2.5 选择内存大小及CPU数 选择内存大小和CPU核数。分配给虚拟机的内存大小和CPU数不能超过宿主机拥有的内存大小和CPU数。这里根据实际情况分配足够大的内存及CPU数即可。本示例中只安装一个最小化的系统，不需要很多内存和CPU，这里选择默认配置，直接点击“Forward”。 2.6 创建磁盘镜像 根据实际情况，选择虚拟硬盘的大小。根据实际情况选择即可。需注意虚拟机硬盘不能太小，否则可能后续无法安装所需的软件包等。最终系统盘实际占用空间不能超过物理机的系统盘大小。本示例中只安装一个最小化的系统，不需要太多的硬盘空间，可以选择默认大小40GiB，本文由于设备空间问题选择35GiB后，点击“Forward”。 2.7 设置虚拟机名称、网络、启动方式 在“名称”文本框中输入虚拟机的名字，这个名字也会作为磁盘镜像的名字。磁盘镜像默认在/var/lib/libvirt/images/虚拟机名字.qcow2，后面转换镜像格式需要用到这个镜像，需要记下这个路径。这里名称我们使用“win2016”。 “选择网络”处使用默认的虚拟网络即可。 x8664架构的服务器一般支持BIOS和UEFI两种启动方式。其中UEFI是较新的启动方式，BIOS是为了兼容而保留的旧启动方式。您制作的镜像的启动方式应和物理机的启动方式保持一致。 vritmanager默认创建的虚拟机是BIOS启动方式。如果您使用BIOS方式启动系统，点击“完成”创建虚拟机即可。 设置UEFI启动方式： 如果您打算使用UEFI方式启动系统，还需要进行一些额外的配置。勾选“在安装前自定义配置”，然后点击“完成”。 这时会有界面进行更细致的配置。在左侧选择“概况”，修改“固件”，从BIOS改为UEFI。点击右下角的“Apply”，保存配置。此时虚拟机支持的启动固件就从BIOS变为UEFI。 接下来修改启动顺序。在左侧选择“引导选项”，引导设备顺序从“VirtIO 磁盘1”改为“SATA CDROM 1”、“VirtIO 磁盘1”（勾选“SATA CDROM 1”，然后用右侧的上下箭头调整启动顺序）。点击右下角的“Apply”，保存配置。 此时虚拟机优先从光驱启动，若光驱中没有可启动的光盘镜像，则会从虚拟磁盘启动。我们的虚拟磁盘上还没有安装操作系统，此时无法从虚拟磁盘启动，需要从光驱启动。虚拟光驱中有我们前面选择的系统安装光盘镜像。 当系统安装完成后，virtmanager会自动弹出虚拟光驱中的系统安装光盘镜像，然后重启。此时虚拟光驱中无可启动的光盘镜像，会从虚拟磁盘启动。 点击左上角的“开始安装”，此时启动虚拟机，并开始安装系统。后续安装过程和BIOS方式启动安装系统几乎一样，只是分区时需要确保有EFI分区，在分区一节中我们会再强调。

子账号使用流程 前置条件 子账号为IAM普通用户角色且已登录到一站式智算平台 主账号使用流程 若子账号为IAM管理员角色，则其拥有全部操作权限，操作流程和主账号别无二致，故角色为IAM管理员的子账号使用流程参见主账号使用流程章节；角色为IAM普通用户的子账号，使用流程如下： 子账号的使用流程主要是为了进行任务作业，具体步骤如下： 流程 子任务 说明 详细指导 数据集准备与处理 创建基础数据集 可上传基础数据集到ZOS或HPFS 基础数据集 数据集准备与处理 创建标注数据集 创建标注数据集，可对数据集进行标注，并发布为新的数据集 标注数据集 数据集准备与处理 数据清洗 可以对数据 数据处理 镜像准备 预置镜像 预置镜像即平台预先设置的完整镜像，可直接用于创建任务时使用 预置镜像 镜像准备 自定义镜像 可以通过开发机自主制作镜像或通过天翼云容器镜像服务将镜像服务内的容器共享给一体化智算平台 自定义镜像 镜像准备 他人分享镜像 可将自己的镜像分享给他人使用 镜像分享 代码准备 导入代码包 将代码上传到平台 我的代码包 模型准备 导入模型 可将用户自己的模型或在平台训练、精调好的模型导入到平台进行版本管理、评估及部署 我的模型 AI作业 模型开发 可通过启动和管理在线JupyterLab或VSCode集成开发环境在线编程进行模型开发 开发机 AI作业 模型训练 创建自定义创建训练任务，支持单机和多机分布式训练 训练任务 AI作业 模型精调 零代码快速创建和管理精调任务，提供全参微调和lora微调两种精调方式。基于平台的基础大模型，选择训练数据集和算力即可快速启动精调任务。 模型精调 AI作业 模型评估 可对模型进行评估，自动评估打分，生成评估报告 模型评估 AI作业 模型压缩 不减少模型效果的前提下压缩模型大小，进而提升模型在推理调用时的性能 模型压缩 AI作业 模型部署 部署模型，提供推理服务 模型服务 AI作业 体验模型 可以对预置模型和自己部署的模型进行体验 体验中心 综合管理 工作空间管理 查看工作空间相关信息，若是工作空间的管理员可以进行相关操作 工作空间 综合管理 操作审计 对平台操作事件进行跟踪 操作审计

共享云硬盘的优点 多挂载点：单个共享云硬盘最多可同时挂载给16台云主机，既可以挂载至天翼云云主机，也可以挂载至天翼云物理机，灵活部署不同类型的工作负载。 高性能：高IOPS (Input/Output Operations Per Second)，低时延，满足现代应用的需求。 共享云硬盘的规格性能 共享云硬盘的规格性能与普通云硬盘规格性能一致，详情请参见产品规格。 共享云硬盘的数据共享原理 共享云硬盘本质上就是将同一块云硬盘挂载到多台云主机上。由于每一台云主机均可以在任意时刻对该云硬盘任意区域的数据进行读写，如果这些云主机之间没有相互约定读写数据的规则，将会导致这些云主机读写数据时相互干扰，以致出现不可预知的错误。 想要确保云主机在访问过程中不互相干扰，确保读写次序和读写意义，必须通过一个集群来对读写进行集中管理与调度，因此用户在实际使用过程中务必确保自行部署集群系统，如企业应用中常见的Windows MSCS集群、Linux RHCS集群和CFS集群应用等。 如果使用共享云硬盘的过程中并没有通过集群进行管理，有可能导致以下问题： 读写冲突导致数据不一致 当两台弹性云主机同时挂载了同一块共享云硬盘却没有在一个集群系统中进行管理时，这两台云主机无法感知对方的具体存储空间是否已被使用，可能导致存储空间的重复分配，最终导致空间分配冲突使得数据出错的情况。 比如，将一块共享云硬盘格式化为ext3文件系统后挂载给云主机A和云主机B，云主机A在某一时刻向云硬盘上的区域C和区域D写了文件系统的元数据，下一时刻云主机B又向区域E和区域D写了自己的元数据，则云主机A写入的数据将会被替换，随后读取区域D的元数据时即会出现错误。 数据缓存导致数据不一致 当两台弹性云主机同时挂载了同一块共享云硬盘却没有在一个集群系统中进行管理时，其中一台假定为云主机A，另一台为云主机B，云主机A将读取来的数据记录在缓存区域中，云主机A上的其他进程读取数据时，可直接去读缓存区域的数据提高效率，而云主机B若修改了缓存区域的数据，云主机A是无法感知数据变化的，此时若继续读取缓存，则会导致读取的数据不一致情况。比如，将一块共享云硬盘格式化为ext3文件系统后挂载给云主机A和云主机B，两台云主机均将文件系统的元数据进行了缓存，此后用户在云主机A中创建了一个新的文件File，但云主机B并无法感知该修改，依旧从缓存中读取数据，导致用户在云主机B中无法看到文件File。 除此之外，还可能会导致存储性能下降，读写速度变慢，响应时间延长等问题。

部署构建包 通过部署服务，可将软件发布库中的软件包部署到虚拟机，并启动运行。 步骤 1 配置目标主机。 1. 单击导航栏“设置 > 通用设置 > 基础资源管理”。 2. 单击“新建主机集群”，输入集群名称“hosts”、选择操作系统“Linux”、关闭“使用代理机接入”开关，单击“保存”。 3. 单击“新增目标主机”，在弹框中配置以下信息，勾选同意声明后，单击“添加”。 表 新增目标主机 配置项 配置建议 主机名 输入自定义主机名称。为了方便辨认，可与在准备工作中购买的ECS的名称保持一致。 IP 输入在准备工作中购买的ECS的IP。 用户名 输入“root”。 密码 输入在准备工作中购买的ECS时设置的密码。 ssh端口 输入“22”。 4. 页面显示一条主机记录，当“连通性验证”列的值显示为“成功”，表示主机添加完成。 步骤 2 单击导航栏“持续交付 > 部署”，进入部署服务。页面中显示自动创建的应用“WebDemodeploy”。 说明 本文使用的是代码仓库模板关联的内置应用。 实际开发项目需要单击“新建应用”，根据业务场景自主创建应用，详细操作请参考“ 步骤 3 单击，在下列表中选择“编辑”，进入编辑页面。 步骤 4 选择“环境管理”页签，配置主机环境。 1. 单击“新建环境”，输入环境名称“hostgroup”、选择资源类型“主机”、操作系统“Linux”，单击“保存”。 2. 列表中新增一条环境记录，单击环境名称，在滑出的窗口中选择“资源列表”页签。 3. 单击“导入主机”，在弹框中的下拉列表中选择步骤1中创建的主机集群，并在列表中勾选主机，单击“导入”。 4. 页面提示导入成功，关闭此窗口。 步骤 5 选择“参数设置”页签，参考下表配置参数。 参数名 参数值 hostgroup 选择步骤4中添加的环境名称“hostgroup”。 packageurl 无需此参数，单击对应行删除。 serviceport 输入“8080”。 packagename 输入“demoapp”。 步骤 6 选择“部署步骤”页签，配置部署步骤。 停止SpringBoot服务：首次执行时，由于目标主机上还未有服务，执行该步骤会失败，因此不勾选“启用”选项。 安装JDK：修改jdk版本为“openjdk1.8.0”。 选择部署来源：参考下表进行配置。 表 部署来源配置 配置项 值 选择源类型 选择“构建任务”。 请选择构建任务 选择“WebDemocloudbuild”。 下载到主机的部署目录 输入“/usr/local/${packagename}/”。 URL健康测试：此步骤可有可无，根据需要选择是否启用（本文不勾选“启用”选项）。 步骤 7 单击“保存并部署”。若出现弹窗，请确认参数设置准确后，单击“确定”。 待页面显示。若部署失败，请参照《部署常见问题》排查。 步骤 8 查看部署结果。 打开一个新的浏览器页面，输入访问地址“ 若出现以下访问结果，表示部署成功。 图 部署结果

功能 说明 缓存过期时间指源站资源在边缘节点缓存的最大时长，超过该时长，资源将会被边缘节点标记为已过期。如果客户端请求的资源在边缘节点上已过期，边缘节点会回源获取最新资源缓存到边缘节点上，供其他请求使用。支持按后缀名、目录、首页、全部文件、全路径文件类型进行缓存。您可以根据业务需求，按指定路径或文件名后缀配置静态资源的缓存过期时间。 当边缘节点从源站获取资源时，源站会返回响应状态码，您可在客户控制台上配置状态码过期时间，边缘节点会将源站返回的状态码缓存在本地，在状态码过期前，客户端若再次向全站加速节点发起相同资源的请求，边缘加速节点将直接响应缓存的状态码，不会回源请求，可有效减轻源站服务器的压力。当状态码在边缘节点上的缓存时间过期后，客户端再次请求该资源将回源请求。 当页面访问出错时，客户端会显示默认错误页面，例如：404 Not Found。默认的报错页面通常不美观，会带给用户不好的体验。为了帮助客户优化用户体验，边缘节点支持配置以下功能：当出现指定错误码的时候，能够让用户跳转到客户自定义页面。 当客户源站的内容存放路径发生了变更，边缘节点上的内容存放路径也发生了变更，但是用户请求URL里面包含的内容路径没有变更，这时就需要边缘节点改写用户请求里面的内容路径。例如：点播文件原先存放在目录“/stream/”，现在变更为“/vod/”。技术实现方式是通过响应302状态码重定向的方式，让客户端取302响应里面的Location的新URL，重新向边缘节点发起访问，确保用户能获得正确的内容。 缓存key是一个文件缓存在边缘节点上时的唯一标识，缓存文件和缓存key是一对一的关系。通常默认情况下，缓存key为客户端请求的原始。 HTTP响应头是HTTP响应消息头的组成部分之一，可携带特定响应参数并传递给客户端。配置自定义HTTP响应头后，当用户请求加速域名下的资源时，边缘安全加速平台—安全与加速服务返回的响应消息会携带您配置的响应头，从而实现特定功能。跨域资源共享（CrossOrigin Resource Sharing，简写为CORS）简称跨域访问，是HTML5提供的标准跨域解决方案，允许Web应用服务器进行跨域访问控制，实现跨域数据的安全传输。当客户的业务需要跨域共享或者访问资源时，客户可以通过自定义HTTP响应头来实现。

此小节介绍云堡垒机的访问控制策略。 新建访问控制策略并关联用户和资源账户 访问控制策略用于控制用户访问资源的权限。 访问控制策略支持以下功能项： 1. 支持按策略列表页策略排序区分优先级，排序越靠前优先级越高。 2. 策略基本限制和授权功能，包括使用有效期、登录时段限制、用户IP限制、文件传输权限、文件管理权限、RDP剪切板功能、运维水印显示功能等维度。同时可通过关联用户组或帐户组，批量授权访问控制权限。 约束限制 授权文件上传/下载权限，需同时开启“文件传输”和“文件管理”。 前提条件 已获取“访问控制策略”模块操作权限。 操作步骤 1. 登录云堡垒机系统。 2. 选择“策略 > 访问控制策略”，进入策略列表页面。 3. 单击“新建”，弹出策略基本属性配置窗口。 选择一个策略，单击“更多 > 插入”，亦可新建访问控制策略。配置完成后，在已创建的策略前新建一个策略。 4. 配置策略基本信息。新建访问控制策略： 访问控制策略基本信息参数说明 参数 说明 策略名称 自定义的访问控制策略名称，系统内“策略名称”不能重复。 有效期 选择策略生效时间和策略的失效时间。 文件传输 在运维过程中上传和下载文件权限。 勾选代表允许对文件上传或下载. 不勾选代表禁止对文件上传或下载。 更多选项 在运维过程中管理文件或文件夹权限，RDP剪切板和会话窗口显示水印功能。 SSH和RDP协议主机支持文件管理。 VNC协议主机不能直接文件管理，但可通过应用发布方式实现文件管理 Telnet协议主机不支持文件管理。 登录时段限制 选择登录资源的时间段权限。 IP限制 限制/允许用户“来源IP”访问资源。 选择“黑名单”，配置相应IP或IP网段，即限制该IP或IP网段用户登录资源。 选择“白名单”，配置相应IP或IP网段，即仅允许该IP或IP网段用户登录资源。 IP地址缺省状态下，即不限制用户IP登录资源。 5. 单击“下一步”，关联用户或用户组。 可同时配置关联多个用户或用户组。 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。 关联用户 6. 单击“下一步”，关联资源账户或帐户组。 可同时配置关联多个资源账户或资源账户组。 当资源账户组关联策略后，新资源账户加入到帐户组中会自动继承帐户组的策略权限。 关联资源账户 7. 单击“确定”，返回策略列表页面查看新建策略。 授权用户即可在“主机运维”或“应用运维”列表页面，查看和登录资源。 “关联用户”和“关联用户组”中用户需拥有资源运维的权限，即“角色”已配置主机运维或应用运维。否则用户登录系统后无法查看资源运维模块，不能进行运维登录操作。

介绍分布式消息服务Kafka重置消费位置功能操作内容。 场景描述 Kafka重置消费位置的场景包括以下几个： 初次消费：当一个新的消费者加入到Kafka集群时，它需要从某个位置开始消费消息。在这种情况下，可以将消费位置重置为最早的消息或最新的消息。 消费者组重置：当消费者组中的消费者发生变化，如新增或退出消费者，可能需要重置消费位置。在这种情况下，可以将消费位置重置为最早的消息或最新的消息。 消费者出现故障：当消费者发生故障，并且需要将其替换或修复时，可能需要重置消费位置。在这种情况下，可以将消费位置重置为最早的消息或最新的消息，以确保新的消费者能够从正确的位置开始消费。 消费者重新处理消息：在某些情况下，消费者可能需要重新处理之前已经消费过的消息。这可能是由于消费者的处理逻辑发生变化，或者需要重新计算之前的结果。在这种情况下，可以将消费位置重置为指定的消息位置，以便消费者重新处理消息。 消费者消费速度过慢：当消费者的处理能力不足，无法及时消费消息时，可能需要重置消费位置。在这种情况下，可以将消费位置重置为最新的消息，以便消费者能够跳过堆积的消息，从最新的消息开始消费。 操作步骤 Tips：目前消费只能重置72小时内的消息，可选择72小时内时间点重置。 （1）登录管理控制台。 （2）进入Kafka管理控制台。 （3）在实例列表页在操作列，目标实例行点击“管理”。 （4）点击“消费组管理”后进入消费组管理页面。 （5）在目标消费组所在行，点击其右侧的“更多”，在下拉框中单击“重置消费位置”。 （6）出现重置消费位置窗口后，可以选择从最新点位开始消费、从最旧点位开始消费、按时间点进行消费位置重置、重置消费点位到附近n条。 四种重置方式试用场景如下： 从最新点位开始消费：将消费者的消费位置重置为最新的消息。这意味着消费者将从当前Kafka主题的最新消息开始消费，忽略之前已经产生的消息。这种方式适用于只关注最新消息的场景，如实时监控或日志记录。 从最旧点位开始消费：将消费者的消费位置重置为最早的消息。这意味着消费者将从当前Kafka主题的最早消息开始消费，包括之前已经产生的消息。这种方式适用于需要处理全部消息历史记录的场景，如数据重播或数据分析。 按时间点进行消费位置重置：将消费者的消费位置重置为指定的时间点。这意味着消费者将从指定时间点之后的消息开始消费，可以精确地选择消费的起始位置。这种方式适用于需要从特定时间点开始消费的场景，如数据回溯或重新处理。 重置消费点位到附近n条：将消费者的消费位置重置到指定的消费位点上，这个是分区级别的，因此可以更加精确地选择消费的起始位置。这种方式适用于需要从特定位点开始消费的场景，如数据回溯或重新处理。

本章节为您介绍如何对接天翼云云日志管理服务 Web应用防火墙（原生版）已对接云日志服务，目前需手动配置开启，需提交工单申请。 约束限制 云日志服务中对应的存储容量若已满，WAF不会删除旧日志，需要您手动及时扩容，否则无法存入新的日志。 使用过程中，请不要删除对应，若删除会导致推送至云日志服务的日志丢失，且无法找回。 目前仅支持转存至华东1资源池的云日志服务。 开启步骤 1.在天翼云官网购买云日志服务。 2.在管理控制台提交工单，联系天翼云技术支持为您手动对接云日志服务，请参照下表中的内容提前准备相关信息。 参数 字段说明 用户id 用户唯一身份标识，可在统一身份认证控制台查看。 AK/SK 访问云资源时的身份凭证，如何获取请参考：如何获取AK/SK？ 日志项目（可选） 在云日志服务中创建的日志项目，可参考：管理日志项目。 不可选择默认项目：wafproject。 日志项目ID（可选） 提供日志项目对应的日志项目ID，可在云日志服务控制台查看。 日志单元（可选） 在云日志服务中创建的日志单元，可参考：管理日志单元。 不可选择默认单元：wafattackunit 日志单元ID（可选） 提供日志单元对应的日志单元ID，可在云日志服务控制台查看。 上传域名（可选） 提供需要上传日志至云日志服务的域名，若不提供则上传对应用户下的所有防护域名。 攻击类型（可选） 提供需要上传的防护事件类型，若不提供默认上传所有防护事件类型。 防护事件目前可选择：核心Web攻击事件、CC攻击事件、智能BOT事件、IP/地域黑名单、攻击惩罚。 3.待处理完成后，即可在云日志服务控制台查看日志信息，下表为日志字段说明。 规则类型 Code Name 对应产品模块 系统规则 sysrule Web 基础防护模块 CC 规则 ccrule CC 防护模块 BOT 规则 botrule BOT 防护模块 精准防护规则 userdefinedrule 精准防护模块 IP 规则 iprule IP 防护模块 地域规则 georule 地域防护模块 规则白名单 sysrulewhitelist Web 基础防护模块系统规则白名单 响应信息检测规则 responserule 响应信息检测与脱敏模块 QPS超限规则 qpsexceeded 访问控制模块 带宽超限规则 bandwidthexceeded 访问控制模块 Cookie 防篡改 cookietamperproof Cookie 防篡改模块 隐私屏蔽 privacymask 隐私屏蔽模块 防护白名单规则 protectionwhite 防护白名单 攻击惩罚规则 attackpenalty 攻击惩罚 增强BOT规则 enhancebotrule BOT防护模块 全局IP黑白名单规则 globaliprule 全局IP黑白名单模块 全局防护白名单规则 globalprotectionwhite 全局防护白名单模块 全局精准防护规则 globaluserdefinedrule 全局精准防护模块

此小节介绍企业主机安全创建策略组。 您可根据自己服务器不同使用情况创建对应的策略组，创建后可对目标服务器进行更有力的扫描检测。 约束限制 需开启高级版、企业版、旗舰版、网页防篡改版、容器版中任一版本。 前提条件 已购买旗舰版。 注意 目前仅支持对旗舰版的策略组进行自定义创建，若没有开启旗舰版防护的主机，创建后不会生效。 创建策略组 以下以旗舰版的Linux策略为例。 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在左侧导航栏，选择“安全运营 > 策略管理”，进入“策略管理”界面，查看显示的策略组，字段说明如表所示。 说明 tenantlinuxcontainerdefaultpolicygroup：容器版linux系统预置策略，仅可被查看，不可复制和删除。 tenantlinuxenterprisedefaultpolicygroup：企业版linux系统预置策略，仅可被查看，不可被复制和删除。 tenantwindowsenterprisedefaultpolicygroup：企业版windows系统预置策略，仅可被查看，不可被复制和删除。 tenantlinuxpremiumdefaultpolicygroup：旗舰版linux系统预置策略，可通过复制该策略组来创建新的策略组。 tenantwindowspremiumdefaultpolicygroup：旗舰版windows系统预置策略，可通过复制该策略组来创建新的策略组。 可在列表右上角单击 ，手动刷新当前列表。 可单击关联服务器数的数量，查看策略组关联的服务器。 策略组列表字段说明 字段 说明 策略组名称 策略组的名称。 ID 策略组的ID号，对策略组的唯一标识。 描述 对策略组的描述。 支持的版本 策略组支持的主机安全的版本。 5、选择tenantlinuxpremiumdefaultpolicygroup或tenantwindowspremiumdefaultpolicygroup策略组，单击该策略组“操作”列的“复制”。以下以Linux策略组为例。 复制策略组 6、在弹出的对话框中，输入“策略组名称”和“描述”。 策略组的名称不能重复，如果尝试通过复制来创建一个同名的策略组，将会失败。 “策略组名称”和“描述”只能包含中文、字母、数字、下划线、中划线、空格，并且首尾不能为空格。 创建策略组 7、单击“确认”，将会创建一个新的策略组。 8、单击已创建的策略组名称，进入策略组的策略页面。 Linux策略组详情 9、单击策略名称，修改具体的策略内容，详细信息请参见8.1.3 编辑策略内容。 10、策略内容修改完成后，单击策略所在行的“开启”或者“关闭”，开启或者关闭对应的策略。

弹性资源池队列管理 1.在左侧导航栏单击“资源管理 > 弹性资源池”，可进入弹性资源池管理页面。 2.选择要操作的弹性资源池，在“操作”列，单击“队列管理”，进入弹性资源池队列管理界面。 3.在队列管理界面会显示添加的所有队列列表信息。具体参数说明如下： 弹性资源池队列管理界面参数说明 参数名 参数描述 名称 弹性资源池添加的队列名称。 类型 弹性资源池添加的队列类型。 SQL队列。 通用队列。 时间段 弹性资源池队列扩缩容策略的开始和结束时间范围。时间区间包括开始时间，不包括结束时间即[开始时间,结束时间) 最小CUs 弹性资源池队列扩缩容策略配置的最小CU数。 最大CUs 弹性资源池队列扩缩容策略配置的最大CU数。 优先级 弹性资源池队列扩缩容策略的优先级。优先级范围为1到100，数字越小，优先级越低。 执行引擎 添加的队列类型为“SQL队列”时执行引擎为spark。 添加的队列类型为“通用队列”时执行引擎可以是spark和flink，当前界面显示为。 创建时间 弹性资源池添加队列的时间。 企业项目 队列所属的企业项目。 弹性资源池支持添加不同企业项目的队列资源。 所有者 弹性资源池添加队列的用户名。 操作 编辑：重新修改或者添加弹性资源池队列的扩缩容策略。 删除：删除当前弹性资源添加的队列。 4. 选择要操作的队列，在“操作”列，单击“编辑”，进入到编辑队列界面。 5.在编辑队列界面，根据您当前操作场景，分别对应以下操作： 新增扩缩容策略 ：单击“新增”，添加新的扩缩容策略，分别对“优先级”、“时间段”、“最小CU”和“最大CU”参数设置，单击“确定”完成操作。 修改扩缩容策略 ：直接修改已有记录的扩缩容策略参数，单击“确定”完成操作。 删除扩缩容策略 ：在对应扩缩容策略所在行单击“删除”，单击“确定”删除已有的优先级设置。 说明 “优先级”和“时间段”参数说明如下： 优先级：默认为1，设置范围为1100，参数值越大优先级越高。 时间段： 时间段设置仅支持整点，时间区间包括开始时间，不包括结束时间即[开始时间, 结束时间)。 例如当前选择的时间段范围为：0117，则表示当前规则时间范围为[01, 17)。 不同优先级的时间段区间不能有交集。 最大最小CU： 在全天的任意一个时间段内，弹性资源池中所有队列的最小CU数之和必须小于等于弹性资源池的最小CU数。 在全天的任意一个时间段内，弹性资源池中任意一个队列的最大CU必须小于等于弹性资源池的最大CU。 6.设置完成后，单击“结果图形化”，查看所有队列的扩缩容策略设置情况。 7.后续到了队列扩缩容策略配置的时间，会生成一个扩缩容任务。具体可以在“作业管理 > SQL作业”下查看作业类型为“SCALEQUEUE”的作业。

本节主要介绍步骤二：查询迁移进度 迁移进度展示了迁移过程中，实时迁移任务的表迁移进度，可以帮助您了解迁移完成的情况。 DRS提供流式进度展示，帮助您在迁移过程中实时了解迁移进展。全量迁移过程中，展示迁移进度总览和迁移明细。 进度总览中，您可以查看结构、数据、索引迁移的进度，当显示为100%时，表示该项迁移完成。过程中，数据和索引的迁移相对较慢。 迁移明细中，您可以查看具体迁移对象的迁移进度，当“对象数目”和“已迁移数目”相等时，表示该对象已经迁移完成，可通过“查看详情”查看每个对象的迁移进度。增量迁移中，“进度明细”将不再显示，您可以使用“迁移对比”页签查看一致性情况。 说明 目前仅MySQL到MySQL迁移的白名单用户该支持查看迁移明细，需要提交工单申请才能使用。 在任务未结束前，不能修改源库和目标库的所有用户、密码和用户权限等。 全量、增量完成不代表任务结束，如果存在触发器和事件将会进行迁移。 前提条件 已登录数据库复制服务控制台。 已启动迁移任务。 操作步骤 1、在“实时迁移管理”界面，选中指定迁移任务，单击任务名称，进入“基本信息”页面。 2、单击“迁移进度”页签，查看迁移进度。 查看结构、数据、索引的迁移的百分比进度。 “全量迁移”模式：当全量迁移完成时，显示全量迁移各项指标完成进度100%。 “全量+增量”迁移模式：全量迁移完成后，开始进行增量迁移可，在“迁移进度”页签下，查看增量迁移同步时延。 图 迁移进度总览 增量迁移时延也可在“实时迁移管理”界面查看，当增量时延超过用户设置或系统默认的时延阈值时，任务管理界面增量时延显示为红色。 说明 时延 源库当前系统时间 成功同步到目标库的最新一个事务在源库的提交成功时间。 一个事务同步的完整过程如下： 源端数据库的抽取； 经过网络的传输； 由DRS进行日志解析； 最终在目标数据库上的执行完成。 这样完成了事务从源到目标的同步，时延为该事务最后在目标数据库上执行完成时的源库当前系统时间（currenttime）与该事务在源库的提交成功时间（committedtime）的时间差，时延为0代表源和目标瞬时一致，无新的事务需要同步。 注意 长时间未提交事务和频繁DDL操作均可以造成高时延。 查看迁移对象的进度。在“进度明细”下，单击目标迁移对象“详细信息”列的“查看详情”，查看对象的迁移进度，进入增量迁移后，该数据将不再显示，您可以使用“迁移对比”页签，进行一致性对比。 图 迁移进度明细 查看读写数据性能。单击“监控图表”查看读写数据性能，该图表展示了实时读取源库和写入目标库数据的速率，其单位为MB/s。 图 性能监控

本章节主要介绍ALM18022 Yarn队列资源不足的告警。 告警解释 告警模块按60秒周期检测Yarn队列资源，当队列可用资源或队列AM（ApplicationMaster）可用资源不足时，产生该告警。 当可用资源充足时，该告警自动消除。 告警属性 告警ID 告警级别 是否自动清除 18022 次要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 队列名 产生告警的队列名。 队列指标名 产生告警的队列指标名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 应用任务结束时间变长。 新应用提交后长时间无法运行。 可能原因 NodeManager节点资源过小。 队列最大资源容量设置过小。 AM最大资源百分比设置过小。 处理步骤 检查告警详情 1.在FusionInsight Manager界面，选择“运维 > 告警 > 告警”，弹出告警页面。 2.查看“Yarn队列资源不足”告警详情中的“定位信息”，查看“定位信息”是否为“队列名root;队列指标名Memory”或“队列名root;队列指标名vCores”。 是，执行步骤3。 否，执行步骤4。 3.出现该定位信息表示Yarn集群内存或CPU不足，登录NodeManager节点，分别使用命令free g和 cat /proc/cpuinfo ，查询节点可用内存和可用CPU，据此在FusionInsight Manager界面增大Yarn NodeManager的资源参数“yarn.nodemanager.resource.memorymb”和“yarn.nodemanager.resource.cpuvcores”的值，然后重启NodeManager实例。查看该告警是否消除。 是，处理完毕。 否，执行步骤4。 4.查看“定位信息”为“队列名 ;队列指标名Memory”或“队列名 ;队列指标名vCores”，然后查看“附加信息”是否包含“available Memory ”或“available vCores ”。 是，执行步骤5。 否，执行步骤7。 5.出现该附加信息表示该租户队列内存或者CPU不足，选择“租户资源 > 动态资源计划 > 资源分布策略”，调大“最大资源容量”的值，查看该告警是否消除。 是，处理完毕。 否，执行步骤6。 6.选择“集群 > 待操作集群的名称 > 服务 > Yarn >配置 > 全部配置”，输入搜索关键字“threshold”，单击“ResourceManager”，调整如下参数阈值： 如果“附加信息”中包含“available Memory ”，调整“yarn.queue.memory.alarm.threshold”的阈值使其小于“附加信息”中的“available Memory ”的值。 如果“附加信息”中包含“available vCores ”，调整“yarn.queue.vcore.alarm.threshold”的阈值使其小于“附加信息”中的“available vCores ”的值。 等待5分钟，查看该告警是否消除。 是，处理完毕。 否，执行步骤9。 7.查看“附加信息”包含“available AmMemory ”或“available AmvCores ”，表示该租户队列的ApplicationMaster内存和CPU不足，选择“租户资源 > 动态资源计划 > 队列配置”，增大“AM最大资源百分比”，查看该告警是否消除。 是，处理完毕。 否，执行步骤8。 8.选择“集群 > 待操作集群的名称 >服务 > Yarn > 配置 > 全部配置”，输入搜索关键字“threshold”，单击“ResourceManager”：调整如下参数阈值： 如果“附加信息”包含“available AmMemory ”，调整“yarn.am.memory.alarm.threshold”的阈值使其小于“附加信息”中的“available AmMemory ”的值。 如果“附加信息”包含“available AmvCores ”，调整“yarn.am.vcore.alarm.threshold”的阈值使其小于“附加信息”中的“available AmvCores ”的值。 等待5分钟，查看该告警是否消除。 是，处理完毕。 否，执行步骤9。

本节介绍了修改pghba配置的操作场景、约束限制和操作步骤等相关内容。 操作场景 您可以配置指定数据库的pghba，以保证可以正常连接到数据库。 约束限制 变更中的实例，不可进行该操作。 备份恢复的所有实例都不会继承原实例的pghba配置，需要重新配置。 METHED当前只支持配置md5、reject、scramsha256这三种认证方式的一种。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页。 步骤 5 在左侧导航栏，单击“账号管理”，选择“pghba修改”。 系统默认创建了四条规则。 步骤 6 该默认规则可以修改和删除，并支持手动添加新规则。操作完成后，在列表上方单击“提交”，在弹框中，单击“确认”。各配置项说明请参见下表。 说明 提交修改后的新配置仅对新连接生效，对于旧连接，需要您断开已有连接后重新连接才能生效。 表 参数说明 参数 取值示例 说明 优先级 0 表示该条记录的优先级，0优先级最高，表示配置优先级最高。 TYPE host 支持配置以下取值： host：该条记录验证TCP/IP连接，包括SSL连接和非SSL连接。 hostssl：该条记录只验证通过SSL建立的TCP/IP连接。 hostnossl：该条记录只验证通过非SSL建立的TCP/IP连接。 DATABASE all 允许用户访问的数据库，all表示允许用户访问所有数据库。如果配置多个，可通过逗号（,）分隔，配置的数据库必须是已存在的且不能是template0，template1这两个数据库。 USER user0 允许哪些用户访问数据库，填写创建数据库账号中创建的用户名。如果配置多个，可通过逗号（,）分隔。必须是已创建的用户且不能配置成内置用户，如：rdsAdmin, rdsMetric, rdsBackup, rdsRepl, rdsProxy。 ADDRESS 0.0.0.0/0 ::0/0 允许用户从哪个或哪些IP访问数据库，0.0.0.0/0（IPv4地址）和::0/0（IPv6地址）表示允许用户从任意IP地址访问数据库。 说明 修改后不在该网段的IP将会连接不上，请谨慎修改。 MASK 空 掩码。如果ADDRESS为IP地址，可以通过此参数指定IP地址的掩码。 METHOD md5 认证方法，支持： reject scramsha256 md5 步骤 7 除手动添加规则外，还支持通过导入方式批量新增pghba配置信息。 在列表上方单击“导入规则”，在右侧弹窗中配置新规则后，单击“确认”。 新增规则（最低优先级）：在已有规则最后追加新规则，优先级低于已有规则。 新增规则（最高优先级）：在已有规则最前追加新规则，优先级高于已有规则。 覆盖已有规则。 步骤 8 在列表上方单击“恢复默认”，可以恢复到系统默认创建的四条规则。 步骤 9 使用psql命令行连接数据库，测试pghba配置的连通性。 plaintext psql h U p 5432 d 结束

本节介绍了恢复或销毁回收站内的DCS实例的相关内容。 DCS提供了实例回收站，删除实例时开启了“是否放入回收站”的按需计费实例和退订销毁的包周期实例默认会放入回收站。用户可以对回收站内的实例进行恢复或销毁。回收站内的实例不计费，实例恢复成功后重新计费。 恢复回收站内的实例，即按照原实例规格信息、参数和功能配置重新创建一个新实例，并将原实例的备份数据恢复到新实例。 约束与限制 仅Redis 4.0及以上版本的实例支持放入回收站。 回收站内的实例仅保留7天，7天后自动从回收站内销毁。 恢复后的实例，实例ID为新ID，域名连接地址为新地址。 实例恢复后，公网访问和SSL功能默认关闭，调整过的实例带宽不支持恢复，仅支持恢复为默认带宽。 如果实例删除/退订销毁前是运行中的状态，删除/退订销毁实例时会自动备份数据（单机实例除外），用于恢复实例时的数据恢复。 如果实例删除/退订销毁前是故障或已关闭的状态，删除/退订销毁实例时不会自动备份数据，会保存该实例删除/退订销毁前最新的备份记录，用于恢复实例时的数据恢复。如果实例删除/退订销毁前没有备份记录，则无法进行数据恢复，建议定期对实例进行备份。 恢复回收站内的DCS实例 步骤 1 登录分布式缓存服务管理控制台。 步骤 2 在管理控制台左上角单击 ，选择区域和项目。 步骤 3 单击左侧菜单栏的“回收站”。 步骤 4 单击需要恢复的实例右侧对应的“恢复”。 步骤 5 确定需要恢复该实例后，单击“确定”。 步骤 6 在恢复已删除实例页面，确认实例信息。 如果实例删除/退订销毁前是运行中的状态，删除/退订销毁实例时会自动备份数据（单机实例除外），用于恢复实例时的数据恢复。 如果实例删除/退订销毁前是故障或已关闭的状态，删除/退订销毁实例时不会自动备份数据，会保存该实例删除/退订销毁前最新的备份记录，用于恢复实例时的数据恢复。如果实例删除/退订销毁前没有备份记录，则无法进行数据恢复，建议定期对实例进行备份。 如果回收站内的实例有备份记录，备份ID处会显示具体ID，如果实例没有备份记录，备份ID处为空。 步骤 7 配置“网络配置”和“访问管理”。 IP地址和端口默认为原实例IP和端口，如果原IP被占用，则需要自动分配和手动分配其他地址。 步骤 8 确认配置费用后单击“立即恢复”，进入实例信息确认页面。 步骤 9 确认实例信息无误后，提交请求。 步骤 10 任务提交成功后，返回缓存管理页面，当新建实例的状态显示“运行中”时，实例创建成功。 实例创建后，如果是有备份记录的实例，自动进行备份迁移，单击“数据迁移”查看该实例备份迁移任务，迁移成功后，即实例数据恢复完成。 结束

本文为您介绍在Windows 2019环境下初始化数据盘的操作场景及操作步骤。 操作场景 本示例以“Windows Server 2019 数据中心版64位中文版”操作系统为例，介绍云硬盘在Windows中的数据盘初始化操作。 不同云主机的操作系统的格式化操作可能不同，本文仅供参考。 前提条件 数据盘已挂载至云主机，且此数据盘没有被初始化。 操作步骤 当新增云硬盘的容量小于2TB，初始化Windows数据盘的操作共分为两步，具体步骤如下： 登录弹性云主机。 初始化磁盘：根据界面提示完成磁盘初始化，当新增云硬盘的容量小于2TB时，分区形式请选择MBR（主启动记录）。 登录弹性云主机 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域，此处我们选择华东1。 3. 单击选择“计算>弹性云主机”，进入云主机列表页面。 4. 单击需要初始化数据盘的云主机所在行的“操作>远程登录”，登录此台云主机，具体操作可参见登录Windows弹性云主机。 初始化磁盘（MBR分区） 1. 登录成功之后，单击开始图标，在Windows Server区域中选择 “服务器管理器”。跳转至“服务器管理器>仪表板”窗口。 2. 在此页面中，单击右上角的“工具”，在下拉菜单栏中选择“计算机管理”。 3. 在“计算机管理”页面左侧导航栏中，选择“存储>磁盘管理”，进入“磁盘管理”页面。进入磁盘管理页面后，若存在没有初始化的磁盘，系统会自动弹出“初始化磁盘”的窗口，如图： 4. 因未初始化的磁盘容量小于2TB，因此磁盘分区形式勾选“MBR（主启动记录）”，点击“确定”。 5. 在磁盘1的未分配区域右键单击，选择“新建简单卷”，如图： 6. 在弹出的“新建简单卷向导”窗口，根据界面提示，点击“下一页”。 7. 用户根据需要指定卷大小（建议用户在初始化之前就计算好磁盘分区的容量），默认为最大值，单击“下一页”。 8. 勾选分配驱动器号，单击“下一页”。 9. 勾选“按下列设置格式化这个卷”，并根据实际情况设置参数，格式化新分区，这里保持默认值，单击“下一步”窗口跳转至完成页面。 10. 单击“完成”，等待片刻让系统完成初始化操作，当卷状态为“状态良好”时，表示初始化磁盘成功。

积极使用安全特性 使用增强计算实例 对于高安全可信要求的业务场景，可选用可信云主机。可信云主机以可信虚拟化技术（vTPM）为可信根，构建从系统启动到应用运行的信任链，实现远程证明机制，为用户提供从启动到运行阶段的全方位可信保障，降低系统或软件被篡改带来的安全风险。 使用安全镜像 1.使用官方提供的公共镜像CTyunOS。CTyunOS公共镜像将定期更新修复镜像里的漏洞，降低被攻击的风险，保护数据安全，确保业务连续性。 2.对于高安全要求场景，建议使用加密私有镜像。使用KMS对镜像进行加密，避免镜像丢失后数据泄露风险。您可选择创建加密的系统盘、数据盘，如果云盘是加密云盘，使用该云盘创建的镜像也是加密镜像，或者在对已有的未加密镜像拷贝时选择加密，生成的新镜像为加密镜像。如果私有加密镜像需要共享给其他天翼云账号时，建议用户对加密镜像进行解密复制后，共享解密后的镜像，避免KMS密钥泄露导致安全风险。 使用云盘数据加密 在创建云服务器或单独创建云盘时，可勾选加密选项开启云盘加密功能。云盘加密采用行业标准加密算法，由天翼云自研密钥管理服务提供密钥支持，加密过程对用户透明，无需用户自建密钥管理基础设施，能有效保护云盘数据隐私与安全。 善用云主机备份 云主机备份是一种非常重要的数据保护和恢复措施，适用于政府、金融等对数据安全性要求较高的客户，可以在各种场景下快速恢复数据，防止因意外、事故、黑客攻击或病毒入侵等导致的数据丢失。在面临黑客攻击或病毒入侵的情况下，通过备份，可以立即恢复到最近一次没有受到黑客攻击或病毒入侵的备份时间点。这将消除黑客或病毒对数据和系统造成的损害，让系统恢复到正常运行状态，同时避免进一步扩散和数据丢失。数据误删是一个常见但严重的问题，通过云主机备份，可以迅速找回被删除的数据。备份允许立即恢复到删除前的备份时间点，确保数据的完整性和可用性，从而避免因误操作而导致的数据丢失或业务中断。当云主机遭遇宕机时，业务可能会受到严重影响。通过备份，可以迅速恢复到宕机之前的备份时间点，使云主机能够再次正常启动。这将减少业务中断时间，恢复服务，并降低损失的可能性。 使用服务器安全卫士 在创建云主机时或云主机使用过程中，可开通服务器安全卫士。服务器安全卫士能全面识别并管理服务器中的信息资产、实时监测服务器风险并阻止非法入侵行为，当发现服务器出现安全问题时，第一时间发出告警通知。主要包括资产清点、漏洞扫描、入侵检测、基线检查、弱口令检测、病毒查杀、文件防勒索等功能，有利于构建服务器安全防护体系。

本节介绍了如何变更云数据库TaurusDB实例的CPU和内存规格。 操作场景 可以根据业务需要对包年/包月和按需实例的规格进行变更，规格指实例的CPU/内存。当实例的状态由“规格变更中”变为“正常”，则说明变更成功。 约束限制 当实例进行CPU/内存规格变更时，该实例不可被删除。 您只能对整个实例进行规格变更，无法对实例中的单个节点进行操作。 仅按需实例支持选择可维护时间段进行规格变更，且该任务不可被取消。 注意 变更规格后会主备倒换，请选择业务低峰期，避免业务异常中断。 变更规格后主节点与只读节点的读内网地址会发生变化，请及时在应用程序中修改您的连接地址以免影响业务。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 您可以通过两种途径进行规格变更。 在“实例管理”页面，选择目标实例，单击“操作”列的“更多 > 规格变更”，进入“规格变更”页面。 单击目标实例名称，进入“基本信息”页面，在“实例信息”模块的“性能规格”处，单击“规格变更”，进入“规格变更”页面。 步骤 5 在“规格变更”页面，选择所需修改到的性能规格，您可以根据自己的需求缩小或扩大规格，并设置“切换时间”，单击“下一步”。 切换时间支持如下两种方式： 立即变更：系统会立即进行规格变更。 可维护时间段：在当前可维护时间段实现数据库资源变更，预约变更时间。 步骤 6 在规格确认页面，确认性能规格。 如需重新选择，单击“上一步”，修改性能规格。 按需计费模式的实例，单击“提交”，提交变更。 由规格变更产生的费用，您可在“费用中心 > 费用账单”中查看费用详情。 包年/包月模式的实例 缩小规格：单击“提交订单”，提交变更。由缩小规格产生的退款，系统会自动退还至客户帐户，您可通过单击“费用中心”进入“费用中心”页面，在左侧导航栏“订单管理”下的“我的订单”查看费用详情。 扩大规格：单击“提交订单”，跳转至支付页面，支付成功后，才可进行规格变更。 步骤 7 查看变更结果。 在实例管理页面，可以看到实例状态为“规格变更中”。稍后在对应的“基本信息”页面，查看实例规格，检查修改是否成功。此过程需要5～15分钟。 注意 TaurusDB实例规格变更成功后，系统将根据新内存大小，调整如下参数的值：“innodbbufferpoolsize”、“innodblogbuffersize”、“maxconnections”、“innodbbufferpoolinstances” “innodbpagecleaners”、“innodbparallelreadthreads”、“innodbreadiothreads”、“innodbwriteiothreads”、“threadpoolsize”。

本节介绍了灰度升级的相关内容。 操作场景 当涉及新功能或问题修复等需要进行版本升级时，云数据库GaussDB提供了灰度升级的方式，灰度升级支持升级自动提交和升级待观察两种操作方式。 升级自动提交是先升级所有备DN，再升级主DN，最后升级CN，升级完成后会自动提交升级。 升级待观察又名滚动升级。升级待观察方式升级完成后进入观察状态，可以在此期间观察业务状态，根据业务情况选择提交或回退本次升级。 − 分布式版实例按照分片进行滚动，操作请参见分布式版实例升级。 − 集中式版实例按照AZ进行滚动，操作参见集中式版实例升级。 操作流程 操作步骤 说明 步骤一：升级前检查 版本升级前需要检查实例状态和实例的CPU使用率、内存使用率、磁盘使用率等监控指标是否正常。 步骤二：升级操作 支持两种升级方式：升级自动提交和升级待观察。用户可以根据需要选择单个实例升级，也可以选择批量升级多个实例。 步骤三：升级后验证 升级完成后需要检查升级后的实例状态、备份创建、连接实例是否正常，能否进行正常的增加、删除、修改、查询操作。 注意事项 DN磁盘使用率不得高于设置磁盘使用率阈值减去10%的值。 说明 DN磁盘使用率可以通过管理控制台监控指标查看。 磁盘使用率阈值可以联系技术支持人员获取。 实例节点状态异常，不支持版本升级。 升级待观察方式支持手动回退操作，升级自动提交不支持手动回退操作。 版本升级/回退过程中不支持磁盘扩容、规格变更、备份、重置密码、重启实例、删除实例等操作。 建议在业务较小的时候执行版本升级操作，以确保CPU，磁盘，内存使用率等都有较大的空闲。 在大版本升级时如果使用升级自动提交方式，在执行升级前会关闭归档日志，用户无法通过归档日志进行PITR恢复，可能会造成数据丢失。 在大版本升级时如果使用升级待观察方式，升级过程中全量备份将无法触发，差量备份可能失败。升级观察期间待所有AZ都升级完成后才允许执行手动全量备份，在提交升级前仍会进行归档日志，用户可以通过归档日志进行PITR恢复，保证数据不会丢失。提交升级时会关闭归档日志。 如果升级过程中出现异常导致升级失败，系统会自动对实例进行回退，您可以联系技术支持，由工程师给出分析评估后重新执行升级。 在升级主DN和CN的过程中分别会有一次10秒左右的业务中断。 升级结束后会触发自动备份，开启关闭的归档日志。需要注意的是小版本升级不会触发自动备份。仅V2.02.2以上版本的实例才能进行归档日志。 说明 小版本升级，例如：从V2.01.a.x升级到V2.01.a.y或者V2.02.a.x升级到V2.02.a.y。 大版本升级，例如：V2.01.x升级V2.02.x或者V2.02.x到V2.02.y等。

参数 参数说明 云存储类型 云硬盘：云硬盘的使用方式与传统服务器硬盘完全一致。同时，云硬盘具有更高的数据可靠性，更高的I/O吞吐能力和更加简单易用等特点，适用于文件系统、数据库或者其他需要块存储设备的系统软件或工作负载。 注意 如需挂载云硬盘，创建工作负载时的实例数量必须选择为1个实例，即单实例，选择多实例后挂载云硬盘的选项将置灰，无法挂载。 创建有状态工作负载并添加云存储时，云硬盘暂不支持使用已有存储。 云硬盘不支持跨可用区挂载，且暂时不支持被多个工作负载、同一个工作负载的多个实例或多个任务使用。 分配方式 使用已有存储 选择已创建的存储，您需要提前创建好存储。 针对同一集群和命名空间，创建无状态工作负载时可以选择“使用已有存储”。 创建有状态工作负载时暂不支持选择“使用已有存储”，只能使用“自动分配存储”。 自动分配存储 选择自动分配存储后，需要配置如下选项： 1. 访问模式：是用来对PV进行访问模式的设置，用于描述用户应用对存储资源的访问权限。 ReadWriteOnce (RWO)： 基于云硬盘非共享卷提供容器负载单Pod单独单写块存储的功能，但是该卷只能被单个节点挂载。v1.13.10r1开始支持RWO模式的存储卷。 ReadWriteMany (RWX)： 基于云硬盘共享卷提供容器负载访问块存储的功能。由于容器侧不支持跨节点的共享卷读写一致性能力，在老集群（<1.15.6）下受限使用（需要确保单负载单实例单独单写），1.15开始只支持创建和使用RWO模式的非共享卷 2. 可用区：存储所在的可用区，自动分配存储仅支持Node节点所在可用区。 3. 子类型：选择存储的子类型。 高I/O：指由SAS存储介质构成的云硬盘。 普通I/O：指由SATA存储介质构成的云硬盘。 超高I/O：指由SSD存储介质构成的云硬盘。 4. 存储容量：输入存储容量，单位为GB。请不要超过存储容量配额，否则会创建失败。 添加容器挂载 1. 单击“添加容器挂载”。 2. 挂载路径：输入数据卷挂载到容器上的路径。 须知 请不要挂载在系统目录下，如“ / ”、“ /var/run” 等，会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，工作负载创建失败。 挂载高危目录的情况下 ，建议使用低权限帐号启动，否则可能会造成宿主机高危文件被破坏。 3. 设置权限。 只读：只能读容器路径中的数据卷。 读写：可修改容器路径中的数据卷，容器迁移时新写入的数据不会随之迁移，会造成数据丢失。

编辑终端 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 主机资产”，进入主机资产页面。 3. 选择需要编辑的终端，点击右侧操作项 中的“编辑”。 4. 在弹出的对话框中编辑终端信息，点击“确定”，即可修改终端信息。 编辑终端信息时，若绑定状态开关的状态调整为关闭，将解绑该终端，被解绑的终端会从终端列表中删除。 查看策略 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 主机资产”，进入主机资产页面。 3. 选择需要查看的终端，点击右侧操作项 的“策略” ，即可对该终端的策略信息进行查看和编辑操作，详情请参考策略管理。 其他操作 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 主机资产”，进入主机资产页面。用户可在此页面修改终端分组、修改终端标签、导出终端、登记管理操作。 3. 勾选终端，点击“更多”，在弹出的下拉框中选择不同的菜单项，可对终端进行卸载客户端、删除终端、停止防护、启动防护、关闭主机、重启主机、重启客户端、迁移终端、修改远程管理端口、导出终端调试日志、消息推送、一键隔离、取消隔离等操作。 具体操作说明如下： 操作 说明 导出终端 可将终端信息以CSV格式导出至本地。 修改分组/修改标签 修改所选终端的分组/标签，每个终端必须且只能在一个分组内，可以有多个标签。 卸载客户端 卸载终端上的EDR客户端软件。 删除终端 删除终端后，EDR不能对终端进行管控，许可也将释放。终端信息以及相关日志将会删除，但部分防护依然有效。 停止防护 关闭所选终端当前所有防护。 启动防护 启动对终端的防护。 关闭主机/重启主机 对所选终端进行关机或重启。 重启客户端 对客户端进行重启。 锁定主机 锁定目标客户端。 迁移终端 填写新中心IP和UUID，点击 ，可对租户内终端进行同中心跨租户迁移以及不同中心间迁移。 修改远程管理端口 填写需要修改的远程管理端口，勾选立即重启，点击 即可修改远程管理端口。 导出终端调试日志 将所选终端的客户端运行日志，异常转储日志，操作系统日志信息导出。 升级 对客户端主程序进行升级操作。 消息推送 对客户端所在终端进行消息推送（仅适用于Windows主机）。 重新登记信息 对客户端重新登记资产信息。 一键隔离 对选定客户端进行一键断网。 取消隔离 对选定客户端取消一键断网策略。

参数名 说明 取值样例 名称 连接的名称，根据连接的数据源类型，用户可自定义便于记忆、区分的连接名。 mrshdfslink Manager IP MRS Manager的浮动IP地址，可以单击输入框后的“选择”来选定已创建的MRS集群，CDM会自动填充下面的鉴权参数。 127.0.0.1 用户名 选择KERBEROS鉴权时，需要配置MRS Manager的用户名和密码。从HDFS导出目录时，如果需要创建快照，这里配置的用户需要HDFS系统的管理员权限。 如果要创建MRS安全集群的数据连接，不能使用admin用户。因为admin用户是默认的管理页面用户，这个用户无法作为安全集群的认证用户来使用。您可以创建一个新的MRS用户，然后在创建MRS数据连接时，“用户名”和“密码”填写为新建的MRS用户及其密码。 说明 如果CDM集群为2.9.0版本及之后版本，且MRS集群为3.1.0及之后版本，则所创建的用户至少需具备Managerviewer的角色权限才能在CDM创建连接；如果需要对MRS组件的库、表、列进行操作，还需要参考MRS文档添加对应组件的库、表、列操作权限。 如果CDM集群为2.9.0之前的版本，或MRS集群为3.1.0之前的版本，则所创建的用户需要具备Manageradministrator或Systemadministrator权限，才能在CDM创建连接。 仅具备Managertenant或Managerauditor权限，无法创建连接。 cdm 密码 访问MRS Manager的用户密码。 认证类型 访问MRS的认证类型： SIMPLE：非安全模式选择Simple鉴权。 KERBEROS：安全模式选择Kerberos鉴权。 SIMPLE 运行模式 选择HDFS连接的运行模式： EMBEDDED：连接实例与CDM运行在一起，该模式性能较好。 STANDALONE：连接实例运行在独立进程。如果CDM需要对接多个Hadoop数据源（MRS、Hadoop或CloudTable），并且既有KERBEROS认证模式又有SIMPLE认证模式，只能使用STANDALONE模式或者配置不同的Agent。 说明 STANDALONE模式主要是用来解决版本冲突问题的运行模式。当同一种数据连接的源端或者目的端连接器的版本不一致时，存在jar包冲突的情况，这时需要将源端或目的端放在STANDALONE进程里，防止冲突导致迁移失败。 Agent：连接实例运行在Agent上。 若不使用AGENT运行模式，且在一个CDM中同时连接两个及以上开启Kerberos认证且realm相同的集群，只能使用EMBEDDED运行模式连接其中一个集群，其余需使用STANDALONE。 STANDALONE Agent 单击“选择”，选择连接Agent中已创建的Agent。运行模式选择Agent时显示此参数。 是否使用集群配置 您可以通过使用集群配置，简化Hadoop连接参数配置。 否 集群配置名 仅当“是否使用集群配置”为“是”时，此参数有效。此参数用于选择用户已经创建好的集群配置。 hdfs01

本章节主要介绍创建用户 。 操作场景 该任务指导管理员根据实际业务场景需要，通过Manager创建新用户并指定其操作权限以满足业务使用。 Manager支持的用户数为1000。 如需对新创建用户的密码使用新的密码策略，请先修改密码策略，再参考本章节创建用户。 说明 该章节操作仅适用于MRS 3.x之前版本集群。MRS3.x及之后版本集群请参考 前提条件 管理员已明确业务需求，并已创建业务场景需要的角色和用户组。 开启Kerberos认证的集群或开启弹性公网IP功能的普通集群。 操作步骤 访问MRS Manager，详细操作请参见访问MRSManager（MRS2.x及之前版本）。 1. 在MRS Manager，单击“系统设置”。 2. 在“权限配置”区域，单击“用户管理”。 3. 在用户列表上方，单击“添加用户”。 4. 根据界面提示配置参数，填写“用户名”。 说明 不支持创建两个名称相同但大小写不同的用户。例如已创建用户“User1”，无法创建用户“user1”。 使用已创建的用户时，请输入和用户名完全一样的大小写字符。 “用户名”为必选参数，字符长度为3到20，可以包含数字、字母和下划线。 “root”、“omm”和“ommdba”为系统保留用户，请选择其他用户名。 5. 设置“用户类型”，可选值包括“人机”和“机机”。 “人机”用户：用于在MRS Manager的操作运维场景，以及在组件客户端操作的场景。选择该值需同时填写“密码”和“确认密码”。 “机机”用户：用于MRS应用开发的场景。选择该值用户密码随机生成，无需填写。 6. 在“用户组”，单击“选择添加的用户组”，选择对应用户组将用户添加进去。 说明 如果用户组添加了角色，则用户可获得对应角色中的权限。 为新用户分配Hive的权限，请将用户加入hive组。 如果用户需要管理租户资源，用户组必须分配了Managertenant角色以及租户对应的角色。 通过Manager创建的用户无法添加到通过IAM用户同步功能同步的用户组中。 7. 在“主组”选择一个组作为用户创建目录和文件时的主组。下拉列表包含“用户组”中勾选的全部组。 8. 根据业务实际需要在“分配角色权限”，单击“选择并绑定角色”为用户添加角色。 说明 创建用户时，如果用户从用户组获得的权限还不满足业务需要，则可以再分配其他已创建的角色。为新用户分配角色授权，最长可能需要3分钟时间生效。 创建用户时添加角色可细化用户的权限。 没有为新用户分配角色时，此用户可以访问HDFS、HBase、Yarn、Spark和Hue的WebUI。 9. 根据业务实际需要“描述”。 “描述”为可选参数。 10. 单击“确定”完成用户创建。 第一次在MRS集群中使用新创建的用户，例如登录Manager或者使用集群客户端，需要修改密码，具体请参见修改操作用户密码。

操作步骤 步骤 1 登录分布式缓存服务管理控制台。 步骤 2 在管理控制台左上角单击，选择区域和项目。 步骤 3 单击左侧菜单栏的“缓存管理”。进入缓存管理页面。 步骤 4 在需要规格变更的实例右侧，单击“操作”栏下的“更多 > 变更规格”，进入到分布式缓存服务变更规格页面。 步骤 5 在变更实例规格页面中，选择您需要变更的目标规格。 说明 Redis 4.0/5.0主备、读写分离和Cluster集群实例支持选择“容量变更”或“副本数变更”。 步骤 6 选择变更时间为“立即变更”或“可维护时间窗内进行变更”。 “可维护时间窗内进行变更”适用于如下 变更规格时存在客户端连接中断的场景 。 变更规格时存在客户端连接中断的场景 变更规格任务 客户端连接中断的场景 单机或主备实例扩容 从8G以下扩容到8G或8G以上时 Proxy或Cluster集群实例缩容 分片数减少时 变更实例类型 主备/读写分离与Proxy集群之间实例类型变更 删除副本 主备/Cluster集群/读写分离实例删除副本 说明 不涉及客户端连接中断的场景，选择在可维护时间窗内变更，也会立即变更。 提交变更规格后，不支持取消变更，可以修改“维护时间窗”时间推迟变更（变更过程中，维护时间窗可修改次数不超过3次）。 Redis 3.0变更实例时，仅支持“立即变更” 在“维护时间窗”内变更的实例，变更的起始时间点是在维护时间窗时段内的随机时间，不是维护时间窗的起始时间。 集群实例缩容需要迁移的数据量过大时，缩容完成的时间可能会超出可维护时间窗。 步骤 7 单击“下一步”，在弹窗中了解变更须知后，单击“确认变更”。 步骤 8 单击“提交订单”，开始变更DCS缓存实例。 在界面上您可以选择跳转到后台任务列表，查看变更任务的状态，具体可参考查看实例后台任务。 DCS单机和主备缓存实例规格变更大约需要5到30分钟，集群实例规格变更所需时间稍长。实例规格变更成功后，实例状态切换为“运行中”。 说明 当单机实例规格变更失败时，实例对用户暂不可用，实例规格仍然为变更前的规格，部分管理操作（如参数配置、规格变更等）暂不支持，待后台完成变更处理后，实例将自动恢复正常，实例规格将更新为变更后的规格。 当主备和集群实例规格变更失败时，实例对用户仍然可用，实例规格仍然为变更前的规格，部分管理操作（如参数配置、备份恢复、规格变更等）暂不支持，请按照变更前的规格使用，避免因数据超过规格而被丢失。 当规格变更成功时，您可以按照新的规格使用DCS缓存实例。

文档数据库服务DDS是兼容MongoDB协议的云数据库服务，DDS的大版本会选择社区未EOL并且有新的重大功能的版本作为候选版本进行兼容。DDS的版本号并不是与社区版本号一一对应。为了便于理解DDS与兼容社区版本之间的对应关系，DDS采用了与之兼容的社区版本号进行命名，详情请参见图1。 图1 DDS版本与社区版本的关系图 DDS 3.4和4.0版本分别以社区对应的版本为基线进行开发，相同的接口实现方案与社区一致。相比社区版本的DDS具有更高的安全性、更加丰富的操作维护功能，因此更能满足商业应用需求。 DDS 4.0版本在2018年10月16日之后，继续以社区4.0.3版本为基线，独立开发新特性并自主演进。 DDS 4.2以及后续高版本，是以社区4.0.3版本为基线，独立开发新特性并自主演进，同时将存储引擎切换为RocksDB，提供更好的体验。

2.5 选择内存大小及CPU数 选择内存大小和CPU核数。分配给虚拟机的内存大小和CPU数不能超过宿主机拥有的内存大小和CPU数。这里根据实际情况分配足够大的内存及CPU数即可。本示例中只安装一个最小化的系统，不需要很多内存和CPU，这里选择默认配置，直接点击“Forward”。 2.6 创建磁盘镜像 根据实际情况，选择虚拟硬盘的大小。根据实际情况选择即可。需注意虚拟机硬盘不能太小，否则可能后续无法安装所需的软件包等。最终系统盘实际占用空间不能超过物理机的系统盘大小。本示例中只安装一个最小化的系统，不需要太多的硬盘空间，可以选择默认大小40GiB，本文由于设备空间问题选择35GiB后，点击“Forward”。 2.7 设置虚拟机名称、网络、启动方式 在“名称”文本框中输入虚拟机的名字，这个名字也会作为磁盘镜像的名字。磁盘镜像默认在/var/lib/libvirt/images/虚拟机名字.qcow2，后面转换镜像格式需要用到这个镜像，需要记下这个路径。这里名称我们使用“win2016”。 “选择网络”处使用默认的虚拟网络即可。 x8664架构的服务器一般支持BIOS和UEFI两种启动方式。其中UEFI是较新的启动方式，BIOS是为了兼容而保留的旧启动方式。您制作的镜像的启动方式应和物理机的启动方式保持一致。 vritmanager默认创建的虚拟机是BIOS启动方式。如果您使用BIOS方式启动系统，点击“完成”创建虚拟机即可。 设置UEFI启动方式： 如果您打算使用UEFI方式启动系统，还需要进行一些额外的配置。勾选“在安装前自定义配置”，然后点击“完成”。 这时会有界面进行更细致的配置。在左侧选择“概况”，修改“固件”，从BIOS改为UEFI。点击右下角的“Apply”，保存配置。此时虚拟机支持的启动固件就从BIOS变为UEFI。 接下来修改启动顺序。在左侧选择“引导选项”，引导设备顺序从“VirtIO 磁盘1”改为“SATA CDROM 1”、“VirtIO 磁盘1”（勾选“SATA CDROM 1”，然后用右侧的上下箭头调整启动顺序）。点击右下角的“Apply”，保存配置。 此时虚拟机优先从光驱启动，若光驱中没有可启动的光盘镜像，则会从虚拟磁盘启动。我们的虚拟磁盘上还没有安装操作系统，此时无法从虚拟磁盘启动，需要从光驱启动。虚拟光驱中有我们前面选择的系统安装光盘镜像。 当系统安装完成后，virtmanager会自动弹出虚拟光驱中的系统安装光盘镜像，然后重启。此时虚拟光驱中无可启动的光盘镜像，会从虚拟磁盘启动。 点击左上角的“开始安装”，此时启动虚拟机，并开始安装系统。后续安装过程和BIOS方式启动安装系统几乎一样，只是分区时需要确保有EFI分区，在分区一节中我们会再强调。

参数 参数说明 取值样例 防护方式 “全部域名”：默认防护当前策略下绑定的所有域名。 “指定域名”：选择策略绑定的防护域名或手动输入泛域名对应的单域名。“防护方式”选择“指定域名”时，需要配置此参数。 指定域名 防护域名 “防护方式”选择“指定域名”时，需要配置此参数。 需要手动输入当前策略下绑定的需要防护的泛域名对应的单域名，且需要输入完整的域名。 www.example.com 条件列表 单击“添加”增加新的条件，一个防护规则至少包含一项条件，最多可添加30项条件，多个条件同时满足时，本条规则才生效。 条件设置参数说明如下： 字段 子字段：当字段选择“Params”、“Cookie”或者“Header”时，请根据实际使用需求配置子字段。 子字段的长度不能超过2048字节，且只能由数字、字母、下划线和中划线组成。 逻辑：在“逻辑”下拉列表中选择需要的逻辑关系。 内容：输入或者选择条件匹配的内容。 “路径”包含“/product” 不检测模块 “所有检测模块”：通过WAF配置的其他所有的规则都不会生效，WAF将放行该域名下的所有请求流量。 “Web基础防护模块”：选择此参数时，可根据选择的“不检测规则类型”，对某些规则ID或者事件类别进行忽略设置（例如，某URL不进行XSS的检查，可设置屏蔽规则，屏蔽XSS检查）。 Web基础防护模块 不检测规则类型 “不检测模块”选择“Web基础防护模块”时，您可以选择以下三种方式进行配置： 按ID：按攻击事件的ID进行配置。 按类别：按攻击事件类别进行配置，如：XSS、SQL注入等。一个类别会包含一个或者多个规则ID。 所有内置规则。 按类别 不检测规则ID 当“不检测规则类型”选择“按ID”时，需要配置此参数。 “防护事件”列表中事件类型为非自定义规则的攻击事件所对应的规则编号。建议您直接在防护事件页面进行误报处理。 041046 不检测规则类别 当“不检测规则类型”选择“按类别”时，需要配置此参数。 在下拉框中选择事件类别。 WAF支持的防护事件类别有：XSS攻击、网站木马、其他类型攻击、SQL注入攻击、恶意爬虫、远程文件包含、本地文件包含、命令注入攻击。 SQL注入攻击 规则描述 可选参数，设置该规则的备注信息。 不拦截SQL注入攻击 高级设置 如果您只想忽略来源于某攻击事件下指定字段的攻击，可在“高级设置”里选择指定字段进行配置，配置完成后，WAF将不再拦截指定字段的攻击事件。 在左边第一个下拉列表中选择目标字段。支持的字段有：Params、Cookie、Header、Body、Multipart。 当选择“Params”、“Cookie”或者“Header”字段时，可以配置“全部”或根据需求配置子字段。 当选择“Body”或“Multipart”字段时，可以配置“全部”。 当选择“Cookie”字段时，“防护域名”和“路径”可以为空。 说明 当字段配置为“全部”时，配置完成后，WAF将不再拦截该字段的所有攻击事件。 Params 全部

参数/配置项 迁移后的服务器 备注 主机名 系统可能会更新主机名 和主机名绑定的业务可能会受影响。 MAC地址 目的端服务器的MAC MAC地址属于网卡固有属性，创建目的端服务器时候已经确定。 DNS 可能变化（概率大）： DNS配置文件参数与源端一致。 目的端子网的DNS配置会影响目的端主机的DNS解析。 迁移完成后，可以在目的端修改。 EIP 迁移后绑定的目的端EIP地址 磁盘、分区大小 配置目的端时所选的目的端服务器磁盘和分区大小 如果选择了磁盘分区调整，迁移后的磁盘和分区大小取决于配置目的端时候设置的大小。 磁盘名称 根据目的端虚拟化类型决定 一般不会影响业务。 磁盘、分区的UUID和PARTUUID 目的端会重新生成UUID和PARTUUID 只针对Linux文件级迁移。 Grub配置文件 会根据目的端启动盘或者boot分区的UUID修改grub相关启动配置文件 BIOS启动的服务器需要安装grub，会修改 /boot/grub 目录下grub配置文件。 UEFI启动的服务器会修改 /boot/efi/ 和 /boot/grub 目录下grub配置文件的UUID。 启动的initrd或initramfs 注入相关驱动 注入驱动保证目的端服务器在天翼云能正常启动。 X11的xorg.conf配置文件 目的端会更新 /etc/X11/xorg.conf 配置文件 该文件影响图形化界面和显示相关参数。原文件备份为 /etc/X11/xorg.conf.bak 。 第三方工具 目的端会删除以下工具： /etc/rc.d/rc5.d/vmwaretools SElinux安全配置 会生成 /.autorelabel 文件，目的是重新标记 只针对Redhat/Centos/Oracle系统。 密码重置插件 目的端 /home 目录会安装天翼云ECS密码重置插件CloudRestPwdAgent 如果不想安装该插件，可以在迁移前修改配置文件 gproperty.cfg 中的installPwdAgent参数为false。 服务器时间 会修改ntp配置文件 /etc/ntp.conf 添加目的端所在Region所在的标准时间。 Motd 会修改 /etc/motd 文件为空 默认不设置开机启动logo。 Fstab启动项 根据新目的端UUID和挂载情况重新生成fstab。 目的端旧的 /etc/fstab 启动记录会被注释。 Cloudinit 目的端会禁用Cloudinit /etc/cloud/cloud.cfg 文件会被删除。 网卡配置 删除 /etc/udev/rules.d/ 目录下部分网络相关配置文件，根据不同系统备份并修改DHCP 修改网卡配置文件。 比如： Redhat/Centos/SUSE/Euleros等系统会修改 ifcfgeth 文件。 Debian/Ubuntu系统会修改yaml文件。 谷歌服务 迁移后目的端会默认禁用谷歌服务 由于原平台服务无法在天翼云运行，可能导致启动失败或者服务异常。 您可以源端主机执行如下命令，检测开机自启动程序中是否存在google相关字符串。 (find /etc/systemd/system/ name 'google' type l grep 'service') & (find /etc/init/ name 'google' grep 'conf') 2>/dev/null

功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 支持的操作系统 检测周期 未分类恶意软件 对容器中运行的程序进行检测，识别出其中的后门、木马、挖矿软件、蠕虫和病毒等恶意程序。 × × × × × √ Linux 实时检测 勒索软件 检测容器场景下勒索软件，并进行告警上报。 × × × × × √ Linux 实时检测 Webshell 检测容器中Web目录中的文件，判断是否为Webshell木马文件，支持检测常见的PHP、JSP等后门文件类型。 × × × × × √ Linux 实时检测 漏洞逃逸攻击 监控到容器内进程行为符合已知漏洞的行为特征时，触发逃逸漏洞攻击告警。 × × × × × √ Linux 实时检测 文件逃逸攻击 监控发现容器进程访问了宿主机系统的关键文件目录（例如：“/etc/shadow”、“/etc/crontab”），则认为容器内发生了逃逸文件访问，触发告警。即使该目录符合容器配置的目录映射规则，仍然会触发告警。 × × × × × √ Linux 实时检测 反弹Shell 实时监控用户的进程行为，及时发现进程的非法Shell连接操作产生的反弹Shell行为。支持对TCP、UDP、ICMP等协议的检测。 × × × × × √ Linux 实时检测 进程提权 检测以下进程提权操作：利用SUID程序漏洞进行root提权。利用内核漏洞进行root提权。 × × × × × √ Linux 实时检测 高危命令执行 实时检测容器场景系统中执行的高危命令，当发生高危命令执行时触发告警。 × × × × × √ Linux 实时检测 容器进程异常 容器恶意程序监控容器内启动的容器进程的行为特征和进程文件指纹，如果特征与已定义的恶意程序吻合则触发容器恶意程序告警。 容器异常进程对于已关联的容器镜像启动的容器，只允许白名单进程启动，如果容器内存在非白名单进程，触发容器异常程序告警。 × × × × × √ Linux 实时检测 容器异常启动 监控新启动的容器，对容器启动配置选项进行检测，当发现容器权限过高存在风险时触发告警。支持以下容器环境检测： 禁止启动特权容器(privileged:true)l 需要限制容器能力集（capabilities:[xxx]） 建议启用seccomp（seccompunconfined） 限制容器获取新的权限(nonewprivileges:false)l 危险目录映射(mounts:[...]) × × × × × √ Linux 实时检测 高危系统调用 Linux系统调用是用户进程进入内核执行任务的请求通道，容器安全监控容器进程，如果发现进程使用了危险系统调用，触发高危系统调用告警。 × × × × × √ Linux 实时检测 容器镜像阻断 在Docker环境中容器启动前，告警并阻断镜像异常行为策略中指定的不安全容器镜像运行。 × × × × × √ Linux 实时检测 敏感文件访问 监控容器内已配置文件保护策略的容器镜像文件状态。如果发生文件修改事件则触发文件异常告警。 × × × × × √ Linux 实时检测 暴力破解 检测容器场景下“尝试暴力破解”和“暴力破解成功”等暴破异常行为，发现暴破行为时触发告警。支持检测容器场景下SSH、Web和Enumdb暴破行为。说明目前暂仅支持Docker容器运行时的暴力破解检测告警。 × × × × × √ Linux 实时检测 非法系统用户账号 检测容器场景系统中的账号，列出当前系统中的可疑账号信息并告警上报，帮助用户及时发现非法账号。 × × × × × √ Linux 实时检测

缓存URI改写 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【缓存配置】。 5. 在【缓存URI改写】模块，单击【增加规则】，根据需求填写缓存URI改写前后的值。 6. 单击【保存】，完成配置。 参数名 配置值 说明 待改写PATH 需改写的URI 以/开头的URI，不含 目标PATH 改写后URI 以/开头的URI，不含 配置示例 保留指定参数缓存 参数名 参数值 类型 后缀名 内容 html 参数设置 保留指定参数 指定参数 a$arga 结果说明 ：保留a参数进行缓存。 适用场景： 用户访问URL形式为： 如果访问 且访问 此时可配置保留指定参数a进行缓存。配置生效后， 注意 该场景适用于源站仅针对特定参数a返回不同文件内容。如源站除针对参数a返回不同内容外，针对其他参数（例如参数b）也返回不同内容，则此时需要同时保留参数a和参数b，否则会造成缓存错乱，响应非预期文件内容。 忽略指定参数缓存 参数名 参数值 类型 后缀名 内容 html 参数设置 忽略指定参数 指定参数 d 结果说明 ：忽略特定参数d缓存。 适用场景： 用户访问URL形式为： 访问 访问 访问 此时可在CDN上配置忽略参数d缓存。配置生效后，CDN节点将会把访问 缓存URI改写 参数名 参数值 待改写path ^/[^/]+(.+) 目标path $1 结果说明 ：去掉第一级目录缓存。 原始请求：/a/b/c.mp4。改写后的缓存URI：/b/c.mp4。

本文为您介绍分布式消息服务MQTT的创建实例内容。 实例介绍 MQTT实例订购支持用户自定义规格和自定义特性，采用物理隔离的方式部署。租户独占MQTT实例，可根据业务需要可定制相应规格的MQTT实例。在新的资源池节点上，还支持选择主机类型和存储规格等丰富用户选项。 操作步骤 1、在产品详情页点击立即开通按钮，或者进入消息管理控制台订购实例，进入订购分布式消息MQTT页面。 2、 订购实例，注意选择产品规格。 （1）填写实例名称，长度4~40个字符，大小写字母开头，只能包含大小写字母、数字及分隔符()。 （2）选择计费模式：包年包月/按需计费，两种模式说明参见计费模式。 （3）购买时长按照计费模式选择变化： 计费模式为包年包月，可选择购买时长16个月、13年。该模式提供自动续期功能，勾选后可以自动续期购买时长：16个月、13年。 计费模式为按需计费，则该选项隐藏无需选择。 （4）部署方式有单可用区和多可用区两个选项，目前仅支持单可用区和3可用区部署,单可用区部署请选中任意一个AZ；多可用区部署请选中3个AZ，系统会自动将Broker节点平均分配至各可用区。 （5）设置节点数，可输入3~16个。MQTT 的节点数是指MQTT 集群中的节点数量。在MQTT 集群中，可以有多个节点组成一个集群，每个节点都是一个独立的MQTT 服务器实例。 （6）下拉选择主机类型，目前提供计算增强型。计算增强型云主机独享宿主机的CPU资源，实例间无CPU争抢，并且没有进行资源超配，同时搭载全新网络加速引擎，实现接近物理服务器的强劲稳定性能。 （7）选择实例规格，分布式消息服务MQTT提供计算增强型多种云主机规格，各规格详细说明参见弹性云主机规格。 （8）选择已有虚拟私有云，若无虚拟私有云，点击创建跳转到虚拟私有云页面新增，了解更多内容参见虚拟私有云。 （9）选择已有子网，若无子网，点击创建跳转到子网页面新增，了解更多内容参见虚拟私有云子网管理 创建子网。 （10）选择已有安全组，若无安全组，点击创建跳转到安全组页面新增，了解更多内容参见虚拟私有云安全组 创建安全组。 3、 填写完上述信息后，单击“下一步”，进入费用确认页面。 4、 确认实例信息无误后，提交请求。 5、 在实例列表页面，查看MQTT实例是否创建成功。创建实例大约需要3到15分钟，此时实例状态为“创建中”。

计费说明 购买实例存储空间后，文档数据库服务将同比例赠送OBS备份存储空间，用于存储备份数据。当备份数据超出赠送的免额空间时，将按需进行收费。例如，您购买的实例存储空间为100GB时，会得到赠送的100GB的OBS免费备份存储空间。当备份数据没有超出100GB，将免费存储在OBS上；当备份数据超出100GB，超出部分将按需计费，具体收费请参见价格详情。 您可以在“费用中心 > 费用账单”页面，选择产品为“DDS云备份”来查看备份产生的费用。 使用须知 备份过程，对业务无影响。 文档数据库服务会去检测已有的自动备份文件，若备份文件超过用户自定义的数据保留天数，则将其删除。 自动备份策略修改后，文档数据库服务将按照新的备份策略触发自动备份，原自动备份文件的保留天数不变。 开启或修改自动备份策略 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上方的，选择区域和项目。 步骤 3 在页面左上角单击，选择“数据库 > 文档数据库服务 DDS”，进入文档数据库服务信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在左侧导航树，单击“备份恢复”。 步骤 6 在“备份恢复”页面，单击“设置备份策略”，如需开启自动备份策略，单击。开启后，可以修改备份策略，如下图所示。 设置社区版集群实例自动备份策略 参数说明 参数名称 说明 保留天数 保留天数是指自动备份可保留的时间，增加保留天数可提升数据可靠性，请根据需要设置。 保留天数范围为1～732天。 减少保留天数的情况下，该备份策略对已有备份文件同时生效，即超出备份保留天数的已有备份文件会被删除，但最近一次过期的备份文件会被保留。 时区 默认备份时区为UTC时间。 备份时间段 备份时间段为间隔1小时。建议您将备份时间段设置为业务低峰期的某个时段。 备份周期 当保留天数设置在1～6天范围时，默认每天进行备份，且备份周期不可修改。 当保留天数设置在7～732天范围时，您可以根据业务需要设置备份周期，但至少选择一周中的一天。 备份方式 物理备份：通过物理拷贝磁盘文件的方式进行备份。 快照备份：保留某一时间点磁盘的数据状态。 逻辑备份：通过工具读取数据逻辑导出。 步骤 7 单击“确定”，确认修改。 步骤 8 查看备份结果。 自动备份创建过程中，在“备份管理”或“备份恢复”页面，可查看自动备份的状态显示为“正在备份”。 在备份列表的右上角，单击刷新列表，可看到自动备份创建成功的状态显示为“完成”。自动备份的备份类型为“自动”，备份方式为“物理备份”。

天翼云根据不同性能,将云硬盘分为以下规格:XSSD3、XSSD2、XSSD1、XSSD0、极速型SSD、超高IO、通用型SSD、高IO、普通IO,用户在实际使用中可以选择符合自己业务需求与成本预算的规格进行购买。 云硬盘类型及对应性能介绍 衡量云硬盘性能的指标有很多种，例如IOPS，吞吐量，读写时延： IOPS：云硬盘每秒进行读写的操作次数，可以细分到单盘最大IOPS，基线IOPS，IOPS突发上限等等。 吞吐量：云硬盘每秒成功传送的数据量，即读取和写入的数据量，一般会衡量云硬盘最大吞吐量，每GB云硬盘的吞吐量。 读写时延：云硬盘处理一个读写IO需要的时间。 各类型云硬盘的性能比较如下表所示： 参数 新一代产品 极速型SSD 超高IO 通用型SSD 高IO 普通IO 参数 XSSD3 XSSD2 XSSD1 XSSD0 极速型SSD 超高IO 通用型SSD 高IO 普通IO 数据盘容量范围（GB） 1,024~65,536 512~65,536 20~65,536 10~65,536 10~32,768 10~32,768 10~32,768 10~32,768 10~32,768 单盘性能 性能组成 基准性能+预配置性能 基准性能 单盘性能 单盘最大IOPS （支持预配置的磁盘在叠加额外预配置性能之后可达到） 1,000,000 300,000 100,000 50,000 100,000 50,000 20,000 5,000 2,000 单盘性能 单盘最大吞吐量（MB/s） 4,000 4,000 750 350 750 350 250 200 150 基准性能 单盘IOPS性能计算公式（基准性能），公式中容量单位为GB min{3,000+50×容量， 1,000,000} min{1,800+50×容量，100,000} min{1,800+50×容量，50,000} min{1,800+12×容量，10,000} min{1,800+50×容量，100,000} min{1,800+50×容量，50,000} min{1,500+8×容量，20,000} min{1,800+8×容量，5,000} min{300+2×容量，2,000} 基准性能 IOPS突发上限 NA NA NA NA 32,000 16,000 8,000 5,000 2,000 基准性能 单盘吞吐量计算公式（基准性能，MB/s），公式中容量单位为GB min{150+0.5×容量， 4,000} min{120+0.5×容量，750} min{120+0.5×容量，350} min{100+0.25×容量，180} min{200+0.5×容量，750} min{120+0.5×容量，350} min{100+0.5×容量，250} min{130+0.1×容量，200} min{100+0.1×容量，150} 基准性能 单队列平均访问时延（ms） Block Size4K 0.2 0.2~0.4 0.2~0.4 0.3~0.5 亚毫秒级 1 1 1~3 5~10 预配置性能 （额外性能） 单盘IOPS配置范围（预配置性能），公式中容量单位为GB [ 0，min{500×容量，1,000,000} 基准IOPS] [ 0，min{500×容量，300,000} 基准IOPS] [ 0，min{500×容量，100,000} 基准IOPS] [ 0，min{500×容量，50,000} 基准IOPS] 不涉及 预配置性能 （额外性能） 单盘吞吐量计算公式（预配置性能，MB/s），公式中容量单位为GB min{预配置 IOPS ×16/1,024，min{8,000×容量/1,024，4,000} 基准吞吐量} min{预配置 IOPS ×16/1,024，min{8,000×容量/1,024，4,000} 基准吞吐量} min{预配置 IOPS ×16/1,024，min{8,000×容量/1,024，750} 基准吞吐量} min{预配置 IOPS ×16/1,024，min{8,000×容量/1,024，350} 基准吞吐量} 不涉及 特点 极高IOPS、超高吞吐量和极低时延 超高IOPS、超高吞吐量和超低时延 超高吞吐和超低时延的场景 高吞吐、低时延的场景 超高吞吐和低时延的场景 企业关键业务，高吞吐、低时延的工作负载 高吞吐、低时延的企业办公 一般访问量的工作负载 不常访问的工作负载 典型应用场景 超大型OLTP数据库 高负载、核心关键业务系统 超大型数据库 超大带宽的读写密集型场景 中大型数据库 系统盘 中型开发测试 Web应用 中小型数据库 大型开发测试 转码类业务 I/O密集型场景 转码类业务 系统盘 中型开发测试 企业办公 Web应用 普通开发测试 日常办公应用 轻载型开发测试 不建议用于系统盘 说明 1. X系列云硬盘的单盘性能 基础性能 + 预配置性能。预配置性能为用户自定义，您可以结合实际业务的需求，在容量不变的情况下，灵活配置云硬盘的IOPS。 2. 超高IO最大IOPS为50,000的资源池为：华东1、上海36、青岛20、武汉41、南宁23、华北2、南昌5、西南1、华南2、西安7、太原4、郑州5、西南2贵州、杭州7、长沙42（可用区1）。其他资源池支持的最大IOPS为33,000，单个云硬盘IOPS计算公式为：min{1,800+30×容量，33,000}。 3. 单个云硬盘的最大IOPS、IOPS突发上限、单个云硬盘的最大吞吐量三个参数的值均为读写总和。比如最大IOPSIOPS读+IOPS写。 4. 以单个超高IO云硬盘吞吐量计算公式为例说明：起步120MB/s，每GB增加0.5MB/s，上限为350MB/s。 5. 以单个通用型SSD云硬盘IOPS计算公式为例说明：起步1,500，每GB增加8，上限为20,000。 6. 单队列指队列深度为1，即并发度为1。单队列访问时延是所有IO请求串行处理时IO的时延，表格中数据是4KB数据块能达到的时延。X系列云硬盘性能测试方法请参见如何压测XSSD云硬盘的性能；其他类型云硬盘性能测试方法请参见如何测试云硬盘的性能。 7. 通用型SSD、超高IO云硬盘挂载至小规格云主机（如1vCPU、2vCPU等）时，可能达不到单盘最大IOPS指标。如果想要发挥出通用型SSD或超高IO云硬盘的磁盘最佳性能（如数万IOPS、数百MB/s吞吐），需要挂载至大规格云主机（16vCPU及以上）使用。 8. 不建议将超高IO云硬盘搭配国产化云主机使用，部分业务场景下可能达不到单盘最大IOPS指标。如果使用国产化云主机且对磁盘性能有要求，如数据库、在线交易系统、实时分析系统等场景，建议选择新一代X系列云硬盘搭配国产化云主机使用。X系列支持的国产化云主机规格请参见支持挂载主机规格族清单。 9. 普通IO、高IO类型的云硬盘由机械硬盘（HDD）提供支持，适合一般工作负载的应用场景；对于负载较高的应用场景，建议使用固态硬盘（SSD）提供支持的云硬盘，包括通用型SSD、超高IO、极速型SSD，或使用更高规格的XSSD系列云硬盘。 10. 当X系列云硬盘容量较小时，根据上述公式计算可能会出现以下情况：预配置性能中单盘预配置吞吐量为负，该情形下，预配置吞吐量以“预配置 IOPS ×16/1,024”为准。 11. XSSD2云硬盘于2026年01月08日0时进行了性能调整。2026年01月08日0时前创建的XSSD2云硬盘，性能仍然按照旧公式计算（含扩容、变配）；2026年01月08日0时后新订购的XSSD2云硬盘，性能按照新公式计算。