本章节主要介绍翼MapReduce的切换Ranger鉴权操作。 操作场景 新安装的安全模式集群默认即安装了Ranger服务并启用了Ranger鉴权，用户可以通过组件的权限插件对组件资源的访问设置细粒度的安全访问策略。若不需使用Ranger进行鉴权，管理员可在服务页面手动停用Ranger鉴权，停用Ranger鉴权后，访问组件资源时系统将继续基于FusionInsight Manager的角色模型进行权限控制。 从历史版本升级的集群，用户访问组件资源时默认不使用Ranger鉴权，管理员可在安装了Ranger服务后手动启用Ranger鉴权。 说明 安全模式集群中，支持使用Ranger鉴权的组件包括：HDFS、Yarn、Kafka、Hive、HBase、Storm、Spark2x、Impala。 非安全模式集群中，Ranger可以支持基于OS用户进行组件资源的权限控制，支持启用Ranger鉴权的组件包括：HBase、HDFS、Hive、Spark2x、Yarn。 启用Ranger鉴权后，该组件所有鉴权将由Ranger统一管理，原鉴权插件设置的权限将会失效（HDFS与Yarn的组件ACL规则仍将生效），请谨慎操作，建议提前在Ranger上做好权限部署。 停用Ranger鉴权后，该组件所有鉴权将由组件自身权限插件管理，Ranger上设置的权限将会失效，请谨慎操作，建议提前在Manager上做好权限部署。 启用Ranger鉴权 1. 登录FusionInsight Manager。 2. 选择“集群 > 服务”。 3. 单击服务视图中指定的服务名称。 4. 在服务详情页面单击“更多”，选择“启用Ranger鉴权”。 5. 输入当前登录的用户密码确认身份，单击“确定”。 6. 在服务列表，重启配置过期的服务。

边缘安全加速平台——安全与加速服务 该产品可有效实现核心业务静态资源的缓存管理，并对动态请求实施优化回源机制。同步启用分布式DDoS防御、境外恶意请求拦截及境内异常攻击防护策略，在显著降低客户机房运行负载的同时，构建云端防护体系与客户本地安全系统的联动联防机制，形成覆盖网络传输层与应用层的立体化纵深防御架构。 服务流程 为有效保障服务的持续稳定与高效运转，由资深技术专家组成的专项团队秉承卓越运维理念，经深入调研行业最佳实践，牵头设计了体系化的服务质量管理规范。团队深谙行业特性及业务痛点，经过多维度评估论证，综合考量业务模式、技术基础设施及潜在风险因素，最终构建出覆盖全流程的标准化服务保障框架，配套涵盖需求调研、服务设计、部署实施、测试优化、保障值守、全面复盘等关键环节的全周期管理机制。 针对本次客户的业务保障需求，严格遵循了内部服务质量管理规范的要求，将执行力落地到流程中的每个细微环节中： 服务效果 为了确保真实报考时业务系统稳定运行，客户组织某地市考生模拟志愿填报，当天QPS峰值达到1.26万，并遭受了CC攻击。因运营专家团队前期做了大量的策略准备工作，本次模拟全程稳定，CC攻击100%拦截。 6月23日6月29日该省全省高考志愿填报期间，峰值带宽达到473 Mbps，请求数峰值达75.99 万次，峰值并发QPS 2533 次，总计请求数 34132.91 万次，安全防护9553 次，全程业务稳定0 故障、0 安全事件，服务得到了客户的高度认可。

本节主要介绍如何新增操作连接。 含义：操作连接是安全编排流程中，每个插件节点需要使用到的连接域名和鉴权参数。 作用：用于在安全编排的流程执行过程中，每个插件节点运行时，传入需要连接的域名信息，以及在访问该域名时，需要使用到的用户鉴权信息，如用户名/密码、账号AK/SK等。 操作连接与插件的关系：每个插件在运行过程中，需要通过域名调用的方式访问其他云服务或者三方服务，调用过程中需要鉴权，因此，在插件的登录凭证参数中会定义需要的域名参数（Endpoint）和认证参数（用户名/密码、账号AK/SK等）。操作连接则是配置插件登录凭证的参数值，流程中每个插件节点绑定不同的操作连接，支持相同插件的不同节点访问不同的服务。 前提条件 已新增工作空间，具体操作请参见新增工作空间。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“操作连接”页签，进入连接管理页面。 5. 在操作连接管理页面中，单击“新增”，右侧弹出新增操作连接面板。 6. 在新增操作连接面板中，配置连接参数，参数说明如下表所示。 参数名称 说明 连接名称 输入操作连接名称。名称规则如下： 可输入英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（）。 长度不能超过64个字符。 插件 选择资产连接所需的插件。插件详细信息请参见查看插件详情。 描述 可选参数，输入资产描述，描述信息长度不能超过64个字符。 7. 单击“确认”，返回列表，即可查询已经创建的操作连接信息。

本文为您详细介绍如何进行人工智能大模型备案。 一、备案介绍 大模型备案是指利用生成式人工智能技术，向中国境内公众提供具有舆论属性或社会动员能力的生成文本、图片、音频、视频等内容服务的模型，依据《生成式人工智能服务管理暂行办法》等法律法规履行的备案手续。其核心特征在于“主动监管”，要求服务提供者对模型的安全性、数据合法性和内容可控性进行全面评估。 政策链接：< 二、大模型备案流程与材料 第一步：向属地网信办申请备案 申请单位需向属地网信办提交备案申请，领取并填写《生成式人工智能（大语言模型）备案信息采集表》。 第二步：材料准备与安全自评估 《生成式人工智能上线备案表》：正式提交模型上线备案的申请文件，明确模型基本信息、备案主体及合规承诺。 《安全评估报告》：全面评估模型在数据安全、内容合规、算法偏见及系统防护等方面的风险控制能力。 《模型服务协议》：界定用户与开发者之间的权利义务，明确数据使用范围、服务条款及法律责任划分。 《语料标注规则》：规范训练数据的标注流程与标准，确保数据质量并避免伦理偏见。 《拦截关键词列表》：列出需过滤的违法、敏感及虚假信息关键词，作为内容安全的基础拦截规则。 《评估测试题》：通过设计合规性、边界及性能测试场景，验证模型的实际表现与风险抵御能力。 其他备案必需材料。

本文为您详细介绍如何进行人工智能大模型备案。 一、备案介绍 大模型备案是指利用生成式人工智能技术，向中国境内公众提供具有舆论属性或社会动员能力的生成文本、图片、音频、视频等内容服务的模型，依据《生成式人工智能服务管理暂行办法》等法律法规履行的备案手续。其核心特征在于“主动监管”，要求服务提供者对模型的安全性、数据合法性和内容可控性进行全面评估。 政策链接：< 二、大模型备案流程与材料 第一步：向属地网信办申请备案 申请单位需向属地网信办提交备案申请，领取并填写《生成式人工智能（大语言模型）备案信息采集表》。 第二步：材料准备与安全自评估 《生成式人工智能上线备案表》：正式提交模型上线备案的申请文件，明确模型基本信息、备案主体及合规承诺。 《安全评估报告》：全面评估模型在数据安全、内容合规、算法偏见及系统防护等方面的风险控制能力。 《模型服务协议》：界定用户与开发者之间的权利义务，明确数据使用范围、服务条款及法律责任划分。 《语料标注规则》：规范训练数据的标注流程与标准，确保数据质量并避免伦理偏见。 《拦截关键词列表》：列出需过滤的违法、敏感及虚假信息关键词，作为内容安全的基础拦截规则。 《评估测试题》：通过设计合规性、边界及性能测试场景，验证模型的实际表现与风险抵御能力。 其他备案必需材料。

本文重点介绍为天翼云物理机创建备份的最佳实践简介。 方案介绍 当我们部署在物理机上的系统出现外部病毒入侵、人为误操作、业务软件Bug等故障场景时，可以通过云服务备份为物理机创建定期自动备份（备份周期最小为1小时）。当上述故障发生时，可通过备份进行快速恢复，避免数据丢失。 云服务备份将物理机的配置和所包含的多个云硬盘数据备份到高可靠性等级的对象存储服务中，保障用户的备份数据安全。 应用场景 企业核心数据库场景和政企金融高安全场景对数据安全性有苛刻要求，建议使用本方案对物理机进行备份，提升数据可靠性。 优势 简单：可以自定义策略进行在线备份，备份设置简单易操作。 高效：支持增量备份、增量恢复，RTO可达分钟级。 可靠：同时对所有云硬盘进行备份，不存在因备份创建时间差带来的数据不一致问题；对象存储服务的规格满足99.999999999%持久性标准。 约束与限制 不支持使用物理机的备份创建镜像。 不支持备份带有共享云硬盘的物理机。 恢复时，物理机会自动关机，将中断租户业务，关机后有一段时间物理机处于锁定状态，租户不可操作。 前提条件 1. 创建密钥对 为安全起见，物理机登录时建议使用密钥方式进行身份验证。因此，您需要使用已有密钥对或新建一个密钥对，用于远程登录身份验证。 2. 创建虚拟私有云 物理机使用虚拟私有云提供的网络，包括子网、安全组等。

本小节介绍等保咨询服务常见问题。 本产品是否支持试用？ 等保咨询服务不支持试用。如果您需要使用等保咨询服务，可以联系客服进一步了解该服务的内容和优势。感谢您的理解和支持。 本产品下订单后是否支持退订？ 等保咨询服务一旦服务开始后便不支持退订，感谢您的理解和支持。 等保咨询服务的报价依据包含哪些方面？ 主要依据系统等级（涉及测评项不同）、服务版本（标准版或精简版）、云主机数量（涉及工作量不同）、地区（不同省份人工成本有差距）、是否首次测评（首次涉及工作量较多，如：加固建议，管理建议等）、系统行业（不同行业有不同等保标准）。 什么是等级保护？ 等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。 等保咨询的服务范围包含哪些方面？ 等保咨询简化服务：按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务，输出《等保测评技术指导》。提供系统差距的安全风险分析，包括网络、防护、应用、制度等测评相关服务，并输出《差距分析评估》。 等保咨询标准服务：包含所有简化版服务内容，提供针对性的等保合规要求的整改安全方案。

本文主要介绍分布式消息服务RabbitMQ的产品优势。 天翼云分布式消息服务RabbitMQ完全兼容开源社区版本，旨在为用户提供便捷高效的消息队列。业务无需改动即可快速迁移上云，为您节省维护和使用成本。 一键式部署，免去集群搭建烦恼 专享实例只需要在实例管理界面选好规格配置，提交订单，后台将自动创建部署完成一整套RabbitMQ实例。 兼容开源，业务零改动迁移上云 兼容社区版RabbitMQ的API，具备原生RabbitMQ的所有消息处理特性。 业务系统基于开源的RabbitMQ进行开发，只需加入少量认证安全配置，即可使用天翼云分布式消息服务RabbitMQ，做到无缝迁移。 说明 RabbitMQ实例兼容开源社区RabbitMQ 3.8.35版本。 独占式体验 RabbitMQ实例采用物理隔离的方式部署，租户独占RabbitMQ实例，每个RabbitMQ之间互不影响。 高性能 单队列性能最高可达10万TPS（默认配置），增加队列可获得更高性能。 数据安全 独有的安全加固体系，提供业务操作云端审计，消息存储加密等有效安全措施。 在网络通信方面，除了提供SASL认证，还借助虚拟私有云（VPC）和安全组等加强网络访问控制。 无忧运维 天翼云提供一整套完整的监控告警等运维服务，故障自动发现和告警，避免724小时人工值守。RabbitMQ专享实例自动上报相关监控指标，如分区数、主题数、堆积消息数等，并支持配置监控数据发送规则，您可以在第一时间通过短信、邮件等获得业务消息队列的运行使用和负载状态。

本节介绍如何为服务器安装/卸载服务器安全卫士Agent。 服务器安全卫士Agent是安装在云主机上的一款应用软件，用于检测云主机中存在的安全风险。 安装Agent后，才能使用服务器安全卫士的防护能力，包括资产管理、风险管理、入侵检测、网页防篡改等。 如果不安装Agent，将无法对云主机进行安全检测。 使用限制 目前支持安装Agent的操作系统请参见支持的操作系统。 注意 如果您的服务器操作系统不在支持范围内，安装Agent后可能存在兼容性问题，无法保证能正常使用服务器安全卫士（原生版）的防护能力。 如果您的服务器上已安装第三方安全软件，可能会导致服务器安全卫士的Agent无法正常安装和升级 ，建议您先关闭或卸载安全软件后再安装Agent。 安装Agent 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“资产管理 > 服务器列表”，进入服务器列表页面。 3. 点击“安装Agent”，弹出安装Agent窗口，按需选择Linux和Windows系统的安装命令。 Linux主机安装Agent 1. 选择Linux系统，复制安装命令。 2. 在Linux云主机中以管理员权限执行安装命令进行安装。 说明 手动安装Agent后，等待5分钟左右会自动连接，请耐心等待（无需重启服务器）。

相关术语解释 VPN网关 VPN网关是VPN连接的接入点。一个VPN网关仅能绑定一个VPC，每个VPN网关可以创建多个VPN连接。每个VPN网关默认分配了一个公网IP地址，可以满足用户本地数据中心侧VPN设备或移动终端接入VPC的业务需求。 用户网关 用户企业侧的VPN网关，与VPC侧VPN网关互为本端、远端。用户侧数据中心VPN网关需具备固定公网IP，动态拨号公网IP无法进行IPsec VPN对接。如果用户侧公网IP进行了变更，则需要尽快在天翼云上进行同步修改。否则，会导致IPsec VPN协商失败，流量转发不通。 IPsec连接 IPsec连接是一种基于IP协议的加密技术，用于构建VPN网关和用户本地数据中心远端网关之间的安全、可靠的加密通道。VPN连接使用IKE（Internet Key Exchange，网络密钥交换协议）和IPsec协议对传输数据进行加密，保证数据安全可靠，并且IPsec VPN连接基于互联网进行传输，更加节约成本。 SSL 服务端 SSL 服务端是SSL VPN连接的客户端网关，主要实现数据包的封装与解封装。需要在 VPN 网关中进行 SSL 服务端的相关配置，如配置本端子网、客户端地址池、传输协议及端口等。 SSL 客户端 SSL VPN客户端是一种安全访问虚拟专用网络（VPN）的客户端应用程序，它使用安全套接层（SSL）协议来建立加密的远程连接，以确保数据在客户端和VPN服务器之间的传输安全。

本文主要介绍云日志服务与其他服务的关系。 虚拟私有云(CTVPC ，Virtual Private Cloud) 虚拟私有云为您需要接入的弹性云主机或容器集群提供一个逻辑隔离的区域，构建一个安全可靠、 可配置和管理的虚拟网络环境。更多信息请参见虚拟私有云。 弹性云主机（CTECS，Elastic Cloud Server） 通过云日志服务，您可采集弹性云主机上的应用日志。云主机由 CPU、内存、镜像、云硬盘组成，同时结合VPC、安全组、数据多副本保存等能力，打造一个既高效又可靠安全的计算环境。更多信息请参见弹性云主机。 云容器引擎 云容器引擎提供高可靠高性能的企业级容器应用管理服务，支持Kubernetes社区原生应用和工具，帮助用户在云上轻松部署、管理和扩展容器化应用。更多信息请参见云容器引擎产品介绍。 VPC终端节点 VPC终端节点（CTVPCEP，VPC EndPoint）可以在VPC内提供便捷、安全、私密的通道与云日志服务进行连接，用于进行日志数据上报。该服务使用天翼云内部网络，无需弹性公网IP，为您提供性能更加强大、更加灵活的网络。更多信息请参见VPC终端节点产品介绍。

本节介绍了云数据库TaurusDB的使用限制说明。 TaurusDB使用上有一些固定限制，用来提高实例的稳定性和安全性，具体详见下表。 表功能使用限制 功能 使用限制 TaurusDB访问 如果TaurusDB数据库实例没开通公网访问，则该实例必须与弹性云主机在同一个虚拟私有云内才能访问。 弹性云主机必须处于目标TaurusDB数据库实例所属安全组允许访问的范围内。如果TaurusDB数据库实例与弹性云主机处于不同的安全组，系统默认不能访问。需要在TaurusDB数据库的安全组添加一条“入”的访问规则。“入”规则开放TCP协议，使用数据库实例的默认端口。 TaurusDB数据库实例的默认端口：主备版默认端口为3306，需用户手动修改端口号后，ECS或外网才能访问其他端口。具体操作请参见修改数据库端口。 数据库的root权限 创建实例页面只提供管理员root用户权限（仅限主备版）。 修改数据库参数设置 大部分数据库参数可以通过控制台进行修改。 数据迁移 使用mysqldump迁移TaurusDB数据。 重启TaurusDB实例 无法通过命令行重启，必须通过TaurusDB的管理控制台重启实例。 查看TaurusDB备份 TaurusDB数据库实例在对象存储服务上的备份文件，对用户不可见。

本节介绍了云数据库GaussDB 的约束与限制。 云数据库GaussDB 在使用上有一些固定限制，用来提高实例的稳定性和安全性。 功能 使用限制 数据库访问 弹性云主机必须处于目标云数据库GaussDB实例所属安全组允许访问的范围内。如果云数据库GaussDB实例与弹性云主机处于不同的安全组，系统默认不能访问。需要在云数据库GaussDB的安全组添加一条“入”的访问规则。 云数据库GaussDB实例的默认端口为8000。 部署 实例所部署的服务器，对用户都不可见，即只允许应用程序通过IP地址和端口访问数据库。 数据库的root权限 创建实例页面只提供管理员root用户权限。 说明： GaussDB为root用户开放了sysadmin权限。新创建实例的root用户都将拥有sysadmin权限，而存量实例执行版本升级后，root用户也将拥有sysadmin权限，如果需要进行版本升级，请联系客服处理。 如果存量实例未进行版本升级，则管理员root用户权限为：createrole，createdb和monadmin。由于旧版本root权限低于完整的管理员用户权限， 部分SQL语法/函数执行时会报权限不足，例如：create tablespace 等 重启云数据库GaussDB实例 无法通过命令行重启，必须通过云数据库GaussDB的管理控制台操作重启实例。

本节介绍云安全中心服务等级协议，请点击查看。 天翼云云安全中心服务等级协议

本文主要介绍流量镜像的使用限制。 如下图所示，流量镜像的报文采用标准的VXLAN报文格式封装，更多有关VXLAN协议的信息，请参见RFC 7348。当被镜像的报文长度加上VXLAN报文长度大于镜像源实例的MTU值时，系统会对报文进行截断。为了防止报文被截断，建议您在IPv4场景下，设置弹性网卡的MTU值比链路支持的MTU值至少小64字节。 当前流量镜像支持部分规格云服务器的弹性网卡作为镜像源，包括c7n、m7n。 如果一个弹性网卡已被用作镜像源，则镜像目的不能使用该弹性网卡。 流量镜像会占用弹性网卡绑定实例的带宽，并且不做独立限速。 当一个镜像目的实例需要接收来自多个镜像源的流量镜像时，为了确保正常使用，请您根据业务实际需要合理规划云服务器的规格。 根据流量镜像的匹配规则，同一个镜像源的同一个报文同时符合多个筛选条件规则，也仅会被匹配一次，并且根据采集策略决定是否镜像到目的实例。 对于镜像源弹性网卡已被安全组或者网络ACL拦截丢弃的报文，流量镜像不会镜像该部分报文。 当镜像源的报文符合筛选条件被镜像时，该报文不受镜像源安全组或者网络ACL出方向规则约束，即您无需在镜像源的安全组或者网络ACL做额外配置。但是如果需要将报文镜像到镜像目的实例时，则需要为镜像目的实例所在的安全组和网络ACL配置以下规则： 安全组规则：入方向允许来自镜像源弹性网卡的IP访问4789端口的UDP协议报文。假如镜像源弹性网卡的IP地址为192.168.0.27，则安全组规则配置示例如下表所示。 规则类别 策略 类型 协议端口 源地址 入方向规则 允许 IPv4 自定义UDP: 4789 IP地址：192.168.0.27/32此处仅为示例，请根据实际情况配置。 网络ACL规则：入方向允许来自镜像源弹性网卡的IP访问所有端口的UDP协议报文。假如镜像源弹性网卡的IP地址为192.168.0.27，则网络ACL规则配置示例如下表所示。 规则类别 类型 策略 协议 源地址 源端口范围 目的地址 目的端口范围 入方向规则 IPv4 允许 UDP IP地址：192.168.0.27/32此处仅为示例，请根据实际情况配置。 此处为空，表示全部端口。 IP地址：10.10.0.0/24此处仅为示例，请根据实际情况配置。 4789必须放通4789端口，其他端口请根据实际情况配置。 不同的虚拟私有云VPC之间网络不通，如果镜像源和镜像目的实例不在同一个VPC内，则您需要使用VPC对等连接或者企业路由器连通VPC之间的网络。

本章介绍如何查看全部检测结果。 您可以在“全部结果”页面，获取安全状态的全视图，助您及时确定检测结果的优先级，统筹分析安全趋势。 “全部结果”支持以下特性： 支持呈现威胁告警、漏洞、风险、合规检查、违法违规、时讯舆情等领域信息。 支持实时接收安全产品检测数据，实时更新结果列表。 支持按时间范围、过滤场景等筛选结果。默认呈现近7天内检测结果。 支持查看检测结果详情，以及JSON格式的结果详情。 支持自定义结果列表呈现的属性。 支持标识检测结果的处理状态。 约束限制 按过滤场景筛选检测结果，最多可呈现10000条结果。 仅可呈现近180天的检测结果。 前提条件 已接收到安全产品的检测结果。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理页面。 3. 在左侧导航栏选择“检查结果”，进入全部结果管理页面。 4. 筛选查看检测结果。 在场景列框选择过滤场景，单击搜索按钮，即可查看到目标场景下检测结果。 当过滤后的结果仍较多时，可补充过滤条件和选择时间范围，快速查找结果。 在筛选框补充过滤条件，添加一项或多项过滤条件，并配置相应条件属性，单击搜索按钮，快速查找指定条件属性的结果。 在时间过滤框中，选择检测结果发现的时间范围，单击“确认”，快速查找指定时间范围内的结果。 5. 查看检测结果列表。筛选后的列表，可查看满足条件的检测结果列表，以及结果统计信息。 6. 查看检测结果详情。 1. 单击列表中结果的“标题”，右侧滑出结果详情窗口。 2. 查看与该结果相关的“基本信息”、“描述”、“资源信息”、“攻击信息”、受影响的用户等信息。 参数 参数说明 基本信息 检测结果的基本信息，包括标题、严重等级、状态、发现时间、业务领域、公司名称、产品名称、类型等信息。 描述 检测结果的简要介绍。 资源信息 受影响的资源信息，包括资源名称、资源ID、资源类型、资源区域等信息。 环境信息 受影响的用户信息，包括租户ID、项目ID、用户所在区域等信息。 攻击信息 攻击来源信息，包括攻击源IP、攻击目标IP、攻击源端口、攻击目标端口等信息。 相关检测结果 相关联检测结果的信息，包括相关联资源名称、结果来源等信息。 漏洞信息 漏洞结果信息，包括漏洞ID、CVSS分数、CVSS版本、提供方等信息。 漏洞影响范围 漏洞影响范围信息，包括影响版本、安全版本等信息。 合规检查信息 合规检查基本信息，包括检查项、检查结果等信息。 涉及CVE 漏洞结果CVE编号。 参考链接/链接 结果相关参考链接。 修复建议/处置建议 结果修复或处置建议说明。 3. 单击“查看JSON”，查看JSON格式检测结果详情。

参数 说明 计费模式 包年/包月、按需计费两种模式，参考 计费模式 。 部署模式 标准、云原生两种模式，标准：基于传统管控架构部署。云原生：基于云原生容器平台部署，更灵活、扩容能力更强。 版本类型 基础版、增强版两种版本类型。 实例类型 主备、单机、Cluster主备、Cluster单机、读写分离等实例类型。具体实例类型说明可参考 实例类型 。 版本号 实例内核的版本号。 主可用区 主节点所在的可用区。 备可用区 备节点所在的可用区。当资源池包含3个或更多可用区时，才支持备可用区选项。 CPU架构 X86计算、ARM计算。 主机类型 主机类型信息，包含通用型、计算增强型等。 规格 缓存内存大小。 分片规格 缓存分片内存大小。 分片数 Cluster集群或Proxy主备集群自定义分片数。 副本数 主备、Cluster主备、读写分离可自定义副本数，默认2副本。 存储类型 实例存储类型，包含高IO、超高IO等。 规格信息 最终选择的实例规格信息，包含总容量、分片数、分片容量、副本数、最大连接数、基准/最大带宽。 虚拟私有云 点击下拉框可选择已创建的虚拟私有云，点击右侧的刷新按钮可刷新下拉框列表，点击“创建虚拟私有云”可进入虚拟私有云管理页面新增虚拟私有云。 所在子网 点击下拉框可选择当前虚拟私有云下已创建的子网，点击右侧的刷新按钮可刷新下拉框列表，点击“创建所在子网”可进入子网页面新增子网。 安全组 点击安全组下拉框可选择当前VPC下已创建的安全组，系统会为每个用户默认创建一个安全组。安全组是一个逻辑上的分组，为同一个VPC内具有相同安全保护需求并相互信任的弹性云主机提供访问策略。 企业项目 下拉选择IAM维护的企业项目，若没有找到需要的企业项目，可以跳转到 实例名称 系统生成默认缓存实例名称（用户可修改）。 密码 缓存实例密码。 确认密码 再次确认密码，与上述密码一致。 购买时长 购买实例的时长，计费模式为包年/包月时生效。 自动续期 勾选自动续订后方框，可在包年/包月实例到期后自动续期，计费模式为包年/包月时生效。 实例标签 当项目中云资源较多，或当前资源信息不足以有效地为资源分组归类时，可以通过为资源添加不同维度（例如所属业务、部署环境、操作系统、开发团队等）的标签，实现资源分类。 就近访问 Prox主备集群以及读写分离实例部署在多个可用区时有效。（说明：该功能目前为白名单特性，如需要使用该特性，请联系技术支持开通后使用。）

本文向您介绍企业版VPN如何排查连接状态显示“未连接”的问题。 故障现象 在“虚拟专用网络 >企业版VPN连接”页面，VPN连接状态显示为“未连接”。 可能原因 VPN连接两端的连接配置不正确。 安全组和客户设备侧ACL配置不正确。 处理步骤 检查VPN连接两端的连接配置 确认两端配置的网关IP参数是否为镜像。 VPN网关的主/备EIP可以选择“虚拟专用网络 > 企业版VPN网关”，在网关IP栏下查看。 客户设备侧网关的公网IP可以选择“虚拟专用网络 > 企业版对端网关”，在网关IP栏下查看。 确认IKE策略、IPsec策略协商参数是否一致。 IKE策略、IPsec策略协商参数可以选择“虚拟专用网络 > 企业版VPN连接”，单击“修改策略配置”查看。 确认预共享密钥是否一致。 预共享密钥无法在云上直接查看。如果不确认预共享密钥，建议根据客户设备侧的预共享密钥对VPN连接的预共享密钥进行重置。 可以选择“虚拟专用网络 > 企业版VPN连接”，选择“更多 > 重置密钥”进行重置。 如果连接模式采用策略模式，请确认两端策略规则中的源网段和目的网段是否为镜像。 策略规则可以选择“虚拟专用网络 > 企业版VPN连接”，单击“修改连接信息”查看。 如果连接模式采用静态路由模式且云侧开启了NQA功能，请确认客户设备侧是否已经正确配置Tunnel隧道的IP地址。 是否开启NQA功能，可以选择“虚拟专用网络 > 企业版VPN连接”，单击VPN连接名称，在“基本信息”页签查看“检测机制”。 客户设备侧在VPN连接已设置的Tunnel隧道的IP地址，可以选择“虚拟专用网络 > 企业版VPN连接”，单击“修改连接信息”，查看本端接口地址和对端接口地址。VPN连接的本端接口地址和对端接口地址需要和客户设备的本端接口地址和对端接口地址互为镜像配置。 如果连接模式采用BGP路由模式，请确认两端的BGP ASN是否为镜像。 VPN网关的BGP ASN可以选择“虚拟专用网络 > 企业版VPN网关”，单击VPN网关名称，在“基本信息”页签查看。 客户设备侧网关的BGP ASN可以选择“虚拟专用网络 > 企业版对端网关”，在BGP ASN栏下查看。 检查安全组和客户设备侧ACL配置 确认default安全组已经放通客户设备侧公网IP的UDP协议端口500和4500。 default安全组查看步骤如下： 1. 选择“虚拟专用网络 > 企业版VPN网关”，单击关联的VPC名称。 2. 单击VPC对应的路由表。 3. 单击路由表的名称。 4. 找到VPN网关主或备EIP的下一跳，单击下一跳名称。 5. 在“关联安全组”页签，检查端口放通情况。 确认客户设备侧安全组已经放通VPN网关主备EIP的UDP协议端口500和4500。

常见问题规避 1. IP地址冲突：规划阶段严格校验各VPC CIDR范围，禁止重叠。 2. 路由环路：避免在多个对等连接互通的情况下，在VPC的路由表中配置重复目的地址路由条目。 3. 安全组过度开放：禁止配置 0.0.0.0/0 允许所有端口，按需细化规则。 通过以上设计，可在天翼云单地域多VPC环境下实现 安全隔离、灵活互通、成本可控 的云网络架构，适用于中大型企业多业务线协同或复杂业务分层场景。

本节介绍了用户创建弹性云主机成功后远程登录提示密码错误的处理方法。 处理方法 通过检查弹性云主机的网络配置，是否导致弹性云主机Cloudinit失败，检查步骤如下： 弹性云主机所在安全组80端口“出方向”和“入方向”是否放通。 弹性云主机所在子网DHCP是否放通。 说明 弹性云主机所在的安全组80端口、弹性云主机子网DHCP放通后，重启弹性云主机，等待3～5分钟，远程登录输入密码或密钥可以登录。

本节介绍了弹性云主机与其他服务的关系。 弹性云主机与周边服务的依赖关系如下图所示。 图 弹性云主机与其他服务的关系示意图 弹性云主机与其他服务的关系 弹性伸缩：利用弹性伸缩，可以根据您定义的伸缩策略进行弹性云主机的伸缩，以节省您的资源使用成本和提高资源利用率。 负载均衡：将访问流量自动分发到多台弹性云主机上，提高应用系统对外的服务能力，提高应用程序容错能力。 云硬盘：可以将云硬盘挂载到弹性云主机，并可以随时扩容云硬盘容量。 虚拟私有云：为弹性云主机提供一个逻辑上完全隔离的专有网络，您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 镜像：您可以通过镜像创建弹性云主机，提高弹性云主机的部署效率。 云监控：当用户开通了弹性云主机后，无需额外安装其他插件，即可在云监控查看对应服务的实例状态。弹性云主机支持的监控指标请参考弹性云主机支持的基础监控指标。 数据加密服务：加密功能依赖于数据加密服务。您可以在创建弹性云主机时，使用加密镜像或加密云硬盘，此时需要使用数据加密服务提供的密钥，从而提升数据的安全性。 云审计服务：记录与弹性云主机相关的操作事件，便于日后的查询、审计和回溯。 云备份：提供对弹性云主机的备份保护服务。支持对弹性云主机中的所有云硬盘（系统盘和数据盘）进行备份，并利用备份数据恢复弹性云主机数据。

本文介绍如何为员工部署终端安全软件。 背景说明 企业订购终端安全授权后，需要员工配合部署终端安全软件，因此需要选择合适的终端部署方式。 操作步骤 1. 登录边缘安全加速控制台，选择【终端管理】。 2. 在左侧导航栏找到【设置终端部署】，或者在总览页面点击“终端部署”按钮。 3. 可根据不同场景选择对应部署方式。 员工自助安装 适用于员工可以自助部署安装包的场景，将以下内容通过IM、邮件、OA公告等方式发送至员工，员工自助下载和安装客户端。 编辑完通知内容、网页有效期后，即可把专属部署推广链接发送给员工。企业专属推广网页如下，员工根据设备的操作系统下载对应客户端并完成安装部署。 管理员下载安装 适用于需要管理员手动安装的电脑（比如无人值守设备、公共设备），下载安装包后通过U盘拷贝等方式进行安装。 管理员根据设备的操作系统下载对应客户端并完成安装部署。 注意： 1. 下载完成后请勿修改安装包名称，否则无法自动加入企业。 2. 为避免可能出现的软件冲突，请提前卸载卫士、管家等安全软件。 3. 客户端支持情况如下，如不在系统范围内，建议升级系统后使用

此小节介绍企业主机安全查看Agent管理。 可分类查看所有服务器是否安装Agent，同时可安装或卸载服务器的Agent，并提供安装指导及Agent下载链接。 约束限制 未开启防护不支持安装与配置相关操作。 操作步骤 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 3、在左侧导航树选择“安装与配置 > Agent 管理”，进入Agent管理页面。 4、选择“Agent不在线（X）”，查看Agent未安装或离线的服务器；选择Agent在线（X），查看Agent在线的服务器。 5、单击“Agent安装指南”可查看Agent安装的快速指导。 6、单击“Agent版本说明”，可查看Agent的最新版本、历史版本及变

数据库类型 数据库OS 数据库版本 加密方式 加密套件 DBAudit Oracle Linux 11.2.0.4 12.1.0.2 高级安全（Oracle Advanced Security） AES256 支持 Oracle Linux 11.2.0.4 12.1.0.2 SSL SSL RSA WITH AES 256 CBC SHA 支持 Oracle Linux 11.2.0.4 12.1.0.2 SSL SSL RSA WITH ЗDES EDE CBC SHA 支持 Oracle Linux 18.3.0.0 19.3.0.0 21.3.0.0 高级安全（Oracle Advanced Security） AES256 支持 Oracle Linux 18.3.0.0 19.3.0.0 21.3.0.0 SSL SSL RSA WITH AES 256 CBC SHA 支持 Oracle Linux 18.3.0.0 19.3.0.0 21.3.0.0 SSL TLS RSA WITH AES 256 CBC SHA 支持 Oracle Linux 18.3.0.0 19.3.0.0 21.3.0.0 SSL TLS RSA WITH AES 256 CBC SHA256 支持 Oracle Linux 18.3.0.0 19.3.0.0 21.3.0.0 SSL TLS RSA WITH AES 128 CBC SHA256 支持 Oracle Linux 18.3.0.0 19.3.0.0 21.3.0.0 SSL TLS RSA WITH AES 128 CBC SHA 支持

基线核查主要是针对主机的操作系统、数据库、虚拟化设备、软件基础、应用程序的配置合规性进行检查，并提供检测结果说明和加固建议。 功能说明 基线检查功能进行系统安全加固，降低入侵风险并满足安全合规要求。 展示基线漏洞详细信息以及漏洞发生IP地址。 记录基线合规相关风险信息，其中包括终端IP地址、基线名称、基线检查类型、发现时间及是否修改符合。

本节主要介绍编辑密码规则和清除密码规则。 点击“访问控制”>“安全设置”，进入“安全设置”页面，在“密码安全设置”处可以进行编辑密码规则和清除密码规则。 编辑密码规则 在“密码安全设置”处点击“编辑密码规则”，可以对密码规则进行重新设置。 项目 描述 :: 密码长度 可以设置用户的密码长度，取值范围是8~128的整数。 密码中必须包含元素 用户可以选择下列的任意一项或者多项： 大写字母：A~Z。 小写字母：a~z。 数字：0~9。 非字母数字字符，包括：!@ $%^&()+[]{}’ 如果不选，使用默认规则，即密码中必须包含小写字母和数字。 密码有效期 密码有效天数，整数形式，取值范围为0~1095，0表示永不过期。 自主管理密码 如果勾选用户自主管理密码，允许IAM用户自主修改密码。 如果未勾选用户自主管理密码，只能管理员来修改密码。 密码过期后 限制用户登录，允许用户重置密码：密码过期后，用户可以自行修改密码。 限制用户登录，须由管理员重置密码：密码过期后，用户不能执行修改密码。 历史密码检验策略 在重置密码时对历史密码进行检查，禁止使用设置次数前的密码。整数形式，取值范围为0~24，0表示不启用历史密码检验策略，但当前密码不属于历史密码，故新设置的密码不能与当前密码相同。 历史密码为除当前密码外，历史使用过的密码。例如设置历史检验策略为1，当前密码为Password1，前一次的密码为Password0，用户希望设置的新密码为Password2，则Password2不能与前一次密码Password0和当前密码Password1相同。 自主管理密码和密码过期后之间的关系如下表所示： 项目 勾选用户自主管理密码 不勾选用户自主管理密码 ::: 限制用户登录，允许用户重置密码 任何时候，IAM用户都可以自己修改密码。 只能密码过期后，允许IAM修改一次密码。 限制用户登录，不允许用户重置密码 任何时候，控制台用户无法修改密码，可以通过API进行修改。 IAM用户任何时候都不能自行修改密码。

本文介绍如何查看订单。 操作步骤 1. 支付成功后进入“我的订单”页面。 2. 单击“详情”，待订单状态为开通完成后即可进入大模型安全测评页面。

port 22 这一行的井号注释符去掉，修改22为2020。 图 修改为2020端口 3. 按“ESC”退出编辑模式，输入“:wq!”保存退出。 4. 执行以下命令重启sshd服务。 service sshd restart 或 systemctl restart sshd 5. （可选）配置防火墙。如防火墙关闭，可以忽略防火墙的配置操作。 CentOS 7的防火墙是firewalld，CentOS 6版本用的iptables，两者使用上有些差别，以下操作以CentOS 7为例。 执行如下命令查看防火墙状态：firewallcmd state 方法一：关闭防火墙并取消开机自启。 systemctl stop firewalld systemctl disable firewalld 方法二：在firewalld服务中添加新的端口。 i. 执行以下命令，添加2020端口规则。 firewallcmd zonepublic addport2020/tcp permanent firewallcmd reload ii. 查看添加的端口。在ports中已添加端口2020 tcp连接。 firewallcmd listall iii. 修改完成后重启防火墙。 systemctl restart firewalld.service 6. 修改安全组规则。 在“入方向”添加协议为“TCP”，端口为“2020”的规则。 使用2020端口验证远程登录云主机。 修改Linux弹性云主机的默认SSH端口后，使用新端口无法登录？ 问题现象 修改默认的SSH端口后，无法使用新的端口登录云主机 。 可能原因 安全组未放通新的端口。 防火墙未放通新的端口。 ssh配置文件中未添加新的端口信息。 hosts文件配置错误。 检查安全组规则 检查安全组是否设置正确。 以新的SSH端口号为2020为例，安全组规则在确保“出方向”Any、Any的情况下，“入方向”需要放通2020端口。 检查防火墙规则 检查iptables防火墙是否放通新的SSH端口，以2020端口为例。 1. 登录Linux弹性云主机。 2. 以CentOS 7.3操作系统为例，执行以下命令编辑iptables文件。 vi /etc/sysconfig/iptables 3. 添加2020端口规则 A INPUT m state state NEW m tcp p tcp dport 2020 j ACCEPT 4. 修改完成后重启iptables服务。 systemctl restart iptables 检查ssh配置文件 登录弹性云主机检查ssh配置文件。 1. 执行如下命令，查看是否配置了 Port 2020。 vi /etc/ssh/sshdconfig 2. 如未配置，请将“

本文将为您介绍天翼云云通信的应用场景，方便您了解短信服务。 短信验证码 随着移动互联网的发展，各类APP不断涌出，出现爆发性的登录、验证需求，验证码业务需求日益广泛。短信验证码是企业给消费者（用户）的一个凭证，通过短信验证码注册和验证身份，降低了非法注册数量，提高了用户质量。 在移动互联网的大潮形势下，国内的各行各业，包括银行、大型互联网、电子商务等都已经相继采用了短信验证码的形式来保障用户安全。短信验证码已应用于APP、网站的注册； 登录账户、异地登录的安全提示； 找回密码的安全验证； 支付认证、身份校验、手机绑定等多种场景。 系统信息推送（短信通知） 随着无纸化办公时代的到来，各类通知的需求日益增加，如会议通知、短信公文 、故障预警与人员调度、信用卡或借记卡查询、帐务变动提醒、客户关怀、节日问候等等。 向注册用户下发系统相关信息，其中包含： 服务开通、升级或维护、价格变更、 订单确认、物流快递情况、消费确认和支付提醒等短信。

本节主要介绍设置微服务引擎公网访问 状态“可用”的微服务引擎专享版，绑定公网IP后可提供公网访问微服务引擎专享版的能力。 须知 将未配置安全认证鉴权能力的微服务引擎开放到公网将面临安全风险，增加系统的脆弱性。如：配置、服务信息等数据资产可能会被窃取。 请不要在生产环境和安全要求较高的网络环境中使用该功能。 开启公网访问 1、进入微服务引擎页面，单击左侧菜单栏的“引擎列表”。 2、单击待开启公网访问的微服务引擎名称，进入微服务引擎的“基本信息”页面。 3、单击并开启“公网访问”开关。 4、单击“弹性IP地址”后的下拉框。在下拉框中选择可用弹性IP，单击下拉框后侧的 “√”。 若下拉框中无可用弹性IP，请单击“创建弹性IP”，根据界面提示创建。 关闭公网访问 1、进入微服务引擎页面，单击左侧菜单栏的“引擎列表”。 2、单击待关闭公网访问的微服务引擎名称，进入微服务引擎的“基本信息”页面。 3、单击并关闭“公网访问”开关。 4、在弹出对话框单击“确定”。

本章节为您介绍如何配置PCI DSS/3DS合规。 安全传输层协议（Transport Layer Security，TLS）在两个通信应用程序之间提供保密性和数据完整性。HTTPS协议是由TLS+HTTP协议构建的可进行加密传输、身份认证的网络协议。当防护网站的接入模式为“域名接入” 且“服务器配置”的协议端口仅为“HTTPS”时，您可以通过WAF为网站设置最低TLS版本和加密套件（多种加密算法的集合），对于低于最低TLS版本的请求，将无法正常访问网站，以满足行业客户的安全需求。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 仅域名接入方式的防护对象支持配置PCI DSS/3DS合规。 仅协议端口为HTTPS的防护对象支持配置PCI DSS/3DS合规。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 进入到云WAF控制台，在左侧导航栏选择“接入管理”，默认进入“域名接入”页签。 5. 选择需要配置防护域名，单击“操作”列的“编辑”按钮，跳转至编辑页面。 6. 选择“合规认证”模块，根据业务需求开启PCI DSS、PCI 3DS认证。 7. 配置完成后，单击“保存设置”，则可开启PCD DSS/PCI 3DS认证。

本节介绍如何下载或导出日志。 操作场景 态势感知（专业版）支持将原始日志或查询分析日志下载或导出到本地，方便通过日志分析和定位问题。 导出原始日志：在“原始日志”页签中，单击，系统将下载日志到本地。 下载图表日志：在“图表统计”页签中，单击“下载日志”，系统将下载日志到本地。 前提条件 已完成数据接入，详细操作请参见云服务接入。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道列后，再单击管道名称，右侧将显示管道数据的检索页面。 6. （可选）在管道数据检索页面，输入查询条件，选择时间下拉菜单中选择查询时间，并单击“查询/分析”。 7. 下载日志。 导出原始日志：在“原始日志”页签中，单击，系统将下载日志到本地。 下载图表日志：在“图表统计”页签中，单击“下载日志”，系统将下载日志到本地。