本文介绍弹性容器实例自定义权限策略参考。 如果系统权限策略不能满足您的要求，您可以创建自定义权限策略实现最小授权。使用自定义权限策略有助于实现权限的精细化管控，是提升资源访问安全的有效手段。本文介绍ECI使用自定义权限策略的场景和策略示例。 什么是自定义权限策略 在基于IAM的访问控制体系中，自定义权限策略是指在系统权限策略之外，您可以自主创建、更新和删除的权限策略。自定义权限策略的版本更新需由您来维护。 创建自定义权限策略后，需为IAM用户或用户组绑定权限策略，这些IAM身份才能获得权限策略中指定的访问权限。 已创建的权限策略支持删除，但删除前需确保该策略未被引用。如果该权限策略已被引用，您需要在该权限策略的引用记录中移除授权。 自定义权限策略支持版本控制，您可以按照IAM规定的版本管理机制来管理您创建的自定义权限策略版本。 操作文档参考 创建自定义策略 编辑策略 删除策略 常见自定义权限策略场景及示例 如果您使用IAM子账号或委托账号操作ECI资源（如虚拟节点），需要为其添加以下自定义权限策略。 shell { "Version": "1.1", "Statement": [ { "Action": [ "eci:containers:describeContainerGroup", "eci:containers:describeContainerGroups", "eci:containers:deleteContainerGroup", "eci:virtualNode:describeVirtualNodes", "eci:virtualNode:createVirtualNode", "eci:virtualNode:deleteVirtualNode", "eci:virtualNode:updateVirtualNode" ], "Resource": [ "" ], "Effect": "Allow" } ] }

2.1 环境准备 2.1.1 安装Apptainer（Galaxy相关镜像环境默认已安装，可跳过此步骤） 根据操作系统类型选择对应安装方式（以Ubuntu为例）： 安装依赖 sudo aptget update && sudo aptget install y libseccompdev squashfstools 下载并安装Apptainer wget sudo dpkg i apptainer1.2.81amd64.deb 2.1.2 下载测试工具 创建工作目录并获取EvalScope容器镜像： mkdir p /root/ctyun/log cd /root/ctyun wget （需联系公有云事业部，获取sif文件） 2.2 全量测试脚本配置与执行 2.2.1 脚本参数说明 编辑 run.sh脚本（vim run.sh，可按需调整参数）： !/bin/bash 定义日志输出路径 logdir"/root/ctyun/log" 请替换为实际的日志存储路径 mkdir p "$logdir" 如果目录不存在，则创建 定义parallel的取值 parallelvalues(1 10 20 32 40 64 128) 定义inputtokens和outputtokens的取值 tokenpairs("255 256" "255 1024" "255 2048" "511 512" "511 1024" "1023 1024" "1023 2048" "2047 2048" "4095 1024" "4095 4096") tokenpairs("20480 8192") 获取当前时间戳，格式为 YYYYMMDDHHMMSS timestamp$(date +"%Y%m%d%H%M%S") 外循环：遍历inputtokens和outputtokens的取值 for tokens in "${tokenpairs[@]}"; do

2.1 服务配置 2.1.1 调度参数配置 编辑/home/vllm/srundeepseek.sh，如果是2台或者3台，需修改N后面的数值： plaintext !/bin/bash SBATCH N 4 ... 2.1.2 模型参数配置 编辑/home/vllm/node.sh： plaintext export MODELDIR/mnt/data/hfcache/DeepSeekR1 export MODELNAMEDeepSeekR1 export VLLMIMAGEvllmopenaiv0.8.1.sif export VLLMAPIKEY"password" 其中: MODELDIR为模型具体位置 MODELNAME为显示的模型名称 VLLMIMAGE为使用的vllm apptainer容器 VLLMAPIKEY为模型密钥，默认为password 2.2 DeepSeek服务启动 plaintext cd /home/deepseek sbatch srundeepseek.sh 输出示例：Submitted batch job 403 查看日志目录下的err文件，当出现如下信息时，表示服务启动： plaintext INFO: Started server process [409] INFO: Waiting for application startup. INFO: Application startup complete. 2.3 查看DeepSeek状态 可通过slurm命令squeue，查看作业运行信息： plaintext $ squeue JOBID PARTITION NAME USER ST TIME NODES NODELIST(REASON) 403 batch DSL40S root R 8:19 4 compute[0104] 注意 可在/home/deepseek/log目录中查看当前作业的日志文件。 2.4 DeepSeek服务停止 上述示例中，DeepSeek服务的JOB ID为403，如果需停止DeepSeek服务，命令为： plaintext scancel 403 或 scancel me

本文主要介绍云日志服务的售前常见问题。 什么是云日志服务？ 云日志服务是天翼云打造的一款云原生日志观测分析平台产品，可为应用的海量日志数据提供大规模、低成本、集中式的平台化服务，具备一站式的日志采集、加工、查询分析、可视化、告警、投递消费等能力，全面满足应用研发、运维、服务监控与业务分析等应用场景。 云日志服务包含什么功能? 日志采集：支持从云主机、容器应用、微服务应用以及其他组件中采集日志。采集规则支持动态配置，提供单行/多行全文、正则、分隔符、JSON等日志结构化解析方式。 日志检索：对于采集到的日志数据，支持模糊查询、全文查询、字段查询、时间范围、上下文查询。 统计分析：支持各类统计分析场景。 数据加工：支持对日志数据进行加工，包括数据的规整、脱敏和过滤。 日志转储：支持日志数据投递转储至对象存储。 日志告警：支持对一个或多个日志单元设置自定义告警规则，告警规则将按照设定的周期执行监控任务。 如何开始使用云日志服务？ 在使用云日志服务前，您需要完成天翼云账号注册并实名认证。完成实名认证后，打开产品详情页，点击【立即开通】，按照指引开通云日志服务。详情请查看快速入门。

本节介绍企业主机安全动态端口蜜罐功能。 动态端口蜜罐概述 什么是动态端口蜜罐 动态端口蜜罐功能是一个攻击诱捕陷阱，利用真实端口作为诱饵端口诱导攻击者访问；在内网横向渗透场景下，可有效地检测到攻击者的扫描行为，识别失陷主机，延缓攻击者攻击真正目标，从而保护用户的真实资源。 用户可选择系统推荐端口或自定义端口开启动态端口蜜罐，诱捕失陷主机，降低真实资源被入侵的风险。 如何使用动态端口蜜罐 约束与限制 使用动态端口蜜罐功能，须满足以下条件： 服务器未绑定EIP。 服务器已开启HSS旗舰版、网页防篡改版或容器版防护。 服务器已安装Agent的版本为以下版本且Agent状态为“在线”。 Linux：3.2.10及以上版本。 Windows：4.0.22及以上版本。 一台服务器最多支持添加10个蜜罐端口。 一个蜜罐端口只能绑定一个协议，支持TCP和TCP6协议。 创建动态端口蜜罐防护策略 操作场景 动态端口蜜罐功能是以真实端口作为诱饵端口诱导攻击者访问，因此开启动态端口蜜罐防护时，用户需要创建防护策略以添加服务器端口作为蜜罐端口并绑定服务器开启防护。 本节介绍如何创建动态端口蜜罐防护策略。

本文介绍使用标准裸金属挂载访问海量文件服务的操作方法。 操作场景 在高性能计算、高性能存储、容器场景、大数据分析、关键核心业务数据库和有高安全性、监管要求等需要使用物理机的业务场景，可搭配海量文件系统和VPC终端节点提供安全、可靠、高性能的共享访问存储服务。 适用产品 物理机，包括弹性裸金属、标准裸金属两种规格。 使用限制 当前仅支持IPv4通过VPC终端节点访问文件系统。 操作步骤 注意 标准裸金属不能修改VPC/子网，请提前做好网络规划。 标准裸金属/弹性裸金属与文件系统须归属相同VPC。 文件存储的服务端口为：111、139、2049、20048、445、11002、11003、10141，设置安全组时不要禁止，以防无法访问文件服务。 请务必在文件系统挂载时使用noresvport参数，防止文件系统卡住。 步骤一：创建VPC及普通子网 说明 若已有VPC及普通子网，可忽略此步骤，直接进行步骤二。 1. 依次进入“控制中心>网络>虚拟私有云”，点击右上方“创建虚拟私有云”。 2. 在“VPC基本信息”部分，VPC名称、网段等根据实际需求填写。 3. 在“子网配置”部分，子网类型选择“普通子网”，名称、网段等根据实际需求填写即可。 4. 创建完成之后返回控制台查看。

类别 云防火墙 安全组 网络ACL 定义 云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持AI提升智能防御能力满足云上业务的变化和扩张需求，极简应用让用户快速灵活应对威胁。云防火墙服务是为用户业务上云提供网络安全防护的基础服务。 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器、云容器、云数据库等实例提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当实例加入该安全组后，即受到这些访问规则的保护。 网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的网络流量。 防护场景 互联网边界 VPC边界 SNAT场景 弹性云服务器 子网 功能特性 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。 支持通过地理位置、域名、域名组、黑/白名单过滤。 支持入侵防御系统（IPS）、病毒防御（AV）功能。 支持三元组（即协议、端口和对端地址）过滤。 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。

资源准备流程： 1. 注册天翼云帐号，并登录成功 2. 已获取AK/SK 3. 创建一个虚拟私有云 4. 创建一个CCE集群（如果只是试用场景，“集群管理规模”选择“50节点”，“控制节点数”选择“1”即可）。集群中至少包含1个规格为8vCPUs、16GB内存或者2个规格为4vCPUs、8GB内存的ECS节点，并且绑定弹性公网IP 环境创建流程： 1. 登录ServiceStage，选择“环境管理”，单击“创建环境” 。 2. 设置环境信息。 a. “环境名称”：输入环境名称，例如：“testenv”。 b. “企业项目”：设置企业项目，本例默认使用default。 c. “虚拟私有云(VPC)”：在下拉列表选择已创建的虚拟私有云VPC。 d. “基础资源”：单击“新增基础资源”，选择该VPC下的基础资源，本例使用云容器引擎(CCE)。 e. “可选资源”：单击“新增可选资源”，选择该VPC下可选资源，本例使用Cloud Service Engine微服务引擎专业版。 3. 单击“立即创建”，完成环境创建。 应用创建流程： 1. 登录ServiceStage控制台，选择“应用管理 > 应用列表”。 2. 单击“创建应用”，设置应用基本信息。 3. 单击“确定”，完成应用创建。 Fork天气预报源码： 登录您的GitHub帐号，并Fork天气预报源码。源码地址： 组织管理”。 2. 单击“创建组织”，在弹出的页面中填写“组织名称”。 3. 单击“确定”。

前提条件 1、在集群中安装Nginx Ingress插件，作为Ingress Controller，并通过Nginx对外暴露统一的流量入口。详细操作可参考 安装插件。 2、上传Nginx镜像至容器镜像服务，使用Nginx作为demo应用。 3、使用Nginx部署应用Service v1，为方便观测流量切分的效果，将欢迎页设置为“v1”。关键配置见下步。 应用场景和操作步骤 场景一：将匹配的业务流量切分到新版本 应用运行了一套对外提供7层服务的Service v1，现需发布新版本Service v2。应用希望将header包含“versionv2”或Cookie包含“v2always”的流量灰度到Service v2，待稳定运行后，逐步全量切到Service v2，平滑下线Service v1。示意图如下： 步骤1：部署旧版本Service v1和常规Ingresss 创建配置项（ConfigMap）grayv1 部署无状态应用（Deployment）grayv1deploy 配置数据卷： 配置镜像和挂载卷： 访问配置： 创建常规Ingress grayv1ing apiVersion: "networking.k8s.io/v1" kind: "Ingress" metadata: annotations: kubernetes.io/ingress.class: "nginxingresscontroller" 使用Nginx型Ingress name: "grayv1ing" namespace: "graytest" spec: rules: host: "testgray.com" 域名 http: paths: backend: service: name: "grayv1deploy" 指定后端服务为grayv1deploy port: number: 80 path: "/" 路径 pathType: "Prefix"

本文介绍如何创建路由。 云容器引擎平台支持对路由的URL配置，通过对应的URL将访问流量分发到对应的服务。同时，服务根据不同URL实现不同的功能。 操作步骤 1.单击左侧控制台导航栏的【资源管理】>【网络管理】，将默认进入【服务】管理页面，点击【ingress】页签，切换到【ingress】管理界面； 2.单击【创建Ingress】，进入ingress创建界面，参照下表设置参数，其中带“”的参数为必填参数； 参数 参数说明 Ingress名称 新建Ingress的名称 集群 Ingress所在集群。若没有可选集群，单击“创建集群”进行创建，操作步骤请参见集群创建 命名空间 Ingress所在命名空间。若没有可选命名空间，单击“创建命名空间”进行创建，操作步骤请参见创建命名空间 对外协议 支持HTTP和HTTPS。若选择HTTPS，SSL策略中选择SSL终端，请填写私密凭据，无合适的私密凭据，可点击创建IngressTLS类型的私密凭据，跳转到私密凭据创建页；SSL策略选择SSL穿透 对外端口 开放公网地址的端口，在对外协议中选择HTTP时，为9080；HTTPS时，为9443 域名 实际访问的域名地址，对应负载均衡服务域名地址，需用户购买备案自己的域名，可选填。一旦配置了域名规则，则必须使用域名访问 路由配置 . 访问路径：需要注册的访问路径，例如：/healthz . 服务名称：选择需要添加Ingress的服务 . 服务端口：由所选服务暴露的端口决定，不可选 . 添加映射：点击添加映射新增一行映射 3.单击【创建】，等待创建成功，创建成功后将自动返回服务列表页，可对已经创建的服务可以编辑YAML、更新、删除的操作。

本文主要介绍如何创建命名空间。 操作场景 命名空间（Namespace）是对一组资源和对象的抽象整合。在同一个集群内可创建不同的命名空间，不同命名空间中的数据彼此隔离。使得它们既可以共享同一个集群的服务，也能够互不干扰。 例如可以将开发环境、测试环境的业务分别放在不同的命名空间。 前提条件 至少已创建一个集群。 约束与限制 每个命名空间下，创建的服务数量不能超过6000个。此处的服务对应kubernetes的service资源，即工作负载所添加的服务。 命名空间类别 命名空间按创建类型分为两大类：集群默认创建的、用户创建的。 集群默认创建的：集群在启动时会默认创建default、kubepublic、kubesystem、kubenodelease命名空间。 default：所有未指定Namespace的对象都会被分配在default命名空间。 kubepublic：此命名空间下的资源可以被所有人访问（包括未认证用户），用来部署公共插件、容器模板等。 kubesystem：所有由Kubernetes系统创建的资源都处于这个命名空间。 kubenodelease：每个节点在该命名空间中都有一个关联的“Lease”对象，该对象由节点定期更新。NodeStatus和NodeLease都被视为来自节点的心跳，在v1.13之前的版本中，节点的心跳只有NodeStatus，NodeLease特性从v1.13开始引入。NodeLease比NodeStatus更轻量级，该特性在集群规模扩展性和性能上有明显提升。 用户创建的：用户可以按照需要创建命名空间，例如开发环境、联调环境和测试环境分别创建对应的命名空间。或者按照不同的业务创建对应的命名空间，例如系统若分为登录和游戏服务，可以分别创建对应命名空间。

本文介绍零信任服务日志投递功能。 功能背景 AOne日志投递功能将分散在各个功能模块的日志数据进行自动采集、可信传输，最终投递到客户指定目标服务器，实现AOne日志的全生命周期管理。可对接企业统一态势平台，将原始日志转化为可观测分析的数字化资产，服务于运维监控、安全审计、业务决策等场景。 操作步骤 1、登录边缘安全加速平台控制台。 2、在首页产品栏目，选择零信任进入工作台。 3、在左侧导航栏AOne零信任日志日志投递，查看和配置相应功能。 4、根据业务需求进行相关配置。 日志投递列表和配置 管理您创建的日志投递策略，展示日志投递信息，具体字段如下： 字段 字段说明 策略名称 投递策略名称，可设置便于您记忆和辨识的相关策略名称。 策略描述 投递策略描述，用于记录相应策略信息，增加对应描述和备注。 投递方式 投递的方式，目前支持：Kafka、Syslog服务器（可选TCP或UDP协议）、SLS（天翼云）。 投递日志类型 每个投递策略只能投递一种日志类型，若您需要投递多个日志类型，则可创建多个日志投递策略。当前可投递日志类型为：内网审计日志、终端登录日志、平台操作日志、网关防护日志、策略处置记录。 投递设置 设置投递方式的详细配置，具体参数如下： 1、Kafka：需设置Kafka服务器地址、Topic（Kafka事件流主体）、认证方式（可选：无、SASL/PLAIN），若选择认证方式，则需提供用户名、密码。 2、Syslog服务器：需设置Syslog服务器地址，投递协议可选：TCP、UDP。 3、SLS（天翼云）：需设置云日志服务访问地址、accessKey、secretkey、日志项目编码、日志单元编码。 说明 天翼云sls的日志投递方式受限于天翼云sls（云日志服务）产品对不同服务区域的功能限制，部分服务区域不支持公网方式传输，具体查看更多。 内网访问 可选开启内网访问，使用连接器内网通道安全投递，减少投递服务器的公网暴露面，确保数据安全。 若您的Syslog服务器位于内网，请勾选并配置连接器集群，内网访问不支持域名方式访问。 勾选内网访问后，需选择关联的连接器集群，用于走该连接器的网络通道，将投递日志传输到您接收投递日志的相应服务器，请确保连接器集群到服务器地址网络可达。 策略状态 投递策略可选开启和关闭。 时间 展示更新时间、创建时间。 操作 详情：查看投递策略详情。 修改：修改投递策略配置，不支持修改投递方式。 删除：删除投递策略。

section1553217101617 " ") 步骤一：创建用户组 步骤二：为用户组授权 步骤三：创建IAM用户并加入用户组 步骤四：使用IAM用户登录并验证权限 步骤一：创建用户组 在“统一身份认证IAM”服务控制台创建用户组，并授予具有云容器引擎只读权限的“CCE ReadOnlyAccess”策略。 用户组是用户的集合，IAM通过用户组功能实现用户的授权。您在IAM中创建的用户，需要加入特定用户组后，用户才具备用户组所拥有的权限。关于创建用户组并给用户组授权的方法，可以参考如下操作。 步骤 1 使用注册的帐号登录，登录时请选择“帐号登录”。 步骤 2 在控制台首页菜单中单击“云容器引擎CCE”，进入CCE控制台。 步骤 3 单击CCE控制台左侧导航栏中的“权限管理”，单击“集群权限”页签下的“创建用户组”。 步骤 4 进入“统一身份认证服务”控制台的“创建用户组”界面，输入用户组名称（本例以“开发人员组”为例）。 单击“确定”，用户组创建完成，界面自动返回用户组列表，列表中显示新建的用户组。 说明：您最多可以创建20个用户组，如果当前资源配额无法满足业务需要，您可以申请扩大配额。 步骤二：为用户组授权 步骤 1 在用户组列表中，单击新建用户组右侧操作栏的“修改”。 在用户组修改页面中，找到用户组权限管理部分。 步骤 2 根据各区域（资源节点）的授权要求，分别设置每个资源节点的用户组权限： 基于区域（如苏州、青岛），授权后将只在授权区域生效，如果需要所有区域都生效，则所有区域都需要进行授权操作。 步骤 3 在搜索框中搜索“CCE”，勾选需要授予用户组的权限，本例此处选择“CCE ReadOnlyAccess”。 步骤 4 单击“确定”，完成用户组授权。 步骤三：创建IAM用户并加入用户组 IAM用户与企业中的实际员工或是应用程序相对应，有唯一的安全凭证，可以通过加入一个或多个用户组来获得用户组的权限。关于IAM用户的创建方式请参见如下步骤。 1. 在统一身份认证服务，左侧导航窗格中，单击“用户”>“创建用户”。 2. 在“创建用户”页面填写“用户信息”。如需一次创建多个用户，可以单击“添加用户”进行批量创建，每次最多可创建10个用户。 用户信息 说明 用户名 必填。IAM用户登录的用户名，此处以“James”和“Alice”为例。 邮箱 “访问方式”选择“首次登录时设置”时必填，选择其他时选填。IAM用户绑定的邮箱，可作为子帐户的登录凭证，也可由IAM用户自己绑定。 手机号 选填。IAM用户绑定的手机号，可作为子帐户的登录凭证，也可由IAM用户自己绑定。 描述 选填。记录IAM用户相关信息。 3. 在“创建用户”页面选择“访问方式”，完成后单击“下一步”。 访问方式 配置信息 说明 管理控制台访问 控制台登录密码设置方式 首次登录时设置 如果您不是用户James的使用主体，建议您选择该方式，输入用户的邮箱和手机，用户James通过邮件中的一次性链接登录，自行设置密码。 管理控制台访问 控制台登录密码设置方式 自动生成 仅在创建单个用户时适用，如果您本次创建2个及以上的用户，则不支持此方式。 管理控制台访问 控制台登录密码设置方式 自定义 如果您是用户James的使用主体，建议您选择该方式，设置自己的登录密码。 管理控制台访问 登录保护 开启登录保护 开启登录保护后，IAM用户登录时，除了在登录页面输入用户名和密码外（第一次身份验证），还需要在登录验证页面输入验证码（第二次身份验证），该功能是一种安全实践，建议开启登录保护，多次身份认证可以提高帐号安全性。 您可以选择通过手机、邮箱、虚拟MFA进行登录验证。 管理控制台访问 登录保护 不开启 编程访问 创建用户完成后即可下载本次创建的所有用户的管理访问密钥。一个用户最多拥有两个访问密钥。这些AK/SK可以对进行编程调用，例如，通过API调用方式访问时，您可能需要使用访问密钥。 说明： 用户可以使用此处设置的用户名、邮箱或手机号码任意一种方式登录。 当用户忘记密码时，可以通过此处绑定的邮箱或手机自行重置密码，如果用户没有绑定邮箱或手机号码，只能由管理员重置密码。 用户登录系统时，输入用户名和初始密码后，将进入“首次登录修改密码”，需要创建一个新密码，该功能可以保证用户的密码是由使用者本人所设置，防止密码泄露。 4. 单击“下一步”，将用户加入到用户组（可选）。 − 选择新创建的用户组“开发人员组”。将用户加入用户组，用户将具备用户组的权限，这一过程即给该用户授权。其中“admin”为系统缺省提供的用户组，具有管理人员以及所有云服务资源的操作权限。 − 如需创建新的用户组，可单击“创建用户组”，填写用户组名称和描述（可选），创建成功后即可将用户加入到新创建的用户组中。 5. 单击“下一步”，IAM用户创建成功，用户列表中显示新创建的IAM用户。如果在访问方式中勾选了“编程访问”，可在此页面下载访问密钥。 步骤四：使用IAM用户登录并验证权限 IAM用户创建完成后，可以使用新用户的用户名及身份凭证登录验证权限，即“CCE ReadOnlyAccess”权限。 步骤 1 在登录页面，单击右下角的“IAM用户登录”。 步骤 2 在“IAM用户登录”页面，输入帐号名、用户名及用户密码，使用新创建的IAM用户登录。 帐号名为该IAM用户所属帐号的名称。 用户名和密码为创建IAM用户“James”时输入的用户名和密码，首次登录时需要重置密码。 如果登录失败，您可以联系您的帐号主体，确认用户名及密码是否正确，或是重置用户名及密码。 步骤 3 使用IAM用户“James”登录成功后，进入控制台，请先切换至授权区域。 步骤 4 在“服务列表”中选择“云容器引擎 CCE”，返回CCE控制台主界面，对IAM用户James的集群权限进行验证。 验证方式（参考）：您可以尝试创建一个集群或休眠一个已创建的集群，此时如果提示“您的权限不足。”，则表明您为James用户设置的“CCE ReadOnlyAccess”只读权限策略已生效。

本文进行了云防火墙（原生版）产品的术语说明。 VPC 虚拟私有云（Virtual Private Cloud，VPC），为云服务器、云容器、云数据库等云上资源构建隔离、私密的虚拟网络环境。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。 互联网边界防火墙 互联网边界防火墙主要用于检测互联网和云上资产间的通信流量，也称为南北向流量。 访问控制 是流量过滤规则的集合，通过防火墙的访问控制功能可以对内网的计算机进行访问限制，比如限制访问的Internet网站、限制使用的端口号，这样可以保证局域网的安全性。 黑名单规则 访问控制规则的一种。配置成功后，可对配置地址的入或出通信流量进行阻断。 白名单规则 访问控制规则的一种。配置成功后，可对配置地址的入或出通信流量进行放行。 五元组 包括源IP地址、目的IP地址、协议号、源端口、目的端口。 入侵防御 主动发现外部入侵与恶意外联等未知风险，在检测到可疑事件时，提供实时的防护与告警。如果检测到攻击，入侵防御会在攻击扩散到网络的其他地方之前阻止该恶意通信。 主动外联访问 主动外联访问是指云主机主动访问外部IP的行为，通过对主动外联访问防护，可以帮助您有效管理和控制主机外联行为。

本章节主要介绍数据服务概览。 DataArts Studio数据服务旨在为企业搭建统一的数据服务总线，帮助企业统一管理对内对外的API服务。数据服务为您提供快速将数据表生成数据API的能力，涵盖API发布、管理、运维的全生命周期管理，帮助您简单、快速、低成本、低风险地实现微服务聚合、前后端分离、系统集成，向合作伙伴、开发者开放功能和数据。 相对于数据共享交换或其他数据开放形式，使用数据服务进行数据开放具备如下优势： 统一接口标准，减少上层应用对接工作量。 将数据逻辑沉淀至数据平台，实现应用逻辑与数据逻辑解耦，在减少数据模型的重复开发的同时，避免数据逻辑调整带来的“散弹式修改”。 将数据逻辑相关的存储与计算资源下沉到数据平台，降低应用侧的资源消耗。 减少大量明细、敏感数据在应用侧的暴露，同时通过API 审核发布、鉴权流控、动态脱敏等手段，提升数据安全能力。 值得注意的是，数据服务是通过将数据逻辑封装成统一标准的Restful 风格API从而实现数据开放，适用于小批量数据的快速响应交互场景。如果为大量数据开放的场景，更适于通过数据共享交换或其他方案实现。 数据服务采用Serverless架构，您只需关注API本身的查询逻辑，无需关心运行环境等基础设施，数据服务会为您准备好计算资源，并支持弹性扩展，零运维成本。 详见下图：数据服务架构图

本节介绍如何预热数据集。 为了保证应用在访问数据时的性能，可以数据集开启加速时，或者加速就绪后，开启数据预热功能。 开启数据预热将同步生成预热资源（DataLoad），通过数据预热，提前将远程存储系统中的数据拉取到靠近计算结点的本地存储中，使得消费该数据集的应用能够在首次运行时即可享受到缓存带来的加速效果。 前提条件 已完成AI套件安装，弹性数据集组件运行正常。 确保存储插件cstorcsi运行正常。 数据集已开启数据加速。 操作步骤 1. 开启预热 登录云容器引擎管理控制台； 在集群列表页点击进入指定集群； 进入主菜单 智算套件 > AI应用管理 > 数据集 > 私有数据集，选择数据集； 进入数据集详情页 > 版本； 数据集版本列表中，对于已加速数据集，开放“缓存预热”入口。点击“缓存预热”，将开启预热操作。 2. 查看预热状态 数据集开启预热之后，首先加速状态置为预热中，此时后台进行预热资源创建，缓存引擎拉取远端数据： 预热完成后，加速状态置为已预热，同时通过列表可以获取已缓存大小和缓存百分比信息： 注意 已缓存大小 当前实际缓存的数据量（已使用空间） 已缓存百分比 已缓存大小 / 缓存配额 × 100% （当远端数据全部缓存在本地时，缓存百分比为100%）

本章节介绍故障演练服务中应用资源管理功能。 概述 应用资源 是构成应用 的组件节点，例如云主机 、云容器引擎 、分布式缓存服务Redis版 、分布式消息服务Kafka等实例。应用需要先纳管资源，才能对其进行故障演练。 添加应用资源 1. 登录应用高可用服务控制台。 2. 在左侧导航栏中，定位到故障演练 菜单，选择要操作的目标应用 ，然后单击其下的应用资源 选项，进入应用资源管理页面。 3. 在页面上方的资源类型 页签中，选择希望添加的资源类型（如云主机），然后单击添加资源按钮。 4. 在弹出的对话框中，选择资源池等筛选条件 ，单击搜索，系统将列出符合条件的、当前用户有权访问的资源清单。 5. 从列表中勾选 一个或多个资源，然后单击确认完成添加。 6. 返回应用资源列表，可以看到新添加的资源对象。 注意 列表中显示的资源状态可能存在一定延迟，如需获取最实时的信息，以该资源对应的云产品控制台为准。 删除应用资源 1. 进入目标应用的应用资源管理页面。 2. 在应用资源 列表中，找到希望删除的资源对象，单击其对应的删除按钮。 3. 在弹出的确认对话框中完成删除操作。 4. 返回应用资源列表，确认该资源对象已被成功移除。 注意 若目标资源被演练任务引用，则无法直接删除；必须先解除所有关联任务对该资源的引用，才能进行删除操作。

本节介绍集群备份用户指南。 前提条件 1. 已完成集群注册，具体操作请参见 本地注册集群 / 三方云注册集群。 2. 集群已安装ccsebackup插件，具体操作请参考 插件。 操作步骤 下发备份任务 1. 登陆分布式容器云平台，在左侧导航栏中选择集群资源 > 集群管理，进入注册集群列表页。 2. 在注册集群列表中点击需要备份的集群，进入单集群管理页面。 3. 在单集群管理页面导航栏中选择运维管理 > 集群备份 > 新增备份 ，进入集群备份配置页面。 4. 填写配置项后，点击“确定”下发备份任务。 备份配置项说明： 配置项名称 说明 名称 必填，备份任务的名称，名称限制为由小写字母开头，只允许小写字母，数字和‘’组成，且备份任务是当前集群中唯一 命名空间 非必填，选择备份资源的命名空间，可多选 资源 非必填，选择所备份资源的类型，可多选，也可以手动输入 持久卷 选择是否备份pod所使用的持久卷，备份内容中有pod资源，此项才生效。不能备份临时卷及hostPath 备份任务下发后，在备份列表中可查看备份任务的执行状态，及备份完成后备份包的大小。 备份列表的操作列还包含以下三个操作： 还原：把当前备份包还原到当前集群中。 下载：下载当前备份任务的备份包。 删除：删除当前备份任务。

本节介绍了：云容器引擎发布 Kubernetes 1.23版本说明。 社区 Kubernetes 版本主要变更 Kubernetes 1.23 Changelog 1. FlexVolume弃用，推荐使用 CSI。 2. IPv4/IPv6 双栈网络 GA，使用双栈网路非强制要求。 3. HorizontalPodAutoscaler v2版本 GA，HorizontalPodAutoscaler autoscaling/v2beta2 API已弃用，建议使用 autoscaling/v2。 4. 通用临时卷功能 GA，此功能允许存储驱动程序动态供应临时卷，其生命周期与 Pod一致。 5. 跳过卷所有权变更功能 GA，此功能允许用户在 Pod 挂载存储卷时跳过递归地权限变更，从而加速 Pod 启动 6. PodSecurity 升级到Beta，取代已经弃用的 PodSecurityPolicy。Kubernetes 1.23中 PodSecurity 默认启用 更多信息请参考：Kubernetes 1.23 Changelog Kubernetes 1.22 Changelog 1. Ingress将移除 extensions/v1beta1 和 networking.k8s.io/v1beta1，Ingress影响7层路由转发能力，推荐使用 networking.k8s.io/v1 2. 资源 ValidatingWebhookConfiguration和 MutatingWebhookConfiguration admissionregistration.k8s.io/v1beta1 API将不再支持，继续使用老版本API将影响 Webhook的正常运行，建议使用 admissionregistration.k8s.io/v1 3. 资源 CustomResourceDefinition apiextensions.k8s.io/v1beta1 API将不再支持，继续使用老板本 API创建 CRD，将影响 Controller 的调协，建议使用 apiextensions.k8s.io/v1 4. APIService apiregistration.k8s.io/v1beta1已弃用，APIService影响 APIServer aggregator的路由，推荐更新为 apiregistration.k8s.io/v1 5. Kubernetes 发版节奏从一年4次改为一年3次 更多信息请参考：Kubernetes 1.22 Changelog

本文介绍应用跨节点访问失败问题。 问题背景 用户在集群内工作节点A上部署了应用a，应用端口假设为80；用户在工作节点B上部署了应用b，应用b需要通过80端口访问节点A上的应用a。 解决方案 为了加强弹性云主机的安全防护，安全组对安全组内和安全组间云主机的访问实现了控制。若节点间的应用无法进行间通信但集群间网络正常，首先考虑是否是安全组规则造成的，用户需要该集群云主机所属的安全组中定义访问规则，使得云主机间可以进行互相访问。 进入区域所在控制台 点击【控制台】，完成【地域】选择后，点击网络部分任意选项，如虚拟私有云，进入【网络控制台】。 进入安全组配置页面 在【网络控制台】页面，点击一级菜单【访问控制】，点击二级菜单【安全组】，进入安全组配置页面。 添加安全组规则 CCE容器引擎集群节点云主机将默认使用default安全组，所以我们需要为default安全组添加规则。 找到列表中的default安全组，点击【添加规则】。 用户需要根据需求完成IP版本、协议、源地址等设置。端口范围即填写应用a上需要被访问的端口。 注意 ：需要同时设置入方向和出方向两条安全组规则，关于安全组的其它具体设置及指标详细含义可参考添加安全组规则。

参数 参数说明 策略名称 新建策略的名称，请自定义。 集群名称 请选择工作负载所在的集群。 命名空间 请选择工作负载所在的命名空间。 关联工作负载 请选择要设置HPA策略的工作负载。 实例范围 请输入最小实例数和最大实例数。 策略触发时，工作负载实例将在此范围内伸缩。 冷却时间 请输入缩容和扩容的冷却时间，单位为分钟， 缩容扩容冷却时间不能小于 1 分钟 。 该设置仅在1.15 及以上版本的集群中显示，1.13 版本的集群不支持该设置。 策略成功触发后，在此缩容/扩容冷却时间内，不会再次触发缩容/扩容，目的是等待伸缩动作完成后在系统稳定且集群正常的情况下进行下一次策略匹配。 策略规则 策略规则可基于系统指标。 系统指标 指标：可选择“CPU利用率”或“内存利用率”。 说明 利用率 工作负载容器组（Pod）的实际使用量 / 申请量。 期望值：请输入期望资源平均利用率。 期望值表示所选指标的期望值，通过向上取整(当前指标值 / 期望值 × 当前实例数)来计算需要伸缩的实例数。 阈值：请输入缩容和扩容阈值。 当指标值大于缩容阈值且小于扩容阈值时，不会触发扩容或缩容。 阈值仅在 1.15 及以上版本的集群中支持 。 您可以单击“添加策略规则”，设置多条伸缩策略。 说明 HPA在计算扩容、缩容实例数时，会选择最近5分钟内的最大值。

本节介绍如何添加网络策略。 添加策略 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“网络安全 > 策略管理”，进入策略管理页面。 3. 单击策略列表右上方的“添加策略”，即可进入添加访问策略页面。 添加NetworkPolicy策略 添加OVS策略 添加IPtables策略 NetworkPolicy 基本信息：策略名称（必填）、描述 策略执行对象：命名空间、Pod选择器（可新增或删除） 规则设置：出/入站规则设置里，支持允许、拒绝和自定义三种选项，自定义规则可对访问目标和端口进行设置，也可对访问目标和端口进行添加和删除。 OVS策略 基本信息：策略名称（必填）、描述。 访问设置：访问源/目标类型，访问源/目标对象。 协议&端口设置：协议类型和端口。 Iptables策略 基本信息：策略名称（必填）、描述。 访问设置：访问源/目标类型，访问源/目标对象。 协议&端口设置：协议类型、端口、处理方式、策略优先级（数字越大优先级越高，最小优先级为1）。 预发布策略 1. 相关的访问策略配置完成后，单击页面右下方的“预发布”按钮来测试发布情况。 触发预发布策略的访问请求不会直接被阻断，系统将自动发送报警，避免直接保存并发布策略可能会影响到正在运行的业务。 2. 单击“预发布”按钮完成添加后，返回至策略列表，可见新添加的策略的发布状态。

本文为您介绍如何使用自建Beats向天翼云云搜索服务OpenSearch实例导入数据。 Beats是轻量级的数据收集器，专门用于将各种日志、指标、网络数据发送到Elasticsearch。常用的Beats包括Filebeat、Metricbeat、Packetbeat等。 Filebeat是一种轻量级日志收集器，通常用于将文件系统中的日志文件或事件日志发送到OpenSearch或Logstash。它适合简单的日志采集场景，能够有效处理系统、应用程序日志等。本文将以Filebeat为例，导入数据至OpenSearch实例。 适用场景 轻量数据收集：适用于需要从大量分布式系统、服务器、容器中收集日志、监控指标等情况。实时日志监控：Beats能够实时收集日志并传送到OpenSearch，是实时日志分析场景的理想选择。 低延迟要求的场景：Beats设计为轻量级工具，占用资源少，适合资源受限的环境。 前提条件 已经开通天翼云云搜索OpenSearch实例。 已经部署Filebeat且打通和OpenSearch实例之间的网络。 Filebeat配置 Filebeat采集日志，需要配置Filebeat的配置文件，设置具体需要采集的日志路径。 具体根据实际的部署路径配置filebeat.yml： 采集日志 filebeat.inputs: type: log 采集的日志文件的路径。替换为自己日志的路径，可以使用通配符。 paths: /yourpath/.log OpenSearch可以使用Elasticsearch的输出插件。 output.elasticsearch: ip替换为OpenSearch实例的地址。 hosts: ["

通过Prometheus监控服务的接入组件管理功能，您可查询或管理当前用户已经接入的监控目标和数据。 基础操作 1. 登录应用性能监控APM控制台，点击左侧菜单栏Prometheus监控。 2. 点击Prometheus监控下的接入管理，在已接入组件页签查看所有已接入的组件。 3. 点击指定组件卡片，查看其接入的环境列表信息，每一个组件类型可能接入到多个环境中。 4. 在环境列表页签下，点击查看详情，即可进入环境详情页面。在环境详情页面中展示了以下关键信息： 关联的容器集群ID或VPC信息及状态。 环境名称。 默认指标存储：指该环境采集的指标数据所存储的Prometheus实例名称，该实例通常跟随环境默认创建。 新增接入组件 在指定环境页面中，点击新增接入按钮，在接入面板中选择目标组件，并根据提示完成接入。 卸载接入组件 每一条接入记录可以单独卸载，当您将同一个组件类型下的全部记录都执行卸载后，对应的大盘和告警规则会被删除。 在组件区域，点击指定组件后的卸载按钮，根据提示完成卸载。

1.3 下载脚本 下载脚本包并解压在home目录。 $ cd /home $ wget 20250331 10:14:14 Resolving jiangsu10.zos.ctyun.cn (jiangsu10.zos.ctyun.cn)... 117.88.33.209, 117.88.33.247, 218.91.113.207 Connecting to jiangsu10.zos.ctyun.cn (jiangsu10.zos.ctyun.cn)117.88.33.209:443... connected. HTTP request sent, awaiting response... 200 OK Length: 20480 (20K) [application/xtar] Saving to: 'deepseekhwnnodev20250331.tar' 100%[>] 20,480 .K/s in 0.007s 20250331 10:14:14 (2.74 MB/s) 'deepseekhwnnodev20250331.tar' saved [20480/20480] $ tar xvf deepseekhwnnodev20250331.tar $ ls l total 20 drwxrxrx 7 root root 238 Mar 31 09:51 deepseek rwrr 1 root root 20480 Mar 31 10:05 deepseekhwnnodev20250331.tar 1.4 下载MindIE 将MindIE容器放在每个节点的/mnt/nvme1n1盘下： mkdir p /mnt/nvme1n1/apptainer/ cd /mnt/nvme1n1/apptainer/ wget ls l /mnt/nvme1n1/apptainer/ 下载完成后，在/home/deepseek目录下做一个软链接： cd /home/deepseek ln s /mnt/nvme1n1/apptainer/mindie2.0.T6.B023800IA2py3.11openeuler24.03ltsaarch64.sif .

1.3 下载脚本 下载脚本包并解压在home目录： plaintext $ cd /home $ wget 20250331 10:14:14 Resolving jiangsu10.zos.ctyun.cn (jiangsu10.zos.ctyun.cn)... 117.88.33.209, 117.88.33.247, 218.91.113.207 Connecting to jiangsu10.zos.ctyun.cn (jiangsu10.zos.ctyun.cn)117.88.33.209:443... connected. HTTP request sent, awaiting response... 200 OK Length: 20480 (20K) [application/xtar] Saving to: 'deepseekhwnnodev20250331.tar' 100%[>] 20,480 .K/s in 0.007s 20250331 10:14:14 (2.74 MB/s) 'deepseekhwnnodev20250331.tar' saved [20480/20480] $ tar xvf deepseekhwnnodev20250331.tar $ ls l total 20 drwxrxrx 7 root root 238 Mar 31 09:51 deepseek rwrr 1 root root 20480 Mar 31 10:05 deepseekhwnnodev20250331.tar 1.4 下载MindIE 将MindIE容器放在每个节点的/mnt/nvme1n1盘下： plaintext mkdir p /mnt/nvme1n1/apptainer/ cd /mnt/nvme1n1/apptainer/ wget ls l /mnt/nvme1n1/apptainer/ 下载完成后，在/home/deepseek目录下做一个软链接： plaintext cd /home/deepseek ln s /mnt/nvme1n1/apptainer/mindie2.0.T6.B023800IA2py3.11openeuler24.03ltsaarch64.sif .

编辑自动注入标签 通过启动自动注入功能，可以在创建Pod的过程中，将Sidecar代理自动注入Proxy容器，以实现数据平面的网格化。 1. 登录控制台，在左侧导航栏，选择网格实例 > 全局命名空间 。 2. 在全局命名空间页面的自动注入列，单击目标命名空间对应的 编辑标签 ，然后在弹出页面中选择编辑标签，单击确定 。 说明 1. 启用Sidecar网格代理自动注入后，您需要重启Pod使配置生效。 2. 编辑页仅支持展示和编辑服务网格相关的标签，即istioinjection，opaistioinjection和istio.io/rev。 同步自动注入标签 1. 登录控制台，在左侧导航栏，选择网格实例 > 全局命名空间 。 2. 在全局命名空间页面的自动注入列，单击目标命名空间对应的 同步 。点击确定即发起同步。 点击同步后产生的效果： 1. 命名空间会同步给所有所属集群（参考下方编辑全局命名空间的所属集群章节）。 2. 从集群中如果不存在该命名空间，则会新建。 3. 从集群中如果存在该命名空间，服务网格相关的标签会被更新为主集群的取值。 说明 目前只会同步服务网格相关的标签，即istioinjection，opaistioinjection和istio.io/rev。

本章节介绍媒体存储的存储桶概念。 存储桶，即Bucket，是对象存储中用以存储对象的容器。与文件系统中多层级树形目录结构不同，对象存储提供了一种扁平化的存储结构，桶中存储的对象都处于同一层级。 每个桶都有自己的访问权限、存储区域等属性，用户可以在不同区域创建不同访问权限的桶，满足不同的存储场景需求。 每个主账号默认在一个资源池下可创建1000个存储桶，每个桶的对象数量没有限制。在同一资源池下，桶名必须是全局唯一的且不能修改，即用户创建的桶不能与自己已创建的其他桶名称相同，也不能与其他用户创建的桶名称相同。桶创建成功后，桶名、存储区域均不允许修改。 每个桶在创建时都会生成默认的桶ACL，包含了对被授权用户授予什么样的权限，如读取权限、写入权限等。其他用户只有对桶有相应的权限，才可以对桶进行对应的操作，如上传对象、下载对象、获取存储桶相关配置等。 媒体存储提供基于REST风格HTTP和HTTPS协议的服务，用户可以通过URL来访问对应的存储内容。 存储桶与对象的关系如下图所示：

本文介绍弹性文件服务的功能特性。 多客户端共享访问 支持多个计算实例挂载同一文件系统，实现共享访问，适用于多种应用场景。 支持云主机、物理机、容器等多种计算服务挂载访问。 多协议配置 天翼云弹性文件系统支持NFSv3/v4.1、CIFS(SMB2.1/SMB3.0)协议，用户能够在创建文件系统时指定协议类型。 通过标准POSIX接口访问数据，无缝适配主流应用程序进行数据读写。 基础管理 支持在控制台进行创建、搜索、查看、扩容、删除、续订等基本文件系统管理操作。 分钟级别快速扩容，用户可根据实际需要对文件系统进行在线扩容，扩容过程不影响业务使用。 同地域跨VPC、跨AZ访问 通过给文件系统添加多个VPC，可将文件系统挂载至不同VPC的计算实例上，实现同地域跨VPC访问。 通过给文件系统和其它AZ的计算实例添加到同一VPC中，实现同地域跨AZ挂载。 权限管理 权限组是一种白名单机制，通过创建权限组和权限组规则，授予不同网段或IP的客户端不同的访问权限。 支持统一身份认证（Identity and Access Management，简称IAM）服务，帮助您安全的控制云服务和资源的访问及操作权限。 监控告警 依托天翼云云监控服务，提供基础性能指标监控和容量指标监控，了解文件系统运行情况。 支持对重要指标设置自定义告警规则，可及时知晓数据异常并处理。 支持一键告警，对容量使用率默认阈值一键开启告警通知，保证业务正常进行。

本章节介绍如何使用云原生网关实现后端访问签名 概述 后端访问签名功能支持您在后端服务中开启身份认证后，填写设定的一对Access Key和Secret Key，并根据选择的认证算法和加密算法，以及加密Headers列表，计算出相应的签名信息。当通过网关请求该服务时，会将该服务的签名信息设置在Header请求头中，从而后端服务对比网关的签名和服务器端计算的签名是否一致进行身份验证与鉴权。 前提 1. 已开通云原生网关实例 2. 已部署能够进行验证Header签名信息的后端服务 网关中实现后端访问签名 1. 部署服务，可选择容器部署、Nacos注册或固定地址。 2. 进入服务详情。 3. 后端访问签名栏点击编辑。 4. 打开 开启身份认证开关。 5. 选择认证算法（目前云原生网关只支持Hmac算法，后续将支持更多算法），填写加密关键信息。 6. 点击保存。 7. 为该服务创建路由。 8. 请求路由。 其中，Hmac认证算法的关键属性如下： 名称 描述 Access Key 唯一标识符。 Secret Key 与Access Key配对使用。 加密算法 支持hmacsha1，hmacsha256和hmacsha512三种加密算法。 加密Headers列表 要在加密计算中使用的headers 列表。指定后客户端请求只能在此范围内指定 headers，如果未指定，就会在所有客户端请求指定的 headers 加入加密计算。 URL参数编码 当设置为是时，将对签名中的URI参数进行编码，默认为是。

参数 描述 参数模板 数据库参数就像是数据库引擎配置值的容器，参数模板中的参数可应用于一个或多个相同类型的数据库实例。实例创建成功后，参数模板可进行修改。 须知 创建数据库实例时，为确保数据库实例正常创建，自定义参数模板中相关规格参数如下不会下发，而是采用系统默认的推荐值。 “innodbbufferpoolsize” “innodblogbuffersize” “maxconnections” “innodbbufferpoolinstances” “innodbpagecleaners” “innodbparallelreadthreads” “innodbreadiothreads” “innodbwriteiothreads” “threadpoolsize” 参数“innodbparallelselectcount”变更为规格参数，创建实例时参数取值由规格决定，不受参数模板中的参数值控制。16U及以下规格，该参数值默认为“OFF”，16U以上规格，该参数值默认为“ON”。 表名大小写 创建数据库及表时，表存储是否大小写敏感。创建后无法修改，请谨慎选择。 区分大小写：表示创建数据库及表时，区分大小写。 不区分大小写：表示创建数据库及表时，不区分大小写，默认小写。 企业项目 该参数针对企业用户使用，如需使用该功能，请联系客服申请开通。 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 请在下拉框中选择所在的企业项目，其中，default为默认项目。

问题现象 pod中istio sidecar容器监控中发现内存消耗持续升高。 原因分析 istio采用envoy作为数据面代理，动态内存消耗主要有以下方面： 原因 说明 网格配置 默认情况下网格中的配置和服务发现信息会全量同步到所有sidecar，当网格中的配置增多或者pod数量增多时，将导致sidecar代理的内存升高。 动态请求消耗的内存 Envoy中会为请求申请buffer用于缓存请求及应答信息，当请求量和消息比较大的时候会增加内存消耗。 可观测指标发散 当指标的tag较多时将会在内存中产生较多副本，增加内存消耗。 HTTP2流量控制相关 sidecar实现HTTP2编解码中有流级别及连接级别的缓存字节数限制，默认为256MB，当sidecar处理能力不足将导致数据在内存中累积。 解决方法 对于网格配置导致的sidecar内存升高，可以通过限定资源的可见范围较少配置扩散，如VirtualService、DestinationRule的exportTo字段指定配置分发的命名空间；通过配置sidecar资源，限定当前服务可见的服务发现范围等。 对于动态请求导致的内存消耗，考虑减少sidecar代理的流量。默认情况下sidecar会拦截所有inbound和outbound的流量，可以根据业务需要对不需要代理的端口取消流量拦截；具体可以通过sidecar管理sidecar代理配置菜单下配置全局及命名空间级别的流量拦截策略。 对于指标发散和HTTP2缓冲配置导致的内存升高，我们将在后续的版本中提供优化方案。