第4章 服务范围 远程运维服务产品范围：天翼专有云、天翼公有云、天翼混合云的云产品，详见《服务协议》。 天翼云远程运维服务范围包含： 天翼云产品使用咨询、日常巡检、问题处理、故障处理、操作指导、最佳实践等。 天翼云产品相关操作的技术支持。 天翼云管理控制台相关的问题支持。 天翼云远程运维服务范围不包含： 应用的开发和运维，包括但不限于应用开发、部署、测试、问题诊断等。 IDC和硬件设备维护，包括网络设备、服务器、存储等硬件巡检、更换、诊断等（天翼云提供的除外）。 第三方软件问题，包括但不限于OFFICE、WPS办公软件等。 第5章 前提条件 客户需提前至少20个工作日申请远程运维服务，天翼云解决方案架构师评估需求可行性，确定是否提供远程运维服务。 运维专家现场服务2天起售，需提前15个工作日申请，现场服务只在远程运维服务的服务期内提供，运维专家现场服务工作时间为工作日9:00~18:00。 若已购买运维专家现场服务，客户须提供安全的办公环境，并保障天翼云驻场人员的人身安全。 运维专家现场服务，客户需签署运维进场和离场报告或签到表。 客户需在天翼云承接远程运维服务后，提供必要的访问通道、权限、授权、协助配合天翼云开展远程运维服务。 客户需审核天翼云制定的远程运维服务计划和服务方案，以书面形式（包括但不限于电子邮件）确认。如无正当技术理由，不能否定双方已确认的服务计划和服务方案。 客户需授权天翼云对云上资源和应用进行监控和分析。

本文介绍了使用天翼云防火墙（原生版）的使用流程和步骤说明。 一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界、内网VPC边界管控与安全防护，并提供实时入侵防护、全流量业务可视化、日志审计和分析等功能，帮助用户完成网络边界防护与等保合规业务。 使用流程 使用流程如下图： 互联网边界防护 操作步骤 说明 相关文档 购买云防火墙（原生版） 成功注册天翼云账号后，打开控制中心，切换资源池至目标资源池，选择云防火墙（原生版）产品，点击购买配额。 购买C100实例 开启防护 打开云防火墙（原生版）控制台，选择防火墙开关，开启防护。 开启弹性IP防护 开启公网NAT网关防护 开启弹性负载均衡防护 配置防护策略 购买成功后，打开云防火墙（原生版）控制台，配置访问控制策略和防护策略。 支持配置以下防护策略： 入向/出向防护规则：按照IP地址、端口、协议、应用等维度设置防护规则进行流量管控。 黑/白名单规则：按照IP地址进行流量管控，来自黑名单内的流量会直接拦截，来自白名单内的流量会直接放行。 入侵防御：根据入侵防御规则库拦截网络攻击，支持基础防御、虚拟补丁、DDoS防护。 配置互联网边界防护规则 配置入侵防御防护规则 查看防护结果 策略配置成功后，查看防护结果日志，防火墙成功开启。 日志审计

本文为您介绍Web应用防火墙相关名词的主要含义。 CC攻击 CC攻击是针对Web服务器或应用程序的攻击，利用获取信息的标准的GET/POST请求，如请求涉及数据库操作的URI（Universal Resource Identifier）或其他消耗系统资源的URI，造成服务器资源耗尽，无法响应正常请求。 跨站请求伪造 跨站请求伪造攻击是一种常见的WEB攻击手法。攻击者通过伪造非受害者意愿的请求数据，诱导受害者访问，如果受害者浏览器保持目标站点的认证会话，则受害者在访问攻击者构造的页面或URL的同时，携带自己的认证身份向目标站点发起了攻击者伪造的请求。 扫描器 扫描器是一类自动检测本地或远程主机安全弱点的程序，它能够快速的准确的发现扫描目标存在的漏洞并提供给使用者扫描结果。 网页防篡改 网页防篡改为用户的文件提供保护功能，避免指定目录中的网页、电子文档、图片、数据库等类型的文件被黑客、病毒等非法篡改和破坏。 跨站脚本攻击 一种网站应用程序的安全漏洞攻击，攻击者将恶意代码注入到网页上，用户在浏览网页时恶意代码会被执行，从而达到恶意盗取用户信息的目的。 SQL注入 SQL注入攻击是一种常见的Web攻击方法，攻击者通过把SQL命令注入到Web后台数据库的查询字符串中，最终达到欺骗服务器执行恶意SQL命令的目的。例如可以从数据库获取敏感信息，或者利用数据库的特性执行添加用户、导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。

DRDS实例创建成功后，默认未绑定弹性IP，不能使用公网访问功能。您可以为DRDS实例绑定弹性IP，来通过公网访问数据库实例。本文为您介绍DRDS绑定公网IP的具体操作。 为节点绑定/解绑弹性IP 您可以为DRDS实例的单个节点绑定弹性IP，绑定后，即可通过该节点的弹性IP访问数据库实例。 注意 仅V5.1.9.6020.2533及以后版本的实例，支持该功能。 前提条件 已创建弹性IP。具体操作，请参见申请弹性IP。 注意事项 绑定弹性公网IP后，请在安全组中设置严格的出入规则，以加强系统安全性。 在绑定弹性IP后，请将客户端公网出口IP加入至白名单中，否则将无法通过弹性IP访问数据库。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 分布式关系型数据库 ，进入分布式关系型数据库产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择DRDS > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击操作 列的管理， 进入实例基本信息页面。 4. 在连接信息 区域，找到目标节点，单击绑定弹性IP。 5. 在对话框中，选择弹性公网IP，单击绑定。 6. 使用弹性IP地址，连接DRDS节点。 7. 如果您不再需要使用弹性IP，单击解绑弹性IP，即可进行解绑。 为分组绑定ELB实例 您可以创建自定义分组并关联ELB实例，关联后，即可通过分组ELB实例的弹性IP来访问数据库实例。

介绍挂载点管理相关操作。 功能说明 产品控制台提供挂载点管理功能，用户可以便捷地管理文件空间的挂载点信息。 前提条件 已注册天翼云账号。 已登录媒体存储控制台。 已完成文件空间新建操作。 使用说明 目前天津资源池2区、天津资源池3区支持挂载点管理操作。其他资源池挂载点信息可以参考文件空间管理。 NFS协议 添加挂载点 1. 登录控制台，选择文件系统菜单，进入【文件系统列表】，选择对应文件系统协议类型为【 NFS 】，在文件系统列表操作栏点击【 管理 】进入页面。 2. 进入文件空间管理页面后，点击【 添加挂载点 】。 3. 填写挂载点信息和权限管理，目前一个文件空间仅支持添加一个挂载点。填写完成后点击【确定】，完成添加操作。 用户映射说明 nosquash：使用root用户访问文件系统映射为root用户。 rootsquash：以root用户身份访问时，映射nfsnobody用户，其他用户映射为对应用户。 allsquash：无论以何种用户身份访问，均映射为nfsnobody用户。 nfsnobody用户是Linux系统的默认用户，只能访问服务器上的公共内容，具有低权限，高安全性的特点，选择rootsquash与allsquash可减少root用户或其他用户误操作带来的问题。若安全需求较低，为减少出现无读写权限的问题，建议配置 nosquash。 管理挂载点 1. 在管理页面可查看挂载点名称、挂载点信息、状态、创建时间等信息，包括对挂载点【管理权限组】、【禁用】操作。 2. 点击【禁用】，确认对该挂载点禁用后，用户将无法使用该NFS文件资源。 SMB协议

本章主要介绍开启跨域访问。 什么是跨域访问 浏览器出于安全性考虑，会限制从页面脚本内发起的跨域访问（CORS）请求，此时页面只能访问同源的资源，而CORS允许浏览器向跨域服务器，发送XMLHttpRequest请求，从而实现跨域访问。 图 跨域访问 浏览器将CORS请求分为两类： 简单请求 简单跨域请求的场景需要满足以下两个条件： a. 请求方法是HEAD，GET，或者POST。 b. HTTP的头信息不超出以下范围： Accept AcceptLanguage ContentLanguage LastEventID ContentType：取值范围：application/xwwwformurlencoded、multipart/formdata、text/plain 对于简单请求，浏览器自动在头信息之中，添加一个Origin字段，Origin字段用于说明本次请求来自哪个源（协议+域名+端口）。服务器根据这个值，决定是否同意这次请求。服务器响应消息中包含“AccessControlAllowOrigin”时，表示同意请求。 非简单请求 不满足简单请求两个条件的都为非简单请求。 对于非简单请求，在正式通信之前，浏览器会增加一次HTTP查询请求，称为预检请求。浏览器询问服务器，当前页面所在的源是否在服务器的许可名单之中，以及可以使用哪些HTTP请求方法和头信息字段。预检通过后，浏览器向服务器发送简单请求。 开启跨域访问 API网关默认不开启跨域访问，如果您需要开启，请参考以下说明完成跨域配置。如需自定义跨域的请求头、跨域的请求方法和指定授权访问的域，请使用跨域资源共享策略说明。 简单跨域访问 如果是创建新的API，在“安全配置”时，勾选“开启支持跨域（CORS）”开关。详细的使用指导，可参考[简单请求](

创建托管前，需先创建托管视图，本节介绍如何创建托管视图。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间托管”，进入空间托管管理页面。 4. 在“托管视图”页签中，单击“创建托管视图”，右侧弹出创建托管视图页面。 5. 配置托管视图参数。 参数名称 参数说明 托管视图名称 设置托管视图名称。 绑定空间名称 选择需要绑定的工作空间。 描述 自定义托管视图描述信息。 6. 单击“确定”。 创建成功后，可以在“空间管理”或“空间托管”页面中查看已创建的托管视图。 相关操作 编辑托管视图 1. 在待编辑托管视图所在行“操作”列，单击“编辑”。 2. 在弹出的编辑托管视图中，修改托管视图参数后，单击“确定”。 删除托管视图 1. 在待删除视图所在行“操作”列，单击“删除”。 2. 在弹出确认框中，单击“确认”。

跨VPC后端 跨VPC后端支持添加通过以VPC对等连接、VPN连接与专线连接互通的后端云主机。使用跨VPC后端功能时，请注意以下事项： 请前往负载均衡器基本信息页面开启跨VPC后端功能，否则该功能无法正常使用。 添加的跨VPC后端的IP地址只允许为IPv4类型的地址。 若要使用跨VPC后端功能，请先正确配置VPC路由，确保后端可达。 只有TCP，HTTP，HTTPS类型监听器支持跨VPC后端功能。 请确保负载均衡器的后端子网有足够的IP地址（至少有16个可用IP地址），否则该功能无法正常使用。可以通过负载均衡器的“基本信息 > 后端子网”添加多个后端子网来增加后端子网的IP地址。 跨VPC后端的安全组规则必须放通负载均衡器的后端子网网段，否则会导后端业务流量与健康检查异常。 跨VPC后端功能开启后无法关闭。 通过跨VPC后端功能添加的后端云主机，默认的源地址透传功能会失效。

参数 是否必填 参数类型 说明 示例 下级对象 instanceId 是 String 实例ID 58c5689018334b30a08ff9a3f8d5f314 autoPay 是 String 预付费下单自动支付 true engineType 是 String 引擎类型 nacos、zookeeper cycleType 是 String 订购周期类型，3表示按月订购，cycleCnt属性为1表示订购1个月；101表示按需订购，此时cycleCnt不需要赋值 3 cycleCnt 是 String 订购周期，取值范围：值需大于零，不超过60个月 12 autoRenewStatus 否 String 仅包周期有效 是否自动续订 true autoRenewCycleType 是 String 3按月，autoRenewStatus为true时需要传 3 autoRenewCycleCount 是 String 周期数，autoRenewStatus为true时需要传 1 resSize 是 Integer 集群数量resSize，3,5,7,9 3 cpuNum 是 Integer CPU核数 4 memSize 是 Integer 内存8G 8 securityGroupUuid 是 String 安全组ID,对应vpc列表接口返回的foreigngroupid 59893 vpcUuid 是 String VPCID对应vpc列表接口返回的networkId 60144 subnetUuid 是 String 子网ID对应子网列表接口返回的subNetworkId 25024 azInfo 是 Array of Objects 可用区信息 azInfo

网站扫描查看漏洞修复建议的方法。 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务页面。 3. 在“资产列表 > 网站”页签，进入网站列表入口。 4. 查看网站资产列表，相关参数说明如下表所示。 参数 参数说明 域名信息 域名/IP地址 域名别称 认证状态 “已认证” ：目标域名已完成域名认证。 “未认证” ：目标域名未完成域名认证。单击“去认证”进行域名认证。 上次扫描时间 域名最近一次扫描任务的时间。 上一次扫描结果 域名最近一次扫描结果信息，包括得分和各等级的漏洞数量。单击得分或者“查看详情”，进入“扫描详情”界面查看扫描概况。 5. 在目标域名所在行的“上一次扫描结果”列，单击分数或者“查看详情”，查看扫描任务详情。 6. 选择“漏洞列表”页签，查看漏洞信息。 7. 单击漏洞名称，查看相应漏洞的“漏洞详情”、“漏洞简介”、“修复建议”，用户可以根据修复建议修复漏洞。

本节介绍如何添加WAF防护策略。 前提条件 已添加防护网站。 约束条件 一个防护域名只能绑定一个防护策略。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“防护策略”，进入“防护策略”页面。 步骤5 在列表的左上角，单击“添加防护策略”。 步骤6 在弹出的对话框中，输入策略名称，单击“确定”。 步骤7 在目标策略所在行，单击策略名称，进入防护规则配置页面。 相关操作 若想修改策略名称，单击目标策略名称后的编辑按钮，在弹出的对话框中，重新输入新的策略名称即可。 若想删除添加的防护策略，在目标策略所在行的“操作”列，单击“删除”。 如果您想批量删除防护策略，勾选需要删除的策略，单击策略列表上方的“批量删除”。

此小节介绍删除防护域名，您可以通过Web应用防火墙服务对不再防护的网站执行删除操作。 前提条件 已添加防护域名。 系统影响 删除网站后，1分钟内生效，且不可恢复，请谨慎删除防护网站。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 步骤5 在目标防护域名所在行的“操作”列中，单击“删除”，进入删除防护域名对话框界面。 步骤6 在删除防护网站对话框中，确认删除防护网站。如果需要保留该域名绑定的防护策略，可以勾选“保留该域名的防护策略”。 步骤7 单击“确定”，页面右上角弹出“删除成功”，则说明删除操作成功。

图片上传到OOS后，可以通过以下两种方式生成url访问，但是图片会以附件形式下载到本地： 将Bucket设置为公共读，然后按照模板访问，模板：BucketName.ooscn.ctyunapi.cn/ObjectName，或者ooscn.ctyunapi.cn/BucketName/ObjectName。 通过生成共享链接： 使用SDK中的generatePresignedUrl(GeneratePresignedUrlRequest)方法，生成共享链接 URL。 使用控制台“存储桶列表”>“文件列表”页文件分享功能生成共享链接。 基于安全合规要求， OOS禁止通过OOS的默认域名（存储桶访问地址或存储桶自定义域名）在线预览图片、网页等类型的文件，而是以附件形式下载。如果想通过url直接访问预览，需要通过静态网托管功能实现，即将已备案自定义域名和存储桶进行绑定，然后通过访问自定义域名实现在线预览。为Bucket绑定自定义域名请先联系天翼云客服申请，然后可以通过以下方法配置静态网站托管功能： 通过控制台进行配置，详见网站。 通过API进行配置，详见PUT Bucket Website。

参数 配置说明 目录和文件 支持选择要备份的目录和文件及不要备份的目录和文件。 注意：选择文件备份目录时，需选择非结构化数据（如视频、图片、附件、日志等）文件产生的数据路径。若选择"/"或包含系统文件的系统整盘、系统盘整个分区（如C盘），任务状态会变为停止。如需有系统盘整盘、整个分区的备份需求可选择整机备份方式实现。 镜像设置 校验方式：启用增量备份或差异备份时，当前备份数据与上次备份数据差异比对方式。 错误处理方式 如果源路径包含系统目录和文件，drnode程序可能无法访问某些特定的系统文件。对于这种情况，给出两种解决办法。此选项默认为“遇到错误，立即停止”。 文件打开方式 在镜像阶段，源端打开文件的方式，该选项只适用于Windows平台的工作机。在增量复制阶段，drnode程序不会读取文件内容。 文件安全属性 用户选择是否同步备份文件权限、用户属性等。此选项默认为同步。

本章主要介绍API认证鉴权常见问题。 是否支持HTTPS的双向认证？ 专享版：支持，在创建API时，可配置双向认证。 “无认证”方式的API该怎么鉴权与调用？ “无认证”即API网关对收到的调用请求不做身份认证，您只需要按照API提供者提供的接口说明，封装规范的HTTP请求，发送给API网关即可。 说明 无认证方式下，API网关把请求内容透传给后端服务。因此，如果您希望在API后端服务进行鉴权，可以使用“无认证”方式，API调用方传递鉴权所需字段给后端服务，由后端服务进行鉴权。 TLS加密协议支持什么版本？ API网关支持TLS 1.1及TLS 1.2版本，暂不支持TLS 1.0或TLS 1.3。 安全认证签名的内容是否包括Body体 包括。除了几个必选的请求头部参数，Body体也是签名要素之一。例如有一个使用POST方法上传文件的API，那么在签名过程中，会取这个文件的hash值，参与生成签名信息。

接口描述：调用本接口查询指定时间内被攻击的域名以及攻击次数 请求方式：post 请求路径：/ddos/attackinfo/queryattackdomain 使用说明： 修改前，您需要先开通安全加速产品并且开通抗D功能； 查询的攻击类型为CC攻击 单个用户一分钟限制调用10000次，并发不超过100； 支持最近30天的时间 请求参数说明（json）： 参数名 类型 是否必填 名称 说明 startTime string 是 开始时间 支持最近30天的时间数据 endTime string 是 结束时间 支持最近30天的时间数据 pageSize string 否 查询每页的数量 不传默认30条；pageSize以及pageNum的乘积不得超过2000 pageNum string 否 查询的页数 不传默认第一页；pageSize以及pageNum的乘积不得超过2000 返回参数说明： 参数 类型 是否必传 名称及描述 code string 是 状态码，成功100000 message string 是 描述信息，成功返回success，其他返回异常信息描述 data attackInfoData 否 查询结果以及域名对应状态 attackInfoData参数 参数 类型 是否必返回 名称及描述 total int 是 攻击对应的类型的总数 attackDataList List 否 攻击信息列表 attackDataList参数 参数 类型 是否必返回 名称及描述 attackKey string 否 攻击对应的具体值 attackNum number 否 攻击次数

关闭HDFS鉴权 1.登录FusionInsight Manager。 2.选择“集群 > 待操作集群的名称 > 服务 > HDFS > 配置”。 3.单击“全部配置”。 4.搜索参数“dfs.namenode.acls.enabled”和“dfs.permissions.enabled”。 “dfs.namenode.acls.enabled”表示是否启用HDFS ACL，默认为“true”启用ACL，请修改为“false”。 “dfs.permissions.enabled”表示是否为HDFS启用权限检查，默认为“true”启用权限检查，请修改为“false”。修改后HDFS中的目录和文件的属主、属组以及权限信息保持不变。 5.单击“保存”，单击“确定”。 等待界面提示操作完成。 开启Yarn鉴权 1.登录FusionInsight Manager。 2.选择“集群 > 待操作集群的名称 > 服务 > Yarn > 配置”。 3.单击“全部配置”。 4.搜索参数“yarn.acl.enable”。 “yarn.acl.enable”表示是否为Yarn启用权限检查。 普通模式下默认为“false”不启用权限检查，如果要启用，请修改为“true”。 安全模式下默认为“true”，表示开启鉴权。 5.单击“保存”，单击“确定”。 等待界面提示操作完成。 关闭ZooKeeper鉴权 1.登录FusionInsight Manager。 2.选择“集群 > 待操作集群的名称 > 服务 > ZooKeeper > 配置”。 3.单击“全部配置”。 4.搜索参数“skipACL”。 “skipACL”表示是否跳过ZooKeeper权限检查，默认为“no”启用权限检查，请修改为“yes”。 5.单击“保存”，单击“确定”。 等待界面提示操作完成。

背景说明 支持在管理平台一键提取客户端侧已发现的病毒文件、威胁实体文件及外发的可疑文件，可直接为管理员开展威胁溯源、事件取证提供文件级证据支撑，有效缩短溯源周期、提升取证准确性，助力快速定位攻击根源。 注意 客户端版本：支持Windows客户端，需为2.25.10及以上客户端。 套餐版本：已订购终端管理企业版套餐。 操作步骤 1. 登录边缘安全加速控制台，选择【终端管理】。 2. 在左侧导航栏展开远程运维及响应并点击【远程文件提取】，查看远程文件提取任务相关内容。 文件提取入口 1. 支持在防病毒日志详情、EDR 威胁事件详情、文件外发审计日志详情等位置提取文件。 2. 点击获取文件后将在【远程文件提取】生成文件提取任务。 文件提取任务 1. 页面整体呈现远程文件提取任务记录，支持对任务记录通过“操作员姓名” 或 “文件存储路径” 关键词进行搜索，或通过选择 “账户名”“文件类型”“提取状态”“时间范围”对任务进行筛选。

本页主要介绍禁用root账号的操作方法和影响。 注意 禁用root账号权限功能仅华东1，华北2，西南1II类型资源池支持，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 使用场景 root 账号权限过高，为防止恶意操作或误操作导致数据破坏，您可以选择禁用root账号来实现安全管控。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例基本信息页面。 4. 在实例信息栏目，找到管理员账户名。 5. 点击root右侧的禁用账号按钮，并于弹框中点击确定。 6. 如果禁用后想重新启用，点击root账号旁的启用按钮即可。 注意 若您的应用程序、脚本或运维工具仍在使用 root 账号连接数据库，禁用后所有依赖 root 的新连接将会失败，请谨慎操作！

在Windows环境使用ODBC连接 1. 解压Windows版本的ODBC驱动包“dwsodbcdriverforwindows.zip”，并安装“psqlodbc.msi”。 2. 解压SSL证书压缩包，并准备证书文件。 用户可以根据实际情况选择自动或手动部署方法。 自动部署： 双击"sslcertenv.bat"文件，即可完成证书的默认位置的部署。 说明 该sslcertenv.bat为了保证证书环境的纯净，在%APPDATA%postgresql目录存在时，会提示是否需要移除相关目录。如果有需要，请备份该目录中的文件。 手动部署： a.在“%APPDATA%”目录创建一个新文件夹，并命名为“postgresql”。 b.将证书文件包中的“client.crt”、“client.key”、“client.key.cipher”、“client.key.rand”文件保存至“%APPDATA%postgresql”目录，并且将文件名中的client改为 postgres ，例如“client.key”修改为“postgres.key”。 c.将“cacert.pem”文件保存至“%APPDATA%postgresql”目录，并更名为“root.crt”。 3. 打开驱动管理器 因为目前DWS 只提供了32位的ODBC驱动程序，所以只支持32位的应用程序开发 ；在配置数据源时，也请使用32位的驱动管理器（假设操作系统安装盘符为C:盘，如果是其他盘符，请对路径做相应修改）： 64位操作系统请使用：C:WindowsSysWOW64odbcad32.exe 请勿直接使用“控制面板>系统和安全>管理工具>数据源(ODBC)”。 说明 WoW64的全称是"Windows32bit on Windows 64bit"，C:WindowsSysWOW64存放的是64位系统上的32位运行环境。而C:WindowsSystem32存放的是与操作系统一致的运行环境，具体的技术信息请查阅Windows的相关技术文档。 32位操作系统请使用：C:WindowsSystem32odbcad32.exe 或者单击“开始菜单>控制面板>系统和安全>管理工具>数据源(ODBC)”打开驱动管理器。 4. 配置连接数据源。 a.在打开的驱动管理器上，选择“用户DSN>添加>PostgreSQL Unicode”，然后进行配置。 详见下图：配置连接数据源 其中，配置项“Server”和“Port”的值，可以在DWS 的管理控制台查看。请登录DWS 管理控制台，单击“连接管理”， 在“数据仓库连接字符串”区域，选择指定的集群，获取该集群的“内网访问地址”或“公网访问地址”。具体步骤请参见获取集群连接地址。 b.单击“Test”验证连接正确，界面提示“Connection successful”。 5. 编写ODBC样例程序连接数据源。 ODBC接口不提供重试连接数据库的能力，您需要在业务代码中实现重试连接的处理。 样例代码如下： // 此示例演示如何通过ODBC方式获取DWS 中的数据。 // DBtest.c (compile with: libodbc.so)

迁移源 信息项 说明 源Redis （列出所有待迁移的实例） 源Redis实例的IP地址 源Redis （列出所有待迁移的实例） Redis访问密码（如有） 源Redis （列出所有待迁移的实例） 总数据量大小 info memory命令查询得到，参考usedmemoryhuman的值。 用于评估迁移方案、DCS缓存实例规格、ECS可用磁盘空间等是否满足，以及预估迁移耗时（业务中断时间）。 源Redis （列出所有待迁移的实例） 不为空的数据库编号 info keyspace命令查询得到。 用于确认迁移是否涉及多数据库，非AOF文件方式迁移，部分开源工具可能须逐库处理导出和导入。 DCS缓存实例中，单机和主备实例支持0255共256个数据库，集群默认只提供一个数据库。 源Redis （列出所有待迁移的实例） 各数据库的key数量 用于迁移后进行数据完整性验证。 源Redis （列出所有待迁移的实例） 数据类型 CDM迁移服务当前支持Hash和String两种数据格式，如果源数据含有list、set之类数据，请采用第三方迁移工具。 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 弹性IP地址 选择与DCS缓存实例网络互通的弹性云主机进行数据导入，确保导入过程网络稳定。 带宽建议选取高配，提升数据传输效率。 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 系统登录用户/密码 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 CPU/内存 部分迁移工具支持多线程并行导入，使用高规格ECS，能提升导入速度。 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 可用磁盘空间 ECS需要预留足够的可用磁盘空间，存储压缩文件以及解压后的缓存数据文件。 注：为提高数据传输效率，对于较大的数据文件，建议压缩后再传输到弹性云主机。 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例连接地址 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例连接端口 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例访问密码 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例类型 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例规格/可用内存 网络配置 VPC 提前规划VPC，确保应用服务、DCS缓存实例等处于相同VPC中。 网络配置 子网 网络配置 安全组或白名单 由于Redis 3.0和Redis 4.0/5.0/6.0实例部署模式不一样，控制访问方式也不一样，需要制定相应的安全组或白名单规则，确保网络连通。 ... ... 其他配置信息 。

参数 是否必选 参数说明 名称 是 创建伸缩配置的名称。 可用区 是 多可用区资源池可选择伸缩组绑定的伸缩配置，在指定可用区扩缩容。当伸缩配置绑定的伸缩组使用优先级扩容策略时，可用区选择顺序将决定优先级。 配置规格 是 配置规格有两种选择，使用新规格与使用现有云主机规格： 选择“使用现有云主机规格>请选择云主机” 创建配置，云主机类型、 vCPU、内存、镜像、云硬盘数据、安全组信息将默认与选择的云主机规格保持一致。 选择“使用新规格”，接下来根据实际业务需求配置云主机类型、vCPU、内存、镜像（支持公共镜像、私有镜像或共享镜像）、云硬盘参数、安全组信息。 弹性IP 是 弹性IP可以实现虚拟私有云中的云资源通过固定的公网IP 地址与互联网互通。您可以根据实际需求选择以下两种方式： 不使用：弹性云主机不能对外提供访问服务，仅可在虚拟私有云内部进行内网互通。 自动分配：自动为每台弹性云主机分配独享带宽的弹性IP，带宽值可以由您设定。 登录方式 是 天翼云提供两种登录方式供您选择，密钥对和密码。密钥对指使用密钥作为弹性云主机的鉴权方式进行登录。选择此方式，请您在密钥对配置项中导入密钥对。 说明： 如果您直接从下拉列表中选择已有的密钥，请确保您已在本地获取该文件且可以登录云主机，否则，将影响您正常登录弹性云主机。 密码指使用设置 root 用户（Linux 操作系统）和 Administrator 用户（Windows操作系统）的初始密码方式作为弹性云主机的鉴权方式，如果选择此方式，您可以通过用户名密码方式登录弹性云主机。您需要为您的用户设置密码，并确认密码，确保能够成功登录云主机。 云监控 否 是否开启详细监控。若开启，在云主机创建成功后35分钟将自动执行详细监控Agent安装，可获取云服务器CPU、内存、网络、磁盘、进程等指标详细监控；若不开启，则通过该伸缩配置创建的云主机无任何监控数据。 是否编辑标签 否 是否启用标签。若启用，通过该伸缩配置创建的云主机默认绑定标签；若不启用，则通过该伸缩配置创建的云主机无标签。 用户数据 否 用于创建云主机时向云主机注入实例自定义数据。伸缩配置支持以文本形式输入用户数据内容，配置后，云主机首次启动时会自行注入数据信息。 例如：您可以通过注入一段脚本，激活待创建云主机的root用户权限，注入成功后，您可以使用root用户登录弹性云主机。

参数 配置说明 跳过镜像 正常镜像：正常规则运行流程，即启动规则后遍历→镜像→复制； 直接进入复制状态：启动规则后，规则跳过镜像阶段，直接进入复制状态，即不对存量数据做同步； 仅同步目录：启动规则后，仅同步目录。 校验方式 在重镜像过程中有四种校验方式可以选择，默认选择总是严格校验。校验方式支持以下四种： 总是严格校验：每个文件都做严格校验并差异镜像，若文件不一致则覆盖该文件。 时间校验，不一致则严格校验：先做时间校验，若一致则对比下个文件，若不一致做严格校验并差异镜像。 时间校验，不一致覆盖目标文件：先做时间校验，若一致则对比下个文件，若不一致覆盖目标文件。 总是覆盖目标文件：每个文件都覆盖目标文件。 校验算法 支持MD5和SHA256两种数据校验算法，默认为MD5。 错误处理方式 如果源路径包含系统目录和文件，MDR程序可能无法访问某些特定的系统文件。对于这种情况，提供两种方式： 遇到错误，立即停止：遇到无法访问的文件时，立刻停止镜像。 遇到错误，写入日志并继续同步：在遇到无法访问的文件时，记录无法访问的文件后，继续镜像。 文件打开方式 在镜像阶段，源端打开文件的方式，该选项只适用于Windows平台的工作机。在增量复制阶段，MDR程序不会读取文件内容。 普通文件：指MDR程序以普通文件的方式打开需镜像的文件，效率较高。 自动选择：MDR程序根据实际情况自动选择打开文件的方式。 MFT：指MDR程序以MFT（Windows 操作系统提供）方式打开需要镜像的文件，该种方式可以打开已经被其他进程以独占方式打开的文件，比如数据库文件等，该种方式镜像效率相比普通文件方式较差。 文件安全属性 设置工作机文件的用户权限等安全属性是否需要同步到备端，默认为“同步”。 遍历时镜像 启动遍历时镜像，复制规则在遍历过程中进行数据校验；不启用遍历时镜像，复制规则会在遍历结束后进行数据校验。 并行任务数 设置并行任务数，设置软件并发连接数，对于海量小文件、单连接达到最大带宽时，可以大大提升备份速度。 孤儿文件处理方式 针对复制规则镜像阶段的孤儿文件进行处理，可选择的处理方式包括： 不处理：镜像阶段孤儿文件不做处理，继续保留在灾备机目标目录内；此项为默认选项； 删除：镜像阶段删除这些孤儿文件，保持工作机和灾备机的目录文件完全一致； 归档：镜像阶段灾备机上的孤儿文件会从目标目录移动到指定路径；选择此项时需要额外指定归档路径。

该任务指导用户通过漏洞扫描服务添加主机。 说明 漏洞扫描服务的基础版不支持主机扫描功能，如果您是基础版用户，请通过以下方式使用主机扫描功能： 购买专业版或企业版 按次购买主机扫描功能 按次一次性扣费，每次最多可以扫描20台主机。 操作场景 漏洞扫描服务支持添加Linux操作系统和Windows操作系统的主机。 Linux主机扫描支持主机漏洞扫描、基线检测、等保合规检测。 Windows主机扫描目前仅支持主机漏洞扫描。 前提条件 已获取管理控制台的登录账号与密码。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 单击“添加主机”，进入“添加主机”页面。 5. 在“添加主机”页面，执行以下操作。 单个添加主机：单击“添加主机”，如下图所示。 添加主机配置参数说明： 参数名称 参数说明 主机名称 用户需要添加的主机名称。 IP地址 添加主机的公网IP地址。 操作系统类型 支持Linux操作系统和Windows操作系统。 是否使用跳板机 如果用户的主机需要通过代理IP才能访问，需要使用跳板机。 跳板机只支持Linux操作系统。 跳板机 可在下拉框中选择已有跳板机，或者单击“新增跳板机”，添加跳板机。 操作 可单击“克隆”复制主机信息。 可单击“删除”删除主机信息。 批量添加主机 1. 单击“批量添加主机”，在“批量添加主机”对话框中，配置IP地址。多个IP地址，使用换行分开。 2. 单击“添加主机”。 如果需要添加新的跳板机，请执行以下操作步骤。 1. 单击“新增跳板机”。 2. 在“添加跳板机”对话框中，设置配置参数，如下图所示，配置说明如下表所示。 跳板机配置参数说明： 参数名称 参数说明 主机名称 添加的跳板机的主机名称。 公网IP 添加的跳板机的公网IP。 登录端口 添加的跳板机的登录端口。 选择登录方式 “密码登录”和“密钥登录”。 选择密码登录时，需要添加跳板机的用户名和密码。 选择密钥登录时，需要添加跳板机的用户名、私钥和私钥密码。 选择加密密钥 为了保护主机登录密码或密钥安全，请您必须使用加密密钥，以避免登录密码或密钥明文存储和泄露风险。 您可以选择已有的加密密钥，如果没有可选的加密密钥，请单击“创建密钥”，创建VSS专用的默认主密钥。 3. 单击“确认”。 6. 单击“下一步”，添加主机完成，请参见配置Linux主机授权和配置Windows主机授权执行主机授权的操作。

vi 1. 源库增加如下内容： logbinmysqlbin serverid1 binlogformatrow 说明： （1）logbin参数的作用是MySQL 会根据这个配置自动设置logbin 为on 状态，自动设置logbinindex 文件为你指定的文件名后跟.index 打开binlog日志。 （2）在生产环境中一般都配置有serverid 值，若该项已有则不做改动，若没有按照上方提供内容添加，且需确保此值为唯一值，不可重复。 （3）仅支持binlog格式级别为row。 1. MySQL 提供一个syncbinlog 参数来控制数据库的binlog 刷到磁盘上去，还需增加如下内容： syncbinlog1 说明： （1）默认syncbinlog0，表示MySQL 不控制binlog 的刷新，由文件系统自己控制它的缓存的刷新。这时候的性能是最好的，但是风险也是最大的。 （2）若syncbinlog>0，表示每syncbinlog 次事务提交，MySQL 调用文件系统的刷新操作将缓存刷下去。最安全的是syncbinlog1，表示每次事务提交，MySQL 都会把binlog刷下去，是最安全但性能损耗最大的设置。 （3）如果是从从库上抽取数据，还需要增加以下的参数值。 logslaveupdates1 根据MySQL 官网介绍，A→B→C。A 作为从B 的master，B 作为从机C 的master。为了使这一点起作用，B 必须既是master 又是slave。必须用log bin 启动A 和B 以启用二进制日志记录，用log slave updates 选项启动B，以便B 将从A 接收的更新记录到其二进制日志中。 2. 修改完以上配置后，重启源库MySQL 服务： systemctl restart mysql 3. 进入到源库MySQL 数据库内，查询并确认binlog 是否开启： mysql> show variables like "log%"; logbin 的value 显示为ON 则表示已开启binlog。 4. 完成MySQL 源机数据库binlog 的开启。 2）源端MySQL 同步DB侧配置 创建远程连接同步用户。 为MySQL 的同步用户的用户名； 为MySQL 的同步用户对应的密码； mysql> create user ' '@'%' identified with mysqlnativepassword by ' '; 2. 赋予源库用户权限： 若授权all privileges 用户权限受阻，则可以参考下发节源MySQL 用户all privileges 权限限制。 mysql> grant all privileges on . to ' '@'%'; 3. 源库刷新权限。 mysql> flush privileges; 4. 可在本机上通过如下命令查看是否可以正常连接： 为源库MySQL 对应的IP 地址。 为源库MySQL 对应的端口号，默认为3306。

迁移源 信息项 说明 源Redis （列出所有待迁移的实例） 源Redis实例的IP地址 源Redis （列出所有待迁移的实例） Redis访问密码（如有） 源Redis （列出所有待迁移的实例） 总数据量大小 info memory命令查询得到，参考usedmemoryhuman的值。 用于评估迁移方案、DCS缓存实例规格、ECS可用磁盘空间等是否满足，以及预估迁移耗时（业务中断时间）。 源Redis （列出所有待迁移的实例） 不为空的数据库编号 info keyspace命令查询得到。 用于确认迁移是否涉及多数据库，非AOF文件方式迁移，部分开源工具可能须逐库处理导出和导入。 DCS缓存实例中，单机和主备实例支持0255共256个数据库，集群默认只提供一个数据库。 源Redis （列出所有待迁移的实例） 各数据库的key数量 用于迁移后进行数据完整性验证。 源Redis （列出所有待迁移的实例） 数据类型 CDM迁移服务当前支持Hash和String两种数据格式，如果源数据含有list、set之类数据，请采用第三方迁移工具。 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 弹性IP地址 选择与DCS缓存实例网络互通的弹性云主机进行数据导入，确保导入过程网络稳定。 带宽建议选取高配，提升数据传输效率。 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 系统登录用户/密码 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 CPU/内存 部分迁移工具支持多线程并行导入，使用高规格ECS，能提升导入速度。 ECS（弹性云主机） 如果待迁移实例较多，可准备多台ECS并行迁移 可用磁盘空间 ECS需要预留足够的可用磁盘空间，存储压缩文件以及解压后的缓存数据文件。 注：为提高数据传输效率，对于较大的数据文件，建议压缩后再传输到弹性云主机。 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例连接地址 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例连接端口 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例访问密码 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例类型 DCS缓存实例 （根据源Redis实例数与数据量情况选择合适的规格与实例数） 实例规格/可用内存 网络配置 VPC 提前规划VPC，确保应用服务、DCS缓存实例等处于相同VPC中。 网络配置 子网 网络配置 安全组或白名单 由于Redis 3.0和Redis 4.0/5.0/6.0实例部署模式不一样，控制访问方式也不一样，需要制定相应的安全组或白名单规则，确保网络连通。 ... ... 其他配置信息 。

参数 是否必选 参数说明 名称 是 创建伸缩配置的名称。 可用区 是 多可用区资源池可选择伸缩组绑定的伸缩配置，在指定可用区扩缩容。当伸缩配置绑定的伸缩组使用优先级扩容策略时，可用区选择顺序将决定优先级。 配置规格 是 配置规格有两种选择，使用新规格与使用现有云主机规格： 选择“使用现有云主机规格 > 请选择云主机“快速创建伸缩配置。创建配置时，云主机类型、 vCPU、内存、镜像、云硬盘数据、安全组信息将默认与选择的云主机规格保持一致。 选择“使用新规格”，根据实际业务需求配置云主机类型、vCPU、内存、镜像（支持公共镜像、私有镜像或共享镜像）、云硬盘参数、安全组信息。 弹性IP 是 弹性IP可以实现虚拟私有云中的云资源通过固定的公网IP 地址对外提供访问服务。您可以根据实际需求选择以下两种方式： 不使用：弹性云主机不能与互联网互通，仅可在虚拟私有云内部使用。 自动分配：自动为每台弹性云主机分配独享带宽的弹性IP，带宽大小可以根据您的业务需要设定。 登录方式 是 天翼云提供两种登录方式供您选择，密钥对和密码。 密钥对：指使用密钥作为弹性云主机的鉴权方式进行登录。选择此方式，请您在密钥对配置项中导入密钥对。如果您直接从下拉列表中选择已有的密钥，请确保您已在本地获取该文件，否则，将影响您正常登录弹性云主机。 密码：指使用设置 root 用户（Linux 操作系统）和 Administrator 用户（Windows操作系统）的初始密码方式作为弹性云主机的鉴权方式，如果选择此方式，您可以通过用户名密码方式登录弹性云主机。您需要为您的用户设置密码用于登录云主机。 云监控 否 是否开启详细监控。若开启，在云主机创建成功后35分钟将自动执行详细监控Agent安装，可获取云服务器CPU、内存、网络、磁盘、进程等指标详细监控；若不开启，则通过该伸缩配置创建的云主机无任何监控数据。 是否编辑标签 否 是否启用标签。若启用，通过该伸缩配置创建的云主机默认绑定标签；若不启用，则通过该伸缩配置创建的云主机无标签。 用户数据 否 用于创建云主机时向云主机注入实例自定义数据。伸缩配置支持以文本形式输入用户数据内容，配置后，云主机首次启动时会自行注入数据信息。 例如：您可以通过注入一段脚本，激活待创建云主机的root用户权限，注入成功后，您可以使用root用户登录弹性云主机。

vi 1. 源库增加如下内容： logbinmysqlbin serverid1 binlogformatrow 说明： （1）logbin参数的作用是MySQL 会根据这个配置自动设置logbin 为on 状态，自动设置logbinindex 文件为你指定的文件名后跟.index 打开binlog日志。 （2）在生产环境中一般都配置有serverid 值，若该项已有则不做改动，若没有按照上方提供内容添加，且需确保此值为唯一值，不可重复。 （3）仅支持binlog格式级别为row。 1. MySQL 提供一个syncbinlog 参数来控制数据库的binlog 刷到磁盘上去，还需增加如下内容： syncbinlog1 说明： （1）默认syncbinlog0，表示MySQL 不控制binlog 的刷新，由文件系统自己控制它的缓存的刷新。这时候的性能是最好的，但是风险也是最大的。 （2）若syncbinlog>0，表示每syncbinlog 次事务提交，MySQL 调用文件系统的刷新操作将缓存刷下去。最安全的是syncbinlog1，表示每次事务提交，MySQL 都会把binlog刷下去，是最安全但性能损耗最大的设置。 （3）如果是从从库上抽取数据，还需要增加以下的参数值。 logslaveupdates1 根据MySQL 官网介绍，A→B→C。A 作为从B 的master，B 作为从机C 的master。为了使这一点起作用，B 必须既是master 又是slave。必须用log bin 启动A 和B 以启用二进制日志记录，用log slave updates 选项启动B，以便B 将从A 接收的更新记录到其二进制日志中。 2. 修改完以上配置后，重启源库MySQL 服务： systemctl restart mysql 3. 进入到源库MySQL 数据库内，查询并确认binlog 是否开启： mysql> show variables like "log%"; logbin 的value 显示为ON 则表示已开启binlog。 4. 完成MySQL 源机数据库binlog 的开启。 2）源端MySQL 同步DB侧配置 创建远程连接同步用户。 为MySQL 的同步用户的用户名； 为MySQL 的同步用户对应的密码； mysql> create user ' '@'%' identified with mysqlnativepassword by ' '; 2. 赋予源库用户权限： 若授权all privileges 用户权限受阻，则可以参考下发节源MySQL 用户all privileges 权限限制。 mysql> grant all privileges on . to ' '@'%'; 3. 源库刷新权限。 mysql> flush privileges; 4. 可在本机上通过如下命令查看是否可以正常连接： 为源库MySQL 对应的IP 地址。 为源库MySQL 对应的端口号，默认为3306。

此章节为您介绍数据库审计告警日志的相关的操作。 告警日志概述 当系统根据安全规则捕捉到异常访问时，会根据匹配的安全规则的级别产生相应级别的告警信息。系统支持在告警日志页面查看的所有产生告警的SQL语句的信息和告警等级等相关内容，并可以根据时间、字段和告警等级、规则名称等条件进行筛选。 查询告警日志 1.在菜单栏选择“查询分析 > 告警日志”进入“告警日志”页面，选择“告警日志”页签，设置查询条件（如时间范围、报文、资产等），单击“搜索”即可查询相关告警日志。 2.在告警日志列表中，单击右侧“操作”列中的“详情”可以查看该告警记录的详细信息，包括告警记录基本信息、客户端信息、服务端信息、请求详情、响应详情。 3.在告警日志详细页面，单击“统计数据”，可查看客户端、数据库账号等信息。 告警分析 1.在左侧菜单栏选择“查询分析 > 告警日志”进入“告警日志”页面，选择“告警分析”页签，可设置过滤条件（时间范围、规则名称、资产、数据库账号、客户端IP），查询符合过滤条件的告警信息。 2.单击“操作”列下的“详情”，可查看告警统计详情，包含规则详情、告警资产、各资产下的告警趋势、告警来源（维度包含客户端IP和数据库账号）和触发告警的SQL模板。 3.在“规则详情”区域单击资产数量链接可编辑已启用该规则的资产，单击白名单数量链接可以编辑该规则上启用的白名单。 4.在“告警资产”区域单击“规则启用状态”开关可以变更规则在某资产上的启用状态。 5.在“告警来源”区域，单击“操作”列下的“不再告警”。 6.在弹出的不再告警对话框中编辑相关信息，单击“确定”。将满足条件的客户端IP添加到信任规则和添加到规则白名单。对于普通规则产生的告警： 选择“添加到白名单”，再单击“确定”。添加为白名单后，系统对于此规则符合选中项的条件的相关操作不再产生告警。 选择“添加到信任规则”，再单击“确定”。添加为信任规则后，对于资产符合信任规则可选属性的将不再发生告警。 7.在触发告警的“SQL模板”区域，单击“操作”列下的“不再告警”。 8.在弹出的不再告警对话框中编辑相关信息，单击“确定”。将满足条件的SQL模板添加到信任规则和添加到规则白名单。对于普通规则产生的告警： 选择“添加到白名单”，再单击“确定”。添加为白名单后，系统对于此规则符合选中项的条件的相关操作不再产生告警。 选择“添加到信任规则”，再单击“确定”。添加为信任规则后，对于资产符合信任规则可选属性的将不再发生告警。

功能项 说明 安全隔离 提供虚拟机级别的安全和资源隔离能力，每个容器实例都运行在独占内核中，不与其它负载和Pod共享基础设施资源。同时针对容器运行环境进行了深度优化，具备比虚拟机更快的启动速度和运行效率 CPU/Memory资源或规格配置 ECI Pod默认使用按需计费模式进行费用收取。支持指定CPU和Memory资源或者指定ECS规格创建实例 镜像拉取与缓存 镜像拉取：ECI Pod在每次启动时，会自动从远程仓库获取容器镜像。对于公共镜像的获取，建议配置VPC的NAT网关或为ECI Pod配置弹性公网IP (EIP)。为优化镜像拉取效率，我们推荐您使用天翼云容器镜像服务，加速镜像的下载 镜像缓存：ECI提供镜像缓存功能，镜像缓存是为了加速拉取镜像以减少ECI启动时间而设计的。镜像拉取是容器实例启动的主要耗时，而制作镜像缓存可以通过预先获取、存储和管理已经拉取的镜像，实现对容器实例启动时间的显著减少。考虑到网络和镜像大小等因素的影响，构建镜像缓存可以通过连续使用相同的镜像实现快速部署，从而加速容器实例的启动并提高系统的可用性 存储 支持使用多种存储方式： CSI：CSI插件是目前Kubernetes社区推荐的插件实现方案，Serverless集群所提供的 CSI 存储插件与社区 CSI 特性兼容。该插件由以下两个组件组成：CSIPlugin：提供挂载和卸载数据卷的能力，Serverless集群默认支持云硬盘和弹性文件服务两种存储服务；CSIProvisioner：提供自动挂载数据卷的能力 PV/PVC：PV提供长期存储资源，而PVC允许用户以抽象的方式请求这些存储资源，实现存储的分配和管理 EmptyDir：该数据卷是一种用于容器实例中临时存放数据的目录，以便于容器之间共享数据。但是需要注意的是，当容器实例被删除时，EmptyDir数据卷中的数据也会被清空 网络 ECI Pod默认采用Host网络模式，并会占用交换机vSwitch的一个弹性网卡ENI资源。在Kubernetes集群环境中，ECI Pod与云主机节点上的Pod可以相互访问。具体方法如下： 创建类型为LoadBalancer的Service对象，并与ECI Pod进行关联；也支持Service同时关联ECI Pod和云主机上的Pod 创建类型为ClusterIP的Service对象，ECI Pod可以直接访问集群中的clusterIP地址 配置相应的 NAT 网关或弹性公网 EIP，并为 ECI Pod绑定指定EIP，或者将 NAT 网关绑定到 ECI 实例所属的 VPC 网络中 日志采集 通过安装日志采集服务插件，一般情况无需再额外部署sidecar容器

缩容校验策略 缩容节点选择完成后，为了避免组件退服失败，不同组件提供了不同的退服约束规则，只有满足了所有安装组件的退服约束规则才允许缩容。缩容校验策略如下表所示。 组件退服约束规则 组件名称 退服约束规则 HDFS/DataNode 规则：缩容后节点数不小于当前HDFS的副本数且HDFS数据总量不超过缩容后HDFS集群总容量的80%，可以执行缩容操作。 原因：确保缩容后剩余空间足够存放现有数据，并预留一部分空间。 说明 为了保证数据的可靠性，HDFS中每保存一个文件则自动生成1个备份文件，即默认共2个副本。 HBase/RegionServer 规则：除缩容节点外，其他节点RegionServer剩余可用内存的总和，大于所选缩容节点RegionServer当前使用内存的1.2倍。 原因：当一个节点退服时，这个节点上的Region会迁移到其他节点，所以其他节点的可用内存必须足够才能负担起退服节点的Region。 Storm/ Supervisor 规则：缩容后集群slot数足够运行当前已提交的任务。 原因：防止缩容后没有充足的资源运行流处理任务。 Flume/FlumeServer 规则：节点安装了FlumeServer，并且已经配置了Flume任务，则该节点不能删除。 原因：防止误删了已部署的业务程序。 指定数量缩容 1.登录MRS管理控制台。 2.选择“集群列表 > 现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 3.选择“节点管理”页签，在需要缩容的节点组的“操作”列，单击“缩容”，进入缩容集群页面。 只有运行中的集群且集群中的节点都在运行中才能进行该操作。 4.设置“缩容节点数量”，并单击“确定”。 说明 缩容集群前需要检查集群安全组是否配置正确，要确保集群入方向安全组规则中有一条全部协议，全部端口，源地址为可信任的IP访问范围的规则。 若HDFS存在损坏的数据块，则缩容集群可能出现失败，请联系支持人员处理。 5.页面右上角弹出缩容节点提交成功提示框。 集群缩容过程说明如下： 缩容中：集群正在缩容时集群状态为“缩容中”。已提交的作业会继续执行，也可以提交新的作业，但不允许继续缩容和删除集群，也不建议重启集群和修改集群配置。 缩容成功：集群缩容成功后集群状态为“运行中”。 缩容失败：集群缩容失败时集群状态为“运行中”。用户可以执行作业，也可以重新进行缩容操作。 缩容成功后，可以在集群详情的“节点管理”页签查看集群的节点信息。

本节介绍了容器镜像加签验签的用户指南。 概述 镜像签名功能保障镜像来源安全可靠，避免中间人攻击和非法镜像的更新与运行。CRS支持为命名空间的镜像自动加签，每次推送容器镜像后都会匹配加签规则自动加签，保障您的容器镜像内容可信。 镜像签名步骤 为命名空间下的镜像设置自动加签的步骤如下： 1. 登录容器镜像服务控制台。 2. 在顶部菜单栏，选择所需资源池。 3. 在实例页面中选择容器镜像仓库实例。 4. 在企业版实例管理页面的左侧菜单上选择"安全可信" "镜像签名"，点击左上角的创建镜像加签规则按钮。 5. 在弹出的对话框，填写镜像加签规则的，然后点击“确定”按钮，完成创建，界面各项参数说明如下表； 参数 是否必选 说明 命名空间 必选 选择需要自动加签的命名空间名称 使用默认私钥 非必选 加签时是否使用默认的私钥，勾选则表明使用默认私钥加签，若不勾选则表明使用自定义私钥，则需要往下录入自定义私钥的信息 私钥 非必选 如果上述"使用默认私钥"不勾选，则必须在此框填入自定义私钥的信息，可以将私钥直接贴入，或者从"文件导入"，私钥目前只支持长度位数是2048，格式为PKC8的RSA密钥 密码 非必选 如果创建RSA密钥对时有添加密码，则需要再此处填上，否则会影响加签执行 6. 创建完毕的规则会展示在镜像签名的列表中，可对签名规则进行编辑，如更换签名密钥等。 注意 1. 镜像加签不会影响镜像的常规使用，更不会影响镜像中原有的能力及业务功能。 2. 单个命名空间只能创建一个加签规则。 3. 如果是使用自定密钥，密钥对需要自行保存维护好，使用跟密钥对应的公钥方可验签成功。