天翼云云防火墙（原生版）服务等级协议

本页为您介绍与数据传输服务DTS有关的其他服务。 与天翼云传输服务相关的服务 与天翼云数据传输服务相关的服务，如下表： 服务名称 功能相关 参考文档链接 关系数据库MySQL版 DTS可支持关系数据库MySQL版进行迁移、同步操作，包括：MySQL到MySQL、PostgreSQL及ClickHouse的迁移，MySQL到MySQL的单向、双向同步。 关系数据库MySQL版 关系数据库PostgreSQL版 DTS可支持关系数据库PostgreSQL版进行迁移、同步操作，包括：PostgreSQL到PostgreSQL、MySQL的迁移，PostgreSQL到PostgreSQL的单向、双向同步。 关系数据库PostgreSQL版 关系数据库SQL Server版 DTS可支持关系数据库SQL Server版进行迁移、同步操作，包括：SQL Server到SQL Server、PostgreSQL的迁移，SQL Server到SQL Server的同步。 关系数据库SQL Server版 文档数据库（DDS） DTS可支持文档数据库（DDS）进行迁移、同步操作，包括：MongoDB/DDS 到MongoDB/DDS的迁移和同步。 文档数据库 云数据库ClickHouse DTS可支持将MySQL数据库迁移到ClickHouse。 云数据库ClickHouse 虚拟私有云 虚拟私有云，为云服务器、云容器、云数据库等云上资源构建隔离、私密的虚拟网络环境。 虚拟私有云 弹性IP 弹性IP是可以独立申请的公网IP地址，将弹性IP和DTS实例绑定，可使用DTS进行公网数据库迁移、同步。 弹性IP 数据管理服务 使用数据管理服务，通过专业优质的可视化操作界面，提高数据管理工作的效率和安全。 数据管理服务 云审计 对接云审计服务，对DTS关键操作记录提供收集、存储和查询功能，可用于支撑合规审计、安全分析、资源跟踪和问题定位等常见应用场景。 云审计 标签管理 对接标签管理，对DTS实例绑定标签，便于对实例进行查找与筛选，实现更快捷的管理。 标签管理

本章主要介绍控制台权限管理 创建用户并授权使用软件开发生产线控制台 如果您需要对您所拥有的软件开发生产线控制台进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用软件开发生产线资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将软件开发生产线资源委托给更专业、高效的其他帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用软件开发生产线的其它功能。 本章节为您介绍对用户授权的方法，操作流程如下图所示。 前提条件 给用户组授权之前，请您了解用户组可以添加的软件开发生产线控制台权限，并结合实际需求进行选择，软件开发生产线支持的系统权限，请参见“《软件开发生产线产品介绍》>权限管理”。 示例流程 给用户授予软件开发生产线控制台权限流程 1. 创建用户组并授权 在IAM控制台创建用户组，并授予软件开发生产线控制台只读权限“DevCloud Console ReadOnlyAccess”。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入上面1中创建的用户组。 3. 并验证权限 新创建的用户登录控制台，验证权限： 在“服务列表”中选择软件开发生产线，进入“总览”页面，单击基础版“立即购买”，尝试开通软件开发生产线，如果无法开通软件开发生产线（假设当前权限仅包含DevCloud Console ReadOnlyAccess），表示“DevCloud Console ReadOnlyAccess”已生效。 在“服务列表”中选择除软件开发生产线外（假设当前策略仅包含DevCloud Console ReadOnlyAccess）的任一服务，若提示权限不足，表示“DevCloud Console ReadOnlyAccess”已生效。

如何清理云主机或镜像文件所在虚拟机的网络规则文件？ 清理云主机或镜像文件所在虚拟机的网络规则文件可能会因不同的操作系统和网络规则配置而有所不同。以下是一般情况下的步骤： 注意 在进行任何系统文件的修改之前，请务必备份相关文件，以防意外情况导致系统故障。 Linux 操作系统操作步骤 对于基于 Linux 的操作系统，通常会使用类似 iptables 或 nftables 来管理网络规则。如果您想清理这些规则，可以按以下步骤操作： 1. 清除 iptables 规则： plaintext sudo iptables F sudo iptables X sudo iptables P INPUT ACCEPT sudo iptables P FORWARD ACCEPT sudo iptables P OUTPUT ACCEPT 2. 清除 nftables 规则（适用于使用 nftables 的系统）： plaintext sudo nft flush ruleset Windows 操作系统操作步骤 对于 Windows 操作系统，网络规则通常由 Windows 防火墙管理。您可以按照以下步骤来清除防火墙规则： 1. 打开 Windows 防火墙设置：在 Windows 搜索框中输入“Windows Defender 防火墙”并打开。 2. 在左侧面板中，选择“高级设置”。 3. 在左侧面板中，选择“入站规则”或“出站规则”，具体取决于您想要清理的规则。 4. 在右侧窗口中，找到您想要清理的规则，然后点击右键并选择“删除”。 如何配置IPv6地址？ 配置使用IPv6地址可以有效弥补IPv4网络地址资源有限的问题。如果当前云主机使用IPv4，那么启用IPv6后，云主机可在双栈模式下运行，即云主机可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址，这两个IP地址都可以进行内网/公网访问。

本章主要介绍控制台权限管理 创建用户并授权使用软件开发生产线控制台 如果您需要对您所拥有的软件开发生产线控制台进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用软件开发生产线资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将软件开发生产线资源委托给更专业、高效的其他帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用软件开发生产线的其它功能。 本章节为您介绍对用户授权的方法，操作流程如下图所示。 前提条件 给用户组授权之前，请您了解用户组可以添加的软件开发生产线控制台权限，并结合实际需求进行选择，软件开发生产线支持的系统权限，请参见“《软件开发生产线产品介绍》>权限管理”。 示例流程 给用户授予软件开发生产线控制台权限流程 1. 创建用户组并授权 在IAM控制台创建用户组，并授予软件开发生产线控制台只读权限“DevCloud Console ReadOnlyAccess”。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入上面1中创建的用户组。 3. 并验证权限 新创建的用户登录控制台，验证权限： 在“服务列表”中选择软件开发生产线，进入“总览”页面，单击基础版“立即购买”，尝试开通软件开发生产线，如果无法开通软件开发生产线（假设当前权限仅包含DevCloud Console ReadOnlyAccess），表示“DevCloud Console ReadOnlyAccess”已生效。 在“服务列表”中选择除软件开发生产线外（假设当前策略仅包含DevCloud Console ReadOnlyAccess）的任一服务，若提示权限不足，表示“DevCloud Console ReadOnlyAccess”已生效。

本章节主要向您介绍网络ACL配置示例。 网络ACL可以控制流入/流出子网的流量，当网络ACL和安全组同时存在时，流量先匹配网络ACL规则，然后匹配安全组规则。您可以灵活调整安全组的规则，并使用网络ACL作为子网的额外防护。以下为您提供了典型的网络ACL应用示例。 使用须知 在配置规则之前，请您先了解以下信息： 在网络ACL中，存在如下表所示的默认规则。当网络ACL中没有其他允许流量出入的自定义规则时，则匹配默认规则，拒绝任何流量流入或流出子网。 方向 生效顺序 策略 协议 源地址 源端口范围 目的地址 目的端口范围 入方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 出方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 您无需单独添加放通响应流量的规则，因为网络ACL是有状态的，允许响应流量流入/流出子网，不受规则限制。 拒绝外部访问子网内实例的指定端口 在本示例中，防止勒索病毒Wanna Cry对实例的攻击，因此隔离具有漏洞的应用端口，例如TCP 445端口。您可以为子网关联网络ACL，并添加对应入方向规则，如下表所示，其中目的地址10.0.0.0/24为需要防护的子网网段。 方向 生效顺序 类型 策略 协议 源地址 源端口范围 目的地址 目的端口范围 规则说明 入方向 1 IPv4 拒绝 TCP 0.0.0.0/0 全部 10.0.0.0/24 445 自定义规则01 入方向 2 IPv4 允许 全部 0.0.0.0/0 全部 10.0.0.0/24 全部 自定义规则02 入方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 默认规则 1. 网络ACL默认规则拒绝任何流量流入子网，因此需要先添加自定义规则02，放通入方向流量。 2. 添加自定义规则01，拒绝所有外部请求访问子网内实例的TCP 445端口。此时拒绝规则必须早于允许规则生效，因此需要将拒绝的规则插入到允许规则的前面。

本章节介绍了所依赖的资源及创建指导。 概述 在购买RocketMQ实例前，您需要提前准备相关依赖资源，包括虚拟私有云（Virtual Private Cloud，以下简称VPC）、子网和安全组，并配置安全组策略。每个RocketMQ实例都部署在某个VPC中，并绑定具体的子网和安全组，通过这样的方式为RocketMQ提供一个隔离的、用户自主配置和管理的虚拟网络环境以及安全保护策略，提升实例的安全性。 准备依赖资源 RocketMQ实例所需资源的具体要求和创建指导如表1所示。 表1 RocketMQ实例依赖资源 准备资源 要求 创建指导 VPC和子网 不同的RocketMQ实例可以重复使用相同的VPC和子网，也可以使用不同的VPC和子网，请根据实际需要进行配置。在创建VPC和子网时应注意如下要求：·创建的VPC与使用的分布式消息服务RocketMQ应在相同的区域。·创建VPC和子网时，如无特殊需求，配置参数使用默认配置即可。 创建VPC和子网的操作指导请参考创建虚拟私有云和子网，若需要在已有VPC上创建和使用新的子网，请参考为虚拟私有云创建新的子网。 安全组 不同的RocketMQ实例可以重复使用相同的安全组，也可以使用不同的安全组，请根据实际需要进行配置。在创建安全组时应注意如下要求：·创建安全组时，“模板”选择“自定义”。·创建安全组后，请保留系统默认添加的入方向“允许安全组内的弹性云服务器彼此通信”规则和出方向“放通全部流量”规则。·使用分布式消息服务RocketMQ必须添加表2所示安全组规则，其他规则请根据实际需要添加。 创建安全组的操作指导请参考创建安全组，为安全组添加规则的操作指导请参考添加安全组规则。 表2 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 8100 0.0.0.0/0 VPC内访问元数据节点的端口 入方向 TCP 8200 0.0.0.0/0 公网访问元数据节点的端口 入方向 TCP 1010010199 0.0.0.0/0 访问业务节点的端口

本文简述权限管理配置平台及具体操作方法。 背景说明 一般情况下，客户只需一个天翼云账号即可管理在天翼云上购买的DDoS高防（边缘云版）。如果存在需要为企业内部的员工设置不同的访问权限，以达到不同员工之间权限隔离的效果，则可以使用天翼云CDN+统一身份认证服务（CDN+ Identity and Access Management，简称CDN+IAM）进行精细的权限管理。本文主要介绍相关操作步骤。 操作步骤 步骤一：登录CDN+IAM平台 1、平台登录入口：天翼云CDN+IAM。 2、进入账号登录界面，请单击【其他登录方式】里的第一个图标（如下图1），随即自动跳转到天翼云账号登录界面（如下图2），输入官网账号和密码后，单击【登录】。 步骤二：创建工作区 工作区是一个租户的概念，在工作区里可以共享合作，可实现团队管理，角色管理，子用户管理等操作。 完成登录CDN+IAM平台后，系统已为您创建了一个系统内置工作区。 若没有系统内置工作区，您可以自行创建工作区。操作方式为在界面右上角，单击【新增】。 步骤三：创建用户组 为了让企业中的其他员工也可以访问DDoS高防（边缘云版）服务控制台，您可以创建用户组，子用户在工作区中创建，与工作区绑定。具体操作为：在【子用户管理】目录，单击【新增】，填写子用户相关基本信息后，单击【确定添加】，即可完成子用户新增。 完成创建子用户后，子用户可使用登录凭据和密码，登录：天翼云CDN+IAM。 说明 创建的子用户默认只有 CDN+IAM团队成员的权限，仅可以登录CDN+IAM和访问该工作区。如果您需要给子用户赋予更多的权限，则需要操作第四步。

访问控制日志 字段 类型 描述 ruleid string 触发规则的ID srcip string 源IP地址。 srcport string 源端口号。 dstip string 目的IP地址。 dstport string 目的端口号。 srcregionname string 源地区名称。 srcregionid string 源地区ID。 dstregionname string 目的地区名称。 dstregionid string 目的地区ID。 logtype string 日志类型。 internet：互联网边界流量日志 nat：NAT边界流量日志 vpc：VPC间流量日志 dsthost string 目的域名。 vsys long 防火墙防护方向。 1：南北向 2：东西向 protocol string 协议类型。 app string 应用类型。 direction string 流量方向。 out2in：入方向 in2out：出方向 action string 防火墙当前的响应动作。 permit：放行 deny：阻断 hittime long 访问发生的时间。 流量日志 字段 类型 描述 srcip string 源IP地址。 srcport string 源端口号。 dstip string 目的IP地址。 dstport string 目的端口号。 protocol string 协议类型。 app string 应用类型。 direction string 流量方向。 out2in：入方向 in2out：出方向 action string 防火墙当前的响应动作。 permit：放行 deny：阻断 srcregionname string 源地区名称。 srcregionid string 源地区ID。 srcvpc string 源IP地址所在VPC的ID dstregionname string 目的地区名称。 dstregionid string 目的地区ID。 dstvpc string 目的IP地址所在VPC的ID logtype string 日志类型。 internet：互联网边界流量日志 nat：NAT边界流量日志 vpc：VPC间流量日志 dsthost string 目的域名。 vsys long 防火墙防护方向。 1：南北向 2：东西向 hittime long 访问发生的时间。 tosbytes long 客户端向服务端发送的字节数。 tocbytes long 服务端向客户端发送的字节数。 tospkts long 客户端向服务端发送的报文数。 tocpkts long 服务端向客户端发送的报文数。 bytes long 防护流量的字节数。 packets long 防护流量的报文数。 starttime long 流开始时间 endtime long 流结束时间

按访问类型查看 在网络雷达图右侧的访问类型中，包含全部流量、正常流量、预发布流量、策略可视化。系统默认展示全部流量，单击其他类型即可切换查看不同类型的流量。 预发布流量指的是触发预发布策略的流量将会产生报警的情况。 查看命名空间之间的流量 系统默认隐藏命名空间之间的流量。点击网络雷达图右上方的视角切换按钮“命名空间”或“节点”，可清晰地了解到整个链路中跨命名空间和节点的访问信息。 查看历史访问流量 系统提供访问关系保留的功能，支持查看所选时间范围内的历史访问流量。支持选择的时间范围包括1小时、8小时、1天、7天、30天，可参照设置历史时间设置可选时间范围。 系统默认显示1小时内的访问流量，选择时间范围后，拓扑图中的访问连接关系将按选择的时间范围显示。 设置历史时间 1. 点击网络雷达图右上方的设置按钮。 2. 进入配置页面。支持选择1小时、8小时、1天、7天、30天的时间。 3. 单击“确定”，完成配置。 查看命名空间 单击某个命名空间内空白区域，即可查看该命名空间中工作负载的分布情况，包含工作负载名称、副本数、创建时间、工作负载个数（工作负载名称个数即为命名空间关联的工作负载个数）。 参数 说明 工作负载名称 命名空间关联的工作负载的名称。 副本数 该工作负载创建Pod副本的个数（由 replicas 字段标明）。 创建时间 该工作负载的创建时间。 查看工作负载 在工作负载的详情页面，可查看该工作负载的流量信息 、触发的隔离策略 、存在的风险信息 和工作负载其他基本信息。

本章介绍如何通过统一身份认证服务对主机迁移服务进行权限管理。 如果您需要对天翼云上的主机迁移服务 （Server Migration Service），给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制云服务资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并使用策略来控制对资源的访问范围。 如果天翼云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用SMS的其它功能。 SMS权限 默认情况下，天翼云账号（管理员账号拥有SMS迁移所需要的所有权限，使用管理员账号进行迁移时，不需要进行授权。）创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 SMS部署时不区分物理区域，为全局级服务。授权时，在全局项目中设置策略，访问SMS时，不需要切换区域。 如下表所示，包括了主机迁移服务 （SMS）的所有系统角色。由于天翼云各服务之间存在业务交互关系，主机迁移服务的角色依赖其他服务的角色实现功能。因此给用户主机迁移服务的角色时，需要同时授予依赖的角色，主机迁移服务的权限才能生效。 表 常用操作和系统策略的关系 操作 SMS FullAccess（全局项目） OBS OperateAccess（对象存储服务项目） ECS FullAccess VPC FullAccess 创建迁移任务 √ x √ √ 查看迁移进度 √ x x x IAM支持以下两种形式的策略： 系统策略：如果IAM用户需要拥有主机迁移服务(SMS)的所有操作权限，则为IAM用户授予系统策略。 自定义策略：如果IAM用户只需要拥有主机迁移服务(SMS)的部分操作权限，则采用自定义策略。

本节主要介绍通过编写模板创建虚拟私有云 本教程指导您通过 “编写模板” 创建弹性虚拟私有云。虚拟私有云可以为您的云上资源构建隔离的、用户自主配置和管理的虚拟网络环境。创建虚拟私有云时可以同时创建一个或多个子网。 本次教程完成后，在云服务器控制台中可查看到一个已创建好的虚拟私有云。 在本节中，您将完成以下步骤： 步骤一：编写模板，用yaml语言编写创建虚拟私有云和子网的模板。 步骤二：使用模板创建虚拟私有云和子网。 步骤三：清除资源，为了不影响其他虚拟私有云的使用，建议您删除堆栈，清理资源。 步骤一：编写模版 步骤 1 首先编写一个简单的模板创建虚拟私有云： toscadefinitionsversion: ctctoscaversion10 模板的版本信息 nodetemplates: 元素对象定义 myvpc: 虚拟私有云 type: CTC.VPC.VPC properties: name: myvpc 虚拟私有云的名称 cidr: '192.168.0.0/16' 虚拟私有云的网段 模板主要包括如下几部分： toscadefinitionsversion：用于标识模板的版本信息。当前AOS支持的版本为ctctoscaversion10。 nodetemplates：用于定义该模板中编排的元素对象集合，其中所有对象均为元素（可以是一个应用、一个云服务资源）。上述模板中nodetemplates定义了一个虚拟私有云myvpc。 type：用于指定编排对象的具体类型，来自元素类型列表，可设置为CTC.（为资源索引中元素名）。上述模板中定义的虚拟私有云myvpc为CTC.VPC.VPC类型。 properties：用于定义元素属性，不同的元素类型会有不同的属性。上述模板中虚拟私有云myvpc具有两个属性name和cidr，分别表示虚拟私有云的名称和虚拟私有云的网段。 步骤 2 VPC网段范围比较大，可以在VPC中定义一个子网，子网是VPC的IP地址范围内的一个区段。基于上个模板在创建的VPC中定义一个子网： toscadefinitionsversion: ctctoscaversion10

本章节主要进行租户简介。 定义 MRS集群拥有的不同资源和服务支持多个组织、部门或应用共享使用。集群提供了一个逻辑实体来统一使用不同资源和服务，这个逻辑实体就是租户。多个不同的租户统称多租户。当前仅分析集群支持租户。 原理 MRS集群提供多租户的功能，支持层级式的租户模型，支持动态添加和删除租户，实现资源的隔离，可以对租户的计算资源和存储资源进行动态配置和管理。 计算资源指租户Yarn任务队列资源，可以修改任务队列的配额，并查看任务队列的使用状态和使用统计。 存储资源目前支持HDFS存储，可以添加删除租户HDFS存储目录，设置目录的文件数量配额和存储空间配额。 租户可以在界面上根据业务需要，在集群中创建租户、管理租户。 创建租户时将自动创建租户对应的角色、计算资源和存储资源。默认情况下，新的计算资源和存储资源的全部权限将分配给租户的角色。 默认情况下，查看当前租户的资源，在当前租户中添加子租户并管理子租户资源的权限将分配给租户的角色。 修改租户的计算资源或存储资源，对应的角色关联权限将自动更新。 MRS中最多支持512个租户。系统默认创建的租户包含“default”。和默认租户同处于最上层的租户，可以统称为一级租户。 资源池 YARN任务队列支持一种调度策略，称为标签调度（Label Based Scheduling）。通过此策略，YARN任务队列可以关联带有特定节点标签（Node Label）的NodeManager，使YARN任务在指定的节点运行，实现任务的调度与使用特定硬件资源的需求。例如，需要使用大量内存的YARN任务，可以通过标签关联具有大量内存的节点上运行，避免性能不足影响业务。 在MRS集群中，租户从逻辑上对YARN集群的节点进行分区，使多个NodeManager形成一个资源池。YARN任务队列通过配置队列容量策略，与指定的资源池进行关联，可以更有效地使用资源池中的资源，且互不影响。 MRS中最多支持50个资源池。系统默认包含一个“default”资源池。

Web应用防火墙（原生版）服务等级协议

概述 MSE注册配置中心支持切换实例的安全组配置，便于用户进行网络配置。在实例开通完毕后，您可以在控制台修改实例安全组。本节主要介绍如何切换注册配置中心实例的安全组。 前提条件 已开通微服务引擎MSE注册配置中心实例，参考章节：创建Nacos实例 、创建ZooKeeper引擎 开通MSE注册配置中心实例并且状态正常； 操作步骤 1. 登录微服务引擎MSE注册配置中心管理控制台，选择资源池； 2. 在左侧导航栏，选择注册配置中心 > 实例列表； 3. 在实例列表页面，单击目标实例ID、实例名称或者目标行"管理"按钮均可跳转至实例基础信息页面； 4. 在实例基础信息页面，点击安全组属性后的编辑图标； 5. 在修改安全组的弹框中，选中要修改的安全组并点击修改按钮；

当您打开FTP 服务器上的文件夹时，遇到弹窗提示需检查访问权限，那可能是由于您的浏览器设置了FTP防火墙，您可以通过以下步骤来解决。 1. 单击浏览器菜单"工具 > Internet 选项"。 2. 选择“高级”标签卡。 3. 取消勾选“使用被动FTP（用于防火墙和DSL调制解调器兼容）”。 4. 单击“确定”，重启IE浏览器，重试打开FTP服务器上的文件夹。

本节介绍如何查看告警信息及处理告警。 查看告警列表 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“安全告警”，进入安全告警页面。 3. 在页面上方切换云防火墙实例。 说明 默认展示近一天的告警，可在页面右上角自定义查看的时间范围。 查看告警详情 单击告警列表操作列的“详情”，进入告警详情页面。在该页面可以查看告警的详细信息。 处理告警 若您已手动处理告警，可将其“标记为已处理”，标记后，告警的状态将从“未处理”变为“已处理”。 操作步骤：单击“标记为已处理”，在弹出的确认框中，单击“确定”。

本文介绍了如何使用弹性云主机的Windows实例搭建FTP站点 本文介绍了如何使用弹性云主机的Windows实例搭建FTP站点。该指导具体操作以Windows Server 2012 R2为例。 Windows实例搭建FTP站点具体操作步骤如下： 1、添加IIS以及FTP服务角色。 2、创建FTP用户名及密码。 3、设置共享文件的权限。 4、添加及设置FTP站点。 5、（可选）配置FTP防火墙支持。 6、设置安全组及防火墙。 7、客户端测试。

本节介绍IPSec VPN开通使用步骤。 IPSec VPN开通使用步骤： （1）创建IPSec VPN实例； （2）配置客户防火墙，与IPSec VPN实例对接； （3）设置IPSec VPN实例带宽； （4）设置桌面安全组与关闭Windows防火墙； （5）VPN接入云电脑。 注：可点击步骤链接，查看详细的操作说明。

本文介绍CCE集群弹性引擎。 插件简介 CCE集群弹性引擎（autoscaler）是Kubernetes中非常重要的一个Controller，它提供了微服务的弹性能力，并且和Serverless密切相关。 弹性伸缩是很好理解的一个概念，当微服务负载高（CPU/内存使用率过高）时水平扩容，增加pod的数量以降低负载，当负载降低时减少pod的数量，减少资源的消耗，通过这种方式使得微服务始终稳定在一个理想的状态。 云容器引擎简化了Kubernetes集群的创建、升级和手动扩缩容，而集群中应用的负载本身是会随着时间动态变化的，为了更好的平衡资源使用率以及性能，Kubernetes引入了autoscaler插件，它可以根据部署的应用所请求的资源量自动的动态的伸缩集群，详情请了解创建节点伸缩策略。 开源社区地址： 插件说明 autoscaler可分成扩容和缩容两个方面： 自动扩容 集群的自动扩容有以下两种方式实现： 当集群中的Pod由于工作节点资源不足而无法调度时，会触发集群扩容，扩容节点与所在节点池资源配额一致。此时需要满足以下条件时才会执行自动扩容： 节点上的资源不足。 Pod的调度配置中不能包含节点亲和的策略（即Pod若已经设置亲和某个节点，则不会自动扩容节点），节点亲和策略设置方法请参见调度策略（亲和与反亲和）。 当集群满足节点伸缩策略时，也会触发集群扩容。 说明 当前该插件使用的是最小浪费策略，即若Pod创建需要3核，此时有4核、8核两种规格，优先创建规格为4核的节点。

本文将从准备事项、操作步骤等方面为您介绍如何利用弹性云主机搭建微信公众号后台。 本实践将基于天翼云弹性云主机搭建微信公众号处理后台，使用Python语言编写对应的微信消息处理逻辑代码，接收从微信服务端转发过来的消息，并返回处理结果给最终用户。 准备事项 申请微信公众号。 微信公众号申请链接：< 购买天翼云弹性云主机服务。 如果没有天翼云账号，需先注册天翼云账号并完成实名认证。 本实践中，使用公共镜像CentOS 7.4。 购买弹性IP。 建议同时购买弹性IP，后面需要在微信公众号上配置公网IP的地址。 操作步骤 基础软件安装 本实践中使用Python+Web.py组合完成微信公众号开发，需要安装或升级Python、pip、Web.py框架、WinSCP软件版本。 1. 升级默认Python版本； CentOS 7.4自带Python版本比较老，建议升级到Python3。 1. 查看Python版本，使用如下命令： plaintext python –version 2. 下载Python安装包，这里以Python 3.6.0版本为例，使用命令： plaintext wget 3. 解压安装包，使用如下命令： plaintext tar xvf Python3.6.0a1.tar.xz 如果出现“configure: error: no acceptable C compiler found in $PATH”异常提示，是因为未安装合适的编译器。 解决方法： 执行以下命令，安装/升级gcc及其他依赖的包。 plaintext sudo yum install gccc++ 并在随后提示安装包是否OK时，输入y并回车。出现如下图提示，说明依赖的包安装成功。 在编译器安装完成后，重新执行 ./configure 命令。 4. 执行命令： plaintext make && make install 执行成功。但提示pip错误，原因是我的系统中少了openssldevel包，可以先忽略。 5. 查看Python3版本，使用命令： plaintext python3 –version 6. 执行命令： plaintext python3 出现如下提示，则说明Python3安装成功。 2. 升级默认pip版本； pip是通用的Python包管理工具。提供了对Python包的查找、下载、安装、卸载功能。Python3安装成功后自带pip3，但版本比较老，建议升级到pip最新版本。同时前面安装python3提示“Ignoring ensurepip failure: pip 8.1.1 requires SSL/TLS”错误，导致pip未成功安装，所以需要重新安装pip。 1. 安装openssldevel包，使用命令： plaintext yum install openssldevel y 2. 执行命令： plaintext make && make install 出现如下提示说明pip安装成功。 3. 升级pip3，使用命令： plaintext pip3 install upgrade pip 出现如下提示说明升级pip到最新版本了。 3. 安装Web.py框架； Web.py官方教程地址：< plaintext pip3 install web.py0.40.dev0 4. 安装WinSCP； 通常情况下，我们在本地Windows操作系统上编辑代码，完成后再上传至ECS上（CentOS Linux系统）。WinSCP 是一个Windows环境下使用的SSH的开源图形化SFTP客户端, 同时支持 SCP 协议。它的主要功能是在本地与远程计算机间安全地复制文件，并且可以直接编辑文件。 WinSCP安装链接：<

参数 是否必填 参数类型 说明 示例 下级对象 firewallId 是 String 防火墙id

参数 是否必填 参数类型 说明 示例 下级对象 firewallId 是 String 防火墙ID

参数 是否必填 参数类型 说明 示例 下级对象 firewallId 是 String 防火墙ID

参数 是否必填 参数类型 说明 示例 下级对象 firewallId 是 String 防火墙ID

接口功能介绍 支持云防火墙（原生版）C100产品的包年/包月订单的续订询价功能 接口约束 无 URI GET /vfw/v2userControlqueryupgradeprice 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 firewallId 是 String 防火墙id 100054c0416811e9a6690242ac110002 upgradeType 是 String 升级类型 spec：版本 protectionIpNum：可防护ip数 flowProcessingCapacity：公网流量处理能力 vpcQuota：vpc配额数 vpcFlowProcessingCapacity：vpc边界流量处理能力 1 spec 否 String 版本类型 Advanced:高级版(只支持南北向防护) Enterprise:企业版(支持南北向和东西向防护) 注：upgradeType为spec时必填 Advanced upgradeValue 否 String 升级规格 upgradeType不为spec时必填 200 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 urlType 是 String 请求地址类型 CTAPI regionId 是 String 资源池id 100054c0416811e9a6690242ac110002 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 message String 返回信息 成功 error String 错误码： CFW0000 :成功! CFW0001:参数错误！ CFW0002：业务错误！ CFW0000 returnObj Object 接口返回结果 SubOrderPrice 表 SubOrderPrice 参数 参数类型 说明 示例 下级对象 totalPrice Double 总价格，单位CNY 336.0 finalPrice Double 最终价格，单位CNY 225.3 orderItemPrices Array of Objects 订单项价格 OrderItemPrice 表 OrderItemPrice 参数 参数类型 说明 示例 下级对象 totalPrice Double 总价格，单位CNY 336.0 finalPrice Double 最终价格，单位CNY 225.3 resourceType String 资源类型:主套餐;流量扩展;IP扩展;VPC边界防火墙配额数;VPC边界流量处理能力 主套餐

接口功能介绍 支持云防火墙（原生版）C100产品的包年/包月订单的续订询价功能 接口约束 无 URI GET /vfw/v2userControlqueryupgradeprice 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 firewallId 是 String 防火墙id 100054c0416811e9a6690242ac110002 upgradeType 是 String 升级类型 spec：版本 protectionIpNum：可防护ip数 flowProcessingCapacity：公网流量处理能力 vpcQuota：vpc配额数 vpcFlowProcessingCapacity：vpc边界流量处理能力 1 spec 否 String 版本类型 Advanced:高级版(只支持南北向防护) Enterprise:企业版(支持南北向和东西向防护) 注：upgradeType为spec时必填 Advanced upgradeValue 否 String 升级规格 upgradeType不为spec时必填 200 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 urlType 是 String 请求地址类型 CTAPI regionId 是 String 资源池id 100054c0416811e9a6690242ac110002 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 message String 返回信息 成功 error String 错误码： CFW0000 :成功! CFW0001:参数错误！ CFW0002：业务错误！ CFW0000 returnObj Object 接口返回结果 SubOrderPrice 表 SubOrderPrice 参数 参数类型 说明 示例 下级对象 totalPrice Double 总价格，单位CNY 336.0 finalPrice Double 最终价格，单位CNY 225.3 orderItemPrices Array of Objects 订单项价格 OrderItemPrice 表 OrderItemPrice 参数 参数类型 说明 示例 下级对象 totalPrice Double 总价格，单位CNY 336.0 finalPrice Double 最终价格，单位CNY 225.3 resourceType String 资源类型:主套餐;流量扩展;IP扩展;VPC边界防火墙配额数;VPC边界流量处理能力 主套餐

本小节介绍Web应用防火墙日志字段说明。 天翼云Web应用防火墙（Web Application Firewall，简称WAF）为用户提供详细的攻击日志列表，并支持查看日志详细信息。 查看日志详细信息 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF攻击日志”，进入攻击日志页面。 3. 单击操作列的“查看”，查看日志详情，包括基础信息和HTTP信息，如下图所示。日志中包含的专有字段说明请参见日志说明。 日志说明 基础信息 名称 说明 取值示例 域名 被攻击的域名 ctyun.com ID 攻击ID编号 攻击源IP 攻击源IP地址 告警等级 告警级别 低 攻击源端口 攻击源端口 16481 请求方式 HTTP请求方式 Get 攻击类型 攻击类型 预测资源位置攻击 匹配规则 攻击匹配的规则 Attack Signature Detected 请求URL 请求URL地址 攻击时间 攻击时间 处理方式 WAF对此攻击的处置方式 阻断 规则ID 攻击匹配的规则的ID 响应码 HTTP响应码 地区 攻击IP地址归属地区 国家 攻击IP地址归属国家 省份 攻击IP地址归属省份 地区 攻击IP地址归属地区 运营商 攻击IP地址归属运营商 Referer 攻击请求页面的来源页面的地址，即表示攻击是通过此来源页面里的链接进入的

如果您需要防护的域名数超过了套餐默认支持数量，可通过购买域名扩展包进行补充。1个域名扩展包1个主域名及该主域名下的9个子域名防护 glmoscodeexplain glmoscodeexplain 怎么判断需要订购的域名扩展包个数？ 例如：套餐版本默认支持1主域名和该主域名下的9个子域名数量（支持泛域名）。您可以接入1个主域名（ctyun.cn）以及该主域名下的9个子域名（www.ctyun.cn、.ctyun.cn、.ctyun.cn、www.等）。如果您还需要接入新的主域名，这时您需要购买1个域名扩展包来补充。 怎么查看您当前的域名数量？ 您可以登陆天翼云官网，在首页右上角点击【控制中心】在控制中心页面点击安全点击【Web应用防火墙（边缘云版）】跳转至Web应用防火墙（边缘云版）用户控制台； 在用户控制台页面点击【计费详情】查看您当前可使用的总主域名数量套餐主域名数量+域名扩展的主域名数量。 如何购买域名扩展包？ 当前仅支持通过单击变更访问链接，进入变更访问链接后，单击【实例】，可按需在【全部产品】下拉框中过滤出【Web应用防火墙(边缘云版)】。 注意 暂时不支持单独退订域名扩展包，如果需要单独退订，请

Web应用防火墙（边缘云版）依托天翼云云安全节点形成云安全边缘网络，区别于传统WAF需要在源站前端部署，Web应用防火墙（边缘云版）把安全能力赋能在所有边缘节点，利用分布式节点部署使计算能力更强，有效降低源站计算压力，提升了用户访问质量的同时保护了源站数据的安全。本节介绍了Web应用防火墙（边缘云版）产品的优势。 自主可控的安全防护能力 基于 AI+ 规则双引擎的 Web 攻击识别，构建一体化应用业务安全防护。 业务流量识别与分析，自定义规则匹配用户业务，避免误拦截、漏拦截。 支持Bot流量管理和智能CC防护。 弹性扩容无惧突发风险 分布式集群防护，单点故障自动转移，确保网站的高可用性。 动态调整边缘节点，无缝扩展QPS 防护能力，可达亿级别防护规模。 利用大平台优势，基于全网、全行业流量的攻击数据，结合机器学习算法，构建一套智能防护体系。 便捷的运营与管理 零部署、零运维，支持多云、混合云环境，一键CNAME接入，云端安全专家配置策略。 集中监控和分散维护相结合，NOC 工程师7×24小时集中监控，网络工程师 7×24 小时在线支持，节点现场服务工程师进行服务保障。 支持一键开启IPv6功能，无缝处理IPv4和IPv6流量。 提供可视化报表、态势感知大屏，深入分析安全隐患，清晰把控全局。 敏感的威胁情报感知 0day漏洞快速修复，天翼云安全团队724小时监测，主动发现新型攻击并24小时内响应，帮助用户抵御最新威胁。

本节介绍云防火墙的计费项、计费模式、以及续费退订等信息。 云防火墙标准版支持包年/包月（预付费）计费方式。 计费项 CFW根据您的CFW服务版本、购买时长和购买的计费项目计费。 版本 计费模式 计费项目 计费说明 标准版 包年/包月 基础套餐 提供包年和包月的购买模式。 标准版 包年/包月 防护公网IP数（可选） 按购买的个数计费。 标准版 包年/包月 防护互联网边界流量峰值（可选） 按购买的流量值计费。 专业版 包年/包月 基础套餐 提供包年和包月的购买模式。 专业版 包年/包月 防护公网IP数（可选） 按购买的个数计费。 专业版 包年/包月 防护互联网边界流量峰值（可选） 按购买的流量值计费。 专业版 包年/包月 防护VPC数（可选） 按购买的个数计费 标准资费 云防火墙实例的计费模式为包月和包年，购买时长越久越便宜。 购买1年，在总价基础上享受85折优惠，购买2年享受7折优惠，购买3年享受5折优惠。对于长期用户，推荐包年购买。 版本 规格 标准资费 单位 标准版 标准版基础套餐 2800 元/月 标准版 防护公网IP数扩展 50 元/个/月 标准版 防护互联网边界流量峰值扩展 50 元/Mbps/月 专业版 专业版基础套餐 9600 元/月 专业版 防护公网IP数扩展 50 元/个/月 专业版 防护互联网边界流量峰值扩展 50 元/Mbps/月 专业版 防护VPC扩展 2000 元/个/月

是否可以关闭MySQL实例上层防火墙？ 出于云网产品安全要求和考虑，不能关闭MySQL实例上层防火墙。关闭上层防火墙可能会导致未经授权的访问、恶意攻击、安全漏洞利用等风险，因此不能关闭MySQL实例上层防火墙。 如何处理数据库连接数满情况？ 在连接数被打满的情况下，可能会无法连接实例。 1. 如果是空闲连接数过多 出现的原因可能有两种： 1. 长连接模式：客户端业务侧配置了连接池，连接池的初始连接数设置过高，应用启动后建立多个到MySQL实例空闲连接。 2. 短链接模式：客户端业务代码存在查询执行完毕后未显式的关闭连接的问题。 解决办法： 1. 直接使用kill命令终止会话连接。 2. 长连接模式需要启用连接池的复用功能（建议减少初始连接数），短连接模式需要检查业务代码是否存在漏关连接的地方。 3. 对于非交互模式连接，在控制台的参数设置里设置waittimeout参数为较小值（waittimeout参数控制非交互模式连接的超时时间）。 4. 对于交互模式连接，在控制台的参数设置里设置interactivetimeout参数为较小值（interactivetimeout参数控制交互模式连接的超时时间）。 2. 如果是活动连接数过多 出现的原因可能有多种： 1. 慢查询SQL增多导致活动连接数堆积。 2. 锁等待导致活动连接数堆积（包括InnoDB锁等待、表元数据锁等待）。 3. CPU、IOPS使用率过高导致活动连接数堆积。 解决办法： 1. 检查慢SQL执行情况，结合场景进行SQL优化。 2. 升级实例规格，或扩展只读实例。