returnObj 参数 参数类型 说明 示例 下级对象 isConflict Boolean sdwan网段是否冲突，返回true则冲突 false

接口功能介绍 SDWAN入云校验网段，针对已经加入云间高速的SDWAN，当SDWAN发生子网变动，检验变动后的网段是否和云间高速其他网段冲突。 接口约束 无 URI POST /v4/ec/sdwan/checkcidr 路径参数 无 Query参数 无 请求参数 请求头header参数 无 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 sdwanID 是 String sdwan ID 212e45d0d2ce11edb8e1005056892474 CIDRs 是 Array of Strings sdwan新增的v4网段，与v6CIDRs不能同时为空 ["10.11.12.0/24"] v6CIDRs 是 Array of Strings sdwan新增的v6网段，与CIDRs不能同时为空 响应参数 参数 参数类型 说明 示例 下级对象 traceID String 链路追踪ID 74cb2e661f9545daaac5ee013470fd96 statusCode Integer 返回状态码 取值范围: 800:成功 900:失败 800 errorCode String 业务细分码，为product.module.code三段式码 message String 失败时的错误描述，一般为英文描述 description String 失败时的错误描述，一般为中文描述 returnObj Object 返回参数 returnObj 表 returnObj 参数 参数类型 说明 示例 下级对象 isConflict Boolean sdwan网段是否冲突，返回true则冲突 false

本节介绍了ETCD备份保存到对象存储的用户指南。 进入云容器引擎的集群，在左侧菜单点击“插件”>“插件市场”，搜索“ccsebackup”插件，点击“安装”。 在弹出界面的参数设置部分，有以下这样的一段配置 本插件支持将备份包保存到对象存储或本地。默认地会使用本地存储，且将保存到“/home/docker/backup”目录下，如需要更替备份目录，可直接修改该字段的内容。 另外如果想把备份包存储到对象存储，则将上述配置修改，oss.provider需要改成 s3，另外OSS相关参数也需要填上，类似下面形式： oss: provider: "s3" accesskeyId: "yourossak" accesskeySecret: "yourosssk" bucket: "yourossbucket" endpoint: "yourossendpoint" local: path: "" 配置完成后，点击“安装”，界面会自动切换到“插件实例”，稍等片刻后，待插件安装完毕，即可开始使用。

本节介绍了云容器引擎的计费类常见问题。 容器计费项和计费方式是什么？ 支持包年包月和按需计费2种方式，详情可查：点这里 容器如何定价？ 收费项包括：集群管理费、IaaS资源费等, 详情可查：点这里 容器创建的节点是否支持按需转包周期？ 目前不支持按需与包周期互转。 如何为购买的容器实例续费？ 为防止资源到期或者浪费，已经购买包月实例的用户，可执行续费操作，延长容器实例的有效期，也可以设置到期自动续费的相关操作。 开通的容器实例资源何时生效？ 天翼云容器资源在客户支付成功之后，系统经过初始化完成后即可生效使用。 包周期集群到期可以直接删除吗？ 按天翼云规则，到期实例有15天冻结期，期间用户可以发起续订，集群实例会恢复。超过15天冻结期，实例会注销。 如何退订我的容器集群？ 进入控制台，从集群管理列表，可以发起退订。详细可查看：删除集群

此小节介绍变更版本规格。 前提条件 已获取管理控制台的登录帐号与密码。 已为实例绑定EIP，未绑定EIP的实例不能执行变更规格操作。 已备份系统数据。 已关闭系统，并终止系统所有业务操作。 操作步骤 1. 登录管理控制台。 2. 在需变更规格的实例“操作”列，单击“更多 > 变更规格”，开始变更规格版本规格。 3. 按照变更规格变更要求，选择目标版本规格。选择目标“性能规格”，单击“立即购买”，进入“订单详情”页面。 4. 确认订单并付款。 确认订单无误后，单击“提交订单”。在支付页面，支付变更规格配置款项，完成付款。 5. 后台自动变更规格。 成功付款后，后台自动进行变更规格系统操作，整个后台变更规格过程需30min左右，请耐心等待，随时查看状态变化。 后台变更规格过程，实例的运行状态将会由“变更中”变为“正在重启”，系统重启完成实例运行状态变为“正常”。 6. 后台变更规格完成。 当实例运行状态转变为“正常”，且“实例规格”信息更新为目标版本规格，即后台变更规格完成。 此时即可正常登录云堡垒机系统，执行变更规格后验证操作。

您可以随时手动续订包年包月的DDoS高防（边缘云版）服务，本文介绍手动续订操作方式。 续订规则 用户随时可以手动续订包月包年且未退订、未释放的资源，延长相关资源的使用时间。 手动续订方式 官网控制中心产品视图中找到需要续订的产品，点击“手动续订”，根据使用需要调整续订周期后，提交续订订单。 当续订周期达到1年或以上时，续订单将可享受包年折扣。 手动批量续订 用户可以一次性手动续订多个包月包年且未退订、未释放资源，最多一次性续订50个资源。 批量续订方式：进入控制中心费用中心续订管理页面，通过筛选资源到期时间、筛选产品类型等，找到并勾选所需续订的多个资源，点击“批量续订”。 下单前如需确认资源详情，可点击右侧的下拉键查看资源ID、配置等。 批量续订的多个资源续订周期相同，如需对不同资源续订不同周期，需要分别下不同的续订订单。

本章节主要介绍云搜索服务（ES）的续订操作流程。 按需续费 按需付费模式下无需续订，只需保持账号内余额充足即可。如账户余额不足，请及时续费。 续费步骤如下 ： 1.在天翼云官网，点击右上角的“管理中心”； 登录页 2.进入“管理中心”页面，选择“充值”； 充值页面 3.进入“费用中心”，在“余额充值”项下输入充值金额，点击“充值”； 输入金额页面 4.进入超级收银台页面，选择合适的支付方式完成付款。 付款方式页 包年包月续订 1.在天翼云官网，点击右上角的“管理中心”； 登录页 2.左侧导航栏点击“订单管理”“续订管理”，输入筛选条件，找到需要续订的产品，按提示完成续订操作即可。

本节介绍了云容器引擎的最佳实践:使用存储子目录为工作负载提供存储。 当需要将存储的特定子目录直接挂载至工作负载以实现高效数据存储时，云容器引擎提供了多种实现方式以支持该能力。 需求场景 当用户创建大容量文件存储时，为充分利用现有资源，可将不同子目录分配给多个工作负载使用。 若需实现数据层面的权限控制，可限制容器仅访问指定子目录。 对于习惯开源NFS使用方式的用户，可在已有文件存储基础上，通过为不同子目录创建独立的PVC并分配给对应工作负载，实现资源隔离。 每个工作负载拥有不同的子目录的方式便于管理，且可通过Pod名称区分子目录，提升运维效率。 方案选择 有以下两种方案： （1）复用现有存储：用户已有的存储对应一个PVC，无需额外创建PVC，可将同一PVC下的不同子目录分配给多个工作负载使用。 （2）动态分配子目录：用户使用海量文件存储时，每次可为不同工作负载动态分配一个子目录作为独立PVC。（注：此功能仅海量文件存储支持，其他存储产品不适用于子目录挂载场景。） 方案一：子目录挂载（多个子目录共享同一PVC） 在工作负载的数据存储配置界面，设置挂载路径为 /test，即存储卷将挂载至容器内的 /test 目录。子路径可选择 subPath 或 subPathExpr 模式。 subPath：简单直接，工作负载的所有副本均使用存储卷的同一子目录。 subPathExpr：支持通过环境变量动态调整子目录路径，实现同一工作负载中不同副本使用独立子目录。 若选择 subPath，直接填写子目录名称即可；若目录不存在，K8S会自动创建。若选择 subPathExpr，需按以下方式配置： 在第二个绿色箭头所指的框中，根据实际需求填写路径表达式。例如可使用 $(PODNAMESPACE)/$(PODNAME) 或 $(PODNAME)，也支持自定义格式。此处以 $(PODNAMESPACE)/$(PODNAME) 为例，需确保相关变量已在环境变量中预先定义。 根据以上示例，红框处需正确填写变量名，绿框处需选择变量值的来源。即从Pod的metadata.name字段获取PODNAME变量值，从metadata.namespace字段获取PODNAMESPACE变量值，并组合为存储的子目录路径。 例如：一个两副本的无状态工作负载位于命名空间cstor下，Pod名称分别为podA和podB。按此配置后，一个副本会将PVC对应存储下的cstor/podA子目录挂载至容器内的/test路径，另一副本则挂载cstor/podB子目录至相同路径。 若通过工作负载的YAML文件实现，相关字段配置如下： plaintext volumeMounts: name: workdir1 mountPath: /logs subPathExpr: $(PODNAMESPACE)/$(PODNAME) yaml的env的设置如下： plaintext spec: containers: name: container1 env: name: PODNAME valueFrom: fieldRef: apiVersion: v1 fieldPath: metadata.name name: PODNAMESPACE valueFrom: fieldRef: apiVersion: v1 fieldPath: metadata.namespace

本文向您介绍如何进行Llama2模型文本生成任务。 前提条件 大模型学习机预装了Llama 27bchat模型与stablediffuisonbasev2.1模型，以及配套的开源服务框架textgenerationwebui与stablediffuisonwebui，使您不需单独进行下载模型与配置环境。 云主机开通与如何登录网页页面参见部署文档。 以下将向您介绍如何进行Llama 2模型文本生成任务： 注意 框架默认角色名称为"You", 但主流大模型默认角色名称一般为"User", 可能会导致模型效果显著变差。 修改角色名称的方式有: 1. 在网页Parameters > Chat > User标签下修改Name字段为"User"，此方法刷新页面后就会失效。 2. 修改配置文件/root/textgenerationwebui/modules/shared.py中的'name1': 'User', 并重启llama服务， 此方法永久生效。 1. 大语言模型加载 说明 以下内容基于开源框架textgenerationwebui。 1.1 基础模型加载 大语言模型体积较大，需要占用较多的内存/显存资源，因此在刚启动服务时并未进行加载，需要手动选择模型进行加载。 在页面上切换到Model标签页，左侧下拉菜单展开后会显示所有存放于云主机/root/textgenerationwebui/models目录下的模型。学习机初始预装了Llama27bchat模型(huggingface格式)，您也可随时下载其他大模型并放入models目录下进行加载。 默认Model loader：Transformers能够支持huggingface的主流大模型，在自行加载其他模型时您需要确认模型格式是否匹配。 右下角将出现模型加载样式，直至加载成功。耗时可能较长，期间不要退出页面。 注意 在加载预装的Llama27b模型时，如果您使用的是GPU学习机，模型将默认以fp16半精度进行加载，消耗13.1G显存；如果您使用的是CPU学习机，模型将以fp32单精度进行加载，消耗26G内存。 因此，如果您的机型是内存为32G或显存为16G的型号，则会因为资源不足导致无法直接加载Llama27b模型。 解决办法： (1) 参考 27b模型前先将图像生成服务关停。 (2) GPU学习机能够支持对模型进行量化，降低模型精度的同时缩减模型大小。您可以在Model页下方找到loadin8bit的开关并进行勾选，此时Llama27b模型将消耗7G内存，可以和图像生成服务中的StableDiffusion模型共存。且8bit精度对大语言模型的生成来说影响不会特别大。 注意 由于huggingface.io网站访问受限，Model标签页的Download按钮无法直接下载模型。

本节介绍了如何变更云数据库TaurusDB实例的CPU和内存规格。 操作场景 可以根据业务需要对包年/包月和按需实例的规格进行变更，规格指实例的CPU/内存。当实例的状态由“规格变更中”变为“正常”，则说明变更成功。 约束限制 当实例进行CPU/内存规格变更时，该实例不可被删除。 您只能对整个实例进行规格变更，无法对实例中的单个节点进行操作。 仅按需实例支持选择可维护时间段进行规格变更，且该任务不可被取消。 注意 变更规格后会主备倒换，请选择业务低峰期，避免业务异常中断。 变更规格后主节点与只读节点的读内网地址会发生变化，请及时在应用程序中修改您的连接地址以免影响业务。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 您可以通过两种途径进行规格变更。 在“实例管理”页面，选择目标实例，单击“操作”列的“更多 > 规格变更”，进入“规格变更”页面。 单击目标实例名称，进入“基本信息”页面，在“实例信息”模块的“性能规格”处，单击“规格变更”，进入“规格变更”页面。 步骤 5 在“规格变更”页面，选择所需修改到的性能规格，您可以根据自己的需求缩小或扩大规格，并设置“切换时间”，单击“下一步”。 切换时间支持如下两种方式： 立即变更：系统会立即进行规格变更。 可维护时间段：在当前可维护时间段实现数据库资源变更，预约变更时间。 步骤 6 在规格确认页面，确认性能规格。 如需重新选择，单击“上一步”，修改性能规格。 按需计费模式的实例，单击“提交”，提交变更。 由规格变更产生的费用，您可在“费用中心 > 费用账单”中查看费用详情。 包年/包月模式的实例 缩小规格：单击“提交订单”，提交变更。由缩小规格产生的退款，系统会自动退还至客户帐户，您可通过单击“费用中心”进入“费用中心”页面，在左侧导航栏“订单管理”下的“我的订单”查看费用详情。 扩大规格：单击“提交订单”，跳转至支付页面，支付成功后，才可进行规格变更。 步骤 7 查看变更结果。 在实例管理页面，可以看到实例状态为“规格变更中”。稍后在对应的“基本信息”页面，查看实例规格，检查修改是否成功。此过程需要5～15分钟。 注意 TaurusDB实例规格变更成功后，系统将根据新内存大小，调整如下参数的值：“innodbbufferpoolsize”、“innodblogbuffersize”、“maxconnections”、“innodbbufferpoolinstances” “innodbpagecleaners”、“innodbparallelreadthreads”、“innodbreadiothreads”、“innodbwriteiothreads”、“threadpoolsize”。

不小心关掉支付页面怎么办？ 进入费用中心，在“订单管理＞待支付订单”页面，查看未支付订单，点击支付，按步骤完成操作即可。 未支付订单作废后，可以恢复吗？ 订单提交后5天内未进行支付，系统会自动作废，作废后无法恢复。如您需要该业务，请重新购买。 已取消的订单能否恢复？订单取消后订单是否消失了？ 已取消的订单不能恢复，需要重新购买产品。订单取消后订单并没有消失，用户可以进入“我的订单”页面，在云订单页签选择状态类型为“取消”，可以查看已取消的订单。 已经取消支付的订单是否能从我的订单中删除？ 可以。进入“订单管理 > 我的订单”页面，选择状态类型为“取消”，可以查看已取消的订单，点击后面的“删除”按钮，即可删除该订单。 为什么会撤单？ 订单开通时，如果底层资源无法满足的情况下会触发撤单操作。撤单时会按照账号设置的撤单策略，对订单内的全部资源进行退款操作 或者 保留已经开通的资源对未开通的资源进行退款操作。 续订管理在哪里进行操作？ 官网登录成功以后进入管理中心，在“订单管理续订管理”页面查找需要续订的产品，可进行手动续订，也可设置自动续订等操作。详细操作请参考：续订管理 充值和续订有什么区别？ 续订：用户通过在线充值、转账汇款等支付方式延长已购买产品的使用期限。 充值：用户通过在线充值、转账汇款等支付方式向天翼云账户充入可用金额。

本节介绍集群备份用户指南。 前提条件 1. 已完成集群注册，具体操作请参见 本地注册集群 / 三方云注册集群。 2. 集群已安装ccsebackup插件，具体操作请参考 插件。 操作步骤 下发备份任务 1. 登陆分布式容器云平台，在左侧导航栏中选择集群资源 > 集群管理，进入注册集群列表页。 2. 在注册集群列表中点击需要备份的集群，进入单集群管理页面。 3. 在单集群管理页面导航栏中选择运维管理 > 集群备份 > 新增备份 ，进入集群备份配置页面。 4. 填写配置项后，点击“确定”下发备份任务。 备份配置项说明： 配置项名称 说明 名称 必填，备份任务的名称，名称限制为由小写字母开头，只允许小写字母，数字和‘’组成，且备份任务是当前集群中唯一 命名空间 非必填，选择备份资源的命名空间，可多选 资源 非必填，选择所备份资源的类型，可多选，也可以手动输入 持久卷 选择是否备份pod所使用的持久卷，备份内容中有pod资源，此项才生效。不能备份临时卷及hostPath 备份任务下发后，在备份列表中可查看备份任务的执行状态，及备份完成后备份包的大小。 备份列表的操作列还包含以下三个操作： 还原：把当前备份包还原到当前集群中。 下载：下载当前备份任务的备份包。 删除：删除当前备份任务。

分布式消息服务Kafka提供全托管、免运维的迁移上云服务，用于自建实例或跨云云实例与分布式消息服务Kafka实例之间的数据同步。本文介绍迁移上云的源实例类型、使用限制、跨VPC数据同步以及使用流程。 背景信息 迁移上云可以把源云分布式消息服务Kafka集群的元数据（Topic和Group配置信息）、消息数据和点位信息同步到目标集群，迁移完成后目标集群的元数据与原集群的元数据保持一致，并且支持持续更新和完成后自动停止任务。 使用限制 1. 此功能不收费，会占用当前实例的服务器资源，请结合业务流量和服务器资源占用情况，在合理的情况下进行迁移。 2. 单机版不支持迁移。 计费说明 分布式消息服务Kafka的迁移上云组件处于公测阶段，不会在分布式消息服务Kafka侧产生费用。同时，天翼云不承诺迁移的SLA，使用迁移上云所依赖的其他产品的SLA和费用说明请以对应产品为准。 环境要求 如果您需要通过迁移上云功能将公网的自建实例的数据同步到分布式消息服务Kafka或者跨地域将某个VPC内的分布式消息服务Kafka的数据同步到另一个VPC的分布式消息服务Kafka，您需要为该实例绑定弹性IP开启公网访问，然后在公网上进行数据同步。 如果您需要将某个VPC内的数据通过迁移上云功能同步到另一个VPC的分布式消息服务Kafka，需要手动打通VPC。具体步骤，请参见：使用VPCEP实现跨VPC访问Kafka