本文旨在介绍在云应用引擎CAE的微服务应用中,如何通过配置弹性伸缩策略,实现应用实例的自动扩缩容,以应对业务负载变化。 功能介绍 弹性伸缩是云应用引擎为微服务应用提供的一项核心能力，用于根据业务负载变化自动调整应用实例数量。通过配置弹性伸缩策略，应用可以在高并发或突发流量场景下自动扩容，保障服务的稳定性和可用性；在业务负载下降时自动缩容，降低资源消耗和运行成本。CAE支持多种弹性伸缩策略，涵盖基于时间的定时伸缩以及基于运行时负载的指标伸缩。用户可根据业务特性灵活选择，实现更精细化的弹性调度能力。 定时策略 定时策略是一种基于时间触发的弹性伸缩方式。用户可通过配置指定的时间窗口，在预期的时间段内将应用实例扩容至设定的实例数，在时间窗口结束后自动恢复至原有规模。 适用场景 业务存在明显的周期性流量高峰，如白天/夜间、工作日/节假日 秒杀、促销、活动开始前的预扩容场景 定时任务、批处理作业在固定时间段集中运行 希望在流量到来前提前保障实例容量，提升用户体验 指标策略 指标策略是一种基于应用运行状态的弹性伸缩方式。CAE会持续监控应用的运行指标，并根据指标变化自动调整实例数量。当指标超过或低于设定阈值时，系统将触发扩容或缩容操作，实现按需弹性伸缩。指标策略能够实时响应业务负载变化，适用于流量波动不确定、峰值不可预估的业务场景。 适用场景 请求流量、并发量随业务变化不具备明显规律 微服务接口存在突发访问或瞬时流量激增 希望根据系统负载实现精细化、自动化扩缩容 对资源利用率和成本控制要求较高的在线服务

本节主要介绍应用场景 巡检与问题定界 日常运维中，遇到异常难定位、日志难获取等问题，需要一个监控平台对资源、日志、应用性能进行全方位的监控。 AOM深度对接应用服务，一站式收集基础设施、中间件和应用实例的运维数据，通过指标监控、日志分析、服务异常报警等功能，支持日常巡检资源、应用整体运行情况，及时发现并定界应用与资源的问题。 优势 应用自动发现：自动部署采集器，针对应用的运行环境，主动发现应用并进行监控。 跨云服务的分布式应用监控：对于同时使用了多种云服务的分布式应用，提供统一的运维平台，便于您对业务进行立体排查。 告警灵活通知：提供多种异常检测策略并支持丰富的异常告警触发方式。 巡检与问题定界 立体化运维 您需全方位掌控系统的运行状态，并快速响应各类问题。 AOM提供从云平台到资源，再到应用的监控和微服务调用链的立体化运维分析能力。 优势 体验保障：实时掌控业务KPI健康状态，对异常事务根因分析。 故障快速诊断：分布式调用追踪，快速找到异常故障点。 资源运行保障：实时监控容器、磁盘、网络等上百种资源运维指标 集群>虚机>应用>容器异常关联分析。

创建应用 步骤 1 登录管理控制台。 步骤 2 单击左侧，选择“应用性能管理 APM”，进入APM服务页面。 步骤 3 在左侧导航栏选择“应用监控 >指标”，进入应用指标页。 步骤 4 单击在“应用指标”右侧的，创建应用。 图创建应用 步骤 5 在弹出的“创建应用”页面中，设置创建应用的相关参数。 表 创建应用参数说明 参数名称 说明 应用英文名称 应用的英文名称，不能为空。支持输入1~128个字符，只能包含数字、字母、下划线、中划线、并且以英文字母开头。 应用显示名称 应用显示的名称，不能为空。支持输入1~128个字符，只能由数字、字母、中文、下划线、中划线、括号以及小数点组成。 企业项目 在下拉菜单中选择企业项目，仅开通企业版才会显示。 描述 应用的描述信息，最多可输入1000个字符。 步骤 6 填写完成后，单击“确认”。 说明 应用创建后，需要“接入应用”，才能实现对该应用的监控。 创建子应用 步骤 1 登录管理控制台。 步骤 2 单击左侧，选择“应用性能管理 APM”，进入APM服务页面。 步骤 3 在左侧导航栏选择“应用监控 >指标”，进入应用指标页。 步骤 4 在左侧树节点的应用名称后，单击。 步骤 5 在“创建子应用”弹框中，填写子应用相关参数。 表 创建子应用参数说明 参数名称 说明 子应用英文名称 子应用的英文名称，不能为空。支持输入1~128个字符，只能包含数字、字母、下划线、中划线、并且以英文字母开头。 子应用显示名称 子应用显示的名称，不能为空。支持输入1~128个字符，只能由数字、字母、中文、下划线、中划线、括号以及小数点组成。 描述 子应用的描述信息，最多可输入1000个字符。 步骤 6 填写完成后，单击“确认”。 说明 子应用最多可以创建3层。

连接方式 IP地址 使用场景 说明 内网连接 内网IP地址 系统默认提供内网IP地址。 当应用部署在弹性云主机上，且该弹性云主机与文档数据库服务实例处于同一区域，同一VPC时，建议使用内网IP地址连接文档数据库服务实例。 安全性高。 为了获得更快的传输速率和更高的安全性，建议您将应用迁移到与您的DDS实例在同一虚拟私有云子网内，使用内网连接。 公网连接 弹性公网IP 当应用部署在弹性云主机上，且该弹性云主机与文档数据库服务实例处于不同区域时，建议使用弹性公网IP连接文档数据库实例。 如果您使用天翼云以外的设备（例如本地设备、其他云厂商服务器等）连接文档数据库服务实例，建议使用弹性公网IP连接文档数据库服务实例。 安全性稍低。 公网连接需要购买弹性公网IP，并与文档数据库服务实例节点进行绑定。

本文介绍弹性容器实例ECI的产品定义。 弹性容器实例（简称ECI）是基于天翼云自研的、敏捷安全的Serverless容器运行服务，具备极速启动、安全可靠、成本低的特点，完全免运维，按使用量付费。 产品概述 天翼云弹性容器实例ECI提供了多种部署方式，包括通过OpenAPI和控制台部署容器应用。此外，您还可以通过天翼云云容器引擎和 Serverless容器引擎产品部署业务，并无缝使用天翼云网络、存储等其它资源服务。无论是哪种部署方式，弹性容器实例ECI都将为您提供快速响应的容器运行环境，实现极高的成本效益。 在使用弹性容器实例ECI时，所有容器都基于完全隔离的资源，您可以按照应用场景的实际需求进行定制和管理，从而更好地支持您的业务发展。同时，弹性容器实例ECI提供了丰富的应用实例化配套服务，包括数据存储、负载均衡、弹性伸缩、监控告警等，从而可以为您提供可靠、稳定、高效的容器运行环境。 产品架构 弹性容器实例 ECI 向下基于天翼云计算、网络及存储构建坚实底座，容器镜像服务CRS 提供了容器镜像全生命周期的托管服务。向上无缝集成天翼云Serverless容器引擎服务，方便用户管理其业务负载。在应用形态上，适用于大数据计算、事件驱动、DevOps、AI大模型等各类应用场景。

本文主要介绍云搜索服务的应用场景。 日志检索分析 云搜索服务可以采集分析各类以文件形式存储的日志，包括不限于服务器、容器日志等。结合消息队列Kafka、Logstash对日志数据进行采集清洗，进入Elasticsearch或OpenSearch中存储检索分析，并通过Kibana或Dashboards进行可视化呈现。 高稳定：通过读写限流、查询熔断、集群监控等方式保障。 性能优化：通过支持压缩算法、内核增强节省存储空间，增强读写速率、降低响应延迟。 易用性：支持多种统计分析方法、划分维度，丰富的可视化查询，可对接BI实现拖拽式报表。 站内搜索 面对海量数据，提供分布式的信息检索工具，可根据网站内容进行关键字检索，也可搭建商品检索或推荐系统。 实时检索：支持模糊搜索，数据来源多样且持续写入，站内资料或商品信息更新数秒内即可被检索。 分类统计：检索同时可以将符合条件的结果进行排序或分类统计。 多场景适配：可用于网站、移动端应用搜索、企业内部应用等多种需要快速检索的场景。 数据分析 提供开箱即用的可视化、高聚合分析能力，便捷高效地对海量数据实时分析。更好地适配实时多维分析在线查询服务场景，满足高实时性，高查询QPS，低查询延迟的数据分析要求。 快速响应：支持海量的、数据源多样、字段不固定的数据高并发处理，毫秒级响应。 复杂查询：支持大批量模糊关键字搜索及一些聚合的复杂查询。 向量检索：基于向量特征相似度匹配，支持图文搜索、地理位置搜索。

在服务开发、服务上线前，您需要创建一个环境，本章节介绍环境管理相关内容 概述 在服务开发、服务上线前，您需要创建一个环境。一个环境可以导入包括云容器引擎、ECS、注册配置中心、弹性负载均衡、云原生网关、关系数据库、分布式缓存、分布式消息等资源。 环境列表 左侧导航栏，选择环境管理，可以查看当前资源池下环境列表。通过上方选择环境类型可以筛选出对应类型的环境列表。也可输入环境名称，模糊匹配对应名称的环境。 环境创建 左侧导航栏，选择环境管理，在环境列表左上方点击创建环境按钮。 环境名称：输入合法环境名称。 环境编码：输入环境名称后自动带出，可手动进行修改。 环境类型：选择对应的环境类型。 资源池：选择资源池。 VPC：选择环境对应的VPC，没有VPC可点击创建虚拟私有云按钮进行创建。 可用区：选择当前环境对应的可用区，可多选。每个可用区下会自动创建一个部署单元，后续发布应用选择部署单元后，会匹配对应的可用区，将应用调度到对应可用区的节点。 企业项目：选择对应的企业项目。 输入以上信息后，点击保存按钮，会弹出授权微服务云应用平台创建VPCE的弹窗，VPCE为打通网络组件所需，需授权创建才能保证应用功能正常。 环境详情 左侧导航栏，选择环境管理，点击环境名称，进入到环境详情页面。在环境详情页面展示了VPC、可用区、应用实例数、资源数、资源列表、部署单元等信息。

如希望应用上架经过指定人员审批，可在“应用管理设置审批设置”中开启对应选项。 开启后，“上架应用”将变成“申请上架”。在应用申请上架后，审批人的桌面会收到上架申请，通过申请后，应用版本会变成“待上架”状态，管理员需要再次点击“上架”，选择上架设置后，才可完成上架应用版本的操作。 注：开启后，需要开通审批流程功能方可完全生效，详细操作如下。 （1）开通流程 上架、应用放行、应用推荐等功能均可使用审批，请先开通企业审批服务后使用该功能。 （2）分管设置 开通审批服务后，管理员需在此页面点击“同步组织架构”以更新最新部门与成员信息。 注：系统每天定时同步一次最新的组织架构，如发生临时变动，建议手动点击“同步组织架构”以实时同步更新。 点击“分管人员”，在此页面可设置部门的管理人员（如组长、主管等），如审批流程中设置了逐级审批等规则，则会自动流转至对应的分管人员（常见的逐级顺序：员工申请组长审批经理审批领导审批）。

本节介绍创建应用及开通应用相关的操作。 本文以人脸检测为示例作为说明。 操作步骤如下： 成为天翼云用户 注册天翼云账号 打开天翼云官网，点击右上角【免费注册】按照操作提示完成账号注册。 天翼云账号实名认证 天翼云账号需要进行实名认证后，才可以购买和使用产品，请务必完成实名认证操作。 进入账号中心页面，在左侧导航栏，点击【实名认证】，按照操作提示完成账号实名认证。 如果您是企业用户，推荐进行企业认证，以便获取更多便利。更多实名认证操作信息，请参见实名认证。 开通服务 1.点击【产品人工智能】，根据需要选择人脸识别下的对应产品（以人脸检测为例）。 2.跳转到服务详情页后，点击【管理控制台】。 创建新应用 1.进入控制台【我的应用】，点击【新增应用】，页面出现新建应用的弹窗，填写应用名称及应用概述，点击【确定】按钮。 2.再次弹出小弹窗，提示应用创建成功，请保存好AppKey和AppSecret，点击【知道了】即新应用创建成功。

本节介绍创建应用及开通应用相关的操作。 本文以身份证识别为示例作为说明。 操作步骤如下： 成为天翼云用户 注册天翼云账号 打开天翼云官网，点击右上角【免费注册】按照操作提示完成账号注册。 天翼云账号实名认证 天翼云账号需要进行实名认证后，才可以购买和使用产品，请务必完成实名认证操作。 进入账号中心页面，在左侧导航栏，点击【实名认证】，按照操作提示完成账号实名认证。 如果您是企业用户，推荐进行企业认证，以便获取更多便利。更多实名认证操作信息，请参见实名认证。 开通服务 1.点击【产品人工智能】，根据需要选择印刷文字识别下的对应产品（以身份证识别为例）。 2.跳转到服务详情页后，点击【立即开通】； 创建新应用 1.进入控制台【我的应用】，点击【新增应用】，页面出现新建应用的弹窗，填写应用名称及应用概述，点击【确定】按钮。 2.再次弹出小弹窗，提示应用创建成功，请保存好AppKey和AppSecret，点击【知道了】即新应用创建成功。

本章主要介绍最佳实践概述 场景描述 本手册基于天翼云API网关实践所编写，用于指导您开放并调用API。 应用场景范围：基于天翼云API网关开放容器应用服务。 云容器引擎（CTCCE，Cloud Container Engine，简称CCE）中的工作负载，以及微服务，可通过API网关将服务能力以API形式对外开放。 方案优势 借助API网关开放CCE容器应用，具有如下优势： 无需设置弹性公网IP，节省网络带宽成本 API网关支持建立VPC通道，访问CCE中工作负载的地址。 提供多种认证方式，增加访问安全性 提供访问流量控制策略，增加后端服务的安全性 与直接访问容器应用相比，API网关提供流量控制，确保后端服务稳定运行。 支持多实例负载均衡，合理利用资源，增加系统可靠性 流程图 本手册介绍如何通过API网关访问CCE中的工作负载。 图1通过API网关访问CCE工作负载（由实例组成）

本章节介绍应用总览界面相关功能 概述 应用总览界面可以查看应用基本信息、访问方式、容器组、工作负载等信息。 应用总览 在左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。点击应用实例进入到应用详情界面。 基本信息 基本信息中展示了运行状态、资源池、环境、部署单元、微服务空间、K8s命名空间、集群名称、所属应用、规格等信息。部署单元可进行编辑，编辑后下次发布可选择已编辑的部署单元。规格信息可进行编辑，编辑后应用会立刻重启。 访问方式 访问方式展示了已邦定的负载均衡（公网）、负载均衡（私网）、服务（service）信息，可以通过+按钮进行新增，负载均衡需要先导入到环境才可进行绑定。 容器组 容器组列表展示了当前应用的pod信息，通过容器组列表可查看pod状态、ip、部署单元、节点等信息。通过操作栏可查看应用日志、pod事件、进入pod终端、删除pod等操作。 工作负载 容工作负载列表展示了当前应用的deployment信息，通过工作负载列表可查看负载名称、镜像、命名空间、创建时间等信息。通过操作栏可查看工作负载事件。

如果您的业务请求需要分发到不同的后端服务或应用,可以通过为应用配置网关路由来实现复杂的请求分发。接下来本文将介绍如何通过云原生 API 网关来设置具体的路由规则。 前提条件 AGW 您已创建云原生API网关。 CAE 您已开通CAE且创建了命名空间，并确保云原生API 网关与CAE命名空间绑定同一个VPC。 创建路由规则 1. 在CAE网关路由中，在顶部点击创建路由。 2. 在创建路由页面，配置相关信息，然后点击保存。 配置项 描述 示例 所属命名空间 需要流量分发的应用所处命名空间 demo 网络名称 路由规则名称 testroute 网络类型 选择HTTP类型 网关类型 选择API网关 网关实例 选择与命名空间使用同一VPC的网关实例。如果您需要创建新的网关实例，点击创建网关实例进行创建 demoagw 域名 选择需要匹配的域名，支持选择多个域名。 www.app.com 路径 支持多种路径匹配规则 前缀：以前缀作为匹配条件。例如，Path以/demo开头。 等价：即完全匹配。例如，Path等于/demo。 条件：前缀 路径：/demo 请求方法 设置匹配HTTP请求中的Method参数 GET 请求头 设置匹配HTTP请求中的Header参数 请求头：user 条件：等于 值：tony 请求参数 设置匹配HTTP请求中的Query参数 请求参数：name 条件：等于 值：tony Cookie 设置匹配HTTP请求中的Cookie参数 Cookie：token 条件：等于 值：test 服务来源 支持K8s Service 使用场景 选择当前路由的目标服务类型。 单服务：将请求分发到唯一一个后端服务，是最常使用的场景。 多服务：将请求按比例分发到多个后端服务，通常在切流和灰度场景下使用。 单服务 后端服务 选择后端应用、服务及其对应的端口、超时时间以及重试次数 Fallback 开启Fallback开关，设置Fallback服务，您需要选择指定的服务。当路由指向的后端服务没有可用节点时，原请求会访问此处指定的Fallback服务。

如果您的业务请求需要分发到不同的后端服务或应用,可以通过为应用配置网关路由来实现复杂的请求分发。接下来本文将介绍如何通过云原生 API 网关来设置具体的路由规则。 前提条件 AGW 您已创建云原生API网关。 CAE 您已开通CAE且创建了命名空间，并确保云原生API 网关与CAE命名空间绑定同一个VPC。 创建路由规则 1. 在CAE网关路由中，在顶部点击创建路由。 2. 在创建路由页面，配置相关信息，然后点击保存。 配置项 描述 示例 所属命名空间 需要流量分发的应用所处命名空间 demo 网络名称 路由规则名称 testroute 网络类型 选择HTTP类型 网关类型 选择API网关 网关实例 选择与命名空间使用同一VPC的网关实例。如果您需要创建新的网关实例，点击创建网关实例进行创建 demoagw 域名 选择需要匹配的域名，支持选择多个域名。 www.app.com 路径 支持多种路径匹配规则 前缀：以前缀作为匹配条件。例如，Path以/demo开头。 等价：即完全匹配。例如，Path等于/demo。 条件：前缀 路径：/demo 请求方法 设置匹配HTTP请求中的Method参数 GET 请求头 设置匹配HTTP请求中的Header参数 请求头：user 条件：等于 值：tony 请求参数 设置匹配HTTP请求中的Query参数 请求参数：name 条件：等于 值：tony Cookie 设置匹配HTTP请求中的Cookie参数 Cookie：token 条件：等于 值：test 服务来源 支持K8s Service 使用场景 选择当前路由的目标服务类型。 单服务：将请求分发到唯一一个后端服务，是最常使用的场景。 多服务：将请求按比例分发到多个后端服务，通常在切流和灰度场景下使用。 单服务 后端服务 选择后端应用、服务及其对应的端口、超时时间以及重试次数 Fallback 开启Fallback开关，设置Fallback服务，您需要选择指定的服务。当路由指向的后端服务没有可用节点时，原请求会访问此处指定的Fallback服务。

内网安全访问配置流程 步骤 操作 详细说明 1 添加用户与组织 配置用户组 为确保企业登录零信任客户端人员身份合法性，以及提升企业零信任远程办公安全性，企业员工在登录零信任客户端时需要进行身份认证。由此您需要先在零信任服务控制台创建用户与组织信息，在该列表的用户才允许登录零信任服务。 2 创建并添加应用以及应用标签 在您要使用远程零信任办公服务访问您的应用或者系统资源之前，您需要将其添加到边缘安全加速平台进行管理。 3 添加应用授权策略 远程零信任办公服务帮助您管理企业员工，合作伙伴，项目合作方等不同角色人员对内部系统的访问权限，支持精细化的应用授权管理，可以按照用户组，角色，组织架构，用户粒度进行应用系统授权。您的员工用户可以在登录远程零信任办公服务客户端后，点击左侧我的资源查看具备访问权限的系统列表。 4 部署连接器 在您使用零信任网络访问您的企业内部系统之前，您需要通过安装连接器，实现企业员工要访问的内部应用系统资源和零信任服务边缘节点的网络连通。 5 配置零信任策略（可选） 企业使用远程零信任办公服务，部分场景下，需要对访问的来源进行控制，远程零信任办公服务支持对客户端访问来源，访问IP，用户粒度，访问时间等进行访问控制，实现更灵活和安全的企业远程办公访问体验。除访问控制外，如果您还需配置其他零信任策略，可联系我们。

本节介绍容器迁移。 基于 CCE One 容器迁移能力，帮助业务将本地IDC或三方云上的Kubernetes容器集群，迁移到天翼云云容器引擎服务；迁移过程安全、可靠、灵活、高效，无需停机，热迁移、对业务零影响。 工作原理 将应用从一个环境迁移到另一个环境是一项具有挑战性的任务，因此仔细的规划和准备至关重要。天翼云CCE One的容器迁移服务通过以下五个阶段为您提供全流程迁移指导： 1. 集群评估：在此阶段，您需要评估源集群的规模以决定目标集群的类型和资源规模。 2. 依赖数据迁移：在这个阶段，基于天翼云上的云迁移、云备份等标准云产品服务，您将迁移镜像以及依赖服务的相关数据。 3. 元数据迁移：在此阶段，您需要通过容器备份/恢复功能或集群联邦方式，将应用元数据从源集群迁移到目标集群，从而让应用在目标集群中正常运行起来。 4. 应用迁移：在这个阶段，您可以通过特定方式进行流量调度，例如智能DNS+单集群LB或多集群Ingress、多集群Service等，将业务流量逐步从源集群迁移到目标集群。 5. 业务验证：流量迁移过程中及流量迁移完成后，您可以对迁移后业务允许情况进行验证，以确保服务运行符合预期。 通过遵循天翼云CCE One容器迁移服务的全流程迁移指导，您可以更顺利地将应用从一个环境迁移到另一个环境。

购买说明 适用场景 1. 红色党建 依托丰富的资源池及领先技术，天翼云实时云渲染已被应用于超高清动漫、工业制造、云会展等多个领域，服务了诸多政企客户。天翼云实时云渲染为政企用户提供高并发实时渲染能力，通过应用预热功能让上百路路节点稳定运行，实现应用秒速打开，云渲染可助力企业宣传从传统媒体升级，实现更高曝光率，增强品牌效应。 2. 线上VR 解决AR、VR等沉浸式体验需要，实现多终端实时交互，更快实现VR场景部署，XR应用访问无需终端自行购买高配置机器，通过云渲染高性能渲染节点实现流畅游玩。 3. 大算力渲染需求大场景 面向智慧城市/园区、虚拟数字人、产学研课题进行孪生渲染，实现统一维护、统一管理。主要客户画像：数字城市、 智慧工厂/园区、元宇宙服务/应用公司、虚拟数字人服务商等。 购买指引 云渲染支持官网自助开通 云渲染服务，您可以在云渲染产品详情页选择立即开通，购买可用实例。

本文主要介绍应用运维管理 应用运维管理（Application Operations Management，以下简称AOM）为运维人员提供一站式立体运维平台，实时监控应用、资源运行状态，通过数十种指标、告警与日志关联分析，快速锁定问题根源，保障业务顺畅运行。 通过云审计服务，您可以记录与AOM服务相关的操作事件，便于日后的查询、审计和回溯。 表 云审计服务支持的AOM操作列表 操作名称 资源类型 事件名称 创建仪表盘 ams addDashboard 修改仪表盘 ams updateDashboard 删除仪表盘 ams deleteDashboard 创建阈值 ams addThreshold 修改阈值 ams updateThreshold 删除阈值 ams deleteThreshold 创建策略组 pe createPolicyGroup 删除策略组 pe deletePolicyGroup 更新策略组 pe updatePolicyGroup 启用策略组 pe enablePolicyGroup 停用策略组 pe disablePolicyGroup 创建策略 pe createPolicy 删除策略 pe deletePolicy 更新策略 pe updatePolicy 启用策略 pe enablePolicy 停用策略 pe disablePolicy 更新老化周期 als updateLogStorgeSetting

本节主要介绍入门指引 灰度发布是迭代软件产品在生产环境安全上线的一种重要手段。本教程以Bookinfo应用为例，向您讲解服务网格基于Istio提供的服务治理能力。 Bookinfo应用灰度发布流程包含以下步骤： 图 Bookinfo应用灰度发布流程

本小节介绍HSS与WAF区别。 云平台提供的HSS、WAF服务，帮助您全面从主机、网站、Web应用等层面防御风险和威胁，提升系统安全指数。建议搭配使用。 服务名称 所属分类 防护对象 功能差异 企业主机安全（HSS） 基础安全 提升主机整体安全性。 资产管理 漏洞管理 入侵检测 基线检查 网页防篡改 Web应用防火墙（WAF） 应用安全 保护Web应用程序的可用性、安全性。 Web基础防护 CC攻击防护 精准访问防护

2. 控制台云化应用 仅需三步即可实现通过云渲染平台实现应用云化，您需要上传资产、发布应用、测试应用，通过这些操作将应用运行至云渲染高配置实例中。 上传资产 云渲染可以直接通过网页上传资产，详情可查看上传资产。 发布应用 1. 资产上传成功后，即可发布应用让应用运行至云端节点。 2. 3D应用支持发布至多个区域，云渲染服务开通多个区域后算力调度将识别终端所在位置，自动接入最近节点。 3. 点击应用上架，生成应用测试链接。 测试应用 应用发布成功后可通过渲染链接查看应用实时渲染效果，若应用启动不成功、启动效果不满意可通过以下步骤调试、修改： 应用无法启动成功 应用一直处于加载中：检查应用启动是否需要配置启动参数。 应用结束运行：检查应用是否本地可运行，若持续出现问题请联系客服解决。 提示并发数已达最大：需要增加应用配置中的 最大并发数 。 提示超过允许带宽 BANDWIDTHEXCEEDS：需要增加已购买的固定带宽数。 部分浏览器不支持 webrtc，导致应用在此环境无法运行，建议在云渲染推荐的浏览器版本中做应用调试。 应用启动过慢 对于渲染规格包周期用户，我们提供了应用预热的功能，您可以开启预热让节点秒速加载。 您可按照所属地域开通对应区域的云渲染服务，减少网络延迟带来的加载过慢问题。 应用卡顿、延迟 您可打开应用右上角工具栏中的网络信息，查看是否是网络问题导致的丢包率过高，或更换网络访问。 配置应用码率 ，更换为 流畅优先 。 更多应用解答参见常见问题。

本文介绍如何配置边缘接入服务IP应用加速的CNAME。 成功添加边缘接入IP应用加速域名后，系统会为您分配一个CNAME。您需要将您的应用的DNS解析记录指向该CNAME，访问请求才能转发到IP应用加速节点上，实现IP应用加速。本文介绍如何配置CNAME。 1. 登录边缘安全加速控制台，进入边缘接入控制台的【域名】【IP应用加速接入】的页面列表中复制域名/实例对应的CNAME。 2. 前往您的域名解析(DNS)服务商(如万网、阿里云解析、DNSPod、新网、腾讯云解析、route 53、godaddy等)，添加该CNAME记录。配置CNAME完毕，CNAME配置生效后，IP应用加速服务也会立即生效。 注意 CNAME配置生效时间：新增CNAME记录会实时生效，而修改CNAME记录生效时间取决于客户设置的TTL时间。 3. 添加时如遇添加冲突，可考虑换一个加速域名，或参考以下“解析记录互斥规则” 调整记录。 在提示冲突的时候，说明已经有对应的记录，不允许重复添加或者说不能添加对应的记录，说明如下。 在RR值相同的情况下，同一条线路下，在几种不同类型的解析中不能共存(X为不允许)： X：在相同的RR值情况下，同一条线路下，不同类型的解析记录不允许共存。如：已经设置了www.ctyun.cn的A记录，则不允许再设置 www.ctyun.cn的CNAME记录。 无限制： 在相同的RR值情况下，同一条线路下，不同类型的解析记录可以共存。如：已经设置了www.ctyun.cn的A记录，则还可以再设置 www.ctyun.cn的MX记录。 可重复： 指在同一类型下，同一条线路下，可设置相同的多条RR值。如：已经设置了www.ctyun.cn的A记录，还可以再设置 www.ctyun.cn的A记录。 4. 验证边缘接入服务IP应用加速服务是否生效。 配置CNAME后，不同的服务商CNAME生效的时间也不同，一般新增的CNAME记录会立即生效，修改的CNAME记录生效时间取决于客户设置的TTL时间。 您可以ping或dig您所添加的加速域名，验证IP应用加速是否生效。

本节介绍如何授权用户使用Web应用防火墙(原生版)服务。 Web应用防火墙（原生版）通过IAM（统一身份认证服务，Identity and Access Management）对用户权限进行管理，IAM可以帮助用户安全地控制Web应用防火墙（原生版）服务的访问及操作权限。 默认情况下，天翼云主账号拥有管理员权限，而主账号创建的IAM用户没有任何权限。IAM用户需要加入用户组，并给用户组授权相应策略后，IAM用户才能获得策略对应的权限，才可以基于被授予的权限对云服务进行操作。 IAM应用场景 IAM策略主要面向同一主账号下，对不同IAM用户授权的场景： 您可以为不同操作人员或应用程序创建不同IAM用户，并授予IAM用户刚好能完成工作所需的权限，比如查看权限，进行最小粒度授权管理。 新创建的IAM用户可以使用自己的登录名和密码登录控制台，实现多用户协同操作时无需分享账号密码的安全要求。 IAM策略说明 天翼云为Web应用防火墙（原生版）提供如下系统策略 。如果系统策略不满足授权要求，可以创建自定义策略 ，自定义策略是对系统策略的扩展和补充，详情请参见创建自定义策略。 策略名称 策略描述 类别 授权范围 ctwaf admin Web应用防火墙（原生版）管理员，拥有全部操作权限。 系统策略 全局级 ctwaf monitor Web应用防火墙（原生版）运营人员，不具备具名接入、产品信息页面功能权限，具备其他页面功能权限。 系统策略 全局级 ctwaf viewer Web应用防火墙（原生版）分析人员，只具备查看权限，不支持订单相关操作。 系统策略 全局级

本文介绍了如何配置对WebSocket应用进行加速。 功能介绍 天翼云边缘安全加速平台安全与加速服务支持对WebSockett协议和http/https协议同时加速，即同一个域名可以既有http/https协议，又有WebSocket加速，您无需拆分域名，使用天翼云边缘安全加速平台安全与加速服务就可以实现对域名下http/https协议的应用和WebSocket协议的应用同时加速。全站加速节点会自动识别客户端与边缘节点通信使用的协议，自动切换协议。通常情况下，WebSocket协议的应用多为动态业务，对实时性要求很高，天翼云边缘安全加速平台安全与加速服务的动态探测选路能力可以为WebSocket应用选择最快的回源路径，提升WebSocket业务的访问效果。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通基础版以及以上版本。 配置说明 1.登录边缘安全加速平台控制台。 2.在【域名】【基础配置】页面，点击目标域名。 3.进入WebSocket页面，单击“编辑配置”。 4.开启WebSocket功能开关，开启后默认连接超时时间5秒、请求超时时间15秒。 配置页面 参数名 说明 WebSocket回源连接超时时间 WebSocket回源连接超时时间的配置范围支持1~300秒。

本文介绍通过无域名接入方式接入边缘接入服务IP应用加速的实例名称。 功能介绍 通过无域名方式接入边缘接入服务IP应用加速的实例新增完成后，在IP应用加速接入列表中可查看到该实例，也可以修改实例名称。 配置说明 在IP应用加速接入列表中找到您要修改的实例，点击实例名称后面的小铅笔，修改实例名称后，点击“确定”即可完成实例名称的修改。 注意 实例名称必须是不超过10位的中英文和数字的组合，且不允许和其他实例的名称相同。 配置界面

本节主要介绍如何在智能视图服务控制台为设备配置危险区域AI算法。 创建危险区域AI应用 点击左侧菜单栏【AI管理AI应用】进入该功能页面，点击【新建AI应用】。 选择AI算法 在AI算法列表中找到【危险区域检测】算法，点击【选择】。 创建AI应用 输入自定义应用名称，分析频率选择分钟级，生效时段设置为9点至18点，置信度采用默认值60%，开启告警配置优化AI告警信息频繁的情况，设置告警周期为10秒，告警数量阈值为1个，静默时间为5秒。 危险区域AI应用绑定至设备 危险区域AI应用创建成功后，需要将其绑定至设备并启用后才可对摄像头画面进行智能AI分析。 点击左侧菜单栏的【设备管理】，在目录树中点击想要使用AI应用的设备，切换到【配置信息】页面，点击服务配置右侧的【配置】后切换到AI并点击【绑定AI应用】。 在弹出的窗口中，下拉选择计费模式并勾选需要绑定的AI应用，点击【确定】完成绑定。

本章节介绍微服务云应用平台限流降级能力 概述 限流降级包含限流和降级两个功能。限流是指通过调节流量阈值控制通过系统的最大流量值，保证系统安全可靠运行。降级通常用于对下游出现超时的非核心服务提供者进行低优先级调用，确保上游核心应用（服务消费者）不被影响。通过接入限流降级，您实时查看限流降级详情和动态变更规则，从而全面保障您的应用可用性。使用限流降级需要事先部署时配置限流降级高级配置接入限流降级。 前提条件 1. 开通微服务治理中心企业版 2. 开启接入微服务治理和限流降级 规则管理 支持配置流控规则、隔离规则、熔断规则、主动降级规则、热点规则、自适应流控等规则。 流控规则 流控规则的原理是监控应用或服务流量的QPS指标，当指标达到设定的阈值时立即拦截流量，避免应用被瞬时的流量高峰冲垮，从而保障应用高可用性。适用于需要限制突发的流量，在尽可能处理请求的同时来保障服务不被击垮的场景。 1. 在应用总览页面，选择限流降级规则管理，进入规则管理页面 2. 选择流控规则页签，点击新增进入流控规则配置页面 3. 选择防护场景 配置项 描述 接口名称 待流控的资源名称。 4. 配置防护规则 参数 描述 是否集群流控 开启集群流控，对集群内此资源的调用总量进行限制。 是否开启 打开开关表示启用该规则，关闭开关表示禁用该规则。 单机QPS阈值 触发对流控接口的统计维度对象的QPS阈值。 来源应用 该规则针对的来源应用，默认来源应用设为default，代表不区分来源应用。 统计维度 选择资源调用关系进行流控。 1，当前接口 ：直接控制来自来源应用中调用来源的访问流量，如果来源应用为default则不区分调用来源。通常应用于流量匀速通过的场景。 2，关联接口 ：控制当前资源的关联资源的流量。通常应用于资源争抢时，留足资源给优先级高接口的场景。 3，链路入口 ：控制该资源所在的调用链路的入口流量。选择链路入口后需要继续配置入口资源，即该调用链路入口的上下文名称。通常应用于预热启动避免大流量冲击的场景 流控效果 选择流控方式来处理被拦截的流量。 1，快速失败： 达到阈值时，立即拦截请求。按照应用系统设置中的适配模块配置信息，进行内容返回。 2，预热启动： 需设置具体的预热时间。 如果系统在此之前长期处于空闲的状态，当流量突然增大的时候，该方式会让处理请求的速率缓慢增加，经过设置的预热时间以后，到达系统处理请求速率的设定值。 默认会从设置的QPS阈值的1/3开始慢慢往上增加至设置的QPS值，多余请求会按照快速失败处理。 3，排队等待： 请求匀速通过，允许排队等待，通常用于请求调用削峰填谷等场景。需设置具体的超时时间，达到超时时间后请求会快速失败。 5. 配置限流行为 配置行为主要是配置Fallback行为。Fallback行为定义某个埋点资源触发了某种规则（如流控、熔断、降级）后的处理行为。目前Fallback行为仅支持Web和RPC两种资源类型。如果您不需要自定义限流后的Fallback行为，则选择默认行为即可。 配置成功后，新的流控规则将出现在流控规则列表中。

本文介绍应用服务的最佳实践，包括构建本地知识库、部署推理服务、集成MCP服务。 关于构建本地私有知识库的操作实践方案，可参考基于Dify和DeepSeek构建本地知识库的最佳实践。 关于本地部署Qwen3推理api服务的操作实践方案，可参考通过应用市场部署Qwen3推理api服务。 关于在应用中搭建搭建Dify和部署MCP Server的操作实践方案，可参考在Dify中集成MCP Server。

开源对比 相较于开源自建Kafka，分布式消息服务Kafka在低成本运维、分区规模、消息查询、ACL访问控制、可视化配置、运维监控、集群巡检、稳定可靠、安全保证、简单易用等方面更具优势。更多信息请参见开源对比。 产品优势 分布式消息服务Kafka具备高可用性、高安全性、可靠性、全托管等优势，使其成为大规模数据处理和实时流处理的理想选择。更多信息请参见产品优势。 功能特性 分布式消息服务Kafka的功能特性主要体现在以下几个方面： 消息能力 广播消息：在同一个消费组内对所有消费者投递相同消息。 消息回溯：支持根据时间重置消费进度。 消息数据自动删除功能：在磁盘满后，在保护期外的数据，能自动删除，保证服务可用性。 自动故障切换功能：生产消费自动负载均衡，消息节点故障时自动主备切换，保证服务的连续性。 队列能力 高吞吐，消息多副本异步复制。 高可靠，消息多副本同步复制。 可视化管理 应用用户管理：多个应用可调用同一个消息服务，通过应用用户，对消息服务下的应用接入权限进行管理。 主题管理：支持对实例下的主题进行管理，执行创建删除等操作。 消费组管理：支持对实例下的消费组进行管理。 Broker监控：提供Broker详细信息以及多维度的监控指标查看。 Topic监控：提供Topic详细信息以及多维度的监控指标查看。

注意事项 添加完加速域名/实例后，天翼云边缘接入服务IP应用加速会给您分配对应的CNAME地址，您还需要配置CNAME后IP应用加速服务才生效，请继续参考下方：配置CNAME。

本文介绍实时云渲染的产品定义。 天翼云实时云渲染平台，基于智能边缘云的GPU算力提供视频实时渲染计算并串流同步输出到终端设备的PaaS服务。通过分布式GPU集群，提供弹性云端渲染算力、音视频串流、应用云化服务，用户按需扩容、按需付费使用，解决软硬件对用户的使用限制、降低成本、方便使用。 通过“上传应用、实时渲染、应用发布”三步实现应用包的渲染和发布、交互。

添加服务到云原生网关 基于新添加的云容器引擎服务来源，我们添加服务到云原生网关用于路由访问；选择服务管理菜单> 添加服务 >云容器引擎服务来源，选择服务部署的命名空间，可以看到我们已经部署的app1、app2、app3应用，这里我们只需要添加入口的app1应用即可。 配置服务标签 在服务列表页可以看到新添加的app1服务，选择管理 进入服务管理页面，最下方可以看到版本管理。云原生网关会获取服务的标签信息，并根据标签配置不同的服务子集（类似服务网格中目标规则中的subset）。我们根据服务的version标签配置base和test两个版本，如下图： 云原生网关配置路由规则 在云原生网关控制台选择路由管理 > 添加路由，配置appversiontag头部匹配base时路由到app1的base版本，匹配test时路由到app1的test版本，如下图： 再次访问应用可以看到带上appversiontag: test头部访问总是请求到app1的test版本，带上appversiontag:base头部访问总是请求到app1的base版本；但是还是会访问到app2和app3的多版本。 配置流量标签 我们需要再部署针对应用的TraficLabel以及虚拟服务和目标规则资源，此部分参考全链路灰度部分，这里不需要部署针对Ingress网关的流量标签资源。