故障描述 当给MySQL实例的表中增加一个字段，出现系统无法访问的现象。 解决方案 因增加表字段而引起数据库出现性能问题，有可能是未对新增字段添加索引，数据量大导致消耗了大量的CPU资源。为此，提出如下建议恢复数据库性能。 添加对应索引、主键。 优化慢SQL语句。 怎么解决执行mysqldump出现SET @@SESSION.SQLLOGBIN等SQL的问题 场景描述 新购买的天翼云云数据库，执行mysqldump时，会出现如下如所示代码。 图 代码显示 故障分析 开启了“gtidmodeON”参数。 如果一个数据库开启了GTID，使用mysqldump备份或者转储的时候，即使不是MySQL全库(所有库)备份，也会备份整个数据库所有的GTID号。 解决方案 在TaurusDB数据库进行导出备份和恢复的时候，需要注意是否启用数据库用GTID模式。 如果开启，则在mysqldump数据时，应该在mysqldump命令加上参数“–setgtidpurgedOFF”。 canal工具报错权限不足 场景描述 在搭建canal环境，使用指定用户从TaurusDB获取Binlog时，启动canal经常会报如下错误：'show master status' has an error! Access denied: you need (at least one of) the SUPER, REPLICATION CLIENT privilege(s) for this operation 完整报错信息如下： 20210110 23:58:32.964 [destination evoicedc , address /dbusmysql:3306 , EventParser] ERROR com.alibaba.ot ter.canal.common.alarm.LogAlarmHandler destination:evoicedc[com.alibaba.otter.canal.parse.exception.CanalParseEx ception: command : 'show master status' has an error! Caused by: java.io.IOException: ErrorPacket [errorNumber1227, fieldCount1, messageAccess denied; you need (at least one of) the SUPER, REPLICATION CLIENT privilege(s) for this operation, sqlState42000, sqlStateMarker] with command: show master status at com.alibaba.otter.canal.parse.driver.mysql.MysqlQueryExecutor.query(MysqlQueryExecutor.java:61)

AAS列表 列表展示AAS趋势对应的等待事件、来源、数据库、用户、SQL维度对象信息，SQL维度的对象信息展示SQL模板，每个SQL模板可以展开查询对应的SQL明细信息，SQL维度的SQL模板性能字段支持扩展，点击设置按钮，可选择更多字段，每个维度的对象支持单选查看对应的AAS趋势。 性能监控指标 展示上方性能趋势选择框时间范围的关键性能指标。 平均活跃会话计数算法 概述 平均活跃会话用于评估在一段时间内，实例中平均有多少个会话同时处于活动状态。选定的时间周期越长，统计的平均活跃会话数时间颗粒度越粗。 计算方式 性能洞察每3秒会对实例进行活跃会话信息的采集，平均活跃会话数特定时间段内的会话总数/特定时间段内的采集次数。 示例如下，在采集3次活跃会话快照信息的时间间隔内，平均有7个会话处于活动状态。 采集序列 活跃会话数 平均活跃会话数 计算过程 1 6 6 会话总数6/采集次数1 2 0 3 会话总数6/采集次数2 3 15 7 会话总数21/采集次数3 MySQL等待事件说明 概述 等待事件表示当前SQL 语句正在等待特定事件，事件结束后SQL才能继续运行，等待事件说明了SQL运行过程中受到阻塞的具体阶段，是衡量数据库负载的一个重要参考维度。 总体来说，活跃会话的SQL在执行过程中，会处于CPU执行或资源等待状态，比如等待写入binlog，等待数据文件扫描等。 在优化数据库整体负载时，常见的场景是少量的SQL模板在等待某些资源上花费了大量的时间，通过性能洞察可以对TOP等待的对象进行针对性识别、分析和优化。 有关MySQL 等待事件的信息，请参阅 MySQL官方文档。

SSL连接 步骤 1 登录管理控制台。 步骤 2 在“实例管理”页面，单击实例名称进入“基本信息”页面，单击“数据库信息”模块“SSL”处的，下载根证书或捆绑包。 步骤 3 将根证书上传至需连接云数据库GaussDB 实例的弹性云主机，或保存到可访问数据库实例的设备。 将根证书导入弹性云主机Linux操作系统，您可以使用任何终端连接工具（如WinSCP、PuTTY等工具）将证书上传至Linux系统任一目录下以实现该目标。 步骤 4 连接云数据库GaussDB 实例。 以Linux系统为例，在弹性云主机设置环境变量，执行如下命令。 export PGSSLMODE export PGSSLROOTCERT gsql h p d U 参数说明 参数 说明 主机IP，在“实例管理”页面单击实例名称，进入“基本信息”页面。“连接信息”模块的“内网地址”（通过弹性云主机访问）。 端口，默认8000，当前端口，即在“实例管理”页面单击实例名称，进入“基本信息”页面，“连接信息”模块的“数据库端口”。 需要连接的数据库名，默认管理数据库是postgres。 用户名，即云数据库GaussDB 数据库帐号，默认管理员帐号为root。 ssl连接CA证书路径。 ssl连接模式，设置为“verifyca”，通过检查证书链（Certificate Chain，以下简称CA）来验证服务是否可信任。 在弹性云主机设置环境变量，使用root用户SSL连接postgres数据库实例，具体示例如下： export PGSSLMODE"verifyca" export PGSSLROOTCERT"/home/Ruby/ca.pem" gsql d postgres h 10.0.0.0 U root p 8000 Password for user root: 步骤 5 登录数据库后，出现如下信息，表示通过SSL连接成功。 SSL connection (cipher: DHERSAAES256GCMSHA384, bits: 256)

本节介绍了集群定时备份的用户指南。 操作场景：为增强集群容灾能力，提高集群可靠性。可对集群进行定时备份。 前提条件：用户需要在所操作的集群的插件市场中安装备份还原插件“ccsebackup”。 创建任务 定时备份提供按指定时间执行备份还原任务，配置操作大体与集群备份的相似。 在云容器引擎控制台菜单中按照以下路径进入界面【集群】{选定的集群}【备份】 【集群定时备份】,点击【创建备份】，弹出创建备份对话框。 名称、命名空间、资源和持久卷的配置与集群备份余下字段则与定时执行相关。 名称 说明 保留天数 必填，定时备份后产生的备份包所保留的天数，超过保留天数的备份包则会被自动清理 时间点 必填，定时备份时执行的时间点，为整点 重复周期 必填，定时备份任务重复在一周内哪几天触发执行 说明 此处建议保留天数要大于两个定时备份任务执行的间隔天数，否则会导致任务执行完毕后，还没等到下个任务开始，就被清理 点击“创建后”完成定时任务创建。 新建的定时备份任务会被展示在列表中，列表末端的操作列包含三个按钮： 编辑：弹出定时任务编辑框修改定时任务信息。 立即执行：马上触发备份任务执行。 删除：删除当前定时备份任务。 任务详情 在定时任务列表中点击任务名称，进入定时任务详情页。在详情页面可以看到定时任务的名称、所备份的命名空间、资源类型、是否包含持久卷、任务创建时间、备份包的保留天数和备份任务的重复周期这些信息。此外在“相关备份任务”中展示了每次执行的任务信息。 任务信息包括了任务名称、大小，任务执行的状态，任务的执行时间等。 另外列表中还包含了一个操作列，操作包括还原、下载和删除，功能与集群备份的列表的一致。

本文主要介绍使用零信任和终端管理时发现异常行为的终端处置记录功能。 背景说明 处置记录展示企业配置的零信任策略规则和终端管理合规检测的实时处置记录，以便于企业对异常登录、访问等行为的观察和处置。 操作步骤 1. 登录边缘安全加速控制台，进入对应服务； 2. 在左侧导航栏，选择日志>策略处置记录，可查看处置事件或进行取消处置操作； 3. 可根据业务需求进行相关操作。 功能说明 处置记录事件数据集来源于AOne零信任>安全>动态授权、AOne终端管理>安全>终端安全>合规检测。 将统计整体处置概览情况，包括处置动作分布情况，命中策略和处置对象统计。 字段 说明 备注 监控（观察） 若触发策略，则记录处置记录，并将该用户的内网访问行为记录到威胁防护日志 挑战认证 若触发策略，则不允许访问内网，触发挑战认证弹窗，用户需短信验证码校验通过后才允许继续访问内网，并将该用户的内网访问行为记录到威胁防护日志 访问阻断 若触发策略，处置周期内不允许访问内网，直到恢复处置时，才允许继续访问，在恢复处置前，将该用户的内网访问行为记录到威胁防护日志 注销登录 若触发策略，将对已经登录客户端用户进行注销登录，登出处理，用户再次登录后，待不再匹配到策略才会放行登录，否则会再次注销登录处理 处置中记录：根据企业在在不同模块配置的策略，若检测到匹配策略的行为，则触发处置动作，并在处置中记录该事件。 对于支持周期性检测，能够自动恢复处置的策略，若用户在新的检测周期已经不再匹配到规则，则该处置中记录将移动到已恢复记录。

本节主要介绍自定义策略。 如果系统预置的云数据库GeminiDB权限，不满足您的授权要求，可以创建自定义策略。 目前天翼云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 本章为您介绍常用的云数据库GeminiDB自定义策略样例。 自定义策略样例 示例1：授权用户创建云数据库 GeminiDB实例 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "nosql:instance:create" ] } ] } 示例2：拒绝用户删除云数据库 GeminiDB数据库实例 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循 Deny优先原则 。 如果您给用户授予GaussDB NoSQLFullAccess的系统策略，但不希望用户拥有GaussDB NoSQLFullAccess中定义的删除云数据库 GeminiDB实例权限，您可以创建一条拒绝删除云数据库 GeminiDB实例的自定义策略，然后同时将GaussDB NoSQLFullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对云数据库 GeminiDB执行除了删除云数据库 GeminiDB实例外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny" "Action": [ "nosql:instance:delete" ], } ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Action": [ "nosql:instance:create", "nosql:instance:rename", "nosql:instance:delete", "vpc:publicIps:list", "vpc:publicIps:update" ], "Effect": "Allow" } ] }

本文介绍了企业交换机服务的特性及优势。 通常情况下，企业客户通过VPN或者云专线建立云下IDC和云上VPC之间的三层网络通信。由于三层网络通信本身限制，往往让客户上云面临IDC网络改造、上云周期延长、部分业务中断等种种困难，具体请参见云下和云上三层网络的约束。 企业交换机致力于解决客户上云面临的困难，通过建立云下IDC和云上VPC之间的二层网络通信，帮助您实现业务动态、平滑迁移上云，具体请参见云下和云上二层网络的优势。 云下和云上三层网络的约束 通过VPN或者云专线建立云下IDC和云上VPC之间的三层网络，组网示意请参见下图，用户痛点请参见下表。 图云下和云上三层网络组网 表云下和云上三层网络说明 网络说明 客户痛点 云下IDC和云上VPC通过VPN或者云专线建立三层网络，通过路由通信。 云下IDC子网和云上VPC子网网段不能重叠。 云下IDC侧的业务网络互访很多是通过IP地址而非域名，如果IDC子网和VPC子网网段存在重叠，上云前需要改造IDC侧网络，会导致上云周期延长、迁移期间业务中断，并且网络改造往往增加运维成本。 网络迁移最小的粒度是“子网”，并且同一个子网无法实现跨云上和云下通信。 云下IDC侧的每个子网通常承载几十种不同的业务，如果按照子网粒度进行迁移，几十种业务一次性上云存在较大风险，无法满足业务连续性需求。 云下和云上二层网络的优势 为了应对当前上云的种种痛点，推荐您使用企业交换机，建立云下IDC和云上VPC二层网络，实现轻松上云。

本节主要介绍迁移服务器上的基础服务命令。 ./stor server set { i item } service { n server } SERVERID destserver DESTSERVERID migrate SERVICE [ metadir METADIR ] 此命令用来迁移HBlock服务器上的基础服务，包括：mdm（元数据管理服务）、ls（日志服务）、cs（协调服务）。 应用场景：基础服务所在的服务器出现损坏、宕机等时，为了不影响HBlock服务，可以迁移服务器上的基础服务。 说明 可以通过命令行./stor server ls { n server } SERVERID查询基础服务的状态。一次只能迁移一个基础服务，如果有正在迁移的基础服务进程，必须等待迁移完成，才可以执行其他服务迁移操作。 注意 迁移ls服务的时候，要确保两个mdm服务和其他两个ls服务都是up状态，除了源服务器之外的所有的其他节点的ms服务（管理服务）正常，服务状态可以通过查询服务器命令获取。 迁移mdm服务的时候，要确保另一个mdm服务是up，除了源服务器之外的所有的其他节点的ps服务（协议解析服务）和ms服务（管理服务）正常，服务状态可以通过查询服务器命令获取。 迁移cs服务的时候，要确保其他两个cs服务都up，除了源服务器之外的所有的其他节点的ps服务（协议解析服务）和ms服务（管理服务）正常，服务状态可以通过查询服务器命令获取。 参数 参数 描述 i service 或 item service 迁移服务器上的基础服务。 n SERVERID 或 server SERVERID 源HBlock服务器的ID。 destserver DESTSERVERID 目的服务器ID。 migrate SERVICE 需要迁移的基础服务。 取值： mdm：元数据管理服务。 ls：日志服务。 cs：协调服务。 metadir METADIR 迁移服务的数据目录，用于存储基础服务的相关数据信息。 说明 为了提升读写性能，建议各基础服务的数据目录、安装目录、存储数据的数据目录相互独立。 取值：只能包含字母、数字、汉字和特殊字符(~ ! @ $ ( ) + ; . :)。

本文介绍回源超时时间功能及其配置说明。 功能介绍 回源超时时间包括回源连接超时时间跟回源请求超时时间： 回源连接超时时间指回源节点与源站服务器建立连接的超时时间。 回源请求超时时间指回源节点与源站服务器建连成功后，向源站服务器发送请求的超时时间。 回源HTTP超时时间设置的长短要综合考虑网络链路情况、源站处理能力、连接问题等诸多因素。如您将回源响应超时时间设置的过长，可能会出现在源站处理能力达到上限，无法正常响应的情况下，失败的请求仍然长时间占用连接数，导致正常请求无法访问。建议您合理配置回源请求超时时间，以保证请求均能正常回源。 配置说明 1.登录边缘安全加速平台控制台。 2.进入安全与加速工作台域名基础配置页面，点击目标域名。 3.进入基础配置页面，单击“编辑配置”。 4.点击开启“回源超时时间设置”即可进行回源相关超时时间配置。 参数 说明 回源连接超时时间 指回源节点与源站服务器建立连接的超时时间。如果回源节点在指定的超时时间内未能与源站服务器建立连接，则会触发节点重试，重试失败后将与源站终止连接并返回502。默认回源连接超时时间为5s，最大值为300s。 回源请求超时时间 指回源节点与源站服务器建连成功后，向源站服务器发送请求的超时时间。如果在指定的超时时间内未接收到源站服务器响应的首包，则会触发节点重试，重试失败后将与源站终止连接并返回502。默认回源请求超时时间为15s。

此小节介绍如何使用堡垒机对安全事故进行事后追溯。 随着业务上云并不断发展，云上运维的人数不断增加，这样必然会衍生出一些运维人员操作疏忽而导致的一些安全事故，但由于传统服务器缺少指令监控，操作回放等功能，这样就导致安全事件可追溯性不完善的问题。 云堡垒机可以管控所有的操作，并对所有的操作都进行详细记录。针对会话的审计日志，支持在线查看、在线播放和下载后离线播放。目前支持字符协议（SSH、TELNET）、图形协议（RDP、VNC）、文件传输协议（FTP、SFTP、SCP）、数据库协议（DB2、MySQL、Oracle、SQL Server）和应用发布的操作审计。其中，字符协议和数据库协议能够进行操作指令解析，还原操作指令；文件传输能够记录传输的文件名称和目标路径。 简介 本章节介绍了云堡垒机如何通过会话审计功能对安全事件进行追溯调查，完成安全事件的责任界定。 前提条件 已购买云堡垒机，并且使用有审计模块权限的账号登录云堡垒机 对历史会话进行审计 1. 登录控制台。进入“历史会话”页面，具体操作步骤详见查看历史会话。 2. 根据您业务出现安全问题的一些信息，在“高级搜索框”中输入相关信息进行检索。 3. 根据搜索完后的结果，在“操作”列单击“详情”，进入“会话详情”页面，对历史操作指令、文件传输情况进行排查。 根据上述步骤您就可以根据操作指令的情况，排查出是哪个步骤出现了问题，为您的事件追溯提供了便利性。当然您也可以使用会话回放功能，通过播放运维视频，来查看具体的操作情况。 云堡垒机还为您提供实时会话监控功能，让您可以实时查看高危操作的运维界面，若出现危险指令可立即切断运维人员的操作，确保业务的安全。

本节为您介绍如何绑定/解绑迁移任务目标机。 操作场景 迁移前，您需要绑定目标机。该目标机用来接收迁移源端的数据。 前提条件 完成迁移前的准备工作：包括账号注册认证、账户余额确认、迁移网络打通等。具体请见迁移前准备工作。 在源端安装Agent。具体请见在源端安装Agent。 完成目标机创建。具体请参见创建目标机。 目标机开放8000、8001端口。具体请参见检测目标机。 操作步骤 1. 进入“服务器迁移服务”，点击“主机管理”界面。 2. 可以看到未绑定的迁移源机处于“未绑定目标机”状态。 3. 点击迁移源机操作栏的“开始迁移”按钮，随后点击“前往”，系统将直接跳转至绑定界面。 4. 或在主机管理的“主机详情”页签中，单击“创建迁移任务”按钮来进行目标机的绑定操作。 5. 单击“选择云主机”按钮。 6. 单击“绑定”按钮，绑定目标机。 若云主机较多可选择“未绑定”复选框或通过搜索框搜索，选择刚刚创建的PE主机。 7. 在绑定过程中，系统会弹出提示框，点击“确定”按钮以完成绑定操作。 8. 绑定成功后，系统将自动跳转至相应页面，或您也可以手动访问“配置迁移任务”页面。

本节为您介绍迁移前的准备工作，包括账号注册认证、账户余额确认、迁移网络打通等。 使用或注册天翼云账号，并完成实名认证。 1. 打开天翼云门户网站，单击“免费注册”。 2. 在注册页面，请填写“邮箱地址”、“登录密码”、“手机号码”，并点击“同意协议并提交” 按钮，如1分钟内手机未收到验证码，请再次点击“免费获取短信验证码”按钮； 3. 注册成功后，可到邮箱激活您的账号，即可体验天翼云。 如需实名认证，请参考会员服务实名认证。 帐号余额不少于100元，避免迁移过程中欠费，导致迁移失败。主机迁移服务本身免费，但迁移过程中会创建按量付费资源并产生少量费用。具体请参见计费说明。 用户开通并使用CMSSMS服务。 1. 使用您的天翼云账号完成登录。 2. 在云迁移产品主页，单击“立即开通”按钮进入控制中心。 3. 在控制台选择您目标机资源所在区域，此处示例我们选择的是福州3。 确认迁移源是否满足操作系统要求。 需对CMSSMS迁移服务支持迁移的迁移源操作系统做确认，具体请见兼容性列表。 迁移网络打通。 迁移源 源机需要正常访问公网，访问CMSSMS控制台，注意安全组出方向放通情况，建议出方向安全组不限制； 若使用专线或VPN，需提前购买和配置正确的专线或VPN。 目标机 系统需要开放TCP的8000端口、8001端口。 若使用弹性IP连接，目标机需要提前购买和配置正确的EIP； 说明 目标机安全组放通8000、8001端口，其中8000端口建议指定为迁移源IP，避免端口脏数据注入，导致迁移失败，安全组开放端口与操作系统保持一致。

本文介绍了RDSPostgreSQL查看错误日志的方法。 操作场景 错误日志记录了数据库运行时的日志。您可以通过错误日志分析系统中存在的问题。 Ⅰ类资源池实例查看错误日志步骤 1. 登录天翼云门户。 2. 打开控制中心。 3. 左上角选择资源池区域，RDSPostgreSQLⅠ类资源池加载的资源池详见功能加载说明。 4. 找到【关系数据库PostgreSQL版】，点击进入组件控制台管理页面。 5. 在实例管理页面点击对应的实例进入基本信息页。 6. 选择页面上方的“错误日志”切换到页面，即可以查看错误日志。 1. 您可单击页面左上角的“日志级别”筛选框查看不同级别的日志记录。 2. 您可单击“日志级别”筛选框旁边的“时间范围”，查看不同时间段内的错误日志。 Ⅱ类资源池实例查看错误日志步骤 1. 登录天翼云门户。 2. 点击控制中心，进入控制中心后，选择目标资源池。 3. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 4. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 5. 在实例管理页，点击需要查看错误日志的实例行中的“监控”按钮，进入监控页。 6. 在左边栏选择“日志监控”进入日志页面。 7. 在此页面点击上方的“错误日志”切换到页面，即可查看错误日志。 1. 您可单击页面搜索栏的“日志级别”筛选框查看不同级别的日志记录。 2. 您可单击“日志级别”筛选框旁边的“自定义查询时间”，查看不同时间段内的错误日志。 3. 您可以通过“导出”按钮导出错误日志。 注意 不同资源池因IaaS资源能力等原因，加载版本有所差异，详见

执行计划 操作场景 分析当前输入的SQL语句的执行路径效率。 操作步骤 1. 在顶部菜单栏选择“SQL查询”，打开一个SQL窗口，在左侧结构树选择数据库。 2. 在SQL窗口输入需要执行的SQL语句，单击“执行计划”，排查SQL问题和优化SQL性能。 执行计划 在“SQL执行记录”页签中，查看窗口下历史执行信息。 在“消息”页签中，查看拆分SQL完成、执行完成及耗时等信息。 在“执行计划”页签中查看反馈执行语句情况，不同的页签来展示每一条SQL的执行计划详情。 我的SQL 操作场景 数据管理服务支持用户添加常用的SQL，以及查看和管理SQL语句。 操作步骤 1. 在顶部菜单栏选择“SQL查询”，打开一个SQL窗口。 2. 在当前打开的SQL窗口页面，选择“我的SQL”。 我的SQL 新增我的SQL：支持增加常用的SQL，在弹出框中编辑标题及输入SQL语句，单击“保存”即可新增SQL。 新增我的SQL 管理我的SQL：支持对常用的SQL进行管理，包括添加、编辑、 删除。 管理我的SQL SQL执行记录 前提条件 您已成功登录到数据管理服务开发工具页面。 操作步骤 1. 在顶部菜单栏选择“SQL操作”>“SQL执行记录”，打开历史执行记录列表。 2. 在SQL执行记录页面，您可通过日期范围、数据库名称、SQL语句关键字进行搜索，快速查找目标SQL执行记录信息。 单击列表中数据库名称，您可直接进入该数据库管理页面。 单击“SQL语句”，您可在SQL语句弹出框中复制使用SQL。 单击“在SQL执行窗口打开”，您可在SQL窗口中直接使用该语句。

本节主要介绍添加服务类问题 添加的对外访问方式不能生效，如何排查？ 出现上述问题可能是访问相关的资源配置有缺失或错误，请按照如下方法进行排查： 通过弹性负载均衡服务界面查看使用的ELB是否成功监听使用的外部端口和弹性云服务器。 登录集群，使用kubectl get gateway n istiosystem命令查看使用的gateway是否配置好使用的IP/域名和端口。使用kubectl get svc n istiosystem命令查看使用的ingressgateway是否有对应的IP和端口，且未处于pending状态。 核实加入服务网格的内部访问协议和添加网络配置的外部访问协议一致。 如果通过浏览器访问出现“ERRUNSAFEPORT”错误，是因为该端口被浏览器识别为危险端口，此时应更换为其他外部端口。 一键创建体验应用为什么启动很慢？ 体验应用包含productpage、details、ratings和reviews 4个服务，需要创建所有相关的工作负载和Istio相关的资源（DestinationRule、VirtualService、Gateway）等，因此创建时间较长。 一键创建体验应用部署成功以后，为何不能访问页面？ 问题描述 一键创建体验应用部署成功后不能访问页面。 原因分析 弹性负载均衡ELB未成功监听端口。 解决方法 请在弹性负载均衡ELB中查看该端口监听器是否创建，后端服务器健康状态是否正常。 添加路由时，为什么选不到对应的服务？ 添加路由时，目标服务会根据对应的网关协议进行过滤。过滤规则如下： HTTP协议的网关可以选择HTTP协议的服务 TCP协议的网关可以选择TCP协议的服务 GRPC协议的网关可以选择GRPC协议的服务 HTTPS协议的网关可以选择HTTP、GRPC协议的服务 TLS协议的网关如果打开了TLS终止，只能选择TCP协议的服务；关闭了TLS终止，只能选择TLS协议的服务

本文介绍了RDSPostgreSQL数据库透明加密功能。 默认订购的RDSPostgreSQL实例不开启TDE功能，需要用户在订购时选择开启。 操作场景 关系数据库PostgreSQL版提供了TDE功能。用户需要对磁盘上存储的数据进行加密和解密来实现对数据的保护时，可以对该功能进行开启。 注意 不同资源池因iaas资源能力等原因，加载版本有所差异，详见 TDE功能仅能在订购实例时开启，且开启后无法关闭。 需先开通密钥管理服务。如未开通，则需要提前开通密钥管理服务（需要和RDSPostgreSQL实例位于同一资源池），并创建对称密钥，详见 加密所使用的密钥由密钥管理服务产生。 支持加密功能的内核版本为：12.16P3、13.12P2、14.9P2、15.4P2。 操作步骤 1. 进入订购页，详情可参考步骤一：实例订购。 2. 集群配置项中勾选“启用透明加密”，并选择要使用的密钥管理服务中的数据秘钥（当前只支持使用对称密钥）。若未开启密钥管理服务，则需要开启 密钥管理服务 并创建密钥。 3. 按照开通流程完成实例开通，在控制台页面可查看数据库透明加密开启状态。 注意 数据透明加密功能当前仅支持开通时开启，开启后该功能不可关闭，如开通时未开启，则后续无法开启该功能。 该功能需先开通数据秘钥管理服务，并创建对称加密秘钥，方可使用。 该功能目前加载华东1资源池，其他资源池未加载该功能。

本文介绍了如何重置管理员账号密码。 操作场景 在使用过程中，如果用户忘记管理员账号密码，可以通过控制台重新设置密码。 注意 如果新密码被系统视为弱密码，您将收到错误提示，请提供更高强度的密码。 重置密码生效时间取决于该实例当前执行的业务数据量。 请定期修改用户密码，以提高系统安全性，防止出现密码被暴力破解等安全风险。 请妥善管理您的密码，因为系统为保障您的数据安全未保存您的密码信息。 Ⅰ类资源池操作步骤 1. 登录天翼云门户。 2. 打开控制中心。 3. 左上角选择资源池区域，RDSPostgreSQL基础版加载的资源池详见功能加载说明。 4. 找到【关系数据库PostgreSQL版】，点击进入组件控制台管理页面。 5. 在实例管理页面中的“操作”列，点击对应实例的“修改密码”按钮，如图所示。 6. 在弹出框内输入新的密码，点击确认。返回成功即为修改密码成功，返回失败请根据错误提示重新设置您的密码。 Ⅱ类资源池操作步骤 1. 登录天翼云门户。 2. 点击控制中心，进入控制中心后，选择目标资源池。 3. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 4. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 5. 在【实例管理】的实例列表中选择目标实例，点击实例名称进入实例管理详情页。 6. 在基本信息中找到“管理员账号名”项中的“重置密码”。 7. 在弹出框内输入新的密码，点击确定。返回成功即为修改密码成功。返回失败请根据错误提示重新设置您的密码。

本文主要介绍了DRDS全局序列管理页面相关内容，包括列表展示、新增序列等操作。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 分布式关系型数据库】，进入分布式关系型数据库产品页面。然后单击【管理控制台】，进入【概览】页面。 2. 在左侧导航栏，选择【DRDS > 实例管理】，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击【操作】列的【管理】，进入实例【基本信息】页面。 4. 单击【schema管理】栏目，进入目标实例的schema管理页面。 5. 单击【schema管理】导航栏中的【全局序列管理】，可进入全局序列管理页面。可以查看全局序列列表，对全局序列进行查看DDL和删除操作，修改序列当前值，新增序列。 新增序列 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 分布式关系型数据库】，进入分布式关系型数据库产品页面。然后单击【管理控制台】，进入【概览】页面。 2. 在左侧导航栏，选择【DRDS > 实例管理】，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击【操作】列的【管理】，进入实例【基本信息】页面。 4. 单击【schema管理】栏目，进入目标实例的schema管理页面。 5. 单击【schema管理】导航栏中的【全局序列管理】，可进入全局序列管理页面。 6. 单击【全局序列管理】页面左上角的【新增序列】，进入新增序列页面。 7. 在弹框中输入序列名称，名称以英文前缀开头，且必须输入非中文字符；输入起始值和最大值，单击确定，可以新增全局序列。 注意 此处的步长不是指的序列的间隔，而是DRDS节点缓存的序列值数量。 实际序列步长是1。 全局序列的步长固定为1000，最大值必须大于等于起始值+步长量。

本小节主要介绍设置RDSPostgreSQL实例的网络变更功能。 操作场景 当您的实例网络配置需要进行调整时，控制台支持将您的实例网络按照您的需求和现有可用网络配置进行变更，满足您的实际网络配置要求。 注意事项 实例需处于正常运行状态，网络更新后，实例连接地址将会发生变化，需要更新您的业务配置的数据库连接地址； 如已绑定弹性IP，需要先进行解绑，方可继续操作； 如开通了只读实例、数据库代理相关服务的实例，需要先将其退订后方可继续操作； 目前仅支持备份介质为对象存储的实例进行网络变更； 网络变更时，ipv4的子网仅能选择ipv4的子网进行变更； 因涉及连接地址变更，请您尽量在业务低峰期执行该操作，避免出现阻塞。 操作步骤 1. 登录天翼云门户。 2. 点击控制中心，进入控制中心后，选择目标资源池。 3. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 4. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 5. 在【实例管理】的实例列表中选择目标实例，点击实例名称进入实例管理详情页。 6. 在单个实例管理详情页面的基本信息中，点击"网络"的"网络"项。 7. 在弹出框界面，选择您需要变更的目标网络信息，确认变更信息无误后，点击"确认"提交变更任务。 8. 系统处理您的网络变更任务时，实例状态会置为"网络变更中"，其中部分操作不可用。 9. 系统处理成后，实例状态会恢复正常，您可在实例管理详情页面查看您实例的最新网络信息。 注意 不同资源池因iaas资源能力等原因，加载版本有所差异，详见功能加载说明。

操作场景 根据业务需要创建参数模板。 创建参数模板会自动从默认参数模板复制一份。 约束限制 并非所有的参数都可在自定义数据库参数模板中进行更改。 参数模板中的有些参数受限于当前机器操作系统配置，或者依赖其他参数，所以可能导致配置的值与实际生效值不一致，这是正常现象。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 参数模板，进入自定义参数模板列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在参数模板列表上方，单击创建参数模板。 注意 系统自带两个默认参数模板（DefaultMySQL5.7和DefaultMySQL8.0），自定义参数模板需要用户手动去创建。 用户不允许创建同名的自定义参数模板，可包含字母、数字、中划线、下划线或句点，不能包含其他特殊字符，名称须在1位到64位之间，区分大小写。 4. 在创建参数模板 对话框中，配置参数信息，然后单击确定，即可在参数模板列表中看到新创建参数模板。 数据库版本：即数据库引擎，分为5.7、8.0两个版本。 已有参数模板：选择已有参数模板，表示将根据用户自己选择的已有参数模板进行派生创建。 参数模板名称：注意名称规则为1~64位，区分大小写，可包含字母、数字、中划线、下划线或句点，不能包含其他特殊字符。 描述 ：参数模板的描述信息。描述信息不能超过255位，且不能包含回车和特殊字符 > ! < " & ' 。 注意 在设置当前值时，请按允许值的范围进行设置。 MySQL部分参数受限制于操作系统、实例规格及其他依赖参数等，因此可能存在设置值与实际生效值不一致的情况。请用户查询MySQL官方网站根据实际环境情况进行设置。

本页对关系数据库MySQL版MGR集群功能进行说明。 注意 仅西南1等II类型资源池支持该功能，I类型资源池不支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 MGR集群说明 MGR全称MySQL Group Replication（MySQL组复制），MGR提供了高可用、高扩展、高可靠的MySQL集群服务，MGR集群架构如下： 说明 如果您的业务需要高可靠、高可用的关系数据库MySQL版实例，建议您选择8.0的MGR集群模式。 注意事项 MGR集群实例的数据库版本只支持8.0，不支持5.7。 MGR集群实例不支持切换数据复制方式。 MGR集群实例类型只支持一主两备，且不支持系列升级操作（即只支持一主两从）。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表上方，单击创建实例，跳转到实例购买页面。 4. 根据实际情况，配置实例相关参数。您需要注意如下参数： 组件引擎 ：选择MySQL 和8.0 基础配置 ：模式 选择MGR ，实例类型 默认只能选择一主两备 5. 阅读并勾选服务协议后，单击确认订单。 等待实例开通完成并且处于运行中 状态后，单击实例名称进入实例基本信息 页面。您可以在实例信息 区域，看到模式 为MGR，表示当前实例为MGR集群。

本文帮助您快速熟悉负载均衡器创建及其相关操作。 前提条件 在您创建负载均衡器前，确保您已经做好了相关准备，按需选择您需要的网络类型、产品类型并进行相关配置。具体请参考规划和准备。 使用须知 负载均衡器创建后，不支持修改VPC。如果要修改VPC，请重新创建负载均衡器，并选择对应的VPC。 如果子网未开启IPv6,则负载均衡不支持IPv6，如果子网已开启IPv6,则负载均衡支持IPv6。 如果只需要IPv6公网，可以创建内网负载均衡后绑定IPv6公网带宽。目前仅集群资源池支持负载均衡IPv6，主备、集群模式资源池列表见产品简介​>产品类型和规格​>按资源池区分, 实际情况以控制台展现为准。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方单击图标，选择区域，本文操作均选择华东dectest1017。 3. 在系统首页，选择“网络>弹性负载均衡>负载均衡器”。 4. 单击“创建负载均衡”，进入负载均衡创建页面。 5. 按需选择产品类型、网络类型等配置。各配置项详细说明，请参考负载均衡器配置说明。 6. 在“确认配置”页面，检查确认负载均衡器的相关配置。 7. 勾选我已阅读并同意相关协议《天翼云负载均衡服务等级协议》、《天翼云弹性IP服务协议》，点击“立即创建”。 8. 创建负载均衡器一般需要几分钟，请耐心等待。用户可前往控制台查看负载均衡器的状态，当其状态变为“运行中”时，表示负载均衡器创建完成。

本节介绍服务器安全卫士（原生版）网页防篡改相关常见问题。 如何使用网页防篡改（原生版）？ 首先需要根据所需防护的服务器上的网站情况，订购网页防篡改（原生版）配额，每台服务器需订购1个配额。订购成功后，根据您的网站情况进行防护策略的配置，即可开启网页防篡改（原生版）防护服务。 如何绑定网页防篡改防护配额？ 1. 购买成功防护配额后，可在防护配额管理页面查看配额的使用状态、绑定服务器、开通时间、到期时间等信息。 2. 在防护管理页面对需要防护的服务器进行防护设置，在防护设置页面选择防护配额，即可进行绑定。详细操作请参见防护管理。 为什么要添加防护目录？ 通常攻击者对网站发起攻击都会恶意篡改网页目录中的文件，因此需要添加网站防护目录，网页防篡改（原生版）才能实时监控，发现篡改行为后可以立即告警并自动恢复。 设置防护目录操作步骤如下： 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“网页防篡改（原生版） > 防护管理”，进入防护管理页面。 3. 在列表中选择要进行防护设置的服务器，单击操作列的“防护设置”，进入防护设置页面。 4. 绑定防护配额：选择需要绑定的配额后，单击“配置防护策略”。 若已经绑定防护配额，可直接进入篡改防护设置页面。 5. 篡改防护设置：包括配置防护目录、设置特权进程、设置远端备份。 配置防护目录：防护目录分为添加白名单和添加黑名单两种模式，可根据实际使用场景进行配置。 白名单模式：会对添加的防护目录和文件类型进行保护。 黑名单模式：会防护目录下所有未排除的子目录、文件类型和指定文件。 其他配置 ：请参见防护管理。 完成防护设置后，用户即可对服务器开启网页防篡改防护。

本节介绍服务器安全卫士（原生版）防护配额操作指南。 查看配额详情 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“网页防篡改（原生版） > 防护配额”，进入防护配额页面。 该页面为您展示配额的统计和配额的详情列表。 配额使用：为您展示正常配额的使用情况统计，分为使用中和未绑定2种状态。 配额状态：为您展示所有配额的状态统计，分为正常、已过期和已退订3种状态。 配额列表：展示正常、已过期、已退订3种状态的配额，销毁的配额不展示在列表中，包括配额ID、配额状态、绑定服务器、使用状态、开通时间、到期时间等信息。 该列表可根据配额状态、使用状态、配额ID、服务器名称和服务器IP进行查询。 管理配额 包括配额订购、配额续订、配额退订和到期处理相关操作。 配额订购 详细操作请参见购买网页防篡改配额。 配额续订 您可对已订购的网页防篡改（原生版）配额进行续费。 说明 仅支持对配额状态为未到期、已到期（未过保留期）的配额进行续订。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“网页防篡改（原生版） > 防护配额”，进入防护配额页面。 3. 在页面下方配额列表中，对需要续订的配额，单击操作列的“续订”。 4. 在“续订”页面选择该配额需续订的时长。 5. 阅读《天翼云网页防篡改（原生版）服务协议》，并勾选“我已阅读并同意相关协议《天翼云网页防篡改（原生版）服务协议》“，单击“立即购买”。 6. 进入“付款”页面，完成付款。

StringToSign StringToSign中不包含ContentType, Date, ContentMD5这些请求头的名字，只包含这些请求头的值。但是以“xamz”开头的请求头的名字和值都包含在StringToSign中。 如果在请求中，ContentType, ContentMD5等请求头不存在，那么该位置用空串（""）来代替。 时间戳说明 在签名时必须使用时间戳，可以用HTTP的Date请求头，也可以用xamzdate请求头。时间戳中的时间和OOS的系统时间不能相差15分钟以上，否则，OOS会返回错误码RequestTimeTooSkewed。 有些HTTP客户端不能设置Date请求头，如果你在签名时设置Date请求头有困难，那么你可以使用xamzdate请求头来传送时间戳。xamzdate请求头需要符合RFC 2616 的格式 。当请求中包含xamzdate头时，OOS在计算签名时会忽略Date头。所以如果请求中有xamzdate头，在客户端计算签名时，Date头的值应设置为空串。 构建CanonicalizedAMZHeaders的方法 所有以“xamz”为前缀的HTTP Header被称为CanonicalizedAMZHeaders。它的构建方法如下： 1. 将所有以“xamz”为前缀的HTTP请求头的名字转换成小写字母。如’XAMZMetaName: fred’转换成’xamzmetaname: fred。 2. 将上一步得到的所有HTTP请求头按照字典序进行升序排列。 3. 如果有相同名字的请求头，则根据标准RFC 2616, 4.2章进行合并（两个值之间只用英文逗号分隔）。如有两个名为'xamzmetaname'的请求头，对应的值分别为'fred'和'barney'，则合并后为：'xamzmetaname:fred,barney'。 4. 删除分隔符（:）两端和值两端出现的任何空格。如'xamzmetaname : fred '转换成：'xamzmetaname:fred'。 5. 将所有的头和内容用’n’分隔符分隔拼成最后的CanonicalizedAMZHeader。

二、 工作负载网络异常时，如何定位排查？ 排查思路 以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低频率原因排查，从而帮助您快速找到问题的原因。 如果解决完某个可能原因仍未解决问题，请继续排查其他可能原因。 排查项一：容器+容器端口 排查项二：节点IP+节点端口 排查项三：负载均衡IP+端口 排查项四：NAT网关+端口 排查项五：检查容器所在节点安全组是否放通 排查项一：容器+容器端口 在CCE控制台界面或者使用kubectl命令查找pod的IP，然后登录到集群内的节点或容器中，使用curl命令等方法手动调用接口，查看结果是否符合预期。 如果容器IP+端口不能访问，建议登录到业务容器内使用“127.0.0.1+端口”进行排查。 常见问题： 1. 容器端口配置错误（容器内未监听访问端口）。 2. URL不存在（容器内无相关路径）。 3. 服务异常（容器内的业务BUG）。 排查项二：节点IP+节点端口 只有发布为节点访问（NodePort）或负载均衡（LoadBalancer ）的服务才能通过节点IP+节点端口进行访问。 节点访问（NodePort）类型： 节点的访问端口就是节点对外发布的端口。 负载均衡（LoadBalancer ）类型： 负载均衡的节点端口通过“编辑YAML”可以查看。 如下图所示： nodePort: 30637 为节点对外暴露的端口。targetPort: 80 为Pod对外暴露的端口。port: 123为服务对外暴露的端口，负载均衡类型的服务同时使用该端口配置ELB的监听器。 找到节点端口（nodePort）后，使用容器所在节点的IP地址+端口进行访问，并查看结果是否符合预期。 常见问题： 1. 节点的入方向对业务端口未放通。 2. 节点配置了自定义路由，并且配置错误。 3. pod的label与service的label不匹配（kubectl或API创建）。

操作场景 云容器引擎（CCE）与云监控服务无缝集成，可以实时查看每个集群工作节点的资源使用情况，您可以使用该服务监控您的节点，执行自动实时监控、告警和通知操作，帮助您更好地了解节点的各项性能指标。 云监控服务可以对节点运行状态进行日常监控。您可以通过CCE控制台或云监控服务控制台，直观地查看节点的各项监控指标。 由于监控数据的获取与传输会花费一定时间，因此，云监控显示的是当前时间5～10分钟前的节点状态。如果您的节点刚刚创建完成，请等待5～10分钟后查看监控数据。 操作步骤 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点管理”。 步骤 2 在列表右上角选择所需的集群，在该集群下选择所需的节点。 步骤 3 单击节点名称后的“监控”，在云监控服务中可查看监控信息。 步骤 4 在弹出节点监控窗口中，可查看该节点的基本监控信息，包括CPU使用率、内存使用率、磁盘使用率、CPU/内存/磁盘使用记录、上行速率、下行速率、网络监控等指标。 监控指标 指标含义 CPU使用率 该指标为从物理机层面采集的CPU使用率，数据准确性低于从弹性云主机内部采集的数据。 内存使用率 该指标用于统计节点的内存使用率。 磁盘使用率 节点的磁盘使用率，统计对象是使用率最大的磁盘，而非所有磁盘的平均使用率； 节点的磁盘剩余容量，统计对象是剩余容量最大的磁盘，而非所有磁盘的剩余容量之和。 CPU/内存/磁盘使用记录 可查看一小时内的CPU使用率、内存使用率和磁盘使用率的曲线。 下行速率 一般指从网络下载数据到节点的速度，单位KB/S。 上行速率 一般指从节点上传网络的速度，单位KB/S。 网络监控 可查看一小时内的下行速率、上行速率的曲线。

本文主要介绍 prometheus。 插件简介 Prometheus是一套开源的系统监控报警框架。它启发于Google的borgmon监控系统，由工作在SoundCloud的Google前员工在2012年创建，作为社区开源项目进行开发，并于2015年正式发布。2016年，Prometheus正式加入Cloud Native Computing Foundation，成为受欢迎度仅次于Kubernetes的项目。 在云容器引擎CCE中，支持以插件的方式快捷安装Prometheus。 插件官网： 开源社区地址： 约束与限制 CCE提供的Prometheus插件仅支持1.21及以下版本的集群。 插件特点 作为新一代的监控框架，Prometheus具有以下特点： 强大的多维度数据模型： 时间序列数据通过metric名和键值对来区分。 所有的metrics都可以设置任意的多维标签。 数据模型更随意，不需要刻意设置为以点分隔的字符串。 可以对数据模型进行聚合，切割和切片操作。 支持双精度浮点类型，标签可以设为全unicode。 灵活而强大的查询语句（PromQL）：在同一个查询语句，可以对多个metrics进行乘法、加法、连接、取分数位等操作。 易于管理：Prometheus server是一个单独的二进制文件，可直接在本地工作，不依赖于分布式存储。 高效：平均每个采样点仅占3.5 bytes，且一个Prometheus server可以处理数百万的metrics。 使用pull模式采集时间序列数据，这样不仅有利于本机测试而且可以避免有问题的服务器推送坏的metrics。 可以采用push gateway的方式把时间序列数据推送至Prometheus server端。 可以通过服务发现或者静态配置去获取监控的targets。 有多种可视化图形界面。 易于伸缩。 需要指出的是，由于数据采集可能会有丢失，所以Prometheus不适用对采集数据要100%准确的情形。但如果用于记录时间序列数据，Prometheus具有很大的查询优势，此外，Prometheus适用于微服务的体系架构。

本节介绍如何配置全局Web核心防护。 防护对象接入Web应用防火墙后，您可以选择开启全局Web核心防护功能。 全局精准访问控制支持对全局域名或单个域名生效。 全局Web核心防护包括防护配置 SQL注入、XSS代码注入、信息泄露、XML实体注入、Xpath注入、Ldap注入、SSL指令注入、文件上传、命令注入等常见 Web攻击。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 查看规则库 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 全局防护配置”，进入全局防护配置页面。 5. 定位到“全局Web核心防护”模块，选择查看规则库。 6. 进入“规则组”页面。 规则列表中包含的参数如下： 配置项 说明 危险等级 防护规则防护漏洞的危险等级，包括： 高危 中危 低危 灰度状态 规则的状态说明。 规则ID WAF防护引擎中可唯一标识该规则的ID。 规则引擎类型 描述WAF防护规则的引擎类型 规则名称 防护规则的描述信息。 防护类型 表示规则防御的Web攻击类型。 包括SQL注入、XSS、目录穿越、Java代码执行、PHP代码执行、ASP代码执行、通用代码执行、Java反序列化、PHP反序列化、本地文件包含、远程文件包含、文件上传、CSRF、SSRF、命令注入、信息泄露、模板注入、XML实体注入、Xpath注入、LDAP注入、自定义精准攻击、未知攻击。 CVE编号 防护规则对应的CVE（Common Vulnerabilities & Exposures，通用漏洞披露）编号。对于非CVE漏洞，显示为空。 关联规则组数 显示对应规则所绑定的规则组数量。 7. 单击页面右上角的“规则更新状态”可查看内置规则的更新情况。

本文主要介绍如何管理命名空间。 使用命名空间 创建工作负载时，您可以选择对应的命名空间，实现资源或租户的隔离。 查询工作负载时，选择对应的命名空间，查看对应命名空间下的所有工作负载。 命名空间使用实践 按照不同环境划分命名空间 一般情况下，工作负载发布会经历开发环境、联调环境、测试环境，最后到生产环境的过程。这个过程中不同环境部署的工作负载相同，只是在逻辑上进行了定义。分为两种做法： 分别创建不同集群。 不同集群之间，资源不能共享。同时，不同环境中的服务互访需要通过负载均衡才能实现。 不同环境创建对应命名空间。 同个命名空间下，通过服务名称（Service name）可直接访问。跨命名空间的可以通过服务名称、命名空间名称访问。 例如下图，开发环境/联调环境/测试环境分别创建了命名空间。 图 不同环境创建对应命名空间 按照应用划分命名空间 对于同个环境中，应用数量较多的情况，建议进一步按照工作负载类型划分命名空间。例如下图中，按照APP1和APP2划分不同命名空间，将不同工作负载在逻辑上当做一个工作负载组进行管理。且同一个命名空间内的工作负载可以通过服务名称访问，不同命名空间下的通过服务名称、命名空间名称访问。 图 按照工作负载划分命名空间 删除命名空间 删除命名空间会删除该命名空间下所有的资源（如工作负载，短任务、配置项等），请谨慎操作。 步骤 1 登录CCE控制台，进入集群。 步骤 2 在左侧导航栏中选择“命名空间”，选中待删除的命名空间，单击“更多 > 删除”。 根据系统提示进行删除操作。系统内置的命名空间不支持删除。

本文介绍查询模型列表内容。 接口描述 获取租户可用的全部模型 请求方法 GET 接口要求 无 URI /openapi/v1/models/list 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 tenantId 是 String 租户ID abcb82293b1a40e1b97ea05e50dd8170 ctyuneoprequestid 是 String 用户请求 id，由用户构造，用户可以通过 uuid 等方法自行生成唯一字符串，用于日志请求追踪。 eopdate 是 String 请求时间，由用户构造，形如 yyyymmddTHHMMSSZ。 host 是 String 终端节点域名，固定字段 EopAuthorization 是 String 由天翼云官网 accessKey 和 securityKey 经签名后生成，参与签名生成的字段包括天翼云官网 accessKey 、securityKey、用户请求id（非必须），请求时间，终端节点域名（非必须）以及请求体内容。 请求代码示例 plaintext Curl X GET " H "ctyuneoprequestid:33dfa732b27b464fb15a21ed6845afd5" H "tenantId:XXX" H "EopAuthorization:XXX" H "eopdate:20211109T104641Z" H "host:kqaglobal.ctapi.ctyun.cn" 返回值说明 1.请求成功返回响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 200表示成功 200 message String 固定为Success Success returnObj Object 接口返回结果 returnObj 表returnObj 参数 参数类型 说明 示例 下级对象 id String 模型ID name String 模型名称 description String 模型介绍 modelType String 模型类型 isDefault Boolean 是否为默认模型 2.请求失败返回响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 错误码，放置API对应的错误码 40001 message String 失败信息 缺少鉴权信息 error String 返回对应的错误码 KQA40001 返回值示例 1.请求成功返回值示例 plaintext { "statusCode": 200, "message": "Success", "returnObj": [ { "id": "d5f09a41d4584715a5d94a4892411c0f", "name": "DeepSeekR1DistillLlama70B", "description": "DeepSeekR1DistillLlama70B", "modelType": "预置模型：PRESETMODEL", "isDefault": true } ] } 2.请求失败返回值示例 plaintext { "statusCode": "40004", "error": "KQA40004", "message": "接口执行异常" } 状态码 http状态码 描述 200 表示请求成功 错误码说明 见通用错误码。

HIVE/INCEPTOR数据源配置 选择Hive或Inceptor数据源类型时，表单在基本属性模块提供额外配置内容，包括集群平台、认证类型等，且均为必填项。 配置内容 说明 集群平台 可选项包括APACHEHADOOP、CDH（Hive），或TDH（Inceptor）。 认证类型 可选项包括常规认证、Kerberos认证（Hive），或常规认证、Kerberos认证、Token认证（Inceptor） 常规认证：选择此认证方式时，基本属性模块的末尾展开账号、密码输入框，账号、密码为非必填项； Kerberos认证: 选择此认证方式时，下方展开Hive Principal 和Kerberos Principal两个输入框；此外，需要额外上传Kerberos配置文件与 Kerberos keytab文件，点击 打开本地浏览页面，选择文件确认后，上传到服务端； Token认证: 选择此认证方式时，下方展开guardianToken输入框。 导入数据源 1.使用安全管理员账号登录数据分类分级实例。 2.在左侧导航栏选择“数据资产管理 > 数据源管理”即可进入“数据源管理”页面查看数据源列表。 3.单击页面右上角的“导入”按钮，可以批量导入数据源。 4.选择“模板下载”，在下载的模板中填写相关内容。 说明 数据源名称不得与系统内已有的数据源名称重复； 若类型为ORACLE数据库，则“库名/实例名”与“服务名”必选填一个，“角色”在NORMAL、SYSDBA、SYSOPER中必选一个值； 若类型为INFORMIX数据库，则“库名/实例名”与“服务名”均为必填； SFTP/FTP/LOCAL/METADATA/MYSQL分片环境/HIVE类型数据源暂不支持通过该模板批量导入，请使用 功能在产品界面中直接添加。 导入本文件时无需配置行业模板。数据源导入成功后，行业模板默认使用当前的默认模板。