云硬盘服务 可以将云硬盘挂载至物理机，并可以随时扩容云硬盘容量。 虚拟私有云 为物理机提供一个逻辑上完全隔离的专有网络，您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间物理机的访问规则，加强物理机的安全保护。 镜像服务 您可以通过镜像创建物理机，提高物理机的部署效率。 云监控服务 当您开通了物理机后，安装telescope软件并完成相关配置，即可在云监控服务查看物理机的监控数据，还可以获取可视化监控图表。如何配置物理机带内监控，请参考《主机监控配置》。

实例类型 简介 使用说明 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 主备实例 采用一主一备的经典高可用架构，主备实例的每个节点的规格保持一致。 备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。 当主节点故障后，会自动发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 只读实例 采用单个物理节点的架构（没有备节点）。 只读实例是单机版本，当物理机故障或者数据库复制异常后，需要较长时间重建和恢复（取决于数据量）。 集群版实例 采用微软AlwaysOn高可用架构，支持1主1备5只读集群模式，拥有更高可用性，可靠性，可拓展能力。 仅限 RDS for SQL Server使用。

本节主要介绍导出性能数据命令。 ./stor monitor { E export } [ { d dimension } DIMENSION ] [ { i instance } INSTANCEID ] [ starttime STARTTIME ] [ endtime ENDTIME ] [ { o out } DIRECTORY ] 此命令用来导出HBlock性能数据。 参数 参数 描述 d DIMENSION 或 dimension DIMENSION 指定监控对象。 取值： system：系统。 pool：存储池（仅集群版支持）。 server：服务器。 disk（diskPath）：数据目录。 LUN：卷。 单机版默认值为system。集群版默认值为pool。 i INSTANCEID 或 instance INSTANCEID 指定监控对象实例的唯一标识： 监控对象为system，没有实例。 监控对象为pool，必填，实例为存储池名称。 监控对象为server，必填，实例取值为服务器ID。 监控对象为disk（diskPath），必填，实例取值为serverId :diskPath。 监控对象为LUN，必填，实例取值为卷名称。 starttime STARTTIME 性能数据导出的起始时间。格式为yyyyMMdd HH:mm:ss，如果不指定，默认为性能数据导出结束时间2小时之前的时间点。 注意 起始时间必须早于结束时间，且起始时间不能早于服务器当前时间一年。 endtime ENDTIME 性能数据导出的结束时间。格式为yyyyMMdd HH:mm:ss，默认值为当前时间。 注意 起始时间必须早于结束时间。 o DIERECTORY 或 out DIERECTORY 指定导出文件存放的目录，为绝对路径。默认存放在被请求服务器的HBlock安装目录下，以monitordatainstanceIdyyyyMMddHHmmss.csv命名，其中： instanceId：监控对象的实例，若未指定，此处显示为空。 yyyyMMddHHmmss：文件生成的时间。

开通方式 登录应用性能监控控制台，点击左侧菜单栏【用量统计】，点击【订购资源包】，按照页面提示完成开通即可。 Prometheus监控计费说明 Prometheus监控按照用户实际使用的自定义指标上报量、指标存储时长进行按需计费。 说明 Prometheus监控仅对自定义指标收取指标上报费用，对云容器引擎的基础指标不收取上报费用，且提供免费15天存储。 目前容器基础指标存储时间默认为15天，因此默认情况下，在云容器引擎中开启Prometheus基础指标监控不会产生额外费用，请放心使用。若额外开启自定义指标监控，请参考下文计费说明。 计费项说明 应用性能监控Prometheus监控各计费项说明如下。 计费项 计费说明 自定义指标上报量 自定义指标上报量（即采样点数量）的计算遵循开源 Prometheus 数据模型。每条采样点数据包含指标名称、Label 集合、时间戳及取值，并以时间线形式逻辑组织。例如一个指标监控 Kubernetes 集群各节点的可分配 CPU 核心数：若集群有 3 个节点，采样周期为 15 秒，则每分钟上报的采样点总量为 3×(60/15)12 条（每个节点对应一条时间线）。 指标存储时长 默认支持的指标存储时长为15天。15天内不收取存储时长费用，超过15天则按量累计计费。 价格说明 自定义指标上报量：按日均上报数据量进行阶梯计费，如0 150百万条范围内的指标量，按0.6元/百万条进行计费，超过150万条不足600万条的部分，按照0.5元/百万条进行计费，如此类推。Prometheus监控仅对上报的自定义指标收取该计费项费用，对于任意数量的基础指标都不收取上报量费用。 日均上报数据量范围 标准价格(元/百万条) 0 150百万条 0.6 150 600百万条 0.5 600 1200百万条 0.35 1200百万条以上 0.25 指标存储时长：默认支持的指标存储时长为15天。15天内可免费使用，不收取存储时长费用，超过15天则按量累计计费。 计费项 标准价格(元/百万条/天) 指标存储时长 0.005

本文介绍如何使用边缘安全加速平台实现终端管理。 产品介绍 边缘安全加速平台提供终端安全管理能力，通过整合防病毒、漏洞修复、软件与外设管控、AI安全检测等能力，依托智能中台实现统一策略管理，精准解决资产不可视、风险难追溯、处置效率低等核心痛点，打破安全与业务效率的对立僵局，成为企业数字化转型的一站式终端安全防护与提效平台。 快速入门 注意 场景一：订购零信任企业版服务后，参考 场景二：仅订购终端管理套餐时，按照下文的描述即可接入。如需使用终端管理能力，在终端管理控制台进行配置。 进入终端管理控制台 登录边缘安全加速平台，在首页全部产品栏目，选择【终端管理】，进入产品配置页。 第一步：管理员设置企业认证标识 首次订购终端管理，需要设置企业认证标识。企业认证标识是客户端登录的重要凭据，为了方便使用，可把企业名称设置为企业认证标识。企业认证标识暂不支持在控制台修改，若有需要可提交工单进行配置。

本文主要介绍 网络策略（NetworkPolicy）。 网络策略（NetworkPolicy） NetworkPolicy是Kubernetes设计用来限制Pod访问的对象，通过设置NetworkPolicy策略，可以允许Pod被哪些地址访问（即入规则Ingress）、或Pod访问哪些地址（即出规则Egress）。这相当于从应用的层面构建了一道防火墙，进一步保证了网络安全。 NetworkPolicy支持的能力取决于集群的网络插件的能力，如CCE的集群只支持设置Pod的入规则。 默认情况下，如果命名空间中不存在任何策略，则所有进出该命名空间中的Pod的流量都被允许。 NetworkPolicy的规则可以选择如下3种： namespaceSelector：根据命名空间的标签选择，具有该标签的命名空间都可以访问。 podSelector：根据Pod的标签选择，具有该标签的Pod都可以访问。 ipBlock：根据网络选择，网段内的IP地址都可以访问。（CCE当前不支持此种方式） 约束与限制 当前仅容器隧道网络模型的集群支持网络策略（NetworkPolicy）。 网络策略（NetworkPolicy）暂不支持设置出方向（egress）。 不支持对IPv6地址网络隔离。 使用Ingress规则 使用podSelector设置访问范围 apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: testnetworkpolicy namespace: default spec: podSelector: 规则对具有roledb标签的Pod生效 matchLabels: role: db ingress: 表示入规则 from: podSelector: 只允许具有rolefrontend标签的Pod访问 matchLabels: role: frontend ports:

开启CPU管理策略 CPU管理策略通过kubelet 参数 cpumanagerpolicy 来指定。支持两种策略： 关闭（none）：默认策略，显式地启用现有的默认CPU 亲和方案，不提供操作系统调度器默认行为之外的亲和性策略。 开启（static）：针对具有整数型 CPU requests 的 Guaranteed Pod ，它允许该类 Pod 中的容器访问节点上的独占 CPU 资源（绑核）。 在创建集群时的高级配置中可以配置CPU管理策略，如下图所示。 另外在节点池中也可以配置CPU管理策略，配置后会自动修改节点的上kubelet 参数 cpumanagerpolicy。登录CCE控制台，单击集群名称进入集群，在左侧选择“节点管理”，在右侧选择“节点池”页签，单击节点池名称后的“更多 > 配置管理”，将cpumanagerpolicy的值修改为static即可。 Pod资源配置 Pod的resources中cpu的request值需为整数，且request和limits要一致。 kind: Deployment apiVersion: apps/v1 metadata: name: test spec: replicas: 1 selector: matchLabels: app: test template: metadata: labels: app: test spec: containers: name: container1 image: nginx:alpine resources: requests: cpu: 2 必须为整数，且需要与limits中一致 memory: 2048Mi limits: cpu: 2 必须为整数，且需要与requests中一致 memory: 2048Mi imagePullSecrets: name: defaultsecret

此小节介绍企业主机安全查看安全报告。 主机安全支持订阅日报、周报、月报和自定义，展现不同周期主机安全趋势以及关键安全事件与风险，订阅报告将为您保存6个月，以满足等保测评以及审计的需要。 注意 勾选订阅报告后，第二天即可查看、下载。 约束限制 未开启企业版、旗舰版、网页防篡改版、容器版防护不支持安全报告相关操作。 安全报告概览 1、登录管理控制台。 2、在页面左上角单击选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。。 4、左侧选择“安全报告”进入安全报告概览页面。服务预设了按月（default monthly security report）和按周（default weekly security report）统计的两个安全报告模板，可直接使用。 5、单击目标报告的“获取报告”，跳转至报告预览页，可查看报告信息、下载、发送报告。 查看报告发送记录 发送记录存储了邮件发送报告的发送详情。 1、单击安全报告概览页右上角的“报告发送记录”查看报告发送记录。 2、在弹窗中查看报告发送记录，参数说明如表所示。 报告发送详情 报告发送记录参数 参数名称 参数说明 报告名称 已发送报告的名称。 统计周期 目标发送报告内容的统计周期。 报告类型 目标发送报告的统计周期类型。 安全周报 安全月报 安全日报 自定义报告 邮件发送时间 目标报告发送的时间。 3、单击“操作”列的“获取报告”可查看历史发送的报告信息，同时可预览和下载报告。

编辑自动注入标签 通过启动自动注入功能，可以在创建Pod的过程中，将Sidecar代理自动注入Proxy容器，以实现数据平面的网格化。 1. 登录控制台，在左侧导航栏，选择网格实例 > 全局命名空间 。 2. 在全局命名空间页面的自动注入列，单击目标命名空间对应的 编辑标签 ，然后在弹出页面中选择编辑标签，单击确定 。 说明 1. 启用Sidecar网格代理自动注入后，您需要重启Pod使配置生效。 2. 编辑页仅支持展示和编辑服务网格相关的标签，即istioinjection，opaistioinjection和istio.io/rev。 同步自动注入标签 1. 登录控制台，在左侧导航栏，选择网格实例 > 全局命名空间 。 2. 在全局命名空间页面的自动注入列，单击目标命名空间对应的 同步 。点击确定即发起同步。 点击同步后产生的效果： 1. 命名空间会同步给所有所属集群（参考下方编辑全局命名空间的所属集群章节）。 2. 从集群中如果不存在该命名空间，则会新建。 3. 从集群中如果存在该命名空间，服务网格相关的标签会被更新为主集群的取值。 说明 目前只会同步服务网格相关的标签，即istioinjection，opaistioinjection和istio.io/rev。

本文介绍如何零基础使用边缘函数 边缘函数基本概念 初识边缘函数 说明 什么是边缘函数 通过介绍AccessOne开发者平台边缘函数的主要功能和应用场景，帮助首次使用边缘安全加速平台的客户全面认识产品 为什么需要边缘函数 通过详细介绍产品优势，帮助客户全面了解边缘函数能解决的业务问题 边缘函数工作原理 通过详细介绍边缘函数工作原理 相关术语 为帮助客户在浏览相关文档时能更快更准确理解相关功能及流程，专门提炼相关专业术语并提供解释说明 开通和接入边缘函数 开通和接入边缘函数 说明 开通边缘函数 支持官网自助开通套餐 创建边缘函数 详细介绍通过控制台创建边缘函数 [使用边缘函数绑定您的CDN域名](

本节介绍云下节点池用户指南。 云下节点池为Anywhere集群特有，用于管理Anywhere集群IDC节点的按需扩缩容场景需求。 前提条件 已创建Anywhere集群，并已经完成部署。 若IDC节点为已安装操作系统的节点，请先确保节点已安装以下工具软件：conntrack（必选）、s3fs工具（可选）。 创建云下节点池 1. 登录分布式容器云平台，选择 集群资源 > 集群管理，在集群列表中，选中目标集群，点击进入； 2. 在目标集群页面，选择节点管理 > 节点池，在节点池页面，单击 创建云下节点池； 3. 在创建云下节点池对话框中，完成云下节点池的配置项。云下节点池创建完成之后，在节点池列表右侧支持编辑云下节点池部分配置项。 节点池配置项内容如下所示： 配置项 说明 是否支持修改 节点池名称 自定义节点池名称 × 架构 节点架构：X86、ARM × 节点类型 物理机(托管)：未装操作系统的物理机节点，节点池扩容时自动安装操作系统； 物理机(纳管）：请提供已安装操作系统的物理机节点； 虚拟机：请提供已安装操作系统的虚拟机节点； × 节点数量 如当前无需创建节点，可填写为0，仅配置节点池信息，后续再进行扩容节点； 填写数量>0时，需填写对应数量的节点信息，完成节点池创建并扩容对应节点到集群内； × 节点网络 节点类型为物理机(托管)类型时，需填写以下网络信息： 子网掩码：节点设备所属子网范围； 网关：节点设备所属子网网关； DNS：节点配置的DNS服务器地址，用于解析域名； × 操作系统 当节点类型为物理机(托管)类型时，选择节点需要安装的操作系统。 × 高级配置（选填） 配置项 说明 是否支持修改 节点标签 为扩容的节点添加标签，采用键值对形式。 √ 节点污点 为扩容节点添加污点，污点包含键、值和Effect(效果)。 Effect可选择NoSchedule、NoExecute、PreferNoSchedule。 NoSchedule：节点上若存在Effect值为NoSchedule的污点，则Pod不会分配到该节点； NoExecute：不能忍受此污点的Pod会被驱逐； PreferNoSchedule：尽量避免调度未忍受该污点的Pod到该节点，但不会强制执行； √ 自定义Kubelet参数 支持自定义Kubelet参数，在节点加入集群时配置； ×

分布式缓存服务Redis版原单机实例类型调整为单副本选项。 调整时间 2025年12月27日 影响范围 所有区域 调整影响 单机/Cluster单机实例类型不再支持直接订购和开通，可选择以下替代方案进行开通，达到同等效果。 原单机实例：可使用实例类型“标准版”、副本数“1”代替。 原Cluster单机实例：可使用实例类型“Cluster集群”、副本数“1”代替。 已购买单机/Cluster单机的用户，原实例仍可正常使用，续费、扩容等操作不受影响。 注意 单副本类型的实例适用于测试、开发以及对数据可靠性无要求的缓存场景。

云原生API网关以托管的方式来做流量入口,提供丰富的流量治理能力,支持多种服务发现方式,如容器服务、MSE Nacos、固定地址和DNS域名,并以统一的模型支持服务版本以及灰度发布能力。本文介绍基于容器服务K8s发现机制来实践服务发布策略。 前提条件 了解蓝绿部署、A/B测试以及金丝雀发布机制。详细信息，请参见 服务发布策略。 已具备云容器引擎CCE实例，参见 创建一个CCE应用集群。 已完成云原生API网关创建，具体操作，请参见创建网关实例。 部署服务 容器内部署服务 首先在容器内部署两个版本的服务，两个版本的Deployment分别挂到reviewsv1和reviewsv2服务下： plaintext apiVersion: v1 kind: Service metadata: name: reviewsv1 labels: workloadKind: Deployment workloadName: reviewsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: reviews version: v1 apiVersion: apps/v1 kind: Deployment metadata: name: reviewsv1 spec: replicas: 1 selector: matchLabels: name: reviewsv1 template: metadata: labels: app: reviews version: v1 name: reviewsv1 source: CCE spec: containers: name: reviews image: 'registryvpccrs' imagePullPolicy: IfNotPresent env: name: LOGDIR value: "/tmp/logs" volumeMounts: name: tmp mountPath: /tmp name: wlpoutput mountPath: /opt/ibm/wlp/output volumes: name: wlpoutput emptyDir: {} name: tmp emptyDir: {} apiVersion: v1 kind: Service metadata: name: reviewsv2 labels: workloadKind: Deployment workloadName: reviewsv2 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: reviews version: v2 apiVersion: apps/v1 kind: Deployment metadata: name: reviewsv2 spec: replicas: 1 selector: matchLabels: name: reviewsv2 template: metadata: labels: app: reviews version: v2 name: reviewsv2 source: CCE spec: containers: name: reviews image: 'registryvpccrs' imagePullPolicy: IfNotPresent env: name: LOGDIR value: "/tmp/logs" volumeMounts: name: tmp mountPath: /tmp name: wlpoutput mountPath: /opt/ibm/wlp/output volumes: name: wlpoutput emptyDir: {} name: tmp emptyDir: {}

本节主要介绍使用备份文件迁移自建Redis 场景描述 当前DCS支持将其他云厂商Redis、自建Redis的数据通过DCS控制台迁移到DCS的Redis。 您需要先将其他云厂商Redis、自建Redis的数据备份下载到本地，然后将备份数据文件上传到与DCS Redis实例同一租户下相同Region下的OBS桶中，最后在DCS控制台创建迁移任务，DCS从OBS桶中读取数据，将数据迁移到DCS的Redis中。 上传OBS桶的文件支持.aof、.rdb、.zip、.tar.gz格式，您可以直接上传.aof和.rdb文件，也可以将.aof和.rdb文件压缩成.zip或.tar.gz文件，然后将压缩后的文件上传到OBS桶。 前提条件 OBS桶所在区域必须跟Redis目标实例所在区域相同。 上传的数据文件必须为.aof、.rdb、.zip、.tar.gz的格式。 如果是其他云厂商的单机版Redis和主备版Redis，您需要在备份页面创建备份任务，然后下载备份文件。 如果是其他云厂商的集群版Redis，在备份页面创建备份后会有多个备份文件，每个备份文件对应集群中的一个分片，需要下载所有的备份文件，然后逐个上传到OBS桶。在迁移时，需要把所有分片的备份文件选中。 步骤1：准备目标Redis实例 如果您还没有DCS Redis，请先创建，创建操作，请参考创建实例。 如果您已有DCS Redis，则不需要重复创建，但在迁移之前，您需要清空实例数据，清空操作，请参考清空实例数据。

本文将向您介绍如何通过边缘安全加速平台安全与加速服务设置Web规则白名单。 功能介绍 若您希望请求针对域名防护规则集中的某条规则加白，可以配置规则白名单。 背景信息 您的域名接入边缘安全加速平台安全与加速服务后，配置防护策略将默认作用于所有符合策略的请求，若您希望某类请求不经过某个防护策略，可以分别配置对应的白名单功能。 若您希望请求针对任意防护策略加白，可以配置网站白名单，配置详情可见设置网站白名单。 若防护规则集中的某条规则出现误报情况，可以配置规则白名单，配置详情可见下文。 若您希望请求针对Bot防护策略加白，可以配置Bot策略白名单，配置详情可见Bot策略白名单。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为免费版及以上版本，支持使用Web规则白名单功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】【Web应用防火墙】，选择您要配置的域名，进入基础安全防护【防护规则引擎】详细设置页。 3. 选择您希望设置白名单范围的规则ID，点击操作列【加白】按钮，设置加白的匹配范围，粒度支持配置URI、IP、IPS、PATH、BODY等，支持配置多个生效条件。

本文主要介绍本地持久存储卷和临时存储。 持久存储卷和临时存储卷仅在集群版本> v1.21.2r0 时支持创建，且临时存储卷需要Everest插件版本>1.2.29，持久存储卷需要Everest插件版本>1.2.31。 持久存储卷和临时存储卷 CCE支持将节点上数据盘设置为持久存储卷和临时存储卷。 持久存储卷通过LVM组成存储池（VolumeGroup），然后划分LV给容器挂载使用。使用持久存储卷作为存储介质的PV的类型可称之为Local PV。 临时存储卷可以作为EmptyDir的存储介质。临时存储卷通过LVM组成存储池（VolumeGroup），然后划分LV给容器挂载使用，相比原生EmptyDir默认的存储介质类型性能更好。 持久存储卷和临时存储卷支持如下两种写入模式。 线性：线性逻辑卷是将一个或多个物理卷整合为一个逻辑卷，实际写入数据时会先往一个基本物理卷上写入，当存储空间占满时再往另一个基本物理卷写入。 条带化：创建逻辑卷时指定条带化，当实际写入数据时会将连续数据分成大小相同的块，然后依次存储在多个物理卷上，实现数据的并发读写从而提高读写性能。多块卷才能选择条带化。

内存优化型（服务管理费用） 规格名称 核数 内存 按需计费（元/节点/小时） 包月计费（元/节点/月） ::::: m6.2xlarge.8 8核 64GB 0.312 149 m6.3xlarge.8 12核 96GB 0.477 229 m6.4xlarge.8 16核 128GB 0.624 299 m6.6xlarge.8 24核 192GB 0.702 337 m6.8xlarge.8 32核 256GB 0.702 337 m6.16xlarge.8 64核 512GB 0.702 337 超高I/O型（服务管理费用） 规格名称 核数 内存 按需计费（元/节点/小时） 包月计费（元/节点/月） ir3.4xlarge.4.linux.mrs 16 64 0.624 299 ir3.8xlarge.4.linux.mrs 32 128 0.702 337 LTS版集群 LTS集群服务管理费，以“核数”为单位计费，收费项与普通集群相同。 以购买10个规格为8核的节点集群为例： 按需集群：单价为0.052元/核/小时，集群服务管理费为 8x10x0.0524.16元/小时。 包周期集群：单价为25元/核/月，集群服务管理费为8x10x252000元/月。 规格名称 核数 按需计费（元/节点/小时） 包月计费（元/节点/月） mrs.unit.lts.linux.bigdata 1 0.052 25 说明 因各资源池部署规格不尽相同，且可选资源会根据用户订购情况动态变化，故实际可选规格请以开通资源时各资源池展示规格为准。

本文介绍如何使用云硬盘静态存储卷。 使用云盘静态存储卷，即使用预先在云硬盘控制台已建好的云盘实例，通过手动创建PV，创建PVC时使用已有PV的方式，实现容器内挂载云盘存储。 该模式下需要用户自建云盘及PV资源，一定程度上增加操作和管理复杂性，一般推荐使用动态创建存储的方式。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。若已有Serverless集群，无需重复操作。 已在插件市场安装存储插件cstorcsi，且插件正常运行。 已在云硬盘控制台创建云盘。 确保kubectl工具已经连接目标集群。 使用云盘静态存储卷（kubectl） 步骤一：创建持久卷（PV） 1. 创建示例yaml文件pvstaticdisk.yaml： shell apiVersion: v1 kind: PersistentVolume metadata: annotations: pv.kubernetes.io/provisionedby: disk.csi.cstor.com name: pvc{PVNAME} PV的名称，以pvc开头 spec: accessModes: ReadWriteOnce 访问模式 capacity: storage: 10Gi 云盘容量 csi: driver: disk.csi.cstor.com fsType: ext4 挂载类型 volumeAttributes: diskUUID: {YOURDISKUUID} 替换云盘ID driverType: disk.csi.cstor.com mode: VBD shared: "false" 是否共享盘 type: SATA 磁盘类型 volumeHandle: 0103{PVNAMELENTH}{PVNAME} PVNAMELENTH为PVNAME长度的十六进制表示，比如PVNAME是"pvstaticdisk"，则PVNAMELENTH为0E mountOptions: discard nodeAffinity: required: nodeSelectorTerms: matchExpressions: key: topology.disk.csi.cstor.com/zone operator: In values: 替换为您待部署应用的节点所在的可用区，例如cnhuadong1jsnj1Apublicctcloud volumeMode: Filesystem 卷模式 2. 执行以下命令，创建pv： shell kubectl apply f pvstaticdisk.yaml

对比项 开源自建 分布式消息服务RabbitMQ版 低成本运维 需要专业人员资源规划、部署、运维 一键开通，全托管。提供多种规格，按需使用，支持一键式节点数、磁盘存储空间和节点规格扩容。 堆积性 抗堆积性差，容易引发内存问题导致宕机 提供云原生引擎类型，支持海量消息堆积不受影响 可观测性 通过Management UI能够获取丰富的指标，但需要自建指标存储及展示的系统 提供监控告警能力，指标丰富，维度可精确到Vhost、Exchange和Queue，便于您快速发现和定位问题 集群可用性 需配套解决集群多节点负载均衡设置 集群内置负载均衡，支持跨AZ部署 安全保证 需要自行进行安全加固 VPC隔离，支持SSL通道加密 操作日志 无，需要自己开发 可追溯租户管理操作的记录 OpenApi访问 无，需要自己开发 提供简单的实例管理RESTFul API，使用门槛低

本章节介绍微服务云应用平台相关名词解释 MSAP 本系统即微服务云应用平台（MicroService Application Platform）的英文简称。 云容器引擎 云容器引擎是天翼云产品，提供高度可扩展的、高性能的Kubernetes集群、一站式容器服务。 ECS 弹性云主机（Elastic Cloud Server）是天翼云产品，可随时获取、弹性扩展，由 CPU、内存、镜像、云硬盘组成，结合多种能力打造安全应用环境，确保服务稳定运行。 应用性能监控 应用性能监控是天翼云产品，帮助您进行应用性能管理。通过无入侵式探针接入的方式，无需您修改代码，就能够对应用进行全方位监控，帮助您快速定位出错接口和慢接口，重现调用参数，发现系统瓶颈，从而大幅提升线上问题诊断的效率。 微服务治理中心 微服务治理中心是天翼云微服务引擎的子产品，兼容SpringCloud、Dubbo等开源微服务框架，支持无侵入的接入应用，提供标签路由、灰度发布、无损上下线、服务降级、服务鉴权等服务治理的能力。 注册配置中心 注册配置中心是天翼云微服务引擎的子产品，面向业界主流开源微服务项目，致力于帮助用户发现、配置和管理微服务，实现动态服务发现、服务配置、服务元数据及流量管理等功能，通过微服务注册配置中心，您可以更敏捷、更简单地构建、交付和管理微服务平台。

前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为高级版及以上版本，支持账户广告防护相关功能。 配置说明 配置项 说明 开关 设置广告防护策略开启或者关闭 高级js动态检测开关 关闭：只检测页面已有广告内容（静态嵌入广告检测） 开启：将检测页面通过js动态添加元素内容，判断动态添加元素是否在白名单内，不在白名单则移除对应元素 处理动作 触发广告防护的处理动作，可选择告警或者清除 防护范围 设置要配置广告防护的URI URI：设置防护要等于/不等于的URI，例如：/home.jsp支持填写多个URI，用英文分隔符分隔 PATH：设置防护要等于/不等于的路径，例如：/匹配请求URI前缀，/表示全站，用英文分隔符分隔 多个粒度为且的逻辑；多个条件为或的关系 白名单 外链白名单，当资源请求的链接来自设置的白名单时，不会进行广告处理，允许正常显示广告、图片

本章介绍天翼云关系型数据库产品功能的对比情况。 单机实例采用单个数据库节点部署架构。与主流的主备实例相比，单机实例只包含一个节点，没有备用节点用于故障恢复。 优势对比 单机实例 ：支持创建只读实例（Microsoft SQL Server除外）、错误日志、慢日志查询管理。相较于主备实例，单机实例少了一个数据库节点，可大幅节省用户成本。由于单机实例只有一个数据库节点，当该数据库节点出现故障时，恢复时间较长，因此，如果是对数据库可用性要求较高的敏感性业务，不建议使用单机实例。 主备实例（集群版同样为主备）：主备实例的备数据库节点仅用于故障转移和恢复场景，不对外提供服务。由于使用备数据库节点会带来额外性能开销，从性能角度来看，单机实例的性能与主备实例相同，甚至单机实例的性能可能会高于主备实例。 产品功能对比 产品功能 单机实例 主备实例（集群版同样为主备） ::: 节点数 1 2 监控与告警 支持 支持 安全组 支持 支持 备份与恢复 支持 支持 参数设置 支持 支持 SSL 支持 支持 日志管理 支持 支持 只读实例（需另建实例） 支持 支持 主备库切换 不支持 支持 手动主备切换 不支持 支持 实例规格变更 支持 支持

本文介绍如何使用SFS静态存储卷。 使用弹性文件静态存储卷，即使用预先在弹性文件控制台已创建文件系统，通过手动创建PV指定已有文件系统，创建PVC时使用已有PV的方式，实现容器内挂载弹性文件。 该模式下需要用户自建文件系统及PV资源，一定程度上增加操作和管理复杂性。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。若已有Serverless集群，无需重复操作。 已在插件市场安装存储插件cstorcsi，且插件正常运行。 已在弹性文件控制台创建文件系统。 确保kubectl工具已经连接目标集群。 使用SFS静态存储卷（kubectl） 步骤一：创建持久卷（PV） 1. 创建示例yaml文件pvstaticnas.yaml： shell apiVersion: v1 kind: PersistentVolume metadata: annotations: pv.kubernetes.io/provisionedby: nas.csi.cstor.com name: pvc{PVNAME} pv名称，以pvc开头 spec: accessModes: ReadWriteOnce 访问模式 capacity: storage: 500Gi 容量 csi: driver: nas.csi.cstor.com volumeAttributes: server: "172.16.xx.xx:/mnt/sfscap/xxxxxxxxe4893ea6a8e7f3771526aa91d34uhx3bu11i485pg" 挂载地址，在存储控制台查看 volumeHandle: 0104{PVNAMELENTH}{PVNAME} PVNAMELENTH为PVNAME长度的十六进制表示，比如PVNAME是"pvstaticnas"，则PVNAMELENTH为0D mountOptions: vers3 prototcp async nolock noatime nodiratime noresvport wsize1048576 rsize1048576 timeo600 volumeMode: Filesystem 2. 执行以下命令，创建pv： plaintext kubectl apply f pvstaticnas.yaml

本文介绍当攻击发生且触发平台稳定性红线时的处理预案。 场景说明 天翼云CDN是公共的加速服务，平台承载着成千上万的域名加速业务，是一个多客户共用的加速平台，默认不提供防攻击服务。当某个客户的域名遭受攻击（例如CC攻击），而出现带宽或QPS异常大幅上涨触发平台稳定性红线时，CDN系统有权（根据域名业务情况、攻击影响程度等因素综合判断）将对应客户的域名切入专用隔离资源池以隔离异常业务，避免影响其他正常用户的加速服务。在攻击较严重的情况下，同账户下的其他域名也会切入隔离资源池。 域名被切入隔离资源池后，天翼云CDN将不再保证服务质量，部分时段可能会出现无法服务的情况。 说明 隔离资源池是天翼云CDN的一组特殊节点，这组节点与常规节点之间相互隔离，用于隔离有风险的业务。 注意事项 因被攻击导致域名被切入隔离资源池后，用户访问带来的流量仍然会产生计费账单。 相关建议 如您的域名存在潜在被攻击风险，不希望在上述场景下被切换至隔离资源池，请在CDN加速基础上，叠加购买Web应用防火墙（边缘云版），或切换至安全类加速产品，例如：边缘安全加速平台。 相关概念： DDoS：分布式拒绝服务攻击（Distributed Denial of Service，简称DDoS）是指攻击的发出点是分布在不同地方，且所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。 CC攻击：攻击者借助代理服务器生成指向受害主机的合法请求，以实现DDoS和伪装的，称为CC(Challenge Collapsar)，CC主要是攻击页面，属于应用层攻击。

本章节通过简单的用户组授权方法，使IAM用户“James”拥有对应集群的只读权限。 须知： 集群权限仅针对与集群相关的资源（如集群、节点等）有效，您必须确保同时配置了设置命名空间权限，才能有操作Kubernetes资源（如工作负载、Service等）的权限。 CCE提供了CCE FullAccess和CCE ReadOnlyAccess两种策略，建议您通过默认的系统策略实现权限管理。 如果您需要使用自定义策略，请仔细阅读自定义策略中可以添加的授权项（Action），如遇问题提交工单处理。 前提条件 配置说明 给用户组授权之前，请您了解用户组可以添加的CCE系统策略，并结合实际需求进行选择。 配置说明 您需要拥有一个帐号，仅帐号或授予了CCE Administrator权限且全局设置了Security Administrator角色的IAM用户，才有权限进入CCE“权限管理”界面对其他IAM用户进行授权操作。 如果目标IAM用户涉及读写权限变更，只能由帐号授权。 由于IAM的安全限制，当您通过云容器引擎控制台的授权配置涉及到帐号IAM授权的修改时，需要您按照页面上给出的参考策略内容和操作说明，在IAM控制台进行目标IAM用户的手动授权。 权限设置完成后，需退出重新登录才能生效。 用户组是用户的集合，CCE通过IAM的用户组功能实现用户的授权。您在IAM中创建的IAM用户，需要加入特定用户组后，IAM用户才具备用户组所拥有的权限。 关于创建用户组并给用户组授权的方法，可以参考如下操作： [](file:///C:/Users/shuan/Downloads/%E4%BA%91%E5%AE%B9%E5%99%A8%E5%BC%95%E6%93%8E%E7%94%A8%E6%88%B7%E6%8C%87%E5%8D%97202105%20(1).docx

本章节通过简单的命名空间授权方法，将CCE服务的用户和用户组授予操作不同命名空间资源的权限，从而使用户和用户组在拥有对应的CCE集群标准权限的同时，又可以拥有对集群中命名空间的操作权限。设置流程如示例流程所示。 配置说明 您需要拥有一个帐号，有一个或若干个用户组和IAM用户。 本例将对用户和用户组授予操作不同命名空间资源的权限，在您的实际业务中，您可根据业务需求仅对用户或用户组授予不同的权限。 本例仅用于给用户或用户组在未授权过的命名空间下新增权限，已授权的用户或用户组的权限可以在“权限管理 > 命名空间权限”的列表“操作”栏中单击“编辑权限”进行修改。 当给用户或用户组添加多个权限时，多个权限会同时生效（取并集）；为用户组设置的权限将作用于用户组下的全部用户。 约束与限制 kubernetes RBAC的授权能力支持1.13及以上版本集群。 在v1.11.7r2版本的集群中默认开启RBAC功能，若需使用RBAC功能请将集群升级至v1.11.7r2或以上版本。升级方法请参见升级集群。 示例流程 命名空间是对一组资源和对象的抽象整合。在同一个集群内可创建不同的命名空间，不同命名空间中的数据彼此隔离，使得它们既可以共享同一个集群的服务，也能够互不干扰。命名空间的一个重要的作用是充当一个虚拟的集群，用于多种工作用途，满足多用户的使用需求。 本章节将沿用创建用户并授权使用CCE中创建的IAM用户“James”和用户组“开发人员组”进行示例，为IAM用户“James”和用户组“开发人员组”添加命名空间权限，可以参考如下操作： 步骤一：为IAM用户/用户组添加命名空间权限 本步骤将在CCE控制台中为IAM用户“James”以及用户组“开发人员组”授予某个集群命名空间下资源的操作权限，设置如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“权限管理”，进入权限管理页面。 步骤 2 单击“命名空间权限”页签，在命名空间权限列表右上方选择要添加授权的集群，单击“添加授权”按钮，进入添加授权页面。 步骤 3 在添加授权页面，确认集群名称，选择该集群下要授权使用的命名空间，此处选择“default”。 步骤 4 单击“添加用户权限”，为“开发人员组”增加“admin”权限，在展开的选项中进行如下配置： 用户/用户组：选择“用户组”，并在二级选项中选择“开发人员组”。 权限：选择“admin”。 单击“添加用户权限”可继续增加其他用户或用户组，并赋予相应的权限。 步骤 5 单击下方的“添加命名空间权限”，为用户“James”增加在另一个命名空间“monitoring”的权限，在展开的选项中进行如下配置： 命名空间：选择“monitoring”。 用户/用户组：选择“用户”，并在二级选项中选择“James”增加。 权限：选择“view”。 步骤 6 单击“创建”，完成以上用户和用户组在命名空间中的相应权限设置。 说明： 经过以上操作，授权结果如下： 由于“开发人员组”包含IAM用户“James”，因此IAM用户“James”也同时获得了在命名空间“default”的“admin”权限。 为IAM用户“James”增加了在命名空间“monitoring”的“view”权限。 步骤二：用户登录并验证权限 使用IAM用户“James”登录云容器引擎控制台，验证授予的命名空间权限，验证步骤如下： 步骤 1 在登录页面，单击右下角的“IAM用户登录”。 步骤 2 在“IAM用户登录”页面，输入帐号名、用户名及用户密码，使用新创建的IAM用户登录。 帐号名为该IAM用户所属帐号的名称。 用户名和密码为创建IAM用户James时输入的用户名和密码，首次登录时需要重置密码。 如果登录失败，您可以联系您的帐号主体，确认用户名及密码是否正确，或是重置用户名及密码。 步骤 3 登录成功后，进入控制台，请先切换至授权区域。 步骤 4 在“服务列表”中选择“云容器引擎 CCE”，进入CCE控制台，对IAM用户James的命名空间权限进行验证。

分布式缓存服务（Distributed Cache Service，简称DCS）是一款内存数据库服务，兼容Redis内存数据库引擎，为您提供即开即用、安全可靠、弹性扩容、便捷管理的在线分布式缓存能力，满足用户高并发及数据快速访问的业务诉求。 即开即用 DCS提供单机、主备和集群三种类型的缓存实例，拥有从128MB到1024GB的丰富内存规格。您可以通过控制台直接创建，无需单独准备服务器资源。 其中Redis4.0/5.0/6.0版本采用容器化部署，秒级完成创建。 安全可靠 借助统一身份认证、虚拟私有云、云监控与云审计等安全管理服务，全方位保护实例数据的存储与访问。 灵活的容灾策略，主备/集群实例从单AZ（可用区）内部署，到支持跨AZ部署。 弹性伸缩 DCS提供对实例内存规格的在线扩容与缩容服务，帮助您实现基于实际业务量的成本控制，达到按需使用的目标。 便捷管理 可视化Web管理界面，在线完成实例重启、参数修改、数据备份恢复等操作。DCS还提供基于RESTful的管理API，方便您进一步实现实例自动化管理。 在线迁移 提供可视化Web界面迁移功能，支持备份文件导入和在线迁移两种方式，您可以通过控制台直接创建迁移任务，提高迁移效率。 DCS Redis Redis是一种支持KeyValue等多种数据结构的存储系统。可用于缓存、事件发布或订阅、高速队列等典型应用场景。Redis使用ANSI C语言编写，提供字符串（String）、哈希（Hash）、列表（List）、集合结构（Set、Sorted Set）、流（Stream）等数据类型的直接存取。数据读写基于内存，同时可持久化到磁盘。 DCS Redis拥有灵活的实例配置供您选择： DCS Redis灵活的实例配置 实例类型 提供单机、主备、Proxy集群、Cluster集群、读写分离类型，分别适配不同的业务场景。 单机：适用于应用对可靠性要求不高、仅需要缓存临时数据的业务场景。单机实例支持读写高并发，但不做持久化，实例重启后原有缓存数据不会加载。 主备：包含一个主节点，一个备节点，主备节点的数据通过实时复制保持一致，当主节点故障后，备节点自动升级为主节点。 Proxy集群：在Cluster集群的基础上，增加挂载Proxy节点和ELB节点，通过ELB节点实现负载均衡，将不同请求分发到Proxy节点，实现客户端高并发请求。每个Cluster集群分片是一个双副本的主备实例，当主节点故障后，同一分片中的备节点会升级为主节点来继续提供服务。 Cluster集群：通过分片化分区来增加缓存的容量和并发连接数，每个分片是一个主节点和0到多个备节点，分片本身对外不可见。分片中主节点故障后，同一分片中备节点会升级为主节点来继续提供服务。用户可通过读写分离技术，在主节点上写，从备节点读，从而提升缓存的整体读写能力。 读写分离：在主备实例的基础上，增加挂载Proxy节点和ELB节点，通过ELB节点实现负载均衡，将不同请求分发到Proxy节点，Proxy节点识别用户读写请求，将请求发送到主节点或备节点，从而实现读写分离。 :: 规格 Redis提供128MB~1024GB的多种规格。 兼容开源Redis版本 DCS提供不同的实例版本，分别兼容开源Redis的3.0、4.0、5.0、6.0。 底层架构 基于虚拟机的标准版 ，单节点QPS达10万/秒。 高可用与容灾 主备与集群实例提供Region内的跨可用区部署，实现实例内部节点间的电力、网络层面物理隔离。 有关开源Redis技术细节，您可以访问Redis官方网站

本节主要介绍数据迁移。 社区版InfluxDB是非常受欢迎的时序数据库，着力于高性能地查询与存储时序型数据。 GeminiDB Influx是计算存储分离架构，兼容InfluxDB的生态的时序数据库。在云计算平台高性能、高可用、高可靠、高安全、可弹性伸缩的基础上，提供了一键部署、快速备份恢复、计算存储独立扩容、监控告警等服务能力。GeminiDB Influx相较于社区版本InfluxDB，有更强的查询、写入以及数据压缩的性能。 本章节主要介绍社区版InfluxDB到GeminiDB Influx的迁移方案。 迁移原理 通过迁移工具解析社区版InfluxDB的tsm以及wal文件写入到行协议（Line Protocal）文件中，最终将行协议文件数据解析并迁移至目标端。 整个迁移过程分为导出和导入阶段两个阶段。 导出阶段会并发解析社区版InfluxDB的tsm以及wal文件，并将解析数据写入到行协议文件中。 导入阶段会并发读取行协议文件，将读取数据发送至GeminiDB Influx集群各节点上。 迁移工具支持全量迁移和增量迁移，具体可在配置文件中配置。 使用须知 迁移工具，与社区版InfluxDB部署在相同机器上，准备好配置文件。 迁移工具需要从tsm以及wal提取数据到本地行协议文件，并从行协议文件中获取数据发送到目标端GeminiDB Influx ，该过程中可能影响源端性能，建议在业务低峰期运行迁移工具。 由于需要将tsm/wal文件数据提取至行协议文件，请预留足够大的磁盘空间。 迁移工具仅支持社区版InfluxDB 1.X版本迁移。

实例类型 简介 使用说明 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 主备实例 采用一主一备的经典高可用架构，主备实例的每个节点的规格保持一致。 备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。 当主节点故障后，会自动发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 只读实例 采用单个物理节点的架构（没有备节点）。 只读实例是单机版本，当物理机故障或者数据库复制异常后，需要较长时间重建和恢复（取决于数据量）。 集群版实例 采用微软AlwaysOn高可用架构，支持1主1备5只读集群模式，拥有更高可用性，可靠性，可拓展能力。 仅限 RDS for SQL Server使用。

实例类型 简介 使用说明 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 主备实例 采用一主一备的经典高可用架构，主备实例的每个节点的规格保持一致。 备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。 当主节点故障后，会自动发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 只读实例 采用单个物理节点的架构（没有备节点）。 只读实例是单机版本，当物理机故障或者数据库复制异常后，需要较长时间重建和恢复（取决于数据量）。 集群版实例 采用微软AlwaysOn高可用架构，支持1主1备5只读集群模式，拥有更高可用性，可靠性，可拓展能力。 仅限 RDS for SQL Server使用。

本章节介绍如何部署Demo微服务应用到ECS 概述 在微服务云应用平台中接入您的应用进行发布，所支持的介质类型大体上可分为制品（JAR/WAR/TAR包等）、镜像等，您可以按实际需求选择接入的方式。 为了帮助您快速体验将微服务应用托管到ECS。微服务云应用平台提供了官方Demo应用，您可以将该Demo应用托管到ECS中。本文介绍部署两个Demo应用：consumer和provider应用，并验证consumer调用provider。 托管Demo微服务应用 前提条件 1.您已开通微服务云应用平台 2.您已订购2台ECS虚机实例 3.您已订购一个nacos注册中心实例 4.您已开通微服务治理中心 【可选】 5.您已开通应用性能监控 【可选】 注意 一台ECS机器只能部署一个应用实例副本，订购ECS时请根据部署应用所需资源选择规格订购。 目前支持ECS发布的资源池如下：华东1、华北2、华南2、西南1、西安7。 目前只支持导入CPU架构为x86或ARM, 以及操作系统是64位, 且是以下版本:ctyunos2.0.1和centos7.x的ECS。 创建环境和导入资源 说明 环境：即我们常说的开发环境、生产环境，是用于应用部署和运行的计算、网络、中间件等资源的集合。 例如可以把同VPC下的云容器引擎、注册中心、数据库等实例组成一个环境。 资源：是支撑应用运行的设施，资源可以导入到环境里供应用使用。例如常用资源包括：云容器引擎、ECS、注册中心、微服务治理中心、应用性能监控、数据库实例等。 在左侧导航栏，选择环境管理。在环境列表左上角点击创建环境。 进入环境详情，将nacos注册中心导入到环境。在环境里创建ECS集群，将ECS导入到ECS集群。

Watch watcher（事件监听器）：Zookeeper允许用户在指定的节点上去注册事件监听器watcher，在服务端数据节点发生变化时，Zookeeper会把该变化通知给感兴趣的客户端（即订阅了该服务端节点的客户端） Eureka 集群 集群指提供一定分布式协同能力的一组服务所需要的云资源组合，关联了若干云服务器节点、负载均衡等云资源。您可以理解为集群是“同一个子网中一个或多个弹性云服务器（又称：节点）”，通过相关技术组合而成的计算机群体，为容器运行提供了计算资源池。 节点 每一个节点对应一台服务器（可以是虚拟机实例或者物理服务器），实例运行在节点上。集群中的节点数量可以伸缩，可以调整机器规格。 服务 通过预定义接口网络访问的提供给客户端的软件功能。 服务注册 客户端（服务提供者）将自身服务信息上传到注册中心的过程。服务注册后，其他服务消费者将可以通过注册中心获取到其服务地址，并发起调用。 服务发现 在计算机网络上，（通常使用服务名）对服务下的实例的地址和元数据进行探测，并以预先定义的接口提供给客户端进行查询。 实例 提供一个或多个服务的具有可访问网络地址（IP:Port）的进程。