本文带您快速熟悉如何获取访问密钥(AK/SK)。 访问密钥即AK/SK（Access Key ID/Secret Access Key），是您通过开发工具（API、SDK）访问部分云服务平台时的身份凭证，不能登录控制台。系统通过AK识别访问用户的身份，通过SK进行签名验证，通过加密签名验证可以确保请求的机密性、完整性和请求者身份的正确性。 获取AKSK操作说明 1. 通过实名认证的账号登录天翼云。 2. 进入天翼云账号中心。 3. 点击【安全设置】进入安全设置中心 4. 在用户AccessKey模块，可创建AKSK，或直接查看已生成的AKSK。

场景 场景描述 在线加密 适用于保护小型敏感数据（小于6KB）的加解密，如密钥、证书、配置文件等。 用户的数据会通过安全信道传递到KMS服务端，服务端通过指定CMK完成加密和解密后，操作结果通过安全信道返回给用户。 信封加密 适用于海量数据的高性能加解密，如规模较大的对性能敏感的本地文件。 通过KMS生成数据密钥DEK，并返回DEK明文及经指定CMK加密的DEK密文。用户使用数据密钥DEK明文在本地进行高效的加解密处理，然后将内存中的DEK明文销毁，将DEK密文及密文文件落盘存储。

%^+?,特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 单击“确定”，提交重置。 单击“取消”，取消本次重置。

本文主要介绍了账号注销的注意事项和操作流程。 用户可在“账号中心安全设置”页面，“注销账号”下进行账号注销，注销账号流程主要包括关闭账号 和注销账号。 注意事项 1、用户申请关闭账号后，需要进行账号检查，检查通过后确认关闭，账号将进入48小时关闭期，此时无法自助终止注销进程、恢复账号功能。 2、关闭期满后，账号进入90天保留期。保留期内，用户可以通过点击“恢复账号”按钮自助终止注销进程、恢复账号功能；保留期结束之后，账号将被自动注销，无法再重新打开已关闭的账号。 3、账号进入关闭期、保留期， 用户可进行登录天翼云网门户、查看账号信息和历史费用信息等常规操作，不可进行充值、订购、提现、下单、实名认证和变更等业务操作。 4、若用户不再使用天翼云账号，在账号进入保留期后，可以手动选择立即注销账号，账号注销后，用户将无法再使用该账号登录天翼云，且账号中的数据将会被彻底删除，请谨慎操作。 5、同一证件最多可以认证5个天翼云账号，含已注销3个月内的账号，请谨慎操作账号注销。 关闭账号 1、登录天翼云账号中心。 2、在账号中心点击“安全设置”，在安全设置选择下方”注销账号“，点击“关闭账号”，进入关闭账号流程。 “关闭账号”按钮置灰了，无法注销？请检查如下情况： a.账号关联了代理商：如果您的账号关联了代理商/合作伙伴，请联系代理商/合作伙伴解绑后再尝试注销账号。 b.账号为代理商账号：请联系客户经理退出代理商后再尝试注销账号。 c.如果不是上述情况，请联系客户经理协助注销账号。 3、详细阅读关闭账号的条款，阅读并勾选《天翼云账号注销条款》，以及选择关闭账号的原因。 4、进入“账号检查”页面，系统将自动对该账号进行账号检查、财务检查以及订单与资源检查，并在页面显示检查结果。 说明 若客户已进行过账号检查且账号未关闭，则可在“安全设置”页面单击“查看上次检查结果”，系统则显示上次账号检查结果。 5、根据检查结果进行相应操作 检查不通过：可根据页面提示，对未通过项进行处理，完成后可重新检查。 检查通过：点击“确认关闭”，进行身份验证，验证通过后账号进入48小时关闭期，当关闭期结束，账号将进入90天保留期。 说明 关闭账号后，需要继续使用该账号，可在账号进入保留期后返回“安全设置”页面，单击“恢复账号”，即可重新使用该账号。

步骤二：开通服务 用户首次进入服务器安全卫士（原生版）控制台时，需要先开通服务。开通服务后，服务器默认处于“免费版”防护状态。 1. 登录天翼云官网。 2. 选择“产品 > 安全及管理 > 工作负载安全 > 服务器安全卫士（原生版）”，进入服务器安全卫士（原生版）产品详情页，选择“管理控制台”。 3. 进入服务器安全卫士（原生版）管理控制台后，弹出下方“服务开通申请”对话框。 4. 阅读《天翼云服务器安全卫士（原生版）服务协议》后，勾选“我已阅读并同意相关协议《天翼云服务器安全卫士（原生版）服务协议》”，单击“同意”，即可开通服务器安全卫士（原生版）服务。 步骤三：切换防护配额 将基础版配额切换至企业版、旗舰版。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“资产管理 > 服务器列表”，进入服务器列表页面。 3. 您可对需要防护的服务器进行“切换版本”。选择您需要切换版本的服务器，可进行单台服务器的配额版本切换，也可以选择多台服务器进行批量切换。 单台服务器切换版本 在服务器列表中找到您需要切换版本的服务器，单击操作列的“切换版本”，弹出切换版本窗口。选择配额版本和配额后，单击“确定”，完成版本切换。 批量切换版本 在服务器列表中勾选需要切换版本的服务器，单击列表上方的“批量切换版本”，弹出切换版本窗口。选择配额版本，单击“确定”，配额和服务器按照顺序一一匹配。 说明 批量切换版本时，服务器按照图中顺序与配额绑定，配额的绑定顺序按照到期时间从早到晚进行绑定。

本文主要介绍残留待迁移节点检查。 检查项内容 检查节点是否需要迁移。 解决方案 由1.13滚动升级而来的1.15集群，需要将所有节点迁移（重置或新建替换）后，才允许再次进行升级。 解决方案一 请登录CCE控制台，前往“集群信息>资源>节点管理”，单击对应节点的“更多>重置节点”，详情请参见重置节点。节点重置完毕后，重试检查任务。 重置节点会重置所有节点标签，可能影响工作负载调度，请在重置节点前检查并保留您手动为该节点打上的标签。 解决方案二 新建节点后，删除问题节点。

本章节为您介绍分类分级框架相关内容。 分类分级框架列表的展示字段包括：框架名称、来源、说明、校验状态、操作。 其中校验状态：分为待校验、已校验、校验中、校验失败四种； 您可以通过输入框架名称、来源、说明及校验状态来查询已有的框架。 新增框架 系统内置的框架无法满足您日常需求，您可以在此功能模块新增框架 1.登录数据分类分级实例。 2.在左侧导航栏选择“分类分级配置 > 分类分级框架”，进入“分类分级框架”页面。 3.单击页面左上角的“新增框架”按钮，即可新增框架。

本节主要介绍修改DNAT规则的操作步骤。 操作场景 添加DNAT规则后，如果DNAT规则设置有误，或者DNAT规则中的一些参数需要更新时，可以修改DNAT规则。 操作前提 公网NAT网关下存在成功添加的DNAT规则。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。进入公网NAT网关页面。 3. 在公网NAT网关页面，单击目标公网NAT网关的名称。 4. 系统跳转至目标公网NAT网关详情页面，单击“DNAT规则”页签。 5. 在DNAT规则列表中，单击目标DNAT规则操作列中的“修改”。 6. 在弹出的对话框中，修改参数中的内容。 7. 单击“确定”，完成DNAT规则的修改。

此小节介绍勒索软件 勒索软件攻击已成为当今企业面临的最大安全挑战之一。勒索软件可以锁定受害者的数据或资产设备，攻击者会要求在支付赎金后才能赎回数据，防止数据被盗，也存在即使支付赎金也无法赎回数据情况。 一旦被勒索软件攻击成功，可能导致您的业务中断、数据泄露、数据丢失等严重问题，从而可能对企业的运转、经济、形象、信誉造成重大损失和不良影响，出现的安全问题可能对企业发展产生重大阻碍，出现一蹶不振的现象。 近年来，勒索病毒攻击量呈倍增趋势，且隐蔽性极强、变种多、变化快，攻击目标更多元，攻击路径更多样，应对勒索软件攻击当下刻不容缓。 图 勒索概述

查询分析结果可以通过折线图形式进行展示。 折线图一般用于展示一组数据在某一周期内的某一个有序数据类别上的变化情况，属于趋势类的分析图表，可以清晰直观地分析数据变化的趋势。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道列后，再单击管道名称，右侧将显示管道数据的检索页面。 6. 输入查询分析语句，设置时间范围，并单击“查询分析”。 7. 选择“图表统计”页签，并在图表统计页面右侧的“图表类型”中单击。 8. 配置折线图参数。 参数类别 参数名称 参数说明 基本配置 标题 自定义线图标题名称。 图表配置 X轴标题 自定义X轴标题名称。 图表配置 Y轴标题 自定义Y轴标题名称。 图表配置 X轴字段 选择X轴显示字段。 图表配置 Y轴字段 选择Y轴显示字段。 图例配置 显示图例 确认是否显示图例。 图例配置 图例位置 开启显示图例时须配置。 图例在图表中的位置，可以配置为上、下、左和右。 图表设置完成后，左侧可预览配置后的数据分析情况。

查询分析结果可以通过柱状图形式进行展示。 柱状图是一种由矩形表示类别的数据显示方法，可以在多个数据和趋势分析之间进行清晰比较。态势感知（专业版）中，柱状图默认采用垂直柱子（即矩形块的宽度一定，高度代表数值大小）来展示数据。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道列后，再单击管道名称，右侧将显示管道数据的检索页面。 6. 输入查询分析语句，设置时间范围，并单击“查询分析”。 7. 选择“图表统计”页签，并在图表统计页面右侧的“图表类型”中单击。 8. 配置柱状图参数。 参数类别 参数名称 参数说明 基本配置 标题 自定义线图标题名称。 图表配置 X轴标题 自定义X轴标题名称。 图表配置 Y轴标题 自定义Y轴标题名称。 图表配置 X轴字段 选择X轴显示字段。 图表配置 Y轴字段 选择Y轴显示字段。 图例配置 显示图例 确认是否显示图例。 图例配置 图例位置 开启显示图例时须配置。 图例在图表中的位置，可以配置为上、下、左和右。 图表设置完成后，左侧可预览配置后的数据分析情况。

安装VNC Server实现本地远程图形化访问 1. 执行如下命令，安装vncserver。 plaintext yum install y tigervncserver 2. 配置vncserver执行vncsever命令配置vnc密码（初次启动的时候需要输入两次密码）。 plaintext vncserver You will require a password to access your desktop. Password:（输入并记住该密码） Verify:（重复输入并记住该密码） 执行以下命令，生成并编辑配置文件。 plaintext cp p /lib/systemd/system/vncserver@.service /lib/systemd/system/vncserver@:1.service 执行如下命令修改配置： plaintext vim /lib/systemd/system/vncserver@:1.service 按Esc键退出编辑模式，再输入:wq保存并退出。 3. 运行以下命令重启systemd。 plaintext systemctl daemonreload 4. 配置为开机自启动。 plaintext systemctl enable vncserver@:1.service 5. 运行以下命令启动VNC Server。 plaintext systemctl start vncserver@:1.service 6. 运行命令 ps ef grep vnc 确认服务是否已经启动。如果返回以下类似结果，说明服务已经启动。 更改安全组规则 1. 登录弹性云主机管理控制台。 2. 单击弹性云主机名称，进入详情页面。 3. 在“安全组”页签，单击“更改安全组规则”，放行5901端口。

威胁情报是描述对系统和用户的现有或潜在威胁的信息，使用威胁情报为异常活动提供必要的上下文，以便安全负责人可以快速采取措施来保护其人员、信息和资产。 威胁情报的形式是情报指标，情报指标是将URL或IP地址等观察项目与网络钓鱼或恶意软件等已知威胁活动关联起来的数据。它会大规模地应用于安全产品和自动化服务，以检测组织面临的潜在威胁并进行防范。通过情报指标的创建和管理，加快威胁检测和修正。态势感知（专业版）仅支持人工新增情报指标或导入情报指标，创建情报指标后可以通过自定义剧本实现威胁管理分析处理等操作。 情报指标支持如下管理操作： 新增情报指标：当发现对系统和用户潜在的威胁信息时，可通过新增情报指标记录威胁信息，以便安全负责人可以快速采取措施来保护其人员、信息和资产，加快威胁检测和修正。 编辑情报指标：当情报指标的威胁度、状态、责任人等参数信息发生变化时，支持编辑情报指标，修改情报指标信息。 关闭或删除情报指标：当确认情报指标对应的威胁已消除，可关闭情报指标。当确认情报指标信息有误或情报指标所描述的威胁场景不存在，可删除情报指标，情报指标删除后不可找回，请谨慎操作。 [导入指标](

本章介绍天翼云关系型数据库的产品有哪些使用约束和限制。 关系型数据库服务上的RDS for PostgreSQL在使用上有一些固定限制，用来提高实例的稳定性和安全性，具体详见下表。 功能 使用限制 :: 数据库访问 如果关系型数据库实例未开通公网访问，则该实例必须与弹性云主机处在同一个虚拟私有云内才能相互访问。 关系型数据库只读实例必须创建在与主实例相同的一个子网内。 弹性云主机必须处于目标关系型数据库实例所属安全组允许访问的范围内。 如果关系型数据库实例与弹性云主机处于不同的安全组，系统默认不能访问。需要在关系型数据库的安全组添加一条“入”的访问规则。 RDS for PostgreSQL实例的默认端口为5432，需用户手动修改端口号后，才能访问其他端口。 部署 实例所部署的弹性云主机，对用户都不可见，即只允许应用程序通过IP地址和端口访问数据库。 数据库的root权限 创建实例页面只提供管理员root用户权限。 修改数据库参数设置 大部分数据库参数可以通过控制台进行修改。 搭建数据库复制 RDS for PostgreSQL本身提供主备复制架构的双节点集群，无需用户手动搭建。其中主备复制架构集群的备实例不对用户开放，用户应用不可直接访问。 重启RDS实例 无法通过命令行重启，必须通过关系型数据库服务的管理控制台操作重启实例。

参数名 类型 是否必填 名称 说明 productcode string 否 产品类型 产品类型，“007”（安全加速） domain string 是 域名

本节介绍了DDoS高防（边缘云版）的主要产品优势。 针对天翼云云内或云外用户业务，在遭受大流量 DDoS 攻击后，导致服务不可用时，都可以使用天翼云DDoS高防（边缘云版）服务。 与传统DDoS防护方案相比，天翼云DDoS高防（边缘云版）具有全场景支持、超强清洗能力、AI大数据协调、极简管理等优势，保障业务稳定、安全运行。 全场景支持 支持从网络层/传输层（L3/4）到应用层（L7）DDoS攻击的防护 支持IPv4/IPv6双栈协议 支持网站和非网站业务，覆盖金融、电商、游戏、政府等各类业务，充分满足用户不同业务的安全防护需求 依托天翼云攻防对抗实战经验，可为客户提供DDoS攻击演练服务，帮助用户提前发现内部潜在安全威胁，提升应急响应能力 超强清洗能力 海量边缘节点能力升级，防御总带宽超过12T 百G抗D节点支持大区粒度覆盖，根据攻击情况进行智能调度 分布式架构，减少单点故障概率，结合云原生、智能调度能力，实现资源动态扩容，有效应对业务突发和大流量攻击 根据用户需求进行规划资源，提供属地+三网的防护节点，就近接入，减少服务延迟，提高访问速度

本章节主要介绍新建MySQL连接。 前提条件 在创建数据连接前，请确保您已创建所要连接的数据湖（如DataArts Studio所支持的数据库、云服务等）。 1. 在创建DWS类型的数据连接前，您需要先在DWS服务中创建集群，并且具有KMS密钥的查看权限。 2. 在创建MRS HBase、MRS Hive、MRS Kafka、MRS Ranger、MRS Spark、MRS Presto类型的数据连接前，需确保您已创建MRS集群，并且在创建数据链接时已创建选择所需要的组件。 3. 在创建RDS类型的数据连接前，请确保您已创建RDS数据库实例。DataArts Studio平台目前仅支持RDS中的MySQL和PostgreSQL数据库引擎。 在创建数据连接前，请确保待连接的数据湖与DataArts Studio实例之间网络互通。 1. 如果数据湖为云下的数据库，则需要通过公网或者专线打通网络，确保数据源所在的主机可以访问公网，并且防火墙规则已开放连接端口。 2. 如果数据湖为云上服务（如DWS、MRS等），则网络互通需满足如下条件： ①DataArts Studio实例（指DataArts Studio实例中的CDM集群）与云上服务处于不同区域的情况下，需要通过公网或者专线打通网络。 ②DataArts Studio实例（指DataArts Studio实例中的CDM集群）与云上服务同区域情况下，同虚拟私有云、同子网、同安全组的不同实例默认网络互通；如果同虚拟私有云但是子网或安全组不同，还需配置路由规则及安全组规则，配置路由规则请参见《虚拟私有云》帮助文档有关“添加路由信息”的章节，配置安全组规则请参见《虚拟私有云》帮助文档中有关“ 添加安全组规则”的章节。 ③此外，您还必须确保该云服务的实例与DataArts Studio工作空间所属的企业项目必须相同，如果不同，您需要修改工作空间的企业项目。

本章节主要介绍翼MapReduce服务的多租户功能。 简介 现代企业的数据集群化正在逐步向中心化、云计算方向发展，多用户在多个集群上执行不同的应用（分析、查询、流式处理等），且存储的数据类型、格式各不相同。部分用户（如银行、政府机构等）对数据安全问题非常重视，无法容忍自己的数据和他人数据放在一起。 翼MapReduce提供多租户功能，将大数据集群资源分割为相互独立的资源集合，用户可“租用”所需的资源集合，用于执行应用、工作、存储数据。在大数据集群中，提供多个资源集合满足多个用户的不同需求。 优势 合理配置和隔离资源： 租户之间的资源是隔离的，一个租户对资源的使用不影响其他租户，保证了每个租户根据业务需求去配置相关的资源，可提高资源利用效率。 测量和统计资源消费： 系统资源以租户为单位进行计划和分配，租户是系统资源的申请者和消费者，对用户资源消费进行测量和统计。 保证数据安全和访问安全： 多租户场景下，分开存放不同租户的数据、控制用户对租户资源的访问权限，以保证数据安全和访问安全。

连接方式 IP地址 使用场景 说明 内网连接 内网IP地址 系统默认提供内网IP地址。 当应用部署在弹性云主机上，且该弹性云主机与文档数据库实例处于同一区域、可用区、虚拟私有云子网内，建议单独使用内网IP通过弹性云主机连接文档数据库实例。 文档数据库服务和弹性云主机在不同的安全组默认不能访问，需要在文档数据库服务所属安全组添加一条“入”的访问规则。 文档数据库服务默认端口：8635，需要手动修改才能访问其它端口。 安全性高，可实现DDS的较好性能。 公网连接 弹性IP 当应用部署在弹性云主机上，且该弹性云主机与文档数据库实例处于不同区域时，建议单独使用弹性IP通过弹性云主机连接文档数据库实例。 当应用部署在其他云服务的系统上时，建议单独使用弹性IP通过弹性云主机连接文档数据库实例。 降低安全性。 为了获得更快的传输速率和更高的安全性，建议您将应用迁移到与您的DDS实例在同一虚拟私有云子网内，使用内网连接。

证书管理服务定位是一款集SSL证书购买、申请、安全应用为一身的云上证书管家。产品支持国密、国际算法证书，帮助用户实现数据传输加密，保障数据安全。

本节介绍数据加密中密钥管理的功能特性。 密钥管理简介 密钥管理，即密钥管理服务（Key Management Service, KMS），是一种安全、可靠、简单易用的密钥托管服务，帮助您轻松创建和管理密钥，保护密钥的安全。 KMS通过使用硬件安全模块HSM（Hardware Security Module, HSM）保护密钥的安全，所有的用户密钥都由HSM中的根密钥保护，避免密钥泄露。 KMS对密钥的所有操作都会进行访问控制及日志跟踪，提供所有密钥的使用记录，满足审计和合规性要求。 功能介绍 用户可通过密钥管理界面，对用户主密钥进行以下操作： 创建、查看、启用、禁用、计划删除、取消删除用户主密钥 修改用户主密钥的别名和描述 在线工具加解密小数据 导入密钥、删除密钥材料 添加、搜索、编辑、删除标签 用户可通过密钥管理的接口执行以下操作： 对数据加密密钥进行创建、加密或解密操作 对授予的权限进行退役授权操作 生成硬件真随机数：用户可通过密钥管理的接口生成512bit的随机数，为加密系统提供基于硬件真随机数的密钥材料和加密参数。 支持的密钥算法 KMS创建的对称密钥使用的是AES256加解密算法。KMS创建的非对称密钥支持RSA和ECC算法。 KMS支持的密钥算法类型 密钥类型 算法类型 密钥规格 说明 用途 对称密钥 AES AES256 AES对称密钥 小量数据的加解密或用于加解密数据密钥。 对称密钥 SM4 SM4 国密SM4对称密钥 小量数据的加解密或用于加解密数据密钥。 非对称密钥 RSA RSA204 8RSA3072 RSA4096 RSA非对称密钥 小量数据的加解密或数字签名。 非对称密钥 ECC ECP25 6ECP384 椭圆曲线密码，使用NIST推荐的椭圆曲线 数字签名 非对称密钥 SM2 SM2 国密SM2非对称密钥 小量数据的加解密或数字签名。 通过外部导入的密钥支持的密钥包装加解密算法如下表所示： 密钥包装算法说明 密钥包装算法 说明 设置 RSAESOAEPSHA256 具有“SHA256”哈希函数的OAEP的RSA加密算法。 请您根据自己的HSM功能选择加密算法。 如果您的HSM支持“RSAESOAEPSHA256”加密算法，推荐使用“RSAESOAEPSHA256”加密密钥材料。 须知： “RSAESOAEPSHA1”加密算法已经不再安全，请谨慎选择。 RSAESOAEPSHA1 具有“SHA1”哈希函数的OAEP的RSA加密算法。 请您根据自己的HSM功能选择加密算法。 如果您的HSM支持“RSAESOAEPSHA256”加密算法，推荐使用“RSAESOAEPSHA256”加密密钥材料。 须知： “RSAESOAEPSHA1”加密算法已经不再安全，请谨慎选择。

开始体检操作说明，您可通过刷新按钮，主动刷新体检任务状态。 开始体检 您添加体检IP后，即可开始体检。点击“开始体检”按钮，产品弹出体检提示信息： 点击“我已明确上述内容，开始体检”按钮，即可创建体检任务，并在体检记录中，生成一条体检记录。 等待体检完成后，您可以预览或下载体检报告。如果您已经配置通知信息，则会向您配置的邮箱内自动发送PDF版体检报告及漏洞详单附件。 刷新体检状态 体检进度受体检IP数量、体检任务总数影响，任务完成时间可能存在差异，您可以点击体检记录右上角“刷新”按钮，刷新当前体检任务进度，或者等待体检完成后，自动发送报告邮件。

操作步骤 在样本列表可以复制模型输入、模型输出、安全评估依据、失败原因到剪贴板中。

操作步骤 在样本列表可以复制模型输入、模型输出、安全评估依据、失败原因到剪贴板中。

本文主要介绍产品优势。 分布式消息服务Kafka完全兼容开源社区版本，旨在为用户提供便捷高效的消息队列。业务无需改动即可快速迁移上云，为您节省维护和使用成本。 一键式部署，免去集群搭建烦恼 您只需要在实例管理界面选好规格配置，提交订单。后台将自动创建部署完成一整套Kafka实例。 兼容开源，业务零改动迁移上云 兼容社区版Kafka的API，具备原生Kafka的所有消息处理特性。 业务系统基于开源的Kafka进行开发，只需加入少量认证安全配置，即可使用分布式消息服务Kafka，做到无缝迁移。 说明 Kafka实例兼容开源社区Kafka 1.1.0、2.3.0和2.7版本。在客户端使用上，推荐使用和服务端版本一致的版本。 安全保证 独有的安全加固体系，提供业务操作云端审计，消息存储加密等有效安全措施。 在网络通信方面，除了提供SASL（Simple Authentication and Security Layer）认证，还借助虚拟私有云（VPC）和安全组等加强网络访问控制。 数据高可靠 Kafka实例支持消息持久化，多副本存储机制。副本间消息同步、异步复制，数据同步或异步落盘多种方式供您自由选择。 集群架构与跨AZ部署，服务高可用 Kafka后台为多集群部署，支持故障自动迁移和容错，保证业务的可靠运行。 Kafka实例支持跨AZ部署，代理部署在不同的AZ，进一步保障服务高可用。不同AZ之间基于Kafka ISR（insync replica）进行数据同步，Topic需要选择数据多副本并且将不同副本分布到不同的ISR上，在ISR正常同步状态下，故障RPO（Recovery Point Objective）趋近于0。 无忧运维 云服务平台提供一整套完整的监控告警等运维服务，故障自动发现和告警，避免724小时人工值守。Kafka实例自动上报相关监控指标，如分区数、主题数、堆积消息数等，并支持配置监控数据发送规则，您可以在第一时间通过短信、邮件等获得业务消息队列的运行使用和负载状态。 海量消息堆积与弹性扩容 内建的分布式集群技术，使得服务具有高度扩展性。分区数可配置多达100个，存储空间弹性扩展，保证在高并发、高性能和大规模场景下的访问能力，轻松实现百亿级消息的堆积和访问能力。 多规格灵活选择 Kafka实例的带宽与存储资源可灵活配置，并且自定义Topic的分区数、副本数。

配置项 说明 示例 requestid 请求id idc422b1e1f94a06170b4a241bde8aa257 ruleid 攻击请求命中的防护规则ID 4102 content 攻击请求的内容 {"ip":"127.0.0.1","expire":1704425796.736,"zone":"KEY","subid":"7793","reasonid":1000,"reason":"attack challenge over threshold","name":"ip","attacktime":1704425793.736,"value":"127.0.0.1"} uri 攻击请求的uri /login.php useragent 攻击请求的UA VLC/2.0.6 LibVLC/2.0.6 referer 攻击请求的referer clientid 攻击请求的客户端id 56696 score 智能评分 100 statuscode 节点响应的状态码 403 sourcecode 源站响应的状态码 200 requestmethod 攻击请求的请求方法 GET scheme 攻击请求的scheme http attackip 攻击IP 127.0.0.1 clientport 客户端端口 44714 subid 规则子ID，访问控制、频率控制策略会有规则子ID 7793

本文介绍如何排查防盗链异常导致的访问资源返回403的问题。 背景说明 当加速域名在CDN有配置防盗链时，用户请求会经过防盗链校验，校验通过则正常返回文件内容，不通过则返回403。如防盗链规则配置错误，有可能在非预期场景下返回403，本文主要介绍该场景下的问题排查思路。 排查思路 以Referer防盗链为例： 1. 可登录CDN控制台查看确认防盗链配置是否正确。 2. 【是否允许空referer访问】如果开启，正常请求不带referer头部就能访问，反之就会异常，需要带referer才能正常请求。 3. 无论是Referer白名单还是Referer黑名单，均需要检查是否包含了允许或不允许访问资源的来源地址或域名。如果Referer白名单漏配或错配，Referer黑名单多配，均会导致非预期中的403。

1.3 产品优势 快速交付：EATP套件以标准化产品形态，将传统自建方案3至6个月的交付周期压缩至2至3周，大幅缩短AI推理服务上线时间，帮助企业快速抢占业务窗口。 提升资源效能：通过精细化GPU调度与推理加速引擎，EATP将GPU集群平均利用率从传统模式的30%~50%提升至70%~90%，有效摊薄单位算力成本；引入自动化运维机制后，日常运维人力投入降低60%以上，在AI业务规模化过程中实现显著降本增效。 安全合规：依托天翼云安全可信的基础设施底座，EATP套件提供兼顾合规遵从、性能极致与商业敏捷的AI Token全生命周期管理方案，确保企业AI服务安全、高效、可持续运营。 更多产品使用方法请参考附件。EATP单机版用户手册.pdf 说明 首次登录EATP默认用户名为：admin，密码为：Eatp123@ 登录后，应用中可修改账号用户名及密码。

海量文件服务OceanFS产品为您提供优质的服务体验,本文带您了解产品优势。 共享访问 支持多台客户端挂载访问同一文件系统，可支持连接上千个客户端实例。 支持NFSv3/v4.1、CIFS(SMB2.1/SMB3.0)。 支持IPv4和IPv6网络协议。 海量可扩展 用户可以根据业务需要配置文件系统的初始存储容量，后续可以随着数据量的变化而扩容。 支持PB级存储空间。 安全可信 支持使用VPC用户隔离、权限组等安全管理功能进行访问权限控制，保障数据安全可靠。 文件服务支持HA高可用，出现任何硬件故障时，业务自动切换到其他节点，服务可用性在99.95%及以上。 友好易用 操作界面友好、简单易用，用户可通过控制台界面快速轻松地创建、配置和管理文件系统，省去复杂的文件系统部署工作。 提供全托管服务，不必考虑复杂的安装、配置及性能调优工作，用户可轻松创建使用文件系统，只需几分钟便可使用高性能的文件系统。

参数 描述 源库类型 选择“自建库”。 VPC 源数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。子网在可用分区内才会有效，创建源数据库实例的子网需要开启DHCP功能，在创建过程中也不能关闭已选子网的DHCP功能。如何创建子网，请参见《虚拟私有云用户指南》。 IP地址或域名 配置源MongoDB数据库实例的访问地址或域名。 端口 配置源MongoDB数据库实例的服务端口，可输入范围为1~65535间的整数。 数据库用户名 访问源MongoDB数据库的用户名。 数据库密码 访问源MongoDB数据库的用户名所对应的密码。 SSL安全连接 您可以选择开启SSL安全连接，对迁移链路进行加密，开启之后，需要您上传加密证书。

本节介绍翼加密的产品简介，以便您了解翼加密。 翼加密是首个针对AI云电脑场景的文件加密安全解决方案。通过高安全性的加密算法，对AI云电脑内的文件实时无感加密。在保证用户正常使用AI云电脑的前提下，保障企业内部的敏感和机密数据文件安全不外泄。 加密文件如被移到AI云电脑外部的非加密环境，则无法正常打开。防止有意/无意的文件泄漏行为。加密文档如需外发，必须经过严格的脱密审批，并且保留审批记录，有迹可循。 其由两部分构成：天翼AI云电脑（政企版）控制台文件加密模块（以下简称控制台）、翼加密客户端（以下简称客户端）。 控制台 企业管理员通过控制台可以进行自定义配置加密策略、批量加解密AI云电脑、设置用户密级权限以及查看脱密记录审计等操作。 客户端 桌面用户可通过客户端申请和审批加密文件的脱密外发、调整桌面内文件的加密等级。

CDM迁移原理 用户使用CDM服务时，CDM管理系统在用户VPC中发放全托管的CDM实例。此实例仅提供控制台和Rest API访问权限，用户无法通过其他接口（如SSH）访问实例。这种方式保证了CDM用户间的隔离，避免数据泄漏，同时保证VPC内不同云服务间数据迁移时的传输安全。用户还可以使用VPN网络将本地数据中心的数据迁移到云服务，具有高度的安全性。 CDM数据迁移以抽取写入模式进行。CDM首先从源端抽取数据然后将数据写入到目的端，数据访问操作均由CDM主动发起，对于数据源（如RDS数据源）支持SSL时，会使用SSL加密传输。迁移过程要求用户提供源端和目的端数据源的用户名和密码，这些信息将存储在CDM实例的数据库中。保护这些信息对于CDM安全至关重要。CDM迁移原理详见下图