登录系统，报IP/MAC地址不在登录范围怎么办？ 问题现象 通过Web浏览器登录云堡垒机系统，上报“您的IP地址不在允许登录的范围内！”错误。 通过Web浏览器登录云堡垒机系统，上报“您的MAC地址不在允许登录的范围内！”错误。 可能原因 云堡垒机系统限制了用户IP地址或MAC地址登录，用户登录IP地址或MAC地址被设置了登录黑名单，不能登录云堡垒机系统。 解决办法 请管理员排查用户登录限制配置，查看是否配置“登录IP地址限制”和“登录MAC地址限制”白名单或黑名单。 若配置了白名单，请根据配置的IP/MAC地址，使用配置范围内的服务器登录。 若配置了黑名单，请根据配置的IP/MAC地址，使用未被限制的服务器登录。 登录系统，系统提示“404：服务错误”怎么办？ 问题现象 通过Web浏览器登录云堡垒机系统，弹出系统提示框，提示“/3.0/AUTHSERVICE/CONFIG404：服务错误”。 可能原因 云堡垒机系统网盘空间满了，可使用数据盘空间不足。 解决办法 单独挂载系统数据盘，并重启云堡垒机即可恢复。 变更云堡垒机规格，提高系统整体规格性能。 不允许对原有的系统盘或数据盘进行扩充，只能单独挂载数据盘，重启云堡垒机自动挂载。 登录系统，系统提示“499：服务错误”怎么办？ 问题现象 通过Web浏览器登录云堡垒机系统，弹出系统提示框，提示“/3.0/profileService/freshProfile 499：服务错误，请稍后重试”。

此小节介绍如何登录云堡垒机系统。 背景介绍 云堡垒机支持Web浏览器、SSH客户端和MSTSC客户端三种登录方式。 Web浏览器登录：支持系统管理和资源运维功能。建议系统管理员admin或管理人员使用Web浏览器登录进行系统管理和授权审计。 SSH客户端登录：在不改变用户原来使用SSH客户端习惯的前提下，可对授权资源进行运维管理。运维人员可选择使用SSH客户端直接登录运维资源。 MSTSC客户端登录：在不改变用户原来使用MSTSC客户端习惯的前提下，可对授权资源进行运维管理。运维人员可选择使用MSTSC客户端直接登录运维资源。 前提条件 实例的运行状态为“运行”，CBH系统在使用授权期内; 实例已绑定EIP，且EIP可用; 已获取登录CBH系统的登录地址，以及登录验证信息。 通过Web浏览器登录云堡垒机 1. 启动浏览器，在Web地址栏中输入CBH系统登录地址，进入系统登录页面。 登录地址： 或私网IP 。例如， 注意 未绑定EIP时，可通过私网IP登录，需确保用户本地网络与云堡垒机私网网络通畅； 受浏览器兼容性限制，当浏览器版本与云堡垒机系统不匹配时，可能导致登录时获取不到验证信息，或登录后页面显示异常，建议使用推荐的浏览器及版本。 2. 选择登录认证方式，如下图。 系统所有用户可选择配置“手机短信”、“手机令牌”、“USBKey”和“动态令牌”多因子认证。 配置多因子认证后，“密码登录”方式认证失效。 Web浏览器登录验证说明 登录方式 登录说明 登录方式配置说明 密码登录 输入云堡垒机系统的用户登录名和密码。 默认登录方式。 “AD域认证”、“RADIUS认证”、“LDAP认证”或“Azure AD认证”用户登录密码为远程服务器用户密码。 手机短信 输入云堡垒机系统的用户登录名和密码，单击“获取验证码”，并输入短信验证码。 需要已经为用户帐号配置可用手机号码。 手机令牌 输入云堡垒机系统的用户登录名和密码，并输入手机令牌的动态验证码（每隔一段时间就会变化）。 说明 需确保用户登录系统时间与手机时间一致，精确到秒，否则会提示验证码错误。 需用户先绑定手机令牌，再由管理员配置多因子认证，否则用户无法登录系统。 USBKey 插入并选择已签发过的USBKey，并输入对应的PIN码。 需已为用户签发USBKey。 动态令牌 输入云堡垒机系统的用户登录名和密码，并输入动态令牌的动态口令（每隔一段时间就会变化）。 需已为用户签发动态令牌。 3. 单击“登录”，成功登录云堡垒机系统进行管理和运维操作。 系统管理员admin为CBH系统第一个可登录用户，拥有系统最高操作权限，且无法更改权限配置，请妥善保管帐号信息。 在首次登录系统成功后，请所有用户按照系统提示修改密码和绑定手机号码，否则无法进入系统运行页面。登录系统后，可在个人中心修改用户基本信息。

本章节介绍如何进行域名管理配置 关联域名 云原生网关提供域名配置能力，支持配置协议、证书、路由配置。本文介绍如何关联域名。 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称 ，也可以单击操作列中的管理按钮； 5. 单击左侧导航栏 域名管理 ； 6. 单击左上角按钮 关联域名 ； 7. 在关联域名面板填写域名相关配置，单击左下角确定按钮； 域名配置说明如下： 参数 描述 域名 自定义域名填写，如mse.ctyun.com，同时支持泛域名如.ctyun.com。 协议 支持HTTP和HTTPS协议，HTTPS协议需上传证书。 证书名称 选择HTTPS时填入，自定义填写证书名称。 证书文件 选择HTTPS时需上传证书文件，支持pem、cer, crt, key格式。 私钥文件 选择HTTPS时需上传私钥文件，支持pem、cer, crt, key格式。 结果验证 在域名管理列表页可以查看新关联的域名信息，且状态显示已发布 ，则说明域名关联成功。 变更域名 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称 ，也可以单击操作列中的管理按钮； 5. 单击左侧导航栏 域名管理 ； 6. 单击域名管理页操作列编辑按钮； 7. 在编辑域名面板编辑协议、证书等信息，单击左下角确定按钮；

本节主要介绍概述 应用运维管理（Application Operations Management）是云上应用的一站式立体化运维管理平台，实时监控用户的应用及相关云资源，采集并关联资源的各项指标、日志及事件等数据共同分析应用健康状态，提供灵活的告警及丰富的数据可视化功能，帮助用户及时发现故障，全面掌握应用、资源及业务的实时运行状况。 AOM作为云上应用的一站式立体化运维管理平台，可以实现对云主机、存储、网络、WEB容器、docker、kubernetes等应用运行环境的深入监控并进行集中统一的可视化管理，能够有效预防问题的产生及快速帮助应用运维人员定位故障，降低运维成本。AOM并非传统监控，它通过应用的角度看业务，满足企业对业务的高效和快速迭代的需求，可帮助企业实现 IT 对业务的有效支撑，保护、优化IT资产投资，使企业更好的达到其战略目标并实现IT资产调优。 控制台说明 类别 说明 :: 总览 提供监控概览及仪表盘功能。 监控概览 “监控概览”界面提供了资源、应用、应用用户体验的全链路、多层次、一站式运维界面。 仪表盘 通过仪表盘可将不同图表展示到同一个屏幕上，通过不同的仪表形式来展示资源数据，例如，曲线图、数字图等，进而全面、深入地掌握监控数据。 告警 提供告警列表、事件列表、告警规则、告警通知等功能。 告警列表 告警是指AOM自身或外部服务在异常情况或在可能导致异常情况下上报的信息，并且您需采取相应措施清除故障，否则会由于AOM自身或外部服务的功能异常而引起业务的异常。 告警列表展示已设时间范围内产生的告警。 事件列表 事件告诉您AOM自身或外部服务发生了某种变化，但不一定会引起业务异常，事件一般用来表达一些重要信息。 事件列表展示已设时间范围内产生的事件。 告警规则 通过告警规则可对服务设置事件条件或者对资源的指标设置阈值条件。当服务的资源数据满足事件条件时产生事件类告警。当资源的指标数据满足阈值条件时产生阈值告警，当没有指标数据上报时产生数据不足事件，以便您在第一时间发现异常并进行处理。 监控 提供应用监控、组件监控、主机监控、容器监控、指标浏览等功能。 应用监控 应用是您根据业务需要，对相同或者相近业务的一组组件进行逻辑划分，AOM提供以应用维度整体进行监控。 组件监控 组件即您部署的服务，包括容器和普通进程。 组件列表展示了每个组件的类型、CPU占用、内存占用和告警状态等信息，AOM支持从组件下钻到实例，从实例下钻到容器。通过各层状态，您可完成对组件的立体监控。 主机监控 通过AOM您可监控主机的资源占用与健康状态，监控主机的磁盘、文件系统等常用系统设备，监控运行在主机上的业务进程或实例的资源占用与健康状态。 容器监控 容器监控的对象仅为通过CCE部署的工作负载、通过ServiceStage创建应用。 指标浏览 指标浏览展示了各资源的指标数据，您可实时监控指标值及趋势，还可将关注的指标添加到仪表盘，对其创建阈值规则和导出监控报告等操作，以便实时查看业务及分析数据。 日志 提供日志搜索、日志文件、日志转储、日志路径等功能。 日志搜索 当需要通过日志来分析和定位问题时，使用日志搜索功能可帮您快速在海量日志中查询到所需的日志，您还可结合日志的来源信息和上下文原始数据一起辅助定位问题。 日志文件 您可快速查看组件实例的日志文件，以便定位问题。 日志转储 AOM支持将日志转储到对象存储服务（Object Storage Service，简称OBS）的OBS桶中，以便进行长期存储。 日志路径 AOM支持容器服务日志和虚机（这里的虚机指操作系统为Linux的弹性云主机或物理机）日志采集，即采集您自定义的日志文件并展现在AOM界面中，以供您检索。使用该功能前首先要配置日志采集路径。 配置管理 提供ICAgent管理、应用发现、日志配置等功能。 ICAgent管理 ICAgent用于采集指标、日志和应用性能数据。对于在ECS、BMS控制台直接购买的主机，您需手动安装ICAgent。对于通过CCE间接购买的主机，ICAgent会自动安装，您不用安装ICAgent。 数据订阅 支持用户订阅指标或者告警信息，订阅后可以将数据转发到用户配置的kafka或DMS的Topic中，供消费者消费转发的订阅的信息。 应用发现 应用发现是指AOM通过配置的规则发现和收集您主机上部署的应用和关联的指标。 日志配置 提供日志配额和分词设置功能。 配额配置 当指标超过配额时，时间较早的指标将会被删除。 指标配置 指标采集开关用来控制是否对指标数据进行采集（SLA指标、自定义指标除外）。

实例类型 简介 使用说明 适用场景 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 个人学习。 微型网站。 中小企业的开发测试环境。 主备实例 采用一主一备的经典高可用架构，支持跨AZ高可用，选择主可用区和备可用区不在同一个可用区（AZ）。主实例和备实例共用一个IP地址。 备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。 当主节点故障后，会发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 大中型企业的生产数据库。 覆盖互联网、物联网、零售电商、物流、游戏等行业的应用。 集群版实例 采用微软AlwaysOn高可用架构，支持1主1备5只读集群模式，拥有更高可用性，可靠性，可拓展能力。 仅限RDS for SQL Server使用。 金融行业。 互联网行业。 酒店行业。 在线教育。

背景信息 在云原生和大数据成本优化的大趋势下，分布式消息Kafka引入弹性存储功能，正是为了应对传统架构中“高成本、难扩展、利用率低”的痛点。通过弹性存储能力，实现存储成本的显著下降和资源的按需使用，使企业能够以更经济的方式处理海量流数据。弹性存储能力核心优势如下： 显著降低存储成本 对象存储的费用通常仅为超高IO云盘费用的7.5%~10%，并且冷数据存储在远端只需存储一个副本。通过将不常访问的历史数据迁移到对象存储，企业可以在保留更长数据保留周期的同时，大幅降低总体拥有成本。 实现按需使用、弹性扩展 弹性存储解耦了计算与存储。对象存储具备近乎无限的扩展能力，无需预先规划容量。用户可以根据业务需求灵活延长数据保留时间（如从 7 天延长至 90 天甚至更久），而无需担心存储瓶颈。 提升资源利用率与运维效率 本地磁盘资源专注于服务高频访问的热数据，提升集群性能；冷数据由对象存储承载，减轻 Kafka服务端的存储压力。同时，减少了因存储不足而频繁扩容的运维负担。 支持更多数据应用场景 低成本的长期数据保留使得 Kafka 不仅可用于实时流处理，还可作为事件溯源、数据湖入湖前的缓冲层、合规归档等场景的统一数据平台，提升数据价值。

本节介绍天翼云电脑电脑客户端的基本设置操作。 返回旧版 网络设置 音频设置 重启/关闭终端 自定义换肤 设置入口 自动启动 锁定登录账号 自动锁屏 自动退出登录 运行模式 电源策略 网络检测 网络代理 其他客户端 关于我们 最小化、关闭 返回旧版 如需切换旧版，更多点击“返回旧版”，切换旧版二次确认之后，新旧版切换需要在应用启动后生效。 网络设置 提示：仅Ubuntu客户端、安卓瘦终端支持网络设置。 登录页右下角：点击”网络设置“调用终端本地网络设置功能，不同厂家的终端网络设置页存在差异。

本节介绍应用市场开通与试用后的状态提示。 试用状态 开启试用后，在应用市场相关页面会出现试用提示栏。 注：应用市场试用时长为90天。 开通状态 尚未开通时，应用市场页面会提示需要开通。 开通后，在应用市场相关页面出现当前使用状况的提示栏。 部分功能为旗舰版专属，需开通旗舰版后方可使用。

AntiDDoS流量清洗功能类相关问题 AntiDDoS有何使用限制？ 提供不超过5Gbps流量的DDoS攻击防护。 对大于5Gbps的流量，系统会进行自动限流措施（正常访问流量会丢失）；对于正常业务流量超过5Gbps流量的应用，建议您购买DDoS高防服务，提升防护能力。 哪些服务可以使用AntiDDoS？ AntiDDoS流量清洗服务的防护对象为用户购买的公网IP，不区分服务。 如何使用AntiDDoS？ 购买了弹性公网IP后，即可自动开启AntiDDoS防护。 AntiDDoS能阻止哪些类型的攻击？ AntiDDoS可以轻松应对流量拥塞型攻击，精确识别连接耗尽型、慢速攻击，帮助用户防护以下攻击： Web服务器类攻击：SYN Flood攻击、HTTP Flood攻击、CC（Challenge Collapsar）攻击、慢速连接类攻击等。 游戏类攻击：UDP（User Datagram Protocol ） Flood攻击、SYN Flood、TCP（Transmission Control Protocol ）类攻击、分片攻击等。 HTTPS服务器的攻击：SSL DoS/DDoS类攻击等。 DNS服务器的各类攻击：DNS（Domain Name Server）协议栈漏洞攻击、DNS反射攻击、DNS Flood攻击、DNS CacheMiss攻击等。 攻击事件能否及时通知? 可以。在AntiDDoS界面，单击“告警通知”页签，开启告警通知。 告警通知开启后，在受到DDoS攻击时，用户会收到报警信息（短信或Email）。 当业务经常被DDoS攻击时如何处理？ 当业务经常被DDoS攻击时，容易导致公网IP被拉黑，影响业务连续性，建议购买DDoS高防服务提升防御能力。

配置项 含义 默认值 sslcertificate 配置server端的国密签名或加密证书 none sslcertificatekey 配置server端的国密签名或加密证书私钥 none sslprotocols 配置网关作为server端时支持的ssl协议，该配置为nginx原生配置，枚举类型，取值范围：[SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2] [TLSv1.3][GMSSLv1.1] TLSv1 TLSv1.1 TLSv1.2 proxysslprotocols 配置网关作为client端回源时支持的ssl协议，该配置为nginx原生配置，枚举类型，取值范围：[SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2] [TLSv1.3][GMSSLv1.1] TLSv1 TLSv1.1 TLSv1.2

Spring是一款主流的Java EE轻量级开源框架，面向服务器端开发设计。近日，Spring框架被曝出可导致RCE远程代码执行的漏洞，该漏洞攻击面较广，潜在危害严重，对JDK 9及以上版本皆有影响。本章节介绍Java Spring框架远程代码执行高危漏洞的最佳防护实践。 漏洞名称 Spring框架RCE 0day安全漏洞 影响范围 JDK 9及以上。 使用了Spring框架或衍生框架。 防护建议 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入WAF。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。 说明 目前，该漏洞存在两种攻击payload，是否开启“header全检测”根据攻击payload的方式而定： 第一种是通过在参数提交中携带攻击载荷。此时，“header全检测”可以不开启拦截。 第二种是在header自定义字段中携带攻击载荷。此时，“header全检测”必须开启拦截模式，才可以拦截此类攻击。 第二种攻击方式对第一种有依赖，所以是否要开启“header全检测”，您可以根据您的业务需求进行选择。

本章节为您介绍云堡垒机(原生版)改密策略。 改密策略是一种自动化工具，旨在增强主机资源账户的安全性。它允许用户通过预设的策略，对一个或多个主机资源账户的密码进行手动、定时或周期性的修改。 以下是改密策略的主要功能： 支持通过策略手动、定时、周期修改资源账户密码。 支持生成不同密码、相同密码，以及生成指定相同密码。 新建改密策略 1. 使用“管理角色”账户登录云堡垒机系统。 2. 在左侧导航栏选择“资产管理 > 账户改密”，进入“改密策略”页面。 3. 单击“新增”，在弹出的窗口中填写改密策略相关参数。 参数 参数说明 取值样例 名称 自定义改密策略名称。 定期改密 描述 自定义改密策略描述。 XX主机定期改密策略 改密账号 添加改密账号。 目前仅支持添加SSH、Telnet协议的主机账号。 选择后改密账号格式为：协议[资产账号名@]资产名称。 SSH[admin@]Test01 执行策略 按需选择您的执行策略： 立即执行：保存后立即执行。 定时执行：在选择时间后，仅在选择的时间执行一次。 按周期执行：选择执行起始时间和执行周期。 立即执行 改密方式 按需选择您的改密方式： 内置类型：选择服务器操作系统类型，堡垒机将自动匹配对应的改密模板。 自定义：填写改密模板的提示符、命令。 资产账号名、旧密码和新密码分别用${username}、${oldpassword}和${newpassword}占位符代替，请勿直接输入具体资产账号名。 改密方式：自定义。 自定义交互： 提示符：$ 命令：passwd 提示符：Current password: 命令：${oldpassword} 提示符：New password: 命令：${newpassword} 提示符：Retype new password: 命令：${newpassword} 密码生成方式 按需选择您的密码生成方式： 随机生成不同/相同密码 不包含字符集：密码中不允许出现的字符。 手动生成指定密码 填写指定密码。 不包含字符集：0O1iI 改密完成通知 通过开关按钮选择是否进行通知。 收件人邮箱 开启“改密完成通知”，还需要填写接收改密内容的邮箱，仅支持填写一个邮箱。 改密结果会以加密附件的方式发送。 admin@chinatelecom.com 改密附件密码 开启“改密完成通知”，还需要填写改密附件的密码。 4. 填写完成后，单击“提交”即可完成新建改密策略。

本章节主要介绍如何通过后台提交并运行Flink作业。 通过后台提交作业 目前Flink客户端默认安装路径为“/usr/local/flink”。具体以实际为准。 1. 通过SSH方式登录集群。 2. 配置环境变量。 在/etc/profile添加如下配置： export HADOOPHOME/usr/local/hadoop3 export FLINKHOME/usr/local/flink export PATHPATH:PATH:FLINKHOME/bin:HADOOPHOME/bin export HADOOPCONFDIRHADOOPHOME/bin exportHADOOPCONFDIRHADOOPHOME/etc/hadoop export PATHPATH:PATH:HADOOPCONFDIR export HADOOPCLASSPATHhadoop classpath 执行如下命令初始化环境变量 source /etc/profile 3. 集群默认开启Kerberos认证，需要执行以下命令以完成认证。 示例： klist kt /etc/security/keytabs/flink.keytab 获取flink.keytab的principalname kinit kt /etc/security/keytabs/flink.keytab flink.keytab的principalname 同时，应配置安全认证。在“/usr/local/flink/conf/flinkconf.yaml”配置文件中的对应配置添加keytab路径以及用户名。 security.kerberos.login.useticketcache: true security.kerberos.login.keytab: security.kerberos.login.principal: user security.kerberos.login.contexts: Client,KafkaClient 例如： security.kerberos.login.keytab: /etc/security/keytabs/hdfs.keytab security.kerberos.login.principal: hdfs 4. 运行wordcount作业。 首先执行上述第3步骤中的认证操作，然后启动Flink集群。 /usr/local/flink/bin/startcluster.sh Session模式 执行如下命令在session中提交作业。 yarnsession.sh nm "sessionname" detached flink run /usr/local/flink/examples/streaming/WordCount.jar 提交成功后，会返回已提交的Flink作业的YARN Application ID以及Web地址，访问Web地址以通过Web UI的方式查看作业状态。 Application模式 执行如下命令以Application方式提交作业。 flink runapplication t yarnapplication/usr/local/flink/examples/streaming/WordCount.jar 提交成功后，会返回已提交的Flink作业的YARN Application ID以及Web地址，访问Web地址以通过Web UI的方式查看作业状态。

类型 指标 描述 主要评价指标 整体性能 平均响应时间，该值越小，则响应时间越短。 主要评价指标 服务可用性 访问成功率，该值越高，则可靠性越强。 网络指标 DNS解析时间 通过域名解析服务（DNS），将指定的域名解析成IP地址的消耗时间。 网络指标 TCP建连时间 浏览器或客户端和WEB服务器建立TCP/IP连接的消耗时间。 网络指标 SSL握手时间（按需） 浏览器或客户端和WEB服务器建立安全套接层（SSL）连接的消耗时间。 网络指标 首包时间 浏览器或客户端发送HTTP请求结束开始，到收到WEB服务器返回的第一个数据包的消耗时间。 网络指标 内容下载时间 监测一个页面时，从页面角度看，浏览器或客户端接收WEB服务器返回第一个数据包，到所有内容传输完成的时间。 CDN平台指标 回源率 回源率分为回源请求数比例及回源流量比例两种。 1. 回源请求数比例：指CDN节点上没有缓存、缓存过期和不可缓存的请求占全部请求记录的比例。 注意 对于开启分片回源功能的域名，因为CDN回源做了分片，而用户访问CDN没有分片，可能会出现CDN节点回源请求数远大于用户访问CDN的请求数的情况。这种情况下回源请求率的数据将没有参考意义。 2. 回源流量比例：回源流量是CDN节点回源请求内容时产生的流量。回源流量比回源流量/用户请求访问的流量，比值越低，性能越好。 CDN平台指标 缓存命中率 缓存命中率包括流量命中率和请求命中率。CDN缓存命中率低，会导致源站压力大，静态内容访问效率低。 统计方式： 流量命中率 1 回源流量/流量（5分钟粒度）。 请求命中率 1 回源请求数/请求数（5分钟粒度）。

本节介绍分布式消息服务Kafka操作类常见问题 消息在kafka保留多长时间？ 消息保存72小时，超过72小时的消息将会被删除。 Kafka可以创建多少个主题？ Kafka基础版可以创建50个主题、Kafka高级版可以创建100个主题。 如果想消费已经被消费过的数据？ consumer是底层采用的是一个阻塞队列，只要一有producer生产数据，那consumer就会将数据消费。当然这里会产生一个很严重的问题，如果你重启一消费者程序，那你连一条数据都抓不到，但是log文件中明明可以看到所有数据都好好的存在。换句话说，一旦你消费过这些数据，那你就无法再次用同一个groupid消费同一组数据了。针对这种情况，你可在控制台重置消费组消费点（3天内）。 是否需要预先创建消费组 消费组和消费组订阅主题关系虽然业务应用客户端接入时可自动创建，但建议都先预先创建做好管理。 出现“Not authorized to access group”的错误信息 没有创建消费组时会遇到此报错信息，创建消费组可解决此问题。 为什么PHP发送延时比较长？ PHP发送延时比较长是PHP的语言特性导致的。PHP每次发送时，都会重新初始化一个KafkaProducer对象，这个初始化会进行各种操作，包括连接各个Broker、更新元数据等，在VPC内耗时100ms以上，在公网可能耗时500ms以上。相比之下，Java会复用KafkaProducer，发送延迟较低。 哪里可以找到生产消费消息的示例 最佳实践 生产者实践、消费者实践。

本章节为您介绍容器审计的相关内容。 容器审计概述 什么是容器审计？ 容器审计功能支持对容器集群中的各种操作和活动进行监控和记录，可帮助用户洞察容器生命周期的各个阶段，包括创建、启动、停止和销毁等。用户通过审计和分析，可以及时发现并处理安全问题，从而确保容器集群的安全性、稳定性。 支持的审计类型 集群容器：K8s审计日志、K8s事件、容器日志、容器运行指令。 非集群容器：容器日志、容器运行指令。 SWR镜像仓：镜像仓日志。 应用场景 容器环境异常事件排查分析：当容器环境出现异常操作或活动时，可通过容器审计日志定位异常事件发生时间和行动轨迹，从而总结出解决办法。 约束与限制 集群容器或非集群容器已开启容器版防护。 使用说明 完全启用容器审计功能，需满足以下条件： 1. 集群容器或非集群容器已接入HSS并开启容器版防护。 2. 完成部分审计类型的审计前提操作，具体如下表所示。 对象 审计类型 审计前提 云CCE集群 K8s审计日志 在CCE管理控制台开启“kubernetes事件”、“kubernetes审计日志”、“容器日志”采集。 云CCE集群 K8s审计事件 在CCE管理控制台开启“kubernetes事件”、“kubernetes审计日志”、“容器日志”采集。 云CCE集群 容器日志 在CCE管理控制台开启“kubernetes事件”、“kubernetes审计日志”、“容器日志”采集。 SWR私有镜像仓库 镜像仓日志审计 您使用了容器镜像服务SWR，并授予了HSS云审计服务的操作权限（CTSOperatePolicy）。 启用容器审计后，集群内的各类操作和活动日志将记录在HSS控制台，供您查看。

本文介绍如何在AI网关中停用和删除消费者。如需删除消费者请先停用消费者。 停用消费者 操作步骤 1. 登录云原生API网关控制台，并在顶部菜单栏选择地域。 2. 在左侧导航栏，选择 "AI网关消费者"。 3. 在消费者列表页操作栏中点击 "停用"，在弹出提示框中点击 "确认"。 4. 或进入目标消费者详情页，在基本信息栏的状态 点击 "停用"，在弹出提示框中点击 "确认"。 删除消费者 注意 删除消费者前请先停用消费者。 操作步骤 1. 登录云原生API网关控制台，并在顶部菜单栏选择地域。 2. 在左侧导航栏，选择 "AI网关消费者"。 3. 在消费者列表页面，单击目标消费者的操作列下的"删除"，然后在确认删除对话框中输入当前的消费者名称，然后单击"删除"。

接口功能介绍 统计最近一次弱口令检测扫描出的信息。 接口约束 此功能为收费功能。确认已经购买系统配额，并且开启服务器防护。如果没有购买配额，可按照页面提示进行购买。如果没有开启防护，请在服务器列表页开启机器防护。 URI POST /v1/weakpw/group 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 currentPage 是 Integer 分页当前页码 1 pageSize 是 Integer 页大小 10 checkType 是 String 检测弱口令类型 1：系统弱口令:2：应用弱口令，多个用英文逗号隔开 1 param 否 String 查询参数 12a agentGuid 是 String agentGuid testagentguid 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200 表 returnObj 参数 参数类型 说明 示例 下级对象 total Integer 总数 100 list Array of Objects 结果集 list pageNum Integer 当前页 1 pageSize Integer 每页的数量 10 表 list 参数 参数类型 说明 示例 下级对象 userName String 用户名 test weakType String 弱口令类型 空口令/系统默认弱口令/密码包含用户名/常见弱密码 空口令 passwd String 密码脱敏，如t t findTime String 首次发现时间 20220406 10:10:10 timestamp String 最后发现时间 20220406 10:10:10 app String 应用名称 app version String 应用版本 1.0.0

本章节介绍实例级策略配置 概述 云原生API网关支持在多个维度进行多种策略配置，策略配置维度优先级由高到低，实例级 > API级 > 路由/接口级。 在实例详情页的 "策略配置" 标签页中可以配置路由策略，当前支持限流、重写、Header配置、跨域、Query参数设置、Cookie重写、外部认证授权、熔断、黑白名单、防重放和Fallback服务策略配置。 具体策略配置说明参见API管理HTTP API路由路由策略配置。 操作步骤 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 实例列表 。 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称。 5. 进入网关详情页 > 策略配置页。 6. 单击需要变更的策略，在右侧配置页中修改相关配置后，单击 "保存"。

本章节介绍如何使用云原生网关实现后端访问签名 概述 后端访问签名功能支持您在后端服务中开启身份认证后，填写设定的一对Access Key和Secret Key，并根据选择的认证算法和加密算法，以及加密Headers列表，计算出相应的签名信息。当通过网关请求该服务时，会将该服务的签名信息设置在Header请求头中，从而后端服务对比网关的签名和服务器端计算的签名是否一致进行身份验证与鉴权。 前提 1. 已开通云原生网关实例 2. 已部署能够进行验证Header签名信息的后端服务 网关中实现后端访问签名 1. 部署服务，可选择容器部署、Nacos注册或固定地址。 2. 进入服务详情。 3. 后端访问签名栏点击编辑。 4. 打开 开启身份认证开关。 5. 选择认证算法（目前云原生网关只支持Hmac算法，后续将支持更多算法），填写加密关键信息。 6. 点击保存。 7. 为该服务创建路由。 8. 请求路由。 其中，Hmac认证算法的关键属性如下： 名称 描述 Access Key 唯一标识符。 Secret Key 与Access Key配对使用。 加密算法 支持hmacsha1，hmacsha256和hmacsha512三种加密算法。 加密Headers列表 要在加密计算中使用的headers 列表。指定后客户端请求只能在此范围内指定 headers，如果未指定，就会在所有客户端请求指定的 headers 加入加密计算。 URL参数编码 当设置为是时，将对签名中的URI参数进行编码，默认为是。

本章节主要介绍如何在天翼云物理机部署应用服务。 安装及启动Nginx 1. 输入yum install nginx命令安装Nginx，当需要确认时输入“y”确认。 2. 输入systemctl start nginx.service启动Nginx服务。 说明 此处以CentOS 7.3 64bit为例，其他操作系统的Nginx启动命令请您自行查阅。 3. 输入 wget ，测试Nginx服务。 访问Web默认页面 使用浏览器访问“

本文介绍如何创建Serverless集群。 前提条件 已开通并授权云容器引擎。 已登录弹性容器实例控制台开通ECI服务。 步骤一：登录云容器引擎控制台 1.登录云容器引擎控制台。 2.在控制台的左侧导航栏中点击“集群”。 3.在集群列表页面中，单击页面右上角的“创建集群”，进入订购页后单击“Serverless版”，进入订购云容器引擎Serverless版界面。 步骤二：集群配置 在订购云容器引擎Serverless版页面中，完成集群的基本配置。部分配置说明如下： 配置项 描述 实例名称 填写集群的实例名称 企业项目 按需选择企业项目 计费模式 默认使用按需计费模式 Kubernetes版本 显示当前Serverless集群支持的Kubernetes版本 部署方式 支持单可用区部署、多可用区部署 可用区 按需选择可用区 API Server访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。同时，您也可以选择是否使用EIP暴露API Server，选择不开放时，则无法通过外网访问集群API Server 虚拟私有云 集群所使用的VPC，支持使用已有的VPC或创建虚拟私有云 所在子网 集群所使用的子网，支持使用已有的子网或创建子网 默认安全组 安全组是一种虚拟防火墙，能够控制实例的出入站流量，Serverless集群会自动生成一条默认的安全组，以确保容器之间能正常通信 启用IPv6 启用IPv6双栈将创建双栈Serverless集群 Service CIDR 设置Service CIDR。Service网段不能与VPC及VPC内已有集群使用的网段重复，并且Service地址段也不能和Pod地址段重复。集群创建成功后不能再修改该网段 自定义证书SAN 按需添加自定义的IP或域名，以实现对客户端的访问控制 集群本地域名 填写集群的本地域名 集群删除保护 设置是否启用集群删除保护，防止通过控制台或者API误删除集群 集群标签 为集群绑定标签，作为云资源的标识 集群描述 按需对集群进行描述说明 时区 集群所要使用的时区

实例跨可用区灾备 主备与集群版本的缓存实例支持将主备副本部署在不同的可用区内（即不同的物理机房）。不同可用区的电力、网络相互隔离，当主节点所在的机房因为电力或者网络出现故障，备节点将接管服务，客户端与备节点正常建立连接以及读写数据。 实例跨可用区示意图 说明 上图为主备实例跨可用区部署示意，集群版实例与主备实例类似，每一个条带（进程）都跨可用区部署。 对于同城容灾，只需要在创建主备/集群实例时，选择与主可用区不同的备可用区。 说明 您的应用也可以部署为跨可用区的HA模式，这样不仅能保证数据高可靠，还能在机房遇到断电或网络故障时，服务继续可用。

云原生API网关产品服务协议详情请参见这里

操作步骤1：在插件市场卸载 1. 登录云原生API网关控制台，并在顶部菜单栏选择地域。 2. 在左侧导航栏，选择 "AI网关插件"。 3. 在插件市场页面的快捷导航栏处，选择插件类型或者搜索插件名称，单击要卸载的插件卡片。 4. 单击配置栏，在要卸载此插件的网关实例操作栏中，单击"卸载"。 5. 在弹出框中，点击"确认"按钮，页面提示卸载插件成功。 操作步骤2：在网关实例中卸载 1. 登录云原生API网关控制台，并在顶部菜单栏选择地域。 2. 在左侧导航栏，选择 "AI网关实例"，进入目标实例详情。 3. 在左侧导航栏，选择"插件"。 4. 在插件列表中，单击所要卸载插件操作列中的"卸载"。 5. 在弹出框中单击"确认"按钮，页面提示卸载插件成功。

本文介绍全站加速是否支持跨域资源共享。 全站加速支持跨域资源共享。 什么是跨域资源共享 跨域资源共享（CrossOrigin Resource Sharing，简写为CORS）简称跨域访问，是HTML5提供的标准跨域解决方案，允许Web应用服务器进行跨域访问控制，实现跨域数据的安全传输。当客户的业务需要跨域共享或者访问资源时，客户可以通过自定义HTTP响应头来实现。 配置说明详见：跨域资源共享。 注意事项 若您的源站与客户控制台同时配置CORS跨域头，则全站加速平台的配置将覆盖源站CORS跨域头。

云原生API网关产品服务等级协议详情请查看这里

英特尔全方位的AI软件生态支持 英特尔及其合作伙伴凭借多年AI积累，围绕至强®可扩展处理器打造了完善的软件生态：广泛支持主流开源框架，通过插件优化及多样化开源工具链，使用户在x86平台上能够轻松开发、部署通用AI应用，无需手动调整，同时确保从终端到云的全程安全保护。 此外，至强®处理器内置多种AI加速指令（如AVX512、AMX），使得任何兼容软件均可直接调用加速功能。开发者可免费下载英特尔分发版工具、库及开发环境，充分利用这些内置加速器应对各类AI管线需求。结合多样化硬件优势与开放生态，英特尔通过经济、可扩展的方案，将AI能力无缝延伸至云端与边缘。 其中，xFasterTransformer（xFT）是英特尔官方开源的AI推理框架，专为大语言模型在至强®平台上深度优化。xFT不仅支持多种数据精度（FP16、BF16、INT8、INT4），还能利用多CPU节点实现分布式部署，显著提升推理性能并降低成本。其简单的安装和与主流Serving框架（如vLLM、FastChat、MLServer、MindSpore Transformer、PaddlePaddle）的兼容性，帮助用户快速加速大模型应用。在3.1节中基于天翼云EMR云主机和xFasterTransformer加速引擎实现了对与DeepSeek R1蒸馏模型的高效推理部署。

本节介绍创建IPsec VPN的操作说明。 注：目前仅支持部分资源池开启IPsec VPN的功能，如当前资源池的AI云电脑（政企版）控制台没有IPsec VPN的功能菜单，请联系运维客服进行开通（运维客服邮箱：clouddesktop@chinatelecom.cn） 1.进入“AI云电脑（政企版）”管理控制台； 2.点击“网络管理”，点击“企业云网”，选择“IPsec VPN”，进入IPsec VPN管理页面； 3.点击“创建IPsec VPN”，填写相关信息； 在创建IPsec VPN页面中填写相关信息，下面以客户侧网段192.168.10.0/24为例，带宽为5M创建，选择主VPC。其中“标识符类型”可选“IPV4”和“FQDN”，若选择IPV4，则云端标识符会默认填充为云侧公网IPV4地址，客户侧标识符则需用户填写客户设备的公网IPV4地址。若选择“FQDN”则填写对应的标识符，这些隧道信息在配置客户侧防火墙过程中使用到。 详细参数解析： （1）IPsec VPN名称：用户自定义，比如“IPSecVPN”。 （2）客户侧私网网段：客户办公区私网网段，与IPsec VPN绑定的云侧VPC子网网段不可重叠。 （3）客户侧公网地址：客户侧有固定公网地址则填写固定公网地址，无固定公网地址可以在客户内网打开浏览器百度搜索“IP”获取出口公网地址。 （4）IKE版本：只支持IKEv2版本。 （5）预共享密钥：密码强度826位，须同时包含英文字母、数字和特殊字符。客户侧防火墙与IPSec VPN实例预共享密钥需配置一致。 （6）标识符类型：支持IPV4与FQDN（域名）两种类型，默认选择IPV4。 （7）云端标识符与客户侧标识符：若使用IVP4，云端标识符会自动填充为云侧公网IPV4地址，客户端标识符需要填写客户侧设备公网IPV4地址。若填写FQDN，则需要用户填写对应的FQDN信息。用户需要注意填写 标识符顺序，假设创建IPsec VPN实例时标识符类型选用FQDN，云端标识符设置为cloud.responder，客户侧标识符设置为customer.initiator，那么客户侧VPN设备，如strongswan，leftid应设置为 @customer.initiator，rightid应设置为@cloud.responder，类型为IPV4同理。 （8）选择主VPC：客户端需要与云侧互通的VPC 4.确定创建后，IPsec VPN实例创建成功。

本节介绍创建IPsec VPN的操作说明。 注：目前仅支持部分资源池开启IPsec VPN的功能，如当前资源池的AI云电脑（政企版）控制台没有IPsec VPN的功能菜单，请联系运维客服进行开通（运维客服邮箱：clouddesktop@chinatelecom.cn） 1.进入“AI云电脑（政企版）”管理控制台； 2.点击“网络管理”，点击“企业云网”，选择“IPsec VPN”，进入IPsec VPN管理页面； 3.点击“创建IPsec VPN”，填写相关信息； 在创建IPsec VPN页面中填写相关信息，下面以客户侧网段192.168.10.0/24为例，带宽为5M创建，选择主VPC。其中“标识符类型”可选“IPV4”和“FQDN”，若选择IPV4，则云端标识符会默认填充为云侧公网IPV4地址，客户侧标识符则需用户填写客户设备的公网IPV4地址。若选择“FQDN”则填写对应的标识符，这些隧道信息在配置客户侧防火墙过程中使用到。 详细参数解析： （1）IPsec VPN名称：用户自定义，比如“IPSecVPN”。 （2）客户侧私网网段：客户办公区私网网段，与IPsec VPN绑定的云侧VPC子网网段不可重叠。 （3）客户侧公网地址：客户侧有固定公网地址则填写固定公网地址，无固定公网地址可以在客户内网打开浏览器百度搜索“IP”获取出口公网地址。 （4）IKE版本：只支持IKEv2版本。 （5）预共享密钥：密码强度826位，须同时包含英文字母、数字和特殊字符。客户侧防火墙与IPSec VPN实例预共享密钥需配置一致。 （6）标识符类型：支持IPV4与FQDN（域名）两种类型，默认选择IPV4。 （7）云端标识符与客户侧标识符：若使用IVP4，云端标识符会自动填充为云侧公网IPV4地址，客户端标识符需要填写客户侧设备公网IPV4地址。若填写FQDN，则需要用户填写对应的FQDN信息。用户需要注意填写 标识符顺序，假设创建IPsec VPN实例时标识符类型选用FQDN，云端标识符设置为cloud.responder，客户侧标识符设置为customer.initiator，那么客户侧VPN设备，如strongswan，leftid应设置为 @customer.initiator，rightid应设置为@cloud.responder，类型为IPV4同理。 （8）选择主VPC：客户端需要与云侧互通的VPC 4.确定创建后，IPsec VPN实例创建成功。

本页介绍了文档数据库服务的默认权限机制。 文档数据库服务在与社区原生版本MongoDB相比时，针对不断增长的安全挑战进行了一系列的增强措施。与社区原生版本不同，文档数据库服务采用的默认的安全策略，要求连接数据库时必须进行鉴权，否则无法使用数据库。这种改进确保了文档数据库服务的安全性。 带鉴权的连接url： mongodb:// : @ : / ?authSourceadmin 不带鉴权的连接url： mongodb:// : / 数据库实例创建后，系统会创建默认的管理员用户root，但是需要客户指定密码，并满足密码复杂度要求。

本页介绍了文档数据库服务产品咨询类相关常见问题。 文档数据库服务和社区版MongoDB有什么关系 文档数据库服务是天翼云基于社区版MongoDB提供的高性能NoSQL数据库服务，完全兼容MongoDB协议。文档数据库服务在容灾、备份、恢复、监控、报警等方面提供全套数据库解决方案。可降低管理维护成本，方便您专注于应用开发和业务发展。 使用文档数据库服务要注意什么 使用文档数据库服务需要综合考虑安全性、性能、可用性和数据一致性等方面，合理配置和管理数据库，确保应用程序能够高效稳定地使用文档数据库服务。 当您评估业务对服务可用性有较高的要求时，建议优先选择副本集与分片集群的架构，副本集与分片集群提供了更高的数据可靠性与服务可用性，当发生主节点宕机时，其他的节点可以接替主节点继续提供服务，不影响业务侧的读写。 实例侧的弹性云主机，对用户是不可见的，您只需参考实例基本信息页的连接串配置数据库连接进行数据库服务的访问即可。 在对数据库进行不熟悉的操作时，建议先对数据进行备份，方便数据回档。 您不需要进行数据库的基础运维，但是可以留意一下性能监控，比如机器的磁盘、内存使用率等情况，规格不足时可以进行扩容更好满足业务需求。 什么是文档数据库服务的可用性 文档数据库服务的可用性通常是指数据库系统在正常运行时可以对外提供服务的能力，以及系统在遇到故障或意外情况时能够保持部分或全部功能的可用性。文档数据库服务提供多节点副本集与分片集群的高可用架构。集群节点之间数据自动同步，提升了数据的高可靠性与服务的高可用性。