参数 描述 IP地址或域名 目标数据库的IP地址或域名。 端口 目标数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 目标数据库的用户名。 数据库密码 目标数据库用户名所对应的密码。 SSL安全连接 通过该功能，用户可以选择是否开启对同步链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不使用SSL证书，请自行承担数据安全风险。

本章节主要介绍配置定时备份告警与审计信息。 操作场景 管理员可通过修改配置文件，实现定时备份FusionInsight Manager的告警信息、Manager审计信息以及所有服务的审计信息到指定的存储位置。 备份支持使用SFTP协议或FTP协议，FTP协议未加密数据可能存在安全风险，建议使用SFTP。 操作步骤 1.以omm用户登录主管理节点。 说明 用户只需在主管理节点执行此操作，不支持在备管理节点上配置定时备份。 2.执行以下命令，切换目录。 cd ${BIGDATAHOME}/omserver/om/sbin 3.执行以下命令，配置定时备份Manager告警、审计或者服务审计信息。 ./setNorthBound.sh t 信息类型 i 远程服务器IP p 服务器使用的SFTP或FTP 端口 u 用户名 d 保存信息的路径 c 时间间隔（分钟） m 每个保存文件的信息记录数 s 备份启停开关 e 指定的协议 例如： ./setNorthBound.sh t alarm i 10.0.0.10 p 22 u sftpuser d /tmp/ c 10 m 100 s true e sftp 此脚本将修改告警信息备份配置文件“alarmcollectupload.properties”。文件存储路径为“${BIGDATAHOME}/omserver/tomcat/webapps/web/WEBINF/classes/config”。 ./setNorthBound.sh t audit i 10.0.0.10 p 22 u sftpuser d /tmp/ c 10 m 100 s true e sftp 此脚本将修改审计信息备份配置文件“auditcollectupload.properties”。文件存储路径为“${BIGDATAHOME}/omserver/tomcat/webapps/web/WEBINF/classes/config”。 ./setNorthBound.sh t serviceaudit i 10.0.0.10 p 22 u sftpuser d /tmp/ c 10 m 100 s true e sftp 此脚本将修改服务审计信息备份配置文件“serviceauditcollectupload.properties”。文件存储路径为“${BIGDATAHOME}/omserver/tomcat/webapps/web/WEBINF/classes/config”。 4.根据界面提示输入用户的密码。密码将加密保存在配置文件中。 Please input sftp/ftp server password: 5.显示如下结果，说明修改成功。备管理节点将自动同步配置文件。 execute command syncfile successfully. Config Succeed.

本文主要介绍OBS的流程简介。 OBS最基础的入门操作包括创建桶、上传对象和下载对象，通过这三个操作就能完成数据上传和下载。 以下章节介绍如何使用OBS管理控制台来完成下图中所示的任务。 1. 注册天翼云帐号，为帐号充值。 2. 除了控制台以外，通过其他方式访问OBS均需要提前获取访问密钥（AK/SK）用以鉴权。 3. 使用SDK、API和obsutil工具时需要提前获取终端节点（Endpoint）。 4. 使用工具（OBS Browser+、obsutil、obsfs）和SDK前，需要先下载对应工具或SDK源码，并进行初始化配置。 5. 桶是OBS中存储对象的容器，在上传对象前需要先创建桶。并行文件系统与OBS桶操作类似。 6. 将文件上传至OBS。并行文件系统与OBS桶操作类似。 7. 从OBS中下载文件。并行文件系统与OBS桶操作类似。 8. 为节省空间和成本，可以删除无用的文件，可以删除单个文件也可以批量删除多个文件。 9. 如果不再需要一个桶，可以将其删除。

过滤规则 举例 如果进程的“COMMAND”列的值为“dockercontaine”、“vi”、“vim”、“pause”、“sshd”、“ps”、“sleep”、“grep”、“tailf”、“tail”或“systemdudevd”，且为非容器内的进程，则该类进程会被过滤掉，不会被AOM发现。 例如，上面信息中“PID”为“1154”的进程，因为其“COMMAND”列的值为“dockercontaine”，所以该进程不会被AOM发现。 如果进程的“CMD”列的值以“[”开头，且以“]”结尾，则该类进程会被过滤掉，不会被AOM发现。 例如，上面信息中“PID”为“2”的进程，因为其“CMD”列的值为“[kthreadd]”，所以该进程不会被AOM发现。 如果进程的“CMD”列的值以“(”开头，且以“)”结尾，则该类进程会被过滤掉，不会被AOM发现。 例如，上面信息中“PID”为“3”的进程，因为其“CMD”列的值为“(ksoftirqd/0)”，所以该进程不会被AOM发现。 如果进程的“CMD”列的值以“/sbin/”开头，则该类进程会被过滤掉，不会被AOM发现。 例如，上面信息中“PID”为“1148”的进程，因为其“CMD”列的值以“/sbin/”开头，所以该进程不会被AOM发现。

本文帮助您更快了解云主机备份产品与其他云服务的关联关系。 云主机备份通过与其他云服务的关联，能够提供全面的数据保护和恢复解决方案，以满足用户对数据安全和可靠性的需求。 弹性云主机 云主机备份提供对弹性云主机的备份保护服务，并支持利用备份数据恢复弹性云主机的数据，以便于在弹性云主机数据丢失或损坏时自助快速恢复数据。 对象存储服务 云主机备份通过云主机与对象存储服务的结合，将云主机的数据备份到对象存储中，高度保障用户的备份数据安全。

数据库安全保障是指通过一系列安全措施加强对数据库安全进行防护。数据库安全配置核心在对数据库进行访问控制、数据加密、审计、数据脱敏和数据库备份与恢复等安全管理策略，确保数据的完整性、机密性、可用性、可控性和可审查性。 访问控制 TeleDB支持通过设有用户权限控制和强制访问控制，对不同对象有不同的访问来控制权限，确保数据安全。它主要包括自主访问权限控制和强制访问控制。 自主访问控制 ：TeleDB支持自主赋予不同用户角色操作控制权限和提供对数据库资源（实例、表、视图等）细粒度权限控制能力。 强制访问控制： 提供更细粒度的访问控制，即行级的访问控制。 自主访问控制具体实施方案请参考《TeleDB安全配置手册》中“自主访问控制”章节。 强制访问控制具体实施方案请参考《TeleDB安全配置手册》中“强制访问控制”章节。 数据加密 TeleDB支持通过数据加密来确保只有授权的用户才能访问敏感信息，防止个人信息泄露。数据加密是一种将原始数据转换成不可读格式的过程。通过数据加密可以确保只有授权的用户才能访问存储在设备或数据库中的敏感信息，防止个人信息泄露。TeleDB支持三种数据加密方式，分别为透明存储加密、通信加密和全密态加密。 透明存储加密方式（Transparent Data Encryption, TDE）是一种保护数据库中静态数据的加密技术，使数据在存储时自动加密，有助于防止未授权访问和数据泄露。透明存储加密的特点是数据在加密和解密过程对应用程序透明，该过程中应用程序无需进行任何修改，从而简化了实施流程。加密操作（函数调用）与业务侧解耦合，业务只负责传递原始数据到数据库内核，后续的加密计算在数据库内部完成，从而业务侧操作上无感知。具体实施方案请参考《TeleDB安全配置手册》中“透明存储加密”章节。 通信加密是指基于传输层SSL（Secure Sockets Layer）协议加密的加密方式。SSL加密是一种安全协议，用于在互联网上建立一个加密的链接，来确保数据传输的安全性。具体实施方案请参考《TeleDB安全配置手册》中“通信加密”章节。 全密态加密是一种数据加密技术，‌旨在确保数据在整个生命周期（‌包括传输、‌运算和存储）‌中始终保持加密状态，‌从而保护数据隐私。‌这种加密技术不仅涉及到数据的存储加密，‌还包括数据在处理过程中的加密，‌确保即使在数据传输和计算过程中，‌攻击者也无法获取有效的数据信息。‌全密态加密技术的实现依赖于特定的密钥管理机制，‌包括客户端主密钥（‌CMK）‌和数据加密密钥（‌CEK）‌的使用，‌其中CMK用于加密CEK，‌而CEK则用于加密用户数据，‌从而形成一个完整的数据加密体系。具体实施方案请参考《TeleDB安全配置手册》中“全密态加密”章节。

本节主要介绍OBS的存储类别。 OBS支持桶级和对象级存储类别。 存储类别可以分为：标准存储、低频访问存储、归档存储。 不同的存储类别可以满足客户业务对存储性能、成本的不同诉求。 标准存储访问时延低和吞吐量高，因而适用于有大量热点文件（平均一个月多次）或小文件（小于1MB），且需要频繁访问数据的业务场景，例如：大数据、移动应用、热点视频、社交图片等场景。 低频访问存储适用于不频繁访问（平均一年少于12次）但在需要时也要求快速访问数据的业务场景，例如：文件同步/共享、企业备份等场景。 归档存储适用于很少访问（平均一年访问一次）数据的业务场景，例如：数据归档、长期备份等场景。归档存储安全、持久且成本极低，可以用来替代磁带库。为了保持成本低廉，数据恢复时间可能长达数分钟到数小时不等。 桶存储类别和对象存储类别的关系 上传对象时，对象的存储类别默认继承桶的存储类别。您也可以重新指定对象的存储类别。 修改桶的存储类别，桶内已有对象的存储类别不会修改，新上传对象时的默认对象存储类别随之修改。 存储类别对比 对比项目 标准存储 低频访问存储 归档存储 特点 高性能、高可靠、高可用的对象存储服务 高可靠、较低成本的实时访问存储服务 归档数据的长期存储，存储单价更优惠 应用场景 云应用、数据分享、内容分享、热点对象 网盘应用、企业备份、活跃归档、监控数据 档案数据、医疗影像、视频素材、带库替代 最低存储时间 无 30天 90天 图片处理 支持 支持 不支持

本节主要介绍OBS的存储类型。 OBS支持桶级和对象级存储类别，提供了标准存储、低频访问存储和归档存储三种存储类型。 不同的存储类别可以满足客户业务对存储性能、成本的不同诉求。 标准存储访问时延低和吞吐量高，因而适用于有大量热点文件（平均一个月多次）或小文件（小于1MB），且需要频繁访问数据的业务场景，例如：大数据、移动应用、热点视频、社交图片等场景。 低频访问存储适用于不频繁访问（平均一年少于12次）但在需要时也要求快速访问数据的业务场景，例如：文件同步/共享、企业备份等场景。 归档存储适用于很少访问（平均一年访问一次）数据的业务场景，例如：数据归档、长期备份等场景。归档存储安全、持久且成本极低，可以用来替代磁带库。为了保持成本低廉，数据恢复时间可能长达数分钟到数小时不等。 桶存储类别和对象存储类别的关系 上传对象时，对象的存储类别默认继承桶的存储类别。您也可以重新指定对象的存储类别。 修改桶的存储类别，桶内已有对象的存储类别不会修改，新上传对象时的默认对象存储类别随之修改。 存储类别对比 对比项目 标准存储 低频访问存储 归档存储 特点 高性能、高可靠、高可用的对象存储服务 高可靠、较低成本的实时访问存储服务 归档数据的长期存储，存储单价更优惠 应用场景 云应用、数据分享、内容分享、热点对象 网盘应用、企业备份、活跃归档、监控数据 档案数据、医疗影像、视频素材、带库替代 最低存储时间 无 30天 90天 图片处理 支持 支持 不支持

本章节主要介绍Kafka的最佳实践。 1. 体系结构概述 Kafka主题用于对记录进行组织。记录由生产者生成，由消费者使用。生产者将记录发送到 Kafka 代理，后者存储数据。 主题跨代理对记录进行分区。在使用记录时，每个分区最多可使用一个消费者来实现数据并行处理。 复制用于在节点之间复制分区。这可以防止节点（代理）发生服务中断。将副本组之间的单个分区指定为分区领导者。生产者流量将根据由ZooKeeper管理的状态路由到每个节点的领导者。 2. 调优方案选择 Kafka性能体现在两个主要方面：吞吐量和延迟。吞吐量是指数据的最大处理速率，通常吞吐量越高越好。延迟是指存储或检索数据所花费的时间。通常，延迟越低越好。在吞吐量、延迟和应用基础结构的开销方面找到适当的平衡可能会有难度。 根据追求的是高吞吐量、低延迟还是此两者，性能要求可能符合以下三种常见情况中的一种： 高吞吐量，低延迟。此方案要求同时满足高吞吐量和低延迟（大约100毫秒）。服务可用性监视就是这种应用场景的一个例子。 高吞吐量，高延迟。此方案要求满足高吞吐量（大约1.5 GBps），但可以容许较高的延迟（< 250 毫秒）。这种应用场景的一个例子是引入遥测数据进行近实时的处理，例如安全与入侵检测应用程序。 低吞吐量，低延迟。此方案要求提供低延迟（< 10毫秒）以完成实时处理，但可以容许较低的吞吐量。在线拼写和语法检查就是这种应用场景的一个例子。

功能模块 产品功能 单机版 主备版 规格 节点数 1 2 规格 规格配置 vCPU：最高64核 vCPU：最高64核 规格 规格配置 内存大小：最高512GB 内存大小：最高512GB 规格 规格配置 数据盘：最高32TB 数据盘：最高32TB 实例操作 开通实例 支持 支持 实例操作 删除实例 支持 支持 实例操作 暂停 不支持 不支持 实例操作 续费 支持 支持 实例操作 重启 支持 支持 计费模式 自助开通 支持 支持 计费模式 包周期 支持 支持 计费模式 按需 支持 支持 实例升级 系列升级 支持 不支持 实例升级 规格升级 支持CPU和内存升级 仅支持在相同性能类型内升级 支持CPU和内存升级 仅支持在相同性能类型内升级 实例升级 存储空间 仅支持扩容 仅支持扩容 实例升级 备份空间 对象存储类型按量计费，无需扩容 云硬盘类型支持扩容，不支持缩容 对象存储类型按量计费，无需扩容 云硬盘类型支持扩容，不支持缩容 实例管理 安全组 支持 支持 实例管理 修改端口 支持 支持 实例管理 账号管理 支持 支持 实例管理 修改账号密码 支持 支持 实例管理 数据库管理 支持 支持 实例管理 参数设置 支持 支持 备份 全量/增量备份 支持 支持 备份 自动/手动备份 支持 支持 备份 管理备份策略 支持 支持 备份 跨域备份 支持 支持 恢复 指定时间点恢复 支持 支持 恢复 指定备份集恢复 支持 支持 服务可用性 主备切换 不支持 支持 服务可用性 查看切换日志 不支持 支持 日志管理 错误日志 支持 支持 日志管理 日志配置管理 支持（华北2、华东1支持） 支持（华北2、华东1支持） 监控告警 指标监控 支持 支持 监控告警 告警 支持 支持

Q：PON云专线是什么？ A：PON云专线产品是基于中国电信MPLSVPN网络和光网络为客户接入和使用云资源提供安全、高速的入云接入服务，在客户局域网与云资源之间搭建专用的入云网络通道。 Q：福建电信PON云专线的受理渠道有哪些？ A：线下方式：用户通过福建电信营业厅客户经理线下开通； 线上方式：用户通过CTYUN门户自助开通； Q：福建电信PON云专线产品在使用时有什么使用条件及接入要求？ A：客户使用条件：客户属性为福建电信客户，且客户需要在相应福州天翼云合营池资源池购买了云主机等资源或服务后，方可申请开通PON云专线业务。 客户接入地址要求：使用本产品的客户，需提前做好企业侧与资源池侧的IP地址规划，确保客户侧内网网段与云侧VPC及子网网段不冲突。暂不提供IPv6子网的接入。 Q：我公司想申请的PON云专线带宽范围是多少？ A：PON云专线产品的带宽范围为10M100Mbps。变更颗粒度为： 10Mbps颗粒度。 Q：PON云专线3.5 在使用过程遇到问题，如何处理？ A：福建电信PON云专线业务统开通流程咨询请拨打省公司10000+9进行云专线咨询或故障申告；故障及投诉意见请拨打省公司10000+9进行云专线咨询 或故障申告。特别说明：如客户在外地，需要在10000号前需要加上福建地市区号，如福州市客户为059110000+9，莆田市客户为059410000+9 。

本节指导用户通过KMS界面查看自定义密钥的信息，包括密钥别名、状态、ID和创建时间。密钥状态包括“启用”、“禁用”、“计划删除”和“等待导入”。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角，选择区域。 步骤 3 单击“服务列表”，选择“安全> 数据加密服务”，默认进入“密钥管理”界面。 步骤 4 在密钥列表中，查看密钥信息，密钥列表参数说明如下。 密钥列表参数说明 参数 操作说明 别名 密钥的别名。 状态 密钥的状态，包含： 启用：密钥处于启用状态 禁用：密钥处于禁用状态 计划删除：密钥处于计划删除状态 等待导入：如果密钥没有密钥材料，那么密钥的状态为“等待导入”。 ID 创建密钥时自动生成的密钥ID。在IAM中创建自定义策略时，添加资源路径中的“路径”填写此ID。 创建时间 创建该密钥的时间。 密钥算法及用途 创建密钥时选择的密钥算法及该算法的用途。 密钥材料来源 密钥材料的来源，包含： 外部用户从外部导入到KMS。 密钥管理用户通过KMS创建的密钥，或默认密钥。 操作 用户可以在操作栏中，执行禁用、删除、导入密钥材料、取消删除密钥等操作。 步骤 5 用户可单击密钥别名，查看密钥详细信息。 说明 用户可单击该密钥的“别名”或“描述”，修改密钥的别名或描述信息。 默认密钥（密钥别名后缀为“/default”），别名和描述不可以修改。 密钥状态处于“计划删除”时，别名和描述不可修改。

本节向您介绍数据安全中心的使用约束。 数据安全中心DSC仅支持管理天翼云上的数据资产，暂不支持管理其他云厂商的数据资产。 支持的数据源 关系型数据库（Relational Database Service，RDS） 对象存储服务（Object Storage Service，OBS） 数据仓库服务（Data Warehouse Service，DWS） 文档数据库服务（Document Database Service，DDS） MapReduce服务（MapReduce Service，MRS） 云搜索服务（Cloud Search Service，CSS） 数据湖探索服务（Data Lake Insight，DLI） 弹性云服务器（Elastic Cloud Server ，ECS）的自建数据库 裸金属服务器（Bare Metal Server，BMS）的自建数据库 支持的数据库类型及版本 DSC支持的数据库类型及版本如下表所示。 数据库类型 版本 MySQL 5.6、5.7、5.8、8.0 SQL Server 2017SE、2017EE、2017WEB 2016SE、2016EE、2016WEB 2014SE、2014EE 2012SE、2012EE、2012WEB 2008R2EE、2008R2WEB PostgreSQL 11、10、9.6、9.5、9.4、9.1 Oracle 10、12

操作场景 本章介绍了如何添加运行CCE集群的节点池以及对节点池执行操作。要了解节点池的工作原理，请参阅节点池概述。 操作步骤 将节点池添加到现有集群。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 单击右上角的“创建节点池”。 步骤 3 在创建节点池页面中，参照如下说明设置节点池选型参数。 计费模式： 节点池仅支持“按需计费”的计费模式，该模式将根据实际使用的资源按小时计费。 节点池创建后，自建的节点池里的资源无法转包周期，默认节点池里的资源可以转包周期。您可以把自建节点池里的资源迁移到默认的节点池里后再进行转包周期的操作。如何迁移请参见迁移节点。 当前区域：指节点实例所在的物理位置。 请就近选择靠近您业务的区域，可减少网络时延，提高访问速度；不同区域的云服务产品之间内网互不相通。 节点池名称：新建节点池的名称，默认按“集群名nodepool随机数”生成名称，可自定义。 节点类型：目前仅支持虚拟机节点。 节点购买数量：该节点池下购买的节点数量，此处设置的节点数不能超过集群管理的最大节点规模，请根据业务需求和界面提示选择，如需更多配额，请单击提交工单申请扩大配额。 弹性扩缩容： − 默认不开启。 − 单击 开启后，节点池将根据集群负载情况自动创建或删除节点池内的节点，参数设置如下： 节点数上限和节点数下限：您可设置节点数的上限和下限，保证节点数在合理的范围内伸缩。 优先级：请根据业务需要设置相应数值，该数值表示节点池之间进行弹性扩缩容的优先级，数值越大优先级越高，如设置为4的节点池比设置为1的节点池优先启动弹性伸缩。若多个节点池的值设置相同，如都设置为2，表示这几个节点池之间不分优先级，系统将按最小资源浪费原则进行伸缩。 弹性缩容冷却时间：请设置时间，单位为分钟或小时。弹性缩容冷却时间是指当前节点池扩容出的节点多长时间不能被缩容。 说明： 节点池中的节点建议不要放置重要数据，以防止节点被弹性缩容，数据无法恢复。 为保证功能的正常使用，节点池开启弹性扩缩容功能后，请务必安装autoscaler。 可用区：可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 请根据业务需要进行选择。节点池创建之后不支持修改可用区属性，请谨慎选择。 如果您需要提高工作负载的高可靠性，建议您选择“随机可用区”，将节点随机均匀分布在不同可用区中。 节点规格：请根据业务需求选择相应的节点规格。 须知： 为确保节点稳定性，系统会自动预留部分资源，用于运行必须的系统组件，详细请参见节点预留资源计算公式 。 操作系统：请直接选择节点对应的操作系统。 须知：重装操作系统或修改操作系统配置将导致节点不可用，请务必谨慎操作。 虚拟私有云：跟随集群，不可变更。 所在子网：通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 可选择该集群虚拟私有云下的任意子网，集群节点支持跨子网。 请确保子网下的DNS服务器可以解析对象存储服务域名，否则无法创建节点。 系统盘：设置工作节点的系统盘空间。您可以设置系统盘的规格为40GB1024GB之间的数值，缺省值为40GB。 在默认情况下，系统盘可提供高IO、超高IO两种基本的云硬盘类型。 数据盘：设置工作节点的数据盘空间。您可以设置数据盘的规格为100GB32768GB之间的数值，缺省值为100GB。数据盘可提供的云硬盘类型与系统盘一致，此处不再赘述，详情参见系统盘中的云硬盘类型介绍。 须知： 若数据盘卸载或损坏，会导致docker服务异常，最终导致节点不可用。建议不要删除该数据盘。 登录方式：支持密码和密钥对。 −选择“密码”：用户名默认为“root”，请输入登录节点的密码，并确认密码。 登录节点时需要使用该密码，请妥善管理密码，系统无法获取您设置的密码内容。 −选择“密钥对”：在选项框中选择用于登录本节点的密钥对，并单击勾选确认信息。 密钥对用于远程登录节点时的身份认证。若没有密钥对，可单击选项框右侧的“创建密钥对”来新建，创建密钥对操作步骤请参见。 步骤 4 云服务器高级设置：（可选），单击 展开后可对节点进行如下高级功能配置： 安装前执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装前执行，可能导致Kubernetes软件无法正常安装，需谨慎使用。常用于格式化数据盘等场景。 安装后执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装后执行，不影响Kubernetes软件安装。常用于修改Docker配置参数等场景。 步骤 5 Kubernetes高级设置：（可选），单击 展开后可对集群进行如下高级功能配置： 最大实例数：节点最大允许创建的实例数(Pod)，该数量包含系统默认实例，取值范围为16~128。 该设置的目的为防止节点因管理过多实例而负载过重，请根据您的业务需要进行设置。 Taints：默认为空。支持给该节点池扩容出来的节点加Taints来设置反亲和性，每个节点池最多配置10条Taints，每条Taints包含以下3个参数： −Key：必须以字母或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符；另外可以使用DNS子域作为前缀。 −Value：必须以字符或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符。 −Effect：只可选NoSchedule，PreferNoSchedule或NoExecute。 须知： Taints配置时需要配合Pod的toleration使用，否则可能导致扩容失败或者Pod无法调度到扩容节点。 节点池创建后可单击列表项的“编辑”修改配置，修改后将同步到节点池下的已有节点。 K8S标签：K8S标签是附加到Kubernetes 对象（比如Pods）上的键值对，旨在用于指定对用户有意义且相关的对象的标识属性，但不直接对核心系统有语义含义。 详细请参见Labels and Selectors。 单容器可用数据空间：该参数用于设置一个容器可用的数据空间大小，设置范围为10G到80G。如果设置的参数超过数据盘中Docker可占用的实际数据空间（由数据盘设置项中的资源分配自定义参数指定，默认为数据盘大小的90%），将以Docker的实际空间大小为主。该参数仅在v1.13.10r0及以上版本的集群中显示。 步骤 6 （可选）您可以单击左侧的 按钮添加多个节点池，在按钮下方可以查看您可用的节点池配额数量。 步骤 7 完成配置后，单击“下一步：配置确认”，确认所设置的服务选型参数、规格和费用等信息。 步骤 8 确认规格和费用后，单击“提交”，节点池开始创建。 节点池创建预计需要610分钟，您可以单击“返回节点池管理”进行其他操作或单击“查看节点池事件列表”后查看节点池详情。待节点池状态为“正常”，表示节点池创建成功。 查看创建的节点池 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在节点池管理页面中，单击右上角的集群选择框，选择集群后可显示当前集群下所有的节点池，并可查看每个节点池的节点类型、节点规格、弹性扩缩容状态和操作系统等。 须知： 节点池功能上线后，会在每个集群中创建一个默认节点池“DefaultPool”，该节点池不能被编辑、删除或迁移，集群中原有的节点及节点池外创建的节点均会显示在默认节点池“DefaultPool”中。 单击默认节点池“DefaultPool”中“节点”数据框，可查看DefaultPool中的节点列表。 步骤 3 单击右上角的Autoscaler状态选择框，可筛选全部、已启用、未启用Autoscaler功能的节点池。 步骤 4 在节点池列表中，单击节点池的名称，在节点池详情页面，可查看节点池的基本信息、ECS高级设置、Kubernetes高级设置、节点列表等信息。

参数 说明 取值样例 认证算法 认证哈希算法，支持的算法：SHA1、SHA256、SHA384、SHA512、SM3（国密型网关使用）。 默认配置为：SHA256 SHA256 加密算法 加密算法，支持的算法：AES128、AES192、AES256、3DES、SM4（国密型网关使用）。 默认配置为：AES128 AES128 PFS PFS（Perfect Forward Secrecy）即完美前向安全功能，用来配置IPsec隧道协商时使用。 PFS组支持的算法：DH group 2、DH group 5、DH group 14。 默认配置为：DH group 5 DH group 14 DPD 选择开启或关闭对等体存活检测功能。默认配置为：启用 启用 传输协议 IPsec传输和封装用户数据时使用的安全协议，目前支持的协议： ESP。 默认配置为：ESP ESP 生命周期（秒） 安全联盟（SA—Security Associations）的生存时间，单位：秒。 在超过生存时间后，安全联盟将被重新协商。 3600

本文提供了天翼云边缘安全加速平台学术加速隐私政策。 天翼云边缘安全加速平台学术加速隐私政策（详细版），详情请参见这里。

本节简要介绍存储桶（Bucket）。 存储桶（Bucket）是存储文件（Object）的容器。对象存储系统的每个文件（Object）都必须包含在一个存储桶中。对象存储提供的是基于桶和文件的扁平化存储方式，桶中的所有文件都处于同一逻辑层级，去除了文件系统中的多层级树形目录结构。 您可以设置存储桶的属性，用来控制数据存储位置、访问权限、生命周期等，这些属性设置直接作用于该存储桶内的所有文件，因此您可以通过灵活的属性设置，来创建不同的存储桶，完成不同的管理功能。每个用户最多可以建立10个存储桶。用户只有对存储桶拥有相应的权限，才可以对其进行操作，这样保证了数据的安全性，防止非授权用户的非法访问。 存储桶属性 OOS提供Bucket级别的权限控制，默认情况下，只有Bucket的创建者才有该Bucket的读写权限。用户也可以设置其他的访问策略，比如对一个Bucket可以设置公共读策略，允许所有人对其都有读权限。 Bucket目前有3种访问权限：私有、公共读、公共读写。各自的含义如下： 私有：只有根用户和具有相应权限的子用户可以对该存储桶内的文件进行读/写/删除操作（包括Get、Put和Delete Object），其他人（包括匿名访问）只有通过Bucket Policy授权或分享链接才可访问该存储桶内的文件。 公共读：只有根用户和具有相应权限的子用户可以对该存储桶内的文件进行写/删除操作（包括Put和Delete Object）。任何人（包括匿名访问）都可以对该存储桶内的文件进行读操作，这有可能造成您数据的外泄以及费用激增，请慎用该权限。 公共读写：任何人（包括匿名访问）都可以对该存储桶内的文件进行读/写/删除操作（包括Get、Put和Delete Object）。 注意 配置公共读写权限可能造成您数据的外泄以及费用激增，若被人恶意写入违法信息还可能会侵害您的合法权益，除特殊场景外，不建议您配置公共读写权限。如果想使用访问权限为公共读写的存储桶，请联系天翼云客服评估审核后开通此功能。

本节介绍如何查看并处理病毒文件。 前提条件 已完成病毒扫描。详细操作请参见扫描病毒。 查看扫描结果 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“文件安全 > 病毒查杀”，进入病毒查杀页面。 3. 在病毒查杀页面查看病毒相关信息。 查看统计信息 页面上方展示告警事件和风险服务器的统计情况。 查看告警列表 页面下方展示告警事件详情。 告警事件列表展示字段包括服务器、操作系统、病毒名称、文件路径、文件MD5、首次发现时间、最后检测时间、状态处理方式和操作。 告警事件支持按发现时间、处理状态、服务器名称、服务器IP、文件MD5进行搜索。 查看告警详情 单击“详情”，查看病毒详细信息。 风险资产：包括服务器名、首次发现时间、最后检测时间、处置状态、检测类别（一键扫描/定时扫描/实时检测）、检测模式（快速检测/全盘检测/自定义检测）。 病毒文件：包括病毒名、病毒类型、是否关键文件、文件MD5、文件SHA256、文件路径、进程ID、进程命令行、检测引擎（云查引擎/本地检测引擎）。

本节介绍智算安全专区的应用场景。 模型输入输出内容违规 场景特点：使用者输入违规内容（如违法犯罪、暴力色情等），诱导模型生成不相关或非法内容，造成不良影响。 解决方案：内置大模型内容安全引擎，在输入阶段评估提示词，防止生成非法结果；在输出阶段检测违规内容，及时阻断并进行事后审计。支持模型接口代理方式实时检测与阻断，通过三道过滤防线保障内容安全。 敏感数据安全脱敏 场景特点：在问答结果输出阶段，应用可能带出个人简历、薪资情况等敏感信息，导致泄露。 解决方案：在数据输入阶段介入脱密信息处理，使进入RAG 语料库的资料均为脱敏后材料，基于大模型的智能脱敏在保护敏感信息的同时保留数据可用性。

本小节介绍服务器安全卫士通用功能IP组管理。 用户可根据自己需求，对产品中有特定作用和含义的 IP 或者 IP 段，设置为 IP 组进行统一管理，包括： 自定义内网 IP 组 ：可自定义设置某些"IP 或 IP 段"为内网，则在产品使用中，属于该 IP 组的 IP 会显示为内网 IP； 安全外网 IP 组 ：可自定义设置某些"IP 或 IP 段"为安全外网； 自定义 IP 组 ：用户可以自定义 IP 组，以结合自身需求灵活使用。 分组管理 可自定义 IP 分组，并对其进行编辑和删除，如下图所示。 添加 IP 或 IP 段 选择分组后，点击“添加 IP 或 IP 段”，弹出添加界面，输入信息，点击“确定”后，可将该 IP 或 IP 组加入该分组。 编辑/删除 IP 和 IP 段 分组内已添加的 IP 或 IP 段，希望对其进行编辑或删除，可点击操作。

前提条件 云主机的状态为“运行中”。 需保证根目录可写入，且剩余空间大于300MB。 使用SUSE 11 SP4镜像创建的云主机，内存需要大于等于4G时才能支持一键式重置密码功能。 云主机使用的VPC网络DHCP不能禁用。 云主机网络正常通行。 云主机安全组出方向规则满足如下要求： − 协议：TCP − 端口范围：80 − 远端地址：169.254.0.0/16 如果您使用的是默认安全组出方向规则，则已经包括了如上要求，可以正常初始化。默认安全组出方向规则为： − 协议：ALL − 端口范围：ALL − 远端地址：0.0.0.0/16 操作步骤 1. 检查云主机是否已安装密码重置插件CloudResetPwdAgent和CloudResetPwdUpdateAgent。 提供如下两种方法供您检查。 方法一：在管理控制台查询 a. 登录管理控制台。 b. 选择“计算 > 弹性云主机”。 c. 选中待检查的弹性云主机，并选择“重置密码”。 如果界面弹窗提示用户给云主机重置密码，表示已安装一键式重置密码插件，结束。 如果界面弹窗提示下载重置密码脚本并安装，表示未安装一键式重置密码插件，请继续执行步骤2进行安装。 方法二：登录弹性云主机查询 a. 以root用户登录弹性云主机。 b. 执行以下命令，查询是否已安装CloudResetPwdAgent和CloudResetPwdUpdateAgent。 ls lh /Cloud 查询是否已安装一键式重置密码插件 检查结果是否如上图所示。 是，表示已安装一键式重置密码插件，结束。 否，表示未安装一键式重置密码插件，请继续执行步骤2进行安装。 2. 下载一键式重置密码插件CloudResetPwdAgent。 说明： 弹性云主机需要绑定弹性公网IP才能自动更新一键式重置密码插件。 下载并解压软件包CloudResetPwdAgent.zip。 请参考获取一键式重置密码插件，下载对应的一键式重置密码插件CloudResetPwdAgent.zip并完成完整性校验。 安装一键式重置密码插件对插件的具体放置目录无特殊要求，请您自定义。 执行以下命令，解压软件包CloudResetPwdAgent.zip。 安装一键式重置密码插件对插件的解压目录无特殊要求，请您自定义。 unzip o d 插件解压目录 CloudResetPwdAgent.zip 示例： 假设插件解压的目录为/home/linux/test，则命令行如下： unzip o d /home/linux/test CloudResetPwdAgent.zip 3. 安装一键式重置密码插件。 a. 执行以下命令，进入文件CloudResetPwdUpdateAgent.Linux。 cd CloudResetPwdAgent/CloudResetPwdUpdateAgent.Linux b. 执行以下命令，添加文件setup.sh的运行权限。 chmod +x setup.sh c. 执行以下命令，安装插件。 sudo sh setup.sh d. 执行以下命令，检查密码重置插件是否安装成功。 service cloudResetPwdAgent status service cloudResetPwdUpdateAgent status 如果服务CloudResetPwdAgent和CoudResetPwdUpdateAgent的状态均不是“unrecognized service”，表示插件安装成功，否则安装失败。 说明： 您也可以根据步骤1，检查密码重置插件是否安装成功。 如果密码重置插件安装失败，请检查安装环境是否符合要求，并重试安装操作。

步骤二：配置 VPC 路由 1. 创建路由表及规则：登录网络控制台，选择“路由表”选项，创建客户自定义子网路由表。在路由表中添加路由规则，将 DeepSeek 业务子网的默认路由指向 vCPE 所在的云主机；同时添加 IPv4 网关明细路由，将目的为 DeepSeek 业务子网的流量下一跳设置为 vCPE 所在的云主机。 2. 配置安全组规则：选择“访问控制 安全组”，为 vCPE 所在云主机添加安全组规则，确保放行 DeepSeek 业务子网的流量。 通过以上配置，可实现将 DeepSeek 业务流量经由 vCPE 接入天翼云 SDWAN 网络。 步骤三：配置跨境白名单 1. 告知白名单需求：联系 SDWAN 客户经理，明确告知需要访问的海外资源白名单，例如 github 等。 2. 白名单配置与通道绑定：天翼云 SDWAN 交付团队收到您的需求后，将协助您完成白名单配置工作，把 vCPE 所属的 SDWAN 网络绑定到高速跨境通道，并开启跨境加速功能。 步骤四：开启定向加速 流量分流实现加速：跨境定向加速功能开启后，vCPE 能够依据 DeepSeek 业务主机的访问类型对流量进行智能分流：对于映射到跨境白名单的流量，vCPE 会将其送入 SD WAN 高速跨境通道进行加速；对于普通上网流量，vCPE 则将其送入境内互联网。若客户购买了 SD WAN 入云服务，vCPE 还可将 SD WAN 内网访问流量送至云网关。 您可以通过DeepSeek访问海外资源验证配置是否生效。

本节将介绍工作空间的定义、类型和基本操作等内容。 什么是工作空间？ 工作空间（Workspace）属于态势感知（专业版）顶层工作台。 空间管理： 单个工作空间可绑定普通项目，可支撑不同场景下的工作空间运营模式。 空间托管： 工作空间数据委托：单租所有工作空间按照租户实际运营汇聚到某一个工作空间做集中安全运营，跨租汇聚安全运营。 工作空间委托：跨账号安全运营，可实现工作空间委托集中安全运营查看统一资产风险、告警和事件等。 什么是数据空间？ 数据空间是进行数据分组、负载、流控单元。同一数据空间的数据共享同一载均衡策略。 什么是数据管道？ 数据传输消息主题和存储索引组合为数据管道。 工作空间通用规则 单账号单Region内最多创建5个工作空间。 一个工作空间中最多可创建5个数据空间。 一个数据空间中最多可创建20个数据管道。

您可以通过网络隔离开关，设置命名空间层面的网络策略。 例如命名空间default，网络隔离的默认状态为“隔离状态未开启”，表示“当前集群下的所有工作负载”都可以访问“命名空间default下的工作负载”。 若您需要设置其它工作负载不可以访问“命名空间default下的工作负载”，请参照以下步骤设置： 须知： 网络模型为“VPC网络”时不支持命名空间（namespace）的网络隔离，仅在“容器隧道网络”模式下支持。 前提条件 您已成功创建一个Kubernetes集群，参见购买混合集群。 您已成功创建一个命名空间，参见创建命名空间。 操作步骤 步骤 1 登录为CCE控制台，在左侧导航栏中选择“资源管理 > 命名空间”。 步骤 2 在“集群”下拉框中，选择命名空间所在的集群。 步骤 3 在待设置命名空间（例如default）后，将网络隔离一栏的“隔离状态未开启”改为“隔离状态已开启”，开启后，当前集群内的其他工作负载都不能访问此命名空间下的工作负载。 设置完成后，当前集群内其它命名空间下的工作负载都不能访问default下的工作负载。

本文主要介绍如何使用第三方镜像。 操作场景 CCE支持拉取第三方镜像仓库的镜像来创建工作负载。 通常第三方镜像仓库必须经过认证（帐号密码）才能访问，而CCE中容器拉取镜像是使用密钥认证方式，这就要求在拉取镜像前先创建镜像仓库的密钥。 前提条件 使用第三方镜像时，请确保工作负载运行的节点可访问公网。 通过界面操作 步骤 1 创建第三方镜像仓库的密钥。 单击集群名称进入集群，在左侧导航栏选择“配置项与密钥”，在右侧选择“密钥”页签，单击右上角“创建密钥”，密钥类型必须选择为kubernetes.io/dockerconfigjson，如下图所示。详细操作请参见创建密钥。 此处的“用户名”和“密码”请填写第三方镜像仓库的帐号密码。 图 添加密钥 步骤 2 创建工作负载时，可以在“镜像名称”中直接填写私有镜像地址，填写的格式为domainname/namespace/imagename:tag，并选择步骤1中创建的密钥。 步骤 3 填写其他参数后，单击“创建工作负载”。

本文汇总了密钥管理产品管理类常见问题。 是否可以导出用户主密钥？ 不可以。为确保用户主密钥的安全，用户只能在KMS中创建，并通过API接口调用实现加密等操作，无法导出用户主密钥。 创建密钥时，若您选择密钥材料来源于天翼云，则KMS系统会自动为用户主密钥生成密钥材料，且密钥材料无法单独删除、不可导出，仅支持随用户主密钥一并删除； 创建密钥时，若您选择密钥材料来源于外部，则支持手动删除密钥材料。 哪些云服务支持密钥管理系统加密数据？ KMS服务无缝对接云硬盘、对象存储和弹性文件、数据库产品，提供服务端加密能力。您只需要在创建云硬盘时，勾选“加密”功能，则可一键开启硬盘加密功能，加密过程透明无感知。 产品底层通过信封加密的方式，实现云产品中数据的加密。 用户自建主密钥与默认主密钥有何区别？ 用户主密钥：是用户通过控制台或 API 来创建的用户主密钥。您可以对用户密钥进行创建/设置别名/上传自带密钥材料/启用/禁用/轮转/版本管理/删除等操作。用户主密钥按照标准资费进行计费。 默认主密钥：是用户首次通过云服务调用KMS实现加密时，由系统自动生成的主密钥，别名以云产品命名，如“alias/ecs”。不支持禁用/删除/轮转/上传自带密钥材料等操作。默认主密钥免费提供密钥管理服务，API调用费与用户主密钥一同统计收费。

本章节主要介绍Redis单机实例 DCS Redis单机实例有四个版本选择，Redis3.0、Redis4.0、Redis5.0和Redis6.0。 单机实例特点 1. 系统资源消耗低，支持高QPS 单机实例不涉及数据同步、数据持久化所需消耗的系统开销，因此能够支撑更高的并发。Redis单机实例QPS达到10万以上。 2. 进程监控，故障后自动恢复 DCS部署了业务高可用探测，单机实例故障后，30秒内会重启一个新的进程，恢复业务。 3. 即开即用，数据不做持久化 单机实例开启后不涉及数据加载，即开即用。如果服务QPS较高，可以考虑进行数据预热，避免给后端数据库产生较大的并发冲击。 4. 低成本，适用于开发测试 单机实例各种规格的成本相对主备减少40%以上。适用于开发、测试环境搭建。 总体说来，单机实例支持读写高并发，但不做持久化，实例重启时不保存原有数据。单机实例主要服务于数据不需要由缓存实例做持久化的业务场景，如数据库前端缓存，用以提升数据读取效率，减轻后端并发压力。当缓存中查询不到数据，可穿透至磁盘数据库中获取，同时，重启服务/缓存实例时，可从磁盘数据库中获取数据进行预热，降低后端服务在启动初期的压力。 实例架构设计 DCS的Redis单机实例架构，如下图所示。 说明 Redis3.0不支持定义端口，端口固定为6379，Redis4.0和Redis5.0支持定义端口，如果不自定义端口，则使用默认端口6379。以下图中以默认端口6379为例，如果已自定义端口，请根据实际情况替换。 Redis单机实例示意图 示意图说明： VPC 虚拟私有云。实例的内部所有服务器节点，都运行在相同VPC中。 说明 VPC内访问，客户端需要与实例处于相同VPC，并且配置安全组访问规则。 客户应用 运行在ECS上的客户应用程序，即实例的客户端。 Redis实例兼容开源协议，可直接使用开源客户端进行连接，关于客户端连接示例，请参考2.2 连接实例。 DCS缓存实例 DCS单机实例只有1个节点，1个Redis进程。 DCS实时探测实例可用性，当Redis进程故障后，DCS为实例重新拉起一个新的Redis进程，恢复业务。

本节介绍如何查看已有分类映射。 操作场景 分类和映射是对云服务告警进行类型匹配和字段映射。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 运营对象”，进入运营对象的数据类页面后，选择“分类&映射”页签，进入分类映射管理页面。 5. 在分类映射管理页面中，查看已创建分类映射的详细信息。 参数名称 参数说明 名称 分类映射的名称。 数据类 分类映射所属的数据类类型。 启用状态 分类映射的启用状态。 启用：当前分类映射已启用。 禁用：当前分类映射已被禁用。 完成度 分类映射的完成度。 关联插件实例数 分类映射关联插件实例总数。 创建时间 分类映射的创建时间。 描述 分类映射的描述信息。 6. 如需查看某个分类映射的详细信息，可以单击目标分类映射的名称，进入分类映射详情页面。

本教程介绍如何通过在智能网关实例上开通SSL VPN客户端服务，实现移动办公。 应用场景 客户本地/云资源上已经部署了一台企业版CPE/企业增强版CPE/vCPE实例，随着业务不断发展，企业员工需要通过移动端远程访问本地/云上资源。针对此种需求，天翼云SDWAN可支持在智能网关实例上开通VPN客户端服务，满足移动办公员工快速、安全、实时接入内网的访问需求。 前提条件 注册天翼云账号，并完成实名认证。 CPE规格需为足企业版/企业增强版/vCPE，CPE在线且按照串接方式激活成功。 CPE已经部署安装SSL VPN服务。 操作步骤 步骤一：开通“VPN客户端”服务 1. 登录天翼云SDWAN控制台，选择“智能网关”，点击目标“智能网关”名称，进入详情页面，单击“VPN客户端” 2. 单击“开启服务”，配置客户端接入的地址池。如地址已完成配置，可直接进入下一步，添加客户端账号。 3. 单击客户端账号“添加”，填写客户端用户名和密码，也可通过上传附件方式，批量导入用户名和密码，点击“确定”，完成客户端账号分配。 步骤二：安装“VPN客户端”软件 根据操作系统类型下载对应的SSL VPN客户端软件进行安装，请参考VPN客户端下载 步骤三：建立客户端连接 在移动终端上打开SSL VPN客户端，建立连接。 1.首次配置客户端时，点击“立即新建”，进入新建 SSL 连接页面；已添加连接时，可通过点击连接列表上方的“添加连接”，进入新建 SSL VPN 连接页面。 2.配置连接信息，点击“保存”，完成新建连接。连接参数填写说明如下： 参数 填写说明 VPN 名称 输入自定义名称 网关IP 可通过天翼云SDWAN控制台“智能网关”详情页“VPN客户端”模块获取“服务器地址IP” 端口号 可通过天翼云SDWAN控制台“智能网关”详情页“VPN客户端”模块获取“服务器地址端口号” 用户名 可通过天翼云SDWAN控制台“智能网关”详情页“VPN客户端”模块获取“客户端用户名” 证书认证 选择配置“不启用” UDP 传输加速 选择配置“不启用” 描述 选择配置“不启用” 3.选中需进行连接的VPN名称，跳转至连接详情页。 4.点击“连接”按钮，输入客户端密码，可通过天翼云SDWAN控制台“智能网关”详情页“VPN客户端”模块获取“客户端密码”。 5.点击“提交”，完成内网连接。 6.连接成功后，可通过连接详情页查看连接的在线状态、在线时长、以及数据上下行传输信息、服务器信息、IP 地址等信息。

查看所有团队 1. 在左侧菜单栏依次选择 安全协作 > 团队管理 。 2. 界面展示当前组织下，所有团队列表。 添加团队 1. 在左侧菜单栏依次选择 安全协作 > 团队管理 。 2. 在全部团队列表 页中点击 新建团队 ，系统显示新建团队弹窗。 3. 输入团队名称，选择一个或多个用户作为团队的团队管理员。 4. 点击确定完成团队的添加。 修改团队 1. 在左侧菜单栏依次选择 安全协作 > 团队管理 。 2. 在全部团队列表 页中点击要修改团队右侧的管理按钮，系统显示团队修改弹窗。 3. 输入新的团队名称，调整团队管理员。 4. 点击确定完成团队的修改操作。 删除团队 1. 在左侧菜单栏依次选择 安全协作 > 团队管理 。 2. 在全部团队列表 页中点击要删除团队右侧的删除按钮，系统显示团队删除确认弹窗。 3. 点击确定完成团队的删除操作。 添加团队成员 1. 在左侧菜单栏依次选择 安全协作 > 团队管理 。 2. 在团队成员管理页中，团队下拉列表选中要添加成员的团队，系统显示该团队下所有成员。 3. 点击 添加用户至团队 ，系统显示添加弹窗。 4. 在团队角色下拉列表中选择要添加的团队角色。 5. 在用户下拉列表中，搜索要添加的用户后进行选中。可以多次搜索和选中多个用户。 6. 点击确定完成团队成员的添加操作。

本章节为您简单介绍数据安全运营中心内容。 天翼云数据安全运营中心是一个针对大数据汇聚、流动及交换共享过程中产生的数据安全风险推出的数据全流域安全管控方案，管控平台利用复杂系统建模方法和大数据智能分析，提供流动数据风险治理、数据安全合规监管能力。从数据、接口、人员三个视角建立规则模型，对数据归集、处理、共享、交换场景下的数据风险进行全域治理和合规监管，对发现的网络风险和数据安全风险进行及时预警和通报，建立适应数据动态流动的安全管控机制。 以管控平台为基础工具，可以建立数据层面从【资产识别】→【风险分析】→【监测预警】→【响应处置】→【工单管理】的数据安全监督管控闭环。

本节介绍设置桌面安全组与关闭windows防火墙。 详情请参考设置桌面安全组和设置window防火墙章节。