绑定IPv6带宽 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 分布式关系型数据库】，进入分布式关系型数据库产品页面。然后单击【管理控制台】，进入TeleDB数据库【概览】页面。 2. 在左侧导航栏，选择【DRDS > 实例管理】，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击【操作】列的【管理】，进入实例【基本信息】页面。 4. 在【连接信息】找到IPv6连接地址，点击【绑定带宽】，打开【绑定IPv6带宽】页面。 5. 选择目标IPv6带宽，点击【确定】，完成IPv6带宽与IPv6连接地址的绑定，此时，您才可以通过IPv6连接地址公网访问DRDS实例。 解绑IPv6带宽 1. 在实例列表中，找到目标实例，单击【操作】列的【管理】，进入实例【基本信息】页面。 2. 在【连接信息】找到IPv6连接地址，点击【解绑带宽】，点击【确认】，完成IPv6带宽与IPv6连接地址的解绑。

本文主要介绍DRDS控制台统计分析中的分片合理性分析功能。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 分布式关系型数据库】，进入分布式关系型数据库产品页面。然后单击【管理控制台】，进入【概览】页面。 2. 在左侧导航栏，选择【DRDS > 统计分析】，进入SQL执行分析页面。然后在顶部菜单栏，选择区域和项目。 3. 单击导航栏的【分片合理性分析】，进入到分片合理性分析页面。 4. 在页面右上角选择【实例】下拉框（部分资源池位于左上角），可以选择需查看的目标实例。【schema】下拉框可以选择目标schema，并可对目标表名进行模糊查询。 5. 在分片合理性分析页面，可以查看目标实例在目标时间段内分片数据量合理性分析和分片访问量合理性分析，通过分析DRDS实例对应MySQL的存储情况和访问情况，提示用户分片策略是否合理，是否存在存储热点或访问热点。

本文主要介绍了DRDS控制台删除schema的功能。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 分布式关系型数据库】，进入分布式关系型数据库产品页面。然后单击【管理控制台】，进入【概览】页面。 2. 在左侧导航栏，选择【DRDS > 实例管理】，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击【操作】列的【管理】，进入实例【基本信息】页面。 4. 在左侧导航栏选择【schema管理】栏目，进入目标实例的schema管理页面。 5. 在【schema管理】页面，单击需要删除的schema的【删除】按钮。 6. 在弹框中输入需要删除的schema名称， 选择是否同时删除物理数据库，单击确定，可删除schema。 注意 删除schema的操作无法恢复，请谨慎操作。

本文介绍如何配置CNAME。 要启用应用加速服务，需要您将加速域名的DNS解析指向我们提供的CNAME，这样访问加速域名的请求才能转发到应用加速节点上，达到加速效果。 1.在控制台【域名管理】的域名列表中复制加速域名对应的CNAME。 2.前往您的域名解析(DNS)服务商(如万网、阿里云解析、DNSPod、新网、腾讯云解析、route 53、godaddy等)，添加该CNAME记录。配置CNAME完毕，CNAME配置生效后，应用加速服务也会立即生效。 注意 CNAME配置生效时间：新增CNAME记录会实时生效，而修改CNAME记录生效时间取决于客户设置的TTL时间。 添加时如遇添加冲突，可考虑换一个加速域名，或参考以下“解析记录互斥规则” 调整记录。 解析记录互斥规则如下： 在提示冲突的时候，说明已经有对应的记录，不允许重复添加或者说不能添加对应的记录，说明如下。在RR值相同的情况下，同一条线路下，在几种不同类型的解析中不能共存(X为不允许)： X：在相同的RR值情况下，同一条线路下，不同类型的解析记录不允许共存。如：已经设置了example.ctyun.cn的A记录，则不允许再设置 example.ctyun.cn的CNAME记录.。 无限制：在相同的RR值情况下，同一条线路下，不同类型的解析记录可以共存。如：已经设置了example.ctyun.cn的A记录，则还可以再设置example.ctyun.cn的MX记录。 可重复： 指在同一类型下，同一条线路下，可设置相同的多条RR值。如：已经设置了example.ctyun.cn的A记录，还可以再设置example.ctyun.cn的A记录。 3.验证应用加速服务是否生效。 配置CNAME后，不同的服务商CNAME生效的时间也不同，一般新增的CNAME记录会立即生效，修改的CNAME记录生效时间取决于客户设置的TTL时间。 您可以ping或dig您所添加的加速域名，如果被指向.ctycdn.com，即表示CNAME配置已经生效，应用加速服务也已生效。

本页介绍天翼云TeleDB数据库重做备机。 操作场景 在分布式数据库中，‌当主机（‌主节点）‌发生故障时，‌需要重做备机（‌备节点）‌以保证数据完整性和系统的可用性。 操作步骤 1. 以用户名和密码登录分布式数据库TeleDB控制台，在左侧导航单击实例列表。 2. 单击目标实例所在行的详情，进入实例详情页面。 3. 进入实例详情页，单击GTM节点信息 或协调节点 或数据节点 操作列下拉框的重做备机 ，弹出重做备机对话框。 4. 当GTM节点信息重做备机时进入重做备机 对话框，在重做协调节点 下拉框选择协调节点，在重做备节点下拉框选择重做备节点。 5. 当协调节点 或数据节点 重做备机时进入重做备机 对话框，在重做协调节点 下拉框选择协调节点，在重做备节点下拉框选择重做备节点 6. 单击确定完成重做备机。

本章节介绍如何将部署在ECS的应用,通过安装MSE Agent的方式接入微服务治理中心 概述 部署在ECS的应用，可以通过安装MSE Agent的方式接入微服务治理中心，使用微服务治理中心提供的一系列服务治理能力。 环境规划 1.开通微服务云应用平台MSAP 开通 微服务云应用平台。 2.环境信息配置 使用微服务治理中心前，需要为应用提前规划环境、项目和分组信息。您可通过进入微服务治理控制台>应用治理>应用接入>ECS集群进行配置，也可跳转至微服务云应用平台创建。 网络通路 1.DNS配置 上报域名为内网域名，需要在DNS配置文件（/etc/resolv.conf）首行添加nameserver 100.95.0.1 才生效。 2.创建VPC终端节点 使用微服务治理中心前，需要在目标VPC中创建终端节点。创建路径：微服务治理中心控制台>应用治理>应用接入>ECS集群>网络通路。 进入应用接入页面。 点击ECS集群，选择VPC，点击创建终端节点。 点击确定授权并创建VPC终端节点。 点击确定后，刷新页面，显示VPC的终端节点状态为已创建。

本章节主要介绍数据湖探索（DLI）如何创建自定义策略。 如果系统预置的DLI权限，不满足您的授权要求，可以创建自定义策略。 目前天翼云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 本章为您介绍常用的DLI自定义策略样例。 策略字段介绍 以授权用户拥有在所有区域中所有数据库的创建表权限为例进行说明： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "dli:database:createTable" ], "Resource": [ "dli:::database:" ] } ] } Version 版本信息，1.1： 策略。IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。 Effect 作用。包含两类：允许（Allow）和拒绝（Deny），既有Allow又有Deny的授权语句时，遵循Deny优先的原则。 Action 授权项，指对资源的具体操作权限，不超过100个。 说明 格式为：服务名:资源类型:操作，例：dli:queue:submitjob。 服务名为产品名称，例如dli、evs和vpc等，服务名仅支持小写。资源类型和操作没有大小写，要求支持通配符号，无需罗列全部授权项。 资源类型可以参考下表“DLI的指定资源与对应路径”中的资源类型。 操作：操作以IAM服务中已经注册的action为准。 限制条件：使策略生效的特定条件，包括条件键和运算符。 条件键表示策略语句的Condition 元素中的键值，分为全局级条件键和服务级条件键。 −全局级条件键（前缀为g:）适用于所有操作。 −服务级条件键（前缀为服务缩写，如dli:，目前DLI未提供服务级条件键）仅适用于对应服务的操作。 运算符与条件键一起使用，构成完整的条件判断语句。具体内容请参考下表“DLI请求条件”。 DLI通过IAM预置了一组条件键。下表显示了适用于DLI服务特定的条件键。 DLI请求条件 DLI条件键 类型 运算符 描述 g:CurrentTime 全局级 Date and time 接收到鉴权请求的时间。 说明 以“ISO 8601”格式表示，例如：20121111T23:59:59Z。 g:MFAPresent 全局级 Boolean 用户登录时是否使用了多因素认证。 g:UserId 全局级 String 当前登录的用户ID。 g:UserName 全局级 String 当前登录的用户名。 g:ProjectName 全局级 String 当前登录的Project。 g:DomainName 全局级 String 当前登录的Domain。 Resource 格式为：服务名:region:domainId:资源类型:资源路径, 通配符号表示所有，资源路径可以参考下表“DLI的指定资源与对应路径”。 示例： "dli : : : queue : ": 表示所有的队列。

通过手动执行备份策略,可立即对该策略下的云主机进行备份。 说明 如果备份策略中的云主机正在执行备份任务，则无法手动执行备份策略。 如果周期性备份调度计划开始时，手动备份任务仍未完成，则系统自动取消当次周期性调度任务。建议手动执行备份策略的时间与周期性备份的备份策略执行时间间隔≥3小时。 前提条件 已创建至少1个备份策略，且备份策略中至少绑定了一个云主机。 操作步骤 1.登录天翼云控制中心； 2.在产品列表中选择“存储> 云主机备份”； 3.单击“管理备份策略”，进入“管理备份策略”页面； 4.在需要手动执行备份的云主机备份策略区域右上角，单击“执行”； 5.单击“确定”。

本文帮助您了解什么是路由学习,以及如何启用和关闭路由学习。 路由学习 路由学习是网络实例与云企业路由器、云企业路由器与云企业路由器之间建立路由自动发现、学习并更新路由信息的功能。启用路由学习后，云企业路由器会自动生成去往对端或远端的路由规则。 网络实例启用路由学习 云企业路由器加载网络实例后，通过开启云企业路由器与网络实例的路由学习关系，云企业路由器的路由表可以自动学习到网络实例的路由规则。 加载网络实例类型 状态说明 虚拟私有云VPC 可以学习到VPC的路由信息，建立学习关系，关联的路由表会自动生成去往VPC子网的路由规则。（目前仅支持学习到已加载的子网路由条目） 云专线 可以学习到专线网关中客户侧的路由信息，关联的路由表会自动生成去往专线网关的路由规则 VPN网关 可以学习到VPN网关中的远端网段信息和SSL用户侧网段信息，关联的路由表会自动生成去往VPN网关的路由规则 SDWAN 可以学习到SDWAN（翼惠连）中客户侧的网段信息，关联的路由表会自动生成去往SDWAN的POP的路由规则 网络实例启用路由学习操作流程 在“加载本地网络实例”页面的“高级配置”部分，请确认“自动传播网络实例系统路由至云企业路由器路由表”是否是开启状态。 详细内容请参考：加载虚拟私有云（VPC）网络实例 跨域连接启用路由学习 跨域连接启用路由学习，两端的云企业路由器可以互相学习对方默认路由表中的路由规则。

本章节介绍应用容灾多活的产品定义。 产品定义 应用容灾多活包含架构加管控的解决方案，提供引导式的应用架构改造接入和一站式的云产品协同管理，实现应用异地集群间日常态的流量分发多活以及容灾态的数据一致性保障，助力企业的容灾稳定性建设，提升客户应用的业务连续性。 容灾的不同等级 容灾的基本方式，是在生产站点以外建立冗余站点，灾难发生后，冗余站点可以接管用户正常的业务，达到业务不间断的目的。按照容灾系统对应用系统的保护程度可以分为数据级容灾、应用级容灾和业务级容灾。 数据级容灾：仅将生产中心的数据复制到容灾中心，在生产中心出现故障时，仅能实现存储系统的接管或数据的恢复。基于数据级容灾实现业务恢复的速度较慢，需要在容灾站点恢复数据实例和部署应用，通常情况下RTO在天级别。 应用级容灾：在数据级容灾的基础上，增加对生产中心系统的基本复制，容灾中心建立起一套和本地生产环境相当的备份环境，包括主机、网络、应用等资源。当生产系统发生灾难时，异地系统可以提供完全可用的生产环境，应用级容灾的RTO通常在小时级别。 业务级容灾：容灾中心具备业务系统的完全复制，生产中心与容灾中心对业务请求同时进行处理，故障时只需切换业务流量，能够确保业务持续可用。采用这种方式，业务恢复过程的自动化程度高，RTO可以做到分钟级别。 灾备容灾建立在数据级和应用级容灾基础之上，在异地冗余一套应用系统的部分或全部备份，平时不对外提供服务，根据备份时效和颗粒度不同，业务在灾难发生时按照约定的时间和版本恢复运行。 多活容灾是业务级容灾，应用系统分布在多个站点同时对外提供服务，与灾备模式相比拥有更高的资源利用率和系统扩展性，当灾难发生时，多活系统可以实现分钟级业务流量切换，用户甚至感受不到灾难发生。

本文主要介绍弹性IP和带宽支持的监控指标。 功能说明 本节定义了弹性IP和带宽上报云监控服务CES的监控指标的命名空间，监控指标列表和维度定义，用户可以通过云监控提供的管理控制台或API接口来检索资源产生的监控指标和告警信息。 说明 云监控服务CES最大支持4个层级维度，维度编号从0开始，编号3为最深层级。例如监控指标中的维度信息为“bandwidthid,publicipid”时，表示对应的监控指标的维度存在层级关系，且“bandwidthid”为0层，“publicipid”为1层。 带宽规格变更（带宽升降配）后，带宽规格数据在监控指标上生效有5~10min的时间延迟。 命名空间 弹性公网IP和带宽的命名空间：SYS.VPC 监控指标 表弹性IP和带宽支持的监控指标 指标ID 指标名称 指标含义 取值范围 进制 测量对象 监控周期（原始指标） upstreambandwidth 出网带宽 该指标用于统计测试对象出云平台的网络速度。单位：比特/秒 ≥ 0 bit/s 1000(SI) 带宽或弹性IP 1分钟 downstreambandwidth 入网带宽 该指标用于统计测试对象入云平台的网络速度。单位：比特/秒 ≥ 0 bit/s 1000(SI) 带宽或弹性IP 1分钟 upstreambandwidthusage 出网带宽使用率 该指标用于统计测量对象出云平台的带宽使用率。以百分比为单位 0100% 不涉及 带宽或弹性IP 1分钟 downstreambandwidthusage 入网带宽使用率 该指标用于统计测量对象入云平台的带宽使用率。以百分比为单位 0100% 不涉及 带宽或弹性IP 1分钟 upstream 出网流量 该指标用于统计测试对象出云平台的网络流量。单位：字节 ≥ 0 bytes 1000(SI) 带宽或弹性IP 1分钟 downstream 入网流量 该指标用于统计测试对象入云平台的网络流量。单位：字节 ≥ 0 bytes 1000(SI) 带宽或弹性IP 1分钟

常规软件支持列表 P2V型云主机主要用于计算加速场景，例如深度学习训练、推理、科学计算、分子建模、地震分析等场景。应用软件如果使用到GPU的CUDA并行计算能力，可以使用P2V型云主机。常用的软件支持列表如下： Tensorflow、Caffe、PyTorch、MXNet等常用深度学习框架。 RedShift for Autodesk 3dsMax、VRay for 3ds Max等支持CUDA的GPU渲染。 使用须知 P2V型云主机当前支持如下类型的操作系统： Windows Server CentOS Ubuntu Ctyunos 备注：各资源池支持的具体版本可能略有出入，请以控制台实际支持的版本为准。 P2Vs型云主机 P2Vs型云主机采用NVIDIA Tesla V100s PCIE GPU，采用GPU直通技术，在提供云主机灵活性的同时，提供高性能计算能力和优秀的性价比。P2Vs型云主机能够提供超高的通用计算能力，适用于AI深度学习、科学计算，在深度学习训练、科学计算、计算流体动力学、计算金融、地震分析、分子建模、基因组学等领域都能表现出巨大的计算优势。 规格名称 vCPU 内存（GB） GPU 显存（GB） 虚拟化类型 p2vs.4xlarge.8 16 128 1V100s 132GB KVM p2vs.8xlarge.8 32 256 2V100s 232GB KVM p2vs.2xlarge.4 8 32 1V100s 132GB KVM p2vs.4xlarge.4 16 64 2V100s 232GB KVM p2vs.8xlarge.4 32 128 4V100s 432GB KVM

本章节介绍云容器集群节点CPU高负载故障演练。 背景介绍 在云容器引擎（CCE）环境中，节点（Node）的 CPU 资源是所有运行其上的 Pod 的共享基础。当计算密集型应用、资源限制配置不当、或异常进程（如死循环）消耗大量 CPU 时，会导致节点 CPU 使用率持续处于高位。本演练模拟节点 CPU 资源被持续占用的高压场景，帮助您主动评估业务 Pod 在资源争抢下的表现、检验 HPA（水平Pod自动伸缩）的有效性，并为优化资源配置和应急预案提供数据支持。 基本原理 启动自定义程序，空跑for循环来消耗CPU时间片。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的节点列表。 5. 在弹出的对话框中，单击添加节点。 6. 勾选您希望进行故障演练的一个或多个节点 ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。

section1553217101617 " ") 步骤一：创建用户组 步骤二：为用户组授权 步骤三：创建IAM用户并加入用户组 步骤四：使用IAM用户登录并验证权限 步骤一：创建用户组 在“统一身份认证IAM”服务控制台创建用户组，并授予具有云容器引擎只读权限的“CCE ReadOnlyAccess”策略。 用户组是用户的集合，IAM通过用户组功能实现用户的授权。您在IAM中创建的用户，需要加入特定用户组后，用户才具备用户组所拥有的权限。关于创建用户组并给用户组授权的方法，可以参考如下操作。 步骤 1 使用注册的帐号登录，登录时请选择“帐号登录”。 步骤 2 在控制台首页菜单中单击“云容器引擎CCE”，进入CCE控制台。 步骤 3 单击CCE控制台左侧导航栏中的“权限管理”，单击“集群权限”页签下的“创建用户组”。 步骤 4 进入“统一身份认证服务”控制台的“创建用户组”界面，输入用户组名称（本例以“开发人员组”为例）。 单击“确定”，用户组创建完成，界面自动返回用户组列表，列表中显示新建的用户组。 说明：您最多可以创建20个用户组，如果当前资源配额无法满足业务需要，您可以申请扩大配额。 步骤二：为用户组授权 步骤 1 在用户组列表中，单击新建用户组右侧操作栏的“修改”。 在用户组修改页面中，找到用户组权限管理部分。 步骤 2 根据各区域（资源节点）的授权要求，分别设置每个资源节点的用户组权限： 基于区域（如苏州、青岛），授权后将只在授权区域生效，如果需要所有区域都生效，则所有区域都需要进行授权操作。 步骤 3 在搜索框中搜索“CCE”，勾选需要授予用户组的权限，本例此处选择“CCE ReadOnlyAccess”。 步骤 4 单击“确定”，完成用户组授权。 步骤三：创建IAM用户并加入用户组 IAM用户与企业中的实际员工或是应用程序相对应，有唯一的安全凭证，可以通过加入一个或多个用户组来获得用户组的权限。关于IAM用户的创建方式请参见如下步骤。 1. 在统一身份认证服务，左侧导航窗格中，单击“用户”>“创建用户”。 2. 在“创建用户”页面填写“用户信息”。如需一次创建多个用户，可以单击“添加用户”进行批量创建，每次最多可创建10个用户。 用户信息 说明 用户名 必填。IAM用户登录的用户名，此处以“James”和“Alice”为例。 邮箱 “访问方式”选择“首次登录时设置”时必填，选择其他时选填。IAM用户绑定的邮箱，可作为子帐户的登录凭证，也可由IAM用户自己绑定。 手机号 选填。IAM用户绑定的手机号，可作为子帐户的登录凭证，也可由IAM用户自己绑定。 描述 选填。记录IAM用户相关信息。 3. 在“创建用户”页面选择“访问方式”，完成后单击“下一步”。 访问方式 配置信息 说明 管理控制台访问 控制台登录密码设置方式 首次登录时设置 如果您不是用户James的使用主体，建议您选择该方式，输入用户的邮箱和手机，用户James通过邮件中的一次性链接登录，自行设置密码。 管理控制台访问 控制台登录密码设置方式 自动生成 仅在创建单个用户时适用，如果您本次创建2个及以上的用户，则不支持此方式。 管理控制台访问 控制台登录密码设置方式 自定义 如果您是用户James的使用主体，建议您选择该方式，设置自己的登录密码。 管理控制台访问 登录保护 开启登录保护 开启登录保护后，IAM用户登录时，除了在登录页面输入用户名和密码外（第一次身份验证），还需要在登录验证页面输入验证码（第二次身份验证），该功能是一种安全实践，建议开启登录保护，多次身份认证可以提高帐号安全性。 您可以选择通过手机、邮箱、虚拟MFA进行登录验证。 管理控制台访问 登录保护 不开启 编程访问 创建用户完成后即可下载本次创建的所有用户的管理访问密钥。一个用户最多拥有两个访问密钥。这些AK/SK可以对进行编程调用，例如，通过API调用方式访问时，您可能需要使用访问密钥。 说明： 用户可以使用此处设置的用户名、邮箱或手机号码任意一种方式登录。 当用户忘记密码时，可以通过此处绑定的邮箱或手机自行重置密码，如果用户没有绑定邮箱或手机号码，只能由管理员重置密码。 用户登录系统时，输入用户名和初始密码后，将进入“首次登录修改密码”，需要创建一个新密码，该功能可以保证用户的密码是由使用者本人所设置，防止密码泄露。 4. 单击“下一步”，将用户加入到用户组（可选）。 − 选择新创建的用户组“开发人员组”。将用户加入用户组，用户将具备用户组的权限，这一过程即给该用户授权。其中“admin”为系统缺省提供的用户组，具有管理人员以及所有云服务资源的操作权限。 − 如需创建新的用户组，可单击“创建用户组”，填写用户组名称和描述（可选），创建成功后即可将用户加入到新创建的用户组中。 5. 单击“下一步”，IAM用户创建成功，用户列表中显示新创建的IAM用户。如果在访问方式中勾选了“编程访问”，可在此页面下载访问密钥。 步骤四：使用IAM用户登录并验证权限 IAM用户创建完成后，可以使用新用户的用户名及身份凭证登录验证权限，即“CCE ReadOnlyAccess”权限。 步骤 1 在登录页面，单击右下角的“IAM用户登录”。 步骤 2 在“IAM用户登录”页面，输入帐号名、用户名及用户密码，使用新创建的IAM用户登录。 帐号名为该IAM用户所属帐号的名称。 用户名和密码为创建IAM用户“James”时输入的用户名和密码，首次登录时需要重置密码。 如果登录失败，您可以联系您的帐号主体，确认用户名及密码是否正确，或是重置用户名及密码。 步骤 3 使用IAM用户“James”登录成功后，进入控制台，请先切换至授权区域。 步骤 4 在“服务列表”中选择“云容器引擎 CCE”，返回CCE控制台主界面，对IAM用户James的集群权限进行验证。 验证方式（参考）：您可以尝试创建一个集群或休眠一个已创建的集群，此时如果提示“您的权限不足。”，则表明您为James用户设置的“CCE ReadOnlyAccess”只读权限策略已生效。

尊敬的天翼云客户： 您好！ 天翼云密钥管理服务于9月13日升级上线包周期版本，订购可选规格包含基础版、企业版。当前支持在上海33资源池售卖，其他资源池陆续上线，敬请期待！ 更多产品介绍及资费信息，请参见产品帮助文档： 感谢您对天翼云的信赖与支持，如您有任何问题，可随时通过工单或者服务热线（4008109889）与我们联系。 感谢您对天翼云一如既往的支持与理解！ 天翼云服务团队

日志触发器能够为您提供增量日志的触发事件，您可以及时感知到指定的日志单元产生了新的日志，结合日志服务提供的SDK，您可以消费到最新的增量日志，完成定制化的任务。 使用场景 监控关键日志并告警。通过配置日志触发器，您可以及时消费到增量日志，通过编排工作流，可以监听捕捉日志内容，并发出告警。 实现日志数据的ETL。通过配置日志触发器，您可以持续消费指定日志单元的日志（Extract），通过编排工作流，可以对日志数据进行清洗、脱敏等一系列处理，并投递到新的日志单元（Transform，Load）。 触发机制 事件的基本传递机制请参考概述。 增量日志事件的上报：日志单元会持续监听日志数据写入，如果没有新增日志，不会上报事件；如果有新增日志，且最近60秒内日志量少于25MB，那每60秒会上报一次；如果日志量大于25MB，则在日志量达到25MB时上报一次。 Event事件的data部分格式如下。 plaintext { "beginCursor":7256969395249872970, // 日志数据起始游标，标识增量日志的开始位置 "endCursor":7256969395249872981, // 日志数据结束游标，标识当次上报日志结束为止 "unitCode":"0fc54abd09aa8c" // 日志单元ID } 日志触发器只会推送日志事件的元数据信息，不包括日志内容，如果需要消费日志内容，请使用云日志提供的SDK并结合Event事件data字段进行日志消费，具体用法可参考文档。

本章节指导用户为企业路由器实例以及企业路由器连接创建告警规则和通知。 操作场景 告警功能为您提供监控数据的告警服务。您可以通过创建告警规则来定义告警系统如何检查监控数据，并在监控数据满足告警策略时发送报警通知。 对重要监控指标创建告警规则后，便可在第一时间得知指标数据发生异常，迅速处理故障。 操作步骤 步骤 1：登录管理控制台，进入云监控服务主页面。 步骤 2：在左侧导创建告警规则和通知航栏，选择“云服务监控 > 企业路由器”。 进入企业路由器列表页面。 步骤 3：在企业路由器列表中，分别执行以下操作，为企业路由器实例以及企业路由器连接创建告警规则和通知。 企业路由器实例 在企业路由器列表中，单击目标企业路由器所在行的操作下的“创建告警规则”。 进入“创建告警规则”页面。 在“创建告警规则”页面，根据页面提示设置参数，为企业路由器实例创建告警规则和通知。 企业路由器连接 在企业路由器列表中，单击下拉按钮展开目标企业路由器的连接列表，并单击连接所在行的操作下的“创建告警规则”。 进入“创建告警规则”页面。 在“创建告警规则”页面，根据页面提示设置参数，为企业路由器连接创建告警规则和通知。

本章节以Linux操作系统为例，指导您通过弹性云主机内网的方式连接GeminiDB Influx实例。 使用须知 目标实例必须与弹性云主机在同一个虚拟私有云和子网内才能访问。 该弹性云主机必须处于目标实例所属安全组允许访问的范围内。 如果目标实例所属安全组为 默认安全组 ，则无需设置安全组规则。 如果目标实例所属安全组 非默认安全组 ，请查看安全组规则是否允许该弹性云主机访问。具体操作请参考设置安全组规则。 如果安全组规则允许弹性云主机访问，即可连接实例。 如果安全组规则不允许弹性云主机访问，需要在实例安全组添加一条“入”的访问规则。 前提条件 创建弹性云主机，以Linux操作系统为例。详情请参见《弹性云主机快速入门》中购买弹性云主机的内容。 下载InfluxDB客户端，以Linux 64bit为例。 SSL连接 1. 登录弹性云主机，详情请参见《弹性云主机快速入门》中登录弹性云主机的内容。 2. 将InfluxDB客户端安装包上传到弹性云主机（可通过xftp等文件传输工具上传）。 3. 解压客户端工具包。 tar xzf influxdb1.7.9staticlinuxamd64.tar.gz 4. 在“influx”工具所在目录下，连接数据库实例。 通过如下命令进入InfluxDB目录。 cd influxdb1.7.91 连接GeminiDB Influx实例。 使用CCM签发的证书连接 生成证书并配置CCM证书请参考4.8.2 CCM私有证书配置。 ./influx ssl host port 示例： ./influx ssl host 192.xx.xx.xx port 8635 使用默认证书连接 ./influx ssl unsafeSsl host port 示例： ./influx ssl unsafeSsl host 192.xx.xx.xx port 8635 表1 参数说明 参数 说明 待连接节点的内网IP。 您可以在“实例管理”页面，单击实例名称，进入“基本信息”页面，在节点信息列表中获取“内网IP”。 如果您购买的实例有多个节点，选择其中任意一个节点的内网IP即可。 待连接实例的端口，一般默认为8635，且不可修改。 您可以在“实例管理”页面单击实例名称，进入“基本信息”页面，在“网络信息 > 数据库端口”处获取当前GeminiDB Influx实例的端口信息。 输入auth命令，进行身份验证。 auth 根据提示输入用户名和密码。 username： password： 表2 参数说明 参数 说明 管理员账户名，默认为rwuser。您可以在“实例管理”页面单击实例名称，进入“基本信息”页面，在“数据库信息”模块的“管理员账户名”处获取。 管理员密码。 5. 验证身份校验通过后，再输入命令 show databases 。 show databases 出现如下信息，表示已连接成功： name: databases name internal

本小节介绍HSS自定义策略。 目前支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 HSS自定义策略样例 示例1：授权用户查询主机防护列表 { "Version":"1.1", "Statement": [ { "Effect": "Allow", "Action": [ "hss:hosts:list" ] } ] } 示例2：拒绝用户卸载Agent 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。 如果您给用户授予“HSS Administrator”的系统策略，但不希望用户拥有“HSS Administrator”中定义的卸载Agent的权限（hss:agent:uninstall），您可以创建一条相同Action的自定义策略，并将自定义策略的Effect设置为“Deny”，然后同时将“HSS Administrator”和拒绝策略授予用户，根据Deny优先原则用户可以对HSS执行除了卸载Agent的所有操作。以下策略样例表示：拒绝用户卸载Agent。 { "Version":"1.1", "Statement": [ { "Effect": "Deny", "Action": [ "hss:agent:uninstall" ] }, ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务。多个授权语句策略描述如下： { "Version":"1.1", "Statement": [ { "Effect": "Allow", "Action": [ "hss:hosts:list" ] }, { "Effect": "Allow", "Action": [ "hss:hosts:switchVersion", "hss:hosts:manualDetect", "hss:manualDetectStatus:get" ] } ] }

本文介绍什么情况下弹性云主机会被冻结,冻结后怎么办。 如果没有及时续费或充值，在欠费后将冻结您账号下所有的按量资源，同时会发送短信及邮件提醒您。 当云主机资源被冻结后，您可通过续费或充值来解冻资源，恢复云主机正常使用。 资源冻结时：资源将被限制访问和使用，会导致您的业务中断。 资源解冻时：资源将被解除限制，但是需要您自行检查并恢复业务。 资源释放时：资源将被释放，存储在资源中的数据将被删除，数据无法找回。 建议您尽快续费或充值来解冻资源，否则在冻结15天后，存储在云主机中的数据将被删除、云主机资源将被释放。

本节介绍如何获取v1.0原子能力云主机对应的VNC地址。 在“一类节点”区域购买的v1.0资源，若用户需要连接原子能力资源配置的云主机，可通过“获取VNC”，获取VNC地址进行远程连接。 约束限制 仅“一类节点”区域购买的v1.0资源支持在云等保专区控制台获取VNC地址。云等保专区支持的区域请参见支持的区域。 前提条件 已购买对应原子能力资源，且资源状态为“运行中”。 获取VNC地址 以下以“主机安全v1.0”为例，介绍如何获取云主机的VNC地址。 1. 登录云等保专区控制台。 2. 在左侧导航栏，选择“主机安全 > 主机安全v1.0”，进入云等保专区的主机安全v1.0资源页面。 3. 在目标资源的操作列，单击“更多 > 获取VNC”。 4. 在弹出的“VNC信息”窗口中，单击“复制VNC”。 远程连接 1. 在本地计算机上安装VNC客户端软件或通过在线的VNC连接工具（例如 2. 打开VNC软件，在连接界面中输入获取的VNC地址。 3. 点击连接按钮后，VNC客户端会尝试与远程计算机建立连接。

本文介绍如何处理“不小心将CentOS根目录权限设置成777”的问题。当您出现类似问题时可参考本文。 问题描述 当您不小心执行了chmod R 777 /命令，导致CentOS云主机根目录以及下边的所有文件权限均被设置成了对所有用户都是可读、可写和可执行的。本文操作介绍如何修复该问题，但为了避免安全风险，建议您在进行完操作后立即备份数据并重装系统。 操作步骤 以下操作在CentOS8.0操作系统中进行了测试验证。 1. 不要退出故障云主机，在故障云主机上执行以下命令，修改ssh以及su相关的文件权限。 cd /etc chmod 644 passwd group shadow chmod 400 gshadow cd /etc/ssh chmod 600 moduli sshkey chmod 644 sshconfig ssh.pub chmod 640 R sshdconfig sshconfig.d chmod 711 /var/empty/sshd chmod u+s 'which su' 2. 执行systemctl status sshd 查看sshd状态，如果为错误状态，请查看错误原因，修改相关文件权限，直到sshd状态正常，然后进入下一步。 3. 创建一台权限正常的临时云主机：Linux操作系统，内核版本与故障云主机相同。 4. 执行以下命令，将所有文件的权限记录下来。 getfacl R / >systemp.bak 5. 使用scp命令将systemp.bak文件上传到故障云主机中，或者在故障云主机中下载该文件。 6. 在故障云主机中进行权限恢复操作。 setfacl restoresystemp.bak 7. 执行reboot命令重启操作系统。绝大多数系统文件的权限已经被恢复，但为了安全，请及时备份数据并重装系统。

本文主要介绍云原生网络2.0。 云原生网络2.0网络模型 云原生网络2.0是CCE的新一代容器网络模型，深度整合了虚拟私有云VPC的弹性网卡（Elastic Network Interface，简称ENI）和辅助弹性网卡（Sub Network Interface，简称SubENI）的能力，直接从VPC网段内分配容器IP地址，支持ELB直通容器，绑定安全组，绑定弹性公网IP，享有高性能。 图 云原生网络2.0 说明 物理机节点上Pod使用ENI网卡；ECS节点上Pod使用SubENI网卡，SubENI网卡通过VLAN子接口挂载在ENI上。 节点内Pod间通信：直接通过VPC的弹性网卡/弹性辅助网卡进行流量转发。 跨节点Pod间通信：直接通过VPC的弹性网卡/弹性辅助网卡进行流量转发。 约束与限制 仅CCE Turbo集群支持使用云原生网络2.0。 优缺点 优点 容器网络直接使用的VPC，网络问题易排查、性能最高。 支持VPC内的外部网络与容器IP直通。 可直接利用VPC提供的负载均衡、安全组、弹性公网IP等能力。 缺点 由于容器网络直接使用的VPC，消耗VPC的地址空间，创建集群前需要合理规划好容器网段。 适用场景 性能要求高，需要使用VPC其他网络能力的场景：由于云原生网络2.0直接使用的VPC网络，性能与VPC网络的性能几乎一致，所以适用于对带宽、时延要求极高的业务场景，比如：线上直播、电商秒杀等。 大规模组网：云原生网络2.0当前最大可支持2000个ECS节点，10万个容器。

本章节介绍如何删除路由规则 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称 ，也可以单击操作列中的管理按钮； 5. 单击左侧导航栏 路由配置 ； 6. 单击路由配置列表页操作列删除按钮； 结果验证 在路由配置页面，查看路由规则是否已被删除。

T6型弹性云主机的CPU积分 初始积分：1台t6云主机在创建成功后，会分到云平台分配的CPU积分，即初始CPU积分。初始CPU积分仅在创建时分配。 示例：以t6.large.1为例，云主机创建成功后，会分配60个CPU积分。 最大积分：当分配积分大于消耗积分时，CPU积分会越来越多。获得的积分在运行的云主机上不会过期，但每个云主机可累积获取的积分数存在上限，即CPU积分累积上限。不同的云主机规格，上限不同。 示例：以t6.large.1为例，最大CPU积分余额为576。当CPU积分达到576，CPU积分暂停累积，少于576时，重新开始累积。 CPU积分/小时：每小时云主机获取的CPU积分，与基准CPU计算性能对应。1个vCPU计算性能100%时，运行1分钟 ，消耗1个积分。 示例：以t6.large.1为例，CPU积分/小时为24，代表CPU积分分配速度为每小时24个CPU积分。 了解更多CPU计算方法请参考CPU积分计算方法。 表 T6型弹性云主机的CPU积分 规格名称 初始积分 最大积分 CPU积分/小时 t6.small.1 30 144 6 t6.large.1 60 576 24 t6.xlarge.1 120 1152 48 t6.2xlarge.1 120 1728 72 t6.4xlarge.1 160 3456 144 t6.medium.2 30 144 6 t6.large.2 60 576 24 t6.xlarge.2 120 1152 48 t6.2xlarge.2 120 1728 72 t6.4xlarge.2 160 3456 144 t6.large.4 60 576 24 t6.xlarge.4 120 1152 48 t6.2xlarge.4 120 1728 72

本节介绍云等保专区产品的定义及架构。 云等保专区是满足等保合规2.0云原生安全合规平台。云等保专区提供安全统一管理、传输安全、计算环境安全等安全合规能力，实现统一管理、统一运营，整体上降低等保建设难度和日常管理运营复杂度。 本产品为满足等保合规，提供一揽子安全原子能力，包括云安全中心、主机安全、Web应用防火墙、下一代防火墙、堡垒机、漏洞扫描、日志审计、数据库审计、数据分类分级、数据脱敏与水印，实现安全原子能力统一管理、统一运营，为用户侧等保合规需求提供便捷下单、自动化部署的能力。 产品架构 如下图所示，云等保专区产品基于天翼云基础设施资源，利用云原生安全技术，融合了堡垒机、Web应用防火墙（WAF）、日志审计、数据库审计、漏洞扫描、防火墙、主机安全、云安全中心，为用户提供一站式等保防护能力。 对于云上租户来说，每个用户的安全能力都是部署在独立的用户VPC中，这样将原子能力最小化的架构能够最大限度地保障用户的数据安全，同时也能满足不同用户的安全防护诉求，用户可基于自己的安全诉求，进行不同安全策略的设置。

资源池 状态 广州6 √ 合肥2 √ 湛江 √ 宁波边缘云 √ 西安5 √ 西宁政务云 √ 玉溪 √ 乌鲁木齐4 √ 厦门3 √ 十堰1 √ 福州4 √ 佛山3 √ 兰州2 √ 固原政务云 √ 吴忠政务云 √ 石嘴山政务云 √ 内蒙6 √ 襄阳 √ 南京4 √ 上海7 √ 西安4 √ 南宁2 √ 武汉4 √ 昆明2 √ 晋中1 √ 北京5 √ 南京3 √ 海口2 √ 成都4 √ 中卫2 √ 西宁2 √ 杭州2 √ 贵州3 √ 芜湖2 √ 拉萨3 √ 泉州1 √ 福州3 √ 重庆2 √ 西安3 √ 雄安2 √ 郴州2 √ 九江 √ 南京2 √

本节主要介绍怎么通过SNAT访问公网。 当多个云主机（弹性云主机、物理机）在没有绑定弹性IP的情况下需要访问公网，为了节省弹性IP资源并且避免云主机IP直接暴露在公网上，可以通过NAT网关共享弹性IP的方式访问公网，可以按照下图所示，实现无弹性IP的云主机访问公网。 图 无弹性IP的云主机访问公网流程图

本节主要介绍创建用户组并授权 管理员可以创建用户组，并给用户组授予策略或角色，然后将用户加入用户组，使得用户组中的用户获得相应的权限。IAM预置了各服务的常用权限，例如管理员权限、只读权限，管理员可以直接使用这些系统权限给用户组授权，授权后，用户就可以基于权限对云服务进行操作。 创建用户组 步骤 1 管理员使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击右上角账号名，在下拉列表中单击“账号中心”。 步骤 3 账号中心左侧导航栏中，单击“统一身份认证”。 步骤 4 统一身份认证左侧导航栏中，单击“用户组”。 步骤 5 在“用户组”管理界面中，单击“创建用户组”。 步骤 6 输入“用户组名称”和“描述”，单击“确定”。 返回用户组列表页，用户组列表中将显示新创建的用户组。 给用户组授权 以下步骤仅适用于给用户组新增权限。如需移除权限，请参见移除用户组权限。 步骤 1 企业管理员使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击首页顶部控制台，在控制中心页面“管理与部署”类中，单击“统一身份认证服务”。 步骤 3 在统一身份认证服务管理页面，单击左侧功能菜单“用户组”，单击待添加授权用户组右侧的 “授权”。 步骤 4 用户组选择策略页面中，勾选需要授予用户组的权限。单击“下一步”。 如果系统策略不满足授权要求，可以单击权限列表右上角的“新建策略”创建自定义策略，并勾选新创建的策略来进行精细的权限控制，自定义策略是对系统策略的扩展和补充。详情请参考创建自定义策略。 步骤 5 选择权限的作用范围。系统会根据您所选择的策略，自动推荐授权范围方案，便于为用户选择合适的授权作用范围，下表为IAM提供的所有授权范围方案。 表 授权范围方案 可选方案 方案说明 所有资源 IAM用户可以根据权限使用帐号中所有的区域项目、全局服务资源。 指定企业项目资源 选择指定企业项目，IAM用户可以根据权限使用该企业项目中的资源。 仅开通企业项目后可选。 如果您暂未开通企业项目，将不支持基于企业项目授权。 指定区域项目资源 选择指定区域项目，IAM用户可以根据权限使用该区域项目中的资源。如果选择作用范围为“区域项目”，且所勾选的策略包含全局服务权限，系统自动将全局服务权限的作用范围设置为所有资源，勾选的区域项目权限的作用范围仍为指定区域项目。 全局服务资源 IAM用户可以根据权限使用全局服务。全局服务部署时不区分物理区域。访问全局级服务时，不需要切换区域，如对象存储服务（OBS）等。 如果选择作用范围为“全局服务”，且所勾选的策略包含项目级服务权限，系统自动将项目权限作用范围设置为所有资源，勾选的全局服务权限的作用范围仍为全局服务。 步骤 6 单击“确定”，完成用户组授权。

参数 是否必填 参数类型 说明 示例 下级对象 volumeOid 是 String 云硬盘ID snapshotName 是 String 云硬盘快照名称（不能超过64个字符） description 是 String 云硬盘快照描述（不能超过250个字符"）

执行模式 云工作流集成工作流执行， 支持请求响应（RequestComplete）、等待系统回调（WaitForSystemCallback）和等待任务令牌（WaitForTaskToken）三种模式。执行模式详细介绍可查看服务集成模式。 示例代码与解析 对不同执行模式的工作流进行示例说明。 请求响应（RequestComplete）示例 plaintext specVersion: "0.8" name: "standarddemo" start: "ExecuteWorkflow" states: name: "ExecuteWorkflow" type: "Operation" metadata: {} stateDataFilter: {} actions: retryRef: [] catchRef: [] functionRef: type: "cloudflow:executeWorkflow" arguments: workflowName: "expressdemo" workflowType: "express" executionName: "test1" workflowInput: k1: "v1" regionId: "bb9fdb42056f11eda1610242ac110002" actionExecuteMode: "RequestComplete" end: true 以上工作流定义解析如下： type ：固定为Operation，标识这是一个Operation状态。 functionRef.type：固定为cloudflow:executeWorkflow。 functionRef.arguments：工作流执行输入参数， JSON格式。 actionExecuteMode ：示例使用RequestComplete，表示同步执行， 等待工作流执行结果。注意快速工作流仅支持RequestComplete模式。 等待任务令牌（WaitForTaskToken）示例 plaintext specVersion: "0.8" name: "standarddemo" start: "ExecuteWorkflow" states: name: "ExecuteWorkflow" type: "Operation" metadata: {} stateDataFilter: {} actions: retryRef: [] catchRef: [] functionRef: type: "cloudflow:executeWorkflow" arguments: workflowName: "standardforsystemcallback" workflowType: "standard" executionName: "test1" workflowInput: k1: "v1" taskToken: "{ $Context.taskToken }" regionId: "bb9fdb42056f11eda1610242ac110002" actionExecuteMode: "WaitForTaskToken" end: true 以上工作流定义解析如下： type ：固定为Operation，标识这是一个Operation状态。 functionRef.type：固定为cloudflow:executeWorkflow。 functionRef.arguments： 工作流执行输入参数， JSON格式； 另外在参数需要添加任务令牌{ $Context.taskToken }输入参数。 actionExecuteMode ：示例使用WaitForTaskToken，表示等待任务令牌，仅标准工作流可设置。 当前状态执行完成需要等待到用户用户获取TaskToken后通过ReportTaskSuccess或ReportTaskFailure OpenApi触发回调，继续执行。

本节主要介绍安全组的组成、产品优势、应用场景和使用限制。 安全组概述 安全组用于虚拟机的出入流量的访问控制，其由一系列的安全组规则组成，是云上网络安全防护的主要方式。安全组通过设置的规则实现具体的访问控制，当虚拟机实例或者网卡加入到对应安全组后，即受到这些规则的保护。安全组具备有状态的特性，即数据包在入方向是被允许的，则对应此连接在出方向也自动被允许，反之亦然。 根据业务的访问控制需求，可以创建自定义安全组，也可以在默认安全组中添加或者删除安全组规则来调整安全访问策略。 每个虚拟机实例或者网卡至少加入一个安全组，可以同时加入多个安全组。 默认安全组 系统默认为用户创建的安全组，不同安全组规则不同，具体规则可进入安全组详情页查看。 安全组规则 安全组规则由源/目的IP、协议、端口、策略（允许或者拒绝）和优先级组成，其包括入方向和出方向的规则。 应用场景 根据业务的安全访问控制需求，为不同的应用使用不同的安全组，确保应用之间的安全隔离。 针对公网和混合云方向做安全隔离，使对应的虚拟机只对外暴露相关的服务协议和端口，防止额外的端口暴露，确保应用安全。 产品优势 灵活配置：安全组可基于业务需求实时调整对应的安全规则。 访问隔离：通过不同的安全组设置，实现了不同虚拟机之间的访问控制隔离。