此小节介绍如何变更云堡垒机配置。 当云堡垒机的规格不能满足需求时，可对云堡垒机实例进行规格升级，购买更高规格的标准版或专业版 ，扩大系统数据盘容量、最大并发数、最大资产数等配置。 注意 用户必须在变更规格前备份数据，因变更规格有失败风险，以防因变更规格失败而影响使用； 变更规格过程约需要30min，变更规格期间云堡垒机系统不可用，业务中断，建议用户不要使用云堡垒机，以免数据丢失； 变更规格只对数据盘进行变更规格，不会影响系统盘。变更规格到新版本后，后台为用户变更规格CPU、内存、带宽等，不影响原有EIP的使用。 约束限制 云堡垒机提供标准版和专业版两个功能版本，每个版本配备7种资产规格。 当前仅支持版本规格变更规格，不支持版本规格缩容。 前提条件 已获取管理控制台的登录帐号与密码。 已备份系统数据。 变更规格有失败的风险，因此在变更规格前必须备份数据，以防因变更规格失败而影响数据的使用。 已升级当前版本。 变更规格到 专业版 ，需确保云堡垒机软件版本在3.2.16.0及以上。 已绑定EIP，且EIP可用。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击，选择区域，选择“安全 > 云堡垒机”，进入云堡垒机实例管理页面。 3. 单击左上角的，选择区域或项目。 4. 在左侧导航树中，单击，进入云堡垒机实例界面。 5. 选择需变更规格的实例，单击所在行“操作”列中“更多 > 变更规格”，跳转到“变更规格”页面。 6. 择需变更的“性能规格”，单击“立即购买”。 7. 进入“订单详情”页面，确认订单无误后，单击“提交订单”。 8. 在支付页面完成付款。 9. 后台自动进行变更规格操作，整个变更规格过程需30min左右，且实例的运行状态将会由“变更中”到“正在重启”。 10. 实例运行状态变为“运行”，即可正常使用云堡垒机。

使用流程 序号 操作项 说明 0 （可选）接入“企业主机安全HSS”的“主机安全基线”日志到态势感知（专业版） 仅态势感知（专业版）专业版且启用了“操作系统配置基线”、“经典弱口令检测”、“口令复杂度策略检测”遵从包场景需要执行该操作。 在目标工作空间左侧导航栏选择“日志审计> 云服务接入”，进入云服务日志接入页面，打开“企业主机安全HSS”服务的“主机安全基线”前的按钮以及“自动转告警”列对应的按钮，单击“保存”，并在弹出的配置保存框中，单击“确定”。 1 定时执行基线检查 态势感知（专业版）将使用默认检查计划对所有资产进行检查。 默认检查计划：默认每隔3天检查一次，每次在00:00~06:00对您账号下当前区域的“安全上云合规检查1.0”遵从包所涉及的资产进行检查。 自定义基线检查计划：根据您的需求自定义遵从包和检查时间。 2 立即执行基线检查 基线检查功能支持定期自动检查和立即检查。 定期自动检查：根据系统默认基线检查计划或您自定义的基线检查计划，定时自动执行基线检查。 立即检查：如果您新增或修改了自定义的基线检查计划，您可以在基线检查页面选择该基线检查计划，立即执行基线检查，实时查看服务器中是否存在对应的基线风险。 3 查看基线检查结果 自动/手动基线检查完成后，可以查看基线检查结果，了解基线检查项影响的资产、基线项目详情等信息。 4 处理基线检查结果 基线检查完后，可以根据修复建议对风险项目进行处理。 查看风险项的改进建议：根据检测结果修复风险检查项。 反馈检查结果：检查项中的手动检查项，您在线下执行检查后，需要在控制台上反馈检查结果，以便计算检查项合格率。 导入检查结果：将线下检查结果数据信息导入至态势感知（专业版）基线检查中。 导出检查结果：将线上检查结果导出至本地。

反馈结果 态势感知（专业版）的基线检查项目中的手动检查项，您在线下执行检查后，需要在控制台上反馈检查结果，以便计算检查项合格率。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防 > 基线检查”，默认进入检查结果页面。 5. 在检查结果页面下方的检查结果列表中，单击目标手动检查项所在行“操作”列的“反馈结果”。 6. 在弹出提示框中，选择反馈结果，并单击“确定”。反馈结果完成后，在“风险预防 > 基线检查”检查结果页面，查看检查项列表各个检查项的检查状态等信息。 说明 反馈结果有效期为7天，7天后请重新手动检查。 导入检查结果 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防 > 基线检查”，默认进入检查结果页面。 5. 在下方检查结果列表左上角，单击的“导入”。 6. 在弹出的对话框中单击“下载模板”，根据模板填写检查项目信息。 7. 填写完成后，在弹出的对话框中单击“添加文件”，上传已填写的信息表格。 说明 支持导入.xlsx格式的文件。 一次仅支持导入一个文件，文件大小不超过500KB，且单次导入数据条不超过500条。 重复数据信息系统将进行去重处理，不会重复导入。 8. 上传完成后，单击“导入”。 9. 导入完成后，在“风险预防 > 基线检查”检查结果页面，查看检查项列表各个检查项的检查结果信息。

本文为您介绍查看跨域连接的操作流程。 操作步骤 1. 登录控制中心。 2. 登录云间高速（标准版）管理控制台，并在左侧菜单列表中选择“云间高速（标准版）”。 3. 单击目标云间高速实例名称（或单击目标云间高速实例操作列的“管理”），进入目标实例详情页面。 4. 在云间高速实例详情页面，单击“跨域连接管理”页签。 5. 在跨域连接管理页签，可以查看已创建的跨域连接信息。

5.2 禁用SELinux 开启SELinux会导致天翼云物理机装机异常，需要关闭SELinux。使用下面命令禁用SELinux。 plaintext sed i.bak 's/SELINUX./SELINUXdisabled/g' /etc/selinux/config 重启后，可用sestatus v检查SELinux是否已禁用。 6. 清理系统 6.1 删除网络配置（重要） 物理机装机时会根据实际情况生成网络配置，保留镜像中的网络配置可能会造成干扰。需要删除不必要的网络配置。具体网络配置和系统使用的网络管理方式有关，下面列举一些常见的情况。 Redhat系发行版：删除/etc/sysconfig/networkscripts/目录下除了ifcfglo外的ifcfg文件 Debian：删除/etc/network/interfaces.d/下的网络配置文件 Ubuntu：删除/etc/netplan/目录下的网络配置文件 6.2 删除machine ID（重要） machine ID标识了唯一的一台机器，在首次启动系统时一般会自动生成。需要删除镜像中的machine ID。 plaintext rm f /var/lib/dbus/machineid truncate s 0 /etc/machineid 下面的清理项可有可无。但为了生成的镜像更小，请删除这些无用的文件。 6.3 清空软件包缓存 plaintext dnf clean all 使用dnf的发行版 yum clean all 使用yum的发行版 使用apt的发行版 aptget y autoclean aptget y clean rm rf /var/lib/apt/lists/ rm rf /var/cache/apt/archives/.deb 6.4 清理临时文件 plaintext find /tmp type f exec rm f {} ; 6.5 清理日志 plaintext find /var/log type f exec rm f {} ; 7. 镜像制作完成 完成上述配置后，关闭虚拟机，qcow2格式的镜像文件默认位于/var/lib/libvirt/images/目录下，镜像制作完成。

5.2 禁用SELinux 开启SELinux会导致天翼云物理机装机异常，需要关闭SELinux。 查看selinux是否disabled plaintext apt install y selinuxutils 查看selinux状态，返回Disabled则表示SElinux已关闭 getenforce 可使用下面命令禁用SELinux。 plaintext sed i.bak 's/SELINUX./SELINUXdisabled/g' /etc/selinux/config 重启后，可用‘sestatus v’或‘getenforce’或查看‘/etc/selinux/config’文件检查SELinux是否已禁用。 6 清理系统 6.1 删除网络配置（重要） 物理机装机时会根据实际情况生成网络配置，保留镜像中的网络配置可能会造成干扰。需要删除不必要的网络配置。具体网络配置和系统使用的网络管理方式有关，下面列举一些常见的情况。 Redhat系发行版：删除/etc/sysconfig/networkscripts/目录下除了ifcfglo外的ifcfg文件 Debian：删除/etc/network/interfaces.d/下的网络配置文件 Ubuntu：删除/etc/netplan/目录下的网络配置文件 6.2 删除machine ID（重要） machine ID标识了唯一的一台机器，在首次启动系统时一般会自动生成。需要删除镜像中的machine ID。 plaintext rm vf /var/lib/dbus/machineid truncate s 0 /etc/machineid 下面的清理项可有可无。但为了生成的镜像更小，请删除这些无用的文件。 6.3 清空软件包缓存 plaintext dnf clean all 使用dnf的发行版 yum clean all 使用yum的发行版 使用apt的发行版 aptget y autoclean aptget y clean rm rf /var/lib/apt/lists/ rm rf /var/cache/apt/archives/.deb 6.4 清理临时文件 plaintext find /tmp type f exec rm f {} ;

删除流程 说明 删除流程需要全部满足下列条件： “流程状态”为“未启用”。 当前流程中不存在激活的流程版本。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。 5. 在流程管理页面中，单击目标流程所在行“操作”列的“删除”，弹出删除流程确认框。 6. 单击“确认”，删除流程。 注意 删除时，默认删除当前流程中的所有历史版本，删除后不可恢复，请谨慎操作。 禁用流程 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。 5. 在目标流程所在行的“操作”列，单击“禁用”，页面弹出禁用确认框。 6. 在弹出的确认框中，单击“确认”，完成流程禁用。

挂起投递任务 数据投递新增并授权成功后，投递任务状态自动更新为投递中，如需停止投递，可挂起目标投递任务。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面后，选择“数据投递管理”页签，进入数据投递管理页面。 5. 在数据投递管理页面，单击目标投递任务所在行“操作”列的“挂起”。 挂起后，投递任务状态更新为“挂起”，则表示挂起投递任务成功。 启动投递任务 数据投递任务停止投递后，如需重启投递，可启动目标投递任务。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面后，选择“数据投递管理”页签，进入数据投递管理页面。 5. 在数据投递管理页面，单击目标投递任务所在行“操作”列的“启动”。 启动后，投递任务状态更新为“投递中”，则表示启动投递任务成功。

通过控制台“AI风险概览”为您呈现推理安全、语料安全、环境安全的风险态势。 操作场景 AI风险概览实时为您呈现大模型合规态势，支持大模型的数据语料风险运营、推理业务风险运营和环境安全风险运营，实时呈现大模型的风险概览，助您识别大模型风险和潜在威胁。 推理安全：基于WAF攻击日志和访问日志，分析呈现大模型接口的调用请求次数、调用请求命中防护策略数、以及命中防护策略数排名前5的推理模型域名和数量、提示词注入的攻击分布、推理模型攻击类型分布等。 语料安全：基于DSC告警日志，分析呈现大模型中的语料风险类别和数量、TOP5语料风险资产分布等。 环境安全：基于态势感知（专业版）基线检查、漏洞管理、告警管理功能，分析呈现当前工作空间的TOP5合规检查风险、TOP5漏洞风险、TOP5告警和最近攻击列表。 前提条件 推理安全 依赖Web应用防火墙 WAF服务，在使用AI风险概览的推理安全功能模块前需要确保Web应用防火墙 WAF服务在有效使用期内，且仅WAF云模式支持。 语料安全 依赖数据安全中心DSC服务，在使用AI风险概览的语料安全功能模块前需要确保大模型数据安全防护在有效使用期内。 已经在态势感知（专业版）控制台接入“WAF攻击日志”，“WAF访问日志”和“DSC告警日志”。接入云服务日志请参见接入日志数据。 仅态势感知（专业版）专业版支持。

镜像格式 介绍 备注 ZVHD 采用ZLIB压缩算法，支持顺序读写。 镜像服务底层通用格式。镜像服务导入和导出支持格式。 ZVHD2 采用ZSTD压缩算法，支持延迟加载。 镜像服务延迟加载特性专用格式。镜像服务导入支持格式。 QCOW2 QCOW2格式镜像是QEMU模拟器支持的一种磁盘镜像，是用一个文件的形式来表示一块固定大小的块设备磁盘。与普通的RAW格式镜像相比，QCOW2格式有如下几个特性： 支持更小的磁盘占用。 支持写时拷贝（CoW，CopyOnWrite），镜像文件只反映底层磁盘变化。 支持快照，可以包含多个历史快照。 支持压缩和加密，可以选择ZLIB压缩和AES加密。 镜像服务导入和导出支持格式。 VMDK VMDK是VMware创建的虚拟硬盘格式。一个VMDK文件代表VMFS（云主机文件系统）在云主机上的一个物理硬盘驱动。 镜像服务导入和导出支持格式。 VHD VHD是微软提供的一种虚拟硬盘文件格式。VHD文件格式可以被压缩成单个文件存放到宿主机的文件系统上，主要包括云主机启动所需的文件系统。 镜像服务导入和导出支持格式。 VHDX 微软在Windows Server 2012中的HyperV引入的一个新版本的VHD格式，称为VHDX。与VHD格式相比，VHDX具有更大的存储容量。它在电源故障期间提供数据损坏保护，并且优化了磁盘结构对齐方式，以防止新的大扇区物理磁盘性能降级。 镜像服务导入支持格式。 RAW RAW格式是直接给云主机进行读写的文件。RAW不支持动态增长空间，是镜像中I/O性能最好的一种格式。 镜像服务导入支持格式。 QCOW QCOW通过二级索引表来管理整个镜像的空间分配，其中第二级的索引用了内存CACHE技术，需要查找动作，这方面导致性能的损失。QCOW优化性能低于QCOW2，读写性能低于RAW。 镜像服务导入支持格式。 VDI VDI是SUN公司Virtual BOX虚拟化软件所用的硬盘镜像文件格式，支持快照。 镜像服务导入支持格式。 QED QED格式是QCOW2格式的一种改进，存储定位查询方式和数据块大小与QCOW2一样。但在实现CoW（CopyOnWrite）的机制时，QED将QCOW2的引用计数表用了一个重写标记（Dirty Flag）来替代。 镜像服务导入支持格式。

本节介绍如何订阅资产。 操作场景 态势感知（专业版）只有在开启资产订阅设置的工作空间才能同步资产相关信息。订阅后，资产信息将在每天晚上进行更新。 说明 仅支持订阅和同步云上资产。同时，不建议同一个区域的资产订阅至多个工作空间。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“资产管理 > 资产管理”，进入资产管理页面。 5. 在资产管理页面中，单击页面右上角“资产订阅设置”，右侧弹出订阅资产设置页面。 6. 在订阅资产设置页面中，在需要订阅资产所在的region所在行“是否开通”列开启订阅。 7. 单击页面右下角的“确认”。 订阅后，资产信息将在每天晚上进行更新。

本文主要介绍SQL Server实例加域AD域的操作步骤。 关系数据库SQL Server提供订购实例加入AD域功能，您可以在订购页填写AD域信息将实例加入到您指定的域，加入域的实例开通成功后，在实例详情页可以查看所属域。 支持的版本 只支持2017企业版、2019企业版和2022企业版的主备实例加入域。 前提条件 购买ECS搭建域控服务器。 创建域账号，需要取消所有勾选框的检查（第一次登录时不要更改密码）。 将域账号添加到域管理员组（Doamin Admins）。 开放域控服务器安全组策略，允许同vpc网段访问any协议和any端口。 使用限制 订购前需要提工单开放当前账号白名单，否则订购页无法加载域配置项 购买实例时，请选择与域控服务器相同的 VPC，否则加域会失败 加入域的实例暂不允许创建只读实例。 加入域的实例暂不允许迁移可用区。 操作步骤 订购页选择支持加域的实例版本。 在【集群配置】项找到【AD域配置】选择【现在配置】。 填写目录地址、域名、域账号名称和域账号密码。 确认配置无误后点击【确认订单】开通实例。 查看实例所属域 控制台点击实例管理，选中加域实例，点击进入实例详情页。 在【基本信息】下的【配置信息】中可以查看实例所属域。

参数 说明 图表名称 自定义图表名称，用于区分日志流下不同的图表。 仅支持中英文、数字、中划线、下划线、空格、括号、小数点，不能以小数点、空格开头或结尾。长度为164个字符。 可视化对象 默认语句“SELECT ”，表示查询该日志流内的结构化数据，其中为结构化字段。 自行编辑SQL语句。 图表类型 LTS提供表格、柱状图、折线图等多种图表类型供用户选择。 同时添加到仪表盘 开启“同时添加到仪表盘”，勾选一个或多个仪表盘前面的 ，可将图表同步添加至勾选的仪表盘中。 关闭“同时添加到仪表盘”，则表示新建图表不在仪表盘显示。

参数 说明 图表名称 自定义图表名称，用于区分日志流下不同的图表。 仅支持中英文、数字、中划线、下划线、空格、括号、小数点，不能以小数点、空格开头或结尾。长度为164个字符。 可视化对象 默认语句“SELECT ”，表示查询该日志流内的结构化数据，其中为结构化字段。 自行编辑SQL语句。 图表类型 LTS提供表格、柱状图、折线图等多种图表类型供用户选择。 同时添加到仪表盘 开启“同时添加到仪表盘”，勾选一个或多个仪表盘前面的 ，可将图表同步添加至勾选的仪表盘中。 关闭“同时添加到仪表盘”，则表示新建图表不在仪表盘显示。

本文介绍使用Rediscli迁移自建Redis(AOF文件) 迁移介绍 Rediscli 是 Redis 自带的命令行客户端工具，它允许用户通过命令行与 Redis 服务器进行交互。 在本章节中，我们将重点介绍如何使用 Rediscli 工具以 AOF 文件的方式，将自建的 Redis 数据迁移到 DCS 缓存实例。 说明 进行迁移操作前，建议暂停相关业务，以避免数据丢失或不完整。 建议业务空闲时间进行迁移操作。 步骤1：生成AOF文件 使用以下命令来开启缓存持久化并生成 AOF 持久化文件： ./rediscli h {redisaddress} p {redisport} a {password} config set appendonly yes 如果 AOF 文件的大小不再变化，说明AOF文件为全量缓存数据。 说明 使用 Rediscli 工具登录 Redis 实例，输入命令“config get dir”可以查找生成的AOF文件保存路径。 如果没有进行特殊指定，该文件的文件名默认为 appendonly.aof。 如果需要关闭同步，可以使用 Rediscli 工具登录 Redis 实例，并输入命令 “config set appendonly no” 来关闭同步。 步骤2：上传AOF文件至天翼云ECS 为节省传输时间，请先压缩AOF文件再传输。 将压缩文件（如以SFTP/SCP等方式）上传到天翼云ECS。 说明 ECS需保证有足够的磁盘空间，供数据文件存储，同时需要与缓存实例网络互通，通常要求相同VPC和相同子网，且安全组规则不限制访问端口。 步骤3：导入数据 ./rediscli h {redisaddress} p {redisport} a {password} pipe < appendonly.aof 步骤4：迁移后验证 数据导入成功后，连接DCS缓存实例，通过dbsize命令，确认数据是否导入成功 如果导入不成功，需要分析原因，修正导入语句，然后使用flushall或者flushdb命令清理实例中的缓存数据，并重新导入。

监控类型 监控指标 资源监控（节点机器相关监控） CPU使用率 资源监控（节点机器相关监控） 内存使用量 资源监控（节点机器相关监控） 内存使用率 资源监控（节点机器相关监控） IO操作数 资源监控（节点机器相关监控） IO吞吐量 资源监控（节点机器相关监控） ioutil 资源监控（节点机器相关监控） 硬盘空闲空间 资源监控（节点机器相关监控） 硬盘空闲率 资源监控（节点机器相关监控） 硬盘已用空间 资源监控（节点机器相关监控） 硬盘使用率 资源监控（节点机器相关监控） 网络吞吐量 资源监控（节点机器相关监控） wal日志空间 引擎监控（节点数据库引擎相关监控） TPS 引擎监控（节点数据库引擎相关监控） QPS 引擎监控（节点数据库引擎相关监控） 会话数 引擎监控（节点数据库引擎相关监控） 周期内数据库读写次数 引擎监控（节点数据库引擎相关监控） 操作行数 引擎监控（节点数据库引擎相关监控） bgwriter stat 引擎监控（节点数据库引擎相关监控） Checkpoint 引擎监控（节点数据库引擎相关监控） Checkpoint写入磁盘的性能 引擎监控（节点数据库引擎相关监控） 耗时最长（会话时间） 引擎监控（节点数据库引擎相关监控） worker数 引擎监控（节点数据库引擎相关监控） 慢查询统计 引擎监控（节点数据库引擎相关监控） 长事务 引擎监控（节点数据库引擎相关监控） 系统缓存命中率 引擎监控（节点数据库引擎相关监控） 平均每秒超过10mb大表的全表扫描次数 引擎监控（节点数据库引擎相关监控） 周期内临时文件每秒生成字节数 引擎监控（节点数据库引擎相关监控） 周期内每秒死锁次数 引擎监控（节点数据库引擎相关监控） 周期内每秒存储过程调用次数

本章节会介绍回收站的功能和策略 操作场景 RDS支持将删除的主备或者单机实例，加入回收站管理。通过在回收站中重建实例，将数据恢复到新实例上。新实例数据库引擎、数据库版本、存储类型与原实例相同，其他参数可以重新配置。默认可以恢复1~7天内删除的实例。 约束限制 RDS不回收只读实例，只有主备或者单机实例才会进入回收站。 已停止的实例被删除后不会进入回收站。 回收站策略机制默认开启，且不可关闭。设置保留天数为1天，该功能免费。 设置回收站策略 注意 回收站保留天数默认7天。修改回收站保留天数，仅对修改后新进入回收站的实例生效，对于修改前已经存在的实例，仍保持原来的回收策略，请您谨慎操作。 1、登录管理控制台。 2、单击管理控制台左上角的，选择区域和项目。 3、选择“数据库> 关系型数据库”。进入关系型数据库信息页面。 4、在左侧导航栏，单击“回收站”。 5、在“回收站”页面，单击“回收站策略”，设置已删除实例保留天数，可设置范围为1~7天。 6、单击“确定”，完成设置。 重建实例 在回收站保留期限内的主实例可以通过重建实例恢复数据。 1、登录管理控制台。 2、单击管理控制台左上角的，选择区域和项目。 3、选择“数据库> 关系型数据库”。进入关系型数据库信息页面。 4、在左侧导航栏，单击“回收站”。 5、在“回收站”页面，在实例列表中找到需要恢复的目标实例，单击操作列的“重建”。 6、在“重建新实例”页面，选填配置后，提交重建任务。

{Job.getYesterday("yyyyMMdd")} EL表达式说明：Job为作业对象，通过getYesterday方法获取作业计划执行时间前一天的时间，时间格式为yyyyMMdd。 假设作业计划执行时间为2018/9/26 01:00:00，这个表达式计算结果是20180925，该计算结果将替换SQL脚本中的${yesterday}参数。替换后的SQL内容如下： INSERT OVERWRITE TABLE tradereport SELECT sum(tradecount), '20180925' FROM tradelog where dateformat(tradetime, 'yyyyMMdd') '20180925' d.单击，测试运行作业。 e.作业测试无问题后，单击，保存作业配置。

态势感知支持检测云上资产遭受的各类攻击，并进行客观的呈现。 态势感知（专业版）支持检测云上资产遭受的各类攻击，并进行客观的呈现。 但是，如果您的云上资产在互联网上的暴露面非常少（所谓“暴露面”是指资产可被攻击或利用的风险点，例如，端口暴露和弱口令都可能成为风险点），那么遭受到攻击的可能性也将大大降低，所以，态势感知（专业版）可能会显示您的系统当前遭受的攻击程度较低。

本文向您介绍通过企业版VPN实现数据中心和VPC互通的第二步：创建对端网关。 操作步骤 1. 在左侧导航栏，单击“虚拟专用网络 > 企业版对端网关”。 2. 在“对端网关”界面，单击“创建对端网关”。 3. 根据界面提示配置参数，然后单击“确定”。 表对端网关参数说明 参数 说明 参数取值 名称 输入对端网关的名称。 cgw001 标识 输入对端网关的IP。 IP Address，22.xx.xx.22。 结果验证 在“对端网关”页面生成新创建的对端网关信息。

本文主要介绍兼容性风险检查。 检查项内容 请您阅读版本兼容性差异，并确认不受影响。 补丁升级不涉及版本兼容性差异。 版本兼容性差异 大版本升级路径 版本差异 建议自检措施 ::: v1.19升级至v1.21或v1.23 Kubernetes v1.21集群版本修复 了exec probe timeouts不生效的BUG，在此修复之前，exec 探测器不考虑 timeoutSeconds 字段。相反，探测将无限期运行，甚至超过其配置的截止日期，直到返回结果。 若用户未配置，默认值为1秒。升级后此字段生效，如果探测时间超过1秒，可能会导致应用健康检查失败并频繁重启。 升级前检查您使用了exec probe的应用的probe timeouts是否合理。 v1.19升级至v1.21或v1.23 CCE的v1.19及以上版本的kubeapiserver要求客户侧webhook server的证书必须配置Subject Alternative Names (SAN)字段。否则升级后kubeapiserver调用webhook server失败，容器无法正常启动。 根因：Go语言v1.15版本废弃了X.509 CommonName，CCE的v1.19版本的kubeapiserver编译的版本为v1.15，若客户的webhook证书没有Subject Alternative Names (SAN)，kubeapiserver不再默认将X509证书的CommonName字段作为hostname处理，最终导致认证失败。 升级前检查您自建webhook server的证书是否配置了SAN字段。 若无自建webhook server则不涉及。 若未配置，建议您配置使用SAN字段指定证书支持的IP及域名。 v1.19升级至v1.21或v1.23 1.21及以上版本不支持管理ARM节点。 确认升级后无法管理ARM节点不影响您的使用场景。 v1.15升级至v1.19 CCE v1.19版本的控制面与v1.15版本的Kubelet存在兼容性问题。若Master节点升级成功后，节点升级失败或待升级节点发生重启，则节点有极大概率为NotReady状态。 主要原因为升级失败的节点有大概率重启kubelet而触发节点注册流程，v1.15 kubelet默认注册标签（failuredomain.beta.kubernetes.io/isbaremetal和kubernetes.io/availablezone）被v1.19版本kubeapiserver视为非法标签。 v1.19版本中对应的合法标签为node.kubernetes.io/baremetal和failuredomain.beta.kubernetes.io/zone。 正常升级流程不会触发此场景。 在Master升级完成后尽量避免使用暂停升级功能，快速升级完Node节点。 若Node节点升级失败且无法修复，请尽快驱逐此节点上的应用，请联系技术支持人员，跳过此节点升级，在整体升级完毕后，重置该节点。 v1.15升级至v1.19 CCE的v1.15版本集群及v1.19版本集群将docker的存储驱动文件系统由 xfs切换成ext4，可能会导致升级后的java应用Pod内的import包顺序异常，既而导致Pod异常。 升级前查看节点上docker配置文件/etc/docker/daemon.json。检查dm.fs配置项是否为xfs。 若为ext4或存储驱动为overlay则不涉及。 若为xfs则建议您在新版本集群预先部署应用，以测试应用与新版本集群是否兼容。 { "storagedriver": "devicemapper", "storageopts": [ "dm.thinpooldev/dev/mapper/vgpaasthinpool", "dm.usedeferredremovaltrue", "dm.fsxfs", "dm.usedeferreddeletiontrue" ] } v1.15升级至v1.19 CCE的v1.19及以上版本的kubeapiserver要求客户侧webhook server的证书必须配置Subject Alternative Names (SAN)字段。否则升级后kubeapiserver调用webhook server失败，容器无法正常启动。 根因：Go语言v1.15版本废弃了X.509 [](

导入检查项 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防> 基线检查”，进入基线检查页面后，选择“安全遵从包”页签，并在安全遵从包页面中，选择“检查项”页签，进入检查项管理页面。 5. 在下方检查项列表左上角，单击的“导入”。 6. 在弹出的对话框中单击“下载模板”，根据模板填写检查项信息。 7. 填写完成后，在弹出的对话框中单击“添加文件”，上传已填写的信息表格。 说明 支持导入.xlsx格式的文件。 一次仅支持导入一个文件，且单次导入数据条不超过100条。 8. 上传完成后，单击“导入”。 9. 导入完成后，在检查项页面可查看已导入的检查项信息，可通过检查项名称过滤筛选。 导出检查项 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防> 基线检查”，进入基线检查页面后，选择“安全遵从包”页签，并在安全遵从包页面中，选择“检查项”页签，进入检查项管理页面。 5. 在检查项列表中勾选需要导出的检查项，并单击检查项列表左上角的“导出”。 6. 在弹出的对话框中，选择导出格式并自定义勾选需要导出的列。 7. 单击“导出”。

本节将介绍如何将集成的日志数据投递至LTS。 操作场景 态势感知（专业版）支持集成WAF、HSS、CFW等其他云产品日志，具体集成操作及支持集成的云服务请参见云服务接入。 集成后的日志还支持投递至云日志服务（Log Tank Service，简称LTS），方便用户快速高效地进行实时决策分析、设备运维管理、用户业务趋势分析等。 前提条件 已完成需投递日志的数据集成至态势感知（专业版）操作，详细操作请参见云服务接入。 投递到LTS中，需要已有可用的日志组和日志流。 步骤一：创建数据投递任务 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道后，单击目标管道名称后的“更多 > 投递”，右侧弹出现在数据投递设置页面。 6. （可选）在弹出的授权提示中，确认无误后，单击“确认”，完成授权。 首次投递到目的投递类型需要进行授权，如果已经授权，请跳过该步骤。 7. 在新增投递配置页面中，配置数据投递相关参数。 投递名称：自定义数据投递名称。 账号类型：此处请选择“本账号”。投递到LTS服务仅支持投递本账号内的日志数据。 投递类型：此处请选择“LTS”。 日志组：选择LTS日志组。 日志流：选择目的LTS日志流。 其他配置参数，系统默认生成，无需配置。 8. 单击“确定”。

告警转事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。 5. 在告警管理列表中，单击目标告警所在行“操作”列的“转事件”，右侧弹出转事件配置页面。 同时，还可以在某条告警详情页面，单击页面上方的“告警转事件”。 6. 在转事件配置页面中，填写“事件名称”并选择“类型”。 事件名称将自动填入当前告警的名称，可以根据需要进行修改。 7. 设置完成后，单击“确认”。 8. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面查看事件信息，详细操作指导和事件参数解释请参见查看事件信息。 告警关联事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。 5. 在告警管理列表中，勾选需要关联事件的告警，并单击列表上方的“关联事件”，弹出绑定事件对话框。 6. 在绑定事件对话框中，勾选需要绑定的事件，并单击“确认”。 关联完成后，在告警列表中单击目标告警类型，进入告警详情页面后，选择“关联已有事件”页签，查看关联信息。

本页介绍天翼云TeleDB数据库预置选项相关参数。 下列“参数”是只读的，它们是在编译或安装TeleDB时决定的。同样，它们被排除在postgresql.conf文件例子之外。 blocksize (integer) 磁盘块的大小。它由编译服务器时BLCKSZ的值确定。默认值是 8192 字节。有些配置变量的含义（例如sharedbuffers）会被blocksize影响。 datachecksums (boolean) 是否启用了数据校验码。 debugassertions (boolean) 是否启用断言编译TeleDB。 例如configure时加选项 enablecassert， 如果是这样的话，定义宏USEASSERTCHECKING。 默认情况下编译没有断言。 integerdatetimes (boolean) 是否在编译时打开了64 位整数日期和时间。该值总是on。 lccollate (string) 文本数据排序使用的区域。该值是在数据库被创建时确定的。 lcctype (string) 决定字符分类的区域。该值是在数据库被创建时决定的。通常它和lccollate一样，但是可以为特殊应用设置成不同的值。 maxfunctionargs (integer) 函数参数的最大数量。它由编译服务器时的FUNCMAXARGS值决定的。默认值是 100 个参数。 maxidentifierlength (integer) 标识符的最大长度。它由编译服务器时的NAMEDATALEN值减一决定。NAMEDATALEN的默认值是 64 ；因此maxidentifierlength的默认值是 63，但是在使用多字节编码时可以少于 63 个字符。 maxindexkeys (integer) 索引键的最大数目。它由编译服务器时的INDEXMAXKEYS值决定。默认值是 32个键。 segmentsize (integer) 一个文件段中可以存储的块（页）的数量。由编译服务器时的RELSEGSIZE值决定。一个段文件的最大尺寸（以字节计）等于segmentsize乘以blocksize，默认是 1GB。

本页介绍天翼云TeleDB数据库检查点相关参数。 checkpointtimeout (integer) 自动WAL 检查点之间的最长时间，以秒计。 有效值在30秒和1天之间。 默认是 5 分钟（5min）。 增加这个参数的值会增加崩溃恢复所需的时间。 这个参数只能在postgresql.conf文件中或在服务器命令行上设置。 checkpointcompletiontarget (floating point) 指定检查点完成的目标，作为检查点之间总时间的一部分。默认是0.5。 这个参数只能在postgresql.conf文件中或在服务器命令行上设置。 checkpointflushafter (integer) 在执行检查点时，只要有checkpointflushafter字节被写入， 就尝试强制 OS 把这些写发送到底层存储。 这样做将会限制内核页面高速缓存中的脏数据数量， 降低在检查点末尾发出fsync或者 OS 在后台大批量写回数据时被卡住的可能性。 那常常会导致大幅度压缩的事务延迟，但是也有一些情况 （特别是负载超过sharedbuffers但小于 OS 页面高速缓存） 的性能会降低。这种设置可能会在某些平台上没有效果。合法的范围在 0（禁用强制写回）和2MB之间。 Linux 上的默认值是256kB，其他平台上是0 （如果BLCKSZ不是8kB，默认值和最大值会等比例缩放）。 这个参数只能在postgresql.conf文件中或者服务器命令行上设置。 checkpointwarning (integer) 如果由于填充检查点段文件导致的检查点之间的间隔低于这个参数表示的秒数，那么就向服务器日志写一个消息（它建议增加maxwalsize的值）。默认值是 30 秒（30s）。零则关闭警告。如果checkpointtimeout低于checkpointwarning，则不会有警告产生。这个参数只能在postgresql.conf文件中或在服务器命令行上设置。

本文介绍如何收集Serverless集群控制平面组件日志。 基于Serverless 集群的运维需求，Serverless容器引擎为您提供了便捷的控制平面日志收集能力。通过此功能，您可以轻松地将集群控制面产生的日志汇集到您账号下的云日志服务中，以便进行集中化的管理和分析。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 采集的日志将以日志流的形式发送到您账号下指定的云日志服务的日志项目中，且云日志服务使用统一的按量付费方式计费。 操作步骤 安装ctglogoperator日志插件 收集控制平面组件日志需要先安装日志插件。 1. 登录云容器引擎管理控制台，在左侧导航栏选择“集群列表”。 2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择“插件” > “插件市场”。 3. 在插件市场页面，在插件列表中选择要安装的ctglogoperator插件，点击“安装”按钮。 也可以通过在左侧导航栏，选择运维管理下的日志中心，点击“安装插件”。 等待ctglogoperator插件安装完成。 4. 在左侧导航栏，选择运维管理下的日志中心。 5. 在日志中心页面，单击“控制平面组件日志”页签，然后单击“立即开启”。 6. 选择创建或使用已有日志项目，修改日志存储时间，点击“确定”。 说明 Serverless集群支持kubeapiserver，kubecontrollermanager和kubescheduler三种控制平面组件日志查询方式。

参数 类型 默认值 描述 适用场景 ctyun.crypto.useUniqueDataKeyPerEncrypt boolean true 指定是否每次加密时使用唯一的数据密钥。 如果设置为true，则每次加密都会生成一个新的数据密钥。 如果设置为false，则使用相同的数据密钥进行多次加密。 适用于需要高安全性的场景，确保每次加密操作都使用不同的密钥。 ctyun.crypto.keyProvider string KMSCMK 指定密钥提供者的类型。当前支持的值为： KMSCMK，表示使用 KMS（密钥管理服务）中的 CMK（客户主密钥）。 LOCALCMK，表示从本地配置文件中读取CMK（客户主密钥）。 适用于用户按需进行配置使用 KMS 管理密钥或者本地管理密钥的场景。 ctyun.crypto.local.cmk string 本地存储的客户主密钥（CMK），用于本地加密操作。 该密钥需要以 Base64 编码形式提供。 适用于本地加密操作，不需要依赖外部 KMS 服务的场景。 ctyun.crypto.kms.ak string KMS 服务的访问密钥（Access Key），用于身份验证。 适用于需要访问 KMS 服务的场景。 ctyun.crypto.kms.sk string KMS 服务的秘密密钥（Secret Key），用于身份验证。 适用于需要访问 KMS 服务的场景。 ctyun.crypto.kms.endpoint string KMS 服务的端点地址，格式为IP:Port。 适用于需要指定 KMS 服务地址的场景。 ctyun.crypto.kms.cmkId string KMS 服务中的客户主密钥（CMK）ID，用于标识特定的 CMK。 适用于需要指定特定 CMK 的场景，dekId与cmkId不可同时为空。 ctyun.crypto.kms.dekId string KMS 服务中的数据加密密钥（DEK）ID，用于标识特定的 DEK。 适用于需要指定特定 DEK 的场景，dekId与cmkId不可同时为空。

本章节会介绍回收站的功能和策略 操作场景 RDS支持将删除的主备或者单机实例，加入回收站管理。通过在回收站中重建实例，将数据恢复到新实例上。新实例数据库引擎、数据库版本、存储类型与原实例相同，其他参数可以重新配置。默认可以恢复1~7天内删除的实例。 约束限制 RDS不回收只读实例，只有主备或者单机实例才会进入回收站。 已停止的实例被删除后不会进入回收站。 回收站策略机制默认开启，且不可关闭。设置保留天数为1天，该功能免费。 设置回收站策略 注意 回收站保留天数默认7天。修改回收站保留天数，仅对修改后新进入回收站的实例生效，对于修改前已经存在的实例，仍保持原来的回收策略，请您谨慎操作。 1、登录管理控制台。 2、单击管理控制台左上角的，选择区域和项目。 3、选择“数据库> 关系型数据库”。进入关系型数据库信息页面。 4、在左侧导航栏，单击“回收站”。 5、在“回收站”页面，单击“回收站策略”，设置已删除实例保留天数，可设置范围为1~7天。 6、单击“确定”，完成设置。 重建实例 在回收站保留期限内的主实例可以通过重建实例恢复数据。 1、登录管理控制台。 2、单击管理控制台左上角的，选择区域和项目。 3、选择“数据库> 关系型数据库”。进入关系型数据库信息页面。 4、在左侧导航栏，单击“回收站”。 5、在“回收站”页面，在实例列表中找到需要恢复的目标实例，单击操作列的“重建”。 6、在“重建新实例”页面，选填配置后，提交重建任务。

Windows操作系统云主机看不到挂载的数据盘怎么办？ Windows操作系统云主机有时会看不到挂载的数据盘，出现这种情况时，可能是因为新添加的数据盘未进行分区和初始化。 新的数据盘默认是没有分区和文件系统的，因此在资源管理器中不会显示，需要先手动执行初始化操作。具体方法请参见初始化数据盘。 怎样调整系统盘分区？ 通常我们在进行系统盘扩容的时候，会用到调整系统盘分区，Windows云主机和Linux云主机的调整方式不同，具体步骤分别参见扩容云硬盘中针对Windows云主机和Linux云主机的不同调整方式。 怎样查询Windows弹性云主机磁盘分区与磁盘设备的对应关系？ 以Windows 2012为例，介绍查询Windows弹性云主机磁盘分区与磁盘设备对应关系的方法。 1. 登录Windows弹性云主机。单击桌面左下角的“开始”菜单。 2. 选择“管理工具 > 计算机管理”。 3. 在左侧导航栏，选择“存储 > 磁盘管理”。 4. 右键单击“磁盘1”所在灰色地域，单击“属性”。系统打开磁盘属性窗口。 5. 选择“详细信息”页签，并选择参数“属性”的值为“父系”。 6. 记录参数“值”中符号“&”后的几位数字，该值为磁盘分区对应的主从设备号。

本文介绍创建跨域复制配置的操作步骤。 操作限制 请查看使用限制。 前提条件 源和目标资源池均已有可用状态的文件系统，并且容量充足。 也可以选择新建文件系统用于复制，推荐目标文件系统使用新建的空白文件系统。 注意 建议使用容量充足的文件系统进行复制。当目标文件系统容量使用率达到98%时，将无法创建复制。 若遇到复制使用故障，如创建复制失败，请提交工单联系技术人员排查。 操作步骤 1. 在弹性文件服务控制台，进入已准备好的文件系统详情页，在页面下方点击“跨域复制”页签。 2. 点击“创建复制”按钮进入创建页面，需要确认源文件系统的信息，并选择目标文件系统的配置。 参数说明如下： 参数 说明 复制类型 默认为复制到已有文件系统。建议复制到新建的空白文件系统，若选择已有数据的文件系统，差异部分数据将被覆盖且不可恢复。 目标区域 目标文件系统的地域。根据实际业务需求及服务方支持的资源池选择。 可用区 目标文件系统所在的可用区。 文件系统选择 选择用作目标的文件系统。仅支持选择该可用区下状态为“可用”的、同种存储类型、NFS协议、禁用复制覆盖保护的文件系统。 3. 点击“立即创建”，然后稍微等待一下，即可在当前页面查看创建的复制任务。

输出示例 kubeadm join 192.168.XXX:6443 token v47flx.o9vqap6 discoverytokencacerthash sha256:069f7f63f13c44ba61dcb10b2127f91cc79b732c 获取CRS内网地址，添加到示例脚本环境变量REGISTRYURL中 kubectl get deploy nkubesystem cceoneclusteragent o jsonjq r '.spec.template.spec.containers[0].image' awk F/ '{print $1}' 输出示例 registryxxx.crsinternal.ctyun.cn 2. 前提条件 1. 脚本需要访问公网以下载对应软件工具。如需指定软件工具版本和地址，请确保地址能访问通且可下载，如containerd、kubelet、kubeadm、kubelet等。 2. 示例脚本仅支持基于yum软件包管理系统的操作系统。 containerd运行时示例 shell !/bin/bash export KUBEADMJOINCMD export RUNTIMEVERSION 如：1.6.28 export KUBEVERSION 如 v1.31.6 export REGISTRYURL 各资源池CRS镜像仓库内网地址，如：registryxxx.crsinternal.ctyun.cn export CRURL 127.0.0.1：5000 nodeip$(hostname I awk '{print $1}') rootdir"/data" 节点创建过程中，将自动格式化第一块数据盘，并挂载到此路径作为kubelet、容器运行时的数据目录 ARCH$(uname m) case $ARCH in x8664) ARCHTYPE"amd64" ;; aarch64arm64) ARCHTYPE"arm64" ;; ) ARCHTYPE"unknown" ;; esac 获取第一块数据盘，用于挂载运行时存储目录，没有则使用系统盘 devices$(lsblk d n o NAME grep v NAME)