本章主要介绍导入API。 操作场景 Swagger是基于OpenAPI规范构建的开源工具，可以帮助您设计、构建、记录以及使用Rest API。API网关支持导入Swagger 2.0定义的API到已有的API分组或新的API分组。 导入API支持单个API导入和批量API导入，主要取决于Swagger文件中包含的API数量。 将Swagger或OpenAPI定义的API导入到API网关，支持导入到新分组 和导入到已有分组两种方式。导入前您需要在API定义中补全API网关的扩展定义。 导入到新分组注意事项 将API定义导入到一个新的分组，导入过程中系统会自动创建一个新的API分组，并将导入的API归属到该分组。 适用于将一份全新且完整的API导入到API网关。 导入API前，请注意以下事项： API网关中API分组和API的配额满足需求。 使用Swagger info或OpenAPI info的title作为API分组名称，新创建的API分组名称不能与已有的API分组名称重名。 导入的API定义中，如果存在冲突，那么根据系统导入的先后顺序，先导入的API会显示导入成功，后导入的API会显示导入失败。例如导入的API定义中存在2个名称相同或请求路径相同的API，那么先导入的API会显示导入成功，后导入的会显示导入失败。 如果选择扩展覆盖，当导入API的扩展定义项名称与已有策略（ACL，流量控制等）名称相同时，则会覆盖已有策略（ACL，流量控制等）。 导入的API不会自动发布到环境，导入时可以选择“立即发布”或者“稍后发布”，您可以自行选择策略。

删除Agent API 1. 登录云原生API网关控制台，在顶部菜单栏选择资源池。 2. 在左侧导航栏，选择 "AI网关实例" ，进入目标实例概览。 3. 在左侧导航栏，选择"Agent API"。 4. 单击目标Agent API操作列的"删除"，弹框中单击 确定。

2、短信服务销售品 短信服务销售品可用于扩容短信数量，具体计费方式可查看：零信任远程办公计费概述。 四、超量使用解决方案 启用限制及影响 为优化平台服务资源配置，自 2025 年 5 月起，我们将逐步安排实施短信限量限制措施。在此之前，平台会预留一定时间，方便您及时更改配置、做出扩容安排。当您的短信使用量超出免费额度后，系统将启用超量限制。启用限制后，后续短信无法发送成功，这将直接影响您业务的正常开展，如用户无法正常登录、接收重要通知等。因此，请您务必及时关注短信使用情况，提前规划并完成相关调整，避免业务受阻。 注意 北京时间 2026年1月10日 00:00全面启用短信额度限制（不区分新、旧客户），具体短信收费及使用说明请查看文档： （一）使用自身短信网关 当您的免费短信额度耗尽后，可选择接入外部的短信网关。接入后，可使用您购买的短信服务商提供的短信网关发送短信，平台不会额外收取费用。为确保短信服务的稳定性与及时性，接入时请参照以下步骤： 1.目前仅支持使用阿里云短信网关，请提供阿里云短信网关相关配置信息。 2.需要按短信发送场景提交短信模板到短信服务商进行模板申请，审批完成后提供模板ID给我们进行登记使用。 3.发送短信需要携带签名，请先在短信供应商完成签名申请和资质认证。 4.外部短信网关暂时不支持控制台自助配置，如有需求，请提交工单，联系我们后台进行配置。

参数 配置说明 API名称 填写API名称，建议您按照一定的命名规则填写，方便您快速识别和查找。 所属分组 此处选择已创建的API分组。 URL 请求方法：接口调用方式，此处选择“ANY”。 请求协议：选择API请求协议，此处选择“HTTPS”。 子域名：API分组创建后，系统为分组自动分配一个内部测试用的调试域名，此调试域名每天最多可以访问1000次。 路径：接口请求路径。 网关响应 API网关未能成功处理API请求，从而产生的错误响应。默认网关响应为“default”。 匹配模式 此处选择“前缀匹配”。 安全认证 选择API认证方式，此处选择“无认证”。（无认证模式，安全级别低，所有用户均可访问，不推荐在实际业务中使用）

本节主要介绍云存储网关申请开通规则。 功能说明 支持高可用，支持iSCSI协议，支持中英文Web管理界面。 申请公测 详见申请部署。 申请公测须知 提交公测申请前请务必准备好存储网关服务器的登录信息，包括：外网IP地址、连接端口号、用户名、密码、对象存储（经典版）I型具有所有权限的AccessKeyID和SecretAccessKey，运维人员将与您确认此信息后方可部署。 订单0元支付成功后，会有天翼云运维人员与您预约安装时间，部署一套网关约需8小时，安装部署服务时间：5天×8小时（法定节假日除外），请您耐心等待。 该产品不涉及续订、退订，使用过程中如遇问题，请提交工单进行解决。

section3aef9b71341e43c4)。 非简单请求的跨域访问 注意 非简单请求的跨域访问需要在API的分组中创建一个“请求方法”为“OPTIONS”的API，作为预检请求。 预检请求API的参数设置，请参考以下说明填写。详细的使用指导可参考非简单请求。 a. 在“前端定义”中，参数填写说明如下： 请求方法：选择“OPTIONS” 请求协议：选择与已开启CORS的API相同的请求协议 请求Path：填斜杠/ b. 在“安全配置”中，安全认证选“无认证”，勾选“开启支持跨域CORS”。 c. 后端服务选择Mock 简单请求 对于简单请求，您需要开启简单跨域访问。 场景一：已开启CORS，且后端服务响应消息中未指定跨域头时，API网关接受任意域的请求，并返回“AccessControlAllowOrigin”跨域头，示例如下： 浏览器发送一个带Origin字段的请求消息： GET /simple HTTP/1.1 Host: www.test.com Orgin: ContentType: application/xwwwformurlencoded; charsetutf8 Accept: application/json Date: Tue, 15 Jan 2019 01:25:52 GMT Origin：此字段必选，表示请求消息所属源，上例中请求来源于“ 后端服务返回响应消息： HTTP/1.1 200 OK Date: Tue, 15 Jan 2019 01:25:52 GMT ContentType: application/json ContentLength: 16 Server: apigateway {"status":"200"} API网关响应消息： HTTP/1.1 200 OK Date: Tue, 15 Jan 2019 01:25:52 GMT ContentType: application/json ContentLength: 16 Server: apigateway XRequestId: 454d689fa69847610b3ca486458fb08b AccessControlAllowOrigin: {"status":"200"} AccessControlAllowOrigin：此字段必选，“”表示API网关接受任意域的请求。 场景二：已开启CORS，且后端服务响应消息中指定跨域头时，后端服务响应的跨域头将覆盖API网关增加的跨域头，示例如下： 浏览器发送一个带Origin字段的请求消息： GET /simple HTTP/1.1 Host: www.test.com Orgin: ContentType: application/xwwwformurlencoded; charsetutf8 Accept: application/json Date: Tue, 15 Jan 2019 01:25:52 GMT Origin：此字段必选，表示请求消息所属源，上例中请求来源于“ 后端服务返回响应消息： HTTP/1.1 200 OK Date: Tue, 15 Jan 2019 01:25:52 GMT ContentType: application/json ContentLength: 16 Server: apigateway AccessControlAllowOrigin: {"status":"200"} AccessControlAllowOrigin：表示后端服务接受“ API网关响应消息： HTTP/1.1 200 OK Date: Tue, 15 Jan 2019 01:25:52 GMT ContentType: application/json ContentLength: 16 Server: apigateway XRequestId: 454d689fa69847610b3ca486458fb08b AccessControlAllowOrigin: {"status":"200"} 后端服务响应消息中的跨域头覆盖API网关响应消息中的跨域头。

云原生网关 云原生网关同时具备传统的流量网关和业务网关功能（Zuul、Spring Cloud Gateway等），提供全局性和独立业务域级别的流量管理策略，支持Nacos和K8s等多种服务发现方式，支持TLS加密通信和多种身份认证方式，构筑安全的流量入口。 功能模块 功能详情 相关文档 服务管理提升应用稳定性 打通Nacos、K8s等多种服务发现数据源，支持多种服务负载均衡策略，通过限流、熔断、降级等策略提升整个访问链路稳定性。 服务管理 丰富灵活的路由策略 支持多种路由策略进行多服务路由转发，从请求路径、请求方法、请求头和请求参数等维度进行规则设置，实现请求限流、重写、Header 设置、跨域等。 路由策略配置 防御鉴权保障应用安全 支持JWT，OIDC等多种鉴权方式，对用户进行身份验证，支持自定义访问控制策略，支持全局或者路由级别的黑白名单配置，最大限度控制安全风险。 安全认证配置 可观测能力快速定位问题 集成天翼云LTS、APM等可观测组件，提供网关实例监控、业务监控、日志分析、全链路追踪等功能，高效定位问题，提高应对核心链路问题的响应速度。 监控分析

本文为您介绍如何通过云间高速实现高可用的企业混合组网(双专线主备模式)。 应用场景 针对专线客户混合组网需求，云间高速服务可快速构建高效云间网络。通过部署多可用区（AZ）专线主备架构，既能实现本地与云上网络互联互通，又能保障访问天翼云资源的稳定性，规避单点故障风险。 前提条件 您已申请两条物理专线，且均已接入目标天翼云资源池。 组网拓扑 配置步骤 1. 创建专线网关（云专线） 分别为专线 1、专线 2 按照云专线流程创建专线网关 假设2条专线的配置如下： 类型 专线网关名称 说明 互联地址（天翼云侧） 互联地址（用户侧） 掩码 VLAN 专线1 cdaA 云专线受理单中不填写 VPC 相关内容，保持留空。 10.250.0.1 10.250.0.2 255.255.255.252 100 专线2 cdaB 云专线受理单中不填写 VPC 相关内容，保持留空。 10.250.0.5 10.250.0.6 255.255.255.252 200 具体请参考： 创建物理专线 创建专线网关 注意 云专线的专线网关暂不绑定 VPC，预留至下一步在云间高速的云企业路由器上绑定。

本文为您介绍如何通过云间高速实现高可用的企业混合组网(专线负载模式)。 应用场景 针对专线客户混合组网核心需求，云间高速服务可快速搭建高吞吐云间网络。依托多可用区（AZ）专线部署 + 负载分担机制，不仅实现本地与云上无缝互联，更能均衡分配流量、提升线路并发处理能力，避免单条线路瓶颈。 前提条件 您已在申请两条物理专线，并已经接入到目标天翼云资源池中。 组网拓扑 配置步骤 1. 创建专线网关 分别为专线 1、专线 2 按照云专线流程创建专线网关 假设2条专线的配置如下： 类型 专线网关名称 说明 互联地址（天翼云侧） 互联地址（用户侧） 掩码 VLAN 专线1 cdaA 云专线受理单中不填写 VPC 相关内容，保持留空。 10.250.0.1 10.250.0.2 255.255.255.252 100 专线2 cdaB 云专线受理单中不填写 VPC 相关内容，保持留空。 10.250.0.5 10.250.0.6 255.255.255.252 200 具体请参考： 创建物理专线 创建专线网关 注意 云专线的专线网关暂不绑定 VPC，预留至下一步在云间高速的云企业路由器上绑定。

接口功能介绍 调用此接口可查询 IPv6 网关详情。 接口约束 无。 URI GET /v4/vpc/getipv6gatewayattribute 请求参数 Query 参数 参数 参数类型 是否必填 说明 示例 regionID String 是 资源池ID xj8g894g09oipo0912ol6e6a projectID String 否 企业项目 ID，默认为"0" 0 ipv6GatewayID String 是 IPv6 网关 id igw6fw2zxq7ug4 响应参数 参数 参数类型 说明 示例 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object object 返回结果 表 returnObj 参数 参数类型 示例 说明 :::: name String igw6forvpceqajjtd7g0 ipv6网关名称 status String ACTIVE 仅有一个状态：ACTIVE（正常） projectIdEcs String 0 企业项目 vpcID String vpca448sdfddf vpcID值 vpcCidr String 192.168.0.0/16 无类别域间路由 vpcName String xxxxx vpc名称 ipv6GatewayID String igw6709ccrywnd ipv6网关惟一值 creationTime String 20220303T07:08:19Z 创建时间

本节主要介绍 Linux客户端怎么和云存储网关服务端断开连接。 应用场景 Linux客户端需要断开云存储网关服务端。 前提条件 Linux客户端已经挂载了云存储网关的卷。 具体操作 在Linux 系统中，由于写入磁盘的操作通常会被缓存进行优化，因此数据在写入磁盘之前可能会留存在内存中一段时间，这样可以提高系统的性能。但是，在某些情况下，例如系统崩溃或断电，这些缓存的数据可能会丢失。为了避免这种情况发生，可以使用sync命令将缓存中的数据强制写入硬盘，以确保数据的持久化存储。 1. 执行sync命令。 说明 对于云存储网关Linux客户端，需要先执行sync命令才能断开连接，否则可能丢失数据。Linux系统的sync命令可以将内存中的缓存数据强制写入硬盘，以确保数据的持久化存储。 执行sync命令后，会将所有缓存数据写入硬盘。请注意，sync命令可能需要一些时间才能完成，具体时间取决于系统中缓存数据的大小和硬盘的速度。 sync 2. 应用停止写入后，执行umount进行卸载，使用iscsiadm断开连接。 umount DIRECTORYNAMEORPATH iscsiadm m node T iSCSITARGETIQN p SERVERIP u

本节主要介绍OOS与其他服务的关系。 云存储网关 用户可以使用云存储网关将本地数据上传到OOS，云存储网关通过标准 iSCSI 协议提供块存储服务，帮助用户将全量数据自动同步到OOS中，实现存储空间的弹性扩展。 CDN OOS提供低成本的存储，CDN可以将网站、视频和应用等文件内容分发至用户附近的节点，使用户可以快速和安全地获取所需内容。将数据存放在OOS中然后通过配置CDN加速，可以帮助降低存储成本，同时提高用户体验。

本节主要介绍云存储网关与OOS之间关系。 云存储网关作为本地与天翼云对象存储（经典版）I型（ObjectOriented Storage，OOS）之间的桥梁，通过标准 iSCSI 协议提供块存储服务，帮助用户将全量数据自动同步到OOS中，实现存储空间的弹性扩展。

添加服务到网关 进入云原生网关控制台，选择目标实例，进入服务来源菜单，将容器集群添加为服务来源； 再进入服务管理菜单，选择 创建服务，选择服务所在的命名空间，选择刚才部署的reviewsv1和reviewsv2服务，添加为网关服务。 创建路由 进入路由配置菜单，选择创建路由。 基于请求特征访问灰度版本 在请求头部匹配规则处可以添加规则EndUser头部为jason时访问reviewsv2版本，这样在请求带上EndUser: jason头部时将访问到v2版本。 基于比例做灰度流量控制 创建路由时选择多服务路由，选择路由目标为reviewsv1和reviewsv2，并配置流量比例，这样在请求时会按照指定的比例访问到对应版本的服务。

本节主要介绍云存储网关使用的缓存盘怎么自动挂载。 应用场景 服务器已使用mount命令挂载云存储网关缓存盘，需要开机后自动挂载缓存盘。 前提条件 服务器已使用mount命令挂载云存储网关缓存盘。 具体操作 1. 使用命令lsblk f查看缓存盘的文件系统信息，找到文件系统对应的UUID。 [root@server ~] lsblk f NAME FSTYPE LABEL UUID MOUNTPOINT vda ├─vda1 swap 9e33bd6fc68c41c795c8703f4fe8c3d4 [SWAP] └─vda2 xfs a83f4fdc2ea14feca1e2a42016ce0afe / vdb └─vdb1 ext4 c62d513ec3cf4719b15c4366e4b52664 vdc └─vdc1 ext4 1c47025a602842ce90aa59d6f5106818 /mnt/storage01 2. 在/etc/fstab文件中新增挂载缓存盘的信息，下次开机启动时会自动挂载该缓存盘。 UUID1c47025a602842ce90aa59d6f5106818 /mnt/storage01 ext4 defaults 1 1

为了进一步提升云服务的安全性，加强实例访问的默认保护机制，对新创建注册配置中心/云原生网关实例的默认安全组策略进行优化调整。 调整内容 自本公告发布之日起，新开通注册配置中心/云原生网关实例使用的安全组未配置vpc内入方向安全组规则，将默认禁止同VPC内访问注册配置中心/云原生网关实例服务端口。此变更旨在遵循最小权限安全原则，降低因配置疏忽导致的安全风险。 影响说明 若您使用的安全组未进行额外配置，新建的实例将无法被同VPC内的云主机访问。 应对措施 如需恢复VPC内访问，请您手动配置安全组规则，具体操作如下： 在安全组入方向规则中添加以下策略： 授权策略：允许。 协议类型：TCP。 端口范围：注册配置中心/云原生网关的实例服务端口。 源地址：您的VPC网段（如：192.168.0.0/16）。 配置完成后，同VPC内的云主机即可正常访问注册配置中心/云原生网关实例服务。 建议 为保障业务安全，建议您根据实际需求精确设置访问源IP或网段，避免开放不必要的访问权限。 此次调整仅影响新创建的实例，已有实例的访问策略保持不变，不受此次调整影响。感谢您对云服务安全的支持与理解。如有疑问，请联系技术支持。 特此公告。

本章节介绍如何使用全链路流量控制将流量路由到目标应用 概述 您可以为部署在微服务云应用平台中的微服务应用配置全链路流量控制，将具有一定特征的流量路由到目标版本应用。 前提条件 部署新版本应用或升级应用。 背景信息 本文以电商架构中的下单场景为例介绍全链路流控功能。 客户下单后流量从入口应用（或者微服务网关）进来，调用商城应用，商城应用再调用订单应用，订单应用调用下游的支付应用。 商城应用和订单应用各有两个新版本（V1.1和V1.2）在运行，需要对这两个新版本进行灰度验证。此时在入口应用（或者微服务网关）上期望将满足特定流控规则的请求流量路由到新版本，其余流量全部路由到线上（基线）版本。 创建泳道组 在左侧导航栏，选择微服务治理 > 全链路流量控制，单击创建泳道组及泳道按钮。 环境：选择一个环境。 泳道组名称：自定义一个泳道组名称。 入口类型：选择云原生网关类型，需要先将云原生网关实例导入到环境中。 入口应用：选择一个入口应用。 泳道组涉及的所有应用：选择您的入口应用/网关所涉及的所有相关服务。

本文介绍多网段互通配置建议及相关问题。 多网段配置建议 由于天翼云侧IPsec连接IKE配置阶段以及IPsec配置阶段的加密算法、认证算法、DH算法均仅支持指定一个值，因此您在对端网关设备上添加VPN配置时，IKE配置阶段以及IPsec配置阶段的加密算法、认证算法、DH算法（PFS）也都只能指定一个值，且需和天翼云侧相同。 如果天翼云侧IPsec连接开启了DPD功能，则对端网关设备需支持标准的DPD功能。 天翼云侧IPsec连接和对端网关设备配置的生存周期需相同。 多网段配置方案推荐 某公司希望将本地数据中心和天翼云VPC通过IPsec VPN连接实现多网段互通：天翼云VPC下的多个网段为10.1.1.0/24和10.1.2.0/24，本地数据中心下的多个网段为192.168.1.0/24和192.168.2.0/24，拓扑图如下： 推荐配置方案如下： 方案 适用的IKE版本 方案说明 方案优势或限制 配置示例 方案一（推荐） IKEv1/IKEv2 本地数据中心和VPC之间建议使用一个IPsec VPN连接进行通信，天翼云侧IPsec连接使用“目的路由”的路由模式，用户侧的网关设备配置源网段为0.0.0.0/0、目的网段为0.0.0.0/0的感兴趣流，然后通过在VPN网关和本地数据中心配置静态路由控制流量转发。 方案优势：后续如果新增或删除待互通的网段，仅需调整路由的配置，无须修改IPsec VPN连接的配置。在您新增或删除待互通的网段时，IPsec VPN连接不会中断，对其余路由的流量也不会产生影响。 方案一配置实例 方案二（次选） IKEv1/ IKEv2 本地数据中心和VPC之间建议使用一个IPsec VPN连接进行通信，将本地数据中心侧和VPC侧待互通的网段分别聚合为1个网段，然后为IPsec连接和对端网关设备配置聚合网段。 方案限制：后续如果新增或删除网段，您可能需要重新指定聚合网段，然后重新对天翼云侧及其用户侧网关设备进行配置，此操作会导致IPsec VPN连接重新协商，造成短暂的流量中断。 方案二配置实例 方案三 IKEv1/ IKEv2 本地数据中心和VPC之间建议使用一个IPsec VPN连接进行通信，IPsec连接及其对端网关设备下配置多个本端网段或对端网段实现多网段互通。 方案限制：后续如果有新增或删除的网段，您需要重新为IPsec连接及其对端网关设备配置感兴趣流网段，此操作会导致IPsec VPN连接重新协商，造成短暂的流量中断。一个IPsec连接支持添加的本端网段的数量最多为5个、支持添加的对端网段的数量最多也是5个。 方案三配置实例

本章节介绍云原生API网关的优势。 高性能 云原生架构，Nginx + LuaJIT内核，低内存占用，事件驱动架构可高效支持 高吞吐、低延迟业务场景。 高可用 集群 & 多可用区部署，内置实时健康检查、流量管控、熔断、自动故障转移等能力，上游服务异常时，可自动切换流量或降级处理，确保业务连续性。 强扩展性 丰富的插件列表，支持热插拔，无需重启网关即可动态调整 API 处理能力。 易用性 开箱即用，提供可视化配置界面，简化API运营，降低使用门槛。 生态集成 深度融合天翼云微服务、可观测产品，构建一体化云原生API生态，助力企业快速构建数字化能力。 AI 代理 内置AI网关能力，提供 安全、高效、可扩展的AI访问和管理方案，加速企业AI业务落地。

本页主要介绍云原生API网关产品的API使用说明 关于如何使用云原生API网关产品API的详细介绍，请参见使用API。您可以在OpenAPI门户可以了解到具体的调用前必知、API概览、如何调用API以及具体的API的接口详细说明。

本章节为您介绍综合安全网关日志审计相关的内容。 日志审计功能是记录机构用户的操作日志，并提供查看详情，审核，批量审核，验签等功能。 查看日志操作记录并审核 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“管理审计日志”，进入“管理审计日志页面”。 3. 查看“操作名称”列的操作情况，进行审计。 4. 单击“操作”列的“验签”按钮，若验签成功则单击“审核”按钮进行审计。 导出日志 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“管理审计日志”，进入“管理审计日志页面”。 3. 若您需要导出所有日志可单击“导出全部”按钮，若您需要导出部分日志可勾选需要导出的日志后单击“导出所选”。

本章节介绍云原生API网关的REST API生命周期管理 概述 在微服务架构中，API 是系统集成与对外服务的关键接口。云原生 API 网关通过提供标准 REST API，支持从API设计到发布再到下线的全流程管理，使开发、测试、运维等各角色都能以统一方式高效管理接口。 前提条件 已创建云原生API网关实例，具体操作，请参见创建网关实例。 API生命周期管理 REST API支持通过控制台或者基于OpenAPI导入的方式创建。 步骤一：创建API 基于控制台创建REST API 1. 登录云原生API网关控制台。先在顶部菜单栏选择 "地域" ，然后在左侧导航栏选择 "API"。 2. 单击 "创建API" 。 3. 单击 "REST API" 卡片中的 "创建" ，在 "新增API(REST)" 弹出框中配置相关参数，单击 "确定" 。 配置项 说明 API名称 自定义创建的API名称 注意 API名称需要保证唯一。 API协议 API允许接受的HTTP协议 Base Path API的基本路径，访问具体接口时，完整路径为 http(s)://{域名}/{BasePath}/{接口Path} 版本管理 是否启用API版本管理能力，不同版本的API拥有相同的API名称，但参数定义、接口配置可以不同，编辑当前API版本的参数定义、接口配置和策略，不会影响其他版本。不同版本的API可以视为独立的API，访问时需要指定版本标识符 开启版本管理功能后，需要配置使用方式 使用方式 支持Path、Query、Header三种方式 使用Path时，需要完整访问路径为：/{域名}/{BasePath}/版本号/接口路径 使用Query时，完整访问路径为：/{域名}/{BasePath}/接口路径，请求参数中需要配置参数项添加Query为版本号 使用Header时，完整访问路径为：/{域名}/{BasePath}/接口路径，请求头中需要配置参数项添加Header为版本号 描述 填写API的相关描述

防重放 防止攻击者重复发送已截获的合法请求，避免重复操作或数据异常。开启后，请求头必须包含 xcatimestamp 和 xcanonce 参数。 操作步骤： 1. 登录云原生API网关控制台，在顶部菜单栏选择资源池。 2. 在左侧导航栏，选择 "AI网关实例" ，进入实例概览。 3. 在左侧导航栏，选择"Model API"，然后单击目标API名称进入API详情页面。 4. 单击策略与插件，找到入站处理卡片，单击启用策略/插件，在启用策略/插件面板中单击防重放，填入防重放策略配置并启用，单击保存按钮。 配置 说明 时间窗口 时间窗口内不可重复请求，请求时间超过时间窗口为无效请求 开启状态 开启时配置才生效 Header设置 Header设置策略允许用户新增/修改/删除响应头。 操作步骤： 1. 登录云原生API网关控制台，在顶部菜单栏选择资源池。 2. 在左侧导航栏，选择 "AI网关实例" ，进入实例概览。 3. 在左侧导航栏，选择"Model API"，然后单击目标API名称进入API详情页面。 4. 单击策略与插件，找到出站处理卡片，单击启用策略/插件，在启用策略/插件面板中单击Header设置，填入Header设置策略配置并启用，单击保存按钮。 配置 说明 开启状态 开启时策略才生效 Header 类型 网关与后端交互时支持对请求和应答的头部做修改。Model API仅支持对响应头做修改 操作类型 支持新增、修改、删除操作 新增：若 header key 已存在，则在末尾追加 header value；否则新增 修改：若 header key 不存在，则新增 header kv；否则覆盖已有 header value 值 删除：若 header key 存在，则删除；否则忽略该header key Header Key 指定Header Key Header Value 新增/修改操作时指定Header Value

本章节介绍云原生API网关的欠费与续费规则 续订规则 产品续订规则详细参见：续订规则说明。 按需计费 当您的账户余额不足以支付账单金额，且云原生API网关实例处于欠费状态时实例状态显示为欠费冻结，系统将限制您访问欠费的实例且无法通过API进行应用的变更等操作。 在欠费期间，云原生API网关不会对您的应用实例及数据做任何变动，但会持续进行计费。 您可以通过账号充值的方式，恢复正常使用。 注意 云公司将保留该实例资源、继续存储客户的数据十五（15）日（即自操作权限被暂停之日的暂停开始时刻至第十五（15）日相同时刻为期限届满）；如前述十五（15）日期间届满仍未充值、缴纳足额服务费用，云公司有权在前述期间届满时立即释放客户的实例资源，并删除实例数据。 包年包月计费 当您云原生API网关实例的包年包月订单即将到期，且未选择自动续订时，您可以进行手工续订操作。到期的实例状态更新为已到期。 注意 服务期限届满后，云公司将保留该实例资源、继续存储客户的数据十五（15）日（即自操作权限被暂停之日的暂停开始时刻至第十五（15）日相同时刻为期限届满）；如前述十五（15）日期间届满仍未续订和续费，云公司有权在前述期间届满时立即释放客户的实例资源，并删除实例数据。 续订操作 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例，在列表点击续订。 4. 跳转至实例续订页，选择续订时长，提交订单，完成续费。

服务网格支持JWT认证策略，一般在入口网关处配置认证策略，在请求后端时可以把认证后的信息带到过去，此插件支持从JWT认证信息中提取字段放到头部中转发给后端服务。 注意 1. 一般应用在Ingress网关场景 2. 需要您在入口网关处配置JWT认证策略 配置说明 字段 类型 是否必填 默认值 说明 issuer string 是 JWT的签发人，对应JWT请求认证策略中的issuer配置 fieldMapping map[string]string 是 将JWT Payload中的字段映射到头部中转发给上游，需要确保key在Payload中存在

本文主要介绍 iptables与IPVS如何选择。 kubeproxy是Kubernetes集群的关键组件，负责Service和其后端容器Pod之间进行负载均衡转发。 CCE当前支持iptables和IPVS两种转发模式，各有优缺点。 IPVS: 吞吐更高，速度更快的转发模式。适用于集群规模较大或Service数量较多的场景。 iptables: 社区传统的kubeproxy模式。适用于Service数量较少或客户端会出现大量并发短链接的场景。 约束与限制 IPVS模式集群下，Ingress和Service使用相同ELB实例时，无法在集群内的节点和容器中访问Ingress，因为kubeproxy会在ipvs0的网桥上挂载LB类型的Service地址，Ingress对接的ELB的流量会被ipvs0网桥劫持。建议Ingress和Service使用不同ELB实例。 iptables iptables 是一个 Linux 内核功能，提供了大量的数据包处理和过滤方面的能力。它可以在核心数据包处理管线上用 Hook 挂接一系列的规则。iptables 模式中 kubeproxy 在 NAT prerouting Hook 中实现它的 NAT 和负载均衡功能。 kubeproxy 的用法是一种 O(n) 算法，其中的 n 随集群规模同步增长，这里的集群规模，更明确的说就是服务和后端 Pod 的数量。 IPVS IPVS(IP Virtual Server)是在Netfilter上层构建的，并作为Linux内核的一部分，实现传输层负载均衡。IPVS可以将基于TCP和UDP服务的请求定向到真实服务器，并使真实服务器的服务在单个IP地址上显示为虚拟服务。 IPVS 模式下，kubeproxy 使用 IPVS 负载均衡代替了 iptables。这种模式同样有效，IPVS 的设计就是用来为大量服务进行负载均衡的，它有一套优化过的 API，使用优化的查找算法，而不是简单的从列表中查找规则。 kubeproxy 在 IPVS 模式下，其连接过程的复杂度为 O(1)。换句话说，多数情况下，他的连接处理效率是和集群规模无关的。 IPVS 包含了多种不同的负载均衡算法，例如轮询、最短期望延迟、最少连接以及各种哈希方法等。而 iptables 就只有一种随机平等的选择算法。 IPVS相较于iptables的优势大致如下： 1. 为大型集群提供了更好的可扩展性和性能 2. 支持比iptables更好的负载均衡算法 3. 支持服务器健康检查和连接重试等功能

步骤三：访问ZOS服务 操作场景 终端节点与DNS终端节点服务和ZOS终端节点服务建立连接后，本地数据中心就可通过VPN连接或云专线来实现对ZOS服务的访问。 前提条件 本地数据中心通过VPN连接或云专线与云上VPC建立连接，确保数据的安全传输，并实现对ZOS的访问，需进行如下配置： VPN网关设置：确保允许访问的VPC子网网段包含了ZOS所在的网段。具体请参考VPN连接。 云专线虚拟网关设置：需要确保允许访问的VPC子网网段中包含ZOS所在的网段。具体请参考开通云专线。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入A账号登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择华东华东1。 3. 在系统首页，选择“网络>VPC终端节点”。 4. 在“终端节点”列表，点击已创建的连接到DNS服务的终端节点的名称/ID，查看该终端节点的“节点IP”。 5. 在用户本地数据中心的DNS服务器上配置相应的DNS转发规则，以将解析ZOS域名的请求转发到连接DNS服务的终端节点（部分资源池支持终端节点上启用，支持资源池以控制台展示为准，未支持资源池可直接使用地址直接访问ZOS服务）。 6. 配置用户本地数据中心节点到VPN网关或云专线网关的DNS路由。为了通过VPN或云专线访问DNS，需要配置用户本地数据中心节点的永久路由，将访问DNS的流量指向用户本地数据中心节点的专线网关或VPN网关的IP地址。 7. 验证本地数据中心与ZOS的连通性。

本节主要介绍添加服务类问题 添加的对外访问方式不能生效，如何排查？ 出现上述问题可能是访问相关的资源配置有缺失或错误，请按照如下方法进行排查： 通过弹性负载均衡服务界面查看使用的ELB是否成功监听使用的外部端口和弹性云服务器。 登录集群，使用kubectl get gateway n istiosystem命令查看使用的gateway是否配置好使用的IP/域名和端口。使用kubectl get svc n istiosystem命令查看使用的ingressgateway是否有对应的IP和端口，且未处于pending状态。 核实加入服务网格的内部访问协议和添加网络配置的外部访问协议一致。 如果通过浏览器访问出现“ERRUNSAFEPORT”错误，是因为该端口被浏览器识别为危险端口，此时应更换为其他外部端口。 一键创建体验应用为什么启动很慢？ 体验应用包含productpage、details、ratings和reviews 4个服务，需要创建所有相关的工作负载和Istio相关的资源（DestinationRule、VirtualService、Gateway）等，因此创建时间较长。 一键创建体验应用部署成功以后，为何不能访问页面？ 问题描述 一键创建体验应用部署成功后不能访问页面。 原因分析 弹性负载均衡ELB未成功监听端口。 解决方法 请在弹性负载均衡ELB中查看该端口监听器是否创建，后端服务器健康状态是否正常。 添加路由时，为什么选不到对应的服务？ 添加路由时，目标服务会根据对应的网关协议进行过滤。过滤规则如下： HTTP协议的网关可以选择HTTP协议的服务 TCP协议的网关可以选择TCP协议的服务 GRPC协议的网关可以选择GRPC协议的服务 HTTPS协议的网关可以选择HTTP、GRPC协议的服务 TLS协议的网关如果打开了TLS终止，只能选择TCP协议的服务；关闭了TLS终止，只能选择TLS协议的服务

步骤三：修改WAF路由 本步骤用于将WAF新增网卡的默认路由从原IPv4网关调整为指向防火墙，以确保防火墙与WAF之间的网络通信正常。 1. 修改路由：WAF新增网卡的路由默认指向IPv4网关，需要手动将其修改为防火墙IP地址。 注意 路由目标必须为防火墙所属网段，否则将导致修改失败。 2. 验证修改结果：修改完成后，请刷新页面以确认该路由添加成功。 说明 如果添加失败，会自动回滚至原网关配置。

本章节为您介绍数据加密网关密钥管理的相关内容 密钥列表页面展示系统中当前所有的密钥及其属性，属性包括密钥来源、生成方式、密钥算法等。 新建密钥 1. 使用运维账号登录数据加密网关。 2. 在左侧导航栏选择“密钥管理 > 密钥列表” ，进入“密钥列表”页面。 3. 单击“新增”，即可开始新增密钥，填写参数可参考下表。 参数 参数说明 密钥名称 自定义密钥名称。 密钥来源 选择密钥来源： 密码设备 KMS 密钥算法 选择密钥算法： SM4 AES HMACSM3 生成方式 选择密钥生成方式。 密钥因子 生成方式选择“派生”时生效。 查询密钥 1. 使用运维账号登录数据加密网关。 2. 在左侧导航栏选择“密钥管理 > 密钥列表” ，进入“密钥列表”页面。 3. 设置查询条件（密钥名称、密钥来源、生成方式），单击“查询”即可查询相关密钥。

本章节为您介绍UKEY的相关功能。 UKEY模块提供UKEY管理的相关功能，如：UKEY初始化、UKEY信息查询和备份历史查询等。 说明 首次使用UKEY需要在综合安全网关登录页面下载UKEY插件。 UKEY初始化 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“系统管理 > UKEY管理”，进入UKEY管理页面。 3. 单击“UKEY初始化”，进入UKEY初始化步骤。 4. 将UKEY设备连接，单击“刷新”按钮获取UKEY序列号。 5. 获取UKEY序列号后，输入PIN码并且二次输入进行确认完成初始化。 6. 重复第4步和第5步操作，完成后续步骤。 查看UKEY信息 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“系统管理 > UKEY管理”，进入UKEY管理页面。 3. 选择“UKEY信息”即可查看已经对接的信息。

此章节为您介绍数据加密网关操作日志相关内容。 操作审计日志页面用来展示所有管理操作的日志，审计员可手动对每条日志执行审计。 数据库加密机支持操作日志完整性保护，在存储管理操作日志同时记录对应的完整性校验值，页面展示日志时会自动校验日志完整性，可有效防止非法用户恶意篡改操作审计日志。 查询审计日志 1. 使用审计角色登录数据加密网关。 2. 在菜单栏选择“日志管理 > 审计日志列表”进入审计列表页面。 3. 设置查询条件（时间范围、操作用户、操作描述），单击“查询”即可查询相关审计日志。 审计日志 1. 使用审计角色登录数据加密网关。 2. 在菜单栏选择“日志管理 > 审计日志列表”进入审计列表页面。 3. 选择需要审计的日志，单击“操作”列的“审计”按钮，进行审计。 4. 在审计日志列表页面查看审计结果。