本章节主要介绍如何添加资源池。 操作场景 在MRS集群中，用户从逻辑上对YARN集群的节点进行分区，使多个NodeManager形成一个YARN资源池。每个NodeManager只能属于一个资源池。系统中默认包含了一个名为“default”的资源池，所有未加入用户自定义资源池的NodeManager属于此资源池。 该任务指导用户通过MRS添加一个自定义的资源池，并将未加入自定义资源池的主机加入此资源池。 前提条件 已完成IAM用户同步（在集群详情页的“概览”页签，单击“IAM用户同步”右侧的“同步”进行IAM用户同步）。 操作步骤 1.在集群详情页，单击“租户管理”。 说明 MRS 3.x及之后版本请参考 2.单击“资源池”页签。 3.单击“添加资源池”。 4.在“添加资源池”设置资源池的属性。 “名称”：填写资源池的名称。不支持创建名称为“default”的资源池。 资源池的名称，长度为1到20个字节，可包含数字、字母和下划线，且不能以下划线开头。 “可用主机”：在界面左边主机列表，勾选指定的主机名称加入资源池。只支持选择本集群中的主机。资源池中的主机列表可以为空。 5.单击“确定”保存。 6.完成资源池创建后，用户可以在资源池的列表中查看资源池的“名称”、“成员”、“类型”、“虚拟核数”与“内存”。已加入自定义资源池的主机，不再是“default”资源池的成员。

本章节主要介绍如何配置消息通知。 MRS联合消息通知服务(SMN)，采用主题订阅模型，提供一对多的消息订阅以及通知功能，能够实现一站式集成多种推送通知方式（短信和邮件通知）。 操作场景 在MRS管理控制台，按照集群维度，在集群信息页面的告警页签中能够提供选择是否使能通知服务，只有对应集群开关开启以后，才能实现以下场景的功能： 在用户订阅了通知服务之后，当集群出现扩容成功/失败、缩容成功/失败、删除成功/失败、弹性升缩成功/失败的场景下，由MRS管理面通过邮件或短信方式通知对应用户。 管理面检查大数据集群的告警信息，如果大数据集群的告警信息影响到服务的使用，其告警级别达到致命时，则发送信息通知给对应租户。 在用户集群的ECS机器被删除、关机、修改规格、重启、更新OS的行为，会导致大数据集群异常，当检测到用户的虚拟机出现以上状态的时候，发送通知给对应用户。 创建主题 主题是消息发布或客户端订阅通知的特定事件类型。它作为发送消息和订阅通知的信道，为发布者和订阅者提供一个可以相互交流的通道。 1.登录管理控制台。 2.单击“服务列表”选择“管理与监管 > 消息通知服务”。 进入消息通知服务页面。 3.在左侧导航栏，选择“主题管理 > 主题”。 进入主题页面。 4.在主题页面，单击“创建主题”，开始创建主题。 此时将显示“创建主题”对话框。 5.在“主题名称”框中，输入主题名称，在“显示名”框中输入相关描述。 6.在“企业项目”中选择已有的项目，或者单击“新建企业项目”，在“企业项目管理”界面创建好企业项目后再进行添加。 7.在“标签”填写“标签键”和“标签值”，用于标识云资源，可对云资源进行分类和搜索。

排查项一：kubectl创建工作负载时未指定imagePullSecret 当工作负载状态异常并显示“实例拉取镜像失败”的K8s事件时，请排查yaml文件中是否存在imagePullSecrets字段。 排查事项： 当Pull SWR容器镜像仓库的镜像时，name参数值需固定为defaultsecret。 apiVersion: extensions/v1beta1kind: Deploymentmetadata:name: nginxspec:replicas: 1selector:matchLabels:app: nginxstrategy:type: RollingUpdatetemplate:metadata:labels:app: nginxspec:containers:image: nginx imagePullPolicy: Always name: nginx imagePullSecrets:name: defaultsecret Pull第三方镜像仓库的镜像时，需设置为创建的secret名称。 kubectl创建工作负载拉取第三方镜像时，需指定的imagePullSecret字段，name表示pull镜像时的secret名称。 排查项二：填写的镜像地址错误（使用第三方镜像时） CCE支持拉取第三方镜像仓库中的镜像来创建工作负载。 在填写第三方镜像的地址时，请参照要求的格式来填写。镜像地址格式为：ip:port/path/name:version或name:version，若没标注版本号则默认版本号为latest。 若是私有仓库，请填写ip:port/path/name:version。 若是docker开源仓库，请填写name:version，例如nginx:latest。 第三方镜像 镜像地址配置有误找不到镜像导致失败，Kubernetes Event中提示如下信息： Failed to pull image "nginx:v1.1": rpc error: code Unknown desc Error response from daemon: Get dial tcp: lookup registry1.docker.io: no such host 解决方案： 可编辑yaml修改镜像地址，也可在工作负载详情页面更新升级页签单击更换镜像。

本小节介绍权限控制相关的常见问题。 客户SSL VPN接入之后，是否能够做到文档权限只能浏览不能下载？ VPN Web或者L3VPN接入无法控制应用的内容权限控制。如果客户是出于保密的需求，可以引导使用VDI的桌面云或应用虚拟化技术，所有资源都只能浏览，不能下载。 是否可以做到SSL VPN拨号之后，不允许访问互联网？ VPN专线就可以实现，EC和aWork都支持，用户拨号进入VPN之后，不允许访问本地局域网，增强安全性。 SSL VPN与CAS对接认证的场景下，用户角色授权如何实现？ CAS认证支持组映射和角色映射。（自M766R1版本开始支持）。 能否限制某个资源只能够从指定IP接入访问？ 背景：客户内网有OA和财务系统，OA类的系统在办公网，财务类的系统在生产网，平时访问财务系统都需要切换网线，比较麻烦，打算用VPN统一发布内网业务系统，但要求财务系统通过VPN也只能够在内网使用。 解决方案：维护两套账号，普通账号只能访问OA，不限制接入网络；财务账号可以访问财务系统，但限制接入IP必须是内网。

本章节主要介绍翼MapReduce服务的产品优势。 翼MapReduce（简称：“翼MR”）服务，历经集团和云公司的大规模集群和业务打磨，提供全年多级用户SLA保障。 翼MR具有如下优势： 高安全 翼MR服务拥有企业级的大数据多租户权限管理能力，拥有企业级的大数据安全管理特性；使用Kerberos和Ranger安全技术实现全组件的认证和授权；支持库、表、字段级数据权限管控。 优开源 基于Hadoop3.3.3等开源最新组件，保证版本性能的同时，优化了底层资源占用，对任务和引擎进行定制化管控。 高可靠 完成对开源组件100+次的代码及配置优化，实现高SLA；支持节点组采用反亲和技术，虚拟机分布在不同物理机上，以保证服务高可用。 易运维 翼MR提供可视化的大数据集群运维管理平台，全链路可视化操作降低运维门槛，助力实现90%日常运维场景便捷操作，提升运维效率。 低成本 翼MR集群基于多样化的云基础设施，提供了丰富的计算、存储设施的选择，可以用时再创建、用时再扩容，用完就销毁，确保成本最优。

相比于传统的集中式数据库，分布式数据被分散存储在多个物理位置（多台服务器或数据中心）上，并将这些分散的存储资源构成一个虚拟的存储设备。这种存储方式不仅实现在线扩容能力，同时也提升了数据的检索能力。而且分布式数据库利用SQL语言进行分布式查询和处理，使其性能和扩展性得到显著提升。 分布式数据存储原理 分布式存储架构通常由三个部分组成：客户端、元数据服务器（协调节点）和数据服务器（数据节点）。其主要流程是：客户端负责发送读写请求，缓存文件元数据和文件数据。元数据服务器（协调节点）管理元数据和处理客户端的请求。数据服务器（数据节点）存放文件数据，保证数据的可用性和完整性。分布式存储主要通过以下几种方式实现： 数据分片‌：在分布式存储系统中，数据被分成多个部分，每个部分存储在不同的数据节点上，以实现数据的分布式存储和管理。这种分片通常使用哈希函数或一致性哈希算法来实现。 主备复制‌：为了提高数据的可靠性和可用性，分布式存储系统通常分为主备节点。每个数据都存储在不同的数据节点上，以确保即使某些节点出现故障，仍然可以从其他节点中恢复数据。 数据一致性‌：确保数据在不同节点之间的一致性是分布式存储系统的关键。为了实现数据同步和管理，分布式存储系统使用数据同步和管理机制，如Paxos算法、Raft算法或ZooKeeper等分布式协调服务。 数据访问‌：在分布式存储系统中，数据可以并行地从多个节点中读取和写入，以提高读写性能和吞吐量。数据访问使用负载均衡机制实现，如分布式哈希表、分布式缓存或分布式文件系统等技术。 通过这种存储方式可实现TeleDB在线扩容能力，在业务无感知的情况下，在线弹性伸缩，提升系统容量和处理能力，以便满足大规模存储应用的需求。

本节主要介绍对比迁移项 对比迁移项可以清晰反馈出源数据库和目标数据库的数据是否存在差异。为了尽可能减少业务的影响和业务中断时间，数据库实时迁移场景提供了完整的迁移对比流程，帮助您确定合适的业务割接时机。 图 对比流程 对比使用场景 迁移对比功能支持以下几种对比方式： 对象级对比：支持对数据库、索引、表、视图、存储过程和函数、表的排序规则等对象进行对比，建议在全量迁移完成后进行对比。 数据级对比分为行对比和内容对比。 − 行对比：对比迁移的表的行数是否一致，只查询表的行数，对比速度较快，建议优先使用。 − 内容对比：对比迁移的表内数据是否一致，需要查询每条数据进行对比，相较于行对比，内容对比较慢。 − 抽样对比：当数据量过大时，行数对比和内容对比需要较长时间，推荐使用抽样对比，设置适当的抽样比例可以在较短时间内获取到对比结果。 周期性对比：定时对源数据库与目标数据库表的行数或对象进行对比并展示结果，需要用户开启并设置对比策略。 在使用对比功能查看数据一致性时，建议优先使用行数对比，确定行数是否一致。如果出现行数不一致的情况，可以针对不一致的表，使用内容对比，来确定具体有哪些数据不一致。 对比约束限制 对比需要在任务处于增量阶段才能手动创建。 对比是大小写敏感的，如果源数据库或目标数据库一端为非大小写敏感，一端为大小写敏感，对比结果可能出现不一致的情况。 对于单全量，在任务结束的时候，DRS会自动创建对象对比和行对比。对比时如果源库有数据操作，可能会导致对比结果不一致。 如果在对比时源库进行DDL操作，为保证对比结果的准确性，需重新进行内容对比。 如果单独对目标库进行数据修改操作，可能会导致对比结果不一致。 如果源数据库字符类型存在编码异常的情况，通过DRS迁移或对比时会因数据库驱动转码转换为异常码点，最终可能导致内容对比一致，实际字节不一致。 内容对比功能目前只部分支持无主键的表，对于不支持内容对比的表可以使用行数对比功能。所以数据级对比功能需要结合业务场景，选用行数对比或者内容对比。 DRS生成的不一致数据查询SQL中，时间类型是基于UTC时间的，如果表中存在时间字段，查询不一致数据前需要先将会话时区设置为0时区。 无主键表内容对比仅支持静态内容对比，不支持动态内容对比。 DRS进行内容比对期间不能暂停DRS任务，否则可能导致比对任务失败。 为避免占用资源，DRS限制对比任务的时长，超过限制时长，对比任务自动停止。 − 对于单全量任务结束时自动创建的对比任务，超时限制时长30分钟，超过后行对比和对象对比任务自动停止，DRS单全量任务结束。 − 对于增量阶段用户手动创建的行对比任务，当源库是关系型数据库时，行对比限制时长为60分钟；源库为非关系数据库，比如MongoDB，行对比限制时长为30分钟。 为避免占用资源，DRS任务的对比结果限制保留60天，60天后自动清除。 MySQL为源链路，源数据库中的虚拟列不支持内容对比，对比时会过滤虚拟列。 当目标数据库为5.7版本时，因为版本限制，json类型中的浮点数会丢失小数点后末位的0，存在精度损失导致内容对比不一致。 当内容对比过程中表出现表DDL变化时，可能会引起任务失败，此时需要用户重新进行对比，建议对比过程中尽量减少对表的DDL变更。

本文帮助您了解对象存储桶ACL功能及其相关的操作步骤。 桶ACL简介 桶授权ACL可用来管理账户对存储桶的访问权限和ACL权限，桶的拥有者可以通过桶ACL授予或修改指定账号的访问权限。 操作步骤 说明 推荐私有访问权限，不要对匿名账号访问权限进行勾选。 桶访问权限：在匿名账号“桶访问权限”处不要勾选“读取权限”。若因特殊需求要配置桶的读写权限为“公共读”，则在匿名账号“桶访问权限”处勾选上“读取权限”即可。“公共读”可以使匿名用户在不进行身份认证的情况下直接读取桶内的对象，这有可能造成您数据的外泄以及费用激增，请谨慎勾选。 ACL 访问权限：在匿名账号“桶访问权限”处不要勾选“读取权限”和“写入权限”。否则，匿名用户在不进行身份认证的情况下可以读取或修改桶的ACL规则，这有可能造成您数据的外泄以及费用激增，请谨慎勾选。 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方点击，选择地域，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，单击Bucket名称进入“概览”页面。 5. 选择“权限管理”页面，找到“桶ACL”，点击“设置”按钮。 6. 在桶ACL设置页面， 可针对匿名账号和单一账号设置目标桶的桶访问权限和ACL访问权限。 7. 点击匿名账号下的“编辑”按钮，可修改桶访问权限和ACL访问权限。 8. 点击“增加ACL”， 输入用户邮箱可对特定帐号添加桶访问权限和ACL访问权限。 桶ACL参数配置说明如下： 参数 说明 账户类型 非匿名账号默认用户邮箱。 账户 非匿名账号需指定用户邮箱，此邮箱需要已经注册天翼云账户并开通对象存储。 桶访问权限 读取权限授予账户列出和读取存储桶中对象的权限，写入权限授予账户创建、覆盖和删除存储桶中对象的权限。 ACL访问权限 授予账户读取或修改桶ACL的权限。

分享对象 媒体存储支持用户将对象临时或者永久共享给其他人。 临时分享： 通过点击对象操作栏【详情】按钮，弹窗页面选择【复制文件URL】,可将临时URL直接将其分享给其他用户。文件分享强调临时性，所有分享的URL都是临时URL，存在有效期。 临时URL是由文件的访问域名和临时鉴权信息组成。示例如下： 临时鉴权信息主要包含 XAmzAlgorithm 、 XAmzDate 、 XAmzSignedHeaders 、 XAmzExpires 、XAmzCredential和XAmzSignature六个参数。 XAmzAlgorithm 、 XAmzSignedHeaders 、XAmzCredential和XAmzSignature用于鉴权。 XAmzDate和XAmzExpires用于定义鉴权的有效期。 XAmzDate展示的是格林尼治时间，但实际链接生成的时间是以东八区时间为准。 永久共享： 通过点击对象操作栏【设置权限】按钮，将对象的公共权限设置为公共读，此时再进入详情复制的URL就是永久链接。若用户重新将权限设置为私有，则永久链接失效，无法再访问下载该对象。 约束与限制 临时分享文件的URL有效期如下： 支持的使用方式 有效期 控制台 临时授权失效的时间为24小时。 SDK 通过参数“Expires”可设置临时授权失效的时间。默认临时授权失效的时间为24小时。 XstorBrowser 默认2小时。如果需要更长的有效期，可以在分享页面设置失效时长。

API注册 不使用VPC通道时，后端服务地址可以是什么？ 后端服务地址是否一定要配置为ECS的地址？ 后端服务是否支持绑定私网ELB地址？ 后端服务地址可以填写私有地址（子网IP）吗？ API网关可以绑定内网域名吗？ API调用 API调用失败的可能原因有哪些？ API调用返回错误码如何处理？ ​"API Not Found​"如何解决？ No backend available，怎么解决？ 后端服务调用失败或超时原因分析 API认证鉴权 是否支持HTTPS的双向认证？ “无认证”方式的API该怎么鉴权与调用？ API控制策略 是否支持对请求并发次数做自定义控制？ API调用是否存在带宽限制 怎样给指定的用户开放API 配置了身份认证的API，如何在特殊场景下（如指定IP地址）允许不校验身份？ API导入导出 API导入失败是什么原因？ swagger导入API的扩展字段有没有模板？

本节主要介绍管理镜像 获取镜像下载地址 1、登录ServiceStage控制台，选择“软件中心 > 镜像仓库 > 我的镜像”。 2、在“仓库组织管理”右侧下拉列表框，选择组织。 3、在镜像仓库列表，单击镜像仓库名称，进入镜像仓库详情页。 4、在“镜像版本”页签，可以获取镜像版本下载指令。 编辑镜像仓库属性 1、登录ServiceStage控制台，选择“软件中心 > 镜像仓库 > 我的镜像”。 2、在“仓库组织管理”右侧下拉列表框，选择组织。 3、在镜像仓库列表，单击镜像仓库名称，进入镜像仓库详情页。 4、单击右上角“编辑”，根据需要在弹出的窗口中： 设置“共享类型”：重新设置“共享类型”为“公共”或“私有”。 说明 公共镜像所有用户都可以下载使用。 如果您的节点与镜像仓库在同一区域，访问仓库是通过内网访问。 如果您的节点与镜像仓库在不同区域，通过公网才能访问仓库，下载跨区域仓库的镜像需要节点可以访问公网。 设置“仓库类型”：重新设置“仓库类型”。 更新“描述”：更新镜像仓库描述信息。 5、单击“确认”，完成编辑。 添加镜像授权 在镜像详情中为用户添加授权，授权完成后，该帐号下用户享有读取/编辑/管理该镜像的权限。 1、登录ServiceStage控制台，选择“软件中心 > 镜像仓库 > 我的镜像”。 2、在“仓库组织管理”右侧下拉列表框，选择组织。 3、在镜像仓库列表，单击镜像仓库名称，进入镜像仓库详情页。 4、在“权限管理”页签，单击“添加授权”，选择用户名称，添加“读取/编辑/管理”的权限，然后单击“确认”。 添加后，该用户享有对应权限。

本文帮助您了解什么是安全组,安全组规则和一些安全组实践建议。 什么是安全组 安全组是一种网络安全防护机制，用于防止未经授权的访问和保护计算机网络免受恶意攻击。它是一种虚拟防火墙，用于限制入向和出向网络流量通行。安全组工作在网络层和传输层，它通过检查数据包的源地址、目标地址、协议类型和端口号等信息来决定是否允许通过。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。 不同资源池的安全组存在部分差异，如表1所示： 表1 可用区资源池和地域资源池的差异 对比项 多可用区资源池 地域资源池 作用机制 “白名单”机制，即不匹配规则时，默认拒绝所有访问。 “白名单”机制，即不匹配规则时，默认拒绝所有访问。 创建安全组 需指定和VPC的关联关系 无需指定和VPC的关联关系 默认安全组 一个VPC一个默认安全组 一个资源池一个默认安全组 自定义模板安全组的默认规则 自定义模板类型的安全组不存在默认规则 每个自定义模板类型的安全组存在两条默认规则 默认安全组规则 存在默认安全组规则，具体规则以表3为准 存在默认安全组规则，具体规则以表2为准 安全组是否有状态 出/入方向均有状态 仅出向有状态 安全组模板 自定义、通用Web服务器、开放全部端口 自定义、通用Web服务器、开放全部端口 默认安全组： 对于地域资源池，系统会为每个用户默认创建一个安全组，多个VPC可以共用同一个安全组。默认安全组的默认规则可参考表2“地域资源池默认安全组规则”。 对于可用区资源池，系统会为每个VPC默认创建一个安全组。一般来讲不同VPC之间是不同的业务，VPC之间是相互隔离的，相同业务一般部署在一个VPC。大多数情况下，不同的VPC由于业务的差异，所使用的安全组规则应该是不一样的。每个VPC自动建立一个默认安全组，可以满足用户不同业务需要不同安全组的场景。默认安全组的默认规则可参考表3“可用区资源池默认安全组规则”。 安全组状态： 对于地域资源池来说，安全组出向是有状态的。如果您从实例发送一个出站请求，且该安全组的出站规则是放通的话，那么无论其入站规则如何，都将允许该出站请求的响应流量流入。 对于可用区资源池来说，安全组出/入方向均有状态的。如果您从实例发送一个出站请求，且该安全组的出站规则是放通的话，那么无论其入站规则如何，都将允许该出站请求的响应流量流入。同理，如果该安全组的入站规则是放通的，那无论出站规则如何，都将允许入站请求的响应流量可以出站。 自定义安全组： 对于地域资源池来说，用户创建安全组时，模板类型为自定义的安全组会存在两条默认规则，即出向默认放通所有IP地址（0.0.0.0/0、::/0）流量的数据报文通过。 对于可用区资源池来说，用户创建安全组时，模板类型为自定义的安全组不存在默认规则，如未添加规则，则默认安全组出、入方向将均拒绝所有访问。 不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。

支持CPU架构 CPU 架构 规格 规则族 （虚拟 ）CPU 型号 是否支持 X86计算 通用型 通用型s8e INTER(R) XEON(R) PLATINUM 8566C ✓ X86计算 通用型 通用型s8r ✓ X86计算 通用型 通用型s8 ✓ X86计算 通用型 通用型s7 Inter Xeon Processor (Icelake) ✓ X86计算 通用型 通用型s6 ✓ X86计算 通用型 海光通用型hs1 Hygon Dhyana Processor ✓ X86计算 计算型 计算型c8e ✓ X86计算 计算型 计算型c8 ✓ X86计算 计算型 计算型c7 ✓ X86计算 计算型 计算型c6 ✓ X86计算 计算型 海光计算型hc1 ✓ X86计算 内存型 内存型m8e ✓ X86计算 内存型 内存型m8 ✓ X86计算 内存型 内存型m7 ✓ X86计算 内存型 内存型m6 ✓ X86计算 内存型 海光内存型hm1 ✓ X86计算 增强型 网络增强型c8ne INTER(R) XEON(R) PLATINUM 8566C ✓ X86计算 增强型 网络增强型m8ne ✓ X86计算 本地盘型 超高IO型ip3 Inter Xeon Processor (Icelake) ✓ X86计算 GPU加速/AI加速型 GPU计算加速型p8a ✓ X86计算 GPU加速/AI加速型 GPU计算加速型pn8i ✓ X86计算 GPU加速/AI加速型 GPU计算加速型pi7 ✓ X86计算 GPU加速/AI加速型 GPU图形加速基础型g7 Inter Xeon Processor (Icelake) ✓ X86计算 经济型 经济型e Inter Xeon Processor (Cascadelake) ✓ ARM计算 通用型 鲲鹏通用型ks1 Kunpeng902 ✓ ARM计算 通用型 飞腾通用型fs1 Phytium S2500 ✓（需升级到v2.1.1 版本） ARM计算 计算型 鲲鹏计算型kc1 Kunpeng902 ✓ ARM计算 计算型 飞腾计算型fc1 Phytium S2500 ✓（需升级到 v2.1.1 版本） ARM计算 内存型 鲲鹏内存型km1 Kunpeng902 ✓ ARM计算 内存型 飞腾内存型fm1 Phytium S2500 ✓ （需升级到 v2.1.1 版本）

本章节主要介绍表管理 新建表 数据表包含基本信息、字段/列信息、虚拟列、索引、外键5大组成部分，其中，索引、外键、CHECK约束为可选项，作为表信息的补充，您可根据实际业务需要进行设置。 操作步骤 1、登录管理控制台。 2、单击管理控制台右上角的，选择区域和项目。 3、单击页面左上角的，选择“数据库 > 数据管理服务”，进入数据管理服务页面。 4、在左侧导航栏中，单击“开发工具”，进入开发工具页面。 5、选择需要登录的目标数据库实例，单击操作列表中的“登录”，登录目标数据库实例。 6、在顶部导航栏选择“库管理”， 7、在页面右上方“当前所在库”右侧单击“切换库”，切换目标数据库。 8、在对象列表页签下单击“新建表”。 9、在新建表页面“基本信息”页签中填写表的基本信息，表名、Schema、锁升级及备注信息。 10、填写完成后，在页面下方单击“下一步”。 11、在表字段信息设置页签，根据业务需要设置具体表字段信息：表列名、字段类型、是否可空、是否为主键，并可对扩展信息进行编辑。 如无需添加索引、外键、CHECK约束设置时，可直接单击页面下部中间的“立即创建”。 如需要添加索引、外键、CHECK约束设置时，单击页面下部中间的“下一步”，设置相关信息。设置完成后单击页签下方的“立即创建”，完成表的创建操作。 12、在SQL预览弹出框中单击“执行脚本”，即可完成新建表的相关操作。

支持安全设备型号 设备子类 设备型号 防火墙 迪普防火墙、东软NetEye防火墙、H3C防火墙、Fortigatet防火墙、hillstone防火墙、Checkpoint防火墙等 IDS&IPS&IDP 启明星辰天阗IDS、安氏领信IDS、绿盟冰之眼IDS、SnortIDS、juniperIDP、启明IDS、华为IDS、网神IDS等 异常流量分析 Arbor异常流量分析系统、NTGGenie流量分析系统或攻击溯源、绿盟异常流量分析系统NTA等 数据库审计 imperva数据库审计系统、网御数据库审计系统、中安新云数据库审计、天融信数据加密系统、安华金和数据库审计系统等 企业网关 NeTrust企业网关、启明星辰天清汉马UTM、联想网御UTM等 异常流量清洗 迪普DDOS、绿盟黑洞DDOS网关等 VPN NeTrustSSLVPN、Array VPN系统、Juniper SSL VPN、F5 SSL VPN、天融信VPN等 网页防篡改系统 中创InforGuard、安恒网页防篡改 网络安全操作审计系统 UMAP堡垒机、福富4A、启明星辰网络安全审计系统等 安全扫描系统 安恒应用系统漏洞扫描、安恒应用系统数据库漏洞扫描、安恒操作系统漏洞扫描等 一次性口令审计 联创亚信一次性口令、上海众人一次性口令 其他安全设备 logdbftp、logdbdb 上网行为管理 深信服有线上网行为管理设备、黑盾无线上网行为管理设备、云讯通综合网管平台、5GSA核心网系统 深度威胁发现设备 亚信深度威胁设备TDA、360天眼、启明APT威胁检测、启明CS检测探针等 虚拟化安全设备 亚信虚拟化安全设备、朗维dlp、优炫dlp等 防病毒 网神防毒墙、瑞星、卡巴斯基反病毒、亚信防病毒、赛门铁克防病毒、趋势防病毒等 网闸 国保金泰网闸、网御星云网闸、天行网安网闸、南瑞网闸、天融信网闸等 终端安全 360、瑞星、金山、北信源、冠群金辰、Symantec等 AntiDDoS 绿盟DDoS、金盾DDoS、启明星辰DDoS、天融信DDoS、华为DDoS、H3CDDoS、网神DDoS等 网络运维审计系统 启明星辰、齐治、谐润、福富4A等 WAF 绿盟WAF、安信华WAF、知道创宇WAF、黑盾web应用防火墙等 蜜罐 魅影蜜罐、君立华域蜜罐、谛听蜜罐等 僵木蠕 恒安嘉兴僵木蠕

挂载 在NAS中，挂载是指将远程文件系统连接到本地计算机的过程，从而使得本地计算机可以像访问本地文件系统一样访问远程文件系统。这个过程也被称为网络文件系统（NFS）挂载或共享文件夹挂载。 挂载点 文件系统创建之后需挂载至服务器才能访问和使用，在挂载过程中，远程文件系统被映射到本地计算机的一个目录上，这个目录称为挂载点。一旦成功挂载，本地计算机就可以像访问本地文件一样访问远程文件系统中的文件和目录，可以进行读、写、删除等操作。同一个挂载点可以被多个计算节点同时挂载，共享访问。 VPC VPC是一种基于云的虚拟化网络环境，可以自定义网络拓扑、IP地址范围、子网和路由表等组件，并提供隔离、安全、可扩展的网络环境。它可以为云计算应用程序提供网络隔离、网络访问控制、流量管理等功能。 POSIX POSIX（Portable Operating System Interface，可移植操作系统接口）是由IEEE组织发布的一系列计算机操作系统的接口标准，旨在提高操作系统间的互操作性，实现不同操作系统之间的兼容性。POSIX标准规定了一系列系统调用、标准库函数和命令行工具等，这些规范旨在确保在遵循POSIX的系统上编写的应用程序可以在不同的POSIX系统之间移植和运行。POSIX标准还规定了一些与文件系统、进程、线程、信号、网络等相关的API和规范，使得开发人员可以编写可移植的应用程序。

挂载 在NAS中，挂载是指将远程文件系统连接到本地计算机的过程，从而使得本地计算机可以像访问本地文件系统一样访问远程文件系统。这个过程也被称为网络文件系统（NFS）挂载或共享文件夹挂载。 挂载点 文件系统创建之后需挂载至服务器才能访问和使用，在挂载过程中，远程文件系统被映射到本地计算机的一个目录上，这个目录称为挂载点。一旦成功挂载，本地计算机就可以像访问本地文件一样访问远程文件系统中的文件和目录，可以进行读、写、删除等操作。同一个挂载点可以被多个计算节点同时挂载，共享访问。 VPC VPC是一种基于云的虚拟化网络环境，可以自定义网络拓扑、IP地址范围、子网和路由表等组件，并提供隔离、安全、可扩展的网络环境。它可以为云计算应用程序提供网络隔离、网络访问控制、流量管理等功能。 POSIX POSIX（Portable Operating System Interface，可移植操作系统接口）是由IEEE组织发布的一系列计算机操作系统的接口标准，旨在提高操作系统间的互操作性，实现不同操作系统之间的兼容性。POSIX标准规定了一系列系统调用、标准库函数和命令行工具等，这些规范旨在确保在遵循POSIX的系统上编写的应用程序可以在不同的POSIX系统之间移植和运行。POSIX标准还规定了一些与文件系统、进程、线程、信号、网络等相关的API和规范，使得开发人员可以编写可移植的应用程序。

Apache Dubbo是一款RPC框架，用于实现微服务架构；Dubbo2.X版本通信层基于私有协议实现，Dubbo3的底层通信协议已经升级为HTTP/2，利用服务网格原生的HTTP治理能力就可以实现对Dubbo3服务的治理。服务网格针对使用Dubbo2的场景提供了CRD的形式实现服务治理能力，本文主要介绍服务网格对Dubbo2服务的治理和配置说明。 注意 本功能仅针对Dubbo2.X版本，如果要对Dubbo3做服务治理，基于服务网格原生DestinatinRule、VirtualService就可以实现。 操作 进入服务网格控制台 > 流量管理中心 > Dubbo协议治理 菜单下，可以创建、查看、修改、删除DubboProxyRule规则。 配置示例 服务网格提供了CRD的配置方式实现对Dubbo2服务的治理配置。如下示例 给匹配标签appdubbosamplesapiserverconsumerdubbo的Dubbo服务消费者下发访问Dubbo服务治理规则，匹配规则为： 1. 请求Dubbo接口名不限，版本号为1.0.0 2. Dubbo方法为sayHello 3. 参数0的范围在10086和11000之间 4. 请求路由到dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local的v1和v2版本，权重比例为20/80（目标服务的版本通过DestinationRule定义） apiVersion: istio.ctyun.cn/v1beta1 kind: DubboProxyRule metadata: name: testmethodparamsexact spec: workloadSelector: labels: app: dubbosamplesapiserverconsumer port: 20880 configs: name: dubboroutertestmethodparamsexact interface: '' version: 1.0.0 routes: match: method: name: exact: sayHello paramsmatch: '0': rangematch: start: 10086 end: 11000 route: destination: host: dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local subset: v1 weight: 20 host: dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local subset: v2 weight: 80

请求消息头 该请求使用公共的请求消息头，请参见如何调用API构造请求请求消息头。但可以带附加消息头，附加请求消息头如下表所示。 参数名称 参数描述 类型 是否必须 xamzacl 参数解释： 设置桶的ACL权限控制策略。 取值范围： private：私有，桶的所有者拥有完全控制的权限，其他任何人都没有访问权限。 publicread：公共读，所有人可以获取该桶内对象列表、桶内多段任务、桶的元数据。 publicreadwrite：公共读写，所有人可以获取该桶内对象列表、桶内多段任务、桶的元数据、上传对象、删除对象、初始化段任务、上传段、合并段、拷贝段、取消多段上传任务。注意：对象存储底层禁用公共读写，设置后不可匿名上传，如需使用可提工单申请。 authenticatedread：默认情况下，上传对象至其他用户的桶中，桶拥有者没有对象的控制权限。对象拥有者为桶拥有者添加此权限控制策略后，桶所有者可以完全控制对象。 默认取值： private String 否 xamzbucketobjectlockenabled 参数解释： 是否开启桶的Object锁定功能。 取值范围： True False 默认取值： False Boolean 否 xamzstorageclass 参数解释： 设置桶的存储类型。 取值范围： STANDARD：标准存储 STANDARDIA：低频访问存储 GLACIER：归档存储 默认取值： STANDARD String 否 xazpolicy 参数解释： 设置桶的冗余策略。 约束限制： 用户携带该头域指定新创的桶的数据冗余策略，存在一种情况是当该区域如果不支持多AZ存储，则该桶的存储类型仍为单AZ。 取值范围： SINGLEAZ：单AZ冗余 MULTIAZ：多AZ冗余 默认取值： SINGLEAZ String 否

本文主要介绍节点须知。 简介 节点是容器集群组成的基本元素。节点取决于业务，既可以是虚拟机，也可以是物理机。每个节点都包含运行Pod所需要的基本组件，包括Kubelet、Kubeproxy 、Container Runtime等。 说明 CCE创建的Kubernetes集群包含master节点和node节点，本章讲述的节点特指 node节点 ，node节点是集群的计算节点，即运行容器化应用的节点。 在云容器引擎CCE中，主要采用高性能的弹性云主机ECS或物理机BMS作为节点来构建高可用的Kubernetes集群。 支持的节点规格 不同区域支持的节点规格（flavor）不同，且节点规格存在新增、售罄下线等情况，建议您在使用前登录CCE控制台，在创建节点界面查看您需要的节点规格是否支持。 Docker容器底层文件存储系统说明 1.15.6及之前集群版本docker底层文件存储系统采用xfs格式。 1.15.11及之后版本集群新建节点或重置后docker底层文件存储系统全部采用ext4格式。 对于之前使用xfs格式容器应用，需要注意底层文件存储格式变动影响（不同文件系统格式文件排序存在差异：如部分java应用引用某个jar包，但目录中存在多个版本该jar包，在不指定版本时实际引用包由系统文件排序决定）。 查看当前节点使用的docker底层存储文件格式可采用docker info grep "Backing Filesystem"确认。 节点paas用户/用户组说明 在CCE集群中创建节点时，默认会在节点上创建paas用户/用户组。节点上的CCE组件和CCE插件在非必要时会以非root用户（paas用户/用户组）运行，以实现运行权限最小化，如果修改paas用户/用户组可能会影响节点上CCE组件和业务Pod正常运行。 注意 CCE组件正常运行依赖paas用户/用户组，您需要注意以下几点要求： 请勿自行修改节点内目录权限、容器目录权限等。 请勿自行修改paas用户/用户组的GID和UID。 请勿在业务中直接使用paas用户/用户组设置业务文件的所属用户和组。

特权级容器 特权级容器：即给容器赋予主机的root用户权限，一般情况下都不需要设置。一个常见的使用场景是，使用主机目录挂载时，如果该目录是root用户权限的，那么容器想要操作这么目录，那么必须开启特权级容器，开启特权容器后，容器内的用户会设置为root用户 Deployment高级设置 负载注解与负载标签 支持给Deployment设置注解，注解将会以keyvalue形式写入Deployment 支持给Deployment设置标签，标签将会以keyvalue形式写入Deployment 镜像拉取凭证 支持给Deployment设置镜像拉取凭证 镜像拉取凭证主要适用于：如果我们给Deployment设置的镜像属于私有仓库中的镜像，那么一定要先创建镜像拉取凭证，然后再此处添加镜像拉取凭证 节点选择器 支持发布Deployment到指定节点上，选择了keyvalue之后，可以通过查看节点查看Deployment可以发布到哪些节点上。 注意 如果所有的节点都无法满足节点选择器，那么Pod将不会调度，会出现类似的事件0/3 nodes match node selector。 主机别名配置 如果我们希望给运行在k8s上的Pod增加一些域名的解析（例如宿主机的主机名），那么我们可以通过主机别名配置往容器的/etc/hosts文件中添加域名解析 给Deployment设置的主机别名可以等容器启动后，进入容器终端执行命令cat/etc/hosts查看

功能 说明 回源配置模块支持客户自定义源站。支持IP或域名，支持配置多个源站地址，多源站场景下，支持设置源站的主备优先级和权重，实现负载均衡。 如果您的加速域名有多个源站，可以配置合适的回源策略来实现不同的效果。动态回源策略支持择优回源、按权重回源、保持登录三种回源方式；静态回源策略默认轮询回源，无需配置。 回源协议指全站加速节点回源站请求资源时使用的协议。配置该功能后，全站加速节点将根据指定的协议回源。全站加速支持HTTP回源协议，HTTPS回源协议、跟随客户端请求使用的协议回源三种回源协议。 回源协议为HTTPS协议时，全站加速默认使用国际标准加密算法回源，也可以选择使用国密加密算法回源或者跟随客户端加密算法回源；未选择默认使用国际加密算法回源。 源站端口，是指源站接收用户请求时所用的端口，一般http协议和https协议使用不同的源站端口。 当您的源站的同一个IP地址上绑定多个域名或站点时配置回源HOST，全站加速在回源时根据HOST信息去对应站点获取资源。 当您的加速域名配置了多个回源站点，且回源站点与加速域名不同时，您可以使用指定源站回源HOST功能，为不同的源站配置不同的回源HOST，天翼云全站加速产品在回源时会根据配置的回源HOST信息去访问不同站点的资源。 当源站绑定了多个域名，且源站服务运行在非80/443端口（比如8080）时，开启回源HOST带端口功能，全站加速回源时可以在回源HOST中带上具体的端口（如test.ctyun.cn:8080），精准找到源站服务。 如果一个源站IP地址绑定多个域名，且全站加速使用HTTPS协议回源时，需通过配置回源SNI的方式，在SNI中指定具体的请求域名，此时源站服务器可以返回该域名对应的SSL证书，以达到多个域名共用源站的目的。 回源URI改写可以实现在用户请求回源时对回源URI进行改写，配置回源URI改写功能后，全站加速节点向源站发起回源请求时将使用改写后的URI。 回源参数改写功能可改写回源请求URL中的查询参数，即问号后的参数值。可支持参数的新增、删除、修改，以及保留或忽略所有参数。 开启Common Name白名单功能后，全站加速节点以HTTPS协议与源站建连时，将会对请求的SNI和源站返回证书的Common Name进行校验。 配置回源302/301跟随功能后，全站加速节点会代替用户去处理源站响应的302/301状态码内容，即全站加速节点会直接跳转到源站302/301响应中的Location地址请求资源，不会把源站响应的302/301跳转地址直接返回给用户，让用户自己去请求跳转地址的资源。 Range回源功能开启后，全站加速节点可以以分片的形式缓存文件，可以有效提高文件分发效率，降低首包时延，同时提高缓存利用率，减少不必要的回源。 回源超时时间包括回源连接超时时间跟回源请求超时时间： 回源连接超时时间指回源节点与源站服务器建立连接的超时时间。 回源请求超时时间指回源节点与源站服务器建连成功后，向源站服务器发送请求的超时时间。 “回源超时时间设置（新）”与“回源超时时间设置”的区别：新的回源连接超时时间和回源请求超时时间具备内部链路超时时间从回源层往边缘层逐层递增的能力，默认递增1s。可促进回源重试，降低访问异常的概率。 如果您的域名有多个源站，且希望通过全站加速实现多个源站之间负载均衡，您可以按照区域或者运营商划分源站，让不同区域或者运营商的客户端IP回不同的源，从而实现同运营商回源，或者就近回源。 如果您的域名既有ipv4源站，又有ipv6源站，可以配置区分ipv4/ipv6协议回源，可实现ipv4协议的客户端回ipv4的源站，ipv6协议的客户端回ipv6的源站。同时也可基于客户实际需求，设置V4和V6用户按指定权重回对应V4和V6源站。 当客户希望全站基于某些特殊场景回不同源站时，例如需要根据请求的不同文件后缀名、不同目录回不同的源站时，可以使用天翼云高级回源功能。 若客户使用天翼云媒体存储/对象存储作为源站，在新建Bucket权限选择【私有】之后，需要配置私有Bucket回源功能。

本节指导用户通过密钥管理界面创建自定义密钥。 约束条件 用户最多可创建20个自定义密钥，不包含默认密钥。 创建的对称密钥使用的是AES256加解密算法，密钥长度为256bit，可用于小量数据的加解密或用于加解密数据密钥。 创建的非对称密钥使用的是RSA密钥或ECC密钥，RSA密钥可用于加解密、数字签名及验签，ECC密钥仅用于数字签名及验签。 因为默认密钥的别名后缀为“/default”，所以用户创建的密钥别名后缀不能为“/default”。 数据加密服务不限定主密钥的调用次数。 应用场景 对象存储服务中对象的服务端加密。 云硬盘中数据的加密。 私有镜像的加密。 自定义密钥直接加解密小数据。 用户应用程序的DEK加解密。 非对称密钥可用于数字签名及验签。 创建密钥 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角，选择区域。 步骤 3 单击“服务列表”，选择“安全> 数据加密服务”，默认进入“密钥管理”界面。 步骤 4 单击界面右上角“创建密钥”。 步骤 5 在弹出的“创建密钥”对话框中，填写密钥参数。 别名：待创建密钥的别名。 说明 输入字符支持数字、字母、“”、“”、“:”和“/”。 支持长度为1 ~ 255个字符。 密钥算法：选择密钥算法。KMS支持的密钥算法说明如下表所示。 密钥类型 算法类型 密钥规格 说明 用途 对称密钥 AES AES256 AES对称密钥 小量数据的加解密或用于加解密数据密钥。 对称密钥 SM4 SM4 国密SM4对称密钥 小量数据的加解密或用于加解密数据密钥。 非对称密钥 RSA RSA2048、RSA3072、RSA4096 RSA非对称密钥 小量数据的加解密或数字签名。 非对称密钥 ECC ECP256、ECP384 椭圆曲线密码，使用NIST推荐的椭圆曲线 数字签名 非对称密钥 SM2 SM2 国密SM2非对称密钥 小量数据的加解密或数字签名。 密钥用途：可选择“SIGNVERIFY”或“ENCRYPTDECRYPT”。 对于对称密钥，默认值“ENCRYPTDECRYPT”。 对于RSA非对称密钥，可选择“ENCRYPTDECRYPT”或“SIGNVERIFY”，省略参数为默认值“SIGNVERIFY”。 对于ECC非对称密钥，默认值“SIGNVERIFY”。 对于SM2非对称密钥，可选择“ENCRYPTDECRYPT”或“SIGNVERIFY”，省略参数为默认值“SIGNVERIFY”。 说明 创建密钥时请选择“密钥用途”，密钥创建后不可修改。 （可选）描述：可根据自己的需要为自定义密钥添加描述。 企业项目：该参数针对企业用户使用。 如果您是企业用户，且已创建企业项目，则请从下拉列表中为密钥选择需要绑定的企业项目，默认项目为“default” 未开通企业管理的用户页面则没有“企业项目”参数项，无需进行配置。 步骤 6 （可选）用户可根据自己的需要为自定义密钥添加标签，输入“标签键”和“标签值”。 说明 当用户在创建密钥时，没有为该自定义密钥添加标签。若用户需要为该自定义密钥添加标签，可单击该自定义密钥的别名，进入密钥详情页面，单击“标签”，为该自定义密钥添加标签。 同一个自定义密钥下，一个标签键只能对应一个标签值；不同的自定义密钥下可以使用相同的标签键。 用户最多可以给单个自定义密钥添加20个标签。 当同时添加多个标签，需要删除其中一个待添加的标签时，可单击该标签所在行的“删除”，删除标签。 步骤 7 单击“确定”，在页面右上角弹出“创建密钥成功”，则说明密钥创建完成。 用户可在密钥列表上查看已完成创建的密钥，密钥默认状态为“启用”。

参数 描述 VPC 目标数据库所在的虚拟专用网络，可以对不同业务进行网络隔离。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。子网在可用分区内才会有效，创建源数据库实例的子网需要开启DHCP功能，在创建过程中也不能关闭已选子网的DHCP功能。 IP地址或域名 目标数据库的IP地址或域名。 端口 目标数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 目标数据库的用户名。 数据库密码 目标数据库的用户名所对应的密码。支持在任务创建后修改密码。 任务为启动中、全量迁移、增量迁移、增量迁移失败状态时，可在“基本信息”页面的“迁移信息”区域，单击“目标库密码”后的“替换密码”，在弹出的对话框中修改密码。 SSL安全连接 通过该功能，用户可以选择是否开启对迁移链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不使用SSL证书，请自行承担数据安全风险。 所有Definer迁移到该用户下 是 迁移后，所有源数据库对象的Definer都会迁移至该用户下，其他用户需要授权后才具有数据库对象权限，如何授权请参考MySQL迁移中Definer强制转化后如何维持原业务用户权限体系 否 迁移后，将保持源数据库对象Definer定义不变，选择此选项，需要配合下一步用户权限迁移功能，将源数据库的用户全部迁移，这样才能保持源数据库的权限体系完全不变。

危害网络安全类内容 包括但不限于以下违规内容的信息： 利用系统漏洞、捆绑软件、网页挂马、电子邮件、即时聊天工具等途径传播病毒、木马、钓鱼信息等有害程序，可能对用户的正常运行造成损害或中断； 利用网络技术手段或者分享网络技术手段对计算机系统、网络或设备进行破坏、干扰、窃取等违法犯罪行为，包含黑客攻击技术、黑客工具、违规跨境加速或传输服务/软件/教程、违规提供 DNS 解析服务、开展虚拟币“挖矿等违法违规活动。 相关法律法规参考：《中华人民共和国网络安全法》、《计算机信息网络国际互联网安全保护管理办法》、《中国公用计算机互联网国际联网管理办法》、《国际通信出入口局管理办法》、《中华人民共和国刑法》、《关于办理扰乱无线电通讯管理秩序等刑事案件适用法律若干问题的解释》、《中华人民共和国治安管理处罚法》、《关于依法办理非法生产销售使用“伪基站”设备案件的意见》。 违法活动及违禁化学品类 包括但不限于以下违规内容的信息： 发布网络雇凶、网络雇佣追债等违法事件行为。 发布拐卖妇女、儿童、买卖人体器官、提供赴港代孕中介服务、亲子鉴定服务、胎儿鉴定服务等。 发布国家禁止出售的化学品的交易信息，包括但不限于毒品、剧毒化学品、禁止出售的危险化学品、精神类等）。 发布或者存储国家禁止出售的违禁商品/器具类及其相关教程、书籍的交易信息，包括但不限于易燃易爆品、军警服装、管制刀具等）。 相关法律法规参考：《中华人民共和国刑法》、《易制毒化学品管理条例》、《中华人民共和国药品管理法》、《中华人民共和国药品管理法实施条例》、《中华人民共和国禁毒法》、《反兴奋剂条例》、《药品注册管理办法》、《放射性药品管理办法》、《中药品种保护条例》、《麻醉药品和精神药品管理条例》、《互联网药品信息服务管理办法》、《危险品管理条例》等相关法律法规的规定。

本文向您介绍通过企业版VPN实现数据中心和VPC互通的第三步：创建第一条VPN连接。 操作步骤 1. 在左侧导航栏，单击“虚拟专用网络 > 企业版VPN连接”。 2. 在“VPN连接”页面，单击“创建VPN连接”。 3. 根据界面提示配置第一条VPN连接参数，然后单击“提交”。 表第一条VPN连接参数说明 参数 说明 参数取值 名称 输入VPN连接的名称。 vpn001 VPN网关 选择步骤一创建的VPN网关。 vpngw001 网关IP 选择VPN网关的主EIP。 11.xx.xx.11 对端网关 选择步骤二创建的对端网关。 cgw001 连接模式 选择“静态路由模式”。 静态路由模式 对端子网 输入数据中心待和VPC互通的子网。 172.16.0.0/16 接口分配方式 支持“手动分配”和“自动分配”两种方式。 手动分配 本端隧道接口地址 配置在VPN网关上的tunnel接口地址。 说明 对端网关需要对此处的本端隧道接口地址/对端隧道接口地址做镜像配置。 169.254.70.2/30 对端隧道接口地址 配置在用户侧设备上的tunnel接口地址。 169.254.70.1/30 检测机制 用于多链路场景下路由可靠性检测。 说明 功能开启前，请确认对端网关支持ICMP功能，且对端接口地址已在对端网关上正确配置，否则会导致VPN流量不通。 勾选“使能NQA” 预共享密钥、确认密钥 VPN连接协商密钥。 VPN连接和对端网关配置的预共享密钥需要一致。 Test@123 策略配置 包含IKE策略和IPsec策略，用于指定VPN隧道加密算法。 VPN连接和对端网关配置的策略信息需要一致。 默认配置

本文向您介绍通过企业版VPN实现数据中心和VPC互通第四步：创建第二条VPN连接。 操作步骤 1. 在左侧导航栏，单击“虚拟专用网络 > 企业版VPN连接”。 2. 在“VPN连接”页面，单击“创建VPN连接”。 和第一条VPN连接相比，除了名称、网关IP、本端隧道接口地址和对端隧道接口地址不同，其他配置建议保持一致。 表第二条VPN连接参数说明 参数 说明 参数取值 名称 输入VPN连接的名称。 vpn002 VPN网关 选择步骤一创建的VPN网关。 vpngw001 网关IP 选择VPN网关的主EIP2。 11.xx.xx.12 对端网关 选择步骤二创建的对端网关。 cgw001 连接模式 选择“静态路由模式”。 静态路由模式 对端子网 输入数据中心待和VPC互通的子网。 172.16.0.0/16 接口分配方式 支持“手动分配”和“自动分配”两种方式。 手动分配 本端隧道接口地址 配置在VPN网关上的tunnel接口地址。 说明 对端网关需要对此处的本端隧道接口地址/对端隧道接口地址做镜像配置。 169.254.71.2/30 对端隧道接口地址 配置在用户侧设备上的tunnel接口地址。 169.254.71.1/30 检测机制 用于多链路场景下路由可靠性检测。 说明 功能开启前，请确认对端网关支持ICMP功能，且对端接口地址已在对端网关上正确配置，否则会导致VPN流量不通。 勾选“使能NQA” 预共享密钥、确认密钥 VPN连接协商密钥。 VPN连接和对端网关配置的预共享密钥需要一致。 Test@123 策略配置 包含IKE策略和IPsec策略，用于指定VPN隧道加密算法。 VPN连接和对端网关配置的策略信息需要一致。 默认配置

本节为您介绍如何在物理机控制中心查看物理机的监控指标。 在您申请了物理机后，可以通过物理机控制中心的“监控”页签查看物理机的CPU、内存、磁盘、系统平均负载、GPU显卡以及网络使用情况的监控，让您直观掌握物理机的资源使用情况、业务的运行状况。 操作步骤 1. 登录控制中心。 2. 单击控制中心顶部的，选择“地域”，此处我们选择上海15。 3. 单击“左侧导航栏>服务列表”，选择“计算>物理机”。系统进入物理机列表页，您可以在本页面查看您已购买的物理机，以及物理机的私有IP地址等信息。 4. 在物理机列表中的上方搜索框，可输入目标物理机的实例名称、ID或IP地址，单击进行搜索。 5. 单击需查询物理机的实例名称，系统跳转至该物理机详情页面。 6. 单击“监控”页签，可看到当前物理机监控指标详情页。 基础监控 GPU监控 7. 您可以单击对应指标便捷查看物理机使用情况。 8. 在此您可以单击左侧监控日期选择器，选择想要查看的指标时段。 9. 单击右侧预置时段，根据业务需求选择查看不同时间颗粒度监控指标。

参数 是否必填 参数类型 说明 示例 下级对象 clientToken 是 String 客户端存根，用于保证订单幂等性, 长度 1 64 79fa97e3c48bxxxx9f466a13d8163678 regionID 是 String 区域ID projectID 否 String 企业项目 ID，默认为'0' 0 vpcID 否 String vpc的ID subnetID 是 String 子网的ID name 是 String 唯一。支持拉丁字母、中文、数字，下划线，连字符，中文 / 英文字母开头，不能以 http: / https: 开头，长度 2 32 acl11 description 否 String 支持拉丁字母、中文、数字, 特殊字符：~!@$%^&()+ <>?:'{},./;'[]·！@￥%……&（） —— +{}, 《》？：“”【】、；‘'，。、，不能以 http: / https: 开头，长度 0 128 acl eipID 否 String 弹性公网IP的ID。当resourceTypeexternal为必填 slaName 是 String lb的规格名称, 支持:elb.s2.small，elb.s3.small，elb.s4.small，elb.s5.small，elb.s2.large，elb.s3.large，elb.s4.large，elb.s5.large——"elb.s2.small": "standardI"（标准型Ⅰ）, "elb.s2.large": "standardII"（标准型Ⅱ）、"elb.s3.small": "enhancedI"（增强型Ⅰ）, "elb.s3.large": "enhancedII"（增强型Ⅱ）、"elb.s4.small": "higherI"（高阶型Ⅰ）, "elb.s4.large": "higherII"（高阶型Ⅱ）、"elb.s5.small": "superI"（超强型Ⅰ）, "elb.s5.large": "superII"（超强型Ⅱ） elb.s2.small resourceType 是 String 资源类型。internal：内网负载均衡，external：公网负载均衡 internal privateIpAddress 否 String 负载均衡的私有IP地址，不指定则自动分配 cycleType 是 String 订购类型：month（包月） / year（包年） / ondemand （按需) month cycleCount 否 Integer 订购时长, 当 cycleType month, 支持续订 1 11 个月; 当 cycleType year, 支持续订 1 3 年，当 cycleType ondemand 可以不传 1 payVoucherPrice 否 String 代金券金额，支持到小数点后两位 1

本节主要介绍怎么快速创建子用户。 进入“访问控制”>“概览”，点击“创建用户”，进入“创建用户”页面，启动创建用户。可以按照下列步骤创建子用户： 1. 设置用户 ：根据页面提示添加用户名，可以添加一个或多个用户，并为新创建的用户设置访问方式。 2. 设置权限 （可选）：为用户添加权限，有三种添加权限的方式（只能选择一种）： 将用户添加到组 （前提：已经有用户组）：用户将继承该用户组的所有权限。 从现有用户复制 （前提：现有用户有通过直接附加的方式被授权的策略），每次只能复制一个用户的权限。只能复制现有用户直接附加的策略，不能复制用户所在组的策略。 附加现有策略 。 3. 设置标签（可选） ：可以为新建用户添加标签键和标签值。每个用户最多可添加10个标签。 4. 信息审核 ：对新建用户的信息进行审核，如果需要更改，可以在此页面点击对应的编辑标识，然后到对应的页面进行修改。 5. 完成 ：可以在完成页面查看用户名、访问密钥、用户登录密码。也可以通过“下载凭证 ”，查看用户名、访问密钥、密码、子用户登录链接。 注意 凭证信息仅可下载一次，页面跳转后无法再次获取，请妥善保存相关访问密钥ID及私有密钥。

参数 说明 对象命名 1.使用UTF8编码。 2.命名长度范围为1~1023字节。 3.推荐可用于文件名字符集为[09azAZ]、感叹号"!"、左括号"("、右括号")"、连字符""、下划线""、星号""、单引号"'"、句号"."。 4.如果上传的对象名带有中文，在访问或请求这个对象时中文部分将会按照URL Encode规则把中文转换为百分号编码。 文件ACL 1.继承Bucket：上传文件时，可选择继承目前Bucket的ACL配置，单个文件的读写权限按Bucket的读写权限为准。目前媒体存储根据资源池不同，存在2个版本的继承Bucket功能。 （1）继承Bucket1.0：后续Bucket的ACL发生变更，文件ACL暂无法同时变更。如需修改文件ACL，需要手动修改或重新上传文件。 （2）继承Bucket2.0：后续Bucket的ACL发生变更，文件ACL会同时继承Bucket的ACL。 （3）具体支持继承Bucket2.0的资源池可参考： 设置对象属性 即对象元数据设置，根据需求选择设置参数并填写对应的参数值，支持用户自定义参数。更多对象属性说明可参考：

配置参数说明 参数 参数说明 对象命名 1.使用UTF8编码。 2.命名长度范围为1~1023字节。 3.推荐可用于文件名字符集为[09azAZ]、感叹号"!"、左括号"("、右括号")"、连字符""、下划线""、星号""、单引号"'"、句号"."。 4.如果上传的对象名带有中文，在访问或请求这个对象时中文部分将会按照URL Encode规则把中文转换为百分号编码。 文件ACL 1.继承Bucket：上传文件时，可选择继承目前Bucket的ACL配置，单个文件的读写权限按Bucket的读写权限为准。目前媒体存储根据资源池不同，存在2个版本的继承Bucket功能。 （1）继承Bucket1.0：后续Bucket的ACL发生变更，文件ACL暂无法同时变更。如需修改文件ACL，需要手动修改或重新上传文件。 （2）继承Bucket2.0：后续Bucket的ACL发生变更，文件ACL会同时继承Bucket的ACL。 （3）具体支持继承Bucket2.0的资源池可参考：资源池与区域节点。如无标记支持继承Bucket2.0，则默认支持继承Bucket1.0。 2.私有：对文件的访问操作均需要进行签名验证，只有主账号或被授权者拥有该文件的读写权限，其他用户没有权限操作该文件。 3.公共读：其余用户均可读取该文件，包括匿名用户。 存储类型 可选项为您所开通的存储类型。 设置对象属性 即对象元数据设置，根据需求选择设置参数并填写对应的参数值，支持用户自定义参数。更多对象属性说明可参考：对象元数据。