本文介绍边缘安全加速平台学术加速版本的情况。 产品介绍 边缘安全加速平台学术加速是天翼云旗下一款提供海外教育资源加速服务的应用软件，基于天翼云优质的边缘网络资源与加速技术，有效解决高校访问海外教育资源时的访问体验差、合规性无保障等问题，满足高校师生访问跨境学术资源、海外线上学术会议、跨境教育SaaS应用等场景的加速需求，帮助学生拓展学习视野，获得最佳的学术体验。 套餐和版本概述 天翼云边缘安全加速平台学术加速支持包年包月套餐和固定资源包计费模式。目前学术加速版本主要是分为：个人版、企业版。 版本功能列表 下表描述了主要功能模块在不同版本中的支持情况。 √：表示在当前版本中支持。 ×：表示在当前版本中不支持。 分类 功能 描述 个人版 企业版 国外学术资源加速 一键加速 提供国外学术加速开关，可以进行海外saas应用加速。 √ √ 国外学术资源加速 桌面终端 提供PC端的客户端程序，支持Windows，MacOs系统。 √ √ 国外学术资源加速 移动终端 提供移动端的APP程序，支持IOS、安卓系统手机。 √ √ 国外学术资源加速 身份权限管控 支持按身份，角色，用户组，组织架构等进行授权和管控。 × √ 国外学术资源加速 认证管理 支持添加自定义认证源，添加企微等第三方认证源，统一企业接入零信任服务的登录认证管理。 × √ 终端管理 终端列表 终端资产进行盘点、展示，用于分析。 × √ 产品服务 日志审计 提供日志审计功能，进行访问行为审计。 × √ 客户端功能 一键加速 学术加速开关，可以进行海外saas应用加速。 √ √ 客户端功能 我的收藏 用于管理用户收藏学术网站。 √ √ 客户端功能 教育加速资源 提供学术加速资源列表，可直接点击访问。 √ √ 客户端功能 最近访问 提供最近访问记录。 √ √ 客户端功能 常用服务 支持快捷诊断和应用诊断。 √ √ 客户端功能 用量统计 提供加速流量统计。 √ √ 客户端功能 修改个人信息 密码、手机号等。 √ √ 客户端功能 我的订购 展示用户购买资源包和使用情况查看。 √ × 客户端功能 问题反馈 可点击上报问题反馈。 √ √ 客户端功能 公告 提供系统公告展示。 √ √ 客户端功能 版本更新 提供版本更新检测和客户端下载。 √ √

参数 描述 平台名称 向上级联的平台名称。 SIP服务国标编码 该信息一般由上级平台提供，也可以由上下级平台协商确定，用于上下级平台相互身份鉴权。 SIP服务国标域 SIP服务国标域默认截取SIP服务国标编码的前10位。 SIP服务IP/端口 由上级平台提供。 设备国标编号 下级平台的国标编号。 级联区域 上下级平台进行级联的区域，一般选择较近的区域即可。 网络类型 默认选择互联网，专线网络需要天翼云提供IP和端口信息。 开启鉴权 根据级联需要选择开启/关闭鉴权功能。 SIP认证用户名 对应上级平台接入信息设备国标ID。 SIP认证密码 对应上级平台关联的GB28181凭证的凭证密码。 级联方式 根据GB 28181协议标准，支持虚拟业务组和行政区划两种方式（ 将会影响平台下设备目录的构建方式 ）。 所属行业 根据GB 28181协议标准，选择所属行业。 上级级联区域 选择上级平台的所属区域。 信令传输 支持TCP和UDP两种协议。 字符集 支持GB2312和UTF8两种字符集，UTF8涵盖更广泛的中文字符范围，而GB2312在平台兼容性方面表现更为稳定。在平台对接中，若未明确指定字符集，建议优先选择GB2312。 35114国密认证 开启35114国密认证，需要上级平台支持。开启后，您需要在级联平台页面创建证书请求并上传相关证书。 注册周期 注册周期不小于300秒。 心跳周期 心跳周期不小于60秒。 分组目录大小 执行目录推送任务的时候，单个消息包含的目录数量。 权限集合 支持复选，包含云台、流保活和录像下载。 是否使用通道的实际名称 开启该功能，NVR通道向上级联使用通道的实际名称，仅支持GB28181协议和EHOME协议。 级联映射 上下级平台因防火墙等情况无法访问时，开启该选项，可分别配置本地和上级地址映射。 描述 请输入平台级联的相关描述，例如平台属性、用途等。

下载CRL 1. 使用管理员账号登录数字证书认证系统。 2. 在左侧导航栏选择“CRL管理 > CRL列表”，进入“CRL列表”页面。 3. 选择需要下载的CRL，单击“操作”列的“下载”按钮，即可下载CRL。

方法二：使用命令行工具删除消费组 以下操作命令以Linux系统为例进行说明： 步骤 1 下载Kafka命令行工具1.1.0版本或者Kafka命令行工具2.3.0版本或者Kafka命令行工具2.7.2版本，确保Kafka实例版本与命令行工具版本相同。 步骤 2 使用命令行工具连接Kafka实例，具体步骤请参考连接未开启SASL的Kafka实例或连接已开启SASL的Kafka实例。 步骤 3 在“/{命令行工具所在目录}/kafka{version}/bin/”目录下，执行以下命令删除消费组。 ./kafkaconsumergroups.sh bootstrapserver {kafka连接地址} delete group {消费组} [root@zkserver1 bin] ./kafkaconsumergroups.sh bootstrapserver 192.168.1.245:9091,192.168.1.86:9091,192.168.1.128:9091 delete group bbbb Note: This will not show information about old Zookeeperbased consumers. Deletion of requested consumer groups ('bbbb') was successful. 说明 如果Kafka实例开启SASL认证，则以上命令还需要增加SASL认证的“consumer.properties”配置文件参数： commandconfigSASL认证的consumer.properties配置文件} ，“consumer.properties”配置文件参考

本章节主要介绍使用HBase客户端 。 操作场景 该任务指导用户在运维场景或业务场景中使用HBase客户端。 前提条件 已安装客户端。例如安装目录为“/opt/hadoopclient”，以下操作的客户端目录只是举例，请根据实际安装目录修改。 各组件业务用户由系统管理员根据业务需要创建。 “机机”用户需要下载keytab文件，“人机”用户第一次登录时需修改密码。 非root用户使用HBase客户端，请确保该HBase客户端目录的属主为该用户，否则请参考如下命令修改属主。 chown user:group R 客户端安装目录 /HBase 使用Hbase客户端（MRS 3.x之前版本） 1. 以客户端安装用户，登录安装客户端的节点。 2. 执行以下命令切换到客户端目录。 cd /opt/hadoopclient 3. 执行以下命令配置环境变量。 source bigdataenv 4. 如果当前集群已启用Kerberos认证，执行以下命令认证当前用户，当前用户需要具有创建HBase表的权限，具体请参见“用户指南 > 管理现有集群 > MRS多用户权限管理 > 创建角色”配置拥有对应权限的角色，参考“用户指南 > 管理现有集群 > MRS多用户权限管理 > 创建用户”章节，为用户绑定对应角色。如果当前集群未启用Kerberos认证，则无需执行此命令。 kinit 组件业务用户 例如，kinit hbaseuser。 5. 直接执行HBase组件的客户端命令。 hbase shell

配置项 说明 用户名 必须为中文字符、字母、数字、下划线“”、点“.”或短横“”，最大长度64字符。 启用 单击“启用”后的开关，设置添加用户后是否立即启用用户。 角色 指定用户角色，包括内置角色和用户自定义角色，必填。 密码/确认密码 创建并确认新建用户的登录密码。密码长度6~64位，当启用强密码功能后需符合密码强度要求。修改密码时新旧密码不能相同。 手机号 设置用户的手机号。 邮箱 设置用户的邮件地址。 认证方式 用户登录系统时的认证方式。 登录IP/MAC限制 对用户登录系统时使用的IP/MAC进行限制。包括不限制、黑名单和白名单三种模式。 登录时间限制 限制用户登录系统的时间。

密码机类型 功能 适用场景 服务器加密机 数据加密/解密、数据签名/验签、数据摘要、支持MAC的生成和验证 满足各种行业应用中的基础密码运算需求，比如身份认证、数据保护、SSL密钥和运算卸载等。 金融加密机 支持PIN码的生成/加密/转换/验证 支持MAC生成及验证 支持CVV生成及验证 支持TAC生成及验证 支持常用Racal指令集 支持PBOC3.0常用指令集 满足金融领域密码运算需求，比如发卡系统、POS系统等。 签名服务器 签名/验签、编码/解码数字信封、编码/解码带签名的数字信封、证书验证 满足签名业务相关需求，比如CA系统、证书验证、大量数据的加密传输和身份认证。

本节主要介绍申请开通 已实名认证的天翼云企业类型帐号可申请开通企业项目管理。 前提条件 请确保您已拥有天翼云企业帐号，若您还没有帐号，请先进行注册。 请确保您的企业账号已完成实名认证。 开通步骤 步骤 1 企业管理员使用已注册的天翼云企业帐号登录天翼云网门户。 步骤 2 单击顶部右侧“管理中心”，在管理中心页面单击页面顶部右侧“工单”。 步骤 3 在工单中心业务，单击左侧导航菜单“新建工单”。 步骤 4 在新建工单页面，所属产品选择“会员账号”，单击卡片右侧的“提问”按钮。 步骤 5 问题分类点选“其它问题”，在创建工单业务，填写工单标题/工单内容为“申请开通企业项目管理”。 步骤 6 填写联系方式等信息，单击“确认提交”完成企业项目管理开通申请。

本章节为您介绍如何申请证书。 证书申请分为两种：PKCS10申请和UKEY申请。 PKCS10申请是指使用P10请求文件的形式进行证书的申请。 UKEY申请是将用户信息录入进行证书的申请。 申请PKCS10证书 1. 登录数字证书认证系统。 2. 在左侧导航栏选择“证书申请 > PKCS10申请”，进入“PKCS10申请”页。 3. 选择证书模板，选择CA证书，填写证书有效期。 注意 证书模板中公钥算法要与证书请求文件中公钥的算法一致。 4. 根据业务需求选择是否使用模板。 5. 选择完成后单击“提交”即完成PKCS10证书申请。 UKEY申请 1. 登录数字证书认证系统。 2. 在左侧导航栏选择“证书申请 > UKEY申请”，进入“UKEY申请”页。 3. 选择所属的“CA”，并且选择“密钥算法”、“密钥长度”、“签名算法”和“有效期”。 4. 选择“模板”并且填写相关信息。 5. 填写完成后，单击“提交”并且在弹出的对话框中选择UKEY类型，并且将UKEY与您的设备连接后单击“确定”。

本文为您介绍统一身份认证IAM。 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等，更多信息，请参见“第2步：创建自定义策略”。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略 ：预置的系统策略，您只能使用不能修改。云硬盘备份VBS相关的系统策略包含如下： VBS Admin：云硬盘备份服务的管理者权限，包含云硬盘备份所有控制权限（不含订单类权限）； VBS Viewer：云硬盘备份服务的观察者权限，包含云硬盘备份服务的列表页与详情页面权限； 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，请参见“[第2步：创建自定义策略](

本文将为您介绍云专线统一身份认证与权限管理。 基本介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限，具体介绍说明详见：产品定义。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素左作用（Effect）、权限集（Action）等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略： 1、系统策略 ：预置的系统策略，您只能使用不能修改。云专线相关的系统策略包含如下： CDA admin：云专线服务的管理者权限，包含云专线服务所有控制权限（不含订单类权限）； CDA viewer：云专线服务的观察者权限，包含云专线服务的列表页与详情页面权限； 2、自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，具体配置说明详见：创建自定义策略。

本文将为您介绍天翼云SDWAN统一身份认证与权限管理。 基本介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限，具体介绍说明详见：产品定义。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素左作用（Effect）、权限集（Action）等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略： 1. 系统策略 ：预置的系统策略，您只能使用不能修改。云专线相关的系统策略包含如下： sdwan admin：天翼云SDWAN服务的管理者权限，包含天翼云SDWAN服务所有控制权限； sdwan viewer：天翼云SDWAN服务的观察者权限，包含天翼云SDWAN服务的列表页与详情页面权限； 2. 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，具体配置说明详见：创建自定义策略。

本文为您介绍新增/测试/编辑/删除/远程连接设置非天翼云云主机的具体操作。 新增非天翼云云主机 使用条件 进行新增非天翼云云主机等相关资源同步操作前，需创建命名空间。 新增非天翼云云主机时，需选择分区类型存在三方数据中心的命名空间。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“资源管理”“云主机”，进入云主机列表页。 5. 点击列表上方标签页中“非天翼云云主机”栏，进入非天翼云云主机列表页。 6. 在列表上方下拉菜单中选择需要进行新增非天翼云云主机操作的命名空间。 7. 点击页面右上角“新增非天翼云云主机”按钮，跳转新增非天翼云云主机页面。 8. 填写新增非天翼云云主机相关信息，各配置项信息如下： 参数 是否必填 配置说明 云主机实例名 √ 填写云主机实例名，同命名空间下非天翼云云主机实例名称需唯一。 长度为263字符。 所属分区 √ 选择当前命名空间下云主机所属分区。 操作系统类型 √ 选择操作系统类型，可选Linux/Windows。 操作系统版本 √ 填写操作系统版本。 长度为263字符。 IP地址 √ 输入云主机IP地址，该地址需为多活容灾服务平台能与其连通的IP地址。 每个字段的数据范围为0255，不可填0.0.0.0或255.255.255.255。 若IP与系统中已有天翼云云主机或非天翼云云的公网IP重复，需用户确认相关警告。 配置 × 填写或选择当前云主机的配置。 CPU数值范围为1512，内存数值范围为12048。 远程连接 √ 选择远程连接是否开启，默认开启。 连接协议 √ 远程连接开启时显示。所选操作系统为Linux时，连接协议展示为SSH，所选操作系统为Windows时，连接协议展示为WinRM。 连接端口 √ 远程连接开启时显示。填写连接端口，所选操作系统为Linux时，默认为22，所选操作系统为Windows时，默认为5985。 端口范围为165535。 认证方式 √ 远程连接开启时显示。选择认证方式，所选操作系统为Linux时，可选密码/密钥对，所选操作系统为Windows时，可选密码。 用户名 √ 远程连接开启时显示，填写认证用户名。 长度最多为63位。 密码 √ 远程连接开启且认证方式为密码时显示，填写认证密码。 长度最多为63位。 密钥文件 √ 远程连接开启且认证方式为密钥时显示，填写密钥文件。 长度最多为5000字符。 其他执行用户 √ 远程连接开启且操作系统类型为Linux时显示，选择是否开启其他执行用户，默认关闭。 执行用户名 √ 远程连接开启、操作系统为Linux、开启其他执行用户时显示，填写执行用户名。 长度最多为63位。 执行用户密码 √ 远程连接开启、操作系统为Linux、开启其他执行用户时显示，填写执行用户密码。 长度最多为63位。 描述 × 填写描述。 长度为0100个字符。 连接状态 √ 调试当前云主机状态，点击“测试”按钮进行连接测试，测试状态可为未知、连接成功、连接失败、测试中。 9. 点击“确定”按钮，完成新增非天翼云云主机。

参数名 说明 取值样例 名称 连接的名称，根据连接的数据源类型，用户可自定义便于记忆、区分的连接名。 mrslink Manager IP MRS Manager的浮动IP地址，可以单击输入框后的“选择”来选定已创建的MRS集群，CDM会自动填充下面的鉴权参数。 127.0.0.1 认证类型 访问MRS的认证类型： SIMPLE：非安全模式选择Simple鉴权。 KERBEROS：安全模式选择Kerberos鉴权。 SIMPLE Hive版本 Hive的版本。根据服务端Hive版本设置。 HIVE3X 用户名 选择KERBEROS鉴权时，需要配置MRS Manager的用户名和密码。从HDFS导出目录时，如果需要创建快照，这里配置的用户需要HDFS系统的管理员权限。 如果要创建MRS安全集群的数据连接，不能使用admin用户。因为admin用户是默认的管理页面用户，这个用户无法作为安全集群的认证用户来使用。您可以创建一个新的MRS用户，然后在创建MRS数据连接时，“用户名”和“密码”填写为新建的MRS用户及其密码。 说明 如果CDM集群为2.9.0版本及之后版本，且MRS集群为3.1.0及之后版本，则所创建的用户至少需具备Managerviewer的角色权限才能在CDM创建连接；如果需要对MRS组件的库、表、列进行操作，还需要参考MRS文档添加对应组件的库、表、列操作权限。 如果CDM集群为2.9.0之前的版本，或MRS集群为3.1.0之前的版本，则所创建的用户需要具备Manageradministrator或Systemadministrator权限，才能在CDM创建连接。 仅具备Managertenant或Managerauditor权限，无法创建连接。 cdm 密码 访问MRS Manager的用户密码。 OBS支持 需服务端支持OBS存储。在创建Hive表时，您可以指定将表存储在OBS中。 否 运行模式 “HIVE3X”版本支持该参数。支持以下模式： EMBEDDED：连接实例与CDM运行在一起，该模式性能较好。 STANDALONE：连接实例运行在独立进程。如果CDM需要对接多个Hadoop数据源（MRS、Hadoop或CloudTable），并且既有KERBEROS认证模式又有SIMPLE认证模式，只能使用STANDALONE模式。 说明 STANDALONE模式主要是用来解决版本冲突问题的运行模式。当同一种数据连接的源端或者目的端连接器的版本不一致时，存在jar包冲突的情况，这时需要将源端或目的端放在STANDALONE进程里，防止冲突导致迁移失败。 EMBEDDED 检查Hive JDBC连通性 是否需要测试Hive JDBC连通性。 否 是否使用集群配置 用户可以在“连接管理”处创建集群配置，用于简化Hadoop连接参数配置。 否 属性配置 其他Hive客户端配置属性。

字段 说明 备注 监控（观察） 若触发策略，则记录处置记录，并将该用户的内网访问行为记录到威胁防护日志 挑战认证 若触发策略，则不允许访问内网，触发挑战认证弹窗，用户需短信验证码校验通过后才允许继续访问内网，并将该用户的内网访问行为记录到威胁防护日志 访问阻断 若触发策略，处置周期内不允许访问内网，直到恢复处置时，才允许继续访问，在恢复处置前，将该用户的内网访问行为记录到威胁防护日志 注销登录 若触发策略，将对已经登录客户端用户进行注销登录，登出处理，用户再次登录后，待不再匹配到策略才会放行登录，否则会再次注销登录处理

参数 参数说明 取值样例 资产 填写需添加资产账号的资产名（资产名需和堡垒机控制台上显示的一致），请确保待添加的账号可以正常登录该资产。 Test 账号名 填写可登录资产的账号名，例如：Administrator。 Administrator 密码 （可选）输入正确的账号密码。若不输入密码，则在登录资产时需要填写正确的密码才可登录。 协议 （可填多项）请选择资产的协议，支持填写：SSH、TELNET、SFTP、FTP、X11、RDP和数据库。 状态 （可选）选择账号当前的状态，支持“正常”和“冻结”，导入模板时若不填写该项，默认为“冻结”状态。 正常 私钥 （可选）若账户登录需要使用私钥验证，你上传的私钥认证优先级高于密码认证。

本文将介绍如何自定义控制台创建您的用户与组织列表,用于您的企业员工登录零信任客户端进行身份认证。 背景说明 企业员工在登录客户端时需要进行身份认证，本文主要介绍服务控制台创建用户与组织信息。 注意 如果已订购零信任服务或终端管理，可使用该功能进行创建用户，适用于登录AOne客户端；如果已订购“学术加速企业版”，可使用该功能创建用户，适用于登录学术加速客户端。 功能介绍 支持通过手动创建进行用户与组织关系构建。 支持通过表格模板批量导入进行用户与组织关系构建。 用户与组织列表管理，支持对用户重置密码，禁用账号，查看用户具备的应用系统权限等。 完成企业用户与组织信息构建后 ，您可以基于用户与组织关系进行差异化的应用权限管理和零信任策略下发。 操作步骤 1. 登录边缘安全加速控制台。 2. 在AOne零信任、AOne终端管理，AOne学术加速三个工作台进行操作。 3. 在左侧导航栏身份用户与组织，查看并处理用户与组织配置。 用户配置 用户信息字段说明 注意 建议账号不与手机号、邮箱重复，若重复，则以账号为主（如账号A为手机号1 , 账号B的手机号也为手机号1，则登录时采用手机号1则以账号A进行身份认证）。 字段 字段说明 备注 姓名 非必填，可填写员工姓名用于身份标识。 账号 必填，用于登录和唯一标识的账号，不可修改，可包含数字、符号（仅支持“” 、“·”），不允许企业内账号重复。 归属组织 勾选归属组织，默认位置为您的根组织节点，组织信息来源于组织分页管理的组织列表。 若使用批量导入用户功能，则此字段需要填写组织全路径，不同级别组织之间使用“”分隔，例如xx一级组织xx二级组织。 状态 用户状态分为正常、禁用和锁定。 若被锁定，则用户账号状态显示为“锁定”，若想将用户进行解锁正常登陆，请点击更多的解锁按钮 。 用户组 非必填，勾选适合的用户组，用户组信息来源于用户组管理栏目配置的用户组列表。 手机号 非必填，默认不允许企业内员工手机号重复，手机号可设置直接登录认证，或用于开启二次认证功能后的校验码接收。 邮箱 非必填，默认不允许企业内员工邮箱重复，邮箱可设置直接登录认证，或用于开启二次认证功能后的校验码接收。 初始密码 非必填，支持自定义填写密码，也支持点击自动生成按钮随机生成密码。若未设置则默认初始化密码，设置的密码均需满足登录策略密码策略配置的要求。 出于安全考虑，首次采用初始化密码必须修改密码，建议可采用“忘记密码”直接重置密码。 若使用批量导入用户功能，则无此字段，系统会根据密码策略自动生成用户初始密码。 是否审批负责人 非必填，定义其是否为审批负责人，仅定义是审批负责人的人员，才可被其他员工选中为其审批负责人。 审批负责人 非必填，主要用于权限申请环节，若配置需要审批负责人审核，则员工对应的审批负责人将进行审批。 员工属性 非必填，可定义员工属性，如外协、正式，其他。 备注 非必填，填写用户备注的一些信息。 账号有效期 非必填，若未选择，则默认是永久有效，可选择账号到期时间，在到期时间之后，该账号将被设置为禁用状态，被禁用的账号在登录后将进行拦截，需重新设置有效期，其账号状态才变成启用。若是被手动禁用的账号，在账号有效期过期后，除重新设置有效期外，还需手动进行账号启用。 通知方式 注意 目前该能力需提交工单或联系专属运营进行操作。 批量新增用户或单用户新增时刻进行选择是否通知用户。 目前仅支持短信通知，若未配置手机号则不进行发送通知。 通知内容：出于安全考虑可以默认仅通知账号，员工可通过“忘记密码”进行重置密码后登录；若同时勾选密码，则会发送初始密码+账号，首次登录将强制要求进行修改密码。

卷被挂载到容器的文件系统类型，支持xfs，ext4 readOnly: "false" isMultipath: "true" 是否使用multipath chapEnable: "false" 是否使用CHAP认证 chapUser: "username" chapPassword: "password" 卷模式为Block，创建PV csipvlocalblockstor2lunb1。参考examplesblockvolumesstaticpvcsipvlocalblock.yaml中的示例。 plaintext apiVersion: v1 kind: PersistentVolume metadata: 元数据 name: csipvlocalblockstor2lunb1 PV的名称 labels: 标签 app: csipvlocalblockstor2lunb1 spec: capacity: storage: 22Gi 卷容量，单位为GiB，此处配置的卷容量应等于HBlock中创建的卷容量 volumeMode: Block 卷模式，支持Filesystem和Block模式，默认为Filesystem模式。 accessModes: 访问模式，Block模式的卷支持ReadWriteOnce、ReadOnlyMany、ReadWriteMany ReadWriteOnce persistentVolumeReclaimPolicy: Retain 持久化卷回收策略，支持Retain和Delete csi: driver: stor.csi.k8s.io HBlock CSI插件 volumeHandle: "stor2:lunb1" 指定HBlock卷 volumeAttributes: readOnly: "false" 是否以只读方式挂载卷 isMultipath: "false" 是否使用Multipath，HBlock单机版时，取值false chapEnable: "false" 是否使用CHAP认证 PV的YAML配置文件参数描述 参数 描述 是否必填 driver HBlock CSI驱动名称。 取值：HBlock CSI安装时的驱动名称。 是 accessModes 访问模式。 取值： ReadWriteOnce：卷可以被一个节点以读写的方式挂载。 ReadOnlyMany：卷可以被多个节点以只读方式挂载。filesystem模式下，卷需要提前格式化。 ReadWriteMany：卷可以被多个节点以读写方式挂载。仅Block模式的卷支持。 是 volumeHandle 指定具体的HBlock卷名称，格式为clusterID:lunName。 clusterID：指定HBlock的标识，在csiconfigMap.yaml中唯一。详见配置HBlock访问地址。 lunName：HBlock中创建的卷名称。 是 volumeAttributes.fsType 卷被挂载到容器的文件系统类型，支持xfs，ext4。 说明 卷模式为filesystem时必填。 条件 volumeAttributes.readOnly 是否以只读方式挂载卷。 取值： "true"。 "false"。 默认值为"false"。 注意 这里需要输入字符串，即"true"或"false"。 否 volumeAttributes.isMultipath 是否使用Multipath。 取值： "true"。 "false"。 默认值为"true"。 注意 这里需要输入字符串，即"true"或"false"。 如果HBlock集群版使用的HBlock卷没有启用高可用模式，即highAvailability为Disabled，此处需要设置为"false"，否则会导致pod启动失败。 如果是HBlock单机版，此处需要设置为"false"。 条件 volumeAttributes.chapEnable 是否使用CHAP认证。 取值： "true"。 "false"。 默认值为"false"。 注意 这里需要输入字符串，即"true"或"false"。 否 volumeAttributes.chapUser CHAP认证的用户名。需要对CHAP认证的用户名源码使用DecryptData配置的密钥对进行AES（ECP、paddingcs7）加密，加密后的结果进行Base64编码，具体详见配置加密模式。 源码：字符串形式，长度范围是3~64，只能由字母、数字、句点( . )、短横线( )、下划线( )、冒号( : )组成，字母区分大小写，且仅支持以字母或数字开头。 否 volumeAttributes.chapPassword CHAP认证的密码。需要对CHAP认证的密码源码使用DecryptData配置的密钥对进行AES（ECP、paddingcs7）加密，加密后的结果进行Base64编码，具体详见配置加密模式。 源码：字符串形式，长度范围是12~16，只能由字母、数字或下划线( )组成，字母区分大小写。 否 注意 如要使用加密方式配置CHAP密码，请参考配置加密模式。 PV的回收策略告诉集群，在PV被释放之后集群应该如何处理该PV。当前，PV可以被Retain（保留）、 Recycle（再利用）或者Delete（删除）。HBlock CSI插件目前仅支持Retain和Delete，不支持Recycle。 回收策略 Retain 使得用户可以手动回收资源。当 PersistentVolumeClaim 对象被删除时，PersistentVolume 卷仍然存在，对应的数据卷被视为“已释放（released）”。由于卷上仍然存在着前一申领人的数据，该卷还不能用于其他申领。管理员需要手动回收该卷。 对于回收策略为Delete的卷配置，删除动作会将PersistentVolume 对象从Kubernetes中移除，同时也会从外部基础设施中移除所关联的存储资产。动态供应的卷会继承其StorageClass中设置的回收策略，该策略默认为Delete。管理员需要根据用户的期望来配置StorageClass。注意，如果PV中使用的是HBlock已经提前创建的卷，则不能通过Kubernetes来删除该卷。

本文介绍边缘安全加速平台的产品优势。 随着全球在线业务的发展，企业拓展业务的趋势日益增长，这也为用户体验和数据资产安全带来了更为复杂的挑战。 AOne边缘安全加速平台提供了加速、计算和安全为一体的服务，为您的业务运营提供全方位的保障。 极致的加速体验 优质的资源覆盖： CN2 和 163 互备支撑，所有节点和 IDC 出口并行，避免峰值带宽拥堵。 智能高效：智能分离站点内容，实现网络智能加速。 传输优化：基于先进的内核技术及自研的私有协议，大幅提升传输效率。 多业务加速：支持 http / https 协议加速、上传加速、websocket 加速、IPv6 升级等。 37层一体化防护 DDoS 防护：提供分布式DDoS攻击清洗，超百G节点大区粒度覆盖，防护总带宽超过12T。结合云原生、智能调度能力，实现资源动态扩容，攻击调度，满足用户三网防护需求，保障业务可用性。 Web 安全防护：基于 AI+ 规则的 Web 攻击识别，有效防御 SQL 注入、XSS 跨站脚本攻击等 OWASP TOP 10的关键 Web 风险。 Bot管理：基于已知Bot情报、精准访问控制、客户端特性识别、人机交互验证、机器学习等智能识别与检测技术，对业务流量进行实时检测和分析，智能识别并区分真实用户流量与各类Bot流量。 API 安全防护：基于安全可靠的接入认证方式，保证 API 访问安全。 持续认证动态评估：持续认证过程引入RBAC（基于角色的访问控制）与ABAC（基于属性的访问控制）鉴权体系，能根据角色及用户属性、环境属性、资源属性等综合授予用户访问权限。 全链路HTTPS：支持全链路HTTPS安全传输方案，防劫持防篡改，保护数据安全。 基于全网的HTTPDNS防劫持：支持用户通过HTTPDNS协议访问天翼云服务器，绕过运营商的LocalDNS解析，避免域名在解析阶段被劫持。 全周期安全保护：基于可信授权、最小授权、持续认证、业务隐身、终端安全、应用安全、链路安全等核心能力，对访问过程进行持续的安全保护，实现在任意网络环境中安全访问企业资源。

本文主要介绍使用SASL证书连接。 本文主要介绍在命令行模式下使用SASL证书连接Kafka实例的操作，其中包含内网访问和公网访问两种连接场景。 在使用SASL证书的场景下，通过内网访问和通过公网访问，仅涉及连接IP和端口不一致，其他操作步骤是一样的，内网访问的连接端口为9093，公网访问的连接端口为9095。 文中仅介绍公网访问的连接示例，如果使用内网访问时，替换为相应的连接地址即可。 说明 Kafka实例的每个代理允许客户端单IP连接的个数默认为1000个，如果超过了，会出现连接失败问题。您可以通过 前提条件 1.已配置正确的安全组，安全组规则请参考准备环境中的安全组规则 。 2.已获取连接Kafka实例的地址。 如果是使用内网通过同一个VPC访问，实例端口为9093，实例连接地址获取如下图。 图 使用内网通过同一个VPC访问Kafka实例的连接地址（实例已开启SASL） 如果是公网访问，实例端口为9095，实例连接地址获取如下图。 图 公网访问Kafka实例的连接地址（实例已开启SASL） 3.已获取开启的SASL认证机制。 在Kafka实例详情页的“连接信息”区域，查看“开启的SASL认证机制”。如果SCRAMSHA512和PLAIN都开启了，根据实际情况选择其中任意一种配置连接。如果页面未显示“开启的SASL认证机制”，默认使用PLAIN机制。 图 开启的SASL认证机制 4.如果Kafka实例未开启自动创建Topic功能，获取Topic名称。 在实例的Topic管理页签中获取（可选）步骤三：创建Topic中创建的Topic名称。 图 查看Topic名称 5.已购买ECS，并完成JDK安装、环境变量配置以及Kafka开源客户端下载，具体操作请参考准备环境。

本章节主要介绍修改admin密码。 该任务指导用户定期修改集群用户“admin”的密码，以提升系统运维安全性。 修改该密码会导致已经下载的用户凭证不可用，请修改该密码后重新下载认证凭据并替换旧凭据。 在集群节点修改admin密码 更新主管理节点客户端，具体请参看更新客户端（3.x之前版本）。 1. 登录主管理节点。 2. （可选）若想要使用omm用户修改密码，请执行以下命令切换用户。 sudo su omm 3. 执行以下命令切换到客户端目录，例如“/opt/client”。 cd /opt/client 4. 执行以下命令配置环境变量。 source bigdataenv 5. 执行以下命令，修改“admin”密码。此操作在整个集群中生效。 kpasswd admin 先输入旧密码，再输入两次新密码。 集群中，默认的密码复杂度要求： 密码字符长度至少8位。 至少需要包含大写字母、小写字母、数字、空格、特殊字符'~!@ $%^&()+[{}];:'", /?中的3种类型字符。 不能与用户名或倒序的用户名相同。 在MRS Manager页面修改admin密码 开启Kerberos认证的集群和开启弹性公网IP功能未开启Kerberos认证的集群支持通过MRS Manager界面修改admin密码。 用admin帐户登录MRS Manager页面。 1. 单击页面右上角用户名，选择“修改密码”。 2. 在修改密码页面，输入“旧密码”、“新密码”、“确认新密码”。 说明 默认的密码复杂度要求： 密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、空格、特殊字符'~!@

DCS在使用时与其他服务配合使用，本节简单介绍虚拟私有云、弹性云主机、统一身份认证服务、云监控服务、云审计服务以及对象存储服务。 DCS缓存服务与其他服务的关系 虚拟私有云 虚拟私有云（Virtual Private Cloud，简称VPC）是用户在云上申请的隔离的、私密的虚拟网络环境。用户可以自由配置VPC内的IP地址段、子网、安全组等子服务。 分布式缓存服务运行于虚拟私有云，由虚拟私有云协助管理IP和带宽。虚拟私有云还具备安全组访问控制功能，通过绑定安全组并设置访问规则，可以增强访问分布式缓存服务的安全性。 弹性云主机 弹性云主机（Elastic Cloud Server，简称ECS）是一种可随时自助获取、可弹性伸缩的云服务器，帮助用户打造可靠、安全、灵活、高效的应用环境。 成功申请分布式缓存服务后，您可以通过弹性云主机创建的弹性云主机，连接和使用分布式缓存实例。 统一身份认证服务 统一身份认证（Identity and Access Management，简称IAM）是系统的身份管理服务，包括用户身份认证、权限分配、访问控制等功能。 通过统一身份认证服务，实现对分布式缓存服务的访问控制。 云监控服务 云监控服务（Cloud Eye）是云上提供的安全、可扩展的统一监控方案，通过云监控服务集中监控DCS的各种指标，基于云监控服务实现告警和事件通知。

参数 是否必填 参数类型 说明 示例 Authorization 是 String 用于验证请求合法性的认证信息

参数 是否必填 参数类型 说明 示例 Authorization 是 String 用于验证请求合法性的认证信息

参数 是否必填 参数类型 说明 示例 Authorization 是 String 用于验证请求合法性的认证信息

参数 是否必填 参数类型 说明 示例 Authorization 是 String 用于验证请求合法性的认证信息

参数 是否必填 参数类型 说明 示例 Authorization 是 String 用于验证请求合法性的认证信息

参数 是否必填 参数类型 说明 示例 Authorization 是 String 用于验证请求合法性的认证信息

本节主要介绍重置管理员密码。 操作场景 GeminiDB Influx支持重置数据库管理员密码，建议您定期修改密码，以提高系统安全性，防止出现密码被破解等安全风险。 使用须知 实例状态为“正常”、“备份中”、“恢复检查中”、“存储扩容中”，以及个别节点异常时，支持重置密码。 开启操作保护的用户，在进行敏感操作时，通过进行二次认证再次确认您的身份，进一步提高账号安全性，有效保护您安全使用云产品。 方法一 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择目标实例，单击操作列“更多 > 重置密码”。 4. 输入新管理员密码及确认密码，单击“确定”。 所设置的密码长度为8～32位，必须是大写字母、小写字母、数字、特殊字符~!@ %^+?的组合。 5. 若您已开启操作保护，在弹出框，单击“去验证”，跳转至验证页面，单击“免费获取验证码”，正确输入验证码并单击“认证”，页面自动关闭。 方法二 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择目标实例，单击实例名称，进入“基本信息”页面。 4. 在“数据库信息”区域，单击“管理员账户名”处的“重置密码”。 5. 输入新管理员密码及确认密码，单击“确定”。 所设置的密码长度为8～32位，必须是大写字母、小写字母、数字、特殊字符~!@ %^+?的组合。 6. 若您已开启操作保护，在弹出框，单击“去验证”，跳转至验证页面，单击“免费获取验证码”，正确输入验证码并单击“认证”，页面自动关闭。

介绍媒体存储割接IAM注意相关事项。 割接升级公告 关于2024年11月13日媒体存储、云点播产品功能变更的公告 割接说明 媒体存储自2024年11月13日起，从原先CDN+IAM切换至天翼云统一身份认证IAM（以下简称“CTIAM”），媒体存储主子账号体系已与CTIAM互通，您可以通过CTIAM统一的主子账号体系对媒体存储产品的资源、权限进行管理，保证天翼云账号管理的一致性。 割接后，主、子账号将统一使用天翼云官网登录。 子账号使用在天翼云CTIAM配置的认证邮箱、手机号码登陆。 注意 因存量子账号割接迁移时，邮箱会被初始化填入一个类似xxxxx@1000xxxx.vipctcdn.cn的虚拟邮箱，该虚拟邮箱是子用户在原CDN+IAM的登陆凭证，手机号会默认填入一个虚拟手机号码，该号码并非该子用户的真实号码，无法接收到来自于天翼云的各类短信和邮件通知，所以存量子账号首次登录时，需先重置登录凭证才可登录，可参考本章节中的【存量子账号登录凭证重置】。 存量子账号说明 相关术语 增量子账号：自2024年11月13日起从CTIAM统一认证管理平台新增的子账号。 存量子账号：自2024年11月13日前主账号通过原CDN+IAM创建的子账号。

本小节介绍证书管理服务产品简介。 证书管理服务（Certificate Management Service‌，CCMS）是一款集证书购买、申请及安全应用于一体的云上证书管家，提供SSL证书管理、私有（内网）证书管理和个人证书管理功能，并支持一键部署证书、证书托管等服务。该服务支持国密和国际算法，帮助用户实现数据传输加密和身份认证，保障数据安全。 SSL证书管理 SSL证书是一种遵守SSL协议的数字证书，用于在互联网上建立安全通信连接，常用于网站安全加密，是保护网站数据的必备证书。 提供企业型（OV）、增强型（EV）、域名型（DV）多种SSL证书，便于企业根据自身业务场景灵活选择。 可以在证书管理服务控制台上购买SSL证书，并向CA机构提交证书申请，待CA机构审核通过并签发证书后，你可以下载证书并将其安装到您的应用服务器中。 支持将第三方证书上传到证书管理服务控制台进行统一管理。 支持一键部署SSL证书至天翼云其他云产品中，还提供了证书托管功能，可以自动替换天翼云上云产品证书。 私有（内网）证书管理 私有（内网）证书是CA颁发的内部专用数字凭证，用于内网身份认证、系统间加密通信和设备安全管理。 提供私有（内网）证书的全生命周期管理能力，包括购买、申请、下载、吊销等。 个人证书管理 个人证书是由CA机构核验身份后颁发的数字凭证，用于强身份认证、电子签名和加密通信等场景。 提供个人证书的全生命周期管理能力，包括购买、申请、下载、吊销等。

此小节介绍企业主机安全服务版本差异。 企业主机安全有基础版、专业版、企业版、旗舰版、网页防篡改版和容器版供您选择，主要功能包括：总览、资产概览、主机管理、容器管理、资产指纹、漏洞管理、基线检查、容器镜像安全、应用防护、网页防篡改、勒索病毒防护、文件完整性管理、容器防火墙、主机入侵检测、容器入侵检测、白名单管理、策略管理、历史处置记录、安全报告和安全配置等。每个版本支持的功能存在差异，您可以根据自身的业务需求选择合适的版本。 如有等保二级认证 的需求，需使用 企业版 。 如有等保三级认证 的需求，需使用 旗舰版 。 如有网站过等保认证 的需求，需使用 网页防篡改版 。 如果主机涉及重要资产或存在高风险情况（例如：对外暴露EIP、保存有关键资产、存在数据库等），建议使用 旗舰版或者网页防篡改版 。 如有网站或关键系统防篡改需求，以及有应用安全防护需求的主机，推荐使用 网页防篡改版 。 如有镜像安全、容器运行时安全需求，以及需要满足等保合规 容器化部署业务，推荐使用 容器版 。 总览 呈现云上资产整体安全评分和防护配置情况等，方便您掌握资产安全动态。 表11 总览功能介绍 服务功能 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 支持的操作系统 检测周期 总览 实时展示所有资产的安全评分、安全风险和防护地图，帮助您了解主机和容器的安全状态以及存在的安全风险。 √ √ √ √ √ √ Linux、Windows 实时检测