本节介绍如何处理暴力破解告警事件。 暴力破解是一种常见的入侵攻击行为，攻击者通常使用暴力破解的方式猜测远程登录的用户名和密码，一旦破解成功，即可实施攻击和控制，严重危害资产的安全。 态势感知（专业版）联动企业主机安全（HSS），接收HSS检测到的暴力破解行为，集中呈现和管理告警事件，提升运维效率。 处理告警事件 HSS通过暴力破解检测算法和全网IP黑名单，若发现暴力破解主机的行为，对发起攻击的源IP进行拦截，并上报告警事件。 当接收到来源于HSS的告警事件时，请登录HSS管理控制台确认并处理告警事件。 若您的主机被爆破成功，检测到入侵者成功登录主机，账户下所有云服务器可能已被植入恶意程序，建议参考如下措施，立即处理告警事件，避免进一步危害主机的风险。 请立即确认登录主机的源IP的可信情况。 请立即修改被暴力破解的系统账户口令。 请立即执行检测入侵风险账户，排查可疑账户并处理。 请及时执行恶意程序云查杀，排查系统恶意程序。 若您的主机被暴力破解，攻击源IP被HSS拦截，请参考如下措施，加固主机安全。 请及时确认登录主机的源IP的可信情况。 请及时登录主机系统，全面排查系统风险。 请根据实际需求升级HSS防护能力。 请根据实际情况加固主机安全组、防火墙配置。

本文为您介绍什么是资源编排ROS。 资源编排ROS（ROS，Resource Orchestration Service）是基于Terraform（HCL + Provider）的新一代云资源全生命周期管理平台，您只需通过结构化模板集中定义各类云资源（例如弹性云主机、虚拟私有云、弹性IP等），即可自动、安全、高效地实现“一键创建与管理”云资源。借助 Terraform 的底层引擎能力，ROS 能够自动解析资源依赖关系、校验配置合规性，并通过预置的安全策略规避权限风险与配置冲突，最终实现从资源创建、关联配置到后期扩缩容、版本迭代的 “一键化” 操作。 资源编排ROS聚焦自动化批量创建云资源场景，全面践行“基础设施即代码”理念，帮助用户大幅降低人工操作失误率，同时支持资源的批量管理与自动化运维，让企业在复杂云架构下也能轻松实现资源的高效调度与精益化管理，助力用户高效、安全、一致性交付和运维天翼云服务。 为什么选择资源编排ROS 资源编排ROS可以帮助您高效、安全、轻松地管理一组资源。 强大的Terraform生态：完全兼容Terraform，确保您的现有资源栈无缝迁移。 极简自动化部署：通过模板化编排和自动化引擎，您只需“一次设计”即可“多次部署”。 安全合规：内置评估审核与合规性校验，让变更可知、可控、可追溯。 成本优化：模板可一键复用，变更前可预测资源与费用变更，助力企业降本增效。 友好交互： 企业级可视化交互和丰富API接口。

本节介绍了一键重置密码后无法使用新密码登录弹性云主机的相关内容。 操作场景 一键重置密码后无法使用新密码登录弹性云主机，请参考本节操作逐一进行排查。 说明 请确保一键重置密码插件未被安全软件阻止运行，否则一键重置密码功能无法使用。 Windows操作系统 请根据如下原因逐一进行排查： 步骤 1 检查安全组出方向80端口是否放通。 1. 登录控制台。 2. 选择需要检查的弹性云主机，并进入“弹性云主机”详情页面。 3. 检查“安全组”中，“出方向”的“80”端口是否放通。 默认的安全组规则“出方向”为Any 、Any，即端口放通。 步骤 2 检查弹性云主机VPC的DHCP是否启用。 选择“网络 > 虚拟私有云"，打开对应VPC的详情页面，选择“子网”页签，检查是否启用DHCP。 步骤 3 如果安全组配置、DHCP均正常，但一键重置密码功能仍未生效，请尝试使用原密码登录弹性云主机。 步骤 4 如果原密码有效，可以用原密码登录弹性云主机，检查弹性云主机是否已安装密码重置插件CloudResetPwdAgent和CloudResetPwdUpdateAgent。检查方法如下： 查看任务管理器，如果找到cloudResetPwdAgent服务和cloudResetPwdUpdateAgent服务，如下图所示，表示弹性云主机已安装密码重置插件。否则说明当前弹性云主机没有安装一键重置密码插件。 安装方法请参见安装一键式重置密码插件（可选）。 图 安装插件成功

托管检测与响应服务（原生版）购买后的相关问题答疑。 服务购买后，有相应的操作指导吗？ 服务购买后，我们将指派服务经理与您取得联系，沟通具体服务开展流程并指导您相关操作步骤。此外，您可以参考服务接入流程： 基础版/企业版服务接入流程 护航版服务接入流程 应急响应服务接入流程 安全评估服务接入流程 全流量分析服务接入流程 服务购买后，有哪些服务保障？ 服务购买后，天翼云安全服务团队将与您取得联系，确定服务内容及范围，定期输出整体安全风险服务报告，按照SLA协议承诺对客户服务内容进行交付。 若遇到问题，安全服务团队会提供支持和解答，其他问题，您可以通过天翼云客服反馈，我们将竭诚为您服务，保障您的业务安全。 托管检测与响应服务（原生版）可以根据用户需求提供个性化服务吗？ 当前服务为标准化服务内容，如果您有个性化服务需求，可与服务经理沟通，确定需求范围及内容，经评估后，服务经理会向您反馈评估结果，如果在可接受范围内，您无需支付任何费用，如超出服务范围，我们将提供新的服务方案。 欢迎您向我们提出新的服务需求，我们将积极支持，不断优化服务内容及流程，更好地服务客户。

更换布局 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 目录定制”，进入目录定制页面。 5. 单击目标目录所在行“操作”列的“更换布局”，弹出更换布局页面。 6. 在更换布局页面中，选择需要替换的布局。 7. 单击“确定”。

此小节介绍云堡垒机产品定义。 云堡垒机提供云计算安全管控的系统和组件，包含部门、用户、资源、策略、运维、审计等功能模块，集单点登录、统一资产管理、多终端访问协议、文件传输、会话协同等功能于一体。通过统一运维登录入口，基于协议正向代理技术和远程访问隔离技术，实现对服务器、云主机、数据库、应用系统等云上资源的集中管理和运维审计。 服务特点 一个实例对应一个独立运行的系统，通过配置实例部署系统后台运行基本环境。系统环境独立管理，保障系统运行安全。 一个单点登录系统，提供统一的单点登录入口，轻松地集中管理大规模云上资源，避免资源账户泄露危险，保障资源信息安全。 符合“网络安全法”等法律法规，满足合规性规范审查要求。 满足《萨班斯法案》和《等级保护》系列文件中的技术审计要求； 满足金融监管部门的技术审计要求； 满足各类法令法规（如SOX、PCI、企业内控管理、等级保护、ISO/IEC27001等）对运维审计的要求。

产品优势 运维高效便捷：支持PuTTY、SecureCRT、Xshell、WinSCP、mstsc等专业运维工具集成，提升运维效率。 精细化权限管理：以4A为核心实现用户按角色、资产授权及访问控制，最小化运维授权，降低越权操作风险。 安全合规：对所有运维操作集中记录，支持审计、录像及回放，满足等保测评要求，助力企业运维安全治理。

功能优势 密钥安全存储 证书管家使用托管密码机保障证书密钥的产生、存储安全。 生命周期管理 支持管理密钥和证书，可以生成证书请求、导入证书和证书链、检查证书链签名有效性，并检查证书有效性。 API便于集成 支持多个API接口，帮助您在开发环境高效集成证书服务，快速进行产品部署，为您提供快速开发上线证书相关功能的能力。

本节介绍如何进入数据分类分级制台,及如何使用数据分类分级。 进入控制台 方式一： 1. 登录天翼云控制中心。 2. 在控制中心页面顶部选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”，进入云等保专区控制台。 4. 在左侧导航栏，选择“数据分类分级”，跳转到数据分类分级控制台。 方式二： 1. 登录天翼云控制中心。 2. 在控制中心页面顶部选择区域。 3. 在产品服务列表页，选择“安全 > 数据安全专区”，进入数据分类分级控制台。 使用数据分类分级 请参见数据分类分级。

本节介绍如何进入数据分类分级制台,及如何使用数据分类分级。 进入控制台 方式一： 1. 登录天翼云控制中心。 2. 在控制中心页面顶部选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”，进入云等保专区控制台。 4. 在左侧导航栏，选择“数据分类分级”，跳转到数据分类分级控制台。 方式二： 1. 登录天翼云控制中心。 2. 在控制中心页面顶部选择区域。 3. 在产品服务列表页，选择“安全 > 数据安全专区”，进入数据分类分级控制台。 使用数据分类分级 请参见数据分类分级。

针对服务端报错问题进行诊断 诊断服务端报错问题 问题描述 网页抛错，尤其是5xx错误是互联网应用最常见的问题之一。5xx错误通常发生于服务端。服务端是业务逻辑最复杂，也是整条网络请求链路中最容易出错、出了错之后最难诊断原因的地方。运维工程师或研发工程师往往需要登录机器查看日志来定位问题。 对于逻辑不太复杂、上线时间不长的应用来说，登录机器查看日志的方式能够解决大部分网站抛错的问题。但在以下场景中，传统的问题诊断方式往往没有用武之地。 1. 在一个分布式应用集群中，需知道某一类错误的发生时间和频率。 2. 某系统已运行了很长时间，但是不想关心遗留的异常，只想知道今天和昨天相比、发布后和发布前相比多了哪些异常。 3. 查看一个异常对应的Web请求和相关参数。 4. 客服人员提供了一个用户下单失败的订单号，分析该用户下单失败的原因。 解决方案 为应用安装APM探针后，即可在不改动应用代码的情况下，利用应用性能监控的异常自动捕捉、收集、统计和溯源等能力，全面掌握应用的各种错误信息。 步骤一：安装APM探针 为应用安装APM探针后，才能对应用进行全方位监控。请根据实际需求选择一种方式来安装探针。 步骤二：查看关于应用异常的统计信息 为应用安装APM探针后，APM会收集和展示选定时间内应用的总请求量、平均响应时间、错误数、实时实例数、FullGC次数、慢SQL次数、异常次数和慢调用次数，以及这些指标和上一天的环比、上周的同比升降幅度。请按以下步骤查看应用异常的统计信息。 1. 在应用总览页面的概览页签下方，查看异常的总数、周同比和日同比数据，如下图所示。 2. 滑动页面至概览页签底部的统计分析区域的异常类型，查看各类型异常出现的次数，如下图所示。 3. 在导航栏，点击应用详情 ，选择异常错误分析，查看异常统计图、错误数、异常堆栈等，如下图所示。

本章节主要介绍密钥与密码。 创建密钥对 操作场景 为安全起见，物理机登录时建议使用密钥方式进行身份验证。因此，您需要使用已有密钥对或新建一个密钥对，用于远程登录身份验证。 新建密钥对 如果没有可用的密钥对，需要新建一个密钥对，生成公钥和私钥，并在登录物理机时进行鉴权。创建密钥对的方法如下： 通过管理控制台创建密钥对，公钥自动保存在系统中，私钥由用户保存在本地。 通过puttygen.exe工具创建密钥对，公钥和私钥均保存在用户本地。 使用已有密钥对 如果本地已有密钥对，可以直接选择管理控制台的“导入密钥对 > 选择文件”导入密钥。 约束与限制 当前支持的加解密算法为： SSH2（RSA，1024） SSH2（RSA，2048） SSH2（RSA，4096） 私钥是保证您的物理机安全的重要手段之一，用于SSH登录身份认证，为保证物理机安全，只能下载一次，请妥善保管。 通过管理控制台创建密钥对 1.登录天翼云，进入控制中心。 2.选择“计算 > 物理机服务”。 3.在左侧导航树中，选择“密钥对”。 4.在“密钥对”页面，单击“创建密钥对”。 5.输入密钥名称。 6.单击“确定”。 7.在系统弹出的提示框中单击“确定”。 请根据提示信息，查看并保存私钥。为保证安全，私钥只能下载一次，请妥善保管。

进入控制台 方式一： 1. 登录天翼云控制中心。 2. 在控制中心页面顶部选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”，进入云等保专区控制台。 4. 在左侧导航栏，选择“数据脱敏与水印”，跳转到数据脱敏与水印控制台。 方式二： 1. 登录天翼云控制中心。 2. 在控制中心页面顶部选择区域。 3. 在产品服务列表页，选择“安全 > 数据安全专区”，进入数据脱敏与水印控制台。 使用数据脱敏与水印 请参见数据脱敏与水印。

本文介绍如何在基于最新一代海光安全加密虚拟化CSV(China Secure Virtualization)3.0技术的云主机(下文简称为CSV云主机)中构建CSV3.0加密计算环境,并演示如何验证CSV功能,以及CSV云主机存在的一些功能限制。 概述 海光安全加密虚拟化CSV是一项基于国产海光CPU硬件的云主机保护技术，CSV云主机的运行时状态（如CPU寄存器、内存数据及中断处理等）均受到CPU硬件的隔离和加密保护，云厂商和外部攻击者均无法窃取或篡改CSV云主机的内部运行状态（如计算中的数据等）。关于海光CSV技术的更多信息，请参见Hygon Arch。 CSV云主机关键特性 内存隔离：通过处理器硬件机制，为每个云主机构建独立的、受保护的执行环境，实现云主机之间、云主机和宿主机之间的硬件级逻辑隔离。即使宿主机系统或管理员拥有最高权限，也无法读取或篡改虚拟机内的数据，从根本上杜绝了“从内部”被窥视的风险，实现数据在处理过程中的“可用不可见”。 内存加密：数据在内存中全程以密文形式存在，仅能在 CPU 内部解密使用。即使机房被入侵，攻击者通过物理手段也难以探测到或篡改内存中的数据内容。 远程证明：支持远程证明功能，允许信任域所有者验证其虚拟机是否在可信的硬件环境中启动，并且没有被篡改，增强了对基础设施的信任。 安全启动：确保虚拟机仅从经过签名和验证的引导加载程序启动，进一步加强了启动过程的安全性。 体验一致：提供与普通云主机完全一致的管理接口和操作体验，通过控制台、API 等，像创建和管理任何一台普通云主机一样，轻松创建和管理机密云主机，运维习惯无需任何改变。 应用无损：海光CSV可以为您的云主机和应用提供默认的安全保护，您的现有应用系统，无论是传统的 Java 还是现代的 Python 应用，均无需进行改造，可直接运行在机密云主机。

安全中心设备管理 如需查看AI云电脑登录的设备或移除设备，AI云电脑登录后，在桌面列表右上角点击“三”更多设置，进入“安全中心”。 进入安全中心后，找到对应的设备，点击进入设备详情。 点击“移除设备”，确认移除后，该设备已登录的账密缓存将被清除。 13. 退出登录 如需退出AI云电脑登录账号，在桌面列表右上角，点击“退出登录”或点击“三”展开更多菜单，点击“退出登录”。 二次确认即可退出登录账号

本节介绍了重置数据库账号密码的相关内容。 操作场景 您可重置自己创建的数据库账号密码，安全考虑，请定期（如三个月或六个月）修改密码，防止出现密码被暴力破解等安全风险。 限制条件 恢复中的实例，不可进行该操作。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页。 步骤 5 在左侧导航栏，单击“账号管理”，选择目标账号，单击操作列的“重置密码”。 步骤 6 在弹出框中输入新密码和确认密码，单击“确定”，提交修改。 密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@$%^+?,特殊字符。 密码不能与账号名或倒序的账号名相同。 建议您输入高强度密码，以提高安全性，防止出现密码被暴力破解等安全风险。 重置密码后数据库不会重启，权限不会发生变化。 结束

产品 版本升配说明 云安全中心 云安全中心不支持在云等保专区控制台升配，若需要升配，请参见 主机安全 主机安全v1.0当前不支持升配，可在同一VPC下购买新的配额。 主机安全v2.0支持升配版本 Web应用防火墙 若购买时未购买扩展包资源，则升配时不能对扩展包的数量进行升配。 若一个订单包含了多个WAF实例，则只能同时对该订单中的WAF实例进行升配，且只能升配到相同的配额。 云下一代防火墙 仅支持升配版本，不支持对数量进行调整。 堡垒机 堡垒机 v1.0仅支持升配规格，不支持对数量进行调整。 堡垒机 v2.0支持升配规格，支持存储扩容，不支持对数量进行调整。 漏洞扫描 仅支持升配规格，不支持对数量进行调整。 日志审计 日志审计v1.0仅支持升配规格，不支持对数量进行调整。 日志审计v2.0支持升配规格，支持存储扩容，不支持对数量进行调整。 数据库审计 数据库审计 v1.0仅支持升配规格，不支持对数量进行调整。 数据库审计 v2.0支持升配规格，支持存储扩容，不支持对数量进行调整。

1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，默认进入剧本管理页面。 5. 在目标剧本“操作”列，单击“版本管理”，弹出剧本版本管理页面。 6. 在版本管理页面中，单击“版本信息”栏中目标版本所在行“操作”列的“复制”。 7. 在弹出复制版本信息框中，单击“确定”。

检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

本节介绍了云容器引擎订购类常见问题。 支持Docker容器运行时吗? 目前只有Kubernetes 1.23版本支持Docker容器运行时，其他高版本只支持Containerd。如需订购集群选择Docker运行时请提工单申请。 集群订购会配置特殊安全组规则吗？ 因为集群订购涉及开通云主机等iaaS资源，系统默认为您的集群内置一条优先级为99的不可见安全组，以确保节点之间能正常通信。您可等集群开通成功后，为安全组设置更高级别的安全组规则，突破此互通安全组的限制。 VPC所在子网与Pod子网有什么区别? Cubecni网络插件件使用VPC资源构建underlay容器网络，为Pod创建一个单独的子网，一般建议选择网段掩码不大于19的子网。详细可查看：Cubecni网络插件介绍 集群订购是否必须配置Snat，由容器购买Nat网关？ 非必须，用户如有集群访问公网诉求，可后续直接订购Nat网关，详细可查看：Pod联网案例 集群订购是否必须购买eip，用于通过公网访问apiserver? 非必须，用户如有公网访问apiserver诉求，可后续直接订购eip。如果由容器代客户购买，默认下单5m带宽的弹性ip，由弹性ip产品按量收费。

本文介绍GPU云主机相关的名词概念。 概念 介绍 GPU 图形处理器（Graphics Processing Unit）。相比CPU具有众多计算单元和更多的流水线，适合用于大规模并行计算等场景。 CUDA NVIDIA推出的通用并行计算架构，帮助您使用NVIDIA GPU解决复杂的计算问题。 cuDNN NVIDIA推出的用于深度神经网络的GPU加速库。 镜像 提供了运行实例所需的信息，包括操作系统、初始化应用数据等。 地域和可用区 实例和其他资源的部署物理位置。 SSH密钥对 一种安全便捷的登录认证方式，由公钥和私钥组成，仅支持Linux实例。 安全组 一种虚拟防火墙，您可以基于安全组控制实例的入流量和出流量。 弹性网卡 一种独立的虚拟网卡，可以绑定到弹性云主机或从弹性云主机解绑，实现业务的灵活扩展和迁移。 云硬盘 可弹性扩展的块存储设备，可以用作实例的系统盘或可扩展数据盘使用。 快照 某一时间点云盘数据状态的备份文件，用于备份或者恢复整个云盘。 VPC 虚拟私有云（Virtual Private Cloud）。为云服务器、云容器、云数据库等云上资源构建隔离、私密的虚拟网络环境。VPC丰富的功能帮助用户灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。

参数项 参数值 实例名称 ecs01、ecs02 区域 华东华东1 操作系统 CentOS7.6 CPU 2vCPUs 内存 4GB 系统盘 40GB 数据盘 10GB 公网带宽 5 Mbit/s 安全组 默认安全组，开放22、80端口，实际业务中根据具体情况而定。 弹性IP 自动分配 登录方式 密码 创建密码 自定义

参数 描述 名称 弹性网卡名称，由数字、字母、中文、、组成，不能以数字、和开头。 VPC 选择弹性网卡归属的VPC，必填项。 子网 选择弹性网卡归属的子网，必填项。 主私网IPv4地址 自动分配 辅助私网IP 可以选择不设置、自动分配，或者指定地址。 安全组 选择弹性网卡所属安全组。

参数 描述 名称 弹性网卡名称，由数字、字母、中文、、组成，不能以数字、和开头。 VPC 选择弹性网卡归属的VPC，必填项。 子网 选择弹性网卡归属的子网，必填项。 主私网IPv4地址 自动分配 辅助私网IP 可以选择不设置、自动分配，或者指定地址。 安全组 选择弹性网卡所属安全组。

本章节主要介绍翼MapReduce的配置密码策略操作。 操作场景 根据业务安全需要，管理员可以在FusionInsight Manager设置密码安全规则、用户登录安全规则及用户锁定规则。 须知 密码策略涉及用户管理的安全性，请根据企业安全要求谨慎修改，否则会有安全性风险。 修改密码策略之后，再修改用户密码，此时新的密码策略才会生效。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“系统 > 权限 > 安全策略 > 密码策略”。 3. 具体参数参见下表。 密码策略参数说明 参数名称 描述 最小密码长度 密码包含的最小字符个数，取值范围为8～32。默认值为“8”。 字符类型的数目 密码字符包含大写字母、小写字母、数字、空格和特殊符号（包含~!?,.:;'(){}[]/<>@ $%^&+ 密码连续错误次数 用户输入错误密码超过配置值后将锁定，取值范围为3～30。默认值为“5”。 用户锁定时间（分钟） 满足用户锁定条件时，用户被锁定的时长，取值范围为5～120。默认值为“5”。 密码有效期（天） 密码有效使用天数：取值范围0～90，0表示永久有效，默认值为“90”。 重复使用规则 修改密码时，不允许使用最近N次使用过的密码，N1～5，默认为“1”。此策略只影响“人机”用户。 密码失效提前提醒天数 密码失效提前提醒天数：表示提醒密码失效到密码真正失效的天数。提前一段时间提醒密码即将失效。设置后，若集群时间和该用户密码失效时间的差小于该值，则说明用户进入密码失效提醒期。用户登录FusionInsight Manager界面时会提示用户密码即将过期，是否需要修改密码。取值范围为“0”“X”，（“X”为密码有效期的一半，向下取整）。“0”表示不提醒，默认值为“5”。 认证失败次数重置时间间隔（分钟） 密码输入错误次数保留的时间间隔，取值范围为0～1440。“0”表示永远有效，“1440”表示1天。默认值为“5”。 4. “确定”保存配置。修改密码策略之后，再修改用户密码，此时新的密码策略才会生效。

本文为您介绍弹性云主机的定义和产品架构。 弹性云主机（CTECS，Elastic Cloud Server）是一种可随时获取、弹性可扩展的计算服务。云主机由CPU、内存、镜像、云硬盘等组成，同时结合VPC、安全组、数据多副本保存等能力，打造一个既高效又可靠安全的计算环境，确保服务持久稳定运行。 弹性云主机的开通和使用非常便捷、高效，您只需要指定CPU、内存、镜像等配置信息。开通完成后，您就可以像使用本地PC或物理服务器一样在云上使用弹性云主机，同时您也可以按需随时调整弹性云主机的规格配置。 产品架构 弹性云主机，整合了计算、存储与网络等资源，通过和其他产品、服务组合，为用户提供安全可靠、高性能、弹性可伸缩的虚拟计算服务，可覆盖各种不同量级的业务场景。 产品使用入口：您可以通过控制台、OpenAPI管理和使用弹性云主机。 计费方式：您可以按需选择弹性云主机计费方式，可选包年包月或按量计费。 地域/可用区：您可以按需选择创建云主机的地域和可用区。 云主机组：可以在创建弹性云主机时，通过加入云主机组。通过设置反亲和策略，将云主机尽量分散地部署在不同的宿主机上，以提高业务的可靠性。 操作日志：开启云审计服务后，系统会记录弹性云主机相关的操作事件，您可以在控制台操作日志界面进行查看。 配额管理：为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少台弹性云主机、多少块云硬盘。如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 访问控制：可以进行精细的权限管理，以达到不同用户之间的权限隔离。 镜像服务：镜像包含了初始系统环境、应用环境、软件配置等信息，您通过公共镜像、私有镜像、共享镜像、安全产品镜像或应用镜像批量创建弹性云主机，可以实现业务的快速部署。 快照服务：快照指的是云硬盘数据在某个时刻的完整拷贝或镜像，是一种重要的数据容灾手段，当数据丢失时，可通过快照将数据完整的恢复到快照时间点。 云硬盘：可以像物理硬盘一样分区格式化，满足大部分通用业务场景下的数据存储需求。 云备份：为弹性云主机提供简单易用的备份服务，当发生病毒入侵、人为误删除、软硬件故障等事件时，可将数据恢复到任意备份点。 虚拟私有云：通过虚拟私有云建立专属的网络环境，设置子网、安全组，并通过弹性公网IP实现外网连接。 安全组：安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云主机提供访问策略。 弹性伸缩：可以灵活调整弹性云主机数量，高效匹配业务要求。 云迁移：支持将客户云下或其他云的计算资源迁移至天翼云。 云监控：通过云监控用户可以实时观测弹性云主机的使用情况。

本节介绍了切换虚拟私有云的操作场景、约束限制、切换须知、操作步骤。 操作场景 本节操作介绍为弹性云主机切换虚拟私有云的操作步骤。 约束限制 仅支持单网卡切换虚拟私有云。 切换虚拟私有云前如果重装/切换过云主机的操作系统，请先登录云主机，验证重装/切换时设置的密码或密钥是否注入成功。 − 如果成功登录云主机，说明密码或密钥注入完成，可继续执行其他操作。 − 否则说明系统正在注入密码或密钥信息，在此期间请勿对云主机执行其他操作。 切换虚拟私有云过程中，请勿操作云主机的弹性公网IP，或对云主机做其他操作。 如果网卡上有IPv6地址，无法切换虚拟私有云。 切换须知 切换虚拟私有云支持在开机状态下操作，但是过程中会导致云主机网络中断。 切换虚拟私有云后，云主机子网、私有IP地址、MAC地址、操作系统内网卡名称都会发生改变。 切换虚拟私有云后，请重新配置源/目的检查和虚拟IP地址。 虚拟私有云切换完成后，与网络配置相关的应用软件需要重新配置。与网络相关的服务也需要重新配置，例如ELB、VPN、NAT、DNS等。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 弹性云主机”。 3. 在弹性云主机列表中，单击“操作”列下的“更多 > 网络设置 > 切换VPC”。 系统弹窗显示“切换虚拟私有云”页面。 4. 根据界面提示，在下拉列表中选择可用的虚拟私有云、子网，设置私有IP地址和安全组。 5. 您可以同时勾选多个安全组，此时，弹性云主机的访问规则遵循几个安全组规则的并集。 说明 使用多个安全组可能会影响弹性云主机的网络性能，建议您选择安全组的数量不多于5个。 6. 单击“确定”。

插件简介 gpubeta插件是支持在容器中使用GPU设备的管理插件，仅支持Nvidia驱动。 约束与限制 安装gpubeta插件的集群中必须包含GPU节点。 下载的驱动必须是后缀为“.run”的文件。 须知： 若下载链接为公网地址，如Nvidia官网，各GPU节点均需要绑定EIP。 若下载链接为对象存储上的链接，无需绑定EIP 。 请确保Nvidia驱动版本与GPU节点适配。 更改驱动版本后，需要重启节点才能生效。 获取驱动链接 步骤 1 登录到 安装插件 步骤 1 登录CCE控制台，在左侧导航栏中选择“插件管理”。在“插件市场”页签下，单击gpubeta插件下的“安装插件”。 步骤 2 在安装插件页面，选择安装的集群和插件版本，单击“下一步：规格配置”。 步骤 3 在规格配置页面，配置驱动链接地址。如何获取驱动链接，请参考获取驱动链接公网地址.docx

审核流程版本 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。 5. 在目标流程“操作”列，单击“版本管理”，弹出流程版本管理页面。 6. 在流程版本管理页面中，单击目标流程所在行的“操作”列的“审核”，弹出审核确认框。 7. 在审核确认框中，选择“审核意见”，参数说明如下所示。 参数 说明 审核意见 勾选审核结论。 通过，通过后流程版本状态更新为已激活。 驳回，驳回后流程版本状态更新为审核驳回，可再次编辑后提交。 驳回原因 输入审核意见（当审核意见勾选驳回时必填）。 说明 审核驳回后的流程版本可进行编辑，具体操作请参见管理流程版本。 流程版本状态变化：当前流程仅有一个流程版本时，审核通过后的流程“版本状态”默认为“已激活”。 8. 单击“确定”，完成审核流程版本。 启用流程 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。 5. 在目标流程所在行的“操作”列，单击“启用”，页面弹出启用确认框。 6. 在弹出的确认框中，选择启用的流程版本后，单击“确定”，完成流程启用。

参数 描述 数据库实例名称 默认为创建同步任务时选择的数据库实例，不可进行修改。 帐号认证数据库 填写的数据库帐号所属的数据库名称。例如：DDS实例默认的帐号认证数据库为admin。 数据库用户名 目标数据库对应的数据库用户名。 数据库密码 目标数据库的登录密码。 SSL安全连接 通过该功能，用户可以选择是否开启对同步链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不启用SSL安全连接，请自行承担数据安全风险。

本章节介绍如何对DRDS实例进行访问控制 操作场景 当前创建DRDS实例时，DRDS默认支持负载均衡（个别没有负载均衡能力的局点除外）。当业务通过控制台提供的内网地址连接DRDS时，默认不限制访问的IP地址，即此时安全组是失效的，需要通过“访问控制”功能来做访问的安全控制。若直连DRDS节点，安全组依然有效。 操作步骤 1、登录分布式关系型数据库控制台。 2、选择“实例管理 > 实例名称 > 基本信息页 > 网络信息”，单击打开“访问控制”的开关。 3、单击“设置”，弹出“修改访问控制”弹框，，输对应名单的IP地址，单击“确定”。

本文介绍购买容器安全卫士的详细步骤。 容器安全卫士支持包年/包月计费模式，您可以根据业务规模选择容器安全卫士规格。 前提条件 已注册天翼云账号并完成实名认证。 约束限制 同一账号在同一个区域只能开通一个容器安全卫士实例，对应一个服务版本。 说明 原则上，在任何一个区域购买的容器安全卫士实例支持防护所有区域的业务，但为了防护及转发效率，建议在购买容器安全卫士实例时，根据防护业务所在区域就近选择购买容器安全卫士实例区域。 开通容器安全卫士实例，必须购买主套餐，可以在主套餐基础上叠加购买节点。 容器安全卫士实例生效期间，支持升级购买的服务版本以及扩增节点数量，但不支持降级。扩容节点与主套餐绑定，到期时间与主套餐一致，不支持单独续订、退订。 适用场景 用户业务服务器部署在天翼云上、非天翼云或线下，防护对象为节点、容器、镜像。 各服务版本推荐适用的场景说明如下： 标准版：适用云原生应用基本安全防护需求。 高级版：适用云原生应用高级安全防护需求。