本文介绍如何应用运维。 云容器引擎提供从部署到运维的应用生命周期管理，应用创建完成后，您可以查看应用的运行状态、指标趋势等。 操作前提 已完成集群及应用的创建。 操作步骤 1.单击左侧导航栏的【工作负载】>【无状态】，进入无状态应用列表； 2.单击新建的nginx应用，进入应用详情页面； 3.点击【监控】页签，在监控页签下，可查看到应用实例的CPU使用量、内存使用量、网络输入输出速率。只有实例处于运行状态时，才可以查看 CPU 使用量、内存使用量。

参数 参数说明 策略名称 新建策略的名称，请自定义。 集群名称 请选择工作负载所在的集群。 命名空间 请选择工作负载所在的命名空间。 关联工作负载 请选择要设置HPA策略的工作负载。 实例范围 请输入最小实例数和最大实例数。 策略触发时，工作负载实例将在此范围内伸缩。 冷却时间 请输入缩容和扩容的冷却时间，单位为分钟， 缩容扩容冷却时间不能小于 1 分钟 。 该设置仅在1.15 及以上版本的集群中显示，1.13 版本的集群不支持该设置。 策略成功触发后，在此缩容/扩容冷却时间内，不会再次触发缩容/扩容，目的是等待伸缩动作完成后在系统稳定且集群正常的情况下进行下一次策略匹配。 策略规则 策略规则可基于系统指标。 系统指标 指标：可选择“CPU利用率”或“内存利用率”。 说明 利用率 工作负载容器组（Pod）的实际使用量 / 申请量。 期望值：请输入期望资源平均利用率。 期望值表示所选指标的期望值，通过向上取整(当前指标值 / 期望值 × 当前实例数)来计算需要伸缩的实例数。 阈值：请输入缩容和扩容阈值。 当指标值大于缩容阈值且小于扩容阈值时，不会触发扩容或缩容。 阈值仅在 1.15 及以上版本的集群中支持 。 您可以单击“添加策略规则”，设置多条伸缩策略。 说明 HPA在计算扩容、缩容实例数时，会选择最近5分钟内的最大值。

本文介绍边缘云专线应用场景和开通流程。 边缘云专线可实现用户数据中心或第三方云或天翼云中心云与ECX边缘节点内网互通，提供安全、可靠、稳定的业务传输。 应用场景 场景：业务上云 客户需要将本地数据中心已部署的业务部分迁移到ECX边缘节点，云上的业务需要访问本地数据中心，通过搭建专线，实现云上VPC下的多个子网通过内网访问本地数据中心的服务。 专线开通流程介绍 边缘云专线不支持客户自助开通，具体开通流程如图所示： 单击ECX控制台的左侧导航栏的【边缘网络>边缘云专线】查看已开通专线列表，可单击专线名称查看专线的详细信息。

本节介绍了创建普通任务(Job)的用户指南。 基本概念 普通任务：即kubernetes中的“Job”，普通任务是一次性运行的短任务，部署完成后即可执行。使用场景为在创建工作负载前，执行普通任务，将镜像上传至镜像仓库。 操作场景 普通任务是一次性运行的短任务，部署完成后即可执行。正常退出（exit 0）后，任务即执行完成。 普通任务是用来控制批处理型任务的资源对象。批处理业务与长期伺服业务（Deployment、Statefulset）的主要区别是： 批处理业务的运行有头有尾，而长期伺服业务在用户不停止的情况下永远运行。Job管理的Pod根据用户的设置把任务成功完成就自动退出了。成功完成的标志根据不同的spec.completions策略而不同，即： 单Pod型任务有一个Pod成功就标志完成。 定数成功型任务保证有N个任务全部成功。 工作队列型任务根据应用确认的全局成功而标志成功 前提条件 在创建任务前，您需要存在一个可用集群。若没有可用集群，请参照集群开通中内容创建。 操作步骤及说明 步骤 1 登录云容器引擎控制台。 步骤 2 单击集群名称进入集群，在左侧选择“工作负载”，选择“任务”，在右上角单击“创建任务”。 步骤 3 配置工作负载的信息。 基本信息 负载类型：选择普通任务Job。工作负载类型的介绍请参见工作负载概述。 负载名称：输入负载的名称，名称长度为1到63个字符，可以包含小写英文字母、数字和中划线（），并以小写英文字母开头，小写英文字母或数字结尾。 命名空间：选择工作负载的命名空间，默认为当前进入的命名空间。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。

本节主要介绍iBox边缘盒子计费类常见问题。 iBox边缘盒子支持哪些计费模式？ iBox边缘盒子提供租赁服务，到期后设备回收处理。 产品按照不同的规格型号进行收费，标准产品出账模式为元/年或元/3年。 iBox边缘盒子与天翼云视频监控产品有什么不同？ 相比视频监控产品，iBox边缘盒子更适合小规模（比如50路视频以下）、对数据安全要求高的场景。

应用场景 场景一：基于用户请求将匹配的业务流量切分到新版本 假设在当前线上环境中，您已经有一套服务Service v1对外提供7层服务，此时开发了一些新的功能，现需发布新版本Service v2服务。但又不想直接替换Service v1服务，而是希望将请求头包含 “foobar” 或者Cookie包含 “foobar” 的客户端请求转发到Service v2服务中，验证一下新版本功能是否正常，待稳定运行后，再逐步全量切到Service v2服务，平滑下线Service v1服务。示意图如下： 场景二：基于服务权重将业务流量切分到新版本 假设当前线上环境，您已经有一套服务Service v1对外提供7层服务，此时修复了一些问题，需要发布上线一个新的版本Service v2。但又不想将所有客户端流量切换到新版本Service v2中，而是希望将20%的流量灰度到Service v2，待稳定运行后，逐步全量切到Service v2，平滑下线Service v1。示意图如下： 操作步骤 场景一：基于用户请求将匹配的业务流量切分到新版本 步骤一：部署旧版本Service v1和常规Ingress 这里使用Ingress作为service v1应用服务，并且为方便观测流量切分的效果，将nginx欢迎页设置为“v1”。 1. 创建配置configmap，key为index.html，value为v1。 2. 创建nginx工作负载，配置数据卷为刚才创建的configmap；配置镜像和挂载卷，挂载容器路径为：/usr/share/nginx/html；配置访问设置，选择虚拟集群IP类型，容器端口80，服务端口30080。 3. 创建旧版本service v1的常规ingress。灰度ingress一栏选择否，在域名路径规则一栏填写域名，指定服务名称以及端口等。 4. 检查通过Ingress域名能正常访问旧版本service v1服务。 步骤二：部署新版本Service v2 这里同样使用Ingress作为service v2应用服务，并且为方便观测流量切分的效果，将nginx欢迎页设置为“v2”。 1. 创建配置configmap，key为index.html，value为v2。 2. 创建Ingress工作负载，配置数据卷为刚才创建的configmap；配置镜像和挂载卷，挂载容器路径为：/usr/share/nginx/html；配置访问设置，选择虚拟集群IP类型，容器端口80，服务端口30081。 步骤三：创建灰度ingress，在灰度发布新版本 1. 基于Header创建新版本service v2的Ingress。 2. 在灰度Ingress一栏选择是；在生产ingress一栏选择旧版本service v1的常规Ingress；在流量切换方式一栏选择灰度，基于Header的区分方式，填写Header key为foo，Header value为bar，精确匹配；在域名路径规则一栏填写域名，指定服务名称和端口等。 执行命令进行访问测试， 为Nginx Ingress对外暴露的IP：

名称 类型 描述 targetName String iSCSI target名称。 maxSessions Integer iSCSI target下每个IQN允许建立的最大会话数。 iSCSITargets Array of iSCSITarget iSCSI target属性集合，详见“ 表1 响应参数iSCSITarget说明 ”。 luns Array of lun 关联卷的属性，详见“ 表7 响应参数lun说明 ”。 chap.name String CHAP认证名称。 chap.status String CHAP认证状态： Enabled：启用CHAP认证。 Disabled：禁用CHAP认证。 createTime Long 创建iSCSI target的时间，unix时间戳（UTC），精确到毫秒。 serverIds Array of string iSCSI target对应的服务器ID（仅集群版支持）。 num Integer target所在的服务器数量（仅集群版支持）。 reclaimPolicy String iSCSI target的回收策略： Delete：当iSCSI target关联的卷全部删除后，iSCSI target自动删除。 Retain：当iSCSI target关联的卷全部删除后，iSCSI target仍然保留。 status String iSCSI target的状态： Deleting：iSCSI target正在删除。 仅iSCSI target处于删除中会返回此项。

平台的训练任务可以提供稳定和易用的训练环境,在降低训练成本的同时提升训练任务执行效率。 前置条件 完成训练数据集准备，完成存储配置准备（ZOS/HPFS）,详见我的数据集。 如果预置模型不满足开发要求，需要基于自有模型，需要完成模型文件准备，详见我的模型。 如果预置镜像不满足开发要求，需要基于自有镜像，需要完成镜像文件准备，详见我的镜像。 如果需要使用代码包，需要完成代码包的上传，详见我的代码包。 创建训练任务 登录智算服务平台。 创建训练任务入口： 入口一：在左侧菜单选择“模型定制”“训练任务”，点击“新建任务”，进入任务创建页面。 入口二：在左侧菜单选择“模型定制”“开发机”，点击开发机列表的“开始训练”。 参数类型 参数名 说明 基本信息 任务名称 必填，训练任务名称。 基本信息 描述 非必填，输入128个字符的描述。 数据集配置 训练数据集 最多可添加10个，选择基础数据集或者标注数据集。 模型配置 模型来源 我的模型：最多5个，将模型管理中的模型文件挂载到容器内路径。 预置模型：最多5个，将预置模型挂载到容器内路径。 模型配置 模型文件 选择我的模型具体的模型文件及版本。 选择预置模型文件及具体版本。 存储配置 ZOS对象存储 最多选择5个，如果没有提前创建，可以点击“去创建对象存储”完成创建。 存储配置 HPFS并行文件系统 最多选择5个，如果没有提前创建，可以点击“去创建HPFS”完成创建。 环境配置 文件目录 平台可持久化的挂载目录，后续可以在该目录下读写文件，是用户间隔离的。 环境配置 训练代码 非必填，可以选择目标代码包。 环境配置 启动命令 必填。如果您的代码包是文件夹，则需要填写python xx.py，其中xx.py是您的训练代码；如果您的代码中有启动参数，可以直接填写；若您使用的代码包是压缩包文件，需要在启动命令中添加解压命令zip。 资源配置 镜像来源 支持选择系统预置镜像、自定义镜像、共享容器镜像和他人分享镜像。 资源配置 集群 支持公共集群和专属集群两种类型，其中专属集群需要提前购买。 资源配置 队列 选择目标队列，展示当前总资源及使用情况。 资源配置 资源规格 选择当前任务所需要的资源规格。 资源配置 训练模式 默认为DDP（分布式训练），如果在单一计算设备上进行机器学习模型训练选择单机训练。 资源配置 容错训练 启动容错训练后，如果训练过程中节点异常，系统会自动重新启用一个新的节点来替换异常节点，从上一个checkpoint开始继续训练。 高级配置 断点续训 开启容错后，如因为节点故障导致训练任务异常，会封锁故障节点，重新调度训练任务。 高级配置 算力健康检查 检查昇腾机器节点的显卡状态、显卡通信状态和交换机状态，以及带宽的压测值。可训练任务详情页查看具体信息。

插件版本 支持的集群版本 更新特性 社区版本（仅1.17及以上版本集群支持） 1.16.4 /v1.(17192123)./ 新增beta检查项ScheduledEvent，支持通过metadata接口检测宿主机异常导致虚拟机进行冷热迁移事件。该检查项默认不开启。 1.16.3 /v1.(17192123)./ 新增ResolvConf配置文件检查。 1.16.1 /v1.(17192123)./ 新增nodeproblemcontroller。支持基本故障隔离能力。 新增PID、FD、磁盘、内存、临时卷存储池、持久卷存储池检查项。 1.15.0 /v1.(17192123)./ 检测项全面加固，避免误报。 支持内核巡检。支持OOMKilling事件，TaskHung事件上报。 1.14.11 /v1.(171921)./ 适配CCE 1.21集群 1.14.5 /v1.(1719)./ 修复监控指标无法被获取的问题 1.14.4 /v1.(1719)./ 适配ARM64节点部署 适配containerd运行时节点 1.14.2 /v1.(1719)./ 适配Kubernetes 1.19集群，新增支持Ubuntu操作系统和安全容器场景 1.13.8 /v1.15.11v1.17./ 修复容器隧道网络下CNI健康检查问题 调整资源配额 1.13.6 /v1.15.11v1.17./ 修复僵尸进程未被回收的问题 1.13.5 /v1.15.11v1.17./ 增加污点容忍配置 1.13.2 /v1.15.11v1.17./ 增加资源限制，增强cni插件的检测能力

本文介绍智能边缘云ECX的计费组成和计费方式。 计费概述 智能边缘云ECX的计费由边缘算力和边缘网络两部分组成。 边缘算力包括虚拟机、存储、裸金属等产品，计费项目包括vCPU、内存、存储容量等。算力支持后付费和预付费两种方式，具体计费模式有： 包年包月：预付费方式。 按需计费：后付费方式。 边缘网络支持后付费和预付费两种方式，具体计费模式有： 包年包月：预付费方式。 按需计费：后付费方式。 按月95峰值计费：后付费方式，适用于网络带宽计费，仅针对特定客户开放，详情请咨询客户经理。 根据您选择的边缘云实例规格和使用时长，选择适合您业务的计费方式。部分产品、计费模式，仅针对特定客户开放，如需了解更多信息，请联系客户经理。 计费项目 计费项 计费说明 边缘虚拟机 根据购买的实例类型及规格（vCPU、内存、GPU等）、计费方式、购买时长以及所购买的实例数量计费。 边缘存储（必选） 根据购买的存储类型（云硬盘、本地盘等）、规格（高IO、超高IO等）、计费方式、硬盘容量、实例数量计费。 边缘裸金属（可选） 根据购买的实例类型及规格、计费方式、购买时长以及所购买的实例数量计费。 边缘网络（可选） 如需访问互联网，请购买网络相关的产品：公网IP、共享带宽、NAT网关、负载均衡、IPv6网关等。根据产品类型及产生的带宽计费。 公网IP目前支持免费申请，只收取带宽费用。请及时挂载到具体业务上，系统将定时回收闲置的公网IP。 带宽支持按流量或带宽计费。

本文介绍HTTPS双向认证功能原理。 功能介绍 双向认证，顾名思义，即客户端与服务器双方均需认证对方的身份，在确认对方身份后才可以建立HTTPS连接。在标准的HTTPS中，通常采用单向认证的方式，即服务器向客户端证明自己的身份以建立一个安全加密的通信连接；双向认证在服务器向客户端证明身份的基础上，还需要客户端也提供客户端证书，供服务器验证客户端的身份，客户端与服务器双方都验证通过对方的身份后，才建立HTTPS连接。 单向认证流程： 1. 客户端向边缘加速节点发起HTTPS请求。 2. 边缘加速节点将对应域名的SSL证书公钥发送给客户端。 3. 客户端验证对应证书公钥正确后，随机生成一个密钥，并使用公钥进行加密后发送给边缘加速节点。 4. 边缘加速节点使用对应私钥进行解密，得到密钥。 5. 客户端与边缘加速节点在后续通信过程中使用该密钥对传输的数据加密。 6. 客户端与边缘加速节点使用对应密钥对收到的数据进行解密，获取对应数据。 双向认证流程： 1. 客户端向边缘加速节点发起HTTPS请求。 2. 边缘加速节点将对应域名的SSL证书公钥发送给客户端，并发送证书请求标记要求获取客户端证书。 3. 客户端验证域名的SSL证书公钥正确后，随机生成一个密钥A，并使用SSL证书公钥进行加密后发送给边缘加速节点。同时客户端收到证书请求标记，将发送对应的客户端证书给边缘加速节点，同时计算历史消息的hash值，将该hash值通过客户端私钥签名，并将签名结果也发送给边缘加速节点。 4. 边缘加速节点使用域名SSL证书对应的私钥进行解密，得到密钥A。同时获取客户端的证书和签名后，验证客户端证书是否可信，并使用客户端证书公钥和历史消息的hash值校验签名是否正确，存储验证结果。 5. 客户端与边缘加速节点在后续通信过程中使用该密钥A对传输的数据加密。 6. 客户端与边缘加速节点使用对应密钥A对收到的数据进行解密，获取对应数据。 7. 后续客户端发送请求，如果之前验证是通过的则正常处理，否则立即返回错误响应，告诉客户端双向认证失败。

初识WAF 说明 相关文档 什么是边缘安全加速平台？ 通过介绍边缘安全加速平台，主要功能和应用场景，帮助首次使用边缘安全加速平台的客户全面认识产品。 为什么需要边缘安全加速平台？ 通过详细介绍产品优势，帮助客户全面了解边缘安全加速平台能解决的业务问题。 安全与加速服务如何计费？ 详细介绍天翼云边缘安全加速平台—安全与加速服务支持的计费方式，指导客户如何选择合适的计费方式。 基本概念 为帮助客户在浏览相关文档时能更快更准确理解相关功能及流程，专门提炼相关专业术语并提供解释说明。

您可以随时手动续订包年包月的DDoS高防（边缘云版）服务，本文介绍手动续订操作方式。 续订规则 用户随时可以手动续订包月包年且未退订、未释放的资源，延长相关资源的使用时间。 手动续订方式 官网控制中心产品视图中找到需要续订的产品，点击“手动续订”，根据使用需要调整续订周期后，提交续订订单。 当续订周期达到1年或以上时，续订单将可享受包年折扣。 手动批量续订 用户可以一次性手动续订多个包月包年且未退订、未释放资源，最多一次性续订50个资源。 批量续订方式：进入控制中心费用中心续订管理页面，通过筛选资源到期时间、筛选产品类型等，找到并勾选所需续订的多个资源，点击“批量续订”。 下单前如需确认资源详情，可点击右侧的下拉键查看资源ID、配置等。 批量续订的多个资源续订周期相同，如需对不同资源续订不同周期，需要分别下不同的续订订单。

本文介绍ECI虚拟节点概述。 ECI为Kubernetes提供一种层次化的解决方案：即ECI负责底层Pod容器资源的调度和管理工作，Kubernetes在ECI之上作为PaaS层来管理业务负载，例如管理Deployment、Service、StatefulSet、CronJob等。 ECI在接管Pod容器底层基础设施的管理工作后，Kubernetes不再需要直接负责单个Pod的放置、启动等工作，也不再需要关心底层虚拟机的资源情况，通过ECI即可确保Pod需要的资源随时可用。对于长时间运行的业务负载，可以将此类负载的弹性流量部分调度至ECI，缩短弹性扩容的时间，减少弹性部分的扩容成本，并尽可能充分利用已有资源。当业务流量下降后，可以快速释放部署在ECI上的Pod，从而降低使用成本。 如果在天翼云上自建了Kubernetes集群，则可以通过部署虚拟节点（VNode）的方式来使用ECI。VNode对标原生kubernetes节点，内置了virtualkubelet等组件，兼容原生kubernetes节点API。当有Pod调度到VNode上时，VNode会自动创建并管理底层的ECI资源。在VNode上运行的每个Pod都对应一个ECI实例。

本章节介绍微服务云应用平台相关名词解释 MSAP 本系统即微服务云应用平台（MicroService Application Platform）的英文简称。 云容器引擎 云容器引擎是天翼云产品，提供高度可扩展的、高性能的Kubernetes集群、一站式容器服务。 ECS 弹性云主机（Elastic Cloud Server）是天翼云产品，可随时获取、弹性扩展，由 CPU、内存、镜像、云硬盘组成，结合多种能力打造安全应用环境，确保服务稳定运行。 应用性能监控 应用性能监控是天翼云产品，帮助您进行应用性能管理。通过无入侵式探针接入的方式，无需您修改代码，就能够对应用进行全方位监控，帮助您快速定位出错接口和慢接口，重现调用参数，发现系统瓶颈，从而大幅提升线上问题诊断的效率。 微服务治理中心 微服务治理中心是天翼云微服务引擎的子产品，兼容SpringCloud、Dubbo等开源微服务框架，支持无侵入的接入应用，提供标签路由、灰度发布、无损上下线、服务降级、服务鉴权等服务治理的能力。。 注册配置中心 注册配置中心是天翼云微服务引擎的子产品，面向业界主流开源微服务项目，致力于帮助用户发现、配置和管理微服务，实现动态服务发现、服务配置、服务元数据及流量管理等功能，通过微服务注册配置中心，您可以更敏捷、更简单地构建、交付和管理微服务平台。

本文简述回源协议的支持场景和配置方法。 功能介绍 回源协议指边缘节点回源站请求资源时使用的协议。配置该功能后，边缘节点将根据指定的协议回源。边缘安全加速平台产品支持HTTP回源协议、HTTPS回源协议、跟随客户端请求使用的协议回源三种回源协议。具体说明如下： 参数 说明 HTTP 边缘节点以HTTP协议回源。 HTTPS 边缘节点以HTTPS协议回源。 跟随 客户端以HTTP或HTTPS协议请求边缘节点，边缘节点跟随客户端的协议请求源站（源站需要同时支持HTTP协议和HTTPS协议，否则可能会造成回源失败）。 配置说明 1.登录边缘安全加速控制台。 2.在域名基础配置页面，点击目标域名。 3.进入源站设置页面，单击“编辑配置”。 4.在回源协议模块，选择合适的回源协议。 配置界面 新增域名，配置回源协议： 修改回源协议：

目录 说明 相关链接 产品计费 介绍边缘接入服务的计费详情。 用户指南 介绍边缘接入服务的控制台如何配置操作。 最佳实践 介绍边缘接入服务的业务实例、行业实践案例等。

参数 描述 实例名称 实例名称为4～64个字符，必须以字母开头，区分大小写，可包含字母、数字、中划线或下划线，不能包含其他特殊字符。 创建成功后，可修改实例名称。 版本类型 社区版。 实例类型 选择“集群”。 集群类型的实例包含mongos、shard和config节点。其中，shard和config节点均采用三节点副本集架构，保证高可用。 兼容MongoDB版本 4.0 3.4 存储类型 超高IO 存储引擎 WiredTiger。 可用区 可用区是指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。

避免使用ServcieAccount Secret Token访问集群 Kubernetes 1.21以前版本的集群中，Pod中获取token的形式是通过挂载ServiceAccount的Secret来获取的，这种方式获得的token是永久的，Pod被删除后token仍然存在Secret中，一旦泄露可能导致安全风险。该方式在1.21及以上的版本中不再推荐使用，并且根据社区版本迭代策略，在1.25及以上版本的集群中，ServiceAccount将不会自动创建对应的Secret。 Kubernetes 1.21及以上版本的集群中，直接使用TokenRequest API获得token，并使用投射卷（Projected Volume）挂载到Pod中。使用这种方法获得的token具有固定的生命周期（默认有效期为1小时），在到达有效期之前，Kubelet会刷新该token，保证Pod始终拥有有效的token，并且当挂载的Pod被删除时这些token将自动失效。该方式通过Bound ServiceAccount TokenVolume特性实现，能够提升服务账号（ServiceAccount）token的安全性，Kubernetes 1.21及以上版本的集群中会默认开启。 为了帮助用户平滑过渡，社区默认将Token有效时间延长为1年，1年后token失效，不具备证书reload能力的client将无法访问APIServer，建议使用低版本client的用户尽快升级至高版本，否则业务将存在故障风险。 基于Secret的ServiceAccount Token由于token由于具有上述的安全风险。1.23版本以及以上版本云容器引擎集群推荐使用Bound Servcie Account Token，该方式支持设置过期时间，并且和Pod生命周期一致，可减少凭据泄露风险。例如： apiVersion: apps/v1 kind: Deployment metadata: name: tokenexample namespace: tokenexample spec: replicas: 1 selector: matchLabels: app: tokenexample label: tokenexample template: metadata: labels: app: tokenexample label: tokenexample spec: serviceAccountName: boundsatoken containers: image: nginx imagePullPolicy: Always name: tokenexample volumes: name: testsecurity projected: defaultMode: 420 sources: serviceAccountToken: expirationSeconds: 3600 path: token configMap: items: key: ca.crt path: ca.crt name: kuberootca.crt downwardAPI: items: fieldRef: apiVersion: v1 fieldPath: metadata.namespace path: namespace

开通方式 登录应用性能监控控制台，点击左侧菜单栏【用量统计】，点击【订购资源包】，按照页面提示完成开通即可。 Prometheus监控计费说明 Prometheus监控按照用户实际使用的自定义指标上报量、指标存储时长进行按需计费。 说明 Prometheus监控仅对自定义指标收取指标上报费用，对云容器引擎的基础指标不收取上报费用，且提供免费15天存储。 目前容器基础指标存储时间默认为15天，因此默认情况下，在云容器引擎中开启Prometheus基础指标监控不会产生额外费用，请放心使用。若额外开启自定义指标监控，请参考下文计费说明。 计费项说明 应用性能监控Prometheus监控各计费项说明如下。 计费项 计费说明 自定义指标上报量 自定义指标上报量（即采样点数量）的计算遵循开源 Prometheus 数据模型。每条采样点数据包含指标名称、Label 集合、时间戳及取值，并以时间线形式逻辑组织。例如一个指标监控 Kubernetes 集群各节点的可分配 CPU 核心数：若集群有 3 个节点，采样周期为 15 秒，则每分钟上报的采样点总量为 3×(60/15)12 条（每个节点对应一条时间线）。 指标存储时长 默认支持的指标存储时长为15天。15天内不收取存储时长费用，超过15天则按量累计计费。 价格说明 自定义指标上报量：按日均上报数据量进行阶梯计费，如0 150百万条范围内的指标量，按0.6元/百万条进行计费，超过150万条不足600万条的部分，按照0.5元/百万条进行计费，如此类推。Prometheus监控仅对上报的自定义指标收取该计费项费用，对于任意数量的基础指标都不收取上报量费用。 日均上报数据量范围 标准价格(元/百万条) 0 150百万条 0.6 150 600百万条 0.5 600 1200百万条 0.35 1200百万条以上 0.25 指标存储时长：默认支持的指标存储时长为15天。15天内可免费使用，不收取存储时长费用，超过15天则按量累计计费。 计费项 标准价格(元/百万条/天) 指标存储时长 0.005

步骤四：查看事件报表 镜像配置防护策略后，会记录防护事件信息，包括报警名称、报警级别、报警类型、集群名称、受影响的节点/仓库、镜像名称、状态、首次发现时间、最近发现时间等。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“告警响应 > 镜像告警”。 3. 在告警列表可以查看镜像告警记录。 4. 单击列表操作列的“处理”，可对事件进行“标记为已处理”、“加入白名单”、“镜像阻断”等处置。单击列表右上方的“标记为已处理”，可以批量处置误报的告警。

本节介绍了如何配置频率控制防护策略。 使用场景 频率控制通过配置IP,URL,ARGS,HEADER,COOKIE,UA等粒度，进行访问次数限制。针对访问频次较高的请求进行处置，防止客户资源被过度消耗。 例如，您可以限制源IP的访问频率，以防御HTTP Flood攻击（即CC攻击）。频率控制功能具备高度灵活性，提供细粒度的匹配粒度，同时支持自由组合。 前提条件 已开通DDoS高防（边缘云版）。 域名状态为“已启用”。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【业务接入】【域名接入】页面。 3.选择需要配置的域名，在操作栏点击【防护配置】按钮，进入【访问控制】页面。 新增规则 在频率控制列表右侧，单击【新增】按钮，在弹框中完成规则配置后，点击新增。 针对满足匹配条件的请求报文，按照所选粒度去统计请求次数，当统计次数达到处理条件，则对该粒度的所有请求执行相应处理动作。 例如：选择IP统计粒度，在满足匹配条件的请求内，以客户端IP为粒度统计请求次数，当某个IP的请求次数超过处理条件，则对该IP的后续所有请求执行相应处理动作。 配置项 说明 处理动作 支持跳转、丢弃、告警、拦截。 告警：达到阈值后只记录攻击日志。 跳转：达到阈值后进行Cookie挑战验证。 拦截：达到阈值后拦截请求。 丢弃：达到阈值后拦截请求但不会响应页面，减少带宽。 规则名称 自定义规则名称。 匹配条件 支持配置多条，同一规则下多条匹配条件同时满足进行处理。 匹配字段： PATH：目录路径，比如：/qr/;/app/verifyCode/ IP：客户端IP，比如：192.168.1.1;192.168.1.2 IPS：客户端ip段,比如：192.168.1.0/24;192.168.2.0/24 IPR：客户端ip范围，比如：192.168.1.1192.168.1.10;192.168.1.12192.168.1.20 URI：URI不包括问号后参数，比如：/login.php REQUESTURI：URI包括问号后参数，比如：login.php?id1 METHOD：请求方式，比如：GET;POST ARGS：问号后参数名 GEO：地理位置 HEADER：请求头部 统计粒度 根据选择的统计粒度进行统计，多选则按照多个粒度统计。 统计粒度允许缺失 开启时，若统计粒度缺失则按照单粒度统计。 处理条件 按照所配置的统计粒度进行数量统计，当达到处理条件则执行处理动作。 处理动作持续时间 单位：秒。 调整优先级 在规则列表中的优先级一列，可通过箭头符号对规则优先级顺序进行调整。 说明 越往前的优先级越高，优先匹配规则处理。最新增加的规则放在最末，优先级最低。 查看规则 在规则列表操作栏，点击【查看】按钮，可查看规则的详细配置。 编辑规则 在规则列表操作栏，点击【编辑】按钮，可修改规则配置。 删除规则 在规则列表操作栏，点击【删除】按钮，可删除规则。 注意 新增规则、调整规则优先级、编辑规则、删除规则后需要点击【提交部署】，否则变更将无法下发。

开通边缘接入服务 在购买页面选择适合的套餐和扩展服务，勾选并阅读服务协议，确认无误后点击【立即购买】，边缘安全加速平台—边缘接入服务即开通。 步骤五：接入控制台 边缘安全加速平台—安全与加速服务/边缘接入服务开通后，便可以根据操作手册去控制台开始接入您的业务。

Kubernetes 1.28 版本Changelog 1. 优化了调度器逻辑，通过减少无效的重试，提升调度器的整体性能。 2. 节点非体面关闭正式 GA，该特性允节点非正常关闭时 StatefulSet 及时调度到正常节点，降低对业务的影响。 3. 可追溯的默认 StorageClass 正式 GA，该特性允许未分配 StorageClass 的 PVC 自动更新 storageClassName 字段为默认 StorageClass。 4. 节点 podresources API 正式 GA，该特性支持公开专门分配给容器的计算资源。 5. Linux 节点支持使用 NodeSwap 升级为Beta版，该特性支持用户在 Linux 节点上使用交换内存的功能。 6. 验证准入策略（ValidatingAdmissionPolicy）进入 Beta 阶段，该特性提供声明式的方式验证资源请求，支持基于 CEL 编写的验证规则。 7. 弃用 Ceph FS 和 Ceph RBD 等树内插件，并将于 v1.31 中删除。 更多信息请参考：Kubernetes 1.28 Changelog

根据业务需求创建伸缩策略（周期策略） 为已创建好的伸缩组设置伸缩策略，来满足突发的业务流量变化，确保业务的稳定运行。 1. 登录控制中心。 2. 单击控制中心左上角的，选择弹性伸缩组所在地域。 3. 单击“计算>弹性伸缩服务”，进入弹性伸缩管理控制台。 4. 点击步骤2创建好的伸缩组名称，进入到伸缩组详情页面。 5. 在详情页面的下方，单击“伸缩策略”进入伸缩策略页签，单击“创建策略”按钮，进入到“创建伸缩策略”页面。 6. 在“创建伸缩策略”页面中完成策略的配置，在本实践中需要添加两个周期策略，一个扩容策略，一个缩容策略。具体操作步骤可参见创建伸缩策略。以下为本实践中扩容策略专有的属性值设置说明： 策略类型选择周期策略。 时区保持默认GMT +8:00。 触发时间设置为业务高峰期到来前5分钟，例如每天晚上20:00是高峰期起始时间，则周期设置为按天，8月1日至9月30日期间，触发时间设置为每晚19:55。 执行动作设置为增加5个实例。 7. 完成以上配置之后单击“确认”，即可成功创建周期扩容策略。 8. 继续创建缩容策略，以下为本实践中缩容策略专有的属性值设置说明： 策略类型选择周期策略。 时区保持默认GMT +8:00。 触发时间设置为业务高峰期结束后5分钟，例如每天晚上22:00是高峰期结束时间，则周期设置为按天，8月1日至9月30日期间，触发时间设置为每晚22:05。。 执行动作设置为减少5个实例。 9. 完成以上配置之后单击“确认”，即可成功创建缩容策略。

前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为高级版及以上版本，支持账户广告防护相关功能。 配置说明 配置项 说明 开关 设置广告防护策略开启或者关闭 高级js动态检测开关 关闭：只检测页面已有广告内容（静态嵌入广告检测） 开启：将检测页面通过js动态添加元素内容，判断动态添加元素是否在白名单内，不在白名单则移除对应元素 处理动作 触发广告防护的处理动作，可选择告警或者清除 防护范围 设置要配置广告防护的URI URI：设置防护要等于/不等于的URI，例如：/home.jsp支持填写多个URI，用英文分隔符分隔 PATH：设置防护要等于/不等于的路径，例如：/匹配请求URI前缀，/表示全站，用英文分隔符分隔 多个粒度为且的逻辑；多个条件为或的关系 白名单 外链白名单，当资源请求的链接来自设置的白名单时，不会进行广告处理，允许正常显示广告、图片

本文说明应用加速产品升级情况。 尊敬的天翼云客户： 因业务调整，从2024年12月1日起，天翼云应用加速产品将并入边缘安全加速平台，边缘安全加速平台边缘接入服务可提供应用加速和边缘DDoS防护能力，相比于应用加速的应用场景更丰富。 新购客户：2024年12月1日起，将无法订购应用加速产品。如需订购，请订购其升级产品边缘安全加速平台边缘接入服务。 存量客户：应用加速产品将持续提供服务至您当前订单周期结束，但从2024年12月1日起，将无法进行续订和变更。如需续订，请订购其升级产品边缘安全加速平台边缘接入服务；如需变更，请先退订应用加速产品，再通过订购边缘安全加速平台的边缘接入服务来满足您的需求。 更多边缘安全加速平台信息详见： 如有任何问题，请您随时通过在线客服或服务热线4008109889联系我们，我们将竭诚为您服务。 感谢您对天翼云的支持！ 天翼云服务团队

本文主要介绍如何使用ICAgent采集容器日志。 集群kubesystem命名空间下名为icagent的DaemonSet），ICAgent负责收集工作负载的日志并上报到AOM，您可以在CCE控制台和AOM控制台查看工作负载的日志。 约束与限制 ICAgent只采集.log、 .trace和 .out类型的文本日志文件。 费用说明 AOM每月赠送每个账号500M免费日志采集额度。 使用ICAgent采集日志 在工作负载中可以单独配置日志采集策略，此策略需要使用ICAgent。 步骤 1 在CCE中创建工作负载时，在配置容器信息时可以设置容器日志。 步骤 2 单击添加日志策略。 以nginx为例，不同工作负载根据实际情况配置。 图 添加日志策略 步骤 2 存储类型有“主机路径”和“容器路径”两种类型可供选择： 表 配置日志策略 参数 参数说明 :: 存储类型 主机路径：HostPath模式，将主机路径挂载到指定的容器路径（挂载路径）。用户可以在节点的主机路径中查看到容器输出在挂载路径中的日志信息。 容器路径：EmptyDir模式，将节点的临时路径挂载到指定的路径（挂载路径）。临时路径中存在的但暂未被采集器上报到AOM的日志数据在Pod实例删除后会消失。 主机路径 请输入主机的路径，如：/var/paas/sys/log/nginx 挂载路径 请输入数据存储要挂载到容器上的路径，如：/tmp 说明 请不要挂载到系统目录下，如“/”、“/var/run”等，否则会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，工作负载创建失败。 挂载高危目录的情况下 ，建议使用低权限帐号启动，否则可能会造成宿主机高危文件被破坏。 AOM只采集最近修改过的前20个日志文件，且默认采集两级子目录。 AOM只采集挂载路径下的“.log”、“.trace”、“.out”文本日志文件。 容器中挂载点的权限设置方法，请参见为Pod或容器配置安全性上下文。 主机扩展路径 仅“主机路径”类型需要填写 通过实例的ID或者容器的名称扩展主机路径，实现同一个主机路径下区分来自不同容器的挂载。 会在原先的“卷目录/子目录”中增加一个三级目录。使用户更方便获取单个Pod输出的文件。 None：不配置拓展路径。 PodUID：Pod的ID。 PodName：Pod的名称。 PodUID/ContainerName：Pod的ID/容器名称。 PodName/ContainerName：Pod名称/容器名称。 采集路径 设置采集路径可以更精确的指定采集内容，当前支持以下设置方式： 不设置则默认采集当前路径下.log .trace .out文件 设置表示递归采集5层目录下的.log .trace .out文件 设置表示模糊匹配 例子： 采集路径为/tmp/ /test.log表示采集/tmp目录及其15层子目录下的全部以test开头的.log文件。 注意 使用采集路径功能请确认您的采集器ICAgent版本为5.12.22或以上版本。 日志转储 此处日志转储是指日志的本地绕接。 设置：AOM每分钟扫描一次日志文件，当某个日志文件超过50MB时，会立即对其转储（转储时会在该日志文件所在的目录下生成一个新的zip文件。对于一个日志文件，AOM只保留最近生成的20个zip文件，当zip文件超过20个时，时间较早的zip文件会被删除），转储完成后AOM会将该日志文件清空。 不设置：若您在下拉列表框中选择“不设置”，则AOM不会对日志文件进行转储。 说明 AOM的日志绕接能力是使用copytruncate方式实现的，如果选择了设置，请务必保证您写日志文件的方式是append（追加模式），否则可能出现文件空洞问题 当前主流的日志组件例如Log4j、Logback等均已经具备日志文件的绕接能力，如果您的日志文件已经实现了绕接能力，则无需设置。否则可能出现冲突 建议您的业务自己实现绕接，可以更灵活的控制绕接文件的大小和个数。 步骤 3 单击“确定”，并完成创建工作负载。

项目 描述 iSCSI目标 指定还原卷的iSCSI target名称。 iSCSI目标名称：字符串形式，长度范围1~16，只能由小写字母、数字、句点（.）和短横线（）组成，且仅支持以字母或数字开头。 说明 还原卷时，如果指定的iSCSI target名称不存在，那么同时创建iSCSI target。 缓存存储池 指定还原卷的缓存存储池（仅集群版支持）。如果指定了缓存存储池，卷数据首先写入缓存存储池，然后再存入存储池。 存储池 指定还原卷的存储池（仅集群版支持），表示最终存储池，卷数据最终落在该存储池内。默认使用集群的基础存储池。 注意 存储池与缓存存储池不能是同一个存储池。 卷冗余模式 还原卷的冗余模式（仅集群版支持）： 取值： 副本: 单副本。 两副本。 三副本。 EC N+M ：纠删码模式。其中N、M为正整数，N≥M，且N+M≤128。表示将数据分割成N个片段，并生成M个校验数据。分片大小可以为1 KiB、2 KiB、4 KiB、8 KiB、16 KiB、32 KiB、64 KiB、128 KiB、256 KiB、512 KiB、1024 KiB、2048 KiB、4096 KiB。 默认使用源卷的配置。 说明 以下场景均为集群可用的前提下： 还原EC N+M的卷后： 卷所在存储池可用故障域数量大于等于卷的最小副本数时，可以向卷中写数据。卷所在存储池可用故障域数量小于最小副本数时，不能向卷写数据，且系统会产生告警。 卷所在存储池可用故障域数量大于等于N+M，卷数据正常，不会产生降级。卷所在存储池可用故障域数量处于[N, N+M），卷数据将处于降级状态，建议尽快添加或修复故障域。卷所在存储池可用故障域数量小于N时，已写入的数据发生损毁。 还原副本模式的卷后： 卷所在存储池可用故障域数量大于等于卷的最小副本数时，可以向卷中写数据。卷所在存储池可用故障域数量小于最小副本数时，不能向卷写数据，且系统会产生告警。 卷所在存储池可用故障域数量大于等于副本数，卷数据正常，不会产生降级。对于两副本、三副本卷，卷存储池所在故障域大于等于1，但小于副本数时，卷数据将处于降级状态，建议尽快添加或修复存储池故障域。卷所在存储池无可用故障域时，已写入的数据发生损毁。 最小副本数 还原卷的最小副本数（仅集群版支持）。点击“卷冗余模式”后的“更多”按钮，可以填写最小副本数。 对于副本模式的卷，假设卷副本数为X，最小副本数为Y（Y必须≤X），该卷每次写入时，至少Y份数据写入成功，才视为本次写入成功。 对于EC N+M模式的卷，假设该卷最小副本数设置为Y（必须满足N≤Y≤N+M），必须满足总和至少为Y的数据块和校验块写入成功，才视为本次写入成功。 取值：整数。对于副本卷，取值范围是[1, N]，N为副本模式卷的副本数；对于EC卷，取值范围是[N, N+M]。如果未设置还原卷的最小副本数，默认值为源卷的配置。 折叠副本数 指定还原卷的折叠副本数（仅集群版支持）。在数据冗余模式下，同一份数据的不同副本/分片默认分布在不同的故障域，当故障域损坏时，允许根据卷的冗余折叠原则，将多份数据副本放在同一个故障域中，但是分布在不同的path上。 注意 如果存储池故障域级别为path，此参数不生效。如果指定了还原卷的折叠副本数，必须指定还原卷的冗余模式。 类型：整型 取值：整数。对于副本卷，取值范围是[1, N]，N为副本模式卷的副本数；对于EC卷，取值范围是[1，N+M]。如果未设置还原卷的折叠副本数，默认值为源卷的折叠副本数。 卷存储模式 还原卷的存储模式： 缓存模式：本地保留部分热数据，全部数据异步存储到对象存储中。 存储模式：本地保留全部数据，并异步存储到对象存储中。 默认使用源卷的配置。 高可用 还原卷的高可用类型（仅集群版支持）： 主备：该卷关联对应target下的所有IQN。 禁用：不启用主备，该卷关联对应target下的1个IQN。 默认值为源卷的配置。 写策略 还原卷的写策略： 回写：指数据写入到内存后即返回客户端成功，之后再异步写入磁盘。适用于对性能要求较高，稳定性要求不高的场景。 透写：指数据同时写入内存和磁盘，并在都写成功后再返回客户端成功。适用于稳定性要求较高，写性能要求不高，且最近写入的数据会较快被读取的场景。 绕写：指数据直接写到磁盘，不写入内存。适用于稳定性要求较高，性能要求不高，且写多读少的场景。 默认值为源卷的配置。 数据目录 单机版本创建卷时，指定卷数据的存储位置（仅单机版支持）。 如果创建卷时不指定数据目录，使用服务器设置的默认数据目录。 取值：只能包含字母、数字、汉字和特殊字符(~ ! @ $ ( ) + ; . :)。

本节介绍企业主机安全病毒查杀功能。 病毒查杀概述 病毒查杀功能使用特征病毒检测引擎，支持扫描服务器中的病毒文件，扫描文件类型覆盖可执行文件、压缩文件、脚本文件、文档、图片、音视频文件；用户可根据自身需要，自主对服务器执行“快速查杀”、“全盘查杀”、“自定义查杀”扫描任务，并及时处置检测到的病毒文件，增强业务系统的病毒防御能力。 使用约束 使用病毒查杀功能须满足以下条件： 服务器已开启HSS企业版、旗舰版、网页防篡改版或容器版防护。 服务器已安装Agent的版本为以下版本，升级Agent的操作，请参见升级Agent章节。 Linux：3.2.9及以上版本。 Windows：4.0.20及以上版本。 服务器已开启AV检测策略，详细操作请参见策略管理概述章节。 扫描病毒 静态病毒文件一旦启动就可能化身恶意进程，成为服务器的巨大安全隐患，因此提前查杀静态病毒文件是防护服务器安全的关键之一。HSS的病毒查杀功能，支持扫描服务器上的病毒文件，并提供以下三种病毒扫描方式供您扫描病毒： 快速查杀：节约时间成本的快速病毒扫描任务，查杀预置的系统关键文件和目录。 全盘查杀：比较耗费时间的全磁盘病毒扫描任务，全面清扫服务器中的病毒文件。 自定义查杀：您可以根据自身需求自定义病毒扫描任务。

编辑自动注入标签 通过启动自动注入功能，可以在创建Pod的过程中，将Sidecar代理自动注入Proxy容器，以实现数据平面的网格化。 1. 登录控制台，在左侧导航栏，选择网格实例 > 全局命名空间 。 2. 在全局命名空间页面的自动注入列，单击目标命名空间对应的 编辑标签 ，然后在弹出页面中选择编辑标签，单击确定 。 说明 1. 启用Sidecar网格代理自动注入后，您需要重启Pod使配置生效。 2. 编辑页仅支持展示和编辑服务网格相关的标签，即istioinjection，opaistioinjection和istio.io/rev。 同步自动注入标签 1. 登录控制台，在左侧导航栏，选择网格实例 > 全局命名空间 。 2. 在全局命名空间页面的自动注入列，单击目标命名空间对应的 同步 。点击确定即发起同步。 点击同步后产生的效果： 1. 命名空间会同步给所有所属集群（参考下方编辑全局命名空间的所属集群章节）。 2. 从集群中如果不存在该命名空间，则会新建。 3. 从集群中如果存在该命名空间，服务网格相关的标签会被更新为主集群的取值。 说明 目前只会同步服务网格相关的标签，即istioinjection，opaistioinjection和istio.io/rev。

本文介绍CDN缓存节点的分类。 背景说明 使用天翼云CDN加速以后，用户访问网站域名的请求，将会由客户网站权威DNS通过CNAME的方式授权给天翼云权威DNS，由天翼云权威DNS进行全局负载均衡调度，将用户请求引导至最近的边缘节点。本文主要介绍CDN节点的分类。 详细信息 CDN节点分为边缘节点和中间节点，边缘节点分布在全国各省市，用于与终端用户直接交互，中间节点位于各大区，用于将所有边缘节点请求收敛，以降低回源量。 相关节点架构如下图示： 1. 客户端首先经由DNS的牵引，向天翼云CDN边缘节点发起请求；边缘节点有缓存，则直接返回给用户。 2. 若CDN边缘节点无此内容，则边缘节点向中间节点发起请求。 3. 若中间节点无此内容，则回客户源站获取内容并缓存，同时响应给边缘节点。 4. 边缘节点最终响应给客户端，并按照配置的策略缓存该文件。