在人工智能飞速发展的大背景下，算力是关键支撑。为了实时提供灵活且强大的计算资源调配能力，昇腾 910B 物理机以强劲的硬件性能为基础，搭配 DeepSeek 先进的算法框架，二者结合，将为 AI 研究与应用开拓更广阔的创新空间。本部署指南适配华为昇腾 910B NPU硬件平台，集成MindIE的2.0.T6版本推理引擎，能显著优化端到端推理性能。 一、环境准备 1.1 软硬件要求 组件类型 规格要求 数量 计算节点 华为Atlas 800T A2训练服务器 1台 NPU加速卡 昇腾910B32 (单卡算力320TFLOPS) ≥4卡 本地存储 NVMe SSD ≥5.8TB (22.9T) 2块 内存 DDR4 ≥512GB 管理节点 CTyunOS23.01.2@GalaxyMasterNPU24.1.rc2.1镜像 1.2 存储配置 1.2.1 磁盘分区方案 将节点的nvme1n1和nvme0n1两块NVME盘分别挂载在/mnt/nvme1n1和/mnt/nvme0n1上。 !/bin/bash 设备列表 devices("/dev/nvme0n1" "/dev/nvme1n1") mountpoints("/mnt/nvme0n1" "/mnt/nvme1n1") fstype"xfs" 确保 root 权限 if [[ $EUID ne 0 ]]; then echo "请使用 root 运行此脚本！" exit 1 fi for i in "${!devices[@]}"; do device"${devices[$i]}" mountpoint"${mountpoints[$i]}"

本文主要介绍使用APM管理电商应用 本实践基于某手机销售电商应用为例，帮助您理解如何将该电商应用接入APM并进行管理。 该电商应用情况介绍： 该应用包含四个微服务，每个微服务包含一个实例： API网关服务：名称为vmallapigwservice，主要负责应用整体的服务鉴权、限流、过滤等。 商品管理服务：名称为vmallproductservice，主要负责商品查询、购买等。 用户管理服务：名称为vmalluserservice，主要负责用户登录，以及购买商品时的用户身份核实等。 数据持久服务：名称为vmalldaoservice，主要负责请求数据库操作。 下面介绍如何将APM接入该电商应用并管理起来。 操作流程 1. 将应用部署到服务器。 2. 安装Agent。Agent是APM的采集代理，用于实时采集拓扑和调用链数据，您需要将其安装在应用所在服务器上。 3. 修改应用启动参数，以确保APM可以监控应用。 4. 在APM上管理应用，例如通过拓扑查看应用情况。 操作步骤 步骤 1 将应用部署到服务器。 1. 登录服务器，创建应用目录并进入目录，本实践以目录/root/testdemo为例。 2. 下载并安装应用需要的JRE 1.8版本。 3. 执行如下命令将应用下载至创建的/root/testdemo目录并安装。 curl l > demoinstall.sh && bash demoinstall.sh 说明 执行该命令需要具有公网访问权限。 步骤 2 安装Agent。 步骤 3 修改应用启动脚本start.sh的参数，确保应用被APM监控。 在服务启动脚本的java命令之后，配置apmjavaagent.jar包所在路径，并指定java进程的应用名。 添加javaagent参数示例： java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappName{appName} 修改前后应用启动脚本对比如下： 修改前： export PATH/root/testdemo/jdk1.8.0111/bin:$PATH java Xmx512m jar /root/testdemo/ecommercepersistenceservice0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationdao.yml > dao.log 2>&1 & java Xmx512m jar /root/testdemo/ecommerceapigateway0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationapi.yml > api.log 2>&1 & java Xmx512m jar /root/testdemo/ecommerceuserservice0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationuserservice.yml > user.log 2>&1 & java Xmx512m jar /root/testdemo/ecommerceproductservice0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationprod.yml > prod.log 2>&1 & java Xmx512m jar /root/testdemo/cloudsimpleui1.0.0.jar spring.config.locationfile:/root/testdemo/ui.properties > ui.log 2>&1 & 修改后： export PATH/root/testdemo/jdk1.8.0111/bin:$PATH java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappNamevmalldaoserviceXmx512m jar /root/testdemo/ecommercepersistenceservice0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationdao.yml > dao.log 2>&1 & java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappNamevmallapigwservice Xmx512m jar /root/testdemo/ecommerceapigateway0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationapi.yml > api.log 2>&1 & java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappNamevmalluserservice Xmx512m jar /root/testdemo/ecommerceuserservice0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationuserservice.yml > user.log 2>&1 & java javaagent:/xxx/apmjavaagent/apmjavaagent.jarappNamevmallproductservice Xmx512m jar /root/testdemo/ecommerceproductservice0.0.1SNAPSHOT.jar spring.config.locationfile:/root/testdemo/applicationprod.yml > prod.log 2>&1 & java Xmx512m jar /root/testdemo/cloudsimpleui1.0.0.jar spring.config.locationfile:/root/testdemo/ui.properties > ui.log 2>&1 & 步骤 4 修改完成后，便可启动应用。 等待三分钟左右，在APM界面上即可看到应用相关数据，并根据数据监控应用、定位应用的异常。

本文为您介绍接入域名时，如何配置放行回源IP地址段。 WAF使用特定的回源IP段，将经过防护引擎检测后的正常流量转发回网站域名的源站服务器。网站接入WAF进行防护后，您需要将回源IP段添加到源站安全软件的白名单中，放行该回源IP段。 为什么要放行回源IP段 WAF采用CNAME的方式将原本去向网站的请求转向到WAF，从而实现对网站访问的安全防护，这些用户请求将在WAF进行安全检测和过滤后，发送回源站。此时由于网站接入WAF，访问网站的IP实际上变成了WAF的回源IP段，从网站的角度来看，访问其的来源IP变得更加集中，访问频率变得更高，服务器上的防火墙或安全软件很容易认为这些IP在发起攻击，从而将WAF回源IP段拉黑。如果WAF的回源IP段被拉黑，WAF的请求将无法得到源站的正常响应。因此，在网站接入WAF后，您应确保源站服务器已将WAF的全部回源IP放行（即加入白名单），否则可能会出现网站无法打开或打开极其缓慢等情况。 注意 将源站加入白名单的操作需要将源站的回源IP加入到业务整个访问链路上所有安全设备的白名单，例如边界防火墙白名单、IPS设备白名单、源站服务器中的安全组白名单以及服务器上具备访问控制能力的安全软件的白名单等。

本节介绍云容器引擎的最佳实践：使用等保加固版本CTyunOS镜像。 云容器引擎提供了CTyunOS的等保2.0标准三级版操作系统镜像，该版本操作系统镜像实现了国家信息安全部发布的《GB/T222392019信息安全技术网络安全等级保护基本要求》中对操作系统提出的大部分三级安全要求，其中主要安全加固模块有：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范。用户可以为节点池的工作节点选择实现了等保加固的CTyunOS操作系统。 使用方式 开通新集群在节点池订购页面选择CTyunOS加固版操作系统镜像。 新建节点池选择CTyunOS加固版操作系统镜像并扩容。 升级节点池功能中勾选更换操作系统并选择加固版操作系统镜像。 使用须知 CTyunOS等保加固版本镜像实现了《GB/T222392019信息安全技术网络安全等级保护基本要求》中对操作系统提出的大部分第三级安全要求，但这并不代表该加固版操作系统可以确保通过第三方的操作系统等保加固标准测试，相关通过标准和风险需要用户自行评估。 如需禁用root通过ssh登录并创建管理员账号进行系统管理请用户运行/root/extraenhance.py文件按指引执行。 部分未执行的加固项需要用户根据实际需求自行完成，详细见/root/extraenhance.py文件输出。 虽然等保加固版本的操作系统在性能上与普通版本的操作系统没有显著差距，但是加固项的引入会增加后期用户的维护成本（如密码管理、文件权限管理、日志审计等），因此，如无特殊需要仍建议用户使用普通版本CTyunOS镜像。 CTyunOS等保加固版本镜像对账户密码做了一定的限制，用户在使用过程中需要根据这些限制留意密码的管理和维护，其中包括： 1、密码有效期为90天，密码到期后需要进行密码重置以更新密码的有效期。 2、密码长度至少为8位，并且至少包含一个大写字母、一个小写字母、一个特殊字符以及一个数字字符，在云主机控制台进行密码重置时务必确认输入的密码符合该要求，否则密码重置会失败，如密码test@2025会重置失败，而Test@2025可以重置成功。 3、密码重用次数最大为五次，重用次数超过五次将导致密码重置失败。 4、输入密码错误次数超过五次时将锁定账户禁止登录，锁定时长为900秒。

本节介绍网络的用户指南：集群网络概述。 集群网络分为主机和容器两个维度，主机位于VPC中使用VPC网络，容器网络则使用容器网络插件来管理。 节点网络 VPC为集群内主机分配IP地址，订购集群时选择VPC中的子网用于集群的主机网络，子网可用IP数量直接限制了集群节点规模。 容器网络 约束条件 容器网络CNI插件为Pod分配IP地址，云容器引擎提供的CNI插件均符合kubernetes容器网络模型，具体约束如下： 1.每个Pod都拥有一个独立IP地址，Pod内容器均共享一个网络命名空间； 2.任意Pod之间均可直接通信，无需NAT； 3.任意Pod与节点间均可直接通信，无需NAT。 网络插件 当前云容器引擎提供如下CNI插件： calico容器网络：使用calico IPIP模式。该模式下，calico依旧使用BGP分发节点的容器路由信息，但在节点网络基础上通过IPIP隧道技术构建独立于节点网络平面的容器网络平面，IPIP将发给容器的IP报文封装成发给目的节点的IP报文进行隧道传输； cubecni容器网络：是云原生网络方案，直接基于VPC网络中的弹性网卡和IP资源构建容器网络。Pod通过弹性网卡资源直接分配VPC的子网IP地址，无需额外指定虚拟Pod地址段。 Cubecni和Calico对比如下： 。 对比项 Cubecni Calico隧道模式 容器网络平面 构建Underlay网络，容器和节点均在同个网络平面，支持VPC内多集群Pod直接互通及VPC内直接互通 构建Overlay网络，基于集群节点网络构建 一层覆盖网络，不支持VPC内多集群Pod直接互通及VPC内直接互通 容器网络性能 无解封包开销，整体性能优于Overlay网络，其中Cubecni独占ENI模式性能无限接近主机 有解封包损耗 节点规模 不直接限制节点规模 受限于BGP Peer连接数等限制 网络访问控制 支持网络策略Network Policy，其中Cubecni独占ENi模式支持Pod粒度安全组配置 支持网络策略Network Policy 源地址审计 Pod访问VPC网络资源，源地址是容器IP，不经节点SNAT，便于审计 Pod访问VPC网络资源，需经节点SNAT，不便于审计 地址管理 无需按节点分配地址段，随用随分配，地址无浪费 每个节点提前分配虚拟地址段 ELB 支持ELB直通Pod，性能更优 不支持ELB直通Pod，需通过NodePort转发

参数 参数说明 name 测试名称，用于在输出结果中区分不同的测试任务。例如 nametest read write 可以定义一个名为“test read write”的测试任务。 ioengine I/O引擎，用于指定产生I/O操作的底层机制。如 ioenginelibaio （Linux异步I/O库），不同的引擎会以不同的方式处理I/O请求，影响测试的效率和准确性。 rw 读写模式，用于确定测试是进行读操作、写操作还是混合读写操作。例如 rwrandwrite 表示随机写， rwrandread 表示随机读， rwread 表示顺序读， rwwrite 表示顺序写， rwrw 表示混合读写。 bs 块大小，指定I/O操作的数据块大小，单位可以是字节（如4096表示4KB）。例如 bs4k 表示数据块大小为4KB，它会影响测试的性能表现，不同的应用场景通常有对应的合适块大小。通常测试带宽时设置为1M，测试时延和IOPS时设置为4k。 size 测试文件大小，定义了测试所涉及的数据量大小。例如 size1G 表示测试文件大小为1GB，用于评估存储设备在不同数据量下的性能。 numjobs 作业数量，指定同时运行的I/O作业数量。例如 numjobs4 表示同时有4个I/O作业在运行，用于模拟多线程或多进程应用对存储设备的并发I/O操作。 runtime 运行时间，规定了测试的运行时长。例如 runtime60 表示测试将持续运行60秒，可用于在不同时间尺度下评估存储设备的性能。 groupreporting 分组报告，当有多个作业（由numjobs参数指定）同时运行时，会将所有作业的性能结果汇总报告，方便查看整体性能。 directory 测试文件所在目录，用于指定测试文件存放的位置。例如 directory/data/testdir 表示测试文件将在/data/testdir目录下进行操作，可针对特定存储路径进行性能评估。 rwmixwrite 在混合读写（rw）模式下，指定写操作所占的比例，范围是0 100。例如 rwmixwrite70 表示在混合读写测试中，写操作占总I/O操作的70%。

3. 检验监控告警的有效性 故障的及时发现依赖实时的监控告警，模拟故障发生是检验监控系统能否在第一时间准确告警、应急响应流程是否清晰高效的最佳手段。 场景示例： 模拟调用延迟 ：通过模拟云主机网络延迟场景，验证监控系统能否精准检测“接口P99响应时间”等指标劣化，确保告警策略及时触发。 模拟启动失败 ：通过模拟云主机端口占用场景，验证监控系统对应用部署流程的异常感知能力，确保持续发布（CD）符合运维预期。 模拟连接中断 ：通过模拟缓存实例不可用场景，验证监控系统对中间件连接异常的检测灵敏度，确保告警能精准通知相关人员。 4. 验证应用服务的强弱依赖 随着系统复杂度的提升，服务间的依赖日益庞杂，但也有强弱之分。举例来说，从业务的角度，交易操作对账户余额是强依赖，对附加积分则是弱依赖；从系统的角度，应用对数据库是强依赖，对缓存则是弱依赖。通过故障演练，可以稳定地得到应用间的依赖关系及其强弱程度，提前发现可能因为依赖导致的问题，控制故障的级联效应。 场景示例： 梳理强弱依赖：对于复杂的微服务系统，通过模拟服务不可用的情况，可以帮助应用自动梳理强弱依赖。 限流降级参考：根据经验值来设置限流阈值可能带来偏差，通过依赖验证可以直观地评估限流降级的影响。 系统改造验收：在系统重构升级之后，可以通过依赖验证来确保应用的依赖关系没有发生变化，或重估依赖的影响。

本文为您介绍如何将您的网站通过域名接入WAF实例进行防护。 开通云WAF SaaS版实例后，需要将您需要防护的网站域名接入WAF，使网站的访问流量全部流转到WAF进行检测并转发，实现恶意流量的拦截。 域名接入WAF后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。 WAF SaaS版提供CNAME接入方式，可以防护通过域名访问的Web应用/网站，包括Web业务服务器部署在天翼云上、非天翼云或线下的域名。 CNAME接入流程 在WAF控制台添加需要防护的网站域名后，通过修改域名的DNS解析设置，将网站流量解析到WAF，使访问网站的流量经过WAF并受到WAF的防护。WAF将过滤和处理后的请求转发回该域名的源站服务器。接入流程如下： 1. 添加域名 ：配置域名、协议、源站等相关信息，详情请参见添加域名。 2. 放行WAF回源IP段 ：WAF使用特定的回源IP段将经过防护引擎检测后的正常流量转发回网站域名的源站服务器。网站接入WAF进行防护时，您需要设置源站服务器的安全软件或访问控制策略，放行WAF回源IP段的入方向流量，详情请参见放行WAF回源IP段。 3. 本地验证 ：添加域名后，在本地电脑上搭建简易的模拟环境，验证网站流量转发设置已经生效，避免转发设置未生效时修改域名的DNS解析设置，导致业务访问异常，详情请参见本地验证。 4. 修改域名DNS ：若域名在接入WAF前未使用代理，则需要到该域名的DNS服务商处，修改域名的DNS解析配置，将网站的流量解析到WAF；若域名在接入WAF前使用了代理（DDoS高防、CDN等），则需要将使用的代理类服务（DDoS高防、CDN等）的回源地址修改为的目标域名的“CNAME”值，详情请参见修改域名DNS。 说明 完成接入流程后，网站访问流量将经过WAF转发检测。WAF包含多种防护检测模块，帮助网站应对不同类型的安全威胁，其中Web基础防护模块默认开启，用于防御常见的Web应用攻击（例如SQL注入、XSS跨站、Webshell上传等），其他防护模块需要您手动开启并配置具体防护规则。

本小节介绍服务器安全卫士的各个版本的功能规格。 服务器安全卫士提供三个版本：基础版、企业版、旗舰版。基础版为免费版本，企业版和旗舰版为付费版本。 三个版本产品规格详见下表所示： 产品功能 功能介绍 功能描述 基础版 企业版 旗舰版 资产清点 资产清点 自动清点主机内部资产如进程、端口、账号、应用等，实时掌握主机内部资产变化，为安全分析提供数据基础。 X √ √ 风险发现 安全补丁 对安全补丁进行周期性自动检测，提供详细补丁说明和修复方案。 X √ √ 风险发现 漏洞检测() 精准本地分析漏洞，包含精准 POC探测和版本漏洞探测；支持 CVSS等漏洞信息详细描述，支持漏洞修复影响检查；提供命令级漏洞修复建议。 √ √ √ 风险发现 弱密码检查 弱口令自动检测，自动匹配账号名相关易猜解密码，支持弱口令字典自定义。 √ √ √ 风险发现 应用风险() 检测Linux关键攻击路径上常用应用的配置型风险。 X X √ 风险发现 系统风险() 检测Linux上由于系统配置的产生的安全风险。 X X √ 风险发现 账号风险() 检测Linux系统中的由于账号的配置产生的安全风险。 X X √ 入侵检测 暴力破解 实时监控主机上发生的爆破行为，并提供封停爆破来源IP的能力。 √ √ √ 入侵检测 异常登录 实时异常登录监控，发现异常IP、区域、时间等的异常登录。 √ √ √ 入侵检测 反弹shell 实时监控主机上反向连接的行为，并提供详细的攻击记录。 X √ √ 入侵检测 后门检测 精准发现系统内后门程序，提供详细后门程序分析报告与修复建议。 √ √ √ 入侵检测 本地提权() 支持实时进程提权监测，支持进程提权过程详细记录。 X √ √ 入侵检测 Web后门 多维度Web后门识别，支持规则匹配、相似度匹配、沙箱检测、模式分析引擎检测等多种机制检测，具备实时监测能力。 √ √ √ 入侵检测 可疑操作() 实时对Bash命令进行审计，发现可疑的黑客操作，支持自定义审计规则。 X √ √ 入侵检测 Web命令执行 能够发现Web RCE和进程异常的执行事件。 X √ √ 病毒查杀 病毒查杀 结合多个病毒检测引擎，能够实时准确地发现主机上的病毒进程，并提供多⻆度分析结果，以及相应的病毒处理能力，对病毒能够快速、准确、高效地实现从检测分析到处理修复的安全工作闭环。 X √ √ 合规基线 系统基线 对各版本的Linux系统、Windows 系统按照等保、CIS的基线要求检测，覆盖主流操作系统的检测。 X √ √ 合规基线 应用基线 支持对常用应用的等保、CIS基线的检测。 √ √ √ 合规基线 数据库基线 支持对主流数据库的等保、CIS基线的检测。 √ √ √ 合规基线 自定义基线 支持自定义基线，对于不同的检查基准，灵活制定不同检查强度的标准。 X √ √ 快速任务 快速任务 提供一些特定的安全任务，方便用户在日常安全工作中快速执行。 X X √ 其他功能 主机管理 提供对所有安全服务器的管理功能，可设置主机分组，标签，运维管理信息，方便用户管理主机。 √ √ √ 其他功能 报表系统 提供各类实用美观的安全报表，供汇报时使用，可支持Html，Word格式。 X X √ 其他功能 通知系统 可灵活配置接收的通知类型、通知方式及通知人。 √ √ √ 说明 （）功能暂不支持Windows操作系统 支持主流Linux（64位）和Windows server64（位）服务器。 主流Linux版本（64位）如下： Oracle：5、6、7 RHEL：5、6、7 CentOS：5、6、7、8 Ubuntu：1019 SUSE：915 Debian：6、7、8、9、10 OpenSUSE：1015 NeoKylin：6、7 YHKylin：4 Redflag：9 Deepin：15 iSoft：4 主流Windows版本（64位）如下： Windows Server 2008 Windows Server 2012 Windows Server 2016 Windows Server 2019 Windows Vista Windows 7 Windows 8 Windows 10

在人工智能飞速发展的大背景下，算力是关键支撑。为了实时提供灵活且强大的计算资源调配能力，昇腾 910B物理机以强劲的硬件性能为基础，搭配 DeepSeek 先进的算法框架，二者结合，将为 AI 研究与应用开拓更广阔的创新空间。本部署指南适配华为昇腾910B NPU硬件平台，集成MindIE的2.0.T6版本推理引擎，能显著优化端到端推理性能。 一、环境准备 1.1 软硬件要求 plaintext 组件类型 规格要求 数量 计算节点 华为Atlas 800T A2训练服务器 1台 NPU加速卡 昇腾910B32 (单卡算力320TFLOPS) ≥4卡 本地存储 NVMe SSD ≥5.8TB (22.9T) 2块 内存 DDR4 ≥512GB 管理节点 CTyunOS23.01.2@GalaxyMasterNPU24.1.rc2.1镜像 1.2 存储配置 1.2.1 磁盘分区方案 将节点的nvme1n1和nvme0n1两块NVME盘分别挂载在/mnt/nvme1n1和/mnt/nvme0n1上。 plaintext !/bin/bash 设备列表 devices("/dev/nvme0n1" "/dev/nvme1n1") mountpoints("/mnt/nvme0n1" "/mnt/nvme1n1") fstype"xfs" 确保 root 权限 if [[ $EUID ne 0 ]]; then echo "请使用 root 运行此脚本！" exit 1 fi for i in "${!devices[@]}"; do device"${devices[$i]}" mountpoint"${mountpoints[$i]}"

参数 说明 实例名称 RocketMQ实例名称是指在RocketMQ中创建的一个特定实例的名称。它可以用来唯一标识和区分不同的RocketMQ实例。根据RocketMQ的设计，实例名称通常由字母、数字和下划线组成，并且长度通常不超过255个字符。实例名称应该具有描述性，以便在多个RocketMQ实例存在时进行区分和管理。 实例ID RocketMQ实例ID是指在RocketMQ中创建的一个实例的唯一标识符。它是由系统自动生成的，用于区分不同的RocketMQ实例。实例ID可以用来管理和操作RocketMQ实例，例如创建、删除和修改实例等。实例ID通常由一串数字和字母组成，并且在RocketMQ集群中必须保持唯一性。 引擎类型 提供RocketMQ和CTGMQ两类引擎。 磁盘大小 购买实例选择的磁盘大小，通常为100G的整数倍。 磁盘类型 购买实例选择的磁盘类型，默认为SAS，也可选择更高的IO磁盘。 主机规格 购买实例选择的主机规格，主要展示CPU核数和内存大小，更多主机规格请参见产品规格。 broker节点数 RocketMQ的broker节点数是指在一个RocketMQ集群中扮演broker角色的节点数量。每个broker节点负责存储消息、处理消息的传输和消费者的请求等功能。 实例描述 用户根据需要可填写实例备注。 运行状态 实例当前运行状态，各状态描述见上文表格实例状态说明。 付费类型 创建实例时选择的付费类型，有包周期/按需两个选项。 创建时间 实例创建时间。 到期时间 包周期的实例到期时间，按需付费类型不展示。 专用网络 创建实例时绑定的VPC名称，详见订购前准备。 子网 创建实例时绑定的子网名称，详见订购前准备。 安全组 创建实例时绑定的安全组名称，详见订购前准备。 网络 VPC专用网络。 接入点 接入点具体VPC内网IP。 TPS监控 标识该集群所有Broker下，所有Topic的生产、消费TPS（2min）的时间变化曲线。 流量监控 标识该集群下，所有Topic的消费堆积情况，列表按倒序排列了堆积量最大的前20个Topic的堆积情况。 全局堆积 全局堆积是指消息在整个消息队列系统中的积压情况。 全局消息 标识该集群，所有Topic的生产情况，按现有消息量倒序排列。

本节介绍智算安全专区的应用场景。 模型输入输出内容违规 场景特点：使用者输入违规内容（如违法犯罪、暴力色情等），诱导模型生成不相关或非法内容，造成不良影响。 解决方案：内置大模型内容安全引擎，在输入阶段评估提示词，防止生成非法结果；在输出阶段检测违规内容，及时阻断并进行事后审计。支持模型接口代理方式实时检测与阻断，通过三道过滤防线保障内容安全。 敏感数据安全脱敏 场景特点：在问答结果输出阶段，应用可能带出个人简历、薪资情况等敏感信息，导致泄露。 解决方案：在数据输入阶段介入脱密信息处理，使进入RAG 语料库的资料均为脱敏后材料，基于大模型的智能脱敏在保护敏感信息的同时保留数据可用性。

本文介绍使用云应用引擎时，应用的实例配额限制、CPU和内存限制，以及网络、容器、镜像等限制条件。 配额限制 限制项 限制值 说明 可创建应用的用户 实名认证，且账户内金额大于0元。 无 单应用实例数 20 单个应用的实例数量上限 总应用实例数 100 单Region下用户能够创建的全部应用实例数量 内存用量 10G 单Region下用户所有应用使用的内存大小上限 CPU核数 2核 单Region下用户所有应用使用的CPU核数上限 网络 专有网络VPC 不支持经典网络。专有网络VPC内部署的实例默认不可访问公网，如需访问公网，则需进行相关配置。 容器 Linux容器 不支持Windows容器。 系统盘磁盘空间 默认20GiB 不支持更改系统盘磁盘空间大小。为了保证您的业务连续性，在SAE控制台使用镜像部署应用时，请确保镜像大小不超过20GiB。

应用场景 云容器引擎监控体系集成集群拓扑能力，通过安装cubekindling插件可以实现集群中网络的架构感知和流量追踪。通过监控面板可以查看集群拓扑的图表。 前提条件 已创建集群，具体操作请参见 用户指南 > 集群 > 新建集群 章节。若已有集群，无需重复操作。 集群已安装ccsemonitor插件，可参考 用户指南 > 插件 章节。 集群已安装cubekindling插件，可参考 用户指南 > 插件章节 。 节点内核版本为：5.4.2241 。 监控界面查看网络拓扑 登陆CCSE控制台， 点击左侧导航栏中的集群，进入集群列表页。 在集群列表中点击需要接入监控的集群，进入集群管理页面。 选择 运维管理 > 监控 > 网络监控 > Topology 查看集群拓扑面板，通过namespace、workload对命名空间、工作负载进行筛选。

本文将介绍如何通过Kubernetes命令行工具kubectl来连接集群。 前提条件 已经下载并安装最新的kubectl客户端。 完成kubectl的相关配置。 操作步骤 1. 登录云容器引擎控制台，在控制台的左侧导航栏中点击“集群” 。 2. 在集群列表页面中单击目标集群的名称 。 3. 在集群详情界面中选择连接信息页签，复制集群凭据到本地文件中。您可以在$HOME/.kube/config（kubectl默认寻找凭据的路径）下创建并保存集群凭据。 4. 执行以下命令，确认集群连接情况。 PowerShell kubectl get namespace 预期输出 PowerShell NAME STATUS AGE default Active 5d5h kubenodelease Active 5d5h kubepublic Active 5d5h kubesystem Active 5d5h 5. 配置完成后，您可以通过kubectl命令行工具，从本地计算机访问Kubernetes集群，实现对集群的管理和操作。

项目 说明 DB数限制 非Cluster版实例支持256个DB，范围[0,255]Cluster版本支持1个DB, 范围[0]。 数据持久化策略 自研的rdb+aof结合的持久化方式，落盘策略“everysec”。 数据过期删除策略 主动过期，系统周期性的检测，发现已过期的key时，会将其删除。惰性删除，当个key被访问时，如果已经过期，则将其删除。 备份数据保留策略 手动备份和周期备份副本数不超过3。 强一致性配置 若开启，发生主从切换会检查主从数据同步延时情况，若延时大这不进行切换，降低了节点可用性增加了数据可靠性，按应用需求是否开启。 Redis引擎版本 支持2.8、4.0、5.0、6.0、7.0版本。其中5.0版向下兼容4.0、2.8版。

定位业务异常问题难度大、效率低,一直是应用性能监控的性能瓶颈。应用性能监控通过结合调用链路和日志分析,可以快速、准确地定位业务异常问题,提升微服务框架下的开发诊断效率。 背景信息 在使用调用链路和日志分析定位业务异常问题前，需要先了解Metrics、Tracing和Logging三个概念。Metrics：应用的关键性能指标，如应用提供服务请求量、应用提供服务平均响应时间、应用依赖服务请求量等。 Tracing：调用链路，应用的任何接口调用、请求响应等动作都会绑定到完整的链路。 Logging：业务日志，应用的任何接口调用、请求响应等动作都会输出完整的业务日志。 当应用出现业务异常问题时，应用指标统计图会出现明显波动，您可据此粗略地分析异常问题；通过完整的调用链路和业务日志分析，可以精准定位业务异常问题。 开启日志设置 开启日志设置的操作步骤如下： 1. 登录APM控制台，在左侧导航栏选择应用监控 > 应用列表。 2. 在应用列表页面单击目标应用名称。 3. 在导航栏中单击应用设置，并在右侧页面单击日志开启设置页签。 4. 在日志开启设置区域开启关联业务日志与TraceId，并设置日志项目、日志单元、日志规则，如下图所示。 从应用指标的角度排查业务异常问题 在左侧导航栏单击应用总览，在顶部选择概览，然后在右上角选择或自定义设置目标时间段。 概览页面展示目标应用的关键指标，如应用提供服务请求量、应用提供服务平均响应时间、应用依赖服务请求量等。 1. 在调用链路列表面板选择状态异常的调用链路记录。 2. 单击该调用链路记录TraceId列下的TraceId值。 3. 单击查看日志，即可查看日志并定位业务异常原因

本文介绍分布式容器云平台的入门指引。 分布式容器云平台旨在帮助用户解决跨区域、跨地域和跨云容器集群的管理难题，为用户提供一致的管理体验，提升用户的管理效率，降低运维成本，提高系统的稳定性和可靠性。 天翼云集群注册 支持一键关联专有版、托管版、智算版及Serverless版等天翼云云容器引擎集群，并且支持跨资源池关联。 三方云集群注册 纳管三方公有云上的 Kubernetes 集群，如阿里云(ACK)、腾讯云(TKE)、GCP (GKE)、AWS(EKS)等。 本地集群注册 纳管本地满足CNCF标准的IDC自建或私有云上的 Kubernetes 集群。

本文将介绍如何在Pod中使用配置项。 背景信息 在Pod中使用配置项是一种实现配置管理的常用方式，它可以应用于多种场景，主要包括以下几个方面： 应用程序配置：配置项可以存储应用程序所需的所有配置信息，例如数据库连接信息、密钥、证书等。这可以使得应用程序在部署时更加简单和灵活，开发人员可以使用配置项来控制应用程序的行为。 环境变量：通过配置项创建的环境变量可以直接注入到容器中，例如在容器中设置数据库的连接信息等环境变量。 命令行参数：通过配置项定义命令行参数可以使得容器镜像更加通用，可以使用不同的参数启动不同的容器实例。 挂载文件：配置项还可以将配置文件存储在其中，并将其挂载到容器内部。这使得容器可以在运行时动态加载配置文件，以更好地适应不同的部署场景。 使用限制 当您在Pod中使用配置项时，为了确保配置项在Pod内正确加载和使用，需要将它们部署到相同的命名空间中。 创建配置项 本次示例配置项configmapdemo包含DATABASEURL和LOGLEVEL两个键值对。具体的YAML示例模板如下所示： YAML apiVersion: v1 kind: ConfigMap metadata: name: configmapdemo namespace: default data: DATABASEURL: mysql://user:password@hostname/dbname APISECRET: bigsecretkey LOGLEVEL: debug 使用配置项定义Pod环境变量 1. 使用配置项的数据定义Pod环境变量。 1. 登录云容器引擎控制台。 2. 在控制台的左侧导航栏中点击“集群”。 3. 在集群列表页面中，点击目标集群的名称进入集群详情页面。 4. 点击左侧导航栏中的“工作负载 ”，并选择“无状态” 。 5. 在无状态页面中，单击左上角的“新增YAML”。 6. 填写无状态应用对应的YAML配置内容，并使用valueFrom引用配置项中的Value值，从而定义Pod的环境变量。 下面是一个编排示例： YAML apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.26alpineslim ports: containerPort: 80 env: name: DATABASEURL valueFrom: configMapKeyRef: name: configmapdemo key: DATABASEURL name: LOGLEVEL valueFrom: configMapKeyRef: name: configmapdemo key: LOGLEVEL 2. 将配置项的所有Key/Values配置为Pod的环境变量。 1. 登录云容器引擎控制台。 2. 在控制台的左侧导航栏中点击“集群 ”。 3. 在集群列表页面中，点击目标集群的名称进入集群详情页面。 4. 点击左侧导航栏中的“工作负载” ，并选择“无状态”。 5. 在无状态页面中，单击左上角的“新增YAML” 。 6. 填写无状态应用相应的YAML配置内容，并使用envFrom将配置项的所有Key/Values键值对配置为Pod的环境变量。 下面是一个编排示例： YAML apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.26alpineslim envFrom: configMapRef: name: configmapdemo 3. 通过配置项设置命令行参数。 1. 登录云容器引擎控制台。 2. 在控制台的左侧导航栏中点击“集群 ”。 3. 在集群列表页面中，点击目标集群的名称进入集群详情页面。 4. 点击左侧导航栏中的“工作负载” ，并选择“无状态”。 5. 在无状态页面中，单击左上角的“新增YAML” 。 6. 填写无状态应用相应的YAML配置内容，您可以使用环境变量替换语法 $(VARNAME)，将配置项设置为容器中的命令或参数值。 下面是一个编排示例： YAML apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.26alpineslim command: [ "/bin/sh", "c", "echo $(DATABASEURL) $(LOGLEVEL)" ] envFrom: configMapRef: name: configmapdemo

本章节会介绍Mysql数据库的使用规范 数据库命名规范 所有的数据库对象名称（包括库名、表名、列名等）建议以小写字母命名，每个单词之间用下划线分割。 所有的数据库对象名称禁止使用RDS for MySQL保留关键字。 1. MySQL官方保留字与关键字（MySQL 8.0）： 2. MySQL官方保留字与关键字（MySQL 5.7）： 数据库对象的命名要能做到见名知意，并且不超过32个字符。 数据库中用到的临时表以“tmp”为前缀并以日期为后缀。 数据库中用到的备份表以“bak”为前缀并以日期为后缀。 在不同的库或表中，要保证所有存储相同数据的列名和列类型必须一致。 数据库基本设计规范 所有表如果没有特殊需求，都要使用InnoDB存储引擎。InnoDB存储引擎支持事务、行级锁、具有更好的恢复性、高并发下性能更强。 数据库和表的字符集统一使用UTF8字符集，避免由于字符集的转换产生乱码。 所有的表和字段都需要添加注释。使用comment从句添加表和列的备注，从设计初期维护好数据字典。 控制单表数据量的大小，建议表中单行长度不得超过1024字节，单表数据量控制在500万行以内。可以采用历史数据归档（常见于日志表）和分库分表的方式控制单表数据的大小。 谨慎使用RDS for MySQL分区表，避免跨分区查询，否则查询效率会降低。分区表在逻辑上表现为一个表，但是在物理层面上将数据存储在多个文件。 表中的列不要太多，尽量做到冷热数据分离，减小表的宽度，以便在一页内存中容纳更多的行，进而减少磁盘IO，更有效的利用缓存。 经常一起使用的列尽量放到一个表中，避免过多的关联操作。 禁止在表中建立预留字段，否则修改列的类型会导致锁表，修改一个字段类型的成本要高于增加一个字段。 禁止在数据库中存储图片、文件等大的二进制数据。

本章节介绍无损下线功能的使用 概述 在微服务场景中，当服务提供者下线时，若消费者无法及时感知到提供者的下线状态，则可能会出现异常请求。通过配置无损下线来保证应用在下线、重启时流量零损耗。 版本限制 框架 限制 详情 Spring Cloud Spring Cloud Dalston及以上版本 支持负载均衡组件为ribbon的应用 不支持负载均衡组件为Spring Cloud LoadBalancer的应用。 Dubbo 2.5.3+ Jdk版本 1.8+

本章节主要介绍数据治理中心 DataArts Studio 常用的术语及解释。 数据治理中心DataArts Studio实例 DataArts Studio实例是数据治理中心给用户提供的最小计算资源单位。数据治理中心以DataArts Studio实例的方式提供给用户，用户可以同时创建多个DataArts Studio实例，并分别管理和访问每个DataArts Studio实例。每个DataArts Studio实例具有用户指定的基础计算资源，包含管理中心、规范设计、数据集成、数据开发、数据质量、数据资产和数据服务七个模块。用户可根据业务需要申请相应规格的DataArts Studio实例。 工作空间 工作空间是从系统层面为管理者提供对使用DataArts Studio的用户（成员）权限、资源、DataArts Studio底层计算引擎配置的管理能力。 工作空间作为成员管理、角色和权限分配的基本单元，每个团队都可具有独立的工作空间。 您只有在加入工作空间并被分配权限后，才可具备管理中心、数据资产、数据质量、业务指标、数据规范、数据服务、数据开发、数据迁移和数据接入模块的系列操作权限。 成员和角色 成员是被授予工作空间访问或使用权限的云账号。在添加工作空间成员时，您需要同时为添加的成员设置相应的角色。 角色是一组操作权限的集合。不同的角色拥有不同的操作权限，把角色授予成员后，成员即具有了角色的所有权限。每位成员至少要拥有一个角色，并且可以同时拥有多种角色。 工作空间有四种角色，包括：管理员、开发者、运维者和访客。

云容器引擎通过将Kubernetes网络和VPC深度集成，提供了稳定高性能的容器网络，能够满足多种复杂场景下工作负载间的互相访问。 约束与限制 每个命名空间下，创建的服务数量不能超过6000个。此处的服务对应kubernetes的service资源，即工作负载所添加的服务。 容器开启hostPort或hostNetwork网络模式后，若需对外提供服务，则需要给容器所在节点开启对应端口的安全组(containerPort)。 Service基本概念 Kubernetes中每一个工作负载会有一个或多个实例（Pod），每个实例（Pod）的IP地址由网络插件动态随机分配（Pod重启后IP地址会改变）。为屏蔽这些后端实例的动态变化和对多实例的负载均衡，引入了Service这个资源对象。 Service是一种资源，提供了我们访问单个或多个容器应用的能力。每个服务在其生命周期内，都拥有一个固定的IP地址和端口。每个服务对应了后台的一个或多个Pod，通过这种方式，客户端就不需要关心Pod所在的位置，方便后端进行方便的Pod扩容、缩容等操作。 用户在Kubernetes中可以部署各种容器，其中一部分是通过HTTP、HTTPS协议对外提供七层网络服务，另一部分是通过TCP、UDP协议提供四层网络服务。而Kubernetes定义的Service资源就是用来管理集群中四层网络的服务访问。 根据创建Service的type类型不同，可分成如下模式： ClusterIP ：默认类型，为服务分配集群虚拟IP，此时集群内部的pod可以通过服务名称寻址到服务的集群虚拟IP地址，集群外无效。 NodePort ：在每个节点上为服务分配静态端口号，此时如果在集群外部访问任何一个节点的IP地址加指定的端口号，kubeproxy会将流量转发到服务的集群虚拟IP，再由虚拟IP寻址到Pod。 LoadBalancer ：通过云服务供应商提供的load balancer向外部暴露服务，由指定的load balancer负责对NodePort与ClusterIP服务的路由。 ClusterIP和NodePort类型的Service，在不同云服务商或是自建集群中的行为表现通常情况下相同。而LoadBalancer类型的Service，由于使用了云服务商的负载均衡进行服务暴露，云服务商会围绕其负载均衡的能力提供不同的额外功能。例如，控制负载均衡的网络类型，后端绑定的权重调节等，详情请参见本章相关文档。 服务访问方式 在CCE中，支持以下类型的互联互通： 集群内访问（ClusterIP ） 工作负载暴露给同一集群内其他工作负载访问的方式，可以通过“集群内部域名”访问。集群内部域名格式为“ . .svc.cluster.local”，例如“nginx.default.svc.cluster.local”。详细请参见集群内访问(ClusterIP)。 节点访问（NodePort ） 节点访问 ( NodePort）是指在每个节点的IP上开放一个静态端口，通过静态端口对外暴露服务。节点访问 ( NodePort )会路由到ClusterIP服务，这个ClusterIP服务会自动创建。通过请求 : ，可以从集群的外部访问一个NodePort服务。详细请参见节点访问(NodePort)。 负载均衡 ( LoadBalancer ) 通过弹性负载均衡从公网访问工作负载，与弹性IP方式相比提供了高可靠的保障，一般用于系统中需要暴露到公网的服务。访问方式由公网弹性负载均衡ELB服务地址以及设置的访问端口组成，例如“10.117.117.117:80”。详细请参见负载均衡(LoadBalancer)。 七层负载均衡（Ingress） 通常情况下，service和pod的IP仅可在集群内部访问。集群外部的请求需要通过负载均衡转发到service在Node上暴露的NodePort上，然后再由kubeproxy通过边缘路由器 (edge router) 将其转发给相关的Pod或者丢弃，而Ingress就是为进入集群的请求提供路由规则的集合。 Ingress可以给service提供集群外部访问的URL、负载均衡、SSL终止、HTTP路由等。为了配置这些Ingress规则，集群管理员需要部署一个Ingress controller，它监听Ingress和service的变化，并根据规则配置负载均衡并提供访问入口。 Ingress的组成部分： Nginx：实现负载均衡到pod的集合。 Ingress Controller：从集群api获取services对应pod的ip到nginx配置文件中。 Ingress：为nginx创建虚拟主机。 Ingress的创建与管理请参见Ingress概述。 网络策略（NetworkPolicy） 网络策略（NetworkPolicy）是一种关于pod间及pod与其他网络端点间所允许的通信规则的规范。 NetworkPolicy资源使用标签选择pod，并定义选定pod所允许的通信规则，详细请参见NetworkPolicy。 网络底层基础设施 VPC 虚拟私有云（Virtual Private Cloud，以下简称VPC），是基于创建的自定义私有网络，不同的专有网络之间彻底逻辑隔离。可以为云服务器、云数据库和负载均衡等构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。 您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 ELB 弹性负载均衡（Elastic Load Balance，简称ELB）是将访问流量根据转发策略分发到后端多台服务器的流量分发控制服务。弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力，通过消除单点故障提升应用系统的可用性。 弹性负载均衡支持经典型、共享型两种负载均衡： − 经典型负载均衡：适用于访问量较小，应用模型简单的web业务。 − 共享型负载均衡：适用于访问量较大的web业务，提供基于域名和URL的路由均衡能力，实现更加灵活的业务转发。

为什么MariaDB和 SysDB下的数据不迁移 由于某些MariaDB的版本把SysDB库作为其系统库（类似于MySQL官方版5.7的sys库），所以DRS默认也将SysDB作为所有MariaDB的系统库来处理（等同于MySQL、informationschema、performanceschema等库）。如果SysDB确实是业务库，您可以通过工单申请处理。 多对一的场景约束及操作建议 因业务需要，不同实例、不同表的数据需要进行合并时，数据复制服务提供的数据迁移支持多对一的场景。 操作建议 为避免创建任务过程中出现空间不足问题，建议提前计算源数据库的数据量总和，根据该总和一次性规划目标实例的磁盘空间，剩余磁盘空间需大于源库实际数据量大小的总和（例如“源系统1”数据量大小为1GB，“源系统2”数据量大小为3GB，“源系统3”数据量大小为6GB，则目标实例的剩余磁盘空间应该大于10GB）。 对于MySQL引擎，目标端参数的设置需要考虑整体资源的提升，建议使用第一个任务的参数对比功能中“常规参数”的“一键修改”（其中maxconnections除外），而“性能参数”应该结合目标端实际规格做相应的手工设置。 对于多对一同步任务场景，由于该场景是一个一个任务逐步创建的，后面创建任务时可能会造成已创建任务的同步阻塞，为了避免这个情况发生，请注意创建技巧。每个同步任务都会涉及创建索引步骤，而创建索引时数据库可能会导致Schema锁进而阻塞Schema下的其他表的数据同步，从而导致后创建的任务可能在索引创建阶段对已经同步中的任务阻塞一段时间，我们可以选择在创建同步任务最后设置为“稍后启动”，这样设定在业务低峰期后创建任务，从而避免后创建任务的索引创建对已有任务的同步阻塞。 如果涉及表级汇集的多对一同步任务，则不支持DDL，否则会导致同步全部失败。

本节主要介绍将MySQL分库分表迁移到DRDS 支持的源和目标数据库 表 支持的数据库 源数据库 目标数据库 :: DRDS实例 本地自建MyCAT中间件 ECS自建MyCAT中间件 DRDS实例 前提条件 已登录数据复制服务控制台。 满足实时迁移支持的数据库类型和版本，详情请参见 实时迁移。 使用建议 注意 DRS任务启动和全量数据迁移阶段，请不要在源数据库执行DDL操作，否则可能导致任务异常。 如果您使用的是全量迁移模式，确保源和目标数据库无业务写入，保证迁移前后数据一致。如果您使用的是全量+增量迁移模式，支持在源数据库有业务数据写入的情况下进行迁移。 数据库迁移与环境多样性和人为操作均有密切关系，为了确保迁移的平顺，建议您在进行正式的数据库迁移之前进行一次演练，可以帮助您提前发现问题并解决问题。 基于以下原因，建议您在启动任务时选择“稍后启动”功能，将启动时间设置在业务低峰期，相对静止的数据可以有效提升一次性迁移成功率，避免迁移对业务造成性能影响。 在网络无瓶颈的情况下，全量迁移会对源数据库增加约50MB/s的查询压力，以及占用2~4个CPU。 正在迁移的数据被其他事务长时间锁死，可能导致读数据超时。 由于MySQL固有特点限制，CPU资源紧张时，存储引擎为Tokudb的表，读取速度可能下降至10%。 DRS并发读取数据库，会占用大约610个session连接数，需要考虑该连接数对业务的影响。 全量阶段读取表数据时，特别是大表的读取，可能会阻塞业务上对大表的独占锁操作。 数据对比 建议您结合数据对比的“稍后启动”功能，选择业务低峰期进行数据对比，以便得到更为具有参考性的对比结果。由于同步具有轻微的时差，在数据持续操作过程中进行对比任务，可能会出现少量数据不一致对比结果，从而失去参考意义。

本章节主要介绍快速开始使用Elasticsearch搜索引擎。 本章节提供了一个简单示例，详情如下方场景描述所示。您可以参考此场景示例数据，使用云搜索服务的Elasticsearch搜索引擎搜索数据，基本操作流程如下所示： 1.创建集群 2.导入数据 3.搜索数据 4.删除集群 场景描述 某女装品牌在网上经营电商业务，其以前是使用传统数据库来为用户提供商品搜索功能，但随着用户数量和业务的增长，使用传统数据库的弊端愈来愈明显。主要问题表现为：响应速度慢、准确性低。为了改善用户体验从而避免用户流失，该电商网站开始使用Elasticsearch搜索引擎来为用户提供商品搜索功能，使用了一段时间后，不仅解决了之前使用传统数据库产生的问题，而且实现了用户数量的增长。 本章节将介绍如何使用Elasticsearch搜索引擎为用户提供搜索功能。 假设该电商网站经营商品的数据如下所示： { "products":[ {"productName":"2017秋装新款文艺衬衫女装","size":"L"} {"productName":"2017秋装新款文艺衬衫女装","size":"M"} {"productName":"2017秋装新款文艺衬衫女装","size":"S"} {"productName":"2018春装新款牛仔裤女装","size":"M"} {"productName":"2018春装新款牛仔裤女装","size":"S"} {"productName":"2017春装新款休闲裤女装","size":"L"} {"productName":"2017春装新款休闲裤女装","size":"S"} ] } 创建集群 在开始搜索数据之前，您需要创建一个集群，其搜索引擎为Elasticsearch。例如，您可以创建一个名称为“SampleESCluster”的集群。此集群仅用于入门指导使用，建议选用“节点规格”为“ess.spec4u8g”，“节点存储”为“高I/O”，“节点存储容量”为“40GB”。 集群创建完成后，在集群列表查看已创建的集群，集群状态为“可用”表示集群创建成功。如下图所示。

终端管理 AOne零信任网络提供终端管理能力，通过整合防病毒、漏洞修复、软件与外设管控、上网行为规范、AI安全检测等能力，依托智能中台实现统一策略管理，精准解决资产不可视、风险难追溯、处置效率低等核心痛点，打破安全与业务效率的对立僵局，成为企业数字化转型的一站式终端安全防护与提效平台。 高效防护 病毒防护为基础，以主动实时防御为核心，联动漏洞自修复引擎自动闭环高危风险，形成‘监测阻断修复’的一体化防御链路，助力企业缩减终端暴露面，提升威胁响应速度。 全面管控 终端、软件、U盘等资产看得清，员工上网行为、AI使用行为可管控，限制员工主动退出客户端行为，确保安全管控策略持续生效，保障终端系统及数据安全。 智能安全 实时监测新安装AI 应用，多视图检视AI 漏洞分布，自动生成修复建议，形成“发现 定位 处置”高效闭环管理，让AI更安全。 办公组网 深度融合“零信任安全架构”与CDN全球化网络能力，依托中国电信优质的节点资源，为企业提供安全高效的组网及加速一体化解决方案，满足企业分支互访、多云互联等多种场景。 高性能网络连接构建：基于优质边缘网络资源和应用安全加速能力，提供安全高性能网络连接服务，支持 TCP/UDP 协议及私有协议加速，满足企业多样化业务传输需求。在零信任网络架构下，组网过程充分考虑用户和设备身份，通过智能路由和安全防护技术，实现数据跨地域高速、稳定、安全传输，保障跨国企业分支机构与总部数据传输的准确及时，同时确保只有授权的用户和设备能够通过组网连接访问资源。​ 智能路由与流量优化：运用智能路由技术，实时监测网络状态和流量负载，自动选择最优路径传输数据，合理分配流量。结合零信任网络的流量控制策略，实时监控分析网络流量，及时发现解决拥塞问题，确保企业多分支机构同时访问总部资源时，各分支机构流量能快速转发，避免延迟和中断。同时，对异常流量进行精准识别和阻断，保障网络安全。​

本章节为您介绍服务相关的内容。 服务通常指的是 API 网关要连接和转发请求的目标服务。在微服务架构中 ，这些目标服务可以是各种不同的后端服务 ， 比如数据库服务、用户服务、支付服务等。服务可以是内部的私有服务 ，也可以是外部的第三方服务。 本系统还提供服务发现、负载均衡、健康检查等功能。 创建服务 1.登录API安全网关。 2.在左侧导航栏选择“资源 > 服务”，进入服务列表页面。 3.单击页面左上方的“新增”按钮，在左侧弹出的“新增服务”对话框中填写相关内容。 字段 说明 服务名称 自定义服务名称，只能取唯一值。 大模型 选择是否使用大模型，选择开启后需要选择“模型提供方”。 应用代理 选择是否开启代理，开启后需要填写“代理端口”及“代理协议”。 描述 对新增的服务添加简要描述。 负载均衡算法 选择负责均衡算法，目前支持以下四种： 一致哈希：相同特征的请求将分配至同一个上游节点。 带权轮询：按照配置的权重比例分配请求数量至上游节点。 指数加权移动平均法：请求将更多地分配给效率高的上游节点。 最小连接数：选取当前连接数量最少的上游节点分发请求。 上游类型 节点：需要填写节点主机名、端口、权重。 服务发现：选择服务发现的类型，支持选择DNS、Consul KV、Nacos、Euereka、Kubernetes。 Host请求头 保持与客户端一致的主机名。 使用目标节点列表中的主机名或IP。 重试次数 重试机制将请求发到下一个上游节点。 值为0表示禁用重试机制，留空表示使用可用后端节点的数量。 重试超时时间 限制是否继续重试的时间，若之前的请求和重试请求花费太多时间就不再继续重试。 0代表不启用重试超时机制。 协议 服务端使用的协议类型，默认为：HTTP协议。 支持选择：HTTP、HTTPs、gRPC、gRPCs、TCP、TLS、UDP、Kafka。 连接超时 建立从请求到后端服务器的连接的超时时间，默认值6s。 发送超时 发送数据到后端服务器的超时时间，默认值6s。 接收超时 从后端服务器接收数据的超时时间，默认值6s。 连接池容量 为后端设置独立的连接池，默认值320。 连接池空闲超时时间 默认值60。 连接池请求数量 默认值1000。 健康监测 选择是否开启健康监测功能。 身份认证 选择身份认证方式，支持以下四种选择： 无认证：不开启身份认证方式。 Key认证：Key认证用于向API添加身份验证密钥。它需要与API调用者一起配合才能工作，通过API调用者将其密钥添加到查询参数或请求头中以验证其请求。 摘要签名认证：摘要签名认证可以将HMAC认证添加到服务。它需要与API调用者一起配合才能工作，通过API调用者将其密钥添加到查询参数或请求头中以验证其请求。 JWT认证：将JWT身份验证添加到服务中，通过API调用者将其密钥添加到查询字符串参数、请求头或Cookie中用来验证其请求。 4.添加完成后，单击“下一步”，进入插件配置环节，具体的插件功能请参照控制台说明，若需要启用插件单击对应插件下方的“启用”按钮即可启用。 5.完成插件配置后，单击“下一步”确认服务信息，若信息无误单击“保存”即可完成添加服务。

本文主要介绍如何创建环境。 概念 环境即我们常说的开发环境、生产环境，是用于应用部署和运行的计算、网络、中间件等资源的集合。 例如可以把同VPC下的云容器引擎、注册中心、数据库等实例组成一个环境。 注意 默认项目下已内置了默认环境，无法创建自定义环境。 非默认项目下，您需要先创建环境才可完成应用接入。 操作步骤 1. 登录应用性能监控控制台，进入应用管理页面。 2. 点击“接入应用”，选择对应的语言。 3. 在应用归属中，点击“新增环境”。 4. 在新增环境弹窗中，输入以下信息。 1. 环境名称：输入合法环境名称。 2. 环境编码：自定义环境编码。 5. 点击确定按钮，完成环境创建。

本节主要介绍应用场景 巡检与问题定界 日常运维中，遇到异常难定位、日志难获取等问题，需要一个监控平台对资源、日志、应用性能进行全方位的监控。 AOM深度对接应用服务，一站式收集基础设施、中间件和应用实例的运维数据，通过指标监控、日志分析、服务异常报警等功能，支持日常巡检资源、应用整体运行情况，及时发现并定界应用与资源的问题。 优势 应用自动发现：自动部署采集器，针对应用的运行环境，主动发现应用并进行监控。 跨云服务的分布式应用监控：对于同时使用了多种云服务的分布式应用，提供统一的运维平台，便于您对业务进行立体排查。 告警灵活通知：提供多种异常检测策略并支持丰富的异常告警触发方式。 巡检与问题定界 立体化运维 您需全方位掌控系统的运行状态，并快速响应各类问题。 AOM提供从云平台到资源，再到应用的监控和微服务调用链的立体化运维分析能力。 优势 体验保障：实时掌控业务KPI健康状态，对异常事务根因分析。 故障快速诊断：分布式调用追踪，快速找到异常故障点。 资源运行保障：实时监控容器、磁盘、网络等上百种资源运维指标 集群>虚机>应用>容器异常关联分析。

事件名称 事件ID 事件级别 事件说明 处理建议 事件影响 删除虚拟机 deleteServer 重要 删除云服务器。 包括： 1. 在管理控制台进行删除操作。 2. 通过API接口下发删除指令。 确认删除操作是否为主动执行。 业务中断。 重启虚拟机 rebootServer 次要 云服务器重启。 包括： 1. 在管理控制台进行重启操作。 2. 通过API接口下发重启指令。 1. 确认操作是否为主动执行。 2. 业务应用做成高可用。 3. 云主机开机后，确认业务是否自动恢复。 业务中断。 关闭虚拟机 stopServer 次要 云服务器关机。 包括： 1. 在管理控制台进行关机操作。 2. 通过API接口下发关机指令。 1. 确认操作是否为主动执行。 2. 业务应用做成高可用。 3. 云主机开机后，确认业务是否自动恢复。 业务中断。 删除网卡 deleteNic 重要 云服务器删除网卡。 包括： 1. 在管理控制台删除网卡。 2. 通过API接口下发删除网卡指令。 1. 确认操作是否为主动执行。 2. 业务应用做成高可用。 3. 删除网卡后，确认业务是否自动恢复。 网卡被删除，存在业务中断的可能。 变更规格 resizeServer 次要 云服务器规格变更。 包括： 1. 在管理控制台进行变更规格。 2. 通过API接口下发变更规格指令。 1. 确认操作是否为主动执行。 2. 业务应用做成高可用。 3. 变更规格后，确认业务是否自动恢复。 业务中断。 因硬件故障触发重启 startAutoRecovery 重要 弹性云主机所在的主机出现故障时，系统会自动将弹性云主机迁移至正常的物理机， 迁移过程中系统会自动重启云主机。 等待恢复成功，观察业务是否受到影响。 业务存在中断的可能。 因硬件故障重启已完成 endAutoRecovery 重要 当自动迁移完成后，弹性云主机已恢复正常。 当收到“恢复成功”时，云服务器已正常工作，可继续使用。 业务恢复正常。 恢复超时（后台处理中） faultAutoRecovery 重要 迁移弹性云主机至正常的物理机操作超时。 迁移业务至其他云服务器。 业务中断。 开机失败 faultPowerOn 重要 云主机开机失败。 重试开机，若仍开机失败，联系运维人员处理。 云服务器无法开机。 GPU链路故障 GPULinkFault 紧急 弹性云主机所在的主机上GPU卡故障。 包括： 1. GPU卡故障。 2. GPU卡故障恢复中。 业务应用做成高可用。GPU卡故障恢复后，确认业务是否自动恢复。 业务中断。 主机进程异常导致虚拟机故障 VMFaultsByHostProcessExceptions 紧急 云服务器所在宿主机服务进程异常，导致云服务器故障。 联系运维人员处理 云服务器故障。 GuestOS系统层重启告警 RestartGuestOS 一般 GuestOS内部重启。 联系运维人员处理。 在系统重启场景下，可能导致业务中断。 实例计划规格变更等待执行 instanceresizescheduled 重要 实例在计划时间规格变更，任务等待执行。 确认执行窗口对业务的影响。 实例等待执行规格变更操作。 实例计划迁移等待执行 instancemigratescheduled 重要 由于底层硬件、系统运维等影响，实例在计划时间迁移，任务等待执行。 确认执行窗口对业务的影响。 实例等待执行迁移操作。 实例计划停止等待执行 instancestopscheduled 重要 由于底层硬件、系统运维等影响，实例在计划时间停止，任务等待执行。 确认执行窗口对业务的影响。 实例中止等待。 实例计划重启等待执行 instancerebootscheduled 重要 由于底层硬件、系统运维等影响，实例在计划时间重启，任务等待执行。 确认执行窗口对业务的影响。 实例等待执行重启。 实例计划重新部署等待执行 instanceredeployscheduled 重要 由于底层硬件、系统运维等影响，实例在计划时间重新部署到新主机，任务等待执行。 确认执行窗口对业务的影响。 实例等待执行重部署。 GPU SRAM存在 Uncorrectable ECC告警 SRAMUncorrectableEccError 重要 GPU卡SRAM出现Uncorrectable ECC Error硬件故障。 如果业务受损，请提交工单。 可能GPU硬件问题导致SRAM故障，导致业务异常退出。 GPU存在infoROM告警 gpuInfoROMAlarm 重要 GPU可能存在硬件问题，导致驱动读取不到inforom信息。 非敏感业务可以继续使用该GPU卡，敏感业务请提交工单。 对业务暂时没有影响，当GPU硬件出现ECC故障时，可能无法自动完成故障页隔离，导致业务受损。 GPU发生double bit ECC告警 doubleBitEccError 重要 GPU硬件存在double bit ECC故障。 如果业务受损停止，建议尝试重启虚拟机恢复业务。 如果业务仍然无法恢复，请提交工单。 可能会造成业务中断，故障页隔离后业务可继续正常使用GPU。 GPU隔离页过多告警 gpuTooManyRetiredPagesAlarm 重要 GPU硬件存在过多ECC隔离页。 如果业务受损，请提交工单。 GPU硬件存在过多ECC故障，可能频繁影响业务正常运行。 GPU A100 硬件发生ECC告警 gpuA100EccAlarm 重要 GPU卡出现ECC硬件故障。 如果业务受损停止，建议尝试重启虚拟机恢复业务。 如果业务仍然无法恢复，请提交工单。 可能会造成业务中断，故障页隔离后业务可继续正常使用GPU。 GPU ECC内存页隔离失败告警 eccPageRetirementRecordingFailure 重要 GPU硬件存在ECC故障，驱动自动隔离内存页时失败。 如果业务受损，请提交工单。 可能会造成业务中断，故障页隔离隔离失败，可能导致业务无法使用GPU。 GPU ECC页隔离告警 eccPageRetirementRecordingEvent 一般 存在ECC硬件错误，发生内存页自动隔离。 如果业务受损停止，建议尝试重启虚拟机恢复业务。 如果业务仍然无法恢复，请提交工单。 一般随ECC故障告警出现，单独出现不影响业务。 GPU single bit ECC过多告警 highSingleBitEccErrorRate 重要 ECC硬件存在过高ECC single bit错误。 如果业务受损停止，建议尝试重启虚拟机恢复业务。 如果业务仍然无法恢复，请提交工单。 single bit的错误能够自动恢复，一般不影响GPU相关应用程序。 GPU驱动掉卡告警 gpuDriverLinkFailureAlarm 重要 GPU链路正常，NVIDIA驱动找不到GPU硬件 建议尝试重启虚拟机恢复业务。如果业务仍然无法恢复，请提交工单。 一般驱动问题导致找不到对应位置的GPU。 GPU卡链路故障告警 gpuPcieLinkFailureAlarm 重要 GPU链路异常，通过lspci查看GPU硬件出现故障。 如果业务受损，请提交工单。 硬件问题导致GPU链路异常，驱动无法使用GPU。 虚拟机GPU丢卡告警 vmLostGpuAlarm 重要 虚拟机实际有的GPU卡数量比规格里应分配的GPU卡数量少。 如果业务受损，请提交工单。 虚拟机GPU卡丢失。 GPU显存页告警 gpuMemoryPageFault 重要 GPU内存页发生故障，故障可能由应用、驱动或硬件引起 如果业务受损，请提交工单。 可能GPU硬件问题导致显存故障，导致业务异常退出。 GPU图像引擎异常告警 graphicsEngineException 重要 GPU图像引擎发生故障，可能由应用、驱动或硬件引起。 如果业务受损，请提交工单。 可能GPU硬件问题导致图像引擎故障，导致业务异常退出。 GPU温度过高告警 highTemperatureEvent 重要 GPU硬件温度过高。 如果业务受损，请提交工单。 GPU温度超过温度阈值，可能会引起GPU卡性能下降。 GPU NVLINK链路错误告警 nvlinkError 重要 NVLINK的链路出现硬件故障 如果业务受损，请提交工单。 NVLINK链路故障，影响业务使用GPU NVLINK能力。 nvidiasmi命令卡住 nvidiaSmiHangEvent 重要 nvidiasmi命令超时，该命令可能卡住 如果业务受损，请提交工单。 可能是命令执行过程中，触发驱动问题，导致命令卡住，同时可能出现业务使用驱动报错问题。 开始热迁移 liveMigrationStarted 重要 弹性云主机所在的主机可能出现故障，提前对虚拟机进行热迁移，避免宕机后导致业务中断。 等待虚拟机迁移成功，状态恢复正常。 实例热迁移开始。 结束热迁移 liveMigrationCompleted 重要 热迁移已经结束，弹性云主机已恢复正常。 确认业务是否受到影响。 实例热迁移结束。 热迁移失败 liveMigrationFailed 重要 弹性云主机热迁移出现问题，未热迁移成功。 确认应用集群业务是否受损。 实例热迁移失败。 宿主机存在宕机风险 hostMayCrash 重要 弹性云主机所在的宿主机存在宕机风险，且由于一些原因，无法通过热迁移手段规避该风险。 确认应用集群业务是否受损。 实例有重启风险。

本章介绍天翼云关系型数据库不同规格下支持的数据库引擎。 通用增强型和通用增强II型实例性能强劲稳定，提供更高的网络性能，满足不同场景需求。 通用增强型实例是新推出的一系列性能更高、计算能力更稳定的实例规格，搭载英特尔® 至强® 可扩展处理器，配套高性能网络，综合性能及稳定性全面提升，满足对业务稳定性及计算性能要求较高的企业级应用诉求。 通用增强II型实例搭载第二代英特尔® 至强® 可扩展处理器，多项技术优化，计算性能强劲稳定，配套25GE智能高速网卡，提供超高网络带宽和PPS收发包能力。 性能规格 规格 vCPU(个) 内存(GB) 支持的数据库引擎 :::: 通用增强型 2 4 MySQL PostgreSQL 通用增强型 2 8 MySQL PostgreSQL Microsoft SQL Server 通用增强型 2 16 MySQL PostgreSQL Microsoft SQL Server 通用增强型 4 8 MySQL PostgreSQL Microsoft SQL Server 通用增强型 4 16 MySQL PostgreSQL Microsoft SQL Server 通用增强型 4 32 MySQL PostgreSQL Microsoft SQL Server 通用增强型 8 16 MySQL PostgreSQL 通用增强型 8 32 MySQL PostgreSQL Microsoft SQL Server 通用增强型 8 64 MySQL PostgreSQL Microsoft SQL Server 通用增强型 16 64 MySQL Microsoft SQL Server 通用增强II型 2 4 MySQL PostgreSQL 通用增强II型 2 8 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 2 16 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 4 8 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 4 16 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 4 32 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 8 16 MySQL PostgreSQL 通用增强II型 8 32 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 8 64 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 16 32 MySQL PostgreSQL 通用增强II型 16 64 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 16 128 MySQL PostgreSQL Microsoft SQL Server 通用增强II型 32 64 MySQL PostgreSQL 通用增强II型 32 128 MySQL PostgreSQL 通用增强II型 64 128 MySQL PostgreSQL 通用增强II型 64 256 MySQL PostgreSQL 通用增强II型 64 512 MySQL PostgreSQL 数据库实例规格请以实际环境为准。