本文介绍企业中心常用术语 主账号 在天翼云注册的独立账号，且完成了企业实名认证的实体账号。在该账号下申请开通的企业中心功能，主账号是企业中心管理员账号，是唯一可以访问且管理企业中心平台功能的账号。 子账号 在天翼云注册的独立账号，且完成了企业实名认证的实体账号。通过主账号邀请或者创建，成为了主账号下的关联账号，无法登录企业中心，资源/权限/财务等受到主账号管理。 组织 “组织”是企业中心账号间的虚拟归属关系，将子账号划分到归属的组织，便于统一操作与管理。企业中心当前最多支持三层组织架构。 一个组织由管理账号、成员账号、组织单元组成。一个组织有且仅有一个管理账号，若干个成员账号，以及由一个根组织单元和多层级组织单元组成的树状结构。成员账号可以关联在任一层级的组织单元。 组织策略 可以为组织绑定权限策略，绑定后的策略对组织内所有成员账号中的IAM用户生效。 创建/邀请 主账号可以创建或邀请子账号，但受一定约束条件，满足条件的账号才可以进行邀请或者创建，共同组成企业中心下的组织单元。

本节介绍了如何进行云数据库TaurusDB实例的安全设置。 帐户密码等级设置 TaurusDB对在客户端新创建的数据库用户，设置了密码安全策略： 口令长度至少8个字符。 口令至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@%^+?,()&$特殊字符。 创建实例时，为用户提供了密码复杂度校验，由于root用户可以修改密码复杂度，安全起见，建议修改后的密码复杂度不低于TaurusDB数据库的初始化设置。 帐户说明 您在创建TaurusDB实例时，系统会自动为实例创建如下系统帐户（用户不可使用），用于给数据库实例提供完善的后台运维管理服务。 注意 删除、重命名、修改这些帐户的密码和权限信息，会导致实例运行异常，请谨慎操作。 rdsAdmin：管理帐户，拥有最高的superuser权限，用于查询和修改实例信息、故障排查、迁移、恢复等操作。 rdsRepl：复制帐户，用于只读节点在主实例上同步数据。 rdsBackup：备份帐户，用于后台的备份。 rdsMetric：指标监控帐户，用于watchdog采集数据库状态数据。 rdsProxy：数据库代理帐户，该帐户在开通读写分离时才会自动创建，用于通过读写分离地址连接数据库时鉴权使用。

本小节介绍Web应用防火墙计费类常见问题。 一个域名包支持多少个二级域名？ 一个域名包支持包含1个一级域名（www.baidu.com）以及这个一级域名下二级域名（如 abc.baidu.com）总计10个域名的防护。 如果超过10个，需要购买实例增加域名包数量以支持域名防护。 选择带宽是否需要和网站业务带宽匹配？ 是的，Web应用防火墙最低标准带宽为200Mbps，真实业务带不能高于这个标准，如高于标准200Mbps，则需要拓展带宽包。 Web应用防火墙是付费产品吗？ 天翼云Web应用防火墙作为天翼云安全业务的一个重要产品，作为付费的增值业务服务产品提供给天翼云客户，需要用户购买，收费的标准详见计费模式。 产品是否可以试用，周期为多长时间？ 支持试用，周期为三个月。 线上是否支持试用订购？ 不支持。 试用暂时只支持线下渠道，需联系客户经理进行试用。 我已经购买了Web应用防火墙产品，是否意味着已开启安全防护？ 不是。购买成功后还需要一系列的配置才能开启安全防护，例如配置上传、下发、测试验证等操作。

数据库审计上传日志是通过公网的带宽还是内网的带宽？ 数据库审计上传日志是通过内网的带宽，不占用公网资源。 数据库审计到期后不续费会影响业务吗？ 购买的数据库审计到期后，如果未续费，您将不能使用数据库审计，不影响您的业务。为了数据库安全和资产安全，建议您续费使用数据库审计。

层 层是对函数运行时、函数公共依赖库、函数扩展等的分层拆分。通过层的拆分，可以实现层的共享和复用，减小代码包体积、提升函数部署速度。更多信息，请参考层管理。 触发器 在事件驱动模型中，事件源是事件的生产者，函数是事件的处理者（消费者），而触发器是连接两者的桥梁。触发器集中管理不同事件源的事件，当满足触发器定义的规则时，事件触发函数调用。更多信息，请参考触发器简介。 自定义域名 用户可以为配置了HTTP触发器的函数或应用绑定用户自己定义的域名。使用自定义域名，用户可以通过固定的、有特定标识的域名访问函数计算服务。也可以为自定义域名提供CDN加速，提供更好的用户体验。更多信息，请参考配置自定义域名。 弹性实例 函数计算的最主要实例类型。此类实例会根据实时业务流量弹性伸缩，适用于流量突发、计算密集等场景。更多信息，请参考实例类型及使用模式。 按量模式 顾名思义，根据业务量大小，按需由系统自动计算、分配和释放函数实例。更多信息，请参考实例类型及使用模式。 预留模式 将函数计算的实例分配和释放交给用户管理。当请求到达时，系统会优先将请求转发给预留的实例。当请求量超出预留实例处理能力时，再将剩余部分请求转发给按量模式的实例。 预留模式是常驻型的，可以消除冷启动高延迟对业务的影响。另一方面，预留模式也可能造成一些浪费，为了平衡响应速度和成本，可以设置定时伸缩策略。更多信息，请参考实例类型及使用模式。

域名组是多个域名或泛域名的集合。您可以通过添加域名组批量对域名或泛域名进行防护。 提供以下两种类型： 应用域名组：支持域名 或泛域名的防护；适用应用层协议，支持HTTP、HTTPS的应用协议类型；通过域名匹配。 网络域名组：支持单个域名 或多个域名的防护；适用网络层协议，支持所有协议类型；通过解析到的IP过滤。 匹配策略 应用域名组：CFW会将会话中的HOST字段与应用型域名进行比对，如果一致，则命中对应的防护规则。 网络域名组：CFW会在后台获取DNS服务器解析出的IP地址（每15s获取一次），当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前保存的结果中（已从DNS服务器解析中获取到IP地址），则命中对应的防护规则。 单个域名最大支持解析1000条IP地址；每个域名组最大支持解析1500条IP地址。解析结果达到上限，则无法再将新域名添加到域名组中。 说明 映射地址量大或映射结果变化快的域名建议优先使用应用域名组（如被内容分发网络（CDN）加速的域名）。 约束条件 域名组成员不支持添加中文域名格式。 域名组中所有域名被“防护规则”引用最多40000次，泛域名被“防护规则”引用最多2000次。 应用域名组（七层协议解析） 每个防火墙实例下最多添加500个域名组。 每个防火墙实例下最多添加2500个域名成员。 每个应用域名组中最多添加1500个域名成员。 网络域名组（四层协议解析） 每个防火墙实例下最多添加1000个域名成员。 每个网络域名组中最多添加15个域名成员。 每个域名组最多支持解析1500条IP地址。 每个域名最多支持解析1000条IP地址。

本文主要介绍PodSecurityPolicy配置。 Pod安全策略（Pod Security Policy） 是集群级别的资源，它能够控制Pod规约中与安全性相关的各个方面。 PodSecurityPolicy对象定义了一组Pod运行时必须遵循的条件及相关字段的默认值，只有Pod满足这些条件才会被系统接受。 v1.17.17版本的集群默认启用Pod安全策略准入控制组件，并创建名为pspglobal的全局默认安全策略，您可根据自身业务需要修改全局策略（请勿直接删除默认策略），也可新建自己的Pod安全策略并绑定RBAC配置。 说明 除全局默认安全策略外，系统为kubesystem命名空间下的系统组件配置了独立的Pod安全策略，修改pspglobal配置不影响kubesystem下Pod创建。 在Kubernetes 1.25版本中， PodSecurityPolicy已被移除，并提供Pod安全性准入控制器（Pod Security Admission）作为PodSecurityPolicy的替代，详情请参见 修改全局默认Pod安全策略 修改全局默认Pod安全策略前，请确保已创建CCE集群，并且通过kubectl连接集群成功。 步骤 1 执行如下命令： kubectl edit psp pspglobal 步骤 2 修改所需的参数，请参考PodSecurityPolicy。 Pod安全策略开放非安全系统配置示例 节点池管理中可以为相应的节点池配置allowedunsafesysctls，CCE从1.17.17 集群版本开始，需要在pod安全策略的allowedUnsafeSysctls中增加相应的配置才能生效，详情请参见[PodSecurityPolicy](

主机Agent的覆盖 HW和重保期间需要保证所有主机均接入服务器安全卫士服务，以提高服务器安全风险防御能力。 您可以登录服务器安全卫士控制台查看“Agent管理”页面，确认主机防护状态，显示所有 Agent 的状态，并可随时调整 Agent 运行模式，导出 Agent 运行日志与报表，随时分析解决问题。 发现未安装服务器安全卫士主机，消除防护盲点 主机发现这个功能就是在用户网络环境内通过已经安装了Agent 的主机发现未安装 agent 的主机，帮用户更全面的了解其网络环境内的主机资源。 在用户的IT 运维环境中会在一部分主机上部署Agent，用户就需要能够知道还有哪些主机没有部署 Agent（一方面是用户很多时候都不知道在自己的网络环境中有多少主机，另一方面用户也会有一些主机新上线）。 执行系统管理主机发现扫描任务新建扫描，新建扫描功能可以让用户根据其需求配置一个扫描任务。所有发现的网络环境中，未安装 Agent 的主机资产。可以根据首次发现时间和最后发现时间等字段进行过滤，筛选出想要的未安装 Agent 主机列表。 完善安全防护配置并实时处理告警 全面开启入侵检测功能。 服务器安全卫士的入侵检测通用功能，包括暴力破解、异常登录、反弹shell等。 以旗舰版为例，入侵检测模块主要包含暴力破解、异常登录、反弹shell、本地提权、后门检测、Web后门、可疑操作、Web命令执行八大功能。

本节介绍如何开启勒索防护并处理勒索告警。 若能及时识别并隔离勒索攻击，将能大大降低被攻击的概率。服务器安全卫士（原生版）通过在关键位置投放诱饵文件，实时监控诱饵文件的改动，一旦单位时间内多个诱饵文件连续发生改动，立即产生报警，终止修改诱饵文件的进程，并隔离进程对应的文件，实现对未知勒索病毒的检测和查杀能力。 通过启用勒索诱饵防护，可以增加勒索防护能力，从而降低业务受损风险。 启用诱饵防护 您可以根据业务需求，配置诱饵文件防护目录。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“设置中心 > 安全配置”，进入安全配置页面。 3. 找到“勒索诱饵防护”模块的“配置规则”按钮。 4. 在页面右侧弹出的防护设置页面，配置防护参数。 参数说明： 参数 说明 启用诱饵防护 自动在系统关键位置投放诱饵文件，实时捕捉勒索行为并进行阻断。 病毒处置方式 配置发现勒索病毒文件后的处理方式。支持手动处理和自动隔离。 手动处理：检测出勒索病毒文件后，仅产生告警。需手动在控制中心对勒索告警进行处理，支持隔离、删除、信任，详细操作请参见[处理勒索告警](

本章节介绍如何对数据库实例绑定公网IP。 操作场景 关系型数据库实例创建成功后，默认未开启公网访问功能（即未绑定弹性公网IP）。关系型数据库服务支持用户绑定弹性公网IP，在公共网络来访问数据库实例，绑定后也可根据需要解绑。 注意事项 您需要设置安全组，开通需访问数据库的IP地址和端口，才可以访问数据库实例。在访问数据库前，您需要将访问数据库的IP地址，或者IP段加安全组入方向的访问规则。 公网访问会降低实例的安全性，请谨慎选择。为了获得更快的传输速率和更高的安全级别，建议您将应用迁移到与您的关系型数据库在同一区域的弹性云服务器上。 绑定弹性公网IP 步骤 1 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 步骤 2 在左侧导航栏，单击“连接管理”，单击“绑定弹性公网IP”。 步骤 3 在弹出框的弹性公网IP地址列表中，选择目标弹性公网IP，单击“确定”，提交绑定任务。 如果没有可用的弹性公网IP，您可单击“查看弹性公网IP”，获取弹性公网IP。 步骤 4 在“连接管理”页面，查看绑定成功的弹性公网IP。 您也可以在“任务中心”页面，查看“实例绑定弹性公网IP”任务的执行进度及结果。

适用于：企业类用户、教育类用户、医疗类用户、政府类用户等。 （1）企业类用户 企业需要一个门户网站进行信息宣传，翼建站提供多种pc+手机网站模式，可嵌入微信公众号，进行多渠道宣传，安全性要求相对低。 （2）教育类用户 根据达标校考核标准，各教育机构有要求需要一个门户网站。目前很多学校都是较为老旧的网站系统，安全性，页面样式较为落后。目前我们提供最新的安全框架，新的页面风格。网安经常会进行扫描，安全性要求高。 （3）医疗类行业 大部分的医院都有网站，但存在安全隐患及系统老旧问题。网安经常会进行扫描，安全性要求高。 （4）政府类用户 政府类用户目前有些用户会选择将网站迁移到数办，现今独立建站的用户较少。政府类用户安全性要求极高，需要不断更新网站系统。

基于安全因素考虑，目前已禁用该命令。您可以通过登录海量文件服务控制台查看账号下所有的文件系统。

相关操作 配置主机授权后，您可以取消主机授权，取消主机授权后，将不能完全扫描出主机的安全风险。

相关操作 配置主机授权后，您可以取消主机授权，取消主机授权后，将不能完全扫描出主机的安全风险。

本节主要介绍配置域名映射 对于开启了公网访问的应用组件，除了在ServiceStage定义域名外，还需在域名服务提供商处进行域名映射。 前提条件 自动生成的域名仅7天有效期，在域名有效期（ 7天）过后，需修改为自定义域名。 对于已创建的应用，状态需为“运行中”才可修改域名。 已在域名提供者处获取域名。 已获取应用组件绑定的ELB的弹性公网IP。 操作步骤 1、登录ServiceStage控制中心，选择“应用管理 > 应用列表”，可查看到所有应用。 2、单击应用名称，进入应用“概览”页。 3、在“环境视图”页签，选择“环境”，可以看到已经部署在该环境下的应用组件。 4、单击应用组件名称，进入应用组件实例“概览”页。 5、设置域名： 选择“访问方式 > 设置域名”，输入已获取的“应用域名”。 （可选）设置“对外协议” 选择“ HTTP”，会存在安全风险，建议优先选择使用安全的“ HTTPS”方式。 选择“ HTTPS”，单击“使用已有”选择已经创建的证书。 若证书不存在，请单击“新创建”创建新的服务器证书。在域名提供者处进行域名映射配置。 这里以使用DNS服务为例，具体操作请参考添加记录集。

终端节点说明 主要作用：用户信息的发送和接收，信令信息的控制处理、安全保护等作用。 终端节点地址：

参数 参数说明 取值样例 用户类型 请选择“系统用户”。 系统用户 用户名称 填写新建用户的名称（非登录名）。 登录名 填写新建用户的登录名称。 Test 密码 填写新建用户的密码。 再次输入密码 二次填写新建用户的密码。 手机号 填写新建用户的手机号码。 13000000000 固定电话 填写新建用户的固定电话号码。 010XXXXXXXX 电子邮箱 填写新建用户的电子邮箱。 Test@chinatelecom.cn 资产组 选择新建用户所属的资产组。 资产组 地域 选择新建用户所在的地域，仅支持选择中国境内地区。 中国北京 安全域 选择新建用户所属的域。 安全域 专业 选择新建用户的专业。 数据 角色 选择新建用户的角色，角色配置请参考： 角色管理 章节 普通用户 授权截止时间 选择新建用户的到期时间，请谨慎选择，到期后不可再次登录。

步骤说明 在目标VPC中的ECS实际中添加入方向安全组规则，用于放行私网NAT过来的访问流量。 操作步骤 具体操作参见添加安全组规则。 步骤九：测试连通性 步骤说明 我们通过验证弹性云主机是否可以通过私网NAT网关访问另一个VPC的ECS服务，来测试网络连通性。 操作步骤 1. 登录天翼云控制台，选择”计算>弹性云主机”。 2. 进入弹性云主机控制台，选择准备工作中创建的弹性云主机，点击右侧“远程登录”登录弹性云主机。 3. 登录完成，通过nc访问的云资源DNAT后的地址及端口，测试云主机是否能够通过私网NAT网关访问。 说明弹性云主机可以通过转换后的中转IP地址，实现重叠地址段的服务访问。

本章节主要介绍翼MapReduce的Web UI便捷访问特性。 大数据组件都有自己的WebUI页面管理自身系统，但是由于网络隔离的原因，用户并不能很简便地访问到该页面。如访问HDFS的WebUI页面，传统的操作方法是需要用户创建ECS，使用ECS远程登录组件的UI，这使得组件的页面UI访问很是繁琐，对于很多初次接触大数据的用户很不友好。 翼MR提供了基于弹性公网IP来便捷访问组件WebUI的安全通道，并且比用户自己绑定弹性公网IP更便捷，只需界面鼠标操作，即可简化原先用户需要自己登录虚拟私有云添加安全组规则，获取公网IP等步骤，减少了用户操作步骤。分析集群Hadoop、Spark、HBase、Hue及流式集群Storm，都可以在Manager上找到组件页面入口，快速访问。

本页介绍了SSL证书产品的基本定义。 SSL证书是用于在Web服务器与浏览器以及客户端之间建立加密链接的加密技术，通过配置和应用SSL证书来启用HTTPS协议，来保证互联网数据传输的安全，全球每天有数以亿计的网站都是通过HTTPS来确保数据安全，保护用户隐私。

前提条件 云主机的状态为“运行中”。 需保证C盘可写入，且剩余空间大于300MB。 云主机使用的VPC网络DHCP不能禁用。 云主机网络正常通行。 云主机安全组出方向规则满足如下要求： − 协议：TCP − 端口范围：80 − 远端地址：169.254.0.0/16 如果您使用的是默认安全组出方向规则，则已经包括了如上要求，可以正常初始化。默认安全组出方向规则为： − 协议：ALL − 端口范围：ALL − 远端地址：0.0.0.0/16 操作步骤 1. 检查云主机是否已安装密码重置插件CloudResetPwdAgent和CloudResetPwdUpdateAgent。检查方法如下： 查看任务管理器，如果找到cloudResetPwdAgent服务和cloudResetPwdUpdateAgent服务，如下图所示，表示云主机已安装密码重置插件。 判断是否已安装插件 − 是，结束。 − 否，执行2。 2. 下载一键式重置密码插件。请参考获取一键式重置密码插件，下载对应的一键式重置密码插件CloudResetPwdAgent.zip并完成完整性校验。 安装一键式重置密码插件对插件的具体放置目录无特殊要求，请您自定义。 说明： 云主机需要绑定弹性公网IP才能自动更新一键式重置密码插件。 3. 安装一键式重置密码插件。 a. 依次双击“CloudResetPwdAgent.Windows”和“CloudResetPwdUpdateAgent.Windows”文件夹下的“setup.bat”，安装密码重置插件。 b. 查看任务管理器，检查密码重置插件是否安装成功。 如果在任务管理器中查找到了cloudResetPwdAgent服务和cloudResetPwdUpdateAgent服务，表示安装成功，否则安装失败。 说明： 如果密码重置插件安装失败，请检查安装环境是否符合要求，并重试安装操作。

本节介绍漏洞扫描服务主要的应用场景。 Web漏洞扫描应用场景 网站的漏洞与弱点易于被黑客利用，形成攻击，带来不良影响，造成经济损失。 常规漏洞扫描 丰富的漏洞规则库，可针对各种类型的网站进行全面深入的漏洞扫描，提供专业全面的扫描报告。 最新紧急漏洞扫描 针对最新紧急爆发的CVE漏洞，安全专家第一时间分析漏洞、更新规则，提供快速专业的CVE漏洞扫描。 主机漏洞扫描应用场景 运行重要业务的主机可能存在漏洞、配置不合规等安全风险。 支持深入扫描 通过配置验证信息，可连接到服务器进行OS检测，进行多维度的漏洞、配置检测。 支持内网扫描 可以通过跳板机方式访问业务所在的服务器，适配不同企业网络管理场景。 弱密码扫描应用场景 主机或中间件等资产一般使用密码进行远程登录，攻击者通常使用扫描技术来探测其用户名和弱口令。 多场景可用 支持操作系统(RDP协议、SSH协议)、数据库（如Mysql、Redis）等常见中间件服务的弱口令检测。 丰富的弱密码库 丰富的弱密码匹配库，模拟黑客对各场景进行弱口令探测。 中间件扫描应用场景 中间件可帮助用户灵活、高效地开发和集成复杂的应用软件，一旦被黑客发现漏洞并利用，将影响上下层安全。 丰富的扫描场景 支持主流Web容器、前台开发框架、后台微服务技术栈的版本漏洞和配置合规扫描。 多扫描方式可选 支持通过标准包或者自定义安装等多种方式识别服务器的中间件及其版本，全方位发现服务器的漏洞风险。

本节介绍下一代防火墙高可用部署方案。 部署方案 防火墙拉起时使用的子网需避免与客户业务网络处于同一子网，建议新起一段管理子网专用于防火墙管理，作为单点跳转使用；trust域所在子网需与客户业务子网互通。 装好NF镜像后，单台需要新增至少3张网卡，一张trust、一张untrust、一张dmz的VRRP心跳口专用网卡，结合初始拉起镜像时自带的主网卡作为M口管理，单台设备共计需要4张网卡（单臂部署则需要三张）。 在虚拟云网络中至少申请三个虚IP作为两设备间的两两网卡绑定的虚拟切换地址。 前提条件 已完成主备NF的部署，收集NF防护云服务器的一些信息；服务器站点以及端口和对应的主机的地址。 部署前检查控制台环境。 1. 确保用户服务器站点没过NF设备前，是能正常访问的。 2. 确保防火墙与客户业务是否处于同一VPC （与客户业务处在不同VPC得做对等连接）。 3. NF设备和服务器安全组是否做了限制。 注意 安全组配置：请确保防火墙VRRP所绑定网卡处于同一安全组，且将VRRP报文通报端口置于放通状态。 网络规划 子网及示例IP规划如下： 网卡 子网 NF1 IP NF2 IP 虚拟IP Manager 192.168.0.0/24 192.168.0.5 192.168.0.9 Turst 192.168.2.0/24 192.168.2.5 192.168.2.6 192.168.2.7 Untrust 192.168.3.0/24 192.168.3.3 192.168.3.4 192.168.3.5 DMZVRRP 192.168.4.0/24 192.168.4.5 192.168.4.6 192.168.4.7

Redis实例每个DB空间大小和选择DB？ 每个分布式缓存Redis版有256个DB，从DB0到DB255。每个DB没有单独的内存占用量限制，DB可以使用的内存容量受Redis实例的总内存限制。 您可以使用SELECT命令在不同DB之间切换。例如，要切换到DB108，可以使用如下命令 select 108 为什么实例实际可用内存比申请规格小而且已使用内存不为0？ 系统开销会占用部分资源，主备实例的持久化也需要一部分资源，因此实际可使用内存会比申请规格略小。 实例无法删除是什么原因？ 当实例处于运行中时才能执行删除操作。 是否支持跨可用区部署？ 标准版主备与集群版主备支持多可用区部署，在创建实例时可选择跨可用区部署。 实例是否支持变更可用区？ 不支持变更可用区，如需要变更，请重新创建实例 Redis实例是否支持读写分离？ 目前暂不支持读写分离 Redis的安全加固方面有哪些建议？ 访问控制：在 Redis 配置中启用密码认证，设置一个强密码来限制对 Redis 实例的访问。可以在 Redis 配置文件的 requirepass 参数中设置密码，并使用 AUTH 命令在客户端进行身份验证。此外，确保只允许受信任的客户端访问 Redis，通过配置 bind 参数限制可连接的 IP 地址。 此外将 Redis 实例放置在安全的网络环境中，例如通过防火墙或安全组设置适当的网络策略，限制对 Redis 端口的访问。只允许需要访问 Redis 的受信任主机或网络访问 Redis 实例。

本章节为您介绍运维日志相关内容。 运维日志模块是保障数据库运维操作安全和合规的重要工具，通过记录和分析与数据库运维相关的操作日 志 ，帮助您确保运维操作的透明性和合法性。 该模块提供详细的日志信息和多条件筛选功能 ，支持安全 监控和问题排查 ，确保运维操作的合规性 ，有效提升数据库的运维管理水平。 运维日志主要包含 ： 身份权限相关日志 账号过期相关日志 僵尸账号相关日志 安全认证相关日志 登录超时相关日志 强管控阻断相关日志 检索运维日志 1.在左侧菜单栏选择“查询分析 > 运维日志”进入运维日志页面。 2.设置查询条件（如时间范围、资产、操 作类型等） ，单击“搜索”即可查询相关运维日志。 3.可单击查询条件下方的“更多条件”，在更多条件对话框中勾选需要的查询条件 ，单击“确认”即可添 加相应的查询条件 ，单击“恢复默认”可以恢复至默认查询条件。 查看运维日志详情 1.在左侧菜单栏选择“查询分析 > 运维日志”进入运维日志页面。 2.在运维日志列表中，单击日志条目右侧的“详情”可以查看该运维记录的详细信息，包括运维记录的基本信息、客户端信息、服务端信息、 请求详情、返回详情。 3.单击运维日志详情窗口右下角的“上一条”或“下一条”可切换查看临近的运维日志。 4.在日志详细中 ，单击“取证”即可弹出下载框 ，等待文件生成成功后 ，单击“下载”即可下载.png 图片格式的运维日志详情文件。

配置项 描述 实例名称 填写集群的实例名称 企业项目 按需选择企业项目 计费模式 默认使用按需计费模式 Kubernetes版本 显示当前Serverless集群支持的Kubernetes版本 部署方式 支持单可用区部署、多可用区部署 可用区 按需选择可用区 API Server访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。同时，您也可以选择是否使用EIP暴露API Server，选择不开放时，则无法通过外网访问集群API Server 虚拟私有云 集群所使用的VPC，支持使用已有的VPC或创建虚拟私有云 所在子网 集群所使用的子网，支持使用已有的子网或创建子网 默认安全组 安全组是一种虚拟防火墙，能够控制实例的出入站流量，Serverless集群会自动生成一条默认的安全组，以确保容器之间能正常通信 启用IPv6 启用IPv6双栈将创建双栈Serverless集群 Service CIDR 设置Service CIDR。Service网段不能与VPC及VPC内已有集群使用的网段重复，并且Service地址段也不能和Pod地址段重复。集群创建成功后不能再修改该网段 自定义证书SAN 按需添加自定义的IP或域名，以实现对客户端的访问控制 集群本地域名 填写集群的本地域名 集群删除保护 设置是否启用集群删除保护，防止通过控制台或者API误删除集群 集群标签 为集群绑定标签，作为云资源的标识 集群描述 按需对集群进行描述说明 时区 集群所要使用的时区

本章节主要介绍如何删除集群。 当用户不再需要使用某个集群时，可以参考如下操作删除该集群。 对系统的影响 成功删除的集群无法恢复，同时集群中的用户数据、自动快照也会自动删除且无法再访问。删除集群时不会删除手动快照。 删除集群 1.登录数据仓库服务(DWS) 管理控制台。 2.单击管理控制台右上角的，选择区域。 3.在“集群管理”页面，查找到所要删除的集群。 4.在集群所在行，单击“更多 > 删除”。 5.在弹出对话框中，再次进行删除确认，您可以选择是否执行以下操作： 立即创建集群快照 如果集群状态无异常，您可以单击“立即创建集群快照”，然后在弹出窗口中输入快照名称并单击“确定”，为待删除的集群创建一个最新的快照。等快照创建完成后，请再返回“集群管理”页面执行删除集群的操作。 释放与集群绑定的弹性IP 如果集群绑定了弹性IP，建议您勾选“释放与集群绑定的弹性IP”，将待删除集群的弹性IP资源释放。 6.单击“是”，删除此集群。 如果待删除集群使用了自动创建的安全组，且该自动创建的安全组没有被别的集群使用，删除集群时，该安全组也会被一并删除。

本文帮助您更快了解如何规划VPC网段和数量。 如何规划VPC网段 VPC支持的网段为10.0.0.0/829、172.16.0.0/1229、192.168.0.0/1629，子网的网段须在VPC网段范围内，且子网的掩码范围为：子网所在VPC掩码~29。VPC网段、子网网段一旦创建后无法修改，请提前合理规划网络地址。 VPC和其他VPC、线下IDC机房进行通信时，需要保证两端的网段不能重叠。 如何规划VPC数量 默认情况下，不同资源池的VPC之间内网不互通，同资源池的不同VPC内网不互通且是逻辑隔离的，同VPC下不同子网之间默认互通。规划虚拟私有云VPC的数量通常取决于业务需求和网络设计。以下是一些指导原则，可以帮助您规划VPC的数量： 规模和复杂性：VPC的数量可以根据自身业务的规模和复杂性进行规划。当各业务之间没有网络隔离需求时，可以只使用一个VPC。而对于有复杂网络需求的业务系统，可能需要多个VPC来满足不同的部门、项目的要求实现隔离。 部门/项目隔离：如果组织有多个部门或项目，每个部门或项目可能需要独立的网络环境和资源。在这种情况下，可以为每个部门或项目创建一个独立的VPC，以实现网络隔离和资源分离。 安全和合规性：某些组织可能有特定的安全或合规性要求，需要严格隔离敏感数据或资源。在这种情况下，可以使用多个VPC来创建安全区域，每个VPC可以具有独立的网络访问控制策略和安全规则。 地理位置和可用性：通过将VPC部署在多个地理位置或云服务提供商的区域中，即使一个地点或区域发生问题，其他区域的VPC仍然可以继续提供服务，确保业务的连续性和可用性。 性能和流量管理：根据网络流量的特点和负载要求，可以设计多个VPC来实现流量的管理和控制。例如，将不同类型的流量分离到不同的VPC中，以提供更好的性能和带宽控制。 注意： 创建太多的VPC可能会增加管理复杂性和成本。因此，在规划VPC数量时要综合考虑组织的需求、管理能力和预算限制，根据组织需求和最佳实践进行详细的网络设计和VPC数量规划。

使用服务端加密方式上传文件（API） 用户也可以通过调用OBS API接口，选择服务端加密SSEKMS方式（SSEKMS方式是指OBS使用KMS提供的密钥进行服务端加密）上传文件，详情请参考《对象存储服务API参考》。 EVS服务端加密 简介 当您由于业务需求需要对存储在云硬盘的数据进行加密时，EVS为您提供加密功能，可以对新创建的云硬盘进行加密。加密云硬盘使用的密钥由数据加密服务（DEW，Data Encryption Workshop）中的密钥管理（KMS，Key Management Service）功能提供，无需您自行构建和维护密钥管理基础设施，安全便捷。 哪些用户有权限使用云硬盘加密 安全管理员（拥有“Security Administrator”权限）可以直接授权EVS访问KMS，使用加密功能。 普通用户（没有“Security Administrator”权限）使用加密功能时，根据该普通用户是否为当前区域或者项目内第一个使用加密特性的用户，作如下区分： 是，即该普通用户是当前区域或者项目内第一个使用加密功能的，需先联系安全管理员进行授权，然后再使用加密功能。 否，即区域或者项目内的其他用户已经使用过加密功能，该普通用户可以直接使用加密功能。 对于一个租户而言，同一个区域内只要安全管理员成功授权EVS访问KMS，则该区域内的普通用户都可以直接使用加密功能。 如果当前区域内存在多个项目，则每个项目下都需要安全管理员执行授权操作。 云硬盘加密的密钥 加密云硬盘使用KMS提供的密钥，包括默认主密钥和用户主密钥 (CMK，Customer Master Key)： 默认主密钥：由EVS通过KMS自动创建的密钥，名称为“evs/default”。默认主密钥不支持禁用、计划删除等操作。 用户主密钥：由用户自己创建的密钥，您可以选择已有的密钥或者新创建密钥。 使用用户主密钥加密云硬盘，若对用户主密钥执行禁用、计划删除等操作，将会导致云硬盘不可读写，甚至数据永远无法恢复，具体请参见下表。 用户主密钥不可用对加密云硬盘的影响 用户主密钥的状态 对加密云硬盘的影响 恢复方法 禁用 若加密云硬盘此时挂载至云服务器，则该云硬盘仍可以正常使用，但不保证一直可以正常读写。 若卸载加密云硬盘后，再重新挂载至云服务器将会失败。 启用用户主密钥 计划删除 若加密云硬盘此时挂载至云服务器，则该云硬盘仍可以正常使用，但不保证一直可以正常读写。 若卸载加密云硬盘后，再重新挂载至云服务器将会失败。 启用用户主密钥 已经被删除 若加密云硬盘此时挂载至云服务器，则该云硬盘仍可以正常使用，但不保证一直可以正常读写。 若卸载加密云硬盘后，再重新挂载至云服务器将会失败。 取消删除用户主密钥 云硬盘数据永远无法恢复。 说明 用户主密钥为付费使用，若为按需计费的密钥，请及时充值确保帐户余额充足，若为包年/包月的密钥，请及时续费，以避免加密云硬盘不可读写导致业务中断，甚至数据永远无法恢复。

本文介绍如何为容器集群安装Sever/Agent。 需要为容器集群安装Sever/Agent，将容器集群纳管到容器安全卫士控制台后，才能对容器集群进行安全防护。 前提条件 已购买容器安全卫士实例。 安装Sever/Agent 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“安装配置 > 组件安装”。 3. 单击“集群组件部署”，进入集群组件部署页面，获取集群组件部署脚本，并按页面提示进行集群组件的安装。 4. 在左侧导航栏选择“安装配置 > 运行状态”，更新并查看节点防护状态。

为了极致的使用体验,本文帮助您更快了解如何规划VPC网段、数量。 相关描述 为了能够快捷的将业务迁移上云，您需要合理的规划VPC网络，本文帮助您更快了解如何规划VPC网段、数量。 如何规划VPC网段 VPC支持的网段为10.0.0.0/828、172.16.0.0/1228、192.168.0.0/1628，子网的网段须在VPC网段范围内，且子网的掩码范围为：子网所在VPC掩码~28。部分资源池VPC网段掩码支持29、子网网段掩码支持29，请以控制台实际功能为准。如果使用的网段不在三个网段内，建议您提交工单申请。 VPC网段、子网网段一旦创建后无法修改，请提前合理规划网络地址。 VPC和其他VPC、线下IDC机房进行通信时，需要保证两端的网段不能重叠。 如何规划VPC数量 默认情况下，不同资源池的VPC之间内网不互通，同资源池的不同VPC内网不互通且是逻辑隔离的，同VPC下不同子网之间默认互通。规划虚拟私有云VPC的数量通常取决于业务需求和网络设计。以下是一些指导原则，可以帮助您规划VPC的数量： 规模和复杂性：VPC的数量可以根据业务的规模和复杂性进行规划。当各业务之间没有网络隔离需求时，您可以只使用一个VPC即可。而对于有复杂网络需求的业务系统，可能需要多个VPC来满足不同的部门、项目或安全区隔的需求。 部门/项目隔离：如果组织有多个部门或项目，每个部门或项目可能需要独立的网络环境和资源。在这种情况下，可以为每个部门或项目创建一个独立的VPC，以实现网络隔离和资源分离。 安全和合规性：某些组织可能有特定的安全或合规性要求，需要严格隔离敏感数据或资源。在这种情况下，可以使用多个VPC来创建安全区域，每个VPC可以具有独立的网络访问控制策略和安全规则。 地理位置和可用性：通过将VPC部署在多个地理位置或云服务提供商的区域中，即使一个地点或区域发生问题，其他区域的VPC仍然可以继续提供服务，确保业务的连续性和可用性。 性能和流量管理：根据网络流量的特点和负载要求，可以设计多个VPC来实现流量的管理和控制。例如，将不同类型的流量分离到不同的VPC中，以提供更好的性能和带宽控制。 需要注意的是，创建太多的VPC可能会增加管理复杂性和成本。因此，在规划VPC数量时要综合考虑组织的需求、管理能力和预算限制，根据组织需求和最佳实践进行详细的网络设计和VPC数量规划。

本小节介绍在Windows主机上设置口令复杂度策略。 为了确保系统的安全性，建议设置的口令复杂度策略为：口令最小长度不小于8位，至少包含大写字母、小写字母、数字和特殊字符中的三种。 设置本地安全策略中的账户策略步骤如下： 1、以管理员账户Administrator登录。单击“开始 > 控制面板 > 系统和安全 > 管理工具”，进入管理工具文件夹，双击“本地安全策略”，打开“本地安全策略”控制面板。也可直接在开始菜单栏输入命令secpol.msc直接进入本地安全策略控制面板，如图所示。 输入命令 2、选择“账户策略 > 密码策略”后执行以下操作，如图所示。 双击“密码必须符合复杂性要求”，勾选“已启用”选项，单击“确定”，启用“密码必须符合复杂性要求”策略。 双击“密码长度最小值”，填入长度（建议大于等于8），单击“确定”，设置“密码长度最小值”策略。 本地安全策略配置项 3、运行gpupdate命令刷新策略，刷新成功后，如图所示，以上设置被应用与系统中。 执行结果