本文简述天翼云全站加速的权限管理配置平台及具体操作方法。 背景说明 一般情况下，客户只需一个天翼云账号即可管理在天翼云上购买的全站加速资源。如果存在需要为企业内部的员工设置不同的访问权限，以达到不同员工之间权限隔离的效果，则可以使用天翼云CDN+统一身份认证服务（CDN+ Identity and Access Management，简称CDN+IAM）进行精细的权限管理。本文主要介绍相关操作步骤。 操作步骤 步骤一：登录CDN+IAM平台 1、平台登录入口：天翼云CDN+IAM。 2、进入账号登录界面，请单击【其他登录方式】里的第一个图标（如下图1），随即自动跳转到天翼云账号登录界面（如下图2），输入官网账号和密码后，单击【登录】。 步骤二：创建工作区 工作区是一个租户的概念，在工作区里可以共享合作，可实现团队管理，角色管理，子用户管理等操作。 完成登录CDN+IAM平台后，系统已为您创建了一个系统内置工作区。 若没有系统内置工作区，您可以自行创建工作区。操作方式为在界面右上角，单击【新增】。 工作区生成后，您可以直接单击【系统内置工作区】进入工作区，该工作区的所有者是您。

如何通过安全组控制使VPN不能访问VPC上的部分虚拟机，实现安全隔离？ 如果用户需要控制VPN站点只能访问VPC的部分网段或者部分主机，可以通过安全组进行控制。 配置示例 不允许客户侧的子网192.168.1.0/24访问VPC内子网10.1.0.0/24下的ECS。 配置方法 1. 创建两个安全组：安全组1和安全组2。 2. 安全组1的入方向规则配置deny网段192.168.1.0/24。 3. 安全组2允许192.168.1.0/24访问。 4. 网段10.1.0.0/24的ECS选择安全组1，其他的主机选择安全组2。 修改VPN连接的配置会造成连接重建吗？ VPN连接包含本端子网、对端子网、对端网关、预共享密钥、IKE协商策略、IPsec协商策略。修改VPN连接具体包括以下几种情况： 修改本端子网和对端子网，连接ID不发生变化，只是更新了连接两端的子网信息，如果更新的是部分子网信息，已经建立的子网间隧道不会重建。 修改对端网关IP，连接ID不发生变化，但连接的对端已改变，连接需要重建。 仅修改连接的预共享密钥，连接的ID不发生变化，连接状态当时并不发生改变，重协商会重新校验密钥匹配情况，如果密钥不匹配重协商会失败。 修改协商策略（需验证预共享密钥），连接ID发生改变，相当于连接删除重建过程，连接需要重建。 云对接AWS后，为何不可以从AWS向云发起协商？ VPN建立连接完成后，AWS为Response模式，并不主动发起协商，当从AWS的EC2向云ECS发起数据流时，也不触发该VPN建立SA。 请按照AWS的知识文档，只能从客户侧（即对接AWS的云）发起协商。

本章节主要介绍创建前准备 在创建实例之前，请先根据您的实际业务需要，明确实例创建需求，完成以下工作： 1.确定缓存实例版本。 不同的Redis版本，特性会不同，可参考不同Redis版本支持的特性差异说明。 2.确定缓存类型，即实例架构。 确定缓存类型后，需要明确实例架构，当前支持的实例架构有单机、主备、Proxy集群和Cluster集群。实例规格特点和架构，可参考实例类型。 3. 确定实例规格。 确定实例架构后，需要明确实例规格大小。实例支持的连接数和带宽，可参考产品规格。 4. 确定选择的区域以及实例是否跨可用区部署。 选择的区域，建议选择接近您应用程序的区域，减少网络延时。 一个区域对应多个可用区（AZ），当前DCS支持将主备实例/读写分离实例/集群实例部署在不同的AZ内，节点间电力与网络均物理隔离。您可以将应用程序也进行跨AZ部署，从而达到数据与应用全部高可用。 说明 当主备、读写分离或者集群Redis实例进行跨可用区部署时，如果其中一个可用区故障，另一个可用区的节点不受影响。备节点会自动升级为主节点，对外提供服务，从而提供更高的容灾能力。 由于实例跨可用区部署时网络访问效率略低于部署在同一可用区内，因此Redis实例跨可用区部署时，主备节点之间同步效率会略有降低。 5.确定实例是否配置备份策略。 当前只有主备和集群实例支持配置备份恢复策略。关于备份恢复，可参考备份与恢复说明。

操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表。 3. 选择对应实例，点击批量标签>解绑标签按钮。 4. 弹出框显示已选择的实例资源，选择对应标签，点击解绑按钮即可批量解绑标签。 修改标签 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表。 3. 光标悬浮至对应实例的标签列图标，点击编辑按钮，会显示弹出框。 4. 在弹出框中，修改对应的标签键值对，点击修改按钮即可完成修改。 解绑标签 解绑标签操作会解绑对应标签与实例的关联关系，但不会删除对应标签，在选择标签时依然可见该标签。 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表。 3. 光标悬浮至对应实例的标签列图标，点击编辑按钮，会显示弹出框。 4. 在弹出框中，点击解绑按钮即可解绑对应的标签键值。 一键解绑标签

产品 日志类型 云堡垒机（原生版）企业版 云堡垒机（原生版）资产登录 云堡垒机（原生版）企业版 云堡垒机（原生版）资产登出 云堡垒机（原生版）企业版 云堡垒机（原生版）剪切板操作 云堡垒机（原生版）企业版 云堡垒机（原生版）字符命令 云堡垒机（原生版）企业版 云堡垒机（原生版）文件操作 云堡垒机（原生版）企业版 云堡垒机（原生版）键盘操作 云堡垒机（原生版）企业版 云堡垒机（原生版）平台登录 云堡垒机（原生版）企业版 云堡垒机（原生版）平台登出 云堡垒机（原生版）企业版 云堡垒机（原生版）平台操作 云堡垒机（原生版）企业版 云堡垒机（原生版）数据库操作 服务器安全卫士（原生版） 服务器安全卫士（原生版）漏洞信息 服务器安全卫士（原生版） 服务器安全卫士（原生版）弱口令 服务器安全卫士（原生版） 服务器安全卫士（原生版）告警日志 数据库审计 数据库审计告警日志 云等保专区v1.0 云等保专区数据库审计 云等保专区v1.0 云等保专区主机安全 云等保专区v1.0 云等保专区下一代防火墙 云等保专区v1.0 云等保专区堡垒机 云等保专区v1.0 云等保专区Web应用防火墙 Web应用防火墙（原生版） Web应用防火墙（原生版）告警日志 云防火墙（原生版） 云防火墙（原生版）威胁日志

前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通套餐为体验版及以上版本，支持使用规则防护引擎功能 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 在左侧导航栏中选择【域名管理】—【域名列表】，选择您要防护的域名，单击操作列【安全防护】 3. 进入【域名规则】页面 配置说明 开启或者关闭单条规则 1、登录web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入域名规则配置页面； 2、在“域名规则”页签内，可基于域名实现对单条规则的开启与关闭； 相关文档 添加服务域名 安全基础配置

功能集 功能 功能描述 应用生命周期管理 创建/部署/更新/查看/启动/停止/删除应用 创建/部署/更新/查看/启动/停止/删除应用。 高级设置 设置启动命令 CAE 会根据预设的启动参数来启动容器 高级设置 设置环境变量 应用在系统中运行更需要配置特定的环境变量 高级设置 设置 Hosts 绑定 CAE 支持应用级别的实例，通过绑定 Hosts 对主机名进行解析，方便应用实例通过主机名进行访问 高级设置 设置持久化日志 CAE 集成了云日志服务的日志收集功能，支持将业务文件日志（容器内日志文件）、容器标准输出日志（stdio）无限制行数地收集至 ALS，便于您聚合分析。 高级设置 设置 NAS 存储 将 NAS 挂载至 CAE 应用实例，可以有效解决应用数据地持久化存储需求，并实现应用实例之间地数据共享 高级设置 设置 OSS 存储 OSS 适用于读多写少地场景，例如挂载配置文件或者前端静态文件等 高级设置 设置应用生命周期管理 如果您精通 K8s，且需要在应用容器启动前或者关闭前执行相关操作，例如运行前部署资源或者停止前优雅下线应用，可以设置应用生命周期管理 高级设置 设置配置项 配置项能够将环境配置信息和容器镜像解耦，方便您修改应用配置 配置管理 配置项（ConfigMap） 配置项是一种存储应用所需配置信息地资源类型，它可以作为容器运行环境中的环境变量，便于应用部署后灵活变更容器配置，也可以通过挂载配置文件的方式向容器中注入配置信息 配置管理 保密字典（Secret） 保密字典是一种用于存储和管理密钥、证书等敏感信息的资源类型。为避免敏感数据暴露到镜像或应用与任务部署参数中，推荐您使用 CAE 命名空间级别的保密字典 弹性管理 手动扩缩 在应用的实例负载过高时以手动方式添加新应用实例，在应用闲置时减少应用实例，能够高效利用应用资源、降低成本 弹性管理 自动扩缩 在分布式应用管理中，弹性伸缩能够感知应用内各个实例的状态，并根据实例状态自动增加或减少实例数量，即扩容或缩容 版本管理 版本回退 应用修改配置并部署后，会自动生成一个基于时间点的应用版本，您可以查看对应时间点应用版本的配置，也可以操作版本回退到指定时间点的应用版本 应用访问 基于 ELB 实现应用公网及私网访问 在 CAE 中部署应用后，可以通过添加公网 ELB 实现公网访问应用，也可以添加私网 ELB 实现同 VPC 内私网访问应用 注册中心 CAE 内置注册中心 CAE 为用户提供免费的内置 Nacos 注册中心，在无需购买或自建注册中心的情况下即可部署微服务应用到 CAE 平台 注册中心 自建 Nacos 注册中心 CAE 支持使用自建 Nacos 注册中心实现服务的注册与发现功能 微服务治理 无损上线 在应用启动过程中，无损上线为应用提供服务延迟注册、服务就绪检查和服务小流量预热的保护能力 微服务治理 无损下线 在应用执行部署、停止、回滚、缩容和重置时，通过无损下线来保证应用正常关闭 微服务治理 金丝雀灰度 对于部署在 CAE 的 Spring Cloud 或 Dubbo 微服务应用，为了确保升级操作的安全性，您可以通过启用灰度发布（即金丝雀发布）的灰度规则进行小规模验证，验证通过后再全量升级 微服务治理 限流降级 CAE 支持使用微服务引擎 MSE 实现应用的限流降级，全面保障应用的可用性 运维管理 基础监控 CAE 对应用所运行设备的 CPU、负载、内存、网络和磁盘进行数据采集与分析，并以动态图的方式展示，方便实时、直观地了解应用所运行设备地状态 运维管理 应用监控 CAE 为多种语言和框架提供无侵入的应用监控能力 运维管理 一键启停 CAE 为应用提供了一键启停按钮，方便用户进行运维操作，同时还支持批量启停操作

本文主要介绍远程连接Linux云主机报错:read: Connection reset by peer如何处理。 问题现象 远程连接Linux云主机报错：read: Connection reset by peer 图 read: Connection reset by peer 可能原因 安全组未放通远程登录端口。 防火墙开启，且关闭了远程连接端口。 处理方法 针对此问题，我们推荐采用以下方式来排查： 检查安全组规则 −入方向：打开远程登录端口。默认使用的22端口。 −出方向：出方向规则为白名单（允许），放通出方向网络流量。 云主机防火墙添加端口例外 以Ubuntu操作系统为例： a.执行以下命令检查防火墙状态： sudo ufw status 回显信息如下： Status: active b.添加端口例外，以默认使用的22端口为例。 ufw allow 22 Rule added Rule added (v6) c.重新查看防火墙状态 Status: active To Action From 22 ALLOW Anywhere 22 (v6) ALLOW Anywhere (v6) 规则添加成功，重新测试远程连接云主机。

在路由的视角下 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 选择实例>实例详情>路由配置,，选择目标路由； 5. 路由详情>授权信息，选中需要解除授权的应用 > 批量接触授权 ; 在API的视角下 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 选择实例>实例详情 > API托管 > API列表，选择目标API； 5. API详情>授权信息，选中需要解除授权的应用 >批量接触授权 ; 在应用的视角下 解除对路由的授权 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 应用列表 ； 4. 选择目标应用>应用详情>已授权路由； 5. 勾选一个或多个进行批量移除授权，或者通过列表中移除授权按钮进行单个关系的移除； 批量解除 单个解除

服务测试功能可以让您在控制台填写调用参数、发起服务调用,并得到服务调用的结果 服务测试 在日常开发中，开发人员或测试人员需要临时调用线上服务来调试已经部署的服务或查询线上数据。服务测试功能可以让您在控制台填写调用参数、发起服务调用，并得到服务调用的结果。 登录微服务治理中心控制台，在左侧导航栏选择微服务治理中心>开发测试治理>服务测试，在测试列表可以查看已开启的微服务应用的相关信息，包括服务名称、应用名称、实例数量等。 选择需要测试的服务，点击测试，在选择测试方法面板中设置测试相关参数，包括调用IP、Path、请求方法、测试参数，然后单击执行，在结果区域查看测试是否成功。 参数说明： 参数 说明 调用IP 选中服务的提供者ip。 Path 方法请求路径。 请求方法 支持GET、POST、PUT和DELETE。 测试参数 方法请求携带的请求数据，包含headers和params。示例：{"headers": {"source":"inner"},"params": {"username":"test"}} GET：headers代表请求头、params代表请求参数。 POST：headers代表请求头、params代表请求体。 PUT：headers代表请求头、params代表请求体。 DELETE：headers代表请求头、params代表请求参数。

您可以登录微服务引擎控制台，根据实际业务需求为Nacos引擎创建新帐号或对该Nacos引擎下已创建的指定帐号进行管理操作。 新增帐号 根据实际业务需求创建新帐号，把合适的角色同帐号关联，使用该帐号的用户则具有对该Nacos引擎的相应的访问和操作权限。 步骤 1 登录微服务引擎控制台。 步骤 2 在左侧导航栏选择“注册配置中心”。 步骤 3 单击待操作的Nacos引擎。 步骤 4 在左侧导航栏选择“权限控制”。 步骤 5 在“帐号管理”页签，单击“新增帐号”，参考下表设置帐号参数。 参数名称 参数说明 帐号名称 输入新帐号名称。 说明 帐号创建后，帐号名称不可修改。 密码 输入帐号密码。 确认密码 再次输入帐号密码。 步骤 6 单击“确定”，完成新帐号创建。 重置密码 为安全考虑，您可通过控制台，重置帐号的密码。 步骤 1 登录微服务引擎控制台，在左侧导航栏选择“注册配置中心”。 步骤 2 单击待操作的Nacos引擎。 步骤 3 在左侧导航栏选择“权限控制”。 步骤 4 在“帐号管理”页签，单击待操作的帐号“操作”栏的“重置密码”。 步骤 5 输入新密码和确认密码，勾选“我已确认知晓”，单击“保存”，帐号密码重置成功。

性能增强，可靠性增强 控制面和数据面在社区版本基础上进行可靠性加固和性能优化。 多基础设施 提供免运维的托管控制面，提供全局统一的服务治理，灰度、安全和服务运行监控能力，并支持对支持容器和VM等多种基础设施的统一服务发现和管理。 协议扩展 社区通用的HTTP、gRPC、TCP、TLS外扩展对Dubbo协议的支持。 传统SDK集成 提供Spring Cloud、Dubbo等传统微服务SDK的集成解决方案，传统的微服务SDK开发的业务代码无需大的代码修改即可迁移到云原生的容器和网格运行环境上来。

本文向您介绍如何查看平台操作日志。 简介 天翼云边缘云WAF提供操作日志，用于您查看控制台的操作记录，支持查询、导出、删除操作记录。 前提条件 已开通Web应用防火墙（边缘云版） 操作指导 1. 登录Web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【操作日志】页面 2. 用户可以通过时间和操作人筛选

本节介绍如何手动续订WAF云SaaS型实例。 购买WAF云SaaS型实例后，在实例到期被删除前，您可以随时在WAF控制台为实例续费。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“云SAAS型”页签。 5. 单击“续订”，进入续订页面。 6. 在“续订”操作界面，根据使用需要调整续订周期。 7. 续订周期设置完成后，在页面下方确认支付费用，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。

本文将介绍Web应用防火墙（边缘云版）流量访问流程。 Web应用防火墙（边缘云版）的流量访问流程如下图所示： 流量访问流程主要分为以下几个步骤： 1. Web应用防火墙（边缘云版）把安全能力赋能在所有边缘节点，用户的访问流量可就近接入安全边缘节点。 2. 安全边缘节点(WAF防护引擎)会解析访问请求报文，根据防护规则判断访问请求是否为恶意请求。 3. 如果是恶意请求，防护节点会根据客户配置的策略进行处理，比如阻断请求直接响应拦截信息给请求客户端。 4. 如果是正常业务请求，安全边缘节点会通过智能调度系统将请求转发到客户源站。对于请求客户端来讲源站服务器是隐身的。

section49bbf3dd441b752d)。 3880 39576 包年订购折扣 针对一次性包年付费服务，包年优惠价格为1年8.5折，2年7折，3、4、5年5折。 优惠折扣 Web应用防火墙v2.0 SaaS版订购享受8折优惠。 说明 包年订购折扣与优惠折扣不能同享，取低者计算。 Web应用防火墙 v2.0 SaaS版 标准版域名扩展包 1个域名扩展包支持10个域名，其中支持添加1个主域名（备案的域名）。 600 6120 包年订购折扣 针对一次性包年付费服务，包年优惠价格为1年8.5折，2年7折，3、4、5年5折。 优惠折扣 Web应用防火墙v2.0 SaaS版订购享受8折优惠。 说明 包年订购折扣与优惠折扣不能同享，取低者计算。 Web应用防火墙 v2.0 SaaS版 标准版业务扩展包 一个业务扩展包包含1000QPS/个，最多支持30个业务扩展包，每增加一个业务扩展包，可增加50Mbps带宽弹性上限，100Mbps带宽保护上限。 1000 10200 包年订购折扣 针对一次性包年付费服务，包年优惠价格为1年8.5折，2年7折，3、4、5年5折。 优惠折扣 Web应用防火墙v2.0 SaaS版订购享受8折优惠。 说明 包年订购折扣与优惠折扣不能同享，取低者计算。 Web应用防火墙 v2.0 SaaS版 标准版规则扩展包 一个规则扩展包包含50条防护规则/域名，当前仅适用IP黑白名单防护模块。 70 714 包年订购折扣 针对一次性包年付费服务，包年优惠价格为1年8.5折，2年7折，3、4、5年5折。 优惠折扣 Web应用防火墙v2.0 SaaS版订购享受8折优惠。 说明 包年订购折扣与优惠折扣不能同享，取低者计算。 Web应用防火墙 v2.0独享版 单机版（1节点/实例） 支持01Gbps的业务防护，默认业务请求峰值3000QPS（200Mbs)，默认防护域名（不区分主域名、子域名）/IP（公网IP、私网IP）个数100个/实例，防护端口数最大支持65535个（常用端口除外），更多信息请参见[产品规格](

本文介绍了云防火墙（原生版）产品的流量日志功能。 约束条件 最多支持查看最近7天的日志。 流量日志将在网络会话连接断开后被上报。 查看日志列表 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“日志审计 > 流量日志”，进入流量日志页面。 3. 在页面上方切换防火墙实例。 4. 查询日志：该列表可根据命中时间、应用、协议、目的端口、动作、源IP地址、源端口、目的IP地址、方向进行筛选。 5. 流量日志列表包括发生时间、源IP地址、源端口、目的IP地址、目的端口、协议、应用、方向、动作、请求流字节数、请求流报文数、响应流字节数、响应流报文数、规则名。 流量日志参数说明 参数 说明 发生时间 流量日志上报的时间。 源IP地址 该条流量的源IP地址。 源端口 该条流量的源端口。 目的IP地址 访问的目的IP。 目的端口 该条流量的目的端口。 协议 该条流量的协议类型。 应用 该条流量所属应用。 方向 该条流量会话是入方向或是出方向。仅互联网边界防火墙有该参数。 动作 该条流量被拦截或放行。 请求流字节数 客户端发送到服务器的字节总数。 请求流报文数 客户端发送到服务器的数据包数量。 响应流字节数 服务器返回给客户端的总字节数。 响应流报文数 服务器返回给客户端的数据包数量。 规则名 该条流量匹配到的防护规则名称。

本文汇总了云等保专区各原子能力的常见应用场景，并提供详细的方案描述和操作指导。 原子能力名称 版本 最佳实践文档 主机安全 v1.0 主机勒索病毒有效防护 主机安全 v2.0 主机安全防护最佳实践 云上勒索病毒防护实践 弱口令安全最佳实践 漏洞扫描最佳实践 等级保护测评合规最佳实践 二类节点资产纳管最佳实践 Web应用防火墙 v1.0 Web应用防火墙高可用部署方案 Web应用防火墙 v2.0 WAF接入配置最佳实践 防护配置最佳实践 Web基础防护规则引擎配置最佳实践 CC攻击防护最佳实践 下一代防火墙 v1.0 下一代防火墙高可用部署方案 下一代防火墙 v2.0 IPv6切换方案 双向访问控制 SSL VPN远程拨入 堡垒机 v2.0 数据库运维实名审计 收敛资产运维暴露面 资产运维细粒度权限管控 数据库审计 v2.0 审计云上自建数据库 审计云数据库 日志审计 v2.0 程序定位日志采集异常 程序日志定位告警异常

参数 参数类型 说明 示例 下级对象 id Long id vrfName String 专线网关ID vrfId String 专线网关名字 vpcId String vpc id vpcName String vpc名称 vpcCidr String vpc的网段 subnets String 子网信息 remoteConnectIp String 远端互联IP remoteConnectIpv6 String 远端互联IPv6 protectStatus Boolean 防护状态false;true syncStatus String 同步状态 add, delete, unchanged firewallId String 防火墙id firewallEdition String 防火墙版本号 cdaId String 物理专线id cdaName String 物理专线名称 endpoint Object 终端节点 GwlbeInfoVo

编辑IP地址簿 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云防火墙（原生版）”，进入云防火墙（原生版）的“概览”页面。 4. 在左侧导航栏，选择“设置中心 > 地址簿管理”，进入“地址簿管理”页面。 5. 找到目标地址簿，单击目标地址簿操作列的“详情”。 6. 在详情页面可以查看地址簿“基本信息”和IP地址列表。 添加IP地址 在IP地址列表上方，单击“添加”，弹出添加IP地址页面，添加IP地址后，单击“确认”，完成添加操作。 编辑IP地址 在IP地址列表的操作列，单击“编辑”，修改IP地址。 删除IP地址 在IP地址列表的操作列，单击“删除”，删除IP地址。 删除IP地址簿 注意 使用中的地址簿无法删除，删除地址簿前请先从防护规则中移除地址簿。 删除地址簿后无法恢复，请谨慎操作。 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云防火墙（原生版）”，进入云防火墙（原生版）的“概览”页面。 4. 在左侧导航栏，选择“设置中心 > 地址簿管理”，进入“地址簿管理”页面。 5. 找到需要删除的地址簿，单击目标地址簿操作列的“删除”。 6. 在弹出的确认框中，单击“确定”，完成删除。

Linux云主机无法访问外网怎么办？ 当Linux云主机状态正常，但是无法访问外网时，我们可以通过以下步骤进行排查： 1. 查看云主机是否负载过高 可以通过云监控查看云主机负载情况，您可以创建告警任务，当CPU或带宽利用率高时，系统会自动发送告警给您。 如果确定云主机负载过高，可以使用进程管理查找负载过大的进程，终止过高负载的进程，再尝试进行访问外网。 2. 查看云主机的安全组设置 检查弹性云主机安全组是否有配置错误，安全组出方向规则为允许，放行出方向网络流量。 3. 查看VPC的网络ACL设置 查看云主机对应的子网是否关联了网络ACL。单击子网名称查看网络ACL的信息。点击ACL名称，进入修改ACL规则，或者将子网内的ACL删除。 4. 检查云主机的防火墙设置 查看Linux弹性云主机防火墙状态，禁用后检查是否可以连通网络。 使用以下命令查看防火墙状态。 plaintext firewallcmd –state 如果回显是running，即防火墙开启，使用以下命令关闭防火墙 plaintext systemctl stop firewalld.service 再次尝试访问公网。 5. 使用Ping命令检查网关通信是否正常 使用ping命令检查云主机与网关通信是否正常。如果可以ping通就是其他原因，无法ping通需查看DNS设置情况。 如果上述排查都没能成功访问公网，请提交工单，联系技术支持人员帮助解决。

天翼云提供统一身份认证(Identity and Access Management,简称IAM)服务,是提供用户进行权限管理的基础服务,可以帮助您安全的控制云服务和资源的访问及操作权限。 您通过IAM服务定义企业项目、创建子用户，轻松实现IAM子用户对KMS资源的访问控制、权限分配等。 说明 IAM 权限作用于KMS产品控制台的功能访问以及KMS服务的OpenAPI接口调用。 权限管理 默认情况下，主账号创建的IAM用户没有任何权限，需要将其加入特定的用户组，并给用户组授予KMS产品的权限策略（包括系统策略和自定义策略），授权后IAM用户就能获得策略中定义的KMS产品的使用权限。 KMS产品支持企业项目管理，若您需要对KMS服务中的资源进行分组和管理，形成逻辑隔离，您可以创建企业项目，并将资源划分至不同的企业项目中，不同的企业项目可以绑定不同的用户组，并给用户组授予KMS产品的权限策略（包括系统策略和自定义策略），从而实现对特定资源的授权。 权限配置 IAM权限管理：进入天翼云IAM权限配置界面，可以进行IAM用户及用户组的创建，并在用户组列表中点击“授权”，为用户组添加KMS产品对应的权限策略。KMS权限策略分为系统策略和自定义策略，系统策略默认提供，您也可以在“策略管理”界面创建自定义策略。用户组授权记录均可在“授权管理”界面查看并管理。 企业项目管理：进入天翼云IAM权限 配置界面，在“企业项目”界面可以创建并管理企业项目，创建企业项目后可进行资源的迁入迁出，绑定用户组，并给用户组授予KMS产品的权限策略（包括系统策略和自定义策略）。

本文介绍常见的安全组配置示例。 当您在VPC子网内创建实例（云主机、云容器、云数据库等）时，您可以使用系统提供的默认安全组default，您也可以创建其他安全组。无论是默认安全组，还是您创建的安全组，您均可以在安全组内设置出方向和入方向规则，以此控制出入实例的流量。 使用须知 在配置安全组规则之前，您需要先了解以下信息： 不同安全组之间的实例默认网络隔离，无法互相访问。 安全组默认拒绝所有来自外部的请求，即本安全组内的实例网络互通，外部无法访问安全组内的实例。您需要遵循白名单原则添加安全组入方向规则，允许来自外部的特定请求访问安全组内的实例。 安全组入方向规则的源地址设置为0.0.0.0/0或::/0，表示允许或拒绝所有外部IP地址访问您的实例，如果将“22、3389、8848”等高危端口暴露到公网，可能导致网络入侵，造成业务中断、数据泄露或数据勒索等严重后果。建议您将安全组规则设置为仅允许已知的IP地址访问。 安全组的出方向规则一般默认全部放通，即允许安全组内的实例访问外部。如果出方向规则被删除，将会导致安全组内实例无法正常访问外部，您可以参考下表重新添加配置。 方向 优先级 策略 类型 协议端口 目的地址 描述 出方向 1 允许 IPv4 全部 0.0.0.0/0 针对全部IPv4协议，允许安全组内的实例可访问外部任意IP和端口。 出方向 1 允许 IPv6 全部 ::/0 针对全部IPv6协议，允许安全组内的实例可访问外部任意IP和端口。

剧本和流程的关系 联系：剧本提供了安全运营的指导和规则，而流程则负责将这些规则转化为具体的执行步骤和操作。剧本和流程相互依赖，剧本指导流程的执行，而流程则实现了剧本的意图和要求。 区别：剧本和流程之间也存在一定的区别。首先，剧本更侧重于定义和描述安全运营的流程和规程，它关注的是整体的框架和策略；而流程则更侧重于具体的操作和执行步骤，它关注的是如何将剧本中的要求转化为实际的行动。其次，剧本具有较大的灵活性和可扩展性，可以根据需要进行修改和扩展；而流程则相对固定，一旦设计完成，就需要按照规定的步骤执行。 示例：以一个具体的网络安全事件响应案例为例，当组织遭受到一次网络攻击时，安全编排系统会首先根据预设的剧本识别出攻击的类型和严重程度。然后，系统会根据剧本中定义的流程，自动触发相应的安全措施，如隔离被攻击的系统、收集攻击数据、通知安全团队等。在这个过程中，剧本和流程紧密配合，确保安全响应的准确性和及时性。 插件管理 插件：是包含函数、连接器、公共库的聚合。插件有自定义插件和商业插件两种类型，其中，自定义的插件可以在集市中显示，也可以在剧本中使用。 插件集：是具有相同业务场景的插件集合。 函数：是可以在剧本中选用的执行函数，在剧本中执行特定的行为。 连接器：是用于连接数据源，将告警、事件等安全数据接入态势感知（专业版），包括事件触发和定时触发两种连接器类型。 公共库：是一个公共模块，包含在其他组件中会使用到的API调用和公共函数。

用户还可以对已创建的防火墙规则进行修改，以满足实际业务需求。本文为您介绍具体操作步骤。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击控制中心顶部的，选择资源所在地，此例我们选择上海36。 3. 单击左侧导航栏“产品服务列表”，选择“计算>轻量型云主机”。 4. 进入轻量型云主机列表界面，单击目标主机“实例名称”进入目标主机详情页。 5. 单击“防火墙”页签，可以看到当前轻量型云主机的防火墙信息。 6. 在目标规则单击“修改”，弹出规则修改弹窗。用户根据需求对IP版本、方向、授权策略、协议、端口、源地址等配置参数进行修改。 7. 单击“确认”，完成规则修改功能。

本文介绍了云防火墙（原生版）产品的入侵防御日志功能。 约束条件 最多支持查看最近7天的日志。 查看日志列表 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“日志审计 > 入侵防御日志”，进入入侵防御日志页面。 3. 在页面上方切换防火墙实例。 4. 查询日志：该列表可根据命中时间、应用、攻击类型、攻击等级、判断来源、目的IP地址、源IP地址、方向进行筛选。 5. 入侵防御日志列表包括发生时间、源IP地址、源端口、目的IP地址、目的端口、应用、攻击类型、等级、命中规则ID、命中规则名称、判断来源、方向和防御状态。 导出日志 说明 最多支持导出10000条数据。 单击“导出”，可以将查询列表中的日志记录导出为csv格式。

本文介绍了云防火墙（原生版）产品的病毒防护日志功能。 约束条件 最多支持查看最近7天的日志。 查看日志列表 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“日志审计 > 病毒防护日志”，进入病毒防护日志页面。 3. 在页面上方切换防火墙实例。 4. 查询日志：该列表可根据命中时间、应用、病毒名称、协议、MD5、动作、目的端口、目的IP地址、源端口、源IP地址进行筛选。 5. 病毒防护日志列表包括命中时间、源IP地址、源端口、目的IP地址、目的端口、协议、应用、动作、病毒名称、MD5。 导出日志 说明 最多支持导出10000条数据。 单击“导出”，可以将查询列表中的日志记录导出为csv格式。

参数类型 参数 说明 基础配置 计费模式 实例支持包周期和按需计费模式。 包周期：根据实例购买时长，一次性支付实例包周期费用。 按需计费：根据实际使用时长计费，按小时出账。 基础配置 订购周期 在包年包月模式下，您需要选择购买时长。 基础配置 当前区域 选择实例的所在区域。 不同区域的云服务产品之间内网互不相通。请就近选择靠近您业务的区域，可减少网络时延，提高访问速度。 基础配置 可用区 选择实例所在工作区域下关联的可用区。 支持多可用区部署，购买地域具备3个及以上可用区，需要勾选1个或3个，如果不足3个可用区，则根据地域可用区情况可购买1或2个。 网络配置 企业项目 企业项目提供统一的云资源管理能力，支持对项目及项目内的资源、成员进行管理。此处请根据用户的资源管理需求，选择云搜索实例的企业项目归属。仅支持选择用户有权限的企业项目。默认为default，如果没有可选项，请由主账号在统一身份认证处进行赋权。 网络配置 虚拟私有云 指定实例所在的虚拟专用网络（VPC），实现不同业务的网络隔离。如您没有合适的VPC，请前往创建虚拟私有云页面创建完成后，回当前页面刷新后选择。 网络配置 子网 实例使用子网实现与其他网络的隔离，并独享所有网络资源，以提高网络安全。 选择当前虚拟私有云下实例需要的子网。 网络配置 安全组 安全组为实例提供安全的网络访问控制策略。 为了顺利部署实例，我们将为您选择的安全组默认配置下述规则： 规则1（入方向）：允许远端198.19.128.0/20 以TCP协议访问端口165535 ，规则优先级为1。 规则2（入方向）：允许远端192.168.0.0/24（实际网段地址，以客户创建的VPC子网网段地址为准）以TCP协议访问端口165535，规则优先级为1。 规则3（出方向）：将允许出方向所有访问，规则优先级为100。 配置实例 实例名称 您可自定义实例名称，可输入的字符范围为长度为0~32个字符，只能包含数字、字母、中划线（）和下划线（），且必须以字母或数字开头。 配置实例 实例类型 云搜索服务支持Elasticsearch和OpenSearch两种组件。 配置实例 实例版本 选择所需的集群版本，支持的版本以页面可选项为准。 配置实例 实例密码设置 设置OpenSearch的管理员访问密码。 实例内账号和角色请登录Dashboards的进行设置。 配置实例 HTTPS设置 实例通信方式选择 开启HTTPS，访问实例将进行通讯加密，可以接入公网； 若关闭HTTPS访问，将使用HTTP协议与实例通信，无法保证数据安全性，HTTP协议模式下，实例不可接入公网。 该模式可以在实例开通后进入“运行中”状态时在安全设置功能中进行修改。 选购资源 实例节点数 实例中需要部署数据节点数，请以页面可下单数量上限为准。 选购资源 CPU架构 支持X86类型。 选购资源 节点规格 实例的节点规格，可按需选购，同一实例仅支持一种规格，请确认后下单。 选购资源 节点存储规格 选择存储类型，支持的类型可能随资源池不同有差异，请以页面可选的为准，性能参考。 选购资源 单节点存储量 您可根据业务数据容量评估，选购合适的单节点存储量，创建完成后，不支持缩容节点存储容量，请基于业务量合理选择容量。 选购资源 图形化访问节点规格 云搜索服务会默认为您开通一个小规格节点部署Dashboards和Cerebro组件。该节点正常计费。 选购资源 专属节点规格 您可根据需要选择是否在当前实例加装专属master、专属协调节点或冷数据节点，并选择节点规格，专属master和专属协调节点不支持调整存储空间。专属master限制3节点，专属协调节点和冷数据节点上限请以页面下单为准。 专属节点开通后不可删除，也可通过扩容功能加装。

参数类型 参数 说明 基础配置 计费模式 实例支持包周期和按需计费模式。 包周期：根据实例购买时长，一次性支付实例包周期费用。 按需计费：根据实际使用时长计费，按小时出账。 基础配置 订购周期 在包年包月模式下，您需要选择购买时长。 基础配置 当前区域 选择实例的所在区域。 不同区域的云服务产品之间内网互不相通。请就近选择靠近您业务的区域，可减少网络时延，提高访问速度。 基础配置 可用区 选择实例所在工作区域下关联的可用区。 支持多可用区部署，购买地域具备3个及以上可用区，需要勾选1个或3个，如果不足3个可用区，则根据地域可用区情况可购买1或2个。 网络配置 企业项目 企业项目提供统一的云资源管理能力，支持对项目及项目内的资源、成员进行管理。此处请根据用户的资源管理需求，选择云搜索实例的企业项目归属。仅支持选择用户有权限的企业项目。默认为default，如果没有可选项，请由主账号在统一身份认证处进行赋权。 网络配置 虚拟私有云 指定实例所在的虚拟专用网络（VPC），实现不同业务的网络隔离。如您没有合适的VPC，请前往创建虚拟私有云页面创建完成后，回当前页面刷新后选择。 网络配置 子网 实例使用子网实现与其他网络的隔离，并独享所有网络资源，以提高网络安全。 选择当前虚拟私有云下实例需要的子网。 网络配置 安全组 安全组为实例提供安全的网络访问控制策略。 为了顺利部署实例，我们将为您选择的安全组默认配置下述规则： 规则1（入方向）：允许远端198.19.128.0/20 以TCP协议访问端口165535 ，规则优先级为1。 规则2（入方向）：允许远端192.168.0.0/24（实际网段地址，以客户创建的VPC子网网段地址为准）以TCP协议访问端口165535，规则优先级为1。 规则3（出方向）：将允许出方向所有访问，规则优先级为100。 配置实例 实例名称 您可自定义实例名称，可输入的字符范围为长度为0~32个字符，只能包含数字、字母、中划线（）和下划线（），且必须以字母或数字开头。 配置实例 实例类型 云搜索服务支持Elasticsearch和OpenSearch两种组件。 配置实例 实例版本 选择所需的实例版本，支持的版本以页面可选项为准。 配置实例 实例密码设置 设置Elasticsearch的管理员访问密码。 实例内账号和角色请登录Kibana进行设置。 配置实例 HTTPS设置 实例通信方式选择： 开启HTTPS，访问实例将进行通讯加密，可以接入公网； 若关闭HTTPS访问，将使用HTTP协议与实例通信，无法保证数据安全性，HTTP协议模式下，实例不可接入公网。 该模式可以在实例开通后进入“运行中”状态时在安全设置功能中进行修改。 选购资源 实例节点数 实例中需要部署节点数，上限请以页面可下单数量为准。 选购资源 CPU架构 目前支持X86类型。 选购资源 节点规格 实例的节点规格，可按需选购，同一实例仅支持一种规格，请确认后下单。 选购资源 节点存储规格 选择存储类型，支持的类型可能随资源池不同有差异，请以页面可选的为准。 选购资源 单节点存储量 您可根据业务数据容量评估，选购合适的单节点存储量，创建完成后，不支持缩容节点存储容量，请基于业务量合理选择容量。 选购资源 图形化访问节点规格 云搜索服务会默认为您开通一个小规格节点部署Kibana、Cerebro节点。该节点正常计费。 选购资源 专属节点规格 您可根据需要选择是否在当前实例加装专属master、专属协调节点或冷数据节点，并选择节点规格，专属master和专属协调节点不支持调整存储空间。专属master限制3节点，专属协调节点和冷数据节点上限请以页面可下单数量为准。 专属节点开通后不可删除，也可通过扩容功能加装。

本章节介绍微服务治理中心资源标签管理功能 概述 资源标签是对资源的标识。资源标签在组件之间互通，用户可以实现对资源的统一管理，快速查找到同一特征标签下的资源。微服务治理中心支持用户对应用资源进行标签添加、标签绑定和解绑、标签删除以及标签应用查找。 功能入口 登录微服务治理控制台。 在控制台左侧栏选择应用治理。 在右侧应用卡片页面即可进行资源标签相关操作。 查看应用标签绑定信息 在应用治理页面的应用卡片页面，指针悬浮于应用右上角，查看该应用已绑定的标签。 编辑标签 在应用治理页面的应用卡片页面，指针悬浮于应用右上角，点击添加或编辑按钮，进入标签编辑页面。 绑定标签 点击添加标签，可以为应用绑定新增标签或已有标签。 绑定新增标签：在左侧输入框输入标签键，并选中，然后在右侧输入框输入标签值，点击确定，完成新增标签并为应用绑定此标签。 绑定已有标签：在左侧标签键输入框点击，选中已有标签键，在右侧标签值输入框选中标签值，点击确定，为应用绑定选中的标签。 注意 标签一旦添加即绑定应用。同一个应用不可重复添加同一标签，以标签键作区分。

概述 注册配置中心支持可视化的实例管理，便于用户统一管理。在实例开通完毕后，您可以在控制台查看实例状态，网络、节点等信息，也可以在必要时进行扩容和退订操作。本节主要介绍如何在控制台查看、管理注册配置中心实例。 前提条件 1. 已开通微服务引擎MSE注册配置中心实例，参考章节：创建Nacos实例； 2. 注册配置中心实例状态正常； 查看实例 1. 登录微服务引擎MSE注册配置中心管理控制台，选择资源池； 2. 在左侧导航栏，选择注册配置中心 > 实例列表； 3. 在实例列表页面，单击目标实例ID、实例名称或者目标行管理按钮均可跳转至实例基础信息页面，查看实例的基础信息和节点信息； 重启实例 MSE控制台页面支持重启实例和重启节点，可以根据业务需求进行选择。 实例滚动重启 1. 登录微服务引擎MSE注册配置中心管理控制台，选择资源池； 2. 在左侧导航栏，选择注册配置中心 > 实例列表； 3. 在实例列表页面，单击目标实例ID、实例名称或者目标行“管理”按钮均可跳转至实例基础信息页面； 4. 基础信息右上角点击重启实例，即可重启整个实例，多节点实例会滚动重启各个节点； 5. 进行实例重启操作后，页面会跳转到实例列表页面，在实例列表页面该实例的状态为“重启中”，点击状态旁边的小图标可以查看重启流程细节；

API流控规则 为网关应用配置网关流控规则后，微服务治理将从流量入口处拦截激增的流量，防止下游服务被压垮。这样做可以保证网络的稳定性和可靠性。 新建网关流控规则 1. 登录微服务治理控制台。 2. 在控制台左侧导航栏中选择网关治理。 3. 在网关治理页面的应用卡片页签单击目标网关卡片。 4. 在左侧导航栏选择网关防护 规则管理 API流控规则，在新增流控规则对话框中，配置流控规则。 5. 单击新增。新增的规则将出现在API流控规则页面。