本章节介绍批量发布单相关功能 概述 批量发布单主要用于批量发布不同环境下多个应用实例，并指定环境间及同环境下应用实例间发布顺序。 批量发布单列表 批量发布单主要展示该环境下历史批量发布单信息。在左侧导航栏单击应用运维容器应用实例应用发布批量发布单进入批量发布单列表页面。批量发布单列表页面分成批量发布单统计和批量发布单列表两块内容。 批量发布单统计 批量发布单统计用于统计当前租户下批量发布单，展示发布单总计、发布成功总计、发布失败总计、发布中总计、待发布总计、已取消总计。 批量发布单列表 批量发布单列表包括发布单名称、环境数量、应用数量、应用实例数量、状态、执行人、执行时间、操作列。根据状态的不同，操作列存在不同。 创建批量发布单 1. 在批量发布单列表页面，单击创建发布单按钮，进入批量发布单配置页面 2. 填写基本信息 配置项 描述 发布单名称 请输入批量发布单名称。 部署单元 用于确定批量发布单包含的环境以及环境下的部署单元信息。 所属应用 用于确定批量发布单包含的应用。 发布类型 仅支持普通发布。 发布批次 选择发布分批次数。 分批方式 说明： 当发布批次大于1时，需配置分批间处理方式。 支持手动和自动。 手动：手动触发下一个批次的发布。 自动：根据间隔自动分配分批发布。间隔为剩余批次间的发布时间间隔，单位：分钟。 应用实例列表 选择好部署单元和所属应用后，应用实例列表分环境展示当前环境下所属应用所包含的应用实例列表。您可以在不同环境下的待选应用实例列表中单击选择需要的应用实例，单击>图标将应用实例添加到已选应用实例列表中。若应用实例存在多个版本，需要选择要发布的版本。默认选择最新的版本。 3. 高级配置 高级配置用于设置环境间及环境内应用实例间依赖关系。当选择了 2 个及以上环境时，可能需要填写环境之间的依赖关系。若环境之间不存在依赖关系，则直接跳过。当环境内选择了 2 个及以上应用实例时，可能需要填写环境内应用实例之间的依赖关系。若环境内应用实例之间不存在依赖关系，则直接跳过。 注意 环境之间不可循环依赖，即不可出现环境 A 依赖于环境 B，同时环境B 又依赖于环境 A 这种情况。环境内应用实例之间不可循环依赖，即不可出现应用实例 A 依赖于应用实例 B，同时应用实例 B 又依赖于应用实例 A 这种情况。 4. 在预览页面确认信息无误后，单击创建。系统会自动跳转到批量发布单列表页面，单击发布单名称进入批量发布单详情页面，等待初始化完成后点击发布即可开始发布。

本实践介绍了使用CDN加速访问对象存储ZOS的操作场景、前提条件与操作步骤。 操作场景 文件、图片、视频等静态资源一般只存储在对象存储ZOS的一个地域。不同地域的用户通过URL访问这些静态资源，响应速度存在差异；在互联网上频繁访问，会消耗大量的公网流出流量。 CDN加速能将源站内容分发至最接近用户的节点，大部分网站的静态文件会被CDN边缘节点缓存，使用户可就近、快速获取所需内容。 使用CDN加速访问对象存储ZOS，可以提升访问资源的响应速度，降低流量费用。 前提条件 已开通对象存储服务。 已开通CDN加速，请参见CDN加速购买指南产品开通。 如果要访问的桶在中国内地，确保域名已备案且备案信息有效。 注意 CDN从ZOS源站获取数据时，支持CDN回源流量的资源池采用CDN回源流量计费，不支持CDN回源流量的资源池采用公网流出流量计费。支持CDN回源流量的资源池有：西南1、福州25、杭州7、华北2、合肥2、华东1、武汉41、长沙42、华南2、呼和浩特3。 操作步骤 第一步：添加加速域名 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台首页，选择“CDN与视频>CDN加速服务”。 3. 在CDN控制台，点击“域名管理>域名列表”。 4. 在域名列表点击右上角“添加域名”。 5. 填写配置信息。配置详情，请参见CDN加速快速入门添加加速域名。在“回源配置>源站>新增源站”中，按以下说明配置各项参数。 参数 说明 源站类型 选择对象存储源站 源站 源站地址，即对象存储桶的访问地址。例如，bucketname.jiangsu10.zos.ctyun.cn。 层级 支持主或备。 权重 回该源站的权重值。 6. 若对象存储桶的读写权限为私有，即除桶ACL授权外的其他用户无桶的访问权限，请参见CDN加速用户指南域名管理回源配置私有Bucket回源进行回源配置。 7. 完成添加加速域名的信息配置后，点击“提交”。配置生效时间约510分钟。 第二步：配置CNAME 1. 域名添加成功后，在“域名管理>域名列表”页面，复制分配到的CNAME值。 2. 前往您的域名解析服务商处，添加CNAME记录。验证CDN加速服务是否生效。详情请参见：CDN加速快速入门配置CNAME。 第三步：访问对象存储ZOS 使用CDN加速域名访问ZOS中的对象。由于“指定源站回源HOST”为ZOS的桶域名，使用CDN加速域名访问对象存储的URL无需携带桶名，即

此小节介绍云堡垒机字符命令授权管理。 命令控制策略用于控制用户访问资源的关键操作权限，实现Linux主机运维操作的细粒度控制。 针对SSH和Telnet字符协议主机，根据管理员配置的策略限制，云堡垒机对用户运维过程中执行的命令进行审计和过滤，并返回审计的命令、过滤结果和命令返回的内容，用于会话操作记录、拒绝使用等动作。 命令控制策略支持以下功能项： 支持按策略列表页策略排序区分优先级，排序数字越小优先级越高（优先级可选1~100）。 支持以下控制命令的动作。 触发审批：拦截该命令，并自动创建为审批工单。支持审批超时配置，超时xx分钟默认拒绝执行或默认允许执行。 提示警告：触发该策略规则后，警告运维用户谨慎执行该命令。 允许执行：触发该策略规则后，放行命令操作。默认允许执行所有操作。 拒绝执行：触发该策略规则后，拒绝执行该命令，界面会提示您在执行命令时会得到该命令不能执行的提示。 新增命令组 您在新增字符命令授权前需要进行新增命令组的操作。 1. 使用“管理角色”账户登录云堡垒机（原生版）控制台。 2. 在左侧导航栏选择“授权管理 > 字符命令授权”，进入“命令授权”页面。 3. 在页面上面选择“命令组”页签，单击“新增”，开始新增命令组。 参数 参数说明 取值样例 名称 自定义命令组的名称。 Test 匹配方式 支持“正则匹配”和“单命令”匹配。 单命令匹配 命令 当匹配方式选择“单命令匹配”时需要填写命令。 /rm 命令正则式 填写命令规则的正则表达式。 enw 风险等级 选择该命令组的风险等级，共可选5个等级：普通、重要、危险、警告、致命。 普通 动作 选择该命令组中的命令触发时产生的动作： 触发审批：拦截该命令，并自动创建为审批工单。支持审批超时配置，超时xx分钟默认拒绝执行或默认允许执行。 说明 对于包含“触发审批”动作的命令组，需要当前选择的用户（组）具有审批规则，否则无法配置“触发审批”动作，请先前往工单管理配置审核人。 提示警告：触发该策略规则后，警告运维用户谨慎执行该命令。 允许执行：触发该策略规则后，放行命令操作。默认允许执行所有操作。 拒绝执行：触发该策略规则后，拒绝执行该命令，界面会提示您在执行命令时会得到该命令不能执行的提示。 拒绝执行 审批超时配置 设定审批时限，超时未处理则自动拒绝或通过。 5分钟内未审批，则默认拒绝执行。 授权有效期 填写该授权的有效期。审批通过后，在有效期内可多次执行符合该规则的命令。 2小时内有效。 说明 提示符、命令采用正则表达式书写。 命令匹配上多条策略时，动作执行优先级：触发审批 > 提示警告 > 允许执行 > 拒绝执行，若未匹配上任何策略则放行。

本文主要介绍存量节点与容器网络检查。 检查项内容 检查存量节点是否运行正常 检查存量节点的网络是否运行正常 检查存量容器的网络是否运行正常 检查步骤 节点组件异常或节点网络异常，均会反映在节点状态上。 请登录CCE控制台，前往“资源>节点管理”处查看节点状态，检查是否有处于异常状态的节点，可通过状态栏过滤。 容器网络异常会反映在业务上，请检查您的业务是否运行正常。 解决方案 若节点状态异常，请联系技术支持人员。 若容器网络异常，并影响了您的业务，请联系技术支持人员，并同步确认当前异常的网络访问路径。 源端 目的端 目的端类型 可能故障 :::: 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Service ELB 公网IP 集群流量负载均衡入口 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Service ELB 私网IP 集群流量负载均衡入口 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Ingress ELB 公网IP 集群流量负载均衡入口 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Ingress ELB 私网IP 集群流量负载均衡入口 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Service Node Port 公网IP 集群流量入口 kube proxy配置覆盖，该故障已在升级流程适配 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Service Node Port 私网IP 集群流量入口 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Service Cluster IP Service网络平面 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 非Service NodePort 节点单口 节点容器网络 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 跨节点Pod 容器网络平面 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 同节点Pod 容器网络平面 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 Service域名、Pod域名等，基于CoreDNS解析 域名解析 未有记录 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 外部网站域名，基于CoreDNS hosts配置解析 域名解析 coredns插件升级后配置被覆盖，该故障已在插件升级流程适配 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 外部网站域名，基于CoreDNS 上游服务器解析 域名解析 coredns插件升级后配置被覆盖，该故障已在插件升级流程适配 集群内Pod 集群内节点 集群外同VPC下节点 天翼云外 外部网站域名，不通过CoreDNS解析 域名解析 未有记录

本章节主要介绍配置HTTP源端参数。 作业中源连接为HTTP连接时，源端作业参数如下表所示。当前只支持从HTTP URL导出数据，不支持导入。 表 HTTP/HTTPS作为源端时的作业参数 参数名 说明 取值样例 文件URL 通过使用GET方法，从HTTP/HTTPS协议的URL中获取数据。 用于读取一个公网HTTP/HTTPS URL的文件，包括第三方对象存储的公共读取场景和网盘场景。 列表文件 选择“是”，将待上传的文本文件中所有URL对应的文件拉取到OBS，文本文件记录的是HDFS上的文件路径。 是 列表文件源连接 文本文件存储在OBS桶中，这里需要选择已建立的OBS连接。 obslink 列表文件OBS桶 存储文本文件的OBS桶名称。 obscdm 列表文件或目录 在OBS中存储文本文件文件的自定义目录，多级目录可用“/”进行分隔。 test1 文件格式 当前CDM只支持选择“二进制格式”，不解析文件内容直接传输，不要求原文件格式必须为二进制。 二进制格式 压缩格式 选择对应压缩格式的源文件进行迁移： 无：表示传输所有格式的文件。 GZIP：表示只传输GZIP格式的文件。 ZIP：表示只传输ZIP格式的文件。 TAR.GZ：表示只传输TAR.GZ格式的文件。 无 压缩文件后缀 压缩格式非无时，显示该参数。 该参数需要解压缩的文件后缀名。当一批文件中以该值为后缀时，才会执行解压缩操作，否则则保持原样传输。当输入或为空时，所有文件都会被解压。 文件分隔符 传输多个文件时，CDM使用这里配置的文件分隔符来区分各个文件，默认为l。列表文件显示为“是”时，显示该参数。 l QUERY参数 该参数设置为“是”时，上传到OBS的对象使用的对象名，为去掉query参数后的字符。 该参数设置为“否”时，上传到OBS的对象使用的对象名，包含query参数。 否 加密方式 如果源端数据是被加密过的，则CDM支持解密后再导出。这里选择是否对源端数据解密，以及选择解密算法： 无：不解密，直接导出。 AES256GCM：使用长度为256byte的AES对称加密算法，目前加密算法只支持AES256GCM（NoPadding）。该参数在目的端为加密，在源端为解密。 AES256GCM 忽略不存在原路径/文件 如果将其设为是，那么作业在源路径不存在的情况下也能成功执行。 否 数据加密密钥 “加密方式”选择“AES256GCM”时显示该参数，密钥由长度64的十六进制数组成，且必须与加密时配置的“数据加密密钥”一致。如果不一致系统不会报异常，只是解密出来的数据会错误。 DD0AE00DFECD78BF051BCFDA25BD4E320DB0A7AC75A1F3FC3D3C56A457DCDC1B 初始化向量 “加密方式”选择“AES256GCM”时显示该参数，初始化向量由长度32的十六进制数组成，且必须与加密时配置的“初始化向量”一致。如果不一致系统不会报异常，只是解密出来的数据会错误。 5C91687BA886EDCD12ACBC3FF19A3C3F MD5文件名后缀 校验CDM抽取的文件，是否与源文件一致。 .md5

本章节主要介绍如何运行Kafka作业。 用户可将自己开发的程序提交到MRS中，执行程序并获取结果。本章节教您在Kafka主题中产生和消费消息。 暂不支持通过界面提交Kafka作业，请通过后台功能来提交作业。 通过后台提交作业 先查询ZooKeeper和Kafka的实例地址，再运行Kafka作业。 查询实例地址（3.x版本） 1.登录MRS管理控制台。 2.选择“集群列表 > 现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 3.请参考访问FusionInsight Manager（MRS 3.x及之后版本），跳转至FusionInsight Manager页面。然后选择“服务 > ZooKeeper > 实例”，查看ZooKeeper角色实例的IP地址。记录ZooKeeper角色实例中任意一个的IP地址即可。 4.选择“服务 > Kafka > 实例”，查看Kafka角色实例的IP地址。记录Kafka角色实例中任意一个的IP地址即可。 查询实例地址（3.x之前版本） a. 登录MRS管理控制台。 b. 选择“集群列表 > 现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 c. 在MRS集群详情页面，选择“组件管理 > ZooKeeper > 实例”，查看ZooKeeper角色实例的IP地址。记录ZooKeeper角色实例中任意一个的IP地址即可。 d. 选择“组件管理 > Kafka > 实例”，查看Kafka角色实例的IP地址。记录Kafka角色实例中任意一个的IP地址即可。 运行Kafka作业 MRS 3.x及之后版本客户端默认安装路径为“/opt/Bigdata/client”，MRS 3.x之前版本为“/opt/client”。具体以实际为准。 1.在集群信息页面的“节点管理”页签中单击Master2节点名称，进入弹性云主机管理控制台。 2.单击页面右上角的“远程登录”。 3.根据界面提示，输入Master节点的用户名和密码，用户名、密码分别为root和创建集群时设置的密码。 4.执行如下命令初始化环境变量。 source /opt/Bigdata/client/bigdataenv 5.如果当前集群已开启Kerberos认证，执行以下命令认证当前用户。如果当前集群未开启Kerberos认证，则无需执行该步骤。 kinit MRS集群用户 例如, kinit admin 6.执行如下命令，创建kafka topic。 kafkatopics.sh create zookeeper ZooKeeper角色实例IP:2181/kafkapartitions 2 replicationfactor 2 topic 7.在topic test中产生消息。 首先执行命令kafkaconsoleproducer.sh brokerlist Kafka角色实例IP:9092 topic producer.config /opt/Bigdata/client/Kafka/kafka/config/producer.properties 。 然后输入指定的内容作为生产者产生的消息，输入完成后按回车发送消息。如果需要结束产生消息，使用“Ctrl + C”退出任务。 8.消费topic test中的消息。 kafkaconsoleconsumer.sh topic bootstrapserver Kafka角色实例IP:9092 consumer.config/opt/Bigdata/client/Kafka/kafka/config/consumer.properties 说明 如果集群开启Kerberos认证，则执行如上两个命令时请修改端口号9092为21007，详见

本节介绍了配置自治限流的操作场景、前提条件、操作步骤等相关内容。 操作场景 自治限流是通过预先设置CPU阈值、可允许最大活跃连接数等前置条件，当相关条件满足时系统会对会话进行自动流控，在突发流量过高、异常读写等业务场景下保障核心业务的可用性。 前提条件 首次使用自治限流模块，请先升级高级智能运维包。 1. 在自治限流模块，单击“升级”，在弹框中，了解增值功能以及费用说明。 2. （可选）开启“收集慢SQL”和“收集全量SQL”开关后，对慢SQL和全量SQL进行多维度统计聚合，具体请参见查看实例慢SQL和查看实例TOP SQL。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页签。 步骤 5 在左侧导航栏选择“智能DBA助手 > 历史诊断”。 步骤 6 选择“全量SQL > 自治限流”。 步骤 7 单击“自治限流”。 步骤 8 打开 ，开启自治限流开关，配置自治限流参数，参数说明请参见下表。 自治限流配置示例： 在限流时间窗15:0018:00，检测实例指标“CPU利用率 > 90%”和“活跃会话数 >20”，且持续5分钟都处于该状态则触发自治限流。每次限流时间最大5分钟，在限流期间，如果CPU利用率或活跃会话数不再满足限流策略，限流将退出。 表 自治限流参数 参数项 说明 数据库名 指定需要限流的数据库名称。指定后需要执行use 语句，会话才会被限流。 不填数据库名默认对全部数据库限流。 用户名 指定需要限流的用户名。 限流时间窗 选择限流时间段，限流时间段内仅触发一次自治限流。 每次最大限流时长 在限流时间窗内满足限流策略时，对数据库限流的最大时长。 CPU利用率 填写实例的CPU利用率阈值（≥70%），并选择与“活跃会话数”的关系。二者关系为“且”或者“或”。 活跃会话数 输入活跃会话数条件阈值，范围为1~5000。 持续时间（分钟） 满足CPU利用率和活跃会话数条件的会话持续一定时间后触发自治限流。可以自定义事件持续时间，支持2~60分钟。 例如：实例的CPU利用率在90%以上并且活跃会话数在1000以上，该事件持续30分钟才会触发自治限流。 允许限流的最大活跃连接数 触发限流规则后，当连接数下降到该配置项的值，会停止限流。取值范围为1~5000。 步骤 9 单击“确定”。 步骤 10 当触发数据库限流后，在自治限流页面生成一条限流记录。并且支持查看历史限流记录。 结束

本节介绍如何申请私有证书。 成功购买证书后，您需要申请证书，即为证书绑定域名或IP、填写证书申请人的详细信息并提交审核。所有信息通过审核后，证书颁发机构才签发证书。 前提条件 已成功购买私有（内网）证书并且在控制台的“证书状态”为“待申请”。如何购买私有（内网）证书请参考：购买私有（内网）证书。 准备工作 申请私有（内网）证书时，需要在人工验证阶段上传证书申请表，您可以提前下载私有（内网）证书申请表模版，申请表需经办人签字并加盖公章。 服务类型 证书版本 证书种类 加密标准 下载审核材料模板 私有（内网）证书 标准版 OV 国际标准、国密标准 私有（内网）证书申请表模版.xlsx 操作步骤 1. 登录“证书管理服务”控制台。 2. 在左侧导航栏选择“私有证书管理 > 私有证书列表”。 3. 选择待申请的证书，单击“操作”列的“证书申请”按钮，进行私有（内网）证书申请。 4. 在右侧弹出的窗口中填写证书申请的相关信息。 填写参数 参数说明 证书绑定域名 第一个域名将作为证书通用域名名称（不可修改）。 注意 在申请单域名规格证书时： 所填域名不含www时，填写主域名，系统赠送域名：www.主域名。 例如，填写ctyun.cn（主域名），系统赠送域名：www.ctyun.cn；填写二级及以上子域名，系统不赠送域名。 所填域名含www时，填写www域名，系统赠送上一级域名。 例如，填写www.a.ctyun.cn，系统赠送域名：a.ctyun.cn。 联系人 选择联系人，如何新建联系人请参考联系人管理章节。 公司 选择公司，如何新建公司请参考公司管理章节。 所在地 选择公司实际所在地区。（目前仅支持选择中国地区） 密钥算法 可选择“RSA”、“ECC”或“SM2”。（根据购买证书页面所选的加密标准选择） CSR生成方式 CSR是一个包含网站、服务、国家、组织、域名、公钥和签名的编码文件，用于从可信的证书颁发机构（CA）获取SSL证书。 支持“系统生成”或“手动生成”两种方式： 系统生成：根据用户所配置的信息，系统自动生成一个CSR。为保障您的证书顺利申请，建议您使用系统生成CSR的方式，避免因内容不正确而导致的审核失败。 手动生成：在下拉框中选择已手动创建的CSR，使用已创建的CSR申请证书。 注意 请不要在证书签发完成前删除CSR。 手动生成将无法署到天翼云产品。 5. 填写完后，单击“提交审核”，进入验证环节，根据页面提示填写证书申请表并上传。 6. 上传完成后，等待CA签发机构完成验证，若验证通过则可以在控制台下载私有（内网）证书。

本章节介绍发布单相关功能 概述 发布单主要用于发布同环境下多个应用实例，并指定应用实例间发布顺序。 发布单列表 发布单主要展示该环境下历史发布单信息。在左侧导航栏单击应用运维容器应用实例应用发布发布单进入发布单列表页面。发布单列表页面分成发布单统计和发布单列表两块内容。 发布单统计 发布单统计用于统计当前环境下发布单信息，展示发布单总计、发布成功总计、发布失败总计、发布中总计、待审核总计、审核不通过总计、待发布总计、已取消总计。 发布单列表 发布单列表包括发布单名称、部署单元、应用数量、状态、执行人、执行时间、操作列。根据状态的不同，操作列存在不同。 创建发布单 1. 在发布单列表页面，单击创建发布单按钮，进入发布单配置页面 2. 填写基本信息 配置项 描述 发布单名称 发布单名称。 部署单元 展示当前环境下的所有部署单元。 发布类型 支持普通发布和金丝雀发布。金丝雀发布支持按流量发布和按泳道发布。具体参考应用总览。 发布批次 选择发布分批次数。仅普通发布才有该选项。 首批灰度数量 首批发布的应用实例数量。右侧会显示应用当前实例数，为保证应用稳定性，灰度实例数不能超过应用实例总数的50%。仅金丝雀发布才有该选项。说明： 灰度分组发布后，必须手动开始剩余分批发布。 剩余分批次数 首批灰度发布后，剩余的应用实例按照该处设置的批次完成分批发布。 分批方式 说明： 当普通发布的发布批次大于1或者金丝雀发布的剩余分批次数大于1时，需配置分批间处理方式。 支持手动和自动。手动：手动触发下一个批次的发布。自动：根据间隔自动分配分批发布。间隔为剩余批次间的发布时间间隔，单位：分钟。 应用实例列表 您可以在待选应用实例列表中单击选择需要的应用实例，单击>图标将应用实例添加到已选应用实例列表中。若应用实例存在多个版本，需要选择要发布的版本。默认选择最新的版本。 3. 高级配置 高级配置用于设置应用实例间依赖关系。当选择了 2 个及以上应用实例时，可能需要填写应用实例之间的依赖关系。若应用实例之间不存在依赖关系，则直接跳过。 注意 应用实例之间不可循环依赖，即不可出现应用实例 A 依赖于应用实例 B，同时应用实例 B 又依赖于应用实例 A 这种情况。 4. 在预览页面确认信息无误后，单击创建。系统会自动跳转到发布单列表页面，单击发布单名称进入发布单详情页面，等待初始化完成后点击发布即可开始发布。

本章节介绍如何使用云主机备份产品完成ECS的整机备份恢复。 场景描述 如果您的业务数据同时保存在数据盘和系统盘中，当ECS整机发生系统故障或者错误操作时，您可以通过云主机备份的备份和恢复功能，实现业务应用版本回退。本文详细介绍整机恢复场景的相关内容。 方案优势 当发生病毒入侵、人为误删除、软硬件故障等事件，支持将数据恢复到任意备份点，使系统正常运行。 备份的同一个ECS主机下的所有磁盘数据具有一致性，即同时对所有云硬盘进行备份，不存在因备份创建时间差带来的数据不一致问题。 前提条件 在进行本文操作之前，您需要完成以下准备工作： 请确保弹性云主机在备份前已完成如下操作： Linux弹性云主机优化并安装Cloudinit工具 Windows弹性云主机优化并安装Cloudbaseinit工具 创建镜像前备份的状态必须为“可用”，或者状态为“创建中”并在备份状态列显示“可用于创建镜像”时，才允许执行创建镜像操作。 用于数据恢复的备份必须包含系统盘的备份。 操作步骤 步骤1：创建云主机备份 1、假设云主机A的数据盘中存放了数据：datadisk.txt，系统盘中存放了数据：systemdisk.txt，如下图所示 2、参照云主机备份操作指导章节，完成云主机备份的创建。 3、执行备份成功后，在“备份副本”页签，查看产生的备份状态为“可用”，表示当前备份任务执行成功。 步骤2：删除/新增数据，模拟灾难场景 1、登录天翼云管理控制台。远程登陆云主机，或者使用远程桌面访问对应云主机。 2、删除系统盘和数据盘中准备的数据，新增文件和数据如下图所示： 步骤3：整机恢复 1、登录天翼云管理控制台。选择“存储 > 云主机备份”。进入云主机备份页面。 2、在“备份”页签下，选中创建成功的备份，单击操作列“恢复数据”，进入恢复服务器的向导页面，按需选择对应选项，点击确定。 3、在云主机备份控制台的“备份”页签下，查看任务状态，状态成功后即恢复完成。 步骤4：数据验证 1.登录天翼云管理控制台。远程登陆云主机，或者使用远程桌面访问对应云主机。查看对应数据，如下图所示，已恢复至对应时间点数据状态：

本节介绍了更改时区的操作场景、更改Linux弹性云主机的时区、更改Windows弹性云主机的时区。 操作场景 弹性云主机默认设置的时区，是您制作镜像时选择的时区。如需修改，请参见本节内容，将其更改为所需的本地时间或网络中的其他时区。 弹性云主机登录成功后，如果发现弹性云主机系统时间与本地时间不一致，建议更改时区，将弹性云主机系统时间与本地时间进行同步。 更改Linux弹性云主机的时区 针对不同的Linux操作系统，更改时区的操作略有不同。本节以CentOS 6.x 64bit为例，介绍更改Linux弹性云主机时区的操作方法。 1. 登录弹性云主机。 2. 执行以下命令，切换至root帐号。 su root 3. 执行以下命令，查询支持使用的时区。 ls /usr/share/zoneinfo/ 其中，“/user/share/zoneinfo”目录显示了时区数据文件的目录结构。您可以通过该目录结构，查找您所需时区的文件。 “/user/share/zoneinfo”目录中显示的信息，部分为时区，部分为目录。其中，目录包含了针对特定城市的时区文件，您可以在此目录查找要用于弹性云主机的所在城市时区。 示例如下： − 假设您需要使用中国上海所在的时区，则需先执行命令ls /usr/share/zoneinfo/Asia打开目录。 其时区文件目录为“/usr/share/zoneinfo/Asia/Shanghai” − 假设您需要使用法国巴黎所在的时区，则需先执行命令ls /usr/share/zoneinfo/Europe打开目录，其时区文件目录为“/usr/share/zoneinfo/Europe/Paris”。 4. 设置新时区。 a. 执行以命令，打开“/etc/sysconfig/clock”文件。 vim /etc/sysconfig/clock b. 查找ZONE条目，将其更改为所需的时区文件名称。 示例如下： 假设更改为中国上海所在时区，需将ZONE条目更改为： ZONE"Asia/Shanghai" 假设更改为法国巴黎所在时区，需将ZONE条目更改为： ZONE"Europe/Paris" 5. 按“ESC”，执行以下命令，保存并退出文件。 :wq 6. 执行以下命令，查询弹性云主机中是否已经存在“/etc/localtime”文件。 ls /etc/localtime − 是，执行7。 − 否，跳转8。 7. 执行以下命令，删除已有的“/etc/localtime”文件。 rm /etc/localtime 8. 执行以下命令，在“/etc/localtime”与时区文件之间创建一个符号链接，使得弹性云主机在引用本地时间信息时找到此时区文件。 ln sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime 9. 执行以下命令，重启系统，使得所有服务和应用程序接受新时区信息。 reboot 10. 重新登录弹性云主机，使用root帐号执行以下命令，查询弹性云主机的时区，确认是否更改成功。 ls lh /etc/localtime 回显信息如下所示： ls lh /etc/localtime lrwxrwxrwx 1 root root 33 Nov 27 11:01 /etc/localtime > /usr/share/zoneinfo/Asia/Shanghai

检查项 检查内容 lcmonetary参数配置一致性检查 检查源库与目标库的lcmonetary参数配置是否一致。 pg版本检查 检查源库和目标库的pg版本是不是符合要求。 同名对象存在性检查 检查目标库中是否存在和待迁移库同名的待迁移对象。 扩展插件兼容性检查 检查源库中安装的扩展插件，在目标库是否存在。 约束完整性检查 检查待迁移对象中子表依赖的父表是否被选中。 检查hotstandbyfeedback参数配置 全量迁移源库pg为备节点时，hotstandbyfeedback参数需配置为ON。 源库用户权限检查 检查源库用于DTS任务的用户是否具有相应的权限。 源库连通性检查 检查数据传输服务器能否连通源数据库。 源数据库的模式名表名是否合法 检查源数据库的模式名表名是否合法，名称不可以包含+"%'<>,.字符。 源库参数wallevel是否为logical 勾选增量迁移时，检查源库wallevel参数值是否为logical。 目标库用户权限检查 检查目标库用于DTS任务的用户是否具有相应的权限。 目标库连通性检查 检查数据传输服务器能否连通目标数据库。 源库参数maxreplicationslots校验 勾选增量迁移时，检查源库maxreplicationslots参数值是否大于当前已使用的复制槽数量。 源库参数maxwalsenders校验 勾选增量迁移时，检查源库maxwalsenders参数值是否大于当前已使用的复制槽数量。 逻辑解码插件安装校验 勾选增量迁移时，检查源库是否安装逻辑解码插件decoderbufs。 待迁移表是否存在主键检查 勾选增量迁移时，检查待迁移表中是否存在无主键的表。 无日志表存在性检查 勾选增量迁移时，检查当前选择的待同步对象中的表是否存在无日志表。 源库主备状态检查 勾选增量迁移时，检查源库是否为集群中的主库。 ddl同步元数据检查 勾选ddl同步时，检查源库是否有ddl同步所需的元数据对象。

本章节主要介绍如何使用函数流实现流式大文件处理。 背景与价值 Serverless Workflow由于自身可编排、有状态、持久化、可视化监控、异常处理、云服务集成等特性，适用于很多应用场景，比如： 复杂度高需要抽象的业务（订单管理，CRM 等） 业务需要自动中断 / 恢复能力，如多个任务之间需要人工干预的场景（人工审批，部署流水线等） 业务需要手动中断 / 恢复（数据备份 / 恢复等） 需要详细监控任务执行状态的场景 流式处理（日志分析，图片 / 视频处理等）当前大部分 Serverless Workflow 平台更多关注控制流程的编排，忽视了工作流中数据流的编排和高效传输，上述场景创建函数流触发器中，由于数据流相对简单，所以各大平台支持都比较好，但是对于文件转码等存在超大数据流的场景，当前各大平台没有给出很好的解决方案。FunctionGraph函数工作流针对该场景，提出了 Serverless Streaming 的流式处理方案，支持毫秒级响应文件处理。 技术原理 FunctionGraph函数工作流提出 Serverless Streaming 的流式可编排的文件处理解决方案，步骤与步骤之间通过数据流驱动，更易于用户理解。本章通过图片处理的例子解释该方案的实现机制。 如果需要驱动一个工作流执行，工作流系统需要处理两个部分： 控制流：控制工作流的步骤间流转，以及步骤对应的 Serverless 函数的执行。确保步骤与步骤之间有序执行。 数据流：控制整个工作流的数据流转，通常来说上一个步骤的输出是下一个步骤的输入，比如上述图片处理工作流中，图片压缩的结果是打水印步骤的输入数据。 在普通的服务编排中，由于需要精准控制各个服务的执行顺序，所以控制流是工作流的核心部分。然而在文件处理等流式处理场景中，对控制流的要求并不高，以上述图片处理场景举例，可以对大图片进行分块处理，图片压缩和加水印的任务不需要严格的先后顺序，图片压缩处理完一个分块可以直接流转到下一个步骤，而不需要等待图片压缩把所有分块处理完再开始加水印的任务。 基于上述理解，FunctionGraph工作流的 Serverless Streaming 方案架构设计如下图所示： 在 Serverless Streaming 的流程中，弱化控制流中步骤之间的先后执行顺序，允许异步同时执行，步骤与步骤之间的交互通过数据流驱动。其中数据流的控制通过 Stream Bridge 组件来实现。同时函数 SDK 增加流式数据返回接口，用户不需要将整个文件内容返回，而是通过 gRPC Stream 的方式将数据写入到 Stream Bridge，Stream Bridge 用来分发数据流到下一个步骤的函数 Pod 中。

是否用户请求量过低导致 如果域名请求数总量较少，则即使有少量URL未命中，仍会对总体命中率影响较大。例如，5分钟内仅100个URL请求，其中20个是访问同个URL，但因为该URL在CDN设置了不缓存或缓存时间为0（等同于不缓存），导致每次请求都回源，则此时CDN缓存命中率最高不会超过80%。此外，因为CDN节点磁盘缓存空间有限，一般会有基于文件热度淘汰冷文件机制。如果该域名访问的资源热度极低，例如第一次访问后，下次用户访问同个资源是在一周以后，则在此期间该文件可能因为热度过低被淘汰掉，也会导致命中率较低。 是否用户请求确实比较分散，热度较低导致 域名总请求数和访问量居中，但用户请求确实比较分散，即不同地区不同用户访问的内容都不一样，没有集中请求热点资源，这种用户访问特性也会导致命中率较低。该情况可以结合CDN控制台上【数据分析】模块的“热门URL”数据来进行确认，例如按天统计的热门URL排名TOP10的访问次数很少，访问占比不到1%，则该域名整体命中率较低是正常情况。 是否因缓存设置不合理导致 CDN控制台上有推荐的缓存规则设置，客户可以基于该规则进行适当调整。如果缓存规则设置不合理，也会导致缓存命中率较低。可以结合CDN控制台上【数据分析】模块中“热门URL（回源）”数据进行确认。例如，回源请求次数排名TOP的URL，是否存在实际是可缓存的，或是否存在加速URL中携带问号后参数但实际指向同个文件，因未设置去问号缓存导致重复回源（详情请见：CDN缓存key携带问号后参数导致缓存命中率低）。如存在上述情况，可通过CDN控制台【域名管理】模块中“缓存配置”“缓存过期时间设置”进行调整优化，例如将实际可缓存的URL，设置为强制缓存一段时间，或将相应URL设置为去问号缓存。 注意 CDN缓存规则分为不缓存、强制缓存、遵循源站缓存三种，其中如果选择遵循源站缓存，则可能因为源站返回CacheControl头值为nocache、nostore、private等不缓存头而导致CDN节点不缓存，此时如果确认对应URL实际是可缓存的，可将缓存规则调整为强制缓存，此时CDN节点将忽略源站的不缓存头，强制进行缓存。 完成以上检查后，如发现回源较多的URL确实是不能缓存的URL，即设置了不缓存或缓存时间为0的URL，例如php、jsp文件等，则命中率较低是正常情况。

例行维护周期 任务场景 例行维护内容 每天 检查集群服务状态 l 检查每个服务的运行状态和配置状态是否正常，是否为绿色。 l 检查每个服务中，角色实例的运行状态和配置状态是否正常，是否为绿色。 l 检查每个服务中，角色实例的主备状态是否可以正常显示。 l 检查服务与角色实例的“概览”显示结果是否正常。 每天 检查集群主机状态 l 检查每个主机当前的运行状态是否正常，是否为绿色。 l 检查每个主机当前的磁盘使用率、内存使用率和CPU使用率。关注当前内存与CPU使用率是否处于上升趋势。 每天 检查集群告警信息 检查前一天是否生成了未处理异常告警，包含已自动恢复的告警。 每天 检查集群审计信息 检查前一天是否有“高危”和“危险”的操作，是否已确认操作的合法性。 每天 检查集群备份情况 检查前一天OMS、LDAP、DBService和NameNodeOMS、LDAP和DBServiceOMS、LDAP是否自动备份。 每天 检查健康检查结果 在FusionInsight Manager执行健康检查，下载健康检查报告确认当前集群是否存在异常状态。建议启用自动健康检查，并及时导出最新的集群健康检查结果，根据检查结果修复不健康项目。 每天 检查网络通讯 检查集群网络工作状态，节点之间的网络通讯是否存在延时。 每天 检查存储状态 检查集群总体数据存储量是否出现了突然的增长： l 磁盘使用量是否已接近阈值，排查原因，例如是否有业务留下的垃圾数据或冷数据需要清理。 l 业务是否有增长需求，磁盘分区是否需要扩容。 每天 检查日志情况 l 检查是否有失败、失去响应的MapReduce、Spark任务，查看HDFS中“/tmp/logs/${username}/logs/${application id}”日志文件并排除问题。 l 检查Yarn的任务日志，查看失败、失去响应的任务日志，并删除重复数据。 l 检查Storm的worker日志。 l 备份日志到存储服务器。 每周 用户管理 检查用户密码是否将要过期并通知修改。“机机用户”用户修改密码需要重新下载keytab文件。 每周 分析告警 导出指定周期内产生的告警并分析。 每周 扫描磁盘 对磁盘健康状态进行检查，建议使用专门的磁盘检查工具。 每周 统计存储 分批次排查集群节点磁盘数据是否均匀存储，筛选出明显数据增加或不足的硬盘，并确认硬盘是否正常。 每周 记录变更 安排并记录对集群配置参数和文件实施的操作，为故障分析处理场景提供依据。 每月 分析日志 l 收集集群节点服务器的硬件日志，例如BMC系统日志，并进行分析。 l 收集集群节点服务器的操作系统日志，并进行分析。 l 收集集群日志，并进行分析。 每月 诊断网络 对集群的网络健康状态进行分析。 每月 管理硬件 检查设备运行的机房环境，安排清洁设备。

本节介绍了设置跨区域备份策略的操作场景、约束与限制、开启或修改步骤等相关内容。 操作场景 关系型数据库支持将备份文件存放到另一个区域存储，某一区域的实例故障后，可以在异地区域使用备份文件在异地恢复到新的RDS实例，用来恢复业务。 实例开启跨区域备份策略后，会自动将该实例的备份文件备份到目标区域。您可以在RDS“备份管理”页面，对跨区域的备份文件进行管理。未开启跨区域备份策略，默认是在本区域存放备份。 每个租户默认最多支持150个实例设置跨区域备份策略。 计费标准 开启跨区域备份功能后，计费规则如下： 产品 功能 标准资费(元/G/小时） 关系数据库MySQL版 跨区域备份 0.001 约束和限制 目前仅广州苏州、华北贵州支持此能力，如果您的实例在这些资源池内，请您提交工单申请对应权限。 开启或修改跨区域备份策略 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在左侧导航栏，单击“备份恢复”，单击“跨区域备份策略”。 步骤 6 在弹框中，开启跨区域全备，或者同时开启跨区域全备和日志备份，选择备份区域和备份保留时长。 实例名称仅会在跨区域备份初次同步时同步，实例ID为跨区域备份的唯一标识。 开启跨区域全备：将本实例的自动全量备份文件备份到异地。 开启跨区域日志备份：将本实例的Binlog备份（增量备份）文件备份到异地。 跨区域备份文件的保留天数范围为1～1825天。 开启跨区域备份策略仅对新产生的备份生效，即为开启跨区域备份策略后产生的备份生效，之前的备份文件不会存储到异地。 开启跨区域日志备份后需要待下一次自动全量备份复制完成后才可进行将数据库实例恢复到指定时间点操作，并且只允许恢复到自动全量备份完成后的时间点。 同一个租户下各数据库实例，备份选择的目标区域需要相同。 跨区域备份会在实例本区域备份完成后异步复制到异地。 步骤 7 单击“确定”，确认修改。 步骤 8 您可以返回实例列表，在左侧导航栏选择“备份管理”，在“数据库跨区域备份”页签，管理跨区域备份文件。 默认展示所有的跨区域备份实例信息。 − 单击“设置区域备份”，可以修改跨区域备份策略。 − 单击“查看跨区域备份”，可以查看到生成的备份文件，当原区域实例发生故障，可以通过该备份文件将数据恢复到新实例。 结束

参数 说明 地域 桶所在的地域。存储桶一旦创建成功，地域不能修改。 bucket名称 桶的名称，注意以下命名规则: 桶名称全局唯一，在任何集群，都不能与已有的任何桶名称重复，包括其他用户创建的桶。 存储桶一旦创建成功，名称不能修改且不支持重命名。 长度范围为3到63个字符，支持小写字母、数字、中划线（）、英文句号（.）。 禁止两个英文句号（.）或英文句号（.）和中划线（）相邻，禁止以英文句号（.）和中划线（）开头或结尾。 禁止使用IP地址。 如果名称中包含英文句号（.），访问桶或对象时可能会进行安全证书校验。 存储类型 桶的存储类型，可选标准存储/低频存储/归档存储。部分资源池暂不支持低频或归档存储。 读写权限 桶的读写权限控制。 私有：仅桶的拥有者和授权用户可进行读写操作。 公共读：公共读权限下所有用户均拥有该桶的读权限，为确保您的数据安全，不推荐此配置。 数据冗余策略 单AZ存储：选择单AZ，数据会存储在一个可用区。单AZ存储支持标准存储、低频存储、归档存储三种存储类型。 多AZ存储：选择多AZ存储，数据会存储在同一地域的多个可用区中，可用性更高。多AZ采用相对较高的计费标准。多AZ存储仅支持标准或低频存储类型。 请根据业务情况提前规划数据冗余存储策略，桶一旦创建成功，数据冗余存储策略后续无法更改。 企业项目 企业项目是一种云资源管理方式，企业项目管理服务将统一的云资源按项目管理。 为桶选择所属的企业项目，从而将桶与企业项目进行关联。在选择“企业项目”的下拉列表中，将显示用户在企业项目服务中已创建的项目。 系统还内置了一个缺省的企业项目“default”，如果用户没有为桶创建企业项目，将使用缺省项目“default”。您也可参考 服务端加密 开启服务端加密功能，上传的对象将以加密的方式存储在ZOS中。下载对象时，ZOS会自动将加密文件解密后再提供给用户。选择加密方式，取值范围如下： 关闭 :不启用服务器端加密。 ZOS完全托管 : 使用ZOS托管的密钥进行加密。 KMS: 使用KMS默认托管的CMK或指定CMK ID进行加解密操作 。 2种加密方式的对比见 合规保留 开启合规保留后，允许用户以“不可删除、不可篡改”方式保存和使用数据。 是否编辑桶标签 为指定存储桶设置标签，用来标记不同用途的存储桶并进行分类管理。

本章主要介绍翼MapReduce的备份HBase业务数据功能。 操作场景 为了确保HBase日常数据安全，或者系统管理员需要对HBase进行重大操作（如升级或迁移等），需要对HBase业务数据进行备份，从而保证系统在出现异常或未达到预期结果时可以及时进行数据恢复，将对业务的影响降到最低。 系统管理员可以通过FusionInsight Manager创建备份HBase任务并备份数据。支持创建任务自动或手动备份数据。 HBase备份业务数据时，可能存在以下场景： 用户创建HBase表时，“KEEPDELETEDCELLS”属性默认值为“false”，备份该HBase表时会将已经删除的数据备份，可能导致恢复后出现垃圾数据。请根据业务需要，在创建HBase表时手动修改参数值为“true”。 用户在HBase表写入数据时手动指定了时间戳，且时间早于上一次该HBase表的备份时间，则在增量备份任务中可能无法备份新数据。 HBase备份功能不支持对HBase的global或者命名空间的读取、写入、执行、创建和管理权限的访问控制列表（ACL）进行备份，恢复HBase数据后需要管理员在FusionInsight Manager上重新设置角色的权限。 已创建的HBase备份任务，如果本次备份任务在备集群的备份数据丢失，当下次执行增量备份时备份任务将失败，需要重新创建HBase的备份任务。若下次执行全量则备份正常。 前提条件 如果数据要备份至远端HDFS中，需要准备一个用于备份数据的备集群，认证模式需要与主集群相同。其他备份方式不需要准备备集群。 如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置跨Manager集群互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 根据业务需要，规划备份任务的类型、周期、备份对象、备份目录和备份任务需要使用的Yarn队列等策略规格。 检查备集群HDFS是否有充足的空间，备份文件保存的目录建议使用用户自定义的目录。 使用HDFS客户端，以hdfs用户执行hdfs lsSnapshottableDir检查当前集群中已创建HDFS快照的目录清单，确保待备份的数据文件所在HDFS路径的父目录或子目录不存在HDFS快照，否则无法创建备份任务。 如果数据要备份至NAS中，需要提前部署好NAS服务端。 HBase的“fs.defaultFS”配置参数需要与Yarn，HDFS的配置保持一致。

本章节主要介绍MapReduce如何创建集群。 使用翼MR的首要操作就是创建集群，本章节为您介绍如何在翼MR管理控制台创建一个新的集群。 操作步骤 1.登录翼MR管理控制台。 2.单击“创建集群”，进入“创建集群”页面。 说明 创建集群时需要注意配额提醒。当资源配额不足时，建议按照提示申请足够的资源，再创建集群 。 3.在创建集群页面，选择“自定义创建”页签。 4 .配置集群软件信息。 区域：默认即可。 集群名称：可以设置为系统默认名称，但为了区分和记忆，建议带上项目拼音缩写或者日期等。例如：“mrs20180321”。 集群版本：默认最新版本即可。 集群类型：默认选择“分析集群”即可。 组件选择：分析集群勾选Spark2x、HBase和Hive等组件。流式集群勾选Kafka和Storm等组件。混合集群可同时勾选分析集群流式集群的组件。 元数据：默认即可。 说明 针对翼MR 3.x之前版本，分析集群勾选Spark、HBase和Hive等组件 。 5.单击“下一步”。 可用区：默认即可。 虚拟私有云：默认即可。如果没有虚拟私有云，请单击“查看虚拟私有云”进入虚拟私有云，创建一个新的虚拟私有云。 子网：默认即可。 安全组：选择“自动创建”。 弹性公网IP：选择“暂不绑定”。 实例规格：Master和Core节点都选择“通用计算型S3>8核16GB(s3.2xlarge.2 )”。 系统盘：存储类型选择“普通IO”，存储空间默认即可。 数据盘：存储类型选择“普通IO”，存储空间默认即可，数据盘数量默认即可。 实例数量：Master节点数量默认为2，Core节点数量配置为3。 注意 上述“实例规格”示例，实际可选规格请以各资源池可用规格为准。 6.单击“下一步”进入高级配置页签，配置参数，其他参数保持默认。 Kerberos认证： −Kerberos认证：关闭Kerberos认证。 −用户名：Manager管理员用户，目前默认为admin用户。 −密码：Manager管理员用户的密码。 登录方式：选择登录ECS节点的登录方式。 −密码：设置登录ECS节点的登录密码。 −密钥对：从下拉框中选择密钥对，如果已获取私钥文件，请勾选“我确认已获取该密钥对中的私钥文件 SSHkeyxxx ，否则无法登录弹性云主机”。如果没有创建密钥对，请单击“查看密钥对”创建或导入密钥，然后再获取私钥文件。 通信安全授权：勾选确认授权。 7.单击“立即申请”。 当集群开启Kerberos认证时，需要确认是否需要开启Kerberos认证，若确认开启请单击“继续”，若无需开启Kerberos认证请单击“返回”关闭Kerberos认证后再创建集群。 8.单击“返回集群列表”，可以查看到集群创建的状态。 集群创建需要时间，所创集群的初始状态为“启动中”，创建成功后状态更新为“运行中”，请您耐心等待。

本节主要接受权限管理 通过IAM，您可以在云帐号中给员工创建IAM用户，并使用策略来控制他们对云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有ServiceStage的使用权限，但是不希望他们拥有删除等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用ServiceStage，但是不允许删除的权限策略，控制他们对ServiceStage资源的使用范围。 如果云帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用ServiceStage服务的其它功能。 IAM是云服务提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。关于IAM的详细介绍，请参见帮助中心 > 统一身份认证服务 > 用户指南 > 产品简介。 ServiceStage权限 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得策略定义的权限，这一过程称为授权。授权后，用户就可以基于策略对云服务进行操作。 ServiceStage资源通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问ServiceStage时，需要先切换至授权区域。 根据授权精细程度分为角色和策略： 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各云服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。 如下表所示，包括了ServiceStage的所有系统权限。推荐使用系统策略，系统角色仅用于兼容已有的权限配置。 表 ServiceStage系统权限说明 系统角色/策略名称 描述 类别 依赖系统权限 ServiceStage FullAccess 微服务云应用平台所有权限。 系统策略 无 ServiceStage ReadOnlyAccess 微服务云应用平台只读权限。 系统策略 无 ServiceStage Developer 微服务云应用平台开发者权限。 拥有应用、组件、环境的操作权限，但无基础设施创建权限。 系统策略 无 CSE Admin 微服务引擎服务管理员权限。 系统策略 无 CSE Viewer 微服务引擎服务查看权限。 系统策略 无 ServiceStage Admin 微服务云应用平台管理员，拥有该服务下的所有权限。 系统角色 CCE Administrator、VPC Administrator、SWR Administrator和OBS Administrator。 ServiceStage Operator 微服务云应用平台操作员，拥有该服务下的只读权限。 系统角色 CCE Administrator、VPC Administrator、SWR Administrator和OBS Administrator。 ServiceStage Developer 微服务云应用平台开发者，拥有该服务下的所有权限。 系统角色 CCE Administrator、VPC Administrator、SWR Administrator和OBS Administrator。 如果所列的这些权限不满足实际需求，您可以参考下表，在这个基础上自定义策略。 表 ServiceStage常用操作与系统权限之间的关系 操作 ServiceStage ReadOnlyAccess ServiceStage Developer ServiceStage FullAccess 创建应用 x √ √ 修改应用 x √ √ 查询应用 √ √ √ 删除应用 x √ √ 创建组件 x √ √ 查询组件 √ √ √ 部署组件 x √ √ 维护组件 x √ √ 删除组件 x √ √ 创建构建工程 x √ √ 修改构建工程 x √ √ 查询构建工程 √ √ √ 启动构建工程 x √ √ 删除构建工程 x √ √ 创建流水线 x √ √ 修改流水线 x √ √ 查询流水线 √ √ √ 启动流水线 x √ √ 克隆流水线 x √ √ 删除流水线 x √ √ 新建仓库授权 x √ √ 修改仓库授权 x √ √ 查询仓库授权 √ √ √ 删除仓库授权 x √ √ 表 CSE常用操作与系统权限之间的关系 操作 CSE Viewer CSE Admin 创建微服务引擎 x √ 维护微服务引擎 x √ 查询微服务引擎 √ √ 删除微服务引擎 x √ 创建微服务 x √ 查询微服务 √ √ 维护微服务 x √ 删除微服务 x √ 创建微服务配置 x √ 查询微服务配置 √ √ 编辑微服务配置 x √ 删除微服务配置 x √ 创建微服务治理策略 x √ 查询微服务治理策略 √ √ 编辑微服务治理策略 x √ 删除微服务治理策略 x √

分布式缓存服务（Distributed Cache Service，简称DCS）是一款内存数据库服务，兼容Redis内存数据库引擎，为您提供即开即用、安全可靠、弹性扩容、便捷管理的在线分布式缓存能力，满足用户高并发及数据快速访问的业务诉求。 即开即用 DCS提供单机、主备和集群三种类型的缓存实例，拥有从128MB到1024GB的丰富内存规格。您可以通过控制台直接创建，无需单独准备服务器资源。 其中Redis4.0/5.0/6.0版本采用容器化部署，秒级完成创建。 安全可靠 借助统一身份认证、虚拟私有云、云监控与云审计等安全管理服务，全方位保护实例数据的存储与访问。 灵活的容灾策略，主备/集群实例从单AZ（可用区）内部署，到支持跨AZ部署。 弹性伸缩 DCS提供对实例内存规格的在线扩容与缩容服务，帮助您实现基于实际业务量的成本控制，达到按需使用的目标。 便捷管理 可视化Web管理界面，在线完成实例重启、参数修改、数据备份恢复等操作。DCS还提供基于RESTful的管理API，方便您进一步实现实例自动化管理。 在线迁移 提供可视化Web界面迁移功能，支持备份文件导入和在线迁移两种方式，您可以通过控制台直接创建迁移任务，提高迁移效率。 DCS Redis Redis是一种支持KeyValue等多种数据结构的存储系统。可用于缓存、事件发布或订阅、高速队列等典型应用场景。Redis使用ANSI C语言编写，提供字符串（String）、哈希（Hash）、列表（List）、集合结构（Set、Sorted Set）、流（Stream）等数据类型的直接存取。数据读写基于内存，同时可持久化到磁盘。 DCS Redis拥有灵活的实例配置供您选择： DCS Redis灵活的实例配置 实例类型 提供单机、主备、Proxy集群、Cluster集群、读写分离类型，分别适配不同的业务场景。 单机：适用于应用对可靠性要求不高、仅需要缓存临时数据的业务场景。单机实例支持读写高并发，但不做持久化，实例重启后原有缓存数据不会加载。 主备：包含一个主节点，一个备节点，主备节点的数据通过实时复制保持一致，当主节点故障后，备节点自动升级为主节点。 Proxy集群：在Cluster集群的基础上，增加挂载Proxy节点和ELB节点，通过ELB节点实现负载均衡，将不同请求分发到Proxy节点，实现客户端高并发请求。每个Cluster集群分片是一个双副本的主备实例，当主节点故障后，同一分片中的备节点会升级为主节点来继续提供服务。 Cluster集群：通过分片化分区来增加缓存的容量和并发连接数，每个分片是一个主节点和0到多个备节点，分片本身对外不可见。分片中主节点故障后，同一分片中备节点会升级为主节点来继续提供服务。用户可通过读写分离技术，在主节点上写，从备节点读，从而提升缓存的整体读写能力。 读写分离：在主备实例的基础上，增加挂载Proxy节点和ELB节点，通过ELB节点实现负载均衡，将不同请求分发到Proxy节点，Proxy节点识别用户读写请求，将请求发送到主节点或备节点，从而实现读写分离。 :: 规格 Redis提供128MB~1024GB的多种规格。 兼容开源Redis版本 DCS提供不同的实例版本，分别兼容开源Redis的3.0、4.0、5.0、6.0。 底层架构 基于虚拟机的标准版 ，单节点QPS达10万/秒。 高可用与容灾 主备与集群实例提供Region内的跨可用区部署，实现实例内部节点间的电力、网络层面物理隔离。 有关开源Redis技术细节，您可以访问Redis官方网站

本文主要介绍如何通过域名解析管理对企业的域名进行解析配置。 企业配置的域名应用，将默认使用对应关联连接器上的DNS配置进行解析，对于无法通过该配置解析的域名，可以使用域名解析管理功能进行配置，实现远程访问。 应用场景 对于部分企业内网域名，无法在公网进行解析，且不希望员工直接使用IP进行访问，例如不想暴露该应用对应的真实IP地址，此时可以使用域名解析管理功能进行配置，这样企业员工在登录客户端后即可使用配置的域名访问到实际的IP地址。 对于需要使用特定的DNS服务器进行解析的域名，可以为这部分域名配置统一的DNS服务器地址，远程零信任办公服务将优先使用该DNS服务器进行解析。 使用说明 企业配置的应用域名，将优先使用域名解析管理的配置进行解析，若某应用的域名无额外配置域名解析，将使用其关联连接器上配置的特定DNS服务器地址进行解析，若关联连接器无特定DNS服务器配置，则使用连接器部署机器上默认的DNS配置进行解析。 操作步骤 1.登录边缘安全加速平台控制台。 2.在左侧导航栏选择AOne零信任网络域名解析管理。 3.点击新增按钮，添加域名解析管理配置。 具体字段说明如下： 字段 说明 备注 域名 输入域名或泛域名，例如ctyun.cn，.ctyun.cn 支持一次性输入多个域名进行配置，不允许相同域名重复配置 解析模式 可选DNS、静态两种模式，DNS模式需要配置对应的DNS服务器地址，静态模式需配置对应的静态解析IP地址 DNS服务器地址 请输入DNS服务器地址，格式为xx.xx.xx.xx，多个请用回车换行，可支持输入至多10个，将按输入顺序进行轮询 请确保该域名所在的关联连接器，网络可达该DNS服务器地址 解析IP 请输入解析IP，格式为xx.xx.xx.xx，多个请用回车换行，可支持输入至多10个，将按输入的顺序作为使用优先级 操作 支持进行编辑和删除

前提条件 已为用户帐号配置手机号码，且用户手机号码可用。 云堡垒机实例安全组必须已放开短信网关IP和10743、443端口，系统才能够访问短信网关。 发送短信验证码的频率未超过要求限制。 系统短信网关配置为“内置”时，手机短信验证码针对单个帐号发送频率有以下限制： 1分钟内发送短信不超过1条； 1小时内发送短信不超过5条 ； 1天内发送短信不超过15条。 配置手机短信认证 1 管理员登录云堡垒机系统。 2 选择“用户 > 用户管理”。 3 单击待修改的用户登录名，或者单击相应“管理”，进入“用户详情”页面。 4 单击“用户配置”区域的“编辑”，修改用户的登录配置。 5 配置“多因子认证”为“手机短信”。 6 单击“确认”，完成用户“手机短信”双因子认证配置。 手机短信方式登录 修改认证配置后，用户进入云堡垒机系统登录Web页面或SSH客户端登录界面，选择“手机短信”认证方式，输入登“录名”和用户帐号绑定手机号，获取短信验证码登录。 如何取消手机短信方式登录认证？ 当用户短信网关故障，无法通过手机短信方式登录，可由管理员取消“手机短信”多因子认证配置。 若admin用户配置了“手机短信”多因子认证，无法登录系统取消多因子认证配置，请联系技术支持。 前提条件 管理员已获取“用户”模块操作权限。 操作步骤 1 登录云堡垒机系统。 2 选择“用户 > 用户管理”，进入用户列表页面。 3 勾选待修改配置的用户帐号，单击左下角“更多”，展开批量操作项。 4 单击“修改多因子认证”，弹出多因子认证修改窗口。 5 去掉勾选“手机短信”多因子认证方式。 6 单击“确定”，即关闭了目标用户“手机短信”认证方式。 配置了手机令牌登录，但未绑定手机令牌怎么办？ 当系统管理员admin设置了开启手机令牌登录，但是没有绑定手机令牌时，可提工单反馈，技术支持人员收到反馈后，重置admin登录验证为初始状态，而不改变系统其它配置。 当系统非admin用户未绑定手机令牌时，系统管理员admin可为目标用户修改登录“多因子认证”方式。 绑定了手机令牌，却不能登录怎么办？

操作场景 在运行过程中会保存数据或状态的工作负载称为“有状态工作负载（statefulset）”。例如Mysql，它需要存储产生的新数据。 因为容器可以在不同主机间迁移，所以在宿主机上并不会保存数据，这依赖于CCE提供的高可用存储卷，将存储卷挂载在容器上，从而实现有状态工作负载的数据持久化。 前提条件 在创建容器工作负载前，您需要存在一个可用集群。若没有请参照购买混合集群中内容创建。 若工作负载需要被外网访问，请确保集群中至少有一个节点已绑定弹性IP，或已购买负载均衡实例。 创建多个工作负载时，请确保容器使用的端口不冲突 ，否则部署会失败。 通过控制台创建 云容器引擎提供了多种创建工作负载的方式，您可以通过如下方式进行创建： 1. 基于“我的镜像”创建工作负载，用户首先需要将镜像上传至容器镜像服务。 2. 基于“共享镜像”创建工作负载，即其它租户通过“容器镜像服务”共享给您的镜像。 3. 若您希望通过YAML方式创建工作负载，您可在“创建有状态工作负载”页面单击界面右侧的“YAML创建”，通过yaml的方式创建工作负载。YAML的说明请参见通过kubectl命令行创建。YAML编写完成后，可单击“创建”，直接创建工作负载。 YAML文件是和界面保持同步的，您也可以通过界面和YAML互动完成工作负载的创建。例如： 界面中填写工作负载名称后，YAML文件会自动关联该名称。 界面中添加完镜像后，YAML中也会自动关联该镜像。 控制台界面右侧的“YAML创建”不支持多个YAML混合，请分别创建，否则创建时将会报错。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 有状态负载 StatefulSet”，单击“创建有状态工作负载”。在打开的创建有状态工作负载页面中，参照下表设置工作负载基本信息，其中带“”标志的参数为必填参数。 工作负载基本信息 参数 参数说明 工作负载名称 新建工作负载的名称，命名必须唯一。 请输入4到52个字符的字符串，可以包含小写英文字母、数字和中划线（），并以小写英文字母开头，小写英文字母或数字结尾。 集群名称 新建工作负载所在的集群。 命名空间 在单集群中，不同命名空间中的数据彼此隔离。使应用可以共享同个集群的服务，也能够互不干扰。若您不设置命名空间，系统会默认使用default命名空间。 实例数量 工作负载的实例数量。工作负载可以有一个或多个实例，用户可以设置具体实例个数，默认为2，可自定义设置为1。 每个工作负载实例都由相同的容器部署而成。设置多个实例主要用于实现高可靠性，当某个实例故障时，工作负载还能正常运行。若使用单实例，节点异常或实例异常会导致服务异常。 时区同步 单击开启后，容器将和节点使用相同时区。 须知 时区同步功能开启后，在“数据存储 > 本地磁盘”中，将会自动添加HostPath类型的磁盘，请勿修改删除该磁盘。 工作负载描述 工作负载描述信息。 步骤 2 单击“下一步：容器设置”，添加容器。 1. 单击“添加容器”，选择需要部署的镜像。 − 我的镜像：展示了您创建的所有镜像仓库。 − 第三方镜像：CCE支持拉取第三方镜像仓库（即镜像仓库之外的镜像仓库）的镜像创建工作负载。使用第三方镜像时，请确保工作负载运行的节点可访问公网。第三方镜像的具体使用方法请参见如何使用第三方镜像。 若您的镜像仓库不需要认证，密钥认证请选择“否”，并输入“镜像名称”，单击“确定”。 若您的镜像仓库都必须经过认证（帐号密码）才能访问，您需要先创建密钥再使用第三方镜像，具体操作请参见如何使用第三方镜像。 − 共享镜像：其它租户通过“容器镜像服务”共享给您的镜像将在此处展示，您可以基于共享镜像创建工作负载。 2. 配置镜像基本信息。 工作负载是Kubernetes对一组Pod的抽象模型，用于描述业务的运行载体，一个Pod可以封装1个或多个容器，您可以单击右上方的“添加容器”，添加多个容器镜像并分别进行设置。 镜像参数说明 参数 说明 镜像名称 导入的镜像，您可单击“更换镜像”进行更换。 镜像版本 选择需要部署的镜像版本。 容器名称 容器的名称，可修改。 特权容器 特权容器是指容器里面的程序具有一定的特权。 若选中，容器将获得超级权限，例如可以操作宿主机上面的网络设备、修改内核参数等。 容器规格 CPU 配额： 申请：容器需要使用的最小CPU值，默认0.25Core。 限制：允许容器使用的CPU最大值。建议设容器配额的最高限额，避免容器资源超额导致系统故障。 内存配额： 申请：容器需要使用的内存最小值，默认512MiB。 限制：允许容器使用的内存最大值。如果超过，容器会被终止。 申请和限制的具体请参见设置容器规格。 GPU 配额：当集群中包含GPU节点时，才能设置GPU，无GPU节点不显示此选项。 容器需要使用的GPU百分比。勾选“使用”并设置百分比，例如设置为10%，表示该容器需使用GPU资源的10%。若不勾选“使用”，或设置为0，则无法使用GPU资源。 GPU 显卡：工作负载实例将被调度到GPU显卡类型为指定显卡的节点上。 若勾选“不限制”，容器将会随机使用节点中的任一显卡。您也可以勾选某个显卡，容器将使用特定显卡。 3. 生命周期：用于设置容器启动和运行时需要执行的命令。 − 启动命令：设置容器启动时执行的命令，具体请参见设置容器启动命令。 − 启动后处理：设置容器成功运行后执行的命令，详细配置方法请参见设置容器生命周期。 − 停止前处理：设置容器结束前执行的命令，通常用于删除日志/临时文件等，详细配置方法请参见设置容器生命周期。 4. 健康检查：CCE提供了存活与业务两种探针，用于判断容器和用户业务是否正常运行。详细配置方法请参见设置容器健康检查。 − 工作负载存活探针：检查容器是否正常，不正常则重启实例。 − 工作负载业务探针：检查用户业务是否就绪，不就绪则不转发流量到当前实例。 5. 环境变量：在容器中添加环境变量，一般用于通过环境变量设置参数。 在“环境变量”页签，单击“添加环境变量”，当前支持三种类型： − 手动添加：输入变量名称、变量/变量引用。 − 密钥导入：输入变量名称，选择导入的密钥名称和数据。您需要提前创建密钥，具体请参见创建密钥。 − 配置项导入：输入变量名称，选择导入的配置项名称和数据。您需要提前创建配置项，具体请参见创建配置项。 对于已设置的环境变量，单击环境变量后的“编辑”，可对该环境变量进行编辑。单击环境变量后的“删除”，可删除该环境变量。 6. 数据存储：给容器挂载数据存储，支持本地磁盘和云存储，适用于需持久化存储、高磁盘IO等场景。具体请参见存储管理。 有状态工作负载只能在创建时添加数据存储，创建完成后无法再添加。 7. 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。 请输入用户ID，容器将以当前用户权限运行。 8. 容器日志：设置容器日志采集策略、配置日志目录。用于收集容器日志便于统一管理和分析。详细配置请参见采集容器标准输出日志、采集容器内路径日志。 步骤 3 单击“下一步：工作负载访问设置”，设置“实例间发现服务”和工作负载访问方式。 设置“实例间发现服务”，如下表： 参数 参数说明 服务名称 输入工作负载所对应的服务名称，用于集群内工作负载间的互相访问。该服务主要用于实例的内部发现，不需要有单独的IP地址，也不需要做负载均衡。 端口名称 端口名称用于给容器端口命名，通常以端口用途命名。 容器端口 输入容器的监听端口。 单击“添加服务”，设置工作负载访问方式。 若工作负载需要和其它服务互访，或需要被公网访问，您需要添加服务，设置工作负载访问方式。 工作负载访问的方式决定了这个工作负载的网络属性，不同访问方式的工作负载可以提供不同网络能力，具体请参见网络概述。 步骤 4 单击“下一步：高级配置”，配置更多高级策略。 升级策略：仅支持“滚动升级”。 滚动升级将逐步用新版本的实例替换旧版本的实例，升级的过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断。 实例管理策略：支持“有序策略”和“并行策略”两种。 有序策略：默认策略，有状态负载会逐个的、按顺序的进行部署、删除、伸缩实例， 只有前一个实例部署Ready或删除完成后，有状态负载才会操作后一个实例。 并行策略：支持有状态负载并行创建或删除所有的实例，有状态负载发生变更时立刻在实例上生效。 缩容策略：为工作负载删除提供一个时间窗，预留给生命周期中PreStop阶段执行命令。若超过此时间窗，进程仍未停止，该工作负载将被强制删除。 − 缩容时间窗 (s)：请输入时间，该时间为工作负载停止前命令的执行时间窗（09999秒），默认30秒。 − 缩容优先级：可根据业务需要选择“优先减少新实例”或“优先减少老实例”。 调度策略：您可以根据需要自由组合静态的全局调度策略或动态的运行时调度策略来实现自己的需求。具体请参见调度策略概述。 Pod高级设置 − Pod标签：内置app标签在工作负载创建时指定，主要用于设置亲和性与反亲和性调度，暂不支持修改。您可以单击下方的“添加标签”增加标签。 客户端DNS配置：CCE集群内置DNS插件CoreDNS，为集群内的工作负载提供域名解析服务。详细使用方法请参见Kubernetes集群内置DNS配置说明。 − DNS策略： 追加域名解析配置：选择该配置后，将保留默认配置，以下“IP地址”和“搜索域”配置可能不生效。 替换域名解析配置：选择该配置后，将仅使用以下“IP地址”和“搜索域”配置进行域名解析。 继承Pod所在节点域名解析配置：将继承Pod所在节点的域名解析配置。 − IP地址：您可对自定义的域名配置域名服务器，值为一个或一组DNS IP地址，如“1.2.3.4”。 − 搜索域：定义域名的搜索域列表，当访问的域名不能被DNS解析时，会把该域名与搜索域列表中的域依次进行组合，并重新向DNS发起请求，直到域名被正确解析或者尝试完搜索域列表为止。 − 超时时间（s）：查询超时时间，请自定义。 − ndots：表示域名中必须出现的“.”的个数，如果域名中的“.”的个数不小于ndots，则该域名为一个FQDN，操作系统会直接查询；如果域名中的“.”的个数小于ndots，操作系统会在搜索域中进行查询。 自定义指标监控：是指监控系统提供的一种指标收集机制，该机制允许工作负载在部署时自定义需要上报的指标名称以及获取这些指标数据的接入点信息，在应用运行时由监控系统按固定的频率访问接入点进行指标的收集。 性能管理配置：的性能管理服务可协助您快速进行工作负载的问题定位与性能瓶颈分析。 步骤 5 配置完成后，单击“创建”，单击“返回工作负载列表”。在工作负载列表中，当工作负载状态为“运行中”时，表示工作负载创建成功。如果工作负载状态未实时更新，请刷新页面查看。 节点不可用时，pod状态变为“未就绪”，此时需要手工删除有状态工作负载的pod，pod实例才会迁移到正常节点上。 工作负载列表页在超过500条以上时，将采用Kubernetes的分页机制进行分页。Kubernetes的分页机制：仅支持回到第一页和查看下一页，不支持查看上一页，且在分页显示的情况下，资源总数显示的是批量查询出的数目而不是真实总数。 通过kubectl命令行创建 本节以etcd为例来进行说明。 前提条件 请参见通过kubectl操作CCE集群配置kubectl命令，使弹性云主机连接集群。 操作步骤 步骤 1 登录已配置好kubectl命令的弹性云主机。 步骤 2 创建一个名为etcdstatefulset.yaml的文件。 其中，etcdstatefulset.yaml为自定义名称，您可以随意命名。 vi etcdstatefulset.yaml 以下内容仅为示例，若需要了解statefulset的详细内容，请参考kubernetes官方文档。 apiVersion: apps/v1 kind: StatefulSet metadata: name: etcd spec: replicas: 2 selector: matchLabels: app: etcd serviceName: etcdsvc template: metadata: labels: app: etcd spec: containers: env: name: PAASAPPNAME value: tesyhhj name: PAASNAMESPACE value: default name: PAASPROJECTID value: 9632fae707ce4416a0ab1e3e121fe555 image: etcd imagePullPolicy: IfNotPresent name: container0 updateStrategy: type: RollingUpdate vi etcdheadless.yaml apiVersion: v1 kind: Service metadata: labels: app: etcd name: etcdsvc spec: clusterIP: None ports: name: etcdsvc port: 3120 protocol: TCP targetPort: 3120 selector: app: etcd sessionAffinity: None type: ClusterIP 步骤 3 创建工作负载以及对应headless服务。 kubectl create f etcdstatefulset.yaml 回显如下，表示有状态工作负载（stateful）已创建成功。 statefulset.apps/etcd created kubectl create f etcdheadless.yaml 回显如下，表示对应headless服务已创建成功。 service/etcdsvc created 步骤 4 若工作负载需要被访问（集群内访问或节点访问），您需要设置访问方式，具体请参见“网络管理”并创建对应服务。

本节主要介绍修改/启用/停用企业项目。 操作场景 当您的业务发生变化时，可以对已存在的企业项目进行修改、启用、停用操作。 为了保证您的资源安全，目前暂不支持删除企业项目。如果您不再使用企业项目，您可以停用企业项目。 说明 已停用企业项目无法使用修改功能。 停用后的企业项目仍会占用企业项目配额，如果您的企业项目配额不足，建议您提交工单让后台运维人员为您提供企业项目删除功能，或提升企业项目数量配额。 企业项目停用后在云服务创建页的“企业项目”中将不可见，无法迁入资源和添加用户组，如需再次使用，请重新启用该企业项目。 默认企业项目（default）无法编辑和停用。 修改企业项目 步骤 1 企业管理员登录天翼云网门户，单击天翼云首页顶部右侧“控制台”。 步骤 2 在控制台首页顶部右侧，单击您的用户名后弹出下拉菜单，单击“企业管理”。 步骤 3 在企业项目管理页面，单击左侧功能菜单“项目管理”，进入企业项目列表页面，单击待修改企业项目右侧的“更多”，单击更多下拉菜单中的“修改”。 步骤 4 在修改企业项目信息弹出框中，输入新的“名称”和“描述”。 步骤 5 单击“确定”完成企业项目修改。 启用/停用企业项目 步骤 1 企业管理员登录天翼云网门户，单击天翼云首页顶部右侧“控制台”。 步骤 2 在控制台首页顶部右侧，单击您的用户名后弹出下拉菜单，单击“企业管理”。 步骤 3 在企业项目管理页面，单击左侧功能菜单“项目管理”，进入企业项目列表页面，单击待启用/停用企业项目右侧的“更多”，单击更多下拉菜单中的“启用”/“停用”。 步骤 4 在企业项目启用/停用确认框中，单击“是”完成企业项目启用/停用。

本节介绍网络的用户指南:Ingress概述。 概述 与Service的四层负载均衡不同，Ingress是反向代理的抽象，提供七层的HTTP和HTTPS协议转发，可使用域名和路径配置转发规则，例如通过访问路径将请求路由到不同的Service，以实现7层的负载均衡。 Ingress资源定义了访问集群服务的规则，这些规则包括如何处理来自外部的请求、如何路由这些请求到后端的服务等。Ingress资源可以定义多个规则，每个规则对应一个前端的路径和一个或多个后端的服务。Ingress并非自身提供服务，而是依赖Ingress Controller来实现。Ingress Controller是一个持续运行的守护进程，负责处理实际的路由和负载均衡。常见的Ingress Controller包括NGINX Ingress Controller、Traefik等。 应用场景 Ingress在以下几个关键应用场景中发挥着重要作用： 单服务暴露 ：当集群中只有一个服务需要对外暴露时，Ingress可以作为该服务的路由器，处理所有进入应用的请求； 基于主机名或URL的路由 ：当集群中有多个服务需要对外提供服务时，Ingress可以基于请求的主机名或URL路径，将请求路由到对应的服务。这种情况下，Ingress充当反向代理服务器的角色，使得在一个公共的IP地址下，可以提供多个服务； SSL终止 ：对于需要提供安全传输服务的应用，Ingress可以负责处理SSL连接，包括证书的管理和续签，使得后端服务可以专注于提供业务逻辑，而无需处理SSL连接； 负载均衡 ：Ingress可以根据配置的路由规则，将请求分发到后端的多个服务实例，实现负载均衡。这对于需要处理大量请求，或者需要高可用服务的应用至关重要； 网络流量控制 ：Ingress还可以实现更为复杂的网络流量控制，如基于请求的权重进行路由，或者实现蓝绿部署等。

本章节主要介绍服务的基础配置修改建议。 核心原则：混部部署场景下的资源总量控制 在翼 MR 集群中，多个大数据组件（如 HDFS、HBase、YARN 等）可能会部署在同一台 ECS 实例上（即混部场景）。为避免资源竞争导致系统不稳定，请遵循以下基本原则： · 总内存控制 ：所有组件 JVM 堆内存之和 ≤ 实例总内存 ×80%。预留至少 20% 的内存给操作系统、Page Cache、堆外内存及突发流量。 · CPU 资源控制 ：各组件线程池参数（如 Kafka 的num.io.threads等）配置之和不宜超过实例 vCPU 核数的 2~3 倍，避免过度竞争。 · YARN 资源隔离 ：若该节点同时运行 YARN NodeManager，其yarn.nodemanager.resource.memorymb配置不应超过实例总内存的 60%，以保证其他常驻组件的内存安全。 说明 以下各组件配置建议均基于独立部署场景给出。若您采用混部部署，请务必参照上述核心原则，适当调低各组件内存及线程参数。 Doris Doris 所在节点配置升级后，需根据实际内存和磁盘情况调整 FE 和 BE 配置。 FE（Frontend）配置建议 JVM 堆内存 ：修改fe.conf中的 JVM 参数。推荐使用 G1 垃圾回收器，堆内存初始与最大值保持一致。生产环境下建议按业务调整， 最大不超过 100 GB 。示例：JAVAOPTS"Xms16g Xmx16g XX:+UseG1GC XX:MaxGCPauseMillis200" 日志路径 ：避免将日志放在系统目录。平台默认（翼 MR 版本 ≥ 2.21）会将日志放到数据目录下；低版本需手动修改fe.conf中的LOGDIR、syslogdir、auditlogdir为目标路径。请确保日志盘有至少 50 GB 空间。 日志滚动数量 ：syslogrollnum（默认 10 个，每个 1 GB）、auditlogrollnum（默认 30 个，每个 1 GB），可根据需要调整。

本文帮助您更快了解如何修改内网IP、切换VPC。 使用场景 当您遇到VPC中的两个实例IP地址冲突，或者在进行网络重构或迁移时，需要调整VPC网络架构、子网划分等，这可能会导致需要修改云主机内网IP或更换VPC。 前提条件 弹性云主机处于关机状态。 只有主网卡支持修改内网IP，必须先删除辅助网卡。 如果网卡绑定了虚拟IP或者DNAT规则，需要先解绑。 如果网卡上有IPv6地址，无法修改（包括IPv4和IPv6的）内网IP地址，请先删除IPv6地址。 如需修改弹性负载均衡后端服务器的内网IP地址，请先移出后端服务器组后再修改内网IP。 如果弹性云主机作为静态路由的下一跳，必须先删除静态路由再修改内网IP。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“计算”，单击“弹性云主机”，进入云主机控制台页面。 4. 在云主机列表，选择需要修改内网IP或者更换VPC的弹性云主机，在云主机详情页选择“弹性网卡”页签，点击“修改内网IP”或者“更改VPC”。 5. 在修改内网IP弹框页面或者更换VPC弹框页面，输入相关参数，点击“确定”按钮。 注意 修改内网IP会导致云主机网络中断，同时更改云主机子网、IP地址、MAC地址。 修改内网IP过程中，请勿操作云主机的弹性IP，或对云主机做其他操作。 修改内网IP后，请重新检查配置安全组、ACL、虚拟IP地址等配置。 修改内网IP后，请重新配置网络相关的服务、应用软件，例如虚拟IP、静态路由表、ELB、NAT、DNS等。

本文为您介绍安装监控Agent的操作方法。 为保证您创建出来的云主机监控数据、功能正常，天翼云推荐您通过控制台上的相关功能自动为云主机安装云主机监控Agent，同时提供手动安装监控Agent、离线安装监控Agent功能，可根据您的需求场景选择不同的方式。 约束与限制 确保需要安装监控Agent所在的资源池支持监控Agent能力，可参考监控概览支持安装监控Agent的地区及Agent安装包下载路径查询。 确保安装时，云主机状态为运行中。 确保云主机可以正常访问curl 169.254.169.254:10063 及 169.254.169.254:10064。 安装成功后的监控进程不会被其他软件关闭。 说明 若云主机无法正常访问，请检查防火墙、安全组等服务是否屏蔽监控服务器地址。 创建云主机时自动安装监控Agent 操作步骤 1. 登录控制中心。 2. 单击左上角选择即将创建云主机所在的地域。 3. 单击“计算>弹性云主机”，进入云主机控制台。 4. 单击“创建云主机”，在高级配置页签，选中“开启详细监控”选项。按此配置创建出的云主机，将被自动安装监控Agent。 注意 若通过快照、备份、私有镜像、克隆创建云主机时，则： 选择开启详细监控：新创建的云主机会安装最新版本的云主机。 选择不开启详细监控：新创建的云主机与原快照、备份、私有镜像、被克隆云主机监控Agent保持一致。即，原场景已安装Agent，新创建云主机保持安装，安装版本与原场景一致；原场景未安装Agent，则新创建云主机也不安装。 为已创建的云主机安装、升级监控Agent

本文为您介绍对等连接产品的定义。 对等连接（Peer to Peer Connection，CTPPC）是指两个同一区域内的VPC之间的网络连接。用户可以使用私有IP地址在两个VPC之间进行内网通信，就像两个VPC在同一个网络中一样。用户可以在自己帐号的VPC之间创建对等连接，也可以在自己账号的VPC与同一区域内其他帐号的VPC之间创建对等连接。 对等连接创建流程 无论是在同一帐户下还是不同帐户下，只要VPC位于同一个资源池，对等连接就能够为VPC之间的通信提供一种私有、安全且高效的解决方案，来实现资源的共享和数据的流动，满足了不同场景下的通信需求。 同一账户下VPC对等连接的创建流程： 1. 创建对等连接：选择本端VPC和对端VPC。 2. 添加对等连接路由：在本端VPC的路由表中添加指向对端VPC的路由规则，同时在对端VPC的路由表中添加指向本端VPC的路由规则。 3. 验证网络互通情况：确认对等连接已生效后，验证网络互通性。 不同帐户下VPC对等连接的创建流程: 1. 创建对等连接：选择本端VPC和对端VPC。 2. 判断是否接受连接：选择“否”则创建对等连接失败；选择“是”则进入下一步。 3. 添加对等连接路由：在本端VPC的路由表中添加指向对端VPC的路由规则，同时在对端VPC的路由表中添加指向本端VPC的路由规则。 4. 验证网络互通情况：确认对等连接已生效后，验证网络互通性。

本页为您介绍从天翼云ECS自建数据库迁移/同步数据到天翼云数据库,同资源池不同VPC情况下,通过对等连接接入的方法。 在同资源池，不同VPC之间，网络默认不通，需要通过VPC打通的方式来实现网络互通。目前支持通过VPC对等连接的方式实现VPC间子网级的互通，注意需要保证源数据实例所在子网与目标数据库实例所在子网的网段不冲突。 以下分别介绍网络通信方式，DTS实例的配置流程和不同VPC间通过对等连接进行互通的配置流程。 网络通信方式 网络通信方式，见下图： DTS实例的配置流程 DTS实例订购成功后，选择对应实例ID的操作“实例配置”，进入【配置源库及目标库信息】页面，“打通网络配置”将会自动识别，源端将显示“当前数据库不在同一个虚拟私有云(VPC)，需要配置对等连接打通⽹络”，点击“创建虚拟私有云(VPC)对等连接”将跳转到VPC控制台，可按VPC相关流程处理“创建对等连接”，具体页面如下： 不同VPC间通过对等连接互通的配置流程 创建VPC对等连接。 具体可参考天翼云对等连接相关文档进行配置。 源数据库实例与目标数据库实例的网络ACL和安全组配置。 具体可参考同VPC通过VPC网络接入天翼云文档进行相应配置。 数据库添加白名单。 自建数据库需要添加DTS实例的私网IP访问数据库的权限。不同类型的数据库添加白名单的方法可能不一样，具体可参考各数据库官方文档进行操作。

步骤三：访问ZOS服务 操作场景 终端节点与DNS终端节点服务和ZOS终端节点服务建立连接后，本地数据中心就可通过VPN连接或云专线来实现对ZOS服务的访问。 前提条件 本地数据中心通过VPN连接或云专线与云上VPC建立连接，确保数据的安全传输，并实现对ZOS的访问，需进行如下配置： VPN网关设置：确保允许访问的VPC子网网段包含了ZOS所在的网段。具体请参考VPN连接。 云专线虚拟网关设置：需要确保允许访问的VPC子网网段中包含ZOS所在的网段。具体请参考开通云专线。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入A账号登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择华东华东1。 3. 在系统首页，选择“网络>VPC终端节点”。 4. 在“终端节点”列表，点击已创建的连接到DNS服务的终端节点的名称/ID，查看该终端节点的“节点IP”。 5. 在用户本地数据中心的DNS服务器上配置相应的DNS转发规则，以将解析ZOS域名的请求转发到连接DNS服务的终端节点（部分资源池支持终端节点上启用，支持资源池以控制台展示为准，未支持资源池可直接使用地址直接访问ZOS服务）。 6. 配置用户本地数据中心节点到VPN网关或云专线网关的DNS路由。为了通过VPN或云专线访问DNS，需要配置用户本地数据中心节点的永久路由，将访问DNS的流量指向用户本地数据中心节点的专线网关或VPN网关的IP地址。 7. 验证本地数据中心与ZOS的连通性。