本章节主要描述私有镜像。 私有镜像为用户自己创建的镜像，包含操作系统或业务数据、预装的公共应用以及用户的私有应用，仅用户个人可见。您可以通过以下方式创建私有镜像： 通过物理机服务器创建私有镜像 说明 当前仅支持快速发放型物理机服务器（操作系统安装在云硬盘中）来创建私有镜像。 通过外部镜像文件创建私有镜像 用户可以上传外部镜像文件并将镜像注册到云平台上，成为自己的私有镜像。目前支持的外部镜像文件格式包括：VMDK、VHD、QCOW2、RAW、VHDX、QED、VDI、QCOW、ZVHD2和ZVHD。 说明 其他格式的镜像文件需要预先使用工具转换镜像格式后，才能运行在物理机服务器。当您成功创建私有镜像后，镜像的状态为“正常”。此时，您可以使用该镜像新建物理机服务器实例，也可以将其共享给其他用户，还可以复制到您帐号下的其他区域。

参数名称 是否必填 参数说明 沙箱类型 是 智能体引擎支持基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱5种沙箱类型。 模板名称 是 沙箱模板名称用户內唯一。 模板名称规则 ： 以字母开头，可包含字母、数字、下划线和连字符，且长度不超过32个字符。 描述 否 沙箱模板的描述。 镜像来源 是 镜像来源有2种，默认镜像和自定义镜像。默认镜像为智能体引擎服务提供的内置镜像；自定义镜像需要您依次选择 容器镜像实例 、 容器镜像仓库 和 容器镜像版本 。 规格方案 是 沙箱CPU和内存规格，目前支持多种规格。 临时磁盘大小 是 沙箱使用的临时磁盘大小，目前只支持512MB规格。 环境变量 否 沙箱中的环境变量以键值对的方式存储。 环境变量名规则 ：以字母开头，只能包含字母、数字和下划线，长度3256个字符，且不能以AGE开头。 执行超时时间 是 沙箱实例在创建后可运行的最长时间，超时将自动销毁。规格有多种，最短1分钟，最长为6小时，也可以创建永久常驻的沙箱实例。 访问凭证 否 访问沙箱实例入站凭证，目前支持API Key、Basic Auth和JWT3种类型。 执行角色 否 沙箱中需要访问天翼云资源，该角色生成的临时AK和临时SK会设置到环境变量中。 AGECTYUNACCESSKEY：如果沙箱模板中配置了执行角色，选择的角色的临时AK会放在该环境变量。 AGECTYUNSECRETKEY：如果沙箱模板配置了执行角色，选择的角色的临时SK会放在该环境变量。 网络配置 是 沙箱中访问公网和VPC。 访问公网 ：允许沙箱访问公网服务。 访问VPC ：允许沙箱访问您VPC下的天翼云资源。访问VPC需要选择VPC和子网，并且支持配置黑白名单。 ZOS挂载 否 沙箱中挂载天翼云对象存储ZOS，最多支持5个挂载点。 ZOS挂载点 ：对象存储Bucket名称。 Bucket子目录 ：设置Bucket中的子目录，必须为绝对路径。设置为/表示挂载Bucket的根目录。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。 沙箱本地目录权限 ：选择Bucket挂载到沙箱运行环境中的本地目录后，该目录的访问权限。支持设置为只读或读写权限。 NAS挂载 否 沙箱中挂载天翼云弹性文件服务SFS，最多支持5个挂载点，必须开启网络配置中的VPC访问，且弹性文件服务SFS和网络配置同VPC。 弹性文件服务 ：选择已创建的SFS文件系统实例。 VPCE挂载地址 ：选择SFS文件系统实例下的VPCE挂载地址。 远端目录 ：远端SFS中的目录是指位于SFS文件系统中的绝对目录，以/开头。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。

参数名称 是否必填 参数说明 沙箱类型 是 智能体引擎支持基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱5种沙箱类型。 模版名称 是 沙箱模板名称用户內唯一。 模版名称规则 ： 以字母开头，可包含字母、数字、下划线和连字符，且长度不超过32个字符。 描述 否 沙箱模板的描述。 镜像来源 是 镜像来源有2种，默认镜像和自定义镜像。默认镜像为智能体引擎服务提供的内置镜像；自定义镜像需要您依次选择 容器镜像实例 、 容器镜像仓库 和 容器镜像版本 。 规格方案 是 沙箱CPU和内存规格，目前支持多种规格。 临时磁盘大小 是 沙箱使用的临时磁盘大小，目前只支持512MB规格。 环境变量 否 沙箱中的环境变量以键值对的方式存储。 环境变量名规则 ：以字母开头，只能包含字母、数字和下划线，长度3256个字符，且不能以AGE开头。 执行超时时间 是 沙箱实例在创建后可运行的最长时间，超时将自动销毁。规格有多种，最短1分钟，最长为6小时，也可以创建永久常驻的沙箱实例。 访问凭证 否 访问沙箱实例入站凭证，目前支持API Key、Basic Auth和JWT3种类型。 执行角色 否 沙箱中需要访问天翼云资源，该角色生成的临时AK和临时SK会设置到环境变量中。 AGECTYUNACCESSKEY：如果沙箱模板中配置了执行角色，选择的角色的临时AK会放在该环境变量。 AGECTYUNSECRETKEY：如果沙箱模板配置了执行角色，选择的角色的临时SK会放在该环境变量。 网络配置 是 沙箱中访问公网和VPC。 访问公网 ：允许沙箱访问公网服务。 访问VPC ：允许沙箱访问您VPC下的天翼云资源。访问VPC需要选择VPC和子网，并且支持配置黑白名单。 ZOS挂载 否 沙箱中挂载天翼云对象存储ZOS，最多支持5个挂载点。 ZOS挂载点 ：对象存储Bucket名称。 Bucket子目录 ：设置Bucket中的子目录，必须为绝对路径。设置为/表示挂载Bucket的根目录。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。 沙箱本地目录权限 ：选择Bucket挂载到沙箱运行环境中的本地目录后，该目录的访问权限。支持设置为只读或读写权限。 NAS挂载 否 沙箱中挂载天翼云弹性文件服务SFS，最多支持5个挂载点，必须开启网络配置中的VPC访问，且弹性文件服务SFS和网络配置同VPC。 弹性文件服务 ：选择已创建的SFS文件系统实例。 VPCE挂载地址 ：选择SFS文件系统实例下的VPCE挂载地址。 远端目录 ：远端SFS中的目录是指位于SFS文件系统中的绝对目录，以/开头。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。

Linux没有ROOT权限能否进行迁移？ 不可以。 若不使用root用户启动迁移agent进行迁移，agent执行迁移操作时会因权限问题无法访问或读取系统相关文件，导致迁移无法进行。 CMS会收集迁移源哪些信息？ 为了给您提供更准确、更优质的服务，可能会以如下方式，采集并使用您提供的信息，平台侧在使用信息时会遵守用户隐私协议。 隐私数据采集：从服务的基本要求出发，平台在此环节会采集的主机信息，包括以下几点： 采集项 采集内容 基本信息 上线时间 Agent信息 主机类型、Agent版本 主机信息 主机名、固件类型、主机存活时间、主机系统、系统类型、系统版本、内核版本、cpu架构、用户权限、系统目录、文件系统。 IP信息 网卡信息、网卡名、网卡ipv4 、网卡ipv6 处理器信息 处理器名、处理器内核总数、处理器频率、处理器缓存 硬盘信息 磁盘名、磁盘分区格式、已用空间、磁盘大小（MB） 内存信息 总内存（MB）、剩余内存（MB）、内存使用率 如何选择迁移目标端镜像？ 在创建云主机或重装系统时，选择Linux/Windows云迁移专用镜像（云迁移专用镜像在云镜像市场而非公共镜像中）。

服务名称 如何使用 对象存储服务支持普通方式和服务端加密方式上传和下载对象。当用户使用服务端加密方式上传对象时，数据会在服务端加密成密文后安全地存储在对象存储服务中；用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。对象存储服务支持KMS托管密钥的服务端加密方式（即SSEKMS加密方式），该加密方式是通过KMS提供密钥的方式进行服务端加密。 在创建云硬盘时，用户启用云硬盘的加密功能，系统将使用用户主密钥产生的数据密钥对磁盘进行加密，则在使用该云硬盘时，存储到云硬盘的数据将会自动加密。 用户通过外部镜像文件创建私有镜像时，可启用私有镜像加密功能，选择KMS提供的用户主密钥对镜像进行加密。 用户通过弹性文件服务创建文件系统时，选择KMS提供的用户主密钥对文件系统进行加密，当使用该文件系统时，存储到文件系统的文件将会自动加密。 在购买数据库实例时，用户启用数据库实例的磁盘加密功能，选择KMS提供的用户主密钥对数据库实例的磁盘进行加密，选择磁盘加密后会提高数据的安全性。 在购买文档数据库实例时，用户启用文档数据库实例的磁盘加密功能，选择KMS提供的用户主密钥对文档数据库实例的磁盘进行加密，选择磁盘加密后会提高数据的安全性。

本章节主要介绍了什么是物理机和物理机产品架构,以及与自建物理机、云主机的功能对比。 天翼云物理机服务（CTDPS，Dedicated Physical Server）是一款兼具弹性云主机和物理机性能的计算类服务，为您及您的企业提供专属独享的物理机服务，为核心数据库、关键应用系统、高性能计算、大数据等业务提供卓越的计算性能以及数据安全，满足核心应用对高性能及稳定性的需求。同时，可实现与弹性云主机混合组网，为用户提供灵活的业务部署方案。 产品架构 天翼云物理机通过和其他服务组合，可以实现计算、存储、网络、镜像安装等功能： 在不同可用区中部署（可用区之间通过内网连接）物理机，部分可用区发生故障后不会影响同一区域内的其他可用区。 可以通过虚拟私有云建立专属的网络环境，设置子网、安全组，并通过弹性公网IP实现外网链接。 通过镜像服务，可以对物理机安装镜像，也可以通过私有镜像批量创建物理机，实现快速部署业务。 通过云硬盘服务实现数据存储，并通过云硬盘备份服务实现数据的备份和恢复。 云监控是保持物理机服务器可靠性、可用性和性能的重要部分，通过云监控，用户可以观察物理机服务器资源。 云备份提供对云硬盘和物理机的备份保护服务，支持基于快照技术的备份服务，并支持利用备份数据恢复服务器和磁盘的数据。

本章节主要介绍如何通过私有镜像创建天翼云物理机服务器。 操作场景 如果您要创建一台物理机服务器，与现有的某台服务器拥有完全相同的操作系统和应用软件，那么您可以使用该服务器创建私有镜像，并根据这个私有镜像创建服务器。采用此方法可以节省您重复配置服务器的时间，提高交付效率。 背景信息 您需要使用以下任意一种方式创建私有镜像： 通过物理机服务器创建私有镜像 通过外部镜像文件创建私有镜像 操作步骤 您可以按照创建物理机服务器中的操作指导创建物理机服务器。 在配置参数时，需要注意以下两点： 区域：必须选择私有镜像所在的区域。 规格：不同物理机服务器规格所支持的操作系统有所差异，请参考物理机服务器类型与支持的操作系统版本并根据私有镜像的操作系统来选择规格。 镜像：选择“私有镜像”或“共享镜像”，并在下拉列表中选择需要的镜像。 磁盘：如果所选规格支持快速发放，那么系统盘在设置时，建议将容量调大2GB以上。

参数名称 是否必填 参数说明 沙箱类型 是 智能体引擎支持基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱5种沙箱类型。 模板名称 是 沙箱模板名称用户內唯一。 模板名称规则 ： 以字母开头，可包含字母、数字、下划线和连字符，且长度不超过32个字符。 描述 否 对于沙箱模板的描述。 镜像来源 是 镜像来源有2种，默认镜像和自定义镜像。默认镜像为智能体引擎服务提供的内置镜像；自定义镜像需要您依次选择 容器镜像实例 、 容器镜像仓库 和 容器镜像版本 。 浏览器类型 是 目前只支持Chromium类型。 窗口分辨率 是 浏览器沙箱中VNC窗口分辨率，目前只支持12801024规格。 规格方案 是 沙箱CPU和内存规格，目前支持多种规格。 临时磁盘大小 是 沙箱使用的临时磁盘大小，目前只支持512MB规格。 环境变量 否 沙箱中的环境变量以键值对的方式存储。 环境变量名规则 ：以字母开头，只能包含字母、数字和下划线，长度3256个字符，且不能以AGE开头。 执行超时时间 是 沙箱实例在创建后可运行的最长时间，超时将自动销毁。规格有多种，最短1分钟，最长为6小时，也可以创建永久常驻的沙箱实例。 访问凭证 否 访问沙箱实例入站凭证，目前支持API Key、Basic Auth和JWT3种类型。 执行角色 否 沙箱中需要访问天翼云资源，该角色生成的临时AK和临时SK会设置到环境变量中。 AGECTYUNACCESSKEY：如果沙箱模板中配置了执行角色，选择的角色的临时AK会放在该环境变量。 AGECTYUNSECRETKEY：如果沙箱模板配置了执行角色，选择的角色的临时SK会放在该环境变量。 网络配置 是 沙箱中访问公网和VPC。 访问公网 ：允许沙箱访问公网服务。 访问VPC ：允许沙箱访问您VPC下的天翼云资源。访问VPC需要选择VPC和子网，并且支持配置黑白名单。 ZOS挂载 否 沙箱中挂载天翼云对象存储ZOS，最多支持5个挂载点。 ZOS挂载点 ：对象存储Bucket名称。 Bucket子目录 ：设置Bucket中的子目录，必须为绝对路径。设置为/表示挂载Bucket的根目录。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。 沙箱本地目录权限 ：选择Bucket挂载到沙箱运行环境中的本地目录后，该目录的访问权限。支持设置为只读或读写权限。 NAS挂载 否 沙箱中挂载天翼云弹性文件服务SFS，最多支持5个挂载点，必须开启网络配置中的VPC访问，且弹性文件服务SFS和网络配置同VPC。 弹性文件服务 ：选择已创建的SFS文件系统实例。 VPCE挂载地址 ：选择SFS文件系统实例下的VPCE挂载地址。 远端目录 ：远端SFS中的目录是指位于SFS文件系统中的绝对目录，以/开头。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。

什么是插件修复配置？ 安装Agent插件后，修复插件配置为用户提供了一键配置 AK/SK 、RegionID 、ProjectId的功能，省去了繁琐的手动配置步骤，提升配置效率。 怎样让新购ECS实例中带有操作系统监控功能？ 操作场景 本章节指导用户如何让新购买的ECS实例带有操作系统监控功能。 说明 制作的私有镜像不可跨Region使用，因为跨Region使用私有镜像创建的ECS实例无法取得监控数据。 前提条件 已有安装Agent的ECS实例。 操作步骤 1. 进入ECS控制台的实例管理页面，单击该实例右侧的“更多 > 关机”，将已安装Agent的ECS实例关机。 2. 单击该实例右侧的“更多 > 镜像/磁盘/备份 > 创建镜像”。 3. 将私有镜像名称设置为“Imagewithagent”，单击“立即创建”。 4. 购买新的ECS时选择创建的私有镜像“”。 5. 创建ECS实例后，登录ECS，修改Agent配置文件（/usr/local/telescope/bin/conf.json）中的InstanceId为对应ECS的ID，即可完成复制流程，如下图所示。 图 修改Agent配置文件 如何查询当前正在使用的Agent版本？ 您可以通过登录管理控制台查询当前云主机的Agent版本，详细操作步骤如下： 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 在服务列表中选择“云监控服务”。 进入云监控服务页面。 4. 在左侧导航栏选择“主机监控 > 弹性云主机”。 进入主机监控页面。 5. 单击资源所在行的“更多 > 修改升级方式”。 说明 只有“插件状态”是“运行中”的资源才可以选择修改升级方式。 6. 查看“当前版本”配置项。 例如，“当前版本”显示1.1.4时，表示当前云主机安装的Agent版本为1.1.4版本。

本页面主要介绍在专属云（独享计算）中云审计服务的使用和查看方法 操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： ● 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 ● 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 ● 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 ● 用户通过云审计能查询到多久前的操作事件：7天。 ● 用户操作后多久可以通过云审计查询到数据：5分钟。 ● 其它限制请参考使用限制云审计。 关键操作列表 操作事件 字段 云主机创建 createserver 云主机开机 startserver 云主机关机 stopserver 云主机重启 restartserver 云主机重装 rebuildserver 云主机删除 deleteserver 云主机重置密码 changeserverpassword 云主机变配 resizeserver 挂载云硬盘 attachvolume 卸载云硬盘 detachvolume 更改安全组 updatefirewall 删除安全组 deletefirewall 绑定弹性网卡 addnic 解绑弹性网卡 removenic 创建密钥对 createkeypair 删除密钥对 deletekeypair 创建私有镜像 createprivateimage 共享私有镜像 shareimage 取消共享私有镜像 cancelshareimage 删除私有镜像 deleteprivateimage 修改私有镜像 updateprivateimage

本文介绍了如何在科研助手中使用Qwen3模型服务。 概述 阿里巴巴开源新一代通义千问模型Qwen3，参数量仅为DeepSeekR1的1/3，成本大幅下降，性能全面超越R1、OpenAIo1等全球顶尖模型，登顶全球最强开源模型。Qwen3是国内首个“混合推理模型”，“快思考”与“慢思考”集成进同一个模型，对简单需求可低算力“秒回”答案，对复杂问题可多步骤“深度思考”，大大节省算力消耗。 当前在科研助手的社区镜像中，我们已经为您提前部署好了完整的服务，模型参数覆盖8b、14b、32b、235b，方便您即刻体验，开箱即用。 前置说明 1. 该文档为在科研助手中使用Qwen3模型服务。 2. 本产品中的模型由第三方主体提供，尽管天翼云公司已尽最大努力进行识别和维护，但仍无法保证模型的可用性。请客户按照该产品的服务协议使用该产品，做好甄别并对自行选择的服务负责. 环境准备 步骤1：进入科研助手控制台，点击左上角，切换“科研版”； 步骤2：点击当前科研版"概览"页，点击快捷入口【找应用】，进入应用商城； 步骤3：在“应用商城”中，找到名为“Qwen3全参数模型”的镜像，点击【使用此镜像】，进入开发机购买界面； 步骤4：在购买页面中，【基础信息】【主机规格】一栏，用户可以按照如下配置选择： 说明 目前镜像支持的可用区有：福州6、贵阳2、中卫4； 中卫4支持运行235b，其余可用区可以运行8b、14b、32b。 配置 算力型号 可用区 说明 ::: 最低配置 NVIDIA A10 福州6 推荐配置 GPU.gn4.2xl1 贵阳2 最高配置 NVIDIA A100 40G 中卫4 可运行235b 这里以可用区贵阳2的GPU.gn4.2xl为例，可以看到，【镜像框架】中框架版本已默认选好【社区镜像】的“openwebuiqwen3pubdataset”，其余【计费模式】、【可用区】等可按照实际需要选择。 步骤5：点击【确认订单】，完成开发机创建并启动。

“创建快照失败”怎么办？ 问题描述 迁移过程中提示“SMS.1904 创建快照失败”。 问题分析 Windows迁移在迁移数据前会使用VSS模块制作快照以保证数据在同一时间点，如果源端VSS模块存在问题，会导致快照制作失败。跳过制作快照可能会导致迁移时目的端与源端数据不在同一时间点，目的端业务可能无法正常启动。可以在源端没有业务时停止源端软件运行，然后执行同步操作，这样就能保证目的端和源端数据在同一时间点。 处理步骤 1. 打开源端Agent config目录。Python3版本为：C:SMSAgentPy3config，Python2版本为：C:SMSAgentPy2config。 2. 打开 gproperty.cfg文件，将 enablesnapshot参数改成 False。然后重启迁移任务，这样迁移任务将跳过制作快照。 如何处理“挂载分区XXX到目录XXX失败”？ 问题描述 Linux文件级迁移过程中，在任务详情页面显示迁移失败，失败原因为：“sms.3205 挂载分区 /dev/vdc1到目录 /mnt/vdc1失败”。 问题分析 源端存在文件系统不在兼容列表范围内，导致无法成功挂载。 解决方案 检查源端文件系统类型，目前主机迁移服务支持的Linux文件系统类型包括：ext2，ext3、ext4、xfs、vfat、btrfs。reiserfs等文件系统暂不支持。 对于不支持的文件系统，可以将文件拷贝到其他文件系统，然后卸载不支持的文件系统后再进行迁移。 如果源端服务器不方便上述操作，您可以采用以下方式： 使用镜像服务，通过外部镜像文件创建Windows系统盘镜像或通过外部镜像文件创建Linux系统盘镜像。 不迁移源端服务器，直接使用公有镜像或市场镜像创建目的端服务器，然后重新部署源端服务器的应用。 使用甄选商城上云迁移专家服务。

部署在云应用引擎 CAE（Cloud App Engine）上的应用运行时，可能会出现 Pod 问题。本文介绍常见的 Pod 问题和解决方法。 ImagePullBackOff 当 CAE 无法获取到 Pod 中某个容器的镜像时，将出现此错误。 可能原因： 镜像名称无效，例如镜像名称拼写错误、镜像不存在。 镜像标签无效，例如标签拼写错误、标签不存在。 镜像属于私有仓库。 解决方案： 更正镜像名称与标签。 将镜像上传至天翼云镜像仓库。 CrashLoopBackOff 如果容器无法启动，出现此错误。 可能原因： 应用程序中存在错误，导致无法启动。 未正确配置容器。 Liveness探针失败太多次。 解决方案： 您可以通过查看实时日志和事件分析失败原因，并修改相关配置。 处于未就绪状态的Pod 如果Pod正在运行但未就绪（not ready），则表示 Readiness 就绪探针失败。 可能原因： 当“就绪”探针失败时，Pod未连接到服务，并且没有流量转发到该实例。 解决方案： 登录Webshell，执行您自定义的就绪探针命令，查看 Pod 是否正常运行。如果不正常，您可以通过实时日志或事件对其进行分析。

部署在云应用引擎 CAE（Cloud App Engine）上的应用运行时，可能会出现 Pod 问题。本文介绍常见的 Pod 问题和解决方法。 ImagePullBackOff 当 CAE 无法获取到 Pod 中某个容器的镜像时，将出现此错误。 可能原因： 镜像名称无效，例如镜像名称拼写错误、镜像不存在。 镜像标签无效，例如标签拼写错误、标签不存在。 镜像属于私有仓库。 解决方案： 更正镜像名称与标签。 将镜像上传至天翼云镜像仓库。 CrashLoopBackOff 如果容器无法启动，出现此错误。 可能原因： 应用程序中存在错误，导致无法启动。 未正确配置容器。 Liveness探针失败太多次。 解决方案： 您可以通过查看实时日志和事件分析失败原因，并修改相关配置。 处于未就绪状态的Pod 如果Pod正在运行但未就绪（not ready），则表示 Readiness 就绪探针失败。 可能原因： 当“就绪”探针失败时，Pod未连接到服务，并且没有流量转发到该实例。 解决方案： 登录Webshell，执行您自定义的就绪探针命令，查看 Pod 是否正常运行。如果不正常，您可以通过实时日志或事件对其进行分析。

积极使用安全特性 使用增强计算实例 对于高安全可信要求的业务场景，可选用可信云主机。可信云主机以可信虚拟化技术（vTPM）为可信根，构建从系统启动到应用运行的信任链，实现远程证明机制，为用户提供从启动到运行阶段的全方位可信保障，降低系统或软件被篡改带来的安全风险。 使用安全镜像 1.使用官方提供的公共镜像CTyunOS。CTyunOS公共镜像将定期更新修复镜像里的漏洞，降低被攻击的风险，保护数据安全，确保业务连续性。 2.对于高安全要求场景，建议使用加密私有镜像。使用KMS对镜像进行加密，避免镜像丢失后数据泄露风险。您可选择创建加密的系统盘、数据盘，如果云盘是加密云盘，使用该云盘创建的镜像也是加密镜像，或者在对已有的未加密镜像拷贝时选择加密，生成的新镜像为加密镜像。如果私有加密镜像需要共享给其他天翼云账号时，建议用户对加密镜像进行解密复制后，共享解密后的镜像，避免KMS密钥泄露导致安全风险。 使用云盘数据加密 在创建云服务器或单独创建云盘时，可勾选加密选项开启云盘加密功能。云盘加密采用行业标准加密算法，由天翼云自研密钥管理服务提供密钥支持，加密过程对用户透明，无需用户自建密钥管理基础设施，能有效保护云盘数据隐私与安全。 善用云主机备份 云主机备份是一种非常重要的数据保护和恢复措施，适用于政府、金融等对数据安全性要求较高的客户，可以在各种场景下快速恢复数据，防止因意外、事故、黑客攻击或病毒入侵等导致的数据丢失。在面临黑客攻击或病毒入侵的情况下，通过备份，可以立即恢复到最近一次没有受到黑客攻击或病毒入侵的备份时间点。这将消除黑客或病毒对数据和系统造成的损害，让系统恢复到正常运行状态，同时避免进一步扩散和数据丢失。数据误删是一个常见但严重的问题，通过云主机备份，可以迅速找回被删除的数据。备份允许立即恢复到删除前的备份时间点，确保数据的完整性和可用性，从而避免因误操作而导致的数据丢失或业务中断。当云主机遭遇宕机时，业务可能会受到严重影响。通过备份，可以迅速恢复到宕机之前的备份时间点，使云主机能够再次正常启动。这将减少业务中断时间，恢复服务，并降低损失的可能性。 使用服务器安全卫士 在创建云主机时或云主机使用过程中，可开通服务器安全卫士。服务器安全卫士能全面识别并管理服务器中的信息资产、实时监测服务器风险并阻止非法入侵行为，当发现服务器出现安全问题时，第一时间发出告警通知。主要包括资产清点、漏洞扫描、入侵检测、基线检查、弱口令检测、病毒查杀、文件防勒索等功能，有利于构建服务器安全防护体系。

问题现象 接入CoreDNS的业务Pod解析域名概率性失败。 从抓包或检查CoreDNS DNS查询请求日志可以发现，A和AAAA通常在同一时间的出现，并且请求的源端口一致。 问题原因 并发A和AAAA的DNS请求触发Linux内核Conntrack模块缺陷，导致UDP报文丢失。 解决方案 考虑采用NodeLocal DNSCache缓存方案，提升DNS解析性能，降低CoreDNS负载。 CentOS、Ubuntu等基础镜像，可以通过options timeout:2 attempts:3 rotate singlerequestreopen等参数优化。 如果容器镜像是以Alpine制作的，建议更换基础镜像。 PHP类应用短连接解析问题较多，如果使用的是PHP Curl的调用，可以使用CURLIPRESOLVEV4参数仅发送IPv4解析。 NodeLocal DNSCache未生效 问题现象 NodeLocal DNSCache没有流量进入，所有请求仍在CoreDNS上。 问题原因 未配置DNSConfig注入，业务Pod实际仍配置了CoreDNS kubedns服务IP作为DNS服务器地址。 业务Pod采用Alpine作为基础镜像，Alpine基础镜像会并发请求所有nameserver，包括本地缓存和CoreDNS。 解决方案 配置DNSConfig自动注入。 如果容器镜像是以Alpine制作的，建议更换基础镜像。

问题现象 接入CoreDNS的业务Pod解析域名概率性失败。 从抓包或检查CoreDNS DNS查询请求日志可以发现，A和AAAA通常在同一时间的出现，并且请求的源端口一致。 问题原因 并发A和AAAA的DNS请求触发Linux内核Conntrack模块缺陷，导致UDP报文丢失。 解决方案 考虑采用NodeLocal DNSCache缓存方案，提升DNS解析性能，降低CoreDNS负载。 CentOS、Ubuntu等基础镜像，可以通过options timeout:2 attempts:3 rotate singlerequestreopen等参数优化。 如果容器镜像是以Alpine制作的，建议更换基础镜像。 PHP类应用短连接解析问题较多，如果使用的是PHP Curl的调用，可以使用CURLIPRESOLVEV4参数仅发送IPv4解析。 NodeLocal DNSCache未生效 问题现象 NodeLocal DNSCache没有流量进入，所有请求仍在CoreDNS上。 问题原因 未配置DNSConfig注入，业务Pod实际仍配置了CoreDNS kubedns服务IP作为DNS服务器地址。 业务Pod采用Alpine作为基础镜像，Alpine基础镜像会并发请求所有nameserver，包括本地缓存和CoreDNS。 解决方案 配置DNSConfig自动注入。 如果容器镜像是以Alpine制作的，建议更换基础镜像。

对比项 自建Kubernetes集群 云容器引擎 易用性 自建Kubernetes集群管理基础设施通常涉及安装、操作、扩展自己的集群管理软件、配置管理系统和监控解决方案，管理复杂。每次升级集群的过程都是巨大的调整，带来繁重的运维负担。 简化集群管理，简单易用 借助云容器引擎，您可以一键创建和升级Kubernetes容器集群，无需自行搭建Docker和Kubernetes集群。您可以通过云容器引擎自动化部署和一站式运维容器应用，使得应用的整个生命周期都在容器服务内高效完成。 您可以通过云容器引擎轻松使用深度集成的Helm标准模板，真正实现开箱即用。 您只需启动容器集群，并指定想要运行的任务，云容器引擎帮您完成所有的集群管理工作，让您可以集中精力开发容器化的应用程序。 可扩展性 自建Kubernetes集群需要根据业务流量情况和健康情况人工确定容器服务的部署，可扩展性差。 灵活集群托管，轻松实现扩缩容 云容器引擎可以根据资源使用情况轻松实现集群节点和工作负载的自动扩容和缩容，并可以自由组合多种弹性策略，以应对业务高峰期的突发流量浪涌。 可靠性 自建Kubernetes集群操作系统可能存在安全漏洞和配置错误，这可能导致未经授权的访问、数据泄露等安全问题。 企业级的安全可靠 云容器引擎提供容器优化的各类型操作系统镜像，在原生Kubernetes集群和运行时版本基础上提供额外的稳定测试和安全加固，减少管理成本和风险，并提高应用程序的可靠性和安全性。 高效性 自建Kubernetes集群需要自行搭建镜像仓库或使用第三方镜像仓库，镜像拉取方式多采用串行传输，效率低。 镜像快速部署 云容器引擎配合容器镜像服务，镜像拉取方式采用并行传输，确保高并发场景下能获得更快的下载速度，大幅提升容器交付效率。

本文介绍了事件通知的用户指南。 概述 事件通知功能支持当镜像加签、镜像扫描和实例同步状态发生变更时，发送通知消息到用户指定的HTTP或HTTPS地址。 前置条件 已开通容器镜像服务企业版实例 创建事件通知规则 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击 "分发交付" "事件通知"，在事件规则标签页点击创建规则按钮。 4. 在创建页面填写规则相关的参数进行创建。 参数 说明 规则名称 事件规则的名称。 事件类型 触发事件通知的事件类型，包括：1. 镜像加签 2. 镜像扫描 3. 实例同步 生效范围 事件通知生效的范围，包括： 1. 实例：在当前实例下，满足Tag匹配条件时触发事件通知。 2. 命名空间：在指定命名空间下，满足Tag匹配条件时触发事件通知。 3. 仓库：在指定仓库下，满足Tag匹配条件时触发事件通知。 Tag匹配条件 通过正则表达式设置规则匹配的镜像版本。使用方式示例如下： 匹配全部: . 匹配多个版本: v1v2v3 匹配前缀: v1. 通知URL 用户用于接收事件通知的URL地址，以 通知参数 事件通知包含的通知参数。 不同事件类型对应的通知参数示例如下： 镜像加签 plaintext { "EventType": "SigningCompleted", // 事件类型 "Region": "b342b77ef26b11ecb0ac0242ac110002", // 资源池编码 "InstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 实例ID "NamespaceId": "5a10444724ef4b498653075ac3578416", // 命名空间ID "NamespaceName": "orastest", // 命名空间名称 "RepositoryId": "75263a80e98048668b7bb56f60564129", // 仓库ID "RepositoryName": "oras", // 仓库名称 "Tag": "v1", // 镜像版本 "Time": "20250103 16:47:19", // 加签时间 "Result": "Success" // 加签结果 } 镜像扫描 plaintext { "EventType": "ScanCompleted", // 事件类型 "Region": "b342b77ef26b11ecb0ac0242ac110002", // 资源池编码 "InstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 实例ID "NamespaceId": "5a10444724ef4b498653075ac3578416", // 命名空间ID "NamespaceName": "test", // 命名空间名称 "RepositoryId": "75263a80e98048668b7bb56f60564129", // 仓库ID "RepositoryName": "mysql", // 仓库名称 "Tag": "latest", // 镜像版本 "CriticalSeverity": 1, // 严重漏洞数 "HighSeverity": 3, // 高危漏洞数 "MediumSeverity": 10, // 中危漏洞数 "LowSeverity": 3, // 低危漏洞数 "UnknownSeverity": 1, // 未知等级漏洞数 "TotalSeverity": 18, // 总漏洞数 "Result": "Success", // 扫描结果 "EndTime": "20240808 17:53:51", // 开始时间 "StartTime": "20240808 17:53:41" // 结束时间 } 实例同步 plaintext { "EventType": "SynchronizationCompleted", // 事件类型 "SourceRegion": "b342b77ef26b11ecb0ac0242ac110002", // 源资源池编码 "SourceInstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 源实例ID "SourceNamespaceId": "5a10444724ef4b498653075ac3578416", // 源命名空间ID "SourceNamespaceName": "test", // 源命名空间名称 "SourceRepositoryId": "75263a80e98048668b7bb56f60564129", // 源仓库ID "SourceRepositoryName": "nginx", // 源仓库名称 "SourceTag": "v0.2", // 源镜像版本 "DestinationRegion": "b342b77ef26b11ecb0ac0242ac110002", // 目标资源池编码 "DestinationInstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 目标实例ID "DestinationNamespaceId": "5a10444724ef4b498653075ac3578416", // 目标命名空间ID "DestinationNamespaceName": "sync", // 目标命名空间名称 "DestinationRepositoryId": "75263a80e98048668b7bb56f60564129", // 目标仓库ID "DestinationRepositoryName": "nginx", // 目标仓库名称 "DestinationTag": "v0.2", // 目标镜像版本 "Result": "Success", // 同步结果 "StartTime": "20240320 11:25:10", // 开始时间 "EndTime": "20240320 11:25:06" // 结束时间 } 5. 创建完成后，可在列表页面查看创建的事件通知规则。 6. 操作栏的编辑按钮可以修改事件通知规则。禁用/启用按钮可以修改事件通知规则的启用状态。删除按钮可以删除事件通知规则。

本文介绍了事件通知的用户指南。 概述 事件通知功能支持当镜像加签、镜像扫描和实例同步状态发生变更时，发送通知消息到用户指定的HTTP或HTTPS地址。 前置条件 已开通容器镜像服务企业版实例 创建事件通知规则 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击 "分发交付" "事件通知"，在事件规则标签页点击创建规则按钮。 4. 在创建页面填写规则相关的参数进行创建。 参数 说明 规则名称 事件规则的名称。 事件类型 触发事件通知的事件类型，包括：1. 镜像加签 2. 镜像扫描 3. 实例同步 生效范围 事件通知生效的范围，包括： 1. 实例：在当前实例下，满足Tag匹配条件时触发事件通知。 2. 命名空间：在指定命名空间下，满足Tag匹配条件时触发事件通知。 3. 仓库：在指定仓库下，满足Tag匹配条件时触发事件通知。 Tag匹配条件 通过正则表达式设置规则匹配的镜像版本。使用方式示例如下： 匹配全部: . 匹配多个版本: v1v2v3 匹配前缀: v1. 通知URL 用户用于接收事件通知的URL地址，以 通知参数 事件通知包含的通知参数。 不同事件类型对应的通知参数示例如下： 镜像加签 plaintext { "EventType": "SigningCompleted", // 事件类型 "Region": "b342b77ef26b11ecb0ac0242ac110002", // 资源池编码 "InstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 实例ID "NamespaceId": "5a10444724ef4b498653075ac3578416", // 命名空间ID "NamespaceName": "orastest", // 命名空间名称 "RepositoryId": "75263a80e98048668b7bb56f60564129", // 仓库ID "RepositoryName": "oras", // 仓库名称 "Tag": "v1", // 镜像版本 "Time": "20250103 16:47:19", // 加签时间 "Result": "Success" // 加签结果 } 镜像扫描 plaintext { "EventType": "ScanCompleted", // 事件类型 "Region": "b342b77ef26b11ecb0ac0242ac110002", // 资源池编码 "InstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 实例ID "NamespaceId": "5a10444724ef4b498653075ac3578416", // 命名空间ID "NamespaceName": "test", // 命名空间名称 "RepositoryId": "75263a80e98048668b7bb56f60564129", // 仓库ID "RepositoryName": "mysql", // 仓库名称 "Tag": "latest", // 镜像版本 "CriticalSeverity": 1, // 严重漏洞数 "HighSeverity": 3, // 高危漏洞数 "MediumSeverity": 10, // 中危漏洞数 "LowSeverity": 3, // 低危漏洞数 "UnknownSeverity": 1, // 未知等级漏洞数 "TotalSeverity": 18, // 总漏洞数 "Result": "Success", // 扫描结果 "EndTime": "20240808 17:53:51", // 开始时间 "StartTime": "20240808 17:53:41" // 结束时间 } 实例同步 plaintext { "EventType": "SynchronizationCompleted", // 事件类型 "SourceRegion": "b342b77ef26b11ecb0ac0242ac110002", // 源资源池编码 "SourceInstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 源实例ID "SourceNamespaceId": "5a10444724ef4b498653075ac3578416", // 源命名空间ID "SourceNamespaceName": "test", // 源命名空间名称 "SourceRepositoryId": "75263a80e98048668b7bb56f60564129", // 源仓库ID "SourceRepositoryName": "nginx", // 源仓库名称 "SourceTag": "v0.2", // 源镜像版本 "DestinationRegion": "b342b77ef26b11ecb0ac0242ac110002", // 目标资源池编码 "DestinationInstanceId": "b030a75ec73649b8b81a4d979ee522ba", // 目标实例ID "DestinationNamespaceId": "5a10444724ef4b498653075ac3578416", // 目标命名空间ID "DestinationNamespaceName": "sync", // 目标命名空间名称 "DestinationRepositoryId": "75263a80e98048668b7bb56f60564129", // 目标仓库ID "DestinationRepositoryName": "nginx", // 目标仓库名称 "DestinationTag": "v0.2", // 目标镜像版本 "Result": "Success", // 同步结果 "StartTime": "20240320 11:25:10", // 开始时间 "EndTime": "20240320 11:25:06" // 结束时间 } 5. 创建完成后，可在列表页面查看创建的事件通知规则。 6. 操作栏的编辑按钮可以修改事件通知规则。禁用/启用按钮可以修改事件通知规则的启用状态。删除按钮可以删除事件通知规则。

资源类型 计费说明 计费方式 计算资源（vCPU和内存） 以实例规格的形式提供计算资源，包括vCPU和内存，收取实例规格费用。 包年/包月、按量计费 镜像 镜像当前分为公共镜像、私有镜像、共享镜像与安全产品镜像。 根据镜像类型及使用情况决定 云硬盘 针对不同云硬盘类型与容量计费。购买云主机实例时会默认购买40GiB的系统盘，用户可以根据需要调整该容量。 包年/包月、按量计费 弹性IP 如有互联网访问需求，您需要购买弹性公网IP。弹性IP可根据带宽、流量进行计费。 按带宽包年包月、按带宽按量付费、按实际流量付费

本文介绍CCE容器集群拉取本地私有仓库镜像权限不足问题。 问题背景 用户自己搭建了一套harbor镜像仓库，并购买了天翼云的容器引擎产品。用户需要cce集群能够使用用户本地搭建的harbor镜像仓库中的镜像。 操作前提 保证该harbor仓库所在网络与cce容器引擎集群的网络是联通的 解决方案 准备好仓库的ca.crt文件 在初期进行harbor私有仓库搭建的时候，为了保证对于harbor的安全使用，对harbor的https访问进行配置，为了能够使cce集群拉取harbor的镜像，我们需要搭建harbor仓库时所使用的CA证书。证书通常存放在Harbor主机上的docker 证书目录：/etc/docker/certs.d/harbor域名/中，在/etc/docker/certs.d/harbor域名/ 中存放着我们所需要的文件：ca.crt 在cce集群上创建存放证书的文件夹 执行以下命令，创建文件夹，用于存放证书文件： mkdir p /etc/docker/certs.d/harbor域名/ 拷贝证书文件到指定文件夹 登陆本地harbor主机，将CA文件拷贝到集群主机指定文件夹下，执行以下命令： scp r /etc/docker/certs.d/harbor域名/ca.crt root@集群主机IP:/etc/docker/certs.d/harbor域名/ 验证 登陆集群节点，再集群节点上进行操作。 方法一：重新部署相关服务，验证是否能够正常拉取镜像。 方法二：通过登陆harbor仓库，执行拉取镜像操作： docker login harbor域名 docker pull 仓库名/镜像名:镜像tag

本章主要介绍释放资源 为了避免不必要的费用产生，完成本样例项目体验后，产品负责人Sarah可根据需要释放以下资源。 注意 资源释放后无法恢复，请谨慎操作。 删除项目 项目是使用软件开发生产线各服务的基础，删除项目可将该项目中所有数据（包括工作项、文件、代码仓库、软件包、构建任务等）一并删除。 步骤 1 进入项目“设置 > 通用设置 > 基本信息”页面。 步骤 2 单击“删除项目”，在弹框中输入项目名称，单击“删除”。 删除主机 购买ECS时，需配置弹性IP及云硬盘。删除ECS时，要同时选择将弹性IP及挂载的硬盘删除。 步骤 1 进入ECS服务。 步骤 2 在列表中找到待删除的ECS，单击“更多”，在下拉列表中选择“删除”。 步骤 3 在弹框中勾选所有选项，单击“是”。 删除集群 步骤 1 进入CCE服务。 步骤 2 找到待删除的集群，单击。 步骤 3 在弹框中勾选所有选项，单击“是”。 删除组织与镜像 步骤 1 删除组织与镜像。 1. 登录进入SWR服务。 2. 在“我的镜像”页面中，勾选本文中创建的镜像，单击“删除”。 在弹框单击“确定”。 3. 在“组织管理”页面中，单击待删除组织的名称，进入详情页。 单击“删除”单击“确定”。

本文为您介绍如何使用ECI快速部署Tensorflow。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群 。 已开通天翼云弹性文件或对象存储服务，用于存储tensorflow训练结果。 背景信息 TensorFlow是一个开源的机器学习框架，由Google开发和维护。它提供了一个灵活的编程环境，可以用于构建和训练各种机器学习模型，包括神经网络。TensorFlow使用图形计算的方式来表示计算任务，并通过优化技术来实现高效的计算。它支持多种编程语言，包括Python和C++，并且可以在各种硬件平台上运行，包括CPU、GPU和TPU。TensorFlow已经成为机器学习和深度学习领域最受欢迎的框架之一，被广泛应用于各种领域，如图像识别、自然语言处理、推荐系统等。 准备工作 1. 准备训练数据和容器镜像。 1. 训练数据：本文以Github的一个TensorFlow训练任务为例。 2. 容器镜像：在最佳实践中，已准备好适用的示例镜像，示例镜像已上传到天翼云容器镜像仓库中。 2. 创建镜像缓存。在ECI控制台的镜像缓存页面手动创建镜像缓存，如下图所示： 创建镜像缓存时需拉取镜像，受镜像大小和网络的影响，需要一定时间。可通过镜像缓存列表页或者镜像缓存详情页查看进度。镜像缓存状态显示ready时，表示镜像缓存已经创建成功。 3. 创建NAS文件系统。在文件存储控制台创建文件系统。NAS文件系统需和ACK Serverless集群处于同一VPC。

本文介绍云容器引擎的使用流程。 完整的容器服务使用流程包括以下步骤： 使用流程 说明 环境设置 创建集群前，您需要进行必要的环境设置。 说明： 如果用户已有“虚拟私有云”和“安全组”“子网”，可直接使用，不需额外创建。 . 创建虚拟私有云，提供一个隔离的、用户自主配置和管理的虚拟网络环境，提升公有云中资源的安全性，简化用户的网络部署； . 创建子网，在虚拟私有云下创建子网，用于集群部署； . 配置安全组，确保集群创建过程中使用的端口开放。 创建集群 CCE支持创建Kubernetes集群(即虚拟机集群)，后续还将提供裸机集群。 选择部署方式 CCE支持两类部署方式，用户可基于自身需求选择。 . 选择开源镜像：基于开源docker镜像创建容器应用，无需上传私有镜像。如：天翼云官方镜像； . 选择开源镜像：基于开源docker镜像创建容器应用，无需上传私有镜像。如：天翼云官方镜像； . 上传并选择私有镜像：您可基于业务需求制作私有docker镜像，上传到CCE。基于该私有镜像创建容器应用。 创建容器应用 CCE支持无状态及有状态容器应用。 . 无状态应用：在运行中始终不保存任何数据或状态，例如nginx； . 有状态应用：在运行中需要基于数据或状态运行，例如redis。 应用运维 CCE支持容器应用监控、日志，提供全生命周期管理能力。

概述 本章节主要介绍创建和更新基础沙箱模板以及基础沙箱实例调试功能。基础沙箱为智能体提供最小化的运行环境，在该类型沙箱实例中您可以管理文件系统和执行shell命令。 创建基础沙箱模板 操作步骤 1. 登录智能体引擎控制台，左侧导航选择沙箱菜单。 2. 单击创建沙箱模板。 3. 在创建沙箱模板窗口，填写基础沙箱参数并单击确定。 4. 创建完成后，在沙箱模板列表页面，可以看到沙箱模板。沙箱模版创建和更新都为异步操作，需要您耐心等待完成。 基础沙箱模版创建参数 参数名称 是否必填 参数说明 沙箱类型 是 智能体引擎支持基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱5种沙箱类型。 模版名称 是 沙箱模板名称用户內唯一。 模版名称规则： 以字母开头，可包含字母、数字、下划线和连字符，且长度不超过32个字符。 描述 否 沙箱模板的描述。 镜像来源 是 镜像来源有2种，默认镜像和自定义镜像。默认镜像为智能体引擎服务提供的内置镜像；自定义镜像需要您依次选择容器镜像实例 、容器镜像仓库 和容器镜像版本。 规格方案 是 沙箱CPU和内存规格，目前支持多种规格。 临时磁盘大小 是 沙箱使用的临时磁盘大小，目前只支持512MB规格。 环境变量 否 沙箱中的环境变量以键值对的方式存储。 环境变量名规则：以字母开头，只能包含字母、数字和下划线，长度3256个字符，且不能以AGE开头。 执行超时时间 是 沙箱实例在创建后可运行的最长时间，超时将自动销毁。规格有多种，最短1分钟，最长为6小时，也可以创建永久常驻的沙箱实例。 访问凭证 否 访问沙箱实例入站凭证，目前支持API Key、Basic Auth和JWT3种类型。 执行角色 否 沙箱中需要访问天翼云资源，该角色生成的临时AK和临时SK会设置到环境变量中。 AGECTYUNACCESSKEY：如果沙箱模板中配置了执行角色，选择的角色的临时AK会放在该环境变量。 AGECTYUNSECRETKEY：如果沙箱模板配置了执行角色，选择的角色的临时SK会放在该环境变量。 网络配置 是 沙箱中访问公网和VPC。 访问公网 ：允许沙箱访问公网服务。 访问VPC：允许沙箱访问您VPC下的天翼云资源。访问VPC需要选择VPC和子网，并且支持配置黑白名单。 ZOS挂载 否 沙箱中挂载天翼云对象存储ZOS，最多支持5个挂载点。 ZOS挂载点 ：对象存储Bucket名称。 Bucket子目录 ：设置Bucket中的子目录，必须为绝对路径。设置为/表示挂载Bucket的根目录。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。 沙箱本地目录权限：选择Bucket挂载到沙箱运行环境中的本地目录后，该目录的访问权限。支持设置为只读或读写权限。 NAS挂载 否 沙箱中挂载天翼云文件系统SFS，最多支持5个挂载点，必须开启网络配置中的VPC访问，且SFS和网络配置同VPC。 弹性文件服务 ：选择已创建的SFS文件系统实例。 VPCE挂载地址 ：选择SFS文件系统实例下的VPCE挂载地址。 远端目录 ：远端SFS中的目录是指位于SFS文件系统中的绝对目录，以/开头。 沙箱本地目录：设置沙箱运行环境中的本地目录。 网络配置中黑白名单语义： 未设置白名单：允许访问用户 VPC 内所有服务（仍受黑名单约束）。 设置白名单：仅允许访问白名单中的网段/IP（或对应服务）。 设置黑名单：禁止访问黑名单中的网段/IP（或对应服务）。 黑白名单冲突时，以白名单为更高优先级。

操作场景 在运行过程中会保存数据或状态的工作负载称为“有状态工作负载（statefulset）”。例如Mysql，它需要存储产生的新数据。 因为容器可以在不同主机间迁移，所以在宿主机上并不会保存数据，这依赖于CCE提供的高可用存储卷，将存储卷挂载在容器上，从而实现有状态工作负载的数据持久化。 前提条件 在创建容器工作负载前，您需要存在一个可用集群。若没有请参照购买混合集群中内容创建。 若工作负载需要被外网访问，请确保集群中至少有一个节点已绑定弹性IP，或已购买负载均衡实例。 创建多个工作负载时，请确保容器使用的端口不冲突 ，否则部署会失败。 通过控制台创建 云容器引擎提供了多种创建工作负载的方式，您可以通过如下方式进行创建： 1. 基于“我的镜像”创建工作负载，用户首先需要将镜像上传至容器镜像服务。 2. 基于“共享镜像”创建工作负载，即其它租户通过“容器镜像服务”共享给您的镜像。 3. 若您希望通过YAML方式创建工作负载，您可在“创建有状态工作负载”页面单击界面右侧的“YAML创建”，通过yaml的方式创建工作负载。YAML的说明请参见通过kubectl命令行创建。YAML编写完成后，可单击“创建”，直接创建工作负载。 YAML文件是和界面保持同步的，您也可以通过界面和YAML互动完成工作负载的创建。例如： 界面中填写工作负载名称后，YAML文件会自动关联该名称。 界面中添加完镜像后，YAML中也会自动关联该镜像。 控制台界面右侧的“YAML创建”不支持多个YAML混合，请分别创建，否则创建时将会报错。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 有状态负载 StatefulSet”，单击“创建有状态工作负载”。在打开的创建有状态工作负载页面中，参照下表设置工作负载基本信息，其中带“”标志的参数为必填参数。 工作负载基本信息 参数 参数说明 工作负载名称 新建工作负载的名称，命名必须唯一。 请输入4到52个字符的字符串，可以包含小写英文字母、数字和中划线（），并以小写英文字母开头，小写英文字母或数字结尾。 集群名称 新建工作负载所在的集群。 命名空间 在单集群中，不同命名空间中的数据彼此隔离。使应用可以共享同个集群的服务，也能够互不干扰。若您不设置命名空间，系统会默认使用default命名空间。 实例数量 工作负载的实例数量。工作负载可以有一个或多个实例，用户可以设置具体实例个数，默认为2，可自定义设置为1。 每个工作负载实例都由相同的容器部署而成。设置多个实例主要用于实现高可靠性，当某个实例故障时，工作负载还能正常运行。若使用单实例，节点异常或实例异常会导致服务异常。 时区同步 单击开启后，容器将和节点使用相同时区。 须知 时区同步功能开启后，在“数据存储 > 本地磁盘”中，将会自动添加HostPath类型的磁盘，请勿修改删除该磁盘。 工作负载描述 工作负载描述信息。 步骤 2 单击“下一步：容器设置”，添加容器。 1. 单击“添加容器”，选择需要部署的镜像。 − 我的镜像：展示了您创建的所有镜像仓库。 − 第三方镜像：CCE支持拉取第三方镜像仓库（即镜像仓库之外的镜像仓库）的镜像创建工作负载。使用第三方镜像时，请确保工作负载运行的节点可访问公网。第三方镜像的具体使用方法请参见如何使用第三方镜像。 若您的镜像仓库不需要认证，密钥认证请选择“否”，并输入“镜像名称”，单击“确定”。 若您的镜像仓库都必须经过认证（帐号密码）才能访问，您需要先创建密钥再使用第三方镜像，具体操作请参见如何使用第三方镜像。 − 共享镜像：其它租户通过“容器镜像服务”共享给您的镜像将在此处展示，您可以基于共享镜像创建工作负载。 2. 配置镜像基本信息。 工作负载是Kubernetes对一组Pod的抽象模型，用于描述业务的运行载体，一个Pod可以封装1个或多个容器，您可以单击右上方的“添加容器”，添加多个容器镜像并分别进行设置。 镜像参数说明 参数 说明 镜像名称 导入的镜像，您可单击“更换镜像”进行更换。 镜像版本 选择需要部署的镜像版本。 容器名称 容器的名称，可修改。 特权容器 特权容器是指容器里面的程序具有一定的特权。 若选中，容器将获得超级权限，例如可以操作宿主机上面的网络设备、修改内核参数等。 容器规格 CPU 配额： 申请：容器需要使用的最小CPU值，默认0.25Core。 限制：允许容器使用的CPU最大值。建议设容器配额的最高限额，避免容器资源超额导致系统故障。 内存配额： 申请：容器需要使用的内存最小值，默认512MiB。 限制：允许容器使用的内存最大值。如果超过，容器会被终止。 申请和限制的具体请参见设置容器规格。 GPU 配额：当集群中包含GPU节点时，才能设置GPU，无GPU节点不显示此选项。 容器需要使用的GPU百分比。勾选“使用”并设置百分比，例如设置为10%，表示该容器需使用GPU资源的10%。若不勾选“使用”，或设置为0，则无法使用GPU资源。 GPU 显卡：工作负载实例将被调度到GPU显卡类型为指定显卡的节点上。 若勾选“不限制”，容器将会随机使用节点中的任一显卡。您也可以勾选某个显卡，容器将使用特定显卡。 3. 生命周期：用于设置容器启动和运行时需要执行的命令。 − 启动命令：设置容器启动时执行的命令，具体请参见设置容器启动命令。 − 启动后处理：设置容器成功运行后执行的命令，详细配置方法请参见设置容器生命周期。 − 停止前处理：设置容器结束前执行的命令，通常用于删除日志/临时文件等，详细配置方法请参见设置容器生命周期。 4. 健康检查：CCE提供了存活与业务两种探针，用于判断容器和用户业务是否正常运行。详细配置方法请参见设置容器健康检查。 − 工作负载存活探针：检查容器是否正常，不正常则重启实例。 − 工作负载业务探针：检查用户业务是否就绪，不就绪则不转发流量到当前实例。 5. 环境变量：在容器中添加环境变量，一般用于通过环境变量设置参数。 在“环境变量”页签，单击“添加环境变量”，当前支持三种类型： − 手动添加：输入变量名称、变量/变量引用。 − 密钥导入：输入变量名称，选择导入的密钥名称和数据。您需要提前创建密钥，具体请参见创建密钥。 − 配置项导入：输入变量名称，选择导入的配置项名称和数据。您需要提前创建配置项，具体请参见创建配置项。 对于已设置的环境变量，单击环境变量后的“编辑”，可对该环境变量进行编辑。单击环境变量后的“删除”，可删除该环境变量。 6. 数据存储：给容器挂载数据存储，支持本地磁盘和云存储，适用于需持久化存储、高磁盘IO等场景。具体请参见存储管理。 有状态工作负载只能在创建时添加数据存储，创建完成后无法再添加。 7. 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。 请输入用户ID，容器将以当前用户权限运行。 8. 容器日志：设置容器日志采集策略、配置日志目录。用于收集容器日志便于统一管理和分析。详细配置请参见采集容器标准输出日志、采集容器内路径日志。 步骤 3 单击“下一步：工作负载访问设置”，设置“实例间发现服务”和工作负载访问方式。 设置“实例间发现服务”，如下表： 参数 参数说明 服务名称 输入工作负载所对应的服务名称，用于集群内工作负载间的互相访问。该服务主要用于实例的内部发现，不需要有单独的IP地址，也不需要做负载均衡。 端口名称 端口名称用于给容器端口命名，通常以端口用途命名。 容器端口 输入容器的监听端口。 单击“添加服务”，设置工作负载访问方式。 若工作负载需要和其它服务互访，或需要被公网访问，您需要添加服务，设置工作负载访问方式。 工作负载访问的方式决定了这个工作负载的网络属性，不同访问方式的工作负载可以提供不同网络能力，具体请参见网络概述。 步骤 4 单击“下一步：高级配置”，配置更多高级策略。 升级策略：仅支持“滚动升级”。 滚动升级将逐步用新版本的实例替换旧版本的实例，升级的过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断。 实例管理策略：支持“有序策略”和“并行策略”两种。 有序策略：默认策略，有状态负载会逐个的、按顺序的进行部署、删除、伸缩实例， 只有前一个实例部署Ready或删除完成后，有状态负载才会操作后一个实例。 并行策略：支持有状态负载并行创建或删除所有的实例，有状态负载发生变更时立刻在实例上生效。 缩容策略：为工作负载删除提供一个时间窗，预留给生命周期中PreStop阶段执行命令。若超过此时间窗，进程仍未停止，该工作负载将被强制删除。 − 缩容时间窗 (s)：请输入时间，该时间为工作负载停止前命令的执行时间窗（09999秒），默认30秒。 − 缩容优先级：可根据业务需要选择“优先减少新实例”或“优先减少老实例”。 调度策略：您可以根据需要自由组合静态的全局调度策略或动态的运行时调度策略来实现自己的需求。具体请参见调度策略概述。 Pod高级设置 − Pod标签：内置app标签在工作负载创建时指定，主要用于设置亲和性与反亲和性调度，暂不支持修改。您可以单击下方的“添加标签”增加标签。 客户端DNS配置：CCE集群内置DNS插件CoreDNS，为集群内的工作负载提供域名解析服务。详细使用方法请参见Kubernetes集群内置DNS配置说明。 − DNS策略： 追加域名解析配置：选择该配置后，将保留默认配置，以下“IP地址”和“搜索域”配置可能不生效。 替换域名解析配置：选择该配置后，将仅使用以下“IP地址”和“搜索域”配置进行域名解析。 继承Pod所在节点域名解析配置：将继承Pod所在节点的域名解析配置。 − IP地址：您可对自定义的域名配置域名服务器，值为一个或一组DNS IP地址，如“1.2.3.4”。 − 搜索域：定义域名的搜索域列表，当访问的域名不能被DNS解析时，会把该域名与搜索域列表中的域依次进行组合，并重新向DNS发起请求，直到域名被正确解析或者尝试完搜索域列表为止。 − 超时时间（s）：查询超时时间，请自定义。 − ndots：表示域名中必须出现的“.”的个数，如果域名中的“.”的个数不小于ndots，则该域名为一个FQDN，操作系统会直接查询；如果域名中的“.”的个数小于ndots，操作系统会在搜索域中进行查询。 自定义指标监控：是指监控系统提供的一种指标收集机制，该机制允许工作负载在部署时自定义需要上报的指标名称以及获取这些指标数据的接入点信息，在应用运行时由监控系统按固定的频率访问接入点进行指标的收集。 性能管理配置：的性能管理服务可协助您快速进行工作负载的问题定位与性能瓶颈分析。 步骤 5 配置完成后，单击“创建”，单击“返回工作负载列表”。在工作负载列表中，当工作负载状态为“运行中”时，表示工作负载创建成功。如果工作负载状态未实时更新，请刷新页面查看。 节点不可用时，pod状态变为“未就绪”，此时需要手工删除有状态工作负载的pod，pod实例才会迁移到正常节点上。 工作负载列表页在超过500条以上时，将采用Kubernetes的分页机制进行分页。Kubernetes的分页机制：仅支持回到第一页和查看下一页，不支持查看上一页，且在分页显示的情况下，资源总数显示的是批量查询出的数目而不是真实总数。 通过kubectl命令行创建 本节以etcd为例来进行说明。 前提条件 请参见通过kubectl操作CCE集群配置kubectl命令，使弹性云主机连接集群。 操作步骤 步骤 1 登录已配置好kubectl命令的弹性云主机。 步骤 2 创建一个名为etcdstatefulset.yaml的文件。 其中，etcdstatefulset.yaml为自定义名称，您可以随意命名。 vi etcdstatefulset.yaml 以下内容仅为示例，若需要了解statefulset的详细内容，请参考kubernetes官方文档。 apiVersion: apps/v1 kind: StatefulSet metadata: name: etcd spec: replicas: 2 selector: matchLabels: app: etcd serviceName: etcdsvc template: metadata: labels: app: etcd spec: containers: env: name: PAASAPPNAME value: tesyhhj name: PAASNAMESPACE value: default name: PAASPROJECTID value: 9632fae707ce4416a0ab1e3e121fe555 image: etcd imagePullPolicy: IfNotPresent name: container0 updateStrategy: type: RollingUpdate vi etcdheadless.yaml apiVersion: v1 kind: Service metadata: labels: app: etcd name: etcdsvc spec: clusterIP: None ports: name: etcdsvc port: 3120 protocol: TCP targetPort: 3120 selector: app: etcd sessionAffinity: None type: ClusterIP 步骤 3 创建工作负载以及对应headless服务。 kubectl create f etcdstatefulset.yaml 回显如下，表示有状态工作负载（stateful）已创建成功。 statefulset.apps/etcd created kubectl create f etcdheadless.yaml 回显如下，表示对应headless服务已创建成功。 service/etcdsvc created 步骤 4 若工作负载需要被访问（集群内访问或节点访问），您需要设置访问方式，具体请参见“网络管理”并创建对应服务。

本文主要介绍流量镜像。 流量镜像 VPC流量镜像功能可以镜像弹性网卡符合筛选条件的报文。您需要设置入方向和出方向的筛选条件，经过弹性网卡的流量符合筛选条件时，将被镜像到指定的云服务器网卡或者弹性负载均衡ELB实例，适用于网络流量检查、审计分析以及问题定位等场景。 说明 流量镜像支持区域： 广东广州4，江苏苏州，上海上海4 注意 流量镜像功能当前暂不收费。待后续启动收费时，将会提前通知您。 流量镜像概念 首先，为您介绍流量镜像功能中的基础概念： 筛选条件：筛选条件包含入方向规则和出方向规则，规则由优先级、流量采集策略以及匹配条件组成。 入方向规则：用来匹配镜像源接收到的流量。 出方向规则：用来匹配镜像源发送出去的流量。 镜像源：镜像源为弹性网卡，表示需要镜像该弹性网卡的流量。 镜像目的：镜像目的为云服务器网卡或者弹性负载均衡实例，用来接受镜像的流量。 镜像会话：使用流量镜像功能，您需要创建镜像会话，通过在镜像会话中关联筛选条件、镜像源和镜像目的，将镜像源符合筛选条件的流量镜像到镜像目的实例。

本节介绍了云主机相关的术语解释。 实例 实例即弹性云主机，是由CPU、内存、操作系统、云硬盘组成的基础的计算组件。 镜像 镜像是一个包含了软件及必要配置的弹性云主机模板，至少包含操作系统，还可以包含应用软件（例如，数据库软件）和私有软件。通过镜像，您可以创建弹性云主机。 公共镜像 公共镜像为系统默认提供的镜像，常见的标准操作系统镜像，所有用户可见，包括操作系统以及预装的公共应用。公共镜像具有高度稳定性，皆为正版授权，请放心使用，您也可以根据实际需求自助配置应用环境或相关软件。 私有镜像 私有镜像为用户自己创建的镜像。包含操作系统或业务数据、预装的公共应用以及用户的私有应用的镜像，仅用户个人可见。 云硬盘 云硬盘（Elastic Volume Service，EVS）可以为弹性云主机提供高可靠、高性能、规格丰富并且可弹性扩展的块存储服务，满足不同场景的业务需求，适用于分布式文件系统、开发测试、数据仓库以及高性能计算等场景。 安全组 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的弹性云主机提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。

本节介绍了分布式消息服务RabbitMQ产品常见计费类问题。 支持哪些付费方式？ 支持包年包月和按需计费。 产品规格可选择哪些？ 分布式消息服务RabbitMQ是基于高可用、分布式集群技术，完全兼容RabbitMQ开源社区，支持消息路由、事务消息、优先级队列、延迟队列、死信队列、镜像队列等功能的消息云服务，更多产品信息请参见产品规格。 如何选择磁盘空间？ 在集群模式中，RabbitMQ需要对消息持久化写入到磁盘中，因此，在创建RabbitMQ实例选择存储空间时，建议根据业务消息体积预估以及镜像队列副本数量选择合适的存储空间。镜像队列副本数最大为集群的节点数。 例如：业务消息体积预估100GB，则磁盘容量最少应为100GB节点数 + 预留磁盘大小100GB。

步骤三：本地验证 1. 启动docker容器 docker run u 1003:1003 p 8000:8000 customcontainerhttpexample:latest 2. 打开一个新的命令行窗口，向开放的8000端口发送消息，访问模板代码中指定的/invoke路径 curl XPOST H 'ContentType: application/json' d '{"message":"HelloWorld"}' localhost:8000/helloworld 按照模块代码中返回 Hello FunctionGraph, method POST 3. 在容器启动端口可以看到 receive {"message":"HelloWorld"} 或者使用docker logs命令获取容器的日志 步骤四：上传镜像 1. 登录容器镜像服务控制台，在左侧导航栏选择“我的镜像”。 2. 单击右上角的“客户端上传”或“页面上传”。 3. 根据指示上传镜像。 4. 上传成功后，在“我的镜像”界面可查看。 步骤五：创建函数 1. 登录函数工作流控制台，在左侧的导航栏选择“函数 > 函数列表”。 2. 单击右上方的“创建函数”，进入“创建函数”页面，使用容器镜像部署函数。 3. 填写基本信息。 1. 函数类型：选择“HTTP函数” 2. 函数名称：输入“customcontainerhttp” 3. 容器镜像：选择上一步上传到SWR的镜像。 4. 现有委托：使用包含SWR Admin权限的委托。 4. 完成后单击“创建函数”。

本章节主要描述了物理机的监控。 云监控服务的主机监控分为基础监控和操作系统监控，基础监控为云服务器自动上报的监控指标（物理机服务器不支持基础监控）。操作系统监控通过在物理机服务器中安装Agent插件，为用户提供服务器的系统级、主动式监控服务。Agent占用的系统资源很小，CPU用率<1.5%、内存<50M。 云监控会提供CPU、内存、磁盘、网络等四十余种监控指标，满足服务器的基本监控运维需求。 约束与限制 用户私有镜像不在支持范围内。 Agent插件目前仅支持64位Linux操作系统的物理机服务器实例。 主机监控对Linux镜像支持列表如下表所示。 表 主机监控对Linux镜像支持列表 操作系统类型 支持版本号 Red Hat 6.5，6.7，6.8，7.2，7.3，7.4 SUSE 11.4，12.1 Oracle Linux 6.5，7.3，7.4 CentOS 6.9，7.2，7.3，7.4