为更加顺利的进行 用户在进行远程登陆之前，需要执行以下准备： 用户在进行远程登陆前需要进行密码设置或确定密钥已保存，如用户已忘记密码或丢失密钥，可以使用【重置密码】操作重新设置密码，具体操作如下： 1、单击左侧导航栏“产品服务列表”，选择“计算>应用云主机”。 2、进入应用云主机列表界面，在目标应用云主机“操作”列下拉“更多”选择“重置密码”。 3、出现重置密码弹框，用户需要在弹窗内输入“密码”及“确认密码”两项，“确认密码”需与“密码”一致。 4、核对后单击“确定”完成密码修改，密码重置后，用户无须重启主机，即可生效新密码。 注：若用户为Windows操作系统，则需要用户先开启远程桌面协议Windows操作系统需开启远程桌面协议

示例3：特定资源权限配置 特定资源：授予IAM用户特定资源的相应权限。例如授予IAM用户所属应用Default下函数functionname的相应权限，需将函数functionname设置为指定资源路径，添加资源路径：FUNCTIONGRAPH:::function:Default/functionname。 说明 指定函数资源： 【格式】FUNCTIONGRAPH:::function:所属应用/函数名称 对于函数资源，IAM自动生成资源路径前缀“FUNCTIONGRAPH:::function:”。通过所属应用和函数名称指定具体的资源路径，支持通配符。例如：FUNCTIONGRAPH:::function:Default/表示Default应用下的任意函数。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "functiongraph:function:list" ] }, { "Effect": "Allow", "Action": [ "functiongraph:function:listAlias", "functiongraph:function:listVersion", "functiongraph:function:getConfig", "functiongraph:function:getCode", "functiongraph:function:updateCode", "functiongraph:function:invoke", "functiongraph:function:updateConfig", "functiongraph:function:createVersion", "functiongraph:function:updateAlias", "functiongraph:function:createAlias" ], "Resource": [ "FUNCTIONGRAPH:::function:Default/" ] } ] }

绑定终端是指将策略应用到特定的终端上。创建策略后，必须将策略绑定到终端才会生效。 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“策略管理 > 主机策略”，进入主机策略页面。 3. 选择需要绑定终端的策略，点击策略右侧的图标，选择“绑定终端”。 4. 在弹出的对话框中选择需要绑定的终端（将终端列表 中的终端移动至已选择端列表），单击“确定”，即可将终端绑定至本策略。

对比项目 标准存储 低频访问存储 归档存储 特点 高性能、高可靠、高可用的对象存储服务 高可靠、较低成本的实时访问存储服务 归档数据的长期存储，存储单价更优惠 应用场景 云应用、数据分享、内容分享、热点对象 网盘应用、企业备份、活跃归档、监控数据 档案数据、医疗影像、视频素材、带库替代 最低存储时间 无 30天 90天 图片处理 支持 支持 不支持

对比项目 标准存储 低频访问存储 归档存储 特点 高性能、高可靠、高可用的对象存储服务 高可靠、较低成本的实时访问存储服务 归档数据的长期存储，存储单价更优惠 应用场景 云应用、数据分享、内容分享、热点对象 网盘应用、企业备份、活跃归档、监控数据 档案数据、医疗影像、视频素材、带库替代 最低存储时间 无 30天 90天 图片处理 支持 支持 不支持

本文将介绍注册配置中心实例创建时的注意事项、Spring Cloud应用和Dubbo应用开发时需要添加的服务注册中心配置等内容 概述 为了您更好的使用注册配置中心，本文将介绍实例创建时的注意事项、Spring Cloud应用和Dubbo应用开发时需要添加的服务注册中心配置等内容。 创建实例 创建实例的过程，详见本文档的创建Nacos实例、创建Zookeeper引擎和创建Eureka引擎相关章节。 注册中心使用说明 Nacos SpringCloud应用使用MSE的Nacos注册中心 增加依赖项，以maven为例： com.alibaba.cloud springcloudstarteralibabanacosdiscovery ${springcloudstarteralibaba.version} 增加配置项： spring: cloud: nacos: discovery: serveraddr: ${NACOSSERVERADDRESS} namespace: ${NACOSNAMINGNAMESPACEID} username: ${NACOSSERVERUSERNAME} password: ${NACOSSERVERPASSWORD} 注意 此处客户端配置中namespace需要填写命名空间ID Dubbo应用使用MSE的Nacos注册中心 增加依赖项，以maven依赖为例： org.apache.dubbo dubbospringbootstarter ${dubbo.version} org.apache.dubbo dubboregistrynacos ${dubbo.version} 通过application.yml 增加配置： dubbo: registry: address: nacos://Nacos访问地址 application: name: 服务名称 protocol: name: dubbo port: 22035 scan: basepackages: 扫描的包路径 provider: timeout: 30000

Web安全 相关Web应用层面的安全问题与事件,包括各种Web组件、协议、应用等。 正则防护 经验规则集，自动为网站防御SQL注入、XSS跨站、Webshell上传、命令注入、后门隔离、非法文件请求、路径穿越、常见应用漏洞攻击等通用的Web攻击。 网站白名单 通过设置网站白名单，可以让满足条件的请求不经过任何Web应用防火墙防护模块的检测，直接访问源站服务器。 IP黑名单 支持一键阻断来自指定IP地址、IP地址段以及指定地理区域的IP地址的访问请求。 0day漏洞 0day是指在系统商在知晓并发布相关补丁前就被掌握或者公开的漏洞信息。 CC安全防护 根据访问者的URL，频率、行为等访问特征，智能识别CC攻击，迅速识别CC攻击并进行拦截，在大规模CC攻击时可以避免源站资源耗尽，保证企业网站的正常访问。 防敏感信息泄露 帮助网站过滤服务器返回内容（异常页面或关键字）中的敏感信息（例如身份证号、银行卡号、电话号码和敏感词汇），脱敏展示敏感信息或返回默认异常响应页面。 网络爬虫 又称为网页蜘蛛，网络机器人，是一种按照一定的规则，自动地抓取万维网信息的程序或者脚本。 挖矿 借助大量计算能力来计算产生虚拟货币。

本文主要介绍可信数据空间的应用场景。 低密数据交易场景 数据接入 提供方通过连接器上传本地低密数据到可信数据空间的资源目录，形成原始的数据资源池； 数据开发 开放方通过资源申请，创建场景，选择低密数据资源，通过通用数据开发平台，将数据进行加工生产，封装生成数据服务API，发布到数据要素管理中心； 产品上架 提供方再将开发方提供的数据要素服务或者资源池中的资源目录的数据封装成数据要素产品，经过审核上架发布到产品市场； 产品购买 购买方在产品市场检索所需产品，将所需产品加入申请，审核通过后，上传合同等资料信息，再次审核获得产品服务等相关信息，核对信息无误，服务可用，可确认收货完成采购订单。

本节主要介绍OBS标签相关问题。 我可以通过标签搜索桶吗？ 不支持通过标签搜索桶。 我可以使用标签做什么？ 当为桶添加标签时，该桶上所有请求产生的计费话单里都会带上这些标签，从而可以针对话单报表做分类筛选，进行更详细的成本分析。例如：某个应用程序在运行过程会往桶里上传数据，我们可以用应用名称作为标签，设置到被使用的桶上。在分析话单时，就可以通过应用名称的标签来分析此应用的成本。

Java客户端必须使用Push Consumer 使用Pull可以实现的所有场景，均可使用Push实现，并且更简单。 Push其实是长轮询的Pull（依然是由客户端发起），在客户端通过配置参数是可以实现流控的，并不会出现服务端的流量压垮客户端的情况。 Push封装了拉取消息，分发给消费线程的线程模型，非流控的情况下，由后台线程主动拉取消息，并缓存在本地，消费线程池有空闲线程时，分发给消费线程，在有堆积量的情况下，可以保证消费线程一直工作，性能更高（备注：Pull只提供了拉取消息的功能，并且何时去拉取，拉取时机，这些都需要应用去控制；分发给消费线程的逻辑需要应用封装，除了增加应用工作量外，还可能有不稳定、性能问题等）。 Push经过多个大型项目的长时间的使用，更成熟稳定。 Push会自动订阅重试队列，不需要再次调用拉取重试队列的API来取得重试队列的消息（备注：Pull需要另外调用API拉取重试队列的消息）。 Pull是一种遗留的消费模式（兼容早期的API），新开发的应用，或者未上线的应用，都要求使用Push消费模式。

本节主要介绍使用限制 配额 应用编排服务对单个用户的模板数量和堆栈数量限定了配额，如表所示。 如果您需要添加更多的模板或创建更多的堆栈，请提交工单申请。 表 应用编排服务配额： 资源类型 配额 模板数量 100 堆栈数量 200

本节介绍应用市场客户端的下载方式。 用户可通过客户端安装、升级、卸载平台和企业提供的各类应用，并且能处理各类安全审批相关的记录。目前AI云电脑中已预装此客户端，如未预装，可通过AI云电脑工具栏的快捷入口触发安装，或前往客户端下载页面进行下载。

本文为您介绍如何基于Ingress实现集群外访问负载均衡。 背景信息 Serverless集群不支持NodePort，k8s中的Ingress实现了对外部负载均衡器的自动配置，是对NodePort的替代方案。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 确保kubectl工具已经连接目标集群。 假设您在一个K8S的集群里面发布了两个应用，前端应用frontend和后端应用backend，要在浏览器访问前端应用。 确保您的Serverless集群已安装CoreDNS插件。 实现原理 Ingress和Service在kubernetes集群中的工作原理如下： 操作步骤 步骤一：安装nginxingresscontroller插件 1. 登录容器服务控制台，在左侧菜单栏选择“集群”。 2. 在集群列表页面，选择目标集群名称，然后在左侧菜单栏选择“插件”下的“插件市场”，点击安装nginxingresscontroller插件。 3. 提交安装插件，稍后会在集群中创建2个nginxingresscontroller pod。 4. 查看nginxingresscontroller是否正常运行。 步骤二：创建前端应用 这里使用nginx代表前端应用，部署2个副本。 1. 登录容器服务控制台，在左侧菜单栏选择“集群”。 2. 在集群列表页面，选择目标集群名称，然后在左侧菜单栏选择“工作负载”下的“无状态”，点击“创建deployment”。 也可以使用yaml创建工作负载，创建nginx工作负载参考如下： apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment namespace: default spec: replicas: 2 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.25alpine imagePullPolicy: Always name: nginx ports: containerPort: 80 protocol: TCP

云资源审计 弹性云主机已接入天翼云云审计供您免费使用，为您提供统一的云资源配置历史追踪、配置合规审计，帮助您支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 云审计可检测当前天翼云账号和所有 IAM 用户的操作记录，可记录通过天翼云控制台、OpenAPI访问和使用云上产品和服务的日志数据。具体支持的云服务审计事件，请参见++支持审计的云产品及关键操作列表++。 云审计默认为您记录最近7天的事件。如需保存更长时间的日志，则需要创建跟踪，将产生的事件记录到日志审计（原生版）或对象存储ZOS。详细操作，请参见云审计++配置事件追踪器++ 当您将事件投递到日志审计（原生版）或对象存储ZOS后，可以通过日志审计（原生版）或对象存储ZOS查询或分析事件。 流日志和流量镜像作用 流量镜像（Traffic Mirror）功能可以将网络流量从某一云服务器的网卡镜像到其他指定的云服务器的网卡上，以便于应用到内容检查、监控分析、问题排查等场景。流量镜像主要是镜像并筛选出符合条件的流量，因此它可以在不影响网络性能的情况下，捕获和记录网络流量，帮助管理员诊断网络故障、检测网络攻击等。更多信息，请参见++流量镜像概述++ 。

本节介绍了什么是区域、可用区、如何选择区域、如何选择可用区、区域和终端节点等内容。 什么是区域、可用区？ 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）指物理的数据中心。每个区域完全独立，这样可以实现最大程度的容错能力和稳定性。资源创建成功后不能更换区域。 可用区（AZ，Availability Zone）是同一区域内，电力和网络互相隔离的物理区域，一个可用区不受其他可用区故障的影响。一个区域内可以有多个可用区，不同可用区之间物理隔离，但内网互通，既保障了可用区的独立性，又提供了低价、低时延的网络连接。 下图阐明了区域和可用区之间的关系。 图 区域与可用区 如何选择区域？ 建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。 如何选择可用区？ 是否将资源放在同一可用区内，主要取决于您对容灾能力和网络时延的要求。 如果您的应用需要较高的容灾能力，建议您将资源部署在同一区域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，则建议您将资源创建在同一可用区内。 区域和终端节点 当您通过API使用资源时，您必须指定其区域终端节点。请向企业管理员获取区域和终端节点信息。

托管检测与响应服务（原生版）服务类FAQ，涵盖常见服务问题答疑。 什么是应急响应？ 应急响应（Incident Response/Emergency Response）通常是指一个组织为了应对各种意外事件的发生所做的准备工作以及在突发事件发生时或者发生后所采取的措施。计算机网络应急响应的对象是指计算机或网络所存储、传输、处理的信息的安全事件，事件的主体可能来自自然界、系统自身故障（这里的系统包括主机范畴内的问题，也包括网络范畴内的问题）、组织内部或外部的人、计算机病毒或蠕虫等。 应急处置的定义是什么？ 启动应急响应计划后，应立即采取相关措施抑制信息安全事件影响，避免造成更大损失。在确定有效控制了信息安全事件影响后，开始实施恢复操作。恢复阶段的行动集中于建立临时业务处理能力、修复原系统的损害、在原系统或新设施中恢复运行业务能力等应急措施（信息安全应急响应计划规范GB/T 243632009）。 什么是渗透测试？ 渗透测试是一种对抗性和定制化要求都非常高的一类安全测试，安全工程师在书面授权后尽可能完整地模拟黑客可能使用的漏洞发现技术与攻击技术（与黑客攻击相比其结果是可预知性的），对目标网络、主机、数据库与应用系统的安全性做深入的探测，发现系统薄弱环节的过程。能够直观的让管理人员知道当前网络、主机、数据库与应用系统存在的安全弱点以及可能造成的影响，以便采取必要的防范措施。

本章节主要介绍天翼云与客户在安全性方面各自应承担的责任。 为明确翼MapReduce产品在云服务环境下的安全责任边界，保障客户与天翼云协同构建安全可信的服务体系，本文将介绍天翼云与客户在安全性方面各自应承担的责任。 天翼云安全责任 天翼云负责保障云服务自身安全。责任包括： 基于天翼云综合安全产品体系，保障翼MapReduce产品内部使用的计算、存储、网络等基础设施，以及运行其上的平台服务与应用服务的安全性。 基于天翼云账号认证体系，为客户提供云上账户安全管理能力，包括但不限于支持主子账号、分组授权、细粒度授权等账户安全管控手段。 基于天翼云的监控与日志管理等能力，为客户提供翼MapReduce产品控制台操作及组件服务指标的安全监控能力。 未经客户授权，不接触和处理客户的业务数据。 客户安全责任 客户负责云服务内部的安全，正确配置和使用天翼云提供的产品能力和服务，责任包括： 负责数据的备份、加密，并对翼MapReduce产品中使用的所有密钥进行妥善管理。 负责访问权限控制，在账户设置中遵循最小权限原则，保护天翼云账户认证凭证。 遵循天翼云提供的安全原则和建议，对翼MapReduce产品中所使用的服务器、虚拟私有云、安全组、网络等基础设施进行合理配置，避免因配置不当而引发的安全风险与问题，承担数据安全主体责任。 管理安装在翼MapReducce集群上的组件服务，对其进行合理配置与使用，避免因不当配置引发的安全风险与问题。 不使用天翼云产品和服务从事非法的数据处理活动。

本节介绍应用托管常见问题。 您在使用应用托管时，可根据以下问题分类匹配问题场景和解决方案。 分类 帮助文档 计费类 计费类 操作类 操作类

本章节介绍如何对DRDS实例进行参数配置管理 操作场景 为了确保DRDS服务发挥出最优性能，您可以根据自己的业务情况对DRDS实例的运行参数进行配置。 前提条件 已有DRDS实例，且实例状态处于“运行中”。 操作步骤 1.登录管理控制台。 2.在导航栏选择“数据库 > 分布式数据库件间件”，进入总览页面。 3.单击左侧菜单栏的“实例管理”，进入实例管理页面。 4.在实例管理页面单击实例名称，进入实例信息详情页。 5.在该页面单击“参数管理”。您可以根据需要修改对应参数，确认无误后，单击“保存”即可。 DRDS实例配置参数说明 参数名称 缺省值 取值范围 参数说明 :::: bindtable 格式要求：[{tb.col1,tb2.col2},{tb.col2,tb3.col1},...]该参数要以“表名.列名”的形式出现且可以多对同时出现。 版本要求： DRDS 2.3.2.7版本及以上。 用于描述多个拆分表的内在数据关联性，用于告知优化器在处理join时，把join下推到MySQL层执行。参数举例请详见表下的说明。 maxconnections 1000 10~10000 允许同时连接的客户端总数。 此参数需要结合RDS for MySQL实例的规格及处理能力配置合适的值。连接数过多，可能造成连接等待，影响性能。DRDS的连接数消耗与分片数量和SQL设计等因素相关。 例如：SQL带拆分键时，1个DRDS连接同时消耗后面1个RDS for MySQL实例连接；SQL不带拆分键时，假设分片个数为N，那么会消耗N个RDS连接。 因此，SQL合理设计且DRDS和RDS的处理能力不成为瓶颈的前提，DRDS最大连接数可以配置成略小于“后端RDS的数量 单个RDS for MySQL实例支持的最大连接数”。 建议根据自己的业务进行实际压测，配置合理的值。 connectionidletimeout 28800 60~86400 (s) 服务器关闭连接之前等待连接活动的秒数。 longquerytime 1 0.1~3600 (s) 记录慢查询的最小秒数。 sqlexecutetimeout 28800 100~28800(s) SQL执行超时秒数。 connectionfailedthreshold 50 1~10000 客户端连接失败达到多少次后帐号和IP地址被锁定。 connectionfaileddelay 1200 1~86400 (s) 帐号和IP地址被锁定后延迟多少秒解锁。 maxallowedpacket 16777216 1024~1073741824 包或任何生成的中间字符串的最大值。包缓冲区初始化为netbufferlength字节，但需要时可以增长到maxallowedpacket字节。该值默认很小，以捕获大的（可能是错误的）数据包，该值必须设置为1024的倍数。 charactersetserver utf8 gbk、utf8、utf8mb4 DRDS服务端字符集，如果需要存储emoji表情符号，请选择utf8mb4并设置RDS for MySQL实例字符集也为utf8mb4。 说明 DRDS字符集与RDS for MySQL字符集（包括charactersetclient、charactersetconnection、charactersetdatabase、charactersetresults、charactersetserver）需要保持一致。 collationserver 将根据您设置的charactersetserver项进行匹配。 将根据您设置的charactersetserver项进行匹配。 DRDS服务端字符序。 根据您所设置的charactersetserver联动匹配collationserver选项： l gbk >gbkchineseci、gbkbin； l utf8 >utf8unicodeci、utf8bin； l utf8mb4 > utf8mb4unicodeci、utf8mb4bin。 sqlaudit OFF OFF、ON 开启或关闭SQL审计。 DRDSinstancetype SINGLE,MASTER,SLAV SINGLE:设置DRDS实例为单实例。 SLAVE:设置DRDS实例在灾备中作为备实例。 MASTER:设置DRDS实例在灾备中作为主实例。 transactionpolicy XA XA、FREE、NODTX XA：XA 事务，保证原子性，保证可见性； FREE：允许多写，不保证原子性，无性能损耗； NODTX：单分片事务。 说明 DRDS默认支持修改以上实例参数，特殊场景（如数据迁移）下如需修改更多实例参数请联系技术支持人员协助处理。 参数举例： 未使用bindtable结果展示。 使用bindtable结果展示。 单击“保存”，在弹框中单击“确定”完成参数修改。 说明 修改配置参数可能影响应用访问DRDS实例，请谨慎操作。 修改参数命令下发成功后，预计需要20~60秒生效，请耐心等待。

%^&+l ) 。 弱口令检查。 请妥善保管并定期更新密码，避免安全风险。 确认密码 重复输入一次数据库管理员用户的密码。 数据库端口 设置客户端或应用程序连接集群数据库时使用的端口。 支持的端口范围为8000～30000。 已创建的集群不支持修改数据库端口，只能在创建时进行指定。 8000 集群时区 支持设置租户集群时区，包含系统OS时区、集群数据仓库时区。 12. 设置高级配置； 选择“自定义”时，您可以设置以下高级配置参数，若选择“默认配置”，以下参数将使用它们的默认值。 开启后可以设置自动快照的保留天数以及修改当前集群使用的备份设备，各参数配置原则表所示。 自动快照说明 参数名 参数解释 备份设备 下拉框，支持OBS和NFS。 备份NFS文件系统地址（NFS参数） NFS的共享地址IP。填写弹性文件服务共享路径IP地址，挂载成功后默认在集群实例的/var/chroot/nfsbackup目录下创建挂载目录。 CN部署量 CN即协调节点（Coordinator），负责接收来自应用的访问请求，并向客户端返回执行结果，此外，协调节点还负责分解任务，并调度任务分片在各DN上并行执行。 取值范围为3~集群节点数，最大值为20，默认值为3。在大规模集群下，建议部署多个CN。 13. 开启IPv6功能。开关开启后，客户端或应用程序可通过IPv6的IP连接数据库。 开启IPv6需同时满足以下3个条件： 步骤8配置网络时的子网是IPv6双栈子网。 集群规格支持IPv6且支持最多网卡数大于等于3。 仅8.2.1.210及以上集群版本支持 14. 单击“下一步：确认配置”，进入规格详情页面。 15. 购买周期，如果是包年/包月计费模式，用户可根据需求选择购买时长。 购买周期 参数 描述 购买时长（包年/包月） 确定购买时长。若用户购买时长越长，则相应的折扣力度越大。在页面底部，将显示“参考价格”，用户可以单击“了解计费详情”，在弹出的“产品价格详情”页面中，查看具体的计费详情。 自动续费（包年/包月） 默认不勾选，不进行自动续费。 续费规则： − 按月购买：自动续费周期为1个月。 − 按年购买：自动续费周期为1年。 示例：客户A，创建集群选择了包年/包月计费方式，且购买时设置了自动续费，若购买时长为8个月，则自动续费周期为1个月；若购买时长为2年，则自动续费周期为1年。 16. 单击“立即购买”。如果是包年/包月计费模式，单击“立即购买”，进入付款页面。 提交成功后开始创建。单击“返回集群列表”按钮返回集群管理页面，所创集群的初始状态为“创建中”，集群创建需要时间，请等待一段时间。创建成功后状态更新为“可用”，用户可以开始使用集群。

本文介绍边缘接入服务计费常见问题。 开通IP应用加速前，要先订购边缘接入服务吗 边缘接入服务里的应用加速与安全与加速服务里的加速是否叠加计费 IP应用加速支持海外加速吗 购买边缘接入套餐后，已购买的流量/带宽、域名数、端口数、DDoS防护不够怎么办

镜像类型 说明 公共镜像 常见的标准操作系统镜像，所有用户可见，包括操作系统以及预装的公共应用或服务。 私有镜像 包含操作系统、预装的公共应用以及用户的私有应用，仅用户个人可见。选择私有镜像创建物理机服务器，可以节省您重复配置物理机服务器的时间。（用户可以提工单，让运维后台协助您快速完成私有镜像的制作。） 共享镜像 由其他用户共享的私有镜像。

本文为您介绍CC防护功能说明，以及如何配置系统默认、自定义防护策略。 网站域名接入云WAF后，您可以选择开启CC防护功能，为网站拦截针对页面请求的CC攻击。您也可以根据实际需求自定义CC安全防护的防护策略。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版不支持CC防护，请升级到更高版本使用。 配置CC防护模式 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“CC防护”模块，可以选择开启/关闭防护状态；同时可以直接选择防护模式，配置信息如下。 配置项 说明 状态 开启或关闭CC安全防护功能。 防护模式 要应用的防护模式。可选值： 常规：只针对特别异常的请求进行拦截，误杀较少。建议您在网站无明显流量异常时应用此模式，避免误杀。 紧急：高效拦截CC攻击，可能造成较多误杀。当您发现有防护模式无法拦截的CC攻击，并出现网站响应缓慢，流量、CPU、内存等指标异常时，可以应用此模式。 自定义：自定义CC防护可以通过精确匹配条件过滤访问请求的基础上，基于用户访问源IP或者SESSION频率定义访问频率限制条件，对于超过频率限制的访问进行拦截。 策略配置方法，请参见下文[配置自定义CC防护策略](

本文为您介绍如何快速配置CC防护策略。 网站域名接入云WAF后，您可以选择开启CC防护功能，为网站拦截针对页面请求的CC攻击。您也可以根据实际需求自定义CC安全防护的防护策略。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版不支持CC防护，请升级到更高版本使用。 CC防护模式配置 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“CC防护”区域，可以选择开启/关闭防护状态；同时可以直接选择防护模式。 配置项说明如下： 配置项 说明 状态 开启或关闭CC安全防护功能。 防护模式 要应用的防护模式。可选值： 常规：只针对特别异常的请求进行拦截，误杀较少。建议您在网站无明显流量异常时应用此模式，避免误杀。 紧急：高效拦截CC攻击，可能造成较多误杀。当您发现有防护模式无法拦截的CC攻击，并出现网站响应缓慢，流量、CPU、内存等指标异常时，可以应用此模式。 自定义：自定义CC防护可以通过精确匹配条件过滤访问请求，基于用户访问源IP或者SESSION频率定义访问频率限制条件，对于超过频率限制的访问进行拦截。 策略配置方法，请参见设置[自定义CC防护策略](

说明如何开启多点触控。 说明 若您的UE/Unity应用程序支持 触摸屏touch事件 ，如UE中内置了Ultimate Touch Components触摸插件，开启多点触控后可直接在移动端实现多点触控。 若您的应用程序只支持WASD+空格的方式操控人物移动与鼠标控制视角转换 ，开启后仍然无法支持移动端多点触控生效。您可直接在控制台中配置键鼠映射，将屏幕操作转为键鼠指令。 操作步骤 发布应用时，配置项选择开启多点触控即可支持应用的多点触控功能，无需接入任何SDK或Plugin。 以下是Unity注意事项 注意 云渲染支持应用的多点触控功能，无需接入任何SDK，但是需要注意，Unity的新版输入系统不能识别Windows平台的触摸事件，因此无法响应节点机发出的触控指令，目前只能等待Unity进行修复。如果项目中使用了该插件并且需要多点触控功能，需要切换为旧版本，确认项目中是否使用了新版插件。 1. 打开工程，在WindowPackage Manager中，查看项目中是否有Input System插件 2. 打开场景，选中Event System，查看是否带有Input System UI Input Module 替换为旧版本输入系统 3. 移除Event System上的Input System UI Input Module组件 4. 添加Standalone Input Module组件 确认激活旧版输入系统 在项目设置中，将Active Input Handling设置为Input Manager(Old) 或者Both

本文介绍如何使用告警自助功能。 功能背景 AOne告警自助功能让企业自主地、灵活地配置对核心系统指标的实时监控，直观掌握连接器与应用的健康状况，自定义敏感的告警阈值，精准通知到相关负责人，实现秒级感知异常，最终驱动团队快速响应与处置，有效保障业务的高可用性和稳定性。 操作步骤 1.登录边缘安全加速平台控制台。 2.在左侧导航栏AOne零信任设置告警设置，查看相应的配置和管理。 3.可根据业务需求进行相关配置。 功能说明 说明 配置完告警后，除已配置的联系方式会接收到告警外，您可从控制台待办事项查看对应的通知。 连接器异常 字段 说明 备注 事件类型 支持多种事件类型：连接器隧道状态异常、连接器中心连通异常、连接器CPU使用率异常、连接器内存使用率异常。 告警阈值 可根据不同事件类型，设置对应的告警阈值。 接收告警时间 仅在接收时间内进行告警，若告警发生时，不在接收时间，告警可能会遗漏通知。 告警开关 默认关闭，请对有需要关注的告警事件类型进行开启。开启后，请配置告警通知人等信息。关闭时则不会进行告警通知和监控。 告警方式 可选短信或者邮箱进行告警，通过短信告警的方式，当前暂不占用您企业零信任短信额度数量，若后续涉及短信额度抵扣，将进行通知。 一个事件类型，最多支持设置5个手机号和5个邮箱地址作为告警通知联系方式。 可选择系统内通知人以及自定义系统外通知人。若选择系统内通知人后，只保存当下该通知人的联系方式，若该系统内通知人联系方式变更，请重新编辑修改。

通过备份和恢复功能可以实现跨集群迁移数据至云搜索服务实例。 应用场景 通过备份与恢复实现天翼云云搜索Elasticsearch/OpenSearch集群间的数据迁移适用于源集群和目标集群都是天翼云云搜索服务的集群，且依赖天翼云对象存储服务ZOS。常用于以下场景： 跨地域或跨账号迁移：将其他Region或账号下的Elasticsearch/OpenSearch集群迁移到当前集群中。 Elasticsearch迁移OpenSearch：将Elasticsearch集群数据迁移到OpenSearch集群中。 集群合并：将两个Elasticsearch/OpenSearch集群的索引数据合并到一个集群中。 方案优势 一站式便捷管理 通过天翼云云搜索服务控制台集成的集群备份功能，实现可视化备份与恢复操作。支持自动化运维策略预设（如定时备份、增量备份），降低人工干预成本。 专为海量数据迁移设计，可高效承载GB至PB级数据迁移任务。基于分布式架构的弹性扩展能力，确保超大规模数据迁移场景下的系统稳定性。 ​灵活跨域协作 依托天翼云对象存储ZOS跨区域复制技术，支持多地域数据同步迁移。 ​精准恢复模式 提供细粒度恢复选择：可按索引维度定向恢复，或基于时间戳回滚至特定集群状态。支持数据版本回溯与一致性校验，保障业务连续性。 约束限制 1. 备份与恢复不支持动态增量数据同步，建议停止数据更新后再进行备份。 2. 第三方存储仓库要配置公网访问才能迁移快照数据。 前提条件 1. 源实例和目标实例处于可用状态。 2. 目标实例的云搜索实例开通备份功能，同资源池下的对象存储服务（ZOS）可用。 3. 已开通好两个不同区域的在用云搜索实例。 操作步骤 本文以西南1资源池云搜索服务迁移进华东1资源池云搜索服务实例为例，模拟数据迁移过程。

概述 本章节主要介绍如何将智能体快速集成到其他业务系统中。 前提条件 已创建可用的智能体，并为智能体创建Endpoint 已开通函数计算服务 在函数计算控制台“域名管理”配置域名 操作步骤 进入集成与发布页面 1. 登录智能体引擎控制台，在左侧导航栏，单击智能体，进入智能体列表页面。 2. 在智能体列表页面中，点击对应的智能体，进入智能体详情页面。 3. 选择详情页顶部的集成与发布 选项卡，选择UI集成 或代码集成。 UI集成 智能体引擎服务为您提供全屏嵌入 、抽屉式 、浮窗式等3种前端模版，支持一键部署为前后端一体的智能体应用。 以下是部署生成的操作示例： 1. 选择集成样式，如：全屏嵌入。 2. 点击部署生成 按钮，在集成配置页面选择访问前端页面的自定义域名 的子域名前缀和根域名，以及智能体的Endpoint ，然后点击确定按钮。 注意 平台会根据输入的自定义域名前缀和根域名去创建一个子域名，路由指向部署的UI集成函数。为了能顺利访问UI集成函数，请确保： 1. 子域名已配置CNAME。未配置CNAME的域名将无法访问到UI集成函数，CNAME配置请参考 < 2. 域名已备案。未备案的域名，浏览器访问页面时默认以附件下载模式打开 3. 等待部署完成，在部署资源列表，您将看到已部署的前端项目对应的函数和访问地址。 4. 点击访问地址，进入部署生成的智能体服务UI界面。 5. 在部署资源列表 ，您也可以点击删除服务进行删除不再需要的集成服务，对应的函数和访问域名将会被删除。

本节主要介绍GeminiDB Influx接口的实例规格。 同一实例类型根据内存的配置不同分为多种实例规格，针对不同的应用场景，您可以选择不同规格的实例。 本章节主要介绍GeminiDB Influx实例支持的实例规格信息。数据库实例规格与所选的CPU机型相关，请以实际环境为准。 表1 GeminiDB Influx集群实例规格 数据节点规格名称 分析节点规格名称 vCPU（个） 内存（GB） 最小存储空间（GB） 最大存储空间（GB） 单个节点的缺省最大连接数配置 单个节点支持的时间线(万) 集群最大支持创建RP个数 单次查询最大field个数 单次查询最大时间线 geminidb.influxdb.large.4 geminidb.influxdb.analysis.large.4 2 8 100 12,000 500 4 40 1,000 5,000 geminidb.influxdb.xlarge.4 geminidb.influxdb.analysis.xlarge.4 4 16 100 24,000 500 16 40 2,000 20,000 geminidb.influxdb.2xlarge.4 geminidb.influxdb.analysis.2xlarge.4 8 32 100 48,000 1,000 64 80 4,000 80,000 geminidb.influxdb.4xlarge.4 geminidb.influxdb.analysis.4xlarge.4 16 64 100 96,000 2,000 256 160 8,000 320,000 geminidb.influxdb.8xlarge.4 geminidb.influxdb.analysis.8xlarge.4 32 128 100 192,000 4,000 1,024 320 16,000 1,280,000 GeminiDB Influx实例节点内存使用量达到一定阈值时，会主动进行如下管理： 1. 内存使用率 > 90%,，触发操作：主动kill掉执行耗时最长的查询，同时禁止新的查询执行。 2. 内存使用率 > 80%， 触发操作：降低新读写请求的执行速度。 表3 不同规格的实例节点在不同内存使用率下的每秒请求个数 内存使用率(单位：%) 2U8G 4U16G 8U32G 16U64G 32U128G 读 写 读 写 读 80 < 内存使用率 < 85 100 300 100 300 180 85 < 内存使用率 < 90 66 200 66 200 120 90 < 内存使用率 < 95 50 150 50 150 90 95 < 内存使用率 < 100 40 120 40 120 72

实践 描述 变更规格 当使用的云堡垒机规格不能满足实际需求时，您可以选择对云堡垒机的规格进行变更规格。 系统策略 云堡垒机支持通过执行命令运维数据库，包括数据删除、修改、查看等运维操作。为确保数据库敏感信息的安全，避免关键信息的丢失和泄露，本文针对运维用户访问和运维数据库关键信息，详细介绍了如何设置数据库高危操作的复核审批，以及如何实现关键信息的重点监控。 等保合规 为客户提供一站式的安全解决方案，帮助客户快速、低成本完成安全整改，轻松满足等保合规要求。 系统运维 针对您的服务器资源分布在跨VPC、线下IDC机房、非华为云等跨网络域的场景，华为云堡垒机提供了通过网络代理服务器进行运维的方案，便于您在没有搭建网络专线的情况下，纳管各网络域的各类服务器资源，从而通过华为云堡垒机统一管理、运维您的各类工作负载。 运维审计 云堡垒机可以管控所有的操作，并对所有的操作都进行详细记录。针对会话的审计日志，支持在线查看、在线播放和下载后离线播放。目前支持字符协议（SSH、TELNET）、图形协议（RDP、VNC）、文件传输协议（FTP、SFTP、SCP）、数据库协议（DB2、MySQL、Oracle、SQL Server）和应用发布的操作审计。其中，字符协议和数据库协议能够进行操作指令解析，还原操作指令；文件传输能够记录传输的文件名称和目标路径。

随着业务逻辑的复杂化，越来越多的应用需要大量模块之间的网络调用。传统的单一外部防火墙，或依照应用分层的防火墙已渐渐无法满足需求。在一个大的集群里面，各模块、业务逻辑层，或各职能团队之间的网络策略需求越来越强。 CCE基于Kubernetes的网络策略功能进行了加强，通过配置网络策略，允许在同个集群内实现网络的隔离，也就是可以在某些实例（Pod）之间架起防火墙。 使用场景例如：某个用户有支付系统，且严格要求只能某几个组件能访问该支付系统，否则有被攻破的安全风险，通过配置网络策略可免除该风险。 约束与限制 VPC网络模型暂不支持网络策略（NetworkPolicy）。 网络策略（NetworkPolicy）暂不支持设置egress路由规则。 使用说明 若工作负载（例如名称为workload1）未配置网络策略，那“当前集群内的其它工作负载”都可以访问“名为workload1的工作负载”。 设置网络策略 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”。在NetworkPolicy页签，单击“添加NetworkPolicy”。 NetworkPolicy名称：自定义输入NetworkPolicy名称。 集群名称：选择网络策略所在集群。 命名空间：选择网络策略所在命名空间。 关联工作负载： 单击“选择工作负载”，选择“需要设置网络策略的工作负载”，例如工作负载名称为workload1，单击“确定”。 规则：单击“添加规则”，参数设置请参见下表 表NetworkPolicy添加规则 参数 参数说明 方向 当前仅支持入方向。即“其它工作负载”访问“当前的工作负载（即当前案例中的workload1）”。 协议 请选择对应的协议类型，目前支持TCP和UDP协议，不支持ICMP协议。 目的容器端口 容器镜像中应用程序实际监听端口，需用户确定。nginx程序实际监听的端口为80。 若不填写容器端口，默认所有端口都可被访问。 远端 选择可访问“当前工作负载”的“其它工作负载”。通过目的容器端口来访问。 命名空间： 若选择某个命名空间，则该命名空间下的所有工作负载都会加入白名单，即都可访问workload1。 工作负载： 若选择某个工作负载，即该工作负载可以访问workload1 。仅支持选择与workload1同个命名空间下的“其它工作负载”。 步骤 2 设置完成后，单击“创建”。 步骤 3 若需要为当前工作负载添加更多网络策略，例如其它端口需要被某个工作负载访问，可单击“添加NetworkPolicy”，继续添加更多策略。 创建成功后，“仅远端中配置好的命名空间或工作负载”可以访问“当前工作负载”。

本章节介绍如何在服务网格中实现流量标签的打标及路由等 概述 在应用服务网格中可以通过自定义的资源（TrafficLabel）实现对请求流量的打标，进而可以基于流量的标签进行单服务及全链路的路由、策略控制等。本文介绍流量打标原理，流量标签管理，流量标签配置示例及详细说明。 流量打标原理 流量打标就是要给流量打上标签，进而可以对流量进行路由等策略配置。当前CSM服务网格支持从请求头部或者工作负载本身的标签中取值作为流量的标签；同时还支持在调用链中透传流量标签信息，用于实现全链路的标签路由策略。 流量标签配置实例 下面是一个流量标签的配置示例，定义了一个流量标签userdefinelabel1，会取当前pod的CSMTRAFFICTAG标签值作为userdefinelabel1的值添加到请求头部里面；同时还定义了另外一个userdefinelabel2标签，该标签定义优先从请求的xtraffictag头部取值，同时使用Envoy生成的xrequestid作为上下文key，在整个调用链路中透传该标签；如果打标失败了，会按照valueFrom数组中下一个定义继续取值，取到第一个非空值时停止。 plaintext apiVersion: istio.ctyun.cn/v1beta1 kind: TrafficLabel metadata: name: trafficlabelexample namespace: demo spec: rule: labels: name: userdefinelabel1 valueFrom: $getLabel(CSMTRAFFICTAG) name: userdefinelabel2 valueFrom: $getInboundRequestHeaderWithContext (xtraffictag, xrequestid) $getLabel(CSMTRAFFICTAG) 当前CSM服务网格支持的流量打标方式有以下几种： 函数 说明 示例 getInboundRequestHeader(headerName) 从Inbound方向的请求header中取值；只应用于istio ingress网关。 请求headerName：v1 打标后： userdefinelabel: v1 getInboundRequestHeaderWithContext(headerName, contextKey) 从Inbound方向的请求header取值，同时从contextKey头部取值作为流量标签在上下文透传的key； 该头部可以是用于实现链路追踪上下文透传的头部，比如xrequestid、xb3traceid或者您的业务中使用的自定义头部； 该函数只适用于sidecar。 请求： contextID: 1234abcd headerName: v1 打标后： contextID: 1234abcd headerName: v1 userdefinelabel: v1 getOutboundRequestHeader(headerName) 从outbound方向的请求头部取值，只适用于sidecar。 请求headerName：v1 打标后： userdefinelabel: v1 getLabel(labelName) 从pod的标签取值；适用于istio ingress网关和sidecar。 Pod标签： labelName: v1 打标后： userdefinelabel: v1