操作场景 当负载均衡协议为UDP时，健康检查也采用的UDP协议，您需要打开其后端服务器的ICMP协议安全组规则。 操作步骤 步骤 1 登录弹性云主机控制台，找到CCE集群中的节点对应的弹性云主机，单击云服务器名称，进入详情页面。 步骤 2 在“安全组”页签下，单击“更改安全组规则”。 步骤 3 在打开的页面中单击“入方向规则”页签，单击“添加规则”，为云服务器添加入方向规则，单击“确定”。 说明： 您只需为工作负载所在集群下的任意一个节点更改安全组规则，请添加规则即可，不要修改原有的安全组规则。 安全组需放通网段100.125.0.0/16流量。

检查内网DNS地址与安全组配置 如您未对DNS进行修改，可使用root或Administrator账号登录相应云主机，输入如下命令： ping ces.{项目}.ctyun.cn 二类节点各资源池项目值可通过控制台“我的凭证”查询。 以苏州为例， ping ces.cnjssz1.ctyun.cn 如可正常连通，说明DNS地址正确可正常访问。 如无法连通，请按照如下操作指导进行配置修改。 修改DNS与添加安全组（Linux） 修改DNS与添加安全组（Windows） 如需获取二类节点各资源池内网DNS地址，可通过天翼云提供的内网DNS地址是多少？获取。

加密和解密的API 您可以调用以下API，在本地对数据进行加解密。 API名称 说明 创建数据密钥 创建数据密钥。 解密数据密钥 用指定的主密钥解密数据密钥。 加密本地文件 步骤1 通过控制台，创建用户主密钥。 步骤2 请准备基础认证信息。 ACCESSKEY: 帐号Access Key SECRETACCESSKEY: 帐号Secret Access Key PROJECTID:项目ID KMSENDPOINT: KMS服务访问终端地址。 步骤3 加密本地文件。 示例代码中： 用户主密钥：控制台创建的密钥ID。 明文数据文件：FirstPlainFile.jpg。 输出的密文数据文件：SecondEncryptFile.jpg。 import com.ctyun.sdk.core.auth.BasicCredentials; import com.ctyun.sdk.kms.v1.KmsClient; import com.ctyun.sdk.kms.v1.model.CreateDatakeyRequest; import com.ctyun.sdk.kms.v1.model.CreateDatakeyRequestBody; import com.ctyun.sdk.kms.v1.model.CreateDatakeyResponse; import com.ctyun.sdk.kms.v1.model.DecryptDatakeyRequest; import com.ctyun.sdk.kms.v1.model.DecryptDatakeyRequestBody; import javax.crypto.Cipher; import javax.crypto.spec.GCMParameterSpec; import javax.crypto.spec.SecretKeySpec; import java.io.BufferedInputStream; import java.io.BufferedOutputStream; import java.io.File; import java.io.FileInputStream; import java.io.FileOutputStream; import java.io.IOException; import java.nio.file.Files; import java.security.SecureRandom; / 使用数据密钥（DEK）进行文件加解密 激活assert语法，请在VMOPTIONS中添加ea / public class FileStreamEncryptionExample { private static final String ACCESSKEY " "; private static final String SECRETACCESSKEY " "; private static final String PROJECTID " "; private static final String KMSENDPOINT " "; // KMS服务接口版本信息，当前固定为v1.0 private static final String KMSINTERFACEVERSION "v1.0"; / AES算法相关标识： AESKEYBITLENGTH: AES256密钥比特长度 AESKEYBYTELENGTH: AES256密钥字节长度 AESALG: AES256算法，本例分组模式使用GCM，填充使用PKCS5Padding AESFLAG: AES算法标识 GCMTAGLENGTH: GCM TAG长度 GCMIVLENGTH: GCM 初始向量长度 / private static final String AESKEYBITLENGTH "256"; private static final String AESKEYBYTELENGTH "32"; private static final String AESALG "AES/GCM/PKCS5Padding"; private static final String AESFLAG "AES"; private static final int GCMTAGLENGTH 16; private static final int GCMIVLENGTH 12; public static void main(final String[] args) { // 您在控制台创建的用户主密钥ID final String keyId args[0]; encryptFile(keyId); } / 使用数据密钥加解密文件实例 @param keyId 用户主密钥ID / static void encryptFile(String keyId) { // 1.准备访问认证信息 final BasicCredentials auth new BasicCredentials().withAk(ACCESSKEY).withSk(SECRETACCESSKEY) .withProjectId(PROJECTID); // 2.初始化SDK，传入认证信息及KMS访问终端地址 final KmsClient kmsClient KmsClient.newBuilder().withCredential(auth).withEndpoint(KMSENDPOINT).build(); // 3.组装创建数据密钥请求信息 final CreateDatakeyRequest createDatakeyRequest new CreateDatakeyRequest().withVersionId(KMSINTERFACEVERSION) .withBody(new CreateDatakeyRequestBody().withKeyId(keyId).withDatakeyLength(AESKEYBITLENGTH)); // 4.创建数据密钥 final CreateDatakeyResponse createDatakeyResponse kmsClient.createDatakey(createDatakeyRequest); // 5.接收创建的数据密钥信息 // 密文密钥与KeyId建议保存在本地，方便解密数据时获取明文密钥 // 明文密钥在创建后立即使用，使用前需要将16进制明文密钥转换成byte数组 final String cipherText createDatakeyResponse.getCipherText(); final byte[] plainKey hexToBytes(createDatakeyResponse.getPlainText()); // 6.准备待加密的文件 // inFile 待加密的原文件 // outEncryptFile 加密后的文件 final File inFile new File("FirstPlainFile.jpg"); final File outEncryptFile new File("SecondEncryptFile.jpg"); // 7.使用AES算法进行加密时，可以创建初始向量 final byte[] iv new byte[GCMIVLENGTH]; final SecureRandom secureRandom new SecureRandom(); secureRandom.nextBytes(iv); // 8.对文件进行加密，并存储加密后的文件 doFileFinal(Cipher.ENCRYPTMODE, inFile, outEncryptFile, plainKey, iv); } / 对文件进行加解密 @param cipherMode 加密模式，可选值为Cipher.ENCRYPTMODE或者Cipher.DECRYPTMODE @param infile 待加解密的文件 @param outFile 加解密后的文件 @param keyPlain 明文密钥 @param iv 初始化向量 / static void doFileFinal(int cipherMode, File infile, File outFile, byte[] keyPlain, byte[] iv) { try (BufferedInputStream bis new BufferedInputStream(new FileInputStream(infile)); BufferedOutputStream bos new BufferedOutputStream(new FileOutputStream(outFile))) { final byte[] bytIn new byte[(int) infile.length()]; final int fileLength bis.read(bytIn); assert fileLength > 0; final SecretKeySpec secretKeySpec new SecretKeySpec(keyPlain, AESFLAG); final Cipher cipher Cipher.getInstance(AESALG); final GCMParameterSpec gcmParameterSpec new GCMParameterSpec(GCMTAGLENGTH Byte.SIZE, iv); cipher.init(cipherMode, secretKeySpec, gcmParameterSpec); final byte[] bytOut cipher.doFinal(bytIn); bos.write(bytOut); } catch (Exception e) { throw new RuntimeException(e.getMessage()); } } }

本文主要介绍使用RedisShake工具迁移自建Redis Cluster集群 RedisShake是一款开源的Redis迁移工具，支持Cluster集群的在线迁移与离线迁移（备份文件导入）。DCS Cluster集群与Redis Cluster集群设计一致，数据可平滑迁移。 本文以Linux系统环境为例，介绍如何使用RedisShake工具进行Cluster集群数据迁移。 约束与限制 使用RedisShake工具将自建的Redis Cluster在线迁移到DCS Cluster集群，需要源Redis与目标Redis网络连通，或者通过一台中转云主机连通两端的Cluster集群实例。 前提条件 如果您还没有目标Redis，请先创建目标Redis，具体操作请参考创建实例。 如果您已有目标Redis，则不需要重复创建，为了对比迁移前后数据及预留足够的内存空间，建议在数据迁移之前清空目标实例数据，清空操作请参考清空实例数据。如果没有清空实例数据，数据迁移后，目标Redis与源Redis实例重复的数据迁移后会被覆盖，源Redis没有、目标Redis有的数据会保留。 已创建弹性云主机ECS。 ECS请选择与DCS Cluster集群实例相同虚拟私有云、子网和安全组，并且需要绑定弹性公网IP。 自建的源Redis Cluster集群如果是在本地或者其他云厂商的服务器上自建，需要允许被公网访问。 获取源Redis和目标Redis节点信息 1. 分别连接源端和目标端Redis。连接Redis的方法请参考使用rediscli连接Redis实例。 2. 在线迁移Cluster集群时需要将Cluster集群各个节点数据分别迁移。执行如下命令分别查询源端和目标Cluster集群的所有节点的IP地址与端口： rediscli h {redisaddress} p {redisport} a {redispassword} cluster nodes {redisaddress}为Redis的连接地址，{redisport}为Redis的端口，{redispassword}为Redis的连接密码。 在命令返回的结果中，获取所有master节点的IP端口。

本章主要介绍分析Redis实例大Key和热Key 大Key和热Key问题是Redis使用中的常见问题，本章节主要介绍对Redis实例进行大Key和热Key分析，通过大Key和热Key分析，可以监控到占用空间过大的Key，以及该Redis实例存储数据中被访问最多的Key。 大Key分析使用限制和说明： 所有Redis实例都支持。 在大Key分析时，会遍历Redis实例中的所有Key，因此分析所需要时间取决于Key的数量。 在进行大Key分析时，建议在业务低谷期间进行，且不要与配置的自动备份时间重叠。 如果是主备和集群实例，大Key分析是对备节点的分析，对实例性能影响较小。如果是单机实例，由于只有一个节点，是对主节点进行分析，客户访问性能会略有影响（不高于10%），所以建议在业务低谷期进行大Key分析。 对于大Key分析结果，每个Redis实例默认最多保存100条记录（string类型保存top20，list/set/zset/hash类型保存top80），当超过100条记录时会默认删除最老的分析记录，而存入最新的记录。同时，支持用户在控制台上手动删除无用的大Key分析记录。 热Key分析使用限制和说明： 只有Redis 4.0/Redis 5.0/Redis 6.0实例支持，并且实例maxmemorypolicy参数必须配置为allkeyslfu或者volatilelfu。 在热Key分析时，会遍历Redis实例中的所有Key，因此分析所需要时间取决于Key的数量。 配置自动热key分析时，要考虑不要在业务高峰期进行，避免影响业务，同时也不要过了高峰期太久，避免分析结果不准确。 热key分析是对于主节点的分析，在进行分析时，客户访问性能会略有影响（不高于10%）。 对于热Key分析结果，每个Redis实例默认最多保存100条记录。当超过100条记录时会默认删除最老的分析记录，而存入最新的记录。同时，支持用户在控制台上手动删除无用的热Key分析记录 说明 建议在业务低峰时段执行大Key和热Key分析，降低CPU被用满的可能。

本文简述强制跳转的场景及配置方法。 功能介绍 强制跳转功能，可以将用户到边缘节点的请求方式重定向为HTTP或HTTPS请求。天翼云边缘安全加速平台安全与加速服务支持配置HTTP和HTTPS强制跳转，适用场景： 已经配置了HTTPS证书的加速域名，可配置强制跳转，通过301或302重定向方式，将客户端到边缘节点的HTTP请求强制跳转为HTTPS请求，HTTPS请求更安全。 对于安全性要求不高的业务应用，对应的加速域名可配置强制跳转，通过301或302重定向方式，将客户端到边缘节点的HTTPS请求强制跳转为HTTP请求。 注意事项 当HTTPS开关未启用时，强制跳转只支持从HTTPS301或302重定向为HTTP。只有当HTTPS开启且完成证书配置的情况下，才支持从HTTP301或302重定向为HTTPS。 配置说明 1.登录边缘安全加速平台控制台。 2.在域名基础配置页面，点击目标域名。 3.进入请求协议页面，单击“编辑配置”。 4.变更“强制跳转”，从停用改为启用。 5.选择目标跳转场景，如“HTTP>HTTPS”、“HTTPS>HTTP”。 6.选择合适的跳转方式，如302跳转或301跳转。 配置界面 新增域名，配置强制跳转： 域名添加完成后，编辑强制跳转：

函数工作原理 边缘函数为边缘节点提供Serverless模式的JavaScript代码执行环境。您只需编写业务函数代码并设置触发规则，无需配置和管理服务器等基础设施。这样，您的代码可以弹性、安全地在靠近用户的边缘节点上运行。 使用边缘函数前的请求处理过程： 1. 网关收到客户端请求时，执行控制台标准化配置对请求进行处理。 2. 如果符合缓存规则，网关将处理后的请求转发给缓存组件，由缓存组件命中后响应，或者请求回源。 3. 如果不符合缓存规则，则由网关处理后，请求回源。 4. 源站返回响应内容，网关响应给客户端。 使用边缘函数后的请求处理过程： 1. 网关收到客户端请求时，执行边缘函数，对用户的请求进行业务处理。 2. 网关处理完边缘函数的业务逻辑后，根据函数中的逻辑选择继续处理CDN加速标准化配置从而完成响应，或者直接在边缘响应出客户的个性化内容。 使用说明 边缘函数由函数触发器和函数运行时组成： 函数触发器：目前支持HTTP触发器，基于您的加速域名，匹配请求中的对应规则（例如 函数运行时：在边缘节点运行您的JavaScript业务代码的安全隔离环境，请求级隔离，微秒级别启动，用完立即销毁。

是否系统定级越低越好？ 不是。可根据实际业务系统的情况参照定级标准进行定级，采用“定级过低不允许、定级过高不可取”的原则。 当出现网络安全事件进行追责的时候，如因系统定级过低，需承担系统定级不合理、安全责任没有履行到位的风险。 如何什么证明开展过等级保护工作？ 一般情况，可以通过提供备案证明和测评报告来证明开展过等级保护工作，测评报告应加盖测评机构公章和测评专用章。 如何确定业务系统属于等保几级？ 可参照等级保护定级指南，从业务系统安全和系统服务安全两个方面评价当业务系统被破坏时对客体的影响程度，取两个方面较高的等级。 当确定系统级别后，应开展专家评审对系统定级合理性进行审核。如有行业主管部门制订的定级依据，可直接参照采纳行业定级标准定级。 受侵害的客体 对客体的侵害程度 一般损害 严重损害 公民、法人和其他组织的合法权益 第一级 社会秩序、公共利益 第二级 国家安全 第三级 等保2.0政策之物联网的安全需求包括哪些? 物联网安全扩展要求是针对感知层提出的特殊安全要求，与安全通用要求一起构成针对物联网的完整安全要求。主要内容包括“感知节点的物理防护”、“感知节点设备安全”、“网关节点设备安全”、“感知节点的管理”和“数据融合处理”等。

本节介绍了云数据库TaurusDB日志管理。 查看日志的方法 您可以通过云数据库TaurusDB管理控制台查看数据库日志，相关操作请参见查看错误日志和查看慢日志。 查看错误日志 TaurusDB的日志管理功能支持查看数据库级别的日志，包括数据库运行的错误信息，以及运行较慢的SQL查询语句，有助于您分析系统中存在的问题。 查看日志明细 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 步骤 5 在左侧导航树，单击“日志管理”。 步骤 6 在“错误日志”页签，选择节点，查看节点对应的错误日志详情。 可查看对应节点在不同时间段的错误日志。 可查看以下级别的错误日志： ALL INFO WARNING ERROR FATAL NOTE 查看慢日志 操作场景 慢日志用来记录执行时间超过当前慢日志阈值“longquerytime”（默认是10秒）的语句，您可以通过查询慢日志的日志明细、统计分析情况，查找出执行效率低的语句，进行优化。 TaurusDB支持以下执行语句类型： SELECT INSERT UPDATE DELETE CREATE ALTER DROP

函数工作原理 边缘函数为边缘节点提供了Serverless模式的JavaScript代码执行环境。您只需编写业务函数代码并设置触发规则，无需配置和管理服务器等基础设施。这样，您的代码可以弹性、安全地在靠近用户的边缘节点上运行。 使用边缘函数前的请求处理过程： 1. 网关收到客户端请求时，执行控制台标准化配置对请求进行处理。 2. 如果符合缓存规则，网关将处理后的请求转发给缓存组件，由缓存组件命中后响应，或者请求回源。 3. 如果不符合缓存规则，则由网关处理后，请求回源。 4. 源站返回响应内容，网关响应给客户端。 使用边缘函数后的请求处理过程： 1. 网关收到客户端请求时，执行边缘函数，对用户的请求进行业务处理。 2. 网关处理完边缘函数的业务逻辑后，根据函数中的逻辑选择继续处理全站加速标准化配置从而完成响应，或者直接在边缘响应出客户的个性化内容。 使用说明 边缘函数由函数触发器和函数运行时组成： 函数触发器：目前支持HTTP触发器，基于您的加速域名，匹配请求中的对应规则（例如 函数运行时：在边缘节点运行您的JavaScript业务代码的安全隔离环境，请求级隔离，微秒级别启动，用完立即销毁。

本章节主要介绍修改admin密码。 该任务指导用户定期修改集群用户“admin”的密码，以提升系统运维安全性。 修改该密码会导致已经下载的用户凭证不可用，请修改该密码后重新下载认证凭据并替换旧凭据。 在集群节点修改admin密码 更新主管理节点客户端，具体请参看更新客户端（3.x之前版本）。 1. 登录主管理节点。 2. （可选）若想要使用omm用户修改密码，请执行以下命令切换用户。 sudo su omm 3. 执行以下命令切换到客户端目录，例如“/opt/client”。 cd /opt/client 4. 执行以下命令配置环境变量。 source bigdataenv 5. 执行以下命令，修改“admin”密码。此操作在整个集群中生效。 kpasswd admin 先输入旧密码，再输入两次新密码。 集群中，默认的密码复杂度要求： 密码字符长度至少8位。 至少需要包含大写字母、小写字母、数字、空格、特殊字符'~!@ $%^&()+[{}];:'", /?中的3种类型字符。 不能与用户名或倒序的用户名相同。 在MRS Manager页面修改admin密码 开启Kerberos认证的集群和开启弹性公网IP功能未开启Kerberos认证的集群支持通过MRS Manager界面修改admin密码。 用admin帐户登录MRS Manager页面。 1. 单击页面右上角用户名，选择“修改密码”。 2. 在修改密码页面，输入“旧密码”、“新密码”、“确认新密码”。 说明 默认的密码复杂度要求： 密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、空格、特殊字符'~!@

备份机制 RDS for MySQL默认开启自动备份，且不支持关闭。RDS for MySQL自动全备按照备份策略中的备份时间段和备份周期进行全量备份。Binlog备份为实例每5分钟或一定数据量时对上一次自动全备，或Binlog备份后更新的数据会进行备份，以保证数据库可靠性。实例恢复到指定时间点，会从OBS备份空间中选择一个该时间点最近的全量备份下载到实例上进行全量恢复，再重放Binlog备份到指定时间点。 图 备份原理 备份清理 备份文件清理分为两种场景：手动备份清理和自动备份清理。 − 手动备份是由用户触发产生的全量备份，需要用户手动删除，否则会一直保存。 − 自动备份的备份文件不支持手动删除，可通过设置自动备份策略调整备份保留天数，超出备份保留天数的已有备份文件会被自动删除。 Binlog本地日志清理： 清理Binlog日志时，即使设置保留时长为0，RDS也会保证主节点的Binlog同步到备节点、只读节点全部完成，并且备份到OBS成功以后才会执行清理。 如果选择的保留时长大于0，例如设置1天，那么在Binlog同步及备份成功后，本地Binlog日志将会继续保留1天，到期后自动删除。

OpenLDAP 建议保持默认值，无需修改配置。 Ranger Ranger 所在节点配置升级后，修改建议如下： rangeradmin ：修改{installdir}/ews/rangeradminservices.sh中变量rangeradminmaxheapsize的值，以及JAVAOPTS中的Xmx、Xmn等。一般设置 1~8 GB：1K 策略建议 1 GB，1 万策略建议 8 GB。 rangerusersync ：修改/{installdir}/rangerusersyncservices.sh中变量rangerusersyncmaxheapsize及JAVAOPTS中的Xmx、Xmn。同样一般设置 1~8 GB。 Spark Spark 所在节点配置升级后，修改建议如下： spark.history.kerberos.principal和spark.history.kerberos.keytab：Spark 读写 eventLog 的租户，如有特殊需求自行更改。 spark.yarn.historyServer.address：History Server 的地址，如有特殊需求自行更改。 spark.dynamicAllocation.enabled和spark.dynamicAllocation.maxExecutors：分别控制动态分配和动态开启下能使用的最大资源，如有特殊需求自行更改。 spark.executor.cores和spark.executor.memory：确保每一个 core 分配到 2~4 GB 内存（标准 4 GB），设置过小容易 OOM。 混部场景特殊说明 Spark 任务执行时会动态申请 YARN 容器资源。混部场景下，需确保yarn.nodemanager.resource.memorymb配置的可用内存不超过实例总内存的 60%，以预留内存给其他常驻组件。 Trino Trino 的服务包括 coordinator 和 worker。Trino 所在节点配置升级后，可以根据jvm.config参数配置进行，通过调整服务的内存大小调整服务的性能，例如Xmx128g Xms128g，然后重启服务。 混部场景特殊说明 Trino worker 对内存要求较高，建议独立部署。必须混部时，堆内存不超过实例总内存的 40%。 YARN YARN 所在节点配置升级后，可以根据yarnenv.sh参数配置进行，通过调整服务的内存大小来调整服务的性能，如Xmx20g Xms20g Xmn4g，然后重启服务。 NodeManager 资源 ：修改yarnsite.xml中的以下配置： yarn.nodemanager.resource.memorymb：可用于分配给 container 的内存大小（单位 MB）。 yarn.nodemanager.resource.cpuvcores：可用于分配给 container 的 vcore 数。 动态生效 ：可执行动态配置命令，无需重启 NodeManager：yarn rmadmin updateNodeResource {nodemanagerhostname}:45454

本节介绍了如何配置云数据库TaurusDB按需实例转包周期。 操作场景 TaurusDB支持单个按需实例转为包周期（包年/包月）实例。由于按需资源费用较高，需要长期使用资源的按需用户可以选择将按需资源转为包周期，继续使用这些资源的同时，享受包周期的优惠资费。执行转包周期后可在订单状态中查询操作是否生效。 约束条件 不支持按需实例中的某个节点（主节点和只读节点）单独转包周期。 运行状态为冻结、创建失败、规格变更中、扩容中、创建只读中的实例不支持按需实例转包周期。 单个按需实例转包周期 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 3 在“实例管理”页面，选择目标实例，在操作列下的“更多”中选择“转包周期”，选择存储空间，单击“下一步”进入“按需转包周期”页面。 您也可以单击目标实例名称，进入“基本信息”页面，单击“转包周期”，选择存储空间，单击“下一步”进入“按需转包周期”页面。 您申请的存储空间会有必要的系统开销，这些开销包括索引节点和保留块，以及数据运行的必须空间。存储空间的数值必须为10的整数倍。 步骤 4 选择续费规格，以月为单位，最小包周期时长为一个月。 如果订单确认无误，单击“去支付”，进入“支付”页面。 如果暂未付款，系统将保留您的订单，稍后可在“费用 > 我的订单”中支付或取消订单。并且实例状态为“转包周期中，变更订单未支付，去支付”。 步骤 5 选择支付方式，单击“确认付款”。 步骤 6 按需转包周期创建成功后，用户可以在“实例管理”页面对其进行查看和管理。 在实例列表的右上角，单击刷新列表，可查看到按需转包周期完成后，实例状态显示为“正常”。“计费模式”显示为“包年/包月”。

本章节主要进行租户简介。 定义 MRS集群拥有的不同资源和服务支持多个组织、部门或应用共享使用。集群提供了一个逻辑实体来统一使用不同资源和服务，这个逻辑实体就是租户。多个不同的租户统称多租户。当前仅分析集群支持租户。 原理 MRS集群提供多租户的功能，支持层级式的租户模型，支持动态添加和删除租户，实现资源的隔离，可以对租户的计算资源和存储资源进行动态配置和管理。 计算资源指租户Yarn任务队列资源，可以修改任务队列的配额，并查看任务队列的使用状态和使用统计。 存储资源目前支持HDFS存储，可以添加删除租户HDFS存储目录，设置目录的文件数量配额和存储空间配额。 租户可以在界面上根据业务需要，在集群中创建租户、管理租户。 创建租户时将自动创建租户对应的角色、计算资源和存储资源。默认情况下，新的计算资源和存储资源的全部权限将分配给租户的角色。 默认情况下，查看当前租户的资源，在当前租户中添加子租户并管理子租户资源的权限将分配给租户的角色。 修改租户的计算资源或存储资源，对应的角色关联权限将自动更新。 MRS中最多支持512个租户。系统默认创建的租户包含“default”。和默认租户同处于最上层的租户，可以统称为一级租户。 资源池 YARN任务队列支持一种调度策略，称为标签调度（Label Based Scheduling）。通过此策略，YARN任务队列可以关联带有特定节点标签（Node Label）的NodeManager，使YARN任务在指定的节点运行，实现任务的调度与使用特定硬件资源的需求。例如，需要使用大量内存的YARN任务，可以通过标签关联具有大量内存的节点上运行，避免性能不足影响业务。 在MRS集群中，租户从逻辑上对YARN集群的节点进行分区，使多个NodeManager形成一个资源池。YARN任务队列通过配置队列容量策略，与指定的资源池进行关联，可以更有效地使用资源池中的资源，且互不影响。 MRS中最多支持50个资源池。系统默认包含一个“default”资源池。

本文通过图文说明预取功能的操作方法及注意事项。 功能介绍 预取功能是指提交URL预取请求后，边缘安全加速平台—安全与加速将会主动将对应的资源缓存到节点上，当用户首次请求时，就能直接从边缘节点缓存中获取到最新的资源，边缘节点无需再回源站获取。常用于热门文件发布或是大型推广活动前做内容预取，可以降低热点文件发布后源站的回源压力，提升缓存命中率，优化首批访问用户的访问体验。 前提条件 您已经完成添加服务域名，如果您未添加，请参考添加服务域名。 操作步骤 1.登录边缘安全加速控制台，进入【安全与加速工作台】【刷新预取】页面。 2.在【刷新预取】页面，选中【URL预取】单击【创建任务】。 3.按照URL预取下方的提示内容，填写待预取URL。 4.配置完成后，单击【确定】提交。 5.完成预取任务提交后，如要查看任务执行进度和结果，可以选择具体的时间、输入目标域名，或者选择一种特定的任务状态类型查看预取任务的执行情况。

指标名称 正常范围 告警策略 是否接近性能上限 指标说明和告警处理建议 磁盘容量使用率 0~100 告警阈值：原始值>85连续触发次数：3告警级别：紧急 是 指标说明： 该指标为从RocketMQ节点虚拟机层面采集的磁盘容量使用率。单位：%。 处理建议： 出现该告警时，说明当前实例规格已不足以承载业务，需要扩容 存储空间 。具体操作，请参考 CPU核均负载 0~2 告警阈值：原始值>1.5连续触发次数：3告警级别：重要 是 指标说明： 该指标为从RocketMQ节点虚拟机层面采集的CPU每个核的平均负载。 处理建议：出现该告警时，参考如下操作：1. 扩容实例代理个数。具体操作，请参考 内存使用率 0~100 告警阈值：原始值>85连续触发次数：3告警级别：紧急 是 指标说明： 该指标为RocketMQ节点虚拟机层面采集的内存使用率。单位：%。 处理建议：出现该告警时，参考如下操作：1. 扩容实例代理个数。具体操作，请参考

本章节介绍了如何查看分布式消息服务RocketMQ实例的各项监控指标。 操作场景 云监控对RocketMQ实例的运行状态进行日常监控，可以通过控制台直观的查看RocketMQ实例各项监控指标。 前提条件 已购买RocketMQ实例。 操作步骤 1. 登录分布式消息服务RocketMQ控制台。 2. 选择以下任意一种方法查看监控数据。 在待查看监控数据的实例所在行，单击。 单击RocketMQ实例的名称，进入实例详情页面。在左侧导航栏，单击“实例监控”。 3. 在“实例监控”页面，查看实例、节点、主题、消费组和死信队列的监控数据。 聚合是指云监控服务在一定周期内对原始采样指标数据进行最大、最小、平均、求和或方差值的计算，并把结果持久化的过程。这个计算周期又叫聚合周期。 4. （可选）在监控页面，您可以自行选择哪些监控指标需要展示，以及对监控指标进行排序。 例如，在“节点”页签中，只需要展示“消息生产数”和“消息消费数”，请按照如下步骤操作。 a. 在“节点”页签下，单击“设置”，弹出“设置”页面。 b. 勾选“消息生产数”和“消息消费数”，单击“确定”。 图1 设置监控指标 c. 监控指标设置成功后，选中监控指标，并拖动到需要展示的位置，完成监控指标的排序。

规格类型 支持引擎版本 描述 适用场景 单机 2.8/4.0/5.0/6.0/7.0 单节点部署、支持数据持久化。 ● Redis协议兼容性较高。 ● 数据量少、非高可用场景。 主备 2.8/4.0/5.0/6.0/7.0 主从热备部署架构，数据持久化，故障自动切换。 ● Redis协议兼容性要求较高。 ● 数据量少、高可用场景。 集群单机 2.8/4.0/5.0 代理模式集群，数据多个分片，每个分片单节点部署架构。 ● 数据量、QPS较大的场景。 ● 吞吐密集型应用场景。 集群主备 2.8/4.0/5.0 代理模式集群，数据多个分片，每个分片主从热备部署架构。 ● 数据量、QPS较大的场景。 ● 吞吐密集型应用场景。 ● 高可用性场景。 Cluster单机 5.0/6.0/7.0 直连模式集群架构，数据多个分片，每个分片单节点部署架构。 ● 数据量、QPS较大的场景。 ● 吞吐密集型应用场景。 ● 高可用性场景。 Cluster主备 5.0/6.0/7.0 直连模式集群架构，数据多个分片，每个分片主从热备部署架构。 ● 数据量、QPS较大的场景。 ● 吞吐密集型应用场景。 ● 高可用性场景。 Proxy集群主备 6.0/7.0 代理模式集群架构，数据多个分片，每个分片主从热备部署架构。 ● 数据量、QPS较大的场景。 ● 吞吐密集型应用场景。 ● 高可用性场景。 读写分离 6.0/7.0 代理模式一主多备架构，数据持久化，故障自动切换。 ● Redis协议兼容性要求较高。 ● 读取性能要求较高而写入相对较少的场景。 ● 高可用性场景。

数据访问与传输 AI云电脑挂载访问：直接将数据挂载到AI云电脑上进行读写操作，实现无缝实时数据交互，有效提升工作效率和用户体验。 多节点共享访问：同一时间可将文件系统挂载到多个计算节点，供这些节点同时共享和访问资源。这种方式极大降低了数据拷贝与同步成本，同时增强系统整体性能与可用性。 接近数据盘的性能体验：在提供云上数据访问时，确保传输速度达到与本地数据盘相似的高效水平，无论是读取还是写入操作，都能快速响应，全面提升工作效率。 数据安全 数据安全性：文件存储在云端，显著提高数据防护水平与隔离性，保障数据在传输和存储过程中的安全。 加密保护功能：提供翼加密服务，用户可对文件进行加密，实现更深入、全面的数据安全保障。 操作日志追踪：详细记录所有用户活动生成日志，可用于事后审计与监控。既能预防数据泄露，又能有效跟踪和管理潜在不当操作行为。 简单易用 文件挂载到AI云电脑盘中，实现文件实时读写，给用户带来类似于本地数据盘的操作体验。 权限配置 灵活的权限管理：可按部门或用户配置读写权限，便于企业进行内部管理，满足不同组织架构和业务场景的权限需求。 个性化容量分配：支持自定义企业和个人空间容量分配，充分满足不同用户和部门的多样化需求，提高资源利用效率。

4、配置认证源企业微信（移动端） 选择企业微信（移动端）认证源类型，输入配置参数，完成企业微信（移动端）认证源配置。 配置参数说明： 参数 说明 认证源名称 必填，默认“企业微信（移动端）”，可修改，最长16个字。 企业ID 必填，在企业微信企业管理平台中我的企业企业信息页面，获取企业ID。 AgentID 必填，在企业微信企业管理平台中的应用管理页面，查看创建的应用，在应用详情中获取应用AgentID和Secret。 Secret 必填，在企业微信企业管理平台中的应用管理页面，查看创建的应用，在应用详情中获取应用AgentID和Secret。 登录模式 必填，以下两个模式进行选择一个： 登录注册：首次登录时校验该企业微信账号是否已存在，不存在创建账号。 仅用于登录：只能登录既有账号，首次登录需要先与之前的账号绑定，账号密码为AOne的账号密码，绑定后不再需要。 认证交互方式 必填，企业微信扫码时的交互方式。请选择固定值：内嵌扫码模式。 适用范围 必填，固定值，不提供配置，展示认证源适用的终端。 Logo 非必填，在认证源列表展示的Logo。

4、权限管理 配置完成后需要进行应用发布，如不发布应用版本，配置修改无效。 进入版本管理与发布界面，点击“创建版本”按钮，填写版本详情资料后点击“保存”后发布应用。 管理员创建飞书认证源 1、添加认证源 登录AOne零信任工作台，进入扩展认证源列表，点击“添加认证源”，进行飞书认证源添加。 2、选择认证源类型 根据需求，选择飞书认证源类型。 3、配置认证源 选择飞书认证源类型，输入配置参数，完成飞书认证源配置。 配置参数说明： 参数 说明 认证源名称 必填，默认“飞书”，可修改，最长16个字。 AppID 必填，在飞书开放平台中的企业自建应用页面，查看创建的应用， 在应用详情中的凭证与基础信息页面获取应用App ID和App Secret。 AppSecret 必填，在飞书开放平台中的企业自建应用页面，查看创建的应用， 在应用详情中的凭证与基础信息页面获取应用App ID和App Secret。 登录模式 必填，以下两个模式进行选择一个： 登录注册：首次登录时校验该飞书账号是否已存在，不存在创建账号。 仅用于登录：只能登录既有账号，首次登录需要先与之前的账号绑定，账号密码为AOne用的账号密码，绑定后不再需要。 适用范围 必填，固定值，不提供配置，展示认证源适用的终端。 Logo 非必填，在认证源列表展示的Logo。

本文介绍DMS端云协同客户端(简称DMS客户端)的设计理念、关键名词和主要功能,帮助您快速了解和使用DMS客户端。 在云计算与AI时代，传统数据库客户端软件难以充分借助云平台的安全管控能力和AI的智能化优势，也无法适应对话式、命令行式等新一代交互方式。天翼云重磅推出DMS端云协同客户端——将本地客户端与云端安全管控、AI服务深度融合，重塑数据库管理体验。 产品理念 产品以端云协同架构为核心：客户端负责交互体验与本地数据处理，云端提供安全管控与团队协作服务，两者深度融合，让用户在熟悉的客户端操作体验中，获得企业级安全与协作能力加持。 核心特性 【统一管理】一套客户端，纳管全域数据库 打破云上云下的边界，统一管理天翼云RDS等云上数据库与本地自建数据库，同时支持MySQL、PostgreSQL等多种数据库类型。无需在云数据库Web控制台与传统客户端之间来回切换，所有实例一站管理。 【安全协作】私有数据库不上云，也能获得企业级安全增强 借助天翼云DMS安全管控能力——SQL规范审核、变更审批协作、敏感数据脱敏、操作审计等，为云下私有数据库注入安全防护。企业自有数据库无需迁移上云，即可实现细粒度权限管控与团队安全协作。 【智能管理】内置AI智能体，对话即可驾驭数据库 灵活接入大模型服务，内置数据库管理智能体。通过自然语言对话即可完成SQL编写、SQL优化、数据分析等操作，让AI成为你的数据库管理助手，显著降低操作门槛、提升工作效率。 【命令操作】内置dmscli，终端党的效率利器 提供命令行操作体验，支持shell、Python等脚本调用dmscli，轻松融入自动化运维流程，也便于与外部系统对接集成。 【生态对接】开放Skills接口，无缝接入主流智能体生态 提供数据管理Skills，可平滑接入OpenClaw、Claude Code等外部智能体框架，让数据库能力成为AI工作流中的原生一环。

操作场景 本节将以使用"Microsoft Remote Desktop for Mac"工具远程连接到运行"Windows Server 2012 R2 数据中心版 64位"操作系统的云主机为例，介绍如何在Mac OS系统上登录Windows云主机的操作步骤。 前提条件 Windows云主机处于“运行中”状态。 已获得Windows云主机的用户名和密码。如果忘记密码，须重置云主机密码，请参考在控制台重置弹性云主机密码。 Windows云主机所在安全组的入方向已开放3389端口。 Windows防火墙未开启或开启后放通3389端口。 登录工具与Windows云主机具有网络连通性。如果使用处于公网中的终端登录，需要您的Windows云主机已绑定弹性IP。如果通过内网使用此方式登录，则不需要绑定弹性IP，例如VPN、云专线等内网网络连通场景。 Windows云主机已开启远程桌面协议RDP。 已在Mac OS系统上安装了Microsoft Remote Desktop for Mac或其他适用于Mac OS系统的远程连接工具。您可以下载Microsoft Remote Desktop for Mac。 注意 请注意，微软官方已停止提供Remote Desktop客户端的下载链接，您可以尝试下载 操作步骤 1. 启动Microsoft Remote Desktop应用。 2. 点击"Add Desktop"（添加桌面）。 3. 在"Add PC"（添加计算机）页面，进行登录信息的设置。 PC name（计算机名称）：输入要登录的Windows实例的弹性IP地址。 User account（用户账户）：从下拉列表中选择"Add user account"（添加用户账户），然后弹出"Add user account"对话框。 在"Add user account"对话框中，输入Windows实例的用户名（例如"administrator"）和登录密码，然后点击"Add"（添加）。 4. 在"Remote Desktop"页面，双击要登录的Windows实例的图标。 5. 确认信息后，点击"Continue"（继续）。

说明云电竞服务控制台的可用功能及使用方法。 控制台说明 云电竞租户控制台的功能包括数据概览、实例管理、客户端管理、订单查询。 查询业务用量 1.登录云电竞租户控制台。 2.默认进入数据概览页面，页面内默认展示今日实时数据，数据内容包括该账号下的正在使用中实例数量、剩余可用实例数量、按需使用中的实例数量，今日按需服务已使用时长。 3.数据概览页面同时还支持查询资源使用趋势，可修改时间查询周期如 20240122:00:00至20240222:00:00 及数据统计颗粒度如五分钟、半小时、一小时，从而变更趋势图所展示的数据范围及数据精度。 管理实例资源 1.登录云电竞租户控制台。 2.单击【实例管理】，进入实例管理页面。 3.页面展示该账号下当前正在使用中的实例信息，包括实例 ID、集群、调度状态、连接时间、连接的客户端名称。 4.对使用中资源可执行的操作为踢出，单击后将断开当前实例的串流。 管理已注册客户端终端 1.登录云电竞租户控制台。 2.单击【客户端管理】，进入客户端管理页面。 3.页面展示客户端归属集群、客户端名称及 id、区域、调度状态、最近一次连接时间、最近一次登出时间、最近一次连接的虚机 ID。 4.对于调度状态处于串流中的客户端，可单击踢出，停止该台客户端的串流。 5.对于调度状态处于串流中的客户端，可单击下载日志，下载该台客户端的使用日志。 6.对于所有调度状态的客户端，均可单击停用操作，使该台客户端无法再次发起串流，如操作时该台客户端正处于串流中，将直接踢出。 7.对于已被停用的客户端，可单击恢复操作，恢复客户端的串流许可。 8.单击页面右上角【 下载客户端 】按钮，可下载云电竞客户端软件Esports。

错误编码 错误原因 错误类型 解决方案 0x0001 应用资源格式异常 服务端异常 请重新启动零信任客户端并登录。 0x0002 应用资源返回异常 服务端异常 请重新启动零信任客户端并登录。 0x0003 控制中心的隧道资源格式异常 服务端异常 请重新启动零信任客户端并登录。 0x0004 控制中心的隧道资源返回异常 服务端异常 请重新启动零信任客户端并登录。 0x0005 认证中心返回异常 服务端异常 请重新启动零信任客户端并登录。 0x0006 登录中心返回异常 服务端异常 请重新启动零信任客户端并登录。 0x0007 MAC的本地DNS端口冲突，比如5953是否被占用等 软件冲突 运行的软件可能与零信任客户端冲突，请关闭软件后再次启动零信任客户端。 0x0008 MAC的本地dns为空 网络或DNS异常 尝试切换网络后重新登录，若仍未恢复，请检查设备的DNS配置。 0x0009 Windows调用底层流量劫持失败 客户端异常 请重新启动零信任客户端并登录。 0x0010 Windows启动隧道异常 客户端异常 请重新启动零信任客户端并登录。 0x0011 Windows获取边缘节点地址异常 网络或DNS异常 请检查或尝试切换网络。若仍未恢复，请检查设备的DNS配置。 0x0012 windows创建网络适配器异常 客户端异常 请重新启动零信任客户端并登录。 0x0013 windows开启网卡驱动日志异常 客户端异常 请重新启动零信任客户端并登录。 0x0014 启动配置解析认证中心域名异常 客户端异常 如果使用了配置文件，请检查配置项格式是否正确，如果未使用，请重新安装零信任客户端并重新登录。 0x0016 秘钥创建异常 客户端异常 请重新安装零信任客户端，并重新登录。 0x0017 私钥创建异常 客户端异常 请重新安装零信任客户端，并重新登录。 0x0018 公钥创建异常 客户端异常 请重新安装零信任客户端，并重新登录。 0x0019 MAC进程异常重启 客户端异常 请尝试重新登录。 0x0020 认证中心返回的隧道节点为空 服务端异常 请重新启动零信任客户端并登录。 0x0021 Windows网卡配置加载失败 客户端异常 请重新启动零信任客户端并登录。 0x0022 Windows网卡启动失败，未找到vpn网卡 客户端异常 请重新启动零信任客户端并登录。 0x0026 sdk认证返回异常 客户端异常 请重新启动零信任客户端并登录。 0x0027 认证请求不合法 客户端异常 请重新启动零信任客户端并登录。 0x0031 没有可用节点 服务端异常 请重新启动零信任客户端并登录。 0x0043 隧道watchdog 配置网卡超时 客户端异常 请重新启动零信任客户端并登录。 0x0033 错误的节点索引 客户端异常 请重新启动零信任客户端并登录。 0x0036 未配置连接器，隧道创建失败 服务端异常 请先上控制台配置对应连接器。 0x0037 认证中心通告，未匹配上报的节点 服务端异常 网络异常，请检查DNS设置，关闭其他VPN代理软件再重新登录。若未解决，可用诊断工具检测。

本节主要介绍CCE发布Kubernetes 1.28版本 云容器引擎（CCE）严格遵循社区一致性认证，现已支持创建Kubernetes 1.28集群。本文介绍Kubernetes 1.28版本的变更说明。 重要说明 在Kubernetes 1.28版本，调度框架发生变化，减少无用的重试，从而提高调度程序的整体性能。 在Kubernetes 1.28 版本，Ceph FS 树内插件已在 v1.28 中弃用，并计划在 v1.31 中删除（社区没有计划进行 CSI 迁移）。 建议使用 Ceph CSI 第三方存储驱动程序作为替代方案。 在Kubernetes 1.28 版本，Ceph RBD 树内插件已在 v1.28 中弃用，并计划在 v1.31 中删除（社区没有计划进行 CSI 迁移）。建议使用 RBD 模式的 Ceph CSI 第三方存储驱动程序作为替代方案。 新增特性及特性增强 社区特性的Alpha阶段默认禁用、Beta阶段一般默认启用、GA阶段将一直默认启用，且不能禁用（会在后续版本中删除这个开关功能）。CCE对新特性的策略与社区保持一致。 版本偏差策略扩展至3个版本 从1.28控制平面/1.25 工作节点开始，Kubernetes版本偏差策略将支持的控制平面/工作节点偏差扩展到 3 个版本。 这使得节点的年度次要版本升级成为可能，同时保持受支持的次要版本。 可追溯的默认StorageClass 进阶至 GA 在Kubernetes 1.28版本，可追溯默认 StorageClass 赋值现已进阶至GA。 这项增强特性极大地改进了默认的StorageClasses为PersistentVolumeClaim (PVC) 赋值的方式。 PersistentVolume (PV) 控制器已修改为：当未设置 storageClassName 时，自动向任何未绑定的 PersistentVolumeClaim 分配一个默认的 StorageClass。此外，API 服务器中的 PersistentVolumeClaim 准入验证机制也已调整为允许将值从未设置状态更改为实际的 StorageClass 名称。 原生边车容器（Alpha） 在Kubernetes 1.28版本，原生边车容器以Alpha版本正式发布。其在 Init 容器中添加了一个新的 restartPolicy 字段， 该字段在 SidecarContainers 特性门控启用时可用。需要注意的是，原生边车容器目前仍有些问题需要解决，因此K8S社区建议仅在 Alpha 阶段的短期测试集群中使用边车功能。 混合版本代理（Alpha） 在Kubernetes 1.28版本，发布了用于改进集群安全升级的新机制（混合版本代理）。该特性为Alpha特性。 当集群进行升级时，集群中不同版本的 kubeapiserver 为不同的内置资源集（组、版本、资源）提供服务。在这种情况下资源请求如果由任一可用的 apiserver 提供服务，请求可能会到达无法解析此请求资源的 apiserver 中，导致请求失败。该特性能解决该问题。（主要注意的是，CCE本身提供的升级能力即可做到无损升级，因此不存在该特性涉及的场景）。 节点非体面关闭特性达到GA 在Kubernetes 1.28版本，节点非体面关闭特性达到GA阶段。当一个节点被关闭但没有被 Kubelet 的 Node Shutdown Manager 检测到时，StatefulSet 的 Pod 将会停留在终止状态，并且不能移动到新运行的节点上。当用户确认该节点已经处于不可恢复的情况下，可以手动为Node打上outofservice的污点，以使得该节点上的StatefulSet的Pod和VolumeAttachments被强制删除，并在健康的Node上创建相应的Pod。 NodeSwap特性达到Beta 在Kubernetes 1.28版本，NodeSwap能力进阶至Beta版本。目前仍然处于默认关闭状态，需要使用NodeSwap门控打开。该特性可以为Linux节点上运行的Kubernetes工作负载逐个节点地配置内存交换。需要注意的是，该特性虽然进阶至Beta特性，但仍然存在一些需要增强的问题和安全风险。 Job相关特性 在Kubernetes 1.28版本，增加了Pod更换策略和基于带索引Job的回退限制两个alpha特性。 Pod更换策略 默认情况下，当Pod 进入终止（Terminating）状态（例如由于抢占或驱逐机制）时，Kubernetes 会立即创建一个替换的 Pod，因此这时会有两个 Pod 同时运行。在Kubernetes 1.28版本中可以使用JobPodReplacementPolicy 来启用该特性。可以在Job的Spec中定义podReplacementPolicy，目前仅可设置为Failed。在设置为Failed之后，Pod 仅在达到 Failed 阶段时才会被替换，而不是在它们处于终止过程中（Terminating）时被替换。此外，您可以检查 Job 的 .status.termination 字段。该字段的值表示终止过程中的 Job 所关联的 Pod 数量。 带索引Job的回退限制 默认情况下，带索引的Job（Indexed Job）的 Pod 失败情况会被记录下来，受 .spec.backoffLimit 字段所设置的全局重试次数限制。这意味着，如果存在某个索引值的 Pod 一直持续失败，则会 Pod 会被重新启动，直到重试次数达到限制值。 一旦达到限制值，整个 Job 将被标记为失败，并且对应某些索引的 Pod 甚至可能从不曾被启动。在Kubernetes 1.28版本中，可以通过启用集群的 JobBackoffLimitPerIndex 特性门控来启用此特性。开启之后，允许在创建带索引的 Job（Indexed Job）时指定 .spec.backoffLimitPerIndex 字段。当某个Job的失败次数超过设定的上限时，将不再进行重试。 CEL相关特性 在Kubernetes 1.28版本，CEL能力进行了相应的增强。 CRD 使用 CEL 进行 Validate 的特性进阶至Beta 该特性在v1.25版本就已经升级为Beta版本。通过将 CEL 表达式直接集成在 CRD 中， 可以使开发者在不使用 Webhook 的情况下解决大部分对 CR 实例进行验证的用例。在未来的版本，将继续扩展 CEL 表达式的功能，以支持默认值和 CRD 转换。 基于CEL的准入控制进阶至Beta 基于通用表达式语言(CEL) 的准入控制是可定制的，对于 kubeapiserver 接受到的请求，可以使用 CEL 表达式来决定是否接受或拒绝请求，可作为 Webhook 准入控制的一种替代方案。在 v1.28 中，CEL 准入控制被升级为 Beta，同时添加了一些新功能，包括但不限于： ValidatingAdmissionPolicy 类型检查现在可以正确处理 CEL 表达式中的 “authorizer” 变量。 ValidatingAdmissionPolicy 支持对 messageExpression 字段进行类型检查。 kubecontrollermanager 组件新增 ValidatingAdmissionPolicy 控制器，用来对 ValidatingAdmissionPolicy 中的 CEL 表达式做类型检查，并将原因保存在状态字段中。 支持变量组合，可以在ValidatingAdmissionPolicy 中定义变量，然后在定义其他变量时使用它。 新增CEL 库函数支持对 Kubernetes 的 resource.Quantity 类型进行解析。 其它特性说明 在Kubernetes 1.28版本，ServiceNodePortStaticSubrange 特性为beta，允许保留静态端口范围，避免与动态分配端口冲突。 在Kubernetes 1.28版本，增加了alpha特性ConsistentListFromCache，允许kubeapiserver从缓存中提供一致性列表，Get和List请求可以从缓存中读取数据，而不需要从etcd中获取。 在Kubernetes 1.28版本，kubelet能够配置dropin目录（alpha特性）。该特性允许向kubelet添加对“configdir”标志的支持，以允许用户指定一个插入目录，该目录将覆盖位于/etc/kubernetes/kubelet.conf位置的Kubelet的配置。 在Kubernetes 1.28版本，ExpandedDNSConfig 升级至GA，默认会被打开。该参数用于允许扩展DNS的配置。 在Kubernetes 1.28版本，提供Alpha特性CRD Validation Ratcheting。该特性允许Patch或者Update请求没有更改任何不合法的字段，将允许CR验证失败。 在Kubernetes 1.28版本，kubecontrollermanager添加了concurrentcronjobsyncs flag用来设置cron job controller的workers数。

本节主要介绍购买分布式关系型数据库的相关内容。 说明 购买前保持天翼云账户余额大于购买资源费用。 第一步：登录天翼云账号； 打开< 第二步：选择分布式关系型数据库，点击立即开通； 第三步：按照购买选项依次选择计费模式，区域、实例名称、节点规格、节点个数、虚拟私有云、安全组、参数模板、订购时长等参数，选择完成确认无误后点击右下角立即购买即可。 下单完成后约35分钟后创建实例成功。

低门槛容器化，全套微服务治理 CAE 让您免运维 K8s 基础设施，秒级完成从代码包、Docker 镜像部署任意语言的在线应用（如微服务、Web 服务），并自动弹性伸缩按量计费。平台内置免费 Nacos 注册中心，支持 Spring Cloud 无侵入迁移，开箱即用服务注册发现、限流降级、无损上下线及全链路灰度等全套微服务治理能力，极简助力业务容器化转型。 开放标准，自主无忧 基于标准容器与Kubernetes生态构建，避免厂商锁定。您的应用可平滑迁移至任意兼容K8s的平台，保障业务长期发展的灵活性与自主权。 安全可靠，专注业务 底层采用安全容器技术，网络层通过VPC实现租户级强隔离，为您的应用与数据提供从基础设施到网络的双重安全保障，让您安心专注于业务创新。 生态集成，开箱即用 深度集成天翼云负载均衡（ELB）、文件存储（SFS）、对象存储（ZOS）等IaaS服务，以及微服务引擎（MSE）、应用监控（ARMS）等PaaS生态，提供一站式、高内聚的完整解决方案，大幅提升开发和运维效率。

本节介绍公共算力服务的产品相关问题。 公共算力服务适用哪些场景？ 场景一：企业、个人的通用计算应用场景，平台实现了算力标准化、普惠化。 场景二：社会闲余算力接入，基于算力并网实现对社会算力并网，算力云化。 如何开通公共算力服务？ 请您提前准备天翼云账号，完成实名认证，登录公共算力服务控制台，即可使用公共算力的服务。 如何申请更多资源池权限？ 请您提前准备好您的业务场景、资源需求规模、资源分布等信息，联系您的客户经理，或者提交客服工单，或者直接拨打客服热线将您的需求告知相关人员。审核通过，权限开放后会有运营人员联系您。 公共算力服务支持哪些资源类型？ 公共算力服务提供包含计算、存储和网络在内的多类资源，如裸金属、VPC、弹性IP、子网ACL、NAT网关、通用文件存储、并行文件存储等资源类型（不同资源池的可用资源类型有差异）。资源按需开放，如需购买请联系您的客户经理，或者提交客服工单，亦或直接拨打客服热线。

本节介绍了修改私有IP地址的操作场景、约束与限制、操作步骤。 操作场景 云平台支持修改主网卡的私有IP地址，具体操作请参见本节内容。如需修改扩展网卡的私有IP地址，请删除网卡，并挂载新网卡。 约束与限制 弹性云主机已关机。 如果网卡绑定了虚拟IP或者DNAT规则，需要先解绑。 如果网卡上有IPv6地址，无法修改（包括IPv4和IPv6的）私有IP地址。 如需修改弹性负载均衡后端服务器的私有IP地址，请先移出后端服务器组后再修改私有IP。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 弹性云主机”。 3. 单击待修改私有IP地址的弹性云主机名称。 4. 系统跳转至该弹性云主机详情页面。 5. 选择“网卡”页签，并单击主网卡所在行的“修改私有IP地址”。系统打开“修改私有IP地址”窗口。 6. 请根据需要修改主网卡的“子网”、“私有IP地址”。 说明 只能在同一VPC下更换子网。 7. 如果未填写修改后的“私有IP地址”，系统会自动分配一个新的私有IP地址给主网卡使用。

功能模块 权限名称 MySQLadmin MySQLuser MySQLreviewer 实例管理 MySQL切换策略/复制方式 Y Y 实例管理 MySQL设置监控频率 Y Y 实例管理 MySQL绑定/解绑实例标签 Y Y 实例管理 MySQL设置内网域名 Y Y 实例管理 MySQL设置数据库只读 Y Y 实例管理 MySQL启用/禁用root账号 Y Y 实例管理 MySQL修改数据库端口 Y Y 实例管理 MySQL切换VPC Y Y 实例管理 MySQL事件定时器 Y Y 实例管理 MySQL修改实例名称 Y Y 实例管理 MySQL修改连接地址 Y Y 日志管理 MySQL修改实例Binlog本地设置 Y Y 日志管理 MySQL日志服务 Y Y 日志管理 MySQLBinlog日志下载 Y Y 日志管理 MySQL创建合并任务 Y Y 日志管理 MySQL日志备份清理 Y Y 帐号管理 MySQL账户管理/密码插件管理 Y Y 数据安全 MySQL安装/卸载TDE Y Y 数据安全 MySQL拦截sql语句 Y Y 数据安全 MySQL白名单配置与修改 Y Y 数据安全 MySQL添加安全组 Y Y 数据安全 MySQL解绑安全组 Y Y 数据安全 MySQL自定义密码策略 Y Y 数据库代理 MySQL代理配置 Y Y 数据库代理 MySQL代理绑定eip Y Y