本节介绍了任务的用户指南。 基本概念 普通任务：即kubernetes中的“Job”，普通任务是一次性运行的短任务，部署完成后即可执行。使用场景为在创建工作负载前，执行普通任务，将镜像上传至镜像仓库。 操作场景 普通任务是一次性运行的短任务，部署完成后即可执行。正常退出（exit 0）后，任务即执行完成。 普通任务是用来控制批处理型任务的资源对象。批处理业务与长期伺服业务（Deployment、Statefulset）的主要区别是： 批处理业务的运行有头有尾，而长期伺服业务在用户不停止的情况下永远运行。Job管理的Pod根据用户的设置把任务成功完成就自动退出了。成功完成的标志根据不同的spec.completions策略而不同，即： 单Pod型任务有一个Pod成功就标志完成。 定数成功型任务保证有N个任务全部成功。 工作队列型任务根据应用确认的全局成功而标志成功。 前提条件 在创建任务前，您需要存在一个可用集群。若没有可用集群，请参照集群开通中内容创建。 操作步骤及说明 创建Job与创建Deployment的过程类似，但存在以下的差异，需要注意： Job参数：相比于Deployment，Job多了这部分参数设置： 高级设置升级方式：Job不支持更新，因此没有升级方式这个参数。

实例是否支持修改访问地址？ DCS实例创建后，实例连接地址不支持修改。 如果需要更换实例IP地址，需要重新创建实例，在创建实例时，选择“手动分配IP地址”，指定实例的IP地址，然后使用在线迁移方式，将旧的实例数据迁移到新的实例。 有关DCS实例的客户端访问，请参考连接缓存实例。 实例无法删除是什么原因？ 可能原因如下： 实例资源为包周期实例。 包周期的实例不支持删除操作，界面没有“删除”按钮，用户需要执行“退订”操作，退订实例资源。 实例资源不是“运行中”。 只有当实例处于“运行中”状态，才能执行删除操作。 确认实例是否为创建失败的实例。 如果是创建失败的实例，必须单击“创建失败任务”后的图标或者数量，进入“创建失败任务”界面，进行实例删除。 DCS实例是否支持跨可用区部署？ Redis主备、读写分离和集群实例支持跨可用区（AZ）部署。 当主备、读写分离实例进行跨可用区部署时，如果其中一个可用区故障，另一个可用区的节点不受影响。备节点会自动升级为主节点，对外提供服务，从而提供更高的容灾能力。 实例跨可用区部署时，主备节点之间同步效率与同AZ部署相比基本无差异。 集群实例启动时间过长是什么原因？ 可能原因：在集群实例启动过程中，实例节点内部会进行状态、数据的同步。如果在完成同步之前就持续写入较多的数据，会导致实例内部同步耗费较长时间，实例状态一直处于“启动中”。直到同步完成，集群实例状态才会切换到“运行中”。 解决方案：建议等集群实例启动完成后，再恢复业务数据写入。

本节介绍如何安装混合备份客户端。 操作场景 混合备份通过客户端提供备份服务。备份操作前，需要在备份目标机器中安装客户端，可在控制台进行客户端安装操作。 约束与限制 操作系统限制：支持Windows7/10/11系列、Windows Server 2008/2012/2016/2019/2022系列、Ubuntu16/18/20系列、Centos6/7/8系列、统信UOS20、银河麒麟V10、阿里龙蜥8、其他通用Linux系列64位操作系统。 由于云备份服务需要与存储库端网络可达，请在目标机器端放行880、8888、8899端口。 备份目标机器必须处于开机状态，与存储库端网络可达。 每个目标机器仅允许安装一个客户端。若想更新客户端至最新版本，可以升级客户端。 操作步骤 1. 登录控制中心。 2. 在控制中心左上角点击，选择地域，此处选择华东华东1。 3. 选择“存储>云备份>混合备份（存储版）”，进入“主机列表”页签，点击“下载客户端”按钮，根据目标机器的CPU架构和操作系统选择对应的和客户端类型。 4. 若选择Windows类型 1. 选择存储库和网络传输方式。 1. 若选择公网方式，无需填写对应IP。 2. 若选择非公网方式，需先创建连接备份服务（华东1的备份服务实例ID为endpseryanvu0zc7z）的终端节点VPCE，创建好终端节点后在下载备份客户端界面填写终端节点IP地址。 2. 点击“下载”按钮，并将安装包拷贝到对应备份主机上。 3. 解压安装包，得到app.config文件和exe安装程序。 4. 确保解压出的两个文件在同级目录下，以管理员权限运行exe安装程序。 5. 选择安装路径，默认安装路径为：“C:Program Filesxclient”。 6. 点击下一步，等待安装完成，安装成功后，在“主机列表”页签中，查看目标机器为“在线”状态，即可为目标机器进行不同类型的数据备份。 5. 若选择Linux类型（Ubuntu、CentOS、统信、银河麒麟、阿里龙蜥、通用Linux） 1. 选择存储库和网络传输方式。 1. 若选择公网方式，无需填写对应IP。 2. 若选择非公网方式，需先创建连接备份服务（华东1的备份服务实例ID为endpseryanvu0zc7z）的终端节点VPCE，创建好终端节点后在下载备份客户端界面填写终端节点IP地址。 2. 点击“生成脚本”按钮，复制下载命令到对应备份主机上执行，获取客户端安装脚本。 3. 选择系统账户（备份oracle数据库时需要选择oracle账户，其他备份选择系统账户），点击“复制在线脚本”或“复制离线脚本”。 4. 在对应备份主机上执行上一步的脚本，等待客户端安装完成，安装成功后，在“主机列表”页签中，查看目标机器为“在线”状态，即可为目标机器进行不同类型的数据备份。

本文帮助您快速熟悉虚开启/关闭虚拟私有云IPv6操作。 操作场景 开关/关闭虚拟私有云IPv6的操作仅在可用区资源池支持，不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。 如果虚拟私有云在创建时未开启IPv6，可以通过本文操作为虚拟私有云开启IPv6。 如果虚拟私有云已经开启IPv6，可以通过本文操作为虚拟私有云关闭IPv6。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在“虚拟私有云列表”界面，单击需要配置的虚拟私有云名称，进入详情页。 5. 在详情中点击“开启IPv6”状态开关，即可修改虚拟私有云开启IPv6状态。开启时，天翼云将为虚拟私有云分配IPv6地址段；关闭时，天翼云将删除为虚拟私有云分配IPv6地址段。 注意 如果虚拟私有云中已经创建子网，关闭虚拟私有云开启IPv6时，需要先将所有子网的开启IPv6关闭。可用通过

本文介绍OCSP装订（OCSP Stapling）功能的使用方法。 功能介绍 OCSP（Online Certificate Status Protocol，在线证书状态协议），是由数字证书颁发机构CA（Certificate Authority）提供的一个在线证书查询接口，它建立一个可实时响应的机制，客户端发送查询证书请求到CA服务器，然后CA服务器实时响应验证证书是否合法有效。 客户端会在TLS握手时去实时查询OCSP接口，并在获得查询结果前会阻塞后续流程，在网络不佳时会造成较长时间的页面空白，降低了HTTPS性能，严重影响用户体验。 开启OCSP装订（OCSP Stapling）功能后，由全站加速进行OCSP信息查询并将查询结果缓存到服务器中。当客户端向服务器发起TLS握手请求时，全站加速服务器将证书的OCSP信息和证书一起发送到客户端，供用户验证，无需用户再向数字证书认证机构（CA）发送查询请求。极大地提高了TLS握手效率，提升了HTTPS性能。 由于OCSP响应是无法伪造的，因此这一过程也不会产生额外的安全问题。 适用场景 开启HTTPS功能后希望提升TLS握手效率，提升HTTPS性能，使网站访问速度更快，用户体验更好。 注意事项 1. 使用OCSP Stapling功能前需先勾选【请求协议】中的【HTTPS】。 2. OCSP Stapling功能默认关闭。 3. OCSP Stapling功能默认缓存1个小时，缓存过期后第一个访问请求OCSP Stapling不生效。 4. 客户端需支持OCSP扩展字段，如果客户端不支持OCSP扩展字段，则该功能无法生效。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】，勾选【请求协议】中的【HTTPS】。 5. 单击右侧【HTTPS配置】，选择域名对应的国际标准证书、国密证书。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加对应证书。添加完毕后，再选择对应证书，如未找到目标证书，可点击右侧的刷新按钮刷新后再重新选择。 6. 打开【OCSP Stapling】功能，配置完毕单击【保存】。

本文主要介绍存量Pod检查 。 检查项内容 检查集群中是否的存在状态非预期的Pod 检查集群中的Pod是否异常重启 检查步骤 请您登陆CCE控制台，在“资源>工作负载>容器组”处选择全部命名空间，点击“状态”，过滤并观察是否存在异常状态的Pod。 查看“重启次数”栏目，观察是否存在异常重启的Pod。 解决方案 若集群升级后您的集群有异常Pod，请联系技术支持人员。

本文主要介绍节点干扰ContainerdSock检查。 检查项内容 检查节点上是否存在干扰的Containerd.Sock文件。该文件影响euler操作系统下的容器运行时启动。 解决方案 问题场景：节点使用的docker为定制的Eulerdokcer而非社区的docker 步骤 1 登录相关节点。 步骤 2 执行rpm qa grep docker grep euleros命令，如果结果不为空，说明节点上使用的docker为Eulerdocker 步骤 3 执行ls /run/containerd/containerd.sock命令，若发现存在该文件则会导致docker启动失败。 步骤 4 执行rm rf /run/containerd/containerd.sock命令，然后重新进行集群升级检查。

背景信息 部署到微服务引擎的Java Chassis应用，在微服务引擎仪表盘上的实时监控数据默认保留5分钟。如果需要持久化存储历史监控数据用于后续查询分析，可以使用ServiceStage的自定义指标监控功能，将微服务显示到微服务引擎仪表盘中的数据对接到AOM。 本章节以软件包部署应用为例，指导您完成将微服务引擎仪表盘中的数据通过ServiceStage对接到AOM。 操作步骤 1.添加依赖 在开发环境中，打开需要持久化存储历史监控数据的应用项目，在微服务pom文件中添加如下依赖： org.apache.servicecomb metricscore org.apache.servicecomb metricsprometheus 2.将添加依赖后的应用项目重新编译打包并上传。 3.部署组件 4.更新已部署组件来源 5.对接监控指标到AOM a. 登录ServiceStage控制台，选择“应用管理 > 应用列表”。 b. 单击组件所在应用名称，进入应用“概览”页。 c. 在“环境视图”页签，选择部署了组件的“环境”。 d. 单击组件名称，进入组件实例“概览”页。 e. 单击“更新升级”。 f. 选择“高级设置 > 运维监控 > 自定义指标监控”，填写下表参数： 参数名称 参数值 上报路径 /metrics 上报端口 9696 6.单击“重新部署”，等待组件重新部署成功。

本文帮助您快速熟悉弹性网卡基本知识。 弹性网卡是虚拟私有网络VPC中的虚拟网络接口，用于连接ECS与私有网络。 每个弹性网卡可以包含以下主要属性： 专有网络VPC、子网信息 VPC子网的IPv4地址范围内的一个主要私有IPv4地址 VPC子网的IPv4地址范围内的一个或者多个辅助私有IPv4地址 和一个公网IPv4地址绑定，将网卡的私网IP NAT成为公网IP 一个IPv6地址 一个MAC地址 一个或多个安全组 网卡类型 网卡类型包括主网卡和辅助网卡。随着云主机、物理机服务器等实例一起创建的网卡称为主网卡。VPC网络中的每个实例都有默认的主网卡，您无法独立创建主网卡，也无法从实例卸载主网卡。您可以创建并额外绑定到实例上的网卡，称为辅助网卡，辅助网卡可以灵活的和实例解绑、绑定。 私有IPv4地址 每个弹性网卡都有一个子网地址范围内的私有IPv4地址，称为主私网地址。您可以在创建辅助弹性网卡时指定主私网地址，如果不指定，我们将为您随机分配。此外，您还可以为弹性网卡分配一个或者多个辅助私有IPv4地址，辅助私有IP地址在取消分配后可以回收，然后再分配给其他弹性网卡。 私有IPv6地址 如果虚拟私有网络VPC和子网开通了IPv6网段，您可以为弹性网卡分配一个主私网IPv6地址。主私网IPv6地址在取消分配后可以回收。VPC内的IPv6地址支持VPC内网通信和公网通信，网卡绑定IPv6带宽或者加入共享带宽后，可以使用IPv6来访问公网或被公网访问。

本文帮助您快速熟悉弹性网卡基本知识。 弹性网卡是虚拟私有网络VPC中的虚拟网络接口，用于连接ECS与私有网络。 每个弹性网卡可以包含以下主要属性： 专有网络VPC、子网信息 VPC子网的IPv4地址范围内的一个主要私有IPv4地址 VPC子网的IPv4地址范围内的一个或者多个辅助私有IPv4地址 和一个公网IPv4地址绑定，将网卡的私网IP NAT成为公网IP 一个或者多个IPv6地址 一个MAC地址 一个或多个安全组 网卡类型 网卡类型包括主网卡和辅助网卡。随着云主机、物理机服务器等实例一起创建的网卡称为主网卡。VPC网络中的每个实例都有默认的主网卡，您无法独立创建和从实例卸载主网卡。您可以创建并额外绑定到实例上的网卡，称为辅助网卡，辅助网卡可以灵活的和实例解绑、绑定。 私有IPv4地址 每个弹性网卡都有一个子网地址范围内的私有IPv4地址，称为主私网地址。您可以在创建辅助弹性网卡时指定主私网地址，如果不指定，我们将为您随机分配。此外，您还可以为弹性网卡分配一个或者多个辅助私有IPv4地址，辅助私有IP地址在取消分配后可以回收，然后再分配给其他弹性网卡。 IPv6地址 如果虚拟私有网络VPC和子网开通了IPv6网段，您可以为弹性网卡分配一个或多个IPv6地址。IPv6地址在取消分配后可以回收。VPC内的IPv6地址支持VPC内网通信和公网通信，网卡绑定IPv6带宽或者加入共享带宽后，可以使用IPv6来访问公网或被公网访问。

本文主要介绍插件概述。 CCE提供了多种类型的插件，用于管理集群的扩展功能，以支持选择性扩展满足特性需求的功能。 注意 CCE插件采用Helm模板方式部署，修改或升级插件请从插件配置页面或开放的插件管理API进行操作。勿直接后台修改插件相关资源，以免插件异常或引入其他非预期问题。 插件列表 插件名称 插件简介 CoreDNS域名解析（系统资源插件，必装） CoreDNS插件是一款通过链式插件的方式为Kubernetes提供域名解析服务的DNS服务器。 CCE容器存储（everest，必装） Everest是一个云原生容器存储系统，基于CSI为Kubernetes v1.15.6及以上版本集群对接云存储服务的能力。 CCE节点故障检测 nodeproblemdetector（简称：npd）是一款监控集群节点异常事件的插件，以及对接第三方监控平台功能的组件。它是一个在每个节点上运行的守护程序，可从不同的守护进程中搜集节点问题并将其报告给apiserver。nodeproblemdetector可以作为DaemonSet运行，也可以独立运行。 Kubernetes Dashboard Kubernetes Dashboard是Kubernetes集群基于Web的通用UI，集合了命令行可以操作的所有命令。它允许用户管理在集群中运行应用程序并对其进行故障排除，以及管理集群本身。 CCE集群弹性引擎 集群自动扩缩容插件autoscaler，是根据pod调度状态及资源使用情况对集群的工作节点进行自动扩容缩容的插件。 metricsserver MetricsServer是集群核心资源监控数据的聚合器。 CCE容器弹性引擎 ccehpacontroller插件是一款CCE自研的插件，能够基于CPU利用率、内存利用率等指标，对无状态工作负载进行弹性扩缩容。 prometheus（停止维护） Prometheus是一套开源的系统监控报警框架。在云容器引擎CCE中，支持以插件的方式快捷安装Prometheus。 Kubernetes Web终端（停止维护） webterminal是一款支持在Web界面上使用Kubectl的插件。它支持使用WebSocket通过浏览器连接Linux，提供灵活的接口便于集成到独立系统中，可直接作为一个服务连接，通过cmdb获取信息并登录服务器。 CCE AI套件（NVIDIA GPU） gpubeta插件是支持在容器中使用GPU显卡的设备管理插件，仅支持Nvidia驱动。 Volcano调度器 Volcano提供了高性能任务调度引擎、高性能异构芯片管理、高性能任务运行管理等通用计算能力，通过接入AI、大数据、基因、渲染等诸多行业计算框架服务终端用户。 nginxingress控制器 nginxingress为Service提供了可直接被集群外部访问的虚拟主机、负载均衡、SSL代理、HTTP路由等应用层转发功能。 节点本地域名解析加速 NodeLocal DNSCache通过在集群节点上作为守护程序集运行DNS缓存代理，提高集群DNS性能。

操作 LTS FullAccess LTS ReadOnlyAccess LTS Administrator 查询日志组 √ √ √ 创建日志组 √ × √ 修改日志组 √ × √ 删除日志组 √ × √ 查询日志流 √ √ √ 创建日志流 √ × √ 修改日志流 √ × √ 删除日志流 √ × √ 配置主机日志接入 √ × √ 查询过滤器 √ √ √ 禁用过滤器 √ × √ 启用过滤器 √ × √ 删除过滤器 √ × √ 查询告警规则 √ √ √ 创建告警规则 √ × √ 修改告警规则 √ × √ 删除告警规则 √ × √ 查看日志转储 √ √ √ 添加日志转储 √ × √ 修改日志转储 √ × √ 删除日志转储 √ × √ 开启周期性转储 √ × √ 暂停周期性转储 √ × √ 安装ICAgent √ × √ 升级ICAgent √ × √ 卸载ICAgent √ × √

权限 授权项 权限类型（读/写） ctcbh admin ctcbh viewer 实例列表查询 osm:instance:list 读 ✓ ✓ 云堡垒机管理员身份登录 osm:instance:loginAsAdmin 写 ✓ × 实例开机 osm:instance:poweron 写 ✓ × 实例关机 osm:instance:poweroff 写 ✓ × 实例重启 osm:instance:restart 写 ✓ × 实例升级 osm:instance:upgrade 写 ✓ × 实例绑定弹性IP osm:instance:bindEip 写 ✓ × 云堡垒机实例开通 osm:instance:create 写 ✓ ×

本文介绍云搜索服务和天翼云官网其他产品之间的关联关系。 相关服务 交互功能 虚拟私有云（CTVPC，Virtual Private Cloud） 云搜索服务在购买前需要提前开通虚拟私有云，实例将建立在同资源池下指定的子网内，VPC之间网络隔离，可为用户提供安全的网络环境。详细请参考虚拟私有云产品文档。 弹性云主机（CTECS，Elastic Cloud Server） 云搜索服务的每个实例节点即为一台弹性云主机，创建实例时会根据购买需求自动下单对应数量，主要提供计算分析服务。 云硬盘（CTEVS，Elastic Volume Service） 云搜索服务使用云硬盘存储用户的索引数据，创建实例时会根据购买需求将云硬盘自动挂载在对应节点。 弹性IP（EIP，Elastic IP） 云搜索服务如需要开放公网访问，需要购买弹性IP或IPv6带宽并绑定到实例对应组件上。详细请参考弹性IP产品文档。 对象存储服务（CTZOS，Zettabyte Object Storage） 云搜索服务的实例快照及所需要安装的自定义插件均需要开通对象存储服务，进行存储和读取。详细请参考对象存储服务产品文档。 弹性负载均衡（CTELB ，Elastic Load Balancing） 云搜索服务的实例需要分流访问流量时，可以通过购买负载均衡类产品，对接到云搜索实例上，实现后端主机分流访问。详细请参考弹性负载均衡服务产品文档。 云监控服务 云搜索服务集成公有云云监控服务能力，实时监测集群健康状态和磁盘使用率等核心指标，保障服务稳定运行。用户可通过监控数据及时掌握集群资源状况。详细请参考云监控服务产品文档。 云日志服务 云搜索服务将组件运行期间的日志写入云日志服务中，用户可通过查看日志排查实例运行问题。详细请参考云日志服务产品文档。 云审计 云审计全面记录云搜索服务的核心操作事件，支持操作历史查询与审计回溯。详细请参考云审计产品文档。 统一身份认证服务（Identity and Access Management，简称IAM） 云搜索服务使用天翼云官网统一身份认证服务进行身份鉴权。详细请参考统一身份认证服务产品文档。

场景2 连接和QPS升高导致CPU上升 问题原因：业务请求增高导致实例CPU升高，需要从业务侧分析请求变化的原因。 排查思路： 查看QPS、当前活跃连接数、数据库总连接数、CPU使用率监控指标是否吻合。 QPS的含义是每秒查询数，QPS和当前活跃连接数同时上升，且QPS和CPU使用率曲线变化吻合，可以确定是业务请求增高导致CPU上升，如下图： 该场景下，SQL语句一般比较简单，执行效率也高，数据库侧优化余地小，需要从业务源头优化。 解决方案： 1. 单纯的QPS高导致CPU使用率过高，往往出现在实例规格较小的情况下，建议升级实例CPU规格。 2. 优化慢查询，优化方法参照场景1 慢查询导致CPU升高的解决方案。若优化慢查询后效果不明显，建议升级实例CPU规格。 3. 对于数据量大的表，建议通过分库分表减小单次查询访问的数据量。 大并发慢查询导致CPU资源耗尽问题 场景描述 数据库实例上存在大量并发的select count(0)慢操作，系统CPU耗尽，随时有宕机的风险。 Show processlist信息： 该sql慢日志查询信息：

本节介绍了一台弹性云主机可以挂载多块磁盘的相关问题。 可以。平台近期对磁盘功能进行了升级，对于系统升级后创建的弹性云主机，系统最多支持挂载60块磁盘。具体如下： 创建弹性云主机时，您可以为弹性云主机添加24块磁盘。 弹性云主机创建成功后，可以最多添加60块磁盘。 表 新创建弹性云主机支持挂载的磁盘块数 实例类型 VBD盘块数（max） SCSI盘块数（max） 约束 :::: XEN实例 24 59 VBD盘+SCSI盘 ≤ 60块（本地盘不计入数量约束） 本地盘数量参考具体实例规格。 KVM实例 24 59 VBD盘+SCSI盘 ≤ 60块（本地盘不计入数量约束） 本地盘数量参考具体实例规格。 注意 弹性云主机的系统盘为VBD盘，因此，SCSI盘个数为59块。

本页面主要说明关系数据库MySQL版关闭备份类型为对象存储的选项，并说明原因、建议和影响。 原因 为了给您提供更好更完善的备份服务，备份类型为对象存储的架构需要进行升级，关系数据库MySQL版将于2025年5月30日起，关闭部分II 类型资源池订购页备份类型为对象存储的选项。 影响 影响资源池： 郑州5、西安7、西南2贵州、杭州7等所有II类型资源池（除武汉41、长沙42、华北2、西南1、华东1、南宁23、青岛20、上海36、郑州5、西安7、西南2、庆阳2外）。 国际站资源池：香港2。 影响实例： 新购实例：2025年5月30日之后新订购的实例，将无法选择对象存储备份类型，可选择云硬盘备份类型。 存量实例：2025年5月30日之前订购的存量实例，将可以继续使用对象存储实例相关功能。 影响功能： 由于无法新订购对象存储实例，则2025年5月30日之后订购的实例将无法享受依赖对象存储相关功能，例如备份下载，日志文件下载等功能。 存量实例依然可以使用对象存储类型实例的相关功能。 建议 建议客户在新订购实例时，选择云硬盘的备份类型，备份的磁盘类型支持选择普通IO，高IO，超高IO（具体以界面显示为准）。 建议用户可以根据自己的业务数据量，将备份盘空间适当扩大，当然，您也可以在实例开通完毕后，在控制台界面，通过备份空间扩容功能来适时扩大空间以满足备份需求。

方向 端口 协议 默认源/目的地址 说明 优先级（取值越小优先级越高） 是否支持修改 入方向规则 全部 TCP + UDP 198.19.128.0/20 VPCE内网地址段 99 不可修改 入方向规则 全部 TCP + UDP 100.64.0.0/10 内网DNS、云存储等云产品网段 99 不可修改 入方向规则 全部 TCP + UDP VPC网段 节点之间互访 99 不可修改 入方向规则 全部 TCP + UDP VPC IPv6网段 节点之间IPv6互访 99 不可修改 入方向规则 全部 TCP + UDP 100::/16 云产品IPv6网段 99 不可修改 出方向规则 全部 TCP 169.254.169.254/32 主机元数据服务地址 99 不可修改 出方向规则 全部 TCP + UDP 100.64.0.0/10 内网DNS、云存储等云产品网段 99 不可修改 出方向规则 全部 TCP + UDP VPC网段 节点之间互访 99 不可修改 出方向规则 全部 TCP + UDP VPC IPv6网段 节点之间IPv6互访 99 不可修改 出方向规则 全部 TCP + UDP 100::/16 云产品IPv6网段 99 不可修改 出方向规则 全部 TCP + UDP 0.0.0.0/0 默认全部放通，不建议修改 100 可修改 出方向规则 全部 TCP + UDP 0:0:0:0:0:0:0:0/0 默认全部放通，不建议修改 100 可修改

介绍分布式消息服务RabbitMQ惰性队列能力。 使用场景 RabbitMQ从3.6.0版本开始引入了惰性队列（Lazy Queue）的概念。惰性队列会尽可能的将消息存入磁盘中，而在消费者消费到相应的消息时才会被加载到内存中，它的一个重要的设计目标是能够支持更长的队列，即支持更多的消息存储。当消费者由于各种各样的原因（比如消费者下线、宕机亦或者是由于维护而关闭等）而致使长时间内不能消费消息造成堆积时，惰性队列就很有必要了 默认情况下，当生产者将消息发送到RabbitMQ的时候，队列中的消息会尽可能的存储在内存之中，这样可以更加快速的将消息发送给消费者。即使是持久化的消息，在被写入磁盘的同时也会在内存中驻留一份备份。当RabbitMQ需要释放内存的时候，会将内存中的消息换页至磁盘中，这个操作会耗费较长的时间，也会阻塞队列的操作，进而无法接收新的消息。虽然RabbitMQ的开发者们一直在升级相关的算法，但是效果始终不太理想，尤其是在消息量特别大的时候 惰性队列会将接收到的消息直接存入文件系统中，而不管是持久化的或者是非持久化的，这样可以减少了内存的消耗，但是会增加I/O的使用，如果消息是持久化的，那么这样的I/O操作不可避免，惰性队列和持久化消息可谓是“最佳拍档”。注意如果惰性队列中存储的是非持久化的消息，内存的使用率会一直很稳定，但是重启之后消息一样会丢失。

本章节主要介绍翼MapReduce的滚动重启集群操作。 操作场景 滚动重启指当集群中服务角色升级更新或修改配置后，在尽可能不中断业务的前提下的重启操作。 如果需要批量为集群中所有服务进行重启且不中断业务，可执行集群滚动重启操作。 说明 部分服务不支持滚动重启，在执行滚动重启集群的过程中，不支持滚动重启的服务将进行普通重启，业务可能会中断。请根据界面提示是否可以执行操作。 如果修改了端口类等需要尽快生效的配置（例如服务端的端口），则不建议通过滚动重启的方式使之生效，建议采用普通重启。 对系统的影响 与普通重启相比，滚动重启不会导致服务业务中断，但是滚动重启将比普通重启要花费更长的时间，且对应服务的吞吐量、性能等可能会受到影响。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“集群 > 待操作集群的名称 > 概览 > 更多 > 滚动重启”。 3. 输入当前登录的用户密码确认身份，单击“确定”。 4. 根据实际情况调整相关参数，如下表所示。 滚动重启参数 参数名称 描述 “只重启集群内配置过期的实例” 是否只重启集群内修改过配置的实例。 “启用机架策略” 是否启用机架并发滚动重启策略，只对满足机架策略滚动重启的角色（角色支持机架感知功能，且角色下的实例归属于2个或2个以上的机架）生效。 说明 该参数仅在滚动重启HDFS、Yarn时可设置。 “数据节点滚动重启并发数” 采用分批并发滚动重启策略的数据节点实例每一个批次重启的实例数，默认为1。 说明 该参数仅对同时满足“采用并发滚动策略”和“实例为数据节点”两个条件时才有效。 当启用机架策略时，该参数将失效，集群以机架策略默认配置的最大实例数（默认值为20）作为一个机架内分批并发重启的最大实例数。 该参数仅在滚动重启HDFS、HBase、Yarn、Kafka、Storm、Flume时可设置。 HBase的RegionServer滚动重启的并发数不支持手动配置，会根据RegionServer的节点数自行调整，调整规则为：30节点以内，每个批次1个节点；300节点以内，每个批次2个节点；300节点以上(含300节点)，每个批次1%(向下取整)个节点。 “批次时间间隔” 滚动重启实例批次之间的间隔时间，默认为0。 “退服超时时间” 角色实例在滚动重启过程中的退服等待时间，默认为1800s。部分角色（例如HiveServer、JDBCServer）在滚动重启前会暂时停止提供服务，该状态下的实例不可再接入新的客户端连接，而已经存在的连接需要等待一段时间才能完成，配置合适的超时时间参数能尽可能地保证业务不中断。 说明 该参数仅在滚动重启Hive、Spark2x时可设置。 “批次容错阈值” 滚动重启实例批次执行失败容错次数，默认为0，即表示任意一个批次的实例重启失败后，滚动重启任务终止。 说明 “数据节点滚动重启并发数”、“批次时间间隔”、“批次容错阈值”等高级参数需要根据实际情况合理设置，否则可能导致服务业务中断或者严重影响性能，请谨慎调整。 例如： “数据节点滚动重启并发数”过大，同时重启多个实例导致服务业务中断或者由于剩余工作实例较少严重影响性能。 “批次容错阈值”过大，某一批次实例失败后继续重启下一批次实例，导致服务业务中断。 5. 单击“确定”，等待滚动重启完成。

权限 授权项 权限类型（读/写） lasadmin lasaudit lassecurity 实例列表 las:vm:list 读 √ √ √ 实例状态检查 las:vmCheckAlive:get 读 √ √ √ 实例关闭 las:vmShutdown:access 写 √ × √ 实例启动 las:vmStart:access 写 √ × √ 实例升级 las:vmUpgradeVersion:access 写 √ × √ 实例切换子网 las:vmChangeSubnet:access 写 √ × √ 实例更新 las:vmUpdate:access 写 √ × √ 实例审计员角色 las:instance:audit 写 × √ × 实例安全员角色 las:instance:security 写 × × √ 实例超级管理员角色 las:instance:admin 写 √ × ×

本文主要介绍了个人账号完成实名认证的几种方式和总体流程。 个人实名认证分为身份证认证、银行卡认证和手机号码认证等方式，总体流程如下： 了解身份证认证，点此链接。 了解银行卡认证(升级维护中)。 了解手机码号认证，点此链接。

查看防护事件详情 单击防护事件列表操作列的“查看详情”，进入事件详情页面，查看完整日志。 攻击日志字段说明： 参数名称 参数说明 httphost 请求头中的host字段值，即域名。 action 规则动作，包括观察、拦截、验证码、JS挑战、重定向等。 attacktype 发生的攻击类型，包括SQL注入、XSS、BOT、目录穿越、命令注入、模板注入、CC攻击、IP黑名单、自定义精准攻击、信息泄露、文件上传等。 requesturi 攻击的防护域名的URL。 remoteaddr 客户端IP地址，即攻击IP。 attackarea 客户端攻击IP所属地区。 timelocal 服务器时间，即攻击时间。 ruleid 攻击触发的防护规则ID。 uniqueid 请求对应的唯一标识。 IP一键加白/黑 可以对攻击源IP进行加白、加黑处理。 单击防护事件列表操作列的“IP一键加白/黑”，在弹出的对话框中选择IP黑白名单规则。若规则名称下拉列表无可选项，可以单击“新建规则”，配置规则名称和过期时间，新建一个规则。 误报消除 若对正常网站请求造成误拦截，可以通过误报消除自动添加规则白名单，让满足条件的请求不经过指定规则的检测。建议您结合实际业务需求，确保放行的都是预期的访问请求。 说明 支持对Web基础防护、BOT防护这两个防护模块产生的事件进行误报消除。 1. 单击防护事件操作列的“误报消除”。 2. 会自动将触发该规则的源IP及相关URL等字段自动生成白名单。该白名单仅针对所选规则，不影响其他模块检测。 3. 配置规则名称、规则描述、过期时间。 4. 单击“确定”，完成操作。

权限 授权项 权限类型（读/写） 云密评专区管理者 云密评专区查看者 获取实例列表 ctcsz:service:list 读 √ √ 修改实例名称 ctcsz:service:rename 写 √ × 绑定弹性IP ctcsz:service:bind 写 √ × 创建实例 ctcsz:service:create 写 √ × 解绑弹性IP ctcsz:service:unbind 写 √ × 启动实例 ctcsz:service:start 写 √ × 关闭实例 ctcsz:service:stop 写 √ × 重启实例 ctcsz:service:restart 写 √ × 管理实例 ctcsz:service:manage 写 √ × 升级实例 ctcsz:service:upgrade 写 √ ×

本节主要介绍集群概述。 随着应用程序开发向基于容器的方向发展，编排和管理资源的需求变得越来越重要。Kubernetes是一个开源的、功能强大的容器编排系统，用于管理容器化应用和服务，它提供了应用部署、规划、更新、维护的一种机制，让部署容器化的应用更加简单并且高效。 云容器引擎（Cloud Container Engine，以下简称CCE）是一种托管的Kubernetes服务，可进一步简化基于容器的应用程序部署和管理，您可以在CCE中方便的创建Kubernetes集群、部署您的容器化应用，以及方便的管理和维护。 集群优势 传统的应用部署方式是通过插件或脚本来安装应用。这样做的缺点是应用的运行、配置、管理、所有生存周期将与当前操作系统绑定，这样做并不利于应用的升级更新/回滚等操作，当然也可以通过创建虚拟机的方式来实现某些功能，但是虚拟机非常重，并不利于可移植性。 新的方式是通过部署容器方式实现，每个容器之间互相隔离，每个容器有自己的文件系统，容器之间进程不会相互影响，能区分计算资源。相对于虚拟机，容器能快速部署，由于容器与底层设施、机器文件系统解耦的，所以它能在不同云、不同版本操作系统间进行迁移。 容器占用资源少、部署快，每个应用可以被打包成一个容器镜像，每个应用与容器间成一对一关系也使容器有更大优势，使用容器可以在build或release的阶段，为应用创建容器镜像，因为每个应用不需要与其余的应用堆栈组合，也不依赖于生产环境基础结构，这使得从研发到测试、生产能提供一致环境。类似地，容器比虚拟机轻量、更“透明”，这更便于监控和管理。 集群（Cluster）是容器运行所需云资源的集合，包含了若干云服务器节点（物理服务器或者虚拟机）、负载均衡、虚拟私有云等云资源，您可以在集群中运行您的应用程序。在CCE中，我们可以创建若干集群，每个集群可以创建多个容器，每个容器里面运行一个应用实例，然后通过内置的负载均衡策略，实现对这一组应用实例的管理、发现、访问，而这些细节都不需要运维人员去进行复杂的手工配置和处理。

本文主要介绍选择合适的节点数据盘大小。 在节点在创建时会默认创建一块数据盘，供容器运行时和Kubelet组件使用，详情请参见数据盘空间分配说明。由于容器运行时和Kubelet组件使用的数据盘不可被卸载，且默认大小为100G，出于使用成本考虑，您可手动调整该数据盘容量，最小支持下调至20G，节点上挂载的普通数据盘支持下调至10G。 须知 调整容器运行时和Kubelet组件使用的数据盘大小存在一些风险，根据本文提供的预估方法，建议综合评估后再做实际调整。 过小的数据盘容量可能会频繁出现磁盘空间不足，导致镜像拉取失败的问题。如果节点上需要频繁拉取不同的镜像，不建议将数据盘容量调小。 集群升级预检查会检查数据盘使用量是否超过95%，磁盘压力较大时可能会影响集群升级。 Device Mapper类型比较容易出现空间不足的问题，建议使用OverlayFS类型操作系统，或者选择较大数据盘。 从日志转储的角度，应用的日志应单独挂盘存储，以免dockersys分区存储空间不足，影响业务运行。 调小数据盘容量后，建议您的集群安装npd插件，用于检测可能出现的节点磁盘压力问题，以便您及时感知。如出现节点磁盘压力问题，可根据数据盘空间不足时如何解决进行解决。

本文主要介绍节点挂载点检查。 检查项内容 检查节点上是否存在不可访问的挂载点。 解决方案 问题场景：节点上存在不可访问的挂载点 节点存在不可访问的挂载点，通常是由于该节点或节点上的Pod使用了网络存储nfs（常见的nfs类型有obsfs、sfs等），且节点与远端nfs服务器断连，导致挂载点失效，所有访问该挂载点的进程均会D住卡死。 步骤 1 登录节点。 步骤 2 节点上依次执行如下命令： df h for dir in ​df h grep v "Mounted on" awk "{print $NF}"​;do cd $dir; done && echo "ok" 步骤 3 若返回ok则无问题。 否则，请另起一个终端执行如下命令，查询先前命令是否存在D状态： ps aux grep "D " 步骤 4 若发现进程存在D状态，则确认为该问题，目前只可以通过重置节点解决。请选择一个合适的时间重置节点后，重试升级。 说明 重置节点会重置所有节点标签，可能影响工作负载调度，请在重置节点前检查并保留您手动为该节点打上的标签。

本节介绍如何配置全局白名单。 防护对象接入Web应用防火墙后，您可以选择开启全局白名单功能，并配置白名单规则。 可用于放行具有指定特征的请求，使请求不经过全部（包含 Web 基础防护、CC 防护、BOT 防护、精准访问控制）或特定防护模块（Web基础防护）的检测。 也可用于处理误报事件，对于误报的事件可进行规则级别的加白，将单次拦截放通。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 全局防护配置”，进入全局防护配置页面。 5. 定位到“防护白名单”模块，可以选择开启/关闭防护。 6. 点击防护规则右侧的“前去配置”，进入白名单页面。 7. 单击“新建白名单”，在弹出的对话框中，配置白名单规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 企业项目 选择需要配置白名单实例所在的企业项目。 接入对象 设置白名单作用对象，支持选择“全部防护对象”或选择“特定防护对象”。 说明 全局白名单不支持独享版和监听器防护对象。 规则描述 可选项。设置规则的描述信息。 匹配条件 设置白名单请求需要匹配的条件（即特征）。单击“新增条件”，可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 生效范围 设置白名单生效范围，表示触发匹配条件的请求不受所选规则的检测，可选项： 全部规则：选择该项，表示触发匹配条件的请求不受Web 基础防护、CC 防护、BOT 防护、精准访问控制模块的检测，将被直接放行到源站服务器。 特定模块：只忽略检测指定的防护模块，支持Web基础防护。在模块右侧的下拉框，选择不检测的规则类型。 特定规则ID：只忽略检测指定的规则，支持Web基础防护。在模块右侧的下拉框，选择不检测的规则ID。 8. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

本文为您介绍Web应用防火墙（原生版）的产品优势。 WAF对网站业务流量进行多维度检测和防护，产品优势如下： 先进的检测技术 基于专家经验的三大引擎（安全模型检测引擎+智能语义检测引擎+机器学习检测引擎），结合设备指纹、无感验证码、动态人机挑战、动态环境验证、随机化混淆策略、AI驱动的实时决策等关键技术，支持多种常见编码自动还原能力，提供深度攻击防逃逸功能，构建完整的动态防御闭环，有效检测 SQL 注入、XSS 等基于形式语言的攻击类型，有效应对自动化工具、0day漏洞攻击等高风险威胁。打造专业的Web安全防护能力。 多样化环境的防护场景覆盖 基于“中心化管理，去中心化部署”的理念，支持云、管、端混合部署，支持对天翼云、异云、云下多样化环境全场景覆盖，满足用户“云边协同”的一体化防护要求。 灵活的可运营能力 具备事前自定义安全监测、事中安全动态防护封禁、事后上下文溯源分析全面面向攻防实战的产品能力。 高质量的规则集：持续优化的高质量攻击检测规则集，兼顾性能与效果且配置简单，对OWASP常见攻击类型进行了良好覆盖。 精细化的策略配置：支持自定义防护规则，基于会话特征灵活配置攻击识别、对抗策略，精准拦截，降低误报。

数据安全中心服务可识别的敏感数据包括敏感图片信息、个人敏感信息、企业敏感信息等七类，具体可识别的敏感数据类型如下表所示。 敏感数据分类 数据类型 敏感图片信息 身份证图片 护照图片 个人敏感信息 身份证 银行卡 姓名 手机号 邮箱 护照号 港澳通行证 车牌号 电话号码 军官司证 性别 车辆识别代码 企业敏感信息 营业执照号码 税务登记证号码 组织机构代码 统一社会信用代码 密钥敏感信息 PEM证书 KEY私钥 AccessKeyId AccessKeySecret 哈希密码 设备敏感信息 IP地址 MAC地址 JDBC连接串 IPv6地址 IMEI MEID 位置敏感信息 省份 城市 GPS位置 地址 通用敏感信息 日期

参数 说明 优先级 网络ACL规则的优先级，优先级的数值越小，表示优先级越高。为默认的规则，优先级最低。默认规则仅多可用区资源池适用。 IP版本 支持IPv4、IPv6两种协议。 策略 选择入方向规则的授权策略：允许：允许访问子网中云服务器。拒绝：拒绝访问子网中云服务器。 协议 选择协议类型，支持以下几种协议：ALL：所有协议。ICMP：网络控制报文协议。TCP：传输控制协议。UDP：用户数据报协议。 地址和掩码 当前方向允许的地址，对于IPv4，默认值为0.0.0.0/0，代表支持所有的IPv4地址；对于IPv6，默认值为::/0，代表支持所有的IPv6地址。 端口范围 源端口范围，取值范围是1～65535的数字。选择TCP或UDP协议时必须填写。 描述 网络ACL规则的描述信息，非必填项。

天翼云为您提供安全的弹性云主机产品，通过多种技术手段来保障您的主机安全。但是如果云主机没有进行相应的安全设置，仍然可能收到外部的攻击或者遭到病毒入侵。 您可以从以下方面对云主机进行保护：提高账号安全、提高主机密码安全、使用密钥对、使用云监控、备份云主机、配置访问策略、定期升级操作系统。 详细内容参见提升云主机安全的方法。