资源配额 VPC终端节点资源的配额限制如下表所示。 表 VPCEP资源配额 资源 限制（个） 一个用户创建终端节点服务的数量 20 一个用户创建终端节点的数量 50 其他限制 创建终端节点时，需要确保连接的终端节点服务已经存在，并位于同一区域。 一个终端节点仅支持连接一个终端节点服务。 一个终端节点支持最大连接数为3000。 一个终端节点服务可被多个终端节点连接。 一个终端节点服务仅支持对应一个后端资源实例。

本章节主要介绍翼MapReduce服务Yarn健康检查指标项说明。 服务健康状态 指标项名称： 服务状态 指标项含义 ：检查Yarn服务状态是否正常。如果当前无法获取NodeManager节点数时，则认为不健康。 恢复指导： 如果该指标项异常，建议参见告警进行处理并确认网络无异常。 检查告警 指标项名称： 告警信息 指标项含义 ：检查服务是否存在未清除的告警。如果存在，则认为不健康。 恢复指导： 如果该指标项异常，建议参见告警进行处理。

系统角色/策略名称 描述 依赖关系 VPN Administrator VPN服务的管理员权限，拥有该权限的用户拥有VPN服务所有执行权限。 拥有该权限的用户默认拥有Tenant Guest、VPC Administrator权限。 VPC Administrator：项目级策略，在同项目中勾选。 Tenant Guest：项目级策略，在同项目中勾选。 VPN FullAccess（推荐使用） VPN服务的所有执行权限。 VPN ReadOnlyAccess VPN服务只读权限，拥有该权限的用户仅能查看VPN服务下的资源信息。

本章节主要介绍如何实现数据面sidecar升级过程中，不中断服务的业务流量。 应用服务网格作为集群网络管理的重要工具，为网格内的服务提供流量治理与流量监控的能力。sidecar作为应用服务网格数据面的重要组件，需要依赖服务业务pod的更新来实现sidecar的升级和重新注入。 配置服务实例数 为保证您的服务在sidecar升级的过程中不中断业务流量，首先确保您的服务实例数大于等于2，升级策略为滚动升级（rollingUpdate）。 相关滚动升级策略如下，供参考： kubectl get deploy nginx n namespacename oyaml grep strategy a10 添加readiness探针 添加readiness探针，可以保证您的新实例pod在真正准备就绪时，才开始接管业务流量。这就避免了在新的实例pod未启动时，接管业务流量造成的访问不通问题。 相关配置如下： kubectl get deploy nginx n namespacename oyaml grep readinessProbe a10 配置项说明： readiness探针配置项：deployment.spec.template.spec.containers[i].readinessProbe 其中，包括探针检查初始时间，检查间隔，超时时间等配置。 设置服务就绪时间 服务就绪时间，minReadySeconds：用于标识pod的ready时间至少保持多长时间，才会认为服务是运行中。 相关配置如下： kubectl get deploy nginx n namespacename oyaml grep minReadySeconds a1

本章节主要介绍翼MR Manager的配置管理特性。 操作场景 用户需要管理集群服务的配置信息。 操作步骤 1. 登录翼MR管理控制台。 2. 单击“我的集群”，单击指定的集群名称，进入集群信息页面。 3. 单击“翼MR Manager”tab，单击“前往翼MR Manager”。 4. 进入到翼MR Manager以后，单击菜单“运维与配置 > 配置管理”。 5. 在集群服务选框中，选择要管理的集群服务名称，点击“查询”按钮，即可查看集群服务配置信息。 说明 1. 支持查看不同集群服务的配置。 2. 支持为不同集群服务新增配置组、查看配置组信息、删除配置组。 3. 支持新增配置文件、查看配置文件详情、预览和下载配置文件，以及删除配置文件。 4. 支持按主机维度的配置同步、查看配置状态等。

本节介绍漏洞扫描服务四个规格之间的差异。 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 版本功能说明 VSS各服务版本支持的功能和规格说明如下所示，您可以根据业务需求选择相应的服务版本。 功能 基础版 专业版 高级版 企业版 常见Web漏洞检测 √ √ √ √ 端口扫描 √ √ √ √ 自定义登录方式 √ √ √ √ Web 2.0高级爬虫 √ √ √ √ 网站指纹识别 √ √ √ √ 扫描任务管理 √ √ √ √ 漏洞查看及管理 √ √ √ √ CVE漏洞扫描 × √ √ √ 弱密码检测 × √ √ √ 网页内容合规检测（文字） × √ √ √ 操作系统漏洞扫描 × √ √ √ 操作系统基线检查 × √ √ √ 中间件基线检查 × √ √ √ 查看漏洞修复建议 × √ √ √ 下载扫描报告 × √ √ √ 安全监测（定时扫描） × √ √ √ 网页内容合规检测（图片） × × × √ 网站挂马检测 × × × √ 链接健康检测（死链、暗链、恶意外链） × × × √ 操作系统等保合规检查 × × × √

本文介绍使用天翼云SDWAN产品时常见的计费类问题。 天翼云SDWAN服务是否收费？ 天翼云SDWAN服务需要收费。 天翼云SDWAN服务的收费项包括接入带宽、智能网关、增值服务和装维服务组成，根据订购的项目不同，资费不同。 计费项 计费说明 计费方式 带宽 根据带宽大小、接入区域和购买时长收取费用。 基础带宽以月为周期进行订购，支持退订； 此外支持临时升配，提供弹性带宽包，可以天为周期进行订购。 包年包月、按天 智能网关 根据实例规格、购买时长、购买数量收取费用。 目前提供经济版、标准版、企业版、企业增强版4种规格。 包年包月 增值服务 天翼云智能网关提供5G、WIFI、LTE服务，可按需购买. 包年包月 装维服务 天翼云可提供上门安装服务，根据装维区域、装维模式进行收费。 目前支持按次订购，按订购次数进行上门装维； 也可按月订购，在订购周期内进行上门装维。 包年包月、按次 智能网关设备如何收费？ 智能网关按照包年包月模式进行收费，不同的型号对应的费用不同。目前可支持的型号及对应的产品能力和资费详见下表： 智能网关型号 经济版 标准版 企业版 企业增强版 Ipsec隧道加密转发能力 最大可支持100Mbps 最大可支持500Mbps 最大可支持1Gbps 最大可支持5Gbps 资费（元/台/月） 150 330 410 780

等保咨询规格、服务内容、收费方式以及标准价格。 等保咨询产品按等保级别设置4个套餐及扩展包。 等保咨询简化服务 ：按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务，输出《等保测评技术指导》。提供系统差距的安全风险分析，包括网络、防护、应用、制度等测评相关服务，并输出《差距分析评估》。 等保咨询标准服务 ：包含所有简化版服务内容，提供针对性的等保合规要求的整改安全方案。 规格名称 版本 服务内容 交付物 收费方式 标准价格 等保咨询等保二级 简化版 按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务。 《等保测评技术指导》 按次计费 20000元/次 等保咨询等保二级 简化版 提供系统差距的安全风险分析，包括网络、防护、应用、制度等测评相关服务。 《差距分析评估》 按次计费 20000元/次 等保咨询等保二级 标准版 按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务，输出《等保测评技术指导》。 《等保测评技术指导》 按次计费 120000元/次 等保咨询等保二级 标准版 提供系统差距的安全风险分析，包括网络、防护、应用、制度等测评相关服务，并输出《差距分析评估》。 《差距分析评估》 按次计费 120000元/次 等保咨询等保二级 标准版 提供针对性的等保合规要求的整改安全方案。 《差距整改方案》 按次计费 120000元/次 等保咨询等保三级 简化版 按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务。 《等保测评技术指导》 按次计费 30000元/次 等保咨询等保三级 简化版 提供系统差距的安全风险分析，包括网络、防护、应用、制度等测评相关服务。 《差距分析评估》 按次计费 30000元/次 等保咨询等保三级 标准版 按照等级保护相关标准要求，提供测评内容、测评对象、测评流程、测评指标、测评方法等测评细项内容，以及系统定级、备案指导服务。 《等保测评技术指导》 按次计费 180000元/次 等保咨询等保三级 标准版 提供系统差距的安全风险分析，包括网络、防护、应用、制度等测评相关服务。 《差距分析评估》 按次计费 180000元/次 等保咨询等保三级 标准版 提供针对性的等保合规要求的整改安全方案。 《差距整改方案》 按次计费 180000元/次 扩展包 超过20台云主机或者所处行业监管要求特殊的客户，请选择扩展包，具体需要增加多少请与天翼云安全专家沟通后确定 按次计费 5000元/个

云工作流（CloudFlow）是可按照流程管理来协调多云上服务按照预期逻辑执行的云服务。 在云工作流中， 可以用顺序、条件分支、并行等方式来编排云上服务，云工作流会按照设定好的步骤可靠地协调任务执行，跟踪每个任务的状态转换，并在必要时执行定义的重试逻辑，以确保工作流顺利完成。云工作流通过提供审计来监视工作流的执行，方便用户轻松地诊断和调试应用。云工作流简化了开发和运行业务流程所需要的任务协调、状态管理以及错误处理等繁琐工作，让用户可以聚焦业务逻辑开发。 如图是云工作流结合OSS和函数计算的一个实际使用例子。用户想要进行一个视频转码处理系统， 传统情况下用户需要购买ECS部署服务、然后通过OSS、CDN技术完成视频转码后的处理服务。基于云工作流， 可以通过工作流将视频转发的处理逻辑按照函数进行分解， 通过OSS触发器感知到视频上传的事件触发后， 触发用于视频转码的工作流执行。 按照此方案， 用户无需自建基础设施， 依赖函数计算和云工作流， 可以更专注业务逻辑， 结合云工作流可以完成高效率的视频转码的在线服务。 产品优势 减少流程代码量 云工作流提供了丰富的控制逻辑，例如顺序、选择、并行等，让您以更少的代码实现复杂的业务逻辑。用户可以更专注业务处理逻辑进行业务开发。 无服务化（serverless） 云工作流无需用户采购基础设施部署服务， 按照实际执行步骤转换个数收费（公测期间免费）。结合函数计算，可以构建出基于事件触发执行的服务， 从而降低成本。 协调云计算各云产品服务 云工作流支持服务集成和HTTP集成， 可以在云工作流中通过OpenAPI方式调用和使用天翼云绝大数云产品以及通过HTTP访问和请求第三方服务。

集成云上服务 ECI提供了与天翼云其它服务紧密集成的功能，这使得您可以使用一体化控制台高效操作。除了可以无缝集成到Serverless容器引擎SCE外，ECI还支持与其他云服务进行集成包括但不限于： 镜像：支持使用天翼云容器镜像服务产品来管理您的容器镜像。 网络：支持通过弹性负载均衡、NAT网关和弹性IP来连接公网。 存储：支持使用云盘、弹性文件服务和对象存储来实现容器数据的持久化存储。 日志：支持将ECI容器的日志采集到云日志服务中。

Effect Effect元素是必需具备的元素，用于指定声明所产生的结果是“允许”还是“显式拒绝”。Effect的有效值为Allow和Deny。在默认情况下，将拒绝访问资源。如要允许访问资源，必须将Effect元素设置为Allow。 Action Action元素描述将允许或拒绝的指定操作。每个服务有对应的任务操作，用户可以使用相应服务来执行所描述的任务。目前提供的服务有：oos（对象存储）、cloudtrail（操作跟踪）、statistics（统计）和iam（访问控制）。具体每种服务包括的操作详见操作权限与API对应关系 。 Action元素的语法结构为："Action": "服务:具体操作"。其中具体操作也可以用通配符（）表示某类操作。 示例1 ：OOS：获取文件（Object）操作。 "Action": "oos:GetObject" 示例2 ：IAM：创建IAM用户。 "Action": "iam:CreateUser" 示例3 ：使用通配符（）表示执行OOS的所有服务。 "Action": "oos:" 示例4 ：使用通配符（）表示执行IAM服务中包含AccessKey的操作。 "Action": "iam:AccessKey" NotAction NotAction元素描述与指定操作列表之外的所有内容显式匹配。使用NotAction时只列出不应匹配的一些操作。使用NotAction时： 如果使用Allow效果，则允许未列出的所有适用操作或服务。 如果使用Deny效果，则拒绝此类未列出的操作或服务。如果想允许某个已列出的操作，则必须显式允许此操作。 示例1 ：除删除存储桶操作外，允许用户执行OOS其他所有操作。 { "Version": "20121017", "Statement": [ { "Effect": "Allow", "NotAction": "oos:DeleteBucket", "Resource": "arn:ctyun:oos::10rc2arpn6306:", } ] } 示例2 ：允许用户执行除IAM服务外的所有操作。 { "Version": "20121017", "Statement": [ { "Effect": "Allow", "NotAction": "iam:", "Resource": "", } ] } 示例3 ：拒绝除oos、cloudtrail和statistics之外的服务。但并不是允许oos、cloudtrail和statistics服务的操作，如果允许oos、cloudtrail和statistics中的某个操作，需要再写新的策略进行显式允许。 { "Version": "20121017", "Statement": [ { "Effect": "Deny", "NotAction": [ "oos:", "cloudtrail:", "statistics:", ], "Resource": "", } ] }

本小节介绍等保咨询都有哪些优势。 一站式服务 提供从定级、备案、自评到整改、测评等一站式等保测评指导服务。 经验丰富 联合专业等保咨询机构，提供专业快捷的等保咨询方案，已在政府、金融、医疗等多个行业有成熟案例。 管理服务 专属的安全专家，提供全程服务，协助您提供测评。 专业快速 提供专业快速的等保定级、备案、差距分析及整改的指导服务。

本节介绍了容器镜像服务: 构建和推送多架构镜像到容器镜像服务。 操作场景 多架构镜像是指在同一个镜像仓库中包含了多个不同架构的镜像，以满足不同架构的硬件平台的需求。 当容器运行时拉取多架构镜像时，可以自动选择适配当前操作系统架构的镜像，从而提高部署效率。 本文介绍如何构建多架构镜像并推送到容器镜像服务。 前提条件 已开通容器镜像服务企业版实例，参考：开通企业版实例 本地已安装Docker客户端 操作步骤 通过Dockerfile构建多架构镜像 1. 本节以Go项目为例，构建如下Dockerfile文件 : plaintext ARG GOLANGIMAGE"golang:1.19.3" ARG BASEIMAGE"alpine:3.16.5" ARG TAG1.0.0 FROM ${GOLANGIMAGE} as buildcache WORKDIR /build COPY . ./ RUN CGOENABLED0 GOOSlinux go build ldflags "X myapp/version.Version${TAG}" o myapp . FROM ${BASEIMAGE} COPY frombuildcache /build/myapp / WORKDIR / ENTRYPOINT ["./myapp"] 2. 登录容器镜像服务企业版实例。 plaintext docker login –username 3. 使用 docker buildx命令构建并推送多架构镜像到容器镜像服务企业版实例。 plaintext docker buildx build . t / / : platform linux/amd64,linux/arm64 push

参数 参数类型 说明 示例 下级对象 balancerStrategy Object 服务负载均衡策略 BalancerStrategy certFileName String 证书文件名 certFileName certKeyFileName String 密钥证书文件名 certFileKeyName createTime String LocalDateTime创建时间 20231010 12:12:21 enableMtls Boolean 是否开启了双向认证 false enableWebsocket Boolean 是否开启了websocket支持 false groupName String 组名 default healthCheckConfig Object 健康检查配置 HealthCheckConfigVO id String ID 878da73f7dba36ff0ae80e004a4f28f9 label Object 标签map labelNames Array of Objects 标签名列表 LabelNameDTO name String 服务名称 test namespace String 命名空间 prod namespaceId String Nacos命名空间ID prod nodes Array of Objects 固定地址节点列表 VipServiceNodeDTO retry Object 重试配置 Retry serviceNameInRegistry String 注册中心服务名 demo serviceProtocol String 服务协议 http sourceType String 服务来源，VIP：固定地址；NACOS：nacos来源；KUBERNETES：云容器引擎来源 NACOS timeout Object 超时时间配置 Timeout type String 类型，取值：control或Ingress control typeDesc String 类型含义，取值：管控或Ingress 管控 updateTime String LocalDateTime更新时间 20231010 13:13:13

海量文件服务OceanFS产品为您提供优质的服务体验，本文带您了解产品优势。 共享访问 支持多台客户端挂载访问同一文件系统，可支持连接上千个客户端实例。 支持NFSv3/v4.1、CIFS(SMB2.1/SMB3.0)。 支持IPv4和IPv6网络协议。 海量可扩展 用户可以根据业务需要配置文件系统的初始存储容量，后续可以随着数据量的变化而扩容。 支持PB级存储空间。 安全可信 支持使用VPC用户隔离、权限组等安全管理功能进行访问权限控制，保障数据安全可靠。 文件服务支持HA高可用，出现任何硬件故障时，业务自动切换到其他节点，服务可用性在99.95%及以上。 友好易用 操作界面友好、简单易用，用户可通过控制台界面快速轻松地创建、配置和管理文件系统，省去复杂的文件系统部署工作。 提供全托管服务，不必考虑复杂的安装、配置及性能调优工作，用户可轻松创建使用文件系统，只需几分钟便可使用高性能的文件系统。

参数 是否必填 参数类型 说明 示例 下级对象 regionID 是 String ctyun资源池ID 81f7728662dd11ec810800155d307d5b queryContent 否 String 名称模糊搜索 temp services 否 Array of Strings 本参数表示展示出来的服务。默认返回所有服务。取值范围：ecs：云主机。evs：云硬盘。pms：物理机。...详见“告警模板：获取告警模板服务维度关系”接口返回中的服务。 ['ecs'] templateType 否 String 本参数表示模板类型。默认all。取值范围：system：系统默认。custom：自定义。all：所有。根据以上范围取值。 all pageNo 否 Integer 页码，默认为1 1 page 否 Integer 页码，默认为1，建议使用pageNo，该参数后续会下线 1 pageSize 否 Integer 页大小，默认为10 2

本章节主要介绍翼MapReduce服务如何管理节点。 操作场景 当节点故障异常时，用户可能需要在翼MapReduce停止节点上的所有集群服务，对节点进行维护检查。故障清除后，启动节点上的所有集群服务恢复节点业务。 操作步骤 1. 登录翼MR控制台，在“我的集群”页面点击正常运行的集群名称，进入集群详情页面。 2. 在集群详情页，单击“翼MR Manager”，点击”前往翼MR Manager”。 3. 在Manager “集群服务”页面，点击“更多操作”，并点击“停止/启动所有集群服务” 执行相应操作。

本小节介绍日志审计(原生版)场景下的定位日志采集异常处理实践。 应用场景 有产生日志，但日志审计（原生版）平台未看到该日志，如何定位问题。 前提准备 通过控制台进入日志审计（原生版）实例。 日志采集涉及服务逻辑 日志采集涉及服务：logc、logp、coresvr、esinset。 日志采集涉及流程： Logc（日志采集）接收日志并通过kafka将接收的日志转发logp。 Logp（日志解析分类）接收logc转发的原始日志根据解析规则等进行解析，并通过kafka将解析后的日志发送给esinsert。 Esinsert（录入elasticsearch）将解析后的日志录入elasticsearch。 Coresvr（页面更新程序）将页面下发的规则等变更，通过kafka下发给对应的服务。 查看程序 点击“系统配置 > 系统运维”，在服务管理中，查看服务状态是否有异常。按步骤依次查看logc、logp、coresvr、esinsert等服务是否有异常信息。 查看程序日志 点击“系统配置 > 系统运维”，在服务管理中，点击“导出日志”，可导出服务日志。按流程步骤依次查看logc、logp、coresvr、esinsert等服务日志是否有异常信息。 Logc服务日志报错 Logc服务日志出现报错 ： 20230726 10:10:27 src/LogMgr.cpp:694 "handle log but can not find asset by ip 192.168.121.35" 日志分析：平台页面不存在IP为192.168.121.35的资产。 解决方法：点击菜单“资产 > 资产管理”，在查询栏查询资产IP为192.168.121.35的资产，若未查询到，则新增一条。新增后，再次查看logc服务日志。 注意 新增资产时，采集方式、资产类型、资产IP需根据实际情况填写。

本页介绍了文档数据库服务如何开通跨可用区集群实例。 操作场景 文档数据库服务支持集群实例可以创建多个可用区，多可用区可以具备更高的容灾能力，应对机房级别的故障。 文档数据库服务目前仅支持部分区域创建多可用区，具体请以控制台显示为准。 操作步骤 1. 登录TeleDB数据库控制台。 2. 进入“DDS”>“实例管理”，点击页面左上方的“创建实例”按钮，进入实例订购页。 3. 选择“NoSQL数据库”在实例订购页的“基础配置"栏找到”可用区选项，分配实例各节点的可用区。 4. 主节点和备节点可以选择不同的可用区，可以具备跨可用区故障容灾的能力。 5. 其它配置项请参见文档数据库服务快速入门新建文档数据库服务实例的Ⅰ类型资源池。 6. 根据提示确认订单，完成订单支付。

本节介绍漏洞扫描服务使用概览。 漏洞扫描服务使用概览如下表所示。 子流程 说明 购买漏洞扫描服务 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 具体操作请参见订购漏洞扫描服务。 域名认证 具体操作请参见域名认证。 创建扫描任务 创建扫描任务即可对网站进行扫描，具体操作请参见创建扫描任务。 开启主机扫描 开启主机扫描即可对主机进行扫描，具体操作请参见开启主机扫描。 新增监测任务 新增监测任务即可对资产进行监测，具体操作请参见新增监测任务。 查看扫描结果 扫描完成后可以通过“任务详情”页面查看扫描结果。 网站结果，扫描请参见查看网站扫描详情。 主机扫描结果，请参见查看主机扫描详情。

连接池管理 配置TCP和HTTP的连接和请求池相关阈值，保护目标服务，避免对服务的过载访问。 熔断 配置快速响应和隔离服务访问故障，防止网络和服务调用故障级联发生，限制故障影响范围，防止故障蔓延导致系统整体性能下降或者雪崩。

本章节介绍注册配置中心常见实例问题 订购的ZooKeeper/Nacos/Eureka实例为什么没有外网地址？ 如果购买的实例没有绑定ELB，那么您的实例没有外网地址。您绑定ELB就可以用ELB的地址实现外网访问实例。 Nacos实例升级会不会影响用户正常服务？ 对于多节点集群，重启不影响用户服务，实例升级过程中，各节点服务器依次滚动重启，保证用户使用Nacos服务不间断；对于单机实例，重启可能会受到服务中断影响，所以建议生产（线上）环境使用三节点以上的集群进行服务。 生产环境下Nacos设置多少个节点比较好呢？ Nacos建议的规格书2n+1个节点，最佳值需根据实际需求和规格能力计算获得。 Nacos支持开源的Nacos控制台吗？ 默认不支持访问Nacos开源控制台。 Nacos Client支持哪些版本，推荐使用哪个版本？ Nacos Client 1.2.1版本以上均支持，推荐使用Nacos 2.x系列版本的Nacos Client。 MSE里的Nacos服务怎么下线？ 服务管理页面，选择指定的命名空间和服务名称，查看服务详情，按服务实例的维度进行下线操作。 如果 注册配置中心的某个实例被删除， 天翼云会提供恢复的解决方案吗？如果有的话需要多久能恢复？ 实例过期时间提前7天会有短信通知，实例退订后数据会保留15天，在此期间可以恢复实例。超过时间则无法恢复。

本章节进行网格安全能力概述 概述 单体应用发展成微服务架构带来了诸多便利，业务迭代更加敏捷，扩展性更好，同时为服务架构也带了新的安全考虑，如： 微服务之间通信安全问题，如何防止中间人攻击。 微服务之间的访问控制问题，对于敏感服务和信息，如何限制微服务之间的访问。 微服务之间访问频繁且关系复杂，如何追溯服务之间的调用情况，需要具备审计能力。 服务网格的安全机制提供了零信任的安全机制，很好地解决了以上问题。 服务网格安全架构 服务身份及证书管理 身份是安全的基础，只有给每个服务赋予一个身份才能在服务相互访问时对各方的身份进行认证以及对操作进行鉴权。服务网格使用证书作为网格内工作负载的身份标识，服务网格负载网格内工作负载的身份证书颁发、轮换等，为网格安全提供基础能力。 身份认证 服务网格提供两种认证机制： 对等身份认证：用于sidecar代理之间通信时的身份认证，解决sidecar之间身份认证和通信加密问题，支持基于工作负载证书的mTLS双向认证。 请求身份认证：用于外部请求进入网格内的身份认证，支持JWT及OIDC的认证方式。 授权 在微服务通信中，确定了双方的身份之后，我们还需要对客户端是否有权限访问服务端的资源进行权限检查。当前服务网格支持全局、命名空间和工作负载级别的授权策略控制，同时支持集成外部授权服务能力。

本文介绍DDoS高防（边缘云版）到期和欠费如何处理。 到期 客户购买的服务到期当天，天翼云会以短信的方式通知客户，并将冻结服务。冻结的服务允许续费、释放或删除，如客户需继续使用，则可联系客户经理执行续订操作或自行在“控制中心费用中心”进行续订； 若到期7天之后，天翼云会以短信的方式通知客户，客户未续订，资源将被释放。 产品/服务冻结时：资源将被限制访问和使用，会导致您的业务中断。 产品/服务解冻时：资源将被解除限制，但是需要您自行检查并恢复业务。 产品/服务释放时：资源将被释放，存储在资源中的数据将被删除，数据无法找回。 欠费 在天翼云账户中没有费用并欠款的情况下，天翼云会以短信的方式通知客户充值；如果客户在48小时内未付清所欠金额，并将关停客户的DDoS高防（边缘云版）服务。

本节为您介绍使用海量文件服务时四种常见的数据迁移场景。 文件系统需要挂载到计算服务后可被共享访问，可通过将文件系统挂载至一台可访问公网的弹性云主机后借助迁移工具实现数据迁移。常见的数据迁移场景有以下四种： 非天翼云数据迁移至海量文件服务 对象存数据迁移至海量文件服务 同账号不同资源池间的数据迁移 文件系统之间的数据迁移

文件系统可以通过以下几种方式进行访问： 云内通过内网访问文件系统，将文件系统挂载至归属相同VPC的云主机、容器或物理机上，挂载成功后，可以在云主机、容器或者物理机上访问海量文件系统，用户可以把海量文件系统当作一个普通的目录来访问和试用，执行读取或写入操作。 云外通过云专线访问文件系统，可以通过云专线接入海量文件服务，实现本地数据中心与海量文件服务的网络互通。 云外通过SDWAN访问文件系统，可以通过SDWAN接入海量文件服务，实现本地数据中心与海量文件服务的网络互通。

本节主要介绍安全审计 操作场景 根据云审计服务收集的日志记录，通过查询具体的、符合某一特征的记录，执行安全分析，判断用户的操作是否符合权限要求。 前提条件 已开通云审计服务且追踪器状态正常。 操作步骤 以审计最近两周云硬盘服务的创建和删除操作为例： 1. 以管理员权限登录管理控制台。 2. 单击“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务详情页面。 3. 单击左侧导航树的“事件列表”，进入事件列表界面。 4. 在事件列表界面单击“筛选”，显示过滤条件查询框，依次选择“事件来源”>“资源类型”>“筛选类型”，单击“查询”按钮执行搜索，查看过滤结果。过滤条件查询示例：依次选择“evs”>“evs”>“按事件名称”>“createVolume”或“evs”>“evs”>“按事件名称”>“deleteVolume”，单击“查询”按钮执行搜索，查询所有创建或删除EVS的操作。 5. 单击左侧导航树的“追踪器”，进入追踪器详情页面，获取OBS桶名。 6. 参照查看已归档事件下载7天之前或者所有的事件。 7. 在操作记录中，以createVolume和deleteVolume作为关键字检索，找到对应记录。 8. 从第4步和第7步的结果中，抽取操作用户信息，甄别没有授权的操作，即用户越权操作，或不符合用户自身安全操作规范的操作。

本章节主要介绍设置API可见。 操作场景 当需要修改API的在服务目录中的可见范围时，可以通过“设置可见”功能或编辑API中的“服务目录可见性”参数进行设置。 前提条件 已创建API。 通过“设置可见”功能修改API可见范围 1.在DataArts Studio控制台首页，选择实例，点击“进入控制台”，选择对应工作空间的“数据服务”模块，进入数据服务页面。 详见下图： 选择数据服务 2.在左侧导航栏选择服务版本（例如：专享版），进入总览页。 3.进入“开发API > API目录”或“开发API > API管理”页面，在待修改的API所在行，选择“更多 >设置可见”。 4.在弹出的窗口中点击添加，填写项目ID并确认，即可设置此API在服务目录中额外对以该项目下的用户可见。 详见下图：设置可见 通过“服务目录可见性”参数修改API可见范围 1.在DataArts Studio控制台首页，选择实例，点击“进入控制台”，选择对应工作空间的“数据服务”模块，进入数据服务页面。 详见下图： 选择数据服务 2.在左侧导航栏选择服务版本（例如：专享版），进入总览页。 3.进入“开发API > API目录”或“开发API > API管理”页面，在API列表操作列中，选择“编辑”。注意，仅当API处于已创建、已驳回、已下线、已停用的情况下才能进行API修改。 4.在基本配置处，修改“服务目录可见性”参数的取值，可以选择为“当前工作空间可见”、“当前项目可见”或“当前租户可见”。然后保存修改。 5.修改完成后，重新恢复或发布API，即可修改此API在服务目录中的可见范围。

参数 类型 默认值 描述 适用场景 ctyun.crypto.useUniqueDataKeyPerEncrypt boolean true 指定是否每次加密时使用唯一的数据密钥。 如果设置为true，则每次加密都会生成一个新的数据密钥。 如果设置为false，则使用相同的数据密钥进行多次加密。 适用于需要高安全性的场景，确保每次加密操作都使用不同的密钥。 ctyun.crypto.keyProvider string KMSCMK 指定密钥提供者的类型。当前支持的值为： KMSCMK，表示使用 KMS（密钥管理服务）中的 CMK（客户主密钥）。 LOCALCMK，表示从本地配置文件中读取CMK（客户主密钥）。 适用于用户按需进行配置使用 KMS 管理密钥或者本地管理密钥的场景。 ctyun.crypto.local.cmk string 本地存储的客户主密钥（CMK），用于本地加密操作。 该密钥需要以 Base64 编码形式提供。 适用于本地加密操作，不需要依赖外部 KMS 服务的场景。 ctyun.crypto.kms.ak string KMS 服务的访问密钥（Access Key），用于身份验证。 适用于需要访问 KMS 服务的场景。 ctyun.crypto.kms.sk string KMS 服务的秘密密钥（Secret Key），用于身份验证。 适用于需要访问 KMS 服务的场景。 ctyun.crypto.kms.endpoint string KMS 服务的端点地址，格式为IP:Port。 适用于需要指定 KMS 服务地址的场景。 ctyun.crypto.kms.cmkId string KMS 服务中的客户主密钥（CMK）ID，用于标识特定的 CMK。 适用于需要指定特定 CMK 的场景，dekId与cmkId不可同时为空。 ctyun.crypto.kms.dekId string KMS 服务中的数据加密密钥（DEK）ID，用于标识特定的 DEK。 适用于需要指定特定 DEK 的场景，dekId与cmkId不可同时为空。

6 产品开源声明 本产品对部分引用的开源产品进行了修改和分发，相关产品开源协议包括BSD、Apache MIT等（详细请参考《TeleDB数据库产品开源软件信息表》）。天翼云在向您提供TeleDB产品服务时已遵守相关的开源许可证的要求。您对开源软件的使用应该符合如下要求： （1） 遵守相应的开源协议规定，开源协议的约定优于本协议的约定； （2） 任何情況下，您保证不会使软件中不是开源软件的部分面临必须开源的风险。 7 产品更新 本公司有权根据产品技术发展，对现有产品进行改进，并保留对产品主动升级的权利。但您的产品是否有权利更新，取决于产品授权与合同。更新可能带来协议的更新，您需要同意更新中带协议的补充条款。 8 产品转让 用户不得将此产品进行转让或转授权，除非获得天翼云合同同意。 9 终止 如您未遵守本《协议》的各项条款和条件，在不损害其它权利的情况下，天翼云可终止本《协议》。如此类情况发生，您必须卸载该“产品”。 10 支持服务 该产品是按“当前版本协议和合同”列明提供服务，所以我们可能不为历史版本和合同范围外的提供支持服务。 11 完整协议 本协议以及您使用的补充程序、更新、基于天翼云平台的合同和服务SLA的有关条款，共同构成了该产品和支持服务的完整协议。

本章节内容主要介绍数据库存储 文档数据库服务存储的存储配置是什么 文档数据库服务存储采用云硬盘，具体情况请参考《云硬盘用户指南》。 文档数据库服务的备份数据存储采用对象存储服务，不占用用户购买的数据库空间。关于文档数据库实例存储的硬件配置，请参见《对象存储服务用户指南》。 数据超过了文档数据库实例的最大存储容量怎么办 如果您的应用程序所需的存储容量超过最大分配量，解决措施如下： 扩容存储空间。 社区版集群实例增加shard节点。 哪些内容会占用购买的文档数据库实例空间 以下内容占用购买的文档数据库实例空间： 除备份数据以外的用户正常的数据。 文档数据库实例正常运行所需的数据，比如系统数据库、数据库回滚日志、索引等。 文档数据库服务产生的日志输出文件，这些文件会保证文档数据库实例正常稳定地运行。比如oplog文件，默认占磁盘空间的10%，且不可修改oplog大小。 申请的文档数据库实例磁盘空间会有哪些系统开销 您申请的磁盘空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。

Apache Dubbo是一款RPC框架，用于实现微服务架构；Dubbo2.X版本通信层基于私有协议实现，Dubbo3的底层通信协议已经升级为HTTP/2，利用服务网格原生的HTTP治理能力就可以实现对Dubbo3服务的治理。服务网格针对使用Dubbo2的场景提供了CRD的形式实现服务治理能力，本文主要介绍服务网格对Dubbo2服务的治理和配置说明。 注意 本功能仅针对Dubbo2.X版本，如果要对Dubbo3做服务治理，基于服务网格原生DestinatinRule、VirtualService就可以实现。 操作 进入服务网格控制台 > 流量管理中心 > Dubbo协议治理 菜单下，可以创建、查看、修改、删除DubboProxyRule规则。 配置示例 服务网格提供了CRD的配置方式实现对Dubbo2服务的治理配置。如下示例 给匹配标签appdubbosamplesapiserverconsumerdubbo的Dubbo服务消费者下发访问Dubbo服务治理规则，匹配规则为： 1. 请求Dubbo接口名不限，版本号为1.0.0 2. Dubbo方法为sayHello 3. 参数0的范围在10086和11000之间 4. 请求路由到dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local的v1和v2版本，权重比例为20/80（目标服务的版本通过DestinationRule定义） apiVersion: istio.ctyun.cn/v1beta1 kind: DubboProxyRule metadata: name: testmethodparamsexact spec: workloadSelector: labels: app: dubbosamplesapiserverconsumer port: 20880 configs: name: dubboroutertestmethodparamsexact interface: '' version: 1.0.0 routes: match: method: name: exact: sayHello paramsmatch: '0': rangematch: start: 10086 end: 11000 route: destination: host: dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local subset: v1 weight: 20 host: dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local subset: v2 weight: 80