本文带您了解虚拟私有云的功能特性。 100%安全隔离 不同VPC之间通过Overlay隧道技术实现二层网络隔离、租户间100%隔离，不同VPC之间默认不能通信。隧道技术可以有效的保护业务安全性。 按需灵活规划网络 您可以按照业务规划VPC子网的网段，VPC支持的网段如下：10.0.0.0/828、172.16.0.0/1228、192.168.0.0/1628。子网的网段须在VPC网段范围内，且子网的掩码范围为：子网所在VPC掩码28。部分资源池VPC网段掩码、子网网段掩码支持29，请以控制台实际功能为准。 子网是虚拟私有云内的IP地址块，通过划分子网可以将虚拟私有云的网段分成若干块，子网划分可以帮助您合理规划IP地址资源。虚拟私有云中的所有云资源都必须部署在子网内。同一个虚拟私有云下，子网网段不可重叠。 访问控制，安全规范 安全组是一个逻辑上的分组，为同一个VPC内具有相同安全保护需求并相互信任的云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当实例加入该安全组后，即受到这些访问规则的保护。 网络ACL是一个子网级别的安全防护功能，通过出方向/入方向规则控制关联子网的出入数据流。网络ACL与安全组类似，都是安全防护策略，当您想增加额外的安全防护层时，就可以启用网络ACL。安全组对云服务器进行防护，网络ACL对子网进行防护，两者结合起来，可以实现更精细、更复杂的安全访问控制。

本章节主要介绍翼MapReduce的资源概述操作。 MRS集群的资源分为计算资源和存储资源。多租户可实现资源的隔离： 计算资源 计算资源包括CPU和内存。租户之间不可以相互占用计算资源，私有计算资源独立。 存储资源 存储资源包括磁盘或第三方存储系统。租户之间不可以相互访问数据，私有存储资源独立。 计算资源 计算资源可分为静态服务资源和动态资源： 静态服务资源 静态服务资源是集群分配给各个服务的计算资源，每个服务的计算资源总量固定，不与其他服务共享，是静态的。这些服务包括Flume、HBase、HDFS和Yarn。 动态资源 动态资源是分布式资源管理服务Yarn动态调度给任务队列的计算资源。Mapreduce、Spark2x、Flink和Hive的任务队列由Yarn来动态调度资源。 说明 大数据集群为Yarn分配的资源是静态服务资源，可以由Yarn动态分配给任务队列计算使用。 存储资源 存储资源是分布式文件存储服务HDFS中可分配的数据存储空间资源。目录是HDFS存储资源分配的基本单位，租户通过指定HDFS文件系统的目录来获取存储资源。

本页为您介绍数据库专家服务产品涉及的相关术语。 数据库专家服务 数据库专家服务是由天翼云数据库专家团队为客户提供的数据库安装部署、健康巡检、应急响应、性能调优、架构规划设计、数据迁移咨询、备份恢复咨询等各类数据库专业服务，解决客户的数据库各类问题，为客户的数据库系统保驾护航。 数据库安装部署 天翼云数据库专家服务团队为客户提供的数据库安装部署服务，具体包含如下内容： 合理安装数据库、中间件软件（其中安装主机、软件安装包需要您提供）。 根据应用系统创建合适的数据库。 根据应用系统的要求分配数据空间。 设置合理的数据库运行参数。 检查和设置数据库用户的安全性和访问的安全性。 设置数据库的监听程序。 提供完善的数据库、中间件安装报告。 根据实际情况提供数据库、中间件的配置调整。 数据库健康巡检 天翼云数据库专家服务团队针对客户数据库和相关组件运行健康状况提供的检查服务，对数据库和中间件系统的性能情况进行深度分析，及时发现生产数据库已经存在的或潜在的问题；根据巡检结果，提交巡检报告和改善建议，并配合完成改善工作。 数据库应急响应 天翼云数据库专家服务团队针对客户数据库紧急故障提供的服务，服务内容包括：对紧急故障进行故障原因分析，制定故障解决方案，并最终排除故障。对于故障处理，遵循记录、分析、处理、解决的闭环处理方法，以找到故障根源、避免或预防二次故障为最终解决的标准。

本文介绍开通媒体存储的具体步骤。 订购须知 天翼云门户目前仅支持媒体存储中标准型对象存储能力的按需计费开通，其它能力（如文件存储、块存储等）暂不面向线上预付费客户开放。 存储区域：目前支持海南资源池2区。 开通流程 说明 预付费客户订购媒体存储，需具备已通过实名认证的天翼云账号且确保现金余额+可用信用额度+通用代金券不低于100元。 1. 登录天翼云官网。 2. 进入媒体存储产品详情页，点选“立即开通”。 3. 进入媒体存储产品开通页，勾选“我已阅读，理解并接受 《天翼云媒体存储系统服务协议》”，点击“立即开通”。 4. 在跳转的订单页面完成支付，订单状态为【已完成】，即成功开通媒体存储。 5. 访问媒体存储控制中心：进入媒体存储产品详情页，点选“管理控制台”。 6. 进入控制台页面后，点选“订购管理 ”，点击【新增存储区域】进行新增存储区域操作。 注意 目前仅通过天翼云门户订购的用户可通过控制台新建存储区域，非自助开通的用户无此按钮。 7. 区域新增完成后，点选【对象存储】菜单，即可开始使用对象存储服务。具体可参考：控制台使用指南对象存储。

本章介绍如何使用主子账号体系管理子账号权限 概述 分布式消息服务MQTT已接入主子账号体系，可区分两种账号权限，实现主账号对子账号的数据权限管理与功能权限管理，支持系统策略和自定义策略的授权方式。本章介绍如何使用主子账号体系管理子账号权限。 背景 1. 主账号 ：用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体为了确保账号安全，建议创建子用户来进行日常管理工作。 2. 子账号 ：主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 3. 企业项目： 将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 注意 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 4. 策略： 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 5. 系统策略： 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 6. 数据权限： 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 7. 功能权限： 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 8. 功能权限授权： 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。

本章介绍如何使用主子账号体系管理子账号权限 概述 分布式消息服务RabbitMQ已接入主子账号体系，可区分两种账号权限，实现主账号对子账号的数据权限管理与功能权限管理，支持系统策略和自定义策略的授权方式。本章介绍如何使用主子账号体系管理子账号权限。 背景 1. 主账号：用户在天翼云注册后自动创建，该账号对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，由于账号是付费主体为了确保账号安全，建议创建子用户来进行日常管理工作。 2. 子账号：主账号认证为企业账号后，在天翼云用户中心页面创建出来的账号。子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。 3. 企业项目：将云资源、企业成员按项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，用户使用项目内云资源的权限受用户组的授权限制。 注意 一个实例只能归属一个企业项目（可变更），一个子账号可以同时在多个企业项目中。 4. 策略： 是描述一组权限集的语言，它可以精确地描述被授权的资源集和操作集，通过策略，用户可以自由搭配需要授予的权限集。通过给用户组授予策略，用户组中的用户就能获得策略中定义的权限。 5. 系统策略： 系统预置的常用权限集，主要针对不同云服务的只读权限或管理员权限，比如对组件的只读权限、普通用户权限和管理员权限等等；系统策略只能用于授权，不能编辑和修改。 6. 数据权限： 看到的数据不一样。主账号看到所有实例，子账号只能看到所属项目中的实例。 7. 功能权限： 主账号可以进行所有控制台操作，子账号对单个组件实例拥有的操作权限由主账号授权。 8. 功能权限授权： 给子账号在企业项目A下增加一个策略，即代表该子账号对企业项目A下的实例拥有了策略中定义的权限，策略以外的操作会被禁止。

本文带您了解海量文件服务OceanFS产品相关术语。 文件系统 文件系统实际上是用户数据与其相关属性信息（元数据）的集合体，用户的数据以文件的形式保存在文件系统中。文件系统通过计算节点挂载访问，以传统的目录形式进行组织和管理，支持数百甚至上千个客户端并行访问，实现数据共享。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为弹性云主机构建了一个逻辑上完全隔离的专有区域，您可以在自己的逻辑隔离区域中定义虚拟网络，为弹性云主机构建一个逻辑上完全隔离的专有区域。您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。同时，您可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 子网 子网是用来管理弹性云主机网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云主机IP地址都属于该子网。默认情况下，同一个VPC的所有子网内的弹性云主机均可以进行通信，不同VPC的弹性云主机不能进行通信。 NFS协议 NFS（Network File System）是一种用于网络共享文件和目录的协议。它可以让不同的计算机通过网络访问和共享文件，工作原理是将文件系统挂载到客户端计算机上，使客户端能够透明地访问远程服务器上的文件和目录。客户端通过NFS协议向服务器发送文件系统访问请求，服务器将文件和目录发送给客户端，客户端则可以像访问本地文件一样访问这些文件。NFS适合Linux系统使用。

参数 描述 虚拟私有云 实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您可根据需要创建或选择所需的虚拟私有云。 如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“ 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 内网安全组 安全组限制安全访问规则，加强GeminiDB Influx实例与其他服务间的安全访问。请确保所选取的安全组允许客户端访问数据库实例。 如果没有可用的安全组，系统自动为您分配资源。

说明：本章介绍关系数据库的优势，关系型数据库具有低成本、高安全性、高可靠性等优势，相对传统数据库运维繁琐等缺陷，关系型数据库使用更加方便简单。 即开即用 您可以通过官网实时生成目标实例，关系型数据库服务配合弹性云服务器一起使用，通过内网连接关系型数据库可以有效的降低应用响应时间、节省公网流量费用。 弹性扩容 可以根据您的业务情况弹性伸缩所需的资源，按需开支，量身订做。配合云监控（Cloud Eye）监测数据库压力和数据存储量的变化，您可以灵活调整实例规格。 完全兼容 您无需再次学习，关系型数据库各引擎的操作方法与原生数据库引擎的完全相同。关系型数据库还兼容现有的程序和工具。 运维便捷 RDS的日常维护和管理，包括但不限于软硬件故障处理、数据库补丁更新等工作，保障关系型数据库运转正常。提供专业数据库管理平台，重启、重置密码、参数修改、查看错误日志和慢查询日志、恢复数据等一键式功能。提供CPU利用率、IOPS、连接数、磁盘空间等实例信息实时监控及报警，让您随时随地了解实例动态。 网络隔离 通过虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组实现网络隔离。虚拟私有云允许租户通过配置虚拟私有云入站IP范围，来控制连接数据库的IP地址段。关系型数据库实例运行在租户独立的虚拟私有云内，可提升关系型数据库实例的安全性。您可以综合运用子网和安全组的配置，来完成关系型数据库实例的隔离。 访问控制 通过主/子帐号和安全组实现访问控制。创建关系型数据库实例时，关系型数据库服务会为租户同步创建一个数据库主帐户，根据需要创建数据库实例和数据库子帐户，将数据库对象赋予数据库子帐户，从而达到权限分离的目的。可以通过虚拟私有云对关系型数据库实例所在的安全组入站、出站规则进行限制，从而控制可以连接数据库的网络范围。 传输加密 通过TLS加密、SSL加密实现传输加密。使用从服务控制台上下载的CA根证书，并在连接数据库时提供该证书，对数据库服务端进行认证并达到加密传输的目的。 存储加密 通过静态加密、表空间加密、同态加密对数据进行加密。关系型数据库服务支持对存储到数据库中的数据加密后存储，加密密钥由KMS进行管理。 数据删除 删除关系型数据库实例时，存储在数据库实例中的数据都会被删除，任何人都无法查看及恢复数据。安全删除不仅包括数据库实例所挂载的磁盘，也包括备份数据的存储空间（通常为廉价的对象存储系统）。 防DDoS攻击 当用户使用外网连接和访问关系型数据库实例时，可能会遭受DDoS攻击。当关系型数据库安全体系认为用户实例正在遭受DDoS攻击时，会首先启动流量清洗的功能，如果流量清洗无法抵御攻击或者攻击达到黑洞阈值时，将会进行黑洞处理，保证关系型数据库整体服务的可用性。 安全防护 关系型数据库处于多层防火墙的保护之下，可以有力地抗击各种恶意攻击，保证数据安全，防御DDoS攻击、防SQL注入等。建议用户通过内网访问关系型数据库实例，可使关系型数据库实例免受DDoS攻击风险。 双机热备 关系型数据库服务采用热备架构，故障秒级自动切换。 数据备份 每天自动备份数据，上传到对象存储服务（Object Storage Service，简称OBS）。备份文件保留732天，支持一键式恢复。用户可以设置自动备份的周期，还可以根据自身业务特点随时发起备份，选择备份周期、修改备份策略。 数据恢复 支持按备份集和指定时间点的恢复。在大多数场景下，用户可以将732天内任意一个时间点的数据恢复到关系型数据库新实例或已有实例上，数据验证无误后即可将数据迁回关系型数据库主实例，完成数据回溯。 RDS与自建数据库优势对比 性能对比 性能项目 云数据库RDS 自购服务器搭建数据库服务 服务可用性 请参见《弹性云服务器用户指南》。 需要购买额外设备，自建主从，自建RAID。 数据可靠性 请参见《云硬盘用户指南》。 需要购买额外设备，自建主从，自建RAID。 系统安全性 防DDoS攻击，流量清洗；及时修复各种数据库安全漏洞。 需要购买昂贵的硬件设备和软件服务，需要自行检测和修复安全漏洞等。 数据库备份 支持自动备份，手动备份，自定义备份存储周期。 需要购买设备，并自行搭建设置和后期维护。 软硬件投入 无需投入软硬件成本，按需购买，弹性伸缩。 数据库服务器成本相对较高，对于Microsoft SQL Server需支付许可证费用。 系统托管 无需托管。 需要自购2U服务器设备，如需实现主从，购买两台服务器，并进行自建。 维护成本 无需运维。 需要投入大量人力成本，招聘专业的DBA进行维护。 部署扩容 弹性扩容，快速升级，按需开通。 需采购和原设备匹配的硬件，需托管机房的配合，需部署设备，整体周期较长。 资源利用率 按实际结算，100%利用率。 考虑峰值，资源利用率低。

天翼云为您提供海量文件服务OceanFS产品服务等级协议，请您点击查看。 天翼云海量文件服务OceanFS服务等级协议

了解什么是存储资源盘活系统。 HBlock是中国电信天翼云自主研发的存储资源盘活系统（Storage Resource Reutilization System，简称SRRS），是一款轻量级存储集群控制器，实现了全用户态的软件定义存储，将通用服务器及其管理的闲置存储资源转换成高可用的虚拟磁盘，通过标准 iSCSI 协议提供分布式块存储服务，挂载给本地服务器（或其他远程服务器）使用，实现对资源的集约利用。同时，产品拥有良好的异构设备兼容性及场景化适配能力，支持数据上传到对象存储，提供软件和一体机两种产品形态。 在非联网模式下，HBlock软件可被视为本地盘阵的替代品，用于本地数据存储；在联网模式下，HBlock软件还可以作为本地与云端存储之间的桥梁，将全量数据自动同步到对象存储中，本地仅保留热数据以节省本地存储空间，或者保留全量数据以保障本地I/O性能，实现混合云存储。

本文带您了解海量文件服务OceanFS的功能特性。 多客户共享 OceanFS提供NAS服务，可支持上千台客户端同时挂载访问。 多协议配置 支持NFSv3/v4.1、CIFS(SMB2.1/SMB3.0)协议，用户能够在创建文件系统时指定协议类型。通过标准POSIX接口访问数据，无缝适配主流应用程序进行数据读写。 基础管理 支持创建、挂载、搜索、查看、扩容、删除等基本文件系统管理操作，支持多台弹性云主机挂载同一文件系统，实现多台云主机共享访问同一个文件系统，满足多种场景需求。 在线扩容 分钟级别快速扩容，用户可根据实际需要对文件系统进行在线扩容，扩容过程IO不中断，保障业务连续性。 VPC隔离 云主机和文件系统须归属于同一VPC下，通过VPC保证租户间数据隔离，通过给文件系统添加多个VPC，可实现跨VPC访问文件系统。 权限管理 权限组是一种白名单机制，通过创建权限组和权限组规则，实现权限隔离，授予不同网段/IP的客户端不同的访问权限。 跨VPC访问 通过给文件系统添加多个VPC，可将文件系统挂载至不同VPC的计算实例上，实现同地域跨VPC访问、同地域跨AZ访问。

本文主要介绍了签约主体变更的影响。 自2021年11月11日（“变更日”）起，天翼云官网中原由中国电信股份有限公司云计算分公司（“云计算分公司”）向客户（又称“您”）提供的服务，将变更为天翼云科技有限公司（“天翼云科技公司”）向客户提供。经营主体（“签约主体”）变更将对您提现、开发票、合同申请等事项有所影响，敬请关注。 账户充值 在线支付 签约主体变更后，原有充值方式不受影响。 对公充值 签约主体变更后，对公充值账号也会相应变更，客户如需进行对公充值，请使用新的对公账号信息，操作流程请参考 汇款认领。天翼云对公账号信息变更如下： 变更前： 户名：中国电信股份有限公司云计算分公司 账号： 110060776018170076087 开户行：交通银行北京西单支行 行号：301100000162 变更后： 户名：天翼云科技有限公司 账号： 110060149013001879960 开户行：交通银行股份有限公司北京市分行营业部 行号：301100000023 申请提现 原路提现 签约主体变更后申请提现，系统会原路退回到相应的支付宝、微信、翼支付等充值账户。 银行卡提现 签约主体变更后申请提现，系统统一使用天翼云科技公司的银行账户退款，有可能出现收退款账户不一致问题。 举例：您向天翼云（云计算分公司）的银行账户充值10万元，实际消费8万元，剩余2万元。签约主体变更后，您申请银行卡提现2万元，天翼云使用新的银行账户（天翼云科技公司的银行账户）向您退款，收退款账户不一致。 开具发票

网格列表展示当前资源池下的所有服务网格实例，您可以对网格实例进行相关操作。 入口 通过天翼云控制中心，选择对应的资源池，找到应用服务网格产品，点击即可进入服务网格控制台首页；您可以创建新的网格实例，或者对现有网格实例做相关操作。 网格列表字段说明 字段 说明 网格名称 网格实例名称 网格id uuid，用于唯一标识一个网格实例 网格状态 枚举值，标识网格当前状态 网格规格 网格实例所能支持的最大pod数量 版本类型 和网格规格对应，支持基础版，标准版 计费模式 当前仅支持按量计费模式 企业项目 网格实例绑定的企业项目 标签 管理网格实例绑定的标签 创建时间 网格实例的创建时间 操作 日志功能提供当前网格实例施工相关的日志，如开通、停机、复机等场景的日志，如果施工出现异常请提工单反馈；针对已经开通的实例

不同帐号下的弹性云主机内网是不通的。 不同的账号和内网地址之间存在隔离机制，这种隔离机制可以保护用户的数据安全和隐私，避免不同用户之间的数据泄露或恶意攻击。同时也可以避免不同用户之间的网络冲突和干扰，确保每个用户的应用程序和数据在网络传输过程中的安全性和稳定性。

本章节介绍MSAP操作类常见问题 已经订购了云容器引擎，新增环境选择不到云容器引擎？ 选择不到云容器引擎可能有如下两种情况： 1、云容器引擎正在开通中或者开通失败了，需要到开通界面或云容器引擎控制台检查容器状态是否是已开通或运行中。 2、新增环境时选择的VPC和云容器引擎所属VPC不一致，需要到云容器引擎控制台，找到对应集群，进入集群信息界面查看集群所属VPC。再到新增环境界面选择和集群所属VPC一致的VPC。 删除环境不成功，提示：环境下存在部署单元，请先删除部署单元？ 此提示说明要删除的环境下有应用实例、部署单元、导入资源，需要该环境的对应实例、部署单元和导入资源清理之后才能删除环境。 1. 登录微服务云应用控制台，左侧菜单栏选择“环境规划>环境管理”，点击要删除的环境，进入到环境详情。 2. 选择“资源列表”，依次切换该环境下的资源，如果存在该资源，则点击该资源复选框，点击移除，删除资源。 3. 选择“部署单元>编辑单元”，点击对应部署单元删除。 4. 最后回到“环境管理”，选择对应环境，点击右侧删除。

本章节主要介绍翼MapReduce服务如何扩容数据盘容量。 当master、core或task节点的数据存储空间无法满足您的业务需求时，您可以使用磁盘扩容功能增加数据盘的空间。 背景信息 1. V2.15版本起，翼MR集群支持磁盘扩容功能。 2. 当前翼MapReduce控制台仅支持对数据盘容量进行扩容，不支持系统盘扩容。 3. 仅支持对状态为“运行中”的集群进行磁盘扩容操作。 4. 当前云硬盘不支持缩容，扩容生效后无法缩小，请按需规划存储空间。 5. 磁盘扩容成功后，低于V2.19.3版本的集群，需要登录云主机扩展分区和文件系统，V2.19.3版本起，无需进行该操作。 操作步骤 1. 登录翼MapReduce管理控制台。 2. 从“我的集群”中 ，选中一个运行中的集群并单击集群名称，进入集群信息页面。 3. 选择“节点管理”，在需要扩容磁盘的节点组的“操作”列单击“磁盘扩容”，在磁盘扩容弹窗中进行配置。 4. 选择需要扩容的配置并完成支付后，可在“节点管理”的节点信息中，查看磁盘扩容结果，当节点组状态从“变更中”变为“运行中”，且容量已增加，表示扩容成功。 5. 扩容成功后，低于V2.19.3版本的集群，需要登录云主机扩展分区和文件系统，详细操作方式请参考数据盘扩展磁盘分区和文件系统。

本文为您介绍加载VPN网络实例的操作流程。 限制说明 创建VPN网关时，“本端类型” 类型必须选择 “云间高速”。 注意 仅天翼云 4.0 资源池中的VPN连接支持连接到云间高速。 操作步骤 1. 登录控制中心。 2. 登录云间高速（标准版）管理控制台，并在左侧菜单列表中选择“云间高速（标准版）”。 3. 单击目标云间高速实例名称（或单击目标云间高速实例操作列的“管理”），进入目标实例详情页面。 4. 在云间高速实例详情页面，在“云企业路由器管理 ”页签，找到目标云企业路由器，单击目标云企业路由器名称，进入云企业路由器详情页面。 5. 在云企业路由器详情页面，单击“加载本地网络实例”，进入加载本地网络实例页面。 6. 在加载本地网络实例页面，根据页面提示，填写参数，单击“确定”，完成网络实例加载。 参数 说明 云间高速 请选择已经创建的云间高速实例。 云企业路由器（区域） 请选择已经创建的云企业路由器实例。 资源归属 请选择资源归属类型“本账号”/“跨账号”。 关联路由表 请选择关联的路由表。 实例类型 请选择类型：“VPN网关”。 网络实例 请选择已经创建的VPN网关实例。 权重 （可选）配置链路路由权重，可输入类范围（0~255）。 链路冗余 （可选）是否启用冗余模式，若启用，需指定目标冗余组进行加入。同一冗余组内的网络实例默认隔离路由传播。 自动路由学习 自动传播网络实例系统路由至云企业路由器路由表（默认开启）。 自动路由同步 自动同步本侧云企业路由器关联路由表中的路由 （默认开启）。

本文介绍创建私有镜像的一个场景:通过镜像文件导入创建Linux系统盘镜像。 场景说明 除了通过云主机创建私有镜像外，天翼云也支持外部镜像导入功能，可将本地或者其他云平台的服务器系统盘镜像文件导入至镜像服务私有镜像中。导入后，用户可以使用该镜像创建新的云主机。 本次以Linux操作系统为例，介绍如何通过外部镜像文件创建Linux系统盘镜像。 前提条件 1. 在导入私有镜像前，在源服务器上完成以下准备工作。 安装并使用镜像规范检测工具，自动检测Linux系统设置是否符合导入条件。 安装Cloudinit，使运行该镜像的实例能成功完成初始化配置。 安装virtio驱动（必装），使该镜像创建的云主机实例能够启动。如未安装，会导致虚拟机无法启动。 安装QGA驱动（必装）,使镜像能够进行重置密码等操作。如未安装，会导致虚拟机无法重置密码。 安装监控驱动（建议），实现对基于该镜像创建的云主机的状态监控。 具体操作步骤参见导入私有镜像用户操作指南。 2. 转换镜像格式，目前天翼云镜像服务支持RAW、qcow2、vmdk、vhd格式的镜像文件的上传，如果想要较快创建镜像，建议使用qcow2格式镜像。其他类型文件请做格式转换。 操作步骤 步骤一：上传镜像文件至对象存储 1. 登录控制中心，选择业务地域，选择“存储>对象存储”。 2. 在对象存储控制台点击“创建桶”，配置桶参数（Bucket名称、企业项目、存储类型、读写权限）。单击“确定”，完成桶创建。 3. 单击桶名称进入桶详情页，选择文件管理页签，单击“上传文件”。 4. 选择要上传到对象存储的本地镜像文件。点击“确定“，等待镜像文件上传完成。 5. 点击镜像文件名称，进入文件详情页，获取镜像文件URL。

参数 是否必填 配置说明 虚拟私有云 √ 选择虚拟私有云资源。下拉列表中展示用户在所选命名空间下容灾分区所对应的地域中的相关虚拟私有云资源。 虚拟私有云（Virtual Private Cloud，VPC）可帮助您在云上轻松构建隔离的、私密的虚拟网络环境。您可以完全掌握自己的虚拟网络，包括申请弹性公网IP、带宽、创建子网、设置安全组等。此外您还可以通过云专线、VPN等方式将VPC与传统数据中心互联互通，灵活整合资源。 子网 √ 选择子网。 子网是虚拟私有云内的IP地址块，虚拟私有云中的所有云资源都必须部署在子网内。同一个虚拟私有云下，子网网段不可重复。子网创建成功后，网段无法修改。 安全组 √ 选择安全组。 安全组类似防火墙功能，是一个逻辑上的分组，用于设置网络访问控制，用户可以在安全组中定义各种访问规则，当云主机加入该安全组后，即受到这些访问规则的保护。 绑定ELB × 绑定ELB。 弹性负载均衡（Elastic Load Balancing，ELB）是一种分发控制网络流量的服务，通过预先设定的算法将访问流量自动分发到多个实例，扩展应用系统对外的服务能力，实现更高水平的应用系统容错性能。 绑定EIP × 绑定EIP。可通过切换开关确认是否执行EIP和ELB的绑定操作，选中并完成创建后会自动绑定相关资源到云主机上。 弹性IP（Elastic IP，EIP）是指将公网IP地址和路由网络中关联的实例绑定，以实现虚拟私有云内的实例通过固定的公网IP地址对外提供访问服务。

本文主要介绍了账号安全设置的一些建议。 账号安全的重要性 云时代中，越来越多的业务选择上云，然而云账号面临各种各样的安全威胁，密码泄露、账号共享、数据丢失、外部攻击等等。 一旦出现这类安全威胁，可能会导致数据丢失，严重情况甚至导致高额财产损失。 安全设置最佳实践 1、加强账号密码管理 安全性高的密码可以使帐号更安全。请尽量避免使用弱密码，建议密码长度超过14个字符，不使用键盘排列字符( 如qwert，asdf等) ，避免使用电话号码、身份证号、邮箱等与个人信息有明显联系的数据做密码。 避免在多个平台使用相同密码：为不同应用场合设置不同密码，避免其中一个账户密码被盗，其它帐户密码也被轻易破解。 定期或者不定期修改密码，避免长期使用固定密码，安全更有保障。 不要把明文密码保存在电脑、笔记本上，避免保存不当带来安全隐患。 2、请勿多人共享账号密码 如有多人协同业务的需要，可以通过主子账号、企业管理的方式，使用子用户（用户组）管理和策略管理的方式来控制其他用户使用天翼云资源的权限。 子用户（用户组）管理：主账号可在用户中心创建，子账号的用户名、密码统一由主账号创建管理。子账号同样可以登录访问天翼云控制台，登录入口与主账号相同，受主账号赋予的权限限制。如有使用需求，请您提交工单，由我侧专项工程师协助您开通主子账号权限。

本节主要介绍云存储网关申请开通规则。 功能说明 支持高可用，支持iSCSI协议，支持中英文Web管理界面。 申请公测 详见申请部署。 申请公测须知 提交公测申请前请务必准备好存储网关服务器的登录信息，包括：外网IP地址、连接端口号、用户名、密码、对象存储（经典版）I型具有所有权限的AccessKeyID和SecretAccessKey，运维人员将与您确认此信息后方可部署。 订单0元支付成功后，会有天翼云运维人员与您预约安装时间，部署一套网关约需8小时，安装部署服务时间：5天×8小时（法定节假日除外），请您耐心等待。 该产品不涉及续订、退订，使用过程中如遇问题，请提交工单进行解决。

本节介绍了虚拟私有云、子网、安全组、弹性IP等内容。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为弹性云主机构建了一个逻辑上完全隔离的专有区域，您可以在自己的逻辑隔离区域中定义虚拟网络，为弹性云主机构建一个逻辑上完全隔离的专有区域。您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。同时，您可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 子网 子网是用来管理弹性云主机网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云主机IP地址都属于该子网。 默认情况下，同一个VPC的所有子网内的弹性云主机均可以进行通信，不同VPC的弹性云主机不能进行通信。 安全组 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的弹性云主机提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。 系统会为每个用户默认创建一个默认安全组，默认安全组的规则是在出方向上的数据报文全部放行，入方向访问受限，安全组内的弹性云主机无需添加规则即可互相访问。 图 默认安全组 默认安全组规则如下表所示。 表 默认安全组规则 方向 协议 端口范围 目的地址/源地址 说明 出方向 全部 全部 目的地址：0.0.0.0/0 允许所有出站流量的数据报文通过。 入方向 全部 全部 源地址：当前安全组(例如：sgxxxxx ) 仅允许安全组内的云主机彼此通信，丢弃其他入站流量的全部数据报文。

优惠活动 包年订购折扣：针对一次性包年付费服务，云防火墙（原生版）包年优惠价格为：1年85折、2年7折、3年5折。 优惠折扣：云防火墙（原生版）产品订购享受7折优惠。该优惠折扣2025年1月1日结束，即在2025年1月1日及之后订购云防火墙（原生版）产品不再享受该优惠折扣。 说明 包年订购折扣与优惠折扣不能同享，取低者计算。 规则 续订规则 云防火墙（原生版）购买周期到期后，若未及时进行手动续订或开启自动续订，资源将到期冻结。配额冻结后，进入保留期，在保留期内展示全部历史告警数据和防护配置策略，但该防护配额自动降级为2Mbps的公网流量处理能力，除非客户重新订购该VPC的防火墙；保留期后，进行该配额的资源销毁，开启自动续订或更多信息请查看续订规则。 变配规则 创建云防火墙实例后，如果当前实例配置无法满足您的业务需求，您可以修改实例规格。您可以对实例的可防护公网IP数、公网流量处理能力数值进行调整，升配和降配均可支持。更多信息请查看变配规则。 退订规则 创建云防火墙实例后，如果当前实例配置无法满足您的业务需求，可根据需要，在符合天翼云退订规则的前提下，灵活退订配额。目前退订包含七天无理由全额退订和非七天无理由退订以及其他退订。更多信息请查看退订规则。

本文主要介绍应用监控与Prometheus监控的计费说明。 目前天翼云应用性能监控包括应用监控与Prometheus监控。开通应用性能监控APM不收取费用，开通后即可使用应用监控与Prometheus监控能力，使用过程中将按照各计费项进行计费。 其中应用监控提供按量付费与资源包模式，Prometheus监控提供按需计费模式。 说明 Prometheus监控仅对自定义指标收取指标上报费用，对云容器引擎的基础指标不收取上报费用，且提供免费15天存储。 目前容器基础指标存储时间默认为15天，因此默认情况下，在云容器引擎中开启Prometheus基础指标监控不会产生额外费用，请放心使用。若额外开启自定义指标监控，请参考下文计费说明。 应用监控计费说明 按需计费 若以Javaagent方式接入，则按照以下方式进行按需计费： 总费用 Agent数量 按需计费单价时间 计费项 单位 免费额度 价格 探针时 agenthour 每月提供2200agenthour的免费额度 0.2元 注意 一个探针使用一小时收费0.2元，一天需支付4.8元。调用链数据默认存储1个月，指标数据默认存储1个月。 Agent实例使用时长不足1小时不计费。 探针时（agenthour）：1个探针可以监控1个应用实例，如一个Tomcat实例或一个Java进程。1探针时（agenthour）表示一个探针使用了1小时。 若以其他非JavaAgent方式接入,则按照以下方式进行按需计费： 总费用 上报量总费用 + 链路存储时长总费用 上报量总费用 上报数量（百万个）× 上报数量单价 链路存储时长总费用 上报数量（百万个）× 存储时长（天）× 链路储存单价 计费项 单位 免费额度 价格 Span上报量 百万个 每月提供30百万个span的免费额度 0.1元 Span存储量 百万个天 每月提供210百万个天的免费额度 0.06元 注意 产生1百万条span上报量，收费0.1元；1百万Span存储1天，收费0.06元。调用链数据默认存储1个月，指标数据默认存储1个月。 Span上报量不足1百万不计费。 Span存储量不足1百万不计费。 > Span：Trace通常指的是一个完整的调用序列，包括所有函数的调用和返回。Span则更侧重于单个函数调用或其内部逻辑的一部分，可以被视为Trace的一个子集，代表一个具体的逻辑运行单元。

本节介绍翼加密应用的下载方式 使用加密AI云电脑的用户，均建议在AI云电脑内安装翼加密客户端。 用户可以通过翼加密客户端调整加密文件的密级；也可以通过客户端完成文件脱密外发的申请和审批工作。 翼加密客户端的安装方式： (1) 如果您的AI云电脑有安装“天翼AI云电脑应用市场”，可打开应用市场，在“首页”的“天翼专区”找到“翼加密”进行下载安装。 (2) 可以通过“翼加密”客户端下载地址安装: 下载翼加密 (3) 在加密桌面内，点击右下角托盘图标，根据指引下载客户端。

类型 微服务 普通应用 开发 每个微服务的体量相对较小，业界的two pizza团队和“2周即可全部重写全部代码”等都可以作为微服务划分的参考。 在开发时期，需注意服务接口的定义以与周边微服务进行配合，“基于契约”的开发方式是非常推荐的。 微服务开发，请参考“帮助中心 > 微服务云应用平台 > 开发指南 > 微服务开发指南 > 开发微服务应用”章节。 普通应用逻辑复杂、模块耦合、代码臃肿、修改难度大、版本迭代效率低下。 部署 微服务组成的应用系统通常比较复杂，在一次性部署的时候，需要进行编排部署。 微服务应用部署，请参考 部署组件 。 普通应用可能会比较大，构建和部署时间也相应地比较长，不利于频繁部署，阻碍持续交付。 在移动应用开发中，这个问题会显得尤为严重。 运维 在原来的指标监控、日志收集之外还非常强调治理。 其核心理念是在运行时期通过对线上系统的各种调整以达到系统整体健康度要求的效果。 应用运维，请参考 应用运维 。 普通应用线上问题修复周期长，任何一个线上问题修复都需要对整个应用系统进行全面升级。

本节介绍如何手动续订WAF独享型实例。 购买独享型实例后，在实例到期被删除前，您可以随时在WAF控制台进行续费。 操作步骤 1. 登录Web应用防火墙（原生版）控制台。 2. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“独享型”页签。 3. 单击目标实例操作列的“查看产品详情”。 4. 单击“续订”，进入续订页面。 5. 在“续订”操作界面，根据使用需要调整续订周期。 续订“二类节点”区域的独享版实例时，实例绑定的云主机默认需要一起续订。 6. 续订时长设置完成后，在页面下方确认支付费用，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。

本节介绍如何购买网页防篡改配额。 网页防篡改功能为付费的增值服务，需要单独购买。 首次使用网页防篡改功能时，请按如下步骤开通网页防篡改功能。 操作步骤 1. 登录网页防篡改（原生版）控制台。 2. 在左侧导航栏，选择“网页防篡改 > 防护状态”，在页面右上角单击“购买配额”。 首次使用网页防篡改功能时，进入如下页面，单击“立即升级”。 3. 在订购页面配置购买数量和购买时长。 配置“购买数量”：购买数量需大于等于1。 支持开启“自动续订”，当服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 按月购买，自动续费周期默认为1个月。 按年购买，自动续费周期默认为1年。 如需要修改自动续费周期，可进入天翼云“费用中心 > 订单管理 > 续订管理”页面，找到对应的资源进行修改。 选择“购买时长”，可拖动时间轴设置购买时长。 4. 确认配置参数和配置费用，阅读《天翼云网页防篡改（原生版）服务协议》，并勾选“我已阅读并同意相关协议《天翼云网页防篡改（原生版）服务协议》“，单击“立即购买”。 5. 进入“付款”页面，完成付款。 购买完成后，即可进入防护配额页面，查看已购买的配额。

云点播产品割接IAM情况说明 综述 云点播自2024年11月13日起，从原先CDN+IAM切换至天翼云统一身份认证服务（以下简称“CTIAM”）。 通过CTIAM用户可以在统一的主子账号体系下对云点播产品的资源、权限进行管理，降低管理员维护的成本，保持天翼云账号权限管理的一致性。由于两者在使用习惯上存在一定的差异，无法做到无感知平移切换，特对两者的差异和割接后的注意事项说明。 割接升级公告 关于2024年11月13日媒体存储、云点播产品功能变更的公告 相关术语说明 增量子用户：自2024年11月13日后从CTIAM统一认证管理平台新增的子用户。 存量子用户：自2024年11月13日前主账号通过原CDN+IAM创建的子用户。 CDN+IAM和CTIAM的使用差异 CDN+IAM CTIAM 登陆入口 主、子账号登陆入口不同。主账号通过天翼云CTIAM登陆，子账号通过CDN+IAM入口登陆。 主子账号均通过CTIAM入口登陆。 登录凭证 CDN+IAM配置的虚拟邮箱，或手机号码登陆。手机号码在平行工作区内保持唯一性。 使用在天翼云CTIAM配置的认证邮箱、手机号码登陆。手机、邮箱在当前组织（企业）内保持唯一性。 存量子用户在迁移完成后，默认填入虚拟手机号码，该号码需修改为真实号码方可使用。 创建子用户 在CDN+IAM控制台创建。CDN+IAM控制台支持多个平行的组织（工作区），在不同组织创建的子用户权限不互通。 在CTIAM控制台创建。同一个主账号仅支持一个组织。 删除子用户 子用户在云点播的权限配置会被全量清理，且无法恢复。 子用户在云点播的权限配置会被全量清理，且无法恢复。 撤销子用户权限 无对应逻辑。 子用户在云点播的权限配置会被全量清理，且无法恢复。 冻结子用户 无对应逻辑。 子用户在云点播的权限配置会被冻结，相关权限信息保留，暂不清理。 主账号AK/SK 不接受CDN+IAM产生的AK/SK，用户使用云点播原生AK/SK调用接口。最多允许5组原生AK/SK。 仅接受CTIAM产生的AK/SK，云点播不再自行产生原生AK/SK密钥对。存量AK/SK仍然可用。CTIAM最多支持创建2组AK/SK。 子账号AK/SK 无子用户AK/SK。子用户使用主账号AK/SK操作API接口。 由CTIAM产生子用户的AK/SK，子用户在CTIAM控制台查看各自的密钥对。 子用户授权 无实体权限与CDN+IAM对接。 与CTIAM权限体系对接，后续会持续新增权限策略。

本节主要介绍云数据库GeminiDB的产品优势。 高可靠 数据备份 数据备份包括自动和手动两种方式。自动备份为系统自动创建的数据库实例的全量备份，手动备份是由用户启动的数据库实例的全量备份，且备份成功后均支持恢复。 备份数据存储至对象存储服务（Object Storage Service，简称CTOBS），在提高数据容灾能力的同时有效降低磁盘空间占用。创建实例时，默认开启自动备份策略，实例创建成功后，将自动执行一次全量备份，该备份文件默认保留7天，创建成功后可以设置自动备份的周期，修改备份策略。同时，用户也可以根据自身业务特点随时发起备份，手动备份会一直保存，直到用户手动删除。 高安全 网络隔离 通过虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组实现网络隔离。虚拟私有云允许租户通过配置虚拟私有云入站IP范围，来控制连接数据库的IP地址段。数据库实例运行在租户独立的虚拟私有云内，可提升数据库实例的安全性。您可以综合运用子网和安全组的配置，来完成数据库实例的隔离。 访问控制 可以通过虚拟私有云对数据库实例所在的安全组入站、出站规则进行限制，从而控制可以连接数据库的网络范围。 传输加密 通过SSL加密实现传输加密。使用从服务控制台上下载的CA根证书，并在连接数据库时提供该证书，对数据库服务端进行认证并达到加密传输的目的。

本文介绍什么是RBI云端浏览器。 什么是远程浏览器隔离（RBI） Web浏览器是整个网络环境中最广泛应用的软件之一，因浏览器漏洞导致的网络安全事件层出不穷，同时浏览器漏洞的存在是难免的，往往是通过事后修补都方式，都依赖人员意识。远程浏览器隔离（RBI）主要解决Web浏览器访问问题，它可以在云服务器上加载网页并执行相关代码，远离用户的本地设备以及企业的内部网络。在结束网页浏览后会删除用户浏览会话记录，因此，与会话相关的恶意 cookie 或下载内容都会被清除。 RBI云端浏览器 RBI云端浏览器是基于零信任网络+远程浏览器隔离技术，以“不让数据流出去、不让坏数据流进来”为宗旨，通过隔离浏览环境进行数据隔离、运行隔离，限制员工行为，保障员工终端安全，敏感数据不落地，提供全流程的行为审计，保证恶意行为证据可追溯。 当用户使用浏览器访问网页时，Web隔离系统利用RBI技术，将网页内容加载到远端浏览器上，在远端的浏览器上执行渲染后，将渲染的结果以图像的方式传到用户端浏览器上显示。 可管控限制用户在浏览器内执行有风险的操作，包括限制下载、上传、复制粘贴、键盘输入和打印功能。 零信任可安全连通内网进行身份认证、权限管控，提供完整链路访问。