接口功能介绍 更新用户配置 接口约束 签约服务器安全卫士 URI POST /v1/safetyReport/config/update 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 generateType 是 Array of Strings 订阅报表类型列表 DAYREPORT日报 MONTHREPORT月报 WEEKREPORT周报 ["DAYREPORT"] reportSubscribe 否 Array of Strings 报表订阅人id列表 ["CP10001"] 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 0 message String 返回信息 success returnObj Object 返回对象 traceId String traceId asaadasd11111 statusCode String 状态码 200成功 200

本章节主要介绍如何设置网卡的源/目的检查。 操作场景 开启网卡的源/目的检查，系统会检查物理机服务器发送的报文中源IP地址是否正确，否则不允许物理机服务器发送该报文。这有助于防止伪装报文攻击，提升安全性。 操作步骤 1.登录管理控制台。 2.选择“计算 > 物理机服务”。 进入物理机页面。 3.单击待设置网卡的物理机的名称。 系统跳转至该物理机的详情页面。 4.选择“网卡”页签，单击待设置网卡前的图标。 5.选择打开或关闭“源/目的检查”开关。 默认情况下，“源/目的检查”状态为“ON”，系统会检查物理机发送的报文中源IP地址是否正确，否则不允许物理机发送该报文。这有助于防止伪装报文攻击，提升安全性。当物理机作为NAT服务器、路由器或防火墙时，此开关应该设置为“OFF”。

项目 描述 根结点 拓扑图的根节点，与存储池名称相同。点击右键，可以选择添加存储池节点或移除存储池节点。 机房类型节点 以选择添加节点到存储池或移除存储池内的节点。 将鼠标放至节点上，可以查看下列信息： 机房类型节点 名称 节点名称。 机房类型节点 类型 节点类型：机房。 机房类型节点 健康状态 节点健康状态： 健康：可正常读写。 警告：可读。 错误：无法访问。 机房类型节点 描述信息 节点描述信息。 机架类型节点 可以选择添加节点到存储池或移除存储池内的节点。 将鼠标放至节点上，可以查看下列信息： 机架类型节点 名称 节点名称。 机架类型节点 类型 节点类型：机架。 机架类型节点 健康状态 节点健康状态： 健康：可正常读写。 警告：可读。 错误：无法访问。 机架类型节点 描述信息 节点描述信息。 服务器节点 以选择添加节点到存储池或移除存储池内的节点。 将鼠标放至节点上，可以查看下列信息： 服务器节点 名称 节点名称。 服务器节点 服务器ID 服务器ID。 服务器节点 类型 节点类型：服务器。 服务器节点 健康状态 数据服务的健康状态： 健康：故障域下面的所有数据服务全部都是健康状态。 警告：故障域下面的数据服务部分是警告或错误状态。 错误：故障域下面的所有数据服务全部都是错误状态。 服务器节点 服务器ID 服务器ID。 服务器节点 业务IP 业务IP。 服务器节点 集群IP 集群IP。 服务器节点 数据目录容量 服务器上所有数据目录所在磁盘使用率的平均值。 服务器节点 数据目录已用容量 服务器上所有数据目录所在磁盘的总容量。 服务器节点 服务器状态 服务器状态： 已连接。 未连接。 移除中。 服务器节点 描述信息 节点描述信息。 数据目录节点 可以移除存储池内的节点。 将鼠标放至节点上，可以查看下列信息： 数据目录节点 名称 节点名称，即数据目录路径。 数据目录节点 类型 节点类型：数据目录。 数据目录节点 服务器ID 数据目录所属的服务器ID。 数据目录节点 数据目录容量 数据目录所在磁盘的容量。 数据目录节点 数据目录已用容量 数据目录所在磁盘已用容量。 数据目录节点 容量配额 HBlock的容量配额。 数据目录节点 已用容量配额 HBlock已使用的容量配额。 数据目录节点 健康状态 数据目录的健康状态： 健康：数据目录可正常读写，且数据目录所在磁盘使用率未超过阈值（系统默认值为95%）。 警告：数据目录可读，但存在以下情况的任意一种：慢盘；数据目录所在磁盘使用率超过阈值（系统默认值为95%）；磁盘剩余空间不足1GiB；HBlock对这个目录停写；数据目录配额使用率超过阈值（系统默认值为95%）；数据目录配额为0。 错误：数据目录无法访问，原因可能是：所在磁盘出现I/O错误导致无法读写，数据目录未正确挂载等。 数据目录节点 管理状态 数据目录管理状态： 已添加。 移除中。 数据目录节点 管理子状态 如果数据目录正在移除中，会显示移除详情，包括故障域信息（健康、警告、错误的个数）、数据状态（安全、待重建、故障域个数不足、单副本及损坏的数据比例）及相应告警信息。 数据目录节点 健康详情 数据目录的健康详情： 如果“健康状态”为“健康”，此列为空。 如果“健康状态”为“警告”或“错误”，显示警告或错误的详细信息。

本文主要介绍权限管理 如果您需要在云上购买的APM资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制APM资源的访问。 通过IAM，您可以在云帐号中给员工创建IAM用户，并使用策略来控制员工对APM资源的访问范围。例如您的员工中有负责软件开发的人员，您希望开发人员拥有APM的使用权限，但是不希望开发的人员拥有删除服务发现规则等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用服务发现规则，但是不允许删除服务发现规则的权限策略，控制服务对服务发现规则资源的使用范围。 如果帐号已经能满足您的使用需求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用APM的其它功能。 IAM是提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。 APM权限 默认情况下，管理员创建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对APM进行操作。 APM是全局级服务，在授予用户APM权限时，默认对APM支持的所有区域生效。APM资源是租户隔离的，当前租户下所有子用户共享资源，如果需要隔离资源，可以通过企业项目实现。 APM部署时不区分物理区域，为全局级服务。授权时，在“企业 > 项目管理”中设置权限，访问APM时，不需要切换区域。 如表所示，包括了APM的所有系统权限。 表 APM系统权限 角色名称 描述 类别 APM FullAccess 应用性能管理服务的所有执行权限。 系统策略 APM ReadOnlyAccess 应用性能管理服务的只读权限。 系统策略 下表列出了APM常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表 常用操作与系统权限的关系 操作 APM FullAccess APM ReadOnlyAccess 获取告警列表 √ √ 获取告警详情 √ √ 获取告警通知详情 √ √ 获取应用配置 √ √ 创建应用配置 √ x 删除应用配置 √ x 修改应用配置 √ x 获取标签 √ √ 新增标签 √ x 删除标签 √ x 修改标签 √ x 查询告警模板 √ √ 添加告警模板 √ x 删除告警模板 √ x 修改告警模板 √ x 获取通知 √ √ 删除通知 √ x 添加通知 √ x 修改通知 √ x 获取URL跟踪 √ √ 删除URL跟踪 √ x 添加URL跟踪 √ x 修改URL跟踪 √ x 获取URL跟踪视图 √ √ 获取URL跟踪列表 √ √ 获取全局拓扑 √ √ 获取子应用 √ √ 获取环境配置 √ √ 添加环境配置 √ x 删除环境配置 √ x 修改环境配置 √ x 获取实例 √ √ 删除实例 √ x 修改实例 √ x 获取监控项 √ √ 修改监控项 √ x 获取采集状态 √ √ 获取自定义告警策略 √ √ 删除自定义告警策略 √ x 修改自定义告警策略 √ x 添加自定义告警策略 √ x 获取环境拓扑 √ √ 获取指标视图 √ √ 获取调用链列表 √ √ 获取调用链详情 √ √ 获取采集器信息 √ √ 获取访问密钥 √ √ 修改访问密钥 √ x 删除访问密钥 √ x 添加访问密钥 √ x 获取通用配置 √ √ 修改通用配置 √ x

介绍Kafka消费者poll的优化。 优化背景 Kafka是一个高吞吐量、低延迟的分布式消息系统，常用于构建实时数据流处理和大规模数据集的消费。在Kafka中，消费者通过调用 poll()方法从Broker拉取消息进行消费。 优化Kafka消费者的 poll()方法可以带来以下几个方面的好处： 1. 提高消费者的吞吐量：通过调整 poll()方法的参数和优化策略，可以减少网络通信的次数和延迟，提高消费者的消息处理速度，从而提高整体的吞吐量。 2. 减少消费者的资源占用：消费者在调用 poll()方法时会占用一定的CPU、内存和网络资源。通过优化 poll()方法，可以减少消费者的资源占用，提高资源的利用率，从而节省成本和提高系统的可扩展性。 3. 提高消息的实时性：优化 poll()方法可以减少消息的处理延迟，使得消息能够更快地被消费和处理。这对于实时数据流处理和需要快速响应的应用场景非常重要。 4. 提高系统的稳定性：通过优化 poll()方法，可以减少消费者的阻塞时间和等待时间，减少消息堆积和延迟，从而提高系统的稳定性和可靠性。 总之，优化Kafka消费者的 poll()方法可以提高消费者的吞吐量、降低延迟、节省资源、提高实时性和增强系统的稳定性。这对于大规模数据处理和实时数据流应用非常重要，能够提升系统的性能和用户体验。 优化方案 优化Kafka消费者的 poll()方法可以通过以下几个方面来实现： 1. 批量拉取消息：通过调整 max.poll.records参数，一次性拉取更多的消息，减少网络通信的次数，提高消费者的吞吐量。需要根据实际场景和消费者的处理能力进行合理的调整。 2. 控制拉取间隔：通过调整 poll()方法的调用频率，控制消费者的拉取速度。拉取间隔过小会增加网络开销，间隔过大会导致消息堆积和延迟。根据实际场景和消费者的处理能力，找到合适的拉取间隔，平衡吞吐量和消息的实时性。 3. 并行处理：使用多线程或多进程方式并行处理拉取到的消息，提高消费者的并发处理能力，加快消息的处理速度。确保消息处理逻辑线程安全，避免并发访问问题。 4. 提前预取：通过设置 fetch.min.bytes参数，提前预取下一批消息，减少 poll()方法的等待时间。根据实际场景和消费者的处理能力，找到合适的预取大小，平衡吞吐量和内存开销。 5. 异步提交偏移量：将 enable.auto.commit参数设置为 false，手动异步提交偏移量，减少 poll()方法的阻塞时间。提高消费者的吞吐量和性能。 6. 使用消费者组：将多个消费者组绑定到同一个主题，实现消息的并行消费。每个消费者组可以独立地消费消息，提高整体的消费能力。 7. 合理配置消费者参数：根据实际需求和系统资源，合理配置消费者的参数，如 max.poll.interval.ms、session.timeout.ms等，以避免消费者在处理消息时出现超时或重平衡的情况。 需要根据具体的应用场景和需求，结合实际的性能测试和优化策略，选择合适的优化方案来提高Kafka消费者的 poll()方法的效率和性能。

本章节主要介绍通用操作类问题 DRS界面信息重叠是什么原因 DRS界面出现信息重叠通常是页面缩放率过小导致的，建议将页面缩放率调整为100%即可显示正常。 目标库读写设置是实例级还是库级 配置迁移任务时，目标数据库实例可以选择设置为“只读”或者“读写”状态。 只读：目标数据库整个实例 将转化为只读、不可写入的状态，迁移任务结束后恢复可读写状态，此选项可有效的确保数据迁移的完整性和成功率，推荐此选项。 读写：目标数据库可以读写，但需要避免操作或接入应用后会更改迁移中的数据（注意：无业务的程序常常也有微量的数据操作），进而形成数据冲突、任务故障、且无法修复续传，充分了解要点后可选择此选项。 只读保护优点是避免用户对正在迁移的数据库或表进行DDL或DML误操作，造成数据不一致，可提高迁移完整性和数据一致性。 任务启动后，DRS不支持修改目标数据库状态。 待所有设置该目标库为“只读”状态的迁移任务结束后，可恢复读写。 MySQL源库设置了global binlogformat ROW没有立即生效 使用DRS进行MySQL的迁移时，必须确保源库的binlogformat是ROW格式的，否则就会导致任务失败甚至数据丢失。在源库设置了global级别的binlogformatROW之后，还需要中断之前所有的业务连接，因为设置之前的连接使用的还是非ROW格式的binlog写入。 安全设置global级binlogformatROW的步骤 步骤 1 通过MySQL官方客户端或者其它工具登录源数据库。 步骤 2 在源数据库上执行全局参数设置命令。 set global binlogformat ROW; 步骤 3 在源数据库上执行如下命令确认上面操作已执行成功。 select @@global.binlogformat; 步骤 4 您可以通过如下两种方式确保修改后的源库binlogformat格式立即生效。 方法一： 1. 选择一个非业务的时间段，中断当前数据库上的所有业务连接。 a. 通过如下命令查询当前数据库上的所有业务连接(所有的binlog Dump连接及当前连接除外)。 show processlist; b. 中断上面查出的所有业务连接。 2. 为了避免源库binlogformat格式因为数据库重启失效，请在源库的启动配置文件(my.ini或my.cnf等)中添加或修改配置参数binlogformat并保存。 binlogformatROW 方法二： 1.为了避免源库binlogformat格式因为数据库重启失效，请在源库的启动配置文件(my.ini或my.cnf等)中添加或修改配置参数binlogformat并保存。 binlogformatROW 2.确保上述配置参数binlogformat添加或修改成功后，选择一个非业务时间段，重启源数据库即可。 binlogrowimage参数设置为FULL没有立即生效 使用DRS进行MySQL迁移时，必须确保源库的binlogrowimage参数设置为FULL，否则就会导致任务失败。在源库设置了binlogrowimageFULL之后，只对新的session生效，为了关闭旧的session，需选择一个非业务时间段，重启源数据库并重置任务即可。

本节主要介绍使用DCS控制台进行数据迁移时迁移失败的问题排查和解决。 在使用控制台进行数据迁移时，如果出现迁移方案选择错误、在线迁移源Redis没有放通SYNC和PSYNC命令、源Redis和目标Redis网络不连通等问题，都会导致迁移失败。 排查步骤 步骤 1 查看迁移日志。 出现如下错误，表示迁移任务底层资源不足，需要联系技术支持处理。 create migration ecs failed, flavor 出现如下错误，表示在线迁移时，源Redis没有放通SYNC和PSYNC命令，需要联系技术支持放通命令。 source redis unsupported command: psync 步骤 2 检查迁移方案。Redis实例间迁移，高版本不支持迁移到低版本。 步骤 3 检查源Redis是否放通SYNC和PSYNC命令，迁移任务底层资源与源Redis、目标Redis网络是否连通。 如果是在线迁移，才涉及该操作。 在线迁移，必须满足源Redis和目标Redis的网络相通、源Redis已放通SYNC和PSYNC命令这两个前提，否则，会迁移失败。 网络 检查DCS的源Redis、目标Redis、迁移任务所需虚拟机是否在同一个VPC，如果不在同一个VPC，则需要建立VPC对等连接，打通网络。关于创建和使用VPC对等连接，请参考《虚拟私有云用户指南》的“对等连接”文档说明。 如果是同一个VPC，则检查安全组（Redis 3.0实例）或白名单（Redis 4.0/5.0/6.0实例）是否放通端口和IP，确保网络是连通的； 源Redis和目标Redis必须允许迁移任务底层虚拟机访问。 源Redis和目标Redis属于不同的云厂商时，需使用云专线服务打通网络。 命令 默认情况下，一般云厂商都是禁用了SYNC和PSYNC命令，如果要放通，需要联系云厂商运维人员放通命令。 DCS内部进行迁移： 自建Redis迁移至DCS，默认没有禁用SYNC和PSYNC命令； DCS服务之间进行迁移，如果是同一帐号相同Region进行在线迁移，在执行迁移时，会自动放通SYNC和PSYNC命令； 如果是不同Region或相同Region不同帐号进行在线迁移，不会自动放通SYNC和PSYNC命令，无法使用控制台上的在线迁移功能。推荐使用备份文件导入方式迁移。 其他云厂商迁移到DCS服务： 一般云厂商都是禁用了SYNC和PSYNC命令，如果使用在线迁移功能，需要联系源端的云厂商运维人员放通此命令。如果使用离线迁移，推荐使用备份文件导入的方式。 如果不需要增量迁移，可以参考使用Redisshake工具在线全量迁移其他云厂商Redis进行全量迁移，该方式不依赖于SYNC和PSYNC。 步骤 4 检查源Redis是否存在大Key。 如果源Redis存在大key，建议将大key打散成多个小key后再迁移。 步骤 5 检查目标Redis的规格是否大于迁移数据大小、是否有其他任务在执行。 如果目标Redis的实例规格小于迁移数据大小，迁移过程中，内存被占满，会导致迁移失败。 如果目标Redis存在正在执行的主备切换，建议联系技术支持关闭主备切换后，重新执行数据迁移。待迁移完成后，重新开启主备切换。 步骤 6 检查迁移操作是否正确。 检查填写的IP地址、实例密码是否正确。 步骤 7 排查白名单。 步骤 8 如果无法解决，请联系技术支持。

参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200 表 returnObj

参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId asaadasd11111 statusCode String 状态码 200成功 200 表 returnObj

本文档提供了服务器安全卫士（原生版）和网页防篡改（原生版）API的描述、语法、参数说明及示例等内容。

参数名称 取值范围 说明 appendfsync no,always,everysec 操作系统的fsync函数刷新缓冲区数据到磁盘。 Redis支持三种不同的调用fsync的方式： no：不调用fsync，由操作系统决定何时刷新数据到磁盘，性能最高。 always：每次写AOF文件都调用fsync，性能最差，但数据最安全。 everysec：每秒调用一次fsync。兼具数据安全和性能。 appendonly yes,no 指定是否在每次更新操作后进行日志记录（即持久化功能），Redis在默认情况下是异步的把数据写入磁盘，如果不开启，可能会在断电时导致一段时间内的数据丢失。 有以下取值供选择： yes: 开启。 no: 关闭。 hashmaxziplistentries 1~10000 当hash表中只有少量记录时，使用有利于节约内存的的数据结构来对hashes进行编码。 hashmaxziplistvalue 1~10000 当hash表中最大的取值不超过预设阈值时，使用有利于节约内存的的数据结构来对hashes进行编码。 latencymonitorthreshold 0~86400000 延时监控的采样时间阀值（最小值），单位为毫秒。 阀值设置为0：不做监控，也不采样； 阀值设置为大于0：将记录执行耗时大于阀值的操作。 可以通过LATENCY等命令获取统计数据和配置、执行采样监控 luatimelimit 100~60000 Lua脚本的最长执行时间，单位为毫秒。 maxclients 1000~50000 最大同时连接的客户端个数。 maxmemorypolicy volatilelru,allkeyslru,volatilelfu,allkeyslfu,volatilerandom,allkeysrandom,volatilettl,noeviction 在达到内存上限（maxmemory）时实例将如何选择要删除的内容。有8个取值供选择： volatilelru：根据LRU算法删除设置了过期时间的键值。 allkeyslru：根据LRU算法删除任一键值。 volatilerandom：删除设置了过期时间的随机键值。 allkeysrandom：删除一个随机键值。 volatilettl：删除即将过期的键值，即TTL值最小的键值。 noeviction：不删除任何键值，只是返回一个写错误。 volatilelfu: 根据LFU算法删除设置了过期时间的键值。 allkeyslfu: 根据LFU算法删除任一键值。 protomaxbulklen 1048576~536870912 Redis协议中的最大的请求大小，单位为字节。 listcompressdepth 0~65535 列表中两端不被压缩的节点个数，取值范围0~65535。 0：默认值，表示都不压缩。 1~65535：表示list两端各有1~65535个节点不压缩，中间的节点压缩。 replbacklogsize 16384~1073741824 用于增量同步的复制积压缓冲区大小（单位为字节）。这是一个用来在从节点断开连接时，存放从节点数据的缓冲区，当从节点重新连接时，如果丢失的数据少于缓冲区的大小，可以用缓冲区中的数据开始增量同步。 replbacklogttl 0~604800 从节点断开后，主节点释放复制积压缓冲区内存的秒数。值为0时表示永不释放复制积压缓冲区内存。 repltimeout 30~3600 主从同步超时时间，单位为秒 setmaxintsetentries 1~10000 当一个集合仅包含字符串且字符串为在64位有符号整数范围内的十进制整数时，使用有利于节约内存的的数据结构对集合进行编码。 slowloglogslowerthan 0~1000000 用于设置Redis慢查询日志的阈值，单位是微秒。 slowlogmaxlen 100~10000 慢查询记录的条数。注意慢查询记录会消耗额外的内存。可以通过执行SLOWLOG RESET命令清除慢查询记录。 timeout 0~7200 客户端空闲N秒（timeout参数的取值）后将关闭连接。当N0时，表示禁用该功能。 zsetmaxziplistentries 1~10000 有序集合中只有少量记录时，使用有利于节约内存的的数据结构对有序序列进行编码。 zsetmaxziplistvalue 1~10000 当有序集合中的最大取值不超过预设阈值时，使用有利于节约内存的的数据结构对有序集合进行编码。 isopenflashback yes,no 是否开启闪回 isopendangercmdswitch yes,no 危险命令开关 hz 1~500 设置Redis后台任务执行频率，例如清除过期键任务。取值范围为1~500，默认值为10，即每秒执行10次。 aoftimestampenabled yes,no aof记录时间戳开关 activedefrag yes,no 自动清理内存碎片开关 activedefragignorebytes 104857600~10737418240 内存碎片占用空间达到设定值的时候开始清理 activedefragthresholdlower 10~100 内存碎片率大于设定值的时候开始清理 activedefragcyclemin 1~25 内存碎片清理所占用CPU时间的比例不低于设定值(%) activedefragcyclemax 1~25 内存碎片清理所占用CPU时间的比例不高于设定值(%) autoaofrewriteminsize 67108864~34359738368 设置自动重写AOF文件的最小值。注，当前运行值随规格变化，可不用关注默认值。

产品概述 天翼云云助手（CTCA， Cloud Assistant）是专门为云服务器打造的原生自动化运维工具，免密码、免登录、无需使用跳板机，即可批量执行命令（Shell、PowerShell、Bat、Python等），完成运行自动化运维脚本、轮询进程、安装卸载软件、启动或停止服务、安装补丁或安装安全更新等任务。 产品优势 批量执行命令 通过云助手，您能够以安全可靠的方式远程管理大规模的实例，无需登录服务器、使用堡垒主机或 SSH。 提供集成工具 云助手可作为运维部署工具，免费支持 API，可供集成。 查询历史记录 通过云助手执行的操作系统脚本命令，您可以查询到其历史记录信息。 实现自动化 您可以预先创建常用的操作命令，并通过云助手高效完成您的日常任务。例如：注册表编辑、用户管理、软件和补丁安装等。 应用场景 当您涉及以下业务场景时，可通过云助手快速实现需求： 上传并运行自动化运维脚本。 执行常见操作任务。 运行已保存的脚本。 批量安装软件或应用。 安装补丁或安全更新。 上传文件或证书到指定目录。 使用限制 云助手具备以下限制项： 2024年6月30日之后使用公共镜像创建的实例，默认已预装云助手客户端。若您的实例于2024年6月30日前购买，请参考 安装云助手客户端 进行安装。 单次执行命令实例数量上限为100。 云助手仅保存最近三个月的命令执行历史记录，且记录数量最大保存10万条。 创建的Bat、PowerShell、Python或者Shell脚本和自定义参数的使用场景与文件大小说明如下： 1. 上传文件：文件大小不能超过24 KB。 2. 创建命令：命令大小不能超过24 KB。

计费示例 假设您在2023/03/10 8:45:30在性能测试服务（假设产品单价为0.0032元/VUM）上启动了压测任务，然后在9:30:00将其全部停止运行，则计费周期分为如下两个时间段： 8:00:009:00:00时间段，在8:45:309:00:00间产生费用，该计费周期内的计费时长为870秒。则该计费时间段的费用为：0.0032x870÷600.0464（元）。 9:00:0010:00:00时间段，在9:00:009:30:00间产生费用，该计费周期内的计费时长为1800秒。则该计费时间段的费用为：0.0032x1800÷600.096（元）。 包周期计费 适用场景 包周期套餐包适用于可预估资源使用周期的场景，价格比按需套餐包计费模式更优惠。对于测试任务需长期7x24小时持续运行的场景，推荐该方式。以下是一些适用于包周期套餐包计费模式的业务场景： 稳定业务需求：对于长期运行且资源需求相对稳定的业务，如企业业务系统等，包周期套餐包计费模式能提供较高的成本效益。 长期项目：对于周期较长的项目，如科研项目、大型活动策划等，包周期套餐包计费模式可以确保在整个项目周期内资源的稳定使用。 业务高峰预测：如果能预测到业务高峰期，如电商促销季、节假日等，可提前购买包周期套餐包以应对高峰期的需求。 数据安全要求高：对于数据安全性要求较高的业务，包周期套餐包计费模式可确保资源的持续使用，降低因资源欠费而导致的数据安全风险。

本节介绍服务器安全卫士（原生版）漏洞扫描操作指南，包括如何一键手动扫描漏洞、如何配置定时扫描策略。 服务器安全卫士（原生版）支持扫描Linux软件漏洞、Windows系统漏洞、WebCMS漏洞、应用漏洞、应急漏洞，提供如下扫描方式： 一键手动扫描漏洞 如果用户想立即了解服务器当前是否存在漏洞风险，可以执行“一键扫描”，立即手动扫描服务器中的漏洞。 定时自动扫描漏洞 用户可以开启“定时扫描”，配置定时扫描周期和范围，定期对服务器上存在的漏洞进行自动扫描。 约束限制 漏洞扫描支持的操作系统请参见支持的操作系统。 仅支持对已安装Agent且“Agent状态”为“在线”、“防护状态”为“防护中”的服务器进行漏洞扫描。 一键手动扫描漏洞 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“风险管理 > 漏洞扫描”，进入漏洞扫描页面。 3. 单击“一键扫描”，页面右侧弹出一键扫描设置窗口。 4. 设置扫描参数，参数说明如下。 参数 说明 漏洞类别 支持扫描“Linux软件漏洞”、“Windows系统漏洞”、“WebCMS漏洞”、“应用漏洞”和“应急漏洞”。 设置生效范围 选择扫描哪些服务器。可以选择“全部服务器”或“自选服务器”。 选择“自选服务器”时，您可以通过区域、服务器名称、服务器IP搜索需要扫描的服务器。 说明 以下服务器不能被选中执行漏洞扫描： 非“运行中”状态的服务器。 Agent状态为“离线”的服务器。 5. 单击“确定”，立即开始扫描。 说明 扫描需要一定的时间，请耐心等待，期间您可以切换页面执行其他操作。等待过程中您可以手动刷新页面查看最新扫描数据。

本节介绍如何管理漏洞白名单。 如果确认漏洞不会对您的业务造成任何影响，无需修复，您可以将漏洞添加至白名单。漏洞加入白名单后，漏洞列表不再展示该漏洞信息，在下一次漏洞扫描任务执行时，系统不会再扫描和展示该漏洞信息。 查看白名单列表 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“风险管理 > 漏洞扫描”，进入漏洞扫描页面。 3. 单击页面右上角的“白名单管理”，进入白名单管理页面。 4. 可以查看已加入白名单的漏洞，包括漏洞公告、CVE编号、漏洞类别、修复优先级。 添加白名单 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“风险管理 > 漏洞扫描”，进入漏洞扫描页面。 3. 勾选漏洞列表中所有需要加入白名单的漏洞，单击漏洞列表左上角的“加入白名单”，批量对漏洞进行加白。 4. 在弹出的对话框中，确认漏洞名称和影响服务器数量后，单击“确定”。 移除白名单 您可以随时对已加入白名单的漏洞，从白名单中移除。移除后，下一次进行漏洞扫描时，系统将对该漏洞进行扫描并展示。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“风险管理 > 漏洞扫描”，进入漏洞扫描页面。 3. 单击页面右上角的“白名单管理”，进入白名单管理页面。 4. 选择需要移除的漏洞，点击操作列中的“移除白名单”，或勾选需要移除的漏洞，单击列表左上角的“移除白名单”，进行批量操作。 5. 在弹出的确认对话框中，单击“确定”，漏洞被移除白名单。

本章节介绍数据库安全如何安装Agent。 安装Agent后，您才能开启数据库安全审计功能，对待审计的数据库进行审计。 本节介绍如何在Linux系统上安装Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 已获取Linux操作系统Agent安装包。 安装Agent节点的运行系统满足Linux系统版本要求。 安装Agent 在您安装新版Agent的时候，需要您为当前安装的Agent自定义一个密码。 请您根据数据库类型以及数据库的部署环境，在相应节点上安装Agent。 1. 将下载的Agent安装包“xxx.tar.gz”上传到待安装Agent的节点（例如使用WinSCP工具）。 2. 使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录该节点。 3. 执行以下命令，进入Agent安装包“xxx.tar.gz”所在目录。cd Agent安装包所在目录 4. 执行以下命令，解压缩“xxx.tar.gz”安装包。tar xvf xxx.tar.gz 5. 执行以下命令，进入解压后的目录。cd解压后的目录 6. 执行以下命令，查看是否有安装脚本“install.sh”的执行权限。 7. 执行以下命令，安装Agent。sh install.sh。用户系统是Ubantu时，执行以下命令安装Agent。bash install.sh。界面回显以下信息，说明安装成功。否则，说明Agent安装失败。 start agent starting audit agent audit agent started start success install dbss audit agent done! 如果Agent安装失败，请您确认安装节点的运行系统是否满足Linux操作系统要求，并重新安装Agent。 8. 执行以下命令，查看Agent程序的运行状态。service auditagent status如果界面回显以下信息，说明Agent程序运行正常。audit agent is running.

本文介绍使用OBS推流可能失败的原因。 使用OBS推流时，推流失败可能有多种原因导致。以下是一些常见的原因： 推流服务器配置错误：请确保您在OBS中正确配置了推流服务器的地址、端口和密钥等信息。检查您的配置是否与推流服务器的要求一致。 网络连接问题：推流过程中可能会出现网络连接问题，例如网络延迟、丢包等。请确保您的网络连接稳定，并尝试使用其他网络环境进行推流。 推流码率设置过高：如果您设置的推流码率过高，可能会导致推流失败。尝试降低推流码率，并确保它适合您的网络带宽。 推流设备问题：推流设备（例如摄像头、麦克风）可能存在问题，例如设备驱动程序不正确、设备与计算机的连接问题等。请检查设备是否正常工作，并在OBS中正确配置设备。 防火墙或安全软件阻止推流：某些防火墙或安全软件可能会阻止OBS进行推流。请确保您的防火墙或安全软件允许OBS进行网络连接和数据传输。 OBS版本不兼容：OBS的版本可能不兼容您的操作系统或其他相关软件。尝试升级到最新版本的OBS，并确保它与您的系统兼容。 直播服务器故障：直播服务器可能存在故障或维护。请通过工单与技术支持团队联系，确认服务器是否正常运行。 流在禁推列表中：如果流在禁推列表中，则也会导致推流失败。 如果您遇到推流失败的问题，建议您逐步排查以上可能的原因，并查看OBS的日志文件以获取更多详细信息。您还可以参考OBS的官方文档和社区论坛，寻求更多的技术支持和解决方案。

本章节为您简单介绍API风险监测的基本内容。 API 与应用系统安全审计系统采用旁路部署在网络靠近应用服务器的交换机上，将流量复制转发到产品中进行解析还原，分析业务系统中可被利用的脆弱性漏洞，实时监测用户异常访问数据行为，支持在泄漏发生时进行溯源分析，全方面守护企业应用数据安全。 总览页 API风险总览页面总计六个模块。 数据总览：可查看应用系统、API、账号及文件数量。 生命周期分布：查看指定时间段内的风险趋势、风险分布、生命周期分布、API敏感数据特征分布。 现存风险分布：查看目前系统内当前所有风险的统计情况。 新增风险趋势：查看近一个月内风险的新增情况。 API敏感特征分布：查看所有API中敏感信息的分布情况。 访问流量梳理：查看系统最近的访问情况。

此小节介绍数据库安全版本性能规格说明 版本和性能规格说明 数据库安全审计功能提供了基础版、专业版和高级版三种服务版本。您可以根据业务需求选择相应的服务版本。 版本 支持的数据库实例 系统资源要求 性能参数 基础版 最多支持3个数据库实例 CPU：4U 内存：8GB 硬盘：500GB 吞吐量峰值：3,000条/秒 入库速率：360万条/小时 4亿条在线SQL语句存储 50亿条归档SQL语句存储 专业版 最多支持6个数据库实例 CPU：8Ul内存：16GB 硬盘：1TB 吞吐量峰值：6,000条/秒 入库速率：720万条/小时 6亿条在线SQL语句存储 100亿条归档SQL语句存储 高级版 最多支持30个数据库实例 CPU：16U 内存：32GB 硬盘：2TB 吞吐量峰值：30,000条/秒 入库速率：1080万条/小时 15亿条在线SQL语句存储 600亿条归档SQL语句存储

容器镜像服务是一种支持容器镜像生命周期管理的服务, 提供简单易用、安全可靠的镜像管理功能,帮助用户快速部署容器化服务。

标签规则 标签规则是指对某一标签下的终端设置微隔离规则，包括微隔离规则、一键封锁IP以及一键关闭端口。关于标签的更多信息，请参考分组标签。 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“策略管理 > 微隔离 > 微隔离”，选择配置模式。 3. 选择“标签规则”页签，可执行以下操作。相关配置参数请参见终端规则。 选择标签（如Linux），点击“新增规则”，可对标签下的终端新增微隔离规则。 选择标签（如Linux），点击“一键封锁IP”，可对标签下的终端设置一键封锁IP。仅混合模式支持“一键封锁IP”。 选择标签（如Linux），点击“一键关闭端口”，可关闭标签下的终端的相应端口。仅混合模式支持“一键关闭端口”。 相关操作 登录大模型安全卫士实例，在菜单栏选择“策略管理 > 微隔离 > 微隔离”，可执行以下操作。 点击“导出”，可导出微隔离规则。 点击“导入”，选择微隔离规则文件（已导出的微隔离规则文件），即可导入微隔离规则。 勾选规则（可勾选多个），点击“启用”，在弹出的对话框中点击“确定”，可批量启用微隔离规则。 勾选规则（可勾选多个），点击“禁用”，在弹出的对话框中点击“确定”，可批量禁用微隔离规则。 勾选规则（可勾选多个），点击“删除”，在弹出的对话框中点击“确定”，可批量删除微隔离规则。

数据分类分级常见问题请参见：数据安全专区常见问题。

本文介绍了修改文件读写权限的最佳实践。 操作场景 在实际业务中，由于以下原因和目的，您可能需要修改对象的读写权限： 数据安全：通过修改对象的读写权限，可以确保数据仅对授权用户或系统可见和可访问。限制对象的访问权限可以减少数据泄露和未经授权的访问风险，提高数据的安全性。 数据分享：在某些场景下，您可能需要与他人或公众共享特定的对象。通过修改权限，您可以将对象的读取权限开放给其他用户或特定的用户群体，以便与他们分享数据，也可以用于共享公共资源、发布媒体内容或进行数据传输等场景。 方案说明 ZOS控制台支持私有和公共读两种权限的相互转换，为确保您的数据安全，建议您选择私有。 桶的读写权限的更改不会改变桶内已有文件的读写权限，新上传文件会默认继承桶的读写权限。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方点击，选择所需的资源池节点，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，点击Bucket名称进入“概览”页面。 5. 点击“文件管理”页面，选中要设置的文件，点击文件所在行的“更多”按钮。 6. 点击更多下拉选项中的“设置读写权限”按钮。 7. 如选择“公共读”，需勾选“ 我已阅读并同意相关协议《天翼云对象存储系统服务协议》”点击“确认修改”，完成读写权限设置。 8. 如选择“私有”，直接点击“确定”，完成设置。

本章节介绍什么是媒体存储。 产品简介 媒体存储（CTXStor，原对象存储融合版）是天翼云基于分布式数据存储和媒体处理技术，为客户提供海量视频、图片及其他非结构化数据存取与处理的云服务，具有弹性灵活、安全可靠、高性价比等优点，支持多种存储协议及多档资源类型，深度匹配各类行业场景应用。 产品架构 支持多种网络接入，如公网、内网、专线等接入方式，满足用户不同的网络环境情况。 提供多种接入方式，如标准存储协议、流直存，并提供丰富的API与SDK，供用户、开发者使用，便捷快速上云。 通过数据迁移服务，用户可以轻松地将海量数据迁入媒体存储。 提供多种标准存储协议以及多档资源类型，精细匹配应用场景需求。 搭配基础管理、生命周期、数据安全与数据处理等功能，完成数据的全生命周期管理。 重要特性 版本控制：媒体存储支持版本控制，针对Object的覆盖和删除操作以历史版本的形式保存下来，可将 Object 恢复至任意的历史版本。 存储桶复制：支持跨不同存储区域或同一存储区域的Bucket 自动、异步（近实时）复制对象（Object），可根据配置，将源桶Object的创建、更新和删除等操作复制到目标Bucket。 合规保留：开启合规保留后，处于合规保留期的对象均“不可删除、不可篡改”。 图片处理：针对媒体存储内存储的图片文件（Object），您可以在GetObject请求中携带图片处理参数对图片文件进行处理。例如添加图片水印、转换格式等。 媒体存储为客户提供更多数据管理、数据安全和数据处理等功能，详情请参见 产品功能 文档。

Agent管理页面中用户自定义接入主机的IP是如何获取的？ AOM会默认遍历虚机上的所有网卡设备，按照以太网卡、Bond网卡、无线网卡等优先级顺序获取IP，如果获取到的不是期望的地址，可以在启动ICAgent时设置进程的环境变量ICNETCARD网卡名，获取指定网卡IP。 举例： 1、在/etc/profile中增加export ICNETCARDeth2。 2、执行source /etc/profile使环境变量在当前shell生效。 3、进入/opt/oss/servicemgr/ICAgent/bin/manual/目录，停止并重新启动icagent。 bash mstop.sh bash mstart.sh 4、查看该环境变量是否正确传递到应用中。 strings /proc/{icagentprocid}/envrion grep ICNETCARD 说明 如果ICAgent显示的IP地址是127.0.0.1，则可能是ICAgent启动时未获取到本机的IP导致，例如VM掉电重启时会出现。此时您需要重启ICAgent即可。 若您的主机IP发生变更（例如续租时分配了新的IP），此时Agent管理页面中显示的可能还是原来的IP，需要您重启ICAgent即可。 Windows环境下安装icagent失败，并提示SERVICE STOP 现象：在Windows环境下安装icagent失败，提示SERVICE STOP。任务管理器中不存在icagent任务。系统服务列表中不存在icagent服务。命令行下执行sc query icagent提示未找到。 原因：一般为360安全卫士等杀毒软件拦截了icagent服务注册。 解决方法： 1. 检查360安全卫士等杀毒软件是否正在运行。 2. 关闭360安全卫士后再进行icagent安装。 说明 Windows下icagent采集文件类型需要手动配置采集路径.log、 .trace、 .out等文本文件，不支持二进制文件、不支持Windows系统日志。

数据脱敏与水印常见问题请参见：数据安全专区常见问题。

数据脱敏与水印常见问题请参见：数据安全专区常见问题。

本文向您介绍怎样禁用通过SSH密码访问云主机的连接方式。 操作场景 安全性方面，SSH密钥连接方式的安全性高于密码连接方式。选择密钥方式连接云主机后，可以禁用密码连接云主机的方式。 说明 该设置方法仅适用于SSH远程连接操作，控制台登录过程仍然使用密码登录，请妥善保存云主机登录密码，如果密码丢失可执行重置密码操作。 操作步骤 1. 登录Linux云主机，执行以下命令打开sshdconfig文件的编辑界面。 vi /etc/ssh/sshdconfig 编辑SSH连接方式，把PasswordAuthentication yes改为PasswordAuthentication no。 2. 重启sshd服务后使更新后的配置生效，无报错则为重启成功。 CentOS6/ubuntu执行： service sshd restart CentOS7/CtyunOS执行： systemctl restart sshd 3. 重启该云主机后，使用SSH密码方式访问云主机，如果提示“Disconnected:No supported authentication methods available”，说明已成功禁用SSH密码连接方式。

如何激活Windows物理机？ 对于Windows系列操作系统，目前需要手动激活。 步骤 1 登录Windows物理机操作系统。 步骤 2 单击“开始”菜单，在“搜索程序和文件”中输入“cmd”，并按“Enter”，打开命令提示符。 步骤 3 执行以下命令，配置KMS服务器地址。 slmgr.vbs skms 100.125.0.31 步骤 4 执行以下命令，查看是否激活。 slmgr.vbs ato 如果出现错误：0xC004F074 软件授权服务器报告无法激活该物理机。密钥管理服务（KMS）不可用，说明无法激活，需要执行步骤5。 步骤 5 查看物理机时间与标准时间是否一致，时间相差较大会出现无法激活的情况，将其设置为一致。 步骤 6 执行以下命令，检查物理机到KMS服务器端口是否可达。 telnet 100.125.0.31:1688 如果无法连接，说明物理机内部防火墙没有放通1688端口，需要关闭或者放通防火墙TCP 1688端口。如果有安全狗之类的安全软件也请暂时停止使用。 步骤 7 执行以下命令，重试物理机是否激活。 Slmgr.vbs ato

接口功能介绍 加入/删除白名单。 接口约束 已经签约安全卫士服务协议 URI POST /v1/vulnerability/vulHandle 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 handleType 是 String handleType 处理类型,CANCELWHITE移除白名单 CANCELWHITE handleList 是 Array of Objects handleList 移除白名单列表 表 handleList 表 handleList 参数 是否必填 参数类型 说明 示例 下级对象 cve 否 String cve CVE20201234 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200

接口功能介绍 统计最近一次需紧急修复的漏洞数、存在漏洞服务器数、未处理漏洞数。 接口约束 已经签约安全卫士服务协议 URI POST /v1/vulnerability/statics 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200 表 returnObj 参数 参数类型 说明 示例 下级对象 emergentVul Integer 需紧急修复的漏洞 0 unHandle Integer 未处理的漏洞 0 hostNum Integer 存在的漏洞的服务器 0

接口功能介绍 漏洞扫描检测结果查询 接口约束 已经签约安全卫士服务协议 URI POST /v1/vulnerability/show 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200 表 returnObj 参数 参数类型 说明 示例 下级对象 taskId String 任务id 2121313 status Integer 任务状态 0：未开始 1：进行中 2：已完成 3/4/5/6：取消执行 0 startTime String 开始时间 20220506 00:00:00