本节为您介绍数据库迁移工具中Oracle源库配置。 数据库账号的权限要求 “用户名”对应的账号需具备DBA权限或者具备以下全部权限: CONNECT,SELECTCATALOGROLE、SELECT ANY TABLE、SELECT ANY DICTIONARY、CREATE SESSION 。 数据源类型 选定为Oracle，可评估版本范围内的Oracle数据库 服务器IP 待评估源端数据库的连接IP 端口号 待评估源端数据库的端口 用户名 用于连接待评估源端数据库的用户名称 密码 用于连接待评估源端数据库的用户的密码 服务名 Oracle数据库的service name CDB服务名 Oracle CDB的service name，当oracle为12C以上版本时需填写该字段，以便采集系统信息 迁移用户名 实际要评估的Oracle模式（schema），一般与用户名一致。

配置DNAT可使您的内部网络对外提供服务，本节为您介绍如何添加DNAT。 操作场景 配置DNAT规则后，用户可以通过Internet访问内部网络，从而使内部网络可对外提供服务。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已完成智能网关的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本节我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”，进入天翼云SDWAN总览页面。 4. 选择“智能网关”，单击目标智能网关实例名称，进入智能网关实例详情页。 5. 单击“NAT配置”页签，单击“添加DNAT规则”，进入配置DNAT规则界面。 6. 在配置DNAT规则页面，根据页面提示配置参数，参数信息如下： 参数 描述 DNAT类型 公网DNAT。 连接类型 所有端口 将任何访问外网IP地址的请求转发到内网目标地址上。 具体端口 对外服务端口：内网地址对外映射后服务端口。取值范围：165535。 内网端口：内网地址提供服务真实端口。取值范围：165535。 协议类型：智能网关支持的协议类型请以控制台为准。 本端私网IP DNAT转换后的IP地址。 7. 点击“确认”按钮。

本文主要介绍 节点journald检查。 检查项内容 检查节点上的journald状态是否正常。 解决方案 请登陆该节点，执行systemctl isactive systemdjournald 命令查询journald服务运行状态。若回显状态异常，请执行systemctl restart systemdjournald命令后重新查询状态。 以下为正常回显： 若重启journald服务无法解决该问题，请联系技术支持人员。

本章节主要介绍 配置跨集群互信 。 操作场景 集群A需要访问另一个集群B的资源前，需要管理员用户为这两个集群设置互信。 如果未配置跨集群互信，每个集群资源仅能被本集群用户访问。MRS自动为每个集群定义一个唯一且不重复的“域名”，用于表示用户的基本使用范围。 说明 该章节操作仅适用于MRS 3.x之前版本集群。 MRS3.x及之后版本集群请参考 对系统的影响 配置跨集群互信后，外部集群的用户可以在本集群中跨域使用，请根据业务与安全要求，定期检视集群中用户的权限。 安全集群配置跨集群互信，需要重启KrbServer服务，集群在重启期间无法使用。 配置跨集群互信后，互信的两个集群均会增加内部用户“krbtgt/ 本集群域名 @ 外部集群域名 ”、“krbtgt/ 外部集群域名 @ 本集群域名 ”，不支持删除。密码默认为“Crossrealm@123”。 操作步骤 在MRS管理控制台，分别查看两个集群的所有安全组。 当两个集群的安全组相同，请执行步骤3。 当两个集群的安全组不相同，请执行步骤2。 1. 在VPC管理控制台，分别为每个安全组添加规则。 规则的“协议”为“ANY”，“方向”为“入方向”。 “源地址”为“安全组”且是对端集群的安全组。 为A集群的安全组添加入方向规则，源地址选择B集群（对端集群）的安全组。 为B集群的安全组添加入方向规则，源地址选择A集群（对端集群）的安全组。 说明 未开启Kerberos认证的普通集群执行步骤1~步骤2即可完成跨集群互信配置，开启Kerberos认证的安全集群请继续执行后续步骤进行配置。 2. 参见访问MRSManager（MRS2.x及之前版本）分别登录两个集群MRS Manager，单击“服务管理”，查看全部组件的“健康状态”结果，是否全为“良好”？ 是，执行步骤4。 否，任务结束，联系支持人员检查状态。 3. 查看配置信息。 a.分别在两个集群MRS Manager，选择“服务管理 > KrbServer > 实例”，查看两个KerberosServer部署主机的“管理IP”.。 b.单击“服务配置”，将“基础配置”切换为“全部配置”并在左侧导航树上选择“KerberosServer>端口”，查看“kdcports”的值，默认值为“21732”。 c.单击“域”，查看“defaultrealm”的值。 4. 在其中一个集群的MRS Manager，修改配置参数“peerrealms”。 详见下表：相关参数 参数名 描述 “realmname” 填写互信集群的域名，即步骤4中获得的“defaultrealm”的值。 “ipport” 填写互信集群的KDC地址，参数值格式为：外部集群KerberosServer部署的节点IP 地址:kdcport。 两个KerberosServer的IP地址使用逗号分隔，例如KerberosServer部署在10.0.0.1和10.0.0.2上，则对应参数值为“10.0.0.1:21732,10.0.0.2:21732”。 说明 l 如果需要配置与多个集群的互信关系，请单击添加新项目，并填写参数值。删除多余的配置项请单击。 l 最多支持与16个集群配置互信，且本集群的不同互信集群之间默认不存在互信关系，需要另外添加。 5. 单击“保存配置”，在弹出窗口中勾选“重新启动受影响的服务或实例。”，单击“确定”重启服务。若未勾选“重新启动受影响的服务或实例。”，请手动重启受影响的服务或实例。 界面提示“操作成功”，单击“完成”，服务成功启动。 6. 退出MRS Manager，重新登录正常表示配置已成功。 7. 在另外一个集群的MRS Manager，重复步骤5到步骤7。

本文为您解决使用FTP上传文件时客户端无法连接服务端的问题处理方法。 故障描述 使用客户端连接服务端时，提示连接服务端地址失败或者连接超时。 约束与限制 本文档适用于本地主机为windows系统上的FTP服务。 故障原因 1. 服务端FTP防火墙或者安全组配置错误导致请求被拦截。 2. FTP身份验证选择的类型与实际访问方式不匹配。 解决步骤 服务端为windows系统（以windows Server 2012版本为例） 1. 检查服务端的FTP防火墙支持配置 点击" 服务器管理器 > 工具 > Internet Information Services(IIS)管理器" ，然后选择左边栏点击 网站 。首先查看建立的FTP绑定的ip是否填写的是内网ip，类型为FTP。 图1 查看FTP绑定IP 展开 网站 ，会显示建立的ftp服务，双击右侧的FTP防火墙支持。 图2 FTP防火墙支持 数据通道端口范围需要填写102465535范围内的，比如2000020045。 防火墙的外部IP地址这一栏需要填写给弹性云主机分配到的 公网IP 。 2. 检查FTP身份验证类型 双击 FTP身份验证 ，这里需要注意，如果基本身份验证 开启，那么是需要填写用户名和密码的。如果开启的是 匿名身份验证 ，那么连接时不能填写用户名和密码，否则会报连接失败。 3. 检查安全组设置 点击" 控制中心>服务列表>弹性云主机" ，选择对应的可用区，然后再展示出来的弹性云主机列表里选择需要的弹性云主机，然后双击这个弹性云主机，即可打开详情页面。在下方选择" 安全组" ，然后查看详细的安全组配置，是否在入方向里已经正确配置了端口21和上面配置的数据通道端口这两条。 图3 安全组配置

本章节内容主要介绍开发规范 数据库连接 使用DDS时，可能会遇到因为 Mongod/Mongos 连接数用满了，导致客户端无法连接的问题。在Mongod/Mongos的服务端，收到一个新的连接由一个单独的线程来处理，每个线程配置了1MB的栈空间，当网络连接数太多时，过多的线程会导致上下文切换开销变大，同时内存开销也会上涨。 客户端连接数据库的时候，要计算业务一共有多少个客户端，每个客户端配置的连接池大小是多少，总的连接数不要超过当前实例能承受的最大连接数的80%。 对于副本集，客户端需要同时配置主备节点的IP地址, 对于集群，至少配置两个mongos的IP地址。 DDS默认提供rwuser用户，使用rwuser用户登录时认证库必须是admin。 可靠性 write concern设置规则：对于关键业务，write concern设置为{w:n},n>0，数字越大，一致性实现更好，但性能较差。 w:1表示实际写入主节点完成返回。 w:1,journal:true表示写主节点和日志后返回。 w:majority表示大多数备节点写入后返回。 对于可靠性有较高要求的，建议采用3az部署的集群。 性能相关 规范 业务程序禁止执行全表扫描的查询。 执行查询时，只选择需要返回的字段，不需要的字段不要返回。从而减少网络和进程处理的负载，修改数据时，只修改变化需要修改的字段，不要整个对象直接存储全部修改。 避免使用not。DDS并不会对缺失的数据进行索引，因此not的查询条件将会要求在一个结果集中扫描所有记录。如果$not是唯一的查询条件，会对集合执行全表扫描。 用and时把匹配最少结果的条件放在最前面，用or时把匹配最多结果的条件放在最前面。 单个实例中，数据库的总的个数不要超过200个，总的集合个数不要超过500个。 业务上线前，一定要对数据库进行性能压测，评估业务峰值场景下，对数据库的负载情况 禁止同时执行大量并发事务，且长时间不提交。 业务正式上线前， 所有的查询类别，都应该先执行查询计划检查查询性能 建议： 每个连接在后台都是由一个单独线程处理，每个线程会分配1MB的栈内存。所以连接数不宜过多，否则会占用过多的内存。 使用连接池，避免频繁的建立连接和断开连接，否则会导致CPU过高。 减少磁盘读写：避免使用不必要的upsert命令，避免查询不必要的数据。 优化数据分布：对数据进行分片，同时分散热点数据，均衡地使用实例资源。 减少锁冲突：避免对同一个Key，过频繁地操作。 减少锁等待：避免前台创建索引。 注意： 开发过程中对集合的每一个操作都要通过执行explain()检查其执行计划，如： db.TDeviceData.find({"deviceId":"ae4b5769896f"}).explain(); db.TDeviceData.find({"deviceId":"77557c231b4"}).explain("executionStats"); 对于查询而言，因为覆盖查询不需要读取文档，而是直接从索引中返回结果，这样的查询性能好，所以尽可能使用索引覆盖查询。如果explain()的输出显示indexOnly字段为真，则说明这个查询就被一个索引覆盖。 执行计划解析： 看执行时间：executionStats.executionStages.executionTimeMillisEstimate和executionStats.executionStages.inputStage. executionTimeMillisEstimate时间越短越好。 − executionStats.executionTimeMillis表示执行计划选择和执行的所有时间。 − executionStats.executionStages.executionTimeMillisEstimate表示最优执行计划的执行完成时间。 − executionStats.executionStages.inputStage. executionTimeMillisEstimate表示最优执行计划下的子阶段执行完成时间。 看扫描条数：三个条目数相同为最佳。 − executionStats. nReturned表示匹配查询条件的文档数。 − executionStats .totalKeysExamined表示索引扫描条目数。 − executionStats .totalDocsExamined表示文档扫描条目数。 看Stage状态，性能较好的Stage状态组合如下。 − Fetch+IDHACK − Fetch+ixscan − Limit+（Fetch+ixscan） − PROJECTION+ixscan 表 状态说明 状态名称 描述 COLLSCAN 全表扫描 SORT 内存中进行排序 IDHACK 根据id进行查询 TEXT 全文索引 COUNTSCAN 未用索引计数 FETCH 索引扫描 LIMIT 使用Limit限制返回数 SUBPLA 未用索引的$or查询阶段 PROJECTION 限定返回字段时stage的返回 COUNTSCAN 使用索引计数 Cursor使用规则 如果cursor不使用了要立即关闭。由于cursor在10分钟内不活动，就会关闭，立即手动关闭会节省资源。 4.2版本分布式事务使用规则 Spring Data MongoDB不支持事务报错后重试机制，如果客户端使用Spring Data Mongo作为连接MongoDB的客户端，需要依照Spring Data Mongo的参考文件，使用Spring Retry进行事务的重试操作。 分布式事务操作数据的大小不能超过16MB。

本文介绍计费类常见问题。 应用加速支持哪些计费方式？ 应用加速计费分为三个部分：频道费+端口费+带宽费。 频道费：按照加速域名数量收费。 端口费：按照使用的tcp端口和udp端口总数收费。 带宽费：由于应用加速支持加速的应用非常多（支持加速基于tcp/udp的所有协议的应用），有些应用上行带宽大，有些应用下行带宽大，因此应用加速带宽费按照上行+下行总带宽收费。 VIP客户：灵活多样，有需求的客户可以拨打客服热线 4008109889 联系我们进行商务洽谈接入。 停用应用加速服务后，为什么仍有一部分费用产生？ 由于一些用户的LocalDNS服务器有缓存，在停用应用加速服务后，若客户LocalDNS服务器中缓存未过期，LocalDNS还会把访问已停用应用加速域名的请求解析到应用加速节点，产生少量应用加速的费用。 应用加速为什么会收取频道费和端口费？ 因为应用加速是在传输层做TCP/UDP的加速服务，支持的应用层协议很多，因此不会对每种协议进行解析，而是通过监听IP和端口来识别不同的加速域名，当域名A使用了节点的某个IP的某个端口时，域名B则无法使用相同的节点IP和端口，必须使用其他IP或者其他端口，所以应用加速会收取频道费和端口费。

当您需要使用安全引流服务时，请参考本节先开通对应业务。 操作场景 SDWAN服务支持安全引流，通过为指定智能网关实例开启安全引流功能，您可以将该智能网关实例上的流量引流到云防火墙上，从而增强数据传输安全性。 开通安全引流服务后，用户可以通过“快捷链接”登录云防火墙，配置流量分析、管控等其他高级功能。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 安全引流功能需开通相应业务后方可使用。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”，进入天翼云SDWAN总览页面。 4. 选择“安全引流”，根据页面提示联系客户经理或天翼云客服开通安全引流业务。 说明 如需关闭业务，请联系客户经理或天翼云客服进行操作。

本节主要介绍API网关的产品优势。 简单易用 只需在管理控制台中配置，即可快速创建API。提供页面调试工具，简化API开发。可同时发布一个API到多个环境，快速迭代、测试API。 便捷管理 API网关提供全生命周期的API管理，从设计、开发、测试、发布、运维等， 实现完整的API解决方案。帮助您轻松构建、管理和部署任意规模的API。 精细监控 API网关采用同步加异步混合流控的方式，通过多种算法，实现精细化的秒级流控。同时提供灵活自定义的流量控制策略制定，保障API服务的稳定和连续。 高效设计 提供多种API设计能力，表单、JSON、YAML三位一体设计API。并支持API评审与发布，发布后的API可直接注册在API网关。 灵活安全 使用严格的身份认证和权限管理来保护您的API。可以实施灵活而精细的配额管理及流控管理以保护您的后端服务。灵活、安全的开放您的服务能力。

组件来源 说明 Jar包 支持以下上传方式： 从OBS对象存储选择对应的软件包。需要提前将软件包上传至OBS桶中，相关操作请参考上传文件“帮助中心 > 对象存储服务 > 用户指南 > 控制台指南 > 入门 > 上传文件”。 War包 支持以下上传方式： 从OBS对象存储选择对应的软件包。需要提前将软件包上传至OBS桶中，相关操作请参考上传文件“帮助中心 > 对象存储服务 > 用户指南 > 控制台指南 > 入门 > 上传文件”。 Zip包 支持以下上传方式： 从OBS对象存储选择对应的软件包。需要提前将软件包上传至OBS桶中，相关操作请参考上传文件“帮助中心 > 对象存储服务 > 用户指南 > 控制台指南 > 入门 > 上传文件”。 镜像包 容器应用需要基于镜像创建，若选择私有镜像，用户首先需要将镜像上传至镜像仓库。选择“软件中心 > 镜像仓库”，参考管理镜像将镜像上传至镜像仓库。

本节主要介绍智能视图服务的网关接入功能概述。 网关概述 功能特性 方便快捷，批量接入：局域网内设备无需修改设备网络配置，可通过网关批量上云。 更加广泛的接入适配：视频监控网关支持主流视频厂商私有SDK协议、ONVIF标准协议的视频设备接入。 使用流程 智能视图服务网关功能的使用流程如下图所示： 本地网关部署 环境要求 网关软件当前只支持X86架构服务器，环境要求如下： 配置要求 接入规格 CPU 内存 硬盘 操作系统 Docker服务 出网带宽 推荐配置 可接入100路视频通道 4核 8GB 200GB 系统内核版本不低于：Linux 3.10.01160.83.1.el7.x8664 Docker 版本不低于：version 20.x.x 1000Mbps（按10Mbps/路估算，以实际需求为准） 部署机器网络配置要求：可以访问公网，如果存在防火墙且双向流量存在限制，则需进行放行，允许边缘接入网关可以访问公网。已开通智能视图的客户如有接入需求，请联系客户经理进行线下沟通申请。

本章节主要介绍翼MR Manager的集群服务配置的查看操作。 操作步骤 1. 登录翼MR管理控制台。 2. 单击“我的集群”，单击指定的集群名称，进入集群信息页面。 3. 单击“翼MR Manager”tab，单击“前往翼MR Manager”。 4. 进入到翼MR Manager以后，单击菜单“集群服务”，进入集群服务列表页面。 5. 选择指定集群服务，单击集群服务名称进入集群服务详情页面。 6. 单击“配置管理”tab，即可查看该集群服务的所有配置。如图所示： 7. 对于隐私配置项，默认将加密展示，点击文本框右侧查看按钮，输入配置主密码即可查看。如果当前集群开通后未设置过主密码，请参考用户手册的配置管理主密码设置，设置主密码后，进行查看。 说明运维变量配置 在服务的default分组下，以vars.yaml后缀结尾的配置文件，为运维变量配置文件。运维变量配置文件不是服务本身的配置文件，而是存放Manager运维操作变量的文件，每个运维变量的含义如下表。 组件 运维变量名 是否建议修改 含义说明 HDFS activenamenode 否 部署时使用，在这台机器上执行format操作。 HDFS kdcmaster 否 部署和扩容时使用，kerberos的master节点，用于创建keytab文件。 HDFS ldapGuestPassword 否 部署和扩容时使用，连接ldap的guest用户密码，此权限只能查看用户，不能创建用户。 HDFS ldapuri 否 部署和扩容时使用，配置ldap的连接地址。 HDFS dfsclusterId 否 部署时使用，ns的默认值。 HDFS pipelinejobretrytimes 是 流水线重试次数。 HDFS jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 YARN 无 共享HDFS运维变量。 ZooKeeper kerberosRealm 否 部署时使用，配置kerberos的realm的信息。 ZooKeeper kdcmaster 否 部署和扩容时使用，kerberos的master节点，用于创建keytab文件。 ZooKeeper zksuperuser 否 部署和扩容时使用，配置zk的超级用户。 ZooKeeper zksuperuserpasswd 否 部署和扩容时使用，配置超级用户的密码。 ZooKeeper componentuser 否 暂未使用。 ZooKeeper dataLogDir 否 部署时使用，需要通过ansbile创建目录。 ZooKeeper dataDir 否 部署时使用，需要通过ansbile创建目录。 Kerberos kerberosRealm 否 部署时使用，配置kerberos的realm的信息。 Kerberos kdcmaster 否 部署时使用，指定master节点，执行master节点的操作。 Kerberos kdcslave 否 部署时使用，指定slave节点，执行slave节点的操作。 Kerberos kerberosdatabasepasswd 否 部署时使用，配置kerberos的数据库密码。 Kerberos kerberosadminuser 否 部署时使用，配置kerberos的admin用户。 Kerberos kerberosadminpasswd 否 部署时使用，配置kerberos的admin用户密码。 OpenLDAP ldapmasterhostname 否 部署时使用，指定master节点，执行master节点的操作。 OpenLDAP ldapslavehostname 否 部署时使用，指定slave节点，执行slave节点的操作。 OpenLDAP olcRootDN 否 部署时使用，服务配置。 OpenLDAP olcSuffix 否 部署时使用，服务配置。 OpenLDAP ldapAdminPwd 否 部署时使用，admin用户的密码。 OpenLDAP ldapGuestPwd 否 部署时使用，guest用户的密码。 OpenLDAP ldapuri 否 部署时使用，ldap的连接信息。 OpenLDAP ldapBaseUgDN 否 部署时使用，服务配置。 OpenLDAP pipelinejobretrytimes 是 流水线重试次数。 OpenLDAP jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 HBase kdcmaster 否 部署和扩容时使用，kerberos的master节点，用于创建keytab文件。 HBase pipelinejobretrytimes 是 流水线重试次数。 HBase jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 Spark kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Spark ldapmaster 否 部署时使用，ldap的master节点。 Spark eventlogdir 否 部署时使用，通过ansible创建目录。 Spark sparkhome 否 部署时使用，通过ansible创建目录。 Hive kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Hive ldapmaster 否 部署时使用，ldap的master节点。 Hive databasepass 否 部署时使用，hive使用的数据库密码，需要用户填写。 Kafka kdcmaster 否 部署和扩容时使用，kerberos的master节点，用于创建keytab文件。 Kafka kerberosrealm 否 kerberos的realm的信息。 Kafka logdirs 否 （目前不再使用，通过从配置文件中渲染来创建目录）部署和扩容时使用，通过ansible创建目录。 Kafka pipelinejobretrytimes 是 流水线重试次数。 Kafka jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 Kyuubi kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Kyuubi ldapmaster 否 部署时使用，ldap的master节点。 Kyuubi kyuubilogdir 否 目录。部署时使用，通过ansible创建。 Kyuubi kyuubieventlogdir 否 目录。部署时使用，通过ansible创建。 Kyuubi kyuubiworkdir 否 目录。部署时使用，通过ansible创建。 Kyuubi adminuser 否 目录的属主。 Kyuubi usergroup 否 目录的属组。 Kyuubi pipelinejobretrytimes 是 流水线重试次数。 Kyuubi jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 Flink kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Flink ldapmaster 否 部署时使用，ldap的master节点。 Flink logDir 否 目录。部署时使用，通过ansible创建。 Flink HistoryServerDir 否 目录。部署时使用，通过ansible创建。 Flink pipelinejobretrytimes 是 流水线重试次数。 Flink jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 Elasticsearch CERTNODE 否 部署时使用，指定证书节点，在节点上执行生成证书的操作。 Elasticsearch ESDATADIRS 否 目录。部署时使用，通过ansible创建。 Elasticsearch ESDEFAULTPASSWORD 否 部署时使用。默认的密码，随机密码。 Doris FEDEFAULTLEADERHOSTNAME 否 部署和扩容时使用，指定leader节点，在上面执行leader的相关操作。 Doris FEDEFAULTPASSWORD 是 部署时随机生成的Doris组件root密码。节点扩容需要使用该密码，如用户已修改，需要设置正确的值，否则会影响扩容操作。 Doris FEHTTPPORT 否 服务端口，不推荐修改。 Doris FEQUERYPORT 否 服务端口，不推荐修改。 Doris FEEDITLOGPORT 否 服务端口，不推荐修改。 Doris BESTORAGEROOTPATH 否 服务端口，不推荐修改。 Doris BEHEARTBEATSERVICEPORT 否 服务端口，不推荐修改。 Doris BROKERIPCPORT 否 服务端口，不推荐修改。 Trino datadir 否 目录。部署和扩容时使用，通过ansible创建。 Trino kerberosrealm 否 kerberos的realm的信息。 Trino kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Trino ldapmaster 否 部署时使用，ldap的master节点。 Trino coordinator 否 部署和扩容时使用，指定主节点，在上面执行主节点的相关操作。 Trino uiuser 否 ui的用户。 Trino uipassword 否 ui的密码，部署时随机生成。 Trino serveruser 否 server的用户。 Trino serverpassword 否 server的密码，部署时随机生成。 Trino pipelinejobretrytimes 是 流水线重试次数。 Trino jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 Ranger dbhost 否 外置数据库信息，需要用户填写。 Ranger dbname 否 外置数据库信息，需要用户填写。 Ranger dbuser 否 外置数据库信息，需要用户填写。 Ranger dbpassword 否 外置数据库信息，需要用户填写。 Ranger dbrootuser 否 部署时使用，ranger使用的外置数据库信息。 Ranger dbrootpassword 否 部署时使用，ranger使用的外置数据库信息。 Ranger rangerpassword 否 ranger admin用户密码。 Ranger SYNCLDAPBINDPASSWORD 否 部署时使用，ranger访问ldap的密码。 Ranger SYNCSOURCE 否 用户同步方式，ldap。 Ranger kerberosrealm 否 kerberos的realm的信息。 Ranger kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Ranger SYNCLDAPURL 否 ldap相关信息。 Ranger POLICYMGRURL 否 ranger admin url信息。 Ranger separatedbamode 否 是否单独执行DBA，默认true，表示需要提前创建ranger使用的数据库和用户，并授权，不推荐修改。 Ranger pipelinejobretrytimes 是 流水线重试次数。 Ranger jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 Knox kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 Logstash pipelinejobretrytimes 是 流水线重试次数。 Logstash jobretrybasedonpipelinetypes 否 自动重试的流水线类型。 JeekeFS kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 KafkaUI kdcmaster 否 部署时使用，kerberos的master节点，用于创建keytab文件。 KafkaUI ldapGuestPassword 否 部署时使用，Openldap的guest用户密码。 Pushgateway PUSHGATEWAYPASSWORD 否 部署时使用，Pushgateway服务的密码。 Pushgateway PUSHGATEWYUSERNAME 否 部署时使用，Pushgateway服务的用户名。 TezUI pipelinejobretrytimes 是 流水线job最大重试次数。 TezUI jobretrybasedonpipelinetypes 否 基于的流水线类型。

本文介绍零信任安全策略。 配置安全策略前提条件 已经订购边缘安全加速平台零信任服务，若未订购，请参见服务开通。 先接入远程办公服务，请参见零信任服务快速入门。 不同能力版本提供能力不同，请参见零信任服务版本差异对比。 安全策略概览 下表将为您描述目前边缘安全加速平台零信任服务具备的安全策略以及应用场景。 模块 功能说明 说明 应用场景 访问控制 企业使用远程零信任办公服务，部分场景下，需要对访问的来源进行控制，远程零信任办公服务支持对客户端访问来源、访问IP、用户粒度、访问时间等进行访问控制，实现更灵活和安全的企业远程办公访问体验。 DDoS防护可有效防御畸形报文攻击、SYN Flood、ACK Flood、UDP Flood、ICMP Flood等网络层攻击以及SSL、DNS等应用层攻击 自动防御大流量网络层攻击 横向扫描防护 针对横向扫描的行为进行设定不同策略模版，如IP类横向渗透防护、域名类横向渗透防护，支持针对单用户账号，设备，相同公网IP进行不同协议、端口、地址的组合判断其频次，若高于异常则进行阻断或挑战认证。该功能是实时统计，达到阈值立即处置。 目前已维护6套防护规则集，基于正则的规则防护引擎进行 Web 漏洞和未知威胁防护，能够抵御SQL 注入、XSS 攻击、恶意扫描、命令注入攻击、Web 应用漏洞、WebShell 上传、不合规协议、木马后门等17类通用的 Web 攻击 建议基于自身业务防护需求选择对应的防护规则集 准入管控 针对企业管理要求，通过不同维度设置准入条件，仅满足准入条件的用户才可通过认证登录成功，进入内网访问，保障其企业安全性。 希望网站防止被恶意篡改页面内容时配置 动态授权 基于零信任多维度综合分析引擎，根据采集和上报的不同指标数据，对用户访问行为进行可信评估并实时联动处置。 希望网站避免泄露身份证、手机号等敏感信息时配置 内外网隔离 内外网隔离指的是将内部网络（内网）与外部网络（外网）物理或逻辑上分开，以防止未经授权的访问和数据泄露。通过内外网隔离，企业组织可以显著提高其安全性，因为即使外网遭受攻击，攻击者也难以渗透到内网，从而保护了组织的核心资产和数据。零信任模型强调的是一种持续的、动态的安全策略，它要求组织不断地评估和改进其安全措施，以应对不断变化的威胁环境。 针对不在HTTP请求合规、上传内容合规、配置符合网站处理规范内的请求进行相应处理 RBI云端浏览器 RBI云端浏览器是基于零信任网络+远程浏览器隔离技术，以“不让数据流出去、不让坏数据流进来”为宗旨，通过隔离浏览环境进行数据隔离、运行隔离，限制员工行为，保障员工终端安全，敏感数据不落地，提供全流程的行为审计，保证恶意行为证据可追溯。

本页为产品咨询类常见问题。 什么是数据传输服务DTS? 数据传输服务（Data Transmission Service，简称DTS）是天翼云提供的一种集数据迁移和数据实时同步于一体的数据传输服务。DTS作为数据流通的底座，集数据迁移、数据实时同步于一体，适用于帮助用户实现数据库不停业务快速稳定地迁移上云、构建数据实时同步通道实现数据库灾备/双活。DTS具备支持多数据源实时同步和迁移、企业级加密和脱敏等特性，其采用自研的DTS同步引擎，数据同步性能达数据库原生同步的四倍以上。 什么是区域和可用区？ 区域 DTS的区域指DTS服务所在的物理位置。 同一区域内可用区之间内网互通，不同区域之间内网不互通。 公有云在不同地区有数据中心，与此相应，DTS服务可用于不同地区。通过在不同地区开通数据传输服务DTS，可以将应用程序设计的更接近特定客户的要求，或满足不同地区的法律或其他要求。 可用区 每个区域包含许多不同的称为“可用区”的位置，即在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。每个可用区都被设计成不受其他可用区故障的影响，并提供低价、低延迟的网络连接，以连接到同一地区其他可用区。通过使用独立可用区内的DTS服务，可以保护您的应用程序不受单一位置故障的影响。当前阶段，DTS只支持单可用区部署，待转商后将提供跨可用区部署能力、实现跨可用区容灾。

本文介绍科研助手的计费类常见问题。 科研助手支持哪些资源池？ 共享资源池：目前控制台开放了多个可用区和多种实例规格，如规格或型号不满足您的需求，您可联系您的客户经理，或线上咨询或拨打客服热线电话寻求帮助，热线电话：4008109889转1。后续会随业务需求和资源布局会逐步开放自助区域。 科研助手是否支持试用？ 目前仅支持7天免费体验，如有您更多的试用需求请联系您的客户经理进行申请。 科研助手支持哪些计费方式？ 按需计费 包周期 套餐包 科研助手服务开通是否需要收费？ 服务开通不收取费用。 科研助手收取哪些费用？ 在科研助手创建实例规格后，会根据申请的规格内容进行收费，例如一个实例会包含CPU、内存、GPU等费用。 科研助手的存储服务会根据申请的容量大小按小时计费，具体价格以开通时的报价为准。 如用到天翼云其他产品，需另外支付对应产品费用。

本文介绍如何将通义千问应用部署到函数计算上。 使用场景 通过函数计算一键部署并体验通义千问服务。 准备工作 拥有已备案的域名。 已开通阿里云DashScope模型服务灵积，并创建APIKEY。 操作步骤 1. 进入函数计算控制台，在左侧导航点击应用 ，然后单击创建应用按钮。 2. 在应用模板页面，选择通义千问AI助手 ，点击立即创建按钮，进入应用创建页面。 3. 选择自定义域名、填写通义千问API KEY，其余字段已经生成默认值，您可以根据需要修改，然后点击创建应用按钮。 4. 部署成功后，进入应用环境详情页面，点击访问域名 ，访问部署好的通义千问服务，点击登录并输入创建应用时输入的客户端访问密码。 然后我们就可以和通义千问对话了。

使用GeminiDB Redis时要注意什么 使用GeminiDB Redis时要注意什么 1. 实例的操作系统，对用户都不可见，这意味着，只允许用户应用程序访问数据库对应的IP地址和端口。 2. 对象存储服务（Object Storage Service，简称OBS）上的备份文件以及GeminiDB Redis使用的系统容器，都对用户不可见，它们只对GeminiDB Redis后台管理系统可见。 3. 申请数据库实例后，您还需要做什么。 申请实例后，您不需要进行数据库的基础运维（比如高可用、安全补丁等），但是您还需要重点关注以下事情： a. 数据库实例的CPU、IOPS、空间是否足够。 b. 数据库实例是否存在性能问题，是否需要优化等。 什么是GeminiDB Redis实例可用性 实例可用性的计算公式： 实例可用性（1–故障时间/服务总时间）×100% 其中，故障时间是指数据库实例创建完成后，运行期间累计发生故障的总时长。服务总时间指数据库实例创建完成后运行的总时长。

本小节介绍购买渗透测试服务的操作步骤。 操作步骤 1. 在天翼云官网注册账户后，进入天翼云官网首页，在产品按钮中选择“安全及管理> 安全服务 > 渗透测试”，进入渗透测试页面。 2. 点击渗透测试服务的立即订购，按需求填写购买即可。 3. 您可以选择小型、中型、大型三种规格。 规格选择 描述 常见系统 小型渗透 测试对象为1个应用系统。 门户网站（仅包含信息展示页面）为一个应用系统，属于小型系统。 中型渗透 测试对象的复杂度相当于5个应用系统。 办公系统，包含邮箱系统、财务系统、工时系统，为三个应用系统，属于中型系统。 大型渗透 测试对象的复杂度相当于10个应用系统。 网银系统，包含门户网站、个人网银、企业网银、手机银行、微信银行、App用户端，为六个应用系统，属于大型系统。

本页介绍了文档数据库服务产品的主子账号以及IAM统一权限功能介绍。 文档数据库服务产品的主子账号及CTIAM介绍如下。 操作场景 文档数据库产品接入CTIAM权限体系，可实现控制台操作功能、OpenAPI等维度对用户访问、操作资源的权限控制。 约束限制 目前实例订购时选择的“企业项目”，还不支持实例开通后进行“企业项目”的变更。 功能介绍 主用户：用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。 子用户：由拥有IAM权限的用户，在用户中心创建的子用户。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。 策略：是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 权限：权限是归属于产品的，用于描述对资源具体操作的三元组。例如"dds.instance.restart"归属于文档数据库服务产品，具有重启实例的操作权限，可在策略管理进行配置用户组的权限。 系统策略：由产品团队维护，系统预置的常用权限集，主要针对不同云服务的管理员权限、一般用户权限和只读用户权限；系统策略在IAM控制台中只能用于授权，用户不能编辑和修改。 自定义策略：由用户在IAM控制台创建和管理的权限集，是对系统策略的扩展和补充。 企业项目：企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用企业项目内云资源的权限受用户组的授权限制。文档数据库服务产品在订购实例的订购开通页面，可选择归属于哪个企业项目。

步骤二：创建IAM用户并加入用户组 1. 在统一身份认证服务左侧导航栏，选择“用户”，单击右上角“创建用户”。 2. 配置用户基本信息：在“创建用户”界面填写“用户基本信息”，单击“下一步”。 如需一次创建多个用户，可以单击“添加用户”添加多个用户，或单击“上传用户”进行批量创建。 3. 加入用户组：在左侧可选用户组列表中找到刚创建的用户组，单击操作列的“添加”将用户加入到该用户组。 4. 单击“下一步”，等待IAM用户创建完成。记录新建的IAM用户的登录名和密码。 步骤三：使用创建的IAM用户登录并验证权限 完成IAM用户创建后，即可以使用登录名和密码登录天翼云，验证权限（当前用户权限仅包含“ctcsscn admin”权限）。 1. 使用新创建的IAM用户登录天翼云控制中心。 在登录页面，输入IAM用户的登录名及密码。如果登录失败，IAM用户可以联系主账号重置密码。 2. 执行以下操作，若满足预期结果，表示“ctcsscn admin”权限已生效。 在产品服务列表中选择“服务器安全卫士（原生版）”，成功进入服务器安全卫士（原生版）控制台。 在产品服务列表中选择除“服务器安全卫士（原生版）”之外的其他服务，提示权限不足。

本章介绍函数工作流的产品优势。 无服务器管理 自动运行用户代码，用户无需配置或管理服务器，专注于业务创新。 高弹性 根据请求的并发数量自动调度资源运行函数，实现透明、准确和实时的伸缩，应付业务峰值的访问。 用户无需关心峰值和空闲时段的资源需要申请多少资源，系统根据请求的数量自动扩容/缩容。自动负载均衡将请求分发到函数运行实例。 事件触发 通过事件触发机制，集成多种云服务，满足不同场景需求，获得高效的开发体验。 与云日志服务、云监控服务对接，无需任何配置，即可查询函数日志和监控告警信息，快速排查故障。 高可用 函数运行实例出现异常，系统会启动新的实例处理后续的请求，故障函数实例占用资源将会回收使用。 动态资源指定 函数执行时可根据业务需要动态指定资源规格，最小化资源占用，灵活调度节省成本。

公共算力服务是统一资源调度平台,提供多维度的核心调度能力,支持多方算力,包括裸算力统一接入,实现跨服务商、跨地域、跨架构的统一管理、统一调度,为业务匹配最优算网资源。

公共算力服务是统一资源调度平台,提供多维度的核心调度能力,支持多方算力,包括裸算力统一接入,实现跨服务商、跨地域、跨架构的统一管理、统一调度,为业务匹配最优算网资源。

本文向您介绍如何在云监控中创建VPN告警规则。 操作场景 通过设置告警规则，用户可自定义监控目标与通知策略，及时了解虚拟专用网络的状况，从而起到预警作用。 操作步骤 1. 登录管理控制台，单击“管理与监管 > 云监控服务”。 2. 选择“云服务监控 > 虚拟专用网络”，单击“创建告警规则”。 VPN告警规则请在“独享型VPN连接”页签配置。 VPN默认不提供告警模板，请先创建自定义告警模板，然后重新在“云服务监控 > 虚拟专用网络”，单击“创建告警规则”进行告警规则配置。 3. 规则参数设置完成后，单击“立即创建”。 虚拟专用网络告警规则设置完成后，当符合规则的告警产生时，系统会自动进行通知。 说明 更多关于VPN监控规则的信息，请参见《云监控服务用户指南》。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的一键关站功能。 功能介绍 一键关站允许客户在紧急情况下快速关闭站点，并自定义响应状态码和页面内容。该功能帮助客户在系统维护、故障处理或安全事件中，快速控制站点访问权限，同时提供灵活的响应内容配置。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【Web应用防火墙】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力设置页。 4. 单击一键关站。 配置说明 一键关站 开关开启后，域名所有访问将会被拒绝（响应码为403）。 自定义响应页面 如果您有定制化的响应状态码和响应页面，请在开关右侧【自定义响应页面】中配置。 以下是配置自定义页面的字段及说明： 字段 字段说明 响应码 必填，选项200、222、206、300、301、302、304、400、402、403、404、405、408、499、500、502、503、504，默认值：403。 页面类型 非必填，页面类型包括以下三种：HTML、HTML;charsetutf8、JSON。 页面响应内容 必填，输入页面响应的内容。

本文介绍OpenClaw(原 Clawdbot)安装Skill 技能操作指南。 前置说明 1.该文档为介绍通过应用托管应用市场体验OpenClaw 安装Skill技能操作指南内容。 2.本产品中的应用由第三方主体提供，尽管天翼云已尽最大努力进行识别和维护，但仍无法保证应用的可用性。请客户按照该产品的服务协议使用该产品，做好甄别工作，并对自行选择的服务承担相应责任。 概述 OpenClaw 的 Skill 技能是平台拓展专属能力的模块，通过安装 Skill 可实现定制化的业务需求与功能拓展。天翼云应用托管环境下的 OpenClaw 支持三种 Skill 安装方式，可分别实现技能商店技能快速安装、控制台手动安装及自定义开发 Skill 部署，以下为详细操作步骤。 重要：OpenClaw 为开源 AI 助手，请在使用前充分评估其安全性与稳定性并严格遵循许可协议，以切实保障您的系统环境与数据安全。 1. 请避免在 OpenClaw 中绑定生产级敏感账号。如需使用 API 服务，建议使用受限的 API Key 或临时 Token，并建立定期轮换机制，以降低密钥泄露带来的风险。 2. 建议优先使用天翼云官方提供的skills与插件，避免安装来源不明的第三方技能，防止恶意代码注入。 3. 请通过密码或 Token 对 OpenClaw 服务进行访问授权，严格限制访问 IP 范围，避免公网暴露，拦截非授权访问请求。 4. 建议启用详细的日志记录与行为监控，对操作行为和数据处理过程进行持续审计，及时发现并处置异常行为。

其他操作 启/禁用标签：单击“启用”列表的按钮，置灰为禁用标签，蓝色为启用；或选中标签后单击“启用选中项”、“禁用选中项”按钮进行批量启/禁用。 修改标签：单击“操作”列的“修改”按钮，编辑自定义标签的名称、分类、分级、描述、识别规则；内置标签不允许编辑名称和识别规则。 删除标签：单击“操作”列的“删除”按钮，删除自定义标签，内置标签不允许删除。 敏感数据 指定服务启用敏感数据发现之后，会根据内置和自定义数据标签识别 API 返回的敏感数据，展示敏感字段；并支持对敏感字段进行数据脱敏。 约束限制 只支持返回体为JSON、XML标准格式的敏感数据发现。 敏感数据发现 1.登录API安全网关。 2.在左侧导航栏选择“资源 > 服务”，进入服务列表页面。 3.选择需要开启敏感数据发现的服务，开启对应功能。 4.开启后，在左侧导航栏选择“数据识别 > 敏感数据”，即可在敏感数据展示页查看获取到的敏感数据信息。 配置敏感字段脱敏 识别到敏感字段后，可手动配置脱敏算法，将敏感数据进行脱敏。 1.单击“操作”列的“脱敏”按钮，跳转至API配置返回处理的步骤。 2.选择需要编辑的敏感字段，单击“操作”列的“编辑”按钮配置脱敏算法。 3.选择完成后单击“确认”，并且完成剩余字段配置后保存内容，即可完成敏感字段脱敏。

本文介绍如何通过Pod环境变量采集应用日志。 为了简化日志管理流程，天翼云提供一套完整的日志服务解决方案，让您免开发即可实现日志的快速获取、存储、检索和分析。在 Serverless集群中，借助其内置的日志服务托管功能，您可以通过设置相应的环境变量，轻松地将业务容器的标准输出和相关日志文件接入云日志服务。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 确保kubectl工具已经连接目标集群。 操作步骤 步骤一：创建应用并配置日志服务 为了给容器指定采集配置，需要使用env来为容器增加采集配置，并根据采集配置，创建对应的volumeMounts和volumes。Pod YAML示例如下： shell apiVersion: v1 kind: Pod metadata: name: busyboxenvs spec: containers: name: busybox image: 'registryhuadong1.crsinternal.ctyun.cn/opensource/busybox:1.36' args: c mkdir p /var/log;while true; do echo hello world; date; echo hello als >> /var/log/test.log; sleep 1;done command: /bin/sh env: 配置环境变量 name: Ctyunlogsecilogstdout value: stdout name: Ctyunlogsecilogvarlog value: /var/log/.log name: Ctyunlogsecilogstdoutproject value: k8slogdemo name: Ctyunlogsecilogvarlogproject value: k8slogdemo name: Ctyunlogsecilogstdoutunit value: logstdout name: Ctyunlogsecilogvarlogunit value: logvarlog

镜像服务广泛应用于多种场景,本文带您更快了解镜像服务经典应用场景。 部署特定软件环境 适用场景 使用共享镜像、私有镜像都能帮助快速搭建特定的软件环境，免去了自行配置环境、安装软件等繁琐且耗时的工作，并能满足建站、应用开发、可视化管理等多种个性化需求，让弹性云主机“即开即用”，省时方便。 场景痛点 通常情况下，用户安装操作系统后，系统内没有安装一些常用的软件或配置，手动安装配置相当繁琐。当需要批量部署软件环境时，更是需要一个个去配置，相当费时费力。 推荐配置及架构 弹性云主机、物理机、镜像服务 产品优势 操作便捷：根据用户需求，用户可选取需要的镜像即可运行需要的环境，不再需要人工安装操作系统后再一个个部署需要的环境，对用户的时间和专业能力均没有要求。 安全稳定：天翼云提供的公共镜像皆已经过严格测试，能够保证镜像安全、稳定，保障用户业务的稳定不间断运行。 选择灵活：用户除了可以选择官方提供的公共镜像外，如果用户有特殊的需求，也可以根据自己的需求自己制作私有镜像上传，或者通过其他用户分享给自己使用。 云主机重装系统

本节介绍了容器镜像服务实例系统账号的用户指南。 概述 系统账号可以按照命名空间维度配置读写权限，适合使用于 CI/CD 流水线和 Kubernetes 集群中。 前提条件 已开通容器镜像服务企业版实例 创建系统账号 1. 进入容器镜像服务控制台。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击访问控制 访问凭证 ，点击系统账号标签页。 4. 点击新建按钮创建系统账号. 参数 说明 名称 系统账号的名称。请注意，名称将自动增加 crs$ 前缀以标识系统账号，如名称填写 testaccount，则实际使用的名称为 crs$testaccount。 描述 系统账号的描述。 过期时间 可选永不过期或指定过期时间。 权限范围 配置覆盖全部命名空间或仅覆盖指定命名空间，若选择仅覆盖指定命名空间，则需要勾选指定的命名空间及其对应的权限类型。 权限类型 配置命名空间的只读或读写权限，只读权限不支持推送镜像。 5. 完成创建将弹出对话框展示系统账号名称和密码，请妥善保存，页面关闭后将无法再次查看。 6. 列表页可查看已创建的系统账号，操作栏的禁用/启用 按钮可以修改系统账号的启用状态，更新 按钮可以修改系统账号的配置，删除按钮可以删除系统账号。

本节介绍数据加密的权限管理说明。 如果您需要对云服务平台上购买的数据加密（以下简称DEW）资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云服务资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并使用策略来控制员工对云服务资源的访问范围。例如您的员工中有负责软件开发的人员，您希望这些开发人员拥有DEW的使用权限，但是不希望开发人员拥有删除DEW等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用DEW，但是不允许删除DEW的权限策略，控制员工对云资源的使用范围。 如果系统帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用DEW的其它功能。 数据加密权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DEW部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问KMS时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云服务平台各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对KMS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，权限的最小粒度为API授权项（action）。 DEW系统权限 系统角色/策略名称 描述 类别 KMS Administrator 加密密钥的管理员权限。 系统角色 KMS CMKFullAccess 加密密钥所有权限。 系统策略 下表列出了DEW常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 常用操作与系统权限的关系 操作 KMS Administrator KMS CMKFullAccess 创建密钥 √ √ 启用密钥 √ √ 禁用密钥 √ √ 计划删除密钥 √ √ 取消计划删除密钥 √ √ 修改密钥别名 √ √ 修改密钥描述 √ √ 创建随机数 √ √ 创建数据密钥 √ √ 创建不含明文数据密钥 √ √ 加密数据密钥 √ √ 解密数据密钥 √ √ 获取密钥导入参数 √ √ 导入密钥材料 √ √ 删除密钥材料 √ √ 创建授权 √ √ 撤销授权 √ √ 退役授权 √ √ 查询授权列表 √ √ 查询可退役授权列表 √ √ 加密数据 √ √ 解密数据 √ √ 查询密钥实例 √ √ 查询密钥标签 √ √ 查询项目标签 √ √ 批量添加删除密钥标签 √ √ 添加密钥标签 √ √ 删除密钥标签 √ √ 查询密钥列表 √ √ 查询密钥信息 √ √ 查询实例数 √ √ 查询配额 √ √ 系统默认提供两种权限策略：系统策略和自定义策略。系统策略是IAM预置的策略，用户只能使用不能修改。若系统策略不满足授权要求，用户可以创建自定义策略，自由搭配需要授予的权限集。 用户组配置权限策略后，将用户加入用户组中，可以使该用户获得权限策略中定义的操作权限。

本文介绍购买类常见问题解答。 如何开通应用加速？ 应用加速产品开通，详情请见：开通应用加速服务。 应用加速的计费方式有哪些？ 应用加速的计费方式，详情请见：计费概述。 如何查询已购买的应用加速服务的用量？ 可通过：用量查询，查看带宽流量、连接数、并发连接数、区域运营商统计等指标。