广西管局规则 企业客户： 1、个体工商户、律师事务所请选择企业，使用工商营业执照；律师事务所请选择组织机构代码证书 2、主办单位或主办人名称，个体工商户无字号的请填写法人姓名后面加“（个体工商户）”，如，张某某（个体工商户）。 3、投资人或主管单位，企业、社会团体请填写主办单位全称；其他单位请填写上一级主管单位全称 4、主办单位负责人、网站负责人手机号码，需填写广西本地手机号码 5、域名所有人需与主办单位或主办人名称一致，每个网站只能报备一个域名，即使多个域名指向同一个网站，也需要分为不同网站依次添加 个人客户： 1、主办单位负责人、网站负责人手机号码，需填写广西本地手机号码 2、域名所有人需与主办单位或主办人名称一致，每个网站只能报备一个域名，即使多个域名指向同一个网站，也需要分为不同网站依次添加 吉林管局规则 企业客户： 1、企业请选择工商营业执照，企业请使用营业执照副本，本年度新发营业执照可使用正本 2、投资者或上级主管单位，企业请填写主办单位全称，其他单位请填写上一级主管单位全称 3、域名所有者需与网站主办者一致，（若企业备案，域名所有者可为法人或备案主体公司名） 个人用户： 1、个人主体，网站内容可选择“个人博客/空间”或“其他” 2、首页URL只能填写域名列表中的任意一个，域名所有人需与主办人名称一致 辽宁管局规则 企业客户： 1、个体工商户有字号及公章请选择企业，无字号及公章请选择个人 2、若单位名称包含投资管理、担保、典当、贷款、理财，主办单位负责人姓名处，请填写法人姓名 3、主办单位负责人、网站负责人手机号码，需真实有效且为用户本人 4、上传主办单位证件时，企业请使用营业执照副本或组织机构代码证副本 个人客户： 1、个体工商户无字号的请填写法人姓名后面加“（个体工商户）”，如，张某某（个体工商户） 2、主办单位负责人、网站负责人手机号码应为本地号码，需真实有效且为用户本人 3、域名所有人需与主办人名称一致 北京管局规则 企业客户： 1、单位是企业的用户必须使用营业执照副本备案 2、民办非企业单位必须使用组织机构代码证备案 3、中国公民可以使用身份证/港澳居民往来内地通行证/台湾居民往来大陆通行证进行备案，非中国公民可以使用护照 4、若您的网站无需办理前置审批，请您联系省级主管部门确认，并在网站备注中填写主管部门的联系单位、联系电话 5、备案信息中网站语言选项需按照网站实际使用的主要语言内容选择语种，网站含有其他语言但非主要使用需选择中文简体 6、主办单位通信地址应详细到门牌号，不能带特殊符号，如“” 7、以企业名义进行备案，备案成功后，无法变更备案主体性质及名称。（如确认主体性质或主体名称需要变更，需要进行对原备案注销操作后重新进行备案） 如因公司名称变更需要做备案主体变更时（仅限单位名称或注册号唯一变更），变更后的公司名称与前公司名称有一定的关联性（如果相差太多，例如A公司变更成B公司，则无法进行变更，需要注销重新备案），需客户提供变更证明原件扫描件 8、如多个域名均指向同一网站，请在同一网站填写并在网站备注中说明“域名指向同一网站”；如多个域名指向不同网站或前缀明显不一致的域名，请分为不同的网站依次添加。 个人客户： 1、中国公民可以使用身份证/港澳居民往来内地通行证/台湾居民往来大陆通行证进行备案，非中国公民可以使用护照 2、以个人名义进行备案，备案成功后，无法变更备案主体性质及名称。（如确认主体性质或主体名称需要变更，需要进行对原备案注销操作后重新进行备案） 3、如多个域名均指向同一网站，请在同一网站填写并在网站备注中说明“域名指向同一网站”；如多个域名指向不同网站或前缀明显不一致的域名，请分为不同的网站依次添加。 4、主办单位通信地址应详细到门牌号，不能带特殊符号，如“” 天津管局规则 企业客户： 1、企业用户必须使用营业执照副本提交备案 2、律师事务所、个体工商户、民办非企业单位都请选择企业，其他单位请选择组织机构代码证 3、企业、律师事务所的投资人或主管单位须填写法人姓名；其他单位请填写本单位全称或上一级主管单位全称 4、主办单位负责人手机号码修填写天津本地的手机号码 5、首页URL只能填写域名列表中的任意一个，实际网站名称必须与备案信息中网站名称一致 6、单位备案，主体负责人必须为法人，主体负责人和网站负责人不能是同一个人，网站负责人相同的证件号码，不得出现在不同的备案主体里（频率为1） 7、上传主办单位证件，若营业执照为2013年之前颁发的，副本必须含有2012年的年检章 个人客户： 1、网站首页url只能填写一个 2、个人用户必须要填写办公电话；座机均需是天津本地的（即座机区号为022的） 3、个人网站，网站备注中需添加说明 4、如备案网站没有英文或中文网址，只能通过IP地址访问，则网站首页网址和网站域名列表中则填写IP域名 江苏管局规则 企业客户： 1、个体工商户请选择企业；如无字号需将营业执照字号等信息到当地工商局变更完整后再进行备案 2、主办单位负责人、网站负责人手机号需填写江苏本地手机号码 3、必须提供备案域名的域名证书，域名所有者可为备案主体或法人或网站负责人 4、首页URL只能填写域名列表中的任意一个 5、网站负责人姓名，如主体负责人为法人，网站负责人可为法人或其他人；如主体负责人不是法人，网站负责人必须与主体负责人为同一人且需提供法人授权书该企业员工 个人客户： 1、个人备案，证件住所需为江苏本省，如非江苏本省，需上传江苏省“暂住证”或“居住证” 2、主办单位负责人、网站负责人手机号需填写江苏本地手机号码 3、个人备案，网站服务内容可选为“个人博客”或“其他”，并在网站备注中说明博客内容 4、必须提供备案域名的域名证书，域名所有者需与备案主体一致 5、首页URL只能填写域名列表中的任意一个 上海管局规则 企业客户： 1、单位是企业的用户必须使用营业执照备案 2、主体负责人必须填写法人 3、首页URL只能填写域名列表中的任意一个，域名所有人需与主办单位名称或法人姓名一致 4、主办单位负责人、网站负责人手机号码需填写上海本地手机号码 5、上海金融类网站，需要先去金融办备案，再到上海管局备案。相关文件如下： 个人客户： 1、个人备案，证件住所需为上海本地，如非上海本地，需上传上海市“临时居住证”或“居住证” 2、主办单位负责人、网站负责人手机号码需填写上海本地手机号码 3、首页URL只能填写域名列表中的任意一个，域名所有人需与主办人名称一致 浙江管局规则 企业客户： 1、个体工商户按照企业性质备案，主办单位名称填写字号名称，无字号的填写法人姓名加括号个体工商户（如，张某某（个体工商户）） 2、主办单位负责人需填写法人姓名，并满十八周岁，如遇极其特殊情况，可更换其他人，并在备注中说明原因 3、所有证件必须为原件彩色扫描件 4、新域名备案期间网站不允许访问，否则不予通过 5、域名所有人必须为公司法人或公司名称 6、首页URL只能填写域名列表中的任意一个 个人客户： 1、主办单位负责人需满十八周岁，身份证非浙江省，需要提有效的浙江省居住证明文件 2、个人性质备案，网站服务内容不能选为：个人博客/空间 3、域名所有人必须与备案主体一致 福建管局规则 企业客户： 1、个体工商户以企业性质备案；没有工商字号的个体工商户以个人性质备案，并在备注中说明 2、律师事务所、会计师事务所按企业性质备案；民办非企业单位按社会团体性质备案 3、投资人或主管单位，企业请填写主办单位全称；其他单位请填写上一级主管单位全称 4、域名所有人需与主办单位名称一致 5、首页URL只能填写域名列表中的任意一个 个人客户： 1、没有工商字号的个体工商户以个人性质备案，并在备注中说明 2、域名所有人需与主办人名称一致 3、首页URL只能填写域名列表中的任意一个 广东管局规则 企业客户： 1、个体工商户有字号的请选择企业，如无公章需备注“个体工商户无公章” 2、主体下已备案成功的域名，网站下方须有备案号标识，且备案号必须与实际备案号一致 3、主体负责人必须为法人；政府机关、事业单位、大型国有企业等单位不便填写法人的，可填写部门负责人 4、单位用户，主办单位负责人需满十六周岁 5、个体工商户有字号但无公章的，需在主体备注中注明“个体工商户无公章” 6、网站服务内容选择“其他”的，需在备案栏中说明网站开办后的具体内容；网站内容不能涉及论坛rules 7、医院类单位，需在备注中注明，本单位医疗执业许可证为年月颁发，有效期至年月，颁发部门为，许可证号码为 8、单位用户，域名所有人需与主办单位名称一致 9、前缀不一致的域名请按不同网站备案；如指向同一网站，需在网站备注中说明“域名指向同一网站” 10、主体下已备案成功的域名必须能够访问（若您的域名已在其他接入商获得备案号，本次转入备案中的域名存在已过期域名，可暂时不开通网站） 个人客户： 1、个体工商户没有字号的请选择个人，并在备注里说明“个体工商户无工商字号”，同时注明注册号 2、主体下已备案成功的域名，网站下方须有备案号标识，且备案号必须与实际备案号一致 3、个人性质备案，在主体备注需注明“本网站是个人网站，不含有企业、单位等非个人网站的信息，若在核实中发现网站中含有企业、单位等信息，本人愿接受以虚假信息进行备案，注销网站，并将主体和域名加入黑名单的处罚”。 4、网站服务内容选择“其他”的，需在备案栏中说明网站开办后的具体内容；网站内容不能涉及论坛 5、备案的域名 6、个人用户，域名所有人需与主办人名称一致 7、前缀不一致的域名请按不同网站备案；如指向同一网站，需在网站备注中说明“域名指向同一网站”； 8、主体下已备案成功的域名必须能够访问（若您的域名已在其他接入商获得备案号，本次转入备案中的域名存在已过期域名，可暂时不开通网站） 海南管局规则 企业客户： 1、个体工商户有字号的请选择企业 2、企业请选择工商营业执照；其他单位请选择组织机构代码证 3、首页URL只能填写域名列表中的任意一个 个人客户： 1、个体工商户有字号的请选择企业；没有字号的请选择个人，并在备注里说明“个体工商户无工商字号” 2、中国公民可以使用身份证/港澳居民往来内地通行证/台湾居民往来大陆通行证进行备案，非中国公民可以使用护照 3、首页URL只能填写域名列表中的任意一个 云南管局规则 企业客户： 1、主办单位负责人请填写法人姓名 2、首页URL只能填写域名列表中的任意一个 3、根据云教办【2012】58号规定，教育类网站只能在云南省内接入； 5、根据云编办【211号文件】云南省党政机关今后要求必须在所在地编办机构办理前置审批后，再予以备案；办理后同单位证件一起上传；省编办联系电话：087163557966 个人客户： 1、首页URL只能填写域名列表中的任意一个 2、个人性质备案，网站服务内容不能选为：个人博客/空间 新疆管局规则 企业客户： 1、单位用户，域名所有人需与主办单位名称一致 2、真实性核验单网站负责人签字处需要网站负责人签字并按手印 个人客户： 1、非新疆本地身份证不能备案，证件住所须为新疆本地 2、个人用户，域名所有人需与主办人名称一致。 甘肃管局规则 企业客户： 1、企业请使用工商营业执照副本，注册号不能带（11）；其他单位请使用组织机构代码证 2、主办单位负责人、网站负责人手机号码需填写甘肃本地手机号码 3、域名所有人需与主办单位名称一致 4、如主办单位负责人不是法人，则网站负责人不能与主办单位负责人为同一人 个人客户： 1、非甘肃本省身份证不能备案，需提供暂住证 2、主办单位负责人手机号码需填写甘肃本地手机号码 3、域名所有人需与主办人名称一致 4、主办单位负责人、网站负责人手机号码需填写甘肃本地手机号码 内蒙古管局规则 企业客户： 1、个体工商户有字号及公章请选择企业，无字号及公章请选择个人，需备注个体经营 2、首页URL只能填写域名列表中的任意一个 3、主体负责人，单位用户请填写法人姓名 个人客户： 1、无字号及公章请选择个人，需备注“个体经营” 2、请您选择网站的主要构成语言，网站含有其他语言但非主要使用请不要勾选 3、首页URL只能填写域名列表中的任意一个 河北管局规则 企业客户： 1、个体工商户有字号的请选择企业；没有字号的请选择个人，并在备注里说明“个体工商户无工商字号” 2、首页URL只能填写域名列表中的任意一个 3、网站负责人必须为中国公民 4、单位用户的主办单位负责人请填写法人姓名；若法人为外籍公民，请授权给中国公民为负责人 个人客户： 1、个体工商户没有字号的请选择个人，并在备注里说明“个体工商户无工商字号” 2、外籍人士证件不能进行个人备案 3、首页URL只能填写域名列表中的任意一个 4、网站负责人必须为中国公民 山西管局规则 企业客户： 1、个体工商户有字号的请选择企业 2、填写网站信息 3、首页URL只能填写域名列表中的任意一个 4、请您选择网站的主要构成语言，网站含有其他语言但非主要使用请不要勾选 个人客户： 1、个体工商户没有字号的请选择个人，并在备注里说明“个体工商户无工商字号”，同时注明注册号 2、首页URL只能填写域名列表中的任意一个 3、非山西身份证，山西管局不予备案 4、域名所有人需与主办人名称一致 宁夏管局规则 企业客户： 1、个体工商户有字号的请选择企业 2、主办单位证件类型，企业请选择工商营业执照 3、投资人或主管单位，企业请填写法人姓名；其他单位请填写上一级主管单位全称 4、主办单位负责人请填写法人姓名 5、上传主办单位证件，企业需上传营业执照副本 6、域名所有者必须与主办单位名称或法人姓名保持一致 个人客户： 1、个体工商号没有字号的请选择个人，并在备注里说明“个体工商户” 2、域名所有者必须与主办人名称一致 3、宁夏管局不接受身份证为外省的个人用户备案 青海管局规则 企业客户： 1、首页URL只能填写域名列表中的任意一个 2、请在网站备注填写网站开办后的具体内容 个人客户： 1、首页URL只能填写域名列表中的任意一个 2、请在网站备注填写网站开办后的具体内容 3、青海管局不接受身份证为外省的个人用户备案 陕西管局规则 企业客户： 1、个体工商户请选择企业；如无字号需将营业执照字号等信息到当地工商局变更完整后备案 2、单位用户，域名所有人需与主办单位名称一致 3、主办单位负责人请填写法人姓名 4、主体信息下有5个或者5个以上域名的，要求全部附域名证书 5、网站首页URL需要与域名列表中的域名一一对应，两个首页URL之间必须用半角分号“;”隔开 6、上传主办单位证件，可扫描上传加盖公章的复印件 个人客户： 1、个人用户，域名所有人需与主办人名称一致 2、主体信息下有5个或者5个以上域名的，要求全部附域名证书 3、网站首页URL需要与域名列表中的域名一一对应，两个首页URL之间必须用半角分号“;”隔开 河南管局规则 企业客户： 1、企业用户必须使用企业营业执照备案，其他单位需提供组织机构代码证 2、主办单位或主办人名称，个体工商户无字号的请填写“个体工商户+法人姓名”，如，个体工商户张某某 3、备案的域名需与主办单位名称一致，新域名到期前3个月内不予备案 4、网站域名在成功取得备案号前，请确保网站是关闭状态 5、主办单位负责人姓名，单位用户请填写法人姓名 6、个体工商户如无公章需在备注中说明原因 7、首页URL只能填写域名列表中的任意一个 个人客户： 1、首页URL只能填写域名列表中的任意一个 2、个人性质备案，网站服务内容不能选为：个人博客/空间 3、非河南身份证，河南管局不予备案 安徽管局规则 企业客户： 1、个体工商户，一律按照企业性质备案，主办单位名称填写营业执照上的字号名称，无字号的填写法人姓名，并在主体备注中说明（个体工商户无公章） 2、主体负责人必须填写法人及其相关信息 3、域名所有人需与主办单位名称一致 4、首页URL只能填写域名列表中的任意一个 个人客户： 1、域名所有人需与主办人名称一致 2、首页URL只能填写域名列表中的任意一个 湖北管局规则 企业客户： 1、个体工商户一律按照企业备案 2、企业之外的其他单位请选择组织机构代码证 3、主办单位或主办人名称，个体工商户无字号的请填写法人姓名，并在备注中说明营业执照上没有字号名称的原因 4、单位用户，域名所有人需与主办单位名称一致 5、未备案域名不能开通网站访问 6、高中以上学校（含高中）的网站需办理教育类前置审批 个人客户： 1、个人用户，域名所有人需与主办人名称一致 2、个人性质备案，请在网站备案处填写网站开办后的具体内容 重庆管局规则 企业客户： 1、个体工商户请选择企业，如无公章需备注“个体工商户无公章” 2、个体工商户无字号的请填写法人姓名后面加“（个体工商户）”，如，张某某（个体工商户） 3、主办单位负责人姓名，单位用户请填写法人姓名 4、主办单位负责人手机号码，如为外地手机号码需在备注中说明“号码为外地号码，拨打需要加拨0” 5、单位用户，域名所有人需与主办单位名称或法人姓名一致 6、每个网站只能报备一个域名，即使多个域名指向同一网站，也需要分为多个网站报备 7、上传网站备案真实性核验单，核验单上日期栏请勿填写 个人客户： 1、个人备案，证件住所须为重庆本地 2、个人用户，域名所有人需与主办人名称一致 3、每个网站只能报备一个域名，即使多个域名指向同一网站，也需要分为多个网站报备 4、个人性质备案，请在网站备注中填写网站开办后的具体内容 5、上传网站备案真实性核验单，核验单上日期栏请勿填写 6、座机号码为选填项；如果不能提供座机号码，需在网站备注中填写一个紧急联系人手机号码。 四川管局规则 企业客户： 1、个体工商户有字号及公章请选择企业 2、网站首页URL需要与域名列表中的域名一一对应，两个首页URL之间必须用半角分号“;”隔开 3、个体工商户有字号的请选择企业 4、在主体备注处，个体工商户无公章、无字号等情况需说明“个体工商户无公章“、“个体工商户无字号” 5、域名所有人需与主办单位名称或法人名称一致，设置域名保护的域名需将域名保护取消，若不取消需提供域名证书提交至管局 6、主体需填写法人信息，主体负责人非法人需提供法人授权书 个人客户： 1、个人性质备案，网站服务内容不能选为：个人博客/空间 2、个体工商户无字号及公章请选择个人，需备注“个体经营” 3、网站首页URL需要与域名列表中的域名一一对应，两个首页URL之间必须用半角分号“;”隔开 4、个体工商户没有字号的请选择个人，并在备注里说明“个体工商户无字号”。 5、在主体备注处，个体工商户无公章、无字号等情况需说明“个体工商户无公章“、“个体工商户无字号” 6、首页URL只能填写域名列表中的任意一个 湖南管局规则 企业客户： 1、有工商字号的个体工商户以企业备案；没有工商字号的个体工商户以个人性质备案；有字号的个体工商户，核验单上必须加盖公章 2、主办单位负责人姓名，请填写法人姓名 3、主办单位负责人、网站负责人手机号需填写湖南本地手机号码 4、主办单位性质为非国家级单位的网站，不得以“中国”“中央”“国家”“中华”“人大”“人民”“反腐”“纪检”“监察”“信访”“维权”“投诉”等字头作为域名前缀出现 5、首页URL只能填写域名列表中的任意一个 6、网站负责人姓名如不是法人，需提供授权委托书 7、单位用户，域名所有人需与主办单位名称一致 8、域名注册商是国外的用户，域名不能在湖南省提交备案 个人客户： 1、没有工商字号的个体工商户以个人性质备案；有字号的个体工商户，核验单上必须加盖公章 2、同一证件号码、手机号码只能备案一次 3、备案的域名 4、个人用户，域名所有人需与主办人名称一致 5、域名注册商是国外的用户，域名不能在湖南省提交备案 6、首页URL只能填写域名列表中的任意一个 7、主办单位负责人、网站负责人手机号需填写湖南本地手机号码 江西管局规则 企业客户： 1、主办单位负责人姓名，单位用户请填写法人姓名 2、网站首页URL需要与域名列表中的域名一一对应，两个首页URL之间必须用半角分号“;”隔开 个人客户: 1、证件住所需为江西本省，如非江西本省，需上传江西省“暂住证”或“居住证” 2、网站首页URL需要与域名列表中的域名一一对应，两个首页URL之间必须用半角分号“;”隔开 3、核验单需加盖手印

本节简要介绍访问控制基本信息。 用户身份管理和访问控制（Identity and Access Management，简称IAM）是OOS为用户提供的用户身份与权限管理服务，您可以使用IAM创建、管理用户账号，并对这些账号进行权限分配，方便资源管理。 您只需为您在天翼云账户中的资源付费，无需为IAM单独付费。 注意 OOS的IAM能力和天翼云官网的IAM能力不互通。 功能特性 只要您拥有一个天翼云账号，即可拥有IAM功能，天翼云账号管理员可以： 创建、管理子用户账号。 控制子用户账号内资源具有的操作权限。 按需为用户分配不同权限，从而避免与其他用户共享资源使用、访问密钥的使用等，降低账号的信息安全风险。 多重身份认证：通过多因子操作认证（MFA）,在进行IAM相关操作时，可以使用MFA，为操作增加一份安全保障。 应用场景 用户管理与分权 企业中有不同的员工，各自职责不同，权限不同。有的员工需要进行上传下载对象的操作，有的员工只需要查看统计信息，有的员工只需要查看日志信息。通过IAM，可以为不同的员工分配不同的操作权限。 基本概念 根用户 ：用户首次创建CTYUN账户时，最初使用的是一个对账户中所有服务和资源有完全访问权限的登录身份，此身份称为根用户。 IAM用户： IAM用户是OOS中的一个实体，该实体代表使用它与OOS进行交互的人员或应用程序，由CTYUN账户在OOS中创建的用户，也称为子用户。默认情况下，新用户无权执行任何OOS操作或访问任何OOS资源。 用户组 ：用户组是用户的集合，IAM可以将IAM用户添加到对应的用户组，通过对用户组进行授权管理IAM用户，用户组的权限会影响用户组内的IAM用户。建议具备相同权限的IAM用户添加到同一用户组，方便管理。同一个IAM用户可以同时加入多个用户组。 MFA ：多因子认证（MultiFactor Authentication，简称MFA）是一种简单安全的二次认证方式，为用户增加了一层安全保护。仅子用户支持MFA。 授权 ：通过给用户组和用户添加策略，用户就能获得策略中定义的权限，这一过程称为授权。 策略 ：策略是以JSON格式描述权限信息的集合，可以精确地描述被授权的资源集、操作集以及授权条件。支持系统策略和自定义策略： 系统策略：OOS预先创建好的策略，用户可以根据自身需求，直接引用。对于系统策略，用户只能使用，不能修改。 自定义策略：用户自己创建的策略，用户可以对该类型策略进行修改和删除。

本节介绍了云容器引擎的产品功能。 功能特性 强大的集群管理 单集群支持数千节点规模 高性能自研网络插件，VM与容器直连互通，性能提升20% 丰富的集群插件，开箱即用 一站式容器应用管理 支持原生5种类型工作负载 内置应用模板，支持一键部署Helm应用 支持灰度发布，蓝绿发布，应用弹性伸缩 极致弹性&高效调度 支持HPA/CronHPA伸缩策略 支持基于历史指标/事件驱动的弹性伸缩 提供负载感知调度，解决原生k8s调度不均问题 企业级的安全稳定 支持3Master高可用，镜像服务高可用能力 提供集群备份恢复插件，支持多种存储介质 支持安全容器，提供镜像签名和镜像扫描 功能列表 一级分类 二级分类 功能点 功能点描述 核心功能 集群 一键快速部署 支持界面化订购，自动开通Kubernetes集群，兼容原生Kubernetes 核心功能 集群 节点管理 支持界面化进行扩缩容，支持节点标签、调度设置 核心功能 集群 命名空间 支持资源配额设置、支持网络隔离设置 核心功能 集群 运行时 支持Docker、Containerd 核心功能 工作负载 生命周期管理 支持应用创建、启停、扩缩容、注销等生命周期操作 核心功能 工作负载 工作负载 支持界面化发布有状态、无状态、守护进程、任务、定时任务等工作负载 核心功能 工作负载 多容器 支持一个Pod中发布多个容器，支持设置特权级容器 核心功能 工作负载 探针 支持界面化自定义策略检测应用的可用性 核心功能 工作负载 滚动升级 支持业务不中断平滑升级 核心功能 工作负载 亲和性/反亲和 支持主机及应用的亲和性与反亲和性调度 核心功能 工作负载 资源管控 支持容器级别的资源需求和限额设置，防止资源的浪费 核心功能 弹性调度 Pod弹性伸缩 支持自动伸缩规则设置，基于CPU/内存等资源自动伸缩应用，支持HPA、CronHPA和基于事件的弹性策略 核心功能 弹性调度 节点弹性伸缩 支持节点弹性伸缩 核心功能 弹性调度 负载感知调度 支持调度Pod时考虑节点的实际负载 核心功能 路由 多协议支持 支持TCP、UDP、HTTP以及HTTPS等协议 核心功能 路由 Service支持 支持NodePort、ClusterIP，LB等对外提供访问、支持无头服务 核心功能 路由 Ingress支持 支持Nginx Ingress 核心功能 路由 灰度/蓝绿发布 支持支持灰度/蓝绿发布，支持应用的多个版本在线运行 核心功能 配置管理 配置项 支持配置项 核心功能 配置管理 Secret 支持保密字典、凭证等 核心功能 网络 网络插件 支持高性能网络插件Calico 核心功能 网络 网络插件 支持自研网络插件CubeCNI实现容器与虚拟机网络直通 核心功能 网络 网络策略 支持容器访问策略和流控限制 核心功能 存储 多类型存储 支持Local、NFS、Ceph常见持久存储类；支持csi驱动程序，集成天翼云的云硬盘、弹性文件、对象存储等云存储 核心功能 存储 持久卷声明 支持界面化创建持久卷声明，支持监控存储使用量 核心功能 存储 持久卷 支持界面化创建持久卷，支持持久卷的动态生成 核心功能 日志管理 日志中心 支持容器日志的采集、存储和检索，支持集成三方开源日志解决方案 核心功能 监控与告警 监控中心 支持集群、节点、容器多级别的监控与告警配置，支持审计日志，支持集成三方开源监控解决方案 核心功能 系统管理 接入平台 作为平台组件对外提供服务，支持订单方式进行集群的开通、扩缩容、删除等 核心功能 系统管理 权限管理 多租户支持，租户资源隔离，用户角色授权，支持集群和命名空间的授权 高级功能 应用 插件市场 支持通过Chart对插件打包发布到插件市场，界面化一键部署监控等插件，通过插件与其他产品集成 高级功能 应用 模板市场 支持通过Chart对应用打包发布到模板市场，界面化安装部署等 高级功能 应用 有状态应用 支持挂载持久化存储，实现有状态应用容器化部署 高级功能 能力开放 OpenAPI 支持开放API，对接持续集成和私有部署系统 高级功能 高可用部署 Kubernetes高可用 支持Kubernetes高可用部署 容器镜像服务 镜像 镜像仓库 支持对接多镜像中心，支持界面化创建仓库 容器镜像服务 镜像 租户隔离 支持公开仓库的可见性及私有仓库的不可见性 容器镜像服务 镜像 镜像管理 支持管理海量镜像，支持多版本镜像 容器镜像服务 镜像 镜像收藏 支持快速检索镜像并收藏 容器安全 授权 权限管理 支持基于k8s RBAC授权 容器安全 配置安全 容器安全策略 支持SecurityContext配置

本节介绍了一键式重置密码插件漏洞说明 漏洞说明 弹性云主机提供了重置密码功能，当弹性云主机的密码丢失或过期时，可使用该功能进行一键式重置密码。 2022年1月14日以前的旧版本一键式重置密码插件“CloudResetPwdUpdateAgent ”使用了Apache Log4j2组件，会被安全工具扫描出漏洞。 表 漏洞信息 漏洞类型 CVEID 漏洞级别 披露/发现时间 修复时间 Apache Log4j2 远程代码执行 CVE202144228 严重 20211209 2022114 Apache Log4j2 远程代码执行 CVE202145046 严重 20211215 2022114 Apache Log4j2 拒绝服务 CVE202145105 中 20211218 2022114 Apache Log4j2 远程代码执行 CVE202144832 中 20211229 2022114 Apache Log4j2 信息泄露 CVE20209488 低 20200427 2022114 漏洞影响 一键式重置密码插件是弹性云主机内部运行的客户端进程，不对外提供任何网络服务。经分析验证，一键式重置密码插件无可利用条件，无安全风险。

conditions表 参数 参数类型 必选 说明 匹配方式 示例 bucket String 否 存储桶名称。 bucket {"bucket": "examplebucket"} key String 否 上传对象的名称。 eq、startswith ["eq", "$key", "ExampleObject"] xamzalgorithm String 是 指定签名的版本和算法，固定值为AWS4HMACSHA256。 xamzalgorithm {"xamzalgorithm": "AWS4HMACSHA256"} xamzcredential String 是 指明派生密钥的参数集。格式： / / /s3/aws4request。 xamzcredential {"xamzcredential": "afwnu54/20241216/useast1/s3/aws4request"} xamzdate String 是 请求的时间（遵循ISO 8601日期和时间标准）。格式：20241216T020211Z。 xamzdate {"xamzdate": "20241216T020211Z"} contentlengthrange String 否 上传对象时的最小以及最大允许的大小，单位是字节。 contentlengthrange ["contentlengthrange", 1, 10] successactionstatus String 否 上传成功后的返回状态码。 eq、startswith ["eq", "$successactionstatus", "201"] contenttype String 否 限制对象的文件类型。 eq、startswith ["eq", "$contenttype", "image/jpg"] xamzsecuritytoken String 否 安全令牌。仅在通过STS构造POST签名时需要该参数。可以通过调用STS服务的AssumeRole接口获取安全令牌。 xamzsecuritytoken {"xamzsecuritytoken": "ek+NvIdz"} cachecontrol String 否 缓存控制。 eq、startswith ["eq", "$cachecontrol", "nocache"]

本章节主要介绍安装客户端（3.x及之后版本）。 操作场景 该操作指导安装工程师安装MRS集群所有服务（不包含Flume）的客户端。Flume客户端安装请参见“组件操作指南 > 使用Flume > 安装Flume客户端”。 客户端可以安装集群内节点，也可以安装在集群外节点，本章节以安装目录“/opt/client”为例进行介绍，请以实际集群版本为准。 在集群外节点安装客户端前提条件 已准备一个Linux弹性云主机，主机操作系统及版本建议参见下表。 CPU架构 操作系统 支持的版本号 x86计算 Euler EulerOS 2.5 SUSE SUSE Linux Enterprise Server 12 SP4（SUSE 12.4） RedHat RedHat7.5x8664（RedHat 7.5） CentOS CentOS7.6版本（CentOS 7.6） 鲲鹏计算(ARM) Euler EulerOS 2.8 CentOS CentOS7.6版本（CentOS 7.6） 同时为弹性云服务分配足够的磁盘空间，例如“40GB”。 弹性云主机的VPC需要与MRS集群在同一个VPC中。 弹性云主机的安全组需要和MRS集群Master节点的安全组相同。 弹性云主机操作系统已安装NTP服务，且NTP服务运行正常。 若未安装，在配置了yum 源的情况下，可执行yum install ntp y命令自行安装。 需要允许用户使用密码方式登录Linux弹性云主机（SSH方式）。

客户端打开后要求输入的企业标识如何获取？ 企业认证标识是登录客户端的重要凭证，建议采用自身公司身份相关的进行定义。 可登录边缘安全加速平台对应控制台企业服务进行获取。 问题故障分析 部署连接器后，仍然显示连接器“未激活”，如何定位排查？ 确认是否连接器能对外联网。 确认连接器是否对外网络出方向有进行防火墙限制，若有，需放开对应端口的网络出口访问。 客户端网络正常，但是客户端访问内部系统失败可能是什么原因？ 访问失败存在很多场景，以下列举几种常见情况，如未找到有效解决方式，请联系我们。 检查客户端是否处于在线状态，若非在线状态，则隧道连接已断开，无法访问内部系统。 检查应用是否针对该用户已授权，若未授权，则无法进行访问。 检查应用类型是否选择错误，如ssh 协议选择Web类型应用，则可能导致访问出现异常。 查询内网审计日志，判断是否被零信任网关拦截。 检查应用与连接器是否处于连通状态，可通过连接器机器telnet对应的应用ip和端口，确认是否是连接器与应用无法连通导致。 客户端短信验证码收不到如何解决？ 若您选择将手机号直接设置为登录账号，发送账号新增通知时，短信会携带手机号则短信存在被运营商拦截的风险，可能导致您无法正常接收。这是因为运营商为防范诈骗风险，会对含 "手机号”的短信进行严格校验，易触发拦截规则。 其他情况下若未收到短信，您可按以下方式排查： 检查平台手机号填写准确性，若填写错误可修正后尝试； 检查手机系统的「骚扰拦截箱」或「垃圾短信箱」（如华为手机在【安全中心 骚扰拦截】中查看，小米手机在【手机管家 骚扰拦截】中查询）； 查看第三方安全软件（如手机管家）的拦截记录，确认是否存在误拦截情况； 联系手机号所属运营商（移动 10086 / 联通 10010 / 电信 10000）查询短信发送状态。

导出资源信息 云堡垒机支持批量导出资源信息，用于本地备份资源配置，以及便于快速管理资源基本信息。 为加强资源信息安全管理，支持加密导出资源信息。 导出的主机资源文件中包含主机基本信息、主机下所有资源账户信息、主机资源账户明文密码等。 导出的应用服务器文件中包含应用服务器基本信息、应用服务器帐户信息、应用路径信息、服务器帐户明文密码等。 导出的应用发布文件中包含应用发布基本信息、应用资源账户信息、应用资源账户明文密码等。 导出的资源账户文件中包含资源账户基本信息、关联资源信息、资源地址信息、资源账户明文密码等。 前提条件 已分别获取“主机管理”、“应用服务器”、“应用发布”、“资源账户”模块操作权限。 批量导出主机资源信息 1. 登录云堡垒机系统。 2. 选择“资源 > 主机管理”，进入主机管理列表页面。 3. 勾选需要导出的主机。 若不勾选，默认导出全部主机。 4. 单击“导出”，弹出导出主机资源确认窗口。 5. 导出确认。 （可选）设置加密密码：可选择设置。不设置，下载的主机资源文件为未加密的CSV格式；设置密码，下载的主机资源文件为加密的ZIP格式。 （必选）用户密码：输入当前用户的登录密码，验证通过才允许导出主机资源信息，确保资源账户密码安全。 单击“确定”，即可下载CSV格式文件或加密的ZIP格式文件保存到本地。 批量导出应用服务器信息 1. 登录云堡垒机系统。 2. 选择“资源 > 应用发布 > 应用服务器”，进入应用服务器列表页面。 3. 勾选需要导出的应用服务器。若不勾选，默认导出全部应用服务器。 4. 单击“导出”，弹出导出应用服务器确认窗口。 5. 导出确认。 （可选）设置加密密码：可选择设置。不设置，下载的应用服务器文件为未加密的CSV格式；设置密码，下载的应用服务器文件为加密的ZIP格式。 （必选）用户密码：输入当前用户的登录密码，验证通过才允许导出应用服务器信息，确保资源账户密码安全。 单击“确定”，即可下载CSV格式文件或加密的ZIP格式文件保存到本地。

本节为您介绍权限管理的概念。 在协同使用资源的场景下，如果您需要根据实际的职责权限情况配置用户使用权限，可使用 统一身份认证（Identity and Access Management，简称IAM）服务，创建多个IAM用户并为其授予不同的权限，实现不同IAM子用户可以分权管理不同的资源，从而提高管理效率，降低信息泄露风险。通过IAM可实现精细化权限管理、安全访问、批量管理用户权限、委托其他帐号管理资源等功能。您可以创建并为IAM用户或用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 IAM是天翼云提供的免费基础服务，您只需为购买资源进行付费。关于IAM的详细介绍，请参见IAM产品介绍。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略：预置的系统策略，您只能使用不能修改。云助手相关的系统策略包含如下： Admin：云助手的管理者权限，包含云助手所有控制权限（不含订单类权限）。 Viewer:云助手的观察者权限，包含云助手的列表页与详情页面权限。 自定义策略：您按需自行创建和维护的权限策略。

调试测试计划 新增或修改测试计划后，可通过调试快速发现语法或配置错误，确保该模型在任务中可用。 1、登录性能测试控制台，在左侧导航栏中选择“JMeter测试工程”。单击待调试测试计划所在工程后的。 2、在“测试计划列表”页签中，单击待调试的测试计划操作栏中的。 3、在弹出的对话框中，选择“资源组类型”后单击“启动调试”。 4、在“调试日志”页签，查看调试的操作日志。 调试日志 5、调试完成后，在“结果”页签，查看测试计划调试的具体内容。 如果调试结果报错，可根据错误日志信息，修改jmx文件后重新导入。导入方法请参见管理测试计划中的修改测试计划部分。 启动测试计划 测试计划指通过在不同压测点执行一系列测试，持续对系统发起压力测试，通过测试获取并分析系统运行的性能数据。 您可以在一个测试工程中添加多个测试计划。 前提条件 确保资源组状态为“运行中”。 确保资源组的调试节点上的32001和32003端口在安全组被开启。 确保资源组的执行节点和被压测的应用之间网络互通。 操作步骤 1、登录性能测试控制台，在左侧导航栏中选择“JMeter测试工程”，单击待操作工程后的。 2、创建测试计划，具体操作请参见创建测试计划。 3、创建完成后，单击任务操作栏的。 4、在“启动测试任务”对话框中，选择对应的资源组。 5、单击“启动”，启动测试任务。然后可以单击“查看报告”来查看实时性能报告。 说明 压测时长建议至少300s，并发数请根据被压测应用的实际情况填写。通过多次调整压测数据进行反复测试，得到应用所能承受的最大值，进行持续优化和验证。 管理测试计划 测试计划创建成功后，您可以对测试计划进行管理。

本文介绍状态码内容。 1、请求状态码 正常状态码 描述 200 请求成功 3 请求转移 4 客户端错误 5 服务端错误 2、通用错误码 错误码指返回结果中的statusCode字段 错误码 描述 CTAPI10002 生成签名时官网ak信息错误 CTAPI10009 签名不匹配。请仔细检查生成签名所用的query、body、header参数是否与签名生成时所用一致。 CTAPI10020 签名错误 40001 缺少鉴权信息 40002 用户系统异常 40003 用户无效。请确认输入的ak/sk对应用户有权限访问租户资源。 40004 接口执行异常 40005 知识库不存在 40006 知识库名称重复 40007 类目不存在 40008 类目名称重复 40009 文档不存在 40010 文档上传失败 40011 上传的知识库文档格式暂不支持 40012 参数校验失败 40013 对话出现异常 40014 类目不唯一 40015 业务异常，详见错误信息字段 40016 用户权限不足 40017 该操作尚未开放 40018 文件大小超过限制 40019 自定义切分策略不合法 40020 HTTP方法不被允许

本文介绍状态码内容。 1、请求状态码 正常状态码 描述 200 请求成功 3 请求转移 4 客户端错误 5 服务端错误 2、通用错误码 错误码指返回结果中的statusCode字段 错误码 描述 CTAPI10002 生成签名时官网ak信息错误 CTAPI10009 签名不匹配。请仔细检查生成签名所用的query、body、header参数是否与签名生成时所用一致。 CTAPI10020 签名错误 40001 缺少鉴权信息 40002 用户系统异常 40003 用户无效。请确认输入的ak/sk对应用户有权限访问租户资源。 40004 接口执行异常 40005 知识库不存在 40006 知识库名称重复 40007 类目不存在 40008 类目名称重复 40009 文档不存在 40010 文档上传失败 40011 上传的知识库文档格式暂不支持 40012 参数校验失败 40013 对话出现异常 40014 类目不唯一 40015 业务异常，详见错误信息字段 40016 用户权限不足 40017 该操作尚未开放 40018 文件大小超过限制 40019 自定义切分策略不合法 40020 HTTP方法不被允许

本文将帮助您了解什么是IPv4网关,以及IPv4网关的使用限制、配额限制等内容。 什么是IPv4网关 IPv4网关是连接虚拟私有云和公网的网络组件。虚拟私有云访问IPv4公网的流量经过IPv4网关，由IPv4网关实现路由转发以及私网地址到公网地址的转换，最终实现对公网的访问。 地域支持情况 天翼云部分资源池支持IPv4网关功能，实际情况以控制台展现为准。 使用限制 VPC创建后默认生成一个IPv4网关和指向IPv4网关的缺省路由规则。 IPv4网关当前仅支持IPv4流量。 一个VPC下只支持创建一个IPv4网关，且一个IPv4网关仅能关联一个VPC。 一个IPv4网关仅能绑定一张网关路由表。 VPC删除时会连带删除IPv4网关。 配额限制 资源 默认限制 提升配额 单个VPC支持的IPv4网关个数 1个 无法提升 单个IPv4网关支持的网关路由表个数 1个 无法提升

本节介绍如何在Web应用防火墙v1.0中进行Syslog日志外发配置。 前提条件 已购买Web应用防火墙v1.0资源，且资源状态为“运行中”。 操作步骤 1. 登录云等保专区控制台，在左侧导航栏，选择“Web应用防火墙 > Web应用防火墙v1.0”，在目标资源右侧操作列单击“配置”，进入Web应用防火墙界面。 2. 在Web应用防火墙导航栏，选择“日志报表 > 日志管理配置 > Syslog配置”。 3. 在“Syslog配置”中，将“启用syslog”字段改为“是”，日志内容根据需求选择对应传输格式，单击“确定”。 4. 点击服务器地址中的“添加”。 5. 在弹窗中填写对应需要日志外发的目的地“服务器地址”，“服务器端口”，单击“保存”，即可完成Syslog外发配置。

参数 类型 说明 是否必要 CannedACL S3CannedACL 配置上传对象的预定义的标准ACL信息 否 ContentBody string 上传对象的数据内容，与FilePath、InputStream任选其一作为上传对象数据的来源 否 ContentType string 描述上传文件格式的标准MIME类型 否 FilePath string 上传文件的本地路径，与ContentBody、InputStream任选其一作为上传对象数据的来源 否 InputStream Stream 对象的数据，与ContentBody、FilePath任选其一作为上传对象数据的来源 否 Bucket string 桶的名称 是 MD5Digest string 上传对象数据的base64编码的128位MD5值，不包含请求头部的信息 否 Key string 上传文件到媒体存储服务后对应的key 是 Tagset List<Tag> 对象的标签信息 否 WebsiteRedirectLocation string 如果桶被配置用于提供网站的静态数据，该参数可以用于设置访问对象时候重定向到当前桶下的其他对象或者外部的URL 否

更新日期 更新内容 20220430 第一次正式发布。 本次更新说明如下： 官网正式上线API文档，包含：域名管理、证书管理、刷新预热、统计分析、屏蔽解封、日志下载、辅助工具等类别的API。 20220831 第二次正式发布。 本次更新说明如下： 上线账单服务API，包含：查询计费账单、查询资源包、查询开通服务基本信息、域名计费值查询。 20220930 第三次正式发布。 本次更新说明如下： 上线标签管理API，包含：新增标签、查看标签、删除标签、标签关联域名。 20221031 第四次正式发布。 本次更新说明如下： 上线报表管理API，包含：新增报表订阅、更新报表订阅、查询报表订阅详情、删除报表订阅。 20221130 第五次正式发布。 本次更新说明如下： 上线边缘脚本API，包含：创建或修改预部署环境脚本、查询预部署环境的编译结果、获取预部署节点VIP、查询预部署环境的边缘脚本配置、预部署环境配置转生产、预部署环境配置回滚、删除脚本配置、查询预部署环境异常运行情况。

本文主要介绍 产品定义。 Kafka是一个拥有高吞吐、可持久化、可水平扩展，支持流式数据处理等多种特性的分布式消息流处理中间件，采用分布式消息发布与订阅机制，在日志收集、流式数据传输、在线/离线系统分析、实时监控等领域有广泛的应用。 分布式消息服务Kafka是一款基于开源社区版Kafka提供的消息队列服务，向用户提供计算、存储和带宽资源独占式的Kafka专享实例。使用分布式消息服务Kafka，资源按需申请，即买即用，您将有更多精力专注于业务快速开发，不用考虑部署和运维。 关于Kafka的帮助手册阅读指引 受限于篇幅，我们提供的Kafka帮助手册重点描述产品相关的内容，以及与开源社区版Kafka的差异部分，例如Kafka的产品规格、控制台操作、客户端对接等。 如果您需要了解Kafka入门知识或消息生产、消费等方面的技术细节，请查阅Kafka官网资料。

本节介绍了将自定义数据库移出可用性组的相关内容。 操作场景 使用存储过程将某个自定义数据库从可用性组“[AGRDSYUN]”中移除。 说明 该存储过程仅支持SQL Server 2019 企业版。 前提条件 成功连接RDS for SQL Server实例。 要进行移除的数据库必须已加入到[AGRDSYUN]可用性组中。若对未加入到该可用性组中的数据库进行移除，系统将会如下提示： plaintext Database 数据库名 is not joined to AGRDSYUN. 约束 对于系统库，不可进行移除操作。如果您试图移除系统库，系统将会如下提示： plaintext Error DBName can not in ('msdb','master','model','tempdb','rdsadmin','resource') . 操作步骤 执行以下命令， EXEC rdsadmin.dbo.rdsremovedatabasefromag '@DBName'; @ DBName是需要移除的自定义数据库名称。 将数据库testDB1从可用性组[AGRDSYUN]中移除，示例如下： EXEC rdsadmin.dbo.rdsremovedatabasefromag 'testDB1';

SSL证书审核需要多久时间？ SSL 证书审核时间取决于申请的证书类型。 DV证书：完成域名验证后，立即签发（1天内）； OV证书：确认好组织验证方式，提交审核后35个工作日审核时间 期间需要配合完成组织和域名验证 ； EV证书：确认好组织验证方式，提交审核后57个工作日审核时间 期间需要配合完成组织和域名验证 。 为什么证书验证状态长时间停留在审核中？ 域名验证/组织审核未完成前，订单会处于审核中，组织审核问题会有对应交付人员跟进处理，请您耐心等待。 SSL证书提交申请后需要做什么？ DV证书需要及时去完成域名验证，即可签发证书；OV/EV证书需要配合交付人员先完成组织审核。 收到CA机构的邮件或电话如何处理？ 电话方式：接到审核电话所有问题如实回答即可。 邮箱方式：收到组织验证邮件后，按照邮件提示操作。 新购买的SSL证书是否需要重新审核？ 需要，购买SSL证书都需要完成域名验证/组织审核。 域名未通过安全审核该怎么办？ 问题现象： 有的域名由于命中CA的品牌高风险保护，则会无法通过安全审核。 解决办法： 通过400热线反馈给CA，等CA人工审核结果，若还是无法通过则无法签发证书，需要换域名申请或签发自签发证书。

若用户不再使用态势感知防护功能，可执行退订或一键取消操作。 包周期（包年/包月）计费模式：预付费方式。 按需计费模式：按小时计费方式。资源即开即停，支持一键“取消”释放资源。 退订包周期专业版 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理控制台。 3. 单击右上角“专业版”，显示版本管理窗口。 4. 针对包周期购买的资产配额，单击“退订”，进入“退订管理”列表页面。 5. 在需要退订的实例所在行，单击“操作”列中的“退订资源”，进入“退订资源”页面。 6. 确认待退订资源信息，选择退订原因，并勾选退订确认。 7. 单击“退订”，在退订管理页面确认退订。 退订成功后，返回版本管理窗口，包年/包月计费的资产配额已取消。 退订按需专业版 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理控制台。 3. 单击右上角“专业版”，显示版本管理窗口。 4. 针对按需购买的版本，单击“取消”，一键释放按需计费的资产配额。 返回版本管理窗口，按需计费的资产配额资源已取消。

本文介绍基于NAT网关和云专线的混合云Internet加速的操作实践。 使用背景 用户通过专线已连接到天翼云VPC的IDC，自身无internet或希望统一线上线下公网出口，可以选择使用天翼云NAT网关作为统一公网出口，实现混合云Internet加速。 方案优势 节省成本：云上云下多台服务器，可以通过NAT网关功能共用同一弹性IP，可以有效降低成本。 配置简单，即开即用：NAT网关关联的弹性IP可以根据需求调整带宽大小，以适应应用流量变化的需求。 安全高效：云专线提供云上云下高速、低时延、稳定安全的专属连接通道，结合NAT网关的SNAT和DNAT功能，可满足各类用户带宽需求。 方案涉及产品 VPC，NAT网关，弹性IP，云专线 方案架构 本方案网络拓扑架构如图所示 实现方式如下： 1. 通过云专线将用户IDC与VPC连通。 2. 在VPC中搭建公网NAT网关，连通Internet。 操作步骤 步骤一：创建云上VPC环境 配置云专线需要做好云上VPC和本地数据中心的网段规划，确保云上VPC网段和本地IDC网段没有冲突或重叠。 具体操作步骤参见虚拟私有云创建VPC、子网搭建私有网络。

检查主备集群RegionServer之间的网络连接 2.执行ping命令，查看故障RegionServer节点和备集群RegionServer所在主机的网络连接是否正常。 是，执行步骤5 否，执行步骤3 3.联系网络管理员恢复网络。 4.网络恢复后，在告警列表中，查看本告警是否清除。 是，处理完毕。 否，执行步骤5。 检查主集群RegionServer的Region分布情况 5.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HBase”，单击“HMaster(主)”，打开该HBase实例的WebUI，查看Region Servers上Region分布是否均衡。 6.以omm用户登录故障RegionServer节点。 7.进入客户端安装目录，设置环境变量。 cd 客户端安装目录 source bigdataenv 如果集群采用安全版本，要进行安全认证。执行kinit hbase命令，按提示输入密码（向管理员获取密码）。 8.执行以下命令查看目前负载均衡功能是否打开。 hbase shell balancerenabled 是，执行步骤10。 否，执行步骤9。 9.在hbase shell中执行命令打开负载均衡功能，并执行命令查看确认成功打开。 balanceswitch true balancerenabled 10.执行balancer命令手动触发负载均衡。 说明 建议打开和手动触发负载均衡操作在业务低峰期进行。 11.观察该告警是否清除。 是，处理完毕。 否，执行步骤12。

交换IP操作步骤 步骤 1 登录分布式缓存服务管理控制台。 步骤 2 在管理控制台左上角单击，选择实例所在的区域。 步骤 3 单击左侧菜单栏的“数据迁移”，页面显示迁移任务列表页面。 步骤 4 单击右上角的“创建在线迁移任务”。 步骤 5 设置迁移任务名称和描述。 步骤 6 配置在线迁移任务虚拟机资源的VPC、子网和安全组。 创建在线迁移任务时，需要选择迁移虚拟机资源的VPC和安全组，并确保迁移资源能访问源Redis和目标Redis实例。 步骤 7 参考配置在线迁移任务配置迁移任务，此处迁移方式只能选择“全量迁移+增量迁移”。 步骤 8 在“在线迁移”页面，当迁移任务状态显示为“增量迁移中”时，单击操作列的“更多 > 交换IP”打开交换IP弹框。 步骤 9 在交换IP弹框中，在交换域名区域，选择是否交换域名。 说明 如果使用域名，则必须要选择交换域名，否则客户端应用需要修改使用的域名。 如果没有使用域名，则直接更新两个实例的DNS。 步骤 10 单击“确定”，交换IP任务提交成功，当迁移任务的状态显示为“IP交换成功”，表示交换IP任务完成。 结束

此小节介绍避免勒索 事前举措 由于勒索攻击高强度加密算法的难破解性和数字货币交易方式的隐蔽性， 解决勒索攻击的首要是构建“安全能力前置”，提升自身的“免疫力” 。 建议按照如下加固方式开展事前勒索防护： 收敛互联网暴露面： 定期扫描外部端口，保证公开范围最小化。 减少系统风险入口： 定期开展漏洞扫描及系统风险配置参数扫描，第一时间修复漏洞及风险项，减小系统风险等级。同时，应关注软件厂商发布的安全漏洞信息和补丁信息，及时做好漏洞管理和修复工作。 加强网络访问控制： 各企业应具有明确的网络安全区域划分、访问限制规则，最小化开放访问权限，及时更新访问控制规则。 关键数据备份： 加强重要数据备份工作，可靠的数据备份可以最小化勒索软件带来的损失。需要主动加密存储和定期备份关键业务数据，并合理设置备份保留策略，确保被勒索攻击后存在有效副本可以恢复数据。 加强帐号权限管控： 通过身份管理、细粒度权限控制等访问控制规则为企业不同角色分配帐号并授权，同时应提升特权账户的安全性。在另一方面，企业关键业务资产，需要妥善设置并保存帐号及口令信息。关键资产上，配置双因素认证鉴别登录人员身份，可有效防范系统爆破风险。 搭建高可靠业务架构： 采用集群模式的云服务部署模式。当某一个节点发生紧急问题，业务切换至备用节点，提升业务系统可靠性能力，也可防止数据丢失。在资源允许的条件下，企业或组织可以搭建同城或异地容灾备份系统，当主系统出现发生勒索事件后，可以快速切换到备份系统，从而保证业务的连续性。 制定安全事件应急预案： 建立应对勒索病毒攻击等网络安全突发事件的应急组织体系和管理机制，明确工作原则、职责分工、应急流程、关键措施等。一旦发生勒索病毒攻击事件，立即启动内部网络安全应急预案，标准化开展应急处置工作来减轻、消除勒索病毒攻击影响。 加强企业员工安全意识： 通过培训、演练等方式提高员工网络安全意识，明确国家网络安全法令及公司网络安全规范，能够识别网络钓鱼等常见的网络安全攻击，具备一定的事件处理能力，知晓安全事件带来的后果和影响。

前提条件 创建私有镜像前，请您务必执行以下操作： 请将云主机中的敏感数据删除后再创建私有镜像，避免数据安全隐患。 确保云主机处于运行中或关机状态。 检查云主机的网络配置，确保网卡属性为DHCP方式。详情请参见设置网卡属性为DHCP（Linux）。 有些云主机正常运行或者高级功能依赖某些驱动，例如：P1型云主机依赖NVIDIA驱动。因此，需要提前安装特殊驱动。详情请参见安装Linux特殊驱动。 检查云主机中是否已安装一键式重置密码插件，保证镜像创建的新云主机可以使用控制台的“重置密码”功能进行密码重置。详情请参见安装一键式重置密码插件（Linux）。 检查云主机中是否已安装CloudInit工具，保证镜像创建的新云主机可以使用控制台的“用户数据注入”功能注入初始化自定义信息（例如为云主机设置登录密码）。详情请参见安装CloudInit工具和配置CloudInit工具。 清理网络规则文件，避免镜像创建的新云主机发生网卡名称漂移。详情请参见清理网络规则文件。 为了确保镜像创建的新云主机同时支持XEN虚拟化和KVM虚拟化，请优化Linux云主机，包括修改“grub”、“fstab”文件的磁盘标识方式为UUID、安装原生的XEN和KVM驱动等操作。 详细操作请参考优化过程（Linux）中的步骤2~步骤6。 如果云主机挂载了多个数据盘，可能导致由私有镜像创建的新云主机无法使用。因此在创建私有镜像前，需要卸载原云主机中挂载的所有数据盘。详情请参见卸载云主机的数据盘。 如果云主机挂载了数据盘，并在初始化时设置了开机自动挂载磁盘分区，在创建私有镜像前，需要删除fstab文件中的开机自动挂载磁盘分区的配置。 说明 如果待创建私有镜像的云主机使用的是公共镜像，那么默认已安装一键式重置密码插件和CloudInit工具，指导中均提供了验证是否安装的方法，您可以参考相应内容确认。

AppKey和AppSecret 客户端调用API 时，需要使用已授权签名密钥对请求内容的关键数据进行加密签名计算，并且将APP Key和加密后生成的字符串放在请求的 Header 传输给API网关，API网关会读取请求中的APP Key的头信息，并且根据APP Key的值查询到对应的APP Secret的值，使用APP Secret对收到的请求中的关键数据进行签名计算，并且使用自己的生成的签名和客户端传上来的签名进行比对，来验证签名的正确性。只有签名验证通过的请求才会发送给后端服务，否则API网关会认为该请求为非法请求，直接返回错误应答。 AppCode简单认证 扩展功能，暂未上线，作为保留字段。 AppCode简单认证就如同字面含义，旨在为用户提供一种快捷简单的认证方式去进行授权签名，无需在客户端实现复杂的签名算法，其作用等同于AppKey和AppSecret配对使用的效果。 后续将会允许用户通过header或者query参数调用AppCode，进行简单认证。 注意 简单认证方式调用非常省事，免去了复杂的签名过程，但是把AppCode作为明文暴露网络中传输，会带来一些安全隐患，存在丢失AppCode的风险。 API对消费者鉴权和自定义鉴权插件之间的关系? 消费者/应用配置可以在不同资源池中可以共享，在租户/用户级别上是隔离的，也即是说用户User1在区域Region1创建了的应用AppA，当用户User1切换区域到RegionB后，在应用列表可以看到AppA，并且可以对AppA进行修改、解除API的授权等操作，该操作在用户User1下所有区域及区域下已授权的所有API中进行同步。 自定义鉴权插件，对网关来讲属于实例级别的应用范围。用户在当前实例Instance1下添加的鉴权配置（插件配置管理），只适用于实例Instance1中所有的API。 总体来讲，消费者适用于租户级别下的API授权管理，不受区域、资源池、实例的限制；自定义鉴权插件，通常是作用与实例级别下的API授权管理，范围更小。

本文介绍我对存储在媒体存储上的数据加密时，可支持哪些加密技术。 您在将数据上传到媒体存储前，可以事先对数据进行加密，以保证传输和保存的安全性。媒体存储不限定客户端加密的技术。 用户可根据需要对对象进行服务端加密，使对象更安全地存储，当启用服务端加密功能后，用户上传对象时，数据会在服务端加密成密文后存储。用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。媒体存储支持完全由服务端生成和托管加密密钥的服务端加密（SSEXOS）。具体可参考：服务端加密。

项目 说明 部署方式 独享引擎 使用场景 业务服务器部署在云上。 大型企业网站，具备较大的业务规模且基于业务特性具有定制化的安全需求。 防护对象 域名 IP 优势 部署灵活 独享引擎实例资源由用户独享 可以满足大规模流量攻击场景防护需求 独享引擎实例部署在VPC内，网络链路时延低

本文介绍了RDSPostgreSQL实例连接设置与访问的常见问题。 实例是否支持更换VPC RDSPostgreSQL不支持通过控制台更换VPC，订购实例时请谨慎选择实例VPC。 RDSPostgreSQL是否能跨地域内网访问 跨地域内网默认不能访问，不同区域的云服务之间内网互不相通。您可以通过公网访问，或者通过云连接/VPN打通网络实现内网访问。 如您需要跨地域访问实例时，您可为实例绑定弹性公网IP进行访问，请参见通过psql命令行公网连接实例。 外部服务器或应用程序如何访问VPC内的RDSPostgreSQL数据库 开通公网访问的实例 对于开通公网访问功能的云数据库实例，可以通过外网进行访问。 具体连接方式请参见：通过公网连接实例。 未开通公网访问的实例 对于未开通公网访问功能的云数据库实例，只能在相同资源池的相同VPC下通过内网访问。 具体连接方式请参见：通过内网连接实例。 绑定公网IP后无法ping通的解决方案 当实例绑定公网IP后无法ping通的排查方法如下： 1. 检查安全组规则。 2. 使用相同区域主机进行ping测试。 具体安全组配置方式，您可参考安全组配置示例。 应用程序是否需要支持自动重连数据库 建议您的应用程序支持自动重连数据库功能，以确保在数据库连接出现故障或断开连接时，应用程序能够自动重新连接数据库，提高系统的可用性和稳定性。同时，建议您采用长连接方式连接数据库，以减少频繁的连接和断开操作，降低资源消耗，提高系统性能。 ECS（弹性云主机）内网访问RDSPostgreSQL，是否受带宽限制 ECS、RDSPostgreSQL内网访问不受带宽限制，公网访问带宽限制根据您绑定的EIP产品带宽有所限制。 如何查看当前时间所有连接数据库的IP 如您需要查看当前实例所有连接的IP，您可在连通实例后，通过数据库命令行执行以下SQL语句，查看所有的活动IP连接数。 sql SELECT clientaddr FROM pgstatactivity WHERE state 'active';

同一个微服务引擎可能会有多个用户共同使用，而不同的用户根据其责任和权限，需要具备不同的微服务引擎访问和操作权限。 开启了“安全认证”的微服务引擎专享版，通过微服务控制台提供了基于RBAC（RoleBased Access Control，基于角色的访问控制）的系统管理功能。 开启了“安全认证”的微服务引擎专享版，支持Spring Cloud、Java Chassis微服务框架正常接入。 说明： 基于RBAC的系统管理功能与IAM权限管理无关，仅是CSE内部微服务的权限管理机制。 如果您通过ServiceStage控制台操作微服务引擎，必须同时具备IAM和RBAC的操作权限，且IAM权限优先级要高于RBAC权限。 如果您通过API接口或者微服务框架操作微服务引擎，则只需具备RBAC相关权限。 当前系统管理功能仅支持微服务权限管理，暂不支持配置管理、服务治理。 1. 您可以使用关联了admin角色权限的帐号创建新帐号，根据实际业务需求把合适的角色同帐号关联。使用该帐号的用户则具有对该微服务引擎的相应的访问和操作权限。 − 创建开启了“安全认证”的微服务引擎专享版时，系统自动创建1个关联了admin角色权限的root帐号。不能编辑、删除root帐号。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建新帐号。创建和管理帐号，请参考帐号管理。 2. 您可以使用关联了admin角色权限的帐号创建自定义角色，根据业务需求把合适的微服务引擎访问和操作权限赋予该角色。 − 系统默认内置两种角色：管理员（admin）、开发者（developer）。不能编辑、删除内置角色。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建自定义角色。创建和管理角色，请参考角色管理。 − 角色权限说明，请参见下表。 表 角色权限说明 角色 权限说明 admin 具有该微服务引擎下所有微服务、帐号和角色的所有操作权限。 developer 具有该微服务引擎下所有微服务的所有操作权限。 自定义角色 根据实际业务需求创建角色，给角色分配相应微服务的操作权限。

概述 JWT全称为 JSON Web Token，是一种开放标准（RFC 7519），它定义了一种在通信各方之间以JSON对象形式安全传输信息的方式。JWT可以使用HMAC、RSA、ECDSA等算法签名；在应用中，JWT可以用于用户身份认证和访问鉴权。云原生网关作为微服务的访问入口，是实现认证鉴权的理想节点，当前云原生网关支持JWT认证方式，交互流程如下： 1. JWT签发阶段，云原生网关对这类接口访问不做认证，将请求透传到业务授权服务。 2. 业务授权服务认证成功后签发JWT并返回给客户端，在后续的请求中客户端会带上JWT。 3. 云原生网关收到正常的业务请求时提取JWT并校验签名信息，校验通过则放过请求，否则返回401状态码。 JWT策略配置 云原生网关支持全局的JWT策略配置，在 安全认证 > 认证鉴权 菜单下，选择创建鉴权，鉴权类型选择JWT，填写相关参数即可创建JWT认证策略，JWT配置参数说明如下： 配置 说明 鉴权名称 唯一标识一个JWT鉴权配置，只能包含大小写字母、数字和‘’，且不能以‘’开头或者结尾。 加密算法 支持HS256、HS512、RS256。 密钥 选择HS256/ HS512算法时填写，需要指定是否base64编码，并提供密钥。 RSA密钥 选择RS256算法时填写，需要提供RSA算法公钥和私钥。 JWT Token配置 网关从请求获取JWT Token的位置，支持指定header、query和Cookie的key。 过期时间 JWT Token过期时间，默认86400秒。

本文介绍批量配置HTTPS证书的方法。 功能介绍 边缘安全加速平台支持HTTPS加速服务，您可以通过控制台上传证书，并批量关联域名启用HTTPS加速服务，实现全网数据加密传输。 适用场景 该功能适用于多域名需同时开启HTTPS服务的场景。 注意事项 批量HTTPS证书配置一次最多能关联100个域名，筛选范围仅包含域名状态为已启用且无在途工单的域名。 域名绑定证书后会开启域名HTTPS功能。 配置说明 1. 登录边缘安全加速平台控制台。 2. 单击左侧导航栏【证书管理】【证书列表】。 3. 在【证书列表】页面，单击左上角【添加自有证书】，并上传证书。 4. 证书上传完可开始【绑定域名】。 5. 选择需绑定该证书的域名，单击【提交绑定】即可。 参数名 说明 证书备注名 证书备注名，是指在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便选择时，选定正确的证书与所配置的域名进行关联。 如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 证书公钥（PEM格式） 只支持PEM格式。如果为其他格式，请先转换。 证书私钥（PEM格式） 只支持PEM格式。如果为其他格式，请先转换。