步骤1：创建应用 1、登录天翼云官网，进入【公有云生态专区】应用列表页，订购Server节点。 选择“GPUStack集群版Server”，点击“立即订购”。 2、在开通应用页面按提示订购“GPUStack集群版Server'”，点击确认下单并确认配置后，点击“立即购买”进行付款，付款成功即可创建应用。 3、订购Worker节点。选择“GPUStack集群版Worker”，点击“立即订购”。 4、在开通应用页面按提示订购“GPUstack集群版Worker”，点击确认下单并确认配置后，点击“立即购买”进行付款，付款成功即可创建应用。 步骤2：进入应用 1、在【我的应用】页，查看GPUstack集群版Server应用状态，当应用状态为运行中时，代表Server服务部署完成。点击“查看应用”，进入应用详情页。 2、点击“立即使用”或在浏览器中输入复制的应用入口，即可访问 GPUStack。

本文主要介绍IP地址组。 IP地址组是多个IP地址的集合，用来统一管理具有相同安全要求或需要频繁修改的IP地址。 对于需要使用黑名单和白名单，在监听器上设置访问控制策略的用户，开启白名单或黑名单时必须选择一个IP地址组，从而实现允许或者限制IP地址组中的IP访问负载均衡的监听器。 同一个IP地址组，最多可以关联50个监听器。目前IP地址组既支持IPv4地址又支持IPv6地址。 天翼云部分二类节点正在升级，以支持IP地址组能力，敬请用户随时关注。 创建IP地址组 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 选择“服务列表 > 网络 > 弹性负载均衡”。 4. 在“IP地址组”界面，单击“创建IP地址组”。 5. 配置IP地址组参数。 IP地址组参数说明表 参数 说明 样例 名称 IP地址组的名称。 ipGroup01 企业项目 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 IP地址 需要通过白名单或黑名单进行访问控制的IP地址。每行一个IP地址或一个网段，以回车结束； 每个IP地址或者网段都可以用“”分隔添加备注，如“192.168.10.10丨ECS01”， 备注长度范围是0到255字符，不能包含<>；每个IP地址组最多可添加300个IP地址和网段。 说明：如果IP地址组未包含任何IP地址，当访问控制选择白名单时，则对应的负载均衡监听器禁止任何IP地址访问。 10.168.2.24 10.168.16.0/24 描述 IP地址组相关信息的描述说明。 6. 确认参数配置，单击“确定”。

本节主要介绍如何通过客户端连接Redis 前提条件 请根据客户端程序的部署位置，完成下述操作： 1. 天翼云弹性云主机（推荐）：确保CTECS实例与Redis实例属于同一VPC（虚拟私有云）下。 2. 本地服务器 分布式缓存Redis实例默认仅提供内网连接地址，通过公网连接时您需要手动申请公网连接地址。具体操作，请参见购买弹性IP。 针对不同的网络环境或操作系统，获取本地设备公网IP地址的方式可能不一致。以下是不同系统通过命令方式获取本地设备公网IP地址的参考方法： a.Linux操作系统：打开终端，输入curl ifconfig.me命令后回车。 b.Windows操作系统：打开命令提示符，输入curl ip.me命令后回车。 c.macOS操作系统：打开终端，输入curl ifconfig.me命令后回车。 注意：如果您的Redis实例为集群架构，实例默认会提供Proxy（代理）节点的连接地址，连接密码为“ 实例名称 实例密码 ”。 如何获取连接信息 在使用客户端程序连接Redis实例时，通常您需要获取以下信息并设置在代码中： 需获取的信息 获取方式 实例的连接地址 Redis实例支持多种连接地址，推荐使用专有网络连接，可获得更高的安全性和更低的网络延迟。更多信息，请参见查看连接地址。 实例的账号（部分客户端程序无需设置） 针对集群版实例，您可以创建一个新的账号并赋予不同的权限。更多信息，请参见创建与管理账号。 所选实例账号的密码 根据选取账号的不同，密码的填写格式有一定区别： ● 默认账号（以实例名称命名的账号）：直接填写密码即可。 ● 新创建的账号：密码格式为"user"

本节介绍了云数据库TaurusDB的权限管理。 IAM权限管理 如果帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用TaurusDB的其他功能。 如果您需要对购买的TaurusDB资源，为企业中的员工设置不同的访问权限，为达到不同员工之间的权限隔离，您可以使用统一身份认证服务 （Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并授权控制员工对资源的访问范围。例如您的员工中有负责软件开发的人员，您希望开发人员拥有TaurusDB的使用权限，但是不希望拥有删除TaurusDB等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用TaurusDB，但是不允许删除TaurusDB的权限，控制开发人员对TaurusDB资源的使用范围。 IAM是提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。 TaurusDB权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 TaurusDB部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问TaurusDB时，需要先切换至授权区域。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对云数据库TaurusDB，管理员能够控制IAM用户仅能对某一类数据库资源进行指定的管理操作。 如下表所示，包括了云数据库TaurusDB的所有系统权限。 表 TaurusDB系统权限 策略名称 描述 类别 GaussDB FullAccess 云数据库TaurusDB服务的所有执行权限。 系统策略 GaussDB ReadOnlyAccess 云数据库TaurusDB服务的只读访问权限。 系统策略 下表列出了云数据库TaurusDB常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表 常用操作与系统权限的关系 操作 GaussDB FullAccess GaussDB ReadOnlyAccess 创建TaurusDB实例 支持 不支持 删除TaurusDB实例 支持 不支持 查询TaurusDB实例列表 支持 支持 表 常用操作与对应授权项 操作名称 授权项 备注 修改参数模板 gaussdb:param:modify 变更数据库实例的规格 gaussdb:instance:modifySpec 创建数据库实例 gaussdb:instance:create 界面选择VPC、子网、安全组需要配置：vpc:vpcs:listvpc:vpcs:getvpc:subnets:getvpc:securityGroups:get创建加密实例需要在项目上配置KMS Administrator权限。创建包周期实例需要配置CBC权限：bss:renewal:viewbss:renewal:updatebss:balance:viewbss:order:view 创建手动备份 gaussdb:backup:create 查询备份列表 gaussdb:backup:list 查询错误日志 gaussdb:log:list 重启实例 gaussdb:instance:restart 查询数据库实例列表 gaussdb:instance:list 创建参数模板 gaussdb:param:create 删除参数模板 gaussdb:param:delete 修改备份策略 gaussdb:instance:modifyBackupPolicy 查看参数模板 gaussdb:param:list 删除实例 gaussdb:instance:delete 删除手动备份 gaussdb:backup:delete 查询项目标签 gaussdb:tag:list 应用参数模板 gaussdb:param:apply 批量添加删除项目标签 gaussdb:instance:dealTag 变更配额 gaussdb:quota:modify 升级数据库实例版本 gaussdb:instance:upgrade 只读升主 gaussdb:instance:switchover 修改数据库端口 gaussdb:instance:modifyPort 修改实例安全组 gaussdb:instance:modifySecurityGroup 修改读写内网地址 gaussdb:instance:modifyIp 界面选择ip需要配置：vpc:vpcs:listvpc:vpcs:get 开启、关闭SSL gaussdb:instance:modifySSL 修改实例名称 gaussdb:instance:rename 添加只读节点 gaussdb:instance:addNodes 删除只读节点 gaussdb:instance:deleteNodes 修改存储空间 gaussdb:instance:modifyStorageSize 修改数据库实例密码 gaussdb:instance:modifyPassword 绑定公网IP gaussdb:instance:bindPublicIp 界面列出公网IP需要配置：vpc:publicIps:getvpc:publicIps:list 解绑公网IP gaussdb:instance:unbindPublicIp 修改监控策略 gaussdb:instance:modifyMonitorPolicy 修改节点倒换优先级 gaussdb:instance:modifySwitchoverPriority 修改可维护时间窗 gaussdb:instance:modifyMaintenanceWindow 节点隔离 gaussdb:instance:isolateNodes 创建数据库用户 gaussdb:user:create 删除数据库用户 gaussdb:user:delete 修改数据库用户密码 gaussdb:user:modify 查询数据库用户 gaussdb:user:list 数据库用户授权 gaussdb:user:grantPrivilege 回收数据库用户权限 gaussdb:user:revokePrivilege 创建数据库 gaussdb:database:create 删除数据库 gaussdb:database:delete 查询数据库列表 gaussdb:database:list

本章节主要介绍创建用户并授权使用物理机。 如果您需要对您所拥有的物理机资源进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的天翼云帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用物理机资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将物理机资源委托给更专业、高效的其他天翼云帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果天翼云帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用物理机的其它功能。 操作步骤： 1. 创建用户组并授权 在IAM控制台创建用户组，并授予物理机只读权限“ReadOnlyAccess”。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入创建的用户组。 3. 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限： 在“服务列表”中选择“计算 > 物理机服务”，进入物理机主界面，单击右上角“申请物理机”尝试购买物理机。若提示权限不足，表示物理机“ReadOnlyAccess”已生效。 在“服务列表”中选择除物理机服务以外的任意一个服务，若提示权限不足，表示物理机“ReadOnlyAccess”已生效。

本文介绍了该产品的服务等级协议。 产品服务等级协议，详情参见《天翼云分布式容器云平台服务等级协议》。

产品类型 保留期 超过保留期 计算、存储、网络、数据库、终端类产品 15天 存储数据将被删除、云服务资源将被释放

本节主要介绍云存储网关申请开通规则。 功能说明 支持高可用，支持iSCSI协议，支持中英文Web管理界面。 申请公测 详见申请部署。 申请公测须知 提交公测申请前请务必准备好存储网关服务器的登录信息，包括：外网IP地址、连接端口号、用户名、密码、对象存储（经典版）I型具有所有权限的AccessKeyID和SecretAccessKey，运维人员将与您确认此信息后方可部署。 订单0元支付成功后，会有天翼云运维人员与您预约安装时间，部署一套网关约需8小时，安装部署服务时间：5天×8小时（法定节假日除外），请您耐心等待。 该产品不涉及续订、退订，使用过程中如遇问题，请提交工单进行解决。

本章节主要介绍如何创建天翼云物理机服务器。 操作场景 若您需要将您的应用服务部署在物理机服务器上，首先需要创建物理机服务器。 前提条件 在创建物理机服务器前，您已经完成准备工作。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 物理机服务”。进入物理机服务器页面。 3. 单击“申请物理机”，开始申请物理机。 4. 选择“区域”。不同区域的云服务产品之间内网互不相通。建议您选择最靠近您业务的区域，这样可以减少网络时延、提高访问速度。需要注意：资源创建成功后不能更换区域。 5. 选择“可用区”。可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 如果您需要提高应用的高可用性，建议您将物理机服务器创建在不同的可用区。 如果您需要较低的网络时延，建议您将物理机服务器创建在相同的可用区。 6. 选择“规格”。包括规格名称、CPU、内存、本地磁盘和扩展配置。当您选择规格列表中的一个规格后，列表下方会展示该规格的名称、用途等信息，以便您根据业务场景进行选择。其中，扩展配置描述了所选机型的网卡信息。例如：2 x 210GE表示1块双网口的10GE网卡接入VPC网络，1块双网口的10GE扩展网卡支持物理机服务器间的高速互联。 说明 规格中的CPU、内存、本地磁盘等配置为固定值，不可更改。 不同规格的物理机服务器带宽能力不同，请您根据实际业务慎重选择。 某些规格的物理机服务器支持快速发放能力，选择后，界面会提供“系统盘”参数（在“磁盘”配置项中展示），物理机服务器操作系统直接安装在云硬盘，实现快速发放。 7. 选择“镜像”。 公共镜像 常见的标准操作系统镜像，所有用户可见，包括操作系统以及预装的公共应用（SDI卡驱动、bmsnetworkconfig网络配置程序、Cloudinit初始化工具等）。请根据您的实际需要自助配置应用环境或相关软件。 私有镜像 用户基于外部镜像文件或物理机服务器创建的个人镜像，仅用户自己可见。包含操作系统、预装的公共应用以及用户的私有应用。选择私有镜像创建物理机服务器，可以节省您重复配置物理机服务器的时间。 共享镜像 您将接受公有云其他用户共享的私有镜像，作为自己的镜像进行使用。 8. 选择“许可类型”。 在云平台上使用操作系统或软件的许可证类型。如果您选择的镜像为免费的，则系统不会展示该参数。如果您选择的镜像为计费镜像，此时系统会展示该参数。 使用平台许可证 使用云平台提供的许可证，申请许可证需要支付一定的费用。 使用自带许可证（BYOL） 使用用户已有操作系统的许可证，无需重新申请。 9. 设置“磁盘”。 根据磁盘使用的存储资源是否独享，磁盘划分为“云硬盘”、“专属存储”。其中，专属存储是为您提供的独享存储资源。 如果您在专属存储服务页面申请了存储池，可以选择“专属存储”页签，在已申请的存储池中创建磁盘。 如果未申请独享的存储池，请选择“云硬盘”页签，创建的磁盘使用公共存储资源。 说明 使用专属存储资源创建磁盘时，待创建磁盘的磁盘类型需和申请的存储池资源类型保持一致，如都是“高IO”类型。 磁盘包括系统盘和数据盘。您可以为物理机服务器添加多块数据盘，系统盘大小可以根据需要自定义。 系统盘 如果选择支持快速发放的规格，界面会提供系统盘配置项，可以根据需要设置磁盘类型和大小。 数据盘 您可以为物理机服务器添加多块数据盘，并设置数据盘的共享功能。 1. 物理机服务器仅支持SCSI磁盘模式。 2. 共享盘：勾选后，数据盘为共享云硬盘。该共享盘可以同时挂载给多台物理机服务器使用。 3. 设置网络信息，包括“虚拟私有云”、“网卡”、“安全组”等信息。 第一次使用云服务时，系统将自动为您创建一个默认的虚拟私有云，包括安全组、网卡。其中，默认虚拟私有云支持的地址范围为192.168.1.0/24，子网网关为192.168.1.1，并为子网开启DHCP功能。 表 网络参数说明 参数 解释 :: 虚拟私有云 您可以选择使用已有的虚拟私有云，或者单击“新建虚拟私有云”创建新的虚拟私有云。 网卡 包括主网卡和扩展网卡。您可以添加一张扩展网卡，并指定网卡（包括主网卡）的IP地址。 须知 主网卡用于系统的默认路由，不允许删除。 如果您选择自动分配IP地址，请不要在物理机服务器发放完成后修改私有IP地址，避免和其他物理机服务器IP冲突。 为网卡分配固定IP地址后，不能批量创建物理机服务器。 高速网卡 物理机服务器之间的高速互联网络接口，为物理机服务器提供更高的带宽。 同一台物理机服务器的多张高速网卡不能选择同一个高速网络。 安全组 安全组用来实现安全组内和安全组间物理机服务器的访问控制，加强物理机服务器的安全保护。用户可以在安全组中定义各种访问规则，当物理机服务器加入该安全组后，即受到这些访问规则的保护。 创建物理机服务器时，仅支持选择一个安全组。但是物理机服务器创建成功后，可以为物理机服务器关联多个安全组，配置方法请参见更改安全组。 说明 物理机服务器初始化需要确保安全组出方向规则至少满足如下要求： 协议：TCP 端口范围：80 远端地址：169.254.0.0/16 如果您使用的是默认安全组出方向规则，则已经包括了如上要求，可以正常初始化。默认安全组出方向规则为： 协议：Any 端口范围：Any 远端地址：0.0.0.0/16 弹性公网IP 弹性公网IP是指将公网IP地址和路由网络中关联的物理机服务器绑定，以实现虚拟私有云内的物理机服务器通过固定的公网IP地址对外提供访问服务。 您可以根据实际情况选择以下三种方式： 不使用：物理机服务器不能与外部网络互通，仅可以在私有网络中部署业务或构建集群。 自动分配：自动为物理机服务器分配独享带宽的弹性公网IP，带宽值由您设定。 使用已有：为物理机服务器分配已有弹性公网IP。 说明 选择已有弹性公网IP后，不能批量创建物理机服务器 规格 弹性公网IP选择“自动分配”时，需配置该参数。 全动态BGP：可根据设定的寻路协议第一时间自动优化网络结构，以保持客户使用的网络持续稳定、高效。 静态BGP：网络结构发生变化时，运营商无法实时自动调整网络设置以保障用户体验。 计费方式 弹性公网IP选择“自动分配”时，需配置该参数。 按带宽计费：指定带宽上限，按使用时间计费，与使用的流量无关。 按流量计费：按照实际使用的流量来计费。 带宽 弹性公网IP选择“自动分配”时，需配置该参数。 带宽大小，单位Mbit/s。 11. 设置物理机服务器登录方式。 “密钥对”方式创建的物理机服务器安全性更高，建议选择“密钥对”方式。如果您习惯使用“密码”方式，请增强密码的复杂度，如表所示，保证密码符合要求，防止被恶意攻击。 密钥对 指使用密钥对作为登录物理机服务器的鉴权方式。您可以选择使用已有的密钥，或者单击“新建密钥对”创建新的密钥。 说明 如果选择使用已有的密钥，请确保您已在本地获取该文件，否则，将影响您正常登录物理机服务器。 密码 指使用设置初始密码方式作为物理机服务器的鉴权方式，此时，您可以通过用户名密码方式登录物理机服务器。 Linux操作系统时为root用户的初始密码，Windows操作系统时为Administrator用户的初始密码。密码复杂度需满足表要求。 参数 规则 样例 ::: 密码 密码长度范围为8到26位。 密码至少包含以下4种字符中的3种： 大写字母 小写字母 数字 特殊字符，包括!@$%^+[]{}:,./? 密码不能包含用户名或用户名的逆序。 Windows系统的物理机服务器，不能包含用户名中超过两个连续字符的部分。 Test12$@ 12.（可选）高级配置。 如需使用“高级配置”中的功能，请单击“现在配置”。否则，请单击“暂不配置”。 用户数据注入：主要用于创建物理机服务器时向物理机服务器注入用户数据。配置用户数据注入后，物理机服务器首次启动时会自行注入数据信息。 只有选择“密钥对”登录方式才显示此配置项。用户数据注入的详细操作请参见用户数据注入。 委托 委托是由租户管理员在统一身份认证服务（Identity and Access Management，IAM）上创建的，可以为物理机服务器提供访问云服务的临时凭证。 如果您在IAM上创建了委托，可以通过单击下拉列表选择委托名称，获取相应权限。目前，使用委托的场景为主机监控，更多信息请参见安装配置Agent。 13. 设置“物理机服务器名称”。 名称可自定义，但需符合命名规则：只能由中文字符、英文字母、数字及“”、“”、“.”组成。 一次创建多台物理机服务器，系统会自动按序增加后缀。例如：输入bms，服务器名称为bms0001，bms0002，……。再次创建多台服务器时，命名从上次最大值连续增加，例如：输入bms，已有服务器bms0010，新创服务器名称为bms0011、bms0012、……，命名达到9999时，从0001开始。 14. 设置您创建的物理机服务器数量，最多为24台。 设置完成后，您可以通过单击“价格计算器”，查询当前配置的费用。 说明 当配额充足时，一次最多可以创建24台物理机服务器；若配额不足24台，一次最多可创建数量为配额余量。 在设置网络信息时，若您选择自定义网卡或高速网卡的IP地址，或者选择已有弹性公网IP，则一次只能创建一台物理机服务器。 15. 单击“立即申请”。 16. 在确认规格页面，单击“提交”。 大约需要30分钟，物理机服务器的状态会变为“运行中”。选择支持快速发放的规格，大约只需5分钟即可获得一台物理机服务器。 说明 您可以随时查看物理机服务器的创建状态，具体操作请参见查看创建状态。

本文主要介绍如何获取访问密钥(AK/SK)。 访问密钥即AK/SK（Access Key ID/Security Key），是您通过开发工具（API、SDK）访问部分云服务平台时的身份凭证，不能登录控制台。系统通过AK识别访问用户的身份，通过SK进行签名验证，通过加密签名验证可以确保请求的机密性、完整性和请求者身份的正确性。 获取AKSK操作说明 1. 通过实名认证的账号登录天翼云。 2. 进入天翼云账号中心。 3. 点击【安全设置】【登录保护】 4. 在用户AccessKey模块，可创建新的AccessKey，创建完成后即可获取对应的SecurityKey。 注意 请保存或发送 AccessKey 至对应用户。新建AccessKey窗口关闭后，将无法再次查询 SecurityKey。如果您遗失这个 AccessKey，可以创建新的来替代。

应用接入 支持Web应用以及微信、支付宝及字节小程序等平台的数据上报。支持 NPM、CDN 方式快速接入，仅需对业务代码做极少量修改，接入流程轻便灵活。接入步骤请参考应用接入文档。 页面性能采集 前端监控采集多个页面性能数据，其中包括首屏耗时、首次渲染耗时、首次可交互耗时、DNS查询耗时、TCP 连接耗时、请求响应耗时、资源加载耗时、小程序启动耗时等，全部性能指标可参考应用性能指标文档。 错误诊断 支持查看前端应用的 JS 报错情况，包括错误总览、高频错误、错误详情以及各个维度的分布统计等，帮助您快速定位错误位置。具体请查看错误诊断操作指南文档。 页面访问 支持查看前端页面访问明细，包括PV（页面访问量）和 UV（页面独立访问量），支持各个维度的分布统计，实时了解并分析用户访问情况。具体请查看访问明细操作指南文档。 静态资源监控 支持查看前端应用的静态资源请求统计情况，您可以某个页面下具体使用了哪些资源，包括资源请求耗时、资源请求Top视图、资源请求失败Top视图及各个维度的分布统计等。具体请查看静态资源操作指南文档。

本章节介绍了如何进行精细的权限管理。 如果您需要对您所拥有的DMS for RocketMQ进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的天翼云帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用DMS for RocketMQ资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将DMSfor RocketMQ资源委托给更专业、高效的其他天翼云帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果天翼云帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用DMS for RocketMQ的其它功能。 本章节为您介绍对用户授权的方法，操作流程如图1所示。 前提条件 给用户组授权之前，请您了解用户组可以添加的DMS for RocketMQ权限，并结合实际需求进行选择，DMS for RocketMQ支持的系统权限，请参见：DMS for RocketMQ系统策略。若您需要对除DMS for RocketMQ之外的其它服务授权，IAM支持服务的所有策略请参见系统权限。 示例流程 图1 给用户授权DMS for RocketMQ权限流程 1. 创建用户组并授权 在IAM控制台创建用户组，并授予DMS for RocketMQ的管理员权限“DMS ReadOnlyAccess”。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入1中创建的用户组。 3. 用户登录并验证权限 新创建的用户登录控制台，验证DMS for RocketMQ的管理员权限。

本节主要介绍创建用户并授权使用DDS 如果您需要对您所拥有的DDS进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的天翼云账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用DDS资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将DDS资源委托给更专业、高效的其他天翼云账号或者云服务，这些账号或者云服务可以根据权限进行代运维。 如果天翼云账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用DDS服务的其它功能。 本章节为您介绍对用户授权的方法，操作流程如下图所示。 前提条件 给用户组授权之前，请您了解用户组可以添加的DDS权限，并结合实际需求进行选择，DDS支持的系统权限，请参见：DDS系统权限。 示例流程 图 给用户授权DDS权限流程 1. 创建用户组并授权 在IAM控制台创建用户组，并授予DDS权限“DDS FullAccess”。 说明 如果需要使用到对接其他服务的一些功能时，除了需要配置“DDS FullAccess”权限外，还需要配置对应服务的权限。 例如：使用DAS连接实例时，除了需要配置“DDS FullAccess”权限外，您还需要配置数据管理服务“DAS FullAccess”权限后，才可正常使用DAS登录数据库实例。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入[1](

本章节为您介绍日志分析常用的监控指标 监控指标 释义 常见原因 建议阈值 处理建议 respcode：200 服务器已成功处理请求，返回了请求的数据。 初始化正常业务时，200状态码的告警监控阈值可以配置为90%，具体根据实际业务情况调整。 如果发现低于监控比例，需要分析比例下降的原因，例如是否因为其他错误状态码比例增加。 requesttime 客户端请求到返回结果的请求耗时，即从客户端WAF源站再从源站WAF客户端整个时长 按实际业务请求所需耗时，设置合适的超时告警监控阈值。 如果发现域名请求耗时较长，需要检查客户端WAF源站整体网络链路质量，并排查源站响应状态是否正常。 responsetime 请求回源时，源站返回数据的响应时间，即从WAF源站再从源站WAF的时间。 按实际业务请求所需耗时，设置合适的超时告警监控阈值。 如果发现域名请求耗时较长，需要检查客户端WAF源站整体网络链路质量，并排查源站响应状态是否正常。 status:403 WAF拦截状态码，由Web核心防护、BOT防护、CC防护、地域防护等所有防护模块产生的防护状态均为403 WAF安全策略拦截 通过全量日志分析拦截的规则、请求行为，判断是正常拦截还是误拦截。 status:404 服务器找不到请求的资源。 【客户端相关】 客户端输入错误（最常见） 前端/App代码问题 【服务端相关】 资源被删除或迁移 权限/状态导致逻辑404 短暂的系统异常 自动化扫描/攻击 初始化时，建议配置5%~10%的告警阈值比例，后续运营期间可以根据业务拦截情况灵活调整。 少量404（例如总请求量的0.1%以下）且集中在特定来源（爬虫/旧书签）通常无需紧急处理，但如果涉及核心业务流程或突增超过0.5%，建议按以下步骤排查。 检查最近一次代码/配置发布的时间点与404突增时间是否吻合。 查看404 URL是否有明显规律（如特定路径、特定参数值、特定来源页面）。 确认是否存在损坏的外部链接（如合作方网站跳转）。 验证Web服务器（如Nginx）和应用程序的404日志是否一致。 针对单个404 URL，使用 curl v 模拟请求，查看完整响应头。 status:499 客户端发起请求，服务端未返回数据，超过客户端设置的等待时间后，客户端主动断链，服务端返回给客户端该状态码。 【客户端相关】 客户端超时设置过短 用户行为 【服务端相关】 后端处理太慢（最常见） 【网络相关】 网络问题 【WAF相关】 WAF超时配置过短 初始化时，建议配置5%~10%的告警阈值比例，后续运营期间可以根据业务拦截情况灵活调整。 优先排查慢接口（SQL、下游调用、复杂计算），然后调整超时配置，同时关注非幂等请求的重复调用问题。少量偶发（<0.1%）可以接受，超过 1% 需要尽快优化。 status:500 服务器内部发生了预期外的错误，无法完成请求。简单说：代码报错了。 不是客户端的问题（请求本身可能是合法的） 不是网络问题 是后端代码运行时抛出了未捕获的异常（如空指针、数组越界、数据库连接失败、语法错误等） 少量 500 通常意味着存在 Bug，需要修复。 【服务器相关】 1.服务器代码异常（最常见） 2.数据库问题 3.依赖服务故障 4.内存/资源不足 5.配置错误 6.发布相关 初始化时，建议配置5%~10%的告警阈值比例，后续运营期间可以根据业务拦截情况灵活调整。 少量 500（比如单日个位数）如果确认是偶发的极端情况（比如某个特殊数据导致的空指针），建议记录并修复，不应存在预期内的 500。任何 500 都应该被当做一个可观测的 Bug 来处理。 status:502 WAF作为“前台”，向后端（“后台”）请求数据，但后台没有给出正确的 HTTP 响应。这通常意味着前后台之间的通道断了。一般由于回源网络质量变差、回源链路有访问控制拦截回源请求导致源站无响应。 【服务器相关】 1. 后端服务进程挂了（最常见） 2. 后端服务端口未监听 3. WAF到后端的连接失败 4. 超时（容易与 504 混淆） 5. 响应格式不合法，后端返回了一个 WAF 无法解析的响应（如不是标准的 HTTP 格式），响应的 ContentLength 与实际 body 长度不一致。 6.WAF回源配置中源站位置不可达 【WAF相关】 7.WAF keepalive超限 初始化时，建议配置5%~10%的告警阈值比例，后续运营期间可以根据业务拦截情况灵活调整。 建议检查回源网络链路、回源链路中间的访问控制策略、源站处理资源负载、数据库等情况。检查源站是否拦截了WAF回源IP的请求。少量偶发的 502（比如发布期间的几秒钟）可以接受，但持续性或高比例的 502 必须立即处理。 status:503 服务器暂时无法处理请求，通常是因为过载、正在维护或后端主动拒绝服务。 【服务器相关】 1. 服务过载（最常见） 2. 主动限流/熔断（设计行为） 3. 正在维护/部署 4. 配置错误 5. 资源耗尽（系统层面） 初始化时，建议配置5%~10%的告警阈值比例，后续运营期间可以根据业务拦截情况灵活调整。 少量 503 在高峰期或发布期间可以接受（如限流触发的正常拒绝），但如果核心接口持续返回 503，说明系统容量不足或配置有问题，需要扩容或优化。对于限流返回的 503，建议在响应头中添加 RetryAfter: 5 status:504 作为网关或代理的服务器（如 Nginx），在规定时间内没有从上游服务器（如应用服务器）收到响应。 【服务器相关】 1. 后端处理慢（最常见） 2. 超时配置过短 3. 后端资源瓶颈 4. 数据库问题 5. 依赖服务故障 6. 网络问题（少见，但可能） 初始化时，建议配置5%~10%的告警阈值比例，后续运营期间可以根据业务拦截情况灵活调整。 根据以下可能的原因进行排查： 检查WAF的回源IP网段是否有被拦截 服务器无法响应，负载过高。 源站丢弃请求没有reset。 协议通讯不成功。

接口功能介绍 用户可以自行推送的告警事件，非系统自动产生，可以在告警历史中查询到。 接口约束 triggerID（监控平台告警规则ID）、issueID（告警事件ID）存在，status（状态）、clock（告警事件触发时间）满足取值范围，具体范围见请求参数说明。 URI POST /v4/monitor/pushalertissue 请求参数 请求体body参数 参数 参数类型 是否必填 示例 说明 下级对象 issueList Array of Objects 是 告警事件列表 issue 表issue 参数 参数类型 是否必填 示例 说明 下级对象 status Integer 是 1 本参数表示状态。取值范围：0：正常。1：告警。根据以上范围取值。 clock Integer 是 告警事件触发时间 1666147320 triggerID String 是 监控平台告警规则ID 63411d5f39fa5e7ce08eac73 issueID String 是 告警事件ID 62368ada39fa5e2ea0cfe901 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败），默认值：800 800 errorCode String 失败时的错误代码，参见公共错误码说明 message String 失败时的错误描述，一般为英文描述 Success msgDesc String 失败时的错误描述，一般为中文描述 成功 returnObj Object 返回对象 returnObj 表returnObj 参数 参数类型 说明 示例 下级对象 success Boolean 是否推送成功 true

网站目录被恶意篡改了怎么办？ 网页防篡改（原生版）具备实时监控和备份还原的能力，通过对比本地备份目录文件的指纹，发现网站目录文件被恶意篡改后，可立即对被篡改的文件进行自动还原。 监控防护目录大小是否有限制？ 防护目录有如下限制： 每台服务器最多可添加20个防护目录。 被防护的目录文件总大小不超过200GB。 所有被防护的目录下的文件夹个数不超过30000个。 开启网页防篡改后，如何修改文件？ 网页防篡改功能开启后，如果需要修改文件或更新网站，有如下两种方式： 方式一：暂时关闭网页防篡改功能 完成修改或更新后再重新开启。关闭网页防篡改期间，文件存在被篡改的风险，更新文件后请及时开启网页防篡改。 详细操作请参见关闭防护。 方式二：设置特权进程 特权进程为您信任的进程文件，可以对防护目录文件进行修改操作。请确保特权进程安全可靠。 详细操作请参见设置特权进程。

本节介绍DCS Redis3.0实例的产品规格，包括内存规格、实例可使用内存、连接数上限、最大带宽/基准带宽、参考性能（QPS）等。 实例各项指标如下： 实例已使用内存：您可以通过查看监控指标“内存利用率”和“已用内存”查看实例内存使用情况。 连接数上限：表示允许客户端同时连接的个数，即连接并发数。具体实例的连接数，可查看监控指标“活跃的客户端数量”。 QPS：即Query Per Second，表示数据库每秒执行的命令数。 说明 支持“单机”、“主备”和“Proxy集群”三种类型。 支持x86CPU架构。 单机实例 因系统开销占用一部分资源，Redis单机实例可用内存比实例规格略小，如下表所示。 Redis 3.0单机实例产品规格 内存规格 （GB） 实例可使用内存 （GB） 连接数上限 （默认/可配） （个） 基准/最大带宽（Mbit/s） 参考性能（QPS） 2 1.5 5,000/50,000 42/512 50,000 4 3.2 5,000/50,000 64/1,536 100,000 8 6.8 5,000/50,000 64/1,536 100,000 16 13.6 5,000/50,000 85/3,072 100,000 32 27.2 5,000/50,000 85/3,072 100,000 64 58.2 5,000/60,000 128/5,120 100,000

本文介绍媒体存储的适用场景。 媒体存储重点适用在视频监控、医疗影像、媒体资源管理等业务领域中海量非结构化数据上云需求。具体可参考：应用场景。

监听 8080 端口，提供 web 服务入口 entrypoints.metrics.address:9100 监听 9100 端口，提供 /metrics 指标暴露 metrics.prometheustrue 开启监控指标暴露 metrics.prometheus.entrypointmetrics 监控指标访问端点 metrics.prometheus.addentrypointslabelstrue metrics.prometheus.addserviceslabelstrue traefik 监听 9100 端口，提供 /metrics 指标暴露，同时监听 8080 端口，提供 web 服务入口。 3、服务 traefiksvc，监听 8080 端口和 9100 端口，通过 selector 绑定无状态工作负载 traefik，同时作为 Object 指标锚点，即使 backend 业务负载 Pod 缩容到 0，该 Service 对象依然存在。 4、cubemetricsserver 插件，负责搜集容器的 CPU、内存指标。 5、cubemetricsadapter 插件，负责自定义指标的转换，允许用户通过编辑 cubemetricsserver 的 configmap 添加自定义指标。 6、cubeprometheus插件，负责将采集到的指标数据上报到应用性能监控 APM 侧进行存储。 总结操作如下： 1、提工单申请加入白名单，支持在控制台页面为托管集群配置功能门控。 2、给 kubeapiserver、kubecontrollermanager 开启功能门控。 3、安装 cubemetricsserver 、cubemetricsadapter 和 cubeprometheus 插件。 4、创建 traefik 无状态工作负载和 Service。 5、创建 backend 无状态工作负载。 6、配置 cubemetricsadapter 上报自定义指标。 7、创建 HPA 并触发缩容到 0。 具体操作如下： 1、提工单申请加入白名单，支持在控制台页面为托管集群配置功能门控 在工单新建工单中发起工单，填写申请将xx租户加入到配置集群门控白名单中 2、给 kubeapiserver、kubecontrollermanager 开启功能门控。 点击托管集群名称，进入集群菜单页，切换到配置中心Kubernetes 原始配置。 对集群服务器配置，选择 HPAScaleToZerotrue，点击确认配置。稍等片刻更新完毕后，再对集群控制器配置进行相同操作。 3、安装 cubemetricsserver、cubemetricsadapter 和 cubeprometheus 插件 在插件市场中搜索 cubemetricsadapter、cubemetricsserver 和 cubeprometheus 插件并安装，参考插件安装 稍等片刻后检查插件状态为已安装，插件相关 pod 均为 Running 状态且日志中无异常报错，在监控页面能看到监控数据，说明插件安装正常。 4、创建 traefik 无状态工作负载和 Service 在工作负载无状态页面，切换到 default 命名空间，点击新增Yaml，填写以下 yaml 内容，创建名为 traefik 的无状态工作负载。 plaintext apiVersion: apps/v1 kind: Deployment metadata: labels: appgroup: traefik version: v1 name: traefik namespace: default spec: progressDeadlineSeconds: 600 replicas: 1 revisionHistoryLimit: 10 selector: matchLabels: app: traefik version: v1 strategy: rollingUpdate: maxSurge: 25% maxUnavailable: 25% type: RollingUpdate template: metadata: creationTimestamp: null labels: app: traefik version: v1 spec: containers: args: metrics.prometheustrue entrypoints.metrics.address:9100 metrics.prometheus.entrypointmetrics entrypoints.web.address:8080 metrics.prometheus.addentrypointslabelstrue metrics.prometheus.addserviceslabelstrue command: traefik image: registryvpccrshuadong1.cnspinternal.ctyun.cn/artifacthub/traefik:v3 imagePullPolicy: IfNotPresent name: traefik ports: containerPort: 8080 protocol: TCP containerPort: 9100 protocol: TCP resources: limits: cpu: 200m memory: 64Mi requests: cpu: 200m memory: 64Mi securityContext: allowPrivilegeEscalation: false capabilities: {} privileged: false readOnlyRootFilesystem: false runAsNonRoot: false terminationMessagePath: /dev/terminationlog terminationMessagePolicy: File dnsPolicy: ClusterFirst restartPolicy: Always schedulerName: defaultscheduler securityContext: {} terminationGracePeriodSeconds: 30 在网络服务页面，切换到 default 命名空间，点击新增Yaml，填写以下 yaml 内容，创建名为 traefiksvc 的 Service，绑定到 traefik 无状态工作负载。（注：Service 的label workload: traefik 是为了后续创建ServiceMonitor时使用） plaintext apiVersion: v1 kind: Service metadata: labels: workload: traefik name: traefiksvc namespace: default spec: ports: name: "8080" port: 8080 protocol: TCP targetPort: 8080 name: "9100" port: 9100 protocol: TCP targetPort: 9100 selector: app: traefik version: v1 sessionAffinity: None type: ClusterIP 检查工作负载的 pod 状态为 Running，且 Service 的 endpoint 正常指向工作负载的 Pod 地址。 通过工作负载容器组，远程登录进入到pod中。 执行以下命令进行测试： plaintext

本页介绍如何连接分布式融合数据库HTAP的实例。 前提条件 分布式融合数据库HTAP实例正常运行。 分布式融合数据库HTAP实例连接方式 连接方式 IP地址 使用场景 说明 内网连接 内网IP地址 系统默认提供内网IP地址。 当应用部署在ECS上，且该ECS与分布式融合数据库HTAP实例处于同一区域，同一VPC时，建议单独使用内网IP连接ECS与分布式融合数据库HTAP实例。 安全性高，可实现分布式融合数据库HTAP的较好性能。 推荐使用内网连接 术语解释： VPC：虚拟私有云（Virtual Private Cloud，简称VPC）。 ECS：弹性云服务器（Elastic Cloud Server，简称ECS）。 设置安全组规则 安全组的规则设置请参考快速入门准备工作。 通过内网连接分布式融合数据库HTAP实例 1. 天翼云官网首页右上角选择控制中心，登录进入控制中心界面。 2. 控制中心产品概览页左上角单击管理控制台，选择区域。 3. 选择数据库 > 分布式融合数据库HTAP，进入分布式融合数据库HTAP控制台。 4. 实例列表中可以查看到每个实例的连接地址，连接地址中包含IP和端口。 通过连接地址中的IP及端口（计算节点的主机IP及服务端口）即可连接数据库，如果实例有多个连接地址，可以用搭建负载均衡的方式进行连接。 5. 连接分布式融合数据库HTAP前必须新建用户，点击对应实例的更多 > 用户管理进入用户管理，填写用户名、主机、权限、用户密码等信息，创建连接用户并授权。 6. 登录云主机后打开命令行输入窗口，凭数据库连接的IP及端口，以及新建用户连接数据库，如下命令。 mysql h{hostname} P{port} u{user} p{password} 参数： h：主机IP，即分布式融合数据库“实例管理”页面中实例连接地址的IP”。 P：数据库端口，为“实例管理”页面中连接地址的端口。 u：用户名，即用户创建的数据库帐号（用户不能使用root账号登录，必须新建用户）。 p：密码，即数据库帐号对应的密码，为创建数据库用户时指定的密码。 示例： mysql h 172.16.X.X P 8635 u root –p ‘’

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包重复动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 对业务接口（特别是写操作接口，如创建订单、支付、更新状态等）发起请求，并观察其行为。一个设计良好的幂等接口，即使收到重复请求，也应该只执行一次业务逻辑，并返回一致的结果。如果出现数据重复创建、状态被错误覆盖等问题，则说明幂等性设计存在缺陷。

清理segment 每个segment的FST结构都会被加载到内存中，并且这些内存是不会被垃圾回收的。因此如果索引的segment数量过大，会导致内存使用率较高，建议定期进行清理。 1.在Kibana执行如下命令，查看各节点的segment数量和占用内存大小。 GET /cat/nodes?v&hsegments.count,segments.memory&ssegments.memory:desc 2.若segment占用内存过高时，可以通过删除部分不用的索引、关闭索引或定期合并不再更新的索引等方式释放内存。 清理cache 在Kibana执行如下命令清理cache。 POST cache/clear Elasticsearch集群平均已用内存比例达到98% 问题现象 查看集群监控发现，ES集群“平均已用内存比例”一直处于98%，用户担心内存比例过高是否对集群有影响。 问题原因 在ES集群中，Elasticsearch会占用50%内存，另外50%内存会被Lucene用于缓存文件，因此节点内存占用会一直很高，平均已用内存比例达到98%是正常现象，请您放心使用。 解决方案 您可以关注“最大JVM堆使用率”和“平均JVM堆使用率”这两个指标来监控集群内存使用情况。

本章主要介绍翼MapReduce的更新集群密钥功能。 操作场景 在安装集群时，系统将自动生成加密密钥key值以对集群的部分安全信息（例如所有数据库用户密码、密钥文件访问密码等）进行加密存储。在集群安装成功后，如果原始密钥不慎意外泄露或者需要使用新的密钥，系统管理员可以通过以下操作手动更改密钥值。 对系统的影响 更新集群密钥后，集群中新增加一个随机生成的新密钥，用于加密解密新保存的数据。旧的密钥不会删除，用于解密旧的加密数据。在修改安全信息后，例如修改数据库用户密码，新密码将使用新的密钥加密。 更新集群密钥需要停止集群，集群停止时无法访问。 前提条件 已确认主备管理节点IP。请参见登录管理节点。 停止依赖集群运行的上层业务应用。 操作步骤 1.登录FusionInsight Manager。 2.选择“集群 > 待操作集群的名称 > 停止”，输入当前登录的用户密码确认身份。 在确认停止的对话框单击“确定”，等待界面提示停止成功。 3.以omm用户登录主管理节点。 4.执行以下命令，防止超时退出。 TMOUT0 说明 执行完本章节操作后，请及时恢复超时退出时间，执行命令 TMOUT 超时退出时间 。例如： TMOUT600 ，表示用户无操作600秒后超时退出。 5.执行以下命令，切换目录。 cd ${BIGDATAHOME}/omserver/om/tools 6.执行以下命令，更新集群密钥。 sh updateRootKey.sh 根据界面提示，输入 y ： The root key update is a critical operation. Do you want to continue?(y/n): 界面提示以下信息表示更新密钥成功： Step 41: The key save path is obtained successfully. ... Step 44: The root key is sent successfully. 7.在FusionInsight Manager界面，选择“集群 > 待操作集群的名称 > 启动”。 在弹出窗口中单击“确定”，等待界面提示启动成功。

本章主要介绍翼MapReduce的备份HBase元数据功能。 操作场景 为了确保HBase元数据（主要包括tableinfo文件和HFile）安全，防止因HBase的系统表目录或者文件损坏导致HBase服务不可用，或者系统管理员需要对HBase系统表进行重大操作（如升级或迁移等）时，需要对HBase元数据进行备份，从而保证系统在出现异常或未达到预期结果时可以及时进行数据恢复，将对业务的影响降到最低。 系统管理员可以通过FusionInsight Manager创建备份HBase任务并备份元数据。支持创建任务自动或手动备份数据。 前提条件 如果数据要备份至远端HDFS中，需要准备一个用于备份数据的备集群，认证模式需要与主集群相同。其他备份方式不需要准备备集群。 如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置跨Manager集群互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 根据业务需要，规划备份的类型、周期和策略等规格，并检查主备管理节点“ 数据存放路径 /LocalBackup/”是否有充足的空间。 如果数据要备份至NAS中，需要提前部署好NAS服务端。 HBase的“fs.defaultFS”配置参数需要与Yarn、HDFS的配置保持一致。 如果HBase数据存储在本地HDFS，支持将HBase元数据备份到OBS。如果HBase数据存储在OBS，则不支持数据备份。 如果数据要备份至OBS中，需要当前集群已对接OBS，并具有访问OBS的权限。

本章节主要介绍翼MapReduce的配置资源池的队列容量策略操作。 操作场景 添加资源池后，需要为Yarn任务队列配置在此资源池中可使用资源的容量策略，队列中的任务才可以正常在这个资源池中执行。 该任务指导系统管理员通过FusionInsight Manager配置队列策略。使用Superior调度器的租户队列，可以配置使用不同资源池的资源。 前提条件 已登录FusionInsight Manager。 已添加资源池。 任务队列不与其他队列相关联资源池，除了默认资源池。 操作步骤 1. 在FusionInsight Manager，单击“租户资源”。 2. 单击“动态资源计划”页签。 3. 单击“资源分布策略”页签。 4. “集群”参数选择待操作的集群名称，然后在“资源池”选择指定的资源池。 5. 在“资源分配”列表指定队列的“操作”列，单击“修改”。 6. 在“修改资源分配”窗口的“资源配置策略”页签设置任务队列在此资源池中的资源配置策略。 “权重”：表示租户能获得的资源。其初始值与最小资源百分比值一致。 “最小资源”：表示租户能获得的最少资源。 “最大资源”：表示租户能获得的最多资源。 “预留资源”：表示保留给租户自身队列，且不能借用给其他租户队列的资源。 7. 在“修改资源分配”窗口的“用户策略”页签设置用户策略。 说明 defaultUser(builtin)表示如果一个用户未配置策略，则默认使用defaultUser所指定的策略。该策略不可删除。 单击“添加用户策略”添加用户策略。 − “用户名”：表示用户的名称。 − “权重”：表示用户能获得的资源。 − “最多核数”：表示用户最多可以使用的虚拟核数。 − “最大内存”：表示用户最大可以使用的内存。 单击“操作”列的“修改”修改现有用户策略。 单击“操作”列的“清除”删除现有用户策略。 8. 单击“确定”保存配置。

本文将介绍如何新增自定义基线检查计划。 操作场景 态势感知（专业版）支持根据基线检查计划检查您的资产是否存在风险，默认每隔3天，每次在00:00~06:00对您账号下当前region相关资产按照“安全上云合规检查1.0”遵从包自动执行基线检查，无需用户执行额外操作，系统默认开启。 另外，还可以自定义自动检测周期、时间以及检查范围。 约束与限制 同一个检查规范只能属于一个检查计划。 由于“等保2.0三级要求”、“GDPR”、“PCIDSS”、“NIST SP 80053”遵从包中的检查项为手动检查项目，因此不支持创建包含该遵从包的检查计划。 “操作系统配置基线”、“经典弱口令检测”、“口令复杂度策略检测”遵从包不支持在态势感知（专业版）侧执行基线检查，态势感知（专业版）仅支持查看HSS的基线检查结果。 支持检查“安全上云合规检查1.0”、“护网检查”、“云安全配置基线”遵从包中支持自动化项的检查项。 默认检查计划不支持变更包含的遵从包以及检查时间，仅支持执行开启或关闭操作。 创建检查计划 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防 > 基线检查”，进入基线检查页面后，选择“安全遵从包”页签，并在安全遵从包页面中，选择“检查计划”页签，进入检查计划管理页面。 5. 在检查计划页面中，单击“创建计划”，系统右侧弹出新建检查计划页面。 6. 配置检查计划。 参数名称 参数说明 基本信息 计划名称 自定义检查计划的名称。命名规则如下： 计划名称由中文、字母、数字、下划线和连接符组成。 长度为1~255个字符。 基本信息 检查时间 下拉选择检测周期和检查触发时间。 检测周期：每隔1天、3天、7天、15天、30天检查一次 检查触发时间：00:00~06:00、06:00~12:00、12:00~18:00、18:00~24:00 选择遵从包 勾选选择需要检测的遵从包。 7. 单击“确定”。 检查计划创建完成后，态势感知（专业版）会在指定的时间执行云服务基线扫描，扫描结果可以在“风险预防 > 基线检查”中查看。

对系统的影响 系统可能无法正常写入数据，导致部分数据丢失。 可能原因 Hive使用HDFS容量上限过小。 HDFS空间不足。 部分数据节点瘫痪。 处理步骤 扩展系统配置 1.分析集群HDFS使用情况，增加HDFS分配给Hive使用的容量上限。 登录FusionInsight Manager，选择“集群 > 待操作集群的名称 > 服务 > Hive > 配置”，选择“全部配置”，然后查找“hive.metastore.warehouse.size.percent”，调大该配置项。设配置项的值为A，HDFS总存储空间为B，阈值为C，Hive已经使用HDFS的空间大小为D。调整策略为A x B x C > D ，HDFS总存储空间可在HDFS NameNode页面查看，Hive已经使用HDFS的空间大小可在Hive的监控界面查看监控指标“Hive已经使用的HDFS空间大小”。 2.检查该告警是否恢复。 是，操作结束。 否，执行步骤3。 对系统进行扩容 3.对系统进行扩容。 4.检查该告警是否恢复。 是，操作结束。 否，执行步骤5。 检查数据节点是否正常 5.在FusionInsight Manager首页，选择“运维 > 告警 > 告警”。 6.查看是否有“ALM12006 节点故障”、“ALM12007 进程故障”、“ALM14002 DataNode磁盘空间使用率超过阈值”告警。 是，执行步骤7。 否，执行步骤9。 7.分别参考“ALM12006 节点故障”、“ALM12007 进程故障”、“ALM14002 DataNode磁盘空间使用率超过阈值”的处理步骤处理告警。 8.查看本告警是否恢复。 是，操作结束。 否，执行步骤9。

处理步骤 查看磁盘容量，清除无用文件 1. 在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HDFS”。 2. 在“图表”区域“实时”栏中，通过监控项“HDFS磁盘容量比率”查看HDFS磁盘使用率是否超过阈值（默认为80%）。若未查看到该监控项，可单击图表区域右上角的下拉菜单，选择“定制磁盘”，勾选“HDFS磁盘容量比率”。 是，执行步骤 3。 否，执行步骤 11。 3. 在“基本信息”区域，单击发生故障的NameService的“NameNode(主)”，进入HDFS WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 4. 在HDFS WebUI，单击“Datanodes”，在“Block pool used”列查看所有DataNode节点的磁盘使用率，判断有无DataNode节点的磁盘使用率超过阈值。 是，执行步骤 6。 否，执行步骤 11。 5. 以root用户登录集客户端所在节点的主机。 6. 执行命令cd /opt/Bigdata/client进入客户端安装目录，然后执行 source bigdataenv 。如果集群采用安全版本，要进行安全认证。执行kinit hdfs命令，按提示输入密码。向管理员获取密码。 7. 执行hdfs dfs rm r 文件或目录路径命令，确认删除无用的文件。 8. 检查本告警是否恢复。 是，处理完毕。 否，执行步骤 9。

本节介绍了如何设置云数据库GaussDB 的自动备份策略。 操作场景 创建GaussDB实例时，系统默认开启实例级自动备份策略。实例创建成功后，您可根据业务需要修改实例级自动备份策略。GaussDB按照用户设置的自动备份策略对数据库进行备份。 约束限制 GaussDB单副本实例V2.03.0以下版本不支持设置实例级自动备份策略。 为了满足时间点恢复的需求，超出备份保留天数最近的一次全量备份不会被立即删除。 示例：设置自动备份策略为每天备份1次，保留天数为1天，即11.1号生成备份1，11.2号生成备份2并保留备份1；11.3号生成备份3，并保留备份2及删除备份1。 修改自动备份策略 【方式一：单个实例修改自动备份策略】 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域和项目。 步骤 3 在页面左上角单击 ，选择“数据库 > 云数据库 GaussDB”，进入云数据库 GaussDB信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在左侧导航栏，选择“备份恢复”，单击“修改备份策略”。您可以查看到已设置的备份策略，如需修改备份策略，请调整以下参数的值。 步骤 6 按照界面提示修改实例级备份策略。 表 全量备份策略 参数 说明 保留天数 保留天数是指自动备份可保留的时间，增加保留天数可提升数据可靠性，请根据需要设置。 对于系统中最近一个全量备份文件，如果在新的全量备份未超过保留天数前系统会一直保留，直至新的全量备份超过保留天数后才会删除。 增加保留天数，可提升数据可靠性，请根据需要设置。 减少保留天数，会针对已有的备份文件生效，即超出备份保留天数的已有备份文件（包括全量备份和增量备份）会被自动删除，但手动备份不会自动删除，请您谨慎选择。 全量备份文件自动删除策略： 已有备份文件超出备份天数后会自动删除，考虑到数据完整性，自动删除时仍然会保留最近的一次超过保留天数的全量备份，保证在保留天数内的数据可正常恢复。 假如备份周期选择“周一”、“周二”，保留天数设置为“2”，备份文件的删除策略如下： 本周一产生的全量备份，会在本周四当天自动删除。原因如下： 本周二的全量备份在本周四当天超过保留天数，按照全量备份文件自动删除策略，会保留最近的一个超过保留天数的全量备份（即本周二的备份会被保留），因此周四当天删除本周一产生的全量备份文件。 本周二产生的全量备份，会在下周三当天自动删除。原因如下： 下周一产生的全量备份在下周三超过保留天数，按照全量备份文件自动删除策略，会保留最近的一个超过保留天数的全量备份（即下周一的备份会被保留），因此下周三当天删除本周二产生的全量备份。 备份流控 控制备份数据从实例数据盘上传至备份存储设备（例如OBS）的速率，默认75MB/s，0表示上传不限速，但是备份实际上传速率仍然受到网络、实例规格、磁盘IO等因素制约。 是否启用备机备份 如果启动备机备份，实例全量备份、差量备份在备DN所在主机进行备份。 备份时间段 默认为24小时中，间隔一小时的随机的一个时间段 ，例如01:00～02:00，12:00～13:00等。备份时间段以UTC时区保存。如果碰到夏令时/冬令时切换，备份时间段会因时区变化而改变。 备份周期 可选范围为周一至周天，默认全选。可根据需要进行选择，并且最少需要选择一天。 保留天数范围为1～732天。 备份时间段区间以1个小时为单位，共24个时间区可选。建议根据业务情况，选择业务低峰时段，备份周期默认全选，可修改，且至少选择一周中的1天。 实例创建完成后，会立即触发一次全量备份，之后会按照策略中的备份时间段和备份周期进行全量备份和差量备份策略。备份时间段请选择为业务峰值较低的时间段。全量备份会在此时间段进行。 表 差量备份策略 参数 说明 备份周期 需要选择差量备份的周期，即每隔多长时间进行一次差量备份。默认30分钟一次。 差量预取页面个数 控制差量备份时读取磁盘上表文件增量修改页面的预取页面个数，默认64。当差量修改页面非常集中时（如数据导入场景），可以适当调大该值；当差量修改页面非常分散时（如随机更新），可以适当调小该值。当调大差备预取页面个数时，差备在读取磁盘上表文件的预取页面会变多，所占用的IO变大，此时会影响其他业务，导致数据库性能有一定的下降。 分片大小 全量、差量备份时产生的备份文件会根据分片大小进行拆分，可设置范围为0~1024GB，需设置为4的倍数，默认4GB，0GB表示不限制大小。 步骤 7 单击“确定”，确认修改。 步骤 8 查看修改结果。 任务提交成功后，您可以单击“修改备份策略”，查看设置的备份策略，检查修改是否成功。 结束 【方式二：批量实例修改自动备份策略】 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域和项目。 步骤 3 在页面左上角单击 ，选择“数据库 > 云数据库 GaussDB”，进入云数据库 GaussDB信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击“批量修改备份策略”。 步骤 5 在“批量修改备份策略”界面，您可以按照界面提示设置实例级备份策略。 步骤 6 单击“确定”，确认修改。 说明 批量修改备份策略最多可以选择30个实例。 所选择的实例中，如有未开启备份策略的实例，批量修改备份策略操作将不会修改其备份策略。 因备份时间段和备份周期以UTC时区保存，如您需要修改策略中的“备份时间段”或“备份周期”，建议同时修改“备份时间段”和“备份周期”，再下发修改，以避免修改后的备份时间段和周期在您的时区不符合预期。 步骤 7 查看修改结果。 任务提交成功后，您可以单击实例名称，在左侧导航栏选择“备份恢复”，单击“修改备份策略”，查看到已设置的备份策略，检查该实例的备份策略修改是否成功。 结束

本节主要介绍创建用户组并授权 A公司的团队分为管理组（admin）、开发人员组和测试人员组。由于系统默认内置了admin组，用于拥有帐号所有资源的使用及管理权限，因此A公司的团队只需要在IAM中再创建开发人员组及测试人员组即可。 创建用户组 步骤 1 A公司管理员使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击右上角账号名，在下拉列表中单击“账号中心”。 步骤 3 账号中心左侧导航栏中，单击“统一身份认证”。 步骤 4 统一身份认证左侧导航栏中，单击“用户组”。 步骤 5 在“用户组”管理界面中，单击右上方的“创建用户组”。 步骤 6 输入“用户组名称”和“描述”，单击“确定”。 返回用户组列表页，用户组列表中将显示新创建的用户组。 依照以上流程，分别创建“开发人员组”和“测试人员组” 给用户组授权 A公司的开发人员需要使用的云服务为ECS、VPC及云硬盘，需要为“开发人员组”授予这些服务的管理员权限。测试人员需要使用云服务CES，需要为“测试人员组”授予此服务的权限。完成用户组的授权后，用户组中的用户才可以使用这些云服务。 步骤 1 A公司管理员使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击首页顶部控制中心，在控制中心首页“管理与部署”类中，单击“统一身份认证服务”。 步骤 3 在统一身份认证服务控制台页面，单击左侧功能菜单“用户组”，找到已创建的“开发人员组”用户组，单击右侧 “授权”。 步骤 4 在用户组权限管理页面，勾选需要授予用户组的服务权限，如在本例中，为“开发人员组”添加ECS Admin、VPC Admin和EVS Admin三个策略授权，然后单击“下一步”。 步骤 5 选择授权范围方案为“指定区域项目资源”，并选择要授权的区域项目，即资源池，然后单击“确定”。完成设置后，开发人员组仅在授权的区域有操作权限，其它区域将提示没有权限。 步骤 6 单击“确定”，完成用户组的权限授权。 参考步骤3至步骤5的方法，为“测试人员组”授予“CES Administrator ”的权限。

协议服务提供标准 NFS 协议访问HPFS文件系统的能力,本文介绍删除协议服务的场景说明和操作步骤。 场景说明 当用户不再使用协议服务时，可以删除相应的协议服务。需要注意，删除协议服务会导致云主机实例无法通过协议服务挂载访问 HPFS，删除协议服务不会删除文件系统内的数据，但会立即中断当前正在通过协议服务访问此文件系统的所有 I/O，请谨慎操作。删除后可以通过创建新的协议服务访问原有数据。 注意 如您需要删除文件系统，需先删除文件系统下的所有协议服务。 操作步骤 1. 登录天翼云控制中心，单击管理控制台左上角的，选择地域。 2. 选择“存储>并行文件服务 HPFS”，进入并行文件服务的控制台页面。 3. 点击目标文件系统，进入文件系统详情页，点击协议服务页签，即可进入协议服务页面。 4. 在协议服务列表，找到目标协议服务，单击目标所在行的"操作"列下的"删除"。 5. 在弹出的对话框中再次确认是否删除。 6. 等待一段时间后，在列表页可以看到该协议服务已经不存在，即表示删除成功。

本小节介绍SSL VPN的客户端登录。 1. 登录SSL VPN的Web管理页面 > SSL VPN 选项 > 系统选项 > 接入选项”的“用户访问入口”修改SSL客户端接入端口，将443改成4433或其他端口，配置完成后点击“保存”和“立即生效”，使配置生效。 2. 安全组放开修改后的SSL VPN客户端接入端口。 注意 若SSL VPN绑定的公网IP备案过，则无需修改SSL VPN客户端接入端口。 客户端拨入SSL VPN隧道的默认端口是TCP443，打开方式是电脑打开浏览器，地址栏输入 VPN管理页面上修改SSL客户端接入端口，将443改成4433或其他端口，然后在天翼云的SSL VPN云主机安全组里面放通相应的SSL客户端端口（比如改成了TCP4433端口，那客户端接入SSL VPN隧道是打开