本章介绍如何修改SQL Server数据库实例的参数组。 最佳实践概述 场景描述 概述：SQL Server是老牌商用级数据库，成熟的企业级架构，轻松应对各种复杂环境。一站式部署、保障关键运维服务，大量降低人力成本。根据华为国际化安全标准，打造安全稳定的数据库运行环境。被广泛应用于政府、金融、医疗、教育和游戏等领域。 典型行业：互联网企业、政府、医疗、金融 适配场景：企业级架构 方案优势 高安全性 弹性扩容 高可靠性 前提条件 需搭配开通ECS等产品 资源规划 网络资源规划 资源类型 配置项 配置明细 说明 :::: 区域 区域 西安2 本最佳实践全部资源部署在西安2资源池 专有网络VPC 状态 新购 云上选择专有网络（VPC）以保障安全性。 选择离原系统公网 IP 近的云上区域减少网络延迟。 选择资源丰富、离用户近的区域保障项目顺利实施。 网络规划留足可用 IP 数即可。 专有网络VPC VPC名 vpcvsfl 云上选择专有网络（VPC）以保障安全性。 选择离原系统公网 IP 近的云上区域减少网络延迟。 选择资源丰富、离用户近的区域保障项目顺利实施。 网络规划留足可用 IP 数即可。 专有网络VPC 网段 192.168.0.0/16 云上选择专有网络（VPC）以保障安全性。 选择离原系统公网 IP 近的云上区域减少网络延迟。 选择资源丰富、离用户近的区域保障项目顺利实施。 网络规划留足可用 IP 数即可。 弹性计算资源规划 资源类型 配置项 配置明细 说明 :::: ECS ECS名称 ecsbendi 自定义，易理解可识别 ECS 规格 通用计算增强型 c3.large.2 2vCPUs 4GiB 本示例中选择的规格。实际选择的规格需要结合业务场景选择，请参考弹性云服务器的实例规格。 ECS 操作系统 Windows 2016 ECS 系统盘 通用型SSD 40GiB 数据库资源规划 资源类型 配置项 配置明细 说明 :::: RDS RDS实例名 rds8c73 自定义，易理解可识别 RDS 数据库版本 SQL Server 2012标准版 本示例中为单机。实际使用时，为提升业务可靠性，推荐选择主备RDS实例。 RDS 实例类型 单机 RDS 存储类型 SSD RDS 可用区 可用区1 本示例中未单机，实际业务场景推荐选择主备RDS实例，此时建议将两个实例创建在不同的可用区，提升业务可靠性。 RDS 规格 2 vCPUs 4 GB

本文主要介绍应用性能管理 统一身份认证服务（Identity and Access Management，以下简称IAM）实现用户认证信息的集中管理。用户可以管理自己的已验证邮箱、已验证手机、密码等信息。当用户在调用API接口申请云服务器或进行云资源管理以及使用多租户方式登录云平台时，也可实时查询所需的项目ID、访问密钥（AK/SK）以及帐户名。 通过云审计服务，您可以记录与统一身份认证服务相关的操作事件，便于日后的查询、审计和回溯。 注：统一身份认证服务属全局级服务，各二类节点统一身份认证的相关操作事件请在贵州资源池查看和操作。 表 云审计服务支持的IAM操作列表 操作名称 资源类型 事件名称 用户登录 user login 用户登出 user logout 登录重置密码 user changePassword 创建用户 user createUser 删除用户 user deleteUser 修改用户 user updateUser 创建用户组 userGroup createUserGroup 删除用户组 userGroup deleteUserGroup 修改用户组 userGroup updateUserGroup 创建idp identityProvider createIdentityProvider 删除idp identityProvider deleteIdentityProvider 修改idp identityProvider updateIdentityProvider 更新metadata identityProvider updateMetadata 更新帐号登录策略 domain updateSecurityPolicies 更新密码策略 domain updatePasswordPolicies 更新ACL domain updateACLPolicies 更新安全警告策略 domain updateWarningPolicies 创建AK/SK user addCredential 删除 AK/SK user deleteCredential 修改邮箱 user modifyUserEmail 修改手机 user modifyUserMobile 修改密码 user modifyUserPassword 登录开启双因子认证 user modifySMVerify 上传头像 user modifyUserPicture 创建信任 agency createAgency 删除信任 agency deleteAgency 修改信任信息 agency updateAgency 修改latch user modifyLatchVerify 修改mc user modifyMCConnectVerify 管理员设置用户密码 user setPasswordByAdmin 切换角色 user switchRole

云迁移服务CMS是否支持成本规格比对？ 评估中心支持与其他云厂商的价格规格进行对比。查看方式可以在左侧导航栏选择迁移评估，点击【成本评估】按钮，进入[成本评估]界面，点击【查看TCO分析表查看】，如图所示。 迁移评估中心是否支持具体的TCO分析图表？ 成本评估表中点击“查看TCO分析图表”详情页。您可以通过TCO分析图表查看映射目标区域、迁移源与目的端映射关系、成本对比、成本拼图、账单明细。 迁移计划能否支持可视化界面？ 支持。 迁移计划对多种资源的迁移任务统一进行管理，进度大盘可实时监控迁移过程中的状态和进度。 云迁移服务CMS控制中心有何作用？ 云迁移CMS控制中心，负责迁移计划所有计划摘要显示，可以在右上角“查看所有计划”进行查看云迁移计划。 迁移计划优先级作用？ 云迁移迁移计划提供迁移优先级用与计划名称的标识。 云迁移服务使用到的AK/SK，如何获取？ 进入云迁移资源规划、资源管理页，点击资源创建，弹出输入Accesskey、SecurityKey。进入天翼云点击个人中心、安全设置中用户Accesskey获取对应AccessKey、SecurityKey。 进度大盘能否查看迁移概况？ 可以。 您可以通过迁移大盘详情页，迁移概况预览查看迁移进度、开始个数、迁移中数、完成数、待处理数。

本文介绍文档数据库的计费说明。 （一）、收费项目 文档数据库服务，完全兼容 MongoDB 协议，提供安全、高可用、高可靠、弹性伸缩和易用的数据库服务，同时提供一键部署、弹性扩容、容灾、备份、恢复、监控和告警等功能。 文档数据库服务的资费由数据库实例、存储空间、备份空间、公网流量（可选）等部分组成，详细如下： 计费项 计费项说明 适用的计费模式 计费公式 数据库实例 vCPU、内存和节点数量，不同规格的实例类型提供不同的计算和存储能力。 文档数据库实例，支持X86和鲲鹏两种CPU平台。 包年/包月、按需 实例规格单价 购买时长 存储空间 存储空间大小，按产品资费标准进行计费。 包年/包月、按需 存储空间单价 存储容量 购买时长 备份空间 备份空间大小，按产品资费标准进行计费。 DDS提供了与存储空间同等大小的免费备份空间，用于存放您的备份数据。超出的备份空间开始收费。 备份收费容量：超过免费备份空间之外的备份空间大小。 计费时长：备份超过免费空间大小的使用时长。 按需 备份空间单价 备份收费容量 计费时长 公网流量（可选） 如有互联网访问需求，您需要购买弹性IP。具体可参考弹性IP价格说明。 文档数据库实例在云内网络产生的流量不计费。 包年/包月、按需 弹性IP价格说明

服务类型 证书管理服务提供SSL证书、私有（内网）证书、个人证书： 分类 SSL证书域名证书 SSL证书IP证书 私有（内网）证书 个人证书 应用场景 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的域名。 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的IP。 用于内网身份认证、系统间加密通信和设备安全管理。 用于个人电子邮件或文档签名，无法用于网站HTTPS加密，常用于密评场景。 支持的加密标准 国际标准 国密标准 国际+国密 国际标准 国际标准 国密标准 国密标准 支持的证书种类 域名型证书（DV） 企业型证书（OV） 企业型基础版（OVBasic） 企业型专业版（OVPro） 增强型证书（EV） 增强型基础版（EVBasic） 企业型证书（OV） 企业型专业版（OVPro） 企业型基础版（OVBasic） 企业型证书（OV） 支持的证书版本 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 支持的域名类型 通配符 单域名 多域名 单IP 通配符 单域名 多域名

本页面主要介绍天翼云数据传输服务DTS对接的云审计服务使用和查看方法。 操作场景 数据传输服务DTS现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 操作事件 字段 创建实例 dtsCreateInstance 删除实例 dtsDeleteInstance 任务启动 dtsStartJob 任务暂停 dtsStopJob 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表页，根据需要选择时间段、设置筛选条件，如：读写类型、事件级别、操作用户、事件来源、资源类型、资源名称、事件名称等。点击查询即可。 4. 在审计事件查询结果列表右侧操作列点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

本节为您介绍物理机的产品定义,包括产品架构、机型对比等内容。 天翼云物理机是一款计算类产品，为您提供独享的物理机资源，不与其他用户共享计算资源和存储空间，具备资源隔离的优势。稳定性能的专属物理机，无虚拟化开销和性能损失，100%释放算力资源，满足核心数据库、关键应用系统、高性能计算和大数据等业务的需求。天翼云物理机的部署灵活，可以与其他云产品无缝对接，提供更多元化的资源构建选择，满足各种业务场景的需求。 产品架构 天翼云物理机通过和其他产品、服务组合，可以实现计算、存储、网络、镜像安装等功能。 跨可用区部署和内网互联 物理机可以在多个可用区进行部署，通过内网连接实现可用区之间的互联，即使某个可用区发生故障，也不会影响其他可用区的正常运行。 虚拟私有云和网络连接 可以建立虚拟私有云，创建独立的网络环境，包括子网和安全组设置，并使用弹性IP与外部网络进行连接。 镜像服务和快速部署 可以通过镜像服务对物理机进行镜像安装，还可以使用私有镜像批量创建物理机，以实现快速部署业务。 云硬盘 天翼云提供云硬盘服务，为物理机提供高性能、高可靠的块存储服务。 云监控和资源监测 云监控是确保物理机可靠性、可用性和性能的重要组成部分，可以使用云监控功能来监测物理机的资源状态。

本文主要介绍权限管理。 创建用户并授权使用ELB 如果您需要对您所拥有的ELB进行精细的权限管理，您可使用以统一身份认证服务（Identity and Access Management，简称IAM），通过IAM（统一身份认证），您可以： 根据企业的业务组织，在您的帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用ELB资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将ELB资源委托给更专业、高效的其他帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 给用户组授权之前，请您了解用户组可以添加的ELB权限，并结合实际需求进行选择。 1. 创建用户组并授权。 2. 在IAM控制台创建用户组，并授予弹性负载均衡服务只读权限“ELB ReadOnlyAccess”。 3. 创建用户并加入用户组。 4. 在IAM控制台创建用户，并将其加入用户组。 5. 用户登录并验证权限。 6. 新创建的用户登录控制台，切换至授权区域，验证权限： 在“服务列表”中选择弹性负载均衡，进入ELB主界面，单击右上角“创建弹性负载均衡”，尝试创建弹性负载均衡器，如果无法创建弹性负载均衡器（假设当前权限仅包含ELB ReadOnlyAccess），表示“ELB ReadOnlyAccess”已生效。 在“服务列表”中选择除弹性负载均衡器外（假设当前策略仅包含ELB ReadOnlyAccess）的任一服务，若提示权限不足，表示“ELB ReadOnlyAccess”已生效。

操作步骤 停用边缘接入服务 1. 登录边缘安全加速控制台，选择【边缘接入】控制台。 2. 进入【域名】【IP应用加速接入】页面。 3. 选择对应域名，找到【操作】列的【停用】按钮。 4. 单击【停用】按钮，单击【确定】。 如您需要删除已停用域名，请等待停用域名工单完成后继续按如下删除边缘接入域名的流程进行操作。 删除边缘接入域名 1. 域名停用后，单击【操作】列的【删除】按钮。 2. 单击【删除】后，跳出【删除确认】框，输入需删除的域名，单击【确定】，即可删除域名。

本节介绍了本地盘的简介、创建本地盘、删除本地盘等。 简介 本地盘是虚拟机实例、容器实例或函数服务所在物理机上的本地硬盘设备。本地硬盘能够为实例提供本地存储访问能力，具有低时延、高随机IOPS、高吞吐量和高性价比的优势。 本地盘是将一个或多个硬盘的分区在逻辑上集合，相当于一个大硬盘来使用，当硬盘的空间不够使用的时候，可以继续将其它的硬盘的分区加入其中，这样可以实现磁盘空间的动态管理，相对于普通的磁盘分区有很大的灵活性。同样具备较高的IO性能，同时支持RAID方式提供更高系统可靠性。用户可以按需选择容量规格购买使用本地盘。本地盘目前提供SATA HDD、SATA SSD、NVMe SSD三种类型的介质。本地盘支持提供给虚拟机实例作为系统盘或数据盘，作为系统盘时，开放购买的规格支持为20GB～2048GB，作为数据盘时，开放购买的规格支持为10GB～6144GB。 注意 本地盘不支持快照，云硬盘支持快照，高可用方面也不如云盘。 由于本地盘是随着单台物理机，一旦物理机故障将有丢失数据风险，数据可靠性较低，因此，重要数据建议使用云硬盘。 创建本地硬盘 1. 登录ECX控制台。 2. 单击左侧导航栏【边缘存储>本地盘】进入本地盘列表，单击【购买本地盘】。 3. 【基础配置>计费模式】选择【包年包月】或者【按需计费】。 4. 选择【地域】跟【可用区】，本地盘需要与虚拟机在同一个可用区。 5. 点击【增加一块数据盘】，选择本地盘的类型、大小以及驱动，一次最多可以选择3块磁盘。 6. 本地盘只能选择立即挂载，点击下拉列表【请选择挂载虚机】，列表中显示当前集群运行中和已关机的虚机，点击【选择】需要挂载的虚机。 7. 单击【下单购买】完成支付，即创建成功。 注意 实际可购买的地域和可用区以库存展示为准

本文介绍了访问RDSPostgreSQL实例应该如何配置安全组。 RDSPostgreSQL配置安全组具体步骤如下： 1. 如要连接RDSPostgreSQL实例，则需要配置安全组规则，实例默认绑定默认安全组和规则。 2. 将ECS或本地设备IP地址及目标实例端口加入安全组允许访问范围中。 3. 安全组配置可参考安全组简介。 4. 关于修改实例安全组的方法，详见修改实例安全组。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

本节为您介绍虚拟私有云VPC的相关费用。 虚拟私有云VPC服务下包含了多种产品资源，部分资源可以免费使用，部分资源需要支付费用。 下表为您详细介绍了虚拟私有云VPC各项资源的收费情况。 资源名称 收费情况说明 虚拟私有云 免费 子网 免费 路由表 免费 对等连接 免费 弹性网卡 免费 辅助弹性网卡 免费 IP地址组 免费 安全组 免费 网络ACL 免费 VPC流日志 如果您使用了VPC流日志，则VPC流日志使用的云日志服务需要支付费用。 流量镜像 免费 弹性公网IP和带宽 如果您使用了弹性公网IP和带宽的相关资源，则需要支付费用。 弹性公网IP：收取弹性公网IP保有费。 您购买的按需计费弹性公网IP未绑定至任何实例（如ECS、ELB）时，会收取弹性公网IP保有费。 固定带宽：弹性公网IP以及共享带宽的带宽费用。 带宽流量：按需计费(按流量计费)弹性公网IP的流量费用。 VPC终端节点 公测阶段暂不收费。

弹性高性能计算的节点实例如何与ECS实例进行私网通信？ 首先要先判断您的弹性高性能计算集群节点实例和您的ECS实例是否处于同一VPC，具体私网互通配置如下： 如果处于同一个VPC内，可以直接进行私网通信。 如果处于不同的VPC内，需要打通网络后才能进行私网通信。您可以通过对等连接、VPN等方式实现不同VPC之间的私网互通。 为什么无法通过SSH登录集群？ 使用SSH无法登录集群的原因较多，请您根据实际情况，通过以下排查方法，进行问题排查。 1. 检查用户名和密码是否正确。 2. 检查客户端本地网络或运营商网络是否异常。 3. 检测节点所在的安全组规则，是否放行对相应IP地址和端口的访问。 4. 检查登录节点是否开启防火墙或配置了防火墙规则。 集群是否支持挂载文件服务？ 您可在创建集群时，可选择自动分配创建新的或使用已有的文件服务，具体操作步骤请参考“创建集群”。

此小节介绍数据库审计的应用场景。 响应合规需求 应等保及其他行业政策要求，产品可以覆盖对于数据库系统的安全审计工作，内置丰富报表，快速轻松通过合规审查。 防范数据泄露 产品内置900多条安全规则，可精准识别拖库、撞库、暴力破解、大流量返回等容易导致数据泄露的安全问题，双向审计功能保证对于数据库的请求和返回全面审计，在数据泄露发生的初始阶段进行告警和遏制。 监测SQL注入事件 天翼云数据库审计内置丰富的SQL注入规则，可以精准识别包括布尔盲注、OR注入、SLEEP时间盲注、BENCHMARK时间盲注、GENERATESERIES时间盲注、RECEIVEMESSAGE时间盲注、WAITFOR时间盲注、GETLOCK时间盲注、CTXSYSDRITHSXSN报错注入等在内的SQL注入，及时告警，有效切断持续的外部攻击。 监测漏洞攻击事件 外部不法分子可能会利用漏洞扫描设备探测到数据库存在的漏洞，进而利用漏洞窃取数据，天翼云数据库审计内置漏洞攻击安全规则，可监测缓冲区溢出、存储过程滥用、隐通道攻击、拒绝服务攻击等多类型的漏洞攻击。 监测账号安全隐患 数据库账号安全隐患同样会导致数据安全事件，天翼云数据库审计能够监测数据库账号异常登录的行为，例如撞库、暴力破解、口令失效等，杜绝因数据库账号存在安全隐患导致的恶性事件。

前言 随着 DeepSeek 新春爆火，带动又一轮大模型热潮；用户访问量突增导致 DeepSeek 服务器繁忙，卡顿或无响应导致用户体验不佳；如何顺畅的体验使用这些大模型服务成为一个挑战。 本文介绍如何使用天翼云函数计算服务快速部署 DeepSeekR1 大模型，构建个人私有的 AI 大模型应用；通过 OpenWebUI 页面与 Ollama 运行的本地大模型交互，体验到极致流畅的 DeepSeek 能力。 关键名词 OpenWebUI 是一个开源可扩展、功能丰富且用户友好的自托管 AI 平台，专为生成式人工智能模型的交互而设计；它支持多种大型语言模型（LLM）运行器，兼容 Ollama 和 OpenAI 兼容的 API；还支持自定义模型创建，集成特定提示词、知识库等；并内置了 RAG 推理引擎；旨在实现完全离线运行。 Ollama 是一款开源工具（大模型管理工具），旨在简化大型语言模型（LLM）在本地计算机上的运行、部署和交互；它支持多种流行的预训练模型，如 LLaMA 2、Gemma 等；可以有效降低打语音模型的使用门槛，推动 AI 技术的普惠。 天翼云函数计算（FAAS）是一项由事件驱动的全托管 Serverless 计算服务，用户无需管理基础设施，只需编写上传代码；由平台负责计算资源与代码运行，并提供高弹性、高可用、安全稳定、免运维、按需付费的云计算服务。FAAS 平台提供 GPU 函数支持一键创建部署大模型应用，帮助用户快速体验最新大模型。

本节介绍创建网站扫描任务或重启任务不成功时如何处理。 请执行以下步骤进行处理。 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务页面。 3. 在“资产列表 > 网站”页签，进入网站列表入口。 4. 在“资产列表”界面，查看目标网址是否已完成域名认证。 如果是，请联系技术支持。 如果否，请执行步骤5～步骤6完成域名认证。 5. 在目标域名的“认证状态”列，单击“前往认证”。 6. 在弹出的“认证域名”对话框中，选择域名认证方式完成域名认证。

3.3 配置ssh服务器 下面是对ssh服务器的一些配置。 plaintext sed e "s/^ ?PubkeyAuthentication./PubkeyAuthentication yes/g" e "s/^ ?PasswordAuthentication./PasswordAuthentication yes/g" e "s/^ ?PermitRootLogin./PermitRootLogin yes/g" e "s/^ ?UseDNS./UseDNS no/g" e "s/^ ?GSSAPIAuthentication./GSSAPIAuthentication no/g" i.bak /etc/ssh/sshdconfig 说明： PubkeyAuthentication yes：允许公钥认证访问。使用公钥认证访问通常更为安全。 PasswordAuthentication yes：允许使用密码认证访问。密码认证访问不如公钥认证访问安全。但默认镜像中没有公钥（在镜像中捆绑固定的公钥可能有安全隐患），需要使用密码认证访问。您可以在装机登录后配置好ssh公钥，然后禁用密码认证访问。 PermitRootLogin yes：允许root用户登录。允许root用户登录可能不够安全。但默认镜像中不创建其他普通用户。在镜像中创建普通用户并为其捆绑固定的密码可能有安全隐患。物理机装机时只会为root用户设置密码。您可以在装机登录后创建其他用户，然后禁用root用户登录。 UseDNS no：禁用反向DNS解析。未连通公网的机器上DNS不可用，会导致ssh连接缓慢或失败。 GSSAPIAuthentication no：禁用GSSAPI认证访问。GSSAPI认证需要自行配置才能使用。开启可能会导致ssh连接缓慢或失败。 注意 请不要在镜像中留ssh公钥或新建非root用户，可能有安全隐患。若相应的ssh私钥或用户密码泄露，继续使用该镜像会扩大受影响范围。

3.3 配置ssh服务器 下面是对ssh服务器的一些配置。 plaintext sed e "s/^ ?PubkeyAuthentication./PubkeyAuthentication yes/g" e "s/^ ?PasswordAuthentication./PasswordAuthentication yes/g" e "s/^ ?PermitRootLogin./PermitRootLogin yes/g" e "s/^ ?UseDNS./UseDNS no/g" e "s/^ ?GSSAPIAuthentication./GSSAPIAuthentication no/g" i.bak /etc/ssh/sshdconfig 说明： PubkeyAuthentication yes：允许公钥认证访问。使用公钥认证访问通常更为安全。 PasswordAuthentication yes：允许使用密码认证访问。密码认证访问不如公钥认证访问安全。但默认镜像中没有公钥（在镜像中捆绑固定的公钥可能有安全隐患），需要使用密码认证访问。您可以在装机登录后配置好ssh公钥，然后禁用密码认证访问。 PermitRootLogin yes：允许root用户登录。允许root用户登录可能不够安全。但默认镜像中不创建其他普通用户。在镜像中创建普通用户并为其捆绑固定的密码可能有安全隐患。物理机装机时只会为root用户设置密码。您可以在装机登录后创建其他用户，然后禁用root用户登录。 UseDNS no：禁用反向DNS解析。未连通公网的机器上DNS不可用，会导致ssh连接缓慢或失败。 GSSAPIAuthentication no：禁用GSSAPI认证访问。GSSAPI认证需要自行配置才能使用。开启可能会导致ssh连接缓慢或失败。 注意 请不要在镜像中留ssh公钥或新建非root用户，可能有安全隐患。若相应的ssh私钥或用户密码泄露，继续使用该镜像会扩大受影响范围。

本章节将为您介绍分布式消息服务RabbitMQ入门的基本流程，主要包括环境准备、创建资源、编译工程生产消费等环节，帮助您快速上手RabbitMQ。 步骤说明 1、 环境准备 创建RabbitMQ实例先要准备好虚拟私有云、子网和安全组，可选弹性公网IP。 2、 创建实例 在订购分布式消息RabbitMQ填写和确认实例名称、引擎类型、计费模式等信息，确认费用后点击下一步，等待开通流程结果通知成功后完成创建实例。 3、 创建资源 一个新的应用接入消息队列需要先创建相关资源，包括：Vhost、User、Exchange、Queue。 4、 生产消费 以上工作完成后，在客户端应用进行生产消费，包括引入依赖、绑定BindingKey、生产消息和消费消息。

操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“Web核心防护”模块，完成以下功能配置。 配置项 说明 状态 开启或关闭Web核心防护规则引擎。防护规则引擎默认开启，为所有接入WAF防护的网站防御常见的Web应用攻击。 防护规则组 选择要应用的防护规则组。支持应用内置规则组和自定义规则组。 内置规则组包括： 正常规则组：按照标准防护程度去检测常见的Web应用攻击。默认应用该规则组。 严格规则组：按照严格防护程度去检测路径穿越、SQL注入、命令执行等Web应用攻击。 宽松规则组：按照宽松防护程度去检测常见Web应用攻击。当您发现正常规则组下存在较多误拦截，或者业务存在较多不可控的用户输入（例如，富文本编辑器、技术论坛等），建议您选择该规则组。 自定义规则组：用户可根据业务情况自定义防护规则组。 单击“前去配置”，将跳转到防护规则组配置页面，您可以根据业务需要自定义防护规则组及要应用的防护规则。具体操作，请参见全局Web核心防护。

本节介绍如何为日志审计v1.0开启/切换IPv6防护。 子网开启IPv6 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“网络 > 虚拟私有云”。 4. 选择对应的虚拟私有云，选择对应子网，点击子网后的“修改”进入修改子网页面，勾选“开启IPv6”，单击“确定”。 日志审计开通 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”。 4. 在资源概览页面右上角，单击“立即购买”。 5. 在购买页面配置基础信息（包括区域 、虚拟私有云 、子网、可用区 和CPU分类 ），套餐选择自定义中的日志审计、并进行产品规格配置。 6. 选择购买时长后，勾选“我已阅读，理解并接受《云等保专区服务协议》”，点击“立即购买”。完成购买后等待资源开通成功。 登录日志审计系统 在云等保专区左侧导航栏，选择“日志审计”，在目标资源右侧操作列单击“配置”，进入日志审计系统。 开启IPv6防护 开通日志审计v1.0后，还需要配置网络才能开启IPv6防护，请提交工单联系技术支持进行配置。

本节介绍如何管理安全报告，包括启用、停用、编辑、删除操作。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“态势感知 > 安全报告”，进入安全报告页面。 5. 管理安全报告。 操作名称 执行步骤 启用/停用安全报告 在安全报告页面中，单击目标报告模块中的未启用或启用按钮。 安全报告状态更新为启用，则表示启用成功。 安全报告状态更新为未启用，则表示停用成功。 编辑安全报告 1. 在安全报告页面中，单击目标报告中的“编辑”按钮，跳转到报告基本信息配置页面。 2. （可选）编辑报告基本信息。 3. 单击“下一步：报告选择”，跳转到报告选择页面。 4. （可选）勾选报告布局。 5. 单击右上角“完成”。 删除安全报告 1. 在安全报告页面中，单击目标报告中的“删除”，弹出删除报告确认窗口。 2. 单击“确定”。 下载安全报告 1. 在安全报告管理页面，单击待下载报告右下角“更多”按钮，在功能下拉菜单中单击“下载”，弹出报告预览页面。 2. 单击预览页面上方的“下载”按钮，并在弹出的对话框中，选择报告格式后，单击“确定”。系统将自动下载对应格式的报告到本地。 分享安全报告 1. 在安全报告管理页面，单击待分享报告右下角“更多”按钮，在功能下拉菜单中单击“分享”。 2. 在弹出的对话框中，单击复制按钮，进行分享。 3. 分享完成后，可以单击“确定”，关闭对话框。

本章节将介绍在安全评分中，不同分值的含义以及扣分项的详细情况。 态势感知实时呈现您云上资产的整体安全评估状况，并根据不同版本的威胁检测能力，评估整体资产安全健康得分。 安全分值 SA根据不同版本的威胁检测能力，评估整体资产安全健康得分。 风险等级包括“无风险”、“提示”、“低危”、“中危”、“高危”和“致命”。 分值范围为0～100，分值越大表示风险越小，资产更安全。 分值从0开始，每隔20取值范围对应不同的风险等级，例如分值范围40~60对应风险等级为“中危”。 分值环形图不同色块表示不同威胁等级，例如黄色对应“中危”。 资产风险修复，并手动刷新告警事件状态后，安全评分实时更新。 说明 由于检测需要一定的时间，请您在单击“重新检测”按钮5分钟后，再刷新页面，查看最新检测的安全评分。 资产安全风险修复后，为降低安全评分的风险等级，需手动忽略或处理告警事件，刷新告警列表中告警事件状态。 安全分值表： 风险等级 安全分值 分值说明 无风险 100分 恭喜您，您的资产当前安全状况良好。 提示 80≤分值<100 您的资产存在少量的安全隐患，建议您及时加固安全防护体系。 低危 60≤分值<80 您的资产存在较多的安全隐患，建议您及时加固安全防护体系。 中危 40≤分值<60 您的资产防御黑客入侵的能力较弱，建议您立即加固安全防护体系。 高危 20≤分值<40 您的资产存在较高的黑客入侵和病毒感染的风险，建议您立即处理。 致命 0≤分值<20 您的资产很可能遭受到黑客入侵和病毒感染的威胁，建议您立即处理。

本小节介绍申请弹性云主机方法。 开通态势感知服务需要开通2台双网卡弹性云主机： 其中一台云主机为态势感知控制端，最低配置建议为8核CPU/64G内存/100G系统盘/1T数据盘。 另外一台云主机为虚拟网关,最低配置建议为4核CPU/8G内存/50G系统盘。 开通态势感知弹性云主机 1. 在天翼云官网下的控制中心下的弹性云主机中创建弹性云主机 。 2. 态势感知云主机选择的镜像在“公共镜像”下，请选择操作系统 下拉选择“安全产品”，请选择操作系统版本下拉选择“态势控制端V2.1.3（100GB）”。 3. 配置网络信息。 态势感知的 eth0 网段和业务是同一个网段，ip 地址可以自己手动分配或者自动分配 。 态势感知的 eth1（扩展网卡）网段是态势感知的网段，和业务不同网段，建议新建子网用于镜像流量接收使用。 安全组入方向中放行 22 端口以及 18443 端口。 弹性IP的带宽建议5M 。 4. 设置密码并同意相关协议即可开通态势感知云主机，等待创建即可。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

本文介绍全站加速高额账单出现的场景，潜在风险提示及应对方案。 当您的网站举行大型推广营销活动、域名受到恶意攻击或者网站被盗刷时，易产生突发的超出日常使用的带宽及流量，而由于这部分流量及带宽实际消耗了天翼云全站加速的带宽资源，所以需要您自行承担因此产生的流量、带宽、请求数的费用。 天翼云全站加速是面向公共的内容加速服务，不承担防止网络攻击的义务。当前仅具备基础的访问控制等防护能力，包括：IP黑/白名单、Referer防盗链、UA黑/白名单、URI黑/白名单、URL鉴权配置、全网带宽控制、有序回源等，不具备高阶的安全防护能力，无法防护所有的攻击行为。如果您的加速域名有被攻击风险或正在遭受攻击，建议购买天翼云边缘安全加速平台的相关产品保证域名的正常使用。 高额账单出现场景 场景一：特殊营销推广活动 某些金融网站经常不定期承办一些推广营销活动，如纪念币发行、优惠券发放等，客户往往无法预估活动期间的实际用户访问量级，易产生突发带宽。 场景二：网站受到恶意攻击 当网站域名受到恶意攻击时，天翼云全站加速会在边缘侧先进行一层防护，抵挡攻击流量，但是也因此消耗了部分带宽资源，易产生突发带宽。

处理步骤 查看磁盘容量，清除无用文件 1. 在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HDFS”。 2. 在“图表”区域“实时”栏中，通过监控项“HDFS磁盘容量比率”查看HDFS磁盘使用率是否超过阈值（默认为80%）。若未查看到该监控项，可单击图表区域右上角的下拉菜单，选择“定制磁盘”，勾选“HDFS磁盘容量比率”。 是，执行步骤 3。 否，执行步骤 11。 3. 在“基本信息”区域，单击发生故障的NameService的“NameNode(主)”，进入HDFS WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 4. 在HDFS WebUI，单击“Datanodes”，在“Block pool used”列查看所有DataNode节点的磁盘使用率，判断有无DataNode节点的磁盘使用率超过阈值。 是，执行步骤 6。 否，执行步骤 11。 5. 以root用户登录集客户端所在节点的主机。 6. 执行命令cd /opt/Bigdata/client进入客户端安装目录，然后执行 source bigdataenv 。如果集群采用安全版本，要进行安全认证。执行kinit hdfs命令，按提示输入密码。向管理员获取密码。 7. 执行hdfs dfs rm r 文件或目录路径命令，确认删除无用的文件。 8. 检查本告警是否恢复。 是，处理完毕。 否，执行步骤 9。

本节介绍如何查看安全概览，通过安全概览了解整体的安全风险和告警。 安全概览会通过大屏的方式展示安全评分、资产总数、告警总数、威胁动态、日志分布TOP5、风险资产TOP5、告警处置概览、近七天趋势图、攻击链统计图。 前提条件 安全概览的数据来源于接入系统的数据量，需要确保已完成数据接入。具体操作请参见接入日志、告警。 操作步骤 1. 登录云安全中心控制台。 2. 在左侧导航栏，选择“安全态势 > 安全概览”，进入安全概览页面，查看安全评分和风险数据统计。 说明 日志、告警等维度数据展示均支持下钻点击，通过详情进行展示。 概览数据只展示当前情况，最新实时数据需要手动刷新页面获取。

更新MRS数据源配置 操作场景 MRS的HDFS集群参数配置变更时，可能造成DWS集群无法从HDFS集群导入数据。使用HDFS集群导入数据前，需要执行MRS数据源配置的更新操作。 前提条件 DWS集群已创建MRS数据源连接。 对系统的影响 更新MRS数据源连接时，DWS集群会自动重启并无法提供服务。 操作步骤 1. 在DWS管理管制台，选择“集群 > 专属集群”。 2. 在集群列表，单击指定集群的名称，然后单击“MRS数据源”。 3. 在MRS数据源列表中，选中需要更新的MRS数据源，在“操作”列中，单击“更新配置”。 更新当前连接的“MRS集群状态”和“配置状态”。在更新配置时，无法创建新的连接，且会检查安全组规则是否正常并自助修复。参数说明如下所示： 参数说明 参数名 参数解释 dfs.client.read.shortcircuit 是否开启本地读。 dfs.client.read.shortcircuit.skip.checksum 本地读时是否跳过数据校验。 dfs.client.block.write.replacedatanodeonfailure.enable 向HDFS写数据块发生失败时，是否替换新的节点作为副本存储位置。 dfs.encrypt.data.transfer 是否开启数据加密。设置为“true”表示加密，默认不加密。 说明 l 此参数仅对启用Kerberos认证的集群有效。 l 仅当hadoop.rpc.protection设置为privacy时使用。 dfs.encrypt.data.transfer.algorithm 指定密钥传输的加密解密算法。 只有在dfs.encrypt.data.transfer配置项设置为“true”，此参数才会生效。 默认值为“3des”，表示采用3DES算法进行加密。 dfs.encrypt.data.transfer.cipher.suites 指定实际存储数据传输的加密解密算法。 如果不指定此参数，则使用“dfs.encrypt.data.transfer.algorithm”参数指定的加密算法进行数据加密。默认值为“AES/CTR/NoPadding”。 dfs.replication 默认数据副本个数。 dfs.blocksiz 默认数据块大小。 hadoop.security.authentication 安全认证模式。 hadoop.rpc.protection RPC通信保护模式。 默认值：安全模式（启用Kerberos认证）：privacy 普通模式（未启用Kerberos认证）：authentication 须知 “authentication”：只进行认证，不加密。 “integrity”：进行认证和一致性校验。 “privacy”：进行认证、一致性校验、加密。 dfs.domain.socket.path 本地使用的Domain socket路径。