本节主要介绍存储池列表信息。 点击导航栏中的“服务”>“存储池”，进入“存储池管理”页面。在“存储池管理”页面，可以查看存储池相关信息。可以通过“存储池名称”查找对应的存储池。 图1 存储池管理 项目 描述 存储池名称 存储池名称。 ：表示是基础存储池。 状态 存储池状态： 正常。 删除中。 故障域级别 存储池故障域级别： 数据目录级别。 服务器级别。 机架级别。 机房级别。 容量 存储池总容量。 缓存存储池卷 使用该存储池作为缓存存储池的卷。 存储池卷 使用该存储池作为存储池的卷。 卷存储模式：个数/容量 各种模式卷对应的个数及卷总容量。

介绍HBlock部署环境的配置操作。 按照环境要求，准备3台或3台以上的服务器。 注意 确保ping命令和ps命令可用。Debian/Ubuntu可以使用下列命令安装ping命令和ps命令。 plaintext aptget update /获取最新安装包 aptget install iputilsping / 安装ping命令 aptget install procps / 安装ps命令安装 每台服务器按照下列操作步骤完成配置，以下操作以CentOS 7.x版本为例： 说明 如果已经安装操作系统，请忽略步骤1。如果磁盘已挂载，请忽略步骤2，可以使用挂载路径作为HBlock的数据目录，或者使用命令mkdir DIRECTORY在挂载路径下创建一个目录，将此目录作为HBlock数据目录。 1. 安装操作系统CentOS 7.x版本 2. 格式化硬盘并挂载 请参考下列示例将服务器上的硬盘进行格式化，方便后续部署使用。 plaintext lsblk 查看硬盘 mkfs.ext4 /dev/vdX 将硬盘格式化为 ext4,如果已经格式化磁盘，请忽略此步骤。 mkdir DIRECTORY 创建挂载路径，DIRECTORY为路径名 mount /dev/vdX DIRECTORY 挂载硬盘，挂载后，可以使用该路径作为HBlock数据目录 说明 mount命令为临时挂载命令，服务器重启后，需要再次挂载。对于HBlock使用到的目录，建议设置开机自动挂载，或使用已设置自动挂载的目录或子目录。 注意 如果安装HBlock的用户为非root用户，需要对HBlock使用到的目录有读写权限，可以使用下列命令。 plaintext chown HBlock用户:HBlock用户所属组 DIRECTORY 3. 关闭SELinux和swap分区（建议） 4. 防火墙设定 确保集群服务器之间可以相互访问，集群服务器之间相互添加白名单，另外请开启iSCSI端口，以便客户端连接到服务器的target。如果是在云主机上安装，安全组中也需要添加白名单。 若您的服务器未开启防火墙，可以忽略此步骤。 如果防火墙是firewall，示例如下： 1. 开启iSCSI端口，如iSCSI端口为3260时： plaintext firewallcmd permanent addport3260/tcp 2. 集群各服务器的IP添加白名单： 添加IPv4地址 plaintext firewallcmd permanent addrichrule"rule familyipv4 source addressyourIP accept" // yourIP is IP address allowed to access 添加IPv6地址 plaintext firewallcmd permanent addrichrule"rule familyipv6 source addressyourIP accept" // yourIP is IP address allowed to access 3. 重新加载防火墙使配置生效： plaintext firewallcmd reload 如果防火墙是iptables，示例如下： 1. 开启iSCSI端口，如iSCSI端口为3260时： plaintext iptables I INPUT p tcp dport 3260 j ACCEPT 2. 集群各服务器间相互访问： 允许本地环路地址 plaintext iptables I INPUT i lo j ACCEPT 允许内部网段访问 plaintext iptables I INPUT s yourIP j ACCEPT 3. 保存配置： plaintext iptablessave 5. 设置资源限制 修改配置文件/etc/security/limits.conf，在配置文件中增加下列内容，设置在domain中打开的最大文件数、同时运行的最大进程数 plaintext domain soft nofile 65536

本节介绍N100管理类常见问题。 N100过期后无法配置？ N100授权过期后会锁定配置，需导入续订授权后重启恢复。如过期时间较长会影响业务正常访问。 建议：过期后还请尽快续订，如不续订，还请解绑弹性IP至业务主机，防止出现业务影响。 N100如何创建管理员用户？ 要创建管理员用户，请登录N100的Web管理页面，导航到系统设备管理选项，然后选择管理员管理。在此处，您可以新建管理员用户，分配唯一用户名和强密码，以及为其分配适当的角色和权限。 注意 创建管理员用户涉及系统权限，因此确保定期审计管理员用户，启用多因素身份验证，并使用最小权限原则来降低管理上的风险。 N100是否满足三权分离？ 三权分离用于确保权力不会集中在一个单一的实体或个人手中，以防止滥用权力、促进监督和平衡，从而维护公共机构的透明性和效力。在信息安全领域，三权分离原则通常应用于管理系统和数据的访问和操作，以保护网络安全和防止内部滥用权力。 N100提供内置的管理员、操作员和审计员权限，允许实现三权分离。您可以登录N100的Web管理页面，导航到系统设备管理选项，然后选择管理员管理并分配相应权限，以确保合适的角色和职责，但需要定期审计和管理用户权限，以最大程度地减少潜在的管理上风险。

实践 描述 介绍如何选择最适宜用户使用场景和带宽的防火墙规格，以及介绍如何启用防护配置策略，配置防护规则，适用于初次使用防火墙，不知道如何选择适宜自己场景的防火墙规格以及不知道如何启用防火墙产品的用户及场景。 介绍如何进行访问控制策略配置，在日常生产场景中，常用哪些访问控制策略应该需要配置，适用于安全应用了解较少，需要进行标准化策略防护的用户及场景。

接口功能介绍 给防火墙定义一个随机名称 接口约束 传参规范 URI GET /vfw/v2firewallrandomfirewallname 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 urlType 是 String 请求地址类型 CTAPI regionId 是 String 资源池id 100054c0416811e9a6690242ac110002 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 message String 返回信息 成功 error String 错误码：CFW0000 :成功!;CFW0001:参数错误！;CFW0002：业务错误！ CFW0000 returnObj String 接口返回结果 枚举参数 无 请求示例 请求url 无 请求头header { "regionid": "100054c0416811e9a6690242ac110002", "urlType": "CTAPI" } 请求体body {} 响应示例 { "statusCode": "200", "error": "CFW0000", "message": "成功!", "returnObj":"CFW8540" } 状态码 请参考 状态码 错误码 请参考 错误码

接口功能介绍 修改实例的root账户密码 接口约束 实例必须处于运行中的状态 URI PUT /v1/remote/rootpassword 请求参数 body参数 参数 是否必填 参数类型 说明 示例 prodInstId 是 Integer 实例id 54 newPassword 是 String 新密码。816位，且必须含有数字，小写字母，大写字母，特殊字符 Arcyd12EQR 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 状态码 800 message String 消息提示 SUCCESS returnObj Array 返回对象 [] 请求示例 /v1/remote/rootpassword 请求参数 json { "prodInstId":54, "newPassword":"Arcyd12EQR" } 响应示例 json { "message": "SUCCESS", "returnObj": {}, "statusCode": 800 } 错误码 访问ErrorCodes说明文档查看更多错误码。

参数 参数类型 说明 示例 下级对象 statusCode Integer 状态码 800 message String 消息提示 SUCCESS returnObj Array 返回对象 [] VpcForm

WAF如何解析/访问IPv6源站？ 当防护网站的源站地址配置为IPv6地址时，WAF直接通过IPv6地址访问源站。WAF默认在CNAME中增加IPv6地址解析，IPv6的所有访问请求将先流转到WAF，WAF检测并过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。 WAF支持IPv6/IPv4双栈模式和NAT64机制，详细说明如下： Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。

名称 位置 类型 必选 说明 prodInstId query Long 是 实例id operType query Integer 否 备份类型，1：自动备份，2：手动备份，4：系统备份,默认查询全部 startTime query String 否 备份开始时间，若该值，则查询大于等于该值的，格式：yyyyMMdd HH:mm:ss endTime query String 否 备份查询时间，若该值，则查询大于等于该值的，格式：yyyyMMdd HH:mm:ss pageNum query Integer 是 当前页 pageSize query Integer 是 页大小，范围1500

示例 请求示例 {URI}?pageNum1&pageSize10 响应示例 { "message": "SUCCESS", "returnObj": { "list": [ { "backupName": "测试pg备份", "createTime": "2022726 11:19:00", "dataLen": "3G", "endTime": 1661498705000, "invalid": 0, "prodInstId": 1, "prodInstName": "pg实例", "result": 3, "startTime": 1661498704000, "type": "0" } ], "pageNum": 1, "pageSize": 10, "pageTotal": 1, "total": 1 }, "statusCode": 800 } 错误码 访问ErrorCodes说明文档查看更多错误码。

本节介绍如何处理WAF误拦截了“非法请求”访问请求。 问题现象 防护网站接入WAF后，访问请求被WAF拦截，在“防护事件”页面查看防护日志，显示访问请求为“非法请求”且误报处理按钮置灰不能使用。 可能原因 当遇到以下情况时，WAF将判定该访问请求为非法请求并拦截该访问请求： POST/PUT使用“formdata”时，表单的参数个数多于8192个。 URI的参数个数多于2048个。 Header个数超过512个。 处理建议 当确认访问请求为正常请求时，请参见配置精准访问防护规则放行该访问请求。

本节介绍如何处理域名/IP接入状态显示“未接入”问题。 故障现象 添加防护域名或IP后，域名或IP接入WAF失败，即防护网站“域名接入进度”未显示“已接入”。 WAF每隔一小时就会自动检测防护网站的“接入状态”，当WAF统计防护网站在5分钟内达到20次访问请求时，将认定该防护网站已成功接入WAF。 排查思路和处理建议 防护网站的“部署模式”为“独享模式”时，请参考图进行排查处理。 独享模式接入WAF失败问题处理 可能原因 处理建议 原因一：域名 /IP “接入状态”未刷新 在防护网站“接入状态”栏，单击刷新按钮刷新状态。 原因二：访问流量未达到WAF统计要求 说明 防护网站接入WAF后，当WAF统计防护网站在5分钟内有20次请求时，将认定该防护网站已接入WAF。 1. 在1分钟内多次访问防护网站。 2. 在防护网站“接入状态”栏，单击刷新按钮刷新状态。 原因三：域名 /IP参数配置错误 检查域名/IP参数是否正确。 如果域名/IP配置错误，删除该域名/IP后重新添加防护网站。 原因四：没有为独享模式实例配置负载均衡，配置的负载均衡未绑定弹性公网IP 1. 为独享引擎实例配置负载均衡。 2. 为弹性负载均衡绑定弹性公网IP。 原因五：独享模式实例负载均衡配置错误或负载均衡绑定弹性公网IP错误 配置负载均衡后，当WAF独享引擎实例的“健康检查结果”为“正常”时，说明弹性负载均衡配置成功。 为弹性负载均衡绑定弹性公网IP后，可以查看绑定的弹性公网IP，说明绑定成功。

参数 是否必填 参数类型 说明 示例 下级对象 prodInstId 是 Long 实例id 34 sqlCollectorStatus 是 String 开启或关闭SQL洞察（SQL审计），取值：enable disabled enable restartInstance 否 boolean 是否重启实例，默认false。若要生效，需要重启实例 true

本节介绍通过业务Cookie和HWWAFSESID联合配置限制恶意抢购、下载等的最佳实践。 业务场景 场景一： 限制同一个账号切换IP、终端的恶意请求（抢购、下载等）。 防护措施：使用业务 Cookie（或者用户id）基于路径配置CC限速。 场景二： 限制恶意人员在同一个PC多个账号不停切换的恶意请求（抢购、下载等）。 防护措施：使用HWWAFSESID基于路径配置CC限速。 使用业务Cookie（或者用户id）基于路径配置CC限速 步骤 1 登录管理控制台，将您的网站成功接入到WAF。独享模式添加域名的方法：网站接入WAF。 步骤 2 在目标域名所在行的“防护策略”栏中，单击“已开启N项防护”，进入“防护策略”页面。 步骤 3 在“CC攻击防护”配置框中，确认“CC攻击防护”的“状态”为“开启”，单击“自定义CC攻击防护规则”，进入CC防护规则配置页面。 步骤 4 在“CC攻击防护”规则配置页面左上角，单击“添加规则”。 步骤 5 根据业务情况，使用业务Cookie（或者用户id）基于路径配置CC限速。根据实际情况配置参数。 步骤 6 单击“确认”，完成配置。 使用HWWAFSESID基于路径配置CC限速 步骤 1 登录管理控制台，将您的网站成功接入到WAF。独享模式添加域名的方法：网站接入WAF。 步骤 2 在目标域名所在行的“防护策略”栏中，单击“已开启N项防护”，进入“防护策略”页面。 步骤 3 在“CC攻击防护”配置框中，确认“CC攻击防护”的“状态”为“开启”，单击“自定义CC攻击防护规则”，进入CC防护规则配置页面。 步骤 4 在“CC攻击防护”规则配置页面左上角，单击“添加规则”。 步骤 5 根据业务情况，使用HWWAFSESID基于路径配置CC限速。 “用户标识”：选择“Cookie”，配置为“HWWAFSESID”。 其他参数根据业务实际情况进行配置。 步骤 6 单击“确认”，完成配置。

本节简单介绍WAF和CC攻击。 什么是Web应用防火墙？ Web应用防火墙（Web Application Firewall，简称WAF），针对Web攻击进行防护，例如 ：XSS（跨站脚本攻击）、SQL注入、Webshell上传等，除此之外，还提供了CC攻击的防护，CC攻击是攻击者借助代理服务器生成指向受害主机的合法请求，是拒绝服务攻击的一种类型。 如何判断是否遭受CC攻击？ 当客户发现网站处理速度下降，网络带宽占用过高时，很有可能已经遭受CC攻击，此时可查看Web服务器的访问日志或网络连接数量，如果访问日志或网络连接数量显著增加，则可确定遭受CC攻击，可以按照以下策略进行配置，利用WAF阻断CC攻击，保障网站业务的正常运行。 说明 WAF防护应用层流量的拒绝服务攻击，适合防御HTTP Get攻击等。 WAF服务并不提供针对四层及以下流量的防护，例如：ACK Flood、UDP Flood等攻击，这类攻击建议使用DDoS及IP高防服务进行防护。

开源组件Fastjson拒绝服务漏洞，攻击者可以利用该漏洞，构造恶意请求发给使用了Fastjson的服务器，使其内存和CPU耗尽，最终崩溃，造成用户业务瘫痪。本章节介绍开源组件Fastjson拒绝服务漏洞的最佳实践。 漏洞简介 攻击者可以利用该漏洞，构造恶意请求发给使用了Fastjson的服务器，使其内存和CPU耗尽，最终崩溃，造成用户业务瘫痪。 影响的版本范围 漏洞影响的产品版本包括：Fastjson 1.2.60以下版本，不包括Fastjson 1.2.60版本。 安全版本 Fastjson 1.2.60版本。 官方解决方案 建议用户将开源组件Fastjson升级到1.2.60版本。 防护建议 WAF支持对该漏洞的检测和防护，步骤如下： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入WAF。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

Oracle WebLogic wls9async反序列化远程命令执行漏洞（CNVDC201948814），Oracle WebLogic wls9async组件在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意HTTP请求获取目标服务器权限，在未授权的情况下远程执行命令，CNVD对该漏洞的综合评级为“高危”。本章节介绍该漏洞的最佳实践。 漏洞名称 Oracle WebLogic wls9async反序列化远程命令执行漏洞 漏洞编号 CNVDC201948814 漏洞描述 WebLogic wls9async组件存在缺陷，通过WebLogic Server构建的网站存在安全隐患。攻击者可以构造HTTP请求获取目标服务器的权限，在未授权的情况下远程执行命令。 影响范围 Oracle WebLogic Server 10.X Oracle WebLogic Server 12.1.3 官方解决方案 官方暂未发布针对此漏洞的修复补丁。 防护建议 通过WAF的精准访问防护功能，拦截利用该漏洞发起的远程命令执行攻击请求。精准访问防护规则的具体配置方法请参见配置精准访问防护规则。

Apache Dubbo官方发布了CVE201917564漏洞通告，漏洞等级中危，Web应用防火墙提供了对该漏洞的防护。本章节介绍Apache Dubbo反序列化漏洞的最佳实践。 漏洞介绍 CVE201917564漏洞等级为中危。当用户选择HTTP协议进行通信时，攻击者可以通过发送POST请求的时候来执行一个反序列化的操作，由于没有任何安全校验，该漏洞可以造成反序列化执行任意代码。 影响的版本范围 漏洞影响的Apache Dubbo产品版本包括： 2.7.0～2.7.4、2.6.0～2.6.7、2.5.x的所有版本。 安全版本 Apache Dubbo 2.7.5版本。 解决方案 建议您将Apache Dubbo升级到2.7.5版本。 如果您无法快速升级版本，或者希望防护更多其他漏洞，可以使用天翼云Web应用防火墙对该漏洞进行防护，请参照以下步骤进行防护： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入WAF。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

本章节介绍开源组件Fastjson远程代码执行漏洞的最佳实践。 漏洞介绍 开源组件Fastjson存在远程代码执行漏洞，此漏洞为2017年Fastjson 1.2.24版本反序列化漏洞的延伸利用，可直接获取服务器权限，危害严重。 影响的版本范围 漏洞影响的产品版本包括：Fastjson 1.2.51以下的版本，不包括Fastjson 1.2.51版本。 安全版本 Fastjson 1.2.51版本及以上的版本。 官方解决方案 建议用户将开源组件Fastjson升级到1.2.51版本或者最新的1.2.58版本。 防护建议 Web应用防火墙内置的防护规则支持对该漏洞的防护，参照以下步骤进行防护： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入域名。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

本文介绍如何查看WAF监控指标。 您可以通过管理控制台，查看WAF的相关指标，及时了解WAF防护状况，并通过指标设置防护策略。 前提条件 WAF已对接云监控，即已在云监控页面设置监控告警规则。有关设置监控告警规则的详细操作，请参见设置监控告警规则。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台顶部的区域选择框，选择区域。 3. 单击页面左上方的“服务列表”，选择“管理与部署> 云监控服务”。 4. 在左侧导航树栏，选择“云服务监控> Web应用防火墙”，进入“云服务监控”页面。 5. 在目标独享引起实例或防护域名所在行的“操作”列中，单击“查看监控指标”，查看对象的指标详情。 说明 在“网站设置”列表中，目标域名所在行的“操作”列，单击“云监控”，可直接查看单个网站的监控信息。

本章节主要介绍WAF自定义策略。 如果系统预置的WAF权限，不满足您的授权要求，可以创建自定义策略。 目前云服务平台支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 WAF自定义策略样例 示例1：授权用户查询防护域名列表 "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "waf:instance:list" ] } ] 示例2：拒绝用户删除网页防篡改规则 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。 如果您给用户授予“WAF FullAccess”的系统策略，但不希望用户拥有“WAF FullAccess”中定义的删除网页防篡改规则的权限（waf:antiTamperRule:delete），您可以创建一条相同Action的自定义策略，并将自定义策略的Effect设置为“Deny”，然后同时将“WAF FullAccess”和拒绝策略授予用户，根据Deny优先原则用户可以对WAF执行除了删除网页防篡改规则的所有操作。以下策略样例表示：拒绝用户删除网页防篡改规则。 { { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "waf:instance:list" ] } ] } 多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "waf:antiTamperRule:delete" ] }, ] }

名称 二级节点 类型 说明 message String 消息提示 statusCode Integer 状态码 returnObj Object 所有的返回信息都以JSON形式保存 enableEventLog Boolean 历史事件开启情况 true：开启 false：关闭

功能类别 功能说明 业务配置 域名（泛域名、一级域名、二级域名等各级域名）/IP防护 WAF支持的防护对象：域名或IP，云上或云下的Web业务。 业务配置 HTTP/HTTPS业务防护 WAF可以防护HTTP/HTTPS业务，通过对HTTP/HTTPS请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。 业务配置 支持WebSocket/WebSockets协议 WAF支持WebSocket/WebSockets协议，且默认为开启状态。 业务配置 非标端口防护 Web应用防火墙除了可以防护标准的80，443端口外，还支持非标准端口的防护。 Web应用安全防护 Web基础防护 覆盖OWASP（Open Web Application Security Project，简称OWASP）TOP 10中常见安全威胁，通过预置丰富的信誉库，对恶意扫描器、IP、网马等威胁进行检测和拦截。 全面的攻击防护：支持SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、目录（路径）遍历、敏感文件访问、命令/代码注入、网页木马上传、后门隔离保护、非法HTTP协议请求、第三方漏洞攻击等威胁检测和拦截。 Webshell检测防护：通过上传接口植入网页木马。 识别精准： 内置语义分析+正则双引擎，黑白名单配置，误报率更低。 支持防逃逸，自动还原常见编码，识别变形攻击能力更强。默认支持的编码还原类型：urlencode、Unicode、xml、OCT（八进制）、HEX（十六进制）、html转义、base64、大小写混淆、javascript/shell/php等拼接混淆。 深度检测：深度反逃逸识别（支持同形字符混淆、通配符变形的命令注入、UTF7、Data URI Scheme等的防护）。 header全检测：支持对请求里header中所有字段进行攻击检测。 Web应用安全防护 CC攻击防护规则 可以自定义CC防护规则，限制单个IP/Cookie/Referer访问者对您的网站上特定路径（URL）的访问频率，WAF会根据您配置的规则，精准识别CC攻击以及有效缓解CC攻击。 Web应用安全防护 精准访问防护规则 精准访问防护策略可对HTTP首部、Cookie、访问URL、请求参数或者客户端IP进行条件组合，定制化防护策略，为您的网站带来更精准的防护。 Web应用安全防护 黑白名单规则 配置黑白名单规则，阻断、仅记录或放行指定IP的访问请求，即设置IP黑/白名单。 Web应用安全防护 地理位置访问控制规则 针对指定国家、地区的来源IP自定义访问控制。 Web应用安全防护 网页防篡改规则 当用户需要防护静态页面被篡改时，可配置网页防篡改规则。 Web应用安全防护 网站反爬虫规则 动态分析网站业务模型，结合人机识别技术和数据风控手段，精准识别爬虫行为。 Web应用安全防护 防敏感信息泄露规则 该规则可添加两种类型的防敏感信息泄露规则： 敏感信息过滤。配置后可对返回页面中包含的敏感信息做屏蔽处理，防止用户的敏感信息（例如：身份证号、电话号码、电子邮箱等）泄露。 响应码拦截。配置后可拦截指定的HTTP响应码页面。 Web应用安全防护 全局白名单规则 针对特定请求忽略某些攻击检测规则，用于处理误报事件。 Web应用安全防护 隐私屏蔽规则 隐私信息屏蔽，避免用户的密码等信息出现在事件日志中。 高级设置 PCI DSS/PCI 3DS合规认证和TLS TLS支持TLS v1.0、TLS v1.1和TLS v1.2三个版本和七种加密套件，可以满足各种行业客户的安全需求。 WAF支持PCI DSS和PCI 3DS合规认证功能。 高级设置 连接保护 当502/504请求数量或读等待URL请求数量以及占比阈值达到您设置的值时，将触发WAF熔断功能开关，实现宕机保护和读等待URL请求保护。 高级设置 手动设置网站连接超时时间 浏览器到WAF引擎的连接超时时长默认是120秒，该值取决于浏览器的配置，该值在WAF界面不可以手动设置。 WAF到客户源站的连接超时时长默认为30秒，该值可以在WAF界面手动设置。 高级设置 配置攻击惩罚的流量标识 WAF根据配置的流量标识识别客户端IP、Session或User标记，以分别实现IP、Cookie或Params恶意请求的攻击惩罚功能。 高阶功能 内容安全检测服务 基于丰富的违规样例库和内容审核专家经验，通过机器审核加人工审核结合的方式，帮助您准确检测出Web网站和新媒体平台上的关于涉黄、涉赌、涉毒、暴恐、违禁等敏感违规内容，并提供文本内容纠错审校，助您降低内容违规风险。 防护事件管理 当Web应用防火墙拦截或者仅记录的攻击事件为误报时，用户可通过Web应用防火墙处理误报事件、查看事件详情。 用户可以通过Web应用防火墙服务下载5天内的全量防护事件数据 告警通知 用户可以通过Web应用防火墙服务对攻击日志进行通知设置。开启告警通知后，Web应用防火墙将仅记录和拦截的攻击日志通过用户设置的接收通知方式发送给用户。 安全可视化 提供简洁友好的控制界面，实时查看攻击信息和事件日志。 策略事件集中配置：在Web应用防火墙服务的控制台集中配置适用于多个防护域名的策略，快速下发，快速生效。 流量及事件统计信息：实时查看访问次数、安全事件的数量与类型、详细的日志信息 灵活性、可靠性 多区域多集群部署，支持负载均衡，可在线平滑扩容，没有单点故障，最大限度保护业务运行稳定。

名称 位置 类型 必选 说明 prodInstId body Long 是 实例id sync body Boolean 是 数据同步模式，取值：true: 同步；false: 异步

本小节主要介绍RDSPostgreSQL的postgis插件使用方法。 操作场景 RDSPostgreSQL支持 postgis插件，可用于进行空间数据管理、数量测量与几何拓扑分析。 前提条件 请确保您的实例内核大版本满足，本插件所支持的内核版本，请参考支持的版本插件列表。 插件使用 安装插件 sql CREATE EXTENSION IF NOT EXISTS postgis cascade; 卸载插件 sql DROP EXTENSION IF EXISTS postgis cascade; 使用示例 1.查看postgis版本信息。 SELECT PostGISFullVersion(); 2.创建表并插入数据。 CREATE TABLE geometries (name varchar, geom geometry); INSERT INTO geometries VALUES ('Point', 'POINT(0 0)'), ('Linestring', 'LINESTRING(0 0, 1 1, 2 1, 2 2)'), ('Polygon', 'POLYGON((0 0, 1 0, 1 1, 0 1, 0 0))'), ('PolygonWithHole', 'POLYGON((0 0, 10 0, 10 10, 0 10, 0 0),(1 1, 1 2, 2 2, 2 1, 1 1))'), ('Collection', 'GEOMETRYCOLLECTION(POINT(2 0),POLYGON((0 0, 1 0, 1 1, 0 1, 0 0)))'); SELECT name, STAsText(geom) FROM geometries; 3.使用集合元数据函数收集信息。 SELECT name, STGeometryType(geom), STNDims(geom), STSRID(geom) FROM geometries; 常见问题 postgis以及系列插件的详细说明，请参考postgis官方文档。

本节介绍RDSPostgreSQL默认已安装的插件。 Ⅰ类资源池版本已安装插件： repmgr pgstatstatements pgnotcopy plpgsql Ⅱ类资源池版本已安装插件： repmgr pgstatstatements telepgmonitor pgnotcopy plpgsql

本小节主要介绍RDSPostgreSQL的pgstatkcache插件使用方法。 操作场景 RDSPostgreSQL支持 pgstatkcache插件，可以统计在文件系统层面的读写信息。 前提条件 请确保您的实例内核大版本满足，本插件所支持的内核版本，请参考支持的版本插件列表。 插件使用 安装插件 sql CREATE EXTENSION IF NOT EXISTS pgstatkcache; 卸载插件 sql DROP EXTENSION IF EXISTS pgstatkcache; 使用示例 查看统计信息 sql SELECT FROM pgstatkcache(); 重置统计信息 sql select pgstatkcachereset();

本小节主要介绍RDSPostgreSQL的wal2json插件使用方法。 操作场景 RDSPostgreSQL支持 wal2json插件，可以将逻辑日志文件输出为JSON格式供您查看。 前提条件 请确保您的实例内核大版本满足，本插件所支持的内核版本，请参考支持的版本插件列表。 注意事项 wal2json插件默认自带，无需创建。 使用示例 sql 1.执行如下命令建表及初始化插件。 CREATE TABLE table2withpk (a SERIAL, b VARCHAR(30), c TIMESTAMP NOT NULL, PRIMARY KEY(a, c)); CREATE TABLE table2withoutpk (a SERIAL, b NUMERIC(5,2), c TEXT);​ SELECT 'init' FROM pgcreatelogicalreplicationslot('testslot', 'wal2json'); ​ 2.执行如下命令变更数据。 BEGIN; INSERT INTO table2withpk (b, c) VALUES('Backup and Restore', now()); INSERT INTO table2withpk (b, c) VALUES('Tuning', now()); INSERT INTO table2withpk (b, c) VALUES('Replication', now()); DELETE FROM table2withpk WHERE a < 3; INSERT INTO table2withoutpk (b, c) VALUES(2.34, 'Tapir'); UPDATE table2withoutpk SET c 'Anta' WHERE c 'Tapir'; COMMIT; ​​ 3.执行如下命令输出JSON格式的日志信息。 SELECT data FROM pglogicalslotgetchanges('testslot', NULL, NULL, 'prettyprint', '1');

本小节主要介绍RDSPostgreSQL的zhparser插件使用方法。 操作场景 RDSPostgreSQL支持 zhparser插件，支持utf8和gbk字符集，主要用于全文搜索的中文分词。 前提条件 请确保您的实例内核大版本满足，本插件所支持的内核版本，请参考支持的版本插件列表。 插件使用 安装插件 sql CREATE EXTENSION IF NOT EXISTS zhparser; 卸载插件 sql DROP EXTENSION IF EXISTS zhparser; 使用示例 sql CREATE TEXT SEARCH CONFIGURATION testzhcfg (PARSER zhparser); ​ ALTER TEXT SEARCH CONFIGURATION testzhcfg ADD MAPPING FOR n,v,a,i,e,l WITH simple; ​ SELECT FROM tsparse('zhparser', 'RDS for PostgreSQL中文分词插件测试'); ​ SELECT totsvector('testzhcfg','RDS for PostgreSQL中文分词插件测试'); ​ SELECT totsquery('testzhcfg', '分词');

天翼AI云电脑用户基础功能隐私政策生效，详情请参见++这里++。 +天翼AI云电脑用户基础功能隐私政策 历史版本（20211111）++

天翼AI云电脑第三方信息共享清单生效，详情请参见++这里++。

本文介绍了RDSPostgreSQL续订与退订的相关说明。 及时的续订RDSPostgreSQL能够避免由于实例到期给您带来的损失。 续订 当产品实例到达到期时间，则会暂停相应的服务。此时，您可以通过续订操作延后实例的到期时间。更多信息，请您参考续费规则说明 。 退订 当产品实例到达到期时间，则会暂停相应的服务。您也可以通过手动进行退订未到期的实例。更多信息，请您参考退订流程 。