检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

参数 是否必填 参数类型 说明 示例 下级对象 instanceName 是 String 实例名称（530个字符，只能包含小写字母、数字及分隔符("")，且必须以小写字母开头，数字或小写字母结尾） myinstance instanceType 是 String 实例类型（企业版：enterprisebasic） enterprisebasic crUserName 是 String 用户名称（530个字符，只能包含小写字母、数字及分隔符("")，且必须以小写字母开头，数字或小写字母结尾），可以复用已有实例的用户名，也可以使用新的 myuser crUserPassword 否 String 用户密码（密码长度在850个字符，且需包含至少一个大写字母、一个小写字母、一个数字和一个特殊字符），如果复用已有实例的用户名，不需要传密码（传了密码也不会起作用），如果使用新的用户名，需要传密码 Abc@12345 ossBucket 是 String 对象存储的Bucket名称（需要开通对象存储（原生版）I型，并创建Bucket） mybucket billMode 是 String 计费模式（按周期计费为1，按需计费为2） 1 cycleType 是 String 订购周期类型（3为按月计费） 3 cycleCnt 是 Integer 订购时长（单位为月），目前只支持1、2、3、4、5、6、12 3 repositoryExtraQuota 否 Integer 额外仓库配额（默认已包含仓库配额1000，如果配额依然不足，您可以按需额外增加仓库配额包。仓库配额由容器镜像和HelmChart共享。 单项费用：每增加1000个仓库配额，额外需100元/月。详见计费说明） 0 namespaceExtraQuota 否 Integer 额外命名空间配额（默认已包含命名空间配额15，如果配额依然不足，您可以按需额外增加命名空间配额包。命名空间配额由配额由容器镜像和HelmChart共享。 单项费用：每增加5个命名空间配额，额外需25元/月。详见计费说明） 0 autoRenewStatus 否 Boolean 是否自动续期（默认为false） false autoRenewCycleType 否 String 自动续期单位（目前只提供按月计费，该值只能为3） 3 autoRenewCycleCount 否 Integer 自动续期时长（目前只提供按月计费，代表自动续期多少个月） 3 autoPay 否 Boolean 是否自动付款（默认为false） false projectId 否 String 企业项目ID（默认为0，代表default企业项目） 188781daa55d42679c3e364f7b780fc6 preferPayType 否 String 优先支付方式:vouch代金卷(默认)/cash账户余额支付 vouch

编辑事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面。 5. 在事件管理列表中，单击目标事件所在行“操作”列的“编辑”，右侧弹出编辑事件页面。 6. 在弹出的“编辑”页面中，编辑事件参数。 参数名称 参数说明 基础信息 事件名称 自定义事件名称，命名规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过255个字符。 基础信息 事件类型 选择事件类型。 基础信息 （可选）业务ID 填写事件对应的业务ID。 基础信息 事件等级 选择严重等级，可选择以下等级：提示、低危、中危、高危、致命。 基础信息 状态 选择事件状态，可选择以下状态：打开、阻塞、关闭。 基础信息 数据源产品名称 选择数据源产品的名称，不支持修改。 基础信息 数据源类型 选择数据源所属类型，不支持修改。 基础信息 （可选）责任人 选择事件的主要责任人。 时间线 首次发生时间 该事件首次发生时间。 时间线 （可选）最近发现时间 该事件最近一次发生的具体时间。 时间线 （可选）计划关闭时间 选择事件计划关闭时间。 其他 （可选）验证状态 选择事件的验证状态，标识事件的准确性。可选择以下状态：未知、确认、误报。 其他 （可选）阶段 选择您的事件阶段。 准备：准备资源处理事件。 检测与分析：检测与分析事件发生原因。 控制、清除、恢复：进行事件问题处理。 事件后活动：事件处理完成后的后续活动。 其他 （可选）模拟调试项 选择是否开启模拟调试功能，不支持修改。 其他 （可选）标签 填写事件的标签。 其他 描述 事件描述信息，输入规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过1024个字符。 7. 单击“确认”，完成事件编辑。

本章节会介绍天翼云关系型数据库如何创建新实例。 操作场景 本节将介绍在关系型数据库服务的管理控制台创建实例的过程。 RDS for MySQL支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的关系型数据库实例。 操作步骤 步骤 1. 登录管理控制台。 步骤 2. 单击管理控制台左上角的，选择区域和项目。 步骤 3. 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4. 在“实例管理”页面，单击“创建数据库实例”。 步骤 5. 在“服务选型”页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 图1 创建数据库实例 计费模式 包年/包月 ： 若选择该模式，跳过步骤1，执行步骤2。 按需计费 ： 若选择该模式，继续执行步骤1。 表1 基本信息 参数 描述 :: 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： − 相同，主机和备机会部署在同一个可用区。 − 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 单机：采用单个数据库节点部署架构，与主流的主备实例相比，它只包含一个节点，但具有高性价比。适用于个人学习、微型网站以及中小企业的开发测试环境。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。 表2 规格与存储 参数 描述 :: 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 创建成功后可进行规格变更 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 普通I/O：磁盘类型SATA，最大吞吐量90MB/s 高I/O：磁盘类型SAS，最大吞吐量150MB/s 超高I/O：磁盘类型SSD，最大吞吐量350MB/s 存储池 只有选择“专属存储”的用户才有此选项，是购买专属分布式存储服务时确定的独享的存储池，该存储池与其他池物理隔离，安全性高。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。存储空间支持40GB到4000GB，用户选择容量大小必须为10的整数倍。 数据库创建成功后可进行扩容。 表3 网络 参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 说明 目前RDS实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 表4 数据库配置 参数 描述 :: 管理员帐户 数据库的登录名默认为root。 管理员密码 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入!@

数据管理服务支持数据来源为云数据库、数据类型为MySQL、地域/资源池一致的不同实例之间进行数据复制，本文介绍如何提交复制任务。 注意 仅II类型资源池支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 前提条件 操作用户拥有对源数据库与目标数据库的的读写权限。 源数据库与目标数据库均已是登录状态。 操作步骤 1. 登录数据管理服务控制台。 2. 打开左侧导航栏，选择开发空间> 数据复制 ，进入数据复制管理页面，开始创建复制任务。 3. 单击数据复制选项，按照要求填写数据复制工单，具体的填写说明如下表所示。 输入内容 说明 源数据库 数据库实例选择列表，数据来源于 数据资产元数据管理 中添加的数据库实例，支持来源为云数据库的MySQL。 源数据库表选择 根据需求选择全部表或部分表。 请选择表 若在源数据库表选择中选中部分表选项，则可以根据需求在请选择表下拉选项中选择需要克隆的表。 目标数据库 数据库实例选择列表，数据来源于 数据资产元数据管理 中添加的数据库实例，支持来源为云数据库的MySQL。 复制范围 根据需求选择表结构或全量数据。 附加范围 根据需求选择视图、存储过程、函数、事件、触发器五个选项中的一个或者多个。 同名对象处理 根据需求选择跳过同名对象或覆盖同名对象。 计划执行时间 根据需求选择立即执行或指定时间。 选择日期时间 若在计划执行时间选择指定时间，则可以在选择日期时间根据需求选择开始时间点。 工单说明 描述工单备注内容。 4. 按照需求填写好数据复制工单后，单击提交选项完成工单的提交，等待数据复制完成。

本节主要介绍创建网格 ASM支持创建基础版网格，提供商用级网格服务。 前提条件 启用应用服务网格前，您需要创建或已有一个可用集群，并确保集群版本为v1.15及以上。 约束与限制 应用服务网格依赖集群CoreDNS的域名解析能力，请确保集群拥有足够资源，且CoreDNS插件运行正常。 集群启用Istio时，需要开通node节点（计算节点/工作节点）所在安全组的入方向7443端口规则，用于Sidecar自动注入回调。如果您使用CCE创建的默认安全组，此端口会自动开通。如果您自建安全组规则，请手动开通7443端口，以确保Istio自动注入功能正常。 操作步骤 步骤 1 登录应用服务网格控制台。 步骤 2 单击右上角“创建网格”。 步骤 3 设置网格参数。 网格类型 默认为基础版网格。 网格名称 网格的名称，取值必须以小写字母开头，由小写字母、数字、中划线（）组成，且不能以中划线（）结尾，长度范围为4~64个字符。 同一帐号下网格不可重名，且网格名称创建后不可修改。 Istio版本 网格支持的Istio版本。 启用IPv6 启用双栈网格需满足以下条件： 网格类型 Istio版本 支持启用的集群类型 集群网络类型 其他说明 基础版 1.18及以上 CCE Turbo集群 云原生网络2.0 集群需要已启用IPv6 说明 是否启用IPv6功能，仅istio1.18及以上版本的基础版网格支持。 低版本的网格升级到1.18及以上时，不支持升级后开启IPv4/IPv6双栈。 网格开启IPv4/IPv6双栈后不支持关闭， 未开启双栈的网格也不支持创建完成之后开启双栈。 集群 在集群列表中选择集群，或在列表右上角输入集群名称搜索需要的集群。仅可选择当前网格版本支持的集群版本。 Istio控制面节点 基础版网格的控制面组件安装在用户集群，因此需要选择用于安装Istio控制面的节点。如果需要高可用，建议选择两个或以上不同可用区的节点。 所选节点会被添加istio:master标签，网格组件会调度到该节点上。 步骤 4（可选）高级配置。 sidecar配置 选择命名空间，为命名空间设置标签istioinjectionenabled，其中的Pod在重启后会自动注入istioproxy sidecar。 如果不进行sidecar配置，可在网格创建成功后在“网格配置 > sidecar管理”中注入sidecar。具体操作请参考sidecar注入。 是否重启已有服务 ：会重启命名空间下已有服务关联的Pod，将会暂时中断业务。只有在重启后，已有服务关联的Pod才会自动注入istioproxy sidecar。 ：已有服务关联的Pod不会自动注入istioproxy sidecar，需要在CCE控制台，手动重启工作负载才会注入sidecar。 步骤 5 设置完成后，在页面右侧配置清单确认网格配置，确认无误后，单击“提交”。 创建网格预计需要1~3分钟，请耐心等待。当网格状态从“安装中”变为“运行中”，表示网格创建成功。 说明 启用网格期间会操作如下资源： 创建一个Helm应用编排release对象，作为服务网格控制面的资源。 开通节点的安全组，允许7443端口的入流量，使其支持对Pod进行自动注入。

本节介绍了容器镜像安全扫描(个人版)的用户指南。 容器镜像服务CRS支持所有基于Linux的容器镜像安全扫描，识别镜像中所有已知的漏洞信息，并对漏洞信息进行风险评估。本文介绍如何指定镜像版本扫描和指定目标命名空间的容器镜像扫描，如何获取镜像漏洞信息。 概述 在云原生平台中，容器镜像安全是云原生应用交付安全的重要一环，为了保障部署的服务安全性，防止服务因镜像漏洞被恶意攻击， 容器镜像服务CRS提供了对镜像进行安全扫描功能，不仅提升了容器整体的安全性，保护服务的安全。您可以在容器镜像服务页面中触发扫描，安全扫描的时长主要取决于镜像的大小，一般情况下扫描一个镜像可以在三分钟之内完成。当前镜像安全扫描服务基于开源Trivy 方案，相关漏洞信息来自官方漏洞库，并定期保持同步。 注意 受扫描引擎限制，建议镜像单层大小不要超过3GB，否则可能出现扫描失败。 操作步骤 1. 进入容器镜像服务控制台。 2. 点击已开通个人版实例名称。 3. 左侧导航栏点击镜像仓库。 4. 在镜像仓库页面点击目标仓库名，进入镜像版本列表页面。 5. 点击需要扫描的镜像版本右侧的安全扫描按钮，后台会创建一个扫描任务。 6. 等待扫描完成后，可在漏洞栏查看扫描结果。 7. 点击镜像版本 Digest 名称，可在镜像详情页中查看漏洞的具体信息。

本节介绍了容器镜像安全扫描(企业版)的用户指南。 容器镜像服务CRS支持所有基于Linux的容器镜像安全扫描，识别镜像中所有已知的漏洞信息，并对漏洞信息进行风险评估。本文介绍如何指定镜像版本扫描和指定目标命名空间的容器镜像扫描，并获取镜像漏洞信息。 概述 在云原生平台中，容器镜像安全是云原生应用交付安全的重要一环，为了保障部署的服务安全性，防止服务因镜像漏洞被恶意攻击， 容器镜像服务CRS提供了对镜像进行安全扫描功能，不仅提升了容器整体的安全性，保护服务的安全。您可以在容器镜像服务页面中触发扫描，安全扫描的时长主要取决于镜像的大小，一般情况下扫描一个镜像可以在三分钟之内完成。当前镜像安全扫描服务基于开源Trivy 方案，相关漏洞信息来自官方漏洞库，并定期保持同步。 注意 受扫描引擎限制，建议镜像单层大小不要超过3GB，否则可能出现扫描失败。 操作步骤 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击 "容器镜像" "镜像仓库"。 4. 在镜像仓库页面点击目标仓库名，进入镜像版本列表页面。 5. 点击需要扫描的镜像版本右侧的安全扫描按钮，后台会创建一个扫描任务。 6. 等待扫描完成后，可在漏洞栏查看扫描结果。 7. 点击镜像版本 Digest 名称，可在镜像详情页中查看漏洞的具体信息。

本文介绍如何创建配置项。 配置项是一种用于存储应用所需配置信息的资源类型，内容由用户决定。资源创建完成后，可在容器应用中加载使用。例如，在“数据卷”中加载资源文件，使其成为容器中的文件，或者在“环境变量”中加载，使其成为容器中的环境变量。 操作步骤 1.单击左侧导航栏的【配置中心】>【配置项】，单击【创建配置项】； 2.参照下表设置新增配置参数，其中带“”标志的参数为必填参数。输入完成后，单击【创建】； 参数 参数说明 集群 配置项所在集群 命名空间 配置项所在命名空间[]( 名称 新建配置项的名称，同一个命名空间里命名必须唯一 添加项/删除项 增加/删除一对键、配置项内容 键 配置项的键值。键值只能由字母、数字、句点、连字符和下划线组成 配置项内容 配置项的内容，通过上传文件/直接输入来表示 3.单击【创建】，等待创建成功，创建成功后，服务列表中会出现已创建的配置项，后续可进行编辑配置项、编辑YAML、删除配置项等操作。

本实践介绍了用户可能发生的备份异常场景,您可按照本实践内容进行排查和处理。 问题表现： 在手动执行备份或备份策略自动执行备份时，备份任务执行失败。 可能原因1：备份执行所关联的存储库使用容量已超过总容量。 注意：存储库已使用容量超过总容量上限后，备份服务将不会继续执行新的备份，策略的自动执行会失败，在此期间将不会有新的备份数据可用。 建议操作： 您可以通过增加存储库总容量或减少备份副本的数量和容量来增加存储库的可使用容量空间。 1. 扩容存储库：如果希望能够继续产生新的备份数据同时也保留已生成的旧备份数据（在备份策略保留期内的），可以选择扩容存储库，具体操作请参考扩容存储库。 2. 取消全量备份配置：全量备份通常会占用更多的存储库空间，如果您在备份策略中配置了定期全量备份，可以取消定期全量备份的配置来减少后续备份对存储库空间的占用，具体参数可参考创建备份策略。无论是全量备份还是增量备份，均可以恢复出对应时间点的完整数据。但您需确认修改后的备份配置满足您的备份保护需求，否则仍建议您进行存储库扩容。 3. 修改保留规则：可以减少备份策略中备份数据的保留规则时间或数量，如将保留数量从保留15个改为保留10个，以释放存储库空间，具体参数可参考创建备份策略。但您需确认修改后的保留规则满足您的备份保护需求，否则仍建议您进行存储库扩容。 4. 手动删除备份副本：在目标存储库，手动删除您不再需要的备份副本以释放存储库空间，具体操作可参考删除备份。但需确认删除后的剩余备份数据满足您的备份保护需求，否则仍建议您进行存储库扩容。

本实践介绍了用户可能发生的备份异常场景,您可按照本实践内容进行排查和处理。 问题表现： 在手动执行备份或备份策略自动执行备份时，备份任务执行失败。 可能原因1：备份执行所关联的存储库使用容量已超过总容量。 注意：存储库已使用容量超过总容量上限后，备份服务将不会继续执行新的备份，策略的自动执行会失败，在此期间将不会有新的备份数据可用。 建议操作： 您可以通过增加存储库总容量或减少备份副本的数量和容量来增加存储库的可使用容量空间。 1. 扩容存储库：如果希望能够继续产生新的备份数据同时也保留已生成的旧备份数据（在备份策略保留期内的），可以选择扩容存储库，具体操作请参考扩容存储库。 2. 取消全量备份配置：全量备份通常会占用更多的存储库空间，如果您在备份策略中配置了定期全量备份，可以取消定期全量备份的配置来减少后续备份对存储库空间的占用，具体参数可参考创建备份策略。无论是全量备份还是增量备份，均可以恢复出对应时间点的完整数据。但您需确认修改后的备份配置满足您的备份保护需求，否则仍建议您进行存储库扩容。 3. 修改保留规则：可以减少备份策略中备份数据的保留规则时间或数量，如将保留数量从保留15个改为保留10个，以释放存储库空间，具体参数可参考创建备份策略。但您需确认修改后的保留规则满足您的备份保护需求，否则仍建议您进行存储库扩容。 4. 手动删除备份副本：在目标存储库，手动删除您不再需要的备份副本以释放存储库空间，具体操作可参考删除备份。但需确认删除后的剩余备份数据满足您的备份保护需求，否则仍建议您进行存储库扩容。

为什么扩容后云主机内云硬盘容量没有变化？ 通过控制台扩容成功后，只是扩大了云硬盘的存储容量，您还需要登录云主机执行扩展分区和文件系统的操作。完成这些操作后，您才可以使用新增容量。 扩展磁盘分区和文件系统的操作请参见： 扩展磁盘分区和文件系统（Windows） 分区和文件系统扩展概述（Linux） 云硬盘容量不足了怎么办？ 当您云硬盘容量不足且可能影响到自身业务时，可以参考以下内容来解决此问题： 单独购买一块云硬盘做数据盘，并挂载至弹性云主机，挂载成功之后进行初始化。具体操作步骤请参见创建云硬盘。 扩容当前已有云硬盘，系统盘和数据盘均可进行扩容。操作步骤请参见扩容云硬盘。 清理当前云硬盘上不需要的程序或文件来清理磁盘空间，具体步骤可参见：解决Linux云主机磁盘空间不足的问题、解决Windows弹性云主机磁盘空间不足的问题。 扩容时显示扩容失败怎么办？还会收费吗？ 云硬盘按照云硬盘的实际使用时长/购买周期和容量计费。 若出现云硬盘扩容失败的情况，云硬盘的容量变更会失败，计费容量仍保持为扩容操作之前云硬盘的容量。扩容预期新增但实际并未新增的容量不会收费。 如果出现扩容失败，请您尽快联系天翼云客服提交工单处理。

本章将介绍如何对云硬盘进行删除操作,包括删除云硬盘的操作场景、约束与限制以及删除云硬盘的具体步骤。 单盘删除 操作场景 当用户不再使用按量付费的云硬盘时，可以删除云硬盘以释放存储空间资源。删除云硬盘后，将停止对云硬盘收取费用。当云硬盘被删除后，云硬盘的数据将无法被访问。同时，该云硬盘对应的物理存储空间会被回收，对应的数据会被覆盖。在数据被覆盖之前，该存储空间不会被再次分配。 若您开通了回收站功能，按需云硬盘在删除的第一时间会进入回收站中，以避免云硬盘的误删除操作。回收站功能默认为关闭状态，具体开通请参见开启回收站。 约束与限制 当云硬盘状态为“未挂载”或“已冻结”或“错误”时，才可以被删除。 开启回收站功能后，已经删除的云硬盘会进入回收站，若业务需要，可在回收站中进行恢复。 存在快照的云硬盘无法被直接删除，需要您手动删除该盘全部快照或开启全部快照随云硬盘释放功能。 只有按量付费的云硬盘支持删除，包年包月的云硬盘不支持删除。 随云主机一起订购的系统盘不支持单独退订/删除，而数据盘可在云主机界面进行产品拆分后卸载、退订/删除。

本文向您介绍经典版VPN支持的监控指标。 功能说明 本节定义了虚拟专用网络服务上报云监控服务的监控指标的命名空间，监控指标列表和维度定义，用户可以通过云监控服务提供的管理控制台检索VPN服务产生的监控指标和告警信息。 命名空间 plaintext SYS.VPN 监控指标 表经典版VPN网关支持的监控指标 指标ID 指标名称 指标含义 取值范围 测量对象 监控周期（原始指标） upstreambandwidth 出网带宽 该指标用于统计测试对象出云平台的网络速度（原指标为上行带宽）。 单位：比特/秒 ≥ 0 bit/s 带宽或弹性公网IP 1分钟 downstreambandwidth 入网带宽 该指标用于统计测试对象入云平台的网络速度（原指标为下行带宽）。 单位：比特/秒 ≥ 0 bit/s 带宽或弹性公网IP 1分钟 upstreambandwidthusage 出网带宽使用率 该指标用于统计测量对象出云平台的带宽使用率，以百分比为单位。 出网带宽使用率出网带宽指标/购买的带宽大小 0100% 带宽或弹性公网IP 1分钟 downstreambandwidthusage 入网带宽使用率 该指标用于统计测量对象入云平台的带宽使用率，以百分比为单位。 入网带宽使用率入网带宽指标/购买的带宽大小 说明 由于在部分站点对10Mbps以下的配置带宽提供10Mbps的入网带宽上限，此时监控的入网带宽使用率会存在大于100%的情况。 EIP使用时修改带宽大小，带宽使用率的指标同步生效会有5~10min的延时。 0100% 带宽或弹性公网IP 1分钟 upstream 出网流量 该指标用于统计测试对象出云平台的网络流量（原指标为上行流量）。 单位：字节 ≥ 0 bytes 带宽或弹性公网IP 1分钟 downstream 入网流量 该指标用于统计测试对象入云平台的网络流量（原指标为下行流量）。 单位：字节 ≥ 0 bytes 带宽或弹性公网IP 1分钟

本节介绍如何查看已创建的安全报告及其展示的信息。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“态势感知 > 安全报告”，进入安全报告页面。 5. 单击目标报告所在模块，进入报告详情页面。 6. 在报告详情页面，可以预览当前安全报告的详细信息。 模板日报展示内容 参数模块 参数说明 统计周期 日报默认统计周期为前一天00:00:00~23:59:59。 统计类型 报告类型。 生成时间 报告生成的时间。 安全评分 根据您的态势感知（专业版）的威胁检测能力，评估前一天00:00:00~23:59:59整体资产安全、基线配置、威胁告警、安全漏洞四个维度综合的健康得分，可以快速了解资产的整体安全状况。 基线检查 展示最近一次基线检查的统计情况，包含以下信息： 总检查项：最近一次基线检查项目总数量 不合规项：最近一次基线检查不合规检查项目数量 未修复项：最近一次基线检查未修复的项目数量 安全漏洞 展示接入云服务前一天的漏洞统计情况，包含以下信息： 漏洞总数量 未修复漏洞数量 安全响应 展示前一天安全响应情况，包含以下信息： 告警总数 未处理告警 闭环率：自动化闭环率，闭环率前一天由态势感知（专业版）自动化响应剧本关闭的告警数/前一天关闭的告警总数。 资产安全 展示当前资产安全情况，包含以下信息： 当前资产总数量 当前存在风险的资产数量 安全分析 展示前一天安全分析统计情况，包含以下信息： 前一天安全日志总流量 安全日志模型数量 策略覆盖 展示当前安全产品策略覆盖情况，包含以下信息： 覆盖实例：受安全产品保护的实例数量（受保护ECS数量+受保护WAF实例数量） 覆盖率：主机安全覆盖率（受保护ECS数量/全部ECS数量） 资产风险 展示前一天资产安全状况，包含以下信息： 前一天受攻击资产数量 前一天未防护资产数 前一天脆弱性资产数 截止昨天为止的近7天的资产变化趋势 前一天资产类型防护率 威胁态势 展示前一天资产的威胁态势情况，包含以下信息： 前一天DDoS攻击次数 前一天网络攻击次数 前一天应用攻击次数 前一天主机攻击次数 前一天DDoS攻击次数变化趋势 前一天网络/主机攻击次数趋势变化 前一天WAF巡检情况（WAF请求总量、WAF告警量、WAF拦截次数）变化趋势 前一天TOP5网络攻击类型统计情况 前一天TOP5应用攻击类型统计情况 前一天TOP5主机攻击类型统计情况 前一天TOP5应用攻击源分布情况 前一天TOP5应用攻击目的分布情况 前一天TOP5主机告警分布情况 前一天TOP5网络攻击源分布情况 日志分析 展示前一天日志分析的情况，包含以下信息： 前一天日志源数量 前一天日志索引数量 前一天日志接收总数 前一天日志存储总量 截至昨天为止的近7天的日志变化趋势 截至昨天为止的近7天的TOP3日志源接入流量统计情况 前一天TOP10模型检测告警统计数量 安全响应（详细信息） 展示前一天安全响应的情况，包含以下信息： 前一天已处理告警数量 前一天已处理事件数量 前一天已处理漏洞数量 前一天已处理基线数量 前一天威胁告警分布情况及数量 前一天TOP5入侵事件分布情况及数量 前一天TOP5应急响应统计情况 前一天TOP20威胁告警处理情况

本节介绍了常见问题:实例相关问题。 实例访问地址不通 确认使用的地址是否正确。内网地址只能在用户的VPC内的主机上访问。外网地址可以从公网访问。 个人实例和企业实例配额问题 个人版容器镜像实例不支持调整命名空间配额和仓库配额，而企业版支持通过扩容或缩容操作修改空间配额和仓库配额。

升级流程、方式及所需时间 升级流程 1. 准备工作：当前云容器引擎一次只能往前升级一个次要版本，升级至下一个云容器引擎支持的次要版本时需要执行两次升级操作。升级前请先参考上文注意事项相关描述。 2. 前置检查：执行前置检查，若有检测到风险项，请按控制台提示进行操作。 3. 集群升级：前置检查通过后，可开始集群升级，云容器引擎会依次升级控制节点和节点池节点。 4. 集群升级后：核验集群、检查节点池运行是否正常，检查集群业务是否运行正常。 升级方式 云容器引擎专有集群是采用原地升级方式，首先升级Master节点，Master节点升级是串行的，一次只升级一个Master节点。升级Master组件，包括kubeapiserver、kubecontrollermanager、kubescheduler、Kubeproxy、Etcd、Kubelet等。 云容器引擎当前尚不支持按节点池升级Worker节点，Master节点升级完毕后自动开始升级Worker节点，Worker节点升级可并发执行，并发数通过每批次最大并行数进行配置，每批次最大并行数最大值不能超过Worker节点数量的1/2。 升级所需时间 云容器引擎专有集群的Master节点需逐个、串行升级，每个Master节点升级时间约为8分钟，Worker节点根据用户配置的并发数量进行升级，单个worker节点升级时间约为1分钟。 操作步骤 同时升级控制面和所有节点池 1、登录云容器引擎控制台，在左侧导航栏选择集群进入集群列表页面。 2、在集群列表页面，选择待升级的集群实例，在右侧功能区选择更多 > 升级进入集群升级页面。若页面提示安装cubesystemupgradecontroller和nodeproblemdetector插件，则点击安装插件按钮安装这两个插件。 3、在集群升级设置每批次的最大并行数，然后单击前置检查，前置检查约需要执行1分钟。 若提示前置检查为正常时，则可以继续进行集群升级操作。 若提示前置检查未通过，可点击查看详情，然后按照页面提示进行修复。修复完成后可再次执行前置检查，确认故障已排查后单击开始升级。 4、升级完成后，您可以在集群列表查看集群版本，确认升级是否成功。 注意 1、升级过程中，请勿添加或删除节点。 2、集群升级过程发生错误时，系统将暂停集群升级进程，集群可能处于部分节点已完成升级的中间状态，可通过工单待工程师排除问题后再继续尝试升级。 3、集群升级过程中，请勿修改systemupgrade命名空间下的相关资源。

查看备份容量信息 1. 登录云主机备份管理控制台。 1. 登录管理控制台。 2. 选择“存储 > 云主机备份”。 2. 选择“备份”页签，单击备份信息概览中的存储空间数字链接，如下图所示。 图 备份信息概览 3. 在弹出的对话框中查看存储空间使用详情。 每一条信息代表一台服务器。其中“备份数量”表示该云主机现存的备份数量总和；“备份总容量（GB）”则表示该云主机现存的备份所占容量大小总和。 图 存储空间使用详情

参数 参数说明 名称 新建的密钥的名称，同一个命名空间内命名必须唯一。 命名空间 新建密钥所在的命名空间，默认为default。 描述 密钥的描述信息。 密钥类型 新建的密钥类型。 Opaque：一般密钥类型。 kubernetes.io/dockerconfigjson：存放拉取私有仓库镜像所需的认证信息。 IngressTLS：存放7层负载均衡服务所需的证书。 其他：若需要创建其他类型的密钥，请手动输入密钥类型。 密钥数据 工作负载密钥的数据可以在容器中使用。 当密钥为Opaque类型时，单击 ，在弹出的窗口中输入键值对，并且可以勾选“自动Base64转码”。 当密钥为kubernetes.io/dockerconfigjson类型时，输入私有镜像仓库的帐号和密码。 当密钥为IngressTLS类型时，上传证书文件和私钥文件。 说明 证书是自签名或CA签名过的凭据，用来进行身份认证。 证书请求是对签名的请求，需要使用私钥进行签名。 密钥标签 密钥的标签。键值对形式，输入键值对后单击“添加”。

本节介绍如何在云审计服务事件列表查看Web应用防火墙(原生版)审计事件。 操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 支持审计的关键操作列表 事件名称 读写类型 租户管理获取ICP状态 读类型 租户的所有实例详情 读类型 独享版租户节点实时信息 读类型 独享版租户查询实例列表 读类型 独享版租户详情 读类型 独享版租户修改实例信息 读类型 独享版租户查询用户可用的eip列表 写类型 独享版租户绑定eipipv4 写类型 独享版租户解绑eipipv4 写类型 独享版防护对象新增 写类型 独享版防护对象更新 写类型 独享版防护对象查询 读类型 独享版防护对象详情 读类型 独享型和saas型的防护对象查询 读类型 ELB防护对象查询ELB防护对象的可用资源池 读类型 安全策略详情 读类型 安全策略更新 写类型 规则组查询 读类型 增强型bot规则查询统计 读类型 增强型bot规则查询 读类型 精准防护查询统计 读类型 精准防护查询 读类型 访问规则新增 写类型 访问规则查询统计 读类型 访问规则查询 读类型 访问规则详情 读类型 访问规则查询加密套件 读类型 访问规则获取可用端口 读类型 访问规则API安全获取防护对象 读类型 访问规则查询WAF回源IP段 读类型 访问规则查询域名是否备案 读类型 访问规则根据资源池id获取cname 读类型 API列表查询 读类型 API安全业务用途查询 读类型 全局规则表对应非全局配置的policy表详情 读类型 管理归档日志查询 读类型 管理归档日志获取当前实例已使用的归档空间 读类型

说明：本章节会介绍在关系型数据库服务的管理控制台创建实例的过程 操作场景 本节将介绍在关系型数据库服务的管理控制台创建实例的过程。 RDS for MySQL支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的关系型数据库实例。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，单击“创建数据库实例”。 步骤 5 在“服务选型”页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 计费模式： 包年/包月：若选择该模式，跳过步骤6，执行步骤7。 按需计费：若选择该模式，继续执行步骤6。 表1 基本信息 参数 描述 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 l 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： − 相同，主机和备机会部署在同一个可用区。 − 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 l 单机：只创建一个主实例。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。 表2 规格与存储 参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 创建成功后可进行规格变更。 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 l 普通I/O：磁盘类型SATA，最大吞吐量90MB/s l 高I/O：磁盘类型SAS，最大吞吐量150MB/s l 超高I/O：磁盘类型SSD，最大吞吐量350MB/s 存储池 只有选择“专属存储”的用户才有此选项，是购买专属分布式存储服务时确定的独享的存储池，该存储池与其他池物理隔离，安全性高。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。存储空间支持40GB到4000GB，用户选择容量大小必须为10的整数倍。 表3 网络 参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“IPv4/IPv6双栈管理”章节。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 表4 数据库配置 参数 描述 管理员帐户 数据库的登录名默认为root。 管理员密码 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@

本节介绍混合集群如何打通云上云下网络。 混合集群概述 本地自建 Kubernetes 集群通过分布式容器云平台注册集群接入，可以为自建Kubernetes集群扩容云上 ECS 节点，同时管理云上、云下计算资源，形成混合集群。 搭建混合集群的网络关键在于打通云上云下网络连通，包括： 1. 云上VPC网络与云下网络互通，即计算节点之间互连互通； 2. 云上容器网络与云下容器网络互通，即容器Pod之间互连互通； 混合集群网络模式 节点网络互通 具体操作步骤如下： 1. 将云下网络通过内网接入天翼云，请参考天翼云提供的专线方案 云上云下网络专线接通方案。 2. 测试云上云下连通性，验证云下节点与云上节点是否互通。 3. 如需要云下网络需要通过内网访问云产品，云下网络需配置云产品的域名解析（.ctyun.cn域名解析转发到云上DNS VPCE IP），云产品包括：CRS镜像仓库、对象存储、日志、监控等。 容器网络互通 在确保云上云下节点网络互通之后，才可配置云下节点上运行的容器网络和云上节点运行的容器网络互通。 场景一：云下Kubernetes集群容器网络模式为Underlay模式，Pod IP集群外可访问 平面网络模式，一般用于集群规模较大(或规划较大)且对网络性能要求较高的场景。常见的开源Underlay模式组件包括： Flannel HostGW模式 Calico 路由反射模式 Cilium BCP路由模式 若云下Kubernetes的容器网络模式是Underlay模式，那么云上节点需要使用Cubecni网络插件。在此模式下，需要满足以下条件： 在混合集群中，用户需要确保满足以下条件： 云下网络插件只运行在云下计算节点。 云上的Cubecni网络插件只运行在云上计算节点，不会被调度到云下计算节点。 1. 配置网络插件 a.分布式容器云平台三方集群节点扩容的云上ECS节点会自动添加节点标签k8s.node.ctyun.cn/cloudtrue，默认云上Cubecni网络插件会根据云上节点标签自动调度到云上ECS节点。 b.请根据节点标签为云下网络插件设置NodeAffinity，或设置相关污点来确保云下网络插件只运行在云下。例如，针对云下Calico网络插件，使用nodeAffinity设置其不会被调度到标签为k8s.node.ctyun.cn/cloudtrue的节点上。其它运行于云下且不被希望调度到云上的网络插件也可以用这种方式设置： shell cat calicods.patch spec: template: spec: affinity: nodeAffinity: requiredDuringSchedulingIgnoredDuringExecution: nodeSelectorTerms: matchExpressions: key: k8s.node.ctyun.cn/cloud operator: NotIn values: "true" EOF kubectl n kubesystem patch ds caliconode p "$(cat calicods.patch)" 2. 安装Cubecni插件 a.登录分布式容器云平台控制台，在左侧导航栏选择集群资源 > 集群管理。 b.在集群列表页面，单击目标集群，进入集群页面，在左侧导航栏选择插件 > 插件市场。 c.在插件市场页面，搜索cubecni插件或者cubecnistandalone插件，单击右下方安装。 d.在左侧导航栏选择 工作负载 > 守护进程，查看kubesystem命名空间下cubecni组件的守护进程，在三方集群扩容云上节点前，cubecni不会被调度到任何一个云下节点上。

参数 是否必填 说明 数据库名称 是 创建后数据库的名称。 授权账号 否 将当前数据库的权限赋予指定用户。 注释 否 数据库的备注信息。 所有者 否 数据库在该实例中的所有者。 字符集 否 默认为UTF8。 模板 否 基于指定模板创建数据库。 表空间 否 指定数据库的表空间。 连接限制 否 当前数据库的连接数限制。

本节介绍天翼云电脑（政企版）相关的产品规格，以便您正确理解和使用。 说明 AI云电脑系统盘显示的空间略小于默认配置，这部分被占用的空间用于系统保留分区。 天翼AI云电脑（政企版）普通AI云电脑产品规格如下： 产品名称 规格类型 功能适用 系统支持 普通AI云电脑 2核4G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 2核8G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 4核8G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 4核16G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 8核16G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 8核32G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 16核32G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 16核64G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 32核64G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 32核128G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 64核128G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 120 GB SAS 系统盘 80 GB 默认系统盘 + 40 GB 赠送存储

存储容量规划 副本数量：副本有利于增加数据的可靠性，但同时会增加存储成本。默认和建议的副本数量为1。 压缩比：Elasticsearch和OpenSearch通常可以将数据压缩20~30%，因此，1GB原始数据> 11.2(Json转换因子)0.8(压缩) > 0.96压缩比。 磁盘空间使用率：一般建议为70%。 索引开销：可以使用cat/indices?v API 和 pri.store.size 值计算确切的开销计算，通常比源数据大10%。 操作系统预留空间：默认操作系统会保留5%的文件系统供您处理关键流程、系统恢复以及防止磁盘碎片化问题等。 因此，存储容量 源数据 (1 + 副本数量) 0.96 / （1 磁盘使用率）（1 索引开销）（1 预留空间） ≈ 源数据 2 0.96 / 0.7 1.1 1.05 源数据3.168。根据原始数据大小，至少要预留大概3倍以上的空间。 数据节点数量规划 实例建议最大节点数 单节点 CPU 5。 单节点磁盘最大容量： 搜索类场景：单节点磁盘最大容量 单节点内存大小（GB） 10。 日志类等场景：单节点磁盘最大容量 单节点内存大小（GB） 50。 通用类等场景：单节点磁盘最大容量 单节点内存大小（GB） 30。 综上，示例节点数量规划如下： 配置 最大节点数 单节点磁盘最大容量 (查询) 单节点磁盘最大容量 (日志) 4核16GB 20 160 GB 800 GB 8 核 32GB 40 320 GB 1.5 TB 16 核 64GB 80 640 GB 2 TB

订购存储 1. 登录应用托管控制台，在左侧导航栏单击【资产】>【存储】，单击【创建存储】按钮。 2. 在创建存储表单中，填写存储信息：存储名称、存储配置和可见范围。 字段 说明 存储名称 名称长度为 163个字符，支持小写字母、数字和中划线()。中划线不能出现在开头或结尾；不能连续出现多个中划线。 付费类型 当前为用户提供包年包月、按量付费 可用区 选择存储所在的可用区（注意要与OpenClaw相同可用区） 性能规格 选择所需要的性能规格 存储容量 需填写所需存储容量，存储创建完成后即按容量计费 可见范围 存储实例的可见范围： 仅自己可见：存储的创建人、项目空间所属人和开启“允许操作个人可见资源”权限的成员 可以查询到该资源 空间内公开可见：项目空间内所有成员都可以查询到该存储 3. 完成表单填写后，单击按钮【确认创建】，完成存储创建。

本节介绍了使用规范相关内容。 实例规格 建议生产环境至少使用4u8g规格。由于SQL Server使用Windows系统，引擎及系统本身需要的资源较多，2u4g不适合运行生产业务，长时间运行后可能会有系统低内存及其卡顿问题。 数据库连接 连接Microsoft SQL Server时，请使用“ip,port”的方式连接，注意连接串中间为逗号。 不建议使用服务器名字连接。 应用连接数据库时建议要有重试机制，当数据库发生容灾或者断连时，应用可以通过重试及时恢复连接。 数据库迁移 迁移上云完成后，需要进行以下检查： 需要检查权限完整性。权限会影响对于数据库的方案，迁移仅会完成数据恢复，数据库用户恢复，登录名等其他服务级权限需要重新创建，并且关联数据库账户。 需要对索引进行重建。由于迁移完成后数据文件的物理环境发生了改变，数据库索引会失效，需要对索引进行重建，否则可能会导致数据库性能有明显下降。 对比参数配置。迁移上云后RDS for SQL Server会使用云上的参数模板，需要及时对比云下参数配置和云上是否匹配。由于云下参数配置是经过长期验证，所以请及时更新云上的参数配置。 使用建议 不推荐创建加域实例，Microsoft SQL Server支持创建加域实例，加域实例的域控服务器在用户侧，用户拥有较高权限，域控服务器组策略配置会影响加入该域的机器，用户侧域控规则修改会导致数据库实例的权限安全风险增加。 单实例数据库数量不要超过100个。单实例可以承载的数据库数量跟实例规格相关，数据库数量过多会导致实例性能下降，占用Worker Thread等资源。 应用不能依赖SysAdmin权限。具有SysAdmin角色的账号有超级管理员权限，使用不当会导致数据库安全与稳定性受到威胁，云数据库不开放超级管理员权限，应用使用数据库不能依赖于此权限。 不要在系统库创建表。用户数据请创建用户自定义库存放，不要在系统库创建任何表写入数据，虽然开放了使用系统库的权限，但是任何在系统库存放的数据都是不安全的。 数据库不要打开Auto Close属性。用户库可以设置Auto Close属性，打开该属性后会导致包括建立复制关系无法建立的问题，并且该属性设置后不能正常的使用该库，强烈建议不要设置。 不要将数据库设置为Single User模式。Single User模式只允许一个Session访问数据库，会导致其他Session无法访问造成云数据库的运维问题。设置Single User模式请及时恢复到Multi User模式。 慢日志不要长时间打开。慢日志可以帮助进行慢SQL分析，但是长时间打开会导致性能损失，建议在不需要跟踪分析SQL问题时关闭慢日志。 定时重建索引。数据库在长时间使用后可能会产生较多的索引碎片，导致数据库访问性能下降，需要定时进行索引重建，可以采用创建SQL Agent Job的方式定时重建索引，建议一个月重建一次索引。 定时更新统计信息。数据库统计信息需要经常更新对于性能有益。建议采用创建SQL Agent Job的方式每周更新一次统计信息。 关注数据库大小，及时收缩数据库。数据库长时间使用可能会有一些物理空间无法及时释放，需要执行收缩数据库操作才能释放物理空间。需要关注日志文件大小及物理文件大小，发现文件膨胀迅速可以在业务低峰期收缩数据库。 数据库名长度不要超过64个字符，且数据库名当前仅支持数字、大小写字母、中划线()和下划线()，不支持其他特殊字符。 建议修改默认端口。RDS for SQL Server默认端口为1433，公网上一些不安全的程序可能会扫描RDS for SQL Server的默认端口，建议修改默认端口。 推荐使用高可用主备实例。相比于单机实例，高可用实例可以极大提高生产业务的可用性和可靠性。 高可用实例请跨AZ部署，进行AZ级别的容灾。 建议长时间运行的实例在业务低峰期可以重启。实例长时间运行后可能会出现性能下降，推荐每三个月能够在业务低峰期重启一次实例。 设置最大并行度。最大并行度参数影响业务的CPU使用率。默认值为0允许Session使用所有CPU，可能由于某个SQL的问题导致CPU无法分配给其他Session使用。建议根据规格配置，如核数除以2。 临时库（TempDB）创建多个ndf辅助文件。 当执行操作出现权限问题时，请优先参考存储过程的使用，查找使用合适的存储过程。 如需修改SQL Server参数，请在控制台进行修改，不支持通过执行SQL命令方式修改。 备份恢复相关操作请通过管理控制台下发或调用RDS API接口、SDK接口下发，不能通过SSMS或执行SQL直接操作。 恢复数据到已有实例请谨慎操作，避免错误覆盖已有数据导致影响业务。建议使用恢复到新实例功能。 数据库恢复模式（Recovery model）不要设置为simple模式，建议使用full模式。 − 设置为simple模式将不会对该库执行增量备份，因此该库无法恢复到指定时间点。 − 对于主备实例或者集群实例，设置数据库恢复模式是simple模式后，会导致该库不会建立复制关系，进而无法操作主备切换或者规格变更。 因此，请谨慎使用simple模式。 不建议使用长事务或长时间未提交事务。长事务会长时间占用数据库的事务日志，造成事务日志膨胀并且无法阶段回收空间，最终导致磁盘满并造成大量锁等待，阻塞其他SQL执行。如果kill掉后会导致回滚时间更长，至少是事务执行的1.5倍，造成主备复制延迟增大，导致主备切换失败、主备的规格变更失败。

云硬盘容量不足了怎么办？ 当您云硬盘容量不足且可能影响到自身业务时，可以参考以下内容来解决此问题： 单独购买一块云硬盘做数据盘，并挂载至弹性云主机，挂载成功之后进行初始化。具体操作步骤请参见云硬盘快速入门。 扩容当前已有云硬盘，系统盘和数据盘均可进行扩容。操作步骤请参见扩容云硬盘。 清理当前云硬盘上不需要的程序、文件来清理磁盘空间，具体步骤可参见： 解决Linux云主机磁盘空间不足的问题 解决Windows弹性云主机磁盘空间不足的问题 本地盘实例怎么添加到云主机组？ 本地盘实例 创建后无法加入云主机组 ，如需使用云主机组功能，请在购买时选择云主机组。 云主机组是对云主机的一种逻辑划分，云主机组中的弹性云主机遵从同一策略，如强制反亲和性、强制亲和性、反亲和性、亲和性等。 如何只对系统盘进行快照？ 操作方法如下： 1. 在云主机控制台选中该云主机，点击进入详情页 2. 点击云硬盘标签，在磁盘属性中找到“系统盘”，复制该云盘名称。 3. 在“控制中心所有服务”页面，单击“存储>云硬盘”，进入云硬盘主页面 4. 在云硬盘列表页搜索第2步复制好的云盘名称，找到该系统盘。 5. 点击该系统盘“操作>创建快照”, 进入“创建快照”页面，创建快照。 更多操作信息可参考创建云硬盘快照。

本页介绍天翼云TeleDB数据库实例监控相关操作。 操作场景 TelePG支持资源监控，主要包含CPU、内存、磁盘、网络等硬件资源状态监控。 操作步骤 1. 进入关系型数据库PostgreSQL控制台。 2. 在左侧导航树上选择监控 > 资源监控，进入资源监控页面。 3. 在实例和节点下拉框，选择对应的实例和节点，即可查看该实例的相关资源信息。 CPU使用率 内存使用量 内存使用率 IO操作数 IO吞吐量 ioutil 磁盘空闲空间 磁盘空闲率 磁盘已用空间 磁盘使用率 网络吞吐量

参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。只读实例的存储空间大小默认与主实例一致。

空对象，表示匹配所有Namespace effect: annotations: k8s.ctyun.cn/eciusespecs: s7.small.1 labels: ecischedulable: "true" policy: virtualNodeOnly: {} priority: 1 优先级 在创建Selector后，所有新创建的Pod都会调度到虚拟节点，并自动追加effect字段中配置的Annotation和Label，在这里annotations的效果是设置Pod的规格为s7.small.1(1C1G)。 说明 如果配置了大于规格的资源请求，则 Pod 创建会失败。如果不需要修改ECI Pod的配置，则可以不配置annotations。 此外，还可以为不同的命名空间创建不同的Selector，可批量对不同命名空间下的Pod配置不同的ECI功能特性。 例如，可以创建如下Selector启用镜像缓存： shell apiVersion: eci.ctyun.cn/v1 kind: Selector metadata: name: enableimagecache spec: namespaceLabels: matchLabels: namespace: imagecache 指定命名空间 effect: annotations: k8s.ctyun.cn/eciimagecache: "true" 设置Pod启用镜像缓存 labels: ecischedulable: "true" policy: virtualNodeOnly: {} priority: 1 上述Selector创建后，只有命名空间为imagecache的Pod才会自动追加effect字段中配置的Annotation和Label，在这里annotations的效果是设置Pod启用镜像缓存。 2、Pod标签匹配 假设想让带有指定标签的Pod使用1C1G的规格，则可以创建如下Selector： shell apiVersion: eci.ctyun.cn/v1 kind: Selector metadata: name: 1c1gmatchlabels spec: objectLabels: matchLabels: app: nginx 指定标签 effect: annotations: k8s.ctyun.cn/eciusespecs: s7.small.1 labels: ecischedulable: "true" policy: virtualNodeOnly: {} priority: 1 上述Selector创建后，带有app: nginx标签的Pod都会调度到虚拟节点，并自动追加effect字段中配置的Annotation和Label，在这里annotations的效果是设置Pod的规格为1C1G。 优先级 Selector 支持通过priority字段指定优先级，优先级数值越大，优先级越高。如果某个 Pod 同时匹配多个 Selector，则优先级最高的 Selector 生效。 说明 若不配置priority字段，则默认优先级为0。