本文为您介绍精准访问控制功能说明，以及如何配置自定义访问控制策略。 精准访问控制允许自定义访问控制规则，通过对请求路径、请求URI、Cookie、请求参数、Header、referer、UserAgent等多个特征进行条件组合，对访问请求进行特征匹配实现管控，有针对性地阻断各类攻击行为。 使用限制 基础版不支持精准访问控制功能，请升级到更高版本使用。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“精准访问控制”模块，可以选择开启/关闭防护状态。点击“前去配置”。 7. 进入精准访问控制规则列表页，列表会展示已创建规则的相关信息，包括规则状态、规则名称/规则ID、匹配条件、处置动作、优先级、过期时间、更新时间等。 8. 点击列表上方“新建防护规则”，进入规则配置页面，完成以下信息配置。 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 匹配条件 设置访问请求需要匹配的条件（即特征）。单击“新增条件”可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 处置动作 定义触发规则后执行的动作，可选值： 观察 拦截：选择拦截时，支持开启“攻击惩罚”。 说明 若需使用攻击惩罚功能，需将WAF升级到企业版或旗舰版。 放行 验证码 JS验证 重定向 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。过期时间可选： 永久生效 限定日期：自定义设置失效日期 优先级 代表该规则在精准访问控制模块中执行的优先级。 可输入1～100的整数，数字越大，代表这条规则的优先级越高。相同的优先级下，创建/更新时间越晚，优先级越高。 9. 单击“保存”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

本文为您介绍Web基础防护模块的规则白名单功能及配置方式。 网站接入云WAF后，您可以通过设置全局白名单规则，让满足指定特征的请求不经过Web基础防护引擎的检测，一般用于放行因触发Web基础防护相关规则被误拦截的特殊业务请求。 前提条件 已开通了Web应用防火墙，且实例版本为标准版及以上版本。 已完成网站接入。具体操作，请参见添加域名。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“防护白名单”模块，点击防护规则右侧的“前去配置”。 7. 进入“白名单”页面，可以查看当前已创建的白名单规则列表。 8. 单击“新建白名单”，在弹出的对话框中，配置白名单规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 规则描述 可选项。设置规则的描述信息。 匹配条件 设置白名单请求需要匹配的条件（即特征）。单击“新增条件”，可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 生效范围 设置白名单生效范围，表示触发匹配条件的请求不受所选规则的检测，可选项： 全部规则：规则防护引擎包含的全部规则。选择该项，表示触发匹配条件的请求不受任何防护模块的检测，将被直接放行到源站服务器。 特定模块：只忽略检测指定的防护模块，支持BOT防护和Web基础防护。在模块右侧的下拉框，选择不检测的规则类型。 特定规则ID：只忽略检测指定的规则，在模块右侧的下拉框，选择不检测的规则ID。 9. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则，并根据需要禁用、编辑或删除规则。

服务网格支持集成外部授权服务，通过自定义授权服务策略，您可以轻松定义自定义的外部授权服务并将策略应用到网格数据面，实现灵活的安全管控能力。 策略配置说明 配置项 说明 安全策略名称 策略名称 协议 HTTP和GRPC协议的外部授权服务 服务地址 实现了Envoy extauthz授权接口的服务名称，如extauth.default.svc.cluster.local 服务端口 授权服务端口 超时时间 数据面请求外部授权服务的超时时间，如1s，2.5s 鉴权服务不可用时放行请求 访问鉴权服务失败或者鉴权服务返回5XX状态码时是否放行请求，默认关闭 鉴权服务不可用自定义错误码 请求鉴权服务出现网络错误时返回自定义状态码 在鉴权请求中携带请求Body 是否将请求Body带到鉴权服务 鉴权请求携带Body的最大长度(Byte) 允许携带到鉴权服务的Body最大长度 允许将不完整消息发送至鉴权服务 在请求Body超出最大长度限制时，若不启用该选项则将拒绝请求并返回HTTP 413 在鉴权请求中携带header 指定将请求中的部分Header带到鉴权服务 在鉴权请求中新增header 请求鉴权服务时新增Header 在鉴权通过时覆盖Header 鉴权通过时使用鉴权服务返回的Header覆盖原始请求Header访问上游 鉴权失败时覆盖Header 鉴权通过时使用鉴权服务返回的Header覆盖应答Header返回给下游

背景说明 支持实时监测应用程序的文件外发行为，助力事后溯源取证。 注意 客户端版本：支持Windows客户端，需为2.25.10及以上客户端。 套餐版本：已订购终端管理企业版套餐。 操作步骤 1. 登录边缘安全加速控制台，选择【终端管理】。 2. 在左侧导航栏展开数据安全并点击【文件外发审计】，查看外发审计策略和审计日志相关内容。 外发审计策略 1. 外发审计策略列表主要展示已配置的审计策略详情，含策略名称、管控范围、外发通道、管控动作、管控事件、策略状态、编辑/新增时间等字段信息，支持通过 “策略名称、管控动作、策略状态、时间范围” 搜素或筛选已有的审计策略。 2. 支持对审计策略做 “详情、编辑、删除” 操作。 新增策略 1. 点击【新增策略】支持添加外发审计策略。 1. 当前仅支持针对 AI 应用客户端进行文件外发审计：Kimi 智能助手、AnythingLLM、豆包、腾讯元宝、Cici、智谱清言、Poe、讯飞星火、问小白、夸克、纳米 AI、Cursor、Chatbox、Canva、Cherry Studio、ima.copilot、Trae、通义、办公小浣熊、Windsurf、Warp、JoyCode、墨刀、讯飞绘文、讯飞文书、新华妙笔。 审计日志 1. 外发审计策略下发后，如客户端命中策略，则对应日志会上报到管理平台。 1. 点击【详情】查看日志详情信息。

本小节介绍云下一代防火墙新建子网及网卡。 1.登录云主机控制台，打开虚拟私有云，创建子网。 2.创建子网，保证创建子网与现有子网不冲突即可。 3.创建子网，并自定义子网名称和网段。 4.子网创建完成后，打开云下一代防火墙控制台页面，选择子网和安全组。 5.修改网卡属性，关闭源目检查。 网卡新增成功后，可进入云下一代防火墙web页面进行配置即可。

本节介绍如何扫描集群内的组件，发现组件上的漏洞。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“集群安全 > 组件漏洞”，进入组件漏洞页面。 3. 单击组件漏洞列表右上角的“开始扫描”，对集群内的组件进行扫描，获取全部组件漏洞信息。 4. 扫描完成后，即可查看组件漏洞列表。 组件漏洞列表内，支持按照“组件名称”“组件版本”“集群名称”“集群版本”“命名空间”“节点名称”“危险级别”进行筛选查询。 组件列表参数说明： 参数 说明 组件名称 Kubernetes集群中的组件主要有以下几类： 控制平面组件（Control Plane Components）：控制平面的组件对集群做出全局决策（比如调度），以及检测和响应集群事件。包括kubeapiserver、etcd、kubescheduler、kubecontrollermanager、cloudcontrollermanager等组件。 Node组件：节点组件在每个节点上运行，维护运行的Pod并提供Kubernetes运行环境。包括kubelet、kubeproxy等组件。 容器运行时（Container Runtime）组件：容器运行时组件是负责运行容器的软件。 第三方插件：插件使用Kubernetes资源（DaemonSet、Deployment等）实现集群功能。因为这些插件提供集群级别的功能，插件中命名空间域的资源属于kubesystem命名空间。包括DNS、Dashboard等组件。 组件版本 组件的版本。 集群名称 组件所属集群的名称。 集群版本 组件所属集群的版本。 命名空间 组件所属命名空间。 节点名称 组件运行所在节点的名称。 漏洞数量 显示组件内存在的不同风险等级的漏洞数量统计信息。 最后一次扫描时间 该组件最后一次被扫描的时间。

本章节主要介绍物理机的备份。 操作场景 为了保证数据安全，您可以对物理机中的所有云硬盘（系统盘和数据盘）进行备份，采用这种备份方式可以避免因备份创建时间差带来的数据不一致问题。云主机备份支持基于多云硬盘一致性快照技术的备份服务，并支持利用备份数据恢复物理机数据，最大限度保障用户数据的安全性和正确性，确保业务安全。 约束与限制 不支持使用物理机的备份创建镜像。 不支持备份带有共享云硬盘的物理机。 恢复时，物理机会自动关机，将中断租户业务，关机后有一段时间物理机处于锁定状态，租户不可操作。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 物理机服务”。进入物理机列表页面。 3. 在待备份的物理机所在行，单击“更多 > 创建备份”。 系统跳转至“创建云主机备份”页面。 4. 根据界面提示完成如下操作： 选择服务器：在服务器列表中，默认会勾选待创建备份的物理机，保持默认即可。 备份配置：勾选“自动备份”，选择一个备份策略。 说明 将选择的物理机绑定到备份策略中，按照备份策略进行自动备份。 如果选择的物理机已绑定其他策略，在选择新的备份策略后，服务器会自动从原备份策略解绑，并绑定到新的备份策略。 您也可以勾选“立即备份”，选择的物理机将立即进行一次备份。 输入备份名称和描述，如果是首次备份，建议启动全量备份。

本章节介绍如何编辑敏感数据规则组 您可以通过以下操作进行编辑敏感数据规则组： 修改“则组名称”以及“规则组描述”。 添加敏感数据规则。 移除敏感数据规则。 前提条件 已添加敏感数据规则组。 敏感数据规则组的“规则组类型”为“自定义”。 约束条件 DSC内置的敏感数据规则组不可编辑。 操作步骤 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择“安全>数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中，选择“敏感数据识别 > 识别规则”，并选择“规则组”页签，进入规则组列表。 5. 在目标敏感规则组所在行的“操作”列，单击“编辑”，系统弹出编辑规则组的对话框。 6. 在“编辑规则组”对话框中编辑规则组参数，相关参数说明如下表所示。 参数 参数说明 规则组名称 您可以自定义敏感数据规则组名称。 规则组名称需要满足以下要求： 1~255个字符。 字符可由中文、英文字母、数字、下划线或中划线组成。 规则组名称不能与已有的规则组名称重复。 规则组描述 该规则组的备注信息，用于区别其他规则组。 规则添加 可选参数。勾选需要添加的敏感数据规则。 如果您想移除已选的规则，可在右边已选择的规则框中，找到目标规则，并在其所在行的“操作”列，单击移除。 7. 单击“确定”，完成规则组的编辑。

本节介绍服务器安全卫士（原生版）服务器列表。 您可以在服务器列表页面查看所有主机资产的防护状态和服务器详细信息。 注意 仅支持对Agent状态 为“在线”，防护状态为“防护中”的云主机进行检测。云主机离线后将不会进行检测。 查看服务器防护状态 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“资产管理 > 服务器列表”，进入服务器列表页面。 3. （可选）选择业务分组，服务器列表将只展示该分组中的服务器。 4. 服务器列表包括以下字段：服务器、操作系统、地域、服务器状态、Agent状态、防护状态、风险状态、配额版本。 参数 说明 服务器 包括主机名称、实例名称、私网IP、公网IP。 操作系统 服务器的操作系统。 地域 服务器所属地域。 服务器状态 包括已关机、运行中。 Agent状态 包括在线、离线。 在线：Agent控制通路和数据通路均连接正常。 离线：Agent控制通路或数据通路连接异常。 防护状态 包括防护中、未防护。 防护中：表明该服务器处于正常防护中，此时Agent状态为在线且已经为该台服务器开启防护。防护中又分为“高级防护”和“免费防护”。 未防护：表明该服务器未开启防护或Agent已离线。 风险状态 包括安全、风险、未知3种状态。 无风险：表明该服务器无基线、漏洞、入侵和网页篡改的风险。 风险：表明该服务器有基线、漏洞、入侵和网页篡改的一种或几种风险。 未知：表明该服务器未开启防护或Agent已离线。 配额版本 服务器使用的防护配额版本，包括免费版、企业版、旗舰版。 Agent版本 服务器当前安装的Agent版本，版本过低时会显示为“升级”提示按钮。

本文为您介绍租户集群为自建集群的集群组件安装步骤。 注意事项 集群组件在运行时会挂载k8s node宿主机的/data（非crio）和/root（crio）目录，请确保目录的权限正常。 请确保您的k8s集群允许出网策略TCP端口：31080、30432、32345。 获取部署脚本 1. 进入容器安全卫士产品控制台。 2. 在左侧导航栏选择“安装配置 > 组件安装”，进入组件安装页面。 3. 单击“集群组件部署”，进入集群组件部署页面。 4. 选择“是否为天翼原生k8s集群”，此处选择“自建集群”；选择集群所在的资源池。 5. 下载镜像。 1. 选择容器运行环境（支持docker、containerd、CRIO）。 2. 选择集群CPU架构（支持X86、ARM架构）。 3. 单击“下载镜像Tar包”下载镜像Tar包到本地，然后加载至您的私有仓库中（请不要修改镜像名称）。 Tar包中包含4个镜像，分别为： library/dosecagent:20241224T19.31.05V5.2.0release298e83b85cc6c5bc,library dosechosttool:alpineV3.8,library dosecscanner:20250106T17.38.12V5.2.0releasebd003dd3e87a1881,library dosecserver:20250107T11.36.00V5.2.1sp891.1release287a57d168109d92 6. 生成部署脚本。 1. 选择集群所在的VPC、VPC子网，输入私有仓库的地址、账号、密码。 2. 单击“生成yaml文件”，并将yaml文件保存到本地。 注意 系统会根据您的输入自动生成yaml。 容器安全卫士不会保存您的私有仓库用户名和密码以保证安全。 下载后的包，内容请勿进行修改。 下载的脚本仅能用于一个k8s集群使用，若在不同集群重复使用可能造成数据异常。

短信发送成功了，也已经发返回成功的状态码，但用户手机接收不到是什么原因？ 可能有如下原因：建议手机重启，手机短信存储空间已满，建议删除一些无用短信后再查看是否接收正常；手机是双卡双待，建议将卡取出交换一下卡槽，另外，手机是否安装了安全软件，安全软件将短信拦截到垃圾中心。 客户调用API出现报错如何处理？ 客户调用API接口错误返回状态码，以3开头的请查看状态码详见：云通信错误码。 错误码报错30037、30038、30039、30040、30041短信发送超限应如何解决？ 处理办法：该错误码是指触发短信默认流控限制。具体流控限制如下，请遵循以下限制发送短信：该客户对同一个手机号码发送短信默认限制为支持2条/分钟，5条/小时，10条/天。客户可通过控制台消息配置发送频率修改。 云通信AK/SK如何获取？ 登录天翼云官网，前往个人中心在安全设置中查看用户AK/SK。 给用户发送短信后，如何获取用户的短信上行回调、时间回调、状态回调？ 登录控制台消息配置栏里进行URL的输入配置，通过接口可直接获取上行回调、事件回调、状态回调，详情参考：回调消息简介与配置流程。 使用群发助手时，当一批群发手机号中出现个别手机号错误后，目前发送的机制是什么样的？ 在批量发送时，会自动提示手机号格式错误，请删掉格式错误的手机号。在发送中出现某个手机号发送失败，不影响其他手机号的正常发送。

网站及应用加速 业务挑战：特殊时间节点，比如选课、成绩查询、招生报名、填报志愿时，易导致访问流量激增，访问卡顿，甚至掉线。 方案优势：天翼云全站加速凭借全球2300+三网节点覆盖，通过智能调度，传输优化等自研技术，可实时计算优质回源路径，时刻保障访问体验。 动态指令互动 业务挑战：老师在线教学过程中，涉及白板、笔记、解题信息等实时指令交互，这类指令一般采用非标准的HTTP、HTTPS进行传输，访问延迟高，易导致教学体验差。 方案优势：天翼云可以实现动态指令跨地区跨运营商高效传输，显著降低访问延迟。 高可用性 业务挑战：全国师生同时在线，用户爆发式增长，并发极大，源站承压及扩容能力低，需要保障在线教育的持续高可用性。 方案优势：天翼云全站加速提供源站监控、多源负载均衡、节点热备，实时弹性扩容等，可实现多源异地灾备，保障业务连续性和高可用性。 方案价值 极致用户体验 纯自研缓存、流量调度、动态选路等关键技术，打造坚实的CDN基础能力，保障客户获得全球优质的访问体验。 数据安全传输 支持全链路HTTPS安全传输，HTTPS双向认证，防劫持防篡改，保护数据安全。 高可用保障 分布式三网节点弹性扩容、丰富负载均衡策略、源站监控，助力构建高可用的网络架构。 优质资源及链路 国内拥有1800+个节点覆盖，150T+的业务承载能力，覆盖多运营商、主要省份和城市无盲点。海外覆盖遍布亚洲、美洲、欧洲、非洲等主要国家和城市。 精细化属地支持 31省本地化的销售网络体系，724小时技术支持，VIP客户一对一专属项目经理。

本文主要为您介绍如何开启防敏感信息泄露防护，以及如何配置防敏感信息泄露规则。 网站域名接入Web应用防火墙后，您可以选择开启防敏感信息泄露功能，并配置防敏感信息泄露规则，可对网页中的敏感信息或指定的HTTP响应码页面进行过滤或拦截。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版和标准版不支持防敏感信息泄露功能，请升级到更高版本使用。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“防敏感信息泄露”模块，可以选择开启/关闭防护。 7. 点击防护规则右侧的“前去配置”，进入防敏感信息泄露规则页面。 8. 单击“新建防护规则”，在弹出的对话框中，配置防敏感信息泄露规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 匹配条件 选择需要在响应信息中检测的敏感信息类型，包括敏感信息、响应码、关键字。 敏感信息：用户的个人身份信息，包括身份证号、电话号码、电子邮箱等。 响应码：指定的HTTP响应码，比如401、402、403等。 关键字：自定义需要检测关键字。 匹配内容 根据所选匹配条件，对应不同的内容。 敏感信息：包括身份证号、电话号码、电子邮箱等。 响应码：选择特定的HTTP请求状态码。 关键字：需要手动输入匹配的关键字。 防护路径 需要防护的URL的路径。 执行动作 选择在响应信息中检测到敏感信息后系统执行的动作。 观察：仅通过日志记录匹配到的页面和内容，不进行拦截。 信息脱敏全部屏蔽：对匹配到的内容，将被全部进行脱敏展示。 信息脱敏自定义范围：选择该项，还需要配置“显示”或“屏蔽”具体的范围。 拦截：拦截匹配到的页面和内容，并向发起请求的客户端返回拦截响应页面。 规则描述 可选项。设置规则的描述信息。 9. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

混合云一体机集成天翼云平台，提供计算、存储、网络、监控、管理等全栈云服务。 计算 弹性云主机：由CPU、内存、镜像、云硬盘组成，是一种可随时获取、即开即用、可弹性扩展的计算服务器。一体机支持创建通用型、计算增强型、内存优化型多种云主机类型，同时支持云主机组、云主机快照等功能。 GPU云主机：结合了GPU计算力与CPU计算力，满足客户在人工智能、高性能计算、专业图形图像处理等场景中的需求。一体机通过扩展GPU服务器的方式支持GPU云主机，GPU云主机支持虚拟化、直通技术。 标准裸金属：具有物理资源独享、高性能的特点，适合部署核心数据库等关键系统。一体机通过虚拟裸金属网关实现对物理服务器的统一纳管。 镜像服务：是弹性云主机实例可选择的运行环境模板，一般包括操作系统和预装软件。云镜像服务包括公共镜像、私有镜像及共享镜像。 弹性伸缩服务：通过策略自动调整计算资源的管理服务。用户通过管理控制台设定弹性伸缩组策略，弹性伸缩服务将根据预设规则自动调整伸缩组内的云主机数量，降低人为反复调整资源以应对业务变化和高峰压力的工作量，帮助用户节约资源和人力成本。 存储 云硬盘：基于分布式架构的、可弹性扩展的数据块级存储设备。可为云主机提供系统盘和数据盘，满足文件系统、数据库或者其他应用等的存储。 云硬盘备份：针对云主机的系统盘、数据盘提供的备份服务。用户可对存储重要数据的磁盘进行备份，并在云主机磁盘故障、用户误删数据、遭到黑客攻击等情况下将备份数据快速恢复到源盘，有效保证用户数据的安全性。 云主机备份：支持多云硬盘一致性快照技术的备份服务，支持利用备份数据恢复弹性云主机数据，提供数据备份和操作恢复的整体方案，具备实时增量备份、快速数据恢复能力，有效保障用户数据的安全性和正确性，确保业务安全。 文件存储：提供按需扩展的高性能文件存储，可为多个弹性云主机、标准裸金属提供共享访问，具备高可用性和高数据持久性。 对象存储：存储非结构化数据（图片、音视频、文本等格式文件），根据客户需求空间确定存储容量。 网络 扁平网络：可与物理机网络直通，也可通过物理网络设置网关和路由直接访问互联网的网络。 虚拟私有云：为云主机等云上资源提供可配置、可管理的虚拟网络环境，不同虚拟私有云之间二层逻辑隔离。 弹性IP：将弹性IP地址和子网中关联的弹性云主机绑定和解绑，可以实现VPC中的弹性云主机通过固定的公网IP地址与互联网互通。 负载均衡：通过将访问流量自动分发到多台云主机，扩展对外的服务能力，解决大量并发访问服务器的问题，实现更高水平的应用程序容错性能。 对等连接：是指两个VPC之间的网络连接。用户可以使用私有IP地址在两个VPC之间进行通信，就像两个VPC在同一个网络中一样。用户可以在自己租户的VPC之间创建对等连接，也可以在自己租户的VPC与其他租户的VPC之间创建对等连接。 安全组：是云主机级别的流量防护规则，默认安全组default放通全部协议全部端口的流出。 ACL：是一个子网级别的流量防护规则，用户可以自定义设置网络ACL规则，并将网络ACL与子网绑定，实现对子网中云主机实例流量的访问控制。通过与子网关联的出方向/入方向规则控制出入子网的流量数据。 NAT网关：能够为虚拟私有云内的弹性云主机提供网络地址转换服务，使多个弹性云主机可以共享使用弹性IP访问Internet。 VPN连接（选配）：基于Internet、通过IPSec加密通道连接用户的企业数据中心和一体机的虚拟私有云（VPC），实现两侧资源的内网互通，帮助用户轻松实现混合云环境的部署。 监控 云主机监控：包括CPU使用率、网络流入流出流量的速率、内存使用率、磁盘分配率、磁盘使用率、磁盘剩余存储量等图表数据。 云硬盘监控：包括磁盘读速率、磁盘读请求速率、磁盘写速率、磁盘写请求速率。 弹性IP监控：包括流入流出带宽、网络流入流出速率。 负载均衡监控：包括入网流量、出网流量、出网带宽、活跃连接数、新建连接数、并发连接数等。 管理 云服务：为用户提供资源创建、管理能力，比如创建云主机、管理VPC等。 运维监控：支持通过拓扑、大屏、仪表盘等形式提供告警、性能监控、日志等基础运维服务。 运营管理：匹配组织架构，提供用户管理、配额管理、角色管理等管理能力。

组件 参数 详情 默认 修改限制 容器引擎Docker配置 nativeumask execopt native.umask normal 不支持修改 dockerbasesize storageopts dm.basesize 0 不支持修改 insecureregistry 不安全的镜像源地址 false 不支持修改 limitcore 核数限制，节点池中创建的节点总核数不能超过该值 5368709120 defaultulimitnofile 容器内句柄数限制 {soft}:{hard} 该值大小不可超过节点内核参数nropen的值，且不能是负数。 节点内核参数nropen可通过以下命令获取：sysctl a grep nropen kubeproxy组件配置 conntrackmin sysctl w net.nfconntrackmax 131072 支持在节点池生命周期中修改 conntracktcptimeoutclosewait sysctl w net.netfilter.nfconntracktcptimeoutclosewait 1h0m0s kubelet组件配置 cpumanagerpolicy cpumanagerpolicy none 支持在节点池生命周期中修改 kubeapiqps 与kubeapiserver通信的qps 100 kubeapiburst 与kubeapiserver通信的burst 100 maxpods kubelet管理的pod上限 4020 podpidslimit k8s 限制进程数 1 withlocaldns 是否使用本地IP作为该节点的ClusterDNS false eventqps 事件创建QPS限制 5 allowedunsafesysctls 允许使用的不安全系统配置。 CCE从 1.17.17 集群版本开始，kubeapiserver开启了pod安全策略， 需要在pod安全策略的allowedUnsafeSysctls中增加相应的配置才能生效（1.17.17以下版本的集群可不配置）。 [] kubereservedmemsystemreservedmem 节点内存预留。 随节点规格变动，具体请参见节点预留资源计算公式 kubereservedmem，systemreservedmem之和小于内存的一半 topologymanagerpolicy 设置拓扑管理策略。合法值包括： restricted：kubelet 仅接受在所请求资源上实现最佳 NUMA对齐的Pod。 besteffort：kubelet会优先选择在 CPU 和设备资源上实现NUMA对齐的Pod。 none（默认）：不启用拓扑管理策略。 singlenumanode：kubelet仅允许在 CPU和设备资源上对齐到同一NUMA节点的Pod。 none 支持在节点池生命周期中修改须知修改topologymanagerpolicy和topologymanagerscope会重启kubelet， 并且以更改后的策略重新计算容器实例的资源分配，这有可能导致已经运行的容器实例重启甚至无法进行资源分配。 topologymanagerscope 设置拓扑管理策略的资源对齐粒度。合法值包括： container （默认)：对齐粒度为容器级 pod：对齐粒度为pod级 container oversubscriptionresource 节点超卖特性。仅 弹性云主机物理机 类型的节点池可见，设置为true表示开启节点超卖特性。 nicminimumtarget 节点池级别的节点最少绑定容器网卡数 默认：10 nicmaximumtarget 节点池级别的节点预热容器网卡上限检查值 默认：0 nicwarmtarget 节点池级别的节点动态预热容器网卡数 默认：2 nicmaxabovewarmtarget 节点池级别的节点预热容器网卡回收阈值 默认：2 容器引擎Containerd配置（仅使用Containerd的节点池可见） devmapperbasesize 单容器可用数据空间 不支持修改 limitcore 核数限制 5368709120 defaultulimitnofile 容器内句柄数限制 1048576 该值大小不可超过节点内核参数nropen的值，且不能是负数。 节点内核参数nropen可通过以下命令获取：sysctl a grep nropen

本文介绍了Windows Server 操作系统停止支持应对计划。 微软已经于2020年01月14日停止对Windows Server 2008/2008 R2操作系统提供支持，并于2023年10月10日停止对Windows Server 2012/2012 R2操作系统提供支持。如果您有使用上述操作系统的弹性云主机，建议您采取相应的措施以持续获得软件更新和安全补丁，以避免操作系统停止维护EOL（End of Life）带来影响。本文主要介绍Windows Server 2008/2008 R2/2012/2012 R2操作系统EOL的应对方案。 注意 如果您因业务需求需要继续使用Windows Server 2008/2008 R2/2012/2012 R2，请您仔细评估操作系统EOL带来的风险。 Windows Server EOL 如何应对 推荐您将Windows Server 2008/2008 R2/2012/2012 R2迁移到替代的操作系统，以继续获取软件更新和安全补丁。 迁移前，请先评估： 1、需要迁移到哪种目标操作系统。 您可以综合考虑安全合规、稳定性、操作系统兼容性、预算、长期OS策略等因素，决定具体的迁移方案。 2、根据需求评估操作系统的迁移方式。 （推荐）重新部署环境：重新部署环境指重新购买新实例以替换原实例或者针对已有实例切换操作系统。 注意 更换操作系统后，原来的旧系统盘会被释放且所有数据会被清空，请务必在更换操作系统前备份数据。 优缺点：该方式可以使用最新的操作系统，同时可以清除历史遗留问题，更有利于长期的系统健康和可维护性。但是在重新部署业务期间可能需要暂停服务，影响业务的连续性。 适用场景：如果您希望利用操作系统EOL的时机重新部署环境，可以选择此方案。 适用的目标操作系统：无限制。

平台侧确认注册成功 NVR设备注册完成后，等待大约1分钟后（不同的设备等待时间略有差异），在天翼云智能视图服务控制台的设备管理页面查看该设备，如果是在线状态，说明设备接入成功。 添加下级平台 在【添加设备】的设备配置页面，下拉设备类型选择Platform，填写设备名称、设备地址、经纬度和所属行业等相关信息后，进入下一步。 在接入配置页面，选择GB28181凭证并勾选资源包，完成设备添加后，与平台进行级联。 GB35114协议接入 GB35114是公共安全视频监控联网信息安全技术标准，在GB/T 28181的基础上对监控联网视频信息以及控制信令信息保护提出了进一步的安全要求，使用国密算法、数字签名、数字证书等技术确保前端设备身份真实可信、控制信令来源可信、内容防篡改，保护视频数据不泄密。 添加设备 在添加国标设备的接入配置页面，若选择启用GB35114协议，则无需选择GB28181凭证即可完成设备创建。 SIP服务信息获取 GB35114设备注册前，还需要获取SIP服务信息和设备国标ID等信息，用户可以进入设备详情页查看。 接入信息：获取设备国标ID。 SIP服务信息：可获取SIP服务器ID、SIP服务器域、SIP服务器地址、SIP服务器TCP端口和UDP端口。

本节介绍服务器安全卫士（原生版）弱口令检测操作指南。 通过与弱口令库对比，检测系统账号和应用账号口令是否属于常用的弱口令，提示用户修改不安全的口令。 Linux系统支持检测系统弱口令和数据库等应用弱口令。 Windows系统仅支持系统账号的弱口令检测。 版本限制 仅企业版、旗舰版支持弱口令检测功能。 执行弱口令检测 弱口令检测提供如下检测方式： 一键检测 如果用户想立即了解服务器当前是否存在弱口令，可以执行“一键扫描”，立即手动检测服务器中的漏洞。 定时检测 用户可以开启“定时扫描”，配置定时检测周期和范围，定期对服务器上存在的弱口令进行自动检测。 一键检测 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“风险管理 > 弱口令检测”，进入弱口令检测页面。 3. 单击“一键扫描”，页面右侧弹出一键检测设置窗口。 4. 设置检测参数，参数说明如下。 参数 说明 弱口令分类 支持“应用弱口令”和“系统弱口令”。 设置生效范围 选择检测哪些服务器。可以选择“全部服务器”或“自选服务器”。 选择“自选服务器”时，您可以通过区域、服务器名称、服务器IP搜索需要检测的服务器。 说明 以下服务器不能被选中执行弱口令检测： 使用“免费版”的服务器。 非“运行中”状态的服务器。 Agent状态为“离线”的服务器。 5. 单击“确认”，立刻开始本次弱口令检测。 说明 检测需要一定的时间，请耐心等待，期间您可以切换页面执行其他操作。等待过程中您可以手动刷新页面查看最新检测数据。

首次启动Agent时无法启动该如何处理？ 因部分Windows机型权限限制，会导致第一次启动Agent无法启动，可使用如下方式启动Agent。 1. 右键单击开始菜单。 2. 单击“运行”，输入cmd，进入命令行提示符界面。 3. 输入cd C:SMSAgentPy2，切换到Agent安装目录，执行SMSAgentDeploy.exe。 Windows Agent双击无法运行 安装Windows Agent，双击SMSAgent安装程序没有响应，无法进入安装向导。为系统设置的安全策略锁定了该文件，需要解除对该文件的锁定。右键单击SMSAgentpy运行程序查看属性，勾选“解除锁定”，单击“确定”，然后重新运行。 启动Agent时出现“IO监控启动失败”，该如何处理？ 如果在源端服务器上启动Agent时，出现“IO监控失败”。请进行以下排查： 1. 卸载Agent并且重新安装。 2. 检查源端服务器是否有安装杀毒软件，有以下两种情况： 1. 当系统安装杀毒软件，安全软件或防火墙时，会出现弹窗拦截IO监控驱动。出现拦截提示后，“允许本次操作”可以让杀毒软件允许IO监控程序运行。 2. 不出现拦截页面，直接拦截。这种情况需要手动将IO监控驱动：C:WindowsSystem32driversHwDiskMon.sys添加到杀毒软件的信任区域中，然后重启agent。如果还是不行，则需要卸载杀毒软件。部分杀毒软件会有一个安全防护进程长期驻留，单纯关闭可能无法解决驱动拦截问题。 3. 修改配置文件，不启动IO监控。如果不需要同步数据，可以通过修改配置文件，取消IO监控。修改Agent安装目录config下 gproperty.cfg的 enablesync为False，然后重启Agent。

备份恢复 业务高峰时执行备份可能会备份失败，建议手动备份选择在业务低峰期间，自动备份建议根据业务需要自定义备份时间段（默认自动备份时间段为01:0002:00 (GMT+08:00)）。 实例写入业务较多时，建议备份策略设置成每天做一次自动备份。 建议根据业务需要设置备份保留天数（默认保留7天）。 建议根据业务需要设置Binlog本地保留时长（默认为0，表示Binlog备份完成后本地日志会被删除）。 使用表级时间点恢复功能时，建议提前确认所选时间点之前是否有对无主键大表的删除操作，如果有该操作，恢复完成时间不易评估。 删除实例后，自动备份的全量备份和Binlog备份也会删除，对数据有需要时，建议删除前进行手动全量备份。 SQL审计 需要定期做业务审计时，建议开启审计日志。 日常运维 建议定期关注慢日志和错误日志，提前识别业务问题。 建议定期关注数据库的资源使用情况，资源不足时，及时扩容。 建议关注实例监控，发现监控指标异常时，及时处理。 删除和修改记录时，需要先执行SELECT，确认无误才能提交执行。 安全 尽量避免数据库被公网访问，公网连接时必须绑定弹性公网IP。 尽量使用SSL连接，保证连接的安全性。

本节主要介绍重启实例。 操作场景 出于维护目的，您可能需要重启数据库实例。 使用须知 实例状态为“正常”、“异常”、“恢复检查中”，支持重启实例。 重启实例会导致服务中断，请谨慎操作。 重启实例后，该实例下所有节点将会被重启。 开启操作保护的用户，在进行敏感操作时，通过进行二次认证再次确认您的身份，进一步提高账号安全性，有效保护您安全使用云产品。 操作步骤 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择兼容类型为InfluxDB的指定实例，选择操作列“更多 > 重启实例”。 您也可以在“实例管理”页面，单击指定实例的名称，在页面右上角，单击“重启实例”。 4. 若您已开启操作保护，在“重启实例”弹出框，单击“去验证”，跳转至验证页面，单击“免费获取验证码”，正确输入验证码并单击“认证”，页面自动关闭。 5. 在弹出框中，单击“是”重启实例。 对于GeminiDB Influx集群实例，您可以根据业务需求，选择节点同时重启或者节点逐个重启。 图1 重启GeminiDB Influx实例 对于GeminiDB Influx单节点实例，直接点击是即可。 图2 重启GeminiDB Influx单节点实例

本文介绍分布式消息服务RocketMQ入门指引的创建RocketMQ实例内容。 实例介绍 RocketMQ实例订购支持用户自定义规格和自定义特性，可根据业务需要定制相应规格的RocketMQ实例。在新的资源池节点上，还支持选择主机类型和存储规格等丰富的用户选项。 操作步骤 1、在产品详情页点击立即开通按钮，或者进入消息管理控制台创建实例，进入订购分布式消息RocketMQ页面。 2、点击订购实例进入相应页面，左上角选择目标资源池。 1）选择计费模式：包年包月/按需计费，两种模式说明参见计费模式。 2）购买时长按照计费模式选择变化： 计费模式为包年包月，可选择购买时长16个月、1年。该模式提供自动续期功能。 计费模式为按需计费，则该选项隐藏无需选择。 3）引擎类型目前默认选择RocketMQ引擎，完全兼容开源客户端的高性能低延时的消息队列。ctgmq引擎已调整为白名单特性，如需了解该引擎请联系技术支持。 4）版本号默认4.9，实例创建后，不支持变更版本。建议服务端版本和客户端版本保持一致。 5）部署方式有单可用区和多可用区两个选项，目前仅支持单可用区和3可用区部署，单可用区部署请选中任意一个AZ；多可用区部署请选中3个AZ，系统会自动将Broker节点平均分配至各可用区。 6）提供集群版和单机版两种规格选择模式，单机版实例面向用户体验和业务测试场景，无法保证性能和高可用。如果需要在生产环境使用RocketMQ实例，建议购买集群版实例。 7）CPU架构支持X86计算和ARM计算两类。 8）选择X86计算，可以选择计算增强型（默认Intel）和海光计算增强型主机；选择ARM计算，可以选择鲲鹏计算增强型主机。通用型规格已调整为白名单特性，如需了解该规格参数请联系技术支持。 9）代理规格：针对不同主机类型，RocketMQ提供不同性能表现的规格参数。 10）代理数量：选择单机版该选项不展示，选择集群版此选择支持116代理选择。 11）选择存储空间，包括磁盘类型和空间。 磁盘类型提供高IO/超高IO两类。高IO：适用于主流的高性能、高可靠应用场景。超高IO：适用于超高IOPS、超大带宽需求的读写密集型应用场景。了解更多磁盘类型说明参见云硬盘规格。 磁盘空间以100G起步，可以以100倍数增加磁盘空间。 12）选择已有虚拟私有云，若无虚拟私有云，点击创建跳转到虚拟私有云页面新增，了解更多内容参见虚拟私有云。 13）选择已有子网，若无子网，点击创建跳转到子网页面新增。 14）选择已有安全组，若无安全组，点击创建跳转到安全组页面新增。 15）填写实例名称，系统默认实例名称，用户可直接修改。 16）选择企业项目，创建新的企业项目可以到IAM配置。 17）创建实例标签，标签由区分大小写的键值对组成，您最多可以设置 20 个标签。 3、 填写完上述信息后，单击“下一步”，进入费用确认页面。 4、 确认实例信息无误后，提交请求。 5、 在实例列表页面，查看RocketMQ实例是否创建成功。创建实例大约需要3到15分钟，此时实例状态为“创建中”。

登录平台之后会自动进入天翼云学堂首页，平台首页按功能模块分为11个区域，效果图如下： 网站名称 显示网站的名称或者网站LOGO:天翼云学堂。 导航栏 显示顶部导航内容：在线课程中心、认证考试中心、精品直播中心、学习班级。点击后直接跳转对应的二级页面。 搜索栏 全站课程搜索栏：支持模糊搜索，支持本地搜索。 信息栏 1) 我的学习： 显示我的课程，我的班级，我的直播、我的考试、我的认证等内容。 a) 我的课程：此处显示学员所有已加入的课程和加入的班级内的课程信息（包含学习中/已学完/收藏）； b) 我的班级：显示学员所加入的班级信息； c) 我的直播课表：显示学员所有已加入的直播课程信息； d) 我的问答：显示学员所有的课程问答信息； e) 我的话题：显示学员参与的所有话题信息； f) 我的笔记：显示学员所有的笔记信息，支持快速查看笔记内容； g) 我的考试：显示学员所有的考试情况以及收藏的题目； h) 我的认证：显示学员获得的所有认证，并提供下载功能。 2) 账户中心： 显示我的订单、邀请码、优惠券、会员记录、我的积分。 a) 我的订单：学员可以在此页面查看自己在平台的购买记录，并且进行退款操作，在退款列表中，可以对申请的退款进行查看。 3) 个人设置： 显示个人信息、安全设置（修改用户身份认证） a) 个人信息：此处可编辑填写用户账户基本信息。 注：建议初登录系统的用户完善账号信息 b) 安全设置：可设置/修改用户身份，用户身份分为个人学习用户、中国电信员工、天翼云代理商，如下图所示： 通知、私信 显示管理员发送给你的通知或平台其他用户发送给你的私信。 头像 1) 退出登入 为确保账户安全，在不使用本系统时，请退出本系统。退出系统的时候请点击用户头像选择点击【退出】按钮。 2) 点击头像进入个人主页 在个人主页平台用户可查看到你的个人介绍、正在学习课程/班级、收藏的课程、加入的小组、你关注的用户以及你的粉丝。 轮播图 显示首页轮播图内容，点击后跳转到相应的内容页。 课程推荐模块 学员可根据首页推荐的课程，点击进入课程信息详情页，快速加入学习。 中部导航栏 显示3个导航入口，引导客户进入各个专题页面。 职业职格认证模块 显示3个认证链接入口，引导客户进入各个认证页面。 底部导航 嵌入天翼云主站底部栏，和天翼云主站底部保持一致。

此小节介绍数据库安全查看数据库详细的SQL语句信息。 添加的数据库连接到数据库安全审计实例后，您可以查看该数据库详细的SQL语句信息。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 已成功添加数据库并开启审计功能。 已成功添加并安装Agent。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台上方的“服务列表”，选择“安全 > 数据库安全服务”，进入数据库安全防护实例列表界面。 3. 进入SQL语句页面，操作步骤如下图所示。 4. 查询SQL语句信息，如下图所示。 您可以按照以下方法，查询指定的SQL语句。 选择“时间”（“全部”、“近30分钟”、“近1小时”、“近24小时”、“近7天”或“近30天”），或者单击，选择开始时间和结束时间，单击“提交”，列表显示该时间段的SQL语句。 选择“风险等级”（“全部”、“高”、“中”、“低”或“信任”），单击“提交”，列表显示该级别的SQL语句。 单击“高级选项”后的，输入相关信息，如下图所示，单击“提交”，列表显示该选项的SQL语句。 高级选项信息 5. 在需要查看详情的SQL语句所在行的“操作”列，单击“详情”，如下图所示。 查看SQL语句详情 6. 在“详情”提示框中，查看SQL语句的详细信息，如下图所示，相关参数说明如下表所示。 参数名称 说明 会话ID SQL语句的ID，由系统自动生成。 数据库实例 SQL语句所在的数据库实例。 数据库类型 执行SQL语句所在的数据库的类型。 数据库用户 执行SQL语句的数据库用户。 数据库IP 执行SQL语句所在的数据库的IP地址。 数据库端口 执行SQL语句所在的数据库的端口。 客户端IP 执行SQL语句所在客户端的IP地址。 客户端名称 执行SQL语句所在客户端名称。 操作类型 SQL语句的操作类型。 操作对象类型 SQL语句的操作对象的类型。 响应结果 执行SQL语句的响应结果。 影响行数 执行SQL语句的影响行数。 开始时间 SQL语句开始执行的时间。 应结束时间 SQL语句结束的时间。 审计结果 SQL语句的审计结果。 SQL请求语句 SQL语句的名称。 请求结果 SQL语句请求执行的结果。

本页介绍了文档数据库服务参数。 能否调整实例的时区设定 鉴于无法调整文档数据库服务的时区设置，您可以通过在应用程序中获取当前时间并将其插入到表中的方式来处理。 用户需要关注实例的哪些参数 storage.engine 这个参数用于指定 MongoDB 使用的存储引擎，默认为 WiredTiger。可以根据需求选择其他存储引擎，如 InMemory 引擎或 MMAPv1 引擎。 storage.wiredTiger.engineConfig.cacheSizeGB 对于使用 WiredTiger 存储引擎的 MongoDB，这个参数用于配置缓存大小，即存储引擎使用的内存量。根据数据量和可用内存设置合适的值。 net.maxIncomingConnections 这个参数限制 MongoDB 实例可以同时处理的连接数。通过适当设置这个参数，可以控制 MongoDB 的并发连接数量。 security.authorization 使用这个参数可以启用或禁用 MongoDB 的访问控制功能。设置为 true 时，需要进行身份验证才能访问 MongoDB。 MapReduce提示不支持JavaScript MapReduce是一种用于对大型数据集进行处理和分析的功能强大的工具。然而，从安全性和性能方面考虑，在某些情况下可能会限制使用JavaScript代码，包括在MapReduce中执行JavaScript代码。 这种限制的目的是为了减少潜在的安全风险，避免不当的代码执行以及提高执行效率。JavaScript代码的执行可能会引起一些潜在的问题，例如代码注入攻击和性能下降。 为了安全考虑，mongodb默认限制了JavaScript脚本的执行。 文档数据库服务数据一致性策略：writeConcern与readConcern的运用与限制 MongoDB的写入和读取是数据库操作中重要的两个方面。为了确保数据的可靠性和一致性，MongoDB提供了writeConcern和readConcern这两个机制。 当我们谈论writeConcern时，实际上是在谈论写入操作的策略。通过配置writeConcern，我们可以控制数据写入的行为。例如，当我们将writeConcern设置为"majority"级别时，MongoDB会确保数据被写入到大多数节点上，从而降低了数据丢失的风险。这意味着，即使部分节点发生故障，大多数节点仍然保存着相同的数据，保障了数据的可靠性。 而readConcern则是与读取操作相关的策略。当我们设置readConcern为"majority"级别时，MongoDB会确保所读取的数据已经被写入到了大多数节点上。这就消除了因为读取操作而引起的脏读问题，因为我们可以确信读取到的数据已经经过大多数节点的确认。 然而，需要注意的是，目前文档数据库服务并不直接支持设置readConcern为"majority"级别。但这并不妨碍我们保障数据的一致性。通过设置writeConcern为"majority"，我们可以将数据写入到大多数节点，从而实现了大多数节点数据的一致性。随后，通过读取单个节点的数据，仍然可以保证读取到的内容是已经经过多数节点确认的，避免了脏读的问题。

ServiceComb引擎 ServiceComb引擎采用的注册发现中心Apache ServiceComb Service Center，是一个RESTful风格的、高可用无状态的服务注册发现中心，提供微服务发现和微服务管理功能。服务提供者可以将自身的实例信息注册到服务注册发现中心，以供服务消费者发现并使用。ServiceComb引擎可无缝兼容Spring Cloud、ServiceComb等开源生态。关于Apache ServiceComb Service Center的详细内容请参考： ServiceComb引擎分为1.x、2.x版本。 ServiceComb引擎2.x版本是可支持大规模微服务应用管理的商用引擎。您可根据业务需要选择不同规格，引擎创建完成后不支持规格变更；引擎资源独享，性能不受其他租户影响。 相较于ServiceComb引擎1.x版本，ServiceComb引擎2.x版本底层架构、功能、安全及性能全面升级，提供了独立的服务注册发现中心和配置中心，支持基于用户业务场景的定义和治理。两个版本的特性比对请参见下表。 表 ServiceComb引擎2.x和ServiceComb引擎1.x特性比对 功能 特性 2.x 1.x 备注 引擎管理 安全性 支持安全认证 √ √ 引擎管理 可靠性 3AZ高可靠 √ √ 微服务管理 基础能力 注册发现 √ √ 微服务管理 基础能力 多框架接入 √ √ 支持Spring Cloud、ServiceComb Java Chassis、Dubbo、Go Chassis。 微服务管理 基础能力 无实例版本自动清理 √ x 2.3.7及以后版本，支持保留最近3个微服务版本，并自动清理无实例版本。 微服务管理 性能 实例变化毫秒级推送 √ √ 配置管理 基础能力 管理配置 √ √ 配置管理 基础能力 配置格式多样化 √ 仅支持文本 2.x新增支持配置格式有：YAML、JSON、TEXT、Properties、INI、XML。 配置管理 基础能力 导入导出 √ √ 2.x新增支持设置导入相同配置策略。 配置管理 高级特性 历史版本 √ x 配置管理 高级特性 版本对比 √ x 配置管理 高级特性 一键回滚 √ x 配置管理 高级特性 配置标签 √ x 配置管理 性能 秒级下发 √ x 微服务治理 业务场景化治理 业务场景定义 √ x 微服务治理 业务场景化治理 基于请求Method的匹配规则 √ x 微服务治理 业务场景化治理 基于请求Path的匹配规则 √ x 微服务治理 业务场景化治理 基于请求Headers的匹配规则 √ x 微服务治理 治理策略流量控制 服务端的令牌桶限流 √ √ 微服务治理 治理策略重试 客户端通过重试来保证用户业务的可用性、容错性、一致性 √ √ 微服务治理 治理策略熔断 服务端通过熔断故障业务，防止故障蔓延到整个服务，发生大规模故障 √ √ 微服务治理 治理策略隔离仓 服务端基于信号量控制请求并发能力 √ x 开发工具 本地轻量化引擎 本地一键启动，方便开发者离线开发微服务 √ √

本章节主要介绍使用HDFS的操作指导。 操作场景 该任务指导用户在运维场景或业务场景中使用HDFS客户端。 前提条件 已安装客户端。 例如安装目录为“/opt/hadoopclient”，以下操作的客户端目录只是举例，请根据实际安装目录修改。 使用HDFS客户端 1. 安装客户端。 2. 登录安装客户端的节点。 3. 执行以下命令，切换到客户端安装目录，例如“/opt/hadoopclient”。 plaintext cd /opt/hadoopclient 4. 执行以下命令配置环境变量。 plaintext source bigdataenv 5. 集群默认为安全模式，将实际的keytab文件路径替换以下命令中的/path/example.keytab，执行命令进行用户认证。 plaintext kinit kt /path/example.keytab klist kt /path/example.keytab sed n 4p awk '{print $NF}' 6. 直接执行HDFS Shell命令。例如： plaintext hdfs dfs ls /

本章节主要介绍使用Kyuubi的操作指导。 前提条件 已安装客户端并且部署了ZooKeeper集群。 例如安装目录为“/opt/hadoopclient”，以下操作的客户端目录只是举例，请根据实际安装目录修改。 使用Kyuubi客户端 1. 安装客户端。 2. 登录安装客户端的节点。 3. 执行以下命令，切换到客户端安装目录，例如“/opt/hadoopclient”。 plaintext cd /opt/hadoopclient 4. 执行以下命令配置环境变量。 plaintext source bigdataenv 5. 集群默认为安全模式，将实际的keytab文件路径替换以下命令中的/path/example.keytab，执行命令进行用户认证。 plaintext kinit kt /path/example.keytab klist kt /path/example.keytab sed n 4p awk '{print $NF}' 6. 直接执行命令。例如： 7. plaintext bin/beeline u 'jdbc:subprotocol://host:port' subprotocol:kyuubi or hive2 host: IP address of the kyuubi server

本章节主要介绍YARN客户端的使用。 操作场景 该任务指导用户在运维场景或业务场景中使用YARN客户端。 前提条件 已安装客户端。例如安装目录为“/opt/hadoopclient”，以下操作的客户端目录只是举例，请根据实际安装目录修改。 使用YARN客户端 1. 安装客户端。 2. 用户登录安装客户端的节点。 3. 执行以下命令，切换到客户端安装目录，例如“/opt/hadoopclient”。 plaintext cd /opt/hadoopclient 4. 执行以下命令配置环境变量。 plaintext source bigdataenv 5. 集群默认为安全模式，将实际的keytab文件路径替换以下命令中的/path/example.keytab，执行命令进行用户认证。 plaintext kinit kt /path/example.keytab klist kt /path/example.keytab sed n 4p awk '{print $NF}' 6. 直接执行YARN命令。例如： 7. plaintext yarn application list

相关服务 交互功能 弹性云服务器(ECS) RDSPostgreSQL配合弹性云服务器 (Elastic Cloud Server，简称ECS)一起使用，通过内网连接RDSPostgreSQL可以有效地降低应用响应时间、节省公网流量费用。 虚拟私有云(VPC) 对您的RDSPostgreSQL实例进行网络隔离和访问控制。 弹性IP(EIP) 为您的实例提供公网访问方式。 数据迁移工具(DTS) 使用数据复制服务，实现数据库平滑迁移上云。 数据库管理工具(DAS) 使用数据管理服务，通过专业优质的可视化操作界面，提高数据管理工作的效率和安全。 数据库专家服务 专家团队为您提供数据库安装部署、健康巡检、应急响应、性能调优、架构规划设计、数据迁移咨询、备份恢复咨询等各类数据库专业服务，解决数据库各类问题，为您的数据库系统保驾护航。

前提条件 成功登录分布式关系型数据库服务控制台。 应用场景 在数据节点相关信息变化时（如增删只读实例，变更连接地址、端口号、安全组、实例规格，删除数据库实例，以及将数据库从一个企业项目迁移到另一个企业项目等变更），需要用户主动下发“同步DN信息”，将数据节点变化的信息同步到DRDS，才能正常使用。 操作步骤 1、在分布式关系型数据库服务，实例管理列表页面，选择目标实例。 2、在左侧导航栏，选择“DN管理”页签，单击“同步DN信息”。 同步DN信息 3、系统自动弹出同步DN信息命令下发成功。 同步DN信息下发成功提示

本章节介绍如何使用云原生网关实现后端双向TLS认证 概述 云原生网关作为代理服务接收下游服务（DownStream）请求，并转发到上游服务（Upstream）；对于上游服务来说，云原生网关收敛了外部的请求，统一经过网关转发到上游。从安全角度考虑，上游服务可以添加认证鉴权规则实现对网关的身份认证和访问鉴权，确保上游服务安全性；其中一种实现方式就是在上游服务配置TLS策略，要求网关转发请求时提供客户端证书，实现对网关的身份认证，具体流程如下： 云原生网关支持配置证书，用于实现请求后端服务时服务端对网关的证书认证，本文说明具体配置流程。 前提条件 1. 部署后端HTTPS服务，并配置要求请求客户端提供证书； 2. 已开通云原生网关实例； 部署后端服务 我们采用云容器引擎部署后端服务，镜像采用我们的demo应用（已配置证书，并要求客户端请求时提供证书），部署完成后在云容器引擎控制台可以看到容器启动： 还需要部署关联到工作负载的Service，用于暴露工作负载，如下：