本文为设置角色权限进行文档权限管理的实践介绍。 文档权限混乱总泄密？角色配置一键封锁核心资料！ 作为企业知识管理者，您是否每天都在焦虑： 😣 新来的销售看到了未发布的研发文档 😱 审计发现全员都能查看CEO的薪酬报表 别让文档权限成为定时炸弹！通过角色化权限配置，轻松应对以下四大场景，让核心资料锁进保险箱，授权操作像开关灯一样简单！ 📊 场景1：财务数据隔离战 混乱玩家： 在审计边缘疯狂试探 财报文档库像菜市场：“为什么产品部的小王在翻阅Q3集团的成本表？！” 权限大师： 给数据装上智能门禁，按角色切割数据视野 创建【财务组】角色，允许查看所有财务报表。 创建【产品主管】角色，仅可查看产品部相关的财务数据。 🔒 场景2：新产品研发防泄密战 混乱玩家： 被技术泄露搞崩溃 用网盘传图纸，权限全靠文件夹：“张工把新风阀图纸放共享盘了？快删掉！竞品公司的人也在群里！” 权限大师： 用角色配置精准封锁，角色权限批量绑定 创建【研发组】角色 → 勾选“燃料电池项目”查看权 → 自动屏蔽其他文档库（就像给保险箱配专属钥匙）。

获取终端节点 终端节点（Endpoint）即调用API的 请求地址 ，不同服务不同区域的终端节点不同。 您可以从企业管理员处获取。 获取数据目录的guid 每个业务资产、技术资产或指标资产都具备guid，guid是资产的唯一标识符。在调用数据目录或数据地图接口时，部分URL中需要填入guid。 在数据地图或数据目录组件中，数据资产guid的获取步骤如下： 1. 在DataArts Studio控制台首页，选择实例，单击“进入控制台”，选择“数据地图”或对应工作空间的“数据目录”，进入数据地图或数据目录页面。 2. 按下F12，打开开发者调试工具，然后选择Network功能。 图3 选择Network 3. 在数据地图的“首页”界面或“数据搜索”界面，或者在数据目录的“总览”界面或“数据目录”界面，选择需要查询guid的资产，并点击资产名进入资产详情页。 a. 在Network请求中，寻找Name形如“09318f28939f4ab6a3749e621096652c”的长字符串。 图4 寻找长字符串 b. 点击该字符串，弹出具体请求的弹窗。在Request URL中，可以确认该字符串即为该资产的guid。 图5 获取guid

操作步骤 1. 登录管理控制台。 2. 在管理控制台右上角单击，选择区域。 说明 此处请选择与您的应用服务相同的区域。 3. 在管理控制台左上角单击，选择“企业中间件 > 分布式消息服务 >RabbitMQ专享版”，进入分布式消息服务RabbitMQ专享版页面。 4. 单击实例名称后的“查看监控数据”，进入“云监控”该实例的监控指标页面。 5. 在实例监控指标页面中，找到需要创建告警的指标项，鼠标移动到指标区域，然后单击指标右上角的，创建告警规则，跳转到“创建告警规则”页面。 6. 在告警规则页面，设置告警信息。 创建告警规则操作，请查看云监控服务的用户指南“创建告警规则和告警通知”。 设置告警名称和告警的描述。 设置告警策略和告警级别。 例如在进行指标监控时，如果连续3个周期，连接数原始值超过设置的值，则产生告警，如果未及时处理，则每天发送一次告警通知。 设置“发送通知”开关。当开启时，设置告警生效时间、产生告警时通知的对象以及触发的条件。 单击“立即创建”，等待创建告警规则成功。

本文主要介绍重启实例。 操作场景 分布式消息服务Kafka管理控制台支持重启运行中的Kafka实例，且可实现批量重启Kafka实例。 说明 在Kafka实例重启过程中，客户端的生产与消费消息等请求会被拒绝。 前提条件 只有当Kafka实例处于“运行中”或“故障”状态，才能执行重启操作。 操作步骤 步骤 1 登录管理控制台。 步骤 2 在管理控制台右上角单击，选择区域。 说明 请选择Kafka实例所在的区域。 步骤 3 在管理控制台左上角单击，选择“企业中间件”“分布式消息服务”“Kafka专享版”，进入分布式消息服务Kafka专享版页面。 步骤 4 通过以下任意一种方法，重启Kafka实例。 勾选Kafka实例名称左侧的方框，可选一个或多个，单击信息栏左上侧的“重启”。 在待重启Kafka实例所在行，单击“重启”。 单击Kafka实例名称，进入实例详情页面。单击右上角的“重启”。 步骤 5 在“重启实例”对话框中，单击“是”，完成重启Kafka实例。 重启Kafka实例大约需要3到15分钟。Kafka实例重启成功后，实例状态切换为“运行中”。 说明 重启Kafka实例只会重启实例进程，不会重启实例所在虚拟机。

参数 是否必填 参数类型 说明 示例 下级对象 group 是 String 本参数表示分组名称。取值范围： basic：基本信息。 entity：告警对象。 根据以上范围取值。 basic dimension 是 String 告警维度。取值范围： ecs：云主机。 disk：磁盘。 pms：物理机。 ... 云监控服务，具体服务参见 ecs

参数 是否必填 参数类型 说明 示例 下级对象 group 是 String 本参数表示分组名称。取值范围： basic：基本信息。 entity：告警对象。 根据以上范围取值。 basic dimension 是 String 告警维度。取值范围： ecs：云主机。 disk：磁盘。 pms：物理机。 ... 云监控服务，具体服务参见 ecs

智算一体机与一站式智算服务平台有什么区别和联系？ 参见与一站式智算服务平台的关系 客户数据中心的智算一体机物理安全由谁负责？ 主要由客户负责，包含数据中心机房的风、火、水、电等安全。 天翼云如何维护智算一体机基础设施？ 高效实时监控 智算一体机成功接入天翼云运维监控平台，便处于天翼云的监控之下。天翼云运用先进的监控技术与工具，对一体机的硬件状态、性能指标以及网络连接等多方面进行实时监测，精确掌握一体机的运行负荷情况。 通过对这些数据的实时分析，天翼云能够快速洞察一体机运行过程中的异常情况。一旦发现潜在问题，系统会立即触发预警机制，运维团队可在第一时间做出响应，提前采取措施避免问题恶化，保障一体机的稳定运行。 专业物理维护 当智算一体机的硬件出现故障或根据维护计划需要进行物理维护时，天翼云的专业运维团队会迅速行动。运维人员会与客户取得联系，详细沟通客户的业务安排与时间需求，进而预约最为合适的上门服务时间。充分考虑到客户业务的连续性与时效性，最大程度降低维护工作对客户正常业务开展的影响。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

介绍云审计服务支持的性能测试服务操作列表。 云审计服务（Cloud Trace Service，简称CTS），是安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 通过云审计服务，您可以记录与消息通知服务相关的操作事件，便于日后的查询、审计和回溯。 表 支持审计的关键操作列表 servicetype resourcetype resourceid tracename 中文描述 CPTS cptsProject 数据库主键 createCptsProject 创建工程 CPTS cptsProject 数据库主键 deleteCptsProject 删除工程 CPTS cptsProject 数据库主键 modifyCptsProject 修改工程 CPTS cptsTask 数据库主键 createCptsTask 创建任务 CPTS cptsTask 数据库主键 deleteCptsTask 删除任务 CPTS cptsTask 数据库主键 modifyCptsTask 修改任务 CPTS cptsTemp 数据库主键 createCptsTemp 创建事务 CPTS cptsTemp 数据库主键 deleteCptsTemp 删除事务 CPTS cptsTemp 数据库主键 modifyCptsTemp 修改事务 CPTS cptsCase 数据库主键 createCptsCase 创建用例 CPTS cptsCase 数据库主键 deleteCptsCase 删除用例 CPTS cptsCase 数据库主键 modifyCptsCase 修改用例 CPTS cptsVariable 数据库主键 setVaribale 创建变量 CPTS cptsVariable 数据库主键 updateVaribale 修改变量 CPTS cptsVariable 数据库主键 deleteVaribale 删除变量 CPTS cptsTask 数据库主键 tempDebug 任务用例debug CPTS cptsTaskStatus 数据库主键 updateTaskStatus 更新任务状态

您可以通过Web应用防火墙服务切换工作模式。Web应用防火墙提供开启防护和暂停防护两种工作模式。 前提条件 防护域名已接入WAF。 应用场景 开启防护：开启防护模式后，WAF会根据您配置的策略进行攻击检测。 暂停防护：如果大量的正常业务被拦截，比如大量返回418返回码，可以将“工作模式”切换为“暂停防护”。该模式下，WAF对所有的流量请求只转发不检测，日志也不会记录。该模式存在风险，建议您优先选择误报屏蔽规则处理正常业务拦截问题。 系统影响 切换为暂停模式后，WAF只转发流程请求，网站安全可能存在风险，建议您优先选择误报屏蔽规则处理正常业务拦截问题。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 步骤5 在目标域名所在行的“工作模式”列，选择工作模式。

STS即Secure Token Service 是一种安全凭证服务，可以使用STS来完成对于临时用户的访问授权。对于跨用户短期访问对象存储资源时，可以使用STS服务。这样就不需要透露主账号AK/SK，只需要生成一个短期访问凭证给需要的用户使用即可，避免主账号AK/SK泄露带来的安全风险。 初始化STS服务 plaintext var config { accessKeyId: " ", secretAccessKey: " ", endpoint: " ", region: "ctyun",// region固定填ctyun }; var stsClient new AWS.STS(config); 获取临时token plaintext var params { Policy: {"Version":"20121017","Statement":{"Effect":"Allow","Action":["s3:"],"Resource":["arn:aws:s3::: ","arn:aws:s3::: /"]}}, RoleArn: "arn:aws:iam:::role/ ", RoleSessionName: " ", DurationSeconds: 900, // 过期时间 } stsClient.assumeRole(params, function (err, data) { if (err) { console.log("Error", err); } else { console.log("Success", data); } }); 请求参数 参数 类型 描述 是否必要 RoleArn String 角色的ARN，在控制台创建角色后可以查看 是 Policy String 角色的policy，需要是json格式，限制长度1~2048 是 RoleSessionName String 角色会话名称，此字段为用户自定义，限制长度2~64 是 DurationSeconds Integer 会话有效期时间，默认为3600s，范围15分钟至12小时 否

本文介绍关系数据库PostgreSQL版的高危操作二次验证功能。 为保证实例安全，部分高危操作需要进行短信验证，发起验证后，您当前登录的账号绑定的手机会收到短信验证码，填写验证码完成验证，高危操作才会执行。 需要进行短信验证的高危操作如下： 退订实例 重置root密码

API覆盖的功能模块。 序号 主要功能 1 边缘服务 2 虚拟机管理 3 虚拟私有云网络管理 4 子网管理 5 SSH密钥管理 6 存储管理 7 弹性公网IP管理 8 网关管理 9 安全组管理 10 负载均衡管理 11 负载均衡监听器管理 12 负载均衡后端服务器组管理 13 用户配额管理 14 SSL证书管理

本章节为您介绍服务相关的内容。 服务通常指的是 API 网关要连接和转发请求的目标服务。在微服务架构中 ，这些目标服务可以是各种不同的后端服务 ， 比如数据库服务、用户服务、支付服务等。服务可以是内部的私有服务 ，也可以是外部的第三方服务。 本系统还提供服务发现、负载均衡、健康检查等功能。 创建服务 1.登录API安全网关。 2.在左侧导航栏选择“资源 > 服务”，进入服务列表页面。 3.单击页面左上方的“新增”按钮，在左侧弹出的“新增服务”对话框中填写相关内容。 字段 说明 服务名称 自定义服务名称，只能取唯一值。 大模型 选择是否使用大模型，选择开启后需要选择“模型提供方”。 应用代理 选择是否开启代理，开启后需要填写“代理端口”及“代理协议”。 描述 对新增的服务添加简要描述。 负载均衡算法 选择负责均衡算法，目前支持以下四种： 一致哈希：相同特征的请求将分配至同一个上游节点。 带权轮询：按照配置的权重比例分配请求数量至上游节点。 指数加权移动平均法：请求将更多地分配给效率高的上游节点。 最小连接数：选取当前连接数量最少的上游节点分发请求。 上游类型 节点：需要填写节点主机名、端口、权重。 服务发现：选择服务发现的类型，支持选择DNS、Consul KV、Nacos、Euereka、Kubernetes。 Host请求头 保持与客户端一致的主机名。 使用目标节点列表中的主机名或IP。 重试次数 重试机制将请求发到下一个上游节点。 值为0表示禁用重试机制，留空表示使用可用后端节点的数量。 重试超时时间 限制是否继续重试的时间，若之前的请求和重试请求花费太多时间就不再继续重试。 0代表不启用重试超时机制。 协议 服务端使用的协议类型，默认为：HTTP协议。 支持选择：HTTP、HTTPs、gRPC、gRPCs、TCP、TLS、UDP、Kafka。 连接超时 建立从请求到后端服务器的连接的超时时间，默认值6s。 发送超时 发送数据到后端服务器的超时时间，默认值6s。 接收超时 从后端服务器接收数据的超时时间，默认值6s。 连接池容量 为后端设置独立的连接池，默认值320。 连接池空闲超时时间 默认值60。 连接池请求数量 默认值1000。 健康监测 选择是否开启健康监测功能。 身份认证 选择身份认证方式，支持以下四种选择： 无认证：不开启身份认证方式。 Key认证：Key认证用于向API添加身份验证密钥。它需要与API调用者一起配合才能工作，通过API调用者将其密钥添加到查询参数或请求头中以验证其请求。 摘要签名认证：摘要签名认证可以将HMAC认证添加到服务。它需要与API调用者一起配合才能工作，通过API调用者将其密钥添加到查询参数或请求头中以验证其请求。 JWT认证：将JWT身份验证添加到服务中，通过API调用者将其密钥添加到查询字符串参数、请求头或Cookie中用来验证其请求。 4.添加完成后，单击“下一步”，进入插件配置环节，具体的插件功能请参照控制台说明，若需要启用插件单击对应插件下方的“启用”按钮即可启用。 5.完成插件配置后，单击“下一步”确认服务信息，若信息无误单击“保存”即可完成添加服务。

本节介绍了：集群资源。 操作场景 查询集群的VPC和安全组信息。 前提条件 在查看集群信息前，您需要存在⼀个可用集群。若没有可⽤集群，请参照 快速入门​>​>创建一个集群 内容进行创建。

加密隔离组 加密隔离组是管理员为部门或用户设置的加密文件访问控制组，通过定义隔离涵盖范围和授权共享范围，限制加密文件的读写权限。组内用户的加密文件仅对组内成员或授权共享范围内的用户开放访问，实现数据的隔离与安全管控。

本文介绍边缘安全加速平台的安全与加速服务在CC攻击常见场景中的推荐防护策略和配置。 CC攻击是一种恶意网络攻击，旨在通过向目标服务器发送大量的请求，超过其处理能力，从而使其无法正常工作或服务受到严重影响。以下是一些常见的CC攻击场景及WAF在不同场景下提供的具体防护策略和配置。 场景1：高频海量的虚假请求耗尽服务器资源 攻击者利用大量的虚假请求，不断向目标网站发送超过正常用户请求频率的请求，导致目标网站无法正常服务，这个最常见的一种CC攻击场景。您可以关注您的网站请求数趋势，如果请求QPS在某一时刻突然异常突增很多(比正常业务QPS突增超过10倍)，就很有可能是受到了CC攻击。 针对超过正常请求频率的攻击，最直接有效的防护方式就是配置频率控制，通过限制指定URL的访问频率，拦截超过网站正常业务请求频率的攻击。如：配置登录接口的单IP访问频率达到每分钟50次时则进行拦截，具体配置如下图： 除此之外，您还可以通过开启CC防护功能对CC攻击进行防护，设置URL达到指定阈值后则进行挑战，通过CC防护策略来校验请求是否来自于真实浏览器（注意：该功能不适用于不能执行JS的环境，如API、Native App、Websocket等） 配置示例：以下配置在阈值请求达到每10秒5000次时，则会开启CC攻击防护。

此小节介绍数据库安全查看审计信息。 添加的数据库连接到数据库安全审计实例后，您可以查看数据库的审计总览信息，包括数据库的总体审计情况、风险分布、会话统计以及SQL分布情况。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 已成功添加数据库并开启审计功能。 已成功添加并安装Agent。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台上方的“服务列表”，选择“安全 > 数据库安全服务”，进入数据库安全防护实例列表界面。 3. 进入总览界面，操作步骤如下图所示。 4. 查看数据库的总体审计情况，以及数据库的风险分布、会话统计和SQL分布信息，在“选择数据库”下拉列表框中，选择“全部数据库”或指定的数据库，可以查看实例中所有的数据库或指定的某个数据库的总览信息。选择审计的时间（“近30分钟”、“近1小时”、“近24小时”、“近7天”或“近30天”）；或者单击按钮，选择开始时间和结束时间，查看指定的时间段的总览信息。 会话统计 SQL分布

目前提供Kafka专享版实例的服务，Kafka专享版实例采用物理隔离的方式部署，租户独占Kafka实例。创建Kafka专享版实例之后，使用开源Kafka客户端向Kafka专享版实例生产消息和消费消息。 本章节介绍如何使用开源的Kafka客户端访问未开启SASL的Kafka专享实例方法。 多语言客户端使用请参考Kafka官网： 说明：Kafka服务器允许客户端单IP连接的个数为200个，如果超过了，会出现连接失败问题。 前提条件 已配置正确的安全组。 访问未开启SASL的Kafka专享实例时，支持VPC内访问。实例需要配置正确的安全组规则，具体安全组配置要求，请参考下表。 已获取连接Kafka专享版实例的地址。 使用VPC内访问，实例端口为9092，实例连接地址获取如下图。 获取VPC内访问Kafka专享实例的连接地址（实例未开启SASL） Kafka专享实例已创建Topic，否则请提前创建Topic。 已下载Kafka命令行工具1.1.0版本或者Kafka命令行工具2.3.0版本，确保Kafka实例版本与命令行工具版本相同。 已在Kafka命令行工具的使用环境中安装Java Development Kit 1.8.111或以上版本，并完成环境变量配置。 命令行模式连接实例 以下操作命令以Linux系统为例进行说明： 解压Kafka命令行工具。 进入文件压缩包所在目录，然后执行以下命令解压文件。 tar zxf [kafkatar] 其中，[kafkatar]表示命令行工具的压缩包名称。 例如： tar zxf kafka2.111.1.0.tgz 进入Kafka命令行工具的“/bin”目录下。 注意，Windows系统下需要进入“/bin/windows”目录下。 执行如下命令进行生产消息。 ./kafkaconsoleproducer.sh brokerlist ${连接地址} topic ${Topic名称} 参数说明如下： 连接地址：从前提条件中获取的连接地址。 Topic名称：Kafka实例下创建的Topic名称。 以获取的Kafka实例连接地址为“10.3.196.45:9092,10.78.42.127:9092,10.4.49.103:9092”为例。执行完命令后输入内容，按“Enter”发送消息到Kafka实例，输入的每一行内容都将作为一条消息发送到Kafka实例。 [root@ecskafka bin]

同一个微服务引擎可能会有多个用户共同使用，而不同的用户根据其责任和权限，需要具备不同的微服务引擎访问和操作权限。 开启了“安全认证”的微服务引擎专享版，通过微服务控制台提供了基于RBAC（RoleBased Access Control，基于角色的访问控制）的系统管理功能。 开启了“安全认证”的微服务引擎专享版，支持Spring Cloud、Java Chassis微服务框架正常接入。 说明： 基于RBAC的系统管理功能与IAM权限管理无关，仅是CSE内部微服务的权限管理机制。 如果您通过ServiceStage控制台操作微服务引擎，必须同时具备IAM和RBAC的操作权限，且IAM权限优先级要高于RBAC权限。 如果您通过API接口或者微服务框架操作微服务引擎，则只需具备RBAC相关权限。 当前系统管理功能仅支持微服务权限管理，暂不支持配置管理、服务治理。 1. 您可以使用关联了admin角色权限的帐号创建新帐号，根据实际业务需求把合适的角色同帐号关联。使用该帐号的用户则具有对该微服务引擎的相应的访问和操作权限。 − 创建开启了“安全认证”的微服务引擎专享版时，系统自动创建1个关联了admin角色权限的root帐号。不能编辑、删除root帐号。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建新帐号。创建和管理帐号，请参考帐号管理。 2. 您可以使用关联了admin角色权限的帐号创建自定义角色，根据业务需求把合适的微服务引擎访问和操作权限赋予该角色。 − 系统默认内置两种角色：管理员（admin）、开发者（developer）。不能编辑、删除内置角色。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建自定义角色。创建和管理角色，请参考角色管理。 − 角色权限说明，请参见下表。 表 角色权限说明 角色 权限说明 admin 具有该微服务引擎下所有微服务、帐号和角色的所有操作权限。 developer 具有该微服务引擎下所有微服务的所有操作权限。 自定义角色 根据实际业务需求创建角色，给角色分配相应微服务的操作权限。

概述 JWT全称为 JSON Web Token，是一种开放标准（RFC 7519），它定义了一种在通信各方之间以JSON对象形式安全传输信息的方式。JWT可以使用HMAC、RSA、ECDSA等算法签名；在应用中，JWT可以用于用户身份认证和访问鉴权。云原生网关作为微服务的访问入口，是实现认证鉴权的理想节点，当前云原生网关支持JWT认证方式，交互流程如下： 1. JWT签发阶段，云原生网关对这类接口访问不做认证，将请求透传到业务授权服务。 2. 业务授权服务认证成功后签发JWT并返回给客户端，在后续的请求中客户端会带上JWT。 3. 云原生网关收到正常的业务请求时提取JWT并校验签名信息，校验通过则放过请求，否则返回401状态码。 JWT策略配置 云原生网关支持全局的JWT策略配置，在 安全认证 > 认证鉴权 菜单下，选择创建鉴权，鉴权类型选择JWT，填写相关参数即可创建JWT认证策略，JWT配置参数说明如下： 配置 说明 鉴权名称 唯一标识一个JWT鉴权配置，只能包含大小写字母、数字和‘’，且不能以‘’开头或者结尾。 加密算法 支持HS256、HS512、RS256。 密钥 选择HS256/ HS512算法时填写，需要指定是否base64编码，并提供密钥。 RSA密钥 选择RS256算法时填写，需要提供RSA算法公钥和私钥。 JWT Token配置 网关从请求获取JWT Token的位置，支持指定header、query和Cookie的key。 过期时间 JWT Token过期时间，默认86400秒。

本文介绍批量配置HTTPS证书的方法。 功能介绍 边缘安全加速平台支持HTTPS加速服务，您可以通过控制台上传证书，并批量关联域名启用HTTPS加速服务，实现全网数据加密传输。 适用场景 该功能适用于多域名需同时开启HTTPS服务的场景。 注意事项 批量HTTPS证书配置一次最多能关联100个域名，筛选范围仅包含域名状态为已启用且无在途工单的域名。 域名绑定证书后会开启域名HTTPS功能。 配置说明 1. 登录边缘安全加速平台控制台。 2. 单击左侧导航栏【证书管理】【证书列表】。 3. 在【证书列表】页面，单击左上角【添加自有证书】，并上传证书。 4. 证书上传完可开始【绑定域名】。 5. 选择需绑定该证书的域名，单击【提交绑定】即可。 参数名 说明 证书备注名 证书备注名，是指在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便选择时，选定正确的证书与所配置的域名进行关联。 如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 证书公钥（PEM格式） 只支持PEM格式。如果为其他格式，请先转换。 证书私钥（PEM格式） 只支持PEM格式。如果为其他格式，请先转换。

本文介绍标签和标签组的含义，如何创建标签和标签组，如何删除标签和标签组。 功能介绍 边缘安全加速平台控制台上提供了一种域名分类管理工具——标签和标签组，使用标签可以对具有相同属性的域名进行分类管理，使用标签组可以对具有相同类别属性的标签进行分类管理。 配置说明 例如：您有很多业务系统（CRM、ERP、DMS等），每个业务系统又包含多个域名，就可以借助标签组和标签对这些域名进行分组管理。即创建一个名为Businesssystem的标签组，同时创建三个名为CRM、ERP、DMS的标签。 创建标签和标签组的操作步骤 1. 登录边缘安全加速控制台。 2. 单击左侧导航【域名】【标签管理】。 3. 在【标签管理】页面，单击右上角的【新增标签】。 4. 在弹窗界面，输入标签组名，如“Businesssystem”。输入“Businesssystem”完成后，需要单击下方显示的“Businesssystem”完成标签组名创建。 5. 在弹窗界面，输入标签名，多个标签名用;分隔，如“”。 6. 确认无误后，单击【确定】提交，完成名为“Businesssystem”的标签组和名为“CRM、ERP、DMS”的标签创建。 参数名 配置值 说明 标签组名 只能输入，英文字母和数字，不允许为空。 标签组，即一组具有相同类别属性标签的统称，在配置关系里面，它是一类标签的集合。 标签名 只能输入，英文字母和数字，多个值用;分隔，不允许为空。 标签，即一组具有相同属性的域名的统称，在配置关系里面，它是一类域名的集合。

说明 运维安全中心（云堡垒机）仅支持二类节点部署的云审计服务。 开启了云审计服务后，系统开始记录运维安全中心（云堡垒机）实例的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域。 3. 在页面左上角单击，选择“管理与部署> 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 5. 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： “事件来源”、“资源类型”和“筛选类型”。 在下拉框中选择查询条件，例如：依次选择“CBH”>“cbh”>“按事件名称”>“createInstance”，单击“查询”，查询所有创建CBH实例的操作。 事件名称：选择具体的事件名称，例如createInstance。 资源ID：选择或者手动输入需要查看审计日志的CBH实例ID。 资源名称：选择或手动输入需要查看审计日志的CBH实例名称。 “操作用户”：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 “事件级别”：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 “起始时间”、“结束时间”：可通过选择时间段查询操作事件。 6. 在需要查看的记录左侧，单击展开该记录的详细信息。 7. 在需要查看的记录右侧，单击“查看事件”，查看该操作事件结构的详细信息。

本节介绍如何查看API列表及API详情。 在API列表页面，可查看已添加的API资产。 查看API列表 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“API安全 > API管理”，进入API管理页面。 5. 在页面左侧，展示了所有防护对象信息（不包括泛域名、ELB防护对象），支持选择“所有防护对象”或选择单个域名站点，在右侧API列表中查看对应防护对象的详细数据列表。 选择“所有防护对象”，页面右侧展示所有的API资产。 选择单个域名站点，页面右侧展示选中的域名站点API资产。 6. API列表页面上方展示了所选防护对象的API资产统计信息。 API数：统计已识别的API资产数量。 今日新增：统计自然时间今日新增的API数量。 活跃API：统计活跃API数量。 失活API：统计失活API数量。 7. 搜索目标API资产：可通过最近活跃时间、请求方法、生命周期、来源、业务用途、API路径进行搜索。 最近活跃时间：根据API资产最近活跃时间对API资产进行过滤，支持昨天、今天、近3天、近30天，或自定义时间范围。默认选中今天。 请求方法：支持多选。 生命周期：支持多选。 来源：单选。 业务用途：支持多选。 API路径：支持模糊匹配。 8. 查看API列表，列表中字段说明如下。 参数 说明 API名称 API的自定义名称。单击API名称链接，可[查看API详情](

本章节为您介绍用户管理的相关内容。 用户管理是指管理当前实例下所有用户信息，提供新增、编辑、Ukey绑定、重置等功能。 新增用户 1. 登录综合安全网关实例。 2. 选择“系统管理 > 用户管理”，进入“用户管理”页面。 3. 单击页面左上角的“添加用户”，在弹出的“添加用户”窗口中配置用户参数。 参数 是否可选 参数说明 登录名 必选 自定义用户的登录名，配置后不可修改。 别名 可选 设置用户的别名。 角色 必选 选择该登录用户在系统中的角色。 支持如下四种角色： 操作员（ctyunoperator） 日志审计员（ctyunauditor） 系统管理员（ctyunuseradmin） 超级管理员（ctyunadmin） 手机号码 可选 填写手机号。 邮箱地址 可选 填写新增用户的邮箱地址。 地址 可选 填写新增用户的地址。 输入密码 必选 设置用户的密码。 确认密码 必选 二次确认密码。 4. 配置完成后，单击“确定”完成用户添加。 后续操作 说明 系统初始的超级管理员用户不支持编辑和删除。 编辑用户：选择需要编辑的用户，单击“操作”列的“编辑”按钮，修改用户的相关信息后单击“确定”完成修改。 绑定UKey：选择需要绑定UKey的用户，单击“操作”列的“UKEY绑定”按钮，在弹出的对话框中填写UKEY序列号及PIN码完成绑定。 注意 首次使用UKEY需要在综合安全网关登录页面下载并安装UKEY插件。 解绑UKey：选择需要解绑UKey的用户，单击“操作”列的“UKEY解绑”按钮，在弹出的对话框中填写PIN码完成解绑。 重置用户密码：选择需要重置密码的用户，单击“操作”列的“设置口令”按钮，在弹出的对话框中单击“确定”完成重置。

本小节介绍安全专区云数据库审计客户端安装方法。 下载客户端 下载客户端，选择对应的客户端进行下载。 安装步骤 1.下载安装包，根据包中的Agent安装手册提示完成安装及连接配置。 2.填写信息，进行客户端与云数据库审计的连接。 3.在Windows上安装Agent客户端，默认安装即可。 4.执行Agent,选择接收、发送数据包的网卡，并填写相应的信息。 IP地址：云数据库审计管理口地址192.168.0.225； 抓包端口：本地数据库端口，如默认ORACLE端口1521，MSSQL默认1433，MYSQL默认3306，如需添加多个端口，请使用逗号进行分隔； 服务端口：默认云数据库审计设备服务端口，默认9999，请使用默认配置； 缓冲队列个数：缓冲队列大小，使用默认配置即可； 收发网卡：请根据实际情况进行选择，程序支持自动发现功能。 注意 Agent必须要保证始终运行，才能将本地数据库连接信息发送给审计设备，一旦关闭，将不会向审计系统发送本地审计数据，因此请将Agent设置为服务。 5.运行后，如出现如下内容，表示工作，并正常发送数据包。 6.连接成功后，可到【部署方式】，查看已连接到的客户端。 完成以上操作部署后，可在安全专区平台进行日常运营。

本页介绍天翼云TeleDB数据库操作日志相关操作。 说明 操作日志默认按时间倒序。 您可以根据操作用户、操作内容或操作结果快速搜索目标日志。 1. 以用户名和密码登录TeleDBDCP数据库管理平台。 2. 在左侧导航树选择安全中心 > 操作日志 ，进入用户日志 页面。 > 您可以查看当前用户的操作日志信息，包括日志产生时间、操作用户、操作内容和操作结果。

本节介绍如何设置文件完整性保护检测规则。 操作步骤 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“文件安全 > 文件完整性保护”，进入文件完整性保护页面。 3. 单击列表右上方的“检测设置”，进入检测设置页面。 4. 配置相关参数。 参数 说明 启用文件变更检测 开启或关闭文件变更检测功能。 关键文件监控 系统内置：对系统关键文件、文件路径、文件目录进行实时监控，发现文件变更篡改行为进行告警。 自定义：根据用户特定的防护场景，自定义添加监控路径，发现文件变更篡改行为进行告警。 监控排除设置 对用户添加的信任文件路径不再进行监控，方便用户更加灵活创建检测策略。 设置生效范围 自定义选择需要执行文件变更篡改行为监控的服务器。 5. 配置完成后，单击“确认提交”。

本文介绍如何管理白名单，包括新增、修改白名单等操作。 新增白名单 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“镜像安全 > 镜像管理”，进入镜像管理页面。 3. 单击镜像管理页面右上角的“白名单管理”，进入白名单管理页面。 4. 单击列表右上角的“新增白名单”，可以新增白名单。 5. 新增完成，可以在列表中看到刚才新增的白名单。 白名单列表上方支持按照“白名单名称”、“内容”模糊搜索，按照“类型”定向筛选查询。 编辑白名单 单击操作列的“编辑”，即可查看或移除已添加到白名单中的镜像、漏洞、文件、软件、环境变量信息。 删除白名单 若不需要白名单时，可以单击操作列的“删除”，删除白名单。 注意 删除白名单后不支持恢复，请谨慎操作。

JWT 是一种轻量级的身份验证和鉴权机制，广泛应用于Web开发、API安全、单点登录等场景。服务网格支持配置JWT策略并应用到数据面实现请求身份认证，保护后端服务安全。 JWT策略配置说明 配置项 说明 安全策略名称 策略名称，如testjwt Issuer JWT的颁发者，如果请求带的JWT中的iss字段和此字段不一致，则该JWT会被拒绝 JWKS来源 用于验证JWT的密钥来源 jwks 用于验证JWT的密钥，当JWKS来源是jwks时填写 jwksUri 用于验证JWT的密钥URI，当JWKS来源是jwksUri时填写 Audience JWT颁发给的目标实体 JWTToken位置 获取JWT的位置，支持从请求头或者请求Query参数中获取 JWT透传 是否向后端透传JWT信息 将Payload通过Header透传 将JWT的Payload信息通过base64编码后添加到Header透传到后端 JWT策略绑定 策略生效粒度 当前支持命名空间、服务、工作负载、网关的生效粒度配置，说明如下 生效粒度 说明 命名空间 策略下发到所选择命名空间下所有数据面 服务 策略下发到所选服务关联的工作负载数据面 工作负载 策略下发到指定工作负载的数据面 网关 策略下发到网关 请求匹配规则 对于JWT策略、OIDC策略和自定义授权服务策略，支持基于请求特征匹配决定是否执行当前策略，支持的匹配项及说明如下 匹配项 说明 HTTP域名(Host) 匹配一组请求的域名 HTTP路径(Path) 匹配一组请求路径 HTTP方法(Method) 匹配一组请求的HTTP Method 端口(Port) 匹配一组请求的目标服务端口 说明 域名和路径匹配支持以下匹配模式 1. 精确匹配：如abc匹配abc字符串 2. 前缀匹配：abc匹配abc、abcd、abce等 3. 后缀匹配：abc匹配abc、xabc、zabc等 4. 存在匹配：匹配所有非空值 请求匹配支持黑白名单模式 1. 黑名单模式：选中请求必须执行认证策略 2. 白名单模式：选中请求跳过认证策略，其他请求需要执行策略

本章节主要介绍ALM12080 omm密码即将过期。 告警解释 系统每天零点开始，每8小时检测当前系统中omm密码是否即将过期，如果当前时间与密码过期时间剩余不足15天，则发送告警。 当系统中omm密码过期的期限重置，当前状态为正常，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 12080 次要 是 告警参数 参数名称 参数含义 来源 产生告警的集群或系统名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 对系统的影响 omm密码过期，Manager各节点互信不可用，无法对服务提供管理功能。 可能原因 该主机omm密码即将过期。 处理步骤 检查系统中omm密码是否即将过期 1.以root用户登录集群故障节点。 执行chage l omm命令来查看当前omm用户密码设置信息。 2.查找“Password expires”对应值，查看密码设置是否即将过期。 说明 如果参数值为“never”，则代表永不过期；如果为日期值，则查看是否在15天内过期。 是，执行步骤3。 否，执行步骤4。 3.执行chage M '天数' omm命令设置 omm 密码的有效天数，等待8小时，观察告警是否自动清除。 是，操作结束。 否，执行步骤4。