功能介绍 天翼云边缘安全加速平台—安全与加速服务提供页面性能优化功能，配置了页面优化功能后，会自动删除页面中的冗余内容，例如HTML页面、JavaScript和CSS中的注释内容和重复的空白符，从而达到缩小文件体积、提升文件分发效率。 注意事项 若源站文件开启了MD5校验，则不能开启页面优化功能。因为安全与加速服务进行页面优化时会改变文件的MD5值，从而导致优化后文件的MD5值和原文件MD5值的不一致。 若源站开启了压缩功能，安全与加速服务的页面优化功能将会失效。 页面优化功能和压缩功能不允许同时开启，同时开启时，压缩功能失效。 配置说明 如您需要配置页面性能优化功能，请提交工单给天翼云客服，由其帮您配置。

sectionefffcc1135a59628) 共享镜像 由其他用户共享而来的私有镜像。云主机中使用共享镜像使得用户之间可以共享和重复使用的预先配置的操作系统和软件环境模板，避免了重复的操作和配置工作。当一个用户创建满足特定需求的镜像时，其他用户可以通过共享该镜像快速获取相同配置的环境，提高部署效率和保持一致性。 详细内容参见共享镜像文档 安全产品镜像 安全产品镜像用于加载部分安全产品服务。可在云主机控制台创建云主机镜像类型中选择安全产品镜像，满足加载CSSP、DAS、LAS、OSM等安全产品的安全性需求。 详细内容参见安全产品镜像文档 云硬盘 数据块级别的块存储产品，采用分布式三副本机制，为云主机提供数据可靠性保证，可以将云硬盘挂载到弹性云主机，并可以扩容云硬盘的容量。 详细内容参见云硬盘文档 快照 某一时间点云主机状态的备份文件，用于备份或者恢复整个云主机。快照能够记录某一块云硬盘在某个时刻的数据，通过回滚将云硬盘数据恢复至快照时间点，用户可以通过快照快速创建出多个具有相同数据的云硬盘用于业务部署。 详细内容参见快照文档 云主机备份 提供对弹性云主机数据的备份保护服务。支持对弹性云主机中的所有云硬盘（系统盘和数据盘）进行备份，并利用备份数据恢复弹性云主机数据。当云主机或磁盘出现故障或者人为错误导致数据误删时，可以自助快速恢复数据。 详细内容参见云主机备份文档 VPC 基于天翼云创建的自定义私有网络，为弹性云主机提供一个逻辑上完全隔离的专有网络，您还可以在VPC中定义安全组、IP地址段、带宽等网络特性。 用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 详细内容参见VPC文档 弹性网卡 一种独立的虚拟网卡，用于连接云主机与私有网络。可以在云主机上添加/删除，实现业务的灵活扩展和迁移。 详细内容参见弹性网卡文档 安全组 为云主机提供网络安全防护机制，用于防止未经授权的访问和保护计算机网络免受恶意攻击。它是一种虚拟防火墙，用于限制入向和出向网络流量通行。用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。 详细内容参见安全组文档 弹性伸缩 弹性伸缩可以自动调整云主机数量，可按照您定义的伸缩配置和伸缩策略对弹性云主机进行伸缩，帮您节约资源和人力运维成本。 详细内容参见弹性伸缩文档 负载均衡 将访问流量自动分发到多台弹性云主机上，提高搭建在弹性云主机上应用系统对外的服务能力，提高应用程序容错能力。 详细内容参见负载均衡文档 云监控服务 云监控为云主机提供监控服务，提供性能指标监控、自动告警、历史信息查询等功能。当用户开通了弹性云主机后，无需额外安装其他插件，即可在云监控查看对应服务的实例状态。 详细内容参见云监控文档 日志审计服务 日志审计服务通过云主机日志进行全面的标准化处理，及时发现各种安全威胁、异常行为事件。 详细内容参见日志审计文档

插件简介 Everest是一个云原生容器存储系统，基于CSI为Kubernetes v1.15.6及以上版本集群对接云硬盘服务、对象存储服务、弹性文件服务 SFS、极速文件存储 SFS Turbo等存储服务的能力。 该插件为系统资源插件，kubernetes 1.15 及以上版本的集群在创建时默认安装。 说明： v1.13.11r1升级到v1.15.11r1集群后，原本v1.13的Flexvolume Fuxi容器存储由v1.15的Everest接管（插件版本v1.1.6及以上），原有功能保持不变。 Everest插件在1.2.0 版本 优化了使用对象存储时的秘钥认证功能，请在Everest插件升级完成后（从低于1.2.0的版本升级到1.2.0及以上版本），重启集群中使用对象存储的全部工作负载，否则工作负载使用对象存储能力将受影响。 约束与限制 仅支持v1.15 及以上版本的CCE集群安装本插件。 v1.13及以下版本集群创建时默认必装storagedriver（系统资源插件，必装）插件。 安装插件 本插件为系统默认安装，若因特殊情况卸载后，可参照如下步骤重新安装。 步骤 1 在CCE控制台中，单击左侧导航栏的“插件管理”，在“插件市场”页签下，单击“everest”插件下的“安装插件”。 步骤 2 在安装插件页面，选择安装的集群和插件版本，单击“下一步：规格配置”。 步骤 3 该插件可配置“单实例”或“高可用”规格，选择后单击“安装”。 待插件安装完成后，单击“返回”，在“插件实例”页签下，选择对应的集群，可查看到运行中的实例，这表明该插件已在当前集群的各节点中安装。 升级插件 步骤 1 登录CCE控制台，在左侧导航栏中选择“插件管理”，在“插件实例”页签下，选择对应的集群，单击“everest”下的“ 升级”。 说明： 如果升级按钮处于冻结状态，则说明当前插件版本是最新的版本，不需要进行升级操作。 升级everest插件时，会替换原先节点上的旧版本的everest插件，安装最新版本的everest插件以实现功能的快速升级。 步骤 2 在基本信息页面选择插件版本，单击“下一步”。 步骤 3 该插件可配置“单实例”或“高可用”规格，选择后单击“升级”即可升级“everest”插件。 卸载插件 步骤 1 在CCE控制台中，单击左侧导航栏的“插件管理”，在“插件实例”页签下，选择对应的集群，单击“everest”下的“卸载”。 步骤 2 在弹出的窗口中，单击“是”，可卸载该插件。

本节介绍服务器安全卫士（原生版）产品规格。 根据支持功能不同，服务器安全卫士（原生版）分为基础版、企业版、旗舰版和增值服务。 不同规格功能差异为： 基础版包含安全概览、资产管理、入侵检测（异常登录、暴力破解）、漏洞扫描等功能。 企业版包含安全概览、资产管理、入侵检测（异常登录、暴力破解、后门检测、可疑操作、反弹Shell、进程提权、Webshell检测）、漏洞扫描、基线管理、病毒查杀等功能。 旗舰版包含安全概览、资产管理、入侵检测（异常登录、暴力破解、后门检测、可疑操作、反弹Shell、进程提权、Webshell检测、端口蜜罐）、漏洞扫描、基线管理、病毒查杀、文件完整性保护、勒索诱饵防护等全部功能。 增值服务目前提供了网页防篡改（原生版）服务。 说明 基础版只支持部分基础功能的检测能力和防护能力。 若需对服务器进行全面防护，您需购买企业版或旗舰版防护。 若需要对云上网站提供网页防篡改防护，您需购买网页防篡改（原生版）增值服务。增值服务可单独购买或者与其他版本共同购买。 一级菜单 二级菜单 功能概述 基础版 企业版 旗舰版 增值服务 安全概览 查看待处理风险、防护状态、风险趋势、实时动态 ✓ ✓ ✓ 资产管理 资产概览 查看资产概况、主机概况趋势图、服务器区域统计，和账号、端口、进程、软件应用、自启动项的统计情况 不支持资产指纹统计 ✓ ✓ 资产管理 服务器列表 查看主机资产信息、安全风险等功能，支持模糊检索、筛选、开启防护、关闭防护、切换版本，方便用户快速管理服务器 ✓ ✓ ✓ 资产管理 资产指纹 查看账号、端口、进程、软件应用、自启动项、Web服务6种指纹的详细信息 仅支持采集端口和账户2种指纹信息，不支持手动资产指纹采集和资产历史变更 ✓ ✓ 风险管理 基线检测 对服务器操作系统、数据库、关键应用软件配置等进行检测，帮助用户提前识别出可能导致安全漏洞的不安全配置项。 × ✓ ✓ 风险管理 漏洞扫描 支持扫描Linux软件漏洞、Windows系统漏洞、WebCMS漏洞、应用漏洞，并提供漏洞的修复建议和一键修复功能。 仅支持扫描Win/Linux漏洞，不支持配置扫描策略，不支持一键修复 ✓ ✓ 风险管理 弱口令检测 通过与弱口令库对比，检测系统账号和应用账号口令是否属于常用的弱口令，提示用户修改不安全的口令。 × ✓ ✓ 入侵检测 告警中心 汇总所有入侵检测模块的告警信息，帮助用户快速了解整体安全告警概况 仅支持系统暴力破解、异常登录告警 ✓ ✓ 入侵检测 白名单管理 汇总所有白名单规则，可手动新增、删除白名单规则 不支持自定义白名单规则 ✓ ✓ 网页防篡改（原生版） 防护状态 查看防护的总体情况，帮助您实时掌握所有云上网站被篡改的总体态势。 × × × ✓ 网页防篡改（原生版） 防护管理 可为您账号下的云主机和物理机添加防护目录，可采用白名单或黑名单的方式进行添加。 可展示当前已添加的服务器的防护目录和备份目录，并进行添加、编辑和删除。 × × × ✓ 网页防篡改（原生版） 防护配额 展示订购配额的总体情况，同时可进行配额订购、续订和退订。 × × × ✓ 文件安全 病毒查杀 病毒查杀功能，支持对挖矿木马、蠕虫、勒索病毒等进行有效的检测，通过简单操作即可完成对病毒的处理。 × ✓ ✓ 文件安全 文件完整性保护 可实时监控主机上的文件，对创建文件、修改文件、删除文件及文件提权操作进行监控和告警。 × × ✓ 设置中心 安全配置 安全配置用于统一管理和配置各防护模块的规则、白名单等。 仅支持异常登录非常用IP登录设置。 不支持端口蜜罐、勒索诱饵防护、文件完整性保护。 ✓ 设置中心 配额管理 展示购买配额的情况 ✓ ✓ ✓ 设置中心 告警通知 发生入侵时实时发送告警通知 ✓ ✓ ✓ 设置中心 报表管理 周期性自动生成安全报表 仅周报 ✓ ✓

VPC终端节点产品广泛应用于多种云上跨VPC的私网服务连接场景,本文带您更快了解VPC终端节点经典应用场景。 安全灵活的服务私网连接 通过VPC终端节点产品能够将VPC私密地连接到终端节点服务，用户无需做服务公网开放或配置复杂的路由打通私有网络，提高了访问效率，提供了更加灵活、安全的组网方式。 服务提供方 服务提供方在服务VPC内配置终端节点服务，服务后端资源可以是自己VPC内的云主机、负载均衡、裸金属、虚拟IP。 当终端节点服务配置完成后，即可将己方后端资源对应的应用服务在云上进行共享。 针对不同账号间云服务共享场景，服务提供方可以配置白名单管控使用方的接入权限，安全可控。 服务使用方 其他VPC通过配置VPC终端节点与终端节点服务连接，用户访问对应终端节点的地址皆可访问对应的云服务 。

优势 概括词 简介文案 丰富 域名种类丰富 天翼云域名服务提供了丰富的域名种类供用户注册，可以提供中文、英文等几十种域名类型。 实时 实时注册 天翼云域名服务在注册时直连注册管理机构API，实现实时的注册和查询服务。 管理 完善的域名管理 在域名管理中心您可看到域名注册日期、到期日期、DNS配置、实名认证、域名证书信息等 安全 安全可信 天翼云域名服务提供一个安全可信的域名服务平台，保障用户个人隐私数据安全 性价比 高性价比 天翼云域名服务致力于让用户花最少的钱，为用户提供最好的产品和最优质的服务。

2.1 服务配置 2.1.1 调度参数配置 编辑/home/vllm/srundeepseek.sh，如果是2台或者3台，需修改N后面的数值： !/bin/bash SBATCH N 4 ... 2.1.2 模型参数配置 编辑/home/vllm/node.sh： export MODELDIR/mnt/data/hfcache/DeepSeekR1 export MODELNAMEDeepSeekR1 export VLLMIMAGEvllmopenaiv0.8.1.sif export VLLMAPIKEY"password" 其中: MODELDIR为模型具体位置 MODELNAME为显示的模型名称 VLLMIMAGE为使用的vllm apptainer容器 VLLMAPIKEY为模型密钥，默认为password 2.2 DeepSeek服务启动 cd /home/deepseek sbatch srundeepseek.sh 输出示例：Submitted batch job 403 查看日志目录下的err文件，当出现如下信息时，表示服务启动： INFO: Started server process [409] INFO: Waiting for application startup. INFO: Application startup complete. 2.3 查看DeepSeek状态 可通过slurm命令squeue，查看作业运行信息： $ squeue JOBID PARTITION NAME USER ST TIME NODES NODELIST(REASON) 403 batch DSL40S root R 8:19 4 compute[0104] 注意 可在/home/deepseek/log目录中查看当前作业的日志文件。 2.4 DeepSeek服务停止 上述示例中，DeepSeek服务的JOB ID为403，如果需停止DeepSeek服务，命令为： scancel 403 或 scancel me

本章节向您介绍弹性云主机的常用端口及用途。 添加安全组规则时，需要您指定通信所需的端口或者端口范围，然后安全组根据策略，决定允许或是拒绝相关流量转发至ECS实例。以通过SSH方式远程登录ECS为例，当安全组检测到SSH请求后，会检查发送请求的设备IP地址、登录所需的22端口是否已在安全组入方向中被放行，只有和安全组入方向规则匹配成功，该请求才会被放行，否则无法建立数据通信。 下表中提供了部分运营商判断的高危端口，这些端口默认被屏蔽。即使您已经添加安全组规则放通了这些端口，在受限区域仍然无法访问，此时建议您将端口修改为其他非高危端口。 协议 端口 TCP 42 135 137 138 139 444 445 593 1025 1068 1433 1434 3127 3128 3129 3130 4444 4789 5554 5800 5900 8998 9995 9996 UDP 135~139 1026 1027 1028 1068 1433 1434 4789 5554 9995 9996 常用端口 弹性云主机常用端口如下表所示。您可以通过配置安全组规则放通弹性云主机对应的端口。关于Windows下更多的服务应用端口说明，请您参考微软官方相关文档。 端口 协议 说明 21 FTP FTP服务开放的端口，用于上传和下载文件。 22 SSH SSH端口，用于远程连接Linux弹性云主机。 23 Telnet Telnet端口，用于通过Telnet协议远程登录弹性云主机。 25 SMTP SMTP服务器开放的端口，用于发送邮件。 80 HTTP 使用HTTP协议访问网站。 110 POP3 使用POP3协议接收邮件。 143 IMAP 使用IMAP协议接收邮件。 443 HTTPS 使用HTTPS服务访问网站。 1433 SQL Server SQL Server的TCP端口，用于供SQL Server对外提供服务。 1434 SQL Server SQL Server的UDP端口，用于返回SQL Server使用了哪个TCP/IP端口。 1521 Oracle Oracle通信端口，弹性云主机上部署了Oracle SQL需要放行的端口。 3306 MySQL MySQL数据库对外提供服务的端口。 3389 Windows Server Remote Desktop Services Windows远程桌面服务端口，通过这个端口可以连接Windows弹性云主机。 8080 代理 同80端口一样，8080 端口常用于WWW代理服务，实现网页浏览。如果您使用了8080端口，访问网站或使用代理服务器时，需要在IP地址后面加上:8080 。安装Apache Tomcat服务后，默认服务端口为8080。 137、138、139 NetBIOS NetBIOS协议常被用于Windows文件、打印机共享和Samba。 137、138：UDP端口，通过网上邻居传输文件时使用的端口。 139：通过这个端口进入的连接试图获得NetBIOS/SMB服务。

修改ECS的安全组规则（管理控制台） 本节介绍登录管理控制台后修改ECS安全组规则的操作步骤和方法。本章节以ECS为例介绍如何修改DNS和添加安全组，BMS操作步骤类似。 1. 在ECS详情页，单击安全组页签。 进入安全组列表页。 2. 单击具体的安全组名。 3. 单击“更改安全组规则”。 进入安全组详情页。 注：BMS的操作步骤： 1. 请单击表格中左上角的安全组ID。 2. 在对应安全组“操作”列单击“配置规则”。 3. 在“出方向规则”页签下单击“添加规则”。 4. 按下表所示添加规则。 表 安全组规则 协议 端口 类型 目的地址 说明 TCP 80 IPv4 100.125.0.0/16 用于从OBS桶下载Agent包到ECS或BMS中、获取ECS或BMS的元数据信息与鉴权信息。 TCP、UDP 53 IPv4 100.125.0.0/16 用于DNS解析域名，下载Agent时解析OBS地址、发送监控数据时解析云监控服务Endpoint地址。 TCP 443 IPv4 100.125.0.0/16 采集监控数据到云监控服务端。

本文介绍了API业务监测的相关功能。 功能介绍 API业务监测功能帮助用户实时查看API的业务运行数据包括QPS趋势图、源站状态码响应趋势图、天翼云节点状态码响应趋势图、响应时长趋势图、QPS峰值排行、响应时长排行，同时帮助用户发现和分析业务异常。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【API安全】菜单，并在左侧域名列表选择您要管理的域名。 3. 您可以在资产列表中选择具体一项API资产，在操作栏中点击【业务监测】跳转查看单一API粒度的业务监测数据；也可以在API资产表头右侧点击【业务监测】查看域名粒度业务监测数据。

步骤三：目标集群创建与纳管 在这个阶段，您将评估目标集群所需规格信息并创建对应的天翼云CCE集群；然后将该目标集群关联到分布式容器云平台CCE One注册集群； 云容器引擎允许用户对集群资源进行个性化选取，以精准匹配其多样化的业务诉求。如下所示的表中，列举了集群的指标参数，并提供了参考规划选择；用户应依据自身业务的确切需求，对相关设置做出合理调配，其间，我们建议尽可能保持与原集群性能配置的一致性水平。 主要指标参数 指标参数说明 本示例规划 kubernetes版本 1.27.8 1.29.3 1.29.3 网络插件 cubecni：cubecni 是云容器引擎自研的网络插件，支持基于 Kubernetes 标准的网络策略来定义容器间的访问策略 calico：使用社区 calico CNI 插件的IP模式 cubecni apiserver访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。规格选择请见：了解ELB实例规格 标准型I 控制节点数 1：单控制节点，无高可用能力，不建议在生产环境使用 3：基本的高可用能力 5：更多冗余的高可用能力 3 节点规格 分为控制节点规格和工作节点规格，如何选择可以参考：集群规格推荐规划 通用型4C8G 工作节点操作系统 公有镜像：ctyunos23.01 私有镜像：用户自定义镜像 ctyunos23.01 在目标CCE集群创建好后，需要进入天翼云分布式容器云平台CCE One控制台，将目标CCE集群关联到CCE One的注册集群以便支持后期的纳管与联邦调度能力；

2、创建持久卷声明（PVC） 进入主菜单“存储”——“持久卷声明”，单击左上角“创建持久卷声明”； 在创建对话框，配置持久卷声明PVC的相关参数。配置项说明如下： 配置项 说明 名称 PVC的名称。 存储声明类型 当前支持云盘、弹性文件、对象存储、并行文件和海量文件，这里选择云盘。 具体创建页中展示的存储类型由当前资源池支持情况决定。 是否指定存储类 在静态创建的场景下，除非持久卷指定了存储类，否则不需要指定存储类。 是否指定存储卷 在静态创建的场景下，需要指定上一步的存储卷。 持久卷名称 选择上一步创建的PV名称。 参数配置完成后，点击“确定”。创建成功后，可以在持久卷声明列表查看。 进入持久卷声明列表页，等待PVC状态为“已绑定” 。 3、创建工作负载 1. 登录“云容器引擎”管理控制台； 2. 在集群列表页点击进入指定集群； 3. 进入主菜单“工作负载”——“有状态”，单击左上角“创建SatefulSet”； 4. 在创建对话框，数据存储栏中，选择添加存储卷，卷类型选择“已有存储卷申明（PVC）”，操作栏选择“选择已有存储申明”；根据自己需要设置挂载路径、子路径和权限， 参数说明： 挂载路径：存储挂载到容器后，容器内部显示的路径地址。不建议使用类似于/usr或者/tmp类似的已有的容器目录路径，可能会造成目录相互遮蔽。 子路径：需要挂载的存储源地址的子目录 权限：读写/只读 示例：将PVC“disk”对应存储的subpath指向的子目录（subpath为空表示使用根目录），挂载到容器里的/test路径上。 5. 所有的信息都配置完成后，单击“提交”，创建成功后，您就可以正常使用数据卷。

本小节介绍证书管理服务应用场景。 公众服务类网站、小程序、APP等满足安全技术要求 适用客户：通过互联网向公众提供服务的政府、金融、中小企业等客户。 解决问题：面向公众提供服务的各类网站、小程序、APP，解决用户在浏览器打开网页时提示“不安全”，导致用户无法访问网站信息或APP/小程序无法上架的问题，可验证企业身份，满足行业安全要求，确保站点安全，屏蔽钓鱼网站，提升搜索引擎收录排名 等保、密评等合规监管场景 适用场景：政府、医疗、央国企等领域需要通过等保、密评的客户。 解决问题：满足合规监管机构要求，适用等保、密评场景，可通过国密证书实现传输机密性和完整性保护。

本节以下面这个所Secret为例，具体介绍Secret的用法。 密钥创建后，可在工作负载环境变量和数据卷两个场景使用。 注意 如下密钥为CCE系统使用的，请勿对其做任何操作。 不要操作kubesystem下的secrets。 不要操作任何命名空间下的defaultsecret、paas.elb。其中，defaultsecret用于SWR的私有镜像拉取，paas.elb用于该命名空间下的服务对接ELB。 使用密钥配置Pod的数据卷 使用密钥设置Pod的环境变量 本节以下面这个所Secret为例，具体介绍Secret的用法。 apiVersion: v1 kind: Secret metadata: name: mysecret type: Opaque data: username: 需要用Base64编码 password: 需要用Base64编码 注意 在Pod里使用密钥时，需要Pod和密钥处于同一集群和命名空间中。 使用密钥配置Pod的数据卷 密钥可以在Pod中作为文件使用。如下面的Pod示例所示，mysecret密钥的username和password以文件方式保存在/etc/foo目录下。 apiVersion: v1 kind: Pod metadata: name: mypod spec: containers: name: mypod image: redis volumeMounts: name: foo mountPath: "/etc/foo" readOnly: true volumes: name: foo secret: secretName: mysecret 另外，还可以指定密钥的目录路径和权限，username存放在容器中的/etc/foo/mygroup/myusername目录下。 apiVersion: v1 kind: Pod metadata: name: mypod spec: containers: name: mypod image: redis volumeMounts: name: foo mountPath: "/etc/foo" volumes: name: foo secret: secretName: mysecret items: key: username path: mygroup/myusername mode: 511 挂载Secret到数据卷还可以在界面上进行操作，在创建工作负载时，设置容器的高级设置，选择数据存储，添加本地磁盘，选择Secret即可配置。具体请参见密钥(Secret)挂载。

本章节介绍了云上使用分布式消息服务RocketMQ需要准备的云主机、网络等相关环境。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为RocketMQ实例提供一个隔离的、用户自主配置和管理的虚拟网络环境。 1. 在创建RocketMQ实例前，确保已存在可用的虚拟私有云和子网。 创建方法，请参考创建虚拟私有云和子网。如果您已有虚拟私有云和子网，可重复使用，不需要多次创建。 在创建VPC和子网时应注意如下要求： 创建的VPC与使用的分布式消息服务RocketMQ应在相同的区域。 创建VPC和子网时，配置参数建议使用默认配置。 2. 在创建RocketMQ实例前，确保已存在可用的安全组。 创建方法，请参考创建安全组。如果您已有安全组，可重复使用，不需要多次创建。 在创建安全组时应注意如下要求： 创建安全组时，“模板”选择“自定义”。 使用分布式消息服务RocketMQ必须添加表1所示安全组规则，其他规则请根据实际需要添加。 表1 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 8100 0.0.0.0/0 通过内网访问元数据节点的端口 入方向 TCP 1010010199 0.0.0.0/0 访问业务节点的端口 说明 安全组创建后，系统默认添加的入方向“允许安全组内的弹性云主机彼此通信”规则和出方向“放通全部流量”规则。此时使用内网通过同一个VPC访问RocketMQ实例，无需添加表1的规则。

安全运维报告 根据用户云环境的安全态势及风险威胁处置数据生成安全运营报告。 安全漏洞扫描 安全管理中心集成主机漏洞及应用漏洞扫描功能，能够帮助用户高效、全方位的检测出服务环境中的各类脆弱风险，并提供专业、有效的安全分析和修补建议。 组件集中管理 安全管理中心集中管理全网安全专区能力组件，已部署的组件规格、部署区域、版本许可信息、运行状态等配置信息统一展现，安全管理员从天翼云控制台即可单点登录所有安全组件进行策略配置及备份策略，无需繁琐的分别登录组件进行管理。

参数 说明 虚拟私有云 VPC即虚拟私有云，是通过逻辑方式进行网络隔离，提供安全、隔离的网络环境。 选择创建集群需要的VPC，单击“查看虚拟私有云”进入VPC服务查看已创建的VPC名称和ID。如果没有VPC，需要创建一个新的VPC。 说明 此处您选择的VPC必须包含网段（CIDR），否则集群将无法创建成功。新建的VPC默认包含网段（CIDR）。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 选择创建集群需要的子网，可进入VPC服务查看VPC下已创建的子网名称和ID。 安全组 安全组是一个逻辑上的分组，为同一个VPC内具有相同安全保护需求并相互信任的弹性云主机提供访问策略。单击“查看安全组”可了解安全组详情。 说明 请确保安全组的“端口范围/ICMP类型”为“Any”或者包含端口9200的端口范围。

本文介绍用户访问集群API Server的方式有哪些？ 用户访问集群API Server的方式有哪些？ 当前云容器引擎提供通过证书认证访问集群API Server的方式： 集群API方式：集群API需要使用证书认证访问，在云容器引擎控制台集群信息 > 连接信息获取kubeconfig文件， 通过kubectl直接连接集群API Server。

云应用引擎具有广泛的应用场景，帮助您的企业极速上云、从容应对突发性流量洪流和灵活启停应用环境，降低资源成本。 应用托管 您只需将微服务代码打包为ZIP包，或者制作为 Docker 容器镜像，然后通过代码包或者容器镜像的方式部署应用，由 CAE 提供底层资源调度、部署、灰度发布，以及微服务治理和应用监控等能力。同时提供丰富的高级应用配置项，实现业务快速迁移上云。 零改造：CAE 能够平滑迁移应用，零改造地完成 Spring Cloud 或 Dubbo 应用快速上云 免运维：免运维底层基础设施，例如 IaaS、K8s、微服务组件和 APM 组件等，无需自建注册中心，极大降低开发运维成本 低门槛：CAE 能够一站式开箱使用全套微服务能力，提供自动构建镜像、灰度发布、流量控制、环境隔离、应用监控等企业级高级特性 一站式运维管理 提供基础监控、应用监控、告警管理、事件订阅、一键启停和日志管理等功能，满足日常的业务运维需求

本文介绍了自定义集群APIServer证书SAN的用户指南。 操作场景 主题备用名称（Subject Alternative Name，缩写SAN）允许将IP地址、域名等值与证书关联。SAN通常用于TLS握手阶段客户端校验服务端证书中的SAN是否与客户端实际访问的IP地址或域名匹配。 当客户端无法直接访问集群内网私有IP地址或公网IP地址，如域名访问、DNAT访问等场景，此时可将能直接访问的IP地址或域名通过SAN的方式签入集群服务端证书，以支持客户端开启双向认证，提高安全性。 此外，跨域访问或代理访问场景可通过自定义SAN实现。域名访问场景的典型使用方式如下： 配置容器组的hostAliases或配置主机/etc/hosts，添加域名映射； 内网DNS使用，云解析服务支持配置集群弹性IP与自定义域名的映射关系； 自建DNS服务器，自行添加A记录。 添加自定义SAN 1. 登录CCE控制台； 2. 在集群列表中单击集群名称，进入集群信息页； 3. 点击“自定义证书SAN”旁的编辑按钮，在弹窗口中添加IP地址或域名，然后单击“确认”。 4. 专有版集群说明： 1. 修改SAN会短暂重启kubeapiserver，一般3到10分钟后可看到修改后的端口范围，请耐心等待及避免在此期间操作集群； 2. 请输入域名或 IP，以英文逗号（,）分隔，单个域名长度不超过253个字符，最多32个。 5. 托管版集群说明： 1. 修改SAN会短暂重启kubeapiserver，一般耗时3到10分钟，请耐心等待及避免在此期间操作集群； 2. 请输入域名或 IP，以英文逗号（,）分隔，单个域名长度不超过253个字符，最多32个。

支持审计的关键操作列表 事件来源 资源类型 操作事件 字段 安全 数据库审计 实例删除 deleteVm 安全 数据库审计 查询实例列表 queryVoList 安全 数据库审计 更新实例备注 updateVm 安全 数据库审计 实例关闭 halt 安全 数据库审计 实例开启 start 安全 数据库审计 查询VPC列表 getVpcList 安全 数据库审计 查询子网列表 getSubnetList 安全 数据库审计 查询安全组列表 getSecurityList 安全 数据库审计 查询弹性IP列表 getEipList 安全 数据库审计 更新实例弹性IP eipUpdate 安全 数据库审计 查询可用区列表 getZoneList 查看云审计事件 1. 开通云审计服务。 具体操作请参见开通云审计服务云审计。 2. 在事件列表中，上方时间选择需要筛选的时间段，筛选条件选择事件来源 为“安全”，资源类型选择“数据库审计”，单击“查询”即可。 3. 在审计事件右侧点击“查看详情”，可以看到更详细的事件信息。 详细操作参见查看审计事件云审计。更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

本文向您介绍VPN与其他云服务的关系。 表VPN连接与其他服务的关系 服务名称 交互功能 虚拟私有云（Virtual Private Cloud，VPC） 通过VPC服务，创建VPC，用户数据中心才可以通过VPN上云。 弹性云主机（Elastic Cloud Server，ECS） 通过ECS服务，定义安全组中的规则，将VPC中的弹性云主机划分成不同的安全域，以提升弹性云主机访问的安全性。 企业路由器（Enterprise Router，ER） 通过企业路由器ER，用户数据中心上云可以实现VPN和专线双通道互备。 仅企业版VPN网关支持，经典版VPN网关不支持。 NAT网关（NAT Gateway） 通过NAT网关服务，可以实现用户数据中心服务器访问公网或为公网提供服务。 弹性公网IP（EIP） 通过弹性公网IP，可以实现VPN网关通过公网和对端网关进行网络互通。 仅企业版VPN支持，经典版VPN不支持。 云监控（Cloud Eye） 通过云监控服务，查看VPN资源的监控数据，还可以获取可视化监控图表。 统一身份认证服务（Identity and Access Management，IAM） 通过IAM服务，针对您在云上创建的VPN资源，向不同用户设置不同的使用权限，可以帮助您安全地控制VPN资源的访问权限。 标签管理服务（Tag Management Service，TMS） 使用标签来标识虚拟专用网络，便于分类和搜索。 云审计服务（Cloud Trace Service，CTS） 记录与VPN服务相关的操作事件。

组件来源 说明 Jar包 支持以下上传方式： 从OBS对象存储选择对应的软件包。需要提前将软件包上传至OBS桶中，相关操作请参考上传文件“帮助中心 > 对象存储服务 > 用户指南 > 控制台指南 > 入门 > 上传文件”。 War包 支持以下上传方式： 从OBS对象存储选择对应的软件包。需要提前将软件包上传至OBS桶中，相关操作请参考上传文件“帮助中心 > 对象存储服务 > 用户指南 > 控制台指南 > 入门 > 上传文件”。 Zip包 支持以下上传方式： 从OBS对象存储选择对应的软件包。需要提前将软件包上传至OBS桶中，相关操作请参考上传文件“帮助中心 > 对象存储服务 > 用户指南 > 控制台指南 > 入门 > 上传文件”。 镜像包 容器应用需要基于镜像创建，若选择私有镜像，用户首先需要将镜像上传至镜像仓库。选择“软件中心 > 镜像仓库”，参考管理镜像将镜像上传至镜像仓库。

请求头 名称 描述 是否必须 ContentMD5 数据的base64编码的128位MD5。此请求头必填，以便校验数据的完整性。 是 请求参数 名称 描述 是否必须 ::: BucketName 存储桶名称。 是 ObjectLockConfiguration 合规保留配置信息的容器。 类型：容器。 子节点：ObjectLockEnabled。 是 ObjectLockEnabled Bucket是否开启合规保留功能。 类型：枚举 取值： Enabled：开启合规保留。 Disabled：不开启合规保留。 父节点：ObjectLockConfiguration。 是 Rule 设置合规保留规则。 类型：容器。 父节点：ObjectLockConfiguration。 子节点：DefaultRetention。 否 DefaultRetention 默认的合规保留配置。 类型：容器。 父节点：Rule。 子节点：Mode、Days或Years二选一。 是 Mode 合规保留模式。 类型：枚举。 取值：COMPLIANCE：合规保留。 父节点：DefaultRetention。 是 Days 合规保留的天数。 类型：整型。 取值：整数形式，1~36500。 说明 年与天的换算关系：1年等于365天。 父节点：DefaultRetention。 条件 Days和Years必须二选一。 Years 合规保留的年数。 类型：整型。 取值：整数形式，1~100。 说明 年与天的换算关系：1年等于365天。 父节点：DefaultRetention。 条件 Days和Years必须二选一。

操作系统内核热补丁 天翼云支持热补丁修复技术，可在无需重启系统的情况下快速修复漏洞，有效提升系统的可用性与安全性。借助天翼云CTyunOS操作系统所提供的热补丁功能，用户能够在系统运行过程中动态加载并应用补丁，及时修复已知漏洞或缺陷，整个过程无需重启系统，也不会中断正在运行的服务。用户可根据实际需求，灵活下载和安装热补丁，实现业务无感知的安全更新。更多信息可查看++CTyunOS系统官网热补丁公告++ 使用服务器安全卫士 服务器安全卫士（原生版）为您免费提供操作系统安全加固能力，包括资产指纹采集、漏洞扫描、暴力破解和异常登录告警等基础防护功能。在您购买弹性云主机时，系统将自动为您开启“基础版”免费防护服务，为您的操作系统提供基础安全保障。基础版功能完全免费，建议用户保持开启状态；若业务有更高安全需求（如漏洞修复、防勒索、网页防篡改），可升级至企业版或旗舰版，获取更全面的防护能力。更多信息，请参见++主机安全防护最佳实践++ 提升操作系统安全性 使用云审计 云审计是天翼云提供的云账号在控制台操作记录的查询和投递服务，可用于支撑合规审计、安全分析、操作追踪和问题定位等场景。同时云审计提供事件跟踪功能，支持将操作日志转储至对象存储或者日志审计（原生版）产品实现更长时间的存储，满足等保合规要求。更多信息，请参见++云审计++。

云服务 日志描述 日志 日志生命周期范围 Web应用防火墙（Web Application Firewall，WAF） 攻击日志 wafattack 7~30 天 Web应用防火墙（Web Application Firewall，WAF） 访问日志 wafaccess 7~30 天 态势感知（专业版） 合规基线日志 secmasterbaseline 7~10 天 对象存储服务（Object Storage Service，OBS） 访问日志 obsaccess 7~15 天 入侵防御系统（Intrusion Prevention System，IPS） 攻击日志 nipattack 7~180 天 统一身份认证（Identity and Access Management，IAM） 审计日志 iamaudit 7~180 天 企业主机安全（Host Security Service，HSS） 主机安全告警 hssalarm 7~180 天 企业主机安全（Host Security Service，HSS） 主机漏洞扫描结果 hssvul 7 天 企业主机安全（Host Security Service，HSS） 主机安全日志 hsslog 7~15 天 数据安全中心（Data Security Center，DSC） 告警日志 dscalarm 7~180 天 AntiDDoS流量清洗（AntiDDoS） 攻击日志 ddosattack 7~180 天 数据库安全服务（Database Security Service，DBSS） 告警日志 dbssalarm 7~180 天 云审计服务（Cloud Trace Service，CTS） 云审计服务日志 ctsaudit 7~180 天 云防火墙（Cloud Firewall，CFW） 访问控制日志 cfwblock 7~30 天 云防火墙（Cloud Firewall，CFW） 流量日志 cfwflow 7~15 天 云防火墙（Cloud Firewall，CFW） 攻击事件日志 cfwrisk 7~180 天 API网关（API Gateway） 访问日志 apigaccess 7~180 天

插件版本 支持的集群版本 更新特性 社区版本（仅1.17及以上版本集群支持） 1.16.4 /v1.(17192123)./ 新增beta检查项ScheduledEvent，支持通过metadata接口检测宿主机异常导致虚拟机进行冷热迁移事件。该检查项默认不开启。 1.16.3 /v1.(17192123)./ 新增ResolvConf配置文件检查。 1.16.1 /v1.(17192123)./ 新增nodeproblemcontroller。支持基本故障隔离能力。 新增PID、FD、磁盘、内存、临时卷存储池、持久卷存储池检查项。 1.15.0 /v1.(17192123)./ 检测项全面加固，避免误报。 支持内核巡检。支持OOMKilling事件，TaskHung事件上报。 1.14.11 /v1.(171921)./ 适配CCE 1.21集群 1.14.5 /v1.(1719)./ 修复监控指标无法被获取的问题 1.14.4 /v1.(1719)./ 适配ARM64节点部署 适配containerd运行时节点 1.14.2 /v1.(1719)./ 适配Kubernetes 1.19集群，新增支持Ubuntu操作系统和安全容器场景 1.13.8 /v1.15.11v1.17./ 修复容器隧道网络下CNI健康检查问题 调整资源配额 1.13.6 /v1.15.11v1.17./ 修复僵尸进程未被回收的问题 1.13.5 /v1.15.11v1.17./ 增加污点容忍配置 1.13.2 /v1.15.11v1.17./ 增加资源限制，增强cni插件的检测能力

阶段 项目活动 工作内容 第一阶段：咨询服务启动 等保测评技术指导、讲解 介绍整体服务工作 第一阶段：咨询服务启动 等保测评技术指导、讲解 测评内容介绍 第一阶段：咨询服务启动 等保测评技术指导、讲解 确认保密管理内容 第一阶段：咨询服务启动 等保测评技术指导、讲解 介绍风险管理措施 第一阶段：咨询服务启动 等保测评技术指导、讲解 讲解等保要求细则 第一阶段：咨询服务启动 等保测评技术指导、讲解 输出《等保测评技术指导》 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 依据等级保护要求，对客户系统进行安全自评估，进行差距分析 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全物理环境 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全通信网络 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全区域边界 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全计算环境 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 差距分析 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 输出《差距分析评估》 第三阶段：整改建议 （仅标准版提供） 根据差距分析，提供整改建议 差距分析整理，提供差距建议，输出《差距整改方案》

本文介绍如何使用边缘安全加速平台实现企业零信任办公。 边缘安全加速平台提供零信任网络能力，帮助企业快速构建比传统VPN更安全、更便捷的零信任办公安全体系。企业在边缘安全加速平台完成配置和操作后，能够实现员工远程零信任VPN办公、上网行为流量管控和终端基线安全准入等场景效果。本文介绍零信任网络的业务原理和使用逻辑流程，帮助企业管理员在开通边缘安全加速平台零信任服务后，快速入门企业零信任办公配置使用流程。 什么是企业内网安全访问 天翼云边缘安全加速平台零信任服务基于软件定义边界SDP（Software Defined Perimeter）架构，企业无需改造原有网络架构也无需暴露公网地址即可完成远程访问企业内网业务系统，实现应用、端口隐藏，并基于零信任“永不信任，持续验证”理念，对行为、环境、身份进行动态授权，打造兼具安全、性能、稳定的零信任网络。当您的员工需要远程访问企业的内部业务系统时，您可以在边缘安全加速平台控制台进行配置，完成配置后，企业的员工下载并安装零信任客户端，完成身份合法性识别后，即可安全地远程访问您的内网业务系统。 操作说明 登录边缘安全加速平台，在首页全部产品栏目，选择零信任，进入产品配置页。 首次订购使用零信任，需要进行设置企业认证标识，企业标识为登录客户端的重要标识，建议使用企业名称等方便企业办公终端用户记忆的信息作为企业认证标识，暂不允许控制台修改，若有需要可提交工单进行配置。

本节介绍了：创建一个无状态工作负载——查看容器实例事件的用户指引。 在工作负载实例详情的界面中，选择事件可以查看负载事件及容器事件。

服务版本 适用场景说明 基础版 适用个人网站防护。 标准版 适用中小型网站，对业务没有特殊的安全需求。 企业版 适用中型企业级网站或服务对互联网公众开放的网站，关注数据安全且具有高标准的安全需求。 旗舰版 适用中大型企业网站，具备较大的业务规模，或是具有特殊定制的安全需求。

本小节介绍筛选未安装Agent的主机 1、录管理控制台。 2、在页面左上角单击选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在安装与配置页面，选择“Agent管理 > Agent不在线”页签，查看未安装Agent的云服务器。