本文简介什么是天翼云Web应用防火墙（边缘云版）。 产品定义 天翼云Web应用防火墙（边缘云版）依托天翼云边缘云节点形成云安全网络，结合云端大数据分析平台，通过 AI+规则双引擎识别恶意流量，为用户应对 Web 攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫、域名劫持等网站及 Web 业务安全防护问题，从而保障网站安全。 区别于传统WAF需要在源站前端部署，Web应用防火墙（边缘云版）基于边缘云分布式架构，将WAF、BOT、CC、API等应用安全防护能力赋能于全国边缘云节点，实现安全能力赋能边缘，将安全能力下沉至最接近终端用户的边缘节点，在最靠近攻击源头的地方阻断恶意流量。 有效防御 SQL 注入、XSS 跨站脚本、木马上传、非授权访问等 OWASP 攻击。此外还可以有效过滤 CC 攻击、提供 0day 漏洞补丁、防止网页篡改等。 结合智能调度，实现动态调整边缘节点，无缝扩展QPS 防护能力，可达亿级别规模；应对敏感大流量攻击，无惧突发风险。 功能特性 功能 简介 常见Web应用攻击防护 防御OWASP TOP10Web安全威胁攻击：如SQL注入、XSS跨站脚本、CSRF 跨站请求伪造、非授权访问等常见Web服务器漏洞攻击。 0day补丁定期及时更新：及时更新漏洞补丁，防护网站安全。 CC攻击防护 频率控制：结合多维度频率控制，精确控制请求频率，控制核心接口被访问的频率。 人机挑战：通过人机识别验证，避免非法请求透传源站。 大数据分析：针对低频多变的攻击，根据内置算法模型，统计正常业务流量和攻击流量的特征，自动生成精准访问控制策略。 业务安全防护 网页防篡改：支持用户将核心网页内容缓存在边缘云节点，并对外发布缓存中的网页内容，实现网页防篡改效果，防止网页被篡改带来负面影响。 敏感词防泄漏：针对银行卡、身份证、手机号、邮箱进行页面过滤，防止网站敏感信息泄露。 CSRF防护：有效阻止因误触恶意链接、恶意扫描、简单爬虫限制造成的用户损失。 Cookie防护：支持对指定cookie字段的值进行加密，支持对cookie签名，防止因随意篡改导致的漏洞触发。 账户安全防护：支持防护撞库、批量注册、暴力破解等恶意攻击行为，保障用户账号安全。 广告防护：对检测到的广告进行清除或者记录告警日志处理，使展示给用户的界面没有广告。 攻击挑战：针对反复触发防护策略的IP，限制访问频率。 精准访问控制 可针对IP , IP段 , URI , 请求方式, 请求地区，请求参数，请求头部，请求协议进行组合，设置白名单和黑名单，对请求进行拦截和放行，保证客户网站不受未知访问。 IPv6防护 支持一键开启IPv6功能，无缝处理IPv4和IPv6流量，并且支持解决天窗问题。 Bot行为管理 通过多模块联动实时检测与机器学习相结合实现网站请求的实时检测和分析，识别真实用户请求和恶意爬虫，进而防止刷票、活动作弊、恶意注册等爬虫攻击行为的发生，保障企业业务稳定运行，避免经济利益受损。 智能防护 自学习异常用户行为：智能学习网站流量规律，学习正常用户访问行为，多维度识别异常访问情况。 内置多种业务场景学习模型：强化抢票、恶意爆破登录、恶意爬取等机器脚本行为识别，保证网站正常运行。 威胁情报 天翼云与国内外知名安全厂家恶意情报共享，更快更精确发现恶意探测以及威胁事件。

本节介绍如何创建 VLLM 前缀匹配智能路由。 前置条件 前缀缓存匹配依赖分布式缓存服务 Redis 做为 KVCache 分布信息元数据存储服务，因此需要针对智算套件集群创建对应的 Redis 服务，并放开白名单和内网访问端口。 1. 通过控制台查看智算套件集群资源信息，包括“虚拟专有网络 VPC”、“安全组”、“集群子网”等。 如果集群 VPC 包含多个子网，可通过查看“虚拟专有网络 VPC”详情获取多个子网网段，后续创建 Redis 服务需要用到子网网段信息，如下： 2. 前往“分布式缓存服务Redis版”控制台，创建集群对应的 Redis 服务实例。 实例需求： a. Redis 版本大于等于 6.0； b. Redis 和智算集群处于同一 VPC 其它创建参数请结合集群业务需求进行修改。 3. 等待 Redis 服务创建成功，点击实例详情，并设置安全组和白名单，确保集群内服务可以访问 Redis 实例。 实例需求： a. Redis 实例安全组需要放开入方向 6379 端口流量； b. Redis 实例需要将集群子网网段添加到白名单； 1）点击查看实例详情 2）添加集群子网网段到 Redis 白名单 3）查看 Redis 实例安全组，并前往网络控制台修改安全组规则，添加放开入方向 6379 端口规则 点击修改可以查看安全组编码，复制并前往网络控制台 通过搜索查询到对应的 Redis 实例的安全组，并添加规则 至此，创建前缀缓存匹配路由所需的 Redis 实例创建并配置完毕。

本文主要介绍管理节点标签。 节点标签可以给节点打上不同的标签，给节点定义不同的属性，通过这些标签可以快速的了解各个节点的特点。 节点标签使用场景 节点标签的主要使用场景有两类。 节点管理：通过节点标签管理节点，给节点分类。 工作负载与节点的亲和与反亲和： 有的工作负载需要的CPU大，有的工作负载需要的内存大，有的工作负载需要IO大，可能会影响其他工作负载正常工作等等，此时建议给节点添加不同标签。在部署工作负载的时候，就可以选择相应标签的节点亲和部署，保证系统正常工作；反之，可以使用节点的反亲和部署。 一个系统可以分为多个模块，每个模块由多个微服务组成，为保证后期运维的高效，可以将节点打上对应模块的标签，让各模块部署到各自的节点模块上，互不干扰，方便开发到各自节点上去维护。 节点固有标签 节点创建出来会存在一些固有的标签，并且是无法删除的，这些标签的含义请参见下表。 表节点固有标签 键 说明 新：topology.kubernetes.io/region 旧：failuredomain.beta.kubernetes.io/region 表示节点当前所在区域。 新：topology.kubernetes.io/zone 旧：failuredomain.beta.kubernetes.io/zone 表示节点所在区域的可用区。 新：node.kubernetes.io/baremetal 旧：failuredomain.beta.kubernetes.io/isbaremetal 表示是否为物理机节点。例如：false，表示非物理机节点 node.kubernetes.io/containerengine 表示容器引擎。例如：docker、containerd node.kubernetes.io/instancetype 节点实例规格。 kubernetes.io/arch 节点处理器架构。 kubernetes.io/hostname 节点名称。 kubernetes.io/os 节点操作系统类型。 node.kubernetes.io/subnetid 节点所在子网的ID。 os.architecture 表示节点处理器架构。例如：amd64，表示AMD64位架构的处理器 os.name 节点的操作系统名称。 os.version 操作系统节点内核版本。 node.kubernetes.io/containerengine 节点所用容器引擎。 accelerator GPU节点标签。 cce.cloud.com/ccenodepool 节点池节点专属标签。

本文帮助您快速熟悉创建安全组的操作场景和操作流程。 操作场景 您可以创建安全组并定义安全组中的规则，将VPC中的弹性云主机划分成不同的安全域，以提升弹性云主机访问的安全性。建议您将不同公网访问策略的弹性云主机划分到不同的安全组。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在左侧导航栏，选择“访问控制安全组”选项。 5. 点击页面右上角“创建安全组”按钮，进入创建安全组页面。 6. 根据界面提示配置参数，设置安全组信息；参数说明如下： 配置 说明 名称 输入安全组的名称。 模板 模板自带安全组规则，方便您快速创建安全组。提供如下几种模板： 自定义：用户自定义安全组规则。 通用Web服务器：默认放通22、3389、80、443端口和ICMP协议。 开放全部端口：开放全部端口有一定安全风险，请谨慎选择。 虚拟私有云 选择安全组所属的虚拟私有云，仅可用区资源池支持此选项。 描述 安全组的描述信息。 企业项目 创建安全组时，可以将安全组加入已启用的企业项目。 7. 点击“确认”按钮，即可完成安全组的创建。 注意 1. 默认情况下，控制台已经为您提供了几种安全组规则模板，您可以跟据您的业务需求去选择规则模板，如果您需要自定义规则，可以参考“ 2. 同一安全组内云服务器实例内网互访默认是隔离状态，如您有同一安全组内的云服务器之间互通的需求，您可以在添加安全组规则时配置一条引用本安全组的规则，实现组内互通，详细操作可参考“ 3. 对于地域资源池来说，创建安全组时无需选择对应的虚拟私有云，多个VPC可以复用一个安全组。对于可用区资源池来说，创建安全组时需选择对应的虚拟私有云。不同的VPC业务一般是不同的，所使用的安全组规则也应该是不一样的。将VPC与安全组关联方便您部署不同业务情况。您可以根据自身业务需求选择创建合适区域的安全组。

本文介绍判断全站加速配置生效的方法。 Windows PC客户端 同时按住Windows+R键，输入cmd，敲回车键以打开命令提示符窗口，输入命令“nslookup 域名”或者“ping 域名”，查看返回的结果中是否显示正确的CNAME信息。 ping 域名 nslookup 域名 MAC OS 或者 Linux 客户端 打开终端工具，输入命令dig域名，查看返回的结果中是否显示正确的的CNAME信息。 dig 域名 通过查看cname后缀进行判断。可ping、dig所添加的域名，若转向到.ctadns.cn或.ctdcdn.com或.epluscdn.com，即说明配置成功，全站加速生效。

本文将为您介绍创建和管理静态路由的操作步骤。 应用场景 本地IDC通过静态路由实现与专线网关之间的内网互联，建立快捷和灵活的入云组网方式。 前提条件 已创建物理专线，具体操作说明详见创建物理专线。 已创建专线网关，具体操作说明详见创建和管理专线网关。 使用限制 专线网关最多创建50个客户侧静态路由，若需要提升配额，请通过配额申请提高配额数量。 专线网关的客户侧路由数量不能超过VPC路由配额限制，如需要提升VPC路由配额，请通过配额申请提高配额数量。 操作步骤 创建静态路由 1、登录云专线控制台，在左侧导航栏中，单击【专线网关】。 2、在专线网关页面，选择目标专线网关，在操作列中单击【详情】。 3、在专线网关客户侧路由页签，单击【添加路由】，配置以下参数信息，然后单击【确定】。 配置 说明 路由模式 选择路由模式，本文选择静态。 客户侧IP类型 选择专线网关的路由类型，支持选择IPv4、IPv6、双栈。 请根据已创建的物理专线选择对应的IP类型。 客户侧子网 输入专线网关要转发的目的网段。 说明 如果专线网关添加了VPC或云企业路由器，客户侧子网将自动添加至VPC或云企业路由器的默认路由表中，作为云内去往专线网关的目的网段。 物理专线/静态 单击【添加物理专线】，选择需要配置静态路由的物理专线。 优先级 选择静态路由的优先级，默认为50。 取值范围为10100。 说明 优先级取值越小，优先级越高。 当专线网关的两条物理专线优先级取值相同时，两条物理专线为负载链路。 当专线网段的两条物理专线优先级取值不相同时，两条物理专线为主备链路。 网络监测 默认关闭，支持开启BFD和Track。 如需开启，请在操作列中，单机【编辑】后，选择【开启BFD】或【开启Track】。 说明 接收和发送单跳BFD控制报文的最小时间间隔为400毫秒。 单跳检测的BFD检测时间倍数为5。 操作 支持如下操作： 删除：删除已添加的物理专线。 编辑：编辑已添加物理专线的静态路由配置。 取消：取消编辑已添加物理专线的静态路由配置。 保存：保存编辑已添加物理专线的静态路由配置。

本文介绍如何挂载NFS文件系统到Linux云主机。 操作场景 当创建文件系统后，您需要使用云主机来挂载该文件系统，以实现多个云主机共享使用文件系统的目的。 注意事项 注意 不推荐NFS协议的文件系统挂载至Windows，Windows系统对NFS协议文件系统兼容性较差，会出现中文乱码和无法进行重命名等问题，影响正常使用。因此推荐使用NFS文件系统挂载至Linux操作系统的计算服务上，以避免不兼容的问题。 如果仍然期望采用NFS协议的文件系统挂载至Windows的方式，请务必知晓上述风险，若采用此种挂载方式，本服务不承诺SLA。 前提条件 在需要操作的地域已创建虚拟私有云VPC，具体操作步骤参见创建虚拟私有云VPC。 已创建该VPC下的弹性云主机，操作系统为Linux，具体操作步骤参见创建弹性云主机。 已创建该VPC下的文件系统，文件系统的协议类型为NFS，具体操作步骤参见创建文件系统。 操作步骤 1. 登录天翼云控制中心，单击管理控制台左上角的，选择地域。 2. 选择“计算>弹性云主机”，进入弹性云主机控制台页面，找到即将执行挂载操作的云主机。 3. 以root用户登录该弹性云主机，登录方法参考登录Linux弹性云主机弹性云主机快速入门。 4. 执行以下命令查询该云主机是否安装NFS客户端，若没有返回安装结果，执行第5步进行安装。 plaintext rpm qa grep nfsutils 5. 安装NFS客户端。安装时注意不同操作系统执行命令不同。 CentOS系统，执行以下命令： plaintext yum y install nfsutils Ubuntu系统，执行以下命令： plaintext sudo aptget install nfscommon 6. 执行如下命令创建本地挂载路径，例如“/mnt/sfs”。 plaintext mkdir /mnt/sfs 7. 执行如下命令挂载文件系统。 IPv4地址挂载命令： plaintext mount t nfs o vers3,prototcp,async,nolock,noatime,nodiratime,noresvport,wsize1048576,rsize1048576,timeo600 挂载地址 本地挂载路径 IPv6地址挂载命令： plaintext mount t nfs o vers3,prototcp6,async,nolock,noatime,nodiratime,noresvport,wsize1048576,rsize1048576,timeo600 挂载地址 本地挂载路径 8. 挂载完成后使用 df h命令查看文件系统挂载情况。

节点类型 功能 Master节点 MRS集群管理节点，负责管理和监控集群。在MRS管理控制台选择“集群列表>现有集群”，选中一个运行中的集群并单击集群名，进入集群信息页面。在“节点管理”中查看节点名称，名称中包含“master1”的节点为Master1节点，名称中包含“master2”的节点为Master2节点。 Master节点可以通过弹性云主机界面的VNC方式登录，也可以通过SSH方式登录，并且Master节点可以免密码登录到Core节点。 系统自动将Master节点标记为主备管理节点，并支持MRS集群管理的高可用特性。如果主管理节点无法提供服务，则备管理节点会自动切换为主管理节点并继续提供服务。 查看Master1节点是否为主管理节点，请参见 Core节点 MRS集群工作节点，负责处理和分析数据，并存储过程数据。 Task节点 计算节点，用于弹性伸缩，集群计算资源不足时扩容至集群中。

当前已支持资源 分类 云产品 计算 弹性云主机 存储 云硬盘 网络 弹性IP、公网NAT网关、安全组、虚拟私有云 画布 您可以在画布区自由地拖拽、连线，完成架构设计。请查看 设计架构 了解如何操作 您在画布区对资源所做的任何操作，都将自动同步至模板内容和资源表单配置中，因此请放心操作，无须担心架构与模板内容不匹配的情况。 资源配置 在画布中选中一个资源，即可对该资源进行配置，例如下图中，点击画布中的弹性云主机，即可在页面右侧的资源配置区查看、编辑云主机的各个属性。 您在画布区对资源所做的任何操作，都将自动同步至资源表单配置中，例如当前已自动识别云主机所在的vpc为 vpclnkty，子网为 vpcsubnetz3c1u，且不可修改。因此请无须担心架构与模板内容不匹配的情况。 选择填入属性的方式 方式 说明 静态值 指填入常量，而不是资源属性/参数。选择该方式时，您可手动填入一个参数值 引用Properties 指引用画布中的资源的参数属性。选择该方式时，您可选择画布中的资源的属性，作为当前资源当前属性的属性值 引用Parameters 指引用一个您变量。您可以在可视化编辑器页面下方的 参数（Parameters）中提前设置Parameters。

当前已支持资源 分类 云产品 计算 弹性云主机 存储 云硬盘 网络 弹性IP、公网NAT网关、安全组、虚拟私有云 画布 您可以在画布区自由地拖拽、连线，完成架构设计。请查看 设计架构 了解如何操作 您在画布区对资源所做的任何操作，都将自动同步至模板内容和资源表单配置中，因此请放心操作，无须担心架构与模板内容不匹配的情况。 资源配置 在画布中选中一个资源，即可对该资源进行配置，例如下图中，点击画布中的弹性云主机，即可在页面右侧的资源配置区查看、编辑云主机的各个属性。 您在画布区对资源所做的任何操作，都将自动同步至资源表单配置中，例如当前已自动识别云主机所在的vpc为 vpclnkty，子网为 vpcsubnetz3c1u，且不可修改。因此请无须担心架构与模板内容不匹配的情况。 选择填入属性的方式 方式 说明 静态值 指填入常量，而不是资源属性/参数。选择该方式时，您可手动填入一个参数值 引用Properties 指引用画布中的资源的参数属性。选择该方式时，您可选择画布中的资源的属性，作为当前资源当前属性的属性值 引用Parameters 指引用一个您变量。您可以在可视化编辑器页面下方的 参数（Parameters）中提前设置Parameters。

本章节介绍云原生API网关的服务来源 概述 云原生API网关无缝对接天翼云注册配置中心（Nacos引擎、Eureka引擎）和云容器引擎，通过服务发现模块监听服务来源，动态感知后端服务。 说明 每种服务来源类型仅支持添加一个实例集群 创建云容器引擎服务来源 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 进入实例概览。 4. 单击左侧导航栏服务 > 服务来源标签页。 5. 点击创建来源，在配置页选择容器服务来源类型，在容器集群下拉列表中选择要添加的集群（当前仅支持添加与网关实例同VPC内的容器集群）。 6. 根据需要勾选是否监听K8s Ingress选项并配置监听命名空间的标签。 创建MSE Nacos服务来源 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 进入实例概览。 4. 单击左侧导航栏服务 > 服务来源标签页。 5. 点击创建来源，在配置页选择MSE Nacos服务来源类型，在MSE Nacos集群下拉列表中选择要添加的集群（当前仅支持添加与网关实例同VPC内的MSE Nacos集群）。 创建MSE Eureka服务来源 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 进入实例概览。 4. 单击左侧导航栏服务 > 服务来源标签页。 5. 点击创建来源，在配置页选择MSE Eureka服务来源类型，在MSE Eureka集群下拉列表中选择要添加的集群（当前仅支持添加与网关实例同VPC内的MSE Eureka集群）。

参数 参数类型 说明 示例 下级对象 regionID String 区域ID 81f7728662dd11ec810800155d307d5b azName String 可用区名称 az1 ID String 负载均衡ID lbxxx projectID String 项目ID 0 name String 名称 test description String 描述 desac vpcID String VPC ID subnetID String 子网ID subnetxxx portID String 负载均衡实例默认创建port ID portxxx privateIpAddress String 负载均衡实例的内网VIP 12.23.23.2 ipv6Address String 负载均衡实例的IPv6地址 2001:db8:85a3::8a2e:370:7334 eipInfo Array of Objects 弹性公网IP信息 eipInfo slaName String 规格名称 elb.default deleteProtection Boolean 删除保护。开启，不开启 true deleteProtectionReason String 删除保护原因 xxx modifyProtection Boolean 修改保护。开启，不开启 true modifyProtectionReason String 修改保护原因 xxx privateHostIPEnabled Integer VPC内地址转发功能 1 privateHostIPSubnetID String VPC内地址转发功能，后端子网ID subnetxxx privateHostIpv4s Array of Strings 通过ipv4地址访问负载均衡实例时，负载均衡实例访问后端主机组内主机时使用的源ip ["10.1.1.40"] privateHostIpv6s Array of Strings 通过ipv6地址访问负载均衡实例时，负载均衡实例访问后端主机组内主机时使用的源ip ["100:1:163:ba00:7934:cbce:f9a2:f76"] adminStatus String 管理状态: DOWN / ACTIVE DOWN status String 负载均衡状态: DOWN / ACTIVE DOWN resourceType String 负载均衡类型: external / internal internal createdTime String 创建时间，为UTC格式 20221003T09: 44: 22Z updatedTime String 更新时间，为UTC格式 20221003T09: 44: 22Z expiredTime String 到期时间，为UTC格式 20221003T09: 44: 22Z billingMethod String 计费方式 periodic gwEnabled Integer 是否启用IPv4/6网关引流 0 resourceID String 计费类资源ID xxx 表 eipInfo

ECI实例是否支持修改安全组？ ECI实例不支持修改安全组，如果您想要变更安全组，需要重新创建ECI实例。 如何从外网访问容器组？ 如果您的ECI实例需要访问外网，或者被外网访问，您需要为ECI实例绑定EIP，或者为实例所属的VPC绑定NAT网关。 是否支持端口映射？ ECI实例不支持端口映射。 在同一个VPC网络中，您可以直接通过ECI实例的IP+Port进行访问（默认会将容器的端口开放）。 如果需要支持外网访问，您可以为ECI实例绑定EIP，或者为实例所属的VPC绑定NAT网关。 是否支持数据持久化？ 支持数据持久化。针对一些在ECI实例运行期间对磁盘有较高的IO要求、同时有大量的临时数据需要存放的业务，建议采用外置的数据卷来外挂存储。您可以根据业务需求的场景来选择创建ECI实例外挂的存储，支持云盘、弹性文件和对象存储。详情请参见数据卷概述。 如何获取容器组ID？ ECI实例创建完成后，在弹性容器实例控制台左侧导航栏中选择“容器组”，进入容器组列表页。在列表中即可查看容器组ID，按需复制即可。 是否支持拉取Docker Hub官方仓库镜像创建实例？ 支持，ECI默认不提供公网资源的访问，因此ECI默认是不能拉取Docker Hub的镜像，如果您需要从Docker Hub等公网镜像仓库拉取镜像来创建ECI实例，则需要该实例具备公网访问的能力。详情请参考拉取Docker Hub官方仓库镜像。

限制项 默认限制 能否修改 API分组数量 每个用户最多创建50个API分组。 √ API数量 每个用户最多创建200个API。 √ 后端策略数量 每个用户最多创建5个后端策略。 √ 应用数量 每个用户最多创建50个应用。应用配额包括用户自行创建的应用和API市场购买API生成的应用。 √ 流控策略数量 每个用户最多创建30个流控策略。 用户流量限制不超过API流量限制。 应用流量限制不超过用户流量限制。 源IP流量限制不超过API流量限制。 √ 环境数量 每个用户最多创建10个环境。 √ 签名密钥数量 每个用户最多创建30个签名密钥。 √ 访问控制策略数量 每个用户最多可以创建100个访问控制策略。 √ VPC通道数量 每个用户最多创建30个VPC通道。 √ 变量数量 每个分组在任意一个环境中，最多创建50个变量。 √ 独立域名数量 每个分组最多可以绑定5个独立域名。 √ 云服务器数量 每个VPC通道最多添加200个云服务器。 √ 参数数量 每个API最多创建50个参数。 √ 发布历史数量 同一个API在每个环境中最多记录10条最新的发布历史。 √ 每个API的访问频率 不超过200次/秒。 √ 特殊应用 每个流控策略最多可创建30个特殊应用。 √ 特殊租户 每个流控策略最多可创建30个特殊租户。 √ 子域名访问次数 每个子域名每天最多可以访问1000次。 x 调用请求包的大小 API每次最大可以调用12M的请求包 x TLS协议 支持TLS1.1和TLS1.2，推荐使用TLS1.2。 x 实名认证 未实名认证的用户，无法进行任何的创建操作。 x

解决方案 当节点调度资源不足时，需降低节点负载，方法如下： 1、删除或减少不必要的Pod，降低节点的负载。 2、根据自身业务情况，限制Pod的资源配置。 3、在集群中添加新的节点。 4、为节点进行升配。 节点CPU不足 问题原因 通常是节点上的容器占用CPU过多导致节点的CPU不足。 问题现象 当节点CPU不足时，可能会导致节点状态异常。 解决方案 1、通过节点的监控查看CPU增长曲线，确认异常出现时间点，检查节点上的进程是否存在CPU占用过高的现象。 2、降低节点的负载。 3、如需重启节点，可尝试重启异常节点。 节点内存不足MemoryPressure 问题原因 通常是节点上的容器占用内存过多导致节点的内存不足。 问题现象 1、当节点的可用内存低于memory.available配置项时，则节点状态中MemoryPressure为True，同时该节点上的容器被驱逐。 2、当节点内存不足时，会有以下常见错误信息： 2.1 节点状态中MemoryPressure为True。 2.2 当节点上的容器被驱逐时： 2.2.1 在被驱逐的容器事件中可看到关键字The node was low on resource: memory。 2.2.2 在节点事件中可看到关键字attempting to reclaim memory。 2.2.3 可能会导致系统OOM异常，当出现系统OOM异常时，节点事件中可看到关键字System OOM。 解决方案 1、通过节点的监控查看内存增长曲线，确认异常出现时间点，检查节点上的进程是否存在内存泄露现象。 2、降低节点的负载。 3、如需重启节点，可尝试重启异常节点。 节点索引节点不足InodesPressure

本文介绍开启或关闭源/目的检查操作。 应用场景 使用虚拟机部署LVS实现高可用。 使用说明 只支持VPC网卡开启或关闭源/目的检查。 虚拟机开通后，源/目的检查状态默认开启。 启用状态，系统会检查发送的报文中源IP地址是否正确，不正确则不允许发送该报文。关闭状态，系统不会检查发送的报文中源IP地址，存在伪装报文攻击风险。 关闭源/目的检查状态后，不影响关联安全组生效与否，安全组是否生效可在网卡详情页自助开启或关闭。 操作步骤 1. 登录ECX控制台。 2. 单击左侧【边缘虚拟机>实例】导航栏，点击列表上方的地域可以切换不同地域，选择需要操作的实例，单击实例名称。 3. 进入虚拟机详情页，单击【网卡】页签，找到需要配置的VPC网卡所在位置，点击其他栏下的“源/目的检查”右侧按钮，出现弹窗提示后点击【是】，开启或关闭源/目的检查状态。

分类 服务 命名空间 维度 监控指标参考文档 网络 弹性公网IP和带宽 SYS.VPC · Key：publicipid Value：弹性公网IP ID · Key：bandwidthid Value：带宽ID 网络 弹性负载均衡 SYS.ELB · Key：lbaaspoolid Value：后端主机组的ID · Key：lbaasinstanceid Value：独享/共享型负载均衡器的ID · Key：lbaaslistenerid Value：独享/共享型负载均衡监听器的ID 网络 NAT网关 SYS.NAT · Key：natgatewayid Value：NAT网关实例标识 · Key：vpcnatgatewayid Value：私网NAT实例标识

限制项 限制值 说明 可创建应用的用户 实名认证，且账户内金额大于0元。 无 单应用实例数 20 单个应用的实例数量上限 总应用实例数 100 单Region下用户能够创建的全部应用实例数量 内存用量 10G 单Region下用户所有应用使用的内存大小上限 vCPU核数 2核 单Region下用户所有应用使用的vCPU核数上限 网络 专有网络VPC 不支持经典网络。专有网络VPC内部署的实例默认不可访问公网，如需访问公网，则需进行相关配置。 容器 Linux容器 不支持Windows容器。 系统盘磁盘空间 默认20GiB 不支持更改系统盘磁盘空间大小。为了保证您的业务连续性，在CAE控制台使用镜像部署应用时，请确保镜像大小不超过20GiB。

配置项 说明 示例 vCPU规格 为函数配置运行vCPU规格。 0.5 核 内存规格 为函数配置运行的内存规格。 512 MB 临时硬盘大小 根据您的业务情况，选择临时存储文件的硬盘大小。 512 MB 实例并发度 支持一个实例同时并发执行多个请求，这个值用来配置单个函数实例可以同时处理多少个请求。 1 执行超时时间 设置函数执行的超时时间。 64 请求处理程序 设置请求处理程序，函数计算的运行时会加载并调用您的请求处理程序处理请求。 index.handler 时区 选择函数的时区。 UTC 函数角色 选择根据函数所在服务配置的角色。 CTyunDefaultRole 允许访问VPC 是否允许函数访问VPC内资源。 否 允许函数默认网卡访问公网 是否允许函数可以通过默认网卡访问公网。关闭后，当前服务中的函数将无法通过函数计算的默认网卡访问公网。 否

配置项 说明 示例 vCPU规格 为函数配置运行vCPU规格。 0.5 核 内存规格 为函数配置运行的内存规格。 512 MB 临时硬盘大小 根据您的业务情况，选择临时存储文件的硬盘大小。 512 MB 实例并发度 支持一个实例同时并发执行多个请求，这个值用来配置单个函数实例可以同时处理多少个请求。 1 执行超时时间 设置函数执行的超时时间。 64 请求处理程序 设置请求处理程序，函数计算的运行时会加载并调用您的请求处理程序处理请求。 index.handler 时区 选择函数的时区。 UTC 函数角色 选择根据函数所在服务配置的角色。 CTyunDefaultRole 允许访问VPC 是否允许函数访问VPC内资源。 否 允许函数默认网卡访问公网 是否允许函数可以通过默认网卡访问公网。关闭后，当前服务中的函数将无法通过函数计算的默认网卡访问公网。 否

如何使用Web应用防火墙（独享版）？ 首先需要购买WAF，接着添加需要防护的网站域名，添加防护域名后，可开启WAF防护，保护网站业务安全稳定，购买和接入WAF的流程详见WAF操作指南。 Web应用防火墙子账号与主账号关系是什么？ WAF子账号和主账号是资源隔离的。 主账号可以查看子账号添加的域名，但子账号不能查看主账号添加的域名。 Web应用防火墙是否支持多个账号共享使用？ WAF不支持多个账号共享使用，每个账号需要单独购买WAF进行部署。 Web应用防火墙（独享版）如何部署？ 独享引擎实例部署在被防护业务所在的VPC内，购买Web应用防火墙（独享版）时选择被防护源站所在的VPC即可。

本节主要介绍与其他云服务的关系 弹性云主机（Elastic Cloud Server，ECS） 将源端服务器的系统、应用和文件等数据迁移到天翼云弹性云主机。 弹性IP（Elastic IP，EIP） 创建迁移任务过程中支持采用公网迁移，要求目的端服务器配置有“弹性IP”。 虚拟私有云（Virtual Private Cloud，VPC） 在创建迁移任务前，通过虚拟私有云设置目的端弹性云服务器所在VPC的安全组。 云硬盘服务（Elastic Volume Service，EVS） 迁移任务创建并启动后，主机迁移服务会创建一块临时按需计费EVS卷，迁移完成删除该临时卷。 云审计服务（Cloud Trace Service，CTS） 通过云审计服务收集主机迁移服务操作记录，便于日后的查询、审计和回溯。 对象存储服务（Object Storage Service，OBS） 将源端对象数据迁移至天翼云创建的OBS桶中。

流量超额预警 1. 登录天翼云控制中心。 2. 在左侧导航树中，单击左上方的“服务列表”，选择“安全 > 云防火墙”，进入云防火墙的概览页面。 3. 在左侧导航栏中，选择“系统管理 > 告警通知”，进入“告警通知”页面。 4. 在“流量超额预警”所在行的“操作”列，单击“编辑”，设置通知项参数，参数说明详见下表。 参数名称 参数说明 通知项说明 当流量达到所采购流量处理能力规格的一定比例时，发送告警通知。 通知等级 选择触发通知的流量等级，当流量达到采购流量的该比例时，触发告警通知。 在下拉框中选择触发通知的流量占比等级，可选择“70%”、“80%”、“90%”。 例如：选择“80%”，那么当所用流量/购买流量80%时，发送告警通知。 通知时间 选择通知的时间段。 触发条件 一天一次。 通知群组 单击下拉列表选择已创建的主题，用于配置接收告警通知的终端。 5. 单击“确认”，完成通知项设置。 6. 确认信息无误后，在“流量超额预警”所在行的“生效状态”列，单击,开启流量超额预警通知。 EIP未防护告警 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“系统管理> 告警通知”，进入“告警通知”页面。 5. 在“EIP未防护告警”所在行的“操作”列，单击“编辑”,设置通知项参数，参数说明如下表所示。 参数名称 参数说明 通知项说明 当前账号存在未开启防护的EIP时，发送告警通知。 通知时间 选择通知的时间段。 触发条件 一天一次。 通知群组 单击下拉列表选择已创建的主题，用于配置接收告警通知的终端。 6. 单击“确认”，完成通知项设置。 7. 确认信息无误后，在“EIP未防护告警”所在行的“生效状态”列，单击，开启EIP防护通知。

操作场景 用户在不删除现有节点的情况下，将工作负载迁移到新的节点上。迁移流程如下图所示。 约束与限制 现有节点和工作负载待迁移的节点必须在同一集群。 当前仅支持在Kubernetes v1.13.10及以后集群版本执行此操作。 默认节点池DefaultPool不支持修改配置。 原有节点在默认节点池 步骤 1 创建新的节点。 1. 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 2. 在集群选择框中，选择现有节点所属的集群。 3. 单击“创建节点池”，设置节点池如下参数，其他参数根据需要进行修改，参数说明请参见节点池管理>创建节点池。 a. 节点池名称：新建节点池的名称，例如nodepooldemo。 b. 节点购买数量：本例添加一个节点。 c. 节点规格：请根据业务需求选择相应的节点规格。 d. 操作系统：选择节点对应的操作系统。 e. 登录方式：支持密码和密钥对。 选择“密码”：用户名默认为“root”，请输入登录节点的密码，并确认密码。 登录节点时需要使用该密码，请妥善管理密码，系统无法获取您设置的密码内容。 选择“密钥对”：在选项框中选择用于登录本节点的密钥对，并单击勾选确认信息。 密钥对用于远程登录节点时的身份认证。若没有密钥对，可单击选项框右侧的“创建密钥对”来新建。 4. 单击“下一步：配置确认”。确认节点池配置后，单击“提交”。 单击“返回节点池管理”返回节点池列表。在节点列表中可查看到新建节点池已创建，且状态为“正常”。 步骤 2 单击节点池名称，在节点列表中可查看到新建节点的IP地址。 步骤 3 安装配置kubectl。 1. 在左侧导航栏中选择“资源管理 > 集群管理”，单击现有节点所在集群下的“命令行工具 > kubectl”。 2. 在集群详情页中的“kubectl”页签下，请参照界面中的提示信息完成集群连接。 步骤 4 迁移工作负载。 1. 给需要迁移工作负载的节点打上Taint（污点）。 kubectl taint node [node] keyvalue:[effect] 其中，[node]为待迁移工作负载所在节点的IP；[effect]取值为NoSchedule、PreferNoSchedule或NoExecute，此处必须设置为NoSchedule。 − NoSchedule：一定不能被调度。 − PreferNoSchedule：尽量不要调度。 − NoExecute：不仅不会调度，还会驱逐Node上已有的Pod。 说明： 若需要重新设置污点时，可执行kubectl taint node [node] key:[effect]命令去除污点。 2. 安全驱逐节点上的工作负载。 kubectl drain [node] 其中，[node]为待转移工作负载所在节点的IP。 3. 在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”。在工作负载列表中，待迁移工作负载的状态由“运行中”变为“未就绪”。工作负载状态再次变为“运行中”，表示迁移成功。 说明： 迁移工作负载时，若工作负载配置了节点亲和性，则工作负载会一直提示“未就绪”等异常情况。请单击工作负载名称进入到负载详情页，在选择“调度策略”页签，删除原节点的亲和性配置，并单击“简易调度策略”配置新的节点亲和性和反亲和性策略，详情请参见“亲和反亲和调度>简易调度策略”。 工作负载迁移成功后，在工作负载详情页的“实例列表”页签，可查看到工作负载状已迁移到步骤1中所创建的节点上。 步骤 5 删除原有节点。 工作负载迁移成功且运行正常后，即可在“资源管理 > 节点管理”中删除原有节点。 原有节点不在默认节点池 步骤 1 拷贝节点池并添加节点。 1. 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 2. 在集群选择框中，选择现有节点所属的集群。 在节点池列表中，查找到原有节点所在的节点池。 3. 单击该节点池名称后的“更多 > 拷贝”，在“创建节点池”页面下设置如下参数，其他参数根据需要进行修改，参数说明请参见“节点管理>创建节点池”。 − 节点池名称：新建节点池的名称，例如nodepooldemo。 − 节点购买数量：本例添加一个节点。 − 节点规格：请根据业务需求选择相应的节点规格。 − 操作系统：选择节点对应的操作系统。 − 登录方式：支持密码和密钥对。 选择“密码”：用户名默认为“root”，请输入登录节点的密码，并确认密码。 登录节点时需要使用该密码，请妥善管理密码，系统无法获取您设置的密码内容。 选择“密钥对”：在选项框中选择用于登录本节点的密钥对，并单击勾选确认信息。 密钥对用于远程登录节点时的身份认证。若没有密钥对，可单击选项框右侧的“创建密钥对”来新建。 4. 单击“下一步：配置确认”。确认节点池配置后，单击“提交”。 单击“返回节点池管理”返回节点池列表。在节点列表中可查看到新建节点池已创建，且状态为“正常”。 步骤 2 单击节点池名称，在节点列表中可查看到新建节点的IP地址。 步骤 3 迁移工作负载。 1. 单击节点池nodepooldemo后的“编辑”配置Taints参数。 2. 单击“Add Taint”，输入Key和Value值，Effect选项有NoSchedule、PreferNoSchedule或NoExecute，此处必须选择“NoExecute”。 − NoSchedule：一定不能被调度。 − PreferNoSchedule：尽量不要调度。 − NoExecute：不仅不会调度，还会驱逐Node上已有的Pod。 说明： 若需要重新设置污点时，可执行kubectl taint node [node] key:[effect]命令去除污点。 3. 单击“保存”。 4. 在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”。在工作负载列表中，待迁移工作负载的状态由“运行中”变为“未就绪”。工作负载状态再次变为“运行中”，表示迁移成功。 说明： 迁移工作负载时，若工作负载配置了节点亲和性，则工作负载会一直提示“未就绪”等异常情况。请单击工作负载名称进入到负载详情页，在选择“调度策略”页签，删除原节点的亲和性配置，并单击“简易调度策略”配置新的节点亲和性和反亲和性策略，详情请参见“亲和反亲和调度>简易调度策略”。 工作负载迁移成功后，在工作负载详情页的“Pods”页签，可查看到工作负载状已迁移到步骤1中所创建的节点上。 步骤 4 删除原有节点。 工作负载迁移成功且运行正常后，即可在“资源管理 > 节点池管理”中删除原有节点。

本节主要介绍通过公网连接TaurusDB实例。 TaurusDB实例提供Linux操作系统和Windows操作系统连接实例的方法。 Linux操作系统下使用MySQL客户端连接实例，并且提供SSL连接（推荐）和非SSL连接两种连接方式。其中，SSL连接实现了数据加密功能，具有更高的安全性。 Windows操作系统下使用MySQLFront客户端连接实例。 操作场景 通过公网连接TaurusDB实例的场景如下： VPC中的TaurusDB实例被不同VPC中的弹性云主机访问。 VPC中的TaurusDB实例被公共网络中的服务器访问。 前提条件 1. 创建并登录弹性云主机。 2. 绑定弹性IP并设置安全组规则 。 1. 对目标实例绑定弹性IP。关于如何绑定弹性IP，请参见绑定弹性IP。 2. 获取本地设备的IP地址。 3. 设置安全组规则。将2中获取的IP地址及目标实例的端口加入安全组允许访问的范围中。关于如何设置安全组规则，请参见设置安全组规则章节。 4. 使用ping命令连通1中绑定的弹性IP地址，确保本地设备可以访问该弹性IP地址。 3. 在准备的弹性云主机上安装客户端 。 Linux操作系统中，您需要在弹性云主机上安装MySQL客户端。建议您下载的MySQL客户端版本高于已创建的TaurusDB实例中数据库版本。 如何获取相应安装包及完成安装，请参见如何安装MySQL客户端。 Windows操作系统中，您可以使用任何通用的数据库客户端连接到TaurusDB实例且连接方法类似。 本章节以MySQLFront为例，描述Windows操作系统连接实例具体操作步骤，详情请参见使用MySQLFront连接实例。

流量趋势模块和流量分析页面展示的流量有什么区别？ 两个模块流量数据的统计方式不同： “总览”页面的“流量趋势”模块基于流量统计数据，数据信息实时更新；展示的内容为入方向流量、出方向流量、VPC间流量信息。 “流量分析”页面基于会话统计数据，在连接期间，数据不会上报，连接结束后才会上报。 入云流量：入云方向的会话。 出云流量：出云方向的会话。 VPC间访问：VPC间的会话。 如何获取攻击者的真实IP地址？ 流量经过反向代理后，源IP被转换为回源IP，此时如果受到外部攻击，CFW无法通过源IP获取到攻击者的真实IP地址，您可通过攻击事件日志中的XForwardedFor字段查询真实IP地址。 查看XForwardedFor 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航树中，选择“日志审计> 日志查询”。进入“攻击事件日志”页面，在对应事件的“操作”列，单击“详情”。 5. 在“详情”中，切换至“攻击payload”页签，获取XForwardedFor字段。 方法一：在“载荷内容”中查看XForwardedFor（从客户端到最后一个代理服务器的所有地址IP）。 方法二：复制“载荷内容”，通过Base64工具，获得解码结果： XForwardedFor：从客户端到最后一个代理服务器的所有地址IP。

本文主要介绍不使用SSL证书连接RabbitMQ实例。 RabbitMQ实例兼容开源协议，请参考RabbitMQ官网提供的不同语言的连接和使用向导：< 介绍VPC内访问与使用RabbitMQ方法，假设RabbitMQ客户端部署在弹性云主机上。 前提条件 参考创建实例章节创建RabbitMQ实例，并记录创建时输入的用户名和密码。 创建完成后，单击实例名称，查看并记录实例详情中的“连接地址”。 已创建弹性云主机，并且弹性云主机的VPC、子网、安全组与RabbitMQ实例的VPC、子网、安全组保持一致。 已完成JDK安装及环境变量配置。 命令模式连接实例 以下操作命令以Linux系统为例进行说明： 1、下载RabbitMQTutorial.zip示例工程代码。 2、解压RabbitMQTutorial.zip压缩包。 $ unzip RabbitMQTutorial.zip 3、进入RabbitMQTutorial目录，该目录下包含预编译好的jar文件。 $ cd RabbitMQTutorial 4、运行生产消息示例。 $ java cp .:rabbitmqtutorial.jar Send host port user password 其中，host表示RabbitMQ实例的连接地址，port为RabbitMQ实例的监听端口（默认为5672），user表示RabbitMQ用户名，password表示用户名对应的密码。 图1 运行生产消息示例 使用Ctrl+C命令退出。 5、运行消费消息示例。 $ java cp .:rabbitmqtutorial.jar Recv host port user password 其中，host表示RabbitMQ实例的连接地址，port为RabbitMQ实例的监听端口（默认为5672），user表示RabbitMQ用户名，password表示用户名对应的密码。 图2 运行消费消息示例 如需停止消费使用Ctrl+C命令退出。

参数 描述 数据流动方向 选择“入云”。 源数据库引擎 选择“MySQL”。 目标数据库引擎 选择“DWS”。 网络类型 此处以“VPC网络”为示例。目前支持可选“公网网络”、“VPC网络”和“VPN、专线网络”。 目标数据库实例 可用的DWS实例。 同步实例所在子网 请选择同步实例所在的子网。也可以单击“查看子网”，跳转至“网络控制台”查看实例所在子网帮助选择。默认值为当前所选数据库实例所在子网，请选择有可用IP地址的子网。为确保同步实例创建成功，仅显示已经开启DHCP的子网。 IP类型 选择迁移实例的IP类型，目前支持选择“IPv4”或“IPv4&IPv6双栈”。只有所选择的VPC及子网都开启了IPv6双栈功能，才能选择IP类型为“IPv4&IPv6双栈”。 同步模式 可选“全量+增量”、“全量”和“增量”三种模式，此处以“全量+增量”为示例。 全量+增量该模式为数据持续性实时同步，通过全量过程完成目标端数据库的初始化后，增量同步阶段通过解析日志等技术，将源端和目标端数据保持数据持续一致。、 说明 选择“全量+增量”同步模式，增量同步可以在全量同步完成的基础上实现数据的持续同步，无需中断业务，实现同步过程中源业务和数据库继续对外提供访问。 全量 该模式为数据库一次性同步，适用于可中断业务的数据库同步场景，全量同步将用户选择的数据库对象和数据一次性同步至目标端数据库。 增量 该模式通过解析日志等技术，将源端产生的增量数据持续同步至目标端数据库。

节点池迁移步骤 您可使用节点池拷贝功能，拷贝原有的Docker节点池，并将新节点池的容器引擎选择为Containerd，其余配置和原Docker节点池保持一致。 步骤 1 登录CCE控制台，单击集群名称进入集群。 步骤 2 在左侧选择“节点管理”，切换至“节点池”页签，并在需要拷贝的Docker节点池“操作”栏中，单击“更多 > 拷贝”。 步骤 3 在节点池配置页面中，选择容器引擎为Containerd，其余参数可根据需要进行调整，并完成节点池创建。 步骤 4 将创建完的Containerd节点池扩容至原Docker节点池的数量，并逐个删除Docker节点池中的节点。 推荐使用滚动的方式迁移，即扩容部分Containerd节点，再删除部分Docker节点，直至新的Containerd节点池中节点数量和原Docker节点池中节点数量一致。 说明 若您在原有Docker节点或节点池上部署的负载设置了对应的节点亲和性，则需要将负载的节点亲和性策略配置为的新Containerd节点或节点池。

操作场景 为方便对CCE集群中的kubernetes配置参数进行管理，提供了配置管理功能，通过该功能您可以对核心组件进行深度配置，更多信息请参见kubelet。 本文将介绍集群创建后对节点池的“配置管理”功能。 约束与限制 仅支持在v1.15及以上版本的集群中对节点池进行配置，V1.15以下版本不显示该功能。 默认节点池DefaultPool不支持修改该类配置。 操作步骤 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在集群选择框中，选择集群，可查看到当前集群下所有的节点池。 步骤 3 单击节点池名称后的“配置管理”。 步骤 4 在侧边栏滑出的“配置管理”窗口中，根据业务需求修改Kubernetes的参数值： 配置管理参数 组件 参数 详情 默认 修改限制 docker nativeumask execopt native.umask normal docker dockerbasesize storageopts dm.basesize 10G kubeproxy conntrackmin sysctl w net.nfconntrackmax 131072 支持在节点池生命周期中修改 kubeproxy conntracktcptimeoutclosewait sysctl w net.netfilter.nfconntracktcptimeoutclousewait 1h0m0s 支持在节点池生命周期中修改 kubelet cpumanagerpolicy cpumanagerpolicy none 支持在节点池生命周期中修改 kubelet kubeapiqps 与kubeapiserver通信的qps 100 支持在节点池生命周期中修改 kubelet kubeapiburst 与kubeapiserver通信的burst 100 支持在节点池生命周期中修改 kubelet maxpods kubelet管理的pod上限 110 支持在节点池生命周期中修改 kubelet withlocaldns 是否使用本地IP作为该节点的ClusterDNS false 支持在节点池生命周期中修改 kubelet allowedunsafesysctls 允许使用的不安全系统配置 [] 支持在节点池生命周期中修改 步骤 5 单击“确定”，完成配置操作。 编辑节点池 步骤 1 登录，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在集群选择框中，选择集群，可查看到当前集群下所有的节点池。 步骤 3 单击节点池名称后的“编辑”，在弹出的“编辑节点池”中，配置以下参数： 配置节点池参数 参数 参数说明 节点池名称 自定义节点池名称。 节点个数 请根据业务需求调整节点个数。 弹性扩缩容 默认不开启。 单击开启后，节点池将根据业务需求自动创建或删除节点池内的节点，参数设置如下： 节点数上限和节点数下限：您可设置节点数的上限和下限，保证节点数在合理的范围内伸缩。 优先级：该数值表示节点池之间进行弹性扩缩容的优先级，数值越大优先级越高，如设置为4的节点池比设置为1的节点池优先启动弹性伸缩。若多个节点池的值设置相同，如都设置为2，表示这几个节点池之间不分优先级，系统将按最小资源浪费原则进行伸缩。 弹性缩容冷却时间：请设置时间，单位为分钟。弹性缩容冷却时间是指当前节点池扩容出的节点多长时间不能被缩容。 为保证功能的正常使用，节点池开启弹性扩缩容功能后，请务必安装autoscaler。 Taints 默认为空。支持给该节点池扩容出来的节点加Taints来设置反亲和性，每个节点池最多配置10条Taints，每条Taints包含以下3个参数： −Key：必须以字母或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符；另外可以使用DNS子域作为前缀。 −Value：必须以字符或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符。 −Effect：只可选NoSchedule，PreferNoSchedule或NoExecute。 须知： Taints配置时需要配合Pod的toleration使用，否则可能导致扩容失败或者Pod无法调度到扩容节点。 K8S标签 K8S标签是附加到Kubernetes对象（比如Pods）上的键值对，旨在用于指定对用户有意义且相关的对象的标识属性，但不直接对核心系统有语义含义。 详细请参见Labels and Selectors。 删除节点池 删除节点池，会先删除节点池中的节点，节点删除后，原有节点上的工作负载实例会自动迁移至其他节点池的可用节点。如果工作负载实例具有特定的节点选择器，且如果集群中的其他节点均不符合标准，则工作负载实例可能仍处于无法安排的状态。 步骤 1 登录，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在集群选择框中，选择集群，可查看到当前集群下所有的节点池。 步骤 3 单击节点池名称后的“更多 > 删除”。 步骤 4 在弹出的“删除节点池”窗口中，请仔细阅读界面提示。 步骤 5 确定要对节点池进行删除操作后，请在输入框中输入DELETE并单击“是”，即可完成节点池的删除。 拷贝节点池 通过CCE控制台可以方便的拷贝现有节点池的配置，从而创建新的节点池。 步骤 1 登录，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在集群选择框中，选择集群，可查看到当前集群下所有的节点池。 步骤 3 单击节点池名称后的“更多 > 拷贝”。 步骤 4 在弹出的“创建节点池”窗口中，可以看到拷贝的节点池配置，您可以根据需要进行修改，确定配置后单击“下一步：配置确认”。 步骤 5 在“配置确认”步骤中再次确认规格并单击“提交”，即可完成节点池的拷贝并创建新的节点池。 迁移节点 您可以将同一个集群下某个节点池中的节点迁移到默认节点池（defaultpool）中，暂不支持将默认节点池（defaultpool）中的节点迁移到其他节点池中，也不支持将自定义节点池中的节点迁移到其他自定义节点池。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在集群选择框中，选择集群，可查看到当前集群下所有的节点池。 步骤 3 单击待迁移的节点池名称后的“更多 > 迁移”。 步骤 4 在弹出的“节点迁移”窗口中，选择目标节点池和待迁移节点。 说明： 迁移完成后，节点原有资源标签、K8S标签、Taints不受影响，并将为其打上未拥有的目标节点池的K8S标签、Taints。 步骤 5 单击“确定”，即可完成节点迁移。

本文介绍如何查看节点扫描结果。 扫描完成后，在节点列表中可以查看扫描结果。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“节点安全”，进入节点安全页面。 3. 节点状态列表上方，支持按照“节点名称”、“节点状态”、“防护状态”、“软件版本”、“软件名称”等进行筛选查询。系统默认筛选出节点类型为防御容器的节点。 节点列表参数说明如下： 参数 说明 节点名称 节点的名称。 IPv4地址 节点的IPv4地址。 IPv6地址 节点的IPv6地址。 集群 节点所属集群的名称。 系统类型 节点的操作系统类型。 节点状态 指节点上防御容器的在线状态，分为已连接、未连接和已暂停三种状态。 节点类型 节点类型根据节点上运行的容器分为防御容器和扫描容器。 扫描状态 扫描状态分为待扫描、扫描中、已扫描、扫描失败这几种状态。 心跳时间 最近一次检查节点在线状态的时间。

发布V2版本应用 创建consumerv2和providerv2应用实例，并发布。创建应用实例时，需要勾选上开启微服务治理中心，并且关联上面步骤中创建的泳道。 开启泳道并查看全链路灰度是否生效 1. 开启泳道 在左侧导航栏，服务治理 > 全链路流量控制。 在泳道列表操作栏，点击开启。 2. 查看全链路灰度是否生效 进入gateway应用终端，通过curl命令访问网关，curl podip:27180/nacos/consumer/callProvider?version2。 根据返回的ip息可以看到，参数version为2时，返回的是providerv2的pod IP，传其它值的时候返回的是providerv1的pod IP传任何值。