本节介绍了个人版镜像仓库导入的用户指南。 概述 容器镜像服务提供个人版和企业版镜像服务。企业版镜像服务在个人版镜像服务的基础上提供了更加完善、安全和高效的镜像托管和分发服务。对于已使用个人版镜像服务的用户可以参照本章节迁移至企业版服务。 前置条件 已开通并使用容器镜像服务个人版实例 已开通容器镜像服务企业版实例 创建镜像导入规则 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击实例管理镜像导入 ，并点击页面中的创建导入规则按钮。 4. 根据下表填写导入规则名称、规则描述、导入内容、源命名空间、源资源池、目标命名空间并点击确定。 参数 说明 名称 规则名称 描述 规则描述 导入内容 镜像｜chart｜全部 源命名空间 源实例命名空间 资源池 源实例资源池 Tag 导入镜像tag匹配规则 使用示例如下： 匹配全部: 匹配多个版本: {v1,v2,v3} 匹配前缀: v1 保留最近推送N个 保留最近推送N个镜像 目的命名空间 目的实例命名空间

本文主要介绍容器镜像迁移。 应用现状 随着容器化技术的发展，越来越多的企业使用容器代替了虚拟机完成应用的运行部署。目前许多企业选择自建Kubernetes集群，但是自建集群往往有着沉重的运维负担，需要运维人员自己配置管理系统和监控解决方案。企业自运维大批镜像资源，意味着要付出高昂的运维、人力、管理成本，且效率不高。 容器镜像服务支持Linux等多架构容器镜像托管。企业可以将镜像仓库迁移到容器镜像服务，节省运维成本。 如何把已有的镜像仓库平滑地迁移到容器镜像服务？这里将介绍2种常见的方案，用户可以根据自己的实际使用场景来选择。 迁移方案 随着 方案类型 适用场景 注意事项 使用docker命令迁移镜像至SWR 待迁移的镜像数量较少 依赖磁盘存储，需要及时进行本地镜像的清理，而且落盘形成多余的时间开销，难以胜任生产场景中大量镜像的迁移。 依赖docker 程序，docker daemon 对 pull/push 的并发数进行了严格的限制，没法进行高并发同步 一些功能只能经过HTTP api 进行操作，单纯使用 docker cli 没法做到，使脚本变得复杂 使用imagesyncer迁移镜像至SWR 待迁移的镜像数量庞大 支持多对多镜像仓库同步 支持基于Docker Registry V2 搭建的 docker 镜像仓库服务 (如 Docker Hub、 Quay、 Harbor等) 同步只通过内存和网络，不依赖磁盘存储，同步速度快 增量同步, 经过对同步过的镜像 blob 信息落盘，不重复同步已同步的镜像 并发同步，能够经过配置文件调整并发数Ÿ 自动重试失败的同步任务，能够解决大部分镜像同步中的网络抖动问题 不依赖docker 以及其余程序

检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

本节介绍了容器镜像服务的开通企业版实例。 前提条件 用户已经注册天翼云账号。 开通企业版实例 1、登录容器镜像服务控制台 。 2、点击订购容器镜像服务( 企业版) 。 3、在开通页面填写实例名称，配置内网访问、选择或者创建对象存桶，填写用户名和密码（用以登录进行推送和拉取镜像）。 4、填写完成且页面没有提示错误后，点击立即订购进行开通。

专属云中的云容器引擎 场景特点：专属云容器引擎在天翼公有云中为企业用户提供物理隔离的资源和服务专属云空间。租户独占计算资源和存储资源，并使用天翼云高可靠的云网络，满足租户应用系统的高可靠、高性能和高安全等要求，支撑企业关键应用，减轻企业运维负担 场景优势： 专属隔离 租户在专属云中独享计算资源、存储资源和容器集群，与公有云其它租户的资源物理隔离，满足特殊行业核心数据隔离合规等要求 安全可靠 资源独占零抖动，服务专享高安全，可支持云上云下双中心、多点容灾备份 灵活组合 专属云中的云容器引擎支持与数据库、应用平台等服务实例对接，可灵活搭配公有云服务，实现资源弹性扩容

本节主要介绍CCE集群的网络地址段规划实践。 在CCE中创建集群时，您需要根据具体的业务需求规划VPC的数量、子网的数量、容器网段划分和服务网段连通方式。 本文将介绍VPC环境下CCE集群里各种地址的作用，以及地址段该如何规划。 约束与限制 通过搭建VPN方式访问CCE集群，需要注意VPN网络和集群所在的VPC网段、容器使用网段不能冲突。 集群各网段基本概念 VPC网段/子网网段 虚拟私有云（Virtual Private Cloud，简称VPC）是您在天翼云上申请的为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境。您可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性公网IP搭建业务系统。 子网是用来管理弹性云服务器网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云服务器IP地址都属于该子网。 默认情况下，同一个VPC的所有子网内的弹性云服务器均可以进行通信，不同VPC的弹性云服务器不能进行通信。不同VPC的弹性云服务器可通过创建对等连接通信。 在CCE中创建集群时，需要选择VPC和子网，集群的控制节点（k8s控制面）将在所选择的子网中创建。 容器网段（pod网段） Pod是Kubernetes内的概念，每个Pod具有一个IP地址。 在CCE中创建集群时，可以指定Pod的地址段（即容器网段），容器网段不能和子网网段重叠。例如子网网段用的是 192.168.0.0/16，集群的容器网段就不能使用192.168.0.0/18，192.168.1.0/18等，因为这些地址都涵盖在 192.168.0.0/16 里了。

本节主要介绍相关术语解释。 使用云容器引擎服务，会涉及到以下基本概念： 集群： 是指容器运行所需云资源的集合，包含了若干台云主机、负载均衡器等云资源。 实例（Pod）： 由相关的一个或多个容器构成一个实例，这些容器共享相同的存储和网络空间。 工作负载： Kubernetes资源对象，用于管理Pod副本的创建、调度以及整个生命周期的自动控制。 Service： 由多个相同配置的实例（Pod）和访问这些实例（Pod）的规则组成的微服务。 Ingress： Ingress是用于将外部HTTP（S）流量路由到服务（Service）的规则集合。 Helm应用 ：Helm是管理Kubernetes应用程序的打包工具，提供了Helm Chart在指定集群内图形化的增删改查。 镜像仓库 ：用于存放Docker镜像，Docker镜像用于部署容器服务。 您在使用前可以了解更多Kubernetes相关知识，具体请参见：<

本节介绍了容器镜像服务的续订说明。 到期前续费 手动续订：对于包年/包月订购的容器镜像服务，用户在资源到期前进行续费操作，可以延长原有资源到期时间，避免资源到期后冻结或超过保留期后被系统回收。详细操作请参考：费用中心续订管理手动续订 自动续订：自动续订仅针对采用包月、包年计费模式的资源。详细操作请参考：费用中心续订管理自动续订 到期处理 到期后，容器镜像服务进入保留期，您将不能正常访问及使用天翼云容器镜像服务企业版，但对于您存储在镜像服务中的数据予以保留。 若您在到期后15天内续费，自资源续订解冻开始，计算新的服务有效期，按照新的服务有效期计算费用。 若到期15天后您仍未续费，镜像服务中的数据将被删除(用户对象存储桶中的数据不会删除)。 充值 为防止相关资源不被停止或者释放，请及时进行充值，为避免帐号将进入欠费状态，需要在约定时间内支付欠款。

本文介绍如何创建服务来源。 概述 支持添加云容器引擎和注册配置中心作为服务来源，通过服务发现模块监听服务来源，动态感知后端服务。 创建云容器引擎服务来源 1. 打开AI网关控制台实例页面，在顶部菜单栏选择目标实例所在地域，并单击目标实例ID。 2. 在左侧导航栏，单击服务，然后单击服务来源。 3. 单击创建来源，在创建来源面板中，配置以下参数： ● 来源类型：选择容器服务，通过K8s Server发现后端服务。 ● 容器集群：选择后端服务所在的集群。 注意：只能添加同VPC内的容器集群，不支持跨VPC的服务来源。 创建注册配置中心服务来源 1. 打开AI网关控制台实例页面，在顶部菜单栏选择目标实例所在地域，并单击目标实例ID。 2. 在左侧导航栏，单击服务，然后单击服务来源。 3. 单击创建来源，在创建来源面板中，配置以下参数： ● 来源类型：选择MSE Nacos，通过 MSE Nacos 注册中心发现后端服务。 ● 集群名称：选择后端服务所在的MSE Nacos集群。 注意：只能添加同VPC内的MSE Nacos集群，不支持跨VPC的服务来源。 ● 拉取间隔：网关节点定时从来源实例同步服务注册信息的间隔，取值范围为15s~60s。 删除服务来源 1. 打开AI网关控制台实例页面，在顶部菜单栏选择目标实例所在地域，并单击目标实例ID。 2. 在左侧导航栏，单击服务，随后单击服务来源。 3. 单击需要变更的服务来源对应的删除。 4. 在删除服务面板，单击确定，完成删除服务来源。

本节介绍了容器镜像服务的开通企业版实例。 前提条件 用户已经注册天翼云账号。 开通企业版实例 1、登录容器镜像服务控制台 。 2、点击订购容器镜像服务( 企业版) 。 3、在开通页面填写实例名称，配置内网访问权限，选择或创建对象存储桶，并设置用于镜像推送和拉取的用户名及密码。 4、填写完成且页面没有提示错误后，点击立即订购进行开通。

本章主要介绍下载镜像 操作场景 您可以使用docker pull命令下载容器镜像服务中的镜像。 前提条件 在下载镜像前，请确保您的下载虚拟机网络畅通。 在下载镜像前，请联系管理员在控制台授权容器镜像服务下载权限。 “我的镜像”展示当前用户所有的自有镜像（该用户所在组织所拥有的镜像）和共享镜像（该组织下其他用户共享的私有镜像）。 IAM用户创建后，需要管理员在组织中为您添加授权，您才具有该组织内镜像的读取、编辑等权限。详情请参考授权管理。 下载“我的镜像” 步骤 1 以root用户登录容器引擎所在的虚拟机。 步骤 2 参考“客户端上传镜像”中的方法，获取登录访问权限，连接容器镜像服务。 步骤 3 登录容器镜像服务控制台。 步骤 4 在左侧导航栏选择“我的镜像”，单击右侧镜像名称。 步骤 5 在镜像详情页面中，单击对应镜像版本“下载指令”列的复制图标，复制镜像下载指令。 图 获取镜像下载指令 步骤 6 在虚拟机中执行步骤5复制的镜像下载指令。 示例： docker pull registry.cn jssz1.ctyun.cn /group/nginx:v2.0.0 使用docker images命令查看是否下载成功。

添加公网ELB访问 在云应用引擎部署应用后，默认无法从公网访问应用。为解决上述问题，您可以为应用绑定公网ELB，实现通过一个固定的公网IP访问应用，并实现应用实例间的负载均衡。 1. 在应用访问设置 区域中，选择基于 ELB 访问页签。 2. 单击添加公网ELB访问。 3. 为应用绑定公网ELB实例：您可以新建ELB实例或绑定已有ELB实例。 4. 参考以下说明，至少配置一个监听。如果您需要添加多条监听，请单击添加下一条监听 配置项 说明 示例值 HTTP协议 HTTP端口：提供公网访问应用的ELB端口，取值范围为[1,65535]。 容器端口：进程监听端口，由程序定义。 HTTP端口 ：80 容器端口 ：8080（Web服务的默认端口） HTTPS协议 HTTPS端口：提供公网访问应用的ELB端口，取值范围为[1,65535]。 SSL证书：SSL协议证书，在下拉列表中选择已创建的SSL证书。 容器端口：进程监听端口，由程序定义。 HTTPS端口 ：443 SSL证书：在下拉列表中选择已创建的SSL证书。 容器端口 ：8080（Web服务的默认端口） TCP协议 CLB端口：提供公网访问应用的ELB端口，取值范围为[1,65535]。 容器端口：进程监听端口，由程序定义。 ELB端口 ：21 容器端口 ：8080（Web服务的默认端口） UDP协议 CLB端口：提供公网访问应用的ELB端口，取值范围为[1,65535]。 容器端口：进程监听端口，由程序定义。 ELB端口 ：49152 容器端口 ：8080（Web服务的默认端口） 5. 完成配置后，单击确定。 6. 等待ELB绑定完成，在公网访问地址区域，可以查看应用的IP地址和端口。

本节介绍了容器镜像服务的产品规格。 容器镜像服务提供免费的个人版和收费的企业版，具体说明如下：

本节介绍了容器镜像服务的产品规格。 容器镜像服务提供免费的个人版和收费的企业版，具体说明如下：

云服务 产线分类 云服务名称 作用范围 系统策略名称 当前状态 历史系统策略描述 最新系统策略描述 计算 弹性伸缩服务 全局 as admin 正常使用 弹性伸缩全读写访问权限 计算 弹性伸缩服务 资源池 as viewer 正常使用 弹性伸缩服务只读访问权限 计算 弹性伸缩服务 全局 scaling admin 计划下线 弹性伸缩服务（AS）全读写访问权限 计算 弹性伸缩服务 全局 scaling admin 正常使用 弹性伸缩服务管理员权限 弹性伸缩服务（AS）全读写访问权限 计算 弹性伸缩服务 全局 scaling viewer 计划下线 viewer不可操作 弹性伸缩服务（AS）只读访问权限 计算 弹性伸缩服务 全局 scaling viewer 计划下线 弹性伸缩服务（AS）只读访问权限 计算 弹性伸缩服务 全局 scaling viewer 正常使用 弹性伸缩服务观察者权限 弹性伸缩服务（AS）只读访问权限 计算 弹性伸缩服务 全局 scalingproject 计划下线 计算 镜像服务 资源池 image admin 计划下线 计算 镜像服务 资源池 image viewer 计划下线 计算 镜像服务 资源池 ims admin 正常使用 镜像服务管理者权限 镜像服务（IMS）全读写访问权限 计算 镜像服务 资源池 ims viewer 正常使用 镜像服务观察者权限 镜像服务（IMS）只读访问权限 计算 镜像服务 资源池 shareImages Admin 正常使用 共享镜像服务使用者权限 共享镜像服务全读写访问权限 计算 物理机 资源池 dps admin 正常使用 物理机服务管理者权限 物理机服务（DPS）全读写访问权限 计算 物理机 资源池 dps viewer 正常使用 物理机服务观察者权限 物理机服务（DPS）只读访问权限 计算 云硬盘 全局 vbs viewer 正常使用 云硬盘备份观察者权限 云硬盘备份（VBS）只读访问权限 计算 云主机 全局 csbs admin 正常使用 云主机备份管理者权限 云主机备份（CSBS）全读写访问权限 计算 云主机 资源池 ecs admin 正常使用 云主机服务管理者权限 云主机服务（ECS）全读写访问权限 计算 云主机 资源池 ecs user 计划下线 云主机服务使用者权限 云主机服务使用者权限 计算 云主机 资源池 ecs viewer 正常使用 云主机服务观察者权限 云主机服务（ECS）只读访问权限 计算 云主机 资源池 ServersGroups Admin 正常使用 云主机组管理者权限 云主机组（ServersGroups）全读写访问权限 计算 云主机 资源池 ServersGroups Viewer 正常使用 云主机组观察者权限 云主机组（ServersGroups）只读访问权限 计算 云助手 资源池 cas admin 正常使用 云助手admin权限 云助手（CAS）全读写访问权限 计算 云助手 资源池 cas user 计划下线 云助手user权限 云助手user权限 计算 云助手 资源池 cas viewer 正常使用 云助手viewer权限 云助手（CAS）只读访问权限 人工智能 ai网关 全局 CtyunAssumeRoleForAgwAccessISuite 正常使用 ai网关访问智算套件接口策略 人工智能 慧聚平台 全局 huijuOutAdmin 正常使用 管理员 人工智能 慧聚平台 全局 huijuOutCommon 正常使用 人工智能 慧聚平台 全局 huijuOutOps 正常使用 人工智能 慧聚平台 全局 huijuOutSLAdmin 正常使用 二级管理员 二级管理员 人工智能 科研助手 全局 bc admin 正常使用 批量计算服务管理者权限（最高权限） 科研助手管理者权限（最高权限，具备科研助手所有功能的读写权限） 人工智能 科研助手 全局 bc user 正常使用 批量计算服务使用者权限（读写权限） 科研助手使用者权限（科研助手部分读写访问权限，包含主流功能模块的创建、使用、删除等读写功能，不包括权限的配置、核心策略规则等写入权限） 人工智能 科研助手 全局 bc viewer 正常使用 批量计算服务观察者权限（只读权限） 科研助手观察者权限（仅可访问受控范围内的只读权限，部分权限类功能无法访问。） 人工智能 云算网一体化 全局 CtyunAssumeRoleForYswPolicy 正常使用 用于云算网一体化调度平台服务内联委托的授权策略 用于云算网一体化调度平台服务内联委托的授权策略 人工智能 云骁智算 全局 cwai developer 计划下线 云骁智算平台算法工程师访问策略 云骁智算平台算法工程师访问策略 人工智能 云骁智算 全局 cwai maintainer 计划下线 云骁智算平台业务运维工程师访问策略 云骁智算平台业务运维工程师访问策略 人工智能 云骁智算 全局 CWAI 云骁服务委托专用策略 计划下线 CWAI 云骁服务委托专用策略 CWAI 云骁服务委托专用策略 人工智能 智能体引擎 全局 CtyunAGEFullAccess 正常使用 本策略定义了使用智能体引擎的全部权限。 本策略定义了使用智能体引擎的全部权限。 人工智能 智能体引擎 全局 CtyunAGEReadOnlyAccess 正常使用 本策略定义了只读访问智能体引擎的权限。 本策略定义了只读访问智能体引擎的权限。 人工智能 智能体引擎 全局 CtyunAssumeRolePolicyForAGE 正常使用 用于CtyunAssumeRoleForAGE的服务委托授权策略 用于CtyunAssumeRoleForAGE的服务委托授权策略 存储 并行文件服务 资源池 并行文件查看者 正常使用 并行文件查看者 并行文件服务（HPFS）只读访问权限 存储 并行文件服务 资源池 并行文件管理者 正常使用 并行文件管理者 并行文件服务（HPFS）全读写访问权限 存储 存储容灾服务 全局 CtyunAssumeRolePolicyForADTS 正常使用 容灾多活管理员权限 容灾多活管理员权限 存储 存储容灾服务 资源池 snapshotpolicy Admin 正常使用 快照策略服务管理者权限 快照策略服务（snapshotpolicy）全读写访问权限 存储 存储容灾服务 全局 snapshotpolicy Viewer 正常使用 快照策略服务观察者权限 快照策略服务（snapshotpolicy）只读访问权限 存储 弹性文件 全局 sfsadmin 正常使用 弹性文件服务管理者权限 弹性文件服务（SFS Turbo）全读写访问权限 存储 弹性文件 全局 sfsviewer 正常使用 弹性文件服务观察者权限 弹性文件服务（SFS Turbo）只读访问权限 存储 弹性文件 全局 sfspermission admin 计划下线 弹性文件权限组/权限组规则（无企业项目属性） 弹性文件权限组/权限组规则（无企业项目属性） 存储 弹性文件 全局 sfspermission viewer 计划下线 弹性文件权限/权限组规则（无企业项目属性） 弹性文件权限/权限组规则（无企业项目属性） 存储 对象存储 全局 zos admin 正常使用 对象存储服务管理者权限 对象存储服务（ZOS）全读写访问权限 存储 对象存储 全局 zos viewer 正常使用 对象存储服务观察者权限 对象存储服务（ZOS）只读访问权限 存储 海量文件服务 资源池 海量文件服务OceanFS观察者权限（viewer） 正常使用 海量文件服务OceanFS只读权限 海量文件服务（OceanFS）只读访问权限 存储 海量文件服务 资源池 海量文件服务OceanFS管理者权限（admin） 正常使用 海量文件服务OceanFS全部权限 海量文件服务（OceanFS）全读写访问权限 存储 云备份 全局 CtyunCBRFullAccess 正常使用 云备份管理者（admin）权限 云备份（CBR）全读写访问权限 存储 云备份 全局 CtyunCBRReadOnlyAccess 正常使用 云备份查看者（viewer）权限 云备份（CBR）只读访问权限 存储 云容灾 全局 CtyunCDRFullAccess 正常使用 云容灾管理者权限 云容灾（CDR）服务全读写访问权限 存储 云容灾 全局 CtyunCDRReadOnlyAccess 正常使用 云容灾查看者权限 云容灾（CDR）只读访问权限 存储 云硬盘 资源池 evs admin 正常使用 云硬盘服务管理者权限 云硬盘服务（EVS）全读写访问权限 存储 云硬盘 资源池 evs viewer 正常使用 云硬盘服务观察者权限 云硬盘服务（EVS）只读访问权限 存储 云硬盘 全局 vbs admin 正常使用 云硬盘备份管理者权限 云硬盘备份（VBS）全读写访问权限 存储 云硬盘 全局 云硬盘备份观察者权限 计划下线 云硬盘备份观察者（viewer）权限 云硬盘备份观察者（viewer）权限 存储 云硬盘 全局 云硬盘备份管理者权限 计划下线 云硬盘备份管理者（admin）权限 云硬盘备份管理者（admin）权限 存储 云主机备份 全局 csbs viewer 正常使用 云主机备份观察者权限 云主机备份（CSBS）只读访问权限 网络 NAT网关 资源池 nat admin 正常使用 NAT网关管理者权限 NAT网关（NAT）全读写访问权限 网络 NAT网关 资源池 nat viewer 正常使用 NAT网关观察者权限 NAT网关（NAT）只读访问权限 网络 SDWAN 全局 sdwan admin 正常使用 SDWAN管理者权限 SDWAN全读写访问权限 网络 SDWAN 全局 sdwan viewer 正常使用 SDWAN观察者权限 SDWAN只读访问权限 网络 SDWAN 全局 SDWAN流日志admin 正常使用 SDWAN流日志管理员权限 SDWAN流日志全读写访问权限 网络 SDWAN 全局 SDWAN流日志viewer 正常使用 SDWAN流日志查看者权限 SDWAN流日志只读访问权限 网络 VPN 资源池 vpn admin 正常使用 VPN服务管理者权限 VPN服务全读写访问权限 网络 VPN 资源池 vpn viewer 正常使用 VPN服务观察者权限 VPN服务只读访问权限 网络 VPN 全局 添加VPN网关 正常使用 VPN网关添加权限 VPN网关添加权限 网络 弹性负载均衡 全局 alb admin 正常使用 alb 管理员权限 应用型负载均衡（ALB）全读写访问权限 网络 弹性负载均衡 全局 alb viewer 正常使用 alb 观察者权限 应用型负载均衡（ALB）只读访问权限 网络 弹性负载均衡 全局 elb admin 正常使用 弹性负载均衡（ELB）全读写访问权限 弹性负载均衡（ELB）全读写访问权限 网络 弹性负载均衡 全局 elb viewer 正常使用 负载均衡观察者权限 弹性负载均衡（ELB）只读访问权限 网络 弹性负载均衡 全局 gwlb admin 正常使用 gwlb 管理员权限 网关型负载均衡（GWLB）全读写访问权限 网络 弹性负载均衡 全局 gwlb viwer 正常使用 gwlb 查看者角色权限 网关型负载均衡（GWLB）只读访问权限 网络 共享流量包 全局 flowPackage admin 正常使用 共享流量包管理者权限 共享流量包全读写访问权限 网络 共享流量包 全局 flowPackage viewer 正常使用 共享流量包观察者权限 共享流量包只读访问权限 网络 内网DNS 全局 idns admin 正常使用 内网DNS管理者 内网DNS（CTIDNS）全读写访问权限 网络 内网DNS 全局 idns viewer 正常使用 内网DNS查看者 内网DNS（CTIDNS）只读访问权限 网络 虚拟私有云 资源池 ipv6 admin 计划下线 ipv6 admin ipv6 admin 网络 虚拟私有云 资源池 ipv6 viewer 计划下线 ipv6 viewer ipv6 viewer 网络 虚拟私有云 资源池 IPv6带宽admin 正常使用 IPv6带宽默认的管理员权限 IPv6带宽全读写访问权限 网络 虚拟私有云 资源池 IPv6带宽viewer 正常使用 IPv6带宽默认的查看用户权限 IPv6带宽只读访问权限 网络 虚拟私有云 资源池 IPv6网关admin 计划下线 IPv6网关默认的管理员权限 IPv6网关全读写访问权限 网络 虚拟私有云 资源池 IPv6网关viewer 计划下线 IPv6网关默认的查看用户权限 IPv6网关只读访问权限 网络 虚拟私有云 资源池 mirrorFilter admin 计划下线 流量镜像筛选条件管理者权限 流量镜像筛选条件（mirrorFilter）全读写访问权限 网络 虚拟私有云 资源池 mirrorFilter user 计划下线 流量镜像筛选条件使用者权限 流量镜像筛选条件（mirrorFilter）只读访问权限 网络 虚拟私有云 资源池 mirrorFilter viewer 计划下线 流量镜像筛选条件观察者权限 流量镜像筛选条件（mirrorFilter）只读访问权限 网络 虚拟私有云 全局 peering admin 计划下线 对等连接管理者权限 对等连接管理者权限 网络 虚拟私有云 全局 peering admin 计划下线 对等连接管理者权限 对等连接管理者权限 网络 虚拟私有云 全局 peering viewer 计划下线 对等连接查看者权限 对等连接查看者权限 网络 虚拟私有云 全局 peering viewer 计划下线 对等连接查看者权限 对等连接查看者权限 网络 虚拟私有云 资源池 securityGpRules Admin 计划下线 安全组规则管理者服务 安全组规则全读写访问权限 网络 虚拟私有云 资源池 securityGpRules Viewer 计划下线 安全组规则观察者权限 安全组规则只读访问权限 网络 虚拟私有云 资源池 securityGroup admin 计划下线 安全组管理者权限 安全组全读写访问权限 网络 虚拟私有云 资源池 securityGroup user 计划下线 安全组使用者权限 安全组查看和管理规则访问权限 网络 虚拟私有云 资源池 securityGroup viewer 计划下线 安全组观察者权限 安全组只读访问权限 网络 虚拟私有云 资源池 ServerNics Admin 计划下线 弹性网卡管理者权限 弹性网卡管理者权限 网络 虚拟私有云 资源池 ServerNics Viewer 计划下线 弹性网卡观察者权限 弹性网卡观察者权限 网络 虚拟私有云 资源池 trafficMirror admin 计划下线 流量镜像镜像会话管理者权限 流量镜像（trafficMirror）全读写访问权限 网络 虚拟私有云 资源池 trafficMirror user 计划下线 流量镜像镜像会话使用者权限 流量镜像（trafficMirror）查看、启停、变更镜像源和目的的访问权限 网络 虚拟私有云 资源池 trafficMirror viewer 计划下线 流量镜像镜像会话观察者权限 流量镜像（trafficMirror）只读访问权限 网络 虚拟私有云 资源池 vpc admin 正常使用 虚拟私有云管理者权限 虚拟私有云（VPC）全读写访问权限 网络 虚拟私有云 资源池 vpc viewer 正常使用 虚拟私有云观察者权限 虚拟私有云（VPC）只读访问权限 网络 虚拟私有云 全局 vpcep admin 正常使用 VPC终端节点管理者权限 VPC终端节点管理者权限 网络 虚拟私有云 全局 vpcep viewer 正常使用 VPC终端节点查看者权限 VPC终端节点查看者权限 网络 虚拟私有云 资源池 vpcRoute Admin 计划下线 路由表管理者权限 路由表全读写访问权限 网络 虚拟私有云 资源池 vpcRoute Viewer 计划下线 路由表观察者权限123 路由表只读访问权限 网络 虚拟私有云 资源池 VPC流日志 admin 计划下线 本策略定义了VPC流日志的管理员权限（全部权限） 网络 虚拟私有云 资源池 VPC流日志 viewer 计划下线 本策略定义了VPC流日志的查看者权限（可读访问） 网络 虚拟私有云 资源池 链路检测admin 计划下线 链路检测管理员 链路检测管理员 网络 虚拟私有云 资源池 链路检测viewer 计划下线 链路检测只读用户 链路检测只读用户 网络 云间高速 全局 CtyunZNETAdmin 正常使用 云间高速管理者权限 云间高速（EC）全读写访问权限 网络 云间高速 全局 CtyunZNETViewer 正常使用 云间高速查看者权限 云间高速（EC）只读访问权限 网络 云专线 全局 cda admin 计划下线 云专线服务管理者权限 计划隐藏 网络 云专线 全局 cda viewer 计划下线 云专线服务观察者权限 计划隐藏 网络 云专线 全局 云专线查看者 正常使用 云专线查看者视图 云专线（CDA）只读访问权限 网络 云专线 全局 云专线管理者 正常使用 云专线管理者视图 云专线（CDA）全读写访问权限 云终端 天翼云电脑（政企版） 全局 ecpcadmin 正常使用 云电脑管理员权限 云电脑全读写访问权限 云终端 天翼云电脑（政企版） 全局 ecpcviewer 正常使用 云电脑观察者权限 云电脑只读访问权限 云终端 天翼云手机 全局 云手机只读管理员 正常使用 云手机观察者权限 云手机只读访问权限 云终端 天翼云手机 全局 云手机admin管理员 正常使用 云手机管理员权限 云手机全读写访问权限 CDN与边缘 CDN 全局 cdn api admin 正常使用 CDN API管理员权限 CDN API的专属管控权限，支持CDN业务接口调用、接口权限管理及接口使用数据查询等全部操作能力 CDN与边缘 CDN 全局 cdn console admin 正常使用 CDN控制台管理员权限 CDN控制台全读写访问权限 CDN与边缘 CDN 全局 cdn console viewer 正常使用 CDN控制台观察者权限 CDN控制台只读访问权限 CDN与边缘 边缘安全加速平台 全局 accessone console admin 正常使用 边缘安全加速平台Aone安全与加速管理员权限 边缘安全加速平台Aone安全与加速全读写访问权限 CDN与边缘 边缘安全加速平台 全局 accessone console viewer 正常使用 边缘安全加速平台Aone安全与加速只读权限 边缘安全加速平台Aone安全与加速只读访问权限 容器与中间件 弹性容器实例 全局 CtyunECIFullPolicy 正常使用 ECI 完全访问权限系统策略 弹性容器实例（ECI）全读写访问权限 容器与中间件 弹性容器实例 全局 CtyunECIReadOnlyPolicy 正常使用 ECI 只读权限系统策略 弹性容器实例（ECI）只读访问权限 容器与中间件 分布式容器云平台 全局 cceone委托策略 正常使用 cceone委托策略 用于CtyunAssumeRoleForCCEONE的服务委托授权策略 容器与中间件 分布式容器云平台 全局 分布式容器云平台CCE Oneadmin 正常使用 分布式容器云平台CCE One默认管理员策略，拥有所有权限（适用于一类节点资源池） 分布式容器云平台（CCE One）全读写访问权限 容器与中间件 分布式容器云平台 全局 分布式容器云平台CCE Oneuser 正常使用 分布式容器云平台CCE One默认使用者策略，对应用拥有治理权限（适用于一类节点资源池） 仅用于管理分布式容器云平台（CCE One）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 分布式容器云平台 全局 分布式容器云平台CCE Oneviewer 正常使用 分布式容器云平台CCE One默认查看者策略，对应用仅拥有只读权限（适用于一类节点资源池） 分布式容器云平台（CCE One）只读访问权限 容器与中间件 分布式消息服务 全局 KAFKA admin 正常使用 自研分布式消息服务Kafka CTIAM 产品默认管理员策略 分布式消息服务Kafka全读写访问权限 容器与中间件 分布式消息服务 全局 KAFKA user 正常使用 自研分布式消息服务Kafka CTIAM 产品默认使用者策略 仅用于管理分布式消息服务Kafka控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 分布式消息服务 全局 KAFKA viewer 正常使用 自研分布式消息服务Kafka CTIAM 产品默认浏览者策略 分布式消息服务Kafka只读访问权限 容器与中间件 分布式消息服务 全局 lnlineDelegationRolePolicyKafka 正常使用 分布式消息KAFKA内联委托角色策略 用于lnlineDelegationRolePolicyKafka的服务委托授权策略 容器与中间件 分布式消息服务 全局 MQ2 admin 正常使用 自研分布式消息服务rocketmq CTIAM 产品默认管理员策略 分布式消息服务RocketMQ全读写访问权限 容器与中间件 分布式消息服务 全局 MQ2 user 正常使用 自研分布式消息服务rocketmq CTIAM 产品默认使用者策略 仅用于管理分布式消息服务RocketMQ控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 分布式消息服务 全局 MQ2 viewer 正常使用 自研分布式消息服务rocketmq CTIAM 产品默认浏览者策略 分布式消息服务RocketMQ只读访问权限 容器与中间件 分布式消息服务 全局 MQTT只读管理员 正常使用 分布式消息服务MQTT只读访问权限 分布式消息服务MQTT只读访问权限 容器与中间件 分布式消息服务 全局 MQTT普通管理员 正常使用 仅用于管理分布式消息服务MQTT控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 仅用于管理分布式消息服务MQTT控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 分布式消息服务 全局 MQTT超级管理员 正常使用 分布式消息服务MQTT全读写访问权限 分布式消息服务MQTT全读写访问权限 容器与中间件 分布式消息服务 全局 RabbitMQ4.0 默认浏览者 正常使用 自研分布式消息服务RabbitMQ CTIAM 产品默认浏览者策略 分布式消息服务RabbitMQ只读访问权限 容器与中间件 分布式消息服务 全局 RabbitMQ4.0普通使用者 正常使用 自研分布式消息服务RabbitMQCTIAM 产品默认使用者策略 仅用于管理分布式消息服务RabbitMQ控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 分布式消息服务 全局 RabbitMQ4.0超级管理员 正常使用 自研分布式消息服务RabbitMQ CTIAM 产品超级管理员策略 分布式消息服务RabbitMQ全读写访问权限 容器与中间件 分布式消息服务 全局 RocketMQMQ2 admin 正常使用 分布式消息服务RocketMQMQ2管理权限 分布式消息服务RocketMQ全读写访问权限 容器与中间件 分布式消息服务 全局 RocketMQMQ2 user 正常使用 分布式消息服务RocketMQ 普通用户权限策略 仅用于管理分布式消息服务RocketMQ控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 分布式消息服务 全局 RocketMQMQ2 viewer 正常使用 只读访问分布式消息服务RocketMQMQ2的权限 分布式消息服务RocketMQ只读访问权限 容器与中间件 函数计算 全局 CtyunFcDefaultDelegateRolePolicy 正常使用 函数计算服务委托 用于CtyunFcDefaultDelegateRole的服务委托授权策略 容器与中间件 函数计算 全局 CtyunFcFullPolicy 正常使用 管理函数计算（FC）服务的权限 函数计算（FC）全读写访问权限 容器与中间件 函数计算 全局 CtyunFcInvocationPolicy 正常使用 调用函数计算（FC）服务的权限 函数计算（FC）产品提供的函数调用权限 容器与中间件 函数计算 全局 CtyunServiceInlineDelegateRolePolicyForFC 正常使用 函数计算内联委托 用于CtyunServiceDelegateRoleForFC的服务委托授权策略 容器与中间件 全局事务服务 资源池 GTS普通用户策略 计划下线 GTS普通用户，可使用事务分组设置相关正常功能 GTS普通用户，可使用事务分组设置相关正常功能 容器与中间件 全局事务服务 资源池 GTS管理员策略 计划下线 GTS管理员用户，拥有所有功能权限 GTS管理员用户，拥有所有功能权限 容器与中间件 容器镜像服务 全局 CRS LTS委托策略 正常使用 容器镜像服务CRS委托调用LTS策略，用于用户委托调用LTS相关接口 用于CtyunLTSAssumeRoleForCRS的服务委托授权策略 容器与中间件 容器镜像服务 全局 CRS委托策略 正常使用 用于CRS委托调用VPCE、内网DNS的委托策略 用于CtyunAssumeRoleForCRS的服务委托授权策略 容器与中间件 容器镜像服务 全局 CtyunAssumeRolePolicyForCRSAccessZOS 正常使用 容器镜像服务CRS委托调用ZOS策略，用于用户委托调用ZOS相关接口 容器镜像服务CRS委托调用ZOS策略，用于用户委托调用ZOS相关接口 容器与中间件 容器镜像服务 全局 CtyunAssumeRolePolicyForCRSOpenZOS 正常使用 容器镜像服务CRS委托开通ZOS策略，用于用户委托开通ZOS服务 容器镜像服务CRS委托开通ZOS策略，用于用户委托开通ZOS服务 容器与中间件 容器镜像服务 全局 容器镜像服务CRS admin 正常使用 容器镜像服务CRS管理员权限策略，拥有CRS所有资源的读写权限 容器镜像服务（CRS）全读写访问权限 容器与中间件 容器镜像服务 全局 容器镜像服务CRS user 正常使用 容器镜像服务CRS普通用户权限策略，拥有除了订单相关操作之外的所有读写权限 仅用于管理容器镜像服务（CRS）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 容器镜像服务 全局 容器镜像服务CRS viewer 正常使用 容器镜像服务CRS只读用户权限策略，对CRS所有资源拥有只读权限 容器镜像服务（CRS）只读访问权限 容器与中间件 事件总线 全局 CtyunAssumePolicyForEbByCloudflow 正常使用 事件总线获取工作流执行权限的服务内联委托角色策略 用于CtyunAssumeRoleForEbByCloudflow的服务委托授权策略 容器与中间件 事件总线 全局 CtyunAssumePolicyForEventBridge 正常使用 事件总线默认服务内联委托策略 用于CtyunAssumeRoleForEventBridge的服务委托授权策略 容器与中间件 事件总线 全局 CtyunServicelnlineDelegationPolicyForEb 正常使用 事件总线默认服务内联委托策略(仅同步函数实例时使用) 用于CtyunServicelnlineDelegationRoleForEb的服务委托授权策略 容器与中间件 事件总线 全局 CtyunServicelnlineDelegationRolePolicyForEb 正常使用 事件总线服务内联委托角色策略(仅同步函数实例时使用) 用于CtyunServicelnlineDelegationRoleForEb的服务委托授权策略 容器与中间件 事件总线 全局 CtyunServicelnlineDelegationRolePolicyForEventBridge 正常使用 事件总线默认服务内联委托角色策略 用于CtyunAssumeRoleForEventBridge的服务委托授权策略 容器与中间件 事件总线 全局 EventBridge admin 正常使用 超级管理员权限策略，拥有事件总线EventBridge所有资源的读写权限 事件总线（EventBridge）全读写访问权限 容器与中间件 事件总线 全局 Eventbridge publisher 正常使用 仅拥有事件总线EventBridge事件的发送权限 事件总线（EventBridge）事件发送权限 容器与中间件 事件总线 全局 EventBridge user 正常使用 普通用户策略，拥有事件总线EventBridge除订单相关操作之外对其他资源拥有读写权限 仅用于管理事件总线（EventBridge）控制台的资源操作，但不包含退订等订单类相关操作 容器与中间件 事件总线 全局 EventBridge viewer 正常使用 管理员权限策略，拥有事件总线EventBridge所有资源的只读权限 事件总线（EventBridge）只读访问权限 容器与中间件 微服务引擎 全局 微服务引擎微服务治理中心MSGCadmin 正常使用 微服务引擎微服务治理中心MSGC默认管理者策略，对应用拥有管理权限（适用于一类节点资源池） 微服务引擎微服务治理中心（MSGC）全读写访问权限 容器与中间件 微服务引擎 全局 微服务引擎微服务治理中心MSGCuser 正常使用 微服务引擎微服务治理中心MSGC默认使用者策略，对应用拥有治理权限（适用于一类节点资源池） 仅用于管理微服务引擎微服务治理中心（MSGC）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 微服务引擎 全局 微服务引擎微服务治理中心MSGCviewer 正常使用 微服务引擎微服务治理中心MSGC默认查看者策略，对应用仅拥有只读权限（适用于一类节点资源池） 微服务引擎微服务治理中心（MSGC）只读访问权限 容器与中间件 微服务引擎 全局 微服务引擎云原生网关CGWadmin 正常使用 微服务引擎云原生网关CGW默认管理者策略，拥有所有权限（适用于一类节点资源池） 微服务引擎云原生网关（CGW）全读写访问权限 容器与中间件 微服务引擎 全局 微服务引擎云原生网关CGWuser 正常使用 微服务引擎云原生网关CGW默认使用者策略，拥有实例（不可订购、退订等生命周期管理操作）的使用权限（适用于一类节点资源池） 仅用于管理微服务引擎云原生网关（CGW）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 微服务引擎 全局 微服务引擎云原生网关CGWviewer 正常使用 微服务引擎云原生网关CGW默认查看者策略，拥有实例的只读权限（适用于一类节点资源池） 微服务引擎云原生网关（CGW）只读访问权限 容器与中间件 微服务引擎 全局 微服务引擎注册配置中心RCCadmin 正常使用 微服务引擎注册配置中心RCC默认管理者策略，拥有所有权限（适用于一类节点资源池） 微服务引擎注册配置中心（RCC）全读写访问权限 容器与中间件 微服务引擎 全局 微服务引擎注册配置中心RCCuser 正常使用 微服务引擎注册配置中心RCC默认使用者策略，拥有实例的使用权限，无订购、扩缩容、退订等管理权限（适用于一类节点资源池） 仅用于管理微服务引擎注册配置中心（RCC）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 微服务引擎 全局 微服务引擎注册配置中心RCCviewer 正常使用 微服务引擎注册配置中心RCC默认只读策略，拥有实例的所有查询权限，无编辑、删除、新增等管理权限（适用于一类节点资源池） 微服务引擎注册配置中心（RCC）只读访问权限 容器与中间件 微服务引擎 全局 微服务治理委托授权 正常使用 微服务治理委托授权 用于CtyunAssumeRoleForvpcemsgc的服务委托授权策略 容器与中间件 微服务云应用平台 全局 CtyunAssumeRolePolicyForMSAP 正常使用 用于CtyunAssumeRoleForMSAP的服务委托授权策略 用于CtyunAssumeRoleForMSAP的服务委托授权策略 容器与中间件 微服务云应用平台 全局 微服务云应用平台MSAP系统管理员 正常使用 微服务云应用平台MSAP系统管理员策略，拥有MSAP系统所有权限（适用于一类节点资源池） 微服务云应用平台（MSAP）全读写访问权限 容器与中间件 微服务云应用平台 全局 微服务云应用平台MSAP应用管理员 正常使用 微服务云应用平台MSAP系统应用管理员策略，负责与应用相关的管理员权限（适用于一类节点资源池） 微服务云应用平台（MSAP）应用管理策略，包含环境、项目模块的只读访问权限，以及应用、应用实例、应用监控、服务治理模块的全读写权限 容器与中间件 微服务云应用平台 全局 微服务云应用平台MSAP应用运维人员 正常使用 微服务云应用平台MSAP系统应用运维策略，负责与应用相关的运维权限（适用于一类节点资源池） 微服务云应用平台（MSAP）应用运维策略，包含环境、项目、应用、应用监控、服务治理模块的只读访问权限，以及应用实例模块的全读写权限 容器与中间件 微服务云应用平台 全局 微服务云应用平台MSAP资源管理员 正常使用 微服务云应用平台MSAP系统资源管理员策略，负责与环境、集群相关的管理员权限（适用于一类节点资源池） 微服务云应用平台（MSAP）资源管理策略，包含环境、项目的全读写管理权限以及应用、应用监控、服务治理的只读访问权限 容器与中间件 微服务云应用平台 全局 微服务云应用平台MSAP资源运维人员 正常使用 微服务云应用平台MSAP系统资源运维策略，负责与环境、集群相关的运维权限（适用于一类节点资源池） 微服务云应用平台（MSAP）资源运维策略，包含环境、项目、应用、应用监控、服务治理模块的只读访问权限 容器与中间件 微服务云应用平台 全局 微服务云应用平台MSAPviewer 正常使用 微服务云应用平台MSAP默认查看着策略，拥有只读权限（适用于一类节点资源池） 微服务云应用平台（MSAP）只读访问权限 容器与中间件 应用服务网格 资源池 CtyunCsmAdminTrust 正常使用 服务网格在用户委托授权后，得到的日志服务权限。 用于CtyunCsmAdminTrust的服务委托授权策略 容器与中间件 应用服务网格 资源池 CtyunCsmAdminTrust2 计划下线 获得用户委托授权后，操作VPC资源 获得用户委托授权后，操作VPC资源 容器与中间件 应用服务网格 资源池 CtyunCsmAdminTrustVpcOper 计划下线 获得用户委托授权后，操作VPC资源 获得用户委托授权后，操作VPC资源 容器与中间件 应用服务网格 全局 应用服务网格CSMadmin 正常使用 应用服务网格CSM默认管理员策略，拥有所有权限（适用于一类节点资源池） 应用服务网格（CSM）全读写访问权限 容器与中间件 应用服务网格 全局 应用服务网格CSMviewer 正常使用 应用服务网格CSM默认使用者策略，拥有实例的只读权限（适用于一类节点资源池） 应用服务网格（CSM）只读访问权限 容器与中间件 应用高可用 全局 应用高可用故障演练平台委托授权管理员权限 正常使用 应用高可用故障演练平台委托授权管理员权限 用于adtsChaosAdmin的服务委托授权策略 容器与中间件 应用高可用 全局 应用高可用委托授权管理员权限 正常使用 应用高可用委托授权管理员策略 用于adtsadmin的服务委托授权策略 容器与中间件 应用性能监控 全局 应用性能监控授权事件总线策略 正常使用 应用性能监控服务在用户委托授权后，得到的事件总线服务权限 用于apmDeliverEventbrige的服务委托授权策略 容器与中间件 应用性能监控 全局 应用性能监控与vpce委托授权策略 正常使用 应用性能监控服务在用户委托授权后，得到的vpce服务权限。 用于apmVpceAdmintrust的服务委托授权策略 容器与中间件 应用性能监控 全局 应用性能监控APMadmin 正常使用 应用性能监控APM默认管理员策略，拥有所有权限（适用于一类节点资源池） 应用性能监控（APM）全读写访问权限 容器与中间件 应用性能监控 全局 应用性能监控APMuser 正常使用 应用性能监控APM默认使用者策略，拥有产品（不可订购、退订等管理操作）的使用权限（适用于一类节点资源池） 仅用于管理应用性能监控（APM）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 应用性能监控 全局 应用性能监控APMviewer 正常使用 应用性能监控APM默认查看着策略，拥有只读权限（适用于一类节点资源池） 应用性能监控（APM）只读访问权限 容器与中间件 云工作流 全局 CtyunCloudflowDefaultDelegateRolePolicy 正常使用 云工作流(Cloudflow)的默认服务委托角色策略 用于CtyunCloudflowDefaultDelegateRole的服务委托授权策略 容器与中间件 云工作流 全局 CtyunCloudflowInlineDelegateRolePolicy 正常使用 云工作流(CloudFlow)的内联委托角色策略 用于CtyunCloudflowInlineDelegateRole的服务委托授权策略 容器与中间件 云日志服务 全局 CtyunFcReadOnlyPolicy 正常使用 只读访问函数计算（FC）服务的权限 函数计算（FC）只读访问权限 容器与中间件 云日志服务 全局 云日志服务通用委托授权策略 计划下线 云日志服务在用户委托授权后，使用该策略调用第三方服务 云日志服务在用户委托授权后，使用该策略调用第三方服务 容器与中间件 云日志服务 全局 云日志服务与ecs委托授权策略 正常使用 云日志服务在用户委托授权后，得到的ecs服务权限。 用于ltsEcsAdmintrust的服务委托授权策略 容器与中间件 云日志服务 全局 云日志服务与kafka委托授权策略 正常使用 云日志服务在用户委托授权后，得到的kafka服务权限。 用于ltsKafkaAdmintrust的服务委托授权策略 容器与中间件 云日志服务 全局 云日志服务LTSadmin 正常使用 云日志服务LTS默认管理员策略，拥有所有权限（适用于一类节点资源池） 云日志服务（LTS）全读写访问权限 容器与中间件 云日志服务 全局 云日志服务LTSviewer 正常使用 云日志服务LTS默认查看者策略，拥有日志数据的只读权限（适用于一类节点资源池） 云日志服务（LTS）只读访问权限 容器与中间件 云容器引擎 资源池 apmprometheus与it的委托授权策略 计划下线 apmprometheus服务在用户委托授权后，得到的获取it的aksk权限。 用于apmItAdmintrust的服务委托授权策略 容器与中间件 云容器引擎 全局 CCSE viewer 计划下线 作废，不可用 作废，不可用 容器与中间件 云容器引擎 全局 云容器引擎CCE admin 正常使用 云容器引擎ccse管理员策略，对容器所有资源拥有读写权限 云容器引擎（CCE）全读写访问权限 容器与中间件 云容器引擎 全局 云容器引擎CCE user 正常使用 云容器引擎ccse普通用户策略，除订单相关操作之外对其他资源拥有读写权限 仅用于管理云容器引擎（CCE）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 云容器引擎 全局 云容器引擎CCE viewer 正常使用 云容器引擎ccse只读用户策略，对容器所有资源仅拥有只读权限 云容器引擎（CCE）只读访问权限 容器与中间件 云容器引擎 全局 云容器引擎CCE服务委托策略 正常使用 云容器引擎CCE服务委托专用策略 用于cceadmintrust的服务委托授权策略 容器与中间件 云容器引擎 全局 云容器引擎CCE资源委托策略 正常使用 云容器引擎CCE资源委托专用策略 用于ecsadmintrust、ebmadmintrust的资源委托授权策略 容器与中间件 云应用引擎 全局 CtyunCAEFulPolicy 正常使用 云应用引擎(CAE)的管理员权限 云应用引擎(CAE)全读写访问权限 容器与中间件 云应用引擎 全局 CtyunCAEReadOnlyPolicy 正常使用 云应用引擎(CAE)的只读访问权限 云应用引擎(CAE)只读访问权限 容器与中间件 云应用引擎 全局 CtyunCAEReadWritePolicy 正常使用 云应用引擎(CAE)的读写访问权限 仅用于管理云应用引擎(CAE)控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 容器与中间件 云应用引擎 全局 CtyunCAEServiceDefaultDelegateRolePolicy 正常使用 云应用引擎(CAE)的服务委托权限 用于CtyunCAEServiceDefaultDelegateRole的服务委托授权策略 容器与中间件 云应用引擎 全局 CtyunCAEServicelnlineDelegationRolePolicy 正常使用 云应用引擎(CAE)的内联委托权限 用于CtyunCAEServiceInlineDelegateRole的服务委托授权策略 容器与中间件 云原生网关 全局 云原生网关与日志委托授权策略 计划下线 云原生网关在用户委托授权后，得到的日志服务权限。 云原生网关在用户委托授权后，得到的日志服务权限。 容器与中间件 云原生网关 全局 云原生API网关AGWadmin 正常使用 云原生API网关（AGW）全读写访问权限 云原生API网关（AGW）全读写访问权限 容器与中间件 云原生网关 全局 云原生API网关AGWviewer 正常使用 云原生API网关（AGW）只读访问权限 云原生API网关（AGW）只读访问权限 容器与中间件 云原生API网关 全局 CtyunAssumeRolePolicyForAgw 正常使用 云原生网关在用户委托授权后，得到的日志、应用性能监控和ELB等服务权限。 用于CtyunAssumeRoleForAgw的服务委托授权策略 容器与中间件 云原生API网关 全局 CtyunCgwAdminTrust 正常使用 云原生网关在用户委托授权后，得到的日志和应用性能监控服务权限。 用于CtyunCgwAdminTrust的服务委托授权策略 容器与中间件 云原生API网关 全局 云原生API网关AGWuser 正常使用 仅用于管理云原生API网关（AGW）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 仅用于管理云原生API网关（AGW）控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 数据库 分布式关系型数据库 全局 CtyunDRDSFullAccess 正常使用 分布式关系型数据库（DRDS）默认管理员策略。仅对一类节点生效。 分布式关系型数据库（DRDS）全读写访问权限,仅对一类节点生效。 数据库 分布式关系型数据库 全局 CtyunDRDSReadOnlyAccess 正常使用 分布式关系型数据库（DRDS）默认查看者策略。仅对一类节点生效。 分布式关系型数据库（DRDS）只读访问权限,仅对一类节点生效。 数据库 分布式关系型数据库 全局 CtyunDRDSUserAccess 正常使用 分布式关系型数据库（DRDS）默认用户策略，仅对一类节点生效。 分布式关系型数据库（DRDS）默认用户策略，支持DRDS控制台可见的主要功能的使用，但对关联RDS、分组、对弹性IP、用户、角色、用户权限、schema、序列实际新增、修改或删除权限做了限制，仅对一类节点生效。 数据库 分布式缓存 全局 CtyunServicelnlineDelegationRolePolicyCache 正常使用 分布式缓存内联委托角色策略 用于dcsadmintrust的服务委托授权策略 数据库 分布式缓存服务 全局 分布式缓存Redis admin 正常使用 【分布式缓存服务Redis】管理用户策略，对实例资源拥有管理维护权限 分布式缓存服务Redis版全读写访问权限 数据库 分布式缓存服务 全局 分布式缓存Redis user 正常使用 【分布式缓存服务Redis】使用用户策略，对实例资源拥有应用使用权限 仅用于管理分布式缓存服务Redis版控制台的资源操作，但不包含新购、续订、变配、退订等订单类相关操作 数据库 分布式缓存服务 全局 分布式缓存Redis viewer 正常使用 【分布式缓存服务Redis】只读用户策略，对实例资源仅拥有只读权限 分布式缓存服务Redis版只读访问权限 数据库 分布式融合数据库 全局 HTAPadmin 正常使用 分布式融合数据库HTAP产品管理员权限 分布式融合数据库（HTAP）全读写访问权限 数据库 分布式融合数据库 全局 HTAPuser 正常使用 分布式融合数据库HTAP产品普通用户权限 分布式融合数据库（HTAP）部分读写访问权限，支持实例用户密码修改、数据库创建、实例用户创建。 数据库 分布式融合数据库 全局 HTAPviewer 正常使用 分布式融合数据库HTAP产品只读用户权限 分布式融合数据库（HTAP）只读访问权限 数据库 关系数据库 全局 MySQLadmin 正常使用 自研关系数据库MySQL版 CTIAM 产品默认管理员策略 关系数据库MySQL版（MySQL）全读写访问权限 数据库 关系数据库 全局 MySQLreviewer 正常使用 自研关系数据库MySQL版 CTIAM 产品默认 浏览者 策略 关系数据库MySQL版（MySQL）只读访问权限 数据库 关系数据库 全局 MySQLuser 正常使用 自研关系数据库MySQL版 CTIAM 产品默认使用者 策略 关系数据库MySQL版（MySQL）该权限禁止用户做修改密码、重启实例、删除数据库等高权限动作，但允许用户进行其他基础操作； 数据库 关系数据库 全局 PostgreSQL只读用户 正常使用 PostgreSQL只读用户，仅支持查看实例等信息，不支持操作与修改 关系数据库PostgreSQL版（RDS POSTGRESQL）只读访问权限，支持查看实例等信息，不支持操作与修改已有实例。 数据库 关系数据库 全局 PostgreSQL普通用户 正常使用 PostgreSQL普通用户，支持部分常规实例操作权限及实例查看权限 关系数据库PostgreSQL版（RDS POSTGRESQL）部分读写访问权限，支持操作、查看已有实例。 数据库 关系数据库 全局 PostgreSQL管理员 正常使用 PostgreSQL管理员，拥有租户下全部权限 关系数据库PostgreSQL版（RDS POSTGRESQL）全读写访问权限 数据库 关系数据库 全局 RDS2 admin 正常使用 超级管理员 关系数据库MySQL版（RDS MySQL）管理员策略。该策略拥有租户下全部权限。 数据库 关系数据库 全局 RDS2 user 正常使用 普通管理员 关系数据库MySQL版（RDS MySQL）普通用户策略。该策略允许您操作、查看已有实例。 数据库 关系数据库 全局 RDS2 viewer 正常使用 只读管理员 关系数据库MySQL版（RDS MySQL）只读用户策略。该策略仅支持查看实例等信息，不支持操作与修改已有实例。 数据库 关系数据库 资源池 SQLServer admin 正常使用 SQLServer admin系统策略 关系数据库SQL Server版（RDS SQL Server）全读写访问权限 数据库 关系数据库 资源池 SQLServer viewer 正常使用 SQLServer viewer系统策略 关系数据库SQL Server版（RDS SQL Server）只读访问权限，支持查看实例等信息，不支持操作与修改已有实例。 数据库 数据传输服务 全局 DTSadmin 正常使用 DTS admin系统策略 数据传输服务（DTS）全读写访问权限 数据库 数据传输服务 全局 DTSuser 正常使用 DTS user系统策略 数据传输服务（DTS）部分读写访问权限，不包含获取分布式数据库分片信息、释放任务操作 数据库 数据传输服务 全局 DTSviewer 正常使用 DTS viewer系统策略 数据传输服务（DTS）只读访问权限 数据库 数据管理服务 全局 DMSadmin 正常使用 DMSadmin系统策略 数据管理服务（DMS）全读写访问权限。 数据库 数据库审计 全局 数据库审计安全员策略 正常使用 数据库审计安全员策略 该策略是用于数据库审计（DBA）安全管理的权限，包含配置数据库与规则、查看各类告警报告的权限 数据库 数据库审计 全局 数据库审计审计员策略 正常使用 数据库审计审计员策略 该策略是用于数据库审计（DBA）审计管理的权限，包含查看其他用户的操作日志、管理审计的权限 数据库 数据库审计 全局 数据库审计系统管理员策略 正常使用 数据库审计系统管理员策略 该策略是用于数据库审计（DBA）系统管理的权限，包含系统权限的配置和维护 数据库 数据库审计 全局 数据库审计admin策略 正常使用 数据库审计admin策略 数据库审计（DBA）全读写访问权限 数据库 文档数据库 全局 dds admin 正常使用 文档数据库服务DDS CTIAM 产品默认管理员策略 文档数据库服务（DDS）全读写访问权限 数据库 文档数据库 全局 dds user 正常使用 文档数据库服务DDS CTIAM 产品默认使用者 策略 文档数据库服务（DDS）部分读写访问权限，支持查看实例等信息，不支持禁止用户修改密码、重启实例、删除账户。 数据库 文档数据库 全局 dds viewer 正常使用 文档数据库服务DDS CTIAM 产品默认 浏览者 策略 文档数据库服务（DDS）只读访问权限 数据库 云数据库 资源池 clickhouse admin 正常使用 clickhouse admin 云数据库ClickHouse全读写访问权限 数据库 云数据库 资源池 clickhouse user 正常使用 clickhouse user 仅用于云数据库ClickHouse控制台的资源操作，但不包含创建账号、更新用户权限、重置用户密码、删除用户账号、解绑用户账号权限 数据库 云数据库 资源池 clickhouse viewer 正常使用 clickhouse viewer 云数据库ClickHouse只读访问权限 大数据 datawings 全局 datawings admin 计划下线 datawings主账号权限 datawings主账号权限 大数据 datawings 全局 datawings user 计划下线 datawings普通用户权限，仅可查询资源组，不可续订 datawings普通用户权限，仅可查询资源组，不可续订 大数据 翼MapReduce 全局 EMRLogDeliveryAccess 正常使用 MapReduce服务上报日志专属策略 用于CtyunOpenSearchLogDeliveryAccess的服务委托授权策略 大数据 翼MapReduce 全局 翼MapReduce 管理员 正常使用 具备翼MapReduce的用户管理权限 翼MapReduce读写访问权限，适用于翼MR控制台，可进行IAM同步、新建角色、编辑角色、删除角色、删除集群操作 大数据 翼MapReduce 全局 翼MapReduce 用户 正常使用 具备翼MapReduce的普通用户权限 翼MapReduce只读访问权限 大数据 云搜索服务 全局 csx admin 正常使用 云搜索服务一类节点管理者权限 云搜索服务（CSX）全读写访问权限 大数据 云搜索服务 全局 csx user 正常使用 云搜索服务一类节点使用者权限 云搜索服务（CSX）只读访问权限 大数据 云搜索服务 全局 OpenSearchLogDeliveryAccess 正常使用 云搜索服务上报日志专属策略 用于CtyunOpenSearchLogDeliveryAccess的服务委托授权策略 安全及管理 web应用防火墙 全局 ctwaf admin 正常使用 ctwaf admin策略 ctwaf admin策略 安全及管理 web应用防火墙 全局 ctwaf viewer 正常使用 ctwaf viewer策略 ctwaf viewer策略 安全及管理 安全体检 全局 安全体检查看者viewer 正常使用 安全体检（NSC）的只读权限 安全体检（NSC）只读访问权限 安全及管理 安全体检 全局 安全体检管理者admin 正常使用 安全体检（NSC）的全部权限 安全体检（NSC）全读写访问权限 安全及管理 安全专区 资源池 dszAudAdmin 正常使用 审计管理员 该策略是用于数据安全专区（DSZ）审计管理的权限，包含系统操作审计的查看与管理权限 安全及管理 安全专区 全局 数据安全专区订单业务员 正常使用 支持数据安全专区购买、续订、退订、升配、降配权限 支持数据安全专区购买、续订、退订、升配、降配权限 安全及管理 服务器安全卫士 全局 ctcsscn admin 正常使用 服务器安全卫士(admin)权限 服务器安全卫士（CTCSS）全局读写权限 安全及管理 服务器安全卫士 全局 ctcsscn viewer 正常使用 服务器安全卫士(viewer)权限 服务器安全卫士（CTCSS）只读访问权限 安全及管理 服务器安全卫士 全局 服务器安全卫士配额查看权限 正常使用 服务器安全卫士配额查看权限 服务器安全卫士（CTCSS）配额管理只读访问权限 安全及管理 服务器安全卫士 全局 服务器安全卫士配额购买续订退订升配权限 正常使用 服务器安全卫士配额购买续订退订升配权限 该策略用于服务器安全卫士（CTCSS）订购、续订、退订、变配操作权限 安全及管理 服务器安全卫士 全局 服务器安全卫士委托授权策略 正常使用 服务器安全卫士委托授权策略 服务器安全卫士（CTCSS）风险助手全读写权限 安全及管理 密钥管理 全局 kms admin 正常使用 kms admin 密钥管理（KMS）全局读写访问权限 安全及管理 密钥管理 全局 kms viewer 正常使用 kms viewer 密钥管理（KMS）只读访问权限 安全及管理 云堡垒机 全局 ctcbh admin 正常使用 云堡垒机(原生版)管理员策略 云堡垒机（CBH）全读写访问权限 安全及管理 云堡垒机 全局 ctcbh viewer 正常使用 云堡垒机(原生版)查看策略 云堡垒机（CBH）只读访问权限 安全及管理 云等保专区 全局 云等保安全体检 正常使用 用于云等保专区 安全体检 权限控制 云等保专区（CTYDB)安全体检全读写访问权限 安全及管理 云等保专区 全局 云等保堡垒机 正常使用 用于云等保专区 堡垒机 权限控制 云等保专区（CTYDB)堡垒机全读写访问权限 安全及管理 云等保专区 全局 云等保风险助手 正常使用 用于云等保专区 风险助手 权限控制 云等保专区（CTYDB)风险助手全读写访问权限 安全及管理 云等保专区 全局 云等保漏洞扫描 正常使用 用于云等保专区 漏洞扫描 权限控制 云等保专区（CTYDB)漏洞扫描全读写访问权限 安全及管理 云等保专区 全局 云等保日志审计 正常使用 用于云等保专区 日志审计 权限控制 云等保专区（CTYDB)日志审计全读写访问权限 安全及管理 云等保专区 全局 云等保商用管理员 正常使用 用于云等保专区 管理员 所有权限控制 云等保专区（CTYDB)全读写访问权限，同时包含资源下单权限 安全及管理 云等保专区 全局 云等保数据库审计 正常使用 用于云等保专区 数据库审计 权限控制 云等保专区（CTYDB)数据库审计全读写访问权限 安全及管理 云等保专区 全局 云等保下一代防火墙 正常使用 用于云等保专区 下一代防火墙 权限控制 云等保专区（CTYDB)下一代防火墙全读写访问权限 安全及管理 云等保专区 全局 云等保业务管理员 正常使用 用于云等保专区 业务管理员 权限控制 仅用于管理云等保专区（CTYDB）控制台的资源操作，但不包含新购、续订、变配、退订相关操作 安全及管理 云等保专区 全局 云等保云安全中心 正常使用 用于云等保专区 云安全中心 权限控制 云等保专区（CTYDB)云安全中心全读写访问权限 安全及管理 云等保专区 全局 云等保主机安全 正常使用 用于云等保专区 主机安全 权限控制 云等保专区（CTYDB)主机安全全读写访问权限 安全及管理 云等保专区 全局 云等保WEB应用防火墙 正常使用 用于云等保专区 WEB应用防火墙 权限控制 云等保专区（CTYDB)Web应用防火墙全读写访问权限 安全及管理 云防火墙 全局 CFW admin 正常使用 云防火墙(admin)权限 云防火墙（CFW）全读写访问权限 安全及管理 云防火墙 全局 CFW viewer 正常使用 云防火墙(viewer)权限 云防火墙（CFW）只读访问权限 安全及管理 云防火墙 全局 CFW订购 正常使用 cfw订购策略 仅用于云防火墙（CFW）订购、续订、退订、升配操作权限。 安全及管理 云监控 全局 cm admin 正常使用 云监控服务管理员权限 云监控服务（CM）全读写访问权限 安全及管理 云监控 全局 cm viewer 正常使用 云监控服务观察者权限 云监控服务（CM）只读访问的基础权限.仅可查看监控资源（包括：监控面板、资源分组、站点监控、告警服务等） 安全及管理 云监控 全局 云监控查看者（viewer） 正常使用 云监控服务（CM）只读访问权限 云监控服务（CM）只读访问权限 安全及管理 云监控 全局 云监控管理者(admin) 正常使用 云监控服务（CM）全读写访问权限 云监控服务（CM）全读写访问权限 安全及管理 云密评专区 全局 云密评专区管理者 正常使用 云密评专区管理者策略 云密评专区（CTCSZ）全读写访问权限 安全及管理 云审计 全局 cloudauditadmin 正常使用 云审计管理员 云审计（CLOUDAUDIT）全读写访问权限 安全及管理 云审计 全局 cloudauditauditor 正常使用 云审计（CLOUDAUDIT）只读访问权限 云审计（CLOUDAUDIT）只读访问权限 安全及管理 云审计 全局 cloudauditviewer 正常使用 云审计普通用户策略 云审计（CLOUDAUDIT）只读访问权限 安全及管理 云审计 全局 lasadmin 正常使用 日志审计（LAS）全读写访问权限 日志审计（LAS）全读写访问权限 安全及管理 云审计 全局 lasbusiness 正常使用 日志审计 业务管理员 权限 该策略是用于日志审计（LAS）业务管理的权限，包含登录管理实例的权限，但是无法再进行订购、续订等订单操作 安全及管理 云审计 全局 数据库审计业务管理员策略 正常使用 数据库审计业务管理员策略 该策略是用于数据库审计（DBA）业务管理的权限，包含登录管理实例的权限，但是无法再进行订购、续订等订单操作 安全与管理 web应用防火墙 全局 ctwaf monitor 正常使用 ctwaf运营人员策略 ctwaf运营人员策略 安全与管理 故障演练 全局 CtyunAssumeRolePolicyForADTSChaos 正常使用 故障演练服务管理员权限 故障演练服务管理员权限 安全与管理 故障演练 全局 演练观察员 正常使用 拥有故障演练服务查看权限 拥有故障演练服务查看权限 安全与管理 故障演练 全局 演练管理员 正常使用 拥有故障演练服务演练任务管理权限 拥有故障演练服务演练任务管理权限 安全与管理 故障演练 全局 演练系统管理员 正常使用 拥有故障演练服务所有功能读写权限 拥有故障演练服务所有功能读写权限 安全与管理 日志审计 全局 lasaudit 正常使用 审计管理员 该策略是用于日志审计（LAS）审计管理的权限，包含首页，资产管理，日志审计，风险分析事件策略、报表管理，操作日志的菜单权限 安全与管理 日志审计 全局 lassecurity 正常使用 安全管理员 该策略是用于日志审计（LAS）安全管理的权限，包含首页，资产管理，日志审计，风险分析，风险处置的菜单权限 安全与管理 数据安全专区 资源池 dszApproveAdmin 正常使用 审批管理员 该策略是用于数据安全专区（DSZ）审批管理的权限，包含任务查询与审核权限 安全与管理 数据安全专区 资源池 dszAuthAdmin 正常使用 权限管理员 该策略是用于数据安全专区（DSZ）权限管理的权限，包含权限增删改查权限等操作 安全与管理 数据安全专区 资源池 dszSecAdmin 正常使用 安全管理员 该策略是用于数据安全专区（DSZ）安全管理的权限，包含任务管理、资源管理、数据源管理等权限 安全与管理 数据安全专区 资源池 dszSysAdmin 正常使用 系统管理员 该策略是用于数据安全专区（DSZ）系统管理的权限，包含安全设置、用户管理、系统管理、插件管理等权限 安全与管理 云等保专区 全局 云等保数据分类分级 正常使用 云等保专区（CTYDB)数据分类分级读写访问权限 云等保专区（CTYDB)数据分类分级读写访问权限 安全与管理 云等保专区 全局 云等保数据脱敏与水印 正常使用 云等保专区（CTYDB)数据脱敏与水印读写访问权限 云等保专区（CTYDB)数据脱敏与水印读写访问权限 安全与管理 云密评专区 全局 云密评专区查看者 正常使用 云密评专区查看者策略 云密评专区（CTCSZ）只读访问权限 安全与管理 云日志服务 全局 云日志服务与ebm委托授权策略 正常使用 云日志服务在用户委托授权后，得到的ebm服务权限。 用于ltsEbmAdmintrust的服务委托授权策略 安全与管理 智算安全专区 资源池 aisec admin 正常使用 本策略定义了智算安全专区的管理员权限（全部权限） 本策略定义了智算安全专区的管理员权限（全部权限） 安全与管理 智算安全专区 资源池 aisec user 正常使用 本策略定义了智算安全专区的使用者权限（普通操作） 本策略定义了智算安全专区的使用者权限（普通操作） 安全与管理 智算安全专区 资源池 aisec viewer 正常使用 本策略定义了智算安全专区的查看者权限（可读访问） 本策略定义了智算安全专区的查看者权限（可读访问） 企业应用 证书 全局 ccms admin 正常使用 ccms admin策略 证书管理服务(CCMS)全读写访问权限 企业应用 证书 全局 ccms viewer 正常使用 ccms viewer策略 证书管理服务(CCMS)只读访问权限 迁移与管理 资源编排 全局 ros admin 正常使用 ros管理者权限 资源编排（ROS）全读写访问权限 迁移与管理 资源编排 全局 ros no execute 正常使用 排除 资源栈/执行计划部署+资源栈删除+取消部署权限 资源编排（ROS）部分读写访问权限，不包含资源栈/执行计划部署、资源栈删除、取消部署权限 迁移与管理 资源编排 全局 ros viewer 正常使用 ros观察者权限 资源编排（ROS）只读访问权限 视频 AOne 全局 aonemeeting console admin 正常使用 AOne会议控制台管理员权限 AOne会议控制台全读写访问权限 视频 AOne 全局 aonemeeting console viewer 正常使用 AOne会议控制台观察者权限 AOne会议控制台只读访问权限 视频 媒体存储 全局 媒体存储产品侧授权 正常使用 媒体存储产品侧授权 媒体存储（CTXStor）产品主子账号功能的虚拟策略。配置本策略则开启媒体存储主子账号功能，删除本策略则关闭主子账号功能。 视频 视频直播 全局 ctlvdn admin 正常使用 直播控制台管理者权限 直播控制台全读写访问权限，涵盖视频直播域名添加、业务配置、运维、查询及子账号管理全部操作能力 视频 视频直播 全局 ctlvdn viewer 正常使用 直播控制台观察者权限 直播控制台只读权限，可浏览查询视频直播业务数据与配置状态，无任何编辑修改操作权限 视频 云点播 全局 云点播产品侧授权 正常使用 云点播产品侧授权 云点播（CTXVOD）产品主子账号功能的虚拟策略。配置本策略则开启云点播主子账号功能，删除本策略则关闭主子账号功能 其他 标签 全局 CtyunLABELFullAccess 正常使用 管理标签（LABEL）的全部权限 标签服务（LABEL）全读写访问权限，适用于资源标签管理，可创建、编辑、删除标签和解绑/绑定资源 其他 标签 全局 CtyunLABELReadOnlyAccess 正常使用 只读访问标签（LABEL）的权限 标签服务（LABEL）只读访问权限，适用于资源标签查询，可查看标签列表、标签详情和标签绑定资源信息 其他 订单 全局 CtyunOrderAdmin 正常使用 天翼云订单类全量操作权限（包含一类、二类资源池节点） 费用中心全读写访问权限，适用于费用中心订单管理和资源列表查询，可管理我的订单、待支付订单、续订订单、退订订单，以及查看资源视图的资源列表 其他 订单 全局 CtyunOrderViewer 正常使用 天翼云订单类查询权限（包含一类、二类资源池节点） 费用中心只读访问权限，适用于费用中心订单和云资源列表，可查看我的订单、待支付订单、续订订单、退订订单，以及资源视图的资源列表 其他 活动与券 全局 mkt admin 正常使用 优惠券 管理者权限 卡券管理全读写访问权限 其他 客服工单 全局 工单及客户支持计划管理策略 正常使用 客服系统可读可写 工单及客户支持计划可读可写 其他 客服工单 全局 工单及客户支持计划只读策略 正常使用 客服系统只允许查看角色 工单及客户支持计划只读 其他 企业组织 全局 CtyunOrgAdmin 正常使用 天翼云企业组织信息管理权限 企业中心全读写访问权限，可查看并操作组织管理、组织策略管理、财务管理、资源管理相关功能 其他 企业组织 全局 CtyunOrgViewer 正常使用 企业中心只读访问权限，可查看组织管理、组织策略管理、财务管理、资源管理相关信息 企业中心只读访问权限，可查看组织管理、组织策略管理、财务管理、资源管理相关信息 其他 通用 全局 cust admin 正常使用 云网账号管理员权限，包含对合同、标签、收货地址的管理权限 天翼云账号部分读写访问权限，适用于合同管理、账号中心地址管理、标签管理 其他 通用 资源池 Iaas产品无企业项目属性 正常使用 无企业项目属性资源Iaas（权限集合） 无企业项目属性的Iaas基础资源管理权限，包含了不支持企业项目的IaaS资源管理权限，用于管理镜像、弹性负载均衡、VPC网络、安全组、弹性云服务器、弹性公网IP、文件存储等资源的查看及管理 其他 统一身份认证 全局 ctiam admin 正常使用 统一身份认证管理员权限 统一身份认证服务（IAM）全读写访问权限 其他 统一身份认证 全局 ctiam viewer 正常使用 统一身份认证观察者权限 统一身份认证服务（IAM）只读访问权限 其他 消息管理 全局 msg admin 正常使用 消息中心管理员权限 消息中心全读写访问权限 其他 业务 全局 CtyunBssAdmin 正常使用 天翼云订单、合同、标签、客户信息管理全量操作权限（包含一类、二类资源池节点） 费用中心全读写权限，适用于费用中心订单管理、合同管理、客户信息管理、和资源列表查询，以及资源标签的查询、绑定和解绑 其他 云市场 全局 CtyunMarketFullAccess 正常使用 云市场管理员权限 云市场（Market）全读写访问权限 其他 云市场 全局 CtyunMarketReadOnlyAccess 正常使用 云市场只读权限 云市场（Market）只读访问权限 其他 云通信 全局 SMS admin 正常使用 拥有云通信主账号的所有权限 云通信（SMS）全读写访问权限 其他 云通信 全局 SMS viewer 正常使用 拥有云通信控制台的只读权限 云通信（SMS）控制台只读访问权限 其他 账务 全局 CtyunAcctAdmin 正常使用 天翼云账务类（如成本、账单、发票等）全量操作权限（包含一类、二类资源池节点） 费用中心账务类读写权限，适用于费用中心资金管理、账单管理、发票管理、成本管理，可操作余额充值、提现、账单查询、发票申请等 专属云与混合云 专属云 资源池 ctdss admin 正常使用 ctdss admin 专属云（存储独享型）（DSS）全读写访问权限 专属云与混合云 专属云 资源池 ctdss viewer 正常使用 ctdss viewer 专属云（存储独享型）（DSS）只读访问权限

本节介绍了容器镜像服务的退订说明。 容器镜像服务支持从订单管理中心发起实例退订，不支持从控制台发起退订。 退订说明详见：点这里

本小节介绍查看容器防护配额列表。 节点列表展示了云容器引擎服务（CCE）中集群节点的防护状态、节点状态和Agent状态，帮助您实时了解节点的安全状态。 约束限制 仅支持Linux系统。 未开启企业版、旗舰版、网页防篡改版、容器版防护不支持容器相关操作。 查看节点列表 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版）。 3、在左侧导航栏中，选择“资产管理 > 容器管理”，单击“容器节点管理”。 4、选择“节点列表”页签，查看节点防护状态。节点列表参数说明如表所示。 节点列表参数 参数名称 说明 服务器名称 目标服务器名称。 容器防护状态 节点的防护状态，包括： 未防护 防护中 服务器状态 运行中 不可用 正常 Agent状态 在线 离线 未安装 查看防护配额 在“容器节点管理”界面，选择“防护配额”页签，查看防护配额详细信息。 配额信息 参数名称 参数说明 配额版本 容器安全企业版。 配额状态 正常：配额状态。 已过期：配额已到期，在此期间您仍然可以正常使用配额。 已冻结：冻结期间，HSS将不再防护您的容器；冻结期满，该配额将被彻底删除。 使用状态 使用中：该配额已被使用，下方显示“使用该配额的服务器名称”。 空闲：该配额未被使用。

关联云产品 云容器引擎、容器镜像服务、应用性能监控、云日志服务 关系型数据库Mysql版、分布式缓存Redis版 NAT网关、弹性负载均衡、云硬盘、弹性文件、对象存储 业务效果 通过将客户小程序、SaaS平台前后端服务迁移使用天翼云容器，通过Kubernetes集群部署和扩展业务，最终项目资源利用率提升30%，版本发布周期缩短近20%，集群运行0故障，支撑业务快速发展。

本文介绍计费类常见问题。 云容器引擎服务是如何进行收费的？ 云容器引擎服务目前仅采取包年包月的计费方式，支持用户进行13个月的时长选择，目前容器引擎服务不收取任何集群管理费用，仅对创建过程中的计算资源、如云主机、数据盘、弹性IP进行收费。 说明 ：具体的收费方式可参考【计费说明】部分。

本文主要介绍云日志服务与其他服务的关系。 虚拟私有云(CTVPC ，Virtual Private Cloud) 虚拟私有云为您需要接入的弹性云主机或容器集群提供一个逻辑隔离的区域，构建一个安全可靠、 可配置和管理的虚拟网络环境。更多信息请参见虚拟私有云。 弹性云主机（CTECS，Elastic Cloud Server） 通过云日志服务，您可采集弹性云主机上的应用日志。云主机由 CPU、内存、镜像、云硬盘组成，同时结合VPC、安全组、数据多副本保存等能力，打造一个既高效又可靠安全的计算环境。更多信息请参见弹性云主机。 云容器引擎 云容器引擎提供高可靠高性能的企业级容器应用管理服务，支持Kubernetes社区原生应用和工具，帮助用户在云上轻松部署、管理和扩展容器化应用。更多信息请参见云容器引擎产品介绍。 VPC终端节点 VPC终端节点（CTVPCEP，VPC EndPoint）可以在VPC内提供便捷、安全、私密的通道与云日志服务进行连接，用于进行日志数据上报。该服务使用天翼云内部网络，无需弹性公网IP，为您提供性能更加强大、更加灵活的网络。更多信息请参见VPC终端节点产品介绍。

本小节介绍容器安全卫士服务协议，请点击查看。 天翼云容器安全卫士服务协议

本文介绍了容器镜像服务的用户指南。 容器镜像服务产品用户使用指南.pdf

本章节介绍云原生API网关的服务来源 概述 云原生API网关无缝对接天翼云注册配置中心（Nacos引擎、Eureka引擎）和云容器引擎，通过服务发现模块监听服务来源，动态感知后端服务。 说明 每种服务来源类型仅支持添加一个实例集群 创建云容器引擎服务来源 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 进入实例概览。 4. 单击左侧导航栏服务 > 服务来源标签页。 5. 点击创建来源，在配置页选择容器服务来源类型，在容器集群下拉列表中选择要添加的集群（当前仅支持添加与网关实例同VPC内的容器集群）。 6. 根据需要勾选是否监听K8s Ingress选项并配置监听命名空间的标签。 创建MSE Nacos服务来源 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 进入实例概览。 4. 单击左侧导航栏服务 > 服务来源标签页。 5. 点击创建来源，在配置页选择MSE Nacos服务来源类型，在MSE Nacos集群下拉列表中选择要添加的集群（当前仅支持添加与网关实例同VPC内的MSE Nacos集群）。 创建MSE Eureka服务来源 1. 进入云原生API网关控制台。 2. 在顶部菜单栏选择资源池。 3. 单击左侧导航栏实例 > 进入实例概览。 4. 单击左侧导航栏服务 > 服务来源标签页。 5. 点击创建来源，在配置页选择MSE Eureka服务来源类型，在MSE Eureka集群下拉列表中选择要添加的集群（当前仅支持添加与网关实例同VPC内的MSE Eureka集群）。

本节介绍智算容器产品定义。 产品定义 云容器引擎（智算版）是利用云原生架构和技术，在云容器引擎上快速定制化构建AI生产系统，提供智算场景下的调度策略（共享GPU调度、批作业调度、拓扑感知调度）、GPU/RDMA异构资源管理和GPU资源监控基础能力，为用户提供AI数据集管理，AI模型开发、训练、评测，以及模型推理等服务。 产品架构 智算版作为云容器引擎的新规格和增值服务，基于云容器引擎提供管理和运行AI任务的能力，功能结构如下： 智算容器对底层IaaS各类异构资源做统一管理，通过拓扑感知，智能调度算法，实现AI任务调度、AI任务流编排，支持AI模型开发、训练、推理等，可快速构建AI生产环境，降低AI使用门槛。

本节主要介绍开通专属云容器引擎 专属云容器引擎服务的开通方法及流程： 1、开通专属云容器引擎服务需首先开通专属云服务，请确保您已开通天翼云的专属云服务； 2、天翼云网门户首页上部，在“天翼云官网首页，“产品 > 专属云”中，单击“专属云（计算独享型）”； 3、在产品详情页面中，单击“申请开通”，在申请页面查看申请流程。请与您的专属客户经理确定您的开通需求，如果没有专属客户经理，可拨打天翼云客服电话4008109889咨询。

本节介绍了启动实例失败时的重试机制是怎样的? 启动实例失败时的重试机制是怎样的？ 云容器引擎是基于原生Kubernetes的云容器引擎服务，完全兼容Kubernetes社区原生版本，与社区最新版本保持紧密同步，完全兼容Kubernetes API和Kubectl。 在Kubernetes中，Pod的spec中包含一个restartPolicy字段，其取值包括：Always、OnFailure和Never，默认值为：Always。Always：当容器失效时，由kubelet自动重启该容器。 OnFailure：当容器终止运行且退出不为0时，由kubelet自动重启该容器。 Never：不论容器运行状态如何，kubelet都不会重启该容器。 restartPolicy适用于Pod中的所有容器。 restartPolicy仅针对同一节点上kubelet的容器重启动作。当Pod中的容器退出时，kubelet 会按指数回退方式计算重启的延迟（10s、20s、40s...），其最长延迟为5分钟。 一旦某容器执行了10分钟并且没有出现问题，kubelet对该容器的重启回退计时器执行重置操作。 每种控制器对Pod的重启策略要求如下： Replication Controller（RC）和DaemonSet：必须设置为Always，需要保证该容器的持续运行。 Job：OnFailure或Never，确保容器执行完成后不再重启。

本节主要描述在使用云容器引擎前,需理解该产品所涉及的概念,以便于您更好地理解容器产品。 关键词 说明 集群 集群指容器运行所需要的云资源组合，关联了若干服务器节点、负载均衡、专有网络等云资源。 专有版集群：需要创建1个Master（非高可用），或者3/5个Master（高可用）节点，以及若干Worker节点，可对集群基础设施进行更细粒度的控制，需要自行规划、维护、升级服务器集群。 托管版集群：只需创建Worker节点，Master节点由CCSE创建并托管，具备操作简单、低成本无需运维等特点。 节点 一台服务器（可以是虚拟机实例或者物理服务器）已经安装了Docker Engine，可以用于部署和管理容器。容器的Agent程序会被安装到节点上并注册到一个集群上。 专有网络VPC 专有网络VPC是您自己独有的云上私有网络。您可以完全掌控自己的专有网络，例如选择IP地址范围、配置路由表和网关等，您可以在自己定义的专有网络中使用天翼云资源如云服务器、云数据库和负载均衡等。 安全组 安全组是一种虚拟防火墙，具备状态检测和数据包过滤能力，用于在云端划分安全域。安全组是一个逻辑上的分组，由同一地域内具有相同安全保护需求并相互信任的实例组成。 应用目录 应用目录功能集成了Helm，提供了Helm的相关功能，并进行了相关功能扩展，例如提供图形化界面。 编排模板 编排模板是一种保存Kubernetes YAML格式编排文件的方式。 Kubernetes Kubernetes是一个开源平台，具有可移植性和可扩展性，用于管理容器化的工作负载和服务，简化了声明式配置和自动化。 容器（Container） 打包应用及其运行依赖环境的技术，一个节点可运行多个容器。 镜像（Image） 容器镜像是容器应用打包的标准格式，封装了应用程序及其所有软件依赖的二进制数据。 镜像仓库（Image Registry） 容器镜像仓库是一种存储库，用于存储Kubernetes和基于容器应用开发的容器镜像。 管理节点（Master Node） 管理节点是Kubernetes集群的管理者，运行着的服务包括kubeapiserver、kubescheduler、kubecontrollermanager、etcd组件，和容器网络相关的组件。 工作节点（Worker Node） 工作节点是Kubernetes集群中承担工作负载的节点，可以是虚拟机也可以是物理机。工作节点承担实际的Pod调度以及与管理节点的通信等。一个工作节点上的服务包括Docker运行时环境、kubelet、KubeProxy以及其它一些可选的组件。 命名空间（Namespace） 命名空间为Kubernetes集群提供虚拟的隔离作用。Kubernetes集群初始有3个命名空间，分别是默认命名空间default、系统命名空间kubesystem和kubepublic，除此以外，管理员可以创建新的命名空间以满足需求。 容器组（Pod） Pod是Kubernetes部署应用或服务的最小的基本单位。一个Pod封装多个应用容器（也可以只有一个容器）、存储资源、一个独立的网络IP以及管理控制容器运行方式的策略选项。 副本控制器（ReplicationController，RC） RC确保任何时候Kubernetes集群中有指定数量的Pod副本在运行。通过监控运行中的Pod来保证集群中运行指定数目的Pod副本。指定的数目可以是多个也可以是1个；少于指定数目，RC就会启动运行新的Pod副本；多于指定数目，RC就会终止多余的Pod副本。 副本集（ReplicaSet，RS） ReplicaSet（RS）是RC的升级版本，唯一区别是对选择器的支持，RS能支持更多种类的匹配模式。副本集对象一般不单独使用，而是作为Deployment的理想状态参数使用。 工作负载（Workload） 工作负载是在Kubernetes上运行的应用程序。 标签（Label） Labels的实质是附着在资源对象上的一系列Key/Value键值对，用于指定对用户有意义的对象的属性，标签对内核系统是没有直接意义的。标签可以在创建一个对象的时候直接赋予，也可以在后期随时修改，每一个对象可以拥有多个标签，但key值必须唯一。 服务（Service） Service是Kubernetes的基本操作单元，是真实应用服务的抽象，每一个服务后面都有很多对应的容器来提供支持，通过KubeProxy的ports和服务selector决定服务请求传递给后端的容器，对外表现为一个单一访问接口。 路由（Ingress） Ingress是授权入站连接到达集群服务的规则集合。您可以通过Ingress配置提供外部可访问的URL、负载均衡、SSL、基于名称的虚拟主机等。通过POST Ingress资源到API Server的方式来请求Ingress。Ingress Controller负责实现Ingress，通常使用负载均衡器，它还可以配置边界路由和其他前端，这有助于以高可用的方式处理流量。 配置项（ConfigMap） 配置项可用于存储细粒度信息如单个属性，或粗粒度信息如整个配置文件或JSON对象。您可以使用配置项保存不需要加密的配置信息和配置文件。 保密字典（Secret） 保密字典用于存储在Kubernetes集群中使用一些敏感的配置，例如密码、证书等信息。 卷（Volume） 和Docker的存储卷有些类似，Docker的存储卷作用范围为一个容器，而Kubernetes的存储卷的生命周期和作用范围是一个Pod。每个Pod中声明的存储卷由Pod中的所有容器共享。 存储卷（Persistent Volume，PV） PV是集群内的存储资源，类似节点是集群资源一样。PV独立于Pod的生命周期，可根据不同的StorageClass类型创建不同类型的PV。 存储卷声明（Persistent VolumeClaim，PVC） PVC是资源的使用者。类似Pod消耗节点资源一样，而PVC消耗PV资源。 存储类（StorageClass） 存储类可以实现动态供应存储卷。通过动态存储卷，Kubernetes将能够按照用户的需要，自动创建其所需的存储。 弹性伸缩（Autoscaling） 弹性伸缩是根据业务需求和策略，经济地自动调整弹性计算资源的管理服务。典型的场景包含在线业务弹性、大规模计算训练、深度学习GPU或共享GPU的训练与推理、定时周期性负载变化等。 可观测性（Observability） Kubernetes可观测性体系包含监控和日志两部分，监控可以帮助开发者查看系统的运行状态，而日志可以协助问题的排查和诊断。 Helm Helm是Kubernetes包管理平台。Helm将一个应用的相关资源组织成为Charts，然后通过Charts管理程序包。 节点亲和性（nodeAffinity） 节点亲和性指通过Worker节点的Label标签控制Pod部署在特定的节点上。 污点（Taints） 污点和节点亲和性相反，它使节点能够排斥一类特定的Pod。 容忍（Tolerations） 应用于Pod上，允许（但并不要求）Pod调度到带有与之匹配的污点的节点上。 应用亲和性（podAffinity） 应用亲和性决定应用Pod可以和特定Pod部署在同一拓扑域。例如，对于相互通信的服务，可通过应用亲和性调度，将其部署到同一拓扑域（例如同一个主机）中，以减少它们之间的网络延迟。 应用反亲和性（podAntiAffinity） 应用反亲和性决定应用Pod不与特性Pod部署在同一拓扑域。例如，将一个服务的Pod分散部署到不同的拓扑域（例如不同主机）中，以提高服务本身的稳定性。 服务网格（Istio） Istio是一个提供连接、保护、控制以及观测服务的开放平台，兼容社区Istio开源服务网格，用于简化服务的治理，包括服务调用之间的流量路由与拆分管理、服务间通信的认证安全以及网格可观测性能力。

本节介绍网络的用户指南:LoadBalancer类型Service 云容器引擎支持将Service通过负载均衡ELB向外暴露， 云容器引擎集群内置CCM（Cloud Controller Manager）插件，当Service的类型为LoadBalancer时，CCM插件会为Service配置负载均衡，并根据Service信息配置好负载均衡的后端服务器组、健康检查和监听规则等，使得用户可以通过负载均衡访问该Service。以下是使用负载均衡的步骤指引。 使用已有负载均衡暴露服务 前提条件 用户已提前在负载均衡控制台创建ELB实例，ELB实例需要与Service所在的容器集群在同一个VPC网络下。 注意事项 不同Service可以同时复用同一个负载均衡实例，复用同一个负载均衡实例需要避免不同Service使用相同的服务端口，否则存在监听配置被覆盖的情况 不能复用由CCM自动创建的或集群ApiServer使用的负载均衡实例 当Service删除时，使用已有的负载均衡不会被删除 集群Master节点不作为负载均衡实例的后端 操作步骤 1. 登录 云容器引擎 控制台，点击进入想要操作的集群，在左侧菜单选择“网络” “服务”； 2. 如下图，点击“新建”按钮新建服务，按照参数说明配置相关的参数； 服务访问方式：选择负载均衡 负载均衡：可根据业务需要选择私网访问或公网访问，集群内或同一VPC内访问建议选择私网访问即可；选择“使用已有负载均衡”；负载均衡实例列表会根据选择的私网/公网访问方式显示出对应的实例，选择想要使用的负载均衡实例即可 标签：根据需要可以为服务配置标签 注解：根据需要可以为服务配置注解 外部流量策略：Cluster或Local。Cluster策略下，集群所有可用工作节点都会挂载到负载均衡实例；Local策略下，只有Service对应的Pod所在节点会挂载到负载均衡实例 端口映射：配置好协议、容器端口及服务端口，其中容器端口为应用本身暴露的端口，服务端口则会作为负载均衡实例的监听端口 工作负载绑定：选择服务要关联的工作负载，也可以配置自定义标签关联 3. 创建服务后，在服务列表可以看到该服务，通过服务的集群外访问地址即可以访问该服务。

本文介绍可观测性相关操作。 容器引擎服务目前提供了总体资源的基础监控能力。用户可通过点击控制导航栏处的【总览】，进入总览界面，查看汇总的资源信息。也可单独查看各个应用、容器的相关信息。 操作步骤 总览界面查看使用CCE的相关信息，需首先选择当前集群，将展现选择集群的以下信息： 节点、应用、容器组、服务、ingress的数量统计数量； 监控管理：提供集群监控信息，包括网络速率，及磁盘、cpu、内存类型的资源利用率； 组件状态监控：提供API server、Controller Managers、Scheduler组件状态监控； 用户也可以通过点击【资源管理】>【集群管理】等入口，获得各应用状态及监控信息，同时可查看集群及容器日志： 监控：无状态应用及容器组运行情况，包括正常与异常两种状态; 应用资源使用量监控：记录当前的资源使用量，包括CPU使用量、内存使用量； 应用事件：记录应用事件，包括发生次数、事件、类型、消息内容等； 容器组日志：提供容器内部的日志信息； 容器事件：记录容器事件，包括发生次数、事件、类型、消息内容等； 集群日志：提供集群创建过程中的日志信息； 集群监控：提供cpu、内存、磁盘使用率指标及网络上下行速率监控指标查看； 节点监控：提供cpu、内存、磁盘使用率指标及网络上下行速率监控指标查看； 节点事件：记录容器事件，包括发生次数、事件、类型、消息内容等。

本文主要介绍 镜像管理类问题 如何安装容器引擎？ 容器引擎几乎支持在所有操作系统上安装，用户可以根据需要选择要安装的容器引擎版本。 说明 容器镜像服务支持使用容器引擎1.11.2 及以上版本上传镜像。 安装容器引擎需要连接互联网，内网服务器需要绑定弹性IP后才能访问。 另外，在Linux 操作系统下，可以使用如下命令快速安装容器引擎。 curl fsSL get.docker.com o getdocker.sh sh getdocker.sh 如何制作容器镜像？ 自行制作容器镜像，主要有两种方法： 制作快照方式获得镜像（偶尔制作的镜像）：在基础镜像上（比如Ubuntu），先登录镜像系统并安装容器引擎软件，然后整体制作快照。 Dockerfile方式构建镜像（经常更新的镜像）：将软件安装的流程写成Dockerfile，使用docker build构建成容器镜像。 方法一：制作快照方式获得镜像 如果后续镜像没有变化，可采用方法一制作镜像。 具体操作如下： 找一台主机，安装容器引擎软件。 启动一个空白的基础容器，并进入容器。 例如：启动一个CentOS的容器。 docker run it centos 执行安装任务。 yum install XXX git clone cd bwa;make 说明 请预先安装好Git，并检查本机是否有ssh key设置。 输入exit退出容器。 制作快照。 docker commit m "xx" a "test" containerid test/image:tag a：提交的镜像作者。 containerid：步骤2中的容器id。可以使用docker ps a查询得到容器id。 m：提交时的说明文字。 test/image:tag：仓库名/镜像名:TAG名。 执行docker images可以查看到制作完成的容器镜像。

高级配置——日志收集管理 应用部署到k8s集群时，可以开通云日志服务，把业务文件日志、容器标准输出stdout、stderr日志输出到云日志服务，方便无限制行数地查看日志和自聚合分析日志。目前，云日志服务支持的采集日志类型为标准输出、文件日志，文件日志的采集路径支持配置为具体文件、文件夹。配置为具体文件时，系统只会采集该文件的日志；配置为文件夹时，系统会采集该文件夹下所有文件的日志。添加采集规则需要选择日志项目和日志单元，若不存在日志项目和日志单元可以点击选择框后面的创建按钮进行创建。 需要注意的是，正常使用日志收集管理功能需要两个前提： 1. 需要开通云日志服务； 2. 需要在开通的云容器引擎实例中成功安装日志插件； 高级配置——配置管理 将创建好的K8s配置项或者K8s保密字典以文件的形式挂载到容器的指定目录，从而向容器中注入配置信息。 配置管理参数名称 配置管理参数含义 配置类型 目前支持K8s配置项和K8s保密字典。 挂载类型 支持挂载到文件。 挂载源 需要挂载到应用容器文件系统中的配置项名称。 挂载主目录 设置容器的挂载主目录。路径必须以正斜线（/）开头。 文件挂载方式 保留原文件。保留原目录下的文件，相同文件名将保留本次挂载文件，隐藏原目录重名文件。 挂载配置 要挂载的key：需要挂载到应用容器文件系统中的配置项指定的Key。 挂载文件路径：相对挂载主目录的子路径。