本文介绍AnyWhere集群。 天翼云CCE Anywhere集群是面向分布式云场景，提供的一种全新本地 Kubernetes 集群部署选项：构建在Kubernetes子项目Cluster API（CAPI）之上，通过申明式API和控制器模式,让您在自己管理的IDC基础设施或边缘设施中，创建、管理和升级基于天翼云CCE Distro发行版的Kubernetes集群；拥有与云上CCE发行版相同可靠性和安全性的同时，通过连接到云上注册集群，可获得标准化集群运维（含日志、监控、巡检、诊断、备份等）、丰富的插件扩展，以及智算套件、集群联邦等高阶扩展能力，实现轻量敏捷、云边一体的分布式容器云服务。 产品优势 公有云标准化交付，相同可靠性与安全性。 丰富扩展能力，将云上现代化操作实践和工具适配本地集群环境。 支持纯离线环境部署交付。 基于云原生开源标准构建。 应用场景 将本地应用从虚拟机迁移到现代化容器。 基于容器构建内部开发平台，以标准化团队资源使用。 将本地基础设施容器化后，与云上资源打通以实现极致弹性能力。 将本地基础设施容器化后，接入CCE One集群联邦以实现分布式智算能力。 施工指南

本节主要介绍查询实时性能数据命令。 ./stor monitor { V view } [ { d dimensio n } DIMENSION ] [ { i instance } INSTANCEID & ] [ { m metric } METRIC & ] 此命令用来查看HBlock实时性能数据。 说明 监控数据以服务器系统时间为准进行记录。时间被调整，或集群中服务器时间不统一，都可能导致监控数据不准确。但用户的业务数据不会受到影响。 参数 描述 d DIMENSION 或 dimension DIMENSION 指定监控对象。 取值： system：系统。 pool：存储池（仅集群版支持）。 server：服务器。 disk（diskPath）：数据目录。 LUN：卷。 单机版默认值为system。集群版默认值为pool。 i INSTANCEID 或 instance INSTANCEID 指定监控对象实例的唯一标识，每次可以填写多个实例，以英文逗号隔开： 监控对象为system，没有实例。 监控对象为pool，实例为存储池名称。 监控对象为server，实例取值为服务器ID，必填。 监控对象为disk（diskPath），实例取值为serverId :diskPath。 监控对象为LUN，实例取值为卷名称。 如果不指定对象实例，默认查询监控对象的所有实例。 m METRIC 或 metric METRIC 指定指标名称。 监控对象为system，取值：PATH、IOPS、BANDWIDTH、LATENCY、CLOUD。 监控对象为pool，取值：PATH、IOPS、BANDWIDTH、LATENCY。 监控对象为server，取值：MEM、CPU、PATH、IOPS、BANDWIDTH、LATENCY、CLOUD。 监控对象为disk（diskPath），取值为PATH。 监控对象为LUN，取值：IOPS、BANDWIDTH、LATENCY、CLOUD。 默认查询监控对象的所有指标。

本节主要介绍导出性能数据命令。 ./stor monitor { E export } [ { d dimension } DIMENSION ] [ { i instance } INSTANCEID ] [ starttime STARTTIME ] [ endtime ENDTIME ] [ { o out } DIRECTORY ] 此命令用来导出HBlock性能数据。 参数 参数 描述 d DIMENSION 或 dimension DIMENSION 指定监控对象。 取值： system：系统。 pool：存储池（仅集群版支持）。 server：服务器。 disk（diskPath）：数据目录。 LUN：卷。 单机版默认值为system。集群版默认值为pool。 i INSTANCEID 或 instance INSTANCEID 指定监控对象实例的唯一标识： 监控对象为system，没有实例。 监控对象为pool，必填，实例为存储池名称。 监控对象为server，必填，实例取值为服务器ID。 监控对象为disk（diskPath），必填，实例取值为serverId :diskPath。 监控对象为LUN，必填，实例取值为卷名称。 starttime STARTTIME 性能数据导出的起始时间。格式为yyyyMMdd HH:mm:ss，如果不指定，默认为性能数据导出结束时间2小时之前的时间点。 注意 起始时间必须早于结束时间，且起始时间不能早于服务器当前时间一年。 endtime ENDTIME 性能数据导出的结束时间。格式为yyyyMMdd HH:mm:ss，默认值为当前时间。 注意 起始时间必须早于结束时间。 o DIERECTORY 或 out DIERECTORY 指定导出文件存放的目录，为绝对路径。默认存放在被请求服务器的HBlock安装目录下，以monitordatainstanceIdyyyyMMddHHmmss.csv命名，其中： instanceId：监控对象的实例，若未指定，此处显示为空。 yyyyMMddHHmmss：文件生成的时间。

本章节介绍如何进行域名管理配置 关联域名 云原生网关提供域名配置能力，支持配置协议、证书、路由配置。本文介绍如何关联域名。 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称 ，也可以单击操作列中的管理按钮； 5. 单击左侧导航栏 域名管理 ； 6. 单击左上角按钮 关联域名 ； 7. 在关联域名面板填写域名相关配置，单击左下角确定按钮； 域名配置说明如下： 参数 描述 域名 自定义域名填写，如mse.ctyun.com，同时支持泛域名如.ctyun.com。 协议 支持HTTP和HTTPS协议，HTTPS协议需上传证书。 证书名称 选择HTTPS时填入，自定义填写证书名称。 证书文件 选择HTTPS时需上传证书文件，支持pem、cer, crt, key格式。 私钥文件 选择HTTPS时需上传私钥文件，支持pem、cer, crt, key格式。 结果验证 在域名管理列表页可以查看新关联的域名信息，且状态显示已发布 ，则说明域名关联成功。 变更域名 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称 ，也可以单击操作列中的管理按钮； 5. 单击左侧导航栏 域名管理 ； 6. 单击域名管理页操作列编辑按钮； 7. 在编辑域名面板编辑协议、证书等信息，单击左下角确定按钮；

本页介绍了文档数据库服务的默认权限机制。 文档数据库服务在与社区原生版本MongoDB相比时，针对不断增长的安全挑战进行了一系列的增强措施。与社区原生版本不同，文档数据库服务采用的默认的安全策略，要求连接数据库时必须进行鉴权，否则无法使用数据库。这种改进确保了文档数据库服务的安全性。 带鉴权的连接url： mongodb:// : @ : / ?authSourceadmin 不带鉴权的连接url： mongodb:// : / 数据库实例创建后，系统会创建默认的管理员用户root，但是需要客户指定密码，并满足密码复杂度要求。

如何获取访问者真实IP？ 网站接入WAF后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。 通常情况下，网站访问并不是简单地从用户的浏览器直达服务器，中间可能部署有CDN、WAF、高防。例如，采用这样的架构：“用户 > CDN/WAF/高防 > 源站服务器” 。那么，在经过多层代理之后，服务器如何获取发起请求的真实客户端IP呢？ 一个透明的代理服务器在把用户的HTTP请求转到下一环节的服务器时，会在HTTP的头部中加入一条“XForwardedFor”记录，用来记录用户的真实IP，其形式为“XForwardedFor：访问者的真实IP，代理服务器1IP， 代理服务器2IP，代理服务器3IP，……”。 因此，访问者的真实IP可以通过获取“XForwardedFor”对应的第一个IP来得到。 本地文件包含和远程文件包含是指什么？ 您可以在WAF的防护事件中查看文件包含等安全事件，快速定位攻击源或对攻击事件进行分析。 文件包含是指程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这种文件调用的过程一般被称为文件包含。文件包含分为本地文件包含和远程文件包含，说明如下： 当被包含的文件在服务器本地时，称为本地文件包含。 当被包含的文件在第三方服务器时，称为远程文件包含。 文件包含漏洞是指通过函数包含文件时，由于没有对包含的文件名进行有效的过滤处理，被攻击者利用从而导致了包含了Web根目录以外的文件进来，导致文件信息的泄露甚至注入了恶意代码。

名称 类型 描述 targetName String iSCSI target名称。 maxSessions Integer iSCSI target下每个IQN允许建立的最大会话数。 iSCSITargets Array of iSCSITarget iSCSI target属性集合，详见“ 表2 响应参数iSCSITarget说明 ”。 chap.name String CHAP认证名称。 chap.status String CHAP认证状态： Enabled：启用CHAP认证。 Disabled：禁用CHAP认证。 createTime Long 创建iSCSI target的时间，unix时间戳（UTC），精确到毫秒。 serverIds Array of string iSCSI target对应的服务器ID（仅集群版支持）。 num Integer target所在的服务器数量（仅集群版支持）。 reclaimPolicy String iSCSI target的回收策略： Delete：当iSCSI target关联的卷全部删除后，iSCSI target自动删除。 Retain：当iSCSI target关联的卷全部删除后，iSCSI target仍然保留。 status String iSCSI target的状态： Deleting：iSCSI target正在删除。 仅iSCSI target处于删除中会返回此项。

为什么迁移过程中目的端ECS会被锁定？ 迁移过程中，操作目的端服务器可能会导致迁移失败。为了保证迁移顺利实施，迁移过程中目的端服务器会被自动锁定，迁移成功之后会自动解锁。如果您想手动解除锁定，请参考如何解除目的端服务器锁定状态？。 如何解除目的端服务器锁定状态？ 迁移完成后会自动解除ECS锁定，但是由于权限、网络等因素可能导致解锁目的端失败。如果服务器记录未删除，可以尝试单击该服务器的“更多 > 解锁目的端”进行解锁。如果解锁时提示“权限不足”，请更换有权限的账号重试。如果服务器记录已删除，则需要调用云主机的API接口，解锁云服务器，进行解锁。 Linux版的迁移Agent启动提示“rsync not installed on the source server”该如何处理？ 启动Linux版的迁移Agent时，提示“rsync not installed on the source server.”，则说明此源端服务器未安装rsync组件。Linux迁移依赖rsync组件，若源端未安装rsync组件，会导致Agent启动失败。您需要先安装rsync组件，再重新启动迁移Agent。 应用程序因并行配置不正确无法启动 Windows 2008 Python2版本的Agent安装后，无法启动，提示“sms.5109应用程序因并行配置不正确无法启动”。因部分Windows机型权限限制，会导致第一次启动Agent无法启动，可使用如下方式启动Agent。 1. 右键单击开始菜单。 2. 单击“运行”，输入cmd，进入命令行提示符界面。 3. 输入cd C:SMSAgentPy2，切换到Agent安装目录，执行SMSAgentDeploy.exe。

云迁移服务CMS异构迁移工具有哪些？ 云迁移服务CMS提供企业上云异构工具可用性评估，主要评估组件或应用程序是否能够使用华为异构迁移套件Devkit与二进制指令动态翻译软件ExaGear进行迁移。 云迁移服务CMS异构迁移（ExaGear）是什么？ ExaGear是一款由华为提供的异构迁移套件，它采用二进制指令动态翻译技术，可以在ARM64服务器上运行。通过实时将X86指令翻译为ARM64指令并执行，ExaGear使得绝大部分基于Linux x86架构的应用程序可以在ARM64服务器上运行，而无需进行重新编译。这一技术实现了低成本、快速将现有的Linux x86应用迁移至ARM64服务器的目标。 云迁移服务CMS异构迁移（DevKit）是什么？ DevKit是一款由华为提供的异构迁移套件，采用面向全研发作业流程鲲鹏开发套件，提升应用迁移和调优效率，加速原生开发。提供涵盖代码迁移、开发调试、编译、测试、调优及诊断等各环节的开发使能工具，方便开发者快速开发出鲲鹏亲和的高性能软件，降低异构迁移门槛，实现Linux on x86应用快速重部署到ARM64。 离线采集模板上传失败如何处理？ 通常模板上传失败，多数因为模板信息未正确填写，或有对应行列改变其格式，缺少ID指引，可以参考案例对模板进行正确填写，再次上传。

本节介绍智算容器使用限制。 约束与限制 购买智算版容器集群实例之前需要在天翼云完成实名认证。 天翼云官网支持：集群订购、退订、续订、节点扩容。 创建节点过程中会使用域名方式从OBS下载软件包，需要能够使用云上内网DNS解析OBS域名，否则会导致创建不成功。为此，节点所在子网需要配置为内网DNS地址，从而使得节点使用内网DNS。在创建子网时DNS默认配置为内网DNS，如果您修改过子网的DNS，请务必确保子网下的DNS服务器可以解析OBS服务域名，否则需要将DNS改成内网DNS。 集群一旦创建以后，不支持变更以下项： 变更集群类型。 变更集群的控制节点数量。 变更控制节点可用区。 变更集群的网络配置，如所在的虚拟私有云VPC、子网、容器网段、服务网段、IPv6、kubeproxy代理（转发）模式。 变更网络模型，例如“容器隧道网络”更换为“VPC网络”。 资源池限制 资源池类型 已加载资源池 L1 资源池 华北2、华南2、西南1、西南2 L2 资源池 上海15、杭州7、武汉41、西安7、长沙42、沈阳8、芜湖4 配额限制 集群类型 租户限制集群数量 单集群管理节点数量 单节点最大Pod数 例外申请方式 专有版集群 5 1000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 智算版集群 5 1000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 托管版单实例集群 2 10 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 托管版高可用集群 2 几个档次可选：50/200/1000/2000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 说明 1. 智算版容器集群依赖底座弹性裸金属资源，如：昇腾910B，需IaaS智算资源支持，申请资源需提交咨询工单或联系对应产品经理。 2. 智算版容器集群目前已经适配了昇腾910B、800I A2，NVIDIA H800、L40S等，适配详情可提交咨询工单或联系对应产品经理。

参数 描述 t TYPE 或 type TYPE 查看指定服务的状态，TYPE取值： system：查看系统状态。 storagepool：存储池状态（仅集群版支持）。 server：查看服务器状态。 disk：查看磁盘状态（仅单机版支持）。 LUN：查看卷的状态。 未指定状态，则显示全部信息。

本节为您介绍数据安全中心产品定义与须知。 据安全中心(Data Security Center)是新一代的云原生数据安全平台,提供敏感数据扫描，数据的分类分级、安全体检,水印溯源,脱敏等基础安全能力。通过数据安全总览整合数据全生命周期各阶段状态,对外整体呈现云上数据安全态势。 云上全场景覆盖 整合云上各类数据源，提供一站式数据保护和防御机制。支持结构化和非结构化类型数据，支持云原生和ECS自建场景。 全栈敏感数据防护 根据敏感数据发现策略来精确识别数据库中的敏感数据，基于多种预置脱敏算法+用户自定义脱敏算法，实现全栈敏感数据防护。 说明 DSC仅对数据进行敏感数据检测，不会对您的数据文件进行保存。

功能优势 低成本 ：组播功能是天翼云提供的云原生的组播能力，可以在云平台上快速搭建组播网络，带宽耗费小，有效减轻服务器负载，无需额外购买物理设备和第三方软件证书。 可以帮助您快速搭建组播网络，无需额外购买物理设备和第三方软件证书。 高可靠 ：分布式集群多活部署，支持水平扩容，使用vxlan天然隔离，支持IGMPv2、 IGMPv3动态组播，精准转发，实现最优复制，更好地满足业务增长需求。 易维护 ：天翼云提供统一可视化的组播网络管理界面，维护简便，即开即用，方便快捷。 计费说明 组播采用按量计费的方式，计费项对应为连接费和流量处理费，具体可参考组播计费说明。 支持地域 仅部分可用区资源池支持，实际情况以控制台展示为准。

本文为您介绍什么是终端节点并带您了解如何创建并管理终端节点。 终端节点（VPC Endpoint）在VPC和终端节点服务之间提供连接通道。您可以使用终端节点连接在VPC中自己创建终端节点服务后端应用程序，也可以通过终端节点连接天翼云提供原生服务，天翼云终端节点支持“接口”和“反向”两种类型终端节点 。 “接口”类型终端节点：是具备私有IP地址的弹性网络接口，“接口”类型终端节点可作为VPC用户访问云服务入口，为VPC提供主动访问云服务能力，"接口"类型终端节点可连接自建服务，也可以连接天翼云云提供的原生服务。 "反向"类型终端节点：同样是具备私有IP地址的弹性网络接口，"反向"类型终端节点为服务主动访问用户VPC资源的出口，服务可通过此类型终端节点主动访问VPC内的资源。

本文为您介绍容器安全卫士的功能特性。 通过容器安全卫士服务，可以轻松应对各种云原生应用威胁和风险。 仪表盘 仪表盘通过图标可视化方式展示了镜像、容器、节点、镜像仓库、集群这些重要资产的数量统计信息、部署安全信息、以及安全威胁分布情况。可以更直观地显示各资产信息统计、漏洞信息统计、报警信息。使客户能够更快速的识别和了解威胁情况。 趋势和历史记录 提供可视化的界面和报告，以展示威胁情报的相关统计数据、趋势等信息，帮助决策者理解威胁情报的现状和趋势。 告警和事件管理 集成告警和事件管理系统，将安全事件和告警信息汇总展示在大屏幕上，并提供快速的事件处理和跟踪功能。 资产管理 展示每个资产的详细信息，包括集群资产、节点资产、命名空间、工作负载等资产，以帮助用户全面了解资产的特征和配置。 漏洞数据集成和可视化 将漏洞扫描结果数据进行集成，以可视化的方式展示漏洞分布、统计信息，帮助用户全面了解漏洞态势。 网络可视化 对容器环境中网络流量进行绘图，打破网络黑洞，支持对进程、容器、pod、服务、主机级别的网络监测。通过对单个业务之间，业务组之间，以及租户之间的网络访问策略配置，实现业务之间隔离，来减小被入侵之后的影响范围；通过网络拓扑图，从网络层面判断入侵影响范围。 容器安全卫士自动检测发现Kubernetes集群内的运行容器，应用以及镜像，关联相应的安全风险进行汇总，展示安全风险的数量以及风险级别的分布。支持自动发现容器内进程之间、容器之间、POD之间、服务之间、节点之间的网络连接状态，展示连接的原地址，目的地址以及端口。并对异常连接进行预警。支持对Kubernetes集群内POD之间的通信进行网络隔离控制、隔离策略支持配置POD的间的访问规则、阻断来自其他命名空间的所有流量、允许来自外部客户端的流量等。 支持租户隔离 支持对Kubernetes集群内租户进行隔离控制，租户之间默认禁止直接通信，可以通过配置RBAC、POD策略、网络策略等实现租户间的访问策略。 支持自定义网络策略 支持对Kubernetes集群内的隔离策略管理，展示各个POD已经配置的隔离策略并能进行配置和应用。 可视化的展示视角 通过雷达可视图的展示方式，用户可以查看到容器内进程之间、容器之间、POD之间、服务之间、节点之间的网络进出站信息，对指定的网桥、网卡进行流量的DPI分析，有助于识别、阻断流向异常的流量。 多种类型策略支持 基于用户不同的使用环境与业务需求，支持多种策略类型，包括： IPtables模式（可针对不同的资源之间设置网络访问策略）。 OVS模式（在OpenShift环境下， 针对不同的资源之间设置网络访问策略）。 NetworkPolicy模式（为指定资源设置允许进出站访问）。

本小节介绍企业主机安全基础版/企业版/旗舰版开启防护。 开启主机安全防护时，您需为指定的主机分配一个配额，关闭主机安全防护或删除主机后，该配额可分配给其他的主机使用。 若您购买的是网页防篡改版，请在“主动防御 > 网页防篡改> 防护配置”页面开启防护。 说明 购买“网页防篡改版”后，您也可以使用“旗舰版”中的所有功能，但是您需要通过“主动防御 > 网页防篡改 > 防护配置”页面开启防护，当开启网页防篡改防护时会自动开启旗舰版防护。 检测周期 主机防护每日凌晨会进行全量检测。 若您在检测周期前开启防护，您需要等到次日凌晨检测后才能查看检测结果。 前提条件 “主机安全服务 > 资产管理 > 主机管理”页面“云服务器”中“Agent状态”为“在线”。 若开启包周期防护，请确认已在所选区域购买了充足可用的配额。 为达到更好的防护效果，建议在开启防护前进行安装与配置。 约束条件 Linux操作系统 使用鲲鹏计算EulerOS（EulerOS with ARM）的主机，在遭受SSH帐户破解攻击时，HSS不会对攻击IP进行拦截，仅支持对攻击行为进行告警。 Windows操作系统 开启主机防护时，需要授权开启Windows防火墙，且使用主机安全服务期间请勿关闭Windows防火墙。若关闭Windows防火墙，HSS无法拦截帐户暴力破解的攻击源IP。 通过手动开启Windows防火墙，也可能导致HSS不能拦截帐户暴力破解的攻击源IP。

方法 说明 GET 请求服务器返回指定资源 PUT 请求服务器更新指定资源 POST 请求服务器新增资源或执行特殊操作 DELETE 请求服务器删除指定资源，如删除对象等 HEAD 请求服务器资源头部 PATCH 请求服务器更新资源的部分内容

方法 说明 GET 请求服务器返回指定资源 PUT 请求服务器更新指定资源 POST 请求服务器新增资源或执行特殊操作 DELETE 请求服务器删除指定资源，如删除对象等 HEAD 请求服务器资源头部 PATCH 请求服务器更新资源的部分内容

方法 说明 GET 请求服务器返回指定资源 PUT 请求服务器更新指定资源 POST 请求服务器新增资源或执行特殊操作 DELETE 请求服务器删除指定资源，如删除对象等 HEAD 请求服务器资源头部 PATCH 请求服务器更新资源的部分内容

方法 说明 GET 请求服务器返回指定资源 PUT 请求服务器更新指定资源 POST 请求服务器新增资源或执行特殊操作 DELETE 请求服务器删除指定资源，如删除对象等 HEAD 请求服务器资源头部 PATCH 请求服务器更新资源的部分内容

方法 说明 GET 请求服务器返回指定资源。 PUT 请求服务器更新指定资源。 POST 请求服务器新增资源或执行特殊操作。 DELETE 请求服务器删除指定资源，如删除对象等。 HEAD 请求服务器资源头部。 PATCH 请求服务器更新资源的部分内容。

微服务引擎 MSE 面向业界主流开源微服务项目,提供注册配置中心、云原生网关、微服务治理能力,助力企业搭建大规模分布式应用。

功能 功能描述 HTTP触发器 给函数配置HTTP触发器，函数响应HTTP请求事件，执行指定的逻辑。 定时触发器 给函数配置定时器触发器，函数可以根据定时器配置周期性执行业务逻辑。 Kafka触发器 给函数配置Kafka触发器，函数可以监听Kafka消息来执行业务逻辑。 RocketMQ触发器 给函数配置RocketMQ触发器，函数可以监听RocketMQ消息来执行业务逻辑。 日志触发器 给函数配置日志触发器，函数可以根据日志的写入来执行业务逻辑。 对象存储触发器 给函数配置对象存储触发器，函数可以监听对象存储的创建、删除、更新等事件来执行业务逻辑。 云原生网关触发器 给函数配置云原生网关触发器，函数可以监听网关的事件来执行业务逻辑。

方法 说明 GET 请求服务器返回指定资源。 PUT 请求服务器更新指定资源。 POST 请求服务器新增资源或执行特殊操作。 DELETE 请求服务器删除指定资源，如删除对象等。 HEAD 请求服务器资源头部。 PATCH 请求服务器更新资源的部分内容。

方法 说明 GET 请求服务器返回指定资源。 PUT 请求服务器更新指定资源。 POST 请求服务器新增资源或执行特殊操作。 DELETE 请求服务器删除指定资源，如删除对象等。 HEAD 请求服务器资源头部。 PATCH 请求服务器更新资源的部分内容。

方法 说明 GET 请求服务器返回指定资源 PUT 请求服务器更新指定资源 POST 请求服务器新增资源或执行特殊操作 DELETE 请求服务器删除指定资源，如删除对象等 HEAD 请求服务器资源头部 PATCH 请求服务器更新资源的部分内容

本节介绍了安装原生的XEN和KVM驱动的方法。 操作场景 在优化Linux私有镜像过程中，需要在云主机上安装原生的XEN和KVM驱动。 注意： 如果不安装XEN驱动，弹性云主机的网络性能很差，并且安全组和防火墙也不会生效； 如果不安装KVM驱动，弹性云主机的网卡可能无法检测到，无法与外部通信。因此，请您务必安装XEN和KVM驱动。 本节介绍安装原生XEN和KVM驱动的具体方法。 前提条件 对于使用Linux系统原生的XEN和KVM驱动的Linux云主机，其内核版本必须高于2.6.24。 建议您禁用任何防病毒软件或入侵检测软件，安装原生的XEN和KVM驱动完成后，您可以再次启用这些软件。 操作步骤 请根据操作系统版本，修改不同的配置文件： CentOS/EulerOS系列操作系统 以CentOS 7.0为例，请修改“/etc/dracut.conf”文件，在adddrivers项中添加xenpv以及virtio的驱动（xenpv驱动：xenblkfront、xennetfront；virtio驱动：virtioblk、virtioscsi 、virtionet、virtiopci、virtioring、virtio）。驱动名之间以空格隔开，保存并退出“/etc/dracut.conf”文件，执行dracut f命令，重新生成initrd。 操作方法可参见下文“CentOS/EulerOS系列操作系统相关操作”。 Ubuntu/Debian系列系统 请修改“/etc/initramfstools/modules”文件，添加xenpv以及virtio的驱动（xenpv驱动：xenblkfront、xennetfront；virtio驱动：virtioblk、virtioscsi 、virtionet、virtiopci、virtioring、virtio）。驱动名之间以空格隔开，保存并退出“/etc/initramfstools/modules”文件，执行updateinitramfs u命令，重新生成initrd。 操作方法可参见“Ubuntu/Debian系列操作系统相关操作”。 SUSE和openSUSE系列系统，根据操作系统版本不同，修改不同的配置文件。 − 当操作系统版本低于SUSE 12 SP1或低于openSUSE 13时，请修改“/etc/sysconfig/kernel”文件，在INITRDMODULES""添加xenpv以及virtio的驱动（xenpv驱动：xenvnif、xenvbd、xenplatformpci；virtio驱动：virtioblk、virtioscsi 、virtionet、virtiopci、virtioring、virtio）。驱动名之间以空格隔开，执行mkinitrd命令，重新生成initrd。 − 当操作系统版本为SUSE 12 SP1时，修改“/etc/dracut.conf”文件，在adddrivers项中添加xenpv以及virtio的驱动（xenpv驱动：xenvnif、xenvbd、xenplatformpci；virtio驱动：virtioblk、virtioscsi、virtionet、virtiopci、virtioring、virtio）。驱动名之间以空格隔开，执行命令dracut f，重新生成initrd。 − 当操作系统版本高于SUSE 12 SP1或高于openSUSE 13版本时，修改“/etc/dracut.conf”文件，在adddrivers项中添加xenpv和virtio的驱动（xenpv驱动：xenblkfront、xennetfront；virtio驱动：virtioblk、virtioscsi 、virtionet、virtiopci、virtioring、virtio）。驱动名之间以空格隔开，保存并退出“/etc/dracut.conf”文件，执行dracut f命令，重新生成initrd。 操作方法可参见下文“SUSE/openSUSE系列操作系统相关操作”。 说明： SUSE系列操作系统首先应确认OS是否已经安装了xenkmp包（xenpv的驱动包），执行以下命令： rpm qa grep xenkmp 回显类似如下： xenkmpdefault4.2.2043.0.760.110.7.5 如果没有安装xenkmp的包，请到ISO装机文件中获取并安装。 如果误将builtin形式的驱动添加到initrd或initramfs文件中，不会影响云主机正常使用。

项目 描述 HBlock ID HBlock的ID。 HBlock name HBlock的名字。 HBlock serial ID HBlock的序列号。 User name HBlock的管理员用户名。 Base Pool 基础存储池（仅集群版）。 Fault domain of base pool 基础存储池的故障域类型（仅集群版）： path：数据目录级别。 server：服务器级别。 rack：机架级别。 room：机房级别。 Setup date HBlock初始化的时间。 License ID 最后一次成功导入的软件许可证ID（商业版）。 License type 软件许可证订购类型： Subscription：订阅模式。 Perpetual：永久许可模式。 License status 软件许可证状态： Effective：软件许可证已生效。 Expired：软件许可证已过期。 Invalid：软件许可证无效。 License maintenance expire time 对于永久许可模式软件许可证，软件许可证维保过期时间。 License expire time 对于订阅模式软件许可证，软件许可证过期时间。

挂载的操作步骤 1. 发现存储卷对应Target所在的服务器IP和Port。如果是集群版的卷，需要输入主备两个Target所在服务器的地址。 iscsiadm m discovery t st p SERVERIP 若您的 iSCSI Target没有开启CHAP认证，请直接执行“登录Target”。集群版的卷需要登录两个Target。 2. 开启CHAP认证 iscsiadm m node T iSCSITARGETIQN o update name node.session.auth.authmethod valueCHAP 3. 输入CHAP用户名 iscsiadm m node T iSCSITARGETIQN o update name node.session.auth.username valueUSER 4. 输入CHAP密码 iscsiadm m node T iSCSITARGETIQN o update name node.session.auth.password valuePASSWORD 5. 登录 Target iscsiadm m node T iSCSITARGETIQN p SERVERIP l 6. 显示相关信息 单机版 iscsiadm m session 显示会话情况，查看当前iSCSI连接 lsblk 查看iSCSI磁盘 集群版 lsscsi 查看SCSI设备 multipath ll 查看MPIO设备 7. 格式化 iSCSI 磁盘 注意 如果卷容量小于等于2TB时，可以使用MBR和GPT中的任意一种进行分区；如果卷容量大于2TB，只能使用GPT分区。 mkfs t ext4 /dev/mapper/mpatha1 格式化成ext4 mkdir DIRECTORYNAMEORPATH 创建目录 mount /dev/mapper/mpatha1 DIRECTORYNAMEORPATH 将mpatha1挂载到目录 8. 如果用户重启客户端，或者需要断开连接、删除磁盘等，需要先执行以下命令，请严格按照规范操作，以防引起文件损坏。 umount DIRECTORYNAMEORPATH iscsiadm m node T iSCSITARGETIQN p SERVERIP u

SSL认证方式及客户端参数介绍 SSL认证有两种认证方式，如下表所示。从安全性考虑，建议使用双向认证方式。 认证方式 认证方式 含义 配置客户端环境变量 维护建议 双向认证（推荐） 客户端验证服务器证书的有效性，同时服务器端也要验证客户端证书的有效性，只有认证成功，连接才能建立。 设置如下环境变量： PGSSLCERT PGSSLKEY PGSSLROOTCERT PGSSLMODE 该方式应用于安全性要求较高的场景。使用此方式时，建议设置客户端的PGSSLMODE变量为verifyca。确保了网络数据的安全性。 单向认证 客户端只验证服务器证书的有效性，而服务器端不验证客户端证书的有效性。服务器加载证书信息并发送给客户端，客户端使用根证书来验证服务器端证书的有效性。 设置如下环境变量： PGSSLROOTCERT PGSSLMODE 为防止基于TCP链接的欺骗，建议使用SSL证书认证功能。除配置客户端根证书外，建议客户端使用PGSSLMODE变量为verifyca方式连接。 在客户端配置SSL认证相关的环境变量，详细信息请参见下表。 客户端环境变量的路径以“ /home/dbadmin /dwsssl/”为例，在实际操作中请使用实际路径进行替换。 客户端参数 环境变量 描述 取值范围 PGSSLCERT 指定客户端证书文件，包含客户端的公钥。客户端证书用以表明客户端身份的合法性，公钥将发送给对端用来对数据进行加密。 必须包含文件的绝对路径，如： export PGSSLCERT'/home/dbadmin/dwsssl/sslcert/client.crt ' 默认值 ：空 PGSSLKEY 指定客户端私钥文件，用以数字签名和对公钥加密的数据进行解密。 必须包含文件的绝对路径，如： export PGSSLKEY'/home/dbadmin/dwsssl/sslcert/client.key ' 默认值 ：空 PGSSLMODE 设置是否和服务器进行SSL连接协商，以及指定SSL连接的优先级。 取值及含义： disable：只尝试非SSL连接。 allow：首先尝试非SSL连接，如果连接失败，再尝试SSL连接。 prefer：首先尝试SSL连接，如果连接失败，将尝试非SSL连接。 require：只尝试SSL连接。如果存在CA文件，则按设置成verifyca的方式验证。 verifyca：只尝试SSL连接，并且验证服务器是否具有由可信任的证书机构签发的证书。 verifyfull：DWS不支持此模式。 默认值：prefer 说明 若集群外访问客户端时，部分节点出现报错：ssl SYSCALL error。则可执行export PGSSLMODE"allow"或export PGSSLMODE"prefer"。 PGSSLROOTCERT 指定为客户端颁发证书的根证书文件，根证书用于验证服务器证书的有效性。 必须包含文件的绝对路径，如： export PGSSLROOTCERT'/home/dbadmin/dwsssl/sslcert/certca.pem ' 默认值：空 PGSSLCRL 指定证书吊销列表文件，用于验证服务器证书是否在废弃证书列表中，如果在，则服务器证书将会被视为无效证书。 必须包含文件的绝对路径，如： export PGSSLCRL'/home/dbadmin/dwsssl/sslcert/sslcrlfile.crl ' 默认值：空 客户端和服务器端SSL连接参数组合情况 客户端最终是否使用SSL加密连接方式、是否验证服务器证书，取决于客户端参数sslmode与服务器端（即DWS 集群侧）参数ssl、requiressl。参数说明如下： ssl （服务器） ssl参数表示是否开启SSL功能。on表示开启，off表示关闭。 −默认为on，不支持在DWS 管理控制台上设置。 requiressl （服务器） requiressl参数是设置服务器端是否强制要求SSL连接，该参数只有当ssl为on时才有效。on表示服务器端强制要求SSL连接。off表示服务器端对是否通过SSL连接不作强制要求。 −默认为off。requiressl参数可通过DWS 管理控制台上集群的“安全设置”页面中的“服务器端是否强制使用SSL连接”进行设置。 sslmode （客户端） 可在SQL客户端工具中进行设置。 −在gsql命令行客户端中，为“PGSSLMODE”参数。 −在Data Studio客户端中，为“SSL模式”参数。 客户端参数sslmode与服务器端参数ssl、requiressl配置组合结果如下： 客户端与服务器端SSL参数组合结果 ssl（服务器） sslmode（客户端） requiressl（服务器） 结果 on disable on 由于服务器端要求使用SSL，但客户端针对该连接禁用了SSL，因此无法建立连接。 on disable off 连接未加密。 on allow on 连接经过加密。 on allow off 连接未加密。 on prefer on 连接经过加密。 on prefer off 连接经过加密。 on require on 连接经过加密。 on require off 连接经过加密。 on verifyca on 连接经过加密，且验证了服务器证书。 on verifyca off 连接经过加密，且验证了服务器证书。 off disable on 连接未加密。 off disable off 连接未加密。 off allow on 连接未加密。 off allow off 连接未加密。 off prefer on 连接未加密。 off prefer off 连接未加密。 off require on 由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。 off require off 由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。 off verifyca on 由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。 off verifyca off 由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。

名称 类型 描述 targetName String iSCSI target名称。 maxSessions Integer iSCSI target下每个IQN允许建立的最大会话数。 iSCSITargets Array of iSCSITarget iSCSI target属性集合，详见“ 表1 响应参数iSCSITarget说明 ”。 luns Array of lun 关联卷的属性，详见“ 表7 响应参数lun说明 ”。 chap.name String CHAP认证名称。 chap.status String CHAP认证状态： Enabled：启用CHAP认证。 Disabled：禁用CHAP认证。 createTime Long 创建iSCSI target的时间，unix时间戳（UTC），精确到毫秒。 serverIds Array of string iSCSI target对应的服务器ID（仅集群版支持）。 num Integer target所在的服务器数量（仅集群版支持）。 reclaimPolicy String iSCSI target的回收策略： Delete：当iSCSI target关联的卷全部删除后，iSCSI target自动删除。 Retain：当iSCSI target关联的卷全部删除后，iSCSI target仍然保留。 status String iSCSI target的状态： Deleting：iSCSI target正在删除。 仅iSCSI target处于删除中会返回此项。

专属资源服务 可按用户需求提供专属云（计算独享型）、专属云（存储独享型）等资源服务 专属基础服务 可按用户需求提供虚拟私有云、弹性IP、弹性伸缩服务等基础服务 一站式部署和运维 一键创建Kubernetes集群，自动化部署、运维容器应用，整个生命周期都在专属云容器服务内一站式完成 丰富的应用调度策略 支持多种亲和反亲和调度策略，用户可方便地根据应用特点在高性能和高可靠中找到平衡点 灵活的弹性伸缩策略 支持按性能、按时间、按周期的弹性伸缩策略，用户可自由组合策略以应对多变的突发浪涌 兼容原生Kubernetes和Docker 定期同步最新kubernetes版本，兼容原生API和kubectl命令行 与天翼云基础资源深度整合 支持在专属云容器中使用云主机、VPC、弹性IP、弹性负载均衡、云硬盘等资源