本文为您介绍如何通过密钥管理控制台导入用户自带的对称密钥。 用户主密钥包含密钥元数据（密钥ID、密钥别名、描述、密钥状态与创建日期）和用于加解密数据的密钥材料。 当用户使用KMS管理控制台创建用户主密钥时，KMS系统会自动为该用户主密钥生成密钥材料。 当用户希望使用自己的密钥材料时，可通过KMS管理控制台的导入密钥功能创建密钥材料为空的用户主密钥，并将自己的密钥材料导入该用户主密钥中。 注意事项 当您选择密钥材料来源为外部，使用您自己导入的密钥材料时，需要注意以下几点： 请确保您使用了符合安全要求的随机源生成密钥材料。 在使用导入密钥时，需要对自己密钥材料的可靠性负责。 请保存密钥材料的原始备份，以便在意外删除密钥材料时，能及时将备份的密钥材料重新导入KMS。 功能特性 可用性与持久性 在将密钥材料导入KMS之前，用户需要确保密钥材料的可用性和持久性。 导入的密钥材料与通过KMS创建密钥时自动生成的密钥材料的区别，如下表所示。 密钥材料来源 说明 外部导入 支持手动删除密钥材料，但该主密钥及其元数据仍然保留。 导入密钥材料时，可以设置密钥材料过期时间，密钥材料过期后，KMS将自动删除密钥材料，但该主密钥及其元数据仍然保留。 导入的密钥材料被删除后，可以再次导入相同的密钥材料使得CMK再次可用。用户需自行备份密钥材料，以便密钥材料失效或误删除时重新导入该密钥材料。 KMS创建 不能手动删除密钥材料，不能设置密钥材料过期时间。 密钥材料只能通过设置CMK计划删除时间后，到期后随CMK一并删除。 关联性 当您将密钥材料导入CMK时，该CMK与该密钥材料永久关联，不能将其他密钥材料导入该CMK中，即便密钥材料已经过期或者被删除。 独立性 CMK具有唯一性，即您使用CMK加密的数据，无法使用其他CMK进行解密，即便这些CMK都使用相同的密钥材料。

操作步骤及说明 步骤 1 登录云容器引擎控制台。 步骤 2 单击集群名称进入集群，在左侧选择“工作负载”，选择“有状态”，在右上角单击“创建StatefulSet”。 步骤 3 配置工作负载的信息。 基本信息 负载类型：选择有状态工作负载StatefulSet。工作负载类型的介绍请参见工作负载概述。 负载名称：填写工作负载的名称。 命名空间：选择工作负载的命名空间，默认为当前进入的命名空间。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。 实例数量：填写实例的数量，也就是Pod的数量。 时区同步：选择是否开启时区同步。开启后容器与节点使用相同时区（时区同步功能依赖容器中挂载的本地磁盘，请勿修改删除），时区同步详细介绍请参见时区同步。 容器配置 容器信息Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 容器名称：为容器命名。 镜像更新策略：选择是否总是拉取镜像。 镜像名称：选择容器使用的镜像，支持多种镜像来源。 镜像版本：选择需要部署的镜像版本。 资源配额：配置 CPU 和内存的申请值和限制值。 初始化容器：选择是否作为初始化容器。 生命周期：配置容器生命周期的特定操作。 健康检查：设置存活探针、就绪探针及启动探针。 环境变量：设置容器运行环境的变量。 数据存储：挂载本地存储或云存储。 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。请输入用户ID，容器将以当前用户权限运行。 特权容器：选择是否启用特权容器。 镜像访问凭证：选择访问镜像仓库的凭证。 说明 有状态负载支持“动态挂载”云硬盘。动态挂载通过[[volumeClaimTemplates]](

编辑事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面。 5. 在事件管理列表中，单击目标事件所在行“操作”列的“编辑”，右侧弹出编辑事件页面。 6. 在弹出的“编辑”页面中，编辑事件参数。 参数名称 参数说明 基础信息 事件名称 自定义事件名称，命名规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过255个字符。 基础信息 事件类型 选择事件类型。 基础信息 （可选）业务ID 填写事件对应的业务ID。 基础信息 事件等级 选择严重等级，可选择以下等级：提示、低危、中危、高危、致命。 基础信息 状态 选择事件状态，可选择以下状态：打开、阻塞、关闭。 基础信息 数据源产品名称 选择数据源产品的名称，不支持修改。 基础信息 数据源类型 选择数据源所属类型，不支持修改。 基础信息 （可选）责任人 选择事件的主要责任人。 时间线 首次发生时间 该事件首次发生时间。 时间线 （可选）最近发现时间 该事件最近一次发生的具体时间。 时间线 （可选）计划关闭时间 选择事件计划关闭时间。 其他 （可选）验证状态 选择事件的验证状态，标识事件的准确性。可选择以下状态：未知、确认、误报。 其他 （可选）阶段 选择您的事件阶段。 准备：准备资源处理事件。 检测与分析：检测与分析事件发生原因。 控制、清除、恢复：进行事件问题处理。 事件后活动：事件处理完成后的后续活动。 其他 （可选）模拟调试项 选择是否开启模拟调试功能，不支持修改。 其他 （可选）标签 填写事件的标签。 其他 描述 事件描述信息，输入规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过1024个字符。 7. 单击“确认”，完成事件编辑。

为什么查看事件窗口中，有些事件的IP、code、request、response和message字段为空？ IP、code、request、response和message字段并非云审计服务规定的必备字段： IP：当trace type为SystemAction时，表示本次操作由服务内部触发，此时缺失IP字段为正常情况。 request/response/code：这三个字段是表示本次操作所对应的请求内容、请求结果及HTTP返回码，在有些情况下，这些字段本身为空，或不具备业务意义，产生该事件的云服务会根据实际情况选择某字段留空。 message：该字段为预留字段，若其他云服务基于业务需要，需要增加额外信息时，可附加在该字段内，缺失为正常情况。 为什么事件列表中有些事件的为超链接可以跳转，有些为非超链接？ 目前CTS仅支持部分ECS、EVS、VBS、IMS、AS、CES和VPC的操作通过跳转到对应云资源的详情页面，该功能正在逐步完善。 为什么事件列表中的某些操作被记录了两次？ 对于异步调用事件，会产生两条事件记录，其事件名称、资源类型、资源名称等字段相同。在事件列表中，看起来是重复记录了操作（例如，Workspace的deleteDesktop事件），但实际上，这两条事件是相互关联、但内容不同的两条记录，典型的异步调用场景时间如下： 第一条事件：记录用户发起的请求； 第二条事件：记录用户请求的操作结果，通常与第一条时间记录有数分钟的延迟，记录用户请求的实际响应结果。 两条事件需要结合在一起，才能反映用户本次操作的真实结果。 为什么在事件列表中按照操作用户进行筛选时，存在useraccount/opservice用户？ 当用户发起的某些请求涉及后台一些高权限要求的操作或涉及调用其他服务时，可能存在用户自身的权限不足的问题，因此在确保符合安全要求的前提下，会临时对该请求中的用户身份进行提权，请求完成后提权结束，但会将提权行为记录到该请求发送到CTS的日志当中，此时的操作用户将记录为useraccount/opservice。

智能客服 适用场景 为政府热线、企业客服中心提供全流程智能化支持，实现市民/客户服务精准化响应与高效闭环管理。 产品优势 场景感知交互：智能识别对话场景与用户情绪，动态调整服务策略，提升交互温度。 坐席智慧助手：知识库秒级检索，提高坐席应答准确率，缩短问题处理时长。 企业知识库 适用场景 助力政务/企业机构突破多源知识检索壁垒，实现跨部门文档高效协同与精准决策。 核心优势 无界文档解析：兼容多种办公文档格式，精准解读跨页表格、图文混排等复杂文档结构。 智能问答中枢：对话式精准检索，支持口语化提问，跨平台可信数据联动，输出权威结论。 全域知识引擎：外网信息实时对接，支持万级文档集中管理。

本章介绍天翼云关系型数据库的购买流程。 注：购买前保持天翼云账户余额大于购买资源费用。 第一步： 登录天翼云账号； 打开< 第二步 ：选择关系型数据库，点击立即开通； 第三步： 按照购买选项依次选择计费模式，实例名称、数据库引擎、实例类型、实例规格，设置账户密码等参数，选择完成确认无误后点击右下角立即购买即可。 下单完成后约35分钟后创建实例成功。

此小节介绍数据库安全部署架构。 审计分析场景 数据库安全审计采用数据库旁路部署方式，支持对管理控制台上的RDS、ECS/BMS自建的数据库进行审计。 数据库安全审计部署架构如图所示： 数据库安全审计的Agent部署说明如下： ECS/BMS自建数据库：在数据库端部署Agent。 RDS关系型数据库：在应用端或代理端部署Agent。

Web应用防火墙将拦截或者仅记录攻击事件记录在“防护事件”页面。您可以查看WAF的防护日志，包括事件发生的时间、源站IP、源站IP所在地理位置、恶意负载、命中规则等信息。 前提条件 防护网站已接入WAF。 约束条件 下载防护事件文件时，如果您本地安装的安全软件拦截了下载文件，请关闭该软件后重新下载防护事件文件。 在WAF控制台只能查看所有防护域名最近30天的防护事件数据。 如果您将防护网站的“工作模式”切换为“暂停防护”模式，WAF将对该防护网站所有的流量请求只转发不检测，同时，日志也不会记录。 操作步骤 1. 登录管理控制台。 2. 单击页面顶部的区域选择框，选择区域。 3. 单击页面左上角的“服务列表”，选择“安全 > Web应用防火墙（独享版）”。 4. 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 5. 选择“查询”页签，在网站或实例下拉列表中选择待查看的防护网站，可查看“昨天”、“今天”、“3天”、“7天”、“30天”或者自定义时间范围内的防护日志。 “防护事件趋势图”：展示所选网站在选择的时间段内WAF的防护情况。 “TOP10统计”：针对当前所选时间段的攻击事件、受攻击站点、攻击源IP、受攻击URL的TOP 10网站进行统计，单击可复制统计图表的数据。 6. 在“防护事件列表”中，查看防护详情。 根据筛选条件字段匹配值进行筛选，可设置多项匹配条件，单击“确定”后，匹配条件会展示在事件列表的上方，条件字段参数说明如下表所示。 支持筛选搜索的条件字段： 参数名称 参数说明 事件ID 标识该防护事件的ID。 事件类型 发生攻击的类型。 默认选择“全部”，查看所有攻击类型的日志信息，也可以根据需要，选择攻击类型查看攻击日志信息。 规则ID 内置Web基础防护规则ID。 防护动作 防护配置中设置的防护动作，包含：拦截、仅记录、人机验证等。 人机验证：CC防护规则中，“防护动作”支持配置“人机验证”。即当访问的请求频率超过设定的“限速频率”后将弹出验证码提示，输入正确的验证码，请求将不受访问限制。 源IP Web访问者的公网IP地址（攻击者IP地址）。 默认选择“全部”，查看所有的日志信息，也可以根据需要，选择或者自定义攻击者IP地址查看攻击日志信息。 URL 攻击的防护域名的URL。 单击，可选择防护事件列表展示的字段。 防护事件列表可展示字段参数说明： 参数 说明 示例 ::: 时间 本次攻击发生的时间。 2021/02/04 13:20:04 源IP Web访问者的公网IP地址（攻击者IP地址）。 防护域名 被攻击的防护域名。 www.example.com 命中规则 内置Web基础防护规则ID。 URL 攻击的防护域名的URL。 /admin 事件类型 发生攻击的类型。 SQL注入攻击 防护动作 防护配置中设置的防护动作，包含：拦截、仅记录、人机验证等。 说明 配置网页防篡改、防敏感信息泄露、隐私屏蔽防护规则后，如果访问请求命中防护规则，则防护动作显示为“不匹配”。 拦截 在目标事件的“操作”列单击“详情”，可查看目标域名攻击事件详情。

问题描述 远程桌面连接Windows云服务器时报错提示："无法验证此远程计算机的身份，是否仍要连接？" 可能原因 云服务器安装了安全软件，防止有未知IP登陆云服务器。 解决方法 1. 在提示的对话框中，勾选“ 不再询问我是否连接到此计算机”，点击“是”。 2. 卸载安全软件。 3. 登录安全软件，将登录安全等级修改为系统默认登录方式。

本节介绍了ECX主要具备的存储能力。 提供伴随计算实例创建云硬盘、本地盘以及本地裸盘等磁盘的功能。 支持多种规格：高IO、超高IO等，可满足I/O密集型业务的需求。 支持对多种磁盘便捷操作，包括创建，挂载，卸载，删除等，让存储管理轻松高效。 支持云硬盘快照，可手动创建、以及指定时间自动创建快照，保证误操作导致的数据丢失时，可及时恢复数据，保证数据的安全性。 支持云硬盘备份，保证数据存储安全可靠，可异地备份，将备份数据存储在不同的地理区域，提高数据的容灾能力。 支持基于云硬盘快照创建新云硬盘、基于云硬盘备份创建新云硬盘，为数据存储与恢复提供双重可靠途径，极大地提升了数据管理的灵活性与安全性。 支持对云硬盘、本地盘的容量升级，以适应业务变化，轻松应对数据增长需求。 支持监控本地盘和云硬盘的IO情况，精准掌握存储动态，确保数据读写高效稳定，为您的业务运行保驾护航。

本节包含了通用计算增强型弹性云主机的实例特点。 通用计算增强型弹性云主机是CPU独享型实例，实例间无CPU资源争抢，性能强劲稳定，搭载全新网络加速引擎，以及DPDK(Data Plane Development Kit)快速报文处理机制，提供更高的网络性能，满足不同场景需求。 在售：C6s、C6、C3、C3s、C6nl、C7n、C7t、C7、C9 表 通用计算增强型实例特点 规格名称 计算 磁盘类型 网络 :::: 通用计算增强型C6s CPU/内存配比：1:2/1:4 vCPU数量范围：264 处理器：第二代英特尔® 至强® 可扩展处理器 基频/睿频：2.6GHz/3.5GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：850万PPS 最大内网带宽：30Gbps 通用计算增强型C6 CPU/内存配比：1:2/1:4 vCPU数量范围：264 处理器：第二代英特尔® 至强® 可扩展处理器 基频/睿频：3.0GHz/3.4GHz 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：1000万PPS 最大内网带宽：40Gbps 通用计算增强型C3 CPU/内存配比：1:2/1:4 vCPU数量范围：260 处理器：英特尔® 至强® 可扩展处理器 基频/睿频：3.0GHz/3.4GHz 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：500万PPS 最大内网带宽：17Gbps 通用计算增强型C3s CPU/内存配比：1:2/1:4 vCPU数量范围：260 处理器：英特尔® 至强® 可扩展处理器 基频/睿频：2.2GHz/3.0GHz 高IO 超高IO 通用型SSD 极速型SSD 不支持IPv6 CPU独享、性能稳定 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：400万PPS 最大内网带宽：14.5Gbps 通用计算增强型C6nl CPU/内存配比：1:2/1:4 vCPU数量范围：264 处理器：第二代英特尔® 至强® 可扩展处理器 基频/睿频：3.0GHz/3.5GHz 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：800万PPS 最大内网带宽：40Gbps 通用计算增强型C7n CPU/内存配比：1:2/1:4 vCPU数量范围：296 处理器：第三代英特尔® 至强® 可扩展处理器 基频/睿频：2.6GHz/3.4GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 全面配套eVS 5.0网络，所有实例均支持TrunkPort能力. 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：850万PPS 最大内网带宽：40Gbps 通用计算增强型C7t CPU/内存配比：1:2/1:4 vCPU数量范围：2128 处理器：第三代英特尔® 至强® 可扩展处理器 基频/睿频：2.8GHz/3.5GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：3000万PPS 最大内网带宽：90Gbps 最大网络连接数：1000万 通用计算增强型C9 CPU/内存配比：1:2/1:4 vCPU数量范围：2128 处理器：第三代英特尔® 至强® 可扩展处理器 基频/睿频：2.8GHz/3.5GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：1200万PPS 最大内网带宽：42Gbps 最大网络连接数：1000万 通用计算增强型C9 CPU/内存配比：1:2/1:4 vCPU数量范围：2192 基频/睿频：3.1GHz/3.6GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：4000万PPS 最大内网带宽：120Gbps 最大网络连接数：1000万 说明 对于Linux系统的弹性云主机，当v7代系以下规格的操作系统内核为5.16及以上版本时，不支持AVX指令，如需支持AVX指令，需使用低内核版本的操作系统，或变更为v7代系及以上版本的规格。 您可以通过 uname r 命令查看操作系统内核版本，也可以参考

本节介绍升级服务器安全卫士（原生版）企业版配额到旗舰版的步骤。 购买企业版配额后，可以将企业版配额升级为旗舰版。 操作步骤 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏选择“设置中心 > 配额管理”，进入配额管理页面。 3. 查看您已经订购的配额，选择需要升级的企业版配额，点击“升级”。 4. 进入服务器安全卫士（原生版）升级页面。 5. 在页面下方确认支付费用，阅读《天翼云服务器安全卫士（原生版）服务协议》，并勾选“我已阅读，理解并同意《天翼云服务器安全卫士（原生版）服务协议》“，在页面右下角单击“立即购买”。

本章介绍如何使用主子账号体系管理子账号权限 概述 分布式消息服务MQTT已接入主子账号体系，可区分两种账号权限，实现主账号对子账号的数据权限管理与功能权限管理，支持系统策略和自定义策略的授权方式。本章介绍如何使用主子账号体系管理子账号权限。 背景 1. 主账号 ：用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体为了确保账号安全，建议创建子用户来进行日常管理工作。 2. 子账号 ：主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 3. 企业项目： 将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 注意 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 4. 策略： 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 5. 系统策略： 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 6. 数据权限： 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 7. 功能权限： 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 8. 功能权限授权： 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。

本章介绍如何使用主子账号体系管理子账号权限 概述 分布式消息服务RabbitMQ已接入主子账号体系，可区分两种账号权限，实现主账号对子账号的数据权限管理与功能权限管理，支持系统策略和自定义策略的授权方式。本章介绍如何使用主子账号体系管理子账号权限。 背景 1. 主账号：用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体为了确保账号安全，建议创建子用户来进行日常管理工作。 2. 子账号：主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 3. 企业项目：将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 注意 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 4. 策略： 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 5. 系统策略： 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 6. 数据权限： 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 7. 功能权限： 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 8. 功能权限授权： 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。

操作场景 文件存储默认云上内网访问，若是本地数据中心或者个人客户端也要挂载NAS文件系统无法直接挂载，需要通过云专线打通网络后挂载。 说明 使用云专线会产生相应的费用，参考计费项及计费方式云专线。 搭配产品 云专线、VPC终端节点、虚拟私有云（VPC） 使用流程 准备工作 用户已经根据自身业务需求对云专线的使用做了初步的网络规划，例如大概需要几条云专线，云专线的带宽速率等等，具体规划要素请参见“常见问题>管理类>云专线接入前期要考虑的要素有哪些？”。 用户已经实施开通了用户本地IDC机房到天翼云资源池的物理电路，并联系电信客户经理申请云端口资源。 用户已经创建了虚拟私有云VPC。 注意 文件存储的服务端口为：111、139、2049、20048、445、11002、11003、10141，设置安全组时不要禁止，以防无法访问文件服务。 操作步骤 步骤一：准备专线 1. 开通物理专线。 物理专线一端连接本地数据中心的本地网关设备，一端连接云专线的专线网关，将客户本地数据中心的内部局域网连接到天翼云的接入点，对接天翼云上的虚拟专有网络VPC。参见创建物理专线云专线快速入门。 2. 创建专线网关。 专线网关是客户站点和天翼云VPC之间的虚拟路由转发设备，是数据从客户站点到云上VPC之间的传输桥梁。参见创建和管理专线网关云专线用户指南专线网关。 3. 添加静态路由。 本地IDC通过静态路由实现与专线网关之间的内网互联，建立快捷和灵活的入云组网方式。参见创建和管理静态路由云专线用户指南专线网关。 4. 添加VPC。 通过添加专线网关到VPC的路由条目，以便实现专线网关和VPC的互通。参见添加VPC云专线用户指南VPC配置。

本文介绍如何部署AD域控制器。 前提条件 在AD域控制器的云主机上已经安装AD域服务器。 操作步骤 1. 将域服务器升级升为域控制器。打开“服务器管理器”，点右上角点小旗子图标，点击“服务器提升为域控制器”。 2. 添加新林。由于是第一个AD控制器，点击“添加新林”，根域名处填域名sfs.com，点击“下一步”等待部署配置。 说明： 将域控制器添加到现有域：在现有的域控制器中添加新的域控制器。 将新域添加到现有林：在现有的林中新建域，与林中现有的域不同。 3. 设置目录服务还原密码。 说明： 林功能级别(包含Windows Server 2008到WindowsServer 2016级别)：Windows Server 2012 R2。 域功能级别(只包含Windows Server 2012 R2域功能)：Windows Server 2012 R2。 指定域控制器功能：默认即可。 键入目录服务还原模式(DSRM)密码：需设置复杂密码，否则无法通过规则校验。 4. 跳过DNS选项，点击“下一步”。用AD域服务器当DNS服务器，不需要单独指定。 5. NetBios域名保持默认，点击“下一步”。 6. 日志及数据配置保持默认，点击“下一步”。 说明： AD DS数据库是AD域服务器用来存放用户信息的地方。 AD DS数据库、日志文件夹和sysvol文件夹，出于安全考虑建议放在其他盘。 7. 检查配置信息，点击“下一步”。 8. 安装前自动进行先决条件检查，检查通过后点击“安装”，系统自动安装并重启。安装需要一段时间请耐心等待。 9. 查看是否安装成功。理论上重启后AD域即部署成功，打开“服务器管理器”，点击“工具>Active Directory用户和计算机”，在弹窗中依次点击“sfs.com>Domain Controllers”，若展示云主机名称即代表AD域部署成功。

对等连接是在相同地域内建立的两个VPC之间的网络连接,可以实现多个VPC之间的互通。本文将为您详细介绍对等连接的常见使用示例,帮助您更好地了解其应用场景和优势。 通过VPC对等连接实现多个VPC网络互通 两个VPC网络互通 为了实现VPCA和VPCB之间的互通，可以创建一个VPC对等连接，并在各自的路由表中配置相应的路由规则。具体操作如下： 1. 在VPCA和VPCB之间创建一个名为PeeringAB的VPC对等连接。 2. 在VPCA的路由表中，添加一条目的地址为VPCB网段的路由规则，并将下一跳指向PeeringAB的路由。 3. 在VPCB的路由表中，添加一条目的地址为VPCA网段的路由规则，并将下一跳指向PeeringAB的路由。 通过以上配置，VPCA和VPCB之间的流量可以通过VPC对等连接直接传输，实现私有和安全的网络通信。 多个VPC网络互通 为了实现多个VPC之间的互通，可以通过对等连接直接传输流量。具体操作如下： 1. 分别在VPCA和VPCB、VPCA和VPCC、VPCB和VPCC之间创建名为PeeringAB、PeeringAC和PeeringBC的VPC对等连接。 2. 在VPCA的路由表中，添加两条目的地址分别为VPCB和VPCC的路由规则，并将下一跳分别指向PeeringAB和PeeringAC的路由。 3. 在VPCB的路由表中，添加两条目的地址分别为VPCA和VPCC的路由规则，并将下一跳分别指向PeeringAB和PeeringBC的路由。 4. 在VPCC的路由表中，添加两条目的地址为VPCA和VPCB的路由规则，并将下一跳分别指向PeeringAC和PeeringBC的路由。 通过以上配置，多个VPC之间的流量可以通过对等连接直接传输，实现无障碍的流量传输。

本文为认证鉴权介绍。 具体应用可参考调用示例。 信息的获取 获取AccessKey(ak)和SecurityKey(sk)： 登录天翼云门户，在“控制台”>“账号中心”>“安全设置”>“登录保护”>“用户AccessKey”点击“查看”获取。 注意：SecurityKey信息只在创建的时候展示，请务必留存好信息。 EopAuthorization签名认证信息： 可参考调用示例Python3调用示例、Java调用示例 步骤一：构造代签字符串 sigture sigture 需要进行签名的Header排序后的组合列表+ " n " + encode的query + " n " + toHex(sha256(原封的body)) 名称 描述 需要进行签名的header排序后的组合列表（排序的header） 将ctyuneoprequestid、eopdate以 “headername:headervalue”的形式、以“n”作为每个header的结尾符、以英文字母表作为headername的排序依据将它们拼接起来。注意：EOP强制要求ctyuneoprequestid、eopdate必须进行签名。其他字段是否需要签名看自身需求。例子(假设你需要将ctyuneoprequestid、eopdate、host都要签名)： ctyuneoprequestid:123456789neopdate:20210531T100101Zn encode的query query以&作为拼接，key和value以连接，值需要encode，query参数全部都需要进行签名 toHex(sha256(原封的body)) 传进来的body参数进行sha256摘要，对摘要出来的结果转十六进制 sigture示例1（ 假设query为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z nnne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 sigture示例2（ 假设query不为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Zn”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160930Z nnaa1&bb2ne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

本文介绍数据库管理服务为云数据库提供数据库审计功能，帮助您追溯历史所有数据库操作记录，满足您的安全审计需求。 前提条件 用户已录入MySQL、DDS、PostgreSQL与SQL Server类型的云数据库实例。 MySQL、PostgreSQL、SQL Server数据库资源池支持：西南1、华东1、上海36、华北2、长沙42、华南2、青岛20、南昌5、西安7、杭州7。 DDS数据库资源池支持：华东1、上海36、西南1、华北2、华南2。 用户已经开启了数据库审计，详见：开启数据库审计。 操作步骤 1. 登录数据库管理服务。 2. 在左侧菜单栏依次点击SQL治理 > SQL审计，进入SQL审计明细界面。 注意事项 SQL审计明细的日志记录默认只保存1天，可设置范围为1~3天。若需要更改最长保存时间（最长支持180天）请联系客户经理评估调整。 仅超级管理员、系统管理员和审计管理员可以进入SQL审计日志界面。 MySQL审计日志中影响行数、返回行数、扫描行数、执行耗时、锁等待时间若无法查看则为历史版本，有需要请联系数据库内核升级版本即可。 若DDS不支持数据库审计，需先升级数据库内核版本。 功能介绍 SQL审计的日志记录了历史所有数据库操作记录，您需要先选择查看的时间范围和实例，点击查询按钮即可查看。 SQL审计明细日志搜索 SQL审计日志支持多个维度的联合搜索，不同数据库类型搜索项存在差异，常见搜索项说明如下 搜索项 说明 时间范围 选择查询的时间范围 数据库类型 选择DMS支持的数据库类型，必填 实例 实例名称，必填 节点IP 数据库实例节点IP，必填 数据库名 实例中数据库名称，可使用通配符%，指代任意长度字符 SQL执行类型 选择SQL语句的类型 SQL文本 SQL语句文本，大小写不敏感，可使用通配符%，指代任意长度字符 按时间排序 是否将查询结果按照时间排序，开启后将严重影响查询性能，建议关闭 数据库账号 大小写不敏感，可使用通配符%，指代任意长度字符 客户端IP 客户端IP地址，可使用通配符%，指代任意长度字符 SQL执行结果 SQL执行是否成功 注意 由于MySQL审计日志数据量较大，搜索的时间范围跨度仅限1天。

本文介绍跨域复制功能的概念、原理和应用场景等。 基本概念 跨域复制是指在不同地域之间进行自动复制数据的过程，海量文件服务的跨域复制功能基于中国电信骨干网可以将文件系统中的数据近实时、异步复制到跨地域的另一个文件系统，以实现现数据的备份 、容灾 以及满足特定合规性要求等目的。比如金融、政企等安全合规性要求较高的企业可能在不同的地区拥有数据中心，为了确保数据的高可用性和灾难恢复能力，会使用跨域复制功能将数据从一个数据中心复制到另一个数据中心。这样，即使一个地区的数据中心出现故障，数据仍然可以在另一个地区的副本中找到，保证业务的连续性。 关键特点 自动复制 跨域复制是自动进行的，无需人工触发和干预。服务端会根据创建复制时选择的目标区域及目标文件系统，将数据和元数据自动进行同步。当复制任务创建成功后会进行一次全量扫描，然后进行初始化同步，当后续发生新增和修改时都会进行自动增量同步。 数据一致性 单个文件的数据一致性由多种方式来保证： 当用户创建一个复制任务时，服务端会比较从源传过来的文件列表下文件的checksum，如果不一致的文件，那么目的端会返回这部分不一致的文件列表，告诉源端这些不一致的文件需要复制。 如果是一个完整的文件复制完成，将会由checksum比较算法来快速比对文件是否内容一致。 如果是文件只修改了部分，首先使用checksum比较算法比对文件内容，发现不一致时就按照分块checksum比较算法，来验证块之间是否一致，不一致的块需要复制同步，当这些任务完成之后源和目的端即达到数据一致。 初始化同步时，会进行源和目标的数据扫描，目标文件系统已经存在但源文件系统不存在的数据会被保留，若是源和目标存在同名目录/同名文件，则会比较文件的数据是否一致，若不一致则会被覆盖。因此建议目标文件系统仅作为源的复制目标，不作为业务读写使用，防止数据被覆盖。

本章介绍函数工作流如何使用Kafka触发器。 使用Kafka触发器后，FunctionGraph会定期轮询Kafka实例指定Topic下的新消息，FunctionGraph将轮询得到的消息作为参数传递来调用函数。 前提条件 进行操作之前，需要做好以下准备。 已经创建函数。 创建Kafka触发器，必须开启函数工作流VPC访问，请参见配置网络。 已经创建Kafka实例。 在Kafka实例下创建主题。 创建Kafka触发器 1、登录函数工作流控制台，在左侧的导航栏选择“函数 > 函数列表”。 2、选择待配置的函数，单击进入函数详情页。 3、选择“设置 > 触发器”，单击“创建触发器”，弹出“创建触发器”对话框。 4、设置以下信息。 触发器类型：选择“分布式消息服务（Kafka）”。 实例：选择已创建专享版Kafka实例。 主题：选择专享版Kafka实例的Topic。 批处理大小：每次从Topic消费的消息数量。 用户名：Kafka实例开启SSL时需要填写。连接Kafka专享版实例的用户名。 密码：Kafka实例开启SSL时需要填写。连接Kafka专享版实例的密码。 5、单击“确定”，完成kafka触发器的创建。 说明 开启函数流VPC访问后，需要在Kafka服务安全组配置对应子网的权限。如何开启VPC访问请参见 Kafka触发器当前支持选择多个Topic主题，从而避免Topic过多导致创建的触发器数量被限制。 配置Kafka事件触发函数。 1、返回函数工作流控制台，在左侧的导航栏选择“函数 > 函数列表”。 2、选择待配置的函数，单击进入函数详情页。 3、在函数详情页，选择函数版本。 4、在“代码”页签下，单击“测试”，弹出“配置测试事件”对话框。 5、填写如下表示测试信息后，单击“保存”。 测试信息 参数 说明 配置测试事件 可创建新的测试事件也可编辑已有的测试事件。选择默认值：“创建新的测试事件”。 事件模板 选择"kafkaeventtemplate"模板，使用系统内置Kafka事件模板。 事件名称 事件名称必须以大写或小写字母开头，支持字母（大写或小写），数字和下划线“”（或中划线“”），并以字母或数字结尾，长度为125个字符，例如kafka123test。 测试事件 自动加载系统内置kafka事件模板，本例不做修改。 6、单击“测试”，可以得到函数运行结果，函数会返回输入kafka消息数据。

本文指导您同步EIP信息并开启弹性公网IP防护。 如果您未配置访问控制策略或未开启弹性公网IP防护，您的业务流量将只经过云防火墙，云防火墙不会实施拦截操作。 操作步骤 1. 登录天翼云控制中心。 2. 在左侧导航树中，单击左上方的“服务列表”，选择“安全 > 云防火墙”，进入云防火墙的概览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“资产管理 > 弹性公网IP管理”，进入“弹性公网IP管理”页面。 单击页面右上角“资产同步”，将您的弹性公网IP信息导入至列表中，刷新弹性公网IP列表。 说明 当前账号下有多个云防火墙时，资产同步只将“未防护”的EIP同步至列表中。 5. （可选）当您列表IP数量过多时，可执行此步骤进行筛选。 在页面上方搜索下拉框中，选择搜索类型并输入信息，回车键确认，可添加多个筛选条件，右侧进行搜索。 弹性公网IP地址/ID：IP地址，即“弹性公网IP”列；或对应的ID号，由系统自动生成，即“ID”列。 企业项目名称：您同步后显示的项目名称，即“企业项目信息”列。 已绑实例名称/ID：实例名称，如“云服务器”，即“已绑定实例”列中黑色字体的信息；实例名称的ID号，如“ecsctyun0101”，即“已绑定实例”列中蓝色字体的信息。 搜索类型支持模糊搜索。 未选择搜索类型时，默认类型为弹性公网IP地址/ID。 6. 开启弹性公网IP。 开启单个弹性公网IP。在所在行的“操作”列中，单击“开启防护”。 开启多个弹性公网IP。勾选需要开启防护的弹性公网IP，单击表格上方的“开启防护”。 说明 一个EIP只能在一个防火墙上开启防护。 仅支持当前账号所属企业项目下的弹性公网IP。 7. 在弹出的界面确认信息无误后，单击“绑定并开启防护”，可查看操作行的“防护状态”列显示“已防护”。 说明 EIP开启防护后，访问控制策略默认动作为“放行”。

本页介绍了文档数据库服务产品的主子账号以及IAM统一权限功能介绍。 文档数据库服务产品的主子账号及CTIAM介绍如下。 操作场景 文档数据库产品接入CTIAM权限体系，可实现控制台操作功能、OpenAPI等维度对用户访问、操作资源的权限控制。 约束限制 目前实例订购时选择的“企业项目”，还不支持实例开通后进行“企业项目”的变更。 功能介绍 主用户：用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。 子用户：由拥有IAM权限的用户，在用户中心创建的子用户。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。 策略：是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 权限：权限是归属于产品的，用于描述对资源具体操作的三元组。例如"dds.instance.restart"归属于文档数据库服务产品，具有重启实例的操作权限，可在策略管理进行配置用户组的权限。 系统策略：由产品团队维护，系统预置的常用权限集，主要针对不同云服务的管理员权限、一般用户权限和只读用户权限；系统策略在IAM控制台中只能用于授权，用户不能编辑和修改。 自定义策略：由用户在IAM控制台创建和管理的权限集，是对系统策略的扩展和补充。 企业项目：企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用企业项目内云资源的权限受用户组的授权限制。文档数据库服务产品在订购实例的订购开通页面，可选择归属于哪个企业项目。

本文主要介绍节点滚动升级。 操作场景 节点滚动升级就是先创建新节点，然后将工作负载迁移到新的节点上，再删除老的节点。迁移流程如下图所示： 图 节点迁移流程 约束与限制 现有节点和工作负载待迁移的节点必须在同一集群。 当前仅支持在Kubernetes v1.13.10及以后集群版本执行此操作。 默认节点池DefaultPool不支持修改配置。 原有节点在默认节点池 步骤 2 创建新的节点池。具体请参见创建节点池。 步骤 2 单击节点池名称，在节点列表中可查看到新建节点的IP地址。 步骤 3 安装配置kubectl。具体请参见通过kubectl连接集群。 步骤 4 迁移工作负载。 1、给需要迁移工作负载的节点打上Taint（污点）。 kubectl taint node [node] keyvalue: [effect] 其中， [node] 为待迁移工作负载所在节点的IP； [effect] 取值为NoSchedule、PreferNoSchedule或NoExecute，此处必须设置为NoSchedule。 NoSchedule：一定不能被调度。 PreferNoSchedule：尽量不要调度。 NoExecute：不仅不会调度，还会驱逐Node上已有的Pod。 说明 若需要重新设置污点时，可执行 kubectl taint node [node] key:[ effect] 命令去除污点。 2、安全驱逐节点上的工作负载。 kubectl drain [node] 其中， [node] 为待转移工作负载所在节点的IP。 3、在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”。在工作负载列表中，待迁移工作负载的状态由“运行中”变为“未就绪”。工作负载状态再次变为“运行中”，表示迁移成功。 说明 迁移工作负载时，若工作负载配置了节点亲和性，则工作负载会一直提示“未就绪”等异常情况。请单击工作负载名称进入到负载详情页，在选择“调度策略”页签，删除原节点的亲和性配置，配置新的节点亲和性和反亲和性策略，详情请参见 工作负载迁移成功后，在工作负载详情页的“实例列表”页签，可查看到工作负载状已迁移到步骤1中所创建的节点上。 步骤 5 删除原有节点。 工作负载迁移成功且运行正常后，即可删除原有节点。

参数 配置说明 名称 用户自定义的普通复制规则名称，便于管理，支持中文和英文字符，区分和识别当前任务的名称。 同步类型 选择“直接同步”或“同步主机同步”。 文件安全属性 选择是否同步文件的权限、用户属性等。此选项默认为不同步。 节点组 选择节点组，方便工作机，灾备机选择容灾节点。 工作机 用户选择需要文件存储定时灾备的工作机，可选择多个工作机。如果已经创建节点组，可选择节点组再进行节点选择；若没有创建节点组，可直接选择节点，系统将自动列出拥有功能许可的所有主机节点，让用户自行选择，可以选择多个机器。 源端目录和文件 选择需要同步的数据所在的共享目录。 如果是Windows OS部署了drnode程序，必须以应用方式运行，否则无法显示Windows OS挂载的共享目录。 业务组 选择此文件存储定时灾备规则所对应的业务组。 映射类型 支持“多对一”和“一对一”。 多对一：所有的工作机的源目录和文件都复制到灾备机的单一目录下。 一对一：工作机的源目录和文件一一对应到灾备目录。 灾备机 如果已经创建节点组，可选择节点组再后选择节点。若没有创建节点组，可直接选择节点。 灾备机数据地址 根据需要选择已新增的数据地址。 灾备机路径 选择灾备机的备份路径，将数据同步的路径。 文件过滤策略 如果用户需要对源端共享目录上的数据类型进行过滤后再复制到灾备端，可以选择“包含”或“排除”策略来过滤，此选项默认是包含。 文件过滤正则表达式 使用正则表达式来对需要复制的文件进行筛选，页面提供基于正则表达式的匹配规则，可以自动同步符合此正则表达式的文件。 目录过滤策略 如果用户需要对源端共享目录上的目录进行过滤后再复制到灾备端，可以选择“包含”或“排除”策略来过滤，此选项默认是包含。 目录过滤正则表达式 使用正则表达式来对需要过滤的目录进行筛选，页面提供基于正则表达式的匹配规则，可以自动同步符合条件目录及其文件。

本文介绍云搜索服务和天翼云官网其他产品之间的关联关系。 相关服务 交互功能 虚拟私有云（CTVPC，Virtual Private Cloud） 云搜索服务在购买前需要提前开通虚拟私有云，实例将建立在同资源池下指定的子网内，VPC之间网络隔离，可为用户提供安全的网络环境。详细请参考虚拟私有云产品文档。 弹性云主机（CTECS，Elastic Cloud Server） 云搜索服务的每个实例节点即为一台弹性云主机，创建实例时会根据购买需求自动下单对应数量，主要提供计算分析服务。 云硬盘（CTEVS，Elastic Volume Service） 云搜索服务使用云硬盘存储用户的索引数据，创建实例时会根据购买需求将云硬盘自动挂载在对应节点。 弹性IP（EIP，Elastic IP） 云搜索服务如需要开放公网访问，需要购买弹性IP或IPv6带宽并绑定到实例对应组件上。详细请参考弹性IP产品文档。 对象存储服务（CTZOS，Zettabyte Object Storage） 云搜索服务的实例快照及所需要安装的自定义插件均需要开通对象存储服务，进行存储和读取。详细请参考对象存储服务产品文档。 弹性负载均衡（CTELB ，Elastic Load Balancing） 云搜索服务的实例需要分流访问流量时，可以通过购买负载均衡类产品，对接到云搜索实例上，实现后端主机分流访问。详细请参考弹性负载均衡服务产品文档。 云监控服务 云搜索服务集成公有云云监控服务能力，实时监测集群健康状态和磁盘使用率等核心指标，保障服务稳定运行。用户可通过监控数据及时掌握集群资源状况。详细请参考云监控服务产品文档。 云日志服务 云搜索服务将组件运行期间的日志写入云日志服务中，用户可通过查看日志排查实例运行问题。详细请参考云日志服务产品文档。 云审计 云审计全面记录云搜索服务的核心操作事件，支持操作历史查询与审计回溯。详细请参考云审计产品文档。 统一身份认证服务（Identity and Access Management，简称IAM） 云搜索服务使用天翼云官网统一身份认证服务进行身份鉴权。详细请参考统一身份认证服务产品文档。

本文介绍认证鉴权内容。 信息的获取 获取AccessKey(ak)和SecurityKey(sk)： 登录天翼云门户，在“控制台”>“账号中心”>“安全设置”>“登录保护”>“用户AccessKey”点击“查看”获取。 注意：SecurityKey信息只在创建的时候展示，请务必留存好信息。 EopAuthorization签名认证信息： 可参考调用示例Python3调用示例、Java调用示例 步骤一：构造代签字符串 sigture sigture 需要进行签名的Header排序后的组合列表+ " n " + encode的query + " n " + toHex(sha256(原封的body)) 名称 描述 需要进行签名的Header排序后的组合列表 将ctyuneoprequestid、eopdate以 “headername:headervalue”的形式、以“n”作为每个header的结尾符、以英文字母表作为headername的排序依据将它们拼接起来。注意：EOP强制要求ctyuneoprequestid、eopdate必须进行签名。其他字段是否需要签名看自身需求。例子(假设你需要将ctyuneoprequestid、eopdate、host都要签名)： ctyuneoprequestid:123456789neopdate:20210531T100101Zn encode的query query以&作为拼接，key和value以连接，值需要encode，query参数全部都需要进行签名 toHex(sha256(原封的body)) 传进来的body参数进行sha256摘要，对摘要出来的结果转十六进制 sigture示例1（ 假设query为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z nnne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 sigture示例2（ 假设query不为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Zn”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160930Z nnaa1&bb2ne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

本章主要介绍翼MapReduce的恢复OMS数据功能。 操作场景 在用户意外修改、删除或需要找回数据时，系统管理员对FusionInsight Manager系统进行重大数据调整等操作后，系统数据出现异常或未达到预期结果，模块全部故障无法使用，需要对Manager进行恢复数据操作。 管理员可以通过FusionInsight Manager创建恢复Manager任务。只支持创建任务手动恢复数据。 须知 只支持进行数据备份时的系统版本与当前系统版本一致时的数据恢复。 当业务正常时需要恢复数据，建议手动备份最新管理数据后，再执行恢复数据操作。否则会丢失从备份时刻到恢复时刻之间的Manager数据。 对系统的影响 恢复过程中需要重启Controller，重启时FusionInsight Manager无法登录和操作。 恢复过程中需要重启所有集群，集群重启时无法访问。 Manager数据恢复后，会丢失从备份时刻到恢复时刻之间的数据，例如系统设置、用户信息、告警信息或审计信息。可能导致无法查询到数据，或者某个用户无法访问集群。 Manager数据恢复后，系统将强制各集群的LdapServer从OLadp同步一次数据。 前提条件 如果需要从远端HDFS恢复数据，需要准备备集群。如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置跨Manager集群互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 检查OMS资源状态是否正常，检查各集群的LdapServer实例状态是否正常。如果不正常，不能执行恢复操作。 检查集群主机和服务的状态是否正常。如果不正常，不能执行恢复操作。 检查恢复数据时集群主机拓扑结构与备份数据时是否相同。如果不相同，不能执行恢复操作，必须重新备份。 检查恢复数据时集群中已添加的服务与备份数据时是否相同。如果不相同，不能执行恢复操作，必须重新备份。 停止依赖集群运行的上层业务应用。

本文向您介绍通过企业版VPN实现云上云下网络互通（双活模式）的操作步骤。 前提条件 云侧 请确认虚拟私有云VPC已经创建完成。 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。 如果通过企业路由器ER关联VPN网关，请确认企业路由器ER已经创建完成。 数据中心侧 用户数据中心的VPN设备已经完成IPsec连接相关配置。 操作步骤 VPN服务支持静态路由模式、BGP路由模式和策略模式三种连接模式。本示例以静态路由模式进行配置讲解。 1. 登录管理控制台，单击“网络 > VPN”进入VPN控制台。 2. 配置VPN网关： 1. 在左侧导航栏，单击“虚拟专用网络 > 企业版VPN网关”。 2. 在“VPN网关”界面，单击“创建VPN网关”，并根据界面提示配置参数。 3. VPN网关参数说明如表11所示。 表VPN网关参数说明 参数 说明 取值参数 名称 VPN网关的名称。 vpngw001 网络类型 选择“公网”。 公网 关联模式 选择“虚拟私有云”。 关联ER场景时，请选择“企业路由器”。 虚拟私有云 企业路由器 仅关联场景为“企业路由器”时需要选择。 er001 虚拟私有云 选择用于分配互联子网的VPC。 关联场景为“企业路由器”时，该VPC可以对接ER，也可以不对接ER。 vpc001(192.168.0.0/16) 互联子网 用于VPN网关和VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 本端子网 仅关联场景为“虚拟私有云”时需要配置。 输入网段 输入需要和用户数据中心通信的子网，该子网可以在关联VPC内，也可以不在关联VPC内。 选择子网 选择关联VPC内的子网信息，用于和用户数据中心通信。 192.168.0.0/24，192.168.1.0/24 BGP ASN BGP自治系统编号。 64512 HA模式 选择“双活”。 双活 主EIP VPN网关和用户数据中心通信的公网IP1。 1.1.1.2 主EIP2 VPN网关和用户数据中心通信的公网IP2。 2.2.2.2 3. 配置对端网关： 1. 在左侧导航栏，单击“虚拟专用网络 > 企业版对端网关”。 2. 在“VPN对端网关”界面，单击“创建对端网关”，并根据界面提示配置参数。

本章节主要介绍Redis Proxy集群实例。 DCS Redis的集群实例有两种版本可供选择，一种是基于LVS+Proxy的高可用集群版本（以下简称为Proxy版Redis集群），另一种是原生Cluster的集群版本。Proxy版集群兼容开源Redis 3.0，Cluster版本兼容开源Redis的4.0和5.0。 Redis3.0 Proxy集群实例 DCS Redis3.0 Proxy集群实例基于开源Redis 3.0版本构建，提供64G~1024G多种大容量规格版本，用于满足百万级以上并发 与大容量数据缓存的需要。Redis集群的数据分布式存储和读取，由DCS内部实现，用户无需投入开发与运维成本。 Redis集群实例由“负载均衡器”、“Proxy服务器”、“集群配置管理器”、“集群分片”共4个部分组成。 Redis3.0集群实例规格和Proxy数、分片数的对应关系 集群版规格 Proxy节点数 分片数（Shard） 64G 3 8 128G 6 16 256G 8 32 512G 16 64 1024G 32 128 Redis Proxy集群实例示意图 示意图说明： VPC 虚拟私有云。集群实例的内部所有服务器节点，都运行在相同VPC中。 说明 VPC内访问，客户端需要与Proxy集群实例处于相同VPC，并且配置安全组访问规则。 客户应用程序 客户应用程序，即Redis集群客户端。 Redis可直接使用开源客户端进行连接，关于客户端连接示例，请参考连接实例。 LBM/LBS 负载均衡服务器，采用主备高可用方式。Redis集群实例提供访问的IP地址，即为负载均衡服务器地址。 Proxy Redis集群代理服务器。用于实现Redis集群内部的高可用，以及承接客户端的高并发请求。 支持使用Proxy节点的IP连接集群实例。 Redis shard Redis集群的分片。 每个分片也是一个Redis主备实例，分片上的主实例故障时，系统会自动进行主备切换，集群正常提供服务。 某个分片的主备实例都故障，集群可正常提供服务，但该分片上的数据不能读取。 Cluster manager 集群配置管理器，用于存储集群的配置信息与分区策略。用户不能修改配置管理器的信息。

本节介绍数据安全中心部署形态和使用方式。 产品形态 数据安全中心为SaaS形态产品，无需购买云主机单独部署。 使用说明 客户购买后，使用数据安全中心前，须先开通并使用对象存储OBS或关系型数据库RDS云产品中任意一种，确保有可供数据安全中心扫描的数据。开通数据安全中心后，数据安全中心服务将自动检测用户已添加的资产，并应用敏感规则对其进行风险等级的评价。 使用步骤 1. 进行云资产授权，详见云资产委托授权/停止授权。 2. 添加资产，详见批量添加资产。 3. 识别敏感数据，包括创建敏感数据规则、创建敏感数据规则组、创建敏感数据识别任务、查看识别结果和处理异常事件等，详细操作见敏感数据识别。 4. 进行数据脱敏，根据脱敏算法来配置脱敏规则，执行数据脱敏任务来达到数据脱敏，详细操作见数据脱敏。

您可以通过监控大盘查看业务整体情况。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击控制中心顶部的，选择“地域”。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏 “监控大盘”，进入监控大盘页面。 5. 监控大盘页面可查看多活容灾服务平台的流程指导和资源概览、命名空间汇总等信息。同时，可选择不同命名空间，查看应用端口状态、预案/容灾切换/应急演练/脚本情况和趋势。