本节主要介绍创建密钥 密钥（Secret）是一种用于存储应用认证信息、应用密钥等敏感信息的资源，内容由用户决定。密钥创建完成后，可在应用中作为文件或者环境变量使用。 前提条件 已创建需要使用密钥的集群。 创建混合集群，请参考“帮助中心 > 云容器引擎 > 用户指南 > 集群管理 > 创建混合集群”。 已创建密钥所在命名空间，请参考“帮助中心 > 云容器引擎 > 用户指南 > 集群管理 > 命名空间”。 创建密钥 1、登录ServiceStage控制台，选择“应用管理 > 应用配置 > 密钥”。 2、单击“创建密钥”。 3、ServiceStage支持“可视化”和“YAML”两种方式来创建密钥。 方式一：可视化。参照下表设置基本信息，其中带“”标志的参数为必填参数。 表 基本信息说明 参数 参数说明 :: 基本信息 密钥名称 新建的密钥的名称，同一个命名空间内命名必须唯一。 所在集群 使用新建密钥的集群。 单击“创建集群”，可以新建集群。 命名空间 新建密钥所在的命名空间，默认为default。 描述 密钥的描述信息。 单击“创建命名空间”，可以新建命名空间。 密钥类型 根据业务需要选择新建的密钥类型。 Opaque：一般密钥类型。当密钥配置文件中未作显式设定时，默认的密钥类型是Opaque。 kubernetes.io/dockerconfigjson：存放拉取私有仓库镜像所需的认证信息。 IngressTLS：存放7层负载均衡服务所需的证书。 其他：若需要创建其他类型的密钥，请手动输入密钥类型。 镜像仓库地址 当“密钥类型”选择kubernetes.io/dockerconfigjson时有效。输入镜像仓库的地址。 密钥数据 应用密钥的文件data字段值。 当密钥为Opaque类型时，输入键、值。其中“值”必须使用Base64编码。单击“添加更多密钥数据”，可以增加密钥数据 。 当密钥为kubernetes.io/dockerconfigjson类型时，输入“镜像仓库地址”、“用户名”和“密码”。 当密钥为IngressTLS类型时，上传“证书文件”和“私钥文件”。 当密钥为其他类型时，输入“密钥类型”及对应的“键”、“值”。 密钥标签 标签以Key/value键值对的形式附加到各种对象上（如应用、节点、服务等）。 标签定义了这些对象的可识别属性，用来对它们进行管理和选择。 单击“添加标签” 。 输入键、值。 方式二：YAML。 若需要通过上传文件的方式创建资源，请确保资源描述文件已创建。ServiceStage支持yaml格式，详情请参考Secret资源文件配置说明。 a.在“所在集群”下拉框中，选择相应的集群。 b.（可选）单击“上传文件”，选择已创建的Secret类型资源文件后，单击“打开”。 请上传小于2MB的文件。 c.在“编排内容”中写作或者修改上传的Secret资源文件。 4、配置完成后，单击“创建”。 密钥列表中会出现新创建的密钥。

SOC的类型 企业/组织有几种不同的方式来设置其SOC。一些企业/组织选择构建具有全职员工的专用SOC。这种类型的SOC可以是内部的，具有物理的本地位置，也可以是虚拟的，员工使用数字工具远程协调工作。许多虚拟SOC既有合同工，也有全职员工。外包SOC也可称为“托管SOC”或“安全运营中心即服务”，它由托管安全服务提供商运行，该提供商负责防止、检测、调查和响应威胁。此外，它可以既有内部员工，也有托管安全服务提供商。这种版本被称为托管或混合SOC。企业/组织使用这种方法来增加自身员工的影响力。例如，如果没有威胁调查员，那么聘用第三方可能与在内部配备这些人员更加容易。 SOC团队的重要性 强大的SOC可帮助企业、政府和其他组织适应于不断变化的网络威胁环境。这不是一件容易的事。攻击者和防御社区都经常开发新的技术和战略，而管理所有的变化需要时间和精力。SOC利用其对更广泛的网络安全环境的了解以及对内部薄弱点和业务优先级的理解，帮助企业/组织制定符合业务长期需求的安全路线图。SOC还可限制发生攻击时对业务的影响。持续监视网络并分析警报数据，因此与分散在其他几个优先事项的团队相比，更有可能更早地发现威胁。通过定期培训和记录良好的流程，SOC可以快速处理当前事件，即使在压力极大的情况下也能做到。对于没有全天候关注安全运营的团队来说，这可能很困难。

与旧版IAM相比，新版IAM支持更精细、更安全、更全面的访问控制。需要注意的是： 新版的IAM不再区分主密钥、普通密钥。 每个根用户/子用户可以拥有2个访问密钥对。 当创建访问密钥时，您只有在创建时可以下载和查看您的私有访问密钥（即SecretAccessKey），如不慎遗失，您可以选择删除该访问密钥，并创建新的访问密钥。 为了提供更安全的服务，新版IAM API统一使用V4签名。

可能原因 云堡垒机系统还处于“正在重启”状态中，当前系统还不可用。 解决办法 5分钟后再登录CBH系统，待系统重启完成。 内网用户登录云堡垒机系统，可能会遇到哪些故障？ 常见场景 用户在公司内网，登录云堡垒机系统后，屏幕黑屏，且图标加载显示不全； 用户在公司内网，登录云堡垒机系统后，有时网络会突然断开或网络不稳定； 用户在公司内网，登录云堡垒机系统时，跳转到其他链接； 云堡垒机无法登录，提示“网络异常，请检查网络配置”。 可能原因 用户公司设置了代理服务器拦截，云堡垒机无法正常连接。 解决办法 确认设置了代理服务器拦截后，申请对云堡垒机的登录IP开启白名单。 通过堡垒机登录主机，无法正常登录怎么办？ 问题现象 现象一 ：使用云堡垒机远程登录，无法使用主帐号administrator进行远程登录。 现象二 ：使用云堡垒机普通帐号，无法登录Windows虚拟机，管理员帐号可以登录。 可能原因 现象一的原因 ：用户主机为非RDP协议类型的，但开启了RDP强制登录（admin console配置）。 现象二的原因 ：用户使用了RDP协议类型的主机，Windows远程桌面连接数超过最大限值。

本文主要介绍保护Failover Cluster模式下的SQL Server。 当前云主机备份只支持单个虚拟机的一致性备份，对于集群数据库暂不支持，完整支持将在后续版本中推出。 在Failover Cluster模式下，SQL Server服务只在主节点上是启动的，故在创建云主机备份时，只需要将主节点加入策略进行备份。在主备发生切换后，及时调整策略，确保始终对主节点进行备份。在恢复时，请先停止所有备节点，然后还原主节点。

本节介绍了XEN实例变更为KVM实例(Linux自动配置)的操作场景、约束与限制、操作流程、后续处理。 操作场景 Linux操作系统XEN实例变更为KVM实例前，必须已完成必要的驱动安装和配置。 本节操作指导您使用自动化脚本的方式为Linux云主机安装驱动、配置磁盘自动挂载等，并将XEN实例变更为KVM实例。 说明 XEN实例：S1、C1、C2、M1型弹性云主机。 KVM实例：参考 为了同时支持XEN虚拟化和KVM虚拟化，Linux弹性云主机的正常运行需依赖于xenpv驱动、virtio驱动等。XEN实例变更为KVM实例前，需要确保Linux弹性云主机已完成相关配置，包括安装驱动、配置磁盘自动挂载等。 约束与限制 Linux操作系统云主机如果存在由多个物理卷组成的LVM逻辑卷或组建了RAID磁盘阵列，均不支持变更规格，否则可能会导致数据丢失。 对于XEN实例，当挂载的VBD磁盘超过24块时，不支持将规格变更为KVM实例。 系统支持将“XEN实例”变更为“KVM实例”，不支持将“KVM实例”变更为“XEN实例”。 操作流程 XEN实例变更为KVM实例的操作流程如下图所示。 图 Linux云主机变更流程（自动配置） 具体的变更操作如下表所示。 表 XEN实例变更为KVM实例（自动配置） 序号 任务 :: 步骤1 步骤1：制作系统盘快照 步骤2 步骤2：使用脚本自动安装驱动 步骤3 步骤3：变更规格 步骤4 （可选）步骤4：检查磁盘挂载状态 步骤1：制作系统盘快照 如果云主机未安装驱动就执行了变更规格的操作，云主机无法正常使用，需要重装操作系统才能恢复，可能造成您的系统盘数据丢失。因此，建议您先制作系统盘快照，防止数据丢失。创建快照参考 ~/resizeecsmodifylinux.sh 其中，URL为规格变更优化脚本的下载地址。 3. 执行以下命令，运行脚本，该脚本会自动检查并安装原生xenpv驱动、virtio驱动。 bash resizeecsmodifylinux.sh 图 运行脚本 4. 请耐心等待脚本运行结束。 该脚本在确认驱动安装成功后会自动为云主机设置标签，标记驱动安装成功，没有设置标签的云主机无法执行变更规格的操作。 如果回显提示“{镜像名称} already contain xen and virtio driver”，表示检查并安装驱动成功。 回显提示“Success to set kvm meta!”或“this server already has kvm meta.”，表示设置标签成功，请继续执行步骤3：变更规格。 回显提示“Failed to set metadata, please try again”，表示设置标签失败，可稍后重试执行脚本。 如果安装失败请参考XEN实例变更为KVM实例（Linux手动配置）手动配置或者联系客服寻求技术支持。 您可以执行步骤3：变更规格。否则，请尝试重新运行脚本或联系客服寻求技术支持。 图 运行成功 说明 请务必确保云主机配置成功，否则，可能会导致变更规格后的弹性云主机不可用。如果安装失败请参考 脚本安装失败常见问题请参考： 步骤3：变更规格 1. 登录控制台。 2. 选择“计算 > 弹性云主机”。 3. 在弹性云主机列表，查询待变更弹性云主机状态。 如果不是关机状态，单击“操作”列下的“更多 > 关机”。 4. 单击“操作”列下的“更多 > 变更规格”。 系统进入“云主机变更规格”页面。 5. 根据界面提示，选择变更后的云主机类型、vCPU和内存。 6. （可选）选择“专属主机”。 对于在专属主机上创建的弹性云主机，系统支持更换云主机所在的专属主机。 此时，您可以单击下拉列表，选择更换专属主机。如果下拉列表中无可用的专属主机，说明专属主机所剩资源不足，不能用于创建变更规格后的弹性云主机。 7. 勾选复选框“我确认已完成对弹性云主机的配置”，确认已完成“配置弹性云主机”操作。 8. 单击“确定”。 说明 如果变更规格失败后，弹性云主机无法使用，可能会需要重装操作系统来恢复云主机，请注意重装操作系统会清除系统盘数据，但不影响数据盘的数据。 （可选）步骤4：检查磁盘挂载状态 XEN实例变更为KVM实例时，可能会发生磁盘挂载失败的情况，因此，变更规格后，需检查磁盘挂载状态是否正常。如果正常，则变更成功。 Linux弹性云主机 详细操作请参考Linux弹性云主机变更规格后磁盘脱机怎么办？

证书重颁发,是指在证书仍然有效时,由于某些特殊原因,用户需要获取一张新证书。 操作场景 通常在下述场景下，需要重颁发证书： 密钥泄露或丢失：为了网站的安全，建议重颁发一张新证书。 域名删减：原有的证书将不再适用，需要重颁发证书以匹配新域名。 密钥算法升级：通过密钥算法升级，可优化安全性、性能、合规性，系统性地提升安全防护能力并优化资源效率。 约束限制 适用产品：SSL证书、私有（内网）证书 适用品牌：CFCA、GlobalSign、标准版、DigiCert（SecureSite、GeoTrust、TrustAsia） 适用算法：国际、国密 重颁发次数限制：单张证书在有效期内（199天 ）最多可申请3次重颁发，第3次申请后，重颁发按钮置灰。 重颁发后新证书的有效期： CFCA、GlobalSign：原证书剩余时间，仅在证书到期前30天内重颁发时将获得199天续期证书。 标准版、DigiCert（SecureSite、GeoTrust、TrustAsia）：199天。 操作步骤 1. 登录证书管理服务控制台。 2. 选择“SSL证书管理 > SSL证书列表”或“私有证书管理 > 私有证书列表”。 3. 选择需要进行重颁发的证书，单击“操作”列的“重颁发”。 4. 填写证书申请的相关信息。 参数 说明 证书绑定域名 第一个域名将作为证书通用域名名称（不可修改）。只可删减其他域名。 密钥算法 可选择“RSA”、“ECC”或“SM2”。 证书请求文件 CSR是一个包含网站、服务、国家、组织、域名、公钥和签名的编码文件，用于从可信的证书颁发机构（CA）获取证书。 支持“系统生成”或“手动生成”两种方式： 系统生成：根据用户所配置的信息，系统自动生成一个CSR。为保障您的证书顺利申请，建议您使用系统生成CSR的方式，避免因内容不正确而导致的审核失败。 手动生成：在下拉框中选择已手动创建的CSR，使用已创建的CSR申请证书。 注意 请不要在证书签发完成前删除CSR。 手动生成将无法署到天翼云产品。 私钥文件 填写您的CSR私钥。 您可以单击“上传”并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框，或者使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框。 5. 单击“确定”，提交申请。 证书状态更新为“申请审核中重颁发”。申请通过后，证书状态将更新为“已签发”。 新证书签发后，原证书吊销说明： 品牌 是否吊销 吊销说明 CFCA 是 原证书将在3天内吊销。 GlobalSign 否 原证书与新证书可同时使用。 标准版、DigiCert（SecureSite、GeoTrust、TrustAsia） 吊销的场景：仅当申请重颁发时删减域名，原证书将在新证书签发3 天后吊销。 不吊销的场景：其他场景不吊销原证书。

产品 规格 说明 标准价格（元/月） 标准价格（元/年） 大模型安全卫士 标准版 关键词拦截 语义拦截 支持私有语料库敏感信息识别及分类分级（规则匹配方式） RAG代理网关（输入阻断） 可配置模型代理数量 x 1 大模型安全管理平台 支持同时对大模型发起20个请求 7000 70000 大模型安全卫士 性能扩展包（标准版） 1个扩展包可以增加对大模型发起10个请求 5500 55000

本节介绍了弹性云主机切换操作系统的相关问题。 切换操作系统是否需要收费？ 公有云平台免费为您提供弹性云主机的切换操作系统功能。切换后，系统将根据您选择的产品重新计费。 我能否自己安装或者升级操作系统？ 弹性云主机需要使用我们提供的操作系统或者基于我们操作系统制作的操作系统，不能自行添加或升级，操作系统可以打补丁。 说明 如果需要升级操作系统的大版本，例如从CentOS 7.2升级到Cent OS 7.3，请使用提供的切换操作系统功能。 切换操作系统需要多长时间？ 单击“操作”列下的“切换操作系统”执行切换操作，对于安装了密码注入插件的镜像，切换操作系统耗时大约为1～2min。对于未安装密码注入插件的镜像，需要创建临时虚拟机，耗时大约为10～20min。 切换操作系统过程中，云主机会显示任务状态为“切换操作系统”。

本文介绍天翼云视频直播的产品优势。 丰富的资源节点 大网优质节点，可轻松应对直播大流量突发。 中国内地拥有2000+节点，覆盖多运营商和31个省份区域，大量节点位于省会及一二线主要城市。 海外、中国香港、中国澳门和中国台湾拥有800+节点，遍布亚洲、美洲、欧洲、非洲等大洲主要国家和城市。 优质的网络质量 拥有电信运营商优质的网络优势，网络节点架构在精品IP网络CN2和163上，充分保障网络质量的稳定性。 强大的技术实力 媒体处理技术：拥有直播转码、直播录制、直播截图、直播水印、直播审核、直播时移、音视频单播等媒体处理能力。 传输能力：基于直播业务特性自研智能调度、告警切换、私有传输协议等多项核心技术，确保4K/8K等超高清视频内容稳定传输。 可靠的安全防护 多层次多角度的安全访问控制，可有效保护客户内容版权。 访问控制：支持Referer防盗链、UA防盗链、IP黑/白名单、URL鉴权、远程鉴权防盗链等多种访问控制手段，拒绝非法请求和恶意攻击。 全链路HTTPS：支持全链路HTTPS安全传输方案，防劫持防篡改，保护数据安全。

证书重颁发,是指在证书仍然有效时,由于某些特殊原因,用户需要获取一张新证书。 操作场景 通常在下述场景下，需要重颁发证书： 密钥泄露或丢失：为了网站的安全，建议重颁发一张新证书。 域名删减：原有的证书将不再适用，需要重颁发证书以匹配新域名。 密钥算法升级：通过密钥算法升级，可优化安全性、性能、合规性，系统性地提升安全防护能力并优化资源效率。 约束限制 适用产品：SSL证书、私有（内网）证书 适用品牌：CFCA、GlobalSign、标准版、DigiCert（SecureSite、GeoTrust、TrustAsia） 适用算法：国际、国密 重颁发次数限制：单张证书在有效期内（199天 ）最多可申请3次重颁发，第3次申请后，重颁发按钮置灰。 重颁发后新证书的有效期： CFCA、GlobalSign：原证书剩余时间，仅在证书到期前30天内重颁发时将获得199天续期证书。 标准版、DigiCert（SecureSite、GeoTrust、TrustAsia）：199天。 操作步骤 1. 登录证书管理服务控制台。 2. 选择“SSL证书管理 > SSL证书列表”或“私有证书管理 > 私有证书列表”。 3. 选择需要进行重颁发的证书，单击“操作”列的“重颁发”。 4. 填写证书申请的相关信息。 参数 说明 证书绑定域名 第一个域名将作为证书通用域名名称（不可修改）。只可删减其他域名。 密钥算法 可选择“RSA”、“ECC”或“SM2”。 证书请求文件 CSR是一个包含网站、服务、国家、组织、域名、公钥和签名的编码文件，用于从可信的证书颁发机构（CA）获取证书。 支持“系统生成”或“手动生成”两种方式： 系统生成：根据用户所配置的信息，系统自动生成一个CSR。为保障您的证书顺利申请，建议您使用系统生成CSR的方式，避免因内容不正确而导致的审核失败。 手动生成：在下拉框中选择已手动创建的CSR，使用已创建的CSR申请证书。 注意 请不要在证书签发完成前删除CSR。 手动生成将无法署到天翼云产品。 私钥文件 填写您的CSR私钥。 您可以单击“上传”并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框，或者使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框。 5. 单击“确定”，提交申请。 证书状态更新为“申请审核中重颁发”。申请通过后，证书状态将更新为“已签发”。 新证书签发后，原证书吊销说明： 品牌 是否吊销 吊销说明 CFCA 是 原证书将在3天内吊销。 GlobalSign 否 原证书与新证书可同时使用。 标准版、DigiCert（SecureSite、GeoTrust、TrustAsia） 吊销的场景：仅当申请重颁发时删减域名，原证书将在新证书签发3 天后吊销。 不吊销的场景：其他场景不吊销原证书。

扩容过程中涉及数据迁移吗？ 扩容过程不涉及数据迁移。 选择和配置安全组 安全组是一种网络安全配置，用于控制云计算平台中虚拟机实例的网络访问。它是一种虚拟防火墙，可以定义入站和出站的网络流量规则，以保护虚拟机实例的安全。Kafka在购买实例页面用户可选择安全组。 是否支持跨Region访问？ 可购买弹性IP，通过公网IP绑定功能实现外网访问，也可通过购买云间高速产品服务进行访问。 Kafka实例是否支持不同的子网？ 支持。相同VPC内可以跨子网段访问。同一个VPC内的子网默认可以进行通信。 Kafka实例的内网连接地址可以修改吗？ 不支持修改，也不支持指定IP地址。 开启公网访问后，在哪查看公网IP地址？ Kafka管理控制台。在实例列表页在操作列，目标实例行点击“设置公网ip”，查看具体地址。 Kafka支持服务端认证客户端吗？ 分布式消息服务Kafka不支持服务端认证客户端。 不同实例中，使用的SSL证书是否一样？ 在Kafka中，每个实例使用的SSL证书通常是不同的。SSL证书是用于加密和验证Kafka实例之间的通信的一种安全机制。每个Kafka实例都需要有自己的证书来确保通信的安全性和身份验证。 SSL证书包括公钥和私钥。公钥用于加密通信，私钥用于解密通信。为了确保安全性，私钥应该是保密的，并且只有Kafka实例才能访问。 在Kafka集群中，每个实例都应该有自己的证书和私钥对。这样可以确保每个实例都有独立的加密和身份验证机制。如果多个实例共享相同的证书和私钥，那么一个实例的私钥可能会被其他实例访问，从而降低了通信的安全性。 因此，为了确保每个Kafka实例之间的通信安全，建议为每个实例生成独立的SSL证书和私钥。这样可以确保每个实例都有独立的加密和身份验证机制，提高整个Kafka集群的安全性。

本节介绍了KVM实例变更为QingTian实例的操作场景、约束与限制、操作流程、后续处理。 操作场景 本节介绍将KVM实例变更为QingTian架构实例的操作步骤。 说明 KVM实例：参考实例规格，查询对应规格的虚拟化类型。 QingTian架构实例：选择“通用计算增强型C7”、“通用计算增强型C7t”、“内存优化型M7”、“鲲鹏通用计算增强型Kc2”。 约束与限制 Windows操作系统云主机不支持“KVM实例”变更为“QingTian实例”。 变更规格过程中，弹性云主机需要关机，建议您选择业务空闲时间进行操作。 变更规格时不支持修改网络类型。 Linux操作系统云主机的系统盘和数据盘如果存在由多个物理卷组成的LVM逻辑卷或组建了RAID磁盘阵列，均不支持变更规格，否则可能会导致数据丢失。 C7、M7型云主机仅支持使用SCSI磁盘模式挂载磁盘，不支持使用VBD磁盘模式挂载磁盘。即磁盘标识为wwn。由其他规格变更为C7、M7型云主机会导致虚拟机内盘符发生变化，请先检查系统fstab、grub中是否有使用磁盘设备名。如果存在该问题，请参考修改fstab文件磁盘标识方式为UUID进行修改，避免变更后实例启动失败。 支持将“KVM实例”变更为“QingTian实例”，不支持将“QingTian实例”变更为“KVM实例”。 不支持“XEN实例” 变更为“QingTian实例”。 如果云主机操作系统的逻辑卷管理器（LVM）启用了system.devices文件功能，规格变更后可能会使LVM根据system.devices文件匹配不到磁盘，导致LVM无法识别。基于Red Hat Enterprise Linux 9的操作系统默认启用了system.devices设备文件功能，例如CentOS 9.x、Rocky Linux 9.x等版本。对于使用这些版本操作系统的云主机，在变更前需要将/etc/lvm/device里的system.devices文件重命名或者移走，然后再进行变更操作。更多介绍，请参见限制LVM设备可见性和用法。

操作说明 添加加速域名 登录客户控制台，在左侧导航栏单击【域名管理】【域名列表】，进入域名列表页面，单击【添加域名】。 第一部分：域名基础信息配置，请参考如下说明： 功能 说明 对应说明文档 加速域名 1.加速域名为需要使用加速服务的域名，支持泛域名。 2.在添加加速域名环节，需您先通过域名归属权验证，证明您拥有该域名的使用权，才能完成域名添加。 添加加速域名、验证域名归属权 加速类型 依据业务特性，选取合适的加速类型。 加速类型 域名类型 天翼云全站加速产品提供三种业务类型的加速：全站加速、上传加速、websocket加速，您可以在添加域名时选择不同的域名类型来对不同的业务进行加速。 域名类型 加速区域 支持选定期望的加速区域，或切换加速区域，达到变更CDN服务区域的目的。 加速区域 IPv6开关 开启IPv6功能后，您可以在客户端通过IPv6协议访问CDN节点。 IPv6配置 HTTPS开关 开启HTTPS协议，将实现客户端和天翼云CDN节点之间请求的HTTPS安全加密传输。 HTTPS配置 HTTPS证书上传 您可以选择已经上传过的证书，或者“点击上传”新证书再选用该新证书。 新增证书 HTTP2开关 如果您的业务中需要用到多路复用、压缩HTTP头、划分请求优先级和服务端推送等特性，可启用HTTP2。 HTTP2.0配置 配置TLS协议版本 您可以按需选择具体的TLS版本。 TLS协议版本 缓存设置 合理设置缓存规则，可以提高您的文件的加速效果。 缓存过期时间 IP黑白名单 通过识别客户端IP来过滤用户请求，拦截特定IP的访问或者允许特定IP的访问，可以用来解决恶意IP盗刷、攻击等问题。 IP黑白名单 Referer防盗链 配置Referer黑白名单后，CDN会根据名单识别请求身份，允许或拒绝访问请求。允许访问请求，CDN会返回资源链接；拒绝访问请求，CDN会返回403响应码。 Referer防盗链 UA黑白名单 配置UA黑白名单后，CDN会识别HTTP请求中的UserAgent字段中包含的部分信息（标志访客访问时所使用的工具），允许或拒绝访问请求。允许访问请求，CDN会返回资源；拒绝访问请求，CDN会返回403响应码。 UA黑白名单 第二部分：源站配置 全站加速节点在无缓存时，会回源站（本实践中特指媒体存储【即对象存储（融合版）】）拉取资源并缓存。源站相关配置说明，请参考如下： 功能 说明 对应说明文档 源站 支持IP或域名，最多可添加60个。本实践中，源站类型请选择 【媒体存储源站】，否则配置私有Bucket回源功能将无效。 源站配置 回源协议 支持设置CDN在回源时遵循的协议类型。 回源协议 源站端口 支持设置您特定的源站端口，HTTP默认80，HTTPS默认443。 回源端口 回源HOST 当您的源站的同一个IP地址上绑定了多个域名或站点时配置回源HOST，CDN在回源时根据HOST信息去对应站点获取资源。 回源HOST 1. 在源站地址中填入已经配置好的存储桶 ，即Bucket域名（回源域名）。 2. 根据源站支持情况，选择回源请求协议。 3. 按需填写回源HOST。 4. 如新建Bucket时，【权限】选择的是私有，则只有该Bucket的拥有者或被授权者可以对该存储空间内的文件进行读写操作。可通过客户控制台，在【域名管理】【域名列表】【编辑】【回源配置】【私有Bucket回源】添加AK(Access Key），SK(Secret Access Key)等信息。 注意 私有Bucket的AK、SK一旦授权给全站加速，用户可以通过全站加速访问到私有Bucket内容，如在媒体存储【即对象存储（融合版）】中的资源较为敏感，请单独为全站加速创建一个独立的AK/SK，仅授权全站加速可访问的内容，避免源站信息泄漏。 5. 当完成添加域名页面所有配置后，单击【保存】，请耐心等待域名配置下发部署至全网节点，自助配置生效时间约510分钟。

本章节介绍数据安全相关实践。 媒体存储深知数据安全对用户的重要性。在媒体存储中，我们致力于为您提供可靠、安全的数据存储解决方案，并积极推动数据安全的最佳实践。 我们将通过本文为您介绍媒体存储数据安全的最佳实践，帮助您保护和管理存储在我们平台上的数据。我们将分享一系列有效的措施，旨在确保数据的机密性、完整性和可用性。 我们将从访问控制，数据加密，数据备份和灾难恢复，数据完整性检查，安全审计和监控等几个方面，介绍天翼云媒体存储的数据安全实践。 访问控制 正确使用天翼云媒体存储为您提供的访问控制能力，通过细粒度的访问控制策略，可以有效保护您的数据不被泄露和破坏。 建议不同管理员分别使用不同子账号，通过子账号来控制不同管理员的资源访问和管理权限，避免单一账号访问权限过高，导致数据泄露和误操作而产生的风险。 主账号管理员可以结合自己的业务和实际需求，分别创建不同的子用户，然后对子用户授权不同的权限。这样做可以更好的对不同管理员进行权限隔离和管理。详情参考：主子账号。 对临时用户，建议使用STS发放最小权限的临时访问凭证，让您的资源访问更加安全。临时访问凭证无需透露您的长期密钥，具有一定的时间有效期限，所以针对某些临时需要访问您数据的业务场景或者临时用户，推荐您使用STS发放最小权限临时访问凭证，降低潜在的攻击面和数据泄露风险。同时定期审查STS角色的权限设置，确保角色权限与用户或服务的实际需求保持一致。如果用户或服务不再需要特定的权限，应立即撤销相应的角色访问权限。对于特权角色，进行更频繁的审查和严格的权限管理。详情参考：STS角色管理。 利用好桶的权限配置功能，有效保护您的数据不被异常访问和操作。天翼云媒体存储提供了存储空间访问策略（Bucket Policy）、存储空间访问控制列表（Bucket ACL）和对象访问控制列表（Object ACL）等方式，通过它，您可以限制其他用户访问您数据的操作权限，避免您的数据被破坏和泄露。详情参考：访问权限概述。 利用好防盗链配置，通过可以设置黑白名单，限制资源的可见性，能有效避免资源被盗用的风险。天翼云媒体存储提供了防盗链机制，可以防止其他网站或未经授权的第三方使用您的存储资源，防止资源盗链和滥用。只有经过授权的来源网站才能访问和显示您的资源，提高资源的安全性和保密性。详情参考：防盗链。 建议将需要公共读写的对象和私有资源对象进行分桶存储，以便简化您的访问控制策略。推荐将公开访问的对象数据使用公有桶存储，私有资源对象采用私有桶存储。同时请切勿将敏感数据放入公共桶存储，将私有桶错授权为公共读写权限，这样容易造成数据泄露风险。详情参考：访问权限ACL。 数据对象临时的访问，建议使用临时URL访问数据对象。为了有效避免数据泄露的风险性，针对数据对象的临时访问场景，建议您生成一个临时的URL给访问者，同时在生成临时URL的时候，设置URL的有效期，过期自动失效。详情参考：访问方式。 利用好合规保留功能，可以降低您数据被误删和篡改的可能。对于一些私密敏感数据，一经上传，就需要对其进行锁定，防止被他人误删除或者篡改。天翼云媒体存储提供了合规保留功能，开启合规保留后，处于合规保留期的对象均“不可删除、不可篡改”。详情参考：合规保留。

本节介绍数据集生命周期管理。 数据集创建完成后可以进行查看，编辑，版本管理。 查看数据集 可以点击数据集私有数据集进行查看创建的数据集。 编辑数据集 点击编辑按钮，可修改数据集名称。 版本管理 在数据集详情页面，点击创建版本按钮，可以创建新的版本，流程和创建数据集一致。

该任务用于指导用户开通实例。 本文档用于指导如何在非独立部署(依赖统一PaaS平台)的环境上开通TelePG实例。 前提条件 已部署好telepg后端控制台。 已部署好telepg前端。 已在统一PaaS平台上配置了Postgresql数据库应用的资源池版本。 操作步骤 1. 使用系统管理员登录到统一PaaS平台。 2. 单击管控面板 ，在左侧导航树上选择系统管理与审批 > 系统配置 > 组件应用管理 ，进入组件应用管理页面。 3. 在搜索框中搜索postgresql ，单击更多 > 资源板池， 在对应资源池上配置telepg的后端服务访问地址。 4. 统一PaaS平台上存在租户、租户管理员(租户拥有者)。 1. 租户管理员：使用系统管理员登录到统一PaaS平台，选择管理面板 > 租户管理 > 账号管理 ，新建账号。 2. 租户：使用系统管理员登录到统一PaaS平台，选择管理面板 > 租户管理 > 租户管理 ，新建租户，设置上面创建的用户为租户拥有者。 5. 对应租户对应资源池上已配置了可用的主机，且配置的主机的系统ssh账号有sudo权限。 如果使用非物理机模式开通组件，则可以忽略此步骤。 新增主机：使用租户管理员(租户拥有者)登录到统一PaaS平台，单击管理面板 ，选择我的资源 > 我的主机 ，单击新增 ，新增主机。 6. 对应租户对应资源池上已配置了虚拟ip。 7. 如果使用非物理机模块开通组件，则可以忽略此步骤(2) 如果没有配置虚ip，使用物理机开通时，只能开通基础版的pg实例，无法开通高可用版(一主一从)。 新增虚拟ip：使用租户管理员(租户拥有者)登录到统一PaaS平台，单击管理面板 ，选择我的资源 > 虚IP资源管理 ，单击新增 ，新增虚拟ip。 8. 对应资源池内的Postgresql组件已上架。 使用系统管理员登录到paas平台，单击管理面板 ，选择资源池管理> 池内组件上架 ，单击上架 ，上架待开通的telepg实例。 9. 开通实例 1. 使用租户管理员(租户拥有者) 登录到统一PaaS平台，单击控制台。 2. 在PaaS平台上，选择组件产品 > RDSPostgresql版。 3. 在Postgresql数据库开通页面上，选择资源池、网络、版本、系列、实例规格，录入实例名称和实例的root用户密码、以及磁盘大小，开启高级设置，单击检测 。(1) 开通时的版本是根据postgresql的后端资源池版本确定的。这里只会显示一个小于等于后端资源池版本的最新的版本 (2) 不开启高级设置，则使用新建虚机的方式开通实例 (3) 如果不手工选择主机，则检测成功后，会自动分配主机，如果分配的主机不是用户想要的，则可以重新选择主机。 4. 单击订购 ，弹出订购预览对话框，查看相关的产品和部署信息。 5. 单击确认，提示提交成功，会生成一个开通的订单。 6. 查看订单详情。 1. 单击管理面板，选择订单中心> 我的订单 ，查看生成的订单。若订单处理失败，则可以单击订单上的更多 > 作废，作废此订单，释放响应端口。 2. 单击订单详情，可查看订单详情。 3. 单击订单流程，可查看订单的各个流程。 7. 查看工单详情 1. 单击管理面板 ，选择订单中心> 我的订单，可查看已开通生成的订单。 2. 进入我的工单页面，单击工单ID，可查看工单详情，包含参数信息、施工过程和施工流程。 3. 若开通失败时，可单击查看流程，查看具体的报错信息。 4. 若开通失败，可单击更多 > 重新施工 。 paas平台施工时默认会进行3次重试，若3次都重试失败，才会将工单的施工结果标注为失败。 8. 查看开通的实例 1. 选择管理面板 ，单击我的云服务 > 我的组件，即可查看已开通的实例信息。 2. 单击控制台，可跳转至TelePG控制台。

类型 功能 网络共享盘 NAS型共享盘 使用方式 AI云电脑挂载访问 支持 支持 使用方式 第三方平台系统（企业OA，SAP系统等）集成访问 支持 不支持 使用方式 天翼AI云电脑、网盘网页版、支持桌面端和移动端访问 支持 不支持 共享范围 跨资源池共享 支持 支持 共享范围 文件对外分享 不支持（规划中） 不支持 共享范围 跨企业（租户）共享 不支持（规划中） 不支持 数据安全 文件落盘自动加密 支持 支持 数据安全 多数据中心备份，数据异地容灾高可用 支持 部分资源池支持 翼起来生态融合 支持虚拟应用保存文件至翼共享盘 支持 支持 翼起来生态融合 支持翼连访问打开翼共享盘的文件，以及保存文件至翼共享盘 支持 不支持 翼起来生态融合 支持翼飞表单、问卷采集文件或图片保存至翼共享盘 不支持（规划中） 不支持 翼起来生态融合 云智助手设置共享盘为知识库 支持 不支持 权限管控 企业/个人空间容量分配，动态扩容 支持 支持 权限管控 挂载盘设置 支持用户挂载 支持桌面颗粒度挂载 权限管控 支持读写、分享等权限设置 支持 仅支持读写权限设置 权限管控 支持下载/分享/删除等操作审批 支持 不支持 权限管控 日志审计 不支持 仅支持新建、修改、删除操作

本文主要介绍如何上传镜像文件并注册镜像 请将镜像文件上传到OBS桶并注册镜像。 约束与限制 上传到OBS桶的外部镜像文件必须是非加密状态的或者采用SSEKMS加密方式加密的文件。 上传外部镜像文件到OBS桶时，OBS桶和镜像文件的存储类别必须是标准存储。 操作步骤 1、上传外部镜像文件到OBS桶。 2、将外部镜像文件注册为私有镜像，具体操作请参见“注册镜像（Linux）”。

本文帮助您了解创建云硬盘相关的场景、约束及操作步骤。 操作场景 系统盘在创建云主机或物理机时自动添加，无需单独创建。数据盘可以在创建云主机或物理机时创建，由系统自动挂载给云主机或物理机，也可以在创建了云主机或物理机之后，单独创建云硬盘并挂载给云主机或物理机。 约束与限制 系统盘只能在购买云主机或物理机时自动创建并挂载，云硬盘创建页面只能创建数据盘。 随云主机或物理机创建的云硬盘，计费模式与云主机或物理机保持一致。 共享盘或磁盘模式为SCSI或磁盘类型为极速型SSD的云硬盘不支持加密模式。 随云主机或物理机一起创建的云硬盘会自动挂载至云主机或物理机上，不可卸载，无法再挂载至其他云主机或物理机中使用。 随云主机一起创建的云硬盘，磁盘类型可以在VBD或SCSI中进行选择，随着物理机一起创建的云硬盘磁盘类型默认为VBD类型。 云硬盘只能被挂载在同一个可用区的云主机或物理机上，可用区在创建完成后不支持修改。 创建云硬盘时若选择“立即挂载”，则无法批量创建，一次只能创建一个云硬盘。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域，此处我们选择华东1。 3. 单击“存储>云硬盘”，进入云硬盘主页面。 4. 单击“创建云硬盘”，进入云硬盘创建页面。 5. 根据界面提示，配置云硬盘的基本信息。各配置项说明如下： 参数 是否必选 说明 地域 是 请选择云硬盘的地域，尽量选择距离您更近的区域以提高访问速度。 可用区 是 在拥有多个可用区的资源池中，选择其中一个可用区创建云硬盘。 云硬盘只能挂载至同一个可用区的云主机上。云硬盘创建完成后不支持修改可用区。 付费方式 是 云硬盘支持的计费类型有包年/包月和按需计费两种。 包年包月是一种先付费后使用的计费方式，按订单的购买周期结算。 按需计费是一种先使用后付费的计费方式，按照云硬盘的实际使用时长计费，每小时结算一次。 是否挂载 是 选择是否在云硬盘创建完成后自动挂载到弹性云主机。 暂不挂载（默认）：云硬盘创建完成后不自动挂载至云主机。 立即挂载：云硬盘创建完成后自动挂载至用户选择的云主机。 注意 挂载到云主机的云硬盘，您还需要登录云主机进行数据盘初始化才可以正常使用。 数据源 否 云硬盘支持从快照、备份或镜像创建云硬盘。 从快照创建： 从快照创建云硬盘可选择目标地域目标可用区下的快照。 从快照创建云硬盘所创建的云硬盘磁盘模式、磁盘类型、加密属性、所在地域可用区与源快照保持一致，不支持修改。 从快照创建云硬盘创建磁盘容量不小于快照容量。 从备份创建： 从备份创建云硬盘可选择目标地域下的备份副本。 从备份创建云硬盘所创建的云硬盘磁盘模式、加密属性和备份源云硬盘保持一致。 从备份创建云硬盘所创建的云硬盘支持切换磁盘类型、支持跨可用区创建。 从备份创建云硬盘创建磁盘容量不小于备份容量。 从镜像创建： 从镜像创建云硬盘可选择目标地域下的镜像。 从镜像创建云硬盘仅支持VBD模式、且不支持磁盘加密。 从镜像创建云硬盘所创建的云硬盘支持切换磁盘类型、支持跨可用区创建。 从镜像创建云硬盘创建磁盘容量不小于镜像容量。 仅支持“正常”状态的私有镜像或“已接受”状态的共享镜像。 注意 无论是从快照、备份或镜像创建，都不支持一次性创建多个云硬盘。 磁盘规格 是 云硬盘的类型：普通IO，高IO，通用型SSD，超高IO，极速型SSD，XSSD0，XSSD1，XSSD2。具体规格可参见产品规格。 云硬盘的容量范围可参考云硬盘使用限制。 说明 从备份创建云硬盘时，容量大小不小于备份源盘大小，默认容量为备份源盘大小。 从快照创建云硬盘时，容量大小不小于快照源盘大小，默认容量为快照源盘大小。 未选择数据源时，XSSD2默认容量大小为512GB，其他类型云硬盘的默认容量大小为40GB。 当前配置 用于显示当前所选磁盘类型和容量计算出来的基础IOPS上限及IOPS突发上限。具体计算方式可参见磁盘类型及性能介绍。 云硬盘备份 否 创建云硬盘时支持同时订购云硬盘备份服务。可以选择暂不配置、使用已有、现在购买。 使用已有：若您想要配置备份且已有可用的存储库，可以选择“使用已有”。 现在购买：若您想要配置备份但没有可用的存储库，可以选择“现在购买”。 配置存储库和备份策略并成功购买云硬盘后，系统会按此备份策略定期对云硬盘进行备份。云硬盘备份服务的计费说明请参考云硬盘备份服务计费说明。 共享盘 否 勾选“共享盘”，则创建的是共享云硬盘，共享云硬盘最多可同时挂载至16台云主机或物理机。 不勾选“共享盘”，则默认为非共享云硬盘，只能挂载至1台云主机或物理机。 是否编辑标签 否 标签用于标识资源，可通过标签管理功能对云硬盘进行分类和筛选。 勾选后需要输入标签键和标签值，具体操作可参考标签功能概述。 磁盘模式 否 VBD（默认）：VBD类型的云硬盘仅支持简单的读写命令。 SCSI：支持SCSI指令透传，允许云主机操作系统直接访问存储介质。 FCSAN：FCSAN云硬盘仅适用于物理机。 磁盘加密 否 支持创建加密云硬盘，磁盘加密能够最大限度的为您的数据提供安全防护。 加密磁盘生成的快照/备份及通过这些快照/备份创建的磁盘将自动继承加密属性。 释放设置 否 支持设置释放策略。 可设置云硬盘释放时是否同步释放该盘的全部快照。 磁盘名称 是 自定义所创建的磁盘名称。 不能使用中文，且长度为263字符。 企业项目 是 支持为云硬盘选择企业项目。 数量 是 创建云硬盘的数量，默认为“1”，表示只创建一个云硬盘。 注意 目前一次最多可批量创建100个云硬盘。 创建时长 是 如果计费类型选择“包年/包月”，则需要选择购买时长，可选取的时间范围为1个月到5年。 自动续订 否 启用自动续订，包年/包月订购的云硬盘到期后会自动续订。 6. 确定云硬盘的配置信息后，点击“下一步”。 7. 在“资源详情”页面，您可以再次核对云硬盘信息。确认无误后，阅读并勾选服务协议，单击“确认下单”，开始创建云硬盘。如果还需要修改，点击“上一页”，修改参数。 8. 在云硬盘主页面，查看云硬盘状态。待云硬盘状态变为“未挂载”时，表示创建成功。

规格 表 kc2型弹性云主机的规格 规格名称 vCPU 内存（GiB） 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网卡多队列数 网卡个数上限 辅助网卡个数上限 虚拟化类型 kc2.large.2 2 4 10/2 90 2 3 16 基于QingTian架构的极简虚拟化 kc2.xlarge.2 4 8 10/4 100 4 3 32 基于QingTian架构的极简虚拟化 kc2.2xlarge.2 8 16 15/8 200 8 4 64 基于QingTian架构的极简虚拟化 kc2.3xlarge.2 12 24 20/10 300 12 4 96 基于QingTian架构的极简虚拟化 kc2.4xlarge.2 16 32 30/15 400 16 6 128 基于QingTian架构的极简虚拟化 kc2.6xlarge.2 24 48 40/20 600 24 6 192 基于QingTian架构的极简虚拟化 kc2.8xlarge.2 32 64 50/25 800 32 6 256 基于QingTian架构的极简虚拟化 kc2.10xlarge.2 40 80 60/30 1000 40 6 256 基于QingTian架构的极简虚拟化 kc2.12xlarge.2 48 96 80/40 1200 48 6 256 基于QingTian架构的极简虚拟化 kc2.16xlarge.2 64 128 90/50 1600 64 6 256 基于QingTian架构的极简虚拟化 kc2.20xlarge.2 80 160 102/60 2000 64 8 256 基于QingTian架构的极简虚拟化 kc2.24xlarge.2 96 192 102/80 2400 64 8 256 基于QingTian架构的极简虚拟化 kc2.32xlarge.2 128 256 102/90 3200 64 8 256 基于QingTian架构的极简虚拟化 kc2.40xlarge.2 160 320 102/102 4000 64 15 256 基于QingTian架构的极简虚拟化 kc2.large.4 2 8 10/2 90 2 3 16 基于QingTian架构的极简虚拟化 kc2.xlarge.4 4 16 10/4 100 4 3 32 基于QingTian架构的极简虚拟化 kc2.2xlarge.4 8 32 15/8 200 8 4 64 基于QingTian架构的极简虚拟化 kc2.3xlarge.4 12 48 20/10 300 12 4 96 基于QingTian架构的极简虚拟化 kc2.4xlarge.4 16 64 30/15 400 16 6 128 基于QingTian架构的极简虚拟化 kc2.6xlarge.4 24 96 40/20 600 24 6 192 基于QingTian架构的极简虚拟化 kc2.8xlarge.4 32 128 50/25 800 32 6 256 基于QingTian架构的极简虚拟化 kc2.10xlarge.4 40 160 60/30 1000 40 6 256 基于QingTian架构的极简虚拟化 kc2.12xlarge.4 48 192 80/40 1200 48 6 256 基于QingTian架构的极简虚拟化 kc2.16xlarge.4 64 256 90/50 1600 64 6 256 基于QingTian架构的极简虚拟化 kc2.20xlarge.4 80 320 102/60 2000 64 8 256 基于QingTian架构的极简虚拟化 kc2.24xlarge.4 96 384 102/80 2400 64 8 256 基于QingTian架构的极简虚拟化 kc2.32xlarge.4 128 512 102/90 3200 64 8 256 基于QingTian架构的极简虚拟化 kc2.40xlarge.4 160 640 102/102 4000 64 15 256 基于QingTian架构的极简虚拟化 表 kc1s型弹性云主机的规格 规格名称 vCPU 内存（GiB） 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网卡多队列数 网卡个数上限 虚拟化类型 kc1s.large.2 2 4 2/0.4 30 2 2 KVM kc1s.xlarge.2 4 8 3/0.8 50 2 3 KVM kc1s.2xlarge.2 8 16 4/1.5 80 4 4 KVM kc1s.3xlarge.2 12 24 5/2 110 4 5 KVM kc1s.4xlarge.2 16 32 7/3 140 4 6 KVM kc1s.6xlarge.2 24 48 8/4 200 8 6 KVM kc1s.8xlarge.2 32 64 10/5 260 8 6 KVM kc1s.12xlarge.2 48 96 15/8 350 16 6 KVM kc1s.15xlarge.2 60 120 18/10 400 16 6 KVM kc1s.large.4 2 8 2/0.4 30 2 2 KVM kc1s.xlarge.4 4 16 3/0.8 50 2 3 KVM kc1s.2xlarge.4 8 32 4/1.5 80 4 4 KVM kc1s.3xlarge.4 12 48 5/2 110 4 5 KVM kc1s.4xlarge.4 16 64 7/3 140 4 6 KVM kc1s.6xlarge.4 24 96 8/4 200 8 6 KVM kc1s.8xlarge.4 32 128 10/5 260 8 6 KVM kc1s.12xlarge.4 48 192 15/8 350 16 6 KVM

鲲鹏通用计算增强型规格清单 表 kc2型弹性云主机的规格 规格名称 vCPU 内存（GiB） 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网卡多队列数 网卡个数上限 辅助网卡个数上限 虚拟化类型 kc2.large.2 2 4 10/2 90 2 3 16 基于QingTian架构的极简虚拟化 kc2.xlarge.2 4 8 10/4 100 4 3 32 基于QingTian架构的极简虚拟化 kc2.2xlarge.2 8 16 15/8 200 8 4 64 基于QingTian架构的极简虚拟化 kc2.3xlarge.2 12 24 20/10 300 12 4 96 基于QingTian架构的极简虚拟化 kc2.4xlarge.2 16 32 30/15 400 16 6 128 基于QingTian架构的极简虚拟化 kc2.6xlarge.2 24 48 40/20 600 24 6 192 基于QingTian架构的极简虚拟化 kc2.8xlarge.2 32 64 50/25 800 32 6 256 基于QingTian架构的极简虚拟化 kc2.10xlarge.2 40 80 60/30 1000 40 6 256 基于QingTian架构的极简虚拟化 kc2.12xlarge.2 48 96 80/40 1200 48 6 256 基于QingTian架构的极简虚拟化 kc2.16xlarge.2 64 128 90/50 1600 64 6 256 基于QingTian架构的极简虚拟化 kc2.20xlarge.2 80 160 102/60 2000 64 8 256 基于QingTian架构的极简虚拟化 kc2.24xlarge.2 96 192 102/80 2400 64 8 256 基于QingTian架构的极简虚拟化 kc2.32xlarge.2 128 256 102/90 3200 64 8 256 基于QingTian架构的极简虚拟化 kc2.40xlarge.2 160 320 102/102 4000 64 15 256 基于QingTian架构的极简虚拟化 kc2.large.4 2 8 10/2 90 2 3 16 基于QingTian架构的极简虚拟化 kc2.xlarge.4 4 16 10/4 100 4 3 32 基于QingTian架构的极简虚拟化 kc2.2xlarge.4 8 32 15/8 200 8 4 64 基于QingTian架构的极简虚拟化 kc2.3xlarge.4 12 48 20/10 300 12 4 96 基于QingTian架构的极简虚拟化 kc2.4xlarge.4 16 64 30/15 400 16 6 128 基于QingTian架构的极简虚拟化 kc2.6xlarge.4 24 96 40/20 600 24 6 192 基于QingTian架构的极简虚拟化 kc2.8xlarge.4 32 128 50/25 800 32 6 256 基于QingTian架构的极简虚拟化 kc2.10xlarge.4 40 160 60/30 1000 40 6 256 基于QingTian架构的极简虚拟化 kc2.12xlarge.4 48 192 80/40 1200 48 6 256 基于QingTian架构的极简虚拟化 kc2.16xlarge.4 64 256 90/50 1600 64 6 256 基于QingTian架构的极简虚拟化 kc2.20xlarge.4 80 320 102/60 2000 64 8 256 基于QingTian架构的极简虚拟化 kc2.24xlarge.4 96 384 102/80 2400 64 8 256 基于QingTian架构的极简虚拟化 kc2.32xlarge.4 128 512 102/90 3200 64 8 256 基于QingTian架构的极简虚拟化 kc2.40xlarge.4 160 640 102/102 4000 64 15 256 基于QingTian架构的极简虚拟化 表 kc1s型弹性云主机的规格 规格名称 vCPU 内存（GiB） 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网卡多队列数 网卡个数上限 虚拟化类型 kc1s.large.2 2 4 2/0.4 30 2 2 KVM kc1s.xlarge.2 4 8 3/0.8 50 2 3 KVM kc1s.2xlarge.2 8 16 4/1.5 80 4 4 KVM kc1s.3xlarge.2 12 24 5/2 110 4 5 KVM kc1s.4xlarge.2 16 32 7/3 140 4 6 KVM kc1s.6xlarge.2 24 48 8/4 200 8 6 KVM kc1s.8xlarge.2 32 64 10/5 260 8 6 KVM kc1s.12xlarge.2 48 96 15/8 350 16 6 KVM kc1s.15xlarge.2 60 120 18/10 400 16 6 KVM kc1s.large.4 2 8 2/0.4 30 2 2 KVM kc1s.xlarge.4 4 16 3/0.8 50 2 3 KVM kc1s.2xlarge.4 8 32 4/1.5 80 4 4 KVM kc1s.3xlarge.4 12 48 5/2 110 4 5 KVM kc1s.4xlarge.4 16 64 7/3 140 4 6 KVM kc1s.6xlarge.4 24 96 8/4 200 8 6 KVM kc1s.8xlarge.4 32 128 10/5 260 8 6 KVM kc1s.12xlarge.4 48 192 15/8 350 16 6 KVM

本文主要介绍如何设置资源配额及限制。 通过设置命名空间级别的资源配额，实现多团队或多用户在共享集群资源的情况下限制团队、用户可以使用的资源总量，包括限制命名空间下创建某一类型对象的数量以及对象消耗计算资源（CPU、内存）的总量。 背景信息 默认情况下，运行中的Pod可以无限制的使用Node节点上的CPU和内存，这意味着任意一个Pod都可以无节制地使用集群的计算资源，某个命名空间的Pod可能会耗尽集群的所有资源。 kubernetes在一个物理集群上提供了多个虚拟集群，这些虚拟集群被称为命名空间。命名空间可用于多种工作用途，满足多用户的使用需求，通过为每个命名空间配置资源额度可以有效限制资源滥用，从而保证集群的可靠性。 您可为命名空间配置包括CPU、内存、Pod数量等资源的额度，更多信息请参见Resource Quotas。 其中，不同的集群规模对应的Pod数量推荐值如下： 集群规模 Pod数量推荐值 50节点 2500 Pod实例 200节点 1W Pod实例 1000节点 3W Pod实例 2000节点 5W Pod实例 从1.21版本集群开始，如果在集群配置管理中开启了enableresourcequota参数，则创建命名空间将会同时创建默认的资源配额Resource Quotas，根据集群规格不同，各个资源的配额如下表所示。您可以根据实际需求修改。 表 默认资源配额 集群规模 Pod Deployment Secret ConfigMap Service 50节点 2000 1000 1000 1000 1000 200节点 2000 1000 1000 1000 1000 1000节点 5000 2000 2000 2000 2000 2000节点 5000 2000 2000 2000 2000

Part2：CDN控制台源站配置 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【回源配置】。 5. 在【源站】模块，选择源站类型。 6. 按需选择： 【媒体存储源站】：在【源站】行输入媒体存储Bucket域名（回源域名），在【层级】行选择“主”，在【权重】行输入权重值。 【IP或域名】：在【源站】行输入源站地址（客户源站），在【层级】行选择“备”，在【权重】行输入权重值。 说明 CDN控制台配置客户源站为备源，可以防止当媒体存储异常时，通过CDN回源主备重试机制，确保回源成功，实现回源高可用性。 注意事项 镜像源回客户源的触发条件默认为HTTP 404状态码。 媒体存储回源规则是存储桶级别的，目前单个桶的回源地址只能设置一个。 媒体存储暂不支持源站文件是使用TransferEncoding: chunked方式进行数据传输的，即从源站下载对象的响应中必须包含ContentLength这个头部来表明源对象大小，否则无法判定源站文件是否完整下载。 CDN控制台配置时，如客户在媒体存储新建Bucket时，【权限】选择的是私有，则只有该Bucket的拥有者或被授权者可以对该存储空间内的文件进行读写操作。可通过CDN控制台，在【域名列表】>【回源配置】>【私有Bucket回源】添加AK(Access Key），SK(Secret Access Key)等信息，并提交保存。

本文向您介绍不同负载均衡产品类型和规格。 按网络类型区分 根据网络类型的不同，负载均衡服务可分为外网负载均衡和内网负载均衡。 外网负载均衡 外网负载均衡可以将来自公网的流量均衡地分发到多个后端主机组，实现高可用性和性能的提升。 外网负载均衡在使用中具有以下特点： 外网负载均衡使用公网弹性IP作为负载均衡器的虚拟IP地址，作为对外提供服务的入口。 外网负载均衡的公网流量费用是按照所使用的弹性IP的带宽进行计费。 外网负载均衡支持将IPv4和IPv6类型的弹性IP绑定到负载均衡器上，以适应不同网络环境和协议的需求，使负载均衡器能够同时处理IPv4和IPv6的流量。 用户可以根据实际需求，调整负载均衡器所使用的弹性IP的带宽大小。 外网负载均衡还支持对IPv4流量的带宽进行调整。 内网负载均衡 内网负载均衡通过内网IP地址对内部主机进行负载均衡，实现内部服务的高可用性和性能优化，同时确保内网环境的安全性。 内网负载均衡具有以下特点： 内网负载均衡支持自动分配IP地址或手动指定一个内网IP地址作为负载均衡器的虚拟IP地址（VIP）。 支持绑定弹性IP以实现公网流量负载。通过将EIP与内网负载均衡器绑定，可以将公网流量通过EIP转发到内网负载均衡器，再分发到后端主机组。 内网负载均衡器同时支持IPv4和IPv6实例，以满足不同类型的网络需求。 按产品性能区分 天翼云弹性负载均衡产品按性能可划分如下性能保障型负载均衡和经典型负载均衡，您可以根据实际需求选择适合的负载均衡器型号和配置。

团队经验丰富 天翼云模型适配专家团队在平台建设过程中沉淀了丰富的经验和解决方案，可交付模型的镜像、权重、最佳实践等。 低门槛开通 无购买高规格算力的硬性要求，基于对应的国产化算力即可为客户提供模型适配服务。 模型可选范围广 适配模型范围涵盖市面广大开源大模型，针对客户的私有模型一般也具备提供模型适配服务的能力。 服务质量高效 响应速度快，通常无须长时间的排期等待，避免错过业务黄金时期。

本节为您介绍如何安装Agent及管理Agent。 审计代理插件（Agent）是安装在数据库系统或者业务系统上的插件，其功能是捕获访问数据库系统的数据包，并将数据包发送至天翼云数据库审计。当数据库系统部署在公有云、私有云或者实际场景下无法进行端口镜像时，可以通过流量代理的方式抓取数据库流量。 支持的操作系统 Agent支持的操作系统版本请参考使用限制。 Agent工作原理 Agent在数据库服务器的接口上抓取属于资产下发的IP+Port 的数据库操作的流量。 Agent 包含两个进程：dbagent.exe 和 dbMonitor.exe。 DBAgent与天翼云数据库审计的13002端口建立连接负责流量转发。 DBMonitor与天翼云数据库审计的13001端口建立连接负责控制部分，包含接收天翼云数据库审计下发的资产和其他配置。 通过SSH远程安装Agent 您可以通过SSH协议将Agent自动安装到需要审计的服务器上，目前仅支持Linux系统。 在界面上输入需要审计的服务器IP、SSH端口、root用户名、密码，天翼云数据库审计通过scp协议将agent安装包传输到宿主机上并自动安装。 1. 在菜单栏选择“系统管理 > Agent管理”进入“Agent管理”页面，选择“Agent安装”页签。 2. 单击“开始安装”进入通过SSH远程安装Agent页面，编辑审计服务器IP，并添加安装Agent的服务器，单击“安装”。 填写参数说明请参见下表： 参数 参数说明 审计服务器IP 默认为当前的审计服务器IP，用户可以根据需要修改。 安装Agent的服务器 输入需要安装Agent的服务器IP及该服务器root账户的密码，默认端口为22，用户可以根据实际情况修改。 支持表单格式和文本格式输入。 支持IPv4和IPv6。 最多填写20个。 说明 单击“安装状态”可进入“安装状态”查看页面，可进行以下操作： 单击“卸载”可远程卸载已经成功安装了的Agent。 单击“重新安装”可对未成功安装Agent的服务器重新安装。 将光标悬停至“安装失败”后的图标，查看安装失败原因。 若您的业务部署在一类节点的资源池上，审计服务器IP需改为数据库审计所在的VPC组的公网IP。（一类节点可参考[支持的区域](/document/10446453/10489850

适用场景 开启超线程，主要支持OLTP、OLAP场景。 内存数据库（如SAP HANA SoH/S4H、BWoH/B4H ）。 高性能数据库。 分布式缓存。 大数据处理引擎以及数据挖掘等应用。 规格 表 E7型弹性云主机的规格 规格名称 vCPU 内存（GiB） 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网络连接数（万） 网卡多队列数 网卡个数上限 辅助网卡个数上限 虚拟化类型 e7.12xlarge.20 48 960 30/20 550 500 16 8 1024 KVM e7.24xlarge.20 96 1920 44/40 1000 1000 32 8 2048 KVM E7使用须知 不支持网卡热插拔。 受内存加载速度的影响，超大内存型弹性云主机可能需要较长的启动时间。 超大内存型弹性云主机主网卡和扩展网卡的使用场景如下表所示。 网卡类型 使用场景 配置说明 主网卡 用于南北向的三层通信。 扩展网卡 用于东西向的二层通信。 为了提高网络性能，可以将扩展网卡的MTU值设置为8888。 最多可以挂载60块磁盘（包括系统盘），具体约束限制请参见一台弹性云主机可以挂载多块磁盘吗。 示例： 以用户创建E7型弹性云主机为例。该弹性云主机共计可以挂载60块磁盘，其中： −系统盘：1块 −云硬盘：最多可挂载59块

本文主要介绍基于VirtualBox使用ISO创建Windows镜像上传镜像文件并注册镜像 请将镜像文件上传到OBS桶并注册镜像。 约束与限制 上传到OBS桶的外部镜像文件必须是非加密状态的或者采用SSEKMS加密方式加密的文件。 上传外部镜像文件到OBS桶时，OBS桶和镜像文件的存储类别必须是标准存储。 操作步骤 1、上传外部镜像文件到obs桶中。 2、将外部镜像文件注册为私有镜像，具体操作请参见“注册镜像（Windows）”。

功能 功能描述 域名管理 您可以绑定自定义域名到函数，以便通过专属的固定域名访问该函数。 层管理 层设计用来管理函数的公共依赖，以实现复用和减少代码包变动的作用，支持两种类型的层： 1. 内置的官方层：所有者归属为平台，所有用户都可以使用 2. 用户自定义层：所有者为用户私有，其他用户不可以使用 弹性管理 支持实例数的管理以实现弹性： 1. 最大并发实例数限制 2. 预留实例设置

本章节介绍如何保护Failover Cluster模式下的SQL Server。 当前云主机备份只支持单个虚拟机的一致性备份，对于集群数据库暂不支持，完整支持将在后续版本中推出。 在Failover Cluster模式下，SQL Server服务只在主节点上是启动的，故在创建云主机备份时，只需要将主节点加入策略进行备份。在主备发生切换后，及时调整策略，确保始终对主节点进行备份。在恢复时，请先停止所有备节点，然后还原主节点。

本文为您介绍各系列通用云主机概况。 通用云主机的不同代系，对应着不同的处理器型号，一般更高代系拥有更优的性能。 2系列 提供基本水平的vCPU性能、平衡的计算、内存和网络资源，在主机负载较轻时，可以提供较高的计算能力，在主机负载较重时无法保证实例计算性能的稳定。 3系列 采用第一代英特尔® 至强® 可扩展处理器 （Sky Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套10GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供强劲稳定的计算性能、更高网络带宽和PPS收发包能力。适用于对计算与网络有一定要求的场景，如小型网站、轻量级研发测试环境、中小型数据库等。 6系列 采用第二代英特尔® 至强® 可扩展处理器 （Cascade Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供强劲稳定的计算性能、更高网络带宽和PPS收发包能力。适用于对计算与网络有一定要求的场景，如通用数据库及缓存服务器、中重载企业应用等。 7系列 采用第三代英特尔® 至强® 可扩展处理器 （Ice Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供更强劲稳定的计算性能、更高网络带宽和PPS收发包能力。适用于对计算与网络有更高性能要求的Web应用、电商平台、短视频平台、在线游戏、保险金融等各类中重载企业应用。