本页介绍天翼云TeleDB数据库元数据pgdatamaskuser的内容。 存储管理和配置特定用户的数据脱敏策略 名称 类型 定义 relid Oid 表的OID userid Oid 用户的OID attnum int16 列号 enable bool 是否启用数据掩码 username NameData 用户名 nspname NameData 模式的名称 tblname NameData 表的名称

2024年11月06日起SQL Server 2019/2022企业版的主备实例上线只读实例。 上线时间 2024年11月06日 上线地域 当前关系数据库SQL Server版支持的全部资源池。 上线规格 独享型 CPU（核） 内存（GB） 2 8 2 16 4 8 4 16 4 32 8 16 8 32 8 64 16 32 16 64 16 128 24 192 32 128 32 256 64 256 通用型 CPU（核） 内存（GB） 2 4 2 8 4 8 4 16 8 16 8 32 16 32 16 64 如何创建 目前仅2022企业版、2019企业版的主备版实例支持创建只读实例。 更多创建只读实例的相关介绍，请参见创建只读实例。

本文将为您介绍如何将您现有资源导入一个资源栈。 您可以通过资源导入，实现将您已有的多个资源，导入一个新的资源栈 / 已有资源栈，实现统一管理。 适用场景 导入新资源栈 1. 统一管理存量资源：将原有的通过控制台或openAPI手动创建的“游离”资源，统一管理起来 2. 治理松散管理的资源：用于将零散的“孤儿”资源（如孤立的EIP、未使用的安全组）统一纳入管理，便于后续集中清理或审计 导入已有资源栈 1. 嵌套现有架构：将一个现有资源栈作为子模块，导入到另一个更大的资源栈中，实现模块化 2. 纳入团队协同管理：将团队成员独立创建的组件，统一导入中心资源栈中 使用限制 1. 导入资源时，不支持对 待导入资源 进行更新，例如变配、更新参数、包周期转按需等 2. 导入资源时，不支持同时新增、更新或删除资源。如需增删改，请使用相应模板单独创建（更新）并部署资源栈 3. 导入资源仅限当前资源池，请选择本资源池下的资源。若选择其他资源池的资源，将因无法匹配而被判定为新增、更新或删除一个资源，进而导致导入失败（导入的同时不支持同时新增、更新或删除资源）。 当前资源池指的是模板中声明的资源池（优先），或控制台所在资源池。

本文将为您介绍如何将您现有资源导入一个资源栈。 您可以通过资源导入，实现将您已有的多个资源，导入一个新的资源栈 / 已有资源栈，实现统一管理。 适用场景 导入新资源栈 1. 统一管理存量资源：将原有的通过控制台或openAPI手动创建的“游离”资源，统一管理起来 2. 治理松散管理的资源：用于将零散的“孤儿”资源（如孤立的EIP、未使用的安全组）统一纳入管理，便于后续集中清理或审计 导入已有资源栈 1. 嵌套现有架构：将一个现有资源栈作为子模块，导入到另一个更大的资源栈中，实现模块化 2. 纳入团队协同管理：将团队成员独立创建的组件，统一导入中心资源栈中 使用限制 1. 导入资源时，不支持对 待导入资源 进行更新，例如变配、更新参数、包周期转按需等 2. 导入资源时，不支持同时新增、更新或删除资源。如需增删改，请使用相应模板单独创建（更新）并部署资源栈 3. 导入资源仅限当前资源池，请选择本资源池下的资源。若选择其他资源池的资源，将因无法匹配而被判定为新增、更新或删除一个资源，进而导致导入失败（导入的同时不支持同时新增、更新或删除资源）。 当前资源池指的是模板中声明的资源池（优先），或控制台所在资源池。

本章节主要介绍下载用户认证文件。 操作场景 用户开发大数据应用程序并在支持Kerberos认证的MRS集群中运行此程序时，需要准备访问MRS集群的“机机”用户认证文件。认证文件中的keytab文件可用于认证用户身份。 该任务指导管理员用户通过Manager下载“机机”用户认证文件并导出keytab文件。开启Kerberos认证的集群或开启弹性公网IP功能的普通集群支持该操作。 说明 如果选择下载“人机”用户的认证文件，在下载前需要使用Manager修改过一次此用户的密码使管理员设置的初始密码失效，否则导出的keytab文件无法使用。请参见 该章节操作仅适用于MRS 3.x之前版本集群。MRS3.x及之后版本集群请参考导出认证凭据文件章节。 操作步骤 访问MRS Manager，详细操作请参见访问MRSManager（MRS2.x及之前版本）。 1. 在MRS Manager，单击“系统设置”。 2. 在“权限配置”区域，单击“用户管理”。 3. 在需导出keytab文件用户所在的行，选择“更多 > 下载认证凭据”下载认证文件，待文件自动生成后指定保存位置，并妥善保管该文件。 4. 使用解压程序打开认证文件。 “user.keytab”表示用户keytab文件，用于认证用户身份。 “krb5.conf”表示认证服务器配置文件，应用程序在进行用户认证身份时根据该文件的配置信息连接认证服务器。

操作场景 当您需要对指定保护组下的所有资源开启保护时，可参考本章节执行开启保护操作。 开启保护后，保护组内满足条件的所有保护实例开始数据同步。 前提条件 保护组中保护实例的状态为“待保护”或者“开启保护失败”时，才能开启保护。 操作步骤 1. 登录管理控制台。 2. 单击服务列表，选择“存储 > 存储容灾服务”。进入“存储容灾服务”页面。 3. 在“异步复制”页面，单击待开启保护的保护组所在站点复制对的保护组数。进入对应站点复制对的保护组页面。 4. 在左侧导航选择相应的保护组。进入保护组详情页面。 5. 在保护实例列表中，单击待开启保护的保护实例所在行操作列的“更多 > 开启保护”。如果有多个保护实例需要开启保护，可同时勾选需要开启保护的保护实例，单击保护实例列表上方的“开启保护”。 6. 在弹出的确认对话框中，确认待开启的保护实例信息后，单击“是”开启保护，保护实例状态变为“开启保护中”。 7. 开启保护执行完成后，保护实例状态变为“同步中”，继续同步差异数据。 说明 开启保护后，数据同步会先读取差异数据，并从磁盘读取数据同步至容灾端，此时会增加磁盘的读带宽，可能会造成业务影响，建议在业务低负载时开启。

操作步骤 步骤 1 登录管理控制台。 步骤 2 在管理控制台左上角单击，选择区域。 步骤 3 单击管理控制台左上角，然后单击“API网关 APIG”。 步骤 4 在左侧导航栏单击“专享版”。 步骤 5 单击“购买专享版实例”，进入实例购买的配置页面。 表 API网关专享版实例参数说明 参数项 说明 :: 区域 指APIG专享版实例部署的区域，建议和您其他的业务部署在相同区域，这样不同的业务可以在VPC内以子网方式通信，节省公网带宽成本，降低网络延时。 可用区 指同一区域内电力、网络等资源物理隔离的地理区域，一般为互相独立的机房。 APIG实例支持同时选择多个可用区，进行跨可用区部署，提升实例高可用性。 实例名称 实例的名称，根据规划自定义。 实例规格 当前开放基础版、专业版、企业版、铂金版实例。 时间窗 指允许云服务技术支持对实例进行维护的时间段。如果有维护需要，技术支持会提前与您沟通确认。 建议选择业务量较少的时间段。 公网入口 指允许外部服务通过弹性IP地址，调用专享版实例创建的API。开启“公网入口”，需要绑定一个“弹性IP地址”。 您需要使用独立域名/子域名访问，使用子域名访问时存在单日访问次数限制。可在创建API分组后，为分组绑定独立域名，独立域名需要解析到专享版实例的弹性IP。 例如您有一个API，请求协议为HTTPS，Path为/apidemo，开启了公网访问，并为分组绑定了独立域名后，可使用 公网出口 指允许专享版实例API的后端服务部署在外部网络，APIG为实例开启公网出口。您可以根据业务预估设置合适的“出公网带宽”。出公网带宽可配置范围为1~2000Mbit/s，费用按小时计算，以弹性IP服务的价格为准。 IPv6 如果后端云主机部署在外部网络，且需要使用IPv6地址访问，则需要勾选“支持IPv6”。 网络 指为实例绑定到一个虚拟私有云，并为其分配子网。 在相同虚拟私有云中的云服务资源（如ECS），可以使用APIG专享版实例的私有地址调用API。 建议将专享版实例和您的其他关联业务配置一个相同的虚拟私有云，确保网络安全的同时，方便网络配置。 安全组 安全组用于设置端口访问规则，定义哪些端口允许被外部访问，以及允许访问外部哪些地址与端口。 例如，后端服务部署在外部网络，则需要设置相应的安全组规则，允许访问后端服务地址与API调用监听端口。 说明 如果开启公网入口，安全组入方向需要放开80（HTTP）和443（HTTPS）端口的访问权限。 描述 实例的描述信息。 步骤 6 单击“立即购买”，进入实例规格确认页面。 步骤 7 规格确认无误后，勾选用户协议和隐私政策的阅读并同意声明，单击“提交”，并确认实例规格后，专享版实例开始创建，界面显示创建进度。 如果实例计费方式为包周期，则需要待订单支付完成后，开始创建实例。

添加安全组规则 安全组中的入方向规则默认开启了22端口，当云主机的SSH登录端口修改为5000时，需要为安全组新加一条规则。 1.登录管理控制台。 2.选择“计算 > 弹性云主机”，进入云主机控制台。 3.单击云主机名称“ecsf5a2”进入详情页面。 4.选择“安全组”页签，单击展开安全组规则详情，单击列表右上角的“更改安全组规则”。 5.添加一条入方向规则，如下图所示。 图 安全组规则 编辑hosts.allow和hosts.deny “/etc/hosts.allow”和“/etc/hosts.deny”是控制远程访问的文件，通过配置该文件可以允许或者拒绝某个IP或者IP段的客户访问Linux云主机的某项服务。 比如SSH服务，通常只对管理员开放，那我们就可以禁用不必要的IP，而只开放管理员可能使用到的IP段。 因为云主机需要在不同地点登录，建议编辑“/etc/hosts.allow”允许所有IP地址登录，这样不会影响正常使用。 vim /etc/hosts.allow 在最后一行增加“sshd:ALL”。 我们可以通过一些方法识别云主机的安全风险，比如检查SSH状态，查看疑似恶意登录的IP，然后在“/etc/hosts.deny”中将这些地址禁止。

混合云统一安全管理 面向操作系统开发，能够提供跨平台（任何基础架构的公有云、私有云、混合云）、跨介质（物理机、虚拟机、容器）的统一安全管理能力。 支持任何基础架构技术构建的云平台，包括OpenStack、VMware、KVM、Docker等； 实现混合环境下，不同介质的内部流量统一监控、安全策略统一管理； 支持阿里云、青云、Ucloud、Azure等公有云平台； 支持Red Hat、CentOS、Ubuntu、Windows等常见操作系统版本。

本节介绍如何配置IaC检查对新增文件的自动扫描策略。 在IaC安全的设置管理页面，支持设置是否自动扫描新增的K8S manifests、Dockerfile、ConfigMap、Helm chart文件。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“IaC安全 > 设置管理”，进入设置管理页面。 3. 在基本设置页面，打开或关闭自动扫描开关。 4. 单击“保存”，完成配置。

默认情况下云搜索服务安装了简繁体转换插件，用户无需自行安装。简繁体转换插件是一款可以使中文简体和中文繁体相互转换的插件。通过该插件的转换，用户可以使用中文繁体关键字搜索出包含对应中文简体的索引数据，也可以使用中文简体关键字搜索出包含对应中文繁体的索引数据。 简繁体转换插件通常可以当做analyzer、tokenizer、tokenfilter或charfilter来使用。 简繁体转换插件的转换类型包含如下两种： s2t：将中文简体转换为中文繁体。 t2s：将中文繁体转换为中文简体。 示例指导 1. 登录云搜索服务管理控制台。 2. 在左侧导航栏中，选择“集群管理”，进入集群列表页面。 3. 在集群列表中，单击需要使用的集群对应“操作”列的“Kibana”。 如果开启了安全模式，需要输入创建集群时设置的用户名和密码。 4. 在Kibana的左侧导航中选择“Dev Tools”，单击“Get to work”，进入Console界面。 5. 在Console界面，执行如下命令，创建索引“stconvert”，并指定自定义映射来定义数据类型。 7.x之前版本 PUT /stconvert { "settings": { "numberofshards": 1, "numberofreplicas": 0, "analysis": { "analyzer": { "tsik": { "tokenizer": "iksmart", "charfilter": [ "tsconvert", "stconvert" ] } }, "charfilter": { "tsconvert": { "type": "stconvert", "converttype": "t2s" }, "stconvert": { "type": "stconvert", "converttype": "s2t" } } } }, "mappings": { "type": { "properties": { "desc": { "type": "text", "analyzer": "tsik" } } } } } 7.x之后版本 PUT /stconvert { "settings": { "numberofshards": 1, "numberofreplicas": 0, "analysis": { "analyzer": { "tsik": { "tokenizer": "iksmart", "charfilter": [ "tsconvert", "stconvert" ] } }, "charfilter": { "tsconvert": { "type": "stconvert", "converttype": "t2s" }, "stconvert": { "type": "stconvert", "converttype": "s2t" } } } }, "mappings": { "properties": { "desc": { "type": "text", "analyzer": "tsik" } } } } 返回结果如下所示。 { "acknowledged" : true, "shardsacknowledged" : true, "index" : "stconvert" } 6. 在Console界面，执行如下命令，导入数据到“stconvert”索引中。 7.x之前版本 POST /stconvert/type/1 { "desc": "國際電視臺" } 7.x之后版本 POST /stconvert/doc/1 { "desc": "國際電視臺" } 当返回结果信息中“failed”字段的值为“0”时，表示数据导入成功。 7. 在Console界面，执行如下命令，搜索关键字“国际”，并查看搜索结果。 GET /stconvert/search { "query": { "match": { "desc": "国际" } } } 搜索结果如下所示。 { "took" : 15, "timedout" : false, "shards" : { "total" : 1, "successful" : 1, "skipped" : 0, "failed" : 0 }, "hits" : { "total" : 1, "maxscore" : 0.5753642, "hits" : [ { "index" : "stconvert", "type" : "type", "id" : "1", "score" : 0.5753642, "source" : { "desc" : "國際電視臺" } } ] } }

云点播密钥管理功能介绍。 综述 云点播采用了AK/SK的认证机制，对SDK、API、回调通知等交互入口进行了安全强化。AK（又称Access key），用于标识用户身份。SK（又称Secret access key）是用户用于加密认证字符串和云厂商用来验证认证字符串的密钥，其中SK必须保密。AK/SK使用对称加解密算法，其原理是当云点播侧接收到用户的请求后，系统将使用AK对应的相同的SK和同样的认证机制生成认证字符串，并与用户请求中包含的认证字符串进行比对。如果认证字符串相同，系统认为用户拥有指定的操作权限，并执行相关操作；如果认证字符串不同，系统将忽略该操作并返回错误码。云点播提供了统一入口，对涉及到的相关AK/SK密钥对进行管理。 查看密钥配置列表 前提条件 已开通云点播产品。 账号属性为主账号。 操作步骤 进入云点播控制台，选择左侧导航栏的【开发配置】–【密钥管理】可打开密钥管理配置页面。在该页面，您可以看到【原生密钥】、【OpenAPI密钥】两个标签卡，适用于在不同场景下密钥生成和管理。 功能 说明 :: 原生密钥 用于在调用原生API、SDK时的身份和校验信息生成，该密钥由云点播（存量）或CTIAM（增量）生成。 OpenAPI密钥 用于在调用天翼云OpenAPI接口时的身份和校验信息生成。 原生密钥

本页介绍天翼云TeleDB数据库异步行为相关参数。 effectiveioconcurrency (integer) 设置TeleDB可以同时被执行的并发磁盘 I/O 操作的数量。调高这个值，可以增加任何单个数据库会话试图并行发起的 I/O 操作的数目。允许的范围是 1 到 1000，或 0 表示禁用异步 I/O 请求。当前这个设置仅影响位图堆扫描。对于磁盘驱动器，这个设置的一个很好的出发点是组成一个被用于该数据库的 RAID 0 条带或 RAID 1 镜像的独立驱动器数量（对 RAID 5 而言，校验驱动器不计入）。 但是，如果数据库经常忙于在并发会话中发出的多个查询，较低的值可能足以使磁盘阵列繁忙。比保持磁盘繁忙所需的值更高的值只会造成额外的 CPU 开销。SSD 以及其他基于内存的存储常常能处理很多并发请求， 因此它们的最佳值可能是数百。异步 I/O 依赖于一个有效的posixfadvise函数 （一些操作系统可能没有）。 如果不存在这个函数，将这个参数设置为除 0 之外的任何东西将导致错误。在一些操作系统上（如Solaris） 虽然提供了这个函数，但它不会做任何事情。支持的系统上缺省为1，否则为0。对于一个特定表空间中的表，可以通过设定该表空间的同名参数（见ALTER TABLESPACE） 可以覆盖这个值。 maxworkerprocesses (integer) 设置系统能够支持的后台进程的最大数量。这个参数只能在服务器启动时设置。默认值为8。在运行一个后备服务器时，你必须把这个参数设置为等于或者高于主控服务器上的值。否则， 后备服务器上可能不会允许查询。修改此值时，也要考虑调整 maxparallelworkers和 maxparallelworkerspergather。

本节主要介绍DNAT规则模板导入导出的操作步骤。 操作场景 公网NAT网关创建后，通过添加DNAT规则，则可以通过映射方式将您VPC内的云主机对互联网提供服务。 一个云主机绑定一条DNAT规则，如果您有多个云主机需要为互联网提供服务，则需要创建多条DNAT规则。 操作前提 已成功创建公网NAT网关。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。进入公网NAT网关页面。 3. 在公网NAT网关页面，单击需要添加DNAT规则的公网NAT网关名称。 4. 在公网NAT网关详情页面中，单击“DNAT规则”页签。 5. 在DNAT规则页签中，单击“导入DNAT规则列表”，下载模板。 6. 根据模板中的表头，填写DNAT规则参数，详情请参见下表。 表 DNAT规则参数说明 参数 说明 使用场景 分为虚拟私有云和云专线两种方式。 虚拟私有云：表示虚拟私有云中的云主机将通过DNAT的方式共享弹性IP，为公网提供服务。 云专线：表示通过云专线方式接入虚拟私有云的本地数据中心中的服务器，将通过DNAT的方式为公网提供服务。 支持协议 协议类型分为TCP、UDP、全部三种类型。 弹性IP 弹性IP地址及公网端口。只能使用未绑定的弹性IP或者被绑定在当前VPC中DNAT规则上的弹性IP。 私网IP 当使用场景为虚拟私有云时，指云主机的IP地址。表示此IP地址的云主机将通过DNAT方式为公网提供服务。 当使用场景为云专线时，指用户本地数据中心中服务器的IP地址或者用户的私有IP地址。 表示通过云专线接入到虚拟私有云的本地数据中心端的此私有IP服务器，可以通过DNAT方式为公网提供服务。 协议类型为TCP、UDP时，需要配置私网IP的端口。 描述 DNAT规则信息描述。最大支持255个字符。 7. 模板填写完后，单击“导入DNAT规则列表”图标，选择本地模板，单击“导入”。 8. 可在DNAT规则列表中查看详情，若“状态”为“运行中”，表示创建成功。 9. 在DNAT规则页签中，单击“导出DNAT规则列表”，可导出已配置好的DNAT规则模板。

本文介绍全站加速域名操作日志页面信息。 功能介绍 域名操作日志，是用于跟踪和记录由客户操作发起的域名新增及域名配置变更任务信息，方便跟进操作的进度以及追溯操作历史，辅助管理客户业务。当您在域名管理操作中，新增域名或对某个域名的配置进行了变更，编辑完成后，每提交一次任务，系统都会生成一条域名操作工单（编号唯一），该工单编号作为天翼云内部各系统对本次变更任务的跟踪管理和结果管理，且系统会实时更新工单的处理状态（进行中、成功、失败），通过【客户控制台】 【域名管理】【操作日志】展示出来，方便用户及时感知。 工单状态及处理建议： 1. 工单【状态】【成功】：常规域名变更任务，一般会在5~10分钟内部署完成，每当重新进入【工单列表】页签控制台会自动更新工单状态，可以看到工单【状态】变化，从【进行中】变更为【成功】，此时说明配置已全局部署并生效，工单闭环。 2. 工单【状态】【进行中】：如果等待10分钟以上，重新刷新【工单列表】其状态依然是【进行中】，而又比较着急的话，请通过提交工单（客服工单）联系天翼云客服，由其帮您定位域名操作工单（本文档所介绍的工单）的内部处理进展，直至闭环。 3. 工单【状态】【失败】：如果工单显示失败，请通过提交工单（客服工单）联系天翼云客服，由其帮您定位域名操作工单失败原因，直至闭环。

入口网关操作 入口网关创建后，您可以在应用网格控制台查看入口网关创建以及elb绑定进度，还可以管理入口网关。 通过应用网格控制台管理入口网关 1. 登录应用网格控制台，单击应用网格实例列表中的网格名称。 2. 在左侧导航栏中，选择网关>入口网关。 3. 选择对应的集群和命名空间后，对入口网关进行管理。 操作 说明 查看或编辑入口网关 单击所需查看的入口网关所在行右侧的管理按钮，可在编辑框中查看并修改入口网关配置。完成配置修改后，点击确定按钮即可提交修改。 删除入口网关 单击所需删除的入口网关所在行右侧的删除按钮，然后在确认对话框中，单击确认按钮。

本文介绍如何对媒体存储进行访问权限控制。 块存储：块设备在控制台新建时，需要设置CHAP iqn及用户密码，作为客户端连接块空间时的凭证。配置方式可参考：鉴权管理。 文件存储：用户在连接文件系统时，需要获取鉴权信息进行相应的鉴权操作。产品控制台提供鉴权管理能力，用户可通过控制台完成相关操作。配置方式可参考：鉴权管理。 对象存储： 支持桶策略以及ACL进行访问权限管理，具体可参考：访问权限。 支持主子账号配置，配置方式可参考：主子账号。

帮助用户完成云硬盘备份存储库的创建，快速创建磁盘备份容器。 操作步骤 1. 登录云服务备份管理控制台。 a. 登录管理控制台。 b. 单击管理控制台左上角的，选择区域。 c. 单击“”，选择“存储 > 云服务备份”。选择对应的备份目录。 2. 在界面右上角单击“购买云硬盘备份存储库”。 3. 选择计费模式。 包年包月是预付费模式，按订单的购买周期计费，适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。 按需计费是后付费模式，根据实际使用量进行计费，可以随时购买或删除存储库。费用直接从账户余额中扣除。 4. （可选）在磁盘列表中勾选需要备份的磁盘，勾选后将在已选磁盘列表区域展示，如下图所示。 图 选择磁盘 说明 所选磁盘未绑定存储库且状态必须为“可用”或“正在使用”。 若不勾选磁盘，如需备份可在创建存储库后绑定磁盘即可。 5. 输入存储库容量。此容量为绑定磁盘所需的总容量。您需要提前规划存储库容量，存储库的空间不能小于备份磁盘的空间。取值范围为[10，10485760]GB。在使用过程中对磁盘进行扩容，未开启自动扩容的情况下存储库不会进行自动扩容。 6. 选择是否配置自动备份。 立即配置：配置后会将存储库绑定到备份策略中，整个存储库绑定的磁盘都将按照备份策略进行自动备份。可以选择已存在的备份策略，也可以创建新的备份策略。 暂不配置：存储库将不会进行自动备份。 7. 如开通了企业项目，需要为存储库添加已有的企业项目。 企业项目是一种云资源管理方式，企业项目管理提供统一的云资源按项目管理，以及项目内的资源管理、成员管理，默认项目为default。 8. （可选）为存储库添加标签。 标签以键值对的形式表示，用于标识存储库，便于对存储库进行分类和搜索。此处的标签仅用于存储库的过滤和管理。一个存储库最多添加10个标签。 9. 输入待创建的存储库的名称。 只能由中文字符、英文字母、数字、下划线、中划线组成，且长度小于等于64个字符。例如：vault612c。也可以采用默认的名称，默认的命名规则为“vaultxxxx”。 10. 当计费模式为“包年/包月”时，需要选择购买时长。可选取的时间范围为1个月~5年。 可以选择是否自动续费，勾选自动续费时： 按月购买：自动续费周期为1个月。 按年购买：自动续费周期为1年。 11. 根据页面提示，完成支付。 12. 返回云硬盘备份页面。可以在存储库列表看到成功创建的存储库。

若您需要购买数据安全专区专区的相关业务，可参考本章节进行选购。 选购步骤 1.登录数据安全专区管理控制台。 2.单击右上角的“订购数据安全专区”，跳转至选购页面。 3.选择需要购买的业务及各项配置。 配置项 配置项说明 地域 选择您业务所需要部署的资源池。 可用区 选择业务需要部署的可用区。 企业项目 选择新购产品所在的企业项目，企业项目相关内容请参考：企业项目管理。 说明 仅一类资源池支持选择企业项目。 虚拟私有云 选择业务所在的VPC组。 注意 VPC选定后暂不支持更换，请谨慎选择。 子网 选择当前VPC内子网。 说明 子网选择必须在VPC的网段内。 配置清单 选择要购买的数据安全专区配置，具体可参考：服务版本差异和计费项章节。 购买时长 选择业务购买时长，支持选择112个月，25年。 自动续订 选择是否自动续订业务。 说明 自动续订的时长会和您业务购买的时长保持一致。 4.选购完成后，勾选“我已阅读，理解并接受《天翼云数据安全专区服务协议》”。 5.单击“立即购买”跳转至支付页面。

本节介绍创建应用组的相关步骤。 操作场景 应用管理功能支持管理系统应用和用户自定义应用，应用需属于一个应用组。系若统应用组无法满足用户需求，用户可添加一个新的自定义应用组。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本节我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”，进入天翼云SDWAN总览页面。 4. 选择“应用管理”，单击 “应用组管理>创建应用组”。 5. 根据页面提示填写应用组名称。 6. 单击“确定”，完成应用组创建。

本文描述如何批量添加和导出防护规则。 如果您需批量添加和导出防护规则，请参照本章节进行处理。 批量导入防护规则操作步骤 1. 登录管理控制台。 2. 在左侧导航树中，单击左上方的“服务列表”，选择“安全 > 云防火墙”，进入云防火墙的概览页面。 3. 在左侧导航栏中，选择“访问控制 > 访问策略管理”，进入“访问策略管理”页面。 4. 单击“下载模板”，下载导入规则模板到本地。 5. 请按表格要求填写您要添加的防护规则信息，防护规则参数说明如下表所示。 注意 目前最大支持导入300条规则，其中单个源地址组或服务组的成员不能超过64个。 请按照模板要求填写相应参数，确保导入文件的格式与模板一致，否则可能会导入失败。 参数名称 参数说明 取值样例 ::: 顺序 定义规则序号。 1 规则名称 自定义规则名称。 只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 方向 选择防护方向： 外到内：外网访问内部服务器。 内到外：客户服务器访问外网。 内到外 动作 选择“放行”或者“阻断”。设置相应流量是否通过云防火墙。 放行 规则地址类型 选择“IPv4”或者“IPv6”。设置防护的IP类型。 IPv4 启用状态 设置该策略是否立即启用。 启用：表示启用，规则生效。 禁用：表示关闭，规则不生效。 启用 描述 标识该规则的使用场景和用途，以便后续运维时快速区分不同规则的作用。 源地址类型 选择IP地址、IP地址组。 IP 地址 ：支持设置单个IP地址、连续多个IP地址、地址段。 IP 地址组 ：支持多个IP地址的集合。 IP地址 源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。 源IP地址支持以下输入格式： 单个IP地址，如：192.168.10.5 多个连续地址，中间使用“”隔开，如：192.168.0.2192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。 支持以下输入格式： 可输入中文、字母、数字、下划线、连接符或空格。 名称长度不能超过255个字符。 stest 目的地址类型 选择IP地址、IP地址组或域名。 IP 地址 ：支持设置单个IP地址、连续多个IP地址、地址段。 IP 地址组 ：支持多个IP地址的集合。 域名：支持设置单个域名。 IP地址组 目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。 目的IP地址支持以下输入格式： 单个IP地址，如：192.168.10.5 多个连续地址，中间使用“”隔开，如：192.168.0.2192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。 支持以下输入格式： 可输入中文、字母、数字、下划线、连接符或空格。 名称长度不能超过255个字符。 dtest 域名 “目的地址类型”选择“域名”时，需填写“域名”。 由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。 www.example.com 服务类型 选择服务或服务组。 服务 ：支持设置单个服务。 服务组 ：支持多个服务的集合。 服务 协议/源端口/目的端口 设置需要限制的类型。 协议类型当前支持：TCP、UDP、ICMP、Any、ICMPV6。 设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“”隔开，如：80443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“”隔开，如：80443 TCP/443/443 服务组名称 自定义服务组名称。 只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 servicetest 6. 表格填写完成后，单击“导入规则”按钮，导入防护规则表。 注意 导入规则操作将在数分钟内完成。 导入规则过程中访问策略、IP地址组、服务组均不支持添加、编辑、和删除操作。 7. 单击“下载中心”，查看导入规则任务状态，任务状态显示“导入成功”表示导入防护规则成功。 8. 返回防护规则列表查看导入的防护规则。

本文向您介绍windows操作系统下卸载云硬盘操作指南及故障排除。 问题场景 在使用弹性云主机+云硬盘的服务时，您可能需要将磁盘属性为数据盘的云硬盘从当前云主机卸载，以便挂载至另一台弹性云主机继续使用。请注意，卸载云硬盘的操作不会清除硬盘上的数据。 支持范围 适用对象：仅支持数据盘的卸载，系统盘不支持卸载操作。 前提条件与注意事项 1、为保证数据完整性，在卸载前，建议暂停所有针对该磁盘的文件系统读写操作，以防止数据丢失。如果有服务正在运行并使用该云硬盘，请先停止这些服务，确认所有依赖于该云硬盘的服务都已停止后再卸载云硬盘。 2、卸载云硬盘前建议先执行脱机（Windows）操作或者umount（Linux）操作，否则可能会导致云主机卸载云硬盘失败或者云主机再次挂载云硬盘时无法识别等异常情况。 3、若出现卸载失败等异常情况，可以先检查进程占用，例如使用 fuser k /mnt/point（Linux）或任务管理器（Windows）查找并终止占用磁盘的进程，然后重新尝试卸载。或者可以先对云主机关机后再重新尝试卸载。 如遇复杂问题，建议联系技术支持获取进一步协助。

该任务指导用户通过漏洞扫描服务取消主机授权。 注意事项 取消主机授权后，将不能完全扫描出主机的安全风险，请谨慎操作。 前提条件 已获取管理控制台的登录账号与密码。 已添加主机。 已开通预置账号。 已在创建任务时授权通过网络连接到对应的主机，即已进行主机授权。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 批量选择需要配置的主机，单击“批量操作 > 编辑”，进入批量授权入口，如下图所示。 说明 用户也可以单台主机授权，在目标主机所在行的“操作”列，单击“编辑”。 5. 在目标主机的“操作”列，单击“更多”，在下拉框中，单击“解除授权”。解除授权后，“授权信息”的状态为“暂未配置”。 6. 单击“确定”，解除授权成功。

标签管理 标签是以key/value键值对的形式附加在工作负载上的。添加标签后，可通过标签对工作负载进行管理和选择，主要用于设置亲和性与反亲和性调度。您可以给多个工作负载打标签，也可以给指定的某个工作负载打标签。 您可以根据业务需求对无状态工作负载、有状态工作负载和守护进程集的标签进行管理，本文以无状态工作负载为例说明如何使用标签管理功能。 如下图，假设为工作负载（例如名称为APP1、APP2、APP3）定义了3个标签：release、env、role。不同工作负载定义了不同的取值，分别为： APP 1：[release:alpha;env:development;role:frontend] APP 2：[release:beta;env:testing;role:frontend] APP 3：[release:alpha;env:production;role:backend] 在使用调度或其他功能时，选择“key/value”值分别为“role/frontend”的工作负载，则会选择到“APP1和APP2”。 图 标签案例 步骤 1 登录CCE控制台，进入一个已有的集群，在左侧导航栏中选择“工作负载”。 步骤 2 选择“无状态负载”页签，单击工作负载后方操作栏中的“更多 > 标签管理”。 步骤 3 单击“添加”，输入键和值后单击“确定”。 图 标签管理 说明 标签格式要求如下：以字母和数字开头或结尾，由字母、数字、连接符（）、下划线（）、点号（.）组成且63字符以内。

系统影响 升级服务版本和购买资源扩展包时，原已启用的防护服务不会暂停，对已防护的网站业务无任何影响。 升级云SaaS型实例规格 云SaaS型实例支持从较低版本的主套餐升级至任一更高版本。 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“云SAAS型”页签。 5. 单击“升级扩容”，进入“升配”页面。 6. “规格选择”默认为当前实例版本，可以对当前实例版本进行升级。 7. 选择升级的版本后，在页面下方确认支付费用，单击“立即购买”。 8. 在订单页完成订单确认并支付，付费成功后，购买的版本将生效。 扩增云SaaS型实例资源扩展包 云SaaS型实例支持扩增资源扩展包的数量，扩展包规格请参见产品规格。 说明 若需要购买规则扩展包提升重保防护场景配额，购买后，请联系技术支持进行配置。 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“云SAAS型”页签。 5. 单击“升级扩容”，进入升配页面。 6. 在“升配”页面下方，单击“去增项”，进入增项页面。 7. 设置资源扩展包数量，需高于当前已购买数量。 8. 设置完成后，在页面下方确认支付费用，单击“立即购买”。 9. 在订单页完成订单确认并支付，付费成功后，购买扩展包将生效。

本文主要介绍磁盘使用率问题排查 使用文档数据库服务时，如果实例的磁盘使用率过高或完全被使用，将会导致实例不可⽤。 本章节帮助您分析解决DDS实例磁盘使用率高的问题。 查看磁盘使用情况 DDS目前提供如下两种方法用于查看实例磁盘的使用情况。 1. 通过DDS控制台查看磁盘使用情况。 您可以登录DDS控制台，单击目标实例名称，进入“基本信息”页面，在“存储空间”区域可以查看到当前实例的磁盘使用情况。 图 查看磁盘使用情况 2. 通过查看监控指标（磁盘利用率和磁盘使用量）判断实例磁盘的使用情况。 如何查看监控指标请参见查看监控指标。 图 查看磁盘使用情况 解决方案 1. 对于集群实例，可能是因为选择和设置的分片不合理导致数据分布不均衡，从而引起磁盘空间使用率高的情况。 此时，可以对数据库集合进行合适的分片，具体操作请参见设置数据分片以充分利用分片性能。 2. 随着业务数据的增加，原来申请的数据库磁盘容量不足。此时建议扩容磁盘空间，确保磁盘空间足够。 集群实例，请参见扩容集群实例的磁盘空间。 副本集实例，请参见扩容副本集实例的磁盘空间。 如果原有实例规格的磁盘已是最大的，请先升级规格。 集群实例，请参见变更集群实例的CPU和内存规格。 副本集实例，请参见变更副本集实例的CPU和内存规格。 3. 存在大量过期的数据文件占用磁盘空间，此时需要及时处理过期数据文件。例如：如果整个库不需要了，则可以执行dropDatabase命令进行删除，从而快速释放磁盘空间。 4. 后台数据处理机制原因。 因为无论是写入、更新或删除等操作（包括索引插入和删除等操作），在后台实际上都会转成写入。因为底层的存储引擎（WiredTiger和RocksDB），采用都是appendOnly机制。只有当存储引擎内部数据状态满足一定条件后，会触发内部的compaction操作，进行数据压缩，进而释放磁盘空间。 所以有时候会发现，磁盘占用量比实际数据量大，实际上这只是“看起来大”，并不会影响用户的使用。因为内部有些数据压缩，是延时操作，没有立即执行。随着数据的继续写入，会触发后台执行数据压缩清理空间。

本节介绍智算容器使用限制。 约束与限制 购买智算版容器集群实例之前需要在天翼云完成实名认证。 天翼云官网支持：集群订购、退订、续订、节点扩容。 创建节点过程中会使用域名方式从OBS下载软件包，需要能够使用云上内网DNS解析OBS域名，否则会导致创建不成功。为此，节点所在子网需要配置为内网DNS地址，从而使得节点使用内网DNS。在创建子网时DNS默认配置为内网DNS，如果您修改过子网的DNS，请务必确保子网下的DNS服务器可以解析OBS服务域名，否则需要将DNS改成内网DNS。 集群一旦创建以后，不支持变更以下项： 变更集群类型。 变更集群的控制节点数量。 变更控制节点可用区。 变更集群的网络配置，如所在的虚拟私有云VPC、子网、容器网段、服务网段、IPv6、kubeproxy代理（转发）模式。 变更网络模型，例如“容器隧道网络”更换为“VPC网络”。 资源池限制 资源池类型 已加载资源池 L1 资源池 华北2、华南2、西南1、西南2 L2 资源池 上海15、杭州7、武汉41、西安7、长沙42、沈阳8、芜湖4 配额限制 集群类型 租户限制集群数量 单集群管理节点数量 单节点最大Pod数 例外申请方式 专有版集群 5 1000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 智算版集群 5 1000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 托管版单实例集群 2 10 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 托管版高可用集群 2 几个档次可选：50/200/1000/2000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 说明 1. 智算版容器集群依赖底座弹性裸金属资源，如：昇腾910B，需IaaS智算资源支持，申请资源需提交咨询工单或联系对应产品经理。 2. 智算版容器集群目前已经适配了昇腾910B、800I A2，NVIDIA H800、L40S等，适配详情可提交咨询工单或联系对应产品经理。

大量的连接和通道可能会影响RabbitMQ管理接口的性能 RabbitMQ会收集每个连接和通道的数据进行分析和显示，大量连接和通道会影响RabbitMQ管理接口的性能。

系统管理是按照角色权限说明，进行管理员权限分配及设置。 功能说明 对系统管理员可进行添加、编辑、查询和删除用户信息选项操作。 操作方法 1.添加用户 管理员 ：是从天翼云平台同步到安全管理平台的天翼云用户； 普通管理员：在安全管理平台【系统管理】→【用户管理】新增的系统用户。 点击【添加用户】按钮可创建或者添加用户需填写信息（用户名、真实姓名、密码、邮箱、手机号码、角色分配选择），填写完成、点击【提交】即可添加成功。 用户名：填写用户邮箱作为用户名（系统将发送邮件到该邮箱）； 手机号：填写用户手机号（登录接收验证码）。 2.激活用户 点击【激活用户】，发送邮件到用户邮箱，进行激活。 3.删除用户： 点击【删除】或【批量删除】按钮（只有用户系统类型为“系统”的用户登录系统，才有该按钮权限），删除用户。 点击【确认】，即可删除用户。 4.编辑用户 选择要进行编辑的用户，点击【编辑】，即可更改用户的相关信息，修改提交即显示操作成功。

本章节主要介绍如何跨源认证权限管理。 操作场景 通过跨源认证的用户授权，可设置分配不同的跨源认证，且不同用户的作业不影响跨源认证的使用。 使用须知 管理员用户和跨源认证的所有者拥有所有权限，不需要进行权限设置且其他用户无法修改其跨源认证权限。 给新用户设置跨源认证权限时，该用户所在用户组具有Tenant Guest权限。 跨源认证用户授权 1. 登录DLI管理控制台。 2. 单击“跨源管理 > 跨源认证”。 3. 选择要进行授权的跨源认证，单击操作列“权限管理”进入开源认证的用户权限信息页面。 4. 单击页面右上角“授权”可对当前的跨源认证新增用户授权。 用户授权参数说明 参数名称 描述 用户名 被授权的IAM用户的名称。 说明 该用户名称是已存在的IAM用户名称。 权限设置 使用：使用该跨源认证。 更新：更新该跨源认证。 删除：删除该跨源认证。 赋权：当前用户可将跨源认证的权限赋予其他用户。 回收：当前用户可回收其他用户具备的该跨源认证的权限，但不能回收该跨源认证所有者的权限。 查看其他用户具备的权限：当前用户可查看其他用户具备的该跨源认证的权限。 修改当前用户的权限 1. 登录DLI管理控制台。 2. 单击“跨源管理 > 跨源认证”。 3. 选择要进行授权的跨源认证，单击操作列“权限管理”进入开源认证的用户权限信息页面。 4. 单击操作列的“权限设置”，修改当前用户的权限。详细权限描述如上表所示。 说明 当“权限设置”中的选项为灰色时，表示您不具备修改此跨源认证权限的权限。可以向管理员用户、组所有者等具有赋权权限的用户申请“跨源认证的赋权”和“跨源认证权限的回收”权限。 如需回收当前用户的全部权限，可单击操作列的“回收”，该子用户将不具备该跨源认证的任意权限。

配置项 说明 请求协议 请求协议是指客户端请求时使用的协议类型，默认选择HTTP协议的80端口，若请求包含HTTPS协议的网站，则勾选“HTTPS”。 服务端口 服务端口是客户端请求时使用的端口，默认HTTP开放80端口，HTTPS开放443 ，如需开放特殊非标端口，可联系技术支持处理。 证书 HTTPS提供对网络服务器的身份认证，保护交换数据的隐私和完整性。 证书来源天翼云证书管理平台，可进行下拉选择证书备注名，若未找到证书可直接点击上传。 HTTP2 若您的请求协议中勾选了HTTPS，且您的业务需支持HTTP2协议，请开启HTTP2开关。 强制跳转 开启强制跳转将请求的HTTP强制302跳转至HTTPS进行请求，需保障请求协议HTTPS已开启。

本文为您介绍如何修改SSL服务端。 创建SSL服务端后，您可以修改SSL服务端的名称、本端子网、客户端地址池和高级配置。 注意 如果您修改了SSL服务端高级配置中协议、是否压缩或双因子认证的配置会使SSL服务端关联的SSL客户端证书失效，您需要重新创建SSL客户端证书，然后在客户端中安装新的证书并重新发起SSL VPN连接。 如果您在SSL服务端下创建了SSL客户端，无法修改SSL服务端下的的本端子网及客户端地址池等配置。 前提条件 您已经创建了VPN网关并开启了SSL VPN，请参见创建和管理IPsec连接。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择VPN网关实例所在地域。 3. 在网络产品中选择“VPN连接”，进入VPN连接页面。 4. 在左侧网络控制台，选择“SSL VPN”，进入SSL VPN列表页面。 5. 在SSL服务端页面，找到目标SSL服务端，在操作列单击“修改”。 6. 在编辑SSL服务端页面，修改SSL服务端的名称、本端子网、客户端地址池或高级配置，然后单击“确定”。