本文主要介绍资源配置 说明 Hosts配置 在迁移开始之前需要在RDA安装机器和源端待迁移主机hosts文件中配置调用接口域名解析到天翼云对应资源池API网关的地址，以便迁移相关的产品服务可以正常通过API接口访问。 已支持资源池的网关地址和域名详情，请参考云环境配置模板 修改RDA安装机器代理配置: C:WindowsSystem32driversetchosts，增加映射， 如下是贵州的示例： 42.123.120.53 iam.cnguizhou1.ctyun.cn 42.123.120.53 vpc.cnguizhou1.ctyun.cn 42.123.120.53 ecs.cnguizhou1.ctyun.cn 42.123.120.53 ims.cnguizhou1.ctyun.cn 42.123.120.53 evs.cnguizhou1.ctyun.cn 修改源端待迁移主机的配置，增加映射，如下是贵州的示例： Linux：/etc/hosts Windows：C:WindowsSystem32driversetchosts 42.123.120.53 iam.cnguizhou1.ctyun.cn 42.123.120.53 vpc.cnguizhou1.ctyun.cn 42.123.120.53 ecs.cnguizhou1.ctyun.cn 42.123.120.53 ims.cnguizhou1.ctyun.cn 42.123.120.53 evs.cnguizhou1.ctyun.cn 项目配置（可选） 在“项目管理”页签下，单击“新建项目”，输入项目名称与描述，单击“保存”

使用须知 在创建同步任务前，请务必阅读以下使用须知。 说明 建议创建单独用于DRS任务连接的数据库帐号，避免因为数据库帐号密码修改，导致的任务连接失败。 连接源或目标数据库的帐号密码修改后，请尽快修改连接信息，避免任务连接失败后自动重试，导致数据库帐号被锁定影响使用。 表使用须知 类型名称 使用和操作限制 数据库权限设置 l源数据库端： − 全量同步：需要具有CREATE SESSION，SELECT ANY DICTIONARY，针对单表的SELECT权限（GRANT SELECTto drsUser;）权限。 − 全量+增量同步： 12c及以上版本CDB数据库同步时，需要具有CREATE SESSION，SELECT ANY DICTIONARY，针对单表的SELECT权限（GRANT SELECTto drsUser;），EXECUTECATALOGROLE，SELECT ANY TRANSACTION，LOGMINING，SELECT ON SYS.COL$，SELECT ON SYS.OBJ$，SET CONTAINER（GRANT SET CONTAINER TOCONTAINERALL;）权限。 12c及以上版本PDB数据库同步时，除了需要具有CREATE SESSION，SELECT ANY DICTIONARY，针对单表的SELECT权限（GRANT SELECTto drsUser;），EXECUTECATALOGROLE，SELECT ANY TRANSACTION，LOGMINING，SELECT ON SYS.COL$，SELECT ON SYS.OBJ$权限，还需要具有CDB的CREATE SESSION，SELECT ANY DICTIONARY，EXECUTECATALOGROLE，SELECT ANY TRANSACTION，LOGMINING，SET CONTAINER（GRANT SET CONTAINER TOCONTAINERALL;）权限。 11g及以下版本数据库同步时，需要具有CREATE SESSION，SELECT ANY DICTIONARY，针对单表的SELECT权限（GRANT SELECTto drsUser;），EXECUTECATALOGROLE，SELECT ANY TRANSACTION，SELECT ON SYS.COL$，SELECT ON SYS.OBJ$。 − 增量同步时，源库Oracle需要开启日志归档模式和最小补充日志，所需同步表必须开启PK/UI或以ALL级别的补充日志，不限制库级或表级补充日志方式，若只开启表级补充日志，重建或者RENAME表后需要重新设置；请确保以上配置在同步过程中始终保持开启状态。 − 12c及以上版本不支持使用ORACLEMAINTAINEDY的用户帐号进行增量同步（system/sys除外），因为该属性的帐号无日志解析权限。 l目标数据库端：提供的目标数据库帐号必须拥有如下权限：SELECT、CREATE、DROP、DELETE、INSERT、UPDATE、ALTER、INDEX、EVENT、RELOAD、CREATE VIEW。 同步对象约束 l增量同步不支持DDL的同步。 l全量阶段不支持bfile，xml、sdogeometry、urowid、interval（精度大于6位）和自定义类型。 l增量阶段不支持bfile，xml、interval、sdogeometry、urowid、timestamp（精度大于6位）和自定义类型。 l增量阶段源库为Oracle物理备库（PHYSICAL STANDBY）时不支持解析lob类型数据（无法生成数据字典），如果增量同步的表中出现lob类型会导致增量同步异常。 l目前只支持同步源库的数据，不支持同步源库表结构及其他数据库对象。 l用户需要在目标库根据源端逻辑库的表结构，自行在目标库创建对应的表结构及索引。未在目标库创建的对象，视为用户不选择这个对象进行同步。 l同步时需要在目标库创建表结构，目标库表结构要包含源库所有列，且主键要一致。 l源库支持todate和sysguid函数做默认值。将其他函数作为default值时，需要目标库也有相同功能的函数。对于目标库不存在对应函数的情况，可能会出现以下结果： − 默认值函数可能会被置空。 − 创建表失败，导致对象对比不一致或者任务失败。 l如果表中只有LOB字段，可能出现数据不一致性情况。 l如果Oracle中使用LOB类型各自的empty函数写入数据时，通过JDBC查询出来的值是空字符串，写入到目标库后是空字符串还是NULL取决于目标库对空字符串值的处理。 l针对无主键且无索引的表，非大字段的列必须大于3列，否则会因为无法全列匹配导致增量异常。 l不支持默认值含有表达式的函数的表的同步。 l不支持同步源库中的临时表。 源数据库要求 lOracle单行记录不能超过8K（lob、long类型除外，会自动转换成MySQL的text、blob类型），原因是MySQL innodb引擎限制单行大小不能超过8K（text、blob类型除外）。 l不建议以字符串类型作为主键或唯一键，因为Oracle的字符串作为主键、唯一键时区分空格，而MySQL不区分，可能导致数据不一致和死锁问题。 l对于Oracle的binaryfloat或者binarydouble类型，MySQL中不支持设置Nan、Inf、Inf三种值，DRS默认会将这三种值转为0保存。 lOracle中建议列名不要取名AUTOPKROWID，原因是这个列名在MySQL5.7中是保留列名，无法创建出来。 lOracle中number(p, s)字段的精度不要超过p: [1, 38], s:[p65, min(p, 30)]的精度表示范围。其中，s取值依赖于p的取值变化，即下限为p65, 上限为p或30中取最小值。例如：当p1, s的取值范围是[64, 1]。当p38, s取值范围是[27, 30]。 int字段的值不要超过（65，0）的精度表示范围。原因是MySQL数字的表示范围比Oracle小。 l不支持表名包含除下划线外的其他特殊字符的表的同步。 l源数据库中的库名或映射后的名称不允许以iblogfile开头，也不能为ibbufferpool、ibdoublewrite、ibdata1、ibtmp1。 l不支持选择源数据库的空库进行同步。 l目前仅支持同步如下字符集：ZHS16GBK、AL32UTF8、UTF8、US7ASCII、WE8MSWIN1252、WE8ISO8859P1、WE8ISO8859P2、WE8ISO8859P4、WE8ISO8859P5、WE8ISO8859P7、WE8ISO8859P9、WE8ISO8859P13、WE8ISO8859P15。 目标数据库要求 l同步前，目标数据库必须存在待同步数据库及表，且库名，表名，列名，索引名、约束名等必须为对应的小写名称。 lDRS同步时会有大量数据写入目标库，目标库maxallowedpacket 参数过小会导致无法写入，建议将目标库maxallowedpacket参数值设置为大于100MB。 l同步的表要禁用外键，因为DRS并行回放会使得不同表之间的写入顺序和源库不一致，可能会触发外键约束限制，造成同步失败。 l支持目标数据库中的表比源数据库多列场景，但是需要避免以下场景可能导致的任务失败。 − 目标端多的列要求非空且没有默认值，源端insert数据，同步到目标端后多的列为null，不符合目标端要求。 − 目标端多的列设置固定默认值，且有唯一约束。源端insert多条数据后，同步到目标端后多的列为固定默认值，不符合目标端要求。 操作限制 l表对象名同步到目标库后会转换成小写，如ABC和abc。因此增量同步阶段，选择的源库表中不能存在表名称字母相同但大小写不同的表，否则，会导致同步失败。 l由于无主键表缺乏行的唯一性标志，网络不稳定时涉及少量重试，表数据存在少量不一致的可能性。 l如有特殊字符，业务连接Oracle数据库使用的编码需和Oracle数据库服务端编码一致，否则目标库会出现乱码。 lOracle中表结构同步到DRDS后表的字符集为utf8mb4。 lOracle中表结构长度（所有列长字节数之和，char、varchar2等类型字节长度和编码有关）超过65535时，可能导致同步失败。 lOracle归档日志文件大小必须大于单条数据最大值，避免单条数据日志跨文件（超过2个日志文件）导致的增量数据解析异常。 l对于Oracle RAC集群，建议使用SCAN IP+ SERVICENAMES方式创建任务，SCAN IP具有更强的容错性，更好的负载能力，更快的同步体验。 l源库为Oracle RAC时，如果需要使用SCAN IP配置DRS任务，需要保证SCAN IP、DRS节点的IP同时能与源库的所有VIP互通（Oracle内部机制），否则无法通过连通性检查。若不使用SCAN IP，可以使用某一节点的VIP，这种情况下DRS日志解析只会在VIP指定的RAC节点上进行。 l若源库为RAC，增量同步首次启动时所有RAC节点必须正常在线，否则增量启动会出现异常。 l若源库为RAC，增量同步时，不支持增加、减少节点数量，避免导致增量同步异常（为保证数据的强一致性）。 l数据类型不兼容时，可能引起同步失败。 l当Oracle字符集是WE8MSWIN1252时，CLOB列同步到目标库可能出现乱码，建议先修改源库字符集为AL32UTF8再同步数据。 l同步过程中，不允许修改、删除连接源和目标数据库的用户的用户名、密码、权限，或修改源和目标数据库的端口号。 l同步过程中，源库不能做DDL变更。 l同步过程中，禁止对Oracle源库做resetlogs操作，否则会导致数据无法同步且任务无法恢复。 l同步过程中，不支持LOB类型的rollback操作，否则会导致同步任务失败。 l对于同步中的数据库对象，在同步期间，目标库不能进行写入操作，否则会导致数据不一致。 lDRS全量同步表结构时，源库中的char、varchar2类型长度在目标库会按照字节长自动扩大（因为目标库为字节长），至少扩大1.5倍。扩大倍数和源库目标库的字符集有关，例如同为UTF8的情况下，默认扩大3倍，同为GBK的情况下，默认扩大2倍。 l全量同步分区表的结构时会将该对象转为非分区的普通表，增量同步时，源库跟分区表相关的操作，在目标库执行可能会失败。 l增量同步时，BLOB末尾的0x00、CLOB末尾的空格会被截断。 l选择表级对象同步时，增量同步过程中不建议对表进行重命名操作。 l源库的用户对应目标库的数据库。 l源库用户、表结构信息同步至目标库后全部转换为小写。如表Ab及表AB同步至目标库为ab。 l不支持索引组织表的同步。 l同步任务全量阶段开始前，如有长时间未提交的事务，有可能丢失数据。 l任务再编辑增加新表时，请确保新增的表的事务都已提交，否则未提交的事务可能无法同步到目标库。建议在业务低峰期做增加表的操作。

执行计划查看 在文档数据库服务中，可以使用explain()方法来查看查询执行计划，了解查询语句的性能和索引使用情况。执行explain()方法后，文档数据库服务会返回一个文档，其中包含了查询执行的详细信息。 以下是在文档数据库服务中查看执行计划的步骤： 1. 执行查询语句：首先需要执行要查看执行计划的查询语句，例如： db.collection.find({field: "value"}) 2. 执行explain()方法：在查询语句之后加上explain()方法，例如： db.collection.find({field: "value"}).explain() 3. 查看执行计划：执行explain()方法后，文档数据库服务会返回一个文档，其中包含了查询执行的详细信息。可以查看文档中的queryPlanner字段、executionStats字段和serverInfo字段，了解查询的执行计划、查询的性能和索引使用情况等信息。例如： { "queryPlanner" : {...}, "executionStats" : {...}, "serverInfo" : {...} } 在执行计划文档中，常见的字段和属性包括： queryPlanner: 查询计划器，表示文档数据库服务是如何执行查询的。 executionStats: 执行统计，表示查询的执行情况和性能。 winningPlan: 最优查询计划，表示文档数据库服务选择的最优查询计划。 rejectedPlans: 拒绝的查询计划，表示文档数据库服务拒绝的查询计划。 totalKeysExamined: 索引扫描的次数，表示查询过程中扫描的索引数量。 totalDocsExamined: 文档扫描的次数，表示查询过程中扫描的文档数量。 executionTimeMillis: 查询的执行时间，表示查询完成所需的时间。 执行计划解析： 看执行时间：executionStats.executionStages.executionTimeMillisEstimate和executionStats.executionStages.inputStage. executionTimeMillisEstimate时间越短越好。 executionStats.executionTimeMillis表示执行计划选择和执行的所有时间。 executionStats.executionStages.executionTimeMillisEstimate表示最优执行计划的执行完成时间。 executionStats.executionStages.inputStage. executionTimeMillisEstimate表示最优执行计划下的子阶段执行完成时间。 看扫描条数：三个条目数相同为最佳。 executionStats. nReturned表示匹配查询条件的文档数。 executionStats .totalKeysExamined表示索引扫描条目数。 executionStats .totalDocsExamined表示文档扫描条目数。 看Stage状态，性能较好的Stage状态组合如下。 Fetch+IDHACK Fetch+ixscan Limit+（Fetch+ixscan） PROJECTION+ixscan 状态说明： 状态名称 状态名称 COLLSCAN 全表扫描 SORT 内存中进行排序 IDHACK 根据id进行查询 TEXT 全文索引 FETCH 索引扫描 LIMIT 使用Limit限制返回数 SUBPLA 未用索引的$or查询阶段 PROJECTION 未用索引的$or查询阶段 COUNTSCAN 使用索引计数

数据库复制服务是否支持关系型数据库的HA实例迁移 数据复制服务的高可用性保障机制，可以支持关系型数据库的单实例和HA实例的迁移。针对HA实例的迁移，DRS的自动重连技术在连接短暂中断后连接可以得到修复，断点续传技术，根据数据库内部连续性标志可以确保实时同步的连续性和一致性。 源数据库的HA设计，满足浮动IP连接效果，且倒换时RPO0，则DRS完全支持数据库的HA实例迁移，无需人工介入。 源数据库的HA设计，不能满足浮动IP连接且倒换时RPO0时，存在以下几种情况： 使用浮动IP，但不能保证倒换时RPO0时，可以连接，但DRS会识别出数据断层（如果有主备倒换出现数据丢失的话）并提示任务失败，此时只能根据新的数据情况，使用重置功能重新迁移。 使用固定IP，且倒换时RPO0时，支持迁移（只有在实例正常运行的情况下支持迁移，否则不支持）。 使用固定IP，且不能保证切换时RPO0时， 可以连接，但DRS会识别出数据断层并提示任务失败，此时只能根据新的数据情况，使用重置功能重新迁移。 出云迁移且目标端数据库为HA实例时，DRS可以保证源的数据完整的迁移到目标数据库，但由于目标数据库本身的倒换不能保证RPO0，则目标数据库可能会出现数据断层的情况。 DRS支持断点续传吗？ 针对数据库的迁移场景，在迁移过程中由于不可抗拒因素（例如网络波动）导致的任务失败，DRS通过记录当前解析和回放的位点（该位点同时也是数据库内部一致性的依据），下次从该位点开始回放的方式来实现断点续传，以确保数据的完整性。 增量阶段的迁移，DRS会自动进行多次断点续传的重试，全量阶段的MySQL迁移，系统默认进行三次自动续传，无需人工干预。当自动重试失败累计一定次数后，任务会显示异常，需要人为根据日志来分析无法继续的原因，并尝试解决阻塞点（例如数据库修改了密码），如果环境无法修复，如所需日志已经淘汰，则使用重置功能可以完全重新开始任务。

告警规则名称 告警级别 告警条件 自动解除条件 告警失效条件 是否允许手动解除 告警邮件发送频率 数据目录读写错误 PathIOError 重要 数据目录状态为坏盘 数据目录状态为正常 数据目录被移除 数据目录从存储池中移除 数据目录所在服务器被移除 是 每天一次 数据目录所在磁盘写入速度慢 DiskWriteSlow 警告 数据目录所在磁盘写入速度慢 数据目录所在盘恢复正常 数据目录被移除 数据目录从存储池中移除 数据目录所在服务器被移除 是 每天一次 许可证即将到期 LicenseWillExpire 警告 当前时间（告警模块所在服务器的系统时间）距离最后导入的许可证的到期时间<15天且>0天 当前时间（告警模块所在服务器的系统时间）距离告警许可证的到期时间>15天 许可证过期， 导入新的许可证（不同id的许可证） 是 每天一次 许可证过期 LicenseExpired 严重 当前时间（告警模块所在服务器的系统时间）距离最后导入的许可证的到期时间< 0天 当前时间（告警模块所在服务器的系统时间）距离告警许可证的到期时间>0天 导入新的许可证（不同id的许可证） 是 每天一次 许可证维保即将到期 LicenseMaintenanceWillExpire 警告 当前时间（告警模块所在服务器的系统时间）距离最后导入的许可证的维保到期时间<15天且>0天 当前时间（告警模块所在服务器的系统时间）距离告警许可证的维保到期时间>15天 许可证过期 导入新的许可证（不同id的许可证） 是 每天一次 许可证过保 LicenseMaintenanceExpired 警告 当前时间（告警模块所在服务器的系统时间）距离最后导入的许可证的维保到期时间< 0天 当前时间（告警模块所在服务器的系统时间）距离告警许可证的维保到期时间>0天 导入新的许可证 是 每天一次 试用期即将到期 TrialVersionWillExpire 警告 当前未导入生效的许可证，并且当前时间（告警模块所在服务器的系统时间）距离试用期过期时间<15天且>0天 无解除条件，只能手动解除 导入新的许可证 是 每天一次 资源用量接近使用上限 ResourceUsageApproachingLimit 重要 本地卷总容量>许可证容量的80% 本地卷总容量<许可证容量的75% 导入新的许可证 是 每天一次 告警中的告警条数接近上限 AlarmNumberApproachingLimit 严重 告警中的告警条数>8000 告警条数<7500 无 是 每天一次 告警邮件发送失败 FailToSendAlarmEmail 严重 告警邮件发送失败 告警邮件发送成功 邮件配置被删除 邮件发送设置为disable 是 每天一次 配额使用率超阈值 CapacityQuotaUsageExceedsThreshold 警告 存储池中数据目录关联磁盘的PathCapQuotaRate>80%， 数据目录层级的数据目录关联磁盘的PathCapQuotaRate>80% 说明 数据目录未设置容量配额，则按容量配额磁盘总容量计算。 存储池中数据目录关联磁盘的PathCapQuotaRate<75%，或数据目录层级的数据目录关联磁盘的PathCapQuotaRate<75% 说明 数据目录未设置容量配额，则按容量配额磁盘总容量计算。 存储池名称变更 存储池中的数据目录被全部移除 是 每天一次 配额用尽 CapacityQuotaUsageApproachLimit 严重 基础存储池中数据目录对应磁盘总配额使用率>95% 基础存储池中数据目录对应磁盘总配额使用率<90% 基础存储池名称变更 是 每天一次 配额用尽 CapacityQuotaUsageApproachLimit 警告 非基础存储池中数据目录对应磁盘总配额使用率>95%，或数据目录对应磁盘配额使用率>95% 非基础存储池中数据目录对应磁盘总配额<90%，或数据目录对应磁盘配额使用率<90% 存储池名称变更 存储池中的数据目录被全部移除 是 每天一次 磁盘使用率超阈值 DiskUsageExceedsThreshold 警告 存储池中数据目录对应磁盘的PathRate>80%，或数据目录对应磁盘的PathRate>80% 存储池中数据目录对应磁盘的PathRate<75%，或数据目录对应磁盘的PathRate<75% 存储池名称变更 存储池中的数据目录被全部移除 是 每天一次 可用故障域数量不满足卷写入要求 InsufficientFDForLUNToWrite 警告 卷所在缓存存储池或存储池的可用故障域数量及健康数据目录数量不满足卷的最小副本数要求 告警存储池的可用故障域数量及健康数据目录数量满足卷的最小副本数要求 卷被删除 卷删除失败 卷还原失败 卷挂起中 卷已挂起 卷挂起失败 存储池名称变更 卷禁用（仅3.9之前版本支持） 是 每天一次 数据目录健康状态变为警告 DiskPathHealthStatusWarning 警告 数据目录健康状态变为警告 数据目录健康状态恢复正常 数据目录被移除 数据目录从存储池中移除 数据目录健康状态变为“Error” 是 每天一次 数据目录健康状态变为错误 DiskPathHealthStatusError 警告 数据目录健康状态变为错误 数据目录健康状态恢复正常 数据目录被移除。 数据目录从存储池中移除 是 每天一次 数据服务健康状态变为警告 DataServiceHealthStatusWarning 警告 数据服务健康状态变为警告 数据服务健康状态恢复正常 服务器被移除 数据目录被移除 数据目录从存储池中移除 数据目录健康状态变为“Error” 存储池名称变更 是 每天一次 数据服务健康状态变为错误 DataServiceHealthStatusError 重要 数据服务健康状态变为错误 数据服务健康状态恢复正常 服务器被移除 数据目录被移除 数据目录从存储池中移除 存储池名称变更 是 每天一次 协议解析服务异常 ProtocolServiceAbnormal 重要 协议解析服务异常 协议解析服务恢复正常 服务器被移除 target被删除 target被迁移 是 每天一次 故障域状态变为警告 FaultDomainWarning 警告 故障域状态变为警告 故障域状态恢复正常 服务器被移除 数据目录被移除 数据目录从存储池中移除 故障域健康状态变为“Error” 存储池名称变更或故障域全路径名称中任一节点名称变更 故障域中的数据目录被全部移除 是 每天一次 故障域状态变为错误 FaultDomainError 重要 故障域状态变为Error 故障域状态变为非Error 服务器被移除 数据目录被移除 数据目录从存储池中移除 存储池名称变更或故障域全路径名称中任一节点名称变更 故障域中的数据目录被全部移除 是 每天一次 无法连接到云 CannotConnectToCloud 严重 与云端连接断开超过10分钟 卷通过此服务器向云端读取或写入成功一次 卷被删除 卷删除失败 卷还原失败 卷挂起失败 卷已挂起 服务器被移除 target发生迁移 卷禁用（仅3.9之前版本支持） 是 每天一次 云账户异常 CloudAccountAbnormal 严重 云端读取或写入失败：欠费冻结、欠费冻结或违规冻结 云端读取或写入成功一次 卷被删除 卷删除失败 卷还原失败 卷挂起失败 卷已挂起 卷禁用（仅3.9之前版本支持） 是 每天一次 卷云端数据冲突 LUNCloudDataConflict 严重 卷对应的云端数据出现比本地更新的版本 卷对应的云端数据版本全部比本地旧 卷被删除 卷删除失败 卷还原失败 卷挂起失败 卷已挂起 卷禁用（仅3.9之前版本支持） 是 每天一次 卷云端心跳冲突 LUNCloudHeartbeatConflict 严重 卷的云端出现来自非本集群的心跳 卷的云端心跳仅来自本集群 卷被删除或 卷删除失败 卷还原失败 卷挂起失败 卷已挂起 卷禁用（仅3.9之前版本支持） 是 每天一次 卷数据残留 LUNDataResidue 警告 强制删除卷，卷数据残留： 本地数据残留：由于本地磁盘故障，导致卷数据无法同步删除 云端数据残留：删除云上数据时，由于云端数据存储位置无法访问（包括网络连接失败、账号异常等），导致数据无法同步删除 无法自动解除，只能手动解除告警 本地数据残留：数据目录从机器中移除 云端数据残留：不会自动解除，清理完云端残留数据后，可手动解除告警 是 每天一次 客户端连接断开 InitiatorConnectionFailed 警告 因为客户端的原因，HBlock无法收到客户端心跳，导致HBlock认为和客户端连接断开，立即告警。但是客户端主动断开连接的情况除外 该客户端与target连接成功。 告警的IQN所在target被删除 target被迁移 是 每天一次 安装目录剩余空间不足 InsufficientSpaceonInstallationPath 严重 安装目录所在磁盘的文件系统剩余空间<4GiB 安装目录所在磁盘的文件系统剩余空间>5GiB 服务器被移除 是 每天一次 基础服务异常 BaseServiceAbnormal 严重 发生以下任一情况时，分别发出相应告警实例的告警： 元数据管理服务（mdm）异常：集群中stor:mdm服务有2个，仅允许一个故障，故障时发出告警 故障转移控制服务（fc）异常：集群中stor:fc服务有2个，仅允许一个故障，故障时发出告警 日志服务（ls）异常：集群中stor:ls服务有3个，仅允许一个故障，故障时发出告警 协调服务（cs）异常：集群中stor:cs服务有3个，仅允许一个故障，故障时发出告警 匹配的告警实例恢复到以下程度： 元数据管理服务（mdm）在告警机器上恢复正常：告警机器上的stor:mdm服务恢复正常 故障转移控制服务（fc）在告警机器上恢复正常：告警机器上的stor:fc服务恢复正常 日志服务（ls）在告警机器上恢复正常：告警机器上的stor:ls服务恢复正常 协调服务（cs）在告警机器上恢复正常：告警机器上的stor:cs服务恢复正常 告警机器上的基础服务迁移完成 是 每天一次 基础服务数据目录剩余空间不足 InsufficientSpaceonMetaDir 严重 基础服务数据目录所在磁盘的文件系统剩余空间<4GiB 基础服务数据目录所在磁盘的文件系统剩余空间>5GiB 服务开始迁移 是 每天1次 卷数据健康度降级 LUNDataLowRedundancy 警告 卷数据降级的百分比（含缓存池和最终池数据）＞10%，持续超过10分钟（10分钟内降级百分比一直低于或等于10%） 卷数据降级的百分比（含缓存池和最终池数据）0% 卷被删除 卷删除失败 是 每天1次 卷数据损坏 LUNDataCorrupted 重要 卷数据Error的百分比（含缓存池和最终池数据）＞0% 卷数据Error的百分比（含缓存池和最终池数据）0% 卷被删除 卷删除失败 是 每天1次 存储池数据健康度降级 PoolDataLowRedundancy 重要 基础存储池数据降级的百分比 > 10%，持续超过10分钟（10分钟内降级百分比一直低于或等于10%） 基础存储池数据降级的百分比 0% 存储池名称修改 是 每天1次 存储池数据健康度降级 PoolDataLowRedundancy 警告 普通存储池数据降级的百分比 > 10%，持续超过10分钟（10分钟内降级百分比一直低于或等于10%） 普通存储池数据降级的百分比 0% 存储池名称修改 存储池被删除 是 每天1次 存储池数据损坏 PoolDataCorrupted 严重 基础存储池数据Error的百分比＞ 0% 基础存储池数据Error的百分比 0% 存储池名称修改 是 每天1次 存储池数据损坏 PoolDataCorrupted 重要 普通存储池数据Error的百分比＞ 0% 普通存储池数据Error的百分比 0% 存储池名称修改 存储池被删除 是 每天1次

本文简述传递用户IP回源功能的原理和配置方法。 功能介绍 使用边缘接入服务IP应用加速后，源站获取到的客户端IP会变为应用加速回源节点的IP。如果源站需要获取真实的客户端IP地址，有两种方式： proxyprotocol（简称PP），对内核无要求，需要源站进行修改，解析对应的文本字符串以获取真实的客户端IP。目前，Nginx和HAProxy已经支持，因此Nginx和HAProxy源站推荐使用该方式获取客户端IP。proxyprotocol的v1版本仅支持TCP协议，v2版本同时支持TCP和UDP协议。 tcpoption传递用户IP回源的方式，该方式仅适用于TCP协议。选择该方式时，Linux系统源站需要安装我们提供的toa内核模块来获取真实客户端地址，该方式无需源站进行修改即可获取到真实的客户端IP；Windows系统源站不支持tcpoption传递用户IP回源方式。 配置说明 新增域名，配置传递用户IP回源步骤： 1. 登录边缘安全加速控制台，选择【边缘接入】控制台。 2. 进入【域名】【IP应用加速接入】页面。 3. 点击左上角【新增接入】。 4. 找到传递用户IP回源模块，打开开关。 5. 选择传递用户IP回源方式，选择proxyprotocol方式时，还需要选择协议版本号；选择tcpoption时，您需要下载适配源站系统版本的toa模块，并安装到源站后才可正常使用该功能。 编辑域名，配置传递用户IP回源步骤： 1. 登录边缘安全加速控制台，选择【边缘接入】控制台。 2. 进入【域名】【IP应用加速接入】页面。 3. 在首页列表页面，点击详情，点击右下角编辑配置，编辑目标域名/实例。 4. 找到传递用户IP回源模块，打开或者关闭开关；打开时需选择传递用户IP回源方式，选择proxyprotocol方式时，还需要选择协议版本号；选择tcpoption时，您需要下载适配源站系统版本的toa模块，并安装到源站后才可正常使用该功能。

多个域名对应同一源站，WAF可以防护这些域名吗？ WAF的防护对象是域名，用户通过将需要防护的域名接入到WAF中，并将DNS服务商处对应域名的解析修改至Web应用防火墙所提供的CNAME，从而实现将需要防护域名的请求转发到WAF进行防护，而源站对于WAF来说，只是用于转发请求的目标地址，如果多个域名使用了同一个源站对外提供服务，只需要将多个域名都接入WAF中即能实现对所有域名的防护，详情请参见添加域名。 注意 在对多个域名接入同一个源站进行防护时，需要购买的防护带宽为所有域名累加的带宽，若购买的带宽小于所需要防护的带宽时，超过防护带宽容量的访问将得不到保护。 多个端口的服务器，如果某个端口不需要WAF防护，如何处理？ WAF防护网站是通过域名+端口方式接入WAF进行防护的，即当管理员在接入时配置的80端口，那Web应用防火墙也只会接收来自于80端口的请求，当出现非80端口的请求时，例如443端口或其他端口，WAF则会将对应的请求丢弃掉。所以在添加防护域名时，您需要将您所有需要防护的域名以及对应域名下所有需要防护的端口都进行配置，若服务器本身开启了多个端口，并且多个端口同时提供Web服务，其中只有部分端口需要防护，那只需要接入需要防护的域名及端口即可。 注意 WAF在提供端口防护时，默认将请求的目标端口作为回源端口，例如请求80端口，则回源也是通过80端口进行回源；请求443端口，则默认通过443端口回源。 但当开启了强制HTTPS回源或强制HTTP回源时，WAF会将所有请求强制转换为对应的请求进行回源，即强制HTTP回源，则会通过80端口进行回源；强制HTTPS回源，则会通过443端口回源。

本文主要介绍导致慢请求的原因和解决方案。 在相同业务场景下，架构设计和库、集合、索引等设计会影响查询性能，良好的设计可以提高查询性能，反之会出现很多慢请求（执行时间很长的语句），这些慢请求会消耗很多的系统性能。 排查思路 DDS支持在控制台上查看慢日志信息，针对慢日志中过长的操作需要从执行最慢的操作入手，逐个进行优化。 对于操作执行时长超过1s时，对应的操作可能会有问题，需要视具体情况分析。 对于操作执行时长超过10s时，则需要优化对应的操作。 说明 若存在某个聚合操作，因其比较慢，此时操作执行时长超过10s的情况属于正常现象。 分析方法 步骤 1 连接数据库。 步骤 2 针对慢查询可以通过如下命令检查其执行计划。 explain() 例如： db.test.find({"dataid" : "ae4b5769896f465c9fbd3fd2f3357637"}).explain(); db.test.find({"dataid" : "775f57c2b63e45d7b5813822dba231b4"}).explain("executionStats"); 对于查询而言，因为覆盖查询不需要读取文档，而是直接从索引中返回结果，这样的查询非常高效，所以 尽可能使用索引覆盖查询 。如果explain()的输出显示indexOnly字段为真，则说明这个查询就被一个索引覆盖。 步骤 3 执行计划解析。 1. 查看执行时间。 executionStats.executionStages.executionTimeMillisEstimate和executionStats.executionStages.inputStage. executionTimeMillisEstimate时间越短越好。 参数说明 参数名称 描述 executionStats.executionTimeMillis 执行计划选择和执行的所有时间 executionStats.executionStages.executionTimeMillisEstimate 最优执行计划的执行完成时间 executionStats.executionStages.inputStage. executionTimeMillisEstimate 最优执行计划下的子阶段执行完成时间 2. 查看扫描条数。 如下表中三个条目相同为最佳。 参数说明 参数名称 描述 executionStats. nReturned 匹配查询条件的文档数 executionStats .totalKeysExamined 索引扫描条目数 executionStats .totalDocsExamined 文档扫描条目数 3. 查看Stage状态。 性能较好的Stage状态组合如下： Fetch+IDHACK Fetch+ixscan, Limit+（Fetch+ixscan） PROJECTION+ixscan 状态说明 状态名称 描述 COLLSCAN 全表扫描 SORT 内存中进行排序 IDHACK 根据id进行查询 TEXT 全文索引 COUNTSCAN 未用索引计数 FETCH 索引扫描 LIMIT 使用Limit限制返回数 SUBPLA 未用索引的$or查询阶段 PROJECTION 使用索引计数 COUNTSCAN 使用索引计数

本页介绍天翼云TeleDB数据库语句行为相关参数。 searchpath (string) 这个变量指定当一个对象（表、数据类型、函数等）被用一个无模式限定的简单名称引用时，用于进行搜索该对象的模式顺序。当在不同模式中有同名对象时，将使用第一个在搜索路径中被找到的对象。一个不属于搜索路径中任何一个模式的对象只能通过用限定名（带点号）指定包含它的模式来引用。searchpath的值必需是一个逗号分隔的模式名列表。任何不是一个已有模式的名称，或者是一个用户不具有USAGE权限的模式，将被安静地忽略。如果列表项之一是特殊名user，则具有SESSIONUSER返回的名字的模式将取代它（如果有这样一个模式并且该用户有该模式的USAGE权限；如果没有，user会被忽略）。系统目录模式pgcatalog总是被搜索，不管它是否在搜索路径中被提及。如果它在路径中被提及，那么它将被按照路径指定的顺序搜索。如果pgcatalog不在路径中，则它将在任何路径项之前 被搜索。同样，当前会话的临时表模式pgtempnnn也总是被搜索（如果存在）。它可以在路径中通过使用别名pgtemp显式列出。如果在路径中没有列出，那么会首先对它进行搜索（甚至是在pgcatalog之前）。然而，临时模式只被用来搜索关系（表、视图、序列等）和数据类型名。它从不用于搜索函数或操作符名。当对象创建时没有指定一个特定目标模式，它们将被放置在searchpath中第一个合法模式中。如果搜索路径为空将报告一个错误。这个参数的缺省值是"$user", public。这种设置支持一个数据库（其中没有用户拥有私有模式，并且所有人共享使用public）、每个用户私有模式及其组合的共享使用。其它效果可以通过全局或者针对每个用户修改默认搜索路径设置获得。搜索路径的当前有效值可以通过SQL函数currentschemas检查。它和检查searchpath的值不太一样，因为currentschemas显示出现在searchpath中的项如何被解析。

能否查看使用次数最多的命令？ 不支持，目前Redis不支持查看历史命令记录，也无法查看命令使用次数与次数最多的命令。 如何清空Redis数据？ 控制台提供清空Redis实例数据的能力，具体操作请参考删除实例数据 Redis命令执行是否有超时时间？ 客户端超时时间由客户端控制，可以通过一些 Redis 客户端提供的选项或参数来实现。不同的客户端库可能具有不同的方式来设置命令超时时间，您可以参考所使用的客户端库的文档来了解如何设置超时时间。 服务端超时时间Timeout默认配置为0，不会主动断开连接。 若命令超时，则可能会出现超时异常或连接中断的情况。在出现命令超时的情况下，您可以根据具体的需求和情况来处理。一种常见的做法是捕获超时异常并进行适当的错误处理，例如重试命令、记录日志或向用户返回适当的错误信息。此外，还可以通过适当调整超时时间、优化命令性能或增加服务器资源来减少命令超时的发生。 如何查找匹配的Key和遍历所有Key？ 使用 Redis 的 SCAN 命令可以按照指定的模式或格式来查找匹配的key以及遍历所有key，SCAN 命令是一个游标迭代命令，它可以逐批返回匹配的键，避免一次性返回所有键。scan命令的使用方法可参考Redis官网 WebCli的常见报错信息？ Connection refused：该错误消息表示无法连接到 Redis 服务器。可能的原因是 Redis 服务器未启动、指定的主机或端口不正确 Could not resolve hostname：指定的 Redis 主机名无法解析为有效的 IP 地址。可能是由于主机名拼写错误、DNS 配置问题或网络不可达导致的。 ERR Wrong number of arguments for 'xxx' command：该错误信息表示执行的Redis命令存在参数错误或语法错误，可参考开源Redis命令协议介绍检查您执行的命令构造 ERR unknown command 'xxx'：该错误信息表示命令不支持，可参考开源Redis命令协议介绍检查您执行的命令构造 ERR Unsupported command: 'xxx'：该错误信息表示命令禁用

此章节为您介绍如何新增数据库资产。 支持的数据库 支持的数据库类型及版本请参见使用限制。 添加资产 添加资产包括单个添加和批量导入两种方式。 1. 在左侧菜单栏选择“资产 > 资产管理”进入“资产管理”页面，选择“资产管理”页签，单击“添加”。 2. 在弹出的“添加资产”窗口编辑相关信息。 参数填写规则可参见下表。 参数 参数说明 保存时启用推荐的规则 勾选此选项，则保存时添加的资产会使用系统推荐的规则；不勾选此选项，保存时添加的资产不会使用系统推荐的规则。 类型 设置资产类型，包括关系型、非关系型、大数据、图形、全文、文档、键值、其他等。 资产组 设置资产所属的资产组。 名称 填写资产的名称，必须为中文字符、字母、数字、下划线“”、点“.”或短横“”，长度不超过64字符。 操作系统 设置资产所在主机的操作系统。 IP端口 设置资产所在主机的IP及端口号。 说明 本地运维行为审计是指通过安装本地Agent捕获本地数据库客户端程序中实际响应的SQL指令，实现对本地运维人员数据库操作行为的审计，支持Oracle、PostgreSQL、MySQL、SQL Server等主流数据库。 当使用本地运维行为审计方式时，需要添加回环IP地址127.0.0.1和端口号，端口号需根据数据库类型进行填写。 如果使用的IP类型为IPv6，IP地址需填写为“::1”。 3. 如需配置其他更多信息，可点击“更多配置”，选择单向审计或双向审计，设置加密协议审计。参数填写规则可参见下表。 参数 参数说明 流量方向 单向审计：审计内容包括请求信息、客户端信息、服务端信息，不包括返回结果集。 双向审计：审计内容包括请求信息、客户端信息、服务端信息、返回结果集。 保存行数 取值范围：0~999，0表示不保存返回结果。最大保存内容为64KB。 最大保存长度 取值范围：1~64KB，确保整行显示。 解密私钥 加密协议导入解密私钥，目前支持MySQL、SQL Server、HTTPS加密解析，证书支持导入和编辑两种方式。 证书密码 安全证书的密码。 4. 配置完成后，单击“保存”即可完成资产添加。 说明 资产添加之后，需要确认部署模式。若选择流量代理模式，需要部署Agent程序才能完成数据库审计。

本文简述请求协议的配置方法。 功能介绍 配置请求协议，即配置允许客户端使用何种协议访问域名。 HTTP协议以明文方式发送内容，不提供任何方式的数据加密。 HTTPS协议是以安全为目标的HTTP通道，简单来说，HTTPS是HTTP的安全版，即将HTTP用SSL/TLS协议进行封装，HTTPS的安全基础是SSL/TLS协议。 在天翼云客户控制台开启HTTPS协议，将实现客户端和天翼云边缘节点之间请求的HTTPS加密。如果需要实现全链路HTTPS加密，还需要配置边缘节点以HTTPS协议回源到源站服务器（源站服务器需要支持HTTPS协议）。 开启HTTPS后，HTTPS请求的基本流程： 1.客户端以HTTPS协议请求边缘节点。 2.边缘节点将相应的SSL证书公钥传送给客户端。 3.客户端解析SSL证书公钥的正确性，如果SSL证书公钥正确，则会生成一个随机数（密钥），并用公钥进行加密，并传输给边缘节点。 4.边缘节点用之前的私钥进行解密，得到随机数（密钥）。 5.边缘节点用随机数（密钥）对传输的数据进行加密。 6.客户端用随机数（密钥）对边缘节点的加密数据进行解密，拿到相应的数据。 注意事项 域名配置HTTPS前，需要提前准备好域名的证书文件。 配置说明 1.登录边缘安全加速平台控制台。 2.进入域名基础配置页面，点击“新增域名”。 3.进入请求协议中勾选，需要支持客户端访问的协议HTTP/HTTPS。支持单选、多选。 4.若勾选HTTPS，需要关联对应的证书备注名或上传证书。 配置 说明 关联证书 1.选择有效的证书 上传证书 1.若未找到目标证书，可点击上传。 2.证书备注名，是指在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便选择时，选定正确的证书与所配置的域名进行关联。 域名新增完成后，编辑请求协议： 1.登录客户控制台。 2.在域名基础配置页面，点击目标域名。 3.在请求协议页面，单击“配置编辑”。 4.在请求协议中可勾选/取消勾选，调整请求协议。 5.若勾选HTTPS，可编辑域名关联的证书，或重新上传证书。

本章节介绍OPA策略 概述 OPA（Open Policy Agent）是一个通用的策略引擎，通过声明式的Rego语言实现丰富的授权策略。应用服务网格提供一键集成OPA引擎功能，整体架构如下： 其中OPA控制面包括： 1，OPA webhook服务，用于实现OPA sidecar的注入； 2，OpaPolicy controller监听OPA策略CRD，用于实现OPA策略分发； 业务pod内除了业务容器和istioproxy之外还会注入OPA sidecar，外部请求pod时流量被istioproxy拦截，根据定义的授权策略请求OPA sidecar，实现对请求的授权。 注意 注意：OPA sidecar当前使用8181端口管理OPA策略，使用9191端口提供外部鉴权服务，业务pod注意避开这两个端口。 开启OPA功能 使用OPA功能时首先要在打开开关，进入服务网格控制台，选择网格管理 > 自定义配置，勾选启用OPA 即可。 关闭OPA功能 进入服务网格控制台，选择网格管理> 自定义配置，取消勾选 启用OPA即可。 进入服务网格控制台，选择网格管理> OPA开关，关闭即可。 OPA策略管理 CSM服务网格采用自定义CRD（OpaPolicy）方式管理OPA策略，主要包括OPA策略生效的工作负载选择以及OPA策略（Rego），下面的配置对default命名空间下标签包含version: v1的工作负载生效，策略中定义了guest和admin两个角色，分别给两个角色定义了访问权限，同时还定义了两个用户bob和alice，分别赋予了特定角色；策略执行时会从请求中解析出用户，结合用户的权限和请求信息对访问进行鉴权。 apiVersion: istio.ctyun.cn/v1beta1 kind: OpaPolicy metadata: name: objectpolicy namespace: default spec: policy: package istio.authz import input.attributes.request.http as httprequest import input.parsedpath allow { rolesforuser[r] requiredroles[r] } rolesforuser[r] { r : userroles[username][] } requiredroles[r] { perm : roleperms[r][] perm.method httprequest.method perm.path httprequest.path } username parsed { [, encoded] : split(httprequest.headers.authorization, " ") [parsed, ] : split(base64url.decode(encoded), ":") } userroles { "alice": ["guest"], "bob": ["admin"] } roleperms { "guest": [ {"method": "GET", "path": "/productpage"}, ], "admin": [ {"method": "GET", "path": "/productpage"}, {"method": "GET", "path": "/api/v1/products"}, ], } workloadSelector: labels: version: v1

资产是指系统需要审计管理的数据库系统、网站等信息系统。 添加资产后，系统可对资产进行安全审计。 添加资产 添加资产包括单个添加和批量导入两种方式。 1. 在左侧菜单栏选择“资产 > 资产管理”进入“资产管理”页面，选择“资产管理”页签，单击“添加”。 2. 在弹出的“添加资产”窗口编辑相关信息。参数填写规则可参见下表。 参数 参数说明 保存时启用推荐的规则 勾选此选项，则保存时添加的资产会使用系统推荐的规则。 不勾选此选项，保存时添加的资产不会使用系统推荐的规则。 类型 设置资产类型，包括关系型、非关系型、大数据、图形、全文、文档、键值、其他、天翼云RDS等。 说明 若添加天翼云RDS资产，还需要在“系统管理 > 日志采集方式”中开启接收天翼云RDS日志。 资产组 设置资产所属的资产组。 名称 填写资产的名称，必须为中文字符、字母、数字、下划线“”、点“.”或短横“”，长度不超过64字符。 操作系统 设置资产所在主机的操作系统。 IP端口 设置资产所在主机的IP及端口号。 说明 本地运维行为审计是指通过安装本地Agent捕获本地数据库客户端程序中实际响应的SQL指令，实现对本地运维人员数据库操作行为的审计，支持Oracle、PostgreSQL、MySQL、SQL Server等主流数据库。 当使用本地运维行为审计方式时，需要添加回环IP地址127.0.0.1和端口号，端口号需根据数据库类型进行填写。 如果使用的IP类型为IPv6，IP地址需填写为“::1”。 3. 如需配置其他更多信息，可点击“更多配置”，选择单向审计或双向审计，设置加密协议审计。参数填写规则可参见下表。 参数 参数说明 流量方向 单向审计：审计内容包括请求信息、客户端信息、服务端信息，不包括返回结果集。 双向审计：审计内容包括请求信息、客户端信息、服务端信息、返回结果集。 保持行数 取值范围：0~999，0表示不保存返回结果。最大保存内容为64KB。 最大保存长度 取值范围：1~64KB，确保整行显示。 解密私钥 加密协议导入解密私钥，目前支持MySQL、SQL Server、HTTPS加密解析，证书支持导入和编辑两种方式。 证书密码 安全证书的密码。 4. 配置完成后，单击“保存”即可完成资产添加。 说明 资产添加之后，需要确认部署模式。若选择流量代理模式，需要部署Agent程序才能完成数据库审计。

本节主要介绍查询迁移进度 迁移进度展示了迁移过程中，实时迁移任务的表迁移进度，可以帮助您了解迁移完成的情况。 DRS提供流式进度展示，帮助您在迁移过程中实时了解迁移进展。全量迁移过程中，展示迁移进度总览和迁移明细。 进度总览中，您可以查看结构、数据、索引迁移的进度，当显示为100%时，表示该项迁移完成。过程中，数据和索引的迁移相对较慢。 迁移明细中，您可以查看具体迁移对象的迁移进度，当“对象数目”和“已迁移数目”相等时，表示该对象已经迁移完成，可通过“查看详情”查看每个对象的迁移进度。增量迁移中，“进度明细”将不再显示，您可以使用“迁移对比”页签查看一致性情况。 前提条件 已登录数据复制服务控制台。 已启动迁移任务。 操作步骤 步骤 1 在“实时迁移管理”界面，选中指定迁移任务，单击任务名称，进入“基本信息”页面。 步骤 2 单击“迁移进度”页签，查看迁移进度。 查看结构、数据、索引的迁移的百分比进度。 “全量迁移”模式：当全量迁移完成时，显示全量迁移各项指标完成进度100%。 “全量+增量”迁移模式：全量迁移完成后，开始进行增量迁移可，在“迁移进度”页签下，查看增量迁移同步时延。 增量迁移时延也可在“实时迁移管理”界面查看，当增量时延超过用户设置或系统默认的时延阈值时，任务管理界面增量时延显示为红色。 说明 时延 源库当前系统时间 成功同步到目标库的最新一个事务在源库的提交成功时间。 一个事务同步的完整过程如下： 1. 源端数据库的抽取； 2. 经过网络的传输； 3. 由DRS进行日志解析； 4. 最终在目标数据库上的执行完成。 这样完成了事务从源到目标的同步，时延为该事务最后在目标数据库上执行完成时的源库当前系统时间（currenttime）与该事务在源库的提交成功时间（committedtime）的时间差，时延为0代表源和目标瞬时一致，无新的事务需要同步。 注意 长时间未提交事务和频繁DDL操作均可以造成高时延。 查看迁移对象的进度。在“进度明细”下，单击目标迁移对象“详细信息”列的“查看详情”，查看对象的迁移进度，进入增量迁移后，该数据将不再显示，您可以使用“迁移对比”页签，进行一致性对比。

操作场景 本章介绍了如何添加运行CCE集群的节点池以及对节点池执行操作。要了解节点池的工作原理，请参阅节点池概述。 操作步骤 将节点池添加到现有集群。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 单击右上角的“创建节点池”。 步骤 3 在创建节点池页面中，参照如下说明设置节点池选型参数。 计费模式： 节点池仅支持“按需计费”的计费模式，该模式将根据实际使用的资源按小时计费。 节点池创建后，自建的节点池里的资源无法转包周期，默认节点池里的资源可以转包周期。您可以把自建节点池里的资源迁移到默认的节点池里后再进行转包周期的操作。如何迁移请参见迁移节点。 当前区域：指节点实例所在的物理位置。 请就近选择靠近您业务的区域，可减少网络时延，提高访问速度；不同区域的云服务产品之间内网互不相通。 节点池名称：新建节点池的名称，默认按“集群名nodepool随机数”生成名称，可自定义。 节点类型：目前仅支持虚拟机节点。 节点购买数量：该节点池下购买的节点数量，此处设置的节点数不能超过集群管理的最大节点规模，请根据业务需求和界面提示选择，如需更多配额，请单击提交工单申请扩大配额。 弹性扩缩容： − 默认不开启。 − 单击 开启后，节点池将根据集群负载情况自动创建或删除节点池内的节点，参数设置如下： 节点数上限和节点数下限：您可设置节点数的上限和下限，保证节点数在合理的范围内伸缩。 优先级：请根据业务需要设置相应数值，该数值表示节点池之间进行弹性扩缩容的优先级，数值越大优先级越高，如设置为4的节点池比设置为1的节点池优先启动弹性伸缩。若多个节点池的值设置相同，如都设置为2，表示这几个节点池之间不分优先级，系统将按最小资源浪费原则进行伸缩。 弹性缩容冷却时间：请设置时间，单位为分钟或小时。弹性缩容冷却时间是指当前节点池扩容出的节点多长时间不能被缩容。 说明： 节点池中的节点建议不要放置重要数据，以防止节点被弹性缩容，数据无法恢复。 为保证功能的正常使用，节点池开启弹性扩缩容功能后，请务必安装autoscaler。 可用区：可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 请根据业务需要进行选择。节点池创建之后不支持修改可用区属性，请谨慎选择。 如果您需要提高工作负载的高可靠性，建议您选择“随机可用区”，将节点随机均匀分布在不同可用区中。 节点规格：请根据业务需求选择相应的节点规格。 须知： 为确保节点稳定性，系统会自动预留部分资源，用于运行必须的系统组件，详细请参见节点预留资源计算公式 。 操作系统：请直接选择节点对应的操作系统。 须知：重装操作系统或修改操作系统配置将导致节点不可用，请务必谨慎操作。 虚拟私有云：跟随集群，不可变更。 所在子网：通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 可选择该集群虚拟私有云下的任意子网，集群节点支持跨子网。 请确保子网下的DNS服务器可以解析对象存储服务域名，否则无法创建节点。 系统盘：设置工作节点的系统盘空间。您可以设置系统盘的规格为40GB1024GB之间的数值，缺省值为40GB。 在默认情况下，系统盘可提供高IO、超高IO两种基本的云硬盘类型。 数据盘：设置工作节点的数据盘空间。您可以设置数据盘的规格为100GB32768GB之间的数值，缺省值为100GB。数据盘可提供的云硬盘类型与系统盘一致，此处不再赘述，详情参见系统盘中的云硬盘类型介绍。 须知： 若数据盘卸载或损坏，会导致docker服务异常，最终导致节点不可用。建议不要删除该数据盘。 登录方式：支持密码和密钥对。 −选择“密码”：用户名默认为“root”，请输入登录节点的密码，并确认密码。 登录节点时需要使用该密码，请妥善管理密码，系统无法获取您设置的密码内容。 −选择“密钥对”：在选项框中选择用于登录本节点的密钥对，并单击勾选确认信息。 密钥对用于远程登录节点时的身份认证。若没有密钥对，可单击选项框右侧的“创建密钥对”来新建，创建密钥对操作步骤请参见。 步骤 4 云服务器高级设置：（可选），单击 展开后可对节点进行如下高级功能配置： 安装前执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装前执行，可能导致Kubernetes软件无法正常安装，需谨慎使用。常用于格式化数据盘等场景。 安装后执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装后执行，不影响Kubernetes软件安装。常用于修改Docker配置参数等场景。 步骤 5 Kubernetes高级设置：（可选），单击 展开后可对集群进行如下高级功能配置： 最大实例数：节点最大允许创建的实例数(Pod)，该数量包含系统默认实例，取值范围为16~128。 该设置的目的为防止节点因管理过多实例而负载过重，请根据您的业务需要进行设置。 Taints：默认为空。支持给该节点池扩容出来的节点加Taints来设置反亲和性，每个节点池最多配置10条Taints，每条Taints包含以下3个参数： −Key：必须以字母或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符；另外可以使用DNS子域作为前缀。 −Value：必须以字符或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符。 −Effect：只可选NoSchedule，PreferNoSchedule或NoExecute。 须知： Taints配置时需要配合Pod的toleration使用，否则可能导致扩容失败或者Pod无法调度到扩容节点。 节点池创建后可单击列表项的“编辑”修改配置，修改后将同步到节点池下的已有节点。 K8S标签：K8S标签是附加到Kubernetes 对象（比如Pods）上的键值对，旨在用于指定对用户有意义且相关的对象的标识属性，但不直接对核心系统有语义含义。 详细请参见Labels and Selectors。 单容器可用数据空间：该参数用于设置一个容器可用的数据空间大小，设置范围为10G到80G。如果设置的参数超过数据盘中Docker可占用的实际数据空间（由数据盘设置项中的资源分配自定义参数指定，默认为数据盘大小的90%），将以Docker的实际空间大小为主。该参数仅在v1.13.10r0及以上版本的集群中显示。 步骤 6 （可选）您可以单击左侧的 按钮添加多个节点池，在按钮下方可以查看您可用的节点池配额数量。 步骤 7 完成配置后，单击“下一步：配置确认”，确认所设置的服务选型参数、规格和费用等信息。 步骤 8 确认规格和费用后，单击“提交”，节点池开始创建。 节点池创建预计需要610分钟，您可以单击“返回节点池管理”进行其他操作或单击“查看节点池事件列表”后查看节点池详情。待节点池状态为“正常”，表示节点池创建成功。 查看创建的节点池 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在节点池管理页面中，单击右上角的集群选择框，选择集群后可显示当前集群下所有的节点池，并可查看每个节点池的节点类型、节点规格、弹性扩缩容状态和操作系统等。 须知： 节点池功能上线后，会在每个集群中创建一个默认节点池“DefaultPool”，该节点池不能被编辑、删除或迁移，集群中原有的节点及节点池外创建的节点均会显示在默认节点池“DefaultPool”中。 单击默认节点池“DefaultPool”中“节点”数据框，可查看DefaultPool中的节点列表。 步骤 3 单击右上角的Autoscaler状态选择框，可筛选全部、已启用、未启用Autoscaler功能的节点池。 步骤 4 在节点池列表中，单击节点池的名称，在节点池详情页面，可查看节点池的基本信息、ECS高级设置、Kubernetes高级设置、节点列表等信息。

Bot管理版本说明 版本 免费版 高级版 适用场景 适用于小型网站、放行合法爬虫需求。 适用于中小型网站的爬虫防护。 流量/带宽 订购流量或者带宽 订购流量或者带宽 动态请求数 订购动态请求数 订购动态请求数 支持主域名个数 1 1 支持总域名个数（包括主域名和其下的子域名） 1 10 下表描述了主要功能模块在不同套餐中的支持情况。 √：表示在当前版本中支持。 ×：表示在当前版本中不支持。 分类 功能模块 描述 免费版 高级版 业务接入 泛域名防护 支持接入泛域名。 √ √ 业务接入 静态加速 支持将静态资源缓存到边缘节点，达到加速效果。 √ √ 业务接入 动态加速 支持动态资源采用最优链路回源。 × √ 业务接入 WebSockets 支持WebSockets协议 付费支持 付费支持 业务接入 quic协议 支持quic协议 × √ 业务接入 HTTPS防护 支持HTTPS防护。 √ √ 业务接入 IPv6 访问 支持对IPv6访问流量安全检测与防护。 √ √ 业务接入 IPv6 外链改造 提高网站链接的IPv6支持度，解决IPv6天窗问题。 × √ 业务接入 IPv6支持度检测 支持检测网站IPv6链接支持度，并输出分析结果与检测报告。 1 20 业务接入 非标准端口防护 支持防护80、443以外的非标准端口上的业务。 × × 业务接入 HTTP2防护 支持防护使用HTTP/2协议的网站。 √ √ 业务接入 回源IP管理 为了防止攻击者获取您的源站IP直接攻击源站，您可以设置源站服务器的访问控制策略，只放行边缘云节点回源IP段的入方向流量。 × √ 基础安全防护 DDoS防护 主动防御网络层DDoS攻击。 付费支持 付费支持 基础安全防护 Web防护 支持防护常见的Web攻击。 付费支持 付费支持 基础安全防护 自定义防护界面 支持用户自定义响应给客户端的拦截界面。 × √ 基础安全防护 访问控制 支持基于基础字段和高级字段进行组合，设置白名单和黑名单。 5条/域名 20条/域名 基础安全防护 频率控制 支持基于基础字段和高级字段进行组合，设置访问频率。 5条/域名 20条/域名 高级安全防护 验证码 为网页、小程序开发者提供全面的人机验证，适用于登录注册、电商大促、数据保护等场景。 × √ 高级安全防护 爬虫情报 支持针对搜索引擎IP放行、针对恶意Bot请求IP封禁，目前爬虫情报库已维护接近10万条数据。 √ √ 高级安全防护 IP情报 支持针对已维护的IP信誉库，从威胁类型维度（IDC服务器、傀儡机、漏洞利用等十几类）进行IP封禁，目前IP信誉库已维护接近120万条数据。 √ √ 高级安全防护 爬虫陷阱 在页面里面嵌入不可见链接，当爬虫触碰链接时进行防护。 × √ 高级安全防护 高频爬虫限制 防止攻击者盗用合法Cookie进行大量请求，限制不同粒度的访问速率。 × √ 高级安全防护 人机识别策略 通过cookie挑战、跳转挑战、人机挑战等防爬策略，精准命中爬虫流量，拦截各类恶意爬虫。 × √ 高级安全防护 大数据深度学习引擎 基于网站访问流量深度学习，自动生成防护策略。 × √ 高级安全防护 API安全 支持对已接入WAF的API资产进行全面安全防护。 付费支持 付费支持 网站风险监测 漏洞扫描 支持远程扫描Web漏洞和按照国际权威安全机构WASC分类的25种Web应用漏洞，全面覆盖OWASP Top 10 Web应用风险。 1/域名/次/月 2/域名/次/月 网站风险监测 安全事件监测 支持监测网页中挂马及黑链的恶意代码，网页是否被非法篡改 × 任务数：1/个/域名 最小监测周期：12小时 网站风险监测 内容安全监测 支持监测网站文字和图片是否包含涉黄、涉毒、涉政、赌博、暴恐、邪教等敏感内容。 × 任务数：1/个/域名 最小监测周期：12小时 网站风险监测 DNS监测 多线路远程实时监测目标站点在多种网络协议下的响应速度、可访问性等反映网站性能状况的内容 × 任务数：1/个/域名 最小监测周期：30分钟 网站风险监测 可用性监测 支持实时监测各地主流ISP的DNS缓存服务器和用户DNS授权服务器的解析过程及结果。 × 任务数：1/个/域名 最小监测周期：30分钟 产品服务 日志服务 提供攻击日志、业务日志。 √ √ 产品服务 安全报表 提供Web攻击、CC攻击报表。 15天 92天 产品服务 监控告警 支持自定义监控告警。 √ √ 产品服务 安全VIP服务 提供专业安全专家主动运营服务，持续深入定制整体防护方案。 付费支持 付费支持 产品服务 态势感知大屏 提供数据大屏服务，让安全攻防状态一目了然。 付费支持 付费支持

名词 说明 应用双活架构 用户的业务应用部署在云上两个地域或可用区作为两个数据中心，数据中心资源不闲置，两个中心同时对外提供服务，业务流量跨中心双活，灾难发生时能够快速切换流量和数据，期望业务改造成本较低，不需要过多考虑数据一致性问题。 数据双活架构 用户的业务应用部署在云上两个地域或可用区作为两个数据中心，数据中心资源不闲置，两个中心同时对外提供服务，期望每个数据中心承载一部分完整的流量调用，不受物理距离约束，灾难发生时可以互相接管。 应用系统 应用系统是业务应用在多活产品内的具体实例，指应用在多活系统上的逻辑概念，用于进行租户粒度的管控配置和隔离。一个应用系统跨越多个站点，可创建多个单元、多个单元组。 站点 应用容灾的物理地域粒度，对应Region或AZ，如广州站点、北京站点。 单元 应用在站点内的一个逻辑业务中心，对应一套完整的业务系统，流量可以实现在单元内闭环和单元间隔离。 单元组 业务单元可以划分为不同逻辑小组，单元组之间路由规则相互独立，不同的单元组可设置不同的路由转发逻辑。 路由规则 描述流量在单元间分配的规则，包括路由标识、标识解析、流量比例、精准转发等功能策略。 路由标识 业务请求的特征标识，是路由计算的输入，常采用业务系统的用户ID。 标识提取 接入层从HTTP请求信息中提取路由标，应用层从中间件框架中植入和提取，需要跟业务系统提前约定，并由业务系统设置到指定参数。 管控通道 管理台与业务应用不直接交互，通过中继的管控通道解耦，规则推送到应用本地生效，是容灾多活产品控制面和数据面分离架构的核心组成部分。 服务类型 根据不同的访问诉求，赋予单元组内应用服务相应的路由类型，便于用户理解和管理。 中心服务：适用于数据不可拆分或还未拆分的应用服务，标识主容灾单元，数据读写均在主单元内。 普通服务：适用于数据水平拆分流量在单元内闭环的应用服务，数据读写本地单元，其他分片的流量将被接入层转发或数据层拦截。 本地服务：适用于副本类或只读类（或读多写少，不考虑写冲突）的应用服务，数据读写本地单元，不限制数据分片。

DCS自定义策略 如果系统预置的DCS权限，不满足您的授权要求，可以创建自定义策略。 DCS的支持自定义策略授权项如下表所示。 DCS授权项明细 权限 授权项 IAM项目(Project) 企业项目(Enterprise Project) 创建缓存实例 dcs:instance:create √ √ 查询指定实例 dcs:instance:get √ √ 修改实例信息 dcs:instance:modify √ √ 删除实例 dcs:instance:delete √ √ 缓存实例扩容 dcs:instance:scale √ √ 查询实例列表 dcs:instance:list √ √ 查询实例配置信息 dcs:instance:getConfiguration √ √ 修改实例配置信息 dcs:instance:modifyConfigureation √ √ 重启实例或清空数据 dcs:instance:modifyStatus √ √ 修改实例密码 dcs:instance:modifyAuthInfo √ √ 备份实例数据 dcs:instance:backupData √ √ 恢复实例数据 dcs:instance:restoreData √ √ 查询备份任务 dcs:instance:getDataBackupLog √ √ 查询恢复任务 dcs:instance:getDataRestoreLog √ √ 删除备份文件 dcs:instance:deleteDataBackupFile √ √ 查询实例后台任务 dcs:instance:getBackgroundTask √ √ 删除后台任务 dcs:instance:deleteBackgroundTask √ √ 重置实例密码 dcs:instance:resetAuthInfo √ √ 下载备份文件 dcs:instance:downloadBackupData √ √ 实例数据迁移 dcs:instance:migrateData √ √ Web CLI dcs:instance:webcli √ √ 创建迁移任务 dcs:migrationTask:create √ X 修改迁移任务配置或停止迁移任务 dcs:migrationTask:modify √ X 删除迁移任务 dcs:migrationTask:delete √ X 查询迁移任务列表 dcs:migrationTask:list √ X 查询迁移任务详情 dcs:migrationTask:get √ X 诊断实例 dcs:instance:diagnosis √ √ 查询参数模板列表 dcs:template:list √ X 创建参数模板 dcs:template:create √ X 实例主备倒换 dcs:instance:swap √ √ 修改实例白名单信息 dcs:whitelist:modify √ √ 获取实例白名单列表 dcs:whitelist:list √ √ 创建实例访问帐号 dcs:aclaccount:create √ √ 删除实例访问帐号 dcs:aclaccount:delete √ √ 修改实例访问帐号信息 dcs:aclaccount:modify √ √ 获取实例访问帐号列表 dcs:aclaccount:list √ √ 查询慢日志列表 dcs:slowlog:list √ √ 查询参数模板 dcs:template:get √ X 查询任务进度 dcs:job:get √ √ 查看实例审计日志 dcs:auditlog:get √ √ 查询实例升级信息 dcs:instance:getUpgradeInfo √ √ 查询实例SSL信息 dcs:ssl:get √ √ 重建域名解析 dcs:domainname:rebuild √ √ 实例间交换IP地址 dcs:migrationTask:exchangeIp √ X 实例交换IP后回滚 dcs:migrationTask:rollbackIp √ X Kill Redis会话 dcs:clients:kill √ √ 修改参数模板 dcs:template:modify √ X 开启或关闭公网域名解析 dcs:publicdomainname:update √ √ 删除参数模板 dcs:template:delete √ X 释放历史域名解析 dcs:histroydomainname:release √ √ 升级实例版本 dcs:instance:upgrade √ √ 分析实例的大key或者热key dcs:instance:analyze √ √ 开启或关闭实例审计日志 dcs:auditlog:modify √ √ 开启或关闭客户端ip透传 dcs:clientiptrans:modify √ √ 修改实例SSL信息 dcs:ssl:modify √ √ 查询Redis会话列表 dcs:clients:list √ √ 目前云服务平台支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 本章为您介绍常用的DCS自定义策略样例。 说明 由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的细粒度策略后，大概需要等待5分钟细粒度策略才能生效。

梳理网站的历史访问与攻击情况 单用户的访问频率一般有多少，有助于后续制定合适的频率控制策略。 是否遭受过大流量网络层攻击，判断是否需要开通DDoS服务以及开通多少防护规格。 是否遭受过大量高频的CC攻击，有助于提前配置对应的CC防护策略。 域名接入安全与加速服务 新增域名 需要进入边缘安全加速平台控制台的安全与加速服务，添加加速域名成功后，将域名DNS解析到域名的CNAME，具体操作见新增域名。 配置域名基础配置 根据需求针对域名的回源配置、Websocket、HTTPS配置、IPv6等进行更高级的配置，具体操作见基础配置。 配置域名加速配置 根据需求针对域名的缓存相关配置进行配置，具体操作见缓存配置。 配置域名防护策略 域名接入边缘安全加速平台后，您可根据网站业务需求选择合适的防护策略，具体操作见网站防护配置。 安全基础配置 选择适合您的网站防护模式，默认为告警模式；漏洞防护配置一般情况下建议选择敏感防护规则集，适用于常规网站，且允许少量误报的业务场景。 高级防护 安全与加速服务提供高级防护功能，包括CSRF防护、cookie防护、敏感词防护、攻击挑战、广告防护、网页防篡改等，高级防护功能默认为关闭状态，您可以根据业务需要选择开启响应的防护功能。 访问控制 访问控制可针对IP,IP段，URI，METHOD，请求地区，请求参数，请求头部，请求协议进行组合，设置白名单和黑名单，对请求进行拦截和放行， 保证客户网站不受未知访问的攻击 。 合规检测 合规检测功能可以根据用户实际配置的条件，检查HTTP协议头部，对HTTP请求信息中的方法以及参数长度等信息进行检测，对不符合要求的请求项进行拦截或告警。 域名规则配置 使用基于正则的规则防护引擎和基于机器学习的 AI 防护引擎，进行 Web 漏洞和未知威胁防护， 您可以查看对应的防护规则 ，根据您的业务需求选择开启或关闭规则。 CC配置 CC防护根据访问者的URL，频率、行为等访问特征，迅速智能地识别CC攻击并进行拦截，在大规模CC攻击时可以避免源站资源耗尽，保证企业网站的正常访问。

本文 主要介绍CCE发布Kubernetes 1.9及之前版本说明。 云容器引擎（CCE）严格遵循社区一致性认证。本文介绍CCE发布Kubernetes 1.9及之前版本所做的变更说明。 表 v1.9及之前版本集群说明 Kubernetes版本（CCE增强版） 版本说明 v1.9.10r2 主要特性： ELB负载均衡支持源IP跟后端服务会话保持 v1.9.10r1 主要特性： 支持对接SFS存储 支持Service自动创建二代ELB 支持公网二代ELB透传源IP 支持设置节点最大实例数maxPods v1.9.10r0 主要特性： kubernetes对接ELB/Ingress，新增流控机制 Kubernetes同步社区1.9.10版本 支持Kubernetes RBAC能力授权 问题修复： 修复操作系统cgroup内核BUG导致概率出现的节点内存泄漏问题 v1.9.7r1 主要特性： 增强PVC和PV事件的上报机制，PVC详情页支持查看事件 支持对接第三方认证系统l 集群支持纳管EulerOS2.3的物理机 数据盘支持用户自定义分配比例 物理机场景支持对接EVS云硬盘存储 物理机场景下支持IB网卡 物理机场景支持通过CMv3接口创建节点 v1.9.7r0 主要特性： 新建集群的Docker版本升级到1706 支持DNS级联 支持插件化管理 Kubernetes同步社区1.9.7版本 支持7层ingress的https功能 有状态工作负载支持迁移调度更新升级 v1.9.2r3 主要特性： 集群支持创建/纳管CentOS7.4操作系统的节点 kubernetes的Service支持对接DNAT网关服务 NetworkPolicy能力开放 增强型ELB支持Service配置多个端口 问题修复： 修复kubernetes资源回收过程中连不上kubeapiserver导致pod残留的问题 修复节点弹性扩容数据不准确的问题 v1.9.2r2 主要特性： 经典型ELB支持自定义健康检查端口 经典型ELB性能优化 ELB四层负载均衡支持修改Service的端口 问题修复： 修复网络插件防止健康检查概率死锁问题 修复高可用集群haproxy连接数限制问题 v1.9.2r1 主要特性： Kubernetes同步社区1.9.2版本 集群节点支持CentOS 7.1操作系统 支持GPU节点，支持GPU资源限制 支持webterminal插件 v1.7.3r13 主要特性： 新建集群的Docker版本升级到1706 支持DNS级联 支持插件化管理 增强PVC和PV事件的上报机制 物理机场景支持对接OBS对象存储 v1.7.3r12 主要特性： 集群支持创建/纳管CentOS7.4操作系统的节点 kubernetes的Service支持对接DNAT网关服务 NetworkPolicy能力开放 增强型ELB支持Service配置多个端口 问题修复： 修复kubernetes资源回收过程中连不上kubeapiserver导致pod残留的问题 修复节点弹性扩容数据不准确的问题 事件老化周期提示修正：集群老化周期为1小时 v1.7.3r11 主要特性： 经典型ELB支持自定义健康检查端口 经典型ELB性能优化 ELB四层负载均衡支持修改Service的端口 支持删除命名空间 支持EVS云硬盘存储解绑 支持配置迁移策略 问题修复： 修复网络插件防止健康检查概率死锁问题 修复高可用集群haproxy连接数限制问题 v1.7.3r10 主要特性： 容器网络支持Overlay L2模式 集群节点支持GPU类型虚机 集群节点支持CentOS 7.1操作系统，支持操作系统选择 Windows集群支持对接二代ELBl 支持弹性文件服务SFS导入 物理机场景支持对接SFS文件存储、OBS对象存储 v1.7.3r9 主要特性： 工作负载支持跨AZ部署 容器存储支持OBS对象存储服务 支持ELB L7负载均衡 Windows集群支持EVS存储 物理机场景支持devicemapper directlvm模式 v1.7.3r8 主要特性： 集群支持节点弹性扩容 v1.7.3r7 主要特性： 容器隧道网络集群支持纳管SUSE 12sp2节点 docker支持directlvm模式挂载devicemapper 集群支持安装dashboard 支持创建Windows集群 v1.7.3r6 主要特性： 集群存储对接原生EVS接口 v1.7.3r5 主要特性： 支持创建HA高可靠集群 问题修复： 节点重启后容器网络不通 v1.7.3r4 主要特性： 集群性能优化 物理机场景支持对接ELB v1.7.3r3 主要特性： 容器存储支持KVM虚拟机挂载 v1.7.3r2 主要特性： 容器存储支持SFS文件存储 工作负载支持自定义应用日志 开放工作负载优雅缩容 问题修复： 修复容器存储AK/SK会过期的问题 v1.7.3r1 主要特性： kubedns支持外部域名解析 v1.7.3r0 主要特性： Kubernetes同步社区1.7.3版本 支持ELB负载均衡 容器存储支持XEN虚拟机挂载 容器存储支持EVS云硬盘存储

本节主要介绍步骤一：创建同步任务 本小节以MySQL>RDS for MySQL的实时同步为示例，介绍如何使用数据库复制服务创建两个数据库实例之间的实时同步任务，其他存储引擎的配置流程类似。 前提条件 已登录数据库复制服务控制台。 账户余额大于等于100元。 满足实时同步支持的数据库类型，详情请参见实时同步。 满足实时同步的使用限制，详情请参见概述。 操作步骤 1、 在“实时同步管理”页面，单击“创建同步任务”。 2、 在“同步实例”页面，填选区域、任务名称、任务异常通知设置、时延阈值、任务异常自动结束时间、描述、同步实例信息，单击“下一步”。 图 同步任务信息 表 任务与描述 参数 描述 任务名称 任务名称在450位之间，必须以字母开头，不区分大小写，可以包含字母、数字、中划线或下划线，不能包含其他的特殊字符。 任务异常通知设置 该项为可选参数，开启之后，需要填写手机号码或者邮箱作为指定收件人。当同步任务状态异常时，系统将发送通知给指定收件人。 说明 收到确认短信或邮件之后，需要在48小时内处理，否则该订阅无效，将无法收到异常通知。 时延阈值 在增量同步阶段，源数据库和目标数据库之间的同步有时会存在一个时间差，称为时延，单位为秒。 时延阈值设置是指时延超过一定的值后（时延阈值范围为1—3600s），DRS可以发送告警通知给指定收件人。告警通知将在时延稳定超过设定的阈值6min后发送，避免出现由于时延波动反复发送告警通知的情况。 说明 首次进入增量同步阶段，会有较多数据等待同步，存在较大的时延，属于正常情况，不在此功能的监控范围之内。 设置时延阈值之前，需要设置任务异常通知。 描述 描述不能超过256位，且不能包含! & ' " 特殊字符。 图 同步实例信息 表 同步实例信息 参数 描述 数据流动方向 选择“入云”，即目标端数据库为本云数据库。 源数据库引擎 选择MySQL。 目标数据库引擎 选择MySQL。 网络类型 此处以公网网络为示例。 可根据业务场景选择公网网络、VPC网络和VPN、专线网络。 目标数据库实例 用户所创建的关系型数据库实例。 说明 目标数据库实例不支持选择只读实例。 目标数据库实例可以和源数据库选择同一个实例。 同步类型 此处以“全量+增量”为示例。 “全量+增量”： 该模式为数据持续性实时同步，通过全量过程完成目标端数据库的初始化后，增量同步阶段通过解析日志等技术，将源端和目标端数据保持数据持续一致。 说明 选择“全量+增量”同步模式，增量同步可以在全量同步完成的基础上实现数据的持续同步，无需中断业务，实现同步过程中源业务和数据库继续对外提供访问。 “增量”： 增量同步通过解析日志等技术，将源端产生的增量实时同步至目标端。 3、同步实例创建成功后，在“源库及目标库”页面，填选源库信息和目标库信息后，单击“源库和目标库”处的“测试连接”，分别测试并确定与源库和目标库连通后，勾选协议，单击“下一步”。 入云和出云场景中源库和目标库需要填选的信息不同，具体以界面为准。 入云场景： 图 源库信息 表 源库信息 参数 描述 IP地址或域名 源数据库的IP地址或域名。 端口 源数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 源数据库的用户名。 数据库密码 源数据库用户名所对应的密码。支持在任务创建后修改密码。 任务为启动中、全量同步、增量同步、增量同步失败状态时，可在“基本信息”页面的“同步信息”区域，单击“源库密码”后的“替换密码”，在弹出的对话框中修改密码。 SSL安全连接 通过该功能，用户可以选择是否开启对迁移链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不使用SSL证书，请自行承担数据安全风险。 说明 源数据库IP地址、端口、用户名和密码将在同步过程中被加密暂存到数据库和同步实例主机上，待该任务删除后会永久清除。 图 目标库信息 表 目标库信息 参数 描述 数据库实例名称 默认为创建迁移任务时选择的关系型数据库实例，不可进行修改。 数据库用户名 目标数据库对应的用户名。 数据库密码 目标数据库用户名对应的密码。支持在任务创建后修改密码。任务为启动中、全量同步、增量同步、增量同步失败状态时，可在“基本信息”页面的“同步信息”区域，单击“目标库密码”后的“替换密码”，在弹出的对话框中修改密码。 说明 目标数据库用户名和密码将在同步过程中被加密暂存到数据库和同步实例主机上，待该任务删除后会永久清除。 出云场景： 图 源库信息 表 源库信息 参数 描述 数据库实例名称 默认为创建任务时选择的云数据库实例，不可进行修改。 数据库用户名 源数据库对应的用户名。 数据库密码 源数据库用户名对应的密码。任务为启动中、全量同步、增量同步、增量同步失败状态时，可在“基本信息”页面的“同步信息”区域，单击“源库密码”后的“替换密码”，在弹出的对话框中修改密码 说明 源数据库的用户名和密码将在同步过程中被加密暂存到数据库和同步实例主机上，待该任务删除后会永久清除。 图 目标库信息 表 目标库信息 参数 描述 IP地址或域名 目标数据库的IP地址或域名。 端口 目标数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 目标数据库的用户名。 数据库密码 目标数据库的用户名所对应的密码。支持在任务创建后修改密码。 任务为启动中、全量同步、增量同步、增量同步失败状态时，可在“基本信息”页面的“同步信息”区域，单击“目标库密码”后的“替换密码”，在弹出的对话框中修改密码。 SSL安全连接 通过该功能，用户可以选择是否开启对迁移链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 说明 目标数据库的IP地址、端口、用户名和密码将在同步过程中被加密暂存到数据库和同步实例主机上，待该任务删除后会永久清除。 4、在“设置同步”页面，选择数据冲突策略和同步对象，单击“下一步” 图 同步模式 表 同步模式和对象 参数 描述 冲突策略 数据库复制服务提供的实时同步功能使用了主键或唯一键冲突策略，这些策略可以由您自主选择，尽可能保证源数据库中有主键约束或唯一键约束的表同步到目标数据库是符合预期的。 冲突策略目前支持如下三种形式： 忽略 当同步数据与目标数据库已有数据冲突时（主键/唯一键存在重复等），将跳过冲突数据，继续进行后续同步。 报错 当同步数据与目标数据库已有数据冲突时（主键/唯一键存在重复等），同步任务将失败并立即中止。 覆盖 当同步数据与目标数据库已有数据冲突时（主键/唯一键存在重复等），将覆盖原来的冲突数据。 说明 目前仅MySQL>RDS for MySQL的同步场景支持设置“覆盖”冲突策略。 当数据发生冲突时，针对如下情况，建议选“忽略”或者“覆盖”，否则建议选“报错”： 目标数据库存在数据 多对一同步场景 目标数据库手动更新数据 是否过滤DROP DATABASE 实时同步过程中，源数据库端执行的DDL操作在一定程度上会影响数据的同步能力，为了降低同步数据的风险，数据库复制服务提供了过滤DDL操作的功能。 目前支持默认过滤删除数据库的操作。 是，表示实时同步过程中不会同步用户在源数据库端执行的删除数据库操作。 否，则表示实时同步过程中将相关操作同步到目标库。 说明 目前仅以下链路的数据同步场景支持过滤DDL操作。 MySQL数据库>RDS for MySQL实例 RDS for MySQL实例>MySQL数据库 对象同步范围 对象同步范围支持普通索引和增量DDL同步。可根据业务需求选择是否进行同步。 同步对象 同步对象支持库级和表级同步，您可以根据业务场景选择对应的数据进行同步。部分链路还支持文件导入对象。 图 导入对象文件 如果有切换源数据库的操作或源库同步对象变化的情况，请务必在选择同步对象前单击右上角，以确保待选择的对象为最新源数据库对象。 说明 选择对象的时候支持搜索，以便您快速选择需要的数据库对象。 MySQL>RDS for MySQL实时同步支持表级和库级同步。 实时同步功能可以支持源数据库和目标数据库中的同步对象（包括数据库、schema、表）的名称不同。如果同步的数据库对象在源数据库和目标数据库中的命名不同，那么可以使用数据库复制服务提供的对象名映射功能进行映射。其中包括：库映射、schema映射、表映射。 对象名映射的具体操作请参考《数据库复制服务用户指南》中“对象名映射”章节。 导入对象文件的具体操作如下： 1. 单击“下载模板”。 2. 在下载的Excel模板中，填写需要导入的对象信息。 3. 单击“添加文件”，在对话框中选择编辑完成的模板。 4. 单击“上传文件”。 说明 文件导入仅支持导入Windows Microsoft Excel 972003版本（.xls），2007及以上版本（.xlsx）的文件，下载的压缩包提供上述两个版本模板 文件名支持的有效字符：大小写字母，数字，“”，“”,“(”，“)” 模板中的对象信息需按照SchemaName.TableName的格式进行填写，不支持“ ”，"."和“"”，且不支持以空格开头或结尾的对象。 文件导入成功后，必须保留本次上传的文件，以便需要再编辑该任务的数据库对象范围时，可直接基于此文件修改，然后再次上传。 用文件导入功能所创建的任务，任务启动之后再编辑时，不支持切换到“表级同步”和“库级同步”功能。 配置中的任务，可使用“表级同步”，“库级同步”或“文件导入”三种方式，每次切换新的方式后，当前选择或者导入的数据库对象被清空，需重新选择或导入。 5、在“数据加工”页面，根据需要设置数据加工的过滤规则。 如果不需要设置数据加工规则，选择“不加工”，单击“下一步”。 如果需要设置数据加工规则，选择“数据过滤”，参考数据加工，设置相关过滤规则 数据加工 6、在“预检查”页面，进行同步任务预校验，校验是否可进行实时同步。 查看检查结果，如有不通过的检查项，需要修复不通过项后，单击“重新校验”按钮重新进行任务预校验。 预检查不通过项处理建议请参见《数据库复制服务用户指南》中的“预检查不通过项修复方法”。 预检查完成后，且所有检查项结果均通过时，单击“下一步”。 图 预检查 说明 所有检查项结果均通过时，若存在请确认项，需要阅读并确认详情后才可以继续执行下一步操作。 7、在“任务确认”页面，设置同步任务的启动时间，并确认同步任务信息无误后，勾选协议，单击“启动任务”，提交同步任务。 说明 同步任务的启动时间可以根据业务需求，设置为“立即启动”或“稍后启动”。 预计同步任务启动后，会对源数据库和目标数据库的性能产生影响，建议选择业务低峰期，合理设置同步任务的启动时间。 8、同步任务提交后，您可在“实时同步管理”页面，查看并管理自己的任务。 您可查看任务提交后的状态，状态请参见参考：任务状态含义。 在任务列表的右上角，单击刷新列表，可查看到最新的任务状态。

参数 参数说明 启用响应提取 启用响应提取后，如果同一用例中存在多个报文，通过正则表达式或JSON提取把前一个报文的输出提取出来，作后一个报文的输入。 变量名称 变量的名称，命名必须唯一，响应提取的值赋予此变量。 预期值 预期响应提取出的变量值。开启后，会将响应提取到的值与预期值进行比对，如果不等则链接失败。 提取内容范围 响应提取内容的范围。其中，“报文内容”、“头域”和“URL”可通过正则表达式进行内容提取。 正则表达式 正则表达式是对字符串操作的一种逻辑公式，就是用事先定义好的一些特定字符、及这些特定字符的组合，组成一个“规则字符串”，这个“规则字符串”用来表达对字符串的一种过滤逻辑。完整的正则表达式由两种字符构成：特殊字符（special characters）称为“元字符”（meta characters）；其它为“文字”（literal），或者是普通文本字符（normal text characters，如字母、数字、汉字、下划线）。元字符的说明请参见 正则表达式元字符 。 说明 “()”表示提取，对于您要提取的内容需要用小括号括起来，每个“()”之间的内容表示一个子表达式。 第几个匹配项 在正则表达式已提取的内容中，获取第几个匹配的内容。取值范围：正整数。 说明 该参数值不可设置为0。 表达式取值 表示解析到的第几个子表达式的值。取值范围：自然数。 说明 取值为0：匹配整个正则表达式。 取值为1：匹配正则表达式的第一个子表达式即第一个“()”提取的内容。通过“正则表达式”和“第几个匹配项”提取出内容后，再通过“表达式取值”获得最终的提取内容。 需获取的键名 输入需要获取的键名。例：{"key":{"key1":"v1","key2":{"key3":"v3"},"key4":[{"key41":"v41","key42":"v42"},{"key41":"v43","key42":"v44"}]}}，如果想取出"v42"，则输入：key.key4[0].key42。 说明 仅在提取内容范围是json内的值时生效。 缺省值 正则匹配或JSON提取失败时，取的值。 条件表达式 与“需获取的键名”配套使用。例如：{"key":{"key1":"v1","key2":{"key3":"v3"},"key4":[{"key41":"v41","key42":"v42"},{"key41":"v43","key42":"v44"}]}}，如果需要表达：当key42v42时，提取目标值v41；则在“条件表达式”框里输入：key.key4[].key42 v42，在"需获取的键名"框里输入：key.key4[].key41。

logs命令查看函数的日志。 参数解析 参数全称 参数缩写 Yaml 模式下必填 Cli 模式下必填 参数含义 region 选填 必填 资源池ID，请参考资源池列表 functionname 选填 必填 函数名称 starttime s 选填 选填 开始时间戳，例如：1752740881 endtime e 选填 选填 结束时间戳，例如：1754036841 search 选填 选填 查询关键字 reverse 选填 选填 按时间倒序显示 操作案例 Yaml 模式 进入到资源描述文件（s.yaml）所在的路径，然后执行如下命令查看函数的日志： shell s logs Cli 模式 直接执行如下命令查看函数的日志： shell s cli faascf logs region bb9fdb42056f11eda1610242ac110002 functionname helloworld 执行完成输出示例： plaintext . / / ' () ( ( ) ' ' ' / / ) ) ( ) ) ) ) ' . , / / / / ///// :: Spring Boot :: (v2.1.8.RELEASE) 20251022 10:20:05.689 INFO 2 [ main] c.e.w.WebFrameworkApplication : Starting WebFrameworkApplication v0.0.1SNAPSHOT on globalresourcecachedrj46v with PID 2 (/code/webframework.jar started by root in /code) 20251022 10:20:05.691 INFO 2 [ main] c.e.w.WebFrameworkApplication : No active profile set, falling back to default profiles: default 20251022 10:20:08.014 INFO 2 [ main] o.s.b.w.embedded.tomcat.TomcatWebServer : Tomcat initialized with port(s): 9000 (http) 20251022 10:20:08.086 INFO 2 [ main] o.apache.catalina.core.StandardService : Starting service [Tomcat] 20251022 10:20:08.086 INFO 2 [ main] org.apache.catalina.core.StandardEngine : Starting Servlet engine: [Apache Tomcat/9.0.24] 20251022 10:20:08.213 INFO 2 [ main] o.a.c.c.C.[Tomcat].[localhost].[/] : Initializing Spring embedded WebApplicationContext 20251022 10:20:08.213 INFO 2 [ main] o.s.web.context.ContextLoader : Root WebApplicationContext: initialization completed in 2413 ms 20251022 10:20:08.601 INFO 2 [ main] o.s.s.concurrent.ThreadPoolTaskExecutor : Initializing ExecutorService 'applicationTaskExecutor' 20251022 10:20:08.916 INFO 2 [ main] o.s.b.w.embedded.tomcat.TomcatWebServer : Tomcat started on port(s): 9000 (http) with context path '' 20251022 10:20:08.918 INFO 2 [ main] c.e.w.WebFrameworkApplication : Started WebFrameworkApplication in 4.12 seconds (JVM running for 4.846) 20251022 10:20:09.020 INFO 2 [nio9000exec2] o.a.c.c.C.[Tomcat].[localhost].[/] : Initializing Spring DispatcherServlet 'dispatcherServlet' 20251022 10:20:09.020 INFO 2 [nio9000exec2] o.s.web.servlet.DispatcherServlet : Initializing Servlet 'dispatcherServlet' 20251022 10:20:09.026 INFO 2 [nio9000exec2] o.s.web.servlet.DispatcherServlet : Completed initialization in 6 ms

迁移建议（重要） 数据库迁移与环境多样性和人为操作均有密切关系，为了确保迁移的平顺，建议您在进行正式的数据库迁移之前进行一次演练，可以帮助您提前发现问题并解决问题，如何最小化对数据库的影响请参考如下建议。 强烈建议您在启动任务时选择“稍后启动”功能，将启动时间设置在业务低峰期，相对静止的数据可以有效提升一次性迁移成功率，避免迁移对业务造成性能影响。 迁移须知（重要） 注意 在创建迁移任务之前，请您务必仔细阅读迁移须知。 参考《数据复制服务实时迁移》中具体链路的“使用须知”。 迁移准备 1.权限准备： 当使用 DRS 将ECS自建MongoDB数据库的数据迁移到本云DDS实例时，在不同迁移类型情况下，对源数据库和目标数据库的帐号权限要求如表1： 表 迁移帐号权限 迁移类型 全量迁移 全量+增量迁移 源数据库 副本集：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限。 集群：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对config数据库有read权限。 单节点：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限。 如果需要迁移源数据库用户和角色信息，连接源数据库的用户权限需要对admin数据库的系统表system.users，system.roles有读权限。 副本集：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 单节点：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 集群：连接源数据库mongos节点的用户权限需要对admin数据库有readAnyDatabase权限，对config数据库有read权限， 连接源数据库分片节点的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 l 如果需要迁移源数据库用户和角色信息，连接源数据库的用户权限需要对admin数据库的系统表system.users，system.roles有读权限。 目标数据库 连接目标数据库的用户权限需要对admin数据库有readAnyDatabase权限，对目标数据库有readWrite权限。 源数据库权限设置： 需要确保源数据库MongoDB的帐号权限具备表1的要求。若权限不足，需要在源数据库端开通高权限的帐号。 目标数据库权限设置： 本云DDS实例使用初始帐号即可。 2.网络准备： 源数据库所在的region需要和目标DDS所在的region保持一致。 源数据库可以与目标DDS实例在同一个VPC，也可以不在同一个VPC。 当不在同一个VPC的时候，要求源数据库实例和目标端DDS实例所处的子网处于不同网段，此时需要通过建立对等连接实现网络互通，具体操作请参见《虚拟私有云用户指南》中“VPC对等连接”章节。 当在同一VPC的时候，网络默认是互通的。 3.安全规则准备： 同一VPC场景下，默认网络是连通的，不需要单独设置安全组。 不同VPC场景下，通过建立对等连接就可以实现网络互通，不需要单独设置安全组。 4.其他事项准备： 由于迁移过程不会迁移MongoDB数据库的用户信息以及相关参数，需要自行将上述信息导出后，手动添加到目标DDS中。 迁移步骤 1.创建迁移任务。 A.登录管理控制台，在服务列表中选择“数据库 > 数据复制服务”，进入数据复制服务信息页面。 B.在“实时迁移管理”页面，单击右上角“创建迁移任务”，进入迁移任务信息页面。 C.在“迁移实例”页面，填选任务名称、通知收件人、描述和迁移实例信息。 图 迁移实例信息 表 任务和描述 参数 描述 区域 当前所在区域，可进行切换。 任务名称 任务名称在450位之间，必须以字母开头，不区分大小写，可以包含字母、数字、中划线或下划线，不能包含其他的特殊字符。 描述 描述不能超过256位，且不能包含! & ' " 特殊字符。 表 迁移实例信息 参数 描述 数据流动方向 选择入云。 源数据库引擎 选择MongoDB数据库引擎。 目标数据库引擎 选择DDS数据库引擎。 网络类型 选择VPC网络。 目标数据库实例 您所创建的本云DDS实例。 迁移模式 此处以全量+增量模式为示例。 全量：该模式为数据库一次性迁移，适用于可中断业务的数据库迁移场景，全量迁移将非系统数据库的全部数据库对象和数据一次性迁移至目标端数据库，包括：表、视图、存储过程等。 说明 如果用户只进行全量迁移时，建议停止对源数据库的操作，否则迁移过程中源数据库产生的新数据不会同步到目标数据库。 全量+增量：该模式为数据库持续性迁移，适用于对业务中断敏感的场景，通过全量迁移过程中完成的目标端数据库的初始化后，增量迁移阶段通过解析日志等技术，将远端和目标端数据库保持数据持续一致。 说明 选择“全量+增量”迁移模式，增量迁移可以在全量迁移完成的基础上实现数据的持续同步，无需中断业务，实现迁移过程中源业务和数据库继续对外提供访问。 D.在“源库及目标库”信息页面，迁移实例创建成功后，填选源库信息和目标库信息，建议您单击“源库和目标库”处的“测试连接”，分别测试并确定与源库和目标库连通后，勾选协议，单击“下一步”。 图 源库及目标库信息 表 源库信息 参数 描述 源库类型 选择“自建库”。 VPC 源数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。子网在可用分区内才会有效，创建源数据库实例的子网需要开启DHCP功能，在创建过程中也不能关闭已选子网的DHCP功能。如何创建子网，请参见《虚拟私有云用户指南》。 IP地址或域名 配置源MongoDB数据库实例的访问地址或域名。 端口 配置源MongoDB数据库实例的服务端口，可输入范围为1~65535间的整数。 数据库用户名 访问源MongoDB数据库的用户名。 数据库密码 访问源MongoDB数据库的用户名所对应的密码。 SSL安全连接 您可以选择开启SSL安全连接，对迁移链路进行加密，开启之后，需要您上传加密证书。 表 目标库信息 参数 描述 数据库实例名称 默认为创建迁移任务时选择的已创建的本云DDS实例，不可进行修改。 数据库用户名 访问目标数据库本云DDS的用户名。 数据库密码 访问目标数据库本云DDS的用户名所对应的密码。 E.在“迁移设置”页面，设置迁移对象，单击“下一步”。 图 设置迁移对象 表 迁移对象 参数 描述 迁移用户 常见的迁移用户一般分为两类：支持迁移的用户和不支持迁移的用户。您可以根据业务需求选择“迁移”或者“不迁移”，其中，不支持迁移的账号或者未选择迁移的账号将在目标数据库中缺失，需要先确保业务不受影响。 迁移 当您选择迁移用户时，请参见《数据复制服务用户指南》中“迁移用户”章节进行数据库用户及角色的处理。 不迁移 迁移过程中，将不进行数据库用户及角色的迁移。 迁移对象 您可以根据业务需求，选择全部对象迁移、表级迁移或者库级迁移。 全部迁移：将源数据库中的所有对象全部迁移至目标数据库，对象迁移到目标数据库实例后，对象名将会保持与源数据库实例对象名一致且无法修改。 表级迁移：将选择的表级对象迁移至目标数据库。 库级迁移：将选择的库级对象迁移至目标数据库。 如果有切换源数据库的操作或源库迁移对象变化的情况，请务必在选择迁移对象前单击右上角的，以确保待选择的对象为最新源数据库对象。 说明 若选择部分数据库进行迁移时，由于存储过程、视图等对象可能与其他数据库的表存在依赖关系，若所依赖的表未迁移，则会导致迁移失败。建议您在迁移之前进行确认，或选择全部数据库进行迁移。 选择对象的时候，对象名称的前后空格不显示，中间如有多个空格只显示一个空格。 选择对象的时候支持搜索，以便您快速选择需要的数据库对象。 F.在“预检查”页面，进行迁移任务预校验，校验是否可进行任务迁移。 查看检查结果，如有不通过的检查项，需要修复不通过项后，单击“重新校验”按钮重新进行迁移任务预校验。预检查不通过项处理建议请参见《数据复制服务用户指南》中的“预检查不通过项修复方法”。 预检查完成后，且所有检查项结果均通过时，单击“下一步”。 图 预检查 说明：所有检查项结果均通过时，若存在待确认项，需要阅读并确认详情后才可以继续执行下一步操作。 G.在“任务确认”页面，设置迁移任务的启动时间、任务异常通知设置、时延阈值、任务异常自动结束时间，并确认迁移任务信息无误后，单击“启动任务”，提交迁移任务。 表 任务启动设置 参数 描述 启动时间 迁移任务的启动时间可以根据业务需求，设置为“立即启动”或“稍后启动”，优选“稍后启动”。 说明 预计迁移任务启动后，会对源数据库和目标数据库的性能产生影响，建议您将任务启动时间设定在业务低峰期，同时预留23天校对数据。 任务异常通知设置 该项为可选参数，开启之后，选择对应的SMN主题。当迁移任务状态异常时，系统将发送通知。 时延阈值 在增量迁移阶段，源数据库和目标数据库之间的实时同步有时会存在一个时间差，称为时延，单位为秒。 时延阈值设置是指时延超过一定的值后（时延阈值范围为1—3600s），DRS可以发送告警通知。告警通知将在时延稳定超过设定的阈值6min后发送，避免出现由于时延波动反复发送告警通知的情况。 说明 首次进入增量迁移阶段，会有较多数据等待同步，存在较大的时延，属于正常情况，不在此功能的监控范围之内。设置时延阈值之前，需要设置任务异常通知。 任务异常自动结束时间（天） 设置任务异常自动结束天数，输入值必须在14100之间，默认值14。 说明 异常状态下的任务仍然会计费，而长时间异常的任务无法续传和恢复。设置任务异常自动结束天数后，异常且超时的任务将会自动结束，以免产生不必要的费用。 2.任务管理。 迁移任务启动后，会经历全量迁移和增量迁移两个阶段，对于不同阶段的迁移任务，您可以进行任务管理。 全量迁移 查看迁移进度：全量迁移中的任务，您可单击任务名称，在“迁移进度”页签下，查看全量迁移进度，您可以查看结构、数据、索引迁移的进度，也查看具体迁移对象的迁移进度。当全量迁移进度显示为100%，表示全量迁移已经完成。 查看迁移明细：迁移明细中，您可以查看具体迁移对象的迁移进度，当“对象数目”和“已迁移对象”相等时，表示该对象已经迁移完成，可通过“查看详情”查看每个对象的迁移进度。仅白名单用户该支持功能，您可以通过提交工单的方式进行申请使用。 增量迁移 查看时延监控：全量迁移完成后，开始进行增量迁移。对于增量迁移中的任务，您可单击任务名称，在“迁移进度”页签下，查看增量迁移同步时延，当时延为0s时，说明源数据库和目标数据库的数据是实时同步的。您也可以使用“迁移对比”页签查看一致性。 图 查看时延监控 查看迁移对比：为了尽可能减少业务的影响和业务中断时间，增量迁移中的任务，您可单击任务名称，在“迁移对比”页签下，建议按照如下流程进行迁移对比，以便确定合适的业务割接时机。 图9 迁移对比流程 3.割接建议。 建议您选择一个业务低峰期，开始正式系统割接流程。割接前，请您确认至少在业务低峰期有过一次完整的数据对比。可以结合数据对比的“稍后启动”功能，选择业务低峰期进行数据对比，以便得到更为具有参考性的对比结果。由于同步具有轻微的时差，在数据持续操作过程中进行对比任务，可能会出现少量数据不一致对比结果，从而失去参考意义。 A.先中断业务（如果业务负载非常轻，也可以尝试不中断业务）。 B.在源数据库端执行如下语句，并观察在15分钟内若无任何新会话执行SQL ，则可认为业务已经完全停止。 db.currentOp() 说明 上述语句查询到的进程列表中，包括DRS迁移实例的连接，您需要确认除DRS迁移实例的连接外无任何新会话执行SQL，即可认为业务已经完全停止。 C.通过DRS迁移任务监控页面进行观察同步时延，保持实时同步时延为0，并稳定保持一段时间；同时，您可以使用数据级对比功能，进行割接前的最后一次数据级对比，耗时可参考之前的对比记录。 如果时间允许，则选择全部对比。 如果时间不允许，则推荐对比活跃表，关键业务表，第二步对比多次存在差异的表等。 D.确定系统割接时机，业务系统指向本云数据库，业务对外恢复使用，迁移完成。 4.迁移结束。 A.结束迁移任务：业务系统和数据库切换至本云后，为了防止源数据库的操作继续同步到目标数据库，造成数据覆盖问题，此时您可选择结束迁移任务，该操作仅删除了迁移实例，迁移任务仍显示在任务列表中，您可以进行查看或删除。结束迁移任务后，DRS将不再计费。 B.删除迁移任务：对于已结束的迁移任务，您可选择删除任务。该操作将一并删除迁移任务，删除迁移任务后，该任务将不会出现在任务列表中。

配置生产消费配置文件 步骤 1 登录Linux系统的ECS。 步骤 2 在ECS的“/etc/hosts”文件中配置host和IP的映射关系，以便客户端能够快速解析实例的Broker。 其中，IP地址必须为实例连接地址（从前提条件获取的连接地址），host为每个实例主机的名称（您可以自定义主机的名称，但不能重复）。 例如： 10.154.48.120 server01 10.154.48.121 server02 10.154.48.122 server03 步骤 3 下载client.jks证书。在Kafka控制台单击Kafka实例名称，进入实例详情页面，在“连接信息 > SSL证书”所在行，单击“下载”。 解压压缩包，获取压缩包中的客户端证书文件：client.jks。 步骤 4 根据已获取的SASL认证机制，修改Kafka命令行工具配置文件。 PLAIN机制： 在Kafka命令行工具的“/config”目录中找到“consumer.properties”和“producer.properties”文件，并分别在文件中增加如下内容。 sasl.jaas.configorg.apache.kafka.common.security.plain.PlainLoginModule required username"" password""; sasl.mechanismPLAIN 说明 username和password为创建Kafka实例过程中开启SASLSSL时填入的用户名和密码，或者创建SASLSSL用户时设置的用户名和密码。 SCRAMSHA512机制： 在Kafka命令行工具的“/config”目录中找到“consumer.properties”和“producer.properties”文件，并分别在文件中增加如下内容。 sasl.jaas.configorg.apache.kafka.common.security.scram.ScramLoginModule required username"" password""; sasl.mechanismSCRAMSHA512 说明 username和password为创建Kafka实例过程中开启SASLSSL时填入的用户名和密码，或者创建SASLSSL用户时设置的用户名和密码。 步骤5 根据安全协议，修改Kafka命令行工具配置文件。 1.SASLSSL： 在Kafka命令行工具的“/config”目录中找到“consumer.properties”和“producer.properties”文件，并分别在文件中增加如下内容。 security.protocolSASLSSL ssl.truststore.location{ssltruststorepath} ssl.truststore.passworddms@kafka ssl.endpoint.identification.algorithm 参数说明： ssl.truststore.location配置为client.truststore.jks证书的存放路径。注意，Windows系统下证书路径中也必须使用“/”，不能使用Windows系统中复制路径时的“”，否则客户端获取证书失败。 ssl.truststore.password为服务器证书密码，不可更改，需要保持为dms@kafka 。 ssl.endpoint.identification.algorithm为证书域名校验开关，为空则表示关闭。这里需要 保持关闭状态，必须设置为空 。 2. SASLPLAINTEXT： 在Kafka命令行工具的“/config”目录中找到“consumer.properties”和“producer.properties”文件，并分别在文件中增加如下内容。 security.protocolSASLPLAINTEXT

限制项 说明 访问规则 OBS基于DNS解析性能和可靠性的考虑，要求凡是携带桶名的请求，在构造URL的时候都必须将桶名放在domain前面，形成三级域名形式，又称为虚拟主机访问域名。例如，如果您有一个位于gz1区域的名为testbucket的桶，期望访问桶中一个名为testobject对象的acl，正确的访问URL为 桶 在OBS中，桶名必须是全局唯一的且不能修改，即用户创建的桶不能与自己已创建的其他桶名称相同，也不能与其他用户创建的桶名称相同。 桶创建成功后，桶名、所属区域和数据冗余存储策略均不允许修改。 一个帐号及帐号下的所有IAM用户可创建的桶+并行文件系统的上限为100个。建议结合OBS细粒度权限控制能力，合理进行桶规划和使用。例如，建议在桶内根据对象前缀划分不同的目录，通过细粒度权限控制实现不同目录在不同业务部门之间的权限隔离。 默认情况下，OBS系统和单个桶都没有总数据容量和对象数量的限制。 删除桶之前必须确保桶内所有对象已彻底删除。 用户删除桶后，需要等待30分钟才能创建同名桶和并行文件系统。 上传对象 OBS管理控制台支持批量上传文件，单次最多支持100个文件同时上传，总大小不超过5GB。如果只上传1个文件，则这个文件最大为5GB。 OBS Browser+、obsutil、API和SDK上传的单个对象最大是48.8TB。 支持批量上传功能需要满足以下条件： OBS桶的版本号为“3.0”。 在未开启多版本控制功能的情况下，如果新上传的文件和桶内文件重名，则新上传的文件会自动覆盖老文件，且不会保留老文件的ACL等信息；如果新上传的文件夹和桶内文件夹重名，则上传后会将新老文件夹合并，合并过程如遇重名文件，会使用新上传的文件夹中的文件进行覆盖。 在开启了多版本控制功能的情况下，如果新上传的文件和桶内文件重名，则会在老文件上新增一个版本。 对象键（对象名）虽然可以使用任何UTF8字符，但是建议按照对象键命名指导原则进行命名，有助于最大程度符合DNS、Web安全字符、XML分析器和其他API的要求。 删除对象 桶没有开启多版本控制功能时，对象删除后不可恢复，请谨慎操作。

配置DNS记录 登录到您的域名注册商的管理控制台。 找到DNS管理页面，添加一条新的A记录： 主机名（Host）：填写您的自定义域名，例如www.example.com。 记录类型（Type）：选择A记录。 值（Value）：填写刚才记录的EXTERNALIP。 TTL：可以选择默认值。 验证配置 测试域名解析：使用nslookup或dig命令检查域名解析是否正确： plaintext nslookup 确保返回的IP地址是Ingress Controller的外部IP。 访问应用：在浏览器中输入您的自定义域名，验证是否可以通过域名访问集群中的应用服务。

资源相关限制 限制项 说明 访问规则 OBS基于DNS解析性能和可靠性的考虑，要求凡是携带桶名的请求，在构造URL的时候都必须将桶名放在domain前面，形成三级域名形式，又称为虚拟主机访问域名。例如，如果您有一个位于gz1区域的名为testbucket的桶，期望访问桶中一个名为testobject对象的acl，正确的访问URL为< 桶 在OBS中，桶名必须是全局唯一的且不能修改，即用户创建的桶不能与自己已创建的其他桶名称相同，也不能与其他用户创建的桶名称相同。 桶创建成功后，桶名、所属区域和数据冗余存储策略均不允许修改。 一个帐号及帐号下的所有IAM用户可创建的桶+并行文件系统的上限为100个。建议结合OBS细粒度权限控制能力，合理进行桶规划和使用。例如，建议在桶内根据对象前缀划分不同的目录，通过细粒度权限控制实现不同目录在不同业务部门之间的权限隔离。 默认情况下，OBS系统和单个桶都没有总数据容量和对象数量的限制。 删除桶之前必须确保桶内所有对象已彻底删除。 用户删除桶后，需要等待30分钟才能创建同名桶和并行文件系统。 上传对象 OBS管理控制台支持批量上传文件，单次最多支持100个文件同时上传，总大小不超过5GB。如果只上传1个文件，则这个文件最大为5GB。 OBS Browser+、obsutil、API和SDK上传的单个对象最大是48.8TB。 支持批量上传功能需要满足以下条件： OBS桶的版本号为“3.0”。 在未开启多版本控制功能的情况下，如果新上传的文件和桶内文件重名，则新上传的文件会自动覆盖老文件，且不会保留老文件的ACL等信息；如果新上传的文件夹和桶内文件夹重名，则上传后会将新老文件夹合并，合并过程如遇重名文件，会使用新上传的文件夹中的文件进行覆盖。 在开启了多版本控制功能的情况下，如果新上传的文件和桶内文件重名，则会在老文件上新增一个版本。 对象键（对象名）虽然可以使用任何UTF8字符，但是建议按照对象键命名指导原则进行命名，有助于最大程度符合DNS、Web安全字符、XML分析器和其他API的要求。 删除对象 桶没有开启多版本控制功能时，对象删除后不可恢复，请谨慎操作。

本文主要介绍网络管理类问题。 一、集群安全组规则配置 CCE作为通用的容器平台，安全组规则的设置适用于通用场景。集群在创建时将会自动为Master节点和Node节点分别创建一个安全组，其中Master节点的安全组名称是： {集群名}ccecontrol{随机ID} ；Node节点的安全组名称是： {集群名}ccenode{随机ID} 。使用CCE Turbo集群时会额外创建一个ENI的安全组，名为 {集群名}cceeni{随机ID} 。 用户可根据安全需求，登录CCE控制台，单击服务列表中的“网络 > 虚拟私有云 VPC”，在网络控制台单击“访问控制 > 安全组”，找到CCE集群对应的安全组规则进行修改和加固。 如集群在创建时需要指定节点安全组，请参考集群自动创建的Node节点安全组规则放通指定端口，以保证集群中的正常网络通信。 注意 安全组规则的 修改和删除可能会影响集群的正常运行 ，请谨慎操作。如需修改安全组规则，请尽量避免对CCE运行依赖的端口规则进行修改。 Node节点安全组规则 入方向 集群自动创建Node节点的安全组名称为 {集群名}ccenode{随机ID} ，默认入方向规则如下图所示， 源地址属于本安全组的需全部放通 ，其余端口说明见下表。 VPC网络模型Node节点默认安全组 VPC网络模型Node节点安全组默认端口说明 端口 默认源地址 说明 是否可修改 修改建议 UDP：全部TCP：全部 VPC网段 Node节点之间互访、Node节点与Master节点互访。 不建议修改 不涉及 ICMP：全部 Master节点网段 Master节点访问Node节点。 不建议修改 不涉及 TCP：3000032767UDP：3000032767 所有IP地址 集群NodePort服务默认访问端口范围。 可修改 端口需对VPC网段、容器网段和ELB的网段放通。 全部 容器网段 节点与容器互访。 不建议修改 不涉及 全部 Node节点网段 Node节点之间互访。 不建议修改 不涉及 TCP：22 所有IP地址 允许SSH远程连接Linux弹性云服务器。 建议修改 不涉及 容器隧道网络模型Node节点默认安全组 容器隧道网络模型Node节点安全组默认端口说明 端口 默认源地址 说明 是否可修改 修改建议 UDP：4789 所有IP地址 容器间网络互访。 不建议修改 不涉及 TCP：10250 master节点网段 master的主动访问node的kubelet（如执行kubectl exec {pod}）。 不建议修改 不涉及 TCP：3000032767UDP：3000032767 所有IP地址 集群NodePort服务默认访问端口范围。 可修改 端口需对VPC网段、容器网段和ELB的网段放通。 TCP：22 所有IP地址 允许SSH远程连接Linux弹性云服务器。 建议修改 不涉及 全部 本安全组和VPC网段 源地址属于本安全组和VPC网段的需全部放通。 不建议修改 不涉及 出方向 对于 出方向规则 ，CCE创建的安全组默认全部放通，通常情况下不建议修改。如需加固出方向规则，请注意如下端口需要放通。 Node节点安全组出方向规则最小范围 端口 放通地址段 说明 UDP：53 子网的dns服务器 用于域名解析。 UDP：4789（仅容器隧道网络模型的集群需要） 所有IP地址 容器间网络互访。 TCP：5443 Master节点网段 master的kubeapiserver的监听端口。 TCP：5444 VPC网段、容器网段 kubeapiserver服务端口，提供k8s资源的生命周期管理。 TCP：6443 Master节点网段 TCP：8445 VPC网段 Node节点存储插件访问Master节点。 TCP：9443 VPC网段 Node节点网络插件访问Master节点。

本节主要介绍云存储网关的使用限制。 注意 在部署云存储网关前，需要明确使用单机版还是集群版，因为一旦部署后，不支持通过增减服务器进行模式切换。 说明 该产品通过软件形式部署在用户的环境中，本身不涉及资源池属性。 操作系统 支持 Linux CentOS 7.x，64位操作系统。建议使用最新的CentOS 7.x版本。 硬件 x86服务器。最低配置：单核CPU、2GB内存。可根据实际业务需要增加配置。 网络带宽 客户端到云存储网关的带宽：读写带宽能力大于业务读写带宽。 数据目录对应分区的写带宽能力大于写入带宽，同时还具备相同的读带宽。 云存储网关到OOS具备专线，带宽大于业务写入带宽。 安装目录所在盘 10GB以上，建议配置为RAID 1或者RAID 10。 数据目录所在盘 最小配置：5GB，可根据实际业务需要增加配置。 若作为存储模式存储卷的数据目录使用，需要根据存储容量和副本模式配置数据目录对应分区的容量。若作为缓存模式卷的数据目录使用，需要根据缓存数据量和副本模式配置数据目录对应分区的容量。 网络设定 可以与天翼云对象存储（经典版）I型（ObjectOriented Storage，OOS）进行网络连接。 若云存储网关与OOS之间配有专线，须在云存储网关服务器 /etc/hosts配置OOS资源池的内网域名解析（请联系我们获取），以确保是通过专线访问OOS，保证访问速度。若使用互联网，则不需要配置。 网络整体架构图： 云存储网关内部各节点之间通过内网互联。 云存储网关与上层应用之间通过内网或专线或公网互联。 云存储网关与OOS之间通过专线或公网互联。

本章节主要介绍如何在已有物理机实例中手动安装Agent,实现主机监控。 您需要完成以下步骤： 1.添加域名解析地址：在物理机“/etc/resolv.conf”文件中添加各区域域名解析地址。 2.修改子网DNS地址：按物理机所在区域修改子网的DNS服务器地址。 3.配置安全组：用于下载Telescope包、发送指标数据、采集日志等。 此三步请参见内网DNS与安全组配置。 4.安装Agent：手动为物理机安装Agent，实现主机监控。 此步请参见安装Agent（Linux）。