本文将介绍针对远程访问场景下产生的防护日志。 AOne边缘网关检测存在安全威胁时将实时进行处置，您可通过对应防护日志进行查询处置情况。 注意事项 需开通零信任/终端管理服务，并产生威胁防护时才可查看到相应防护数据。 仅能查询近6个月数据，若有长时间存储日志需求，可联系我们。 操作步骤 1. 登录边缘安全加速控制台，进入对应服务； 2. 在左侧导航栏，选择日志>内网审计日志； 3. 分为内网访问审计、网关防护日志两个模块，可针对需求进行查询相关日志情况。 内网访问审计日志字段说明 字段 字段说明 用户 访问的用户名称和账号 访问时间 访问请求的开始时间和结束时间 会话持续时间 访问请求的持续时间 客户端地址：端口 发起请求客户端的所在IP地址、地区和端口 目标地址：端口 接收请求的应用所在的IP地址和端口 请求协议 访问请求的协议 应用名称 内网应用名称 状态码 05xx 处理动作 告警：即仅产生告警，不会对访问产生影响 拦截：即将对应请求进行拦截，将无法访问对应目标地址 放行：既正常访问，未被识别异常，无特殊处理动作

功能 说明 开启HTTPS功能，实现客户端和CDN节点之间使用HTTPS加密传输。 相对于HTTP1.1，HTTP2.0新增了多路复用、压缩HTTP头、划分请求优先级和服务端推送等特性，解决HTTP1.1中存在的一些问题，优化请求性能。 用户到CDN节点的请求需要强制跳转为HTTP或者HTTPS时，可以配置强制跳转功能。 开启OCSP装订功能后，由CDN进行OCSP信息查询并将查询结果缓存到服务器中，提升HTTPS响应性能。 国密算法，即国家商用密码算法。是由国家密码管理局认定和公布的密码算法标准及其应用规范，其中部分密码算法已经成为国际标准。 TLS即安全传输层协议，目的是为互联网通信提供安全及数据完整性保障，您可以按需对不同加速域名配置不同的TLS协议版本。 CDN支持HTTPS加速服务，您可以通过控制台上传证书，并批量关联域名启用HTTPS加速服务，实现全网数据加密传输。 HSTS是一种网站用来声明他们只能使用安全连接（HTTPS）访问的方法。 网站可通过声明HSTS，来强制客户端（如浏览器）只能使用HTTPS与服务器连接，拒绝所有的HTTP连接并阻止用户接受不安全的SSL证书，降低第一次访问请求被拦截的风险。 加密套件是用于在SSL/TLS握手期间协商安全设置的算法的组合。在Client Hello和Server Hello消息交换之后，客户端发送密码支持套件列表，服务器从列表中选择密码套件进行响应。

绑定天翼云SDWAN的智能网关实例可以建立设备之间的连接关系以便互相通信。 添加设备直联 操作场景 用户添加设备直联。 前提条件 对于需要建立连接关系的智能网关设备，用户已为其配置好BGP路由规则。 操作步骤 1. 登录天翼云SDWAN控制台； 2. 选择“天翼云SDWAN”，单击目标SDWAN名称； 3. 单击“设备直联 >添加设备直联”; 4. 根据页面提示，选择要建立直联关系的两个智能网关实例，并设置必要的BGP邻居参数关系，部分参数配置可参考下表； 5. 单击“确定”，完成建立两个智能网关设备之间的连接关系。 参数 描述 链路名称 当前组网链路的名称 本端智能网关 可以选配置隧道发起者或者隧道响应者角色的智能网关实例 对端智能网关 只能选择配置为隧道响应者角色的设备 本端端口 可选本端智能网关实例已配置好链路的端口 对端端口 可选对端智能网关实例已配置好公网IP的端口 路由反射 可选是否需要开启路由反射 强制路由下一跳 可选是否要开启强制路由下一跳 优先级 配置当前隧道的优先级，范围可支持1~100 查看链路详情 操作场景 用户查看已创建链路的详细信息。

服务类型 证书管理服务提供SSL证书、私有（内网）证书、个人证书： 分类 SSL证书域名证书 SSL证书IP证书 私有（内网）证书 个人证书 应用场景 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的域名。 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的IP。 用于内网身份认证、系统间加密通信和设备安全管理。 用于个人电子邮件或文档签名，无法用于网站HTTPS加密，常用于密评场景。 支持的加密标准 国际标准 国密标准 国际+国密 国际标准 国际标准 国密标准 国密标准 支持的证书种类 域名型证书（DV） 企业型证书（OV） 企业型基础版（OVBasic） 企业型专业版（OVPro） 增强型证书（EV） 增强型基础版（EVBasic） 企业型证书（OV） 企业型专业版（OVPro） 企业型基础版（OVBasic） 企业型证书（OV） 支持的证书版本 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 支持的域名类型 通配符 单域名 多域名 单IP 通配符 单域名 多域名

1. 统一身份认证IAM介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 1.1 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 1.2 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等，更多信息，请参见“2.1.2 创建自定义策略“。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略 ：预置的系统策略，您只能使用不能修改。NAT网关相关的系统策略包含如下： nat admin：NAT网关服务的管理者权限，包含NAT网关所有控制权限（不含订单类权限）； nat viewer: NAT网关服务的观察者权限，包含NAT网关服务的列表页与详情页面权限； 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，请参见“2.1.2 创建自定义策略“。

本文介绍如何重启混合备份客户端。 操作场景 当主机的备份服务需要重新启动时，您可以重启已安装的客户端。 前提条件 机器已安装客户端。 机器状态为运行中，且没有备份任务、恢复任务正在执行。 操作步骤 1. 登录控制中心。 2. 在控制中心左上角选择地域，此处选择华东华东1。 3. 选择“存储>云备份”，进入云备份控制台。 4. 在云备份页面，单击左侧“混合备份（存储版）”按钮，进入混合备份控制台。 5. 找到待重启客户端的主机，单击操作栏的“重启”。

能力项 天翼AI云电脑（政企版） 目标客群 企业群体 管理台功能 是否有管理台 有 管理台功能 自定义组网 支持企业灵活组网，对接企业内部应用系统，更安全 管理台功能 账户体系 1. 支持企业管理员创建并分配账号，该账号无需二次激活自动开通； 管理台功能 账户体系 2. 支持企业普通用户邮箱激活账号、手机激活账号 管理台功能 账户层级管理 1. 支持主子账号管理能力 管理台功能 账户层级管理 2. 支持按部门管理、角色管理、用户管理 实例订购方式 实例订购方式 资源包、单实例 实例订购方式 实例时长限制 不限时长 实例订购方式 带宽提供方式 需单独开通带宽，管理员统一分配带宽 镜像能力 标准镜像 Windows Server 2019 镜像能力 标准镜像 Windows Server 2016 镜像能力 标准镜像 Windows Server 2008 镜像能力 标准镜像 Centos 7.6 镜像能力 标准镜像 Ubuntu 18.04 镜像能力 标准镜像 UOS V20 镜像能力 自定义镜像 支持 增值功能 应用分发，文件加密，备份等增值服务 AI云电脑使用 终端支持能力 1. 移动端（手机/iPad）：默认支持 AI云电脑使用 终端支持能力 2. PC端（Windows/MAC）：默认支持 AI云电脑使用 终端支持能力 3. 瘦终端（Android/Windows/Linux）：默认支持 AI云电脑使用 App 提供天翼AI云电脑App，用户登录后可看到名下所有AI云电脑实例

%^+?,特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 单击“确定”，提交重置。 单击“取消”，取消本次重置。

执行角色 概述 使用云工作流构建应用时，您需要创建执行委托角色并授予相应权限，若不配置委托角色，云工作流默认使用 服务内联委托 角色 。云工作流在执行流程时将以该角色身份代表您访问云服务，例如执行函数、发送消息或调用其他流程。 云工作流基于统一身份认证IAM的委托权限管理机制。授权原理如下：策略定义了访问某项服务的能力，将策略绑定到委托后，该委托便具备访问该服务的权限。第三方只需扮演具备所需权限的角色即可访问服务，无需长期密钥，从而提升系统安全性。 操作步骤 创建委托角色 1. 使用 IAM管理员 登录IAM控制台。 2. 在左侧导航栏，选择 委托。 3. 在委托列表页面，单击 创建委托。 4. 在 创建委托 页面，选择 可信实体类型 为 服务委托, 点击下一步。 5. 在配置委托页面， 输入 委托名称 ,选择委托服务选 一类节点函数计算cf。 6. 输入完成后点击 完成,即可创建完成。 配置委托权限 1. 使用IAM管理员登录IAM控制台。 2. 在左侧导航栏，选择 委托。 3. 在委托列表页，选择需要授权的委托，点击旁边的 授权 按钮。 4. 在 选择策略 页面, 搜索/选择你需要的云服务策略, 本例子授权 对象存储 的 只读 权限 。 如果需要更精细的权限控制，可以先创建自定义策略，详情请查阅创建自定义策略 5. 授权范围将默认勾选全局范围，您可以直接点击“确定”完成授权。 6. 创建完成委托角色后， 即可在 工作流设置 中下拉选择设置。工作流设置详见工作流执行器关于 工作流配置 说明。

本节介绍可通过天翼云电脑同步工具将本地电脑数据同步到云电脑，或者将云电脑的数据同步到另外一个云电脑。 天翼云电脑同步工具是一款客户端工具，用户可在个人电脑中运行，将当前电脑的数据文件同步到用户的天翼云电脑中。天翼云电脑同步工具支持文件和文件夹同步，并可对文件夹进行监控实现自动同步。 天翼云电脑同步工具客户端下载地址：天翼云电脑同步工具客户端下载 1.支持的操作系统 天翼云电脑同步工具可工作于不同的操作系统，下表给出了满足条件的操作系统最低版本。更低的操作系统版本可能会存在兼容性问题。 2.登录/退出客户端 2.1 扫码登录 在登录界面，使用移动端的天翼云电脑App或翼连App进行二维码扫码，移动端确认登录。 2.2 账密登录 在登录界面，输入天翼云电脑账号密码，点击“安全登录”，即可登录同步工具客户端。 2.3 专线接入 若天翼云电脑的租户开通了企业专线接入，该租户下用户使用同步工具也需要通过专线接入登录，同步工具的专线地址与天翼云电脑专线地址一致。 1.勾选“企业/专线地址”，弹出专线接入配置框。 2.在专线接入配置框中，选择协议类型“http”或“https”，输入专线地址和端口。 3.点击“启用”按钮。

本页介绍天翼云TeleDB数据库如何设置告警联系人/组。 操作步骤 1. 以用户名和密码登录TeleDBDCP数据库管理平台，在左侧导航树单击告警中心 > 告警联系人/组 ，进入告警联系人/组 页签。 2. 查看告警联系人/联系组 1. 单击告警联系人 页签，您可查看已关联告警策略的告警联系人。 2. 单击告警联系组 页签，您可查看已关联告警策略的告警联系组。 3. 新建告警联系组 1. 选择告警联系组 页签，单击新建联系组 ，进入新建联系组对话框。 2. 在新建联系组对话框，填写组名、添加用户，单击确定 完成联系组的创建。 4. 编辑告警联系组 选择告警联系组页签，单击目标告警联系组所在行的编辑 ，可修改联系组。 5. 删除告警联系组 选择告警联系组页签，单击目标告警联系组所在行的删除，可删除联系组。 6. 关联告警策略 1. 选择告警联系组 页签，单击目标告警联系组所在行的关联告警策略，出现关联告警策略对话框。 2. 在关联告警策略对话框，输入组名，从左侧勾选告警策略移至右侧，单击确定完成关联告警策略。

本页介绍天翼云TeleDB数据库告警联系人/组相关操作。 操作步骤 1. 以用户名和密码登录TeleDBDCP数据库管理平台，在左侧导航树单击告警中心 > 告警联系人/组 ，进入告警联系人/组页签。 2. 查看告警联系人/联系组 1. 单击告警联系人页签，您可查看已关联告警策略的告警联系人。 2. 单击告警联系组页签，您可查看已关联告警策略的告警联系组。 3. 新建告警联系组 1. 选择告警联系组 页签，单击新建联系组 ，进入新建联系组对话框。 2. 在新建联系组对话框，填写组名、添加用户，单击确定完成联系组的创建。 4. 编辑告警联系组 选择告警联系组页签，单击目标告警联系组所在行的编辑 ，可修改联系组。 5. 删除告警联系组 选择告警联系组页签，单击目标告警联系组所在行的删除 ，可删除联系组。 6. 关联告警策略 1. 选择告警联系组 页签，单击目标告警联系组所在行的关联告警策略 ，出现关联告警策略对话框。 2. 在关联告警策略对话框，输入组名 ，从左侧勾选告警策略移至右侧，单击确定完成关联告警策略。

本节介绍网络的用户指南：Service概述 Pod地址可变性 Pod销毁重建后，其IP地址也会变化，例如deployment工作负载升级时，新建的pod地址会改变。Kubernetes的Service可提供一个固定的IP地址（来自订购集群时配置的服务网段）和Service域名，结合标签选择器，对一组pod做负载均衡。客户端可通过该地址或域名访问IP地址可变的pod。如下图所示，nginx部署的前端服务，通过service地址访问后端服务. Service类型 Service支持如下类型： 1. ClusterIP：Service默认类型，用于集群内应用间访问，客户端可通过ClusterIP或内部Service域名访问后端Pod； 2. NodePort：用于集群外部访问集群内服务，将Service通过集群节点固定端口暴露，集群外部可通过任一集群节点IP和该固定端口来访问Serivce； 3. LoadBalancer：用于集群外部访问集群内服务，通过LoadBalancer实例访问NodePort或直通Pod，相对于NodePort方式，有更高的可用性和性能； 4. Headless：该类Service没有IP地址，可用于DNS负载均衡场景，客户端访问Service域名时会通过DNS返回该Service所有后端Pod的IP地址； 5. ExternalName：将集群外部域名映射到集群内部Service上，使得集群内可通过Service名访问外部域名。 Service创建 登录云容器引擎控制台，进入指定集群，选择服务（Service）>创建，按需配置信息即可。

本文帮助您了解对象存储资源包续订的相关步骤。 资源包快到期时，您可以进行续订以延长资源包的有效期。 前提条件 已购买至少一个ZOS资源包。购买方法请参见资源包购买。 手动续订 1.点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2.在管理控制台上方点击图标，选择所需的资源池节点。 3.在系统首页，选择“存储>对象存储”。 4.在ZOS管理控制台点击右上角“资源包管理”，进入资源包管理页面。 5.选择所需要续订的资源包，点击“续订”。 6.选择需要续订的时长，点击“立即支付”。 7.确认信息无误，在支付页面完成付款。 自动续订 1.点击天翼云门户右上角“我的>费用中心”，点击左侧“订单管理”，点击“续订管理”，选择需要自动续订的资源包，点击“开通自动续订”。 2.对象存储包月资源包默认自动续订周期为1个月，包年资源包默认自动续订周期为1年，您可按需调整自动续订周期。 3.确认信息无误，点击“确定提交”，即可成功续订。 注意 已到期资源不支持设置/修改自动续订。 自动续订仅适于付费用户，不适用于非付费用户。 单次最多支持20个资源实例批量续订。 不关闭自动续订的情况下，只要预付费账户余额充足，或为后付费客户，系统将持续按设定的周期自动续订下去。 自动续订下单扣费时按当时的标准价自动续订，续订1年或以上可享受包年折扣。 0元、秒杀等特价促销活动产品订购后，自动续订下单扣费时将恢复标准价。 预付费用户暂不支持代金券支付，仅支持余额支付，用户需确保账户余额充足。 支付方式及支付时间：将在资源到期前10天或前7天进行自动续订下单及扣费。 自动续订订单出账后不可取消。客户如有问题，可发起退订，自动续订订单的退订与退订规则保持一致，退订的同时，该资源的自动续订自动关闭。

本小节介绍证书管理服务术语解释。 SSL证书 SSL证书是一种数字证书，用于在互联网上建立安全通信连接。SSL代表安全套接层（Secure Sockets Layer），它在客户端和服务器之间创建加密通道，确保敏感数据在传输过程中不会被未经授权的第三方截获或篡改。 签发（CA）机构 签发机构（Certificate Authority，CA）是一种可信的第三方机构，负责验证和签发数字证书。CA在互联网通信中发挥重要作用，确保通信的安全性和可靠性。 证书有效期 证书有效期指的是数字证书的有效时间范围，即从SSL证书的颁发日期到过期日期之间的时间段。在这段有效期内，SSL证书被认为是可信和有效的。 HTTPS加密协议 HTTPS（Hypertext Transfer Protocol Secure）是一种通过加密和身份验证来保护数据传输安全的网络通信协议。它是基于HTTP协议的安全版本，通过使用SSL（Secure Sockets Layer）或TLS（Transport Layer Security）协议来实现通信的加密和认证。 域名类型 证书域名类型分为单域名证书、通配符证书（泛域名证书）和多域名证书，不同域名类型的证书对应了它们适用的域名范围： 单域名证书适用于单个特定域名，例如：ctyun.cn。 通配符证书（泛域名证书）适用于一个主域名及其所有的子域名。 多域名证书可适用于多个相似域名，例如：ctyun.cn、ctyun.com、ctyun.com.cn、.ctyun.cn。

升级改造后产品功能层面变化点 新增功能 支持低频访问型存储类型。 支持索引位置和数据域位置的指定与查询。 支持合规保留、存储桶清单功能。 支持使用统一的Endpoint就近读写数据。 支持更安全的V4签名算法。 访问密钥在多个资源池内共享。 支持批量分享、编辑元数据、修改存储类型、展示存储类型。 支持子用户和子用户组的增删改查授权等功能。 支持自定义策略的增删改查等功能。 支持子用户登录时多因子认证。 支持更细粒度的统计（可筛选存储桶、资源池、存储类型、5分钟/小时/天粒度的统计）。 支持操作跟踪功能，可查询用户最近6个月的管理事件记录。 存量功能优化 存储桶和对象相关接口支持更安全的V4签名，向下兼容旧的V2签名。 统计相关的接口支持更安全的V4签名，向下兼容旧的V2签名。 IAM相关接口仅支持更安全的V4签名，不向下兼容旧的V2签名。 新创建的密钥不再区分主密钥和普通密钥之分，每个用户默认只有2个密钥。 存量的密钥仍然可用，当大于2个时无法再创建新的密钥。 新创建的密钥会记录创建时间，且SecretAccessKey仅在创建时展示，创建之后您将无法再次获取。 自服务控制台展示的旧资源池从其他区域调整到了中国大陆地区对象存储网络2。 具体数据位置在创建存储桶或者查看存储桶区域属性时可以展示。 原生API接口的错误码信息做了更新和补全。 升级改造后产品使用感知变化点

本节介绍如何查看日志审计列表及如何进行日志设置。 日志审计会记录事件的操作时间、用户名、来源IP、操作类型、所属模块、是否执行成功、操作行为等信息。 查看日志审计列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“平台管理 > 日志审计”，进入日志审计页面。 3. 查看日志审计列表：日志列表上方支持按照“用户名”、“操作行为”、“来源IP”、“操作类型”、“所属模块”、“是否执行成功”和操作时间段进行筛选查看。系统默认筛选出近一个月内的日志信息。 日志审计参数说明： 参数 说明 操作时间 记录的操作行为发生的时间。 用户名 操作用户的用户名。 来源IP 操作用户的IP地址。 操作类型 操作类型分为更新、查看、删除、登录/退出、未知这些类型。 所属模块 操作行为对应的功能模块，包括仪表盘、告警响应、镜像安全、容器安全、节点安全、平台管理、安装配置等模块。 是否执行成功 分为“执行成功”和“执行失败”两种类型。 操作行为 具体的操作行为信息。 日志设置 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“平台管理 > 日志审计”，进入日志审计页面。 3. 单击页面右上角的“设置”图标，进入日志设置页面。 4. 可选择是否开启用户“查看类型的操作记录审计”，设置“操作审计保留时间”。 5. 单击“保存”，完成配置。

本节主要介绍OBS安全性相关问题。 我的数据存在OBS中，如何保证安全性？ OBS本身是非常安全的。OBS本身也提供端到端的安全服务。访问桶或对象时，如果桶或对象未公开，只有桶或对象的拥有者才能够访问，访问时需要提供访问密钥（AK/SK）。您还可以使用各种访问控制机制，例如桶策略和访问控制列表（ACL），选择性地向您的用户和用户组授予权限。传输数据时，OBS支持HTTPS/SSL协议；如果您需要更高安全性，可以开启服务端加密功能。 OBS会不会扫描我的数据用于其他用途？ 系统对数据做的扫描仅限于判断数据块是否存在和被损坏（如有损坏，会启动修复），不会读取具体的内容。 后台工程师能否导出我存在OBS中的数据？ 后台工程师无法导出用户数据。访问桶或对象时，如果桶或对象未公开，只有桶或对象的拥有者才能够访问，访问时需要提供访问密钥（AK/SK）。 OBS如何保证我的数据不会被盗用？ 只有桶或对象的拥有者才能访问，访问时需要提供访问密钥（AK/SK），并且还有ACL、桶策略、防盗链等多种访问控制机制保证数据的访问安全。 在使用AK和SK访问OBS过程中，密钥AK和SK是否可以更换？ 可以。在使用过程中，密钥AK和SK可以随时更换。 多个用户是否可以共享一对AK和SK来访问OBS？ 可以。不同的用户使用相同的一对AK和SK可以同时访问OBS中的资源，且访问到的资源相同。

本文为您介绍通知渠道相关内容。 功能说明 通知渠道用于配合通知方式，目前短信通知渠道默认为系统内置短信网关，支持企业配置其他短信网关接入。目前支持阿里云短信网关。适用场景主要为客户已有短信网关时，可补充套餐内短信不够用的情况，或是客户需要使用自定义短信签名的场景。 操作步骤 1.登录边缘安全加速控制台，选择相应的控制台【AOne零信任】； 2.在左侧导航栏，选择消息通知》通知渠道，进入相关页面进行操作； 3.通知渠道目前支持自助配置短信通知渠道，默认使用系统内置短信网关，使用默认短信签名。 阿里云短信服务 支持接入阿里云短信网关作为您企业使用AOne零信任产品过程中发送短信的短信网关。 请点击页面编辑按钮，切换到阿里云短信服务卡片，输入对应参数字段。其中签名名称需要您在短信网关供应商处完成认证方可使用。 在以下短信发送场景中，若您配置了自有短信网关，则将使用您的短信网关进行发送。 目前仅支持使用系统内置的默认模板发送短信，需由企业将以下短信模板添加到短信服务商平台进行审核，请在完成审核后配置短信模版ID并验证短信服务连通性。

1. 统一身份认证IAM介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 1.1 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 1.2 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等，更多信息，请参见“2.1.2 创建自定义策略“。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略 ：预置的系统策略，您只能使用不能修改。弹性IP（EIP）相关的系统策略包含如下： vpc Admin：共享带宽服务的管理者权限，包含共享带宽所有控制权限（不含订单类权限）； vpc Viewer：共享带宽服务的观察者权限，包含共享带宽的列表页与详情页面权限； 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，请参见“创建自定义策略“。

本文介绍如何启用已被禁用的混合备份计划(任务)。 操作场景 针对已禁用的备份任务，在需要时可以进行启用备份任务操作。 前提条件 已创建备份任务，且备份任务状态为“已禁用”。 操作步骤 1. 登录控制中心。 2. 在控制中心左上角选择地域，此处选择华东华东1。 3. 选择“存储>云备份”，进入云备份控制台。 4. 在云备份页面，单击左侧“混合备份（存储版）”按钮，进入混合备份控制台。 5. 单击“任务列表”，进入任务列表页面。单击待启用的备份任务所在行“操作>启用”。

本文帮助您了解如何操作跨账号网络实例授权。 使用说明 账号 A（授权方） 1. 在授权前，请从账号 B 处获取以下两项信息： 账号 B 的 唯一账号 ID 账号 B 的 云间高速 ID 2. 执行授权：将 VPC1 与 云专线 授权给账号B。 账号 B（被授权方） 1. 等待授权：确认账号A已完成授权。 2. 加载实例：在区域A的云企业路由器中加载网络实例，务必选择 “资源归属”为“跨账号”，然后加载已授权的VPC1和云专线。 操作步骤 1. 登录控制中心。 2. 登录云间高速（标准版）管理控制台，并在左侧菜单列表中选择“跨账号授权管理”，进入“跨账号授权管理”页面。 3. 在“已授权网络实例 ”页签中，点击“授权 ”按钮，进入“跨账号网络实例授权”页面。 4. 在“跨账号网络实例授权 ”页面，根据页面提示填写对应参数，单击“确定”，完成授权。 参数 说明 您的账号ID 当前登录账号的唯一标识符，用于授权查询与身份验证。 区域 需授权网络资源所在的区域（资源池）。 网络类型 需授权的网络资源类型。 网络实例 需要授权的网络实例，一次只能授权一个。 对方账号ID 被授权方的账号标识符，需对方登录天翼云，并在云间高速跨账号授权管理页面确认。 对方云间高速实例ID 被授权方需先创建的云间高速ID，用于组网授权与连接建立。 备注 输入关于授权资源的说明或备注信息。

态势感知（专业版）根据常用场景内置了多种模型模板（包括场景说明、模型原理、处置建议、使用约束等信息），本节介绍如何查看已有模型模板。 操作场景 态势感知（专业版）支持利用模型对管道中的日志数据进行扫描，如果不在模型设置范围内容，将产生告警提示。模型是基于模板而创建的，因此，需利用已有模板创建模型。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“建模分析 > 智能建模”，进入智能建模页面后，选择“模型模板”页签，进入模型模板页面。 5. 在模型模板页面，查看已有模型模板。 参数名称 参数说明 模型模板统计 显示可用模板和活跃模板数量。 可用模板：可用的模板总数。 活跃模板：指已经被用来创建模型的模板，会被统计为活跃模板。使用模板创建模型请参见新建或编辑模型。 严重程度 显示当前已有模板的严重程度统计情况，与模板关联的告警的严重程度一致，包含致命、高危、中危、低危、提示级别。 致命：致命级别的告警表示系统已经受到严重的攻击，可能导致数据丢失、系统崩溃或者长时间的服务中断。例如，发现勒索加密行为或恶意程序感染。建议您立即处理，避免对系统造成更严重的损害。 高危：高危级别的告警表示系统可能正在受到攻击，但尚未造成严重的损害。例如，检测到未授权的登录尝试或执行了危险命令（如删除关键系统文件或修改系统设置的命令）。建议您及时调查并采取措施，以防止攻击蔓延。 中危：中危级别的告警表示系统存在潜在的安全威胁，但目前没有明显遭受攻击的迹象。例如，检测到文件或目录的异常修改，表明系统可能存在潜在的攻击路径或配置错误。建议您进一步分析并采取适当的防范措施，以确保系统的安全。 低危：低危级别的告警表示系统存在轻微的安全威胁，不会对系统的正常运行产生显著影响。例如，检测到一些端口扫描行为，这些行为通常是攻击者尝试寻找系统漏洞的前奏。这类告警可以在合适的时间进行处理，不需要立即采取紧急措施。如果您的资产安全等级要求较高，可以关注该等级的安全告警。 提示：对应资源存在潜在的错误可能影响到业务。如果您对您的资产的安全等级要求较高，可以关注该等级的安全告警。 模板列表 模板列表中，显示当前已有模板的严重程度、名称、模型类型、更新时间和创建时间等信息。 如需查看某个模型模板的详细信息，可单击模板所在行“操作”列的“详情”，右侧弹出当前模板详情页面。 在详情页面中可以查看当前模型模板的描述信息、查询规则、触发条件、查询计划等信息。

本文介绍插件管理相关概念。 态势感知（专业版）支持将安全编排流程中使用的插件进行统一管理。 名词解释 插件 ：是包含函数、连接器、公共库的聚合。插件有自定义插件和商业插件两种类型，其中，自定义的插件可以在集市中显示，也可以在剧本中使用。 插件集 ：是具有相同业务场景的插件集合。 函数 ：是可以在剧本中选用的执行函数，在剧本中执行特定的行为。 连接器 ：是用于连接数据源，将告警、事件等安全数据接入态势感知（专业版），包括事件触发和定时触发两种连接器类型。 公共库 ：是一个公共模块，包含在其他组件中会使用到的API调用和公共函数。

本页介绍RDSPostgreSQL通过备份文件恢复实例数据。 全量恢复是指将全量历史数据恢复至当前实例、已有实例或新实例。 操作场景 RDSPostgreSQL支持使用已有的自动备份和手动备份文件，将实例数据恢复到备份被创建时的状态。全量恢复所需要的恢复时长与实例的数据量以及备份空间存储类型有关。 限制条件 目前支持恢复到当前实例、已有实例和新实例。 需要确保被恢复的实例机器有足够的磁盘空间。 若开通实例时选择的备份空间为“云硬盘”，则恢复到新实例时，新实例需要和源实例处于同一个vpc下；若选择的为“对象存储”，则没有这个限制。 若选择恢复到已有实例，且当前实例开通时选择的备份空间为“云硬盘”，则要求目标实例和源实例处于同一个vpc下。 恢复至已有实例、新实例需要求实例大版本一致。 操作步骤 1. 登录天翼云官网。 2. 点击控制中心，进入控制中心后，选择目标资源池。 3. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 4. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 5. 在【实例管理】的实例列表中选择目标实例，点击指定的实例，进入单个实例管理详情页。 6. 点击“备份恢复”页签，进入备份恢复功能页面。 7. 在基础备份列表中，选择想要恢复的目标备份，点击“恢复”按钮。 8. 在弹出的页面中，选择“当前实例“，则会将数据恢复到本实例，需要注意的是：此操作会删除实例的数据，请提前做好备份；选择“已有实例”，则会将数据恢复到选择的目标实例，需要注意的是，此操作会删除目标实例的数据，请提前做好备份；选择“新实例”，则会跳到开通实例页面，选配好新实例的配置之后，即可进行实例的开通和数据的恢复。 9. 查看结果，在“备份恢复”页面左上角点击“操作记录”该按钮，可以看到自动备份、手动备份、删除手动备份、恢复备份等任务的进度。 10. 恢复完成后，实例状态会变成运行中。 注意 不同资源池因IaaS资源能力等原因，加载版本有所差异，操作步骤有细微差异，请以实际界面为准，功能加载情况详见

本节介绍如何新增检测规则。 检测规则中包含基本设置、检测条件设置、分级分类设置、严重性设置等内容。通过对检测规则的设置，可以对敏感信息更加精确的检测并进行分级分类与严重性的设置。 新增检测规则 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 语料安全 > 检测规则”。 3. 点击“新增”。填写基本设置、检测条件、分级分类、严重性等信息，点击“保存”完成检测规则配置。 参数如下表所示： 信息 说明 基本设置 名称 该策略名称。 基本设置 备注 该策略描述备注。 检测条件设置 只允许选择一种检测条件；关键字、正则支持多选。 检测条件：关键字、正则表达式、字典、文档指纹、数据库指纹、图像指纹、语义模型、文件类型、文件名称、文件大小、文件MD5、修改时间。 分基分类设置 所属分类 数据来源于分类模板。 分基分类设置 所属分级 数据来源于分级。 严重性设置 数据来源于严重性。 支持配置检测达一定数据时视为某种严重性。

本章节主要向您介绍企业路由器的权限管理相关内容。 如果您需要对云服务平台上的ER资源，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制服务资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并授权控制他们对资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有ER的使用权限，但是不希望他们拥有删除ER等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用ER，但是不允许删除ER的权限，控制他们对ER资源的使用范围。 如果账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用ER服务的其它功能。 IAM是云服务平台提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。 ER权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 ER部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问ER时，需要先切换至授权区域。 下表介绍了ER的所有系统权限。 系统角色/策略名称 描述 类别 依赖关系 ER FullAccess 企业路由器的管理员权限，拥有该权限的用户可以操作并使用所有企业路由器。 系统策略 无 ER ReadOnlyAccess 企业路由器只读权限，拥有该权限的用户仅能查看企业路由器数据。 系统策略 无 下表介绍了ER常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 操作 Tenant Administrator Tenant Guest ER FullAccess ER ReadOnlyAccess 创建企业路由器 √ × √ × 修改企业路由器配置 √ × √ × 查看企业路由器 √ √ √ √ 删除企业路由器 √ × √ × 在企业路由器中添加“虚拟私有云（VPC）”连接 √ × √ × 删除“虚拟私有云（VPC）”连接 √ × √ × 查看连接（所有类型） √ √ √ √ 创建路由表 √ × √ × 修改路由表名称 √ × √ × 查看路由表 √ √ √ √ 删除路由表 √ × √ × 创建关联将连接关联至路由表中 √ × √ × 查看路由表中关联的连接 √ √ √ √ 删除路由表中关联的连接 √ × √ × 在路由表中创建连接的传播 √ × √ × 查看路由表中连接的传播 √ √ √ √ 删除路由表中连接的传播 √ × √ × 创建静态路由 √ × √ × 修改静态路由 √ × √ × 查看路由 √ √ √ √ 删除静态路由 √ × √ × 创建流日志 √ × √ × 查看流日志 √ √ √ √ 关闭流日志 √ × √ × 开启流日志 √ × √ × 删除流日志 √ × √ × 添加资源的标签 √ × √ × 修改资源的标签 √ × √ × 查看资源的标签 √ √ √ √ 删除资源的标签 √ × √ ×

步骤说明 此处我们需要购买两个NAT网关，NAT网关不支持批量创建。 操作步骤 1. 登录天翼云控制中心。 2. 在系统首页，单击“网络>NAT网关”。 3. 选择付费方式，填写名称，选择可用区，VPC选择环境准备中的创建的VPC，选择规格，点击“下一步”。 4. 确认规格，选择我已阅读并同意相关协议，单击“确认下单”，完成NAT网关的创建。 5. 重复上述操作，创建第二个NAT网关实例 “NAT网关2”。 步骤三：添加路由规则 步骤说明 两个路由表配置不同的公网路由，指向不同的NAT网关。 操作步骤 1. 登录天翼云控制中心，选择“网络>虚拟私有云”。 2. 在虚拟私有云页面，单击“路由表”，进入路由表列表页。 3. 单击“创建路由表”，进入路由表创建，分别创建路由表1和 路由表2。 4. 进入路由表1，关联子网1，然后添加一条新的路由，根据界面提示，配置路由相关参数： IP类型 : 选择IPV4 目的地址 : 0.0.0.0/0 下一跳类型: 选择NAT网关 NAT网关：NAT网关1 5. 配置好相关参数后，点击“确定”即完成路由添加。 6. 进入路由表2，关联子网2，然后添加一条新的路由，根据界面提示，配置路由相关参数： IP类型 : 选择IPV4 目的地址 : 0.0.0.0/0 下一跳类型: 选择NAT网关 NAT网关：NAT网关2 7. 配置好相关参数后，点击“确定”即完成路由添加。 步骤四：配置SNAT规则

本节介绍翼共享的应用场景。 企业文件共享 目标用户：企业内各部门员工、管理层。 核心诉求：保障企业数据安全，实现部门间高效协作与信息精准传递，满足不同部门对各类文档的管理与共享需求，同时便于权限管控与资料归档。 使用流程：企业管理员根据部门和组织架构在翼共享平台设置用户读写权限及文档共享范围；员工使用各自账号登录天翼AI云电脑，通过挂载的翼共享盘进行文件上传、下载、编辑等操作，如上传部门报表、产品文档等，下载所需资料；新员工入职时可获取相应权限访问入职培训资料和员工手册等。 共享盘推荐：翼共享具有严格权限分层管理和大容量存储功能的共享盘类型，以适应企业多部门、多文档类型的存储与权限管理需求。如有外部客户访问场景可以选择网络共享盘，本地数据大容量并发场景推荐使用NAS共享盘。 电子教室 目标用户：学校师生。 核心诉求：确保教学资料便捷存储与快速访问，满足课堂教学互动需求，保障学生作业安全存储与有效管理，同时简化教学设备管理流程。 使用流程：学校 IT 人员配置翼共享盘与池化AI云电脑的挂载连接；教师将课件及教学视频上传至翼共享盘；课堂上，学生通过池化AI云电脑登录访问翼共享盘，打开教学资料学习，并在课后将作业保存至共享盘指定位置。 共享盘推荐：翼共享学生空间版本，具备高并发读写能力和稳定数据传输性能的共享盘，可以支持按照学生账号进行作业空间配置，满足课堂作业提交场景，以保障多学生同时访问和操作教学资料时的流畅性。

2、权限管理 进入权限管理界面，在个人权限中申请“个人手机号信息”与“通讯录个人信息读权限”两个权限和申请通讯录管理中的所有权限。 3、安全设置 进入安全设置界面，配置重定向URL（回调域名）参数，填写AOneId控制台域名。 4、应用发布 配置完成后需要进行应用发布，如不发布应用版本，配置修改无效。 进入版本管理与发布界面，点击“创建新版本”按钮，填写版本详情资料后点击“保存”后发布应用。 管理员创建钉钉同步任务 仅将钉钉的用户与组织信息进行同步到AOne，AOne进行认证管理（即密码由AOne管理）。 1. 登录边缘安全加速。 2. 支持在AOne零信任工作台进行操作。 3. 在左侧导航栏身份第三方组织，选择同步身份源菜单。 4. 点击“添加同步任务”，按需选择同步任务，完成任务配置。

查询分析结果可以通过饼图形式进行展示。 饼图用于表示不同分类的占比情况，通过弧度大小来对比各种分类。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道列后，再单击管道名称，右侧将显示管道数据的检索页面。 6. 输入查询分析语句，设置时间范围，并单击“查询分析”。 7. 选择“图表统计”页签，并在图表统计页面右侧的“图表类型”中单击。 8. 配置饼图参数。 参数类别 参数名称 参数说明 基本配置 标题 自定义线图标题名称。 图表配置 分类 数据分类。 图表配置 数列值 分类数据对应的数值。 图例配置 显示图例 确认是否显示图例。 图例配置 图例位置 开启显示图例时须配置。 图例在图表中的位置，可以配置为上、下、左和右。 图表设置完成后，左侧可预览配置后的数据分析情况。

参数 说明 主机名称 自定义的主机资源名称，系统内“主机名称”不能重复。 协议类型 选择主机的协议类型。 专业版支持协议类型有SSH、RDP、VNC、TELNET、FTP、SFTP、DB2、MySQL、SQL Server、Oracle、SCP、Rlogin。 标准版支持协议类型有SSH、RDP、VNC、TELNET、FTP、SFTP、SCP、Rlogin。 主机地址 输入主机与云堡垒机网络通畅的IP地址 ，选择主机的EIP地址或私有IP地址，建议优先选择可用私有IP地址。 主机的EIP为独立的公网IP，对外访问的端口受网络安全限制，可能导致从云堡垒机无法跳转登录到主机。 端口 输入主机的端口号。 系统类型 （可选）选择主机的操作系统类型或者设备系统类型。 默认支持14种系统类型，包括Linux、Windows、Cisco、Huawei、H3C、DPtech、Ruijie、Sugon、Sugon、Digital China smsg 10600、Digital China smdd 10600、ZTE、ZTE595052tm、Surfilter、ChangAn。 终端速度 Rlogin协议类型主机可选择不同终端速率。 编码 SSH、TELNET协议类型主机可选择运维界面中文编码。 可选择UTF8、Big5、GB18030。 终端类型 SSH、TELNET协议类型主机可选择运维终端类型。 可选择Linux、Xterm。 更多选项 （可选）选择配置“文件管理”、“剪切板”、“X11转发”。 文件管理：仅SSH、RDP、VNC协议类型主机可配置。 剪切板：仅RDP协议类型主机可配置。 X11转发：仅SSH协议类型主机可配置。 部门 选择主机所属部门。 标签 （可选）自定义标签或选择已有标签。 主机描述 （可选）对主机的简要描述。