系统管理是按照角色权限说明，进行管理员权限分配及设置。 功能说明 对系统管理员可进行添加、编辑、查询和删除用户信息选项操作。 操作方法 1.添加用户 管理员 ：是从天翼云平台同步到安全管理平台的天翼云用户； 普通管理员：在安全管理平台【系统管理】→【用户管理】新增的系统用户。 点击【添加用户】按钮可创建或者添加用户需填写信息（用户名、真实姓名、密码、邮箱、手机号码、角色分配选择），填写完成、点击【提交】即可添加成功。 用户名：填写用户邮箱作为用户名（系统将发送邮件到该邮箱）； 手机号：填写用户手机号（登录接收验证码）。 2.激活用户 点击【激活用户】，发送邮件到用户邮箱，进行激活。 3.删除用户： 点击【删除】或【批量删除】按钮（只有用户系统类型为“系统”的用户登录系统，才有该按钮权限），删除用户。 点击【确认】，即可删除用户。 4.编辑用户 选择要进行编辑的用户，点击【编辑】，即可更改用户的相关信息，修改提交即显示操作成功。

本文介绍缓存的定义，以及如何快速配置缓存。 什么是缓存 边缘安全加速平台安全与加速服务支持动静混合的业务加速，其中静态业务的加速主要依靠缓存技术来实现。通常，我们会采用多级缓存的架构，以提升缓存命中率。如果您的源站业务包含静态资源，请在控制台上进行缓存配置。配置完成后，当首个用户访问源站的静态资源时，边缘安全加速平台安全与加速服务将从源站获取该静态资源响应给用户，并将该静态资源缓存到距离用户最近的边缘节点上，当其他用户访问该静态资源时，可直接从缓存节点上获取，无需再回源获取；同时，当边缘节点上未缓存用户请求的静态资源时，还可以向其上一级节点请求，如上一级节点有缓存该资源，将由上级节点返回缓存的资源，也无需再回源获取。通过这种多级缓存的架构，可有效提高资源访问效率。 缓存配置概述 缓存配置模块主要介绍如何配置缓存过期时间、状态码过期时间、HTTP响应头、错误页面自定义、自定义重定向、自定义缓存key等功能。 配置缓存配置的前提条件：开启【静态加速】，若未开启静态加速，全部文件不缓存，无法享受缓存加速的能力。 功能 说明 配置缓存过期时间 缓存过期时间指源站资源在边缘节点缓存的最大时长，超过该时长，资源将会被边缘节点标记为已过期。如果客户端请求的资源在边缘节点上已过期，边缘节点会回源获取最新资源缓存到边缘节点上，供其他请求使用。支持按后缀名、目录、首页、全部文件、全路径文件类型进行缓存。您可以根据业务需求，按指定路径或文件名后缀配置静态资源的缓存过期时间。 配置状态码过期时间 当边缘节点从源站获取资源时，源站会返回响应状态码，您可在客户控制台上配置状态码过期时间，边缘节点会将源站返回的状态码缓存在本地，在状态码过期前，客户端若再次向全站加速节点发起相同资源的请求，边缘加速节点将直接响应缓存的状态码，不会回源请求，可有效减轻源站服务器的压力。当状态码在边缘节点上的缓存时间过期后，客户端再次请求该资源将回源请求。 自定义错误页面 当页面访问出错时，客户端会显示默认错误页面，例如：404 Not Found。默认的报错页面通常不美观，会带给用户不好的体验。为了帮助客户优化用户体验，边缘节点支持配置以下功能：当出现指定错误码的时候，能够让用户跳转到客户自定义页面。 自定义重定向 当客户源站的内容存放路径发生了变更，边缘节点上的内容存放路径也发生了变更，但是用户请求URL里面包含的内容路径没有变更，这时就需要边缘节点改写用户请求里面的内容路径。例如：点播文件原先存放在目录“/stream/”，现在变更为“/vod/”。技术实现方式是通过响应302状态码重定向的方式，让客户端取302响应里面的Location的新URL，重新向边缘节点发起访问，确保用户能获得正确的内容。 自定义缓存key 缓存key是一个文件缓存在边缘节点上时的唯一标识，缓存文件和缓存key是一对一的关系。通常默认情况下，缓存key为客户端请求的原始。 跨域资源共享 HTTP响应头是HTTP响应消息头的组成部分之一，可携带特定响应参数并传递给客户端。配置自定义HTTP响应头后，当用户请求加速域名下的资源时，边缘安全加速平台—安全与加速服务返回的响应消息会携带您配置的响应头，从而实现特定功能。跨域资源共享（CrossOrigin Resource Sharing，简写为CORS）简称跨域访问，是HTML5提供的标准跨域解决方案，允许Web应用服务器进行跨域访问控制，实现跨域数据的安全传输。当客户的业务需要跨域共享或者访问资源时，客户可以通过自定义HTTP响应头来实现。

函数计算服务对用户数据的保护采取了严格的安全措施，确保用户代码的存储和执行环境都是安全且隔离的。函数计算服务不会访问或查看用户的数据和代码，同时实施严格的权限控制机制，确保每个账号只能访问其拥有权限的资源，没有权限读取或获取其他账号的数据，包括代码。

本文为您介绍如何用curl命令接入OpenSearch实例。 概述 使用 Curl 是最简单直接的方式访问 OpenSearch 实例。它允许用户通过命令行发送 HTTP/HTTPS请求与实例进行交互，例如创建索引、查询集群状态等操作。 前提条件 已开通天翼云云搜索服务OpenSearch实例。 实例已绑定公网IP，具体可参考“实例公网访问”章节。 本地已按照Curl工具。 操作步骤 实例使用HTTP协议访问OpenSearch实例 plaintext curl u : " user：OpenSearch实例用户名，比如admin。 password：该用户密码，比如用户配置的OpenSearch实例admin用户密码。 host：主机IP，即实例绑定的公网IP。 port：端口号，一般是9200。 实例使用HTTPS协议访问OpenSearch实例 方式一：忽略证书校验（适用于自签名证书或快速测试） 在使用自签名证书时，可以使用k 或 insecure 参数跳过安全校验： plaintext curl u k : " 方式二：指定证书访问（推荐生产环境） 为了保证通信的绝对安全，推荐通过cacert 参数指定根证书的绝对路径来进行访问： plaintext curl u : " cacert /path/to/your/ca.pem 证书可以从云搜索服务控制台 “安全设置”页面下载。

本小节介绍云下一代防火墙双向访问控制最佳实践。 背景信息 云下一代防火墙作为云计算环境的边界网络安全，符合等级保护要求条例中边界安全访问控制要求项，能够实现内外网访问控制隔离等要求。 前期准备 用户需整理按业务需求整理好业务内外访问控制需求，整理点包含但不限于以下内容： 访问互联网业务的云主机信息，内网IP地址； 访问互联网业务是否存在限制，是否需要记录上网行为审计； 对外发布业务云主机信息，内网IP及对应公网IP； 对外发布业务云主机的业务端口信息，使用协议，域名信息等； 对外业务或端口是否需要限制源地址访问，例如运维端口仅放行运维人员访问； 配置操作 云计算边界扩展要求针对云·边界安全有如下要求，要求边界安全能够实现访问控制、恶意代码防范、入侵防范等能力，以下配置流程可实现以上边界安全需求。 配置流程说明： 序号 子流程 配置内容 1 梳理业务映射关系 1） 访问互联网业务的云主机信息，内网IP地址，详情参考《云墙上线信息收集表》 2） 访问互联网业务是否存在限制，是否需要记录上网行为审计； 3） 对外发布业务云主机信息，内网IP及对应公网IP； 4） 对外发布业务云主机的业务端口信息，使用协议，域名信息等； 5） 对外业务或端口是否需要限制源地址访问，例如运维端口仅放行运维人员访问； 6） 是否有WAF/CDN业务访问，提供源站白名单 2 配置网络接口 按照平台已添加的网卡进行网卡接口配置登录云墙【网络】→【接口】→【接口配置】，详细配置参考配置网络接口属性 3 配置基础准备环境 按需配置对象薄、地址薄等信息登录云墙，【对象】→【服务薄】/【地址薄】，详细配置参考配置服务对象薄 4 配置出向NAT策略 确认需要访问互联网的云主机，进行snat配置【策略】→【NAT】→【源NAT】，详细配置参考配置出站NAT策略 5 配置入向NAT策略 确认需要访问互联网的云主机，进行snat配置【策略】→【NAT】→【目的NAT】，详细配置参考配置入站NAT策略 6 配置安全策略 确认需要进行过滤的访问对象，进行安全策略配置【策略】→【安全策略】→【新建】，详细配置参考配置安全策略 7 配置出向路由和平台路由 确认内网访问互联网的出接口地址，配置出向路由【网络】→【路由】→【源路由】，详细配置参考配置出站路由和配置平台默认路由 8 配置业务割接 将弹性IP从云主机上解绑至云墙网卡即可。

配置有效期后，在到期前5天，每天会自动发送一次邮件提醒。 操作步骤 1、登录云堡垒机系统。 2、选择“系统 > 系统配置 > 安全配置”，进入系统安全配置管理页面。 3、在“用户有效期倒计时配置”模块的右侧，单击“编辑”，进入“用户有效期倒计时配置”页面。 4、输入用户密码，开启用户有效期倒计时开关状态。 5、单击“确定”，完成配置。

本文为您介绍IAM的产品功能。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号或者云服务管理资源等。 精细的权限管理 使用IAM，您可以将帐号内不同的资源按需分配给创建的IAM用户，实现精细的权限管理。 安全访问 您可以使用IAM为用户或者应用程序生成身份凭证，不必与其他人员共享您的帐号密码，系统会通过身份凭证中携带的权限信息允许用户安全地访问您帐号中的资源。 通过用户组批量管理用户权限 您不需要为每个用户进行单独的授权，只需规划用户组，并将对应权限授予用户组，然后将用户添加至用户组中，用户就继承了用户组的权限。如果用户权限变更，只需在用户组中移除用户或将用户添加进其他用户组，就可以实现快捷的用户授权。 委托其他帐号或者云服务管理资源 通过委托信任功能，您可以将自己的操作权限委托给其他天翼云帐号或者云服务，这些帐号或者云服务可以根据权限代替您进行日常工作。

云堡垒机支持管理哪些数据库？ 数据库引擎 引擎版本 Mysql 5.5、5.6、5.7、8.0 PostgreSQL 10、11、12、13 Oracle 10g、11g、12c DB2 10.5、11.5、12 达梦 V8 如何配置云堡垒机的安全组？ 参考安全组策略设置。 云堡垒机是否支持纳管非天翼云服务器？ 支持。 只要与云堡垒机网络可达并且协议支持，且云服务器操作系统在云堡垒机支持的操作系统清单，就可以通过天翼云云堡垒机纳管。 云堡垒机是否支持内网访问运维页面？ 支持。 云堡垒机提供绑定EIP功能，支持用户通过互联网远程直接运维资产。 同时云堡垒机自身也提供私网接入地址，用户可以通过vpn远程拨入云堡垒机实例所在vpc，然后使用云堡垒机实例私网地址接入运维内网资产。 租户是否能进入云堡垒机的操作系统？ 不可进入。 云堡垒机实例部署的服务器租户不可见，用户无法访问服务器操作系统，从而也避免进入操作系统破坏数据完整性，影响云堡垒机的安全合规。

操作步骤 1.进入CDM主界面，进入集群管理界面。选择CDM集群后的“作业管理 >连接管理 > 集群配置管理”。 2.在集群配置管理界面，选择“新建集群配置”，配置参数填写详见下图 集群配置名：根据连接的数据源类型，用户可自定义便于记忆、区分的集群配置名。 上传集群配置：单击“添加文件”以选择本地的集群配置文件，然后通过操作框右侧的“上传文件”进行上传。 Principal： 仅安全模式集群需要填写该参数 。Principal即Kerberos安全模式下的用户名，需要与Keytab文件保持一致。 上传Keytab文件： 仅安全模式集群需要上传该文件 。单击“添加文件”以选择本地的Keytab文件，然后通过操作框右侧的“上传文件”进行上传。 描述：用户可添加对此集群配置的描述，用于标识和区分该集群配置。 3.确认后集群配置新建成功。后续在新建Hadoop类型连接时，认证模式根据实际情况选择，将“是否使用集群配置”选择为“是”，然后选择对应的“集群配置名”，即可快速完成Hadoop类型连接创建。 详见下图：使用集群配置

本章节主要介绍使用Storm客户端 。 操作场景 该任务指导用户在运维场景或业务场景中使用Storm客户端。 前提条件 已安装客户端。例如安装目录为“/opt/hadoopclient”。 各组件业务用户由系统管理员根据业务需要创建。安全模式下，“机机”用户需要下载keytab文件。“人机”用户第一次登录时需修改密码。（普通模式不涉及） 操作步骤 1. 根据业务情况，准备好客户端，登录安装客户端的节点。 请根据客户端所在位置，参考“用户指南 > 使用MRS客户端 > 安装客户端”章节，登录安装客户端的节点。 2. 执行以下命令，切换到客户端安装目录。 cd /opt/hadoopclient 3. 执行以下命令配置环境变量。 source bigdataenv 4. 若安装了Storm多实例，在使用Storm命令提交拓扑时，请执行以下命令加载具体实例的环境变量，否则请跳过此步骤。例如，Storm2实例： source Storm2/componentenv 5. 执行以下命令，进行用户认证。（普通模式跳过此步骤） kinit 组件业务用户 6. 执行命令进行客户端操作。 例如执行以下命令： cql storm 说明 同一个storm客户端不能同时连接安全和非安全的ZooKeeper。

云堡垒机支持管理哪些数据库？ 数据库引擎 引擎版本 Mysql 5.5，5.6，5.7，8.0 PostgreSQL 10，11，12，13 Oracle 10g，11g，12c DB2 10.5、11.5、12 达梦 V8 如何配置云堡垒机的安全组？ 参考安全组策略设置。 云堡垒机是否支持纳管非天翼云服务器？ 支持。 只要与云堡垒机网络可达并且协议支持，且云服务器操作系统在云堡垒机支持的操作系统清单，就可以通过天翼云云堡垒机纳管。 云堡垒机是否支持内网访问运维页面？ 支持。 云堡垒机提供绑定EIP功能，支持用户通过互联网远程直接运维资产。 同时云堡垒机自身也提供私网接入地址，用户可以通过vpn远程拨入云堡垒机实例所在vpc，然后使用云堡垒机实例私网地址接入运维内网资产。 租户是否能进入云堡垒机的操作系统？ 不可进入。 云堡垒机实例部署的服务器租户不可见，用户无法访问服务器操作系统，从而也避免进入操作系统破坏数据完整性，影响云堡垒机的安全合规。

本节主要介绍设置SSL数据加密 SSL（Secure Socket Layer，安全套接层），位于可靠的面向连接的网络层协议和应用层协议之间的一种协议层。SSL通过互相认证、使用数字签名确保完整性、使用加密确保私密性，以实现客户端和服务器之间的安全通讯。 认证用户和服务器，确保数据发送到正确的客户端和服务器。 加密数据以防止数据中途被窃取。 维护数据的完整性，确保数据在传输过程中不被改变。 SSL连接开启后，可以通过SSL方式连接实例，提高数据安全性。 使用须知 开启或关闭SSL会导致实例重启，请谨慎操作。 开启SSL，可以通过SSL方式连接数据库，具有更高的安全性。 目前已禁用不安全的加密算法，支持的安全加密算法对应的加密套件参考如下。 版本 支持的TLS版本 支持的加密算法套件 3.4 TLS 1.2 AES256GCMSHA384 AES128GCMSHA256 4.0 TLS 1.2 DHERSAAES256GCMSHA384 DHERSAAES128GCMSHA256 用户的客户端所在服务器需要支持对应的TLS版本以及对应的加密算法套件，否则会连接失败。 关闭SSL，可以采用非SSL方式连接数据库。 开启SSL连接 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上方的，选择区域和项目。 步骤 3 在页面左上角单击，选择“数据库 > 文档数据库服务 DDS”，进入文档数据库服务信息页面。 步骤 4 在“实例管理”页面，选择指定的数据库实例，单击实例名称。 步骤 5 在“基本信息”页面的“数据库信息”区域，单击SSL处的。 开启SSL 您也可以在左侧导航树，单击“连接管理”。在“基本信息”区域的“SSL”处，单击。 开启SSL安全连接 步骤 6 在弹出框中，单击“是”，开启SSL连接。 步骤 7 稍后可在“基本信息”区域，查看到SSL已开启。 SSL开启成功 步骤 8 SSL连接开启后，可以单击SSL处的，下载SSL证书，用于连接实例时使用。

托管检测与响应服务（原生版）护航版服务内容及购买操作步骤说明。 服务内容 1. 提供定制化护航保障方案。 2. 提供安全检查，包括安全产品策略、资产基线配置、协助开展安全加固。 3. 持续监控云上安全状态，提供护航日报。 4. 提供应急响应服务。 5. 提供关键业务渗透测试服务。 6. 提供724小时云端专家团队值守。 7. 服务1年内有效，订购后不支持退订。 操作步骤 1. 登录托管检测与响应服务（原生版）控制台。 2. 点击护航版“立即购买”按钮，跳转到护航版购买页面。 3. 在护航版服务购买详情页面，【产品配置】栏，按需求选择护航前安全检查、护航时长、防护资产扩展包、蓝军攻击服务。 护航前安全检查： 必选项，单位为天，最低选购时长为5天，每增加50个资产需要增加一天服务时长。 护航时长： 必选项，单位为天，最低选购时长为1天，用户可根据实际护航天数选购护航时长。 防护资产扩展包： 可选项，单位为个，每超过50个资产，需要购买一个扩展包，用户根据防护资产数量选择对应扩展包数量。 蓝军攻击服务： 可选项，单位为次，每次提供3人5天蓝军攻击服务，用户根据自身需求选购次数。 4. 确认配置信息无误后，阅读并接受相关服务协议、服务等级协议，单击右下角“立即购买”，跳转到支付页面。 5. 在“支付”页面，请选择付款方式进行付款。 6. 付款成功后，返回托管检测与响应服务（原生版）控制台，查看订购状态。 7. 订购完成后，24小时内，我们的服务经理会与您联系。

此小节介绍云堡垒机的安全声明。 在操作CBH前请仔细阅读，避免出现网络安全事件。 账户管理 云堡垒机系统的系统管理员默认账号为 admin ，登录密码为申请实例时自定义设置的密码。 在首次登录云堡垒机系统后，请按照系统提示修改密码，否则无法进入系统运行页面。 密码管理 为充分保证安全，建议您设置的各类密码满足以下要求： 在首次登录云堡垒机系统后，请按照系统提示修改密码和配置手机号码，否则无法进入云堡垒机系统。 密码必须满足密码安全策略： 长度范围：8~32个字符，不能低于8个字符，且不能超过32 个字符。 规则要求：可设置英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符，且需同时包含其中三种。 不能设置为用户名或倒序的用户名。 建议定期修改密码，以提高登录账户的安全性。 特性声明 您购买的产品、服务或特性等应受天翼云科技有限公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。 由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。 云堡垒机支持HTTPS访问协议，不支持HTTP访问协议。 请在法律法规允许的目的和范围内使用。

本小节介绍态势感知用户管理。 用户管理 系统支持用户分权分级管理，可以创建不同的用户，分配不同的角色，进行系统的管理。 用户管理显示登录名称、用户名称、邮箱、角色、备注、状态，支持登录用户的添加、编辑、删除、锁定。 添加用户时，填写登录名称、用户名称、邮箱、设置密码、选择用户角色（支持多选）、填写备注，点击“保存”即可。 角色管理 支持对用户角色进行添加、编辑、删除、权限管理。 系统包括三种用户角色：普通用户、系统管理员、安全管理员。 系统管理员：拥有全功能。 普通用户：只可以查看数据，没有系统设置、用户管理的功能权限。 安全管理员：只能使用安全检查功能模块。

连接方式 IP地址 使用场景 说明 内网连接 内网IP地址 系统默认提供内网IP地址。 当应用部署在弹性云主机上，且该弹性云主机与文档数据库实例处于同一区域、可用区、虚拟私有云子网内，建议单独使用内网IP通过弹性云主机连接文档数据库实例。 文档数据库服务和弹性云主机在不同的安全组默认不能访问，需要在文档数据库服务所属安全组添加一条“入”的访问规则。 文档数据库服务默认端口：8635，需要手动修改才能访问其它端口。 安全性高，可实现DDS的较好性能。 公网连接 弹性IP 当应用部署在弹性云主机上，且该弹性云主机与文档数据库实例处于不同区域时，建议单独使用弹性IP通过弹性云主机连接文档数据库实例。 当应用部署在其他云服务的系统上时，建议单独使用弹性IP通过弹性云主机连接文档数据库实例。 降低安全性。 为了获得更快的传输速率和更高的安全性，建议您将应用迁移到与您的DDS实例在同一虚拟私有云子网内，使用内网连接。

场景三：网站被恶意盗刷 当网站被恶意盗刷时，也会消耗全站加速的带宽资源，易产生突发带宽。 潜在风险提示 当举行大型推广营销活动、域名受到恶意攻击或者网站被盗刷时，产生的突发带宽实际消耗了天翼云全站加速的带宽资源，所以需要客户自行承担因此产生的流量、带宽、请求数的费用。 建议应对方案 方法一：设置可用额度告警 通过对客户在天翼云官网账户的可用额度预警进行设置，当用户的余额低于阈值，系统会发送短信提醒。操作步骤如下： 1. 登录天翼云账户。 2. 单击右上角。 3. 单击【费用中心】。 4. 打开【可用额度预警】开关，修改预警阈值，当用户的余额低于阈值，系统会发送短信提醒。 方法二：开通安全防护功能 如果您的加速域名有被攻击风险或正在遭受攻击，建议购买天翼云边缘安全加速平台的相关产品保证域名的正常使用。详见：边缘安全加速平台。

本文介绍如何配置镜像仓库。 在没有添加镜像之前，页面会提示“暂无仓库镜像信息”。要获取新的仓库镜像列表，首先需要配置镜像仓库。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“镜像安全”，进入镜像安全页面。 3. 选择“仓库管理”页签，进入仓库管理页面，查看仓库配置列表。 4. 单击仓库配置列表右上角的“添加仓库”，页面右侧弹出添加仓库页面。 5. 填写仓库的相关参数。 参数 说明 仓库名称 输入仓库名称。 仓库类型 仓库类型支持Harbor、Jfrog、Huawei、Huawei CCE Agile、Registry、Aliyun、AWS、Microsoft、金山云。 仓库地址 仓库地址支持HTTP、HTTPS两种协议。 仓库用户名 输入仓库的用户名。 仓库密码 输入仓库的密码。 扫描节点 选择扫描容器所在节点。 自动扫描新增镜像 选择是否自动扫描新增镜像。 选择“自动”，仓库中每拉取一个新增的镜像后，系统就会自动进行扫描。 6. 填写完成后可单击“测试连接”，若提示“连接成功”，证明信息填写正确，单击“保存”完成添加。

本文带您了解并行文件服务HPFS产品相关术语。 文件系统 文件系统是操作系统中用于管理和存储数据文件的层次结构。它负责将存储设备上的数据组织成文件和目录，并提供文件的创建、读取、写入、删除等操作接口。文件系统决定了数据的存储方式、命名规则、访问权限等。 文件是用户数据与其相关属性信息（元数据）的集合体，用户的数据以文件的形式保存在文件系统中。 并行文件是文件系统的一种，专为支持并行计算、并行访问而设计，能够高效处理大规模数据的并行读写操作。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为弹性云主机构建了一个逻辑上完全隔离的专有区域，您可以在自己的逻辑隔离区域中定义虚拟网络，为弹性云主机构建一个逻辑上完全隔离的专有区域。您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。同时，您可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 子网 子网是用来管理弹性云主机网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云主机IP地址都属于该子网。默认情况下，同一个VPC的所有子网内的弹性云主机均可以进行通信，不同VPC的弹性云主机不能进行通信。 POSIX 文件访问接口 POSIX（Portable Operating System Interface）文件访问接口是一种标准的文件访问接口，用于在不同操作系统之间提供统一的文件访问方式。 并行文件服务向应用提供标准的POSIX文件访问接口，使得用户可以像访问本地文件一样访问存储在并行文件系统中的文件。

本文为您介绍如何快速配置CC防护策略。 网站域名接入云WAF后，您可以选择开启CC防护功能，为网站拦截针对页面请求的CC攻击。您也可以根据实际需求自定义CC安全防护的防护策略。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版不支持CC防护，请升级到更高版本使用。 CC防护模式配置 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“CC防护”区域，可以选择开启/关闭防护状态；同时可以直接选择防护模式。 配置项说明如下： 配置项 说明 状态 开启或关闭CC安全防护功能。 防护模式 要应用的防护模式。可选值： 常规：只针对特别异常的请求进行拦截，误杀较少。建议您在网站无明显流量异常时应用此模式，避免误杀。 紧急：高效拦截CC攻击，可能造成较多误杀。当您发现有防护模式无法拦截的CC攻击，并出现网站响应缓慢，流量、CPU、内存等指标异常时，可以应用此模式。 自定义：自定义CC防护可以通过精确匹配条件过滤访问请求，基于用户访问源IP或者SESSION频率定义访问频率限制条件，对于超过频率限制的访问进行拦截。 策略配置方法，请参见设置[自定义CC防护策略](

本文主要介绍 容器如何访问VPC内部网络。 前面章节介绍了使用Service和Ingress访问容器，本节将介绍如何从容器访问内部网络（ VPC内集群外 ），包括VPC内访问和跨VPC访问。 VPC内访问 根据集群容器网络模型不同，从容器访问内部网络有不同表现。 容器隧道网络 容器隧道网络在节点网络基础上通过隧道封装网络数据包，容器访问同VPC下其他资源时，只要节点能访问通，容器就能访问通。如果访问不通，需要确认对端资源的安全组配置是否能够允许容器所在节点访问。 VPC网络 VPC网络使用了VPC路由功能来转发容器的流量，容器网段与节点VPC不在同一个网段，容器访问同VPC下其他资源时， 需要对端资源的安全组能够允许容器网段访问 。 例如集群节点所在网段为192.168.10.0/24，容器网段为172.16.0.0/16。 VPC下（集群外）有一个地址为192.168.10.52的ECS，其安全组规则仅允许集群节点的IP网段访问。 此时如果从容器中ping 192.168.10.52，会发现无法ping通。 kubectl exec test016cbbf97b78krj6h it /bin/sh / ping 192.168.10.25 PING 192.168.10.25 (192.168.10.25): 56 data bytes ^C 192.168.10.25 ping statistics 104 packets transmitted, 0 packets received, 100% packet loss 在安全组放通容器网段172.16.0.0/16访问。 此时再从容器中ping 192.168.10.52，会发现可以ping通。 $ kubectl exec test016cbbf97b78krj6h it /bin/sh /

本文介绍HTTPS定义及配置方法。 功能介绍 HTTP协议以明文方式发送内容，不提供任何方式的数据加密。HTTPS协议是以安全为目标的HTTP通道，简单来说，HTTPS是HTTP的安全版，即将HTTP用SSL/TLS协议进行封装，HTTPS的安全基础是SSL/TLS协议。 在天翼云CDN控制台开启HTTPS协议，可实现客户端和天翼云CDN节点之间数据包的安全加密传输。如果想要实现全链路HTTPS传输，则需要在CDN节点配置HTTPS协议回源（源站服务器需支持HTTPS协议）。 HTTPS请求的基本流程： 1. 客户端向CDN节点发起HTTPS请求。 2. CDN节点将对应域名的SSL证书公钥发送给客户端。 3. 客户端验证对应证书公钥是否正确，如果正确则生成一个密钥，并使用公钥进行加密，再发送给CDN节点。 4. CDN节点使用对应私钥进行解密，得到密钥。 5. CDN节点使用对应密钥对传输的数据加密。 6. 客户端使用对应密钥对CDN节点传输的加密数据进行解密，从而获取相应数据。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】。 5. 在【请求协议】模块，勾选【HTTPS】。 6. 单击右侧【HTTPS配置】。 7. 选择域名对应的证书。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 8. 单击【保存】，完成配置。

开通云资源授权后，可以访问私有OBS桶、数据库、大数据以及数据安全总览，获得了授权资产服务的权限如下表所示。 资产模块 服务策略 作用范围 备注 OBS OBS Adminstrator 全局 用于配置OBS日志，获取OBS对象列表，下载OBS对象等 OBS EVS ReadOnlyAccess 区域 用于获取云硬盘列表 OBS OBS Adminstrator 全局 用于获取OBS服务投递日志 数据库 ECS ReadOnlyAccess 区域 用于获取自建数据库ECS列表 数据库 RDS ReadOnlyAccess 区域 用于获取RDS数据库列表及数据库列表相关信息 数据库 DWS ReadOnlyAccess 区域 用于获取DWS列表 数据库 VPC FullAccess 区域 用于打通网络，VPC的端口创建，安全组规则创建等 数据库 KMS CMKFullAccess 区域 用于使用KMS加密脱敏的场景 大数据 ECS ReadOnlyAccess 区域 用于获取自建大数据ECS列表 大数据 CSS ReadOnlyAccess 区域 用于获取CSS数据集群列表及数据索引等相关信息 大数据 DLI Service User 区域 用于获取DLI队列及数据库 大数据 VPC FullAccess 区域 用于打通网络，VPC的端口创建，安全组规则创建等 大数据 KMS CMKFullAccess 区域 用于使用KMS加密脱敏的场景 数据安全总览 Tenant Guest 区域 用于获取用户涉及数据存储处理等相关云服务的列表等 数据安全总览 OBS Adminstrator 全局 用于配置OBS日志，获取OBS对象列表，下载OBS对象等 数据安全总览 EVS ReadOnlyAccess 区域 用于云硬盘列表获取 数据安全总览 OBS Adminstrator 全局 用于OBS服务投递日志

本文将介绍针对客户端登录时产生的登录日志。 采用客户端进行登录时，将记录时间、登录方式、登录IP等信息，以便后续进行分析。 注意事项 有使用客户端进行登录时，产生相关登录日志。 建议查询近6个月数据，若有长时间存储日志需求，可联系我们。 操作步骤 1. 登录边缘安全加速平台控制台，进入对应产品； 2. 在左侧导航栏，选择日志>终端登录日志； 3. 可针对需求进行查询相关日志情况。 字段说明 字段 字段说明 用户 用户名称 所属组织 用户所属的组织架构 出口IP 终端用户登录时的公网IP 登录方式 帐号密码或者企业微信扫码等用户登录采用的方式 登录状态 成功或失败 登录时间 登录时的时间

安全体检连通性检测说明。网络不可达将导致体检失败，请您根据以下提示对体检IP展开全面检测。 体检IP连通性检测是开始体检任务前的一项重要工作。体检IP与体检引擎互联网IP网络不通将会导致体检失败。 您可以点击体检IP列表右上角“检测联通性”，检测所有体检IP与体检引擎互联网IP的网络连通性。 当单个体检IP网络不可达时，您可以点击此体检IP的刷新按钮，完成单个IP的检测。 注意 当前体检引擎IP到此IP地址网络不可达，建议您检查： 1. 安全组策略是否限此IP访问。 2. 防火墙配置是否限制此IP访问。 3. 体检引擎互联网IP是否添加至白名单。 4. 此弹性IP是否正确绑定云主机。 5. 云主机是否正常开机。

安全体检退订流程说明，如您有任何产品问题，请随时与我们联系。 退订说明 注意 退订成功后资源不可恢复。 确定退订前建议完成数据备份或者数据迁移。 退订可能会导致其他存在的关联业务产生影响。 如安全体检产品无法满足您的业务需求，您可通过邮件反馈使用建议，反馈邮箱：ctyunmdr@chinatelecom.cn。 如您确实需要退订，请按照以下流程操作。 退订步骤 1. 登录天翼云账号，并进入“费用中心”，选择“订单管理”后进入“退订管理”，找到产品订单后，选择“退订”按钮。 2. 点击退订按钮后，即可进入退订申请页面。 3. 选择退订原因并勾选“我已确认本次退订金额和相关费用”后，点击“退订”按钮，即可完成退订。

示例： 请求路径： 请求： 返回结果： { "code": 100000, "message": "success", "data": { "result": [ { "starttime": "20220516 00:00:00", "packetid": "39f86576e1c64fbda1bd1a934da47565", "packetsize": 1000, "endtime": "20220616 23:59:59", "resourcetype": 1, "usednum": "1000.00", "productcode": "007", "resourcename": "安全加速", "status": 4 }, { "starttime": "20220516 00:00:00", "packetid": "3a94944f768f4c70b508b0b95bc2aad9", "packetsize": 1000, "endtime": "20220616 23:59:59", "resourcetype": 1, "usednum": "1000.00", "productcode": "007", "resourcename": "安全加速", "status": 4 } ], "count": "2" } } 错误码请参考：API返回参数code和message含义

资产模块 服务策略 作用范围 备注 OBS OBS Adminstrator 全局 用于配置OBS日志，获取OBS对象列表，下载OBS对象等 OBS EVS ReadOnlyAccess 区域 用于获取云硬盘列表 OBS OBS Adminstrator 全局 用于获取OBS服务投递日志 数据库 ECS ReadOnlyAccess 区域 用于获取自建数据库ECS列表 数据库 RDS ReadOnlyAccess 区域 用于获取RDS数据库列表及数据库列表相关信息 数据库 DWS ReadOnlyAccess 区域 用于获取DWS列表 数据库 VPC FullAccess 区域 用于打通网络，VPC的端口创建，安全组规则创建等 数据库 KMS CMKFullAccess 区域 用于使用KMS加密脱敏的场景 大数据 ECS ReadOnlyAccess 区域 用于获取自建大数据ECS列表 大数据 CSS ReadOnlyAccess 区域 用于获取CSS数据集群列表及数据索引等相关信息 大数据 DLI Service User 区域 用于获取DLI队列及数据库 大数据 VPC FullAccess 区域 用于打通网络，VPC的端口创建，安全组规则创建等 大数据 KMS CMKFullAccess 区域 用于使用KMS加密脱敏的场景 数据安全总览 Tenant Guest 区域 用于获取用户涉及数据存储处理等相关云服务的列表等 数据安全总览 OBS Adminstrator 全局 用于配置OBS日志，获取OBS对象列表，下载OBS对象等 数据安全总览 EVS ReadOnlyAccess 区域 用于云硬盘列表获取 数据安全总览 OBS Adminstrator 全局 用于OBS服务投递日志

本文介绍上传加速的应用场景及配置说明等。 什么是上传加速？ 随着自媒体时代的到来，用户上传图片、大文件、短视频的需求日益增长，传统CDN主要针对的是源站向客户端分发内容的加速，而用户上传的内容，往往都是纯动态内容，无法通过缓存的方式进行加速。 天翼云边缘安全加速平台提供了一种上传加速服务，针对用户上行传输数据全程加速。使用本方案后，用户请求自动被调度到最近的节点，节点接收到用户上传的数据后，通过如下技术将用户上传的内容快速上传到源站： 根据您的用户分布，天翼云全站加速产品可在全球各地选择最优的边缘节点供用户接入。 用户上传内容到边缘节点后，全站加速平台通过智能选路选出最优回源路径，快速地将用户上传的内容传输到源站或者云端。 应用场景 上传加速主要应用场景包括：图片上传、音视频上传、新闻素材和稿件上传等场景。 配置说明 1.登录边缘安全加速控制台，进入【安全与加速工作台】【CDN加速配置】，在域名列表中选中需要配置的域名。 2.单击【编辑配置】，找到【上传加速】配置模块。 配置参数说明： 参数名 配置值 说明 上传加速 开启/关闭 开启后将提供上传加速能力 注意 开放试用，开启后上传大小默认限制为: 300M ，建议叠加动态加速配置可使上传加速效果更佳。 配置界面：

本章介绍预防帐户暴力破解攻击方案。 帐户破解风险 一旦主机帐户被破解，入侵者就拥有了对主机的操作权限，主机上的数据将面临被窃取或被篡改的风险，企业的业务会中断，造成重大损失。 如何预防 配置SSH登录白名单 SSH登录白名单功能是防护帐户破解的一个重要方式，配置后，只允许白名单内的IP登录到服务器，拒绝白名单以外的IP。 开启双因子认证 双因子认证功能是一种双因素身份验证机制，结合短信/邮箱验证码，对云服务器登录行为进行二次身份认证。 在“双因子认证”页面，勾选需要开启双因子的主机，单击“开启双因子认证”，开启双因子认证。 修改默认端口 将默认的远程管理端口“22”、“3389”修改为不易猜测的其他端口。 设置安全组规则，限制攻击源IP访问您的服务端口 可实时检测攻击者对主机中帐户的暴力破解攻击，拦截攻击源IP。您可以通过配置安全组规则来限制攻击源IP访问您的服务端口。 说明 建议设置对外开放的远程管理端口（如SSH、远程桌面登录），只允许固定的来源IP进行连接。 如果是远程登录端口，您可以只允许特定的IP地址远程登录到弹性云服务器。 例：仅允许特定IP地址（例如，192.168.20.2）通过SSH协议访问Linux操作系统的弹性云服务器的22端口，安全组规则如下所示： 仅允许特定IP地址远程连接云服务器 方向 协议应用 端口 源地址 入方向 SSH（22） 22 例如：192.168.20.2/32

本页介绍分布式融合数据库HTAP的功能特性。 一站式 HTAP 解决方案 采用独特的行列混合存储策略，将传统的行存储和高效的列存储智能融合，结合先进的MPP（大规模并行处理）架构和优化技术，为用户提供一站式的HTAP服务。用户可以在同一个系统中实时高效处理TP、AP混合负载，简化架构复杂性，降低管理成本。 弹性伸缩，灵活计费 基于存储计算分离架构的精心设计，支持用户根据实际需求灵活扩展存储和计算能力，无论是扩大存储容量还是增加计算资源，都能够轻松实现；提供包年包月和按需付费两种灵活的计费方式，让用户能够根据实际使用情况选择最适合的付费模式，实现资源成本的有效管理和控制。综合而言，不仅保障了高效的资源分配和优化，还显著降低了资源投入的总体成本。 多项企业级能力 提供丰富的企业级能力，帮助用户大幅降低运维成本，有效保障数据库服务的稳定、安全及高效。这些企业级能力，包括但不限于：实时监测系统的运行状态和性能指标，帮助用户迅速识别潜在问题，采取适当的措施以保障数据库的稳定性；提供参数模板功能，用户可以根据不同的业务需求灵活地管理和调整数据库参数，确保数据库持续高效运行；提供强大的用户管理和权限控制功能，确保数据访问安全且合规；提供灵活的安全审计功能，帮助用户追踪和监测数据访问情况，增强整体安全性。

服务器安全卫士（原生版）安全服务如何续费？ 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏选择“设置中心 > 配额管理”，进入配额管理页面。 3. 查看您已经订购的配额，选择所需续订的配额，点击“续订”；或勾选需要续订的配额，单击列表上方的“批量续订”。 4. 进入服务器安全卫士（原生版）续订页面，根据使用需要设置续订时长。 5. 续订时长设置完成后，在页面下方确认支付费用，阅读《天翼云服务器安全卫士（原生版）服务协议》，并勾选“我已阅读，理解并同意《天翼云服务器安全卫士（原生版）服务协议》“，在页面右下角单击“立即购买”。当续订周期达到1年或以上时，续订单将可享受包年折扣，续订金额显示折后价。 服务器安全卫士（原生版）安全服务如何退订？ 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏选择“设置中心 > 配额管理”，进入配额管理页面。 3. 查看您已经订购的配额，选择需要退订的配额，点击“退订”。 4. 进入退订申请页面，确认退订信息，信息确认无误后选择退订原因，勾选“我已确认本次退订金额和相关费用”后，点击“退订”后即可进行退订。 5. 系统提示退订申请提交成功，可前往订单详情查看退订进度。