服务网格支持托管您的证书并下发到网关数据面，实现TLS加密通信，本文介绍网关管理相关操作。 操作 进入服务网格控制台 > 网关 > 证书管理，您可以创建、查看、更新、删除证书配置，证书相关配置说明如下 配置项 说明 名称 证书的名称 命名空间 证书存储所在的命名空间 公钥证书 证书内容，当前仅支持PEM格式 私钥 证书私钥 是否启用mTLS 启用mTLS的证书可用于配置实现mTLS通信 CA证书 mTLS通信时用于验证客户端证书有效性的CA证书 使用证书管理实现网关mTLS访问 1. 首先使用以下脚本生成客户端和服务端证书 !/bin/bash domain$1 openssl genpkey algorithm RSA out ca.key openssl req new x509 key ca.key out ca.crt subj "/CCN/STGD/LGZ/ODX/OUTYY" days 3650 openssl genpkey algorithm RSA out server.key openssl req new key server.key out server.csr subj "/CCN/STGD/LGZ/OTYY/OUMS/CN$domain" openssl x509 req in server.csr CA ca.crt CAkey ca.key CAcreateserial out server.crt days 3650 openssl genpkey algorithm RSA out client.key openssl req new key client.key out client.csr subj "/CCN/STGD/LGZ/OTYY/OUMS/CN$domain" openssl x509 req in client.csr CA ca.crt CAkey ca.key CAcreateserial out client.crt days 3650 将生成的server.crt填入公钥证书，server.key填入私钥，开启mTLS开关，将ca.crt填入CA证书 2. 创建ingress网关，部署httpbin测试服务并通过网关访问httpbin服务 httpbin服务部署（华南2资源池） apiVersion: v1 kind: ServiceAccount metadata: name: httpbin apiVersion: v1 kind: Service metadata: name: httpbin labels: app: httpbin service: httpbin spec: ports: name: http port: 8000 targetPort: 80 selector: app: httpbin apiVersion: apps/v1 kind: Deployment metadata: name: httpbin spec: replicas: 1 selector: matchLabels: app: httpbin version: v1 template: metadata: labels: app: httpbin version: v1 spec: serviceAccountName: httpbin containers: image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/httpbin:stable imagePullPolicy: IfNotPresent name: httpbin ports: containerPort: 80 创建Ingress网关并配置VirtualService资源 apiVersion: networking.istio.io/v1beta1 kind: VirtualService metadata: name: httpbin namespace: demo spec: gateways: cceforcsmdefaultingressgatewaytestgw hosts: foo.com http: route: destination: host: httpbin port: number: 8000 访问HTTP端口验证

不会删除。在云日志服务控制台，日志转储是把日志“另存”一份至OBS，转储后，单击“转储对象”列的OBS桶名称，可以跳转至OBS控制台，查看转储的日志文件。

托管检测与响应服务（原生版）应用场景介绍，帮助您了解如何选购本产品。 日常安全运营支撑 监控用户资产安全状况，发现各类安全威胁进行及时响应；提供产品咨询、技术支持、产品联动处置问题支持、产品故障/BUG解决等服务。 安全运营托管场景 基于丰富的云安全运营经验积累，面向云环境提供持续的安全监测和全面的保护服务，有效发挥云原生安全能力，集威胁分析、攻击面梳理、漏洞管理、应急响应等功能于一体，为用户及时发现、有效分析、闭环处理安全问题，有效防护威胁，降低用户运营成本，为用户资产提供持续有效的安全保障。 关键时期重保场景 为确保重大活动期间，业务系统的平稳安全运行，政企单位需提高网络安全保障强度，开展重要时期网络安全保障工作。包括：监测分析、应急处置、攻击反制、设备布防、漏洞加固、基线评估、弱口令评估、敏感信息评估、安全意识培训、蜜罐运营等。 应急响应场景 针对网络安全事件进行应急处置，保证相关业务的连续性和可用性，同时将攻击带来的破坏程度降到最低。在客户已知或怀疑系统被攻击的情况下，可委托我方工程师对系统进行排查和处置。

事件 描述 ActiveStandbySwitched 卷主备切换 InsufficientFDForLUNToWrite 可用故障域数量不满足卷写入要求 SufficientFDForLUNToWrite 可用故障域数量满足卷写入要求 LUNRecovered 卷还原 CannotConnectToCloud 无法连接到云 ConnectWithCloudResumed 上云连接已恢复 CloudAccountAbnormal 云账户异常 CloudAccountNormal 云账户正常 LUNCloudDataConflict 卷云端数据冲突 LUNCloudDataConflictResolved 卷云端数据冲突解除 LUNCloudHeartbeatConflict 卷云端心跳冲突 LUNCloudHeartbeatNormal 卷云端心跳正常 LUNFlattened 断开关系链完成 LUNResumed 卷恢复 LUNDataLowRedundancy 卷数据降级 LUNDataRedundancyResumed 卷数据降级恢复 LUNDataAccessResumed 卷数据访问恢复 LUNDataAccessFailed 卷数据无法访问

客户支持计划服务范围不包含 代码开发与调试； 任何未经认证的非“天翼云VIP客户客户名称”的IM沟通群及非天翼云服务支持企业服务群的服务支持； 云上业务操作及代运维服务； 所有第三方软件的配置指导、故障排查、安装、补丁更新、测试、故障诊断、优化等日常运维服务。 说明 对于不在天翼云服务范围内的第三方软件问题，您可反馈软件提供商，或在天翼云官网应用商城云市场目录下联系具备相关经验的商家寻求帮助。

本节为您介绍 自建PostgreSQL迁移至天翼云CTRDS PostgreSQL任务配置。 目标端配置请参照自建PostgreSQL迁移至自建PostgreSQL。

本文向您介绍操作系统实际版本和购买时的镜像版本不一致的解决方案。 问题现象 购买时的镜像版本是CentOS7.2，控制台console上显示镜像信息是CentOS7.2。但是实际登录弹性云主机后查看到的操作系统版本是比7.2更高的版本，此问题常见于linux操作系统。 根因分析 因为有做过系统内核更新的操作，例如yum y update操作，会使弹性云主机从旧的操作系统版本更新成新的操作系统版本。 如果之前没有清理过历史命令的话，可以通过yum history查看yum命令记录。 可以看到2023年8月22日有yum的install和update操作，用yum history info 进一步查看操作的详细信息。

事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源的操作事件收集到云监控服务，并在事件发生时进行告警。事件监控不依赖于Agent插件。 事件即云监控服务保存并监控的云服务资源的关键操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作，如删除虚拟机、重启虚拟机等。 事件监控默认开通，您可以在事件监控中查看系统事件和自定义事件的监控详情。 事件监控为您提供上报自定义事件的接口，方便您将业务产生的异常事件或重要变更事件采集上报到云监控服务。

基本流程 1. 开通 AIuse 云电脑服务。 2. 创建 AccessKey。 3. 将 AccessKey 关联到指定云电脑。 4. 获取目标云电脑的桌面编码 desktopCode。 5. 在 SDK 或 MCP 配置中使用 AccessKey，并在调用时指定桌面编码。 6. 任务结束或权限变化时，调整关联关系、禁用或删除 AccessKey。 注意事项 AccessKey Secret 属于敏感信息，请勿通过截图、聊天工具、工单附件或公开仓库传播。 删除 AccessKey 后无法恢复，删除前请确认业务系统已不再使用。 如发现 AccessKey 可能泄露，应立即禁用，并创建新的 AccessKey 替换。 当前文档以 Windows 云电脑操作示例为主，具体支持的云电脑操作系统范围以产品实际发布能力为准。 FileSystem 能力具备读写目标云电脑文件的能力，建议按项目和任务目录规划文件访问范围。

本章节主要介绍数据仓库服务的权限管理。 如果您需要对云上的DWS资源，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制云资源的访问。 通过IAM，您可以在云帐号中给员工创建IAM用户，并授权控制他们对云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有DWS的使用权限，但是不希望他们拥有删除集群等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用DWS，但是不允许删除集群的权限，控制他们对DWS资源的使用范围。 如果云帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用DWS服务的其它功能。 IAM是云提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。关于IAM的详细介绍，请参见统一身份认证用户指南中的“产品介绍”。 DWS权限 默认情况下，IAM管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DWS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问DWS时，需要先切换至授权区域。 角色 ：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略 ：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对DWS服务，IAM管理员能够控制IAM用户仅能对某一类资源进行指定的管理操作。 如下表所示，包括了DWS的所有系统权限。 DWS系统权限 系统角色/策略名称 描述 类别 依赖关系 DWS ReadOnlyAccess 数据仓库服务只读权限，拥有该权限的用户仅能查看数据仓库服务资源。 系统策略 无 DWS FullAccess 数据仓库服务数据库管理员权限，拥有数据仓库服务所有权限。 系统策略 无 DWS Administrator DWS数据库管理员权限，拥有对数据仓库服务的所有执行权限。 拥有VPC Administrator权限的DWS用户可以创建VPC或子网。 拥有云监控Administrator权限的DWS用户，可以查看DWS集群的监控指标信息。 系统角色 依赖Tenant Guest和Server Administrator策略，需要在同项目中勾选依赖的策略。 DWS Database Access DWS数据库访问权限，拥有该权限的用户，可以基于IAM用户生成临时数据库用户凭证以连接DWS集群数据库。 系统角色 依赖DWS Administrator，需要在同项目中勾选依赖的策略。 下表列出了DWS常用操作与系统权限的授权关系，您可以参照该表选择合适的系统策略。 说明 每个区域的每个项目首次使用弹性IP绑定功能时，系统将提示创建名称为“DWSAccessVPC”委托以授权DWS访问VPC。授权成功后，DWS可以在绑定弹性IP的虚拟机故障时切换至健康虚拟机。 在实际业务中，除了具备策略权限外还需要给不同角色的用户授予不同的资源操作权限。例如创建快照、重启集群等操作，详情请参见《数据仓库服务用户操作指南》中“策略语法：细粒度策略”章节。 默认情况下，只有云帐号或拥有Security Administrator权限的用户才具备查询委托和创建委托的权限。帐号中的IAM用户，默认没有查询委托和创建委托的权限，在使用弹性IP绑定功能时页面会屏蔽绑定按钮，此时需联系有“DWS Administrator”权限的用户在当前页面完成对DWS的委托授权。 DWS常用操作与系统权限的关系 操作 DWS FullAccess DWS ReadOnlyAccess DWS Administrator DWS Database Access 创建/恢复集群 √ x √ x 获取集群列表 √ √ √ x 获取单个集群详情 √ √ √ x 设置自动快照 √ x √ x 设置安全参数/参数组 √ x √ x 重启集群 √ x √ x 扩容集群 √ x √ x 重置密码 √ x √ x 删除集群 √ x √ x 设置可维护时间段 √ x √ x 绑定EIP x x √ x 解绑EIP x x √ x 创建DNS域名 √ x √ x 释放DNS域名 √ x √ x 修改DNS域名 √ x √ x 创建MRS连接 √ x √ x 更新MRS连接 √ x √ x 删除MRS连接 √ x √ x 添加/删除标签 √ x √ x 编辑标签 √ x √ x 创建快照 √ x √ x 获取快照列表 √ √ √ √ 删除快照 √ x √ x 复制快照 √ x √ x

本文主要介绍Serverless集群的天翼云存储插件cstorcsi，其使用过程中常见的问题及分析流程。 通用分析流程 1. 选择“插件”下的“插件实例”，查看cstorcsi实例，运行是否异常。 2. 选择“工作负载”下的“无状态”，切换命名空间为“cstor”，查看名称为“cstorcsiprovisioner”的pod日志，切换容器名称为“csiprovisioner”和“cstorcsiplugin”，查看是否有错误日志输出。 常见问题 1. 用户不允许订购按需类订单。 该报错是由于cstorcsi插件开通的云硬盘为按需付费方式，需要账户余额在100元以上才可正常开通。 解决方案：请检查天翼云“账户余额”是否在100元以上。 2. can not support RWX in filesystem mode for disk。 当使用cstorcsi安装生成的storageclass，创建持久卷声明（PVC）。正常情况下，创建持久卷声明后，在“存储”选择“持久卷”，列表栏会看到相应持久卷（PV）创建，并且状态为“已绑定”。如果创建持久卷声明后，未发现相应持久卷创建，查看cstorcsiplugin日志输出为 can not support RWX in filesystem mode for disk，表示当前创建的持久卷声明，不支持访问模式为多机读写。目前，cstorcsi插件安装，默认创建的云硬盘类型的storageclass，其访问模式与是否是共享盘有关，只有在使用共享盘的情况下，支持多机读写，其他情况仅支持单机读写。 解决方案：修改持久卷声明访问模式为“单机读写”。 3. failed to create disk volume, message: disk size should be in range [10G ,32T]。 目前，当使用cstorcsi插件安装的storageclass，云硬盘类型要求容量为 [10G ,32T]，文件存储要求容量500G以上。如果创建持久卷声明后，未发现相应持久卷创建，查看cstorcsiplugin日志输出为：failed to create disk volume, message: disk size should be in range [10G ,32T]，表示当前创建的存储卷声明，其容量需要调整为合理范围大小。 解决方案：创建存储卷声明时，其容量需要调整为合理范围大小。

如果创建的私有镜像和云主机在一个区域，后续可以为云主机切换操作系统，选择私有镜像即可。切换操作系统的详细指导请参见切换操作系统。

本节介绍了初始化容量大于2TB的Windows数据盘（Windows 2012）的相关内容。 操作场景 本文以云主机的操作系统为“Windows Server 2012 R2 Standard 64bit”、磁盘容量为3 TB举例，提供容量大于2 TB的Windows数据盘的初始化操作指导。 MBR格式分区支持的磁盘最大容量为2 TB，GPT分区表最大支持的磁盘容量为18 EB，因此当为容量大于2 TB的磁盘分区时，请采用GPT分区方式。具体操作请参见初始化容量大于2TB的Windows数据盘（Windows 2008）。关于磁盘分区形式的更多介绍，请参见初始化数据盘场景及磁盘分区形式介绍。 不同云主机的操作系统的格式化操作可能不同，本文仅供参考，具体操作步骤和差异请参考对应的云主机操作系统的产品文档。 注意 首次使用磁盘时，如果您未参考本章节对磁盘执行初始化操作，主要包括创建分区和文件系统等操作，那么当后续扩容磁盘时，新增容量部分的磁盘可能无法正常使用。 前提条件 已挂载数据盘至云主机，且该数据盘未初始化。 已登录云主机。 弹性云主机请参见《弹性云主机用户指南》。 物理机服务器请参见《物理机用户指南》。 操作指导 1.在云主机桌面，单击桌面下方的。 弹出“服务器管理器”窗口，如下图所示。 图 服务器管理器(Windows 2012) 2.在“服务器管理器”页面右上方选择“工具 > 计算机管理”。 弹出“计算机管理”窗口，如下图所示。 图 计算机管理窗口(Windows 2012) 3.选择“存储 > 磁盘管理”。 进入磁盘列表页面，如下图所示。 图 磁盘列表(Windows 2012) 4.（可选）在页面右侧可以查看磁盘列表，若新增磁盘处于脱机状态，需要先进行联机，再进行初始化。 在磁盘1区域，右键单击菜单列表中的“联机”。 如下图所示，当磁盘1由“脱机”状态变为“没有初始化”，表示联机成功。 图 联机成功(Windows 2012) 5.（可选）在磁盘1区域，右键单击菜单列表中的“初始化磁盘”。 弹出“初始化磁盘”窗口，如下图所示。 图 初始化磁盘(Windows 2012) 6.在“初始化磁盘”对话框中显示需要初始化的磁盘，对于大于2 TB的磁盘，此处请选择“GPT（GUID分区表）”，单击“确定”。 返回“计算机管理”窗口，如下图所示。 图 计算机管理(Windows 2012) 注意 MBR支持的磁盘最大容量为2 TB，GPT最大支持的磁盘容量为18 EB，当前数据盘支持的最大容量为32 TB，如果您需要使用大于2 TB的磁盘容量，分区形式请采用GPT。 当磁盘已经投入使用后，此时切换磁盘分区形式时，磁盘上的原有数据将会清除，因此请在磁盘初始化时谨慎选择磁盘分区形式。 7.在磁盘1右侧的未分配的区域，右键单击选择“新建简单卷”。 弹出“新建简单卷向导”窗口，如下图所示。 图 新建简单卷向导(Windows 2012) 8.根据界面提示，单击“下一步”。 进入“指定卷大小”页面，如下图所示。 图 指定卷大小(Windows 2012) 9.指定卷大小，系统默认卷大小为最大值，您还可以根据实际需求指定卷大小，此处以保持系统默认配置为例，单击“下一步”。 进入“分配驱动器号和路径”页面，如下图所示。 图 分配驱动器号和路径(Windows 2012) 10.分配到驱动器号和路径，系统默认为磁盘分配驱动器号，驱动器号默认为“D”，此处以保持系统默认配置为例，单击“下一步”。 进入“格式化分区”页面，如下图所示。 图 格式化分区(Windows 2012) 11.格式化分区，系统默认的文件系统为NTFS，并根据实际情况设置其他参数，此处以保持系统默认设置为例，单击“下一步”。 进入“完成新建卷”页面，如下图所示。 图 完成新建卷(Windows 2012) 注意 不同文件系统支持的分区大小不同，请根据您的业务需求选择合适的文件系统。 12.单击“完成”。 需要等待片刻让系统完成初始化操作，当卷状态为“状态良好”时，表示初始化磁盘成功，如下图所示。 图 初始化磁盘成功(Windows 2012) 13.新建卷完成后，单击，在文件资源管理器中查看是否有新建卷，此处以“新建卷（D:）”为例。 若如下图所示，可以看到“新建卷（D:）”，表示磁盘初始化成功，任务结束。 图 文件资源管理器(Windows 2012)

相关服务 交互功能 弹性云主机 数据管理服务支持弹性云主机（ECS）自建库实例的数据管理。 关系型数据库 数据管理服务支持关系型数据库(RDS)实例的管理。 通过数据管理服务连接目标数据库时，需要使用到目标数据库的用户名和密码。 关系型数据库与数据管理服务须在同一个区域下。 文档数据库 数据管理服务支持文档数据库（DDS）实例的管理。 通过数据管理服务连接目标数据库时，需要使用到目标数据库的用户名和密码。 数据库实例与数据管理服务须在同一个区域下。 分布式关系型数据库 数据管理服务支持分布式关系型数据库（DRDS）实例的管理。 通过数据管理服务连接目标数据库时，需要使用到目标数据库的用户名和密码。 数据库实例与数据管理服务须在同一个区域下。

卸载Linux版本Agent 1、登录需要卸载主机安全服务Agent的云服务器，并执行su root 命令切换到root用户。 2、在任意目录执行以下命令，卸载Agent。 3、针对“.rpm”格式的安装包，执行命令：rpm e nodeps hostguard 4、针对“.deb”格式的安装包，执行命令：dpkg P hostguard 若界面回显如下信息，则表示卸载完成。 Stopping Hostguard... Hostguard stopped Hostguard uninstalled. 卸载Windows版本Agent 1、登录需要卸载主机安全服务Agent的云服务器。 2、在“控制面板 > 程序和功能”中选中“HostGuard”，然后单击“卸载”。 注意 用户也可以进入安装目录，双击“unins000.exe”，启动卸载程序。 若安装Agent时创建了开始菜单下存放Agent快捷方式的文件夹，用户还可以在“开始 > HostGuard”中选择“卸载HostGuard”进行卸载。 3、在“HostGuard卸载”提示框中，单击“是”，开始卸载。 4、卸载完成后单击“确定”。

此小节介绍查看企业主机安全服务协议 天翼云企业主机安全服务协议

本页介绍了 connect failed 连接报错的处理方法。 问题描述 使用客户端连接文档数据库服务实例时报错 "Authentication failed", 使用的连接命令如下： mongo "mongodb://root: @ , /admin?authSourceadmin&replicaSet " 报错信息如下： 20230719T12:42:13.281+0800 W NETWORK [js] Unable to reach primary for set DDS 20230719T12:42:13.281+0800 I NETWORK [js] Cannot reach any nodes for set DDS. Please check network connectivity and the status of the set. This has happened for 2 checks in a row. 20230719T12:42:13.284+0800 E QUERY [js] Error: connect failed to replica set DDS/ : , : : connect@src/mongo/shell/mongo.js:257:13 @(connect):1:6 exception: connect failed 原因分析 从报错信息来看，是客户端到文档数据库服务之间的网络访问不通导致的。 可能的原因有： 文档数据库服务实例的端口错误，不可用。 文档数据库服务实例与客户端云主机不在同一个区域或子网。 服务端开启了 SSL 模式，但是客户端没有使用 SSL 模式访问。 处理方法 1. 检查文档数据库服务实例与ECS是否在同一个区域、同一个安全组和子网内。 首先登录文档数据库服务控制台，单击实例名称，在基本信息页面查看文档数据库服务实例所在的区域、VPC、安全组和子网信息。然后弹性云服务器控制台，单击云服务器名称，在基本信息页面，查看当前云主机所在的区域、VPC、安全组和子网信息。确保 2 者的配置信息相同。 2. 检查实例的端口是否正确，并通过 curl/telnet 命令检查端口是否可用。 登录到文档数据库服务控制台，单机实例名称，在基本信息页面查看实例的 IP 和端口信息，然后使用 curl 或者 telnet 命令测试端口的连通性。 示例如下： curl 检查 $ curl : It looks like you are trying to access MongoDB over HTTP on the native driver port. telnet 检查 $ telnet Trying ... Connected to . Escape character is '^]'. ^] telnet> 3. 检查实例是否开启了 SSL 模式。 登录到文档数据库服务控制台，单机实例名称，在基本信息页面上查看是否开启了 SSL 模式。如果开启了 SSL 模式，则下载证书后使用 SSL 模式访问，命令示例如下： ./mongo "mongodb://root: @ , /admin?authSourceadmin&replicaSet " ssl sslCAFile sslAllowInvalidHostnames

本节主要介绍自定义策略使用样例 配合较高权限系统策略使用 如果您给IAM用户授予较高权限的系统策略，例如“FullAccess” ，但不希望IAM用户拥有某个服务的权限，例如云审计服务。您可以创建一个自定义策略，并将自定义策略的Effect设置为Deny，然后将较高权限的系统策略和自定义策略同时授予用户，根据Deny优先原则，则授权的IAM用户除了云审计服务，可以对其他所有服务执行所有操作。 以下策略样例表示：拒绝IAM用户使用云审计服务。 { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "cts::" ] } ] } 说明 Action为授权项，格式为：服务名:资源类型:操作。 "cts::"：表示对云审计的所有操作。其中cts为服务名；“”为通配符，表示对所有的资源类型可以执行所有操作。 Effect为作用，Deny表示拒绝，Allow表示允许。 配合单个服务系统策略使用 如果您给IAM用户授予单个服务系统策略，例如“BMS FullAccess”，但不希望用户拥有BMS FullAccess中的创建物理机权限（bms:servers:create），可以创建一条相同Action的自定义策略，并将自定义策略的Effect设置为Deny，然后将系统策略BMS FullAccess和自定义策略同时授予用户，根据Deny优先原则，则用户可以对BMS执行除了创建物理机外的所有操作。 以下策略样例表示：拒绝IAM用户创建物理机。 { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "bms:servers:create" ] } ] } 如果您给IAM用户授予“OBS ReadOnlyAccess”权限，但不希望部分用户查看指定OBS资源（例如，不希望用户名以“TestUser”开头的用户查看以“TestBucket”命名开头的桶），可以再创建一条自定义策略来指定特定的资源，并将自定义策略的Effect设置为Deny，然后将OBS ReadOnlyAccess和自定义策略同时授予用户。根据Deny优先原则，则用户可以对以“TestBucket”命名开头之外的桶进行查看操作。 以下策略样例表示：拒绝以TestUser命名开头的用户查看以TestBucket命名开头的桶。 { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "obs:bucket:ListAllMybuckets", "obs:bucket:HeadBucket", "obs:bucket:ListBucket", "obs:bucket:GetBucketLocation" ], "Resource": [ "obs:::bucket:TestBucket" ], "Condition": { "StringStartWith": { "g:UserName": [ "TestUser" ] } } } ] } 说明 当前仅部分服务支持资源级授权，例如OBS 对象存储服务；对于不支持资源级别授权的服务，若自定义策略中含有资源类型，则无法创建成功。

概述 API授权用于保护API安全访问，确保只有授权用户能调用API。 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表，进入对应网关实例的控制台。 3. 在左侧导航栏，选择API托管 > API列表。 4. 点击进入对应的API详情页，上方导航栏点击授权信息。 开启API授权 只有开启了应用授权的API，才能进行授权访问。可在创建时开启，也可编辑API，安全认证选择应用授权开启。 应用授权 应用授权支持环境隔离，只有API发布到指定环境后才能进行授权。将需要授权的应用添加到右侧区块，点击确定即可完成批量授权。授权可设置有效期或选择长期有效。 解除应用授权 在API应用授权信息列表中，可选择授权应用进行移除。 关闭应用授权 编辑API，安全认证方式，选择无认证，即可关闭应用授权。

可能原因2：备份资源正在执行其他操作，此时的资源状态为非可执行备份状态。 建议操作： 1. 操作或等待资源恢复为可执行备份的状态：只有目标云硬盘状态为“已挂载”或“未挂载”时可以进行备份，如果目标云硬盘正在执行备份任务，需等待此次备份执行完成后再执行下一次备份。 2. 增加配置的备份间隔：若需要备份的资源总数据量较大，建议备份执行时间点不宜设置过于紧密。如果单个资源执行备份的时长超过两个备份执行时间间隔，则会跳过第二个备份时间点不进行备份。 例如：某硬盘的备份策略设置的备份时间点为：00:00，01:00，02:00。在00:00时，开始进行备份，由于此次备份增量数据较大，或者该时间段同时执行的备份任务较多，该次备份任务耗时90分钟，在01:30时完成备份。则01:00的备份时间点会跳过，在02:00时再执行备份，不会产生01:00时间点的备份。

如何选择Master节点的规格？以便更好匹配Worker节点规模。 一般不同规模的节点池，建议配置相应的Master节点规模与之匹配，详细可查看：集群规格规划 同一集群支持2种不同Worker节点主机规格吗？ 支持，需要通过2步实现：集群订购+扩容节点池。1）集群订购选择一种默认节点池的主机规格；2）集群开通后进入控制台，创建节点池选择另一种主机规格，手动扩容新的节点池配置，详细可查看: 节点池管理 节点的系统盘大小可以选择订购吗? 支持，Master节点和节点池节点的系统盘可以按需选择订购，一般该主机盘的最小值为主机操作系统镜像的最小值，详细可参考订购页。 集群订购页"组件配置"有哪些额外的收费项，是否必须购买? 非必须，可选的收费项包括：Ingress的elb和eip；云日志服务、容器镜像服务企业版，客户可按需选择，由对应的云产品进行收费。

本文带您熟悉存储库解绑备份策略的操作步骤。 操作场景 当您不需要再执行某个备份策略时，可以为存储库解绑该备份策略。 操作须知 解绑后，此备份策略将暂停自动备份的执行，直至重新绑定到另一个存储库为止。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择上海上海36。 3. 在系统首页，选择“存储>云主机备份”。 4. 在控制台左侧导航栏，选择“存储库管理”。 5. 在“云主机备份”页签，选中要解绑备份策略的存储库，点击名称进入存储库详情页。 6. 在备份策略标签页，选中要解绑的备份策略，点击“解绑”。 6. 在弹出的弹窗中点击“确定”，完成解绑。

本文主要介绍云日志服务中查看告警发送历史。 告警发送历史支持展示当前租户下所有发送的告警历史，支持筛选和对告警信息进行操作。 功能入口 1. 登录云日志服务控制台。 2. 在左侧导航栏中选择告警管理告警发送历史。 功能说明 展示当前租户下所有告警发送信息。 支持对告警名称、告警状态、告警等级、通知策略和创建时间进行筛选。 告警名称：显示告警规则名称。 告警状态：显示事件当前状态是待认领、已解决、处理中。 告警等级：显示告警的重要层级分布是一般、次要、重要、紧急。 通知策略：告警对应的通知策略。 处理人：告警的最新解决/认领人。 创建时间：告警产生的时间。 支持认领、解决、指定处理人操作。 认领：当告警处于待认领状态时，可主动领取当前告警。 解决：当告警处于待认领/处理中状态时，点击解决可更新告警状态为已解决。 指定处理人：指定他人处理该告警。 支持查看告警详情。

本节介绍了如何修改云数据库GaussDB 的实例名称。 操作场景 云数据库GaussDB 支持修改实例名称，以方便用户识别。 约束 实例名称修改中，以下操作不可进行： 删除实例。 创建备份。 操作步骤 步骤 1 登录管理控制台。 步骤 2 在“实例管理”页面，单击目标实例名称后的 ，编辑实例名称，单击“确认”，即可修改实例名称。 您也可以单击目标实例名称，进入实例的“基本信息”页面，在“数据库信息”模块实例名称处，单击 ，修改实例名称。 实例名称长度在4个到64个字符之间，必须以字母开头，可包含大写字母、小写字母、数字、中划线或下划线，不能包含其他特殊字符。 单击 ，提交修改。 单击 ，取消修改。 步骤 3 在实例的“基本信息”页面，查看修改结果。

本节为您介绍云迁移服务CMS资源操作相关内容。 云迁移服务CMS平台提供批量绑定关系表导出、资源规格映射导出、批量确认、批量确认日志、资源创建日志、关键字搜索等功能，您可以在 [ 资源创建 ] 界面进行相关操作。 批量绑定关系表导出 在左侧导航栏选择资源规划，点击【资源创建】按钮，进入 [ 资源创建 ] 界面，选中需要导出资源，点击【批量绑定关系表导出】按钮，弹出下载任务弹窗，如图所示。 查看导出绑定关系，如图所示。 资源规格映射导出 在左侧导航栏选择资源规划，点击【资源创建】按钮，进入 [ 资源创建 ] 界面，选中需要导出资源，点击【资源规格映射导出】按钮，弹出下载任务弹窗，如图所示。

本小节主要介绍如何在任务中心查看任务内容。 任务中心是系统执行任务接收状态提示管理中心。 任务类型：导入用户、导入主机、导入云主机、导入应用、导入应用服务器、导入帐户、帐户改密、AD域同步、系统维护（升级和还原）、生成视频、帐户同步、帐户验证、配置备份、自动运维、导入动态令牌、安装Agent。 任务状态共有3种，分别包括“进行中”、“已完成”、“已停止”。 操作步骤 1. 登录云堡垒机系统。 2. 单击右上角，展开任务中心小窗口，可查看最新三条“执行中”任务。 3. 单击“查看更多”，进入任务中心列表页面。 4. 查询任务。在搜索框中输入关键字，根据任务标题内容快速查询任务。 5. 查看任务列表。在任务列表可以查看到正在进行的任务、已完成的任务和被停止的任务。 6. 查看任务详情。 1. 单击目标任务名称，进入任务详情页面。 2. 可查看任务基本信息和任务执行结果。

本节为您介绍云迁移服务CMS迁移计划创建。 1. 云迁移服务CMS提供迁移计划任务创建功能，您可以在左侧导航栏选择资源规划，点击【迁移计划】按钮，跳转至[ 迁移计划 ] 界面，您可以点击【迁移计划创建】按钮，创建迁移计划任务。如图所示。 2. 进入 [ 迁移计划创建 ] 界面，依次填写迁移计划基本信息，点击【下一步】按钮。如图所示。 3. 进入 [ 资源选取 ] 界面，选择需要添加的资源，点击【下一步】按钮，如图所示。 4. 进入 [ 资源确认 ] 界面，选择确定添加资源，点击【资源确认】按钮，如图所示。 5. 迁移计划任务创建完成后，点击【确认】按钮，如图所示。 6. 成功添加迁移计划后，平台会自动跳转至 [ 迁移计划 ] 界面，在列表中会显示新添加迁移计划，如图所示。

数据安全中心用户指南 天翼云数据安全中心用户指南.pdf

本节包含迁移方案总览相关内容。 云数据库RDS for PostgreSQL提供了多种数据同步方案，可满足从RDS for PostgreSQL、自建PostgreSQL数据库、其他云PostgreSQL、自建Oracle数据库同步到云数据库RDS for PostgreSQL。 常用的数据迁移工具有：DRS、pgdump、DAS。推荐使用DRS，DRS可以快速解决多场景下，数据库之间的数据流通问题，操作便捷、简单，仅需分钟级就能搭建完成迁移任务。通过服务化迁移，免去了传统的DBA人力成本和硬件成本，帮助您降低数据传输的成本。 DRS提供实时同步功能：实时同步是指在不同的系统之间，将数据通过同步技术从一个数据源拷贝到其他数据库，并保持一致，实现关键业务的数据实时流动。实时同步不同于迁移，迁移是以整体数据库搬迁为目的，而实时同步是维持不同业务之间的数据持续性流动。 迁移方案总览 源数据库类型 数据量 一次性或持续 应用程序停机时间 迁移方式 参考文档 RDS for PostgreSQL 小型 一次性 一段时间 使用pgdump工具将数据复制到RDS for PostgreSQL数据库。 使用psql命令迁移RDS for PostgreSQL数据 RDS for PostgreSQL 中 一次性 一段时间 使用DAS导出数据，再导入到RDS for PostgreSQL数据库。 使用DAS的导出和导入功能迁移RDS for PostgreSQL数据 RDS for PostgreSQL 任何 一次性或持续 最低 使用DRS将源库数据同步到RDS for PostgreSQL数据库。 将RDS for PostgreSQL同步到RDS for PostgreSQL 本地自建PostgreSQL数据库 ECS自建PostgreSQL数据库 任何 一次性或持续 最低 使用DRS将自建PostgreSQL同步到RDS for PostgreSQL数据库。 将自建PostgreSQL同步到RDS for PostgreSQL 其他云上PostgreSQL数据库 任何 一次性或持续 最低 使用DRS将其他云上PostgreSQL同步到RDS for PostgreSQL数据库。 其他云PostgreSQL同步到RDS for PostgreSQL 本地自建Oracle数据库 ECS自建Oracle数据库 任何 一次性或持续 最低 使用DRS将自建Oracle数据同步到RDS for PostgreSQL数据库。 将Oracle同步到RDS for PostgreSQL

本小节进行TTL值的说明。 TTL（生存时间，time to live）为名称服务器允许数据在缓存中存放的时间。云解析平台TTL值范围是1秒~86400秒，默认是3600秒。

参数 是否必填 参数类型 说明 示例 下级对象 vpcId 是 String natId scenarioType 是 String 场景类型nat;vpcPeer对等连接;cda云专线;ec云间高速 scenarioId 是 String 场景id

参数 是否必填 参数类型 说明 示例 下级对象 cloudHostIds 是 Array of Strings 云主机id列表 ["111","222"]