步骤三：编写Dockerfile 创建Dockerfile，这里以AIO作为基础镜像，将服务代码和配置文件复制到对应目录： plaintext FROM serverlesspublicregistry.crshuanan2.ctyun.cn/sandbox/ctyunaio:v1.1 USER root 拷贝自己应用supervisord的配置文件到容器 COPY conf/echoserver.conf /etc/supervisor/conf.d/echoserver.conf RUN chmod 644 /etc/supervisor/conf.d/echoserver.conf 创建echoserver输出的日志目录 RUN mkdir p /var/log/supervisor/echoserver 设置应用要用的环境变量 ENV ECHOSERVERHOST0.0.0.0 ECHOSERVERPORT9000 拷贝自己的应用到容器 COPY ./server /home/user/server RUN chmod 777 R /home/user USER user 其他基础镜像地址： serverlesspublicregistry.crshuanan2.ctyun.cn/sandbox/ctyunbase:v1.1 serverlesspublicregistry.crshuanan2.ctyun.cn/sandbox/ctyuncodeinterpreter:v1.1 serverlesspublicregistry.crshuanan2.ctyun.cn/sandbox/ctyunaio:v1.1 步骤四：构建并测试 shell docker build platform linux/amd64 t echoserver:v0.1 . f Dockerfile docker run d p 9000:9000 echoserver:v0.1 验证 curl 预期返回: ok 步骤五：推送镜像 将构建出来的镜像，推送到天翼云容器镜像服务CRS，后续创建自定义模板可从CRS里选择该镜像。 步骤六：创建自定义模板 进入控制台>创建沙箱模板，沙箱类型选择“自定义沙箱”，并选择上一步上传的镜像。 注意事项 端口冲突：自定义服务的内部端口不能与 AIO 内置服务冲突。AIO 内置服务端口： 沙箱管理代理envd：49983 Code Interpreter：49999、8888 BrowserTool：9223、9222 VncTool：6080、5900

本节介绍如何查看云SaaS型产品信息。 您可以在产品信息页面查看已购买实例的版本、规格等信息。 前提条件 已购买WAF云SaaS型实例。 查看云SaaS型产品信息 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“云SAAS型”页签。 5. 在产品信息页面，可以查看实例版本、到期时间、实例规格等信息，并支持对实例进行管理。 相关操作 升级实例规格和扩展包 续订云SaaS型实例 退订云SaaS型实例

生效验证 参数提取规则配置完成后，无需重启应用即可生效。跳转到调用链分析页面查看相关调用链，如果对应接口的Span Attribute有自定义的Attribute被写入，说明提取规则生效。 找到新增的规则对应的Attribute名称。 在调用链分析页面添加biz.$attributesName作为查询条件，过滤相关Span 单击任意一条Trace，在对应的Span下可以看到自定义的Attributes。 管理规则 启用/禁用规则：在目标规则右侧设置是否启用开关。 编辑和删除：在目标规则右侧单击编辑和删除，可以修改或删除对应规则。

概述 API授权用于保护API安全访问，确保只有授权用户能调用API。 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表，进入对应网关实例的控制台。 3. 在左侧导航栏，选择API托管 > API列表。 4. 点击进入对应的API详情页，上方导航栏点击授权信息。 开启API授权 只有开启了应用授权的API，才能进行授权访问。可在创建时开启，也可编辑API，安全认证选择应用授权开启。 应用授权 应用授权支持环境隔离，只有API发布到指定环境后才能进行授权。将需要授权的应用添加到右侧区块，点击确定即可完成批量授权。授权可设置有效期或选择长期有效。 解除应用授权 在API应用授权信息列表中，可选择授权应用进行移除。 关闭应用授权 编辑API，安全认证方式，选择无认证，即可关闭应用授权。

微服务引擎（Cloud Service Engine，CSE）提供服务注册、服务治理、配置管理等全场景能力；帮助用户实现微服务应用的快速开发和高可用运维。支持多语言、多运行时；支持双栈模式，统一接入和管理Spring Cloud、Apache ServiceComb Java Chassis（Java Chassis）、Go Chassis、Dubbo侵入式框架和非侵入式服务网格。 您可以直接使用名称为“Cloud Service Engine”的微服务引擎专业版，也可以创建微服务引擎专享版。 微服务引擎专享版采用物理隔离的方式部署，租户独占微服务引擎。 微服务引擎专业版不支持多可用区（AZ）。 微服务引擎专享版在创建时可以设置多可用区（AZ）。 创建微服务引擎后，可用区不支持修改，请根据需要设置。 不支持创建跨CPU架构的微服务引擎专享版实例。

名称 描述 说明 GTM 全局事务管理器（Global Transaction Manager），负责生成和维护全局事务ID、事务快照、时间戳等全局唯一的信息。 整个集群只有一组GTM：主、备GTM各一个。 WLM 工作负载管理器（Workload Manager）。控制系统资源的分配，防止过量业务负载对系统的冲击而导致业务拥塞和系统崩溃。 不同于集群中的实例（GTM、CM、CN、DN）模块，不需要在安装过程中指定主机名称。安装程序会自动在各主机上安装此模块。 CN 协调节点（Coordinator）。负责接收来自应用的访问请求，并向客户端返回执行结果；负责分解任务，并调度任务分片在各DN上并行执行。 集群中，CN有多个并且CN的角色是对等的（执行DML语句时连接到任何一个CN都可以得到一致的结果）。只需要在CN和应用程序之间增加一个负载均衡器，使得CN对应用是透明的。CN故障时，由负载均衡自动路由连接到另外一个CN。 当前分布式事务框架下无法避免CN之间的互连，为了减少GTM上线程过多导致负载过大，建议CN配置数目≤10个。 DWS通过CCN（Central Coordinator）负责集群内的资源全局负载控制，以实现自适应的动态负载管理。CM在第一次集群启动时，通过集群部署形式，选择编号最小的CN作为CCN。若CCN故障之后，由CM选择新的CCN进行替换。 DN 数据节点（Datanode）。负责存储业务数据（支持行存、列存、混合存储）、执行数据查询任务以及向CN返回执行结果。 在集群中，DN有多个。每个DN存储了一部分数据。集群部署常用方式为主备从高可用模式，若DN故障时导致该实例上的数据无法访问，可进行集群高可用操作，详情请参见。 Storage 服务器的本地存储资源，持久化存储数据。

本章节主要介绍视图管理 新建视图 您可以在数据管理服务界面新建视图。 操作步骤 1、登录管理控制台。 2、单击管理控制台右上角的，选择区域和项目。 3、单击页面左上角的，选择“数据库 > 数据管理服务”，进入数据管理服务页面。 4、在左侧导航栏中，单击“开发工具”，进入开发工具页面。 5、选择需要登录的目标数据库实例，单击操作列表中的“登录”，登录目标数据库实例。 6、在顶部导航栏选择“库管理”， 7、在页面右上方“当前所在库”右侧单击“切换库”，切换目标数据库。 8、在对象列表页签下选择“视图”，单击页面左上侧“新建视图”。 9、在新建视图编辑页面，设置模板模板，设置完成单击“应用模板参数”。 10、单击“保存”，创建视图。 删除视图 如果您不再需要某个视图，可以手动删除该视图。 操作步骤 1、登录管理控制台。 2、单击管理控制台右上角的，选择区域和项目。 3、单击页面左上角的，选择“数据库 > 数据管理服务”，进入数据管理服务页面。 4、在左侧导航栏中，单击“开发工具”，进入开发工具页面。 5、选择需要登录的目标数据库实例，单击操作列表中的“登录”，登录目标数据库实例。 6、在顶部导航栏选择“库管理”， 7、在页面右上方“当前所在库”右侧单击“切换库”，切换目标数据库。 8、在对象列表页签下选择“视图”，在右侧操作栏单击“删除视图”。 9、在删除视图弹窗中单击“是”，即可删除该视图。 打开视图 您可以通过数据管理服务界面查看视图中的数据详情。

本章节介绍使用OPA策略引擎实现访问控制 前提条件 开通实例后，系统默认生成OPA相关的ServiceEntry和opaextauthgrpc。 验证opaextauthgrpc 在服务网格控制台>网格安全中心>自定义授权服务。 可以看到产生了一个GRPC协议的授权服务，端口为19191。 验证ServiceEntry 在服务网格控制台>集群与工作负载>服务条目中，选定istiosystem命名空间，可以看到产生了extauthz，点击编辑可以查看详情。 详情中可以看到端口为19191端口，指向127.0.0.1。 全局放行18181和18282端口 在sidecar管理>sidecar代理配置菜单下选择命名空间tab，选择我们验证功能要用的命名空间，这里选择default，配置sidecar入流量不拦截18181和18282端口（OPA agent的配置端口和健康检查端口）。 开启OPA功能 操作步骤 1. 在控制台>网格管理>OPA功能开关菜单下打开OPA开关，主要是安装OPA控制面组件。 2. 给default命名空间打上标签，自动注入istio sidecar和OPA sidecar。 kubectl label namespace default opaistioinjection"enabled" kubectl label namespace default istioinjection"enabled" 3. 部署bookinfo应用和sleep应用，可以看到pod里除了业务容器之外还有两个容器，分别是istio sidecar和OPA sidecar，OPA sidecar用于实现外部授权服务。 4. 定义AuthorizationPolicy授权策略，注意引用的外部授权服务需要和上面定义的外部授权服务名称一致，可以根据业务的需要执行OPA外部授权策略，如下示例对匹配标签app: productpage的： apiVersion: istio.ctyun.cn/v1beta1 kind: AuthorizationPolicy metadata: name: extauthz spec: selector: matchLabels: app: productpage action: CUSTOM provider:

本文将介绍如何免密拉取CRS镜像。 ECI支持从天翼云容器镜像服务CRS私有镜像仓库中免密拉取镜像，以提升效率和安全性。创建ECI实例前，需要将镜像上传到对应仓库中。本文介绍如何免密拉取CRS镜像。 背景信息 天翼云容器镜像服务CRS分为个人版和企业版。其中，企业版是企业级云原生应用制品管理平台，提供容器镜像、Helm Chart以及符合OCI规范制品的生命周期管理，适用于业务大规模部署场景，帮助企业降低交付复杂度。 创建工作负载时，如果要拉取的镜像属于CRS镜像，当使用内网地址时，ECI支持免密拉取，提升效率，同时避免密码泄露的风险，加强安全性。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 确保kubectl工具已经连接目标集群。 操作步骤 1. 登录云容器引擎控制台，在控制台的左侧导航栏中点击“集群” 。 2. 在集群列表页面中单击目标集群的名称。 3. 在左侧选择“工作负载”，选择“无状态”，在右上角单击“创建Deployment”。 4. 按需配置工作负载的信息。 5. 按需配置容器，容器信息Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 1. 容器名称：为容器命名。 2. 镜像更新策略：选择是否总是拉取镜像。 3. 镜像名称：选择容器使用的镜像，支持多种镜像来源。 4. 镜像版本：选择需要部署的镜像版本。 6. 点击选择镜像，从CRS镜像仓库选择私有镜像，选择内网地址。 7. 创建完成后，进入工作负载的无状态页面，可以看到新建的k8ssidecar应用出现在无状态列表下。

购买步骤（二类节点区域） 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 管理独享引擎”；或选择“系统管理 > 查看产品信息”，选择“独享型”页签。在实例列表上方，单击“立即购买”。 首次使用WAF时，进入如下欢迎页面，单击“立即购买”。 5. 在产品订购页面，版本选择“WAF独享模式”，配置区域 、可用区 、虚拟私有云 、子网 、弹性IP等信息。 说明 若需要开启IPv6，请确保所选子网已开启IPv6功能。详细操作请参见创建IPv4/IPv6双栈子网。 仅“二类节点”区域需要在此处配置弹性IP。 6. 选择规格和购买数量。 参数说明如下： 参数 说明 规格选择 二类节点区域暂时只支持选择“单机版”。 购买数量 单机版实例只需购买1个节点。 7. 配置承载WAF独享版实例的云主机规格。 说明 云主机的CPU和内存为系统默认选择，不支持修改。 主机规格、系统盘类型、数据盘类型请根据实际情况进行选择，系统盘和数据盘大小不能低于系统限制的最小值，具体限制请在购买时以购买页面的信息为准。 8. 购买“带宽扩展包”、“域名扩展包”，可以设置购买数量。 扩展包 规格 数量限制 带宽扩展包 1个带宽扩展包包含1000QPS业务请求峰值、50Mbps业务带宽。 单机版最多支持16个带宽扩展包。 域名扩展包 1个域名扩展包支持10个域名或IP。 最多支持1000个域名扩展包。 9. （可选）填写交付联系方式。 说明 为保障产品顺利交付，天翼云提供免费交付服务，请提供交付联系方式，订购完成后，天翼云安全专家会与您取得联系。 10. 选择“购买时长”，拖动时间轴设置购买时长。 说明 支持开启“自动续订”，当服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 11. 确认参数配置无误后，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。 12. 进入“付款”页面，完成付款。

威胁情报是描述对系统和用户的现有或潜在威胁的信息，使用威胁情报为异常活动提供必要的上下文，以便安全负责人可以快速采取措施来保护其人员、信息和资产。 威胁情报的形式是情报指标，情报指标是将URL或IP地址等观察项目与网络钓鱼或恶意软件等已知威胁活动关联起来的数据。它会大规模地应用于安全产品和自动化服务，以检测组织面临的潜在威胁并进行防范。通过情报指标的创建和管理，加快威胁检测和修正。态势感知（专业版）仅支持人工新增情报指标或导入情报指标，创建情报指标后可以通过自定义剧本实现威胁管理分析处理等操作。 情报指标支持如下管理操作： 新增情报指标：当发现对系统和用户潜在的威胁信息时，可通过新增情报指标记录威胁信息，以便安全负责人可以快速采取措施来保护其人员、信息和资产，加快威胁检测和修正。 编辑情报指标：当情报指标的威胁度、状态、责任人等参数信息发生变化时，支持编辑情报指标，修改情报指标信息。 关闭或删除情报指标：当确认情报指标对应的威胁已消除，可关闭情报指标。当确认情报指标信息有误或情报指标所描述的威胁场景不存在，可删除情报指标，情报指标删除后不可找回，请谨慎操作。 [导入指标](

本节介绍了如何重置云数据库TaurusDB实例的参数模板。 操作场景 您可根据自己的业务需求，重置自己创建的参数模板对应的所有参数，使其恢复到默认值。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“参数模板管理”页面的“自定义”页签，选择需要设置的参数模板，单击“更多 > 重置”。 步骤 5 单击“是”，重置所有参数为其默认值。 说明 对于某些参数模板重置后，您需在实例列表中，选择对应的实例，单击实例名称，在“基本信息”页签中查看参数模板状态，如果显示“等待重启”，则需重启关联的实例，并应用后，使之生效。

本文为您介绍多活容灾服务的定义。 定义 天翼云多活容灾服务（Multiactive Disaster Recovery Service Platform）衍生于用户对数据、应用和业务的多活、高可用需求。通过预案编排、资源同步、智能调度、故障切换等能力组合确保故障场景下用户业务的连续性，实现业务恢复与故障恢复的相互解耦，满足用户对容灾能力的建设要求。产品通过纳管在不同地理位置的云上云下资源，实现数据的分布式存储和处理，从而提高系统的容错能力和抗灾能力，其主要目的是在生产故障发生时，能够迅速地恢复业务运行，减少停机时间和数据丢失，满足用户对RTO和RPO的要求。 特性 产品形态：目前支持3种产品形态，同城多活、同城主备、异地主备。 统一入口：作为云上的统一入口，可基于IaaS和PaaS云产品搭建多活容灾业务系统。 资源隔离：通过命名空间和容灾管理中心实现业务隔离、故障隔离。 故障隔离：通过演练空间实现容灾演练故障隔离，演练过程不影响生产业务。 监控告警：提供网络、应用、云主机、数据库、存储等资源的容灾监控告警功能。 容灾切换：故障监控和容灾切换预案管理，提供不同灾难场景下的自动或手动切换和回切。 容灾演练：故障演练验证容灾架构的可靠性，满足容灾审计要求和验证系统RTO。

本章节介绍如何基于消息队列RocketMQ实现全链路灰度 概述 本文介绍在使用消息队列（RocketMQ）这种异步场景下，可以在不修改业务代码的情况下，实现异步场景的灰度，从而实现全链路灰度。本文介绍基于消息队列RocketMQ实现全链路灰度。 背景介绍 在大多数业务场景中对于消息的灰度并没有RPC调用那么严格，但是当全链路灰度调用中涉及到消息消费时，如果消息消费没有按照全链路流量规则路由，则会导致通过消息产生的流量逃逸，从而破坏全链路规则，导致出现一些不符合预期的情况。 如下图所示，本文分别部署网关、appa、appagray、appb、appbgray、appc、appcgray以及RocketMQ，模拟一个真实的全链路灰度场景。 通过网关调用appa应用的接口，当满足路由规则后，灰度流量会被路由到appagray，appagray又会调用appbgray，随后由appbgray发送灰度消息，appcgray将会收到灰度消息，而appc不会收到灰度消息。 前提条件 1. 用户已开通微服务治理中心企业版。 2. 用户已开通云容器引擎。 3. 用户已部署RocketMQ，且RocketMQ版本在4.5.0以上，broker.conf中已配置enablePropertyFiltertrue。 部署Demo应用 准备自建入口网关msgczuul，准备应用msgcappa，msgcappb和msgcappc。调用过程是msgcappa –> msgcappb > msgcappc。 步骤1：在云容器引擎中安装微服务治理插件： 1. 登录“云容器引擎”控制台。 2. 在左侧菜单栏选择“集群”，点击目标集群。 3. 在集群管理页面点击“插件”“插件市场”，选择“cubems”插件安装。 步骤2：为应用开启微服务治理能力： 1. 登录“云容器引擎”控制台。 2. 左侧菜单栏选择“集群”，点击目标集群。 3. 在集群管理页面点击“工作负载”“无状态”，选择目标命名空间。 4. 在Deployment列表页选择指定Deployment，并点击“全量替换”，进入Deployment编辑页。 5. 在Deployment编辑页点击“显示高级设置”，新增“Pod标签”: mseCubeMsAutoEnable:on。 6. 在发布应用时，配置指定环境变量，可指定注入微服务治理中心的应用名、命名空间和标签等信息。 环境变量配置如下： 环境变量名 环境变量值 MSEAPPNAME 接入到微服务治理中心的应用名。 MSESERVICETAG 应用标签信息，如灰度应用可配置gray。 MSENAMESPACE（选填） 接入到微服务治理中心的命名空间，默认为：default。 7. 完成编辑后点击“提交”，重新发布容器即可接入。 appa应用的配置 基线： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appa" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appa" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appa" spec: containers: env: name: "MSEAPPNAME" value: "appa" image: "镜像仓库域名/xxx/appa:latest" imagePullPolicy: "Always" name: "appa" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" 灰度： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appa" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appa" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appa" spec: containers: env: name: "MSEAPPNAME" value: "appa" name: "MSESERVICETAG" value: "gray" image: "镜像仓库域名/xxx/appa:latest" imagePullPolicy: "Always" name: "appa" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" appb应用的配置 基线： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appb" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appb" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appb" spec: containers: env: name: "MSEAPPNAME" value: "appb" image: "镜像仓库域名/xxx/appb:latest" imagePullPolicy: "Always" name: "appb" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" 灰度： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appb" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appb" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appb" spec: containers: env: name: "MSEAPPNAME" value: "appb" name: "MSESERVICETAG" value: "gray" image: "镜像仓库域名/xxx/appb:latest" imagePullPolicy: "Always" name: "appb" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" appc应用的配置 基线： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appc" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appc" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appc" spec: containers: env: name: "MSEAPPNAME" value: "appc" image: "镜像仓库域名/xxx/appc:latest" imagePullPolicy: "Always" name: "appc" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" 灰度： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "appc" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "appc" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "appc" spec: containers: env: name: "MSEAPPNAME" value: "appc" name: "MSESERVICETAG" value: "gray" image: "镜像仓库域名/xxx/appc:latest" imagePullPolicy: "Always" name: "appc" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi" zuul应用的配置： apiVersion: "apps/v1" kind: "Deployment" metadata: name: "zuul" namespace: "default" spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: name: "zuul" template: metadata: labels: mseCubeMsAutoEnable: "on" name: "zuul" spec: containers: env: name: "MSEAPPNAME" value: "zuul" image: "镜像仓库域名/xxx/zuul:latest" imagePullPolicy: "Always" name: "zuul" ports: containerPort: 26160 livenessProbe: tcpSocket: port: 26160 initialDelaySeconds: 10 periodSeconds: 30 resources: limits: cpu: "1" memory: "1Gi" requests: cpu: "1" memory: "1Gi"

本节介绍如何配置API自动发现任务，并将发现的API资产添加到API资产列表中。 API自动发现主要用于帮助用户自动或半自动发现API资产。 当API资产规模较小时（不超过100条），可选择开启“确认为API资产”，自动将发现的API确认为API资产。 当API资产规模校大时（超过100条），API自动发现任务可发现API资产，用户需进行人工识别和确认后，添加为API资产。 前提条件 已开通Web应用防火墙（原生版）实例企业版或旗舰版。 已完成防护域名接入，并正常防护。 配置API自动发现任务 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“API安全 > API管理”，进入API管理页面。 5. 选择“API资产发现”页签，单击“API自动发现”，进入API自动发现任务页面。 6. 在弹出的API自动发现任务页面中，配置任务参数。 任务参数说明如下： 参数 说明 识别范围 通过设置识别范围可限定API的发现范围。单次识别API资产不超过10000个。 支持输入长度为1256字符，支持通配符，最多可输入10个条件，多个条件之间是或关系。 排除条件 通过设置排除条件排除在识别范围内不属于API的其他路径，从而提升API识别的准确性。 支持输入长度为1256 字符，支持通配符，最多可输入10个条件，多个条件之间是或关系。 执行周期过期时间 通过设置执行周期过期时间可设置单次任务的运行周期，任务运行最长支持30天，最短支持5分钟。 任务到期或发现API接口超过10000后将自动结束任务。 业务用途识别 开启“业务用途识别”，可基于API接口的路径特征和参数名特征，与自定义的业务用途字段进行匹配，自动判断识别到的API接口业务用途。自定义业务用途请参见[新增业务用途规则](

本文介绍如何开启企业级安全会议。 使用前提 下载安装各类终端：Windows客户端、macOS客户端、iOS客户端、Android客户端。 预定会议时，进行“更多安全设置”。 注意事项 敏感会议建议启用水印功能。 高风险会议可启用“会议锁定”或者限定“入会范围”。 应用场景说明 适用于涉及敏感信息、客户隐私、公司战略的场景： 法务、财务、内控审计类会议。 战略汇报、高管决策会议。 涉密技术讨论与客户合作方案评审。 通过多层次安全控制，保障会议内容仅在授权范围内传播，避免泄密和信息风险。 操作步骤 会前，会议创建者在“预定会议”时可设置“入会密码”，并进行“更多安全设置”。 会中，主持人/联席主持人可点击“安全”>“会议管理”、“安全”>“参会者权限”进行锁定会议、限制入会范围、开启会议水印等管控操作。 会中，主持人/联席主持人可实时关注“成员管理”列表，密切关注参会成员，并对参会人员进行管控。 会后，会议创建者可通过“历史会议”>“详情”列表查看参会人进行审计。

本节主要介绍智能视图服务的产品定义。 智能视图服务是天翼云面向视图设备上云场景提供视图接入、视图存储、视图分发及视图分析的一体化产品。依托天翼云遍布全国的资源节点，可实现设备上云全链路的就近接入、就近存储、就近分发及就近分析，通过开放OpenAPI易于被智慧城市、智慧能源、智慧连锁、智慧社区、智慧工地等行业场景应用集成。 产品能力 天翼云智能视图服务支持IPC、NVR和第三方监控平台等监控设备接入，支持GB28181/GB35114/GA1400/RTMP/RTSP/EHOME等多种接入协议，为用户提供就近的边缘节点接入设备，提供多种AI算法满足不同应用场景的AI检测需求（人脸识别/人体识别/场景识别等）。在播放端，智能视图服务支持RTMP/FLV/HLS/WebRTC多协议实时播放和低延迟播放，用户可便捷地通过Web端、APP和PC客户端实时观看视频。 产品架构图 使用方式 天翼云智能视图服务的使用如下： 通过天翼云官网购买并开通产品。 通过进入控制台管理和访问您的监控设备和监控流。 通过配置AI应用实现对视频流的智能AI分析。 通过消息推送可以开启短信推送告警信息。 详细使用方法可查看【快速入门使用流程】和【用户指南】。

本章介绍关系数据库的实例类型。 数据库实例是关系型数据库的最小管理单元。一个实例代表了一个独立运行的关系型数据库。您可以在一个实例中创建和管理多个数据库，并且可以使用与独立访问数据库实例相同的工具和应用进行访问。使用管理控制台或API可以方便地创建或者修改数据库实例。关系型数据库服务对运行实例数量没有限制，但每个数据库实例都有唯一的标识符。 实例可进行如下分类： 实例类型 实例类型 简介 使用说明 单机实例 采用单个数据库节点部署架构。与主流的主备实例相比，它只包含一个节点，但具有高性价比。 单机版出现故障后，无法保障及时恢复。 主备实例 采用一主一备的经典高可用架构，主备实例的每个节点的规格保持一致。 1.备机提高了实例的可靠性，创建主机的过程中，会同步创建备机，备机创建成功后，用户不可见。 2.当主节点故障后，会自动发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 只读实例 采用单个物理节点的架构（没有备节点）。 只读实例是单机版本，当物理机故障或者数据库复制异常后，需要较长时间重建和恢复（取决于数据量）。 用户可以在关系型数据库系统中自助创建及管理各种数据库引擎的实例。

为了减少内存、数据库和磁盘空间占用，您可以按需进行日志采集设置。日志采集开关用来控制是否对日志数据进行采集。 1. 在云日志服务管理控制台，单击“配置中心”，选择“ICAgent采集开关”。 2. 单击开启或关闭“ICAgent采集开关”。 图 日志采集开关 说明 采集开关默认打开，当您不需要采集日志时，可通过关闭采集开关来停止日志采集，以减少资源占用。 日志采集关闭后，ICAgent会停止采集日志，且在应用运维管理AOM控制台的“日志采集开关”也会同步关闭。

云产品 应用场景 描述 相关操作 弹性公网IP 单个ECS连接公网 申请一个弹性公网IP（EIP）并将其绑定到ECS上，ECS即可连接公网，实现主动访问公网或面向公网提供服务。 支持动态绑定和解绑ECS。可以使用共享带宽和共享流量包，降低公网成本。 使用EIP连接公网 （地址：文档VPC快速入门《搭建IPv4网络》） NAT网关 多个ECS共享弹性公网IP连接公网 NAT网关提供SNAT和DNAT两种功能：SNAT可实现同一VPC内的多个ECS共享一个或多个EIP主动访问公网， 有效降低管理成本，同时减少了ECS的EIP直接暴露的风险。DNAT功能还可以实现端口级别的转发， 将EIP的端口映射到不同ECS的端口上，使VPC内多个ECS共享同一EIP和带宽面向公网提供服务，但没有均衡流量的功能。 使用SNAT连接公网 （地址：文档NAT网关快速入门《使用SNAT连接公网》）， 使用DNAT面向公网提供服务（地址：文档NAT网关快速入门《面向公网提供服务》） 弹性负载均衡 通过将访问流量均衡分发到多个ECS的方式对外提供服务， 比如电商等高并发访问场景 弹性负载均衡（ELB）可以将访问流量均衡分发（支持4层和7层两种方式）到多个后端ECS上， 通过绑定EIP支撑海量用户从公网访问ECS。通过流量分发扩展应用系统对外的服务能力， 通过消除单点故障提升应用系统的可用性。 弹性负载均衡介绍 （地址：文档弹性负载均衡产品介绍）

本节主要介绍功能特性 客户端/控制台上传镜像 客户端上传镜像，是指在安装了容器引擎客户端的机器上使用docker命令将镜像上传到容器镜像服务的镜像仓库。 从页面上传镜像，是指直接通过控制台页面将镜像上传到容器镜像服务的镜像仓库。 共享私有镜像 镜像上传后，您可以共享私有镜像给其他帐号，并授予下载该镜像的权限。 被共享的用户需要登录容器镜像服务控制台，在“我的镜像 > 他人共享”页面查看共享的镜像。被共享的用户单击镜像名称，可进入镜像详情页面查看镜像版本、下载指令等。 添加触发器 容器镜像服务可搭配云容器引擎CCE一起使用，实现镜像版本更新时自动更新使用该镜像的应用。您只需要为镜像添加一个触发器，通过触发器，可以在每次生成新的镜像版本时，自动执行更新动作，如：自动更新使用该镜像的应用。 组织管理 组织用于隔离镜像仓库，每个组织可对应一个公司或部门，将其拥有的镜像集中在该组织下。在不同的组织下，可以有同名的镜像。同一IAM用户可属于不同的组织。

本节主要介绍复制参数模板 您可以复制您创建的自定义数据库参数模板。当您已创建一个数据库参数模板，并且想在新的数据库参数模板中包含该组中的大部分自定义参数和值时，复制参数模板是一个方便的解决方案。您还可以导出某数据库实例应用的参数列表，生成一个新的参数模板，供您后期使用。 您无法复制默认参数模板。不过，您可以创建基于默认参数模板的新参数模板。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上方的，选择区域和项目。 步骤 3 在页面左上角单击，选择“数据库 > 文档数据库服务 DDS”，进入文档数据库服务信息页面。 步骤 4 在左侧导航树，单击“参数模板管理”。 步骤 5 在“参数模板管理”页面的“自定义”页签，选择对应实例类型下需要复制的参数模板，单击“复制” 步骤 6 在弹出框中，填写新参数模板名称及描述，单击“确定”。 复制参数模板 参数模板名称在1位到64位之间，区分大小写，可包含字母、数字、中划线、下划线或句点，不能包含其他特殊字符。 描述不能超过256位，且不能包含回车和> ! < " & ' 特殊字符。 创建完成后会生成一个新的参数模板，您可在参数模板列表中对其进行管理。

步骤1：创建应用 1、登录天翼云官网，进入【公有云生态专区】应用列表页，选择“EATP标准版”，点击“立即订购”。 2、在开通应用页面按提示订购“EATP标准版”，点击确认下单并确认配置后，点击“立即购买”进行付款，付款成功即可完成应用创建。 步骤2：进入应用 1、在【我的应用】页，查看应用状态，当应用状态为运行中时，代表服务部署完成。点击“查看应用”，进入应用详情页。 2、点击“立即使用”或在浏览器中输入复制的应用入口，即可访问EATP。 步骤3：配置应用 1、登录EATP服务 在应用登录页面输入用户名及密码信息，首次登录需输入初始账密信息，后续可在应用内修改。 说明 EATP默认用户名为：admin，密码为：Eatp123@ 2、利用EATP添加GPU集群并部署模型 说明 若您不需要模型部署、GPU管理能力，可从第4节开始配置服务。 1）登录后，在顶部导航中点击【模型部署】，从统一入口进入ModelStack。 2） 进入ModelStack后，选择左侧导航【集群】，点击【添加集群】按钮，准备在ModelStack中创建用于推理的集群。 3）创建集群时，选择“Docker”环境，并为集群命名，保存后即完成集群创建。 4）为集群添加节点。您可以将需要用于推理的GPU节点信息添加至集群中，点击【添加节点】按钮。 根据您的GPU设备型号选择对应的GPU厂商，并完成环境检查。 注意，指定参数配置中，请关闭手动配置IP，选择自动检测节点IP。 复制节点启动命令，并在登录GPU设备后执行。 注意 为保证GPU服务器与EATP正常通信，配置前，请确保已开放GPU服务器10050、10051端口。在规则Tab中，点击添加规则按钮，新增端口10050和10051允许策略。 5）确认平台里已经有可用的算力节点。添加成功后，可在集群列表查看节点添加结果，节点列表中可查看GPU服务器节点状态。 6） 部署模型。在左侧导航中，选择【模型库】，进入模型库页。 根据您的算力情况、使用场景，选择目标模型，如“Qwen3.50.8B”点击即可部署。 在弹出的表单中填写模型参数。标准版EATP服务组中，模型将默认部署在前置添加GPU服务器上，即“Test”。推理后端、版本如无特殊需求，使用默认推荐参数即可。 点击提交即开始模型部署。 模型部署时间根据模型大小有所不同，通常需要15分钟到60分钟不等。可在左侧导航中，点击【部署】，进入模型部署页面，查看模型部署进度。当节点状态为“Running”时代表模型部署完成。 7）验证模型服务是否正常。左侧导航菜单中选择【对话】，在对话页面中，选择之前操作部署的模型，并输入对话。若能正常对话，即代表模型服务正常。

本章节介绍如何编辑数据库参数模板。 操作场景 为确保关系型数据库服务发挥出最优性能，用户可根据业务需求对用户创建的参数模板里边的参数进行调整。 您可以修改用户创建的数据库参数模板中的参数值，但不能更改默认数据库参数模板中的参数值。对用户创建的数据库参数模板中的参数所做的更改，将应用于与此数据库参数模板关联的所有数据库实例。 如果您更改一个参数值，则所做更改的应用时间将由该参数的类型决定。 关系型数据库服务的管理控制台显示与数据库实例关联的数据库参数模板的状态。例如，如果数据库实例未使用对其关联的数据库参数模板所做的最新更改，则关系型数据库服务的管理控制台将显示状态为“等待重启”的数据库参数模板。您将需要手动重启数据库实例，以使最新的参数更改对该数据库实例生效。 说明 系统提供的默认参数模板不允许修改，只可单击参数模板名进行查看。当用户参数设置不合理导致数据库无法启动时，可参考默认参数模板重新配置。 批量修改参数 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“参数模板管理”页面，选择需要编辑的自定义参数模板，单击参数模板名称。 步骤 5 根据需要修改相关参数。 相关参数说明如下： 各参数的详细说明请参见Microsoft SQL Server官网。 参数“remote access”，将此选项设置为0（默认值），表示阻止本地存储过程在远程服务器上执行，或远程存储过程在本地服务器上执行。 参数“max server memory” (MB)，服务器内存选项，默认值(MB)操作系统内存(MB)520(MB)。可为它指定的最小值为1024MB。 可进行的操作如下： 注意 参数模板修改后，某些参数会立即应用到当前使用实例中，请谨慎操作。 单击“保存”，在弹出框中单击“确定”，保存修改。 单击“取消”，放弃本次设置。 单击“预览”，可对比参数修改前和修改后的值。 说明 有关参数模板状态，请参见参数模板状态。 您可在实例列表中，您需在实例列表中，选择对应的实例，单击实例名称，在“基本信息”页签中查看参数模板状态，如果显示“等待重启”，则需重启关联的实例使之生效（如果是主备实例，备实例的参数也会被同步修改）。

本节主要介绍 一键创建Bookinfo应用 为集群开启应用服务网格功能后，可以通过“体验任务”创建一个Bookinfo应用Demo，具体操作如下： 步骤 1 登录应用服务网格ASM控制台。 步骤 2 单击网格名称，进入详情页面。 步骤 3 选择左侧导航中的“体验任务”，单击Bookinfo任务中的“安装”。 步骤 4 在右侧页面设置Bookinfo应用所在的集群，在“负载均衡”中选择与所选集群处于同一VPC和子网的负载均衡实例，并设置一个对外端口，单击“安装”。 图 安装Bookinfo 步骤 5 等待Bookinfo应用创建完成。创建完成后单击网格名称，进入“服务管理”页面，配置诊断栏将显示为“正常”，Bookinfo应用包含productpage、details、reviews、ratings四个服务。 图 服务列表

EATP产品使用手册 产品介绍 EATP（Enterprise AI Token Platform）是企业专属 AI Token 运营平台，提供轻量化Token运营、模型服务及GPU算力部署方案。服务基于“Token全链路运营 + GPU算力服务化”两大核心模块，可在数小时内将现有异构GPU资源转化为具备计量计费、多租户管理与弹性扩缩能力的商业化AI推理平台，实现以最小化前置投入实现算力资产的高效变现与AI业务的敏捷上线。 产品核心能力 EATP构建了以 AI网关、推理网关、多引擎推理加速（vLLM/SGLang）及Orchestrator调度器为核心的统一服务平面。通过抽象底层异构算力环境，实现对GPU裸金属、GPU云主机等IaaS资源的统一纳管与精细化调度，为上层应用提供标准化的推理接口与运营管理视图。 关键能力包含： 一键式推理部署：支持标准化推理服务在1至2小时内完成搭建，服务接口自动兼容OpenAI API规范。 轻量化Token运营体系：内置完整的API Key管理、配额控制、多租户隔离与用量可视化统计功能，原生支持按Token维度的精细化计量计费，为企业构建可商业变现的AI服务体系提供基础运营工具。 异构算力兼容：广泛兼容多种主流GPU型号及计算实例形态。 自动化低门槛运维：平台提供从模型加载、实例编排到弹性扩缩容的全流程自动化管控能力，有效屏蔽容器化部署与分布式调度的技术复杂性，普通运维人员即可完成日常管理与维护。

本小节介绍堡垒机收敛资产运维暴露面最佳实践。 背景 企业在经营过程中，随着业务的发展，资产规模也越来越大，各式各样的应用服务资源分布在不同的资产中，所有资源和应用都需要开放端口以提供不同的功能服务，随着时间的推移，资产的运维工作将变得越来越繁重，且难以梳理管控。近年来，网络攻击手段层出不穷，企业资产时刻面临各种网络攻击威胁，在这种安全形势下，收敛企业资产暴露面，从源头掐断各类探测连接的可能性，成为企业防护资产安全的有效手段之一。 天翼云支持纳管各种类型资产，如WindowsLinux等类型主机服务器、DB协议类型数据库、安全设备、网络设备以及WEB应用类等资产。企业将各服务类型资产纳管至堡垒机，仅提供堡垒机访问入口，资产本身暴露面可实现隐藏，各类资产访问统一通过堡垒机进行单点登录，既实现将受攻击的范围从面缩小到点，也可实现资产及资产账户的统一管控，降低企业在资产运维管理工作中所需支付的成本。 解决方案 为解决企业资产暴露面过多的问题，堡垒机提供全网资产纳管能力，用户入网统一通过堡垒机入口，经过严密的身份认证以及权限验证后才允许用户进一步访问资产。在此基础上，为了解决用户登录资产问题，堡垒机提供资产账户密码托管能力，可实现资源的快捷单点登录。 说明 企业将资产纳入堡垒机进行管理维护； 根据运维场景需求，企业可选择性的将资产账户托管至堡垒机，堡垒机提供定期修改资产账户密码功能，并在修改后发送相关消息告知管理员； 已纳入堡垒机的资产，企业陆续关闭其互联网访问入口，视情况关闭内网直连入口。

本文主要介绍定位请求异常原因 背景信息 在外部请求激增、负载突变等场景下，极易出现应用性能问题，比如外部请求响应变慢、部分请求异常等。快速识别发现、定位处理应用性能问题成为越来越常见的日常运维场景。 APM作为云应用性能问题诊断服务，拥有强大的分析工具，通过拓扑图、调用链可视化地展现应用状态、调用过程、用户对应用的各种操作，快速定位问题和改善性能瓶颈。 例如，通过APM拓扑功能可视化服务间的调用关系，迅速找到有问题的实例；通过APM调用链功能下钻到服务内部，根据出现问题的方法调用链路，确认问题根因。 适用场景 应用日常巡检，监控应用时延、吞吐量、错误数等性能指标。 应用异常调用快速定位。 操作步骤 步骤 1 登录应用性能管理控制台。 步骤 2 在左侧导航栏选择“应用监控 > 指标”。 步骤 3 选择“接口调用”页签，进入监控页面，查看接口调用页面中各类指标，调用次数、错误次数、时延等信息。 图 查看接口调用 步骤 4 单击出现问题的url请求，进入调用链搜索界面。 图 接口详情 步骤 5 在调用链搜索界面，查看失败/高时延调用链。 图 查看调用链 步骤 6 单击url，获取调用链详细信息，确定问题根因。 图 调用链详情

本页介绍什么是关系数据库MySQL版。 MySQL是全球流行的开源关系型数据库管理系统之一，具有良好的跨平台能力。天翼云关系数据库MySQL版（CTRDS MySQL）是一款基于云计算平台的在线关系型数据库服务，完全兼容MySQL 5.7、MySQL 8.0，提供单机、主备、一主两备和只读四种实例类型，并具备完善的安全防护措施和性能监控体系，提供了专业的数据库管理控制台，方便用户使用数据库。通过关系数据库MySQL版服务的管理控制台，用户可以方便快捷地执行所有必需任务，有效降低运营难度和运维成本，只需专注开发应用和业务发展。关系数据库MySQL版优势如下： 资源弹性调度：支持根据业务需求对实例资源进行弹性调度。用户可以根据需要进行升级或降级，以满足不同业务场景下的需求，提高资源的利用效率。 管理简单：通过简单易用的控制台和API，提供丰富的管理功能，包括备份和恢复、性能监控、访问控制等，为用户提供高效的管理体验。 高可扩展性：支持只读实例，从而将读请求分担到只读实例上，提高服务的可扩展性。 高可用性和容错性：支持主备架构，保证数据的备份和在主库故障情况下的无缝切换，提高服务的可用性和容错性。 安全可靠：提供全面的安全性支持，包括数据加密和网络隔离等，保障数据的安全可靠。 当前关系数据库MySQL版支持版本，请参见存储引擎和版本。

本小节介绍微隔离防火墙创建工作组方法。 在接入工作负载之前，推荐先根据业务情况创建工作组，以便于后续工作负载直接接入对应的工作组（也可以先预设几个组，接入工作负载后，再根据业务进行组的划分）。 新建组标签 1.首先点击菜单栏的标签管理： 2.进入标签管理页面后，根据业务属性，创建对应的位置、环境、应用标签（用于后续定义工作组）。 3.标签分为名称及显示名称，名称支持英文、数字及下划线组合，且唯一。显示名称可以为中文，不唯一。 创建工作组 1.点击菜单栏的工作组，进入工作组管理页面： 2.点击新建，在弹出的对话框中输入此工作组的相关信息，根据业务情况选择事先创建的标签。每个工作组由03个组标签定义，若某一项无标签，可不选择。 注意 当工作组无标签时，无法匹配策略。 3.点击确定后，工作组建立完成，拓扑图中会出现该工作组。 安全风险说明 说明 不建议暴露安全产品管理端口到公网，存在一定安全风险，请使用安全组进行防护。 案例：安全组防护微隔离防火墙管理端口6443。 登录控制台的云主机实例详情页面，选择【安全组】功能。这里您可以创建和管理安全组规则。 其次，点击【配置规则】下的【入方向规则】。在规则配置中，选择【添加入方向规则】，限制源地址为您日常登录使用的IP或IP段。例如限制为您公司办公网络。

资源名称 配额（个） 备注 命名空间 10 一个账号可最多创建的命名空间数量。 容灾管理中心 100 一个账号可最多创建的容灾管理中心数量。 应用 每个容灾管理中心能接入的应用数量无限制。

方案优势 智能精准告警：跨产品数据关联，减少无效告警，提升告警精准度。 统一运营平台：整合分散安全工具，实现高效集中化运营。 安全编排响应：一键处置下发 ，快速响。 场景示意图 场景三：安全态势可视化 聚焦 CSO/CIO/CISO 日常管理与上级汇报核心需求，通过安全威胁态势大屏直观呈现安全投资价值，全景展示云上资产风险分布与管控成效，帮助高管实时掌握全栈安全状态，为安全决策、资源调配及汇报沟通提供数据支撑，满足高层对云上业务风险“可视化、可量化、可管控” 的核心诉求。 方案优势 全栈服务联动：打通网络 / 主机 / 应用 / 数据等安全服务，实现风险全域覆盖。 海量数据实时处理：分布式大数据引擎，支撑海量安全数据实时流分析。 可视化决策大屏：全栈安全态势集中呈现，适配管理决策与汇报场景。 场景示意图