本文主要介绍如何修改IP地址组基本信息。 操作场景 本章节指导用户修改IP地址组。 说明 修改IP地址组，相应安全组规则和网络ACL规则的源地址范围也会随之改变。 修改IP地址组 1. 登录管理控制台。 2. 在页面左上角单击图标，打开服务列表，选择“网络 > 虚拟私有云”。进入虚拟私有云列表页面。 3. 在左侧导航栏选择“访问控制 > IP地址组”。 4. 在IP地址组列表页面，单击操作列的“修改”，可以对IP地址组信息进行修改，包括名称、IP地址、描述。

本小节介绍云日志审计Windows系统客户端配置。 Windows系统客户端配置 1.进入【日志采集】→【采集控制器】，点击“NXLog”客户端，进行下载。 压缩包内包括客户端配置程序、配置文件、操作方法。 相关配置文件需注意，“Host”为云日志审计IP地址。 2.配置文件修改后，重启服务。 Linux客户端配置 1.进入Linux系统，进行rsyslog进程配置。 命令： vim /etc/rsyslog.conf 2.修改配置如下： . @云日志审计IP地址（写入发送日志指向的云日志审计地址） 3.启动rsyslog服务。 systemctl start/restart rsyslog.service 其他类型资产日志配置 其他类型资产可选择内置syslog方式，填写云日志审计组件IP地址。 若配置完成，可到【安全概览】下查看资产设备的日志分析。

介绍解决部分Linux系统的账户破解防护功能未生效 故障原因 主机系统中SSHD服务没有依赖libwrap.so。 libwrap是一个免费的软件程序库，实现了通用的TCP。 Wrapper功能。任何包含了libwrap.so的daemon程序可以使用/etc/hosts.allow和/etc/hosts.deny文件中的规则对主机进行简单的访问控制。 解决方法 登录云服务器安装企业主机安全Agent，然后执行下面的命令： sh /usr/local/ hostguard/conf/configsshxinetd.sh 存在问题的镜像版本 Gentoo的镜像存在该问题的版本如下： Gentoo Linux 17.0 64bit（40GB） Gentoo Linux 13.0 64bit（40GB） OpenSUSE的镜像存在该问题的版本如下： OpenSUSE 42.2 64bit（40GB） OpenSUSE 13.2 64bit（40GB）

本节主要介绍相关术语解释 指标 指标是对资源性能的数据描述或状态描述，指标由命名空间、维度、指标名称和单位组成。 其中，命名空间特指指标的命名空间，可将其理解为存放指标的容器，不同命名空间中的指标彼此独立，因此来自不同应用程序的指标不会被错误地聚合到相同的统计信息中。维度是指标的分类，每个指标都包含用于描述该指标的特定特征，可以将维度理解为这些特征的类别。下图以集群指标为例，介绍了命名空间、维度和指标的关系。 主机 AOM的每一台主机对应一台虚拟机或物理机。主机可以是您自己的虚拟机或物理机，也可以是您通过天翼云购买的虚拟机或物理机，只要主机的操作系统满足AOM支持的操作系统（AOM支持的操作系统详见操作系统使用限制）且主机已安装ICAgent，即可将主机接入到AOM中进行监控。 ICAgent ICAgent是AOM的采集器，运行在每台主机上用于实时采集指标、日志和应用性能数据。安装ICAgent是使用AOM的前提，否则将无法正常使用AOM。 告警 告警是指AOM自身或ECS、ServiceStage、CCE等外部服务在异常情况或在可能导致异常情况下上报的信息，告警会引起业务异常，您需要对告警进行处理。 告警清除方式包括自动清除和手动清除两种。 自动清除：产生告警的故障消除后，AOM会自动清除告警，您不需要做任何操作，例如：阈值告警。 手动清除：产生告警的故障消除后，AOM不会自动清除告警，您需要手动清除告警，例如：ICAgent安装失败告警。

天翼云Prometheus监控服务提供了Remote Read的标准接口，您可以通过这个接口远程访问天翼云上Prometheus的监控数据。本文以开源Prometheus访问天翼云Prometheus监控为例介绍如何使用Remote Read地址。 使用限制 Remote Read接口暂不支持HTTP/2。 前提条件 已创建Prometheus 版实例 远程读取的客户端网络已经与暴露接口打通。 操作指南 步骤一：获取用户的AccessKey和AccessKey Secret 如果您已创建Prometheus实例，且您需要使用AccessKey和AccessKey Secret进行远程读写，则需要先为获取用户的AccessKey ID和AccessKey Secret。 1. 通过实名认证的账号登录天翼云。 2. 进入天翼云账号中心。 3. 点击【安全设置】进入安全设置中心 4. 在用户AccessKey模块，可创建AKSK，或直接查看已生成的AKSK。 步骤二：获取Remote Read地址 1. 登录应用性能监控控制台，左侧菜单选择Prometheus监控，进入实例列表页面。 2. 单击目标实例名称。 3. 在设置页签上，复制Remote Read地址。 步骤三：配置开源版Prometheus 1. 安装开源Prometheus。 2. 编辑Prometheus.yml配置文件，并在文件末尾增加以下内容，将remoteread链接替换为上文步骤二中获取的地址，然后保存文件。 plaintext global: scrapeinterval: 15s evaluationinterval: 15sscrapeconfigs: jobname: 'prometheus' staticconfigs: targets: ['localhost:9090'] remoteread: 替换为您的Remote Read地址。 url: " readrecent: true 3. 重启开源版Prometheus服务。

本节介绍分布式缓存服务Redis版产品定义。 产品定义 分布式缓存服务Redis版是一种兼容Redis协议的NoSQL内存数据库产品，具备高性能、高可用、可水平扩展的特性，提供丰富的产品类型满足用户高读写性能场景需求，主要用于持久化数据的存储或缓存数据的存储。 为什么选择天翼云分布式缓存服务Redis 全面兼容Redis协议：基于开源Redis协议进行安全加固，客户端兼容Redis协议。 丰富的产品规格实例：提供多种缓存实例规格，灵活满足应用的多样化需求。 可靠的备份与恢复机制：支持手动备份与定时自动备份，自定义备份策略，实现将已备份的数据恢复到缓存实例中。 完善的监控运维工具：提供完备的日志、监控和告警功能，异常情况能自动告警并通知相关人员，多种监控指标及服务器运行情况支撑实时、历史监控运维。 对比自建原生Redis的优势 对比自建原生Redis，天翼云分布式缓存服务具备以下优势： 差异项 天翼云分布式缓存服务Redis 原生Redis 安装部署 实时开通，支持一键升级，无需关心服务部署的硬件及软件。 需要自行完成采购硬件、机房托管、部署机器等工作，周期较长，且需要自行维护节点关系。 备份恢复 支持手动备份与定时自动备份，一键恢复还原备份点。 仅支持一次性全量恢复。 运维管理 提供可视化运维监控平台，支持数十种的监控指标的实时监控。 需使用管理方式复杂的第三方监控工具实现服务监控。 扩展能力 支持节点性能线性扩展，支持在线扩容，业务无感知。 并发受限，升级依赖社区。

本节主要介绍关系型数据库服务的关键操作列表 关系型数据库服务（Relational Database Service，以下简称RDS）是一种基于云计算平台的可即开即用、稳定可靠、按需扩展、便捷管理的在线关系型数据库服务。 通过云审计服务，您可以记录与关系型数据库服务相关的操作事件，便于日后的查询、审计和回溯。 云审计服务支持的RDS操作列表 操作名称 资源类型 事件名称 ::: 创建实例、恢复到新实例（Console、OPENAPI、TROVEAPI） instance createInstance 创建只读 （Console、OPENAPI、TROVEAPI） instance createReadReplicate 实例重启、扩容、规格变更、恢复到原有实例操作（Console、OPENAPI 、TROVEAPI） instance instanceAction 重置密码（Console） instance resetPassword 设置数据库版本配置参数（OPENAPI） instance setDBParameters 重置实例的数据库版本配置参数（OPENAPI） instance resetDBParameters 设置备份策略打开,关闭,修改（Console、OPENAPI） instance setBackupPolicy 修改数据库端口号（Console） instance changeInstancePort 绑定解绑EIP（Console） instance setOrResetPublicIP 修改安全组（Console） instance modifySecurityGroup 创建标签（Console、OPENAPI） instance createTag 删除标签（Console、OPENAPI） instance deleteTag 修改标签（Console、OPENAPI） instance modifyTag 删除集群下的实例（Console、OPENAPI、TROVEAPI） instance deleteInstance 创建快照（Console、OPENAPI） backup createManualSnapshot 复制快照（Console） backup copySnapshot 删除快照（Console、OPENAPI） backup deleteManualSnapshot 创建参数组（Console、TROVEAPI） config createParameterGroup 修改参数组（Console、TROVEAPI） config updateParameterGroup 删除参数组（Console、TROVEAPI） config deleteParameterGroup 复制参数组（Console） config copyParameterGroup 重置参数组（Console） config resetParameterGroup 比较参数组（Console） config compareParameterGroup 应用参数组（Console） config applyParameterGroup

本节介绍Web应用防火墙（独享版）购买类的问题。 Web应用防火墙（独享版）可以支持哪些区域购买？ 不同的服务，不同的计费方式，目前支持的区域不同： 独享模式 按需计费方式：广州4、苏州、华北、西安2、贵州、成都3、芜湖、上海4、杭州、长沙2、福州、武汉2、兰州、南昌、北京2、深圳、西宁、重庆、乌鲁木齐、青岛、石家庄、郑州、南宁、昆明、海口、中卫、太原、哈尔滨、天津、沈阳3、长春、内蒙3。 包年包月计费方式：广州4、苏州、华北。 内容安全：广州4、苏州、华北、贵州、成都3、福州。 Web应用防火墙（独享版）支持防护未部署在天翼云的业务么？ 不支持，Web应用防火墙（独享版）仅支持防护部署在天翼云的业务，主要针对大型企业网站，具备较大的业务规模，且基于业务特性具有制定个性化防护规则的安全需求。 Web应用防火墙（独享版）可以跨区域使用吗？ 原则上，在任何一个区域申请的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率，建议您在购买WAF时，根据防护业务的所在区域就近选择申请的WAF区域。

6.救援模式 当AI云电脑故障无法登录AI云电脑时，使用救援模式提供临时访问通道，尝试登录及修复AI云电脑，或备份关键用户数据并重装系统。 注意 由于云电脑故障可能涉及底层虚拟化错误、存储损坏、网络基础设施故障等复杂原因，救援模式无法保证对所有故障都能成功救援。在极少数情况下，可能出现无法进入救援模式或无法恢复数据的情况。 7.报障 使用AI云电脑过程中，如遇到问题，选择“工具”，可点击“报障”，填写故障信息或者拨打服务热线：4008109889。 8.安全中心登录设备管理 在工具栏，选择“工具安全中心”，查看账号名称，登录设备，IP地址，登录时间以及下线时间。如需查看AI云电脑登录的设备或移除设备，点击“设备管理”。 9.电脑信息 工具栏，选择“工具”，偏好设置点击“电脑信息”，查看AI云电脑的配置信息。

企业账号是否有调试域名每天最多可以访问1000次的限制？ 有。每个子域名（调试域名）每天最多可以访问1000次的限制同样适用于企业账号。 API的流量控制策略不生效怎么处理？ 如果流控策略的API流量限制或源IP流量限制不生效，检查API是否绑定流控策略。 如果流控策略的用户流量限制不生效，检查API的安全认证方式是否为APP认证或IAM认证。 如果流控策略的应用（凭据）流量限制不生效，检查API的安全认证方式是否为APP认证。 调用绑定JWT认证策略的API报“Public key does not exist” 如果JWT认证策略的公钥获取方式为“定时拉取”，请检查填入的JWKSURI远程服务是否运行正常，调用该地址是否有JWKS公钥响应返回；此外，请检查返回的公钥是否符合正确的JWKS格式。 请检查请求携带Token中的kid，是否与JWKS中某一个公钥的kid匹配；网关会使用kid查找对应的公钥，如果JWKS中没有匹配的公钥，则会报错公钥不存在。

网络配置 9.设置“网络”：在下拉列表中选择可用的虚拟私有云、子网，并设置私有IP地址的分配方式。 10.添加“扩展网卡”：可选配置。您可以添加多张扩展网卡，并指定网卡（包括主网卡）的IP地址。 11.设置“安全组”：在下拉列表中选择可用的安全组，或新建安全组使用。 12.设置“弹性公网IP”。弹性IP是指将公网IP地址和路由网络中关联的弹性云主机绑定，以实现虚拟私有云内的弹性云主机通过固定的公网IP地址对外提供访问服务。 高级配置 13.点击“下一步：高级配置” 14.设置“云主机名称”。名称可自定义，但需符合命名规则：只能由中文字符、英文字母、数字及“”、“”、“.”组成。 15.设置“登录凭证”。 16.设置云主机组。可选配置，云主机组内的弹性云主机将遵循反亲和策略，尽量分散地创建在不同主机上。 17.配置“高级配置”：如需使用“高级配置”中的功能，请勾选“现在配置”。否则，请勿勾选。 确认配置 18.点击“下一步：确认配置”。 19.在“确认配置”页面，查看云主机配置详情。 20.企业项目。该参数针对企业用户使用。如需使用该功能，请联系客服申请开通。 21.设置您购买云主机的时长和数量。 22.如果您确认配置无误，单击“立即购买”。

本节为您介绍镜像服务常见的咨询类问题。 基础概念合集 镜像分为公共镜像、私有镜像、共享镜像、安全产品镜像、应用镜像，公共镜像为系统默认提供的镜像，私有镜像为用户自己创建的镜像，共享镜像为其他用户共享的私有镜像，安全产品镜像为预装了一些安全组件的镜像。 镜像类型 说明 公共镜像 标准的操作系统镜像，所有用户均可以使用，包括操作系统以及预装的公共应用。 公共镜像的维护由天翼云提供，公共镜像具有高度稳定性，皆为正版授权，请放心使用。 您也可以根据实际需求自助配置应用环境或相关软件。 官方公共镜像支持的操作系统类型包括：CentOS、Ubuntu、Windows、CtyunOS、KylinOS、Fedora CoreOS、Anolis、openEuler、Debian。 私有镜像 私有镜像为用户自己上传或制作的镜像，仅用户自己可见。 私有镜像在标准上或安全性上不如公共镜像，用户需要自己把控自己使用的私有镜像。 私有镜像包括系统盘镜像、数据盘镜像，其中： 系统盘镜像：包含用户运行业务所需的操作系统、应用软件的镜像，系统盘镜像可以用于创建弹性云主机，迁移用户业务到云； 数据盘镜像：只包含用户业务数据的镜像，数据盘镜像可以用于创建云硬盘，将用户的业务数据迁移到云上。 整机镜像：包含系统盘与数据盘，使用挂载有数据盘的云主机创建的整机镜像包含操作系统、应用软件，以及用户的业务数据。可用于快速发放相同配置的弹性云主机，实现数据搬迁。 共享镜像 其他用户共享出来的镜像，用户不用制作镜像就可以使用。 安全产品镜像 安全产品镜像为预装了一些安全组件的镜像，如DAS、EDR、网页防篡改等。 应用镜像 与基础的公共镜像相比，应用镜像预装了一些常见应用，可以实现快速部署特殊应用的目的。 管理私有镜像操作包含：修改镜像属性、共享镜像、导出镜像、导出镜像列表信息、删除镜像。 特性 说明 相关操作 修改镜像属性 为了方便您管理私有镜像，您可以根据需要修改镜像的名称、描述信息。 修改镜像属性 共享镜像 您可以将镜像共享给其他天翼云帐号使用。该帐号可使用您共享的私有镜像，快速创建运行同一镜像环境的云主机，或者相同数据的云硬盘。 共享镜像 导出镜像 导出私有镜像到您的个人对象存储桶，再下载至本地进行备份。 导出镜像 导出镜像列表信息 支持以“CSV”格式导出某个区域的公共镜像和私有镜像的信息列表，方便本地维护和查看。 导出镜像列表信息 删除镜像 如果您不再需要某个私有镜像，可以将其删除，删除镜像对已创建的云主机没有影响。 删除镜像

本节介绍云安全中心关于等级保护测评解读。 云安全中心产品符合等级保护2.0标准体系主要标准。根据《网络安全等级保护基本要求》（GB/T 222392019），云安全中心满足第三级及以下安全要求： 等保标准章节 等保标准序号 云安全中心对应功能 功能解读 安全区域边界边界防护 8.1.3.1 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。同时能够对非授权设备私自联到内部网络的行为进行检查，通过处置功能实现对相关访问进行限制。 安全区域边界访问控制 8.1.3.2 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。同时能够对非授权设备私自联到内部网络的行为进行检查，通过处置功能实现对相关访问进行限制。 安全区域边界入侵防范 8.1.3.3 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，可在关键网络节点处检测、防止或限制从外部/内部发起的网络攻击行为，并对这些攻击行为进行分析、记录以及提供报警。 安全区域边界恶意代码和垃圾邮件防范 8.1.3.4 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，可在关键网络节点处对恶意代码进行检测、分析，并通过处置功能实现对相关机器访问进行限制。 安全区域边界安全审计 8.1.3.5 插件管理、威胁运营 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，可以在网络边界以及重要网络节点进行安全审计，记录包括相关告警事件的日期和时间、用户、告警类型、告警是否成功及其他与审计相关的信息，通过威胁运营，能将单独用户行为审计和数据分析。 安全计算环境安全审计 8.1.4.3 插件管理、威胁运营 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，可以在网络边界以及重要网络节点进行安全审计，记录包括相关告警事件的日期和时间、用户、告警类型、告警是否成功及其他与审计相关的信息。云安全中心日志通过多副本实时存储多分，保障用户日志在其存储周期内不丢失、可恢复。 安全计算环境入侵防范 8.1.4.4 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，能发现可能存在的已知漏洞,并在经过充分测试评估后,及时修补漏洞，同时应能够检测到对重要节点进行入侵的行为,并在发生严重入侵事件时提供报警。 安全计算环境恶意代码防范 8.1.4.5 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，能够及时采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为。通过处置功能将其有效阻断。 安全区域边界集中管控 8.1.5.4 插件管理、威胁运营、编排响应 云安全中心通过获取WAF、防火墙以及安全卫士等日志数据，以及不同安全设备的处置集成，实现对分布在网络中的安全设备或安全组件进行管控。 通过内网建立一条安全的信息传输路径,对网络中的安全设备或安全组件进行管理。 形成对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测。 通过实时的日志采集，对分散在各个设备上的审计数据进行收集汇总和集中分析,并保证审计记录的留存时间符合法律法规要求。 同时在应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。 通过编排响应能对网络中发生的各类安全告警进行识别、报警和分析。

创建用户并授权使用云监控服务 如果您需要对您所拥有的云监控服务进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用云监控服务。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将云监控服务的相关操作委托给更专业、高效的其他账号或者云服务，这些账号或者云服务可以根据权限进行代运维。 如果账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用云监控服务的其它功能。 前提条件 给用户组授权之前，请您了解用户组可以添加的云监控服务系统策略，并结合实际需求进行选择。 示例流程 图 给用户授权CES权限流程 1. 创建用户组并授权，在IAM控制台创建用户组，并授予云监控服务权限“CES Administrator”、“Tenant Guest”和“Server Administrator”。 说明 云监控服务是区域级别的服务，通过物理区域划分，授权后只在授权区域生效，如果需要所有区域都生效，则所有区域都需要进行授权操作。针对全局设置的权限不会生效。 以上权限为云监控服务的全部权限，如您期望更精细化的云监控服务功能的权限，请参见云监控权限管理介绍，对用户组授予对应权限。 2. 在IAM控制台创建用户，并将其加入步骤1中创建的用户组。 3. 用户登录并验证权限，新创建的用户登录云监控服务管理控制台，验证云监控服务的“CES Administrator”权限：使用相关功能过程中，如果没有出现用户鉴权失败的提示信息，表示用户授权成功。

本小节介绍日志审计的网络环境需求。 若日志审计绑定了EIP，在用户通过EIP访问日志审计实例之前需要配置安全组策略，编辑入向策略，才可通过EIP直接访问日志审计实例。 说明 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互信任的弹性云服务器和日志审计实例提供访问策略。 为了保障日志审计的安全性和稳定性，在使用日志审计实例之前，您需要设置安全组，添加规则允许需访问日志审计的IP地址和端口。 日志审计实例开放端口说明 一类节点 说明 在订购时会自动生成以下安全组，保证页面访问和日志传输。 端口 协议 方向 用途 说明 514 UDP 入方向 Syslogudp采集 来源IP限制为支持上报采集的网段。 162 UDP 入方向 Snmptrap采集 来源IP限制为支持上报采集的网段。 8181 TCP 入方向 门户端口 来源IP限制为实例控制台地址，如果不开放，则无法访问Web界面。 433 HTTPS 出方向 日志审计实例心跳上报、授权许可同步到控制台 如果不开放，则会导致无法正常完成在线升级、升配操作。 53 UDP 出方向 日志审计实例心跳上报、授权许可同步到控制台需要的DNS解析 如果不开放，则会导致无法正常完成在线升级、升配操作

检查集群磁盘容量是否已满 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警”页面，查看是否存在“ALM14001 HDFS磁盘空间使用率超过阈值”告警。 是，执行步骤 2。 否，执行步骤 4。 2.参考“ALM14001 HDFS磁盘空间使用率超过阈值”进行处理，查看对应告警是否清除。 是，执行步骤 3。 否，执行步骤11。 3.在“运维 > 告警 > 告警”页面查看本告警是否清除。 是，处理完毕。 否，执行步骤4。 检查DataNode节点平衡状态 4.在FusionInsight Manager首页，单击“主机”，查看各个机架上的DataNode节点数目分布是否大致相等，如果差异过大，调整DataNode节点所属机架，保证各个机架上的DataNode数量大致相等。重启HDFS服务生效。 5.选择“集群 > 待操作集群的名称 > 服务 > HDFS”。 6.在“基本信息”区域，单击“NameNode(主)”，进入HDFS WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 7.在HDFS WebUI的“Summary”区域，查看“DataNodes usages”中“Max”的值是否比“Median”的值大10%。 l是，执行步骤 8。 否，执行步骤11。 8.数据倾斜，需要均衡集群中的数据。以root用户登录MRS客户端。如果集群为普通模式，执行su omm切换到omm用户。执行cd命令进入客户端安装目录，然后执行 source bigdataenv 。如果集群采用安全版本，要进行安全认证。执行kinit hdfs命令，按提示输入密码。向管理员获取密码。 9.执行以下命令，均衡数据分布： hdfs balancer threshold 10 10.等待几分钟，检查本告警是否恢复。 是，处理完毕。 否，执行步骤 11。 收集故障信息 11.在FusionInsight Manager首页，选择“运维 > 日志 > 下载”。 12.在“服务”中勾选待操作集群的“HDFS”。 13.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后10分钟，单击“下载”。 14.请联系运维人员，并发送已收集的故障日志信息。

本章节主要介绍物理机的备份。 操作场景 为了保证数据安全，您可以对物理机中的所有云硬盘（系统盘和数据盘）进行备份，采用这种备份方式可以避免因备份创建时间差带来的数据不一致问题。云主机备份支持基于多云硬盘一致性快照技术的备份服务，并支持利用备份数据恢复物理机数据，最大限度保障用户数据的安全性和正确性，确保业务安全。 约束与限制 不支持使用物理机的备份创建镜像。 不支持备份带有共享云硬盘的物理机。 恢复时，物理机会自动关机，将中断租户业务，关机后有一段时间物理机处于锁定状态，租户不可操作。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 物理机服务”。进入物理机列表页面。 3. 在待备份的物理机所在行，单击“更多 > 创建备份”。 系统跳转至“创建云主机备份”页面。 4. 根据界面提示完成如下操作： 选择服务器：在服务器列表中，默认会勾选待创建备份的物理机，保持默认即可。 备份配置：勾选“自动备份”，选择一个备份策略。 说明 将选择的物理机绑定到备份策略中，按照备份策略进行自动备份。 如果选择的物理机已绑定其他策略，在选择新的备份策略后，服务器会自动从原备份策略解绑，并绑定到新的备份策略。 您也可以勾选“立即备份”，选择的物理机将立即进行一次备份。 输入备份名称和描述，如果是首次备份，建议启动全量备份。

前提条件 网站以“独享模式”成功接入WAF。 回源到ECS 如果您的源站服务器直接部署在ECS上，请参考以下操作步骤设置安全组规则，放行独享模式回源IP。 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角，选择区域。 步骤 3 单击页面左上方，选择“安全 >Web应用防火墙 （独享版）”。 步骤 4 在左侧导航树中，选择“独享引擎”，进入“独享引擎”页面。 步骤 5 在独享引擎列表的“IP地址”栏，获取所有创建的独享引擎对应的子网IP地址。 步骤 6 单击页面左上方，选择“计算 > 弹性云主机”。 步骤 7 在目标ECS所在行的“名称/ID”列中，单击目标ECS实例名称，进入ECS实例的详情页面。 步骤 8 选择“安全组”页签，单击“更改安全组”。 步骤 9 在“更改安全组”对话框中，选择目标安全组或新建安全组并单击“确定”。 步骤 10 单击安全组ID，进入安全组基本信息页面。 步骤 11 选择“入方向规则”页签，单击“添加规则”，进入“添加入方向规则”页面，参数配置说明如表所示。 参数 配置说明 协议端口 安全组规则作用的协议和端口。选择“自定义TCP”后，在TCP框下方输入源站的端口。 源地址 逐一添加步骤5中获取的所有独享引擎实例的子网IP地址。 说明 一条规则配置一个IP。单击“增加1条规则”，可配置多条规则，最多支持添加10条规则。 步骤 12 单击“确定”，安全组规则添加完成。 成功添加安全组规则后，安全组规则将允许独享引擎回源IP地址的所有入方向流量。 您可以使用Telnet工具测试已接入WAF防护的源站IP对应的业务端口是否能成功建立连接验证配置是否生效。 例如，执行以下命令，测试已接入WAF防护的源站IP对外开放的443端口是否能成功建立连接。如果显示端口无法直接连通，但网站业务仍可正常访问，则表示安全组规则配置成功。 Telnet 源站IP 443

本文主要介绍获取集群证书。 操作场景 通过控制台获取集群证书，使用该证书可以访问Kubernetes集群。 操作步骤 步骤 1 登录CCE控制台，单击集群名称进入集群。 步骤 2 在左侧导航栏中选择“集群信息”，在右边“连接信息”下证书认证一栏，单击“下载”。 图 获取证书 步骤 3 在弹出的“证书获取”窗口中，根据系统提示选择证书的过期时间并下载集群X509证书。 下载的证书包含client.key、client.crt、ca.crt三个文件，请妥善保管您的证书，不要泄露。 集群中容器之间互访不需要证书。

本节介绍了DDoS高防（边缘云版）的各个计费项的详细规格及说明。 天翼云DDoS 高防（边缘云版）提供三个计费项可供选择：套餐、扩展服务、弹性防护。其中，套餐计费的保底防护带宽、CC防护能力、业务带宽和接入域名数为包年包月预付费，在套餐的基础上可以叠加购买扩展服务，和套餐一样，扩展服务也是包年包月预付费；弹性防护带宽为按需后付费，按天结算。 计费项 描述 说明 :: 套餐 按照购买的套餐进行计费 套餐为预付费，套餐为基础费用，套餐失效则扩展服务均失效 扩展服务 根据购买的扩展功能进行计费，包含域名数、端口数、业务带宽、缓存功能 扩展服务为预付费，套餐失效则扩展服务均失效 弹性防护 按照业务需求购买弹性防护峰值，包含防护带宽、CC防护 按需后付费，根据超出保底带宽的部分产生后按照超出部分所属阶梯价格付费（按天收费），防护超过选定的最高防护带宽，则通过解析回源，2小时后自动解封 套餐含安全保底业务带宽、接入域名数等，按月付费。如果保底业务带宽不能满足需求，可以购扩展带宽，当带宽超出购买套餐+扩展带宽时，会进行域名限速。 建议您根据业务系统可能会遭受的攻击量级或者历史被攻击情况的数据等因素，进行DDoS高防（边缘云版）的选配。

参数 是否必填 参数类型 说明 示例 下级对象 Name 是 String 本次请求的存储桶名称 testbucket1 Prefix 是 String 本次请求中指定的prefix MaxKeys 是 Integer 响应请求内返回结果的最大数目 10 IsTruncated 是 Boolean 指明是否已返回所有结果 true：表示本次没有返回全部结果 false：表示本次已返回全部结果 KeyMarker 是 String 标识本次请求开始的对象名称 VersionIdMarker 是 String 与KeyMarker参数一同使用，以指定GetBucketVersions的起点 Version 是 Array of Objects 保存除删除标记以外的对象版本的容器。 Version

本节介绍如何删除域名操作。 操作场景 该任务指导用户通过漏洞扫描服务来删除域名。 注意 域名删除后，该资产的历史扫描数据将被删除，不可恢复。 前提条件 已获取管理控制台的登录帐号与密码。 已添加域名。 操作步骤 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务页面。 3. 在“资产列表 > 网站”页签，单击对应的网站信息“操作”列的“删除”。 4. 进入删除域名入口，如下图所示。 5. 在弹出的对话框中，单击“确认”，在页面右上角弹出“域名删除成功”，则说明域名删除成功。 相关操作 有关添加域名的详细操作，请参见添加域名。

本文说明天翼云全站加速有没有海外加速能力，以及如何开通海外加速，如何计费。 海外加速能力说明 天翼云全站加速具有海外加速能力。依托遍布全球的CDN优质节点及线路，通过智能调度及传输优化等核心自研技术，为企业跨国、跨境访问提供一站式全球加速服务。满足出海企业本地化节点覆盖当地用户的迫切需求，保障跨国网络访问的高速、稳定和安全，助力企业拓展全球化业务。 海外加速计费及开通 需要注意的是，开启海外加速需要额外付费，若选择按量计费，详见：按量计费。若选择资源包计费，详见：资源包计费（预付费）。 如果您需要开通海外加速功能，可以通过：变更加速区域，来开通海外加速服务。

本节介绍了自定义资源的用户指南。 基本概念 Kubernetes集群支持通过自定义资源定义（Custom Resource Definition）扩展Kubernetes API，并允许您添加自定义资源（Custom Resources）。您可以查看集群中的所有API组和其包含的资源类型，查看各个资源类型的对象列表并进行管理操作。 操作场景 针对自定义资源定义及自定义资源的管理。 前提条件或限制 暂时不支持创建自定义资源。 操作步骤及说明 登录容器服务管理控制台。 在控制台左侧导航栏中，单击集群。 在集群列表页面中，单击目标集群名称或者目标集群右侧操作列下的详情。 在集群管理页面左侧导航栏中，选择工作负载 > 自定义资源。 对象浏览器左侧列出了集群支持的全部API组。您可以点击API组的名称展开查看组内包含的资源类型，也可以通过上方的搜索框，使用关键词搜索全部资源类型浏览资源对象。 在左侧API列表中选择一个资源类型，即可浏览对应的资源对象。您可以对资源对象进行YAML编辑和删除操作。

本节主要介绍在CCE中实现高可用部署。 基本原则 在CCE中，容器部署要实现高可用，可参考如下几点： 1.容器以集群形式部署。 2.创建节点选择在不同的可用区，在多个可用区（AZ）多个节点的情况下，根据自身业务需求合理的配置自定义调度策略，可达到资源分配的最大化。 3.创建多个节点池，不同节点池部署在不同可用区，通过节点池扩展节点。 4.工作负载创建时设置实例数需大于2个。 5.工作负载实例采用默认部署，即无规则调度到集群中的不同节点上。 操作步骤 为了便于描述，假设集群中有demo92634、demo01208、demo30509和demo27003四个节点，其中demo92634、demo01208两个节点在同一可用区1、demo30509在可用区2、demo27003在可用区3。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”，单击“创建无状态工作负载”。 步骤 2 设置工作负载基本信息，未涉及参数均采用默认值。 工作负载名称：新建工作负载的名称，此处设置为nginxdemo。 实例数量：设置为1个。 步骤 3 单击“下一步”，单击“添加容器”，选择“开源镜像中心”中的nginx镜像，单击“确定”。 步骤 4 其他参数保持默认，依次单击“下一步”，单击“创建”，完成工作负载的创建。 步骤 5 在工作负载列表中，单击已创建工作负载的名称，本示例为nginxdemo。 步骤 6 在“实例列表”中，单击实例所在节点的IP。在节点管理页面，可看到实例被调度在可用区1。 步骤 7 在“调度策略”页签中，单击“自定义调度策略”，单击“工作负载反亲和性 > 尽量满足 > 添加规则”。 创建一条对可用区反亲和尽量满足的规则，参数设置如下。更多内容请参见Affinity and antiaffinity。 权重：权重值越高会被优先调度，本示例设置为50。 拓扑域：即topologyKey，包含默认和自定义标签，用于指定调度时的作用域。本示例设置为failuredomain.beta.kubernetes.io/zone。 标签名：对应工作负载的标签，可以使用默认标签app或自定义标签。本示例中设置为app。 操作符：当前支持设置In、NotIn、Exists和DoesNotExist四种匹配关系。In和NotIn操作符可以添加单个值或多个value值；Exists和DoesNotExist判断某个label是否存在，不需设置value值。本示例设置为in。 标签值：本示例设置为nginxdemo。 步骤 8 参照步骤7再创建一条对本身工作负载反亲和尽量满足的规则，参数设置如下。 权重：设置为50。 拓扑域：设置为kubernetes.io/hostname。 标签名：设置为app。 操作符：设置为in。 标签值：设置为nginxdemo。 步骤 9 设置完成后，单击“确定”。 在调度策略列表中，可查看到已添加的策略。 步骤 10 在“伸缩”页签，单击手动伸缩中的，增加1个实例，可以发现工作负载实例优先调度到可用区3。 步骤 11 在“伸缩”页签，单击手动伸缩中的，再添加1个实例数，可以发现工作负载实例优先调度到可用区2。 步骤 12 在“伸缩”页签，单击手动伸缩中的，再添加1个实例数，可以发现工作负载实例优先调度到可用区1中剩余的集群节点。

订购说明 用户可以选择“区域”、“可用区”和“性能规格”，选择可用区和性能规格如下： 数据库安全审计版本规格和性能各版本的说明如下： 版本 支持的数据库实例 系统资源要求 性能参数 基础版 最多支持3个数据库实例 CPU：4U 内存：16GB 硬盘：500GB 吞吐量峰值：3,000条/秒 入库速率：360万条/小时 4亿条在线SQ语句存储 50亿条归档SQ语句存储 专业版 最多支持6个数据库实例 CPU：8U 内存：32GB 硬盘：1T 吞吐量峰值：6,000条/秒 入库速率：720万条/小时 6亿条在线SQ语句存储 100亿条归档SQ语句存储 高级版 最多支持30个数据库实例 CPU：16U 内存：64GB 硬盘：2T 吞吐量峰值：30,000条/秒 入库速率：1080万条/小时 15亿条在线SQ语句存储 600亿条归档SQ语句存储 注意 数据库实例通过数据库 IP+ 数据库端口计量。 如果同一数据库IP具有多个数据库端口，数据库实例数为数据库端口数。1个数据库IP只有1个数据库端口，即为一个数据库实例；1个数据库IP具有N个数据库端口，即为N个数据库实例。例如：用户有2个数据库资产分别为IP~1~和IP ~2~ ，IP~1~有一个数据库端口，则为1个数据库实例；IP~2~有3个数据库端口，则为3个数据库实例。IP~1~和IP~2~合计为4个数据库实例，选择服务版本规格时需要大于或等于4个数据库实例，即选用专业版（最多支持审计6个数据库实例）。 不支持修改规格。若要修改，请退订后重购。 本表中在线SQL语句的条数，是按照每条SQL语句的容量为1KB来计算的。 数据库安全审计实例参数说明如下： 参数名称 说明 虚拟私有云 您可以选择使用区域中已有的虚拟私有云（Virtual Private Cloud，VPC）网络，或者单击“查看虚拟私有云”，跳转到VPC管理控制台创建新的虚拟私有云。 说明 l 请选择Agent安装节点（应用端或数据库端）所在的VPC。 l 不支持修改VPC。若要修改，请退订后重购。 安全组 您可以选择区域中已有的安全组，或者在VPC管理控制台创建新的安全组。选择实例的安全组后，该实例将受到该安全组访问规则的保护。 子网 您可以选择VPC中已配置的子网，或者在VPC管理控制台为VPC创建新的子网。 实例名称 您可以自定义实例的名称。

服务名称 MRS 与其他服务的关系 主要交互功能 虚拟私有云（Virtual Private Cloud） MRS集群创建在虚拟私有云（VPC）的子网内，VPC通过逻辑方式进行网络隔离，为用户的MRS集群提供安全、隔离的网络环境。 创建虚拟私有云和子网 对象存储服务（Object Storage Service） 对象存储服务（OBS）用于存储用户数据，包括MRS作业输入数据和作业输出数据： MRS作业输入数据：用户程序和数据文件 MRS作业输出数据：作业输出的结果文件和日志文件 MRS中HDFS、Hive、MapReduce、YARN、Spark、Flume和Loader支持从OBS导入、导出数据。MRS使用OBS的并行文件系统提供服务。 配置存算分离集群（委托方式）配置存算分离集群（AKSK方式）配置HDFS映射方式对接OBS文件系统 弹性云服务器（Elastic Cloud Server） MRS服务使用弹性云服务器（Elastic Cloud Server，简称ECS）作为集群的节点，每个弹性云服务器是集群中的一个节点。 准备运行环境创建集群 关系型数据库（Relational Database Service） 关系型数据库（RDS）用于存储MRS系统运行数据，包括MRS集群元数据和用户计费信息等。 配置数据连接 统一身份认证服务（Identity and Access Management） 统一身份认证服务（IAM）为MRS提供了鉴权功能。 创建用户并授权使用MRSMRS自定义策略IAM用户同步MRS 消息通知服务（SMN） MRS联合消息通知服务（SMN），采用主题订阅模型，提供一对多的消息订阅以及通知功能，能够实现一站式集成多种推送通知方式。 配置作业消息通知 云审计服务（Cloud Trace Service） 云审计服务（CTS）为用户提供MRS资源操作请求及请求结果的操作记录，供用户查询、审计和回溯使用。 见下表

本节主要介绍添加DNAT规则的操作步骤。 操作场景 NAT网关创建后，通过添加DNAT规则，则可以通过映射方式将您VPC内的云主机对互联网提供服务。 一个云主机的一个端口对应一条DNAT规则，一个端口只能映射到一个EIP，不能映射到多个EIP。如果您有多个云主机需要为互联网提供服务，则需要创建多条DNAT规则。 操作前提 已成功创建NAT网关。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。 3. 在NAT网关页面，单击需要添加DNAT规则的NAT网关名称。 4. 在NAT网关详情页面中，单击“DNAT规则”页签。 5. 在DNAT规则页签中，单击“添加DNAT规则”。 说明 配置DNAT规则后，需要放通对应的安全组规则，否则DNAT规则不能生效。 根据界面提示，配置添加DNAT规则参数，详情请参见下表。 参数 说明 使用场景 虚拟私有云表示虚拟私有云中的云主机将通过DNAT的方式共享弹性IP，为公网提供服务。 云专线表示通过云专线方式接入虚拟私有云的本地数据中心中的服务器，将通过DNAT的方式为公网提供服务。 端口类型 分为所有端口和具体端口两种类型。 所有端口：属于IP映射方式。 此方式相当于为云主机配置了一个弹性IP，任何访问该弹性IP的请求都将转发到目标云服务器实例上。 具体端口：属于端口映射方式。 公网NAT网关会将以指定协议和端口访问该弹性IP的请求转发到目标云主机实例的指定端口上。 支持协议 协议类型分为TCP和UDP两种类型。端口类型为具体端口时，可配置此参数，端口类型为所有端口时， 此参数默认设置为All。 弹性IP 弹性IP地址。这里只能选择没有被绑定的弹性IP， 或者被绑定在当前公网NAT网关中非“所有端口”类型DNAT规则上的弹性IP， 或者被绑定到当前公网NAT网关中SNAT规则上的弹性IP。 公网端口 弹性IP的端口。当端口类型为具体端口时，需要配置此参数，有效数值为165535。 公网端口为具体的数值，例如80。 私网IP 当使用场景为虚拟私有云时，指云主机的IP地址。表示此IP地址的云主机将通过DNAT方式为公网提供服务。 当使用场景为云专线时，指用户本地数据中心中服务器的IP地址或者用户的私有IP地址。 表示通过云专线接入到虚拟私有云的本地数据中心端的此私有IP服务器，可以通过DNAT方式为公网提供服务。 端口类型为具体端口时，需要配置私网IP的端口。 私网端口 在使用DNAT为云主机面向公网提供服务场景下，指云主机的端口号。 当端口类型为具体端口时，需要配置此参数，有效数值为165535。私网端口为具体的数值，例如80。 6. 配置完成后，单击“确定”，可在DNAT规则列表中查看详情，若“状态”为“运行中”，表示创建成功。 说明 配置DNAT规则后，需在对应的云主机中放通对应的安全组规则，否则DNAT规则不能生效。

超大规模数据仓库解决方案 在面对企事业单位内部复杂业务时，往往需要购买两套不同数据库产品分别用于交易类和数据分析。TeleDB 能在一套集群分配分布式分析型架构，更高效地建设企业数仓，产品基于存算分离架构，存储容量可以无限扩展，可以管理 PB 级数据，提供并行计算（MPP）等能力，轻松完成千亿级数据分析和大模型应用扩展，产品支持链接到 MySQL、Oracle 等外部数据，或采用 DTS、DMS等进行数据实时同步，轻松对接下游大数据分析服务系统。同时，产品兼容 PostgreSQL/Greenplum/Oracle 等语法生态，大多数的 BI、商业智能、日志分析、ERP 等极少或无需改造即可上线业务。 电商/游戏 电子商务/ 游戏等互联网场景下，用户可根据业务发展情况订购对应数量的天翼云 RDS实例，无需购买昂贵的服务器、操作系统和数据库管理系统等软硬件，有效避免资源闲置浪费。且可实现弹性扩展，高可用，高安全，满足电商处理大量用户请求和交易数据的高并发场景。以便捷的运维方式，详细的实例信息和实时监控告警，让客户能随时了解实例动态。 网站/APP 数据库是网站搭建及应用程序开发的重要基础，用于存储和管理大量数据，提供数据持久化、高效访问和管理的功能，能为网站和应用程序提供动态内容和个性化服务。天翼云云数据库所具有的数据备份、恢复和安全性管理功能，能确保网站数据的安全性和一致性，避免数据丢失和泄露等风险。

问题现象 服务网格中部署的pod注入了sidecar，但是流量拦截不生效。 问题分析 查看pod注入的sidecar配置如下： 看到初始化容器进行iptables配置是，i和b参数都是空字符串参数含义如下： 参数 说明 i 逗号分隔的ip集合（支持CIDR），表示outbound流量会被重定向到sidecar的目标ip集合，表示所有outbound流量都会被重定向到sidecar，空字符串表示所有流量都不会被重定向到sidecar。 b 逗号分隔的端口列表，表示会被重定向到sidecar的inbound端口，表示所有端口都会被重定向，空字符串表示所有流量都不会被重定向。 按照以上配置，i和b参数都是空字符串，所有的inbound和outbound流量都不会经过sidecar，也无法获得网格的治理能力。 问题解决 在sidecar管理sidecar代理配置按照全局或者命名空间粒度配置sidecar的拦截行为，确认符合业务需求。

本章节介绍如何重置管理员密码。 操作场景 关系型数据库服务仅支持通过主实例重置管理员密码。 在使用RDS过程中，如果忘记数据库帐号密码，可以重新设置密码。 以下情况不可重置密码。 数据库端口变更中。 主实例状态为创建中、恢复中、重启中、端口修改中、异常、磁盘空间满。 说明 当您修改数据库主实例的密码时，如果该实例中存在备实例或只读实例，则会被同步修改。 重置密码生效时间取决于该主实例当前执行的业务数据量。 请定期（如三个月或六个月）修改用户密码，以提高系统安全性，防止出现密码被暴力破解等安全风险。 方式一 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，选择“更多 > 重置密码”。 步骤 5 在“重置密码”弹框，输入新管理员密码及确认密码。 注意 请妥善管理您的密码，因为系统将无法获取您的密码信息。 所设置的密码长度为832个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入!@ %^+?,特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 单击“确定”，提交重置。 单击“取消”，取消本次重置。

本章节会介绍如何重置管理员密码。 操作场景 关系型数据库服务仅支持通过主实例重置管理员密码。 在使用RDS过程中，如果忘记数据库帐号密码，可以重新设置密码。 以下情况不可重置密码。 数据库端口变更中。 主实例状态为创建中、恢复中、重启中、端口修改中、异常、磁盘空间满。 说明 当您修改数据库主实例的密码时，如果该实例中存在备实例或只读实例，则会被同步修改。 重置密码生效时间取决于该主实例当前执行的业务数据量。 请定期（如三个月或六个月）修改用户密码，以提高系统安全性，防止出现密码被暴力破解等安全风险。 方式一 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，选择“更多 > 重置密码”。 步骤 5 在“重置密码”弹框，输入新管理员密码及确认密码。 注意 请妥善管理您的密码，因为系统将无法获取您的密码信息。 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@ %^+?,特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 单击“确定”，提交重置。 单击“取消”，取消本次重置。