本文介绍Web应用防火墙（边缘云版）的接入防护前提条件以及防护能力概览。 接入防护前提条件 您需要先在控制台新增域名并接入边缘云WAF，具体操作可见WAF接入 防护能力概览 下表将为您描述目前边缘云WAF具备的防护能力以及应用场景 模块 防护能力 说明 应用场景 Web安全 []( 支持配置Web安全的防护开关，可调整防护处理动作以及防护规则集、无需检测的静态文件后缀 为Web安全的基础配置，您需要使用任何防护能力都需要先进行基础配置 Web安全 规则防护 目前已维护6套防护规则集，基于正则的规则防护引擎进行 Web 漏洞和未知威胁防护，能够抵御SQL 注入、XSS 攻击、恶意扫描、命令注入攻击、Web 应用漏洞、WebShell 上传、不合规协议、木马后门等17类通用的 Web 攻击 建议基于自身业务防护需求选择对应的防护规则集 Web安全 网页防篡改 位于高级防护模块下，能够保护网站核心静态页面，避免因为源站页面被恶意篡改带来的负面影响 希望网站防止被恶意篡改页面内容时配置 Web安全 防护敏感信息泄露 位于高级防护模块下，支持对网站返回的内容进行脱敏展示，过滤内容包括敏感信息（如身份证、手机号、银行卡、邮箱等） 希望网站避免泄露身份证、手机号等敏感信息时配置 Web安全 []( 支持检查HTTP协议头部，对HTTP请求信息中的方法以及参数长度等信息进行检测，对不符合的请求项进行拦截或告警 针对不在HTTP请求合规、上传内容合规、配置符合网站处理规范内的请求进行相应处理 Web安全 cookie防护 位于高级防护模块下，采用cookie加密、cookie签名等方式对cookie字段的字进行加密或签名，防护一些使用cookie中的弱key进行权限绕过的漏洞利用，也能在一定程度上限制基于cookie修改的爬虫 可以防护cookie盗用、cookie篡改、cookie信息泄露等攻击事件。需要客户端支持携带cookie，通常小程序、APP、API可能不支持 Web安全 攻击挑战 位于高级防护模块下，支持自动阻断短时间内发起多次Web攻击的IP，快速应对恶意扫描及代理、Web 攻击威胁等行为，可提升攻防对抗效率 攻防演练、恶意扫描及代理、Web攻击行为等 Web安全 CSRF防护 位于高级防护模块下，支持防护跨站请求伪造（英语：Crosssite request forgery，简称CSRF）攻击 针对发起CSRF攻击进行防护 Web安全 广告防护 位于高级防护模块下，支持解析源站响应页面代码，在body中插入广告检测js代码，实现广告防护和监测功能 针对网站出现的恶意广告（网站中出现未将网站所有者允许的广告内容）进行防护 Web安全 设置账户安全防护 从撞库、暴力破解两个攻击角度进行防护，保障用户的账户安全 针对账户安全的场景进行防护 Bot管理 Bot防护策略 通过cookie挑战、跳转挑战、人机挑战、爬虫阈值限制、爬虫陷阱等防爬策略，精准命中爬虫流量，拦截各类恶意爬虫 针对支持携带cookie的客户端请求，小程序、APP、API可能不支持 对于无法正常执行跳转的请求，可以设置跳转挑战 Bot管理 爬虫情报规则 支持针对搜索引擎IP放行、针对恶意Bot请求IP封禁，目前爬虫情报库已维护接近10万条数据 对已知搜索引擎IP放行处理，不经过Bot防护策略，提升网站SEO权重； 对已知恶意Bot请求IP拦截处理 Bot管理 IP情报规则 支持针对已维护的IP信誉库，从威胁类型维度（IDC服务器、傀儡机、漏洞利用等十几类）进行IP封禁，目前IP信誉库已维护接近120万条数据 对已知IDC IP进行封禁处理；拦截傀儡机、漏洞利用等已知恶意IP 访问控制/限流 []( 支持根据请求的URL，频率、行为等访问特征，迅速识别CC攻击并进行拦截 防护大规模CC攻击，避免源站资源耗尽，保证企业网站的正常访问 访问控制/限流 IP黑名单 支持针对指定IP以及指定地域IP进行封禁处理 封禁来自国外访问的IP 访问控制/限流 扫描防护 支持识别常见的扫描器类型，也支持自定义扫描器识别规则，做到精准拦截 拦截常见的扫描器类型，避免网站受到外部扫描 防护白名单 网站白名单 支持在访问控制中，针对特定请求设置为白名单，则不经过全局防护策略的检测 对于可信任流量可以设置为白名单，将不经过任务防护策略 防护白名单 Web规则白名单 支持针对防护规则集中的具体规则设置白名单，则指定请求不经过该规则的检测 某条域名规则出现误拦截时，可以将误拦截的请求设置为白名单 防护白名单 []( 支持针对Bot防护策略设置白名单，则指定请求将不经过Bot防护策略的检测 明确不需要经过Bot防护策略的请求，可以在Bot功能模块中设置为白名单 开启IPv6防护 开启IPv6防护 提供IPv4/IPv6双栈服务，能够解决网站“天窗”问题，并可以有效提升网站IPv6链接支持率 政策驱动，各地市对于当地企业网站的IPv6浓度有一定指标

本章主要介绍创建API分组。 创建API前，需要先创建API分组。API分组相当于API的集合，API提供者以API分组为单位，管理分组内的所有API。 目前支持以下创建分组方式： 直接创建 创建一个简单的分组，不包含API，用户可自行创建API。 导入API设计文件 从本地导入已有的API文件，同步创建分组。 说明 对外开放API时，您需要为API分组绑定自己的独立域名。 一个API只能属于某一个API分组。 API分组创建后，系统为分组自动分配一个内部测试用的调试域名，此调试域名每天最多可以访问1000次。 实例创建后，有一个DEFAULT分组，可直接通过虚拟私有云地址调用默认分组中的API。 前提条件 已创建API网关实例。 直接创建 步骤 1 进入API网关控制台页面。 步骤 2 根据实际业务在左侧导航栏上方选择实例。 步骤 3 在左侧导航栏选择“API管理 > API分组”。 步骤 4 单击“创建API分组 > 直接创建”，在弹框中填写分组信息。 参数 说明 :: 分组名称 API分组名称，用于将API接口进行分组管理。 描述 对分组的介绍。 步骤 5 单击“确定”，创建完成。 导入API设计文件 步骤 1 进入API网关控制台页面。 步骤 2 根据实际业务在左侧导航栏上方选择实例。 步骤 3 在左侧导航栏选择“API管理 > API分组”。 步骤 4 单击“创建API分组 > 导入API设计文件”。 步骤 5 在弹窗中选择本地路径下的API文件，然后单击“打开”导入文件。 步骤 6 填写导入信息。 参数名称 说明 :: 导入方式 导入方式包含以下2种： 生成新的分组：将API定义导入到一个新的分组，导入过程中系统会自动创建一个新的API分组，并将导入的API归属到该分组。 选择已有分组：将API定义导入到一个已有的分组，导入过程中不会删除分组中已有的API，只是将新增的API导入分组。 API分组 仅在选择“选择已有分组”时，需要选择API分组。 是否覆盖 勾选后，当导入的API名称与已有的API名称相同时，导入的API会覆盖已有的API。 仅在选择“选择已有分组”时，需要选择是否覆盖。 扩展覆盖 勾选后，当导入API扩展定义项名称（ACL，流控等）与已有的策略（ACL，流控等）名称相同时，会覆盖已有的策略（ACL，流控等）。 步骤 7 （可选）单击“全局配置(可选)”。 1. 选择安全配置。 2. 选择后端请求配置。 3. 单击“下一步”，支持通过“表单”、“JSON”、“YAML”样式查看配置详情。 4. 确认无误后，单击“提交”，完成配置。 步骤 8 单击“立即导入”，在弹窗中选择是否现在发布API到环境。 步骤 9 单击“确定”，跳转到“API运行”页面，可查看分组下的API。

本文介绍如何新建、修改或删除公司信息。 在申请OV或EV SSL证书时，您需通过天翼云证书管理服务控制台提交企业营业执照图片和公司相关信息，以便后续CA中心对证书申请者的真实性进行审核。 新建公司信息 天翼云证书管理服务支持以下两种添加公司信息的方法： 方式一：在证书管理服务控制台的“信息管理 > 公司”页面新建公司信息。本章节以该方式为例，介绍新建公司信息的具体步骤。 方式二：在提交OV/EV证书申请时，在“公司”下拉列表上方单击“新建公司” ，并填写公司基本信息。使用该方式添加的公司信息将会自动保存在“公司”页面，方便您下次使用。 说明 请您提供真实有效的公司信息，若公司信息填写有误会影响您企业型（OV）/增强型（EV）证书的审核结果。 1. 登录证书管理服务控制台。 2. 在左侧导航栏选择“信息管理 > 公司”，进入“公司”页面。 3. 单击页面上方的“新建公司”，按照下表的填写规则填写公司的相关信息。 参数 参数说明 公司类型 请您根据公司的性质，如实选择以下五种类型： 私营个体 商业企业 政府实体 事业单位 非营利组织 公司名称 填写待申请证书的公司名称，请保证与营业执照上的公司名称一致。 您为.gov后缀的域名申请OV类型的证书，域名WHOIS注册人联系方式需与公司企业名称保持一致。 部门 输入待申请证书的公司部门。 公司电话 填写公司的联系方式，请保证联系方式真实有效。 组织机构代码 填写待申请证书公司的组织机构代码或统一社会信用代码。当公司位于海外地区时，您需要在组织机构代码开头添加国际域名缩写（又称“国际代号”）。 公司所在区域 填写待申请证书公司的所在地。 详细地址 填写公司的详细地址，请保证与营业执照上的地址一致。 邮政编码 填写公司所在地的邮政编码。 营业执照 上传公司营业执照，只支持jpg/png格式。 4. 填写完成后，单击“确认”，完成公司新建。

功能 说明 开启HTTPS功能，实现客户端和CDN节点之间使用HTTPS加密传输。 相对于HTTP1.1，HTTP2.0新增了多路复用、压缩HTTP头、划分请求优先级和服务端推送等特性，解决HTTP1.1中存在的一些问题，优化请求性能。 用户到CDN节点的请求需要强制跳转为HTTP或者HTTPS时，可以配置强制跳转功能。 开启OCSP装订功能后，由CDN进行OCSP信息查询并将查询结果缓存到服务器中，提升HTTPS响应性能。 国密算法，即国家商用密码算法。是由国家密码管理局认定和公布的密码算法标准及其应用规范，其中部分密码算法已经成为国际标准。 TLS即安全传输层协议，目的是为互联网通信提供安全及数据完整性保障，您可以按需对不同加速域名配置不同的TLS协议版本。 CDN支持HTTPS加速服务，您可以通过控制台上传证书，并批量关联域名启用HTTPS加速服务，实现全网数据加密传输。 HSTS是一种网站用来声明他们只能使用安全连接（HTTPS）访问的方法。 网站可通过声明HSTS，来强制客户端（如浏览器）只能使用HTTPS与服务器连接，拒绝所有的HTTP连接并阻止用户接受不安全的SSL证书，降低第一次访问请求被拦截的风险。 加密套件是用于在SSL/TLS握手期间协商安全设置的算法的组合。在Client Hello和Server Hello消息交换之后，客户端发送密码支持套件列表，服务器从列表中选择密码套件进行响应。

本文帮助您了解通过对象存储控制台下载文件的操作步骤。 操作场景 您可以通过ZOS控制台将存储在ZOS中的文件下载到本地。 约束与限制 基于安全合规要求，自2025年5月16日起，ZOS将禁止通过Bucket外网域名访问后缀为.apk或者.ipa的文件，同时仍然支持通过自定义域名访问后缀为.apk或者.ipa的文件。 标准型和低频型文件的下载 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方点击，选择地域，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，点击Bucket名称进入“概览”页面。 5. 点击“文件管理”页面，选中要下载的文件，点击“下载”按钮。 6. 点击“确定”，完成文件下载。 归档型文件的下载 使用须知 下载归档型文件需先解冻文件。 数据解冻会按解冻数据大小产生数据解冻费用，且数据解冻后，会产生一个指定时长的标准存储对象副本，在解冻的有效期内，会同时收取该对象在标准存储和归档存储中的存储费用，有效期到期后副本自动删除。 解冻文件的有效期最少为1天，最多为31天。 针对存储桶开启归档直读后，可以直接下载桶内归档数据，而无需先对其解冻。详情可参考归档直读文件章节。

创建HTTP转化MCP服务 1. 登录微服务引擎 MSE注册配置中心管理控制台，选择资源池。 2. 在左侧导航栏，选择注册配置中心 > 实例列表，选择企业版Nacos实例，单击实例ID 或者管理按钮跳转至基础信息页面。 3. 在基础信息页面，左侧菜单点击MCP管理 > MCP列表，选择命名空间， 然后单击创建MCP服务，并单击HTTP转化MCP服务页签。 4. 在HTTP转化MCP服务页面，配置服务名称、描述、版本号等基本信息，其中重要参数说明如下： MCP协议类型： SSE：支持远程访问，仅支持服务端到客户端的单向流，适用于服务推送等单向实时通信场景，延迟低、兼容性强。 Streamable HTTP：基于标准的HTTP协议，双向通信，可灵活切换流式、非流式连接，适合正式环境部署和跨网络通信（如混合云/跨VPC）以及分布式系统。这是目前官方推荐的远程通信方式。 后端服务： 使用已有服务：如果您的HTTP服务已经通过控制台或SDK注册到MSE Nacos中，可直接选择。 新建服务：如果您的MCP服务尚未注册到MSE Nacos中，需要配置服务 IP/服务域名（域名不能包含中文）、服务端口。 5. MCP工具为选填项，工具可以包含0个或者多个。点击添加工具按钮，可以添加1个工具，包括工具名称、工具描述、参数信息。其中参数包括：参数名称、参数类型可从下拉框选择，参数描述信息。参数可以添加0个或者多个，参数信息可以嵌套，可以实现复杂的嵌套参数。添加的参数在服务保存或发布后生效。 6. 信息填写完毕后，点击发布并保存。

本文介绍SSL证书管理。 SSL证书管理功能是：通过加密存储用户的证书，方便用户管理和使用SSL证书。用户能看到证书的过期时间、证书的通用域名和证书的其它域名等信息，方便用户及时了解证书使用的范围和证书是否将要过期。用户在购买负载均衡实例添加监听器的时候可以快速地使用创建好的证书，方便用户快速使用。 上传SSL证书 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>弹性负载均衡>SSL证书】，点击右上角【+添加自有证书】。 3. 输入证书备注名，然后分别点击上传或输入证书内容和私钥文件；上传证书时，证书的格式要求是：证书包含证书的公钥和签名等信息，证书扩展名为”.crt”或” .cer”，证书内容格式以“BEGIN CERTIFICATE”作为开头，以“END CERTIFICATE”作为结尾；私钥的格式要求是：为对应证书的私钥，私钥扩展名为”.key”或”.pem”，私钥内容格式以“BEGIN RSA PRIVATE KEY”作为开头，以“END RSA PRIVATE KEY” 作为结尾。 4. 填写相关证书密钥后，单击【提交】，SSL证书创建完成，可以在SSL证书列表查看已创建的SSL证书。 查看SSL证书列表 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>弹性负载均衡>SSL证书】。 3. 在SSL证书列表可以查看已创建的SSL证书。 查看SSL证书详情 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>弹性负载均衡>SSL证书】。 3. 在SSL证书列表中单击证书备注名，可进入证书详细页查看基本信息。

本节主要介绍怎么在控制台进行对象分享。 在“存储桶列表”页面，点击对应的存储桶，进入“文件列表”，在该页面，可以分享文件。 对于私有存储桶（Bucket）内的文件（Object），用户可以创建临时的“共享链接”，以便在不破坏存储桶的私有属性的前提下，与他人分享文件。 注意 严禁传播诈骗、色情、暴力及其他侵犯他人权利或违反法律及公序良俗内容。 基于安全合规要求，禁止通过OOS默认域名以匿名或者URL签名方式下载后缀为apk、ipa的文件，在Header中包含签名或者通过自定义域名方式下载此类文件不受影响。 在分享图片或者网页时，访问者会下载到本地查看。 通过文件分享，可以分享单个文件或者多个文件。 单个文件分享 分享单个文件，选择需要分享的文件，点击“更多”>“分享”，或则点击对应文件后的“操作”列的“更多”>“分享”，即可对该文件进行分享。 点击“分享”按钮，弹出“文件分享”对话框。 名称 描述 文件名称 要分享的文件名称。 过期时间（天） 设置的过期时间。 取值：[1, 9999999]，单位是天。如果不填写，默认分享链接15分钟过期。 限制下载速度 是否开启下载速度限制。 下载速度（KiB/s） 下载速度限制。 取值：[1, 2147483647]，单位是KiB/s。 限制下载并发数 是否开启下载并发数限制。 下载并发数 下载并发数。 取值：[1，2147483647]。 链接 文件的共享链接。 点击“生成”按钮，即可生成一个带有签名认证的URL。用户可以直接将该URL分享给其他人，在有效期内，通过该URL可以访问此文件。

本节介绍如何续订私有证书。 证书管理服务仅支持控制台续订，用户可在控制台实例界面选择续订，按照续订产品规格进行下单。 说明 仅签发成功的证书能够进行续订。 仅支持续订统一规格证书。 手动续订 1. 登录证书管理服务控制台。 2. 在左侧导航栏，选择“私有证书管理 > 私有证书列表”。 3. 在待续费证书的“操作”列单击“证书续订”。 4. 在跳转的页面中确认续订证书的信息，选择证书有效期。 5. 阅读并同意天翼云证书管理服务的服务协议和服务等级协议后，单击“立即购买”。 自动续订 1. 登录证书管理服务控制台。 2. 在左侧导航栏，选择“私有证书管理 > 私有证书列表”。 3. 选择需要开启自动续订功能的证书，将“开启自动续费”开关调整至状态，即可开始自动续费功能。 说明 自动续费生效后，会在您证书到期前30个自然日为您自动续费；若您在到期30个自然日前开启自动续费功能，则不会为您自动续费，请您注意。 新生成的订单和您旧证书的订单信息保持一致。例如：您购买3年期的企业型（OV）单域名证书，会在到期前30个自然日自动续费3年期的企业型（OV）单域名证书。 自动续费生成的证书会为您自动提交申请，但是需要您手动提交确认函和解析记录后才会签发，后续操作可参考：申请私有（内网）证书。

本小节介绍证书管理服务产品续订。 证书管理服务仅支持控制台续订，用户可在控制台实例界面选择续订，按照续订产品规格进行下单。 说明 仅签发成功的证书能够进行续订。 仅支持续订统一规格证书。 手动续订操作步骤 1. 进入证书管理服务，选择“SSL证书管理”>“SSL证书列表”。 2. 在待续费证书的“操作”列单击“证书续订”。 3. 在跳转的页面中确认续订证书的信息，选择证书有效期。 4. 阅读并同意天翼云证书管理服务的服务协议和服务等级协议后，单击“立即购买”。 自动续订操作步骤 1.进入证书管理服务，选择“SSL证书管理”>“SSL证书列表”。 2.选择需要开启自动续订功能的证书，将“开启自动续费”开关调整至状态，即可开始自动续费功能。 说明 自动续费生效后，会在您证书到期前30个自然日为您自动续费；若您在到期30个自然日前开启自动续费功能，则不会为您自动续费，请您注意。 新生成的订单和您旧证书的订单信息保持一致。例如：您购买3年期的企业型（OV）单域名证书，会在到期前30个自然日自动续费3年期的企业型（OV）单域名证书。 自动续费生成的证书会为您自动提交申请，但是需要您手动提交确认函和解析记录后才会签发，后续操作可参考：申请SSL证书。

计费模式 网站安全监测总计费套餐资费+扩展服务资费 套餐包：预付费，按月结算，可根据业务选择不同规格，具体资费根据选择的域名数量所属阶梯进行计算 扩展服务大屏：预付费，按月结算 扩展服务图片审核：按需付费，按日结算，根据实际使用量产生费用 如下列出了套餐资费标准和扩展服务资费标准 【套餐标准资费】 套餐版本 体验版 专业版 旗舰版 监测服务内容 1、可用性监测 2、安全事件监测：篡改、暗链、挂马、敏感信息检测 3、内容安全：文本敏感词检测 1、可用性监测 2、DNS监测 3、安全事件监测：篡改、暗链、挂马、敏感信息检测 4、内容安全：文本敏感词检测 5、内容安全：支持图片审核扩展 1、可用性监测 2、DNS监测 3、安全事件监测：篡改、暗链、挂马、敏感信息检测 4、内容安全：文本敏感词检测 5、内容安全：支持图片审核扩展 6、支持自定义引擎配置、人工配置审核 漏洞检测 1次/月 1次/月 提供漏洞验证 1次/周 提供漏洞验证 标准资费 域名数量 标准资费 标准资费 标准资费 标准资费 [1,10) 560元/个/月 1260元/个/月 2160元/个/月 标准资费 [10,30) 336元/个/月 756元/个/月 1296元/个/月 标准资费 [30,50) 280元/个/月 630元/个/月 1080元/个/月 标准资费 [50,+∞) 224元/个/月 504元/个/月 864元/个/月 【扩展服务资费标准】 扩展服务项 计费方式 图片审核 1.3元/千张/日 大屏服务 1500元/月 注：图片审核功能中若审核结果为不确定，则不计费。

注意事项 订购流量包之前需要先开通按量流量计费，流量包的优先级高于按量流量，即只要存在服务中的流量包，则优先抵扣流量包用量，超出流量包抵扣额度的用量，会自动转按量流量计费，即会产生后付费账单。转按量流量计费后，重新订购流量包，则恢复优先抵扣流量包用量。若希望一直采用流量包的计费模式，需及时根据所需服务、业务量，购买适合业务额度的流量包。 若您是通过天翼云官网购买的CDN加速按量计费产品，有效期为100年，到期前无需续订，只要保证账户余额充足即可。若您的按量计费因欠费被冻结期间，未用尽或到期的流量包可继续正常使用，直至流量包用尽或到期，按量计费仍因账户欠费未恢复服务，则域名关停。 购买流量包前，如已订购相关产品的按量套餐，需确保按量套餐的计费方式为【流量】，如果计费方式为【日带宽峰值】，已购的流量包会被冻结，域名如果有在使用加速服务，则实际是按日带宽峰值计费的方式扣款，并没有使用到流量包的用量。直至按量计费方式切回至【流量】并生效后，流量包方可继续使用。 如有采购大额流量包的诉求，可通过提交工单或拨打4008109889热线电话联系客服进行咨询，申请优惠券。优惠券仅适用于流量包套餐，每一个订购单仅可使用一张优惠券，按量计费套餐不可使用。

操作场景 集群内访问表示工作负载暴露给同一集群内其他工作负载访问的方式，可以通过“集群内部域名”访问。 集群内部域名格式为“ . .svc.cluster.local: ”，例如“nginx.default.svc.cluster.local:80”。 访问通道、容器端口与访问端口映射如下图所示。 图集群内访问 工作负载创建时设置 您可以在创建工作负载时通过CCE控制台设置Service访问方式，如下： 步骤 1 参考创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)，在“工作负载访问设置”步骤，单击“添加服务”。 访问类型：选择“集群内访问 ( ClusterIP )”。 Service 名称：自定义服务名称，可与工作负载名称保持一致。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到集群虚拟IP上的端口，用虚拟IP访问工作负载时使用，端口范围为165535，可任意指定。 步骤 2 单击“下一步”进入“高级设置”页面，直接单击“创建”。 步骤 3 单击“查看工作负载详情”，在“访问方式”页签下获取访问地址，例如10.247.74.100:8080。 工作负载创建完成后设置 您可以在工作负载创建完成后对Service进行配置，此配置对工作负载状态无影响，且实时生效。具体操作如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”，在工作负载列表页单击要设置Service的工作负载名称。 步骤 2 在“Service”页签，单击“添加Service”。 步骤 3 在“添加Service”页面，访问类型选择“集群内访问 ( ClusterIP )”。 步骤 4 设置集群内访问参数。 Service 名称：自定义服务名称，可与工作负载名称保持一致。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作负载：要添加Service的工作负载，此处不可修改。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到集群虚拟IP上的端口，用虚拟IP访问工作负载时使用，端口范围为165535，可任意指定。 步骤 5 单击“创建”。工作负载已添加“集群内访问 ( ClusterIP )”的服务。 验证访问方式 步骤 1 在管理控制台首页，单击“计算 > 弹性云主机”。 步骤 2 在弹性云主机页面，找到同一VPC内任意一台云服务器，并确认连接到访问地址中IP与端口的安全组是开放的。 步骤 3 登录工作负载所在集群的任意节点。 步骤 4 使用curl命令访问工作负载验证工作负载是否可以正常访问。您可以通过IP或者域名的方式来验证。 方式一：通过IP 地址验证。 curl 10.247.74.100:8080 其中10.247.74.100:8080为步骤3中获取的访问地址。 回显如下表示工作负载可正常访问。 Welcome to nginx! body { width: 35em; margin: 0 auto; fontfamily: Tahoma, Verdana, Arial, sansserif; } Welcome to nginx! If you see this page, the nginx web server is successfully installed and working. Further configuration is required. For online documentation and support please refer to Thank you for using nginx. 方式二：进入容器，在容器内通过域名验证。 curl nginx.default.svc.cluster.local:8080 其中nginx.default.svc.cluster.local为步骤3中获取的域名访问地址。 回显如下表示工作负载可正常访问。 Welcome to nginx! body { width: 35em; margin: 0 auto; fontfamily: Tahoma, Verdana, Arial, sansserif; } Welcome to nginx! If you see this page, the nginx web server is successfully installed and working. Further configuration is required. For online documentation and support please refer to Thank you for using nginx. 更新Service 您可以在添加完Service后，更新此Service的端口配置，操作步骤如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”，在Service页签下，选择对应的集群和命名空间，单击需要更新端口配置的Service后的“更新”。 步骤 2 在“更新Service”页面，访问类型选择“集群内访问 ( ClusterIP )”。 步骤 3 更新集群内访问参数。 Service 名称：您创建的Service名称，此处不可修改。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作负载：要添加Service的工作负载，此处不可修改。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到集群虚拟IP上的端口，用虚拟IP访问工作负载时使用，端口范围为165535，可任意指定。 步骤 4 单击“更新”，工作负载已更新Service。

协议 端口 类型 目的地址 说明 TCP 80 IPv4 100.125.0.0/16 用于从OBS桶下载Agent包到ECS或BMS中、获取ECS或BMS的元数据信息与鉴权信息。 TCP、UDP 53 IPv4 100.125.0.0/16 用于DNS解析域名，下载Agent时解析OBS地址、发送监控数据时解析云监控服务Endpoint地址。 TCP 443 IPv4 100.125.0.0/16 采集监控数据到云监控服务端。

本文介绍如何配置加速配置。 操作步骤 1.进入SCDN控制台 2.点击域名列表，可直接编辑加速配置，进入加速配置页面 3.可支持回源配置、HTTPS配置、缓存配置、访问控制，配置完成后统一点击提交保存 4.可通过工单列表进行查看配置进度

本文介绍了用量查询支持查询的维度。 用量查询，支持客户对日常关注的带宽流量、回源统计、请求数、状态码、命中率、PV/UV、地区运营商等维度，按加速类型、标签、域名、运营商、地区、时间粒度、时间等条件进行自定义查询，实时感知业务运营状态。 每一个维度均支持客户按日或者按月查询用量汇总数据。同时也支持导出用量明细至本地查看，以便您更好的比对平台数据和实际用量。详请请见，用量分析。

本小节介绍如何购买DDoS高防IP实例。 DDoS高防IP不支持试用。若需要使用DDoS高防IP，请参照本文订购步骤进行购买。 操作步骤 1. 使用天翼云账号登录DDoS高防IP管理控制台。 2. 单击“立即购买”进入订购页面。 3. 配置相关参数，根据需求进行购买。 参数 说明 基本信息 IP个数 默认为1个高防IP，不支持修改。 基本信息 接入方式 支持静态防护和动态防护。 静态防护：提供1个高防IP，在一个高防中心使用。 动态防护：提供1个高防IP，并且在多个高防中心使用，实现负载调度近源清洗。 基本信息 高防节点 仅“静态防护”接入方式需要选择高防节点。 当前提供了华北地区、华东地区1、华东地区2、华南地区共4个节点。 源站端口根据选择的防护节点有如下规则： 华北 1：可以选择任意端口进行转发； 华东 1：可以选择任意端口进行转发； 华东 2：可以选择任意端口进行转发； 华南 1：可以选择任意端口进行转发； 网站类业务：限定选择80、8080、8081、443、7443、8443之一。 非网站类业务：可以选择任意端口进行转发。 产品配置 业务类型 选择业务类型，支持非网站类和网站类。 网站类业务还需要填写域名个数。默认提供50个免费域名，可按需付费增加。增加步长为5个，最多支持200个域名。 产品配置 保底防护带宽 选择保底防护带宽，保底防护带宽包月计费。 注意 保底防护带宽选择100Gbps及以上时只能包年订购，支持1年~5年。 产品配置 回源业务带宽 默认赠送100Mbps回源带宽，可按需付费增加。 产品配置 端口数量 默认赠送50个端口，可按需付费增加。增加步长为5个，最多支持100个。 订购时长 可以单击加减号调整订购时长，步长为1；也可以在其中直接输入。 自动续订 支持开启“自动续订”，当服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 按月购买，自动续费周期默认为1个月。 按年购买，自动续费周期默认为1年。 如需要修改自动续费周期，可进入天翼云“费用中心 > 订单管理 > 续订管理”页面，找到对应的资源进行修改。 企业/用户名称 该信息仅用于建立通知与防护功能，不做他用。 4. 在页面左下角确认配置费用后，勾选“我已阅读，理解并接受《天翼云高防IP产品服务协议》”，单击“立即订购”。 5. 进入付款页面，完成付款。

本小节介绍渗透测试的服务流程，帮助您了解服务开展过程。 渗透测试服务以人工服务为主，我们的渗透测试人员在取得您的授权后，将对目标系统进行全面的渗透测试工作，总体流程如下： 1. 客户订购与需求匹配的服务规格并下单付款。 2. 客户经理会与您取得联系，协助您完成《业务需求单》及《渗透测试授权书》的填写，您需要如实填写以下内容： 域名备案信息比对，必须为真实、合法信息。 被检测的IP主机信息。 如您为天翼云托管用户，需要提供域名清单，解析后必须为天翼云主机IP，才可提供渗透测试服务。 您所提供的应用URL描述须写明功能是什么或用途是什么。 业务接口人联系方式，您需提供一个具有对渗透测试方案及渗透测试过程中出现的问题有决定权的业务接口人联系人。 如您有安全防护设备，应在渗透测试开始阶段将渗透测试所用的公网IP加入安全防护设备白名单，避免因渗透测试工作带来的告警。（如在渗透测试开始阶段客户未将渗透测试所用的公网IP加入安全防护设备白名单，由此产生的告警及对渗透测试结果的影响，我方不承担责任。） 您需签订渗透测试授权书。 3. 我们会根据您提供的信息，与您进行沟通，编写渗透测试方案，并与您确认测试细节，双方确认无误后，将进入渗透测试环境，渗透测试工作主要包含如下步骤： 明确目标：确定渗透测试的范围，如IP、域名、内外网、整站或部分模块，确定规则，如能渗透到什么程度，是发现漏洞为止还是继续利用漏洞，确定需求，如Web应用的漏洞，业务逻辑漏洞，人员权限管理漏洞。 信息收集：在信息收集阶段要尽量收集关于项目软件的各种信息，例如，对于一个Web应用程序，要收集脚本类型、服务器类型、数据库类型以及项目所用到的框架、开源软件等。 漏洞探测：进行漏洞探测，包括手动和自动探测。 漏洞验证：对探测出的漏洞进行验证，确定其真实存在。 信息分析：对收集到的信息进行分析，尝试利用漏洞获取数据。 利用漏洞获取数据：如果能够利用漏洞获取数据，则进行数据获取。 信息整理：对获取到的数据进行整理，方便后续分析。 形成报告：根据渗透测试的实际情况，形成详细、专业的报告。 4. 形成报告后，我们会将报告发送给您，您可以根据报告内容，发现系统漏洞，及时加固完善。 以上为渗透测试的基本服务流程，如您在服务过程中有任何问题，请您与客户经理联系并反馈，我们会尽快为您处理。

在CDN控制台上可以对域名的加速区域进行调整，调整后主要有如下影响： 影响缓存命中率：当切换加速区域时，可能会导致缓存命中率下降；例如，由中国内地加速切换为全球时，会加入海外的节点，新的节点需要重新缓存资源，所以短期内命中率可能会降低。 影响回源流量：切换加速区域后，新节点没有缓存资源，用户访问至新节点的请求会回上层请求资源，可能会导致回源量增加。 影响费用：不同的加速区域费用不同，切换加速区域可能会对CDN服务的费用产生影响。 CDN加速区域的配置说明，详情请见：加速区域。

本文介绍使用CDN加速后访问URL时出现空白页面的问题原因及解决方案。 问题现象 使用天翼云CDN加速网站后，访问特定URL时出现空白页面，即页面没有任何内容显示。 问题原因 1. 域名解析问题：可能是由于域名解析存在异常，导致无法正确访问到CDN节点并获取有效的内容。详情请见： 如何确认域名CNAME解析是否正常。 2. 缓存问题：可能是由于CDN的缓存未及时更新或清除，导致访问的URL返回了空白的缓存页面。 3. 源站异常：可能是源站出现故障或配置错误，导致CDN无法正确获取内容并回源给用户。定位方法，详情请见：如何确认访问异常是CDN节点问题还是源站问题。 解决方案 1. 域名解析问题解决方案： 检查CNAME是否有配置错误。解决方案，详情请见：如何处理CNAME解析不生效问题。 如无CNAME配置错误，可等待一段时间，重新尝试访问URL，以确保域名解析已经生效。 2. 缓存问题解决方案： 手动刷新CDN缓存，您可在CDN控制台的【刷新预取 】模块中创建【URL刷新 】任务，将对应的URL进行缓存刷新，刷新任务一般5~10分钟生效。详情请见：刷新。 3. 源站异常解决方案： 方案一：检查源站服务器是否正常运行，并修复可能存在的故障或配置错误。 方案二：检查源站对应URL文件是否正常，并更换为正常的URL 文件。 如果以上方案还是无法解决您的问题，请提交工单联系天翼云客服协助处理。

参数 参数说明 CPU架构 MRS提供的CPU架构类型。 x86计算：x86 CPU架构采用复杂指令集（CISC），CISC指令集的每个小指令可以执行一些较低阶的硬件操作，指令数目多而且复杂，每条指令的长度并不相同。由于指令执行较为复杂所以每条指令花费的时间较长。 鲲鹏计算：鲲鹏CPU架构采用精简指令集（RISC），RISC是一种执行较少类型计算机指令的微处理器，它能够以更快的速度执行操作，使计算机的结构更加简单合理地提高运行速度，相对于x86 CPU架构具有更加均衡的性能功耗比。鲲鹏的优势是高密度低功耗，可以提供更高的性价比。 常用模板 当“集群类型”选择“自定义”时该参数有效，请参考 节点类型 MRS提供节点类型： Master：指集群Master节点，负责管理集群，协调将集群可执行文件分配到Core节点。此外，还会跟踪每个作业的执行状态，监控DataNode的运行状况。 Core：指集群Core节点，处理数据并在HDFS中存储过程数据。分析集群将创建分析Core节点，流式集群将创建流式Core节点，混合集群分别创建分析Core和流式Core节点。 Task：指集群Task节点，主要用于计算，不存放持久数据。主要安装Yarn、Storm组件。Task节点为可选节点，数目可以是零。分析集群将创建分析Task节点，流式集群将创建流式Task节点，混合集群分别创建分析Task和流式Task节点。 当集群数据量变化不大而集群业务处理能力需求变化比较大，大的业务处理能力只是临时需要，此时选择添加Task节点。 − 临时业务量增大，如年底报表处理。 − 需要在短时间内处理完原来需要处理很久的任务，如一些紧急分析任务。 实例规格 选择主节点和核心节点的实例规格。MRS当前支持主机规格的配型由CPU+内存+Disk共同决定。单击，配置集群节点的实例规格、系统盘和数据盘参数。 说明 节点的实例规格配置越高，数据处理分析能力越强。 当Core节点规格选择非HDD磁盘时，Master节点和Core节点的磁盘类型取决于数据磁盘。 当节点的实例规格选项后标示“已售罄”时，将无法创建此规格的节点，请选择其他规格节点进行。 MRS 3.x及之后版本集群Master节点规格不能小于64GB。 系统盘 节点系统盘的存储类型和存储空间。 存储类型： SATA：普通IO SAS：高IO SSD：超高IO GPSSD：通用型SSD ESSD：极速型SSD 数据盘 节点数据磁盘存储空间。为增大数据存储容量，创建集群时可同时添加磁盘，有如下应用场景： 数据存储和计算分离，数据存储在OBS中，集群存储成本低，存储量不受限制，并且集群可以随时删除，但计算性能取决于OBS访问性能，相对HDFS有所下降，建议在数据计算不频繁场景下使用。 数据存储和计算不分离，数据存储在HDFS中，集群成本较高，计算性能高，但存储量受磁盘空间限制，删除集群前需将数据导出保存，建议在数据计算频繁场景下使用。 目前的存储类型： SATA：普通IO SAS：高IO SSD：超高IO GPSSD：通用型SSD ESSD：极速型SSD 创建的节点个数越多，对管理节点（即master节点）的硬盘容量要求越高。为了保证集群能够健康地运行，当创建的节点个数达到300时，建议将master的硬盘容量配置成600GB以上；当创建的节点个数达到500时，建议将master的硬盘容量配置成1TB以上。 实例数量 配置主节点和核心节点的个数。 Master： 开启“集群高可用”时，Master实例数量固定为2个。 关闭“集群高可用”时，Master实例数量固定为1个。 Core节点至少存在一个，Core节点和Task节点的数量之和不能超过500个。 Task：单击 添加Task节点。单击 修改Task节点额实例规格和磁盘配置。单击 删除已添加的节点。 说明 Core节点默认的最大值为500，如果用户需要的Core节点数大于500，请联系技术支持人员。 过小的节点容量会导致您的集群运行缓慢，而过大的节点容量会产生不必要的成本，请根据您要处理的数据对集群节点数量进行调整。 LVM 仅当创建流式Core节点时，该参数在流式Core节点有效。单击该参数以开启或关闭磁盘LVM管理。MRS 3.x及之后版本不支持该参数。 启用逻辑卷管理(LVM)时，会将节点中所有磁盘以逻辑卷的方式挂载，能够更加合理的规划磁盘，避免磁盘不均匀的问题，提升系统的稳定性。 拓扑调整 当常用模板中的部署方式不满足需求，请设置“拓扑调整”为“开启”，然后根据业务需要调整实例部署方式，具体说明请参见“

本文介绍增量修改域名信息接口 接口描述：调用本接口增量修改加速域名配置信息 请求方式：post 请求路径：/domain/updatedomain 使用说明： 修改域名之前，您需要先开通对应产品类型的服务，且保证资源包/按需服务有效； 该域名没有在途工单； 单个用户一分钟限制调用10000次，并发不超过100 请求参数说明（json）： 参数名 类型 是否必填 名称 说明 domain string 是 域名 productcode string 是 产品类型 “007”（安全加速） ipv6enable int 否 ipv6启用 1（启用）； 2（关闭），未传代表不修改 origin list 否 源站信息 未传代表不修改，有传代表整个数组全量修改 origin[].origin string 是 源站ip或域名 origin[].port int 是 源站端口 支持http自定义端口，http不支持下发443端口 origin[].weight int 是 权重 范围：1100 origin[].role string 是 源站角色 取值: master, slave origin[].protocol string 否 源站类型 默认http，目前不支持自定义配置https源站。 reqhost string 否 回源host 未传代表不修改 originhosttype int 否 主备源携带不同的回源host是否开启 0：关闭 1：开启，未传代表不修改 originhosthttp dict 否 http类型origin带不同的回源host origin:origin每条的http类型origin当key，不同的回源host当value存储,例如{ “www.ctyun.1cn”:“www.ctyun.2cn”, },其中key必须是存在的源站origin:origin，未传代表不修改 blackreferer dict 否 referer黑名单 未传代表不修改，有传代表整个dict全量修改 blackreferer.allowlist list 是 referer黑名单列表 blackreferer.allowempty string 是 是否允许为空 “on”（允许为空）；“off”（不允许为空） whitereferer dict 否 referer白名单 未传代表不修改，有传代表整个dict全量修改 whitereferer.allowlist list 是 referer白名单列表 whitereferer.allowempty string 是 是否允许为空 “on”（允许为空）；“off”（不允许为空） filetypettl list 否 文件过期时间设置 未传代表不修改，有传代表整个数组全量修改 filetypettl[].filetype string 是 缓存文件类型，多个以逗号隔开 0:文件后缀,例如jpg,png,css（以",“分割） 1:目录,例如/test,/a/b/c（不能以”/"结尾） 2: 首页,固定为/ 3: 全部文件,固定为/ 4: 全路径，例如/index.html,/test/.jpg filetypettl[].ttl int 是 缓存时间 单位秒 filetypettl[].cachetype int 是 缓存类型 1（不缓存）；2（优先遵循源站）；3（强制缓存） filetypettl[].cachewithargs int 是 是否带参数缓存 0（不带参数缓存）；1（带参数缓存） filetypettl[].mode int 否 模式 0（文件后缀）；1（目录）；2（首页）； 3（全部文件）；4（全路径）；5（正则），不传默认0 filetypettl[].priority int 否 优先级 不传默认10 ipblacklist string 否 ip黑名单 黑白名单只允许存在一个，若同时存在只处理黑名单,多个ip以逗号分隔,示例：1.1.1.1,2.2.2.2,::1，未传代表不修改 ipwhitelist string 否 ip白名单 黑白名单只允许存在一个，若同时存在只处理黑名单,多个ip以逗号分隔,示例：1.1.1.1,2.2.2.2,::1，未传代表不修改 reqheaders list 否 自定义回源请求头 未传代表不修改，有传代表整个数组全量修改 reqheaders[].key string 是 自定义回源请求头名称 reqheaders[].value string 否 自定义回源请求头值 value为""代表删除对应的请求头 respheaders list 否 自定义响应头 未传代表不修改，有传代表整个数组全量修改 respheaders[].key string 是 自定义响应头名称 respheaders[].value string 否 自定义请求头值 value为""代表删除对应的响应头 errorcode list 否 错误码缓存配置 未传代表不修改，有传代表整个数组全量修改 errorcode[].code list 是 错误状态码 多个用逗号间隔 errorcode[].ttl int 是 缓存时间 单位秒 sharedhost string 否 共享缓存域名 未传代表不修改 httpsstatus string 否 是否开启https 取值：on、off，取值为on时，certname为必传字段，未传代表不修改 certname string 否 证书备注名 证书备注名，如果证书存在，此备注名必须存在，未传代表不修改 httpsbasic dict 否 https基础配置 未传代表不修改，有传代表整个dict全量修改 httpsbasic.httpsforce string 否 https强制跳转 “on”（跳转）；“off”（不跳转） httpsbasic.httpforce string 否 http强制跳转 “on”（跳转）；“off”（不跳转） httpsbasic.forcestatus string 否 强制跳转状态码 不传默认302 httpsbasic.originprotocol string 是 https回源协议 取值: http:用http协议回源 https:用https协议回源,followrequest:跟随访问协议进行回源 basicconf dict 否 http配置基础信息 未传代表不修改，有传代表整个dict全量修改 basicconf.usehttp2 int 否 是否开启http2 取值0：不开启，1：开启 默认0 basicconf.follow302 int 否 是否拉取跳转后文件 0: 否 1:是 limitspeeduri list 否 基于url参数限速 未传代表不修改，有传代表整个数组全量修改 limitspeeduri[].id string 是 limitspeeduri列表内唯一 可以考虑使用时间戳拼上列表索引，比如时间戳为11657615509083，拼上序列化0，则id为：116576155090830 limitspeeduri[].args string 是 uri参数名 limitspeeduri[].unit string 是 单位 可选值b/s，Kb/s，Mb/s limitspeeduri[].timeseg string 否 时段 正则表达式，比如：(08:[25][09] limitspeeduri[].weight int 否 优先级 默认值10，取值范围[1,) limitspeeduricondition dict 否 limitspeeduri的condition配置 { “{key}”:[ { “mode”:类型, “content”:“配置内容，多个以逗号间隔” } ] } mode类型为int，取值: 默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径, key为limitspeeduri中的id 限制： 一个key对应的数组大小只能是1，因为配置平台实际只支持配置一条 content必填，长度大于0，不能为空字符串或者空白字符串 使用数组除了保持和已有其他功能使用一致性，也方便将来扩展 limitspeedconst list 否 基于固定值限速 未传代表不修改，有传代表整个数组全量修改 limitspeedconst[].id string 是 limitspeedconst列表内唯一 可以考虑使用时间戳拼上列表索引，比如时间戳为11657615509083，拼上序列化0，则id为：116576155090830 limitspeedconst[].unit string 是 单位 可选值b/s，Kb/s，Mb/s limitspeedconst[].rate int 是 限速值 取值范围[0,) limitspeedconst[].timeseg string 否 时段 正则表达式，比如：(08:[25][09] limitspeedconst[].weight int 否 优先级 默认值10，取值范围[1,) limitspeedconstcondition dict 否 limitspeedconst的condition配置 { “{key}”:[ { “mode”:类型, “content”:“配置内容，多个以逗号间隔” } ] } mode类型为int，取值: 默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径, key为limitspeedconst中的id 限制： 一个key对应的数组大小只能是1，因为配置平台实际只支持配置一条 content必填，长度大于0，不能为空字符串或者空白字符串 使用数组除了保持和已有其他功能使用一致性，也方便将来扩展 返回参数说明： 参数 类型 是否必传 名称及描述 code int 是 状态码，成功100000 message string 是 描述信息，成功返回success，其他返回异常信息描述

“日审总览”页面呈现统计周期内当前工作空间中整体日志审计状况。 查看日审总览 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 安全云脑 SecMaster”，进入安全云脑管理页面。 3. 在左侧导航栏选择“工作空间> 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 日审总览”，进入日审总览页面。 5. 在日审总览页面查看整体日志审计状况，具体展示信息如下： 参数模块 参数说明 统计周期 日志审计的统计周期，可以在右上角设置显示周期。可以选择周期范围： 昨天 上一周 上一月 自定义：自定义日志审计报告的开始日期和结束日期。 日志存储 展示统计周期内日志总览和日志流速情况，包含以下信息： 总览 日志源数及其较上期变化 当前日志存储量及其较上期变化 日志记录总条数及其较上期变化 日志流速 日志平均每秒流入速率 日志平均每秒流入吞吐 日志平均日记录数 日志平均日存储量 日志记录数变化趋势 日志源接入流量TOP5 日志源接入数量分布TOP5 主机安全审计 统计周期内，HSS的安全日志和告警日志审计情况，包含以下信息： 活跃主机数及其较上期变化 主机登录源IP数及其较上期变化 主机告警次数及其较上期变化 活跃主机Top5 主机登录源IP分布 Top5 主机告警源IP分布 Top5 主机告警类型Top5分布 主机稀有告警类型Top5分布 公网网络审计 统计周期内，NDR的攻击日志和流量日志、DDoS的攻击日志审计情况，包含以下信息： NDR审计 公网来访流量（源IP） Top5 访问公网流量（源IP） Top5 公网来访范围（源IP） Top5 访问公网范围（源IP） Top5 网络攻击类型Top5 DDoS审计 DDoS攻击次数及其较上期变化 DDoS攻击源IP数及其较上期变化 DDoS攻击次数变化趋势 DDOS攻击来源IP Top5 应用访问审计 统计周期内，WAF的攻击日志和访问日志审计情况（核心审计对象为：应用、网络和域名），包含以下信息： 活跃域名数量及其较上期变化 WAF访问源IP数及其较上期变化 WAF攻击次数及其较上期变化 WAF拦截次数及其较上期变化 WAF访问源IP Top5 WAF攻击源IP Top5 WAF拦截源IP Top5 WAF攻击类型 Top5 活跃域名访问频次Top5 数据库访问审计 统计周期内，DBSS的告警日志审计情况（核心审计对象为：用户、数据库和操作），包含以下信息： 活跃数据库数及其较上期变化 数据库活跃用户数及其较上期变化 数据库告警源IP数及其较上期变化 SQL执行种类数及其较上期变化 活跃数据库IP Top5 数据库活跃用户Top5 SQL执行类型 Top5 数据库用户源IP数 Top5

参数 说明 服务器类型 Windows Linux 服务器名称 自定义的访问应用服务器名称，系统内“服务器名称”不能重复。 服务器地址 输入访问应用的服务器IP地址或域名。 类型 选择访问应用的浏览器或客户端工具类型。 “服务器类型”选择“Windows”时： 默认支持14种类型，包括MySQL Tool、Edge、FirefoxWindows、Oracle Tool、Chrome、VNC Client、SQL Server Tool、SecBrowser、VSphere Client、Radmin、dbisql、Navicat for MySQL、Navicat for PgSQL、Other “服务器类型”选择“Linux”时： 仅支持调用Firefox浏览器应用和达梦管理工具V8。 每一类应用类型默认一种应用程序，可在默认“程序启动路径”中获取应用程序名称。 端口 输入访问应用发布服务器的端口，Windows服务器默认为3389，Linux服务器固定为2376。 服务器帐户 “服务器类型”选择“Windows”时，需要配置此参数。 输入访问应用的服务器帐户。 因应用服务器通过AD域安装，“服务器帐号”输入格式为 域名 帐户名 ，例如 adadministrator 。 密码 “服务器类型”选择“Windows”时，输入访问应用的服务器帐户的密码。 “服务器类型”选择“Linux”时，密码联系天翼云技术支持获取。 所属部门 选择应用服务器的归属部门。 程序启动路径 “服务器类型”选择“Windows”时，需要配置此参数。 输入限制应用资源访问应用服务器上的具体应用的程序路径。 每种程序类型有一个默认启动路径，也可自定义启动路径。 例如：限制只能访问应用设备的Chrome浏览器，默认启动路径为“C:DevOpsToolsChromechrome.exe”。 选择“Other”类型，必须手动配置相应程序路径。 服务器描述 （可选）对应用服务器的简要描述。

本文介绍了通过控制台或本地代码获取对象文件的直接url地址(下载链接)的方法。 操作场景 对象文件的直接url地址可用于匿名用户直接下载对象文件，或程序代码中直接调用下载对象文件。 当用户需要获取某桶内某个对象文件的直接url地址时，可以通过如下两种方式解决： 通过控制台页面获取：详情请见通过URL访问对象。 本地通过代码获取：无需通过控制台，在本地通过代码获取对象文件的直接url地址的方法，请见本文后续介绍。 前提条件 用户已有对象文件上传至对象存储，已知该资源池对象存储服务的Endpoint域名，该对象文件所在的桶名称（bucketName）和对象键（key）。 对象键（key）为该对象文件的所有目录层级与文件名称加斜杠（/）后拼接而成。如一个对象文件在桶内的所有目录层级为“aaa/bbb”，文件名称为ccc.txt，该对象文件的对象键（key）是“aaa/bbb/ccc.txt”。 注意 如果需要通过该url地址实现匿名用户直接下载，对象文件的权限需要改为“公共读”。 代码样例 对象文件的公网下载地址为：公网Endpoint/桶名称/对象键（包含所有的目录层级） 对象文件的内网下载地址为：内网Endpoint/桶名称/对象键（包含所有的目录层级） 例如：华东1资源池对象存储服务的Endpoint域名为 根据上述原理，我们提供Java、Python、C++、Bash的代码样例如下，代码中的url参数就是用户所需的对象文件的直接url地址：

资源包有优惠活动吗？ 除归档存储的存储容量资源包外，其他规格资源包均支持包年优惠。相比按需计费方式，购买支持包年优惠的资源包享受一年 85 折，两年 7 折，三年 5 折的优惠。 资源包是否必须购买？是否能指定给具体的桶使用？ 资源包并不是必须要购买的，只要开通了ZOS服务，即使您没有购买也可以使用ZOS服务，此时计费模式采用按需计费。购买资源包后，使用时产生的用量会优先从资源包中进行抵扣。而且除归档存储的存储容量资源包外，其他规格资源包均支持包年折扣。相比按需计费的方式更优惠，因此推荐您按实际业务购买对应的资源包。 当前资源包可选存储类型和资源包类型，根据不同的资源包类型可以抵扣不同的服务。但资源包和具体的桶之间并不存在对应关系，也不支持将资源包指定给某个具体的桶使用。 资源包的冻结、销毁具体指什么？ 资源包冻结：资源包的冻结指资源包到期后发送冻结通知，冻结后的该资源包无法抵扣用户的资源使用量，用户的资源使用量会转为按需计费。但用户的存储数据和产品使用不受资源包冻结的影响。 资源包销毁：资源包的销毁指资源包冻结后的15天会发送销毁通知再一次提示用户该资源包无法抵扣资源使用量，若用户仍需要资源包抵扣资源使用量，请重新订购资源包。 对象存储内网访问是否收费？ 当用户使用同资源池的云主机内网访问对象存储时，可以访问对象存储的内网域名。通过内网域名访问对象存储时，内网流出流量免费，但请求次数等计费项仍然收费。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的Bot人机识别功能。 功能介绍 边缘安全加速平台安全与加速服务提供的人机识别模块支持Cookie挑战、跳转挑战、人机挑战等一系列反爬能力，帮助客户及时且精准地拦截爬虫流量，保障网站业务安全。 注意 目前控制台尚未开放人机识别功能，如有防护需求请通过 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 购买Bot防护扩展服务，支持Bot防护相关功能。 人机识别功能 Cookie基础检测 客户端标识检测：客户端标识检测是Bot防护第一检测策略，校验下发的Cookie个数和完整性，无客户端标识、客户端标识缺失、客户端标识解析失败都需要配置。 无客户端标识：针对请求没有Cookie的情况进行处理。 处理动作：拦截/告警/跳转/放行。 拦截：拦截请求。 告警：仅记录请求。 跳转：GET请求启动302跳转策略，POST请求启动307跳转策略。 放行：不对该异常做处理，另外不会再校验其他的BOT防护规则。 统计粒度：静态Cookie/IP+UA/IP。 触发条件：达到触发条件的请求将对其执行处理动作，并支持配置处理动作持续时长（触发规则后的惩罚时间）。 客户端标识缺失：针对请求带回Cookie个数小于下发的个数（最多会下发四个）进行处理。 客户端标识解析失败：针对失败解析Cookie的情况下进行处理。 其他字段： 客户端标识过期时间：默认15天，单位天，最大值365天。 白名单：即例外条件，符合条件的请求不进行功能检测。

本文向您介绍如何定时推送安全服务报告。 功能介绍 网站接入后，您可以通过创建报告订阅任务，向您的邮箱定时发送网站业务安全的服务报告，减少手动进入控制台手动获取统计数据的成本。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 配置了对应的安全防护策略，报告才会生成统计数据，您可以按需配置防护策略，请参见网站防护配置概述。 说明 默认脱敏显示您的联系方式等敏感信息，点击明文显示时，请您注意保护数据安全！ 如何配置报告订阅任务 1. 登录边缘安全加速平台控制台。 2. 进入【运营管理】>【报告订阅】页面。 3. 点击安全服务报告新增，进入新建任务界面，见下图。 配置项说明 配置项 说明 任务状态 报告订阅任务的状态，开启后定时推送任务才生效，关闭则不生效 任务名称 报告订阅的任务名称，限制不能重名 接收邮箱 接收服务报告的邮箱，支持配置多个 备注 可编辑任务的详细说明或备注信息 报告周期 可选择日报、周报、月报、单次 当选择日报时，报告默认统计前一天的数据 当选择周报时，报告默认统计前一周周一至周日的数据 当选择单次时，报告只发送一次，并且可以自由选择报告统计周期以及发送时间 发送时间 支持配置报告的发送时间，由于报告需要一定的生成时间，最终发送时间可能会有些许差异 配置完成，将生成任务卡片，可见下图：

本文主要介绍入门指引。 本文旨在帮助您了解云容器引擎（Cloud Container Engine，简称CCE）的基本使用流程以及相关的常见问题，帮助您快速上手容器服务。 使用步骤 完整的云容器引擎使用流程包含以下步骤： 图 CCE使用流程 步骤 1 注册帐号，并授予IAM用户相应的权限。 帐号无需授权即可拥有所有权限，由帐号创建的IAM子用户需要授予相应的权限才能使用CCE。 步骤 2 创建集群。 如果您需要创建普通Kubernetes集群，请参见 集群。 步骤 3 通过镜像或编排模板创建工作负载（应用）。 步骤 4 查看部署后工作负载的状态和日志信息，对工作负载进行相应的升级、伸缩和监控等。 常见问题 1. 我不懂kubernetes，是否可以使用CCE？ 可以使用，CCE管理控制台操作简单，并提供新手入门指导文档，您可以快速了解并使用CCE。 2. 我不会制作镜像，是否可以使用CCE？ CCE除了提供“我的镜像”功能用于存储您自行创建的镜像外，您还可以基于开源镜像创建容器应用。 3. 如何使用CCE创建工作负载？ 创建工作负载非常简单，您只需要先创建一个集群，再创建工作负载即可。详细步骤请参考 ）。 4. 如何创建一个可以在公网访问的工作负载？ 云容器引擎为满足多种复杂场景下工作负载间的互相访问，提供了不同的访问方式，从而满足不同场景提供不同访问通道。 5. 我有多个工作负载（在同个集群中），它们之间需要互相访问，应该怎么办？ 集群内访问表示工作负载暴露给同一集群内其他工作负载访问的方式，可以通过“集群内部域名”访问。 集群内部域名格式为“ . .svc.cluster.local: ”，例如“nginx.default.svc.cluster.local:80”。

本文说明全站加速服务的回源流量大于访问流量的原因及解决方案。 背景说明 使用全站加速后，用户请求均访问到节点，由节点响应文件给用户。在文件可缓存情况下，节点的访问流量通常远大于回源流量。如果通过客户控制台查看发现回源流量大于访问流量，可参考本文档进行排查。 可能原因 全站加速开启压缩，而源站未开启压缩 源站未开启压缩功能时，节点回源请求获取到的是非压缩文件，而节点上如果开启了压缩，针对用户请求头包括AcceptEncoding: gzip, deflate时，节点会响应压缩后的文件。由于压缩后文件大小约为未压缩文件大小的1030%，如果域名整体请求量较小，此时可能会造成全站加速服务的回源流量大于访问流量。 解决方案：此场景下建议源站开启Gzip压缩。详见：文件压缩。 注意 节点回源时，默认会携带Via请求头，对于请求头带有Via的请求，源站即便开启Gzip压缩，仍有可能无法返回正确的压缩响应，此时也会造成回源流量大于访问流量。该情况下建议调整源站的Gzip压缩配置以使其生效，以nginx为例，可通过设置：gzipproxied any使得Gzip压缩成功。 用户请求Range，但源站不支持Range，全站加速配置完整文件回源 如用户请求Range，而源站不支持Range，全站一般要配置完整文件回源才能缓存文件，此时源站响应的文件大于客户端请求的Range范围，如果用户最终并未请求完整文件，且域名总体请求量较小，此时也会造成回源流量大于访问流量。 解决方案：暂无。建议客户源站改造支持Range请求。

接口功能介绍 查询触发拉流场景下的配置信息。 使用说明 本接口目前适用于触发拉流。调用本接口查询域名下触发拉流的配置信息。单个用户一分钟限制调用100次。 接口详情 请求方式：POST 请求路径：/live/preload/querylazypullpreload 请求参数 参数名 类型 名称 是否必填 说明 ::::: domain string 域名 否 querystarttime string 查询起始时间 否 时间格式："20221128 18:03:48"。对应任务的创建时间 queryendtime string 查询结束时间 否 时间格式："20221128 20:03:48"。结束时间要大于开始时间 status int 状态 否 根据状态过滤。 1：下发成功；2：部署成功；3：执行成功；4：执行停止；1：下发失败；2：部署失败；3: 执行失败 page int 页码 否 默认1 pagesize int 页长 否 默认50。最长200 taskid string 任务ID 否 当taskid有传时，其他参数不生效。taskid与querystarttime & queryendtime 需要有一个必填。 响应参数 字段名称 类型 说明 ::: code int 标识。当code100000则提交成功，其他失败 message string 当code ! 100000则查询成功，显示错误信息 data list 查询失败则空数组 data.createtime string 创建时间。时间格式："20221128 18:03:48" data.duration string 预拉取的时长，范围为分钟。取值范围 10分钟600分钟。 data.status int 状态。 1：下发成功；2：部署成功；3：执行成功；4：执行停止；1：下发失败；2：部署失败；3: 执行失败 data.taskid string 任务id data.url string url total long 总数 示例 请求路径：

服务名称 交互功能 相关内容 弹性云主机 在弹性云主机上实现通过天翼云内网访问ZOS。 云专线 通过相关服务将数据迁移到ZOS中。 云监控 监控用户/桶的存储容量、存储对象数量、本月公网流出流量、本月请求次数、公网流出流量、公网流入流量、内网流出流量、内网流入流量、公网请求次数、内网请求次数、有效请求率、平均使用带宽。 密钥管理 对上传到ZOS中的文件进行加密。 域名服务 为托管在ZOS上的静态网站做域名解析。 关系数据库 使用ZOS作为数据库的数据备份资源池。