典型架构图 安全增强措施 1. 数据加密 1. 使用SSL/TLS加密公网传输流量（如HTTPS） 2. 数据库启用透明数据加密（TDE）和天翼云KMS服务 2. 安全防护 1. 根据业务情况使用天翼云提供的安全产品进行公网防护。 成本优化建议 1. 按需分配公网IP：公网流量通过NAT网关共享出口，仅对必须暴露的服务使用独享的弹性IP（需要为云主机所在的子网配置指向IPv4网关的默认路由）。 2. 合理选择带宽： 1. 优先使用共享带宽降低弹性IP带宽成本。 2. 根据业务峰谷情况选择弹性IP的固定带宽或按流量计费模式。 3. 清理闲置资源：定期删除未使用的EIP、安全组、路由表等资源。 运维与监控 1. 自动化部署：使用天翼云原生API实现VPC、子网、安全组等资源的自动化编排。 2. 监控告警：配置云监控对使用的云资源进行告警，重点关注以下指标： 1. 弹性IP、共享带宽网络出入带宽利用 2. NAT网关并发连接数 3. 弹性负载均衡健康/异常后端主机数 常见问题规避 1. IP地址耗尽：预留至少20%的IP空间（如使用/16的VPC，按/24划分子网）。 如果出现VPC地址不足的情况，可以通过为VPC增加扩展网段的方式，扩容地址。 2. 安全组配置错误：遵循最小权限原则，禁止开放0.0.0.0/0到高危端口（如22、3389）。 3. 单可用区风险：确保关键服务（如数据库）部署在至少2个可用区。 通过以上设计，可在天翼云单地域单VPC环境下构建安全、高可用且易于扩展的网络架构，适用于中小型企业或独立业务系统。

本文介绍了如何在公网连接RDSPostgreSQL。 RDSPostgreSQL支持客户以公网形式通过PostgreSQL客户端连接实例。 前提条件 1.绑定弹性IP并设置安全组规则 订购并创建弹性公网IP，请参见申请弹性IP。 获取本地设备的IP地址，以便配置安全组使用。 配置安全组规则，将本地设备IP地址及目标实例端口加入安全组允许访问范围中。安全组设置参见添加安全组规则。 2.安装PostgreSQL客户端 请参见数据库基本使用安装PostgreSQL客户端。 命令行连接 通过公网连接RDSPostgreSQL实例。以Linux系统为例，可以执行如下命令： psql h p U d 参数说明： ：主机IP，即控制台页面的实例列表>实例详情页面中的网络下的"弹性IP"。 ：数据库端口，为“实例详情”页面中的数据库端口。 ：用户名，即 PostgreSQL数据库帐号（默认管理员帐号为 root）。 ：数据库名，即PostgreSQL实例里面的数据库，默认初始化的数据库名是postgres。 示例： psql h xx.xx.xx.xx p xxxx U root –d postgres

本节介绍了云主机相关的术语解释。 实例 实例即弹性云主机，是由CPU、内存、操作系统、云硬盘组成的基础的计算组件。 镜像 镜像是一个包含了软件及必要配置的弹性云主机模板，至少包含操作系统，还可以包含应用软件（例如，数据库软件）和私有软件。通过镜像，您可以创建弹性云主机。 公共镜像 公共镜像为系统默认提供的镜像，常见的标准操作系统镜像，所有用户可见，包括操作系统以及预装的公共应用。公共镜像具有高度稳定性，皆为正版授权，请放心使用，您也可以根据实际需求自助配置应用环境或相关软件。 私有镜像 私有镜像为用户自己创建的镜像。包含操作系统或业务数据、预装的公共应用以及用户的私有应用的镜像，仅用户个人可见。 云硬盘 云硬盘（Elastic Volume Service，EVS）可以为弹性云主机提供高可靠、高性能、规格丰富并且可弹性扩展的块存储服务，满足不同场景的业务需求，适用于分布式文件系统、开发测试、数据仓库以及高性能计算等场景。 安全组 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的弹性云主机提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。

本小节介绍安全专区资产管理服务器主机资产风险分析。 功能说明 资产风险分析页面把所筛选的资产相关的未处理的告警、漏洞、基线、补丁、病毒五类安全数据整合在一个页面展示，方便安全管理员分析。 配置方法 1.进入【资产管理】→【服务器】，点击【资产风险分析】，可查询分析指定服务器的各类安全漏洞、威胁、报警。 在左侧分组选定需要分析的指定服务器分组及服务器，进行资产信息筛选。页面右边栏实时同步更新所选择资产的展示，其中根据告警分析、安全告警、系统漏洞、基线合规、系统补丁及病毒感染等几大模块。 安全告警模块，实时更新服务器所出现问题，展示服务器IP地址、出现告警的问题、出现问题的服务设施以及告警的风险等级。 2.点击右上角【详情】，即进入【告警中心】，可查询更详细的告警信息。 3.系统漏洞展示具体IP地址所发生的具体漏洞信息，分类漏洞等级情况。点击【详情】，即进入【威胁分析】→【待办告警】进行详细处理。 4.基线合规、系统补丁及病毒感染等模块都展示了系统风险状态、漏洞所属类型、漏洞所属风险等级。 5.点击【基线合规】→【详情】，即页面跳转进入【风险分析】→【基线合规】进行分析、处理。 6.点击【系统补丁】→【详情】，即页面跳转进入【风险分析】→【补丁漏洞】进行分析、处理。 7.点击【系统补丁】→【详情】，即页面跳转进入【风险分析】→【主机漏洞】进行分析、处理。

本章节介绍如何创建参数模板。 操作场景 您可以使用数据库参数模板中的参数来管理数据库引擎配置。数据库参数模板就像是引擎配置值的容器，这些值可应用于一个或多个数据库实例。 创建关系型数据库实例时，暂不支持您主动选择参数模板，系统会自动为您的实例适配默认的数据库参数模板。该默认组包含数据库引擎默认值和系统默认值，具体根据引擎、计算等级及实例的分配存储空间而定。您无法修改默认数据库参数模板的参数设置，您必须创建自己的数据库参数模板才能更改参数设置的默认值。 注意 并非所有数据库引擎参数都可在客户创建的数据库参数模板中进行更改。 如果您想使用您自己的数据库参数模板，只需创建一个新的数据库参数模板，创建实例的时候选择该参数模板，如果是在创建实例后有这个需求，可以重新应用该参数模板，请参见应用参数模板。 若您已成功创建数据库参数模板，并且想在新的数据库参数模板中包含该组中的大部分自定义参数和值时，复制参数模板是一个方便的解决方案，请参见复制参数模板。 以下是您在使用数据库参数模板中的参数时应了解的几个要点： 当您更改动态参数并保存数据库参数模板时，将立即应用更改。当您更改静态参数并保存数据库参数模板时，参数更改将在您手动重启数据库实例后生效。 在数据库参数模板内设置参数不恰当可能会产生意外的不利影响，包括性能降低和系统不稳定。修改数据库参数时应始终保持谨慎，且修改数据库参数模板前要备份数据。将参数模板更改应用于生产数据库实例前，您应当在测试数据库实例上试用这些参数模板设置更改。 说明 关系型数据库和文档数据库服务不共享参数模板配额。 每个用户最多可以创建100个关系型数据库参数模板，各关系型数据库引擎共享该配额。

访问控制 操作 需具备的权限 ::: IAM用户 创建IAM用户 iam:CreateUser、iam:CreateAccessKey、iam:CreateLoginProfile、iam:GetAccountPasswordPolicy、iam:GetUser 建议同时赋予的权限：iam:AddUserToGroup、iam:AttachUserPolicy、iam:ListUsers、iam:ListGroups、iam:ListPolicies IAM用户 删除IAM用户 iam:ListUsers、iam:DeleteAccessKey、iam:DeleteUser、iam:RemoveUserFromGroup、iam:DeactivateMFADevice、iam:DeleteLoginProfile、iam:DetachUserPolicy IAM用户 查看IAM用户信息 iam:ListAccessKeys、iam:ListUsers、iam:ListUserTags、iam:ListGroupsForUser、iam:ListAttachedUserPolicies、iam:ListEntitiesForPolicy、iam:ListMFADevices、iam:GetUser IAM用户 安全 iam:GetLoginProfile、iam:ListUsers、iam:GetUser、iam:GetAccountPasswordPolicy、iam:CreateLoginProfile、iam:DeleteLoginProfile、iam:UpdateLoginProfile IAM用户 密钥 iam:ListAccessKeys、iam:ListUsers、iam:GetUser、iam:CreateAccessKey、iam: GetAccessKeyLastUsed、iam:DeleteAccessKey、iam:UpdateAccessKey IAM用户 权限 iam:ListUsers、iam:ListGroupsForUser、iam:ListPolicies、iam:ListAttachedGroupPolicies、iam:ListAttachedUserPolicies、iam:GetUser、iam:RemoveUserFromGroup、iam:AttachUserPolicy、iam:DetachUserPolicy IAM用户 用户组 iam:ListUsers、iam:ListGroups、iam:ListGroupsForUser、iam:GetUser、iam:GetGroup、iam:AddUserToGroup、iam:RemoveUserFromGroup IAM用户 标签 iam:ListUsers、iam:GetUser、iam:TagUser、iam:UntagUser 用户组 创建用户组 iam:CreateGroup 建议同时赋予的权限：iam:ListGroups、iam:ListPolicies、iam:AttachGroupPolicy 用户组 查看用户组信息 iam:ListGroups、iam:ListAttachedGroupPolicies、iam:GetGroup 用户组 修改用户组 iam:ListUsers、iam:ListGroups、iam:ListGroupsForUser、iam:ListPolicies、iam:ListAttachedGroupPolicies、iam:GetGroup、iam:AddUserToGroup、iam:RemoveUserFromGroup、iam:AttachGroupPolicy、iam:DetachGroupPolicy 用户组 删除用户组 iam:ListGroups、iam:DeleteGroup、iam:RemoveUserFromGroup、iam:DetachGroupPolicy 策略 查看策略 iam:ListPolicies、iam:ListEntitiesForPolicy、iam:GetPolicy 策略 新建自定义策略 iam:CreatePolicy、iam:GetPolicy 建议同时赋予的权限：iam:ListPolicies 策略 修改自定义策略 iam:CreatePolicy、iam:GetPolicy、iam:ListPolicies 策略 删除自定义策略 iam:ListPolicies、iam:DeletePolicy、iam:DetachUserPolicy、iam:DetachGroupPolicy 策略 授权/移除 用户/用户组 iam:ListUsers、iam:ListGroups、iam:ListPolicies、iam:ListAttachedGroupPolicies、iam:ListAttachedUserPolicies、iam:ListEntitiesForPolicy、iam:AttachUserPolicy、iam:DetachUserPolicy、iam:AttachGroupPolicy、iam:DetachGroupPolicy 安全设置 编辑密码规则 iam:GetAccountPasswordPolicy、iam:UpdateAccountPasswordPolicy 安全设置 清除密码规则 iam:GetAccountPasswordPolicy、iam:DeleteAccountPasswordPolicy 安全设置 编辑登录规则 iam:GetAccountLoginSecurityPolicy、iam:UpdateAccountLoginSecurityPolicy 安全设置 清除登录规则 iam:UpdateAccountLoginSecurityPolicy、iam:DeleteAccountLoginSecurityPolicy 安全凭证 密钥 iam:ListAccessKeys、iam:GetUser、iam:CreateAccessKey、iam:DeleteAccessKey、iam:UpdateAccessKey 安全凭证 密码 iam:GetLoginProfile、iam:GetUser、iam:ChangePassword 安全凭证 MFA iam:ListMFADevices、iam:GetUser、iam:CreateVirtualMFADevice、iam:DeleteVirtualMFADevice、iam:EnableMFADevice、iam:DeactivateMFADevice

此小节介绍运维用户客户端无法访问用户资产的处理方法。 运维用户客户端无法访问服务器、数据库等用户资产需要排查客户端到云堡垒机以及云堡垒机到运维资产的网络通路，重点排查安全组配置。 注意 请先确认以下配置均已正确配置： 运维终端已正确安装访问插件，并配置访问路径； 用户拥有访问及运维资产的授权。 排查步骤 1. 检查客户端到云堡垒机网络是否能连通。 在您的客户端使用ping命令测试客户端与堡垒机的网络是否连通，如果连接失败，请您登录堡垒机控制台，查看堡垒机EIP是否正常，检查云堡垒机实例安全组策略是否正确配置，确认IP和端口是否正确开放，具体请查阅安全策略配置方法。 2. 检查堡垒机到运维资产网络是否能连通。 检查云堡垒机实例到运维资产的网络和端口是否开放，需要检查运维资产所属安全组的安全端口访问策略限制，是否允许云堡垒机实例访问运维资产。

计费项 基础版 标准版 企业版 旗舰版 适用范围 适合个人网站、小型网站等只需要满足基础安全需求对业务没有特殊安全需求用户，不适用于商业用户 适用于对少量用户提供业务服务，没有大量高频访问中小型网站，没有特殊安全需求，仅需要满足基础防护能力 适用中大型企业或服务对互联网公众开放，有较高访问频率，并有较高数据安全与网络安全防护需求的网站防护 适用于大型及超大型复杂业务网站防护或有特殊定制安全需求的用户（支持定制需求，定制需求需要和客户经理联系） 主套餐 99元/月 3880元/月 9800元/月 29800元/月 域名扩展包 600元/个/月 1000元/个/月 2000元/个/月 业务扩展包 1000元/个/月 2000元/个/月 2000元/个/月 规则扩展包 70元/个/月 70元/个/月 70元/个/月

参数 说明 区域集群 集群所在的区域。 硬件配置 集群所有节点MASTER、CORE、TASK（如有）的硬件信息。 企业项目 集群所属的企业项目。 虚拟私有云（VPC） 集群所使用的虚拟私有云（VPC），单击 复制VPC ID，单击内容可以跳转并查看该VPC详细信息。 安全组 集群所使用的安全组，单击 复制安全组ID，单击内容可以跳转并查看安全组详细信息。支持安全组切换能力。 子网 集群所使用的子网，单击 复制子网ID，单击内容可以跳转并查看子网详细信息。 操作系统 集群所用的操作系统。 主机类型 集群所用主机的类型。 CPU类型 集群所用主机的CPU类型。 IPv6访问 V2.15版本起，支持展示集群是否开启IPv6访问能力。

系统采用智能流量与威胁数据抽样统计技术,即使在处理海量日志时,也能兼顾查询准确性与响应效率。 功能介绍 实时分析您的域名请求量级智能判定您的域名是否符合抽样条件，当抽样系统判定您的域名符合抽样条件时，会进行流量与威胁日志数据抽样，触发规则如下： 访问日志过去1小时请求量级达 1000 万次以上，按10%抽样； 攻击日志过去1小时请求量级达 100 万次以上，按10%抽样； 全量日志过去1小时请求量级达 100 万次以上，按10%抽样； 达到访问日志/攻击日志/全量日志任意一种抽样条件条件后，则触发对应日志的抽样，若您的域名请求量级持续下降，安全与加速将自动为您取消抽样机制。 说明 AOne安全与加速会根据平台日志数据的规模和用户的使用需求，持续调整优化抽样策略。如果您对安全与加速提供的流量与威胁分析查询结果有任何疑问，请通过提交工单给天翼云客服进行处理。 应用抽样数据统计模块 AOne安全与加速运用智能流量与威胁日志数据抽样技术来适应不同用户的日志数据量级，确保数据分析的准确性和效率。在以下数据查询场景中，AOne安全与加速控制台相关页面所展示的数据可能会经过抽样处理： 在安全攻击日志、日志分析您看到的数据可能是抽样结果，在这种情况下，可能会存在无法检索到部分请求ID 对应日志的情况； 在总览、安全防护分析、态势大屏、报告订阅、告警管理、API安全的业务监测，您看到的数据也可能是抽样结果。这是因为当用户在使用总览、报表等数据时，引用预计算结果，帮助用户快速得到精确的统计结果。但是当用户需要按照某些特定维度分析明细数据时，多维下钻分析需实时扫描海量明细数据，通过抽样机制来降低计算负载，为用户实现高效查询响应； 在API资产列表您看到的来自API自发现的API资产数据和活跃度标签可能是抽样结果，可能会存在无法查看到对应API资产的情况； 在异常行为智能识别进行智能算法和大数据行为分析，分析客户业务流量的特征也可能是抽样结果； 通过调用OpenAPI统计访问日志、攻击日志、全量日志也可能是抽样结果。

负载均衡器可以跨资源节点关联后端云主机么？ 共享型负载均衡不支持跨资源节点关联后端云主机。 独享型负载均衡器支持跨资源节点、跨VPC添加后端云主机。 公网负载均衡的后端云主机要不要绑定EIP？ 负载均衡实例都是通过私网转发访问请求，不需要后端云主机绑定EIP。 如何检查后端云主机网络状态？ 确认虚拟机主网卡已经正确分配到IP地址。 登录云主机内部。 执行ifconfig命令或ip address查看网卡的IP信息。 说明 Windows云主机可以在命令行中执行ipconfig查看。 从云主机内部ping所在子网的网关，确认基本通信功能是否正常。 通常网关地址结尾为.1，可以在VPC详情页面中确认，切换“子网”页签，查看“网关”列，显示网关地址。 执行ping命令，观察能否ping通即可。若无法ping通网关则需首先排查二三层网络问题。 如何检查后端云主机网络配置？ 确认云主机使用的网卡安全组配置是否正确。 在弹性云主机详情页面查看网卡使用的安全组。 检查安全组规则是否放通了对应的网段： 对于独享型负载均衡，检查后端云主机所在的安全组入方向是否放通ELB所在VPC的网段。如果没有放通，请在安全组入方向规则中添加ELB所在VPC网段。 对于共享型负载均衡，检查客户后端服务安全组入方向是否放通了100.125.0.0/16网段。如果没有放行，请添加100.125.0.0/16网段的入方向规则。 注意 共享型实例四层监听器开启“获取客户端IP”功能后，后端云主机的安全组规则和网络ACL规则均无需放通100.125.0.0/16网段及客户端IP地址。 独享型实例四层监听器未开启“跨VPC后端”功能时，后端云主机安全组规则和网络ACL规则均无需放通ELB后端子网所在的VPC网段。 确认云主机使用网卡子网的网络ACL不会对流量进行拦截。 在虚拟私有云页面左侧导航栏，单击“网络ACL”，确认涉及的子网已放通。

本章节为您介绍如何快速使用综合安全网关服务。 步骤一：新增网关服务证书 说明 一个综合安全网关实例仅支持创建一个网关服务证书，若您的服务已创建证书则无法再新增。 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“SSL网关服务 > 网关服务证书”，单击页面左上角的“新增证书”按钮。 3. 在弹出的“新增网关服务证书”对话框中，选择需要新增的证书规格。 4. 选择完成后，单击“确定”完成证书新增。 步骤二：生成证书CSR 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“SSL网关服务 > 网关服务证书”。 3. 选择需要生成CSR的证书，单击“操作”列的“CSR请求”按钮。 4. 在弹出的对话框中配置CSR相关内容。 5. 配置完成后，单击“生成证书请求”，会在“证书请求”栏中生成CSR。 6. 根据您业务自身需求选择复制保存或者下载文件保存。 步骤三：新增网关服务并配置 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“SSL网关服务 > 网关服务管理”，在页面左上角单击“开通网关服务”。 3. 在弹出的“新增网关服务”的对话框中配置网关服务参数。 4. 确认填写的内容后，单击“确定”完成新增网关服务。 5. 配置完成后返回到“网关服务管理”页面，单击“操作”列的“配置”按钮开始配置网关。 6. 在弹出的“配置网关服务”对话框中，配置相关参数。

本文介绍CC安全报表所展示的数据。 使用场景 业务接入DDoS高防（边缘云版）后，您可以通过CC攻击报表查询CC攻击防护的相关统计数据。 前提条件 已开通DDoS高防（边缘云版）。 开启CC防护配置，并触发产生CC攻击事件。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【安全分析】【安全报表】【CC安全报表】页面。 查询功能 您可以在CC安全报表头部指定您要查询的域名、时间范围。默认将展示最近7天，用户名下所有域名的统计数据。 报表内容： 说明 卡片栏 展示CC攻击事件数、CC攻击峰值、峰值取值时间、遭受CC攻击的网站数量。 攻击区域分布 国内攻击来源城市分布，按照攻击次数的范围展示为不同的颜色。 威胁事件排序情况：按照攻击次数的从多到少，将攻击来源区域进行TOP10排序，并计算不同攻击来源区域的占比。 攻击趋势 展示被攻击域名的QPS趋势图。 TOP攻击域名 按照请求数从多到少，展示被攻击域名的TOP10排序，并计算请求数的占比。 TOP URL排名 按照请求数从多到少，展示被攻击URL的TOP10排序，并计算请求数的占比。 TOP攻击IP 按照请求数从多到少，展示TOP攻击源IP，并展示其请求次数、区域及运营商。

参数 说明 区域集群 集群所在的区域。 硬件配置 集群所有节点MASTER、CORE、TASK（如有）的硬件信息。 企业项目 集群所属的企业项目。 虚拟私有云（VPC） 集群所使用的虚拟私有云（VPC），单击 复制VPC ID，单击内容可以跳转并查看该VPC详细信息。 安全组 集群所使用的安全组，单击 复制安全组ID，单击内容可以跳转并查看安全组详细信息。支持安全组切换能力。 子网 集群所使用的子网，单击 复制子网ID，单击内容可以跳转并查看子网详细信息。 操作系统 集群所用的操作系统。 主机类型 集群所用主机的类型。 CPU类型 集群所用主机的CPU类型。 IPv6访问 V2.15版本起，支持展示集群是否开启IPv6访问能力。

本小节介绍证书管理服务应用场景。 公众服务类网站、小程序、APP等满足安全技术要求 适用客户：通过互联网向公众提供服务的政府、金融、中小企业等客户。 解决问题：面向公众提供服务的各类网站、小程序、APP，解决用户在浏览器打开网页时提示“不安全”，导致用户无法访问网站信息或APP/小程序无法上架的问题，可验证企业身份，满足行业安全要求，确保站点安全，屏蔽钓鱼网站，提升搜索引擎收录排名 等保、密评等合规监管场景 适用场景：政府、医疗、央国企等领域需要通过等保、密评的客户。 解决问题：满足合规监管机构要求，适用等保、密评场景，可通过国密证书实现传输机密性和完整性保护。

此小节介绍如何进行安全配置。 通过添加常用登录地、常用IP、白名单IP以及开启恶意程序隔离查杀进一步保障服务器的安全运行。 操作详情请参见安装与配置。

基于NAT网关的用户网络，可以配置哪些安全策略实现访问限制？ NAT网关提供隔离主机网络的安全能力，但不支持做主机访问的策略控制，如用户需要对主机进行访问限制，可以配置以下安全策略来实现访问限制： 1. 网络ACL：可以通过网络ACL来配置子网出入流量的规则，限制特定协议、端口或IP地址的访问。 2. 安全组：安全组是一种虚拟防火墙，可以在弹性云主机中配置。通过安全组，可以定义允许和拒绝的流量规则，限制特定协议、端口或IP地址的访问。 安全组对弹性云主机进行防护，网络ACL对子网进行防护，两者结合起来，可以实现更精细、更复杂的安全访问控制。 同时存在指向NAT网关的默认路由和指向IPv4网关的默认路由，路由优先级是什么样的？ VPC的默认路由表中，如果同时存在指向IPv4网关的自定义路由，和指向NAT网关的自定义路由，由于指向IPv4网关的自定义路由优先级更高，流量会转发到IPv4网关； 示例如下：假如VPC路由表中存在两条自定义路由，目的地址为默认路由（0.0.0.0/0），下一跳为NAT网关；目的地址为默认路由（0.0.0.0/0），下一跳为IPv4网关。 如果线下IDC通过专线接入云上公网NAT网关，转发时会匹配优先级更高的路由规则，此时流量会转发至IPv4网关，无法抵达NAT网关； 如果VPC内的同一个子网下部分ECS绑定了EIP，部分ECS通过NAT网关出公网，会匹配子网的策略路由；将绑定了EIP的ECS流量转发给IPv4网关，而未绑定EIP的ECS流量则转发给NAT网关出公网。

等保咨询适用于系统未开展测评和已开展测评的情况。 客户部署在天翼云上的系统有等级保护需求，可采购云等保咨询服务，轻松过等保。 系统未开展测评 等保测评技术指导：按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务，输出《等保测评技术指导》。 差距分析评估：提供系统差距的安全风险分析，并输出《差距分析评估》。 差距整改方案：提供差距整改安全方案。 系统已开展测评 差距分析评估：提供系统差距的安全风险分析，并输出《差距分析评估》。 差距整改方案：提供差距整改安全方案，指导整改。

产品名称 产品简述 版本 价格 数据安全咨询规划服务 依据《数据安全法》《个人信息保护法》等法规要求，为客户制定针对性的数据安全咨询服务内容，提供数据安全咨询服务报告。 标准版 80000元/次 数据分类分级服务 依据各行业数据安全分类分级标准规范，为客户建立统一的数据资产安全分类分级目录、清单。 标准版 80000元/次 数据安全风险评估托管服务 以数据为中心，关注数据安全风险，提供数据安全风险评估报告。 标准版 100000元/次

本节介绍了如何修改云数据库TaurusDB实例的内网安全组。 操作场景 云数据库TaurusDB服务支持修改实例的内网安全组。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在“基本信息”页签“网络信息”模块的“内网安全组”处，单击，选择对应的内网安全组。 单击，提交修改。 单击，取消修改。 步骤 6 稍后单击“基本信息”页面右上角的，查看修改结果。此过程需1～3分钟。

用户删除 1. 登录数据管理服务平台。 2. 在左侧菜单栏依次点击 安全协作 > 用户与角色。 3. 在用户列表中，找到需要进行删除的用户，单击该用户右侧操作列的删除按钮，弹出删除确认框 。 4. 点击确认按钮即可删除目标用户。 查询用户 1. 登录数据管理服务平台。 2. 在左侧菜单栏依次点击 安全协作 > 用户与角色。 3. 在页面上方有条件过滤框，点击查询按钮即可按照过滤条件内容筛选目标用户。 4. 点击重置按钮，清空过滤框内容，加载当前组织下的全部用户。 批量查询设置 1. 登录数据管理服务平台。 2. 在左侧菜单栏依次点击 安全协作 > 用户与角色。 3. 在用户列表中，找到需要进行查询设置的用户，可在左侧勾选多个用户。 4. 点击批量查询设置按钮，可为已选中的用户统一配置单日查询次数和行数限制。 用户打标 登录数据管理服务平台。 在左侧菜单栏依次点击 安全协作 > 用户与角色。 在用户列表中，找到需要进行打标设置的用户。 点击标签图标，可为已选中的用户设置标签信息。

本文介绍AOne在游戏行业的最佳实践。 背景信息 游戏行业是一个高度竞争和快节奏的行业，吸引了大量的在线玩家。在这个行业中，游戏运营商需要提供高性能、稳定可靠的游戏体验，同时保护游戏服务器和用户数据免受安全威胁。游戏服务的安全和性能直接影响到用户满意度、用户留存率以及游戏收入。为了满足游戏行业的挑战，许多游戏运营商都在寻求安全与加速服务解决方案来保护游戏服务器和提高游戏性能。 天翼云边缘安全加速平台AOne基于DDoS攻击防护、CC攻击防护和高性能CDN动静态加速能力，保障游戏的稳定性和可用性。 技术架构 应用场景 在线多人游戏服务器的安全防护 业务挑战：在线多人游戏服务器常常成为DDoS攻击和CC攻击的目标，这些攻击可能导致游戏服务器的过载和服务不可用，影响玩家的游戏体验。 方案优势：AOne提供强大的DDoS防护和CC攻击防御功能，可以实时监测和过滤恶意流量，确保游戏服务器免受攻击。这样可以保障游戏的稳定性和可用性，提高在线游戏的安全性。 在线游戏内容的全球加速传输 业务挑战：玩家分布在全球各地，下载游戏客户端或更新内容时，可能会面临较长的下载时间和高延迟。 方案优势：通过内容分发网络（CDN）技术，AOne在全球各地部署服务器节点，将游戏的静态资源缓存在离玩家最近的节点上。这样可以大大减少资源加载时间和延迟，提高玩家下载游戏内容的速度，优化玩家的游戏体验。

安全组配置错误 问题现象：随便进入一个pod容器内部，使用service ip:端口可以正常访问，但是使用service域名:端口就不通。 可能原因：查看dns日志一直没有变化，说明没有请求到达dns。可能是修改了容器使用的安全组，拦截了UDP协议下53端口的通信。 解决方法：修改集群安全组，放开UDP协议的53端口规则。

本章节主要介绍创建专享版集群。 须知 如果需要创建、删除专享版集群或修改API配额，则需具备以下权限之一的账号才能进行操作： DAYU Administrator并且拥有VPCEndpoint Administrator权限。 Tenant Administrator并且拥有VPCEndpoint Administrator权限。 网络环境准备 如下图所示，专享版集群创建后，资源位于资源租户区，由ELB统一对集群节点进行负载均衡。 用户可以通过两种途径访问集群： 内网地址：内网地址为用户VPC内的终端节点IP地址。 外网地址（可选）：外网地址为绑定在ELB上的EIP地址。EIP仅在创建数据服务集群时，勾选开启公网入口，才会具备。 专享版集群网络架构说明 因此，为了保证创建的专享版集群能够被用户访问，创建中需要注意如下网络配置： VPC 虚拟私有云。专享版实例需要配置虚拟私有云（VPC），在同一VPC中的资源（如ECS），可以使用专享版实例的私有地址调用API。 在创建时专享版实例时，建议配置和您其他关联业务相同VPC，确保网络安全的同时，方便网络配置。 弹性公网IP 专享版实例的API如果要允许外部调用，则需要购买一个弹性公网IP，并在购买时绑定给实例，作为实例的公网入口。 安全组 安全组类似防火墙，控制谁能访问实例的指定端口，以及控制实例的通信数据流向指定的目的地址。安全组入方向规则建议按需开放地址与端口，这样可以最大程度保护实例的网络安全。 专享版实例绑定的安全组有如下要求： 1. 入方向：如果需要从公网调用API，或从其他安全组内资源调用API，则需要为专享版实例绑定的安全组的入方向放开80（HTTP）、443（HTTPS）两个端口 2. 出方向：如果后端服务部署在公网，或者其他安全组内，则需要为专享版实例绑定的安全组的出方向放开后端服务地址与API调用监听端口。 3. 如果API的前后端服务与专享版实例绑定了相同的安全组、相同的虚拟私有云，则无需专门为专享版实例开放上述端口。 路由配置 在物理机纳管场景下，如果物理机纳管网段与集群网段不一致，需要配置路由。 进入集群“基本信息”页面，可以增加或删除路由，如下图所示。 说明 如果数据服务集群无路由配置功能，可联系相关支撑人员修改配置项dlm.instance.route.action.support启用此功能。

信息项 描述 类型 API类型： l 公开：选择“公开”类型时，API支持上架。 l 私有：选择“私有”类型时，当该API所在分组上架时，该API不会上架。 安全认证 API认证方式： l APP认证：表示由API网关服务负责接口请求的安全认证。推荐使用APP认证方式。 l IAM认证：表示借助IAM服务进行安全认证。 l 自定义认证：用户有自己的认证系统或服务（如使用OAuth认证），可选择“自定义认证”。 l 无认证：表示不需要认证。 注意 须知 认证方式为IAM认证时，任何API网关租户均可以访问此API，可能存在恶意刷流量，导致过量计费的风险。 认证方式为无认证时，任何公网用户均可以访问此API，可能存在恶意刷流量，导致过量计费的风险。 认证方式为自定义认证时，需要在函数服务中写一段函数，对接用户自己的认证系统或服务。如果当前Region没有上线 函数工作流服务 ，则不支持自定义认证。 支持简易认证 仅当“安全认证”选择“APP 认证”时可配置 。 简易认证指APP认证方式下调用API时，在HTTP请求头部消息增加一个参数XApigAppCode，而不需要对请求内容签名，API网关也仅校验AppCode，不校验请求签名，从而实现快速响应。 注意仅支持HTTPS方式调用，不支持HTTP方式。 说明 如果首次创建API未开启简易认证，那么之后开启简易认证，需要重新发布API。 支持双重认证 仅当“安全认证”选择“APP 认证”或“IAM 认证”时可配置 。 是否对API的调用进行双重安全认证。如果选择启用，则在使用APP认证或IAM认证对API请求进行安全认证时，同时使用自定义的函数API对API请求进行安全认证。 自定义认证 仅当“安全认证”选择“自定义认证”时需要配置 。 自定义认证需要提前创建，可单击右侧的“新建自定义认证”链接创建。 支持跨域CORS 是否开启跨域访问CORS（crossorigin resource sharing）。 CORS允许浏览器向跨域服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。 CORS请求分为两类： l 简单请求：头信息之中，增加一个Origin字段。 l 非简单请求：在正式通信之前，增加一次HTTP查询请求。 开启CORS（非简单请求）时，您需要单独创建一个“请求方法”为“OPTIONS”的API。

信息项 描述 类型 API类型： l 公开：选择“公开”类型时，API支持上架。 l 私有：选择“私有”类型时，当该API所在分组上架时，该API不会上架。 安全认证 API认证方式： l APP认证：表示由API网关服务负责接口请求的安全认证。推荐使用APP认证方式。 l IAM认证：表示借助IAM服务进行安全认证。 l 自定义认证：用户有自己的认证系统或服务（如使用OAuth认证），可选择“自定义认证”。 l 无认证：表示不需要认证。 注意 须知 认证方式为IAM认证时，任何API网关租户均可以访问此API，可能存在恶意刷流量，导致过量计费的风险。 认证方式为无认证时，任何公网用户均可以访问此API，可能存在恶意刷流量，导致过量计费的风险。 认证方式为自定义认证时，需要在函数服务中写一段函数，对接用户自己的认证系统或服务。如果当前Region没有上线 函数工作流服务 ，则不支持自定义认证。 支持简易认证 仅当“安全认证”选择“APP 认证”时可配置 。 简易认证指APP认证方式下调用API时，在HTTP请求头部消息增加一个参数XApigAppCode，而不需要对请求内容签名，API网关也仅校验AppCode，不校验请求签名，从而实现快速响应。 注意仅支持HTTPS方式调用，不支持HTTP方式。 说明 如果首次创建API未开启简易认证，那么之后开启简易认证，需要重新发布API。 支持双重认证 仅当“安全认证”选择“APP 认证”或“IAM 认证”时可配置 。 是否对API的调用进行双重安全认证。如果选择启用，则在使用APP认证或IAM认证对API请求进行安全认证时，同时使用自定义的函数API对API请求进行安全认证。 自定义认证 仅当“安全认证”选择“自定义认证”时需要配置 。 自定义认证需要提前创建，可单击右侧的“新建自定义认证”链接创建。 支持跨域CORS 是否开启跨域访问CORS（crossorigin resource sharing）。 CORS允许浏览器向跨域服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。 CORS请求分为两类： l 简单请求：头信息之中，增加一个Origin字段。 l 非简单请求：在正式通信之前，增加一次HTTP查询请求。 开启CORS（非简单请求）时，您需要单独创建一个“请求方法”为“OPTIONS”的API。

本小节介绍服务器安全卫士的产品优势。 扫描速度快 基于Agent扫描，执行主机资产清点和风险发现功能，扫描N台主机和1台所需时间一样。 精准检测 设立数万个监测指标，建立多维度、多层次的纵深检测体系，检测结果精准。 资源占用低 CPU占用率<1%，内存占用<40M，消耗极低。 强大的统一安全管控平台 服务器安全卫士是安全问题和安全事态的可视化实时分析平台，可实现统一策略管理，分角色管理，分账号管理，有效管理大批量主机系统。 精准查杀 结合多病毒检测引擎，实时监控病毒进程，查杀率高。多方分析“实锤”病毒信息，检测结果一站化体现，坚实可靠。 丰富的扩展功能 根据不同的业务需求（Web 服务器、存储服务器等），选择不同的功能组合，可根据需求灵活定制安全方案，做到最佳适应；根据用户的业务情况，通过用户自身的业务系统与我们的API 结合，向用户输出 API 集成开发的能力。

本文为您介绍云搜索服务产品咨询类问题。 云搜索服务如何保证数据和业务运行安全？ 主机安全 云搜索服务提供如下安全措施： 通过VPC+安全组来确保VPC内主机的安全。 通过网络访问控制列表，可以允许或拒绝进出各个子网的黑白名单管控。 内部安全基础设施（包括网络防火墙、入侵检测和防护系统）等。 数据安全 云搜索服务内部，通过多副本、权限管控可对索引数据进行保护隔离。 网络安全 整个网络部署分两个部分进行，两部分物理隔离，保证业务、管理各自网络安全。 业务部分：主要是实例的网络，支持为用户提供业务通道，对外提供数据定义、索引、搜索能力。 管理部分：主要是管理控制台，用于管理云搜索服务。 云搜索服务创建实例时有哪些节点存储选项？ 目前云搜索服务支持高I/O、通用SSD、超高I/O规格，限制最大单盘6T容量。 云搜索服务的实例节点磁盘空间用于存放哪些文件？ 日志文件：Elasticsearch/OpenSearch日志。 数据文件：Elasticsearch/OpenSearch索引文件。 其他文件：集群配置文件、操作系统占用等。 云搜索服务支持哪些搜索功能？ 云搜索服务支持的搜索功能包括强大的全文检索，高亮显示，切面搜索，近实时索引，动态聚类，丰富的文档（如Word、PDF等格式）处理和地理信息搜索等。 云搜索服务使用的数据压缩算法是什么？ 天翼云云搜索服务，除了支持搜索引擎自带的LZ4和DEFLATE算法外，还额外支持了ZSTD压缩算法。具体介绍和使用方法可参考压缩算法章节。

本文介绍域名扩展计费。 安全加速抗D服务域名数量 按量扩展 200元/月 安全加速抗D域名扩展包 包周期，包含10个域名，域名不区分主子域名 1000元/月

本页介绍天翼云TeleDB数据库中强制访问控制。 强制访问是基于自定义的安全策略最终通过标签实现对用户和表的行级安全加密。安全策略(Policy)是等级(Level)和隔离区(Compartment)，组(Group)和标签(Label)的集合，最终通过绑定标签实现行级安全。其实现原理是将表和用户绑定到标签上，再由标签关联等级(必选)，隔离区(可选)和安全组(可选)，形成了一个多级的行级安全加密体系。 安全策略(Policy)：是指创建等级(Level)，隔离区(Compartment)，组(Group)和标签(Label)必须指定所属的安全策略。 等级(Level)：提供第二等级的安全控制，标签必须指定等级。 隔离区(Compartment)：提供第二等级的安全控制，可选。 组(Group)：提供第三等级的安全控制，一种树状的结构，可选。 标签(Label)：最终通过标签绑定体现行级安全。仅当用户被赋予的标签比此行标签有相同或更高等时，该行才可以被用户存取。 注意 分号(:)和逗号(,)保留用于多级安全体系的表达，安全策略中组件的名字不要使用。 在Teledb中，创建安全策略需要通过teledbxmls插件，需要创建插件 SQL CREATE EXTENSION teledbxmls; 安全策略 通过MLSCLSCREATEPOLICY()函数创建安全策略 SQL SELECT MLSCLSCREATEPOLICY(policyname, policyid) 参数描述： policyname(策略名称): 要创建的策略的名称，大小写敏感，不可以空。 policyid(策略ID): 用于标识策略的唯一ID，取值范围[1, 100]。 安全等级(Level) 通过函数MLSCLSCREATELEVEL()函数创建安全等级。 SQL SELECT MLSCLSCREATELEVEL(policyname, levelid, shortname, longname) 参数描述： policyname（策略名称）: 指定要添加安全级别的策略名称，不可以为空。 levelid（级别ID）: 用于标识安全级别的唯一ID，取值范围[0, 32767]。 shortname（名称）: 安全级别的名称，大小写敏感，不可为空，不可以含空格和tabj键。 shortname（名称）: 安全级别的名称，大小写敏感，不可为空，不可以含空格和tabj键。 longname（完整名称）: 安全级别的描述。 通过MLSCLSALTERLEVELDESCRIPTION()函数修改等级的标签描述。 SQL SELECT MLSCLSALTERLEVELDESCRIPTION(policyname, levelid, longname) 安全隔离区(Compartment) 通过MLSCLSCREATECOMPARTMENT()函数创建安全隔离区(Compartment)。 SQL SELECT MLSCLSCREATECOMPARTMENT(policyname, compartmentid, shortname, longname) 参数 描述 ： policyname（策略名称）: 指定要添加安全隔离区的策略名称。 compartmentid（隔离区ID）: 用于标识安全隔离区的唯一ID，取值范围[0, 32767]。 shortname（简称）: 安全隔离区的简称。 longname（完整名称）: 安全隔离区的完整名称。 安全组(Group) 通过MLSCLSCREATEGROUPROOT()函数创建新的安全组根节点（Group Root） SQL SELECT MLSCLSCREATEGROUPROOT(policyname, rootid, shortname, longname) 参数描述： policyname（策略名称）: 指定要创建安全组根节点的策略名称。 rootid（根节点ID）: 用于标识安全组根节点的唯一ID。 shortname（简称）: 安全组根节点的简称。 longname（完整名称）: 安全组根节点的完整名称。 通过MLSCLSCREATEGROUPNODE()函数在数据库中创建新的安全组子节点（Group Node）并将其设置为指定父节点的子节点。 SQL SELECT MLSCLSCREATEGROUPNODE(policyname, childid, shortname, longname, parentshortz) 参数描述： policyname（策略名称）: 指定要创建安全组子节点的策略名称。 childid（子节点ID）: 用于标识安全组子节点的唯一ID。 shortname（简称）: 安全组子节点的简称。 longname（完整名称）: 安全组子节点的完整名称。 parentshortname（父节点简称）: 安全组子节点所属的父节点的简称。 标签(LABEL) 通过MLSCLSCREATELABEL()函数创建或替换MLS 策略的标签（label），并将其存储到数据库中。 SQL SELECT MLSCLSCREATELABEL(policyname, labelid, labelstr) 参数描述： policyname（策略名称）: 指定要添加标签的策略名称。 labelid（标签ID）: 用于标识标签的唯一ID，取值范围[0, 32767]。 labelstr（标签名）: 标签，不可为空，长度不超过256。由 ，其compartmentids和groupids由1到N个ID构成，ID间用,分割。有效的表达形式如下： levelid:compartmentid1,compartmentid2,...compartmentidN:groupid1,groupid2,...groupidN levelid:compartmentid:groupid levelid:compartmentid: levelid::groupid levelid:: 表标签绑定 通过MLSCLSCREATETABLELABEL()函数将指定标签绑定到指定的表(Table)，并将相关数据存储到pgclstable系统表。 SQL SELECT MLSCLSCREATETABLELABEL(policyname labelid, schemaname, tablename) 参数描述： policyname（策略名称）: 指定要应用的策略名称。 labelid（标签ID）: 要应用于表的标签ID，取值范围[0, 32767]。 schemaname（模式名称）: 表所在的模式名。 tablename（表格名称）: 要应用标签的表名。 通过MLSCLSDROPTABLELABEL()函数删除绑定到表上的标签并更新pgclstable系统表数据。 SQL MLSCLSDROPTABLELABEL(policyname, schemaname, tablename) 用户标签绑定/删除 通过MLSCLSCREATEUSERLABEL()函数为指定的用户创建一个带有默认标签的用户账户，并将其存储到 pgclsuser 表中。 SQL SELECT MLSCLSCREATEUSERLABEL(policyname, username name, defreadlabel, defwritelabel, defrowlabel) 参数描述： policyname（策略名称）: 指定要应用的策略名称。 username（用户名）: 要创建标签的用户账户名称。 defreadlabel（默认读标签）: 为用户定义的默认读标签ID。 defwritelabel（默认写标签）: 为用户定义的默认写标签ID。 defrowlabel（默认行标签）: 为用户定义的默认行标签ID。 通过MLSCLSDROPUSERLABEL()函数为指定用户删除标签，并将pgclsuser 表中指定用户的标签删除，且断开指定用户当前所有的数据库连接。 SQL SELECT MLSCLSDROPUSERLABEL(username) 参数描述： username（用户名）: 要删除指定用户标签的用户账户名称。 示例： 初始化环境 SQL c mlsadmin 创建安全策略 select MLSCLSCREATEPOLICY('rlspolicy', 66); 创建安全等级 select MLSCLSCREATELEVEL('rlspolicy', 10, 'defaultlevel', 'default Level'); select MLSCLSCREATELEVEL('rlspolicy', 10, 'userlevel', 'user Level'); select MLSCLSCREATELEVEL('rlspolicy', 9, 'badlevel', 'bad Level'); select MLSCLSCREATELEVEL('rlspolicy', 100, 'goodlevel', 'good Level'); 创建隔离区 select MLSCLSCREATECOMPARTMENT('rlspolicy', 30, 'rlscom0', 'RLS compartment 0'); select MLSCLSCREATECOMPARTMENT('rlspolicy', 31, 'rlscom1', 'RLS compartment 1'); select MLSCLSCREATECOMPARTMENT('rlspolicy', 32, 'rlscom2', 'RLS compartment 2'); 创建安全组 select MLSCLSCREATEGROUPROOT('rlspolicy', 50, 'root', 'group root'); select MLSCLSCREATEGROUPNODE('rlspolicy', 51, 'child1', 'child of root node 1', 'root'); select MLSCLSCREATEGROUPNODE('rlspolicy', 52, 'child2', 'child of root node 2', 'root'); select MLSCLSCREATEGROUPNODE('rlspolicy', 511, 'child11', 'child of child1 node 1', 'child1'); select MLSCLSCREATEGROUPNODE('rlspolicy', 512, 'child12', 'child of child1 node 2', 'child1'); 创建安全标签，此时和安全等级，隔离区以及安全组进行绑定 select MLSCLSCREATELABEL('rlspolicy', 1024, 'defaultlevel:rlscom0:child12'); 将标签绑定到表 alter table public.tbl1 add column cls clsitem default '99:1024'; select MLSCLSCREATETABLELABEL('rlspolicy', 1024, 'public', 'tbl1'); 安全等级 SQL select MLSCLSCREATELABEL('rlspolicy', 1025, 'userlevel::'); select MLSCLSCREATELABEL('rlspolicy', 1026, 'badlevel::'); select MLSCLSCREATELABEL('rlspolicy', 1027, 'goodlevel::'); 将标签绑定到用户 select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike1', 1024, 1024, 1024); select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike2', 1025, 1025, 1025); select MLSCLSCREATEUSERLABEL('rlspolicy', 'badgodlike1', 1026, 1026, 1026); select MLSCLSCREATEUSERLABEL('rlspolicy', 'goodgodlike1', 1027, 1027, 1027); SQL c godlike1 insert into public.tbl1 select generateseries(1,3), generateseries(1,3); select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:1024 2 2 66:1024 3 3 66:1024 (3 rows) SQL c godlike2 insert into public.tbl1 select generateseries(4,6), generateseries(4,6); 当前用户不在隔离区，无法看到godlike1用户创建的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 4 4 66:1025 5 5 66:1025 6 6 66:1025 (3 rows） SQL c badgodlike1 低优先级的用户无法看到高优先级的用户插入的数据 select from public.tbl1 order by col1; col1 col2 cls ++ (0 rows) SQL insert into public.tbl1 select generateseries(7,9), generateseries(7,9); 低优先级用户可以看到自己创建的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 7 7 66:1026 8 8 66:1026 9 9 66:1026 (3 rows) SQL c goodgodlike1 高优先级用户可以看到低优先级用户创建的数据 同时无法看到隔离区的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 4 4 66:1025 5 5 66:1025 6 6 66:1025 7 7 66:1026 8 8 66:1026 9 9 66:1026 (6 rows) SQL insert into public.tbl1 select generateseries(10,12), generateseries(10,12); select from public.tbl1 order by col1; col1 col2 cls ++ 4 4 66:1025 5 5 66:1025 6 6 66:1025 7 7 66:1026 8 8 66:1026 9 9 66:1026 10 10 66:1027 11 11 66:1027 12 12 66:1027 (9 rows) SQL c godlike1 高优先级用户可以看到比自己低优先级用户创建的数据 无法看到比自己优先级高的用户创建的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:1024 2 2 66:1024 3 3 66:1024 4 4 66:1025 5 5 66:1025 6 6 66:1025 7 7 66:1026 8 8 66:1026 9 9 66:1026 (9 rows) SQL c commonuser0 select from public.tbl1 order by col1; col1 col2 cls ++ (0 rows) 安全隔离区 SQL c mlsadmin select MLSCLSDROPUSERLABEL('godlike1'); select MLSCLSDROPUSERLABEL('godlike2'); select MLSCLSDROPUSERLABEL('badgodlike1'); select MLSCLSDROPUSERLABEL('goodgodlike1'); 创建安全标签，并绑定隔隔离区 select MLSCLSCREATELABEL('rlspolicy', 2048, 'defaultlevel:rlscom0:'); select MLSCLSCREATELABEL('rlspolicy', 2049, 'defaultlevel:rlscom0,rlscom1,rlscom2:'); select MLSCLSCREATELABEL('rlspolicy', 2050, 'defaultlevel:rlscom1,rlscom2:'); select MLSCLSCREATELABEL('rlspolicy', 2051, 'defaultlevel:rlscom0,rlscom2:'); 将标签绑定到用户 select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike1', 2048, 2048, 2048); select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike2', 2049, 2049, 2049); select MLSCLSCREATEUSERLABEL('rlspolicy', 'badgodlike1', 2050, 2050, 2050); select MLSCLSCREATEUSERLABEL('rlspolicy', 'goodgodlike1', 2051, 2051, 2051); SQL c godlike1 insert into public.tbl1 select generateseries(1,3), generateseries(1,3); select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 (3 rows) SQL c godlike2 insert into public.tbl1 select generateseries(4,6), generateseries(4,6); 当前用户所在隔离区含godlike1用户隔离区，可以看到godlike1的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 4 4 66:2049 5 5 66:2049 6 6 66:2049 (6 rows) SQL c badgodlike1 insert into public.tbl1 select generateseries(7,9), generateseries(7,9); 当前用户所在隔离区无法包含前面用户的隔离区，无法看到他们插入的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 7 7 66:2050 8 8 66:2050 9 9 66:2050 (3 rows) SQL c goodgodlike1 insert into public.tbl1 select generateseries(10,12), generateseries(10,12); 相同等级，godlike1的隔离区是当前的子集，当前用户可以看到godlike1插入的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 10 10 66:2051 11 11 66:2051 12 12 66:2051 (6 rows) SQL c godlike2 当前用户含rlscom0,rlscom1,rlscom2三个隔离区可以看到之前插入的所有数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 4 4 66:2049 5 5 66:2049 6 6 66:2049 7 7 66:2050 8 8 66:2050 9 9 66:2050 10 10 66:2051 11 11 66:2051 12 12 66:2051 (12 rows) 安全组 SQL c mlsadmin select MLSCLSDROPUSERLABEL('godlike1'); select MLSCLSDROPUSERLABEL('godlike2'); select MLSCLSDROPUSERLABEL('badgodlike1'); select MLSCLSDROPUSERLABEL('goodgodlike1'); 创建安全标签，并绑定用户组 select MLSCLSCREATELABEL('rlspolicy', 4096, 'defaultlevel:rlscom0:root'); select MLSCLSCREATELABEL('rlspolicy', 4097, 'defaultlevel:rlscom0:child1'); select MLSCLSCREATELABEL('rlspolicy', 4098, 'defaultlevel:rlscom0:child11,child12'); 将标签绑定到用户 select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike1', 4096, 4096, 4096); select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike2', 4097, 4097, 4097); select MLSCLSCREATEUSERLABEL('rlspolicy', 'badgodlike1', 4098, 4098, 4098); SQL c badgodlike1 insert into public.tbl1 select generateseries(1,3), generateseries(1,3); select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 (3 rows) SQL c godlike2 insert into public.tbl1 select generateseries(4,6), generateseries(4,6); 安全组根节点可以看到子节点数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 4 4 66:4097 5 5 66:4097 6 6 66:4097 (6 rows) SQL c godlike1 insert into public.tbl1 select generateseries(7,9), generateseries(7,9); 安全组根节点可以看到所有子节点数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 4 4 66:4097 5 5 66:4097 6 6 66:4097 7 7 66:4096 8 8 66:4096 9 9 66:4096 (9 rows) SQL c badgodlike1 子节点 无法看到根节点数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 (3 rows)

参数 说明 示例 名称 事件源名。 source1 请求类型 支持的请求类型： HTTP HTTPS HTTP&HTTPS HTTPS 请求方法 选择支持的HTTP请求方法。取值如下： GET POST PUT DELETE HEAD PATCH GET 安全配置 选择安全配置的类型。取值如下： 无需配置：不配置，接收到的所有URL请求均转换为事件推送到事件总线EventBridge。 IP网段：输入IP网段。只有使用网段内的IP地址访问的URL才能触发事件，其余请求均会被过滤。 安全域名：输入安全的域名信息。只有使用该域名访问的URL才能触发事件，其余请求均会被过滤。 无需配置

参数 说明 备注 区域 必选参数。租户所在的区域，当前区域请在界面右上方选择。 建议选择和云主机同一个区域。 可用区 必选参数。同一区域内，电力和网络互相独立的地理区域。 建议选择和云主机同一个可用区。 存储类型 必选参数。包含标准型、标准型增强版、性能型和性能型增强版。 默认为标准型。说明创建成功后不支持更换存储类型， 如需更换只能新创建另一存储类型的文件系统，请根据业务情况事先规划存储类型。 容量（GB） 单个文件系统的最大容量，当文件系统的实际使用容量达到该值时， 您将无法对文件系统执行写入操作，需要进行扩容。 暂无法直接对SFS Turbo文件系统进行缩容操作，请根据实际需要设置文件系统的容量。 支持范围： 标准型：500GB～32TB 性能型：500GB～32TB 标准型增强版和性能型增强版：10TB～320TB 协议类型 必选参数。SFS Turbo文件系统支持的共享访问协议为NFS。 默认为NFS。 选择网络 必选参数。 选择VPC及其子网。 VPC：云主机无法访问不在同一VPC下的文件系统，请选择与云主机相同的VPC。 子网：子网是VPC内的IP地址块，同一个VPC下，子网网段不会重复。通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 开启IPv6：勾选此参数表示开启IPv6，不勾选表示不开启IPv6，使用IPv4。 如果您想开启IPv6，开启IPv6前，请确保SFS Turbo文件系统所在的VPC和子网已开启IPv6配置。 开启IPv6后，SFS Turbo文件系统可在IPv6下运行，此时SFS Turbo文件系统通过IPv6进行通信。 说明 每个文件系统在创建时只可以添加一个VPC。可通过虚拟私有的VPC对等连接方式将两个或多个VPC互连，实现多VPC、跨VPC下的文件共享。 SFS Turbo文件系统支持创建文件系统的时候开启IPv6，创建完成的SFS Turbo文件系统不支持修改IPv6是否开启的策略。 首次创建IPv6文件系统，请确定“授权权限提醒”弹窗，确定授权后，SFS Turbo将在IAM下创建名称为“ServiceAgencyForSFSTurboIPv6”的委托并授权给账户opsvcefs。未授权将导致无法创建IPv6文件系统。委托创建完成后，请不要删除该委托，否则可能导致文件系统无法读写。 开启IPv6的文件系统需要使用域名挂载，不支持使用IP挂载。 安全组 必选参数。安全组起着虚拟防火墙的作用，为文件系统提供安全的网络访问控制策略。 用户可以在安全组中定义各种访问规则，当弹性文件服务加入该安全组后，即受到这些访问规则的保护。 创建SFS Turbo时，仅支持选择一个安全组。推荐SFS Turbo实例使用单独的安全组，与业务节点隔离。 安全组规则的配置会影响SFS Turbo的正常访问与使用，配置方法请参见《虚拟私有云用户指南》的“添加安全组规则”章节。 为了确保SFS Turbo能够被您的弹性云服务器访问，在成功创建SFS Turbo后，系统将自动放通SFS Turbo中NFS协议需要的安全组端口，以免文件系统挂载失败。 NFS协议所需要入方向的端口号为111、2049、2051、2052、20048。如您需要修改开放的端口，可以前往“网络控制台 > 访问控制 > 安全组”找到目标安全组进行修改即可。 名称 必选参数。用户自定义文件系统的名称。 只能由英文字母、数字和中划线“”组成， 创建的文件系统名称输入长度需大于4个字符并小于等于64个字符。