本章节主要介绍云搜索服务的权限管理。 在使用云搜索服务的过程中，如果需要给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全控制云服务资源的访问。 如果当前帐号已经能满足您的需求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用ES服务的其它功能。 通过IAM，您可以在帐号中给员工创建IAM用户，并授权控制IAM用户对资源的访问范围，而且无需付费即可使用，您只需要为使用中的资源进行付费。关于IAM的详细介绍，请参见，请参见《IAM产品介绍》。 ES权限 默认情况下，ES服务管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为“授权”。授权后，用户就可以基于被授予的权限对云服务进行操作。 ES是项目级服务，部署时通过物理区域划分，需要在各区域对应的项目中设置策略，并且该策略仅对此项目生效，如果需要所有区域都生效，则需要在所有项目都设置策略。访问ES时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：ES服务管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，ES服务支持的API授权项请参见权限策略和授权。 如下表所示，包括了ES的所有系统权限。 对于Elasticsearch Administrator，由于各服务之间存在业务交互关系，ES的角色依赖其他服务的角色实现功能。因此给用户授予ES的角色时，需要同时授予依赖的角色，ES的权限才能生效。 对于ES FullAccess和ES ReadOnlyAccess，可使用这些策略来控制对云服务资源的访问范围。例如，您的员工中有负责软件开发的人员，您希望软件开发人员拥有ES的使用权限，但是不希望软件开发人员拥有删除ES等高危操作的权限，那么您可以使用IAM为开发人员创建IAM用户，通过授予仅能使用ES但不允许删除ES的权限，控制对ES资源的使用范围。 ES系统权限 系统角色/策略名称 类别 权限描述 依赖关系 Elasticsearch Administrator 系统角色 ES服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的Tenant Guest和Server Administrator角色。 Tenant Guest：全局级角色，在全局项目中勾选。 Server Administrator：项目级角色，在同项目中勾选。 ES FullAccess 系统策略 基于策略授权的ES服务的所有权限，拥有该权限的用户可以完成基于策略授权的ES服务的所有执行权限。 无 ES ReadOnlyAccess 系统策略 ES服务的只读权限，拥有该权限的用户仅能查看ES服务数据。 无 如下表所示列出了ES常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 常用操作与系统权限的关系 操作 ES FullAccess ES ReadOnlyAccess Elasticsearch Administrator 备注 创建集群 √ x √ 查询集群列表 √ √ √ 查询集群详情 √ √ √ 删除集群 √ x √ 重启集群 √ x √ 扩容集群 √ x √ 扩容实例的数量和存储容量 √ x √ 查询指定集群的标签 √ √ √ 查询所有标签 √ √ √ 加载自定义词库 √ x √ 依赖OBS和IAM权限 查询自定义词库状态 √ √ √ 删除自定义词库 √ x √ 自动设置集群快照的基础配置 √ x √ 依赖OBS和IAM权限 修改集群快照的基础配置 √ x √ 依赖OBS和IAM权限 设置自动创建快照策略 √ x √ 查询集群的自动创建快照策略 √ √ √ 手动创建快照 √ x √ 查询快照列表 √ √ √ 恢复快照 √ x √ 删除快照 √ x √ 停用快照功能 √ x √ 更改规格 √ x √ 缩容集群 √ x √

在协同使用资源的场景下，如果您需要根据实际的职责权限情况配置用户使用权限，可使用统一身份认证（Identity and Access Management，简称IAM）服务，创建多个IAM用户并为其授予不同的权限，实现不同IAM子用户可以分权管理不同的资源，从而提高管理效率，降低信息泄露风险。通过IAM可实现精细化权限管理、安全访问、批量管理用户权限、委托其他帐号管理资源等功能。您可以创建并为IAM用户或用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 IAM是天翼云提供的免费基础服务，您只需为购买资源进行付费。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，限制不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略：预置的系统策略，您只能使用不能修改。云服务器ECS相关的系统策略包含如下： Admin：弹性伸缩服务的管理者权限，包含弹性伸缩所有控制权限（不含订单类权限）。 Viewer:弹性伸缩服务的观察者权限，包含弹性伸缩服务的列表页与详情页面权限。 自定义策略：您按需自行创建和维护的权限策略。

访问控制安全 基于 “最小权限原则” 与 “职责分离原则”，通过 IAM 用户组、策略配置等功能，实现权限的精细化管控与团队间隔离。 授予最小权限：使用IAM提供的系统权限，或者自己创建自定义策略，给帐号中的用户仅授予刚好能完成工作所需的权限，通过最小权限原则，可以帮助您安全地控制用户对天翼云云资源的访问。 人员授权：用户可以为不同的用户分配不同的角色和权限。例如，管理员可以拥有对所有资源的完全访问权限，而普通用户可能只能访问特定的云服务器或存储资源。通过合理分配权限，用户可以确保每个用户只能访问他们需要的资源，从而降低安全风险。 资源组细粒度资源管理：天翼云支持资源组功能，用户可以将资源分组管理，并为每个资源组设置不同的访问策略。这样，用户可以更方便地管理资源，并确保只有授权用户才能访问特定资源组中的资源。 动态维护权限与凭证 定期修改身份凭证：定期进行密码或密钥修改可以将不小心泄露信息的风险降至最低。定期更改账号密码可以通过账号中心密码修改进行。轮换访问密钥可以通过创建两个访问密钥进行，将两个访问密钥作为一主一备，一开始先使用主访问密钥一，一段时间后，使用备访问密钥二，然后在控制台删除主访问密钥一，并重新生成一个访问密钥，在您的应用程序中定期轮换使用。 定期审计权限配置：定期核查用户组策略与用户权限，清理冗余策略（如已停用服务的权限）、回收离职人员账号，确保权限与当前业务匹配。 及时删除不需要的身份凭证：对于仅需登录控制台的 IAM 用户，不创建访问密钥，以降低安全风险。若已创建访问密钥，应及时删除，避免不必要的安全隐患。此外，定期查看 IAM 用户的“最近一次登录时间”，判断其凭证是否仍有必要保留。对于长期未登录的用户，应采取措施，及时修改其身份凭证，包括更新密码和删除访问密钥，以确保账户安全。

操作场景 本节操作介绍如何在移动设备上连接Linux实例，轻松地连接和管理您的Linux云主机。 以iTerminalSSH Telnet为例介绍如何在iOS设备上连接 Linux 实例，详细操作请参考iOS设备上登录Linux云主机。 以JuiceSSH为例介绍如何在Android设备上连接 Linux 实例，详细操作请参考Android设备上登录Linux云主机。 前提条件 Linux云主机状态处于“运行中”。 Linux 操作系统首次登录的用户名一般可以设置为 root 或 ecsuser，出于安全考虑，推荐您使用ecsuser，CoreOS的默认用户名为“core”。 Linux云主机所在安全组的入方向已开放22端口。 Linux云主机防火墙未开启或开启后放通22端口。 确保使用的登录终端与Linux云主机具有网络连通性。如果使用处于公网中的终端登录，需要您的Linux云主机已绑定弹性IP。如果通过内网使用此方式登录，则不需要绑定弹性IP，例如VPN、云专线等内网网络连通场景。 iOS设备上登录Linux云主机 如果您使用iOS设备，请确保已经安装了SSH客户端工具，我们以Termius为例。本示例中使用CentOS 7.6操作系统，使用用户名和密码进行认证。 1. 在iOS设备上启动Termius应用，并单击"New Host"。 2. 在SSH页面上，输入连接信息后，单击 Save。需要提供以下连接信息： Alias（别名）：为连接设置一个名称，例如"ecs01"。 Hostname（主机名）：输入要连接的Linux实例的公网IP地址。 Use SSH（使用SSH）：确保SSH登录配置已打开。 Host（主机）：输入要连接的Linux实例的固定公网IP或弹性IP。 Port（端口）：输入端口号22。 用户名：输入用户名"root"。 密码：输入实例的登录密码。 3. 点击右上角的"Save"按钮，保存登录信息。在Hosts页面上，点击连接的名称以远程连接服务器。 4. 当出现欢迎登录提示时，您已成功连接到Linux云主机。

本文主要介绍远程连接Linux云主机报错:Permission denied如何处理。 问题现象 远程连接Linux云主机报错：Permission denied 图 Permission denied 说明 修改此问题需要重启进入救援模式，请评估风险后进行操作。 本节操作涉及云主机重启操作，可能会导致业务中断，请谨慎操作。 根因分析 /etc/security/limits.conf中的nofile 用来设置系统允许打开的最大文件数目，如果nofile值大于PermissionDenied.png内核设置的fs.nropen参数值（默认为1048576），会导致登录校验错误，导致登录云主机时提示“Permission denied”。 处理方法 1.进入云主机的单用户模式。 以CentOS 7操作系统为例： a.重启云主机，单击“远程登录”。 b.按上方向键，阻止系统自动继续，在出现内核选项时按字母键e进入内核编辑模式。 图 进入内核编辑模式 说明 Euler镜像默认对grub文件进行了加密，进入编辑内核模式时会提示：Enter username，需要输入用户和密码，请联系客服获取。 c.找到linux16行末尾，删除不需要加载的参数到ro参数。 d.修改ro为rw，以读写方式挂载根分区。 e.并添加rd.break，然后执行Ctrl+X。 图 修改前 图 修改后 f.执行以下命令切换至/sysroot目录。 chroot /sysroot 2.执行以下命令，查询内核的fs.nropen值。 sysctl fs.nropen 3.编辑 /etc/security/limits.conf，修改配置的nofile值为合理的值，需小于2中查询的fs.nropen值，例如65535。 vi /etc/security/limits.conf 说明 limits.conf 文件实际是Linux PAM（插入式认证模块，Pluggable Authentication Modules）中pamlimits.so 的配置文件。更多详细配置信息请查看man手册，执行：man limits.conf 4.重启服务器，重试连接云主机。

允许外部访问子网内实例的指定端口 本示例中，在子网内的实例上搭建了可供外部访问的网站，实例作为Web服务器，需要放通入方向的HTTP(80)和HTTPS(443)端口。当子网关联了网络ACL时，需要同时在网络ACL和安全组添加对应的规则。 在网络ACL中，添加如下表所示的规则： 添加定义规则01，允许任意IP地址通过HTTP协议，访问子网内实例的80端口。 添加定义规则02，允许任意IP地址通过HTTPS协议，访问子网内实例的443端口。 其中目的地址10.8.0.0/24为需要防护的子网网段。 方向 生效顺序 类型 策略 协议 源地址 源端口范围 目的地址 目的端口范围 规则说明 入方向 1 IPv4 允许 TCP 0.0.0.0/0 全部 10.8.0.0/24 80 自定义规则01 入方向 2 IPv4 允许 TCP 0.0.0.0/0 全部 10.8.0.0/24 443 自定义规则02 入方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 默认规则 出方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 默认规则 在安全组中，添加如下表所示的规则： 入方向规则01：允许任意IP地址通过HTTP协议，访问实例的80端口。 入方向规则02：允许任意IP地址通过HTTPS协议，访问实例的443端口。 出方向规则03：允许任何流量从安全组内实例流出。 安全组的出方向规则设置比较宽松，本示例中出方向通过网络ACL默认规则防护，仅允许入站流量的响应流量出站，会拦截其他流量出站。 方向 优先级 策略 类型 协议端口 源地址/目的地址 规则说明 入方向 1 允许 IPv4 自定义TCP: 80 IP地址：0.0.0.0/0 规则01 入方向 1 允许 IPv4 自定义TCP:443 IP地址：0.0.0.0/0 规则02 出方向 1 允许 IPv4 全部 IP地址：0.0.0.0/0 规则03

VPC终端节点(VPC Endpoint)使您能够将 VPC 私密地连接到终端节点服务(天翼云服务、 用户私有服务) VPC终端节点（VPC Endpoint）使您能够将 VPC 私密地连接到终端节点服务（天翼云服务、 用户私有服务），该连接使用天翼云内部网络进行连接，不再绕行公网，为您提供性能更加强大、更加灵活的网络。 VPC终端节点为您提供“终端节点服务”和“终端节点”两种资源。 终端节点服务 终端节点服务（VPC Endpoint Service）指将云服务或用户私有服务配置为VPC终端节点支持的服务。分为“网关”和“接口”两种类型。 网关型：由系统配置的受VPC终端节点支持的云服务，用户可直接使用。 接口型：包括系统配置的云服务和用户自己创建的私有服务。 说明 云服务：指云平台上的一些服务被配置为终端节点服务，默认由系统直接配置。用户没有权限配置云服务，您在创建终端节点时可以根据区域直接选择系统中相应的云服务。 用户私有服务：指用户将自己VPC中的服务资源配置为终端节点服务，这些服务资源为增强型负载均衡或者云服务器。 终端节点服务通过专属网关，可以将 VPC 中的服务方便的提供给其它 VPC 中的资源使用，实现跨 VPC 的访问，而不必暴露服务端相关的网络信息，使您的访问更加安全、可靠。 终端节点 终端节点（VPC Endpoint）在VPC和终端节点服务之间提供连接通道。您可以在VPC中创建自己的应用程序并将其配置为终端节点服务，同一区域下的其他VPC可以通过创建在自己VPC内的终端节点访问终端节点服务。包括“接口终端节点”和“网关终端节点”两种类型。 接口终端节点：是指具备私有IP地址的弹性网络接口，作为接口型终端节点服务的通信入口。 网关终端节点：是一个网关，在其上配置路由，用于将流量指向网关型终端节点服务。

本节为您介绍天翼云区域和可用区的概念及关系。 区域 区域（region）是指物理的数据中心的地理区域。区域从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。 天翼云不同区域之间完全隔离，保证不同区域间最大程度的稳定性和容错性。为了降低访问时延、提高下载速度，建议您选择最靠近业务需求的区域。 相关特性 不同区域之间的网络完全隔离，不同区域的云产品默认不能通过内网通信。 如果不同区域之间的云产品之间有通信需求，可以通过公网 IP、VPN等方式进行通信。 如何选择区域 在天翼云中，资源创建或购买成功后不能更换区域，因此选择区域时，您需要慎重考虑以下几个因素： 1. 地理位置：用户和资源部署区域的距离越近，网络时延越低，访问速度越快。建议您基于业务场景对时延的要求选择区域。 中国内地：一般情况下建议选择和您目标用户所在区域最为接近的数据中心，可以进一步提升用户访问速度。如果使用天翼云承载您的全部业务，电信网络可以保证中国内地区域间的快速访问。 其他国家及地区：其他国家及地区提供的带宽主要面向非中国内地的用户。如果您在中国内地，使用这些区域会有较长的访问延迟，不建议您使用。 2. 资源价格及资源覆盖：不同区域的资源规格可能有差异，不同区域的产品覆盖可能有差异，请根据您的需求及预算选择合适的区域。 3. 产品之间的关系：如果多个天翼云产品一起搭配使用，需要注意：不同区域的云主机、对象存储、负载均衡等服务，内网不互通。 4. 经营性备案：如果您使用物理机作为Web服务器，您需要完成经营性备案，同时需要在指定的区域购买实例。（各省（或市）通信管理局对经营性备案的审批要求不同，请以当地管理局经营性备案网站公示内容为准。）

内网DNS支持更改主机DNS的操作,本文为您介绍如何更改主机DNS并使内网DNS配置生效。 为实现内网域名在 VPC 上的正常解析，用户需要将云主机内的 DNS 改成内网 DNS 服务地址。 查看内网DNS地址 1. 在内网 DNS 的列表中，可以看到如下红框内的提示。 2. 点击“查看列表”，可以看到内网DNS地址。 修改Linux云主机内DNS地址 1. 登录Linux弹性云主机。 2. 执行以下命令，打开resolv.conf文件。 vi /etc/resolv.conf 3. 按“i”键进入编辑模式。 4. 将“nameserver”修改为当前云主机所在VPC的内网DNS IP地址，按“ESC”后输入“：wq”保存配置。 修改Windows云主机内DNS地址 以Windows server 2016操作系统为例，以用户名Administrator，登录Windows弹性云主机。 1. 在任务栏的右下角，右击网络连接的图标，单击“打开网络和共享中心”。 2. 在左侧导航栏，单击“更改适配器设置”。 3. 双击“本地连接”。 4. 单击左下角的“属性”。 5. 选择“Internet 协议版本（TCP/IP）”，并单击“属性”。 6. 选择“使用下面的DNS服务器地址”，并根据界面提示填写当前云主机所在VPC的内网DNS IP地址。

本文主要介绍如何使用Nginx分词模板。 Nginx 是一种常见的反向代理服务，实际业务中承载着大量服务请求。在运行过程中，服务会产生大量访问日志，通常导致用户面临日志分散、数据量庞大等问题。因此，如何高效地收集和管理这些日志数据，对业务的运维和运营具有重要意义。天翼云云日志服务支持Nginx日志提取采集。 Nginx 日志格式 Nginx 日志的格式可通过 logformat 命令进行定义，如下列格式： plaintext logformat main '$remoteaddr $remoteuser [$timelocal] ' '"$request" $status $bodybytessent ' '"$httpreferer" "$httpuseragent"'; 其中各字段含义为： 字段名 含义 remoteaddr 客户端 的IP 地址 remoteuser 客户端的名称 timelocal 服务器的本地时间 request HTTP 请求方法及 url 地址 status HTTP 请求的状态码 bodybytessent 发送给客户端的字节数 httpreferer 访问来源的页面链接地址 httpuseragent 客户端浏览器信息 Nginx 配置方式 在日志接入流程中创建采集配置步骤中，按如下参数说明配置切割模式： 在Nginx日志配置中，您需要填写 Nginx 配置文件（通常为 /etc/nginx/nginx.conf 或 /usr/local/nginx/conf/nginx.conf）中日志模板，通常以 logformat 开头，如以下所示： plaintext logformat main '$remoteaddr $remoteuser [$timelocal] ' '"$request" $status $bodybytessent ' '"$httpreferer" "$httpuseragent"'; LTS将根据 Nginx日志配置中的日志模板，自动生成日志提取正则表达式，如下所示 在正则表达式下方的样例日志中填写你需要采集的实际 Nginx 日志，并点击“验证”按钮，用来验证上述提取模式配置是否正确，如下所示 验证成功后，可在抽取结果中为每个字段设定名称或直接使用默认值：

为JAVA应用手工安装Agent 前提条件 部署APM Agent时，必须确保接入APM的机器与APM服务网络连通，Agent才能正常工作。 可使用Telnet命令测试目标机器与APM服务器网络是否连通。 选择“系统管理 > 访问密钥”进入访问密钥页面，查看获取接入javaagent所需的AK/SK。 图 获取AK/SK 操作步骤 步骤 1 下载JavaAgent，参考JavaAgent下载地址下载apmjavaagentx.x.x.zip，并将javaagent下载到需要接入APM机器的任意目录。 示例命令： curl O 步骤 2 执行tar命令解压javaagent。 示例命令： tar xvf apmjavaagentx.x.x.tar 步骤 3 修改javaagent中的apm.config配置文件。master.address配置请参见接入地址master.address配置，将AK/SK写入配置文件中，如下图所示。 图 写入AK/SK 步骤 4 修改java进程启动脚本。 在服务启动脚本的java命令之后，配置apmjavaagent.jar包所在路径，并指定java进程的组件名。 添加javaagent参数示例： java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappName{appName} 当企业业务很多的情况下，也支持更为复杂一些的配置，添加javaagent参数的复杂模式如： java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappNamemyApp,envmyEnv,envTagmyTag,businessmyBusiness,subBusinessmySub 说明 由于历史原因，APM启动参数设置的元数据，跟CMDB概念有一些冲突，这里进行说明。 启动参数一般会设置 javaagent:D:javaagentpackageapmjavaagentapmjavaagent.jarappNamexxx,envyyy,businesszzz,subBusinesssss,envTagxxx，在这里appName代表组件，business代表应用，subBusiness代表子应用，envTag代表环境标签。 如果没有在web界面对business参数进行设置，启动javaagent时系统就会报错；其他参数如果没有设置，在启动javaagent时会自动创建出来，包括子应用、组件、环境及环境标签等。 步骤 5 重启应用。

步骤二：配置NAT网关 1. 配置SNAT规则。 1. 返回至企业路由器界面，在左侧导航栏中，选择“网络> NAT网关”，进入“公网NAT网关”页面。 2. 单击公网NAT网关的名称，进入“基本信息”页面，切换至“SNAT规则”页签。 3. 单击“添加SNAT规则”，参数详情如下表所示。 参数名称 参数说明 使用场景 SNAT规则使用的场景，选择“虚拟私有云”。 网段 选择“自定义”子网，使云服务器通过SNAT方式访问公网。 自定义：自定义一个网段或者填写某个VPC的地址。 说明 支持配置0.0.0.0/0的地址段，在多段地址配置时更方便。 可以配置32位主机地址，NAT网关只针对此地址起作用。 弹性公网IP 用来提供互联网访问的公网IP。 这里只能选择没有被绑定的弹性公网IP，或者被绑定在当前公网NAT网关中非“所有端口”类型DNAT规则上的弹性公网IP，或者被绑定到当前公网NAT网关中SNAT规则上的弹性公网IP。 可选择多条EIP添加在SNAT规则中。一条SNAT规则最多添加20个EIP。SNAT规则使用多个EIP时，业务运行时会随机选取其中的一个。 监控 为SNAT连接数设置告警。 可通过设置告警及时了解SNAT连接数运行状况，从而起到预警作用。 描述 SNAT规则信息描述。最大支持255个字符。 2. 配置是VPCNAT的路由表。 1. 在左侧导航栏中，选择“网络> 虚拟私有云 > 路由表”，进入“路由表”页面。 2. 在“名称”列，单击NAT网关对应VPC的路由表名称，进入路由表“基本信息”页面。 3. 单击“添加路由”，参数详情见下表。 参数 说明 目的地址类型 选择“IP地址”。 目的地址 目的地址网段，填写VPC1的IP地址。 说明 不能与已有路由和VPC下子网网段冲突。 下一跳类型 在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述 路由的描述信息，非必填项。 说明 描述信息内容不能超过255个字符，且不能包含“ ”。

态势感知SA与企业主机安全HSS服务的区别。 服务含义区别 态势感知（Situation Awareness，SA）是可视化威胁检测和分析的安全管理平台 。着重呈现全局安全威胁攻击态势，统筹分析多服务威胁数据和云上安全威胁，帮助企业构建全局安全体系，呈现全局安全攻击态势。 主机安全服务（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机 安全、容器 安全和 网页防篡改 ，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。 简而言之，SA是呈现全局 安全态势的服务，HSS是提升主机 和容器安全性的服务。 服务功能区别 SA通过采集 全网安全数据 （包括HSS、WAF、AntiDDoS等安全服务检测数据），使用大数据AI、机器学习等分析技术，从资产安全、威胁告警、基线检查维度，分类呈现资产安全状况。 HSS通过在主机中安装Agent，使用AI、机器学习和深度算法等技术分析主机中风险，并从HSS云端防护中心下发检测和防护任务，全方位保障主机安全。同时可从可视化控制台，管理主机Agent上报的安全信息。 SA与HSS主要功能区别： 功能项 子功能项 共同点 不同点 资产安全 主机资产 呈现主机资产的整体安全状态。 SA：仅支持同步HSS主机资产风险信息，列表呈现各主机资产的整体安全状况。 HSS：不仅支持呈现主机的安全状况，还支持深度扫描主机中的帐号、端口、进程、Web目录、软件信息和自启动任务。 资产安全 网站资产 SA：支持检查和扫描网站安全状态，列表呈现各网站资产的整体安全状况。 HSS：不支持该功能。 基线检查 云服务基线 SA：针对云服务关键配置项，从“安全上云合规检查1.0”、“护网检查”风险类别，了解云服务风险配置的所在范围和风险配置数目。 HSS：不支持该功能。 基线检查 主机基线 SA：不支持该功能。 HSS：针对主机，提供基线检查功能，包括检测复杂策略、弱口令及配置详情，包括对主机配置基线通过率、主机配置风险TOP5、主机弱口令检测、主机弱口令风险TOP5的统计。

此小节介绍云堡垒机应用场景。 任何企业都需要安全运维管理和审计，故任何企业都需要云堡垒机。云堡垒机能适用于各种企业运维场景，特别针对企业员工数量复杂、企业资产数量繁杂、人员运维权限交叉、企业运维方式多样等场景。 严要求的审计合规场景 例如保险和金融行业，具有大量个人信息数据和金融资金操作行为，以及大量第三方机构代为运作，可能存在巨大违规操作、滥用职权等非法运作风险。 通过在云上部署云堡垒机系统，单点登录入口，集中管理账户和资源，部门权限隔离，核心资产多人审核授权，敏感操作二次复核授权，健全的运维审计机制，能够为高风险行业提供严要求审计功能，满足行业监管要求。 高效稳定的运维场景 例如极速发展的互联网企业，大量经营数据等敏感信息，暴露在公网，且由于服务高度公开，存在高度数据泄露风险。 云堡垒机在远程运维过程中，隐藏资产真实地址，解决远程运维资产信息暴露问题。同时提供全面的运维日志，为审计运维和代运维人员的操作行为，提供有效监控，减少网上安全事故，助力企业长久稳定发展。 大量资产和人员管理场景 随着民生政务和传统企业集团的上云管理，云上人员账户数量不断增加，以及云上服务器、网络设备等资产数量也成倍增涨。同时很多企业为解决人力不足的问题选择把系统运维转交给系统供应商或第三方代维商进行，由于涉及提供商、代维商过多，人员复杂流动性又大，对操作行为缺少监控带来的风险日益凸显。 云堡垒机针对大量用户和大量资产，可海量容纳庞大人员和资源数据，运维人员单点登录，解决运维人员维护多台资产效率低，易出错的问题。同时通过制定细粒度权限控制，资源操作全程记录，可审计全量用户操作行为，并对事故问题进行有效追溯，确保有效定责。此外，系统桌面实时呈现运维全景，并可接收异常行为告警通知，确保人员无法越权操作。

本章节介绍ECS应用实例总览页面功能 概览 应用总览页面展示ECS应用实例基本信息、健康检查配置、访问方式配置、服务治理、实例部署信息、版本信息以及及生命周期管理等相关信息。在应用实例列表页，点击应用实例名称列或者操作列的详情，即可进入应用总览页面。 基本信息 基本信息展示ECS应用实例的运行状态、资源池、环境、部署单元、集群名称、所属应用、技术栈类型、技术栈版本、部署包、部署版本、创建事件、更新时间等信息。其中部署单元信息可修改，仅支持新增部署单元。 健康检查配置 健康检查配置用于配置端口健康检查和健康检查URL。开启相关检查后，在执行生命周期相关变更事会增加对应检查步骤。 端口健康检查：检查应用进程的相关端口是否成功打开，如果端口可以连接上，则该健康检查就会成功。因此如果应用正常运行，则端口健康检查一定是正常，但反之不一定正确，此时就需要进行URL健康检查。 URL健康检查：按照固定的时间间隔（间隔为10秒），向应用程序、服务器或其他资源自动提交请求，以验证其是否可到达、是否可用及功能是否正常，如果该地址HTTP状态码返回200则认为健康检查通过。 访问方式配置 访问方式配置用于配置公网/私网负载均衡访问ECS应用实例。具体配置信息请参考应用访问。 服务治理 服务治理用于配置同可用区优先和推空保护。 同可用区优先：指在应用调用服务时，优先调用同可用区的服务提供者。只有在当前可用区实例数量占实例总数比例大于所设置的阈值时，同可用区优先调用策略才会生效。阈值填写范围为0~100。 推空保护：服务消费者通过注册中心订阅服务提供者的实例列表。当注册中心进行变更或遇到突发情况， 或服务提供者与注册中心间的链接因网络、CPU等其他因素发生抖动时，可能会导致订阅异常，从而使服务消费者获取到空的服务提供者实例列表。开启推空保护功能可以提高整个系统的可用性。

实时性能 实时性能页面展示了数据库实例各项关键指标，并提供日期对比功能，方便查看周期业务以及指标变化情况，及时发现异常。 操作步骤 1、登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 单击页面左上角的，选择“数据库 > 数据管理服务 DAS”，进入数据管理服务页面。 在左侧的导航栏中单击“DBA智能运维 > 实例列表”页签，进入DBA智能运维实例列表页面。 在实例列表页面右上角，按照引擎、实例名称或者实例IP筛选实例。 选择所需实例，单击“详情”，进入DBA智能运维总览页面。 在性能页签下选择“实时性能”。 查看服务器的运行时间、连接信息和缓存池的状态。 单击“设置指标”，选择在实时性能页面展示的性能指标，观察性能指标的实时动态。 调整性能指标的采集周期，可设置范围为1~10秒。 根据业务场景需要，单击开始或暂停来开启或终止实时性能。 实时诊断 您可以通过实时诊断功能直观地查看数据库性能情况的全貌，快速确认是否存在异常。 操作步骤 1、登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 单击页面左上角的，选择“数据库 > 数据管理服务 DAS”，进入数据管理服务页面。 在左侧的导航栏中单击“DBA智能运维 > 实例列表”页签，进入DBA智能运维实例列表页面。 在实例列表页面右上角，按照引擎、实例名称或者实例IP筛选实例。 选择所需实例，单击“详情”，进入DBA智能运维总览页面。 选择“性能 > 实时诊断”。 查看实例当前数据库的CPU、内存、IOPS、空间和连接的使用情况。 性能趋势对比查看 您可以通过性能趋势对比查看功能查看不同天同一时间段的历史动态趋势，对比分析数据库性能的变化趋势。

本文为您介绍GPU云主机的主要应用场景。 图形图像渲染 图形图像渲染场景下天翼云GPU云主机最高采用业界领先的GPU A10显卡，提供24G的大显存容量和强大的图形填充速率，支持多种图形加速接口，如DirectX 12、OpenGL 4.5、Vulkan 1.0等，配合英伟达官方vWS Licence 授权，为专业级CAD、视频渲染、图形处理提供所需的强大计算能力，为虚拟化工作站、桌面和应用程序提供行业内超高的用户性能，结合天翼云的对象存储、弹性云主机以及专线，可以快速构建自己的图像渲染以及分析计算中心。 科学计算 在科学计算领域，模拟仿真过程中，消耗大量计算资源的同时，会产生大量临时数据，对存储带宽与时延也有极高的要求。P系列计算加速型GPU云主机，最高采用业界领先的GPU显卡A100，提供40GB的显存容量和9.7TFLOPS双精度计算能力以及大吞吐的带宽。同时支持一机多卡模式，让用户可以在一台云主机上体验多卡的计算能力，达到计算性能翻倍。 AI深度学习 AI深度学习需要处理大批量数据，并不断迭代神经网络参数以满足业务对预测精度的要求，对运行稳定性要求更高，对服务器响应延时也有更高要求。P系列计算加速型GPU云主机，采用业界领先的GPU显卡，提供大容量显存和高双精度计算能力以及大吞吐的带宽，其深度学习TF32运算能力可到156 TFLOPS，支持常见的深度学习框架TensorFlow、Caffe、PyTorch、MXNet 等。配合天翼云弹性云主机、负载均衡、对象存储、关系型数据库RDS、云监控等服务，可以搭建一个功能完备的深度学习平台，能够快速、高效、低成本的完成训练、推理任务。

本文向您介绍专属云（计算独享型）退订与到期提醒的相关内容。 专属云退订 说明 专属云（计算独享型）资源池与池内资源是独立管理的。退订资源池仅是释放资源池本身，并不会自动清理或关闭您创建在池内的云服务器、硬盘、网络等具体资源 在进行专属云（计算独享型）资源池（专属云单元自研，SELFGEC）退订时，请确保其中所有资源已被妥善处理，资源池内所有相关资源已被退订/删除。如果您在退订资源池前，未对其中的资源进行逐一退订或删除，这些资源将继续保留并正常运行，因此会持续产生费用。为避免此类情况，请优先确认资源池内已无任何有效资源后，再执行资源池本身的退订操作。退订成功后，该资源池的入口将从您的控制台列表移除。 到期提醒 专属云（计算独享型）到期前7天、3天系统向您发送提醒短信和邮件。 以华东1的专属云为例，当【专属云资源池】距离到期7或3天时，您的绑定手机号将会收到：【天翼云】尊敬的XXX:您在华东1的专属云单元自研（SELFGEC）将于XXXXXXXX到期，到期后您的计算资源将被冻结，资源保留15天，保留期内您可进行续费，保留期后未续费的专属云（计算独享型）资源将完全销毁，无法恢复。 当华东1专属云资源池中的【底层宿主机】距离到期7或3天时，您的绑定手机号将会收到：【天翼云】尊敬的XXX:您在华东1专属云资源池的计算单元自研（SELFEC）将于XXXXXXXX到期，到期后您的计算资源将被冻结，资源保留15天，保留期内您可进行续费，保留期后未续费的专属云（计算独享型）资源将完全销毁，无法恢复。

本章主要介绍步骤六：部署应用（ECS篇） 本章节以应用“phoenixsamplestandalone”为例，介绍如何将发布件部署至主机。若您需要了解如何署至CCE，请参照步骤六：部署应用（CCE篇）操作。 购买并配置ECS 本文档使用的是ECS，您也可以使用自己的Linux主机（Ubuntu 16.04操作系统）。 步骤 1 登录云主机控制台，购买云主机。 购买时的必要配置参照下表，表中未列出的配置可根据实际情况选择。 步骤 2 配置安全组规则。 样例项目的验证需要用到端口5000与5001，因此添加一条允许访问5000以及5001端口的入方向规则。 操作步骤如下： 1. 登录ECS页面，在列表中找到步骤步骤1中购买的ECS，单击服务器名称。 2. 选择“安全组”页签，参考“《云主机用户指南》>安全>安全组>配置安全组规格”添加一条协议为TCP、端口为50005001的入方向规则。 添加目标主机至项目 部署应用到ECS之前，需要先将目标主机添加到项目基础资源中。 步骤 1 进入“凤凰商城”项目，单击导航栏“设置 > 通用设置 > 基础资源管理”。 步骤 2 单击“新建主机集群”，输入集群名称“hosts”、选择操作系统（Linux）、关闭“使用代理机接入”开关，单击“保存”。 步骤 3 单击“新增目标主机”，在弹框中配置以下信息，勾选同意声明后，单击“添加”。 添加主机 配置项 配置建议 主机名 输入自定义主机名称。为了方便辨认，可与在购买并配置ECS时配置的ECS的名称保持一致。 IP 输入在购买并配置ECS中购买的ECS的IP。 用户名 输入“root”。 密码 输入在购买并配置ECS中购买的ECS的密码。 ssh端口 输入“22”。 步骤 4 页面显示一条主机记录，当“连通性验证”列的值显示为“成功”，表示主机添加完成。 若主机添加失败，请根据页面提示信息排查主机配置。

本页介绍如何连接分布式融合数据库HTAP的实例。 前提条件 分布式融合数据库HTAP实例正常运行。 分布式融合数据库HTAP实例连接方式 连接方式 IP地址 使用场景 说明 内网连接 内网IP地址 系统默认提供内网IP地址。 当应用部署在ECS上，且该ECS与分布式融合数据库HTAP实例处于同一区域，同一VPC时，建议单独使用内网IP连接ECS与分布式融合数据库HTAP实例。 安全性高，可实现分布式融合数据库HTAP的较好性能。 推荐使用内网连接 术语解释： VPC：虚拟私有云（Virtual Private Cloud，简称VPC）。 ECS：弹性云服务器（Elastic Cloud Server，简称ECS）。 设置安全组规则 安全组的规则设置请参考快速入门准备工作。 通过内网连接分布式融合数据库HTAP实例 1. 天翼云官网首页右上角选择控制中心，登录进入控制中心界面。 2. 控制中心产品概览页左上角单击管理控制台，选择区域。 3. 选择数据库 > 分布式融合数据库HTAP，进入分布式融合数据库HTAP控制台。 4. 实例列表中可以查看到每个实例的连接地址，连接地址中包含IP和端口。 通过连接地址中的IP及端口（计算节点的主机IP及服务端口）即可连接数据库，如果实例有多个连接地址，可以用搭建负载均衡的方式进行连接。 5. 连接分布式融合数据库HTAP前必须新建用户，点击对应实例的更多 > 用户管理进入用户管理，填写用户名、主机、权限、用户密码等信息，创建连接用户并授权。 6. 登录云主机后打开命令行输入窗口，凭数据库连接的IP及端口，以及新建用户连接数据库，如下命令。 mysql h{hostname} P{port} u{user} p{password} 参数： h：主机IP，即分布式融合数据库“实例管理”页面中实例连接地址的IP”。 P：数据库端口，为“实例管理”页面中连接地址的端口。 u：用户名，即用户创建的数据库帐号（用户不能使用root账号登录，必须新建用户）。 p：密码，即数据库帐号对应的密码，为创建数据库用户时指定的密码。 示例： mysql h 172.16.X.X P 8635 u root –p ‘’

本页介绍了分布式融合数据库HTAP的实例连接方式。 分布式融合数据库HTAP实例连接方式 连接方式 IP地址 使用场景 说明 内网连接 内网IP地址 系统默认提供内网IP地址。 当应用部署在ECS上，且该ECS与分布式融合数据库HTAP实例处于同一区域，同一VPC时，建议单独使用内网IP连接ECS与分布式融合数据库HTAP实例。 安全性高，可实现分布式融合数据库HTAP的较好性能。 推荐使用内网连接 术语解释： VPC：虚拟私有云（Virtual Private Cloud，简称VPC）。 ECS：弹性云服务器（Elastic Cloud Server，简称ECS）。 设置安全组规则 安全组的规则设置请参考快速入门准备工作。 通过内网连接分布式融合数据库HTAP实例 1. 天翼云官网首页右上角选择控制中心，登录进入控制中心界面。 2. 控制中心产品概览页左上角单击管理控制台，选择区域。 3. 选择“数据库 > 分布式融合数据库HTAP”。进入分布式融合数据库HTAP控制台。 4. 实例列表中可以查看到每个实例的连接地址，连接地址中包含IP和端口。 通过连接地址中的IP及端口（计算节点的主机IP及服务端口）即可连接数据库，如果实例有多个连接地址，可以用搭建负载均衡的方式进行连接。 5. 连接分布式融合数据库HTAP前必须新建用户，点击对应实例的“更多 > 用户管理”进入用户管理，填写用户名、主机、权限、用户密码等信息，创建连接用户并授权。 6. 登录云主机后打开命令行输入窗口，凭数据库连接的IP及端口，以及新建用户连接数据库，如下命令。 mysql h{hostname} P{port} u{user} p{password} 参数： h：主机IP，即分布式融合数据库“实例管理”页面中实例连接地址的IP”。 P：数据库端口，为“实例管理”页面中连接地址的端口。 u：用户名，即用户创建的数据库帐号（用户不能使用root账号登录，必须新建用户）。 p：密码，即数据库帐号对应的密码，为创建数据库用户时指定的密码。 示例： mysql h 172.16.X.X P 8635 u root –p ‘’

本文介绍设置Apache缓存策略的方法。 免责声明： 本文档包含第三方产品信息，该信息仅供参考。 背景说明 本文主要介绍Apache服务器的缓存策略配置方法，如果源站使用的是Apache，可参考此文进行设置。 详细信息 Apache设置缓存策略的具体方法有两种：使用modheaders模块或modexpires模块。 1. modheaders模块配置 使用modheaders配置源站响应缓存策略可按如下步骤： 1）确保apache安装了modheaders模块。 2）在httpd.conf 中设置LoadModule headersmodule modules/modheaders.so。 3）使用header set配置cachecontrol。 示例如下： 策略 示例 设置一个月 Header set CacheControl "maxage2592000″ 设置一周 Header set CacheControl "maxage604800″ 设置不缓存 Header set Expires "Mon, 01 Jan 2000 10:00:00 GMT" Header set CacheControl "nocache" Header set Pragma "nocache" 2. modexpires模块配置 使用modexpires模块配置源站响应缓存策略： 主要有如下三条指令： ExpiresActive指令：打开或关闭产生Expires和CacheControl标签的功能。 ExpiresByType指令：指定MIME类型文档的过期时间，例如text/html文档。 ExpiresDefault指令：所有文档的默认过期时间。 示例如下： ExpiresActive On：开启modexpires功能。 ExpiresDefault "access plus 1 months"：默认的过期时间是1个月。 ExpiresByType image/ "access plus 1 years"：图片的文件类型缓存时间为1年。 ExpiresByType text/ "access plus 1 years"：text类型缓存时间为1年。 ExpiresByType application/ "access plus 60 minutes"：application文件类型缓存60分钟。 其中，各种时间的表达方式有： 表达式 说明 access plus 1 years 过期时间设置为，访问开始计算的一年后。 now plus 30 days 当前时间的30天后。 modification plus 12 hours 过期时间设置为，文件最后修改时间的12小时后。 A2592000 过期时间设置为，访问开始计算的2592000秒后，即一个月后。 M86400 过期时间设置为，文件最后修改时间的86400秒后，即一天后；该方式只对静态文件起作用，脚本生成的动态页面不起作用。

本章节主要介绍数据治理中心的配置常见关系数据库连接功能。 常见关系数据库包括数据仓库服务（DWS）、云数据库 MySQL、云数据库 PostgreSQL、云数据库 SQLServer、PostgreSQL、Microsoft SQL Server、IBM Db2、SAP HANA。 前提条件 已参考管理驱动上传对应的驱动。 常见关系数据库连接参数 连接参数详见下表：常见关系数据库连接参数 参数名 说明 取值样例 名称 连接的名称，根据连接的数据源类型，用户可自定义便于记忆、区分的连接名。 mysqllink 数据库服务器 配置为要连接的数据库的IP地址或域名。 单击输入框后的“选择”，可获取用户的DWS、RDS等实例列表。 192.168.0.1 端口 配置为要连接的数据库的端口。 不同的数据库端口不同，请根据具体情况配置。例如： SQLServer默认端口：1433 PostgreSQL默认端口：5432 数据库名称 配置为要连接的数据库名称。 dbname 用户名 待连接数据库的用户。该数据库用户需要有数据表的读写权限，以及对元数据的读取权限。 cdm 密码 用户名密码。 使用Agent 是否选择通过Agent从源端提取数据。 是 Agent 单击“选择”，选择3.3.5.3管理Agent中已创建的Agent。 驱动版本 不同类型的关系数据库，需要适配不同的驱动。 一次请求行数 可选参数，单击“显示高级属性”后显示。 指定每次请求获取的行数，根据数据源端和作业数据规模的大小配置该参数。如果配置过大或过小，可能影响作业的时长。 1000 SSL加密 可选参数，支持通过SSL加密方式连接数据库，暂不支持自建的数据库。 RDS上的PostgreSQL数据库服务做了一些安全增强，在创建RDS上的PostgreSQL的连接时，该参数需要配置为“是”。 是 连接属性 可选参数，单击“添加”可增加多个指定数据源的JDBC连接器的属性，参考对应数据库的JDBC连接器说明文档进行配置。 说明 CDM作业默认打开了useCursorFetch开关，即JDBC连接器与关系型数据库的通信使用二进制协议。 sslmoderequire 引用符号 可选参数，连接引用表名或列名时的分隔符号，参考对应数据库的产品文档进行配置。 '

本文介绍安全加速计费类问题。 停用安全加速服务后，为什么仍有一部分费用产生？ 造成该情况的原因主要有以下两种： 1. 在停用安全加速服务后，若客户LocalDNS服务器中缓存未过期，LocalDNS会继续把访问已停用安全加速域名的请求解析到加速节点，造成少量安全加速流量计费。 2. 一些下载类软件也存在LocalDNS缓存，在这部分缓存过期前，下载类软件也会把访问已停用安全加速域名的请求解析到加速节点上，造成少量安全加速流量计费。 安全加速中基础带宽方式中日流量计费和日带宽峰值计费是否支持互相变更计费方式？ 此两种计费方式之间可以自由切换，新的计费方式将在下一个计费周期生效。需需要注意的是，一个计费周期内，仅能变更一次。 安全加速的收费项都有哪些？ 安全加速主要有两大功能项：waf防护功能和CC流量清洗功能，每个功能项下面会有不同的计费项 当用户开通了waf防护功能时： 计费项包括：waf防护包+上行+下行总带宽的日峰值带宽/流量+防护请求数+静态https请求数，按日扣费 当用户开通了CC流量清洗功能时： 计费项包括：CC流量清洗包+弹性带宽阶梯+上行+下行总带宽的日峰值带宽/流量+静态https请求数+动态请求数 当用户同时开通waf防护功能和CC流量清洗功能时： 计费项包括：waf防护包+上行+下行总带宽的日峰值带宽+防护请求数+CC流量清洗包+弹性带宽阶梯+静态https请求数，按日扣费 安全加速，但是没有开启https的功能，是否需要收费安全加速，但是没有开启https的功能，是否需要收费 使用安全加速，但是没有使用https的功能，是不会针对https的请求数去费用的。

本文介绍控制台（或API）用量分析里的流量与日志统计的流量有差异的原因。 客户控制台上可查询带宽、流量等统计数据，该数据同时也应用于生成计费账单，其流量会比基于访问日志统计的流量偏多。原因是全站日志中记录的流量数据是基于应用层日志中响应消息头+响应body体统计出的流量，而在实际网络请求中产生的网络流量，由于存在TCP/IP包头消耗和TCP重传，要比应用层统计到的流量数据高出7%~15%。因此按照业界标准，应用于账单的计费值会比基于访问日志计算得出的计费值上浮10%。 TCP/IP包头的消耗 HTTP请求是基于TCP/IP协议的，数据包是TCP/IP协议通信传输中的数据单位，我们在使用基于TCP/IP协议的网络时，网络中传递的其实就是数据包。每个数据包的大小最大是1500字节，这1500字节中包括了TCP和IP协议组成的40个字节的包头，这两个协议包头其实也会产生流量，但是却无法被应用层统计到，因此这40个字节的流量就不会被统计到日志里，这部分的流量会占到我们通过日志计算出流量的2.74%（40/1460）以上，即3%左右。 TCP重传 根据互联网中网络的负载情况，通常情况下，会有接近3%~10%的数据包会因为网络堵塞、设备故障等各种异常情况被丢弃。发生丢包后，服务器会对丢弃的数据包进行重传，这部分的具体操作是由内核层的协议栈处理完成的，通常无法被应用层统计到的，因此在一定程度上也会造成日志统计与实际网络响应流量的差异。 综上所述，天翼云全站加速产品取平均值10%作为网络层额外消耗的流量比例，即应用于账单的计费值会比基于访问日志计算得出的计费值上浮10%。

本文介绍全站加速的基本安全防护功能。 全站加速作为帮助用户加速获取资源文件的产品，其防御能力是不能和专业的安全防护产品所比的，如果需要抗DDoS和抗CC攻击的全站加速功能，请使用天翼云边缘安全加速平台产品。如下是全站加速的一些基本防护的配置： Referer防盗链功能：根据http请求的referer字段对请求来源的域名进行筛选和链接。全站加速支持三种referer防盗链设置：白名单、黑名单以及是否允许空referer。该方法主要通过URL过滤的方法对来源host的地址进行过滤，用户可指定请求来源的域名，通过该功能可以对请求来源做限制。需注意的是：黑、白名单互斥，用户只可选择配置二者其一。 IP黑/白名单：设置相应的IP黑、白名单来针对来源IP进行限制。需注意的是：黑、白名单互斥，用户只可选择配置二者其一。、 URL鉴权：配置URL鉴权后，全站加速会对加密串及时间戳进行校验，从而有效地保护用户站点资源。 UA黑/白名单：配置允许用户使用的访问工具，UA白名单之外的访问工具全部拒绝访问（节点响应403），UA白名单之内的访问工具全部允许访问。UA黑名单之外的访问工具全部允许访问，UA黑名单之内的访问工具全部拒绝访问（节点响应403）。 URI黑/白名单：通过对用户访问的URI进行规则判断，按需放行或拒绝用户访问。允许访问时，全站加速会返回资源链接；拒绝访问时，全站加速会返回403响应码。 全网带宽控制：支持全网边缘总带宽限制，支持分时段控制，可以根据自身带宽需求选择对应的限制策略。带宽超出设置值后，可选择对请求进行限速、拒绝或者重定向操作。 有序回源：通过有序回源功能，可以根据源站负载有效控制并发回源量，保护源站服务器的稳定性，提供更佳的用户体验。

本章节主要介绍 初始化系统用户密码 。 操作场景 该任务指导管理员在用户遗忘密码或公共帐号密码需要定期修改时，通过Manager初始化密码。初始化密码后用户首次使用需要修改密码。开启Kerberos认证的集群或开启弹性公网IP功能的普通集群支持该操作。 说明 该章节操作仅适用于MRS 3.x之前版本集群。MRS3.x及之后版本集群请参考 对系统的影响 初始化MRS集群用户密码后，如果以前下载过用户认证文件，则需要重新下载并获取keytab文件。 初始化“人机”用户密码 访问MRS Manager，详细操作请参见访问MRSManager（MRS2.x及之前版本）。 1. 在MRS Manager，单击“系统设置”。 2. 在“权限配置”区域，单击“用户管理”。 3. 在要初始化密码用户所在行，单击“更多 > 初始化密码”，按界面提示信息修改用户密码。 在弹出窗口中输入当前登录的管理员密码确认管理员身份，单击“确定”，然后在“初始化密码”单击“确定”。 集群中，默认的密码复杂度要求： 密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、空格、特殊字符'~!@ $%^&()+[{}];:'", /?中的3种类型字符。 不能与用户名或倒序的用户名相同。 初始化“机机”用户密码 根据业务情况，准备好客户端，并登录安装客户端的节点。 1. 执行以下命令切换用户。 sudo su omm 2. 执行以下命令，切换到客户端目录，例如“/opt/Bigdata/client”。 cd /opt/Bigdata/client 3. 执行以下命令，配置环境变量。 source bigdataenv 4. 执行以下命令，使用kadmin/admin登录控制台。 说明 kadmin/admin的默认密码为“KAdmin@123”，首次登录后会提示该密码过期，请按照提示修改密码并妥善保存。 kadmin p kadmin/admin 5. 执行以下命令，重置组件运行用户密码。此操作对所有服务器生效。 cpw 组件运行用户名 例如：cpw oms/manager 集群中，默认的密码复杂度要求： 密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、空格、特殊字符'~!@

本文内容主要介绍设置安全组 操作场景 为了保障数据库的安全性和稳定性，在使用文档数据库实例之前，您需要开通需访问数据库的IP地址和端口。本文将主要介绍设置安全组的操作步骤。 注意事项 安全组的默认规则是在出方向上的数据报文全部放行，同一个安全组内的弹性云服务器和文档数据库可互相访问。安全组创建后，您可以在安全组中定义各种访问规则，当文档数据库服务加入该安全组后，即受到这些访问规则的保护。 当需要从安全组外访问安全组内的文档数据库时，需要为安全组添加相应的入方向规则。 操作步骤 步骤 1 在“实例管理”页面，选择指定的副本集实例，单击实例名称。 步骤 2 在左侧导航树，单击“连接管理”。 步骤 3 在“安全组”区域，选择“入方向规则”页签，单击“添加规则”，弹出添加入方向规则窗口。选择“出方向规则”页签，单击“添加规则”，弹出添加出方向规则窗口。 单击，可以依次增加多条规则。 步骤 4 根据界面提示配置安全组规则。 参数说明 参数 说明 取值示例 ::: 协议 网络协议。支持全部放通、自定义协议、“TCP”、“UDP”、“ICMP”、“SSH”等协议。 TCP 端口 允许远端地址访问弹性云主机或外部设备的指定端口。 8635 类型 IP地址类型，支持IPv4和IPv6。 IPv6地址：2001:0db8:3c4d:0015:0000:0000:1a2f:1a2b 源地址和目的地址 支持IP地址和安全组。 IP地址：该安全组规则在指定的IP地址范围生效。 xxx.xxx.xxx.xxx/32（IPv4地址） xxx.xxx.xxx.0/24（子网） 0.0.0.0/0（任意地址） 安全组：该规则授权特定安全组中的弹性云主机访问本安全组中的文档数据库，即该规则放通特定安全组中的弹性云主机所有的IP地址。 192.168.10.0/24 default 步骤 5 单击“确定”。

业务场景 基于ServiceStage可以方便快捷的将微服务部署到容器（如CCE）、虚拟机（如ECS）或无服务器（如CCI），同时支持源码部署、jar/war包部署或docker镜像包部署。同时，ServiceStage支持 Java、PHP、Node.js、Go、Python 多种编程语言应用的完全托管，包括部署、升级、回滚、启停和删除等。本实践中使用了Java开发的后台组件和Node.js开发的前台组件。 用户故事 在本实践中，您可以通过容器部署的方式部署应用并将微服务实例注册到微服务引擎CSE中，weathermap应用需要创建以下组件： 1. 前台组件：weathermapweb，基于Node.js语言开发的界面。 2. 后台组件：weather、forecast、fusionweather，基于Java语言开发。 创建并部署后台应用组件 此处需要创建3个应用组件，对应后台构建任务生成的3个软件包：weather、forecast、fusionweather。 这里以weather包为例介绍操作步骤，其余应用组件的具体步骤不再详述。 1. 登录ServiceStage控制台，选择“应用管理 > 应用列表”。 2. 单击创建应用时创建的应用名称（例如weathermap）“操作”栏的“新增组件”。 3. “配置方式”选择“自定义配置”，“选择组件类型”选择“微服务”，单击“下一步”。 4. “选择运行时”选择“Docker”，单击“下一步”。 5. 选择Java Chassis框架/服务网格。 6. 设置组件信息，“组件名称”输入weather。 7. 单击“创建并部署”，部署组件。 a. “环境”：选择创建环境时创建的环境（例如testenv）。 b. “部署版本”：输入1.0.0。 c. “部署系统”：选择“云容器引擎”。 d. “实例数量”：设置为1。 e. 其他参数使用默认 8. 单击“下一步 组件配置”，进行组件配置。 a. “镜像”：单击“选择镜像”，在“我的镜像”页签搜索“weather”，选择创建组织创建的组织名称下的weather镜像包及其版本号，单击“确定”。 b. “微服务引擎”：默认选择创建环境时选择的微服务引擎。 c. 其他参数使用默认。 9. 设置环境变量。 选择“高级设置 > 组件配置”，进入“环境变量”，单击“添加环境变量”，添加如下环境变量。 10. 单击“下一步 规格确认”，确认规格。 11. 单击“部署”，部署组件。 12. 参考以上步骤，创建并部署forecast和fusionweather组件，需要设置的参数如下表所示。

本文帮助您快速熟悉负载均衡服务HTTP监听器的添加。 添加HTTP监听器 操作场景 HTTP协议适用于需要对数据内容进行识别的应用，如Web应用、门户网站等。 前提条件 您已经创建了弹性负载均衡实例。具体操作详见创建弹性负载均衡器。 操作步骤 步骤一：创建监听器 1. 登录弹性负载均衡弹性负载均衡控制台； 2. 在顶部右侧选择弹性负载均衡所属区域，本文选择华东华东1； 3. 选择以下一种方法打开监听器配置向导。 在负载均衡器列表页面页面，找到目标实例，在操作列单击“监听器配置向导”。 在ip类型/监听器端口/健康检查/服务器组列下方单击“开始配置”。 在负载均衡器列表页面，找到目标实例，单击“实例名称”进入实例详情页，单击添加“监听器”。 4. 在协议&监听配置向导依据HTTP监听器配置说明完成以下配置，然后点击下一步。 HTTP监听器配置说明 监听配置 说明 名称 设置监听器的名称，名称应为232位，英文开头，支持大小写英文和数字。 负载均衡器协议/端口 下拉列表选择HTTP协议，输入监听端口，取值范围1~65535。 描述 可选，填写监听器描述。 高级配置 监听器的特定参数配置：重定向 重定向 仅集群模式资源池支持开启重定向，将把此HTTP监听器的访问请求重定向至选定的HTTPS监听器。主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。此功能方便业务从HTTP迁移至HTTPS的场景，可将习惯性访问HTTP的客户端平滑迁移到HTTPS。前置条件：需要预先配置好HTTPS监听器。开启重定向后，下方出现重定向至选项，从下拉列表框选择目标HTTPS监听器。注意：只能重定向至HTTPS监听器，并且每个监听器只能重定向一次。开启重定向功能后，如需获取源IP能力，请在重定向后监听器开启。 NAT64 支持将v6地址的请求转发到v4后端主机。集群模式支持，主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。 请求超时时间 输入范围1~300s, 缺省60s。集群模式资源池支持设置HTTP请求超时时间，在请求超时时间内接收请求的后端主机无响应，负载均衡会向所有其它后端主机重试请求。主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。如果重试所有后端主机一直没有响应，则负载均衡会给客户端返回HTTP 504错误码。 空闲超时时间 输入范围1~300s, 缺省15s。集群模式资源池支持设置HTTP连接的空闲超时时间。在空闲超时时间后仍没有访问请求，负载均衡会中断当前连接。主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。 附加HTTP头字段 通过XForwardedFor获取客户端IP：开启获取客户端IP，将通过XForwardedFor头字段携带客户端源真实IP。 通过XForwardedProto获取监听协议：集群模式资源池支持XForwardedProto来获取客户端与负载均衡监听连接时所用的协议（HTTP/HTTPS）。 通过XForwardedPort获取监听端口：支持XForwardedPort获取客户端与负载均衡监听连接时所用的端口。 主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。 QPS限速 开启每秒查询次数QPS限速，可设置此监听服务的QPS上限，减轻高访问量服务切换过程中后端服务器压力。输入范围1~200000，单位qps(query per second)，缺省 10000。集群模式资源池支持设置QPS，主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。 访问控制 选择是否开启访问控制。开启访问控制后，选择一种访问控制方式：黑名单、白名单。并设置访问策略组作为该监听器的白名单或黑名单。白名单：允许特定IP访问负载均衡，仅转发来自所选访问策略组中设置的IP地址或地址段的请求，白名单适用于只允许特定IP访问的场景。黑名单：禁止特定IP访问负载均衡，不转发来自所选访问策略组中的IP或地址段，黑名单适用于只限制特定IP访问的场景。

公有云采用虚拟私有云（VPC）管理各服务的网络安全，比如DCS缓存服务，用户创建的DCS缓存实例，只允许被实例处于相同虚拟私有云的弹性云主机访问。 解决方案 天翼云的弹性云主机，如果绑定了弹性IP地址，用户可以从本地电脑远程访问。 因此，我们可以采用ssh工具的隧道代理机制，通过一台既能连接DCS缓存实例，又能被本地电脑访问的中转服务器，实现“代理转发”。 说明 Redis 4.0/5.0 Cluster集群实例暂不支持使用该方案进行公网访问。 前提条件 假设已申请DCS缓存实例一个，本地电脑可以连接互联网，且安装有MobaXterm、Redis客户端等工具。 申请一台弹性云主机（ECS），满足以下要求： 绑定弹性IP，公网可以访问ECS. ECS的虚拟私有云以及子网配置成与DCS缓存实例相同。 ECS配置正确的安全组访问规则。 为了方便，ECS使用linux操作系统。 这样保证ECS与DCS缓存实例网络互通，同时可以从本地电脑远程SSH连接ECS。 操作步骤 通过MobaXterm建立隧道作为跳板机 1.新建一个到ECS的SSH连接，使用22号端口。 图 连接ECS 2.SSH连接配置好后，输入登录用户和密码，连接上ECS。登录后输入TMOUT0，避免连接超时自动关闭。 图 输入TMOUT0 3.在MobaXterm工具中找到MobaSSHtunnal，建立隧道。 图 创建隧道 4.配置本地IP为127.0.0.1后，启动隧道。 图 启动隧道 5.本地电脑打开Redis客户端，以Redis命令行界面为例。连接DCS缓存实例，命令如下： Rediscli h 127.0.0.1 p 3306 a {password} 参数说明： h 主机名：localhost或者127.0.0.1，和隧道建立时配置的本地IP相同。 p 端口号：3306，和隧道建立时配置的本地侦听端口相同。 a 密码：DCS缓存实例连接密码。 6.连接成功，显示如下。 图 连接实例

本章节主要介绍Redis缓存类型的主备实例。 DCS Redis缓存类型都支持主备实例，本章节主要介绍Redis缓存类型的主备实例，有四个版本选择，Redis3.0、Redis4.0、Redis5.0和Redis6.0。 主备实例特点 DCS的主备实例在单机实例基础上，增强服务高可用以及数据高可靠性。 主备实例具有以下特性： 1.持久化，确保数据高可靠 实例默认包含一个主节点和一个备节点，都默认开启数据持久化。 Redis主备实例的备节点对用户不可见，不支持客户端直接读写数据。 2.数据同步 主备节点通过增量数据同步的方式保持缓存数据一致。 说明 当网络发生异常或有节点故障时，主备实例会在故障恢复后进行一次全量同步，保持数据一致性。 3.故障后自动切换主节点，服务高可用 当主节点故障后，连接会有秒级中断、不可用，备节点在30秒内自动完成主备切换，切换完成后恢复正常访问，无需用户操作，业务平稳运行。 4.容灾策略 跨AZ部署（可用区）：DCS支持将主备实例的主备副本部署在不同的AZ内，节点间电力与网络均物理隔离。您可以将应用程序也进行跨AZ部署，从而达到数据与应用全部高可用。 Redis 3.0实例架构设计 DCS的Redis主备实例架构，如下图所示。 主备实例示意图 示意图说明： VPC 虚拟私有云。实例的内部所有服务器节点，都运行在相同VPC中。 说明 VPC内访问，客户端需要与主备实例处于相同VPC，并且配置安全组访问规则。 客户应用 运行在ECS上的客户应用程序，即Redis的客户端。 Redis实例兼容开源协议，可直接使用开源客户端进行连接，关于客户端连接示例，请参考连接实例。 DCS缓存实例 DCS主备实例包含了Master和Slave两个节点。默认开启数据持久化功能，同时保持节点间数据同步。 DCS实时探测实例可用性，当主节点故障后，备节点升级为主节点，恢复业务。 Redis 3.0的访问端口默认为6379，不支持定义端口。