API安全网关 API全生命周期管理：多协助开发者轻松完成API的创建、维护、发布、监控、参数校验等整个生命周期的管理。 API攻击防护：内置丰富的攻击检测规则，对OWASP top 10等常见的web和API风险漏洞提供有效的攻击防护。 API限流限速：支持基于API、服务、API调用者三个维度的限流限速功能，以保护你的后端服务。 灵活的API访问控制：支持高度可配置的访问控制策略，涵盖但不限于IP白名单/黑名单、请求URL匹配、HTTP方法限制、请求体校验、Host头验证及Referer检查等。 API动态脱敏与水印溯源：自动识别和梳理API中传输的敏感数据，针对不同的API调用者配置动态脱敏功能和水印算法。 API监控审计：提供API访问行为的全量审计功能和访问行为分析功能，方便事后追踪溯源。 API风险监测 自动化盘点应用API，掌握数据资产全貌：采集API日志支持加密流量解析；维持最新的API清单让API清晰可见，多种API打标维度让API可管 。 API分类分级管控：快速定义数据的敏感等级，包括金融、运营商、政务在内的14个分类分级模版，同时识别API上面传输的敏感数据，监测数据流动，例如：手机号、姓名等。 数据安全风险分析：提供API 脆弱性风险、用户行为风险、用户行为画像等多重种数据安全风险统计分析能力。 API行为风险监测：内置行为风险自动监测引擎，对用户异常调用API获取数据行为等进行实时监控预警，发现逾需拉取、数据爬取等行为风险。 留存全量日志，实现全面溯源可查：统一操作日志格式，为常用的审计景添加检索引，检索相应速度更快，运营操作更友好；内置API数据安全运营报表、资产治理专项报表以及特殊场景安全评估报表，如：疑似下线资产审计等，可通过邮箱订阅报表

参数 描述 数据流动方向 选择“入云”，即目标端数据库为本云数据库。 源数据库引擎 选择“MySQL”。 目标数据库引擎 选择“MySQL”。 网络类型 此处以公网网络为示例。 可根据业务场景选择公网网络、VPC网络和VPN、专线网络。 目标数据库实例 用户所创建的关系型数据库实例。 说明 目标数据库实例不支持选择只读实例。 目标数据库实例可以和源数据库选择同一个实例。 同步实例所在子网 请选择同步实例所在的子网。也可以单击“查看子网”，跳转至“网络控制台”查看实例所在子网帮助选择。 默认值为当前所选数据库实例所在子网，请选择有可用IP地址的子网。为确保同步实例创建成功，仅显示已经开启DHCP的子网。 IP类型 选择迁移实例的IP类型，目前支持选择“IPv4”或“IPv4&IPv6双栈”。只有所选择的VPC及子网都开启了IPv6双栈功能，才能选择IP类型为“IPv4&IPv6双栈”。 同步类型 此处以“全量+增量”为示例。 “全量+增量”：该模式为数据持续性实时同步，通过全量过程完成目标端数据库的初始化后，增量同步阶段通过解析日志等技术，将源端和目标端数据保持数据持续一致。 说明 选择“全量+增量”同步模式，增量同步可以在全量同步完成的基础上实现数据的持续同步，无需中断业务，实现同步过程中源业务和数据库继续对外提供访问。 “增量”：增量同步通过解析日志等技术，将源端产生的增量数据同步至目标端。 标签 可选配置，对同步任务的标识。使用标签可方便管理您的任务。每个任务最多支持10个标签配额。 任务创建成功后，您可以单击任务名称，在“标签”页签下查看对应标签。关于标签的详细操作，请参见 标签管理。

此小节介绍绑定弹性公网IP。 以下操作必须为堡垒机实例绑定弹性公网IP，且为了满足CBH使用需求，建议配置EIP带宽为5M以上。 使用Web浏览器登录云堡垒机系统。登录地址：https:// 云堡垒机实例EIP 。例如， 配置了手机短信登录，需要通过手机获取验证码等操作，不配置EIP，会导致不能接收短信。 对接LTS外发日志。 V3.3.2.0及以下版本，如果云堡垒机实例未绑定弹性公网IP的话，会导致变更版本规格、升级版本、启动/重启实例、续费等操作失败。 前提条件 已获取管理控制台的登录帐号与密码。 已购买至少一个弹性公网IP（Elastic IP，EIP）。 注意 一个弹性公网IP只能绑定一个云资源使用，云堡垒机绑定的弹性IP不能与其他云资源共用； 该弹性公网IP和要绑定的云堡垒机实例必须是同一个帐号同一个区域下购买的。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击，选择区域，选择“安全 > 云堡垒机”，进入云堡垒机实例管理页面。 3. 单击左上角的，选择区域或项目。 4. 在左侧导航树中，单击云堡垒机，进入云堡垒机实例界面。 5. 在需要绑定弹性IP的实例所在行，单击“操作”列中的“更多 > 绑定弹性公网IP”。 6. 在弹出的绑定弹性IP对话框中，选择已有“未绑定”状态的弹性IP，单击“确定”。绑定成功后，“登录”按钮变为可操作，且可在“弹性IP”列查看已绑定弹性IP。 说明 若没有可选择的弹性IP，请单击“立即购买弹性IP”进行购买。

本章节主要介绍云搜索服务与其他服务的关系。 虚拟私有云（Virtual Private Cloud，简称VPC） 云搜索服务的集群创建在虚拟私有云（VPC）的子网内，VPC通过逻辑方式进行网络隔离，为用户的集群提供安全、隔离的网络环境。 弹性云主机（Elastic Cloud Server，简称ECS） 云搜索服务的集群中每个节点为一台弹性云主机（ECS）。创建集群时将自动创建弹性云主机作为节点。 云硬盘（Elastic Volume Service，简称EVS） 云搜索服务使用云硬盘（EVS）存储索引数据。创建集群时，将自动创建云硬盘用于集群存储。 对象存储服务（Object Storage Service，简称OBS） 云搜索服务的集群快照存储在对象存储服务（OBS）的桶中。 统一身份认证服务（Identity and Access Management，简称IAM） 云搜索服务使用统一身份认证服务（IAM）进行鉴权。 云监控服务（Cloud Eye） 云搜索服务使用云监控服务实时监测集群的指标信息，保障服务正常运行。云搜索服务当前支持的监控指标为磁盘使用率和集群健康状态。用户通过磁盘使用率指标可以及时了解集群的磁盘使用情况。通过集群健康状态指标，用户可以了解集群的健康状态。 云审计服务（Cloud Trace Service，简称CTS） 云审计服务（CTS）可以记录与云搜索服务相关的操作事件，便于日后的查询、审计和回溯。

本章节介绍运维中心相关功能 概述 微服务治理中心运维中心提供操作日志及事件中心功能。 操作日志 操作日志提供对治理过程中关键治理操作的记录，通过操作日志功能，用户可以进行行为追踪和问题排查，及时发现治理过程中的不当操作，定位治理操作对应用的影响。 功能入口 登录微服务治理控制台。 在控制台左侧导航栏中选择运维中心>操作日志。 在操作类型下拉框可以选择对应的操作类型，筛选操作。 在对应日志项的操作列单击详情，获取对应操作的额外信息。 事件中心 事件中心提供对微服务治理事件数据的统一展示能力，通过事件中心，用户可以从事件类型和事件来源维度查询事件记录，感知微服务治理中心下应用的状态，从而验证微服务治理配置的正确性，排查系统的异常问题。 功能入口 登录微服务治理控制台。 在控制台左侧导航栏中选择运维中心>事件中心。 在事件类型下拉框可以选择对应的事件类型，筛选对应类型的事件记录。 在应用名称下拉框可以选择对应的应用资源，筛选对应应用下的事件记录。 在对应事件记录项的操作列单击查看详情，获取对应事件记录的详细信息。

本小节介绍终端杀毒术语解释。 安全基线 安全基线（Security Base Line）指为了满足安全要求，相关系统和服务安全配置必须达到的一定标准和基本要求。通过对不同配置和策略的具体项目来评估产品是否达到安全基线，包括账号配置安全、口令配置安全、授权配置、日志配置、网络配置等。安全基线评估结果在一定程度上，反映了服务器的安全性。 隔离文件 隔离技术把存在恶意行为的木马、病毒文件进行隔离存储，避免恶意文件持续扩散。 未授权访问 未授权访问（Unauthorized Access）是不满足安全基线导致的一类问题，主要指相关服务没有对服务的访问条件进行限制，例如设置密码、限制访问来源等，导致任何人都可以直接连接服务进行操作，从而产生安全问题。

本节主要介绍如何配置桶的日志记录。 当一个桶开启了日志记录功能后，OBS自动将该桶的日志按照固定的命名规则，生成一个对象写入用户指定的桶。 操作步骤 步骤 1 在桶列表单击待操作的桶，进入“对象”页面。 步骤 2 在左侧导航栏，单击“概览”，进入“概览”页面。 步骤 3 在“基础配置”区域下，单击“日志记录”卡片，系统弹出“日志记录”对话框。 步骤 4 选择“启用”，如下图所示。 步骤 5 选择“日志存储桶”（已经存在的桶），指定日志文件生成后将上传到哪个桶中。选定的日志存储桶的日志投递用户组会自动被赋予读取ACL权限和桶的写入权限。 步骤 6 设置“日志文件前缀”，指定日志文件的前缀。 启用日志记录功能后，生成的日志文件根据如下规则命名： YYYYmmDDHHMMSS 为用户指定的日志文件日志存储前缀。 YYYYmmDDHHMMSS为日志生成的日期与时间，各字段依次表示年、月、日、时、分、秒。 为OBS自动生成的字符串。 在管理控制台上，如果配置的目标前缀 以斜杠 / 结尾，则该桶生成的日志文件在目标桶中将统一存放在以 命名的文件夹中，方便您进行管理。 例如： 如果配置日志存储桶为 bucket ，日志文件前缀为 bucketlog/ ，则所有日志都将保存在bucket 内的文件夹bucketlog 中。日志命名举例： 20150629122207N7MXLAF1BDG7MPDV 。 如果配置日志存储桶为 bucket ，日志文件前缀为 bucketlog ，则所有日志都将直接保存在bucket 中。日志命名举例： bucketlog20150629122207N7MXLAF1BDG7MPDV 。 步骤 7 选择“IAM委托”，给OBS授予上传日志文件到日志存储桶的权限。 默认情况下，在为委托配置权限时只需设置日志存储桶的上传对象（PutObject）权限，示例如下（其中mybucketlogs为日志存储桶的桶名）。如果日志存储桶开启了默认加密功能，还需要委托同时具有日志存储桶所在区域的KMS Administrator权限。 { "Version": "1.1", "Statement": [ { "Action": [ "obs:object:PutObject" ], "Resource": [ "OBS:::object:mybucketlogs/" ], "Effect": "Allow" } ] } 您可以从下拉列表选择帐号下已有的IAM委托，也可以单击“创建委托”去创建一个新的委托。 步骤 8 单击“确定”。 日志记录设置成功后，大约15分钟后可在日志存储桶中查看到桶的操作日志。

Hash 索引 如果只涉及到对单个字段的等值查询，可以考虑创建 hash 索引，使用 mongo shell 创建 hash 索引的方式如下： db.coll.createIndex({score: "hashed"}) Hash 索引底层也是使用 btree 存储，但是区别在于 btree 的 key 是 hash 之后的值。 对于分片版本的文档数据库实例，如果按照 hash 方式创建分片表，则每个 shard server 上会自动创建基于分片键的 hash 索引。 Hash 索引有一些限制： 不能指定唯一属性。 不能进行范围扫描。 如果要创建索引的字段很长，由于 hash 索引是按照的 64bit 的hash 值创建索引，可以在一定程度上节省索引的存储空间。 索引属性 在创建索引时可以指定属性完成更高级的功能，常用的配置属性有： TTL 。实现数据自动过期删除。比如有 coll 表中存放了系统运行日志，其中包含了 createTime 指定了日志生成时间，则可以按照这个字段创建 TTL 索引自动删除 1 个小时以前的数据：db.coll.createIndex( { "createTime": 1 }, { expireAfterSeconds: 3600 } )。 Unique。指定字段的唯一性。如果重复插入该字段值相同的数据会报错失败，指定方式为 db.coll.createIndex( { "name": 1 }, { unique: true } )。 Partial。只对满足条件的文档创建索引。比如只对分数大于 80 的文档创建索引：db.coll2.createIndex({score:1, name:1}, {partialFilterExpression: {score: {$gt: 80}} })。 慢查询定位和处理 用户可以在控制台上单机实例名称进入慢日志展示页面，查看实例最近的慢请求。慢日志中一般会包含 docsExamined 等信息记录了本次请求扫描的文档数，可以结合日志信息和查询语句来判断是否缺少合适的索引。 用户也可以使用 mongo shell 连接到文档数据库服务实例，然后执行 explain() 观察查询计划是否复合预期。例如： db.coll.find({xxx:xxx}).explain() 如果缺少索引，可以执行前文所述的命令进行索引创建，然后重新执行查询命令观察执行计划是否正常。

日志提取方式 字段名称 字段类型是否可修改 字段是否可删除 正则分析（自动生成） 用户自定义。名称必须以字母开始，且仅包含字母和数字。 是 是 正则分析（手动输入） 支持在输入正则表达式时进行命名。支持使用系统默认命名field1、field2、field3……，或对其修改后的名称。 是 是 JSON格式 智能提取字段名称，可定义别名。 是 是 分隔符 默认名称field1、field2、field3……，可进行修改。 是 是 Nginx 根据Nginx配置生成，可定义别名。 是 是 ELB模板 根据ELB资料中提供的日志字段被定义。 否 否 VPC模板 根据VPC资料中提供的日志字段被定义。 否 否 CTS模板 字段名称为json日志中的key。 否 否 APIG模板 根据APIG资料中提供的日志字段被定义。 否 否 DCS审计日志 根据DCS资料中提供的日志字段被定义。 否 否 TOMCAT 根据TOMCAT官网提供的字段名称进行nginx解析的名称 否 否 NGINX 根据NGINX资料中提供的日志字段被定义。 否 否 GAUSSV5审计日志 根据GAUSSV5资料中提供的日志字段被定义。 否 否 DDS审计日志 根据DDS资料中提供的日志字段被定义。 否 否 DDS错误日志 根据DDS资料中提供的日志字段被定义。 否 否 DDS慢日志 根据DDS资料中提供的日志字段被定义。 否 否 CFW访问控制日志 根据CFW资料中提供的日志字段被定义。 否 否 CFW攻击日志 根据CFW资料中提供的日志字段被定义。 否 否 CFW流量日志 根据CFW资料中提供的日志字段被定义。 否 否 MYSQL错误日志 根据MYSQL资料中提供的日志字段被定义。 否 否 MYSQL慢日志 根据MYSQL资料中提供的日志字段被定义。 否 否 POSTGRESQL错误日志 根据POSTGRESQL资料中提供的日志字段被定义。 否 否 SQLSERVER错误日志 根据SQLSERVER资料中提供的日志字段被定义。 否 否 GAUSSDBREDIS慢日志 根据GAUSSDBREDIS资料中提供的日志字段被定义。 否 否 CDN 根据CDN资料中提供的日志字段被定义。 否 否 SMN 根据SMN资料中提供的日志字段被定义。 否 否 GAUSSDBMYSQL错误日志 根据GAUSSDBMYSQL资料中提供的日志字段被定义。 否 否 GAUSSDBMYSQL慢日志 根据GAUSSDBMYSQL资料中提供的日志字段被定义。 否 否 ER企业路由器 根据ER企业路由器资料中提供的日志字段被定义。 否 否 MYSQL审计日志 根据MYSQL审计日志资料中提供的日志字段被定义。 否 否 GaussDBforCassandra慢日志 根据GaussDBforCassandra慢日志资料中提供的日志字段被定义。 否 否 GaussDBforMongo慢日志 根据GaussDBforMongo慢日志资料中提供的日志字段被定义。 否 否 GaussDBforMongo错误日志 根据GaussDBforMongo错误日志资料中提供的日志字段被定义。 否 否 WAF访问日志 根据WAF访问日志资料中提供的日志字段被定义。 否 否 WAF攻击日志 根据WAF攻击日志资料中提供的日志字段被定义。 否 否 DMS重平衡日志 根据DMS重平衡日志资料中提供的日志字段被定义。 否 否 CCE审计日志 根据CCE审计日志资料中提供的日志字段被定义。 否 否 CCE事件日志 根据CCE事件日志资料中提供的日志字段被定义。 否 否 GaussDBforRedis审计日志 根据GaussDBforRedis审计日志资料中提供的日志字段被定义。 否 否 自定义模板 用户自定义。 是 是

本章节主要介绍翼MapReduce的配置Syslog北向参数。 操作场景 该任务指导用户以Syslog方式将MRS Manager的告警事件上报到指定的监控运维系统中。 须知：Syslog协议未做加密，传输数据容易被窃取，存在安全风险。 前提条件 对接服务器对应的弹性云服务器需要和MRS集群的Master节点在相同的VPC，且Master节点可以访问对接服务器的IP地址和指定端口。 操作步骤 在MRS Manager，单击“系统设置”。 1. 在“配置”区域“监控和告警配置”下，单击“Syslog配置”。 “Syslog服务”的开关默认为关闭，单击启用Syslog服务。 2. 设置如下表所示的对接参数。 详见下表：对接参数 参数区域 参数名称 参数说明 Syslog协议 服务IP 设置对接服务器IP地址。 服务端口 设置对接端口。 协议 设置协议类型，取值范围： l “TCP” l “UDP” 安全级别 设置上报消息的严重程度，取值范围： l “Informational” l “Emergency” l “Alert” l “Critical” l “Error” l “Warning” l “Notice” l “Debug” Facility 设置产生日志的模块。 标识符 设置产品标识，默认为“MRS Manager”。 报告信息 报文格式 设置告警报告的消息格式，具体要求请参考界面帮助。 报告告警类型 设置需要上报的告警类型。 l “故障”表示Manager产生告警时会上报Syslog告警消息。 l “清除”表示清除Manager告警时会上报Syslog告警消息。 l “事件”表示Manager产生事件时会上报Syslog告警消息。 报告告警级别 设置需要上报的告警级别。支持“提示”、“一般”、“严重”和 “致命”。 未恢复告警上报设置 周期上报未恢复告警 设置是否按指定周期上报未清除的告警。“周期上报未恢复告警”的开关默认为关闭，单击启用此功能。 间隔时间（分钟） 设置周期上报未恢复告警到远程Syslog服务的时间间隔，当“周期上报未恢复告警”开关打开时启用。单位为分钟，默认值为“15”，取值范围为5分钟到一天（1440分钟）。 心跳设置 上报心跳 设置是否开启周期上报Syslog心跳消息。“周期上报未恢复告警”的开关默认为关闭，单击启用此功能。 心跳周期（分钟） 设置周期上报心跳的时间间隔，当“上报心跳”开关打开时启用。单位为分钟，默认值为“15”，取值范围为160。 心跳报文 设置心跳上报的内容，当“上报心跳”开关打开时启用，不能为空。支持数字、字母、下划线、竖线、冒号、空格、英文逗号和句号等字符，长度小于等于256。 说明：设置周期上报心跳报文后，在某些集群容错自动恢复的场景下（例如主备管理节点倒换）可能会出现报文上报中断的现象，此时等待自动恢复即可。 3. 单击“确定”，设置完成。

检查TDX使能状态 在使用CSV加密计算环境前，建议您先通过以下命令检查云主机的CSV使能状态。 plaintext sudo dmesg grep i tdx 返回类似结果如下图，即表示 TDX 已经使能。 验证TDX远程证明 您可以通过在TDX 云主机中生成远程证明报告，并通过工具验证其可信性，证明云主机处于可信安全的TDX环境。天翼云为您提供多种方式，以便于您对TDX云主机进行远程证明认证。远程证明相关信息请参见远程证明服务。 1. 配置 TDX 证明服务端口 创建或修改/etc/tdxattest.conf，指定证明服务端口（示例为 4050）： plaintext shecho 'port4050' sudo tee a /etc/tdxattest.conf >/dev/null 2. 安装 TDX 依赖库 1. 创建安装目录 plaintext shmkdir /opt/intel && cd /opt/intel 2. 下载并解压安装包 plaintext wget q O sgxrpmlocalrepo.tgz && tar xf sgxrpmlocalrepo.tgz 3. 添加为本地yum仓库 plaintext sudo yumconfigmanager addrepo file:///opt/intel/sgxrpmlocalrepo 4. 安装依赖库 plaintext sudo yum install y nogpgcheck libtdxattest libtdxattestdevel 3. 安装raagent 工具 检查是否已安装raagent 工具： plaintext rpm qa grep raagent 如果没有结果返回，则需要执行以下命令进行安装： plaintext wget q O raagent0.0.11.ctl4.x8664.rpm && sudo rpm ivh nodeps raagent0.0.11.ctl4.x8664.rpm 4. 在客户端本地生成随机数 plaintext head c 32 /dev/urandom base64 w 0 执行示例： 5. 收集云主机证据 执行以下命令，检查是否已安装racli 工具： plaintext rpm qa grep racli 1. 若该工具已安装，则可以继续执行以下命令： plaintext ./attestationcli evidence get attestertypes "tdx" noncetype "user" nonce " " out "evidence.txt" 2. 若该工具未安装，则需要执行以下命令获取证据： plaintext curl X POST H "ContentType: application/json" d '{ "attesters": [{ "attestertype": "tdx" }], "noncetype": "user", "nonce": " ", "attesterdata": {"testkey": "testvalue"} }' > evidence.txt 6. 在客户端本地将证据发送给天翼云远程证明服务进行校验，通过++OpenAPI调用接口++，参数填入evidence.txt的内容即可。 如果证据是伪造的，则会得到类似下面的结果： 如果证据是由硬件正确签名的，则会返回类似下面的结果： 其中包含一个token字段，将token字段后面的值放入< 针对报告的解析内容，您需要关注以下字段： 字段名称 字段说明 mrseam 验证TDX 虚拟化模块完整性；应与 Intel 发布的已知安全版本哈希一致 mrtd workload 镜像（内核+rootfs）的完整性；应与预期可信值比对一致 rtmr0 验证UEFI 固件完整性；应与预期固件度量值一致 rtmr1 验证bootloader 和内核启动参数完整性；应与预期固件度量值一致 rtmr2 验证OS 内核完整性；结合 IMA 日志可验证用户态程序 tddebug TD 调试模式开关，必须为 false。若 true ，调试器可直接读写 TD 内存（TDCALL TDG.MEM.PAGE.ATTR.RD 等操作被允许） tdseptvedisable Sept VE（SecureEPT Virtualization Exception）禁用标志。若true ，TD 访问未映射内存页会直接

本章节指导用户开启/关闭企业路由器流日志。 说明 流日志开启后，系统将会在下个日志采集周期内开始采集流日志数据。 流日志关闭后，系统将会在下个日志采集周期内停止采集流日志数据。对于已经生成的流日志数据，仍然会正常上报。 步骤 1：登录管理控制台，进入企业路由器主页面。 步骤 2：通过名称过滤，快速找到目标企业路由器。 步骤 3：单击企业路由器名称，并选择“流日志”页签。 进入流日志列表页面。 步骤 4：在流日志列表中，单击目标流日志所在行的操作列下的“开启”或“关闭”。 弹出开启/关闭确认对话框。 步骤 5：确认无误后，单击“确定”，开启/关闭流日志。 返回流日志列表页面。 步骤 6：在流日志列表页面，查看流日志状态。 待流日志状态由“修改中”变为“已开启”/“未开启”，表示流日志开启/关闭成功。

本小节介绍日志审计(原生版)配置告警规则。 告警策略功能是对采集到的日志进行告警判断，符合告警策略的日志进行告警。 操作步骤 告警策略，对采集到的日志进行告警判断，符合告警策略的日志进行告警。 1. 登录日志审计系统。 2. 在左侧导航栏选择“风险分析 > 告警策略” ，单击“新增规则”，填写告警条件。 参数 参数说明 取值样例 规则名称 自定义输入告警规则名称。 Test 可信度 自定义您的告警规则可信度，根据业务实际情况填写可信度，填写范围：0100。数字越大，代表可信度越高。 1 规则等级 在下拉框中选择您的告警规则等级，包括：轻微、低级、中级、高级、严重。 轻微 超时时间 填写此告警规则的持续时间，单位：秒。时间不小于0秒。 60 关联类型 选择告警规则关联的设备类型，可选“单设备关联规则”或“多设备关联规则”。 单设备关联规则 告警类型 在下拉框中选择该条告警规则的告警类型。 用户违规异常行为 / 违规行为 攻击链阶段 请您根据攻击方向或影响选择类型。 未知类型 归并方式 （可多选）基于日志详情或告警规则信息选择归并方式。选择后，当有多条告警时，将根据所选归并方式将多条告警合并展示为一条。 告警目标ip 设备类型 （可多选）根据您发生告警的设备进行选择。 根结点 / 主机 / 服务器/其他 资产IP （可多选）根据您选择的资产填写IP，若不填写默认匹配所有资产。 0.0.0.0 规则描述 自定义该条告警规则的内容。 整改建议 填写此条告警发生后，建议的整改规范。 3. 填写完成后，单击“下一步”，开始补充逻辑规则。 4. 单击“确认”完成告警规则配置。

操作步骤 1. 登录Web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入高级防护页面； 2. 进入【账号安全防护】页面； 3. 进入新增撞库防护规则页面。 撞库防护配置说明 配置项 说明 开关 可以选择开启或者关闭撞库防护策略 处理动作 设置触发撞库策略的处理动作，可以选择拦截或告警 登录页URL 设置登录页面的URL 登录页数据请求URL 先单击键盘F12或者抓包，点击登录按钮，获取登录数据请求的URL地址（所获地址与登录页面URL可能是同一个，但是一般情况下动静态页面是分离的，所以大概率是不同的页面） 登录post包 （1）用户Key：一般是username，具体看您的网站是怎么定义key 加解密方式：不加密/base64/md5值的加密方式，用以解密 （2）密码Key: 一般是password，具体看您的网站是怎么定义key 加解密方式：不加密/base64/md5值的加密方式，用来解密 触发条件 在【统计周期】内的【作用域】的请求数，请求次数超过【拦截阈值】次数，则执行【处理动作】。其中，作用域支持CI、IP+UA、IP （1）CI：客户端ID，订购扩展服务BOT管理后支持该作用域 （2）IP+UA：客户端IP与客户端UA （3）IP：客户端IP 密码有泄露风险 判断密码存在泄露的处理方式,日志告警/重置密码/正常访问 请求内容类型 支持选择”application/xwwwformurlencoded"或"application/json"；指正常post包的请求方式 白名单 针对误拦设置白名单，可选粒度：URI、支持配置多条，多个粒度为“且”的逻辑，多个范围为“或”的关系

本文主要介绍使用零信任和终端管理时发现异常行为的终端处置记录功能。 背景说明 处置记录展示企业配置的零信任策略规则和终端管理合规检测的实时处置记录，以便于企业对异常登录、访问等行为的观察和处置。 操作步骤 1. 登录边缘安全加速控制台，进入对应服务； 2. 在左侧导航栏，选择日志>策略处置记录，可查看处置事件或进行取消处置操作； 3. 可根据业务需求进行相关操作。 功能说明 处置记录事件数据集来源于AOne零信任>安全>动态授权、AOne终端管理>安全>终端安全>合规检测。 将统计整体处置概览情况，包括处置动作分布情况，命中策略和处置对象统计。 字段 说明 备注 监控（观察） 若触发策略，则记录处置记录，并将该用户的内网访问行为记录到威胁防护日志 挑战认证 若触发策略，则不允许访问内网，触发挑战认证弹窗，用户需短信验证码校验通过后才允许继续访问内网，并将该用户的内网访问行为记录到威胁防护日志 访问阻断 若触发策略，处置周期内不允许访问内网，直到恢复处置时，才允许继续访问，在恢复处置前，将该用户的内网访问行为记录到威胁防护日志 注销登录 若触发策略，将对已经登录客户端用户进行注销登录，登出处理，用户再次登录后，待不再匹配到策略才会放行登录，否则会再次注销登录处理 处置中记录：根据企业在在不同模块配置的策略，若检测到匹配策略的行为，则触发处置动作，并在处置中记录该事件。 对于支持周期性检测，能够自动恢复处置的策略，若用户在新的检测周期已经不再匹配到规则，则该处置中记录将移动到已恢复记录。

本节主要介绍概述 使用场景 主实例支持搭建主备高可用架构，当主实例所在区域发生突发生自然灾害等状况，主节点（Master）和备节点（Slave）均无法连接时，可将异地灾备实例切换为主实例，在应用端修改数据库链接地址后，即可快速恢复应用的业务访问。数据复制服务提供的实时灾备功能，可实现主实例和跨区域的灾备实例之间的实时同步。 一次完整的数据灾备，是以任务作为导向，依次进行灾备进度观察、灾备日志分析、灾备数据一致性对比等多项操作。通过多项指标和数据的对比分析，可以帮助您实现不同业务系统间的数据实时同步。 使用流程 数据灾备的使用流程如下： 步骤一：创建灾备任务。根据需要，选择业务数据库和灾备数据库，创建灾备任务。 步骤二：查询灾备进度。灾备过程中，可以通过查看灾备进度了解数据灾备完成情况。 步骤三：查看灾备日志。灾备日志包含告警、错误和提示等类型的信息，可根据此类信息分析系统存在的问题。 步骤四：对比灾备项。数据灾备提供对比功能，可根据需要查看对象级对比、数据级对比等，来确保业务数据库和灾备数据库的数据一致性。

收集故障信息 7.在FusionInsight Manager界面，选择“运维 > 日志 > 下载”。 8.在“服务”中勾选“Controller”，单击“确定”。 9.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后10分，单击“下载”。 10.请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 根据集群节点数优化Manager配置 1.以omm用户登录主管理节点。 2.执行以下命令，切换目录。 cd ${BIGDATAHOME}/omserver/om/sbin 3.执行以下命令查看当前集群Manager相关配置。 sh omsconfiginfo.sh q 4.执行以下命令指定当前集群的节点数。 命令格式：sh omsconfiginfo.sh s 节点数 例如： sh omsconfiginfo.sh s 1000 根据界面提示，输入“y”： The following configurations will be modified: Module Parameter Current Target Controller controller.Xmx 4096m > 16384m Controller controller.Xms 1024m > 8192m Controller controller.node.heartbeat.error.threshold 30000 > 60000 Pms pms.mem 8192m > 10240m Do you really want to do this operation? (y/n): 界面提示以下信息表示配置更新成功： ... Operation has been completed. Now restarting OMS server. [done] Restarted oms server successfully. 说明 配置更新过程中，OMS会自动重启。 相近数量的节点规模对应的Manager相关配置是通用的，例如100节点变为101节点，并没有新的配置项需要刷新。

收集故障信息 6.在FusionInsight Manager界面，选择“运维 > 日志 > 下载”。 7.在“服务”中勾选“NodeAgent”，单击“确定”。 8.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后10分钟，单击“下载”。 9.请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 /etc/fstab 检查文件的检查标准 检查“/etc/fstab”文件中配置的分区，是否在“/proc/mounts”中能找到。 检查在“fstab”中配置的swap分区，是否和“/proc/swaps”一一对应。 /etc/hosts 检查文件的检查标准 通过命令cat /etc/hosts查看是否存在以下几种情况，如果是，则说明该配置文件配置异常。 a. “/etc/hosts”文件不存在。 b. 该主机的主机名不在文件中配置。 c. 该主机名对应的IP不唯一。 d. 该主机名对应的IP在ifconfig命令下的回显列表中不存在。 e. 该文件中存在一个IP对应多个主机名的情况。 /etc/ssh/sshdconfig 检查文件的检查标准 通过命令vi /etc/ssh/sshdconfig查看下面几个配置项是否正确。 a. “UseDNS”项必须配置为“no”。 b. “MaxStartups”必须配置为大于等于1000。 c. “PasswordAuthentication”和“ChallengeResponseAuthentication”两个配置项中必须至少有一项没有配置或者至少有一项配置为“yes”。

回显信息 说明 Total: {数量} Success: {数量} Failed: 0 全部弹性云主机完成检查并安装驱动成功。 Total: {数量} Success: {数量} Failed: {数量} Failed数量不为零，表示部分弹性云主机检查或者安装驱动失败，可按照提示查看日志(logs/execorigin.log)对应主机执行失败的原因。 Please check the format of hostlist.txt hostlist.txt文件填写不符合要求，需要重新按照步骤6要求进行填写。 [Error] resizeecsmodifylinux.sh not found. 步骤6中的驱动安装脚本尚未下载，需要重新操作下载。 Host(s) is unreachable, please check the network or password of user root. 当前云主机无法访问以上弹性云主机，需要确认网络是否互通，或者hostlist.txt文件中配置的root用户密码是否正确。 [Error] hostlist.txt not found. hostlist.txt文件尚未创建，需要按照步骤6进行操作。 [Error] keyfile {私钥文件} not found. 指定的私钥文件不存在，请确定私钥文件存在后，重新按照步骤6操作。 或者使用密码方式登录，重新按照操作流程步骤6进行操作。 Please confirm that the ansible has been installed. 步骤2中的运行所需依赖尚未安装，需要执行命令进行安装。

检查节点名配置是否正确 6.进入软件安装目录。 cd /opt 7.查找主备节点的配置文件目录。 find name hacomlocal.xml 8.进入workspace目录。 cd ${BIGDATAHOME}/omserver/OMS/workspace0/ha/local/hacom/conf/ 9.使用vim命令打开hacomlocal.xml，查看local、peer节点配置是否正确，local配置主节点，peer配置备节点。 是，执行步骤12。 否，执行步骤10。 10.修改hacomlocal.xml中主备节点的配置，修改完成后，按Esc回到命令模式，输入命令:wq保存退出。 11.查看此告警信息是否自动清除。 是，处理完毕。 否，执行步骤12。 检查是否防火墙禁用端口 12.执行命令lsof i :20012查询主备节点的心跳端口是否打开，有查询结果说明端口已经开放，否则说明端口被防火墙禁用。 是，执行步骤13。 否，执行步骤16。 13.执行命令iptables P INPUT ACCEPT，防止与服务器断开。 14.清除防火墙。 iptables F 15.查看告警列表中，该告警是否已清除。 是，处理完毕。 否，执行步骤16。 收集故障信息 16. 在FusionInsight Manager界面，选择“运维 > 日志 > 下载”。 17. 在“服务”中勾选如下节点信息，单击“确定”。 OmmServer Controller NodeAgent 18. 单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后10分钟，单击“下载”。 19. 请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 无。

适用场景 超高IO型云主机： 超高I/O型云主机适用于高性能关系型数据库 NoSQL数据库(Cassandra、MongoDB等)以及ElasticSearch搜索等场景 磁盘增强型云主机： 互联网行业、金融行业等有大数据计算与存储分析需求的行业客户，进行海量数据存储和计算的业务场景 ElasticSearch、日志等 规格特点 规格名称 磁盘类型 超高IO型本地盘ip3云主机 普通IO 高IO 通用型SSD 超高IO 超高IO型本地盘ir3云主机 普通IO 高IO 通用型SSD 超高IO 磁盘增强型本地盘d3云主机 普通IO 高IO 通用型SSD 超高IO 超高IO型本地盘 ip3云主机 Ip3云主机搭载NVMe SSD本地盘，采用第三代英特尔® 至强® 可扩展处理器（Ice Lake），主频3.0GHz。Ip3云主机为CPU独享型的x86架构云主机。满足I/O密集型应用对块存储的低时延和高I/O性能需求。在提供高达数十万随机I/O读写能力的同时，时延水平保持在μs级别。本地盘来自单台物理机，数据可靠性取决于物理机的可靠性，存在单点故障风险，建议用户在应用层做数据冗余，保证数据的可用性，用户可以做软raid的形式实现数据冗余。 规格名称 vCPU 内存（GB） 本地盘（GB） 最大带宽/基准带宽(Gbps) 最大收发包能力(万pps) 网卡多队列数 4KB随机读最大IOPS ip3.2xlarge.8 8 64 1 3200 8/4.5 100 4 500000 ip3.4xlarge.8 16 128 2 3200 15/9 240 4 1000000 ip3.8xlarge.8 32 256 4 3200 30/17 500 8 2000000 ip3.10xlarge.8 40 320 5 3200 40/20 600 8 2500000 ip3.16xlarge.8 64 512 8 3200 45/33 1000 16 4000000

本节介绍了就地升级相关内容。 操作场景 当涉及新功能或问题修复等需要进行版本升级时，您可使用就地升级的方式。就地升级会一次性升级所有节点，升级过程中需要全程中断业务，不提供任何服务。 注意事项 DN磁盘使用率不得高于设置磁盘使用率阈值减去10%的值。 说明 DN磁盘使用率可以通过管理控制台监控指标查看。 磁盘使用率阈值可以联系技术支持人员获取。 实例节点状态异常，不支持版本升级。 版本升级过程中不支持磁盘扩容、规格变更、备份、重置密码、重启实例、删除实例等操作。 在大版本升级时如果使用就地升级方式，在执行升级前会关闭归档日志，导致用户无法通过归档日志进行PITR恢复，可能会造成数据丢失。 说明 大版本升级，例如：V2.01.x升级V2.02.x或者V2.02.x到V2.02.y。 如果升级过程中出现异常导致升级失败，系统会自动对实例进行回退，您可以联系客服，由工程师给出分析评估后重新执行升级。 就地升级需要暂停业务约30分钟。 升级结束后会触发自动备份，开启关闭的归档日志。需要注意的是单副本实例从V2.03.0以下版本升级到V2.03.0以上版本时自动备份默认关闭，不会触发自动备份，小版本升级也不会触发自动备份。 说明 小版本升级，例如：从V2.01.a.x升级到V2.01.a.y或者V2.02.a.x升级到V2.02.a.y。 就地升级不涉及手动回退操作。

本文为您介绍分布式消息服务MQTT安全方案。 安全价值 分布式消息服务MQTT在物联网（IoT）和消息传递应用中提供了多方面的安全性价值，这些价值包括： 数据隐私和保密性： MQTT协议支持加密通信，使用TLS/SSL协议对数据进行加密传输，确保消息在传输过程中的机密性，防止未经授权的访问者或窃听者获取敏感信息。 数据完整性： 通过加密，MQTT协议可以防止数据在传输过程中被篡改。这确保了消息的完整性，接收方可以验证消息是否被篡改。 身份验证： MQTT Broker可以配置以要求设备或客户端提供有效的身份验证凭据，例如用户名和密码，或者使用数字证书。这确保了只有授权的设备可以连接到Broker。 授权访问： MQTT Broker可以设置访问控制列表（ACL），以限制哪些设备可以订阅或发布特定主题。这种授权机制确保了只有具有相应权限的设备可以访问特定的消息主题。 防御拒绝服务攻击（DDoS）： MQTT Broker可以实施连接速率限制、最大会话数等机制，以防止设备发起DDoS攻击或不合理的连接请求。 防止重放攻击： 每个MQTT消息都包含一个唯一的消息ID，可以防止攻击者对已发送消息的重放。这有助于确保消息不被重复处理或执行。 日志和审计： MQTT Broker通常具有事件和日志记录功能，可以用于记录连接、断开、订阅和发布事件。这些日志可以用于审计、故障排除和安全监控。 固件和升级管理： 安全固件更新是确保设备安全性的重要部分。MQTT可以用于远程设备管理，包括远程升级和固件更新，以及设备的安全配置管理。 通信可用性： 通过身份验证和授权机制，MQTT协议可以确保只有合法的设备能够连接到Broker，从而维护通信的可用性。 标准化安全性： MQTT协议的安全性特性是标准化的，这意味着开发人员可以依赖于协议规范，而不必自己设计和实现安全性功能。 综上所述，MQTT协议提供了一系列安全性特性，可以帮助确保在物联网和消息传递应用中的通信安全、可靠和保密。然而，在实施和配置MQTT时，仍然需要考虑特定应用的安全需求，并采取适当的安全措施来保护系统。

访问验证 以工作负载为nginx为例： 进入负载详情，查看pod日志，打开自动刷新； 本地请求访问工作负载，比如 查看pod日志，从nginx access.log可以看到请求记录，下面124.127.58.即为本机ip地址，可获取客户端真实ip 192.168.0.17 [08/Apr/2024:06:30:14 +0000] "GET / HTTP/1.1" 304 0 "" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36" "124.127.58." 节点端口（NodePort）SVC 当选择服务类型为“节点端口”，即NodePort类型SVC，有以下两种获取客户端源IP方式： 1. 配置SVC外部流量策略，即Service的spec.externalTrafficPolicy，配置为Local。 该方式下外部请求就只会被代理到本地 endpoints 而不会被转发到其它节点，这样就保留了原来的IP 地址。 2. 该模式下客户端只能访问pod所在的node节点，无法使用其他node节点访问服务。 3. 配置SVC外部流量策略仍为Cluster，创建SVC之后，需要在负载均衡器中手动创建监听器及后端主机组，后端主机组配置为容器节点及端口。 注意 cubecni不支持外部流量策略为Local模式 说明 该模式下客户端只能访问pod所在的node节点，无法使用其他node节点访问服务 方式一：外部流量策略为Local 创建服务时，选择类型为“节点端口”，外部流量策略为Local： 创建完成后，通过 access.log可以看到请求记录，下面192.168.0.6即为内网ip地址，可获取客户端真实ip： 192.168.0.6 [08/Apr/2024:07:31:25 +0000] "GET / HTTP/1.1" 200 615 "" "curl/7.79.1" ""

访问验证 以工作负载为nginx为例： 进入负载详情，查看pod日志，打开自动刷新； 本地请求访问工作负载，比如 查看pod日志，从nginx access.log可以看到请求记录，下面124.127.58.即为本机ip地址，可获取客户端真实ip 192.168.0.17 [08/Apr/2024:06:30:14 +0000] "GET / HTTP/1.1" 304 0 "" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36" "124.127.58." 节点端口（NodePort）SVC 当选择服务类型为“节点端口”，即NodePort类型SVC，有以下两种获取客户端源IP方式： 1. 配置SVC外部流量策略，即Service的spec.externalTrafficPolicy，配置为Local。 该方式下外部请求就只会被代理到本地 endpoints 而不会被转发到其它节点，这样就保留了原来的IP 地址。 2. 该模式下客户端只能访问pod所在的node节点，无法使用其他node节点访问服务。 3. 配置SVC外部流量策略仍为Cluster，创建SVC之后，需要在负载均衡器中手动创建监听器及后端主机组，后端主机组配置为容器节点及端口。 注意 cubecni不支持外部流量策略为Local模式 说明 该模式下客户端只能访问pod所在的node节点，无法使用其他node节点访问服务 方式一：外部流量策略为Local 创建服务时，选择类型为“节点端口”，外部流量策略为Local： 创建完成后，通过 access.log可以看到请求记录，下面192.168.0.6即为内网ip地址，可获取客户端真实ip： 192.168.0.6 [08/Apr/2024:07:31:25 +0000] "GET / HTTP/1.1" 200 615 "" "curl/7.79.1" ""

本文介绍如何安装与升级cstorcsi插件。 Serverless集群提供cstorcsi插件，基于Kubernetes容器存储接口（CSI），深度融合天翼云存储服务云硬盘、弹性文件存储、对象存储等。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 部分资源池不支持委托，插件安装需要配置用户AK、SK。安装前请首先到天翼云门户“用户”>“安全设置”>“用户AccessKey”中获取AK；SK可以在首次“创建AccessKey”时获取，也可提通过工单获取存量SK。若资源池支持委托，则不需要配置用户AK、SK。 插件安装 1. 登录云容器引擎管理控制台。 2. 在集群列表页点击进入指定集群。 3. 进入主菜单“插件”点击“插件市场”，选择cstorcsi，点击“安装”。 4. 在弹出的安装界面，点击“安装”。 5. 安装成功后将跳转到插件实例列表页，可以看到插件安装状态。如果插件安装失败，可以查看失败日志，通过工单反馈问题。 插件升级/更新 您可以在控制台看插件实例，并根据需要对插件进行升级或者更新。 1. 登录云容器引擎管理控制台。 2. 在集群列表页点击进入指定集群。 3. 进入主菜单“插件”点击“插件市场”，选择cstorcsi，点击进入查看详情。在插件详情页可以看到版本列表，在说明中可以获取各版本发布变更内容，根据需要确定升级版本。 4. 进入主菜单“插件”点击“插件市场”，选择cstorcsi，可以选择版本进行升级，也可以更新插件配置。 说明 如果当前插件版本已是最新版，插件实例列表页将不可见“升级”按钮。

密钥管理，即密钥管理服务（Key Management Service, KMS），是一种安全、可靠、简单易用的密钥托管服务，帮助您轻松创建和管理密钥，保护密钥的安全。 KMS通过使用硬件安全模块HSM（Hardware Security Module, HSM）保护密钥的安全，所有的用户密钥都由HSM中的根密钥保护，避免密钥泄露。 KMS对密钥的所有操作都会进行访问控制及日志跟踪，提供所有密钥的使用记录，满足审计和合规性要求。

本文介绍ZOS备份数据上云功能。 SQL Server支持用户上传线下SQL Server实例的备份文件到天翼云对象存储ZOS中，并通过临时下载链接恢复数据至云上SQL Server实例，从而实现线下SQL Server迁移上云。 注意事项 该功能要求提前开通桶资源池的天翼云对象存储服务，创建桶、上传备份文件、对备份文件生成临时下载链接，具体对象存储使用方法请参考对象存储帮助文档。 上传的备份文件必须是全量备份文件，仅支持通过下载链接恢复全量备份文件。 不支持直接恢复日志备份文件，不支持文件中同时包含多个备份。 上传的备份文件所对应的SQL Server实例，只能恢复至同一个版本或更高版本的SQL Server实例。比如线下SQL Server 2016的备份文件，只能恢复至SQL Server 2016以及更高的版本，此为SQL Server官方规定。 生成的临时下载链接有效期建议三十分钟以上，避免过短的有效期导致下载失败，从而导致恢复失败。 下载链接务必要通过对象存储控制台的分享按钮生成（分享的链接才支持第三方限时访问），不要直接点击复制URL（第三方无法下载）。 备份文件上传的对象存储实例必须同待恢复的SQL Server实例处于同一个资源池，即华东1的对象存储的临时下载链接只能恢复到华东1的SQL Server实例。 恢复是异步的，恢复时长取决于备份文件大小。 待恢复的实例的磁盘剩余空间建议至少大于备份文件大小的1.5倍以上，防止实例剩余空间不够恢复备份。 不支持恢复SQL Server系统库，例如master、model、tempdb、msdb。

本文介绍如何查看日志采集器的运行状态。 在目标云主机中执行以下命令： systemctl status lmtagent 若无返回，则代表当前云主机未安装采集器，请参考采集器安装。 返回如下内容，表示当前采集器为正常运行状态 systemctl status lmtagent ● lmtagent.service lmtagent Loaded: loaded (/etc/systemd/system/lmtagent.service; enabled; vendor preset: disabled) Active: active (running) since Mon 20240527 09:06:31 CST; 2h ago Main PID: 1296629 (lmtagent) Tasks: 2 Memory: 7.9M CPU: 9ms CGroup: /system.slice/lmtagent.service └─1296629 /app/cams/lmtagent/lmtagent May 27 09:06:31 zhuji03 systemd[1]: Started lmtagent. 返回如下内容，表示当前采集器为异常状态： systemctl status lmtagent ● lmtagent.service lmtagent Loaded: loaded (/etc/systemd/system/lmtagent.service; enabled; vendor preset: disabled) Active: activating (autorestart) (Result: coredump) since Mon 20240527 09:12:02 CST; 3s ago Process: 1299718 ExecStart/app/cams/lmtagent/lmtagent (codedumped, signalSEGV) Main PID: 1299718 (codedumped, signalSEGV) CPU: 444ms 异常状态下，请执行以下命令进行采集器重装，重装后重试检查运行状态。若检查状态一直处于异常，请提交工单反馈。 systemctl restart lmtagent

创建RDS连接 1.单击CDM集群后的“作业管理”，进入作业管理界面，再选择“连接管理 > 新建连接”，进入选择连接器类型的界面。 2.连接器类型选择“云数据库 MySQL”后单击“下一步”，配置连接参数： 名称：用户自定义连接名称，例如：“rdslink”。 数据库服务器、端口：配置为RDS上MySQL数据库的连接地址、端口。 数据库名称：配置为RDS上MySQL数据库的名称。 用户名、密码：登录数据库的用户和密码。 说明 创建RDS连接时，“使用本地API”设置为“是”时，可以使用MySQL的LOAD DATA功能加快数据导入，提高导入数据到MySQL的性能。 由于RDS上的MySQL默认没有开启LOAD DATA功能，所以同时需要修改MySQL实例的参数组，将“localinfile”设置为“ON”，开启该功能。 如果“localinfile”参数组不可编辑，则说明是默认参数组，需要先创建一个新的参数组，再修改该参数值，并应用到RDS的MySQL实例上。 3.单击“保存”回到连接管理界面。 创建整库迁移作业 1.两个连接创建完成后，选择“整库迁移 > 新建作业”，开始创建迁移任务，如下图所示。 图 创建整库迁移作业 作业名称：用户自定义整库迁移的任务名称。 源端作业配置 −源连接名称：选择上述 创建MySQL连接 中的“mysqllink”。 −模式或表空间：选择从本地MySQL的哪个数据库导出数据。 目的端作业配置 −目的连接名称：选择上述 创建RDS连接 中的“rdslink”。 −模式或表空间：选择将数据导入到RDS的哪个数据库。 −自动创表：选择“不存在时创建”，当RDS数据库中没有本地MySQL数据库里的表时，CDM会自动在RDS数据库中创建那些表。 −导入前清空数据：选择“是”，当RDS数据库中存在与本地MySQL数据库重名的表时，CDM会清除RDS中重名表里的数据。 −高级属性里的可选参数保持默认即可。 2.单击“下一步”，进入选择待迁移表的界面，您可以选择全部或者部分表进行迁移。 3.单击“保存并运行”，CDM会立即开始执行整库迁移任务。 作业任务启动后，每个待迁移的表都会生成一个子任务，单击整库迁移的作业名称，可查看子任务列表。 4.单击作业操作列的“历史记录”，可查看该作业的历史执行记录、读取和写入的统计数据。 整库迁移的作业没有日志，子作业才有。在子作业的历史记录界面单击“日志”，可查看作业的日志信息。

Elasticsearch是开源搜索引擎，在深入使用Elasticsearch搜索引擎过程中，积累了一些经验和技巧，建议用户在使用云搜索服务时，作为参考。 提高索引效率 使用多进程或多线程发送数据到Elasticsearch 一个单线程发送bulk请求不能够发挥一个集群的索引能力。为了更好地利用集群的资源，应该使用多线程或多进程来发送数据，提升数据处理效率。 对于相同大小的bulk请求，通过测试可以得到最优的线程数量。可以逐步增加线程数量直至到集群中的机器Load或CPU饱和。建议使用“nodes stats”接口查看节点中的cpu和load状态，您可以通过“os.cpu.percent”、“os.cpu.loadaverage.1m”、“os.cpu.loadaverage.5m”和“os.cpu.loadaverage.15m”参数信息了解详细信息。 例如，在执行bulk请求时，使用的线程数量为2个，观察Load和CPU的情况，如果未饱和，可再增加线程数量。当线程数量增加到N个时，此时Load和CPU已饱和，建议就采用N个线程去执行bulk请求提高索引效率。通过测试获得最优的线程数量。 增加refreshinterval刷新的间隔时间 默认情况下，每个分片每秒自动刷新一次。但并不是所有场景都需要每秒刷新。在使用Elasticsearch索引大量的日志文件，想优化索引速度而不是近实时搜索，可以通过设置，降低每个索引的刷新频率。 PUT /mylogs { "settings": { "refreshinterval": "30s" } } 在初始化索引时，可以禁用refresh和replicas数量 如果需要一次导入较大数据量的数据进index里面时，可以先禁用refresh，把“refreshinterval”设置成为“1”，把“numberofreplicas”设置成“0”。当数据导入完成后，将refreshinterval和numberofreplicas设置回原来的值。

本页介绍了排查实例CPU使用率高问题的方法。 CPU使用率过高的一般排查步骤如下： 1. 在DDS控制台找到目标实例，单击监控图标， 然后在CPU页签下，查看CPU使用率较高的时间段。 2. 登录对应的实例机器查看系统资源使用情况：首先使用Linux的系统监控工具（如top、htop）或Windows的任务管理器，查看系统整体的CPU使用率和其他资源使用情况。确认是否只有MongoDB进程占用大量CPU资源，还是其他进程也在竞争CPU资源。 3. 文档数据库服务查询性能分析工具与方式： 1. MongoDB Compass等工具来查看当前正在执行的查询(MongoDB Compass 的下载与使用请参见Mongodb的官网下载)。 2. 使用MongoDB shell的db.currentOp()命令,检查是否有某个查询或操作占用了大量CPU资源。 db.currentOp()命令解析： 例如：连接上Mongodb shell 执行以下操作： > db.users.find({ age: { $gte: 18 } }).limit(10) > db.currentOp() { "inprog" : [ { "opid" : 1290, // 操作的唯一标识符 "op" : "query", // 操作类型：查询 "ns" : "exampledb.users", // 操作涉及的命名空间 "query" : { "age" : { "$gte" : 18 } }, // 查询条件 "client" : "127.0.0.1:57852", // 客户端IP地址和端口 "desc" : "conn211", // 操作的描述信息 "active" : true, // 操作是否活动中 "secsrunning" : 5, // 操作已经运行的时间（以秒为单位） "oplog" : false, "numYields" : 0, "locks" : { "Global" : "r", // 全局读锁 "MMAPV1Journal" : "r" // MMAPv1引擎的日志读锁 }, "waitingForLock" : false, "msg" : "", "numYieldOps" : 0, "database" : "exampledb", "command" : { "find" : "users", // 执行的命令：查找操作 "filter" : { "age" : { "$gte" : 18 } }, // 过滤条件 "limit" : 10 // 限制结果数 }, "planSummary" : "COLLSCAN", // 查询执行计划摘要 "lsid" : { "id" : { "UUID" : "e45ea9176c614a5e86812da4af89aa29" }, // 会话ID "uid" : ObjectId("ea6a1a2570a062f88eac10f5") // 用户ID }, "$clusterTime" : { "clusterTime" : Timestamp(1657796621, 1), "signature" : { "hash" : { "BsonData" : "wDUTByvnZXjN+MJB/M9Rlg", "Length" : 28 }, "keyId" : 6963168194386045953 } }, "stale" : false, "txnNumber" : 11, "startAt" : ISODate("20230721T15:57:01.246Z"), "autocommit" : false, "lastWrite" : { "opTime" : { "ts" : Timestamp(1657796621, 1), "t" : 1 }, "lastWriteDate" : ISODate("20230721T15:57:01Z"), "majorityOpTime" : { "ts" : Timestamp(1657796621, 1), "t" : 1 }, "majorityWriteDate" : ISODate("20230721T15:57:01Z") }, "activeShards" : {}, "numShards" : 0, "shardName" : "", "hashed" : false, "batchSize" : 0, "mode" : "scanned" } ] } 4. 确认索引使用情况：检查数据库中的索引是否被有效使用。缺少索引或索引使用不当可能导致查询性能下降，从而导致高CPU使用率。 5. 长时间运行的查询：检查是否有长时间运行的查询，这些查询可能会占用大量CPU资源。优化查询性能或者对长时间运行的查询进行调整可能有助于降低CPU使用率。 6. 调整Write Concern：写操作的Write Concern设置会影响数据写入的确认方式，使用较高级别的Write Concern可能会导致CPU开销增加。根据应用需求，选择合适的Write Concern。 7. 硬件性能：确认文档数据库运行在性能良好的硬件上，包括CPU、内存和磁盘。如果硬件性能不足，可能会导致CPU使用率过高。 8. 日志记录级别：考虑降低文档数据的日志记录级别，减少日志输出对CPU的影响。 9. 压力测试：进行压力测试以模拟生产环境的负载，并观察CPU使用率的变化。通过压力测试可以更好地理解系统的瓶颈和性能问题。 10. 数据分片：如果数据量较大，可以考虑使用文档数据库服务的分片集群，将数据分散到多个节点上，以实现水平扩展和负载均衡。 11. 数据库版本和配置：确保使用的文档数据库服务版本是较新的稳定版本，并根据硬件资源和负载情况合理配置文档数据库服务的参数。 注意 高CPU使用率可能是复杂的问题，可能有多个因素共同导致。在进行问题排查时，建议先在测试环境中进行实验和测试，逐步排查可能的原因。如果问题持续存在，可以考虑寻求专业的文档数据库技术支持。