本章节介绍应用服务网格入口网关 概述 应用服务网格入口网关可以为您的应用程序提供统一的流量入口。作为服务网格的入口，它不仅可以定义请求的转发规则，还可以应用安全策略，如认证和授权，以确保流入服务网格的流量的安全性。入口网关还可以监控流量的流向和性能，并通过负载均衡算法确保各个服务实例的负载均衡，从而提高整体系统的可靠性和稳定性。 创建入口网关 前提条件 服务网关使用弹性负载均衡服务（ELB）的负载均衡器提供网络访问，因此在添加网关前，请提前创建弹性负载均衡（需要确保所属VPC与网格的VPC一致）。 注意 入口网关无法绑定组件内部使用的ELB，如云容器引擎API Server ELB、应用服务网格控制面ELB等。 操作步骤 1. 登录应用网格控制台，单击应用网格实例列表中的网格名称。 2. 在左侧导航栏中，选择网关>入口网关。 3. 选择对应的集群和命名空间后，点击创建入口网关按钮，配置入口网关信息，配置项如下： 配置项 说明 网关名称 自定义网关名称。 命名空间 网关创建的命名空间。 网关类型 表示网关为出口网关还是入口网关。 elb实例 为入口网关绑定私网或公网的elb，以提供私网或公网的访问。 label标签设置 设置入口网关的标签，可用于网关规则筛选器的匹配。 端口设置 配置网关的端口以及端口对应的协议，支持HTTP、HTTPS、TLS、HTTP2.0、GRPC、TCP 资源规格设置 网关pod的CPU和内存规格。 网关副本数 网关pod的数量。 扩容HPA策略 K8s Horizontal Pod Autoscaler策略，用于实现基于业务负载动态扩缩容的能力，提升业务的可用性和资源利用率。 滚动升级策略设置 配置滚动升级，用于无缝地将应用程序的新版本逐步引入到集群中，同时逐步淘汰旧版本，以确保应用程序持续可用性的升级过程，可进行如下配置： 1，不可用最大副本数：设置滚动升级时不可用最大的副本数量。 2，超过期望的副本数：设置滚动升级时最多不能超过的副本数量。例如设置为25%，表示滚动升级时副本数量不能超过原来副本的125%。 注意 多个Ingress网关绑定到同一个ELB实例时需要确保使用到的端口没有冲突。

适用计费项 计费项目 计费项说明 峰值并发 运行任务支持的最大并发用户数，请根据测试需求预估。 包周期时长 购买性能测试服务包周期套餐包的时长。 计费项 计费说明 性能测试服务的费用包括两部分：所使用资源的费用和使用性能测试服务的费用。 所使用资源的费用：包括计算（云容器引擎CCE和弹性云主机ECS）、网络（弹性负载均衡ELB和弹性公网EIP）和存储（对象存储服务OBS）等资源的费用，此费用由对应的云服务计费，性能测试服务不再单独收费。 使用性能测试服务的费用：性能测试服务按压测所消耗的VUM收费。 性能测试服务提供按需计费模式和按套餐包计费模式，其中按套餐包计费模式分为按需套餐包和包周期套餐包。 按需模式计费项信息表 计费项目 计费项说明 适用的计费模式 计费公式 :::: 产品单价（元/VUM） VUM指任务对资源的消耗数，表示每虚拟用户每分钟。计算公式为VUMVU（虚拟并发用户数）M（压测时长，单位为分钟）。 按需计费。 产品单价压测时长 压测时长（分） 使用性能测试服务压测的时间长度，单位为分钟，精确到秒。 按需套餐包模式计费项信息表 计费项目 计费项说明 适用的计费模式 计费公式 :::: 峰值并发 运行任务支持的最大并发用户数，请根据测试需求预估。 按需套餐包计费。 使用时依照压测所消耗的VUM扣除套餐包额度。已消耗VUM测试任务总并发数压测时长。剩余VUMVUM额度已消耗VUM。 VUM额度 按需套餐包生效期间，使用时优先扣除按需套餐包内的VUM额度，超出按需套餐包的部分以按需计费模式进行结算。 压测时长（分） 使用性能测试服务压测的时间长度，单位为分钟，精确到秒。 包周期套餐包模式计费项信息表 计费项目 计费项说明 适用的计费模式 计费公式 :::: 峰值并发 运行任务支持的最大并发用户数，请根据测试需求预估。 包周期套餐包计费。 在包周期时长内，VUM不限量。 包周期时长 购买性能测试服务包周期套餐包的时长。购买时长为1年时，可享受实付85折优惠。

如何固定应用组件IP？ 问题描述 在部署应用组件的过程中，如果不设置“TCP/UDP路由配置”，那么当容器重启时，应用的访问IP会发生变化。这种情况会为您的某些配置造成困扰。 解决方法 创建部署应用组件时或者部署应用组件后设置一下“TCP/UDP路由配置”即可。以下三种方式均可解决该问题： 集群内访问：应用暴露给同一集群内其他应用访问的方式，可以通过集群内部域名访问。 VPC内网访问：应用可以让同一VPC内其他应用程序访问，通过集群节点的IP或者私网弹性负载均衡ELB的服务地址访问。 公网访问：通过弹性IP从公网访问应用，一般用于系统中需要暴露到公网的服务。该访问方式需要给集群内任一节点绑定弹性IP，并设置一个映射在节点上的端口。 如何体验ServiceStage的源码部署功能？ 如下表所示，ServiceStage基于GitHub提供了一些不同语言的demo。 您可以Fork特定语言的demo源码到自己的GitHub代码仓库中，参考部署组件去体验ServiceStage的源码部署功能。 表 ServiceStage提供的demo 源码及GitHub地址说明 demo名称 语言类型 GitHub代码仓库地址 ServiceCombSpringMVC Java ServiceCombJAXRS Java ServiceCombPOJO Java SpringBootWebService Java SpringBootWebappTomcat Java nodejsexpress Node.js nodejskoa Node.js phplaravel PHP phpslim PHP Gosimple Golang

通过控制台设置 决定工作负载的Pod和哪些工作负载的Pod部署在同一个拓扑域。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”或“工作负载 > 有状态负载 StatefulSet”。 步骤 2 在无状态工作负载或有状态工作负载列表中，单击工作负载名称进入详情页，在“调度策略”页签下，单击 “自定义调度策略”。 步骤 3 在工作负载亲和性设置中，依据工作负载的Pod标签，同时配置命名空间和拓扑域进行业务需求的设置。 说明：工作负载亲和性调度支持必须满足和尽量满足（硬约束Required/软约束Preferred），以及可以设置相应的匹配关系（In, NotIn, Exists, DoesNotExist）： 必须满足：即硬约束，设置必须要满足的条件，对应于requiredDuringSchedulingIgnoredDuringExecution，您可以添加多条必须满足的规则。在规则中还需要设置命名空间和拓扑域。 尽量满足：即软约束，设置尽量满足的条件，对应于preferredDuringSchedulingIgnoredDuringExecution，您可以添加多条尽量满足的规则，无论是满足其中一条或者是都不满足都会进行调度。另外可以为规则设置权重值，权重值越高会被优先调度。 命名空间：即namespaces，默认情况下使用和当前工作负载相同的命名空间，您可以设置其他的已有的命名空间。 拓扑域：即topologyKey，拓扑域通过设置工作节点的标签，包含默认和自定义标签，用于指定调度时作用域。 选择器：对应于matchExpressions，您可以添加多条选择器，多条选择器之间是一种“与”的关系，即需要满足全部选择器才能依据此条规则进行调度。 标签名：对应工作负载的标签，您可以使用默认标签app或者使用自定义标签。 匹配关系：即操作符，可以设置四种匹配关系（In, NotIn, Exists, DoesNotExist）。In和NotIn操作符可以添加单个值或者多个value值（多值使用；进行划分），Exists和DoesNotExist判断某个label是否存在，不需设置value值。 通过kubectl命令行设置 本节以nginx为例，创建工作负载节点的亲和性。 前提条件 已有使用nginx容器的工作负载和节点。 操作步骤 使用默认的命名空间default，拓扑域使用内置的节点标签kubernetes.io/hostname用于表示以节点为区分范围，设置标签app和type，标签值为redis和database。同时设置操作符为In，最后单击“确定”提交。 设置后的工作负载亲和性所得的yaml如下： apiVersion: extensions/v1beta1 kind: Deployment metadata: name: nginx namespace: default spec: replicas: 2 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: imagePullSecrets: name: defaultsecret affinity: podAffinity: requiredDuringSchedulingIgnoredDuringExecution: labelSelector: matchExpressions: key: app operator: In values: redis key: type operator: In values: database namespaces: default topologyKey: kubernetes.io/hostname 说明：上例中只有当某个工作负载同时具有app和type两个标签的时候，工作负载nginx才能调度成功，会将工作负载nginx调度到此工作负载的节点上。

前提条件 已在管理控制台中创建“弹性负载均衡”实例。 1. 登录管理控制台首页，在服务列表中选择“网络 > 弹性负载均衡”。 2. 单击右上角的“创建弹性负载均衡”。 说明： CCE中的负载均衡 ( LoadBalancer )访问类型使用弹性负载均衡 ELB提供网络访问，存在如下产品约束： 自动创建的ELB实例建议不要被其他资源使用，否则会在删除时被占用，导致资源残留。 创建Ingress 您可以在创建工作负载时通过CCE控制台设置访问方式，本节以创建一个nginx工作负载并添加Ingress类型的Service为例进行说明。 步骤 1 创建工作负载，详细步骤请参见创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)。 若创建工作负载时，部署了“节点访问( NodePort )”类型的Service，请直接执行步骤3。 若创建工作负载时，未部署“节点访问( NodePort )”类型的Service，请先执行步骤2。 步骤 2 （可选）若创建工作负载时，未配置“节点访问 ( NodePort )”，请执行如下操作。 1. 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”。 2. 在Service页签下，单击“添加Service”。选择类型为“节点访问 ( NodePort )”。 − Service 名称：自定义服务名称，可与工作负载名称保持一致。 − 集群名称：选择需要添加Service的集群。 − 命名空间：选择需要添加Service的命名空间。 − 关联工作负载：单击“选择工作负载”，选择需要配置节点访问 ( NodePort )的工作负载名称，单击“确定”。 − 服务亲和： 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 − 端口配置： a、协议：请根据业务的协议类型选择。 b、容器端口：容器镜像中工作负载实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 c、访问端口：容器端口映射到节点私有IP上的端口，用私有IP访问工作负载时使用，端口范围为3000032767，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 3. 单击“创建”，节点访问方式设置成功。 步骤 3 添加Ingress类型的Service。 1. 单击CCE左侧导航栏的“资源管理 > 网络管理”。 2. 在Ingress页签下，单击“添加Ingress”。 − Ingress 名称：自定义Ingress名称，例如ingressdemo。 − 集群名称：选择需要添加Ingress的集群。 − 命名空间：选择需要添加Ingress的命名空间。 − 负载均衡配置：Ingress使用弹性负载均衡服务（ELB）的负载均衡器提供七层网络访问。 说明： 1. ingress创建后请在CCE页面对所选ELB实例进行配置升级和维护，否则可能导致ingress服务异常。 2. 自动创建的ELB实例尽可能不要被其他ingress或者service使用，否则可能导致资源残留。 负载均衡：负载均衡实例需与当前集群处于相同VPC且为相同公网或私网类型。 请根据业务需求选择“公网”或“私网”。公网支持自动创建和使用已有负载均衡实例两种方式。私网：支持自动创建和使用已有负载均衡实例两种方式。 更改配置：选择“公网 > 自动创建”时，单击规格配置下的“更改配置”，可修改待创建的负载均衡实例的名称、规格、计费模式和带宽。 − 监听器配置：Ingress为负载均衡器配置监听器，监听器对负载均衡器上的请求进行监听，并分发流量。 a、对外协议：支持HTTP和HTTPS。 b、对外端口：开放在负载均衡服务地址的端口，可任意指定。 若选择启用“对接Nginx”后，将默认开启80和443端口，此处“对外端口”参数项将不显示。 c、服务器证书：请选择密钥证书。 须知： 选择HTTPS协议时，才需要创建密钥证书ingresstestsecret.yaml。创建密钥的方法请参见创建密钥。 同一个ELB实例的同一个端口配置HTTPS时，一个监听器只支持配置一个密钥证书。若使用两个不同的密钥证书将两个Ingress添加到同一个ELB下的同一个监听器，ELB侧实际只生效最初的证书。 − 转发策略配置：请求的访问地址与转发规则匹配时（转发规则由域名、URL组成），此请求将被转发到对应的目标Service处理。 说明： 服务负载均衡配置中可更改ELB实例的分配策略类型、会话保持、健康检查等内容，请勿在ELB服务修改相关信息。 − 域名：实际访问的域名地址。请确保所填写的域名已注册并备案，在Ingress创建完成后，将域名与自动创建的负载均衡实例的IP（即Ingress访问地址的IP部分）绑定。一旦配置了域名规则，则必须使用域名访问。 − URL匹配规则： 前缀匹配：例如映射URL为/healthz，只要符合此前缀的URL均可访问。例如/healthz/v1，/healthz/v2。 精确匹配：表示精准匹配，只有完全匹配上才能生效。例如映射URL为/healthz，则必须为此URL才能访问。 正则匹配：可设定映射URL规范，例如规范为/[AZaz09.]+/test。只要符合此规则的URL均可访问，例如/abcA9/test，/v1Ab/test。正则匹配规则支持POSIX与Perl两种标准。 − URL：需要注册的访问路径，例如：/healthz。 − 目标Service：请选择已有Service或新建Service。页面列表中仅支持选择“节点访问 ( NodePort )” 类型的Service，该查询结果已自动过滤。 − Service访问端口：可选择目标Service的访问端口。 − 服务负载均衡配置：该配置是基于服务的配置，若有多条路由使用当前服务，这些路由将使用相同的服务负载均衡配置。 健康检查：默认不启用。请根据界面提示进行配置。 − 操作：可单击“删除”按钮删除该配置。 单击“添加转发策略”按钮可添加多条转发策略。 步骤 4 配置完成后，单击“创建”。 创建完成后，在Ingress列表可查看到已创建成功的Ingress。 步骤 5 访问工作负载（例如名称为defaultbackend）的“/healthz”接口。 方式一：负载均衡IP访问（需负载均衡访问的服务不能配置域名） 1. 获取defaultbackend“/healthz”接口的访问地址，访问地址有负载均衡实例、对外端口、映射URL组成，例如：10.154.73.151:80/healthz。 a. 在左侧导航栏选择“资源管理 > 网络管理”。 b. 在“Ingress”页签下，单击Ingress名称，可查看访问地址。 2. 在浏览器中输入“/healthz”接口的访问地址，如： 访问defaultbackend“/healthz”接口 方式二：域名访问 以ingress中已配置域名ingress.com为例。 1. 获取ingressdemo的域名与访问地址的IP、URL与端口。 a. 在左侧导航栏选择“资源管理 > 网络管理”。 b. 在“Ingress”页签下，可查看访问地址。 c. 单击Ingress名称，可查看域名。 2. 在本地主机的C:WindowsSystem32driversetchosts中配置访问地址的IP和域名，如下图： 3. 在浏览器中输入 更新Ingress 您可以在添加完Ingress后，更新此Ingress的端口、域名和路由配置。操作如下： 说明： Ingress创建后请避免在ELB服务的控制台中操作Ingress对接的ELB资源，如需修改请在CCE控制台中对所选ELB实例进行配置升级和维护，否则可能导致Ingress服务异常。 在CCE控制台中更新Ingress时，负载均衡配置中可更改ELB实例的分配策略类型、会话保持、健康检查等内容，请勿在ELB服务修改相关信息。 自动创建的ELB实例尽可能不要被其他Ingress或者Service使用，否则可能导致资源残留。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”。在Ingress页签下，选择对应的集群和命名空间，单击待更新Ingress后方的“更新”。 步骤 2 在“更新Ingress”页面，更新如下参数： 监听器配置 对外端口：开放在负载均衡服务地址的端口，可任意指定。 转发策略配置 服务负载均衡配置： 单击展开后，可对如下参数进行设置： − 健康检查：默认开启。请根据界面提示进行配置。 单击“添加转发策略”按钮可添加多条转发策略。 − 域名：实际访问的域名地址。请确保所填写的域名已注册并备案，在Ingress创建完成后，将域名与自动创建的负载均衡实例的IP（即Ingress访问地址的IP部分）绑定。一旦配置了域名规则，则必须使用域名访问。 − URL匹配规则： a、前缀匹配：例如映射URL为/healthz，只要符合此前缀的URL均可访问。例如/healthz/v1，/healthz/v2。 b、精确匹配：表示精准匹配，只有完全匹配上才能生效。例如映射URL为/healthz，则必须为此URL才能访问。 c、正则匹配：可设定映射URL规范，例如规范为/[AZaz09.]+/test。只要符合此规则的URL均可访问，例如/abcA9/test，/v1Ab/test。正则匹配规则支持POSIX与Perl两种标准。 − URL：需要注册的访问路径，例如：/healthz。 − 目标Service：请选择已有Service或新建Service。页面列表中仅支持选择“节点访问 ( NodePort )” 类型的Service，该查询结果已自动过滤。Service访问端口：可选择目标Service的访问端口。 − 服务负载均衡配置：该配置是基于服务的配置，若有多条路由使用当前服务，这些路由将使用相同的服务负载均衡配置。详细配置请参见服务负载均衡配置.docx

本章节介绍发布单相关功能 概述 发布单主要用于发布同环境下多个应用实例，并指定应用实例间发布顺序。 发布单列表 发布单主要展示该环境下历史发布单信息。在左侧导航栏单击应用运维容器应用实例应用发布发布单进入发布单列表页面。发布单列表页面分成发布单统计和发布单列表两块内容。 发布单统计 发布单统计用于统计当前环境下发布单信息，展示发布单总计、发布成功总计、发布失败总计、发布中总计、待发布总计、已取消总计。 发布单列表 发布单列表包括发布单名称、部署单元、应用数量、状态、执行人、执行时间、操作列。根据状态的不同，操作列存在不同。 创建发布单 1. 在发布单列表页面，单击创建发布单按钮，进入发布单配置页面 2. 填写基本信息 配置项 描述 发布单名称 发布单名称。 部署单元 展示当前环境下的所有部署单元。 发布类型 支持普通发布和金丝雀发布。金丝雀发布支持按流量发布和按泳道发布。具体参考应用总览。 发布批次 选择发布分批次数。仅普通发布才有该选项。 首批灰度数量 首批发布的应用实例数量。右侧会显示应用当前实例数，为保证应用稳定性，灰度实例数不能超过应用实例总数的50%。仅金丝雀发布才有该选项。说明： 灰度分组发布后，必须手动开始剩余分批发布。 剩余分批次数 首批灰度发布后，剩余的应用实例按照该处设置的批次完成分批发布。 分批方式 说明： 当普通发布的发布批次大于1或者金丝雀发布的剩余分批次数大于1时，需配置分批间处理方式。 支持手动和自动。手动：手动触发下一个批次的发布。自动：根据间隔自动分配分批发布。间隔为剩余批次间的发布时间间隔，单位：分钟。 应用实例列表 您可以在待选应用实例列表中单击选择需要的应用实例，单击>图标将应用实例添加到已选应用实例列表中。若应用实例存在多个版本，需要选择要发布的版本。默认选择最新的版本。 3. 高级配置 高级配置用于设置应用实例间依赖关系。当选择了 2 个及以上应用实例时，可能需要填写应用实例之间的依赖关系。若应用实例之间不存在依赖关系，则直接跳过。 注意 应用实例之间不可循环依赖，即不可出现应用实例 A 依赖于应用实例 B，同时应用实例 B 又依赖于应用实例 A 这种情况。 4. 在预览页面确认信息无误后，单击创建。系统会自动跳转到发布单列表页面，单击发布单名称进入发布单详情页面，等待初始化完成后点击发布即可开始发布。

文件系统详情页 点击文件系统名称，可以跳转至文件系统详情页，查看更多文件系统信息。 基本信息 文件系统基础信息，与文件系统列表信息一致。 挂载信息 页面中部展示未关联VPC终端节点服务的挂载信息，仅可用于除物理机外的计算服务挂载使用，如云主机、容器等。若使用物理机挂载访问，必须在添加VPC时选择创建终端节点(VPCE)，在页面下方VPC列表中查看VPCE挂载信息。 NFS文件系统仅支持Linux操作系统挂载，其详情页仅展示适用于Linux 的共享路径，点击复制按钮可复制完整挂载命令。 请注意将挂载命令中“/localfolder”替换为您在客户端创建的挂载目录。 若要使用IPv6访问文件系统，需要将VPC开启IPv6。 VPC页签 在详情页VPC页签下，可以查看文件系统绑定的VPC、权限组、VPC终端节点及对应挂载信息。支持按VPC名称在VPC列表中进行搜索。可以进行添加VPC、解绑VPC、更换权限组等操作。 字段 说明 VPC名称/ID 文件系统添加的VPC，要挂载的计算服务归属的VPC必须添加到文件系统VPC列表中。通过添加多个VPC，可实现文件系统跨VPC访问。 单文件系统列表可添加20个VPC。 文件系统退订前必须解绑所有VPC。 权限组 文件系统VPC绑定的权限组。同一个文件系统，一个VPC只能绑定一个权限组。 VPC终端节点 在创建文件系统或添加VPC时选择创建终端节点（VPCE），则会在此处展示对应的VPCE。点击可跳转至VPCE详情页。 注意 请不要删除/修改此VPCE，否则会导致VPCE挂载信息失效，文件系统将无法访问。 VPCE挂载信息 若添加VPC时创建终端节点（VPCE），则会在此处展示对应的挂载地址，物理机挂载访问必须使用此挂载信息。点击复制按钮即可复制完整挂载命令。 注意 VPCE挂载信息返回通常需要1~3分钟。若长时间没有返回挂载地址，请提交工单联系技术人员排查。 不支持双栈VPCE，无法通过IPv6访问物理机。 操作 更换权限组：可以更换VPC绑定的权限组。解绑：解绑VPC及权限组。 注意 当添加VPC/创建文件系统时选择创建终端节点，若操作“更换权限组”将导致客户端与文件系统网络断开，造成访问中断/客户端卡死。 当添加VPC/创建文件系统时未选择创建终端节点，VPC列表中将不会展示对应的VPC终端节点及VPCE挂载信息。也就无法挂载至该VPC中的计算 服务，否则可以解绑再次添加该VPC并选择创建终端节点。

本文主要介绍对象存储的定义。 服务简介 对象存储（Object Storage Service，OBS），简称天翼云OBS，是一个基于对象的海量存储服务，为客户提供海量、安全、高可靠、低成本的数据存储能力，包括：创建、修改、删除桶，上传、下载、删除对象等。支持S3协议，部分节点支持文件语义、HDFS协议。OBS系统和单个桶都没有总数据容量和对象/文件数量的限制，为用户提供了超大存储容量的能力，适合存放任意类型的文件，适合普通用户、网站、企业和开发者使用。 OBS是一项面向Internet访问的服务，提供了基于HTTP/HTTPS协议的Web服务接口，用户可以随时随地连接到Internet的电脑上，通过OBS管理控制台或各种OBS工具访问和管理存储在OBS中的数据。此外，OBS支持SDK和OBS API接口，可使用户方便管理自己存储在OBS上的数据。OBS实现了在多区域部署基础设施，具备高度的可扩展性和可靠性，用户可根据自身需要指定区域使用OBS，由此获得更快的访问速度和实惠的服务价格。 产品架构 OBS的基本组成是桶和对象。 桶是OBS中存储对象的容器，每个桶都有自己的存储类别、访问权限、所属区域等属性，用户在互联网上通过桶的访问域名来定位桶。 对象是OBS中数据存储的基本单位，一个对象实际是一个文件的数据与其相关属性信息的集合体，包括Key、Metadata、Data三部分： Key：键值，即对象的名称，为经过UTF8编码的长度大于0且不超过1024的字符序列。一个桶里的每个对象必须拥有唯一的对象键值。 Metadata：元数据，即对象的描述信息，包括系统元数据和用户元数据，这些元数据以键值对（KeyValue）的形式被上传到OBS中。 系统元数据由OBS自动产生，在处理对象数据时使用，包括Date，Contentlength，Lastmodify，ETag等。 用户元数据由用户在上传对象时指定，是用户自定义的对象描述信息。 Data：数据，即文件的数据内容。 天翼云针对OBS提供的REST API进行了二次开发，为您提供了控制台、SDK和各类工具，方便您在不同的场景下轻松访问OBS桶以及桶中的对象。当然您也可以利用OBS提供的SDK和OBS API，根据您业务的实际情况自行开发，以满足不同场景的海量数据存储诉求。

对象存储是否支持数据监控？ 支持，提供用户整体和桶维度的数据监控。 用户维度的监控指标：用户级存储容量、用户级对象总数、本月公网流出流量、本月请求次数、用户级公网流出流量、用户级公网流入流量、用户级内网流出流量、用户级内网流入流量、用户级公网请求次数、用户级内网请求次数、用户级有效请求率。 存储桶维度的监控指标：存储容量、存储对象数量、本月公网流出流量、本月请求次数、公网流出流量、公网流入流量、内网流出流量、内网流入流量、公网请求次数、内网请求次数、有效请求率。 通过这些数据监控指标，您可以了解和监控您的存储桶使用情况、流量消耗情况以及请求操作的次数，帮助您更好地管理和优化存储在ZOS中数据。具体相关操作可参考对象存储监控。 ZOS是否支持静态网站托管？设置的入口在哪里？如何操作？ 支持。但是由于工信部合规要求，暂不公开开放。若您需要使用该功能，请提工单联系我们为您开通权限。 使用ZOS静态网站托管的步骤如下： 1. 存储网站文件：首先，将静态网站的文件上传至ZOS服务。您可以通过Web管理界面、API或命令行工具完成。文件类型包括HTML页面、CSS样式表、JavaScript代码和其他资源文件。 2. 创建存储桶：在ZOS服务中创建一个存储桶（Bucket）。存储桶是用于组织和管理文件的容器。通常，每个网站都有一个唯一的存储桶。 3. 设置权限和访问策略：为确保网站文件能够通过互联网公开访问，需要设置存储桶的访问权限和策略。通常，ZOS服务提供了公共读取权限选项，以便访客能够从浏览器中下载文件。 4. 分配自定义域名：为了方便用户访问网站，可以将一个自定义域名与存储桶关联起来。这可以通过将域名解析到ZOS服务的地址来实现。例如，可以将网站的CNAME记录指向存储桶的URL。 5. 配置静态网站托管选项：ZOS服务通常提供了专门的静态网站托管选项。在这些设置中，可以指定默认文档（如index.html）和错误页面，并定义重定向规则等。 6. 网站访问：完成上述步骤后，用户可以通过输入自定义域名来访问静态网站。访问请求会发送到存储桶，并由ZOS服务解析。然后，服务会返回相应的文件作为网页内容，以供浏览器展示。

终端节点有哪些状态？ 终端节点的状态以及每种状态的说明： 状态 意义 待审核 表示终端节点要连接的终端节点服务关闭了“是否自动接收连接”，正等待终端节点服务的审批。 已连接 表示终端节点已成功连接至终端节点服务。 已拒绝 表示终端节点服务拒绝了终端节点的连接。 已冻结 用户欠费时系统发起，冻结为不可用状态，用户缴费后恢复，恢复时判断服务连接状态，根据条件回到冻结前状态(待审核，已拒绝，已连接) VPC终端节点是否支持跨地域访问？ 不支持创建终端节点连接跨地域的终端节点服务，但可以在同地域终端节点连接终端服务后搭配使用云间高速，将目标VPC与终端节点所在VPC打通，通过访问跨区域VPC的终端节点的方式访问目标区域的终端节点服务。 云间高速实例是创建、管理一体化网络的基础资源，使用云间高速配合终端节点服务，以跨地域访问终端节点的方式实现跨地域访问服务，详见云间高速跨区域VPC互通。 为什么会有VPCEsfs 为前缀的终端节点实例？ 默认前缀为“VPCEsfs”的VPC终端节点实例由弹性文件服务在创建SFS Turbo文件系统实例时为您创建，该终端节点已自动连接文件存储服务，云主机、物理机、容器等计算服务可通过此终端节点访问文件系统，详见创建文件系统弹性文件服务快速入门 天翼云。此类终端节点 免费 ，请放心使用。但务必不要修改或删除此类终端节点实例，否则可能造成文件系统访问中断，影响业务连续性。 在文件系统解绑VPC时，若服务端检测到此终端节点仅关联当前一个文件系统，在解绑VPC时会自动为您删除相应的终端节点，无须手动操作。 如您误删除了此类终端节点，请前往弹性文件服务SFS Turbo控制台，找到您在使用的文件系统，为其解绑掉原VPC再重新添加该VPC，服务端会为您重新创建VPCE实例，如确认不再使用文件系统，可进行实例删除/退订。 如误删除终端节点后导致客户端文件系统挂载目录页面卡死，请参考文件系统在客户端的挂载目录界面卡死弹性文件服务故障修复 天翼云进行处理。

本章节介绍OPA策略 概述 OPA（Open Policy Agent）是一个通用的策略引擎，通过声明式的Rego语言实现丰富的授权策略。应用服务网格提供一键集成OPA引擎功能，整体架构如下： 其中OPA控制面包括： 1，OPA webhook服务，用于实现OPA sidecar的注入； 2，OpaPolicy controller监听OPA策略CRD，用于实现OPA策略分发； 业务pod内除了业务容器和istioproxy之外还会注入OPA sidecar，外部请求pod时流量被istioproxy拦截，根据定义的授权策略请求OPA sidecar，实现对请求的授权。 注意 注意：OPA sidecar当前使用8181端口管理OPA策略，使用9191端口提供外部鉴权服务，业务pod注意避开这两个端口。 开启OPA功能 使用OPA功能时首先要在打开开关，进入服务网格控制台，选择网格管理 > 自定义配置，勾选启用OPA 即可。 关闭OPA功能 进入服务网格控制台，选择网格管理> 自定义配置，取消勾选 启用OPA即可。 进入服务网格控制台，选择网格管理> OPA开关，关闭即可。 OPA策略管理 CSM服务网格采用自定义CRD（OpaPolicy）方式管理OPA策略，主要包括OPA策略生效的工作负载选择以及OPA策略（Rego），下面的配置对default命名空间下标签包含version: v1的工作负载生效，策略中定义了guest和admin两个角色，分别给两个角色定义了访问权限，同时还定义了两个用户bob和alice，分别赋予了特定角色；策略执行时会从请求中解析出用户，结合用户的权限和请求信息对访问进行鉴权。 apiVersion: istio.ctyun.cn/v1beta1 kind: OpaPolicy metadata: name: objectpolicy namespace: default spec: policy: package istio.authz import input.attributes.request.http as httprequest import input.parsedpath allow { rolesforuser[r] requiredroles[r] } rolesforuser[r] { r : userroles[username][] } requiredroles[r] { perm : roleperms[r][] perm.method httprequest.method perm.path httprequest.path } username parsed { [, encoded] : split(httprequest.headers.authorization, " ") [parsed, ] : split(base64url.decode(encoded), ":") } userroles { "alice": ["guest"], "bob": ["admin"] } roleperms { "guest": [ {"method": "GET", "path": "/productpage"}, ], "admin": [ {"method": "GET", "path": "/productpage"}, {"method": "GET", "path": "/api/v1/products"}, ], } workloadSelector: labels: version: v1

参数名称 参数描述 作业名称（name） 设置作业名称。 应用程序 选择需要执行的程序包。包括“.jar”和“.py”两种类型。 主类（class） 输入主类名称。当应用程序类型为“.jar”时，主类名称不能为空。 Spark参数（conf） 以“keyvalue”的形式设置提交Spark作业的属性，多个参数以Enter键分隔。 Spark参数value支持全局变量替换。例如，在“全局配置”>“全局变量”中新增全局变量key为customclass，可以使用"spark.sql.catalog"{{customclass}}，在提交作业之后进行变量替换。 说明 l Spark作业不支持自定义设置jvm垃圾回收算法。 l 如果选择Spark版本为3.1.1时，需在Spark参数（conf)配置跨源作业的依赖模块。配置样例请参考下表“Spark参数”。 作业特性 “所属队列”选择CCE队列时，设置该参数。表示用户作业使用的Spark镜像类型，具体说明如下： l 基础型：DLI提供的基础镜像，运行非AI相关作业时选择“基础型”。 l AI增强型：DLI提供的AI镜像，运行AI相关作业时选择“AI增强型”。 l 自定义镜像：自定义的Spark镜像，需要选择“容器镜像服务”中设置的镜像名称及版本。 依赖jar包（jars） 运行spark作业依赖的jars。可以输入jar包名称，也可以输入对应jar包文件的的OBS路径，格式为：obs://桶名/文件夹路径名/包名。 依赖python文件（pyflies） 运行spark作业依赖的pyfiles。可以输入Python文件名称，也可以输入Python文件对应的OBS路径，格式为：obs://桶名/文件夹路径名/文件名。 其他依赖文件（files） 运行spark作业依赖的其他files。可以输入依赖文件名称，也可以输入对应的OBS路径，格式为：obs://桶名/文件夹路径名/文件名。 依赖分组 在创建程序包时，如果选择了分组，在此处选择对应的分组，则可以同时选中该分组中的所有程序包和文件。创建程序包操作请参考 访问元数据 是否通过Spark作业访问元数据。。 是否重试 作业失败后是否进行重试。 选择“是”需要配置以下参数： “最大重试次数”：设置作业失败重试次数，最大值为“100”。 高级配置 l 暂不配置 l 现在配置：包括以下两项参数 − 选择依赖资源：具体参数请参考下表“选择依赖资源参数说明”。 − 计算资源规格：具体参数请参考下表“计算资源规格参数说明”。

本章节介绍批量发布单相关功能 概述 批量发布单主要用于批量发布不同环境下多个应用实例，并指定环境间及同环境下应用实例间发布顺序。 批量发布单列表 批量发布单主要展示该环境下历史批量发布单信息。在左侧导航栏单击应用运维容器应用实例应用发布批量发布单进入批量发布单列表页面。批量发布单列表页面分成批量发布单统计和批量发布单列表两块内容。 批量发布单统计 批量发布单统计用于统计当前租户下批量发布单，展示发布单总计、发布成功总计、发布失败总计、发布中总计、待发布总计、已取消总计。 批量发布单列表 批量发布单列表包括发布单名称、环境数量、应用数量、应用实例数量、状态、执行人、执执行时间、操作列。根据状态的不同，操作列存在不同。 创建批量发布单 1. 在批量发布单列表页面，单击创建发布单按钮，进入批量发布单配置页面 2. 填写基本信息 配置项 描述 发布单名称 请输入批量发布单名称。 部署单元 用于确定批量发布单包含的环境以及环境下的部署单元信息。 所属应用 用于确定批量发布单包含的应用。 发布类型 仅支持普通发布。 发布批次 选择发布分批次数。 分批方式 说明： 当发布批次大于1时，需配置分批间处理方式。 支持手动和自动。 手动：手动触发下一个批次的发布。 自动：根据间隔自动分配分批发布。间隔为剩余批次间的发布时间间隔，单位：分钟。 应用实例列表 选择好部署单元和所属应用后，应用实例列表分环境展示当前环境下所属应用所包含的应用实例列表。您可以在不同环境下的待选应用实例列表中单击选择需要的应用实例，单击>图标将应用实例添加到已选应用实例列表中。若应用实例存在多个版本，需要选择要发布的版本。默认选择最新的版本。 3. 高级配置 高级配置用于设置环境间及环境内应用实例间依赖关系。当选择了 2 个及以上环境时，可能需要填写环境之间的依赖关系。若环境之间不存在依赖关系，则直接跳过。当环境内选择了 2 个及以上应用实例时，可能需要填写环境内应用实例之间的依赖关系。若环境内应用实例之间不存在依赖关系，则直接跳过。 注意 环境之间不可循环依赖，即不可出现环境 A 依赖于环境 B，同时环境B 又依赖于环境 A 这种情况。环境内应用实例之间不可循环依赖，即不可出现应用实例 A 依赖于应用实例 B，同时应用实例 B 又依赖于应用实例 A 这种情况。 4. 在预览页面确认信息无误后，单击创建。系统会自动跳转到批量发布单列表页面，单击发布单名称进入批量发布单详情页面，等待初始化完成后点击发布即可开始发布。

节点的部分资源需要运行一些必要的Kubernetes系统组件和Kubernetes系统资源，使该节点可作为您的集群的一部分。因此，您的节点资源总量与节点在Kubernetes中的可分配资源之间会存在差异。节点的规格越大，在节点上部署的容器可能会越多，所以kubernetes自身需预留更多的资源。 为了保证节点的稳定性，CCE集群节点上会根据节点的规格预留一部分资源给Kubernetes的相关组件（kubelet，kubeproxy以及docker等）。 CCE对用户节点可分配的资源计算法则如下： Allocatable Capacity Reserved Eviction Threshold 即，节点上可配置值总量预留值驱逐阈值。 CCE对节点内存的预留规则 memreservedtotal reservedvalueforsystem + reservedvalueforpods reservedvalueforsystem： − totalmem 128GB, reservedvalueforsystem ( 8GB102410% + 112GB10246% + (totalmem – 128GB)10242% )MB reservedvalueforpods： totalmem 2GB： − 0 128, reservedvalueforpods ( 1740 + (pods 128)11.20 )MB 其中： “totalmem”为内存总量。 “pods”为节点的最大实例数。 “memreservedtotal”为总预留值。 “reservedvalueforsystem”为系统组件预留值。 “reservedvalueforpods”为Kubelet管理Pod所需预留值。 须知： 对于小规格节点，需根据实际使用情况调整节点的最大实例数。或者在CCE控制台创建节点时，需考虑根据节点规格自适应调整节点的最大实例数参数。 CCE对节点CPU的预留规则 totalcpu 4core, reservedvalue 1core6% + 1core1% + 2core0.5% + (totalcpu– 4core)0.25% 其中: “totalcpu”为CPU总量。 “reservedvalue”为预留值。 CCE对节点预留了额外的100Mi给kubelet驱逐所用。

操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 审计日志转储：支持将审计日志周期性的转储至对象存储服务（ZOS）下的ZOS桶。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。若您使用云审计提供的转储功能，需要开通对象存储服务并支付产生的费用，该费用以对象存储产品的计费为准，参考计费说明对象存储。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 事件名称 从主机组移除主机(批量) 给日志资源创建或更新标签 为指定的资源解绑标签 为指定日志单元创建索引 编辑ZOS对象存储导入任务 删除导入任务 删除采集规则 定时SQL任务关闭 创建定时SQL任务 启用告警规则 删除仪表盘订阅 更新加工任务 重命名项目 创建过滤器 重命名仪表盘 日志单元更新 创建采集规则 创建模拟接入任务 更新告警规则 更新消费组 启动加工任务 日志告警规则另存为模板 停止kafka投递任务 仪表盘订阅启用 为日志资源绑定标签 修改采集规则 定时SQL运行实例 重试 专属日志单元取消关联日志服务 删除重建索引任务 投递任务停止 创建主机组 创建分布式消费服务Kafka导入任务 停用采集规则 批量停止告警规则 删除主机组 创建关注 启动模拟接入任务 删除终端节点 更新日志单元索引 将日志采集规则应用于目标主机组 更新某个指定日志项目的描述信息 删除过滤器 更新采集规则 更新Processors 新增消费组关联日志单元 加工任务启动 自动生成行首正则 创建或者修改数据加工任务 删除数据导入任务 给日志资源创建或更新标签 删除检索历史记录 删除模拟接入任务 批量启动告警规则 更新仪表盘描述 匹配的容器信息预览 停用告警规则 停用采集规则 批量删除接口 导入数据预览 修改仪表盘订阅 重命名快速查询 批量停用接口 删除仪表盘订阅 升级agent 删除加工任务 取消关注 主机组解绑采集规则 删除下载任务 创建ZOS对象存储导入任务 删除消费组关联日志单元 删除仪表盘 修改过滤器 更新日志单元配置 删除采集规则 删除日志单元 删除主机组 停用重建索引任务 更新定时SQL任务 创建产品委托授权 从指定主机组中移除主机 创建项目 卸载agent 修改项目标签 创建下载任务 重新生成下载任务 加工任务重新执行 删除目标日志项目 编辑主机组基础信息(名称、备注) 删除消费组关联日志单元 创建一个快速查询 创建仪表盘 加工任务删除 删除消费组 更新主机组描述 更新主机组 停止加工任务 创建主机组 创建或者更新数据投递任务 创建仪表盘订阅 创建vpce 新增消费组关联日志单元 重命名告警规则 创建快速查询 更新主机组 全量容器信息预览 加工任务重新执行 添加主机到主机组 删除kafka投递任务 批量删除告警规则 删除项目 删除日志单元 删除告警规则 创建/更新日志单元索引字段 修改仪表盘 删除主机组 更新告警规则 更新日志单元描述 批量启动接口 停止模拟接入任务 创建日志项目 添加主机到指定主机组 修改仪表盘 编辑日志单元 创建对象存储投递任务 编辑分布式消费服务Kafka导入任务 创建仪表盘 创建下载任务 创建告警规则 更新模拟接入任务 更新日志告警规则模板 创建专属日志单元 删除定时SQL任务 更新检索条件 启动kafka投递任务 删除日志告警规则模板 创建日志单元 删除快速查询 安装插件 更新消费组 新增主机到主机组 创建采集规则 更新对象存储投递任务 编辑项目 启用采集规则 从目标主机组中移除关联的日志采集规则 采集配置解除关联主机组 采集规则启停 更新日志单元存储时长 更新数据导入任务 投递任务启动 停止对象存储投递任务 更新一个快速查询 删除一个快速查询 更新触发条件 删除仪表盘模板 定时SQL任务启动 创建产品委托授权 划词生成正则 更新检查频率 重命名日志单元 创建加工任务 创建消费组 删除对象存储投递任务 启动对象存储投递任务 开启或者关闭服务日志 删除仪表盘 更新项目描述 创建Ingress仪表盘 更新通知策略 创建消费组 创建日志投递Kafka任务 更新仪表盘订阅名称 新建数据导入任务 创建重建索引任务 投递任务删除 创建告警规则 启用采集规则 删除下载任务 移除主机组中主机 新增仪表盘模板 主机组绑定采集规则 创建日志单元 创建主机组

本节介绍了容器镜像服务实例访问域名的用户指南。 实例访问域名列表 资源名称 资源池UUID 企业版内网域名 企业版公网域名 个人版内网域名 个人版公网域名 华东1 bb9fdb42056f11eda1610242ac110002 ${instanceName}registryhuadong1.crsinternal.ctyun.cn ${instanceName}registry.crshuadong1.ctyun.cn （新） ${instanceName}registryhuadong1.crs.ctyun.cn registryhuadong1.crsinternal.ctyun.cn registrycrshuadong1.ctyun.cn 华北2 200000001852 registryhuabei2.crsinternal.ctyun.cn ${instanceName}registry.crshuabei2.ctyun.cn （新） ${instanceName}registryhuabei2.crs.ctyun.cn registryhuabei2.crsinternal.ctyun.cn registrycrshuabei2.ctyun.cn 西南1 200000002368 ${instanceName}registryxinan1.crsinternal.ctyun.cn ${instanceName}registry.crsxinan1.ctyun.cn （新） ${instanceName}registryxinan1.crs.ctyun.cn registryxinan1.crsinternal.ctyun.cn registrycrsxinan1.ctyun.cn 华南2 200000002530 ${instanceName}registryhuanan2.crsinternal.ctyun.cn ${instanceName}registry.crshuanan2.ctyun.cn （新） ${instanceName}registryhuanan2.crs.ctyun.cn registryhuanan2.crsinternal.ctyun.cn registrycrshuanan2.ctyun.cn 武汉41 200000001781 ${instanceName}registrywuhan41.crsinternal.ctyun.cn ${instanceName}registry.crswuhan41.ctyun.cn （新） ${instanceName}registrywuhan41.crs.ctyun.cn registrywuhan41.crsinternal.ctyun.cn registrycrswuhan41.ctyun.cn 杭州7 200000003329 ${instanceName}registryhangzhou7.crsinternal.ctyun.cn ${instanceName}registry.crshangzhou7.ctyun.cn （新） ${instanceName}registryhangzhou7.crs.ctyun.cn registryhangzhou7.crsinternal.ctyun.cn registrycrshangzhou7.ctyun.cn 上海15 200000003330 ${instanceName}registryshanghai15.crsinternal.ctyun.cn ${instanceName}registry.crsshanghai15.ctyun.cn （新） ${instanceName}registryshanghai15.crs.ctyun.cn registryshanghai15.crsinternal.ctyun.cn registrycrsshanghai15.ctyun.cn 上海36 200000001790 ${instanceName}registryshanghai36.crsinternal.ctyun.cn ${instanceName}registryshanghai36.crs.ctyun.cn registryshanghai36.crsinternal.ctyun.cn registrycrsshanghai36.ctyun.cn 青岛20 200000001703 ${instanceName}registryqingdao20.crsinternal.ctyun.cn ${instanceName}registryqingdao20.crs.ctyun.cn registryqingdao20.crsinternal.ctyun.cn registrycrsqingdao20.ctyun.cn 长沙42 200000002401 ${instanceName}registrychangsha42.crsinternal.ctyun.cn ${instanceName}registrychangsha42.crs.ctyun.cn registrychangsha42.crsinternal.ctyun.cn registrycrschangsha42.ctyun.cn 南昌5 200000002527 ${instanceName}registrynanchang5.crsinternal.ctyun.cn ${instanceName}registrynanchang5.crs.ctyun.cn registrynanchang5.crsinternal.ctyun.cn registrycrsnanchang5.ctyun.cn 太原4 200000002689 ${instanceName}registrytaiyuan4.crsinternal.ctyun.cn ${instanceName}registrytaiyuan4.crs.ctyun.cn registrytaiyuan4.crsinternal.ctyun.cn registrycrstaiyuan4.ctyun.cn 郑州5 200000002586 ${instanceName}registryzhengzhou5.crsinternal.ctyun.cn ${instanceName}registryzhengzhou5.crs.ctyun.cn registryzhengzhou5.crsinternal.ctyun.cn registrycrszhengzhou5.ctyun.cn 西安7 200000001851 ${instanceName}registryxian7.crsinternal.ctyun.cn ${instanceName}registryxian7.crs.ctyun.cn registryxian7.crsinternal.ctyun.cn registrycrsxian7.ctyun.cn 芜湖4 200000003327 ${instanceName}registrywuhu4.crsinternal.ctyun.cn ${instanceName}registrywuhu4.crs.ctyun.cn registrywuhu4.crsinternal.ctyun.cn registrycrswuhu4.ctyun.cn 呼和浩特3 200000003573 ${instanceName}registryhuhehaote3.crsinternal.ctyun.cn ${instanceName}registryhuhehaote3.crs.ctyun.cn registryhuhehaote3.crsinternal.ctyun.cn registrycrshuhehaote3.ctyun.cn 乌鲁木齐7 200000004098 ${instanceName}registrywlmq7.crsinternal.ctyun.cn ${instanceName}registrywlmq7.crs.ctyun.cn registrywlmq7.crsinternal.ctyun.cn registrycrswlmq7.ctyun.cn 庆阳2 200000003664 ${instanceName}registrygsqy2.crsinternal.ctyun.cn ${instanceName}registrygsqy2.crs.ctyun.cn registrygsqy2.crsinternal.ctyun.cn registrycrsgsqy2.ctyun.cn 西南2贵州 200000002927 ${instanceName}registryxinan2.crsinternal.ctyun.cn ${instanceName}registryxinan2.crs.ctyun.cn registryxinan2.crsinternal.ctyun.cn registrycrsxinan2.ctyun.cn

本节介绍了云容器引擎的最佳实践：有状态工作负载配置存储实践。 对于有状态应用实例需要持久化状态，每个实例有其独特的身份和持久化的数据存储。有状态应用的存储使用跟其他的工作负载存在差异。 使用方法 有状态应用PVC使用方法选择包括:已有存储卷申明（PVC）和存储卷申明模版（VolumeClaimTemplate）。 已有存储卷声明（PVC）方式较少使用，适用于有状态工作负载的多个副本共享同一PVC的场景。但实际需求中，要求每个副本具备独立存储的情况并不常见。 存储卷声明模板（VolumeClaimTemplate）是有状态工作负载特有的配置项。通过在该工作负载中定义模板，K8S会在创建每个副本时自动生成一个与之对应的PVC，命名规则为{存储声明模板名称}{有状态工作负载名称}{序号}。本文将重点阐述此方法。 注意 有状态工作负载删除后，其关联的PVC会保留。若用户确认不再需要，需手动删除这些PVC。（可通过启用K8S特性门控StatefulSetAutoDeletePVC为true，实现有状态工作负载删除后自动清理PVC）。 若不删除PVC，后续在同一命名空间内创建同名有状态工作负载并使用同名存储卷声明模板时，新工作负载将自动复用原有的PVC。 1. 点击“创建存储卷申明模版”. 2. 定义模版的存储申明类型、已有存储类、容量、卷模式、访问模式. 存储申明类型： 天翼云各类型的产品，用户根据需要自行选择对应的产品。 已有存储类： 用户需要提前创建好产品对应的存储类，用于动态分配。 容量： 存储容量大小 卷模式： 文件系统（Filesystem）：默认方式，该类型卷会被 Pod 挂载（Mount） 到某个目录。 如果卷的存储来自某块设备而该设备目前为空，Kuberneretes 会在第一次挂载卷之前在设备上创建文件系统。 块设备（Block）： 这类卷以块设备的方式交给 Pod 使用，其上没有任何文件系统。 这种模式对于为 Pod 提供一种使用最快可能方式来访问卷而言很有帮助， Pod 和卷之间不存在文件系统层。目前仅云硬盘支持该功能 访问模式： 单机读写（ReadWriteOnce）：卷可以被一个节点以读写方式挂载 多机只读（ReadOnlyMany）：卷可以被多个节点以只读方式挂载 多机读写（ReadWriteMany）：卷可以被多个节点以读写方式挂载 3. 创建了一个有状态负载test，存储卷申明模版如下： 4. 有状态工作负载成功启动。 5. 查看pod的yaml，可以看到test1的pod，使用了disktest1这个PVC。 6. PVC列表中，两个PVC均被创建出来并且bound。

Console控制台功能 依赖服务 需配置角色/策略 总览 应用运维管理AOM IAM用户设置了CCE Administrator权限后，需要增加AOM FullAccess权限后才能访问总览中的数据图表。 支持设置了IAM ReadOnlyAccess和CCE FullAccess或CCE ReadOnlyAccess权限的IAM用户直接访问总览中的数据图表。 工作负载 弹性负载均衡ELB 应用运维管理AOM NAT网关 NAT 对象存储服务OBS 弹性文件服务SFS 正常创建工作负载时不依赖其他服务的权限。 如果需要创建ELB类型的服务，需要设置ELB FullAccess或者ELB Administrator权限，以及VPC Administrator权限。 如果需要使用Java探针，需要设置AOM FullAccess权限。 如果需要NAT网关类型的服务，需要设置NAT Gateway Administrator权限。 如果使用对象存储，需要全局设置OBS Administrator权限。说明由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的RBAC策略后， 大概需要等待13分钟RBAC策略才能生效；授予OBS相关的系统策略后，大概需要等待5分钟系统策略能生效。l 如果使用文件存储，需要设置SFS FullAccess权限。 集群管理 应用运维管理AOM 如果需要弹性扩容权限，需要设置AOM FullAccess权限。 节点管理 弹性云主机ECS 当IAM用户权限为CCE Administrator时，如果创建和删除节点，需要配置ECS FullAccess或ECS Administrator权限，以及VPC Administrator权限。 网络管理 弹性负载均衡ELBNAT网关 NAT 正常创建时不依赖其他服务的权限。 如果需要创建ELB类型的服务，需要设置ELB FullAccess或者ELB Administrator权限，以及VPC Administrator权限。 如果需要NAT网关类型的服务，需要设置NAT Administrator权限。 存储管理 对象存储服务OBS弹性文件服务SFS 如果使用对象存储，需要全局设置OBS Administrator权限。 说明br由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的RBAC策略后，大概需要等待13分钟RBAC策略才能生效；授予OBS相关的系统策略后，大概需要等待5分钟系统策略能生效。 如果使用文件存储，需要设置SFS FullAccess权限。 如果使用极速文件存储，需要设置SFS Turbo Admin权限导入存储的功能需要设置CCE Administrator权限。 命名空间 / 无需其他依赖权限。 模板市场 / 当前仅支持帐号、设置了CCE Administrator权限的IAM用户访问。 插件管理 / 支持帐号、设置了CCE Administrator、CCE FullAccess或CCE ReadOnlyAccess等权限的IAM用户访问本功能。 权限管理 / 支持帐号访问。 支持设置了CCE Administrator和Security Administrator（全局级策略）权限的IAM用户访问。 支持设置了CCE FullAccess或CCE ReadOnlyAccess权限的IAM用户访问。 配置中心 / 配置项( ConfigMap )无需其他依赖权限。 密钥( Secret )需要在命名空间权限下设置clusteradmin、admin或者edit权限才能查看，依赖服务需要添加DEW KeypairFullAccess或者DEW KeypairReadOnlyAccess权限。 帮助中心 / 无需其他依赖权限。 其他服务跳转 容器镜像服务SWR应用运维管理AOM 为便于您快速进入CCE相关服务的控制台，在CCE控制台增加了其他服务的跳转链接，CCE默认没有这些服务的全部权限，如果IAM用户需要查看或使用其功能，请按照该服务的权限策略说明设置相应的权限策略。

此小节介绍企业主机安全创建安全报告。 若已有模板的报告类型和报告内容无法满足您对安全报告的订阅需求，您可通过该章节创建需要生成报告的周期和内容。 约束限制 未开启企业版、旗舰版、网页防篡改版、容器版防护不支持安全报告相关操作。 操作步骤 1、登录管理控制台。 2、在页面左上角单击选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、左侧选择“安全报告”进入安全报告概览页面。服务预设了按月（default monthly security report）和按周（default weekly security report）统计的两个安全报告模板，可直接使用。 5、创建新报告 按模板创建按月或按周的安全报告 单击按月或按周模板报告中的“复制”（按需选择即可），进入报告基本信息配置页面。 自定义创建其他周期的安全报告 单击页面中的“创建新报告”，进入报告基本信息配置页面。 自定义创建报告 6、对报告基本信息进行配置，参数说明如表所示。 编辑报告基本信息 报告基本信息参数说明 参数名称 参数说明 取值样例 报告名称 默认的报告名称。 ecs security report 报告类型 报告的统计周期类型名称。 安全日报（统计周期为每天00：0024：00） 安全周报（统计周期为周一00：00周日24：00） 安全月报（统计周期为每月1号00：00月度最后一天24：00） 自定义报告（自定义统计周期，周期范围应介于1天（包含）至3个月（包含）之间。 所有类型报告将在生成后的次日自动发送至您设置的报告接收人。 安全月报 报告发送时间 报告自动发送时间。 报告接收方式 生成的安全报告接收方式。 消息中心：使用消息中心和其它安全服务共同使用“安全事件通知”的信息接收人。需登录控制台，在右上角信箱查看。 消息主题：为HSS单独创建的主题，设置告警通知接收人。可选择短信或邮件接收通知。 无需发送到邮箱：不发送报告至邮箱。 消息中心 7、确认信息无误，单击页面右下角“下一步”，配置报告内容。 8、在左侧勾选需要生成的报告项，右侧可预览，确认无误，单击右下角“保存”，开启安全报告的订阅。

本节主要介绍创建Web应用组件 本节介绍基于ServiceStage创建Web静态应用组件，部署组件的操作请参考部署组件。 前提条件 1.只能在应用下新增组件，请先创建应用，请参考创建应用。 2.如果您基于软件包创建微服务组件，那么您首先需要将软件包上传至OBS对象存储中。 操作步骤 1、登录ServiceStage控制台，选择“应用管理 > 应用列表”。 2、选择已经创建的应用，单击“操作”栏的“新增组件”。 3、“配置方式”选择“自定义配置”，组件类型选择“Web”，单击“下一步”。 4、选择运行时，单击“下一步”。 不同框架支持运行时有所不同，请参考微服务组件说明。 5、是否将以上配置保存为模板？ 是，勾选“将以上3步的配置保存为模版，以便下次使用相同的配置”，输入模板名称。执行步骤6。 否，执行步骤6。 6、步骤4选择的运行时是否为“Docker”？ 是，单击“下一步”，执行步骤7。 否，单击“下一步”，执行步骤8。 7、 创建Docker组件： 输入“组件名称”。 创建组件： 单击“立即创建”，创建静态组件。 单击“创建并部署”，进入到部署界面，详细操作请参考部署组件。 操作结束。 组件创建完成后，在应用“概览”页的“组件列表”可查看组件状态。 8、参照下表设置组件信息，参数前面带号的是必须设置的参数。 表 组件基本信息 参数 参数说明 组件名称 组件对应的名称 开启微服务CSE名称匹配 创建微服务组件时，为了统一应用和微服务引擎（CSE）内对于服务名的命名，在微服务引擎（CSE）内默认是从环境变量或者microservice.yaml/application.yaml配置文件读取微服务信息，这样就可能造成两个地方名称不统一，开启这个选项后，会把应用的信息设置成微服务引擎的环境变量，覆盖配置文件配置的信息，使得两者模型完全统一。 说明 如果是第一次在应用下创建微服务组件，本参数可配置，配置后将无法更改。 软件包 1. 选择“War包”、“Zip包” 说明 运行时为“Tomcat8”时，选择“War包”。 运行时为“Nodejs8”、“Php7”或者“Python3”时，选择“Zip包”。 选择“上传方式”：将软件包上传至OBS对象存储中 （可选）设置“开启构建”参数，用于应用组件构建。 2. 设置“上传方式”：将软件包上传至OBS对象存储中 3. （可选）设置“开启构建”参数，用于应用组件构建。根据业务需要选择“组织”和“选择集群”参数。也可选择“过滤节点标签”，可以通过节点标签将构建任务下发到固定节点上。新增过滤标签请参考“帮助中心 > 云容器引擎 > 用户指南 > 节点管理”。 9、创建组件： 单击“立即创建”，创建静态组件。 单击“创建并部署”，进入到部署界面，详细操作请参考部署组件。 组件创建完成后，在应用“概览”页的“组件列表”可查看组件状态。

在监控c应用之前,您需要通过客户端将应用数据上报至APM服务端。本文介绍如何通过SkyWalking SDK上报c应用数据。 前提条件 完成vpce接入。 背景信息 SkyWalking是一款广受欢迎的国产APM（Application Performance Monitoring，应用性能监控）产品，主要针对微服务、Cloud Native和容器化（Docker、Kubernetes、Mesos）架构的应用。SkyWalking的核心是一个分布式追踪系统。 接入步骤 1、安装Agent plaintext dotnet add package SkyAPM.Agent.AspNetCore 2、查看接入点信息 应用列表的接入指引会根据您所在资源池提供v3版本接入点(Skywalking 8.)的ENDPOINT(天翼云vpc网络接入点)、鉴权TOKEN信息。 3、设置环境变量 plaintext ASPNETCOREHOSTINGSTARTUPASSEMBLIESSkyAPM.Agent.AspNetCore SKYWALKINGSERVICENAME 4、配置Agent属性 plaintext 安装SkyAPM.DotNet.CLI工具 plaintext dotnet tool install g SkyAPM.DotNet.CLI plaintext 生成配置文件skyapm.json plaintext dotnet skyapm config sampleapp 192.168.0.1:11800 plaintext skyapm.json文件内容如下 plaintext {   "SkyWalking": {     "ServiceName":  ,     "Namespace": "",     "HeaderVersions": [       "sw8"     ],     "Sampling": {       "SamplePer3Secs": 1,       "Percentage": 1.0     },     "Logging": {       "Level": "Information",       "FilePath": "logsskyapm{Date}.log"     },     "Transport": {       "Interval": 3000,       "ProtocolVersion": "v8",       "QueueSize": 30000,       "BatchSize": 3000,       "gRPC": {         "Servers":  ,         "Timeout": 10000,         "ConnectTimeout": 10000,         "ReportTimeout": 600000,         "Authentication": "Bearer  "       }     }   } } 属性说明： ：服务名称 ：获取的接入点 ：获取的接入点鉴权令牌 Logging：日志记录与调试。Level表示日志级别，FilePath表示日志文件保存的位置以及文件名称 运行程序时，Agent的日志会记录在Logging设置的文件中，可以参考log文件进行调试和修改。

本章主要介绍功能特性 表 软件开发生产线各服务功能特性 服务名 功能特性 需求管理 提供多项目管理、敏捷迭代管理、里程碑管理、需求管理、缺陷跟踪、多维度统计报表等功能。 迭代计划和时间线，有效管理项目计划。 树表、任务墙等多种视图，方便查看项目工作。 多种项目统计图表，随时掌握项目开展情况。 在线文件库，批量文档托管，信息传递不失真。 代码托管 提供安全、可靠、高效的分布式代码托管服务。包括代码克隆/下载/提交/推送/比较/合并/分支等功能。 基于Git的分布式版本控制，提升跨地域跨团队协同开发效率。 关联项目任务，保障项目高效交付。 增强的安全防护能力，IP白名单与代码仓库访问日志审计。 代码仓库提交信息统计，基于时间轴的贡献者代码提交统计。 代码检查 提供可协作的一站式代码检查服务。 一站式：覆盖主流编程语言、主流编码标准、SDLC集成等。 灵活易用的检查方式：支持代码提交检查、定时执行检查，支持多分支检查。 可协作：提供问题责任人自动归属、提供问题修改建议、可聚焦处理新问题等。 编译构建 快速、安全的云上编译构建服务。 内置C/C++/Java/…等主流语言的构建模板，并支持自定义构建模板。 可配置执行计划，支持开启提交代码触发执行、定时执行等多种构建执行计划。 界面傻瓜式配置，无需用户编写构建配置文件。 同时支持容器镜像和通用软件包的归档。 构建完成时支持消息通知。 内置支持主流语言的构建环境镜像，也可使用自定义构建环境镜像。 支持多个构建步骤，可实现构建过程的灵活编排。 部署 提供可视化、一键式部署服务，支持并行部署和流水线无缝集成。 提供丰富的部署步骤，满足用户不同的部署场景。 支持对虚拟主机部署、物理主机部署、容器部署以及微服务应用部署等多种部署形态。 支持文件的复制、删除、修改、解压；支持Ansible、Shell命令、Shell脚本等通用部署能力。 部署界面简洁化配置，无须编写部署脚本。支持部署步骤的拖拉拽灵活编排。 预置Tomcat、SpringBoot、Django等系统模板，同时支持用户创建自定义模板。基于部署模板库，可以制 标准的部署流程，实现的快速创建，方便团队内部推广。 提供错误日志分析能力，对于失败的情况，支持错误日志关键字匹配FAQ，并提供详细的排查解决方案。 支持自定义参数，在时由用户指定参数值，用指定值替换相应参数部署。 提供对主机和主机组管理能力。支持主机（组）的增删改查；支持主机批量删除，批量连通性验证；主机连通 支持EIP直连、代理机连接以及模式下的VPC直连。 和主机组均支持项目下角色和权限的二维矩阵。 测试计划 提供业内首推一站式自动化测试工厂解决方案，覆盖测试设计、测试用例、测试管理、接口自动化测试。 DevOps敏捷测试理念，打通测试计划、测试设计、测试用例、测试执行和测试报告的全流程测试活动，提供缺陷上报、质量看板等方式多维度评估产品质量，帮助用户高效管理测试活动，保障产品高质量交付。 测试设计：使用启发式思维导图的形式进行测试用例设计和评审，更加直观，效率更高。支持Xmind直接导入生成在线思维导图测试设计；支持在线编辑思维导图; 支持4层测试设计方法（特性场景功能点用例）；一键批量生成测试用例；覆盖功能、接口、安全等全领域测试设计，输出测试方案；可以通过测试策略模板快速创建用例，也可以自定义模板形成自己的测试资产。 测试管理：成熟的测试用例管理系统，可以开展用例设计、测试执行、缺陷提交、质量报告，提高测试效率；记录修改历史，避免漏测、误测，易追溯审计，规范测试流程。融入全生命周期追溯、测试计划、团队多角色协作、敏捷测试、需求驱动测试等理念，覆盖测试需求管理、测试任务分配、测试任务执行、测试进度管理、测试覆盖率管理、测试结果管理、缺陷管理、质量报告、测试仪表盘，一站式管理功能，提供适合不同团队规模、流程的自定义能力。 接口自动化测试：基于接口URL或者Swagger文档生成的接口脚本模板快速编排接口测试用例，集成流水线，支持微服务测试。测试用例免代码编写，技术门槛低，适合接口开发者、接口消费者、测试人员、业务人员等不同角色使用。一键导入Swagger接口定义自动生成脚本模板，基于脚本模板组装编排、管理接口自动化测试用例。支持HTTP和HTTPS协议，可视化用例编辑界面，丰富的预置检查点、内置变量，支持自定义变量、参数传递、持续自动化测试。 制品仓库 面向软件开发者提供制品管理的云服务，提供软件仓库、发布包下载、发布包元数据管理等功能，通过安全可靠的软件仓库，实现软件包版本管理，提升发布质量和效率，实现产品的持续发布。 支持文件重命名、批量删除、批量恢复、页面上传和下载、文件名搜索等文件操作。 编译构建属性自动关联软件包，编译构建的产物自动归档到软件发布库。 支持构建服务一键归档、部署服务从发布库一键获取软件包。 支持Maven、npm、Go、PyPI、RPM、Debian等多种制品类型仓库，支持新建仓库、上传下载制品、搜索制品等能力。 流水线 提供可视化、可编排的CI/CD持续交付软件生产线，帮助企业快速转型实现DevOps持续交付高效自动化，缩短应用TTM（Time to Market）交付周期，提升研发效率。 流水线自定义编排：可根据用户使用场景的需要，对构建、代码检查、子流水线、部署、流水线控制（延时执行、人工审核）、接口测试等多种类型的任务进行纳管和执行编排。 流水线可视化增删改查：提供图形化界面基础的流水线创建、编辑、删除和执行状态查看功能。其中，查看功能支持跳转到对应的自动化任务界面查看其日志等详情信息。 流水线权限管理：支持用户针对流水线任务设置指定帐号的权限控制，权限基于帐号所属角色操作权限进行控制，包含基础的查看、编辑、执行、删除权限控制。 流水线历史执行记录：支持查看流水线最近31天的历史执行记录。 流水线消息通知：用户可根据需要设置事件类型的通知状态，包括是否发送服务动态和邮件通知。 流水线部分任务执行：根据用户需求，可选择流水线中的某一个或多个任务单独执行。 流水线执行参数配置：流水线支持自定义参数，在执行时由用户指定参数值，任务用指定值替换相应参数执行。 流水线串/并行执行配置：根据用户需求，可配置同一阶段内的任务串行执行或并行执行。 说明 若您在使用软件开发生产线过程中所填写或上传的数据，可能有不确定的用户数据涉及敏感信息，为确保数据安全，请优先加密。

限制项 具体要求 说明 加速域名 中国内地： 1. 已在天翼云进行实名认证。 2. 域名已完成ICP备案且备案信息准确有效。 3. 域名接入时需要经过内容审核。 4. 域名接入时需要能通过域名归属权验证。 全球（不含中国内地）： 1. 已在天翼云进行实名认证。 2. 域名接入时需要经过内容审核。 3. 域名接入时需要能通过域名归属权验证。 全球： 1. 已在天翼云进行实名认证。 2. 域名已完成ICP备案且备案信息准确有效。 3. 域名接入时需要经过内容审核。 4. 域名接入时需要能通过域名归属权验证。 1.全球（不含中国内地）：包括中国香港、中国澳门、中国台湾、其他国家及地区。 2.加速范围为：中国内地、全球的域名必须完成ICP备案且备案信息准确有效才能接入天翼云全站加速，否则天翼云无法提供加速服务。 加速域名使用限制 1. 域名类型：支持子域名（例如，abc.ctyun.cn）或泛域名（例如，.ctyun.cn域名）。 2. 域名长度：长度不超过128字节。 3. 支持的字符：小写英文字母（az）、数字（09）、短划线（），如为泛域名，支持以 开头，例如 .ctyun.cn域名。 4. 主子账号共用100个加速域名限额，如需配置超过100个加速域名，请 无。 刷新预取额定用量 1. URL刷新：10000条/日。 2. 目录刷新：100条/日。 3. URL预取：2000条/日。 为防止资源滥用，天翼云全站加速平台限定了各服务资源的额定用量，如果当前用量无法满足使用需要，请 内容审核 全站加速不支持接入违反相关法律法规的域名，包括但不限于： 1. 涉黄、涉赌、涉毒、涉暴恐内容的网站。 2. 盗版游戏 / 盗版软件 / 盗版视频网站。 3. P2P类金融网站、彩票类网站、违规医院和药品类网站。 4. 游戏私服类。 如果您的加速域名含有以上违规的内容，您将自行承担相关风险。如果发现加速域名有违规行为，全站加速将封禁该域名，因违规而封禁的加速域名将永久不能解禁。 缓存key 缓存Key长度不能超过8KB，超过则返回400状态码。 无。 源站HTTP响应头 源站向节点返回的响应头，其总大小默认最大不能超过128KB，否则全站加速服务会响应异常。 无。 突发带宽限流 若您对天翼云全站加速服务有突发带宽控制需求，请提前 带宽控制功能支持全网边缘总带宽限制，支持分时段控制，您可以根据自身带宽需求选择对应的限制策略。带宽超出设置值后，可选择对请求进行限速、拒绝或者重定向操作。详见 文件上传 全站加速默认支持的最大上传文件大小为300MB。 无。 请求方式 天翼云全站加速支持GET、PUT、POST和HEAD等请求方式。 单URL或单请求头长度限制：不能超过64KB，超过则返回494状态码。 URL+所有请求头总长度限制：不能超过256KB，超过则返回414状态码。 可以通过 API接口频率设置 天翼云全站加速API接口，针对操作类API接口，单用户一分钟限制调用10次。 针对查询类API接口，单个用户一分钟限制调用10000次，并发不超过100。 操作类接口，是指例如新增域名、删除/停用/启用域名等需对域名状态进行变更类的操作。

本章节主要介绍准备工作 在开始之前，您需要完成如下的准备工作。 步骤 1 创建虚拟私有云和子网。 虚拟私有云（Virtual Private Cloud，简称VPC）提供一个隔离的、用户自主配置和管理的虚拟网络环境，可以提升资源的安全性，简化用户的网络部署。 1. 登录虚拟私有云VPC控制台。 2. 单击右上角“创建虚拟私有云”。 3. 根据界面提示完成参数填写，单击“立即创建”。 步骤 2 创建密钥对。 新建一个密钥对，用于远程登录节点时的身份认证。 1. 登录弹性云服务器ECS控制台。 2. 选择左侧导航中的“密钥对”，单击右上角“创建密钥对”。 3. 输入密钥对名称后，单击“确定”。 4. 您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 说明 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 步骤 3 创建负载均衡。 弹性负载均衡将作为服务网格对外访问入口，被服务网格管理的应用流量，均从此实例进入并分发到后端服务。 1. 登录弹性负载均衡ELB控制台。 2. 单击右上角的“创建弹性负载均衡”。 3. 所属VPC、子网请选择步骤1中创建的虚拟私有云和子网，其他参数根据界面提示填写，单击“立即创建”。 步骤 4 创建集群。 1. 登录云容器引擎CCE控制台。 2. 选择左侧导航中的“资源管理 > 集群管理”，单击右上角“创建CCE集群”。 3. 在“服务选型”页面设置如下参数，其余参数均采用默认值。 集群名称：用户自行输入，此处设置为“cceasm”。 虚拟私有云、所在子网：选择步骤1中创建的虚拟私有云和子网。 4. 单击“下一步：创建节点”，配置添加节点的参数。除节点规格和登录方式外，其余参数保持默认。 节点规格：vCPUs为4核，内存为8GB。 说明 此规格为部署Bookinfo应用所需的最小资源。 如果在创建网格中创建的网格版本为1.3.0，则此处的节点规格需要选择8核16GB。为了保证sidecar的稳定性，1.3.0版本网格默认每个sidecar的CPU限制为1核，内存限制为512M，因此需要更多资源。 登录方式：选择步骤2中创建的密钥对，用于远程登录节点时的身份认证。 5. 单击“下一步：安装插件”，在“安装插件”步骤中选择要安装的插件。 “系统资源插件”为必装插件，“高级功能插件”可根据实际需求进行选择性安装。 6. 单击“下一步：配置确认”，阅读使用说明并勾选“我已知晓上述限制”，确认所设置的服务选型参数、规格等信息。 7. 确认订单无误后，单击“提交”，集群开始创建。 集群创建预计需要610分钟，您可以单击“返回集群管理”进行其他操作或单击“查看集群事件列表”后查看集群详情。

本文主要介绍采集常见错误类型。 以下为常见的错误类型以及对应的解决方法说明，可供参考。 LTS 错误码 错误说明 英文说明 解决方法 LTS1400 数据包从产生到发送的过程中等待的时间较长 The waiting time for data packets from generation to transmission is relatively long 检查发送是否正常，或是否存在数据量超过默认配置、配额不足或网络存在问题。 LTS1401 无权限读取指定文件 No permission to read the specified file 检查lmtagent的启动账号，建议以root方式启动。 切要采集的日志目录具备读权限 LTS1402 行首正则与日志行首匹配失败，无法对日志做分行 Failed to match the beginning of the line with the log entry's starting pattern, unable to split the log into lines 检查行首正则正确性。 若是单行日志可以配置为.。 LTS1403 完整正则模式下，日志内容和正则表达式不匹配 No match found between log content and regular expression in full regex mode 查看错误详情，重新调整正则规则适配日志原文。 LTS1404 JSON、分隔符等模式下，由于日志格式不符合定义而解析失败 Parsing failed in JSON, delimiter, and other modes due to mismatched log format definitions 查看错误详情，重新调整规则适配日志原文。 LTS1405 采集配置不合法 The collection configuration is invalid 采集配置JSON格式有误，可以通过控制台重新编辑下发规则。 LTS1406 因超过服务器资源使用上限而崩溃 Crashed due to exceeding server resource limits 调整CPU/内存上限， 主机需要调整 /etc/systemd/system/lmtagent.service 里几个限额项 MemoryMax/MemoryLimit/CPUQuota ； 容器需要在ccse控制台调整日志插件的YAML文件中定义的限额项 resources.limit.cpu/resources.limit.memory。 LTS1407 在Linux系统中注册日志监听失败，可能由于没有文件夹权限或文件夹被删除 Failed to register the log listener in the Linux system, possibly due to lack of folder permissions or the folder being deleted 检查采集器是否有权限访问该文件夹，或者该文件夹是否被删除。 LTS1408 日志采集进度落后于日志产生进度 Log collection is lagging behind log generation 采集有部分延迟，应避免一个配置文件采集过多目录，可以通过拆分配置来解决，如果持续出现错误可以提工单反馈。 LTS1409 日志采集进度落后于日志产生进度，且未处理的日志轮转超过20个，开始丢弃日志 Log collection is lagging behind log generation, and with over 20 unprocessed log rotations, logs are now being discarded 采集延迟较多，应避免一个配置文件采集过多目录，可以通过拆分配置来解决，如果持续出现错误可以提工单反馈。 LTS1410 没有日志监控目录读取权限 No read permission for the log monitoring directory 检查日志监控目录是否存在。如果存在，请检查目录权限设置。 LTS1411 日志采集配置目录中的文件数超限 The number of files in the log collection configuration directory has exceeded the limit 检查采集的目录下是否有较多文件和子目录并合理设置监控目录最大深度。 LTS1412 进程退出时日志落盘到本地超时，此时会丢弃未落盘完成的日志 When the process exits, flushing logs to disk times out, and any unfinished logs will be discarded 该报错通常为采集严重阻塞导致，如果持续出现错误可以提工单反馈。 LTS1413 输入源采集异常 Input source collection exception 查看详细报错，根据具体错误信息进一步排查。 LTS1414 过滤器初始化异常 Filter initialization exception 一般由于过滤器的正则表达式非法导致，请根据提示修复。 LTS1415 向聚合队列中添加数据失败 Failed to add data to the aggregation queue 数据发送过快。若真实数据量很大，可忽略。 LTS1416 Checkpoint解析失败 Checkpoint parsing failed 查看详细报错，根据其中检查点内容（前1024个字节）以及具体错误信息进一步排查。 LTS1417 同时监听的目录数超出限制 The number of simultaneously monitored directories exceeds the limit 检查当前采集配置是否包含较多的目录数，合理设置监控目录最大深度。 LTS1418 执行命令添加Docker文件映射失败 Failed to add Docker file mapping when executing the command 查看详细报错，根据具体错误信息进一步排查。 LTS1419 无法在Docker容器中查找到指定文件 The specified file could not be located within the Docker container 查看详细报错，根据其中的容器信息以及查找的文件路径进一步排查。 LTS1420 servicedockerstdout插件错误，根据配置中的BeginLineRegex编译失败 Error in servicedockerstdout plugin: failed to compile BeginLineRegex from configuration 查看详细报错，检查其中的正则表达式是否正确。 LTS1421 同时打开的文件对象数量超过限制 The number of simultaneously open file objects has exceeded the limit 一般因为当前处于采集状态的文件数过多，请检查采集配置是否合理。 LTS1422 processorsplitlogregex以及 processorsplitlogstring插件错误，无法从日志中获取到配置中指定的SplitKey。 Error in processorsplitlogregex and processorsplitlogstring plugins: unable to extract the configured SplitKey from log data 查看详细报错，检查是否存在配置错误的情况。 LTS1423 执行LZ4压缩发生错误 Error occurred during LZ4 compression execution 查看详细报错，根据具体错误信息进一步排查。 LTS1424 已打开文件数量超过限制，无法打开新的文件 The number of open files has exceeded the limit, preventing new files from being opened 日志采集配置目录中的文件数超限 ，默认上限为100000，需要检查采集配置是否通配了过多文件，调整采集规则。 LTS1425 打开文件出错 Error opening file 文件无法打开，需要查看文件是否损坏。 LTS1426 processorregex插件错误，编译配置中指定的Regex正则表达式失败 Error in processorregex plugin: failed to compile the Regex expression specified in the configuration 查看详细报错，检查其中的正则表达式是否正确。 LTS1427 日志解析速度过慢 Log parsing speed is too slow 查看详细报错，根据其中的日志数量、缓冲区大小、解析时间来确定是否正常。 如果不正常，检查是否有其他进程占用了过多的CPU资源或是存在效率较低的复杂正则表达式等不合理的解析配置。 LTS1428 processorregex插件错误，无法从日志中找到配置中SourceKey指定的字段 Error in processorregex plugin: unable to locate the field specified by SourceKey in the configuration from the log data 查看详细报错，检查是否存在SourceKey配置错误或日志不合法的情况。 LTS1429 processorregex插件错误，匹配失败 Error in processorregex plugin: match failed 查看详细报错，报错根据内容分为如下类型，请根据具体的错误信息进行排查。 unmatch this log content...：日志无法匹配配置中的正则表达式 match result count less...：匹配的结果数量少于配置中指定的 Keys 数量。 LTS1430 splitchar以及splitstring插件错误，无法从日志中找到配置中SourceKey指定的字段 Error in splitchar and splitstring plugins: unable to locate the field specified by SourceKey in the configuration from the log data 查看详细报错，检查是否存在SourceKey配置错误或日志不合法的情况。 LTS1431 processorsplitchar以及processorsplitstring插件错误，解析得到的字段数量与SplitKeys中指定的不相同 Error in processorsplitchar and processorsplitstring plugins: the number of parsed fields does not match the count specified in SplitKeys 查看详细报错，检查是否存在SourceKey配置错误或日志不合法的情况。 LTS1432 解析日志时间失败 Failed to parse log timestamp 正则表达式提取的时间字段是否正确。 指定的时间字段内容是否匹配配置中的时间表达式。 LTS1433 checkpoint相关错误 Checkpointrelated error 读取checkpoint文件格式异常，需要确认文件是否被修改，可能导致重采，如果持续出现错误可以提工单反馈。 LTS1434 inotify监听超限 inotify watch limit exceeded 监听目录数超限 ，默认上限为3000，需要检查采集配置是否通配了过多文件，调整采集规则。 LTS1435 采集器启动配置不存在或解析失败 Collector startup configuration does not exist or failed to parse 主机采集器启动配置格式有误，需要确认文件是否被修改，如果持续出现错误可以提工单反馈。 LTS1436 采集队列已满 The collection queue is full 网络中断等原因导致数据无法上报，反压队列满，会持续重试1h等待恢复，如果持续出现错误可以提工单反馈。 LTS1437 本地目录下配置过多 Too many configurations in the local directory 查看详细报错，根据具体错误信息进一步排查。 LTS1438 采集器上报插件初始化失败 Collector reporting plugin initialization failed 先确认VPCE私网域名是正常开通。如果持续出现错误可以提工单反馈。 LTS1439 采集器上报插件endpoint无法连接 Unable to connect to the endpoint of the collector reporting plugin 先确认VPCE私网域名是正常开通，以及本地DNS到VPCE域名是否能ping通。如果持续出现错误可以提工单反馈。 LTS1440 上报日志网关中出现错误 Error occurred in the log gateway during reporting token失效或者到日志网关的网络不通。如果是token失效需确认AK/SK是否有getToken权限。 LTS1441 上报日志网关后返回错误 The log gateway returned an error after reporting 查看详细报错，根据具体错误信息进一步排查。 LTS1442 获取token失败 Failed to retrieve token 用户指定的AK/SK 获取token失败，可能是未正确授权。查看详细报错，根据具体错误信息进一步排查。 LTS1443 采集内部错误 Internal collection error 未定义在上面详细错误码的都归在此类，需要查看详细报错，根据具体错误信息进一步排查。

2.3 下载脚本 需将脚本包下载并解压至/home目录： plaintext $ cd /home $ wget $ tar xvf lsep8nodev20250901.tar 解压完成后，可通过以下命令查看目录结构： plaintext $ ll total 840 rwrr 1 root root 860160 Sep 1 17:55 lsep8nodev20250901.tar drwxrxrx 8 root root 255 Sep 1 17:52 lsepdeepseek 2.4 下载 MindIE 需将 MindIE 容器存放至各节点的/mnt/nvme1n1目录，操作步骤如下： plaintext $ mkdir p /mnt/nvme1n1/apptainer/ $ cd /mnt/nvme1n1/apptainer/ $ wget 下载完成后，可通过以下命令查看文件： plaintext $ ll /mnt/nvme1n1/apptainer/ total 5032820 rwrr 1 root root 5153607680 Sep 1 10:54 mindie2.1.RC1800IA2py311openeuler24.03ltsfix.sif 为方便后续调用，需在/home/lsepdeepseek目录下创建软链接： plaintext $ cd /home/lsepdeepseek $ ln s /mnt/nvme1n1/apptainer/mindie2.1.RC1800IA2py311openeuler24.03ltsfix.sif . 2.5 下载模型文件 需将模型文件下载并存储在各节点的/mnt/nvme1n1/model/目录，以下以量化版 DeepSeekR1 模型为例展示目录结构： plaintext $ ll /mnt/nvme1n1/model/DeepSeekR10528W8A8/ total 658940180 rwxrx 1 root root 1802 Jul 7 10:49 config.json rwxrx 1 root root 48 Jun 5 10:58 configuration.json rwxrx 1 root root 14707 Jun 5 10:58 md5sums.txt rwxrx 1 root root 10712695936 Jun 5 14:22 mtpfloat1.safetensors rwxrx 1 root root 10716492808 Jun 5 14:22 mtpfloat2.safetensors rwxrx 1 root root 5497763368 Jun 5 14:22 mtpfloat3.safetensors rwxrx 1 root root 10289502 Jun 5 10:58 quantmodeldescriptionw8a8dynamic.json rwxrx 1 root root 4287134112 Jun 5 14:22 quantmodelweightw8a8dynamic00001of00158.safetensors rwxrx 1 root root 4291084296 Jun 5 14:22 quantmodelweightw8a8dynamic00002of00158.safetensors ... rwxrx 1 root root 1853358176 Jun 5 14:22 quantmodelweightw8a8dynamic00158of00158.safetensors rwxrx 1 root root 17224440 Jun 5 10:58 quantmodelweightw8a8dynamic.safetensors.index.json rwxrx 1 root root 1680 Jun 5 10:58 README.md rwxrx 1 root root 3957 Jun 5 10:58 tokenizerconfig.json rwxrx 1 root root 7847602 Jun 5 10:58 tokenizer.json 注意 如需快速完成模型罐装，可联系公有云事业部通过对等连接方式实现。

本章节介绍云原生网关最简使用案例 概述 云原生网关作为微服务架构流量的入口支持对接天翼云注册配置中心、云容器引擎，并通过ELB实现外部访问暴露。同时云原生网关也可以不搭配以上组件独立使用，本文介绍云原生网关最简使用案例，架构如下： 体验流程：创建网关实例 > 添加固定地址服务 > 添加路由 > 验证访问 创建网关实例 有两个入口可以进入云原生网关开通页面： 1. 从天翼云官网控制中心> 微服务工具与平台 > 微服务引擎MSE，点击订购图标，进入产品订购页面。 2. 从云原生网关控制台实例列表页面的新建实例入口进入网关实例开通页面，选择实例规格、节点数及网络相关配置，确认提交；云原生网关订购配置说明如下 参数 描述 计费模式 支持包年包月和按需计费方式，费用说明请参照计费说明。 购买时长 可以根据实际需求进行选择，支持1个月、2个月、3个月、4个月、5个月、6个月、1年。 自动续期 您可以选择开启自动续期，避免云原生网关到期后无法使用。 自动续期购买时长 当开启自动续期，可以选择续期时长，支持1个月、2个月、3个月、4个月、5个月、6个月、1年。 系列 支持基础版和集群版。 基础版：只支持单可用区部署，且节点数量为1。 集群版：自动将控制节点以及工作节点平均分配部署至各可用区，且节点数量不少于2。 实例规格 架构支持X86（通用、海光）、ARM（通用、鲲鹏、飞腾），具体以当前资源池提供的选项为准。 实例规格支持2C4G 、4C8G 、8C16G 、16C32G规格，规格支撑能力说明请参照产品规格。 数据盘 支持超高IO ，最低大小50G，可根据实际需求自定义填写，填写值必须为50的倍数。 节点数量 基础版固定1个节点，无需填写；集群版您可以根据实际需求填写节点数量，节点数量不少于2。 部署方式 用户无需修改，基础版固定选中单可用区部署； 集群版时，如果当前资源池支持多可用区且节点数量大于2时，则默认为多可用区部署，单可用区部署置灰，否则为单可用区部署。 可用区 基础版需要选择任意一个可用区进行部署； 集群版会自动将控制节点以及工作节点平均分配部署至各可用区。 虚拟私有云 选择虚拟私有云，若您还没有虚拟私有云，请参照[创建虚拟私有云](

配置日志 函数计算支持与日志服务进行集成，函数配置日志后，函数计算会自动收集日志，并把日志投递到指定的日志库。您可以在函数计算控制台查看单请求日志、实例日志、函数日志，也可以在日志服务控制台利用日志分析能力对日志进行自定义检索。 背景信息 云日志服务是天翼云提供的日志数据的一站式服务。通过云日志服务存储函数日志，需要在函数中配置日志项目和日志库，函数日志会打印到配置的日志库中。 计费说明 函数计算不会为配置日志功能收取额外的费用，日志投递到日志服务，日志服务会收取相关费用。更多信息，请参见云日志计费概述。 配置日志功能 前提条件 函数计算 创建函数 可选：天翼云日志服务 创建日志项目和日志库 操作步骤 1. 登录函数计算控制台，在左侧导航栏，单击函数。 2. 然后在函数页面，单击目标函数。 3. 在函数详情页面，选择配置 > 日志 ，单击编辑 ，在日志 面板设置以下配置项，然后单击部署 。 配置项 是否必填 说明 日志功能 是 是否启用日志服务，取值说明如下：启用 ：启用后，函数计算会将日志导入到您的日志项目。您可以在函数计算控制台、日志服务控制台查询与检索日志，追踪并定位问题。禁用：不启用日志功能，无法持久化函数日志，无法对问题进行追踪和定位。 配置方式 是 选择自动配置 或自定义配置 。如果选择自定义配置 ，日志项目 和日志库必填。 日志项目 是 指定存储函数调用日志的目标日志项目。 日志库 是 指定存储函数调用日志的目标日志库。 日志分割规则 否 函数计算将按日志分割规则进行切分，切分成多个日志段，并逐条写入日志服务。配置说明如下：默认 ：启用后，将按照日期格式(yyyyMMdd)分割长日志内容，具体来说，如果您的日志中包含多个以特定日期格式（例如 “20240910”）开头的行，当前日期以及下一个日期前的所有内容将作为一条独立日志写入云日志。自定义：选中自定义后，需要配置容器标准输出和文件日志，采集策略：增量/全量：函数计算将按日志分割规则进行切分，切分成多个日志段，并逐条写入日志服务。切割模式支持当行全文，多行全文，json 模式 说明 如果您在创建函数时启用日志功能，函数计算控制台会自动创建以ctyunfcfunction开头的日志项目和该日志项目下的默认日志库functionlog。该日志项目每个地域仅创建一个，不会重复创建，如系统查询到该地域下曾经自动创建过日志项目，将直接使用。 如果您在创建函数时未启用日志功能，更新函数时需要手动选择自定义日志项目和日志库。 控制台会自动启用日志分割规则，并创建查询日志需要的全部索引。

本章节介绍sidecar注入策略配置及代理安装 概述 应用服务网格基于K8s webhook技术拦截pod创建过程，并将sidecar容器注入到pod中，实现边车代理注入。服务网格支持灵活的sidecar注入策略，本文说明注入策略配置及sidecar注入过程。 Sidecar注入策略 服务网格支持根据pod及其所在的命名空间的标签、注解以及一些特殊规则决定是否注入sidecar。当前支持的注入策略配置说明如下： 配置 说明 Pod所在命名空间的标签需要满足的条件 包含istioinject:enabled：需要注入sidecar的Pod所在命名空间必须包含istioinject:enabled标签。 不包含istioinject:disabled：需要注入sidecar的Pod所在命名空间不能包含istioinject:disabled标签。 Pod标签/注解需要满足的条件 不包含sidecar.istio.io/inject:false：pod标签/注解不能包含sidecar.istio.io/inject:false。 包含sidecar.istio.io/inject:true：pod自身的标签/注解必须包含sidecar.istio.io/inject:true。 AlwaysInjectSelector 总是会注入sidecar的匹配标签匹配条件，多个标签是and关系；被选中的pod总是会注入sidecar。 NeverInjectSelector 总是不注入sidecar的匹配标签匹配条件，多个标签是and关系；被选中的pod总是不会注入sidecar。优先级高于AlwaysInjectSelector。 说明 AlwaysInjectSelector和NeverInjectSelector分别看作为匹配的Pod添加sidecar.istio.io/inject:true和sidecar.istio.io/inject:false，但是这个添加的标签优先级低于Pod原本的标签。也就是说，即使 Pod 匹配 NeverInjectSelector，但 Pod 本身具有 sidecar.istio.io/inject:true 标签时，仍然会被视为只包含 sidecar.istio.io/inject:true 标签。 在不同注入策略设置下，对于各种Pod所在命名空间标签以及Pod自身注解情况，Pod最终注入策略生效结果参考下表（表中的“Pod所在命名空间需要满足的条件”列中“包含标签”表示包含istioinject:enabled设置；“不包含标签”表示不包含istioinject:disabled设置。同理“Pod自身的注解/标签需要满足的条件”列中的“包含标签”表示包含sidecar.istio.io/inject:true设置；“不包含标签”表示不包含sidecar.istio.io/inject:false设置）： 命名空间标签（istioinjection） Pod自身注解（sidecar.istio.io/inject） Pod所在命名空间需要满足的条件 Pod自身的注解/标签需要满足的条件 AlwaysInjectSelector NeverInjectSelector 结果 enabled true × × × × 注入 enabled false × × × × 不注入 enabled 未设置 × × 匹配 匹配 不注入 enabled 未设置 × × 匹配 不匹配 注入 enabled 未设置 × × 不匹配 匹配 不注入 enabled 未设置 × 包含 不匹配 不匹配 不注入 enabled 未设置 × 不包含 不匹配 不匹配 注入 disabled × × × × × 不注入 未设置 true 包含 × × × 不注入 未设置 true 不包含 × × × 注入 未设置 false × × × × 不注入 未设置 未设置 × × × × 不注入

注册集群接入联邦控制面网络 第一步：规划集群联邦实例部署网络环境 首先，需要清楚需要联邦调度的成员集群(注册集群)在天翼云上的资源池及VPC分布信息； 其次，规划集群联邦实例部署资源池、VPC及子网，其中联邦实例资源池应尽量与成员注册集群资源池相同，或和大部分成员集群资源池相同，这样可以避免大量跨资源池网络互通带来的带宽成本。同样，若资源池和VPC均相同，可进一步降低网络互通成本。 具体可按实际情况规划，不同的规划只影响联邦和成员集群间的互通网络成本，不影响相关功能的使用。 第二步：订购集群联邦，或加入已有集群联邦，基于默认策略打通联邦到注册集群网络 控制台顶部切换到规划的集群联邦资源池，然后进入【容器舰队】>【联邦管理】页面，点击【创建联邦】进入联邦实例订购页面。 订购页中，VPC和子网选择规划好的数据，舰队选择包含相关注册集群的舰队实例，其他按需配置即可。 然后根据指引提交订单，最终确保相关联邦实例状态处于【运行中】即可。 在联邦实例关联舰队的同时，CCEOne后台将主动尝试将成员集群和联邦控制面之间网络打通并进行注册。其不同场景下网络打通默认策略如下： 成员集群与联邦实例网络模式 默认互联策略 是否允许用户修改 可选互联策略 同资源池同VPC VPC内网直接互联 否 同资源池跨VPC VPCE：后台将尝试创建将成员集群APIServer地址，以内网VPCE IP方式暴露给联邦实例所在网络 否 跨资源池 默认公网互联 要求联邦实例所在VPC具备主动访问公网能力，同时成员集群APIServer有绑定EIP暴露公网，并放通了来自联邦实例VPC的公网请求 是 云间高速内网 第三步：联邦与成员集群间网络连通性校验与调整修复 进入联邦单实例控制台总览页面，最底部可切换列表或视图方式展示成员集群信息，包括成员集群与联邦实例网络互联方式及网络互联情况。 其中： 成员集群与联邦同资源池场景：不可修改 会基于是否同VPC区分展示VPCE或VPC内网互联，同时展示成员集群到联邦的注册情况。若注册状态异常，请检查成员集群本身服务是否正常，以及安全组是否有放通相关来源流量。 成员集群与联邦跨资源池场景：可修改 默认展示【公网】互联方式，同时会展示成员集群到联邦的注册状态；公网方式要求联邦VPC有配置NAT启用公网主动访问能力，同时成员集群APIServer有绑定公网EIP，并配置放通来自联邦的公网请求流量；若联邦注册状态异常，请检查集群状态是否正常以及网络配置是否符合要求。 若基于安全性或稳定性考虑，或联邦与成员集群本身已内网打通，此时用户可点击修改联通方式，可选【内网】。跨资源池内网互联，需要用户启用云间高速产品能力，将跨资源池的两个VPC内网打通。具体云间高速配置方式，请参考具体产品对应用户指引文档。 在用户调整跨资源池网络互联方式后，后台将周期性校验环境配置是否正确，并尝试再次将成员集群注册到联邦控制面中。稍等一会儿时间后，用户可以在控制台看到最新网络互联及注册状态信息。

本节介绍企业主机安全应用进程控制功能。 应用进程控制概述 应用进程控制功能支持管控应用进程运行，通过学习服务器中运行的应用进程特征，将应用进程划分为可信进程、恶意进程和可疑进程，允许可疑、可信进程正常运行，对恶意进程运行进行告警，帮助用户构建安全的应用进程运行环境，避免服务器遭受不受信或恶意应用进程的破坏。 使用约束 使用应用进程控制功能须满足以下条件： 服务器已开启HSS旗舰版、网页防篡改版或容器版防护。 服务器已安装Agent的版本为以下版本，升级Agent的操作，请参见升级Agent章节。 − Linux：3.2.7及以上版本。 − Windows：4.0.19及以上版本。 应用进程控制使用流程 创建白名单策略 在开启应用进程控制防护前，您需要为服务器创建白名单策略，设置HSS学习服务器应用进程特征的学习天数、学习结果确认方式和对可疑或恶意进程的防护动作等；HSS后续将根据策略设置为服务器提供相应的应用进程控制防护能力。 操作步骤 1、登录管理控制台。 2、在左侧导航栏，选择“主动防御 > 应用进程控制”，进入“应用进程控制”界面。 3、选择“白名单策略”页签，单击“创建策略”。 4、在“创建策略”弹窗中，设置策略参数，相关参数说明请参见下表。 参数名称 参数说明 策略模式 应用进程控制防护策略模式。 默认配置下日常运营模式允许可信、可疑进程运行，仅对恶意进程进行告警。 白名单策略名称 系统默认会生成白名单策略名称，建议您自定义修改，后续方便区分和管理。 智能学习天数 企业主机安全学习服务器应用进程的天数。学习天数越多，学习结果越准确。 学习结果确认方式 当企业主机安全学习完策略关联的服务器后，对于特征不明显可疑进程的确认方式。 自动确认可疑进程：HSS根据应用进程特征库，自动确认并标记特征不明显的可疑应用进程。 手动确认可疑进程：您在“应用进程控制 > 白名单策略”页面，单击策略名称，进入策略详情页，选择“进程文件”页签，筛选“待确认状态”的进程，根据实际业务情况确认并手动标记特征不明显的可疑进程。 策略生效方式 当企业主机安全学习完策略关联的服务器后，开启应用进程控制的方式。 学习完成后自动开启：系统自动开启策略关联的服务器的应用进程控制。 学习完成后手动开启：您根据业务情况手动开启应用进程控制。 防护动作 当发现恶意进程后的防护动作。对恶意进程进行告警。 选择服务器 选择需要防护的服务器。当服务器的防护状态为“防护中”时，才会在列表中呈现。 5、单击“确认”，完成创建。 您策略列表中可以查看已创建的策略及策略当前状态。 说明 创建白名单策略完成后，HSS会自动开始对策略关联的服务器进行学习，学习服务器中的应用进程特征。待策略状态变更为“学习完成，未生效”表示学习完成。

您可以通过本操作设置关键字和时间范围进行日志搜索。 操作步骤 1. 在云日志服务管理控制台，单击“日志管理”。 2. 在日志组列表中，单击日志组名称前对应的按钮。 3. 在日志流列表中，单击日志流名称，进入日志详情页面。 4. 在搜索框上方选择时间范围。 时间范围有三种方式，分别是相对时间、整点时间和自定义。您可以根据自己的实际需求，选择时间范围。 说明 1. 相对时间：表示查询距离当前时间1分钟、5分钟、15分钟等时间区间的日志数据。例如当前时间为19:20:31，设置相对时间1小时，表示查询18:20:31~19:20:31的日志数据。 2. 整点时间：表示查询最近整点1分钟、15分钟等时间区间的日志数据。例如当前时间为19:20:31，设置整点时间1小时，表示查询18:00:00~19:00:00的日志数据。 3. 自定义：表示查询指定时间范围的日志数据。 5. 在日志详情页面，有以下搜索方式： 1. 在页面搜索区域中，鼠标单击搜索框，输入待搜索的关键字，或在弹出的下拉框中选择待搜索的字段和关键词，单击“查询”，开始搜索。 在原始日志页签下方显示包含搜索关键字的日志。 说明 结构化配置的字段按照key:value显示。 2. 在原始日志页面中，鼠标悬浮指向日志内容中的字段，单击蓝色字体的日志内容，支持复制、添加到查询、从查询中排除的方式搜索日志。 3. 对已创建快速分析的字段，单击选择字段可直接将其添加到页面搜索框中，进行搜索。 说明 通过单击字段添加到搜索框中，如果是同一字段，则将直接替换该方式添加的字段，不会进行AND搜索；如果是不同字段，则对不同字段进行AND搜索。 4. 在页面搜索区域，使用键盘的"↑""↓"箭头，选择待搜索的关键字或搜索语法，单击Tab键或Enter键选中后，单击“查询”，开始搜索。 6. 在日志内容下方，单击时间前面的展开图标，支持以Table和JSON形式展示结构化字段。 在Table页签，支持对该字段进行添加到查询、从查询中排除、字段存在、字段不存在、隐藏的方式搜索日志。更多信息请参考搜索语法。 在JSON页签，支持查看或者复制日志内容。 7. 版面设置。 1. 在下拉框单击所有版面，进入版面设置页面，版面列表自带默认版面、纯净版面、容器日志默认版面，可以设置字段在版面是否显示。 云端: 适用于有写权限的用户，版面配置信息保存在云端。 本地缓存: 适用于只有读权限的用户，版面配置信息缓存在本地浏览器。 2. 单击新增自定义版面，设置版面名称和版面字段的可见性。 3. 设置完成后，单击“确定”，返回下拉框显示新增的自定义版面。