视频播放类其他问题。 视频同时在线观看人数是否有限制？ 云点播目前对并发不做任何限制。但如有大并发观看需求，建议配置CDN加速服务。CDN加速的配置可参考【如何为云点播配置CDN加速服务】。 如何解决在HTTPS协议的页面播放HTTP协议的视频，被浏览器拦截的问题？ 浏览器会出于安全考虑进行拦截。因此，建议在HTTP协议的页面播放HTTP的视频，HTTPS协议的页面播放HTTPS的视频。 另外还有一种可能性，即遇到浏览器跨域导致的拦截。解决方案可查看【实例管理】【权限设置】。

您可以在产品信息界面查看WAF产品信息，包括申请的WAF版本、域名规格等信息。 前提条件 已申请Web应用防火墙实例。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择区域或项目。 步骤 3 单击页面左上方的，选择“安全> Web应用防火墙（独享版）”。 步骤 4 在左侧导航树中，选择“系统管理> 产品信息”，进入“产品信息”页面。 步骤 5 在“产品信息”界面，查看WAF版本、产品规格、到期时间等信息。单击“规格详情”，可以查看当前WAF版本的详细规格信息。

操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 密钥管理”。 4. 在左侧导航栏，选择“信息概览”，进入信息概览页面，在页面上方选择目标服务。 5. 切换至目标服务后，在当前服务信息展示页面，点击“续订”。 6. 进入续订页面，选择订购时长，确认无误后，勾选“我已阅读并同意《天翼云密钥管理产品服务协议》”后，点击“确认”后进入支付页面。 7. 完成订单支付，可在订单详情页查看订单状态，状态更新为“已完成”后代表续订成功。

本章节主要介绍安装配置物理机监控agent。 操作场景 当您购买了一台物理机后，了解其运行状态一定是您的迫切需求，天翼云物理机和云监控服务结合使用，自动收集物理机的CPU、内存、磁盘以及网络使用情况等监控指标，以便您及时了解物理机实例运行状况和性能。本章节指导您如何为物理机服务器安装及配置Agent插件。 前提条件 物理机服务器可以正常使用。 物理机服务器内DNS Server正常工作，配置方法请参考内网DNS与安全组配置。 操作步骤 1. 添加域名解析地址：在物理机“/etc/resolv.conf”文件中添加各区域域名解析地址。 2. 修改子网DNS地址：按物理机所在区域修改子网的DNS服务器地址。 3. 配置安全组：用于下载Telescope包、发送指标数据、采集日志等。 此第三步请参见内网DNS与安全组配置。 4. 下载telescope安装包，访问地址参考云监控服务安装Agent（Linux）。 5. 安装Agent：手动为物理机安装Agent，实现主机监控。 此步请参见安装配置云监控服务安装Agent（Linux）。 6. 配置Agent，使用root账号，登录物理机。 7. 执行以下命令，切换至Agent安装路径的bin下。 cd /usr/local/telescope/bin 8. 修改配置文件conf.json。 a. 执行以下命令，打开配置文件conf.json。 vi conf.json b. 修改文件中的参数，具体参数请参见下表。 { "InstanceId":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "ProjectId": "b5b92ee0xxxxxxxxxxxxxxxxcab92396", "AccessKey": "QZ0XGJXFxxxxxxxxT65R", "SecretKey": "lEv2aXAGwxxxxxxxxxxxxxxxxxxxxF8t0Bf18Tn2", "RegionId": "cnhz1" } 公共配置参数 参数 说明 :: InstanceId 物理机ID，可通过登录管理控制台，在物理机列表中查看。 说明 InstanceId可不用配置，保持"InstanceId":"",即可，若需要配置，请参考下两条。 该资源ID需保证全局唯一性，即同一个RegionID下Agent使用的InstanceId不能相同，否则系统可能会出现异常。 InstanceId必须与实际的物理机资源ID一致，否则云监控界面将看不到对应物理机资源操作系统监控的数据。 ProjectId ProjectId可不用配置，保持"ProjectId": "",即可。若需要配置，请参考已下获取方式。 项目ID，获取方式如下： 1. 登录管理控制台，单击右上角“用户名”，选择“我的凭证”； 2. 在项目列表中，查看物理机资源对应的所属区域的项目ID。 AccessKey/SecretKey 访问密钥，获取方式如下： 登录管理控制台，单击右上角“用户名”，选择“我的凭证>管理访问秘钥”； 如已有访问密钥，查看创建时下载保存的credentials.csv文件中，获取文件中记录的Key值即可； 如未创建，则通过“新增访问密钥”可创建新的访问密钥，妥善保存credentials.csv文件，并获取文件中记录的Key值。 注意 为了安全考虑，建议该用户为IAM用户，并且权限仅为CES Administrator和LTS Administrator。 配置的AccessKey必须在“我的凭证 >管理访问秘钥”列表中，否则将鉴权失败，云监控界面看不到操作系统监控数据 RegionId 区域ID，例如：物理机资源所属区域为“杭州”，则RegionID为“cnhz1”。 9. 修改云监控指标采集模块的配置文件confces.json。 a. 执行以下命令，打开公共配置文件confces.json。 vi confces.json b. 修改文件中的参数，具体参数请参见下表。 { "Endpoint": " } 指标采集模块参数配置 参数 说明 :: Endpoint 物理机资源所属区域的云监控Endpoint URL，例如：物理机资源所属区域为“杭州”，则URL中使用“ces.cnhz1.ctyun.cn”。 说明 Agent插件配置完成后，因监控数据暂未上报，插件状态仍显示“未安装”，等待35分钟，刷新即可。 10. 管理Agent ，查看Agent状态。 11. 登录天翼云物理机服务器，执行以下命令，查看Agent状态。 service telescoped status 当系统返回以下内容，则表示Agent为正常运行状态。 "Telescope process is running well." 启动Agent 执行以下命令，启动Agent。 /usr/local/telescope/telescoped start 重启Agent 执行以下命令，重启Agent。 /usr/local/telescope/telescoped restart 停止Agent 执行以下命令，停止Agent。 service telescoped stop 说明 如果Telescope安装失败，可能会导致无法正常停止Agent，可通过执行以下命令进一步尝试： /usr/local/telescope/telescoped stop 卸载Agent 用户可手动卸载Agent插件，卸载后将不再监控BMS实例监控数据。如需再次使用，请参考安装Agent重新安装。 执行以下命令，即可卸载Agent。 /usr/local/telescope/uninstall.sh 12. 查看监控指标 以上配置完成后，进入控制台界面，选择“管理与部署 > 云监控”，在左侧导航栏选择“主机监控 > 物理机”，列表展示该物理机的名称/ID、主机状态、插件状态等信息。

本节介绍如何查看并处理文件篡改告警。 查看告警 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“文件安全 > 文件完整性保护”，进入文件完整性保护页面。 3. 查看统计数据和变更信息。 查看统计信息 上方展示文件变更篡改行为事件和存在文件变更服务器的统计情况。 查看文件变更信息 在页面下方的“文件变更”页签，展示文件变更列表，展示字段包括服务器、原文件名、原文件路径、变更后文件MD5、文件变更时间、变更类型、状态。 告警事件支持按发现时间、处理状态、变更类型、服务器名称和服务器IP进行搜索。 查看变更统计信息 在页面下方的“变更统计”页签，系统帮助您自动统计出所有存在文件变更篡改行为的服务器。单击文件变更类型列的数字可查看详情。 处理告警 标记为已处理 若您已手动处理文件变更告警，可将其“标记为已处理”，标记后，告警的状态将从“未处理”变为“已处理”。 具体操作步骤如下： 1. 在文件变更告警列表中，找到目标告警，单击操作列的“标记已处理”，或勾选目标告警，单击列表上方的“标记已处理”进行批量处理。 2. 在弹出的对话框中单击“确定”。

本文为您介绍密码服务的权限管理能力,支持通过IAM实现对密码服务的访问控制、权限分配。 天翼云提供统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。通过IAM服务定义企业项目、创建子用户，轻松实现IAM子用户对密码服务资源的访问控制、权限分配等。 默认情况下，天翼云主账号拥有管理员权限，而主账号创建的IAM用户没有任何权限。IAM用户需要加入用户组，并给用户组授权相应策略后，IAM用户才能获得策略对应的权限，才可以基于被授予的权限对云服务进行操作。 密码服务支持企业项目管理，若您需要对密码服务资源进行分组和管理，形成逻辑隔离，您可以创建企业项目，并将资源划分至不同的企业项目中，不同的企业项目可以绑定不同的用户组，并给用户组授予密码服务产品的权限策略（包括系统策略和自定义策略），从而实现对特定资源的授权。 说明 仅“一类节点”区域的实例支持企业项目管理。 IAM应用场景 IAM策略主要面向同一主账号下，对不同IAM用户授权的场景： 您可以为不同操作人员或应用程序创建不同IAM用户，并授予IAM用户刚好能完成工作所需的权限，比如查看权限，进行最小粒度授权管理。 新创建的IAM用户可以使用自己的登录名和密码登录控制台，实现多用户协同操作时无需分享账号密码的安全要求。 密码服务IAM策略说明 天翼云为密码服务提供如下系统策略 。如果系统策略不满足授权要求，可以创建自定义策略 ，自定义策略是对系统策略的扩展和补充，详情请参见创建自定义策略。 策略名称 策略描述 类别 授权范围 密码服务管理者 密码服务管理员策略，拥有产品所有操作权限。 系统策略 全局级 密码服务查看者 密码服务查看策略，仅支持查看实例列表。 系统策略 全局级

本章节介绍云原生API网关产品特性。 API网关 API网关同时具备传统的流量网关和业务网关功能，提供全局性和独立业务域级别的流量管理策略，支持Nacos、K8s和函数计算等多种服务发现方式，支持TLS加密通信和多种身份认证方式，构筑安全的流量入口。 功能集 功能 功能详情 实例管理 实例管理 支持网关实例的订购、查看、退订、版本升级、升降配操作 实例管理 接入点管理 支持关联ELB，实现网关公网访问以及入站负载均衡 实例管理 策略管理 支持实例级绑定IP黑白名单、自定义响应等策略 实例管理 可观测 支持实例级监控分析 API管理 API生命周期管理 支持API在线设计、调试、发布、下线等生命周期管理 API管理 多版本管理 支持多版本共存 API管理 快照管理 支持发布历史查看、在线版本切换等功能 API管理 策略管理 支持API绑定限流、跨域、重写、认证、熔断等多种策略 API管理 可观测 支持API级监控分析 路由管理 匹配管理 支持请求路径、请求头、请求方法、请求参数、Cookie等匹配条件 路由管理 策略管理 支持路由绑定限流、跨域、重写、认证、熔断等多种策略 路由管理 可观测 支持路由级监控分析 服务来源与服务管理 容器服务 支持从CCE发现并导入服务 服务来源与服务管理 注册配置中心 支持从Nacos和Eureka发现并导入服务 服务来源与服务管理 函数计算 支持从函数计算发现并导入服务 服务来源与服务管理 固定地址/域名 指定IP地址或域名作为上游服务 域名管理 域名管理 支持域名管理，支持HTTP、HTTPS协议 域名管理 证书管理 支持证书管理 插件市场 插件管理 支持插件安装、卸载 插件市场 插件配置管理 支持插件配置启用、停用、绑定、解绑 插件市场 插件分类 丰富的插件分类，传输协议、安全防护、认证鉴权、流量管控等多种插件扩展支持 消费者管理 消费者管理 支持消费者新增、编辑、删除、启用、停用等 消费者管理 消费者授权 支持消费者授权、解除授权，支持实例级、API级、路由级多维授权范围

本节介绍了:创建一个无状态工作负载——创建工作负载及服务的用户指引。 进入云容器引擎控制台，在集群选项卡中选择一个集群进入集群详情界面。选择工作负载 > 无状态 > 新增 选择命名空间，创建一个Deployment 配置项说明 配置项 说明 Deployment名称 工作负载的名称 数据卷（选填） 为容器提供存储，目前支持临时路径、主机路径、配置文件、本地卷（Local PV）、NFS、Ceph，还需挂载到容器的指定路径中。 实例数量 工作负载的副本数，可选择手动设置或自动伸缩。 实例内容器 工作负载中的容器实例配置，可配置一个或多个。 容器名称 容器实例的名称 镜像及镜像版本 支持选择容器镜像服务企业版、容器镜像服务个人版的镜像。 CPU/内存限制 Request用于预分配资源，当集群中的节点没有request所要求的资源数量时，容器会创建失败。Limit用于设置容器使用资源的最大上限，避免异常情况下节点资源消耗过多。 环境变量（选填） 支持配置容器的环境变量。 启动执行（选填） 启动执行命令：对应镜像的ENTRYPOINT命令，将会覆盖镜像的ENTRYPOINT命令；每个输入框仅输入一个命令或参数。 启动执行参数：对应镜像的CMD命令，将会覆盖镜像的CMD命令；每个输入框仅输入一个命令或参数。 启动后处理 容器启动后执行，注意由于是异步执行，无法保证一定在ENTRYPOINT之后运行；每个输入框仅输入一个命令或参数。 停止前处理 容器停止前执行，常用于资源清理；每个输入框仅输入一个命令或参数。 容器健康检查 存活检查：检查容器是否正常，不正常则重启实例。 就绪检查：检查容器是否就绪，不就绪则停止转发流量到当前实例。 特权级容器 容器开启特权级，将拥有宿主机的root权限。 Container安全上下文 为Container设置安全上下文，仅适用于该Container：若Pod、Container层面都设置了用户、用户组、Selinux上下文，Container的设置会覆盖Pod的设置。 访问设置 配置Service访问负载

本节介绍如何为漏洞扫描v1.0开启/切换IPv6防护。 子网开启IPv6 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“网络 > 虚拟私有云”。 4. 选择对应的虚拟私有云，选择对应子网，点击子网后的“修改”进入修改子网页面，勾选“开启IPv6”，单击“确定”。 漏洞扫描系统开通 在设备成功开通后，默认一张网卡设定为管理网卡，以供单点登录设备时使用；需新增一张网卡专门用于业务操作。 漏洞扫描系统开通 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”。 4. 在资源概览页面右上角，单击“立即购买”。 5. 在购买页面配置基础信息（包括区域 、虚拟私有云 、子网、可用区 和CPU分类 ），套餐选择自定义中的漏洞扫描、并进行产品规格配置。 6. 选择购买时长后，勾选“我已阅读，理解并接受《云等保专区服务协议》”，点击“立即购买”。完成购买后等待资源开通成功。 新增业务网卡 1. 创建弹性网卡 在天翼云控制中心服务列表页，选择“网络 > 虚拟私有云”；在网络控制台左侧导航栏，选择“弹性网卡”，单击弹性网卡页面右上角的“创建弹性网卡”，配置弹性网卡的区域、名称、VPC、子网、安全组等信息，点击“确定”。 2. 绑定网卡 在云等保专区左侧导航栏，选择“漏洞扫描”，在开通的设备右侧操作列点击“更多 > 绑定网卡”，选中上一步创建的弹性网卡，点击“确定”。 3. 重启漏洞扫描系统 在云等保专区左侧导航栏，选择“漏洞扫描”，在开通的设备右侧操作列点击“更多 > 重启”。 登录漏洞扫描系统 在云等保专区左侧导航栏，选择“漏洞扫描”，在目标资源右侧操作列单击“配置”，进入漏洞扫描系统。 开启IPv6防护 开通漏洞扫描v1.0后，还需要配置网络才能开启IPv6防护，请提交工单联系技术支持进行配置。

功能介绍 对于某些行业客户，在大模型训练时会涉及到保密数据的处理问题，比如需要避免用户下载到本地造成数据泄漏。针对这一问题，平台推出了特色的数据保密功能，以应对用户下载或拷贝保密数据的行为。 平台主要从数据集限制+操作审计两方面进行限制： 数据集限制：保密数据相关的实现依赖平台数据集功能，将需要保密的数据集打上保密标签，对此数据集进行限制。 容器外，根据用户身份严格限制平台的数据操作权限； 容器内，创造断外网的沙箱环境防止下载到本地，并严格限制读写，任务执行者仅可写入到管理员可控的安全存储中。 云审计：将用户的所有命令操作记录到云审计，并对可能涉及拷贝的敏感操作进行标识，给到客户主管人审核确认。 前置条件 1. 存储准备：已在天翼云开通对象存储或HPFS，并在本平台完成委托授权。 2. 其他限制：您是管理员用户（包括主账号、IAM管理员、工作空间管理员）。 操作说明 1. 创建仅管理员可控的安全存储 保密数据集可工作的一个重要前提是限制写操作仅写入到保密输出路径中，这就要求输出路径是智算平台管理员完全可控的存储。 管理员（需有存储控制台相应权限）首先登录存储控制台，根据所使用的存储类型（ZOS或HPFS），创建保密数据集与保密输出路径。保密数据集是指您含有保密信息的数据集；保密输出路径是指当用户使用保密数据时，您指定的写入路径，建议您创建一个空文件夹专用于输出，并对不同的任务创建不同的输出路径。 注意：主账号天然是各产品的管理员，拥有所有权限。但对于子账号，在本平台拥有管理员权限不代表在存储控制台拥有管理员权限，子账号如需存储控制台权限，需要主账号进入IAM授予相应的权限。建议您只给信任的用户授予存储控制台的操作权限，否则可能造成数据泄漏等事故。

数据管理服务DMS已对接天翼云统一身份认证服务(IAM),可对主子账号订购DMS产品进行权限控制。本文为您介绍订购策略与权限。 IAM简介 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。目前天翼云提供对应专有的CTIAM服务，用户可申请开通后免费使用，您只需要为您帐号中的云服务和资源进行付费。具体IAM使用说明，请参见统一身份认证。 IAM涉及的主要概念 主用户 ：用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。 子用户 ：由拥有IAM权限的用户，在用户中心创建的子用户。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。 用户组 ：用户组是用户的集合，IAM通过用户组功能实现用户的授权。您创建的IAM用户，需要加入特定用户组后，才具备对应的权限，否则IAM用户无法访问您帐号中的任何资源或者云服务。 系统策略 ：由产品团队维护，系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对 ECS 的只读权限、对 ECS 的管理员权限等；系统策略在IAM控制台中只能用于授权，不能编辑和修改。 自定义策略 ：由用户自己在IAM控制台创建和管理的权限集，是用户可以自由定义的权限，是对系统策略的扩展和补充。 企业项目 ：企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用企业项目内云资源的权限受用户组的授权限制。

数据管理服务DMS已对接天翼云统一身份认证服务(IAM),可对主子账号订购DMS产品进行权限控制。本文为您介绍订购策略与权限。 IAM简介 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。目前天翼云提供对应专有的CTIAM服务，用户可申请开通后免费使用，您只需要为您帐号中的云服务和资源进行付费。具体IAM使用说明，请参见统一身份认证。 IAM涉及的主要概念 主用户 ：用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。 子用户 ：由拥有IAM权限的用户，在用户中心创建的子用户。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。 用户组 ：用户组是用户的集合，IAM通过用户组功能实现用户的授权。您创建的IAM用户，需要加入特定用户组后，才具备对应的权限，否则IAM用户无法访问您帐号中的任何资源或者云服务。 系统策略 ：由产品团队维护，系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对 ECS 的只读权限、对 ECS 的管理员权限等；系统策略在IAM控制台中只能用于授权，不能编辑和修改。 自定义策略 ：由用户自己在IAM控制台创建和管理的权限集，是用户可以自由定义的权限，是对系统策略的扩展和补充。 企业项目 ：企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用企业项目内云资源的权限受用户组的授权限制。

插件名 描述 版本 analysisicu 提供ICU（International Components for Unicode）支持的分词和字符归一化功能，尤其适合多语言处理 3.5.0 analysisik ik中文分词插件，支持自定义词典 3.5.0 analysispinyin 拼音分词插件 3.5.0 opensearchalerting 告警管理插件 3.5.0.0 opensearchanomalydetection 基于机器学习的时序数据异常模式识别插件 3.5.0.0 opensearchasynchronoussearch 异步搜索插件 3.5.0.0 opensearchcrossclusterreplication 跨集群复制插件 3.5.0.0 opensearchcustomcodecs 自定义编码器插件，支持zstd压缩算法 3.5.0.0 opensearchflowframework 可视化数据管道编排插件 3.5.0.0 opensearchgeospatial geospatial插件 3.5.0.0 opensearchindexmanagement 索引管理插件 3.5.0.0 opensearchjobscheduler 任务调度插件 3.5.0.0 opensearchknn 向量检索引擎插件，可支撑图像搜索、语音识别和商品推荐等向量检索场景的需求 3.5.0.0 opensearchltr 基于机器学习的搜索相关度排序插件 3.5.0.0 opensearchml 机器学习插件 3.5.0.0 opensearchneuralsearch 基于神经网络的语义检索插件 3.5.0.0 opensearchnotifications 消息通知插件 3.5.0.0 opensearchnotificationscore 消息通知core插件 3.5.0.0 opensearchobservability 全栈监控工具插件 3.5.0.0 opensearchperformanceanalyzer 性能分析插件 3.5.0.0 opensearchreportsscheduler 报告生成插件 3.5.0.0 opensearchsearchrelevance 评估、比对和微调搜索结果的准确度插件 3.5.0.0 opensearchsecurity 安全插件 3.5.0.0 opensearchsecurityanalytics 安全分析/SIEM插件 3.5.0.0 opensearchskills 提供机器学习agent框架工具插件 3.5.0.0 opensearchsql sql查询插件 3.5.0.0 opensearchsystemtemplates 系统模板仓库插件 3.5.0.0 opensearchubi 收集和存储用户在客户端的真实搜索行为插件 3.5.0.0 prometheusexporter Opensearch的prometheus exporter插件 3.5.0.0 queryinsights 查询洞察插件 3.5.0.0 repositorys3 支持将数据存入天翼云对象存储ZOS的插件 3.5.0

本节主要介绍弹性文件服务的其它常见问题。 如何从云主机访问文件系统？ 要访问您的文件系统，如果是Linux云主机，您需要在Linux云主机上安装NFS客户端后使用挂载命令挂载文件系统；如果是Windows云主机，您需要在Windows云主机上安装NFS客户端，修改NFS传输协议后使用挂载命令挂载文件系统。或使用正确的用户和权限，直接输入CIFS文件系统的共享路径，挂载CIFS类型的文件系统。挂载完成后，可共享您的文件系统中的文件和目录。 如何确认如何确认Linux云主机上的文件系统处于可用状态？ 以root用户登录云主机，执行如下命令，将会回显指定域名下所有可用的文件系统。 showmount e 文件系统域名。 弹性文件服务会占用用户的哪些资源？ 为保证文件系统能够正常使用，弹性文件系统将会占用用户以下资源。 SFS容量型文件系统： 创建文件系统时，会在用户填写的安全组下，开通111、445、2049、2051、2052端口的入规则。默认的源地址为0.0.0.0/0，用户后续可根据自己的实际情况，修改该地址。 如果创建加密的SFS容量型文件系统，将会使用用户填写的kms密钥进行加密。注意，该密钥如果删除，该文件系统的数据将无法使用。 SFS Turbo文件系统： 创建SFS Turbo文件系统时，会在用户填写的子网下创建两个私有IP和一个虚拟IP。 创建SFS Turbo文件系统时，会在用户填写的安全组下，开通111、445、2049、2051、2052、20048端口的入规则。默认的源地址为0.0.0.0/0，用户后续可根据自己的实际情况，修改该地址。 如果创建加密的SFS Turbo文件系统，将会使用用户填写的kms密钥进行加密。注意，该密钥如果删除，该文件系统的数据将无法使用。 在往文件系统的文件夹写数据的过程中会占用服务器的运行内存，但不会占用服务器磁盘的存储空间，文件系统使用的是独立空间。

应用场景 客户端IP指的是访问者（用户设备）的IP地址。在Web应用开发中，通常需要获取客户端真实的IP地址。例如，投票系统为了防止刷票，需要通过获取客户端真实IP地址，限制每个客户端IP地址只能投票一次。 当您的网站已接入Web应用防火墙（Web Application Firewall，简称WAF）进行安全防护后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。此时，您可直接通过WAF获取客户端的真实IP，也可以通过配置网站服务器获取客户端的真实IP。 本章节介绍了通过WAF直接获取真实IP的方法，以及不同类型的Web应用服务器（包括Tomcat、Apache、Nginx、IIS 6和IIS 7）如何进行相关设置，以获取客户端的真实IP。 方案架构 通常情况下，网站访问并不是简单地从用户的浏览器直达服务器，中间可能部署有CDN、WAF、高防等代理服务器（架构为“用户> CDN/WAF/高防等代理服务 > 源站服务器”）。 说明 当网站没有接入到WAF前，DNS直接解析到源站的IP，用户直接访问服务器。 当网站接入WAF后，需要把DNS解析到WAF的CNAME，这样流量才会先经过WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 在这种情况下，访问请求到达源站服务器之前可能经过了多层安全代理转发或加速代理转发，服务器如何获取发起请求的真实客户端IP呢？ 一个透明的代理服务器在把用户的HTTP请求转到下一环节的服务器时，会在HTTP的头部中加入一条“XForwardedFor”记录，用来记录用户的真实IP，其形式为“XForwardedFor：客户端的真实IP，代理服务器1IP， 代理服务器2IP，代理服务器3IP，……”。 因此，您可以通过获取“XForwardedFor”对应的第一个IP来得到客户端的真实IP。

枚举参数 无 请求示例 请求url 无 请求头header {"regionid": "100054c0416811e9a6690242ac110002","ContentType":"application/json","urlType": "CTAPI"} 请求体body {"vulAnnouncementId":"CTyunOSSA202341697","currentPage":1,"pageSize":10} 响应示例 { "statusCode": "200", "error": "CTCSSCN000000", "message": "查询成功!", "returnObj":{ "title": "CTyunOSSA202341697: nghttp2 security update", "vulAnnouncementId": "CTyunOSSA202341697", "vulType": "LINUX", "publishAt": "20231013", "description": "CTyunOSSA202341697: nghttp2 security update", "url": " /support/safetyDetail?idCTyunOSSA202341697", "cveDetailPageInfo": { "total": 1, "list": { "cveId": "CVE202344487", "vulAnnouncementId": "CTyunOSSA202341697", "title": "HTTP/2 Rapid Reset 拒绝服务漏洞 (CVE202344487)", "publishAt": "20231013", "description": "HTTP/2协议允许客户端通过发送RSTSTREAM帧来指示服务器应该取消之前的流。该协议允许客户端单方面请求取消，这种攻击被称为快速重置。在HTTP/2快速重置攻击中，客户端一次打开大量流，但不等待服务器或代理对每个请求流的响应，而是立即取消每个请求，通过大规模利用请求取消请求取消快速重置攻击，会导致服务器CPU资源快速消耗，达到DoS。", "url": "[ "solution": "协议漏洞，建议关闭HTTP/2协议，降级到HTTP/1.1，或更新各类产品相关安全设置，比如nginx默认配置下最多保持1000个HTTP连接，只要服务器性能不太差默认配置下不受该漏洞影响；而jetty则受漏洞影响，需要更新至最新安全版本。", "vulLabel": "未加控制的资源消耗（资源穷尽）", "rebootRequired": false, "ratingLevel": 3 } ], "pageNum": 1, "pageSize": 10, "size": 0, "startRow": 0, "endRow": 0, "pages": 0, "prePage": 0, "nextPage": 0, "isFirstPage": false, "isLastPage": false, "hasPreviousPage": false, "hasNextPage": false, "navigatePages": 0, "navigatepageNums": null, "navigateFirstPage": 0, "navigateLastPage": 0 } } }

本章介绍如何创建虚拟机配置模板。 操作场景 在“迁移配置”的“目的端配置”页签下，可选择已创建的虚拟机配置模板来快速完成虚拟私有云、子网、安全组等参数。 操作步骤 1. 登录主机迁移服务管理控制台。 2. 在左侧导航树中，单击“公共配置”，进入公共配置页面。 3. 在虚拟机配置模板区域右上角，单击“创建虚拟机配置模板”，弹出“创建虚拟机配置模板”窗口，如下图所示。 图 创建虚拟机配置模板 4. 填写“模板名称”，单击“配置信息”后的按钮，配置参数，参数说明参见下表。 参数 说明 区域 下拉菜单中选择目的端服务器所在区域。 区域与默认迁移参数模板设置的区域相同，您可以根据业务要求，选择具体的区域。 项目 下拉菜单中选择目的端所在区域的项目。 选择区域后，才能选择项目。 虚拟私有云 选择“迁移时创建”是指在设置目的端时再进行配置。 若源端IP是192.168.X.X，则推荐创建的VPC网段是192.168.0.0/16，同时创建一个子网，网段也是192.168.0.0/16。 若源端IP是172.16.X.X，则推荐创建的VPC网段是172.16.0.0/12，同时创建一个子网，网段也是172.16.0.0/12。 若源端IP是10. X .X.X，则推荐创建的VPC网段是10.0.0.0/8，同时创建一个子网，网段也是10.0.0.0/8。 子网 选择“迁移时创建”是指在设置目的端时再进行配置。子网网段与虚拟私有云网段相同。 安全组 选择“迁移时创建”是指在设置目的端时再进行配置。 Windows系统开放8899端口、8900端口和22端口。 Linux系统，块级迁移开放8900端口和22端口，文件级迁移只开放22端口。 以上端口，建议只对源端服务器开放。 防火墙开放端口与操作系统开放端口保持一致。 可用区 默认随机分配，也可手动选择。 数据盘 包括普通IO、高IO、超高IO可选。 5. 单击“确定”，完成虚拟机配置模板。

本页介绍分布式融合数据库HTAP的审计管理功能。 审计管理简介 数据库审计能够对数据库操作进行细粒度的合规性审计管理，针对数据库 SQL 注入、异常操作等数据库风险行为进行记录，为数据库提供完善的安全诊断和管理功能，提高数据资产安全。 用户通过在控制台的审计管理 > 审计规则界面配置审计规则，然后在审计管理 > 审计策略界面设置具体数据库实例的审计策略（包含关联的审计规则，审计启停开关等），再通过审计管理 > 审计日志界面查看具体实例的审计日志。 注意事项 开启审计后，对分布式融合数据库HTAP的系统性能会有一定的影响。 约束限制 审计日志使用的空间大小不能超过 5 GB。 审计规则管理 新建规则 在审计规则界面，点击新建规则按钮，在弹出的新建规则界面填写相关信息并提交。 规则名，建议小写字母、数字组合。规则的描述，建议长度在128以内。 审计规则包含了客户端IP、客户端端口、SQL命令等参数规则的定义。当所有参数规则都满足时，才会输出到审计日志。 参数规则说明： 参数 类型 取值说明 客户端IP string 数据库连接的客户端IP。 客户端端口 number 数据库连接的客户端端口。 数据库账户 string 数据库连接的账户。 数据库名称 string 数据库连接的当前 database 名称。 SQL命令 string SQL 查询语句。 SQL类型 string sqltype。 影响行数 number 更新操作影响的行数。 执行时间(ms) number 查询耗时。 参数规则的匹配类型说明： 匹配类型 含义 适用的参数类型 无 不含该参数规则 string、number 如果查询SQL 该参数的值等于特征值 string、number ! 不等于 string、number > 大于或等于 number < 小于 number in 包含子串 string ni 不含子串 string re 正则表达式 ，遵循 RE2 语法 string 如果审计规则所有参数的匹配类型都设置为无，相当于不含任何参数规则，因此基于该审计规则审计所有查询时不会输出审计日志。输出审计日志的前提是符合审计规则的所有参数规则（参数规则间是与的关系，必须同时满足）。

本文介绍私有Bucket回源功能的适用场景和配置说明。 功能介绍 天翼云CDN加速域名的回源地址可以使用客户自有源站、天翼云媒体存储或天翼云对象存储。若客户使用天翼云媒体存储/对象存储作为源站，在新建Bucket时，其权限属性支持以下三种模式： 【公共读】公共读权限可以通过匿名身份直接读取Bucket中的数据，存在较高的安全风险，不推荐，建议选择私有模式。 【公共读写】公共读写权限可以通过匿名身份直接读取/写/删除Bucket中的数据，存在较高的安全风险，不推荐，建议选择私有模式。 【私有】只有该Bucket的拥有者或被授权者可以对该存储空间内的文件进行读写操作。媒体存储会校验Authorization请求头，只有鉴权通过的才允许访问。 当客户权限选择【私有】时，需要参考本文档配置私有Bucket回源功能。 适用场景 回源地址使用天翼云媒体存储/对象存储并且Bucket为私有模式的场景。 注意事项 1. 开启私有Bucket回源功能前，请确认您的私有Bucket内容是否适合作为CDN加速的回源内容，如存在较为敏感的信息，请勿开启此功能，或单独为CDN创建一个独立的AK/SK，仅授权CDN必要目录的只读权限，避免源站敏感信息泄漏。 2. Bucket如为公有模式则无需配置私有Bucket回源，直接在源站配置中选择对应存储源站即可，详情请见：源站配置。 3. 开启私有Bucket回源功能后，CDN节点回存储源站时，会携带Authorization请求头，值为基于AK/SK及Bucket等生成的对应存储私有Bucket鉴权的签名信息。 4. 私有Bucket回源功能生效的前提：在【添加域名新增源站】或 【编辑域名修改源站】时，需要选择源站类型为【媒体存储源站】或者【对象存储源站】，否则功能将无效。

负载均衡 3.以root用户登录HBase客户端所在节点。进入客户端安装目录，设置环境变量： cd 客户端安装目录 source bigdataenv 如果集群采用安全版本，要进行安全认证。执行kinit hbase命令，按提示输入密码（向管理员获取密码）。 4.执行以下命令进入hbase shell，查看目前负载均衡功能是否打开： hbase shell balancerenabled 是，执行步骤6。 否，执行步骤5。 5.在hbase shell，中执行命令打开负载均衡功能，并执行命令查看确认成功打开： balanceswitch true balancerenabled 6.执行balancer命令手动触发负载均衡。 说明 建议打开和手动触发负载均衡操作在业务低峰期进行。 7.FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HBase”，单击“HMaster(主)”，打开该HBase实例的WebUI，刷新页面查看Region分布是否均衡。 是，执行步骤8。 否，执行步骤21。 8.观察该告警是否清除。 是，处理完毕。 否，执行步骤9。 清理无用HBase表 说明 在清理过程中，请谨慎操作，确保删除数据的准确性。 9.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HBase”，单击“HMaster(主)”，打开该HBase实例的WebUI，查看该HBase服务实例上存储的表并记录可删除的无用表。 10.在hbase shell中，执行disable和drop命令，确认删除无用表，以减少Region数： disable '待删除表名' drop '待删除表名' 11.在hbase shell中，执行命令查看目前负载均衡功能是否打开： balancerenabled 是，执行步骤13。 否，执行步骤12。 12.在hbase shell中，执行命令打开负载均衡功能并确认成功打开： balanceswitch true balancerenabled 13.在hbase shell中，执行balancer命令手动触发负载均衡。 14.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HBase”，单击产生该告警的HBase服务实例，单击“HMaster(主)”，打开该HBase实例的WebUI，刷新页面查看Region分布是否均衡。 是，执行步骤15。 否，执行步骤21。 15.观察该告警是否清除。 是，处理完毕。 否，执行步骤16。

检查集群磁盘容量是否已满 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警”页面，查看是否存在“ALM14001 HDFS磁盘空间使用率超过阈值”告警。 是，执行步骤 2。 否，执行步骤 4。 2.参考“ALM14001 HDFS磁盘空间使用率超过阈值”进行处理，查看对应告警是否清除。 是，执行步骤 3。 否，执行步骤11。 3.在“运维 > 告警 > 告警”页面查看本告警是否清除。 是，处理完毕。 否，执行步骤4。 检查DataNode节点平衡状态 4.在FusionInsight Manager首页，单击“主机”，查看各个机架上的DataNode节点数目分布是否大致相等，如果差异过大，调整DataNode节点所属机架，保证各个机架上的DataNode数量大致相等。重启HDFS服务生效。 5.选择“集群 > 待操作集群的名称 > 服务 > HDFS”。 6.在“基本信息”区域，单击“NameNode(主)”，进入HDFS WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 7.在HDFS WebUI的“Summary”区域，查看“DataNodes usages”中“Max”的值是否比“Median”的值大10%。 l是，执行步骤 8。 否，执行步骤11。 8.数据倾斜，需要均衡集群中的数据。以root用户登录MRS客户端。如果集群为普通模式，执行su omm切换到omm用户。执行cd命令进入客户端安装目录，然后执行 source bigdataenv 。如果集群采用安全版本，要进行安全认证。执行kinit hdfs命令，按提示输入密码。向管理员获取密码。 9.执行以下命令，均衡数据分布： hdfs balancer threshold 10 10.等待几分钟，检查本告警是否恢复。 是，处理完毕。 否，执行步骤 11。 收集故障信息 11.在FusionInsight Manager首页，选择“运维 > 日志 > 下载”。 12.在“服务”中勾选待操作集群的“HDFS”。 13.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后10分钟，单击“下载”。 14.请联系运维人员，并发送已收集的故障日志信息。

原路提现 1. 登录天翼云网，点击管理中心， 在总览页面选择“提现” 。 2. 单击“可原路提现金额”右侧的“立即提现”。 3. 设置提现金额，单击“下一步”。 4. 通过验证身份后，原路提现申请提交成功。 5. 系统自动发起原路退款，可原路退款金额实时到账 。在线充值 （微信、翼支付、支付宝）优先原路退回 ；若失败，转为 银行卡提现或退回余额。 说明 系统默认根据现金账户后进先出的原则进行提现，即根据多个充值流水的处理顺序，按照充值时间，后充值的金额先提取。 手机验证时，默认会发送验证码至您的天翼云账号绑定的手机号下，如果您需要变更该手机号，您可以在管理中心账号中心安全设置处进行变更。 银行卡提现 1. 登录天翼云网，点击管理中心， 在总览页面选择“提现” 。 2. 单击“可银行卡提现金额”右侧的“立即提现”。 3. 选择提现流水 4. 点击“提现”发起银行卡提现，补充银行卡信息、提交相关资料(原支付凭证等)，然后点击“下一步”，进行身份验证，确认后银行卡提现申请提交成功。款项将通过线下打款方式退至您提供的银行卡，自银行卡提现申请成功后1015个工作日内完成退款（(银行卡信息需完整且准确无误)。 注意 为保障您的资金安全， 银行卡提现只能提现至与实名认证信息同名的银行账号。企业实名认证用户如确因实际原因需提现至非同名的银行账号，需通过“银行卡提现其他附加材料”上传加盖公司公章的证明，证明企业与提现账号的关系。

本节包含了通用计算增强型C7弹性云主机的概述、规格。 概述 C7型云主机搭载第三代英特尔® 至强® 可扩展处理器，在性能、安全、稳定性等方面全面升级，最大核数升级至128U，内存频率升级至3200MHz，支持安全启动，提供安全可信的云上环境。 类型 CPU基频/睿频 CPU型号 C7 2.8GHz/3.5GHz 8378C 表 C7型弹性云主机的规格 规格名称 vCPU 内存(GiB) 最大带宽/基准带宽（Gbps） 最大收发包能力（万PPS） 网络连接数（万） 网卡多队列数 网卡个数上限 辅助网卡个数上限 云硬盘基础带宽/突发带宽（Gbps） 云硬盘最大IOPS（万） 虚拟化类型 c7.large.2 2 4 4/0.8 40 50 2 2 16 1.5/6 16 基于QingTian架构的极简虚拟化 c7.xlarge.2 4 8 8/1.6 80 50 2 3 32 2/6 16 基于QingTian架构的极简虚拟化 c7.2xlarge.2 8 16 15/3 150 100 4 4 64 3/6 16 基于QingTian架构的极简虚拟化 c7.3xlarge.2 12 24 17/5 200 150 4 6 96 4/6 16 基于QingTian架构的极简虚拟化 c7.4xlarge.2 16 32 20/6 280 150 8 8 128 5/6 16 基于QingTian架构的极简虚拟化 c7.6xlarge.2 24 48 25/9 400 200 8 8 192 6/无 16 基于QingTian架构的极简虚拟化 c7.8xlarge.2 32 64 30/12 550 300 16 8 256 8/无 16 基于QingTian架构的极简虚拟化 c7.12xlarge.2 48 96 35/18 750 400 16 8 256 10/无 16 基于QingTian架构的极简虚拟化 c7.16xlarge.2 64 128 36/24 1000 500 28 8 256 16/无 16 基于QingTian架构的极简虚拟化 c7.24xlarge.2 96 192 40/36 1100 800 32 8 256 20/无 22.5 基于QingTian架构的极简虚拟化 c7.32xlarge.2 128 256 42/40 1200 1000 32 8 256 24/无 30 基于QingTian架构的极简虚拟化 c7.large.4 2 8 4/0.8 40 50 2 2 16 1.5/6 16 基于QingTian架构的极简虚拟化 c7.xlarge.4 4 16 8/1.6 80 50 2 3 32 2/6 16 基于QingTian架构的极简虚拟化 c7.2xlarge.4 8 32 15/3 150 100 4 4 64 3/6 16 基于QingTian架构的极简虚拟化 c7.3xlarge.4 12 48 17/5 200 150 4 6 96 4/6 16 基于QingTian架构的极简虚拟化 c7.4xlarge.4 16 64 20/6 280 150 8 8 128 5/6 16 基于QingTian架构的极简虚拟化 c7.6xlarge.4 24 96 25/9 400 200 8 8 192 6/无 16 基于QingTian架构的极简虚拟化 c7.8xlarge.4 32 128 30/12 550 300 16 8 256 8/无 16 基于QingTian架构的极简虚拟化 c7.12xlarge.4 48 192 35/18 750 400 16 8 256 10/无 16 基于QingTian架构的极简虚拟化 c7.16xlarge.4 64 256 36/24 1000 500 28 8 256 16/无 16 基于QingTian架构的极简虚拟化 c7.24xlarge.4 96 384 40/36 1100 800 32 8 256 20/无 22.5 基于QingTian架构的极简虚拟化 c7.32xlarge.4 128 512 42/40 1200 1000 32 8 256 24/无 30 基于QingTian架构的极简虚拟化 说明 C7型云主机仅支持使用SCSI磁盘模式挂载磁盘，不支持使用VBD磁盘模式挂载磁盘。磁盘标识为wwn号。

本文介绍了如何重置管理员账号密码。 操作场景 在使用过程中，如果用户忘记管理员账号密码，可以通过控制台重新设置密码。 注意 如果新密码被系统视为弱密码，您将收到错误提示，请提供更高强度的密码。 重置密码生效时间取决于该实例当前执行的业务数据量。 请定期修改用户密码，以提高系统安全性，防止出现密码被暴力破解等安全风险。 请妥善管理您的密码，因为系统为保障您的数据安全未保存您的密码信息。 Ⅰ类资源池操作步骤 1. 登录天翼云门户。 2. 打开控制中心。 3. 左上角选择资源池区域，RDSPostgreSQL基础版加载的资源池详见功能加载说明。 4. 找到【关系数据库PostgreSQL版】，点击进入组件控制台管理页面。 5. 在实例管理页面中的“操作”列，点击对应实例的“修改密码”按钮，如图所示。 6. 在弹出框内输入新的密码，点击确认。返回成功即为修改密码成功，返回失败请根据错误提示重新设置您的密码。 Ⅱ类资源池操作步骤 1. 登录天翼云门户。 2. 点击控制中心，进入控制中心后，选择目标资源池。 3. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 4. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 5. 在【实例管理】的实例列表中选择目标实例，点击实例名称进入实例管理详情页。 6. 在基本信息中找到“管理员账号名”项中的“重置密码”。 7. 在弹出框内输入新的密码，点击确定。返回成功即为修改密码成功。返回失败请根据错误提示重新设置您的密码。

如何访问文件系统？ 文件系统可以通过以下几种方式进行访问： 云内通过内网访问文件系统，将文件系统挂载至归属相同VPC的云主机、容器或者物理机上，挂载成功后，可以在云主机、容器或者物理机上访问弹性文件系统，用户可以把弹性文件系统当作一个普通的目录来访问和使用，执行读取或写入操作。 云外通过云专线访问文件系统，可以通过云专线接入弹性文件服务，实现本地数据中心与弹性文件服务的网络互通。 为何无法使用showmount e ip 查看共享文件目录？ 基于安全因素考虑，目前已禁用该命令。您可以通过登录以下两种方式查看所有的文件系统： 方式一：通过弹性文件服务控制台查看。登录天翼云官网，点击“控制中心”，在“存储”模块下点击“弹性文件服务SFS Turbo”进入控制台列表页。 方式二：通过OpenAPI查看。使用查询租户已开通文件系统列表接口即可获取。 如何避免NFS 4.0监听端口被误认为木马? 问题描述： 在通过NFSv4.0协议挂载NAS文件系统后，会出现一个随机端口（0.0.0.0）被监听的情况，并且无法通过netstat命令确定监听端口所属的进程，这可能导致误判为文件传输受到木马攻击的情况。 问题原因： 该随机端口是NFSv4.0客户端为了支持Callback而监听的。由于内核参数fs.nfs.nfscallbacktcpport默认值为0，因此NFSv4.0客户端会随机选择一个端口进行监听，而这个随机端口本身并不会带来安全风险。 解决方案： 在挂载文件系统之前，您可以通过配置参数fs.nfs.nfscallbacktcpport来指定一个非零的确定值，以固定该监听端口。 命令如下： sudo sysctl fs.nfs.nfscallbacktcpport 请将上述命令中的替换 为您希望使用的具体端口号。通过上述操作，您可以固定NFSv4.0客户端的Callback监听端口，避免随机端口的出现，从而减少误判为木马攻击的可能性。

参数 是否必填 参数类型 说明 示例 下级对象 containerGroupName 是 String ECI容器实例名称 test cpu 否 Float ECI容器实例CPU大小,不传时会自动规整 1 memory 否 Float ECI容器实例Memory大小,不传时会自动规整 2 gpu 否 Float ECI容器实例GPU卡数,当指定规格Flavor创建Gpu实例时，必传 1 alsInstanceId 否 String ALS日志实例ID ALSVsV73kmFxy azInfo 是 Array of Objects az信息 azInfo eip 否 Object eip信息 eip vpcId 是 String ECI容器实例所在VpcId vpcctt6yag121 vSwitchId 是 String ECI容器实例所在的子网ID subnety9n723knrg securityGroupId 是 String ECI容器实例所在的安全组ID sg5bvqyvrmch hostAliases 否 Array of Objects ip hostname映射 hostAliases containers 是 Array of Objects 容器信息 container initContainers 否 Array of Objects init容器信息,不支持更新 initContainer restartPolicy 是 String ECI容器组的重启策略。 Always/OnFailure/Never ephemeralVolume 否 Integer 临时存储大小，取值范围402048 40 flavorName 否 String 虚机规格。指定规格创建时，必传。查询地址： s7.small.1 hostName 否 String ECI实例主机名称 test autoMatchImageCache 否 Boolean 是否自动创建镜像缓存 true imageCacheId 否 String 镜像缓存ID imc7nh0dkpoaxepqyh2 dnsConfig 否 Object DNS配置 dnsConfig tags 否 Array of Objects ECI实例的标签。最多支持20个 tag imageRegistryCredential 否 Array of Objects 镜像凭证 imageRegistryCredential volumes 否 Array of Objects 存储卷 volume iamRoleName 否 String ECS资源委托名称 testName securityContext 否 Object 实例级安全上下文。仅支持namespaced级别参数(kernel.shm,kernel.msg,kernel.sem,fs.mqueue. ,net. (net.core.rmemmax除外)) securityContext dataCacheBucket 否 String 自动匹配数据缓存，需要保持和available状态的数据缓存的az一致，且需要volumeMount与dataCache的path一致才能匹配数据缓存 epId 否 String 企业项目ID cpuArchitecture 否 String 容器组cpu架构类型 表 securityContext

功能介绍 对于某些行业客户，在大模型训练时会涉及到保密数据的处理问题，比如需要避免用户下载到本地造成数据泄漏。针对这一问题，平台推出了特色的数据保密功能，以应对用户下载或拷贝保密数据的行为。 平台主要从数据集限制+操作审计两方面进行限制： 数据集限制：保密数据相关的实现依赖平台数据集功能，将需要保密的数据集打上保密标签，对此数据集进行限制。 容器外，根据用户身份严格限制平台的数据操作权限； 容器内，创造断外网的沙箱环境防止下载到本地，并严格限制读写，任务执行者仅可写入到管理员可控的安全存储中。 云审计：将用户的所有命令操作记录到云审计，并对可能涉及拷贝的敏感操作进行标识，给到客户主管人审核确认。 前置条件 1. 存储准备：已在天翼云开通对象存储或HPFS，并在本平台完成委托授权。 2. 其他限制：您是管理员用户（包括主账号、IAM管理员、工作空间管理员）。 操作说明 1. 创建仅管理员可控的安全存储 保密数据集可工作的一个重要前提是限制写操作仅写入到保密输出路径中，这就要求输出路径是智算平台管理员完全可控的存储。 管理员（需有存储控制台相应权限）首先登录存储控制台，根据所使用的存储类型（ZOS或HPFS），创建保密数据集与保密输出路径。保密数据集是指您含有保密信息的数据集；保密输出路径是指当用户使用保密数据时，您指定的写入路径，建议您创建一个空文件夹专用于输出，并对不同的任务创建不同的输出路径。 注意：主账号天然是各产品的管理员，拥有所有权限。但对于子账号，在本平台拥有管理员权限不代表在存储控制台拥有管理员权限，子账号如需存储控制台权限，需要主账号进入IAM授予相应的权限。建议您只给信任的用户授予存储控制台的操作权限，否则可能造成数据泄漏等事故。

该任务指导用户通过漏洞扫描服务开启主机扫描。 操作场景 开启主机扫描后，漏洞扫描服务将对主机进行漏洞扫描与基线检测。 说明 漏洞扫描服务的基础版不支持主机扫描功能，如果您是基础版用户，请通过以下方式使用主机扫描功能： 购买专业版或企业版。 按次购买主机扫描功能。 按次一次性扣费，每次最多可以扫描20台主机。 前提条件 已获取管理控制台的登录账号和密码。 已添加主机。 说明 为了确保扫描成功，在开启主机扫描前，请参照配置Linux主机授权和配置Windows主机授权完成主机授权。 开启主机扫描（专业版/企业版） 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 单击主机信息“操作”列的“扫描”，进入主机扫描入口。 说明 您可以选中需要扫描的主机，在主机列表上方单击“一键扫描”，对选中的多台主机批量进行扫描。 5. 在弹出的对话框中，单击“确认”。 开启主机扫描（基础版） 漏洞扫描服务的基础版不支持主机扫描功能，如果您是基础版用户，请通过以下方式使用主机扫描功能： 购买专业版或企业版 按次购买主机扫描功能 按次一次性扣费，每次最多可以扫描20台主机。 请参照以下操作步骤，按需购买主机扫描功能。 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 勾选需要扫描的主机，单击“一键扫描”，进入主机扫描入口。 5. 在弹出的对话框中，选中“我已了解并同意支付该笔费用”，单击“确定”。 当账户余额充足时，系统在自动扣费后，将执行主机扫描任务。 说明 当主机扫描任务成功时，请查看主机扫描详情。 当主机扫描任务失败时，请在扫描详情页面单击“重新扫描（免费）”，系统将重新执行扫描任务。

本文介绍了如何使用统一身份认证（Identity and Access Management，简称IAM）服务对访问专属云（存储独享型）资源进行精细的权限管理。 统一身份认证IAM介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等，更多信息，请参见“步骤二：创建自定义策略”。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略 ：预置的系统策略，您只能使用不能修改。专属云（存储独享型）DSS相关的系统策略包含如下： ctdss admin：专属云（存储独享型）服务的管理者权限，包含专属云（存储独享型）所有控制权限（不含订单类权限）； ctdss viewer：专属云（存储独享型）服务的观察者权限，包含专属云（存储独享型）的列表页与详情页面权限； 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，请参见“步骤二：创建自定义策略”。

本小节介绍证书管理服务其他证书相关常见问题。 公钥、私钥、SSL证书的关系是什么？ 公钥（Public Key）：公钥是密钥对中的一部分。它是用于加密和验证数据的非机密密钥，可以公开共享给其他人。使用公钥加密的数据只能使用与之配对的私钥进行解密。在加密通信中，公钥用于加密数据，以确保只有持有相应私钥的人才能解密和访问数据。 私钥（Private Key）：私钥是密钥对中的另一部分，与公钥配对。私钥是保密的，只有密钥的所有者可以访问和使用。私钥用于解密使用公钥加密的数据，以及对数据进行签名。私钥应当妥善保管，不应该暴露给他人。 SSL证书（SSL Certificate）：SSL证书是由数字证书颁发机构（CA）签发的包含公钥和其他相关信息的数字文件。SSL证书用于建立安全的HTTPS连接，验证服务器的真实性，并对通信进行加密。证书中的公钥用于加密会话密钥，确保只有服务器的私钥才能解密它。证书还包含有关证书所有者（例如域名所有者）和证书颁发机构的信息。 综上，SSL证书包含了公钥，它与私钥配对。公钥用于加密数据和建立安全连接，私钥用于解密数据和进行数字签名。通过SSL证书，服务器可以向客户端证明其身份，并确保通信的机密性和完整性。 数字证书通常有哪些格式？ 数字证书通常有以下几种常见的格式： X.509证书格式：X.509是一种常见的数字证书标准，定义了证书的结构和内容。X.509证书通常使用基于ASN.1（Abstract Syntax Notation One）的DER（Distinguished Encoding Rules）编码格式进行存储和传输。这种格式的证书经常用于SSL/TLS证书、代码签名证书和数字身份证书等。 PEM格式：PEM（PrivacyEnhanced Mail）是一种常见的用于存储和传输X.509证书以及相关私钥的格式。PEM格式使用Base64编码将证书和私钥转换为文本文件，并使用"BEGIN CERTIFICATE"和"END CERTIFICATE"等标识符来标记证书的起始和结束。 PKCS

本文介绍私有Bucket回源功能的适用场景和配置说明。 功能介绍 天翼云全站加速域名的回源地址可以使用客户自有源站或者天翼云媒体存储或天翼云对象存储。若客户使用媒体存储/对象存储作为源站，在新建Bucket时，其权限属性支持以下三种模式： 【公共读】公共读权限可以通过匿名身份直接读取Bucket中的数据，存在较高的安全风险，不推荐，建议选择私有模式。 【公共读写】公共读写权限可以通过匿名身份直接读取/写/删除Bucket中的数据，存在较高的安全风险，不推荐，建议选择私有模式。 【私有】只有该Bucket的拥有者或被授权者可以对该存储空间内的文件进行读写操作。媒体存储/对象存储会校验Authorization请求头，只有鉴权通过的才允许访问。 当客户权限选择【私有】时，需要参考本文档配置私有Bucket回源功能。 适用场景 回源地址使用天翼云媒体存储/对象存储并且Bucket为私有模式的场景。 注意事项 1. 开启私有Buckt回源功能前，请确认您的私有Bucket内容是否适合作为全站加速的回源内容，如存在较为敏感的信息，请勿开启此功能，或单独为全站加速创建一个独立的AK/SK，仅授权全站加速必要目录的只读权限，避免源站敏感信息泄漏。 2. Bucket如为公有模式则无需配置私有Bucket回源，直接在源站配置中选择对的存储源站即可，详情请见：源站配置。 3. 开启私有Bucket回源功能后，全站节点回源站时，会携带Authorization请求头，值为基于AK/SK及Bucket等生成的对应存储私有Bucket鉴权签名信息。 4. 私有Bucket回源功能生效的前提：在【添加域名新增源站】或 【编辑域名修改源站】时，需要选择源站类型为【媒体存储源站】或者【对象存储源站】。否则功能将无效。

对比类 对比项 分布式消息服务Kafka 开源Kafka 简单易用 立等可用 即开即用，可视化操作，自助创建，自动化部署，分钟级创建实例，立即使用，实时查看和管理消息实例。 自行准备服务器资源，安装配置必要的软件并进行配置，等待时间长。 易出错。 简单API 提供简单的实例管理RESTFul API，使用门槛低。 无 成本低廉 按需使用 提供多种规格，按需使用，支持一键式在线进行实例代理个数、磁盘存储空间和代理规格扩容。 搭建消息服务本身需要费用，而且即使没有使用，所占用资源本身依旧要收费。 成本低廉 完全托管 租户不需要单独采购硬件资源，直接使用就绪的服务，无需额外成本。 需要购买硬件资源，自行搭建整个消息服务，使用和维护成本高。 实践验证 成熟度高 经受电商网站大规模访问考验，并且已经在云服务平台许多产品中使用，广泛部署运行在分布于世界各地的电信级客户云业务系统里。满足严苛的电信级故障模式库标准。紧随社区主流版本，修复开源bug，持续上线新功能，进行版本升级。 使用开源软件成熟度低，无法保证关键业务，商业案例少；自研周期长，并需要长时间进行验证。 实践验证 能力强大 100%兼容开源，支持一键扩容，深度优化开源代码提升性能和可靠性，支持消息查询等高级特性。 功能不完善，需额外投入进行开发。 稳定可靠 稳定高可用 支持跨AZ部署，提升可靠性。故障自动发现并上报告警，保证用户关键业务的可靠运行。 需要自己开发或基于开源实现，开发成本高昂，无法保证业务可靠运行。 稳定可靠 无忧运维 后台运维对租户完全透明，整个服务运行具有完备的监控和告警功能。有异常可以及时通知相关人员。避免724小时人工值守。 需要自行开发完善运维功能，尤其是告警及通知功能，否则只能人工值守。 稳定可靠 安全保证 VPC隔离，支持SSL通道加密。 需要自行进行安全加固。