本章节主要介绍如何配置Redis源端参数。 由于分布式缓存服务（DCS）限制了获取所有Key的命令，CDM无法支持DCS作为源端，但可以作为迁移目的端，第三方云的Redis服务也无法支持作为源端。如果是用户在本地数据中心或ECS上自行搭建的Redis支持作为源端或目的端。 从本地Redis导出数据时，源端作业参数如下表所示。 表 Redis作为源端时的作业参数 参数名 说明 取值样例 Redis键前缀 键的前缀，类似关系型数据库的表名。 TABLE 值存储类型 仅支持以下数据格式： STRING：不带列名，如“值1，值2”形式。 HASH：带列名，如“列名1值1，列名2值2”的形式。 STRING 键分隔符 用来分隔关系型数据库的表和列名。 值分隔符 以STRING方式存储时，列之间的分隔符。 ; 字段相同 “值存储类型”参数值为“HASH”显示该参数。 哈希键内有相同的字段。 是

本文带您熟悉如何筛选和搜索备份策略,方便您查找已有的备份策略。 操作场景 您可以通过各种筛选条件在备份策略列表查看已有备份策略，也可以搜索已有的备份策略。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择上海上海36。 3. 在系统首页，选择“存储>云主机备份”。 4. 选择“备份策略”页签，点击“状态”列可筛选查看不同状态的备份策略。 备份策略各种状态的说明： 状态 状态属性 说明 全部 显示所有状态的备份策略。 启用 稳定状态 备份策略创建完成之后的稳定状态。该状态下可以执行各种操作。 停用 稳定状态 备份策略已停用，不可绑定存储库。 5. 您也可以在备份策略列表右上角的搜索框中输入要查找的备份策略名称进行搜索，搜索到的备份策略会显示在存储库列表中。

本文为您介绍专线网关的概念与特点。 专线网关概念 专线网关是客户站点和天翼云VPC之间的虚拟路由转发设备。作为数据从客户站点到云上VPC之间的传输桥梁，专线网关一端绑定物理专线，一端与客户站点需要访问的VPC直连。一个VPC只能关联一个专线网关，多条物理专线可以通过一个专线网关访问一个或多个VPC。 专线网关功能 专线网关有以下功能： 作为天翼云云端的虚拟私有云（VPC）与本地数据中心的中间路由转发设备，负责数据包的交换。 支持静态路由与BGP动态路由协议。 BGP：BGP（Border Gateway Protocal），边界网关协议，是一种用于在不同的自治系统之间交换路由信息的协议。自治系统是互联网上的一组网络，由一个或多个网络和路由器组成，被视为一个单一的管理单元。 路由规则支持IPv4类型、IPv6类型、双栈类型。 专线网关使用限制 单账户下支持创建20个专线网关。如需扩大配额，请提交工单进行申请。 每个专线网关有且仅有一张路由表，支持点对点的数据路由转发。 用户在创建专线网关之前要确保已有创建好的物理专线。

针对弹性云主机续费情况,为您进行说明,请在续费前务必阅读以下内容。 只有通过实名认证的客户，才可以执行续订操作。 按需资源、包年/包月转按需（已完成转按需或正在进行转按需）的资源不可续订。 未完成订单中的资源不允许续订，如开通中的资源、规格变更中的资源、退订中的资源。 已退订或释放的资源不可续费。 若资源到期后续费，续费周期自资源续订解冻开始，计算新的服务有效期，按照新的服务有效期计算费用。例如，客户资源2020年9月30号到期，10月11号续订1个月，那么资源新的服务开始时间为10月11号，到期时间为11月10号。相关费用自10月11号开始计算。 成套订购的套餐类组合产品，续订时套餐内产品整体续订；非成套订购、具有挂载关系的资源，续订时需要对单资源分别续订。 续费后，若实例停机前为运行中，系统会尝试自动重启。如果偶尔出现自动重开机失败的情况，您也可以手动启动实例。若实例停机前为关机，系统将不会自动重启，保持关机。

本节为您介绍如何创建迁移任务所需的目标机。 用户根据CMS推荐的目标机配置，根据实际情况进行相应调整，确定配置后，创建CMSPE系统目标机。 1. 左侧导航栏单击“主机管理”，选择需要查看的迁移源单击“详情”，进入主机管理界面。 2. 单击“推荐目标机配置”页签，查看CMS推荐的目标机配置： 说明 存储容量修改建议：一般待迁移设备，CMS会给对应目标机的分区推荐与源机一致的分区配置。系统盘不建议缩容，若用户需要缩容存储盘，需要根据计算公式：当前硬盘容量 硬盘使用率 1.5【或一年冗余增长空间】进行缩容。 说明 Linux请选择对应版本云迁移专用镜像。 说明 规格可根据推荐进行修改、镜像要选择CMSPE镜像启动。

本文介绍如何应用伸缩。 根据需求，可手动或通过添加伸缩策略的方式，实现对应用实例数量的控制。伸缩可实现范围再1~100内的实例伸缩。其中伸缩策略支持告警策略类型，支持监控CPU使用率及物理内存使用率两种指标的伸缩指标配置。 操作步骤 1.登录云容器引擎控制台，单击左侧导航栏的【工作负载】>【无状态】或【有状态】，进入应用管理列表； 2.点击应用，进入应用详情页面，点击选项【伸缩】； 1）手动伸缩：点击手动伸缩文本框，填写实例数目，点击”√”确认； 2）自动伸缩：点击【添加伸缩策略】，输入参数，参数说明如下表所示： 参数 参数说明 策略名称 输入策略的名称，伸缩策略名称必须符合163个字符，由小写字母、数字、横线（）和点（.）组成，且必须以字母和数字开头结尾 策略类型 选择自动伸缩策略类型，目前支持告警策略，告警策略基于检测的告警数据进行判断触发应用伸缩 指标 包括CPU使用率和物理内存使用率两种 触发条件 设置触发指标的阈值，单位为% 最大实例数 伸缩时允许达到的最大实例数，最大值为100 最小实例数 伸缩时允许达到的最小实例数，最小可设置为1

Web应用防火墙（边缘云版） 支持包年包月付费模式。本文介绍包年包月付费模式具体计费项、计费周期、价格以及计费规则等，帮助您了解本产品的计费相关信息。 包年包月的计费方式也称“包周期”计费方式，是需要预付费后才能开通服务，主要是适用于客户的业务场景比较稳定，可预估资源的使用周期，如果需要长时间的使用资源通过包周期产品的年折扣优惠，价格会更便宜。 备注：带宽扩展包不享受包年折扣。 计费项构成 计费模式 计费项 订购方式 计费周期 计费说明 包年包月（预付费） 套餐服务 官网 包年包月，以年、月为单位的计费周期，均指自然年、自然月 套餐服务（必选）：开通包年包月套餐版本。 体验版、基础版、标准版、专业版、旗舰版。 包年包月（预付费） 扩展服务 官网 如果扩展服务与套餐订购时间一致，到期时间与套餐一致；如果扩展服务订购时间晚于套餐服务，开始计费时间为扩展服务订购日期，到期时间与套餐一致。 扩展服务（可选，单独计费）； 您可以按需选择，扩展服务有效期与套餐服务有效期一致，套餐服务失效，扩展服务自动关停。

查看SQL审计日志 约束限制 支持查询日志类型为Query、Prepare、Execute、clone操作类型，支持筛选类型包括：关键字、时间范围、用户、数据库、操作类型、执行状态、客户端IP。 查看审计日志时，日志记录长度超过2000字符将被截断。如需查看，请下载该日志文件。 对于无法完全显示的SQL，鼠标悬停即可查看完整信息。 由于审计日志采集频率为每10分钟一次，故查看审计日志并不会实时记录sql操作，会有些许延迟。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例基本信息页面。 4. 单击SQL审计，进入SQL审计页面。 5. 在日志文件的操作 列，单击查看，即可查看到操作记录。 下载审计日志 约束限制 下载审计日志仅支持备份类型为对象存储的情况。 公网链接下载时会产生流量费用，具体资费参考备份，内网链接仅适用于在云主机使用。 注意 如选择内网下载，则将链接复制，使用wget ' 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例基本信息页面。 4. 单击SQL审计，进入SQL审计页面。 5. 在审计日志文件列表中，找到目标文件，单击生成，即可创建审计日志下载任务。 6. 待状态栏变为处理完成 ，单击下载，获取审计日志下载链接。 获取到下载链接后，您可以直接单击下载或复制链接到浏览器进行下载。 注意 下载链接有效期为1小时，如果下载链接过期，可以重新执行生成操作，获取新的下载链接。 审计日志文件下载过程中将占用对象存储流量，每次执行生成操作都将根据文件实际大小消耗对应流量。针对每个实例每天可下载的日志量上限为500MB，其中日志类型包括慢日志、错误日志、审计日志。请谨慎按需下载。 如果执行迁移可用区会导致该时间段的日志丢失。

本文介绍WAF针对DeepSeek安全防护场景提供的Web防护方案。 背景介绍 随着人工智能技术的快速发展，很多企业选择在GPU云主机或GPU裸金属上搭建DeepSeek私有化服务，在这个过程中，用户不仅享受到了强大的AI算力资源，同时也面临着复杂的网络威胁，如DDoS攻击、SQL注入、跨站脚本（XSS）等。 为了保障AI算力资源、训练数据及服务API链路的安全性，部署Web应用防火墙成了必不可少的安全举措。Web应用防火墙支持多种定制化的安全防护策略，帮助企业有效应对各种网络威胁，确保DeepSeek服务的稳定运行，保障DeepSeeK安全性。 DeepSeek安全防护场景示意图 在DeepSeek Web安全防护场景中，用户的DeepSeeK服务部署在GPU云主机或GPU裸金属上，WAF作为前端的安全网关，负责过滤所有进入的流量。通过WAF的定制化规则和先进的内容检测引擎，恶意流量被有效拦截，确保AI算力资源和训练数据的安全。 安全风险及应对方案 风险名称 风险描述 WAF应对方案 相关文档 Web UI漏洞 Open WebUI 0.1.105版本存在文件上传漏洞，ComfyUI多个插件存在安全漏洞。部署大模型过程中，通常会使用大模型自带的WebUI组件，开源的Web UI组件以及老旧的版本，为大模型的部署和应用带来了巨大的入侵风险。 开启WAF的Web攻击防护功能，为Web UI提供必要的安全防护能力。 Web基础防护 企业敏感信息泄露 企业利用私有数据进行数据训练时，私有数据可能包含商业敏感信息，存在数据泄露风险。 根据企业机密信息内容，通过WAF精准访问控制功能，对敏感信息进行检测拦截，保障企业数据安全。 精准访问控制 大模型输入输出内容违规 私有化大模型输入输出内容可能涉及政治、赌博、色情、违法犯罪等违规内容，影响企业声誉。 通过WAF敏感信息防泄漏功能，自动屏蔽违规内容，保障企业声誉安全。 防敏感信息泄露 应用层CC攻击及API互联网暴露风险 由于多用户同时使用或单用户对大模型API接口的频繁调度导致大模型token被大量占用，服务器繁忙无法为用户提供正常服务；大模型API接口的暴露，会为用户的API接口带来安全风险。 采用WAF的CC防护限速功能，保证大模型连续可用性；建设API安全监测与分析能力，降低因API漏洞造成的安全风险。 CC防护 API安全

本章节介绍数据迁移的计费说明。 目前在线迁移服务暂不收取服务费用，但因迁移数据时会产生数据的上传下载以及API请求，所以会产生对应的下行流量费用以及API请求次数费用。 下行流量说明 数据迁移时，服务会将数据先从源端下载，再将数据上传至媒体存储，这个过程会产生源端的下行流量费用，流量由已迁移数据的实际大小决定，数据上传至媒体存储不收取费用。 1.如果源端为第三方云厂商，数据迁移时产生的下行流量费用由第三方云厂商收取。 2.如果源端为媒体存储，数据迁移时产生的下行流量费用由天翼云收取。 API请求次数说明 以下说明基于单个文件的请求次数 场景 源端 目的端 对于源地址中与目的地址不同名的文件 1. 迁移前对比数据，确认对象是否存在和对比需要一次head请求 2. 迁移数据需要一次get请求 1. 迁移前对比数据，确认对象是否存在和对比需要一次head请求 2. 迁移数据需要一次put请求 3. 迁移完成后校验数据需要一次head请求 对于源地址和目的地址的同名文件，并且文件需要迁移至目的端 1. 迁移前对比数据，确认对象是否存在和对比需要一次head请求 2. 迁移数据需要一次get请求 1. 迁移前对比数据，确认对象是否存在和对比需要一次head请求 2. 迁移数据需要一put请求 3. 迁移完成后校验数据需要一次head请求 对于源端和目的端的同名文件，并且文件不需要迁移至目的端 迁移前对比数据，确认对象是否存在和对比需要一次head请求 1. 迁移前对比数据，确认对象是否存在和对比需要一次head请求 2. 迁移完成后校验数据需要一次head请求 注意： 如果迁移文件大于或等于100MB，则迁移数据时会将文件进行分片后再上传，单个分片大小为50MB，此时迁移数据的请求数根据迁移数据大小决定。如果进行了分片处理，在分片之前会有一个post请求，分片上传完毕之后合并分片会有一个post请求。 例如：大小为150M的文件会被分成三片，迁移时源端请求数与之前一致，数据迁移过程中目的端会产生三次put请求和两次post请求，因此目的端整个流程一共有两次head请求，两次post请求和三次put请求。 采用传入文件或者文件列表形式的方式进行迁移，每个object会多产生一次head请求（为了验证传入的文件是否存在）。

本节主要介绍备份迁移 备份迁移场景最后一个备份文件选择错误该如何处理 备份迁移过程中，根据选择“最后一个备份文件”来判断是否为最后一次备份，对于人工操作中不可控的误选择，有以下两种情况及处理方法： 选择“是”，但原本期望为否，即仍然希望继续做增量备份迁移。但由于SQL Server本身的设计，数据库一旦收到还原已完成的信号，便会做一系列的内部工作并把数据库置为可用，已无法继续增量备份迁移。此时，只能删除备份数据库重新进行全量+增量的备份还原。 选择“否”，但原本期望为是，即不希望继续恢复增量备份迁移。其实SQL Server没有严格意义上的的最后一个备份文件，此时可以再做一个增量备份（即使没有数据改变也可以备份），在该次增量备份时选择“是”即可完成迁移，相关数据库将会变为可用。 手动配置信息 操作场景 目前从本地或虚拟机通过DRS备份迁移功能直接迁移到本云RDS for SQL Server实例上，在迁移完成后还需要针对Login账号，DBLink，AgentJOB，关键配置进行识别，并手动完成相关同步工作。 Login账号 Login账号即SQL Server的实例级账号，主要用于用户管理用户服务器权限与数据库权限。一个用户通常会有多个该类型账号，用户迁移到RDS for SQL Server实例后，需要手动将自己本地的Login账号同步在实例上进行创建，以下方法将介绍如何在本云RDS for SQL Server实例上创建同名，同密码的Login账号，并进行授权操作。 步骤 1 通过以下脚本获取本地实例Login账号创建脚本，获取到的脚本可以直接在目标端上执行，以创建同名，同密码的Login账号。 SELECT 'IF (SUSERID('+QUOTENAME(SP.name,'''')+') IS NULL) BEGIN CREATE LOGIN ' +QUOTENAME(SP.name)+ CASE WHEN SP.typedesc 'SQLLOGIN' THEN ' WITH PASSWORD ' +CONVERT(NVARCHAR(MAX),SL.passwordhash,1)+ ' HASHED,SID' +CONVERT(NVARCHAR(MAX),SP.SID,1)+',CHECKEXPIRATION ' CASE WHEN SL.isexpirationchecked 1 THEN 'ON' ELSE 'OFF' END +', CHECKPOLICY ' +CASE WHEN SL.ispolicychecked 1 THEN 'ON,' ELSE 'OFF,' END ELSE ' FROM WINDOWS WITH' END ' DEFAULTDATABASE[' +SP.defaultdatabasename+ '], DEFAULTLANGUAGE[' +SP.defaultlanguagename+ '] END;' as CreateLogin FROM sys.serverprincipals AS SP LEFT JOIN sys.sqllogins AS SL ON SP.principalid SL.principalid WHERE SP.type 'S' AND SP.name NOT LIKE '

本节介绍了设置安全组规则的相关内容。 操作场景 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互信任的弹性云主机和关系型数据库实例提供访问策略。 为了保障数据库的安全性和稳定性，在使用关系型数据库实例之前，您需要设置安全组，开通需访问数据库的IP地址和端口。 通过弹性公网IP连接RDS实例时，需要为RDS所在安全组配置相应的入方向规则。 通过内网连接RDS实例时，设置安全组分为以下两种情况： − ECS与RDS实例在相同安全组时，默认ECS与RDS实例互通，无需设置安全组规则。 − ECS与RDS实例在不同安全组时，需要为RDS和ECS分别设置安全组规则。 设置RDS安全组规则：为RDS所在安全组配置相应的入方向规则。 设置ECS安全组规则：安全组默认规则为出方向上数据报文全部放行，此时，无需对ECS配置安全组规则。当在ECS所在安全组为非默认安全组且出方向规则非全放通时，需要为ECS所在安全组配置相应的出方向规则。 本节主要介绍如何为RDS实例设置相应的入方向规则。 注意事项 因为安全组的默认规则是在出方向上的数据报文全部放行，同一个安全组内的弹性云主机和关系型数据库实例可互相访问。安全组创建后，您可以在安全组中定义各种访问规则，当关系型数据库实例加入该安全组后，即受到这些访问规则的保护。 默认情况下，一个用户可以创建100个安全组。 默认情况下，一个安全组最多只允许拥有50条安全组规则。 一个RDS实例允许绑定多个安全组，一个安全组可以关联多个RDS实例。 为一个安全组设置过多的安全组规则会增加首包延时，因此，建议一个安全组内的安全组规则不超过50条。 当需要从安全组外访问安全组内的关系型数据库实例时，需要为安全组添加相应的入方向规则。 说明 为了保证数据及实例安全，请合理使用权限。建议使用最小权限访问，并及时修改数据库默认端口号（3306），同时将可访问IP地址设置为远程主机地址或远程主机所在的最小子网地址，限制远程主机的访问范围。 源地址默认的IP地址0.0.0.0/0是指允许所有IP地址访问安全组内的关系型数据库实例。

本节基于天翼云分布式缓存服务实践所编写，用于指导您在以下场景使用DCS实现排行榜功能。 场景介绍 在网页和APP中常常需要用到榜单的功能，对某个keyvalue的列表进行降序显示。当操作和查询并发大的时候，使用传统数据库就会遇到性能瓶颈，造成较大的时延。 使用分布式缓存服务（DCS）的Redis版本，可以实现一个商品热销排行榜的功能。它的优势在于： 数据保存在缓存中，读写速度非常快。 提供字符串（String）、链表（List）、集合（Set）、哈希（Hash）等多种数据结构类型的存储。 实践指导 1. 准备一台弹性云主机（ECS），选择Windows系统类型。 2. 在ECS上安装JDK1.8以上版本和Eclipse，下载jedis客户端（点此处直接下载jar包）。 3. 在天翼云控制台购买DCS缓存实例。注意和ECS选择相同虚拟私有云、子网以及安全组。 4. 在ECS上运行Eclipse，创建一个java工程，为示例代码创建一个productSalesRankDemo.java文件，并将jedis客户端作为library引用到工程中。 5. 将DCS缓存实例的连接地址、端口以及连接密码配置到示例代码文件中。 6. 编译并运行得到结果。 代码示例 package dcsDemo02; import java.util.ArrayList; import java.util.List; import java.util.Set; import java.util.UUID; import redis.clients.jedis.Jedis; import redis.clients.jedis.Tuple; public class productSalesRankDemo { static final int PRODUCTKINDS 30; public static void main(String[] args) { //实例连接地址，从控制台获取 String host "192.168.0.246"; //Redis端口 int port 6379; Jedis jedisClient new Jedis(host, port); try { //实例密码 String authMsg jedisClient.auth(""); if (!authMsg.equals("OK")) { System.out.println("AUTH FAILED: " + authMsg); } //键 String key "商品热销排行榜"; jedisClient.del(key); //随机生成产品数据 List productList new ArrayList<>(); for(int i 0; i sortedProductList jedisClient.zrevrangeWithScores(key, 0, 1); for(Tuple product : sortedProductList) { System.out.println("产品ID： " + product.getElement() + ", 销量： " Double.valueOf(product.getScore()).intValue()); } System.out.println(); System.out.println(" "+key); System.out.println(" 前五大热销产品"); //获取销量前五列表并输出 Set sortedTopList jedisClient.zrevrangeWithScores(key, 0, 4); for(Tuple product : sortedTopList) { System.out.println("产品ID： " + product.getElement() + ", 销量： " Double.valueOf(product.getScore()).intValue()); } } catch (Exception e) { e.printStackTrace(); } finally { jedisClient.quit(); jedisClient.close(); } } }

本节介绍如何申请开通Web应用防火墙（独享版）独享引擎。 前提条件 已获取管理控制台的登录账号（配置WAF Administrator或WAF FullAccess权限策略）与密码。 已成功申请虚拟私有云VPC。 已创建了资源集。 操作须知 申请成功后，独享引擎实例规格不能修改。 创建实例大约需要10分钟。当实例的运行状态为“运行中”时，说明实例已经创建成功。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 首次申请独享引擎时，在界面左侧，单击“立即申请独享模式”。 步骤5 在“申请Web应用防火墙”界面，配置WAF实例参数如下图。 WAF独享引擎实例参数说明： 参数名称 说明 计费模式 WAF独享引擎实例为按需计费，实例从创建成功开始计费到删除实例时结束计费，按实际使用时长（精确到秒）计费。 区域 原则上，在任何一个区域申请的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率，建议您在申请WAF时，根据防护业务的所在区域就近选择申请的WAF区域。 可用区 选择区域中的可用区。 WAF实例名称前缀 设置WAF实例名称前缀，申请多个实例时，实例前缀名称相同。 WAF实例数量 设置申请的WAF实例个数。 WAF实例规格 选择实例的规格。WAF支持500Mbit/s和100Mbit/s两种规格。 CPU架构 选择实例的CPU架构。 CPU规格 选择实例的CPU规格。 预计最终规格 吞吐量的性能参考值。 虚拟私有云 选择源站所在的VPC。 业务网卡 选择VPC中已配置的子网。 安全组 选择区域中已有的安全组，或者单击“管理安全组”，跳转到VPC管理控制台创建新的安全组。选择安全组后，该实例将受到该安全组访问规则的保护。 说明 安全组建议配置以下访问规则： 入方向规则：根据业务需求添加指定端口入方向规则，放通指定端口入方向网络流量。例如，需要放通“80”端口时，您可以添加“策略”为“允许”的“TCP”、“80”协议端口规则。 出方向规则：默认。放通全部出方向网络流量。 如果WAF独享引擎实例与源站不在同一个VPC中，需要在安全组中设置实例与源站的子网互通。 步骤6 确认参数配置无误后，在页面右下角单击“下一步”。 步骤7 确认订单详情无误，单击“立即申请”。 步骤8 单击“返回独享引擎列表”，在独享引擎实例列表界面，可以查看实例的创建情况。

本节介绍订购WAF独享引擎实例的操作步骤。 前提条件 已获取管理控制台的登录账号（配置WAF Administrator或WAF FullAccess权限策略）与密码。 已成功申请虚拟私有云VPC。 已创建了资源集。 操作须知 申请成功后，独享引擎实例规格不能修改。 创建实例大约需要10分钟。当实例的运行状态为“运行中”时，说明实例已经创建成功。 操作步骤 步骤1 登录天翼云账号，在服务列表中找到Web应用防火墙（独享版）。 步骤2 在产品详情页点击立即开通，点击进入订购页面，补充购买信息。 步骤3 确认订单详情无误，单击“立即申请”。 步骤4 单击“返回独享引擎列表”，在独享引擎实例列表界面，可以查看实例的创建情况。实例创建需一定的时间，可在控制台查看运行状态。 WAF独享引擎订购参数说明 参数名称 说明 计费模式 WAF独享引擎实例支持按需和包年包月计费，实例从创建成功开始计费到删除实例时结束计费，按实际使用时长（精确到秒）计费。 区域 原则上，在任何一个区域申请的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率，建议您在申请WAF时，根据防护业务的所在区域就近选择申请的WAF区域。 可用区 选择区域中的可用区。 WAF实例名称前缀 设置WAF实例名称前缀，申请多个实例时，实例前缀名称相同。 WAF实例数量 设置申请的WAF实例个数。 WAF实例规格 选择实例的规格。WAF支持500Mbit/s和100Mbit/s两种规格。 CPU架构 选择实例的CPU架构。 CPU规格 选择实例的CPU规格。 预计最终规格 吞吐量的性能参考值。 虚拟私有云 Web应用防火墙（独享版）需要配合VPC使用，购买时选择被防护源站所在的VPC即可。 业务网卡 选择VPC中已配置的子网。 安全组 选择区域中已有的安全组，或者单击“管理安全组”，跳转到VPC管理控制台创建新的安全组。选择安全组后，该实例将受到该安全组访问规则的保护。 安全组建议配置以下访问规则： 入方向规则：根据业务需求添加指定端口入方向规则，放通指定端口入方向网络流量。例如，需要放通“80”端口时，您可以添加“策略”为“允许”的“TCP”、“80”协议端口规则。 出方向规则：默认。放通全部出方向网络流量。 如果WAF独享引擎实例与源站不在同一个VPC中，需要在安全组中设置实例与源站的子网互通。

创建关系数据库MySQL版实例后，需要将IP地址添加到白名单，该IP地址所属的设备才能访问该关系数据库MySQL版实例。本文介绍如何为关系数据库MySQL版设置IP白名单。 注意 仅II类型资源池支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 主实例，只读实例，数据库代理的白名单彼此独立，各实例需要单独设置白名单。 前提条件 源IP能够与数据库实例所在的网络相互通信。 背景信息 关系数据库MySQL版实例已经支持安全组功能，在此基础上，使用IP白名单配置，可以强化数据库的安全管理。 管理白名单分组 创建白名单分组 注意 您可以在开通实例时选择是否将VPC网段加入到实例白名单中，使同一VPC内的云主机可访问该实例（目前仅部分资源池支持，以订购页实际显示为准），如果选择否，则即使同一VPC内云主机也访问不到数据库，需要在白名单中添加指定IP才可访问。 资源池架构升级前的实例，默认白名单功能是关闭的，即所有内网IP都可以访问；资源池架构升级后的实例（2024年12月30日前后），无论内网还是外网访问，无论是否同一VPC内，都需要配置白名单，只有白名单中的IP才可以访问数据库实例。 如果实例绑定了弹性IP，需要将访问弹性IP的源端地址的公网IP配置进白名单。（源端地址的公网IP指访问弹性IP对应机器的公网出口IP，可通过搜索引擎查询IP地址获取）。 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例基本信息页面。 4. 单击白名单与安全组，进入白名单与安全组管理页面。 5. 单击创建白名单分组。 6. 选择协议类型为IPv4或IPv6。 如选择IPv4协议，多个IP或者IP段通过英文分号分隔。如需放开特定网段需使用星号 代替，例如“172. . . ”、“192. 168 . . ”。 如选择IPv6协议，则需要填写具体的地址，不可用星号代替。 注意 IPv4和IPv6协议总共最多设置1000个IP地址或IP段，如果IP地址较多，建议将零散的IP合并为IP段，如：192.168.1.0/24。 如果IP段设置为 . . . ，则表示对所有公网开放。 7. 填写完毕，单击确定。 8. 从源IP访问数据库确认是否有连接报错。

迁移准备 1.权限准备： 当使用 DRS 将本地数据库的数据迁移到本云云数据库MySQL 实例时，在不同迁移类型情况下，对源数据库和目标数据库的帐号权限要求如表所示： 表1 迁移账号权限 迁移类型 全量迁移 全量+增量迁移 源数据库 SELECT、SHOW VIEW、EVENT。 SELECT、SHOW VIEW、EVENT、LOCK TABLES、REPLICATION SLAVE、REPLICATION CLIENT。 目标数据库 SELECT、CREATE、ALTER、DROP、DELETE、INSERT、UPDATE、INDEX、EVENT、CREATE VIEW、CREATE ROUTINE、TRIGGER、WITH GRANT OPTION。 SELECT、CREATE、ALTER、DROP、DELETE、INSERT、UPDATE、INDEX、EVENT、CREATE VIEW、CREATE ROUTINE、TRIGGER、WITH GRANT OPTION。 源数据库的权限设置： 需要确保源数据库MySQL的帐号具备表1的权限，若权限不足，需要在源数据库端创建高权限的帐号。 目标数据库的权限设置： 本云云数据库MySQL使用初始帐号即可。 2.网络准备： 源数据库的网络设置： 本地MySQL数据库实时迁移至本云云数据库MySQL的场景，一般可以使用VPN网络和公网网络两种方式进行迁移，您可以根据实际情况为本地MySQL数据库开放公网访问或建立VPN访问。一般推荐使用公网网络进行迁移，该方式下的数据迁移过程较为方便和经济。 目标数据库的网络设置：若通过VPN访问，请先开通天翼云VPN服务，确保源数据库MySQL和目标端本云云数据库MySQL的网络互通。 若通过公网网络访问，本云云数据库MySQL实例不需要进行任何设置。 3.安全规则准备： 源数据库的安全规则设置：若通过公网网络进行迁移，源数据库MySQL需要将DRS迁移实例的弹性IP添加到其网络白名单内，使源数据库与本云的网络互通。在设置网络白名单之前，需要获取DRS迁移实例的弹性IP，具体方法如下： DRS迁移实例创建成功后，可在“源库及目标库”页面获取DRS迁移实例的弹性IP。 图4 迁移实例EIP 若通过VPN网络进行迁移，源数据库MySQL需要将DRS迁移实例的私有IP添加到其网络白名单内，使源数据库与本云的网络互通。DRS迁移实例创建成功后，可在“源库及目标库”页面获取DRS迁移实例的私有IP。 以上白名单是为了进行迁移针对性设置的，迁移结束后可以删除。 目标数据库安全规则设置： 目标数据库默认与DRS迁移实例处在同一个VPC，网络是互通的，DRS可以直接写入数据到目标数据库，不需要进行任何设置。 4.其他事项准备 DRS支持部分与业务和性能强相关的参数迁移，具体参数列表请参见参数列表。若涉及其他参数需要根据用户具体的业务进行手动设置。

本章节介绍如何基于消息队列RocketMQ实现全链路灰度 概述 本文介绍在使用消息队列（RocketMQ）这种异步场景下，可以在不修改业务代码的情况下，实现异步场景的灰度，从而实现全链路灰度。本文介绍基于消息队列RocketMQ实现全链路灰度。 背景介绍 在大多数业务场景中对于消息的灰度并没有RPC调用那么严格，但是当全链路灰度调用中涉及到消息消费时，如果消息消费没有按照全链路流量规则路由，则会导致通过消息产生的流量逃逸，从而破坏全链路规则，导致出现一些不符合预期的情况。 如下图所示，本文分别部署网关、appa、appagray、appb、appbgray、appc、appcgray以及RocketMQ，模拟一个真实的全链路灰度场景。 通过网关调用appa应用的接口，当满足路由规则后，灰度流量会被路由到appagray，appagray又会调用appbgray，随后由appbgray发送灰度消息，appcgray将会收到灰度消息，而appc不会收到灰度消息。 前提条件 1. 用户已开通微服务治理中心企业版。 2. 用户已开通云容器引擎。 3. 用户已部署RocketMQ，且RocketMQ版本在4.5.0以上，broker.conf中已配置enablePropertyFiltertrue。 部署Demo应用 准备自建入口网关msgczuul，准备应用msgcappa，msgcappb和msgcappc。调用过程是msgcappa –> msgcappb > msgcappc。 步骤1：在云容器引擎中安装微服务治理插件： 1. 登录“云容器引擎”控制台。 2. 在左侧菜单栏选择“集群”，点击目标集群。 3. 在集群管理页面点击“插件”“插件市场”，选择“cubems”插件安装。 步骤2：为应用开启微服务治理能力： 1. 登录“云容器引擎”控制台。 2. 左侧菜单栏选择“集群”，点击目标集群。 3. 在集群管理页面点击“工作负载”“无状态”，选择目标命名空间。 4. 在Deployment列表页选择指定Deployment，并点击“全量替换”，进入Deployment编辑页。 5. 在Deployment编辑页点击“显示高级设置”，新增“Pod标签”: mseCubeMsAutoEnable:on。 6. 在发布应用时，配置指定环境变量，可指定注入微服务治理中心的应用名、命名空间和标签等信息。 环境变量配置如下： 环境变量名 环境变量值 MSEAPPNAME 接入到微服务治理中心的应用名。 MSESERVICETAG 应用标签信息，如灰度应用可配置gray。 MSENAMESPACE（选填） 接入到微服务治理中心的命名空间，默认为：default。 7. 完成编辑后点击“提交”，重新发布容器即可接入。 appa应用的配置 基线： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appa" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appa" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appa" spec: containers: env: name: "MSEAPPNAME" value: "appa" image: "镜像仓库域名/xxx/appa:latest" imagePullPolicy: "Always" name: "appa" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" 灰度： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appa" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appa" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appa" spec: containers: env: name: "MSEAPPNAME" value: "appa" name: "MSESERVICETAG" value: "gray" image: "镜像仓库域名/xxx/appa:latest" imagePullPolicy: "Always" name: "appa" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" appb应用的配置 基线： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appb" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appb" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appb" spec: containers: env: name: "MSEAPPNAME" value: "appb" image: "镜像仓库域名/xxx/appb:latest" imagePullPolicy: "Always" name: "appb" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" 灰度： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appb" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appb" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appb" spec: containers: env: name: "MSEAPPNAME" value: "appb" name: "MSESERVICETAG" value: "gray" image: "镜像仓库域名/xxx/appb:latest" imagePullPolicy: "Always" name: "appb" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" appc应用的配置 基线： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appc" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appc" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appc" spec: containers: env: name: "MSEAPPNAME" value: "appc" image: "镜像仓库域名/xxx/appc:latest" imagePullPolicy: "Always" name: "appc" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" 灰度： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appc" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appc" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appc" spec: containers: env: name: "MSEAPPNAME" value: "appc" name: "MSESERVICETAG" value: "gray" image: "镜像仓库域名/xxx/appc:latest" imagePullPolicy: "Always" name: "appc" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" zuul应用的配置： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "zuul" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "zuul" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "zuul" spec: containers: env: name: "MSEAPPNAME" value: "zuul" image: "镜像仓库域名/xxx/zuul:latest" imagePullPolicy: "Always" name: "zuul" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi"

本文介绍对象存储文件下载方式工具的使用方法。 对象存储ZOS提供文件下载方式工具。您可以在界面中，选择合适的文件下载方式，查询对应的解决方案。 使用方法 使用网络异常工具的步骤如下： 1. 点击进入文件下载方式工具。 2. 点击“对象存储文件下载方式”中的具体下载方式。 使用天翼云控制台下载：用户可以通过登录到网页形式的控制台来下载对象存储中的文件。 使用windows客户端工具下载：用户可以使用S3 Browser将ZOS上的文件下载到本地。S3 Browser是一个支持S3接口服务的免费windows客户端工具。 使用命令行工具zosutil下载：用户可以使用zosutil工具将ZOS上的文件下载到本地。zosutil是一款用于管理天翼云对象存储服务的命令行工具。 使用API/SDK下载：对象存储提供多种语言的SDK包，支持下载对象。对象存储也支持通过CTAPI生成下载文件的临时预签名链接。 3. 可以看到对应的解决方案。

本文主要介绍海量文件服务OceanFS的产品概述和产品架构。 产品概述 海量文件服务OceanFS是天翼云推出的全托管、可扩展海量文件系统，满足海量数据、高带宽型应用场景的需求。OceanFS能够弹性扩展至PB规模，具备高可用性和持久性，适用于多种应用场景，包括HPC、媒体处理、文件共享、内容管理和Web服务等。 产品架构 如何访问海量文件服务 文件系统不可独立使用，也不可通过URL访问，须要挂载云主机、容器、弹性裸金属、物理机等计算服务上才可进行读写。文件系统挂载之后可以作为一个普通的磁盘来使用。 如何管理海量文件服务 天翼云提供如下方式进行海量文件服务的配置和管理： 控制台：天翼云提供Web化的服务管理平台，即控制台。 OpenAPI：天翼云提供基于HTTPS请求的API（Application programming interface）管理方式，具体参考API概览。

本文主要介绍如何关闭健康检查。 如果您不需要四层或七层的健康检查功能，可以在创建监听器或后端主机组时，不开启健康检查开关。对于已经创建健康检查的后端主机组，可以在修改健康检查时，选择关闭健康检查开关。 您可以关闭健康检查功能，但关闭健康检查后，后端云主机将不再收到健康检查报文，此时监听器认为后端云主机处于健康状态。当后端某个云主机健康检查出现异常时，负载均衡还是会把请求转发到该异常的后端云主机上，造成部分业务不可访问。在此场景下，需要用户保证主机业务端口正常。所以建议您不要关闭健康检查。 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 选择“服务列表 > 网络 > 弹性负载均衡”。 4. 在“负载均衡器”界面，单击需要关闭健康检查的负载均衡名称。 5. 在“后端主机组”页签下，选择需要关闭健康检查的后端主机组名称。 6. 在基本信息页面，单击“健康检查”右侧的“配置”。 7. 在“配置健康检查”界面，可根据需要关闭健康检查。 8. 单击“确定”。

本节介绍了容器镜像服务的应用场景。 容器镜像管理 用户需要自建本地镜像仓库，但涉及到组件安装、权限配置、集群整合等复杂的搭建流程；且后期管理存在大量麻烦、耗时的后台操作，同时需要长期的对本地仓库进行维护，运维成本高；用户需要快速完成仓库搭建，提升镜像管理效率，降低成本。 通过使用容器镜像服务产品，支持可视化界面操作，无需用户具备专业运维知识即可快速完成镜像仓库搭建，基于镜像服务全生命周期的管理能力，满足用户普遍使用需求。 容器化一键部署 用户上云过程中，若本地进行镜像上传进行业务容器化操作，当集群节点数多，单个节点涉及业务种类多，且业务更新频繁时，后台镜像操作将变得繁琐费时，业务容器化效率低下。需要简化操作，提升业务部署效率。 联合云容器引擎，使用容器镜像服务CRS中的容器镜像，快速实现业务容器化部署。

本文主要介绍健康检查时间窗。 健康检查机制的引入，有效提高了业务服务的可用性。但是，为了避免频繁的健康检查失败引起的切换对系统可用性的冲击，健康检查只有连续多次检查成功或失败后，才会进行状态切换。 以共享型负载均衡的健康检查为例，健康检查时间窗由以下三个因素决定： 健康检查时间窗由以下三个因素决定： 检查间隔：每隔多久进行一次健康检查。 超时时间：等待云主机返回健康检查的时间。 最大重试次数：健康检查连续成功的次数。 系统必须连续3次检查失败，才会判定后端云主机健康检查失败，与“最大重试次数”设置的数值无关。 健康检查时间窗的计算方法如下： 健康检查成功时间窗 超时时间×最大重试次数 + 检查间隔×(最大重试次数1) 健康检查失败时间窗 超时时间×3 + 检查间隔×(31) 检查间隔：4s 超时时间：2s 健康检查检测到后端云主机从正常到失败状态，健康检查失败时间窗 超时时间×3+检查间隔×(31) 2 x 3+4 x (31) 14s。

本文主要介绍了重点操作短信验证的验证规则。 短信验证规则 1.若您已开启短信验证，在您进行重点操作时，在点击最后一步"确认"时弹出二次认证窗口，进行短信验证，如下图所示。 2. 点击“获取验证码”，系统向绑定的天翼云手机号发送二次认证码，每间隔1分钟才能获取验证码。在您进行短信验证时，获取验证码单次有效时间5分钟，请在有效时间内完成验证，如下图所示。 注：请勿关闭弹窗并及时验证，关闭该弹窗验证码即失效。 3.点击”确认“按钮后，即可进行重点操作。短信验证功能一旦开启，所有重点操作统一开启，短信验证的有效期为15分钟，15分钟内做其他操作不需要重复验证。 4.若您超过五次以上获取验证码，该功能将被锁定20分钟，如下图所示。

服务名称 服务类别 关联与区别 防护对象 态势感知（专业版） 安全管理 态势感知（专业版）着重呈现全局安全威胁攻击态势，统筹分析多服务威胁数据和云上安全威胁，并提供防护建议。 呈现全局安全威胁攻击态势。 AntiDDoS流量清洗（AntiDDoS） 网络安全 AntiDDoS集中于异常DDoS攻击流量的检测和防御，相关攻击日志、防护等数据同步给态势感知（专业版）。 保障企业业务稳定性。 企业主机安全（HSS） 主机安全 HSS着手于保障主机整体安全性，检测主机安全风险，执行防护策略，相关告警、防护等数据同步给态势感知（专业版）。 保障主机整体安全性。 Web应用防火墙（WAF） 应用安全 WAF服务对网站业务流量进行多维度检测和防护，防御常见攻击，阻断攻击进一步威胁。相关入侵日志、告警数据等同步给态势感知（专业版），呈现全网Web风险态势。 保障Web应用程序的可用性、安全性。 数据库安全服务（DBSS） 数据安全 DBSS着力于数据库访问行为的防护和审计，相关审计日志、告警数据等同步给态势感知（专业版）。 保障云上数据库安全和资产安全。

检测与修复建议 天翼云企业主机安全服务对该漏洞的便捷检测与修复。 1. 检测并查看漏洞详情，如下图所示，详细的操作步骤请参见漏洞管理。 手动检测漏洞 2. 进行漏洞的修复与验证，详细的操作步骤请参见漏洞管理。 其他防护建议 若您暂时无法进行升级操作，也可以采用以下方式进行防护： 方式一：使用以下命令禁用credential helper git config unset credential.helper git config global unset credential.helper git config system unset credential.helper 方式二：提高警惕避免恶意URL 1. 使用git clone时，检查URL的主机名和用户名中是否存在编码的换行符（%0a）或者凭据协议注入的证据（例如：hostgithub.com）。 2. 避免将子模块与不受信任的仓库一起使用（不使用clone recursesubmodules；只有在检查gitmodules中找到url之后，才使用git submodule update）。 3. 请勿对不受信任的URL执行git clone。

Agent安装节点 使用场景 审计功能说明 注意事项 数据库端 ECS/BMS自建数据库 可以审计所有访问该数据库的应用端的所有访问记录。 添加Agent时，“安装节点类型”选择“数据库端”。 应用端 无法登录到数据库节点的部署环境（例如，RDS关系型数据库） 可以审计该应用端与其连接的所有数据库的访问记录。 l 添加Agent时，“安装节点类型”选择“应用端”，如图410所示。 l 当某个应用端连接了多个数据库时，如果该应用端的某个数据库已在应用端添加了Agent。其他数据库在添加Agent时，只需要选择“选择已有Agent”添加方式。 代理端 无法登录到数据库节点，且不能在应用端安装Agent的部署环境（例如，RDS关系型数据库且应用端在云下） 只能审计代理与后端数据库之间的访问记录，无法审计应用端与后端数据库的访问记录。 添加Agent时，需要将该代理端作为应用端，即“安装节点类型”选择“应用端”，且“安装节点IP”需要配置为该代理的IP地址。

如何验证已完成数据库安全审计配置？ 开启数据库安全审计功能后，请参考以下操作步骤验证已正确配置数据库安全审计。 1. 在安装Agent的节点输入一条SQL语句（例如“show databases”）。 2. 登录管理控制台。 3. 在“时间”所在行右侧，单击，选择开始时间和结束时间，单击“提交”，SQL语句列表将显示步骤1输入的SQL语句，如图425所示。 如果SQL语句列表中显示输入的SQL语句，说明已正确配置数据库安全审计。 如果SQL语句列表中未显示输入的SQL语句，说明数据库安全审计功能无法使用，请按以下方法处理： PC通过内网访问RDS（即应用端在云下）时，如何使用数据库安全审计？ 当PC通过专线内网访问RDS时，您可以将Agent安装到自建的代理端。此时，PC通过代理端访问数据库，数据库安全审计只能审计代理与后端数据库之间的访问记录，无法审计应用端与后端数据库的访问记录。

本节主要介绍创建NAT网关的操作步骤。 操作场景 如果您要通过NAT网关访问公网或为公网提供服务，则需要创建NAT网关。 前提条件 创建NAT网关必须指定NAT网关所在VPC、子网、NAT网关规格。 确认VPC下没有默认路由。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。进入公网NAT网关页面。 3. 在公网NAT网关页面，单击“创建公网NAT网关”，进入公网NAT网关购买页面。 图 创建NAT网关页面 添加默认路由指向公网NAT网关 1. 登录管理控制台。 2. 在系统首页，单击“网络 > 虚拟私有云”。 3. 单击左侧的“路由表”。 4. 在路由表页面，单击右上角的“创建路由表”。所属VPC：选择公网NAT网关所在的VPC。 5. 自定义路由表创建成功后，单击自定义路由表名称。进入自定义路由表基本信息页。 6. 单击“添加路由”，按照如下配置参数。 目的地址：0.0.0.0/0 下一跳类型：NAT网关 下一跳：选择已创建的NAT网关 7. 单击“确定”。

文档数据库服务DDS是兼容MongoDB协议的云数据库服务，DDS的大版本会选择社区未EOL并且有新的重大功能的版本作为候选版本进行兼容。DDS的版本号并不是与社区版本号一一对应。为了便于理解DDS与兼容社区版本之间的对应关系，DDS采用了与之兼容的社区版本号进行命名，详情请参见图1。 图1 DDS版本与社区版本的关系图 DDS 3.4和4.0版本分别以社区对应的版本为基线进行开发，相同的接口实现方案与社区一致。相比社区版本的DDS具有更高的安全性、更加丰富的操作维护功能，因此更能满足商业应用需求。 DDS 4.0版本在2018年10月16日之后，继续以社区4.0.3版本为基线，独立开发新特性并自主演进。 DDS 4.2以及后续高版本，是以社区4.0.3版本为基线，独立开发新特性并自主演进，同时将存储引擎切换为RocksDB，提供更好的体验。

本节关于恢复方案的相关内容。 云数据库RDS提供了多种方式恢复实例的数据，用以满足不同的使用场景，如数据故障或损坏，实例被误删除。 恢复误删除的实例 回收站：退订的包年包月实例和删除的按需实例，支持加入回收站管理。通过数据库回收站中重建实例功能，可以恢复1~7天内删除的实例。 已删除实例的备份：通过保留的手动备份，可以恢复实例数据，详见全量数据恢复：按备份文件恢复。 恢复误删除或修改的数据 表 恢复方案说明 恢复方案 分类 支持的存储类型 恢复时间点 恢复范围 恢复位置 恢复时长 恢复方案 分类 其他 极速型SSD 备份文件所在时间点 所有库表 部分库表 恢复到新实例 恢复到当前实例 恢复到已有实例（非原实例） 恢复时长 全量恢复 备份文件恢复 √ √ x √ x √ x √ 与实例的数据量有关 全量恢复 时间点恢复 √ √ √ √ x √ x √ 与实例的数据量有关 库表恢复 库表恢复 √ √ √ x √ x √ x 与实例以及库表的数据量有关

本节介绍了包周期计费模式转为按需计费模式的约束限制、流程等内容。 创建一个包年/包月关系数据库 mysql版后，您可以将该云数据库的计费模式转为按需计费，同时更加灵活地按需使用关系数据库 mysql版。 注意 到期转按需需要等待包年/包月资费模式到期后，按需的计费模式才生效。 约束限制 关系数据库 mysql版实例计费方式变更时，同时会将实例规格、存储空间、镜像费用、专属资源的计费模式一起变更。 弹性IP的计费变更请在费用中心订单管理续订管理单独操作包周期转按需。 备份空间、跨区域备份的存储空间费用，当前仅支持按需，不支持变更计费方式。 操作步骤 1、登录管理控制台。 2、点击右上角账号，选择我的订单，进入费用中心。 3、在费用中心中，选择订单管理续订管理，找到需要转按需的订单，点击到期转按需，在跳转的页面中点击转按需。