DRDS已对接天翼云统一身份认证服务（IAM），可实现控制台按钮、菜单功能、OpenAPI等维度对用户访问、操作资源的权限控制等， 以达到用户权限的精细管理，保证访问的安全性。 IAM简介 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。目前天翼云提供对应专有的CTIAM服务，用户可申请开通后免费使用，您只需要为您帐号中的云服务和资源进行付费。具体IAM使用说明详情见：统一身份认证。 IAM涉及主要概念 主用户：用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。 子用户：由拥有IAM权限的用户，在用户中心创建的子用户。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。 用户组：用户组是用户的集合，IAM通过用户组功能实现用户的授权。您创建的IAM用户，需要加入特定用户组后，才具备对应的权限，否则IAM用户无法访问您帐号中的任何资源或者云服务。 系统策略 ：由产品团队维护，系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对DRDS的只读权限、对DRDS的管理员权限等；系统策略在IAM控制台中只能用于授权，不能编辑和修改。 自定义策略：由用户自己在IAM控制台创建和管理的权限集，是用户可以自由定义的权限，是对系统策略的扩展和补充。 企业项目：企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用企业项目内云资源的权限受用户组的授权限制。

关系数据库MySQL版已对接天翼云统一身份认证服务（IAM），可实现控制台按钮、菜单功能、OpenAPI等维度对用户访问、操作资源的权限控制等， 以达到用户权限的精细管理，保证访问的安全性。本文为您详细介绍MySQL实例的策略与权限。 IAM简介 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。目前天翼云提供对应专有的CTIAM服务，用户可申请开通后免费使用，您只需要为您帐号中的云服务和资源进行付费。具体IAM使用说明，请参见统一身份认证。 IAM涉及的主要概念 主用户 ：用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。 子用户 ：由拥有IAM权限的用户，在用户中心创建的子用户。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。 用户组 ：用户组是用户的集合，IAM通过用户组功能实现用户的授权。您创建的IAM用户，需要加入特定用户组后，才具备对应的权限，否则IAM用户无法访问您帐号中的任何资源或者云服务。 系统策略 ：由产品团队维护，系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对 ECS 的只读权限、对 ECS 的管理员权限等；系统策略在IAM控制台中只能用于授权，不能编辑和修改。 自定义策略 ：由用户自己在IAM控制台创建和管理的权限集，是用户可以自由定义的权限，是对系统策略的扩展和补充。 企业项目 ：企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用企业项目内云资源的权限受用户组的授权限制。

本文主要说明云日志服务产品服务等级协议。 天翼云云日志服务等级协议

本文介绍如何集群创建。 集群是计算资源的集合，包含一组节点资源，容器运行在节点上。在创建容器应用前，您需要存在一个可用集群。目前最多可以创建5个集群，请确保至少有一个可用的集群。如集群数量不够，可申请增加配额。 操作前提 能够确保账户中有充足的余额，否则将导致您的业务开通失败； 在【创建集群】之前，请确保已完成VPC、子网的创建及安全组的配置，若未创建可参考上一【环境设置】部分。 操作步骤 1. 登录天翼云； 2. 选择【控制台】>点击切换到具体资源池，如杭州2节点； 3. 在控制台中找到【容器服务】>点击【容器引擎】，进入容器服务界面； 4. 进入【总览】页面>单击【创建集群】按钮，进入集群创建界面； 5. 按照需要完成集群参数填写，集群创建参数详见下表，其中带“”的参数为必填参数。 参数 参数说明 基础配置 集群名称 新建集群的名称 Kubernetes版本 1.15/1.18 地域 根据最初选择的地域决定，集群创建过程中不可选 虚拟私有云 新建集群所在的虚拟私有云。若没有可选虚拟私有云，单击“创建虚拟私有云”进行创建 子网 节点虚拟机运行的子网环境。若没有可选子网，单击“创建子网”进行创建 系列 分为基础版、高级版（基础版集群将创建1个master节点和相应控制节点，worker节点配置由用户自由选择；高级版集群将创建3个master节点和相应控制节点，worker节点配置由用户自由选择。) 容器CIDR 默认是10.223.0.0/16，确定容器网段后，容器实例将在规划的网段内分配IP。不能与集群所选的VPC重复，当vpc和容器网段或者服务网段冲突提示：默认网段与所选虚拟私有云网段有冲突，请重新选择vpc 服务CIDR 默认是10.96.0.0/16，服务网段为kubernetes service ip网段，请根据业务需求选择该网段。不能与集群所选的VPC重复 企业项目 此项与主子账户权限有关，如果有主子账户权限分配要求，请提前规划企业项目 注： 如果您选择了IPv4/IPv6双栈的VPC和子网，那么要同时设置IPv4的容器CIDR和服务CIDR，以及IPv6的容器CIDR和服务CIDR，均不能与集群所选VPC重复。默认情况下，IPv6容器CIDR：fd03::/112；IPv6服务CIDR：fd05::/112。如有需要用户请根据个人需求进行修改。 worker 节点配置 规格 请根据业务需求选择相应的节点规格。 当前使用的是通用型S2类型云主机，可选规格以界面上显示为准 操作系统 请选择节点对应的操作系统 系统盘 默认为普通IO，50GB 数据盘 普通IO、高IO，规格为[50,2048]GB，默认50GB;范围502048GB;整数;填入小数自动四舍五入为整数，输入为空自动设置为50；步长为10 弹性IP 使用已有IP：使用已经创建出的弹性公网IP 创建后设置：不使用弹性公网IP（不使用弹性公网IP不能通过公网发送请求，可创建后绑定） 网络模型 容器隧道网络：基于底层 VPC 网络，构建独立的容器 VXLAN 隧道化的容器网络，与底层网络解耦，支持高扩展性，网络策略，多容器网络平面 worker节点数 默认最小值是1，只允许填入整数；步长为1；设置的节点数不能超过最大节点规模50；输入为空自动设置为1 购买时长 根据需求，设置购买时长 6. 确认右侧订单详情无误并确保已放开安全组6443、9080、9443、2379、2380端口后，单击【创建集群】，进入付费界面，完成费用支付； 7. 集群创建预计需要 610 分钟。请根据界面提示查看集群创建过程。创建完成后，点击【返回集群管理】链接； 8. 在导航栏单击【资源管理】>【集群管理】标签，进入集群列表界面，可查看创建的集群。

本文介绍了触发器的用户指南。 概述 触发器功能支持镜像版本更新时自动更新使用该镜像的云容器引擎工作负载，从而简化工作负载的发布流程。 前置条件 已开通容器镜像服务企业版实例 已开通云容器引擎集群 创建触发器 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击 "容器镜像" "镜像仓库"，选择需要创建触发器的镜像仓库。 4. 在触发器标签页点击创建触发器按钮。 5. 在创建页面填写触发器相关的参数进行创建 参数 说明 触发器名称 触发器的名称。 Tag匹配条件 通过正则表达式设置规则匹配的镜像版本。使用方式示例如下： 匹配全部: . 匹配多个版本: v1v2v3 匹配前缀: v1. 集群 触发器关联的云容器引擎集群。 命名空间 触发器关联的命名空间。 工作负载类型 触发器关联的工作负载类型，包括：无状态，有状态，守护进程和定时任务。 工作负载 触发器关联的工作负载。 容器 触发器关联的容器。 镜像更新方式 触发器更新容器镜像的方式，包括通过Tag更新和通过Digest更新。当容器的镜像拉取策略为 IfNotPresent 时，由于云容器引擎节点本地存在镜像缓存，此时推送相同Tag的镜像将无法通过Tag触发容器拉取新镜像，因此推荐通过Digest更新。 当容器的镜像拉取策略为 Always 时，推荐通过Tag更新。 6. 创建完成后，可在列表页面查看创建的触发器。 7. 操作栏的编辑按钮可以修改触发器。禁用/启用按钮可以修改触发器的启用状态。删除按钮可以删除触发器。查看触发记录按钮可以查看触发器的触发记录。每当新推送的镜像命中触发器的Tag匹配条件时，则会新增一条触发记录，并且云容器引擎工作负载的镜像会自动更新。

第3章 服务优势 业务连续性：高可用架构确保系统在故障发生时保持业务可用性，避免业务中断。 故障恢复与容灾能力：高可用架构具备快速故障恢复和容灾能力，避免故障对业务的影响。 发现潜在问题：故障演练模拟真实故障场景，发现系统中的潜在问题和薄弱环节，提前解决问题，提高系统的可靠性和稳定性。 提高团队故障处理能力：故障演练让团队成员熟悉应急流程和操作，提高团队的故障应对能力和反应速度。 第4章 服务范围 高可用与故障演练服务产品范围：天翼专有云、天翼公有云、天翼混合云的云产品，详见《服务协议》。 天翼云高可用与故障演练服务范围包含： 应用架构分析、数据库架构分析、云产品分析、高可用方案设计、故障演练方案设计。 天翼云高可用与故障演练服务范围不包含： 具体的配置操作和实施。 非天翼云产品或平台的高可用和故障演练。 第5章 前提条件 客户需提前至少20个工作日申请高可用与故障演练服务，天翼云解决方案架构师评估需求可行性，确定是否提供高可用与故障演练服务。 高可用与故障演练现场服务2天起售，需提前15个工作日申请，现场服务只在高可用与故障演练服务的服务期内提供，高可用与故障演练现场服务工作时间为工作日9:00~18:00。 若已购买现场服务，客户须提供安全的办公环境，并保障天翼云驻场人员的人身安全。 高可用与故障演练现场服务，客户需签署高可用与故障演练服务进场和离场报告或签到表。 客户需审核天翼云制定的高可用与故障演练服务计划和服务方案，以书面形式（包括但不限于电子邮件）确认。如无正当技术理由，不能否定双方已确认的服务计划和服务方案。 方案落地过程中，客户可能需要购买天翼云或甄选商城的第三方服务，若不购买这些服务，方案无法落地。

本章节介绍云主机网络包损坏故障演练。 背景介绍 由于物理链路噪声、网络设备故障或恶意攻击，数据包在传输过程中可能被篡改，导致其内容发生变化。接收端的 TCP/IP 协议栈会通过校验和检查发现这种损坏，丢弃该数据包并请求重传。虽然这确保了数据的完整性，但频繁的重传会显著增加网络延迟、降低有效吞吐量，并可能导致应用层超时。本演练模拟此场景，帮助您评估应用在恶劣网络条件下的健壮性。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络包损坏。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络包损坏动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 包损坏百分比：数据包被损坏的概率（取值 0100）。例如，设置为 10 表示每100个包中约有10个会被损坏。

本章节介绍云主机网络延迟故障演练。 背景介绍 网络延迟是分布式系统中最常见的微故障之一。跨数据中心的调用、网络拥塞、路由路径过长或中间设备处理耗时，都可能导致服务间的通信延迟增加。这会直接影响应用的响应时间，降低用户体验，甚至在级联调用中引发雪崩效应。本演练模拟可控的网络延迟，帮助您检验系统的超时设置、熔断机制的有效性，并发现潜在的性能瓶颈。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络延迟。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络延迟动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 延迟时间(毫秒)：为每个数据包增加的固定延迟时长。 延迟浮动值(毫秒)：在固定延迟时长上的随机浮动范围。最终延迟为延迟时间 ± 延迟浮动值，用于模拟更真实的网络抖动。

本章节介绍云主机网络包损坏故障演练。 背景介绍 由于物理链路噪声、网络设备故障或恶意攻击，数据包在传输过程中可能被篡改，导致其内容发生变化。接收端的 TCP/IP 协议栈会通过校验和检查发现这种损坏，丢弃该数据包并请求重传。虽然这确保了数据的完整性，但频繁的重传会显著增加网络延迟、降低有效吞吐量，并可能导致应用层超时。本演练模拟此场景，帮助您评估应用在恶劣网络条件下的健壮性。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络包损坏。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络包损坏动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 包损坏百分比：数据包被损坏的概率（取值 0100）。例如，设置为 10 表示每100个包中约有10个会被损坏。

本章节介绍云主机网络延迟故障演练。 背景介绍 网络延迟是分布式系统中最常见的微故障之一。跨数据中心的调用、网络拥塞、路由路径过长或中间设备处理耗时，都可能导致服务间的通信延迟增加。这会直接影响应用的响应时间，降低用户体验，甚至在级联调用中引发雪崩效应。本演练模拟可控的网络延迟，帮助您检验系统的超时设置、熔断机制的有效性，并发现潜在的性能瓶颈。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络延迟。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络延迟动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 延迟时间(毫秒)：为每个数据包增加的固定延迟时长。 延迟浮动值(毫秒)：在固定延迟时长上的随机浮动范围。最终延迟为延迟时间 ± 延迟浮动值，用于模拟更真实的网络抖动。

本节介绍创建Linux云电脑的操作说明。 天翼AI云电脑（政企版）可以通过资源包或单实例方式开通Linux系统的普通AI云电脑。 如需通过资源包方式开通AI云电脑，请先订购资源包，详见订购资源包。 操作步骤 1.进入“AI云电脑（政企版）”管理控制台； 2.展开“AI云电脑管理”菜单栏，选择“桌面管理”，点击“创建桌面”，进入“创建桌面”页面； 3.创建方式来源选择“资源包”或“单实例”； 资源包方式开通：管理员可通过已订购资源包，通过资源包的资源分配方式开通AI云电脑，无需单独付费。 单实例方式开通：管理员可以选择AI云电脑配置，直接通过付费完成AI云电脑的开通。 4.选择“Linux”系统类型； 5.选择规格类型“桌面版”或“服务器版”，再根据需求选择AI云电脑规格； 6.选择AI云电脑的“镜像类型”； 7.选择AI云电脑的“磁盘选择”； 系统盘：普通AI云电脑默认已包含80GB高IO系统盘，GPUAI云电脑默认已包含120GB超高IO系统盘。 数据盘：根据实际情况选择桌面数据盘配置，每台桌面实例最多可添加5块数据盘，每块数据盘最大存储容量为2000GB。 注意 资源包开通的桌面系统盘最高可扩容至200GB，单实例开通的桌面系统盘最高可扩容至500GB。 8.选择AI云电脑的“vpc”和“业务子网”； 注：AI云电脑所选的业务子网需要绑定带宽，桌面才能连接网络。 通过将上网带宽与业务子网建立绑定关系，来控制业务子网下AI云电脑的最终可用带宽。详情可参考管理上网带宽 9.选择账号类型，并填写分配电脑的账号信息； 邮件通知激活：需要发送激活邮件，用户激活后，账号即可使用。 选择已有用户：选择已经存在的用户进行电脑分配。 注意：系统将自动生成root密码并在开通邮件中提醒。 10.其它电脑实例配置信息，根据需要自行配置； 11.确认相关的配置信息，点击“创建桌面”，即完成电脑开通。

本节主要介绍了Linux操作系统安装CUDA工具包的流程。 以下操作以Ubuntu 16.04 64bit操作系统，GPU实例使用run包安装CUDA 10.1为例。 1. 登录云主机。 2. 在CUDA下载页面中，按照Tesla驱动及CUDA工具包获取方式中的对应的索引项在页面中进行选择。 图 选择CUDA的版本 3. 选择完成后，页面会自动呈现出Ubuntu 16.04 64bit对应的CUDA 10.1的下载地址，复制下载地址。 图 复制CUDA下载地址 4. 在云主机内部执行如下命令进行下载。 wget 复制的链接地址 例如：wget 图 Linux云主机下载CUDA 5. CUDA工具包下载完成后，按照NVIDIA官网安装指引进行安装。 按照如下图的NVIDIA官网的Installation Instructions进行安装。 图 Linux云主机安装CUDA 6. 执行以下命令安装CUDA。 sh cuda10.1.243418.87.00linux.run 7. 在安装界面输入“accept”，回车进入下一步。 图 安装CUDA1 8. 选择“Install”，回车进入安装过程。 图 安装CUDA2 图 安装CUDA完成 9. 执行以下命令进入/usr/local/cuda10.1/samples/1Utilities/deviceQuery 目录下。 cd /usr/local/cuda10.1/samples/1Utilities/deviceQuery 10. 执行make命令，自动编译deviceQuery程序。 11. 执行以下命令查看CUDA是否安装成功。 ./deviceQuery 如回显信息中有CUDA的版本信息证明CUDA安装成功。 图 deviceQuery回显信息 12. 执行以下命令查看CUDA的版本。 /usr/local/cuda/bin/nvcc V 图 查看CUDA的版本 13. 执行以下命令启动持久模式。 sudo nvidiasmi pm 1 启用持久模式设置可以优化Linux实例上GPU设备的性能。

本节主要介绍镜像创建无状态工作负载（Nginx） 。 您可以使用容器镜像快速创建一个可公网访问的单实例工作负载。本章节将指导您基于云容器引擎CCE快速部署Nginx容器应用，并管理该容器应用的全生命周期，以期让您具备将云容器引擎应用到实际项目中的能力。 前提条件 您需要创建一个至少包含一个4核8G节点的集群，且该节点已绑定弹性IP，并确保其可联网下载容器镜像。 集群是运行工作负载的逻辑分组，包含一组云主机资源，每台云主机即集群中的一个节点。 创建集群的方法，请参见 集群。 Nginx应用概述 Nginx是一款轻量级的Web服务器，您可通过CCE快速搭建nginx web服务器。 本章节将以创建Nginx应用为例，来创建一个工作负载，预计需要5分钟。 本章节执行完成后，可成功访问Nginx的网页，如下图。 图 本例结果 操作步骤 步骤 1 登录CCE控制台。 步骤 2 单击集群进入集群控制台。 步骤 3 在左侧菜单栏选择“工作负载”，单击右上角“创建负载”。 步骤 4 填写以下参数，其它保持默认。 基本信息 负载类型：选择无状态负载。 负载名称：nginx。 命名空间：default。 实例数量：请设置为1。 容器配置 在基本信息中，“镜像名称”输入框中输入“nginx:latest”。 服务配置 单击服务配置下的加号，创建服务（Service），用于从外部访问负载。本例将创建一个负载均衡类型的Service，请在右侧弹窗中配置如下参数。 Service名称：输入应用发布的可被外部访问的名称，设置为：nginx。 访问类型：选择“负载均衡 ( LoadBalancer )”。 服务亲和：保持默认。 负载均衡器：如果已有负载均衡（ELB）实例，可以选择已有ELB，如果没有可选择“自动创建”，创建一个公网类型负载均衡器。 端口配置： 对外协议：TCP。 服务端口：设置为9888，该端口号将映射到容器端口。 容器端口：容器中应用启动监听的端口，nginx镜像请设置为80，其他应用容器端口和应用本身的端口一致。 步骤 5 单击右下角“创建工作负载”。 等待工作负载创建成功。 创建成功后在无状态负载下会显示一个运行中的工作负载。

问题现象 开通服务网格后控制面服务没有正常启动，报错信息如下： message: 'Internal error occurred: failed calling webhook "cosignwebhook.kubesystem.svc": failed to call webhook: Post " x509: certificate is valid for cosignwebhook, cosignwebhook.default, cosignwebhook.default.svc, not cosignwebhook.kubesystem.svc' 问题原因 由于在云容器引擎集群开启了cubesign插件，该插件会对集群中部署的镜像做签名验证，提升系统安全性。服务网格控制面组件镜像不会使用cubesign签名，因此部署会因为签名校验而失败。 解决方案 关闭云容器引擎集群cubesign插件，重新部署网格控制面服务。

为保证并行文件服务HPFS产品正常使用，在使用之前，请您务必仔细阅读以下协议限制。 并行文件系统目前支持NFS、HPFSPOSIX协议类型，创建的文件系统默认支持HPFSPOSIX协议，用户可通过协议服务功能使用NFS协议的访问方式。 协议版本：NFS支持NFSv3、NFSv4版本。 弹性云主机或CPU物理机支持通过NFS协议挂载访问，GPU物理机支持通过HPFSPOSIX协议挂载访问。 注意 所有资源池/集群默认均支持HPFSPOSIX协议。 如需确认资源池/集群对NFS协议的支持情况，请前往产品能力地图中的【协议服务NFS挂载云主机】列进行查询。

请求示例 请求url /v4/monitor/events/querylist 请求头header 无 请求体body json { "regionID":"81f7728662dd11ec810800155d307d5b", "dimension":"ecs", "service":"ecs", "eventNameList":["migrationeventstart","migrationeventcomplete"], "startTime":1647424360, "endTime":1647424660, "pageNo":1, "pageSize":10 } 响应示例 json { "statusCode":800, "returnObj":{ "totalCount":2, "totalPage":1, "currentCount":2, "eventList":[ { "description":"云主机迁移完成", "eventName":"migrationeventcomplete", "eventTime":1647424660, "eventCount":2 }, { "description":"云主机迁移发生", "eventName":"migrationeventstart", "eventTime":1647424660, "eventCount":2 } ] }, "errorCode":"", "message":"Success", "msgDesc":"成功" } 状态码 状态码 描述 200 请求成功 错误码 errorCode 描述 Monitor.EventMonitor.DimensionNotSupport 该维度的事件暂不支持 其他 参见公共错误码说明

计费项 收取该项费用的连接类型 计费说明 连接费用 “虚拟私有云（VPC）”连接 “虚拟网关（VGW）”连接 “VPN网关（VPN）”链接 当您将连接添加到企业路由器中时，会收取连接费用，连接添加成功后开始计费，连接删除后停止计费。 对于共享企业路由器内的连接，接受者创建的连接只有被企业路由器的所有者接受后，才会开始计费。 流量费用 “虚拟私有云（VPC）”连接 “虚拟网关（VGW）”连接 “VPN网关（VPN）”连接 当您将连接添加到企业路由器中时，会根据实际流经连接的流量收取费用，统计从连接发送到企业路由器的每GB流量，即入方向的流量。

本小节介绍如何购买证书托管服务。 操作场景 对于天翼云上云产品，证书托管服务可以实现证书更新后的自动替换能力。 操作步骤 1. 登录证书管理服务控制台。 2. 单击“购买证书”，进入到证书管理服务产品购买页面。 3. 服务类型选择“证书托管服务”。 4. 选择证书托管服务的购买数量，单次最多可购买100个。 5. 阅读并同意天翼云证书管理服务的服务协议和服务等级协议后，单击“立即购买”下单。 6. 在弹出的“订单详情”页确认订单信息，单击“提交订单”。 7. 单击“立即支付”，完成证书托管服务的购买。

此小节介绍云堡垒机资产管理。 云堡垒机具备集中资源管理功能，将已有资源和资源账户添加到系统，可实现对资源账户全生命周期管理，单点登录资源，管理或运维无缝切换。 资源类型纳管资源类型丰富，包括Windows、Linux、Mac等主机资源，MySQL、PostgreSQL、Oracle等数据库资源以及Windows应用程序资源。 前提条件 仅“管理角色”支持资产相关的操作。 新增资产组 您可以通过主机资产组来管理多个资产，方便您在授权的时候可以一键选择。 1. 使用“管理角色”账户登录云堡垒机（原生版）控制台。 2. 在左侧导航栏选择“资产管理 > 主机资产”，进入主机资产页面。 3. 在主机资产列表左侧资产树中，单击资产组右侧的更多图标，选择“新增子节点”或“复制”。 支持创建多级资产组，最多支持创建10级。 4. 在弹出的“新增资产组”或“资产组复制”对话框中，填写资产组信息。 参数 参数名称 资产组名称 自定义资产组的名称。 资产 在下拉框中选择需要添加至该资产组中的资产。 描述 自定义资产组的描述。 5. 填写完成后，单击“提交”完成资产组的创建。 创建完成后，您也可以根据需要对资产组进行修改或删除： 编辑资产组：选择需要修改的资产组，单击资产组右侧的更多图标，选择“编辑”，按照需求对资产组进行修改，单击“确定”完成修改操作。 删除资产组：选择需要删除的资产组，单击资产组右侧的更多图标，选择“删除”，在弹出的对话框中单击“确定”完成删除操作。

本文主要介绍 查看云审计日志 操作场景 开启了云审计服务（CTS）后，系统开始记录SWR相关的操作。CTS会保存最近1周的操作记录。 本小节介绍如何在CTS管理控制台查看最近1周的操作记录。 操作步骤 步骤 1 登录CTS管理控制台。 步骤 2 选择左侧导航栏的“事件列表”，进入事件列表页面。 步骤 3 事件记录了云资源的操作详情，设置筛选条件，单击“查询”。 当前事件列表支持四个维度的组合查询，详细信息如下： 事件类型、事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。其中，“事件类型”选择“管理事件”，“事件来源”选择“SWR”。 图 设置筛选条件 其中，筛选类型选择“按资源ID”时，还需手动输入某个具体的资源ID，目前仅支持全字匹配模式的查询。 筛选类型选择“按资源名称”时，选框下拉列表会自动显示符合筛选条件的资源名称。 操作用户：在下拉框中选择某一具体的操作用户。 事件级别：可选项为“所有事件级别”、“Normal”、“Warning”、“Incident”，只可选择其中一项。 时间范围：可选项为“最近1小时”、“最近1天”、“最近1周”和“自定义时间段”，本示例选择“最近1周”。 步骤 4 在需要查看的事件左侧，单击图标展开该事件的详细信息。 图 展开事件 步骤 5 在需要查看的事件右侧，单击“查看事件”，弹出一个窗口，显示了该操作事件结构的详细信息。

本文为您介绍查看备份副本的操作步骤,用户可方便的查看自己已有的备份副本。 操作场景 在备份任务下发或完成后，可以通过各种筛选条件在备份列表查看备份详情。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域。 3. 单击“存储>云硬盘备份”，进入云硬盘备份页面。 4. 选择“备份副本”页签，选择需要查看的备份副本，点击左侧，即可查看备份副本的详情。 5. 用户可通过对“状态”属性进行筛选，查看不同状态的备份副本。备份副本状态说明如下： 状态项 状态属性 状态描述 全部 显示所有备份副本。 可用 稳定状态 备份完成之后的稳定状态，该状态下可执行各种操作。 错误 稳定状态 云硬盘备份发生了异常，请重新进行备份。 创建中 中间状态 备份触发后，备份副本的状态。 恢复中 中间状态 通过备份副本执行恢复或创建新云硬盘操作后，备份副本的状态。 删除中 中间状态 点击删除后，备份副本的状态。备份副本在等待删除和正在删除的过程中都会显示该状态。 合并中 中间状态 当某个备份副本被删除时，与之相关的其他备份副本会进行合并动作，这些备份副本会处于“合并中”状态。 已冻结 稳定状态 存储库处于“已冻结”或“已过期”状态时，该存储库下所有备份副本的状态。 6. 用户可以在右上角单击，导出备份列表。

将配置项（ConfigMap）注入容器可以将其转换为容器中的文件，应用可以读取注入的文件作为配置文件，这使得您可以灵活修改应用的配置而无需重新构建应用的镜像。 功能入口 场景不同，操作入口也有所不同 创建应用 1. 登录云应用引擎控制台，在左侧导航栏选择应用管理>应用列表，然后选择单击创建应用 2. 在应用基本信息向导页面进行配置后，单击下一步：高级设置。 对正在运行的应用进行变更 1. 登录云应用引擎控制台，在左侧导航栏选择应用管理>应用列表，然后单击目标应用名称 2. 在目标应用的基础信息页面，单击部署应用 注意 重新部署应用后，该应用将会被重启。为避免业务中断等不可预知的错误，请在业务低峰期执行部署操作 对已停止的应用进行变更 1. 登录云应用引擎控制台，在左侧导航栏选择应用管理>应用列表，然后单击目标应用名称 2. 在目标应用的基础信息页面，单击部署应用 注入配置信息指引 注入配置项前，您需要先创建配置项。您可以在应用的命名空间中创建配置项，也可以在当前区域单击创建配置项（ConfigMap），在创建配置项面板进行创建，创建的配置项会同步到应用的命名空间。 展开配置管理区域，单击+添加按钮，您可以将特定配置项（ConfigMap）的单个键或全部键注入容器，以将其转换为容器中的文件。配置项的值将作为文件的内容，您可以自定义文件的挂载路径。

本节介绍了公网IP相关问题与处理方法。 场景排查 1. 检查安全组规则。 2. 检查“ 网络ACL”规则。 3. 相同区域主机进行ping测试。 解决方案 1. 检查安全组规则。 登录管理控制台。 单击管理控制台右上角的，选择Region。 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 在“网络信息”模块的“内网安全组”处，单击安全组名称，进入安全组页面。 检查弹性云主机网卡对应的安全组是否放通了“入方向”的“ICMP”规则。 表 安全组规则 放向 类型 协议和端口 原地址 入方向 IPv4 Any：Any 0.0.0.0/00.0.0.0/0表示所有IP地址 入方向 IPv4 ICMP：Any 0.0.0.0/00.0.0.0/0表示所有IP地址 2. 检查“ 网络ACL”规则。 排查“网络ACL”是否放通。查看“网络ACL”状态，查看当前是开启状态还是关闭状态。 检查“弹性IP”绑定的网卡是否在“网络ACL”关联的子网下。 若“网络ACL”为“开启”状态，需要添加ICMP放通规则进行流量放通。 说明 需要注意“网络ACL”的默认规则是丢弃所有出入方向的包，若关闭“网络ACL”后，其默认规则仍然生效。 需要注意“网络ACL”的默认规则是丢弃所有出入方向的包，若关闭“网络ACL”后，其默认规则仍然生效。 3. 相同区域主机进行ping测试。 在相同区域的弹性云主机去ping没有ping通的弹性公网IP，如果可以正常ping通说明虚拟网络正常，请联系客服获取技术支持。

操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库 TaurusDB”。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 步骤 5 设置安全组规则。 在“网络信息”模块的“内网安全组”处，单击安全组名称，进入安全组页面。 步骤 6 在“入方向规则”子页签下单击“添加规则”，在“添加入方向规则”弹出框中填选安全组信息，单击“确定”。 单击“+”可以依次增加多条入方向规则。 表 入方向参数说明 参数 说明 取值样例 ::: 协议端口 安全组规则作用的协议。 目前支持“全部方通”、“全部TCP”“自定义TCP”、“全部UDP”、“自定义UDP”“ICMP”和“GRE”等协议。 选择“全部放通”，表示全部协议端口。 自定义TCP 协议端口 端口：允许远端地址访问弹性云主机指定端口。 通过内网连接实例 时，输入已购买弹性云主机的目标实例的端口。 单个端口：例如22 连续端口：例如2230 全部端口：为空或165535 地址 源地址：可以是IP地址、安全组。 xxx.xxx.xxx.xxx/32（IPv4地址） xxx.xxx.xxx.0/24（子网） 0.0.0.0/0（任意地址） 0.0.0.0/0 描述 安全组规则的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含“ ”。 操作 支持复制或删除一条安全组规则。只有一条安全组规则时不能删除。

集群外资源迁移 集群外资源主要包括自建镜像仓库、自建数据库等。这些迁移工作是可选的，可以根据实际需求决定是否进行。 自建镜像仓库迁移请参见：迁移自建Harbor至容器镜像服务企业版 自建数据库如mysql迁移请参见：使用mysqldump迁移MySQL数据 迁移工具安装 Velero作为一款开源的解决方案，专为Kubernetes集群设计，提供了全面的备份与迁移功能。其内建了对Restic工具的支持，以确保对Persistent Volume（PV）数据的安全备份。借助Velero，用户能够系统性地备份原Kubernetes集群中的各类资源实体，包括但不限于Deployments、Jobs、Services、ConfigMaps等，以及与Pod关联的持久卷数据，并将这些备份安全地传输并储存在指定的对象存储服务中。 当面临灾难恢复场景或有计划的集群迁移需求时，目标集群只需运用同样配置的Velero工具，即可从预先设定的对象存储位置检索相应的备份数据，进而按照实际需求逐步恢复集群资源的状态。 前提条件 原始自建集群Kubernetes版本与所选云容器引擎的版本差距尽量小，差距越大，迁移过程中出现不兼容的风险越大 准备存放备份数据的对象存储，可以使用云厂商提供的对象存储，或者自建minio服务，本文使用自建MinIO服务 已开通迁移的目标云容器引擎集群 源集群与目标集群都可以正常访问到对象存储服务

管理运维任务执行日志 运维任务执行完成后生成执行日志，执行日志中可查看任务执行结果，包括执行结果信息、执行详情等。 本小节主要介绍如何管理执行日志，包括查看执行日志、下载执行日志、删除日志等。 前提条件 已获取“运维任务”模块管理权限。 查看日志详情 1 登录云堡垒机系统。 2 选择“运维 > 运维任务 > 执行日志”，进入任务日志列表页面。 3 查询执行日志。 快速查询：在搜索框中输入关键字，根据运维任务名称快速查询任务。 4 选择目标任务，在相应“操作”列单击“详情”，进入日志详情页面。 在“基本信息”区域，可查看运维任务执行基本信息和简要结果。 在“执行详情”区域，可查看和导出运维任务执行详细结果。 下载执行日志 1 登录云堡垒机系统。 2 选择“运维 > 运维任务 > 执行日志”，进入任务日志列表页面。 3 选择目标任务，在相应“操作”列单击“导出”，立即下载执行日志CSV格式文件保存到本地。 4 单击“查看”，进入“任务详情”页面。 可查看运维任务执行基本信息和简要结果，并可在“执行详情”区域，查看和导出运维任务执行详细结果。 5 单击“导出”，可下载当前执行日志CSV格式文件保存到本地。 6 单击“删除”，可删除该执行日志。 同时勾选多条日志记录，单击列表下方的“删除”，可以批量删除多个执行日志。 删除执行日志 1 登录云堡垒机系统。 2 选择“运维 > 运维任务 > 执行日志”，进入任务日志列表页面。 3 选择目标任务，在相应“操作”列单击“删除”，即可删除该执行日志。 4 同时勾选多条执行日志，单击列表下方的“删除”，可以批量删除多个执行日志。

CSRF防护的方式 1、验证码 CSRF攻击的过程，往往是在用户不知情的情况下构造了网络请求，验证码则强制用户必须与应用进行交互才能完成最终请求。但基于使用体验，网站不会给所有的操作都加上验证码。 2、验证HTTP Referrer字段 根据 HTTP 协议，HTTP 头部中Referrer字段记录了该 HTTP 请求的来源地址。 比如一个论坛发帖的操作，在正常境况下需要先访问有发帖功能的页面，在提交发帖的表单时，Referrer值必然是发帖表单所在的页面。如果Referrer的值不是这个页面，甚至不是发帖网站的域，则极有可能是CSRF攻击。 3、请求中添加token并验证 在请求中放入黑客所不能伪造的信息，并且该信息不存在于Cookie 之中。可以在HTTP 请求中以参数的形式加入一个随机产生的token，并在服务器端建立一个拦截器来验证这个token，如果请求中没有token 或者token 内容不正确，则认为可能是CSRF 攻击而拒绝该请求。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通体验版及以上版本支持使用CSRF防护功能 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 登录web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入高级防护页面； 3. 进入“CSRF防护”页面，可以配置CSRF防护策略；

本章介绍关系型数据库包年包月的收费模式。 1、收费方式 （1）预付费方式：用户需先登录天翼云用户中心进行充值，系统会根据用户选购的实际资源对用户云账户中的金额进行扣除。 （2）计费周期：按月计费，以自然月为计费单位。 2 、升级规则 关系型数据库升级时间不满整月的，升级后配置按当月实际发生天数计费。 3 、续订规则 续订数据库，续费按原订购模式按月方式进行续费。 4 、退订规则 退订云数据库，不满整月的按当月实际发生天数收取费用。 退订云数据库后实例会进入冻结状态，冻结周期为15天，冻结期过后如不续费会删除实例。 5 、提醒/通知规则 （1）到期通知：服务到期前7天、3天邮件通知，到期前1天、当天邮件通知和短信提醒。 （2）超期通知：服务超期1天邮件通知，超期3天、7天邮件通知和短信提醒。

keytab keytab 是一种用于在Kerberos 认证系统中存储主体（principal）的密钥信息的文件，包含principals和加密principal key，用于在不需要用户输入密码的情况下进行身份验证。每个密钥条目在keytab 文件中通常由以下部分组成： 主体名称：明确标识该密钥所属的主体，例如“service/host.example.com@exp.com”。 加密类型：指示用于加密密钥的算法，常见的有 AES、DES 等。 密钥值：实际的加密密钥数据。 keytab文件对于每个host是唯一的，因为key中包含hostname。由于服务器上可以访问Keytab文件即可以用principal的身份通过Kerberos的认证，所以keytab文件应该被妥善保存，确保只有少数必要用户可以访问。 服务实例 在AD域中，服务实例指的是一个特定的服务运行在特定计算机或服务器上的单个实例。服务实例通常与特定的服务账号相关联，用于管理服务的权限和身份验证。服务实例在AD中是通过服务主体名称（Service Principal Name，SPN）来标识的。 服务主体SPN 在AD域中，服务主体（Service Principal Name，SPN）用于标志一个服务实例。SPN的作用在于Kerberos身份验证过程中，将服务实例与服务登录帐户相关联。当客户端需要访问某个服务时，它会使用SPN来查询和验证服务的身份。在AD域中，服务可以运行在不同的主机上，而一个主机上也可以运行多个服务。SPN的格式包括服务类型和主机名或域名，客户端通过SPN访问某个服务实例。 工作原理 天翼云提供基于Kerberos协议的认证鉴权方式，将用户加入到AD域中，域控制器通过秘钥表（keytab）授权成员访问弹性文件服务。用户认证及访问鉴权流程如下： 1. 管理员在域控制器上生成keytab文件，详见 2. 在天翼云控制台为目标文件系统开启AD域功能，并将keytab文件上传，具体操作见加入AD域。 3. 文件服务器保存用户通过控制台上传的keytab文件，用于后续AD域内客户端认证和鉴权。 4. 用户通过AD域内云主机发起访问CIFS文件系统请求。 5. 文件服务器通过查询向云主机返回是否支持Kerberos协议鉴权。 6. 云主机向AD域控制器发起用户认证，Kerberos对用户信息进行加密。 7. 域控制器向云主机返回加密后的用户信息。 8. 云主机将用户加密信息发送给文件服务器。 9. 文件服务器根据用户上传的Keytab文件解密用户信息。 10. 认证通过后，文件服务器根据解密所得的用户权限信息提供访问服务。

本文将为您介绍公共传输通道。 产品介绍 公共传输通道产品依托于中国电信CN2DCI承载网，采用多协议标签交换（MPLS）或SRv6+EVPN方式，为客户提供上网、入云、多站点/多云组网的虚拟专网业务，支持客户总部/分支等普通站点、天翼云资源池站点和第三方公有云站点的接入，实现业务自动开通、带宽随选和业务可视等特性。

参数 说明 网络类型 选择智能网关接入云资源池的方式，这里我们选择专线。 资源池 可以选择公有云资源池。 专线网关 选择该资源池下的专线网关。 物理专线 选择上述专线网关下的物理专线。 客户侧子网 可选当前专线网关下已经配置的客户侧IPv4子网，当前暂不支持客户侧子网变更，如需修改子网，请解绑专线网关后重新绑定。

功能 功能描述 企业路由器 您可以将企业路由器看作一个支持路由学习的高性能集中路由器，创建企业路由器时，您可以设置部署区域、可用区、名称等参数。 企业路由器创建完成后，您可以根据业务使用情况灵活调整部分参数。 连接 为企业路由器添加网络实例对应的连接，即表示将网络实例接入企业路由器中。 路由表 路由表是企业路由器发送报文的依据，包含连接的关联关系、传播关系以及路由信息。 一个企业路由器可以拥有多个路由表，您可以将连接关联至不同的路由表，从而实现网络实例的灵活互通或者隔离。 关联 关联是将连接关联至ER路由表中，您可以通过以下方法创建关联： 手动创建：选择任意路由表，并在路由表中为连接创建关联。 自动创建：开启“默认路由表关联”功能，指定默认路由表，系统会自动为连接在默认路由表中创建关联。 传播 传播是企业路由器和连接的路由学习关系，您可以通过以下方法创建传播： 手动创建：选择任意路由表，并在路由表中为连接创建传播。 自动创建：开启“默认路由表传播”功能，指定默认路由表，系统会自动为连接在默认路由表中创建传播。 路由 路由是目的地址、下一跳以及路由类型等信息组成。路由分为两种： 自动学习的传播路由。 手动添加的静态路由。 企业路由器支持IPv4和IPv6路由。 共享 所有者可以将自己的企业路由器同时共享给多个其他帐号，称为接受者。 接受者可以在共享企业路由器中添加连接，将自己名下的网络实例加入该企业路由器中，实现多个帐号内的网络实例接入同一个企业路由器构建组网的需求。 对于“虚拟私有云（VPC）”连接，通过共享功能，可以在同一个企业路由器中接入不同帐号下的虚拟私有云，构建云上同区域组网。 流日志 通过流日志功能可以实时记录企业路由器中连接的流量日志信息。通过这些日志信息，您可以监控连接的网络流量、进行网络攻击分析等，帮助您实现高效的网络运维。 监控 通过云监控服务，您可以监控企业路由器实例以及企业路由器连接的网络情况。 审计 通过云审计服务，您可以记录与企业路由器相关的操作事件，便于日后的查询、审计和回溯。 权限 针对位于云上的企业路由器资源，您可以通过IAM进行精细的权限管理，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，从而实现资源的安全管控。 标签 标签用于标识云资源，可通过标签实现对云资源的分类和搜索。你可以为企业路由器和路由表添加标签。 配额 为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少个企业路由器、每个企业路由器添加多少个连接、每个路由表可以添加多少条路由等。