割接后注意事项 存量子用户登陆凭证重置 在割接完成后，子用户的登陆入口由原先的CDN+IAM切换至天翼云CTIAM。您无需特意记住登陆入口，在访问云点播产品控制台时，后台会根据您当前的登陆凭证自动切换主、子账号的控制台。但子用户在首次登陆时，需要由主账号在CTIAM重置子用户的登陆凭证。具体操作步骤如下： 1. 使用主账号身份访问天翼云统一身份认证服务。 2. 存量子用户会被迁移至CTIAM。您在登陆CTIAM后，可以在【用户】入口看到很多新增的子用户数据。由于CDN+IAM支持多个平行的工作区，而CTIAM无对应的映射关系，因此在CDN+IAM所有平行工作区的所有子用户都将被迁移至CTIAM。 3. 您需要在【用户】入口找到需要重置身份的子用户，点击右侧操作栏的【编辑】按钮（注意不是【重置密码】）。 4. 在弹出的【修改用户】窗体，您可以对【用户名】、【邮箱】、【手机号】进行修改完善。从CDN+IAM迁移过来的用户，邮箱会被初始化填入一个类似xxxxx@1000xxxx.vipctcdn.cn的虚拟邮箱。该虚拟邮箱是子用户在原CDN+IAM的登陆凭证。您可以修改为新的邮箱，但请注意保持全局唯一性（即该邮箱在天翼云账号体系中未被使用过，无论是作为主、子账号身份凭证。）同时，在【手机号】栏会有一个初始化的虚拟手机号码，该号码并非该子用户的真实号码，因此无法接收到来自于天翼云的各类通知短信。您可以将其修改为真实的手机号码，但请注意保持组织内唯一性（即该邮箱在当前组织内体系中未被使用过，无论是作为主、子账号身份凭证。）在完成身份凭证修改后，点击【确定】即可。 5. 【本步骤可选】在【用户】入口找到需要刚才重置身份的子用户，点击右侧操作栏的【重置密码】按钮。在弹出的窗口中，使用主账号的手机号码，对子用户的初始密码进行重置。由于IAM迁移过程不能迁移密码，因此在迁移完成后子用户的初始密码未知，子用户无法使用原先在CDN+IAM的密码登陆。 6. 【本步骤可选】如果需要重置密码的子用户数量较多，您可以在第四步完成手机号码重置之后，在子账号首次登陆时，通过忘记密码的流程对子用户密码进行重置。（1）在登陆窗口选择【账号登陆】，点击【忘记密码】（2）输入第四步重置的账号信息，建议输入手机号码。如果您使用邮箱作为登陆凭证，需要确保割接时使用的虚拟邮箱已被替换成真实的邮箱地址，否则可能接收不到验证信息，导致重置流程失效。（3）如果您的手机号在天翼云注册过多个主、子账号身份，您需要在接下来的界面选择根据脱敏信息匹配当前组织的子账号身份。（4）在接下来的步骤中输入符合安全规则的密码，即可完成密码重置。

本章节为您介绍服务相关的内容。 服务通常指的是 API 网关要连接和转发请求的目标服务。在微服务架构中 ，这些目标服务可以是各种不同的后端服务 ， 比如数据库服务、用户服务、支付服务等。服务可以是内部的私有服务 ，也可以是外部的第三方服务。 本系统还提供服务发现、负载均衡、健康检查等功能。 创建服务 1.登录API安全网关。 2.在左侧导航栏选择“资源 > 服务”，进入服务列表页面。 3.单击页面左上方的“新增”按钮，在左侧弹出的“新增服务”对话框中填写相关内容。 字段 说明 服务名称 自定义服务名称，只能取唯一值。 大模型 选择是否使用大模型，选择开启后需要选择“模型提供方”。 应用代理 选择是否开启代理，开启后需要填写“代理端口”及“代理协议”。 描述 对新增的服务添加简要描述。 负载均衡算法 选择负责均衡算法，目前支持以下四种： 一致哈希：相同特征的请求将分配至同一个上游节点。 带权轮询：按照配置的权重比例分配请求数量至上游节点。 指数加权移动平均法：请求将更多地分配给效率高的上游节点。 最小连接数：选取当前连接数量最少的上游节点分发请求。 上游类型 节点：需要填写节点主机名、端口、权重。 服务发现：选择服务发现的类型，支持选择DNS、Consul KV、Nacos、Euereka、Kubernetes。 Host请求头 保持与客户端一致的主机名。 使用目标节点列表中的主机名或IP。 重试次数 重试机制将请求发到下一个上游节点。 值为0表示禁用重试机制，留空表示使用可用后端节点的数量。 重试超时时间 限制是否继续重试的时间，若之前的请求和重试请求花费太多时间就不再继续重试。 0代表不启用重试超时机制。 协议 服务端使用的协议类型，默认为：HTTP协议。 支持选择：HTTP、HTTPs、gRPC、gRPCs、TCP、TLS、UDP、Kafka。 连接超时 建立从请求到后端服务器的连接的超时时间，默认值6s。 发送超时 发送数据到后端服务器的超时时间，默认值6s。 接收超时 从后端服务器接收数据的超时时间，默认值6s。 连接池容量 为后端设置独立的连接池，默认值320。 连接池空闲超时时间 默认值60。 连接池请求数量 默认值1000。 健康监测 选择是否开启健康监测功能。 身份认证 选择身份认证方式，支持以下四种选择： 无认证：不开启身份认证方式。 Key认证：Key认证用于向API添加身份验证密钥。它需要与API调用者一起配合才能工作，通过API调用者将其密钥添加到查询参数或请求头中以验证其请求。 摘要签名认证：摘要签名认证可以将HMAC认证添加到服务。它需要与API调用者一起配合才能工作，通过API调用者将其密钥添加到查询参数或请求头中以验证其请求。 JWT认证：将JWT身份验证添加到服务中，通过API调用者将其密钥添加到查询字符串参数、请求头或Cookie中用来验证其请求。 4.添加完成后，单击“下一步”，进入插件配置环节，具体的插件功能请参照控制台说明，若需要启用插件单击对应插件下方的“启用”按钮即可启用。 5.完成插件配置后，单击“下一步”确认服务信息，若信息无误单击“保存”即可完成添加服务。

本节介绍如何通过网络策略页面进入网络雷达视图。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“网络安全 > 策略管理”，进入策略管理页面。 3. 单击页面右上角“网络雷达”。 4. 进入网络雷达图页面，在工作负载详情中的“策略”页面，可查看正常流量和预发布流量。 关于网络雷达的更多详细信息，请参见网络雷达。

本节介绍如何管理分组标签。 对终端设置分组、标签，方便对终端进行分类管理以及对终端进行批量操作。 租户可对分组及标签进行管理，包括新增、编辑和删除等操作。同时可为终端选择分组及添加标签。 Linux操作系统终端默认划分为Linux服务器组。 其他的为系统默认组。 新增分组 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 分组标签”，选择分组页签。 3. 点击“新增”。 4. 在弹出的对话框中按情况填写和选择分组名称、重要性、自动分组及其规则，点击 确定 ，即可新增分组。 新增标签 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 分组标签”，选择“标签”页签。 3. 点击“新增”。 4. 在弹出的对话框中输入标签名称，选择颜色，点击“确定”，即可新增标签。 其他操作 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 分组标签”，选择“分组”页签。租户可在此页面对分组进行编辑及删除操作。 点击操作项 列中的“编辑”，在弹出的对话框中修改组名称，即可编辑分组。 点击操作项 列中的“删除” ，在弹出的对话框中点击“确定”，即可删除分组。 勾选分组（可勾选多个），点击列表上方的“删除” ，在弹出的对话框中点击“确定”，即可批量删除分组。 3. 在左侧导航栏选择“资产中心 > 分组标签”，选择“标签”页签。租户可在此页面对标签进行编辑和删除操作。 点击操作项 列中的“编辑” ，在弹出的对话框中修改标签名称和颜色，点击“确定”，即可编辑标签。 点击操作项 列中的“删除” ，在弹出的对话框中点击“确定”，即可删除标签。 勾选需要删除标签（可勾选多个），点击列表上方的“删除” ，在弹出的对话框中点击“确定”，即可批量删除标签。

以旗舰版为例,风险发现模块主要包含安全补丁、漏洞检测、弱密码、应用风险、系统风险和账号风险六大功能。 通用功能介绍 下面以安全补丁界面为例，进行通用功能介绍，各功能详情，请登录服务器安全卫士控制台进行查看。 1.视图转按钮：包括资产视图、主机视图。点击 按钮，可切换至“主机视图”； 2.条件筛选框 3.状态统计图按钮：点击 按钮，收起/展开统计图区域； 4.检查/导出按钮 立即检查：对单独项目进行扫描；导出：导出单项检查结果； 5.更多设置按钮：点击 按钮，显示全部； 6.排序按钮：鼠标移入列名，点击按钮对数据进行排序，点击 按升序排列， 按降序排列； 设置显示列按钮：点击 ，可设置显示列，控制列表中的数据显示/隐藏。

本节介绍如何接入产品日志。 打开云安全中心的设置>集成配置，在集成配置中选择需要接入的日志类型。部分日志支持直接转告警，可以直接打开转告警开关，云安全中心会根据内置转告警规则进行转告警配置。 接入流程如下： 1. 登录云安全中心控制台。 2. 选择“设置 > 数据源监控”，打开数据源监控页面。 3. 在操作列点击“启用”，确保数据源监控处于启用状态。 4. 选择“设置 > 集成配置”，打开数据集成配置页面。 5. 选择需要接入的日志，并打开日志接入开关。 6. 选择需要转告警的日志，并打开自动转告警的开关。 说明 系统默认会接入部分日志，用户如有需要，可以自行关闭。 需要先在数据源监控页面启用开关后，才可以在集成配置页面中开启日志和告警配置。 选择需要接入的日志时，只能针对您已经购买的云产品。 选择需要转告警的日志，只能针对已经选择接入的日志进行。

本章节为您介绍数据库审计的一些报错及原因。 数据库审计运行正常但无审计记录？ 故障现象： 数据库安全审计实例功能正常，当触发数据库流量后，在SQL语句列表页面搜索执行的语句，不能搜索到相关的审计信息。 可能原因： 数据库已开启SSL。 数据库SQL SERVER协议已开启强行加密。 数据量过大，造成Agent进程假死。建议重启容器或优化审计规则以减少数据量。 说明 数据库开启SSL时，将不能使用数据库安全审计功能。关闭数据库SSL操作请参考： 数据库开启强行加密，数据库安全审计将无法获取文件内容进行分析。 数据库审计告警邮件异常 故障现象： 数据库审计实例功能正常，邮件收到高风险语句告警，但控制台未显示高风险SQL语句。 告警邮件发送延迟。 可能原因： 审计日志量超过了实例的处理能力，导致数据审计的延迟。 处理建议： 新增数据库审计实例，分担当前数据审计流量或者更改审计规则，优化缩小审计范围。 制定自动小时备份任务，避免数据量存储磁盘达到85%触发日志清理机制。

本章节介绍如何进行MCP服务的注册与配置管理 概述 MSE Nacos 企业版支持MCP（Model Context Protocol，模型上下文协议）服务的注册与配置管理。MCP是一种开放标准，旨在统一大型语言模型（LLM）与外部数据源和工具之间的通信协议，解决当前 AI 模型数据孤岛限制，使得 AI 应用能够安全地访问和操作本地及远程数据。 说明 目前只有 MSE Nacos企业版3.0及以上版本支持MCP服务。您可以根据业务需求的不同，选择微服务引擎注册配置中心提供的三种MCP服务创建方式： 标准MCP服务：从零构建完整MCP配置。 HTTP转化MCP服务：将存量HTTP服务转换为MCP服务。 动态注册MCP服务：通过Nacos SDK实现服务自动注册。 企业版目前支持通过白名单方式开放订购，若您需要订购使用，请联系客户经理或提工单进行解决。 创建MCP服务 在微服务引擎MSE注册配置中心管理控制台可以创建标准MCP服务和HTTP转化MCP服务，下面分别说明创建操作步骤： 创建标准MCP服务 1. 登录微服务引擎 MSE注册配置中心管理控制台，选择实例所在的资源池。 2. 在左侧导航栏，选择注册配置中心 > 实例列表，选择企业版Nacos实例，单击实例ID 或者管理按钮跳转至基础信息页面。 3. 在基础信息页面，左侧菜单点击MCP管理 > MCP列表，选择命名空间， 然后单击创建MCP服务，并单击标准MCP服务页签。 4. 在标准MCP服务页面，配置服务名称、描述、版本号等基本信息，其中重要参数说明如下： MCP协议类型： Stdio：无网络依赖，只能访问本地资源无法访问云端资源，数据不会传输到外部，适用于本地开发调试，离线环境验证。 SSE：支持远程访问，仅支持服务端到客户端的单向流，适用于服务推送等单向实时通信场景，延迟低、兼容性强。 Streamable HTTP：基于标准的HTTP协议，双向通信，可灵活切换流式、非流式连接，适合正式环境部署和跨网络通信（如混合云/跨VPC）以及分布式系统。这是目前官方推荐的远程通信方式。 后端服务： 使用已有服务：如果您的MCP服务已经通过控制台或SDK注册到MSE Nacos中，可直接选择。 新建服务：如果您的MCP服务尚未注册到MSE Nacos中，需要配置服务 IP/服务域名（域名不能包含中文）、服务端口及访问路径（必须以/开头，如/v1/mcp）。 5. MCP工具为选填项，工具可以包含0个或者多个。点击添加工具按钮，可以添加1个工具，包括工具名称、工具描述、参数信息。其中参数包括：参数名称、参数类型可从下拉框选择，参数描述信息。 参数可以添加0个或者多个，参数信息可以嵌套，可以实现复杂的嵌套参数。添加的参数在服务保存或发布后生效。 6. 信息填写完毕后，点击发布。

本文帮助您了解对象存储跨域访问设置的相关概念与配置流程。 跨域访问简介 跨域资源共享（CrossOrigin Resource Sharing，CORS）是HTML5提供的标准跨域解决方案。跨域访问，也叫JavaScript跨域访问，是浏览器出于安全考虑而设置的一个限制即同源策略（Same Origin Policy，SOP）。当来自于A网站的页面中的JavaScript代码希望访问B网站的时候，浏览器会拒绝该访问，因为A、B两个网站是属于不同的域，不同域之间的网站脚本和内容是无法进行交互的。 典型应用场景 只有在浏览器访问的情况下才会涉及CORS的使用，在使用客户端访问的时候无需担心出现跨域问题。ZOS提供HTML5协议中的跨域资源共享设置，帮助您实现跨域访问。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击，选择地域，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，单击Bucket名称进入“概览”页面。 5. 选择“权限管理”页面，找到“跨域设置”，点击“设置”按钮。 6. 在跨域设置页面点击“创建策略”。 7. 根据跨域规则参数配置说明完成跨域规则创建，并点击“确定”，完成创建。 跨域规则创建参数说明 参数 说明 :: 来源 指定允许的跨域请求的来源。配置规则如下：允许多条匹配规则，多条规则需换行填写。每行的域名或IP必须以 https:// 开头且不能以/结尾，支持通配符星号（ ），每行允许使用最多一个星号（ ），不支持输入空格和中文字符。若域名使用的不是默认端口，还需要携带端口号。例如： 域名配置示例如下： 匹配指定域名时，填写完整域名。例如： 匹配泛二级域名，可使用通配符星号（ ）。例如： .ctyun.cn。 匹配所有域名，可直接填写通配符星号（ ）。 允许Methods 指定允许的跨域请求方法。 允许Headers 指定允许跨域请求的响应头。配置规则如下：允许多条匹配规则，多条规则需换行填写。每条匹配规则最多使用一个星号（ ）通配符，不支持输入空格。建议没有特殊需求的情况下设置为星号（ ）。 暴露Headers 指定允许用户从应用程序中访问的响应头。例如一个Javascript的XMLHttpRequest对象。允许多条匹配规则，多条规则需换行填写。不支持使用星号（ ）通配符和输入空格。 暴露Headers配置值： ETag ContentType ContentLength CacheControl ContentDisposition ContentEncoding ContentLanguage Expires 缓存时间 指定浏览器对特定资源的预取（OPTIONS）请求返回结果的缓存时间。 说明 通过桶“概览”页面基础设置中的“跨域访问”，也可跳转至“权限管理”页面。

项目 描述 Server Name 服务器名称。 Server ID 服务器ID。 Node Name 节点名称。 Parent Node 父节点名称。 Description 服务器描述信息，如果没有描述信息，不显示。 Status 服务器状态： Connected：已连接。 Disconnected：未连接。 Removing：移除中。 Master Server 该服务器是否为Master节点： true：该服务器为Master节点。 false：该服务器不是Master节点。 Base Server 该服务器是否为基础节点： true：该服务器为基础节点。 false：该服务器不是基础节点。 Base Service 服务器上的基础服务（仅集群版支持），包括基础服务名称、状态及对应的数据目录。 Public Address 业务网的IP和端口号。 Cluster Address 集群网的IP。 Target portal IP and Port 目标门户和目标端口。 Recent Start Time HBlock服务在该节点上最近一次成功启动的时间。 ：表示HBlock服务处于停止状态。 Version HBlock版本号。 Parameters 服务器中HBlock可使用的内存信息： maxMemoryRatio：HBlock可使用的内存占用系统总内存的比例上限。 maxMemorySize：HBlock可使用的内存最大值，单位是bytes。 Disk Path(s) 数据目录信息： No.：编号。 Path：数据目录。单机版中，如果数据目录后有()，表示为HBlock服务器的默认数据目录。 Storage Pool：数据目录所属资源池。 Used Capacity：HBlock数据目录对应分区的已用容量。 Total Capacity：HBlock数据目录对应分区的总容量。 Used Capacity Quota：数据目录已用容量配额。 Capacity Quota：数据目录容量配额，当HBlock的使用空间一旦达到配额，就立刻阻止数据写入，不允许再使用超出配额的空间。 Health Status：数据目录的健康状态： Healthy：数据目录处于健康状态，可正常读写，且数据目录所在磁盘使用率未超过阈值（系统默认值为95%）。 Warning：数据目录处于警告状态，可读，但存在以下情况的任意一种：慢盘；数据目录所在磁盘使用率超过阈值（系统默认值为95%）；磁盘剩余空间不足1GiB；HBlock对这个目录停写；数据目录配额使用率超过阈值（系统默认值为95%）；数据目录配额为0。 Error：数据目录错误状态，无法访问，原因可能是：所在磁盘出现I/O错误导致无法读写，数据目录未正确挂载等。 Health Detail：数据目录健康状态详情。 如果健康状态为Healthy，此列为空。 如果健康状态为Warning或Error，显示警告或错误的详细信息。 Data Service：数据目录对应的ds进程（仅集群版支持）。 说明 数据目录加入存储池后才会展示ds进程。 Removing Details 移除服务器或者移除数据目录时，被移除数据目录的详细信息： No.：编号。 Path：具体数据目录。 Stage：移除数据目录所处的阶段： Reconfiguration：重置中。 CheckingData：检查数据。 Executing：执行移除数据目录。 Details：详细数据： FaultDomains：故障域详情，包括：healthy（健康个数），warning（告警个数），error（错误个数）。 Data：safe（安全数据百分比），await reconstruction（需要重建的数据百分比），await more faultdomains（需要额外故障域才能够重建的数据百分比），singlecopy（单副本数据百分比），corrupted（已经损坏的数据百分比）。

名称 类型 描述 path String HBlock数据目录。 totalCapacity Long 当前HBlock数据目录对应分区的总容量，单位是bytes。 usedCapacity Long 服务器上HBlock数据目录对应分区的已用容量，单位是bytes。 usedCapacityQuota Long HBlock在该数据目录的已写入量，即已用容量配额。单位是bytes。 capacityQuota Long 数据目录的容量配额。单位是bytes。 0表示禁止写入。不输出，表示没有限制。 managementStatus String 数据目录管理状态： Added：数据目录已添加至系统中。 Removing：数据目录正在移除中。 subStatus.stage String 移除数据目录所处的阶段： Reconfiguration：重置中。 CheckingData：检查数据。在该阶段，会同时显示下列字段的信息totalFD、healthyFD、warningFD、errorFD、safeData、reconstructionWaitData、availFDWaitData、singleCopyLUNData、corruptedData、具体告警信息（availFDWaitWarning、singleCopyLUNWarning或者corruptedWarning）。 Executing：执行移除数据目录 subStatus.totalFD Integer 总的故障域个数。 subStatus.healthyFD Integer 状态为Healthy的故障域个数。 subStatus.warningFD Integer 状态为Warning的故障域个数。 subStatus.errorFD Integer 状态为Error的故障域个数。 subStatus.safeData Double 安全数据百分比，单位是%。 subStatus.reconstructionWaitData Double 需要重建的数据百分比，单位是%。 subStatus.availFDWaitData Double 移除磁盘或者服务器时，数据重建需要的故障域个数不足，因此引发的无法重建的数据百分比。 subStatus.singleCopyLUNData Double 单副本数据百分比，单位是%。 subStatus.corruptedData Double 已经损坏的数据百分比，单位是%。 subStatus.availFDWaitWarning String 告警信息。 根据状态不同，显示的告警信息不同： availFDWaitWarning：移除磁盘或者服务器时，数据重建需要的故障域个数不足。 singleCopyLUNWarning：单副本卷数据所在磁盘或者服务器被移除。 corruptedWarning：故障域异常导致数据损坏。 subStatus.singleCopyLUNWarning String 告警信息。 根据状态不同，显示的告警信息不同： availFDWaitWarning：移除磁盘或者服务器时，数据重建需要的故障域个数不足。 singleCopyLUNWarning：单副本卷数据所在磁盘或者服务器被移除。 corruptedWarning：故障域异常导致数据损坏。 subStatus.corruptedWarning String 告警信息。 根据状态不同，显示的告警信息不同： availFDWaitWarning：移除磁盘或者服务器时，数据重建需要的故障域个数不足。 singleCopyLUNWarning：单副本卷数据所在磁盘或者服务器被移除。 corruptedWarning：故障域异常导致数据损坏。 healthStatus String 数据目录健康状态： Healthy：数据目录处于健康状态，可正常读写，且数据目录所在磁盘使用率未超过阈值（系统默认值为95%）。 Warning：数据目录处于警告状态，可读，但存在以下情况的任意一种：慢盘；数据目录所在磁盘使用率超过阈值（系统默认值为95%）；磁盘剩余空间不足1GiB；HBlock对这个目录停写；数据目录配额使用率超过阈值（系统默认值为95%）；数据目录配额为0。 Error：数据目录错误状态，无法访问，原因可能是：所在磁盘出现I/O错误导致无法读写，数据目录未正确挂载等。 healthDetail Array of string 数据目录健康状态详情： 如果健康状态为Healthy，此字段为空。 如果健康状态为Warning或Error，显示警告或错误的详细信息。 dsId String 数据目录对应的ds进程（仅集群版支持）。 说明 数据目录加入存储池后才会展示ds进程。

本文帮助您快速熟悉创建虚拟私有云的操作流程。 操作场景 虚拟私有云可以为您的弹性云主机构建隔离的、用户自主配置和管理的虚拟网络环境。 要拥有一个完整的虚拟私有云，第一步请参考本章节任务创建虚拟私有云的基本信息及默认子网；然后再根据您的实际网络需求，参考后续章节继续创建子网、申请弹性IP、安全组等网络资源。 操作步骤 1. 登录管理控制台。 2. 在系统首页，选择“网络 > 虚拟私有云”。 3. 单击“创建虚拟私有云”。进入“创建虚拟私有云”页面。 4. 在“创建虚拟私有云”页面，根据界面提示配置虚拟私有云参数。创建虚拟私有云时会同时创建一个默认子网，您还可以单击“添加子网”创建多个子网。 5. 检查当前配置，单击“立即创建”。 表 虚拟私有云参数说明 参数 说明 取值样例 区域 不同区域的资源之间内网不互通。请选择靠近您客户的区域，可以降低网络时延、提高访问速度。 名称 VPC名称。名称只能由中文、英文字母、数字、“”、“”和“.”组成，且不能有空格，长度不能大于64个字符。 VPCtest IPv4网段 VPC的地址范围，VPC内的子网地址必须在VPC的地址范围内。目前支持网段范围： 10.0.0.0/824 172.16.0.0/1224 192.168.0.0/1624未开启IPv4/IPv6双栈的区域显示参数“网段”，开启IPv4/IPv6双栈的区域显示参数“IPv4网段”。 192.168.0.0/16 高级配置 单击下拉箭头，可配置VPC的高级参数，包括标签等。 默认配置 标签 虚拟私有云的标识，包括键和值。可以为虚拟私有云创建10个标签。 键：vpckey1 值：vpc01 表 子网参数说明 参数 说明 取值样例 名称 子网的名称。名称只能由中文、英文字母、数字、“”、“”和“.”组成，且不能有空格，长度不能大于64个字符。 subnet01 子网IPv4网段 子网的地址范围，需要在VPC的地址范围内。 192.168.0.0/24 子网IPv6网段 选择是否勾选开启IPv6。开启IPv6功能后，将自动为子网分配IPv6网段，暂不支持自定义设置IPv6网段。该功能一旦开启，将不能关闭。 关联路由表 子网创建完成后默认关联默认路由表，您也可以通过子网的更换路由表操作，切换至自定义路由表。 默认 高级配置 单击下拉箭头，可配置子网的高级参数，包括网关、DNS服务器地址等。 默认配置 网关 子网的网关。通向其他子网的IP地址，用于实现与其他子网的通信。 192.168.0.1 DNS服务器地址 默认配置了2个DNS服务器地址，您可以根据需要修改。多个IP地址以英文逗号隔开。DNS服务器地址最多支持2个IP，请以英文逗号隔开。 100.125.x.x 标签 子网的标识，包括键和值。可以为子网创建10个标签。 l 键：subnetkey1l 值：subnet01

本文帮助您快速熟悉创建虚拟私有云的操作流程。 操作场景 虚拟私有云可以为您的弹性云主机构建隔离的、用户自主配置和管理的虚拟网络环境。 要拥有一个完整的虚拟私有云，第一步请参考本章节任务创建虚拟私有云的基本信息及默认子网；然后再根据您的实际网络需求，参考后续章节继续创建子网、申请弹性IP、安全组等网络资源。 操作步骤 1. 登录管理控制台。 2. 在系统首页，选择“网络 > 虚拟私有云”。 3. 单击“创建虚拟私有云”。进入“创建虚拟私有云”页面。 4. 在“创建虚拟私有云”页面，根据界面提示配置虚拟私有云参数。创建虚拟私有云时会同时创建一个默认子网，您还可以单击“添加子网”创建多个子网。 5. 检查当前配置，单击“立即创建”。 表 虚拟私有云参数说明 参数 说明 取值样例 区域 不同区域的资源之间内网不互通。请选择靠近您客户的区域，可以降低网络时延、提高访问速度。 名称 VPC名称。名称只能由中文、英文字母、数字、“”、“”和“.”组成，且不能有空格，长度不能大于64个字符。 VPCtest IPv4网段 VPC的地址范围，VPC内的子网地址必须在VPC的地址范围内。目前支持网段范围： 10.0.0.0/824 172.16.0.0/1224 192.168.0.0/1624未开启IPv4/IPv6双栈的区域显示参数“网段”，开启IPv4/IPv6双栈的区域显示参数“IPv4网段”。 192.168.0.0/16 高级配置 单击下拉箭头，可配置VPC的高级参数，包括标签等。 默认配置 标签 虚拟私有云的标识，包括键和值。可以为虚拟私有云创建10个标签。 键：vpckey1 值：vpc01 表 子网参数说明 参数 说明 取值样例 名称 子网的名称。名称只能由中文、英文字母、数字、“”、“”和“.”组成，且不能有空格，长度不能大于64个字符。 subnet01 子网IPv4网段 子网的地址范围，需要在VPC的地址范围内。 192.168.0.0/24 子网IPv6网段 选择是否勾选开启IPv6。开启IPv6功能后，将自动为子网分配IPv6网段，暂不支持自定义设置IPv6网段。 该功能一旦开启，将不能关闭。 关联路由表 子网创建完成后默认关联默认路由表，您也可以通过子网的更换路由表操作，切换至自定义路由表。 默认 高级配置 单击下拉箭头，可配置子网的高级参数，包括网关、DNS服务器地址等。 默认配置 网关 子网的网关。通向其他子网的IP地址，用于实现与其他子网的通信。 192.168.0.1 DNS服务器地址 默认配置了2个DNS服务器地址，您可以根据需要修改。多个IP地址以英文逗号隔开。 DNS服务器地址最多支持2个IP，请以英文逗号隔开。 100.125.x.x 标签 子网的标识，包括键和值。可以为子网创建10个标签。 键：subnetkey1 值：subnet01

本节介绍了Windows外部镜像文件在导出前未完成初始化配置的解决办法。 外部镜像文件在从原平台导出前，没有按照准备镜像文件（Windows）中的Windows操作系统的镜像文件限制表的要求完成初始化操作，推荐您使用弹性云主机完成相关配置。流程如下图所示。 注意： 云主机的正常运行依赖于XEN Guest OS driver（PV driver）和KVM Guest OS driver（UVP VMTools），未安装会对云主机运行时的性能产生影响，云主机的部分功能会有缺失。请确保外部镜像文件在从原平台导出前，已安装这些驱动，否则云主机因启动不成功而无法进行任何配置。 安装UVP VMTools，请参考安装UVPVMTools。 安装PV driver，请参考安装PVdriver。 创建过程 步骤1：上传镜像文件 上传外部镜像文件到OBS个人桶中，请参考上传镜像文件（Windows）。 步骤2：注册镜像 通过管理控制台选择上传的镜像文件，并将镜像文件注册为未初始化的私有镜像。请参考注册镜像（Windows）。 步骤3：创建云主机 1. 登录管理控制台。 2. 选择“计算 > 镜像服务”。 进入镜像服务页面。 3. 单击“私有镜像”页签进入私有镜像列表。 4. 在未初始化的私有镜像所在行，单击“操作”列的“申请主机”。 5. 根据界面提示完成云主机的创建。需要关注以下几点： − 创建云主机过程中需要绑定弹性公网IP，以便您能上传相关安装包或者在云主机内部直接下载安装包。 − 需要在云主机所属安全组中添加对应的入方向规则，确保可以从外部访问该云主机。 − 如果在镜像文件系统中已经安装并配置了CloudbaseInit工具，请按照界面提示设置密码方式登录云主机。如果未安装，请使用镜像文件中包含的密码或证书登录。 详细操作请参见《弹性云主机用户指南》。 6. 执行以下步骤检查云主机，验证私有镜像是否可用。 a. 如果云主机启动成功，证明外部镜像文件已安装Guest OS driver，或者云平台的自动化配置功能已为您自动安装该驱动。否，请您在原平台安装Guest OS driver后，再重新创建私有镜像。 b. 如果能够使用用户设置的密码/密钥登录云主机，证明已安装CloudbaseInit工具。否，请使用原始密码/密钥登录云主机，再请参考安装并配置CloudbaseInit工具安装CloudbaseInit。 c. 请参考步骤4：配置云主机中的第2步检查网卡属性是否为DHCP方式。 d. 使用MSTSC工具远程登录成功，证明云主机的远程桌面配置正常。否，请参考步骤4：配置云主机中的第3步配置远程桌面。 如果满足以上条件，则私有镜像可用，请直接参考清理环境（可选）清理环境。

本章节主要介绍翼MapReduce运行Hue任务。 前提条件 1. 使用Hue WebUI编辑器前，请前往翼MR Manager集群服务Hue连接器管理页面，选择需要启用的连接器，启用成功后，请在页面右上角的运维操作中重启Hue集群服务。重启后，即可前往Hue WebUI页面进行使用。 2. 当前版本支持使用LDAP账号访问Hue。若使用admin、hdfs或hive等已有权限的用户登录Hue，无需进行Ranger授权，可以跳过此步骤；如果新建LDAP用户，需要通过Ranger授予Hive与HDFS权限，操作步骤如下： 1）前往翼MR Manager集群服务中点击Ranger插件启用启用Hive与HDFS，并重启Hive与HDFS服务； 2）登录Ranger WebUI界面给需要登录的用户授权HADOOP SQL/HDFS等权限。 注意 如果没有给登录用户授权，查询hive可能报错Error， Permission denied: usertest, accessWRITE等问题。 3. 修改coresite.xml文件，为Hue用户配置代理权限。在HDFS配置管理中修改coresite.xml文件配置，新增 hadoop.proxyuser.hue.hosts与hadoop.proxyuser.hue.groups配置项，配置值可按需设置为，保存并同步配置后，请重启HDFS与Hivehiveserver2。 注意 如果没有为Hue用户配置代理权限，可能会报错Failed to validate proxy privilege of hue for test(登录用户)。 4. 若通过公网访问Hue WebUI，需保障网络畅通，您可前往控制台节点管理，为Hue所在的master节点绑定弹性IP，为安全组配置入方向访问规则后，点击访问链接与端口页面中的链接，前往Hue WebUI页面。 5. Hue通过JDBC连接Trino 查询引擎。Trino支持多个Catalog（如 hive、mysql等），但Hue默认连接Trino自带system的系统Catalog ，仅用于监控和元数据查询，无法访问Hive表等业务数据。如何查询Hive或其他业务数据？您有两种方式： 方式一：修改Hue默认连接的Catalog（推荐） 编辑Hue配置文件hue.ini，将Trino URL中的system替换为您实际使用的Catalog名称（例如hive） plaintext [[[trino]]] nameTrino JDBC interfacejdbc options'{"url":"jdbc:trino://yourtrinohost:9808/hive", "driver": "io.trino.jdbc.TrinoDriver", "user": "trino", "passwordscript": "/path/to/passwordscript.sh"}' 保存后重启Hue，即可在查询编辑器中直接使用SQL plaintext SELECT FROM default.users 方式二：在SQL中显式指定Catalog（无需改配置） 即使默认Catalog是system，您仍可通过完整表名查询任意Catalog中的数据。 使用SQL查询Hive 中的表 plaintext SELECT FROM hive.default.users 注意 请确保Trino服务端已正确配置对应的Catalog（如 hive.properties）。

本文介绍如何配置防火墙防护策略，包括配置入侵防御模式和配置访问控制策略。 云防火墙提供基础防御功能，可以针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。 访问控制策略默认状态为放行，通过配置合适的策略调整防护能力，实现更有效的精细化管控，防止内部威胁扩散，增加安全战略纵深。 配置入侵防御模式操作步骤 在左侧导航栏中，选择“攻击防御 > 入侵防御” 。 功能名称 功能说明 :: 防护模式 观察模式：仅对攻击事件进行检测并记录到日志中。 拦截模式：在发生明确攻击类型的事件和检测到异常IP访问时，将实施自动拦截操作。 拦截模式宽松：防护粒度较粗。拦截可信度高且威胁程度高的攻击事件。 拦截模式中等：防护粒度中等。满足大多数场景下的防护需求。 拦截模式严格：防护粒度精细，全量拦截攻击请求。建议您等待业务运行一段时间后，根据防护效果配置误报屏蔽规则，再开启“严格”模式。 说明 选择防护模式后，可对基础防御规则库的单条防御规则进行修改。具体操作请参见修改基础防御规则动作。 基础防御 为您的资产提供基础的防护能力，默认为“开启”状态。防御功能包括： 检查威胁及漏洞扫描。 检测流量中是否含有网络钓鱼、特洛伊木马、蠕虫、黑客工具、间谍软件、密码攻击、漏洞攻击、SQL注入攻击、XSS跨站脚本攻击、Web攻击。 是否存在协议异常、缓冲区溢出、访问控制、可疑DNS活动及其他可疑行为。 虚拟补丁 在网络层级为IPS提供热补丁，实时拦截高危漏洞的远程攻击行为，同时避免修复漏洞时造成业务中断。 高级 敏感目录扫描防御 防御对用户主机敏感目录的扫描攻击。 “动作”： 观察模式：发现敏感目录扫描攻击后，CFW仅记录攻击日志，查看攻击日志请参见日志查询。 拦截Session：发现敏感目录扫描攻击后，拦截当次会话。 拦截IP：发现敏感目录扫描攻击后，CFW会阻断该攻击IP一段时间。 “持续时长”：“动作”选择“拦截IP”时，可设置阻断时间，范围为60~3600s。 “阈值”：对于单个敏感目录扫描频率达到设定的阈值后，CFW会采取相应“动作”。 高级 反弹Shell检测防御 防御网络上通过反弹shell方式进行的网络攻击。 “动作” ： 观察模式：发现反弹shell攻击后，仅记录攻击日志，查看攻击日志请参见日志查询。 拦截Session：发现反弹shell攻击后，拦截当次会话。 拦截IP：发现反弹shell攻击后，CFW会阻断该攻击IP一段时间。 “持续时长”：“动作”选择“拦截IP”时，可设置阻断时间，范围为60~3600s。 “模式 ”： 低误报：防护粒度较粗。观察或拦截频次较高的攻击，用于确保攻击处理没有误报。 高检测：防护粒度精细，确保攻击能够被发现并处理。

编辑告警 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。 5. 在告警管理列表中，单击目标告警所在行“操作”列的“编辑”，右侧弹出编辑告警页面。 6. 在弹出的编辑告警页面中，编辑告警参数，参数说明如下表所示。 参数名称 参数说明 基础信息 告警名称 自定义告警名称，命名规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过2550个字符。 基础信息 告警类型 选择告警类型。 基础信息 告警等级 选择告警严重等级，可选择以下等级：提示、低危、中危、高危、致命。 基础信息 状态 选择告警状态，告警状态用于标识告警跟踪的状态。可选择以下状态：打开、阻塞、关闭。 打开：未处理且需要继续跟踪关注的告警，建议配置为“打开”状态。 阻塞：跟踪的告警因某些原因暂时无法处置需要挂起的建议配置为“阻塞”状态。 关闭：已经处置完毕且不需要继续跟踪的告警建议配置为“关闭”状态。 基础信息 （可选）责任人 选择告警跟踪或处置的主要责任人。 基础信息 数据源产品名称 选择数据源产品的名称，不支持修改。 基础信息 数据源类型 选择数据源所属类型，不支持修改。 时间线 首次发生时间 该条告警首次发生时间。 时间线 最近发生时间 该条告警最近一次发生的具体时间。 时间线 计划关闭时间 选择告警计划关闭时间。 处置建议 推荐处理方法 告警的推荐处置方法描述。 其他 标签 填写告警的标签。 其他 调试数据 选择是否开启模拟调试功能，不支持修改。 其他 （可选）验证状态 选择告警的确认状态，标识告警攻击的状态，确认是否造成实际的负面影响。可选择以下状态：未知、攻击成功、攻击失败。 未知：无法确认告警是否带来实质的攻击。 攻击成功：确认该告警已经攻击成功。 攻击失败：确认该告警已经攻击失败。 可疑：该告警存在可疑的攻击行为，如攻击尝试。 白名单：确认无攻击行为的主机告警。 非攻击信息：非恶意攻击，如系统脆弱性告警，风险账号、弱口令等。 其他 阶段 选择您的告警阶段。 准备：准备资源处理告警。 检测与分析：检测与分析告警发生原因。 控制、清除、恢复：进行告警问题处理。 告警后活动：告警处理完成后的后续活动。 其他 描述 填写告警描述信息，填写规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过10240个字符。 7. 单击“确认”，完成告警编辑。配置完成后，在左侧导航栏选择“威胁管理> 告警管理”，进入告警管理页面查看告警信息。

本节主要介绍添加DNAT规则的操作步骤。 操作场景 公网NAT网关创建后，添加DNAT规则，则可以通过映射方式将您本地数据中心的服务器对互联网提供服务。 一个云主机的一个端口对应一条DNAT规则，如果您有多个云主机需要为互联网提供服务，则需要创建多条DNAT规则来实现共享一个或多个弹性IP访问公网。 操作前提 已成功创建公网NAT网关。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。 进入公网NAT网关页面。 3. 在公网NAT网关页面，单击需要添加DNAT规则的公网NAT网关名称。 4. 在公网NAT网关详情页面中，单击“DNAT规则”页签。 5. 在DNAT规则页签中，单击“添加DNAT规则”。 6. 根据界面提示，配置添加DNAT规则参数，详情请参见下表。 表 DNAT规则参数说明 参数 说明 使用场景 在云间NAT网关高速访问互联网的场景下，此处选择云专线。 表示通过云专线方式接入虚拟私有云的本地数据中心中的服务器，将通过DNAT的方式为公网提供服务。 端口类型 分为所有端口和具体端口两种类型。 所有端口：属于IP映射方式。此方式相当于为服务器配置了一个弹性IP，任何访问该弹性IP的请求都将转发到目标服务器实例上。 具体端口：属于端口映射方式。公网NAT网关会将以指定协议和端口访问该弹性IP的请求转发到目标服务器的指定端口上。 支持协议 协议类型分为TCP和UDP两种类型。 端口类型为具体端口时，可配置此参数，端口类型为所有端口时，此参数默认设置为All。 弹性IP 弹性IP地址。 这里只能选择没有被绑定的弹性IP，或者被绑定在当前公网NAT网关中非“所有端口”类型DNAT规则上的弹性IP， 或者被绑定到当前公网NAT网关中SNAT规则上的弹性IP。 公网端口 弹性IP的端口。当端口类型为具体端口时，需要配置此参数，取值范围为165535。公网端口为具体的数值，例如80。 私网IP 用户本地数据中心中服务器的IP地址或者用户的私有IP地址。 表示通过云专线接入到虚拟私有云的本地数据中心端的此私有IP服务器，可以通过DNAT方式为公网提供服务。 端口类型为具体端口时，需要配置私网IP的端口。表示此IP地址的云主机将通过DNAT方式为公网提供服务。 私网端口 在使用DNAT为云主机面向公网提供服务场景下，指云主机的端口号。 当端口类型为具体端口时，需要配置此参数，取值范围为165535。私网端口为具体的数值，例如80。 7. 配置完成后，单击“确定”，完成“DNAT规则”创建。 说明 配置DNAT规则后，需在对应的云主机中放通对应的安全组规则，否则DNAT规则不能生效。

本节主要介绍NAT的产品定义。 NAT网关可为您提供网络地址转换服务，分为公网NAT网关和私网NAT网关。 公网NAT网关 公网NAT网关（Public NAT Gateway）能够为虚拟私有云内的弹性云主机或者通过云专线/VPN接入虚拟私有云的本地数据中心的服务器，提供网络地址转换服务，使多个云主机可以共享弹性IP访问Internet或面向Internet提供服务。 公网NAT网关分为SNAT和DNAT两个功能。 SNAT功能通过绑定弹性IP，实现私有IP向公有IP的转换，可实现VPC内跨可用区的多个云主机共享弹性IP，安全，高效的访问互联网。 图 SNAT架构图 DNAT功能绑定弹性IP，可通过IP映射或端口映射两种方式，实现VPC内跨可用区的多个云主机共享弹性IP，为互联网提供服务。 图 DNAT架构图 私网NAT网关 私网NAT网关（Private NAT Gateway），能够为虚拟私有云内的云主机（弹性云主机、物理机）提供私网地址转换服务。您可以在私网NAT网关上配置SNAT、DNAT规则，可将源、目的网段地址转换为中转IP，通过使用中转IP实现VPC内的云主机与其他VPC、云下IDC互访。 私网NAT网关分为SNAT和DNAT两个功能： SNAT功能通过绑定中转IP，可实现VPC内跨可用区的多个云主机共享中转IP，访问外部数据中心或其他VPC。 DNAT功能通过绑定中转IP，可实现IP映射或端口映射，使VPC内跨可用区的多个云主机共享中转IP，为外部私网提供服务。 中转子网 中转子网相当于一个中转网络，是中转IP所属的子网。 中转IP 您可以在中转子网中创建私网IP，即中转IP，使本端VPC中的云主机可以共享该私网IP（中转IP）访问用户IDC或其他远端VPC。 中转VPC 中转子网所在VPC。 图 私网NAT网关 如上图所示： 重叠网段的VPC互访 两个本端VPC网段重叠，使用两个私网NAT网关，配置SNAT、DNAT规则，将本端VPC私网地址转换为中转IP地址，实现两个本端VPC中云主机利用中转IP互访，解决了VPC间网段重叠互访的问题。 指定IP接入远端私网 访问远端私网中的用户数据中心（IDC）和VPC被要求指定IP地址接入，远端私网中的IDC通过云专线/VPN接入中转VPC，远端私网中的VPC通过对等连接接入中转VPC。本端VPC1使用私网NAT网关，配置SNAT规则，将本端VPC私网地址转换为指定IP地址，实现本端VPC1中的云主机以指定IP地址接入远端私网。

本节主要介绍参数调优 数据库参数是数据库系统运行的关键配置信息，设置不合适的参数值可能会影响业务。本文列举了一些重要参数说明。更多参数的详细说明请参见MongoDB官网。 如需通过控制台界面修改参数值，请参见编辑参数模板。 enableMajorityReadConcern 该参数表示读取数据时，是否需要从大多数节点获取一致的数据后才返回结果。 默认值为 “ false ” ， 表示读取数据时，不需要从大多数节点获取一致数据后返回结果，即从单个节点上读取数据就可以返回结果。 该参数设为true的时候，表示读取数据时，需要从大多数节点获取一致数据后才返回结果。该操作会导致LAS文件过大，进而造成CPU过高和磁盘占用大。 在DDS中，不支持设置majority级别的readConcern。对于需要majorityReadConcern的场景，可以将WriteConcern设置为majority，表示数据写入到大多数节点了，这样也就保证了大多数节点的数据一致了。然后通过读取单个节点的数据，就能保证用户读到的数据已经写入到大多数节点，而这样的数据不会发生回滚，避免了脏读的问题。 说明 MongoDB可以通过writeConcern来定制写策略，通过readConcern来定制读策略。 当指定readConcern级别为majority时，能保证用户读到的数据已经写入到大多数节点，而这样的数据不会发生回滚，避免了脏读的问题。 failIndexKeyTooLong 默认值为 “ true ” 。 该参数不支持修改，避免过长索引Key。 net.maxIncomingConnections 该参数表示mongos或mongod可接受的最大同时连接数量。该参数依赖于实例的规格，实例规格不同对应其默认值也不同。因此，此参数在用户未设置前显示为“default”，表示该参数随内存规格变化。 security.javascriptEnabled 默认值为 “ false ” 。 该参数表示是否允许mongod上执行JavaScript脚本。为了安全考虑，默认值为“false”，表示不允许mongod上执行JavaScript脚本，mapreduce、group等命令也将无法使用。 disableJavaScriptJIT 默认值为 “ true ” 。 该参数表示是否禁用JavaScriptJIT编译技术。JavaScriptJIT编译技术实现了即时 (JIT) 编译以提高运行脚本时的性能。 “disableJavaScriptJIT”默认值为“true”，表示禁用JavaScriptJIT编译技术。如果需要启用JavaScriptJIT编译技术，可以将“disableJavaScriptJIT”的值设置为“false”。 operationProfiling.mode 默认值为 “ slowOp ” 。 该参数表示数据库分析器的级别。 该参数支持如下取值： 1. 默认值为“slowOp”，表示对于耗时超过慢查询阈值的操作，采集器采集数据。 2. 取值为“off”，表示分析器关闭，不收集任何数据。 3. 取值为“all”，表示采集器采集所有操作的数据。 operationProfiling.slowOpThresholdMs 默认值为 “ 500 ” ，单位为ms。 该参数表示慢查询的时间阈值，单位为毫秒，超过该阈值的操作将被认为是慢操作。 如无特殊需求，建议使用默认值500ms。 maxTransactionLockRequestTimeoutMillis 默认值“5”，取值范围为5~100，单位为ms。 该参数表示事务等待获取锁的时间，超过该时间则事务回滚。

本章节主要介绍翼MapReduce服务查看及导出审计日志。 操作场景 该任务指导用户在MRS Manager查看、导出审计日志工作，用于安全事件中事后追溯、定位问题原因及划分事故责任。 系统记录的日志信息包含： 用户活动信息，如用户登录与注销，系统用户信息变更，系统用户组信息变更等。 用户操作指令信息，如集群的启动、停止，软件升级等。 操作步骤 查看审计日志 1. 在MRS Manager，单击“审计管理”，可直接查看默认的审计日志。 若审计日志的审计内容长度大于256字符，请单击审计日志展开按钮展开审计详情。 默认以“产生时间”列按降序排列，单击 操作类型 、安全级别、产生时间、用户、主机、服务、实例或操作结果可修改排列方式。 支持在“安全级别”筛选相同级别的全部告警。结果包含已清除和未清除的告警。 导出的审计日志文件，包含以下信息列： “编号”：表示MRS Manager已生成的审计日志数量，每增加一条审计日志则编号自动加1。 “操作类型”：表示用户操作的操作类型，分为“告警”、“审计日志”、“备份恢复”、“集群”、“采集日志”、“主机”、“服务”、“多租户”和“用户管理”九种场景，其中“用户管理”仅在启用了Kerberos认证的集群中支持。每个场景中包含不同操作类型，例如“告警”中包含“导出告警”，“集群”中包含“启动集群”，“多租户”包含“增加租户”等。 “安全级别”：表示每条审计日志的安全级别，包含“高危”、“危险”、“一般”和“提示”四种。 “开始时间”：表示用户操作开始的时间，且时间为CET或CEST时间。 “结束时间”：表示用户操作结束的时间，且时间为CET或CEST时间。 “用户IP”：表示用户操作时所使用的IP地址。 “用户”：表示执行操作的用户名。 “主机”：表示用户操作发生在集群的哪个节点。如果操作不涉及节点则不保存信息。 “服务”：表示用户操作发生在集群的哪个服务。如果操作不涉及服务则不保存信息。 “实例”：表示用户操作发生在集群的哪个角色实例。如果操作不涉及角色实例则不保存信息。 “操作结果”：表示用户操作的结果，包含“成功”、“失败”和“未知”。 “内容”：表示用户操作的具体执行信息。 2. 单击“高级搜索”，在审计日志搜索区域中，设置查询条件，单击“搜索”，查看指定类型的审计日志。单击“重置”清除输入的搜索条件。 说明 “开始时间”和“结束时间”表示时间范围的开始时间和结束时间，可以搜索此时间段内产生的告警。

VPC终端节点产品为您提供安全可靠的内网连接服务,本文带您了解VPC终端节点的产品优势。 安全性高 用户能够通过终端节点私密地连接到终端节点服务，避免泄漏服务端相关信息所带来不可知的风险。 使用灵活 无需弹性公网IP，直连内网，使用更加灵活。 即创即用 秒级创建，快速生效，迅速响应，方便用户即时使用。 性能优异 可根据需要提供千万级连接和百G级转发能力，满足各种大用量业务场景。 可靠性高 支持跨AZ的集群化高可靠服务，为用户提供稳定可靠的内网连接。

本小节介绍服务器安全卫士的入侵检测通用功能,包括暴力破解、异常登录、反弹shell等。 以旗舰版为例，入侵检测模块主要包含暴力破解、异常登录、反弹shell、本地提权、后门检测、Web后门、可疑操作、Web命令执行八大功能。 下面以Web后门页面为例，介绍通用功能，各功能详情，请登录服务器安全卫士控制台进行查看。 通用功能 • 条件筛选框； • 更多设置按钮：点击“更多”按钮，显示全部； • 设置显示列按钮：点击 ，可设置显示列，控制列表中的数据显示/隐藏。

本章节说明数据库安全计费概述 计费项 计费说明 计费项 计费项说明 计费模式 数据库实例 计费因子：不同规格的实例类型提供不同数据库纳管数、吞吐率和入库速率。 包年/包月 计费示例 假设您在2023/06/30 16:50:04购买了一个数据库安全审计（性能规格：基础版）购买时长为一个月，并在到期前手动续费1个月，则： 第一个计费周期为：2023/06/30 16:50:04 ~ 2023/07/30 23:59:59 第二个计费周期为：2023/07/30 23:59:59 ~ 2023/08/30 23:59:59

接口功能介绍 服务器设置中心，同步资产间隔查询 接口约束 已经签约安全卫士服务协议 URI GET /v1/sync/my 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 200成功 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 成功 returnObj Object 返回对象 枚举参数 无 请求示例 请求url 无 请求头header {"regionid": "100054c0416811e9a6690242ac110002","ContentType":"application/json","urlType": "CTAPI"} 请求体body 无 响应示例 {"statusCode": "200","error": "CTCSSCN000000","message": "查询成功!","returnObj": 2} 状态码 请参考 状态码 错误码 请参考 错误码

接口功能介绍 服务器设置中心，同步资产设置 接口约束 已经签约安全卫士服务协议 URI POST /v1/sync/update/ 路径参数 参数 是否必填 参数类型 说明 示例 下级对象 interval 是 Integer 数据id。取值范围(0,24) 1 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 200成功 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 成功 returnObj Object 返回对象 枚举参数 无 请求示例 请求url 无 请求头header {"regionid": "100054c0416811e9a6690242ac110002","ContentType":"application/json","urlType": "CTAPI"} 请求体body 无 响应示例 {"statusCode": "200","error": "CTCSSCN000000","message": "查询成功!","returnObj": null} 状态码 请参考 状态码

本节主要介绍使用Redisshake工具在线全量迁移其他云厂商Redis Redisshake是一款开源的Redis迁移工具，在Rump模式下，Redisshake可以以scan的方式从源端Redis获取全量数据，写入到目的端，实现数据迁移。这种迁移方式不依赖于SYNC和PSYNC，可以广泛应用于自建Redis、云Redis之间的迁移。 本文将介绍如何利用Redisshake的Rump模式，以在线全量的迁移方式，一次性将其他云厂商Redis迁移至DCS中。 本方案数据流向示意图 前提条件 已在目标端云服务创建Redis实例。 已在目标端云服务创建用于运行Redisshake的弹性云主机(ECS)。 创建的ECS需要选择与Redis实例相同的VPC，并且需要绑定弹性公网IP。 Rump模式不支持增量数据迁移，建议您先停止源端Redis的写入再进行迁移，防止数据不一致。 该方案配置只支持同DB映射迁移，异DB映射迁移该方案配置不适用。 源端为多DB使用（有非DB0的DB使用），DCS为Proxy集群时，DCS需要开启多DB模式，否则会迁移失败（单DB0的Proxy集群不支持select命令）。 源端为多DB使用（有非DB0的DB使用），DCS为Cluster集群时，该方案不支持（DCS Cluster集群只支持DB0模式）。 操作步骤 步骤 1 分别在ECS和源端转发服务器上安装Nginx，本文以ECS操作系统为Centos7.x为例进行安装，不同操作系统命令稍有不同。 1. 执行以下命令，添加Nginx到yum源。 sudo rpm Uvh 2. 添加完之后，执行以下命令，查看是否已经添加成功。 yum search nginx 3. 添加成功之后，执行以下命令，安装Nginx。 sudo yum install y nginx 4. 执行以下命令安装stream模块。 yum install nginxmodstream skipbroken 5. 启动Nginx并设置为开机自动运行。 sudo systemctl start nginx.service sudo systemctl enable nginx.service 6. 在本地浏览器中输入服务器地址（ECS公网IP地址），查看安装是否成功。 如果出现下面页面，则表示安装成功。 步骤 2 在源端Redis添加源端转发服务器的白名单。 步骤 3 在源端转发服务器配置安全组。 1. 获取ECS的公网IP地址。 2. 配置源端转发服务器安全组入方向，添加ECS的公网IP地址，并放开来自ECS访问请求的端口（以6379为例）。 步骤 4 配置源端转发服务器的Nginx转发配置。 1. 登录Linux源端转发服务器，执行命令打开并修改配置文件。 cd /etc/nginx vi nginx.conf 2. 转发配置示例如下： stream { server { listen 6379; proxypass {sourceinstanceaddress}:{port}; } } 其中，6379为源端转发服务器本机监听端口，{sourceinstanceaddress}和{port}为源端Redis实例的连接地址和端口。 配置目的：通过访问源端转发服务器本机监听端口6379，访问源端Redis。 注意：以上配置必须配置在如下图所示的位置。 配置位置要求 3. 重启Nginx服务。 service nginx restart 4. 验证启动是否成功。 netstat angrep 6379 端口在监听状态，Nginx启动成功。 验证结果 步骤 5 配置ECS的Nginx转发配置。 1. 登录LinuxECS，执行命令打开并修改配置文件。 cd /etc/nginx vi nginx.conf 2. 配置示例如下： stream { server { listen 6666; proxypass {sourceecsaddress}:6379; } } 其中，6666为ECS本机监听端口，{sourceecsaddress}为源端转发服务器公网IP地址，6379为源端转发服务器Nginx的监听端口。 配置目的：通过访问ECS本机监听端口6666，访问源端转发服务器。 注意：以上配置必须配置在如下图所示的位置。 配置位置要求 3. 重启Nginx服务。 service nginx restart 4. 验证启动是否成功。 netstat angrep 6666 端口在监听状态，Nginx启动成功。 验证结果 步骤 6 在ECS执行以下命令测试6666端口的网络连接。 rediscli h {targetecsaddress} p 6666 a {password} 其中，{targetecsaddress}为ECS公网IP地址，6666为ECS监听端口，{password}为源端Redis密码，如无密码可不填。 连接示例 步骤 7 准备迁移工具Redisshake。 1. 登录ECS。 2. 在ECS中执行以下命令下载Redisshake，本文以下载2.0.3版本为例进行说明。您可以根据实际需要下载其他RedisShake版本。 wget 3. 执行命令解压Redisshake文件。 tar xvf redisshakev2.0.3.tar.gz 步骤 7 配置Redisshake的配置文件。 1. 执行命令进入解压后的目录。 cd redisshakev2.0.3 2. 修改配置文件redisshake.conf。 vim redisshake.conf 修改源端Redis信息配置： − source.type 源端redis实例类型，单机、主备、proxy集群实例都选择standalone，cluster实例选择cluster。 − source.address ECS公网IP地址和映射源端转发服务器的端口(ECS监听端口 6666) ，用英文冒号隔开。 − source.passwordraw 源端待迁移Redis实例的密码，如未设置密码，无需填写。 修改目标端DCS信息配置： − target.type Redis实例类型，单机、主备、proxy集群实例都选择standalone，cluster实例选择cluster。 − target.address Redis实例的连接地址和端口，用英文冒号隔开。 − target.passwordraw Redis实例的密码，如未设置密码，无需填写。 3. 按下Esc键退出编辑模式，输入 :wq！ 按回车键保存配置并退出编辑界面。 步骤 9 执行命令启动Redisshake并使用rump（在线全量）模式开始数据迁移。 ./redisshake.linux conf redisshake.conf type rump 迁移过程 迁移结果 步骤 10 迁移完成后，请使用rediscli工具连接源Redis和目标Redis，确认数据的完整性。 1. 分别连接源Redis和目标Redis。 连接操作请参考使用rediscli连接Redis实例。 2. 输入 info keyspace ，查看keys参数和expires参数的值。 3. 对比源Redis和目标Redis的keys参数分别减去expires参数的差值。如果差值一致，表示数据完整，迁移正常。 步骤 11 删除Redisshake配置文件。

绑定AD 绑定AD功能支持管理员自主配置和管理企业的身份提提供方Active Directory(以下简称 AD)。 操作场景 身份管理可以打破身份孤岛，实现统一访问控制，允许企业成员使用一个账号畅游所有应用。 操作步骤 1. 进入“天翼AI云电脑（政企版）”管理控制台； 2. 展开“身份管理”菜单栏，选择“身份提供方”，点击“绑定AD”，进入“绑定AD”页面； 第一步：连接AD 在第一步中，您需要在绑定AD中填写以下信息： 显示名称： 说明：管理员查看AD配置及相关操作日志时显示。 AD 域名： 说明：您的 Active Directory 域的全称。 格式：符合 DNS 命名规范（例如：example.com）。 示例：corp.yourcompany.com 主域控制器 DNS： 说明：主域控制器（Primary Domain Controller）的 IP 地址或可解析的主机名。 示例：192.168.1.10 或 dc01.corp.yourcompany.com 备域控制器 DNS (可选)： 说明：备域控制器（Secondary Domain Controller）的 IP 地址或可解析的主机名。 示例：192.168.1.11 或 dc02.corp.yourcompany.com AD 认证账号： 说明：用于绑定和查询 AD 的管理员账号。此账号必须对整个 AD 目录至少拥有读取权限。 格式：支持以下格式： UPN 格式：username@domainname (例如：admin@corp.yourcompany.com) DN 格式：CNUsername, OUSomeOU, DCcorp, DCyourcompany, DCcom (例如：CNsvcbind, OUService Accounts, DCcorp, DCyourcompany, DCcom) 权限要求： 必须拥有对整个 AD 目录结构（所有域节点）的只读访问权限。 AD 认证密码： 说明：上述认证账号对应的密码。 安全提示：输入密码通常以掩码显示。 用户组织单元 (OU)： 说明： 指定需要同步或管理的 AD 用户账户所在的组织单元 (OU) 路径。此为必填项。 格式：使用 LDAP 可分辨名称 (Distinguished Name)。 示例：OUEmployees, DCcorp, DCyourcompany, DCcom 云电脑加入的 OU： 说明：指定云电脑在加入 AD 域时将被放置的组织单元 (OU) 路径。 格式：使用 LDAP 可分辨名称 (Distinguished Name)。 示例：OUCloud PCs, DCcorp, DCyourcompany, DCcom 必填条件：仅在需要对云电脑执行加域操作时，此项为必填项。 共享公网出口 IP： 地址： 182.42.7.245 作用： 此 IP 是天翼云电脑服务访问您本地 Active Directory 的源地址。 网络要求： 若您的本地网络防火墙或安全设备配置了 IP 白名单（允许列表），您必须将此 IP (182.42.7.245) 添加到白名单中。 防火墙端口要求： 目的： 允许云服务通过指定的协议端口与您的域控制器通信。 必需操作： 在您的防火墙白名单中，同时允许上述出口 IP (182.42.7.245) 访问您域控制器的以下端口： LDAP (明文/StartTLS)： 端口 389 (TCP) LDAPS (SSL/TLS 加密)： 端口 636 (TCP) 注意： 具体需要开放的端口取决于您选择的认证协议（见下文）。 目录访问协议： 可选协议： LDAP： 标准轻型目录访问协议。默认使用端口 389。 StartTLS 扩展： 它在已建立的 LDAP 连接 (389) 上协商 TLS 加密，显著提升通信安全性。启用需要在您的 AD 域控制器上配置并部署有效的 SSL/TLS 证书。 LDAPS： 基于 SSL/TLS 加密的 LDAP。强制使用端口 636。 提供全程加密通信。启用同样需要在 AD 域控制器上配置并部署有效的 SSL/TLS 证书。 域控制器服务器地址： 说明：提供您的 Active Directory 域控制器 (Domain Controller) 的可访问地址。 格式：IP地址:端口 或 完整域名(FQDN):端口 要求： 主域控制器地址： (必填) 备域控制器地址： (可选) 端口选择： 如果选择 LDAP (无 StartTLS)，端口填 389。 如果选择 LDAP + StartTLS 或 LDAPS，端口填 636。 关键说明： 服务器地址必须填写其公网可路由的 IP 地址或可被公网 DNS 解析的 FQDN。 示例 (使用公网IP)： 主：203.0.113.10:636 (假设使用 LDAPS) 备：203.0.113.11:636 示例 (使用FQDN)： 主：dc01.corp.example.com:636 备：dc02.corp.example.com:636 重要提示： 请勿使用内网地址 (如 127.0.0.1, 192.168.x.x, 10.x.x.x) 或仅在内网解析的域名。 云服务无法直接访问您的内网地址。 第二步：选择场景 在第二步中，选择希望和AD实现的场景能力。 登录未关联用户配置： 企业账号经过企业认证通过后，如果还没有同步用户，选择登录失败则返回失败； 选择自动创建用户则创建用户并登录成功 增量同步：从所选择的时间点开始进行同步 数据同步时间：从所选择的时间点开始进行同步 同步时间间隔：从同步时间开始，每隔 X 小时执行一次同步 委托认证高可用：开启后，如果域控服务器访问失败，可以使用本地密码较验 用户ObjectClass：如果您自定义了AD 中对象的 ObjectClass，可以在此处配置。例如将 ObjectClassuser 的对象视作AD 中的用户。 用户登录标识：可使用;对属性进行分割，此时为或关系 用户Filter过滤：可以使用LDAP语法对需要判断的用户进行过滤 第三步：字段映射 如果需要和AD用户或组织进行绑定，例如将AD用户的用户名作为天翼云电脑账户的账户名，则需要在第三步配置字段映射。如需使用映射标识能力，需手动设置为同步标识，如下图的用户名字段。 配置其它AD 用于管理虚拟桌面加入域的操作（即“加域”过程），限制最多配置两个企业AD。最多只能配置两个其它AD。 配置系统：Windows 系统 、银河麒麟、中标麒麟 其它配置项参考绑定AD

高级特性对比 表高级特性对比 特性类型 描述 独享型 共享型 支持选择实例规格 负载均衡提供多种规格供选择，不同规格的实例提供差异化的性能指标，可以根据具体的业务访问量，选择合适的规格。 详见独享型负载均衡实例规格。 √ ╳ 支持全链路HTTPS数据传输 添加监听器时，前端协议选择“HTTPS”，后端协议也支持选择“HTTPS”。 √ ╳ 支持IPv6地址 负载均衡支持转发来自IPv6客户端的请求。支持将负载均衡当前使用IPv6地址修改为其它子网的IP地址。 √ ╳ 支持修改IPv4私有IP 可以将负载均衡当前使用IPv4私有IP修改为当前子网或者其它子网的目标IP地址。 √ ╳ 支持慢启动（后端服务延时接收流量） 弹性负载均衡支持七层（HTTP/HTTPS）后端协议开启慢启动功能，在设置的慢启动时间内线性增加请求分配权重， 达到请求数线性增加的目的。慢启动能够实现业务的平滑启动，完美避免业务抖动问题。 √ ╳ 支持HTTPS双向认证 开通双向认证，除了配置主机的证书之外，还需要配置客户端的证书，以实现通信双方的双向认证功能。 此功能目前仅支持协议类型为HTTPS的监听器。 √ √ 支持自定义超时时间 弹性负载均衡支持配置和修改监听器的超时时间（空闲超时时间、请求超时时间、响应超时时间）， 方便用户根据自身业务情况，自定义调整超时时间。例如，HTTP/HTTPS协议客户端的请求文件比较大， 可以增加请求超时时间，以便能够顺利完成文件的传输。独享型负载均衡支持修改TCP/UDP/HTTP/HTTPS协议的超时时间。 共享型负载均衡器支持修改TCP/HTTP/HTTPS协议的超时时间，但是不支持修改UDP的超时时间。 √ √ 支持安全策略 对于银行，金融类加密传输的应用 ，在创建和配置HTTPS监听器时，您可以选择使用安全策略， 可以提高您的业务安全性。安全策略包含TLS协议版本和配套的加密算法套件。 √ √

本章节主要介绍如何运行Kafka作业。 用户可将自己开发的程序提交到MRS中，执行程序并获取结果。本章节教您在Kafka主题中产生和消费消息。 暂不支持通过界面提交Kafka作业，请通过后台功能来提交作业。 通过后台提交作业 先查询ZooKeeper和Kafka的实例地址，再运行Kafka作业。 查询实例地址（3.x版本） 1.登录MRS管理控制台。 2.选择“集群列表 > 现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 3.请参考访问FusionInsight Manager（MRS 3.x及之后版本），跳转至FusionInsight Manager页面。然后选择“服务 > ZooKeeper > 实例”，查看ZooKeeper角色实例的IP地址。记录ZooKeeper角色实例中任意一个的IP地址即可。 4.选择“服务 > Kafka > 实例”，查看Kafka角色实例的IP地址。记录Kafka角色实例中任意一个的IP地址即可。 查询实例地址（3.x之前版本） a. 登录MRS管理控制台。 b. 选择“集群列表 > 现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 c. 在MRS集群详情页面，选择“组件管理 > ZooKeeper > 实例”，查看ZooKeeper角色实例的IP地址。记录ZooKeeper角色实例中任意一个的IP地址即可。 d. 选择“组件管理 > Kafka > 实例”，查看Kafka角色实例的IP地址。记录Kafka角色实例中任意一个的IP地址即可。 运行Kafka作业 MRS 3.x及之后版本客户端默认安装路径为“/opt/Bigdata/client”，MRS 3.x之前版本为“/opt/client”。具体以实际为准。 1.在集群信息页面的“节点管理”页签中单击Master2节点名称，进入弹性云主机管理控制台。 2.单击页面右上角的“远程登录”。 3.根据界面提示，输入Master节点的用户名和密码，用户名、密码分别为root和创建集群时设置的密码。 4.执行如下命令初始化环境变量。 source /opt/Bigdata/client/bigdataenv 5.如果当前集群已开启Kerberos认证，执行以下命令认证当前用户。如果当前集群未开启Kerberos认证，则无需执行该步骤。 kinit MRS集群用户 例如, kinit admin 6.执行如下命令，创建kafka topic。 kafkatopics.sh create zookeeper ZooKeeper角色实例IP:2181/kafkapartitions 2 replicationfactor 2 topic 7.在topic test中产生消息。 首先执行命令kafkaconsoleproducer.sh brokerlist Kafka角色实例IP:9092 topic producer.config /opt/Bigdata/client/Kafka/kafka/config/producer.properties 。 然后输入指定的内容作为生产者产生的消息，输入完成后按回车发送消息。如果需要结束产生消息，使用“Ctrl + C”退出任务。 8.消费topic test中的消息。 kafkaconsoleconsumer.sh topic bootstrapserver Kafka角色实例IP:9092 consumer.config/opt/Bigdata/client/Kafka/kafka/config/consumer.properties 说明 如果集群开启Kerberos认证，则执行如上两个命令时请修改端口号9092为21007，详见

故障现象 数据库安全审计实例功能正常，当触发数据库流量后，在SQL语句列表页面搜索执行的语句，不能搜索到相关的审计信息。 可能原因 数据库已开启SSL。 数据库开启SSL时，将不能使用数据库安全审计功能。 处理步骤 以MySQL数据库自带的客户端为例说明，操作步骤如下： 1. 使用MySQL数据库自带的客户端，以root用户登录MySQL数据库。 2. 执行以下命令，查看MySQL数据库连接的方式。 如果界面回显类似以下信息，说明MySQL数据库已关闭SSL，请执行步骤4。 如果界面回显类似以下信息，说明MySQL数据库已开启SSL，请执行步骤3。 3. 以SSL模式登录MySQL数据库。 执行以下命令，退出MySQL数据库。 以root用户重新登录MySQL数据库。在登录命令后添加以下参数：sslmodeDISABLED或ssl0 注意 须知：以SSL模式登录MySQL数据库，只能关闭本次SSL。当需要使用数据库安全审计功能时，请以步骤3.2方式登录MySQL数据库。 4. 输入一条SQL语句后，在SQL语句列表页面搜索执行的语句。 如果可以搜索到输入的SQL语句信息，说明问题已解决。 如果不能搜索到输入的SQL语句信息，说明问题仍存在，请联系技术支持。

本文主要介绍弹性IP的约束与限制。 弹性IP使用限制 一个EIP只能绑定一个云资源使用。 只有未绑定状态的EIP才能进行绑定操作。 未绑定的弹性IP地址才可释放，已绑定的弹性IP地址需要先解绑定后才能释放。 资源欠费被冻结的EIP无法进行绑定、解绑等操作。 绑定云主机，对外有攻击行为等安全原因被冻结的EIP无法进行绑定、解绑等操作。 当绑定的带宽流量严重超限，或受到攻击时（一般是受到了DDoS攻击），EIP会被封堵，但不影响对EIP资源的绑定、解绑等操作。 弹性IP释放后，如果被其他用户使用，则无法找回。 弹性IP不支持跨账号转移。 弹性IP配额限制 配额类型 默认配额数量 提升配额方式 单资源池配额（二类节点） 10 请联系客户经理或提交工单申请 全局配额（二类节点） 20 请联系客户经理或提交工单申请 绑定的虚拟IP（二类节点） 0 请联系客户经理或提交工单申请 绑定的扩展弹性网卡（二类节点） 0 请联系客户经理或提交工单申请 绑定的辅助弹性网卡（二类节点） 0 请联系客户经理或提交工单申请 您已创建完成的弹性IP资源占用“全局配额”与当前资源池的“单资源池配额”余量。 您绑定在虚拟IP上的弹性IP数量，将占用当前资源池中“绑定的虚拟IP”的配额余量。 您绑定在扩展弹性网卡上的弹性IP数量，将占用当前资源池中“绑定的扩展弹性网卡”的配额余量。 您绑定在辅助弹性网卡上的弹性IP数量，将占用当前资源池中“绑定的辅助弹性网卡”的配额余量。 当您创建弹性IP时，需同时满足单资源池配额及全局配额数量限制，即您在“二类节点”资源池购买弹性IP时，需此资源池剩余配额大于0，且全局剩余配额大于0， 若您此资源池配额余量＞0，全局配额余量为0，则此资源池不可再创建弹性IP新资源，您其它“二类节点”资源池也不可再创建新弹性IP资源； 若您此资源池配额余量为0，全局配额余量＞0，则此资源池不可再创建弹性IP新资源，您可切换至其它资源池创建弹性IP资源。 当您需将弹性IP与虚拟IP进行绑定时，若您在此资源池中“绑定的虚拟IP”的配额余量为0，则您不可再将弹性IP与虚拟IP进行绑定。 当您需将弹性IP与扩展弹性网卡进行绑定时，若您在此资源池中“绑定的扩展弹性网卡”的配额余量为0，则您不可再将弹性IP与扩展弹性网卡进行绑定。 当您需将弹性IP与辅助弹性网卡进行绑定时，若您在此资源池中“绑定的辅助弹性网卡”的配额余量为0，则您不可再将弹性IP与辅助弹性网卡进行绑定。 若您需要调整“二类节点”资源池的弹性IP相关配额时，请您联系客户经理进行配额扩容申请，天翼云将满足合理的扩容需求。