共享前缀列表权限说明 共享前缀列表后， 使用者权限： 查看前缀列表及其条目，可以通过所有者列的标识判断来自共享的前缀列表。 不能操作前缀列表，包括不能修改前缀列表、增删改前缀列表条目、删除前缀列表。 在自身资源中可以引用该前缀列表，例如在自己账号下的安全组中引用共享前缀列表。 所有者权限： 查看引用了前缀列表的使用者的资源，但无法操作。 所有者不能删除已被使用者资源引用的前缀列表。 所有者更新了前缀列表后，引用该前缀列表的资源都会更新。 取消共享前缀列表后： 如果前缀列表已被使用者的资源引用：这些引用将继续正常运行，但取消引用关系后无法再次引用。 未被引用：使用者无法再查看原来共享给自己的前缀列表及前缀列表条目，也无法在其资源中引用。

本文主要介绍与其他服务的关系 容器镜像服务需要与其他云服务协同工作，容器镜像服务和其他云服务的关系如下图： 云容器引擎 云容器引擎（Cloud Container Engine，简称CCE）提供高可靠高性能的企业级容器应用管理服务，支持Kubernetes社区原生应用和工具，简化云上自动化容器运行环境搭建。 容器镜像服务能无缝对接CCE，您可以将容器镜像服务中的镜像部署到CCE中。 云审计服务 云审计服务（Cloud Trace Service，简称CTS）为您提供云服务资源的操作记录，记录内容包括您从公有云管理控制台或者开放API发起的的云服务资源操作请求以及每次请求的结果，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 通过CTS，您可以记录与容器镜像服务相关的操作事件，便于日后的查询、审计和回溯。

共享前缀列表权限说明 共享前缀列表后， 使用者权限： 查看前缀列表及其条目，可以通过所有者列的标识判断来自共享的前缀列表。 不能操作前缀列表，包括不能修改前缀列表、增删改前缀列表条目、删除前缀列表。 在自身资源中可以引用该前缀列表，例如在自己账号下的安全组中引用共享前缀列表。 所有者权限： 查看引用了前缀列表的使用者的资源，但无法操作。 所有者不能删除已被使用者资源引用的前缀列表。 所有者更新了前缀列表后，引用该前缀列表的资源都会更新。 取消共享前缀列表后： 如果前缀列表已被使用者的资源引用：这些引用将继续正常运行，但取消引用关系后无法再次引用。 未被引用：使用者无法再查看原来共享给自己的前缀列表及前缀列表条目，也无法在其资源中引用。

本小节介绍态势感知订购态势感知操作方法。 通过天翼云控制中心下的安全选项下的态势感知进入订购态势感知授权页面，订购页面如下，填写对应的信息。 串联部署网络配置的场景： 场景 A：态势网关作为网络出口，直挂业务主机（网关主备监控同公网IP下资产） 场景 B：态势网关下挂负载均衡（网关主备监控1资产） 场景 C：态势网关下挂云防火墙（网关主备监控1资产） 场景 D：态势网关上挂云防火墙（多资产监控） 旁路部署网络配置的场景： 使用天翼云平台的流量镜像功能引流，不涉及网络割接，只需开通态势感知控制端（多资产监控） 在订购完成后会有态势感知技术人员联系对接网络配置，请确保联系方式顺畅。

任务状态 用于展示数据导入任务的状态、执行时间和当前进度，状态包括已创建、执行成功、执行中、执行失败四种状态。当任务执行失败时，可在这里查看失败原因。 用户点击执行日志，可查看当前任务的日志输出。执行日志保存有效期为7天。 预检查 用于展示数据导入工单的预检查详情，包括连接检查、权限检查。如选择了“安全模式”，还可能有SQL风险检查、SQL规范检查（导入工单的SQL审核结果保留最多7天）。 审批流程 用于展示数据导入工单的审批流程详情。当组织处于基础版时，用户提交的数据导入工单会触发数据导入任务直接执行，不会经过审批流程，所以没有需要展示的审批流程信息；当组织处于企业版时，用户提交的数据导入工单在通过预定的审批流程之后，才会执行数据导入任务，所以会展示具体的审批流程信息。

本文介绍数据库管理服务为云数据库开启数据库审计功能，帮助您追溯历史所有数据库操作记录，满足您的安全审计需求。 前提条件 用户已录入MySQL、DDS、PostgreSQL与SQL Server类型的云数据库实例。 MySQL、PostgreSQL与SQL Server数据库资源池支持：西南1、华东1、上海36、华北2、长沙42、华南2、南昌5、青岛20、西安7、杭州7。 DDS数据库资源池支持：华东1、上海36、西南1、华北2、华南2。 注意事项 审计日志保留天数默认为1天，可设置范围为1~3天。 开启/关闭数据库审计 平台提供了多种开启/关闭数据库审计的途径： 在左侧导航栏中，单击 数据资产 > 实例管理 ，找到目标实例，在数据库审计列，单击开关按钮进行开启或关闭审计功能。 在左侧导航栏中，单击SQL治理 >SQL审计 ，点击页面的开启审计日志按钮选择目标实例开启审计日志功能。

本节为您介绍如何查看预定义服务组。 云防火墙为您提供预定义服务组，包括“常用Web服务”、“常用数据库”和“常用远程登录和ping”，适用于防护Web、数据库和服务器。 预定义服务组仅支持查看，不支持添加、修改、删除操作。 查看预定义服务组 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制> 对象组管理”，进入“对象组管理”界面。 5. 切换至“服务组”页签，选择“预定义服务组”页签，单击目标服务组的名称，进入详细信息页面，查看服务组信息。

本节介绍如何删除域名组。 约束条件 被防护规则引用的域名组不支持删除，需优先调整/删除对应规则。 删除域名组 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全 > 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 5. （可选）如删除网络域名组，则选择“网络域名组”页签。 6. 切换至“域名组”页签，单击待删除的“操作”列的“删除”，在弹出的确认框中，输入“DELETE”，单击“确定”，完成删除。 注意 删除域名组后无法恢复，请谨慎操作。

本文介绍使用专属云（计算独享型）过程中涉及相关产品的基本概念，方便您查询和了解相关概念。 云主机 专属云（计算独享型）产品提供物理隔离的公有云虚拟化环境，在已购买的专属云中可创建云主机来部署应用服务。 云硬盘 专属云（计算独享型）产品中，云主机使用的云硬盘为公有云中的云硬盘，类型包括普通IO、高IO、超高IO三种类型。这三种类型跟公有云云硬盘产品规格参数保持一致。若您同时购买了专属云（存储独享型）产品，创建的云硬盘为物理独享的云硬盘，具体云硬盘类型取决于购买类型。 虚拟私有云 虚拟私有云是通过逻辑方式为您提供一个完全隔离的网络环境。您可以在VPC中定义与传统网络无差别的子网，同时提供弹性IP、安全组、带宽、VPN等网络服务。

服务名称 交互功能 虚拟私有云（Virtual Private Cloud, VPC） 您可以将VPC接入企业路由器，快速打通云上网络，尤其对于多个VPC互通的组网，免去大量的对等连接配置。 统一身份认证服务（Identity and Access Management, IAM） 针对位于公有云上的企业路由器资源，您可以通过IAM进行精细的权限管理，即为不同的用户设置不同的使用权限，权限管理有助于实现资源的安全管控。 云监控（Cloud Eye） 使用云监控可以监控企业路由器实例以及企业路由器连接的网络情况，并对异常进行报警，保证业务的顺畅运行。 云审计服务（Cloud Trace Service, CTS） 使用云审计服务可以记录与企业路由器相关的操作事件，便于日后的查询、审计和回溯。 云防火墙（Cloud Firewall，CFW） 您可以通过企业路由器、虚拟私有云VPC和云防火墙构建组网，实现云上VPC间的流量防护。

本章介绍Windows内核特权提升漏洞。 Windows内核处理内存中对象的方式中存在特权提升漏洞，成功利用此漏洞的攻击者可能会利用提升的特权执行代码。 为了利用此漏洞，在本地经过身份验证的攻击者可能会运行经特殊设计应用程序。 漏洞编号 CVE20201027 漏洞名称 Windows内核特权提升漏洞 漏洞描述 Windows内核处理内存中对象的方式中存在特权提升漏洞，成功利用此漏洞的攻击者可能会利用提升的特权执行代码。 影响范围 所有Windows系统 官方解决方案 官方建议受影响的用户尽快安装最新的漏洞补丁。 详情请参见< 检测与修复建议 天翼云企业主机安全服务支持对该漏洞的便捷检测与修复。 1. 检测并查看漏洞详情，详细的操作步骤请参见漏洞管理。 手动检测漏洞 2. 漏洞修复与验证，详细的操作步骤请参见漏洞管理。

本章节会介绍如何通过公网连接数据库实例。 提供两种连接方式通过MySQL客户端连接实例：普通连接和SSL连接。其中，SSL连接实现了数据加密功能，具有更高的安全性。 前提条件 ①　对目标实例绑定弹性IP。 ②　获取本地设备的IP地址。 ③　设置安全组规则。 ④　使用ping命令连通绑定的弹性IP地址，确保本地设备可以访问该弹性IP地址。 ⑤　使用客户端连接实例。 使用MySQLFront连接实例 步骤 1. 启动MySQLFront客户端。 步骤 2. 在连接管理对话框中，单击“新建”。 图1 连接管理 步骤 3. 输入需要连接的关系型数据库实例信息，然后单击“确定”。 图2 添加信息 表1 参数说明 参数 说明 名称 连接数据库的任务名称。若不填写，系统默认与Host一致。 主机 目标实例的弹性IP。 端口 输入RDS实例的内网端口。 用户 需要访问RDS实例的账号名称。默认root。 密码 要访问关系型数据库实例的帐号所对应的密码。 步骤 4. 在打开登录信息窗口，选中创建的连接，单击“打开”，如下图所示。 若连接信息无误，即会成功连接实例。 图3 打开登录信息 说明 若连接失败，请确保各项前提条件正确配置后，重新尝试连接。

本文为您介绍网站防护配置最佳实践。 网站接入WAF实例后，您可以按照以下推荐防护模块对已接入的网站进行防护策略配置。 Web基础防护 一般情况下，建议选用“拦截”模式，并选用“正常规则组”防护策略。 防护规则组：可选择宽松规则组、正常规则组、严格规则组。 正常规则组：中等宽松规则组，该规则组综合考虑误报和漏报策略检测情况，选择均衡的规则策略进行匹配，一般情况下，该种策略为默认推荐规则，建议用户选择正常策略。 宽松规则组：该规则组更关注精准攻击拦截度，对于疑似攻击行为的访问请求将会认定为安全从而放行，如需减少误拦截，可选用该规则组。 严格规则组：该规则组关注攻击拦截的覆盖程度，会全面拦截攻击和疑似攻击行为，如需尽可能保证业务的安全性，可选用该规则组。 处置动作：可选择拦截、观察两种动作。 拦截：将会拦截掉所有攻击行为，并产生告警拦截日志。 观察：会放行所有攻击行为，但会产生告警日志。 说明 业务接入WAF防护一段时间后（一般为2~3天），如果出现网站业务的正常请求被WAF误拦截的情况，您可以通过设置自定义规则组的方式提升Web防护效果。相关操作，请参见自定义防护规则组，提升Web攻击防护效果。

本文介绍弹性容器实例ECI的产品定义。 弹性容器实例（简称ECI）是基于天翼云自研的、敏捷安全的Serverless容器运行服务，具备极速启动、安全可靠、成本低的特点，完全免运维，按使用量付费。 产品概述 天翼云弹性容器实例ECI提供了多种部署方式，包括通过OpenAPI和控制台部署容器应用。此外，您还可以通过天翼云云容器引擎和 Serverless容器引擎产品部署业务，并无缝使用天翼云网络、存储等其它资源服务。无论是哪种部署方式，弹性容器实例ECI都将为您提供快速响应的容器运行环境，实现极高的成本效益。 在使用弹性容器实例ECI时，所有容器都基于完全隔离的资源，您可以按照应用场景的实际需求进行定制和管理，从而更好地支持您的业务发展。同时，弹性容器实例ECI提供了丰富的应用实例化配套服务，包括数据存储、负载均衡、弹性伸缩、监控告警等，从而可以为您提供可靠、稳定、高效的容器运行环境。 产品架构 弹性容器实例 ECI 向下基于天翼云计算、网络及存储构建坚实底座，容器镜像服务CRS 提供了容器镜像全生命周期的托管服务。向上无缝集成天翼云Serverless容器引擎服务，方便用户管理其业务负载。在应用形态上，适用于大数据计算、事件驱动、DevOps、AI大模型等各类应用场景。

本节介绍了智能边缘云的主要应用场景。 AI模型推理 边缘云有丰富的GPU资源，可以支撑多种AI模型推理场景，可涵盖生活、工作、娱乐、公共服务等众多领域，例如 图像生成编辑：通过AI生成艺术作品、广告素材或修复旧照片。 城市交通管理：实时监控交通流量，通过AI技术进行交通流量监控，及时发现拥堵路段。 生产线视觉质检：通过AI进行质量检测，能够自动识别产品缺陷，提高生产效率和产品质量。 医疗影像诊断：利用深度学习技术辅助医生识别CT、MRI图像中的异常病变，提高诊断准确率和效率。 个性化内容推荐：如新闻、视频、音乐等内容的个性化推荐，提升用户体验。 互动直播 在互动直播场景中，客户可以将转码、连麦、弹幕、切片等业务部署在边缘计算节点，离终端用户更近，提升用户体验，降低中心成本。具备以下优点： 本地覆盖：节点分布广泛，保障用户就近接入。 多样算力：提供GPU服务器等多样化算力，提升特效渲染、高清转码、内容审核等场景处理的性价比。 降低中心带宽：将业务下沉至边缘，降低中心带宽成本压力。 本地园区 在靠近终端用户的边缘节点，提供低时延的计算服务；甚至可以在客户的园区提供计算能力，做到流量本地化，数据不出园区。具备以下优势： 企业数据安全：企业最重视的确保企业数据的传输及存储安全。 高速稳定的多种网络：接入对于固网、WLAN、移动等网络的兼容接入，调用能力访问业务。

操作步骤：为子账号授权或调整子账号权限。 注意 请提前创建好子用户，并需子用户登陆天翼云后才可以同步到云容器引擎控制台。 1、登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2、在集群列表中点击需要授权的集群，进入集群管理页面。 3、在集群管理页面导航栏中选择安全管理 > 授权，进入角色授权页面。 4、点击管理权限操作单个子账号权限，或选择多个子账号后点击添加权限为多个子账号批量授权，点击后进入集群RBAC配置页面。 5、在集群RBAC配置页面中，可以对子账号已有的用户权限进行调整或为子账号新增权限，权限可以限定单个命名空间或不限制命名空间（集群权限），子账号可设置的权限有内置权限（管理员、运维人员、开发人员、受限人员）和自定义权限，选择自定义权限可选择集群中创建的任意Cluster Role进行授权。 6、点击下⼀步完成授权。

参数 说明 处置粒度 支持根据设备，账号，公网IP三种类型作为处置粒度，会对所选粒度的访问行为进行统计和处置，其中设备是关联到账号的最小处置粒度 ，处置粒度选择为设备时只会对触发规则的账号当前登录设备进行处置，当处置粒度为账号时，在处置动作生效时期，该账号登录其他设备同样会被处置。 统计粒度 统计上方所选处置粒度在周期内对该统计粒度不同地址的请求次数，支持按照域名+端口或协议+IP+端口两种粒度。 统计周期 单位秒。 访问次数 单位次数。 处置时间 单位秒。 处置动作 监控：仅监控观察，不对网络连接、访问权限进行任何干预。 挑战认证：需通过配置的认证方式完成身份认证，才能继续访问内网。 禁止访问内网：关闭对内网环境资源的访问权限，即无法连接公司 / 单位内部系统、共享文件等内网资源。 注销登录：退出当前客户端登录状态，若账号不符合安全要求，将持续触发注销。 提示语 针对不同处置动作均默认设置有对应提示语，可进行自定义修改。

本文介绍如何查看连接器集群的带宽趋势。 功能介绍 连接器管理数据监控模块，提供可视化的集群粒度带宽趋势统计。方便用户查询不同集群的上行或下行带宽。 操作步骤 1. 登录边缘安全加速平台控制台，在首页产品能力选择零信任进入工作台。 2. 在左侧导航栏选择AOne零信任网络连接器管理。 3. 根据主导览进行切换管理“数据监控”。 4. 选择需要查看连接器集群名称。 数据监控 展示所选连接器集群的带宽趋势。 支持查询最近6个月的数据。 查询时间跨度最长为1个月。 支持查看上行、下行、上行+下行的带宽趋势。 针对包含多个使用场景的连接器集群，支持查看不同场景的带宽趋势。 场景名称 说明 办公组网（加速模式）&远程办公&全球加速 即连接器集群报文经过AOne加速网络的部分，包括办公组网（加速模式）、远程办公、全球加速三个场景的带宽之和。 办公组网（连接模式） 即连接器集群报文未经过AOne加速网络的部分，该场景仅包含办公组网（连接模式）。

本文简述回源HTTP请求头的用途和配置方法。 功能介绍 当边缘节点请求回源站拉取资源时，源站可获取到回源请求头中携带的信息。您可以通过该功能，改写用户回源请求中的HTTP Header信息，携带特定的参数信息给源站，实现特定业务需求。例如，通过XForwardFor头部携带真实客户端IP至源站。 配置说明 1.登录边缘安全加速控制台，选择【域名】【基础配置】，在域名列表中选中需要配置的域名。 2.进入域名配置详情页面后，选择【头部修改】，单击【编辑配置】按钮。 3.选择【回源HTTP请求头】后单击【增加规则】按钮。 4.添加HTTP请求头，填入参数和取值，详细规则请参考： 参数 说明 参数 请求头参数，仅支持大小写字母、数字、下划线、中划线。 取值 取值不支持空格及中文文字及字符。 若需要添加/修改对应请求头，请输入取值。 若需要删除对应请求头，取值不填，置为空。 配置界面

本章节介绍云原生网关的审计日志功能 概述 您可以在云原生网关控制台上查看审计日志。如果当前帐号为主帐号，则可以查询当前帐号及其所有子账号在控制台上的操作日志；如果当前帐号为某个主账号下的子账号，则可以查询该子账号在控制台的操作日志。审计日志用于收集云原生网关实例的相关操作日志，记录资源的变动情况。其中资源主要包括实例、安全认证、路由、服务、服务来源、插件、应用管理、域名、ELB和观测分析。变动情况包括增加、删除和修改。 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表。 3. 在左侧导航栏，选择审计日志。 4. 可选择开始结束时间，资源类型，操作类型，操作人，操作详情进行过滤。

本章节为您介绍如何升级云堡垒机的实例版本。 新版本的云堡垒机对系统进行了功能优化或添加了新功能，请及时升级版本。 注意 在堡垒机升级至1.3.0版本后，需要卸载旧的访问插件，在“运维设置 > 访问插件”中下载最新版本插件进行安装。 堡垒机在升级失败后会自动回退版本。 前提条件 已获取管理控制台的登录账号与密码。 已绑定EIP，且EIP可用。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 云堡垒机（原生版）”，进入云堡垒机实例管理页面。 3. 选择需变更升级的实例，单击实例名称旁的“升级”。 4. 在弹出的对话框中单击“确认”，堡垒机开始进行自动升级并且堡垒机的状态会变为“升级中”。 5. 待堡垒机状态变为“运行中”即表示升级已经结束，可正常使用堡垒机。

本节介绍威胁分析能力。 当告警列表中积累了较多威胁告警信息时，您可以使用“威胁分析”功能，从“攻击源”或“被攻击资产”的维度分析网络攻击情况。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版） ”，进入态势感知管理页面。 3. 在左侧导航栏选择“威胁告警”，进入威胁告警页面后，选择“威胁分析”页签，进入威胁分析管理页面。 4. 在下拉框中选择条件“攻击源”或“被攻击资产”、“发生时间”，并输入待查询的IP地址，单击“开始分析”。 说明 发生时间可选择“今天”、“昨天”、“近3天”、“近7天”、“近30天”、“近半年”。 5. 在列表栏查看符合过滤条件的威胁信息，可以直观看到该攻击源对哪些资产发起了何种类型的攻击，或被攻击资产遭到了哪些攻击。

Windows系统迁移完成，启动/登录系统后出现蓝屏并重启 问题描述 Windows系统迁移完成后，可以启动/登录系统，但是不一会就出现蓝屏，然后重启。 问题分析 可能是杀毒软件冲突。 解决方案 1. 通过安全模式进入系统，如果能够进入系统，则排除系统驱动问题，进行步骤2。 2. 排查是否安装了杀毒软件（如sophos、卡巴斯基等杀毒软件）。 如果安装了杀毒软件，可以按照以下任意一种方式解决。 方式一 下发一台同区域、同可用区的临时服务器，将目的端服务器系统盘挂载到临时服务器，搜索并删除所有杀毒软件相关的安装目录、注册表和启动项等。将目的端服务器系统盘挂载回目的端服务器，多次重启系统，确认系统不再出现蓝屏重启。 方式二 在源端卸载杀毒软件后进行同步操作。部分杀毒软件需要联系其供应商卸载。多次重启系统，确认系统不再出现蓝屏重启。

本节主要介绍如何进行托管授权。 操作场景 托管创建完成后，需要到目标工作空间所属账号中进行授权。授权后，被托管空间将挂载到托管账号下的空间中，进行统一管理。 前提条件 已创建托管，详细操作请参见创建托管。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间托管”，进入空间托管管理页面。 4. 在托管页面中，选择“我纳管的”页签，并在目标托管任务所在行“操作”列，单击“接收”。 5. 在弹出的确认框中，单击“确认”。 后续处理 授权后，可以在“工作空间 > 空间管理”页面中查看已创建的托管视图，单击视图名称，进入后，可以查看被托管空间的详细信息。

此小节介绍数据库审计的功能特性。 记录数据库活动 记录一切对数据库的访问行为，记录维度包括客户端信息、服务端信息、操作信息、操作状态、返回结果集、SQL模板等。 存储数据库行为记录 存储记录行为时产生的日志，包括审计日志、会话日志、告警日志，还包括系统的相关配置，如人员权限配置、系统引擎配置等。 查询数据库审计日志 在已有的日志中查询某些关键信息，完成事件溯源，一般支持时间、类型、数据库实例名、操作结果、客户端、服务端等查询维度。 风险和威胁告警 将数据库访问的行为与安全规则库进行匹配，根据匹配的结果进行告警，一般包含页面告警、外送告警（短信、邮件）。 数据库性能分析 通过SQL执行时间统计数据库性能情况，分析潜在性能问题的根因，定位关键资产，可作为用户数据库性能调优的决策辅助。

本章节主要介绍数据治理中心 DataArts Studio主要应用场景。 云上数据平台快速搭建 快速将线下数据迁移上云，将数据集成到云上大数据服务中，并在DataArts Studio的界面中就可以进行快速的数据开发工作，让企业数据体系的建设变得如此简单。 优势 数据集成一键式操作 通过在服务界面配置化操作，可实现线上线下数据快速集成到云数据仓库。 支持多种数仓服务类型 根据需求，可以灵活选择数据服务类型，可以选择DWS服务建数仓，也可以选择MRS服务等数据平台。 安全稳定、降低成本 一站式的服务能力和稳定的数仓服务，让云上数据万无一失；免自建大数据集群、免运维，极大降低企业建设数仓成本。 详见下图：云上数据平台

类别 默认用户 初始密码 描述 组件运行用户 hdfs Hdfs@123 HDFS系统管理员，用户权限： 1. 文件系统操作权限： 查看、修改、创建文件 查看、创建目录 查看、修改文件属组 查看、设置用户磁盘配额 2. HDFS管理操作权限： 查看webUI页面状态 查看、设置HDFS主备状态 进入、退出HDFS安全模式 检查HDFS文件系统。 hbase Hbase@123 HBase系统管理员，用户权限： 集群管理权限:表的Enable、Disable操作，触发MajorCompact，ACL操作 授权或回收权限，集群关闭等操作相关的权限 表管理权限:建表、修改表、删除表等操作权限 数据管理权限：表级别、列族级别以及列级别的数据读写权限 访问HBase WebUI的权限。 mapred Mapred@123 MapReduce系统管理员，用户权限： 提交、停止和查看MapReduce任务的权限 修改Yarn配置参数的权限 访问Yarn、MapReduce WebUI的权限。 spark Spark@123 Spark系统管理员，用户权限： 访问Spark WebUI的权限 提交Spark任务的权限。

本章节主要介绍使用客户端。 操作场景 客户端安装后，用户可以通过客户端在运维场景或业务场景中使用shell命令，也可以在应用程序开发场景中使用客户端中的样例工程。 该任务指导用户在运维场景或业务场景中使用客户端。 前提条件 已安装客户端。 例如安装目录为“/opt/Bigdata/client”。 各组件业务用户由系统管理员根据业务需要创建。 “机机”用户需要下载keytab文件，“人机”用户第一次登录时需修改密码。 操作步骤 1.以客户端安装用户登录安装客户端的节点。 2.执行以下命令，切换到客户端安装目录。 cd /opt/Bigdata/client 3.执行以下命令配置环境变量。 source bigdataenv 4.如果集群为安全模式，执行以下命令进行用户认证。普通模式集群无需执行用户认证。 kinit 组件业务用户 5.根据实际业务需要，执行shell命令。

本章节主要介绍翼MapReduce的锁定用户操作。 操作场景 由于业务变化，用户可能长期暂停使用，为了保证安全，管理员可以锁定用户。 锁定用户的方法包含以下两种方式： 自动锁定：通过设置密码策略中的“密码连续错误次数”，将超过登录失败次数的用户自动锁定。具体操作请参见配置密码策略。 手动锁定：由管理员通过手动的方式将用户锁定。 以下将具体介绍手动锁定。不支持锁定“机机”用户。 对系统的影响 用户被锁定后，不能在FusionInsight Manager重新登录或在集群中重新进行身份认证。锁定后的用户需要管理员手动解锁或者等待锁定时间结束才能恢复使用。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“系统 > 权限 > 用户”。 3. 在要锁定用户所在行，单击“锁定”。 4. 在弹出的窗口勾选“我已阅读此信息并了解其影响。”，单击“确定”完成锁定操作。

常见事件列表 常见事件列表 事件ID 事件名称 12019 停止服务 12020 删除服务 12021 停止实例 12022 删除实例 12023 删除节点 12024 重启服务 12025 重启实例 12026 Manager主备倒换 12065 进程重新启动 12070 作业执行成功 12071 作业执行失败 12072 作业被终止 12086 Agent进程重启 14005 NameNode主备倒换 14028 HDFS磁盘均衡任务 14029 主NameNode进入安全模式并生产新的Fsimage 17001 Oozie工作流执行失败 17002 Oozie定时任务执行失败 18001 ResourceManager主备倒换 18004 JobHistoryServer主备倒换 19001 HMaster主备倒换 20003 Hue发生主备切换 24002 Flume Channel溢出 25001 LdapServer主备倒换 27000 DBServer主备倒换 38003 Topic数据保存周期配置调整 43014 Spark2x数据倾斜 43015 Spark2x SQL超大查询结果 43016 Spark2x SQL执行超时 43024 启动JDBCServer 43025 停止JDBCServer 43026 ZooKeeper连接成功 43027 ZooKeeper连接异常

本小节介绍堡垒机收敛资产运维暴露面最佳实践。 背景 企业在经营过程中，随着业务的发展，资产规模也越来越大，各式各样的应用服务资源分布在不同的资产中，所有资源和应用都需要开放端口以提供不同的功能服务，随着时间的推移，资产的运维工作将变得越来越繁重，且难以梳理管控。近年来，网络攻击手段层出不穷，企业资产时刻面临各种网络攻击威胁，在这种安全形势下，收敛企业资产暴露面，从源头掐断各类探测连接的可能性，成为企业防护资产安全的有效手段之一。 天翼云支持纳管各种类型资产，如WindowsLinux等类型主机服务器、DB协议类型数据库、安全设备、网络设备以及WEB应用类等资产。企业将各服务类型资产纳管至堡垒机，仅提供堡垒机访问入口，资产本身暴露面可实现隐藏，各类资产访问统一通过堡垒机进行单点登录，既实现将受攻击的范围从面缩小到点，也可实现资产及资产账户的统一管控，降低企业在资产运维管理工作中所需支付的成本。 解决方案 为解决企业资产暴露面过多的问题，堡垒机提供全网资产纳管能力，用户入网统一通过堡垒机入口，经过严密的身份认证以及权限验证后才允许用户进一步访问资产。在此基础上，为了解决用户登录资产问题，堡垒机提供资产账户密码托管能力，可实现资源的快捷单点登录。 说明 企业将资产纳入堡垒机进行管理维护； 根据运维场景需求，企业可选择性的将资产账户托管至堡垒机，堡垒机提供定期修改资产账户密码功能，并在修改后发送相关消息告知管理员； 已纳入堡垒机的资产，企业陆续关闭其互联网访问入口，视情况关闭内网直连入口。

昵称审核 对于注册用户的昵称审核，通过智能审核技术，实现自动化过滤包含广告、反动、色情等内容的用户昵称。 场景优势如下： 响应速度快：配备高效的GPU和CPU等硬件，提升审核速度，实现快速响应。 准确率高：利用改进的深度学习算法，提升审核准确率，避免审核误判并且提高审核质量。 媒资审核 针对媒资内容审核，利用自动化审核技术，实现媒资中可能存在的违禁品等信息的自动识别，降低已发布的文章存在违规风险。 场景优势如下： 快速迭代：持续更新文本词库，及时识别新型的违规内容，提升审核准度。 处理速度快：配备高性能GPU和CPU等硬件设备，实现审核快速响应，降低审核成本，提高审核质量。 弹幕信息审核 针对弹幕审核，通过实时检测弹幕文本，保障网络直播间的内容安全，降低业务违规风险。 场景优势如下： 海量词库：内置了海量词库，能够支持各种匹配规则，提高审核的准确性。 响应速度快：配备高效的GPU和CPU等硬件，加速审核速度，实时审核，保障网络环境的安全性。 聊天记录实时审核 为实时净化网络环境，我们基于智能审核技术，实现了聊天内容实时审核场景，能够检测游戏等文本聊天内容中可能出现的辱骂、色情、反动等违规信息，确保网络环境的健康发展。 场景优势如下： 海量词库：内置了海量词库，能够支持各种匹配规则，提高审核的准确性。 响应速度快：配备高效的GPU和CPU等硬件，加速审核速度，实时审核，保障网络环境的安全性。 识别准确率高：结合深度学习与机器学习，基于大规模多主题数据的模型训练，具备高识别率和低误判率。 单次审核多个数据：支持同时审核多张图片或者多条文本，一次性返回所有数据的审核结果