本节介绍手动检查项目执行检查的操作。 操作场景 基线检查的一些检查项目为手动检查项，需要您在线下执行检查后，再在控制台上反馈检查结果，以便计算检查项合格率。 约束与限制 “操作系统配置基线”、“经典弱口令检测”、“口令复杂度策略检测”遵从包不支持在态势感知（专业版）侧执行基线检查，态势感知（专业版）仅支持查看HSS的基线检查结果。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防 > 基线检查”，，默认进入检查结果页面。 5. 单击待反馈结果检查项目所在行“操作”列的“反馈结果”。 6. 在弹出提示框中，选择反馈结果，并单击“确定”。反馈结果完成后，在“风险预防 > 基线检查”检查结果页面，查看检查项列表各个检查项的检查状态等信息。 说明 反馈结果有效期为7天，7天后请重新手动检查。

添加路由配置 使用云原生API网关配置路由转发 1. 首先进入云原生API网关控制台 > 实例 > 服务 > 服务来源标签页，点击添加来源，选择容器服务来源类型，选择我们部署了后端服务的云容器引擎集群，添加完成。 2. 进入云原生API网关控制台 > 实例 > 服务 > 服务列表> 创建服务 功能，选择从容器创建后端服务，选择我们部署的命名空间和服务，服务协议选择HTTPS（暂时先关闭mTLS选项）。 3. 进入云原生API网关控制台 > API > 创建HTTP API > 进入目标API > 添加路由，配置路由转发规则（匹配路径/api/1/reviews，请求转发到上面创建的服务）> 保存并发布。 结果验证 通过云原生API网关访问路由 shell curl sv Trying 192.168.4.96:27151... Connected to 192.168.4.96 (192.168.4.96) port 27151 ( 0) > GET /api/1/reviews HTTP/1.1 > Host: 192.168.4.96:27151 > UserAgent: curl/7.71.1 > Accept: / > Mark bundle as not supporting multiuse 502 Bad Gateway 502 Bad Gateway openresty Connection 0 to host 192.168.4.96 left intact 可以看到请求报错了，后台查看debug日志可以看到错误信息如下（SSL握手报错）： sslv3 alert bad certificate:SSL alert number 42) while SSL handshaking to upstream mTLS证书配置&验证 进入服务列表菜单，编辑刚才创建的服务，开启服务mTLS认证并上传相关证书。 保存后再次请求接口，可以看到返回了正确的结果： shell curl sv Trying 192.168.4.96:27151... Connected to 192.168.4.96 (192.168.4.96) port 27151 (

配置升级 当master或者core节点ECS实例的规格（vCPU和内存）无法满足您的业务需求时，您可以使用配置升级功能提升ECS实例规格。请参见配置升级说明。 说明 物理机不支持配置升级，请在订购环节规划所需资源。 节点扩容 当master、core或task节点组内的资源无法满足您的业务需求时，您可以使用节点扩容功能增加实例数量。请参见节点扩容说明。 节点缩容 当task节点组内的资源超出您的业务需求时，您可以使用节点缩容功能减少实例数量。请参见节点缩容说明。 新增节点组 当存量core或task节点组的计算或存储资源无法满足您的业务需求时，您可以使用新增节点组功能增加ECS实例。请参见新增节点组说明。 磁盘扩容 当master、core或task节点的数据存储空间无法满足您的业务需求时，您可以使用磁盘扩容功能增加数据盘的空间。请参见磁盘扩容说明。 说明 本地磁盘不支持磁盘扩容功能，仅支持对云硬盘进行扩容。

本页面介绍云数据库ClickHouse通过控制台提供的查看实例监控信息功能。 我们提供全面的监控功能，用于实时监测和评估您的云数据库ClickHouse集群的性能和运行状况： 1. 登录云数据库ClickHouse控制台，并选择实例所在区域。 2. 在实例列表页面，点击目标实例ID所在行的"管理"按钮进入详细信息页面。 3. 在实例详细信息页面上方导航栏中，选择"监控管理"选项。 以下是我们支持的监控指标的详细描述： 监控指标 描述 CPU使用率 监测每个ClickHouse节点的CPU利用率，反映节点的计算能力和负载情况。您可以通过监控CPU使用率来评估系统的处理能力，并及时进行资源调整。 内存使用量 跟踪每个ClickHouse节点的内存消耗情况，了解内存使用情况可以帮助您优化查询性能和调整内存配置。 磁盘使用空间 监控每个ClickHouse节点的磁盘空间占用情况，确保有足够的存储空间来容纳数据和执行操作。及时了解磁盘使用情况可以避免因存储空间不足而导致的数据丢失或运行故障。 每秒IO次数 记录每秒的输入输出操作次数，包括读取和写入数据的次数。通过监控每秒IO次数，您可以评估ClickHouse节点的IO性能和磁盘负载情况，以便进行性能优化和容量规划。 每秒读写字节数 监测每秒读取和写入的数据量，帮助您了解数据处理速度和吞吐量。通过监控每秒读写字节数，您可以评估系统的数据处理能力，并根据需要进行调整和优化。 当前运行查询数 实时跟踪正在运行的查询数量，反映系统的查询负载和性能状况。通过监控当前运行查询数，您可以了解系统的负载情况，并做出相应的优化和调整。 合并数量 监控数据合并操作的数量，用于评估数据压缩和合并操作的效率。通过监控合并数量，您可以了解数据压缩和合并的效果，并根据需要进行优化。 分区变更数量 记录分区变更的次数，用于跟踪分区操作和数据变更情况。了解分区变更数量可以帮助您追踪数据变更的频率和趋势，以及相应的系统影响。 后台任务数 跟踪后台任务的数量，包括数据清理、数据复制等后台处理任务。通过监控后台任务数，您可以了解后台处理的工作负载和执行情况，以及相应的资源占用。 TCP连接数 监控每个ClickHouse节点的TCP连接数量，用于评估网络连接的负载和性能状况。了解TCP连接数可以帮助您优化网络配置和资源分配。 HTTP连接数 记录每个ClickHouse节点的HTTP连接数量，帮助您追踪HTTP请求的并发情况。通过监控HTTP连接数，您可以评估系统的网络负载和处理能力。 Zookeeper监听数 监测Zookeeper集群中的监听数，用于了解集群状态和数据同步情况。通过监控Zookeeper监听数，您可以评估集群的稳定性和可用性。 Zookeeper会话数 跟踪Zookeeper集群中的会话数，用于评估集群的稳定性和连接状态。了解Zookeeper会话数可以帮助您监控集群的健康状况和系统连接情况。 通过这些详细的监控指标，您可以全面了解和掌握云数据库ClickHouse集群的性能表现、资源利用和系统状态，以便及时调整和优化系统配置，确保系统的高可用性、高性能和稳定性。

本章节介绍微服务引擎的使用限制 微服务引擎产品实例使用限制 注册配置中心 限制项 限制值 Nacos单实例命名空间数量上限。 50个 Nacos单实例配置文件数量上限。 10000个 Nacos单个配置文件大小上限。 100 KB ZooKeeper单个Session所创建的临时节点（ephemeral）类型上限。 2000个 ZooKeeper数据管理数据导入文件大小限制。 200M Eureka单节点服务实例注册数量上限。 1000个 云原生网关 限制功能 说明 IP黑白名单 当前基于请求云原生网关的网络层IP进行黑白名单管控，对于使用ELB的场景，网关看到的网络层IP是ELB的出口IP。后续会优化该功能，支持基于XForwardedFor中的IP进行管控的能力。 微服务治理中心 概述 在使用微服务治理中心之前时，您需要通过本文提前了解微服务治理中心的使用限制。 版本限制 模块 限制 说明 微服务框架Spring Cloud Spring Cloud Edgware及以上版本。 客户端：Feign、RestTemplate。 微服务框架Dubbo Dubbo 2.5.3及以上版本。 无 接入方式 支持ECS、云容器引擎应用接入。 如果使用ECS接入，需要在ECS的/etc/resolv.conf文件首行添加nameserver 100.95.0.1。 注册中心 支持应用使用Nacos、Eureka和Zookeeper三种引擎。 无 JDK版本 支持JDK1.8+版本应用接入。 无 VPC 应用所在的VPC需手动接入微服务治理中心。 接入方法，见文档ECS微服务应用接入MSE治理中心。 当您的应用满足上述限制后，通过ECS或云容器引擎接入微服务治理中心，可以使用微服务治理中心相关功能。 微服务引擎配额资源使用限制

查看备NameNode推送FsImage到主NameNode是否失败 20.以root用户登录备NameNode节点。 21.执行su omm命令切换到omm用户。 22.使用如下命令查看备NameNode是否能将文件推送到主NameNode上。 tmpFile/tmp/tmptest$(date +%s) echo "test" > $tmpFile scp $tmpFile 主NameNode的业务IP : /tmp 是，执行步骤24。 否，执行步骤23。 23.联系系统管理员，处理在omm用户下备NameNode无法推送数据到主NameNode的原因。故障恢复后等待1个NameNode合并元数据的周期时间，查看告警是否清除。 是，处理完毕。 否，执行步骤24。 查看主NameNode数据目录空间是否不足 24.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HDFS > 实例”，单击产生告警的NameService的主NameNode，单击“实例配置”，获取配置项“dfs.namenode.name.dir”的值，该值即为主NameNode的FsImage存储目录。 25.以root或omm用户登录主NameNode节点。 26.进入到FsImage存储目录，查看最近一个的FsImage的大小（单位为MB）。 cd 主NameNode存储目录 /current du m $(ls t grep "fsimage[09]$" head 1) awk '{print $1}' 27.执行如下命令查看主NameNode的磁盘剩余空间（单位为MB）。 df m ./ awk 'END{print $4}' 28.对比FsImage的大小和目录剩余空间大小，看剩余空间是否还能存储一个FsImage文件。 是，执行步骤30。 否，执行步骤29。 29.清理该目录所在磁盘的冗余文件，以便给元数据存放预留足够的空间。空间清理完毕后等待1个NameNode合并元数据的周期时间，查看告警是否清除。 是，处理完毕。 否，执行步骤30。

流量标签管理 创建流量标签 1. 通过服务网格控制台 流量管理中心 > 流量标签菜单进入流量标签管理页面。 2. 选择命名空间，选择左上角使用YAML创建。 3. 基于模板编辑流量标签定义，保存即可。 修改流量标签 1. 通过服务网格控制台 流量管理中心 > 流量标签菜单进入流量标签管理页面。 2. 选择命名空间，列表页会展示当前命名空间下定义的TrafficLabel对象。 3. 选择操作栏的编辑，修改定义，保存即可。 删除流量标签 1. 通过服务网格控制台 流量管理中心 > 流量标签菜单进入流量标签管理页面。 2. 选择命名空间，列表页会展示当前命名空间下定义的TrafficLabel对象。 3. 选择操作栏的删除，即可删除已定义的TrafficLabel对象。 TrafficLabel配置说明 字段 类型 必选 说明 workloadselector WorkloadSelector No 工作负载选择器，选择当前流量标签生效的工作负载。 rule TrafficLabelRule No 流量标签定义。 TrafficLabelRule 流量标签的详细定义 字段 类型 必选 说明 labels Label No 流量标签定义。 Label 字段 类型 必选 说明 name string No 流量标签名称，该标签会被添加到请求头部。 valuefrom string No 流量标签取值，valuefrom为数组，按照顺序取到的第一个非空值作为该标签的取值。

本节主要介绍如何查看待办任务列表。 待办列表呈现当前需要您进行处理的任务。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“态势感知 > 任务中心”，默认进入我的待办页面。 5. 在待办任务列表中查看待办任务详情。 当待办任务较多时，可以通过搜索功能，选择待办任务的“创建人”、“任务名称”或“备注”，并在搜索框中输入关键词，单击，即可快速查询指定待办任务。 参数名称 参数说明 任务名称 该条任务的名称。 业务类型 任务属于的类型。 流程发布 剧本发布 剧本节点审核 关联对象 对应的剧本/流程名称。 创建人 创建任务的用户。 审核人 该剧本/流程的审核人员。 备注 任务的备注信息。 创建时间 该剧本/流程的创建时间。 更新时间 该剧本/流程的最近一次更新时间。 操作 对待办任务进行审批操作。

本节介绍如何查看自定义类型。 约束与限制 系统内置的类型和子类型不支持关联布局、编辑、删除、启用和禁用。 自定义类型新增成功后，不支持修改“数据类”、“类型名称”、“类型标识”。 子类型新增成功后，不支持修改“数据类”、“类型名称”、“类型标识”、“子类型标识”。 查看已有的自定义类型/子类型 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 运营对象”，进入运营对象的数据类页面后，选择“类型管理”页签，进入类型管理页面。 5. 在类型管理页面，选择“自定义类型”页签，进入自定义类型管理页面后，查看已有自定义类型/子类型的详细信息。 左侧显示类型列表，展示已有的类型。 如需查看某个类型的详细信息，请单击左侧类型列表中类型的名称，右侧将展示类型的详细信息。具体信息如下： 目标类型的基本信息：名称、创建人、创建时间、关联布局。 子类型列表：已有子类型、子类型名称、子类型关联的布局等信息。

参数类型 参数名 说明 取值样例 基本参数 模式或表空间 表示待抽取数据的模式或表空间名称。单击输入框后面的按钮可进入模式选择界面，分库连接时此处默认展示对应第一个后端连接的表空间。用户也可以直接输入模式或表空间名称。 如果选择界面没有待选择的模式或表空间，请确认对应连接里的帐号是否有元数据查询的权限。 说明 该参数支持配置正则表达式，实现导出满足规则的所有数据库。 SCHEMAE 基本参数 表名 表示要抽取的表名。单击输入框后面的按钮可进入表的选择界面，用户也可以直接输入表名称。 如果选择界面没有待选择的表，请确认表是否已经创建，或者对应连接里的帐号是否有元数据查询的权限。 该参数支持配置为时间宏变量，且一个路径名中可以有多个宏定义变量。使用时间宏变量和定时任务配合，可以实现定期同步新增数据。 说明 该参数支持配置正则表达式，实现导出满足规则的所有数据库。 table 高级属性 Where子句 表示配置抽取范围的Where子句，不配置时抽取整表。 该参数支持配置为时间宏变量，实现抽取指定日期的数据。 DS'${dateformat(yyyyMMdd,1,DAY)}'

步骤二：创建路由 单击目标API名称，进入API详情页，单击创建路由，在创建路由面板，配置相关参数。 1. 配置路由基本信息 必填路由名称和路径，可为该路由绑定域名。 2.所属实例&后端服务 选择对应的云原生API网关实例，使用场景选择单服务。 3.关联服务 1. 创建服务来源：进入 所属实例，选择"服务">"服务来源"，点击"创建来源"，来源类型选择"MSE Nacos"，并选择"集群"。 2. 创建服务：选择"服务">"服务管理"，点击"创建服务"，服务来源选择 "MSE Nacos"，选择对应的命名空间和服务。 c.保存并发布路由。 步骤三：路由调试 1. 路由发布成功后，单击目标路由操作列的"调试"。 2. 在调试面板中输入相关接口参数，并单击"发送请求"，在右侧即可看到服务接口的返回结果。

4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到磁盘填充动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录云容器引擎控制台，进入目标实例节点的监控指标页，观测磁盘使用率指标。 2、业务应用验证： 检查运行在目标节点上的业务 Pod 的日志，确认是否存在因“设备上没有剩余空间”而导致的错误。 测试依赖磁盘写入的功能（如日志记录、文件上传、数据持久化到 emptyDir 卷等），确认其是否按预期失败或触发了正确的降级逻辑。

4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到磁盘填充动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录云容器引擎控制台，进入目标实例节点的监控指标页，观测磁盘使用率指标。 2、业务应用验证： 检查运行在目标节点上的业务 Pod 的日志，确认是否存在因“设备上没有剩余空间”而导致的错误。 测试依赖磁盘写入的功能（如日志记录、文件上传、数据持久化到 emptyDir 卷等），确认其是否按预期失败或触发了正确的降级逻辑。

本节介绍如何新增/编辑策略。 操作场景 策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断。 约束与限制 将IP或IP地址段配置为黑名单后，来自该IP或IP地址段的访问，CFW/WAF/VPC将不会做任何检测，直接拦截。 为确保系统稳定性，同时执行的任务数量必须小于等于5个，若检测到已有5个任务正在执行，系统将禁止继续新增、重试或编辑操作。 策略新增成功后，不支持修改阻断对象（即新增时设置的IP地址或IP地址段）。 新增成功后，不支持修改策略对象、策略类型、对象类型、和已经勾选的操作连接。 新增策略 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防 > 策略管理”，进入策略管理页面后选择“策略视图”页签，进入应急策略策略管理页面。 5. 在策略管理页面中，单击“新增策略”，右侧弹出新增策略页面。 6. 在新增策略页面中，配置策略信息。 参数名称 参数说明 策略类型 根据需要选择策略类型：“阻断”或“加白名单”。 当选择“阻断”：阻断的策略对象将被禁止访问。 当选择“加白名单”：加入白名单的策略对象访问请求将被放行。 对象类型 当“策略类型”选择“阻断”时，对象类型可选范围有“IP”、“账号”、“域名”。 当“策略类型”选择“加白名单”时，对象类型可选范围有“IP”、“域名”。 请根据需要选择对象类型。 当选择“IP”：策略的操作对象是IP地址或IP地址段。 当选择“域名”：策略的操作对象是域名。 当选择“账号”：策略的操作对象是云服务账号（IAM用户名）。 策略对象 请输入策略对象。 当“对象类型”选择“IP”时：策略对象请输入IP地址或IP地址段。请输入单个或多个IP地址或IP地址段，如有多个IP地址或IP地址段，请用英文逗号隔开。 填写示例：IPV4：192.168.0.0或192.168.0.0/12，IPV6：0:0:0:0:0:0:0:0或0:0:0:0:0:0:0:0/128。 当“对象类型”选择“域名”时：策略对象请输入域名。请输入单个或多个域名，如有多个域名，请用英文逗号隔开。域名只能由字母、数字、、和.组成，单段不能超过63个字符长度。 当“策略类型”选择“阻断”且“对象类型”选择“账号”时：策略对象请输入云服务账号（IAM用户名）。请输入单个或多个云服务账号（IAM用户名），如有多个云服务账号（IAM用户名），请用英文逗号隔开。 策略生效范围 请根据需求选择“当前区域和企业项目”或“所有区域和企业项目”。 操作连接 应急策略的流程所绑定的操作连接。请根据需要选择该策略的操作连接。 当“策略类型”选择“阻断”且“对象类型”选择“IP”时：可选择防线类型为CFW、VPC、WAF对应的操作连接。 当“策略类型”选择“阻断”且“对象类型”选择“域名”时：可选择防线类型为CFW对应的操作连接。 当“策略类型”选择“加白名单”且“对象类型”选择“IP”时：可选择防线类型为WAF对应的操作连接。 当“策略类型”选择“加白名单”且“对象类型”选择“域名”时：可选择防线类型为CFW对应的操作连接。 当“策略类型”选择“阻断”且“对象类型”选择“IP”时：可选择防线类型为VPC、WAF对应的操作连接。 当“策略类型”选择“加白名单”且“对象类型”选择“IP”时：可选择防线类型为WAF对应的操作连接。 自动过期 确认新增的应急策略是否自动过期。 如果选择是，请设置策略过期时间。 如果选择否，则该策略将一直有效。 标签（可选） 自定义应急策略的标签。 策略描述（可选） 自定义该策略的描述信息。 7. 配置完成后，单击“确定”。 8. 新增策略配置完成后，返回策略管理页面，可查看新增的策略信息。

关系数据库MySQL版支持用户可自行设置Binlog的保留时长,以及允许Binlog的最大空间占用率。本文介绍关系数据库MySQL版关于Binlog日志的设置。 注意 仅II类型资源池支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 操作场景 Binlog日志占据一定空间，为防止占用不必要的空间，可根据实际场景对Binlog保留进行设置，对主实例或者只读实例的Binlog文件进行清理。 操作步骤 注意 该功能于20240327 00:00在II 类型资源池上线，该时间点前创建的新实例，需要控制台手动设置后生效。针对该时间点后创建的新实例，默认值为168小时与存储空间30%，当达到任意一个条件就会触发日志清理，请您进行合理设置。 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入基本信息页面。 4. 在使用量统计 栏，单击存储空间使用量 旁的Binlog本地设置。 5. 根据需要设置如下参数，然后单击确定。 保留时长：默认是168小时（7天），Binlog文件超过您设置的保留时长，将对最早的Binlog文件进行清理。 最大存储空间占用率：Binlog文件超过您设置的空间占有率，将对最早的Binlog文件进行清理，直至空间占用率小于设置比例。

此章节主要介绍主账号和子账号的使用流程 主账号使用流程 前置条件 已使用主账号登录到训推智算服务平台 主账号使用流程 主账号的使用流程，整体如下： 注意：资源配额和工作空间目前仅在杭州7资源池支持 主账号的使用流程按照AI全周期的工作流程进行，具体步骤如下： 流程 子任务 说明 详细指导 购买专属集群 购买专属集群 相比平台提供的默认集群资源，购买专属集群资源独享，隔离性更好 注：非必要步骤，可以使用平台提供的默认集群按需使用 需联系客户经理进行购买 创建队列 创建队列 在购买专属集群后，可以将专属集群资源按照一定维度划分成多个队列，供成员在工作空间内进行作业时使用 注：非必要步骤，非必需购买专属集群，可以使用平台提供的默认集群，默认集群无需创建队列，可直接使用。 队列管理 数据集准备与处理 创建基础数据集 可上传基础数据集到ZOS或HPFS 基础数据集 数据集准备与处理 创建标注数据集 创建标注数据集，可对数据集进行标注，并发布为新的数据集 标注数据集 数据集准备与处理 数据清洗 可以对数据进行清洗 数据处理 镜像准备 预置镜像 预置镜像即平台预先设置的完整镜像，可直接用于创建任务时使用 预置镜像 镜像准备 自定义镜像 可以通过开发机自主制作镜像或通过天翼云容器镜像服务将镜像服务内的容器共享给一体化智算平台 [自定义镜像](

主集群服务同步到从集群 进入服务网格控制台 > 点击网格实例名称 > 全局服务，选择列表中的服务的操作列中的主集群服务同步至从集群选项 注意 1. 服务只会同步到命名空间所属的从集群，可以在全局命名空间管理中编辑命名空间所属的集群 2. 如果从集群中Service不存在，主集群的Service同步到从集群时只会同步labels，ports，selector字段 3. 如果从集群中Service已经存在，主集群的Service同步到从集群时只会同步labels

本章节介绍服务发现范围 概述 应用服务网格默认发现所有命名空间的服务（即使服务没有注入sidecar），即集群内所有的服务信息都会全量推送到所有数据面，任何服务数据的变动也会触发集群范围的全量服务发现数据推送，控制面和数据面的资源消耗都会比较大；通过服务发现范围配置可以限定服务网格只发现指定范围的服务数据，减少不必要的资源消耗。 配置说明 通过服务发现范围配置规则匹配目标命名空间，服务网格将只发现目标命名空间下的服务。当前支持两种匹配方式： 标签选择器：通过标签选择器精确匹配目标命名空间的标签。 表达式匹配：通过标签值和目标表达式进行匹配，当前支持的匹配模式如下。 匹配操作 举例 说明 In key: appoperator: Invalues: cassandra spark app标签值为cassandra或spark时匹配。 NotIn key: appoperator: NotInvalues: cassandra spark app标签值不等于cassandra且不等于spark时匹配。 Exists key: appoperator: Exists app标签存在时匹配。 DoesNotExist key: appoperator: DoesNotExist app标签不存在时匹配。 配置服务发现范围 进入应用服务网格控制台网格实例详情页，选择网格优化中心> 服务发现范围 菜单，默认不存在服务发现范围配置，如下图： 点击新增规则可以创建一条匹配规则，每条规则由一组标签选择器和匹配表达式组成，必须同时满足一条规则内的标签选择器和匹配表达式才算匹配当前规则（AND关系），多条规则之间是OR关系，一个命名空间匹配一条规则即可被选中。 功能验证 默认情况下服务发现范围配置为空，我们通过envoy admin接口导出配置数据，可以看到cds数据如下： 更新服务发现范围配置，只发现demo命名空间下的服务，如下： 再次导出配置数据，可以看到cds数据只包含demo命名空间下的服务以及部分ServiceEntry产生的配置：

本文主要介绍如何采集Systemd Journal日志 云日志服务采集器lmtagent支持从原始的二进制文件中采集Linux云主机系统的Systemd Journal日志。 Systemd Journal日志介绍 Systemd是专门用于Linux操作系统的系统与服务管理器。当作为启动进程（PID1）运行时，它将作为初始化系统，启动并维护各种用户空间服务，同时统一管理所有Unit的日志（包括内核和应用日志），其配置文件一般为/etc/systemd/journald.conf。 前提条件 目标云主机已安装日志采集器lmtagent，且已创建主机组。 接入步骤 1. 登录云日志服务控制台。 2. 左侧菜单栏点击“日志接入”，进入接入管理页面 3. 在“数据导入”模块中，点击“Systemd Journal日志” 4. 选择目标日志项目和日志单元，单击下一步。 5. 在选择主机组页面，选择目标主机组。 6. 在采集配置页面，设置如下参数，确认无误后，单击下一步 参数 说明 采集规则名称 设置采集规则名称 Systemd Journal日志路径 Journal日志路径，建议配置为Journal日志所在目录，例如/var/log/journal。 首次采集方式 首次采集方式，可以配置为全量或增量。默认为增量。 全量表示采集所有数据。 增量表示只采集lmtagent采集配置被应用后的新数据。 采集内核日志 是否采集内核日志。 解析syslog日志的facility字段 是否解析syslog日志的facility字段。 解析Priority字段 是否解析syslog日志的Priority字段。 使用Journal日志中的字段作为日志时间 是否使用Journal日志中的字段作为日志时间，不配置时，将使用采集时间作为日志时间。 7. 创建索引。默认开启全文索引，您也可以根据需要手动创建字段索引用于字段查询。 8. 点击完成，即可完成导入任务创建。等待1分钟左右，在查询日志界面能查询到日志，则说明接入成功。

2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎节点。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎节点实例。 添加故障动作 ：单击立即添加 ，在列表中选择磁盘填充动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 目录：填充目标，默认为系统根目录 /。强烈建议指定一个非系统盘的数据目录。 文件大小(MB)：填充的文件大小，取值是整数，例如1024。 磁盘使用率：目标占用率，例如50代表50%的使用率。 保留大小(MB)：保留的磁盘大小，如果文件大小、磁盘使用率、保留大小参数都存在，优先级是磁盘使用率>保留大小>文件大小。 3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到磁盘填充动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录云容器引擎控制台，进入目标实例节点的监控指标页，观测磁盘使用率指标。 2、业务应用验证： 检查运行在目标节点上的业务 Pod 的日志，确认是否存在因“设备上没有剩余空间”（No space left on device）而导致的错误。 测试依赖磁盘写入的功能（如日志记录、文件上传、数据持久化到 emptyDir 卷等），确认其是否按预期失败或触发了正确的降级逻辑。 验证您的磁盘空间监控告警是否被成功触发。 执行 kubectl describe node [节点名称]，查看 Conditions 中是否出现 DiskPressure 状态，以及是否有 Pod 被 kubelet 驱逐（Evicted）的事件记录。

2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎节点。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎节点实例。 添加故障动作 ：单击立即添加 ，在列表中选择磁盘填充动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 目录：填充目标，默认为系统根目录 /。强烈建议指定一个非系统盘的数据目录。 文件大小(MB)：填充的文件大小，取值是整数，例如1024。 磁盘使用率：目标占用率，例如50代表50%的使用率。 保留大小(MB)：保留的磁盘大小，如果文件大小、磁盘使用率、保留大小参数都存在，优先级是磁盘使用率>保留大小>文件大小。 3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到磁盘填充动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录云容器引擎控制台，进入目标实例节点的监控指标页，观测磁盘使用率指标。 2、业务应用验证： 检查运行在目标节点上的业务 Pod 的日志，确认是否存在因“设备上没有剩余空间”（No space left on device）而导致的错误。 测试依赖磁盘写入的功能（如日志记录、文件上传、数据持久化到 emptyDir 卷等），确认其是否按预期失败或触发了正确的降级逻辑。 验证您的磁盘空间监控告警是否被成功触发。 执行 kubectl describe node [节点名称]，查看 Conditions 中是否出现 DiskPressure 状态，以及是否有 Pod 被 kubelet 驱逐（Evicted）的事件记录。

本节主要介绍如何执行关闭/删除事件操作。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面。 5. 在事件管理页面中，对事件进行关闭或删除操作。 参数名称 参数说明 关闭事件 1. 单击目标事件所在行“操作”列的“关闭”，弹出关闭事件确认框。 如果需要关闭多条事件，可以在事件列表中勾选需要关闭的事件，并单击列表上方“批量关闭”。 2. 在关闭确认框中，选择“关闭原因”并填写“关闭评论”后，单击“确认”。 删除事件 1. 在事件管理页面，单击目标事件所在行“操作”列的“删除”，弹出删除事件确认框。 如果需要删除多条事件，可以在事件列表中勾选需要删除的事件，并单击列表上方“批量删除”。 2. 确认无误后，在弹出的确认框中，单击“确认”。 说明 事件删除后，不可找回，请谨慎操作。

步骤三：高级配置 高级配置 1. 设置“云主机名称”。 名称可自定义，但需符合命名规则：只能由中文字符、英文字母、数字及“”、“”、“.”组成。 如果同时创建多台弹性云主机，系统会自动按序增加后缀。 一次创建多台弹性云主机时，系统自动增加后缀，例如：输入ecs，云主机名称为ecs0001, ecs0002，……。再次创建多台云主机时，命名从上次最大值连续增加，例如：输入ecs，已有云主机ecs0010，新创云主机名称为ecs0011、ecs0012、……，命名达到9999时，从0001开始。 允许重名：允许创建的云主机名称相同。如果是批量创建，勾选“允许重名”后，批量创建的多台云主机名称全部相同，不再按序增加。 2. 设置“登录凭证”。 “密钥对”方式创建的弹性云主机安全性更高，建议选择“密钥对”方式。如果您习惯使用“密码”方式，请增强密码的复杂度，如表21所示，保证密码符合要求，防止恶意攻击。 − 密钥对 指使用密钥对作为弹性云主机的鉴权方式。您可以选择使用已有的密钥，或者单击“新建密钥对”创建新的密钥。 说明 如果选择使用已有的密钥，请确保您已在本地获取该文件，否则，将影响您正常登录弹性云主机。 − 密码 指使用设置初始密码方式作为弹性云主机的鉴权方式，此时，您可以通过用户名密码方式登录弹性云主机。 Linux操作系统时为root用户的初始密码，Windows操作系统时为Administrator用户的初始密码。 密码复杂度需满足下表要求。 表 创建弹性云主机时密码设置规则 参数 规则 样例 密码 密码长度范围为8到26位。密码至少包含以下4种字符中的3种：大写字母小写字母数字特殊字符，包括“$”、“!”、“@”、“%”、“”、“”、“”、“+”、“[”、“]”、“:”、“.”、“/”、“^”、“,”、“{”、“}”和“?”密码不能包含用户名或用户名的逆序。Windows系统的弹性云主机，不能包含用户名中超过两个连续字符的部分。 YNbUwp!dUc9MClnv说明样例密码随机生成，请勿复制使用样例。 说明 系统不会定期自动修改弹性云主机密码。为安全起见，建议您定期修改密码。 − 创建后设置 暂不设置弹性云主机的密码。待弹性云主机创建成功后，您需要单击“操作”列下的“重置密码”，根据界面提示，为弹性云主机设置密码，然后登录弹性云主机。 3. 设置“云备份”。 云备份提供对云硬盘和弹性云主机的备份保护，并支持利用备份数据恢复云主机和云硬盘的数据。云备份设置完成后，系统会将弹性云主机绑定至云备份存储库并绑定所选备份策略，定期备份弹性云主机。 您可以根据实际情况选择以下三种方式。 − 自动分配： i. 输入云备份存储库的名称：只能由中文字符、英文字母、数字、下划线、中划线组成，且长度小于等于64个字符。例如：vaultf61e。默认的命名规则为“vaultxxxx”。 ii. 输入存储库的容量：此容量为备份云主机所需的容量。存储库的空间不能小于云主机的空间。取值范围为[云主机总容量，10485760]GB。 iii. 设置备份策略：在下拉列表中选择备份策略，或进入云备份控制台查看或编辑备份策略。 − 使用已有： i. 选择云备份存储库的名称：在下拉列表中选择已有的云备份存储库。 ii. 设置备份策略：在下拉列表中选择备份策略，或进入云备份控制台查看或编辑备份策略。 − 不使用：跳过云备份的配置步骤。如云主机创建成功后仍需设置备份保护，请进入云备份控制台找到目标存储库，绑定服务器。 4. 设置云主机组 可选配置，云主机组内的弹性云主机将遵循反亲和策略，尽量分散地创建在不同主机上。创建云主机组的详细操作，请参见管理弹性云主机组。 说明 包含本地盘的弹性云主机无法在创建后加入弹性云主机组，如需使用弹性云主机组功能，请在创建时选择弹性云主机组。 5. 配置“高级配置”：如需使用“高级配置”中的功能，请勾选“现在配置”。否则，请勿勾选。 − 文件注入 可选配置，主要用于创建云主机时向云主机注入脚本文件或其他文件。配置文件注入后，系统在创建云主机时自动将文件注入到指定目录下。 例如：您可以通过注入一段脚本，激活待创建云主机的root用户权限，注入成功后，您可以使用root用户登录弹云主机。 文件注入的详细操作，请参见文件注入。 − 用户数据注入 可选配置，主要用于创建云主机时向云主机注入用户数据。配置用户数据注入后，云主机首次启动时会自行注入数据信息。 例如：您可以通过注入一段脚本，激活待创建云主机的root用户权限，注入成功后，您可以使用root用户登录弹云主机。 用户数据注入的详细操作，请参见用户数据注入。 − 委托 可选配置。当需要与其他帐号共享云主机资源，或者委托更专业的人或团队来代为管理时，租户管理员可以在IAM创建委托并授予云主机资源的管理权限。被委托方使用自己的用户登录系统后，切换到您的帐号下管理资源，避免您将自己的安全凭证（密码）共享给其他帐号，确保了您的帐号安全。 如果您在IAM上创建了委托，可以通过单击下拉列表选择委托名称，获取相应权限。如何创建委托，请参见《统一身份认证服务用户指南》。 − CPU选项 可选配置。 当需要为云主机实例开启或关闭超线程时，勾选“指定CPU选项”。关于超线程的详细介绍，请参见“开启/关闭超线程”章节。当勾选“指定CPU选项”时，显示该参数。在“每核心线程数”下拉框进行设置。 当需要为云主机实例开启或关闭灵动核时，勾选“开启灵动核”。关于灵动核的详细介绍，请参见“开启/关闭灵动核”章节。 6. 单击“下一步：确认配置”。

计算 天翼云弹性云主机服务协议 天翼云物理机服务协议 天翼云弹性伸缩服务协议 天翼云镜像服务协议 天翼混合云一体机iStack服务协议 天翼云弹性高性能计算服务协议 天翼云云迁移服务协议 天翼云函数工作流服务协议 天翼云云骁智算服务协议 天翼云轻量型云主机服务协议 天翼云云监控服务协议 存储 天翼对象存储系统服务协议 天翼云存储网关服务协议 天翼云硬盘服务协议 天翼云弹性文件服务协议 天翼云云主机备份服务协议 天翼云云服务备份服务协议 天翼云云硬盘备份服务协议 天翼云存储容灾服务协议 天翼云云备份服务协议 天翼云云容灾服务协议 天翼云存储资源盘活系统服务协议 天翼云并行文件HPFS服务协议 天翼云海量文件OceanFS服务协议 天翼云混合存储网关服务协议 天翼云云空间服务协议 天翼云弹性容器实例服务协议

支持权限管理的资源 权限设置说明 “SUPERUSERGROUP” 选中时表示授予HBase管理员权限。 “Global” HBase的一种资源类型，表示HBase整体组件。 “Namespace” HBase的一种资源类型，表示命名空间，用来保存HBase表。 具体权限： “Admin”：表示管理此命名空间的权限。 “Create”：表示在此命名空间创建HBase表的权限。 “Read”：表示访问此命名空间的权限。 “Write”：表示写入此命名空间数据的权限。 “Execute”：表示可执行协处理器（Endpoint）的权限。 “Table” HBase的一种资源类型，表示数据表，用来保存数据。 具体权限： “Admin”：表示管理此数据表的权限。 “Create”：表示在此数据表创建列族和列的权限。 “Read”：表示读取数据表的权限。 “Write”：表示写入数据到表的权限。 “Execute”：表示可执行协处理器（Endpoint）的权限。 “ColumnFamily” HBase的一种资源类型，表示列族，用来保存数据。 具体权限： “Create”：表示在此列族创建列的权限。 “Read”：表示读取列族的权限。 “Write”：表示写入数据到列族的权限。 “Qualifier” HBase的一种资源类型，表示列，用来保存数据。具体权限： “Read”：表示读取列的权限。 “Write”：表示写入数据到列的权限。

支持权限管理的资源 权限设置说明 “SUPERUSERGROUP” 选中时表示授予HBase管理员权限。 “Global” HBase的一种资源类型，表示HBase整体组件。 “Namespace” HBase的一种资源类型，表示命名空间，用来保存HBase表。 具体权限： “Admin”：表示管理此命名空间的权限。 “Create”：表示在此命名空间创建HBase表的权限。 “Read”：表示访问此命名空间的权限。 “Write”：表示写入此命名空间数据的权限。 “Execute”：表示可执行协处理器（Endpoint）的权限。 “Table” HBase的一种资源类型，表示数据表，用来保存数据。 具体权限： “Admin”：表示管理此数据表的权限。 “Create”：表示在此数据表创建列族和列的权限。 “Read”：表示读取数据表的权限。 “Write”：表示写入数据到表的权限。 “Execute”：表示可执行协处理器（Endpoint）的权限。 “ColumnFamily” HBase的一种资源类型，表示列族，用来保存数据。 具体权限： “Create”：表示在此列族创建列的权限。 “Read”：表示读取列族的权限。 “Write”：表示写入数据到列族的权限。 “Qualifier” HBase的一种资源类型，表示列，用来保存数据。具体权限： “Read”：表示读取列的权限。 “Write”：表示写入数据到列的权限。

当您需要在linux创建swap分区/swap文件时,可参考此文本。 适用场景 本节操作以CentOS 6.8操作系统云服务器为例，指导用户创建swap分区。 约束与限制 操作过程中涉及创建指定大小的文件，请确认系统磁盘空间有足够的空余空间。 场景一：使用块设备创建swap 1. 执行以下命令，新建一个分区（以2G为例）。 fdisk /dev/vdb 回显信息如下： Command (m for help): n Partition type: p primary (0 primary, 0 extended, 4 free) e extended Select (default p): Using default response p Partition number (14, default 1): First sector (204820971519, default 2048): Using default value 2048 Last sector, +sectors or +size{K,M,G} (204820971519, default 20971519): +2G Partition 1 of type Linux and of size 2 GiB is set Command (m for help): p Disk /dev/vdb: 10.7 GB, 10737418240 bytes, 20971520 sectors Units sectors of 1 512 512 bytes Sector size (logical/physical): 512 bytes / 512 bytes I/O size (minimum/optimal): 512 bytes / 512 bytes Disk label type: dos Disk identifier: 0x1f02f438 Device Boot Start End Blocks Id System /dev/vdb1 2048 4196351 2097152 83 Linux Command (m for help): w The partition table has been altered! Calling ioctl() to reread partition table. Syncing disks. 2. 执行以下命令，将新建的分区创建为swap。 mkswap /dev/vdb1 3. 执行以下命令，激活swap分区。

状态 说明 运行中 数据库实例正常可用。 异常 数据库实例不可用。 扩缩容中 数据库实例的规格、磁盘空间或存储空间变更中。 备份中 正在备份数据库实例。 恢复中 正在恢复备份到实例中。 恢复失败 实例恢复失败。 锁定中 数据库实例磁盘空间使用率超过99%或剩余空间小于5G时，数据库只可读。数据空间扩容后，实例自动恢复正常。 已退订 数据库实例已过订购有效期。 已冻结 按需数据库实例因账户欠费导致冻结。

只能使用TCP协议访问6379端口 protocol: TCP port: 6379 示意图如下所示。 图 podSelector 使用namespaceSelector设置访问范围 apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: testnetworkpolicy spec: podSelector: 规则对具有roledb标签的Pod生效 matchLabels: role: db ingress: 表示入规则 from: namespaceSelector: 只允许具有projectmyproject标签的命名空间中的Pod访问 matchLabels: project: myproject ports: 只能使用TCP协议访问6379端口 protocol: TCP port: 6379 示意图如下所示。 图 namespaceSelector 在控制台创建网络策略 步骤 1 登录CCE控制台，单击集群名称进入集群。 步骤 2 在左侧导航栏中选择“服务发现”，在右侧选择“网络策略”页签，单击右上角“创建网络策略”。 策略名称：自定义输入NetworkPolicy名称。 命名空间：选择网络策略所在命名空间。 选择器：输入标签选择要关联的Pod，然后单击添加。您也可以单击“引用负载标签”直接引用已有负载的标签。 入方向规则：单击添加入方向规则。 表 添加规则 参数 参数说明 协议端口 请选择对应的协议类型和端口，目前支持TCP和UDP协议。 源对象命名空间 选择允许哪个命名空间的对象允许访问。 源对象Pod标签 选择允许带有这个标签的Pod访问。 步骤 3设置完成后，单击“确定”。

查看SQL变更工单详情 1. 用户登录DMS系统。 2. 在左侧菜单栏依次选择 开发空间 > SQL变更。 3. 点击要查看的工单操作列详情按钮，系统显示SQL工单详情页面。 复制创建工单 1. 用户登录DMS系统。 2. 在左侧菜单栏依次选择 安全协作 > 工单列表。 3. 点击要查看的工单操作列详情按钮，系统显示SQL变更工单详情页面。 4. 点击顶部复制创建按钮，进入到工单编辑界面。 5. 填写和修改工单信息，点击提交完成SQL变更工单的复制创建。 撤回SQL变更工单 1. 用户登录DMS系统。 2. 在左侧菜单栏依次选择 开发空间 > SQL变更。 3. 点击要查看的工单操作列详情按钮，系统显示SQL变更工单详情页面。 4. 点击底部撤回按钮，系统显示SQL变更工单撤回弹窗。 5. 点击确定按钮，完成SQL变更工单的撤回。 注意 当工单任务状态为提交成功、预检查中、审批中时，才能进行撤回操作。 重试SQL变更工单 1. 用户登录DMS系统。 2. 在左侧菜单栏依次选择 开发空间 > SQL变更。 3. 点击要查看的工单操作列详情按钮，系统显示SQL变更工单详情页面。 4. 点击底部重试工单按钮，系统显示SQL变更工单重试弹窗。 5. 点击确定按钮，完成SQL变更工单的重试。 注意 当工单处于工单异常状态时，才能进行此操作。 执行SQL变更工单 1. 用户登录DMS系统。 2. 在左侧菜单栏依次选择 开发空间 > SQL变更。 3. 点击要查看的工单操作列详情按钮，系统显示SQL变更工单详情页面。 4. 点击底部执行按钮，系统显示SQL变更工单执行弹窗。 5. 点击确定按钮，完成SQL变更工单的执行。

网络权限配置 网络隔离配置 借助虚拟私有云（VPC）构建隔离的虚拟网络环境，VPC 内可创建子网划分网段，不同 VPC 默认无法内网互通，实现网络层面的基础隔离。同时，可通过安全组、网络 ACL 等措施，进一步限制子网与云主机的出入流量，实现业务间的安全隔离。 搭建安全网络环境 在 VPC 规划上，可按业务单元或安全等级划分 VPC，规划共享服务 VPC 集中部署公共服务。合理设计 CIDR，预留地址空间，通过对等连接等方式实现必要的跨 VPC 互联。在互联网访问方面，部署 NAT 网关作为私有子网访问外网的出口，对需要公网服务的子网配置相应规则。同时，跨可用区部署关键服务与负载均衡，提升网络可用性与安全性。此外，通过安全组与网络 ACL 配置精细的访问控制规则，限制跨 VPC 访问与公网访问范围，保障网络环境安全。 应用防护安全 应用的网络流量攻击防护 使用基础DDoS防御与DDoS高防，天翼云为云主机提供免费 DDoS 基础防护能力，依托资源池网络，在公网 IP 遭受 DDoS 攻击时，能提供一定防护阈值，在阈值内保障 IP 可用。当攻击超出阈值时，为保护资源池整体稳定，IP 会进入封禁状态。若基础防护无法满足需求，用户可选择 DDoS 高防等更高级别防护产品。 应用的漏洞攻击防护 使用Web应用防火墙（原生版）为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。

本节介绍了集群巡检的用户指南。 前提条件 1、已创建容器集群，具体操作请参见创建集群 。 2、集群已安装cubeeye插件，具体操作请参考安装插件 。 操作步骤 配置集群巡检 1、登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2、在集群列表中点击需要配置巡检的集群，进入集群管理页面。 3、在集群管理页面导航栏中选择运维管理 > 集群巡检 > 添加 ，进入集群巡检配置页面。 4、在集群巡检配置页面，设置定时规则 ，阅读注意事项后选择我已知晓并同意 ，然后点击确定。 查看巡检结果 1、登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2、在集群列表中点击需要查看巡检结果的集群，进入集群管理页。 3、在集群管理页面导航栏中选择运维管理 > 集群巡检 ，选择需要查看的报告，点击查看详情。 4、报告详情页会展示集群的风险项，可以对风险项的级别、风险类型、命名空间进行筛选，每个风险项都会给出异常影响及解决方案。