漏洞描述 Linux kernel是美国Linux基金会发布的开源操作系统Linux所使用的内核。 Linux kernel中的mm/mempolicy.c文件的‘dogetmempolicy’函数存在安全漏洞。本地攻击者可借助特制的系统调用利用该漏洞造成拒绝服务（内存错误引用）。 基本信息 · CVE编号：CVE201810675 · 漏洞类型：拒绝服务攻击 · 危险等级：高危 · 受影响应用版本：(不同操作系统影响的应用版本不同，具体以检测结果为准) · 检测方式：版本对比 · 是否加入全局：是 · 公布时间： 20180502 · 风险特征：内核风险 · CVSS评分： 7 · CVSS详情： AV:L/AC:L/Au:N/C:C/I:C/A:C 修复建议 1.将漏洞检测结果中的软件包升级到对应漏洞修复版本及以上，内核补丁修复可能存在风险，修复需谨慎，建议测试验证无误后进行升级操作。 2.参照安全补丁功能中该漏洞的修复命令进行升级，或者参照以下修复命令进行升级： CentOS/RHEL/Oracle Linux : sudo yum update y 需要升级的软件包名(参考检测结果) SUSE : sudo zypper update y 需要升级的软件包名(参考检测结果) Ubuntu/Debian : sudo aptget update && sudo aptget install onlyupgrade y 需要升级的软件包名(参考检测结果) 例：若漏洞的检测结果中主机系统为CentOS 7，软件包名称为 kerneltools，则漏洞修复命令为 sudo yum update y kerneltools

不割接模式升级 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在实例列表，单击实例名称，进入实例的基本信息页面。 步骤 5 在左侧导航栏，选择“大版本升级”。 说明 如果没有看到“大版本升级”页签，请联系客服申请。 步骤 6 在“大版本升级”页签，选择目标升级版本，单击“下一步”。 步骤 7 在预检查页面，启动升级前预检查，等待几分钟，查看预检查成功。 说明 升级检查成功后，如果有新创建插件，可能会因为不兼容，导致升级失败，建议重新进行升级检查。详见升级插件限制说明。 若升级检查失败，您可在检查历史中查看升级检查报告，根据报告内容修改数据中存在的不兼容情况。 步骤 8 检查成功后，选择不割接，一键输入“升级”，单击“立即升级”。 步骤 9 确认升级信息后，单击“提交”，开始大版本升级。 步骤 10 升级完成后，可以看到新创建的目标版本实例，用户可以连接新实例进行业务兼容性测试 结束 割接模式升级 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在实例列表，单击实例名称，进入实例的基本信息页面。 步骤 5 在左侧导航栏，选择“大版本升级”。 说明 如果没有看到“大版本升级”页签，请联系客服申请。 步骤 6 在“大版本升级”页签，选择目标升级版本，单击“下一步”。 步骤 7 在预检查页面，启动升级前预检查，等待几分钟，查看预检查成功。 说明 升级检查成功后，如果有新创建插件，可能会因为不兼容，导致升级失败，建议重新进行升级检查。详见升级插件限制说明。 若升级检查失败，您可在检查历史中查看升级检查报告，根据报告内容修改数据中存在的不兼容情况。 步骤 8 预检查成功后，选择“割接”，以及统计信息收集模式，一键输入“升级”，单击“立即升级”。 大版本升级时，不会自动同步优化器统计信息，因此需要在升级完成后进行统计信息收集。 割接前收集：可以保证业务稳定性。如果实例数据量太大可能会导致升级时间较久。 割接后收集：实例升级速度较快。升级后访问未生成统计信息的表可能导致执行计划不准确，业务高峰期还可能导致数据库宕机。 步骤 9 确认升级信息后，单击“提交”，开始大版本升级。 步骤 10 升级完成后，可以看到新创建的目标版本实例，用户业务会自动切换到新实例。 结束

权限 对应OpenAPI接口 授权项 读写类型 实例服务列表 kms:instance:list 读 密钥管理服务订购 kms:instance:purchase 写 密钥管理服务续订 kms:instance:renew 写 密钥管理服务退订 kms:instance:refund 写 密钥管理服务扩容 kms:instance:expand 写 密钥管理服务升级 kms:instance:upgrade 写

本文为您介绍轻量型云主机的产品使用限制。 网络限制 轻量型云主机将为用户创建默认的VPC。 同一账号同地域下，多台轻量型云主机默认处于同一个VPC环境中, 可以通过内网进行通信。 不同用户、同一用户不同地域下的轻量型云主机所在的VPC间是隔离的，无法直接通过内网进行通信。 轻量型云主机目前不支持配置IPv6地址。 公网IP 每台轻量型云主机创建完成后，默认分配一个独立固定的公网IP地址，并配置独享的公网带宽。 每台轻量型云主机只能绑定一个公网IP地址，且不支持更换公网IP地址。 存储限制 挂载轻量型云主机的云硬盘不支持加密盘、共享盘或ISCSI盘。 用户可以在订单页面额外挂载数据盘，这会产生额外费用（单独收费，独立套餐外），云盘容量大小范围为：1032768（GB）。 配额限制 单台轻量型云主机最多支持5块数据盘。 单个用户在单个资源池内最多可以开通10台轻量型云主机。 变更限制 目前，轻量型云主机仅支持套餐升级。用户可以进行套餐升级，但需要满足以下条件之一： 云盘的大小大于当前的规格。 主机规格大于当前的规格。 带宽大于当前的规格。

权限名称 权限描述 权限依赖 应用场景 cse:engine:list 列出所有引擎 无 查看引擎列表。 cse:engine:get 查看引擎信息 cse:engine:list 查看引擎详情，仅微服务引擎专享版支持。 cse:engine:modify 修改引擎 cse:engine:listl cse:engine:get 修改引擎的操作包括：开启/关闭公网访问操作、开启/关闭安全认证操作、引擎失败任务重试操作，仅微服务引擎专享版支持。 cse:engine:upgrade 升级引擎 cse:engine:listl cse:engine:get 升级引擎的操作包括：引擎版本升级操作，仅微服务引擎专享版支持。 cse:engine:delete 删除引擎 cse:engine:list 删除引擎，仅微服务引擎专享版支持。 cse:engine:create 创建引擎 cse:engine:getl cse:engine:listl ecs:cloudServerFlavors:getl vpc:vpcs:getl vpc:vpcs:listl vpc:subnets:getl vpc:ports:getl vpc:ports:create 创建引擎的操作包括：创建引擎操作，引擎备份/恢复任务创建操作，仅微服务引擎专享版支持。 cse:config:modify 服务配置管理修改 cse:engine:listl cse:engine:getl cse:config:get 全局配置功能与治理功能涉及的配置修改。 cse:config:get 服务配置管理查看 cse:engine:listl cse:engine:get 查看服务的配置。 cse:governance:modify 服务治理中心修改 cse:engine:listl cse:engine:getl cse:config:getl cse:config:modifyl cse:registry:getl cse:registry:modifyl cse:governance:get 创建与修改服务治理。 cse:governance:get 服务治理中心查看 cse:engine:listl cse:engine:getl cse:config:getl cse:registry:get 查看服务治理功能。 cse:registry:modify 服务注册管理修改 cse:engine:listl cse:engine:getl cse:registry:get 服务修改。 cse:dashboard:modify dashboard管理修改 cse:engine:listl cse:engine:getl cse:registry:getl cse:dashboard:getl cse:registry:modify 仪表盘修改。 cse:dashboard:get dashboard管理查看 cse:engine:listl cse:engine:getl cse:registry:get 仪表盘查看。 cse:registry:get 服务注册管理查看 cse:engine:listl cse:engine:get 服务目录查看。

网页防篡改 实时监控网站目录并通过备份恢复被篡改的文件或目录，保障重要系统的网站信息不被恶意篡改，防止出现挂马、黑链、非法植入恐怖威胁、色情等内容。 勒索防护 在系统关键位置投放诱饵文件，实时捕捉勒索病毒攻击行为，可有效阻止勒索病毒对数据的加密。 文件完整性保护 对系统关键文件、文件路径、文件目录进行实时监控，发现文件变更篡改行为后进行告警，帮助用户及时发现可能遭受攻击的文件更改。

此小节介绍如何进行WAF防护策略的配置。 防护规则配置方式 为了简化您的配置过程，WAF提供了以下两种自定义防护规则的配置方式，请根据您的业务合理选择配置方式。 方式一：单个域名配置防护规则 此种方式适合域名业务较少或者域名业务适用的配置规则不相同的用户。 网站接入WAF防护后，您可以参照以下步骤，为网站配置防护策略。 步骤 说明 步骤一：添加防护策略 域名添加到WAF后，WAF会自动为该域名绑定一个防护策略，该策略中包含了WAF默认的防护规则，如果需要重新定制防护策略，可新增防护策略。 步骤二：为策略配置防护规则 防护策略是防护规则的合集，WAF支持的防护规则见下表。 步骤三：添加策略适用的防护域名 一条防护策略可以适用于多个防护域名，如果多个域名适用这条策略，可为策略添加适用的防护域名。 规则配置页面可配置的防护规则，如下表所示。 防护规则 说明 参考文档 ::: Web基础防护规则 覆盖OWASP（Open Web Application Security Project，简称OWASP）TOP 10中常见安全威胁，通过预置丰富的信誉库，对恶意扫描器、IP、网马等威胁进行检测和拦截。 配置Web基础防护规则 CC攻击防护规则 可以自定义CC防护规则，限制单个IP/Cookie/Referer访问者对您的网站上特定路径（URL）的访问频率，WAF会根据您配置的规则，精准识别CC攻击以及有效缓解CC攻击。 配置CC攻击防护规则 精准访问防护规则 精准访问防护策略可对HTTP首部、Cookie、访问URL、请求参数或者客户端IP进行条件组合，定制化防护策略，为您的网站带来更精准的防护。 配置精准访问防护规则 黑白名单规则 配置黑白名单规则，阻断、仅记录或放行指定IP的访问请求，即设置IP黑/白名单。 配置IP黑白名单规则 地理位置访问控制规则 针对指定国家、地区的来源IP自定义访问控制。 配置地理位置访问控制规则 网页防篡改规则 当用户需要防护静态页面被篡改时，可配置网页防篡改规则。 配置网页防篡改规则 网站反爬虫规则 动态分析网站业务模型，结合人机识别技术和数据风控手段，精准识别爬虫行为。 配置网站反爬虫防护规则 防敏感信息泄露规则 该规则可添加两种类型的防敏感信息泄露规则： 敏感信息过滤。配置后可对返回页面中包含的敏感信息做屏蔽处理，防止用户的敏感信息（例如：身份证号、电话号码、电子邮箱等）泄露。 响应码拦截。配置后可拦截指定的HTTP响应码页面。 配置防敏感信息泄露规则 全局白名单规则 针对特定请求忽略某些攻击检测规则，用于处理误报事件。 配置全局白名单（原误报屏蔽）规则对误报进行忽略 隐私屏蔽规则 隐私信息屏蔽，避免用户的密码等信息出现在事件日志中。 配置隐私屏蔽规则

本节主要介绍“设置”页面信息。 点击导航栏中的“设置”，进入“设置”页面，可以设置邮件通知、远程协助、密码管理、软件许可证，以及升级HBlock服务。

本节介绍安全与加速服务的安全报表模块，支持查看六个月内、最长时间跨度为一个月的已防护域名的安全报表。主要内容包括Web安全报表、DDoS安全报表、CC安全报表以及BOT安全报表，您可以在这里查看实时或历史的攻击防护情况。 Web安全报表 Web安全报表模块为用户统计Web安全相关的分析与统计，用户可在查询栏，指定要分析的域名及时间范围。 统计模块主要包括： 统计模块 说明 总请求数 统计已接入域名的业务总请求数 Web攻击次数 统计攻击命中Web安全防护策略的请求次数 拦截次数 统计攻击命中Web安全防护策略且处置动作为拦截的请求次数 攻击源个数 统计攻击源IP的个数 攻击网站数 统计受攻击的网站个数 Web攻防趋势 支持查看总请求数、总攻击次数、拦截次数、告警次数的访问趋势，并支持选择时间粒度为5分钟、1小时、1天，默认时间粒度为5分钟 攻击类型分布 支持查看域名遭受的攻击类型占比与攻击次数，并支持选择攻击类型，查看域名受到该类型的攻击次数排行 攻击IP 支持查看发起攻击次数最多的源IP排行，支持获取攻击IP、IP归属地、攻击次数、占比等字段信息 受攻击情况 支持查看受到攻击次数最多的域名及URL排行情况，支持获取域名/URL、受攻击次数、占比等字段信息 全国攻击分布 支持查看全国的攻击分布情况，不同颜色代表不同范围的攻击次数。并支持查看攻击地区排行情况

本文主要介绍。 适用场景 本章介绍在CCE中如何将老版本集群的业务迁移到新版本集群。 适用于需要大幅度跨版本集群升级（如1.7.或1.9. 升级到1.17.版本）的需求，可以接受新建新版本集群而进行业务迁移的升级方式。 前提条件 迁移前Checklist 类别 描述 集群相关 Nodeip强相关：确认之前集群的节点IP（包括EIP），是否有作为其他的配置或者白名单之类的设置。 工作负载 记录工作负载数目，便于迁移后检查。 存储 确认应用中存储，是否使用云，或者自己搭建存储。自动创建的存储需要在新集群中变成使用已有存储。 网络 注意使用的负载均衡服务，以及Ingress。老版本的集群只支持经典型负载均衡服务，迁移到新集群中需要改成共享型负载均衡服务，对应负载均衡服务将会重新建立。 运维 私有配置：确认在之前集群中，是否在节点上配置内核参数或者系统配置。 操作步骤 步骤 1 创建新集群 创建与老版本集群同规格同配置的集群，创建方法请参见购买CCE集群。 步骤 2 添加节点 添加同规格节点，并且在节点上配置之前的手动配置项，创建方法请参见创建节点。 步骤 3 创建存储 在新集群中使用已有存储创建PVC，PVC名称不变，方法请参见存储卷声明PVC。 说明 切流方案仅支持OBS、SFS、共享云硬盘类型的存储。非共享云硬盘存储切流需要将老集群内的工作负载暂停，会导致断服。 步骤 4 创建工作负载 在新集群中创建工作负载，名称和规格参数保持不变，创建方法请参见创建无状态负载(Deployment)或创建有状态负载(StatefulSet)。 步骤 5 创建服务 在新集群中创建Service，名称和规格参数保持不变，创建方法请参见Service。 步骤 6 调测功能 全部创建完成后，请自行调测业务，调测无问题后切换流量。 步骤 7 老集群退订或删除 新集群全部功能ready，退订或者删除老集群，删除集群方法请参见删除集群（按需计费）

使用或注册天翼云账号，并完成 实名认证。 1. 打开天翼云门户网站，单击“免费注册”。 2. 在注册页面，请填写“邮箱地址”、“登录密码”、“手机号码”，并点击“同意协议并提交” 按钮，如1分钟内手机未收到验证码，请再次点击“免费获取短信验证码”按钮，如下图所示。 3. 注册成功后，可到邮箱激活您的账号，即可体验天翼云。 如需实名认证，请参考 会员服务 实名认证。 帐号余额不少于100元，避免迁移过程中欠费，导致迁移失败。云迁移服务本身免费，但迁移过程中会创建按量付费资源并产生少量费用。具体请参见计费说明。 用户开通并使用云迁移服务。 1. 使用您的天翼云账号完成登录。 2. 在云迁移产品主页，单击“立即开通”按钮进入控制中心，如下图所示。

本节介绍分布式消息服务Kafka计费类常见问题 支持哪些付费方式？ 目前天翼云分布式消息服务Kafka提供包周期（包年/包月）、按需计费2种计费模式供您灵活选择。 按包周期实例计费 提供包月和包年的购买模式，这种购买方式相对于按需付费则能够提供更大的折扣，对于长期使用者，推荐该方式。包周期计费按照订单的购买周期来进行结算。 按需实例计费 按需计费根据资源的结算周期进行结算，在达到结算周期时，系统会生成账单，进行扣费。如果账户余额不足，资源将进入保留期，需要在保留期完成缴费，超过保留期，所使用资源将被关停并收回资源。 按需与包周期两种方式如何选择？ 下表列出两种模式的区别： 计费模式 包年/包月 按需计费 付费方式 预付费按照订单的购买周期结算。 后付费按照云服务器实际使用时长计费。 计费周期 按订单的购买周期计费。 按小时结算。 实例升级 支持实例升级。 支持实例升级。 更改计费模式 支持变更为按需资源。 支持变更为包周期资源。 变更规格 支持变更实例规格。 支持变更实例规格。 适用场景 适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。对于长期使用者，推荐该方式。 适用于资源需求波动的场景，可以随时开通，随时删除。 包周期与按需计费方式之间可以进行转换，具体操作请参考计费互转。

本页介绍天翼云TeleDB数据库在线升级。 操作场景 随着产品功能不断迭代升级，用户可根据自己业务需求选择升级内核版本。为了帮助您最大程度减少升级过程的繁琐及升级过程对业务的影响，您可在TeleDB控制台进行在线升级。 操作步骤 1. 切换至TeleDB控制台，在左侧导航单击实例详情 ，进入实例详情页面。 2. 在实例详情 页面，单击右上角操作下拉框的在线升级 ，出现实例升级 对话框。 3. 在实例升级 对话框，填写任务名称 ，选择升级版本 及升级节点 ，单击下一步 。 4. 确认升级相关信息，单击升级 。 5. 单击立即前往 ，可跳转至任务管理页面查看任务执行详情。

本节介绍了内容审核相关的应用场景。 互动直播 在直播场景中，数量众多的房间同时直播，人工审核直播内容几乎不可能完成。利用图像审核功能，可以对所有房间内容进行实时监控，识别出可疑房间并进行提前预警，以确保直播内容的安全。 场景优势如下： 在改进的深度学习算法的帮助下，文本内容的审核准确率高。 配备了高性能的GPU和CPU等硬件，审核能力强，响应速度快。 电子商城 通过智能审核商家或用户上传图像，可以高效识别并预警不合规图片，避免涉黄、涉暴类图像的发布，降低人工审核成本和业务违规风险。 场景优势如下： 响应速度快：配备高配GPU和CPU等硬件设备，审核速度快。 论坛类网站 对于用户原创内容（UGC）类网站，不合规图片的识别和处理是其重点工作之一。通过内容审核技术，可以对用户上传的图片进行识别和预警，使客户能够快速定位和处理问题，降低业务违规风险。 场景优势如下： 高准确率：利用改进的深度学习算法，提升了不合规图片识别的准确率。 快响应速度：通过配备高性能GPU和CPU等硬件设备，使审核及时响应，审核速度更快。 电商网站评价检查 电商网站产品评论的审核十分重要，通过智能审核技术，能够智能地识别包含色情、灌水等违规内容的评论，保障良好的用户体验。 场景优势如下： 准确率高：基于改进的深度学习算法，使得违规评论的识别准确率更高。 响应速度快：配置高性能GPU和CPU等硬件设备，审核速度更快，能够保证快速响应，提升审核效率。

本章节介绍注册配置中心常见实例问题 订购的ZooKeeper/Nacos/Eureka实例为什么没有外网地址？ 如果购买的实例没有绑定ELB，那么您的实例没有外网地址。您绑定ELB就可以用ELB的地址实现外网访问实例。 Nacos实例升级会不会影响用户正常服务？ 对于多节点集群，重启不影响用户服务，实例升级过程中，各节点服务器依次滚动重启，保证用户使用Nacos服务不间断；对于单机实例，重启可能会受到服务中断影响，所以建议生产（线上）环境使用三节点以上的集群进行服务。 生产环境下Nacos设置多少个节点比较好呢？ Nacos建议的规格书2n+1个节点，最佳值需根据实际需求和规格能力计算获得。 Nacos支持开源的Nacos控制台吗？ 默认不支持访问Nacos开源控制台。 Nacos Client支持哪些版本，推荐使用哪个版本？ Nacos Client 1.2.1版本以上均支持，推荐使用Nacos 2.x系列版本的Nacos Client。 MSE里的Nacos服务怎么下线？ 服务管理页面，选择指定的命名空间和服务名称，查看服务详情，按服务实例的维度进行下线操作。 如果 注册配置中心的某个实例被删除， 天翼云会提供恢复的解决方案吗？如果有的话需要多久能恢复？ 实例过期时间提前7天会有短信通知，实例退订后数据会保留15天，在此期间可以恢复实例。超过时间则无法恢复。

本节描述了弹性云主机使用场景须知、使用限制、Windows操作系统使用须知、Linux操作系统使用须知。 弹性云主机使用场景须知 禁止使用ECS搭建赌博、私服、跨境VPN等违法违规业务。 禁止使用ECS对电商网站开展刷单、刷广告等虚假交易操作。 禁止利用ECS对外部系统发起网络攻击，例如：DDoS攻击、CC攻击，Web攻击，暴力破解，传播病毒、木马等。 禁止使用ECS提供流量穿透服务。 禁止利用ECS搭建爬虫环境，对外部系统发起爬虫搜索。 未经外部系统主体授权，禁止利用ECS对外部系统发起扫描、渗透等探测行为。 禁止在ECS上部署任何违法违规网站和应用。 使用限制 请勿卸载云主机硬件的驱动程序。 弹性云主机不支持加载外接硬件设备，例如：硬件加密狗、U盘等。 请勿修改网卡的MAC地址。 弹性云主机不支持二次虚拟化。 物理机支持虚拟化软件安装和二次虚拟化，兼容VMware、Citrix XenServer、HyperV、Xen、KVM等多种Hypervisor。 部分软件的鉴权模式可能会导致license与物理机的硬件信息绑定，云主机的迁移、规格变更操作可能会引起物理信息变更进而导致license失效。 由于物理机故障导致云主机发生迁移，迁移时可能会出现重启或关机现象，建议您在系统业务进程配置自动拉起和开机自启动，或者通过业务集群部署、主备部署等方式实现业务的高可用。 建议您为部署核心关键业务的云主机做好数据备份。 建议您为云主机上的应用业务指标做好监控配置。 不建议您修改默认的DNS，如您有公网DNS配置需求，可以在云主机上配置公网DNS和内网DNS。

本页介绍天翼云TeleDB数据库实例在线升级。 操作场景 随着产品功能不断迭代升级，用户可根据自己业务需求选择升级内核版本。为了帮助您最大程度减少升级过程的繁琐及升级过程对业务的影响，您可在TeleDB控制台进行在线升级。 操作步骤 1. 以用户名和密码登录分布式数据库TeleDB控制台，在左侧导航单击实例详情 ，进入实例详情页面。 2. 在实例详情 页面，单击右上角操作下拉框的在线升级 ，出现实例升级对话框。 3. 在实例升级对话框，填写任务名称 ，选择升级版本 及升级节点 ，单击下一步 。 4. 确认升级相关信息，单击升级 。 5. 单击立即前往 ，可跳转至任务管理页面查看任务执行详情。

本页介绍天翼云TeleDB数据库实例在线升级。 操作场景 随着产品功能不断迭代升级，用户可根据自己业务需求选择升级内核版本。为了帮助您最大程度减少升级过程的繁琐及升级过程对业务的影响，您可在TeleDB控制台进行在线升级。 操作步骤 1. 以用户名和密码登录分布式数据库TeleDB控制台，在左侧导航单击实例详情，进入实例详情页面。 2. 在实例详情 页面，单击右上角操作下拉框的在线升级，出现实例升级对话框。 3. 在实例升级对话框，填写任务名称 ，选择升级版本 及升级节点 ，单击下一步。 4. 确认升级相关信息，单击升级。 5. 单击立即前往，可跳转至任务管理页面查看任务执行详情。

在创建和使用轻量型云主机之前，您需要先注册天翼云门户的账号并完成实名认证。 操作步骤 使用或注册天翼云账号。 1. 打开天翼云门户网站，单击“免费注册”。 2. 进入注册页面，依次填写“邮箱地址”、“登录密码”、“手机号码”，在“获取验证码”并填写后，单击“同意协议并提交” 按钮。 注意 如1分钟内手机未收到验证码，请再次点击“免费获取短信验证码”按钮。 3. 注册成功后，可到邮箱激活您的账号，即可体验天翼云。 购买天翼云产品前需要为您的账号完成实名认证，具体步骤请参见会员服务实名认证。

本小节介绍Web应用防火墙自定义防护规则最佳实践。 网站接入云WAF防护后，您可以为其开启自定义防护策略功能，据HTTP请求头与请求内容匹配字段设置过滤条件并组合进行访问控制。 通过自定义防护规则，您可以通过对网站专有字段的识别，高精度地鉴别业务流量和攻击流量，进行精准防护。您也可以在发现0day漏洞或发生重点安全事件时依据攻击流量特征进行精准拦截，保护您的网站安全。 前提条件 已添加了防护域名并已完成了域名接入。 WAF防护已开启。 操作步骤 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF防护配置”。 3. 在WAF防护配置列表的操作列，单击“自定义防护配置”。 4. 在自定义防护配置界面，选择“自定义防护配置”页签。 5. 单击“新增规则”，进入新增自定义防护配置页面。

模块名称/角色名称 租户系统管理员 租户安全管理员 租户运维管理员 租户审计管理员 总览 √ √ √ 系统管理 用户管理 √ 白名单 √ 操作日志管理 √ √ √ 资产管理 √ √ √ 总览 √ √ √ 服务器 √ √ √ 域名 √ √ √ 运营管理 √ √ √ 安全报告 √ √ √ 组件管理 √ √ √ 安全组件 √ √ √ 威胁分析 √ √ √ 风险分析 √ √ √ 主机漏洞 √ √ √ 网站漏洞 √ √ √ 补丁漏洞 √ √ √ 基线合规 √ √ √ 病毒 √ √ √ 设置 √

二、AnythingLLM 服务部署（ docker 方式） 1. 获取 AnythingLLM docker image 文件。 由于国内无法访问 docker hub 网站，您需要修改 docker 的服务配置文件，添加国内可访问的源，以便能够顺利拉取 AnythingLLM docker image 文件。操作步骤如下： 向 docker 配置文件中添加国内可访问的 docker 镜像源 重启 docker 服务 拉取 AnythingLLM docker image plaintext Docker 守护进程（ daemon ）的配置文件。添加国内可访问镜像源。 sudo vi /etc/docker/daemon.json 重启 docker 服务 sudo systemctl restart docker 确认 docker 服务正常 sudo systemctl status docker 拉取 anythingllm 镜像 docker pull mintplexlabs/anythingllm daemon.json 文件添加的内容为： plaintext { "registrymirrors": [" " " } daemon.json 文件如下，仅供参考： 2. 启动 AnythingLLM 服务。 首先查看下载的 AnythingLLM 容器镜像的 tag 启动 AnythingLLM 服务 查看 AnythingLLM 服务状态 plaintext 查看当前的容器镜像列表 docker image list 启动 AnythingLLM 服务，下述 PROT 参数需要与第一部分开放的端口相对应 docker run d e PORT3001 e OLLAMABASEURL e ENABLESIGNUPtrue e ENABLEOPENAIAPIFalse addhosthost.docker.internal:hostgateway nethost v anythingLLM:/app/backend/data name anythingLLM restart always mintplexlabs/anythingllm:latest

在使用公共算力服务之前,您需要先注册天翼云门户的账号。本节将介绍如何进行账号注册,如果您拥有天翼云的账号,可登录后直接使用公共算力服务。 操作步骤 1.打开天翼云门户网站，点击【免费注册】。 2.在注册页面，可选择通过短信注册或账号注册。通过短信注册请填写“手机号码”，并点“获取验证码”，如1分钟内手机未收到验证码，请再次点击“获取证码”按钮，最后勾选同意协议，点击“注册”按钮。通过账号注册请填写“登录名”、“登录密码”、“手机号码”，并点“获取验证码”，如1分钟内手机未收到验证码，请再次点击“获取证码”按钮，最后勾选同意协议，点击“注册”按钮。 3.注册成功后，即可体验天翼云服务。 4.如需实名认证，请参考账号中心实名认证。

名称 说明 ContentDisposition 为请求的对象提供一个默认的文件名赋值给该对象，当下载对象或者访问对象时，以默认文件名命名的文件将直接在浏览器上显示或在访问时弹出文件下载对话框。 例如：元数据名称选择为“ContentDisposition”，元数据值填写为“attachment;filename"testfile.xls"”，当通过链接访问设置了该元数据的对象时，会直接弹出一个对象下载的对话框，且对象名称会被修改为“testfile.xls”。详情请参见HTTP协议中关于ContentDisposition的定义。 ContentLanguage 说明访问者希望采用的语言或语言组合，以根据自己偏好的语言来定制。详情请参见HTTP协议中关于ContentLanguage的定义。 WebsiteRedirectLocation 为对象提供重定向功能，重定向到其他对象或者外部的URL。重定向功能通过静态网站托管实现。 例如，可根据如下步骤实现对象重定向功能。 1. 为桶“testbucket”根目录下的对象“testobject.html”设置元数据，元数据名称选择为“WebsiteRedirectLocation”，元数据值填写为“ 2. 在桶“testbucket”中配置静态网站托管，将该桶中的对象“testobject.html”设置为静态网站托管的“默认首页”。 3. 当通过静态网站托管页面上的“访问地址”访问对象“testobject.html”时，会直接重定向访问 ContentEncoding 指定对象被下载时的内容编码格式，可以设置如下类型： 标准定义：compress、deflate、exi、identity、gzip、pack200gzipl 其他：br、bzip2、lzma 、peerdist、sdch、xpress、xz ContentType 设置对象的文件类型。详见对象元数据ContentType介绍。

如何升级HBlock CSI插件。 前置条件 请在升级之前，进行如下场景检查： 检查是否进行调整PV的服务端连接位置操作，如果执行过，需要确保满足以下条件： 如果PV只会被一个Pod挂载，不受影响。 如果PV被多个Pod挂载，请确保全部的Pod都没有进行过重启，或者全部完成了重启。 检查是否在HBlock侧执行过卷的target迁移操作（此处的卷为CSI侧的PV对应的HBlock侧的实例）： 如果Kubernetes版本低于1.21，请确保挂载了该PV的Pod全部完成了重启。 Kubernetes版本为1.21及以上，不受影响。 说明 如果对升级方案有任何问题，请联系我们协助处理。如果升级前没有进行检查就执行了升级操作，可能会导致iSCSI连接无法断开，如果遇到此问题，请联系我们进行处理。 iscsid守护进程位置不变的升级 下列情况使用该方案升级： 升级前的版本values.yaml中没有参数iscsiOnHost（1.5.1之前版本不能设置该参数），升级后版本values.yaml中没有iscsiOnHost或者values.yaml中参数iscsiOnHost设置为false。 升级前的版本values.yaml中iscsiOnHost为false，升级后版本values.yaml中的参数iscsiOnHost设置为false。 升级前升级后values.yaml中的参数iscsiOnHost都为true。 升级步骤 1. 更新驱动镜像：请根据逐台导入镜像的方式或docker私仓导入镜像的方式章节的步骤，导入最新安装包的驱动。 2. 在升级版本的charts/csidriverstor下修改values.yaml，使其HBlock相关配置与升级前版本的相同。 3. 在升级版本的charts/csidriverstor下执行下列命令升级： plaintext helm upgrade stor ./ 4. 升级后检查： 可以在宿主机启动样例POD，进行基础流程测试，确认功能正常。 重启Kubernetes所有的slave宿主机节点，确认各存量POD能正确启动。（如果不验证重启恢复的场景，可跳过这步。） 从低版本（小于等于1.6.0）升级到高版本（大于等于1.6.1）后，如存在业务POD，确保在没有正在新建或者删除POD的前提下，执行命令kubectl get pod A grep csistorpluginnode awk '{print $2}' xargs I {} kubectl exec {} c storpluginnode sh c'/storadmupgrade addmissingtrackfile'，补齐缺失的trackfile。 注意 kubectl get pod A grep csistorpluginnode的作用是过滤出所有CSI节点的驱动POD。执行此命令前需管理员检查此处需要与驱动实际部署方案一致，如果不一样，请修改为对应CSI节点的驱动POD。 命令执行完成后，将显示添加成功与失败的 tracefile 数量。若存在添加失败的情况（如提示“Failed to add x file(s)”），管理员需及时排查原因并处理。 如果用户使用了自定义的驱动部署方案，请注意：storadm工具的执行依赖于环境变量DRIVERNAME和KUBENODENAME，因此必须在 CSI Node Server 的Pod中配置这两个环境变量，否则可能导致功能异常。 plaintext env: name: DRIVERNAME value: 驱动名 name: KUBENODENAME valueFrom: fieldRef: apiVersion: v1 fieldPath: spec.nodeName

本章节介绍应用服务网格出口网关 概述 应用服务网格出口网关可以为您的应用程序提供一个统一的访问出口。作为服务网格的出口，它充当了流量离开集群的出口点，负责将从集群内部发出的流量路由到外部目的地，并执行一系列功能以确保流量的安全性、可靠性和高效性。 创建出口网关 1. 登录应用网格控制台，单击应用网格实例列表中的网格名称。 2. 在左侧导航栏中，选择网关>出口网关。 3. 选择对应的集群和命名空间后，点击创建出口网关按钮，配置出口网关信息。 配置项 说明 网关名称 自定义网关名称。 命名空间 网关创建的命名空间。 网关类型 表示网关为出口网关还是入口网关。 label标签设置 设置出口网关的标签，可用于网关规则筛选器的匹配。 端口设置 配置网关的端口以及端口对应的协议。 资源规格设置 网关pod的CPU和内存规格。 网关副本数 网关pod的数量。 滚动升级策略设置 配置滚动升级，用于无缝地将应用程序的新版本逐步引入到集群中，同时逐步淘汰旧版本，以确保应用程序持续可用性的升级过程，可进行如下配置： 1，不可用最大副本数：设置滚动升级时不可用最大的副本数量。 2，超过期望的副本数：设置滚动升级时最多不能超过的副本数量。例如设置为25%，表示滚动升级时副本数量不能超过原来副本的125%。

天翼云网站安全监测产品使用指南.pdf

本节介绍了云容器引擎的最佳实践：某量子云平台迁移项目。 项目概述 某量子云平台对外提供量子计算机实验/实操服务，其应用架构由他云迁移到天翼云，通过天翼云实现应用组件化和容器化，通过K8S统一部署和管理业务。 该平台包括官网、博客网站、web管理后台等系统。 容器支撑方案 迁移使用的容器架构图如下： 研发迭代更高效：使用crs镜像服务一键部署应用 便于扩容快弹性高：使用HPA弹缩pod 解决内外网互连互通：使用Nginx+Spring GateWay实现内外网流量隔离和路由转发 底层资源占用少：使用csi插件动态挂载sfs存储 助力运维更便捷：使用云日志插件采集容器日志 最终效果 2023年6月迁移至天翼云试运行，12月已付费容器并运营至今，现业务稳定运行。

迁移方案的关键操作 配置“ 同名文件是否覆盖 ”选项：创建任务时，配置按 最后修改时间（Lastmodified） 的处理方式，来进行迁移。 根据源端业务的增量情况，多次使用“开始”操作启动迁移任务进行增量的迁移。 操作流程 该方案通过多次迁移实现对源端增量数据的迁移，具体流程如下： 准备工作 注册天翼云账号 使用对象存储迁移服务ZMS，您需要先注册天翼云门户的账号。本部分将介绍如何进行账号注册，如果您拥有天翼云的账号，可登录后直接使用对象存储迁移服务。 1. 打开天翼云门户网站，点击“ 注册 ”。 2. 在注册页面，请填写“ 邮箱地址 ”、“ 登录密码 ”、“ 手机号码 ”，并点击“ 同意协议并提交 ” 按钮，如1分钟内手机未收到验证码，请再次点击“ 免费获取短信验证码 ”按钮。 3. 注册成功后，可到邮箱激活您的账号，即可体验天翼云。 4. 进行实名认证，请参考会员服务实名认证。 开通天翼云对象存储 登录您的天翼云账号即可使用对象存储迁移服务ZMS，但天翼云对象存储ZOS需要您单独开通，具体操作可参看开通对象存储服务。

类型 值 描述 通用（General） 通配符，表示该资源能进行的所有操作。 通用（General） Get 表示该资源能进行的所有的获取操作。 通用（General） Put 表示该资源能进行的所有的设置操作。 通用（General） List 表示该资源能进行的所有的列举操作。 桶（Bucket） DeleteBucket 删除桶。 桶（Bucket） ListBucket 列举桶内对象，获取桶元数据。 桶（Bucket） ListBucketVersions 列举桶内多版本对象。 桶（Bucket） ListBucketMultipartUploads 列举多段上传任务。 桶（Bucket） GetBucketAcl 获取桶ACL的相关信息。 桶（Bucket） PutBucketAcl 设置桶ACL。 桶（Bucket） GetBucketCORS 获取桶CORS配置的相关信息。 桶（Bucket） PutBucketCORS 设置桶CORS。 桶（Bucket） GetBucketVersioning 获取桶多版本的相关信息。 桶（Bucket） PutBucketVersioning 设置多版本。 桶（Bucket） GetBucketLocation 获取桶位置。 桶（Bucket） GetBucketLogging 获取桶日志记录的相关信息。 桶（Bucket） PutBucketLogging 设置桶日志记录。 桶（Bucket） GetBucketWebsite 获取桶的静态网站配置的相关信息。 桶（Bucket） PutBucketWebsite 设置桶的静态网站托管。 桶（Bucket） DeleteBucketWebsite 删除桶的静态网站托管配置。 桶（Bucket） GetLifecycleConfiguration 获取桶生命周期规则。 桶（Bucket） PutLifecycleConfiguration 设置桶生命周期规则。

Action 描述 CreateBucket 赋予创建桶的权限 DeleteBucket 赋予删除桶的权限 DeleteBucketPolicy 赋予删除桶策略的权限 DeleteBucketWebsite 赋予删除桶静态网站配置信息的权限 GetBucketAcl 赋予获取桶ACL配置信息的权限 GetBucketCORS 赋予获取桶跨域配置信息的权限 GetBucketPolicy 赋予获取桶策略的权限 GetBucketTagging 赋予查询桶标签的权限 GetBucketVersioning 赋予查询桶版本控制配置信息的权限 GetBucketWebsite 赋予查询静态网站配置信息的权限 GetLifecycleConfiguration 赋予查询桶生命周期的权限 ListAllMyBuckets 赋予查询用户所有桶的权限 ListBucket 赋予查询桶部分或全部对象列表的权限 ListBucketMultipartUploads 赋予查询桶正在进行的分段上传的权限 ListBucketVersion 赋予查询桶所有版本控制配置信息的权限 ListMultipartUploads 赋予查询用户所有正在进行的分段上传的权限 PutBucketAcl 赋予设置桶ACL的权限 PutBucketCORS 赋予设置桶跨域配置的权限 PutBucketLogging 赋予设置桶日志信息的权限 PutBucketPolicy 赋予设置桶策略的权限 PutBucketTagging 赋予设置桶标签的权限 PutBucketVersioning 赋予设置桶版本控制配置的权限 PutBucketWebsite 赋予设置桶静态网站配置的权限 PutLifecycleConfiguration 赋予设置桶生命周期的权限

本文主要介绍IP地址组。 IP地址组是多个IP地址的集合，用来统一管理具有相同安全要求或需要频繁修改的IP地址。 对于需要使用黑名单和白名单，在监听器上设置访问控制策略的用户，开启白名单或黑名单时必须选择一个IP地址组，从而实现允许或者限制IP地址组中的IP访问负载均衡的监听器。 同一个IP地址组，最多可以关联50个监听器。目前IP地址组既支持IPv4地址又支持IPv6地址。 天翼云部分二类节点正在升级，以支持IP地址组能力，敬请用户随时关注。 创建IP地址组 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 选择“服务列表 > 网络 > 弹性负载均衡”。 4. 在“IP地址组”界面，单击“创建IP地址组”。 5. 配置IP地址组参数。 IP地址组参数说明表 参数 说明 样例 名称 IP地址组的名称。 ipGroup01 企业项目 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 IP地址 需要通过白名单或黑名单进行访问控制的IP地址。每行一个IP地址或一个网段，以回车结束； 每个IP地址或者网段都可以用“”分隔添加备注，如“192.168.10.10丨ECS01”， 备注长度范围是0到255字符，不能包含<>；每个IP地址组最多可添加300个IP地址和网段。 说明：如果IP地址组未包含任何IP地址，当访问控制选择白名单时，则对应的负载均衡监听器禁止任何IP地址访问。 10.168.2.24 10.168.16.0/24 描述 IP地址组相关信息的描述说明。 6. 确认参数配置，单击“确定”。