资源 子网所有者的权限 子网使用者的权限 VPC 全部权限 仅支持查看共享子网所属的VPC，不支持操作 子网 全部权限 仅支持查看共享子网，不支持操作 路由表 全部权限 不支持查看共享子网所关联的路由表 ACL 全部权限 不支持查看共享子网所关联的ACL 安全组 只可查看和管理自身创建的安全组，无法查看其他账号的安全组 只可查看和管理自身创建的安全组，无法查看其他账号的安全组 网卡 只可查看和管理自身创建的弹性网卡，无法查看其他账号的弹性网卡 只可查看和管理自身创建的弹性网卡，无法查看其他账号的弹性网卡 虚拟IP 只可查看和管理自身创建的虚拟IP，无法查看其他账号的虚拟IP 只可查看和管理自身创建的虚拟IP，无法查看其他账号的虚拟IP 云资源（例如弹性云主机） 只可查看和管理自身创建的云资源，无法查看其他账号的云资源 只可查看和管理自身创建的云资源，无法查看其他账号的云资源

窗口切换 如AI云电脑账号下有多个AI云电脑，工具栏点击“窗口切换”功能，支持多个AI云电脑同时运行。 安全中心登录设备管理 前往控制面板的“安全中心”，可管理AI云电脑的登录安全情况. 登录设备：可查看账号名称，登录设备，IP地址，登录时间以及下线时间。 设备管理：可查看AI云电脑登录的设备或移除设备。 安全中心设置系统密码 若忘记Windows系统密码时，可点击“安全中心管理系统密码重置系统密码"进行重置。（适用于Windows桌面的Administrators账户） 报障 使用AI云电脑过程中，如遇到问题，可点击“报障”，填写故障信息或者拨打服务热线：4008109889。 投屏 客户端内置双向投屏能力，可发起或接收投屏，多设备无缝共享。 点击工具的“投屏”，设备间通过输入投屏码或扫码即可体验。

窗口切换 如AI云电脑账号下有多个AI云电脑，工具栏点击“窗口切换”功能，支持多个AI云电脑同时运行。 安全中心登录设备管理 前往控制面板的“安全中心”，可管理AI云电脑的登录安全情况. 登录设备：可查看账号名称，登录设备，IP地址，登录时间以及下线时间。 设备管理：可查看AI云电脑登录的设备或移除设备。 安全中心设置系统密码 若忘记Windows系统密码时，可点击“安全中心管理系统密码重置系统密码"进行重置。（适用于Windows桌面的Administrators账户） 报障 使用AI云电脑过程中，如遇到问题，可点击“报障”，填写故障信息或者拨打服务热线：4008109889。 投屏 客户端内置双向投屏能力，可发起或接收投屏，多设备无缝共享。 点击工具的“投屏”，设备间通过输入投屏码或扫码即可体验。

本节介绍IP地址组的基本概念及使用场景。 什么是IP地址组？ IP 地址组是智能边缘云平台提供的网络管理资源，用于将多个 IPv4/IPv6 地址或网段进行统一归类、集中管理，可直接关联安全组规则实现批量 IP 访问控制，简化规则配置、减少重复录入，适用于多场景网络访问策略管理。 应用场景 批量配置安全组放行 / 拒绝规则，统一管理办公网段、业务网段。 对边缘云主机进行 SSH/RDP 远程访问白名单控制。 多安全组复用同一 IP 地址集合，降低配置成本。 边缘网络访问控制策略快速下发与变更。

本节介绍云等保专区产品的功能特性。 云安全中心 云安全中心系统主要包含安全态势、资产中心、风险管理、威胁管理、分析中心、告警管理、编排响应、报表中心、集成配置以及数据源监控等功能。 主机安全 为云服务器提供基于客户端的防护，提供主机系统防护与加固、主机网络防护与加固等功能，具备业界领先的勒索专防专杀、网页防篡改、网络隔离与防护、补丁修复、外设管控、文件审计、违规外联检测与阻断等主机安全能力，帮您快速发现网站潜在安全隐患。 Web应用防火墙 精准覆盖各类Web应用攻击，为客户识别恶意请求，防御未知威胁，分钟级接入实现防入侵、防扫描、防攻击、防数据泄露、防CC攻击等防护，等保必备。 下一代防火墙 提供云上互联网边界和VPC边界的防护，包括：实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析。 堡垒机 4A统一安全管控平台，为企业提供集单点登录、统一资产管理、多终端访问协议、文件传输、会话协同等功能于一体的运维管理服务。 漏洞扫描 能够对Web应用的资产进行识别分类以及对Web应用进行深度弱点探测。通过漏洞产生的原理和渗透测试的方法，快速分析出被测目标所开放的端口服务和对应的协议信息，发现资产暴露面。漏洞库覆盖国内外常见CMS、中间件、操作系统等严重漏洞，帮助用户全面分析Web应用网络环境中存在的安全弱点。

本文介绍如何针对文件系统创建告警规则。 目录 概述 操作步骤 方式一：通过云监控服务控制台创建告警规则 方式二：通过OpenAPI创建告警规则 相关文档 概述 通过使用云监控的告警功能，用户可以对文件系统的核心监控指标设置告警规则，当监控指标触发用户设置的告警条件时，支持以邮箱、短信等方式通知用户，让用户在第一时间得知云服务发生异常，迅速处理故障，避免因资源问题造成业务损失。更多信息，请参考使用告警功能云监控服务用户指南。 操作步骤 方式一：通过云监控服务控制台创建告警规则 1. 登录天翼云控制中心，单击管理控制台左上角的，选择地域。 2. 单击“管理与部署>云监控服务”，进入云监控控制台页面。 3. 单击“云服务监控”下拉菜单，选择"告警服务>告警规则"，进入告警规则控制台页面 4. 可通过以下三个入口，创建告警规则： 入口一：您可以选择在“云服务监控>弹性文件监控>OceanFS 标签页”页，在目标文件系统的“操作”栏下点击“创建告警规则”，选择需要告警服务的监控指标创建规则，包括监控阈值、通知频率、通知方式等。 入口二：在“云服务监控>弹性文件监控>OceanFS 标签页”页面，在目标文件系统的“操作”栏下点击“查看监控图表”，进入文件系统的监控详情页，目标监控项图表右上方，点击“+”创建此监控项的告警规则。 入口三：单击“云服务监控”下拉菜单，选择"告警服务>告警规则"，进入告警规则控制台页面，页面右上方点击“创建告警规则”。 5. 根据界面提示，配置告警规则的相关指标，配置参数如表所示： 参数 参数说明 选择类型 可选择从模板导入或自定义创建。 从模板导入：在下拉框中选择已有的模板，参考告警模板。 自定义创建：需进行配置参数选择。 监控指标 详细内容参见云监控概述。 策略 支持的聚合值：原始值、平均值、最大值、最小值支持的策略：≥，＞，≤，＜，＝值：填写设定的值数。 聚合周期 可以选择：1分钟、5分钟、20分钟、1小时、4小时、12小时和24小时，根据告警规则需求选择。 出现次数 选择达成策略值出现的次数。 发送通知 关闭，无需配置后续通知规则；开启，需配置下列相关参数，选择通知发送的模式。 选择告警联系组 在下拉框中选择告警联系组，如果没有，需添加告警联系人/组。 告警重复 指当告警第一次发生后，如果没有条件触发恢复告警，再重复发送几次告警。可以选择不重复、1次、2次、3次。如果选择重复告警3次，意味着会收到4次告警。 触发场景 出现告警，恢复正常。 通知周期 选择可接收到通知的时间，根据需求勾选星期一、星期二、星期三、星期四、星期五、星期六、星期日。例如未勾选星期一，则星期一不会收到通知信息。 通知时段 选择通知的具体时间段，如6：30：007：30：00。 通知方式 邮件、短信。 告警回调 请填写具体URL。 规则名称 填写告警规则名称。 企业项目 选择告警规则所属企业项目。 描述 填写告警规则的信息描述，限制100字以内。 6. 设置好对应参数后，点击“确定”，等待告警规则创建完成。 7. 告警规则设置完成后，当符合规则的告警产生时，系统会自动进行通知。

本页介绍如何配置告警和查看告警列表。 操作场景 DTS控制台支持设置告警规则，用户可自定义告警规则与通知策略，及时了解DTS数据迁移和数据同步任务的运行状况，从而起到预警作用。 告警配置 在告警配置页面，用户可查看告警规则，添加告警规则，修改告警规则，禁用或启用告警规则，删除告警规则。 查看告警规则 进入数据传输服务DTS控制台页面，在左侧菜单栏点击监控告警 > 告警配置，进入【告警配置】页面，查看当前的告警规则配置。 说明 用户完成DTS实例的订购及任务配置后，系统会自动配置状态异常和同步延迟超1日告警2条默认告警规则，用户如需其他告警规则可手动添加配置。 添加告警规则 在【告警配置】页面，点击右上角的“添加告警规则”按钮，跳转到告警中心告警设置页面。点击“新建告警策略”按钮，进入新建告警策略页面，填写配置策略名称、备注信息、告警对象、资源池、实例、阀值告警、状态告警、沉默周期、告警级别、联系人等信息。 告警规则各配置项，具体如下： 策略名称：必填项，策略名称建议不要使用相同名称命名。 备注：非必填，建议填写策略说明，便于了解告警策略的具体内容。 告警对象：配置DTS告警，请选择“实例DTS”。 资源池：从下拉列表中选择资源池。 选择实例：选择对应资源池的实例，选中实例作为本告警策略监控告警的对象。 模板类型：目前DTS暂无默认模板，请选择手动创建。 阀值告警：可以选择一种或多种监控指标进行配置，当满足配置的全部指标条件时触发告警。 7种监控指标：cpu使用率、内存使用率、系统盘使用率、数据盘使用率、网络接收错误数、网络传输错误数、数据同步延迟。 阀值配置：选择监控指标后，进行时间区间、计算方法、出现次数的配置。例如选择cpu使用率监控指标，时间区间为：1分钟，计算方法为：平均值>90%，出现次数为2次，则表示连续2分钟cpu使用率平均值>90%触发告警。 一个告警策略可以包含多个监控指标，点击“添加条件”，添加新的监控指标。 状态告警：只有一个指标，点击“添加条件”，选择“实例状态”，当实例状态异常时，即触发告警。 沉默周期：指告警发生后如果未恢复正常，间隔多久重复发送一次告警通知。 自动进入静默期设置：指告警发生后，希望发送多少次告警后，进入静默期，不再主动提示。默认发送3次后自动进入静默期。 告警级别：必填项，用户可自行设置该项告警的级别，有紧急、告警和普通三个级别供选择。 告警联系人：支持多选，可以选择对应租户主账号及子账号对应的联系人。 通知方式：支持站内信、邮箱、短信、企业微信、钉钉、飞书、通用webhook等7种方式。 注意 当通知方式为短信时，单个用户每日最多可发送100条短信。

本文简述天翼云边缘安全加速平台—安全与加速服务支持的压缩算法及配置方式。 基本概念介绍 针对文本类文件、图片等内容采用压缩的方式进行传输，一方面可节省边缘节点内部传输流量和最后一公里的用户流量，另一方面可节省传输时间，提升性能。当前行业内常用的两种压缩算法如下： Gzip 压缩算法：Gzip基于DEFLATE算法，它是LZ77和霍夫曼编码的组合，最早用于UNIX系统的文件压缩。HTTP协议上的Gzip编码是一种用来增进 Web应用程序性能的技术，Web服务器和客户（浏览器）必须共同支持Gzip。当下主流的浏览器都是支持Gzip压缩，包括IE6、IE7、IE8、IE9、FireFox、Google Chrome、Opera等。 Brotli压缩算法：Brotli通过变种的LZ77算法、Huffman编码以及二阶文本建模等方式进行数据压缩，特别侧重于HTTP压缩。与其他压缩算法相比，通常可以获得更高的压缩效率。 功能介绍 天翼云边缘安全加速平台—安全与加速服务提供压缩功能，开启压缩功能后，可以减少网络中传输的内容，能够带来两个明显的好处，一是减少存储空间，二是通过网络传输文件时，可以减少传输的时间。 支持Gzip压缩和Brotli压缩两种压缩算法。 注意事项 Gzip压缩兼容所有浏览器，Brotli压缩不兼容较老版本的浏览器，您可以根据业务需要选择适合的压缩算法。 安全与加速服务对文件压缩时，会改变文件的MD5值，若源站配置了MD5校验机制，需要关闭压缩功能。 页面优化功能和文件压缩功能不允许同时开启，同时开启时，压缩功能会失效。 如果域名同时配置Brotli压缩和Gzip压缩，若客户端两种压缩算法都支持，则仅Brotli压缩生效。 常见的视频文件（MP4、WMV、AVI等）以及图片文件（JPEG、JPG、PNG等）通常已经做了压缩处理，开启压缩后一般没有效果，建议您关闭压缩功能。

本小节介绍镜像基线检查。 基线检查功能自动检测您私有镜像仓库中存在的配置风险，针对所发现的问题为您提供加固建议，帮助您正确地处理镜像内的各种风险配置信息，降低入侵风险并满足安全合规要求。 检测周期 企业主机安全每天凌晨自动进行一次全面的检查。 前提条件 已开启容器节点防护。 约束限制 仅支持检测Linux镜像存在的配置风险。 检测项 确保系统中不存在账号名或UID相同的账号 UID为0的非root账号检查 代码中的口令检查 确保系统中不存在相同密码哈希值的账号 禁止使用弱密码哈希算法 确保帐户密码不为空 确保系统中不存在相同组名或GID 确保没有非特权账号加入特权组 确保/etc/passwd中不存在旧的"+"条目 确保/etc/shadow中不存在旧的"+"条目 确保/etc/group中不存在旧的"+"条目 确保/etc/passwd中的所有组都存在于/etc/group中 确保配置了密码有效期 确保所有用户的密码更改日期都是过去日期 禁用建立host信任 禁止建立预置的root级别的信任关系 确保root帐户的默认组为GID 0 确保shadow组为空 操作步骤 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 说明 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 3、 在左侧导航树中，选择“风险预防 > 容器镜像安全”。 4、 选择“镜像基线检查”页签，查看镜像中存在的配置风险。 5、单击检测项前的，查看该检测项的详情、存在的问题及加固建议，并根据加固建议修复有风险的配置信息。

本小节介绍镜像基线检查。 基线检查功能自动检测您私有镜像仓库中存在的配置风险，针对所发现的问题为您提供加固建议，帮助您正确地处理镜像内的各种风险配置信息，降低入侵风险并满足安全合规要求。 检测周期 企业主机安全每天凌晨自动进行一次全面的检查。 前提条件 已开启容器节点防护。 约束限制 仅支持检测Linux镜像存在的配置风险。 检测项 确保系统中不存在账号名或UID相同的账号 UID为0的非root账号检查 代码中的口令检查 确保系统中不存在相同密码哈希值的账号 禁止使用弱密码哈希算法 确保帐户密码不为空 确保系统中不存在相同组名或GID 确保没有非特权账号加入特权组 确保/etc/passwd中不存在旧的"+"条目 确保/etc/shadow中不存在旧的"+"条目 确保/etc/group中不存在旧的"+"条目 确保/etc/passwd中的所有组都存在于/etc/group中 确保配置了密码有效期 确保所有用户的密码更改日期都是过去日期 禁用建立host信任 禁止建立预置的root级别的信任关系 确保root帐户的默认组为GID 0 确保shadow组为空 操作步骤 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 说明 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 3、 在左侧导航树中，选择“风险预防 > 容器镜像安全”。 4、 选择“镜像基线检查”页签，查看镜像中存在的配置风险。 5、单击检测项前的，查看该检测项的详情、存在的问题及加固建议，并根据加固建议修复有风险的配置信息。

参数 取值 说明 fs.obs.serversideencryptiontype SSEKMS SSEKMS：表示使用KMS秘钥的加解密方式。 NONE：表示关闭加密功能。 fs.obs.serversideencryptionkey 表示用来加密的KMS密钥ID。该参数可不配置。 当参数“fs.obs.serversideencryptiontype”配置为“SSEKMS”且该参数未配置时，OBS会使用OBS服务的默认KMS密钥完成加密。 fs.obs.connection.ssl.enabled true 标识是否与OBS建立安全连接。 true：开启安全连接，当需要使用OBS加解密功能时该参数必须配置为“true”。 false：关闭安全连接。

准备工作 购买智算安全专区大模型安全测评实例 准备好待测大模型 操作流程 编号 操作 相关文档 1 配置测评对象 新增测评对象 2 下发测评任务 创建测评任务 查看测评记录

准备工作 购买智算安全专区大模型安全测评实例 准备好待测大模型 操作流程 编号 操作 相关文档 1 配置测评对象 新增测评对象 2 下发测评任务 创建测评任务 查看测评记录

对比项 OBS 自建存储服务器 数据存储量 提供海量的存储服务，所有业务、存储节点采用分布式集群方式部署，各节点、集群都可以独立扩容，用户永远不必担心存储容量不够。 数据存储量受限于搭建存储服务器时使用的硬件设备，存储量不够时需要重新购买存储硬盘，进行人工扩容。 安全性 支持HTTPS/SSL安全协议。同时OBS通过访问密钥（AK/SK）对访问用户的身份进行鉴权，结合IAM策略、桶策略、ACL、防盗链等多种方式和技术确保数据传输与访问的安全。 需自行承担网络信息安全、技术漏洞、误操作等各方面的数据安全风险。 成本 即开即用，免去了自建存储服务器前期的资金、时间以及人力成本的投入，后期设备的维护交由OBS处理。 前期安装难、设备成本高、初始投资大、自建周期长、后期运维成本高，无法匹配快速变更的企业业务，安全保障的费用还需额外考虑。

本章节为您介绍如何登录时间戳服务 时间戳服务，可提供标准的时间戳服务功能，可将交易时间和交易内容固化，适用于时间敏感型业务数据的安全保护。该服务可以满足信息系统密码应用测评中关于实体行为不可否认性的要求。 开放端口要求 为避免网络故障或网络配置问题影响使用服务，请参考下表配置实例安全组。 注意 如何添加安全组规则请参考：添加安全组规则章节。 端口 端口用途 90809083 9080端口：Http协议 9081端口：Tcp协议 9082端口：Https协议 9083端口：TLS协议 通过天翼云控制台进入登录页面 通过天翼云控制台进入登录页面 1. 登录天翼云云密评专区管理控制台。 2. 在左侧导航栏选择“密码服务”，进入“密码服务”页面。 3. 选择需要登录的时间戳服务实例，单击右上角的“管理”，进入实例登录页面，选择登录方式。

限制 说明 VPC对等连接使用范围 同地域下两个VPC之间的内网互通，不支持跨地域，对应VPC可属于同账号或者不同账号。 网段重叠限制 对等连接下的两个VPC网段建议不要重叠。 安全组网段放通 需要在本端关联的安全组放通对端网段，在对端关联的安全组放通本端网段。

计费流程 标准资费 如果您需要了解关于不同版本支持的基础服务与增值服务的详细情况，请参见套餐和版本说明。 套餐规格 标准资费（元/月） 套餐主要内容 体验版 399 业务带宽：10Mbps；防护域名数：1个域名 基础版 1660 业务带宽: 50Mbps ；防护域名数：1个主域名及该主域名下的9个子域名防护 标准版 3560 业务带宽: 100Mbps ；防护域名数：1个主域名及该主域名下的9个子域名防护 专业版 8560 业务带宽: 150Mbps ；2个防护域名数：2个主域名及该主域名下的18个子域名防护 旗舰版 19660 业务带宽: 300Mbps ；防护域名数：3个主域名及该主域名下的27个子域名防护 如果扩展服务与套餐订购时间一致，到期时间与套餐一致；如果扩展服务订购时间晚于套餐服务，开始计费时间为扩展服务订购日期，到期时间与套餐一致。 扩展服务 标准资费（元/月） 功能描述 API安全 13500 API资产高可见性和持续安全检测。 Bot管理 3500 针对自动化攻击/Bot流量的智能防护方案。 智能负载均衡 1000 智能负载均衡，通过多节点智能接入技术，助力客户业务支持多节点、多线路自动调度容灾，提供缓存功能。 可视化大屏服务 1500 提供网站整体业务及安全状况的可视化大屏分析。 安全VIP服务 10000 7×24安全值守服务；对接入域名评估与加固指导；对重点系统进行安全体检；根据业务情况，定制整体防护方案，服务支撑；在重保期间按需提供724小时安全专家在线值守，对安全事件进行及时响应。 带宽扩展 18/Mbps 实际业务带宽超过了产品套餐支持的带宽，可购买带宽扩展进行补充。带宽扩展包不享受包年折扣。 域名扩展基础版 300 支持1个主域名及该主域名下的9个子域名防护。 域名扩展标准版 600 支持1个主域名及该主域名下的9个子域名防护。 域名扩展专业版 1000 支持1个主域名及该主域名下的9个子域名防护。 域名扩展旗舰版 2000 支持1个主域名及该主域名下的9个子域名防护。

参数 描述 数据库实例名称 默认为创建迁移任务时选择的RDS for MySQL实例，不可进行修改。 数据库用户名 目标数据库对应的数据库用户名。 数据库密码 数据库用户名和密码将被系统加密暂存，直至该任务删除后清除。支持在任务创建后修改密码。 SSL安全连接 如启用SSL安全连接，请在目标库开启SSL，并确保相关配置正确后上传SSL证书。 说明 最大支持上传500KB的证书文件。 如果不启用SSL安全连接，请自行承担数据安全风险。

网关代理的作用是在大模型防护系统开启一个代理端口，原请求大模型的请求需主动请求代理端口，由代理服务判定输入内容合规后再转发到真正的大模型接口，并按照配置决定是否对大模型返回的响应进行合规性检测。 主要用于无法使用透明代理的场景，如： 非自建大模型，如使用的云厂商提供的API接口。 大模型节点使用严格，禁止安装其他服务。 配置内容安全网关代理 内容安全代理主要用于代理大模型的对话接口，如“/v1/chat/completions”接口，从而对用户的提问和大模型的回答进行合规性检查。 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 模型代理 > 网关代理”，单击“新建代理”。 3. 配置代理参数。 参数 说明 代理名称 按照个人习惯填写语义化文本。 代理类型 内容安全请选择“大语言模型”。 描述 （可选）填写代理的描述信息。 监听地址 默认“0.0.0.0”即可。 监听端口 选择一个未被占用的端口（例如：11436）。 大模型API地址 根据实际情况填写被代理模型的地址。 模型Key （可选）默认的模型名称。 策略 按需选择如“默认策略” ，更多关于策略的内容见内容安全。 心跳检测 （可选）周期性检查被代理模型的存活状态，推荐开启。 启用API Key （可选）按需选择是否启用大模型防护系统的API认证机制。 当启用API Key时，还需配置API Key标签 。API Key标签为模型认证配置中配置的标签。 4. 单击“确定”。

参数 描述 实例名称 实例名称可以重名。实例名称长度最小为4字符，最大为64个字符，如果名称包含中文，则不超过64字节（注意：一个中文字符占用3个字节），必须以字母或中文开头，区分大小写，可以包含字母、数字、中划线、下划线或中文，不能包含其他特殊字符。 设置密码 现在设置（默认），如果您选择创建实例时设置，请填写账户对应的密码。 创建后设置，系统不会为您设置初始密码。 注意： 您在登录数据库前，需要先通过重置密码的方式设置密码，否则实例创建成功后，无法登录数据库。 实例创建成功后重置密码，请参见 管理员账户名 数据库的登录名称默认为root。 管理员密码 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入 ~ ! @ $ % ^ + ? , 特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 如果您提供的密码被系统视为弱密码，您将收到错误提示，请提供更高强度的密码。 请妥善保管您的密码，因为系统将无法获取您的密码信息。 实例创建成功后重置密码，请参见 确认密码 必须和主密码相同。 虚拟私有云 关系型数据库实例所在的虚拟网络环境，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 注意： 目前RDS实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 IPv4地址： 创建实例时RDS会自动为您配置IPv4内网地址，您也可输入子网号段内未使用的IPv4内网地址。实例创建成功后该内网地址可修改。 IPv6地址： 选择支持IPv6地址的CPU和内存规格后，才能创建内网地址为IPv6的实例。 创建实例时RDS会自动为您配置IPv6内网地址，不支持指定IPv6内网地址。实例创建成功后该内网地址也不支持修改。 安全组 控制网络出/入及端口的访问，默认添加了关系型数据库实例所属的安全组访问。 安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的安全组允许客户端访问数据库实例。 如果没有可选的安全组，关系型数据库服务默认为您分配安全组资源。

本章节主要介绍跨源认证概述。 什么是跨源认证？ 跨源分析场景中，如果在作业中直接配置认证信息会触发密码泄露的风险，因此推荐您使用“数据加密服务DEW”或“DLI提供的跨源认证方式”来存储数据源的认证信息。 数据加密服务（Data Encryption Workshop, DEW）是一个综合的云上数据加密服务，为您解决数据安全、密钥安全、密钥管理复杂等问题。推荐使用数据加密服务DEW来存储数据源的认证信息。 跨源认证用于管理访问指定数据源的认证信息。配置跨源认证后，无需在作业中重复配置数据源认证信息，提高数据源认证的安全性，便于DLI安全访问数据源。 本节操作为您介绍DLI提供的跨源认证的使用方法。 约束与限制 仅Spark SQL、和Flink OpenSource SQL 1.12版本的作业支持使用跨源认证。 DLI支持四种类型的跨源认证，不同的数据源按需选择相应的认证类型。 −CSS类型跨源认证：适用于“6.5.4”及以上版本的CSS集群且集群已开启安全模式。 −Kerberos类型的跨源认证：适用于开启Kerberos认证的MRS安全集群。 −KafkaSSL类型的跨源认证：适用于开启SSL的Kafka。 −Password类型的跨源认证：适用于DWS、RDS、DDS、DCS数据源。。 跨源认证类型 DLI支持四种类型的跨源认证，不同的数据源按需选择相应的认证类型。 CSS类型跨源认证：适用于“6.5.4”及以上版本的CSS集群且集群已开启安全模式。配置时需指定集群的用户名、密码、认证证书，通过跨源认证将以上信息存储到DLI服务中，便于DLI安全访问CSS数据源。详细操作请参创建CSS类型跨源认证。 Kerberos类型的跨源认证：适用于开启Kerberos认证的MRS安全集群。配置时需指定MRS集群认证凭证，包括“krb5.conf”和“user.keytab”文件。详细操作请参考创建Kerberos跨源认证。 KafkaSSL类型的跨源认证：适用于开启SSL的Kafka，配置时需指定KafkaTruststore路径和密码。详细操作请参考创建KafkaSSL类型跨源认证。 Password类型的跨源认证：适用于DWS、RDS、DDS、DCS数据源，配置时将数据源的密码信息存储到DLI。详细操作请参考创建Password类型跨源认证。

本文主要介绍弹性IP绑定/解绑类问题。 如何通过外部网络访问绑定弹性IP的弹性云主机？ 为保证弹性云主机的安全性，每个弹性云主机创建成功后都会加入到一个安全组中，安全组默认Internet对内访问是禁止的，所以需要在安全组中添加对应的入方向规则，才能从外部访问该弹性云主机。 在安全组规则设置界面用户可根据实际情况选择TCP、UDP、ICMP或All类型。 当弹性云主机需要提供由公网可以访问到的服务且知道对端IP地址或无需提供由公网可以访问到的服务时，建议根据业务需要，将源地址设置为允许已知IP地址所在的网段访问该安全组。 当弹性云主机需要提供由公网可以访问到的服务且不知道对端的IP地址时，建议使用默认的源地址0.0.0.0/0，再通过配置端口提高网络安全性。 建议将不同公网访问策略的弹性云主机划分到不同的安全组。 说明：源地址默认的IP地址0.0.0.0/0是指允许所有IP地址访问安全组内的弹性云主机。 如何通过扩展网卡绑定的弹性IP访问公网？ 弹性IP绑定扩展网卡后，进入弹性云主机，执行route命令查询路由： route命令如果不清楚可以使用 route help 。 图查看路由信息 执行ifconfig命令查看网卡信息。 图查看网卡信息 配置默认通过扩展网卡访问公网。 a. 执行如下命令删除主网卡默认route。 route del net 0.0.0.0 gw 192.168.0.1 dev eth0 说明：此操作会导致虚拟机流量中断，请谨慎操作，推荐您参考步骤4配置。 b. 执行如下命令配置扩展网卡默认route。 route add default gw 192.168.17.1 按照访问的目标地址配置扩展网卡访问。 配置通过扩展网卡访问某一网段（xx.xx.0.0/16，该网段请按实际情况设置）： route add net xx.xx.0.0 netmask 255.255.0.0 gw 192.168.17.1

专属加密（Dedicated Hardware Security Module，Dedicated HSM）是一种云上数据加密的服务，可处理加解密、签名、验签、产生密钥和密钥安全存储等操作。 Dedicated HSM为您提供的加密硬件，帮助您保护弹性云服务器上数据的安全性与完整性，满足FIPS 1402安全要求。同时，您能够对专属加密实例生成的密钥进行安全可靠的管理，也能使用多种加密算法来对数据进行可靠的加解密运算。

快速部署DeepSeek系列模型并使用Ollama运行 创建VPC 登录智能边缘云ECX控制台，菜单栏点击【边缘网络>虚拟私有云>VPC和子网】，点击按钮【+创建虚拟私有云】。 根据您的目标用户所在地域，就近选择业务部署的地域，并按需修改VPC名称、VPC网段、子网网段等，若无特殊需求，按照默认设置即可，勾选协议并点击【立即创建】。 完成后即可在VPC和子网列表看到刚刚创建的VPC。 创建安全组 登录智能边缘云ECX控制台，菜单栏点击【边缘网络>访问控制>安全组】，点击按钮【新建安全组】。 切换【入方向规则/出方向规则】，点击【添加规则】按需设置应用的安全组策略，在本方案中，需确保设置“11434,18080”入方向规则，点击【确定】保存安全组策略。

本页介绍天翼云TeleDB数据库安全配置手册概述。 数据库是指用于存储和管理大量结构化数据的软件系统，其中包括大量重要信息或机密数据，如企业的核心业务或客户的隐私信息等。当您完成数据库安装时，建议您对数据库安全进行配置。数据库安全配置是指通过一系列安全措施加强对数据库安全进行防护。数据库安全配置核心在对数据库进行访问控制、数据加密、审计、数据脱敏和数据库备份与恢复等安全管理策略，确保数据的完整性、机密性、可用性、可控性和可审查性。 说明 数据完整性：‌保证数据的正确性、‌有效性和一致性，‌防止合法用户加入不合语义的数据。‌ 数据机密性：‌通过加密、‌访问控制和权限管理，‌保护数据不被未授权访问和泄露。‌ 数据可用性：‌确保数据在需要时能够被授权用户访问和使用。‌ 数据可控性：‌通过审计和监控，‌确保数据的使用符合安全策略。‌ 可审查性：‌通过审计日志等机制，‌使得数据的使用和变更可以被追溯和审查。 安全配置功能简介 安全功能 说明 访问控制 TeleDB支持通过设有用户权限控制和强制访问控制，对不同对象有不同的访问来控制权限，确保数据安全。 数据加密 TeleDB支持通过数据加密来确保只有授权的用户才能访问敏感信息，防止个人信息泄露。 审计 TeleDB支持通过有效的审计，组织可以及时发现和解决数据库相关的问题，降低风险，并提高数据库的整体管理水平。 数据脱敏 TelDB支持通过数据脱敏，对非授权用户隐去了部分敏感信息，又尽量保持了数据整体有效。 数据备份与恢复 ‌数据库备份与‌恢复来确保数据安全的关键措施，TeleDB支持通过定期备份数据库可以防止数据丢失或损坏。 ‌‌

本节介绍云安全中心威胁攻击态势大屏。 用户可以查看不同级别的告警的数量统计、异常资产、高危待处理等态势。 前提条件 威胁攻击态势需要购买态势大屏扩展资源，具体操作请参见购买扩展资源。 查看威胁攻击态势大屏 1. 登录天翼云控制中心。 2. 在控制台列表页，选择“安全 > 云安全中心”，进入产品服务页面。 3. 在左侧导航栏，选择“安全态势 > 威胁攻击态势”，进入威胁攻击态势大屏页面。 在右上角支持选择时间范围，也可以设置定时刷新时间。 单击右上角的图标，进入全屏模式。 单击左上角的图标，返回“安全概览”页面。 设置定时刷新时间 威胁攻击态势大屏支持定时刷新大屏数据，定时刷新时间最小为5分钟刷新一次，最大为720分钟刷新一次，进入大屏默认为30分钟刷新一次。 您可以执行以下步骤修改定时刷新时间： 1. 在威胁攻击态势大屏页面，单击右上角时间范围。 2. 单击“停止”，间隔时间变为可配置。配置完时间后，再单击“开始”，即可完成修改。

本文介绍如何通过配置访问控制规则,进行零信任服务的访问控制限制。 企业使用远程零信任办公服务，部分场景下，需要对访问的来源进行控制，远程零信任办公服务支持对客户端访问来源、访问IP、用户粒度、访问时间等进行访问控制，实现更灵活和安全的企业远程办公访问体验。 操作步骤 1. 登录边缘安全加速控制台。 2. 在左侧导航栏，选择AOne零信任安全访问控制。 3. 在访问控制页面，单击新增。 4. 在新增面板，按照如下表格说明，填写对应字段信息。 字段 字段说明 规则名称 规则的名称，建议使用便于记忆的名称。例如根据使用场景进行命名。 防护状态 支持按钮开启防护状态或者关闭防护。 规则描述 规则的说明。 匹配条件 配置对应的匹配字段、逻辑符、匹配内容。 匹配字段包含：客户端IP、客户端IPS、客户端IPR、客户端端口、目的IPS、目的IPR、目的IP、目的端口、协议、域名、用户、生效时间段(周期性)、地区、设备ID等。 逻辑符为：包含、不包含。 匹配内容为：根据对应匹配字段渲染出来的填写框，支持下拉勾选，填写精确内容等方式。 处置动作 支持对访问进行拦截、监控、丢弃、加白操作。 监控：请求命中访问控制策略后，不对其拦截，仅记录攻击日志。 加白：请求命中访问控制策略后，将对其进行加白，请求不经过任意安全防护策略。 拦截：提示由于您企业配置了访问控制策略，您此次的访问不符合访问条件，请确认是否存在非法IP地址、不合规时间或者非法地区访问等情况。 丢弃：拦截后不会响应页面，会减少带宽。

本章节介绍防护的主机切换操作系统,HSS配额是否会发生变化。 不会变化。在切换主机操作系统前，请您先确认企业主机安全服务的Agent是否支持待切换的操作系统。不支持的操作系统，与Agent可能存在兼容性问题，建议您重装或者选择为Agent支持的操作系统版本，以便获得企业主机安全更好的服务体验。 企业主机安全服务的Agent可运行在CentOS、EulerOS等Linux系统以及Windows 2012、Windows 2016等Windows系统的主机上。 注意 已停止服务的Linux系统版本或者Windows系统版本，与Agent可能存在兼容性问题，建议重装或者升级为Agent支持的操作系统版本，以便获得企业主机安全更好的服务体验。 主机安全服务支持的云主机Linux系统、Windows版本如下边三个表所示： 说明 部分操作系统版本下的个别子版本存在不支持的情况，会陆续上线支持，感谢您的理解与支持。 HCE 2.0当前暂不支持漏洞检测和配置检测功能，将在之后的版本迭代上线。 Linux系统版本（X86架构） 序号 支持的OS类型 1 CentOS: 7.4，7.5，7.6，7.7，7.8，7.9，8.0，8.1，8.2 and 9 (64bit) 2 Debian: 9，10，11.0.0 and 11.1.0 (64bit) 3 EulerOS: 2.2，2.3，2.5，2.7 and 2.9 (64bit) 4 Fedora: 28 (64bit) 5 OpenSUSE: 15.3 (64bit) 6 Ubuntu: 16，18，20.03，20.04 and 22.04 (64bit) 7 RedHat: 7.4，8.0 and 8.7 (64bit) 8 OpenEuler：20.03 LTS，22.03 SP3 LTS and 22.03 (64bit) 9 AlmaLinux: 9.0 (64bit) 10 Rocky Linux：8.4，8.5 and 9.0 (64bit)

本文向您介绍如何使用边缘安全加速平台安全与加速服务提供的IPv6支持度检测功能。 功能介绍 支持IPv6支持度检测功能，能够针对IPv6域名解析、网站首页IPv6访问、网站二级/三级链接IPv6支持度进行检测，并输出检测结果以及改进建议。 注意：仅针对已接入域名提供IPv6支持度检测服务。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 检测对象 检测网址：可以从域名列表选择需要IPv6检测的域名，也可以自定义输入已接入域名下的网址，支持输入域名或URL格式。 检测项 IPv6域名解析：支持检测域名是否支持IPv6解析，若不支持，则建议前往域名列表开启IPv6解析功能。 网站首页IPv6访问：支持检测网站首页是否支持IPv6访问，若不支持，则建议开通站点外链替换功能，实现IPv6 访问。 网站二级链接IPv6支持度:支持检测网站二级链接是否支持IPv6访问，若不支持，则建议开通站点外链替换功能，实现IPv6 访问。 网站三级链接IPv6支持度:支持检测网站三级链接是否支持IPv6访问，若不支持，则建议开通站点外链替换功能，实现IPv6 访问。

本章节内容主要介绍常见问题中网络安全 文档数据库服务有哪些安全保障措施 文档数据库服务可设置所属虚拟私有云，从而确保实例与其它业务实现网络安全隔离。另外，通过统一身份认证服务，可以实现对文档数据库服务资源的访问权限控制。 为什么在虚拟私有云中使用文档数据库 虚拟私有云允许您在私有、隔离的网络创建虚拟网络环境，从中可以对私有IP地址范围、子网、路由表和网络网关等方面进行控制。借助虚拟私有云，您可以定义虚拟网络拓扑和网络配置，使其非常类似于您在自己的数据中心所操作的传统IP网络。 在下面的情况下您可能想在虚拟私有云中使用文档数据库服务： 您希望运行面向公众的Web应用程序，同时保留公众不可访问的后端服务器。您可以在一个虚拟私有云内同时创建一个文档数据库实例和弹性云主机实例，同时为弹性云主机实例分配公网IP，将Web服务器部署在弹性云主机实例。 如何确保在虚拟私有云中运行的文档数据库的安全 虚拟私有云安全组可用来帮助确保虚拟私有云内文档数据库实例的安全。 此外，通过网络访问控制列表（ACL），可以允许或拒绝进入和退出各个子网的网络流量。内部安全基础设施（包括网络防火墙、入侵检测和防护系统）可以监视通过IPsec虚拟专用网络连接进入或退出虚拟私有云的所有网络流量。

该任务指导用户通过漏洞扫描服务停止资产的监测。 前提条件 已获取管理控制台的登录帐号与密码。 已开启资产的监测任务。 操作步骤 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”。 3. 在左侧导航树中，选择“安全监测”，进入“安全监测”界面，如下图所示。 4. 在目标监测任务所在行的“操作”列中，单击“暂停监测”，在弹出的对话框中，单击“确认”。 说明 如果用户需要再次开启监测任务，在目标监测任务所在行的“操作”列中，单击“开启监测”，开启监测任务。

检查内网DNS地址与安全组配置 如您未对DNS进行修改，可使用root或Administrator账号登录相应云主机，输入如下命令： ping ces.{项目}.ctyun.cn 二类节点各资源池项目值可通过控制台“我的凭证”查询。 以苏州为例， ping ces.cnjssz1.ctyun.cn 如可正常连通，说明DNS地址正确可正常访问。 如无法连通，请按照如下操作指导进行配置修改。 修改DNS与添加安全组（Linux） 修改DNS与添加安全组（Windows） 如需获取二类节点各资源池内网DNS地址，可通过天翼云提供的内网DNS地址是多少？获取。