本节介绍风险阻断的用户指南。 概述 通过风险阻断功能，配置阻断规则以及可放通的规则和漏洞白名单，能够在拉取镜像时检查容器镜像是否符合阻断策略，并采取阻断措施，返回相关阻断说明。提高容器运行环境的安全系数。 添加风险阻断策略 本功能只能在企业版实例使用，对于个人版实例不支持使用此功能。 1. 进入容器镜像服务控制台。 2. 在顶部菜单栏，选择所需资源池。 3. 在实例页面中选择已开通的企业版实例。 4. 在企业版实例管理页面的左侧菜单上选择 "安全可信" "风险阻断"，在界面左上角点击“配置阻断策略”按钮。 5. 在弹出界面中设置策略所属命名空间、阻断规则、放通未扫描和漏洞白名单等信息，点击“确定”，各参数说明如下： 参数 是否必填 说明 命名空间 必填 本策略关联的命名空间，凡是此命名空间下的所有镜像拉取都会使用当前策略进行检查。 阻断规则 必填 可选项包括：严重、高危、中危和低危。凡是所拉取的镜像包含规则指定漏洞等级及以上的，则会被阻断拦截。 放通未扫描 非必填 当所拉取的镜像因正在扫描或者扫描失败而无法获取扫描结果的，需要勾选此选项方可正常拉取，否则仍然会被阻断拦截。 漏洞白名单 非必填 可录入一条或多条漏洞的CVE ID（多条用英文逗号“,”分隔），如果镜像安全扫描结果中包含该漏洞ID，将被阻断规则忽略。

本文以VPC终端节点的典型使用场景为例,介绍如何使用VPC终端节点,帮助您更快上手VPC终端节点。 使用场景 通过使用VPC终端节点，您可以实现在VPC内部的资源之间进行私密和安全的通信，无需通过公共网络，从而大大降低数据被窃取或被第三方监控的风险，适用于同一地域云资源的跨VPC通信和线下节点访问云上资源的场景。 场景 说明 同一地域云资源的跨VPC通信 VPC终端节点可实现同一地域云资源的跨VPC通信。通过购买终端节点服务和相应的终端节点，即可实现云服务的跨VPC访问，具体包括： 配置同帐号跨VPC通信的终端节点。 配置不同帐号跨VPC通信的终端节点。 线下数据中心访问云上资源 VPC终端节点可实现本地数据中心与云上资源之间的安全高效通信，包括配置访问ZOS服务内网地址的终端节点。

参数 是否必填 参数类型 说明 示例 下级对象 dbversion 否 String 数据库版本，默认为12.0; 需根据资源池支持的版本来填写，建议填12.0。 12.0 vpcId 是 String VPC ID，可通过接口【查询VPC列表】获取 b3572a695af8458bbf146fdbf31f7063 subnetId 是 String 子网ID，可通过接口【查询子网列表】获取 7d3fe61db2794c2ab190afd9754125b4 secgroups 是 String 安全组ID，可通过接口【查询安全组列表】获取 aa8ddfb7f0424c57bb257df09d5c732a cpuNum 是 Integer CPU核数和内存大小，需按照资源池所支持的实例规格填写。常用的规格有：2C4G，2C8G，4C8G，4C16G，8C16G，8C32G，16C32G，16C64G 2 memSize 是 Integer 4 edition 是 String 可选值：standby（主备）、single（单机） standby dbName 是 String 数据库名称 admin dbPassword 是 String 数据库密码，832位，且必须含有数字，小写字母，大写字母，特殊字符

本节介绍云下一代防火墙部署逻辑说明及风险说明。 部署逻辑说明 云墙上架会串联在VPC网络中，将原有云业务主机直连互联网的方案修改为通过云墙与互联网进行交互。 改变弹性IP绑定位置至云墙。 云内主机通过云墙访问互联网。 安全产品上线割接操作及风险 根据云下一代防火墙部署逻辑说明，本安全产品部署完成后需进行如下流程才可完成业务上线： 割接操作 ：将弹性IP从云主机上迁移，并重新绑定在云墙对应网卡上。 割接影响 ：业务的公网访问会中断。 割接时长 ：视情况而定。 注意点 ：业务特殊，还涉及业务中断风险，还请提前申请割接处理空窗期。 处理建议： 请先内部申请业务空窗期，保障将业务影响降到最低。

导出遵从包 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防> 基线检查”，进入基线检查页面后，选择“安全遵从包”页签，默认进入遵从包页面。 5. 在下方遵从包列表中勾选需要导出的遵从包，并单击遵从包列表左上角的“导出”。 6. 在弹出的对话框中，选择导出格式并自定义勾选需要导出的列。 7. 单击“导出”。 编辑、启用、停用或删除遵从包 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防> 基线检查”，进入基线检查页面后，选择“安全遵从包”页签，默认进入遵从包页面。 5. 在遵从包列表中，对遵从包进行编辑、启用、停用或删除操作。 操作名称 操作说明 编辑自定义新增的遵从包 1. 单击目标自定义新增的遵从包名称。 2. 编辑基本信息：在目标遵从包详情页面中，可以单击遵从包名称、描述等信息后的，编辑后，单击，保存修改。 3. 编辑遵从包内容：在遵从包内容所在栏中单击“编辑”，编辑遵从包节点或选择需要关联的检查项，编辑完成后单击“确认”。 停用遵从包 1. 单击目标遵从包所在行操作列的“停用”。 2. 在弹出的确认框中，单击“确定”。 3. 停用后，在遵从包页面可查看对应遵从包的状态变更为“未启用”。 启用遵从包 1. 单击目标遵从包所在行操作列的“启用”。 2. 在弹出的确认框中，单击“确定”。 3. 启用后，在遵从包页面可查看对应遵从包的状态变更为“启用”。 删除自定义新增的遵从包 仅自定义遵从包的且“状态”为“未启用”的遵从包支持删除。 1. 单击目标自定义新增的遵从包所在行操作列的“删除”。 2. 在弹出的对话框中，确认删除并输入“DELETE”，单击“确定”。

本文为您介绍推理服务API调用说明。 终端节点 主要作用：用户信息的发送和接收，信令信息的控制处理、安全保护等作用。 终端节点： 接口构造 请求域名 终端请求地址： 通信协议 接口通过 HTTPS 进行通信，保护用户数据的机密性和完整性，确保网络通信的安全性。 版本管理 为区分接口版本，在http请求路径中加入版本信息，目前版本为v1，因而请求的url前缀为： 请求鉴权 请求header中需要填入Authorization鉴权信息，Authorization对应值应为Bearer + 平台上获取的服务组App Key AppKey获取方法：登录平台门户，一站式智算服务平台>模型服务>服务接入>创建服务组>绑定服务>获取appKey 为避免被安全护栏拦截，建议在http请求header中填入UserAgent信息 浏览器或客户端标识：Chrome/58.0.3029.110、Mozilla/5.0、AppleWebKit/537.36、Safari/537.36、Windows NT 10.0、PostmanRuntimeApipostRuntime/1.1.0等 请求示例 plaintext 请求路径： 为具体的功能路径，如/chat/completions 请求方式：POST 请求header必填项： Authorization: Bearer AppKey ContentType: application/json 其他header： UserAgent: PostmanRuntimeApipostRuntime/1.1.0

本文介绍如何检测弹性云主机与Redis之间的网络连接 新建Redis实例后，或在使用过程中突然无法连接Redis实例时，您可以在ECS的命令行中使用PING命令检测ECS与Redis实例网络是否能够连通。 操作步骤： 1.获取Redis实例的连接地址，更多信息请参见查看链接地址 2.登录客户端所在的ECS实例，并在命令行中执行PING命令。例如Redis实例的连接地址为{IP}，命令示例如下。 ping {IP} 说明 如果需要持续检测连通性请使用ping t命令。 Linux系统执行该命令后将会持续发送ping请求，您可以按下键盘上的Ctrl键加C键停止执行并统计结果。 结果分析： 如果所有请求都成功收到了回复，则连接正常。 如果未收到正常回复，则连接异常，常见失败原因如下： ECS异常行为触发安全策略，导致服务被禁止。请检查服务器，在安全组的出方向设置精确的规则，例如限定该ECS只能访问业务需要的地址和端口，此处为Redis实例的33016端口，更多信息请参见本节如何配置安全组 您的本地设备由于网络防火墙等自身原因，无法连接到Redis，请进行检查。

本节主要介绍OOS产品的优势。 地域广 对象存储（经典版）I型的资源池分布在全国多个省、市、自治区及直辖市，这些资源池均直连骨干网的数据中心，实现全国数据的低延迟访问。 带宽充足 天翼云拥有遍布全国的通信服务网络，具有强大的带宽优势，轻松应对高峰及突发流量。同时也可提供专线，满足网络延迟和安全等级要求。 稳定高效 物理层面：全方位数据保障措施，部署在8级抗震、一级耐火、一级防水、通过ISO27001认证的的数据中心内部。 传输层面：所有操作均可通过HTTPS协议进行，确保数据传输过程加密，以保证传输安全。 存储层面：所有上传数据被分片存储在不同的节点、不同的磁盘，任何节点或磁盘失效，均不影响服务的正常运行。 接入层面：提供多种鉴权和授权机制（包括签名认证、细粒度的身份与权限管控、防盗链、限制IP黑白名单访问、日志访问记录、WORM特性等），保证操作安全。 持久可用 服务设计可用性不低于99.99%。 数据设计持久性可高达99.99999999999%。 存储规模可大规模在线扩展，不影响对外服务。 支持多副本和纠删码冗余，可根据对象的重要程度选择不同的冗余方式。

本章节为媒体存储跨域资源共享概述。 使用场景 跨域资源共享（CrossOrigin Resource Sharing），简称CORS，是一种浏览器安全规范机制。在网络请求中，当通信双方处于不同一个域时，由于同源策略的影响，双方是无法进行内容和脚本交互的。如果双方需要进行通信，则可以通过配置CORS来实现。 即在 HTTP 请求过程中，从一个域去请求另一个域的资源，只要协议、域名、端口有任何一个不相同，都会被浏览器当作是不同的域，这是浏览器为了保证跨域的安全而制定的一个安全策略，即同源策略。 为了更好的解释同源，您可以查看下表中相关的同源检测示例。以 示例URL（仅作为示例使用） 访问结果 原因 成功 协议、域名、端口都相同 成功 协议、域名、端口都相同 失败 域名、端口相同，协议不同 失败 协议、域名相同，端口不同 失败 协议、端口相同，域名不同 媒体存储针对跨域访问，提供跨域资源共享设置，对存储桶中的对象设置跨域访问 。

本文为API接口鉴权签名生成指南。 完整的EOP请求，除了业务参数以外，还必须在请求头中包含以下鉴权信息： ctyuneoprequestid：请求ID eopdate：请求时间 EopAuthorization：构造的鉴权头（关键） 下面说明具体的签名生成流程。 一、准备工作 1. 获取密钥 ：登录天翼云控制台 → 账号中心 → 安全设置 → 用户AccessKey，获取ctyuneopak和ctyuneopsk。 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的用户名， 点击进入【账号中心】。在账号左侧菜单栏中单击“安全设置”。 3. 在安全设置页面点击【登录保护】Tab，在“用户AccessKey”行，点击“新建”按钮，获取访问密钥（AK/SK）。 4. 在创建AccessKey弹窗中复制AK/SK。 2. 生成时间：请求时间eopdate必须为北京时区的当前时间，格式为YYYYMMDDTHHMMSSZ（如：20211221T163614Z）。 3. 请求ID：每个请求都必须有一个唯一的ctyuneoprequestid，推荐用UUID生成。 二、签名生成流程（4步完成） 步骤1：构造待签名字符串 待签字符串由三部分构成：“需要签名的header参数”、“查询参数（如果有）”、“请求体（如果有）”，通过"n"连接。 plaintext 待签名字符串 排序后的请求头 + "n" + 排序后的查询参数 + "n" + 请求体SHA256哈希值 具体操作： 请求头处理 ：必须包含ctyuneoprequestid和eopdate，按header名称字母顺序排序。 plaintext header1:value1nheader2:value2nheader3:value3 查询参数处理 ：按参数名字母顺序排序，用&连接。 plaintext param1value1¶m2value2 请求体处理：对原始请求体进行SHA256哈希，转为16进制字符串。

本文为API接口鉴权签名生成指南。 完整的EOP请求，除了业务参数以外，还必须在请求头中包含以下鉴权信息： ctyuneoprequestid：请求ID eopdate：请求时间 EopAuthorization：构造的鉴权头（关键） 下面说明具体的签名生成流程。 一、准备工作 1. 获取密钥 ：登录天翼云控制台 → 账号中心 → 安全设置 → 用户AccessKey，获取ctyuneopak和ctyuneopsk。 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的用户名， 点击进入【账号中心】。在账号左侧菜单栏中单击“安全设置”。 3. 在安全设置页面点击【登录保护】Tab，在“用户AccessKey”行，点击“新建”按钮，获取访问密钥（AK/SK）。 4. 在创建AccessKey弹窗中复制AK/SK。 2. 生成时间：请求时间eopdate必须为北京时区的当前时间，格式为YYYYMMDDTHHMMSSZ（如：20211221T163614Z）。 3. 请求ID：每个请求都必须有一个唯一的ctyuneoprequestid，推荐用UUID生成。 二、签名生成流程（4步完成） 步骤1：构造待签名字符串 待签字符串由三部分构成：“需要签名的header参数”、“查询参数（如果有）”、“请求体（如果有）”，通过"n"连接。 plaintext 待签名字符串 排序后的请求头 + "n" + 排序后的查询参数 + "n" + 请求体SHA256哈希值 具体操作： 请求头处理 ：必须包含ctyuneoprequestid和eopdate，按header名称字母顺序排序。 plaintext header1:value1nheader2:value2nheader3:value3 查询参数处理 ：按参数名字母顺序排序，用&连接。 plaintext param1value1¶m2value2 请求体处理：对原始请求体进行SHA256哈希，转为16进制字符串。

本文帮助您快速熟悉如何配置HTTPS监听 TLS安全策略 操作场景： 安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性，您可以在创建和修改HTTPS监听时，配置选择TLS安全策略，提高应用的安全性。仅部分集群模式资源池的性能保障型负载均衡实例支持设置安全策略，主备模式资源池以及经典型负载均衡不支持设置，主备、集群模式资源池列表见 产品简介>产品类型和规格, 实际情况以控制台展现为准。 操作步骤： 添加HTTPS监听器时配置安全策略 具体操作如下： 1.登录弹性负载均衡控制台。 2.在顶部左侧选择弹性负载均衡所属区域。 3.选择以下一种方法打开监听器配置向导。 在负载均衡器列表页面，找到目标实例，在操作列单击“监听器配置向导”。 在ip类型/监听器端口/健康检查/服务器组列下方单击“开始配置”。 在负载均衡器列表页面，找到目标实例，单击实例名称进入实例详情页，单击“添加监听器”。 4.在高级配置中可见安全策略选择，默认选中策略为“TLSpolicy12”，可以根据实际应用需要选择不同策略。可选策略如下： 安全策略名称 支持TLS版本 支持加密算法套件 说明 TLSpolicy10with13 TLS v1.0/TLS v1.1/TLS v1.2//TLSv1.3 TLSAES128GCMSHA256、TLSAES256GCMSHA384、TLSCHACHA20POLY1305SHA256、TLSAES128CCMSHA256、TLSAES128CCM8SHA256、ECDHEECDSACHACHA20POLY1305、ECDHERSACHACHA20POLY1305、ECDHEECDSAAES128GCMSHA256、ECDHERSAAES128GCMSHA256、ECDHEECDSAAES256GCMSHA384、ECDHERSAAES256GCMSHA384、ECDHEECDSAAES128SHA256、ECDHERSAAES128SHA256、ECDHEECDSAAES128SHA、ECDHERSAAES256SHA384、ECDHERSAAES128SHA、ECDHEECDSAAES256SHA384、ECDHEECDSAAES256SHA、ECDHERSAAES256SHA、AES128GCMSHA256、AES256GCMSHA384、AES128SHA256、AES256SHA256、AES128SHA、AES256SHA 支持TLS1.0、TLS1.1、TLS1.2、TLS1.3版本与相关加密套件，兼容性好，安全性低。当前安全策略包含低于TLS 1.2版本的协议，存在安全风险，建议选择高版本安全策略。 TLSpolicy10 TLS v1.0/TLS v1.1/TLS v1.2 ECDHEECDSAAES128GCMSHA256、ECDHEECDSAAES256GCMSHA384、ECDHEECDSAAES128SHA256、ECDHEECDSAAES256SHA384、ECDHERSAAES128GCMSHA256、ECDHERSAAES256GCMSHA384、ECDHERSAAES128SHA256、ECDHERSAAES256SHA384、AES128GCMSHA256、AES256GCMSHA384、AES128SHA256、AES256SHA256、ECDHEECDSAAES128SHA、ECDHEECDSAAES256SHA、ECDHERSAAES128SHA、ECDHERSAAES256SHA、AES128SHA、AES256SHA 支持TLS1.0、TLS1.1、TLS1.2版本与相关加密套件，兼容性好，安全性低。当前安全策略包含低于TLS 1.2版本的协议，存在安全风险，建议选择高版本安全策略。 TLSpolicy11 TLS v1.1/TLS v1.2 ECDHEECDSAAES128GCMSHA256、ECDHEECDSAAES256GCMSHA384、ECDHEECDSAAES128SHA256、ECDHEECDSAAES256SHA384、ECDHERSAAES128GCMSHA256、ECDHERSAAES256GCMSHA384、ECDHERSAAES128SHA256、ECDHERSAAES256SHA384、AES128GCMSHA256、AES256GCMSHA384、AES128SHA256、AES256SHA256、ECDHEECDSAAES128SHA、ECDHEECDSAAES256SHA、ECDHERSAAES128SHA、ECDHERSAAES256SHA、AES128SHA、AES256SHA 支持TLS1.1、TLS1.2版本与相关加密套件，兼容性较好，安全性中。当前安全策略包含低于TLS 1.2版本的协议，存在安全风险，建议选择高版本安全策略。 TLSpolicy12 TLS v1.2 ECDHEECDSAAES128GCMSHA256、ECDHEECDSAAES256GCMSHA384、ECDHEECDSAAES128SHA256、ECDHEECDSAAES256SHA384、ECDHERSAAES128GCMSHA256、ECDHERSAAES256GCMSHA384、ECDHERSAAES128SHA256、ECDHERSAAES256SHA384、AES128GCMSHA256、AES256GCMSHA384、AES128SHA256,AES256SHA256、ECDHEECDSAAES128SHA、ECDHEECDSAAES256SHA、ECDHERSAAES128SHA、ECDHERSAAES256SHA、AES128SHA、AES256SHA 支持TLS1.2版本与相关加密套件，兼容性较好，安全性高。 TLSpolicy12Strict TLS v1.2 ECDHEECDSAAES128GCMSHA256、ECDHEECDSAAES256GCMSHA384、ECDHEECDSAAES128SHA256、ECDHEECDSAAES256SHA384、ECDHERSAAES128GCMSHA256、ECDHERSAAES256GCMSHA384、ECDHERSAAES128SHA256、ECDHERSAAES256SHA384、ECDHEECDSAAES128SHA、ECDHEECDSAAES256SHA、ECDHERSAAES128SHA、ECDHERSAAES256SHA 支持TLS1.2版本与相关加密套件，兼容性一般，安全性高。 TLSpolicy12strict1.3 TLSv1.2/TLSv1.3 TLSAES128GCMSHA256、TLSAES256GCMSHA384、TLSCHACHA20POLY1305SHA256、TLSAES128CCMSHA256、TLSAES128CCM8SHA256、ECDHEECDSAAES128GCMSHA256、ECDHEECDSAAES256GCMSHA384、ECDHEECDSAAES128SHA256、ECDHEECDSAAES256SHA384、ECDHERSAAES128GCMSHA256、ECDHERSAAES256GCMSHA384、ECDHERSAAES128SHA256、ECDHERSAAES256SHA384、ECDHEECDSAAES128SHA、ECDHEECDSAAES256SHA、ECDHERSAAES128SHA、ECDHERSAAES256SHA 支持TLS1.2和TLS1.3版本与相关加密套件，兼容性较好，安全性很高 5.配置其他参数， 添加后端主机组，并配置HTTPS监听器负载方式和健康检查，完成监听创建。详见 添加HTTPS监听器。

本章节主要介绍修改密码策略 。 操作场景 须知 密码策略涉及用户管理的安全性，请根据业务安全要求谨慎修改，否则会有安全性风险。 该任务指导管理员用户设置密码安全规则、用户登录安全规则及用户锁定规则。由于“机机”用户密码随机生成，在MRS Manager设置密码策略只影响“人机”用户。开启Kerberos认证的集群或开启弹性公网IP功能的普通集群支持该操作。 如需对新增用户的密码或用户修改的密码使用新的密码策略，请先参考本章节修改密码策略，再创建用户或修改密码。 说明 该章节操作仅适用于MRS 3.x之前版本集群。MRS3.x及之后版本集群请参考 操作步骤 访问MRS Manager，详细操作请参见访问MRSManager（MRS2.x及之前版本）。 1. 在MRS Manager，单击“系统设置”。 2. 单击“密码策略配置”。 3. 根据界面提示，修改密码策略，具体参数见下表。 密码策略参数说明 参数名称 描述 最小密码长度 密码包含的最小字符个数，取值范围是8～32。默认值为“8”。 字符类型的数目 密码字符包含大写字母、小写字母、数字、空格和特殊符号（包含~!?,.:;'(){}[]/<>@ $%^&+l/）的最小种类。可选择数值为“3”和“4”。默认值“3”表示至少必须使用大写字母、小写字母、数字、特殊符号和空格中的任意3种。 密码有效期（天） 密码有效使用天数，取值范围0～90，0表示永久有效。默认值为“90”。 密码失效提前提醒天数 提前一段时间提醒密码即将失效。设置后，若集群时间和该用户密码失效时间的差小于该值，则说明用户进入密码失效提醒期。用户登录MRS Manager时会提示用户密码即将过期，是否需要修改密码。取值范围为“0”“X”，（“X”为密码有效期的一半，向下取整）。“0”表示不提醒。默认值为“5”。 认证失败次数重置时间间隔（分钟） 密码输入错误次数保留的时间间隔（分钟），取值范围为0～1440。“0”表示永远有效，“1440”表示1天。默认值为“5”。 密码连续错误次数 用户输入错误密码超过配置值后将锁定，取值范围为3～30。默认值为“5”。 用户锁屏时间（分钟） 满足用户锁定条件时，用户被锁定的时长，取值范围为5～120。默认值为“5”。

本节为您介绍云迁移服务迁移时限制数据访问相关内容。 云迁移期间限制对数据的访问对于力求安全传输信息的企业来说是至关重要的一步。您应该采取多个步骤来确保只有预期的用户才能在必要时访问数据。这些步骤包括如下： 实现和实施用户级身份验证和授权规则。 建立可靠的双因素身份验证流程。 使用来自云提供商的内置安全策略。 传输之前加密所有数据。 迁移期间定期审计谁拥有访问权。 迁移过程中，对拥有敏感信息的系统完成定期的漏洞扫描。 删除与被解雇员工相关的任何凭据或访问密钥。

本文介绍如何将镜像加入白名单。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“镜像安全 > 镜像管理”，进入镜像管理页面。 3. 选择“仓库镜像”或“节点镜像”页签，进入对应镜像列表页面。 4. 单击镜像列表操作列中的“加入白名单”，进入加入白名单页面。 5. 输入白名单名称，选择应用于哪些节点和仓库，备注描述信息。 6. 单击“保存”，即可将该镜像加入白名单，之后在相应节点和仓库中扫描到该镜像时，将不会产生告警。

本小节主要介绍数据安全专区的续费与退订。 控制台续费 为保证用户正常使用数据安全专区服务，在数据安全专区许可证到期前或使用许可到期后15天内，用户可通过“续费”操作增加授权使用期限。 在数据安全专区到期前，可以通过“续费”操作延长到期时间。 在数据安全专区到期后，若未及时续费，则进入“保留期”，不能登录数据安全专区系统。“保留期”为15天，到期仍未续订或充值，存储在数据安全专区中的数据将被删除、资源将被释放。 前提条件 已获取控制台的登录账号与密码。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 数据安全专区”，进入数据安全专区实例管理页面。 3. 选择待续费的实例，单击“更多 > 续费”，进入“续费”配置页面。 4. 根据需要选择续费时长。 5. 单击“去支付”，在支付页面完成付款。 6. 返回数据安全专区实例列表页面，在“数据安全专区实例”列表查看授权后最新到期时间。 管理中心续订 登录天翼云官网，进入管理中心，选择续订管理，点击“手动续订”或者“开通自动续订”按钮，即可完成实例的续订。 退订 注意 仅控制台的数据安全专区相关实例支持退订，服务套餐（数据安全咨询规划服务、数据分类分级服务、数据安全风险评估托管服务）属于一次性计费产品，不支持退订。

本文为您介绍如何通过密钥管理控制台进行密钥版本的管理。 密钥常用于保护特定的数据，因此，数据的安全依赖于密钥的安全。您可以通过密钥版本化和定期轮转来加强密钥使用的安全性，实现数据保护的安全策略和最佳实践。 密钥版本概述 KMS中的用户CMK支持多个密钥版本。每一个密钥版本是一个独立生成的密钥，同一个CMK下的多个密钥版本在密码学上互不相关。 对于对称密钥，密钥版本可通过自动轮转策略，由系统自动生成。 对于非对称密钥，可人工创建新的密钥版本。 设置自动轮转 对称密钥支持设置自动轮转，生成新的密钥版本。对称密钥版本分为主版本和非主版本： 主版本（Primary Key Version） 系统根据自动轮转策略，定期生成新的密钥版本，并自动设为主版本。 主版本是CMK的活跃加密密钥（Active Encryption Key）。每个CMK在任何时间点上有且仅有一个主版本。 调用GenerateDataKey、Encrypt等加密API接口时，KMS使用指定CMK的主版本对明文进行加密。 非主版本（Nonprimary Key Version） 非主版本是CMK的非活跃加密密钥（Inactive Encryption Key）。每个CMK可以有零到多个非主版本。非主版本历史上曾经是主版本，在当时被用作活跃加密密钥。 密钥轮转产生新的主版本后，KMS不会删除或禁用非主版本，它们需要被用作解密数据。

本小节主要介绍RDSPostgreSQL实例的操作系统更新。 操作背景 为保证RDSPostgreSQL实例的数据库安全和数据库性能，系统会在合适期间对操作系统进行更新。同时操作系统的补丁更新不会变更您的数据库实例版本信息。 为不影响您的数据库实例使用体验，RDSPostgreSQL会在您设置的可运维时间段内，通过特定方式及时修复操作系统漏洞，加强您的数据库整体安全状况 。

您可以采用SSH、VNC方式登录Linux弹性云主机,本文介绍其操作流程。 只有运行中的弹性云主机才允许用户登录，登录Linux弹性云主机的方式有：SSH方式登录、VNC方式登录。 SSH方式登录：仅适用于Linux弹性云主机。包括密码方式和密钥方式两种，您可以使用远程登录工具（例如PuTTY），登录弹性云主机。此时，需要该弹性云主机绑定弹性IP。 VNC方式登录：未绑定弹性IP的弹性云主机可通过控制中心提供的远程登录方式直接登录。 说明 首次登录使用用户名可以设置为root或ecsuser。root和ecsuser说明如下： root： root用户为Linux系统的超级用户，在系统安装时默认创建，拥有操作系统的所有权限，不可被删除。 ecsuser(推荐)： ecsuser用户为Linux系统的一个普通用户， 没有系统级的权限，只能执行被授权的操作，若涉及系统敏感的操作需要通过sudo命令临时获得root权限执行操作。比如：使用systemctl命令重启服务，使用mount命令挂载磁盘设备等，需要在命令前加入sudo进行提权。 使用root用户登录可能会导致云主机安全风险，基于云主机安全考虑，我们建议您创建云主机时选择“立即创建”，并设置ecsuser作为初始登录用户；若您在创建云主机时选择稍后创建，则默认会使用root用户登录云主机。 密钥对方式登录 前提条件 1. 已获取该弹性云主机的密钥文件，获取方式参见通过管理控制中心创建密钥对； 2. 弹性云主机已经绑定弹性IP； 3. 已配置安全组入方向的访问规则。例如，默认的22端口没有被防火墙屏蔽； 4. 使用的登录工具（如PuTTY）与待登录的弹性云主机之间网络连通。

虚拟私有云支持单个ECS对外提供服务,本文带您快速了解通过单个ECS对外提供服务。 单个弹性云主机对外提供服务 如果您要在VPC中的单个弹性云主机实例上提供对外服务，您可申请一个弹性IP，绑定到弹性主机上，该弹性云主机即可连接公网提供服务。具体操作步骤如下： 1. 创建和配置弹性云主机实例：在天翼云管理控制台中创建弹性云主机实例，并选择合适的实例规格、操作系统和网络配置。确保为实例分配弹性IP（EIP）以使其能够与外部网络通信。 2. 配置安全组：安全组是一种虚拟防火墙，用于控制进出弹性云主机实例的流量。为该弹性云主机实例创建一个安全组，并根据应用程序的需求配置入站和出站规则。 3. 配置网络 ACL：ACL也可用于控制子网与外部网络之间的流量。确保对应的子网具有适当的入站和出站规则，以允许外部网络访问该实例提供的服务。 4. 配置路由策略：为了使外部网络能够访问该弹性云主机实例，需要相应的路由配置。 5. 配置DNS解析：将您使用的域名绑定到弹性云主机实例的弹性IP地址上，以便用户可以使用易记的域名访问您提供的服务。 通过弹性负载均衡进行流量分发 对于社交媒体热点事件、电商促销活动等高并发访问的场景，您可以通过弹性负载均衡ELB将访问流量均衡分发到多台弹性云主机上，能够应对大量用户同时访问的需求。天翼云弹性负载均衡无缝集成了弹性伸缩服务，能够根据业务流量自动扩容，保证业务稳定可靠。

查看某个基线检查项目详情 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理页面。 3. 在左侧导航栏选择“基线检查”，进入基线检查页面。 4. 选择待查看检查项目的区域，并选择“检查规范”页签。 5. 在基线检查规范列表中，在待查看检查项目所在行的“操作”列，单击“查看详情”，系统进入检查项目详情页面。 6. 在检查项目详情页面，查看检查项目的详细信息。 查看该风险检查项的详细描述、检查提示和检查结果等。 查看检查资源列表 资料列表只展示已检查的资源。 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理页面。 3. 在左侧导航栏选择“基线检查”，进入基线检查页面。 4. 选择待查看检查结果的区域。 5. 选择“检查资源”页签，系统将显示当前区域所有检查资源以及其详细信息。 检查资源页面会展示所有检查资源的列表，包括资源名称、资源类型、检查项，以及风险项等信息。 查看某个资源的检查详情 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理页面。 3. 在左侧导航栏选择“基线检查”，进入基线检查页面。 4. 选择待查看检查项目的区域，并选择“检查资源”页签。 5. 在检查资源列表中，在待查看资源所在行的“操作”列，单击“查看详情”，系统进入资源详情页面。 6. 在资源详情页面，查看资源的详细信息。 查看该资源的检查项、检查状态、检查方式、最近检查时间等。

本文主要介绍消息队列 Kafka 发布者的最佳实践，从而帮助您更好的使用该产品。 文中的最佳实践基于消息队列 Kafka 的 Java 客户端；对于其它语言的客户端，其基本概念与思想是通用的，但实现细节可能有差异，仅供参考。 Kafka 发送示例代码片段 Key 和 Value Kafka 0.10.0.0 的消息字段只有两个：Key 和 Value。Key 是消息的标识，Value 即消息内容。为了便于追踪，重要消息最好都设置一个唯一的 Key。通过 Key 追踪某消息，打印发送日志和消费日志，了解该消息的发送和消费情况。 失败重试 在分布式环境下，由于网络等原因，偶尔的发送失败是常见的。导致这种失败的原因有可能是消息已经发送成功，但是 Ack 失败，也有可能是确实没发送成功。 消息队列 Kafka 是 VIP 网络架构，会主动掐掉空闲连接（30 秒没活动），也就是说，不是一直活跃的客户端会经常收到 “connection rest by peer” 这样的错误，因此建议都考虑重试消息发送。 异步发送 发送接口是异步的；如果你想得到发送的结果，可以调用metadataFuture.get(timeout, TimeUnit.MILLISECONDS)。 线程安全 Producer 是线程安全的，且可以往任何 Topic 发送消息。通常情况下，一个应用对应一个 Producer 就足够了。 Acks Acks的说明如下： acks0，表示无需服务端的 Response，性能较高，丢数据风险较大； acks1，服务端主节点写成功即返回 Response，性能中等，丢数据风险中等，主节点宕机可能导致数据丢失； acksall，服务端主节点写成功，且备节点同步成功，才返回 Response，性能较差，数据较为安全，主节点和备节点都宕机才会导致数据丢失。 一般建议选择 acks1，重要的服务可以设置 acksall。

本节介绍如何执行数据投递投递授权。 操作场景 数据投递新增后，需进行投递权限授予操作，接受授权后，投递才会生效。 前提条件 已新增数据投递。 约束与限制 如果新增的数据投递为跨账号投递，则需要登录目的账号进行授权操作。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面后，选择“数据投递管理”页签，进入数据投递管理页面。 5. 在数据投递管理页面，选择“投递权限授予”页签，进入投递权限授权页面后，单击目标投递任务所在行“操作”列的“接受”。 如需批量接受授权，可以勾选所有需要授权的任务，然后单击列表左上角的“接受”。 授权授予后，目标投递任务授权状态更新为“已授权”，更新后，可前往投递目的地查看投递情况，详细操作请参见查看数据投递情况。 相关操作 在跨租投递权限授权页面可以的投递权限进行拒绝 和取消授权操作： 操作 具体操作方法 拒绝 在目标投递任务所在行“操作”列，单击“拒绝”。 如需批量拒绝授权，可以勾选所有需要拒绝的任务，然后单击列表左上角的“拒绝”。 取消 1. 在目标投递任务所在行“操作”列，单击“取消”。 如需批量取消授权，可以勾选所有需要取消的任务，然后单击列表左上角的“取消”。 2. 在弹出的确认框中，单击“确定”。

补丁漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。安全专区整合外部漏洞扫描服务，实时返回补丁漏洞扫描数据。 配置方法 1.点击【补丁漏洞】中的一项漏洞，进行单项查询以及漏洞详细展现，导出扫描出来的补丁漏洞文件。 2.记录该数据返回（即风险终端），分析补丁漏洞所产生原因。 3.选择修复补丁漏洞，点击右侧【操作】，页面跳转组件系统进行管理。

本文主要对账号登录安全策略的几个场景进行了说明。 为了保障您的账号安全，天翼云账号若长期未登录或登录IP发生变动，登录时系统会要求进行短信验证。具体场景如下： 未登录≥180天 账号长时间未登录（≥180天），账号登录时需要进行短信验证。 IP地址发生市级变动 账号登录时，所在IP地址与上一次登录时的IP地址发生了市级及以上变动的，需要进行短信验证。 在海外登录 账号在海外登录，或登录时IP判定为海外IP，登录时需要进行短信验证。 注意 登录前请确保手机号码可正常接收短信验证码。

本文介绍如何变更安全加速套餐。 您如果有变更套餐的需求，您可以登录天翼云官网，在订单管理产品中找到您的订单，点击“订购”提交您的变更需求。目前套餐变更只支持升级套餐，不支持降级套餐的操作。 产品变更页面

本文为您介绍分布式消息服务MQTT与其他服务关系。 虚拟私有云(CTVPC ，Virtual Private Cloud) 虚拟私有云为分布式消息服务MQTT提供一个逻辑隔离的区域，构建一个安全可靠、可配置和管理的虚拟网络环境。更多信息请参见虚拟私有云。 弹性云主机（CTECS，Elastic Cloud Server） 弹性云主机由 CPU、内存、镜像、云硬盘组成，同时结合VPC、安全组、数据多副本保存等能力，打造一个既高效又可靠安全的计算环境，确保分布式消息服务MQTT持久稳定运行。更多信息请参见弹性云主机。 云硬盘（CTEVS，Elastic Volume Service） 云硬盘是一种可弹性扩展的块存储设备，可以为分布式消息服务MQTT提供高性能、高可靠的块存储服务。更多信息请参见云硬盘。 弹性IP（Elastic IP，EIP） 弹性IP是可以独立申请的公网 IP 地址，包括公网IP地址与公网出口带宽服务。可以与分布式消息服务MQTT动态绑定和解绑，实现云资源的互联网访问。针对需要公网访问分布式消息服务MQTT实例的需求，用户可开通弹性IP后，在MQTT实例页面进行绑定。更多信息请参见弹性IP。

本文为您介绍轻量型云主机对网络的支持情况。 虚拟私有云( VPC) 轻量型云主机使用虚拟私有云 (VPC) 来进行网络隔离和管理。每个 VPC 包括私网网段、路由表和至少一个子网。 私网网段 ：在创建 VPC 时，用户无法自行指定私网网段，轻量型云主机默认自动创建10.0.0.0/8私网网段，您可以在这个范围内创建子网。 子网 ：云资源（例如云主机、云数据库等）必须部署在子网内。 路由表 ：在创建虚拟私有云VPC时，系统会自动生成默认路由表，新创建的子网会关联到该默认路由表下。默认路由表确保同一个 VPC 下的所有子网之间可以互通。 防火墙 防火墙在轻量型云主机的网络安全中起着关键作用。轻量型云主机的防火墙相当于云主机中的安全组，提供同等的安全防护作用。通过配置防火墙规则，您可以控制轻量型云主机对网络的入站和出站访问，从而增强网络安全。 弹性IP 弹性 IP（Elastic IP Address，简称EIP）是可以独立申请的公网 IP 地址，将弹性 IP 地址和子网中关联的各项云资源绑定和解绑，可以实现 VPC 中的云资源通过固定的公网 IP 地址与互联网互通。弹性IP产品既包含公网IP地址，也可以提供公网带宽服务，与其他带宽产品组合使用，可以达到访问公网与节省成本的目的。轻量型云主机订购时默认分配公网IP，并绑定独享带宽。

本章节主要介绍Elasticsearch整库迁移到云搜索服务。 操作场景 云搜索服务（Cloud Search Service）为用户提供结构化、非结构化文本的多条件检索、统计、报表，本章节介绍如何通过CDM将本地Elasticsearch整库迁移到云搜索服务中，流程如下： 1.创建CDM集群并绑定EIP 2.创建云搜索服务连接 3.创建Elasticsearch连接 4.创建整库迁移作业 前提条件 拥有EIP配额。 已经开通了云搜索服务，且获取云搜索服务集群的IP地址和端口。 已获取本地Elasticsearch数据库的服务器IP、端口、用户名和密码。 如果Elasticsearch服务器是在本地数据中心或第三方云上，需要确保Elasticsearch可通过公网IP访问，或者是已经建立好了企业内部数据中心到的VPN通道或专线。 创建CDM集群并绑定EIP 1.参考创建CDM集群，创建CDM集群。 关键配置如下： CDM集群的规格，按待迁移的数据量选择，一般选择cdm.medium即可，满足大部分迁移场景。 CDM集群的VPC必须和云搜索服务集群所在VPC一致，且推荐子网、安全组也与云搜索服务一致。 如果安全控制原因不能使用相同子网和安全组，那么需要确保安全组规则能允许CDM访问云搜索服务集群。 2. CDM集群创建完成后，在集群管理界面选择“绑定弹性IP”，CDM通过EIP访问本地Elasticsearch。 说明 如果用户对本地数据源的访问通道做了SSL加密，则CDM无法通过弹性IP连接数据源。

本章节主要介绍Oracle数据迁移到云搜索服务。 操作场景 云搜索服务（CloudSearch Service）为用户提供结构化、非结构化文本的多条件检索、统计、报表，本章节介绍如何通过CDM将数据从Oracle迁移到云搜索服务中，流程如下： 1.创建CDM集群并绑定EIP 2.创建云搜索服务连接 3.创建Oracle连接 4.创建迁移作业 前提条件 已经开通了云搜索服务，且获取云搜索服务集群的IP地址和端口。 已获取Oracle数据库的IP、数据库名、用户名和密码。 如果Oracle数据库是在本地数据中心或第三方云上，需要确保Oracle可通过公网IP访问，或者已经建立好了企业内部数据中心到的VPN通道或专线。 用户已参考管理驱动，上传了Oracle数据库驱动。 创建CDM集群并绑定EIP 1.参考创建CDM集群，创建CDM集群。 关键配置如下： CDM集群的规格，按待迁移的数据量选择，一般选择cdm.medium即可，满足大部分迁移场景。 CDM集群的VPC必须和云搜索服务集群所在VPC一致，且推荐子网、安全组也与云搜索服务一致。 如果安全控制原因不能使用相同子网和安全组，那么需要确保安全组规则能允许CDM访问云搜索服务集群。 2.CDM集群创建完成后，在集群管理界面选择“绑定弹性IP”，CDM通过EIP访问Oracle数据源。 说明 如果用户对本地数据源的访问通道做了SSL加密，则CDM无法通过弹性IP连接数据源。

本章节主要介绍Oracle数据迁移到DWS。 操作场景 CDM支持表到表的迁移，本章节介绍如何通过CDM将数据从Oracle迁移到数据仓库服务（Data Warehouse Service，简称DWS）中，流程如下： 1.创建CDM集群并绑定EIP 2.创建Oracle连接 3.创建DWS连接 4.创建迁移作业 前提条件 已购买DWS集群，并且已获取DWS数据库的IP地址、端口、数据库名称、用户名、密码，且该用户拥有DWS数据库的读、写和删除权限。 已获取Oracle数据库的IP、数据库名、用户名和密码。 如果Oracle数据库是在本地数据中心或第三方云上，需要确保Oracle可通过公网IP访问，或者已经建立好了企业内部数据中心到云的VPN通道或专线。 用户已参考 管理驱动，上传了Oracle数据库驱动。 创建CDM集群并绑定EIP 1.参考创建CDM集群，创建CDM集群。 关键配置如下： CDM集群的规格，按待迁移的数据量选择，一般选择cdm.medium即可，满足大部分迁移场景。 CDM集群所在VPC、子网、安全组，选择与DWS集群所在的网络一致。 如果安全控制原因不能使用相同子网和安全组，那么需要确保安全组规则能允许CDM访问云搜索服务集群。 2.CDM集群创建完成后，在集群管理界面选择“绑定弹性IP”，CDM通过EIP访问Oracle数据源。 说明 如果用户对本地数据源的访问通道做了SSL加密，则CDM无法通过弹性IP连接数据源。

本节描述了弹性云主机的功能,便于用户了解云主机功能。 支持多种规格，从 “1 核 1GB” 到 “96核 384GB”，CPU与内存的资源配比为1:1、1:2、1:4、1:7、1:8等； 支持对云主机规格的升级和降级操作； 提供普通IO（SATA）、高IO（SAS）、通用SSD（SSD）、 超高IO（SSD）、极速型SSD（SSD）五种存储类型； 支持公共镜像、私有镜像、共享镜像； 支持主流的Windows、Linux操作系统； 支持虚拟私有云； 支持安全组，可在安全组内设置访问规则； 支持多网卡，可为云主机配置多块网卡，将不同的内网IP地址与不同网卡进行绑定； 提供多种远程登录方式：密码登录、密钥登录、VNC登录等； 支持创建云主机时注入文件； 免费开通云监控服务，监控资源使用情况，也可预设告警通知； 支持弹性伸缩，通过策略自动调整其业务资源，减少资源投入； 支持云主机常用管理操作，如开机、关机、重启、重置密码等； 支持开启网卡多队列功能； 在线卸载云硬盘。