本文解答使用全站加速后网站的SEO排名出现波动的原因及解决方案。 问题现象 使用全站加速后网站的SEO排名出现波动。 问题原因 常见的搜索引擎爬虫有： 百度爬虫：Baiduspider；谷歌爬虫：Googlebot；360爬虫：360Spider；搜狗爬虫：Sogou News Spider；SOSO爬虫：Sosospider；雅虎爬虫：Yahoo! Slurp China；有道爬虫：YoudaoBot或者YodaoBot；MSN爬虫：msnbotmedia；必应爬虫：bingbot；一搜爬虫：YisouSpider；Alexa爬虫：iaarchiver；宜搜爬虫：EasouSpider；即刻爬虫：JikeSpider。 此类搜索引擎爬虫对站点的抓取方式和普通用户访问一样，只要普通用户能访问到的内容，它就可以抓取到。 正常情况（SEO排名提升） 使用全站加速之后，访问速度更快，对爬虫更友好，相对更容易被收录，SEO排名会上升。 使用全站加速之后，用户体验提升，访问人数增加，搜索引擎也就会更积极的爬取，SEO排名会上升。 异常情况（SEO排名下降） 在节点不稳定、或者受到恶意DDOS攻击、CC攻击出现更换IP地址的情况下。 解析变更，由于DNS缓存问题或者爬虫本身的缓存问题，导致爬虫访问到异常的旧节点IP，影响访问效果。 以上因素对SEO会有一定的影响，SEO排名可能会下降。 解决方案 如发现是节点不稳定，频繁出现更换IP导致的SEO排名下滑，可通过提交工单给天翼云客服，由其人工调整为稳定的节点IP进行覆盖。 如果发现是受到恶意攻击，频繁出现更换IP导致的SEO排名下滑，可通过天翼云官网购买安全加速类产品来应对攻击，保障业务稳定性，以恢复网站的SEO权重排名。 因常规资源调整，而DNS或者爬虫本身缓存未过期，等待过期更新即可，如果是长期未更新的可反馈DNS、爬虫所有方处理。

本章节内容主要介绍数据库复制产品简介 数据库复制服务（简称DRS）是一种易用、稳定、高效、用于数据库实时迁移和数据库实时同步的云服务。 数据库复制服务围绕云数据库，降低了数据库之间数据流通的复杂性，有效减少数据传输成本。 数据库复制服务提供了实时迁移、备份迁移、实时同步等多种功能。 实时迁移 实时迁移是指在数据库复制服务器能够同时连通源数据库和目标数据库的情况下，只需要配置迁移的源、目标数据库实例及迁移对象即可完成整个数据迁移过程，再通过多项指标和数据的对比分析，帮助确定合适的业务割接时机，实现最小化业务中断的数据库迁移。 实时迁移支持多种网络迁移方式，如：公网网络、VPC网络、VPN网络和专线网络。通过多种网络链路，可快速实现跨云平台数据库迁移、云下数据库迁移上云或云上跨区域的数据库迁移等多种业务场景迁移。 特点：通过增量迁移技术，能够最大限度允许迁移过程中业务继续对外提供使用，有效的将业务系统中断时间和业务影响最小化，实现数据库平滑迁移上云，支持全部数据库对象的迁移。 备份迁移 由于安全原因，数据库的IP地址有时不能暴露在公网上，但是选择专线网络进行数据库迁移，成本又高。这种情况下，您可以选用数据库复制服务提供的备份迁移，通过将源数据库的数据导出成备份文件，并上传至对象存储服务，然后恢复到目标数据库。备份迁移可以帮助您在云服务不触碰源数据库的情况下，实现数据迁移。 常用场景：云下数据库迁移上云。 特点：云服务无需碰触源数据库，实现数据迁移。

本章主要介绍翼MapReduce的恢复HDFS业务数据功能。 操作场景 在用户意外修改、删除或需要找回数据时，系统管理员对HDFS进行重大操作（如升级、重大数据调整等）后，系统数据出现异常或未达到预期结果，模块全部故障无法使用，或者迁移数据到新集群的场景中，需要对HDFS进行恢复数据操作。 系统管理员可以通过FusionInsight Manager创建恢复HDFS任务。只支持创建任务手动恢复数据。 须知 只支持进行数据备份时的系统版本与当前系统版本一致时的数据恢复。 当业务正常时需要恢复数据，建议手动备份最新管理数据后，再执行恢复数据操作。否则会丢失从备份时刻到恢复时刻之间的HDFS数据。 对于Yarn任务运行时使用的目录（例如“/tmp/logs”、“/tmp/archived”、“/tmp/hadoopyarn/staging”），不能进行HDFS恢复操作，否则进行恢复的Distcp任务会由于文件丢失而导致恢复失败。 对系统的影响 恢复过程中会停止用户认证，用户无法开始新的连接。 数据恢复后，会丢失从备份时刻到恢复时刻之间的数据。 数据恢复后，需要重新启动HDFS的上层应用。 前提条件 如果需要从远端HDFS恢复数据，需要准备备集群。如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置跨Manager集群互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 检查HDFS备份文件保存路径。 停止HDFS的上层应用。 登录FusionInsight Manager，请参见登录管理系统。

本章主要介绍翼MapReduce的恢复HBase业务数据功能。 操作场景 在用户意外修改、删除或需要找回数据时，系统管理员对HBase进行重大操作（如升级、重大数据调整等）后，系统数据出现异常或未达到预期结果，模块全部故障无法使用，或者迁移数据到新集群的场景中，需要对HBase业务数据进行恢复数据操作。 系统管理员可以通过FusionInsight Manager创建恢复HBase任务并恢复数据。只支持创建任务手动恢复数据。 须知 只支持进行数据备份时的系统版本与当前系统版本一致时的数据恢复。 当业务正常时需要恢复数据，建议手动备份最新管理数据后，再执行恢复数据操作。否则会丢失从备份时刻到恢复时刻之间的HBase数据。 对系统的影响 恢复过程的数据还原阶段，系统会把待恢复的HBase表禁用，此时无法访问该表。还原阶段可能需要几分钟时间，此时HBase的上层应用无法正常工作。 恢复过程中会停止用户认证，用户无法开始新的连接。 数据恢复后，会丢失从备份时刻到恢复时刻之间的数据。 数据恢复后，需要重新启动HBase的上层应用。 前提条件 如果需要从远端HDFS恢复数据，需要准备备集群。如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置跨Manager集群互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 检查HBase备份文件保存路径。 停止HBase的上层应用。 登录FusionInsight Manager，请参见登录管理系统。

本章节主要介绍DCS Redis3.0命令的兼容性，包括支持命令列表，禁用命令列表。命令的具体详细语法，请前往Redis官方网站查看。 DCS Redis3.0基于开源3.0.7版本进行开发，兼容开源的协议和命令。 本章节主要介绍DCS Redis3.0命令的兼容性，包括支持命令列表，禁用命令列表，以及不支持的高版本Redis脚本和命令列表，以及命令使用限制说明。命令的具体详细语法，请前往Redis官方网站查看。 DCS Redis缓存实例支持Redis的绝大部分命令，具体支持的命令，请参考Redis3.0命令，任何兼容Redis协议的客户端都可以访问DCS。 因安全原因，部分Redis命令在分布式缓存服务中被禁用，具体请见Redis3.0禁用的命令。 DCS集群实例支持多个key，但不支持跨slot访问的Redis命令列表，如实例受限使用命令所示。 部分Redis命令使用时有限制，具体请见部分命令使用限制。 Redis3.0支持的命令 以下列出了Redis3.0实例支持的命令。 说明 Redis高版本的命令，在低版本中不被兼容。判断DCS Redis是否支持某个命令，可通过在Rediscli执行该命令，如果得到（error）ERR unknown command ‘xxx’的提示，则说明不支持该命令。 如果是Proxy集群实例，不支持表格中以下命令： “List”类型中的BLPOP、BRPOP、BRPOPLRUSH命令。 “Server”类型的CLIENT相关命令，包括CLIENT KILL、CLIENT GETNAME、CLIENT LIST、CLIENT SETNAME、CLIENT PAUSE、CLIENT REPLY。 “Server”类型的MONITOR命令。 如果是比较旧的Proxy集群实例，不支持“Key”类型中的RANDOMKE命令。 Redis3.0 支持命令清单 [Keys](

本文主要介绍账号注册相关的常见问题。 一个手机号能注册几个天翼云账号？ 一个手机号最多可注册5个天翼云账号（含已注销3个月内的账号），超出则不再支持注册新的天翼云账号。 无法使用海外（含港澳台）手机号注册天翼云账号？ 目前不支持用海外（港澳台）手机号注册。 通过手机号注册的账号如何使用账号登录？ 通过短信登录账号后，在“账号中心>安全设置”页面选择登录密码修改，可设置新密码。使用“账号中心>基本信息”的登录名及新设置的密码，即可使用账密方式登录。 手机号和邮箱均不再用，如何修改账号信息？ 如果手机号或邮箱都无法验证身份， 可以进入工单页面，提交工单处理。 （1）请在工单中上传如下材料： 提交“授权天翼云协助修改手机号/邮箱”的授权委托书，写明日期，加盖公章。（模板：授权天翼云协助修改手机号:邮箱.docx） 企业客户 法定代表人与被授权人所需材料任选一种上传即可。 法定代表人：企业证件、法定代表人身份证正反面及手持身份证照片。 被授权人：企业证件、加盖企业公章的授权书（授权委托书.docx）、被授权人身份证正反面及手持身份证照片。 个人客户 个人身份证件正反面及手持身份证照（个人身份证件信息需与实名认证的身份证件信息一致）。 （2）经天翼云审核通过后，天翼云会将原来绑定的手机号/邮箱替换成工单中填写的新手机号/邮箱。您可以在登录页面，单击忘记密码，然后使用新绑定的手机号/邮箱重置密码。 （3）如果您提供的账户情况特殊，天翼云客服人员会根据实际情况进一步核实，请按客服回复提供所需资料。

本文简述HTTP2.0的定义和配置方法。 功能介绍 HTTP 2.0相对于HTTP 1.1新增了二进制格式传输、HTTP头部压缩、多路复用、服务端推送等特性，优化了请求传输性能，兼容了HTTP 1.1的语法。 HTTP2.0的优势： 采用二进制格式传输数据，而非 HTTP1.1 的文本格式，二进制格式在协议的解析和优化扩展上带来更多的优势。 对消息头采用 HPACK 进行压缩传输，能够节省消息头占用的网络的流量，而 HTTP1.1 每次请求，都会携带大量冗余头信息，浪费了很多带宽资源，头压缩能够很好的解决该问题。 多路复用，就是多个请求都是通过一个 TCP 连接并发完成，HTTP1.1 虽然通过pipeline也能并发请求，但是多个请求之间的响应会被阻塞，所以 pipeline 至今也没有被普及应用，而 HTTP2.0做到了真正的并发请求，同时，流还支持优先级和流量控制。 服务端推送，服务端能够更快的把资源推送给客户端，例如服务端可以主动把 JS 和 CSS 文件推送给客户端，而不需要客户端解析 HTML 再发送这些请求，当客户端需要的时候，它已经在客户端了。 注意事项 开启HTTP2.0前，需勾选请求协议中的HTTPS，并关联有效证书。 配置说明 1. 登录边缘安全加速平台控制台。 2. 在域名基础配置页面，点击目标域名。 3. 进入HTTPS配置页面，单击“编辑配置”。 4. 单击右侧【请求协议】，勾选【请求协议】中的【HTTPS】。 5. 单击右侧【HTTPS配置】，选择域名对应的【证书】。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加证书。添加完毕后，再选择对应证书，如未找到目标证书，可点击右侧的刷新按钮刷新后再重新选择。 6. 开启【HTTP2.0】功能，配置完毕单击【保存】。 参数 说明 HTTP2.0 默认关闭，即不开启HTTP2.0功能。开启HTTP2.0功能之前，需要先完成HTTPS证书配置。

此小节介绍数据库运维高危操作的复核审批。 云堡垒机支持通过执行命令运维数据库，包括数据删除、修改、查看等运维操作。为确保数据库敏感信息的安全，避免关键信息的丢失和泄露，本文针对运维用户访问和运维数据库关键信息，详细介绍了如何设置数据库高危操作的复核审批，以及如何实现关键信息的重点监控。 本文以管理员adminA 授权运维用户 UserA ，针对MySQL数据库资源RDSA高危操作的二次授权为例。 应用场景 云堡垒机（CloudBastion Host，CBH），通过设置数据库控制策略，设置预置命令执行策略，动态识别并拦截高危命令（包括删库、修改关键信息、查看敏感信息等），中断数据库运维会话。同时自动生成数据库授权工单，发送给管理员进行二次审批授权。只有管理员审批工单授权执行操作后，运维用户才能执行该高危操作，继续数据库运维会话。 约束限制 目前仅支持二次审核MySQL或Oracle数据库的执行命令。 前提条件 云堡垒机所在已放开相应数据库访问端口，数据库与云堡垒机之间网络连接畅通。 资源RDSA已被纳管为主机运维方式资源。 运维用户UserA 已获取资源RDSA的访问控制权限。 配置二次审核策略 为实现高危操作的复核审批，需在“数据库控制策略”中预置命令规则，并开启“动态授权”执行方式。 步骤 1 adminA登录云堡垒机系统。 步骤 2 选择“策略 > 数据库控制策略”，进入数据库控制策略页面。 步骤 3 配置数据库规则集，选择预置高危操作命令。 1. 选择“规则集”页签。 2. 单击“新建”，创建一个MySQL数据库的规则集。以新建DBtest规则集为例。 3. 单击“添加规则”，在DBtest 规则集中添加“库”、“表”或“命令”规则。以添加DELETE删除表内容的命令为例。 说明 “命令”为必填项，至少需选择一个命令，可同时选择多个命令； 设置“库”或“表”，表示对数据库中库或表操作的命令限制； 未设置“库”或“表”，表示对数据库中全部操作的命令限制。

本文主要介绍计算加速型P3v 概述 P3v型弹性云主机采用NVIDIA A800 GPU，在提供云主机灵活性的同时，提供超高性能计算能力。适用于AI深度学习、科学计算，在深度学习训练、科学计算、计算流体动力学、计算金融、地震分析、分子建模、基因组学等领域都能表现出巨大的计算优势。理论单精度浮点性能：FP32：19.5TFLOPS。Tensor核心浮点性能：TF32: 156TFLOPS，BFLOAT16: 312TFLOPS。 类型 CPU基频/睿频 CPU型号 P3v 2.6GHz/3.5GHz 第三代英特尔® 至强® 可扩展处理器 6348 规格 规格名称 vCPU 内存（GiB） 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网卡多队列数 网卡个数个数上限 GPU GPU连接技术 显存（GiB） 虚拟化类型 p3v.3xlarge.8 12 96 17/5 200 4 4 1 × NVIDIA A800 80GB N/A 80 KVM p3v.24xlarge.8 96 768 40/36 850 32 8 8 × NVIDIA A800 80GB NVLink 640 KVM P3v型弹性云主机功能如下： 处理器：第三代英特尔® 至强® 可扩展处理器 6348，主频2.6GHz，睿频3.5GHz。 支持NVIDIA A800 GPU卡，每台云主机支持最大8张A800显卡。 支持NVIDIA CUDA并行计算，支持常见的深度学习框架Tensorflow、Caffe、PyTorch、MXNet等。 单精度能力19.5 TFLOPS，双精度能力9.7 TFLOPS。 支持NVIDIA Tensor Core能力，深度学习混合精度运算能力达到156 TFLOPS。 单实例最大网络带宽40Gb/s。 单卡 80GB HBM2显存，显存带宽2039Gb/s，支持多卡NVLINK互联技术。 完整的基础能力： 网络自定义，自由划分子网、设置网络访问策略。 海量存储，弹性扩容，支持备份与恢复，让数据更加安全。 弹性伸缩，快速增加或减少云主机数量。 灵活选择： 与普通云主机一样，P3v型云主机可以做到分钟级快速发放。 优秀的超算生态： 拥有完善的超算生态环境，用户可以构建灵活弹性、高性能、高性价比的计算平台。大量的HPC应用程序和深度学习框架已经可以运行在P3v实例上。

本节介绍了如何创建云数据库GaussDB 数据库的用户、以及如何授权。 如果您需要对您所拥有的云数据库GaussDB 进行精细的权限管理，您可以使用（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用云数据库GaussDB 资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将云数据库GaussDB 资源委托给更专业、高效的其他帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用云数据库GaussDB 服务的其它功能。 本章节为您介绍对用户授权的方法。 前提条件 给用户组授权之前，请您了解用户组可以添加的云数据库GaussDB 系统策略，并结合实际需求进行选择。 示例流程 给用户授权云数据库GaussDB 权限流程 1. 在IAM控制台创建用户组，并授予关系型数据库只读权限“云数据库GaussDB ReadOnlyAccess”。 2. 在IAM控制台创建用户，并将其加入1中创建的用户组。 3. 并验证权限 4. 新创建的用户登录控制台，切换至授权区域，验证权限： − 在“服务列表”中选择云数据库 云数据库GaussDB ，进入云数据库GaussDB 主界面，在左侧导航栏选择云数据库GaussDB > 实例管理。单击右上角“购买数据库实例”，尝试购买数据库实例，如果无法购买（假设当前权限仅包含云数据库GaussDB ReadOnlyAccess），表示“云数据库GaussDB ReadOnlyAccess”已生效。 − 在“服务列表”中选择除云数据库 云数据库GaussDB 外（假设当前策略仅包含云数据库GaussDB ReadOnlyAccess）的任一服务，若提示权限不足，表示“云数据库GaussDB ReadOnlyAccess”已生效。

本章节介绍了如何讲其他厂商或自建的业务迁移到分布式消息服务RocketMQ的实践方案。 操作场景 RocketMQ业务迁移是指将其他厂商或者自建的RocketMQ迁移到天翼云分布式消息服务RocketMQ。 前提条件 1. 配置网络环境 分布式消息服务RocketMQ实例分VPC内以及公网地址两种网络连接方式。如果使用公网地址，则消息生产与消费客户端需要有公网访问权限，并配置如下安全组。 表1 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 8200 0.0.0.0/0 公网访问元数据节点的端口 入方向 TCP 1010010199 0.0.0.0/0 访问业务节点的端口 2. 购买分布式消息服务RocketMQ实例 具体请参考购买RocketMQ实例。 操作步骤 1. 迁移元数据至分布式消息服务RocketMQ实例。 1. 获取其他厂商或自建RocketMQ实例的元数据。 2. 登录主机，下载RocketMQ软件包。 wget i < 1. 解压软件包。 unzip rocketmqall4.9.4binrelease.zip 1. （可选）如果RocketMQ实例开启了ACL访问控制，执行mqadmin命令时，需要鉴权。切换到解压后的软件包目录下，在“conf/tools.yml”文件中，增加如下内容。 accessKey: secretKey: accessKey和secretKey表示在控制台“用户管理”页面，创建的用户名和密钥。 1. 进入解压后的软件包目录下，执行以下命令，查询集群名称。sh ./bin/mqadmin clusterList n {nameserver地址及端口号}例如：“nameserver地址及端口号”为“192.168.0.65:8100”。 2. sh ./bin/mqadmin clusterList n 192.168.0.65:8100执行以下命令，导出元数据。未开启SSL的实例，执行以下命令。sh ./bin/mqadmin exportMetadata n {nameserver地址及端口号} c {RocketMQ集群名称} f {导出的元数据文件的存放路径}例如：“nameserver地址及端口号”为“192.168.0.65:8100”，“RocketMQ集群名称”为“DmsCluster”，“导出的元数据文件的存放路径”为“/tmp/rocketmq/export”。 1. sh ./bin/mqadmin exportMetadata n 192.168.0.65:8100 c DmsCluster f /tmp/rocketmq/export已开启SSL的实例，执行以下命令。JAVAOPTDtls.enabletrue sh ./bin/mqadmin exportMetadata n {nameserver地址及端口号} c {RocketMQ集群名称} f {导出的元数据文件的存放路径}例如：“nameserver地址及端口号”为“192.168.0.65:8100”，“RocketMQ集群名称”为“DmsCluster”，“导出的元数据文件的存放路径”为“/tmp/rocketmq/export”。 3. JAVAOPTDtls.enabletrue sh ./bin/mqadmin exportMetadata n 192.168.0.65:8100 c DmsCluster f /tmp/rocketmq/export在控制台迁移元数据。登录控制台。 4. 单击RocketMQ实例的名称，进入实例详情页面。 5. 在左侧导航栏，选择“元数据迁移”，进入迁移任务列表页面。 6. 单击“创建迁移任务”，弹出“创建迁移任务”对话框。 参考，设置迁移任务的参数。 参数 说明 任务名称 您可以自定义迁移任务的名称，用于区分不同的迁移任务。 是否同名覆盖 如果开启同名覆盖，会对已有的同名元数据的配置进行修改。例如：原实例Topic01的读队列个数为3，云上实例Topic01的读队列个数为2，开启同名覆盖后，云上实例Topic01的读队列个数变为3。如果不开启同名覆盖，同名元数据的迁移将失败。例如：原实例的Topic包含Topic01和Topic02，云上实例的Topic包含Topic01和Topic03，不开启同名覆盖，原实例Topic01的迁移将失败。 元数据 上传。 1. 单击“确定”。迁移完成后，在迁移任务列表页面查看“任务状态”。 1. 当“任务状态”为“迁移完成”，表示所有元数据都已成功迁移。 2. 当“任务状态”为“迁移失败”，表示元数据中部分或全部元数据迁移失败。单击迁移任务名称，进入迁移任务详情页，在“迁移结果”中查看迁移失败的Topic/消费组名称，以及失败原因。 2. 迁移生产消息至分布式消息服务RocketMQ版实例。将生产客户端的元数据连接地址改为分布式消息服务RocketMQ版实例的元数据连接地址，重启生产业务，使得生产者将新的消息发送到分布式消息服务RocketMQ版实例中。 3. 迁移消费消息至分布式消息服务RocketMQ版实例。待消费组中的消息消费完之后，将消费客户端的元数据连接地址改为分布式消息服务RocketMQ版实例的元数据连接地址，重启消费业务，使得消费者从分布式消息服务RocketMQ版实例中消费消息。 4. 如果有多个RocketMQ实例需要迁移到同一个分布式消息服务RocketMQ版实例中，请依次进行迁移

本节主要介绍使用限制。 集群和节点 云容器引擎对单个用户的资源数量和容量限定了配额，默认情况下，您最多可以创建50个集群（每个Region下），每个集群中可以选择50节点、200节点、1000节点、2000节点几种规格。 非高可用模式的集群在控制节点故障后将不可用，影响业务功能，不适用于商用场景，建议您选择“高可用”模式。 集群创建时将默认创建名称带有“cce”标识的安全组规则，删除或修改后可能导致集群无法正常使用。 集群名称、集群规模、高可用开关、网络模型、网段配置、服务转发模式在集群创建后将无法修改，请谨慎选择。 CCE集群默认安装采集探针，方便您在Web界面查看集群资源的日志和监控信息。 集群一旦创建以后，不支持变更以下项： 变更集群的控制节点数量，例如非高可用集群（控制节点数量为1）变更为高可用集群（控制节点数量为3）。 变更控制节点可用区。 变更集群的网络配置，如所在的虚拟私有云VPC、子网、容器网段、服务网段、IPv6、kubeproxy代理（转发）模式。 变更网络模型，例如“容器隧道网络”更换为“VPC网络”。 CCE创建的ECS实例（节点）目前支持“按需计费”和“包年/包月”，其他资源（例如负载均衡）为按需计费。如果资源所属的服务支持将按需计费实例转换成包年/包月实例，您可以通过对应的控制台进行操作。 集群中纳管计费模式为“包年包月”的节点时，无法在CCE控制台为其续费，用户需前往ECS控制台单独续费。 由于ECS（节点）等CCE依赖的底层资源存在产品配额及库存限制，创建集群、扩容集群或者自动弹性扩容时，可能只有部分节点创建成功。 ECS（节点）规格要求：CPU ≥ 2核且内存 ≥ 4GB。 通过搭建VPN方式访问CCE集群，需要注意VPN网络和集群所在的VPC网段、容器使用网段不能冲突

绑定NAT网关限制 NAT网关的地域必须和EIP的地域相同。 绑定ELB实例限制 ELB实例的网络类型必须是专有网络。 ELB实例的地域必须和EIP的地域相同。 一个ELB实例仅支持绑定一个EIP。 绑定虚拟IP限制 虚拟IP实例的地域必须和EIP的地域相同。 虚拟IP实例必须处于可用或已分配状态。 虚拟IP实例仅支持绑定一个EIP。 通用使用限制 一个弹性IP只支持绑定一个云资源进行使用，且弹性IP和云资源必须在同一个资源池（Region），不支持跨资源池使用弹性IP。 仅正常未绑定状态的弹性IP支持绑定云资源，已冻结状态/已过期状态的弹性IP请先进行充值/续费后才可继续进行使用，已绑定状态弹性IP需先进行解绑才可绑定新资源。 弹性IP与云资源属于不同资源，与计费模式无关，不同计费方式均支持与云资源的绑定；对云资源进行退订/删除后，弹性IP将会继续计费，若您不再需要该弹性IP，请将该弹性IP进行释放。 若您的弹性IP因安全原因被冻结，该弹性IP不支持充值后恢复正常状态，此时将限制绑定、解绑及释放操作。 仅未绑定云资源的弹性IP支持释放，已绑定云资源的弹性IP请先将云资源解绑，后进行释放操作。 弹性IP被释放后，可能会被其他用户购买使用，此时无法找回。 弹性IP在按需计费模式下，收取IP保有费和带宽费用/流量费用，当该弹性IP与实例未绑定且未释放时，将收取IP保有费，若绑定实例则免收IP保有费，对于不需要使用的弹性IP，请及时进行释放。 弹性IP不支持跨帐号转移。 云主机/物理机通过弹性网卡与弹性IP绑定时，云主机/物理机与弹性网卡解绑时，弹性IP与被解绑的弹性网卡自动解绑。

函数计算默认情况下使用的是动态分配的出口IP地址，这意味着IP地址可能会发生变化，并没有一个固定的网段。在某些情况下，比如当您的函数需要访问特定的资源与服务时，您的函数有可能不在其白名单访问列表中导致对端服务拒绝访问。为了满足这种需求，函数计算提供了一个功能，允许您为函数绑定一个固定的公网IP地址。 注意 固定IP地址功能是与VPC中的公网NAT网关结合使用的。为了实现VPC内实例的公网访问，您需要创建一个公网NAT网关，并对其进行适当的配置。这个过程包括绑定一个弹性IP地址到NAT网关，并添加SNAT（源网络地址转换）条目，从而使得VPC内的实例可以通过这个弹性IP地址与互联网进行通信。具体操作步骤请参阅： 额外计费 在设置固定公网IP地址的过程中，您需要用到NAT网关和弹性IP服务，这将会带来额外的费用。有关详细的计费信息，请参阅NAT网关计费说明公网NAT网关计费说明和弹性IP计费说明计费概述。 配置固定公网IP地址 1. 登录函数计算控制台，在左侧导航栏，点击函数。 2. 在函数页面，点击目标函数，进入目标函数详情页。 3. 在目标函数详情页的上方导航栏，点击配置。 4. 在左侧导航栏，点击网络 选项卡，打开网络的具体配置页后，点击编辑，进行网络配置的修改。 5. 如果您希望配置目标函数固定公网IP，请： 1. 打开允许访问VPC的选项。 2. 依次配置您希望访问的专有网络、子网以及安全组。 3. 然后请打开固定公网IP的选项。 4. 最后设置允许函数默认网卡访问公网 为否。 5. 修改完毕后，点击下方的部署按钮，即可允许目标函数以固定公网IP的方式对外访问。

本文为您介绍对等连接产品的定义及其创建流程。 对等连接（VPC Peering Connection）是指两个同一资源池内的VPC之间的网络连接。用户可以使用私有IP地址在两个VPC之间进行内网通信，就像两个VPC在同一个网络中一样。用户可以在自己帐号的VPC之间创建对等连接，也可以在自己账号的VPC与同一资源池内其他帐号的VPC之间创建对等连接。 对等连接创建流程 无论是在同一帐户下还是不同帐户下，只要VPC位于同一个资源池，对等连接就能够为VPC之间的通信提供一种私有、安全且高效的解决方案，来实现资源的共享和数据的流动，满足了不同场景下的通信需求。 同一账户下VPC对等连接的创建流程： 1. 创建对等连接：选择本端VPC和对端VPC。 2. 添加对等连接路由：在本端VPC的路由表中添加指向对端VPC的路由规则，同时在对端VPC的路由表中添加指向本端VPC的路由规则。 3. 验证网络互通情况：确认对等连接已生效后，验证网络互通性。 不同帐户下VPC对等连接的创建流程: 1. 创建对等连接：选择本端VPC和对端VPC。 2. 判断是否接受连接：选择“否”则创建对等连接失败；选择“是”则进入下一步。 3. 添加对等连接路由：在本端VPC的路由表中添加指向对端VPC的路由规则，同时在对端VPC的路由表中添加指向本端VPC的路由规则。 4. 验证网络互通情况：确认对等连接已生效后，验证网络互通性。

前期准备 构造请求 请求地址：{终端节点地址}+{对应接口URL}，详情查看构造请求； 终端节点地址： 对应接口URL：/v1/aiop/api/2f7awxekgvls/face/compare/PERSON/person/compareFromBase64。 认证鉴权 认证鉴权详细版本，点击查看认证鉴权。 1.信息的获取 登录云网门户，在“控制台”>“账号中心”>“安全设置”>“用户AccessKey”点击“查看”获取。 2.基本签名流程 待签字符串：使用规范请求和其他信息创建待签字符串； 计算密钥：使用header、ctyuneopsk、ctyuneopak来创建hmac算法的密钥； 计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名； 签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 3.创建待签名字符串 待签名字符串需要进行签名的header排序后的组合列表+ "n" + 排序的query + "n" + toHex(sha256(原封的body))； 假设你需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是：ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n； 如果你加入一个ccad的header，同时这个header也需要进行签名，则待签名的header组合：ccad:123nctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n。 4.构造动态密钥 发起请求时，需要构造一个eopdate的时间，这个时间的格式是yyyymmddTHHMMSSZ，言简意赅一些，就是年月日T时分秒Z； 先是用申请的ctyuneopsk作为密钥，eopdate作为数据，算出ktime； 用ktime作为密钥，申请的ctyuneopak作为数据，算出kAk； 用kAk作为密钥，eopdate的年月日值作为数据，算出kdate。 5.签名应用 由“构造动态密钥”和“创建待签名字符串”分别得出来的待签名字符串stringsigture、kdate生成出Signature； 得到EopAuthorization，然后将数据整合成header放在httpclient内，发出即可。

本文介绍申请数据权限功能，使用户可以快速熟悉申请数据权限页面的相关操作，以及如何申请数据权限。 前提条件 用户需要具有进入申请数据权限页面的功能权限。 注意事项 申请数据权限功能仅限企业版。 用户仅限申请已加入团队内实例的相关数据权限。 每次申请仅限一种类型的资源粒度，资源粒度从大到小依次是实例、库/模式、表。 数据权限支持按资源粒度继承，即用户拥有大粒度资源的数据权限时，则默认拥有该大粒度资源下所有小粒度资源的数据权限。 用户多次申请同一资源、同一权限后，最后一次申请的结果会覆盖之前申请的结果。 操作步骤 用户可以在个人中心>我的权限 页面中点击“申请数据权限”按钮进入申请数据权限页面，也可以在安全协作>工单列表>数据权限工单页面中点击“申请数据权限”按钮进入申请数据权限页面。 申请数据权限的具体流程如下： 1. 选择资源的粒度。进入申请数据权限页面后，默认选择库/模式授权，也可以点击其他标签，切换到其他资源粒度，每次申请仅限一种类型的资源粒度。 2. 选择申请的资源。在左侧”请选择“框内勾选想要申请的资源的复选框，然后点击中间的”>“按钮，即可将当前页选中的资源加入到右侧”已选择“框内。如果想要删除右侧“已选择”框内的资源，可以勾选想要删除的资源的复选框，然后点击中间的“<”按钮，即可将右侧“已选择”框内的资源删除。每次申请可以同时选择多个资源。 3. 选择权限的类型，根据用户需要，勾选对应权限类型的复选框。每次申请可以同时选择多种权限。 4. 选择权限的有效期。权限有效期默认为1个月，根据用户需要，可以选择3个月、半年或者1年，也可以点击时间栏，直接指定权限的到期时间。 5. 确定信息无误后，点击页面右下角的“提交申请”按钮即可提交工单，并跳转到数据权限工单页面，查看当前工单的流程。

本节介绍如何查看告警列表。 通过查看“告警列表”，您可以了解近180天的告警威胁的统计信息列表，列表内容包括告警事件的名称、类型、等级和发生时间等。并可通过自定义过滤条件，如告警名称、告警等级和发生时间等，快速查询到相应告警事件的统计信息。 此外，您还可以通过及时处理告警事件，标记告警事件处理状态，并支持一键导出近180天的告警事件。 约束限制 仅专业版支持忽略和标记告警事件，基础版不支持。 仅支持导出近180天的全部告警事件，暂不支持筛选导出告警事件信息。 按过滤场景筛选告警，最多可呈现10000条告警。 查看告警详情 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理页面。 3. 在左侧导航栏选择“威胁告警”，默认进入态势感知告警列表管理页面。 4. 筛选“告警名称”、“告警等级”、“发生时间”和“处理状态”条件选项，在列表栏查看显示符合过滤条件的告警事件列表。 告警名称：告警事件所属的分类。 告警等级：告警事件对应的等级，包括“致命”、“高危”、“中危”、“低危”、“提示”。 处理状态：用户对告警事件的处理标记，可选择“未处理”、“已忽略”、“已线下处理”。 发生时间：告警事件发生的时间范围，可选择“今天”、“昨天”、“近3天”、“近7天”、“近30天”和“近半年”。 5. 当过滤后的告警事件较多时，可以利用搜索功能快速找到指定告警事件。 在下拉框中选择“资产IP”、“来源IP”、“主机ID”，在搜索框中输入相应IP或ID，单击搜索图标，即可查看到指定资产相关的告警信息。 6. 查看告警事件详情。 单击列表中告警的“告警名称”，右侧滑出告警详情窗口，可查看与该告警相关的“基本信息”、“数据来源”、“攻击信息”、受影响的用户等信息，以及该告警的处理状态。

本节介绍如何修改拦截返回页面。当访问者触发WAF拦截时，默认返回WAF“系统默认”的拦截返回页面，您也可以根据自己的需要，配置“自定义”或者“重定向”的拦截返回页面。 前提条件 已添加防护网站。 约束条件 “自定义”的拦截返回页面支持配置text/html、text/xml和application/json三种页面类型的页面内容。 “重定向”地址的根域名必须和当前被防护的域名（包括泛域名）保持一致。例如，被防护的域名为www.example.com，端口为8080，则重定向URL可设置为“ 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 步骤5 在目标网站所在行的“域名”列中，单击目标网站，进入网站基本信息页面。 步骤6 在“告警页面”所在行的页面模板名称后，单击编辑按钮，在弹出的“告警页面”对话框中，选择“页面模板”进行配置。 “页面模板”选择“系统默认”时，默认返回WAF内置的HTTP返回码为418的拦截页面。 “页面模板”选择“自定义”时，如图所示。 HTTP返回码：自定义页面配置的返回码。 页面类型：可选择text/html、text/xml和application/json三种类型。 页面内容：根据选择的“页面类型”配置对应的页面内容。 “页面模板”选择“重定向”时，根据界面提示配置重定向URL。 重定向URL的根域名必须和当前被防护的域名（包括泛域名）保持一致。例如，被防护的域名为www.example.com，端口为8080，则重定向URL可设置为“ 步骤7 单击“确定”，告警页面配置成功。

本文介绍CDN内容审核增值服务的计费规则、开通方式、违规内容的评定规则。 重要说明 当前天翼云支持CDN内容审核，该功能是CDN加速产品的一项增值服务，基于天翼云计算AI平台，能对加速内容进行快速智能检测。开通CDN内容审核功能后，系统会自动智能检测经过CDN加速的内容是否涉黄、涉暴恐，鉴定为违规内容的URL将会被记录下来供客户导出，同时支持对违规内容做封禁，实现“净网分发”。 计费规则 CDN内容审核的标准资费为1.3元/千张。 注意事项 目前内容审核主要针对图片是否涉黄、涉暴恐进行鉴定。 CDN内容审核为打分制，每一张审核图片均有一个01的分值。分值越大则越可能是违规内容，分值越低则证明内容越安全。内容审核结果按照分值大小，分为确定部分和不确定部分。确定部分是指确定为违规部分和确定为正常部分的内容，一般分值在0.6以下或0.9以上，这部分一般无需人工干预，可直接基于审核结果对内容进行封禁或相关删除操作；不确定部分是指疑似违规图片，系统无法区分是否实际违规，建议用户进行人工二次确认。目前对于不确定部分，CDN内容审核不收取费用。 目前天翼云CDN加速产品的增值服务支持CDN内容审核，使用CDN内容审核增值服务需完成如下两个步骤： 1. 开通CDN内容审核服务。目前开通天翼云CDN加速业务时，CDN内容审核增值服务默认开通，详情请见：CDN内容审核开通。 2. 线下配置开启。如需使用，请提交工单给天翼云客服，由其人工操作开启。详情请见：CDN内容审核。 该功能目前仅支持中国内地开通使用，全球（不含中国内地）暂不支持。

本章节主要介绍云搜索服务的备份与恢复索引操作。 为避免数据丢失，您可以将集群的索引数据进行备份，当数据发生丢失或者想找回某一时间段数据时，您可以通过恢复索引操作快速获得数据。索引的备份是通过创建集群快照实现。第一次备份时，建议将所有索引数据进行备份。 说明 备份与恢复索引功能上线之前（即2018年3月10日之前）创建的集群，无法创建快照。 管理自动创建快照：自动创建快照指按照设置的规则，每天在指定时间自动创建快照。您可以开启自动创建功能、设置自动创建的策略、和关闭自动创建功能。 手动创建快照：在任意时间，您通过手动创建快照的方式，针对当时的数据或某几个索引创建快照进行备份。 恢复数据：将已有的快照，通过恢复快照功能，将备份的索引数据恢复到指定的集群中。 删除快照：对于已失效的快照，建议删除以释放存储资源。 说明 创建快照之前，您需要进行基础配置，包含存储快照的OBS桶、快照的备份路径及安全认证使用的IAM委托。 集群快照存储的OBS桶，在首次设置后，不管自动创建快照还是手动创建快照，如果快照列表中已有可用的快照，则OBS桶将无法再变更，请谨慎选择存储OBS桶。 如果OBS桶已经存储了快照，OBS无法变更，您可以使用这个方法修改：首先关闭快照功能，然后再开启快照功能，指定新的OBS桶。一旦关闭快照功能，之前创建的快照将无法用于恢复集群。 当集群处于“不可用”状态时，快照功能中，除了恢复快照功能外，其他快照信息或功能只能查看，无法进行编辑。 备份与恢复过程中，支持集群扩容、访问Kibana、查看监控、删除其他快照的操作。不支持重启此集群、删除此集群、删除正在创建或恢复的快照、再次创建或恢复快照的操作。补充说明，当此集群正在进行创建快照或者恢复快照时，此时，自动创建快照任务将被取消。

前期准备 构造请求 请求地址：{终端节点地址}+{对应接口URL}，详情查看构造请求； 终端节点地址： 对应接口URI：/v1/aiop/api/2z0yhhrzgv0g/tts/predict。 认证鉴权 认证鉴权详细版本，点击查看认证鉴权。 1.信息的获取 登录云网门户，在“控制台”>“账号中心”>“安全设置”>“用户AccessKey”点击“查看”获取。 2.基本签名流程 待签字符串：使用规范请求和其他信息创建待签字符串； 计算密钥：使用header、ctyuneopsk、ctyuneopak来创建hmac算法的密钥； 计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名； 签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 3.创建待签名字符串 待签名字符串需要进行签名的header排序后的组合列表+ "n" + 排序的query + "n" + toHex(sha256(原封的body))； 假设你需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是：ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n； 如果你加入一个ccad的header，同时这个header也需要进行签名，则待签名的header组合：ccad:123nctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n。 4.构造动态密钥 发起请求时，需要构造一个eopdate的时间，这个时间的格式是yyyymmddTHHMMSSZ，言简意赅一些，就是年月日T时分秒Z； 先是用申请的ctyuneopsk作为密钥，eopdate作为数据，算出ktime； 用ktime作为密钥，申请的ctyuneopak作为数据，算出kAk； 用kAk作为密钥，eopdate的年月日值作为数据，算出kdate。 5.签名应用 由“构造动态密钥”和“创建待签名字符串”分别得出来的待签名字符串stringsigture、kdate生成出Signature； 得到EopAuthorization，然后将数据整合成header放在httpclient内，发出即可。

本章节将介绍如何创建Elasticsearch脱敏任务。 创建ES脱敏任务后，可以对指定Elasticsearch数据源中的表/列进行敏感信息脱敏。 前提 已在“资产列表”中完成了云资源委托授权。 已添加了ES资产，具体请参见大数据资产列表章节。 已在“敏感数据识别”中完成了敏感数据识别，具体操作请参见创建敏感数据识别任务章节。 操作步骤 1. 单击左上角的，选择区域或项目。 2. 在左侧导航树中，单击，选择“安全>数据安全中心”，进入数据安全中心总览界面。 3. 在左侧导航树中选择“数据脱敏”，并选择“ES脱敏”页签，进入ES脱敏页面。 4. 将“ES脱敏”开关打开，开启ES脱敏。 5. 单击“新建任务”，进入“数据源配置”页面，如下图所示，具体参数说明如下表所示。 参数名称 参数说明 任务名称 您可以自定义脱敏任务的名称。 任务名称需要满足以下要求： 1~255个字符。 字符可由中文、英文字母、数字、下划线或中划线组成。 数据源选择 选择数据来源。目前仅支持“Elasticsearch”。 数据源 说明 如果没有可使用的ES资产，可单击“添加ES源”，添加ES资产，具体的操作可参见添加大数据源资产。 Elasticsearch实例：选择脱敏数据所在的Elasticsearch实例。 数据源 说明 如果没有可使用的ES资产，可单击“添加ES源”，添加ES资产，具体的操作可参见添加大数据源资产。 索引(Index)：选择脱敏数据所在的索引。 数据源 说明 如果没有可使用的ES资产，可单击“添加ES源”，添加ES资产，具体的操作可参见添加大数据源资产。 Type：选择脱敏数据所在的Type。 数据源 说明 如果没有可使用的ES资产，可单击“添加ES源”，添加ES资产，具体的操作可参见添加大数据源资产。 Field：勾选后将该列数据拷贝到目标数据库。 此处还显示数据列的“目标数据类型”，“风险等级”。 6. 单击“下一步”，进入“脱敏算法配置”页面。 1. 勾选需要脱敏的Field。 2. 选择脱敏算法。脱敏算法更多详细信息请参见配置脱敏规则章节。 7. 可以点击“下一步”，进入“脱敏周期”页面，配置脱敏周期。 选择并设置脱敏任务的执行周期： 手动：由用户自行启动的，且基于脱敏规则执行脱敏任务。 每小时：每几个小时执行一次脱敏任务。 示例：如果需要每2小时执行一次脱敏任务，则此处设置为：02:00 每天：每天几点几分执行一次脱敏任务。 示例：如果需要每天12:00执行一次脱敏任务，则此处设置为：12:00:00 每周：每周几的几点几分执行一次脱敏任务。 示例：如果需要每周一的12:00执行一次脱敏任务，则此处设置为：每周一12:00:00 每月：每月几日几时执行一次脱敏任务。 示例：如果需要每月12日的12:00执行一次脱敏任务，则此处设置为：每月12日12:00:00 说明 如果设置每月31日执行一次脱敏任务，在当月日期少于31日的情况下，系统自动在当月最后一日执行任务。 8. 单击“下一步”，进入“数据目标配置”页面。 1. 选择“Elasticsearch实例”、“索引(Index)”，并输入“Type”。 如果输入的Type已存在，系统将刷新目标数据源中该Type中的数据。 如果输入的Type不存在，系统将自动在目标数据源中新建该名称的Type。 注意 如果需要填写已有的Type，请勿选择业务Type，以免影响业务。 2. 设置数据目标列名。 系统默认将生成与数据源列相同的名称，您可以保持默认名称，也可以根据需要进行修改。 9. 单击“完成”，完成脱敏规则的创建。

路由视角下的授权应用 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 实例列表 ； 4. 选择实例进入 实例详情 >路由配置; 5. 选择 需要授权的路由 >点击路由名称>路由详情>授权信息页; 6. 点击“添加授权”，在可选的应用列表中添加一个或多个应用配置，点击确定开始对路由的授权； 7. 授权完成后，在路由的视角下可查看此路由已绑定应用授权信息，也可以在应用的视角下，可查看此应用已绑定路由信息。 路由视角下的授权信息 应用视角下的授权的路由信息 API视角下的授权应用 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 实例列表 ； 4. 选择实例进入 实例详情 >API托管>API列表; 5. 选择 需要授权的API >点击API名称>API详情页>授权信息页; 6. 点击“添加授权”，在可选的应用列表中添加一个或多个应用配置，点击确定开始对API的授权； 7. 授权完成后，在API的视角下可查看此API已绑定应用授权信息，也可以在应用的视角下，可查看此应用已绑定API信息 API视角下的授权信息 应用视角下的API授权信息 解除应用授权 用户可以根据业务需求，对路由进行授权解除，实现路由级别的安全管控。目前网关提供了两种视角下的解除操作，在路由/API视角下和在App视角下。同时也支持单个解除授权和批量解除授权。

介绍阻止公共访问功能。 适用场景 阻止公共访问是媒体存储提供的一键安全防护功能，旨在降低因公共访问权限导致的数据泄露或因恶意访问而产生大量外网下行流量的风险。 适用区域 2026年4月17日起天翼云媒体存储逐步上线阻止公共访问功能的通知，具体适用区域与上线时间如下： 资源池名称 上线阻止公共访问时间 北京资源池3区 2026年4月17日 注意 功能上线后，新建的Bucket将默认开启阻止公共访问且不允许修改该状态，Bucket 将不再允许匿名访问，并不允许创建公共访问的访问权限和策略，如：开启公共读/公共读写 ACL及包含公共访问语义的 Bucket Policy。 存量Bucket不受升级影响，即默认为不阻止公共访问状态。您可修改对其开启阻止公共访问，需要注意的是，开启后不允许关闭。 默认情况下您无法自行关闭阻止公共访问功能，如有需要，请联系天翼云媒体存储支撑团队。 访问控制效果 存储桶开启阻止公共访问后，访问控制效果如下： 该存储桶及桶内所有对象将不允许匿名访问。 媒体存储在对访问请求进行鉴权时，会忽略预设的公共读、公共读写ACL，以及含有公共访问语义的授权策略；未包含正确鉴权信息的请求，将无法获取数据。 无法对阻止公共访问的存储桶新增公共访问授权，包括： 无法将桶的ACL权限由私有修改为公共读或公共读写。 添加Policy权限时，无法将策略的适用用户设置为“所有用户”。 若桶内有对象的ACL为“公共读”，此时受到阻止公共访问功能的控制，仍将要求用户通过携带合法鉴权串的请求访问文件；在匿名访问该对象时，返回的body中会携带以下字段，标识公共访问已被阻止：

在协同使用资源的场景下，如果您需要根据实际的职责权限情况配置用户使用权限，可使用统一身份认证（Identity and Access Management，简称IAM）服务，创建多个IAM用户并为其授予不同的权限，实现不同IAM子用户可以分权管理不同的资源，从而提高管理效率，降低信息泄露风险。通过IAM可实现精细化权限管理、安全访问、批量管理用户权限、委托其他帐号管理资源等功能。您可以创建并为IAM用户或用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 IAM是天翼云提供的免费基础服务，您只需为购买资源进行付费。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，限制不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略：预置的系统策略，您只能使用不能修改。云服务器ECS相关的系统策略包含如下： Admin：弹性伸缩服务的管理者权限，包含弹性伸缩所有控制权限（不含订单类权限）。 Viewer:弹性伸缩服务的观察者权限，包含弹性伸缩服务的列表页与详情页面权限。 自定义策略：您按需自行创建和维护的权限策略。

VPC终端节点(VPC Endpoint)使您能够将 VPC 私密地连接到终端节点服务(天翼云服务、 用户私有服务) VPC终端节点（VPC Endpoint）使您能够将 VPC 私密地连接到终端节点服务（天翼云服务、 用户私有服务），该连接使用天翼云内部网络进行连接，不再绕行公网，为您提供性能更加强大、更加灵活的网络。 VPC终端节点为您提供“终端节点服务”和“终端节点”两种资源。 终端节点服务 终端节点服务（VPC Endpoint Service）指将云服务或用户私有服务配置为VPC终端节点支持的服务。分为“网关”和“接口”两种类型。 网关型：由系统配置的受VPC终端节点支持的云服务，用户可直接使用。 接口型：包括系统配置的云服务和用户自己创建的私有服务。 说明 云服务：指云平台上的一些服务被配置为终端节点服务，默认由系统直接配置。用户没有权限配置云服务，您在创建终端节点时可以根据区域直接选择系统中相应的云服务。 用户私有服务：指用户将自己VPC中的服务资源配置为终端节点服务，这些服务资源为增强型负载均衡或者云服务器。 终端节点服务通过专属网关，可以将 VPC 中的服务方便的提供给其它 VPC 中的资源使用，实现跨 VPC 的访问，而不必暴露服务端相关的网络信息，使您的访问更加安全、可靠。 终端节点 终端节点（VPC Endpoint）在VPC和终端节点服务之间提供连接通道。您可以在VPC中创建自己的应用程序并将其配置为终端节点服务，同一区域下的其他VPC可以通过创建在自己VPC内的终端节点访问终端节点服务。包括“接口终端节点”和“网关终端节点”两种类型。 接口终端节点：是指具备私有IP地址的弹性网络接口，作为接口型终端节点服务的通信入口。 网关终端节点：是一个网关，在其上配置路由，用于将流量指向网关型终端节点服务。

前期准备 构造请求 请求地址：{终端节点地址}+{对应接口URL}，详情查看构造请求； 终端节点地址： 对应接口URI：/v1/aiop/api/2hfksnibjaos/facefasaction/person/detectFasFromBase64。 认证鉴权 认证鉴权详细版本，点击查看认证鉴权。 1.信息的获取 登录云网门户，在“控制台”>“账号中心”>“安全设置”>“用户AccessKey”点击“查看”获取。 2.基本签名流程 待签字符串：使用规范请求和其他信息创建待签字符串； 计算密钥：使用header、ctyuneopsk、ctyuneopak来创建hmac算法的密钥； 计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名； 签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 3.创建待签名字符串 待签名字符串需要进行签名的header排序后的组合列表+ "n" + 排序的query + "n" + toHex(sha256(原封的body))； 假设你需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是：ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n； 如果你加入一个ccad的header，同时这个header也需要进行签名，则待签名的header组合：ccad:123nctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n。 4.构造动态密钥 发起请求时，需要构造一个eopdate的时间，这个时间的格式是yyyymmddTHHMMSSZ，言简意赅一些，就是年月日T时分秒Z； 先是用申请的ctyuneopsk作为密钥，eopdate作为数据，算出ktime； 用ktime作为密钥，申请的ctyuneopak作为数据，算出kAk； 用kAk作为密钥，eopdate的年月日值作为数据，算出kdate。 5.签名应用 由“构造动态密钥”和“创建待签名字符串”分别得出来的待签名字符串stringsignature、kdate生成出Signature； 得到EopAuthorization，然后将数据整合成header放在httpclient内，发出即可。

前期准备 构造请求 请求地址：{终端节点地址}+{对应接口URL}，详情查看构造请求； 终端节点地址： 对应接口URL：/v1/aiop/api/2f820wzpai9s/PictureIdentity/api/v1/imageporn.json。 认证鉴权 认证鉴权详细版本，点击查看认证鉴权。 1.信息的获取 登录云网门户，在“控制台”>“个人中心”>“安全设置”>“用户AccessKey”点击“查看”获取。 2.基本签名流程 待签字符串：使用规范请求和其他信息创建待签字符串； 计算密钥：使用header、ctyuneopsk、ctyuneopak来创建hmac算法的密钥； 计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名； 签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 3.创建待签名字符串 待签名字符串需要进行签名的header排序后的组合列表+ "n" + 排序的query + "n" + toHex(sha256(原封的body))； 假设你需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是：ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n； 如果你加入一个ccad的header，同时这个header也需要进行签名，则待签名的header组合：ccad:123nctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n。 4.构造动态密钥 发起请求时，需要构造一个eopdate的时间，这个时间的格式是yyyymmddTHHMMSSZ，言简意赅一些，就是年月日T时分秒Z； 先是用申请的ctyuneopsk作为密钥，eopdate作为数据，算出ktime； 用ktime作为密钥，申请的ctyuneopak作为数据，算出kAk； 用kAk作为密钥，eopdate的年月日值作为数据，算出kdate。 5.签名应用 由“构造动态密钥”和“创建待签名字符串”分别得出来的待签名字符串stringsigture、kdate生成出Signature； 得到EopAuthorization，然后将数据整合成header放在httpclient内，发出即可。

本文介绍我的团队功能，使用户可以快速熟悉我的团队的相关操作，以及如何申请加入团队 前提条件 具有进入我的团队页的菜单权限。菜单权限请参考权限说明。 注意事项 用户加入组织后，会自动加入到当前组织的公共团队当中。 如果用户没指定加入任何团队，进入我的团队 界面后，当前所在团队会默认为公共团队。 说明 每个组织都会有一个公共团队，用户在登录DMS后，会自动加入到当前组织的公共团队。 团队成员查看 在左侧导航栏，点击个人中心>我的团队 ，进入我的团队页面，可查看团队内所有成员信息，包括成员的用户名、团队内角色、系统角色等信息，同时可通过团队角色类型、用户名等条件搜索团队成员。 查看全部团队 在我的团队 界面，选中团队成员 页签，当前所在团队的下拉框旁有查看全部团队 按钮，点击该按钮可以查看当前组织内的全部团队信息，用户可以在弹窗中找到对应团队，点击申请加入 按钮加入团队，或点击退出团队按钮退出团队。 说明 公共团队为系统默认团队，不允许退出。 申请加入团队 1. 在左侧菜单栏依次点击个人中心 > 我的团队。 2. 点击团队成员 标签页，在页面上方点击查看全部团队按钮打开全部团队弹窗。 3. 选择目标团队，点击申请加入 按钮打开弹窗，在弹窗内选择团队角色后点击确定按钮后将提交团队工单，等待目标团队的团队管理员审批通过后即可加入该团队。 用户可在安全协作 > 工单列表 > 团队申请工单页面中查看该团队工单详细信息及工单的流程。 团队资产查看 在我的团队页面，点击团队资产页签，切换到团队资产界面。在团队资产界面，可查看团队内所有实例信息，包括实例名称、地址、数据库类型等信息，同时可通过实例名称、数据库类型等条件搜索团队内的实例；也可查询团队内的数据对象信息。

编辑策略 说明 策略新增成功后，不支持修改策略对象、策略类型、对象类型、和已经勾选的操作连接。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防> 策略管理”，进入策略管理页面后选择“策略视图”页签，进入应急策略策略管理页面。 5. 在策略管理页面“策略视图”中，单击待修改策略所在行“操作”列的“编辑”，右侧弹出编辑策略页面。 6. 在编辑策略页面中，支持修改应急策略的标签和策略描述，支持修改自动过期策略，支持增加操作连接。 参数名称 参数说明 策略对象 策略对象。该参数不支持修改。 策略类型 策略类型。该参数不支持修改。 对象类型 策略的对象类型。该参数不支持修改。 策略生效范围 策略的生效范围。支持修改。 操作连接 策略的操作连接。已勾选的操作连接不支持取消，未勾选的操作连接支持继续勾选。 自动过期 确认新增的应急策略是否自动过期。支持修改。 如果选择是，请设置策略过期时间。 如果选择否，则该策略将一直有效。 标签（可选） 应急策略的标签，支持修改。 策略描述（可选） 应急策略的描述信息，支持修改。 若需要删除策略对象的操作连接，可单击“策略视图”页面应急策略列表中对应策略对象所在行前的按钮，展开该策略对象所有相关的操作连接，并单击待删除操作连接所在行操作列的“删除”，在弹出的删除信息确认页面确认信息无误后单击“确定”即可。 7. 单击“确定”。编辑完成后，可参考查看策略查看修改后的策略信息。

前期准备 构造请求 请求地址：{终端节点地址}+{对应接口URI}，详情查看构造请求； 终端节点地址： 对应接口URI：/v1/aiop/api/2f3os7qq79xc/IdentityCard/ocr/v1/idcard.json。 认证鉴权 认证鉴权详细版本，点击查看认证鉴权。 1.信息的获取 登录云网门户，在“控制台”>“账号中心”>“安全设置”>“用户AccessKey”点击“查看”获取。 2.基本签名流程 待签字符串：使用规范请求和其他信息创建待签字符串； 计算密钥：使用header、ctyuneopsk、ctyuneopak来创建hmac算法的密钥； 计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名； 签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 3.创建待签名字符串 待签名字符串需要进行签名的header排序后的组合列表+ "n" + 排序的query + "n" + toHex(sha256(原封的body))； 假设你需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是：ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n； 如果你加入一个ccad的header，同时这个header也需要进行签名，则待签名的header组合：ccad:123nctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n。 4.构造动态密钥 发起请求时，需要构造一个eopdate的时间，这个时间的格式是yyyymmddTHHMMSSZ，言简意赅一些，就是年月日T时分秒Z； 先是用申请的ctyuneopsk作为密钥，eopdate作为数据，算出ktime； 用ktime作为密钥，申请的ctyuneopak作为数据，算出kAk； 用kAk作为密钥，eopdate的年月日值作为数据，算出kdate。 5.签名应用 由“构造动态密钥”和“创建待签名字符串”分别得出来的待签名字符串stringsigture、kdate生成出Signature； 得到EopAuthorization，然后将数据整合成header放在httpclient内，发出即可。