安装Agent后，您才能开启数据库安全审计功能，对待审计的数据库进行审计。本节介绍如何在Windows操作系统上安装Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 已获取Windows操作系统Agent安装包。 安装Agent节点的运行系统满足Windows系统版本要求。 安装Agent 1. 在Windows主机安装“Npcap”软件。如果该Windows主机已安装“Npcap”，请执行步骤2。如果该Windows主机未安装“Npcap”，请执行以下步骤： 请前往 将下载好的npcap xxxx .exe软件安装包上传至需要安装agent的虚拟机。 双击npcap软件安装包。 在弹出的对话框中，单击“I Agree”，如图所示。同意安装“Npcap” 在弹出的对话框中，单击“Install”，不勾选安装选项，如图所示。安装“Npcap” 在弹出的对话框中，单击“Next”。 单击“Finish”，完成安装。 2. 以“Administrator”用户登录到Windows主机。 3. 将下载的Agent安装包“xxx.zip”复制到该主机任意一个目录下。 4. 进入Agent安装包所在目录，并解压缩安装包。 5. 进入解压后的文件夹，双击“install.bat”执行文件。 6. 安装成功，界面如图417所示，按任意键结束安装。 7. 安装完成后，在Windows任务管理器中查看“dbssauditagent”进程。如果进程不存在，说明Agent安装失败，请尝试重新安装Agent。

本章节主要介绍ALM18013 ResourceManager直接内存使用率超过阈值的告警。 告警解释 系统每30秒周期性检测ResourceManager服务直接内存使用状态，当检测到ResourceManager实例直接内存使用率超出阈值（最大内存的90%）时，产生该告警。 直接内存使用率小于阈值时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 18013 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 ResourceManager可用直接内存不足，可能会造成内存溢出导致服务崩溃。 可能原因 该节点ResourceManager实例直接内存使用率过大，或配置的直接内存不合理，导致使用率超过阈值。 处理步骤 检查直接内存使用率 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警 > ALM18013 ResourceManager直接内存使用率超过阈值 > 定位信息”。查看告警上报的实例的IP地址。 2.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > Yarn > 实例 > ResourceManager（对应上报告警实例IP地址）”，单击图表区域右上角的下拉菜单，选择“定制 > 资源”，勾选“ResourceManager内存使用详情”。查看直接内存使用情况。 3.查看ResourceManager使用的直接内存是否已达到ResourceManager设定的最大直接内存的90%(默认阈值)。 是，执行步骤4。 否，执行步骤9。 4.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > Yarn > 配置 > 全部配置 > ResourceManager > 系统”。查看“GCOPTS”参数中是否存在“XX:MaxDirectMemorySize”。 是，执行步骤5。 否，执行步骤7。 5.在“GCOPTS”中把参数“XX:MaxDirectMemorySize”删除。 6.保存配置，并重启ResourceManager实例。 7.查看告警信息，是否存在告警“ALM18008 ResourceManager堆内存使用率超过阈值”。 是，查看“ALM18008 ResourceManager堆内存使用率超过阈值”进行处理。 否，执行步骤8。 8.观察界面告警是否清除。 是，处理完毕。 否，执行步骤9。

本章节主要介绍ALM17007 Oozie进程垃圾回收（GC）时间超过阈值的告警。 告警解释 系统每60秒周期性检测Oozie进程的垃圾回收（GC）占用时间，当检测到Oozie进程的垃圾回收（GC）时间超出阈值（默认12秒）时，产生该告警。垃圾回收（GC）时间小于阈值时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 17007 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 导致Oozie提交任务响应变慢。 可能原因 该节点Oozie实例堆内存使用率过大，或配置的堆内存不合理，导致进程GC频繁。 处理步骤 检查GC时间 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警 > Oozie进程垃圾回收（GC）时间超过阈值”，检查该告警的“定位信息”。查看告警上报的实例主机名。 2.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > Oozie > 实例”，选择上报告警实例主机名对应的角色，单击图表区域右上角的下拉菜单，选择“定制 > GC”中的“Oozie垃圾回收（GC）总时间”，单击“确定”。 3.查看Oozie每分钟的垃圾回收时间统计值是否大于告警阈值（默认12秒）。 是，执行步骤4。 否，执行步骤6。 4.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务> Oozie > 配置”，选择“全部配置”，在搜索栏里搜索“GCOPTS”参数。将“Xmx”的值根据实际情况调大，并单击“保存”，单击“确定”进行保存。 说明 Oozie的GC参数配置建议： 建议“Xms”和“Xmx”设置成相同的值，这样可以避免JVM动态调整堆内存大小时影响性能。 5.重启受影响的服务或实例，观察界面告警是否清除。 是，处理完毕。 否，执行步骤6。

本章节主要介绍ALM18015 JobHistoryServer直接内存使用率超过阈值的告警。 告警解释 系统每30秒周期性检测MapReduce服务直接内存使用状态，当检测到JobHistoryServer实例直接内存使用率超出阈值（最大内存的90%，默认阈值）时，产生该告警。 直接内存使用率小于阈值时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 18015 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 MapReduce可用直接内存不足，可能会造成内存溢出导致服务崩溃。 可能原因 该节点JobHistoryServer实例直接内存使用率过大，或配置的直接内存不合理，导致使用率超过阈值。 处理步骤 检查直接内存使用率 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警 > ALM18015 JobHistory直接内存使用率超过阈值 > 定位信息”。查看告警上报的实例的IP地址。 2.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > MapReduce > 实例 > JobHistoryServer（对应上报告警实例IP地址）”，单击图表区域右上角的下拉菜单，选择“定制 > 资源”，勾选“JobHistoryServer内存使用详情”。查看直接内存使用情况。 3.查看MapReduce使用的直接内存是否已达到MapReduce设定的最大直接内存的90%。 是，执行步骤4。 否，执行步骤9。 4.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > MapReduce > 配置 > 全部配置 > JobHistoryServer > 系统”。查看“GCOPTS”参数中是否存在“XX:MaxDirectMemorySize”。 是，执行步骤5。 否，执行步骤7。 5.在“GCOPTS”中把参数“XX:MaxDirectMemorySize”删除。 6.保存配置，并重启JobHistoryServer实例。 7.查看告警信息，是否存在告警“ALM18009 JobHistoryServer堆内存使用率超过阈值”。 是，查看“ALM18009 JobHistoryServer堆内存使用率超过阈值”进行处理。 否，执行步骤8。 8.观察界面告警是否清除。 是，处理完毕。 否，执行步骤9。

查看DataNode JVM内存使用情况和当前配置 4.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HDFS”。 5.“基本信息”区域，单击“NameNode(主)”，显示HDFS WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 6.在HDFS WebUI，单击“DataNodes”页签，查看所有告警DataNode节点的Block数量。 7.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HDFS > 配置 > 全部配置”。在“搜索”中，输入“GCOPTS”，确定当前“HDFS>DataNode”的“GCOPTS”内存参数。 对系统进行调整 8.根据步骤6中的Block数量和步骤7中DataNode配置的堆内存参数，检查当前配置的内存是否不合理。 是，执行步骤9。 否，执行步骤11。 说明 单个DataNode实例平均Block数量和DataNode内存的对应关系参考值如下： 单个DataNode实例平均Block数量达到2,000,000，DataNode的JVM参数参考值为：Xms6G Xmx6G XX:NewSize512M XX:MaxNewSize512M。 单个DataNode实例平均Block数量达到5,000,000，DataNode的JVM参数参考值为：Xms12G Xmx12G XX:NewSize1G XX:MaxNewSize1G。 单个DataNode实例平均Block数量和DataNode内存的对应关系参考值如下： 单个DataNode实例平均Block数量达到2,000,000，DataNode的JVM参数参考值为：Xms6G Xmx6G XX:NewSize512M XX:MaxNewSize512M。 单个DataNode实例平均Block数量达到5,000,000，DataNode的JVM参数参考值为：Xms12G Xmx12G XX:NewSize1G XX:MaxNewSize1G。 9.按照Block数量和内存对应关系，对DataNode的堆内存参数进行修改，并单击“保存”，选择“概览 > 更多 > 重启服务”进行重启。 10.检查本告警是否恢复。 是，处理完毕。 否，执行步骤11。

本章节主要介绍使用Oozie客户端 。 操作场景 该任务指导用户在运维场景或业务场景中使用Oozie客户端。 前提条件 已安装客户端。例如安装目录为“/opt/client”，以下操作的客户端目录只是举例，请根据实际安装目录修改。 各组件业务用户由系统管理员根据业务需要创建。安全模式下，“机机”用户需要下载keytab文件。“人机”用户第一次登录时需修改密码。 使用Oozie客户端 1.以客户端安装用户，登录安装客户端的节点。 2.执行以下命令，切换到客户端安装目录，该操作的客户端目录只是举例，请根据实际安装目录修改。 cd /opt/client 3.执行以下命令配置环境变量。 source bigdataenv 4.判断集群认证模式。 安全模式，执行以下命令进行用户认证。exampleUser为提交任务的用户名。 kinit exampleUser 普通模式，执行步骤5。 5.配置Hue。 a.spark2x环境配置（如果不涉及spark2x任务，可以跳过此步骤）： hdfs dfs put /opt/client/Spark2x/spark/jars/.jar /user/oozie/share/lib/spark2x/ 当HDFS目录“/user/oozie/share”中的Jar包发生变化时，需要重启Oozie服务。 b.上传Oozie配置文件以及Jar包至HDFS： hdfs dfs mkdir /user/ exampleUser hdfs dfs put f /opt/client/Oozie/oozieclient/examples /user/ exampleUser / 说明 exampleUser为提交任务的用户名。 在提交任务的用户和非job.properties文件均无变更的前提下，客户端安装目录/Oozie/oozieclient/examples目录一经上传HDFS，后续可重复使用，无需多次提交。 解决Spark和Yarn关于jetty的jar冲突。 hdfs dfs rm f /user/oozie/share/lib/spark/jettyall9.2.22.v20170606.jar 普通模式下，上传过程如果遇到“Permission denied”的问题，可执行以下命令进行处理。 su omm source /opt/client/bigdataenv hdfs dfs chmod R 777 /user/oozie exit

参数名 描述 AM最多占有资源（%） 表示当前队列内所有Application Master所占的最大资源百分比。 每个YARN容器最多分配核数 表示当前队列内单个YARN容器可分配的最多核数，默认为1，表示取值范围内不限制。 每个YARN容器最大分配内存（MB） 表示当前队列内单个YARN容器可分配的最大内存，默认为1，表示取值范围内不限制。 最多运行任务数 表示当前队列最多同时可执行任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。取值范围为1～2147483647。 每个用户最多运行任务数 表示每个用户在当前队列中最多同时可执行任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。取值范围为1～2147483647。 最多挂起任务数 表示当前队列最多同时可挂起任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可挂起任务。取值范围为1～2147483647。 资源分配规则 表示单个用户任务间的资源分配规则，包括FIFO和FAIR。 一个用户若在当前队列上提交了多个任务，FIFO规则代表一个任务完成后再执行其他任务，按顺序执行。FAIR规则代表各个任务同时获取到资源并平均分配资源。 默认资源标签 表示在指定资源标签（Label）的节点上执行任务。 说明 如果需要使用新的资源池，需要修改默认标签为新的资源池标签。 Active状态 ACTIVE表示当前队列可接受并执行任务。 INACTIVE表示当前队列可接受但不执行任务，若提交任务，任务将处于挂起状态。 Open状态 OPEN表示当前队列处于打开状态。 CLOSED表示当前队列处于关闭状态，若提交任务，任务直接会被拒绝。

通过界面下载慢日志 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页签。 步骤 5 在左侧导航栏单击“日志管理”，在“慢日志”页签下，对状态为“准备完成”的日志文件，单击操作列中的“下载”，下载慢日志。 系统会自动加载下载准备任务，加载时长受日志文件大小及网络环境影响。 − 下载准备过程中，日志文件状态显示为“准备中...”。 − 下载准备完成，日志文件状态显示为“准备完成”。 − 下载准备工作失败，日志文件状态显示为“异常”。 “准备中...”和“异常”状态的日志文件不支持下载。 当前页面支持下载的文件最大不超过40MB，时间范围是从当前时间往前计算，直至文件大小累计为40MB。 当需要下载的文件大于40MB时，需要通过客户端工具OBS Browser+进行下载。 下载链接有效期为5分钟。如果超时，提示用户下载链接已失效，是否重新下载。若需重新下载，单击“确定”，否则单击“取消”。 下载的日志文件仅包含主节点的日志。 结束 LTS慢日志配置 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页签。 步骤 5 在左侧导航栏单击“日志管理”，在“慢日志”页签下，选择“日志明细”。 步骤 6 单击 ，配置日志记录上传LTS。 步骤 7 在下拉框分别选择LTS日志组和日志流，单击“确定”。 结束

本节描述了搭建容灾的操作场景、实现原理、注意事项、操作步骤等内容。 操作场景 建立跨Region容灾关系，当主实例所在区域发生突发性自然灾害等状况，主节点无法连接，可将异地灾备实例升为主实例，在应用端修改数据库连接地址后，即可快速恢复应用的业务访问。 实现原理 在两个数据中心独立部署RDS for PostgreSQL实例，通过RDS的容灾功能将生产中心主实例中的数据同步到灾备中心灾备实例中，实现主实例和跨Region灾备实例数据之间的实时同步。 拓扑图 注意事项 使用该功能前，必须要确保跨Region数据库实例之间的网络打通（可考虑VPN连接产品）。 使用该功能前，确保主实例和灾备实例状态正常，主实例和灾备实例在不同Region上，且主实例为主备实例，灾备实例为单机实例。 灾备实例的CPU和内存规格以及磁盘容量要大于或等于主实例的规格以及磁盘容量。 灾备实例的底层架构和数据库大版本要与主实例一致。 不支持跨大版本建立跨云或跨Region容灾关系。 调用配置主实例容灾接口后直至成功搭建容灾关系，不能进行规格变更、主备倒换操作。 搭建容灾后，灾备实例支持变更CPU和内存规格。 修改主实例的端口或内网地址后需要重新搭建灾备关系。 灾备实例搭建成功后，不能进行小版本升级。 RDS for PostgreSQL 12及以上支持建立跨Region容灾关系。 主实例参数被修改后，灾备实例无法同步修改该参数，需结合业务自行修改灾备实例参数。 RDS for PostgreSQL灾备实例不支持PITR恢复，如需使用此功能，请在主实例上完成。

本文帮助您了解开通对象存储服务的操作步骤。 操作场景 对象存储（简称ZOS）需开通服务后才可以使用，服务开通后将根据资源使用量按需计费或可购买资源包，不使用不计费。 使用说明 对象存储服务在服务开通时选择地域节点，为了简化开通步骤，现将部分地域的开通操作和控制台管理合并，已合并地域支持“公共资源池”方式统一管理。 对象存储服务，每个资源池需要单独开通（公共资源池只需开通一次），若已开通服务会直接跳转至对象存储控制台。 关于公共资源池说明，可查看地域说明。 操作步骤 公共资源池开通 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方单击，选择支持对象存储服务且未开通的地域。 3. 在控制台首页，选择“存储>对象存储”。 4. 在弹出的服务开通页面，地域选择“公共资源池”选项，并勾选“我已阅读并同意相关协议《天翼云对象存储系统服务协议》”。 5. 完成“公共资源池”的对象存储服务开通后，即视为对所有纳入“公共资源池”范围的对象存储ZOS资源池完成服务开通，进入ZOS控制台即可正常使用。 单个资源池开通 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方单击，选择地域，以下操作选择西安西安7。 3. 在控制台首页，选择“存储>对象存储”。 4. 在弹出的服务开通页面，勾选“我已阅读并同意相关协议《天翼云对象存储系统服务协议》”。 5. 开通完成之后，即可进入ZOS控制台正常使用。

前提条件 业务数据具有明确的保存生命周期，如视频监控数据。 存储桶开启了多版本控制，且明确可删除多余的历史版本数据。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方点击，选择所需的资源池节点，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，点击Bucket名称进入“概览”页面。 5. 选择“基础设置”页面，找到“生命周期”，点击“设置”按钮。 6. 点击“创建策略”，根据参数说明配置生命周期管理规则。 生命周期管理规则参数说明 参数 说明 基本设置 状态 选择“启用”，启用本条生命周期规则。 基本设置 策略 可以按前缀或标签配置，也可以配置到整个桶。 基本设置 标签 可选择开启或关闭，开启后需输入标签的键、值。标签合法字符包括大小写字母、数字、空格和下列符号: + . ：/。 清除策略 当前文件过期策略（设置当前文件过期后是删除还是转换为其他存储类型） 可选择过期天数、过期日期或不启用。 若选择过期天数，则在最后一次更新后多少天后执行策略。 若选择过期日期，则在选择具体的删除日期执行策略。 清除策略 历史版本过期策略（设置历史版本文件过期后删除的规则） 可选择过期天数或不启用。 若选择过期天数，则在最后一次更新后多少天后执行策略。 清除策略 碎片过期策略（设置碎片过期后删除的规则） 可选择过期天数或不启用。 若选择过期天数，则在最后一次更新后多少天后执行策略。 7. 单击“确定”，完成生命周期规则创建。

!/bin/sh /sbin/modinfo F filename /root/toa/toa.ko > /dev/null 2>&1 if [ $? eq 0 ]; then /sbin/insmod /root/toa/toa.ko fi d. “/root/toa/toa.ko”为TOA内核模块文件的路径，您需要将其替换为自己编译的TOA内核模块路径。 e. 为toa.modules启动脚本添加可执行权限，执行以下命令： sudo chmod +x /etc/sysconfig/modules/toa.modules 5. 安装多节点 假如要在相同的操作系统中加载此内核模块，可以将toa.ko文件拷贝到您的虚拟机中，参照以上加载内核模块的步骤，内核模块加载成功以后，应用程序可以正常获取访问者的真实源IP地址。 6. 验证TOA内核模块 a. TOA内核模块安装成功后即可直接获取到源地址，在安装有python的后端服务器中启动一个HTTP服务，执行如下命令： python m SimpleHTTPServer port b. 其中，port需要与ELB添加该后端服务器时配置的端口一致，默认为80。启动之后，通过客户端访问ELB的IP时，服务端的访问日志如下： 192.168.1.10 [08/Sep/2022 15:21:21] "GET / HTTP/1.1" 200 – Proxy Protocol模式 1. 在TCP监听器对应的后端主机组上打开如下开关。（只可创建时打开，不可修改） 2. 在后端主机内开启Proxy Protocol。修改/etc/nginx/nginx.conf文件内容如下（以nginx为例演示，用户可按照后端主机真实应用情况决定如何获取客户端源IP）。 http { 确认已设置$proxyprotocoladdr logformat main '$proxyprotocoladdr $remoteaddr $remoteuser [$timelocal] "$request" ' '$status $bodybytessent "$httpreferer" ' '"$httpuseragent" "$httpxforwardedfor"'; 以888监听端口为例，增加proxyprotocol字段 server { listen 888 proxyprotocol; ... } } 3. 在后端主机的Nginx日志可以看到已获取到客户端源IP。

本章节介绍云容器集群Pod网络包重复故障演练。 背景介绍 在 CCE 集群中，网络异常可能导致数据包被重复发送，既消耗带宽和 CPU，也可能触发非幂等业务的重复执行。本演练用于模拟此场景并验证系统的处理能力与幂等性。 基本原理 通过增加TC和Netem规则模拟Pod内网络包重复。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 风险告知 此演练具有高度破坏性，请务必在充分了解其风险后，谨慎操作，强烈建议通过动作参数，控制网络故障注入的影响范围。 通信中断 ：网络包乱序影响探针程序与控制面的通信，此时该演练任务的状态极有可能显示为执行失败或恢复，但这恰恰是故障注入成功的表现。 无法自愈 ：超时机制可能失效，因为执行恢复动作同样需要通过网络通讯。 恢复方式 ：最可靠的恢复方法是通过云容器引擎 控制台，对目标实例节点执行强制重启操作。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的pod列表。 5. 在弹出的对话框中，单击添加pod。 6. 勾选您希望进行故障演练的一个或多个pod ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。

执行角色 概述 使用云工作流构建应用时，您需要创建执行委托角色并授予相应权限，若不配置委托角色，云工作流默认使用 服务内联委托 角色 。云工作流在执行流程时将以该角色身份代表您访问云服务，例如执行函数、发送消息或调用其他流程。 云工作流基于统一身份认证IAM的委托权限管理机制。授权原理如下：策略定义了访问某项服务的能力，将策略绑定到委托后，该委托便具备访问该服务的权限。第三方只需扮演具备所需权限的角色即可访问服务，无需长期密钥，从而提升系统安全性。 操作步骤 创建委托角色 1. 使用 IAM管理员 登录IAM控制台。 2. 在左侧导航栏，选择 委托。 3. 在委托列表页面，单击 创建委托。 4. 在 创建委托 页面，选择 可信实体类型 为 服务委托, 点击下一步。 5. 在配置委托页面， 输入 委托名称 ,选择委托服务选 一类节点函数计算cf。 6. 输入完成后点击 完成,即可创建完成。 配置委托权限 1. 使用IAM管理员登录IAM控制台。 2. 在左侧导航栏，选择 委托。 3. 在委托列表页，选择需要授权的委托，点击旁边的 授权 按钮。 4. 在 选择策略 页面, 搜索/选择你需要的云服务策略, 本例子授权 对象存储 的 只读 权限 。 如果需要更精细的权限控制，可以先创建自定义策略，详情请查阅创建自定义策略 5. 授权范围将默认勾选全局范围，您可以直接点击“确定”完成授权。 6. 创建完成委托角色后， 即可在 工作流设置 中下拉选择设置。工作流设置详见工作流执行器关于 工作流配置 说明。

执行流程概述在创建流程后,您可以通过多种方式触发、执行流程,并在执行后查看执行结果 流程支持以下触发方式:手动触发:在云工作流控制台直接启动流程。定时触发:设置定时任务,按照指定的时间周期自动执行流程 执行流程 概述 在创建流程后，您可以通过多种方式触发、执行流程，并在执行后查看执行结果 流程支持以下触发方式： 手动触发：在云工作流控制台直接启动流程。 定时触发：设置定时任务，按照指定的时间周期自动执行流程。 队列消息触发：通过将消息发送至消息队列来触发工作流流程。 事件触发：通过监听其他天翼云服务（如对象存储、云日志等）的事件来触发工作流流程。 HTTP触发：通过调用云工作流的API接口来启动流程。 本文将以云工作流控制台为例，演示如何执行流程并查看结果。 操作步骤 1. 登录云工作流控制台，然后在顶部菜单栏选择 地域(可选)。 2. 在左侧导航栏，选择 工作流列表 ，然后在 工作流列表页面，单击目标工作流。 3. 在工作流详情页面的 执行记录页 签，单击 启动执行 。在执行工作流面板，填写 执行名称 （可选）和 执行输入 （可选），然后单击 确定。 1. 注意事项： 若填写执行输入，需为合法 JSON 对象格式。 1. 执行完成后，您可在执行历史详情页中查看每个节点的执行结果、输入、输出、执行时间等详细信息，以确认流程按预期完成。 执行结果的详细介绍请参见工作流执行管理。

本小节介绍镜像基线检查。 基线检查功能自动检测您私有镜像仓库中存在的配置风险，针对所发现的问题为您提供加固建议，帮助您正确地处理镜像内的各种风险配置信息，降低入侵风险并满足安全合规要求。 检测周期 企业主机安全每天凌晨自动进行一次全面的检查。 前提条件 已开启容器节点防护。 约束限制 仅支持检测Linux镜像存在的配置风险。 检测项 确保系统中不存在账号名或UID相同的账号 UID为0的非root账号检查 代码中的口令检查 确保系统中不存在相同密码哈希值的账号 禁止使用弱密码哈希算法 确保帐户密码不为空 确保系统中不存在相同组名或GID 确保没有非特权账号加入特权组 确保/etc/passwd中不存在旧的"+"条目 确保/etc/shadow中不存在旧的"+"条目 确保/etc/group中不存在旧的"+"条目 确保/etc/passwd中的所有组都存在于/etc/group中 确保配置了密码有效期 确保所有用户的密码更改日期都是过去日期 禁用建立host信任 禁止建立预置的root级别的信任关系 确保root帐户的默认组为GID 0 确保shadow组为空 操作步骤 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 说明 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 3、 在左侧导航树中，选择“风险预防 > 容器镜像安全”。 4、 选择“镜像基线检查”页签，查看镜像中存在的配置风险。 5、单击检测项前的，查看该检测项的详情、存在的问题及加固建议，并根据加固建议修复有风险的配置信息。

本章节主要介绍翼MapReduce组件Spark使用时的常见问题。 Spark 任务内存不足情况需要根据具体问题进行具体分析。 首先spark统一内存模型将内存分为offheap和heap两部分内存，每一个部分都可能发生内存不足的情况。 offheap内存不足的情况 offheap内存作用 为了进一步优化内存的使用以及提高 Shuffle 时排序的效率，Spark 引入了堆外（Offheap）内存，使之可以直接在工作节点的系统内存中开辟空间，存储经过序列化的二进制数据。 利用JDK Unsafe API（从 Spark 2.0 开始，在管理堆外的存储内存时不再基于 Tachyon，而是与堆外的执行内存一样，基于 JDK Unsafe API 实现），Spark 可以直接操作系统堆外内存，减少了不必要的内存开销，以及频繁的 GC 扫描和回收，提升了处理性能。堆外内存可以被精确地申请和释放，而且序列化的数据占用的空间可以被精确计算，所以相比堆内内存来说降低了管理的难度，也降低了误差。 offheap参数和动态扩展机制 Spark堆外内存的大小可以由spark.memory.offHeap.size控制，spark offheap空间只分为 execution 和 storage 1:1两部分，两部分可以动态扩展。 offheap不足 目前常用的offheap常见是 executor端，map task侧 shuffle时候，由于ShuffleExternalSorter占用内存过大，导致内存不足。 此外，在spark native场景中，spark将更多的使用 spark offheap内存取代heap内存，因此spark offheap在非shuffle场景下也会占用很多offheap内存。 如果存在offheap 内存不足警告，可以酌情添加spark.memory.offHeap.size 或者 降低shuffle 内存缓冲区大小。 heap内存不足的情况 spark将heap内存做如下分割 每一个部分超出使用上线都可能产生内存不足的情况。

本文介绍关系数据库SQL Server版在天翼云云审计中支持的相关功能。 操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 操作事件 创建实例、恢复到新实例 重启实例 删除实例 节点扩容 磁盘扩容 规格变更 数据备份、删除备份 数据恢复 参数修改 主备切换 绑定公网IP 解绑公网IP 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表中，选择事件来源为“数据库”，资源类型选择“关系数据库SQL Server版”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

本文简述天翼云边缘安全加速平台—安全与加速服务支持的压缩算法及配置方式。 基本概念介绍 针对文本类文件、图片等内容采用压缩的方式进行传输，一方面可节省边缘节点内部传输流量和最后一公里的用户流量，另一方面可节省传输时间，提升性能。当前行业内常用的两种压缩算法如下： Gzip 压缩算法：Gzip基于DEFLATE算法，它是LZ77和霍夫曼编码的组合，最早用于UNIX系统的文件压缩。HTTP协议上的Gzip编码是一种用来增进 Web应用程序性能的技术，Web服务器和客户（浏览器）必须共同支持Gzip。当下主流的浏览器都是支持Gzip压缩，包括IE6、IE7、IE8、IE9、FireFox、Google Chrome、Opera等。 Brotli压缩算法：Brotli通过变种的LZ77算法、Huffman编码以及二阶文本建模等方式进行数据压缩，特别侧重于HTTP压缩。与其他压缩算法相比，通常可以获得更高的压缩效率。 功能介绍 天翼云边缘安全加速平台—安全与加速服务提供压缩功能，开启压缩功能后，可以减少网络中传输的内容，能够带来两个明显的好处，一是减少存储空间，二是通过网络传输文件时，可以减少传输的时间。 支持Gzip压缩和Brotli压缩两种压缩算法。 注意事项 Gzip压缩兼容所有浏览器，Brotli压缩不兼容较老版本的浏览器，您可以根据业务需要选择适合的压缩算法。 安全与加速服务对文件压缩时，会改变文件的MD5值，若源站配置了MD5校验机制，需要关闭压缩功能。 页面优化功能和文件压缩功能不允许同时开启，同时开启时，压缩功能会失效。 如果域名同时配置Brotli压缩和Gzip压缩，若客户端两种压缩算法都支持，则仅Brotli压缩生效。 常见的视频文件（MP4、WMV、AVI等）以及图片文件（JPEG、JPG、PNG等）通常已经做了压缩处理，开启压缩后一般没有效果，建议您关闭压缩功能。

DRDS高度兼容 MySQL 协议和语法，但由于分布式数据库和单机数据库存在较大的架构差异，存在SQL使用限制。本文将为您介绍数据库开发过程中的使用限制，作为业务使用参考。 SQL限制 SQL大类限制 不支持用户自定义数据类型、自定义函数。 不支持视图、存储过程、触发器、游标。 不支持BEGIN…END、LOOP…END LOOP、REPEAT…UNTIL…END REPEAT、WHILE…DO…END WHILE等复合语句。 不支类似IF，WHILE等流程控制类语句。 不支持SAVEPOINT操作。 不支持SQL里带schema操作。 不支持跨库关联查询。 小语法限制 DDL 不支持CREATE TABLE tblname LIKE oldtblname。 不支持CREATE TABLE tblname SELECT statement。 不支持使用库名.表名语法。 注意 V5.1.9.6020.2533及以后版本的实例，支持直接连接DRDS实例计算节点时，使用库名.表名语法。 DML 不支持update分片键的值。 不支持SELECT INTO OUTFILE/INTO DUMPFILE/INTO varname。 不支持INSERT DELAYED Syntax。 不支持非WHERE条件的Correlate Subquery。 不支持SQL中带聚合条件的Correlate Subquery。 不支持Global的变更，比如SET GLOBAL varxx或者SET @@global.varxx。 不支持SQL中对于变量的引用和操作，比如SET @c1, @d@c+1; SELECT @c, @d。 数据库管理 SHOW WARNINGS Syntax不支持LIMIT/COUNT的组合。 SHOW ERRORS Syntax不支持LIMIT/COUNT的组合。 SQL语句限制 union约束 使用union关键字的sql，要求其中涉及的分片表的分片规则及配置参数一致，使用union all关键字的sql则无此要求。 分片表不支持union/union all与聚合函数、limit、groupby、having、orderby等关键字联用。 不支持分片表和全局表union。 JDBC约束 不支持rewriteBatchedStatementstrue参数设置(默认为false)。 不支持useServerPrepStmtstrue参数设置(默认为false)。 BLOB, BINARY, VARBINARY字段不能使用setBlob()或setBinaryStream()方法设置参数。 库内分表约束

关系数据库MySQL版支持切换主备实例的数据复制方式，以满足不同的业务需求。本文介绍如何修改关系数据库MySQL版实例的数据复制方式。 注意 仅II类型资源池支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 背景信息 数据复制方式说明 您可以根据实际情况，切换主备实例的数据复制方式，支持切换为异步 或半同步，具体说明如下： 异步 应用更新数据时，主库执行完操作后立即向应用返回响应，然后就向备实例异步复制数据，这种数据复制方式通常具有较高的性能。 因此，在异步数据复制方式下，备实例不可用时不会影响主实例上的操作。而主实例异常不可用时可能会影响主备数据复制、导致主备实例数据不一致，极端情况下，可能会有数据丢失风险，请谨慎选择。 半同步 应用更新数据时，主库需要等待备库收到日志才向应用返回响应，这种方式提高了数据可靠性但对性能有一定影响： 可用性类型 是否退化 描述 可靠性 不退化（默认） 如果实例主库与其他所有备库通信故障，为保证数据一致性和完整性，主库将被设置为只读且不进行退化（一主一备实例默认设置可用性优先会退化），直至任一备节点恢复后可对外提供写服务。 可用性 退化（默认） 如果实例主库与其他所有备库通信故障，可能会导致退化（一主两备实例默认设置可靠性优先不退化），退化表现为主库等待备库响应数秒钟，在此期间会阻塞主库对业务写操作的响应，退化后，主库恢复正常、主库可正常写入数据。退化后的实例可能会有数据丢失风险，主备之间通信恢复正常后，实例重新转化为半同步状态。

本文为您介绍主机高可用组的相关功能。 环境要求 按照网络配置与drnode安装部署流程完成网络环境配置、模块化安装部署、许可授权管理及同步节点创建等四项标准化前置流程。 高可用规则内至少有一条高可用规则。 新建规则 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“资源同步”“资源同步管理”，进入资源管理模块页面。 5. 点击左侧菜单栏“主机高可用”，点击“高可用组”，进入高可用组页面。 6. 点击“新建”按钮，进入创建高可用组规则页面。 参数 配置说明 名称 用户自定义的高可用组规则名称，便于管理，支持中文和英文字符，区分和识别当前任务的名称。 切换确认 用户自定义是否开启切换确认功能，默认开启。 错误处理 忽略：如在高可用组规则执行的过程中，出现了错误，忽略继续运行； 停止：如在高可用组规则执行的过程中，出现了错误，停止运行。 阶段设置 增加阶段：将高可用规则添加至阶段设置中； 减少阶段：删除当前阶段设置中的用户已添加的高可用规则。用户通过单击此选项，阶段设置中的规则会由下而上依次删除； 修改：仅支持当前阶段中的规则包含多个高可用规则时，用户可以自定义增添或删除高可用规则。 7. 页面配置完成后，点击“确定”完成高可用组规则设置。 上述内容详情可参见多活容灾服务用户帮助手册主机高可用。

本节主要介绍如何查看实例监控信息。 操作场景 当剧本执行完成后，剧本实例管理列表中会生成剧本实例，即剧本实例监控。实例监控列表每条记录是一个实例，可呈现实例的历史实例任务列表，以及历史实例任务的运行情况。 约束与限制 流程实例最大手动重试次数为3次，且重试之后，须等剧本执行完毕之后才允许再次重试。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“实例管理”页签，进入实例管理页面。 5. 在实例管理列表中，可查看实例名称、剧本名称、数据类等，参数说明如下表所示。 参数名称 参数说明 实例名称 实例的名称。 剧本名称 实例对应的剧本名称。 数据类 剧本的运营对象，即数据类。 触发方式 实例的触发方式。 定时触发 事件触发 状态 实例的状态。 成功：剧本实例成功执行。 失败：剧本实例执行失败，单击操作列的重试可重新执行剧本。 运行中：剧本实例处于运行状态，单击操作列的终止可终止剧本。 重试中：剧本实例正在重试中。 终止中：剧本实例正在终止。 已终止：剧本实例已经成功终止。 上下文 实例的上下文信息。 实例创建时间 实例创建的具体时间。 实例结束时间 实例结束的具体时间。 操作 用户可执行终止、重试等操作。 6. 如需查看某个实例的详细信息，可以单击任一实例名称，进入剧本实例图页面，可查看实例流程图和流程节点信息。

本章节为媒体存储合规保留概述。 使用场景 媒体存储提供合规保留（WORM）功能，开启合规保留后，处于合规保留期的对象均“不可删除、不可篡改”。 规则启用后，用户可以在Bucket中上传和读取文件（Object），但是在Object的保留时间到期之前，任何用户都不能修改、覆盖、删除处于合规保留期的对象；Object的保留时间到期后，才可以删除Object。 适用区域 本功能目前仅部分资源池支持，具体可参考：资源池与区域节点。 如需使用，可联系客户经理或提交工单申请。 使用说明 一个Bucket仅支持添加一条WORM规则，WORM规则创建后，状态默认为【未启用】。用户需主动启用规则。 WORM规则启用后，规则不可禁用、不可删除，且无法缩短保护时间，只可延长保护时间。并且，启用后的规则不可删除。 WORM保留时间精确到秒，如对象A的最后更新时间为202171 12:00:00，保护周期1天，则A会在202172 12:00:01过合规保留期。 处于保护中的对象不会被生命周期删除，当对象不再受保护后，如果满足生命周期过期规则，将会被系统删除。 如当前Bucket有生效的WORM规则，且有处于合规保留期内的文件，则无法通过控制台、API、SDK删除Bucket。 如当前Bucket有生效的WORM规则，但没有处于合规保留期期的文件，或者Bucket为空，则可以删除Bucket，从而间接删除WORM规则。 如对象处于保护周期，则无法通过控制台、API、SDK修改、覆盖、删除对象。 当配置存储桶复制后，如果目标桶开启了WORM规则，源桶和目标桶无重名对象，且对象不在保护期内，则对象可被复制。 处于保护中的对象允许修改对象元数据。

本文介绍域名请求出现“504 Gateway Timeout”错误可能的原因及解决方案。 问题现象 使用天翼云CDN加速之后，用户请求加速域名出现“504 Gateway Timeout”报错，导致无法正常访问。报错如下： 可能原因及解决方案 如源站因某种原因响应慢，超过CDN加速回源超时时间设置仍未向CDN节点返回内容，则会出现504报错。此时具体排查步骤如下： 1. 确认源站服务器的各个指标如CPU及带宽资源等是否正常，如是否有跑高等异常现象。软件服务是否有异常，如发现异常，请联系提供源站服务的相应技术人员进一步进行修复。 2. 可通过直接将域名指向源站IP的方式（修改本机HOSTS文件），不经过CDN请求对应的域名资源，确认源站能否正常响应，查看响应的具体情况。请求时可通过在浏览器打开开发者选项或通过Wireshark等抓包工具进一步查看，如下图示： 如上图，查看对应请求的元素，发现源站请求的响应时间time参数长达1min，确认为源站响应慢，需要进一步检查源站情况，确认源站能否降低响应时长（降低至CDN厂商回源超时时间范围内）。 当确认源站响应慢而且源站没有办法减少响应时间时，可以通过修改CDN域名的默认回源超时时长来缓解该问题，具体可提交工单联系天翼云客服进行配置。 3. 若按上述步骤验证后非源站问题，可参考：接入CDN后域名无法访问，进一步排查。 4. 如果问题还是无法解决，请提交工单联系天翼云客服进行人工确认。

权限点 管理员 开发者 部署者 运维者 访客 新建Schema Y Y N N N 删除Schema Y Y N N N 查询Schema Y Y N Y Y 编辑Schema Y Y N N N 操作备份 Y Y N Y N 查询备份 Y Y N Y Y 新建补数据 Y Y N N N 操作补数据 Y Y N Y N 查询补数据 Y Y N Y Y 操作脏数据 Y Y N Y N 操作恢复备份 Y N N Y N 查询恢复备份 Y Y N Y Y 新建目录 Y Y N N N 删除目录 Y Y N N N 查询目录 Y Y N Y Y 编辑目录 Y Y N N N 新建通知 Y Y N N N 删除通知 Y Y N N N 查询通知 Y Y N Y Y 编辑通知 Y Y N N N 新建数据库 Y Y N N N 删除数据库 Y Y N N N 查询数据库 Y Y N Y Y 编辑数据库 Y Y N N N 新建解决方案 Y Y N N N 删除解决方案 Y Y N N N 操作解决方案 Y Y N Y N 查询解决方案 Y Y N Y Y 编辑解决方案 Y Y N N N 查询IAM代理 Y Y Y Y Y 更新IAM代理 Y N N N N 操作环境变量 Y Y N N N 查询环境变量 Y Y N Y Y 编辑环境变量 Y Y N N N 操作作业节点 Y Y N Y N 查看发布包 Y Y Y Y Y 操作发布包 Y N Y Y N 新建数据连接 Y Y N N N 删除数据连接 Y Y N N N 操作数据连接 Y Y N Y N 查询数据连接 Y Y N Y Y 编辑数据连接 Y Y N N N 撤销发布 Y Y Y Y N 新建数据表 Y Y N N N 删除数据表 Y Y N N N 查询数据表 Y Y N Y Y 编辑数据表 Y Y N N N 操作作业实例 Y Y N Y N 查询作业实例 Y Y N Y Y 新建资源 Y Y N N N 删除资源 Y Y N N N 操作资源 Y Y N Y N 查询资源 Y Y N Y Y 编辑资源 Y Y N N N 编辑环境变量映射 N N N N N 操作脚本编辑锁 Y Y N Y N 新建脚本 Y Y N N N 删除脚本 Y Y N N N 操作脚本 Y Y N Y N 查询脚本 Y Y N Y Y 编辑脚本 Y Y N N N 新建作业标签 Y Y N Y N 删除作业标签 Y Y N Y N 查询作业标签 Y Y N Y Y 新建作业 Y Y N N N 删除作业 Y Y N N N 操作作业 Y Y N Y N 查询作业 Y Y N Y Y 编辑作业 Y Y N Y N 查询作业编辑锁详情 Y Y N Y Y 操作作业编辑锁 Y Y N Y N

本章节主要介绍如何升级集群。 DWS支持用户通过console自助完成集群升级操作，详情请参见集群升级。 DWS对集群进行运维操作前，会通过短信进行提示，在运维时间内请谨慎操作集群。 升级过程中会自动重启集群，在此期间集群将短时间无法提供服务。 如果节点故障/系统升级仅导致集群短暂中断（例如15分钟），则您将看不到任何差异。如果此类事件导致系统中断（非常罕见），请联系技术支持人员进行处理。 说明 集群升级到8.1.3及以上版本后，会进入升级观察期，可以观察新业务的运行情况，若发现问题，可快速回退到老版本。 升级集群对原有集群数据和规格都没有影响。 升级版本说明 集群版本说明如下图所示： 服务补丁升级 ：表示集群版本X.X.X最后一位数字的升级更新，例如，集群版本从1.1.0升级到1.1.1。 持续时间：整个升级过程将花费不到10分钟。 业务影响：在此期间，如果升级源版本至8.1.3及以上版本，则支持在线补丁，补丁升级期间不要求用户停止业务，业务存在秒级闪断。如果在8.1.3以下版本业务会中断1至3分钟，建议在业务低峰期进行。 服务升级 ：表示集群版本X.X.X前面两位数字的升级更新，例如，集群版本从1.1.0升级到1.2.0。 持续时间：整个升级过程将花费不到30分钟。 业务影响：在此期间，如果升级源版本至8.1.1及以上版本，则支持在线升级，升级期间不要求用户停止业务，业务存在秒级闪断，建议在业务低峰期进行。 热补丁升级 ：表示在当前集群版本的基础上扩展一位版本号（格式为00019999）进行升级操作。 持续时间：单个热补丁升级过程中花费不到10分钟。 业务影响：热补丁升级过程中不影响业务，卸载热补丁后当前热补丁修复的问题可能再次出现。

本文为您介绍密钥管理服务与其他云服务的关系，以及对应密钥的区分。 KMS与其他云服务的加密关系 KMS集成天翼云产品提供服务端加密能力，实现云上原生数据提供加密保护，有效提升默认安全能力。在创建云产品资源时开启加密功能，您可以自定义加密密钥，支持选择默认密钥和您在KMS中自行创建的用户主密钥。 服务端加密优势 提升云产品内生安全性 加密过程中使用的密钥由用户自定义选择，集中托管在KMS服务中，KMS已通过国家密码管理局审查，获得商用密码产品认证，合规性得到有效保障。 降低研发成本 使用云产品服务端加密能力，您无需自行构建和维护密钥管理基础设施，无需考虑自研数据加密能力所涉及的密钥管理安全及合理性、加密算法的研发等一系列复杂的工程，大幅度降低开发成本。 加密过程透明无感知 服务端加密为您提供内嵌至云服务中的加密方案，您无需关注底层数据加密的细节，只需一键开启加密功能，即可实现数据加密。 支持服务端加密的云产品 云硬盘 对象存储 弹性文件 关系型数据库MySQL版 关系型数据库PostgreSQL版 文档数据库服务 功能详情详见云产品服务端加密。 KMS与云审计服务的关系 已对接天翼云云审计服务，可通过云审计服务查看资源操作的记录，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至日志审计等产品实现永久保存。 KMS与云监控服务的关系 已对接天翼云云监控服务，可通过云监控服务查看实例节点的相关监控指标，并可以设置相关指标的告警规则及通知策略。

本章节主要介绍ALM18014 NodeManager直接内存使用率超过阈值的告警。 告警解释 系统每30秒周期性检测Yarn服务直接内存使用状态，当检测到NodeManager实例直接内存使用率超出阈值（最大内存的90%）时，产生该告警。 直接内存使用率小于阈值时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 18014 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 NodeManager可用直接内存不足，可能会造成内存溢出导致服务崩溃。 可能原因 该节点NodeManager实例直接内存使用率过大，或配置的直接内存不合理，导致使用率超过阈值。 处理步骤 检查直接内存使用率 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警 > ALM18014 NodeManager直接内存使用率超过阈值 > 定位信息”。查看告警上报的实例的IP地址。 2.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > Yarn > 实例 > NodeManager（对应上报告警实例IP地址）”，单击图表区域右上角的下拉菜单，选择“定制 > 资源”，勾选“NodeManager内存使用率”。查看直接内存使用情况。 3.查看NodeManager使用的直接内存是否已达到NodeManager设定的最大直接内存的90%(默认阈值)。 是，执行步骤4。 否，执行步骤9。 4.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > Yarn > 配置 > 全部配置 > NodeManager > 系统”。查看“GCOPTS”参数中是否存在“XX:MaxDirectMemorySize”。 是，执行步骤5。 否，执行步骤7。 5.在“GCOPTS”中把参数“XX:MaxDirectMemorySize”删除。 6.保存配置，并重启NodeManager实例。 7.查看告警信息，是否存在告警“ALM18018 NodeManager堆内存使用率超过阈值”。 是，查看“ALM18018 NodeManager堆内存使用率超过阈值”进行处理。 否，执行步骤8。 8.观察界面告警是否清除。 是，处理完毕。 否，执行步骤9。

本章节主要介绍ALM17004 Oozie堆内存使用率超过阈值的告警。 告警解释 系统每60秒周期性检测Oozie服务堆内存使用状态，当检测到Oozie实例堆内存使用率超出阈值（最大内存的95%）时产生该告警。堆内存使用率小于阈值时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 17004 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 堆内存溢出可能导致服务崩溃。 可能原因 该节点Oozie实例堆内存使用率过大，或配置的堆内存不合理，导致使用率超过阈值。 处理步骤 检查堆内存使用率 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警 > Oozie堆内存使用率超过阈值”，检查该告警的“定位信息”。查看告警上报的实例主机名。 2.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > Oozie > 实例”，选择上报告警实例主机名对应的角色，单击图表区域右上角的下拉菜单，选择“定制 > 内存”中的“Oozie堆内存使用率”，单击“确定”。 3.查看Oozie使用的堆内存是否已达到Oozie设定的阈值（默认值为最大堆内存的95%）。 是，执行步骤4。 否，执行步骤6。 4.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务> Oozie > 配置”，选择“全部配置”。在搜索栏里搜索“GCOPTS”参数，将“Xmx”的值根据实际情况调大，并单击“保存”，单击“确定”。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 5.重启受影响的服务或实例，观察界面告警是否清除。 是，处理完毕。 否，执行步骤6。

本章节主要介绍翼MapReduce的修改服务自定义配置参数操作。 操作场景 MRS集群各个组件支持开源的所有参数，其中部分关键使用场景的参数支持在FusionInsight Manager界面进行修改，且部分组件的客户端可能不包含开源特性的所有参数。如果需要修改其他Manager未直接支持的组件参数，管理员可以在Manager通过自定义配置项功能为组件添加新参数。添加的新参数最终将保存在组件的配置文件中并在重启后生效。 对系统的影响 配置服务属性后，如果服务状态为“配置过期”，则需要重启此服务，重启期间该服务不可用。 修改服务配置参数并重启生效后，需要重新下载并安装客户端，或者下载配置文件刷新客户端。 前提条件 管理员已充分了解需要新添加的参数意义、生效的配置文件以及对组件的影响。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“集群 > 待操作集群的名称 > 服务”。 3. 单击服务视图中指定的服务名称。 4. 选择“配置 > 全部配置”。 5. 在左侧导航栏定位到某个一级节点，并选择“自定义”，Manager将显示当前组件的自定义参数。 “参数文件”显示保存管理员新添加的自定义参数的配置文件。每个配置文件中可能支持相同名称的开源参数，设置不同参数值后生效结果由组件加载配置文件的顺序决定。自定义参数支持服务级别与角色级别，请根据业务实际需要选择。不支持单个角色实例添加自定义参数。 6. 在对应参数项所在行“名称”列输入组件支持的参数名，在“值”列输入此参数的参数值。 支持单击“＋”或“－”增加或删除一条自定义参数。 7. 单击“保存”，在弹出的“保存配置”窗口中确认修改参数，单击“确定”。界面提示“操作成功。”，单击“完成”，配置保存成功。 保存完成后请重新启动配置过期的服务或实例以使配置生效。

本章节主要介绍翼MapReduce的管理客户端操作。 操作场景 FusionInsight Manager支持统一管理集群的客户端安装信息，用户下载并安装客户端后，界面可自动记录已安装（注册）客户端的信息，方便查询管理。同时系统支持手动添加、修改未自动注册的客户端信息（如历史版本已安装的客户端）。 操作步骤 查看客户端信息 1. 登录FusionInsight Manager。 2. 选择“集群 >待操作集群的名称 > 客户端管理”，即可查看当前集群已安装的客户端信息。 用户可查看客户端所在节点的IP地址、安装路径、组件列表、注册时间及安装用户等信息。 在当前最新版本集群下载并安装客户端时，客户端信息会自动注册。 添加客户端信息 3. 如需手动添加已安装好的客户端信息，单击“添加”，根据界面提示手动添加客户端的IP地址、安装路径、用户、平台信息、注册信息等内容。 4. 配置好客户端信息，单击“确定”，添加成功。 修改客户端信息 5. 手动注册的客户端信息可以手动修改。 在“客户端管理”界面选择待修改的客户端，单击“修改”。修改信息后，单击“确定”完成修改。 删除客户端信息 6. 在“客户端管理”界面选择待删除的客户端，单击“删除”，在弹出的窗口中单击“确定”，即可删除客户端信息。 如需删除多个客户端信息，勾选待删除的客户端，单击“批量删除”，在弹出的窗口中单击“确定”，即可删除客户端信息。 导出客户端信息 7. 在“客户端管理”界面选择待操作的客户端，单击“导出全部”可导出所有已注册的客户端信息到本地。 说明 客户端管理界面上组件列表栏只展示有真实客户端的组件，因此部分没有客户端的组件和客户端特殊的组件不会显示在组件列表栏。 不显示的组件有： LdapServer、KrbServer、DBService、Hue、Mapreduce、Flume。 不显示的组件有： LdapServer、KrbServer、DBService、Hue、Mapreduce、Flume。