本节介绍威胁分析能力。 当告警列表中积累了较多威胁告警信息时，您可以使用“威胁分析”功能，从“攻击源”或“被攻击资产”的维度分析网络攻击情况。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版） ”，进入态势感知管理页面。 3. 在左侧导航栏选择“威胁告警”，进入威胁告警页面后，选择“威胁分析”页签，进入威胁分析管理页面。 4. 在下拉框中选择条件“攻击源”或“被攻击资产”、“发生时间”，并输入待查询的IP地址，单击“开始分析”。 说明 发生时间可选择“今天”、“昨天”、“近3天”、“近7天”、“近30天”、“近半年”。 5. 在列表栏查看符合过滤条件的威胁信息，可以直观看到该攻击源对哪些资产发起了何种类型的攻击，或被攻击资产遭到了哪些攻击。

本节主要介绍如何进行托管授权。 操作场景 托管创建完成后，需要到目标工作空间所属账号中进行授权。授权后，被托管空间将挂载到托管账号下的空间中，进行统一管理。 前提条件 已创建托管，详细操作请参见创建托管。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间托管”，进入空间托管管理页面。 4. 在托管页面中，选择“我纳管的”页签，并在目标托管任务所在行“操作”列，单击“接收”。 5. 在弹出的确认框中，单击“确认”。 后续处理 授权后，可以在“工作空间 > 空间管理”页面中查看已创建的托管视图，单击视图名称，进入后，可以查看被托管空间的详细信息。

此小节介绍数据库审计的功能特性。 记录数据库活动 记录一切对数据库的访问行为，记录维度包括客户端信息、服务端信息、操作信息、操作状态、返回结果集、SQL模板等。 存储数据库行为记录 存储记录行为时产生的日志，包括审计日志、会话日志、告警日志，还包括系统的相关配置，如人员权限配置、系统引擎配置等。 查询数据库审计日志 在已有的日志中查询某些关键信息，完成事件溯源，一般支持时间、类型、数据库实例名、操作结果、客户端、服务端等查询维度。 风险和威胁告警 将数据库访问的行为与安全规则库进行匹配，根据匹配的结果进行告警，一般包含页面告警、外送告警（短信、邮件）。 数据库性能分析 通过SQL执行时间统计数据库性能情况，分析潜在性能问题的根因，定位关键资产，可作为用户数据库性能调优的决策辅助。

本页为您介绍数据库专家服务的使用限制。 数据库专家服务的使用限制，如下表： 限制 项 具体要求 说明 数据库实例 客户使用数据库专家服务进行服务的实例必须是客户具有权限的实例（客户自己的、客户被授权运维或类似实例）。 为防止产生安全问题和纠纷，客户使用数据库专家服务进行服务的实例必须是客户具有权限的实例。若客户违反该约定，天翼云有权立即终止客户对数据库专家服务的使用，且造成的天翼云及任何第三方的全部损失均由客户承担。 数据库权限 天翼云数据库专家在提供服务时，客户需要保证向天翼云进行必要的数据库授权。 客户需向天翼云进行必要的数据库授权，以便数据库专家提供服务。天翼云承诺按约定提供服务，并不将采集的任何数据泄露、披露或用于其他目的。

本章节主要介绍数据治理中心 DataArts Studio主要应用场景。 云上数据平台快速搭建 快速将线下数据迁移上云，将数据集成到云上大数据服务中，并在DataArts Studio的界面中就可以进行快速的数据开发工作，让企业数据体系的建设变得如此简单。 优势 数据集成一键式操作 通过在服务界面配置化操作，可实现线上线下数据快速集成到云数据仓库。 支持多种数仓服务类型 根据需求，可以灵活选择数据服务类型，可以选择DWS服务建数仓，也可以选择MRS服务等数据平台。 安全稳定、降低成本 一站式的服务能力和稳定的数仓服务，让云上数据万无一失；免自建大数据集群、免运维，极大降低企业建设数仓成本。 详见下图：云上数据平台

类别 默认用户 初始密码 描述 组件运行用户 hdfs Hdfs@123 HDFS系统管理员，用户权限： 1. 文件系统操作权限： 查看、修改、创建文件 查看、创建目录 查看、修改文件属组 查看、设置用户磁盘配额 2. HDFS管理操作权限： 查看webUI页面状态 查看、设置HDFS主备状态 进入、退出HDFS安全模式 检查HDFS文件系统。 hbase Hbase@123 HBase系统管理员，用户权限： 集群管理权限:表的Enable、Disable操作，触发MajorCompact，ACL操作 授权或回收权限，集群关闭等操作相关的权限 表管理权限:建表、修改表、删除表等操作权限 数据管理权限：表级别、列族级别以及列级别的数据读写权限 访问HBase WebUI的权限。 mapred Mapred@123 MapReduce系统管理员，用户权限： 提交、停止和查看MapReduce任务的权限 修改Yarn配置参数的权限 访问Yarn、MapReduce WebUI的权限。 spark Spark@123 Spark系统管理员，用户权限： 访问Spark WebUI的权限 提交Spark任务的权限。

本章节主要介绍使用客户端。 操作场景 客户端安装后，用户可以通过客户端在运维场景或业务场景中使用shell命令，也可以在应用程序开发场景中使用客户端中的样例工程。 该任务指导用户在运维场景或业务场景中使用客户端。 前提条件 已安装客户端。 例如安装目录为“/opt/Bigdata/client”。 各组件业务用户由系统管理员根据业务需要创建。 “机机”用户需要下载keytab文件，“人机”用户第一次登录时需修改密码。 操作步骤 1.以客户端安装用户登录安装客户端的节点。 2.执行以下命令，切换到客户端安装目录。 cd /opt/Bigdata/client 3.执行以下命令配置环境变量。 source bigdataenv 4.如果集群为安全模式，执行以下命令进行用户认证。普通模式集群无需执行用户认证。 kinit 组件业务用户 5.根据实际业务需要，执行shell命令。

本章节主要介绍翼MapReduce的锁定用户操作。 操作场景 由于业务变化，用户可能长期暂停使用，为了保证安全，管理员可以锁定用户。 锁定用户的方法包含以下两种方式： 自动锁定：通过设置密码策略中的“密码连续错误次数”，将超过登录失败次数的用户自动锁定。具体操作请参见配置密码策略。 手动锁定：由管理员通过手动的方式将用户锁定。 以下将具体介绍手动锁定。不支持锁定“机机”用户。 对系统的影响 用户被锁定后，不能在FusionInsight Manager重新登录或在集群中重新进行身份认证。锁定后的用户需要管理员手动解锁或者等待锁定时间结束才能恢复使用。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“系统 > 权限 > 用户”。 3. 在要锁定用户所在行，单击“锁定”。 4. 在弹出的窗口勾选“我已阅读此信息并了解其影响。”，单击“确定”完成锁定操作。

常见事件列表 常见事件列表 事件ID 事件名称 12019 停止服务 12020 删除服务 12021 停止实例 12022 删除实例 12023 删除节点 12024 重启服务 12025 重启实例 12026 Manager主备倒换 12065 进程重新启动 12070 作业执行成功 12071 作业执行失败 12072 作业被终止 12086 Agent进程重启 14005 NameNode主备倒换 14028 HDFS磁盘均衡任务 14029 主NameNode进入安全模式并生产新的Fsimage 17001 Oozie工作流执行失败 17002 Oozie定时任务执行失败 18001 ResourceManager主备倒换 18004 JobHistoryServer主备倒换 19001 HMaster主备倒换 20003 Hue发生主备切换 24002 Flume Channel溢出 25001 LdapServer主备倒换 27000 DBServer主备倒换 38003 Topic数据保存周期配置调整 43014 Spark2x数据倾斜 43015 Spark2x SQL超大查询结果 43016 Spark2x SQL执行超时 43024 启动JDBCServer 43025 停止JDBCServer 43026 ZooKeeper连接成功 43027 ZooKeeper连接异常

本章节主要介绍如何使用Python第三方库psycopg2连接集群。 用户在创建好数据仓库集群后使用psycopg2第三方库连接到集群，则可以使用Python访问DWS ，并进行数据表的各类操作。 连接集群前的准备 DWS 集群已绑定弹性IP。 已获取DWS 集群的数据库管理员用户名和密码。 注意 由于MD5算法已经被证实存在碰撞可能，已严禁将之用于密码校验算法。当前DWS 采用默认安全设计，默认禁止MD5算法的密码校验，可能导致开源客户端无法正常连接的问题。建议先检查一下数据库参数passwordencryptiontype参数是否为1，如果取值不为1，需要修改，修改方法参见《用户指南》的“修改数据库参数”章节；然后修改一次准备使用的数据库用户的密码。 说明 当前DWS出于安全考虑，已经默认不再使用MD5存储密码摘要了，这将导致使用开源驱动或者客户端无法正常连接数据库。需要您调整一下密码策略后再创建一个新用户或者对老用户做一次密码修改，方可使用开源协议中的MD5认证算法。 数据库中是不会存储用户的密码原文，而是存储密码的HASH摘要，在密码校验时与客户端发来的密码摘要进行比对（中间会有加盐操作）。故当您改变了密码算法策略时，数据库也是无法还原您的密码，再生成新的HASH算法的摘要值的。必须您手动修改一次密码或者创建一个新用户，这时新的密码将会采用您设置的HASH算法进行摘要存储，用于下次连接认证。 已获取DWS 集群的公网访问地址，含IP地址和端口。具体请参见 获取集群连接地址。 已安装psycopg2第三方库。下载地址： 说明 CentOS、Redhat等操作系统中使用yum命令安装，命令为：yum install pythonpsycopg2。 psycopg2的使用依赖于PostgreSQL的libpq动态库（32位的psycopg2需要对应32位的libpq；64位的psycopg2对应64位的libpq），Linux中可以依赖yum命令解决。在Windows系统使用psycopg2需要先安装libpq，主要方式有两种： 安装PostgreSQL，并配置libpq、ssl、crypto动态库位置到环境变量PATH中。 安装psqlodbc，使用PostgreSQL ODBC驱动携带的libpq、ssl、crypto动态库。

本章主要介绍翼MapReduce的更换HA证书功能。 操作场景 HA证书用于主备进程与高可用进程的通信过程中加密数据，实现安全通信。该任务指导系统管理员FusionInsight Manager完成主备管理节点的HA证书替换工作，以确保产品安全使用。适用于以下场景： 首次安装好集群以后，需要更换企业证书。 企业证书有效时间已过期或安全性加强，需要更换为新的证书。 说明 不适用于未安装主备管理节点的场景。 证书文件和密钥文件可向企业证书管理员申请或由系统管理员生成。 对系统的影响 更换过程中FusionInsight Manager需要重启，此时系统无法访问且无法提供服务。 前提条件 获取需要更换的HA根证书文件“rootca.crt”和密钥文件“rootca.pem”。 准备一个访问密钥文件的密码 password ，例如“Userpwd@123”用于访问密钥文件。 密码复杂度要求如下，如果密码复杂度不满足如下要求，可能存在安全风险： − 密码字符长度最小为8位。 − 至少需要包含大写字母、小写字母、数字、特殊字符~!?,.;'(){}[]/<>@ $%^&+中的4种类型字符 向证书管理员申请证书时，请提供访问密钥文件的密码并申请crt、cer、cert和pem格式证书文件，以及key和pem格式密钥文件。申请的证书需要有签发功能。 操作步骤 1.以omm用户通过主管理节点IP登录主管理节点。 2.选择证书和密钥文件的生成方式： 若由证书管理员生成，请在主备管理节点“${OMSRUNPATH}/workspace0/ha/local/cert”目录保存申请的证书文件与密钥文件。 说明 若获取的证书文件格式不是“.crt”，密钥文件格式不是“.pem”，执行以下命令修改： mv证书名称.证书格式rootca.crt mv密钥名称.密钥格式rootca.pem 例如，将证书文件命名为“rootca.crt”，密钥文件命名为“rootca.pem”： mv server.cer rootca.crt mv serverkey.key rootca.pem 若由系统管理员生成，执行以下命令在主管理节点“${OMSRUNPATH}/workspace0/ha/local/cert”目录生成“rootca.crt”和“rootca.pem”： sh ${OMSRUNPATH}/workspace/ha/module/hacom/script/gencert.sh rootca countryCN state state city city company company organize organize commonname commonname email 管理员邮箱 说明 生成的证书文件有效期为10年，在系统证书文件即将过期时，系统将产生告警“ALM12055 证书文件即将过期”。 例如，执行以下命令： sh ${OMSRUNPATH}/workspace/ha/module/hacom/script/gencert.sh rootca countryCN stateguangdong cityshenzhen companyxxx organizeIT commonnameHADOOP.COM emailabc@xxx.1com 根据提示信息输入 password ，并按回车键确认。 Enter pass phrase for /opt/xxx/Bigdata/omserver/OMS/workspace/ha/local/cert/rootca.pem: 提示以下信息表示命令执行成功： Generate rootca pair success. 3.在主管理节点以omm用户执行以下命令，复制“rootca.crt”和“rootca.pem”到“${BIGDATAHOME}/omserver/om/security/certHA”目录。 cp arp ​{OMSRUNPATH}/workspace0/ha/local/cert/rootca. OMSR​UNP​ATH/workspace0/ha/local/cert/root−ca.∗​{BIGDATAHOME}/omserver/om/security/certHA 4.使用omm用户将主管理节点生成的“rootca.crt”和“rootca.pem”复制到备管理节点“${BIGDATAHOME}/omserver/om/security/certHA”目录。 scp ​ ​{OMSRUNPATH}OMSRUNPATH}/workspace0/ha/local/cert/rootca. omm@备管理节点IP:${BIGDATAHOME}/omserver/om/security/certHA 5.执行以下命令，生成HA用户证书并自动替换。 sh ${BIGDATAHOME}/omserver/om/sbin/replacehaSSLCert.sh 根据提示信息输入 password ，并按回车键确认。 Please input ha ssl cert password: 界面提示以下信息表示HA用户证书替换成功： [INFO] Succeed to replace ha ssl cert. 说明 如果用户需要更新HA密码加密套件，可以带u参数。 6.执行以下命令，重启OMS。 sh ${BIGDATAHOME}/omserver/om/sbin/restartoms.sh 界面提示以下信息： start HA successfully. 7.以omm用户通过备管理节点IP登录备管理节点，重复56。 执行 sh ${BIGDATAHOME}/omserver/om/sbin/statusoms.sh 查看管理节点的“HAAllResOK”是否为“Normal”，并可以重新登录FusionInsight Manager表示操作成功。

本文简述回源HTTP请求头的用途和配置方法。 功能介绍 当边缘节点请求回源站拉取资源时，源站可获取到回源请求头中携带的信息。您可以通过该功能，改写用户回源请求中的HTTP Header信息，携带特定的参数信息给源站，实现特定业务需求。例如，通过XForwardFor头部携带真实客户端IP至源站。 配置说明 1.登录边缘安全加速控制台，选择【域名】【基础配置】，在域名列表中选中需要配置的域名。 2.进入域名配置详情页面后，选择【头部修改】，单击【编辑配置】按钮。 3.选择【回源HTTP请求头】后单击【增加规则】按钮。 4.添加HTTP请求头，填入参数和取值，详细规则请参考： 参数 说明 参数 请求头参数，仅支持大小写字母、数字、下划线、中划线。 取值 取值不支持空格及中文文字及字符。 若需要添加/修改对应请求头，请输入取值。 若需要删除对应请求头，取值不填，置为空。 配置界面

本文通过图文说明证书删除的操作步骤。 功能介绍 当证书过期或者不再使用时，可通过客户控制台删除证书。 注意事项 证书删除的前提是未绑定域名，因此在删除证书前，需要先解除证书与域名的绑定关系。 操作步骤 1.登录边缘安全加速平台控制台。 2.在【域名】【证书管理】【AOne 证书管理】页面，选定目标证书，在操作列单击“删除”。 3.控制台会弹窗（如下图），客户进行二次确认后，单击“确定”即可删除。 注意 删除证书前，请确保证书未绑定任何域名，否则将无法删除。 配置界面 要删除的证书如有域名仍在使用，将无法删除，会弹出如下的确认弹窗，点击【确认】将关闭弹窗。如需继续删除证书，必须先使所有绑定该证书的域名取消证书配置。 要删除的证书如果无域名使用，将弹出如下的弹窗，点击【确认】后即可删除证书。

本文介绍域名解绑标签的操作步骤。 功能介绍 标签为域名分类管理工具，通过标签功能对具有相同属性的域名进行分类管理。如果标签已不再适用于您当前某个或多个域名的用途，您可以解绑域名标签。本文介绍如何为域名解绑标签。 配置说明 1. 登录边缘安全加速控制台。 2. 单击左侧导航【域名】【域名管理】。 3. 在【域名管理】页面，找到目标域名的【标签】列。 4. 单击标签图标【】。 5. 找到【已选择标签】框。 6. 方式一：如果只是某个标签不适用，直接单击该标签的【×】来解除绑定，如。 7. 方式二：如果是整个标签组不适用，可单击最后面的【】解除绑定，如。 8. 确认无误后，单击【确定】提交。

参数 说明 处置粒度 支持根据设备，账号，公网IP三种类型作为处置粒度，会对所选粒度的访问行为进行统计和处置，其中设备是关联到账号的最小处置粒度 ，处置粒度选择为设备时只会对触发规则的账号当前登录设备进行处置，当处置粒度为账号时，在处置动作生效时期，该账号登录其他设备同样会被处置。 统计粒度 统计上方所选处置粒度在周期内对该统计粒度不同地址的请求次数，支持按照域名+端口或协议+IP+端口两种粒度。 统计周期 单位秒。 访问次数 单位次数。 处置时间 单位秒。 处置动作 监控：仅监控观察，不对网络连接、访问权限进行任何干预。 挑战认证：需通过配置的认证方式完成身份认证，才能继续访问内网。 禁止访问内网：关闭对内网环境资源的访问权限，即无法连接公司 / 单位内部系统、共享文件等内网资源。 注销登录：退出当前客户端登录状态，若账号不符合安全要求，将持续触发注销。 提示语 针对不同处置动作均默认设置有对应提示语，可进行自定义修改。

操作步骤：为子账号授权或调整子账号权限。 注意 请提前创建好子用户，并需子用户登陆天翼云后才可以同步到云容器引擎控制台。 1、登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2、在集群列表中点击需要授权的集群，进入集群管理页面。 3、在集群管理页面导航栏中选择安全管理 > 授权，进入角色授权页面。 4、点击管理权限操作单个子账号权限，或选择多个子账号后点击添加权限为多个子账号批量授权，点击后进入集群RBAC配置页面。 5、在集群RBAC配置页面中，可以对子账号已有的用户权限进行调整或为子账号新增权限，权限可以限定单个命名空间或不限制命名空间（集群权限），子账号可设置的权限有内置权限（管理员、运维人员、开发人员、受限人员）和自定义权限，选择自定义权限可选择集群中创建的任意Cluster Role进行授权。 6、点击下⼀步完成授权。

本章介绍处理配置风险的方案。 主机安全服务对主机执行配置检测后，您可以根据检测结果中的相关信息，修复主机中含有风险的配置项或忽略可信任的配置项。 修改有风险的配置项 查看检测规则对应的详情信息，您可以根据审计描述验证检测结果，根据修改建议处理主机中的异常信息。 建议您及时优先修复威胁等级为“高危”的关键配置，根据业务实际情况修复威胁等级为“中危”或“低危”的关键配置。 忽略可信任的配置项 1、 单击云服务器名称，查看服务器的详细信息，选择“基线检查 > 配置检查”。 2、 单击目标风险项前的展开检查项，单击目标风险项“操作”列的“忽略”进行单个忽略。也可以勾选多个检测规则单击界面上方的“忽略”进行批量忽略。 对于已经忽略的检测规则，单击已忽略页签可“取消忽略”，也可以批量选中想要取消忽略的规则“取消忽略”。 修复验证 完成配置项的修复后，建议您在“风险预防 > 漏洞管理”页面单击“漏洞检测”立即执行手动检测，查看配置项修复结果。

本节介绍了重启后盘符发生变化怎么办的问题现象、处理方法。 问题现象 Linux弹性云主机在线卸载云硬盘后重新挂载云硬盘，或在线卸载云硬盘后重启弹性云主机，可能会存在挂载前后盘符发生变化的情况。这是由于Linux系统的盘符分配机制造成的，属于正常情况。 假设云主机有/dev/vda1，/dev/vdb1，/dev/vdc1三块磁盘，在/etc/fstab中的挂载参数如下所示： cat /etc/fstab UUIDb9a07b7b93224e05ab9b14b8050bdc8a / ext4 defaults 0 1 /dev/vdb1 /data1 ext4 defaults 0 0 /dev/vdc1 /data2 ext4 defaults 0 0 卸载了原来的/dev/vdb1，则重启云主机后之前的/dev/vdc1会变成/dev/vdb1并挂载到/data1挂载点了，而/data2则无盘可以挂载。 处理方法 为了防止发生这种情况，建议使用UUID来代替代/dev/vdx设备，UUID是Linux系统为磁盘分区提供的唯一的标识字符串。 1. 执行如下命令，查询磁盘分区的UUID。 blkid 磁盘分区 以查询磁盘分区“/dev/vdb1”的UUID为例： blkid /dev/vdb1 回显类似如下信息： [root@ecstest0001 ~] blkid /dev/vdb1 /dev/vdb1: UUID"b9a07b7b93224e05ab9b14b8050cd8cc" TYPE"ext4" 表示“/dev/vdb1”的UUID。 2. 执行以下命令，使用VI编辑器打开“fstab”文件。 vi /etc/fstab 3. 按“i”，进入编辑模式。 4. 将光标移至文件末尾，按“Enter”，添加如下内容。 UUIDb9a07b7b93224e05ab9b14b8050cd8cc /mnt/sdc ext4 defaults 0 0 重复替换“/dev/vdc1”的UUID，再次执行以下命令查看磁盘挂载参数： cat /etc/fstab 回显信息如下所示： UUIDb9a07b7b93224e05ab9b14b8050bdc8a / ext4 defaults 0 1 UUIDb9a07b7b93224e05ab9b14b8050cd8cc /data1 ext4 defaults 0 0 UUIDb9a07b7b93224e05ab9b14b8050ab6bb /data2 ext4 defaults 0 0

本节介绍了本地Linux主机使用SFTP上传文件到Linux云主机的操作场景、操作步骤。 操作场景 本节操作以CentOS操作系统为例，介绍配置SFTP、使用SFTP上传或下载文件、文件夹的操作步骤。 操作步骤 1. 以root用户登录云主机。 2. 执行以下命令查看ssh版本，OpenSSH版本大于等于4.8p1。 ssh V 回显信息如下所示： OpenSSH7.4p1, OpenSSL 1.0.2kfips 26 Jan 2017 3. 创建用户和组，以user1用户为例。 groupadd sftp useradd g sftp s /sbin/nologin user1 4. 设置用户密码。 passwd user1 图 设置用户密码 5. 设置目录权限。 chown root:sftp /home/user1 chmod 755 R /home/user1 mkdir /home/user1/upload chown R user1:sftp /home/user1/upload chmod R 755 /home/user1/upload 6. 执行以下命令，编辑sshdconfig文件。 vim /etc/ssh/sshdconfig 注释掉如下信息 Subsystem sftp /usr/libexec/openssh/sftpserver 补充如下内容： Subsystem sftp internalsftp Match Group sftp ChrootDirectory /home/%u ForceCommand internalsftp AllowTcpForwarding no X11Forwarding no 图 sshdconfig文件补充配置信息后 7. 重启云主机，或执行以下命令重启sshd服务。 service sshd restart 或 systemctl restart sshd 8. 执行以下命令，远程连接到服务器。 sftp root@IP地址 9. 连接成功后，您可以使用交互式的sftp命令。 10. 执行以下命令，上传或下载文件、文件夹。 上传文件：put r 下载文件：get r

本文主要介绍云日志服务如何添加过滤器。 云日志服务仪表盘支持添加过滤器，即可对整个仪表盘进行查询过滤、变量替换操作。 前提条件 已完成日志采集接入，可成功采集到日志数据 日志内容已完成结构化配置 已完成仪表盘创建，并已添加图表 过滤器类型说明 目前支持以下两种类型的过滤器，可在创建过滤器时选择类型： 类型 说明 生效范围 下拉选项过滤 通过指定字段的字段值对仪表盘内所有图表的数据进行过滤。在执行过滤器操作时，将其作为过滤条件增加到查询和分析语句前，使用AND或NOT连接，例如Key Value and [search query]，表示在原查询和分析语句的结果中，查找包含KeyValue的日志。 仪表盘内所有日志主题的图表 变量替换过滤 变量替换支持用户自己设置变量值，替换到检索分析语句中，如果仪表盘中已有设置了该变量占位符的统计图表，则添加变量类型的过滤器后，自动将统计图表的查询和分析语句中的变量替换为您选择的变量值。 仪表盘内使用该变量的图表 操作步骤 1. 登录云日志服务控制台，在左侧导航栏中选择仪表盘仪表盘列表，选择指定仪表盘，点击仪表盘名称，进入仪表盘页面。 2. 在仪表盘页面，点击右上角【编辑】按钮，进入编辑状态。 3. 点击右上角【添加过滤器】。 4. 在过滤器添加页面中，配置过滤器的相关参数。支持两种类型的过滤器，具体参数配置可参考下表。添加完成后，再点击仪表盘右上角保存，完成过滤器添加操作。 参数 说明 过滤器名称 自定义过滤器名称，最大支持32字符。 类型 选择过滤器类型或变量替换类型。具体可见[过滤器类型说明](

操作场景 当您想要为域名增加一条TXT解析记录时，可以执行本操作添加记录集。支持为内网域名添加TXT类型记录集。 操作步骤 1. 登录管理控制台。 2. 选择“网络 > 内网DNS”。 进入内网DNS页面。 3. 在左侧树状导航栏，选择“内网域名”。 进入域名列表页面。 4. （可选）如果选择“内网域名”，请单击管理控制台左上角的，选择区域和项目。 5. 在待添加记录集的域名所在行，单击“名称”列的域名名称。 6. 单击“添加记录集”。 系统进入“添加记录集”页面。 7. 设置记录集参数，如下表所示。 表添加TXT类型记录集参数说明 参数 参数说明 取值样例 主机记录 域名（后缀无需用户手动填写）。如果输入框未填值，则参数值默认为该域名的名称。 abc 类型 记录集的类型，此处为TXT类型。 TXT – 设置文本记录 TTL(秒) 记录集的有效缓存时间，以秒为单位。 默认为“5min”，即300s。 值 填写用户所需的任意文本内容。支持单个或多个文本记录，多个文本记录之间以换行符分隔。单个文本记录可以包括多个文本字符串，每个文本字符串以双引号包裹，不同的文本字符串之间以单个空格隔开。每个双引号包裹的文本字符串长度不超过255个字符。单个文本记录不超过4096个字符。不可为空。不支持反斜杠字符“”。 "aaa""bbb" "ccc" "ddd"其中，"bbb" "ccc" "ddd"为一个文本记录，"bbb"为一个文本字符串。 描述 可选配置，对域名的描述。长度不超过255个字符。 The description of the hostname. 8. 单击“确定”，完成记录集的添加。 您可以在域名对应的记录集列表中查看添加的记录集。当记录集的状态显示为“正常”时，表示记录集添加成功。

本节介绍如何通过漏洞扫描服务为Linux系统的主机配置跳板机。 操作场景 该任务指导用户通过漏洞扫描服务为Linux系统的主机配置跳板机。 说明 当前仅支持添加Linux系统跳板机。 前提条件 已获取管理控制台的登录账号和密码。 已添加Linux系统的主机。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 批量选择需要配置的主机，单击“批量操作 > 编辑”，进入批量授权入口，如下图所示。 说明 用户也可以单台主机授权，在目标主机所在行的“操作”列，单击“编辑”。 5. 在主机授权页面，批量选择需要添加跳板机的主机，单击“批量配置跳板机”。 说明 用户也可以单台主机添加跳板机，在目标主机所在行的“操作”列，单击“配置跳板机”。 如果需要修改主机名称，单击编辑按钮，在弹出的对话框中，进行修改。 6. 在“配置跳板机”对话框中，选择已有跳板机，或者单击“添加新的跳板机”，添加跳板机，如下图所示。 说明 如果需要修改已有跳板机，单击“编辑”，进行修改。 如果需要删除已有跳板机，单击“删除”，删除跳板机。 如果需要添加新的跳板机，请执行以下操作步骤。 1. 单击“新增跳板机”。 2. 在“添加跳板机”对话框中，设置配置参数，配置说明如下表所示。 参数名称 参数说明 主机名称 添加的跳板机的主机名称。 公网IP 添加的跳板机的公网IP。 登录端口 添加的跳板机的登录端口。 选择登录方式 “密码登录”和“密钥登录”。 选择密码登录时，需要添加跳板机的用户名和密码。 选择密钥登录时，需要添加跳板机的用户名、私钥和私钥密码。 选择加密密钥 为了保护主机登录密码或密钥安全，请您必须使用加密密钥，以避免登录密码或密钥明文存储和泄露风险。 您可以选择已有的加密密钥，如果没有可选的加密密钥，请单击“创建密钥”，创建VSS专用的默认主密钥。 3. 单击“确认”。 7. 单击“确定”，跳板机配置成功。 如果需要解除绑定主机的跳板机，在目标主机的“操作”列，单击“更多 > 解除跳板机”，解除跳板机。

训推一体场景 使用场景 主要面向对数据保密及安全有着较高要求的企业单位与科研机构，可有力支撑其在私有化环境中，凭借自有数据开展专属行业大模型的训练或者微调工作，尤其适用于政务、医疗、金融等诸多行业领域，充分满足不同行业对于数据安全及大模型定制化应用的需求。 产品优势 拥有丰富多样的训推一体机规格，可依据不同用户的具体业务规模、算力需求等情况，灵活提供适配性强的产品选择。 配备简单易用的训练平台，极大降低了用户的操作门槛，让即使没有深厚技术背景的人员也能便捷地进行大模型的相关训练操作，有效提升工作效率。 模型推理场景 使用场景 精准契合那些无大模型训练诉求，但又需要在私有化环境下部署自有大模型或引入行业大模型，以此为自身应用赋予智能能力的应用场景，广泛覆盖教育平台、数字政务以及医疗应用等关键领域，通过快速调用内置DeepSeek等系列大模型，获取高效的推理服务，为行业应用提供强大的AI支持，提升业务智能化水平。 产品优势 具备推理加速功能以及量化压缩技术，能够大幅提升模型推理的速度与效率，同时优化资源利用，降低对硬件资源的依赖。 支持在本地进行快速部署，可迅速将大模型的推理能力融入到现有业务体系中，减少部署时间成本，快速实现应用赋能与价值创造。

本文带您了解内网DNS的产品架构。 内网DNS，可用于创建仅能在您的VPC（支持多个VPC）内访问的域名或子域名。使用内网DNS的一般步骤如下： 1. 新建一个内网域名，例如：example.com。 2. 添加需要管理的记录集，比如：www.example.com。 3. 将域名与需要访问的VPC关联。 完成相应配置后，只有与之关联的VPC内才能使用您设置的内网DNS解析记录访问www.example.com。其他环境无法访问该域名（或仅能通过公网解析）。内网DNS提供了内部域名解析机制，确保只有经过授权的VPC能够正确解析这些域名或子域名，从而实现更加安全和可控的访问。 实现原理 内网DNS利用天翼云虚拟私有云VPC的隔离特性（详细信息请参考虚拟私有云），对您的内网域名执行隧道隔离。天翼云的内网DNS采用严格的验证机制，确保您的内网域名在天翼云网络内具有唯一性，只有您本人能够对其进行管理，保障了内网域名的安全性和独特性。 逻辑架构 内网域名（例如example.com）的逻辑架构允许其关联一个或多个VPC。一旦与VPC建立关联，内网域名中的解析记录将在相应的VPC内可被访问和解析，使得特定VPC内的资源能够有效地访问与之关联的内网域名记录。

本小节介绍下载并安装Agent，在数据库端或应用端安装Agent。 下载Agent Agent添加完成后，您还需要下载Agent，并根据Agent的添加方式在数据库端或应用端安装Agent。 每个Agent都有唯一的AgentID，是Agent连接数据库安全审计实例的重要密钥。若您将添加的Agent删除，在重新添加Agent后，请重新下载Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 操作步骤 1. 登录管理控制台。 2. 单击右上角的，选择区域。 3. 选择“安全 > 数据库安全服务”，进入数据库安全防护实例列表界面。 4. 在左侧导航树中，选择“数据库安全审计 > 数据库列表”，进入数据库列表界面。 5. 在“选择实例”下拉列表框中，选择需要下载Agent的数据库所属的实例。 6. 单击数据库左侧的展开Agent的详细信息，在Agent所在行的“操作”列，单击“下载agent”，如图所示。将Agent安装包下载到本地。 请根据安装Agent节点的操作系统类型，选择下载相应的Agent安装包。 Linux操作系统 在“操作系统”为“LINUX64”的数据库中下载Agent安装包 Windows操作系统 在“操作系统”为“WINDOWS64”的数据库中下载Agent安装包 安装Agent（Linux操作系统） 安装Agent后，您才能开启数据库安全审计。通过本节介绍，您将了解如何在Linux操作系统的节点上安装Agent。 1. 将下载的Agent安装包“xxx.tar.gz”上传到待安装Agent的节点（例如使用WinSCP工具）。 2. 使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录该节点。 3. 执行以下命令，进入Agent安装包“xxx.tar.gz”所在目录。cd Agent安装包所在目录 4. 执行以下命令，解压缩“xxx.tar.gz”安装包。tar xvf xxx.tar.gz 5. 执行以下命令，进入解压后的目录。cd解压后的目录 6. 执行以下命令，查看是否有安装脚本“install.sh”的执行权限。如果有安装脚本的执行权限，请执行步骤7。如果没有安装脚本的执行权限，请执行以下操作：a.执行以下命令，添加安装脚本执行权限。chmod +x install.shb.确认有安装脚本执行权限后，请执行步骤7。 7. 执行以下命令，安装Agent。sh install.sh 说明 用户系统是Ubuntu时，执行以下命令安装Agent。 界面回显以下信息，说明安装成功。否则，说明Agent安装失败。 start agent starting audit agent audit agent started start success install dbss audit agent done! 注意 如果Agent安装失败，请您确认安装节点的运行系统是否满足Linux操作系统要求，并重新安装Agent。 8. 执行以下命令，查看Agent程序的运行状态。service auditagent status，如果界面回显以下信息，说明Agent程序运行正常，audit agent is running。

通过公网访问应用 为了实现从公网访问该应用，一种简便的方式是为该应用绑定公网 ELB 实例。 1. 在应用列表 中查看已创建的应用，点击该应用可以进入其详情页面。 2. 在应用信息 页签中，在应用访问设置 区域选择基于ELB访问 。点击添加公网ELB访问 ，配置如下参数，然后点击确定 。 1. 在ELB实例 中，选择新建ELB实例。 2. 在HTTP协议 页签中，设置HTTP端口 为80，容器端口 为18082。 清理资源 在完成本教程后，建议清理相关资源，避免持续产生费用。 1. 删除应用：进入 caedemo 应用的详情页面，点击更多 > 删除应用，并按照指引操作来删除上述应用。 2. （可选）删除网络资源：在部署应用的过程中，系统自动创建了VPC、交换机、安全组。 1. 查看VPC：在左侧导航栏选择命名空间 ，点击默认 ，在基础信息页面查看VPC，点击链接跳转到VPC详情页。 2. 查看交换机、安全组：在VPC的资源管理标签页点击链接跳转到相应资源的详情页。 3. 在各资源的详情页执行删除操作。 后续步骤 您已通过 Demo 镜像体验了部署应用的流程。CAE 为您提供以下方式来部署实际的应用 ： 使用镜像部署应用（推荐）：您可以将任何应用制作成镜像，然后将其推送到镜像仓库，最后将其部署到 CAE。 使用代码包部署应用：CAE 提供 Java、Python、Go、Node.js、.NET Core特定版本的运行环境，如果与您的代码兼容，则可以使用代码包部署应用。您需要先制作ZIP格式压缩包，然后将其部署到 CAE。 本示例使用系统创建的默认命名空间来部署应用。您也可以通过自定义命名空间来实现不同应用之间、开发/测试/生产环境之间的隔离 。每个命名空间需要绑定一个VPC。部署应用时，需要为应用实例绑定该VPC中的交换机，选择不同可用区的交换机即可实现应用的跨可用区部署。 创建应用后，可以手动调整实例数量与实例规格，或通过配置弹性伸缩策略实现根据访问量、资源使用情况自动调整实例数量。 为应用启用更多进阶功能。例如，微服务治理、持久化日志、应用监控等功能。

本章节主要介绍如何创建KafkaSSL类型跨源认证。 操作场景 通过在DLI控制台创建的KafkaSSL类型的跨源认证，将Kafka的认证信息存储到DLI，无需在SQL作业中配置帐号密码，安全访问Kafka实例。 说明 MRS Kafka开启Kerberos认证，未开启SSL认证时，创建Kerberos类型的认证。建表时通过krbauthname关联跨源认证。 MRS Kafka开启Kerberos认证，同时开启了SSL认证时，需要同时创建Kerberos和KafkaSSL类型的认证。建表时分别通过krbauthname和sslauthname关联跨源认证。 MRS Kafka未开启Kerberos认证，仅开启了SASL认证时（例如使用帐号密码认证PlainLoginModule场景），无需使用跨源认证。 MRS Kafka未开启Kerberos认证，仅开启了SSL认证时，创建KafkaSSL类型的认证。建表时通过sslauthname关联跨源认证。 MRS Kafka未开启Kerberos认证，开启了SASL认证和SSL认证时，创建KafkaSSL类型的认证。建表时通过sslauthname关联跨源认证。 操作步骤 1. 下载认证凭证。 DMS Kafka a.登录DMS Kafka控制台，单击实例名称进入详情页面。 b.在连接信息中，找到SSL证书，单击“下载”。 解压下载的kafkacerts压缩包，获取client.jks和phyca.crt文件。 MRS Kafka a.登录MRS Manager界面。 b.选择“系统 > 权限 > 用户”。 c.单击“更多 > 下载认证凭据”，保存后解压得到Truststore文件。 2. 上传认证凭证到OBS桶。 3. 创建跨源认证。 a.登录DLI管理控制台。 b.选择“跨源管理 > 跨源认证”。 c.单击“创建”。 填写Kafka认证信息，详细参数说明请参考下表。 参数说明 参数 参数说明 类型 选择KafkaSSL。 认证信息名称 所创建的跨源认证信息名称。 名称只能包含数字、英文字母和下划线，但不能是纯数字，且不能以下划线开头。 输入长度不能超过128个字符。 Truststore路径 上传SSL Truststore文件的OBS路径。 MRS Kafka请填写Truststore.jks文件的OBS路径。 DMS Kafka请填写client.jks文件的OBS路径。 Truststore密码 truststore密码。 Keystore路径 上传SSL KEYSTORE(密钥和证书)文件的OBS路径。 Keystore密码 keystore(密钥和证书)密码。 Key密码 keystore中的私钥密码。 4. 访问开启SASLSSL认证的Kafka。 跨源认证创建成功后，在创建访问数据源时只需关联跨源认证即可安全访问数据源。

查看昨日及近期的调用统计与风险趋势。 总览页面展示账号下大模型安全护栏的整体使用情况，帮助管理员快速掌握服务运行状态与风险态势。 核心指标 页面顶部展示以下昨日关键数据指标： 指标名称 说明 昨日调用次数 昨日所有检测服务的总调用次数。 昨日调用失败次数 昨日因参数错误或服务异常导致的失败次数。 昨日风险次数 昨日检测结果为“拦截”的总次数。 昨日输入风险次数 昨日文本输入检测中命中风险的次数。 昨日输出风险次数 昨日文本输出检测中命中风险的次数。 近期趋势图 页面下方提供两张趋势折线图，默认展示“最近7天”的数据，支持切换时间维度： 调用趋势图：展示每日调用次数与风险比例（%）的变化趋势，帮助识别异常流量。 输入/输出调用趋势图：分别展示文本输入调用次数与文本输出调用次数，便于对各检测服务的用量进行精细化分析。 使用建议：建议运维人员定期关注风险比例趋势，若风险比例突然显著上升，需排查是否存在业务异常或攻击行为。

查看昨日及近期的调用统计与风险趋势。 总览页面展示账号下大模型安全护栏的整体使用情况，帮助管理员快速掌握服务运行状态与风险态势。 核心指标 页面顶部展示以下昨日关键数据指标： 指标名称 说明 昨日调用次数 昨日所有检测服务的总调用次数。 昨日调用失败次数 昨日因参数错误或服务异常导致的失败次数。 昨日风险次数 昨日检测结果为“拦截”的总次数。 昨日输入风险次数 昨日文本输入检测中命中风险的次数。 昨日输出风险次数 昨日文本输出检测中命中风险的次数。 近期趋势图 页面下方提供两张趋势折线图，默认展示“最近7天”的数据，支持切换时间维度： 调用趋势图：展示每日调用次数与风险比例（%）的变化趋势，帮助识别异常流量。 输入/输出调用趋势图：分别展示文本输入调用次数与文本输出调用次数，便于对各检测服务的用量进行精细化分析。 使用建议：建议运维人员定期关注风险比例趋势，若风险比例突然显著上升，需排查是否存在业务异常或攻击行为。

本节主要介绍IAM用户绑定MFA。 对于IAM用户，点击“访问控制”>“安全凭证”>“MFA”，可以绑定MFA。 注意 MFA认证仅IAM用户支持，但是如果没有授权使用MFA认证，则IAM用户无法进行MFA认证。 点击“绑定”，进行MFA绑定，步骤如下： 1. 安装应用 在手机端下载安装基于时间的一次性密码（TOTP）口令认证工具。 2. 绑定MFA 可以使用扫码获取和手动获取两种方式获取验证码。 注意 输入的“第一组验证码”和“第二组验证码”必须是连续的。 3. 完成 注意 如果您后续不再使用 MFA ，并希望卸载已安装的动态口令工具，请先解绑已绑定的MFA设备。如果您在未解绑MFA的情况下卸载动态口令工具，可能会造成相关用户不可用，请慎重操作。

告警详情 告警详情页面显示了告警等级、发送信息、状态，以及告警基本信息、关联事件和活动记录。 在告警详情页面，您可以执行以下操作： 对于未解决的告警，可以认领、解决、指定告警处理人或修改告警等级。具体操作，请参见下方【处理告警】。 在详情、事件和活动页签可以分别查看以下信息： 详情页签显示了告警创建时间、告警内容、通知策略。 事件页签显示了告警关联事件、事件创建时间和事件状态。单击事件名称，可以查看目标事件的详细信息。更多信息，请参见下方【事件详情】。 行动页签显示了告警触发行动集成的记录。 活动页签显示了告警的活动记录。 事件详情 事件详情面板显示了事件的基本信息和扩展字段。 处理告警 在控制台中，对于未解决的告警，可以认领、解决、指定告警处理人或修改告警等级。 1. 在告警页面单击右上角的关联操作人。 说明 操作人的名称为通知对象中的联系人名称。 由于一个天翼云账号可能存在多人同时使用的情况，所以需要通过关联操作人来区分实际每次操作告警的人员。 2. 在目标告警右侧的操作列，或者单击目标告警，在告警详情页面： 单击认领，可以将自己设置为当前告警的处理人。 单击解决，可以关闭目标告警。 单机屏蔽，可以屏蔽目标告警的通知。 单击更多图标，然后单击指定告警处理人，可以指定钉钉群里的联系人为告警处理人。 单击更多图标，然后单击修改告警等级，可以修改告警等级。

本节介绍了创建普通任务(Job)的用户指南。 基本概念 普通任务：即kubernetes中的“Job”，普通任务是一次性运行的短任务，部署完成后即可执行。使用场景为在创建工作负载前，执行普通任务，将镜像上传至镜像仓库。 操作场景 普通任务是一次性运行的短任务，部署完成后即可执行。正常退出（exit 0）后，任务即执行完成。 普通任务是用来控制批处理型任务的资源对象。批处理业务与长期伺服业务（Deployment、Statefulset）的主要区别是： 批处理业务的运行有头有尾，而长期伺服业务在用户不停止的情况下永远运行。Job管理的Pod根据用户的设置把任务成功完成就自动退出了。成功完成的标志根据不同的spec.completions策略而不同，即： 单Pod型任务有一个Pod成功就标志完成。 定数成功型任务保证有N个任务全部成功。 工作队列型任务根据应用确认的全局成功而标志成功 前提条件 在创建任务前，您需要存在一个可用集群。若没有可用集群，请参照集群开通中内容创建。 操作步骤及说明 步骤 1 登录云容器引擎控制台。 步骤 2 单击集群名称进入集群，在左侧选择“工作负载”，选择“任务”，在右上角单击“创建任务”。 步骤 3 配置工作负载的信息。 基本信息 负载类型：选择普通任务Job。工作负载类型的介绍请参见工作负载概述。 负载名称：输入负载的名称，名称长度为1到63个字符，可以包含小写英文字母、数字和中划线（），并以小写英文字母开头，小写英文字母或数字结尾。 命名空间：选择工作负载的命名空间，默认为当前进入的命名空间。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。