本小节介绍等保咨询都有哪些优势。 一站式服务 提供从定级、备案、自评到整改、测评等一站式等保测评指导服务。 经验丰富 联合专业等保咨询机构，提供专业快捷的等保咨询方案，已在政府、金融、医疗等多个行业有成熟案例。 管理服务 专属的安全专家，提供全程服务，协助您提供测评。 专业快速 提供专业快速的等保定级、备案、差距分析及整改的指导服务。

云容器引擎通过将Kubernetes网络和VPC深度集成，提供了稳定高性能的容器网络，能够满足多种复杂场景下工作负载间的互相访问。 约束与限制 每个命名空间下，创建的服务数量不能超过6000个。此处的服务对应kubernetes的service资源，即工作负载所添加的服务。 容器开启hostPort或hostNetwork网络模式后，若需对外提供服务，则需要给容器所在节点开启对应端口的安全组(containerPort)。 Service基本概念 Kubernetes中每一个工作负载会有一个或多个实例（Pod），每个实例（Pod）的IP地址由网络插件动态随机分配（Pod重启后IP地址会改变）。为屏蔽这些后端实例的动态变化和对多实例的负载均衡，引入了Service这个资源对象。 Service是一种资源，提供了我们访问单个或多个容器应用的能力。每个服务在其生命周期内，都拥有一个固定的IP地址和端口。每个服务对应了后台的一个或多个Pod，通过这种方式，客户端就不需要关心Pod所在的位置，方便后端进行方便的Pod扩容、缩容等操作。 用户在Kubernetes中可以部署各种容器，其中一部分是通过HTTP、HTTPS协议对外提供七层网络服务，另一部分是通过TCP、UDP协议提供四层网络服务。而Kubernetes定义的Service资源就是用来管理集群中四层网络的服务访问。 根据创建Service的type类型不同，可分成如下模式： ClusterIP ：默认类型，为服务分配集群虚拟IP，此时集群内部的pod可以通过服务名称寻址到服务的集群虚拟IP地址，集群外无效。 NodePort ：在每个节点上为服务分配静态端口号，此时如果在集群外部访问任何一个节点的IP地址加指定的端口号，kubeproxy会将流量转发到服务的集群虚拟IP，再由虚拟IP寻址到Pod。 LoadBalancer ：通过云服务供应商提供的load balancer向外部暴露服务，由指定的load balancer负责对NodePort与ClusterIP服务的路由。 ClusterIP和NodePort类型的Service，在不同云服务商或是自建集群中的行为表现通常情况下相同。而LoadBalancer类型的Service，由于使用了云服务商的负载均衡进行服务暴露，云服务商会围绕其负载均衡的能力提供不同的额外功能。例如，控制负载均衡的网络类型，后端绑定的权重调节等，详情请参见本章相关文档。 服务访问方式 在CCE中，支持以下类型的互联互通： 集群内访问（ClusterIP ） 工作负载暴露给同一集群内其他工作负载访问的方式，可以通过“集群内部域名”访问。集群内部域名格式为“ . .svc.cluster.local”，例如“nginx.default.svc.cluster.local”。详细请参见集群内访问(ClusterIP)。 节点访问（NodePort ） 节点访问 ( NodePort）是指在每个节点的IP上开放一个静态端口，通过静态端口对外暴露服务。节点访问 ( NodePort )会路由到ClusterIP服务，这个ClusterIP服务会自动创建。通过请求 : ，可以从集群的外部访问一个NodePort服务。详细请参见节点访问(NodePort)。 负载均衡 ( LoadBalancer ) 通过弹性负载均衡从公网访问工作负载，与弹性IP方式相比提供了高可靠的保障，一般用于系统中需要暴露到公网的服务。访问方式由公网弹性负载均衡ELB服务地址以及设置的访问端口组成，例如“10.117.117.117:80”。详细请参见负载均衡(LoadBalancer)。 七层负载均衡（Ingress） 通常情况下，service和pod的IP仅可在集群内部访问。集群外部的请求需要通过负载均衡转发到service在Node上暴露的NodePort上，然后再由kubeproxy通过边缘路由器 (edge router) 将其转发给相关的Pod或者丢弃，而Ingress就是为进入集群的请求提供路由规则的集合。 Ingress可以给service提供集群外部访问的URL、负载均衡、SSL终止、HTTP路由等。为了配置这些Ingress规则，集群管理员需要部署一个Ingress controller，它监听Ingress和service的变化，并根据规则配置负载均衡并提供访问入口。 Ingress的组成部分： Nginx：实现负载均衡到pod的集合。 Ingress Controller：从集群api获取services对应pod的ip到nginx配置文件中。 Ingress：为nginx创建虚拟主机。 Ingress的创建与管理请参见Ingress概述。 网络策略（NetworkPolicy） 网络策略（NetworkPolicy）是一种关于pod间及pod与其他网络端点间所允许的通信规则的规范。 NetworkPolicy资源使用标签选择pod，并定义选定pod所允许的通信规则，详细请参见NetworkPolicy。 网络底层基础设施 VPC 虚拟私有云（Virtual Private Cloud，以下简称VPC），是基于创建的自定义私有网络，不同的专有网络之间彻底逻辑隔离。可以为云服务器、云数据库和负载均衡等构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。 您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 ELB 弹性负载均衡（Elastic Load Balance，简称ELB）是将访问流量根据转发策略分发到后端多台服务器的流量分发控制服务。弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力，通过消除单点故障提升应用系统的可用性。 弹性负载均衡支持经典型、共享型两种负载均衡： − 经典型负载均衡：适用于访问量较小，应用模型简单的web业务。 − 共享型负载均衡：适用于访问量较大的web业务，提供基于域名和URL的路由均衡能力，实现更加灵活的业务转发。

本文向您介绍星辰TokenHub运营服务平台用户权限类常见问题。 主账号如何管理子账号的App Key？ 主账号自身可在“服务接入”模块，选择对应子账号的用户名称查询其创建的服务组，支持主账号对子账号创建服务组进行创建、编辑、停用、删除等操作。 主子账号在token额度使用中是什么规则？ 免费额度：每个模型被赋予不等的免费额度和免费试用期限，具体免费额度可在页面中查看，免费期限从第一次使用该模型开始计算。免费额度用完或到期后，可以付费开通服务。暂不支持开通付费服务的模型可选择部署为我的服务后继续使用。 共享机制：主/子账号共用免费额度及有效期周期额度 不可分配：不支持主账号向子账号分配额度 有效期触发：主账号任一账号首次使用模型服务即启动2周有效期倒计时 付费使用：部分模型支持开通付费tokens按量。暂不支持开通付费tokens按量的模型可转为部署为“我的服务”。 独立开通：各账号可单独开通付费服务，操作互不影响。 状态独立：各账号页面显示自身付费状态，不关联其他账号。 统一扣费：所有子账号消费均从主账号余额扣除。 举例：子账号A已开通付费，成功后即可付费使用tokens；子账号B未开通，则子账号B不可付费使用tokens。

本章节介绍服务网格全链路灰度控制的原理 在微服务架构中，对单个服务的灰度控制可以在请求进入该服务前的代理进行，比如ingress gateway或者客户端sidecar（如基于请求头部选择不同的版本的后端服务），全链路灰度中对链路中的每个服务的灰度也是基于此原理（定义DestinationRule、VirtualService实现），不同于单服务的灰度控制，全链路灰度需要调用链上的所有服务都有统一的VS、DR配置，并且需要在整个调用链上传递版本控制信息，每个服务基于统一的版本控制信息和VS、DR配置实现统一的灰度控制，这里就依赖业务必须接入链路追踪能力。服务网格全链路灰度利用链路追踪的trace id在sidecar里实现了inbound请求中的灰度控制信息透传到outbound请求，解决了灰度控制信息在调用链中透传的问题，如图所示： 步骤说明如下： 1. 用户请求时带上特定版本控制头部xversion，业务接入了分布式链路追踪系统，请求会带上traceid。 2. 经过ingress网关将请求转发到后端服务的sidecar。 3. sidecar内通过自研wasm插件在内存中缓存版本控制信息（key为traceid值，value为版本控制信息）。 4. sidecar将请求转发到业务，此时请求头部包含traceid和xversion。 5. 由于业务接入了全链路追踪，默认会透传traceid，因此app1向外部请求时也会带上traceid。 6. sidecar outbound方向从缓存中获取版本控制信息，并添加到头部中转发到app2。 7. 链路内后续的调用情况类似。 通过以上过程就是服务网格全链路灰度控制的原理。

KMS提供两类SDK，分别为服务SDK和客户端加密SDK，您可以根据业务需求选择合适的SDK。 服务SDK 服务SDK对应KMS服务实例的API，当前支持Java语言，详细内容请参见服务SDK。 客户端加密SDK 客户端加密SDK是一个在应用侧集成的密码算法库，通过与密钥管理服务结合使用，提供数据加解密、文件加解密等功能，帮助在应用本地完成大型文件数据的加解密。详细内容请参见客户端加密模块概述。

本文介绍如何创建路由。 云容器引擎平台支持对路由的URL配置，通过对应的URL将访问流量分发到对应的服务。同时，服务根据不同URL实现不同的功能。 操作步骤 1.单击左侧控制台导航栏的【资源管理】>【网络管理】，将默认进入【服务】管理页面，点击【ingress】页签，切换到【ingress】管理界面； 2.单击【创建Ingress】，进入ingress创建界面，参照下表设置参数，其中带“”的参数为必填参数； 参数 参数说明 Ingress名称 新建Ingress的名称 集群 Ingress所在集群。若没有可选集群，单击“创建集群”进行创建，操作步骤请参见集群创建 命名空间 Ingress所在命名空间。若没有可选命名空间，单击“创建命名空间”进行创建，操作步骤请参见创建命名空间 对外协议 支持HTTP和HTTPS。若选择HTTPS，SSL策略中选择SSL终端，请填写私密凭据，无合适的私密凭据，可点击创建IngressTLS类型的私密凭据，跳转到私密凭据创建页；SSL策略选择SSL穿透 对外端口 开放公网地址的端口，在对外协议中选择HTTP时，为9080；HTTPS时，为9443 域名 实际访问的域名地址，对应负载均衡服务域名地址，需用户购买备案自己的域名，可选填。一旦配置了域名规则，则必须使用域名访问 路由配置 . 访问路径：需要注册的访问路径，例如：/healthz . 服务名称：选择需要添加Ingress的服务 . 服务端口：由所选服务暴露的端口决定，不可选 . 添加映射：点击添加映射新增一行映射 3.单击【创建】，等待创建成功，创建成功后将自动返回服务列表页，可对已经创建的服务可以编辑YAML、更新、删除的操作。

本章节为您介绍数据安全专区的计费模式。 数据安全专区目前仅支持包年包月计费和一次性计费两种形式 数据脱敏与水印、数据分类分级支持包年包月计费。 数据安全咨询规划服务、数据分类分级服务支持一次性计费。 包年包月适用场景 包年包月是一种计费模式，适用于多种场景，尤其是需要稳定资源并长期使用的情况： 1.长期稳定使用 常驻服务： 适用于需要长期稳定运行的服务，如网站托管、数据库服务器、企业应用等。 2.成本可控和节约 成本控制： 对于需要长期使用的资源，包年包月可以降低长期成本，相比按需付费更为经济。 预算规划： 有助于企业预算规划，避免长期高额的变动费用，提供更稳定的费用支出。 3.稳定资源需求 资源保障： 对于有稳定资源需求的业务，如特定配置的服务器、存储或计算资源，包年包月提供稳定的资源保障。 包年包月约束与限制 包年包月的计费模式虽然有其优势，但也存在一些约束和限制，这些限制可能因服务提供商和具体服务套餐而异： 1.长期绑定 合约期限： 通常需要按照一定期限购买，可能是一年或更长时间的合约，无法随时更改或取消。 费用一次性支付： 一次性支付包年包月费用，无法根据实际使用情况灵活调整费用。 2.非弹性和限制 固定资源： 购买后资源固定，无法根据实际需求灵活调整，可能导致资源过剩或不足。 限制升级： 一些服务可能在包年包月期间限制资源的升级，只能在合同到期后进行。 3.限制服务范围 部分服务限制： 某些服务或特性可能无法包含在包年包月套餐内，需要额外付费或选择其他计费模式。 4.资费约束 费用固定性： 购买后的费用是固定的，无法根据实际使用情况进行变动或调整。

步骤三：访问ZOS服务 操作场景 终端节点与DNS终端节点服务和ZOS终端节点服务建立连接后，本地数据中心就可通过VPN连接或云专线来实现对ZOS服务的访问。 前提条件 本地数据中心通过VPN连接或云专线与云上VPC建立连接，确保数据的安全传输，并实现对ZOS的访问，需进行如下配置： VPN网关设置：确保允许访问的VPC子网网段包含了ZOS所在的网段。具体请参考VPN连接。 云专线虚拟网关设置：需要确保允许访问的VPC子网网段中包含ZOS所在的网段。具体请参考开通云专线。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入A账号登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择华东华东1。 3. 在系统首页，选择“网络>VPC终端节点”。 4. 在“终端节点”列表，点击已创建的连接到DNS服务的终端节点的名称/ID，查看该终端节点的“节点IP”。 5. 在用户本地数据中心的DNS服务器上配置相应的DNS转发规则，以将解析ZOS域名的请求转发到连接DNS服务的终端节点（部分资源池支持终端节点上启用，支持资源池以控制台展示为准，未支持资源池可直接使用地址直接访问ZOS服务）。 6. 配置用户本地数据中心节点到VPN网关或云专线网关的DNS路由。为了通过VPN或云专线访问DNS，需要配置用户本地数据中心节点的永久路由，将访问DNS的流量指向用户本地数据中心节点的专线网关或VPN网关的IP地址。 7. 验证本地数据中心与ZOS的连通性。

本章节主要介绍准备Flink作业数据。 创建Flink作业需要输入数据源和数据输出通道，即常说的Source和Sink。用户使用其他服务作为数据源或输出通道时，需要先开通相应服务。 Flink作业支持以下数据源和输出通道： OBS数据源 如果用户作业需要对象存储服务（OBS）作为数据源，则要先开通OBS服务，具体操作请参见对象存储用户指南中的有关开通OBS服务的章节。 开通OBS服务后，用户需要将本地文件通过Internet上传至OBS指定的位置，具体操作请参见对象存储用户指南中的“上传文件”章节。 RDS输出通道 如果用户作业需要RDS作为输出通道，需要创建RDS实例，具体操作请参见对应版本关系数据库产品《用户指南》中“创建实例”章节。 SMN输出通道 如果用户作业需要SMN作为输出通道，需要先在SMN中创建主题，获取URN资源标识，再添加订阅。 Kafka数据源和输出通道 如果用户作业需要Kafka作为数据源和输出通道，则必须要通过创建增强型跨源连接与Kafka进行对接，具体操作请参见增强型跨源连接。 如果Kafka服务端的端口监听在hostname上，则需要将Kafka Broker节点的hostname和ip的对应关系添加到跨源连接中。 CloudTable数据源和输出通道 如果用户作业需要CloudTable作为数据源和输出通道，需要先在CloudTable中创建集群，获取集群ID。 云搜索服务输出通道 如果用户作业需要云搜索服务作为输出通道，需要先在云搜索服务中创建集群，获取集群内网访问地址。具体操作请参见云搜索服务用户指南中的“快速入门”章节。 DCS输出通道 如果用户作业需要DCS作为输出通道，需要先在DCS中创建Redis类型的缓存实例，获取Redis实例连接地址。

本节介绍了内网访问的用户指南。 背景 为了优化用户体验，容器镜像服务现已支持内网访问功能。通过此功能，您可以在指定的虚拟私有云 (VPC) 内建立一条内网访问通道，实现从该 VPC 内网直接访问容器镜像服务。 启用内网访问后，将在您选择的 VPC 中自动完成以下配置： 创建 VPC 终端节点 (VPCE)： 用于建立 VPC 与容器镜像服务公共 VPC 服务之间的内网连接。 配置内网DNS解析：确保 VPC 内的实例能够通过容器镜像服务的内网域名正确解析到VPCE地址。 操作步骤 1. 登录容器镜像服务控制台。 2. 在左侧导航栏，点击内网访问。 首次使用授权：如果您是第一次使用内网访问功能，系统会提示您进行授权委托。这是为了允许容器镜像服务在您的 VPC 内创建必要的网络资源。请仔细阅读授权内容，确认并完成授权。授权成功后，系统将为您创建一个名为 CtyunAssumeRoleForCRS 的服务委托。 3. 选择需要接入的 VPC。 您可以根据实际需求选择以下方式接入 VPC： 单个 VPC 接入： 在 VPC 列表中，找到您需要开通内网访问的 VPC，点击该 VPC 所在行的接入按钮。默认选择该VPC的第一个子网创建VPCE，如需指定子网创建VPCE，可下拉子网列表进行选择。 批量 VPC 接入： 如果您需要为多个 VPC 同时开通内网访问，可以勾选多个 VPC，然后点击列表上方的 批量接入按钮。默认选择每个VPC的第一个子网创建VPCE，如需指定子网创建VPCE，可下拉子网列表进行选择。 4. 取消 VPC 接入 (可选)： 如果您需要取消某个已接入内网访问的 VPC，可以找到该 VPC，点击其所在行的取消接入按钮。 注意 由于创建 VPC 终端节点需要一定时间，接入过程可能需要稍作等待。如果遇到提示 “VPCE 创建中，请稍后重试发起请求，以继续创建内网 DNS 记录” 的报错信息，请稍等片刻后点击 批量重试 按钮，系统将继续为您完成接入操作。

本页面主要介绍云专线对接的云审计服务使用和查看方法。 操作场景 本服务现已对接天翼云++云审计服务++，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考++使用限制云审计++。 操作步骤 1、开通云审计服务。 参见++开通云审计服务云审计++。 2、查看云审计事件。 参见++查看审计事件云审计++。 3、在事件列表中，选择事件来源为“广域云网”，资源类型选择“云专线”，上方时间选择需要筛选的时间段。点击查询即可。 4、在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考++用户指南、++++常见问题++。

本页面主要介绍弹性云主机对接的云审计服务使用和查看方法。 操作场景 本服务现已对接天翼云++云审计服务++，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考++使用限制云审计++。 操作步骤 1. 开通云审计服务。 参见++开通云审计服务云审计++。 2. 查看云审计事件。 参见++查看审计事件云审计++。 3. 在事件列表中，选择事件来源为“计算”，资源类型选择“云主机”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考++用户指南、++++常见问题++。

本页面主要介绍云主机备份对接的云审计服务使用和查看方法。 操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表中，选择事件来源为“计算”，资源类型选择“云主机”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

本章节主要介绍 ALM13008 ZooKeeper Znode数量使用率超出阈值。 告警解释 系统每小时周期性检测ZooKeeper服务数据目录下二级znode状态，当检测到二级znode的总数量超过阈值时产生该告警。 告警属性 告警ID 告警级别 是否自动清除 13008 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 服务目录 产生告警的目录名称。 角色名 产生告警的角色名称。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 向ZooKeeper数据目录空间写入大量数据，导致ZooKeeper无法对外正常提供服务。 可能原因 往ZooKeeper数据目录空间写入大量数据。 自定义阈值设置不合理。 处理步骤 检查告警目录是否写入大量数据 1. 登录FusionInsight Manager，选择“集群 > 待操作集群的名称 > 服务 >ZooKeeper”，单击“资源”，在精细化监控“资源使用（按二级Znode）”中单击“按Znode数量”，查看监控中是否有顶级Znode被写入较多数据。 是，执行步骤2。 否，执行步骤4。 2. 登录FusionInsight Manager，选择“运维 > 告警 > 告警”，打开告警“ALM13008 ZooKeeper Znode数量使用率超出阈值”左侧下拉菜单，在“定位信息”的“服务目录”中获取告警的Znode路径。 3. 以集群用户登录ZooKeeper客户端，删除告警对应Znode下的无用数据。 4. 登录FusionInsight Manager，选择“集群 > 待操作集群的名称 > 服务 >ZooKeeper > 配置 > 全部配置”，搜索“max.znode.count”，即ZooKeeper目录的数量配额的最大值，告警阈值为该值的80%，修改调大该配置项，单击“保存”，重启服务使配置生效。 5. 观察界面告警是否清除。 是，处理完毕。 否，执行步骤 6。

本章节主要介绍ALM19018 HBase合并队列超出阈值的告警。 告警解释 系统每300秒周期性检测HBase服务的compaction队列长度，当检测到HBase服务的compaction队列长度超过告警的阈值（默认100）时产生该告警。当compaction队列长度小于告警的阈值时，告警恢复。 说明 说明 若集群启用了多实例功能且安装了多个HBase服务，请根据“定位信息”的“服务名”值来确定具体产生告警的HBase服务。例如“定位信息”中显示服务名HBase1，处理步骤中的操作对象也应由HBase调整为HBase1。 告警属性 告警ID 告警级别 是否自动清除 19018 次要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 对系统的影响 产生该告警表示HBase服务的compaction队列长度已经超过规定的阈值，如果不及时处理，可能会导致集群性能下降，影响数据读写。 可能原因 HBase RegionServer数太少。 HBase 单个RegionServer上Region数过多。 HBase RegionServer堆大小较小。 资源不足。 相关参数配置不合理。 处理步骤 检查相关配置是否合理 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警”，查看是否存在告警ID为“19011”的告警。 是，单击对应告警右侧的“查看帮助”并按照帮助文档进行处理，执行步骤3。 否，执行步骤2。 2.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > HBase > 配置 > 全部配置，搜索“hbase.hstore.compaction.min”，“hbase.hstore.compaction.max”，“hbase.hstore.compactionThreshold”，“hbase.regionserver.thread.compaction.small”和“hbase.regionserver.thread.compaction.throttle”，适当调大其值。 3.观察界面告警是否清除。 是，处理完毕。 否，执行步骤4。

本章节主要介绍数据治理中心 DataArts Studio主要应用场景。 云上数据平台快速搭建 快速将线下数据迁移上云，将数据集成到云上大数据服务中，并在DataArts Studio的界面中就可以进行快速的数据开发工作，让企业数据体系的建设变得如此简单。 优势 数据集成一键式操作 通过在服务界面配置化操作，可实现线上线下数据快速集成到云数据仓库。 支持多种数仓服务类型 根据需求，可以灵活选择数据服务类型，可以选择DWS服务建数仓，也可以选择MRS服务等数据平台。 安全稳定、降低成本 一站式的服务能力和稳定的数仓服务，让云上数据万无一失；免自建大数据集群、免运维，极大降低企业建设数仓成本。 详见下图：云上数据平台

本页介绍如何通过数据库管理服务DMS查看文档数据库服务DDS慢日志。 操作场景 在成功创建文档数据库服务DDS实例后，您可以登录数据库管理服务DMS，对数据库实例进行慢日志查询操作。 前置条件 已完成文档数据库服务DDS实例的快速创建。详情参考 快速创建文档数据库服务DDS实例。 操作步骤 1. 进入TeleDB数据库控制台。 2. 依次点击“DDS”>“实例管理”，通过控制台登录DMS（具体操作可参考通过DMS登录DDS实例文档）。 3. 进入DMS页面后，在左侧导航栏中选择“SQL治理”>“慢SQL”，进入慢SQL管理页面。 4. 选择需要查看的DDS实例，即可查看该实例的慢日志趋势图及相关慢日志列表。 说明 目前并非所有资源池都支持DDS直接登录数据管理服务DMS的功能，当前支持该功能的资源池参考数据管理服务产品介绍使用限制。后续将持续加载其他资源池，敬请解DMS相关功能，请参见：数据管理服务产品介绍。

本节主要介绍构建微服务应用 典型业务应用场景 应用场景 对于传统的单体架构项目，不同的业务模式必须采取统一的技术方案及技术平台，每个业务模块也不能独立出来复用，系统中一个模块出现问题会导致整个系统不可用。随着企业业务的复杂度不断提升，传统单体架构模式越来越臃肿，难以适应灵活多变的业务需求，微服务应用可以完美解决上述问题。 价值 通过应用微服务化，企业可将一个臃肿的系统拆分成若干小的服务组件，组件之间的通讯采用轻量的协议完成，实现各组件生命周期管理的解耦。 随着业务增长，服务会遇到各种意外情况，如：瞬时大规模并发访问、服务出错、入侵等情况。使用微服务架构可以对服务做细粒度管控，支撑业务需求。 ServiceStage可承载微服务应用的全生命周期管理。支持Java、Go、Node.js、Docker、Tomcat等运行环境，可无侵入托管Apache ServiceComb Java Chassis、Spring Cloud、Dubbo、服务网格等微服务应用，另外还提供配置管理、监控运维和服务治理等更多功能，让企业微服务应用上云更简单。 优势 ServiceStage提供了业内领先的微服务应用解决方案，具有以下优势： 支持原生ServiceComb、Spring Cloud、Dubbo和Service Mesh多种微服务框架，无需更改业务代码直接托管上云。 API First，支持基于Swagger的API管理。 支持多语言微服务，如JAVA、Go、Node.js等。 提供服务中心、配置中心、仪表盘、微服务灰度发布等功能。 提供容错、限流、降级、熔断、错误注入、黑白名单等全套微服务治理策略。可针对业务场景进行界面化操作，极大提高了服务治理的可用性。 实现Spring Cloud、Java Chassis和Go Chassis之间的互相发现。 持续集成和持续交付

参数 描述 端口范围 存储服务以及未指定端口的服务将从此范围中自动取值。 取值：整型，取值为[1, 65535]。默认取值为2000020500。 说明 建议指定的端口范围至少包含500个端口。 iSCSI服务 指定iSCSI端口号，默认端口号为3260。 数据服务 指定数据服务端口。 管理服务 指定管理服务端口号。

训推服务广泛应用于多种场景,本文带您更快了解训推服务经典应用场景。 模型训练 向下纳管智算硬件资源，提供技术运维及训练加速。向上通过模型开发平台提供大模型训练全链路功能，简化操作，提升效率。封装训练所需的底层技术，缩小训练者所需掌握的技术范围，降低大模型开发技术门槛。 主要用户包括各基础大模型厂商，各种拥有行业和场景专业知识与数据的行业客户，如科研院所、大专院校和教育机构、政府、金融机构、工业企业、科技单位、医院等。 模型推理 向下纳管智算硬件资源，提供技术运维服务及推理加速。向上通过模型服务平台提供部署好的模型服务，并集成丰富配套工具，提供模型推理一站式部署服务。 主要用户包括各种软件开发商，特别是行业软件开发商，以及科研院所、大专院校和教育机构、政府、金融机构、工业企业、科技单位、医院等行业客户。 算力运营 智算平台可部署在客户的智算资源上，对算力资源进行统一管理、统一调度，赋能客户算力运营能力，帮助客户通过算力运营和销售取得收益。 主要客户包括各种算力运营商，如各行业大型企业集团、政府旗下的基建投资公司等。

Token服务广泛应用于多种场景,本文带您更快了解模型推理服务经典应用场景。 模型推理 向下纳管智算硬件资源，提供技术运维服务及推理加速。向上提供高性能的模型调用服务，可以通过标准的API接口将平台提供的大模型服务集成到自己的业务系统中，提供模型推理一站式部署服务。 主要面向用户：各种软件开发商，特别是行业软件开发商，以及科研院所、大专院校和教育机构、政府、金融机构、工业企业、科技单位、医院等行业客户。 模型应用 大模型与插件工具的结合能够有效拓展其在复杂任务中的实用性，支持接入私有知识库增强领域应答，集成联网搜索获取实时信息。 主要面向用户：需要组合模型和工具提供智能办公、智能客服、智能运维能力以及业务主要为知识密集型场景和特定内容生成的企业。

智算一体机集成一站式智算服务平台，提供大模型训练、推理、应用等全栈AI工具链服务。包含数据管理、模型开发与训练、模型评估、模型管理、服务部署等模块。 序号 主要功能/性能 解决客户问题 1 数据集管理 实现创建数据集、导入数据、管理数据和数据标注功能，帮助用户操作管理数据。 2 模型开发与训练管理 & 模型精调 实现快速微调、模型开发管理、训练任务管理、开发环境管理功能。提供多种开发工具和开发环境，也支持用户上传开发环境。客户可根据自身情况，灵活选择模型开发方式，进行模型训练迭代。 3 模型管理 实现导入模型、管理模型、模型评估功能。帮助客户对模型进行版本管理，性能测评。 4 模型部署 实现模型服务的部署、管理和密钥的管理。解决客户在训练迭代大模型后，在线测试模型推理、上下文理解等性能。 5 模型广场 一站式智算服务平台支持多种主流开源大模型API调用，为客户提供在线试用体验。 6 模型服务 实现账户的模型服务开通、应用的模型服务权限管理，支持查看调用情况和告警信息。方便客户管理模型服务权限。 7 运营运维平台 实现用户运营、资源运营、监控调度、配额及权限设置功能。方便客户进行运营运维操作。 8 AI算力 解决AI应用中所需要的算力资源，包含昇腾、英伟达等多样算力。

本文介绍弹性容器实例ECI的产品优势。 全托管免运维 提供全托管的Serverless架构服务，您只需提交容器镜像，就可以直接使用天翼云提供的基础设施来运行您的容器。您不再需要预先创建集群或者维护集群，不需要关心底层服务器、容量规划等问题，只需专注于业务领域的创新。 安全隔离 提供虚拟机级别的安全和资源隔离能力，每个容器实例都运行在独占内核中，不与其它负载和Pod共享基础设施资源。同时针对容器运行环境进行了深度优化，具备比虚拟机更快的启动速度和运行效率。 弹性高效 针对全链路进行了性能优化，提供了高并发创建能力，使得容器实例的弹性伸缩可以在秒级完成，而无需提前预估集群容量和业务流量，从而轻松应对百倍的业务突发流量。 低成本 无需管理底层基础设施，从而将复杂的基础设施维护和业务开发解耦开来，降低运维成本。一方面，ECI可以根据业务流量自动弹性伸缩，减少空置费用。另一方面，用户只需对容器占用的资源付费，避免了业务不活跃时段的费用开销，从而降低了使用成本。 服务集成 自动集成天翼云的其它服务，例如容器镜像服务、存储服务、网络服务和各种中间件服务，以实现网络安全访问、日志采集、数据持久化存储、服务监控等功能。

本节介绍了服务端加密的相关内容。 服务端加密简介 关系型数据库服务的管理控制台目前支持数据加密服务（Data Encryption Workshop，简称DEW）托管密钥的服务端加密，即使用数据加密服务提供的密钥进行服务端加密。 数据加密服务通过使用硬件安全模块 (Hardware Security Module，简称HSM) 保护密钥安全的托管，帮助用户轻松创建和控制加密密钥。用户密钥不会明文出现在硬件安全模块之外，避免密钥泄露。对密钥的所有操作都会进行访问控制及日志跟踪，提供所有密钥的使用记录，满足监督和合规性要求。 当启用服务端加密功能后，用户创建实例和扩容磁盘时，磁盘数据会在服务端加密成密文后存储。用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。 使用服务端加密方式加密磁盘 用户首先需要在数据加密服务中创建密钥（或者使用数据加密服务提供的默认密钥）。创建实例时，在“磁盘加密”项选择“加密”，选择或创建密钥，该密钥是最终租户密钥，使用该密钥进行服务端加密，使磁盘更安全。 已通过统一身份认证服务添加关系型数据库所在区域的KMS Administrator权限。 如果用户需要使用自定义密钥加密上传对象，则需要先通过数据加密服务创建密钥。目前关系型数据库只支持对称密钥。 RDS购买磁盘加密后，在实例创建成功后不可修改磁盘加密状态，且无法更改密钥。选择“磁盘加密”，存放在对象存储服务上的备份数据不会被加密。 设置了磁盘加密或备份数据加密后，提醒您保存好密钥，一旦密钥被禁用、删除或冻结，会导致数据库不可用，并且可能无法恢复数据，具体场景如下： − 针对磁盘加密，备份数据不加密的场景：可以通过备份恢复到新实例的方式恢复数据。 − 针对磁盘加密，并且备份数据加密的场景：无法恢复数据。 选择磁盘加密的实例，新扩容的磁盘空间依然会使用原加密密钥进行加密。

目前推理服务提供Chat和Image、Embeddings三类接口。 功能分类 支持模型类别 请求路径后缀 请求完整路径 功能描述 chat 文本生成、图像理解 /chat/completions 针对描述会话的消息列表，模型将返回响应。 image 文本生图 /images/generations 基于提示创建图像。 Embeddings 文本向量化 /embeddings 创建表示输入文本的嵌入向量

本页对文档数据库服务DDS实例回收站进行说明。 文档数据库服务实例进入回收站后，用户可以在回收站中对实例进行重建、续费操作。 使用场景 某用户有一个包周期文档数据库服务实例，用户主动退订实例，该实例进入实例回收站。 某用户有一个按需文档数据库服务实例，用户主动退订实例，该实例进入实例回收站。 某用户有一个包周期文档数据库服务实例，因为到期被冻结后，15天内该用户可以在实例回收站对该实例续费和重建。 某用户有一个按需文档数据库服务实例，因为欠费停服后，15天内该用户在完成账户充值后，实例将自动移到实例列表。 约束限制 手动退订及欠费超过15天的按需、包周期实例均无法在实例回收站进行实例重建恢复。 操作步骤 1. 进入TeleDB数据库控制台。 2. 点击“DDS”>“回收站”按钮进入实例回收站页面。 3. 找到需要操作的实例，点击“重建”按钮。 4. 跳转到新实例开通页面，选择对应规格，进行下单支付操作，即可完成回收站实例重建操作。 注意 重建的实例默认会创建在原实例所在的可用区，规格与原实例相同。 重建的实例会根据进入回收站之前最近一次全量备份数据进行实例重建操作。 如果实例在进入回收站之前没有进行全量备份，将无法进行回收站实例重建操作。

OpenSearch实例已接入云监控服务事件管理,主动触发上报,可订阅告警。 云搜索服务定义了部分系统事件，当实例达到对应事件的触发条件时，实例会主动将其推送至云监控服务中，您可以前往云监控服务>事件监控中查看。 已纳入云监控的事件 事件类型 推送事件 对象 集群健康类 实例健康状态异常 实例 集群健康类 节点磁盘使用率过高（90%） 节点 集群健康类 实例变为只读 实例 集群健康类 实例索引是否只读 实例 系统故障类 实例存在节点离线 实例 系统故障类 节点磁盘故障 节点 您可利用云监控中的告警能力对指定事件设置告警通知。操作步骤参考：创建告警规则

介绍分布式消息服务Kafka监控安全风险 分布式消息服务Kafka提供资源和操作监控能力，可以对每个消息实例实时监控、告警和通知操作。用户可以实时掌握实例、主题、消费组的生产消费情况，包括流量、堆积量、重平衡次数等关键信息。 分布式消息服务Kafka支持的监控指标等内容，参考监控信息。

操作场景 为已创建的站点复制对修改名称。 操作步骤 1. 登录管理控制台。 2. 单击服务列表，选择“存储 > 存储容灾服务 SDRS”.进入“存储容灾服务”页面。 3. 在“异步复制”页面，“站点复制对列表”中，选中需要更改的站点复制对，“站点复制对名称”列出现修改图标。 4. 单击修改图标，在弹框内输入新名称。 5. 单击“确认”完成修改。

本小节介绍DDoS高防IP产品定义。 “天翼云DDoS高防IP”用户无需额外安装任何软件和部署硬件设备，无需人员培训，不受主备线路更换的限制。“天翼云DDoS高防IP”将多个云平台业务统一配置天翼云抗DDoS服务，电信天翼云会为每个独立的一级域名网站提供高防解析域名/IP地址，而后客户仅需将平台的域名CNAME解析更改新分配的IP，接入高防机房平台即可享受全面的DDoS攻击防护服务。 “天翼云DDoS高防IP”利用BGP实现了对攻击流量牵引导流的秒级全网生效，一条策略配置，全网生效；支持境内、境外流量防护。 DDoS防护服务在客户使用流量监控服务基础之上，向用户提供“天翼云DDoS高防IP”客户端、自服务界面、热线申告、邮箱申告四种服务方式。

操作场景 节点访问 ( NodePort )是指在每个节点的IP上开放一个静态端口，通过静态端口对外暴露服务。节点访问 ( NodePort )会路由到ClusterIP服务，这个ClusterIP服务会自动创建。通过请求 : ，可以从集群的外部访问一个NodePort服务。 约束与限制 “节点访问 ( NodePort )”默认为VPC内网访问，如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 创建service后，如果服务亲和从集群级别切换为节点级别，连接跟踪表将不会被清理，建议用户创建service后不要修改服务亲和属性，如需修改请重新创建servcie。 同一个节点内的容器不支持访问externalTrafficPolicy为local的service。 工作负载创建时设置 您可以在创建工作负载时通过控制台设置Service访问方式，本节以nginx为例进行说明。 步骤 1 参考创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)，在“工作负载访问设置”步骤，单击“添加服务”。 访问类型：选择“节点访问 ( NodePort )”。 说明： 如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 Service 名称：自定义服务名称，可与工作负载名称保持一致。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载实际监听的端口，取值范围为165535。 − 访问端口：容器端口映射到节点私有IP上的端口，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 步骤 2 完成配置后，单击“确定”。 步骤 3 单击“下一步：高级设置”进入高级设置页面，直接单击“创建”。 步骤 4 单击“查看工作负载详情”，在访问方式页签下获取访问地址，例如“192.168.0.160:30358”。 工作负载创建完成后设置 您可以在工作负载创建完成后对Service进行配置，此配置对工作负载状态无影响，且实时生效。具体操作如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”，在工作负载列表页单击要设置Service的工作负载名称。 说明： 如果当前Service被关联到Ingress，则更新Service的端口信息后Ingress将不可用，需要删除重建。 步骤 2 在“Service”页签，单击“添加Service”。 步骤 3 在“添加Service”页面，访问类型选择“节点访问 ( NodePort )”。 说明： 如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 步骤 4 设置节点访问参数： Service 名称：自定义服务名称，可与工作负载名称保持一致。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作 负载：要添加Service的工作负载，此处不可修改。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到节点私有IP上的端口，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 步骤 5 单击“创建”。工作负载已添加“节点访问 ( NodePort )”的服务。 验证访问方式 步骤 1 在管理控制台首页，单击“计算 > 弹性云主机”。 步骤 2 在弹性云主机页面，找到同一VPC内任意一台云服务器，并确认连接到访问地址中IP与端口的安全组是开放的。 步骤 3 单击“远程登录”，弹出登录页面，输入用户密码登录。 步骤 4 使用curl命令访问工作负载验证工作负载是否可以正常访问。 说明： 节点访问(NodePort)会在集群内节点上分配一个虚拟IP，即可以在集群内部通过虚拟IP的验证方式验证。其中，虚拟IP访问端口默认与容器端口一致。 如果需要使用弹性IP通过公网访问该服务，请提前在集群的节点上绑定弹性IP。 curl 192.168.0.160:30358 其中“192.168.0.160:30358”为步骤4中获取到的访问地址，即节点虚拟IP+访问端口。 回显如下表示访问成功。 Welcome to nginx! body { width: 35em; margin: 0 auto; fontfamily: Tahoma, Verdana, Arial, sansserif; } Welcome to nginx! If you see this page, the nginx web server is successfully installed and working. Further configuration is required. For online documentation and support please refer to Thank you for using nginx. 更新Service 您可以在添加完Service后，更新此Service的端口配置，操作步骤如下： 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”，在Service页签下，选择对应的集群和命名空间，单击需要更新端口配置的Service后的“更新”。 步骤 2 在更新Service页面，访问类型选择“节点访问 ( NodePort )”。 步骤 3 更新节点访问参数： Service 名称：您创建的Service名称，此处不可修改。 集群名称：工作负载所在集群的名称，此处不可修改。 命名空间：工作负载所在命名空间，此处不可修改。 关联工作负载：要添加Service的工作负载，此处不可修改。 服务亲和： − 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 − 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 端口配置： − 协议：请根据业务的协议类型选择。 − 容器端口：容器镜像中工作负载程序实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 − 访问端口：容器端口映射到节点私有IP上的端口，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 步骤 4 单击“更新”。工作负载已更新Service。

本小节介绍日志审计(原生版)场景下的程序日志定位告警异常处理实践。 应用场景 日志审计（原生版）已经采集到日志，但未触发对应告警。 前提准备 进入日志审计（原生版）平台。 通过控制台进入日志审计（原生版）实例。 告警服务逻辑 告警涉及服务：esinsert、alarmMgr、eventanalysvr。 告警涉及流程： eventana（告警解析）：通过Kafka接收logp解析的日志，根据告警规则解析该日志是否符合告警条件，符合条件则将该告警信息转发给alarm。 alarm：通过Kafka接收eventana的告警信息，并触发告警，产生告警。 esinsert（录入ElasticSearch）将产生的告警录入ElasticSearch。 查看程序 点击“系统配置 > 系统运维”，在服务管理中，查看相关服务状态，出现异常时，点击“重启”重启程序，大约1分钟后刷新页面，再次查看服务状态是否正常。 查看程序日志 点击“系统配置 > 系统运维”，在服务管理中，点击“导出日志”，可导出服务日志。按流程步骤依次查看esinsert、alarmMgr、eventanalysvr等服务日志是否有异常信息。 中间件故障 各程序报告日志出现报错 ：Broker transport failure: 127.0.0.1:9092/0: Connect to ipv4127.0.0.1:9092 failed 日志分析：9092为Kafka服务端口，该提示说明Kafka服务出现异常。