云存储网关与OOS的关系是什么？ 云存储网关在OOS中创建存储卷，为上层应用提供Internet小型计算机系统接口（iSCSI）协议访问。本地应用程序可将这些卷作为iSCSI目标进行访问。网关将卷数据切片同步上云。 云存储网关使用限制有哪些？ 目前用户可以创建的网关数量无限制。一个网关可以配置多个缓存盘。对于云存储网关1.0，一个网关可以创建最多10个卷，每个卷最大容量 1 PiB，如果需要使用更多的卷，需要提交工单联系天翼云运维人员协助。对于最新版本网关，卷的个数没有限制。 网关创建后能删除么？ 可以。删除前，请确保客户端已经停止写入，相关数据进行了备份，之后通过工单联系天翼云运维人员进行操作。 云存储网关支持为卷创建快照吗？ 云存储网关目前不支持为卷创建快照，但用户可以采用以下方式创建快照： 如果上层应用为虚拟化或容器技术，可以使用hypervisor或容器自带的快照技术创建快照。 如果云存储网关直接对接操作系统，对于Windows可以使用自带的快照和备份技术，对于Linux，可以使用btrfs创建快照。与在块设备上直接创建快照相比，操作系统自带的快照技术对数据完整性的支持更好。

资源层弹性组件介绍 组件名称 组件介绍 适用场景 cubeclusterautoscaler CCSE自研插件，节点水平伸缩组件，提供了调度、弹性优化、成本优化的功能。 全场景支持，适合在线业务、深度学习、大规模成本算力交付等。 功能入口 支持用户手动伸缩应用容器实例，HPA自动伸缩策略和定时自动伸缩。

步骤一：创建云主机并绑定EIP 开通创建云主机，绑定弹性EIP操作流程请参考： < ● 华东1云主机A购买公网带宽：10Mbps ● 西南1云主机B购买公网带宽：10Mbps 步骤二：安装iperf3 检查云主机上的安全组及网络ACL配置，确保云主机能够正常访问公网。 分别在华东1、西南1的云主机上安装iperf3 执行命令：yum install iperf3 说明：CentOS、CTyunOS镜像环境下执行命令为yum install iperf3，如果是其他操作系统，请以操作系统实际命令为准。 步骤三：打流测试 以华东1 云主机作为客户端，西南1云主机做为服务端，从华东1向西南1进行打流测试，查看华东1的出云带宽。 本次测试以iperf udp方式打流，指定带宽为客户购买带宽10Mbps 服务端：西南1 执行命令：iperf3 s （启动服务） 注意：iperf3在不指定端口的情况下，默认使用端口5201，请在客户端和服务端云主机上，注意安全组的配置，放行该端口；如果指定其他端口，也注意要在安全组中放行。 客户端：华东1 执行命令：iperf3 c XX.XX.XX.XX(西南1 EIP地址) t 30 b 10M i 15 u 参数说明： t 30 : 发送报文持续时间为30秒 b 10M：指定发送报文带宽10Mbps i 15：测试结果的输出周期为15秒 u：使用UDP协议打流 通过以上测试，可以看到华东1出云带宽符合购买带宽10Mbps，丢包为0，基本无抖动。 在西南1查看入云带宽及丢包情况： 入云带宽10Mbps，0丢包，无抖动。 如果想让服务端向客户端打流，查看服务端的出云带宽，可在客户端执行如下命令： iperf3 c XX.XX.XX.XX(西南1 EIP地址) t 30 b 10M i 15 u R 增加R 表示反向测试，则可查看服务端向客户端的打流情况及出云带宽等信息。 通过采用iperf打流的方式，可以辅助您验证实际的公网带宽是否符合业务所需。

本节介绍如何查看组件详情。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“集群安全 > 组件漏洞”，进入组件漏洞页面。 3. 单击组件列表内的“组件名称”，可查看组件内存在的漏洞信息。 4. 进入漏洞信息页面，可查看不同危险等级漏洞的数量统计结果，漏洞详情展示了漏洞类型、漏洞编号、危险级别、软件、受影响的版本等信息。 5. 单击漏洞详情中的漏洞编号可查看漏洞介绍和参考地址等信息。

本节介绍如何配置要扫描的基线。 1. 登录容器安全卫士产品控制台。 2. 在左侧导航栏选择“安全合规”，进入安全合规页面。 3. 在该页面单击右上角的“设置”按钮，进入设置页面。 4. 在设置页面，可见系统默认支持Docker CIS基线、Kubernetes CIS基线（1.3版本和1.6版本）、OpenShift基线、Ubuntu CIS基线、Centos CIS基线这五种合规检查项，选择并开启要进行扫描检测的合规项，单击“保存”按钮即可添加成功。

本节介绍智算容器价格。 价格 集群规模 计费方式 价格（元/月） 价格（元/年） 管理10节点 包年/包月 10060 120720 管理30节点 包年/包月 29260 351120 管理50节点 包年/包月 48460 581520 管理100节点 包年/包月 96460 1157520 管理200节点 包年/包月 192460 2309520 管理300节点 包年/包月 288460 3461520 管理500节点 包年/包月 480460 5765520 管理1000节点 包年/包月 960460 11525520 管理2000节点 包年/包月 1920460 23045520

错误码 errorCode 描述 Scaling.Config.ConfigNumberMoreThanLimit 弹性伸缩配置数量超过限制 Scaling.Config.ConfigNameInvalid 名称错误，只能由数字、字母、组成,不能以数字和开头、以结尾,且长度为250字符 Scaling.Config.FlavorNotFound 未找到规格信息 Scaling.Config.ImageNotFound 未找到该镜像信息 Scaling.Config.DiskTypeNotSupported 不支持的磁盘类型 Scaling.Config.DiskCountQuotaLimited 磁盘数目配额不足 Scaling.Config.UseFloatingsNotSupported 是否使用弹性公网IP Scaling.Config.BillingModeNotSupported 不支持该计费方式 Scaling.Config.BandWidthInvalid 无效的带宽，范围为[13000]Mbps Scaling.Config.NotFound 未找到弹性伸缩配置信息 Scaling.Config.LoginModeNotSupported 不支持该登录方式 Openapi.Workorder.AccessFailed 系统错误 Scaling.Parameter.InvalidError 请求参数错误

应用场景 适用于用户的迁移服务器（物理机、弹性云主机）可以访问待迁移数据，且和HPFS网络互通，同时保证可挂载并行文件系统的场景下的迁移操作。 准备工作 1. 创建迁移服务器，如果目标HPFS文件系统是NFS协议，迁移服务器可选择弹性云主机。如果目标HPFS文件系统是HPFSPOSIX协议，迁移服务器需要选择物理机（GPU裸金属）。具体限制请参考操作系统限制。 2. 将HPFS文件系统挂载至物理机或弹性云主机，具体操作请参考挂载文件系统。 操作步骤 迁移命令说明 HPFS数据拷贝是文件系统间数据的迁移，推荐使用数据同步工具rsync（remote synchronize）。 centos环境下rsync安装命令： plaintext yum install y rsync rsync支持本地（类似cp，我们一般选择本地方式）或者远端（类似scp）数据拷贝，可以镜像保存整个目录树和文件系统，支持断点续传，快速安全。 rsync使用说明： plaintext 本地拷贝 rsync [OPTION...] SRC... [DEST] 常用选项： partial 保留那些因故没有完全传输的文件，以是加快随后的再次传输 inplace 将更新的数据直接写入目标文件，避免文件复制 delete 删除那些DST中SRC没有的文件 a, archive 归档模式，表示以递归方式传输文件，并保持所有文件属性，等于rlptgoD v, verbose 详细模式输出 c, checksum 打开校验开关，强制对文件传输进行校验 数据拷贝时间可能很长（用户数据量除以数据拷贝带宽），为防止下线执行命令退出，可以采用后台执行的方式执行rsync命令： plaintext nohup rsync a partial inplace v $srcdir $destdir &;

通过配置项设置命令行参数 您可以使用配置项设置容器中的命令或者参数值，使用环境变量替换语法$(VARNAME)来进行。如下面的编排示例所示。 apiVersion: v1 kind: Pod metadata: name: configmappod3 spec: containers: name: testcontainer image: busybox command: [ "/bin/sh", "c", "echo $(SPECIALLEVELKEY) $(SPECIALTYPEKEY)" ] env: name: SPECIALLEVELKEY valueFrom: configMapKeyRef: name: cceconfigmap key: SPECIALLEVEL name: SPECIALTYPEKEY valueFrom: configMapKeyRef: name: cceconfigmap key: SPECIALTYPE restartPolicy: Never 这个Pod运行后，输出如下内容。 Hello CCE 使用配置项挂载到工作负载数据卷 配置项也可以在数据卷里面使用，只需在创建工作负载时将配置项挂载到工作负载中即可。挂载完成后，最终生成以key为文件名， value为文件内容的配置文件。 apiVersion: v1 kind: Pod metadata: name: configmappod4 spec: containers: name: testcontainer image: busybox command: [ "/bin/sh", "c", "ls /etc/config/" ] 列出该目录下的文件名称 volumeMounts: name: configvolume mountPath: /etc/config 挂载到/etc/config目录下 volumes: name: configvolume configMap: name: cceconfigmap restartPolicy: Never 这个Pod运行后，在/etc/config目录下会生成SPECIALLEVEL和SPECIALTYPE两个文件，文件的内容为Hello和CCE。且运行时会输出如下内容，即cceconfigmap中SPECIALLEVEL和SPECIALTYPE的名称。 SPECIALTYPE SPECIALLEVEL 挂载ConfigMap到数据卷还可以在界面上进行操作，在创建工作负载时，设置容器的高级设置，选择数据存储，添加本地磁盘，选择ConfigMap即可配置。具体操作请参见配置项(ConfigMap)挂载。

概述 服务网格支持使用opentelmetry方式接入应用性能监控链路追踪能力，本章节介绍如何开启和使用链路追踪。 开启条件 需要开通APM应用性能监控，可参考开通应用性能监控应用性能监控快速入门 天翼云 (ctyun.cn) 需要在网格实例所属VPC下开通APM相关的终端节点（VPCE） 开启方式 登录服务网格控制台，网格实例 > 网格配置 > 自定义配置 > 启用链路追踪 开启即可。 开启时，您需要设置采样里，取值1100。 如果您还未开通应用性能监控服务及链路追踪数据上报需要的VPCE等资源，您可以授权服务网格组件一键开通相关资源。 链路追踪接入示例 概述 本节展示服务网格接入链路追踪的操作流程及效果，首先确认已经开启了链路追踪功能开关并将采样率配置为100%。演示架构如下图所示 其中ELB和Ingress Gateway作为接入层，业务层包括app1、app2、app3三个服务（分别都注入了网格sidecar），业务代码中也通过opentelemetry方式接入了链路追踪，触发数据面访问后，预期会上报链路数据到APM，完整覆盖网格数据面和应用。 部署测试程序 创建demo命名空间并配置好相关注入标签，保证sidecar注入；部署应用及服务，如下 注意 1. 本示例使用的镜像地址是华南2资源池，如果您在其他资源池体验，请替换镜像地址 2. 本示例采用go语言+opentelemetry方式接入链路追踪，您可以参考应用性能监控go语言接入链路追踪的文档将Deployment中的token和endpoint环境变量替换成您看到的值 html apiVersion: apps/v1 kind: Deployment metadata: name: app1base namespace: demo labels: app: app1 csmtraffictag: base spec: replicas: 1 selector: matchLabels: app: app1 name: app1 csmtraffictag: base template: metadata: labels: sidecar.istio.io/inject: "true" app: app1 name: app1 source: CCSE csmtraffictag: base spec: containers: name: default image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/tracedemo:otel imagePullPolicy: Always env: name: token value: yourapmlicence name: endpoint value: apmhuanan2.cnspinternal.ctyun.cn:27141 name: version value: base name: app value: app1 name: upstreamurl value: " ports: containerPort: 8000 apiVersion: apps/v1 kind: Deployment metadata: name: app2base namespace: demo labels: app: app2 csmtraffictag: base spec: replicas: 1 selector: matchLabels: app: app2 name: app2 csmtraffictag: base template: metadata: labels: sidecar.istio.io/inject: "true" app: app2 name: app2 source: CCSE csmtraffictag: base spec: containers: name: default image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/tracedemo:otel imagePullPolicy: Always env: name: token value: yourapmlicence name: endpoint value: apmhuanan2.cnspinternal.ctyun.cn:27141 name: version value: base name: app value: app2 name: upstreamurl value: " ports: containerPort: 8000 apiVersion: apps/v1 kind: Deployment metadata: name: app3base namespace: demo labels: app: app3 csmtraffictag: base spec: replicas: 1 selector: matchLabels: app: app3 name: app3 csmtraffictag: base template: metadata: labels: sidecar.istio.io/inject: "true" app: app3 name: app3 source: CCSE csmtraffictag: base spec: containers: name: default image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/tracedemo:otel imagePullPolicy: Always env: name: token value: yourapmlicence name: endpoint value: apmhuanan2.cnspinternal.ctyun.cn:27141 name: version value: base name: app value: app3 ports: containerPort: 8000 apiVersion: apps/v1 kind: Deployment metadata: name: app1test namespace: demo labels: app: app1 csmtraffictag: test spec: replicas: 1 selector: matchLabels: app: app1 name: app1 csmtraffictag: test template: metadata: labels: sidecar.istio.io/inject: "true" app: app1 name: app1 source: CCSE csmtraffictag: test spec: containers: name: default image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/tracedemo:otel imagePullPolicy: Always env: name: token value: yourapmlicence name: endpoint value: apmhuanan2.cnspinternal.ctyun.cn:27141 name: version value: test name: app value: app1 name: upstreamurl value: " ports: containerPort: 8000 apiVersion: apps/v1 kind: Deployment metadata: name: app2test namespace: demo labels: app: app2 csmtraffictag: test spec: replicas: 1 selector: matchLabels: app: app2 name: app2 csmtraffictag: test template: metadata: labels: sidecar.istio.io/inject: "true" app: app2 name: app2 source: CCSE csmtraffictag: test spec: containers: name: default image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/tracedemo:otel imagePullPolicy: Always env: name: token value: yourapmlicence name: endpoint value: apmhuanan2.cnspinternal.ctyun.cn:27141 name: version value: test name: app value: app2 name: upstreamurl value: " ports: containerPort: 8000 apiVersion: apps/v1 kind: Deployment metadata: name: app3test namespace: demo labels: app: app3 csmtraffictag: test spec: replicas: 1 selector: matchLabels: app: app3 name: app3 csmtraffictag: test template: metadata: labels: sidecar.istio.io/inject: "true" app: app3 name: app3 source: CCSE csmtraffictag: test spec: containers: name: default image: registryvpccrshuanan2.cnspinternal.ctyun.cn/library/tracedemo:otel imagePullPolicy: Always env: name: token value: yourapmlicence name: endpoint value: apmhuanan2.cnspinternal.ctyun.cn:27141 name: version value: test name: app value: app3 ports: containerPort: 8000 apiVersion: v1 kind: Service metadata: name: app1 labels: app: app1 service: app1 spec: ports: port: 8000 name: http selector: app: app1 apiVersion: v1 kind: Service metadata: name: app2 labels: app: app2 service: app2 spec: ports: port: 8000 name: http selector: app: app2 apiVersion: v1 kind: Service metadata: name: app3 labels: app: app3 service: app3 spec: ports: port: 8000 name: http selector: app: app3

本章节主要介绍准备工作 在开始之前，您需要完成如下的准备工作。 步骤 1 创建虚拟私有云和子网。 虚拟私有云（Virtual Private Cloud，简称VPC）提供一个隔离的、用户自主配置和管理的虚拟网络环境，可以提升资源的安全性，简化用户的网络部署。 1. 登录虚拟私有云VPC控制台。 2. 单击右上角“创建虚拟私有云”。 3. 根据界面提示完成参数填写，单击“立即创建”。 步骤 2 创建密钥对。 新建一个密钥对，用于远程登录节点时的身份认证。 1. 登录弹性云服务器ECS控制台。 2. 选择左侧导航中的“密钥对”，单击右上角“创建密钥对”。 3. 输入密钥对名称后，单击“确定”。 4. 您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 说明 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 步骤 3 创建负载均衡。 弹性负载均衡将作为服务网格对外访问入口，被服务网格管理的应用流量，均从此实例进入并分发到后端服务。 1. 登录弹性负载均衡ELB控制台。 2. 单击右上角的“创建弹性负载均衡”。 3. 所属VPC、子网请选择步骤1中创建的虚拟私有云和子网，其他参数根据界面提示填写，单击“立即创建”。 步骤 4 创建集群。 1. 登录云容器引擎CCE控制台。 2. 选择左侧导航中的“资源管理 > 集群管理”，单击右上角“创建CCE集群”。 3. 在“服务选型”页面设置如下参数，其余参数均采用默认值。 集群名称：用户自行输入，此处设置为“cceasm”。 虚拟私有云、所在子网：选择步骤1中创建的虚拟私有云和子网。 4. 单击“下一步：创建节点”，配置添加节点的参数。除节点规格和登录方式外，其余参数保持默认。 节点规格：vCPUs为4核，内存为8GB。 说明 此规格为部署Bookinfo应用所需的最小资源。 如果在创建网格中创建的网格版本为1.3.0，则此处的节点规格需要选择8核16GB。为了保证sidecar的稳定性，1.3.0版本网格默认每个sidecar的CPU限制为1核，内存限制为512M，因此需要更多资源。 登录方式：选择步骤2中创建的密钥对，用于远程登录节点时的身份认证。 5. 单击“下一步：安装插件”，在“安装插件”步骤中选择要安装的插件。 “系统资源插件”为必装插件，“高级功能插件”可根据实际需求进行选择性安装。 6. 单击“下一步：配置确认”，阅读使用说明并勾选“我已知晓上述限制”，确认所设置的服务选型参数、规格等信息。 7. 确认订单无误后，单击“提交”，集群开始创建。 集群创建预计需要610分钟，您可以单击“返回集群管理”进行其他操作或单击“查看集群事件列表”后查看集群详情。

本文的安全最佳实践以在天翼云服务器CTECS上部署 WordPress 为例,详细介绍如何利用天翼云的云服务与安全措施来构建一个既安全又易于管理的 WordPress 环境。 安全设计原则 规定时间内修复已知 OS 安全漏洞，满足安全补丁管理基线；同步配置弱口令检测、病毒查杀、重要文件防勒索及网页防篡改功能。 定期备份关键数据，防意外丢失，确保数据可恢复。 对云硬盘与云数据库存储加密，配置SSL加密数据连接。 集成精细化权限管理、多因子认证及动态访问控制，构建全链路安全防护。 通过逻辑隔离与最小权限访问，阻断威胁横向渗透路径。 部署架构 在云服务器CTECS中部署WordPress使用的安全架构如下。 在部署WordPress过程中需要创建ECS实例和RDS MySQL数据库，本实践针对这两者做的安全配置如下： 弹性云主机实例 1. 通过安全组控制 CTECS 实例的出入流量安全组是一种网络安全防护机制，用于防止未经授权的访问和保护计算机网络免受恶意攻击。它是一种虚拟防火墙，用于限制入向和出向网络流量。关于安全组的使用请参考：安全组概述。 2. 使用云硬盘快照策略对云硬盘进行周期性备份天翼云云硬盘快照是一种数据备份方式，云硬盘快照服务可以备份或者恢复整个云硬盘的数据，常用于数据备份、制作镜像、应用容灾等。关于云硬盘快照的使用请参考：云硬盘快照策略。 3. 使用 KMS 加密数据密钥管理服务（Key Management Service，KMS）是一站式密钥管理和数据加密服务平台，提供安全合规、可靠易用的资源托管及密码运算服务。同时与天翼云云硬盘、对象存储、弹性文件、关系型数据库MYSQL等云产品无缝集成，实现云上原生数据的加密保护。更多信息，请见云硬盘加密概述。 4. 使用 IAM 授权获取访问凭证统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。更多信息，请参见产品定义。 5. 使用服务器安全卫士进行防护服务器安全卫士（原生版）（CTCSS，Cloud Security System）是一款全方位保障云上服务器安全的产品，能全面识别并管理服务器中的信息资产、实时监测服务器风险并阻止非法入侵行为，当发现服务器出现安全问题时，第一时间向您发出告警通知。主要包括资产清点、漏洞扫描、入侵检测、基线检查、弱口令检测、病毒查杀、文件防勒索等功能，帮助您构建服务器安全防护体系。更多信息，请参见产品简介。 关系型数据库MySQL版 1. 使用 SSL 数据加密SSL（Secure Socket Layer，安全套接层），位于可靠的面向连接的网络层协议和应用层协议之间的一种协议层。SSL通过互相认证、使用数字签名确保完整性、使用加密确保私密性，以实现客户端和服务器之间的安全通讯。更多信息，请参考设置SSL数据加密。 2. 使用 IAM 身份认证关系数据库MySQL版支持CTIAM身份认证和多种访问控制，多维度保障您云数据库的安全。更多信息，请参考主子账号和IAM权限管理。

操作场景 CCE集群支持两种添加节点的方式： 购买节点和纳管节点，纳管节点是指将“已购买的弹性云主机（ECS）加入到CCE集群中”，所纳管节点的计费模式支持“按需计费”和“包年/包月”两种类型。 本节将指导您通过CCE控制台纳管已有虚拟机节点。 须知： 纳管时，会将所选弹性云主机的操作系统重置为CCE提供的标准镜像，以确保节点的稳定性，请选择操作系统及重置后的登录方式。 所选弹性云主机挂载的系统盘、数据盘都会在纳管时被格式化，请确保信息已备份。 纳管过程中，请勿在弹性云主机控制台对所选虚拟机做任何操作。 约束与限制 目前仅支持在CCE集群中纳管同一Region下的虚拟机节点（含GPU加速型）。 集群版本需V1.13及以上。 集群开启IPv6后，只支持纳管所在的子网开启了IPv6功能的节点；集群未开启IPv6，只支持纳管所在的子网未开启IPv6功能的节点。 原虚拟机节点创建时若已设置密码或密钥，需等待虚拟机节点可用10分钟后方可纳管。 前提条件 支持纳管符合如下条件的弹性云主机： 待纳管节点已购买成功，且必须状态为“运行中“，且未被其他集群所使用。 纳管节点需与CCE集群在同一虚拟私有云内（若集群版本低于1.13.10，纳管节点还需要与CCE集群在同一子网内）。 需挂载数据盘，数据盘需满足有且仅有1块，且容量不少于100GB，多余的数据盘请先卸载。 节点规格要求：CPU必须2核及以上，内存必须4GB及以上，网卡有且仅能有一个。 操作步骤 步骤 1 登录CCE控制台，单击左侧导航栏的“资源管理 > 集群管理”，单击待纳管集群下的“更多 > 纳管节点”。 步骤 2 （可选）登录CCE控制台，单击左侧导航栏的“资源管理 > 节点管理”，选择节点所在的集群后，单击页面右上角的“纳管节点”。 步骤 3 在打开的界面中展示了当前符合要求的弹性云主机。如果不符合纳管要求时会显示相应的红色提示图标，列表下方会有被过滤的弹性云主机数量，鼠标移动到后方的 可以查看具体原因。 步骤 4 勾选需要纳管的弹性云主机，单击“下一步”。 步骤 5 在“待纳管节点”页面中，按照界面提示选择“登录方式”，单击“高级配置”后的按钮，可以设置“最大实例数”、“自定义镜像仓库”和“资源分配”，然后单击“提交”。 步骤 6 在弹出的“信息确认”页面中确认信息无误后，单击“确定”。 系统将提示节点纳管请求提交成功。 移除节点 移除节点指从集群中移除“弹性云主机（简称ECS）”，并不会删除ECS和卸载已安装的CCE相关组件。 如需清理CCE相关组件，请前往ECS控制台将机器关机后，点击“更多 > 镜像/磁盘 > 重装系统”操作。 步骤 1 在CCE控制台中，选择导航栏的“资源管理 > 节点管理”，在节点列表中，单击待移除节点后方“操作”栏中的“更多 > 移除”。 步骤 2 在弹出的“移除纳管节点”弹框中，输入REMOVE，确认移除该节点，单击“确定”，即可移除纳管的节点。 说明：以上步骤仅从集群中移除了节点（即弹性云主机ECS），并不会删除节点和已安装的CCE相关组件。请根据界面中展示的步骤清理CCE相关资源。

AR眼镜连接IOS客户端 1.AR眼镜设备手机； 2.开启3D模式，可使用以下两种方式开启： 眼镜先开启3D模式 1. 通过按眼镜上的模拟切换按键使眼镜进入3D模式（不同设备开启方法见各产品说明）； 2. 进入桌面后手机会自动识别； 3. 确认后进入开启状态。 手机先开启3D模式 1. 手机上运行云电脑客户端，选择开启3D模式AR眼镜模式（开启方式见“3D模式入口”）； 2. 通过按眼镜上的模式切换按键使眼镜进入3D模式，不同设备开启3D模式方式见各产品说明。 注意 1.请先完成上方AR眼镜设备手机和开启3D模式两个步骤，再点击开启按钮（未完成将导致画面显示异常）； 2.关闭3D模式时，需同时在云电脑和AR眼镜上操作。 3.开启成功，操控设备。连接设备后手机变成触控模式，可对屏幕进行操作。 AR眼镜连接PC客户端 1.AR眼镜连接PC设备； 2.PC上运行云电脑客户端，并在工具栏上选择3D模式AR眼镜选择； 3.通过按眼镜上的模块切换按键使眼镜进入3D模式，不同设备开启3D模式方法请见各产品说明。 说明 Windows笔记本和Mac普遍支持，瘦终端部分不支持。 若Mac上显示分辨率较小，需在本地系统－显示设置－选择较大的分辨率（如3840x1080），Windows支持自动调整分辨率。 镜像模拟是指电脑屏幕和AR眼镜显示相同内容。如果插入眼镜后显示的是拓展屏（电脑和眼镜显示不同内容），请在本地系统－屏幕（显示器）设置中修改为“镜像”或“复制”模式。 PC端开启3D模式后，桌面会以双屏形态。

数据规划 类别 规划项 规划值 VPC 待互通子网 192.168.0.0/16 VPN网关 互联子网 用于VPN网关和VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 VPN网关 HA模式 双活 VPN网关 EIP地址 EIP地址在购买EIP时由系统自动生成，VPN网关默认使用2个EIP。本示例假设EIP地址生成如下： 主EIP：11.xx.xx.11 主EIP2：11.xx.xx.12 VPN连接 Tunnel接口地址 用于VPN网关和对端网关建立IPsec隧道，配置时两边需要互为镜像。 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 数据中心 待互通子网 172.16.0.0/16 对端网关 网关IP地址 网关IP地址由运营商统一分配。本示例假设网关IP地址如下： 22.xx.xx.22 对端网关 Tunnel接口地址 VPN连接1：169.254.70.2/30 VPN连接2：169.254.71.2/30 操作流程 通过VPN实现数据中心和VPC互通的操作流程如下图所示。 表操作流程及步骤说明 序号 步骤 说明 1 步骤一：创建VPN网关 VPN网关需要绑定两个EIP作为出口公网IP。 如果您已经购买EIP，则此处可以直接绑定使用。 2 步骤二：创建对端网关 添加数据中心的VPN设备为对端网关。 3 步骤三：创建第一条VPN连接 VPN网关的主EIP和对端网关组建第一条VPN连接。 4 步骤四：创建第二条VPN连接 VPN网关的主EIP2和对端网关组建第二条VPN连接。 第二条VPN连接的路由模式、预共享密钥、IKE/IPsec策略建议和第一条VPN连接配置保持一致。 5 步骤五：配置对端网关设备 对端网关配置的本端隧道接口地址/对端隧道接口地址需要和VPN连接配置互为镜像配置。 对端网关配置的路由模式、预共享密钥、IKE/IPsec策略需要和VPN连接配置保持一致。 6 步骤六：验证网络互通情况 登录ECS，执行ping命令，验证网络互通情况。

本章节主要介绍通过添加单个应用服务器、从文件导入应用服务器、添加单个应用发布、从文件导入应用发布，将应用资源纳入云堡垒机进行集中管理。 通过在一台支持远程桌面的Windows系统或者Linux操作系统服务器上，部署客户端软件和浏览器，应用发布是将服务器和应用帐户纳入云堡垒机管理的功能。 用户获取应用发布访问权限后，通过应用帐户的密码自动代填，访问客户端应用和Web应用，并以视频方式全程记录用户运维操作，实现对远程应用帐户的安全管理和用户远程访问应用的操作审计。 云堡垒机支持添加Chrome、Edge、Firefox、SecBrowser、Oracle Tool 、MySQL、SQL Server Tool、dbisql、VNC Client、VSphere Client、Radmin等应用。 约束限制 添加的主机和应用资源数量总和不能超过资产数。 支持对Windows Server2008 R2及以上的Windows系统版本的应用进行管理。 支持对Centos7.9系统的Linux服务器的应用进行管理。 Linux服务器仅支持调用Firefox浏览器应用和达梦管理工具V8。 Linux服务器和堡垒机之间需要开通的端口号：2376和35000~40000，且端口号不可修改。 Linux服务器的密码请联系技术支持获取。 添加应用发布前，需已添加应用服务器。 Edge浏览器应用不支持配置自动登录帐户。 前提条件 已另行购买Windows类型主机或者Linux服务器、镜像、企业授权码、客户端License等资源，用于部署应用发布服务器。 已成功安装应用服务器，详细操作指导请参见： 安装应用发布服务器 。 已获取“应用服务器”和“应用发布”模块管理权限。

动态创建对象存储卷时指定挂载密钥 动态创建对象存储卷时，可通过如下方法指定挂载密钥。 步骤 1 新建一个pvc的yaml文件，如pvcexample.yaml。 apiVersion: v1 kind: PersistentVolumeClaim metadata: annotations: csi.storage.k8s.io/nodepublishsecretname: testuser csi.storage.k8s.io/nodepublishsecretnamespace: default everest.io/obsvolumetype: STANDARD csi.storage.k8s.io/fstype: obsfs name: obssecret namespace: default spec: accessModes: ReadWriteMany resources: requests: storage: 1Gi storageClassName: csiobs 参数 描述 csi.storage.k8s.io/nodepublishsecretname 指定secret的名字 csi.storage.k8s.io/nodepublishsecretnamespace 指定secret的命令空间 步骤 2 创建PVC。 kubectl create f pvcexample.yaml PVC创建后，就可以创建工作负载挂载PVC使用存储。 配置验证 根据上述步骤，使用IAM用户的密钥挂载对象存储卷。假设工作负载名称为obssecret，容器内挂载目录是/temp，IAM用户权限为CCE ReadOnlyAccess和Tenant Guest。 1. 查询工作负载实例名称。 kubectl get po grep obssecret 期望输出： obssecret5cd558f76fvxslv 1/1 Running 0 3m22s 2. 查询挂载目录下对象，查询正常。 kubectl exec obssecret5cd558f76fvxslv ls l /temp/ 3. 尝试在挂在目录内写入数据，写入失败。 kubectl exec obssecret5cd558f76fvxslv touch /temp/test 期望输出： touch: setting times of '/temp/test': No such file or directory command terminated with exit code 1 4. 在OBS控制台配置桶策略，给挂载桶的子用户设置读写权限。 5. 再次尝试在挂在目录内写入数据，写入成功。 kubectl exec obssecret5cd558f76fvxslv touch /temp/test 6. 查看容器内挂载目录，验证数据写入成功。 kubectl exec obssecret5cd558f76fvxslv ls l /temp/ 期望输出： rwxrwxrwx 1 root root 0 Jun 7 01:52 test

本文为您介绍如何Serverless集群中运行Job任务。 背景信息 在Serverless集群中，您可以按需按量创建Pod。当Pod结束后停止收费，无需为Job任务预留计算资源，从而摆脱集群计算力不足和扩容的烦扰，同时结合抢占式实例可以降低Job任务的计算成本。本文主要为您介绍如何通过SCE按需创建Job任务，来对圆周率Pi进行小数位的计算。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群 。 确保kubectl工具已经连接目标集群。 操作步骤 登录控制台创建Job 1. 登录云容器引擎控制台。 2. 在控制台的左侧导航栏中点击“集群”。 3. 在集群列表页面中，单击目标集群的名称进入集群详情界面。 4. 在集群管理页面的左侧导航栏中，选择“工作负载” ，然后单击“任务”。 5. 点击创建任务。 6. 点击创建工作负载后，可在Job列表查看Job。 使用命令行创建Job 1. 创建job.yaml文件，内容如下： shell apiVersion: batch/v1 kind: Job metadata: name: pi spec: template: spec: containers: name: pi image: user1registryhuadong1.crsinternal.ctyun.cn/library/perl command: ["perl", "Mbignumbpi", "wle", "print bpi(10)"] restartPolicy: Never backoffLimit: 4 2. 执行命令创建该任务。 plaintext kubectl apply f job.yaml 3. 查看Job与Pod的运行状态，可以看到已经运算成功。 shell kubectl get job pi NAME COMPLETIONS DURATION AGE pi 1/1 2m23s 9m21s kubectl get pod NAME READY STATUS RESTARTS AGE pib89fv 0/1 Completed 0 9m37s 4. 查看运算结果。 登录到弹性容器实例的控制台，进入到上面Pod对应的ECI实例中，查看日志，可以看到对圆周率的小数点后9位的运算结果。

为帮助您更好地管理Kubernetes集群内的节点，云容器引擎CCE引入节点池概念。节点池是集群中具有相同配置的一组节点，一个节点池包含一个节点或多个节点。 您可以在CCE控制台中创建新的自定义节点池，借助节点池基本功能方便快捷地创建、管理和销毁节点，而不会影响整个集群。新节点池中所有节点的参数和类型都彼此相同，您无法在节点池中配置单个节点，任何配置更改都会影响节点池中的所有节点。 在云容器引擎中，创建集群时配置的节点参数和类型将成为默认节点池“DefaultPool”，该节点池不可编辑、删除或迁移，也不支持扩容、弹性伸缩。 通过节点池功能您还可以实现节点的动态扩缩容： 当集群中出现因资源不足而无法调度的实例（Pod）时，自动触发扩容，为您减少人力成本。 当满足节点空闲等缩容条件时，自动触发缩容，为您节约资源成本。 本章节介绍节点池在云容器引擎（CCE）中的工作原理，以及如何创建和管理节点池。 节点池架构 通常情况下，节点池内的节点均具有如下相同属性： 节点操作系统。 节点Kubernetes组件启动参数。 节点自定义启动脚本。 节点“K8S标签”及“Taints”设置。 此外，CCE将同时围绕节点池扩展以下属性： 节点池级别操作系统。 节点池级别每节点的Pod数上限。 应用场景 当业务需要使用大规模集群时，推荐您使用节点池进行节点管理，以提高大规模集群易用性。 下表介绍了多种大规模集群管理场景，并分别展示节点池在每种场景下发挥的作用： 场景 作用 集群存在较多异构节点（机型配置不同） 通过节点池可规范节点分组管理。 集群需要频繁扩缩容节点 通过节点池可降低操作成本。 集群内应用程序调度规则复杂 通过节点池标签可快速指定业务调度规则。 集群内节点日常维护 通过节点池可便捷操作Kubernetes版本升级、Docker版本升级。 功能点及注意事项 功能点 功能说明 注意事项 创建节点池 新增节点池， 暂不支持包年包月类型。 单个集群不建议超过100个节点池。 删除节点池 删除节点池时会先删除节点池中的节点，原有节点上的工作负载实例会自动迁移至其他节点池的可用节点。 如果工作负载实例具有特定的节点选择器，且如果集群中的其他节点均不符合标准，则工作负载实例可能仍处于无法安排的状态。 节点池开启弹性伸缩 开启弹性伸缩后，节点池将根据集群负载情况自动创建或删除节点池内的节点。 节点池中的节点建议不要放置重要数据，以防止节点被弹性缩容，数据无法恢复。 节点池关闭弹性伸缩 关闭弹性伸缩后，节点池内节点数量不随集群负载情况自动调整。 / 调整节点池大小 支持直接调整节点池内节点个数。若减小节点数量，将从现有节点池内随机缩容节点。 开启弹性伸缩后，不建议手动调整节点池大小。 调整节点池配置 可修改节点池名称、节点个数、K8S标签、Taints及资源标签。 修改K8S标签和Taints会对节点池内节点全部生效，可能会引起Pod重新调度，请谨慎变更。 添加已有节点 可添加不属于集群的节点到节点池。要求如下： 待添加节点需与CCE集群在同一虚拟私有云和子网内。 实例未被其他集群使用且实例与节点池配置相同（机型、计费模式等）。 无特殊情况时，不建议添加已有节点，推荐直接新建节点池。 移出节点池内节点 可以将同一个集群下某个节点池中的节点迁移到默认节点池（defaultpool）中 暂不支持将默认节点池（defaultpool）中的节点迁移到其他节点池中，也不支持将自定义节点池中的节点迁移到其他自定义节点池。 拷贝节点池 可以方便的拷贝现有节点池的配置，从而创建新的节点池。 配置kubernetes参数 通过该功能您可以对核心组件进行深度配置。 本功能仅支持在v1.15及以上版本的集群中对节点池进行配置，V1.15以下版本不显示该功能。 默认节点池DefaultPool不支持修改该类配置。 将工作负载部署到特定节点池 在定义工作负载时，您可以间接的控制将其部署在哪个节点池上。 例如，您可以通过CCE控制台中工作负载页面的“调度策略”设置工作负载与节点的亲和性，强制将该工作负载部署到特定节点池上，从而实现该工作负载仅在该节点池中的节点上运行的目的。如果您需要更好地控制工作负载实例的调度位置，您可以使用调度策略概述章节中关于工作负载与节点的亲和或反亲和策略相关说明。 您也可以为容器指定资源请求，工作负载将仅在满足资源请求的节点上运行。 例如，如果工作负载定义了需要包含四个CPU的容器，则工作负载将不会选择在具有两个CPU的节点上运行。

平台通过多种加速策略实现MFU提升和线性加速比提升。 MFU提升 在平台上使用1152卡对Llama3.1405B进行预训练和微调，通过数据加速、镜像加速、3D并行等加速策略，实现MFU的提升： MFU 芯片算力（%）：达到44.185 MFU CUBE算力（%）：达到47.064 环境配置 服务器型号 Atlas 800T A2 NPU型号 910B2（64GB） 驱动版本 23.0.3 CANN 8.0.RC2 Python 3.10.14 MindSpore 2.3.1 Mindformers dev分支（5bfebf+diff.patch） 训练配置 Epochs 100 Learning Rate 6.e5 Global Batch Size 2048 Batch Size 1 Micro Batch Size 256 Sequence Length 4096 Data Parallel (DP) 8 Model Parallel (MP) 8 Pipeline Parallel (PP) 18 maxdevicememory 54GB jitlevel O2 训练结果 吞吐量（tokens/s/p） 61.962 MFU 芯片算力（%） 44.185 MFU CUBE算力（%） 47.064 线性加速比提升 在平台测试模型训练规模的性能线性比，分别测试1k，2k，4k，6k，9k规模并作对比如下（以千卡规模为基准）： 训练规模（卡数） 吞吐量（tokens/s/p） MFU（芯片/CUBE）（%） 线性比（%） 1024 407.701 47.847 / 50.965 100 2048 403.415 47.344 / 50.429 98.95 4096 400.734 47.030 / 50.094 98.29 6144 393.577 46.190 / 49.200 96.54 9216 366.915 43.061/ 45.867 90.00

基础概念 概念解释 存储空间 Bucket 用于存储对象（Object）的容器，所有的对象都必须隶属于某个存储空间。 对象/文件 Object 存储数据的基本单元。一个对象实际是一个文件的数据与其相关属性信息的集合体。 存储区域 Region 天翼云媒体存储的分布地区，数据存放在这些区域的存储桶中。 访问域名 EndPoint 对象被存放到存储桶中，用户可通过访问域名访问和下载对象。

本文介绍分布式容器云平台的产品优势。 统一集群纳管 集中管理天翼云、三方云和IDC机房的 Kubernetes 集群，提供一致的运维体验。 统一资源调度 提供多环境统一调度能力，基于CPU、内存、流量等多种弹性调度策略，赋能业务海量算力。 统一数据容灾 支持跨地域跨集群容灾，故障自动迁移，结合多活应用架构，全面提升企业业务连续性。 统一流量治理 东西/南北流量全域统一治理，支持流量切分、灰度发布、故障切换等丰富的治理场景。 统一应用交付 全域应用、任务与资源分发，解决业务分布和数据管控诉求。

本节介绍如何对上传的文件进行IaC扫描。 前提条件 已上传需要检测的K8S manifests、dockerfile、Configmap文件。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“IaC安全 > IaC检查”，进入IaC检查页面。 3. 选择检查的文件类型。 4. 单击检查列表操作列的“扫描”按钮或者列表右上角的“开始扫描”，可对已上传的文件进行检测。 5. 扫描后，到“任务中心 > 扫描任务队列 > IaC安全扫描队列”中查看扫描状态及生成扫描结果。

本文介绍如何对集群节点进行扫描。 扫描节点 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“节点安全”，进入节点安全页面。 3. 单击节点列表右上方的“开始扫描”，可选择扫描全部节点或者仅扫描列表中勾选的节点。 4. 单击“确定”，立即开始扫描，扫描状态变为“扫描中”。 重新扫描 扫描完成后，可以单击操作列的“重新扫描”，重新对节点进行扫描。

参数 描述 管理员账户名 管理员账户名默认为rwuser。 管理员密码 用户设置的密码。 长度为8～32个字符。 必须是大写字母、小写字母、数字、特殊字符的组合，其中可输入~!@%^+?特殊字符。 系统会进行弱密码校验，安全起见，请输入高强度密码。 请妥善管理您的密码，因为系统将无法获取您的密码信息。 确认密码 必须和管理员密码一致。 参数模板 数据库参数模板就像是数据库接口配置值的容器，参数模板中的参数可应用于一个或多个相同类型的数据库实例。 实例创建成功后，您可以根据业务需要调整参数，具体操作请参见 企业项目 该参数针对企业用户使用。 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理，默认项目为default。 请在下拉框中选择所在的企业项目。 SSL安全连接 SSL证书是一种遵守SSL协议的服务器数字证书，能在客户端和服务器端之间建立加密通道，保证数据在传输过程中不被窃取或篡改。 您可以启用SSL安全连接，提高数据安全性，实例创建成功后，通过SSL的方式连接实例。 开启SSL安全连接之后，支持选择默认证书和通过CCM服务签发的证书。 默认证书由系统自动提供，无需设置，待实例创建成功后，您可以参见

本节主要介绍相关术语解释 指标 指标是对资源性能的数据描述或状态描述，指标由命名空间、维度、指标名称和单位组成。 其中，命名空间特指指标的命名空间，可将其理解为存放指标的容器，不同命名空间中的指标彼此独立，因此来自不同应用程序的指标不会被错误地聚合到相同的统计信息中。维度是指标的分类，每个指标都包含用于描述该指标的特定特征，可以将维度理解为这些特征的类别。下图以集群指标为例，介绍了命名空间、维度和指标的关系。 主机 AOM的每一台主机对应一台虚拟机或物理机。主机可以是您自己的虚拟机或物理机，也可以是您通过天翼云购买的虚拟机或物理机，只要主机的操作系统满足AOM支持的操作系统（AOM支持的操作系统详见操作系统使用限制）且主机已安装ICAgent，即可将主机接入到AOM中进行监控。 ICAgent ICAgent是AOM的采集器，运行在每台主机上用于实时采集指标、日志和应用性能数据。安装ICAgent是使用AOM的前提，否则将无法正常使用AOM。 告警 告警是指AOM自身或ECS、ServiceStage、CCE等外部服务在异常情况或在可能导致异常情况下上报的信息，告警会引起业务异常，您需要对告警进行处理。 告警清除方式包括自动清除和手动清除两种。 自动清除：产生告警的故障消除后，AOM会自动清除告警，您不需要做任何操作，例如：阈值告警。 手动清除：产生告警的故障消除后，AOM不会自动清除告警，您需要手动清除告警，例如：ICAgent安装失败告警。

本节介绍天翼云息壤一体化智算服务平台的应用场景。 天翼云息壤一体化智算平台，根据不同场景化，提供产品组合解决方案。 调度运营分散算力管理 场景1：拥有分散的多种算力，需要建设统一纳管调度平台，高效利用资源。 场景2：拥有多余算力，希望纳入算力联盟，进行统一管理与运营，实现资源变现。 解决方案：息壤·算力互联调度平台+定制化开发+业务运营。 深度自研自建智算资源池 场景1：开发能力强，自己有训推平台，仅做智算设备纳管及资源调度。 解决方案：息壤·一体化计算加速平台，实现GPU与NPU服务器的管理与容器化，提供众多运维管理功能。 场景2：在纳管智算设备基础上还需要PAAS能力跑训推任务。 解决方案1：息壤·一体化计算加速平台+息壤·一站式智算服务平台。 解决方案2：息壤·一站式智算服务平台（轻量化）。 提供全链路智算平台，实现大模型训练与推理任务的全程管控。 敏捷开发弹性租用资源 场景：根据使用需求调用算力资源和训推平台能力。 解决方案1：息壤·一体化计算加速平台，基于云公有云资源池，按需租用所需的计算、存储等资源。 解决方案2：息壤·一体化智算服务平台，基于公有云资源，使用平台运行训练和推理任务。 解决方案3：息壤·算力互联调度平台（+息壤·一体化智算服务平台） 接入算力联盟，按需调用供应方资源。

本节介绍天翼云息壤一体化智算服务平台的应用场景。 天翼云息壤一体化智算平台，根据不同场景化，提供产品组合解决方案。 调度运营分散算力管理 场景1：拥有分散的多种算力，需要建设统一纳管调度平台，高效利用资源。 场景2：拥有多余算力，希望纳入算力联盟，进行统一管理与运营，实现资源变现。 解决方案：息壤·算力互联调度平台+定制化开发+业务运营。 深度自研自建智算资源池 场景1：开发能力强，自己有训推平台，仅做智算设备纳管及资源调度。 解决方案：息壤·一体化计算加速平台，实现GPU与NPU服务器的管理与容器化，提供众多运维管理功能。 场景2：在纳管智算设备基础上还需要PAAS能力跑训推任务。 解决方案1：息壤·一体化计算加速平台+息壤·一站式智算服务平台。 解决方案2：息壤·一站式智算服务平台（轻量化）。 提供全链路智算平台，实现大模型训练与推理任务的全程管控。 敏捷开发弹性租用资源 场景：根据使用需求调用算力资源和训推平台能力。 解决方案1：息壤·一体化计算加速平台，基于云公有云资源池，按需租用所需的计算、存储等资源。 解决方案2：息壤·一体化智算服务平台，基于公有云资源，使用平台运行训练和推理任务。 解决方案3：息壤·算力互联调度平台（+息壤·一体化智算服务平台） 接入算力联盟，按需调用供应方资源。

此小节介绍企业主机安全创建安全报告。 若已有模板的报告类型和报告内容无法满足您对安全报告的订阅需求，您可通过该章节创建需要生成报告的周期和内容。 约束限制 未开启企业版、旗舰版、网页防篡改版、容器版防护不支持安全报告相关操作。 操作步骤 1、登录管理控制台。 2、在页面左上角单击选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、左侧选择“安全报告”进入安全报告概览页面。服务预设了按月（default monthly security report）和按周（default weekly security report）统计的两个安全报告模板，可直接使用。 5、创建新报告 按模板创建按月或按周的安全报告 单击按月或按周模板报告中的“复制”（按需选择即可），进入报告基本信息配置页面。 自定义创建其他周期的安全报告 单击页面中的“创建新报告”，进入报告基本信息配置页面。 自定义创建报告 6、对报告基本信息进行配置，参数说明如表所示。 编辑报告基本信息 报告基本信息参数说明 参数名称 参数说明 取值样例 报告名称 默认的报告名称。 ecs security report 报告类型 报告的统计周期类型名称。 安全日报（统计周期为每天00：0024：00） 安全周报（统计周期为周一00：00周日24：00） 安全月报（统计周期为每月1号00：00月度最后一天24：00） 自定义报告（自定义统计周期，周期范围应介于1天（包含）至3个月（包含）之间。 所有类型报告将在生成后的次日自动发送至您设置的报告接收人。 安全月报 报告发送时间 报告自动发送时间。 报告接收方式 生成的安全报告接收方式。 消息中心：使用消息中心和其它安全服务共同使用“安全事件通知”的信息接收人。需登录控制台，在右上角信箱查看。 消息主题：为HSS单独创建的主题，设置告警通知接收人。可选择短信或邮件接收通知。 无需发送到邮箱：不发送报告至邮箱。 消息中心 7、确认信息无误，单击页面右下角“下一步”，配置报告内容。 8、在左侧勾选需要生成的报告项，右侧可预览，确认无误，单击右下角“保存”，开启安全报告的订阅。

负载均衡器如何根据不同的协议来分发流量？ ELB采用“FullNAT”模式转发。如下图所示，四层协议转发经过LVS，七层转发协议，经过LVS后再到NGINX。 说明 “FullNAT”是转发模式，是指LVS会转换客户端的源IP和目的IP。 如何跨VPC访问负载均衡器？ 通过VPC对等连接，可以实现跨VPC访问ELB。例如：客户在VPC01中创建了ELB01，位于VPC02的客户端需要去访问ELB01。这时需要为VPC01和VPC02建立对等连接，并添加对等连接路由。 容器应用如何配置负载均衡？ 容器支持配置负载均衡，有两种配置方式。 通过控制台操作。 通过kubectl命令行创建。 使用负载均衡器必须配置弹性公网带宽吗？ 如果您使用的是私网负载均衡，则不需要配置弹性公网带宽；如果您使用的是公网负载均衡，则需要为负载均衡绑定的弹性公网IP配置公网带宽。 一个负载均衡器可以绑定多个EIP吗？ 不可以。 如果您使用的是公网负载均衡器，则需要给负载均衡器绑定一个EIP，用来接收来自Internet公网的访问请求。 如果您使用的是私网负载均衡器，则需要给负载均衡器分配一个私网IP，仅能用来接收来自同一个VPC内的访问请求。如果需要接收来自不同VPC内的访问请求，则需要在ELB所在的VPC和其他VPC之间建立对等连接，打通VPC。

配置流水线 流水线集成代码检查、编译构建、部署等任务，可根据需要灵活配置流水线中的任务。流水线为非必须操作，根据需要配置即可。 代码检查服务可以对代码进行静态检查和安全检查，代码检查为可选操作，根据需要配置即可。 编译构建服务将软件的源代码编译成目标文件，并把配置文件和资源文件等打包。构建为可选操作，对于一些项目，例如PHP、Node.js前端代码，无需配置构建任务。 部署服务将软件包或代码部署到虚拟机或者容器。部署为可选操作，对于一些项目，例如手机APP开发，无需此类部署方式。 步骤 1 创建代码检查任务。 1. 进入已创建的项目，单击导航栏“代码 > 代码检查”。 2. 单击“新建任务”，在页面中选择需要检查的代码仓库，单击仓库名称后的“新建任务”。 3. 任务创建成功后，进入“概览”页面，单击“开始检查”启动任务。 4. 待任务执行成功后，可以查看检查结果、问题列表、修改建议等。 代码检查服务更多操作请参考《代码检查用户指南》。 步骤 2 创建构建任务。 1. 进入已创建的项目，单击导航栏“持续交付 > 编译构建” 2. 单击“新建任务”，根据需要配置任务信息。 基本信息：配置以下信息，单击“下一步”。 表：构建任务基本信息 配置项 配置建议 任务名称 输入自定义名称。 源码源 选择“Repo”。 源码仓库 选择在配置代码仓库中创建的代码仓库。 分支 根据需要选择仓库分支。 构建模板：可选择内置模板，也可以选择“空白构建模板”，单击“下一步”。 3. 根据需要配置构建步骤、参数、执行计划，单击“新建并执行”。 4. 待任务执行完成后，可以在页面中查看构建结果与构建日志。 编译构建服务更多操作指导请参考《编译构建用户指南》。 步骤 3 创建部署应用。 1. 进入已创建的项目，在页面导航栏选择“设置 > 通用设置 > 基础资源管理”，新建主机集群，并将前提条件中准备的主机加入集群。 2. 进入已创建的项目，在页面导航栏选择“持续交付 > 部署”。 3. 单击“新建应用”，根据需要配置应用信息。 基本信息：输入自定义应用名称，单击“下一步”。 选择部署模板：可选择内置模板，也可以选择“空白模板”，单击“确定”。 4. 根据需要配置部署步骤、参数、环境等信息，单击“保存并部署”。 5. 待应用部署成功后，可以在页面中查看部署结果、部署日志、报错信息等。 部署服务更多操作指导请参考《部署用户指南》。 步骤 4 配置流水线。 1. 进入已创建的项目，单击导航栏“持续交付 > 流水线”。 2. 选择“流水线”页签，单击“新建流水线”，根据实际情况配置流水线信息。 基本信息：配置以下信息，单击“下一步”。 表：流水线基本信息 配置项 配置建议 流水线源 选择“Repo”。 代码库名称 选择在配置代码仓库中创建的代码仓库。 默认分支 根据需要选择仓库分支。 模板：可选择内置模板，也可以选择“空白模板”，单击“确定”。 3. 根据需要配置任务编排、参数、执行计划，单击“保存并运行”。 4. 待任务执行成功后，可单击各任务查看其执行详情。 流水线服务更多操作指导请参考《流水线用户指南》。

配置流水线 流水线集成代码检查、编译构建、部署等任务，可根据需要灵活配置流水线中的任务。流水线为非必须操作，根据需要配置即可。 代码检查服务可以对代码进行静态检查和安全检查，代码检查为可选操作，根据需要配置即可。 编译构建服务将软件的源代码编译成目标文件，并把配置文件和资源文件等打包。构建为可选操作，对于一些项目，例如PHP、Node.js前端代码，无需配置构建任务。 部署服务将软件包或代码部署到虚拟机或者容器。部署为可选操作，对于一些项目，例如手机APP开发，无需此类部署方式。 步骤 1 创建代码检查任务。 1. 进入已创建的项目，单击导航栏“代码 > 代码检查”。 2. 单击“新建任务”，在页面中选择需要检查的代码仓库，单击仓库名称后的“新建任务”。 3. 任务创建成功后，进入“概览”页面，单击“开始检查”启动任务。 4. 待任务执行成功后，可以查看检查结果、问题列表、修改建议等。 代码检查服务更多操作请参考《代码检查用户指南》。 步骤 2 创建构建任务。 1. 进入已创建的项目，单击导航栏“持续交付 > 编译构建” 2. 单击“新建任务”，根据需要配置任务信息。 基本信息：配置以下信息，单击“下一步”。 表：构建任务基本信息 配置项 配置建议 任务名称 输入自定义名称。 源码源 选择“Repo”。 源码仓库 选择在配置代码仓库中创建的代码仓库。 分支 根据需要选择仓库分支。 构建模板：可选择内置模板，也可以选择“空白构建模板”，单击“下一步”。 3. 根据需要配置构建步骤、参数、执行计划，单击“新建并执行”。 4. 待任务执行完成后，可以在页面中查看构建结果与构建日志。 编译构建服务更多操作指导请参考《编译构建用户指南》。 步骤 3 创建部署应用。 1. 进入已创建的项目，在页面导航栏选择“设置 > 通用设置 > 基础资源管理”，新建主机集群，并将前提条件中准备的主机加入集群。 2. 进入已创建的项目，在页面导航栏选择“持续交付 > 部署”。 3. 单击“新建应用”，根据需要配置应用信息。 基本信息：输入自定义应用名称，单击“下一步”。 选择部署模板：可选择内置模板，也可以选择“空白模板”，单击“确定”。 4. 根据需要配置部署步骤、参数、环境等信息，单击“保存并部署”。 5. 待应用部署成功后，可以在页面中查看部署结果、部署日志、报错信息等。 部署服务更多操作指导请参考《部署用户指南》。 步骤 4 配置流水线。 1. 进入已创建的项目，单击导航栏“持续交付 > 流水线”。 2. 选择“流水线”页签，单击“新建流水线”，根据实际情况配置流水线信息。 基本信息：配置以下信息，单击“下一步”。 表：流水线基本信息 配置项 配置建议 流水线源 选择“Repo”。 代码库名称 选择在配置代码仓库中创建的代码仓库。 默认分支 根据需要选择仓库分支。 模板：可选择内置模板，也可以选择“空白模板”，单击“确定”。 3. 根据需要配置任务编排、参数、执行计划，单击“保存并运行”。 4. 待任务执行成功后，可单击各任务查看其执行详情。 流水线服务更多操作指导请参考《流水线用户指南》。