本文主要介绍弹性负载均衡健康检查常见问题。 健康检查为什么会导致负载均衡器会频繁向后端云主机发送探测请求？ ELB是高可用集群部署的，集群内的所有的转发节点会同时向后端云主机发送探测请求，检查间隔用户可配，健康检查会根据检查间隔一直探测，所以每隔几秒会有访问。您可以通过修改健康检查配置的周期来控制访问后端云主机的频率。 健康检查什么时候启动？ 后端云主机新加入后，在第一个周期内随机一个时间开始检测，后续按照“检查间隔”启动。 “最大重试次数”是否包括健康检查失败的场景？ 是，最大重试次数既是健康最大重试次数，也是不健康最大重试次数。 如何处理健康检查导致的大量日志？ 可以增加健康检查间隔时间，但延长健康检查的间隔时间后，后端云主机出现故障时，负载均衡发现故障云主机的时间也会增长。 可以关闭健康检查，但关闭健康检查后，负载均衡不再检查后端云主机，一旦某台后端云主机发生故障，则无法实现访问流量自动切换至其它正常的后端云主机。 切换健康检查协议，配置方法： 进入控制台，选择弹性负载均衡，选择需要配置的实例，选择后端云主机，点击配置健康检查配置，切换健康检查协议。 但负载均衡将只检查监听端口状态，不检查HTTP状态，会导致负载均衡无法实时获知HTTP应用是否出现问题。

本小节介绍日志审计的网络环境需求。 若日志审计绑定了EIP，在用户通过EIP访问日志审计实例之前需要配置安全组策略，编辑入向策略，才可通过EIP直接访问日志审计实例。 说明 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互信任的弹性云服务器和日志审计实例提供访问策略。 为了保障日志审计的安全性和稳定性，在使用日志审计实例之前，您需要设置安全组，添加规则允许需访问日志审计的IP地址和端口。 日志审计实例开放端口说明 一类节点 说明 在订购时会自动生成以下安全组，保证页面访问和日志传输。 端口 协议 方向 用途 说明 514 UDP 入方向 Syslogudp采集 来源IP限制为支持上报采集的网段。 162 UDP 入方向 Snmptrap采集 来源IP限制为支持上报采集的网段。 8181 TCP 入方向 门户端口 来源IP限制为实例控制台地址，如果不开放，则无法访问Web界面。 433 HTTPS 出方向 日志审计实例心跳上报、授权许可同步到控制台 如果不开放，则会导致无法正常完成在线升级、升配操作。 53 UDP 出方向 日志审计实例心跳上报、授权许可同步到控制台需要的DNS解析 如果不开放，则会导致无法正常完成在线升级、升配操作

敏感数据是指泄漏后可能会给社会或个人带来严重危害的数据。 敏感数据举例： 个人：家庭住址、工作单位、银行卡号、身份证号码 企业或组织：财务信息、客户资料、技术资料、重大决策等公司核心信息。 天翼云数据安全中心（Data Security Center，简称DSC）为您提供静态数据脱敏功能：能够根据脱敏规则对大批量数据进行统一变形转换处理。静态脱敏的应用场景多为：开发测试、数据分享、数据研究。可以将生产环境中的敏感数据交付至开发、测试或者外发环境。 为何敏感数据会泄露 内部原因 员工（包括在职员工、待离职员工、合作伙伴、外包人员）盗窃数据 重要笔记本电脑和移动设备的丢失或失窃 敏感数据越权访问和存储 企业员工打印、外和复制敏感数据 意外传输敏感数据 外部原因 基础措施不可控，避免数据存储系统存在安全漏洞 配置不当导致的外部攻击 敏感数据越权访问和存储 场景 场景假设：“rsddsctest”数据库中“dscyunxiaoke”表中存储了银行员工信息。 处理方案：当前需要对敏感数据进行敏感数据识别并完成脱敏，可选择识别规则组“银行金融领域模板”，该模板为预置模板，能识别出敏感数据并生成识别结果数据报告，再对识别出的敏感数据进行“Hash脱敏”中的SHA256算法进行脱敏处理，以此来达到保护敏感数据得目的。

本文介绍如何查看WAF账单。 客户可以在费用中心按月查看在天翼云的消费概况，详情请参见账单概览。 账单说明 WAF产品为包年包月计费产品，包年包月产品采用预付费模式，即先付费再使用，一般为包年包月的购买形式，支付成功后，云资源将被系统分配给用户使用，直到超过保留期后被系统回收。 说明 当月最终账单将在次月3日生成，在次月4日10点后可查看和导出。 WAF属于按月结算的产品，当月消费可在次月3日查看账单。 操作步骤 1. 登录天翼云控制中心。 2. 在页面右上角用户名称处，选择“费用中心”。 3. 在左侧菜单栏选择“账单管理 > 账单概览”，进入账单概览页面，可按产品类型汇总查看产品账单。 4. 在左侧菜单栏选择“账单管理 > 账单详情”，进入账单详情页面。按如下筛选条件，即可查看到产品的账单详情。 统计维度选择“产品”。 统计周期选择“按账期”。 计费模式选择“包周期”。 账期选择需要查看的账单时间。

本节介绍安全分析功能使用流程。 安全分析功能使用具体流程： 子流程 说明 新增工作空间 新增工作空间，用于资源隔离和控制。 数据集成 配置需要接入的数据。态势感知（专业版）支持集成存储、管理与监管、安全等多种云产品的日志数据。集成后，可以检索并分析所有收集到的日志。 （可选）新增数据空间 创建用于存储收集日志数据的数据空间。通过控制台接入的数据，系统将创建默认数据空间，无需再进行创建。 （可选）创建管道 创建用于日志数据的采集、存储和查询的数据管道。通过控制台接入的数据，系统将创建默认数据管道，无需再进行创建。 配置索引 配置索引条件，缩小查询范围。 查询与分析 对接入的数据进行查询、分析。 下载日志 支持将原始日志或查询分析后的日志下载到本地。 图表统计 当您执行了查询分析语句后，态势感知（专业版）支持通过图表统计的形式对查询和分析的结果进行可视化展示。目前支持表格、折线图、柱状图和饼图方式进行展示。

本文为您介绍如何使用ECI快速部署Tensorflow。 背景信息 TensorFlow是一个开源的机器学习框架，由Google开发和维护。它提供了一个灵活的编程环境，可以用于构建和训练各种机器学习模型，包括神经网络。TensorFlow使用图形计算的方式来表示计算任务，并通过优化技术来实现高效的计算。它支持多种编程语言，包括Python和C++，并且可以在各种硬件平台上运行，包括CPU、GPU和TPU。TensorFlow已经成为机器学习和深度学习领域最受欢迎的框架之一，被广泛应用于各种领域，如图像识别、自然语言处理、推荐系统等。 前期准备 已开通天翼云弹性容器实例服务。 已开通天翼云弹性文件或对象存储服务，用于存储tensorflow训练结果。 准备工作 准备训练数据和容器镜像。 训练数据：本文以Github的一个TensorFlow训练任务为例。 容器镜像：在最佳实践中，ECI已准备好适用的示例镜像，示例镜像已上传到天翼云容器镜像仓库中。 创建镜像缓存。 在ECI控制台的镜像缓存页面手动创建镜像缓存，如下图所示： 创建镜像缓存时需拉取镜像，受镜像大小和网络的影响，需要一定时间。可通过镜像缓存列表页或者镜像缓存详情页查看进度。镜像缓存状态显示ready时，表示镜像缓存已经创建成功。

单点执行手动检测 1、登录管理控制台。 2、在页面左上角选择“区域”，单击，选择“安全 > 企业主机安全”，进入企业主机安全页面。 3、在左侧导航栏中，选择“主机管理”，在云服务器列表的“操作”列中，单击“查看详情”，进入指定主机的详情页面。 查看详情 手动收集软件信息 选择“资产管理”页签，在页面下侧“软件信息”中，手动检测主机中的软件信息。 手动执行漏洞检测 选择“漏洞管理”页签，在“Linux软件漏洞管理”和“WebCMS漏洞管理”中，手动检测主机中的软件漏洞和WebCMS漏洞。 说明 软件漏洞检测和软件信息管理任意一个手动检测都会触发收集服务器上的软件信息。 选择“漏洞管理”页签，选择系统软件漏洞，单击“手动检测”，系统将立即执行一次系统软件漏洞检测。 系统软件漏洞检测 选择“漏洞管理”页签，选择WebCMS漏洞，单击“手动检测”，系统将立即执行一次WebCMS漏洞检测。 WebCMS漏洞检测

本小节介绍证书管理服务证书部署类常见问题。 SSL证书对服务器端口是否有限制？ 证书签发前：证书签发前的域名验证阶段，如使用的是文件验证，必须通过http 80端口/https 443 端口 来完成文件验证。 证书签发后：部署证书阶段对服务器端口没有限制，证书只匹配域名，不限制端口。 注意 证书部署在 https 443的默认端口，则 域名加端口的形式去访问 SSL证书支持在哪些服务器上部署？ SSL证书不限制部署环境，只要对应web服务器运行的中间件支持ssl模块来部署证书即可。 说明 常见的部署环境比如：支持在云防护平台、WAF、VPN、F5等设备上使用该证书，支持包括Apache、Nginx、IIS、Tomcat等主流web服务器 SSL证书支持在哪些地域部署？ 证书签发后会获取一对证书公私钥文件，只要部署环境的域名与证书域名一致，即可使用。 如何验证部署的SSL证书是否生效？ 直接浏览器访问对应网址，访问到的证书是匹配的证书即可。步骤如下：

本节主要介绍产品价格 专享版API网关计费说明 专享版API网关分两个维度计费：版本，以及带宽，二者同时计入收费。 实例版本分为基础版、专业版、企业版、铂金版。不同版本收费价格不一，目前支持包周期（包年包月）和按需（小时）两种计费方式。包年优惠政策为1 年 85 折、2 年 7 折、3 年 5 折。 实例规格 每秒最大请求次数 包月价格（元/个） 按需价格（元/个/小时） :::: 基础版 2000 2960 4.76 专业版 4000 7980 12.88 企业版 6000 11980 19.36 铂金版 10000 28680 46.28 带宽指您的API后端服务部署在公网时，另外收取的API请求出公网带宽费用。出公网带宽费用按带宽大小以及使用时长计费。公网带宽采用分段累计计价。 产品规格 按需标准价格（元/M/小时） :: 05M带宽部分 0.056 5M以上带宽部分 0.1 如：购买15M带宽，则按需价格为0.0565+（155）0.1 1.28元/小时 说明 专享版实例部署在虚拟私有云中，如果您的后端服务也部署在相同虚拟私有云，可直接通过私有地址访问，无需购买带宽。 专享版实例的API如仅在VPC内调用，无需购买/绑定弹性公网IP。 API如从公网调用，实例需绑定一个弹性公网IP，作为公网入口。弹性公网IP需要单独购买。

如何处理表中存在主键重复的数据 场景 DRDS实例的逻辑表中已存在主键数据类型边界值的记录，如果插入的数据超过主键数据类型的范围，表中会出现主键重复的数据。 处理方法 1、登录云服务管理控制台。 2、在RDS for MySQL的“实例管理”页面，查找DRDS实例对应的RDS for MySQL实例，单击目标RDS for MySQL实例名称，进入实例的“基本信息”页面。 3、在基本信息页面的左侧导航栏中选择“参数修改”。 4、在“参数”页签搜索“sqlmode”，单击“值”列中的下拉框，勾选“STRICTALLTABLES”或“STRICTTRANSTABLES”方式，单击“保存”。 5、在“DRDS实例管理”页面，重启DRDS实例。 如何通过show full innodb status指令查询RDS for MySQL相关信息 通过MySQL客户端连接DRDS实例后，可直接输入show full innodb status指令查询该DRDS实例所关联的RDS for MySQL实例信息。可查询信息如： 当前的时间及自上次输出以来经过的时长。 可以使用命令show full innodb status来查看master thread的状态信息。 如果有高并发的工作负载，您需关注SEMAPHORES信号量，它包含了两种数据：事件计数器以及可选的当前等待线程的列表，如果有性能上的瓶颈，可使用这些信息来找出瓶颈。

本章介绍天翼云关系型数据库的产品类型分类。 目前，云数据库RDS的实例分为如下几个类型： 单机实例 主备实例 集群版实例 不同系列支持的引擎类型和实例规格不同，请以实际界面为准。 实例类型简介 实例类型 简介 使用说明 适用场景 :::: 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 个人学习。 微型网站。 中小企业的开发测试环境。 主备实例 采用一主一备的经典高可用架构，支持跨AZ高可用，选择主可用区和备可用区不在同一个可用区（AZ）。主实例和备实例共用一个IP地址。 备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。 当主节点故障后，会发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 大中型企业的生产数据库。 覆盖互联网、物联网、零售电商、物流、游戏等行业的应用。 集群版实例 采用微软AlwaysOn高可用架构，支持1主1备5只读集群模式，拥有更高可用性，可靠性，可拓展能力。 仅限RDS for SQL Server使用。 金融行业。 互联网行业。 酒店行业。 在线教育。

本章节会介绍如何在控制台配置和修改数据库内网地址。 操作背景 用户从线下或者其他云迁移到关系型数据库后要面对更改IP的问题，为减少客户业务更改，降低迁移难度。提供规划与更改内网IP方式，降低客户迁移成本。 配置内网IP 在购买实例时，可在“服务选型”页面的网络部分，根据选择的子网自动配置内网地址。 修改内网IP 对于创建完成的关系型数据库实例，支持更改内网地址。 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称，进入实例基本信息页面。 步骤 5 在“基本信息”页“连接信息”模块“内网地址”处，单击“修改”。 步骤 6 您也可以在左侧导航栏，单击“连接管理”，在“内网连接”页面中，在“连接信息”模块“内网地址”处，单击“修改”。 在“修改内网地址”弹出框中进行修改。单击“确定”，保存修改内容。 修改内网IP后域名需要几分钟重新解析地址导致数据库连接中断，请在业务停止期间操作。 已使用IP地址列表中使用情况为“待使用”的IP地址表示已被占用，不允许被当前实例使用。

操作场景 购买了WAF（WEB应用防火墙）实例后，可为相应的HTTP/HTTPS监听器开启安全防护（以下安全防护和WAF防护同义）。对进入监听器的应用层流量进行检测，用户可根据自身应用需求设置相应的规则，如拦截、观察等。WEB应用防火墙的详细信息可参考WEB应用防火墙。 操作须知（限制/说明） 该功能当前处于试用阶段，如需试用可以通过天翼云控制台提工单进行申请。 当前只有集群模式的资源池支持 HTTP/HTTPS监听器开启WAF防护，主备模式资源池不支持，主备、集群模式资源池列表见 产品简介​>产品类型和规格, 实际情况以控制台展现为准。 用户已购买了WEB应用防火墙。 用户的负载均衡实例为性能保障型，不支持经典型开启安全防护。 只支持HTTP/HTTPS监听器开启安全防护。 WEB应用防火墙不参与流量的转发，证书配置能力不启用，负载均衡器将解密后的信息直接给WEB应用防火墙，WEB应用防火墙检测完成后直接回给负载均衡器，WEB应用防火墙不执行解密/回源等动作。 负载均衡开启安全防护后，负载均衡的黑白名单仍然生效。 计费说明 监听器支持安全防护功能不额外收取费用，用户需要购买负载均衡器和WEB应用防火墙，这两个产品单独计费。

本文为您介绍如何通过注解实现ECI Pod环境变量获取元Pod IP和 EIP IP。 操作步骤 1. 打开云容器引擎集群控制台，点击集群名称。 2. 选择工作负载菜单，点击无状态，进入无状态列表页。 3. 点击“新增YAML”按钮。 4. 为Pod 添加注解，以Deployment 为例： plaintext k8s.ctyun.cn/eciwitheip: "true" 可选，设置则自动分配 EIP k8s.ctyun.cn/eipbandwidth: "5" 可选，单位 Mbps，默认 5Mbps deployment 完整模板，其中环境变量设置如下，获取Pod IP和EIP IP： shell apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: annotations: k8s.ctyun.cn/eciwitheip: "true" k8s.ctyun.cn/eipbandwidth: "5" labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.25alpine ports: containerPort: 80 env: name: PODIP valueFrom: fieldRef: fieldPath: status.podIP name: PODEIP valueFrom: fieldRef: fieldPath: "metadata.annotations['k8s.ctyun.cn/allocatedeipAddress']" nodeName: vndc2hq918w25w2vqracnhuadong1jsnj3apublicctcloud 注意 通过yaml 创建，此处需要指定节点为 vnode： shell nodeName: "vndc2hq918w25w2vqracnhuadong1jsnj3apublicctcloud" 5. 创建完成在ECI 控制台，找到对应的ECI Pod，进入详情页面，选择远程连接页签，可以看到环境变量已生效。 6.

本小节介绍数据库安全购买类常见问题。 购买实例时如何选择“子网”？ 需要选择与数据库同一VPC的子网。 购买实例时为何要选择VPC？ 对于非云上的数据库，Agent和DBSS实例之间的网络需要通过VPC互通。DBSS实例的VPC和安装Agent的节点如果在不同VPC，将导致无法审计。 同一区域可以多少个数据库安全审计实例？ 基础版：最多支持3个数据库实例。 专业版：最多支持6个数据库实例。 高级版：最多支持30个数据库实例。 在专属云上购买数据库安全服务会消耗专属云上的资源吗？ 当您在专属云上购买数据库安全服务时，DBSS将消耗您在专属云上的计算资源，消耗的资源说明如表所示。 如果您不希望DBSS消耗专属云资源，请在公有云上购买DBSS。 版本 消耗资源 基础版 vCPU：4核 内存：16GB 硬盘：560GB 专业版 vCPU：8核 内存：32GB 硬盘：1084GB 高级版 vCPU：16核 内存：64GB 硬盘：2108GB 哪些区域可以使用数据库安全服务？ 目前数据库安全服务主要集中在天翼云二类节点，主要区域包含如下： 购买实例时提示资源售罄时如何处理？ 当您在购买数据库安全服务时，界面提示资源售罄，请您单击管理控制台左上角的区域按钮选择其他区域后购买或提交工单。

本文主要介绍物理机的权限管理。 如果您需要对天翼云上购买创建的物理机服务器资源，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制天翼云云服务资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并授权控制他们对天翼云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有物理机的使用权限，但是不希望他们拥有删除物理机等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用物理机，但是不允许删除物理机的权限，控制他们对物理机资源的使用范围。 如果天翼云帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用物理机服务的其它功能。 IAM是天翼云提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。 物理机权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 物理机部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如江苏苏州）对应的项目（cnjssz1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问物理机时，需要先切换至授权区域。 根据授权精度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于天翼云云服务平台各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对物理机服务，管理员能够控制IAM用户仅能对某一类物理机资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分。 物理机常用操作与系统权限的关系 如下表： 操作 物理机 FullAccess 物理机 CommonOperations 物理机 ReadOnlyAccess 创建物理机 √ x x 查看物理机列表 √ √ √ 查询物理机详情 √ √ √ 修改物理机名称 √ x x 启动物理机 √ √ x 关闭物理机 √ √ x 重启物理机 √ √ x 物理机挂载数据卷 √ √ x 物理机卸载数据卷 √ √ x 重装裸物理机操作系统 √ x x 一键重置物理机的密码 √ x x

本章节介绍如何创建敏感数据识别任务。 数据安全中心DSC将根据您创建的识别任务，自动识别敏感数据并生成识别数据和结果，自动识别的范围在选定的OBS桶、数据库、大数据或MRS。 在创建任务时，可以选择多个场景的规则组，实现为同一资产配置多个场景的扫描任务。 前提条件 已添加OBS、数据库或大数据源资产，具体操作请参见资产列表。 已创建敏感数据规则组，具体操作请参见新增敏感数据规则组。 操作步骤 1. 单击左上角的，选择区域或项目。 2. 在左侧导航树中，单击，选择“安全>数据安全中心”，进入数据安全中心总览界面。 3. 在左侧导航树中，选择“敏感数据识别 > 识别任务”，进入“识别任务”页面。 4. 在敏感数据任务列表的左上角，单击“新建任务”。 5. 在弹出的“新建任务”对话框中，配置任务基本信息，相关参数说明如下表所示。 参数 参数说明 取值样例 开启任务 是否开启敏感数据识别任务，系统默认开启任务。 任务名称 您可以自定义敏感数据识别任务名称。 任务名称需要满足以下要求： 1~255个字符。 字符可由中文、英文字母、数字、下划线或中划线组成。 任务名称不能与已有的任务名称重复。 数据类型 选择识别的数据类型。可多选。 OBS，添加OBS资产，参考添加OBS资产章节。 数据库，添加云数据库资产，参考添加云数据库章节。 大数据，添加大数据源资产，参考添加大数据源资产章节。 MRS，添加Hive资产，参考添加MRS资产。 数据库 识别规则组 选择识别任务需要使用的规则组，可多选。可参考新增敏感数据规则组章节创建规则组。 识别模式 选择检测任务的扫描模式： 快速识别：根据规则组进行扫描，实现数据分布快速识别。 全量识别：在规则组的基础上加入自然语义处理NLP能力，扫描速度相对较慢，识别率更高。 快速扫描 识别周期 选择任务的识别周期： 单次：根据设置的执行计划，在设定的时间执行一次该识别任务。 每天：选择该选项，需要设置“启动时间”，即在每天的固定时间执行该识别任务。 每周：选择该选项，需要设置“启动时间”，即在设定的时间以及每周这一时间点执行该识别任务。 每月：选择该选项，需要设置“启动时间”，即在设定的时间以及每月这一时间点执行该识别任务。 单次 执行计划 “扫描周期”选择“单次”时，显示该参数。 立即执行：选择该选项，保存后，可以在当前立即执行一次该识别任务。 定时启动：在指定时间执行一次该识别任务。 立即执行 启动时间 “扫描周期”选择“每天”、“每周”、“每月”时，显示该参数。 设置识别任务的具体启动时间。设置后，会在指定时间以及每天或者每周或者每月的该时间点执行一次识别任务。 通知主题 单击下拉列表选择已创建消息通知主题或者单击“查看通知主题”创建新的主题，用于配置接收告警通知的终端。 告警通知的具体操作请参见告警通知。 6. 单击“确定”，完成敏感数据识别任务的创建。

本节为Oracle RAC搭建最佳实践云网络资源创建进行说明。 VPC创建 VPC虚拟网络的创建，先设定VPC网段（演示中设定为192.168.0.0/16），子网配置中可以先将Oracle RAC的public network子网一并创建（示例中为192.168.0.0/24）。 继续为Oracle RAC创建private network子网（示例中为192.168.100.0/24）。 单击“下一步”后，确认创建信息无误，勾选“我已阅读”并单击“立即创建”按钮。 虚拟IP创建 进入已创建的public network子网 在公开服务子网中申请虚拟IP地址 申请的虚拟IP可以在绑定的实例之间浮动。 示例创建的是集群节点一的VIP地址：192.168.0.41 按相同流程操作，创建节点二的VIP地址：192.168.0.42 创建提供服务的SCAN IP：192.168.0.50

4.5钉钉机器人接入验证 配置好钉钉机器人的 Client ID 与 Client Secret后，在已接入通道列表确保您的钉钉通道已完成添加。 登录钉钉后，在顶部搜索栏中搜索机器人应用名称。 点击对应的应用，即可与该机器人进行对话，若机器人能正常以 AI 形式回复，即表示 OpenClaw 已成功接入钉钉机器人。 5.OpenClaw快速接入微信配置 5.1微信通道配置 登录天翼云官网，进入生态专区控制台。在应用管理我的应用中，选中对应的OpenClaw实例，点击进入应用详情页面。 进入应用配置 页签，在通道配置模块，选择通道名称为“微信”，选择配置方式为“快捷配置”，点击“扫码授权”。 说明 1、前置准备：请确保您的微信App版本已升级至最新版。 2、适用资源池范围：西南1、武汉41、长沙42、华南2、杭州7、华东1。 3、如该OpenClaw实例还未安装微信插件，请您点击“安装微信插件”进行插件安装，安装成功后再进行微信接入配置。 在弹出的页面中，使用微信APP的扫一扫功能完成扫码授权。 说明 1、为保证二维码正常显示，请确保所用浏览器未对弹出页面进行拦截； 2、若未弹出二维码获取页面，建议通过SSH密码方式登录云主机手动执行命令：openclaw channels login channel openclawweixin，获取页面访问地址。

本页主要介绍云容器引擎产品的API使用中password字段加密的方法。 涉及的OpenAPI包括：纳管节点 通过API创建节点时password字段需要进行加密处理，具体方法如下： Java 以下是Java环境下对密码进行加密的示例步骤： plaintext import javax.crypto.Cipher;import java.security.KeyFactory; import java.security.PublicKey; import java.security.spec.X509EncodedKeySpec; import java.util.Base64; public class PasswordEncryptDemo { public final static String publicKeyWord "MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCcX/slG/wUF6+qVw34VTW+gwFuVvHMHAPmu9jDn+jwED2A+i87CuYpvcjyYwPij41uS6SPZ/MSWDTO6f8/1YRs0Jbj1SIDNpRl/udTEbsPquFIqHSQSZsQseZS+j0HCAIwLUgMAJHW4AHw622Vgiirsm7gOY0qwnry1BmymiVXlQIDAQAB"; private static String encrypt(String password) throws Exception { Cipher cipher Cipher.getInstance("RSA"); PublicKey publicKey KeyFactory.getInstance("RSA").generatePublic(new X509EncodedKeySpec(Base64.getDecoder().decode(publicKeyWord))); cipher.init(Cipher.ENCRYPTMODE, publicKey); byte[] encrypts cipher.doFinal(password.getBytes("UTF8")); return Base64.getEncoder().encodeToString(encrypts); } public static void main(String[] args) throws Exception { String password "密码"; String encryptPassword encrypt(password); System.out.println(encryptPassword); }} GO 以下是GO环境下对密码进行加密的示例步骤： plaintext package mainimport ( "crypto/rand" "crypto/rsa" "crypto/x509" "encoding/base64" "encoding/pem" "fmt")const publicKeyword "BEGIN PUBLIC KEYnMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCcX/slG/wUF6+qVw34VTW+gwFuVvHMHAPmu9jDn+jwED2A+i87CuYpvcjyYwPij41uS6SPZ/MSWDTO6f8/1YRs0Jbj1SIDNpRl/udTEbsPquFIqHSQSZsQseZS+j0HCAIwLUgMAJHW4AHw622Vgiirsm7gOY0qwnry1BmymiVXlQIDAQABnEND PUBLIC KEY"func Encrypt(password string) string { publicKeywordByte : []byte(publicKeyword) block, : pem.Decode(publicKeywordByte) if block nil { fmt.Println("解析pem 失败") return "" } publicKeyInterface, error : x509.ParsePKIXPublicKey(block.Bytes) if error ! nil { fmt.Println("Failed to parse public key:", error) return "" } publicKey, ok : publicKeyInterface.(rsa.PublicKey) if !ok { fmt.Println("Public key is not type rsa.publicKey") return "" } ciphertext, err : rsa.EncryptPKCS1v15(rand.Reader, publicKey, []byte(password)) if err ! nil { fmt.Println("Encryption failed:", err) return "" } return base64.StdEncoding.EncodeToString(ciphertext)}func main() { fmt.Println(Encrypt("密码"))}

本节介绍云容器引擎的最佳实践:合理分配容器资源。 CPU和内存是节点重要的资源，分配不当时可能导致容器频繁重启或者被驱赶，甚至导致节点宕机。特别是内存这类不可压缩的资源。 Kubernetes 将运行的 Pod 分为不同的 QoS 类，QoS 类由 Pod 中容器的资源请求（request）和限制（limit）决定。当 Node 资源不足时，Kubernetes 会根据 QoS 类驱逐可驱逐的 Pod。此外，Pod 或因超过限制（limit）被 kubelet 终止，或因没有限制而导致节点 OOM。 Kubernetes QoS 类有Guaranteed、Burstable、BestEffort。 Guaranteed Guaranteed Pod 具有最严格的资源限制，且最不可能被驱逐。在这些 Pod 未超过其资源的limit，或没有可从 Node 抢占的低优先级 Pod 之前，它们不会被kill。即它们只能使用其指定的资源限制。Pod 被赋予 Guaranteed QoS 类的几个判断： Pod 中的每个容器必须有 CPU 和内存的 request 和 limit 对于 Pod 中的每个容器，CPU 和内存的 limit 必须分别等于 CPU 和内存的 request Burstable Burstable Pod 具有基于请求的资源下限保证，但不需要资源限制。如果未指定资源limit，则默认为节点容量。这允许 Burstable Pod 在资源可用时灵活地增加其资源。在由于节点资源压力导致 Pod 被驱逐的情况下，Burstable Pod 只会在所有 BestEffort Pod 被驱逐后才会被驱逐。Burstable Pod 可以包括没有资源 limit 或 request 的容器，因此可以尝试使用任意数量的节点资源。 Pod 不满足 QoS 类 Guaranteed 的判定依据 Pod 中至少一个容器有CPU或内存的 request 或 limit

本节介绍了:云容器引擎发布 Kubernetes 1.23版本说明。 社区 Kubernetes 版本主要变更 Kubernetes 1.23 Changelog 1. FlexVolume弃用，推荐使用 CSI。 2. IPv4/IPv6 双栈网络 GA，使用双栈网路非强制要求。 3. HorizontalPodAutoscaler v2版本 GA，HorizontalPodAutoscaler autoscaling/v2beta2 API已弃用，建议使用 autoscaling/v2。 4. 通用临时卷功能 GA，此功能允许存储驱动程序动态供应临时卷，其生命周期与 Pod一致。 5. 跳过卷所有权变更功能 GA，此功能允许用户在 Pod 挂载存储卷时跳过递归地权限变更，从而加速 Pod 启动 6. PodSecurity 升级到Beta，取代已经弃用的 PodSecurityPolicy。Kubernetes 1.23中 PodSecurity 默认启用 更多信息请参考：Kubernetes 1.23 Changelog Kubernetes 1.22 Changelog 1. Ingress将移除 extensions/v1beta1 和 networking.k8s.io/v1beta1，Ingress影响7层路由转发能力，推荐使用 networking.k8s.io/v1 2. 资源 ValidatingWebhookConfiguration和 MutatingWebhookConfiguration admissionregistration.k8s.io/v1beta1 API将不再支持，继续使用老版本API将影响 Webhook的正常运行，建议使用 admissionregistration.k8s.io/v1 3. 资源 CustomResourceDefinition apiextensions.k8s.io/v1beta1 API将不再支持，继续使用老板本 API创建 CRD，将影响 Controller 的调协，建议使用 apiextensions.k8s.io/v1 4. APIService apiregistration.k8s.io/v1beta1已弃用，APIService影响 APIServer aggregator的路由，推荐更新为 apiregistration.k8s.io/v1 5. Kubernetes 发版节奏从一年4次改为一年3次 更多信息请参考：Kubernetes 1.22 Changelog

云应用引擎深度集成了 MSE 服务的微服务治理功能，通过此功能，可以更高效的管理您的应用。 功能介绍 微服务治理功能介绍 CAE 通过无缝集成微服务引擎 MSE（Microservices Engine），提供了强大的微服务治理能力。它不仅支持服务发现和配置管理，还实现了无损上下线、流量治理、系统防护消息灰度、全链路追踪、智能熔断、降级策略、同可用区优先等功能，从而显著提升服务响应速度与稳定性，同时简化架构运维。基于这些能力，MSE能够确保您的微服务应用高效、稳定地运行。 无损上下线功能介绍 无损上线 对于任何一个线上应用来说，发布、扩容、缩容、重启等操作不可避免。在应用启动各阶段，无损上线能够提供相应的保护能力。微服务的 Provider 服务只要注册到注册中心即可被 Consumer 调用，但此时，Provider 可能还需要进一步的初始化，例如数据库连接池的初始化等。因此，对于流量比较大的微服务应用，推荐开启无损上线功能。 无损下线 线上应用在服务更新部署过程中，需要尽量保证客户端无感知，即从应用停止到重启恢复服务的阶段不能影响正常的业务请求。由于微服务应用自身调用特点，在高并发下，服务提供端应用实例的直接下线，会导致服务消费端应用实例无法实时感知下游实例的状态，因而出现继续将请求转发到已下线的实例，导致请求报错，进而造成流量损失。因此，在应用执行部署、停止、回滚、缩容和重置时，需要通过无损下线配置来保证应用正常关闭。

本实践将为您介绍如何使用未分配容量扩展逻辑卷的容量。 操作场景 当逻辑卷容量不能满足用户需求时，可以扩展逻辑卷的容量。 本指导假设您前期挂载了两个大小为10GB的数据盘，创建了一个卷组，并使用15GB创建了一个逻辑卷，还有5GB未分配的空间。此时逻辑卷容量已不能满足您的使用需求，需要从卷组未分配的容量为逻辑卷扩容4GB。 注意 在进行扩容时，请确保需要扩容的逻辑卷所在的卷组有足够的空闲空间。 操作步骤 1. 以root用户登录弹性云主机。 2. 执行 lvextend L +增加容量 逻辑卷路径，扩展逻辑卷的容量。其中，增加容量的值应小于组卷剩余可用空间大小，单位可以选择“MB”或“GB”；逻辑卷路径处填写待扩容的逻辑卷的路径。 此处执行命令lvextend L +4GB /dev/vgdata/lvdata，回显信息如图所示： 此时只是扩展的逻辑卷的容量，在其之上的文件系统也要随之进行扩展才能使用。 3. 执行 resize2fs 逻辑卷路径，扩展文件系统的容量。此处执行命令resize2fs /dev/vgdata/lvdata，回显信息如图所示： 4. 执行 df h 命令，查看文件系统容量是否增加。具体回显如图所示： 可以看到，文件系统“/dev/mapper/vgdatalvdata”的容量相比之前增加了4GB。

云应用引擎 CAE（Cloud App Engine）具有广泛的应用场景，帮助您的企业极速上云、从容应对突发性流量洪流和灵活启停应用环境，降低资源成本。 应用托管 在企业生产环境中，通过合理拆分微服务，将每个微服务应用压缩为 ZIP 包、Docker 镜像存储在天翼云镜像仓库。您只需基于 Spring Cloud 或 Dubbo 等框架开发规范迭代每个微服务应用，由 CAE 提供底层资源调度、部署、灰度发布、微服务治理和监控诊断等能力。同时提供丰富的高级应用配置项，实现业务快速迁移上云。 零改造：CAE 能够平滑迁移应用，零改造地完成 Spring Cloud 或 Dubbo 应用快速上云。 免运维：CAE 能够免运维底层基础设施，例如 IaaS、K8s、微服务组件和 APM 组件等，无需自建注册中心，极大降低开发运维成本。 低门槛：CAE 能够一站式开箱使用全套微服务能力，提供自动构建镜像、灰度发布、流量控制、环境隔离、应用监控等企业级高级特性。 任务托管 聚焦于泛互联网、新零售、电商、文化传媒、制造、 IoT、物流、金融证券、医疗卫健和保险等行业。主要场景如下： 定时任务：定时拉取数据、爬虫。 批处理数据：数据清洗、转换、分析，对实时性要求低。 异步执行解耦：异步状态刷新以及离线查询。 微服务架构：与原有的微服务架构进行调用通信、流程解耦。 相比开源的分布式框架，其优点在于全托管免运维的用户体验，开箱即用的完备功能以及白屏化管控，任务运行完立即释放资源，不会浪费闲置资源成本。

本节介绍云等保专区产品的漏洞扫描配置类问题。 漏扫扫描如何进行接入配置？ 1. 用户登录后先进行资产管理设置，添加资产，便于后续对资产进行扫描，在菜单栏选择“ 资产管理 > 资产列表 ”，选择主机资产页签，点击“新增”。 在弹出的新建主机资产对话框中编辑相关信息，点击“提交”。 2. 接着创建扫描策略，制定扫描策略模板，使扫描任务更具针对性，在菜单栏选择“ 模板中心 > 漏洞模板 ”，选择主机策略页签，点击“新增”。 进入新建主机策略模板页面，编辑策略模板名称，选择策略规则（策略规则从等级、目标、类型三个维度进行分类），勾选对应的策略，点击“提交”。 3. 然后创建扫描任务，开启扫描任务后对于主机漏洞进行扫描，在菜单栏选择“ 任务管理 > 任务列表 ”，进入任务列表页面，点击“新增”，页面跳转至创建任务页面，具体操作请参见创建任务。 4. 最后扫描结束后，导出扫描报告，针对扫描结果分析资产安全风险，菜单栏选择“报告管理”，进入报告管理页面，点击“新增”。 进入新建报告页面，编辑相关信息，点击“输出报告”。

关闭自动根证书更新（V3.3.26.0） 升级到V3.3.26.0及以上的版本需要执行该操作，“V3.3.26.0”之前的版本不执行本章节的相关操作。 1 选择“管理模板 > 系统 > Internet 通信管理”，进入“Internet 通信管理”页面。 2 双击“关闭自动根证书更新”，打开设置窗口。 3 勾选“已启用”，启用关闭自动根证书更新。 4 单击“确定”，完成设置。 关闭自动根证书更新 证书路径验证设置（V3.3.26.0） 升级到V3.3.26.0及以上的版本需要执行该操作，“V3.3.26.0”之前的版本不执行本章节的相关操作。 1 选择“Windows设置 > 安全设置 > 公钥策略”，进入对象类型页面。 2 双击“证书路径验证设置”，打开设置窗口。 3 选择“网络检索”页签。 4 取消勾选“自动更新Microsoft根证书程序中的证书(推荐)(M)”。 “默认URL检索超时(以秒为单位)”的值设置为“1”。 5 单击“确定”，完成设置。 证书路径验证设置 刷新策略 1 关闭本地组策略编辑器，选择“开始 > 运行”，执行 gpupdate /force 。 2 刷新本地策略。 3 应用发布服务器部署完成，需要测试功能请将此服务器添加到云堡垒机。 安装RemoteApp程序 V3.3.26.0及以上版本需要在应用发布服务器中安装RemoteAppProxy跳板工具。

问题描述 在升级Linux内核后，用户可能会遇到NVIDIA驱动不可用的问题。这种情况通常表现为以下错误信息： 错误1：执行 nvidiasmi 时出现以下错误： 错误信息： Failed to initialize NVML: Driver/library version mismatch 说明： 该错误表示NVIDIA驱动和库版本不匹配，通常是因为内核升级后旧版驱动不再适用于新内核。 错误2： 执行 nvidiasmi 时出现以下错误： 错误信息： NVIDIASMI has failed because it couldn't communicate with the NVIDIA driver 说明： 该错误表示NVIDIA驱动未正确加载或未安装，导致无法与NVIDIA硬件进行通信。 解决方法 1.检查当前内核版本 uname r 2.查看安装驱动时的内核版本 RedHat系（CentOS）系统执行 find /usr/lib/modules name nvidia.ko Debian类（Ubuntu）系统执行 find /lib/modules name nvidia.ko 如果当前内核版本与安装驱动时的内核版本不一致，则确认为内核升级后导致的驱动不可用。 3.移除现有NVIDIA驱动模块 依次执行以下命令，以确保所有与NVIDIA相关的驱动模块已被移除： rmmod nvidiadrm rmmod nvidiamodeset rmmod nvidia 4.查看GPU信息 执行以下命令以查看当前GPU的状态： nvidiasmi 5.检查回显结果 如果命令输出正常，且能够显示GPU信息，则问题已修复。 如果输出仍然报错，请参考以下步骤进行进一步处理。 如果业务依赖于新版本内核，则需要参考官方文档卸载当前驱动，并在该内核下重新安装驱动。 如果不小心升级了内核驱动，而当前的驱动与新版本内核不兼容，可以通过重启云主机并使用旧版本内核登录，从而恢复驱动的正常运行。

信息的获取 云网平台获取 登录云网门户，在“控制台”>“个人中心”>“ 第三方账号绑定 ”，通过创建或者查看获取ak，sk。 基本签名流程 ctyuneopak/ctyuneopsk基本签名流程 1、待签字符串：使用规范请求和其他信息创建待签字符串; 2、计算密钥：使用HEADER、ctyuneopsk、ctyuneopak来创建Hmac算法的密钥; 3、计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名； 4、签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 创建待签名字符串 待签名字符串的构造规则 待签名字符串 需要进行签名的Header排序后的组合列表 + "n" + 排序的query + "n" + toHex(sha256(原封的body)) 排序的header例子： 假设您需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是： ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n ctyuneoprequestid、eopdate和host的排序就是这个顺序，如果您加入一个ccad的header；同时这个header也要是进行签名,则待签名的header组合： ccda:123n ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n 构造动态密钥 发起请求时，需要构造一个eopdate的时间，这个时间的格式是yyyymmddTHHMMSSZ;言简意赅一些，就是年月日T时分秒Z。 1、先是拿您申请来的ctyuneopsk作为密钥，eopdate作为数据，算出ktime； 2、拿ktime作为密钥，您申请来的ctyuneopak数据，算出kAk； 3、拿kAk作为密钥，eopdate的年月日值作为数据，算出kdate。

本文主要介绍工作负载概述。 工作负载是在Kubernetes上运行的应用程序。无论您的工作负载是单个组件还是协同工作的多个组件，您都可以在Kubernetes上的一组Pod中运行它。在Kubernetes中，工作负载是对一组Pod的抽象模型，用于描述业务的运行载体，包括Deployment、Statefulset、Daemonset、Job、CronJob等多种类型。 云容器引擎CCE提供基于Kubernetes原生类型的容器部署和管理能力，支持容器工作负载部署、配置、监控、扩容、升级、卸载、服务发现及负载均衡等生命周期管理。 Pod Pod是Kubernetes创建或部署的最小单位。一个Pod封装一个或多个容器（container）、存储资源（volume）、一个独立的网络IP以及管理控制容器运行方式的策略选项。 Pod使用主要分为两种方式： Pod中运行一个容器。这是Kubernetes最常见的用法，您可以将Pod视为单个封装的容器，但是Kubernetes是直接管理Pod而不是容器。 Pod中运行多个需要耦合在一起工作、需要共享资源的容器。通常这种场景下应用包含一个主容器和几个辅助容器（SideCar Container），例如主容器为一个web服务器，从一个固定目录下对外提供文件服务，而辅助容器周期性的从外部下载文件存到这个固定目录下。 图 Pod 实际使用中很少直接创建Pod，而是使用Kubernetes中称为Controller的抽象层来管理Pod实例，例如Deployment和Job。Controller可以创建和管理多个Pod，提供副本管理、滚动升级和自愈能力。通常，Controller会使用Pod Template来创建相应的Pod。

本文为您介绍如何通过快照对OpenSearch实例进行恢复。 利用已有快照通过恢复功能将实例恢复至指定快照状态 约束限制 1. 仅限恢复至当前实例或同一资源池内实例，不支持跨资源池恢复。 2. 实例正在恢复中时不支持重启、删除当前实例，也不支持删除正在恢复的快照。 前提条件 快照列表中快照状态为“已生成”，实例状态为“运行中”。 操作步骤 1. 登录云搜索服务控制台，进入实例管理列表页，选择需要恢复的实例，进入实例详情，在备份管理的快照列表中找到需要恢复的快照，点击“备份恢复”。 2. 选择要恢复的目标实例，目标实例须在运行中，不能正在执行处理任务或异常状态。 3. 填写恢复的参数，支持全部实例恢复和指定部分索引恢复。指定索引恢复时，需要先确保实例中没有同名称的索引存在。支持使用“”匹配多个索引，例如“index ”表示备份名称前缀时index的所有索引数据。 4. 支持对恢复的索引进行重命名，请填写重命名匹配模式的正则表达式，在恢复时，将根据文本框中定义的过滤条件去筛选快照中符合条件的索引。同时，您需要填写重命名替换模板，将根据上述匹配到的索引以您指定的规则模版进行重命名恢复。填写框支持0～1024个字符，不支持大写字母、空格以及字符" /?。 5. 单击确定开始恢复，当恢复信息对应记录变为“已完成”即恢复成功，您可通过索引管理查看对应索引的恢复情况。

本文为您介绍如何通过配置管道信息，从指定数据源（input）迁移数据到目标目的端（output）。 Logstash实例通过配置管道定义数据处理方案，从指定的数据源（input）迁移数据到目标目的端（output）。 约束限制 创建的管道文件大小不能超过50KB。 前提条件 创建管道前，必须先获取数据源和目的端的服务器或集群信息，例如IP地址、用户名、密码等。 创建管道 1. 登录云搜索服务管理控制台。 2. 左侧导航栏选择“Logstash实例管理”，进入实例列表页面。 3. 在实例列表，单击实例名称，进入实例基本信息页面，在左侧导航栏选择“管道管理”，进入管道管理页面。 4. 单击右上角“新建管道”，进入新建管道页面，编辑管道文件&参数。 参数 说明 管道名称 自定义管道名称，实例内不可重复 管道描述 作业管道的描述信息，非必填 管道工作线程数 并行执行管道的Filters和Outputs阶段的工作线程数。 管道批处理大小 每个批次处理的最大事件数量 管道批处理延迟 当管道批处理大小不满足时，每个批次最大的等待时间，单位为毫秒 队列类型 用于事件缓冲的排队模型，可选值为： memory：基于内存的队列 persisted：基于磁盘的持久化队列 队列最大字节数 当选择 persisted 队列类型时，队列中可存放的最大字节数量，需确保该值小于实例单节点的磁盘容量 队列检查点写入数 当选择 persisted 队列类型时，在强制执行检查点时已写入的最大的事件数量，若设置为0，则表示无限制 编辑完成的管道需要单击保存或者保存并部署，部署后的管道才会生效。