执行计划 操作场景 分析当前输入的SQL语句的执行路径效率。 操作步骤 1. 在顶部菜单栏选择“SQL操作 > SQL查询”，打开一个SQL窗口，在左侧结构树选择数据库。 2. 在SQL窗口输入需要执行的SQL语句，单击“执行计划”，排查SQL问题和优化SQL性能。 在“SQL执行记录”页签中，查看窗口下历史执行信息。 在“消息”页签中，查看拆分SQL完成、执行完成及耗时等信息。 在“执行计划”页签中查看反馈执行语句情况，不同的页签来展示每一条SQL的执行计划详情。 我的SQL 操作场景 数据管理服务支持用户添加常用的SQL，以及查看和管理SQL语句。 操作步骤 1. 在顶部菜单栏选择“SQL查询”，打开一个SQL窗口。 2. 在当前打开的SQL窗口页面，选择“我的SQL”。 新增我的SQL：支持增加常用的SQL，在弹出框中编辑标题、输入SQL语句，选择适用范围后，单击“保存”即可新增SQL。 选择我的SQL：支持查看已保存的常用SQL，当账号下没有已保存的SQL时，该功能在页面不显示。 管理我的SQL：支持对常用的SQL进行管理，包括添加、编辑、 删除。 SQL执行记录 前提条件 登录数据管理服务时，需要在登录界面开启SQL执行记录。 操作步骤 1. 在顶部菜单栏选择“SQL操作”>“SQL执行记录”，打开历史执行记录列表。 2. 在SQL执行记录页面，您可通过日期范围、数据库名称、SQL语句关键字进行搜索，快速查找目标SQL执行记录信息。 单击列表中数据库名称，您可直接进入该数据库管理页面。 单击“SQL语句”，您可在SQL语句弹出框中复制使用SQL。 单击“在SQL执行窗口打开”，您可在SQL窗口中直接使用该语句。

本文介绍了按需转包年/包月相关的功能。 操作场景 RDSPostgreSQL支持将您的实例计费模式从按需模式转成包年/包月模式，您可以使用该功能来灵活调整RDSPostgreSQL的计费模式。 注意事项 用户账户余额需大于0元，方可进行计费模式互转。 如果您操作的RDSPostgreSQL实例中，存在未支付的转包年/包月计费订单，需先完成未支付订单支付，否则当您执行扩容或者系列升级时，则会提示有在途订单。您可以在订单界面支付/取消对应转包年/包月计费订单，完成后即可继续相关操作。 操作步骤 1. 登录天翼云门户。 2. 打开控制中心。 3. 单击管理控制台左上角的，选择区域和项目。 4. 选择“数据库 > 关系数据库PostgreSQL版”，进入关系数据库PostgreSQL版控制台。 5. 在左侧目录中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 6. 在【实例管理】的实例列表中选择运行中的RDSPostgreSQL目标实例，点击操作列“更多”按钮，选择“转包年包月”按钮。或者点击对应实例的名称，进入"实例管理详情"，在“实例管理”页面中，点击“计费方式”的“转包年包月”项。 7. 在“按需转包周期”页面，选择您续订时长，点击“确定”提交订单。 8. 完成订单支付后，并等待系统处理，可在"实例管理详情"页面中，查看对应“计费方式”为“包周期”和“过期时间”为续订后的到期时间。 注意 不同资源池因iaas资源能力等原因，加载版本有所差异，详见

关系数据库MySQL版支持CTIAM身份认证和多种访问控制，多维度保障您云数据库的安全。 身份认证 CTIAM 统一身份认证（Identity and Access Management， 简称：CTIAM），是提供用户进行权限管理的基础服务，可以帮助您安全的控制天翼云服务和资源的访问及操作权限，包括：用户身份认证、权限分配、访问控制等功能。 您可以创建IAM用户，并为其设置关系数据库MySQL版实例权限，该用户即可通过用户名和密码访问已授权的实例资源。 访问控制 权限控制 购买关系数据库MySQL版实例之后，您可以使用CTIAM为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，通过CTIAM进行精细的权限管理。 VPC和子网 虚拟私有云（Virtual Private Cloud，VPC）为关系数据库MySQL版构建隔离、私密的虚拟网络环境，提升数据库的安全性，并简化用户的网络部署。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。 通过子网与其他网络隔离，独享网络资源，提高网络安全性。 具体内容，请参见创建虚拟私有云和子网。 安全组 安全组是一个逻辑上的分组，可以为同一个虚拟私有云内具有相同安全保护需求并相互信任的数据库实例提供相同的访问策略。您可以通过为数据库实例设置安全组，开通需访问数据库的IP地址和端口，来保障其运行环境的安全性和稳定性。 具体内容，请参见设置安全组规则。

本页介绍了天翼云关系数据库MySQL版参数模板的创建方法。 背景信息 您可以使用数据库参数模板中的参数来管理数据库引擎配置。数据库参数模板就像是引擎配置值的容器，这些值可应用于一个或多个数据库实例。您需要注意如下事项： 您在创建数据库实例时系统将会为您的数据库实例适配默认的数据库参数模板。默认参数模板包含数据库引擎默认值和系统默认值，具体根据引擎、计算等级及实例的分配存储空间而定。 注意 您无法修改默认数据库参数模板的参数设置，您必须创建自己的数据库参数模板才能更改参数设置的默认值。 如果您想使用您自己的参数模板，只需创建一个自定义参数模板，然后针对您的实例进行应用即可。 以下是您在使用参数模板中的参数时应了解的几个要点： 当您修改当前实例的参数模板并保存后，仅应用于当前实例，不会对其他实例造成影响。 当您对实例进行应用参数模板时会去重置数据库配置文件，因此不管当前模板中是否存在需要重启的参数，均会对数据库进行重启。 如果您仅需要修改少量参数，且不想重启数据库，您可以在实例管理 页面单击目标实例名称，进入参数设置 页签进行修改，详细操作，请参见参数设置。 在数据库参数模板内设置参数不恰当可能会产生意外的不利影响，包括性能降低和系统不稳定。修改数据库参数时应始终保持谨慎，且修改数据库参数模板前要备份数据。将参数模板更改应用于生产数据库实例前，您应当在测试数据库实例上试用这些参数模板设置更改。

您可根据业务需要，手动退订实例来释放资源。本文为您介绍如何退订关系数据库MySQL版实例。 约束限制 退订主实例时，如果存在只读实例、数据库代理，将会同时退订。且只读实例和代理实例退订即刻销毁，不会进入回收站，仅主实例进入回收站。 当前实例如果已经被drds实例关联，则禁止退订，需要前往drds控制台解除关联才可以退订实例。 对于I类型资源池，如果订购时选择使用对象存储ZOS产品存储备份数据，用户实例退订后，备份还是会继续收费，直至实例冻结期满被彻底删除，收费信息，请参见对象存储ZOS的计费项。您也可以选择提前注销实例避免扣费。 说明 具体涉及到退订的费用以及规则，详细请参见退订规则说明。 退订MySQL数据库，不满整月的按当月实际发生天数退还费用。 退订实例，主实例会进入回收站，您可以在回收站重建该实例，具体操作，请参见实例回收站。 操作步骤退订 注意 在申请退订MySQL实例前，请做好相关的数据备份。 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，然后在操作 列选择更多 > 退订。 4. 在退订页面，阅读完提示后，可对实例进行退订。 5. 会给当前登录账号的手机发送验证码，验证成功即可退订。

介绍分布式消息服务RabbitMQ信道管理操作内容。 场景描述 RabbitMQ 信道管理的场景描述如下： 并发处理：在高并发的场景下，有大量的消息需要发送或接收。为了提高性能和效率，可以使用多个信道来同时处理消息。通过合理地管理信道，可以实现消息的并发处理，提高系统的吞吐量和响应速度。 事务管理：在某些情况下，需要确保消息的原子性操作，即要么全部成功，要么全部失败。通过使用信道的事务机制，可以将多个操作封装在一个事务中，以确保消息的一致性和可靠性。在需要严格的数据一致性的场景下，信道的事务管理非常重要。 消息确认机制：在消息的发送和接收过程中，可能会出现网络故障或其他错误导致消息丢失或处理失败。为了确保消息的可靠性，可以使用信道的消息确认机制。通过确认机制，消息的发送者可以收到关于消息是否已经被成功处理的确认信息，从而可以进行相应的处理。 限流控制：在消息的发送和接收过程中，可能会出现瞬时的高负载情况，导致系统资源的过度消耗。为了避免这种情况，可以使用信道的限流控制机制。通过限制每个信道的消息数量或速率，可以控制系统的负载，保护系统的稳定性和可用性。 总之，RabbitMQ 信道管理的场景涉及并发处理、事务管理、消息确认机制和限流控制。通过合理地管理和优化信道，可以提高系统的性能、可靠性和稳定性，确保消息的可靠传递和处理。 信道列表 （1）登录管理控制台。 （2）进入RabbitMQ管理控制台。 （3）在实例列表页在操作列，目标实例行点击“管理”。 （4）点击“信道管理”进入信道列表。

天翼云监控支持使用告警联系组设置告警通知对象，本文为您介绍该应用场景下的操作步骤。 应用背景 当云主机监控产生告警时，云监控服务将通知告警联系人。您需要先创建告警联系人和告警联系组，并将告警联系人添加到告警联系组。在进行告警规则的创建时，选择相应的告警联系组，即可实现通过告警联系组来接收告警通知的目的。 步骤一：创建告警联系组 1.登录管理控制台。 2.单击“管理与部署 > 云监控”。 3.单击左侧“告警服务”下拉菜单，选择“告警联系人/组”，进入告警联系人管理界面。 4.选择“告警联系组”，点击下方“添加联系组”。 5.在新建联系组中操作相关联系人，点击确定，完成创建。 步骤二：设置告警规则 1.登录管理控制台。 2.单击“管理与部署 > 云监控”。 3.单击左侧“告警服务”下拉菜单，选择“告警规则”，进入告警规则管理界面。 4.单击右上方“创建告警规则”，进入“创建告警规则”界面。 5.在“选择告警联系组”中，选择接收该告警规则下告警通知的联系人组。当监控指标触发设定的阈值时，此联系人组内的联系人将在第一时间收到相应的告警通知。

介绍分布式消息服务Kafka业务迁移内容。 应用场景 Kafka的业务迁移可以应用在多个领域和场景中，包括但不限于以下几个方面： 数据集成和数据仓库：Kafka可以用作数据集成的中间件，将分散的数据源集中到一个统一的平台上。通过使用Kafka的生产者和消费者，可以实现数据的可靠传输和消费，支持实时的数据集成和数据仓库的建设。 实时数据处理和流处理：Kafka提供了流处理功能，可以对实时数据流进行处理和分析。通过使用Kafka Streams、Apache Flink等流处理框架，可以对数据流进行实时的计算、转换、聚合等操作，实现实时数据处理和实时决策。 异步通信和消息队列：Kafka作为消息队列，可以用于异步通信和解耦系统之间的依赖关系。通过将同步的请求和响应转换为异步的消息，可以提高系统的可伸缩性和响应性能，实现松耦合的系统架构。 日志收集和分析：Kafka可以用作日志收集和分析的中间件，用于接收和传递系统和应用程序的日志数据。通过将日志数据发送到Kafka中，可以实现日志的集中存储和分发。同时，可以使用Kafka的消费者来实时消费和分析日志数据，帮助进行故障排查、性能监控和安全审计等工作。 数据同步和复制：在多个数据中心或分布式系统之间进行数据同步和复制时，可以使用Kafka作为数据的中间传输通道。通过使用Kafka的生产者和消费者，可以实现数据的可靠传输和复制，保证数据的一致性和可用性。 这些只是Kafka业务迁移的一部分应用场景，实际应用中还有很多其他的需求和场景。Kafka的高性能、可靠性和可扩展性使其成为业务迁移的理想选择。

本页介绍了关系数据库MySQL版产品的高级防护优势。 关系数据库MySQL版产品的高级防护主要体现为：访问控制、数据传输加密、网络隔离、数据销毁、防DDoS攻击、安全保护。 访问控制 关系数据库MySQL版实例创建时，可以在虚拟私有云中对实例所在的安全组入站和出站规则进行限制，从而实现基于安全组的访问控制。这样就能够控制可以连接数据库的网络范围，从而提升数据库的安全性。 数据传输加密 通过TLS加密和SSL加密，可以实现对数据传输过程的加密保护。此外，可以使用从服务控制台下载的CA根证书来验证和认证数据库服务端，在连接数据库时提供该证书，从而保证数据传输的安全性和可靠性。 网络隔离 为了实现对数据库服务的网络隔离，可以利用虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组等网络安全技术。使用虚拟私有云可以让租户配置入站IP地址范围，这样就能够控制可以连接数据库的IP地址段。同时，关系数据库MySQL版实例可以运行在租户独立的虚拟私有云内，这样就能够提升数据库实例的安全性。通过综合运用子网和安全组的配置，可以进一步实现对关系数据库实例的网络隔离。 数据销毁 在删除关系数据库MySQL版实例时，存储在数据库实例中的数据都会被删除，并且不会被恢复或重新创建。安全删除不仅包括数据库实例所挂载的磁盘，同时还包括备份数据的存储空间。这样可以确保数据得到完全的清除和保护，防止数据被不当使用或者泄露给未经授权的人员。

介绍分布式消息服务RabbitMQ连接管理内容。 背景信息 RabbitMQ 连接管理的背景信息如下： 生产者连接管理：在 RabbitMQ 中，生产者负责将消息发送到队列中。在高并发的场景下，可能会有大量的生产者与 RabbitMQ 建立连接。因此，连接管理变得至关重要。在这种场景下，需要确保连接的稳定性和可用性，以确保生产者能够持续地发送消息，并避免连接的过度消耗。 消费者连接管理：消费者负责从队列中接收消息并进行处理。在高负载的情况下，可能会有大量的消费者连接到 RabbitMQ。在这种场景下，需要进行连接的管理和优化，以确保消费者能够高效地处理消息，并避免过多的连接占用资源。 连接池管理：为了更好地管理连接，可以使用连接池来对 RabbitMQ 连接进行复用和管理。连接池可以帮助控制连接的数量，避免频繁地创建和销毁连接，提高系统的性能和资源利用率。通过连接池管理，可以确保连接的可用性，并有效地管理连接的生命周期。 连接超时和重连：在网络不稳定或 RabbitMQ 实例发生故障时，连接可能会中断或超时。在这种情况下，需要实现连接的超时和重连机制，以确保连接能够及时地恢复，并保持与 RabbitMQ 的正常通信。通过合理设置连接超时和重连策略，可以提高系统的可靠性和稳定性。 总之，RabbitMQ 连接管理的场景涉及生产者连接管理、消费者连接管理、连接池管理以及连接超时和重连。通过合理的连接管理和优化，可以提高系统的性能、可用性和稳定性，确保消息的可靠传递和处理。

本文介绍NAT网关—SNAT规则类相关问题。 为什么使用SNAT？ 在网络通信中，当内部网络的主机向外部网络发送数据包时，数据包的源IP地址会经过SNAT被转换为一个公共IP地址，这样外部网络就无法直接访问内部网络的真实IP地址。SNAT的主要作用是隐藏内部网络的真实IP地址，从而增强网络的安全性。 同时SNAT可以使多个内网主机通过同一个外网IP接入Internet，从而达到节省成本的目的。 什么是 SNAT连接数 ？ 由源IP地址、源端口、目的IP地址、目的端口、传输层协议这五个元素组成的集合视为一条连接。连接能够区分不同会话，并且对应的会话是唯一的。其中源IP地址和源端口指SNAT转换之后的EIP和它的端口。 当多个内部主机通过同一个外部IP地址访问外部网络时，网络设备会使用SNAT来转换源IP地址和端口号，以便外部网络可以正确识别和回复数据包。 SNAT连接数表示当前正在进行的通过SNAT技术建立的连接数量。这些连接可能是在同一时间内与外部网络建立的活动连接，也可以是已建立但尚未关闭的连接。通过跟踪SNAT连接数，可以对网络流量和负载进行监控和管理，并确保网络资源的适当分配和性能优化。 NAT网关规格为并发连接数，并发连接数为每分钟内并发连接的数量。并发连接数＝SNAT连接数＋DNAT连接数。 主机通过NAT网关访问外网，请问NAT网关的带宽是多少？在哪里设置？ 主机通过NAT网关访问外网，NAT网关的带宽即SNAT规则绑定的弹性IP带宽，可以在弹性IP页面调整带宽大小，具体操作参见弹性IP修改带宽。

本节主要介绍CreateLoginProfile。 此操作用来为指定IAM用户创建控制台的登录密码。 请求参数 名称 描述 是否必须 ::: Action CreateLoginProfile。 是 Version 请求版本。 取值：20100508。默认值为20100508。 否 UserName 需要创建登录密码的用户名。 类型：字符串 取值：1~64个字符组成，字符只能包含字母、数字或特殊字符，字母不区分大小写，特殊字符只能是：下划线（）、中划线（）、逗号（,）、句点（.）、加号（+）、等号（）和at符号（@）。 是 Password 指定用户登录控制台的密码。 类型：字符串 取值：密码必须符合OOS账户的密码策略（如果存在）。默认密码规则为8128位密码，必须是小写字母和数字的组合。 是 PasswordResetRequired IAM用户使用初始密码登录控制台后是否需要重置密码。 类型：布尔型 取值： true：使用初始密码登录后，需要重置密码后才可以执行操作。 false：使用初始密码登录后，无需重置密码也可以执行操作。 默认值为false。 否 响应结果 名称 描述 :: UserName IAM用户名。 PasswordResetRequired IAM用户使用初始密码登录控制台后是否需要重置密码。 true：使用初始密码登录后，需要重置密码后才可以执行操作。 false：使用初始密码登录后，无需重置密码也可以执行操作。 CreateDate IAM用户控制台登录密码创建时间。 请求示例 为IAM用户testchpasswd设置登录密码为 a12345678 ，首次登录后，再次登录时需要设置新密码才可以登录。 POST / HTTP/1.1 Host: ooscniam.ctyunapi.cn xamzcontentsha256: UNSIGNEDPAYLOAD Authorization: SignatureValue XAmzDate: 20190315T081653Z ContentType: application/octetstream ContentLength: 112 ActionCreateLoginProfile&Version20100508&UserNametestchpasswd&Passworda12345678&PasswordResetRequiredtrue

本节以下面这个ConfigMap为例，具体介绍ConfigMap的用法。 配置项创建后，可在工作负载环境变量、命令行参数和数据卷三个场景使用。 通过配置项设置工作负载环境变量 通过配置项设置命令行参数 使用配置项挂载到工作负载数据卷 本节以下面这个ConfigMap为例，具体介绍ConfigMap的用法。 apiVersion: v1 kind: ConfigMap metadata: name: cceconfigmap data: SPECIALLEVEL: Hello SPECIALTYPE: CCE 注意 在Pod里使用ConfigMap时，需要Pod和ConfigMap处于同一集群和命名空间中。 通过配置项设置工作负载环境变量 您可以在创建工作负载时将配置项设置为环境变量，使用valueFrom参数引用ConfigMap中的Key/Value。 apiVersion: v1 kind: Pod metadata: name: configmappod1 spec: containers: name: testcontainer image: busybox command: [ "/bin/sh", "c", "env" ] env: name: SPECIALLEVELKEY valueFrom: 使用valueFrom来指定env引用配置项的value值 configMapKeyRef: name: cceconfigmap 引用的配置文件名称 key: SPECIALLEVEL 引用的配置项key restartPolicy: Never 如果您需要将多个配置项的value值定义为pod的环境变量值，您只需要在pod中添加多个环境变量参数即可。 env: name: SPECIALLEVELKEY valueFrom: configMapKeyRef: name: cceconfigmap key: SPECIALLEVEL name: SPECIALTYPEKEY valueFrom: configMapKeyRef: name: cceconfigmap key: SPECIALTYPE 如果要将一个配置项中所有数据都添加到环境变量中，可以使用envFrom 参数，配置项中的 key 会成为 Pod 中的环境变量名称。 apiVersion: v1 kind: Pod metadata: name: configmappod2 spec: containers: name: testcontainer image: busybox command: [ "/bin/sh", "c", "env" ] envFrom: configMapRef: name: cceconfigmap restartPolicy: Never

本文主要介绍ServiceAccount Token安全性提升说明。 Kubernetes 1.21以前版本的集群中，Pod中获取Token的形式是通过挂载ServiceAccount的Secret来获取Token，这种方式获得的Token是永久的。该方式在1.21及以上的版本中不再推荐使用，并且根据社区版本迭代策略，在1.25及以上版本的集群中，ServiceAccount将不会自动创建对应的Secret。 Kubernetes 1.21及以上版本的集群中，直接使用TokenRequest API获得Token，并使用投射卷（Projected Volume）挂载到Pod中。使用这种方法获得的Token具有固定的生命周期（默认有效期为1小时），在到达有效期之前，Kubelet会刷新该Token，保证Pod始终拥有有效的Token，并且当挂载的Pod被删除时这些Token将自动失效。该方式通过BoundServiceAccountTokenVolume特性实现，能够提升服务账号（ServiceAccount）Token的安全性，Kubernetes 1.21及以上版本的集群中会默认开启。 为了帮助用户平滑过渡，社区默认将Token有效时间延长为1年，1年后Token失效，不具备证书reload能力的client将无法访问APIServer，建议使用低版本Client的用户尽快升级至高版本，否则业务将存在故障风险。 如果用户使用版本过低的Kubernetes客户端（Client），由于低版本Client并不具备证书轮转能力，会存在证书轮转失效的风险。K8s社区默认具有证书轮转能力的Client版本如下： Go: > v0.15.7 Python: > v12.0.0 Java: > v9.0.0 Javascript: > v0.10.3 Ruby: master branch Haskell: v0.3.0.0 C

配置日志外发 日志外送提供Kafka外送功能，Kafka外送模块是 APIG 系统的通用外发功能，支持配置外发接口以及外发任务来管理通过Kafka方式外发，有固定模板供客户选择。通过Kafka外送发送日志的格式可以根据实际的情况进行调整。 1.登录API安全网关。 2.在左侧导航栏选择“通知外送 > 日志外送”，进入Kafka页签。 3.在“外送接口”区域，单击“新增”按钮，开始新增Kafka外送接口。 配置项 说明 名称 日志外送接口的名称。必须为中文字符、字母、数字、“”、“.”或“”，长度不超过 64 字符。 Kafka节点地址 Kafka服务器的IP（域名）及端口号。例如：192.168.0.1:9200。 Kafka主题 消息投放到Kafka服务器的主题。 Kafka分区 消息投放到的Kafka服务器的分区。Kafka服务器通过主题（topic）、分区（partition）和消费组（consumergroup）三个概念灵活适应各种消息场合，通过提升硬件资源利用率提高系统吞吐量。 以上Kafka相关配置与服务器端保持一致即可。 审计日志模板 设置发送审计日志的模板，具体字段请依据填写说明编辑。 操作日志模板 设置发送操作日志的模板，具体字段请依据填写说明编辑。 告警日志模板 设置发送告警日志的模板，具体字段请依据填写说明编辑。 流量控制日志模板 设置发送流量控制日志的模板，具体字段请依据填写说明编辑。 4.配置完成后，选择“外送任务”，开始新增Kafka外送任务。 配置项 说明 任务名称 日志外送任务的名称。必须为中文字符、字母、数字、“”、“.”或“”，长度不超过 64 字符。 日志类型 审计日志、操作日志、告警日志、流量控制日志 外送接口 选择维护好的外送接口 满足条件协议 默认全部

本章节为您介绍安全运维相关的内容。 安全运维是对运维人员进行精细化访问控制的模块，包括运维人员管理、数据库账号管理、运维权限管理、实名认证、运维审批等功能。 数据库账号 数据库账号是指访问数据库资产的原始账号。数据库账号模块主要负责管理和配置数据库账号，用户可以创建新的数据库账号，并填写相关信息如资产、数据库类型、账号和密码。同时支持部分数据库类型的密码桥功能，可以通过开启密码桥开关来设置密码桥账号。 说明 目前支持密码桥功能的数据库有：MySQL、Oracle、MSSQL、PostgreSQL、DM、Kingbase、GBase、MariaDB、GaussDB、Greenplum、TiDB、GoldenDB、UXDB、Doris、HighGo、TeledbMySQL、TeledbPostgreSQL。 在左侧菜单栏选择“安全运维 > 数据库账号”进入数据库账号管理页面，您可以进行以下操作： 新增数据库账号：单击列表上方“新增”按钮，填写相关配置，单击“保存”。 配置项 说明 资产 下拉框选择当前系统内已添加的数据库资产。 数据库类型 选定资产后，该字段自动带出。 数据库账号 实现数据模糊化的算法。 密码 非必填项，填写数据库密码。若启用密码桥后，该字段则必填。 密码桥 支持启用或禁用。使用该账号作为密码桥账号。 说明 一个数据库资产有且仅能有一个密码桥账号。 测试连接 测试使用填写数据库账号密码是否能正确连接数据库。 编辑数据库账号：选择需要修改的数据库账号，单击条目右侧的“编辑”，按需修改后单击“保存”。 删除数据库账号：选择需要删除的数据库账号，单击条目右侧的“删除” ；勾选需要删除的数据库账号，单击列表下方的“删除”；在二次确认窗口中单击“确认” 。

本章节为您介绍系统统计报表相关功能。 数据资产分析 “数据资产分析”页面的功能是让用户知道自己有哪些资产，哪些资产更加敏感，哪些资产经常做数据脱敏等，刚进入本页面时，页面会展示系统自动更新过的数据。 数据安全专区会在每天凌晨自动更新数据。但是您也可以选择点击手动更新按钮来获得当前时间最新的数据。 1.使用系统管理员登录数据脱敏实例。 2.在左侧导航栏选择“系统统计报表 > 数据资产分析 ”，进入“数据资产分析”页面，即可查看数据资产情况。 本页信息一共展示了任务运行概述、数据源类型分布、数据源和schema粒度的敏感程度排名top10、敏感标签词云以及资产统计清单这些数据分析内容。 脱敏任务分析 “脱敏任务分析”页面的功能是让用户知道脱敏任务运行是否正常，整体任务运行质量如何（比如错误数的变化），任务调度分配是否合理等。 数据安全专区会实时更新本页面的大部分数据，其中任务属性是针对任务进行统计，任务运行是针对实例进行统计，而且脱敏任务分析只对结构化任务的数据进行分析。 1.使用系统管理员登录数据脱敏实例。 2.在左侧导航栏选择“系统统计报表 > 脱敏任务分析 ”，进入“脱敏任务分析”页面，即可查看脱敏任务分析情况。 说明 页面左侧可针对任务运行时间（即实例运行时间）进行搜索，包括最近7天（默认）、最近15天、最近30天和自定义。 页面都带“导出”功能，单击后可导出页面内容，支持PDF和HTML两种文件格式。

前置需求 开通天翼云云搜索服务OpenSearch实例，获取内网地址和实例密码。 准备好云主机环境用来部署Dify，需要和OpenSearch实例网络互通。 准备好Deepseek模型、Embedding向量模型、Rerank重排序模型。 安装好Docker环境。 RAG流程 1. 用户通过Dify对话。 2. 调用Embedding模型将查询向量化。 3. 使用OpenSearch分别对字段和向量进行全文检索和向量检索，通过Rerank模型来重排序，返回最终召回的文档。 4. 检索到的文档以及对话的上下文通过Deepseek大模型总结归纳生成详细准确的回复。 步骤一：部署Dify 本文以云主机自建Dify为例，讲述搭建应用的操作步骤： 1. 克隆Dify的源码到云主机上，以下以v1.3.0为例。 2. 进入dify源码的docker目录 plaintext cd dify/docker 3. 拷贝文件 plaintext cp dockercompose.yaml dockercompose.yaml.bak cp .env.example .env 4. 修改.env文件 plaintext vim .env 使用opensearch作为全文检索库和向量检索库，将VECTORSTORE的值修改为opensearch plaintext VECTORSTOREopensearch 根据以下表格配置OpenSearch实例的相关信息 参数 含义 OPENSEARCHHOST OpenSearch的内网地址 OPENSEARCHPORT 端口号，云搜索服务默认9200 OPENSEARCHUSER 用户默认admin OPENSEARCHPASSWORD OpenSearch实例的密码 OPENSEARCHSECURE OpenSearch实例为https模型则设置为true，http则设置为false plaintext OPENSEARCHHOSTip OPENSEARCHPORT9200 OPENSEARCHUSERadmin OPENSEARCHPASSWORD OPENSEARCHSECUREtrue 5. 修改dockercompose文件。 plaintext vim dockercompose.yaml 为防止拉取公网镜像，将镜像名为opensearch和opensearchdashboards部分的配置注释掉。 plaintext

开通的功能模块删除时失败是什么原因？ 删除失败会有多种情况，具体可以根据报错提示来判断失败的原因。 比如已配置纳管的资源在故障演练中，或者在应用管理中，此时做容灾中心或者命名空间的删除，都是不允许的。 绑定命名空间的容灾管理中心，是否可以更改命名空间？ 命名空间与容灾管理中心是一对一的关系，二者不可更换绑定关系。 容灾管理里绑定的实例可以解绑后绑定到其他容灾管理中心。 创建多活实例后实例状态显示为“创建异常”可能是什么原因？ 通常情况下，容灾管理创建失败，在实例状态栏的“？”处会标明失败的原因，将鼠标悬停于“？”标识上，可查看更详细的失败原因说明。 若仅提示创建失败，没有标注具体原因，请联系客服提单处理。 新创建的MySQL监控器监控状态异常怎么处理？ 容灾管理平台通过纳管用户的云资产对其构建容灾业务架构，所有资产用户均可到对应的云管控制台进行操作和查看。 因此，对于容灾管理平台查不到的异常状态原因，可到MySQL控制台进行查看。 MDR同城主备的容灾管理创建失败，错误信息“云主机 XX 添加到保护组失败，请检查云主机状态是否正常、规格是否满足条件或是否已添加到其他保护组中”，怎么解决？ 该云主机已经存在于某保护组中，在MDR的容灾管理中没有发现，此时可能该云主机所所属的保护组已经没有在MDR侧纳管，用户可在【控制中心>云容灾】产品控制台侧检查，注销后在MDR侧重新尝试。

本页介绍天翼云TeleDB数据库规划器方法配置相关参数。 这些配置参数影响查询优化器选择查询计划的暴力方法。如果优化器为一个特定查询选择的默认计划不是最优的，一种临时解决方案是使用这些配置参数之一来强制优化器选择一个不同的计划。提高优化器选择的计划质量的更好的方式包括调整规划器的代价常数、手工运行ANALYZE、增加defaultstatisticstarget配置参数的值以及使用ALTER TABLE SET STATISTICS增加为特定列收集的统计信息量。 enablebitmapscan (boolean) 允许或禁止查询规划器使用位图扫描计划类型。默认值是on。 enablegathermerge (boolean) 启用或禁用查询规划程序对收集合并计划类型的使用。默认值是on。 enablehashagg (boolean) 允许或禁用查询规划器使用哈希聚集计划类型。默认值是on。 enablehashjoin (boolean) 允许或禁止查询规划器使用哈希连接计划类型。默认值是on。 enableindexscan (boolean) 允许或禁止查询规划器使用索引扫描计划类型。默认值是on。 enableindexonlyscan (boolean) 允许或禁止查询规划器使用只用索引扫描计划类型。默认值是on。 enablematerial (boolean) 允许或者禁止查询规划器使用物化。它不可能完全禁用物化，但是关闭这个变量将阻止规划器插入物化节点，除非为了保证正确性。默认值是on。 enablemergejoin (boolean) 允许或禁止查询规划器使用归并连接计划类型。默认值是on。 enablenestloop (boolean) 允许或禁止查询规划器使用嵌套循环连接计划。它不可能完全禁止嵌套循环连接，但是关闭这个变量将使得规划器尽可能优先使用其他方法。默认值是on。

接口介绍 浏览器在发送跨域请求之前会发送一个preflight请求（Options）给对象存储，并带上特定的来源域、HTTP方法和Header等信息，以决定是否发送真正的请求。Options请求是由浏览器自动根据是否跨域来决定是否发送。 接口约束 无 请求URI OPTIONS /v1/{bucket}/{objectName} 路径参数 参数 是否必填 参数类型 说明 示例 bucket 是 String 桶名称 testBucket objectName 是 String 预检查的对象名 test Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 Origin 是 String 请求来源域，用于标识跨域请求。在实际请求中只能设置一个该请求头。 AccessControlRequestMethod 是 String 在实际请求中会用到的方法。在实际请求中只能设置一个该请求头。 POST AccessControlRequestHeaders 否 String 在实际请求中会用到的请求头。 test1 请求体body参数 无 响应参数 响应头参数 参数 参数类型 说明 示例 下级对象 AccessControlAllowOrigin String 请求中包含的Origin。如果不允许该请求，则响应头不包含该头部。 AccessControlAllowMethods String 允许请求的HTTP方法。如果不允许该请求，则响应头不包含该头部。 PUT AccessControlAllowHeaders String 允许请求携带的header的列表。如果请求中有不被允许的header，则不包含该头部，请求也将被拒绝。 test1 AccessControlExposeHeaders String 允许在客户端JavaScript程序中访问的headers的列表，只有在设置跨域的时候传入ExposeHeader参数，此处才会返回。 test2 AccessControlMaxAge Integer 允许浏览器缓存preflight结果的时间，单位为秒。 100

本页介绍天翼云TeleDB数据库冷热数据分离前的准备工作。 创建FOREIGN DATA WRAPPER teledb CREATE FOREIGN DATA WRAPPER datalakefdw HANDLER datalakefdwhandler VALIDATOR datalakefdwvalidator; CREATE FOREIGN DATA WRAPPER FOREIGN DATA WRAPPER名字可以自行设置。 创建成功的FOREIGN DATA WRAPPER可以通过查看系统表pgforeigndatawrapper是否存在。 teledb select from pgforeigndatawrapper; fdwname fdwowner fdwhandler fdwvalidator fdwacl fdwoptions +++++ datalakefdw 10 16578 16579 (1 row) 创建FOREIGN SERVER teledb CREATE SERVER minioforeignserver teledb FOREIGN DATA WRAPPER datalakefdw teledb OPTIONS (host 'XXX', protocol 'minio', isvirtual 'false', teledb( ishttps 'false'); CREATE SERVER host：对象存储的endpoint，或者控制台的ip地址加端口，例如192.168.20.15:3421。 protocol：对象存储的协议名称，可以为minio等。 isvritual：按照virutalhoststyle 还是 pathhoststyle 的方式来解析对象存储的主机，true为virutalhoststyle。 Ishttps：是否使用https协议。 创建成功的FOREIGN SERVER可以通过查看系统表pgforeignserver是否存在。 teledb select from pgforeignserver; srvname srvowner srvfdw srvtype srvversion srvacl srvoptions ++++++ minioforeignserver 10 16582 {hostXXX,protocolminio,isvirtualfalse,ishttpsfalse} (1 row) 创建USER MAPPING teledb CREATE USER MAPPING FOR XXX SERVER minioforeignserver OPTIONS (user 'XXX', accesskey 'XXXXXXXXXXXXX', secretkey 'XXXXXXXXXX'); CREATE USER MAPPING User：对象存储服务用户名（如有）。 Accesskey：对象存储服务accesskey。 Secretkey：对象存储服务secretkey。 创建成功的USERMAPPING可以通过查看系统表pgusermapping是否存在。 teledb

使用方式 支持的使用方式 参考文档 控制台 点击对象详情，之后点击复制文件URL。 SDK 媒体存储支持多种语言SDK，请从SDK概览页面选择进入对应的开发指南查阅。 XstorBrowser 可参考：分享文件或文件夹。 复制对象 通过复制对象，用户可以在其他存储路径下创建需要复制对象的副本或进行重命名操作。对于复制操作，推荐选择小于5GB的对象进行操作。 如果用户希望将对象自动复制到其他存储区域，可通过存储桶复制功能完成操作。 使用说明 在存储桶未开启多版本的情况下，执行复制对象操作将对象object1复制为object2，若对象object2已经存在，复制操作执行之后旧的对象object2会被复制的对象object2所覆盖，复制过程中源对象object1无任何变化。 为避免因执行复制对象而导致数据误删除，请确保目标对象不存在或者已无需使用。 使用方式 操作途径 使用方式 SDK 媒体存储支持多种语言SDK，请从SDK概览页面选择进入对应的开发指南查阅。 原生接口 可参考：复制对象。 XstorBrowser 可参考：复制文件或文件夹。 碎片管理 在分片上传对象过程中，如人为中断上传任务、本地设备断电等特殊情况导致数据上传失败，则会产生一些不完整的数据，这些不完整的数据即为碎片。 碎片会占用存储空间，会按照存储空间计费项进行计费，因此用户可以继续运行中断或失败的上传任务来消除碎片，或直接将碎片删除。

本文将从CC攻击的含义以及Web应用防火墙（边缘云版）提供的防护能力来介绍CC安全防护功能。 功能介绍 CC防护根据访问者的URL，频率、行为等访问特征，智能识别CC攻击，迅速识别CC攻击并进行拦截，在大规模CC攻击时可以避免源站资源耗尽，保证企业网站的正常访问。 什么是CC攻击？ CC攻击是一种恶意网络攻击，旨在通过向目标服务器发送大量的请求，超过其处理能力，从而使其无法正常工作或服务受到严重影响。 前提条件 已开通Web应用防火墙（边缘云版）。 已新增域名并成功接入WAF，具体操作请见WAF接入。 开通套餐为标准版及以上版本，支持使用CC防护功能。 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台。 2. 在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入安全配置页面。 3. 进入“CC配置”页面，可以配置CC防护策略。 配置说明 配置项 说明 CC防护 CC防护的功能开关 CC防护模式 1、【CC防护模式】设置为阈值，则域名访问达到防护条件时进行防护 2、【CC防护模式】设置为长久，则域名的每次访问都进行防护校验 阈值 即厨房防护动作的阈值，当统计频率内达到设定的阈值，将触发防护 统计频率 即设定时长内达到防护阈值，将触发防护。满足防护时长后，将重新开始计算统计频率 防护时长 即触发防护后的持续防护时间 在【统计周期】内达到【阈值】则接下来【防护时长】内符合条件的请求均进行防护校验。

本节主要介绍产品功能 应用监控 应用监控是针对资源和应用的监控，通过应用监控您可以及时了解应用的资源使用情况、趋势和告警，使用这些信息，您可以快速响应，保证应用流畅运行。 应用监控是逐层下钻设计，层次关系为：应用列表>应用详情>组件详情>实例详情>容器详情>进程详情。即在应用监控中，将应用、组件、实例、容器、进程做了层层关联，在界面上就可以直接得知各层关系。 主机监控 主机监控是针对主机的监控，通过主机监控您可以及时了解主机的资源使用情况、趋势和告警，使用这些信息，您可以快速响应，保证主机流畅运行。 主机监控的设计类似应用监控，主机的层级关系为：主机列表>主机详情。详情页面包含了当前主机上所发现的所有实例，显卡，网卡，磁盘，文件系统和告警。 应用自动发现 您在主机上部署应用后，在主机上安装的ICAgent将自动收集应用信息，包括进程名称，组件名称，容器名称，Kubernetes pod名称等，自动发现的应用在界面上以图形化方式展示，支持您自定义别名和分组对资源进行管理 仪表盘 通过仪表盘可将不同图表展示到同一个屏幕上，通过不同的仪表形式来展示资源数据，例如，曲线图、数字图等，进而全面、深入地掌握监控数据。 例如，可将重要资源的关键指标添加到仪表盘中，从而实时地进行监控。还可将不同资源的同一指标展示到同一个图形界面上进行对比。另外，对于例行运维需要查看的指标，可添加到仪表盘中，以便再次打开AOM时无需重新选择指标就可进行例行检查任务。

本章节主要介绍如何添加路由。 操作场景 路由即路由规则，在路由中通过配置目的地址、下一跳类型、下一跳地址等信息，来决定网络流量的走向。路由分为系统路由和自定义路由。 增强型跨源连接创建后，子网会自动关联系统默认路由。除了系统默认路由，您可以根据需要添加自定义路由规则，将指向目的地址的流量转发到指定的下一跳地址。 创建增强型跨源时的路由表是数据源子网关联的路由表。 添加路由信息页的路由是弹性资源池子网关联的路由表中的路由。 数据源子网与弹性资源池所在子网为不同的子网，否则会造成网段冲突。 操作步骤 1. 登录DLI管理控制台。 2. 在左侧导航栏中，选择“跨源管理 > 增强型跨源 ”。 3. 选择待添加路由的增强型跨源连接，并添加路由。 方法一： a. 选择待添加的增强型跨源连接，单击操作列的“路由信息”。 b. 单击“添加路由”。 c. 在添加路由的对话框中，填写路由信息。参数说明请参考下表。 d. 单击“确定”。 方法二： a. 选择待添加的增强型跨源连接，单击操作列的“更多 > 添加路由”。 b. 在添加路由的对话框中，填写路由信息。参数说明请参考下表。 c. 单击“确定”。 自定义路由详情列表参数 参数 参数说明 路由名称 自定义路由的名称，在同一个增强型跨源中唯一。名称规则为：长度1~64字节，数字、字母、下划线（""）、中划线（""）组成。 路由IP 自定义路由网段，允许不同路由的网段之间有交集，但不允许完全相同。 4. 添加路由信息后，您可以在路由详情页查看添加的路由信息。

本章节主要介绍DataArts Studio的获取Rest Client算子返回值操作。 Rest Client算子可以执行RESTful请求。 本教程主要介绍如何获取Rest Client的返回值，包含以下两个使用场景举例。 通过“响应消息体解析为传递参数定义”获取返回值。 通过EL表达式获取返回值。 通过“响应消息体解析为传递参数定义”获取返回值 如下图所示，第一个Rest Client调用了MRS服务查询集群列表的API，下图为API返回值的JSON消息体。 使用场景：需要获取集群列表中第一个集群的cluster Id，然后作为参数传递给后面的节点使用。 关键配置：在第一个Rest Client的“响应消息体解析为传递参数定义”配置中，配置clusterIdclusters[0].clusterId，后续的Rest Client节点就可以用${clusterId}的方式引用到集群列表中的第一个集群的cluster Id。 Rest Clien作业样例1 JSON消息体 通过EL表达式获取返回值 Rest Client算子可与EL表达式相配合，根据具体的场景选择不同的EL表达式来实现更丰富的用法。您可以参考本教程，根据您的实际业务需要，开发您自己的作业。EL表达式用法可参考表达式概述。 如下图所示，Rest Client调用了MRS服务查询集群列表的API，然后执行Kafka Client发送消息。 使用场景：Kafka Client发送字符串消息，消息内容为集群列表中第一个集群的cluster Id。 关键配置：在Kafka Client中使用如下EL表达式获取Rest API返回消息体中的特定字段：

本章节主要介绍数据湖探索如何对Flink模板管理。 Flink模板包括样例模板和自定义模板。用户可以在已有的样例模板中进行修改，来实现实际的作业逻辑需求，节约编辑SQL语句的时间。也可以根据自己的习惯和方法自定义作业模板，方便后续可以直接调用或修改。 Flink模板管理主要包括如下功能： Flink SQL样例模板 自定义模板 新建模板 基于模板新建作业 修改模板 删除模板 Flink SQL样例模板 Flink SQL样例模板列表显示已有的Flink SQL样例作业模板，Flink SQL样例模板列表参数说明如下表所示。 已有样例模板的具体场景以控制台为准。 Flink SQL样例模板列表参数 参数 参数说明 名称 模板名称，只能由英文、中文、数字、中划线和下划线组成，并且长度为1～64个字符。 描述 模板的相关描述，且长度为0～512个字符。 操作 “创建作业”：直接在该模板下创建作业，创建完后，系统跳转到“作业管理”下的作业编辑页面。 自定义模板 自定义模板列表显示所有的jar作业模板，自定义模板列表参数说明如下表所示。 自定义模板列表参数 参数 参数说明 名称 模板名称，只能由英文、中文、数字、中划线和下划线组成，并且长度为1～64个字符。 描述 模板的相关描述，且长度为0～512个字符。 创建时间 创建模板的时间。 更新时间 最后修改模板的时间。 操作 “编辑”：对已经创建好的模板进行修改。 “创建作业”：直接在该模板下创建作业，创建完后，系统跳转到“作业管理”下的作业编辑页面。 更多： − “删除”：将已经创建的模板删除。

本文主要介绍 管理共享磁盘 如何使用VBD和SCSI共享磁盘？ 您可以创建VBD类型的共享磁盘和SCSI类型的共享磁盘。建议将共享磁盘挂载至位于同一个反亲和性云主机组内的ECS，以提高业务可靠。 VBD类型的共享磁盘：创建的共享磁盘默认为VBD类型，该类型磁盘可提供虚拟块存储设备，不支持SCSI锁。当您部署的应用需要使用SCSI锁时，则需要创建SCSI类型的共享磁盘。 SCSI类型的共享磁盘：SCSI类型的共享磁盘支持SCSI锁。 说明 为了提升数据的安全性，建议您结合云主机组的反亲和性一同使用SCSI锁，即将SCSI类型的共享磁盘挂载给同一个反亲和性云主机组内的ECS。 如果ECS不属于任何一个反亲和性云主机组，则不建议您为该ECS挂载SCSI类型的共享磁盘，否则SCSI锁无法正常使用并且则会导致您的数据存在风险。 反亲和性和SCSI锁的相关概念： 云主机组的反亲和性：ECS在创建时，将会分散地创建在不同的物理主机上，从而提高业务的可靠性。 SCSI锁的实现机制：通过SCSI Reservation命令来进行SCSI锁的操作。如果一台ECS给磁盘传输了一条SCSI Reservation命令，则这个磁盘对于其他ECS就处于锁定状态，避免了多台ECS同时对磁盘执行读写操作而导致的数据损坏。 云主机组和SCSI锁的关系：同一个磁盘的SCSI锁无法区分单个物理主机上的多台ECS，因此只有当ECS位于不同物理主机上时才可以支持SCSI锁，因此建议您结合云主机组的反亲和性一起使用SCSI锁命令。

设置开机自动挂载磁盘分区 您可以通过配置fstab文件，设置云主机系统启动时自动挂载磁盘分区。已有数据的云主机也可以进行设置，该操作不会影响现有数据。 本文介绍如何在fstab文件中使用UUID来设置自动挂载磁盘分区。不建议采用在“/etc/fstab”直接指定设备名（比如/dev/vdb1）的方法，因为云中设备的顺序编码在关闭或者开启云主机过程中可能发生改变，例如/dev/vdb1可能会变成/dev/vdb2，可能会导致云主机重启后不能正常运行。 说明 UUID（universally unique identifier）是Linux系统为磁盘分区提供的唯一的标识字符串。 步骤1 执行如下命令，查询磁盘分区的UUID。 blkid 磁盘分区 以查询磁盘分区“/dev/vdb1”的UUID为例： blkid /dev/vdb1 回显类似如下信息： plaintext [root@ecstest0001 ~] blkid /dev/vdb1 /dev/vdb1: UUID"0b3040e213674abb841dddb0b92693df" TYPE"ext4" 表示“/dev/vdb1”的UUID。 步骤2 执行以下命令，使用VI编辑器打开“fstab”文件。 vi /etc/fstab 步骤3 按“i”，进入编辑模式。 步骤4 将光标移至文件末尾，按“Enter”，添加如下内容。 plaintext UUID0b3040e213674abb841dddb0b92693df /mnt/sdc ext4 defaults 0 2 步骤5 按“ESC”后，输入“:wq”，按“Enter”。 保存设置并退出编辑器。 步骤6 执行以下步骤，验证自动挂载功能。 1. 执行如下命令，卸载已挂载的分区。 umount 磁盘分区 命令示例： umount /dev/vdb1 2. 执行如下命令，将“/etc/fstab”文件所有内容重新加载。 mount a 3. 执行如下命令，查询文件系统挂载信息。 mount grep 挂载目录 命令示例： mount grep /mnt/sdc 回显类似如下信息，说明自动挂载功能生效： plaintext root@ecstest0001 ~]

如果您需要对天翼云上购买的存储容灾服务（Storage Disaster Recovery Service）资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制天翼云资源的访问。 通过IAM，您可以在天翼云帐号中给员工创建IAM用户，并使用策略来控制他们对天翼云资源的访问范围。 如果天翼云帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用SDRS的其它功能。 IAM是天翼云提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。关于IAM的详细介绍，请参见IAM产品帮助中心。 SDRS系统策略 策略是以JSON格式描述权限集的语言。默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得策略定义的权限，这一过程称为授权。授权后，用户就可以基于策略对云服务进行操作。IAM系统预置了各服务的常用权限，例如管理员权限、只读权限，您可以直接使用这些系统策略。 SDRS部署时通过物理区域划分，为项目级服务，需要在各区域（如江苏苏州）对应的项目（cnjssz1）中设置策略，并且该策略仅对此项目生效，如果需要所有区域都生效，则需要在所有项目都设置策略。访问SDRS时，需要先切换至授权区域。

本章节介绍如何对DRDS读写分离操作指导 DRDS读写分离功能可以将只读查询的流量按比例分摊至下挂存储节点的主实例和只读实例，从而减轻主实例的工作负担，保障读写事务的性能。此功能对应用透明，业务代码无需改造，只需要在控制台上设置主实例和只读实例的读权重，即可实现将读流量按照权重分流到主实例和只读实例上，写流量不受影响，默认会分流到主实例上。一般来说该比例的设置需结合业务实际特点以及存储节点实际负载进行设置。 只读实例上的数据是从主实例上异步复制而来，所以存在毫秒级的延迟。如果只读查询对数据实时性要求不高（容忍亚秒级可见性延迟）且只读查询的开销较大并对业务核心读写事务有一定影响，设置主实例和只读实例的权重为0:100，即所有只读查询均由只读实例承担，最大程度保证主实例性能。对于其他场景，建议结合实际情况酌情调整。 使用须知 DRDS内核版本大于等于3.1.0版本时，需要手动开启读写分离，然后调整只读实例和主实例的读写权重来实现读写分离操作。 如果DRDS内核版本小于3.1.0版本，系统默认开启读写分离，只需要调整只读实例和主实例的读写权重即可以实现读写分离操作。 若select语句带有hint或者在事务中做了数据修改的select语句，读请求都会下发主实例执行。 如果存储节点主实例故障，此时只读实例上SecondsBehindMasterNULL，只读查询仍会下发到主实例执行，需要尽快恢复主实例。