本节为您介绍如何卸载集群Agent。 如果不再需要HSS为您的集群容器提供安全防护，您可以为集群卸载Agent。Agent卸载后，HSS将停止对容器的检测和防护，且已检测到的告警、漏洞信息等数据都将被删除。 CCE集群卸载Agent 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“容器服务 > 云容器引擎”，进入云容器引擎界面。 3、单击目标集群名称，进入集群详情页。 4、在左侧导航栏，选择“工作负载”，进入“工作负载”界面。 5、选择“守护进程集”页签，删除名称为“installagentds”的工作负载。在工作负载所在行的操作列，选择“更多 > 删除”，删除该工作负载。 6、在左侧导航栏，选择“安装与配置”，进入“安装与配置”界面。 7、 选择“Agent管理”页签，卸载目标CCE集群所有容器节点服务器的Agent。 自建集群卸载Agent 1、登录k8s集群环境。 2、执行以下命令删除名称为“installagentds”的工作负载。 kubectl delete ds installagentds n default 3、登录管理控制台。 4、在左侧导航栏，选择“安装与配置”，进入“安装与配置”界面。 5、选择“Agent管理”页签，卸载目标自建集群所有容器节点服务器的Agent。

本节为您介绍如何卸载集群Agent。 如果不再需要HSS为您的集群容器提供安全防护，您可以为集群卸载Agent。Agent卸载后，HSS将停止对容器的检测和防护，且已检测到的告警、漏洞信息等数据都将被删除。 CCE集群卸载Agent 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“容器服务 > 云容器引擎”，进入云容器引擎界面。 3、单击目标集群名称，进入集群详情页。 4、在左侧导航栏，选择“工作负载”，进入“工作负载”界面。 5、选择“守护进程集”页签，删除名称为“installagentds”的工作负载。在工作负载所在行的操作列，选择“更多 > 删除”，删除该工作负载。 6、在左侧导航栏，选择“安装与配置”，进入“安装与配置”界面。 7、 选择“Agent管理”页签，卸载目标CCE集群所有容器节点服务器的Agent。 自建集群卸载Agent 1、登录k8s集群环境。 2、执行以下命令删除名称为“installagentds”的工作负载。 kubectl delete ds installagentds n default 3、登录管理控制台。 4、在左侧导航栏，选择“安装与配置”，进入“安装与配置”界面。 5、选择“Agent管理”页签，卸载目标自建集群所有容器节点服务器的Agent。

本章节介绍微服务治理中心管理类常见问题 什么是实例数？ 实例数指的是接入微服务治理中心的进程个数，通过MseAgent启动一个Java进程，则可以认为是一个实例数。无论是资源包还是按量计费，都是以接入微服务治理中心的实例数为统计单位。 应用数、实例数和服务数三者的区别是什么？ 应用与实例是一对多的关系，一个应用可以部署多个实例。服务数指的是应用作为提供者，在注册中心注册的服务，对于SpringCloud框架的应用，由于提供的是http服务，所以一个应用的SpringCloud服务数一般为1，对于Dubbo框架的应用，由于提供的是dubbo服务，一个接口即可理解为一个服务，所以一个应用的Dubbo服务数可以为n。 金丝雀发布、标签路由和全链路灰度有什么区别？ 金丝雀发布、标签路由和全链路灰度都可以将流量通过请求参数路由到指定的打标应用上。三者区别主要在使用场景上面不同，金丝雀发布主要应用在应用发布上，当应用需要更新时，可以通过金丝雀发布的功能，将小流量引入到新版本的服务，等功能验证成功后，再全量发布；标签路由可以作为一个基础能力，用户可以在此功能上拓展，更加灵活的控制流量路由；全链路灰度主要应用在多版本研发、多版本迭代的场景上，与金丝雀发布和标签路由不同的是，全链路灰度作用于多个应用，而金丝雀发布和标签路由主要作用于单个应用。 无损上下线没有生效？ 无损上线：首先检查使用的微服务框架是否是SpringCloud或Dubbo框架，其次检查提供者和消费者是否都已经正常接入了微服务治理中心。再检查延迟注册时间是否合适，是否已经超过延迟注册的时间。 无损下线：首先检查使用的微服务框架是否是SpringCloud或Dubbo框架，其次检查提供者和消费者是否都已经正常接入了微服务治理中心。再检查服务下线时是否使用的非kill 9命令。

本章节介绍 微服务治理中心服务查询功能 概述 接入微服务治理中心以后，可以在控制台查看SpringCloud和Dubbo应用的服务列表和服务详情。其中服务是指注册到注册中心的SpringCloud和Dubbo服务，应用是指启动的实体。 查看服务列表 登录微服务治理中心控制台，在左侧导航栏选择微服务治理中心>服务查询，在服务查询页面，可通过筛选SpringCloud或Dubbo选项，来选择查看目标服务列表，列表展示服务名称，应用名，实例数。 服务名称：指注册到注册中心的SpringCloud和Dubbo服务的服务名。 应用名：指通过启动参数mse.appName设置的应用名称。 查看服务详情 在服务列表页面单击服务名称，可以查看服务信息、服务调用关系、接口元数据。 如果服务是SpringCloud服务，包含如下信息： 基本信息 ：包含服务名称、服务类型、应用名称。 服务调用关系 ：包含提供者自身的地址列表和消费者的地址列表。服务提供者展示IP和端口信息，服务消费者展示IP和应用名称信息。 接口元数据 ：包含所属类、请求方法、请求路径、方法名和参数列表。 如果服务是Dubbo服务，包含如下信息： 基本信息 ：包含服务名称、服务类型、应用名称。 服务调用关系 ：包含提供者自身的地址列表和消费者的地址列表。服务提供者展示IP和端口信息，服务消费者展示IP和应用名称信息。 接口元数据 ：包含方法名、参数列表和返回数据。

参数 描述 计费模式 支持包年/包月和按需计费两种模式。 当前区域 只读实例默认与主实例在同一区域。 实例名称 实例名称长度最小为4字符，最大为64个字符，如果名称包含中文，则不超过64字节（注意：一个中文字符占用3个字节），必须以字母或中文开头，区分大小写，可以包含字母、数字、中划线、下划线或中文，不能包含其他特殊字符。 数据库引擎 默认与主实例的数据库引擎一致，不可更改。 数据库版本 默认与主实例的数据库版本一致，不可更改。 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 可用区 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主实例和只读实例，只读实例的选择和主实例可用区对应情况： 相同，主实例和只读实例会部署在同一个可用区。 不同，主实例和只读实例会部署在不同的可用区，提高可靠性。

在微服务场景中，当下游服务出现异常，或下游服务返回的不是预期内的结果时，这时会对上游业务造成影响。通过配置服务降级功能，可以对下游服务进行降级处理，返回预期内的结果。服务降级是指在下游服务出现不可用或响应过慢时。上游服务主动调用本地的降级逻辑，迅速返回给用户。降级逻辑中可以返回异常码，也可以返回一个固定的数据。熔断可以理解为降级中的一部分。 前提条件 已部署应用。 已开通 MSE 微服务治理。 说明 使用 MSE 时会产生单独费用。MSE 的计费说明，请参见微服务治理计费概述。 功能入口 1. 登录 CAE控制台，在左侧导航栏选择应用管理 > 应用列表，然后单击目标应用名称。 2. 在左侧导航栏，选择微服务治理 > 流量治理 ，单击服务降级。 服务降级规则参数说明 参数 说明 规则名称 服务降级规则的名称。 描述 规则的详情描述。 服务提供者应用 服务提供者，被降级的应用。 降级应用 选择应用为待降级应用。 服务降级规则列表 框架类型 SpringCloud和Dubbo。 服务路径 服务的接口。 请求方法 GET/POST。 执行策略 所有请求生效/异常请求生效。 降级策略 降级策略分为四种，分别是返回Null值、返回Exception异常、返回自定义Json数据、自定义回调。 默认状态 默认打开或关闭规则。

本节介绍了容器镜像服务的产品优势。 简单易用 使用控制台对镜像操作，简单易用，支持镜像的全生命周期管理。 安全保障 支持容器镜像安全扫描，识别镜像中所有已知的漏洞信息。 开放兼容 全面支持社区Registry V2协议，支持使用CLI以及原生API方式管理镜像。 无缝集成 与云容器引擎无缝集成，构建云原生一站式解决方案。

本章节介绍故障演练服务中创建VPC终端节点相关功能。 概述 在为弹性云主机 和云容器引擎 安装探针之前，需要先建立故障演练服务控制面与目标实例间的网络连通性，具体是通过创建VPC终端节点实现。 创建步骤 1. 登录VPC终端节点控制台。 2. 单击左侧菜单栏终端节点 ，点击页面右上角创建终端节点。 3. 服务类型 选择按服务实例ID查找服务。 4. 可用服务 中，填入故障演练专属服务实例ID （见下表），点击验证。 5. 虚拟私有云 选择目标故障演练资源所属VPC ，子网选择目标资源相关的子网。 6. 点击下一步确认订单 ，开通VPC终端节点。 服务列表 资源池 服务实例ID 服务实例名称 华东1 endpserjraeobv2mr vpcectgchaosserverhd1 西南1 endpserh1ti3dqy70 vpcectgchaosserverxn1 华北2 endpser1k6c0s0fdc vpcectgchaosserverhb2 西安7 endpserq2im8cy7tj vpcectgchaosserverxa7

对于在APM中监控的各类型应用,请按照本文所述的相应方法更新Java探针版本。 如何为虚拟机部署的应用更新探针？ 如果您需要更新虚拟机部署的应用Java探针版本，您需要在 应用接入 里面点击下载按钮，下载最新Java探针，替换掉旧版本的探针，然后重新启动应用即可。 如何为云容器引擎部署的应用更新探针？ 如果您需要更新容器服务应用的Java探针版本，在开启APM的基础上，重新部署工作负载即可。 1. 登录天翼云【云容器引擎】控制中心，在左侧导航栏选择集群，在右侧页面进入集群详情。 2. 在左侧导航栏选择工作负载 > 有状态/无状态，找到对应的工作负载。 3. 点击重新部署，选择需要的部署方式，点击确定。 如何为其他类型的应用更新探针？ 目前仅支持两种接入方式，其他类型正在扩充中，请关注产品动态的更新提醒。

引擎配置 配置项 说明 引擎开关 每个引擎可以关闭，那么输入和输出都不会使用该引擎进行检查。默认的策略配置如上图。 输入检测 用于判断用户输入的提问内容是否合规，如违反配置规则将停止请求，并返回违规信息。请求不会经过大模型。可通过“输入检测”总开关，直接对所有引擎的输入检测进行控制。 输出检测 当用户的输入内容合规，或禁用输入检测时，用于判断大模型输出内容是否合规。此时响应内容会如同直接访问大模型一样逐字逐句的流式返回，大模型防护系统会在响应文本中按指定窗口大小截取文本，使用开启的引擎进行合规性检查。 如大模型响应内容违反配置规则将停止输出，并返回违规信息。可通过“响应检测”总开关，直接对所有引擎的响应检测进行控制，响应检测默认关闭，需手动开启。 配置 检测模式： 实时检测 异步检测 配置 相似度：设置语义匹配的阈值（01），值越高要求越严格。 说明 仅“语义检索引擎”可配置相似度。 配置 灵敏度：设置模型推理的敏感程度（01），值越高检出率越高但误报率也越大。 说明 仅“模型推理引擎”可配置灵敏度。

本文将介绍针对平台操作审计日志进行介绍。 您通过控制台或API进行相关平台操作时，会实时记录操作内容，用于后续追溯、审计。 操作步骤 1. 登录边缘安全加速控制台。 2. 可针对需求进行查询相关日志情况。 3. 在左侧导航栏，选择运营管理>日志服务>操作日志。 注意 进行平台相关操作时，如新增域名、修改配置等，均会进行记录到操作日志以供查询，目前该服务能力仅支持【零信任服务】【安全与加速】模块的操作相关记录。 提供并展示30天内全部的平台操作审计日志，若有长时间存储日志需求，可 字段说明 字段 字段说明 操作时间 用户操作时间 产品服务 按照购买产品服务区分，目前仅支持【零信任服务】【安全与加速服务】 操作对象 针对哪些服务、功能进行操作 操作内容 具体操作内容信息 动作 修改、新增、导出等相关操作动作 状态 成功、失败。其中成功仅意味当下操作成功下发到后端，并不代表配置实际生成成功。 操作人 操作帐号 安全与加速支持操作日志的模块 目前安全与加速服务只有部分模块支持记录操作日志。 一级菜单 二级菜单 功能模块 域名管理 支持记录新增、启用、停用、删除、导出域名等操作 安全能力 Web应用防火墙 支持记录以下内容的操作日志 防护总开关 无需检测的静态文件 规则防护引擎防护模式、规则模板 敏感词防护基础信息 攻击挑战防护开关 cookie挑战防护开关 合规性检测防护开关 复制操作复制全局策略、防护规则引擎、规则ID、规则白名单等 访问控制/限流 支持记录以下内容的操作日志 防护总开关 CC防护 访问控制防护开关 频率控制防护开关 复制操作复制防护开关、复制规则 Bot防护 支持记录以下内容的操作日志 防护总开关 客户端标识过期事件 无需检测的静态文件 爬虫陷阱处理动作、基础信息 工具管理 IPv6检测 支持记录新增检测任务、数据导出部分的操作日志 日志与数据分析 告警管理 支持记录新增、删除、修改、开启、关闭告警任务 报告订阅 支持记录新增、删除、修改、开启、关闭报告订阅任务

本小节介绍云堡垒机使用限制。 网络访问限制 系统资源所属安全组必须允许实例私有IP访问，需要在实例的安全组添加“入方向”的访问规则。 注意 云堡垒机Docker0的网卡地址为：172.17.0.1，请勿占用此网桥网卡地址，否则会导致云堡垒机无法正常使用。 支持纳管的服务器限制 支持SSH、TELNET、RDP、VNC、FTP、SFTP协议类型的Windows或Linux主机。 Windows服务器版本：Windows Server 2012、2016。 支持的数据库类型及版本限制 数据库引擎 引擎版本 MySQL 5.5、5.6、5.7、8.0 说明 当前MySQL数据库审计功能基于堡垒机现有引擎架构实现，在少数复杂场景下可能存在命令日志记录不完全的情况，如需完整审计能力，请联系技术支持或关注产品动态了解新引擎上线进展。 PostgreSQL 10、11、12、13 Oracle 10g、11g、12c DB2 10.5、11.5、12 达梦 V8 金仓(Kingbase) V8、V9 万里(GreatSQL) 8.4.44 SQL Server 2016企业版 天翼云分布式关系型数据库（DRDS） 1.0 说明 建议关联MySQL5.7和8.0版本。 支持的运维终端操作系统限制 终端类型 系统版本 芯片 Windows Windows7及以上版本 Intel芯片 Mac MacOS 10.15及以上版本 Apple silicon或Intel芯片

本章节主要介绍翼MapReduce服务的集群管理功能。 创建集群 支持用户在创建集群时，按需选择集群类型、组件范围、操作系统、主机类型、CPU类型、各类型的节点数、主机规格、可用区、VPC网络等配置。翼MR服务会根据用户选择的配置，帮助客户自动完成企业级大数据平台的安装部署和参数调优。 翼MR服务为客户提供完全可控的大数据集群，客户在创建时可设置主机的登录方式，所创建的翼MR集群资源完全归客户所用。 翼MR集群类型包括数据湖、数据分析、数据服务、云搜索、实时数据流、自定义集群 1. 数据湖集群：提供更高效、灵活的管理集群，更快地运行大数据的计算引擎，更好地提供数据分析能力。 2. 数据分析集群：Apache Doris开源的MPP架构的OLAP分析引擎，支持亚秒级的数据查询和多表join。 3. 数据服务集群：提供更灵活、可靠、高效的数据服务集群。 4. 云搜索集群（仅存量支持）：为结构化/非结构化数据提供低成本、高性能及可靠性的检索、分析服务能力。 5. 实时数据流集群：提供高效的流式计算、消息队列等组件能力，支持实时数据ETL和日志采集分析的业务需求。 6. 自定义集群：提供丰富灵活的服务搭配，支持自行选择业务所需服务。建议不要将多个存储类服务部署在一个节点组上，避免资源争抢。 翼MR集群节点类型包括master节点、core节点和task节点 1. master节点：集群中的管理节点，保证集群的调度正常进行；主要部署NameNode、ResourceManager、HMaster等进程。集群默认为HA模式，master节点数固定为3。该类型节点可以通过节点扩容、配置升级与磁盘扩容，以支持更大集群的管理。 2. core节点：集群中的计算及存储节点，主要部署DataNode、NodeManager、HRegionServer等进程。为满足存储数据量或计算量扩展的需求，支持配置升级、节点扩容、新增节点组与磁盘扩容。 3. task节点：集群中的纯计算节点，主要负责计算数据，不存储数据，支持配置升级、节点扩容、节点缩容、新增节点组与磁盘扩容。

概述 当前CSM服务网格支持多集群架构，控制面采用非托管模式，部署在租户的云容器引擎集群上。多集群中部署网格控制面的集群称为主集群，添加的其他云容器引擎集群称为从集群，允许服务网格中多集群的命名空间不一致的情况。主集群命名空间关注数据面管理以及控制面配置，从集群命名空间只关注数据面管理。 sidecar自动注入 当前CSM服务网格支持基于命名空间标签的sidecar注入，给命名空间打上istioinjection: enabled标签后可以打开命名空间sidecar自动注入功能；当前主从集群的命名自动注入功能是独立配置的，在某个集群上给命名空间打上自动注入标签只影响当前集群上该命名空间pod的自动注入，不影响其他集群上同命名空间的自动注入。 服务网格CRD配置 CSM服务网格通过在主集群定义CRD，进一步由控制面服务消费和并下发到所有集群。因此对于一些有命名空间语义的CRD（如VirtualService，DestinationRule等），也就只能定义在主集群的命名空间中，并且对从集群中存在的相同命名空间生效。对于从集群中存在而主集群中不存在的命名空间，无法定义和生效相关的CRD。

AI大数据协同 依托强大的自研防护集群优势，结合 AI 智能引擎持续优化防护策略等多维算法，实现大数据联动防护 通过多维度的频率控制、多重的人机挑战，叠加AI离线分析能力，精准识别虚假流量，高效过滤垃圾访问，保障大规模CC攻击时网站稳定运行 极简管理 CNAME接入，源端隐藏，提供可视化自助管理界面，对自身业务一目了然 7X24小时全网监控+智能调度服务，避免单点故障，保证业务稳定性 7X24小时服务，一对一专业安全运营对接，响应时长不超过30分钟

概述 本章节主要介绍创建和更新基础沙箱模板以及基础沙箱实例调试功能。基础沙箱为智能体提供最小化的运行环境，在该类型沙箱实例中您可以管理文件系统和执行Shell命令。 创建基础沙箱模板 操作步骤 1. 登录智能体引擎控制台，左侧导航选择沙箱菜单。 2. 单击创建沙箱模板。 3. 在创建沙箱模板窗口，填写基础沙箱参数并单击确定。 4. 创建完成后，在沙箱模板列表页面，可以看到沙箱模板。沙箱模板创建和更新都为异步操作，需要您耐心等待完成。 基础沙箱模板创建参数 参数名称 是否必填 参数说明 沙箱类型 是 智能体引擎支持基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱5种沙箱类型。 模板名称 是 沙箱模板名称用户內唯一。 模板名称规则： 以字母开头，可包含字母、数字、下划线和连字符，且长度不超过32个字符。 描述 否 沙箱模板的描述。 镜像来源 是 镜像来源有2种，默认镜像和自定义镜像。默认镜像为智能体引擎服务提供的内置镜像；自定义镜像需要您依次选择容器镜像实例 、容器镜像仓库 和容器镜像版本。 规格方案 是 沙箱CPU和内存规格，目前支持多种规格。 临时磁盘大小 是 沙箱使用的临时磁盘大小，目前只支持512MB规格。 环境变量 否 沙箱中的环境变量以键值对的方式存储。 环境变量名规则：以字母开头，只能包含字母、数字和下划线，长度3256个字符，且不能以AGE开头。 执行超时时间 是 沙箱实例在创建后可运行的最长时间，超时将自动销毁。规格有多种，最短1分钟，最长为6小时，也可以创建永久常驻的沙箱实例。 访问凭证 否 访问沙箱实例入站凭证，目前支持API Key、Basic Auth和JWT3种类型。 执行角色 否 沙箱中需要访问天翼云资源，该角色生成的临时AK和临时SK会设置到环境变量中。 AGECTYUNACCESSKEY：如果沙箱模板中配置了执行角色，选择的角色的临时AK会放在该环境变量。 AGECTYUNSECRETKEY：如果沙箱模板配置了执行角色，选择的角色的临时SK会放在该环境变量。 网络配置 是 沙箱中访问公网和VPC。 访问公网 ：允许沙箱访问公网服务。 访问VPC：允许沙箱访问您VPC下的天翼云资源。访问VPC需要选择VPC和子网，并且支持配置黑白名单。 ZOS挂载 否 沙箱中挂载天翼云对象存储ZOS，最多支持5个挂载点。 ZOS挂载点 ：对象存储Bucket名称。 Bucket子目录 ：设置Bucket中的子目录，必须为绝对路径。设置为/表示挂载Bucket的根目录。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。 沙箱本地目录权限：选择Bucket挂载到沙箱运行环境中的本地目录后，该目录的访问权限。支持设置为只读或读写权限。 NAS挂载 否 沙箱中挂载天翼云弹性文件服务SFS，最多支持5个挂载点，必须开启网络配置中的VPC访问，且弹性文件服务SFS和网络配置同VPC。 弹性文件服务 ：选择已创建的SFS文件系统实例。 VPCE挂载地址 ：选择SFS文件系统实例下的VPCE挂载地址。 远端目录 ：远端SFS中的目录是指位于SFS文件系统中的绝对目录，以/开头。 沙箱本地目录：设置沙箱运行环境中的本地目录。 网络配置中黑白名单语义： 未设置白名单：允许访问用户 VPC 内所有服务（仍受黑名单约束）。 设置白名单：仅允许访问白名单中的网段/IP（或对应服务）。 设置黑名单：禁止访问黑名单中的网段/IP（或对应服务）。 黑白名单冲突时，以白名单为更高优先级。

概述 本章节主要介绍创建和更新基础沙箱模板以及基础沙箱实例调试功能。基础沙箱为智能体提供最小化的运行环境，在该类型沙箱实例中您可以管理文件系统和执行Shell命令。 创建基础沙箱模板 操作步骤 1. 登录智能体引擎控制台，左侧导航选择沙箱菜单。 2. 单击创建沙箱模板。 3. 在创建沙箱模板窗口，填写基础沙箱参数并单击确定。 4. 创建完成后，在沙箱模板列表页面，可以看到沙箱模板。沙箱模板创建和更新都为异步操作，需要您耐心等待完成。 基础沙箱模板创建参数 参数名称 是否必填 参数说明 沙箱类型 是 智能体引擎支持基础沙箱、代码沙箱、浏览器沙箱、AIO沙箱和自定义沙箱5种沙箱类型。 模板名称 是 沙箱模板名称用户內唯一。 模板名称规则： 以字母开头，可包含字母、数字、下划线和连字符，且长度不超过32个字符。 描述 否 沙箱模板的描述。 镜像来源 是 镜像来源有2种，默认镜像和自定义镜像。默认镜像为智能体引擎服务提供的内置镜像；自定义镜像需要您依次选择容器镜像实例 、容器镜像仓库 和容器镜像版本。 规格方案 是 沙箱CPU和内存规格，目前支持多种规格。 临时磁盘大小 是 沙箱使用的临时磁盘大小，目前只支持512MB规格。 环境变量 否 沙箱中的环境变量以键值对的方式存储。 环境变量名规则：以字母开头，只能包含字母、数字和下划线，长度3256个字符，且不能以AGE开头。 执行超时时间 是 沙箱实例在创建后可运行的最长时间，超时将自动销毁。规格有多种，最短1分钟，最长为6小时，也可以创建永久常驻的沙箱实例。 访问凭证 否 访问沙箱实例入站凭证，目前支持API Key、Basic Auth和JWT3种类型。 执行角色 否 沙箱中需要访问天翼云资源，该角色生成的临时AK和临时SK会设置到环境变量中。 AGECTYUNACCESSKEY：如果沙箱模板中配置了执行角色，选择的角色的临时AK会放在该环境变量。 AGECTYUNSECRETKEY：如果沙箱模板配置了执行角色，选择的角色的临时SK会放在该环境变量。 网络配置 是 沙箱中访问公网和VPC。 访问公网 ：允许沙箱访问公网服务。 访问VPC：允许沙箱访问您VPC下的天翼云资源。访问VPC需要选择VPC和子网，并且支持配置黑白名单。 ZOS挂载 否 沙箱中挂载天翼云对象存储ZOS，最多支持5个挂载点。 ZOS挂载点 ：对象存储Bucket名称。 Bucket子目录 ：设置Bucket中的子目录，必须为绝对路径。设置为/表示挂载Bucket的根目录。 沙箱本地目录 ：设置沙箱运行环境中的本地目录。 沙箱本地目录权限：选择Bucket挂载到沙箱运行环境中的本地目录后，该目录的访问权限。支持设置为只读或读写权限。 NAS挂载 否 沙箱中挂载天翼云弹性文件服务SFS，最多支持5个挂载点，必须开启网络配置中的VPC访问，且弹性文件服务SFS和网络配置同VPC。 弹性文件服务 ：选择已创建的SFS文件系统实例。 VPCE挂载地址 ：选择SFS文件系统实例下的VPCE挂载地址。 远端目录 ：远端SFS中的目录是指位于SFS文件系统中的绝对目录，以/开头。 沙箱本地目录：设置沙箱运行环境中的本地目录。 网络配置中黑白名单语义： 未设置白名单：允许访问用户 VPC 内所有服务（仍受黑名单约束）。 设置白名单：仅允许访问白名单中的网段/IP（或对应服务）。 设置黑名单：禁止访问黑名单中的网段/IP（或对应服务）。 黑白名单冲突时，以白名单为更高优先级。

本文主要介绍应用场景 镜像生命周期管理 提供镜像构建、镜像上传、下载、同步、删除等完整的生命周期管理能力。 优势 •高可靠的存储：依托专业存储服务，确保镜像存储的超高可靠性。 •更安全的存储：细粒度的授权管理，让用户更精准的控制镜像访问权限。 建议搭配使用 云容器引擎CCE

本章节介绍如何部署bookinfo应用到CSM实例 前提条件 1. 已开通云容器引擎，至少有一个云容器引擎实例。产品入口：云容器引擎。 2. 开通天翼云服务网格实例。 操作步骤 创建命名空间 首先到云容器引擎控制台找到当前添加到服务网格的云容器引擎集群，创建测试应用部署的sample命名空间，同时给命名空间打上istioinjection: enabled的标签以保证该命名空间下的pod会被注入sidecar。 部署应用 使用如下yaml部署我们的bookinfo应用，注意根据当前集群所在的资源池替换镜像的地址（当前云容器引擎实例在华东1资源池）；如果您想要把演示应用部署到其他namespace也可以修改yaml里面的namespace字段实现，示例yaml如下： apiVersion: v1 kind: Service metadata: name: details labels: withServiceMesh: "true" workloadKind: Deployment workloadName: detailsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: details apiVersion: apps/v1 kind: Deployment metadata: name: detailsv1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: detailsv1 template: metadata: labels: app: details version: v1 name: detailsv1 source: CCSE csmAutoEnable: "on" "sidecar.istio.io/inject": "true" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: details image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinfodetailsv1:1.16.2' imagePullPolicy: IfNotPresent resources: limits: cpu: "200m" memory: "256Mi" requests: cpu: "50m" memory: "64Mi" apiVersion: v1 kind: Service metadata: name: ratings labels: withServiceMesh: "true" workloadKind: Deployment workloadName: ratingsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: ratings apiVersion: apps/v1 kind: Deployment metadata: name: ratingsv1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: ratingsv1 template: metadata: labels: app: ratings version: v1 name: ratingsv1 source: CCSE "sidecar.istio.io/inject": "true" csmAutoEnable: "on" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: ratings image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinforatingsv1:1.16.2' imagePullPolicy: IfNotPresent resources: limits: cpu: "200m" memory: "256Mi" requests: cpu: "50m" memory: "64Mi" apiVersion: v1 kind: Service metadata: name: reviews labels: withServiceMesh: "true" workloadKind: Deployment workloadName: reviewsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: reviews apiVersion: apps/v1 kind: Deployment metadata: name: reviewsv1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: reviewsv1 template: metadata: labels: app: reviews version: v1 name: reviewsv1 source: CCSE "sidecar.istio.io/inject": "true" csmAutoEnable: "on" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: reviews image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinforeviewsv1:1.16.2' imagePullPolicy: IfNotPresent env: name: LOGDIR value: "/tmp/logs" volumeMounts: name: tmp mountPath: /tmp name: wlpoutput mountPath: /opt/ibm/wlp/output volumes: name: wlpoutput emptyDir: {} name: tmp emptyDir: {} apiVersion: v1 kind: Service metadata: name: productpage labels: withServiceMesh: "true" workloadKind: Deployment workloadName: productpagev1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: productpage type: NodePort apiVersion: apps/v1 kind: Deployment metadata: name: productpagev1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: productpagev1 template: metadata: labels: app: productpage version: v1 name: productpagev1 source: CCSE "sidecar.istio.io/inject": "true" csmAutoEnable: "on" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: productpage image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinfoproductpagev1:1.16.2' imagePullPolicy: IfNotPresent resources: limits: cpu: "200m" memory: "256Mi" requests: cpu: "50m" memory: "64Mi" volumeMounts: name: tmp mountPath: /tmp volumes: name: tmp emptyDir: {} 在云容器引擎控制台选择我们要部署的sample命名空间，通过工作负载>无状态>新增yaml，依次部署上面的deployment； 通过网络>服务>新增yaml依次部署上面的Service填入我们准备的yaml文件，保存即可； 部署完成后，可以在工作负载>无状态列表里看到bookinfo相关的部署信息，在网络>Service菜单下可以看到刚部署的Service列表。

本节介绍了启动实例失败时的重试机制是怎样的? 启动实例失败时的重试机制是怎样的？ 云容器引擎是基于原生Kubernetes的云容器引擎服务，完全兼容Kubernetes社区原生版本，与社区最新版本保持紧密同步，完全兼容Kubernetes API和Kubectl。 在Kubernetes中，Pod的spec中包含一个restartPolicy字段，其取值包括：Always、OnFailure和Never，默认值为：Always。Always：当容器失效时，由kubelet自动重启该容器。 OnFailure：当容器终止运行且退出不为0时，由kubelet自动重启该容器。 Never：不论容器运行状态如何，kubelet都不会重启该容器。 restartPolicy适用于Pod中的所有容器。 restartPolicy仅针对同一节点上kubelet的容器重启动作。当Pod中的容器退出时，kubelet 会按指数回退方式计算重启的延迟（10s、20s、40s...），其最长延迟为5分钟。 一旦某容器执行了10分钟并且没有出现问题，kubelet对该容器的重启回退计时器执行重置操作。 每种控制器对Pod的重启策略要求如下： Replication Controller（RC）和DaemonSet：必须设置为Always，需要保证该容器的持续运行。 Job：OnFailure或Never，确保容器执行完成后不再重启。

本小节介绍微隔离防火墙业务拓扑使用说明。 工作组 拓扑中每个椭圆形标识代表一个工作组，类似于传统安全中的安全域、业务组等概念。 每个工作组有13个标签，分为位置标签、应用标签、环境标签，可以通过这三个标签来标识一个工作组，例如：“北京电商生产”、“天翼云web测试”等。 单击工作组，可查看该组的基本信息。基本信息页面可以修改该工作组的标签及策略状态。 注意 标签的修改会导致策略的变化，在防护状态下，谨慎修改。 针对工作组修改策略状态时，会改变改组内所有工作负载的策略状态。 点击详细信息，可进入工作组的详细页面。 双击工作组，可展开此工作组，并查看其中工作负载。 工作负载 工作组中每个小方块代表一个工作负载（工作负载可以是物理服务器、虚拟机或容器）。 单击工作负载，可查看该工作负载的基本信息，拓扑中也会高亮显示与此工作负载有访问关系的其他工作负载。 在工作负载基本信息框中可快速修改该工作负载角色及策略状态。重新统计按钮可清空所有针对此工作负载的访问连接记录。 支持在基本信息框中直接新建角色。

命名空间 为应用提供相互独立的逻辑运行环境。通过命名空间，您可以更好地组织和隔离不同环境下的应用，确保服务调用更加清晰，配置管理更加高效。 在典型的应用场景中，您可能需要区分 开发环境、测试环境和生产环境。 说明 在云应用引擎中，每个资源池都会自动创建一个默认命名空间 ，并为其分配一个专有网络（VPC）。您可以直接在该命名空间中部署和运行应用。需要注意的是，默认命名空间不支持更新或删除。如果默认命名空间无法满足您的业务需求，您可以根据实际情况新建并管理命名空间，实现更灵活的环境隔离与应用管理。 命名空间管理指引 查看命名空间 1. 登录云应用引擎控制台。 2. 在左侧导航栏中选择“命名空间”，进入命名空间管理页面，可以查看命名空间列表。 3. 点击目标命名空间，可以查看命名空间的基础信息 创建命名空间 1. 登录云应用引擎控制台。 2. 在左侧导航栏中选择“命名空间”，进入命名空间管理页面。 3. 点击“创建命名空间”。 4. 在弹出的创建命名空间面板，根据下表说明配置相关信息，然后点击 “确定” 完成创建。 配置项 说明 示例 命名空间名称 为自定义命名空间设置名称，用于区分不同命名空间。在同一资源池内，命名空间名称 不得重复。 测试 描述 对命名空间进行说明或备注，便于管理 本命名空间用于测试环境 专有网络 VPC 选择已有 VPC进行关联。一个命名空间只能绑定一个 VPC，但一个 VPC可关联多个命名空间。创建后不可切换VPC caeautocreatevpc

本节主要介绍LevelDB到GeminiDB Redis的迁移方案。 LevelDB是一个开源的持久化KV单机数据库引擎，具有很高的随机写，顺序读/写性能，适合应用在写多读少的场景。其内部没有设计成C/S网络结构，使用时必须和服务部署在同一台服务器，对于服务的部署、使用有较大的限制。相比于在LevelDB基础上开发的RocksDB, LevelDB存在较多缺点，如无法很好的使用多核服务器的计算性能，无法支撑TB级数据存储，不支持从HDFS读取数据等。 GeminiDB Redis采用RocksDB作为存储引擎，兼容Redis协议，具有丰富的数据类型，可以满足LevelDB的使用需求。同时GeminiDB Redis对RocksDB进行深度定制，实现秒级分裂弹性扩容，扩缩容无需搬迁数据，快速而平滑，为LevelDB业务转到Redis生态提供了便利。 迁移原理 使用自研迁移工具leveldbport，和LevelDB部署在相同机器上，准备好配置文件，启动迁移即可自动完成全量与增量的迁移。 全量迁移对LevelDB数据进行快照，然后扫描整个数据库，将数据打包成GeminiDB Redis识别的格式，发送到GeminiDB Redis ，具有很高的迁移效率。 增量迁移解析LevelDB的wal文件，将LevelDB的操作解析出来，然后对其中的key进行分片，多线程进行发送。 使用须知 迁移工具需要部署在源端，对性能有一定消耗，可通过修改配置文件进行一定的控制。 迁移过程读取LevelDB的源数据文件，只读操作，理论上不会有数据受损风险。 迁移过程不需要停服。 若迁移过程出现故障，需要清理GeminiDB Redis实例，重新启动迁移。

业务价值 天翼云应用性能监控Prometheus监控已全面对接开源Prometheus生态，将容器服务Kubernetes集群接入天翼云Prometheus监控，通过开箱即用的大盘监控主机和Kubernetes集群的众多性能指标。 低成本接入：提供全托管式服务，无需另购基础设施资源，可降低监控成本与维护成本。 开箱即用：支持一键接入天翼云云容器引擎。提供丰富的仪表大盘与告警模板，帮助业务快速发现和定位问题。 数据规模无上限：基于云上存储能力，数据存储不再受限于本地容量。通过分布式存储可进一步保障数据可靠性。

本章主要介绍微服务云应用平台审核管理功能 概览 审核配置是平台用于保障发布安全、规范发布流程的核心控制项，主要用于实现发布单的人工审核能力。当在指定环境开启审核配置后，该环境内所有应用的发布单将自动触发人工审核流程，发布任务将处于待审核状态；只有在审核人员完成审批并通过后，发布单才能继续执行后续的部署、发布操作，有效避免未经审批的风险发布直接上线。 审核配置 审核配置用于提供人工审核相关的自定义能力，支持配置审批方式、审批人、WebHook 通知等核心规则，用户可根据业务场景与管理要求灵活配置。 在审核配置管理页面，系统以列表形式展示当前已创建的所有审核配置，包含配置名称、审批方式、审批人、WebHook 通知、创建时间等信息。用户可根据实际需求，新增、编辑、删除审核配置，实现对发布审核流程的精细化管控。 配置项 说明 名称 配置名称，字符长度范围为350。 审批方式 仅支持或签，即任一审批人通过表示任务完成，发布单可继续执行。 审批人 选择目标审批人，支持多选。发布单运行至人工卡点任务时会进入暂停状态，待审批人通过审批后，方可继续运行。 Webhook通知 当发布单进入待审批状态时，系统将通过Webhook方式主动推送通知，告知相关方当前发布单已处于待审批环节。Webhook 地址由用户根据业务需求自行配置。

本节介绍了分布式缓存服务Redis版各版本的生命周期规划。 分布式缓存服务Redis的版本生命周期如表1所示。 表1 版本生命周期 版本 当前状态 计划EOM时间 计划EOS时间 Redis 3.0 已停售 2021年2月 2024年12月 Redis 4.0 在售 2026年3月 2026年6月 Redis 5.0 在售 2027年3月 2028年9月 Redis 6.0 在售 2027年3月 2028年9月 Redis 7.0 在售 暂无计划 暂无计划 说明 EOM：End of Marketing，停止该版本的销售。 EOS：End of Service&support，停止该版本的服务，建议您在执行作业时选择最新版本的引擎。在该日期之后，不再提供该软件版本的任何技术服务支持。

如何获取企业微信机器人的key？ 在配置告警通知联系组时，若开启微信机器人，需要输入key，请根据以下步骤获取微信机器人的key。 注意 企业微信群必须是内部群，外部群无法添加机器人。 1. 登录企业微信客户端，选择需要添加微信机器人的群聊。 2. 单击群聊右上角的“更多”图标。 3. 在群管理模块，选择“群机器人”，添加群机器人。 4. 复制并记录Webhook地址。 Webhook地址中，“key”后的部分即为通知联系组配置微信机器人所需的key。 说明 例如：Webhook地址为

为保障实例的稳定及安全，建议您在操作前仔细阅读本文为您介绍的天翼云关系型数据库MySQL实例级别的使用规范。 数据库实例类型选择 主备： 一主一备、一主多备的经典高可用架构。适用于政企、金融、医疗等大中型企业的生产数据库。 备机提高了实例的可靠性，主机与备机同步创建，备机具备数据备份、灾备等功能。 当主节点故障后，会发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 单机： 具有较高性价比，与主流的主备实例相比，单机只包含一个节点。 适用于个人学习、测试，及微小型公司的生产环境。 单机无灾备功能，出现故障后无法进行切换。 只读： 单机版只读实例，推荐开启数据库代理功能，并购买冗余的单机版只读实例。当单个只读故障后，数据库代理可以将流量分担到其他只读节点。 天翼云官方推荐两种架构，以供参考： 1. 主实例下包含2个及以下只读实例时，高可用只读作用比较好。 2. 两个以上只读实例，建议开启数据库代理，获得更好的性价比。 说明 更多实例类型信息，请参见实例类型。 数据库实例规格选择 主机类型：目前提供四种主机类型（可能出现部分主机类型售罄，导致主机类型不存在）如下表： 主机类型 类型说明 2系列 提供基本水平的vCPU性能、平衡的计算、内存和网络资源，在主机负载较轻时，可以提供较高的计算能力，在主机负载较重时无法保证实例计算性能的稳定，但是性价比更高。 适用于对成本比较敏感、对性能抖动容忍度较高的场景。 3系列 采用第一代英特尔® 至强® 可扩展处理器 （Sky Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套10GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供强劲稳定的计算性能、更高网络带宽和PPS收发包能力。 适用于对计算与网络有一定要求的场景，如小型网站、轻量级研发测试环境、中小型数据库等。 6系列 采用第二代英特尔® 至强® 可扩展处理器 （Cascade Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供强劲稳定的计算性能、更高网络带宽和PPS收发包能力。 适用于对计算与网络有一定要求的场景，如通用数据库及缓存服务器、中重载企业应用等。 7系列 采用第三代英特尔® 至强® 可扩展处理器 （Ice Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供更强劲稳定的计算性能、更高网络带宽和PPS收发包能力。 适用于对计算与网络有更高性能要求的Web应用、电商平台、短视频平台、在线游戏、保险金融等各类中重载企业应用。 规格： 目前提供的CPU内存规格有：1C4G、2C4G、2C8G、2C16G、4C8G、4C16G、4C32G、8C16G、8C32G、8C64G、16C32G、16C64G、16C128G、32C64G（可能出现部分规格售罄，导致部分规格不存在）。

本小节介绍日志审计(原生版)产品定义。 产品介绍 日志审计（原生版）（LAS Log Audit Service）通过实时不间断采集设备、主机、操作系统、数据库以及应用系统产生的海量日志信息，进行集中化存储，为您提供安全存储、检索、审计、告警、报表等能力，帮助您满足等保合规要求。 产品功能 天翼云日志审计（原生版）系统具备资产管理、日志检索、日志审计、多维报表等功能。 资产集中管理：提供集中化的统一管理平台，将所有的日志信息收集到平台中，进行信息资产的统一日志管理。 高速日志检索：基于海量数据的高速检索能力，可以实现多重条件组合的快速检索和精确定位。 实时日志审计报警：对归并处理的日志进行实时动态分析，及时发现网络非法访问、数据违规操作、系统进程异常、设备故障等高危安全事件通过邮件、短信等方式进行报警。 丰富多维日志报表：丰富合规报表预设，支持全方位自定义报表导出，实现数据库系统、数据库服务器、网络设备的多维立体审计。 产品架构 天翼云日志审计（原生版）系统产品架构包含数据采集层、处理层、存储层、引擎层、业务层、可视化。 采集层：提供开放式的信息采集接口，实现对用户环境内各类IT资产以及所采用的各厂商安全产品或安全系统进行主动或被动的日志采集。 处理层：实现对采集到的数据做统一规范化，对数据进行关键信息提取，标签化分类，过滤，归并等数据ETL操作，为后续的数据分析做准备。 存储层：实现海量安全大数据的分布式存储，提供结构化数据和非结构化数据的存储能力，并为上层的数据分析应用提供高效的数据库功能支撑。 引擎层：综合数据处理分析的能力提供层，提供由大数据技术和架构支撑的快速检索和数据关联发掘功能。是支撑上层数据呈现和分析结果输出的计算引擎层，提供丰富的大数据统计、关联分析、数据挖掘以及态势分析能力，是系统的分析处理的核心。该层提供了基础数据处理引擎，包括流式计算引擎、复杂事件处理引擎、全文检索引擎、关联分析引擎等。 业务层：实现用户基于平台的标准化数据，依托平台报表工具，日志检索工具，分析引擎，实现用户自身业务相关的安全管理以及数据分析，监控，处置，保障业务的安全稳定。 可视化：实现对平台的数据处理，数据分析，报表分析，处置结果等通过图表可视化的方式呈现。

本文介绍云容器引擎Serverless版的计费概述。 计费组成 使用Serverless容器产生的费用集群管理费+其他云产品资源费用。 注意 使用的其他云产品资源费用，将按照各云产品的计费规则计费，由各云产品收取。 集群管理费 该产品的集群管理费为按需计费，集群管理费单价：0.65元/小时。 将根据您实际使用集群的时长计费，计费公式：集群管理费单价 购买时长。 云产品资源费用 如果您在使用过程中关联天翼云其他云产品资源，您需要为您使用的资源付费。 云产品名称 产品说明 计费说明 弹性容器实例ECI 用于部署Serverless容器引擎集群应用及插件，更多信息，请参见弹性容器实例产品定义 []( 虚拟私有云VPC 用于构建集群网络环境和路由规则，更多信息，请参见虚拟私有云产品定义 虚拟私有云计费说明 弹性负载均衡ELB 用于为集群创建负载均衡，更多信息，请参见弹性负载均衡产品定义 弹性负载均衡计费说明 容器镜像服务CRS 用于容器镜像的安全托管和全生命周期管理，更多信息，请参见容器镜像服务产品介绍 容器镜像服务计费说明 NAT网关 用于为集群开启公网访问和公网镜像拉取，更多信息，请参见NAT网关产品定义 NAT网关计费说明 弹性IP 用于云资源与公网通信，更多信息，请参见弹性IP产品定义 弹性IP计费说明

本节介绍了启动实例失败时的重试机制是怎样的? 启动实例失败时的重试机制是怎样的？ 云容器引擎是基于原生Kubernetes的云容器引擎服务，完全兼容Kubernetes社区原生版本，与社区最新版本保持紧密同步，完全兼容Kubernetes API和Kubectl。 在Kubernetes中，Pod的spec中包含一个restartPolicy字段，其取值包括：Always、OnFailure和Never，默认值为：Always。Always：当容器失效时，由kubelet自动重启该容器。 OnFailure：当容器终止运行且退出不为0时，由kubelet自动重启该容器。 Never：不论容器运行状态如何，kubelet都不会重启该容器。 restartPolicy适用于Pod中的所有容器。 restartPolicy仅针对同一节点上kubelet的容器重启动作。当Pod中的容器退出时，kubelet 会按指数回退方式计算重启的延迟（10s、20s、40s...），其最长延迟为5分钟。 一旦某容器执行了10分钟并且没有出现问题，kubelet对该容器的重启回退计时器执行重置操作。 每种控制器对Pod的重启策略要求如下： Replication Controller（RC）和DaemonSet：必须设置为Always，需要保证该容器的持续运行。 Job：OnFailure或Never，确保容器执行完成后不再重启。

本节介绍了用户指南:使用ZOS动态存储卷。 云容器引擎支持使用天翼云对象存储持久卷。cstorcsi插件支持使用对象存储动态存储卷和静态存储卷，通过将存储卷挂载到容器指定目录满足数据持久化需求。 前提条件 已创建容器集群。 已在插件市场安装存储插件cstorcsi，且插件正常运行。（建议使用>4.0的CSI版本） 容器集群所在资源池已开通对象存储服务。 使用限制 参见对象存储使用限制 通过控制台使用对象存储动态存储卷 1 、创建保密字典 进入天翼云对象存储控制台，进入Access Key管理； 查看对象存储密钥，并记录； 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“配置管理”——“保密字典”，选择命名空间，单击左上角“创建”。 输入名称、内容，内容项变量名分别是AK、SK（变量名大写），变量值分别对象上一步中获取到的密钥；点击提交； 注意 注意绿色框内，当填入AKSK内容时，需要将base64编码关闭，维持图上的状态。