本小节介绍证书管理服务使用限制。 证书支持的浏览器版本 浏览器证书品牌 国际标准DV证书 国际标准OV 证书 国际标准EV 证书 国密标准（SM2）DV 证书 国密标准（SM2）OV 证书 Android 2.3 (Gingerbread) √ √ √ × × Android 4.0 (Ice Cream Sandwich) √ √ √ × × Android 4.1 (Jelly Bean) √ √ √ × × Android 4.2 (Jelly Bean) √ √ √ × × Android 4.3 (Jelly Bean) √ √ √ × × Android 4.4 (KitKat) √ √ √ × × Android 5.0 (Lollipop) √ √ √ × × Android 5.1 (Lollipop) √ √ √ × × Android 6.0 (Marshmallow) √ √ √ × × Android 7.0 (Android Nougat) √ √ √ × × Android 7.1 (Android Nougat) √ √ √ × × Android 8.0 (Android Oreo) √ √ √ × × Android 9.0 (Android Pie) √ √ √ × × Android 10.0 (Android Q) √ √ √ × × Android 11.0 (Android R) √ √ √ × × iOS 5 √ √ √ × × iOS 6 √ √ √ × × iOS 7 √ √ √ × × iOS 8 √ √ √ × × iOS 9 √ √ √ × × iOS 10 √ √ √ × × iOS 11 √ √ √ × × iOS 12 √ √ √ × × iOS 13 √ √ √ × × iOS 14 √ √ √ × × OS X 10.9 (Mavericks) √ √ √ × × OS X 10.10 (Yosemite) √ √ √ × × OS X 10.11 (Eicapitan) √ √ √ × × OS X 10.12 (Sierra) √ √ √ × × OS X 10.13 (High Sierra) √ √ √ × × OS X 10.14 (Mojave) √ √ √ × × java 7u181 √ √ √ × × java 8u161 √ √ √ × × java8u181 √ √ √ × × java8u202 √ √ √ × × java 9 √ √ √ × × java 10 √ √ √ × × java 11 √ √ √ × × java 12 √ √ √ × × java 13 √ √ √ × × java 17 √ √ √ × × Firefox 3.0 √ √ √ × × Firefox 3.5 √ √ √ × × Firefox 3.6 √ √ √ × × Firefox 6.0 √ √ √ × × Firefox 16 √ √ √ × × Firefox 23 √ √ √ × × Firefox 32 √ √ √ × × Firefox 42 √ √ √ × × Firefox 50 √ √ √ × × Firefox 51 √ √ √ × × Firefox 54 √ √ √ × × Firefox 58 √ √ √ × × Firefox 63 √ √ √ × × Firefox 65 √ √ √ × × Windows XP √ √ √ × × Windows 7 √ √ √ × × Windows 8 √ √ √ × × Windows 10 √ √ √ × × 红莲花 √ √ √ √ √ 赢达信安全浏览器 √ √ √ √ √ ZoTrus零信浏览器 √ √ √ √ √ 奇安信可信浏览器 √ √ √ √ √ 360安全浏览器 √ √ √ √ √ 亚数国密浏览器 √ √ √ √ √

在云应用引擎中，应用配置可以通过 ConfigMap 和 Secret 管理，实现配置与容器镜像的分离。ConfigMap 适用于存储普通配置，如配置文件内容或命令行参数，更新配置无需重建镜像。 Secret 用于存储敏感信息，如密码、证书或密钥，数据在内存中安全处理并加密存储。两者都可通过文件挂载或环境变量注入容器。 资源类型 数据类型 注入方式 安全性 适用场景 ConfigMap 非敏感配置 文件挂载 / 环境变量 / 命令行参数 普通 配置频繁变动或公开数据 Secret 敏感信息 文件挂载 / 环境变量 高（加密存储） 密码、证书、密钥等机密数据 通过合理使用 ConfigMap 与 Secret，您可以实现 配置与应用解耦，提升应用管理的灵活性和安全性。

参数 描述 IP地址或域名 目标数据库的IP地址或域名。 端口 目标数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 目标数据库的用户名。 数据库密码 目标数据库用户名所对应的密码。 SSL安全连接 通过该功能，用户可以选择是否开启对同步链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不使用SSL证书，请自行承担数据安全风险。

可通过客户端登录配置登录后无操作的时间范围，超时后自动退出。 操作步骤 1、登录云堡垒机系统。 2、选择“系统 > 系统配置 > 安全配置”，进入系统安全配置管理页面。 3、在“客户端登录配置”模块的右侧，单击“编辑”，进入“客户端登录配置”页面。 4、填写登录后长久不操作空闲的超时时间，及选择SSH登录方式， 参数名称 参数说明 取值样例 登录超时 设置登录成功后无操作的时间。 有效值区间为143200。当超过设定时长无操作时，再次操作需要重新登录，默认值为30。 30 SSH公钥登录 超时后是否使用SSH公钥登录，默认开启。 SSH密码登录 超时后是否使用SSH密码登录，默认开启。 5、单击“确定”，完成配置。

本文介绍边缘安全加速平台的安全与加速服务在CC攻击常见场景中的推荐防护策略和配置。 CC攻击是一种恶意网络攻击，旨在通过向目标服务器发送大量的请求，超过其处理能力，从而使其无法正常工作或服务受到严重影响。以下是一些常见的CC攻击场景及WAF在不同场景下提供的具体防护策略和配置。 场景1：高频海量的虚假请求耗尽服务器资源 攻击者利用大量的虚假请求，不断向目标网站发送超过正常用户请求频率的请求，导致目标网站无法正常服务，这个最常见的一种CC攻击场景。您可以关注您的网站请求数趋势，如果请求QPS在某一时刻突然异常突增很多(比正常业务QPS突增超过10倍)，就很有可能是受到了CC攻击。 针对超过正常请求频率的攻击，最直接有效的防护方式就是配置频率控制，通过限制指定URL的访问频率，拦截超过网站正常业务请求频率的攻击。如：配置登录接口的单IP访问频率达到每分钟50次时则进行拦截，具体配置如下图： 除此之外，您还可以通过开启CC防护功能对CC攻击进行防护，设置URL达到指定阈值后则进行挑战，通过CC防护策略来校验请求是否来自于真实浏览器（注意：该功能不适用于不能执行JS的环境，如API、Native App、Websocket等） 配置示例：以下配置在阈值请求达到每10秒5000次时，则会开启CC攻击防护。

本文介绍在AOne零信任如何进行客户端设置。 背景说明 企业可根据不同的安全要求和合规标准设置不同的客户端策略。 功能说明 超时注销登录 用户账号长时间连接内网，存在账号盗用、占用会话导致并发超过上限等风险，管理员可自定义配置超时注销策略。变更配置后续重新登录客户端才可生效。 根据企业场景配置账号超时注销方式，企业可分别对桌面端和移动端设置不同的超时规则，当客户端连接内网或无内网访问流量达到设定时间（桌面端默认 5 小时、移动端默认 3 小时 ），就会自动注销登录状态，再次访问内网时需重新登录，这样能有效保障内网访问安全 。 注意 移动端暂未发版本，有需要可以 客户端限速 可根据企业场景进行单客户端访问限速，限速仅针对内网访问进行，若您订购的是“带宽计费”，则带宽超量达到阈值后则会进行自动限速，配置详情见客户端限速。 客户端自保护 支持客户端防卸载能力，适用于企业强管控合规要求，配置详情见客户端自保护。 开机自动启用AOne 开机自动启用（自启动）是指设备开机或用户登录系统后，应用程序或系统服务无需手动触发，即可自动在前台或后台运行的功能，配置详情见开机自动启用AOne。

本章节为您介绍用户管理的相关内容。 用户管理是指管理当前实例下所有用户信息，提供新增、编辑、Ukey绑定、重置等功能。 新增用户 1. 登录综合安全网关实例。 2. 选择“系统管理 > 用户管理”，进入“用户管理”页面。 3. 单击页面左上角的“添加用户”，在弹出的“添加用户”窗口中配置用户参数。 参数 是否可选 参数说明 登录名 必选 自定义用户的登录名，配置后不可修改。 别名 可选 设置用户的别名。 角色 必选 选择该登录用户在系统中的角色。 支持如下四种角色： 操作员（ctyunoperator） 日志审计员（ctyunauditor） 系统管理员（ctyunuseradmin） 超级管理员（ctyunadmin） 手机号码 可选 填写手机号。 邮箱地址 可选 填写新增用户的邮箱地址。 地址 可选 填写新增用户的地址。 输入密码 必选 设置用户的密码。 确认密码 必选 二次确认密码。 4. 配置完成后，单击“确定”完成用户添加。 后续操作 说明 系统初始的超级管理员用户不支持编辑和删除。 编辑用户：选择需要编辑的用户，单击“操作”列的“编辑”按钮，修改用户的相关信息后单击“确定”完成修改。 绑定UKey：选择需要绑定UKey的用户，单击“操作”列的“UKEY绑定”按钮，在弹出的对话框中填写UKEY序列号及PIN码完成绑定。 注意 首次使用UKEY需要在综合安全网关登录页面下载并安装UKEY插件。 解绑UKey：选择需要解绑UKey的用户，单击“操作”列的“UKEY解绑”按钮，在弹出的对话框中填写PIN码完成解绑。 重置用户密码：选择需要重置密码的用户，单击“操作”列的“设置口令”按钮，在弹出的对话框中单击“确定”完成重置。

本小节介绍云堡垒机使用限制。 网络访问限制 系统资源所属安全组必须允许实例私有IP访问，需要在实例的安全组添加“入方向”的访问规则。 注意 云堡垒机Docker0的网卡地址为：172.17.0.1，请勿占用此网桥网卡地址，否则会导致云堡垒机无法正常使用。 支持纳管的服务器限制 支持SSH、TELNET、RDP、VNC、FTP、SFTP协议类型的Windows或Linux主机。 Windows服务器版本：Windows Server 2012、2016。 支持的数据库类型及版本限制 数据库引擎 引擎版本 MySQL 5.5、5.6、5.7、8.0 说明 当前MySQL数据库审计功能基于堡垒机现有引擎架构实现，在少数复杂场景下可能存在命令日志记录不完全的情况，如需完整审计能力，请联系技术支持或关注产品动态了解新引擎上线进展。 PostgreSQL 10、11、12、13 Oracle 10g、11g、12c DB2 10.5、11.5、12 达梦 V8 金仓(Kingbase) V8、V9 万里(GreatSQL) 8.4.44 SQL Server 2016企业版 天翼云分布式关系型数据库（DRDS） 1.0 说明 建议关联MySQL5.7和8.0版本。 支持的运维终端操作系统限制 终端类型 系统版本 芯片 Windows Windows7及以上版本 Intel芯片 Mac MacOS 10.15及以上版本 Apple silicon或Intel芯片

Server端开启iperf的服务器模式，指定TCP端口：10000，安全组规则入方向放行TCP 10000端口 [root@ssdaliu2 ~] iperf3 s i 1 p 10000 Server listening on 10000 (test 1) Client端启动iperf的客户端模式，连接服务端。ip为server端地址 [root@ssdaliu1 ~] iperf3 c 192.168.0.15 i 1 t 60 p 10000 R Connecting to host 192.168.0.15, port 10000 Reverse mode, remote host 192.168.0.15 is sending [ 5] local 192.168.0.8 port 38316 connected to 192.168.0.15 port 10000 [ ID] Interval Transfer Bitrate [ 5] 0.001.00 sec 336 MBytes 2.81 Gbits/sec [ 5] 1.002.00 sec 172 MBytes 1.45 Gbits/sec ... ... ... [ 5] 59.0060.00 sec 179 MBytes 1.50 Gbits/sec [ ID] Interval Transfer Bitrate Retr [ 5] 0.0060.00 sec 10.7 GBytes 1.53 Gbits/sec 360910 sender [ 5] 0.0060.00 sec 10.7 GBytes 1.53 Gbits/sec receiver 结果说明： Interval表示时间间隔。 Transfer表示时间间隔里面转输的数据量。 Bitrate是时间间隔里的传输速率。 3. TCP上下行带宽测试（双向传输）。 Server端开启iperf的服务器模式，指定TCP端口：10000，安全组规则入方向放行TCP 10000端口 [root@ssdaliu2 ~]

集群高危操作 操作名称 操作风险 风险等级 规避措施 重大操作观察项目 随意修改omm用户下的文件目录或者文件权限 该操作会导致MRS集群服务不可用 ★★★★★ 请勿执行该操作 观察MRS集群服务是否可用 绑定弹性公网IP 该操作会将集群的manager所在的master节点暴露在公网，会增大来自互联网的网络攻击风险可能性 ★★★★★ 请确认绑定的弹性公网IP为可信任的公网访问IP 无 开放集群22端口安全组规则 该操作会增大用户利用22进行漏洞攻击的风险 ★★★★★ 针对开放的22端口进行设置安全组规则，只允许可信的IP可以访问该端口，入方向规则不推荐设置允许0.0.0.0可以访问。 无 删除集群或删除集群数据 该操作会导致数据丢失 ★★★★★ 删除前请务必再次确认该操作的必要性，同时要保证数据已完成备份 无 缩容集群 该操作会导致数据丢失 ★★★★★ 缩容前请务必再次确认该操作的必要性，同时要保证数据已完成备份 无 卸载磁盘或格式化数据盘 该操作会导致数据丢失 ★★★★★ 操作前请请务必再次确认该操作的必要性，同时要保证数据已完成备份 无

字段 说明 示例 version VPC流日志版本。 1 projectid 项目ID。 5f67944957444bd6bb4fe3b367de8f3d interfaceid 为其记录流量的网卡的ID。 1d515d181b3647dca983bd6512aed4bd srcaddr 源地址。 192.168.0.154 dstaddr 目的地址。 192.168.3.25 srcport 源端口。 38929 dstport 目标端口。 53 protocol IANA协议编号。 17 packets 数据包的数量。 1 bytes 数据包的大小。 96 start 捕获窗口启动的时间，采用Unix秒的格式。 1548752136 end 捕获窗口结束的时间，采用Unix秒的格式。 1548752736 action 与流量关联的操作： ACCEPT：安全组或网络ACL允许记录的流量。 REJECT：安全组或者网络ACL拒绝记录的流量。 ACCEPT logstatus 流日志的日志记录状态： OK：数据正常记录到选定目标。 NODATA：捕获窗口中没有传入或传出符合“采集类型”的网卡的网络流量。 SKIPDATA：捕获窗口中跳过了一些流日志记录。这可能是由于内部容量限制或内部错误。 示例： 如果您创建VPC流日志时设置“采集类型”为“接受”，当有接受流量时，“logstatus”将显示为“OK”。当没有接受的流量时，不管是否有拒绝的流量，“logstatus”都将显示为“NODATA”。当有一些接受流量异常跳过时，“logstatus”将显示为“SKIPDATA”。 OK

本节介绍了人脸识别相关的应用场景。 门禁人脸识别 随着人们生活水平的提高，人们更加注重家居环境的安全，安防观念不断加强。伴随着这种需求的提高，智能门禁系统应运而生，越来越多的企业、商铺、家庭都安装了各种各样的门禁系统。人脸检测内置于智能门禁系统，能准确识别进来人员人脸信息，提供出行方便的服务，同时有效的杜绝外来无关人员进入，保证环境安全。 市场营销企业商务 人脸识别技术在营销上主要有两方面的应用：首先，可以识别一个人的基本个人信息，例如性别、大致年龄，以及他们看过什么，看了多久等。其次，该技术可以用于识别已知的个人，例如已经加入系统的会员等人员身份识别。 酒旅出行 在机场、饭店、网吧等场所，行业人员流动频繁，通过实名认证服务，高精度核实住客身份信息，可有效对进出人员进行身份核验，快速甄别人员身份，提升场所登记效率，为居民提供更加方便、优质的服务，同时能满足企业和政府的监管需要。

Apache Dubbo官方发布了CVE201917564漏洞通告，漏洞等级中危，Web应用防火墙提供了对该漏洞的防护。本章节介绍Apache Dubbo反序列化漏洞的最佳实践。 漏洞介绍 CVE201917564漏洞等级为中危。当用户选择HTTP协议进行通信时，攻击者可以通过发送POST请求的时候来执行一个反序列化的操作，由于没有任何安全校验，该漏洞可以造成反序列化执行任意代码。 影响的版本范围 漏洞影响的Apache Dubbo产品版本包括： 2.7.0～2.7.4、2.6.0～2.6.7、2.5.x的所有版本。 安全版本 Apache Dubbo 2.7.5版本。 解决方案 建议您将Apache Dubbo升级到2.7.5版本。 如果您无法快速升级版本，或者希望防护更多其他漏洞，可以使用天翼云Web应用防火墙对该漏洞进行防护，请参照以下步骤进行防护： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入WAF。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

本文主要介绍部分浏览器访问HTTPS时CDN证书校验失败的排查思路。 问题现象 部分浏览器访问HTTPS时证书校验失败。 问题原因 中间证书配置错误。 排查过程及解决方案 1. 浏览器访问HTTPS时提示证书不安全，点击返回安全连接后，连接断开，通过Wireshark抓包查看失败原因为Certificate Unknown。 2. 抓包查看sni是正常的： 3. 查看证书链，发现中间证书异常，缺失正确的中间证书： 4. 在CDN加速控制台上重新配置证书链，具体可参照：CDN加速域名如何配置HTTPS中间证书重新配置证书链后抓包查看正常，浏览器不再报错：

本文详细介绍零信任办公组网服务计费模式资费。 零信任办公组网适用场景 零信任办公组网即多个办公场地/服务器进行网络互连互通，为了满足企业或办公场所的网络需求，将各种网络设备（如路由器、交换机、无线接入点等）进行合理配置和连接，构建一个稳定、高效、安全的计算机网络系统，以实现不同分支机构办公设备之间的互联互通、资源共享等。 通过购买“网络服务办公组网”来提供办公组网能力。 零信任办公组网计费概述 套餐标准资费 注意 1、办公组网不支持官网开通香港、亚太、美洲、欧洲、中东非的区域带宽，请联系您的客户经理或者 2、办公组网默认采用连接器双向互联进行办公，如需客户端连接内网，需同时订购零信任套餐。详见 3、连接器可使用帐号认证方式实现安全连接，办公组网默认赠送10个帐号，若需增加，可订购零信任套餐进行扩展。 计费模式：包周期 计费区域：中国内地、香港、亚太、美洲、欧洲、中东非 计费周期：按月结算。 折扣规则：详细见零信任网络服务折扣说明。 【计费项说明】 计费方式 描述 说明 网络服务办公组网区域带宽 按照购买的套餐使用量进行计费 详见[零信任网络服务计费概述](

本节主要介绍创建网格 ASM支持创建基础版网格，提供商用级网格服务。 前提条件 启用应用服务网格前，您需要创建或已有一个可用集群，并确保集群版本为v1.15及以上。 约束与限制 应用服务网格依赖集群CoreDNS的域名解析能力，请确保集群拥有足够资源，且CoreDNS插件运行正常。 集群启用Istio时，需要开通node节点（计算节点/工作节点）所在安全组的入方向7443端口规则，用于Sidecar自动注入回调。如果您使用CCE创建的默认安全组，此端口会自动开通。如果您自建安全组规则，请手动开通7443端口，以确保Istio自动注入功能正常。 操作步骤 步骤 1 登录应用服务网格控制台。 步骤 2 单击右上角“创建网格”。 步骤 3 设置网格参数。 网格类型 默认为基础版网格。 网格名称 网格的名称，取值必须以小写字母开头，由小写字母、数字、中划线（）组成，且不能以中划线（）结尾，长度范围为4~64个字符。 同一帐号下网格不可重名，且网格名称创建后不可修改。 Istio版本 网格支持的Istio版本。 启用IPv6 启用双栈网格需满足以下条件： 网格类型 Istio版本 支持启用的集群类型 集群网络类型 其他说明 基础版 1.18及以上 CCE Turbo集群 云原生网络2.0 集群需要已启用IPv6 说明 是否启用IPv6功能，仅istio1.18及以上版本的基础版网格支持。 低版本的网格升级到1.18及以上时，不支持升级后开启IPv4/IPv6双栈。 网格开启IPv4/IPv6双栈后不支持关闭， 未开启双栈的网格也不支持创建完成之后开启双栈。 集群 在集群列表中选择集群，或在列表右上角输入集群名称搜索需要的集群。仅可选择当前网格版本支持的集群版本。 Istio控制面节点 基础版网格的控制面组件安装在用户集群，因此需要选择用于安装Istio控制面的节点。如果需要高可用，建议选择两个或以上不同可用区的节点。 所选节点会被添加istio:master标签，网格组件会调度到该节点上。 步骤 4（可选）高级配置。 sidecar配置 选择命名空间，为命名空间设置标签istioinjectionenabled，其中的Pod在重启后会自动注入istioproxy sidecar。 如果不进行sidecar配置，可在网格创建成功后在“网格配置 > sidecar管理”中注入sidecar。具体操作请参考sidecar注入。 是否重启已有服务 ：会重启命名空间下已有服务关联的Pod，将会暂时中断业务。只有在重启后，已有服务关联的Pod才会自动注入istioproxy sidecar。 ：已有服务关联的Pod不会自动注入istioproxy sidecar，需要在CCE控制台，手动重启工作负载才会注入sidecar。 步骤 5 设置完成后，在页面右侧配置清单确认网格配置，确认无误后，单击“提交”。 创建网格预计需要1~3分钟，请耐心等待。当网格状态从“安装中”变为“运行中”，表示网格创建成功。 说明 启用网格期间会操作如下资源： 创建一个Helm应用编排release对象，作为服务网格控制面的资源。 开通节点的安全组，允许7443端口的入流量，使其支持对Pod进行自动注入。

client.sources staticlogsource client.channels staticlogchannel client.sinks kafkasink LOGTOHDFSONLINE1 client.sources.staticlogsource.type spooldir client.sources.staticlogsource.spoolDir 监控目录 client.sources.staticlogsource.fileSuffix .COMPLETED client.sources.staticlogsource.ignorePattern ^$ client.sources.staticlogsource.trackerDir 传输过程中元数据存储路径 client.sources.staticlogsource.maxBlobLength 16384 client.sources.staticlogsource.batchSize 51200 client.sources.staticlogsource.inputCharset UTF8 client.sources.staticlogsource.deserializer LINE client.sources.staticlogsource.selector.type replicating client.sources.staticlogsource.fileHeaderKey file client.sources.staticlogsource.fileHeader false client.sources.staticlogsource.basenameHeader true client.sources.staticlogsource.basenameHeaderKey basename client.sources.staticlogsource.deletePolicy never client.channels.staticlogchannel.type file client.channels.staticlogchannel.dataDirs 数据缓存路径，设置多个路径可提升性能，中间用逗号分开 client.channels.staticlogchannel.checkpointDir 检查点存放路径 client.channels.staticlogchannel.maxFileSize 2146435071 client.channels.staticlogchannel.capacity 1000000 client.channels.staticlogchannel.transactionCapacity 612000 client.channels.staticlogchannel.minimumRequiredSpace 524288000 client.sinks.kafkasink.type org.apache.flume.sink.kafka.KafkaSink client.sinks.kafkasink.kafka.topic 数据写入的topic ，如flumetest client.sinks.kafkasink.kafka.bootstrap.servers XXX . XXX . XXX . XXX :kafka 端口号 , XXX . XXX . XXX . XXX :kafka 端口号 , XXX . XXX . XXX . XXX :kafka端口号 client.sinks.kafkasink.flumeBatchSize 1000 client.sinks.kafkasink.kafka.producer.type sync client.sinks.kafkasink.kafka.security.protocol SASLPLAINTEXT client.sinks.kafkasink.kafka.kerberos.domain.name Kafka Domain名称，安全集群必填，如hadoop.xxx.1com client.sinks.kafkasink.requiredAcks 0 client.sources.staticlogsource.channels staticlogchannel client.sinks.kafkasink.channel staticlogchannel 说明 client.sinks.kafkasink.kafka.topic：数据写入的topic。若kafka中该topic不存在，默认情况下会自动创建该topic。 client.sinks.kafkasink.kafka.bootstrap.servers：Kafkabrokers列表，多个用英文逗号分隔。默认情况下，安全集群端口21007，普通集群对应端口9092。 client.sinks.kafkasink.kafka.security.protocol：安全集群为SASLPLAINTEXT，普通集群为PLAINTEXT。 client.sinks.kafkasink.kafka.kerberos.domain.name： 普通集群无需配置此参数。安全集群对应此参数的值为Kafka集群中“kerberos.domain.name”对应的值。 具体可到Broker实例所在节点上查看${BIGDATAHOME}/MRSCurrent/1 X Broker/etc/server.properties。 其中X为随机生成的数字，请根据实际情况修改。同时文件需要以Flume客户端安装用户身份保存，例如root用户。 具体可到Broker实例所在节点上查看“${BIGDATAHOME}/FusionInsightCurrent/1XBroker/etc/server.properties”。 9. 参数配置并保存后，Flume客户端将自动加载“properties.properties”中配置的内容。当spoolDir生成新的日志文件，文件内容将发送到Kafka生产者，并支持Kafka消费者消费。

本文将以CentOS,Ubuntu操作系统镜像为示例,介绍Linux操作系统进入单用户模式的背景,前提,约束与步骤。 背景介绍 用户模式介绍 Linux操作系统有两种重要的用户模式，一种是多用户模式，一种是单用户模式，具体介绍如下： 多用户模式（multiuser mode）：多用户模式是Linux系统默认的运行模式。在多用户模式下，系统可以同时支持多个用户登录，并运行各种服务和进程。多用户模式提供了完整的功能和服务，包括网络服务、图形界面等。 单用户模式（singleuser mode）：单用户模式是一种特殊的启动模式，提供了一个最小化但强大的环境，允许管理员以超级用户权限进行操作。进入单用户模式后，系统只会加载最基本的服务和功能，只有一个命令行界面，不会启动图形界面和网络服务。 单用户模式应用场景 单用户模式通常应用于以下场景： 系统故障排除和修复：当系统遇到启动问题、文件系统错误、网络配置问题或其他故障时。管理员可以以超级用户权限登录，并执行诊断、修复和恢复任务，如修复文件系统、检查硬件、还原配置文件等。 系统备份和还原：单用户模式提供了对系统磁盘的完全访问权限。这使得管理员可以在单用户模式下执行备份和还原操作，包括创建和还原系统快照、复制重要数据、修复损坏的文件系统等。 系统配置和维护：单用户模式提供了一个干净且最小化的系统环境，使管理员能够进行系统配置和维护操作，而不会受到其他服务或用户的干扰。这包括更新软件包、重建启动引导程序、更改网络配置等。 安全审计：单用户模式可以用于进行安全审计。管理员可以检查系统日志、分析安全事件、查找潜在的漏洞，并采取必要的措施来加固系统和提高安全性。

镜像服务(CTIMS,Image Management Service)是弹性云主机实例可选择的运行环境模板,一般包括操作系统和预装软件。镜像服务包括公共镜像、私有镜像、共享镜像、安全产品镜像、应用镜像。通过镜像用户可以在云主机实例上实现应用场景的快速部署。

修改密钥文件 须知 修改密钥文件的操作对系统影响较大，一旦操作失误会导致数据丢失。不推荐使用此功能。 在加密HFile和WAL内容操作中需要生成对应的密钥文件并设置密码，为确保系统安全，在运行一段时间后，用户可修改密钥，使用新的密钥文件对HFile和WAL内容进行加密。 1.使用omm用户执行如下命令生成新的密钥文件。 sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /hbase.jks /hbase.jks :表示生成的hbase.jks文件的存储路径。该路径和文件名称需与加密HFile和WAL内容章节生成的密钥文件相同。 ：表示密钥文件的别名，请使用与旧密钥文件不同的名字。 表示加密的类型，支持SMS4或AES。 表示密钥的长度，SMS4支持16位长度，AES支持128位长度。 例如，生成SMS4加密的密钥执行： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /home/hbase/conf/hbase.jks SMS4 16 ommnew 生成AES加密的密钥执行： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /home/hbase/conf/hbase.jks AES 128 ommnew 说明 集群的操作用户需要有/hbase.jks目录的“rw”权限，且要求目录已存在。 运行命令后需要再输入3遍相同的 ，该密码表示密钥文件的密码，请直接使用旧文件的密码，不会产生安全风险。 2.将生成的密钥文件分发到集群中所有节点的相同目录下，并为omm用户配置该文件的读写权限。 说明 请管理员根据企业安全要求，选择安全的操作步骤分发密钥。 3.在FusionInsight Manager的HBase服务配置界面中增加自定义配置项，设置“hbase.crypto.master.key.name”为“ommnew”，设置“hbase.crypto.master.alternate.key.name”为“omm”，然后保存配置。 4.重启HBase服务，使配置生效。 5.在HBase shell中执行major compact命令，生成基于新的加密算法的HFile文件。 majorcompact ' ' 6.从HMaster的网页中可以查看到major compact进度。 7.所有的“Compaction Progress”都为100%且“Remaining KVs”都为0时，使用omm用户执行如下命令销毁旧的密钥文件： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /hbase.jks /hbase.jks :表示生成的“hbase.jks”文件的存储路径。该路径和文件名称需与加密HFile和WAL内容章节生成的密钥文件相同。 ：表示要删除的旧密钥文件的别名。 例如： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /home/hbase/conf/hbase.jks omm 说明 集群的操作用户需要有/hbase.jks目录的“rw”权限，且要求目录已存在。 8.再执行2，重新分发更新后的密钥文件。 9.从FusionInsight Manager中删除3中新增HBase自定义配置项“hbase.crypto.master.alternate.key.name”。 10.再执行4使配置生效。

本节介绍天翼云电脑（公众版）产品支持多终端适配、支持投屏、数据安全等功能的内容介绍。 多终端适配 与传统PC一致的使用体验，多种外设无缝衔接，实现多终端适配。 多终端适配： 适配PC、Mac、 iOS、安卓等多终端。 多外设支持： 打印机、扫描仪等外设无缝衔接（备注：手机、pad等移动终端不支持USB外设）。 支持投屏 支持手机有线/无线投屏模式，大屏电视秒变电脑使用，娱乐、办公两不误。 无线投屏： 在手机投屏模式下，支持把手机设置为触控版模式，操控更便捷。 有线投屏： 支持搭配扩展坞、蓝牙键鼠使用，操控更流畅。 数据安全 系统数据云端集中存储，不但能释放本地空间，还能避免宕机与数据丢失，使用多重安全传输协议保障数据安全。 数据不落地： 所有桌面、应用和数据统一管理，集中存储在云端。 数据多副本： 采用三副本技术分布式存储，灵活应对各种突发情况。 数据加密： 使用多重加密算法，对数据传输、数据存储进行加密，保障用户信息安全。

本文为您介绍VPC终端节点产品的定义、产品架构及其访问方式。 VPC终端节点（VPC Endpoint）是一种能够将VPC私密地连接到终端节点服务（云服务、用户私有服务）的解决方案。通过使用VPC终端节点，VPC中的云资源无需使用弹性IP就可以直接访问终端节点服务，从而提高了访问效率。这种灵活、安全的组网方式为用户提供了更高效的连接方式，保障了数据的安全性和隐私。 产品架构 VPC终端节点由两种资源实例组成：终端节点服务和终端节点。 终端节点服务：将云服务或用户私有服务配置为VPC终端节点支持的服务，允许终端节点连接和访问这些服务。 终端节点：用于建立VPC和终端节点服务之间便捷、安全、私密的连接通道。 通过访问已连接到服务的终端节点的地址，服务使用方主机可方便地访问该终端节点连接的服务，同时利用私有网络通信的优势来确保数据的安全性和隔离性。 如何访问VPC终端节点 VPC终端节点提供了方便的Web化管理控制台，供用户直接使用。同时，也提供了API方式，以便用户可以将终端节点集成到自己的系统中进行二次开发和自动化管理。 控制台方式：用户可以直接登录管理控制台来访问VPC终端节点。 如果用户已经注册了帐户，可以直接登录管理控制台，并从主页选择“网络 > VPC终端节点”来访问。 如果用户尚未注册，需要先在天翼云官网进行注册，然后再登录管理控制台。 API方式： 如果用户需要将VPC终端节点集成到第三方系统，以进行二次开发，可以使用API方式访问VPC终端节点。具体可参考VPC终端节点API参考。 这种方式允许用户通过基于HTTPS的请求来管理VPC终端节点，从而实现对终端节点的各种操作。

天翼云应用服务网格CSM提供兼容开源istio的服务网格能力,并基于开源实现做了功能增强,提供了丰富的流量治理、安全和可观测能力,大大降低开发和运维的负担。

修改请求身份认证 1. 进入网格控制台，选择 网格安全中心 –> 请求身份认证菜单。 2. 选择命名空间，列表页会展示当前命名空间下的请求身份认证策略，选择操作栏的编辑选项，修改策略，保存即可。 删除请求身份认证 1. 进入网格控制台，选择 网格安全中心 –> 请求身份认证菜单。 2. 选择命名空间，列表页会展示当前命名空间下的请求身份认证策略，选择操作栏的删除选项，删除选定的策略即可。 RequestAuthentication配置说明： 字段 类型 必选 说明 selector WorkloadSelector No 工作负载选择器，选择策略生效的工作负载。 jwtRules JWTRule No JWT配置列表，表示当前工作负载所支持的jwt配置（不支持一个请求带多个jwt认证信息的情况）。 JWTRule 字段 类型 必选 说明 issuer string Yes Jwt签发方。 audiences string No Jwt接收方列表，jwt中包含其中任意一个接收者都可以通过验证。 jwksUri string No 验证jwt签名的公钥URL，jwksUri和jwks只能有一个生效。 jwks string No 验证jwt签名的公钥，jwksUri和jwks只能有一个生效。 fromHeaders JWTHeader No 提取Jwt信息的头部字段。 fromParams string No 提取Jwt信息的query字段。 outputPayloadToHeader string No 向后端透传payload的头部字段名称。 forwardOriginalToken bool No 设置为true时，原始的jwt将被透传到后端。 outputClaimToHeaders ClaimToHeader No 定义payload里面的字段透传到后端的头部信息。

本节介绍什么是漏洞扫描服务。 漏洞扫描服务（Vulnerability Scan Service，简称VSS）是针对网站、主机进行漏洞扫描的一种安全检测服务，目前提供通用漏洞检测、漏洞生命周期管理服务。 工作原理 漏洞扫描服务具有Web网站扫描和主机扫描两种扫描能力。 Web网站扫描 采用网页爬虫的方式全面深入的爬取网站url，基于多种不同能力的漏洞扫描插件，模拟用户真实浏览场景，逐个深度分析网站细节，帮助用户发现网站潜在的安全隐患。同时内置了丰富的无害化扫描规则，以及扫描速率动态调整能力，可有效避免用户网站业务受到影响。 主机扫描 经过用户授权（支持账密授权）访问用户主机，漏洞扫描服务能够自动发现并检测主机操作系统、中间件等版本漏洞信息和基线配置，实时同步官网更新的漏洞库匹配漏洞特征，帮助用户及时发现主机安全隐患。

本文向您介绍通过企业版VPN实现数据中心和VPC互通的第一步：创建VPN网关。 前提条件 虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见《虚拟私有云用户指南》。 虚拟私有云VPC中ECS的安全组规则已经配置，并确保安全组规则允许数据中心的对端网关可以访问VPC资源。如何配置安全组规则，请参见《虚拟私有云用户指南》。 操作步骤 1. 登录管理控制台，单击“网络 > VPN”进入VPN控制台。 2. 在左侧导航栏，单击“虚拟专用网络 > 企业版VPN网关”。 3. 在“VPN网关”界面，单击“创建VPN网关”。 4. 根据界面提示配置参数，然后单击“立即购买”并完成支付。 表VPN网关关键参数说明 参数 说明 参数取值 计费模式 支持“按需”计费模式。 按需 区域 选择靠近您所在地域的区域。 名称 输入VPN网关的名称。 vpngw001 网络类型 公网：VPN网关通过公网建立VPN连接。 私网：VPN网关通过私网建立VPN连接。 公网 协议类型 支持“IPv4”和“IPv6”两种类型。 IPv4 关联模式 支持“虚拟私有云”和“企业路由器”两种方式。 虚拟私有云 虚拟私有云 选择需要和数据中心互通的VPC。 vpc001(192.168.0.0/16) 互联子网 用于VPN网关和VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 本端子网 配置VPC待和数据中心互通的子网。 支持“输入网段”和“选择子网”两种方式。 192.168.0.0/24 规格 选择“专业型1”。 专业型1 HA模式 选择“双活”。 双活 主EIP 选择EIP、带宽的计费模式、规格。 11.xx.xx.11 主EIP2 选择EIP、带宽的计费模式、规格。 11.xx.xx.12

脱敏模板 脱敏模板给数据标签配置默认的脱敏算法，模板应用后通过敏感数据发现识别出来后，自动应用脱敏算法。 新增自定义模板 1.登录API安全网关。 2.在左侧导航栏选择“数据脱敏 > 脱敏模板”，进入脱敏模板列表页面。 3.单击页面上的“新增”按钮，即可开始新增脱敏模板。 4.配置完成后，单击“提交”即可完成脱敏模板的新增。 新增脱敏规则 1.登录API安全网关。 2.在左侧导航栏选择“数据脱敏 > 脱敏规则”，进入脱敏规则列表页面。 3.单击页面上的“新增”按钮，即可开始新增脱敏规则。 选项 说明 名称 自定义规则名称，名称不允许重复。 启用 默认启用，禁用后规则不生效。 规则描述 输入规则描述信息。 服务 默认选择全部服务，可指定一个服务。 API 默认选择全部API，可指定多个API。 动作 仅警告：产生告警日志，不阻断请求。 告警并阻断：阻断请求并且产生告警日志。 告警等级 选择告警等级：警告、一般、重要、严重。 规则条件 内置条件 至少配置以下一项条件，每个条件至多添加一次。运算符支持：等于、不等于、正则匹配、正则匹配（不区分大小写） 客户端IP：匹配/不匹配客户端IP，支持IP和子网掩码格式； 请求URL：设置请求URL规则条件，如/get； 请求方法：设置请求方法条件，如GET、POST、PUT……； 请求体：设置请求体条件； HOST：设置HOST条件； UA：设置UA条件； Referer：设置Referer条件； 请求头 配置自定义请求头表达式，如：”ContentType”, ””, ”application/json”。 响应体 输入响应体内容，返回的响应体满足条件时，请求会执行对应动作。 API调用者 指定服务时选择，对指定API调用者生效，支持选择自定义API调用者或提取到的API调用者。 拒绝码 动作选择告警并阻断时填写，返回阻断的拒绝码。 拒绝描述信息 动作选择告警并阻断时填写，配置阻断后返回的信息。 生效时间 可选择任意时间，以及每天、每周、每月指定时间，超出生效时间规则无效。 有效期 可选择永久有效、自定义时间。过期后规则不生效。 4.填写完成后，单击“提交”即可完成脱敏规则

本节主要介绍产品定义 应用服务网格(CT Application Service Mesh，简称ASM) 是高可靠、高性能的全托管式服务网格，以应用基础设施方式为用户提供服务流量管理、服务发布以及服务访问安全和服务运行监控能力，通过一键启用方式无缝对接云容器引擎CCE。

如果您需要立即执行识别任务，可参考本章节进行操作。 前提条件 已完成识别任务的创建。 操作步骤 1.登录管理控制台。 2.单击左上角的，选择区域或项目。 3.在左侧导航树中，单击，选择“安全>数据安全中心”，进入数据安全中心总览界面。 4.在左侧导航树中，选择“敏感数据识别（旧） > 识别任务”，进入“识别任务”页面。 5.在待开启敏感数据检测任务所在行的“操作”列，单击“立即识别”。 说明 如果您想停止正在执行的扫描任务，在目标检测任务的操作列，单击“停止”。

如果您需要修改级别信息，请按照此章节进行操作，其中数据分类的级别来源为自定义 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击左上角的，选择区域或项目。 步骤 3 在左侧导航树中，单击，选择选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 步骤 4 在左侧导航树中选择“敏感数据识别 > 识别配置”，进入识别模板页签。 步骤 5 选择“级别配置”页签查看级别配置列表。 步骤 6 在目标级别操作列，单击“编辑”修改级别内容。 步骤 7 单击“确定”保存修改内容。

修改模板规则分类 步骤 1 登录管理控制台。 步骤 2 单击左上角的，选择区域或项目。 步骤 3 在左侧导航树中，单击，选择选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 步骤 4 在左侧导航树中选择“敏感数据识别 > 识别配置”，进入识别模板页签。 步骤 5 单击目标模板的“详情”进入模板详情界面。 步骤 6 单击列表选择规则，支持多选。 步骤 7 在规则列表左上角单击“修改分类”，在修改分类的弹框中选择目标分类。 步骤 8 单击“确定”，提示规则分类修改成功。

备份审计日志后，您可以查看备份的审计日志信息，或删除备份的审计日志。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 已成功开启数据库安全审计功能。 已成功备份审计日志。 查看备份的日志信息 1. 登录管理控制台。 2. 单击右上角的，选择区域。 3. 选择“安全 > 数据库安全服务”，进入数据库安全防护实例列表界面。 4. 在左侧导航树中，选择“数据库安全审计 > 设置”，进入设置界面。 5. 在“选择实例”下拉列表框中，选择需要查看日志的实例。 6. 选择“备份与恢复”页签。 7. 查看备份的审计日志信息，相关参数说明如下所示。查看报表模板信息，相关参数说明如下所示。在列表右上方单击，选择开始时间和结束时间，可以查看指定的时间段的备份日志。 参数名称 说明 日志名称 日志的名称，由系统自动生成。 备份时间 执行日志备份操作的时间。 文件大小 日志的文件大小。 备份方式 日志的备份方式。 备份范围 日志的备份时间段。 任务状态 日志的备份状态。 说明 在需要删除的日志所在行的“操作”列，单击“删除”，在弹出的对话框中，单击“确定”，您可以删除该备份日志。