本文带您规避Intel处理器芯片存在的Meltdown和Spectre安全漏洞可能带来的问题。 问题描述 2018年1月3日，Intel处理器芯片被曝出存在严重的Meltdown和Spectre安全漏洞，漏洞详情如下： 漏洞名称：Intel处理器存在严重芯片级漏洞 漏洞编号：CVE20175753、CVE20175715、CVE20175754 漏洞级别：严重 漏洞描述：攻击者可以利用Meltdown （CVE20175754） 和Spectre （CVE20175715/CVE20175753） 绕过内存安全隔离机制，越权访问操作系统和其他程序的核心数据，造成敏感信息泄露。 问题影响 该漏洞不会引起不同弹性云主机之间的攻击，但可能会引起如下问题： 弹性云主机内多个应用之间，可能存在攻击。 对于同一弹性云主机，多个帐号之间可能存在攻击。 使用公共镜像的弹性云主机，云平台会对公共镜像依次修复，不会对您的业务带来影响。 使用私有镜像的弹性云主机，请根据漏洞影响评估是否更新补丁，以规避风险，更新补丁的具体操作请参见本节内容。 前提条件 为避免发生意外，修复漏洞前，建议进行充分测试，并完成弹性云主机的数据备份操作，避免发生意外。 Windows弹性云主机处理方法 1. 登录弹性云主机。 2. 更新补丁。 方式一：使用Windows自动更新功能安装补丁。 a. 打开Windows Update，并单击“检查更新”。 b. 根据需要下载安装相关安全补丁。 方式二：手动下载补丁并安装。 下载官方发布的补丁进行安装，如KB4078130。 3. 重启弹性云主机，使补丁生效。 4. 验证是否升级成功。 a. 检查系统运行情况是否正常。 b. 检查已安装的补丁清单是否满足微软官方的要求。

本文主要介绍使用VNC Viewer连接linux轻量型云主机。 实践场景 用户可通过控制面板登录轻量型云主机，也可以在本地电脑通过SSH的连接方式连接到虚机。一般来说，SSH的登录环境都是命令行界面，这对于一部分不熟悉使用命令行界面或者需要进行一些较为复杂操作的用户不是很方便，需要使用图形化界面。通过安装VNC Viewer可以实现这个目的，本文将通过Ubuntu 18.04操作系统的轻量型云主机，为您介绍如何安装VNC Server，并通过VNC Viewer连接轻量型云主机。 准备工作 需要先在天翼云官网创建一台轻量型云主机，创建时的操作系统选择为Ubuntu 18.04。 本地电脑已安装了VNC Viewer客户端，您可通过对应官网下载获取VNC Viewer的客户端。 操作步骤 安装VNC Server 默认情况下，Ubuntu 18.04操作系统没有安装图形环境或VNC Server。本示例中，桌面环境使用Xfce，它是一个精简的轻量化桌面，与Gnome和KDE相比更小巧，并且界面美观、对用户友好，适合轻量型云主机远程连接场景下使用。 1. 登录轻量型云主机控制台，点击“远程登录”操作功能，登录VNC界面。依次在命令行中敲入： 用户名：root（默认）。 密码：用户创建时设置的密码。 2. 安装图形化界面及VNC Server。天翼云平台提供的系统镜像内一般未预装图像化界面及图形化桌面，所以需要用户自行进行安装。本文将采用Xfce桌面环境，及TightVNC，TightVNC时一款远程桌面应用程序。 更新可安装列表，输入命令： sudo apt update 安装软件，依次输入以下命令： sudo apt install xfce4 xfce4goodies sudo apt install tightvncserver

本文主要介绍什么是负载均衡器。 负载均衡器是指您创建的承载业务的负载均衡服务实体。创建负载均衡器后，您还需要在负载均衡器中添加监听器和后端主机，然后才能使用负载均衡服务提供的功能。 按照网络类型分类，负载均衡器分为公网负载均衡器和私网负载均衡器。 公网负载均衡器 ：负责处理来自公网访问请求分发的负载均衡实体。 公网负载均衡器接收公网的访问请求，然后向绑定了监听器的后端主机分发这些请求。创建公网负载均衡器时，需要为负载均衡器创建EIP或者绑定已有的EIP 。 使用场景 需要通过主机集群对公网提供服务，且需要统一的入口，并将公网用户请求合理地分配到主机集群时。 需要对主机集群做故障容错和故障恢复时。 私网 负载均衡器 ：负责处理来自弹性负载均衡同一个VPC内访问请求的负载均衡实体。 私网负载均衡器由于没有公网域名和EIP，所以只能在VPC内部被访问，不能被Internet的公网用户访问。私网负载均衡通过使用私有IP将来自同一个VPC内的访问请求分发到后端主机上，通常用于内部服务集群。 使用场景 私网负载均衡的客户端和主机端均在云平台内部，通过VPC内网访问，主要场景如下： 当内部主机端有多台，需要将客户端请求合理地分发到各台主机时； 当需要对内部主机集群做故障容错和故障恢复时； 当用户想对外屏蔽自己的物理IP地址，对客户端提供透明化的服务时；

T6型弹性云主机的CPU积分 初始积分：1台t6云主机在创建成功后，会分到云平台分配的CPU积分，即初始CPU积分。初始CPU积分仅在创建时分配。 示例：以t6.large.1为例，云主机创建成功后，会分配60个CPU积分。 最大积分：当分配积分大于消耗积分时，CPU积分会越来越多。获得的积分在运行的云主机上不会过期，但每个云主机可累积获取的积分数存在上限，即CPU积分累积上限。不同的云主机规格，上限不同。 示例：以t6.large.1为例，最大CPU积分余额为576。当CPU积分达到576，CPU积分暂停累积，少于576时，重新开始累积。 CPU积分/小时：每小时云主机获取的CPU积分，与基准CPU计算性能对应。1个vCPU计算性能100%时，运行1分钟 ，消耗1个积分。 示例：以t6.large.1为例，CPU积分/小时为24，代表CPU积分分配速度为每小时24个CPU积分。 了解更多CPU计算方法请参考CPU积分计算方法。 表 T6型弹性云主机的CPU积分 规格名称 初始积分 最大积分 CPU积分/小时 t6.small.1 30 144 6 t6.large.1 60 576 24 t6.xlarge.1 120 1152 48 t6.2xlarge.1 120 1728 72 t6.4xlarge.1 160 3456 144 t6.medium.2 30 144 6 t6.large.2 60 576 24 t6.xlarge.2 120 1152 48 t6.2xlarge.2 120 1728 72 t6.4xlarge.2 160 3456 144 t6.large.4 60 576 24 t6.xlarge.4 120 1152 48 t6.2xlarge.4 120 1728 72

本节主要介绍标签管理。 操作场景 标签管理服务（Tag Management Service，简称TMS）用于用户在云平台，通过统一的标签管理各种资源。标签管理服务与各服务共同实现标签管理能力，标签管理服务提供全局标签管理能力，各服务维护自身标签管理 。 为GeminiDB Influx的实例添加标签，可以方便用户识别和管理拥有的GeminiDB Influx资源。您可以在创建实例时添加标签，也可以在实例创建完成后，在实例详情页添加标签。 标签添加成功后，您可以通过搜索标签键或值，快速查询关联的资源信息。 使用须知 建议您先在标签管理服务系统中设置预定义标签。 标签由“键”和“值”组成，每个标签中的一个“键”只能对应一个“值”。关于标签键和标签值的命名规则，请参见表1。 每个实例默认最多支持10个标签配额，如果您需要使用更多标签，可以联系客服申请至20个标签配额。 标签命名需要满足表1规则。 表1 命名规则 参数 规则 示例 标签键 不能为空。 对于每个实例，每个标签的键唯一。 长度不超过36个字符。 只能包含数字、英文字母、下划线、中划线和中文。 Organization 标签值 可以为空。 长度不超过43个字符。 只能包含数字、英文字母、下划线、点、中划线和中文。 nosql01 添加标签 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择目标实例，单击实例名称，进入“基本信息”页面。 4. 在左侧导航树，单击“标签”。 5. 在“标签”页面，单击“添加标签”，在弹出框中，输入标签键和标签值，单击“确定”。 6. 添加成功后，您可在当前实例的所有关联的标签集合中，查询并管理自己的标签。

本小节为云防火墙计费类常见问题。 云防火墙如何收费和计费？ 云防火墙标准版支持包年/包月（预付费）计费方式。 标准版支持扩容防护公网IP数和互联网边界流量峰值。 专业版支持扩容防护公网IP数、互联网边界流量峰值和防护VPC数。 有关CFW详细的计费说明，请参见计费说明。 有关CFW各版本差异，请参见服务版本差异。 云防火墙如何变更版本规格？ 云防火墙，支持标准版升级到专业版，不支持专业版变更到标准版。如需降低版本规格，需退订当前版本后再进行购买。 有关退订CFW的详细操作，请参见如何退订云防火墙？。 从标准版升级到专业版 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在页面左上角，单击“升级到专业版”，进入“购买云防火墙”页面。 5. 确认版本规格后，单击“立即购买”。 如何为云防火墙续费？ 该任务指导用户如何在云防火墙即将到期时进行续费。续费后，用户可以继续使用云防火墙。 购买的服务版本到期前，系统会以短信或邮件的形式提醒您服务即将到期，并提醒您续费。 购买的服务版本到期后，如果没有按时续费，云平台提供一定的保留期。 说明 为了防止造成不必要的损失，请您及时续费。

本文介绍云防火墙CFW服务在使用过程中的约束和限制。 CFW使用限制 仅支持对部署在云平台内的业务提供防护，不支持跨云使用。 支持弹性公网IP EIP的流量防护，不支持全域公网带宽GEIP、API网关APIG绑定的EIP的流量防护。 VPC边界流量防护功能依赖企业路由器ER服务引流，使用该功能时，需确保账号下至少有一个企业路由器。 云防火墙不支持防护中文域名。 防护策略配额限制 防护规则 一个防火墙实例最多添加20000条防护规则。 黑白名单 一个防火墙实例最多添加2000条黑名单。 一个防火墙实例最多添加2000条白名单。 成员组 IP地址组 每个防火墙实例下最多添加3800个IP地址组。 每个IP地址组中最多添加640个IP地址成员。 每个防火墙实例下最多添加30000个IP地址。 服务组 每个防火墙实例下最多添加900个服务成员。 每个防火墙实例下最多添加512个服务组。 每个服务组中最多添加64个服务成员。 域名组 域名组中所有域名被“防护规则”引用最多40000次，泛域名（例如：.example.com）被“防护规则”引用最多2000次。 应用域名组（七层协议解析） 每个防火墙实例下最多添加500个域名组。 每个防火墙实例下最多添加2500个域名成员。 每个应用域名组中最多添加1500个域名成员。 网络域名组（四层协议解析） 每个防火墙实例下最多添加1000个域名成员。 每个网络域名组中最多添加15个域名成员。 每个域名组最多支持解析1500条IP地址。 每个域名最多支持解析1000条IP地址。

本文介绍如何创建集群。 集群是运行应用的逻辑分组，包含一组云主机资源，每个节点对应一台云主机。首次使用时，您需要创建一个初始集群，最低限度添加一个节点。本章节将演示如何快速创建一个容器集群。 操作前提 需要预先注册天翼云平台账号。 能够确保账户中有充足的余额，否则将导致您的业务开通失败。 在【创建集群】之前，请确保已完成VPC、子网的创建及安全组的配置，也可在创建集群过程中进行VPC和子网的创建。 操作步骤 1.登录天翼云控制台； 2.选择【控制台】>点击切换到具体资源池，如杭州2节点； 3.在控制台中找到【容器服务】>点击【容器引擎】，进入容器服务界面； 4.进入【总览】页面>单击【创建集群】按钮，进入集群创建界面； 5.输入集群名称 cluster1，其余参数保持默认。若未创建虚拟私有云和子网，请优先创建虚拟私有云%20%20%E8%A1%A5%E5%85%85%E6%9C%80%E4%BD%B3%E5%AE%9E%E8%B7%B5.docx

foreach 元参数 foreach 与 count 相似，可以同时创建多个配置相似的云资源。foreach 参数通过遍历一组集合，利用集合中每个元素为 resouce 块创建相应属性的实例，每个实例都会单独创建、更新或销毁。 foreach 利用字符串集合创建资源示例 java resource "ctyunmysqlaccount" "accountexamples" { foreach toset( ["Todd", "James", "Alice", "Dottie"] ) name each.key } foreach 利用 map 创建资源示例 java resource "ctyunvpc" "vpcexamples" { foreach { vpc1 "192.168.0.0/16" vpc2 "172.16.0.0/16" } name each.key cidr each.value } 上述示例出现了 each.key 和 each.value 两个属性，当 foreach 遍历的是集合，而并非 map 时，each.value each.key foreach 使用限制： map的键（或一组字符串的所有值）必须是已知值 foreach的 key 不能取 uuid、bcrypt 或 timestamp 这类函数的结果 foreach 不能取敏感值进行遍历 foreach 的引用： 利用 foreach 创建资源实例组后，Terraform 会区分块本身和与其关联的多个资源。实例由提供给 的值中的映射键（或集合成员）标识 foreach。 . （例如 ctyunvpc.vpcexamples）可以引用资源块。 . [KEY]（例如 ctyunvpc.vpcexamples["vpc1"]）可以引用个别实例 provider 利用 alias 参数可以支持云平台的多个region，用于提供多资源池，多场景高可用的需求。可以通过创建多个 provider 声明块实现。对于每个额外的非默认配置，请使用 alias 元参数提供额外的名称段。例如： java

禁止使用云产品向违法违规活动提供支持和帮助 禁止使用云产品（包括但不限于云主机、物理机、对象存储、CDN加速、域名等）搭建服务后，从事违法违规活动（如违法有害APP、网站等）或向违法违规活动提供技术支持和帮助。 禁止使用云产品从事虚拟货币相关活动 禁止使用云产品（包括但不限于云主机、物理机、云电脑等）运行恶意挖矿程序。 禁止使用云产品进行攻击 禁止利用云服务资源（包括但不限于ECS、CDN等云计算产品）用于发起网络攻击活动，或为上述攻击行为提供技术支持或服务协助。所涉违规行为包含且不限于：DDoS攻击、CC攻击、Web渗透攻击、密码暴力破解、DDoS控制服务运维、僵尸网络构建/操控、木马病毒传播、恶意文件分发等网络攻击相关活动。 禁止使用云产品搭建DDoS防御服务 禁止使用或利用云产品（产品包括但不限于OSS，DNS，ECS，SLB，EIP等）在云上搭建提供DDoS防御服务。 禁止未经报备的扫描、渗透测试等探测行为 禁止未经用户授权及天翼云报备对云产品及云上用户资产（包括但不限于各类云产品）进行扫描，渗透测试等探测行为（包括但不限于漏洞扫描，端口扫描，系统弱点探测，漏洞测试及验证、渗透测试等）。 禁止未经授权报备将云产品用作邮箱服务器或用于连接第三方邮箱服务器的行为 未经天翼云授权报备，不得将云产品（包括但不限于ECS，弹性Web托管等云计算产品）用作邮箱服务器或用于连接第三方邮箱服务器。 因客户使用天翼云产品导致天翼云IP被封禁，或影响天翼云平台和其他用户云上业务稳定运行，天翼云有权暂停、终止服务或限制账户、冻结资源等。

本文介绍接口加密内容。 1 如何启用加密功能 客户端发起请求时添加请求Header头，decryptedtrue 即可启用接口加密功能。 2 加密算法说明 该功能涉及到三种国密算法，分别为非对称加密SM2、对称加密SM4及特征码算法HmacSM3。 2.1 非对称加密SM2 类似RSA的非对称加密，用来加密客户生成的对称加密SM4密钥。SM2公钥在AI能力开放平台( 2.2 对称加密SM4 客户端自行生成128或者256位SM4密钥，采用BC包(BouncyCastle),格式为SM4/ECB/PKCS5Padding。 2.3 特征码算法HmacSM3 Hmac和SM3算法配合生成特征码串，防止接口被拦截篡改，生成特征码时的密钥需使用。 encryptedHashKey字段传递到服务端。 2.4 客户端加密步骤 1、从控制台获取公钥串，使用Base64解密获取公钥字节数组。 2、生成SM4对称密钥字节数组，使用第1步的公钥加密对称密钥，并使用Base64加密结果，填入ciphertextBlob字段。 3、使用第2步生成的对称密钥加密接口原版Body体JSON串，并使用Base64加密结果，填入encryptedBody字段。 4、生成Hmacsm3哈希密钥，使用公钥进行加密，并使用Base64加密结果，填encryptedHashKey字段。 5、使用Hmacsm3及第4步哈希密钥，提取ciphertextBlob字段特征码并使用Base64加密结果，填入ciphertextBlobHash字段。 6、使用Hmacsm3及第4步哈希密钥，提取encryptedBody字段特征码并使用Base64加密结果，填入encryptedBodyHash字段。

本章节介绍数据库安全如何安装Agent。 安装Agent后，您才能开启数据库安全审计功能，对待审计的数据库进行审计。 本节介绍如何在Linux系统上安装Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 已获取Linux操作系统Agent安装包。 安装Agent节点的运行系统满足Linux系统版本要求。 安装Agent 在您安装新版Agent的时候，需要您为当前安装的Agent自定义一个密码。 请您根据数据库类型以及数据库的部署环境，在相应节点上安装Agent。 1. 将下载的Agent安装包“xxx.tar.gz”上传到待安装Agent的节点（例如使用WinSCP工具）。 2. 使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录该节点。 3. 执行以下命令，进入Agent安装包“xxx.tar.gz”所在目录。cd Agent安装包所在目录 4. 执行以下命令，解压缩“xxx.tar.gz”安装包。tar xvf xxx.tar.gz 5. 执行以下命令，进入解压后的目录。cd解压后的目录 6. 执行以下命令，查看是否有安装脚本“install.sh”的执行权限。 7. 执行以下命令，安装Agent。sh install.sh。用户系统是Ubantu时，执行以下命令安装Agent。bash install.sh。界面回显以下信息，说明安装成功。否则，说明Agent安装失败。 start agent starting audit agent audit agent started start success install dbss audit agent done! 如果Agent安装失败，请您确认安装节点的运行系统是否满足Linux操作系统要求，并重新安装Agent。 8. 执行以下命令，查看Agent程序的运行状态。service auditagent status如果界面回显以下信息，说明Agent程序运行正常。audit agent is running.

前言 资源配额是允许用户对购买的专属集群资源按照自身业务实际情况进行资源划分的一种资源分配方式，凸显“专款专用”的理念。比如，用户可以基于作业类型维度将专属集群的资源进行划分：希望将专属集群的部分资源专门交给训练任务使用，因此可以创建一份资源配额专门交给训练任务使用；还可以基于用户公司部门/团队维度进行划分：将专属集群的部分资源交给A部门/团队使用，此时可以创建一份资源配额专供A部门/团队使用；总之，资源配额是将专属集群资源进行划分的一种方式。资源配额的使用需要结合工作空间一起使用，需要将资源配额与对应工作空间进行关联，这样在工作空间里进行相关作业(如任务训练、推理、开发机)时，就可以使用划分给工作空间的资源配额的资源。工作空间是息壤训推智算服务平台的顶层逻辑概念，为企业和团队提供统一的计算资源管理及人员权限管理能力，可以将工作空间类比成“办公室”，“办公室”就是员工工作的地方，允许有权进入“办公室”的人员进行相关作业(如任务训练、推理、开发机)，在“办公室”内作业时可以使用资源配额的资源，即资源配额的使用需要在关联的工作空间进行作业时才能使用。 创建资源配额 前置条件 1. 已购买专属集群(专属资源) 2. 当前账号为IAM管理员 操作步骤 1. 进入训推智算服务平台后，将集群切换为购买的专属集群，然后在【管理中心】打开【资源配额】菜单，点击【新增资源配额】按钮，打开【新增资源配额】页面。 2. 在【新增资源配额】页面，依次填写【基础信息】【资源配额】【算力借用】【调度策略】【关联工作空间】等模块内容。其中最重要的是【资源配额】【算力借用】【调度策略】【关联工作空间】四个模块，其介绍如下： 2.1资源配额：指的是分配给配额的资源量，由所属集群、负载类型、实例规格、实例数四个字段组成。 1. 所属集群：即用户购买的专属集群，数据来源于用户在训推智算服务平台顶部所选的专属集群。 2. 支持任务类型：即当前资源配额给哪些任务类型使用，目前有两大任务类型，分别是：IDE、自定义训练，若只选择自定义训练，则该资源配额只允许自定义训练可以使用，IDE不可使用该资源配额的资源。 3. 实例规格：选择资源配额的实例规格，由专属集群自身机器资源细分而来，分为1、2、4、8卡四种粒度的资源规格，如集群的资源为英伟达H800资源，则实例规格由H8001卡、H8002卡、H8004卡、H8008卡四种规格可选。 4. 即所选资源规格的数量，如实例规格选择的是H8002卡，实例数选择2，则资源配额总资源为H8004卡。注：实例规格选择的是H8002卡，实例数选择2和实例规格选择的是H8004卡，实例数选择1，其总资源是一样的，都是4张H800的GPU卡，此处的资源只代表资源配额的资源总量，提供不同的实例规格是为了更精细的分配资源配额的资源。例：实例规格选择的是H8002卡，实例数选择2，并不代表任务在使用该配额时，只能选择资源规格为H8002卡的资源，而是可以在不超过资源配额总资源4张H800 GPU卡的情况下自由选择，比如可以创建一个任务直接使用资源配额的全部资源H8004卡，也可以创建4个任务资源使用量为H8001卡的任务。 2.2算力借用：可以设置配额的权重、是否可以借用同一专属集群下其他配额的闲置资源以及是否允许别的配额借用自身的闲置资源。由资源配额权重、闲时算力借用、独享配额资源三个字段组成： 1. 资源配额权重：允许填入1100的整数，数字越大代表资源配额的重要性越高，同一集群下的资源配额权重不可重复。 2. 闲时算力借用：默认关闭 ，开启则代表允许使用当前资源配额的任务在资源配额所剩资源不足时，可以去借用同一专属集群下其他资源配额的闲置资源，从而保证任务优先运行，被借用资源的资源配额，在借用资源的任务运行完成后，被借用的资源会自动归还。若存在多个资源配额，则优先去借用资源配额权重低的资源配额的闲置资源。若资源配额权重较高建议开启此设置，开启后使用此资源配额运行的任务，在当前资源配额资源不足时，将不会排队等待已运行的任务运行完毕后释放资源配额的资源，而去借用其他配额的闲置资源，保证任务可以优先运行。注：可借用的最大资源量专属集群总资源专属集群未分配的资源(未分配给资源配额的资源)当前资源配额的资源。 3. 独享资源配额：独享资源配额是设置自身配额资源不被其他配额借用的开关，开启后则不允许别的配额来借用，关闭则允许别的配额借用，若需要保证资源配额的资源随时可用，不被其他配额借用资源，则建议开启此开关。 2.3调度策略：指的是当提交给资源配额的任务由于配额资源不够时导致任务排队时，排队任务的排队逻辑，目前仅有一个先进先出策略，先进先出策略是指：按照任务提交时间升序进行排队(提交时间最早的排在前)，如果队列中的第一个任务无法出队(配额剩余资源>第一个排队任务所需资源时就会出队，任务将会调度成功)，系统将反复尝试对第一个任务进行出队操作，而不会跳过。 2.4关联工作空间：只有关联工作空间后，资源配额才可以在对应的工作空间内使用，由管理员、关联工作空间两个字段组成。 1. 管理员：可以添加指定用户为管理员，管理员除了能使用资源以外，还能管理该资源配额，具体包含管理用户，编辑，更配、启动/停止、删除操作。 2. 关联工作空间：将该资源配额分配给指定工作空间，在该工作空间内进行作业时，可以使用该资源配额。

本节先简要介绍DeepSeek的基本信息以及模型微调的价值,接着详述了如何借助现有GPU云主机镜像开通云主机并微调DeepSeekR1DistillQwen7B模型,最后介绍了镜像的具体制作步骤。 DeepSeek简介 DeepSeek 是一个基于 Transformer 架构的大型语言模型（LLM），由深度求索（DeepSeek）公司开发。它能够处理自然语言理解、生成、翻译、问答等多种任务。DeepSeekR1 在后训练阶段大规模使用了强化学习技术，在仅有极少标注数据的情况下，极大提升了模型推理能力。在数学、代码、自然语言推理等任务上，性能比肩 OpenAI o1 正式版。 DeepSeek公司在开源 DeepSeekR1Zero 和 DeepSeekR1 两个参数量超过660B 模型的同时，通过 DeepSeekR1 的输出，蒸馏了 6 个小模型开源给社区，其中32B和70B模型在多项能力上实现了对标 OpenAI o1mini 的效果。 模型微调简介 大语言模型微调技术通过调整预训练模型参数，使其适应特定任务需求。其核心价值在于让通用的人工智能工具变得更“专业”和“实用”，就像把一个会做各种菜的厨师培训成专精川菜的大厨。它能让企业用较低成本获得适合自身需求的AI能力，例如： 1. 降低成本：无需从头训练昂贵的大模型，只需在现有通用模型基础上“补充学习”企业内部的业务知识、行业术语，就能快速打造专属AI助手，成本大幅降低。 2. 精准解决问题：通用AI可能懂诗词绘画，但不懂医疗诊断或法律合同。通过微调，AI能深度掌握特定领域的专业知识，例如快速分析病历、自动生成符合行业规范的报告。 3. 保护数据隐私：企业可将内部数据安全地用于微调，既让AI掌握核心业务知识，又避免敏感数据直接暴露在公共模型中。 4. 推动普惠应用：中小型企业也能通过这项技术享受AI红利，例如教育机构定制学习辅导AI，工厂打造设备维护专家系统，真正让AI进入百行千业。 在下文中，我们将采用两个具体实践案例来说明模型微调的实际效果： 1. 基于天翼云文档数据的微调 。利用企业自身的文档数据构建微调数据集，仅使用单台多GPU卡的云主机即可完成模型微调训练。经过微调后的模型能够在企业内部知识领域提供准确的回答。 2. 基于医学计算数据的微调 。利用医学领域的专业知识数据构建微调数据集，仅使用单台多GPU卡的云主机即可完成模型微调训练。经过微调后的模型能够在识别与分析病例时取得更高的计算准确度。

本文为您介绍天翼云云搜索服务的向量检索能力及使用方法。 功能简介 支持向量检索（Vector Search）是搜索引擎的一个高级功能，它允许用户在高维向量空间中进行相似性搜索，而不仅仅是基于传统的关键词匹配。 向量检索的核心在于，它通过将文本、图像或其他数据转换为向量（即一组多维的数值表示），基于这些向量之间的距离来查找相似的项目。与传统的基于关键字的检索方法相比，向量检索更适合处理复杂的数据类型，如自然语言处理、推荐系统和计算机视觉等场景。 在搜索引擎中，支持向量检索的功能通过集成高效的向量索引结构（如近似最近邻搜索算法）实现。这使得搜索引擎能够在处理大规模数据集时，依然保持高效的查询速度和准确性。通过向量检索，用户可以在海量数据中快速找到与查询向量最相似的结果，从而提升搜索体验和应用的智能化水平。 天翼云云搜索服务提供的OpenSearch和Elasticsearch都可以支持向量检索能力。OpenSearch在向量检索能力上相比Elasticsearch 7.10.2（搭配早期OpenDistro插件）有明显提升。其内置的KNN插件持续演进，升级集成了更高版本的FAISS库，在构建索引速度、内存管理、查询性能等方面有较大优化。这些改进使得OpenSearch更适用于大规模、高并发的向量检索场景。 使用示例 以下是OpenSearch支持向量检索示例。 创建索引： plaintext PUT myknnindex1 { "settings": { "index": { "knn": true, "knn.algoparam.efsearch": 100 } }, "mappings": { "properties": { "category": { "type": "keyword" }, "brand": { "type": "keyword" }, "style": { "type": "keyword" }, "myvector": { "type": "knnvector", "dimension": 3 } } } } 插入3条数据： plaintext PUT myknnindex1/doc/1 { "category": "electronics", "brand": "brandA", "style": "modern", "myvector": [0.5, 0.8, 0.3] } PUT myknnindex1/doc/2 { "category": "furniture", "brand": "brandB", "style": "vintage", "myvector": [0.2, 0.4, 0.7] } PUT myknnindex1/doc/3 { "category": "clothing", "brand": "brandC", "style": "casual", "myvector": [0.9, 0.1, 0.6] } 查询： plaintext POST myknnindex1/search { "size": 10, "query": { "knn": { "myvector": { "vector": [0.5, 0.8, 0.3], "k": 2 } } } } 返回结果： plaintext { "took" : 4, "timedout" : false, "shards" : { "total" : 1, "successful" : 1, "skipped" : 0, "failed" : 0 }, "hits" : { "total" : { "value" : 2, "relation" : "eq" }, "maxscore" : 1.0, "hits" : [ { "index" : "myknnindex1", "id" : "1", "score" : 1.0, "source" : { "category" : "electronics", "brand" : "brandA", "style" : "modern", "myvector" : [ 0.5, 0.8, 0.3 ] } }, { "index" : "myknnindex1", "id" : "2", "score" : 0.7092199, "source" : { "category" : "furniture", "brand" : "brandB", "style" : "vintage", "myvector" : [ 0.2, 0.4, 0.7 ] } } ] } }

本节为您介绍Linux版CMSSMSAgent安装启动步骤指引。 1. 单击左侧导航栏“迁移Agent”，阅读并对“迁移前检查项”进行核对，然后选择对应CPU处理器架构的agent下载命令，点击复制按钮，将下载命令复制至剪贴板。 2. 使用root用户登录linux系统。 3. 在linux终端中粘贴命令并执行CMSSMSAgent下载。 下载完成后如下图： 您也可以使用ssh指令在本地终端远程登录迁移源端进行操作。 ssh root@IP 4. 在Linux终端中粘贴安装命令以执行CMSSMSAgent安装，安装过程中需要在源机终端输入对应用户AK/SK。 说明 源端安装时输入的AK/SK需要在云迁移服务平台登录目标机所在的账户后复制。 服务器迁移服务所提供的AK/SK，用于将源机信息上报至所登录的天翼云账户下，用户可以在界面上为该主机配置迁移任务。 5. 安装成功后出现如下提示。 6. 使用命令启动CMSSMSAgent，启动成功后出现以下提示。 7. 可以在主机管理界面看到该迁移源。

一台弹性云主机是否可以绑定多个弹性公网IP？ 一台弹性云主机可以绑定多个弹性公网IP，但是不建议您这样操作。 当云主机绑定多个公网IP时，需要在云主机内部配置策略路由，才可以确保这些弹性IP可以正常进行外部通信。 未绑定弹性公网IP的弹性云主机能否访问外网？ 能。 您可以使用天翼云的NAT网关产品。NAT网关（NAT Gateway）是一种支持 IP 地址转换的网络云服务，能够为虚拟私有云（Virtual Private Cloud，VPC）内的计算实例提供网络地址转换（Network Address Translation），分为SNAT和DNAT两个功能。通过SNAT可使多个弹性云主机共享使用弹性IP访问Internet。 为什么弹性云主机可以远程连接，但是无法ping通？ 弹性云主机需要确保安全组的入方向规则添加了“ICMP协议”。 登录弹性云主机控制台，单击弹性云主机实例名称，进入详情页，单击安全组页签，点击安全组名称，下拉详情，点击添加规则： 方向：入方向 授权策略：允许 协议：ICMP 源地址：IP 地址 0.0.0.0/0 单击确定，完成ICMP协议添加，再次尝试是否能够ping通。 如何查询云平台上服务器的出口公网IP地址？ 操作场景 当云主机绑定弹性公网IP（对于可用区资源池配置了指向IPv4网关的路由；对于地域资源池绑定弹性公网IP即可），通常通过弹性公网IP访问Internet。 您可以登录天翼云控制台，在弹性云主机列表中查看弹性云主机绑定的弹性公网IP，具体请参见查看云主机详细信息。 您也可以直接在弹性云主机上通过命令查询IP地址，本文以Ubantu20.04系统的弹性云服务器为例进行介绍。 操作步骤 1. 登录弹性云主机。 2. 执行以下任意一条命令，查询弹性云主机绑定的的弹性公网IP地址。 curl icanhazip.com curl ifconfig.me curl ipinfo.io/ip curl ipecho.net/plain

本文为您介绍分布式消息服务MQTT的产品功能。 消息模型 支持发布/订阅消息模型，提供一对多的消息分发方式。这意味着一个发布者（发布消息的客户端）可以将消息发送到一个或多个订阅者（订阅相同主题的客户端），而不需要建立直接的点对点连接。 以下是MQTT的发布/订阅消息模型的关键特点： 主题（Topic）： 发布者在发送消息时会将消息与一个主题相关联。主题是消息的分类或标识，它用于告诉Broker消息应该发送到哪些订阅者。订阅者可以选择订阅感兴趣的主题，以接收与这些主题相关的消息。 订阅（Subscribe）： 订阅者告诉MQTT Broker它对哪些主题感兴趣。一旦订阅者订阅了特定主题，Broker会将匹配的消息发送给订阅者。订阅者可以同时订阅多个主题。 发布（Publish）： 发布者将消息发送到特定主题，然后Broker负责将消息传递给所有订阅了该主题的订阅者。这样，消息可以广播给所有订阅者，实现了一对多的消息分发。 多对多通信： MQTT支持多对多通信，这意味着多个发布者可以同时发布消息到相同或不同的主题，多个订阅者可以同时订阅一个或多个主题。这种灵活性使MQTT适用于各种应用场景，包括物联网、实时通信和分布式系统。 通配符支持： MQTT还支持通配符订阅，订阅者可以使用通配符来匹配多个主题，从而接收与通配符模式匹配的消息。这提供了更高级别的消息过滤和选择性订阅。 总之，MQTT的发布/订阅消息模型使其成为一种非常灵活的消息传递协议，特别适用于需要一对多消息分发的应用，如物联网、实时监控、传感器数据采集等。它的轻量级特性和广泛的跨平台支持也使其成为了许多分布式系统和应用程序的首选通信协议之一。

VPC终端节点(VPC Endpoint)使您能够将 VPC 私密地连接到终端节点服务(天翼云服务、 用户私有服务) VPC终端节点（VPC Endpoint）使您能够将 VPC 私密地连接到终端节点服务（天翼云服务、 用户私有服务），该连接使用天翼云内部网络进行连接，不再绕行公网，为您提供性能更加强大、更加灵活的网络。 VPC终端节点为您提供“终端节点服务”和“终端节点”两种资源。 终端节点服务 终端节点服务（VPC Endpoint Service）指将云服务或用户私有服务配置为VPC终端节点支持的服务。分为“网关”和“接口”两种类型。 网关型：由系统配置的受VPC终端节点支持的云服务，用户可直接使用。 接口型：包括系统配置的云服务和用户自己创建的私有服务。 说明 云服务：指云平台上的一些服务被配置为终端节点服务，默认由系统直接配置。用户没有权限配置云服务，您在创建终端节点时可以根据区域直接选择系统中相应的云服务。 用户私有服务：指用户将自己VPC中的服务资源配置为终端节点服务，这些服务资源为增强型负载均衡或者云服务器。 终端节点服务通过专属网关，可以将 VPC 中的服务方便的提供给其它 VPC 中的资源使用，实现跨 VPC 的访问，而不必暴露服务端相关的网络信息，使您的访问更加安全、可靠。 终端节点 终端节点（VPC Endpoint）在VPC和终端节点服务之间提供连接通道。您可以在VPC中创建自己的应用程序并将其配置为终端节点服务，同一区域下的其他VPC可以通过创建在自己VPC内的终端节点访问终端节点服务。包括“接口终端节点”和“网关终端节点”两种类型。 接口终端节点：是指具备私有IP地址的弹性网络接口，作为接口型终端节点服务的通信入口。 网关终端节点：是一个网关，在其上配置路由，用于将流量指向网关型终端节点服务。

参数 解释 取值样例 区域 区域也称为Region。创建的伸缩配置所在的区域。 名称 创建伸缩配置的名称。选择“使用已有云主机规格、镜像、磁盘、安全组为模板，快速创建伸缩配置”。 选择云主机 选择使用已有云主机规格、镜像、磁盘、安全组为模板，快速创建伸缩配置。 弹性IP 弹性IP是指将公网IP地址和路由网络中关联的弹性云主机绑定，以实现虚拟私有云内的弹性云主机通过固定的公网IP地址对外提供访问服务。您可以根据实际情况选择以下两种方式： 不使用：弹性云主机不能与互联网互通，仅可作为私有网络中部署业务或者集群所需弹性云主机进行使用。 自动分配：自动为每台弹性云主机分配独享带宽的弹性IP，您可以在“带宽”中设置带宽值。 自动分配 登录方式 云平台提供两种弹性云主机鉴权方式。 密钥对：指使用密钥作为弹性云主机的鉴权方式。如果选择此方式，请在密钥页面先创建或导入密钥对。如果您直接从下拉列表中选择已有的密钥，请确保您已在本地获取该文件，否则，将影响您正常登录弹性云主机。 账户密码：指使用设置root用户（Linux操作系统）和Administrator用户（Windows操作系统）的初始密码方式作为弹性云主机的鉴权方式，如果选择此方式，您可以通过用户名密码方式登录弹性云主机。 Admin@123 高级配置 高级配置可对用户数据注入进行配置。可选择“暂不配置”和“现在配置”。 实例自定义数据注入 可选配置，主要用于创建弹性云主机时向弹性云主机注入用户数据。配置实例自定义数据注入后，弹性云主机首次启动时会自行注入数据信息。 对于Linux云主机，如果选择密码方式登录鉴权，此时不能使用实例自定义数据注入功能。

本文主要介绍物理机故障时,弹性云主机是否会自动恢复 弹性云主机在物理机故障时，可以自动恢复。 弹性云主机运行在物理机上，虽然提供了多种机制来保证系统的可靠性、容错能力和高可用性，但是，服务器的硬件、电源等部件仍有较小概率的损坏。如果物理设备的损坏导致物理机电源无法正常工作或重启，会导致CPU和内存数据丢失，无法进行热迁移来恢复弹性云主机。 云平台默认提供了自动恢复功能，以冷迁移的方式重启弹性云主机，使弹性云主机具备高可靠性和强大的动态迁移能力。当弹性云主机所在的硬件出现故障时，系统会自动将弹性云主机迁移至正常的物理机，保障您受到的影响最小，该过程会导致云主机重启。 您可以在云监控服务控制台为弹性云主机开启“一键告警”功能，以便在HA发生（弹性云主机所在的物理机出现故障，系统自动迁移弹性云主机至正常的物理机）时，及时获得通知。 说明 自动恢复功能不保证用户数据的一致性。 仅支持物理主机故障产生的弹性云主机自动恢复，弹性云主机本身故障当前不支持自动恢复。 弹性云主机所在的物理主机关机后，才能执行自动恢复。如果物理主机内存故障等因素导致物理主机未关机，则不能执行自动恢复。 对于同一弹性云主机，如果发生物理主机故障，12小时内仅允许1次自动恢复操作。 如下场景时，可能会引起自动恢复弹性云主机失败： 系统发生大规模故障，导致迁移弹性云主机前，找不到可用的物理主机。 迁移弹性云主机时，用于迁移的物理主机临时容量不足。 对于包含如下特殊资源的弹性云主机，暂不支持自动恢复功能： 本地盘

本节介绍了查看监控指标的操作场景、前提条件、操作步骤。 操作场景 公有云平台提供的云监控，可以对弹性云主机的运行状态进行日常监控。您可以通过管理控制台，直观地查看弹性云主机的各项监控指标。 由于监控数据的获取与传输会花费一定时间，因此，云监控显示的是当前时间5～10分钟前的弹性云主机状态。如果您的弹性云主机刚刚创建完成，请等待5～10分钟后查看监控数据。 前提条件 弹性云主机正常运行。 关机、故障、删除状态的弹性云主机，无法在云监控中查看其监控指标。当弹性云主机再次启动或恢复后，即可正常查看。 说明 关机、故障24小时的弹性云主机，云监控将默认该弹性云主机不存在，并在监控列表中删除，不再对其进行监控，但告警规则需要用户手动清理。 弹性云主机已对接云监控，即已在云监控页面设置告警规则。 对接云监控之前，用户无法查看到未对接资源的监控数据。具体操作，请参见设置告警规则。 弹性云主机已正常运行一段时间（约10分钟）。 对于新创建的弹性云主机，需要等待一段时间，才能查看上报的监控数据和监控视图。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域和项目。 3. 选择“计算 > 弹性云主机”。 4. 在弹性云主机列表中的右上角，输入弹性云主机名称、IP地址或ID，并进行搜索。 5. 单击弹性云主机的名称，查看详情。 6. 在弹性云主机详情页面，选择“监控”页签，查看监控数据。 7. 在弹性云主机监控区域，您可以通过选择时长，查看对应时间的监控数据。 当前支持查看弹性云主机“近1小时”、“近3小时”、“近12小时”的监控数据。

本文主要介绍云日志服务的应用场景。 运维管理 在集群的运维工作中，企业应用的运维日志分散在不同的节点上，通过云日志服务提供的采集器将分散在集群各个节点的重要日志数据采集到日志服务平台进行集中化统一管理，享受全托管式服务。 全托管式：日志集中统一管理，提供日志采集、存储、检索与分析能力。 海量日志管理：支持每天百TB级日志的接入，十亿级日志秒级搜索。 提升运维效率：通过关键词检索可快速搜索出异常事件的日志，定位问题节点，结合上下文查询能力将异常事件的调用链完整还原，全面提升运维效率。 日志数据统计分析 云日志服务支持对日志内容进行结构化处理，按照指定的分词规则将日志原文格式化解析为键值对，即可更方便地日志数据进行统计分析，包括网站或应用程序的访问分析、业务数据分析、安全事件分析等，帮助企业更全面、更便捷地了解系统、业务和用户等方面的情况，优化运营和决策，从而提高企业的业务价值和竞争力。 多种结构化解析：针对日志记录格式不规范、不统一的问题，云日志服务提供JSON、分隔符、正则等格式结构化解析能力，使日志具备可读性与可分析性。 灵活构造分析条件：支持SQL语句或可视化方式构造不同的分析条件，提供丰富的查询分析语句，学习成本低，可灵活构造各类数据分析场景。 可视化分析结果展示：提供柱状图、饼图、时序图、流图等多种图表对日志数据进行直观化分析展示，有助于迅速发现趋势、异常和潜在问题，更好地了解业务运行状况，及时做出相应的决策。

本文介绍关系数据库PostgreSQL版的性能测试方法。 前提条件 快速创建关系数据库PostgreSQL版实例。 创建弹性云主机ECS。 测试环境 测试使用ECS和RDS实例均在西南1可用区1。 测试使用ECS和RDS实例在同一VPC内。 测试使用ECS信息： 规格为s6.4xlarge.2 镜像为CentOS 7.9 测试使用关系数据库PostgreSQL版信息： 规格为S7系列下各规格 版本为PostgreSQL 12.20 存储类型为超高IO数据盘500G 参数模板为RDS默认参数模板 说明 1.ECS规格较高是为了保证测试时性能瓶颈不在ECS端。 2.RDS数据盘大小涉及IOPS及IO吞吐量上限，需确保容量符合IO能力要求。 测试工具 Sysbench工具 Sysbench是一个跨平台且支持多线程的模块化基准测试工具，用于评估系统在运行高负载的数据库时相关核心参数的性能表现。 本次测试使用的Sysbench版本为1.0.20，具体的参数说明及安装命令如下： 表1 Sysbench参数说明 参数 说明 dbdriver 数据库引擎。 pgsqlhost 实例连接地址。 pgsqlport 实例连接端口。 pgsqluser 实例账号。 pgsqlpassword 实例账号对应的密码。 pgsqldb 实例用于测试的数据库名。 tablesize 测试表大小。 tables 测试表数量。 events 测试请求数量。 time 测试时间。 threads 测试并发线程数。 percentile 需要统计的百分比，默认值为95%，即请求在95%的情况下的执行时间。 reportinterval 测试进度报告输出频率，表示N秒输出一次测试进度报告。 skiptrx 是否跳过事务。1：跳过0：不跳过 安装方法 ECS实例执行如下命令安装Sysbench。 bash wget c sudo yum install make automake libtool pkgconfig libaiodevel postgresqldevel unzip 1.0.20.zip cd sysbench1.0.20

本页主要介绍关系数据库MySQL版的性能测试方法。 前提条件 快速创建关系数据库MySQL版实例。 创建弹性云主机ECS。 测试环境 测试使用ECS和RDS实例均在同一地域、同一可用区。所有测试在西南1资源池完成。 测试使用ECS和RDS实例在同一VPC内。 测试使用ECS信息： 规格为s8.4xlarge.2 镜像为CentOS 7.9 测试使用RDS信息： 规格为通用计算增强型C7下各规格、存储类型为超高IO数据盘500G； 通用计算增强型C8下各规格、存储类型为XSSD1数据盘500G； 参数模板均为RDS默认参数模板。 说明 1.ECS规格较高是为了保证测试时性能瓶颈不在ECS端。 2.RDS数据盘大小涉及IOPS及IO吞吐量上限，需确保容量符合IO能力要求。 测试工具 Sysbench工具 Sysbench是一个跨平台且支持多线程的模块化基准测试工具，用于评估系统在运行高负载的数据库时相关核心参数的性能表现。 本次测试使用的Sysbench版本为1.0.20。 表1 Sysbench参数说明 参数 说明 dbdriver 数据库引擎。 mysqlhost RDS实例连接地址。 mysqlport RDS实例连接端口。 mysqluser RDS实例账号。 mysqlpassword RDS实例账号对应的密码。 mysqldb RDS实例用于测试的数据库名。 tablesize 测试表大小。 tables 测试表数量。 events 测试请求数量。 time 测试时间。 threads 测试并发线程数。 percentile 需要统计的百分比，默认值为95%，即请求在95%的情况下的执行时间。 reportinterval 测试进度报告输出频率，表示N秒输出一次测试进度报告。 skiptrx 是否跳过事务。1：跳过0：不跳过 安装方法 ECS实例执行如下命令安装Sysbench。 plaintext sudo yum install gcc gccc++ autoconf automake make libtool mysqldevel git mysql git clone

本章节主要介绍操作类问题中的数据库连接问题。 DWS是否支持第三方客户端以及JDBC和ODBC驱动程序？ 推荐使用DWS客户端和驱动程序。 与开源的PostgreSQL客户端和驱动程序相比，有两个主要的优点： 安全强化：PostgreSQL驱动程序只支持MD5认证，但DWS 驱动程序支持SHA256和MD5。 数据类型增强：DWS驱动程序支持新的数据类型smalldatetime和tinyint。 DWS支持开源PostgreSQL客户端和JDBC和ODBC驱动程序。 兼容的客户端和驱动程序版本如下： PostgreSQL的psql 9.2.4或更高版本 PostgreSQL JDBC驱动程序9.31103或更高版本 PSQL ODBC 09.01.0200或更高版本 使用JDBC/ODBC连接DWS，可参见数据仓库服务用户开发指南文档中的《教程：使用JDBC或ODBC开发》。 可以通过SSH连接DWS集群的节点吗？ 不可以。 DWS底层通过虚拟机实现数据分析功能，即DWS的计算节点。但您不能通过SSH方式直接连接DWS 计算节点，您仅能通过DWS服务提供的内网或公网访问地址连接相应的DWS 集群数据库。 无法连接数据仓库集群时怎么处理？ 检查原因 基本原因可能有以下几种： 集群状态是否正常。 连接命令是否正确，用户名、密码、IP地址或端口无误。 安装客户端的操作系统类型、版本是否正确。 安装客户端的操作是否正确。 如果是在云平台环境无法连接，还需要检查以下可能导致异常的原因： 弹性云主机是否与集群在相同可用区、虚拟私有云、子网和安全组。 安全组的出入规则是否正确。 如果是在互联网环境无法连接，还需要检查以下可能导致异常的原因： 用户网络是否与互联网可以正常连通。 用户网络防火墙策略是否限制了访问。 用户网络是否需要通过代理才能访问互联网。

如果系统预置的CBR权限，不满足您的授权要求，可以创建自定义策略。 目前云平台支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 具体创建步骤请参见《统一身份认证服务用户指南》的“创建自定义策略”章节。 本章为您介绍常用的CBR自定义策略样例。 CBR自定义策略样例 示例1：授权用户创建、修改和删除存储库 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "cbr::get", "cbr::list", "cbr:vaults:update", "cbr:vaults:delete", "cbr:vaults:create" ] } ] } 示例2：拒绝用户删除存储库和备份 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。 如果您给用户授予CBR FullAccess的系统策略，但不希望用户拥有CBR FullAccess中定义的删除存储库权限，您可以创建一条拒绝删除存储库和备份的自定义策略，然后同时将CBR FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对CBR执行除了删除存储库和备份外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "cbr:backups:delete", "cbr:vaults:delete" ] } ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "cbr:vaults:create", "cbr:vaults:update", "cbr:vaults:delete" ] }, { "Effect": "Allow", "Action": [ "sfs:shares:createShare" ] } ] }

操作场景 为生产站点与容灾站点建立绑定关系。 操作步骤 1. 登录管理控制台。 2. 单击服务列表，选择“存储 > 存储容灾服务 SDRS”。进入“存储容灾服务”页面。 3. 在“异步复制”页面右上角，单击“创建站点复制对”。 4. 选择需要创建的站点复制对类型，根据界面提示配置参数，参数说明表如下表所示 1. 跨可用区：生产站点和容灾站点位于同区域内不同可用区 2. 跨区域：生产站点和容灾站点位于不同区域 3. IDC上云：生产站点为本地数据中心。 表 参数说明 参数 说明 取值样例 类型 选择需要创建的站点复制对类型。 跨可用区 复制场景 选择需要创建的复制场景。当前支持类型：H2C（IDC容灾到云平台）。仅当创建“IDC”类型的复制对时，需要设置复制场景。 H2C 名称 站点复制对名称。 名称只能由中文字符、英文字母、数字、“”、“”和“.”组成，且不能有空格，长度不能大于64个字符。 Sitereplication001 生产站点 说明 仅当创建“跨区域”和“跨可用区”类型的复制对时，需要设置生产站点。 区域 生产站点所在的区域。 说明 仅当创建“跨区域”类型的复制对时，需要设置区域。 生产站点 说明 仅当创建“跨区域”和“跨可用区”类型的复制对时，需要设置生产站点。 可用区 生产站点服务器所在的可用区。 说明 当创建“跨区域”和“跨可用区”类型的复制对时，需要设置可用区。 AZ1 生产站点 说明 仅当创建“跨区域”和“跨可用区”类型的复制对时，需要设置生产站点。 网络 生产站点服务器所在的VPC。 VPC01 容灾站点 区域 容灾站点所在的区域。 选择搭建云上容灾专有网络时选择的区域。 说明 仅当创建“IDC上云”和“跨区域”类型的复制对时，需要设置区域。 容灾站点 可用区 容灾站点服务器所在的可用区。 AZ2 容灾站点 网络 容灾站点服务器所在的VPC。 VPC02

本文介绍创建私有镜像的一个场景:通过镜像文件导入创建Linux系统盘镜像。 场景说明 除了通过云主机创建私有镜像外，天翼云也支持外部镜像导入功能，可将本地或者其他云平台的服务器系统盘镜像文件导入至镜像服务私有镜像中。导入后，用户可以使用该镜像创建新的云主机。 本次以Linux操作系统为例，介绍如何通过外部镜像文件创建Linux系统盘镜像。 前提条件 1. 在导入私有镜像前，在源服务器上完成以下准备工作。 安装并使用镜像规范检测工具，自动检测Linux系统设置是否符合导入条件。 安装Cloudinit，使运行该镜像的实例能成功完成初始化配置。 安装virtio驱动（必装），使该镜像创建的云主机实例能够启动。如未安装，会导致虚拟机无法启动。 安装QGA驱动（必装）,使镜像能够进行重置密码等操作。如未安装，会导致虚拟机无法重置密码。 安装监控驱动（建议），实现对基于该镜像创建的云主机的状态监控。 具体操作步骤参见导入私有镜像用户操作指南。 2. 转换镜像格式，目前天翼云镜像服务支持RAW、qcow2、vmdk、vhd格式的镜像文件的上传，如果想要较快创建镜像，建议使用qcow2格式镜像。其他类型文件请做格式转换。 操作步骤 步骤一：上传镜像文件至对象存储 1. 登录控制中心，选择业务地域，选择“存储>对象存储”。 2. 在对象存储控制台点击“创建桶”，配置桶参数（Bucket名称、企业项目、存储类型、读写权限）。单击“确定”，完成桶创建。 3. 单击桶名称进入桶详情页，选择文件管理页签，单击“上传文件”。 4. 选择要上传到对象存储的本地镜像文件。点击“确定“，等待镜像文件上传完成。 5. 点击镜像文件名称，进入文件详情页，获取镜像文件URL。

本文档为制作Linux系统私有镜像指导手册的步骤4,安装QEMUGuestAgent。 操作场景 QEMUGuestAgent（简称qga），是天翼云平台弹性云主机执行关键功能的依赖工具。包括： 云主机重置密码 创建云主机快照 安装QEMUGuestAgent 如果您已经参考步骤2完整安装了全量软件，则可以直接配置cloudinit。 如果您未安装cloudinit，请执行以下命令完成安装。 说明 以下命令均可直接全量复制到命令行执行。 Red Hat系列Linux操作系统使用如下命令 plaintext yum install y qemuguestagent Debian系列Linux操作系统使用如下命令 plaintext apt install y qemuguestagent 配置QEMUGuestAgent 1. 通过执行以下shell命令，完成对qemuga和qemuguestagent.service配置文件的修改。 plaintext 若 /etc/sysconfig/qemuga 文件存在，则确认 BLACKLISTRPC、FILTERRPCARGS 所在行已被注释。 qemugaconfig'/etc/sysconfig/qemuga' if [ f "$qemugaconfig" ]; then [ ! f "${qemugaconfig}.bak" ] && cp "$qemugaconfig" "${qemugaconfig}.bak" sed i '/^[[:space:]]BLACKLISTRPC/ s/^/ /' "$qemugaconfig" sed i '/^[[:space:]]FILTERRPCARGS/ s/^/ /' "$qemugaconfig" fi 自定义 qemuguestagent 服务配置。 if [ f '/lib/systemd/system/qemuguestagent.service' ] [ f '/usr/lib/systemd/system/qemuguestagent.service' ]; then qemugaservicedropindir'/etc/systemd/system/qemuguestagent.service.d/' mkdir p "$qemugaservicedropindir" cat <<'EOT' >"${qemugaservicedropindir}zzctims.conf" [Install] WantedBydevvirtiox2dportsorg.qemu.guestagent.0.device EOT systemctl daemonreload fi 2. 配置服务。 plaintext systemctl enable qemuguestagent 3. 检查服务状态。 plaintext systemctl status qemuguestagent

本文向您介绍Cloudinit,为您更好的使用Cloudinit提供帮助。 Cloudinit Cloudinit或Cloudbaseinit工具是云平台中Linux/Windows镜像里对新开的虚拟机进行初始化的工具，包括初始化主机名、网络配置、初始化密码等功能。Linux系统公共镜像默认已安装Cloudinit；Windows系统公共镜像默认已安装Cloudbaseinit。 关于Cloudinit的更多信息，请参见Cloudinit官方文档。 Cloudinit能做什么 Cloudinit是一款用于初始化云主机的工具，它拥有丰富的模块，能够为云主机提供的能力有：初始化密码、扩容根分区、设置主机名、注入公钥、执行自定义脚本等等，功能十分强大。 安装Cloudinit 步骤一：检查是否已经安装Cloudinit工具 不同的操作系统，命令不同，以centos为例，执行以下命令查看系统是否已经安装Cloudinit： rpm qa grep cloudinit 步骤二：安装Cloudinit 无明确版本要求，建议安装系统源上的版本： 采用以下命令安装： yum install cloudinit cloudutilsgrowpart y 步骤三：配置Cloudinit 1. 默认的cloud.cfg配置文件/etc/cloud/cloud.cfg修改如下： 1.1 确定参数值如下：true/True/1, false/False/0 均可。 1.2 模块包括如下内容(建议参考修改)： 1.3 修改systeminfo部分。 distro内容不做修改。 defaultuser::默认用户名改为root，lockpasswd 改为False。 其余部分涉及系统 yum/apt 源的更改，建议遵循【系统其他配置修改】，保留系统默认，去除Cloudinit 配置。 systeminfo其余内容不做修改。 1.4 添加datasourcelist 和 datasource 部分，禁用网络托管 。

OOS是否支持开发规范和接口规范？ OOS支持开发规范和接口规范。OOS采用兼容亚马逊S3的应用程序编程接口，支持通过基于Http的REST API来访问OOS服务。具体兼容的OOS API详见OOS兼容哪些Amazons S3 API。 OOS是否支持AWS S3 Java SDK调用？ 支持调用OOS兼容的Amazons S3 API，具体兼容的API详见OOS兼容哪些Amazons S3 API，具体使用步骤详见使用S3 Java SDK访问OOS。 OOS接口能否在iOS、Android系统的设备上使用？ 可以，OOS提供基于HTTP的标准REST接口，可以跨平台使用。具体的API接口详见API参考。 OOS支持哪些语言的SDK? OOS的对象存储网络、香港资源池支持JAVA、Python、JS、PHP、iOS、Android 、C、Go。 OOS的其他资源池支持Java、Android、iOS、C、Python、JS。 具体SDK安装包和对应手册可以参见SDK及开发指南。 使用Python SDK分片上传时，如何指定文件存储类型（标准或低频）？ 目前使用Python SDK分片上传时，只能指定文件存储类型为标准，暂不支持低频类型。 PUT上传和POST上传有什么区别？ PUT上传中参数通过请求头域传递；POST上传则作为消息体中的表单域传递。 PUT上传需在URL中指定文件（Object）名；POST上传提交的URL为存储桶域名，无需指定文件名。两者的请求行分别为： PUT /ObjectName HTTP/1.1 POST / HTTP/1.1 两种方式单次上传文件大小范围均为[0, 5TiB]，如果需要上传超过5TiB的大文件，需要通过分段上传实现。 关于PUT和POST上传更详细的API信息，请参见PUT Object和POST Object。