资源使用超出限制 如果容器使用资源超过限制，可能会被Kubernetes终止。检查应用程序代码，确保资源使用在合理范围内。

本文介绍只读实例的基本作用、架构、应用场景、使用限制等。 只读实例简介 在对数据库有少量写请求，但有大量读请求的应用场景下，单个实例可能无法承受读取压力，甚至对业务产生影响。为实现SQL Server读能力的弹性扩展，分担数据库读压力，您可以创建一个或多个只读实例，利用只读实例满足大量的数据库读取需求。 基本架构 只读实例基于SQL Server源生的AlwaysOn技术实现，通过物理复制方式实现主实例到只读实例的数据同步。只读实例节点以异步的方式加入主实例的AlwaysOn集群并作为其中一个辅助节点。只读实例的拓扑图如下所示。 使用限制 目前仅2022企业版、2019企业版、2017企业版的主备实例支持创建只读实例。 1个主实例最多支持创建5个只读实例。 不支持单独购买只读实例，需要购买主实例后，才能购买只读实例。 只读实例采用单节点结构，没有备节点。 只读实例需要与主实例在同一区域，但是可以选择不同可用区。 计费标准 只读实例需要额外收费，目前仅支持按需计费。计费详情请参见计费说明产品资费只读实例。 应用场景 单个实例负载过大时，可以创建只读实例，将读请求转发至只读实例，用于缓解主实例负载。 面对报表分析等场景，使用只读实例查询分析大量数据，不影响主实例。 面对容灾场景，使用只读实例作为主实例的容灾备份。

查看规则 在审计管理 > 审计规则界面查看审计规则列表，点击某一个审计规则的查看按钮，可以查看该审计规则的详情。 修改规则 在审计管理 > 审计规则界面查看审计规则列表，点击某一个审计规则的修改按钮，可以修改该审计规则的定义。 在使用中的审计规则目前不支持修改。如果要修改，先从所有应用改审计规则的实例的策略中去掉之后，才可以修改，然后再重新应用到实例的策略中去。 删除规则 在审计管理 > 审计规则界面查看审计规则列表，点击某一个审计规则的删除按钮，可以删除该审计规则。 在使用中的审计规则目前不允许删除。如果要删除，先从所有应用改审计规则的实例的策略中去掉之后，才可以删除。 审计策略管理 在审计策略界面，选中实例之后，可以对实例的进行创建审计策略、修改审计策略、查看审计策略等操作。 一个实例目前只允许创建一条审计策略。当实例没有审计策略时，新建策略按钮可用，用户可以给实例创建对应的审计策略。 新建审计策略 新建审计策略时需要填写相关参数，具体的参数说明如下： 参数 类型 说明 审计规则 列表 审计策略包含的审计规则列表，支持多选。 auditLogFile string 审计日志文件的保存路径，可自定义，如 /htapaudit/audit.log auditLogRotateOnSize number 审计日志按大小滚动的阈值，单位MB。 auditLogRotations number 审计日志滚动时最多保留的文件个数。审计日志占用空间上限是 auditLogRotations auditLogRotateOnSize MB，不能超过 5 GB。 auditLogFormat string 审计日志格式，目前只支持json。 是否启用 布尔 审计开关，选中表示审计打开，未选中表示审计关闭。

本文介绍镜像服务中创建私有镜像的各种方式。 镜像服务提供了私有镜像的全生命周期管理能力，主要包括创建、共享、导出私有镜像等操作。私有镜像的类型包括系统盘镜像、数据盘镜像和整机镜像，这些镜像可由现有运行的云主机创建，或由外部导入，且只有私有镜像的创建者和被共享对象可以使用。 不同天翼云地域创建私有镜像的方法有所差异，以控制台实际功能为准。 系统盘镜像 系统盘镜像是包含用户运行业务所需的操作系统、应用软件的镜像。系统盘镜像可用于创建云主机，迁移用户业务到云。 创建系统盘镜像的方法包括： 1. 通过云主机创建Linux/Windows系统盘镜像。 2. 通过物理机创建Linux/Windows系统盘镜像。 3. 通过镜像文件导入创建Linux/Windows系统盘镜像。 4. 通过云主机快照创建Linux/Windows系统盘镜像。 数据盘镜像 数据盘镜像是只包含用户业务数据的镜像。数据盘镜像可用于创建云硬盘，将用户的业务数据迁移到云上。 创建数据盘镜像的方法包括： 1. 通过云主机的数据盘创建数据盘镜像。 2. 通过镜像文件导入创建数据盘镜像。 整机镜像 整机镜像是包含用户运行业务所需的操作系统、应用软件和业务数据的镜像。 创建整机镜像的方法包括： 1. 通过云主机创建整机镜像。 用户可以根据实际需求创建私有镜像。

实例类型 Redis实例类型分为单机、主备、集群单机、集群主备、Cluster单机、Cluster主备、读写分离，它们的架构与应用场景，请参考实例类型章节。

本页介绍了排查实例CPU使用率高问题的方法。 CPU使用率过高的一般排查步骤如下： 1. 在DDS控制台找到目标实例，单击监控图标， 然后在CPU页签下，查看CPU使用率较高的时间段。 2. 登录对应的实例机器查看系统资源使用情况：首先使用Linux的系统监控工具（如top、htop）或Windows的任务管理器，查看系统整体的CPU使用率和其他资源使用情况。确认是否只有MongoDB进程占用大量CPU资源，还是其他进程也在竞争CPU资源。 3. 文档数据库服务查询性能分析工具与方式： 1. MongoDB Compass等工具来查看当前正在执行的查询(MongoDB Compass 的下载与使用请参见Mongodb的官网下载)。 2. 使用MongoDB shell的db.currentOp()命令,检查是否有某个查询或操作占用了大量CPU资源。 db.currentOp()命令解析： 例如：连接上Mongodb shell 执行以下操作： > db.users.find({ age: { $gte: 18 } }).limit(10) > db.currentOp() { "inprog" : [ { "opid" : 1290, // 操作的唯一标识符 "op" : "query", // 操作类型：查询 "ns" : "exampledb.users", // 操作涉及的命名空间 "query" : { "age" : { "$gte" : 18 } }, // 查询条件 "client" : "127.0.0.1:57852", // 客户端IP地址和端口 "desc" : "conn211", // 操作的描述信息 "active" : true, // 操作是否活动中 "secsrunning" : 5, // 操作已经运行的时间（以秒为单位） "oplog" : false, "numYields" : 0, "locks" : { "Global" : "r", // 全局读锁 "MMAPV1Journal" : "r" // MMAPv1引擎的日志读锁 }, "waitingForLock" : false, "msg" : "", "numYieldOps" : 0, "database" : "exampledb", "command" : { "find" : "users", // 执行的命令：查找操作 "filter" : { "age" : { "$gte" : 18 } }, // 过滤条件 "limit" : 10 // 限制结果数 }, "planSummary" : "COLLSCAN", // 查询执行计划摘要 "lsid" : { "id" : { "UUID" : "e45ea9176c614a5e86812da4af89aa29" }, // 会话ID "uid" : ObjectId("ea6a1a2570a062f88eac10f5") // 用户ID }, "$clusterTime" : { "clusterTime" : Timestamp(1657796621, 1), "signature" : { "hash" : { "BsonData" : "wDUTByvnZXjN+MJB/M9Rlg", "Length" : 28 }, "keyId" : 6963168194386045953 } }, "stale" : false, "txnNumber" : 11, "startAt" : ISODate("20230721T15:57:01.246Z"), "autocommit" : false, "lastWrite" : { "opTime" : { "ts" : Timestamp(1657796621, 1), "t" : 1 }, "lastWriteDate" : ISODate("20230721T15:57:01Z"), "majorityOpTime" : { "ts" : Timestamp(1657796621, 1), "t" : 1 }, "majorityWriteDate" : ISODate("20230721T15:57:01Z") }, "activeShards" : {}, "numShards" : 0, "shardName" : "", "hashed" : false, "batchSize" : 0, "mode" : "scanned" } ] } 4. 确认索引使用情况：检查数据库中的索引是否被有效使用。缺少索引或索引使用不当可能导致查询性能下降，从而导致高CPU使用率。 5. 长时间运行的查询：检查是否有长时间运行的查询，这些查询可能会占用大量CPU资源。优化查询性能或者对长时间运行的查询进行调整可能有助于降低CPU使用率。 6. 调整Write Concern：写操作的Write Concern设置会影响数据写入的确认方式，使用较高级别的Write Concern可能会导致CPU开销增加。根据应用需求，选择合适的Write Concern。 7. 硬件性能：确认文档数据库运行在性能良好的硬件上，包括CPU、内存和磁盘。如果硬件性能不足，可能会导致CPU使用率过高。 8. 日志记录级别：考虑降低文档数据的日志记录级别，减少日志输出对CPU的影响。 9. 压力测试：进行压力测试以模拟生产环境的负载，并观察CPU使用率的变化。通过压力测试可以更好地理解系统的瓶颈和性能问题。 10. 数据分片：如果数据量较大，可以考虑使用文档数据库服务的分片集群，将数据分散到多个节点上，以实现水平扩展和负载均衡。 11. 数据库版本和配置：确保使用的文档数据库服务版本是较新的稳定版本，并根据硬件资源和负载情况合理配置文档数据库服务的参数。 注意 高CPU使用率可能是复杂的问题，可能有多个因素共同导致。在进行问题排查时，建议先在测试环境中进行实验和测试，逐步排查可能的原因。如果问题持续存在，可以考虑寻求专业的文档数据库技术支持。

应用场景 鲲鹏超高IO型弹性云主机适用于高性能关系型数据库，NoSQL数据库(Cassandra、MongoDB等)以及ElasticSearch搜索等场景。

说明：本章介绍关系数据库的优势，关系型数据库具有低成本、高安全性、高可靠性等优势，相对传统数据库运维繁琐等缺陷，关系型数据库使用更加方便简单。 即开即用 您可以通过官网实时生成目标实例，关系型数据库服务配合弹性云服务器一起使用，通过内网连接关系型数据库可以有效的降低应用响应时间、节省公网流量费用。 弹性扩容 可以根据您的业务情况弹性伸缩所需的资源，按需开支，量身订做。配合云监控（Cloud Eye）监测数据库压力和数据存储量的变化，您可以灵活调整实例规格。 完全兼容 您无需再次学习，关系型数据库各引擎的操作方法与原生数据库引擎的完全相同。关系型数据库还兼容现有的程序和工具。 运维便捷 RDS的日常维护和管理，包括但不限于软硬件故障处理、数据库补丁更新等工作，保障关系型数据库运转正常。提供专业数据库管理平台，重启、重置密码、参数修改、查看错误日志和慢查询日志、恢复数据等一键式功能。提供CPU利用率、IOPS、连接数、磁盘空间等实例信息实时监控及报警，让您随时随地了解实例动态。 网络隔离 通过虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组实现网络隔离。虚拟私有云允许租户通过配置虚拟私有云入站IP范围，来控制连接数据库的IP地址段。关系型数据库实例运行在租户独立的虚拟私有云内，可提升关系型数据库实例的安全性。您可以综合运用子网和安全组的配置，来完成关系型数据库实例的隔离。 访问控制 通过主/子帐号和安全组实现访问控制。创建关系型数据库实例时，关系型数据库服务会为租户同步创建一个数据库主帐户，根据需要创建数据库实例和数据库子帐户，将数据库对象赋予数据库子帐户，从而达到权限分离的目的。可以通过虚拟私有云对关系型数据库实例所在的安全组入站、出站规则进行限制，从而控制可以连接数据库的网络范围。 传输加密 通过TLS加密、SSL加密实现传输加密。使用从服务控制台上下载的CA根证书，并在连接数据库时提供该证书，对数据库服务端进行认证并达到加密传输的目的。 存储加密 通过静态加密、表空间加密、同态加密对数据进行加密。关系型数据库服务支持对存储到数据库中的数据加密后存储，加密密钥由KMS进行管理。 数据删除 删除关系型数据库实例时，存储在数据库实例中的数据都会被删除，任何人都无法查看及恢复数据。安全删除不仅包括数据库实例所挂载的磁盘，也包括备份数据的存储空间（通常为廉价的对象存储系统）。 防DDoS攻击 当用户使用外网连接和访问关系型数据库实例时，可能会遭受DDoS攻击。当关系型数据库安全体系认为用户实例正在遭受DDoS攻击时，会首先启动流量清洗的功能，如果流量清洗无法抵御攻击或者攻击达到黑洞阈值时，将会进行黑洞处理，保证关系型数据库整体服务的可用性。 安全防护 关系型数据库处于多层防火墙的保护之下，可以有力地抗击各种恶意攻击，保证数据安全，防御DDoS攻击、防SQL注入等。建议用户通过内网访问关系型数据库实例，可使关系型数据库实例免受DDoS攻击风险。 双机热备 关系型数据库服务采用热备架构，故障秒级自动切换。 数据备份 每天自动备份数据，上传到对象存储服务（Object Storage Service，简称OBS）。备份文件保留732天，支持一键式恢复。用户可以设置自动备份的周期，还可以根据自身业务特点随时发起备份，选择备份周期、修改备份策略。 数据恢复 支持按备份集和指定时间点的恢复。在大多数场景下，用户可以将732天内任意一个时间点的数据恢复到关系型数据库新实例或已有实例上，数据验证无误后即可将数据迁回关系型数据库主实例，完成数据回溯。 RDS与自建数据库优势对比 性能对比 性能项目 云数据库RDS 自购服务器搭建数据库服务 服务可用性 请参见《弹性云服务器用户指南》。 需要购买额外设备，自建主从，自建RAID。 数据可靠性 请参见《云硬盘用户指南》。 需要购买额外设备，自建主从，自建RAID。 系统安全性 防DDoS攻击，流量清洗；及时修复各种数据库安全漏洞。 需要购买昂贵的硬件设备和软件服务，需要自行检测和修复安全漏洞等。 数据库备份 支持自动备份，手动备份，自定义备份存储周期。 需要购买设备，并自行搭建设置和后期维护。 软硬件投入 无需投入软硬件成本，按需购买，弹性伸缩。 数据库服务器成本相对较高，对于Microsoft SQL Server需支付许可证费用。 系统托管 无需托管。 需要自购2U服务器设备，如需实现主从，购买两台服务器，并进行自建。 维护成本 无需运维。 需要投入大量人力成本，招聘专业的DBA进行维护。 部署扩容 弹性扩容，快速升级，按需开通。 需采购和原设备匹配的硬件，需托管机房的配合，需部署设备，整体周期较长。 资源利用率 按实际结算，100%利用率。 考虑峰值，资源利用率低。

应用示例 1.连接数据库。 具体步骤参见《数据仓库服务用户操作指南》中的“连接集群>使用gsql命令行客户端连接集群”章节。 2.创建表student，有id，name和score三个属性。使用哈希函数加密保存name，使用对称密码算法保存score。 CREATE TABLE student (id int, name text, score text, subject text); INSERT INTO student VALUES (1, gshash('alice', 'sha256'), gsencrypt('95', '12345', 'aes128', 'cbc', 'sha256'),gsencryptaes128('math', '1234')); INSERT INTO student VALUES (2, gshash('bob', 'sha256'), gsencrypt('92', '12345', 'aes128', 'cbc', 'sha256'),gsencryptaes128('english', '1234')); INSERT INTO student VALUES (3, gshash('peter', 'sha256'), gsencrypt('98', '12345', 'aes128', 'cbc', 'sha256'),gsencryptaes128('science', '1234')); 3.不使用密钥查询表student，通过查询结果可知：没有密钥的用户即使拥有了select权限也无法看到name和score这两列加密数据。 select from student; id name score subject +++ 1 2bd806c97f0e00af1a1fc3328fa763a9269723c8db8fac4f93af71db186d6e90 AAAAAAAAAABAuUC3VQ+MvPCDAaTUySl1e2gGLr4/ATdCUjTEvova3cb/Ba3ZKqIn1yNVGEFBvJnTq/3sLF4//Gm8qG7AyfNbbqdW3aYErLVpbE/QWFX9Ig aFEWQR2gkj iu6sfsAad+dHzfFDHePZ6xd44zyekh+qVFlh9FODZ0DoaFAJXctwUsiqaiitTxW8cCSEaNjS/E7Ke1ruY 2 81b637d8fcd2c6da6359e6963113a1170de795e4b725b84d1e0b4cfd9ec58ce9 AAAAAAAAAABAuUC3VQ+MvPCDAaTUySl1taXxAoDqE793hgyCJvC0ESdAX5Mtgdq2LXI1f5ZxraQ73WIJVtIBX8oe3gTDxoXGlHbHht4kzM4U8dOwr5rjgg aFEWQR2gkj iu6sfsAad+dM8tPTDo/Pds6ZmqdmjGiKxf39+Wzx5NoQ6c8FrzihnRzgc0fycWSu5YGWNOKYWhRsE84Ac 3 026ad9b14a7453b7488daa0c6acbc258b1506f52c441c7c465474c1a564394ff AAAAAAAAAACnyusORPeApqMUgh56ucQu3uso/Llw5MbPFMkOXuspEzhhnc9vErwOFe6cuGtx8muEyHCX7V5yXs+8FxhNh3n5L3419LDWJJLY2O4merHpSg zomphRfHV4 H32hTtgkio1PyrobVO8N+hN7kAKwtygKP2E7Aaf1vsjmtLHcL88jyeJNe1lxe0fAvodzPJAxAuV3UJN4M (3 rows) 4.使用密钥查询表student，通过查询结果可知：拥有密钥的用户通过使用gsencrypt对应的解密函数gsdecrypt解密后，可以查看加密数据。 select id, gsdecrypt(score, '12345', 'aes128', 'cbc', 'sha256'),gsdecryptaes128(subject, '1234') from student; id gsdecrypt gsdecryptaes128 ++ 1 95 math 2 92 english 3 98 science (3 rows)

本文介绍当攻击发生且触发平台稳定性红线时的处理预案及注意事项等。 场景说明 天翼云全站加速是公共的加速服务，平台承载着成千上万的域名加速业务，是一个多客户共用的加速平台，默认不提供防攻击服务。当某个客户的域名遭受攻击（例如CC攻击），而出现带宽或QPS异常大幅上涨触发平台稳定性红线时，全站加速平台有权（根据域名业务情况、攻击影响程度等因素综合判断）将对应客户的域名切入专用隔离资源池以隔离异常业务，避免影响其他正常用户的加速服务。在攻击较严重的情况下，同账户下的其他域名也会切入隔离资源池。 域名被切入隔离资源池后，天翼云全站将不再保证服务质量，部分时段可能会出现无法服务的情况。 说明 隔离资源池是天翼云全站的一组特殊节点，这组节点与常规节点之间相互隔离，隔离资源池被用于隔离有风险的加速业务。 注意事项 因被攻击导致域名被切入隔离资源池后，用户访问带来的流量仍然会产生计费账单。 相关建议 如您的域名存在潜在被攻击风险，不希望在上述场景下被切换至隔离资源池，请切换至安全类加速产品，例如：边缘安全加速平台。 相关概念： DDoS：分布式拒绝服务攻击（Distributed Denial of Service，简称DDoS）是指攻击的发出点是分布在不同地方，且所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。 CC攻击：攻击者借助代理服务器生成指向受害主机的合法请求，以实现DDoS和伪装的，称为CC(Challenge Collapsar)，CC主要是攻击页面，属于应用层攻击。

本文为您介绍如何使用KMS中的用户主密钥，快速实现少量数据的在线加解密。 KMS提供针对敏感信息的加密能力，适用于保护小型敏感数据（小于6KB），如口令、身份信息、证书、后台配置文件等。 通过密钥管理服务KMS的在线加密API，使用用户主密钥（CMK）直接加密敏感数据信息，而非直接将明文存储，确保敏感数据安全。 场景示意图 操作流程（以证书加密为例） 1. 通过KMS控制台或者调用CreateKey接口，创建一个用户主密钥（CMK）。 2. 调用KMS服务的Encrypt接口，将明文证书加密为密文证书。 3. 将密文证书部署在服务器上。 4. 当服务器启动需要使用证书时，调用KMS服务的Decrypt接口将密文证书解密为明文证书。 相关API 您可以调用以下KMS API，轻松完成对数据的加密或解密操作。 API名称 说明 createKey 创建用户主密钥（CMK）。 encrypt 指定CMK，直接输入明文数据，由KMS在线加密数据。 decrypt 解密由encrypt接口加密的数据，不需要指定CMK即可完成在线解密。 操作步骤 1. 通过密钥管理服务控制台创建用户主密钥CMK。 2. 通过OpenAPI在线加密接口，对敏感数据进行加密。 请求参数说明 参数 是否必填 参数位置 参数类型 说明 cmkUuid 是 body String 主密钥（CMK）的全局唯一标识符。 plaintext 是 body String 待加密明文（必须经过Base64编码）。 请求示例 plaintext { "plaintext": "SGVsbG8gd29ybGQ", "cmkUuid": "241ede22626146179caf10d89990516c" } 成功返回 plaintext { "code": 200, "result": { "ciphertextBlob": "MDA2NE1qUXhaV1JsTWpJdE5qSTJNUzAwTmpFM0xUbGpZV1l0TVRCa09EazVPVEExTVRaakpqUTVaV00zTm1RM0xXTmpOR010TkRBd1pTMDVaakU1TFdZNU1EQXhOVGczWVdVd1pnPT3oCYiGAy7mNTLitIlJaQ92", "cmkUuid": "241ede22626146179caf10d89990516c", "keyVersionId": "49ec76d7cc4c400e9f19f9001587ae0f" }, "statusCode": 200, "success": 1 } 返回参数说明 参数 说明 ciphertextBlob 数据被指定CMK的主版本加密后的密文。 cmkUuid CMK的全局唯一标识符。如果请求中的Cmkuuid参数使用的是CMK的别名，在响应中会返回别名对应的CMK标志符。 keyVersionId 用于加密明文的密钥版本标志符，是指定CMK的主版本。 3. 将加密后的数据存储。 根据业务的应用场景，将密文进行存储。 4. 通过OpenAPI解密接口，对密文数据进行解密。 请求参数说明 参数 是否必填 参数位置 参数类型 说明 ciphertextBlob 是 body String 主密钥（CMK）加密的数据密钥的密文。 成功返回 plaintext { "statusCode": 800, "returnObj": { "code": 200, "result": { "cmkUuid": "8bca8f33d42a448a866ba064f44b29b7", "keyVersionId": "73670b284eea4260b497ae0334cc0c85", "plaintext": "sc7280+klUSln3Y9FHdfKGUT+6kPrcIMW41uZQeXxGU" }, "statusCode": 200, "success": 1 } } 返回参数说明 参数 说明 cmkUuid CMK的全局唯一标识符。如果请求中的Cmkuuid参数使用的是CMK的别名，在响应中会返回别名对应的CMK标志符。 keyVersionId 密钥版本ID。主密钥版本的全局唯一标识符。 plaintext 解密后的明文经过Base64编码的后的值。

新建通知策略时，可将联系人组设为告警通知的接收对象。当通知策略的匹配条件被触发后，应用性能监控告警管理模块会通过电话、短信、邮件等多种渠道，向该联系人组内所有成员同步推送告警通知。 前提条件 已创建联系人。 创建联系人组 1. 登录【应用性能监控控制台】，在左侧导航栏选择告警管理 > 通知对象。 2. 在联系人 页签单击新建联系人组。 3. 在新建联系人组 对话框中输入组名 ，在下方选择告警联系人 ，并单击确认 。创建完成后，对应的联系人组将显示在联系人页签的左侧列表中。 管理联系人组 创建联系人组后，您可以在联系人页签查询、编辑或删除联系人组： 编辑联系人组：在目标联系人组右侧选择点击更多编辑，在弹出的对话框中修改联系人组的名称或包含的联系人，然后单击确定。 查看联系人组详情：单击联系人组名称即可在右侧查看联系人组中的联系人。 删除联系人组：在目标联系人组右侧点击更多删除，然后在弹出的提示对话框中单击确定。

新建通知策略时，可将联系人组设为告警通知的接收对象。当通知策略的匹配条件被触发后，应用性能监控告警管理模块会通过电话、短信、邮件等多种渠道，向该联系人组内所有成员同步推送告警通知。 前提条件 已创建联系人。 创建联系人组 1. 登录【应用性能监控控制台】，在左侧导航栏选择告警管理 > 通知对象。 2. 在联系人 页签单击新建联系人组。 3. 在新建联系人组 对话框中输入组名 ，在下方选择告警联系人 ，并单击确认 。创建完成后，对应的联系人组将显示在联系人页签的左侧列表中。 管理联系人组 创建联系人组后，您可以在联系人页签查询、编辑或删除联系人组： 编辑联系人组：在目标联系人组右侧选择点击更多编辑，在弹出的对话框中修改联系人组的名称或包含的联系人，然后单击确定。 查看联系人组详情：单击联系人组名称即可在右侧查看联系人组中的联系人。 删除联系人组：在目标联系人组右侧点击更多删除，然后在弹出的提示对话框中单击确定。

本文主要介绍通过调整客户端实例以获得最佳性能的最佳实践。 建议您调整客户端实例以获得最佳性能，可以进行以下配置达到更好的性能表现： 1. 修改网络超时时间为2秒，网络异常时快速切换。 注意 强烈建议配置此参数，如使用默认配置在网络异常情况下，挂载耗时会较长。 plaintext echo 2 > /sys/module/ko2iblnd/parameters/timeout echo 2 > /sys/module/ksocklnd/parameters/socktimeout echo 'options ko2iblnd timeout2' >> /etc/modprobe.d/lustre.conf echo 'options ksocklnd timeout2' >> /etc/modprobe.d/lustre.conf 2. 对于超过8个vCPU核心的客户端实例类型，可以通过增加CPU分区，获取更好的性能。 plaintext echo 'options libcfs cpunpartitions4' >> /etc/modprobe.d/lustre.conf echo 'options libcfs cpupattern""' >> /etc/modprobe.d/lustre.conf 3. 对于内存超过64GiB的客户端实例类型，我们建议应用以下调整： plaintext sudo lctl setparam ldlm.namespaces..lrumaxage600000 sudo lctl setparam ldlm.namespaces..lrusize 4. 对于超过64 个vCPU核心的客户端实例类型，我们建议应用以下调整： plaintext echo "options ptlrpc ptlrpcdpercptmax32" >> /etc/modprobe.d/lustre.conf echo "options ksocklnd credits2560" >> /etc/modprobe.d/lustre.conf 挂载客户端后，需要应用以下调整： plaintext sudo lctl setparam osc.OST.maxrpcsinflight32 sudo lctl setparam mdc..maxrpcsinflight64 sudo lctl setparam mdc..maxmodrpcsinflight50 请注意，已知lctl setparam重启后不会继续有效。由于无法从客户端侧永久设置这些参数，因此建议实施启动cron作业，使用推荐的调整来设置配置。

本文主要介绍通过模板部署应用。 在CCE控制台上，您可以上传Helm模板包，然后在控制台安装部署，并对部署的实例进行管理。 注意 云容器引擎各region将逐步切换至Helm v3。模板管理未来将不再支持Helm v2版本的模板，若您在短期内不能切换至Helm v3，可通过Helm v2 客户端在后台管理v2版本的模板。 约束与限制 单个用户可以上传模板的个数有限制，请以各个Region控制台界面中提示的实际值为准。 CCE使用的Helm版本为v3.8.2，支持上传Helm v3版本语法的模板包。 模板若存在多个版本，则消耗对应数量的模板配额。 由于模板的操作权限同时具有较高的集群操作权限，因此租户应当谨慎授予用户对于模板生命周期管理的权限，包括上传模板的权限，以及创建、删除和更新模板实例的权限。 模板包规范 以下以redis为例，在准备redis模板包时根据模板包规范制作模板包。 命名要求 模板包命名格式为： {name}{version} .tgz，其中 {version} 为版本号，格式为“主版本号.次版本号.修订号”，如redis0.4.2.tgz。 说明 模板名称{name}的长度不能超过64个字符。 版本号需遵循语义化版本规则。 主版本号、次版本号为必选，修订号为可选。 主版本号、次版本号、修订号的数值为整数，均需要≥0，且≤99。 目录结构 模板包的目录结构如下所示： redis/ templates/ values.yaml README.md Chart.yaml .helmignore 目录说明如下表所示，带的为必选项： 表 模板包目录说明 参数 参数说明 templates 用于存放所有的template（模板）文件。 values.yaml 用于描述template文件所需的配置参数。 须知 定义template文件配置参数时，请注意此处定义的“镜像地址”务必和容器镜像仓库中对应的镜像地址保持一致。否则创建工作负载会异常，提示镜像拉取失败。 镜像地址获取方法如下：在CCE控制台，单击左侧导航栏的“镜像仓库”，进入容器镜像服务控制台。在“我的镜像 > 自有镜像”中，单击已上传镜像的名称，在“镜像版本 ”页签的“下载指令”栏中即可获取镜像地址，单击 按钮即可复制该指令。 README.md 一个markdown文件，包括： 描述Chart提供的工作负载或服务。 运行Chart的前提。 解释values.yaml文件中的配置 安装和配置Chart的相关信息。 Chart.yaml 模板的基本信息说明。注：Helm v3版本apiVersion从v1切换到了v2。 .helmignore 设定在工作负载安装时不需要读取templates的某些文件或数据。

介绍云电竞服务购买流程。 购买条件 在购买云电竞产品服务前，您需要完成账号实名认证。 云电竞按需服务无法重复开通，包周期订单可重复开通。 操作步骤 1.天翼云官网搜索【云电竞】，进入产品详情页，点击【立即开通】。 2.根据业务场景需求，选择不同的计费规则，开通服务。 建议您根据业务场景选择最佳的计费规则，点击【下一步】进入支付页面。 服务类型 销售规格 应用场景 计费方式 标准资费 计费方式 单位 公有云 gn3.ml（标准型） 酒店或网吧 包年包月 870 按使用周期扣费 元/路/月 公有云 gn3.ml（标准型） 酒店或网吧 按需计费 33 按实际使用时长扣费 元/路/天 公有云 gn3.ml（标准型） 家庭或个人使用 按需计费 3.5 按实际使用时长扣费 元/路/时 公有云 gn3.ml（极速型） 酒店或网吧 按需计费 4.5 按实际使用时长扣费 元/路/时 公有云 gn3.ml（标准型）3小时包 家庭或个人使用 小时包 9 单个小时包使用后即享有该小时包对应时长，可累计，使用过的小时包不可退订 元/个 公有云 gn3.ml（标准型）8小时包 家庭或个人使用 小时包 20 单个小时包使用后即享有该小时包对应时长，可累计，使用过的小时包不可退订 元/个 公有云 gn3.ml（标准型）12小时包 家庭或个人使用 小时包 27 单个小时包使用后即享有该小时包对应时长，可累计，使用过的小时包不可退订 元/个 公有云 gn4.m1（标准型） 酒店或网吧 包年包月 878 按使用周期扣费 元/路/月 公有云 gn4.m1（标准型） 酒店或网吧 按需计费 34 按实际使用时长扣费 元/路/天 公有云 gn4.m1（标准型） 家庭或个人使用 按需计费 2.67 按实际使用时长扣费 元/路/时 公有云 gn4.m1（极速型） 酒店或网吧 按需计费 3.33 按实际使用时长扣费 元/路/时 公有云 gn4.l1（标准型） 酒店或网吧 包年包月 1109 按使用周期扣费 元/路/月 公有云 gn4.l1（标准型） 酒店或网吧 按需计费 39 按实际使用时长扣费 元/路/天 公有云 gn4.l1（标准型） 家庭或个人使用 按需计费 3.33 按实际使用时长扣费 元/路/时 公有云 gn4.l1（极速型） 酒店或网吧 按需计费 4.45 按实际使用时长扣费 元/路/时 公有云 gn4.2xl1（标准型） 酒店或网吧 包年包月 1665 按使用周期扣费 元/路/月 公有云 gn4.2xl1（标准型） 酒店或网吧 按需计费 59 按实际使用时长扣费 元/路/天 公有云 gn4.2xl1（标准型） 家庭或个人使用 按需计费 5.56 按实际使用时长扣费 元/路/时 公有云 gn4.2xl1（标准型） 酒店或网吧 按需计费 6.67 按实际使用时长扣费 元/路/时 私有云 Esports 酒店或网吧 包年包月 216 按使用周期扣费 元/路/月 产品价格受天翼云促销活动影响，最终价格以控制台页面呈现价格为准。 若当前服务开通方案无法满足您的要求，请联系您的客户经理，我们将为您提供1对1支持。 3.进入支付页面后，点击【立即支付】支付对应款项。 4.完成付款后，您可通过租户控制台查看已开通的订单信息。

本文介绍访问请求响应403状态码如何排查和处理。 问题描述 网站接入Web应用防火墙（边缘云版）之后，当访问请求有可能对网站造成安全威胁时，WAF防护引擎会拦截这些请求，并响应403错误给浏览器，拦截信息如下图所示： 解决方案 当请求响应403拦截时，您可以通过Web应用防火墙（边缘云版）控制台查看具体的攻击拦截信息： 在Web应用防火墙（边缘云版）控制台，通过安全分析 > WAF攻击报表，查看WAF攻击数据的多维度统计分析。也可以通过日志管理 > WAF攻击日志查看每条拦截请求的攻击详细信息，其中事件ID跟拦截请求响应内容中的RequestID对应。 通过分析攻击日志详情后，如果您认为该拦截的请求是正常业务请求，可通过点击日志详情页面的"添加白名单"按钮，进入添加白名单页面添加对应的白名单规则。

本章节介绍开源组件Fastjson远程代码执行漏洞的最佳实践。 漏洞介绍 开源组件Fastjson存在远程代码执行漏洞，此漏洞为2017年Fastjson 1.2.24版本反序列化漏洞的延伸利用，可直接获取服务器权限，危害严重。 影响的版本范围 漏洞影响的产品版本包括：Fastjson 1.2.51以下的版本，不包括Fastjson 1.2.51版本。 安全版本 Fastjson 1.2.51版本及以上的版本。 官方解决方案 建议用户将开源组件Fastjson升级到1.2.51版本或者最新的1.2.58版本。 防护建议 Web应用防火墙内置的防护规则支持对该漏洞的防护，参照以下步骤进行防护： 步骤 1 申请WAF独享引擎。 步骤 2 将网站域名添加到WAF中并完成域名接入，详细操作请参见网站接入域名。 步骤 3 将Web基础防护的状态设置为“拦截”模式，详细操作请参见配置Web基础防护规则。

本文主要介绍如何跨VPC添加云主机/服务器至负载均衡器。 应用场景 某公司在云上多个VPC及云下用户数据中心（IDC）拥有多台后端云主机、服务器。希望使用弹性负载均衡将访问流量分发到这些后端云主机、服务器上。 本文操作介绍通过独享型负载均衡实现将云上、云下多台后端云主机、服务器添加至ELB的方法。 方案功能 使用独享型负载均衡的跨VPC后端功能（配置混合负载均衡）来实现将云上、云下多台后端云主机、服务器添加至ELB。 无论是否开启跨VPC后端功能，均可添加弹性负载均衡所在VPC内的后端服务器至ELB后端服务器组。 独享型负载均衡器开启跨VPC后端功能后： 通过云专线，支持将云下用户数据中心的服务器添加至ELB后端云主机组。 通过在云上VPC之间建立对等连接，支持将其他VPC内的云主机添加至ELB后端云主机组。 通过跨VPC后端功能添加ELB同VPC中的云主机至ELB后端云主机组。 方案优势 独享型负载均衡实例支持混合负载均衡的能力，后端云主机组不仅支持添加云上同VPC内的云主机，还支持跨VPC添加云上其他VPC和云下数据中心的云主机、服务器。帮助用户根据业务诉求灵活配置，将流量请求转发到云上、云下的云主机、服务器上。

本文主要介绍如何将本地日志迁移到云日志服务。 操作场景 应用程序通常首先直接将运行日志输出到本地的文件中。当运维人员需要查询日志时，登录服务器，通过操作系统的文件查看工具，比如more，vim，grep等查询需要关注的日志内容。这种场景下，由于日志分布在各个服务器上，命令行操作易出错、服务器权限等限制因素造成日志查找效率低下。 利用云日志服务，可以获得以下优势： 数据集中存储，无需登录多台服务器查询，这在微服务架构下尤为重要； 快速检索日志，告别繁琐的命令行操作，提升故障处理效率； 实时检测异常日志，设置告警，提升故障响应时效。 前置条件 开通云日志服务； 应用服务部署在天翼云的云主机上。 接入步骤 1. 登录云日志服务控制台。 2. 左侧点击【日志接入】菜单，进入日志接入页面。选择云主机文本日志。 3. 选择日志单元。 1. 点击“所属日志项目”后的目标框，在下拉列表中选择具体的日志项目，若没有所需的日志项目，点击“所属日志项目”目标框后的“新建”，在弹出的创建日志项目页面创建新的日志项目。 2. 点击“所属日志单元”后的目标框，在下拉列表中选择具体的日志单元，若没有所需的日志单元，点击“所属日志单元”目标框后的“新建”，在弹出的创建日志单元页面创建新的日志单元。 4. 选择主机组。在主机组列表中选择一个或多个需要采集日志的主机组。 若没有所需的主机组，单击列表上方“新建主机组”，输入主机组名称，在已开通云主机列表中，选择您需要采集日志的目标云主机，点击下一步，选中的云主机将打包作为主机组。 5. 安装采集器。 1. Step1：创建终端节点。安装采集器前，您需要在云主机所在的VPC中创建终端节点，以建立与日志服务的连接通道。 您需要在当前页面检查云主机所在的VPC是否已创建终端节点。若终端节点状态为“未创建”，请点击页面中的【创建终端节点】按钮，并根据页面指引进行开通。 若终端节点状态为“已创建”，您可跳过该步骤。 2. Step2：安装采集器。 1. 首先获取您的AK和SK。如何获取AK/SK？ 2. 复制页面中的命令，并使用获取的AK、SK手动替换命令中的 {inputyourak} 和 {inputyoursk}。填写值时不需要添加 {}。 3. 以root用户登录待安装采集器的云主机，执行上述命令。当显示“Installed lmtagent successfully”时表示安装成功。 3. Step3：检查采集器状态。 点击【检测】按钮，稍等片刻后查看采集器状态，确保所有目标云主机的采集器状态均为已连通。若多次重试后仍无法连通，请查看常见问题中的“云主机采集器无法连通”进行问题排查。 4. 点击下一步。 6. 配置采集规则。 对日志采集设置具体的采集规则。具体请参考[采集配置](

本节介绍如何在云审计服务管理控制台查看最近7天的操作记录。 开启了云审计服务后，系统开始记录DCS资源的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 在管理控制台左上角单击，选择区域和项目。 说明 此处请选择与您的应用服务相同的区域。 3. 单击页面上方的“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。其中，事件来源选择“DCS”。 其中筛选类型选择事件名称时，还需选择某个具体的事件名称。 选择资源ID时，还需选择或者手动输入某个具体的资源ID。 选择资源名称时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 起始时间、结束时间：可通过选择时间段查询操作事件。 5. 在需要查看的记录左侧，单击展开该记录的详细信息 6. 在需要查看的记录右侧，单击“查看事件”，弹出一个窗口，如下图所示，显示了该操作事件结构的详细信息。 查看事件

本节介绍如何查看训练监控。 操作步骤 一、在AI应用列表，选择离线训练，点击要查看的训练任务 二、进入训练任务详情页，点击监控，查看训练任务监控详情

本章节向您主要介绍什么是VPN连接、VPN连接的组成部分以及如何访问VPN连接服务。 产品概述 虚拟专用网络（Virtual Private Network，以下简称VPN），用于在企业用户本地网络、数据中心与天翼云云上网络之间搭建安全、可靠、高性价比的加密连接通道。 VPN由VPN网关、对端网关和VPN连接组成。 VPN网关提供了VPC的公网出口，与用户数据中心的对端网关对应。 VPN连接通过加密技术，将VPN网关与对端网关相关联，使数据中心与VPC通信，更快速、更安全地构建混合云环境。 组成部分 VPN网关 ：虚拟专用网络在天翼云上的虚拟网关，与用户本地网络、数据中心的对端网关建立安全私有连接。 对端网关 ：用户数据中心的VPN设备或软件应用程序。控制台上创建的对端网关是云上虚拟对象，用于记录用户数据中心实体设备的配置信息。 VPN连接 ：VPN网关和对端网关之间的安全通道，使用IPsec协议对传输数据进行加密。 访问方式 VPN服务提供了Web化的服务管理平台，即管理控制台。用户可以登录管理控制台访问VPN服务。 如果用户已注册帐户，可直接登录管理控制台，在主页选择“网络 > VPN”。 如果未注册，可先注册天翼云账号后，再使用VPN服务。 约束与限制 VPN服务仅支持VPN网关与对端网关间通过IPSec协议建立安全通道，从而进行点对点通信，不支持SSL VPN能力。 VPN仅支持建立非跨境连接，不支持建立跨境连接。

服务类型 证书管理服务提供SSL证书、私有（内网）证书、个人证书： 分类 SSL证书域名证书 SSL证书IP证书 私有（内网）证书 个人证书 应用场景 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的域名。 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的IP。 用于内网身份认证、系统间加密通信和设备安全管理。 用于个人电子邮件或文档签名，无法用于网站HTTPS加密，常用于密评场景。 支持的加密标准 国际标准 国密标准 国际+国密 国际标准 国际标准 国密标准 国密标准 支持的证书种类 域名型证书（DV） 企业型证书（OV） 企业型基础版（OVBasic） 企业型专业版（OVPro） 增强型证书（EV） 增强型基础版（EVBasic） 企业型证书（OV） 企业型专业版（OVPro） 企业型基础版（OVBasic） 企业型证书（OV） 支持的证书版本 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 支持的域名类型 通配符 单域名 多域名 单IP 通配符 单域名 多域名

本节介绍了如何使用libpq连接云数据库GaussDB 数据库。 云数据库GaussDB 主备版部署形态未对此接口在应用程序开发场景下的使用做验证。因此对使用此接口做应用程序开发存在的风险未知，故不推荐用户使用此套接口做应用程序开发。推荐用户使用ODBC或JDBC接口来替代。 前提条件 编译并且链接一个libpq的源程序，需要做下面的一些事情： 获取libpq驱动， 解压GaussDBKernelVxxxRxxxCxxEULER64bitLibpq.tar.gz文件，其中include文件夹下的头文件为所需的头文件，lib文件夹中为所需的libpq库文件。 说明： 除libpqfe.h外，include文件夹下默认还存在头文件postgresext.h，gsthread.h，gsthreadlocal.h，这三个头文件是libpqfe.h的依赖文件。 包含libpqfe.h头文件： include 通过I directory选项，提供头文件的安装位置（有些时候编译器会查找缺省的目录，因此可以忽略这些选项）。如： gcc I (头文件所在目录) L (libpq库所在目录) testprog.c lpq 如果要使用制作文件(makefile)，向CPPFLAGS、LDFLAGS、LIBS变量中增加如下选项： CPPFLAGS + I (头文件所在目录) LDFLAGS + L (libpq库所在目录) LIBS + lpq 常用功能示例代码 此处以示例来说明连接方式： 示例1： /testlibpq.c / include 示例2： /testlibpq2.c 测试外联参数和二进制I/O。​在运行这个例子之前，用下面的命令填充一个数据库 ​CREATE TABLE test1 (i int4, t text);​INSERT INTO test1 values (2, 'ho there');​期望的输出是：​​tuple 0: got i (4 bytes) 2 t (8 bytes) 'ho there' /

术语 说明 cURL cURL是一个利用URL语法在命令行下工作的文件传输工具，可用于检测系统是否可以访问目标站点。 Dig Dig是一个在类Unix命令行模式下查询DNS信息（包括NS记录、A记录、MX记录等）的工具。 基线核查 基线核查是指对主机操作系统、数据库、软件和容器的配置进行安全检测，并提供检测结果说明和加固建议。 基线核查可以帮您进行系统安全加固，降低入侵风险并满足安全合规要求。 漏洞扫描 漏洞扫描是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为。 引擎 本文的“引擎”为扫描核心技术，即最终进行漏洞扫描工作的服务。 资产 即扫描器所扫描的主机、数据库、网站等。 DDoS 分布式拒绝服务攻击（Distributed Denial of Service Attack，DDoS）是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击，其中的攻击者可以有多个。 EDR 端点检测与响应（Endpoint Detection & Response，EDR）是一种主动的安全方法，可以实时监控端点，并搜索渗透到防御系统中的威胁。EDR是一种新兴的技术，可以更好地了解端点上发生的事情，提供关于攻击的上下文和详细信息。 认证 是一种信用保证形式。按照国际标准化组织（ISO）和国际电工委员会（IEC）的定义，由国家认可的认证机构证明一个组织的产品、服务、管理体系符合相关标准、技术规范（TS）或其强制性要求的合格评定活动。 虚拟机 虚拟机（Virtual Machine）指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。 在实体计算机中能够完成的工作在虚拟机中都能够实现。 在计算机中创建虚拟机时，需要将实体机的部分硬盘和内存容量作为虚拟机的硬盘和内存容量。每个虚拟机都有独立的CMOS、硬盘和操作系统，可以像使用实体机一样对虚拟机进行操作。 AES 密码学中的高级加密标准（Advanced Encryption Standard，AES），又称Rijndael加密法，是美国联邦政府采用的一种区块加密标准。这个标准用来替代原先的DES（Data Encryption Standard），已经被多方分析且广为全世界所使用。 Apache Apache是一款Web服务器软件。它可以运行在几乎所有广泛使用的计算机上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 CC攻击 CC攻击（Challenge Collapsar Attack，挑战黑洞攻击）是DDoS攻击的一种类型，使用代理服务器向受害服务器发送大量假冒合法的请求，造成被攻击服务器资源耗尽，一直到宕机崩溃。 DES DES（Data Encryption Standard，数据加密标准）是一种使用密钥加密的块算法，1977年被美国联邦政府的国家标准局确定为联邦资料处理标准（FIPS），并授权在非密级政府通信中使用，随后该算法在国际上广泛流传开来。 HA 高可靠性（High Availability，简称HA）能够在通信线路或设备发生故障时提供备用方案，防止由于单个产品故障或链路故障导致网络中断，保证网络服务的连续性。 LACP LACP（Link Aggregation Control Protocol，链路聚合控制协议）是一种基于IEEE802.3ad标准的协议。 LACP协议通过LACPDU（Link Aggregation Control Protocol Data Unit，链路聚合控制协议数据单元）与对端交互信息。链路聚合往往用在两个重要节点或繁忙节点之间，既能增加互联带宽，又提供了连接的可靠性。 LDAP LDAP（Lightweight Directory Access Protocol，是轻量目录访问协议）是互联网上目录服务的通用访问协议。 LDAP服务可以有效解决众多网络服务的用户账户问题，LDAP服务器是用于查询和更新LDAP目录的服务器，包括用户账号目录。 MTU 最大传输单元（Maximum Transmission Unit，MTU）用来通知对方所能接受服务单元的最大尺寸，说明发送方能够接受的有效荷载大小。 SSL SSL（Secure Sockets Layer，安全套接字协议）及TLS（Transport Layer Security，继任者传输层安全）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层与应用层之间对网络连接进行加密。 VRRP 虚拟路由冗余协议（Virtual Router Redundancy Protocol，简称VRRP）是由IETF提出的解决局域网中配置静态网关出现单点失效现象的路由协议，它是一种路由容错协议，也可以叫做备份路由协议。 WebShell Webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称为一种网页后门。 黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器Web目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。 Kafka Kafka是一种高吞吐量的分布式发布订阅消息系统，可以处理消费者规模的网站中所有动作流数据。这些数据通常由于吞吐量要求而通过处理日志和日志聚合来解决。 SNMP SNMP（Simple Network Management Protocol，简单网络管理协议）是标准IP网络管理协议，支持目前主流的网络管理系统。 SQL SQL（Structured Query Language，结构化查询语言）是一种数据库查询和程序设计语言，用于存取数据以及查询、更新和管理关系数据库系统；同时也是数据库脚本文件的扩展名。 Syslog Syslog是一种行业标准的协议，可用来记录设备的日志。 Syslog日志消息既可以记录在本地文件中，也可以通过网络发送到接收Syslog的服务器。服务器可以对多个设备的Syslog消息进行统一的存储，或者解析其中的内容做相应的处理。常见的应用场景是网络管理工具、安全管理系统、日志审计系统。

云容灾服务可以达到什么样的RPO和RTO？ 云容灾采用持续数据保护（CDP）技术，支持字节级数据复制，RPO可达秒级、RTO可达分钟级。 RPO：Recovery Point Objective（恢复点目标），指故障发生时数据可以恢复到的时间点，决定生产中心发生故障时的数据丢失量。例如，RPO 30秒，表示在生产中心发生故障时，最近30秒的数据无法恢复。 RTO：Recovery Time Objective（恢复时间目标），指故障发生后云主机从中断到恢复运行所需要的时间。例如，RTO 1分钟，表示在生产中心发生故障时，需要1分钟才能恢复正常运行 云容灾可以对物理机容灾吗？ 云容灾暂不支持物理机容灾，后续将逐渐完善功能。 如果您有具体需求，可以通过客服电话等方式联系产品售前经理或解决方案经理，我们会根据您的业务为您定制合适的解决方案。 云容灾支持哪些弹性云主机？ 目前仅支持64位操作系统，且云主机的规格不能小于2CPU+4GB内存。 支持的操作系统版本如下表所示： 操作系统类型 操作系统版本 位数 ::: CentOS 7.0、7.1、7.2、7.3、7.4、7.5、7.6、7.7、7.8、7.9 64 Ubuntu 18.04 64 云备份产品和云容灾产品的区别？ 产品 应用场景 使用目的 RPO RTO ::::: 云容灾 主要针对火灾、地震等重大自然灾害，因此生产中心和容灾中心之间必须保证一定的安全距离。 避免业务中断，在灾难发生后，可以在容灾中心启动容灾主机，保证业务的连续性。 秒级 分钟级 云备份 当发生软件错误、病毒入侵、人为删除等事件时，可将数据恢复到任意备份点。 避免数据丢失，出现故障后，可通过备份将数据恢复至最近的备份点。 小时级~天级 分钟级~小时级

本小节介绍Web应用防火墙黑白名单最佳实践。 当您需要拉黑部分恶意攻击者或者用户访问，或者希望指定用户、页面的访问不被拦截，您可以在此做黑白名单配置。 除常见的IP和URL的黑白名单外，您可以通过UserAgent的黑白名单对访问的客户端进行限制，可以实现简单的爬虫过滤；您也可以通过Referer字段对用户访问来源做一定的限制，实现对关键业务页面的定制化防护。 前提条件 已添加了防护域名并已完成了域名接入。 WAF防护已开启。 操作步骤 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF防护配置”。 3. 在WAF防护配置列表的操作列，单击“自定义防护配置”。 4. 在自定义防护配置界面，选择“黑白名单”页签。 黑白名单支持IP、Referer、URL、UserAgent四种类型。 您可以添加IP（如127.0.0.1）、IP段（如127.0.0.0/24）、uri路径（如/index?abc页面，仅需添加/index字符段）和其他规则匹配下的字符文本。

视频通道 IPC或NVR设备上视频信号输入的物理位置。一般IPC具备单个/多个视频通道，NVR具备多个视频通道。 RTMP RTMP（Real Time Messaging Protocol）实时消息传输协议的首字母缩写。该协议基于TCP，是一个协议族，包括RTMP基本协议及RTMPT/RTMPS/RTMPE 等多种变种。RTMP是一种设计用来进行实时数据通信的网络协议，主要用来在Flash/AIR平台和支持RTMP协议的流媒体/交互服务器之间进行音视频和数据通信。 RTSP RTSP（Real Time Streaming Protocol），RFC2326，实时流传输协议，是TCP/IP协议体系中的一个应用层协议，由哥伦比亚大学、网景和RealNetworks公司提交的IETF RFC标准。该协议定义了一对多应用程序如何有效地通过IP网络传送多媒体数据。 GA/T 1400 GA/T 1400与GB/T 28181有共性的地方，比如设备编码规范、信令交互规范等， GB/T 28181定义的是视频联网，GA/T 1400定义的是图片传输，应用最多的是IPC传输图片及相关信息到后端设备/平台，以及视图库平台与平台对接等，比如人脸抓拍机传输人脸图片、人脸特征等到人脸应用平台，车辆抓拍机传输车辆图片、车牌信息到车辆卡口平台。 EHOME EHOME协议是海康威视基于移动监控场景下开发的设备主动注册协议，支持实时预览、录像回放、对讲、报警、定位等功能。EHOME协议不仅实现了GB28181里所有的功能，并且在海康的不同类型设备上支持了其自定义的场合下的功能特性。包括智能报警、在低功耗场景下的设备控制及公网环境下的语音对讲指挥等场景都比GB28181协议更完善。

能力总览 终端管理能力总览如下： 一级能力 二级能力 功能介绍 病毒查杀 周期查杀 企业管理员可以周期性对员工设备进行病毒检测并自动查杀，有效发现和清除终端已存在的病毒 下发查杀 企业管理员可以立即对员工设备进行病毒检测并自动查杀，立即对员工设备进行风险摸底 右键查杀 企业员工快捷对文件、文件夹进行查杀 自定义扫描 企业员工自定义选择本机文件夹、局域网文件夹进行查杀 隔离区 把检测出的病毒文件备份至隔离区 信任区 为了防止误杀，把一些确认安全的文件、文件夹加进信任区，病毒查杀将跳过这些文件 黑白名单 企业管理员可以把误报的文件快速全租户加白；把漏报的文件快速全租户加黑 实时防护 文件实时防护 查杀任务只能指定时间触发，做不到实时防护，因此需要对即将进入设备的病毒进行实时监控。比如文件下载、复制、落地、文件读写等所有文件操作 U盘防护 U盘是携带病毒的常见外设，因此插入U盘时，需要进行病毒防护 局域网共享防护 局域网共享路径是病毒常见的横向扩散手段，因此本机电脑对局域网共享路径进行操作时需要实时监控，比如文件上传、执行等 漏洞补丁 漏洞修复 企业员工对设备进行漏洞扫描和补丁修复，有效发现和修复设备存在的紧急漏洞，加固操作系统的安全性 补丁管理 企业员工对已安装补丁进行查看和卸载 周期扫描 企业管理员可以周期性对员工设备进行漏洞扫描并自动修复，有效发现和修复终端存在的系统漏洞 下发扫描 企业管理员可以立即对员工设备进行漏洞扫描并自动修复，立即对员工设备进行漏洞风险摸底 处置能力 对于企业员工自行扫描但暂未处理的漏洞，企业管理员支持在控制台一键修复 外设管控 U盘 企业管理员对员工的U盘、SD卡、外接硬盘进行禁用、只读、审计管控，有效阻止风险入侵，有效防止文件外泄 便携设备 企业管理员对员工的便携设备进行禁用、审计管控，有效阻止风险入侵，有效防止文件外泄 外设白名单 对于企业的特殊外设，比如老板的U盘往往不需要管控，可以提前置为白名单，白名单设备不受策略管控 弹窗拦截 广告弹窗拦截 对于已安装软件，支持自动拦截广告、骚扰、恶意弹窗。为⽤⼾提供⽆⼲扰的纯净操作环境，赋能绿色上网诉求 问题软件防护 对于正在安装的软件，支持阻止捆绑、静默、强制的安装行为 接入DeepSeek 接入DeepSeek 凭借DeepSeek先进的自然语言处理与推理能力，帮助企业精准分析终端安全威胁并提供优化策略，无需登录也可以轻松使用 防钓鱼 IM防钓鱼 面向办公网钓鱼防护场景，支持检测IM工具下载的文件是否带毒、是否为伪装文件，工具包括（钉钉、企业微信、飞书、QQ、微信、TIM（腾讯）） 邮件防钓鱼 面向办公网钓鱼防护场景，支持检测邮件附件是否带毒、是否为伪装文件，邮箱客户端包括（AOnemail、Outlook（微软）、Thunderbird（Mozilla）、FoxMail（腾讯）、网易邮箱大师（网易）、Windows Mail（微软）） AI安全检测 应用发现 支持盘点Windows、MAC设备上运行的大模型组件，包括应用名称、版本、应用描述、所属设备和用户等，高效构建AI应用资产全景 应用漏洞 支持超过 30+种 AI 应用组件漏洞检测，通过多视图查看及标记能力实现漏洞高效管理 适配信创 病毒查杀 与Windows系统类似，麒麟/统信终端支持全盘扫描、快速扫描、自定义扫描、周期扫描、下发扫描、隔离区、信任区、黑白名单 软件管理 软件分析 通过周期性采集上报软件资产，统计最新的终端设备软件安装总数量，范围包括系统安装软件，运行软件 软件管控 企业管理员支持对员工电脑里的软件下发黑名单管控策略，即选中的软件禁止运行 风险软件 企业管理员支持一键禁止员工使用黑客工具、远程控制工具（这两类软件，通常容易被攻击者利用） 上网行为管控 上网分析 上网行为分析将采集员工互联网上网行为 上网管控 通过配置管控策略限制员工的上网行为 合规检测 合规检测 针对企业员工终端合规基线情况进行检测，不符合终端合规检测要求则进行相关处置

配置负载亲和/反亲和调度策略 进入创建负载的页面，在高级配置中，选择调度策略，在负载亲和配置中，添加亲和与反亲和策略。 例如，将新创建的前端应用（附带appfrontend标签）负载分散调度，同时与后端应用（附带appbackend标签）尽量部署到同个zone同一个节点，在负载亲和配置中通过kubernetes.io/hostname拓扑域，每个这样的域仅包含一个节点，在执行工作负载亲和性调度时，可以确保将它们尽量部署到同一节点上；通过topology.kubernetes.io/zone拓扑域，将前后端的负载部署到同个zone。在负载反亲和配置中，通过topology.kubernetes.io/zone拓扑域，将前端负载分散到不同的zone，通过kubernetes.io/hostname拓扑域，尽量将前端负载分散到不同的节点上。

本文介绍了云防火墙（原生版）产品的入侵防御日志功能。 约束条件 最多支持查看最近7天的日志。 查看日志列表 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“日志审计 > 入侵防御日志”，进入入侵防御日志页面。 3. 在页面上方切换防火墙实例。 4. 查询日志：该列表可根据命中时间、应用、攻击类型、攻击等级、判断来源、目的IP地址、源IP地址、方向进行筛选。 5. 入侵防御日志列表包括发生时间、源IP地址、源端口、目的IP地址、目的端口、应用、攻击类型、等级、命中规则ID、命中规则名称、判断来源、方向和防御状态。 导出日志 说明 最多支持导出10000条数据。 单击“导出”，可以将查询列表中的日志记录导出为csv格式。