步骤四：在Kafka控制台绑定弹性公网IP地址 步骤 1 在管理控制台左上角单击，选择“应用服务 > 分布式消息服务 Kafka”，进入分布式消息服务Kafka专享版页面。 步骤 2 单击Kafka实例名称，进入实例详情页面。 步骤 3 在“基本信息”页面的“高级配置”区域，单击“修改”。 步骤 4 将“advertised.listeners IP/域名”改为DNAT规则中的弹性公网IP，内网连接地址和弹性公网IP的对应关系与添加DNAT规则中记录的对应关系保持一致，单击“保存”。 图修改advertised.listeners IP（使用DNAT访问） 步骤五：验证接口连通性 参考连接未开启SASL的Kafka实例或者连接已开启SASL的Kafka实例，测试是否可以生产和消费消息。 测试接口连通性时，注意以下几点： 连接Kafka实例的地址为“advertised.listeners IP:9011”，以上图为例，连接Kafka实例的地址为“124.xxx.xxx.167:9011,124.xxx.xxx.174:9011,124.xxx.xxx.57:9011”。 在Kafka实例安全组的入方向规则中放通9011端口。 连接Kafka实例的客户端已开启公网访问功能。

本章节介绍微服务云应用平台权限体系 概述 如果您需要针对不同资源，对用户设置不同的访问权限，以达到用户之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云资源的访问。 通过IAM，您可以为其他账号创建IAM用户，并使用策略来控制他们对云资源的访问范围。IAM是云服务提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费，关于IAM的详细介绍，参见：统一身份认证 如果云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用微服务云应用平台的其他功能。 概念 1. 主账号 ：用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体为了确保账号安全，建议创建子用户来进行日常管理工作。 2. 子账号 ：主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 3. 企业项目： 将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 注意 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 4. 策略： 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。策略中可定义“允许”的操作和“拒绝”的操作，“拒绝”的优先级大于“允许”。 5. 系统策略： 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 6. 数据权限： 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 7. 功能权限： 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 8. 功能权限授权： 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得策略定义的权限，这一过程称为授权。具体授权请参考：用户组授权统一身份认证

统一身份认证(Identity and Access Management,简称IAM)服务,是提供用户进行权限管理的基础服务,帮助您安全的控制 HPFS 服务的访问及操作权限,实现对HPFS的访问控制。 基本概念 并行文件服务HPFS已对接云平台统一身份认证（IAM），支持通过IAM对HPFS的资源进行访问控制管理。 使用前您需了解常用的基本概念，包括：帐号、IAM用户、用户组、身份凭证、授权、权限、项目、委托、身份凭证。详细请查看：术语解释 IAM的相关文档请查看：统一身份认证（一类节点）。 IAM应用场景 IAM策略主要面向对同租户帐号下，对不同IAM用户授权的场景： 您可以为不同操作人员或应用程序创建不同IAM用户，并授予IAM用户刚好能完成工作所需的权限，比如HPFS的查看权限，进行最小粒度授权管理。 新创建的IAM用户可以使用自己的用户名和密码登录云服务平台，实现多用户协同操作时无需分享帐号的密码的安全要求。 操作步骤 创建IAM用户并授权使用HPFS，示例流程 1. 登录天翼云控制台，在右上角点击头像选择“账号中心”，在左侧导航中选择“统一身份认证”，或者直接点击IAM控制台。 2. 在IAM里，左侧导航中点击“用户组”，点击右上角的“创建用户组”。 3. 在“创建用户组”界面，输入用户组名称和描述，单击“确定”，完成用户组创建。用户组是用户的集合，IAM通过用户组功能实现用户的授权。 4. 您需要新建用户或将已创建的用户，加入刚建好的用户组里。在左侧导航窗格中，点击“用户”，点击右上角“创建用户”。 5. 在用户组列表中，单击新建的用户组右侧“查看”，可以检查是否已将用户添加到组中，确认符合预期后，点击“授权”。 6. 选择策略，在右上角“请输入策略名称进行搜索”框内输入“并行”进行搜索，勾选需要授予用户组的资源池级策略，单击“下一步”。并行文件的管理者可以对资源进行创建、扩容、删除等所有操作，并行文件查看者只支持查看资源列表、详情。如您需要更细粒度的权限设置，可通过创建自定义策略来进行授权管理。 7. 由于并行文件在创建资源的是否，需要选择企业项目，所以还需要将用户也添加到企业项目并授权对应权限。在左侧导航窗格中，点击“企业项目”，选择指定的企业项目一般为default，点击右侧“查看用户组”。 8. 在用户组tab页，点击“设置用户组”，然后选择刚创建的用户组。 9. 在加入的用户组右侧操作里，点击“设置策略”，并选择并行文件的对应策略。 10. 完成以上操作后，主账号需要将创建IAM用户时输入的邮箱及密码告知对应的员工，这些员工就可以使用邮箱和密码登录天翼云。如果登录失败，IAM用户可以联系管理员重置密码。对应员工使用IAM用户登录HPFS管理控制台，验证用户权限。

本节介绍IAM授权。 概述 如果您需要针对不同资源，对用户设置不同的访问权限，以达到用户之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云资源的访问。 通过IAM，您可以为其他账号创建IAM用户，并使用策略来控制他们对云资源的访问范围。IAM是云服务提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费，关于IAM的详细介绍，参见：统一身份认证。 如果云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用分布式容器云平台的其他功能。 注意 服务资源权限（IAM授权）仅针对注册集群、联邦、等系统资源有效，如果您需操作Kubernetes资源（如Deployment、Configmap和Service等），您还需配置Kubernetes集群内的RBAC权限，方可获得对应Kubernetes资源的操作能力。 概念 术语 说明 主账号 用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体，为了确保账号安全，建议创建子用户来进行日常管理工作。 子账号 主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 企业项目 将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 注意 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 策略 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。策略中可定义“允许”的操作和“拒绝”的操作，“拒绝”的优先级大于“允许”。 系统策略 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 数据权限 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 功能权限 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 功能权限授权 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得策略定义的权限，这一过程称为授权。具体授权请参考：用户组授权统一身份认证。

本章节为您介绍企业路由器的产品功能。 产品功能介绍 企业路由器提供丰富的功能供您灵活配置服务，具体说明如下表所示。 提供添加连接、创建自定义路由表、创建关联、创建传播、添加路由等丰富的网络构建和路由管理功能。 提供权限管控、标签管理、配额管理等提升服务使用安全和便捷的多种实用功能。 功能 功能描述 企业路由器 您可以将企业路由器看作一个支持路由学习的高性能集中路由器，创建企业路由器时，您可以设置部署区域、可用区、名称等参数。 企业路由器创建完成后，您可以根据业务使用情况灵活调整部分参数。 连接 为企业路由器添加网络实例对应的连接，即表示将网络实例接入企业路由器中。 路由表 路由表是企业路由器发送报文的依据，包含连接的关联关系、传播关系以及路由信息。 一个企业路由器可以拥有多个路由表，您可以将连接关联至不同的路由表，从而实现网络实例的灵活互通或者隔离。 关联 关联是将连接关联至ER路由表中，您可以通过以下方法创建关联： 手动创建：选择任意路由表，并在路由表中为连接创建关联。 自动创建：开启“默认路由表关联”功能，指定默认路由表，系统会自动为连接在默认路由表中创建关联。 传播 传播是企业路由器和连接的路由学习关系，您可以通过以下方法创建传播： 手动创建：选择任意路由表，并在路由表中为连接创建传播。 自动创建：开启“默认路由表传播”功能，指定默认路由表，系统会自动为连接在默认路由表中创建传播。 路由 路由是目的地址、下一跳以及路由类型等信息组成。路由分为两种： 自动学习的传播路由。 手动添加的静态路由。 企业路由器支持IPv4和IPv6路由。 共享 所有者可以将自己的企业路由器同时共享给多个其他帐号，称为接受者。 接受者可以在共享企业路由器中添加连接，将自己名下的网络实例加入该企业路由器中，实现多个帐号内的网络实例接入同一个企业路由器构建组网的需求。 对于“虚拟私有云（VPC）”连接，通过共享功能，可以在同一个企业路由器中接入不同帐号下的虚拟私有云，构建云上同区域组网。 流日志 通过流日志功能可以实时记录企业路由器中连接的流量日志信息。通过这些日志信息，您可以监控连接的网络流量、进行网络攻击分析等，帮助您实现高效的网络运维。 监控 通过云监控服务，您可以监控企业路由器实例以及企业路由器连接的网络情况。 审计 通过云审计服务，您可以记录与企业路由器相关的操作事件，便于日后的查询、审计和回溯。 权限 针对位于云上的企业路由器资源，您可以通过IAM进行精细的权限管理，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，从而实现资源的安全管控。 标签 标签用于标识云资源，可通过标签实现对云资源的分类和搜索。你可以为企业路由器和路由表添加标签。 配额 为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少个企业路由器、每个企业路由器添加多少个连接、每个路由表可以添加多少条路由等。

Logstash部署在弹性云主机上时导入数据 当Logstash部署在同一VPC的弹性云主机时，导入数据的流程说明如下图所示。 Logstash部署在弹性云主机上时导入数据示意图 1.确保已部署Logstash的弹性云主机与待导入数据的集群在同一虚拟私有云下，已开放安全组的9200端口的外网访问权限，且弹性云主机已绑定弹性IP。 说明 如果同一个VPC内有多台服务器，只要其中一台绑定了弹性IP，其他的服务器可以不需要绑定弹性IP。通过绑定弹性IP的节点跳转到部署Logstash的节点即可 。 如果有专线或者VPN，也不需要绑定弹性IP。 2.使用PuTTY登录弹性云主机。 例如此服务器中存储了需要导入的数据文件“access20181029log”，文件存储路径为“/tmp/accesslog/”，此数据文件中包含的数据如下所示： All Heap used for segments 18.6403 MB All Heap used for doc values 0.119289 MB All Heap used for terms 17.4095 MB All Heap used for norms 0.0767822 MB All Heap used for points 0.225246 MB All Heap used for stored fields 0.809448 MB All Segment count 101 All Min Throughput indexappend 66232.6 docs/s All Median Throughput indexappend 66735.3 docs/s All Max Throughput indexappend 67745.6 docs/s All 50th percentile latency indexappend 510.261 ms 3.执行如下命令在Logstash的安装目录下新建配置文件logstashsimple.conf。 cd / / vi logstashsimple.conf 在配置文件logstashsimple.conf中输入如下内容。 input { 数据所在的位置 } filter { 数据的相关处理 } output { elasticsearch{ hosts > " "} } input：指明了数据的来源。实际请根据用户的具体情况来设置。 filter：对日志进行了提取和处理，将非结构化信息转换为结构化信息。 output：指明了数据的目的地址。 为集群中节点的内网访问地址和端口号。 当集群包含多个节点时，为了避免节点故障，建议将上述命令中 替换为该集群中多个节点的内网访问地址和端口号，多个节点的内网访问地址和端口号之间用英文逗号隔开，填写格式请参见如下示例。 hosts > ["192.168.0.81:9200","192.168.0.24:9200"] 当集群只包含一个节点时，填写格式请参见如下示例。 hosts > "192.168.0.81:9200" 以步骤2中“/tmp/accesslog/”的数据文件为例，输入数据文件从首行开始，且过滤条件保持为空，即不做任何数据处理操作。需导入数据的集群，其节点内网访问地址和端口号为“192.168.0.81:9200”。导入数据的索引名称为“myindex”。配置文件的示例如下所示，配置文件按实际数据情况修改完成后，输入“:wq”保存。 input { file{ path > "/tmp/accesslog/" startposition > "beginning" } } filter { } output { elasticsearch { hosts > "192.168.0.81:9200" index > "myindex" documenttype > "mytype" } } 如果集群开启了安全模式，则需要先下载证书。 a. 在集群基本信息页面下载证书。 详见下图：下载证书 b. 将下载的证书存放到部署logstash服务器中。 c. 修改配置文件logstashsimple.conf。 以步骤2中“/tmp/accesslog/”的数据文件为例，输入数据文件从首行开始，且过滤条件保持为空，即不做任何数据处理操作。跳转主机的公网IP和端口号为“192.168.0.227:9200”。导入数据的索引名称为“myindex”，证书存放路径为“/logstash/logstash6.8/config/CloudSearchService.cer”。配置文件的示例如下所示，配置文件按实际数据情况修改完成后，输入“:wq”保存。 input{ file { path > "/tmp/accesslog/" startposition > "beginning" } } filter { } output{ elasticsearch{ hosts > [" index > "myindex" user > "admin" password > "" cacert > "/logstash/logstash6.8/config/CloudSearchService.cer" } } 说明 password：登录安全集群的密码 。 4.执行如下命令将Logstash收集的弹性云主机的数据导入到集群中。 ./bin/logstash f logstashsimple.conf 5.登录云搜索服务管理控制台。 6.在左侧导航栏中，选择“集群管理”，进入集群列表页面。 7.在集群列表页面中，单击待导入数据的集群“操作”列的“Kibana”。 8.在Kibana的左侧导航中选择“Dev Tools”，单击“Get to work”，进入Console界面。 9.在已打开的Kibana的Console界面，通过搜索获取已导入的数据。 在Kibana控制台，输入如下命令，搜索数据。查看搜索结果，如果数据与导入数据一致，表示数据文件的数据已导入成功。 GET myindex/search

本文主要简述如何通过控制台添加服务域名。 前提条件 已经订购WAF服务，并且套餐支持的域名数量未超过限制。 域名需要完成ICP备案，才可以接入WAF。 操作步骤说明 1、登录Web应用防火墙（边缘云版）控制台，选择【域名管理】【域名列表】，您可以在该页面查看已添加的域名信息，包括域名、CNAME、状态、创建时间、开启/关闭IPv6访问。单击左上角【新增域名】。 2、您需要填写网站信息、网站安全配置。 在网站信息页面，您需要完成基本信息、源站设置、Https配置及证书上传等，单击【下一步】。 配置项说明： 配置项 说明 域名 填写需要接入WAF的域名，包括精确域名（例如www.ctyun.cn）或者泛域名（例如.ctyun.cn1）。域名需要完成ICP备案并且域名需要进行域名归属权校验。 源站 支持IP或域名，支持配置多个源站地址。 IPv6开关 新增域名时，IPv6开关默认开启，如您不需要IPv6可选择关闭。开启IPv6后，当您的用户处于IPv6环境时，客户端可以通过IPv6协议访问天翼云边缘云节点，如果要解决IPv6天窗问题（提升二、三级链接IPv6支持度）需要订购基础版以上版本，通过提交工单，由天翼云客服人工配置。 请求协议 支持选择HTTP和HTTPS，如果是HTTPS协议，需要上传HTTPS证书。添加证书页面如下： 服务端口 http协议默认服务端口为80，https协议默认服务端口为443，专业版和旗舰版支持配置服务特殊端口。 回源协议 指边缘云节点回源站请求资源时使用的协议。配置该功能后，边缘云节点将根据指定的协议回源。 HTTP：边缘云节点以HTTP协议回源。 HTTPS：边缘云节点以HTTPS协议回源。 跟随协议：客户端以HTTP或HTTPS协议请求边缘云节点，边缘云节点跟随客户端的协议请求源站（源站需要同时支持HTTP协议和HTTPS协议，否则可能会造成回源失败）。 回源HOST 回源HOST决定了回源请求访问到源站的哪个站点，默认值为加速域名。自定义配置时，请确保您的源站有配置相应的HOST。 HTTP回源端口 当源站同时服务多个站点，且回源站点与服务域名不同时，您需要配置回源HOST，天翼云WAF产品在回源时会根据配置的回源HOST信息去访问对应站点。源站和回源HOST的区别： 源站：指您的业务所部署的服务器地址，回源时会访问该服务器地址获取资源。 回源HOST：指全站加速回源请求头携带的回源HOST信息，回源请求会访问回源HOST对应的具体站点。注意事项： 对于普通域名（精准域名），回源HOST默认为加速域名。 对于泛域名，回源HOST默认为实际访问的子域名。例如，泛域名是 .ctyunexample.com1，如果通过example.ctyunexample.com1访问时，回源HOST即为example.ctyunexample.com1。 跟随请求端口回源 如果跟随请求端口回源开关开启，则使用请求服务端口回源。 配置项 说明 3、填写完网站信息，您需要填写网站安全配置。 在网站安全配置页面，您可以根据您实际的业务情况选择问题答案，如果您不想选择，也可以选择单击【跳过】，系统将会默认为您域名开启监控模式。 配置项说明： 配置项 说明 网站防护模式 您可以设置域名全局防护模式。 拦截：仅当防护模式为拦截时，处理动作拦截才能生效。 告警：若防护模式为告警，处理动作拦截会采用告警处理。 漏洞防护配置 天翼云WAF内置多种规则引擎模板，您可以根据您业务情况选择合适的模板。 全量防护规则集：适用于重保等级高，且允许一定程度误报的业务场景。该漏洞规则集防护包含全量规则，绝大部分规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），容易出现误报，请谨慎选择；敏感防护规则集：适用于常规网站，且允许少量误报的业务场景。该漏洞规则集防护等级较为严格，容易误报的规则处理动作为告警，其他规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），存在一定误报可能性。 宽松防护规则集：适用于常规网站，允许存在一定漏报的业务场景。该漏洞规则集防护等级较为宽松，关闭容易产生误报的规则，则可能存在一定漏报，接入后请及时关注。 PHP防护规则集：适用于后台开发语言为PHP的网站业务。该漏洞规则集主要针对后台语言为PHP进行制定，关闭其他容易产生误报的规则，接入后请及时关注。 JAVA防护规则集：适用于后台开发语言为JAVA的网站业务。该漏洞规则集主要针对后台语言为JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注。 非PHP和JAVA防护集：适用于后台开发语言明确非PHP和JAVA网站业务。该漏洞规则集主要针对后台语言为非PHP和JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注。 下载类业务规则集：适用于下载类业务，即包含zip、rar、tar、gz等下载类后缀的业务网站。该漏洞规则集主要针对下载类业务进行设定规则，关闭其他容易产生误报的规则，接入后请及时关注。 填写完安全配置后，单击【提交】，出现添加完成页面。 4、完成新增域名操作后，可通过【域名列表】查看该域名配置是否完成，通过域名的状态字段判断： 当域名状态为“配置中”时，表示域名配置没有完成，正在配置流转中。 当域名状态为“已启用”时，表示域名配置已经完成，您可以通过域名列表获取CNAME，需要将指定域名的DNS解析指向我们提供的CNAME，以确保访问请求能够转发到边缘云节点上，操作步骤参考配置CNAME。 如果您需要需要设置回源白名单，请参考设置回源白名单

调用方式 在 Qoder 中可以直接用自然语言说明目标桌面和任务： plaintext 在 desktopCodexxx 桌面，创建一下 C:/aiusertest 文件夹。 如果 MCP Client 展示结构化工具参数，则需要填写： plaintext { "desktopCode": "xxx", "path": "C:/aiusertest" } 接入流程 1. 准备 AccessKey ID、AccessKey Secret 和目标云电脑 desktopCode。 2. 确认本地 Node.js 和 npx 可用。 3. 在 Qoder 或其他 MCP Client 中添加 MCP Server 配置。 4. 保存配置并刷新 MCP Client。 5. 确认工具列表加载成功。 6. 调用 Computer Use 或 FileSystem 工具，并在请求中指定 desktopCode。 验证建议 建议先执行低风险工具验证配置是否可用： plaintext 在 desktopCodexxx 桌面，获取当前鼠标位置。 然后再执行文件或鼠标键盘操作： plaintext 在 desktopCodexxx 桌面，创建一下 C:/aiusertest 文件夹。 安全建议 不要将包含 AccessKey Secret 的 MCP 配置提交到公开仓库。 多人共享开发环境时，应使用个人或项目级 AccessKey。 AccessKey 应只关联必要的云电脑资源。 AccessKey 泄露后应立即在控制台禁用。 文件系统工具具备读写目标云电脑文件的能力，建议只在可信任务和可信桌面中启用。

AI 网关支持为MCP服务配置消费者认证。通过API key的认证方式验证身份,精准控制 API 访问权限,实现租户隔离,有效防止未授权访问和资源滥用。本文为您介绍如何配置消费者认证。 配置MCP服务级别消费者认证 1. 登录云原生API网关控制台，在顶部菜单栏选择资源池。 2. 在左侧导航栏，选择 "AI网关实例" 菜单，进入实例列表页，选择目标实例进入详情页。 3. 在左侧导航栏，选择"MCP管理MCP服务"，进入MCP服务详情页，切换到"消费者认证"页签。 4. 单击配置信息右侧的"编辑"，进行如下参数配置： 注意 开启消费者认证后，若没有配置授权关系，将无法访问当前API。 启用状态：开启或关闭消费者授权开关，默认关闭。 认证方式：目前支持API Key和JWT两种方式。 API Key：客户端访问时，需将凭证以指定的方式添加至请求中，网关收到请求后会验证API Key的合法性及权限。 JSON Web Token (JWT)： 用于在客户端和服务端之间以JSON对象的形式安全地传输信息，该信息可以被验证和信任。 5. 在消费者区域单击授权，选择消费者，单击"添加"。

AI 网关支持为Model API配置消费者认证。通过API key的认证方式验证身份,精准控制 API 访问权限,实现租户隔离,有效防止未授权访问和资源滥用。本文为您介绍如何配置消费者认证。 配置Model API消费者认证 1. 登录 云原生API网关控制台，在顶部菜单栏选择资源池。 2. 在左侧导航栏，选择 "AI网关实例" 菜单，进入实例列表页，选择目标实例进入详情页。 3. 在左侧导航栏，选择"Model API"，单击Model API名称，进入Model API详情页，然后单击"消费者认证"页签。 4. 单击配置信息右侧的"编辑"，进行如下参数配置： 注意 开启消费者认证后，若没有配置授权关系，将无法访问当前API。 启用状态：开启或关闭消费者授权开关，默认关闭。 认证方式：目前支持API Key和JWT两种方式。 API Key：客户端访问时，需将凭证以指定的方式添加至请求中，网关收到请求后会验证API Key的合法性及权限。 JSON Web Token (JWT)： 用于在客户端和服务端之间以JSON对象的形式安全地传输信息，该信息可以被验证和信任。 5. 在消费者区域单击授权，选择消费者，单击"添加"。

本文带您了解NAT网关的功能特性。 使用SNAT主动访问Internet 使用NAT网关的SNAT功能，构建VPC主动访问公网出口，使VPC内没有弹性IP的资源可以直接访问公网，实现云内主机共享使用弹性IP访问Internet。 使用DNAT面向Internet提供服务 使用NAT网关的DNAT端口级转换功能，使云上资源可轻松面向Internet提供服务，同时节省大量弹性公网IP，保护云上私网网络结构。 可视化运维 结合弹性IP和NAT网关监控，可对出入网流量进行可视化主动运维。及时发现网络瓶颈，保障业务永续服务，让运维更简单。 使用私网NAT网关 SNAT实现指定地址访问IDC 使用私网NAT网关的SNAT功能，可实现云上VPC内计算实例使用统一私网中转IP地址与IDC互访，IDC网络仅需向中转IP地址开放访问权限，无需感知云上VPC内网络地址明细信息。 使用私网NAT网关 DNAT实现使用指定私网地址开放VPC私网服务 使用私网NAT网关的DNAT功能，可实现云上VPC内计算实例使用同一私网中转IP地址开放服务，避免暴露VPC真实地址，实现网络的安全隔离。

本节介绍iVPN app接入云电脑的操作说明。 1.进入“AI云电脑（政企版）”管理控制台； 2.点击“网络管理”，点击“企业云网”，选择“iVPN app”，进入iVPN app管理页面； 3.查看并复制对应实例的接入地址； 4.打开AI云电脑客户端，输入账号和密码，点击“企业专线”，进入企业专线页面； 5.在企业专线页面中输入iVPN app对应实例的接入地址，点击“专线/VPN登录”，若本机首次使用iVPN app，会触发自动下载组件，下载完成后会自动接入。若接 入成功，会提示“专线/VPN地址可用，已为您启用专线/VPN”,随后自动退出企业专线页面。正常接入后AI云电脑客户端会自动记住接入地址，下次登录只需下拉框选 择即可，无需再次输入； 6.iVPN app接入后，在AI云电脑客户端主页面点击“安全登录”或者使用app扫码登录即可通过iVPN app加密接入AI云电脑。

（可选）创建密钥对 云平台使用公共密钥密码术来保护您的物理机的登录信息。如果选择密钥对登录方式，您需要在创建物理机时指定密钥对的名称，然后在SSH登录时提供私钥。如果选择密码登录方式，可以跳过该任务。 如果您尚未创建密钥对，可以通过管理控制台自行创建。 说明 如果您计划在多个区域创建实例，则需要在每个区域中创建密钥对。有关区域的更多信息，请参见可用分区。 1. 登录管理控制台。 2. 选择“计算 > 物理机服务”。 3. 在左侧导航树中，选择“密钥对”。 4. 在“密钥对”页面，单击“创建密钥对”。 5. 输入密钥名称，单击“确定”。 6. 您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 注意 这是您保存私钥文件的唯一机会，请妥善保管。当您创建物理机时，您将需要提供密钥对的名称；每次SSH登录到物理机时，您将需要提供相应的私钥。

AOne会议的本地录制功能支持将会议内容(包括音视频、屏幕共享等内容)录制后存储至本地,方便会后回放与分享。 开启本地录制 1. 入会后，主持人或联席主持人在底部工具栏点击“录制”按钮。 2. 在弹出的菜单中选择“本地录制”。 3. 本地录制开启后，会弹窗通知所有参会者。同时所有参会者的人员列表中的录制人员一行会显示本地录制小图标。 结束本地录制 1. 录制开始后，底部工具栏的“录制”按钮会切换为“结束录制”。 2. 会议进行中，可通过底部工具栏点击“结束录制”按钮停止录制，或将鼠标悬浮在窗口左上角的本地录制小图标上，再点击下拉窗口的“结束录制”按钮停止录制。 本地录制文件查看和管理 1. 会议录制者可在会议客户端首页的“设置”>“录制”>“本地录制”找到本地录制存储路径，查看和管理本地录制视频。 注意事项 支持主持人/联席主持人停止某个用户的本地录制。 本地录制的权限由主持人（含联席主持人）通过"安全模块"进行控制。 同一个人，无法同时开启本地录制、云录制。

本节介绍了使用FTP上传文件时写入失败,文件传输失败怎么办的问题描述、约束与限制、可能原因、处理方法。 问题描述 使用FTP上传文件时，写入失败，文件传输失败。 约束与限制 该文档适用于Windows系统上的FTP服务。 可能原因 FTP服务端在NAT环境下，客户端需使用被动模式连接服务端。在这种情况下，服务端的IP地址无法从路由器外部访问，所以应该在服务端的对外IP中填写此服务器的公网IP（弹性公网IP），同时设置端口范围来限制需要通过路由器转发的端口数量。 处理方法 弹性公网IP与私有IP使用NAT方式绑定，所以需要在服务端做响应的配置。 1. 配置服务端对外的公网IP。 选择“Edit > Settings”。 图 配置服务端对外的公网IP 2. 选择“Passive mode settings”，设置数据传输端口范围（如5000050100），并填写弹性公网IP。 图 设置数据传输端口范围 3. 单击“OK”。 4. 安全组中开启入方向tcp协议的5000050100和21端口。 5. 在客户端连接测试。

新增单个用户 1. 使用“管理角色”账号登录云堡垒机。 2. 在左侧导航栏选择“用户管理 > 用户”，进入“用户”模块。 3. 单击“新增”，在弹出的“新增用户”对话框中，填写用户信息。 参数 参数说明 登录名 填写该账户的登录名称。 只能为数字、大小写字母、“.”、“”和“”组成，首位只能数字或者字母，且不超过25个字符。 姓名 （选填）填写该账户的使用者的姓名。 手机号 填写手机号，请确保手机号真实有效，否则会影响短信的接收。 邮箱 （选填）填写邮箱地址，请确保邮箱地址真实有效，否则会影响告警信息的接收。 用户密码 输入该账户的密码。密码请根据管理员设置的密码规则填写，具体可参见：安全设置章节。 确认密码 二次确认账户密码。 角色 选择该账户所属的角色，可选以下角色： 管理角色 审计角色 访问角色 工单管理角色（提供工单管理模块的权限） 说明 一个用户支持配置多个角色，但管理角色 和工单管理角色只支持二选一。 用户组 （选填）选择该账户所属的用户组，用户组操作请参见[新增用户组](

本节介绍iVPN app接入云电脑的操作说明。 1.进入“AI云电脑（政企版）”管理控制台； 2.点击“网络管理”，点击“企业云网”，选择“iVPN app”，进入iVPN app管理页面； 3.查看并复制对应实例的接入地址； 4.打开AI云电脑客户端，输入账号和密码，点击“企业专线”，进入企业专线页面； 5.在企业专线页面中输入iVPN app对应实例的接入地址，点击“专线/VPN登录”，若本机首次使用iVPN app，会触发自动下载组件，下载完成后会自动接入。若接 入成功，会提示“专线/VPN地址可用，已为您启用专线/VPN”,随后自动退出企业专线页面。正常接入后AI云电脑客户端会自动记住接入地址，下次登录只需下拉框选 择即可，无需再次输入； 6.iVPN app接入后，在AI云电脑客户端主页面点击“安全登录”或者使用app扫码登录即可通过iVPN app加密接入AI云电脑。

本文主要介绍SQL Server实例的功能概览。 SQL Server实例主要包括如下功能： 连接数据库 连接SQL Server实例 申请或释放外网地址 查看或修改内外网地址和端口 管理实例 创建 SQL Server实例 重启实例 续订 手动续费 自动续费 实例规格变更 磁盘扩容 备份空间扩容 实例类型升级 绑定/解绑弹性公网IP 修改数据库端口 修改安全组 主备切换 退订 账号与权限 创建账号 重置密码 修改权限 删除账号 系统账号说明 管理参数 使用控制台设置参数 使用SQL命令设置参数 查看参数修改历史记录 参数模板管理 创建参数模板 比较参数模板 复制参数模板 重置参数模板 应用参数模板 修改参数模板描述 删除参数模板 修改参数模板中的参数 备份与恢复 备份 设置自动备份策略(合并备份清理) 数据备份 创建手动备份 备份清理 删除手动备份 恢复 恢复SQL Server数据 按备份集恢复数据 将数据恢复至指定时间点 服务可用性 手动切换主备切换 查看主备切换日志 查看数据复制方式 监控告警 查看资源和引擎监控 管理报警 管理数据库 创建数据库 删除数据库 SQL命令管理数据库 日志管理 查看日志 任务列表 任务列表

查看及下载报表 报表保留周期如下表所示，建议您定期下载报表，以满足等保测评以及审计的需要。 报表类型 保留周期 日报 报表保存180天，约半年 周报 报表保存52周，约一年 月报 报表保存24个月，约两年 请参考如下步骤查看及下载报表： 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“报表管理”，进入报表管理页面。 5. 在目标报表所在行的“操作”列，单击“预览”即可查看报表内容，单击“下载”即可将报表下载到本地。 报表中主要包含如下信息： 防护基本信息：包括使用的WAF版本、配额信息、用户账号、报表生成时间、防护范围、报表统计范围等。 数据统计信息：包括防护域名、请求次数和已发现的攻击次数。 攻击防护统计：按防护类型统计各防护事件的次数以及防护事件的详细信息。 防护Top统计：包括攻击类型、受攻击域名TOP10、攻击源IP TOP10、受攻击URL TOP10、攻击来源区域 TOP10等。

本节介绍手动检查项目执行检查的操作。 操作场景 基线检查的一些检查项目为手动检查项，需要您在线下执行检查后，再在控制台上反馈检查结果，以便计算检查项合格率。 约束与限制 “操作系统配置基线”、“经典弱口令检测”、“口令复杂度策略检测”遵从包不支持在态势感知（专业版）侧执行基线检查，态势感知（专业版）仅支持查看HSS的基线检查结果。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防 > 基线检查”，，默认进入检查结果页面。 5. 单击待反馈结果检查项目所在行“操作”列的“反馈结果”。 6. 在弹出提示框中，选择反馈结果，并单击“确定”。反馈结果完成后，在“风险预防 > 基线检查”检查结果页面，查看检查项列表各个检查项的检查状态等信息。 说明 反馈结果有效期为7天，7天后请重新手动检查。

本文通过图文说明新增证书的操作步骤。 功能介绍 DDoS高防（边缘云版）基于边缘云底座，HTTPS为边缘云网络内容传输提供了更好的保障，客户端在极速访问内容的同时，可以更安全有效地浏览网站内容。本文主要指导客户如何新增证书。 配置说明 新增证书时，客户需要填写证书备注名、证书公钥以及证书私钥。其中公钥和私钥支持PEM格式。具体操作步骤如下： 1、登录DDoS高防（边缘云版）控制台。 2、在【证书管理】页面，找到右上角的添加证书按键。 3、单击【添加证书】。 4、输入证书备注名、证书公钥和证书私钥。 说明 证书备注名，是指在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便在域名配置关联证书选择时，选定正确的证书与域名进行关联。 5、填写完成后，单击【确定】。 注意事项 1、请确保上传的证书还在有效期范围内。 2、目前只支持PEM格式，如果是其他格式，请进行证书格式转换。

本小节介绍Web应用防火墙实例管理。 查看当前资源信息 Web应用防火墙不涉及单独的登录方式，进入控制台需要登录天翼云官网后选择“控制中心”，进入控制中心后选择“安全 > Web 应用防火墙[企业版]”。 购买成功的客户请重新打开控制中心，选择“Web 应用防火墙[企业版]”。 防护实例展示了实例 ID、防护域名包数量、防护带宽、购买时间、到期时间以及操作。 实例 ID ：购买成功后系统自动分配实例 ID。 防护域名包数 ：每个防护域名包支持1个一级域名下包含二级域名在内10个防护配置。 防护带宽 ：防护的带宽。 购买时间 ：显示生成购买实例时间。 到期时间 ：显示实例到期时间。 相关操作 续订：点击“续订”转跳至续订页面，选择续订时间，生成订单续订成功后，到期时间延长。 退订：点击“退订”转跳至退订页面，点击确认退订。退订时请确认：务必将DNS指回服务器源站IP，否则该域名的流量将无法正常转发。 升级：点击“升级”跳转至升级页面，选择要升级的域名包或带宽。

本章节为您介绍非结构化数据的分类分级任务。 针对非结构化数据，分类分级任务列表的展示字段包括：数据源名称、数据源类型、主机窗口、业务系统、部门、责任人、创建用户、创建时间、最近更新时间、分类分级状态。 您可以通过输入数据源名称、主机、分类分级状态来查询现有任务，并且可以对任务进行（批量）删除、（批量）执行、编辑、查看结果等操作。 新增分类分级任务 1.使用安全管理员账号登录数据分类分级实例。 2.在左侧导航栏选择“分类分级任务 > 非结构化数据”即可进入“非结构化数据”页面。 3.单击页面左上角的“新增”按钮，开始新增分类分级任务。 4.填写数据源相关参数。 参数 参数说明 填写样例 数据源名称 自定义数据源名称 Test 数据源类型 选择连接数据源的类型： FTP SFTP LOCAL LOCAL 主机 填写连接数据源的主机IP地址 192.168.0.1 端口 填写连接数据源的主机端口 8080 账号 填写连接主机的账号 admin 密码 填写连接主机的账号密码 5.填写完成后，单击“保存”即可完成数据源新增。 后续操作 编辑分类分级任务：选择需要编辑的分类分级任务，选择“操作”列的“编辑”按钮即可编辑分类分级任务。 删除分类分级任务：选择需要删除的分类分级任务，选择“操作”列的“更多 > 删除”按钮即可删除分类分级任务。 执行分类分级任务：选择需要执行的分类分级任务，选择“操作”列的“执行”按钮即可执行分类分级任务。 说明 除分类分级结果外，扫描过程中，系统在扫描过程中还会检测文件是否包含敏感字段信息，结果记录为“敏感字段匹配次数”。 查看分类分级任务结果：选择需要查看结果的分类分级任务，选择“操作”列的“查看”按钮即可查看结果。

本文主要介绍权限管理 如果您需要对性能测试的资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制云资源的访问。 通过IAM，您可以在云帐号中给员工创建IAM用户，并使用策略来控制他们对云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有CPTS的使用权限，但是不希望他们拥有删除性能测试等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用性能测试，但是不允许删除性能测试的权限策略，控制他们对CPTS资源的使用范围。 如果云帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用性能测试服务的其它功能。 IAM是云服务提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。 性能测试权限 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 性能测试部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问性能测试时，需要先切换至授权区域。 权限根据授权精细程度分为角色和策略，策略是角色的升级版。当前性能测试仅支持通过系统角色授权。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各云服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。 如下表所示，包括了性能测试的所有系统权限。 性能测试系统权限 系统角色/策略名称 描述 类别 依赖关系 ServiceStage Administrator 拥有该权限的用户对当前租户的所有子用户下性能测试的测试工程和测试资源具有完全的操作权限（如增删改查），能够操作所有子用户的性能测试资源。 系统角色 如果是需要创建、修改或删除私有资源组的用户，还依赖CCE Administrator和VPCEndpoint Administrator权限。如果是仅使用共享资源组执行的用户，则不依赖其他权限。 ServiceStage Developer 拥有该权限的用户只对本用户测试工程和测试资源具有完全的操作权限（如增删改查）。 系统角色 如果是需要创建、修改或删除私有资源组的用户，还依赖CCE Administrator和VPCEndpoint Administrator权限。如果是仅使用共享资源组执行的用户，则不依赖其他权限。 ServiceStage Operator 拥有该权限的用户只对本用户测试工程和测试资源具有可读权限。 系统角色 CPTS Resource Administrator 性能测试测试资源管理员，拥有该服务下测试资源相关的所有权限。 系统角色 需要搭配ServiceStage Developer使用，可以使ServiceStage Developer角色拥有私有资源组的管理员权限，可以增删改查该帐号下所有的私有资源组。 CPTS Resource Developer 性能测试测试资源开发者，拥有该服务下测试资源查看和使用权限，但无基础设施创建、更新、删除权限。 系统角色 需要搭配ServiceStage Developer使用，可以使ServiceStage Developer角色拥有私有资源组的管理员权限，可以查看并使用该帐号下所有的私有资源组。 说明 对于父帐号，默认具有Administrator权限，不需要额外配置，该权限配置仅针对父帐号下面的子用户。 首次创建测试资源，需父帐号授权，自动创建委托使性能测试服务可以操作用户CCE。 需要管理私有资源组的用户，需要ServiceStage Administrator、 CCE Administrator和VPCEndpoint Administrator权限。 仅使用私有资源组执行任务的用户，需要ServiceStage Administrator和VPCEndpoint Administrator权限。 仅使用共享资源组执行的用户，需要ServiceStage Administrator权限。

本页介绍如何启用Ranger权限管控能力。 操作场景 为构建统一、安全的数据治理体系，企业可使用Apache Ranger对大数据平台进行集中化的细粒度权限管控。通过Ranger，管理员可以统一配置并管理用户对Hive、Spark、HDFS及Doris等核心组件的访问策略，实现从库、表、列到文件、目录级别的安全控制。 在部署Ranger组件后，需为上述服务逐一启用对应的Ranger权限插件，并完成相关服务的配置与重启操作，以使权限策略生效，从而确保数据访问的安全性与合规性。 操作步骤 1. 登录翼MR管理控制台。 2. 单击“我的集群”，单击指定的集群名称，进入集群信息页面。 3. 单击“翼MR Manager”tab，单击“前往翼MR Manager”。 4. 进入到翼MR Manager操作界面，单击“集群服务”菜单。 5. 选择Ranger服务，单击“插件启用”tab。 6. 单击要启用的插件，启用后请参考说明进行配置修改或重启相关服务。 注意 重启服务时请选择合适的业务时间，避免影响存量作业运行，可考虑使用滚动重启或逐节点重启的方式，降低业务影响。 说明 1. Hive：插件启用成功后，请重启HiverServer2角色实例。 2. HDFS：插件启用成功后，请重启NameNode角色实例。 3. Spark：插件启用成功后，请重启Kyuubi服务。 4. Doris：插件启用成功后，请参考下述信息修改配置并进行同步，重启FE角色实例后，功能生效。 步骤1：上Ranger的keytab文件到所FE节点上（ansible/scp等方式），上传路径：/etc/security/keytabs/ranger.keytab，然后改成其他用户可读 步骤2：修改/usr/local/dorisfe/conf/rangerdorissecurity.xml文件中的配置，并确认配置项替换成功 plaintext RANGERADMINRESTADDRESSRanger Admin所在的IP与端口 RANGERADMINKEYTABPATH/etc/security/keytabs/ranger.keytab RANGERADMINPRINCIPAL$(klist kt /etc/security/keytabs/ranger.keytab grep m1 ranger/ sed E "s/. (ranger/[^[:space:]]+)./1/" tr d "n" xargs) sed i "sRANGERADMINRESTADDRESS$RANGERADMINRESTADDRESS" /usr/local/dorisfe/conf/rangerdorissecurity.xml sed i "sRANGERADMINKEYTABPATH$RANGERADMINKEYTABPATH" /usr/local/dorisfe/conf/rangerdorissecurity.xml sed i "sRANGERADMINPRINCIPAL$RANGERADMINPRINCIPAL" /usr/local/dorisfe/conf/rangerdorissecurity.xml 步骤3：在manager启用Ranger集群服务页面，启Doris插件，并重启FE节点。

本章介绍如何创建元数据采集任务。此功能处于公测阶段，公测阶段可免费使用 前提要求 已完成数据库资产委托授权，参考云资产委托授权/停止授权进行操作。 操作步骤 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中选择“资产管理 > 元数据任务”，进入“元数据采集任务”页面。 5. 在“元数据采集任务”页面，单击“新建”，进入“新建采集任务 > 数据源配置”页面，具体参数说明如下表所示。 参数名 参数说明 选择数据源 选择数据来源。可选择“MySQL”、“PostgreSQL”、“DMDBMS”、“KingBase”、“OpenGuass”、“DWS”、“Hive”、“MRSHIVE”、“TDSQL”。 数据库实例 选择支持的数据库实例。 6. 单击“下一步”，进入“子任务配置”页面： 选择开启或关闭“扫描用户表”。 选择开启或关闭“扫描系统表”。 选择开启或关闭“扫描列约束”。 选择开启或关闭“扫描视图”。 选择开启或关闭“扫描列注释”。 选择开启或关闭“扫描权限”。 7. 单击“下一步”，进入“任务信息配置”页面，配置任务信息，参数说明请参见下表。 参数名称 参数说明 任务信息 任务名称：必填项， 您可以自定义采集任务的名称。 任务描述：非必填项，对您的采集任务进行描述。 任务配置 选择开启或关闭“删除联通性失败的元数据”。 执行计划 识别周期：您可以选择“单次”、“每日”、“每周”或“每月”。 执行计划：您可以选择“立即执行”或“定时启动”。 8. 单击“下一步”，进入“配置确认”页面，确认您已经配置好的参数。 9. 确认无误后单击“完成”，即可成功创建一个新的元数据采集任务。

本章节介绍如何启用Ranger权限。 操作场景 为构建统一、安全的数据治理体系，企业可使用Ranger对大数据平台进行集中化的细粒度权限管控。通过Ranger，管理员可以统一配置并管理用户对Hive、Spark、HDFS及Doris等核心组件的访问策略，实现从库、表、列到文件、目录级别的安全控制。 在部署Ranger组件后，需为上述服务逐一启用对应的Ranger权限插件，并完成相关服务的配置与重启操作，以使权限策略生效，从而确保数据访问的安全性与合规性。 操作步骤 1、登录翼MR管理控制台。 2、单击“我的集群”，单击指定的集群名称，进入集群信息页面。 3、单击“翼MR Manager”tab，单击“前往翼MR Manager”。 4、进入到翼MR Manager操作界面，单击“集群服务”菜单。 5、选择Ranger服务，单击“插件启用”tab。 6、单击要启用的插件，启用后请参考说明进行配置修改或重启相关服务。 注意 重启服务时请选择合适的业务时间，避免影响存量作业运行，可考虑使用滚动重启或逐节点重启的方式，降低业务影响。 说明 1、Hive：插件启用成功后，请重启HiverServer2角色实例。 2、HDFS：插件启用成功后，请先前往配置管理页面同步hdfssite.xml最新配置，再重启NameNode角色实例。 3、Spark：插件启用成功后，请前往配置管理页面同步sparkdefaults.conf最新配置，同步后功能生效。若部署了Kyuubi服务，请重启Kyuubi。 4、Doris：插件启用成功后，请参考下述信息修改配置并进行同步，重启FE角色实例后，功能生效。 步骤1：上传Ranger的keytab文件到所有FE节点上（ansible/scp等方式），上传路径：/etc/security/keytabs/ranger.keytab，然后改成其他用户可读 步骤2：修改/usr/local/dorisfe/conf/rangerdorissecurity.xml文件中的配置，并确认配置项替换成功 shell RANGERADMINRESTADDRESSRanger Admin所在的IP与端口 RANGERADMINKEYTABPATH/etc/security/keytabs/ranger.keytab RANGERADMINPRINCIPAL$(klist kt /etc/security/keytabs/ranger.keytab grep m1 ranger/ sed E "s/. (ranger/[^[:space:]]+)./1/" tr d "n" xargs) sed i "sRANGERADMINRESTADDRESS$RANGERADMINRESTADDRESS" /usr/local/dorisfe/conf/rangerdorissecurity.xml sed i "sRANGERADMINKEYTABPATH$RANGERADMINKEYTABPATH" /usr/local/dorisfe/conf/rangerdorissecurity.xml sed i "sRANGERADMINPRINCIPAL$RANGERADMINPRINCIPAL" /usr/local/dorisfe/conf/rangerdorissecurity.xml 步骤3：在manager启用Ranger集群服务页面，启用Doris插件，并重启FE节点。

本章节介绍如何启用Ranger权限。 操作场景 为构建统一、安全的数据治理体系，企业可使用Ranger对大数据平台进行集中化的细粒度权限管控。通过Ranger，管理员可以统一配置并管理用户对Hive、Spark、HDFS及Doris等核心组件的访问策略，实现从库、表、列到文件、目录级别的安全控制。 在部署Ranger组件后，需为上述服务逐一启用对应的Ranger权限插件，并完成相关服务的配置与重启操作，以使权限策略生效，从而确保数据访问的安全性与合规性。 操作步骤 1、登录翼MR管理控制台。 2、单击“我的集群”，单击指定的集群名称，进入集群信息页面。 3、单击“翼MR Manager”tab，单击“前往翼MR Manager”。 4、进入到翼MR Manager操作界面，单击“集群服务”菜单。 5、选择 anger服务，单击“插件启用”tab。 7、单击要启用的插件，启用后请参考说明进行配置修改或重启相关服务。 注意 重启服务时请选择合适的业务时间，避免影响存量作业运行，可考虑使用滚动重启或逐节点重启的方式，降低业务影响。 说明 1、Hive：插件启用成功后，请重启HiverServer2角色实例。 2、HDFS：插件启用成功后，请先前往配置管理页面同步hdfssite.xml最新配置，再重启NameNode角色实例。 3、Spark：插件启用成功后，请前往配置管理页面同步sparkdefaults.conf最新配置，同步后功能生效。若部署了Kyuubi服务，请重启Kyuubi。 4、Doris：插件启用成功后，请参考下述信息修改配置并进行同步，重启FE角色实例后，功能生效。 步骤1：上传 anger的keytab文件到所有 节点上（ansible/scp等方式），上传路径：/etc/security/keytabs/ranger.keytab，然后改成其他用户可读 步骤2：修改/usr/local/dorisfe/conf/rangerdorissecurity.xml文件中的配置，并确认配置项替换成功 shell RANGERADMINRESTADDRESS anger dmin所在的 与端口 RANGERADMINKEYTABPATH/etc/security/keytabs/ranger.keytab RANGERADMINPRINCIPAL$(klist kt /etc/security/keytabs/ranger.keytab grep m1 ranger/ sed E "s/. (ranger/[^[:space:]]+)./1/" tr d "n" xargs) sed i "sRANGERADMINRESTADDRESS$RANGERADMINRESTADDRESS" /usr/local/dorisfe/conf/rangerdorissecurity.xml sed i "sRANGERADMINKEYTABPATH$RANGERADMINKEYTABPATH" /usr/local/dorisfe/conf/rangerdorissecurity.xml sed i "sRANGERADMINPRINCIPAL$RANGERADMINPRINCIPAL" /usr/local/dorisfe/conf/rangerdorissecurity.xml 步骤3：在manager启用 anger集群服务页面，启用 oris插件，并重启 节点。

VPN支持将两个VPC互连吗？ 如果两个VPC位于同一节点内，不支持VPN互连，推荐使用VPC对等连接互连。 如果两个VPC位于不同节点，支持VPN互连。 在多出口的网络中，能否使用两个出口分别与同一VPC建立VPN连接做冗余配置？ 不可以。 云端创建VPN时，本端子网为VPC内部子网，远端子网为客户用户侧数据中心子网，两条连接使用相同的本端子网和远端子网是无法进行创建的。 为什么VPN创建成功后状态显示未连接？ VPN对接成功后两端的服务器或者云主机之间需要进行通信，VPN的状态才会刷新为正常。 IKE v1版本：如果VPN连接经历了一段无流量的空闲时间，则需要重新协商。协商时间取决于IPsec Policy策略中的“生命周期（秒）”取值。“生命周期（秒）”取值一般为3600（1小时），会在第54分钟时重新发起协商。如果协商成功，则保持连接状态至下一轮协商。如果协商失败，则在1小时内将状态设置为未连接，需要VPN两端重新进行通信才能恢复为连接状态。可以使用网络监控工具（例如：IP SLA）生成保持连接的Ping信号来避免这种情况发生。 IKE v2版本：如果VPN连接经历了一段无流量的空闲时间，VPN保持连接状态。 EIP能作为VPN连接服务的VPN网关IP吗？ 不可以。 VPN配置完成了，为什么连接一直处于未连接状态？ 首先需要确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/远端子网、本端网关/远端网关互为镜像。 其次确认用户侧数据中心设备的路由、NAT和安全策略配置无误，最后通过两端的子网互PING对端子网主机。 说明 因为VPN是基于数据流触发的，在配置完成后需要从任一端子网主机ping对端子网主机，ping之前请关闭主机防火墙，云上安全组开启入方向ICMP。 ping网关IP无法触发VPN协商，需要ping网关保护的子网中的主机。

本章节介绍了云主机备份产品的相关计费说明,包含产品规格和价格,以及对应的使用说明。 说明 该服务目前仅提供给部分存量用户使用，云服务备份（CBR）服务融合了云主机备份（CSBS），新用户请前往 资源节点 当前已在如下资源池节点支持，具体包括： 贵州、福州、杭州、深圳、广州4、苏州、郑州、青岛、西安2、上海4、芜湖、南宁、长沙2、南昌、成都3、乌鲁木齐、昆明、海口、重庆、武汉2、兰州、西宁、石家庄、中卫、长春、天津、北京2、哈尔滨、内蒙3，沈阳3节点 详情参考：天翼云产品服务资源看板 产品价格 适用于贵州、福州、杭州、深圳、广州4、苏州、郑州、青岛、西安2、上海4、芜湖、南宁、长沙2、南昌、成都3、乌鲁木齐、昆明、海口、重庆、武汉2、兰州、西宁、石家庄、中卫、长春、天津、北京2、哈尔滨、内蒙3，沈阳3节点 订购须知： 只有开通了云主机备份服务后，才能使用资源包；开通云主机备份服务需满足账号余额大于100; 购买的资源包在生效期内，扣费方式是先扣除已购买的资源包内的额度后，超出部分以按量付费方式进行结算。 资源包请按节点购买，同一节点下同一类型的多个资源包可以累加后进行费用抵扣； 备份功能费按照备份云主机的系统盘、数据盘空间总和进行收取，可根据本节点下所有待备份云主机的磁盘空间进行资源包大小评估；存储资源费用根据备份数据实际占用的存储空间收费。 说明 上海 4/ 苏州（ AZ1 ） / 苏州（ AZ2 ） / 苏州（ AZ3 ） / 杭州（ AZ1 ） / 杭州（ AZ2 ） / 芜湖 / 福州（ AZ1 ） / 福州（ AZ2 ） / 深圳 / 广州 4/ 长沙 2 （ AZ1 ） / 长沙 2 （ AZ2 ） / 武汉 2 （ AZ1 ） / 武汉 2 （ AZ2 ） / 西安 2 （ AZ1 ） / 西安 2 （ AZ2 ） / 西安 2 （ AZ3 ） / 贵州 / 成都 3/ 北京 2/华北， 功能升级完成。备份策略的执行不再校验账号的按需权限（账户余额大于100元），备份策略会正常执行，以最大限度保障您的数据安全性，确保业务安全。

无证书连接 说明 该方式不对服务端进行证书校验，用户无需下载SSL证书。 步骤 1 通过JDBC连接RDS for MySQL数据库实例，代码中的JDBC连接格式如下： plaintext jdbc:mysql:// : / ?useSSLfalse 表 变量说明 变量 说明 请替换为实例的IP地址。 说明 如果通过弹性云主机连接，“instanceip”是实例的“内网地址”。您可以在该实例的“连接管理”页面查看。 如果通过公网连接，“instanceip”为该实例已绑定的“弹性公网IP”。您可以在该实例的“连接管理”页面查看。 请替换为实例的数据库端口，默认为3306。 说明 您可以在该实例的“连接管理”页面查看。 请替换为连接实例使用的数据库名，默认为mysql。 代码示例（连接MySQL数据库的java代码）： plaintext import java.sql.Connection; import java.sql.DriverManager; import java.sql.ResultSet; import java.sql.Statement; // 认证用的用户名和密码直接写到代码中有很大的安全风险，建议在配置文件或者环境变量中存放(密码应密文存放，使用时解密)，确保安全。 // 本示例以用户名和密码保存在环境变量中为例，运行本示例前请先在本地环境中设置环境变量(环境变量名称请根据自身情况进行设置)EXAMPLEUSERNAMEENV和EXAMPLEPASSWORDENV。 public class MyConnTest { final public static void main(String[] args) { Connection conn null; // url中所需的连接参数根据实际情况配置 String url "jdbc:mysql:// : / ?param1value1¶m2value2"; String USER System.getenv("EXAMPLEUSERNAMEENV"); String PASS System.getenv("EXAMPLEPASSWORDENV"); try { Class.forName("com.mysql.jdbc.Driver"); conn DriverManager.getConnection(url,USER,PASS); System.out.println("Database connected"); Statement stmt conn.createStatement(); ResultSet rs stmt.executeQuery("SELECT FROM mytable WHERE columnfoo 500"); while (rs.next()) { System.out.println(rs.getString(1)); } rs.close(); stmt.close(); conn.close(); } catch (Exception e) { e.printStackTrace(); System.out.println("Test failed"); } finally { // release resource .... } } } 结束

第3章 服务优势 业务连续性：高可用架构确保系统在故障发生时保持业务可用性，避免业务中断。 故障恢复与容灾能力：高可用架构具备快速故障恢复和容灾能力，避免故障对业务的影响。 发现潜在问题：故障演练模拟真实故障场景，发现系统中的潜在问题和薄弱环节，提前解决问题，提高系统的可靠性和稳定性。 提高团队故障处理能力：故障演练让团队成员熟悉应急流程和操作，提高团队的故障应对能力和反应速度。 第4章 服务范围 高可用与故障演练服务产品范围：天翼专有云、天翼公有云、天翼混合云的云产品，详见《服务协议》。 天翼云高可用与故障演练服务范围包含： 应用架构分析、数据库架构分析、云产品分析、高可用方案设计、故障演练方案设计。 天翼云高可用与故障演练服务范围不包含： 具体的配置操作和实施。 非天翼云产品或平台的高可用和故障演练。 第5章 前提条件 客户需提前至少20个工作日申请高可用与故障演练服务，天翼云解决方案架构师评估需求可行性，确定是否提供高可用与故障演练服务。 高可用与故障演练现场服务2天起售，需提前15个工作日申请，现场服务只在高可用与故障演练服务的服务期内提供，高可用与故障演练现场服务工作时间为工作日9:00~18:00。 若已购买现场服务，客户须提供安全的办公环境，并保障天翼云驻场人员的人身安全。 高可用与故障演练现场服务，客户需签署高可用与故障演练服务进场和离场报告或签到表。 客户需审核天翼云制定的高可用与故障演练服务计划和服务方案，以书面形式（包括但不限于电子邮件）确认。如无正当技术理由，不能否定双方已确认的服务计划和服务方案。 方案落地过程中，客户可能需要购买天翼云或甄选商城的第三方服务，若不购买这些服务，方案无法落地。