产品概述 天翼云云助手（CTCA， Cloud Assistant）是专门为云服务器打造的原生自动化运维工具，免密码、免登录、无需使用跳板机，即可批量执行命令（Shell、PowerShell、Bat、Python等），完成运行自动化运维脚本、轮询进程、安装卸载软件、启动或停止服务、安装补丁或安装安全更新等任务。 产品优势 批量执行命令 通过云助手，您能够以安全可靠的方式远程管理大规模的实例，无需登录服务器、使用堡垒主机或 SSH。 提供集成工具 云助手可作为运维部署工具，免费支持 API，可供集成。 查询历史记录 通过云助手执行的操作系统脚本命令，您可以查询到其历史记录信息。 实现自动化 您可以预先创建常用的操作命令，并通过云助手高效完成您的日常任务。例如：注册表编辑、用户管理、软件和补丁安装等。 应用场景 当您涉及以下业务场景时，可通过云助手快速实现需求： 上传并运行自动化运维脚本。 执行常见操作任务。 运行已保存的脚本。 批量安装软件或应用。 安装补丁或安全更新。 上传文件或证书到指定目录。 使用限制 云助手具备以下限制项： 2024年6月30日之后使用公共镜像创建的实例，默认已预装云助手客户端。若您的实例于2024年6月30日前购买，请参考 安装云助手客户端 进行安装。 单次执行命令实例数量上限为100。 云助手仅保存最近三个月的命令执行历史记录，且记录数量最大保存10万条。 创建的Bat、PowerShell、Python或者Shell脚本和自定义参数的使用场景与文件大小说明如下： 1. 上传文件：文件大小不能超过24 KB。 2. 创建命令：命令大小不能超过24 KB。

使用指引 1.Windows桌面，开机会自启动“OpenClaw后台启动服务”，等待服务启动，直至以下画面出现； 点击“OpenClaw进入应用”，会自动打开浏览器，即可开始体验； 2.妙逸/Ubuntu桌面，点击桌面“OpenClaw” 应用图标，即可开始聊天。 说明 为方便用户零门槛快速体验，天翼云默认提供少量 Tokens试用，数量有限；如需获得更优使用体验与效果，请自行购买原生匹配的大模型和Tokens，参照“进阶用户使用”步骤配置。 典型场景演示 场景一、在桌面创建openclaw.txt文件 在 OpenClaw交互页面输入框中，输入指令：请在桌面创建OpenClaw.txt文件，同时写入 “提醒我 10 点开会” 的内容，帮助用户快速记录待办事项。 场景二：统计桌面有多少个txt文件 在 OpenClaw交互页面输入框中，输入指令：统计桌面有多少个txt文件。 说明 为方便用户零门槛快速体验，天翼云默认提供少量 Tokens试用，数量有限；如需获得更优使用体验与效果，请自行购买原生匹配的大模型和Tokens，参照“[进阶用户使用](

本章节介绍故障演练服务的产品定义。 产品定义 故障演练服务是云原生混沌工程平台，深度融合云原生应用产品体系，提供标准化引导、正确性约束和自动化运行的实验管理，支持大规模、低成本、影响可控、形式多样的应用故障演练，帮助企业增强应用系统的容错能力和恢复能力，提升客户应用云上运行的稳定性。 为什么需要故障演练 应用高可用建设往往是基于先验设计的具体实施，描绘一幅全面但静态的蓝图。而问题在于，随着部署环境、流量模式和调用依赖的日益复杂，系统运行时的动态变化远超预设，没人能预判所有潜在问题。每一次故障都是独特的，但故障的成因是可枚举的，从基础设施到上层服务，功能趋同形成内聚的节点，这有限的故障归因，是高可用建设的结果能够预期的基础。 每一种容灾手段就像针对某类疾病的靶向药，从实验室开发到药品上市，要经过一期又一期的临床实验，才能勉力对抗人类基因的无限性，确保药品在广泛的病患群体中取得符合预期的疗效。异常是不可避免的，高可用建设不是消灭异常，而是消化异常。故障演练就是应用高可用的临床实验，在生产的可控范围内进行可预期的异常暴露和处理，随着不断迭代改进，演练形成的风险处置预案就像给系统注入的疫苗，随时应对真实的生产故障。

本章节介绍故障演练服务的产品定义。 产品定义 故障演练服务是云原生混沌工程平台，深度融合云原生应用产品体系，提供标准化引导、正确性约束和自动化运行的实验管理，支持大规模、低成本、影响可控、形式多样的应用故障演练，帮助企业增强应用系统的容错能力和恢复能力，提升客户应用云上运行的稳定性。 为什么需要故障演练 应用高可用建设往往是基于先验设计的具体实施，描绘一幅全面但静态的蓝图。而问题在于，随着部署环境、流量模式和调用依赖的日益复杂，系统运行时的动态变化远超预设，没人能预判所有潜在问题。每一次故障都是独特的，但故障的成因是可枚举的，从基础设施到上层服务，功能趋同形成内聚的节点，这有限的故障归因，是高可用建设的结果能够预期的基础。 每一种容灾手段就像针对某类疾病的靶向药，从实验室开发到药品上市，要经过一期又一期的临床实验，才能勉力对抗人类基因的无限性，确保药品在广泛的病患群体中取得符合预期的疗效。异常是不可避免的，高可用建设不是消灭异常，而是消化异常。故障演练就是应用高可用的临床实验，在生产的可控范围内进行可预期的异常暴露和处理，随着不断迭代改进，演练形成的风险处置预案就像给系统注入的疫苗，随时应对真实的生产故障。

规格 vCPU（个） 内存（GB） 独享版 2 16 独享版 4 32 独享版 8 64 独享版 16 128 独享版 32 256 独享版 64 512

实例类型 实例规格 数量 包月价格（元/月） 单机版 2C4G 1 278 单机版 4C8G 1 541 单机版 8C16G 1 1068 单机版 16C32G 1 1939 集群版 4C8G 3 3158 集群版 4C8G 5 4421 集群版 4C8G 7 5684 集群版 8C16G 3 6231 集群版 8C16G 5 8723 集群版 8C16G 7 11215 集群版 16C32G 3 12926 集群版 16C32G 5 18096 集群版 16C32G 7 23267

本文介绍科研助手的相关术语解释。 资源池 资源池是科研助手服务所需要使用的计算资源的集合，科研助手的资源池为用户提供了多个可用区和多种实例规格，用户可灵活切换使用。 实例 每个任务可以有一个或多个执行实例（Instance）。同一任务的各个实例并行处理各自的输入数据。实例是科研助手调度与执行的最小单元，这些实例会动态的运行在系统分配的节点上。 开发环境 开发环境是云原生的资源使用和开发工具链的集成，为不同类型开发、探索、教学用户，提供更好云化开发体验。 集群 集群是容器运行所需云资源的集合，包含了若干台服务器节点、虚拟私有云等云资源。 镜像 镜像是一个模板，用于打包应用程序及其依赖环境的标准格式。 存储源 科研助手平台支持将用户的文件存储/对象存储作为存储源接入，科研助手平台将存储的共享目录或者存储桶挂载到容器中。 数据集 科研助手通过数据集将文件系统中存在的某个目录或者对象存储中的bucket与容器内部的文件系统上的某一目录建立绑定关系。这就意味着，当我们在容器中的这个目录下写入数据时，容器会将其内容直接写入到存储源中。

任务名称 说明 创建实例 创建社区版集群实例、副本集实例。 扩容存储 扩容社区版集群实例shard节点的存储容量、副本集实例的存储容量。 变更规格 变更社区版集群实例的规格、副本集实例的规格。 添加节点 添加社区版集群实例的节点。 重启操作 重启集群实例、集群节点组、集群节点、副本集实例。 恢复到新实例 社区版集群实例、副本集实例恢复到新实例。 恢复到当前实例 社区版集群实例、副本集实例恢复到新实例。 恢复到指定时间点 副本集实例恢复到指定时间点。 库表级时间点恢复 副本集实例库表级数据恢复到指定时间点。 主备切换 副本集实例主备切换。 绑定和解绑弹性公网IP 社区版集群实例、副本集实例绑定和解绑弹性公网IP。 切换SSL 社区版集群实例、副本集实例切换SSL。 修改数据库端口 社区版集群实例、副本集实例修改数据库端口。 修改安全组 社区版集群实例、副本集实例修改安全组。 修改内网地址 社区版集群实例、副本集实例修改内网地址。 迁移可用区 社区版集群实例、副本集实例迁移可用区。 显示shard/config IP 社区版集群实例开启shard/config地址。 修改oplog大小 社区版集群实例、副本集实例修改oplog大小。 物理备份 社区版集群实例、副本集实例自动和手动备份。 升级数据库补丁 社区版集群和副本集实例进行补丁升级。

服务有效期内，支持退订，按已使用天数进行扣费，未使用天数的费用退还。 退订步骤 登录云平台，进入控制中心“服务器安全卫士”界面，点击需要退订订单对应的“退订”按钮，提交退订订单即可。 注意 已退订的订单，不能再登录控制台。

本章介绍主机迁移服务的相关申明。 源端服务器数据收集声明 源端服务器上安装和配置完迁移Agent后，迁移Agent会把源端服务器信息发送给主机迁移服务校验。这些数据只用于迁移可行性判断，不做其他用途。若您使用主机迁移服务，表示您同意主机迁移服务对这些信息的收集。 License失效声明 源端服务器的系统、应用、文件等数据迁移到目的端服务器后，服务器的SID、网卡MAC地址等信息发生改变，导致OS、应用等License失效。此类问题，主机迁移服务概不负责。对于Windows License可以使用天翼云License服务器获取新License，应用License用户自行解决。 迁移过程中禁止操作说明 迁移过程中禁止对目的端服务器的系统、磁盘进行操作，包括但不限于切换操作系统、重装系统等。在迁移过程中对目的端服务器进行操作所产生的费用以及数据损坏等问题，主机迁移服务概不负责。 目的端服务器磁盘格式化说明 迁移过程中，目的端服务器的磁盘会被格式化并重新进行分区，导致目的端服务器上所有数据丢失。请迁移前做好数据备份以及确认目的端服务器磁盘可被格式化。否则造成数据丢失，主机迁移服务概不负责。 源端磁盘数据安全性声明 迁移过程中，主机迁移服务无法感知磁盘内容，需要您自行保障源端磁盘数据的安全性。如果因为源端磁盘数据中存在木马或病毒等软件，导致迁移后目的端VPC内的主机受到影响，主机迁移服务概不负责。

WAF转发和Nginx转发有什么区别？ WAF转发和Nginx转发的主要区别为Nginx是直接转发访问请求到源站服务器，而WAF会先检测并过滤恶意流量，再将过滤后的访问请求转发到源站服务器，详细说明如下： WAF转发：网站接入WAF后，所有访问请求将先经过WAF，WAF通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击流量后，将正常流量返回给源站，从而确保Web应用安全、稳定、可用。 Nginx转发：即反向代理（Reverse Proxy）方式转发。反向代理服务器接受客户端访问请求后，直接将访问请求转发给Web服务器，并将从Web服务器上获取的结果返回给客户端。反向代理服务器安装在网站机房，代理Web服务器接收访问请求，并对访问请求进行转发。 反向代理可以防止外网对内网服务器的恶性攻击，缓存以减少内网服务器压力，还可以实现访问安全控制和负载均衡。 Web应用防火墙可以配置会话Cookie吗？ WAF不支持配置会话Cookie。 WAF可以通过配置CC攻击防护规则，限制单个Cookie字段特定路径（URL）的访问频率，精准识别CC攻击以及有效缓解CC攻击。例如，您可以通过配置CC攻击规则，使Cookie标识为name的用户在60秒内访问域名的“/admin”页面超过10次时，封禁该用户访问域名600秒。 什么是Cookie Cookie是网站为了辨别用户身份，进行Session跟踪而储存在用户本地终端上的数据（通常经过加密），Cookie由Web服务器发送到浏览器，可以用来记录用户个人信息。 Cookie由一个名称（Name）、一个值（Value）和其它几个用于控制Cookie有效期、安全性、使用范围的可选属性组成。Cookie分为会话Cookie和持久性Cookie两种类型，详细说明如下： 会话Cookie 临时的Cookie，不包含到期日期，存储在内存中。当浏览器关闭时，Cookie将被删除。 持久性Cookie 包含到期日期，存储在磁盘中，当到达指定的到期日期时，Cookie将从磁盘中被删除。

操作途径 使用方式 控制台 可参考： SDK 媒体存储支持多种语言SDK，请从 原生接口 可参考：

请求体body 无 响应示例 http HTTP/1.1 200 OK Date: Mon, 2 Feb 2023 08:12:10 GMT ContentLength: 0 Connection: keepalive RgwxObjectSize: 26441180 xamzrequestid: tx000000000000000005256006322db746a79bbneimengtczone1 xamzbucketowner: testBucket xamzoptype: PUTOBJECTUNFREEZE xamzuseraccount: test xamzstorageclass: GLACIER 状态码 状态码 描述 200 表示业务成功 409 OBJECTISNOTGLACIER，对象不是归档类型 错误码 请参考 请求错误码（原生接口）。

本章节介绍主子账号体系内容 概述 云原生网关目前已接入主子账号体系，通过主账号对子账号并对其分配访问权限，用户可以实现对企业中云服务和资源的访问及操作权限，避免账号滥用。主子帐号支持数据权限管理与功能权限管理，支持系统策略和自定义策略的授权方式。本章介绍如何使用主子账号体系进行权限管理。 术语解释 主账号 ：用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体为了确保账号安全，建议创建子用户来进行日常管理工作。 子账号 ：主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 企业项目： 将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 说明 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 策略： 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 系统策略： 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 云原生网关中提供了两种系统策略：cgw viewer只读权限，只能对实例资源进行读操作；cgw admin管理权限，可以对实例资源进行管理维护，包括读与写操作，等同于主账号访问权限。 自定义策略： 创建自定义策略可以支持更细粒度的授权，对于云原生网关，可以自定义功能访问权限以及资源访问权限。 数据权限： 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 功能权限： 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 功能权限授权： 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。

本文介绍Web应用防火墙（边缘云版）是否可以和CDN一起接入。 Web应用防火墙（边缘云版）可以和CDN一起接入。 Web应用防火墙（边缘云版）和CDN一起接入，是指CDN融合了Web应用防火墙（边缘云版）能力，在CDN节点上提供Web应用防火墙（边缘云版）防护功能。Web应用防火墙（边缘云版）防护具体功能，请参见Web应用防火墙（边缘云版）功能介绍。 前提条件 已开通天翼云CDN加速计费，且已经将域名添加到CDN加速控制台。 已完成Web应用防火墙（边缘云版）产品开通。 CDN控制台域名的加速范围选择为中国内地。 操作步骤 1. 登录Web应用防火墙（边缘云版） 控制台。 2. 选择域名管理—域名列表，点击【添加域名】。 3. 填写网站域名后，点击【确认】进行产品关联，同步网站通用配置，并单击【下一步】。 4. 根据页面配置指引，完成安全防护配置。

相比自购服务器搭建数据库服务，关系数据库MySQL版在服务可用性、数据可靠性、系统安全性、数据库备份等方面具有明显优势。本文从多个维度，为您详细介绍关系数据库MySQL版的优势。 表1 优势对比 对比项 关系数据库MySQL版 自购服务器搭建数据库服务 服务可用性 提供高可用架构，支持主备架构，保证服务可用性和容错性。弹性云主机可用性请参见产品优势。 自建数据库的可用性受到自身技术水平和硬件设备的限制，难以保证高可用性和容错性。 数据可靠性 提供数据备份和恢复，支持多种备份存储和备份策略，保障数据的可靠性和完整性。存储可靠性请参见产品优势 。 自建数据库需自行实现备份和恢复，备份存储和备份策略不够完善，存在数据丢失的风险。 系统安全性 提供多种安全措施，包括数据加密、访问控制、网络隔离等，保障数据的安全性。 自建数据库受开发人员技能、安全配置和风险管理等限制，安全性更难保障。 数据库备份 提供灵活的备份和恢复策略，支持自动备份、手动备份和增量备份，为用户提供高效的数据备份和恢复。 备份和恢复策略繁琐复杂，备份失败率高，难以保证数据备份和恢复的效率和完整性。 软硬件投入 用户无需购买数据库软硬件设备和托管设备，通过付费模式即可获得完善的数据库服务。 需要花费大量时间和成本购买软硬件设备和托管设备，并且需要承担维护设备、维护数据库等额外成本。 系统托管 天翼云提供完善的托管服务，包括应用部署、监控检测、资源调度和故障处理等，降低用户的运维成本。 需要用户自行承担系统托管和维护等工作，投入较大的人力资源和时间成本。 维护成本 天翼云提供高性能、高可用性、高安全性的MySQL云服务，用户只需关注业务需求，降低维护成本。 维护成本较高，需要购买和维护硬件设备、数据库软件，以及承担数据库的维护和升级等额外成本。 部署扩容 提供弹性扩容和收缩服务，根据业务需求自动分配和回收资源，避免资源浪费和运营成本增加。 需要用户自行实现部署和扩容，扩容过程繁琐，并且需要承担额外的硬件资源和运维成本。 资源利用率 提供可弹性调度的资源池，提高数据库资源的利用率并且降低成本。 资源利用率不尽如人意，容易造成资源浪费，增加成本。

本小节介绍态势感知计费类常见问题。 态势感知如何计费？ 计费模式 ：态势感知采用包年/包月计费模式，包年/包月是一种预付费方式。 计费周期：最少订购1个月，最多可订购3年。 计费项：版本（基础版/高级版）、待监控IP数量、购买时长。 计费示例：基础版折后单价为198元/月/IP ，购买基础版1年、3个待监控IP，则总价为198 12 3 7128元。 说明 这里的态势感知计费指的是态势感知软件计费，所需弹性云主机资源需另行购买。 态势感知基础版和高级版有什么区别？ 基础版包含资产发现、资产管理、网络威胁检测、脆弱性检测、可视化呈现功能。 高级版包含国家情报数据、国家安全预警、攻击源警告、恶意网站告警、安全态势大屏。 主要区别：高级版增加国家情报和预警能力，同时安全态势大屏只有高级版才有，基础版的可视化呈现主要是指控制台运维页面，下面用两个截图来做对比。 基础版可视化呈现页面截图： 高级版安全态势大屏截图：

历史定价 规格 CPU（核） 内存（GB） 标准资费（元/小时） 标准资费（元/月） 基础版8C16G 8 16 3.790000 1820 基础版12C24G 12 24 6.240000 2992 基础版16C32G 16 32 7.500000 3600 中级版24C48G 24 48 12.040000 5775 中级版32C64G 32 64 15.000000 7200 高级版48C96G 48 96 23.830000 11336 高级版64C128G 64 128 31.340000 15041

操作途径 使用方式 控制台 可参考： SDK 媒体存储支持多种语言SDK，请从 原生接口 可参考：

功能模块 功能特性 安装部署 支持单机版、集群版部署具备安装、初始化、密码修改、升级、卸载功能。 基础服务 卷：创建、查询、删除、启用、禁用、扩容、修改。 基础服务 iSCSI Target：创建、查询、删除、修改。 基础服务 服务器：添加、查询、移除、修改、启动、停止、重启、还原。 基础服务 数据目录：添加、移除。 系统设置 邮件通知：启用、禁用、查询、删除。 系统设置 远程协助：启用、禁用、查询、删除。 系统设置 备份配置：启用、禁用、查询、删除、执行备份。 系统设置 系统信息：查询部署信息、状态信息、版本信息。 监控 CPU使用率、内存使用率、各数据目录的磁盘使用率和使用量、数据传输情况（当天写入量，当前读取量，当天写请求成功率，当天读请求成功率，累计写入量，累计读取量）。

产品企业版、护航版、应急响应、安全评估、全流量分析服务到期策略说明。 基础版/企业版 根据订购时长提供服务，服务到期后，立即停止基础版/企业版服务，对使用过程中的安全数据进行清除。 护航版 护航版服务订购的有效期为1年，按照用户购买天数进行交付，交付完成或未交付但购买时长超过一年，则服务到期，到期仍未使用不退款。 应急响应 应急响应服务订购的有效期为1年，交付完或未交付但购买时长超过一年，则应急响应服务到期，到期仍未使用不退款。 安全评估 安全评估服务订购的有效期为1年，交付完或未交付但购买时长超过一年，则安全评估服务到期，到期仍未使用不退款。 全流量分析服务 根据订购时长提供服务，服务到期后，立即停止全流量分析服务。

本文介绍websocket加速的应用场景、配置说明及费用说明等。 背景说明 HTTP 协议有一个缺陷：通信只能由客户端发起。这种单向请求的特点，注定了如果服务器有连续的状态变化，客户端要获知就只能使用"轮询"的方案。 轮询是在特定的时间间隔（如每1秒），由浏览器对服务器发出HTTP请求，然后由服务器返回最新的数据给客户端的浏览器。这种传统的模式带来很明显的缺点，即浏览器需要不断的向服务器发出请求，显而易见，轮询不仅效率特别低，且特别浪费带宽资源，因为HTTP请求可能包含较长的头部，其中真正有效的数据可能只是很小的一部分，显然这样会浪费很多带宽资源。 因此，工程师们一直在思考，有没有更好的方法。websocket就是这样发明的。websocket协议诞生于2008年，2011年成为国际标准，目前所有浏览器均已支持。它最大的特点全双工通信，浏览器和服务器只需要做一个握手的动作，然后浏览器和服务器之间就形成了一条快速通道，两者之间就可以直接互相传送数据了，如下右图所示。可见，websocket协议，能更好的节省服务器资源和带宽，并且能够更实时地进行通讯。 websocket的优势： 较少的控制开销：在连接创建后，服务器和客户端之间交换数据时，用于协议控制的数据包头部相对较小。 更强的实时性：由于协议是全双工的，所以服务器可以随时主动给客户端下发数据。相对于HTTP请求需要等待客户端发起请求服务端才能响应，延迟明显更少；即使是和Comet等类似的长轮询比较，其也能在短时间内更多次地传递数据。 保持连接状态：与HTTP不同的是，websocket需要先创建连接，这就使得其成为一种有状态的协议，之后通信时可以省略部分状态信息。而HTTP请求可能需要在每个请求都携带状态信息（如身份认证等）。 更好的二进制支持：websocket定义了二进制帧，相对HTTP，可以更轻松地处理二进制内容。 可以支持扩展：websocket定义了扩展，用户可以扩展协议、实现部分自定义的子协议。 更好的压缩效果：相对于HTTP压缩，websocket在适当的扩展支持下，可以沿用之前内容的上下文，在传递类似的数据时，可以显著地提高压缩率。 与 HTTP 协议有着良好的兼容性：默认端口也是80和443，并且握手阶段采用 HTTP 协议，因此握手时不容易屏蔽，能通过各种 HTTP 代理服务器。 没有同源限制：客户端可以与任意服务器通信。

通过在服务器端安装轻量级的Agent进行安全监测和防护,监测数据由天翼云专业安全团队以报告的形式定期发送给客户,并对入侵等高危情况进行实时邮件通知,从而客户可以及时全面的了解服务器的安全状态,将安全从传统的安全事件防护变成一项持续安全响应和处理过程。功能涵盖弱口令检测、软件漏洞检测、防暴力破解、web后门、shell检测等多个维度,实现服务器安全的持续纵深保护。

通过在服务器端安装轻量级的Agent进行安全监测和防护,监测数据由天翼云专业安全团队以报告的形式定期发送给客户,并对入侵等高危情况进行实时邮件通知,从而客户可以及时全面的了解服务器的安全状态,将安全从传统的安全事件防护变成一项持续安全响应和处理过程。功能涵盖弱口令检测、软件漏洞检测、防暴力破解、web后门、shell检测等多个维度,实现服务器安全的持续纵深保护。

本节主要介绍产品规格差异 微服务引擎服务数限制说明 微服务引擎专业版：专业版引擎Cloud Service Engine是ServiceStage提供的免费体验引擎。专业版引擎可以体验ServiceStage的所有产品能力，比如服务治理、配置管理等。引擎资源为所有租户共享，性能可能会受其他租户影响；专业版引擎不支持升级到专享版。 微服务引擎专享版：专享版引擎，是可支持大规模微服务应用管理的商用引擎。您可根据业务需要选择不同规格，不支持规格变更；专享版引擎资源独享，性能不受其他租户影响。 微服务引擎支持最大服务数说明如下。 表 微服务引擎最大服务限制说明 引擎类型 规格（微服务实例数） :: 微服务引擎专业版 20 微服务引擎专享版 100 微服务引擎专享版 200 微服务引擎专享版 500 微服务引擎专享版 2000

本章节介绍如何使用全链路流量控制将流量路由到目标应用 概述 您可以为部署在微服务云应用平台中的微服务应用配置全链路流量控制，将具有一定特征的流量路由到目标版本应用。 前提条件 部署新版本应用或升级应用。 背景信息 本文以电商架构中的下单场景为例介绍全链路流控功能。 客户下单后流量从入口应用（或者微服务网关）进来，调用商城应用，商城应用再调用订单应用，订单应用调用下游的支付应用。 商城应用和订单应用各有两个新版本（V1.1和V1.2）在运行，需要对这两个新版本进行灰度验证。此时在入口应用（或者微服务网关）上期望将满足特定流控规则的请求流量路由到新版本，其余流量全部路由到线上（基线）版本。 创建泳道组 在左侧导航栏，选择微服务治理 > 全链路流量控制，单击创建泳道组及泳道按钮。 环境：选择一个环境。 泳道组名称：自定义一个泳道组名称。 入口类型：选择云原生网关类型，需要先将云原生网关实例导入到环境中。 入口应用：选择一个入口应用。 泳道组涉及的所有应用：选择您的入口应用/网关所涉及的所有相关服务。

本章节主要介绍集群（未启用Kerberos认证）安全配置建议。 Hadoop社区版本提供两种认证方式Kerberos认证（安全模式）和Simple认证（普通模式），在创建集群时，MRS支持配置是否启用Kerberos认证。 在安全模式下MRS集群统一使用Kerberos认证协议进行安全认证。 而普通模式下MRS集群各组件使用原生开源的认证机制，一般为Simple认证方式。而Simple认证，在客户端连接服务端的过程中，默认以客户端执行用户（例如操作系统用户“root”等）自动完成认证，管理员或业务用户不显示感知认证。而且客户端在运行时，甚至可以通过注入UserGroupInformation来伪装成任意用户（包括superuser），集群资源管理接口和数据控制接口在服务端无认证和鉴权控制，很容易被黑客利用和攻击。 所以在普通模式下，必须通过严格限定网络访问权限来保障集群的安全。操作建议如下： 尽量将业务应用程序部署在同VPC和子网下的ECS中，避免通过外网访问MRS集群。 配置严格限制访问范围的安全组规则，禁止对MRS集群的入方向端口配置允许Any或0.0.0.0的访问规则。 如需从集群外访问集群内组件原生页面，请参考创建连接MRS集群的SSH隧道并配置浏览器进行配置。

本文向您介绍企业版VPN中组网与使用场景类常见问题。 是否可以通过VPN实现跨境访问网站？ 不可以。 VPN实现的是将云上的VPC子网和用户侧数据中心的IDC网络打通的场景，即站点与站点互通（site to site）。 是否可以将应用部署在云端，数据库放在本地IDC，然后通过VPN实现互联？ 可以。 VPN连通的是两个子网，即云上VPC网络与用户数据中心网络。 VPN成功建立后，两个子网间可以运行任何类型的业务流量，此时应用服务器访问数据库业务在逻辑上和访问同一局域网的其它主机是相同的，因此该方案可行的。 这种场景是IPsec VPN的典型场景，请用户放心使用。 同时VPN连通以后，并不限定业务的发起方是云上还是用户侧数据中心，即用户可以从云上向用户侧数据中心发起业务，也可以反向。 注意 用户在打通VPN以后，需要关注网络延迟和丢包情况，避免影响业务正常运行。 建议用户先运行ping，获取网络的丢包和时延情况。 连接云下的多台服务器需要购买几个连接？ VPN属于IPsec VPN，它是用于打通云上VPC和用户侧数据中心子网的VPN，所以购买VPN连接的个数与服务器的数量无关，而与这些服务器所在的数据中心数量有关。 一个VPN网关支持绑定两个EIP和用户侧网关进行通信： 如果用户侧数据中心只有一个公网出口网关，所有服务器（或用户主机）都通过该网关连接至Internet：这种情况需要配置一个VPN连接组，即VPN网关的两个EIP分别配置一条VPN连接和用户侧出口网关通信。 如果用户侧数据中心只有两个公网出口网关，所有服务器（或用户主机）通过两个网关连接至Internet：这种情况需要配置两个VPN连接组，即VPN网关的两个EIP分别配置一条VPN连接和两个用户侧出口网关通信。

请求头header http Authorization: authorization string xamzcopysource: /bucket1/object1 请求体body 无 响应示例 http HTTP/1.1 200 OK 20110411T20:34:56.000Z "9b2cf535f27731c974343645a3985328" 状态码 HTTP状态 错误码 描述 200 操作成功 400 EntityTooLarge 拷贝的片段太大 400 InvalidObjectName 对象的名字不合法 403 AccessDenied 用户没有权限执行操作 404 NoSuchBucket 请求参数中设置的桶不存在 错误码 请参考 请求错误码（原生接口）。

请求头header http Authorization: authorization string 请求体body 无 响应示例 xml HTTP/1.1 200 OK 20191211T23:32:47+00:00 Bucket1 20191110T23:32:13+00:00 Bucket2 User1Disp User1 状态码 状态码 错误码 描述 200 已成功列举存储桶列表 403 AccessDenied 用户没有权限执行操作 错误码 请参考 请求错误码（原生接口）。

本节主要介绍HBlock Cinder配置卷类型。 可以按照下列步骤进行卷类型配置。 1. 修改Cinder的配置文件/etc/cinder/cinder.conf，使用enabledbackends启用HBlock的卷，并且在配置文件中增加HBlock卷相关参数。 说明 一次可以在cinder.conf添加多个卷的类型。 单机版示例如下： plaintext [DEFAULT] enabledbackends lvmdriver1,stor1 [stor1] volumegroupstackvolumeslvmdriver2 volumedriverstordriver.driver.driverstor.StorDriver volumebackendname stor1 storprovider HBlock storapiuser storuser storapipassword storchapuser chapuser storchappassword storapiendpoint writepolicy WriteBack sectorsize 4096 maxsessions 2 storpath /mnt/stor flattenvolumefromsnapshotfalse maxclonedepth5 集群版示例如下： plaintext [DEFAULT] enabledbackends lvmdriver1,stor,stor1,stor2 [stor] volumegroupstackvolumeslvmdriver2 volumedriverstordriver.driver.driverstor.StorDriver volumebackendname stor storprovider HBlock storapiuser storuser storapipassword storchapuser chapuser storchappassword storapiendpoint storchapuser chapuser storchappassword storagemode Local localstorageclass EC 2+1 highavailability ActiveStandby writepolicy WriteBack sectorsize 512 ecfragmentsize 16 maxsessions 2 minreplica 2 flattenvolumefromsnapshotfalse maxclonedepth5 [stor1] volumegroupstackvolumeslvmdriver2 volumedriverstordriver.driver.driverstor.StorDriver volumebackendname stor1 storprovider HBlock storapiuser storuser storapipassword storchapuser chapuser storchappassword storapiendpoint storagemode Local localstorageclass singlecopy highavailability Disabled writepolicy WriteAround sectorsize 512 flattenvolumefromsnapshottrue maxclonedepth5 [stor2] volumegroupstackvolumeslvmdriver2 volumedriverstordriver.driver.driverstor.StorDriver volumebackendname stor2 storprovider HBlock storapiuser storuser storapipassword storchapuser chapuser storchappassword storapiendpoint storagemode Local localstorageclass 3copy highavailability ActiveStandby writepolicy WriteThrough sectorsize 4096 文件中的参数解释如下： 参数名称 参数说明 是否必须 enabledbackends 需要在系统生效的后端存储名称。 如果有多个需要生效的存储，名称之间用英文逗号隔开。 是 volumegroup 卷的组。 是 volumedriver HBlock驱动所在路径。 取值： 如果驱动作为独立Python包进行安装，取值为stordriver.driver.driverstor.StorDriver。 如果复制stordriver到Cinder驱动目录的方式安装驱动，取值为：cinder.volume.drivers.stordriver.driver.driverstor.StorDriver。 是 volumebackendname 卷对应的后端存储名称，存储节点的Volume Provider 命名。与enabledbackends定义的后端存储名字保持一致。 是 storprovider 产品名称。 取值：HBlock。 是 storapiuser HBlock的管理员用户名。 说明 HBlock初始化时，默认用户名为storuser。 是 storapipassword HBlock的管理员密码。 是 storagemode HBlock卷的模式。 取值： Local：本地模式，数据全部保留在本地。 Cache：缓存模式，本地保留部分热数据，全部数据异步存储到OOS中。 Storage：存储模式，本地保留全部数据，并异步存储到OOS中。 默认值为Local。 否 storchapuser CHAP验证用名称。 取值：字符串形式，长度范围是3~64，只能由字母、数字、句点( . )、短横线( )、下划线( )、冒号( : )组成，字母区分大小写，且仅支持以字母或数字开头。 否 storchappassword CHAP认证密码。 取值：字符串形式，长度范围是12~16，只能由字母、数字或下划线( )组成，字母区分大小写。 否 storapiendpoint 配置HBlock RESTful API地址和端口。 对于集群版HBlock，可以填写多对HBlock RESTful API地址和端口，以英文逗号隔开。 说明 安装HBlock时，默认API端口为1443。 是 storpath 指定HBlock存储卷数据的数据目录（仅单机版支持）。 说明 如果创建卷时不指定数据目录，使用服务器设置的默认数据目录。 否 servernumbers Target所在的服务器数量（仅集群版支持）。 整数形式，取值为[2, n]，n为集群内服务器的数量。默认值为2。 否 faultdomains 卷的服务端连接位置信息。根据存储池的故障域，创建Target所在服务器的列表（仅集群版支持），以便创建LUN时，LUN关联的Target优先从该服务器列表中选择所在服务器。例如存储池为rack级别，其拓扑图涵盖rack1、rack2、rack3、rack4中的节点，且faultDomains指定rack1、rack2，那么创建LUN时，LUN关联的Target优先从rack1、rack2所包含的此存储池的服务器列表里进行选择。 注意 存储池的故障域为path级别时，不能设置该参数。 如果LUN指定了高速缓存池和最终存储池，则从高速缓存池池中选择节点列表。如果LUN只指定了最终存储池，则从最终存储池中选择节点列表。 取值：以节点的形式添加，节点的级别可以到room、rack、server。可以指定多个节点，但是节点的个数要小于等于serverNumbers。支持一个节点添加多次，但是每次只能选一个server，并且选择的server不能与前面重复。如果一个节点出现的次数过多导致节点内的全部server都被选择，则系统会忽略此节点，从后面的节点中继续选择。 否 pool 指定存储池（仅集群版支持），表示最终存储池，卷数据最终落在该存储池内。默认使用集群的基础存储池。 注意 已用该卷类型创建卷，禁止修改pool，否则将影响已创建的卷。如果需要修改pool，需要创建新的卷类型。 否 cachepool 指定缓存存储池（仅集群版支持）。如果指定了缓存存储池，卷数据首先写入缓存存储池，然后再存入存储池。 注意 存储池与缓存存储池不能是同一个存储池。 否 highavailability 选择卷的高可用类型（仅集群版支持）： ActiveStandby：启用主备，该卷关联对应Target下的所有IQN。 Disabled：不启用主备，该卷关联对应Target下的1个IQN。 默认值为ActiveStandby。 否 localstorageclass 卷冗余模式（仅集群版支持）。 取值： singlecopy：单副本。 2copy：两副本。 3copy：三副本。 EC N+M：纠删码模式。其中N、M为正整数，N>M，且N+M≤128。表示将数据分割成N个片段，并生成M个校验数据。 默认值为EC 2+1。 否 minreplica 最小副本数（仅集群版支持）。 对于副本模式的卷，假设卷副本数为X，最小副本数为Y（Y必须≤X），该卷每次写入时，至少Y份数据写入成功，才视为本次写入成功。对于EC N+M模式的卷，假设该卷最小副本数设置为Y（必须满足N≤Y≤N+M），必须满足总和至少为Y的数据块和校验块写入成功，才视为本次写入成功。 取值：整数。对于副本卷，取值范围是[1, N]，N为副本模式卷的副本数，默认值为1。对于EC卷，取值范围是[N, N+M]，默认值为N。 否 redundancyoverlap 卷的折叠副本数（仅集群版支持）。在数据冗余模式下，同一份数据的不同副本/分片默认分布在不同的故障域，当故障域损坏时，允许根据卷的冗余折叠原则，将多份数据副本放在同一个故障域中，但是分布在不同的path上。 注意 如果存储池故障域级别为path，此参数不生效。 取值：对副本模式，取值范围是[1，副本数]，默认值为1；对于EC模式，取值范围是[1，M+N]，默认值为1。 否 ecfragmentsize 纠删码模式分片大小（仅集群版支持）。卷冗余模式为EC模式时，此设置才生效，否则忽略。 取值：1、2、4、8、16、32、64、128、256、512、1024、2048、4096，单位是KiB。默认值为16。 否 sectorsize 设置扇区大小。 取值：512、4096，单位是bytes。默认值为4096。 否 writepolicy 卷的写策略： WriteBack（wb）：回写，指数据写入到内存后即返回客户端成功，之后再异步写入磁盘。适用于对性能要求较高，稳定性要求不高的场景。 WriteThrough（wt）：透写，指数据同时写入内存和磁盘，并在都写成功后再返回客户端成功。适用于稳定性要求较高，写性能要求不高，且最近写入的数据会较快被读取的场景。 WriteAround（wa）：绕写，指数据直接写到磁盘，不写入内存。适用于稳定性要求较高，性能要求不高，且写多读少的场景。 默认值为WriteBack（wb）。 否 maxsessions iSCSI Target允许建立的最大会话数。 取值：整数，取值范围是[1, 1024]，默认值为1。 否 flattenvolumefromsnapshot 是否断开卷与快照的关系链： true：断开。 false：不断开。 默认值为false。 否 maxclonedepth 最大克隆卷深度，当超过设置的最大深度时，新创建的卷会自动执行断链。 取值：整数，取值范围是[0, 15]，默认值为5。0表示不支持克隆卷。 否 cloudbucketname 已存在的OOS存储桶的名称。 注意 请勿开启Bucket的生命周期设定和合规保留。 上云卷必填 cloudprefix 设置OOS中的前缀名称，设置前缀名称后，卷数据会存在存储桶以前缀命名的类文件夹中。如果未指定前缀，则直接存储在以卷名称命名的类文件夹中。 取值：字符串形式，长度范围是1~256。 否 cloudaccesskey OOS AccessKeyID。 上云卷必填 cloudsecretkey OOS SecretAccessKey。 上云卷必填 cloudendpoint 设置OOS Endpoint。 上云卷必填 cloudobjectsize 数据存储在OOS中的大小。 取值：128、256、512、1024、2048、4096、8192，单位是KiB。默认值为1024。 否 cloudstorageclass 设置OOS的存储类型： STANDARD：标准存储。 STANDARDIA：低频访问存储。 默认为STANDARD。 否 cloudcompression 是否压缩数据上传至OOS： Enabled（on）：压缩数据上传至OOS。 Disabled（off）：不压缩数据上传至OOS。 默认值为Enabled（on）。 否 cloudsignversion 指定上云签名认证的类型： v2：V2签名认证。 v4：V4签名认证。 默认值为v2。 否 cloudregion 表示Endpoint资源池所在区域。 V4签名时，此项必填。 条件 deleteclouddata 删除卷时，是否删除云上的数据： true：删除云上数据。 false：不删除云上数据。 默认值为true。 否 2. 使用下列命令，使用配置生效： plaintext cinder typecreate volumebackendname cinder typekey volumebackendname set volumebackendnamevolumebackendname 示例1：使步骤1中单机版配置生效 plaintext cinder typecreate stor1 cinder typekey stor1 set volumebackendnamestor1 示例2：使步骤1中配置的集群版配置生效 plaintext cinder typecreate stor cinder typekey stor set volumebackendnamestor cinder typecreate stor1 cinder typekey stor1 set volumebackendnamestor1 cinder typecreate stor2 cinder typekey stor2 set volumebackendnamestor2 3. 重启Cinder服务 如果使用DevStack方式安装OpenStack，重启Cinder服务命令如下： plaintext systemctl restart devstack@c 如果使用Packstack安装OpenStack，重启Cinder服务命令如下： plaintext systemctl restart openstackcinder 4. 配置Multipath（集群版） 1）参考客户端配置章节中的“配置 MPIO”，确保MPIO正确配置。 2）启用Nova的multipath功能（如果是多节点部署，需要到对应的计算节点修改配置）：如果使用DevStack方式安装OpenStack，修改/etc/novacpu.conf；如果使用Packstack安装OpenStack，修改/etc/nova/nova.conf。 plaintext [libvirt] iscsiusemultipath true 5. 重启Nova服务（集群版） 如果使用DevStack方式安装OpenStack，重启Nova服务命令如下： plaintext systemctl restart devstack@n 如果使用Packstack安装OpenStack，重启Nova服务命令如下： plaintext systemctl restart openstacknova 说明 如果是多节点部署，需要到对应的计算节点重启Nova服务。 6. 验证卷是否配置正确 plaintext cinder typelist cinder typeshow ID

本节介绍了为业务同时部署DDoS高防（边缘云版）和Web应用防火墙（边缘云版）的操作步骤。 使用场景 如果您的网站既需要进行流量型DDoS攻击的防护，同时也需要对精巧的Web应用层攻击时进行防御。使用单一的防护产品可能无法起到全面的防护效果，您可以在DDoS高防（边缘云版）的基础上，叠加Web应用防火墙（边缘云版）进行联合防御。 Web应用防火墙（边缘云版）依托天翼云的云安全节点形成云安全网络，结合云端大数据分析平台，为用户提供应对Web 攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫等防护。 配置前提 已分别开通DDoS高防（边缘云版）及Web应用防火墙（边缘云版）。 网站域名需完成ICP备案，并需要持续维护其有效性。 说明 若您抗DDoS攻击的重要性显著高于加速需求，请先在DDoS高防（边缘云版）控制台新增域名，再到Web应用防火墙（边缘云版）新增域名，该添加顺序会优先使用天翼云高防DDoS节点进行域名防护。 业务流程 由于DDoS高防（边缘云版）及Web应用防火墙（边缘云版）采用统一的边缘云网络架构和底座，无需重复进行网站接入配置，并且也无需考虑不同产品串联时网络层转发的顺序问题，需注意防护配置的生效顺序：DDoS高防（边缘云版）优先于Web应用防火墙（边缘云版）。 （非统一架构的产品叠加，需确定不同产品之间网络层转发顺序，如先经过DDoS高防再经过Web应用防火墙，那么DDoS的高防的回源地址需与Web应用防火墙的接入地址相匹配，而不能直接配置为源站地址。非统一架构的产品叠加会增加网络配置复杂度。）