添加事件源 创建API API分组、自定义认证函数、后端函数均创建成功以后，可以创建API，设置安全认证为自定义认证，并定义后端服务类型为FunctionGraph，步骤如下。 1. 登录APIG控制台，选择已创建的APIG专享版实例，并在导航栏选择“API管理 > API列表”，单击右上方的“创建API”。 2. 配置API基本信息。 1. API名称：输入您自定义的名称，例如APItest。 2. 所属分组：请选择上述操作中创建的API分组“APIGrouptest”。 3. URL：请求方法选择“ANY”，请求协议选择“HTTPS”，请求路径填写“/testAPI”。 4. 网关响应：选择“default”。 5. 安全认证：选择“自定义认证”。 6. 自定义认证：选择上述操作中创建的自定义认证“Authorizertest”。 3. 单击“下一步”，进行后端配置。 1. 后端服务类型：选择“FunctionGraph” 2. 函数URN：添加创建的业务函数 3. 版本或别名：选择“latest”版本 4. 调用类型：选择“Synchronous” 4. 单击下一步，完成API创建。 5. 继续在当前页面，单击“发布”，将已创建的API发布至RELEASE环境。 调试并调用API API网关提供了在线调试的功能，因此一般建议在API网关上完成API配置之后，可以先通过此功能确认API是否配置成功。 1. 登录APIG控制台，选择已创建的APIG专享版实例，并左导航栏选择“API管理 > API列表”，单击进入已创建的API“APItest”，右上角单击“调试”。 2. 在本案例中，需要添加Headers参数，完成后单击“调试”。 1. 参数名：输入“auth” 2. 参数值：输入“abc” 3. API返回内容即为前面步骤中创建的业务函数返回内容。

STS即Secure Token Service 是一种安全凭证服务，可以使用STS来完成对于临时用户的访问授权。对于跨用户短期访问对象存储资源时，可以使用STS服务。这样就不需要透露主账号AK/SK，只需要生成一个短期访问凭证给需要的用户使用即可，避免主账号AK/SK泄露带来的安全风险。 初始化STS服务 python accesskey ' ' secretkey ' ' endpoint ' ' region 'cn' ​ self.stsclient boto3.client( 'sts', awsaccesskeyidaccesskey, awssecretaccesskeysecretkey, endpointurlendpoint, regionnameregion) 获取临时token python def assumerole(self): print('assumerole') bucket ' ' policy r'{"Version":"20121017","Statement":{"Effect":"Allow","Action":["s3:"]' r',"Resource":["arn:aws:s3:::%s","arn:aws:s3:::%s/"]}}' % (bucket, bucket) rolearn "arn:aws:iam:::role/ " rolesessionname " " ​ print('policy: %s' % policy) response self.stsclient.assumerole( Policypolicy, RoleArnrolearn, RoleSessionNamerolesessionname, ) print('ak %s' % response['Credentials']['AccessKeyId']) print('sk %s' % response['Credentials']['SecretAccessKey']) print('token %s' % response['Credentials']['SessionToken']) 请求参数 参数 类型 描述 是否必要 RoleArn String 角色的ARN，在控制台创建角色后可以查看 是 Policy String 角色的policy，需要是json格式，限制长度1~2048 是 RoleSessionName String 角色会话名称，此字段为用户自定义，限制长度2~64 是 DurationSeconds Integer 会话有效期时间，默认为3600s，范围15分钟至12小时 否

本节主要介绍查看IAM操作记录 开通云审计服务 云审计服务（Cloud Trace Service，以下简称CTS），是安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 为了方便查看IAM的关键操作事件，例如创建用户、删除用户等，管理员需开启云审计服务。 操作步骤 步骤 1 管理员登录控制台。 步骤 2 选择“服务列表 > 管理与监管 > 云审计服务2.0”，如之前账号未开通过云审计服务，会进入云审计服务授权页面，单击“同意授权并开通”，进入云审计服务页面。 步骤 3 在贵州区域创建1个管理追踪器，用于记录IAM服务的管理操作事件。 在IAM进行操作，例如创建用户、用户组等，CTS将会记录这些操作。CTS支持记录的IAM相关的操作事件，如下表所示。 表 CTS支持的IAM操作列表 操作名称 资源类型 事件名称 用户登录 user login 用户登出 user logout 创建用户 user createUser 修改用户信息 user updateUser 删除用户 user deleteUser 创建AK/SK user createCredential、addCredential 删除AK/SK user deleteCredential 停用、启用AK/SK user changeCredentialStatus 修改AK/SK user updateCredential 创建用户组 userGroup createUserGroup 更新用户组 userGroup updateGroup、updateUserGroup 删除用户组 userGroup deleteUserGroup 添加用户到用户组 userGroup addUserToGroup、updateUser/updateUserGroup 从用户组删除用户 userGroup removeUserFromGroup、updateUser/updateUserGroup 创建委托 agency createAgency 修改委托 agency updateAgency 删除委托 agency deleteAgency 切换角色 agency switchRole Token createToken 创建自定义策略 role createRole 修改自定义策略 role updateRole 删除自定义策略 role deleteRole

本节主要介绍权限基本概念 权限 默认情况下，管理员创建的IAM子用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 权限的分类 权限根据授权精细程度分为角色和策略。 角色： IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于天翼云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色不能完全满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略： IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对云主机资源进行某一类指定的管理操作。 策略根据创建的对象，分为系统策略和自定义策略。 策略系统策略 云服务在IAM预置了常用授权项，称为系统策略。管理员给用户组授权时，可以直接使用这些系统策略，系统策略只能使用，不能修改。 如果管理员在IAM控制台给用户组或者委托授权时，无法找到特定服务的系统策略，原因是该服务暂时不支持IAM。

本章节主要介绍DDS数据迁移到DWS。 操作场景 CDM支持迁移文档数据库服务（Document Database Service，简称DDS）的数据到其他数据源，这里以数据仓库服务（Data Warehouse Service，简称DWS）为例，介绍如何使用CDM将DDS数据迁移到DWS，流程如下： 1.创建CDM集群并绑定EIP 2.创建DDS连接 3.创建DWS连接 4.创建迁移作业 前提条件 已DWS/DDS。 已获取DWS/DDS数据库的IP地址、端口、数据库名称、用户名、密码，且该用户拥有DWS/DDS数据库的读、写和删除权限。 创建CDM集群并绑定EIP 1.参考创建CDM集群，创建CDM集群。 关键配置如下： CDM集群的规格，按待迁移的数据量选择，一般选择cdm.medium即可，满足大部分迁移场景。 如果DDS和DWS属于相同的VPC，则创建CDM集群时选择同一个VPC，不用绑定EIP。子网、安全组可以选择与其中一个（DDS或DWS）集群的保持一致，再配置安全组规则允许CDM集群访问另一个服务（DWS或DDS）的集群。 如果DDS和DWS不在同一个VPC，则创建CDM集群时选择与DDS相同的VPC，再将CDM集群 解绑/绑定集群的EIP，CDM通过EIP访问DWS集群。 2.CDM集群创建完成后，选择集群操作列的“绑定弹性IP”，CDM通过EIP访问DWS。如果DDS与DWS在同一个VPC，则不用为CDM集群绑定EIP。 说明 如果用户对本地数据源的访问通道做了SSL加密，则CDM无法通过弹性IP连接数据源。

本章节向您介绍利用VPN连接打造云间互联通道的搭建方案。 步骤1进入VPN连接产品控制台 在任意二类节点的控制中心，进入“VPN”产品控制台。 步骤2创建VPN网关实例 在需要云间互联的节点中，分别创建VPN网关。 VPN网关可根据自身网络业务特征，选择不同的VPN网关计费类型。 若需要长期不间断地传输大量数据，可选择按带宽计费方式 若仅需要短期或偶尔传输少量数据，可选择按流量计费方式 此最佳实践操作中，均选择按流量计费方式。VPN网关创建成功后，如下图所示。 步骤3创建VPN连接实例 在需要云间互联的节点中，分别创建VPN连接。 VPN连接需要填入远端网关以及远端子网信息，以及IPSec VPN加密隧道密钥。 VPN连接创建成功后，如下图所示。 步骤4互通性验证 在创建VPN网关的VPC子网中，创建2台弹性云主机实例。 云主机实例的安全组将VPN连接的远端子网进行放通。 放通后，以ping方式进行验证，具体如下图所示。 经过以上验证，可以证明以上的VPN连接已完成互通能力搭建，可进行点对点安全加密通信。

本章节主要介绍使用Flink运行wordcount作业的操作指导。 前提条件 MRS集群中已安装Flink组件。 集群正常运行，已安装集群客户端，例如安装目录为“/opt/hadoopclient”。以下操作的客户端目录只是举例，请根据实际安装目录修改。 使用Flink客户端（MRS 3.x之前版本） 1. 以客户端安装用户，登录安装客户端的节点。 2. 执行以下命令，切换到客户端安装目录。 cd /opt/hadoopclient 3. 执行如下命令初始化环境变量。 source /opt/hadoopclient/bigdataenv 4.若集群开启Kerberos认证，需要执行以下步骤，若集群未开启Kerberos认证请跳过该步骤。 a.准备一个提交Flink作业的用户。 b.登录Manager，下载认证凭据。 登录集群的Manager界面，具体请参见访问MRSManager（MRS2.x及之前版本），选择“系统设置 > 用户管理”，在已增加用户所在行的“操作”列，选择“更多 > 下载认证凭据”。 c.将下载的认证凭据压缩包解压缩，并将得到的user.keytab文件拷贝到客户端节点中，例如客户端节点的“/opt/hadoopclient/Flink/flink/conf”目录下。如果是在集群外节点安装的客户端，需要将得到的krb5.conf文件拷贝到该节点的“/etc/”目录下。 d.配置安全认证，在“/opt/hadoopclient/Flink/flink/conf/flinkconf.yaml”配置文件中的对应配置添加keytab路径以及用户名。 security.kerberos.login.keytab: security.kerberos.login.principal: 例如： security.kerberos.login.keytab:/opt/hadoopclient/Flink/flink/conf/user.keytab security.kerberos.login.principal: test e.参考“组件操作指南 > 使用Flink > 参考 > 签发证书样例”章节生成“generatekeystore.sh”脚本并放置在Flink的客户端bin目录下，执行如下命令进行安全加固，请参考“组件操作指南 > 使用Flink > 安全加固 > 认证和加密”，password请重新设置为一个用于提交作业的密码。 sh generatekeystore.sh 该脚本会自动替换“/opt/hadoopclient/Flink/flink/conf/flinkconf.yaml”中关于SSL的值，针对MRS2.x及之前版本，安全集群默认没有开启外部SSL，用户如果需要启用外部SSL，请参考“组件操作指南 >使用Flink > 安全加固”进行配置后再次运行该脚本即可。 说明 generatekeystore.sh脚本无需手动生成。 执行认证和加密后会将生成的flink.keystore、flink.truststore、security.cookie自动填充到“flinkconf.yaml”对应配置项中。 f.客户端访问flink.keystore和flink.truststore文件的路径配置。 −绝对路径：执行该脚本后，在flinkconf.yaml文件中将flink.keystore和flink.truststore文件路径自动配置为绝对路径“/opt/hadoopclient/Flink/flink/conf/”，此时需要将conf目录中的flink.keystore和flink.truststore文件分别放置在Flink Client以及Yarn各个节点的该绝对路径上。 −相对路径：请执行如下步骤配置flink.keystore和flink.truststore文件路径为相对路径，并确保Flink Client执行命令的目录可以直接访问该相对路径。 i.在“/opt/hadoopclient/Flink/flink/conf/”目录下新建目录，例如ssl。 cd /opt/hadoopclient/Flink/flink/conf/ mkdir ssl ii. 移动flink.keystore和flink.truststore文件到“/opt/hadoopclient/Flink/flink/conf/ssl/”中。 mv flink.keystore ssl/ mv flink.truststore ssl/ iii. 修改flinkconf.yaml文件中如下两个参数为相对路径。 security.ssl.internal.keystore: ssl/flink.keystore security.ssl.internal.truststore: ssl/flink.truststore 5.运行wordcount作业。 须知 用户在Flink提交作业或者运行作业时，应具有如下权限： 如果启用Ranger鉴权，当前用户必须属于hadoop组或者已在Ranger中为该用户添加“/flink”的读写权限。 如果停用Ranger鉴权，当前用户必须属于hadoop组。 普通集群（未开启Kerberos认证） −执行如下命令启动session，并在session中提交作业。 yarnsession.sh nm " sessionname " flink run/opt/hadoopclient/Flink/flink/examples/streaming/WordCount.jar −执行如下命令在Yarn上提交单个作业。 flink run m yarncluster /opt/hadoopclient/Flink/flink/examples/streaming/WordCount.jar 安全集群（开启Kerberos认证） −flink.keystore和flink.truststore文件路径为绝对路径时： 执行如下命令启动session，并在session中提交作业。 yarnsession.sh nm " sessionname " flink run /opt/hadoopclient/Flink/flink/examples/streaming/WordCount.jar 执行如下命令在Yarn上提交单个作业。 flink run m yarncluster /opt/hadoopclient/Flink/flink/examples/streaming/WordCount.jar −flink.keystore和flink.truststore文件路径为相对路径时： 在“ssl”的同级目录下执行如下命令启动session，并在session中提交作业，其中“ssl”是相对路径，如“ssl”所在目录是“opt/hadoopclient/Flink/flink/conf/”，则在“opt/hadoopclient/Flink/flink/conf/”目录下执行命令。 yarnsession.sh t ssl/ nm " sessionname " flink run/opt/hadoopclient/Flink/flink/examples/streaming/WordCount.jar 执行如下命令在Yarn上提交单个作业。 flink run m yarncluster yt ssl/ /opt/hadoopclient/Flink/flink/examples/streaming/WordCount.jar 6.作业提交成功后，客户端界面显示如下。 详见下图： 在Yarn上提交作业成功 详见下图：启动session成功 详见下图： 在session中提交作业成功 7. 使用运行用户进入Yarn服务的原生页面，具体操作参考“组件操作指南 > 使用Flink > 查看Flink作业”，找到对应作业的application，单击application名称，进入到作业详情页面。 若作业尚未结束，可单击“Tracking URL”链接进入到Flink的原生页面，查看作业的运行信息。 若作业已运行结束，对于在session中提交的作业，可以单击“Tracking URL”链接登录Flink原生页面查看作业信息。 详见下图：application

约束与限制 密钥对仅支持远程登录Linux云主机。 密钥对只能在本区域的云主机使用。 通过管理控制台创建的基于SSH2协议的密钥对，仅支持“RSA2048”加解密算法。 通过外部导入的密钥对支持的加解密算法为： RSA1024 RSA2048 RSA4096 ECDSA256 ECDSA384 ECDSA512 ED25519256 为保证云主机安全，私钥只能下载一次，私钥丢失后将无法登录云主机，请您妥善保管。

虚拟私有云（Virtual Private Cloud，VPC），为云服务器、云容器、云数据库等云上资源构建隔离、私密的虚拟网络环境。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。此外，您还可以通过云专线、VPN等服务将VPC与传统的数据中心互联互通，灵活整合资源，构建混合云网络。

本节介绍IPSec VPN开通使用步骤。 IPSec VPN开通使用步骤： （1）创建IPSec VPN实例； （2）配置客户防火墙，与IPSec VPN实例对接； （3）设置IPSec VPN实例带宽； （4）设置桌面安全组与关闭Windows防火墙； （5）VPN接入云电脑。 注：可点击步骤链接，查看详细的操作说明。

AntiDDoS流量清洗计费类问题 天翼云所有节点都支持AntiDDoS流量清洗服务么？ 目前仅适用于广州4、苏州、华北、西安2、贵州、 成都3、 芜湖、 上海4、 杭州、 长沙2、 福州、 武汉2、 兰州、 南昌、北京2、深圳、西宁、重庆、乌鲁木齐（新疆）、青岛、 石家庄、 郑州、南宁、昆明、海口、中卫（银川）、太原、哈尔滨、天津、沈阳3、长春、内蒙3节点。 AntiDDoS服务是付费的吗? AntiDDoS服务作为安全服务的基础服务，目前属于免费服务。

规则白名单设置方法 1. 登录Web应用防火墙（原生版）控制台。 2. 在左侧导航栏，选择“防护配置 > 对象防护配置”进入防护配置页面，在“安全防护”页签定位到“防护白名单”模块，单击“前去配置”。 3. 单击“新建白名单”。 4. 进行白名单配置。 5. 单击“确定”，完成配置。

介绍云SSO的使用场景 使用场景 通过云SSO（SingleSignOn）可以创建用户和用户组，创建的用户通过指定的云SSO门户地址登录后，可集中管理和访问天翼云下多个帐号的资源。 云SSO可与满足条件的企业身份管理系统进行单点登录（SSO）配置，可以直接使用企业原有的身份管理系统，以云SSO用户身份访问天翼云账号，提升企业用户管理效率，降低安全风险。

参数 说明 地域 终端节点服务所在地域，页面左上角可切换地域。不同地域的资源之间内网不互通，为了最优化的性能，请选择靠近您的地域，以降低网络时延并提高访问速度。 名称 终端节点服务的名称。名称由数字、字母、中文、、组成，不能以数字、和开头。 VPC 终端节点服务所属虚拟私有云。 服务类型 终端节点服务的类型，当前支持“接口”类型终端节点服务。 IP地址类型 服务IP地址类型，IPV4：仅自持IPV4类型终端节点连接，实现IPV4地址私网访问服务，双栈：支持IPV4和IPV6类型终端节点连接，实现IPV4和IPV6地址的私网访问服务。选择双栈类型时，挂载的后端服务资源池必须也是双栈类型资源。 是否自动接收连接 是否自动接收终端节点与终端节点服务的连接，审核权由终端节点服务控制。 可选择“是”或“否”。选择“否”不自动接受连接，则创建的终端节点为“待审核”状态，需要终端节点服务审核后方可使用。 服务计费 是否开启服务计费，可选择“是”或“否”。 默认连接服务的终端节点费用有终端节点创建账户支付，如服务开启服务计费后，则连接服务的终端节点费用将由服务所在账户支付，功能仅创建时指定，服务创建后不可修改。 端口映射 终端节点服务与终端节点建立连接，支持通过TCP/UDP协议进行通信。 服务端口：终端节点服务绑定了后端资源，作为提供服务的端口。 终端端口：终端节点提供给用户，作为访问终端节点服务的端口。 服务端口和终端端口取值范围1～65535，单次操作最多可添加20条端口映射。 访问终端节点服务时，通过"终端端口 → 服务端口"的方式进行数据传输和通信。 后端资源类型 实际提供服务的后端资源。可创建为终端节点服务的后端资源包括： 云主机：作为服务器使用。 物理机：作为服务器使用。 虚拟IP：适用于需要主备高可靠的业务。 内网负载均衡：适用于高访问量业务和对可靠性和容灾性要求较高的业务。此处选择“内网负载均衡”。 说明：终端节点服务配置的后端资源所在安全组，安全组添加的规则是白名单，需要添加源地址为198.19.128.0/20的白名单入方向规则，详细操作请参考《虚拟私有云用户指南》中的 后端资源子网 选择后端资源所属的子网。 描述（可选） 可添加终端节点服务相关的描述。

本文为您介绍数据库审计的权限管理能力,支持通过IAM实现对数据库审计的访问控制、权限分配。 天翼云提供统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。通过IAM服务定义企业项目、创建子用户，轻松实现IAM子用户对数据库审计资源的访问控制、权限分配等。 默认情况下，天翼云主账号拥有管理员权限，而主账号创建的IAM用户没有任何权限。IAM用户需要加入用户组，并给用户组授权相应策略后，IAM用户才能获得策略对应的权限，才可以基于被授予的权限对云服务进行操作。 数据库审计支持企业项目管理，若您需要对数据库审计资源进行分组和管理，形成逻辑隔离，您可以创建企业项目，并将资源划分至不同的企业项目中，不同的企业项目可以绑定不同的用户组，并给用户组授予数据库审计产品的权限策略（包括系统策略和自定义策略），从而实现对特定资源的授权。 说明 仅“一类节点”区域的实例支持企业项目管理。 IAM应用场景 IAM策略主要面向同一主账号下，对不同IAM用户授权的场景： 您可以为不同操作人员或应用程序创建不同IAM用户，并授予IAM用户刚好能完成工作所需的权限，比如查看权限，进行最小粒度授权管理。 新创建的IAM用户可以使用自己的登录名和密码登录控制台，实现多用户协同操作时无需分享账号密码的安全要求。 数据库审计IAM策略说明 天翼云为数据库审计提供如下系统策略 。如果系统策略不满足授权要求，可以创建自定义策略 ，自定义策略是对系统策略的扩展和补充，详情请参见创建自定义策略。 策略名称 策略描述 类别 授权范围 数据库审计admin策略 数据库审计admin策略，拥有产品所有操作权限。 系统策略 全局级 数据库审计系统管理员策略 数据库审计系统管理员策略。 系统策略 全局级 数据库审计审计员策略 数据库审计审计员策略，只具备查看权限。 系统策略 全局级 数据库审计安全员策略 数据库审计安全员策略。 系统策略 全局级 数据库审计业务管理员策略 数据库审计业务员管理员策略，仅支持使用数据库审计实例，不支持订购相关操作。 系统策略 全局级

3、安全设置 连接安全性：该设置决定服务器连接是否加密。无：不加密；SSL/TLS：加密（推荐）；STARTTLS：连接以不加密开始，如果服务器支持，那么尝试加密。 验证方式：该设置是认证连接账号的方式。邮箱账户提供商会决定使用何种方式进行认证，您可以登录邮箱服务器端查看。 4.完成以上邮箱配置即登录成功 验证过程可能会持续1分钟左右，当出现“尝试常用服务器名称后找到配置”即完成账密即服务器验证，点击“完成”即登录成功。 说明 IMAP和POP有什么区别？ POP允许电子邮件客户端下载服务器上的邮件，但是您在电子邮件客户端的移动邮件、标记已读、删除邮件等操作，是不会反馈到服务器上的。比如：您通过AOneMail客户端收取了邮箱中的5封邮件并移动到了其他文件夹，这些移动动作是不会反馈到服务器上的，也就是说，邮箱服务器上的这些邮件是没有同时被移动的。 但是IMAP就不同了，电子邮件客户端的操作都会反馈到服务器上，您对邮件进行的移动邮件、标记已读、删除邮件等操作服务器上的邮件也会做相应的动作。即，IMAP是“双向”的。 同时，IMAP可以只下载邮件的主题，只有当您真正需要的时候，才会下载邮件的所有内容。 如何导入AOneMail旧数据 1.进入AOneMail主界面，点击导入。 2.点击从另一个AOneMail安装导入，点击下一步。 3.选择配置文件目录或ZIP文件作为配置文件导入，点击下一步。 4.选择需要导入的内容并点击继续。 5.点击开始导入，确认导入成功后需要重启AOneMail。

前提条件 已经在天翼云华东1地域创建了一个VPC1，VPC1中使用弹性云主机部署了相关业务。 已经获取各个办公点本地网关设备的公网IP地址。 已经了解VPC1中弹性云主机实例所应用的安全组规则以及各办公点所应用的安全组规则，并确保安全组规则允许弹性云主机实例、各个办公点、VPC1之间相互通信。 配置流程 步骤一：创建VPN网关 1. 登录控制中心。 2. 单击控制中心左上角的，选择目标资源池。 3. 在广域云网产品中选择“VPN连接”，进入VPN连接页面。 4. 在VPN网关页面，单击“创建VPN网关”，进入订购页面，按照提示配置参数。 参数 说明 取值样例 地域 VPN网关所在的资源池。 华东1 名称 VPN网关的名称。 vpngateway1 网关类型 选择VPN网关的类型。 普通 实例类型 选择VPN网关的实例类型。 IPsec 企业项目 选择当前VPN网关归属项目。 default 本端类型 通过VPN网关接入的资源类型。 虚拟私有云VPC 虚拟私有云 选择要使用的VPC作为本端资源。 vpc682f 子网 选择当前VPC中本端的子网资源。 subnet682f (192.168.1.0/24) IPsec带宽 VPN网关要通过弹性IP访问公网，这里选择对应的弹性IP带宽大小，单位 Mbps，5M 起售。 20M IPsec连接数 选择对应的IPsec VPN并发连接数。 20 购买时长 包年包月场景需要选择，购买VPN网关实例的时长。 6个月 自动续订 资源到期后自动续订，按月购买时按月续订，按年购买时按年续订。 开启 5. 单击“下一步”。 6. 在购买确认页，勾选服务协议，点击“确认下单”，进入订单列表。 7. 在订单页面，单击“立即支付”，支付成功后，VPN网关创建成功。

本文为您介绍云搜索实例内用户的创建和权限配置功能。 原理介绍 系统默认有admin用户，在admin用户下，可以创建不同用户。 账号密码提供了身份认证（authc），通过角色的映射实现了授权（authz），两者共同实现了多用户下的安全控制。 功能介绍 Elasticsearch和OpenSearch的此项功能类似，下面以OpenSearch Dashboards为例说明。 在OpenSearch Dashboards的左边栏Security菜单中，用户可以实现集群、索引、文档、字段等不同粒度的访问权限管控，并且提供灵活的用户删除、用户和角色的绑定和解绑。 下面，我们就以创建新用户并赋予它一个具备一定的访问权限的角色为例。 注意 必须登录admin账号创建其他用户。 1、创建Internal users 点击左边栏Security后，选择右上角Create internal user来创建用户。在页面中，我们输入用户名密码，并点击右下角“Create”创建用户。 用户创建完成后，我们自动返回Internal users界面，可以看到search用户已经创建完成。 2、创建角色 角色通过索引、实例多维度的精细访问控制，实现对实例、索引权限的安全组划分。如果复用已有的默认角色（不可删除），则无需创建，可以跳过此步骤。 下面我们将演示如何自定义角色。 登录左边栏Security界面，选择Roles，并且在右上角点击Create role： 1. 我们分别创建了角色名SearchRole，并且，在Cluster permission中给它赋予了相应的安全组权限。 2. 我们给它设定了索引级别的更细粒度的Index permission。 3. 下面还可以设置Document和Field维度的进一步细粒度的权限控制。 4. 点击右下角的Create ，就可以创建好角色SearchRole。

本文主要介绍使用SSL证书连接。 创建实例时开启SASLSSL访问，则数据加密传输，安全性更高。 DMS的RabbitMQ实例兼容开源协议，请参考RabbitMQ官网提供的不同语言的连接和使用向导：< 本节以DMS提供的demo为例，介绍VPC内访问与使用RabbitMQ的方法，假设RabbitMQ客户端部署在弹性云主机上。 前提条件 参考创建RabbitMQ实例章节创建RabbitMQ示例，并记录创建时输入的用户名和密码。 创建完成后，单击实例名称，查看并记录实例详情中的“连接地址”。 已创建弹性云主机，并且弹性云主机的VPC、子网、安全组与RabbitMQ实例的VPC、子网、安全组保持一致。 已完成JDK安装及环境变量配置，具体操作请参考准备环境。 命令行模式连接实例 以下操作命令以Linux系统为例进行说明。 1、下载RabbitMQTutorialSSL.zip示例工程代码。 2、解压RabbitMQTutorialSSL.zip压缩包。 $ unzip RabbitMQTutorialSSL.zip 3、进入RabbitMQTutorialSSL目录，该目录下包含预编译好的jar文件。 $ cd RabbitMQTutorialSSL 4、运行生产消息示例。 $ java cp .:rabbitmqtutorialsll.jar Send host port user password 其中，host表示RabbitMQ实例的连接地址，port为RabbitMQ实例的监听端口（默认为5671），user表示RabbitMQ用户名，password表示用户名对应的密码。 图1 生产消息示例 使用Ctrl+C命令退出。 5、运行消费消息示例。 $ java cp .:rabbitmqtutorialsll.jar Recv host port user password 其中，host表示RabbitMQ实例的连接地址，port为RabbitMQ实例的监听端口（默认为5671），user表示RabbitMQ用户名，password表示用户名对应的密码。 图2 消费消息示例 如需停止消费使用Ctrl+C命令退出。

当进行授权数据安全中心DSC服务访问对象存储OBS资产后，可将OBS资产添加到DSC服务里进行防护。 前提条件 需要完成OBS资产委托授权，具体可以参考云资源委托授权/停止授权操作。 如果需要添加自有对象存储OBS桶，则需要已开通且已使用过OBS服务。 如果需要添加其他桶，则需设置该桶的权限为“公共”。 操作步骤 1. 登录管理控制台。 2. 点击左上角的，选择区域或项目。 3. 点击左侧导航树中的，选择“安全与合规 >数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中选择“资产列表”，进入OBS资产列表页面。 5. 添加OBS资产。 添加自有桶 1. 在OBS资产列表左上角，单击“添加自有桶”。 2. 在弹出添加自有桶对话框中，勾选需要添加的OBS桶。 3. 单击“确定”。 添加其他桶 1. 在OBS资产列表左上角，单击“添加其他桶”。 2. 在弹出的添加其他桶对话框中，输入待添加桶的名称。 如需添加多个桶，则可单击，继续进行添加。 3. 单击“确定”。

本页介绍天翼云TeleDB数据库中通信加密。 通信加密是指基于传输层SSL（Secure Sockets Layer）协议加密的加密方式。SSL加密是一种安全协议，用于在互联网上建立一个加密的链接，来确保数据传输的安全性。采用SSL加密有如下优点： 数据加密 ：SSL使用强大的加密算法来保护数据不被未授权访问。 身份验证 ：通过证书验证，确保用户连接到的是正确的服务器，而不是一个假冒的服务器。 数据完整性 ：SSL提供了消息完整性检查，确保数据在传输过程中未被篡改。 安全性 ：SSL广泛被用于电子商务、网上银行和其他需要保护用户数据安全的场合。 兼容性 ：几乎所有现代浏览器和Web服务器都支持SSL。 易于部署 ：SSL证书可以从多个证书颁发机构获得，安装和配置过程相对简单。 增强信任 ：使用SSL的网站通常会在浏览器地址栏显示一个锁形图标，增强用户对网站的信任。 通信加密的方案 通信加密方案实现原理是通过采用SSL加密，在Web浏览器和服务器之间建立通信加密连接，保护数据在传输过程中不被窃听或篡改。再通过证书验证，确保用户连接到的是正确的服务器，而不是一个假冒的服务器。 开启通信加密 您可参考如下操作开启通信加密。 1. 以用户名和密码登录TeleDBDCP管理控制台。 2. 进入TeleDBDCP控制台管理页面，开通实例。 您可参考《安装部署》中实例服务初始化及实例开通章节开通实例。 3. 在实例开通页面，填写基本信息页面，打开SSL开关，打开内部通信加密开关。

本节介绍了远程登录(VNC方式Windows)的操作场景、约束与限制、登录Windows弹性云主机。 操作场景 本节为您介绍如何通过控制台提供的远程登录功能（即VNC方式）登录到弹性云主机上。 约束与限制 当前提供的远程登录功能是通过系统配置的自定义端口进行访问的，所以在使用远程登录功能时，请确保需要使用的端口未被防火墙屏蔽。例如：远程登录的链接为“xxx:8002”，则需要确保端口8002没有被防火墙屏蔽。 如果客户端操作系统使用了本地代理，且用户无法配置该本地代理的防火墙端口，请关闭代理模式后再使用远程登录功能。 GPU实例中，部分G系列实例不支持控制台提供的远程登录功能，需要自行安装VNC Server进行登录。详细信息请参见GPU加速型。推荐使用MSTSC方式登录弹性云主机。 登录Windows弹性云主机 1. 登录管理控制台。 2. 选择“计算 > 弹性云主机”。 3. 获取弹性云主机密码。 VNC方式登录弹性云主机时，需已知其密码，然后再采用VNC方式登录。 − 当您的弹性云主机是采用密码方式鉴权时，请直接使用创建弹性云主机时设置的密码进行登录。 − 当您的Windows弹性云主机是采用密钥方式鉴权时，密码获取方式请参见获取Windows弹性云主机的密码。 4. 在弹性云主机列表中的右上角，输入弹性云主机名、IP地址或ID，进行搜索。 5. 在搜索到的弹性云主机的“操作”列下，单击“远程登录”。如果云主机绑定了弹性IP，在弹出的对话框中其他方式使用控制台提供的VNC方式登录，选择“立即登录”。 6. （可选）如果界面提示“Press CTRL+ALT+DELETE to log on”，请单击远程登录操作面板上方的“发送 CtrlAltDel”按钮进行登录。 图 单击“发送 CtrlAltDelete” 7. （可选）登录G1型弹性云主机时，远程登录界面上无法显示鼠标。此时，需单击远程登录操作面板上方的“本地鼠标“按钮，鼠标就可以正常显示了。 图 本地鼠标 8. 根据界面提示，输入弹性云主机的密码。

本章介绍天翼云关系型数据库的数据库安全如何设置。 帐户密码等级设置 注意 Microsoft SQL Server自身支持关闭数据库密码复杂度检查机制，为了保障数据库安全，建议不要关闭该机制。 在客户端新创建的数据库用户，默认设置了密码安全策略，但用户可取消，建议用户启用该策略： 1、密码长度为8～128个字符。 2、密码至少为大写字母、小写字母、数字和特殊字符任意三种的组合。 3、密码不得包含用户名。 创建实例时，为用户提供了密码复杂度校验，由于rdsuser用户可修改密码复杂度，安全起见，建议修改后的密码复杂度不低于关系型数据库的初始化设置。 帐户说明 您在创建RDS for SQL Server数据库实例时，系统会自动为实例创建如下系统帐户（用户不可使用），用于给数据库实例提供完善的后台运维管理服务。 注意 如果试图删掉、重命名、修改这些系统帐户的密码和权限，会导致出错，请谨慎操作。 rdsadmin：数据库实例的超级管理员，具有sysadmin服务角色，用于后台查询实例信息、监控实例状态、故障排查、迁移、恢复等操作。 rdsmirror：用于创建镜像端点，主备复制帐户。 rdsbackup：备份帐户，用于后台的备份。 Mike：RDS for SQL Server中的Windows系统帐户，用于在初始化实例时执行初始化SQL，包括创建rdsadmin数据库和相关帐户等。

本文为您介绍如何快速接入Web应用防火墙（原生版）实例，并配置防护策略。 为快速实现Web应用防护，您需要购买WAF实例、完成网站接入并配置防护策略。防护开启后，可通过安全总览、防护事件报表查看访问统计信息和攻击防护记录，掌握业务的安全状况。 使用流程 步骤一 购买云WAF实例 1. 登录天翼云控制中心，在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 2. 首次使用Web应用防火墙（原生版），需点击“立即购买”，选择服务版本、扩展包以及购买时长。 3. 确认支付费用，点击“立即购买”，进入支付页面完成支付即可开通。 说明 Web应用防火墙（原生版）提供的规格详情请参见产品规格。 勾选“自动续订”后，当服务期满时，系统将会按照默认续费周期续费。按月购买，自动续费周期默认为3个月；按年购买，自动续费周期默认为1年。如需要修改自动续费周期，可进入天翼云“费用中心 > 订单管理 > 续订管理”页面，找到对应的资源进行修改。 步骤二 网站接入 网站接入WAF后，WAF才能对访问网站的请求进行检测。 产品版本 接入方式 接入步骤 WAF SAAS版 域名接入 1. 进入云WAF产品控制台，在左侧导航栏选择“接入管理”，在接入管理页面选择“域名接入”页签。 2. 添加防护对象：在列表上方点击“添加防护对象”，根据页面提示配置域名、服务器协议、源站地址、代理情况、负载均衡策略等相关信息。 3. 放行WAF回源IP段：WAF使用特定的回源IP段将经过防护引擎检测后的正常流量转发回网站域名的源站服务器。网站接入WAF进行防护时，您需要设置源站服务器的安全软件或访问控制策略，放行WAF回源IP段的入方向流量。 4. 本地验证：添加域名后，在本地电脑上搭建简易的模拟环境，验证网站流量转发设置已经生效，避免转发设置未生效时修改域名的DNS解析设置，导致业务访问异常。 5. 修改域名DNS：若域名在接入WAF前未使用代理，则需要到该域名的DNS服务商处，修改域名的DNS解析配置，将网站的流量解析到WAF；若域名在接入WAF前使用了代理（DDoS高防、CDN等），则需要将使用的代理类服务（DDoS高防、CDN等）的回源地址修改为的目标域名的“CNAME”值。 WAF独享版 独享型接入 1. 进入云WAF产品控制台，在左侧导航栏选择“接入管理”，在接入管理页面选择“独享型接入”页签。 2. 添加防护对象：在列表上方点击“添加防护对象”，根据页面提示配置域名或IP、服务器协议、源站地址、代理情况、负载均衡策略等相关信息。 说明 系统默认防护80和443端口，如需配置80和443以外的端口，请额外选择。 服务器配置若勾选了HTTPS协议，需要导入HTTPS证书。

本节主要介绍操作系统更新 DDS实例需要适时进行操作系统更新，以提高数据库性能和数据库的整体安全状况。 实例内核版本升级时，DDS会根据操作系统的实际情况，决定是否更新以及更新适合的操作系统冷补丁版本。 操作系统更新不会更改数据库实例的版本或数据库实例信息。 此外，DDS会在用户设置的运维时间段内，通过热补丁方式及时修复影响重大的操作系统漏洞。

本节介绍IPSec VPN的产品介绍。 功能介绍 IPsec VPN产品用于客户防火墙或其他VPN设备与云侧IPsec VPN实例建立加密隧道实现数据入云安全传输，完成客户侧办公区与云侧VPC的快速安全互联。有别于iVPN实例，iVPN实例在逻辑上属于客户侧资源，IPsec VPN实例在逻辑上属于云侧资源。同时IPsec VPN与翼甲防火墙产品相比，不需要绑定弹性IP即可建立加密隧道。 使用限制 （1）IPsec VPN支持关联的客户侧网段与各VPC子网网段重叠，但是需要用户确保客户侧与云侧不存在IP冲突设备，因此建议用户在使用过程中避免客户侧与云侧网段重叠。 （2）IPsec VPN只能加载IPsec VPN实例所在资源池VPC，加载跨资源池VPC需要结合跨域互联使用。 （3）IPSec VPN暂时只支持IKEv2协议。

参数 描述 源库类型 选择“ECS自建库”。 VPC 源数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。子网在可用分区内才会有效，创建源数据库实例的子网需要开启DHCP功能，在创建过程中也不能关闭已选子网的DHCP功能。 IP地址或域名 源数据库的IP地址或域名。 端口 源数据库服务端口，可输入范围为1~65535间的整数。 指定数据库名称 选择是否指定数据库，开启后需手动输入数据库名称。 数据库用户名 源数据库的用户名。 数据库密码 源数据库的用户名所对应的密码。 SSL安全连接 通过该功能，用户可以选择是否开启对同步链路的加密。

资金解冻 资金冻结规则 为保障您的账户资金安全，若银行转账后款项 超过6个月未被认领 ，系统将自动对该笔资金进行冻结。冻结后，需要申请解冻，解冻完成后才可以继续认领。 资金解冻申请 1. 需要准备加盖公章的资金使用说明函模板。 2. 提交工单上传说明函模板附件，或联系客户经理，申请资金解冻。

本文为您介绍创建单台云主机、批量创建云主机、大批量创建千台云主机场景下的最佳实践。 操作场景一 通过控制台开通单台云主机。 操作步骤 本文以南昌5资源池为例，创建单台Linux/Windows云主机。 计算控制台点击“弹性云主机”，点击右上角“创建云主机”。 “基础配置” 页 1. 计费模式选择按量付费； 2. 地域选择江西南昌5； 3. 可用区选择可用区1； 4. 企业项目选择default； 5. 虚拟私有云（VPC）选择默认defaultvpc； 6. 实例名称和主机名称按照要求填写即可； 7. 选择所需开通规格，本次以s7.xlarge.2为例； 8. 选择所需镜像类型。 “网络配置” 页 1. 网卡会关联上述选择的虚拟私有云（VPC）下的子网，选择相应的子网即可； 2. 安全组可以选择default安全组； 3. 弹性IP选择“不使用”。 “高级配置” 页 1. 登录方式默认为密码，创建密码为稍后创建； 2. 用户数据选择“暂不配置”； 3. 左下角购买量选择1台。 “确认配置” 页 确认上述选择和填写的配置项符合预期，勾选“已阅读并同意相关协议”，点击右下角的“立即购买”完成订购。 对于单台Linux/Windows云主机，通常情况下可在一分钟内完成开通。本次单台Linux云主机开通耗时17秒，单台Windows云主机开通耗时16秒。 操作场景二 通过控制台开通多台云主机。

本章节主要介绍分布式消息服务RabbitMQ的实例类问题。 RabbitMQ使用的版本是多少？ 服务端RabbitMQ的版本是3.8.35。 RabbitMQ实例SSL连接的协议版本号是多少？ TLS v1.2版本。 创建实例时为什么无法查看子网和安全组等信息？ 创建实例时，如果无法查看虚拟私有云、子网、安全组、弹性IP，可能原因是该用户无Server Administrator和VPC Administrator权限，增加权限的详细步骤请参考《统一身份认证服务 用户指南》的“用户指南 > 用户组及授权 > 查看或修改或删除用户组”章节。 若其中一台RabbitMQ重启失败，需要会如何处理？ 重启RabbitMQ实例时，不会重启实例所在虚拟机，仅重启RabbitMQ进程。 重启集群实例时，若其中一台RabbitMQ进程重启失败，则重启后实例状态依然为“运行中”，并提示“部分节点故障”。在每台虚拟机上都有RabbitMQ的守护进程，定时检查RabbitMQ进程是否存在，当进程不存在时会自动拉起RabbitMQ进程。 如果RabbitMQ实例异常持续超过1分钟，会上报告警。 RabbitMQ集群实例如何均衡分发请求到每个虚拟机？ 集群内部使用LVS做负载均衡，由LVS将请求均衡分发到每个虚拟机节点。 RabbitMQ实例集群内部的队列是否有冗余备份？ 队列是否做镜像（即冗余备份）取决于用户的需要，如果用户设置了镜像，会在集群中多个代理上存储队列的副本，当某个代理故障，集群会从其他正常的代理中选择一个代理，用来同步队列数据。

配置VNC Server 1.首先停止第一个虚拟桌面。 vncserver kill :1 2.修改xstartup文件。 vim ~/.vnc/xstartup 按“i”进入编辑模式，添加以下内容： !/bin/sh xrdb $HOME/.Xresources startxfce4 & 其中， 第一个命令“xrdb $HOME/.Xresources”告诉VNC的GUI框架读取服务器用户的“.Xresources”文件。用户可以在“.Xresources”中更改图形桌面的某项设置，如终端颜色、光标主题和字体渲染。 第二个命令“startxfce4 &”告诉服务器启动Xfce。 3.为了保证VNC服务正常启动，需要配置可执行。 sudo chmod +x ~/.vnc/xstartup 4.重启VNC Server。 vncserver 第二次运行vncserver时，它将创建日志文件。 回显信息中出现类似这样的一条信息：Log file is /root/.vnc/xxx:1.log。其中，“1”表示当前用户分配的是VNC的第一个虚拟桌面。VNC的端口号为：5900+虚拟桌面号码，VNC Viewer客户端连接云主机时会使用该端口号。 云主机控制台配置 1.登录云主机管理控制台。 2.单击弹性云主机名称，进入详情页面。 3.在“安全组”页签，单击“更改安全组规则”，放行5901端口。 说明： 如果4.重启VNC Server中回显的日志文件为“xxx:2.log”，则需要放行5902端口；如果为“xxx:3.log”，则需要放行5903端口，以此类推。

本文主要介绍如何手工搭建Hadoop环境(Linux)。 简介 本文介绍了如何在天翼云上使用弹性云主机的Linux实例手工搭建Hadoop环境。Hadoop是一款由Apache基金会用Java语言开发的分布式开源软件框架，用户可以在不了解分布式底层细节的情况下，开发分布式程序，充分利用集群的能力进行高速运算和存储。Hadoop的核心部件是HDFS（Hadoop Distributed File System）和MapReduce： HDFS：是一个分布式文件系统，可对应用程序数据进行分布式储存和读取。 MapReduce：是一个分布式计算框架，MapReduce的核心思想是把计算任务分配给集群内的服务器执行。通过对计算任务的拆分（Map计算和Reduce计算），再根据任务调度器（JobTracker）对任务进行分布式计算。 前提条件 已购买一台弹性云主机，且已为其绑定弹性公网IP。 弹性云主机所在安全组添加了如下表所示的安全组规则。 方向 类型 协议 端口/范围 源地址 入方向 IPv4 TCP 8088 0.0.0.0/0 入方向 IPv4 TCP 50070 0.0.0.0/0 实施步骤 1、安装JDK a.登录弹性云主机。 b.执行以下命令，下载jdk软件包。 以jdk17为例，在列表中查看可用的JDK软件包版本，以jdk17linuxx64bin.tar.gz安装包为例，执行以下命令。 wget c.解压jdk安装包到opt目录下。 tar xvf jdk17linuxx64bin.tar.gz C /opt/ d.配置环境变量。 vim /etc/profile e.在底部添加以下内容。