云下一代防火墙初始化后,系统时间需手动进行同步。 操作方法 打开菜单栏，【系统→设备管理→系统时间→同步时区与时间】。

CCE通过云审计服务（Cloud Trace Service，简称CTS）为您提供云服务资源的操作记录，记录内容包括您从云管理控制台或者开放API发起的云服务资源操作请求以及每次请求的结果，供您查询、审计和回溯使用。 表 云审计服务支持的CCE操作列表 操作名称 资源类型 事件名称 创建集群 cce createCluster 更新集群 cce updateCluster 删除集群 cce deleteCluster/claimCluster 创建节点 cce createNode 添加静态节点 cce addStaticNode 更新节点 cce updateNode 删除一个主机 cce deleteOneHost 删除所有主机 cce deleteAllHosts 挂起用户资源 cce suspendUserResource 创建ConfigMap cce createConfigmaps 创建DaemonSet cce createDaemonsets 创建Deployment cce createDeployments 创建Event cce createEvents 创建Ingress cce createIngresses 创建Job cce createJobs 创建namespace cce createNamespaces 创建Node cce createNodes 创建PersistentVolumeClaim cce createPersistentvolumeclaims 创建Pod cce createPods 创建ReplicaSet cce createReplicasets 创建ResourceQuota cce createResourcequotas 创建密钥 cce createSecrets 创建服务 cce createServices 创建StatefulSet cce createStatefulsets 创建卷 cce createVolumes 删除ConfigMap cce deleteConfigmaps 删除DaemonSet cce deleteDaemonsets 删除Deployment cce deleteDeployments 删除Event cce deleteEvents 删除Ingress cce deleteIngresses 删除Job cce deleteJobs 删除Namespace cce deleteNamespaces 删除Node cce deleteNodes/claimOneHost 删除Pod cce deletePods 删除ReplicaSet cce deleteReplicasets 删除ResourceQuota cce deleteResourcequotas 删除Secret cce deleteSecrets 删除Service cce deleteServices 删除StatefulSet cce deleteStatefulsets 删除卷 cce deleteVolumes 替换指定的ConfigMap cce updateConfigmaps 替换指定的DaemonSet cce updateDaemonsets 替换指定的Deployment cce updateDeployments 替换指定的Event cce updateEvents 替换指定的Ingress cce updateIngresses 替换指定的Job cce updateJobs 替换指定的Namespace cce updateNamespaces 替换指定的Node cce updateNodes 替换指定的PersistentVolumeClaim cce updatePersistentvolumeclaims 替换指定的Pod cce updatePods 替换指定的Replicaset cce updateReplicasets 替换指定的ResourceQuota cce updateResourcequotas 替换指定的Secret cce updateSecrets 替换指定的Service cce updateServices 替换指定的Statefulset cce updateStatefulsets 替换指定的状态 cce updateStatus 上传组件模板 cce uploadChart 更新组件模板 cce updateChart 删除组件模板 cce deleteChart 创建模板应用 cce createRelease 更新模板应用 cce updateRelease 删除模板应用 cce deleteRelease

本节介绍了如何绑定和解绑云数据库TaurusDB实例的弹性公网IP。 操作场景 TaurusDB数据库实例创建成功后（默认未绑定“读写公网地址”），您可根据业务需要，绑定“读写公网地址”。 TaurusDB服务支持用户绑定弹性IP，用于在公共网络访问数据库实例，绑定后也可根据需要解绑。 注意 为保证数据库可正常访问，请确保数据库使用的安全组开通了相关端口的访问权限，假设数据库的访问端口是3306，那么需确保安全组开通了3306端口的访问。 绑定弹性IP时无可选的EIP，原因可能是该EIP已被其他应用绑定，TaurusDB绑定的EIP需要是未绑定状态才可以绑定，请重新购买弹性IP。 前提条件 用户需要在VPC申请一个“读写公网地址”。 对于已绑定“读写公网地址”的实例，需解绑后，才可重新绑定其他“读写公网地址”。 注意事项 公网访问会降低实例的安全性，请谨慎选择。为了获得更快的传输速率和更高的安全级别，建议您将应用迁移到与您的TaurusDB在同一区域的弹性云主机上。 绑定弹性IP 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 步骤 5 在网络信息模块，单击“读写公网地址”后面的“绑定”。 步骤 6 在弹出框的弹性公网IP地址列表中，选择目标弹性IP，单击“确定”，提交绑定任务。 如果没有可用的弹性IP，您可单击“查看弹性IP”，跳转到网络控制台创建弹性IP，创建完成后请返回实例的基本信息页面绑定弹性IP。 注意 您需要设置安全组，开通需访问数据库的IP地址和端口，才可以访问数据库实例。 步骤 7 在“网络信息”模块“读写公网地址”处查看绑定成功的弹性IP。

本节介绍如何添加、复制、删除时间计划。 您可以通过设置防护规则的生效时间段，确保规则仅在指定的时间段内生效。 应用场景 配置测试策略：为测试策略设置生效时间段，在测试期间，策略自动生效，确保测试的顺利进行；在测试结束时，策略会自动失效，无需手动操作。 控制公网暴露：当业务需要对外部开放端口时（例如仅办公时间开放），设置生效时间段可以有效减少公网暴露，降低潜在的安全风险。 特殊时间段的临时需求：临时的公网放行需求，无需担心忘记删除的安全风险。 添加时间计划 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制> 对象组管理”，进入“对象组管理”页面。 5. 切换至“时间计划”页签，单击“添加时间计划”，弹出“添加时间计划”界面，填写参数信息。 参数名称 参数说明 时间计划名称 自定义时间计划的名称。 描述 （可选）标识该计划的使用场景和用途，以便后续运维时快速区分不同计划的作用。 周期计划 添加周期计划 （可选）设置后，规则将在每周的固定时间段生效。 说明 当资源所在时区和本地时区不一致时，需要配置“资源所在时区”，即当前region所属地区的时区。 绝对计划 时间设置方式 当资源所在时区和本地时区不一致时，需要选择“时间设置方式”。防火墙引擎执行时按照“资源所在时区”的时间执行。 本地时区：当前客户端浏览器所属时区。 资源所在时区：云防火墙引擎所在地，即当前region所属地区的时区。 绝对计划 开始时间 设置规则生效的时间。 绝对计划 结束时间 （可选）设置规则失效的时间。 6. 单击“确认”，完成添加。

操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域和项目。 步骤 3 在页面左上角单击 ，选择“数据库 > 云数据库 GaussDB”，进入云数据库 GaussDB信息页面。 步骤 4 在“实例管理”页面，选择目标实例，单击“操作”列的“磁盘扩容”，进入“磁盘扩容”页面。 您也可以通过单击目标实例名称，进入“基本信息”页面，在“存储/备份空间”模块的“存储空间”处，单击“磁盘扩容”，进入“磁盘扩容”页面。 步骤 5 在“磁盘扩容”页面，选择空间大小，单击“下一步”。 选择空间大小时，需要考虑扩容后的磁盘使用率应该小于阈值（默认85%）。只有低于阈值时，才可以让实例从只读状态恢复为可读写状态。 步骤 6 规格确认。 如果需要重新选择，单击“上一步”，回到上个页面，修改新增大小。 如果确认无误，单击“提交”，提交扩容。 步骤 7 查看扩容结果。 在实例管理页面，可看到实例状态为“扩容中”，稍后单击实例名称，在“基本信息”页面，查看磁盘大小，检查扩容是否成功。此过程需要3～5分钟。 结束

本小节介绍云下一代防火墙设置接口IP地址和安全域配置以及开启防护操作方法。 设置接口IP地址和安全域配置 登录云下一代防火墙web界面，打开【网络→安全域】，查看安全域下接口数量和开启的防护模块。 开启安全域的功能策略模板 网络接口附属在安全域，同步调用安全域防护策略，需启用安全域中的威胁防护和对应的防护侧。 开启全局网络参数为入侵防御 全局网络参数的防护模式是基于系统的，可影响整体的安全防护引擎运行机制，开启防护后可依据策略动作对攻击进行拦截。 关闭防护功能 关闭防护功能仅需要针对全局网络参数做修改，关闭【防护】后会从系统层面进入仅监测模式，威胁日志全部显示为仅检测，无法做拦截。 注意 该功能请谨慎操作。

操作场景 按需计费采用使用后付费的计费模式，按资源实际使用时长计费，适用于业务用量不确定的场景。 您可以将存储库的计费方式转为包年包月付费。 注意 按需转包年包月，设置成功后立即生效。 约束与限制 成套购买的资源将在一次转换操作中全部转为包年包月计费。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域。 3. 单击“存储>云硬盘备份”，进入云硬盘备份页面。 4. 选择“存储库”页签，单击目标存储库右侧的“操作>更多>转包周期”，弹出“转包周期”窗口。 5. 在弹窗中确认待操作的存储库信息后，点击“确定”，进入“按量转包周期”页面。在“按量转包周期”页面中选择包周期购买时长，点击“去支付”按钮。 6. 进入“订单详情”页面，点击“立即支付”，支付完成之后即可完成按需转包年包月操作。 7. 用户可在存储库列表页面查看该存储库付费方式已经转换为“包年包月”，表示操作设置成功。

本节主要介绍实例续费。 您可根据业务需要，对GeminiDB Influx“包年/包月”实例进行续费。 使用须知 GeminiDB Influx按需计费的实例不支持续费功能。 目前仅集群版本支持此功能，单节点暂不支持。 单个包周期实例续费 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择需要续费的实例，单击操作列“续费”。 图1 续费 您也可以单击目标实例名称，进入实例的“基本信息”页面，在“计费信息”模块的“计费模式”处，单击“续费”。 图2 续费 4. 进入续费页面，对实例进行续费。 批量续费 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，勾选目标实例，单击实例列表上方的“续费”。 图3 批量续费 4. 在弹出框中确认需要续费的实例，单击“是”，进入续费页面，对实例进行续费。

本节主要介绍开启和关闭SSL安全连接。 GeminiDB Influx实例支持实例创建成功后，开启或关闭SSL安全连接。 使用须知 该功能目前处于公测阶段，如需使用，请您联系客服申请开通。 开启或关闭SSL安全连接时需要重启实例。 开启SSL安全连接 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB Influx 接口”。 3. 在实例管理页面，单击目标实例名称，进入基本信息页面。 4. 在数据库信息区域，单击SSL后的，开启SSL安全连接。 图 开启SSL安全连接 关闭SSL安全连接 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB Influx 接口”。 3. 在实例管理页面，单击目标实例名称，进入基本信息页面。 4. 在数据库信息区域，单击SSL后的，关闭SSL安全连接。 图 关闭SSL安全连接

本文带您快速了解专属云（存储独享型）的计费模式。 存储专属云的存储独享，支持包周期收费，并提供固定价和阶梯价两种计费方式。 固定价计费方式按可用容量计费，无论建设的规模多大，都按固定的单位容量标准价格（元/G/月）计费，具体如下： 规格 起步规格 扩容步长 包月标准价格（元/G/月） 高IO 可用容量72TB 可用容量24TB 0.8 高IO 可用容量96TB 可用容量32TB 0.8 超高IO 可用容量60TB 可用容量20TB 2.4 阶梯价计费方式根据您不同的容量规格，按整套存储的标准价格（元/年）计费，具体如下： 规格 容量规格 包年标准价格（元/年） 高IO 可用容量24TB 303,584 高IO 可用容量48TB 391,952 高IO 可用容量72TB 480,319 高IO 24TB扩容包（仅用于扩容） 160,000 超高IO 可用容量15TB 624,565 超高IO 可用容量30TB 848,978 超高IO 可用容量45TB 1,073,392 超高IO 15TB扩容包（仅用于扩容） 357,000 注意 阶梯价计费方式只支持按年订购。

操作步骤 1. 使用Putty或其他终端以root用户登录到已安装Agent的弹性云主机中。 2. 执行如下命令，下载并运行批量安装脚本。 plaintext cd /usr/local && curl k O && bash batchagentinstall.sh r cnjssz1 u 0.1.9 t 2.5.6 d ces.cnjssz1.ctyun.cn 注：命令中的部分内容为示例说明（苏州资源池举例：uniagentcnjssz1.obs.cnjssz1.ctyun.cn，cnjssz1，ces.cnjssz1.ctyun.cn），对应资源池请登录控制台Agent安装引导页面，选择您需要安装Agent的资源池获取具体Agent包地址，或者通过前提条件表格获取。 3. 安装完成后，登录云监控服务管理控制台，单击左侧导航栏的“主机监控”。查看所有已安装Agent的弹性云服务器列表。 说明 Agent插件配置完成后，因监控数据暂未上报，插件状态仍显示“未安装”，等待35分钟，刷新即可。 4. （可选）安装完成后如果不需要pexpect模块，则执行如下命令，到python安装目录下删除pexepct和ptyprocess模块。 plaintext cd /usr/lib/python2.7/sitepackages rm pexpect3.2py2.7.egginfo f rm ptyprocess0.5.2py2.7.egginfo f

项目 描述 Scenario for performance optimization 性能调优针对的场景： ICv1：智算场景。 VMv1：虚拟化场景。 default：系统默认的类型。 Sensitivity for high availability 性能调优针对的场景敏感型： High：高敏感型。 Middle：中等敏感型。 Low：低敏感型。 custom：用户设置的场景。 Unknown：场景未知。

本文向您介绍标签管理服务的权限管理方法。 如果您需要对云服务平台上创建的云资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制云资源的访问。 通过IAM，您可以在账号中给员工创建IAM用户，并使用策略来控制他们对云资源的访问范围。例如您希望您的部分员工拥有标签管理服务的查看权限，但是不希望他们拥有删除预定义标签等操作的权限，那么您可以使用IAM为员工创建用户，通过授予标签管理服务的只读权限（TMS ReadOnlyAccess），控制员工对TMS的使用范围。 如果账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用标签管理服务的其它功能。 IAM是云服务平台提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见《统一身份认证用户指南》。 TMS权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 TMS部署时不区分物理区域，为全局级服务。授权时，在全局项目中设置策略，访问TMS时，不需要切换区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云服务平台各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对TMS服务，管理员能够控制IAM用户仅能对TMS服务进行指定的操作，如仅给IAM用户授予查看预定义标签的细粒度授权项，那么此IAM用户仅能查看预定义标签但不能创建和删除预定义标签。 如下表所示，包括了TMS的所有系统策略和系统角色。由于云服务平台各服务之间存在业务交互关系，标签管理服务的策略依赖其他服务的策略实现功能。因此给用户授予标签管理服务的权限时，需要同时授予依赖的权限，标签管理服务的权限才能生效。

本节主要介绍怎么通过专线联通OOS和云存储网关服务。 应用场景 云存储网关将用户将本地数据轻松上传到天翼云对象存储（经典版）I型（ObjectOriented Storage，OOS）中，实现存储空间的弹性扩展。云存储网关作为本地与云端存储之间的桥梁，通过标准 iSCSI 协议（Internet小型计算机系统接口）提供块存储服务，帮助用户将全量数据自动同步到OOS中。 如果将云存储网关部署在和OOS专线联通的服务器上，可以提高数据的读写速度，同时不必支付从OOS读取数据时产生的下行流量费用，为用户节省成本。 前提条件 已经开通专线、OOS服务，已经安装云存储网关。 具体操作 可以按照下列操作步骤进行部署： 1. 查看云存储网关所在服务器和OOS进行专线连接时，分配给OOS的IP地址。 2. 配置云存储网关所在服务器/etc/hosts，将OOS的域名指向到该IP地址。以对象存储网络为例： vim /etc/hosts 192.x.x.x ooscn.ctyunapi.cn 3. 在创建卷的时候，使用该OOS域名作为Endpint地址，即可确保云存储网关所在服务器和OOS通过专线互联。

本节介绍了专属云（存储独享型）的计费规则。 计费模式 支持包年包月的计费模式。 计费项 根据存储池类型、容量和购买量进行计费。 计费方式变更 计费周期内不允许计费方式变更。 到期欠费 为防止相关资源不被停止或者释放，请及时缴费。 购买 本产品项目制销售，购买前需联系客户经理，如果没有客户经理可拨打天翼云客服电话4008109889咨询。 续订 已购资源到期前需联系客户经理进行续订。 退订 本产品不支持无理由退订。

本文介绍用户如何访问集群API Server? 用户如何访问集群API Server？ 通过证书认证进行访问。您可以在云容器引擎控制台集群信息 > 连接信息获取kubeconfig文件， 使用kubectl工具直接连接集群API Server。

本文介绍用户如何访问集群API Server? 用户如何访问集群API Server？ 通过证书认证进行访问。您可以在云容器引擎控制台集群信息 > 连接信息获取kubeconfig文件， 使用kubectl工具直接连接集群API Server。

参数 参数类型 是否必填 示例 说明 下级对象 regionID String 是 81f7728662dd11ec810800155d307d5b 资源池ID deviceType String 是 eip 本参数表示设备类型。取值范围：vm：云主机。ph：宿主机。baremetal：裸金属。disk：云磁盘。scaling：弹性伸缩。traffic：共享带宽。eip：弹性IP。elb：负载均衡。listener：监听器。cstorsfs：弹性文件。sitemontior：站点监控。根据以上范围取值。 itemNameList Array of String 是 ["ingressthroughput","egressthroughput"] 待查的监控项名称 startTime String 是 1667815639 查询起始时间戳 endTime String 是 1667817639 查询结束时间戳 deviceUUIDList Array of String 是 ["100.124.0.2"，"100.124.0.5"] 查询设备ID列表 period Integer 否 300 聚合周期，单位：秒，默认300 pageNo Integer 否 1 页码，默认为1 page Integer 否 1 页码，默认为1，建议使用pageNo，该参数后续会下线 pageSize Integer 否 2 页大小，默认为20

参数 参数类型 是否必填 示例 说明 下级对象 regionID String 是 81f7728662dd11ec810800155d307d5b 资源池ID deviceType String 是 eip 本参数表示设备类型。取值范围：vm：云主机。ph：宿主机。baremetal：裸金属。disk：云磁盘。scaling：弹性伸缩。traffic：共享带宽。eip：弹性IP。elb：负载均衡。listener：监听器。cstorsfs：弹性文件。sitemontior：站点监控。根据以上范围取值。 itemNameList Array of String 是 ["ingressthroughput","egressthroughput"] 待查的监控项名称 startTime String 是 1667815639 查询起始时间戳 endTime String 是 1667817639 查询结束时间戳 deviceUUIDList Array of String 是 ["100.124.0.2"，"100.124.0.5"] 查询设备ID列表 period Integer 否 300 聚合周期，单位：秒，默认300 pageNo Integer 否 1 页码，默认为1 page Integer 否 1 页码，默认为1，建议使用pageNo，该参数后续会下线 pageSize Integer 否 2 页大小，默认为20

参数 参数类型 是否必填 示例 说明 下级对象 regionID String 是 81f7728662dd11ec810800155d307d5b 资源池ID deviceType String 是 eip 本参数表示设备类型。取值范围：vm：云主机。ph：宿主机。baremetal：裸金属。disk：云磁盘。scaling：弹性伸缩。traffic：共享带宽。eip：弹性IP。elb：负载均衡。listener：监听器。cstorsfs：弹性文件。sitemontior：站点监控。根据以上范围取值。 itemNameList Array of String 是 ["ingressthroughput","egressthroughput"] 待查的监控项名称 startTime String 是 1667815639 查询起始时间戳 endTime String 是 1667817639 查询结束时间戳 deviceUUIDList Array of String 是 ["100.124.0.2"，"100.124.0.5"] 查询设备ID列表 period Integer 否 300 聚合周期，单位：秒，默认300 pageNo Integer 否 1 页码，默认为1 page Integer 否 1 页码，默认为1，建议使用pageNo，该参数后续会下线 pageSize Integer 否 2 页大小，默认为20

参数 参数类型 是否必填 示例 说明 下级对象 regionID String 是 81f7728662dd11ec810800155d307d5b 资源池ID deviceType String 是 eip 本参数表示设备类型。取值范围：vm：云主机。ph：宿主机。baremetal：裸金属。disk：云磁盘。scaling：弹性伸缩。traffic：共享带宽。eip：弹性IP。elb：负载均衡。listener：监听器。cstorsfs：弹性文件。sitemontior：站点监控。根据以上范围取值。 itemNameList Array of String 是 ["ingressthroughput","egressthroughput"] 待查的监控项名称 startTime String 是 1667815639 查询起始时间戳 endTime String 是 1667817639 查询结束时间戳 deviceUUIDList Array of String 是 ["100.124.0.2"，"100.124.0.5"] 查询设备ID列表 period Integer 否 300 聚合周期，单位：秒，默认300 pageNo Integer 否 1 页码，默认为1 page Integer 否 1 页码，默认为1，建议使用pageNo，该参数后续会下线 pageSize Integer 否 2 页大小，默认为20

操作场景 天翼云后端主机组可以添加IDC侧的主机，满足云上、云下的混合云部署服务的需求。 使用须知 添加远端IP功能目前仅在集群模式资源池上线。主备、集群模式资源池列表见产品简介>产品类型和规格>按资源池区分, 实际情况以控制台展现为准。 您先需要将云上VPC和线下IDC通过云专线、VPN等三层路由打通，然后再使用远端IP功能。该功能需要加白名单开通。 后端主机组使用远端IP后，ELB实例无法使用客户端地址保持功能（DNAT模式）。 您最多可添加100个跨VPC后端IP，如需要申请更多，则需申请增加配额。 操作步骤 1. 登录天翼云控制中心。 2. 选择“网络>弹性负载均衡>负载均衡”， 找到负载均衡实例所在的VPC。 3.选择“网络>弹性负载均衡>高级功能”，找到负载均衡实例所在的VPC，点击操作列开启。开启后，该VPC下的负载均衡实例才可以添加IDC侧的主机。 4. 在该负载均衡详情界面，选择“后端主机组”标签。选定特定的后端主机组，选择远端IP类型，点击“添加”按钮。 5. 在弹出添加跨远端IP窗口，填写IP地址、端口、权重完成参数配置。云上无法校验IDC侧IP地址的准确性，需要您自己核对准确并填写。 说明：负载均衡实例使用100.89.0.0/16（IPv4）、100:0:0:2:0:0:6459:0/112（IPv6）地址将流量转发到后端主机。在添加远端IP类型的后端主机前，必须要通过专线打通线下IDC，配合在专线网关侧配置回程到100.89.0.0/16（IPv4）、100:0:0:2:0:0:6459:0/112（IPv6）的路由，否则线下IDC的主机无法回程流量到负载均衡实例。

创建密钥版本 由于公私钥使用场景的特殊性，KMS不支持对非对称的用户主密钥进行自动轮转。可在指定用户主密钥中人工创建新的密钥版本，生成全新的一对公钥和私钥。 除此之外，和对称类型的用户主密钥不同，非对称的用于主密钥没有主版本（PrimaryKeyVersion）的概念，因此使用非对称密码运算的接口除需指定用户主密钥标志符（或别名）之外，还需指定密钥版本。 不适用范围 KMS管理的以下类型的密钥不支持多个版本： 云产品的默认密钥：特定云产品托管在KMS上的、用于加密保护您的数据的默认密钥。这类密钥由特定云产品为用户代为管理，为您的数据提供最基本的加密保护。 用户自带密钥（BYOK）：您导入到KMS中的密钥。这类CMK的Origin属性为External，KMS不负责为用户生成密钥材料，无法自动发起轮转行为。更多信息，请参见导入密钥材料。 操作步骤 设置自动轮转（对称密钥） 1. 登录密钥管理服务控制台。 2. 在页面最上方的导航栏的资源池下拉列表，选择密钥所在的区域。 3. 在左侧导航栏，单击 密钥管理服务 ，进入 密钥列表 。 4. 定位到待设置的对称密钥，点击 密钥ID ，进入 密钥详情页 。 5. 在密钥版本区域，点击 设置轮转策略 。 6. 在设置轮转策略对话框，选择轮转周期， 30天 、 90天 、 180天 ，或 自定义天数 。 7. 设置了自动轮转策略后，将显示密钥下次轮转时间，点击确定完成设置。 8. 可通过相同的步骤更改轮转周期，也可取消轮转策略。

项目 描述 数据目录 单机版：所有数据目录所在磁盘已用容量总和、剩余容量总和、磁盘空间利用率，以及状态为健康、警告和错误的数据目录数量。 集群版：基础存储池所有数据目录所在磁盘已用容量总和、剩余容量总和、磁盘空间利用率，以及状态为健康、警告和错误的数据目录数量。 系统健康情况 许可证 软件许可证情况。 系统健康情况 存储池（仅集群版支持） 包括存储池的数量和基础存储池的基本信息。 存储池的基本信息包括： 基础存储池名称。 故障域级别。 状态为健康、警告和错误的故障域数量。 数据健康度：正常、降级、错误的比例。 如果存在降级状态的数据，会显示数据重建进度和预计剩余时间。 系统健康情况 卷 各类型卷（缓存卷、存储卷、本地卷）对应的个数及总容量、卷数据健康度（正常、降级、错误的比例）。 如果存在降级状态的数据，会显示数据重建进度和预计剩余时间。 系统带宽 读带宽 客户端从HBlock读取数据的带宽。 系统带宽 写带宽 客户端从HBlock写入数据的带宽。 系统带宽 总带宽 客户端从HBlock之间的总带宽。 系统IOPS 读IOPS 客户端从HBlock读取数据的IOPS。 系统IOPS 写IOPS 客户端从HBlock写入数据的IOPS。 系统IOPS 总IOPS 客户端从HBlock之间的总IOPS。 系统时延 读时延 客户端从HBlock读取数据的时延。采集周期内，系统中所有卷读时延的平均值。 系统时延 写时延 客户端向HBlock写入数据的时延。采集周期内，系统中所有卷写时延的平均值。 系统时延 总时延 客户端与HBlock之间的总时延。采集周期内，系统中所有卷读写时延的平均值。 上云带宽 上传带宽 HBlock向云上传数据的带宽。 上云带宽 下载带宽 HBlock向云上传数据的带宽。 上云带宽 总带宽 HBlock与云之间的总带宽。 告警信息 告警信息列表。

参数 是否必填 参数类型 说明 示例 下级对象 vpcId 是 String 开启防护的vpc scenarioType 是 String 类型nat;vpcPeer对等连接;cda云专线;ec云间高速 scenarioId 是 String 场景id，列表获取

参数 是否必填 参数类型 说明 示例 下级对象 vpcId 是 String 开启防护的vpc scenarioType 是 String 类型nat;vpcPeer对等连接;cda云专线;ec云间高速 scenarioId 是 String 场景id，列表获取

本节为您介绍云迁移服务CMS中数据库迁移工具提供任务搜索功能。 数据库迁移工具提供任务搜索功能，用户可根据任务名称、评估时间筛选出想要查看的迁移评估任务。

概述 云原生网关的API管理集中控制API的路由、流量和安全。用户可以配置API路由规则、请求处理、认证授权等功能，确保高效、安全的访问。 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表，进入对应网关实例的控制台。 3. 在左侧导航栏，选择API托管 > API列表。 创建API API的创建过程分为四个步骤： 1、基本信息 分组：API所属的分组，创建后不可修改。 API名称：可填写API的业务含义。 安全认证：选择API的安全认证方式，开启应用授权后，只有授权的应用才能访问该API。 防重放攻击：开启后，请求头必须包含xcatimestamp和xcanonce参数。 2、定义API请求 请求路径（Path）：API的访问路径。如果分组设置了BasePath，API的最终访问路径将为BasePath+Path。创建后不可修改。 请求方法（HTTP Method）：指定API的请求方式。创建后不可修改。 入参请求模式：支持三种模式，入参映射（过滤未知参数）、入参映射（透传未知参数）、入参透传。 入参定义：支持在query、header、path中定义参数。如果在path中定义了参数，必须确保该参数包含在Path中。 3、定义后端服务 后端服务：负责处理请求的后端服务。 后端请求路径（Path）：网关转发请求到后端服务的路径。如果在Path中定义了参数，后端请求路径中必须包含相应参数。 请求方法（HTTP Method）：指定请求后端服务的方式。 后端超时：设置请求后端服务的超时时间。 后端服务参数配置：将请求的入参与后端服务的入参一一对应，支持修改请求参数名。 常量参数：可以添加常量参数，并透传到后端服务。 系统参数配置：支持添加系统参数，并透传到后端服务。 4、定义返回结果 这里设置的API返回结果，仅用于生产文档，不会对API的请求、响应产生影响。

本章节主要介绍云搜索服务如何绑定企业项目。 每个集群必须设置其对应的企业项目，如果不需要此参数进行区分时，您可以将集群绑定至“default”项目。对于绑定企业项目特性上线前创建的集群，集群的企业项目将被绑定至“default”项目。您可以根据实际情况修改绑定企业项目。 绑定企业项目 在创建集群时，您可以在企业项目参数中绑定，详细操作步骤及参数解释请参见 创建Elasticsearch类型集群（安全模式）。 修改企业项目 针对之前已创建的集群，其绑定的企业项目可根据实际情况进行修改。 1.在“云搜索服务”管理控制台，单击“集群管理”进入集群列表。 2.在集群列表中，单击集群名称进入集群“基本信息”页面。 3.在集群“基本信息”页面中，单击“企业项目”参数右侧的参数值，进入“资源管理”的“项目管理”页面。 4.在资源页签下，选择对应“区域”，然后在“服务”中选择“ES”服务。此时，资源列表将筛选出对应的ES集群。 详见下图： 筛选ES集群 5.勾选需要修改企业项目的集群，然后单击“迁出”。 6.在“迁出资源”页面，选择“迁出方式”，再选择“请选择要迁入的企业项目”，然后单击“确定”。 详见下图： 迁出资源 7.迁出完成后，在原始的项目管理页面中，无法再获取此集群信息。您可以通过两种方式查看此集群绑定的企业项目。 进入云搜索服务集群列表页面，此集群对应的“企业项目”列的值，将更换为修改后的企业项目。 详见下图： 查看集群对应的企业项目 在资源管理服务中，在左侧导航栏选择“项目管理”，在企业项目管理页面，单击“查看迁出迁入事件”，可获取到此集群的信息。 详见下图：查看资源

此小节介绍云堡垒机字符命令授权管理。 命令控制策略用于控制用户访问资源的关键操作权限，实现Linux主机运维操作的细粒度控制。 针对SSH和Telnet字符协议主机，根据管理员配置的策略限制，云堡垒机对用户运维过程中执行的命令进行审计和过滤，并返回审计的命令、过滤结果和命令返回的内容，用于会话操作记录、拒绝使用等动作。 命令控制策略支持以下功能项： 支持按策略列表页策略排序区分优先级，排序越靠前优先级越高（优先级可选1100）。 支持控制允许执行、拒绝执行、警告三种命令动作。 允许：触发该策略规则后，放行命令操作。默认允许执行所有操作。 拒绝：触发该策略规则后，拒绝执行该命令，界面会提示您在执行命令时会得到该命令不能执行的提示。 警告：触发该策略规则后，警告运维用户谨慎执行该命令。 新增命令组 您在新增字符命令授权前需要进行新增命令组的操作。 1.使用“管理角色”账户登录云堡垒机（原生版）控制台。 2.在左侧导航栏选择“授权管理 > 字符命令授权”，进入“命令授权”页面。 3.在页面上面选择“命令组”页签，单击“新增”，开始新增命令组。 参数 参数说明 取值样例 名称 自定义命令组的名称。 Test 匹配方式 支持正则匹配和单命令匹配。 单命令匹配 命令 （仅选择单命令匹配填写）填写命令 /rm 命令正则式 填写命令规则的正则表达式。 enw 风险等级 选择该命令组的风险等级，共可选5个等级。 普通 动作 选择该命令组中的命令触发时产生的动作： 允许：触发该策略规则后，放行命令操作。默认允许执行所有操作。 拒绝：触发该策略规则后，拒绝执行该命令，界面会提示您在执行命令时会得到该命令不能执行的提示。 警告：触发该策略规则后，警告运维用户谨慎执行该命令。 拒绝 说明 提示符、命令采用正则表达式书写； 命令匹配上多条策略时，动作执行优先级“警告”>“允许”>“拒绝"，若未匹配上任何策略则放行。

本文主要介绍如何设置消息堆积数超过阈值时，发送告警短信/邮件。 操作场景 如果您想要在消费组的消息堆积数超过阈值时，通过短信/邮件及时收到通知信息，可以参考本章节设置告警通知。 您还可以参考分布式消息服务Kafka的支持的监控指标，设置告警通知。 前提条件 已购买Kafka实例、创建Topic，并且已成功消费消息。 操作步骤 1、 登录分布式消息服务Kafka控制台，单击待创建告警通知的实例名称，进入实例详情页。 2、 在左侧导航栏，选择“监控”，进入监控页面。 3、 在“消费组”页签，设置需要创建告警通知的消费组。 图 选择需要创建告警通知的消费组 消费组：选择需要创建告警通知的消费组。 主题：选择“全部Topic”。 4、 选中“消息堆积数（消费组可消费消息数）”图表，单击，创建告警规则。 图 消息堆积数图表 5、 在“创建告警规则”界面，设置告警名称。 图 设置告警名称 名称：您自定义的告警名称，用于识别不同的告警。 描述：告警规则描述，可以不填。 6、 在“创建告警规则”界面，设置告警策略。 图 设置告警策略 触发规则：选择“自定义创建”。 告警策略：触发告警规则的告警策略，是否触发告警取决于连续周期的数据是否达到阈值。 告警级别：根据实际情况选择告警等级。 7、 在“创建告警规则”界面，设置告警通知对象。 图 设置告警通知对象 发送通知：选择开启。 通知方式：选择“主题订阅”。 通知对象：选择云帐号联系人或已创建的告警通知主题，告警通知主题的订阅信息中包含需要接收告警信息的手机号/邮箱地址。 图 创建告警通知主题 图 添加订阅 生效时间：该告警规则仅在生效时间内发送通知消息。 触发条件：触发告警通知的条件。 8、 在“创建告警规则”界面，设置企业项目和标签。 图 设置企业项目和标签 归属企业项目：告警规则所属的企业项目。只有拥有该企业项目权限的用户才可以查看和管理该告警规则。 标签：标签用于标识云资源，当您拥有相同类型的许多云资源时，可以使用标签按各种维度（例如用途、所有者或环境）对云资源进行分类。 9、 单击“立即创建”，完成告警规则的设置。 告警规则创建完成后，在云监控服务的“告警 > 告警规则”界面，查看新创建的告警规则。 图 查看新创建的告警规则

本文介绍如何通过ELB接入方式将网站接入WAF进行防护。 Web应用防火墙（原生版）支持接入负载均衡（ELB）实例，您可以为使用HTTP或HTTPS监听协议的ELB监听器开启WAF防护。WAF对进入监听器的应用层流量进行检测（不参与流量转发），您可根据自身应用需求设置相应的防护规则。 前提条件 该功能当前处于试用阶段，如需试用请通过天翼云控制台提工单进行申请。 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 实例支持防护的ELB监听器个数未超过配额限制，各个版本支持的配额请参见产品规格。 约束限制 目前仅支持防护性能保障型的负载均衡实例，不支持经典型实例。 目前仅支持为HTTP/HTTPS监听器开启安全防护。 目前仅支持防护“武汉41”区域的ELB监听器。 在WAF控制台开启防护 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 进入到WAF控制台，在左侧导航栏选择“接入管理”，选择“云产品接入”页签。 5. 单击“添加防护对象”进入添加防护对象页面，配置防护对象参数。 配置项 说明 ELB（负载均衡器） 单击“选择ELB（负载均衡器）”，弹出当前所在区域的ELB实例列表，找到目标ELB，单击操作列的“选择”。 监听器 单击“选择监听器”，弹出所选ELB实例下的监听器列表，找到目标监听器，单击操作列的“选择”。 说明 仅支持选择监听协议为HTTP 、HTTPS的监听器。 防护对象名称 防护对象的名称，默认为“ELB名称 :监听器名称”，支持自定义。 域名 （可选）填写所选监听器下的域名，可添加精确域名和泛域名： 精确域名：支持多级别精确域名，例如主域名ctyun.cn、子域名www.ctyun.cn等。 泛域名：支持使用泛域名格式，例如.ctyun.cn可以匹配www.ctyun.cn、test.ctyun.cn。 说明 使用泛域名后，WAF将自动匹配该泛域名对应的所有子域名，例如，.ctyun.cn能够匹配www.ctyun.cn、test.ctyun.cn等。 泛域名不支持匹配对应的主域名，例如.ctyun.cn不能匹配ctyun.cn。 如果同时存在精确域名和泛域名，则精确域名的转发规则和防护策略优先生效。 备注 （可选）防护对象的描述信息，可以自定义。 6. 配置完成后单击“确定”，返回云产品接入页面。 说明 ELB监听器接入WAF后，WAF防护开关默认“开启”，暂不支持在WAF控制台关闭防护。