步骤四：浏览器打开Nextcloud 1.在云主机详情页下方“安全组”页签下，在该页签默认安全组下点击“添加规则”，对浏览器所在机器的IP地址和Nextcloud所使用的7080端口和入方向进行放开。本文采用的是对全部协议及端口进行放通，具体操作请参考添加安全组规则。 2.在本地浏览器输入{公网IP地址:7080}，打开Nextcloud登录页面，设定管理员账和密码，点击“安装”。其中公网IP地址可在云主机详情页中“弹性IP”页签下获取。 3.安装成功后，点击安装推荐的应用。 4.进入欢迎界面。 5.点击左上角第二个文件夹图标，进入网盘页面。在网盘页面可以进行新建文件夹、共享内容等。

编号 操作 相关文档 1 在线测试，了解产品能力 2 配置防护策略（可选） 3 创建应用，获取调用凭证 4 API 接入 5 日志监控

准备工作 购买智算安全专区大模型安全护栏实例 操作流程 编号 操作 相关文档 1 在线测试，了解产品能力 在线测试 2 配置防护策略（可选） 防护策略 3 创建应用，获取调用凭证 创建应用 4 API 接入 开发指南（API 接入） 5 日志监控 日志查询

Key Value(说明) ContentType application/json ctyuneoprequestid 用户请求id，通过uuid生成，形如33dfa732b27b464fb15a21ed6845afd5 EopAuthorization 由天翼云官网accessKey和securityKey经签名后生成，签名逻辑详见后续说明 eopdate 请求时间，形如yyyymmddTHHMMSSZ，例如20211221T163014Z host 终端节点域名 appkey 控制台我的应用中每个应用具有的AppKey信息，鉴权时需要加入header decrypted 接口加密功能开关，需要启用接口加密时，设置decryptedtrue

Key Value(说明) ContentType application/json ctyuneoprequestid 用户每次请求生成唯一字符串，例如JAVA中UUID，用于定位唯一请求 EopAuthorization 由天翼云官网accessKey和securityKey经签名后生成，签名逻辑详见后续说明 eopdate 请求时间，形如yyyymmddTHHMMSSZ，例如20211221T163014Z host 终端节点域名 appkey 控制台我的应用中每个应用具有的AppKey信息，鉴权时需要加入header decrypted 接口加密功能开关，需要启用接口加密时，设置decryptedtrue

本章节主要介绍数据架构使用流程。 DataArts Studio数据架构的流程如下： 1.准备工作 ： −添加审核人 ：在数据架构中，业务流程中的步骤都需要经过审批，因此，需要先添加审核人。只有工作空间管理员角色的用户才具有添加审核人的权限。 −管理配置中心 ：数据架构中提供了丰富的自定义选项，统一通过配置中心提供，您需要根据自己的业务需要进行自定义配置。 2.数据调研 ：基于现有业务数据、行业现状进行数据调查、需求梳理、业务调研，输出企业业务流程以及数据主题划分。 −主题设计 ：通过分层架构表达对数据的分类和定义，帮助厘清数据资产，明确业务领域和业务对象的关联关系。 主题域分组 ：基于业务场景对主题域进行分组。 主题域 ：互不重叠数据的高层面的数据分类，用于管理其下一级的业务对象。 业务对象 ：指企业运作和管理中不可缺少的重要人、事、物信息。 −流程设计 ：针对流程的一个结构化的整体框架，描述了企业流程的分类、层级以及边界、范围、输入/输出关系等，反映了企业的商业模式及业务特点。 3.标准设计 ：新建码表&数据标准。 −新建码表 ：通常只包括一系列允许的值和附加文本描述，与数据标准关联用于生成值域校验质量监控。 −新建数据标准 ：用于描述公司层面需共同遵守的属性层数据含义和业务规则。其描述了公司层面对某个数据的共同理解，这些理解一旦确定下来，就应作为企业层面的标准在企业内被共同遵守。 4.模型设计： 应用关系建模和维度建模的方法，进行分层建模。 −关系建模 ：基于关系建模，新建SDI层和DWI层两个模型。 SDI ：Source Data Integration，又称贴源数据层。SDI是源系统数据的简单落地。 DWI ：Data Warehouse Integration，又称数据整合层。DWI整合多个源系统数据，对源系统进来的数据进行整合、清洗，并基于三范式进行关系建模。 −维度建模 ：基于维度建模，新建DWR层模型并发布维度和事实表。 DWR ：Data Warehouse Report，又称数据报告层。DWR基于多维模型，和DWI层数据粒度保持一致。 维度 ：维度是用于观察和分析业务数据的视角，支撑对数据进行汇聚、钻取、切片分析，用于SQL中的GROUP BY条件。 事实表 ：归属于某个业务过程的事实逻辑表，可以丰富具体业务过程所对应事务的详细信息。 5.指标设计 ：新建业务指标和技术指标，技术指标又分为原子指标、衍生指标和复合指标。 −指标 ：指标一般由指标名称和指标数值两部分组成，指标名称及其涵义体现了指标质的规定性和量的规定性两个方面的特点，指标数值反映了指标在具体时间、地点、条件下的数量表现。 业务指标用于指导技术指标，而技术指标是对业务指标的具体实现。 −原子指标 ：原子指标中的度量和属性来源于多维模型中的维度表和事实表，与多维模型所属的业务对象保持一致，与多维模型中的最细数据粒度保持一致。 原子指标中仅含有唯一度量，所含其它所有与该度量、该业务对象相关的属性，旨在用于支撑指标的敏捷自助消费。 −衍生指标 ：是原子指标通过添加限定、维度卷积而成，限定、维度均来源于原子指标关联表的属性。 −复合指标 ：由一个或多个衍生指标叠加计算而成，其中的维度、限定均继承于衍生指标。 注意，不能脱离衍生指标、维度和限定的范围，去产生新的维度和限定。 6.数据集市建设 ：新建DM层并发布汇总表。 −DM (Data Mart) ：又称数据集市。DM面向展现层，数据有多级汇总。 −汇总表 ：汇总表是由一个特定的分析对象（如会员）及其相关的统计指标组成的。组成一个汇总逻辑表的统计指标都具有相同的统计粒度（如会员），汇总逻辑表面向用户提供了以统计粒度（如会员）为主题的所有统计数据（如会员主题集市）。

Key Value(说明) ContentType application/json ctyuneoprequestid 用户请求id，通过uuid生成，形如33dfa732b27b464fb15a21ed6845afd5 EopAuthorization 由天翼云官网accessKey和securityKey经签名后生成，签名逻辑详见后续说明 eopdate 请求时间，形如yyyymmddTHHMMSSZ，例如20211221T163014Z host 终端节点域名 appkey 控制台我的应用中每个应用具有的AppKey信息，鉴权时需要加入header

本小节介绍Web应用防火墙黑白名单配置操作方法。 Web应用防火墙支持全局黑白名单，可以选择一个防护域即一级域名（选择防护域后，系统会关联这个域下面的所有域名）进行防护黑、白名单配置。 黑名单：配置了黑名单的访问源，所有访问全部屏蔽。 白名单：配置了白名单的访问源，所有访问全部放行。 新增黑白名单 1. 进入Web应用防火墙控制台。 2. 在左侧导航栏，选择“黑白名单配置”，进入黑白名单配置页面。 3. 单击“新增”，进入新增配置页面。 4. 配置黑白名单参数，具体参数说明见下表。 参数名称 参数说明 配置类型 选择“黑名单”或“白名单”。 防护域 选择一个防护域，即一级域名。如www.ctyun.com、mail.ctyun.com的防护域为ctyun.com。 防护域名 选择防护域后，系统会关联这个域下面的所有域名，黑白名单将对关联的黑白名单生效。 用户可以对关联的子域名进行手动删除/增加，精确实现对防护域下面的指定子域名进行黑白名单配置。 黑白名单类型 黑白名单类型包括IP、Referer、URL、UserAgent四种类型。 黑白名单内容 根据所选黑白名单的类型，填写黑白名单内容： IP黑白名单：输入公网IP地址，如10.10.10.10。 URL黑白名单：如访问URL为

本节介绍了节点池最佳实践:Pod调度到节点池的不同节点。 Pod调度到节点池不同节点 场景：服务在同一个节点池中，同一个应用的Pod之间反亲和，一个节点只能调度一个Pod。 创建节点池扩容两个节点。在节点池详情的节点列表可以查看到创建的两个节点。 使用以下示例内容，配置应用YAML。通过反亲和性配置两个应用Pod，将不同的Pod调度到节点池不同节点上。 plaintext apiVersion: apps/v1 kind: Deployment metadata: name: nginx labels: app: nginx spec: replicas: 2 selector: matchLabels: app: nginx template: metadata: name: nginx labels: app: nginx spec: affinity: podAntiAffinity: requiredDuringSchedulingIgnoredDuringExecution: 设置调度策略。 labelSelector: matchExpressions: key: app operator: In values: nginx topologyKey: kubernetes.io/hostname nodeSelector: ccse.ctyun.cn/nodepoolname: 指定节点池。 containers: name: nginx image: nginx resources: limits: cpu: 1 requests: cpu: 1 在无状态页面，单击目标Deployment进入详情，在容器组页签，可以看到两个不同的Pod调度到节点池不同节点上。

本文详细介绍IP应用加速接入模块的功能。 功能介绍 在IP应用加速接入模块，您可以进行新增接入、域名/实例状态查询、查看/编辑/停用/启用/删除等操作。 新增接入 详情请查看：添加域名/实例。 IP应用加速接入列表 查看接入列表，可以查看已添加的域名/实例信息，包括域名、实例名称、接入方式、CNAME、加速区域、状态、IPv6解析、操作等。 IPv6解析可以开启IPv6解析或者关闭IPv6解析。 操作列包含加速配置、安全防护、停用、删除、启用、区域变更。 【加速配置】可以查看当前加速域名的加速配置信息，也可以编辑当前加速域名的配置信息。 【安全防护】可以查看当前加速域名的安全防护配置，也可以修改当前加速域名的安全防护配置。 【停用】停止当前域名解析，停止域名加速服务。 【启用】恢复当前域名解析，启用域名加速服务。 【删除】可以删除已停用状态的域名。 当域名状态为【已启用】且无在途工单时，可以对域名配置进行【查看】、【编辑】、【停用】操作。 当域名状态为【配置中】时，仅可以对域名配置进行【查看】操作。 当域名状态为【已停用】且无在途工单时，可以对域名配置进行【查看】、【启用】、【删除】操作。 当域名有在途工单时，无论域名是什么状态，都只能对域名配置进行【查看】操作。 【区域变更】可修改当前加速域名的加速区域。

本节介绍如何查看WAF基本信息。 前提条件 已成功添加防护网站。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 步骤5 查看防护网站信息，参数说明如表所示。 工作模式切换：在“工作模式”列，单击“切换”，选择想要切换的工作模式。 检查网站接入状态：在“接入状态”列，可单击，刷新域名接入状态。 最近三天防护监控：在“最近三天防护监控”列，单击“查看”，查看具体的防护日志。 删除防护域名：在“操作”列，单击“删除”，可删除目标防护域名。 参数名称 参数说明 域名 防护的域名或IP。 部署模式 防护网站的部署模式，仅支持“独享模式”。 源站IP/端口 客户端访问的网站服务器的公网IP地址和WAF转发客户端请求到服务器的业务端口。 证书 绑定该域名的证书，单击证书名称，可跳转到“证书管理”页面。 近3天威胁 该域名3天内的防护情况。 工作模式 防护模式。点击切换，可选择以下两种防护模式： “开启防护”：开启状态。 “暂停防护”：关闭状态。如果大量的正常业务被拦截，比如大量返回418返回码，可以将“工作模式”切换为“暂停防护”。该模式下，WAF对所有的流量请求只转发不检测。该模式存在风险，建议您优先选择全局白名单（原误报屏蔽）规则处理正常业务拦截问题。 防护策略 显示通过WAF配置的防护策略总数。单击数字可跳转到规则配置页面。 域名接入进度 网站接入WAF未完成的步骤或者接入状态。 创建时间 该域名添加到WAF的时间。 步骤6 在目标网站所在行的“防护网站”列中，单击目标网站，进入网站基本信息页面。 步骤7 查看防护域名的信息，如图所示。 当客户端协议选择HTTPS时，若需要更新证书，单击编辑按钮，在弹出的对话框中，上传新证书或者选择已有证书。关于证书更新的详细内容请参见：更新证书。 当客户端协议选择HTTPS时，若需要更新访问源站的TLS版本和TLS的加密套件，单击编辑按钮，在弹出的对话框中，重新选择TLS版本和TLS的加密套件。关于配置TLS的详细内容请参见：配置TLS最低版本和加密套件。 若需要修改“是否已使用代理”，可以单击编辑按钮，在弹出的对话框中，重新配置是否需要使用代理，如果需要使用代理，设置成“是”。 “告警页面”默认为“系统默认”的页面，您也可以单击编辑按钮，在弹出的对话框中，配置“自定义”或者“重定向”页面。 如果您需要针对域名的每个请求设置超时时间，开启“超时配置”并单击编辑按钮，设置“连接超时”、“读超时”、“写超时”的时间。开启后不支持关闭。

本文介绍分布式消息服务MQTT的Keep Alive设置推荐。 在MQTT中，Keep Alive是一个用于保持客户端和服务器之间的活动连接的机制。它是通过客户端定期发送PINGREQ消息来实现的，以确保连接保持活动状态。当服务器接收到PINGREQ消息后，会回复PINGRESP消息，表示连接仍然活动。 Keep Alive的设置取决于你的应用需求和网络环境。以下是一些建议： 1. 根据网络稳定性设置：如果你的网络环境非常稳定，连接很少会断开，你可以将Keep Alive设置为较长的时间，例如60秒或更长。这样可以减少PINGREQ和PINGRESP消息的频繁发送，减少网络流量和资源消耗。 2. 根据应用实时性设置：如果你的应用对实时性要求较高，需要及时获取和响应消息，则可以将Keep Alive设置为较短的时间，例如10秒或更短。这样可以快速检测到连接丢失，并尽快重新连接或采取相应的处理措施。 3. 根据网络延迟设置：如果你的网络延迟较高，连接速度较慢，你可能需要将Keep Alive设置为较长的时间，以允许更多的时间来处理网络延迟和连接恢复。 需要注意的是，Keep Alive的设置不应过于频繁或过于长久。太频繁的Keep Alive会增加网络流量和服务器负载，太长久的Keep Alive可能会导致连接超时和断开。 一般来说，根据网络稳定性和应用实时性的考虑，将Keep Alive设置为30秒到5分钟之间是比较常见的。你可以根据你的具体需求和实际情况进行调整和优化。

本文带您了解弹性负载均衡的功能特性。 支持四、七层协议的转发 支持TCP/UDP/HTTP/HTTPS协议，满足不同协议接入需求，可以根据不同的应用场景选择不同的协议进行接入。四层转发工作在OSI模型的传输层，在接收到客户端的流量以后通过修改数据包的地址信息将流量转发到应用主机。七层转发工作在OSI 模型的应用层，七层转发会与客户端建立一条完整的连接并将应用层的请求流量解析出来，再按照调度算法选择一个应用主机。 支持获取用户真实源IP 在四层转发（TCP）服务中，弹性负载均衡支持通过配置TOA插件获取用户真实IP。在七层转发（HTTP/HTTPS）服务中，弹性负载均衡支持通过HTTP头中的XForwardedFor获取来访者真实IP。 支持灵活的转发策略 用户设置负载均衡监听器的负载方式时，可选择轮询、最小连接数模式的流量分发方式。监听器支持配置转发策略，可支持按域名转发，URL转发，URL转发支持精确匹配、前缀匹配、正则表达式匹配，为用户提供灵活易用的流量分发能力。 支持会话保持功能 用户可针对负载均衡服务监听器开启会话保持功能，确保用户的请求在同一台主机上进行处理，以避免会话丢失。针对7层 （HTTP协议）服务，负载均衡系统是基于Cookie的会话保持；针对4层（TCP协议）服务，负载均衡系统是基于IP地址的会话保持。它可以将同一个客户端的请求始终发送到同一台后端主机，以维持会话的连续性。

本文介绍CCE如何接入云日志服务 云日志服务支持云容器引擎（Cloud Container Engine）日志接入。 前提条件 CCE集群已安装ICAgent并且已创建相关节点自定义标识的主机组，若没有安装ICAgent，请到主机管理页面进行升级，详细操作请参考升级ICAgent。 已关闭采集容器标准输出到AOM的开关。 使用限制 支持容器引擎为Docker的CCE集群节点。 支持使用Container作为容器引擎的CCE集群节点（ICAgent 5.12.130及以上版本）。 容器内的日志目录如果已挂载到主机目录上，将无法通过配置容器文件路径方式采集到LTS，只能通过配置节点文件路径方式采集到LTS。 Docker存储驱动限制：容器文件日志采集目前仅支持overlay2存储驱动，不支持devicemapper作为存储驱动的节点。查看存储驱动类型，请使用如下命令： docker info grep "Storage Driver" 如果选择日志流时，采集方式为采集到集中日志流时，则必须已创建CCE集群。 操作步骤 云日志服务接入方式选择CCE接入时，按照如下操作完成接入配置。 1. 登录云日志服务控制台。 2. 在左侧导航栏中，选择“日志接入”，单击“云容器引擎 CCE应用日志”进行CCE接入配置。 3. 或者在左侧导航栏中，选择“日志管理”，单击目标日志流的名称进入日志详情页面，单击右上角，在弹出页面中，选择“采集配置”页面，单击“新建采集配置”，在新打开的页面，选择“云容器引擎 CCE应用日志”进行CCE接入配置。 4. 选择日志流。 有两种采集方式：采集到自定义日志流和采集到集中日志流，您可以根据实际情况选择采集方式。 采集到自定义日志流 1. 单击“CCE集群”后的目标框，在下拉列表中选择具体的集群。 2. 单击“所属日志组”后的目标框，在下拉列表中选择具体的日志组，若没有所需的日志组，单击“所属日志组”目标框后的“新建”，在弹出的创建日志组页面创建新的日志组。 3. 单击“所属日志流”后的目标框，在下拉列表中选择具体的日志流，若没有所需的日志流，单击“所属日志流”目标框后的“新建”，在弹出的创建日志流页面创建新的日志流。 4. 单击“下一步：检查依赖项”。 采集到集中日志流 集中采集日志到一个固定的日志流。CCE集群默认的采集日志流分别为标准输出/错误stdout{ClusterID}、节点文件hostfile{ClusterID}、K8S事件: event{ClusterID}和容器文件containerfile{ClusterID}。日志流名称会根据ClusterID自动命名，例如：集群ID为Cluster01，则标准输出/错误日志流为stdoutCluster01。 在一个CCE集群下可以创建的采集日志流为标准输出/错误stdout{ClusterID}、节点文件hostfile{ClusterID}、容器文件containerfile{ClusterID}）和K8s事件event{ClusterID}，如果某个日志组下，已创建某种采集日志流，则不会在其他日志组或当前日志组下再创建该日志流。 1. 单击“CCE集群”后的目标框，在下拉列表中选择具体的集群。 2. 默认所属日志组为k8slog集群ID，例如集群ID为c7f3f4a5bcb811eda4ec0255ac100b07，默认所属日志组为k8slogc7f3f4a5bcb811eda4ec0255ac100b07。 说明 1. 当无该日志组时，系统会提示：暂无该日志组，后续操作中，系统将会为您自动创建，创建完成后日志会集中采集到该日志组中。 3. 单击“下一步：检查依赖项”。 5. 检查依赖项。 系统自动检查以下内容检查项是否符合要求： 1. 已安装ICAgent，且版本 > 5.12.130。 2. 存在名称和自定义标识都是k8slog集群ID的主机组。 3. 存在名为k8slog集群ID的日志组。 4. 存在系统推荐的集中采集的日志流。当选择日志流为采集到集中日志流时，会进行该项内容检查。 如果以上内容检查项中，有任意一项不符合要求，需单击“自动修复”按钮进行修复，否则将无法进行下一步操作。 说明 自动修复：一键帮您完成以上内容检查项配置。 重新检查：重新检查依赖项。 当选择日志流为采集到自定义日志流时，“存在名为k8slog集群ID的日志组”的检查项为可选项。您可以通过开启或关闭开关进行控制，确定是否进行该项检查。 6. 选择主机组（可选）。 1. 在主机组列表中选择一个或多个需要采集日志的主机组，若没有所需的主机组，单击列表左上方“新建”，在弹出的新建主机组页面创建新的主机组，具体可参考[创建主机组（自定义标识）](

应用场景 分布式消息服务RocketMQ适用于电商、金融、政企等多样业务场景，通常用于业务的分布式系统异步通信、数据同步和交换以及削峰填谷等场景。更多信息请参见应用场景。 使用限制 分布式消息服务RocketMQ对Topic、Group等对象信息进行限制，使用时注意不要超过限制，以免程序出现异常。更多信息请参见使用限制。

本节主要介绍创建网格 ASM支持创建基础版网格，提供商用级网格服务。 前提条件 启用应用服务网格前，您需要创建或已有一个可用集群，并确保集群版本为v1.15及以上。 约束与限制 应用服务网格依赖集群CoreDNS的域名解析能力，请确保集群拥有足够资源，且CoreDNS插件运行正常。 集群启用Istio时，需要开通node节点（计算节点/工作节点）所在安全组的入方向7443端口规则，用于Sidecar自动注入回调。如果您使用CCE创建的默认安全组，此端口会自动开通。如果您自建安全组规则，请手动开通7443端口，以确保Istio自动注入功能正常。 操作步骤 步骤 1 登录应用服务网格控制台。 步骤 2 单击右上角“创建网格”。 步骤 3 设置网格参数。 网格类型 默认为基础版网格。 网格名称 网格的名称，取值必须以小写字母开头，由小写字母、数字、中划线（）组成，且不能以中划线（）结尾，长度范围为4~64个字符。 同一帐号下网格不可重名，且网格名称创建后不可修改。 Istio版本 网格支持的Istio版本。 启用IPv6 启用双栈网格需满足以下条件： 网格类型 Istio版本 支持启用的集群类型 集群网络类型 其他说明 基础版 1.18及以上 CCE Turbo集群 云原生网络2.0 集群需要已启用IPv6 说明 是否启用IPv6功能，仅istio1.18及以上版本的基础版网格支持。 低版本的网格升级到1.18及以上时，不支持升级后开启IPv4/IPv6双栈。 网格开启IPv4/IPv6双栈后不支持关闭， 未开启双栈的网格也不支持创建完成之后开启双栈。 集群 在集群列表中选择集群，或在列表右上角输入集群名称搜索需要的集群。仅可选择当前网格版本支持的集群版本。 Istio控制面节点 基础版网格的控制面组件安装在用户集群，因此需要选择用于安装Istio控制面的节点。如果需要高可用，建议选择两个或以上不同可用区的节点。 所选节点会被添加istio:master标签，网格组件会调度到该节点上。 步骤 4（可选）高级配置。 sidecar配置 选择命名空间，为命名空间设置标签istioinjectionenabled，其中的Pod在重启后会自动注入istioproxy sidecar。 如果不进行sidecar配置，可在网格创建成功后在“网格配置 > sidecar管理”中注入sidecar。具体操作请参考sidecar注入。 是否重启已有服务 ：会重启命名空间下已有服务关联的Pod，将会暂时中断业务。只有在重启后，已有服务关联的Pod才会自动注入istioproxy sidecar。 ：已有服务关联的Pod不会自动注入istioproxy sidecar，需要在CCE控制台，手动重启工作负载才会注入sidecar。 步骤 5 设置完成后，在页面右侧配置清单确认网格配置，确认无误后，单击“提交”。 创建网格预计需要1~3分钟，请耐心等待。当网格状态从“安装中”变为“运行中”，表示网格创建成功。 说明 启用网格期间会操作如下资源： 创建一个Helm应用编排release对象，作为服务网格控制面的资源。 开通节点的安全组，允许7443端口的入流量，使其支持对Pod进行自动注入。

本章节介绍云原生网关CGW子产品的应用场景 流量接入&服务治理 传统的服务架构中采用流量网关+业务网关实现流量接入与分发；云原生网关融合了流量网关和业务网关能力，作为微服务架构中东西向和南北向流量的入口，提供了tls卸载，服务发现，请求路由，负载均衡，熔断限流等流量治理能力。 认证鉴权 在云上发布的服务一般需要对前端的请求进行认证鉴权，云原生网关提供了jwt、oidc、ip黑白名单及一系列扩展插件，实现对应用请求的身份认证和访问控制。 可视化运维 微服务网关提供丰富的可观测能力，包括指标监控，日志监控及全链路追踪能力；无需特殊配置即可获取丰富的可观测能力。

为Java应用手动安装Agent,您可能会遇到如下问题。 APM Agent和其他APM产品Agent（例如SkyWalking）是否兼容？ APM Agent是基于opentelemetry开源项目的Agent进行的二次开发，和其他APM产品Agent都不兼容。APM大多是基于ASM框架进行字节码插桩实现的，同时安装两个Agent相当于对您的代码插桩两次，由于不同厂家的插装代码实现不同，代码冲突可能造成各类问题（例如应用启动缓慢，类冲突等问题），因此强烈建议您不要同时安装多个APM Agent。 如何检查APM Agent是否安装成功 使用ps命令查看命令行启动参数中是否成功安装APM Agent。 ps ef grep 'ctyunArmsAgent' 成功安装时，如下图所示：

本小节介绍 Web应用防火墙自定义防护策略。 自定义防护策略配置入口 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF防护配置”，进入WAF防护配置页面。 3. 在WAF防护配置列表中，单击防护域名操作列的“自定义防护配置”，进入自定义防护配置页面。 1.基础防护配置 通过此界面可以将WAF当前防护模式进行调整，可以由阻断模式调整到观察模式。 可通过设置当前网站的应用系统与编程语言等业务信息，制定更加符合业务场景的Web入侵防护规则集。 2.一键关站 一键关站支持快速关闭外部流量对源站的访问，并自定义网站响应内容。 3.AI智能学习模式 AI学习引擎通过自动学习网站的流量特征与访问模式，同时对业务数据进行分类训练，提高对已知与未知Web安全威胁的防护效果。 4.CC防护策略 CC攻击防护支持根据用户访问特定路径的行为进行人机识别、访问频率与封禁时间的自定义配置。

本章节演示通过使用ServiceStage的灰度发布功能部署weather服务的新版本weatherbeta。 ServiceStage提供了灰度发布功能，可以达到上述目的。 本章节演示通过使用ServiceStage的灰度发布功能部署weather服务的新版本weatherbeta。 业务场景 微服务引擎提供负载均衡、降级、限流、容错、熔断、错误注入、黑白名单等治理策略。 用户故事 用户可以根据实际的业务场景提前配置相应的治理策略，灵活应对业务需求变化，保障应用的稳定运行。 降级：在本实践中，假设前台请求剧增，导致系统响应缓慢甚至可能崩溃，在这样的场景下，我们可以在fusionweather对forecast使用降级策略，对forecast 进行降级处理，只请求比较重要的实时天气weather的数据，保障重要业务功能的正常运行，等流量洪峰过去再进行复原。 体验微服务降级 ServiceStage支持从界面上设置按微服务或接口粒度降级。 以对forecast微服务降级为例，操作步骤如下。 1. 登录ServiceStage控制台，选择“微服务引擎 CSE”。 2. 选择创建环境时选择的微服务引擎，单击“查看控制台”。 3. 单击“服务治理”。 4. 单击创建应用时创建的应用名称（例如weathermap） 5. 配置降级策略。 a. 选择fusionweather微服务。 b. 选择“降级”。 c. 单击“新增”。 d. “降级对象”选择“forecast”和“所有方法”。 e. “降级策略”设置为“开启”。 f. 单击“确定”

功能模块 权限名称 DTSadmin DTSuser DTSviewer 能力管理 获取特定用户的能力信息表 Y Y 告警管理 获取告警规则详情 Y Y Y 告警管理 添加告警规则 Y Y 告警管理 修改告警规则 Y Y 告警管理 查询所有告警项 Y Y Y 告警管理 查询告警列表 Y Y Y 告警管理 删除告警规则 Y Y 任务管理 获取源库中的位点信息 Y Y Y 任务管理 获取预检查项 Y Y Y 任务管理 进行预检查 Y Y Y 任务管理 获取特定表的列信息 Y Y Y 任务管理 获取结构详情 Y Y Y 任务管理 获取全量详情 Y Y Y 任务管理 获取增量详情 Y Y Y 任务管理 结构迁移状态 Y Y Y 任务管理 全量迁移状态 Y Y Y 任务管理 全量迁移状态 Y Y Y 任务管理 增量状态 Y Y Y 任务管理 判断是否满足一键切换条件 Y Y Y 任务管理 一键切换任务 Y Y 任务管理 判断是否已执行一键切换 Y Y Y 任务管理 获取任务详情 Y Y Y 任务管理 校验SQL语句 Y Y 任务管理 通过id获取dataMediaPair Y Y Y 任务管理 获取源库中存在的schema信息 Y Y Y 任务管理 获取某个schema下的迁移对象 Y Y Y 任务管理 检查数据库连通性 Y Y Y 任务管理 获取实例列表信息 Y Y Y 任务管理 获取实例详情 Y Y Y 监控管理 全量传输性能监控接口 Y Y Y 监控管理 增量传输性能监控接口 Y Y Y 监控管理 获取全量开始结束时间 Y Y Y 监控管理 获取增量开始结束时间 Y Y Y 许可证管理 核查许可证是否过期 Y Y Y 任务管理 错误日志详情信息 Y Y Y 任务管理 错误日志列表 Y Y Y 机器管理 获取所有机器 Y Y Y 机器管理 获取通过id单台机器 Y Y Y 机器管理 新增机器 Y Y 机器管理 添加时测试机器信息是否准确 Y Y Y 环境管理 添加时检查java版本 Y Y Y 环境管理 检查能否连接到zookeeper Y Y Y 环境管理 部署Node Y Y 任务管理 获取操作日志列表 Y Y Y 任务管理 存储前端数据 Y Y 任务管理 编辑前端数据 Y Y 任务管理 查看前端数据 Y Y Y 任务管理 获取pipeline信息 Y Y Y 任务管理 插入数据 Y Y 任务管理 编辑数据 Y Y 任务管理 数据库修改密码 Y Y 任务管理 启动任务 Y Y 任务管理 任务列表 Y Y Y 任务管理 任务详情 Y Y Y 任务管理 任务筛选 Y Y Y 任务管理 批量启停任务 Y Y 任务管理 数据稽查 对象级 Y Y Y 任务管理 对象级迁移数据对比 Y Y Y 任务管理 数据稽查 数据级 Y Y Y 任务管理 内容对比列表 Y Y Y 任务管理 内容稽核任务概要信息查询 Y Y Y 任务管理 内容稽核任务中不一致的chunk对的详细结果查询 Y Y Y 任务管理 内容稽核任务获取未检查表信息 Y Y Y 任务管理 开始内容对比任务 Y Y 任务管理 执行数据稽查 Y Y 任务管理 获取数据级对比任务详情 Y Y Y 任务管理 数据级迁移数据对比 Y Y 任务管理 根据任务类型查询任务列表 Y Y Y 任务管理 校检日志位点信息 Y Y Y 任务管理 获取任务配置参数 Y Y Y 任务管理 修复任务配置参数 Y Y 任务管理 获取数据修正详情 Y Y Y 任务管理 执行数据修正 Y Y 标签管理 绑定标签 Y Y 标签管理 解绑标签 Y Y 标签管理 删除标签 Y Y 任务管理 获取任务时间线 Y Y Y 资源管理 文件上传 Y Y 用户管理 用户登录 Y Y Y 用户管理 用户退出 Y Y Y 资源管理 获取控制台版本 Y Y Y OpenAPI 配置任务 Y Y OpenAPI 启动任务 Y Y OpenAPI 查询任务详情 Y Y Y OpenAPI 查询任务列表及各任务执行详情 Y Y Y OpenAPI 查询任务的子任务执行详情 Y Y Y OpenAPI 暂停任务 Y Y OpenAPI 结束任务 Y Y OpenAPI 释放任务 Y Y OpenAPI 修改任务源或目标库的账号密码 Y Y OpenAPI 修改任务名称 Y Y OpenAPI 查询所有的告警项 Y Y Y OpenAPI 创建告警规则 Y Y OpenAPI 修改告警规则 Y Y OpenAPI 查询告警规则列表 Y Y Y OpenAPI 创建标签 Y Y OpenAPI 查询标签 Y Y Y OpenAPI 解绑标签 Y Y OpenAPI 查询实例的所有标签 Y Y Y OpenAPI 查询标签键对应的所有值 Y Y Y

本文为您介绍Windows弹性云主机远程连接没有声音问题的处理方法。 故障描述 购买Windows弹性云主机后，通过MSTSC远程连接，发现没有声音。通过MSTSC远程连接的Windows弹性云主机如何播放音频？ 约束限制 本节内容适用于Windows Server 2008、Windows Server 2012、Windows Server 2016、Windows Server 2019系统的弹性云主机。 故障原因 Windows弹性云主机默认禁用音频设备，导致无法通过远程桌面的方式使用音频设备。如需播放音频、使用多媒体音频功能，可参见本节内容进行设置。 解决步骤 第1步：启动Windows Audio服务 1. 打开“运行”窗口。 2. 输入“services.msc”，打开“服务”。 3. 找到“Windows Audio”服务，并按如下方式设置。 启动类型：自动 服务状态：启动 以Windows 2016操作系统为例，如下图所示。 第2步：开启音频和视频播放功能 操作系统不同， “音频和视频播放”功能开启方法不同。 Windows 2008系统 1. 启用RDPTCP的“音频和视频播放”以及“录制音频”。 a. 打开“远程桌面会话主机配置”控制台。 打开“开始”菜单，选择“控制面板”。 单击右上角的“查看方式”下拉菜单，选择“类别”。 选择“系统和安全 > 管理工具 > 远程桌面服务 >远程桌面会话主机配置”。 b. 取消勾选“音频和视频播放”、“录制音频”。 在“连接”列表里面双击“RDPTcp”，选择“客户端设置”，取消勾选“音频和视频播放”和“录制音频”，如下图所示。 c. 单击“确定”，激活音频设备。 2. 重启弹性云主机并登录。 重启弹性云主机后，声卡的标识依旧是显示音频服务未运行。这是因为服务未开启，操作开启音频服务后如下图所示。 3. 打开网页播放音乐，即可验证播放音频成功。 以Windows 2016为例，如下所示： a. 打开“运行”窗口。 b. 输入 gpedit.msc，打开“组策略”。 c. 依次单击“计算机配置 > 管理模版 > windows 组件 >远程桌面服务 > 远程桌面会话主机 > 设备和资源 重定向”，打开“允许音频和视频播放重定向”。 d. 选择“已启用”，按“应用”确定。 e. 打开“运行”窗口，执行以下命令，刷新组策略。

本节介绍如何开启Cookie安全属性。 当“对外协议”配置为HTTPS时，WAF支持开启“Cookie安全属性”，开启后会将Cookie的HttpOnly和Secure属性设置为true。 Cookie是后端Web Server插入的，可以通过框架配置或setcookie实现，其中，Cookie中配置Secure，HttpOnly有助于防范XSS等攻击获取Cookie，对于Cookie劫持有一定的防御作用。 Appscan扫描器在扫描网站后发现客户站点没有向扫描请求Cookie中插入HttpOnly Secure等安全配置字段将记录为安全威胁。 约束条件 “对外协议”包含“HTTP”时，“Cookie安全属性”默认为关闭状态，不支持开启。 操作步骤 1. 登录管理控制台。 2. 单击页面顶部的区域选择框，选择区域。 3. 单击页面左上角的“服务列表”，选择“安全 > Web应用防火墙（独享版）”。 4. 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 5. 在目标网站所在行的“域名”列中，单击目标网站，进入网站基本信息页面。 6. 在“高级配置”栏中“Cookie安全属性”列单击，开启Cookie安全属性。

本章介绍如何使用文件备份恢复数据。 可以根据文件备份将资源的数据恢复到备份时刻的状态。 约束限制 需要恢复的资源的状态为“正常”。 不建议对正在运行的应用程序的文件进行恢复，建议停止应用程序运行后再执行恢复操作。 方式一 1. 登录云服务备份管理控制台。 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域。 3. 选择“存储 > 云服务备份 > 文件备份”。 2. 选择“文件备份”页签，单击目标文件所在资源名称。 3. 单击备份所在行的“恢复数据”。 4. 选择恢复的位置： 当前位置：数据将恢复至当前服务器原文件路径下，并且覆盖同名文件的数据。仅Linux系统支持恢复到当前位置。 创建新位置：数据可以恢复至其他所选的服务器的文件路径下。选择目标服务器：需要选择已在“文件备份”中“正常”的主机。如果目标服务器未在列表中，需要前往“文件备份”完成Agent安装步骤。 5. 根据页面提示，单击“确定”。可以在文件备份副本页面和本地主机确认恢复数据是否成功。文件备份的“状态”恢复为“可用”时，表示恢复成功。 说明 存储位置的文件目录不能包含空格。 方式二 1. 登录云服务备份管理控制台。 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域。 3. 选择“存储 > 云服务备份 > 文件备份”。 2. 选择“文件备份”页签，单击目标文件所在资源名称。 3. 单击“操作”列下的“可恢复时间轴”。 4. 选择需要将数据恢复的备份时间点。单击“恢复”。选择该时间点恢复后，数据将恢复至该时间点的状态。 5. 选择恢复的位置： 当前位置：数据将恢复至当前服务器原文件路径下，并且覆盖同名文件的数据。仅Linux系统支持恢复到当前位置。 创建新位置：数据可以恢复至其他所选的服务器的文件路径下。选择目标服务器：需要选择已在“文件备份”中“正常”的客户端。如果目标客户端未在列表中，需要前往“文件备份”完成客户端安装步骤。 6. 根据页面提示，单击“确定”。可以在文件备份副本页面和本地主机确认恢复数据是否成功。文件备份的“状态”恢复为“可用”时，表示恢复成功。

集群内资源迁移 源集群应用备份 注意 以下命令在源集群的master上运行。 Velero可以实现多个粒度的集群备份及恢复，如集群级、命名空间级、资源对象级等。Velero备份集群命令基本格式为：velero backup create RESTORENAME [flags]，它有多种参数，以下举一些例子： 备份集群所有资源 velero backup create clusterbackup 备份一个namespace，如命名空间demo velero backup create namespacebackup includenamespaces demo 备份一个namespace下的一种资源，如命名空间demo下的deployments velero backup create namespacedeploybackup includenamespaces demo includeresources deployments 备份过程中可以通过以下命令查看备份情况： velero backup get 目标集群应用恢复 注意 以下命令在目标集群的master上运行。 Velero恢复/同步数据的命令基本格式为velero restore create RESTORENAME [frombackup BACKUPNAME] [flags]。以同步上面的namespacedeploybackup为例，以下命令可以将源集群已备份的数据（即demo命名空间下的deployments），同步到目标集群上，实现集群数据的迁移： velero restore create frombackup namespacedeploybackup 恢复过程中可以通过以下命令查看恢复情况： velero restore get 资源更新适配 由于基础设施或环境信息的改变，迁移后的资源配置需要针对新环境进行适配。以下列举一些常见的需要适配的资源及对应的处理方法。 镜像更新适配 一般情况下，集群内的应用使用的镜像都会保存在一个镜像仓库中，如果目标集群可以直接访问源集群使用的镜像仓库，那么不需要针对容器镜像做任何适配。 如果原有的镜像仓库无法访问或者有网络性能的问题，就需要在集群外资源迁移时进行镜像仓库迁移，并将应用中的镜像名称更改为新的镜像名称。

容器隧道网络（Overlay ）基于底层VPC网络，另构建了独立的VXLAN隧道化容器网络，适用于一般场景。VXLAN是将以太网报文封装成UDP报文进行隧道传输。容器网络是承载于VPC网络之上的Overlay网络平面，具有付出少量隧道封装性能损耗，即可获得通用性强、互通性强、高级特性支持全面（例如Network Policy网络隔离）的优势，可以满足大多数应用需求。 容器隧道网络 说明如下： Overlay L2指的是容器跨节点以Overlay通信，所有节点上的容器IP都是2层可达的。如Canal支持的Overlay类型为vxlan，采用的vswitch为openvswitch。 Overlay L2特性支持的功能包括： 支持多平面通信和隔离。 支持Pod访问Service IP。 支持Pod应用和Host应用的访问。 Overlay L2通信的上行链路网卡设备需要预配置IP地址。 Overlay L2目前不支持与其他网络模式的混用。 ServiceIP不支持多平面，只支持默认平面。 Overaly L2逻辑网络掩码（大子网掩码）目前不支持配置为大于24的值。 Overlay L2逻辑网络分配给节点的小子网掩码默认为26，支持配置为24~30。另外当小子网掩码为配置为24时，大子网掩码不支持配置为24。 Overlay L2由于在每个节点上都是小子网，容器内网络的网关都是由Canal自动分配，不支持指定网关。 优缺点 优点：不受VPC配额规格、响应速度限制（路由条目数、弹性网卡数、创建速度限制）。 缺点：封装的额外开销，网络复杂性较高、性能较低，无法直接利用VPC提供的负载均衡、安全组等能力。 应用场景 适用于对网络时延、带宽要求不是特别高的一般容器业务场景。

功能 使用限制 数据库访问 如果关系型数据库实例没开通公网访问，则该实例必须与弹性云主机在同一个虚拟私有云内才能访问。 关系型数据库只读实例必须创建在与主实例相同的一个子网内。 弹性云主机必须处于目标关系型数据库实例所属安全组允许访问的范围内。 如果关系型数据库实例与弹性云主机处于不同的安全组，系统默认不能访问。需要在关系型数据库的安全组添加一条“入”的访问规则。 RDS for MySQL实例的默认端口为3306，需安全组放开后，才能访问其它端口。 部署 实例所部署的弹性云主机，对用户都不可见，即只允许应用程序通过IP地址和端口访问数据库。 数据库的root权限 创建实例页面只提供管理员root用户权限。 修改数据库参数设置 大部分数据库参数可以通过控制台进行修改。 RDS for MySQL存储引擎 MySQL数据库只有InnoDB存储引擎支持完整的备份、恢复等服务功能，因此RDS for MySQL推荐使用InnoDB引擎,不支持MyISAM引擎、FEDERATED引擎和Memory引擎。 搭建数据库复制 RDS for MySQL本身提供主备复制架构的双节点集群，无需用户手动搭建。其中主备复制架构集群的备实例不对用户开放，用户应用不可直接访问。 支持的表数量 RDS for MySQL支持表数量上限为50万。 大于50万张表时，会导致备份和小版本升级失败，影响数据库可用性。 重启RDS实例 无法通过命令行重启，必须通过关系型数据库服务的管理控制台操作重启实例。 创建只读实例 只有存储类型是极速型SSD的主备实例或者主实例才能创建存储类型是极速型SSD的只读实例。

本小节介绍Web应用防火墙日志字段说明。 天翼云Web应用防火墙（Web Application Firewall，简称WAF）为用户提供详细的攻击日志列表，并支持查看日志详细信息。 查看日志详细信息 1. 登录Web应用防火墙控制台。 2. 在左侧导航栏，选择“WAF攻击日志”，进入攻击日志页面。 3. 单击操作列的“查看”，查看日志详情，包括基础信息和HTTP信息，如下图所示。日志中包含的专有字段说明请参见日志说明。 日志说明 基础信息 名称 说明 取值示例 域名 被攻击的域名 ctyun.com ID 攻击ID编号 攻击源IP 攻击源IP地址 告警等级 告警级别 低 攻击源端口 攻击源端口 16481 请求方式 HTTP请求方式 Get 攻击类型 攻击类型 预测资源位置攻击 匹配规则 攻击匹配的规则 Attack Signature Detected 请求URL 请求URL地址 攻击时间 攻击时间 处理方式 WAF对此攻击的处置方式 阻断 规则ID 攻击匹配的规则的ID 响应码 HTTP响应码 地区 攻击IP地址归属地区 国家 攻击IP地址归属国家 省份 攻击IP地址归属省份 地区 攻击IP地址归属地区 运营商 攻击IP地址归属运营商 Referer 攻击请求页面的来源页面的地址，即表示攻击是通过此来源页面里的链接进入的

本页面介绍云数据库ClickHouse的应用场景。 云数据库ClickHouse常应用于OLAP场景，用户行为分析、BI报表、监控系统、特征分析等。 用户行为分析系统 云数据库ClickHouse可用于实时筛选和群体画像，通过对海量明细日志记录的自定义条件过滤，深入探查用户行为。它还能构建用户来源分析系统，跟踪各渠道的页面浏览量(PV)和独立访客数(UV)等关键指标。 BI报表 云数据库ClickHouse使得构建实时交互式查询报表成为可能，能够实时分析订单、收入、用户数等核心业务指标。即使在数亿至数百亿记录规模和数百个维度的大宽表下，云数据库ClickHouse仍能以通常在100毫秒以内的响应时间，实现自由查询和探索式分析，帮助挖掘业务价值。 监控系统 云数据库ClickHouse可用于监控视频播放质量、CDN质量、系统服务报错信息等各种指标。通过与可视化工具结合，实现监控大盘功能，提供对关键指标的实时监测和可视化展示。 特征分析 利用云数据库ClickHouse对大数据量进行聚合计算，可以提取出有价值的特征。这种特征分析能够帮助识别和理解数据中的模式、趋势和关联性，为业务决策提供更深入的洞察。 云数据库ClickHouse在这些应用场景中具备强大的处理能力和高效的查询性能，为用户提供快速、准确和灵活的数据分析解决方案，帮助他们从数据中发现有价值的信息，优化业务决策和提升竞争优势。

如果您需要防护的域名数超过了套餐默认支持数量，可通过购买域名扩展包进行补充。1个域名扩展包1个主域名及该主域名下的9个子域名防护 glmoscodeexplain glmoscodeexplain 怎么判断需要订购的域名扩展包个数？ 例如：套餐版本默认支持1主域名和该主域名下的9个子域名数量（支持泛域名）。您可以接入1个主域名（ctyun.cn）以及该主域名下的9个子域名（www.ctyun.cn、.ctyun.cn、.ctyun.cn、www.等）。如果您还需要接入新的主域名，这时您需要购买1个域名扩展包来补充。 怎么查看您当前的域名数量？ 您可以登陆天翼云官网，在首页右上角点击【控制中心】在控制中心页面点击安全点击【Web应用防火墙（边缘云版）】跳转至Web应用防火墙（边缘云版）用户控制台； 在用户控制台页面点击【计费详情】查看您当前可使用的总主域名数量套餐主域名数量+域名扩展的主域名数量。 如何购买域名扩展包？ 当前仅支持通过单击变更访问链接，进入变更访问链接后，单击【实例】，可按需在【全部产品】下拉框中过滤出【Web应用防火墙(边缘云版)】。 注意 暂时不支持单独退订域名扩展包，如果需要单独退订，请

本文介绍视频直播的应用场景。 视频直播的常见应用场景如下。 应用场景 场景描述 视频直播可解决的业务痛点 体育赛事直播 体育赛事直播可以为观众呈现精彩的运动画面，热门赛事也会吸引众多用户观看，造成带宽突发。 天翼云视频直播具备遍布全国的优质大网节点，可以轻松面对体育赛事直播大流量突发的情况，保障视频直播的稳定性。 秀场直播 秀场直播由主播直接推流至视频直播边缘节点，其内容由主播自己生成，对内容的安全性无法保障，需要视频直播厂商提供对应的直播录制、直播截图等功能，协助客户进行内容审核。 天翼云视频直播在基础服务之上还可以提供直播转码、直播录制、直播截图等其它增值服务，进一步满足秀场直播不同场景的要求。除此之外，天翼云视频直播具备视频审核功能，进一步保障直播的安全性。 网络电视直播 随着互联网的不断发展，网络电视直播已将对应的传播渠道从电视大屏转向了互联网直播。相对于电视直播，互联网直播受传播时延影响会存在延迟现象。 天翼云视频直播具备扛突发的能力，面对网络电视直播中T级别的带宽突发可以有效保障直播的平稳进行，避免延时卡顿。 电商直播 电商直播具有实时互动性强，营销成本低，受众面广的特点，已经成为当今最受欢迎的销售方式之一。 天翼云视频直播具备低时延的优势，使得主播和观众能够同频沟通互动，促进观众的购物欲，进一步提升成交量，避免出现因视频延时过大而导致沟通不畅的情况。

配置说明 注意 系统默认内置多个兜底策略：终端安全评估、账号异地登录、非常用时间登录等，这几个策略默认开启，处置动作为监控观察模式，可从 其中处置动作中，授权访问内网对应等级应用的选项依赖节点升级，若您的配置未生效，可 整体配置区分基础信息、管控对象、策略条件、处置动作几个维度进行配置。 基础信息 配置字段 是否必填 配置说明 策略名称 是 可定义策略名称，以便更好的管理策略。 任务开关 是 即策略状态，开启时才进行策略处置。 策略描述 否 可定义策略的信息，用于管理策略。 管控对象 配置字段 是否必填 配置说明 生效用户范围 是 可选择该策略生效的范围，若有多个策略可同时生效。 例外用户 否 基于策略例外用户优先级高于生效用户，如生效用户范围（配置全部）与例外用户（A组织）有存在重叠，则除了A组织外其他全部用户生效。