项目 配置项 说明 基本信息 名称 设置规则名称，必须为中文字符、字母、数字、下划线“”、点“.”或短横“”，长度不超过64 字符。 基本信息 动作 支持“动态脱敏”或“允许访问”。 客户端 客户端来源 访问业务类型的客户端IP或IP组。 支持多个IP，使用逗号“,”分隔，例：10.10.1.1,10.10.1.2 支持子网掩码配置，例：10.10.1.1/24 支持IP 段配置，例：10.1.1.1010.1.1.20 。 客户端 客户端端口 可配置多个值或区间，多个值间以逗号“,”分隔，例如：1015,20,25,3040。 客户端 客户端工具名 支持字符串匹配、正则表达式匹配、分组选择方式匹配。 选择字符串，可配多个客户端工具名，使用逗号“,”分隔，例：db2bp.exe,javaw.exe,plsqldev.exe。 客户端 操作系统用户 支持字符串匹配、正则表达式匹配、分组选择方式匹配。 选择字符串，可填多值，多个值间以逗号“,”分隔。 客户端 客户端主机名 支持字符串匹配、正则表达式匹配、分组选择方式匹配。选择字符串，可填多值，多个值间以逗号“,”分隔。 客户端 密码桥账号 支持下拉框选择，需要存在支持密码代填的运维人员。 若不支持密码代填的数据库配置该项后会导致规则匹配失效。 服务端 数据库账号 支持字符串匹配、正则表达式匹配、分组选择方式匹配。 选择字符串，可填多值，多个值间以逗号“,”分隔。 行为 敏感数据 可选择“数据级别”或“敏感数据类型” 行为 数据级别 指定什么敏感数据等级需要触发脱敏，可选级别一级、二级、三级、四级、五级，可单选或多选。 行为 敏感数据类型 指定什么敏感数据类型需要触发脱敏，可选内置类型或后续新增的类型，类型间为“或”的关系，可单选或多选。 行为 操作类型 指定什么操作类型需要触发脱敏，支持的操作类型有Select、Update、Merge、With、Replace、InsertIntoTableSelect、Create(Materialized) View、CreateTableAsSelect。 其它 生效时间 可自定义或者选择时间组。自定义时间可选择任意时间、每天、每周或每月。

本文主要介绍 步骤二:创建Kafka实例。 前提条件 在创建Kafka实例前，需要保证存在可使用的虚拟私有云。创建方法，请参考《虚拟私有云 用户指南》的“创建虚拟私有云和子网”。 如果您已有虚拟私有云，可重复使用，不需要多次创建。 操作步骤 步骤 1 登录分布式消息服务Kafka控制台，单击页面右上方的“购买Kafka实例”。 步骤 2 选择计费模式。 步骤 3 在“区域”下拉列表中，选择靠近您应用程序的区域，可降低网络延时、提高访问速度。 步骤 4 在“项目”下拉列表中，选择项目。 步骤 5 在“可用区”区域，根据实际情况选择1个或者3个及以上可用区。 步骤 6 设置“实例名称”和“企业项目”。 步骤 7 设置实例信息。 1. 版本：Kafka的版本号，支持1.1.0、2.7和3.x，根据实际情况选择，推荐使用3.x。 Kafka实例创建后，版本号不支持修改 。 2. 鲲鹏实例，“创建鲲鹏架构实例”选框，默认不勾选是X86架构的实例，勾选之后是ARM架构的鲲鹏实例。 3. 在“代理规格”中，请根据业务需求选择相应的代理规格。在“代理数量”中，选择代理个数。 单个代理最大分区数代理个数实例分区数上限。当所有Topic的总分区数大于实例分区数上限时，创建Topic失败。 4. 在“存储空间”区域，您根据实际需要选择存储Kafka数据的磁盘类型和总磁盘大小。 Kafka实例创建后，磁盘类型不支持修改 。 存储空间包含所有副本存储空间总和，建议根据业务消息体积以及副本数量选择存储空间大小。假设业务存储数据保留天数内磁盘大小为100GB，则磁盘容量最少为100GB副本数 + 预留磁盘大小100GB。 创建实例时会进行磁盘格式化，磁盘格式化会导致实际可用磁盘为总磁盘的93%~95%。 5. 在“容量阈值策略”区域，设置磁盘使用达到容量阈值后的消息处理策略，容量阈值为95%。 自动删除：可以正常生产和消费消息，但是会删除最早的10%的消息，以保证磁盘容量充足。该场景优先保障业务不中断，数据存在丢失的风险。 生产受限：无法继续生产消息，但可以继续消费消息。该场景适用于对数据不能丢的业务场景，但是会导致生产业务失败。 图 创建Kafka实例 步骤 8 设置实例网络环境信息。 1. 在“虚拟私有云”下拉列表，选择已经创建好的虚拟私有云和子网。 说明 虚拟私有云和子网在Kafka实例创建完成后，不支持修改。 子网开启IPv6后，Kafka实例支持IPv6功能。Kafka实例开启IPv6后，客户端可以使用IPv6地址连接实例。 子网开启IPv6后，页面才展示此参数。开启IPv6后，客户端可以使用IPv6地址连接实例。 开启IPv6的实例不支持动态开启和关闭SASLSSL功能。 实例创建成功后，不支持修改IPv6开关。 3. 在“安全组”下拉列表，可以选择已经创建好的安全组。 安全组是一组对Kafka实例的访问规则的集合。您可以单击右侧的“管理安全组”，跳转到网络控制台的“安全组”页面，查看或创建安全组。 步骤 9 设置登录Kafka Manager的用户名和密码。创建实例后，Kafka Manager用户名无法修改。 Kafka Manager是开源的Kafka集群管理工具，实例创建成功后，实例详情页面会展示Kafka Manager登录地址，您可登录Kafka Manager页面，查看Kafka集群的监控、代理等信息。 步骤 10 设置实例购买时长。 当选择了“包年/包月”付费模式时，页面才显示“购买时长”参数，您需要根据业务需要选择。 步骤 11 单击“更多配置”，设置更多相关信息。 1. 设置“公网访问”。 “公网访问”默认为关闭状态，根据业务需求选择是否开启。开启公网访问后，还需要为每个代理设置对应的IPv4弹性IP地址。 图 设置公网访问开关 2. 设置“Kafka SASLSSL”。 客户端连接Kafka实例时，是否开启SSL认证。开启Kafka SASLSSL，则数据加密传输，安全性更高。 “Kafka SASLSSL”默认为关闭状态，您可以选择是否开启。 Kafka实例创建后，Kafka SASLSSL开关不支持修改 ，请慎重选择。如果创建后需要修改，需要重新创建实例。 开启Kafka SASLSSL后，您可以选择是否开启“SASL PLAIN 机制”。未开启“SASL PLAIN 机制”时，使用SCRAMSHA512机制传输数据，开启“SASL PLAIN 机制”后，同时支持SCRAMSHA512机制和PLAIN机制，根据实际情况选择其中任意一种配置连接。Kafka实例创建后，SASL PLAIN机制开关不支持修改。 什么是SCRAMSHA512机制和PLAIN机制？ SCRAMSHA512机制：采用哈希算法对用户名与密码生成凭证，进行身份校验的安全认证机制，比PLAIN机制安全性更高。 PLAIN机制：一种简单的用户名密码校验机制。 开启Kafka SASLSSL后，您需要设置连接Kafka实例的用户名和密码。 3. 设置“Kafka自动创建Topic”。 “Kafka自动创建Topic”默认为关闭状态，您可以选择是否开启。 开启“Kafka自动创建Topic”表示生产或消费一个未创建的Topic时，系统会自动创建此Topic，此Topic的默认参数值如下：分区数为3，副本数为3，老化时间为72小时，不开启同步复制和同步落盘。 如果在“配置参数”中修改“log.retention.hours”、“default.replication.factor”或“num.partitions”的参数值，此后自动创建的Topic参数值为修改后的参数值。例如：“num.partitions”修改为“5”，自动创建的Topic参数值如下：分区数为5，副本数为3，老化时间为72小时，不开启同步复制和同步落盘。 4. 设置“标签”。 标签用于标识云资源，当您拥有相同类型的许多云资源时，可以使用标签按各种维度（例如用途、所有者或环境）对云资源进行分类。 如果您已经预定义了标签，在“标签键”和“标签值”中选择已经定义的标签键值对。另外，您可以单击“查看预定义标签”，跳转到标签管理服务页面，查看已经预定义的标签，或者创建新的标签。 您也可以直接在“标签键”和“标签值”中设置标签。 当前每个Kafka实例最多支持设置20个不同标签，标签的命名规格，请参考管理实例标签。 5. 设置实例的描述信息。 步骤 12 填写完上述信息后，单击“立即购买”，进入规格确认页面。 步骤 13 确认实例信息无误后，提交请求。 步骤 14 单击“返回Kafka专享版”，查看Kafka实例是否创建成功。 创建实例大约需要3到15分钟，此时实例的“状态”为“创建中”。 当实例的“状态”变为“运行中”时，说明实例创建成功。 如果创建实例失败，在信息栏的“创建失败任务”中查看创建失败的实例。请删除创建失败的实例，然后重新创建。如果重新创建仍然失败，请联系客服。 说明 创建失败的实例，不会占用其他资源。

本节介绍如何配置VPC边界防护的黑白名单规则。 添加黑白名单规则 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“访问控制 > VPC边界规则”，进入VPC边界规则页面。 3. 选择“黑名单规则”或“白名单规则”页签，单击“添加黑名单”或“添加白名单”，在弹出的添加黑白名单页面中，填写规则信息。 参数说明如下： 参数名称 参数说明 地址方向 可选择“源地址”或“目的地址”。 源地址：访问流量中的发送数据包的IP地址。 目的地址：访问流量中的接收数据包的IP地址。 名称 自定义规则名称。名称长度不能超过100个字符。 IP地址 支持输入IPv4地址或使用已添加的地址簿： 输入IPv4：使用“/”隔开掩码，如192.168.2.0/24，0.0.0.0/0表示任意地址。 地址簿选择：通过下拉框选择已添加的IP地址簿，添加IP地址簿请参见添加IP地址簿。 描述 （可选）自定义规则描述。 4. 以上所有的字段填写完毕后，点击“确认”时，需要校验这条规则加入后，是否超过客户剩余的规格，若未超过则生成相应的防护规则。 删除黑白名单 单击黑白名单列表操作中的“删除”，弹出删除确认框，确定后删除该黑白名单规则，若是“取消”则关闭对话框。

配置项 说明 客户端来源 访问业务类型的客户端IP或IP组。可填写多个，以逗号“,”分隔。 客户端端口 可配置多个值或区间，多个值间以逗号“,”分隔，例如：1015,20,25,3040。 客户端工具名 支持字符串匹配、正则表达式匹配、分组选择方式匹配。选择字符串，可配多个客户端工具名，使用逗号“,”分隔。 例：db2bp.exe,javaw.exe,plsqldev.exe。 操作系统用户 支持字符串匹配、正则表达式匹配、分组选择方式匹配。 选择字符串，可填多值，多个值间以逗号“,”分隔。 客户端主机名 支持字符串匹配、正则表达式匹配、分组选择方式匹配。 选择字符串，可填多值，多个值间以逗号“,”分隔。

本小节介绍DDoS高防IP联系人管理。 在左侧菜单选择“个人中心”，可查看现有联系人。点击“新增”，可新增联系人。

本文介绍公网VIP的绑定、解绑等操作指导。 公网VIP暂不支持自助购买，如需使用，请联系您的客户经理或线上咨询或拨打客服热线电话，热线电话：4008109889转1。 使用说明 因公网VIP免费提供，未绑定实例的公网VIP仅允许保留7天，超过时限后系统将自动释放，释放前后会有邮件提醒。 绑定了公网VIP的虚拟机网卡产生的流量统一计入同网卡绑定的公网IP关联的带宽实例中。 公网VIP仅允许绑定至虚拟机直通网卡。 查看公网VIP实例 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>虚拟IP>公网VIP】。 3. 选择列表上方的地域即可查看指定地域的公网VIP列表，列表展示有公网VIP地址、VIP适用可用区、绑定实例数等信息。 绑定公网VIP 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>虚拟IP>公网VIP】。 3. 选择列表上方的地域切换至指定地域，选择需要操作的公网VIP，单击操作栏下的【绑定】，在弹窗页，选择需要绑定的虚拟机实例，只有虚拟机实例所在可用区和VIP适用可用区相同时才能绑定，单击【提交】完成公网VIP绑定；亦可以选中后，单击列表上方的【绑定】进行绑定。 4. 绑定成功后还需手动在虚拟机直通网卡上配置对应的公网VIP地址，只有将公网VIP先绑定到虚拟机实例，网卡配置公网VIP后才生效。

权威情报数据 借助国内顶尖厂家共同分析的结果，快速构建威胁信誉库，将诸如僵尸木马活动、恶意代码传播、恶意攻击行为、恶意站点数据等网络安全事件及信誉数据同步至本系统，形成联动能力。 权威安全预警 定时同步国家应急响应中心（CNCERT）的漏洞预警、威胁情报、安全资讯数据，及时明晰最新安全信息。 攻击源警告 当系统检测到远端IP地址存在恶意入侵或者探测行为时，可以配置对应的IP进行告警，告警页面的内容可以自定义，当此IP再次连接Web服务时，对其推送告警界面，以做警示。 恶意网站警告 通过国家应急响应中心信誉库自动同步恶意网站数据，在用户访问恶意网站时，给予及时告警，协助用户识别Web威胁，同时运维管理员可自定义添加恶意网站。 安全态势大屏 支持4种态势大屏，包括全局态势大屏、资产态势大屏、脆弱性态势大屏、威胁态势大屏。

本小节主要介绍RDSPostgreSQL的dblink插件使用方法。 操作场景 RDSPostgreSQL支持 dblink插件，可用于跨库操作。 前提条件 请确保您的实例内核大版本满足，本插件所支持的内核版本，请参考支持的版本插件列表。 注意事项 请确保目标数据库的网络与您的数据库实例互通。 插件使用 安装插件 sql CREATE EXTENSION IF NOT EXISTS dblink; 卸载插件 sql DROP EXTENSION IF EXISTS dblink; 使用示例 sql SELECT dblinkconnect('hostaddr port dbname user password '); 注意能够访问的到实例数据库，网络要通。 IP：目标数据库的IP地址。 DBPORT：目标数据库实例的端口。 DBNAME：目标数据库名称。 USERNAME：目标数据库用户名称。 USERPWD：目标数据库用户密码。 常见问题 更多详情请参见dblink官网文档。

参数 参数说明 参数范围 默认值 min.insync.replicas 当producer将acks设置为“all”(或“1”)时，此配置指定必须确认写入才能被认为成功的副本的最小数量。 1 ~ 3 1 message.max.bytes 单条消息的最大长度（单位：字节）。 0 ~ 10485760 10485760 auto.create.groups.enable 是否开启自动创建消费组功能。 true/false true max.connections.per.ip 每个IP允许的最大连接数。超过此连接数的连接请求将被丢弃。 100 ~ 20000 1000 unclean.leader.election.enable 指示是否启用不在ISR集合中的副本选为领导者作为最后的手段，即使这样做可能导致数据丢失。 true/false true

阻断关系 点击功能菜单>查询搜索>阻断关系，进入此功能界面。 1.此功能用于查看本段和远端之间的阻断或者预阻断的详细信息，详细的阻断信息可以支持导出查看。 2.在阻断搜索界面中，本端和远端都是可以多项选择的。本端只能选择已安装客户端的工作负载，远端可选择工作负载或者IP，可以时非安装客户端的IP，下面可选择单向或者双向进行搜索。

本小节介绍DDoS高防IP告警及防护管理功能。 在左侧菜单选择“告警及防护管理”，可查询告警及防护记录。

本章节主要介绍配置追踪器 。 操作场景 云审计服务管理控制台支持对已创建的管理类追踪器增加OBS转储、LTS转储等相关配置。 用户可以选择是否将已记录的事件发送到OBS桶永久保存。 配置追踪器完成后，系统立即以新的规则开始记录操作。 本节介绍如何配置管理类事件追踪器。 前提条件 已开通云审计服务。 配置管理类事件追踪器 1. 登录管理控制台。 2. 在管理控制台右上角单击图标，选择区域和项目。 3. 单击左上角，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务详情页面。 4. 单击左侧导航树的“追踪器”，进入追踪器信息页面。 5. 在管理类追踪器信息右侧，单击操作下的“配置”。 6. 设置追踪器的基本信息，详见表 追踪器基本参数说明，单击“下一步”。 7. 在配置转储页面，您可以设置追踪器的转储信息。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务（OBS）或配置转储到云日志服务（LTS）。具体参数说明参见表 配置转储到OBS参数说明和表 配置转储到LTS参数说明。 8. 单击“下一步 > 配置”，完成配置管理类事件追踪器。 追踪器配置成功后，您可以在追踪器信息页面查看配置的追踪器的详细信息。 说明 因为CTS所存储的事件是周期性转储到OBS桶的，因此当您配置了追踪器所对应的OBS桶后，当前转储周期内（通常为数分钟）已收到事件会转储到配置后的OBS桶中。例如当前转储周期为12:00~12:05，用户在12:02分修改了当前追踪器对应的OBS桶，那么12:00~12:02分之间收到的事件会在12:05分时转储到新配置的OBS桶中。 9. （可选）在追踪器页面，单击标签列下的，可以为该追踪器添加标签。 标签以键值对的形式表示，用于标识追踪器，便于对追踪器进行分类和搜索。此处的标签仅用于追踪器的过滤和管理。一个追踪器最多添加20个标签。 如果您的组织已经设定云审计服务的相关标签策略，则需按照标签策略规则为追踪器添加标签。详情参考表 标签说明。 表 追踪器基本参数说明 参数名称 说明 追踪器名称 默认为system，不可修改。 企业项目 选择一个企业项目。 说明 企业项目是一种云资源管理方式，由企业项目管理服务提供将云资源统一按项目管理、项目内的资源管理或成员管理。 开启企业项目的具体操作请参考《企业管理服务用户指南》中的“创建企业项目”章节。 表 配置转储到OBS参数说明 参数名称 参数说明 转储到OBS 当“转储到OBS”开关打开时，您可以选择已存在的OBS桶或直接通过配置页面新建OBS桶，并配置事件文件前缀。 如果“转储到OBS”开关关闭时，则无需配置相应参数。 选择OBS 新建OBS桶：在您填写一个桶名后系统将自动为您创建一个OBS桶。 选择已有OBS桶：选择当前区域已创建的OBS桶。 OBS桶名称 当“选择OBS”选择“新建OBS桶”时，直接新建OBS桶名称。OBS桶名称不能为空，仅支持小写字母、数字、“”和“.”，且长度范围为363个字符。禁止两个“.”相邻（如“my..bucket”），禁止“.”和“”相邻（如“my.bucket”和“my.bucket”），禁止使用ip为桶名称。 当“选择OBS”选择“选择已有OBS桶”时，可以选择已存在的OBS桶。 保存周期 管理类事件追踪器的保存周期默认沿用在OBS的配置，不支持修改。 事件文件名前缀 用于标识被转储的事件文件，该字段支持用户自定义，会自动添加在转储事件文件的文件名前端，方便用户快速进行筛选。事件文件名前缀只能由英文字母、数字、下划线（）、中划线（）和小数点（.）组成，且长度范围为064个字符。 表 配置转储到LTS参数说明 参数名称 参数说明 转储到LTS 当“转储到LTS”开关打开时，表示操作事件将转储到日志流中。 日志组名称 当“转储到LTS”开关打开时，日志组名称默认为“CTS”。如果“转储到LTS”开关关闭时，则无需配置该参数。 表 标签说明 参数 说明 举例 标签键 输入标签的键，同一个追踪器标签的键不能重复。键可以自定义，也可以选择预先在标签服务（TMS）创建好的标签的键。 键命名规则如下： 长度范围为1到128个字符。 可以包含任意语种字母、数字、空格和.:+@，但首尾不能含有空格，不能以sys开头。 Key0001 标签值 输入标签的值，标签的值可以重复，并且可以为空。 标签值的命名规则如下： 长度范围为0到255个字符。 可以包含任意语种字母、数字、空格和.:/+@。 Value0001

本文介绍CDN控制台配置的源站域名跟默认回源HOST的区别。 通过CDN控制台添加域名时，【源站设置】中【源站】可以填写域名，【默认回源HOST】也可以填写域名，这两个域名存在如下区别： 源站配置：指您的业务所部署的服务器地址，回源时会访问该服务器地址获取资源。当您配置的源站是域名时，CDN节点会通过公网DNS解析出具体IP地址，并回该IP获取文件。 回源HOST：指CDN回源请求头携带的回源HOST信息，回源请求会访问回源HOST对应的具体站点。如源站服务器IP上存在多个域名站点时，该HOST请求头中的域名将指定访问源站的具体某个站点。 举例： 1. 您配置源站域名为origin.ctyun.cn ，未配置回源HOST，这时回源将回到origin.ctyun.cn解析的IP地址，请求到源站的HOST为用户请求域名，即加速域名。 2. 您配置源站域名为origin.ctyun.cn，回源HOST为test.ctyun.cn，这时回源将回到origin.ctyun.cn解析的IP地址，请求到源站的HOST为test.ctyun.cn。

本节介绍如何配置VPC边界防护的内网互访规则。 添加内网互访规则 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“访问控制 > VPC边界规则”，进入VPC边界规则页面。 3. 选择“内网互访规则”页签，单击“添加规则”，在弹出的添加规则页面中，填写防护规则信息。 规则参数说明如下： 参数名称 参数说明 名称 自定义防护规则名称。名称长度不能超过100个字符。 源IP地址 支持输入IPv4地址或使用已添加的地址簿： 输入IPv4：使用“/”隔开掩码，例如192.168.2.0/24，0.0.0.0/0表示任意地址。 地址簿选择：通过下拉框选择已添加的IP地址簿，添加IP地址簿请参见添加IP地址簿。 源端口 支持输入端口号或使用已添加的地址簿： 输入端口：输入单个端口号或连续的端口号，例如10或110，0表示任意端口。 地址簿选择：通过下拉框选择已添加的端口地址簿，添加端口地址簿请参见添加端口地址簿。 目的IP地址 支持输入IPv4地址或使用已添加的地址簿： 输入IPv4：使用“/”隔开掩码，如192.168.2.0/24，0.0.0.0/0表示任意地址。 地址簿选择：通过下拉框选择已添加的IP地址簿，添加IP地址簿请参见[添加IP地址簿](

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的攻击挑战功能。 功能介绍 攻击挑战，即反复攻击惩罚，指自动阻断在短时间内发起多次 Web 攻击（规则引擎触发）的客户端 IP，一段时间内阻止所有请求，阻断日志可以在攻击日志中查看，可以快速拦截恶意攻击 Web 的 IP，快速应对恶意扫描及代理、Web 攻击威胁等行为，可提升攻防对抗效率。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为基础版及以上版本，支持攻击挑战（反复攻击惩罚）相关功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【Web应用防火墙】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力高级安全防护【攻击挑战】详细设置页。 配置说明 防护开关 攻击挑战功能的总开关，关闭时攻击挑战的配置策略将不生效。 配置项说明 配置项 说明 开关 防护策略开关，可选择开启或者关闭策略 命中防护规则 仅勾选的攻击类型会做统计，勾选范围为目前边缘安全加速平台支持防护的Web攻击类型 封禁对象 即统计粒度，支持一种粒度或两种粒度组合, 支持粒度缺失统计 粒度缺失统计 当客户端IP、客户端端口、服务端口其中两种粒度组合时，不展示,这两个粒度不可能缺失 触发条件 在【统计周期】之内，【统计粒度】触发防护规则次数达到【阈值】次，则执行【处理动作】 统计频率：防护策略的统计周期，支持配置秒、分、时单位 触发阈值：即触发已选攻击类型的攻击阈值。有两种触发条件：命中防护规则达N次、命中防护规则ID达M个，当两者同时配置时，攻击满足两个条件才会触发拦截 封禁时长：即拦截持续时间 处理动作 请求触发攻击挑战策略后的处理动作，可选择拦截或者告警 处理动作持续时长 满足触发条件后，处理动作会持续的时间 例外的规则ID 例外的规则ID，规则ID可在域名规则中查询 例外客户端IP 不需要经过攻击挑战策略的客户端IP 描述 多行文本，能够输入此条防护规则的相关描述，最多支持输入200个字符

Cookie签名 针对Cookie进行签名，会新增一个Cookie签名字段，原始Cookie内容正常发送给用户，当客户端Cookie内容进行了修改，请求在WAF端签名校验不通过，该请求将被拦截。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为高级版及以上版本，支持Cookie防护相关功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【Web应用防火墙】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力高级安全防护【Cookie防护】详细设置页。 配置说明 防护开关 控制策略生效的总开关，可以选择关闭、告警或拦截，关闭后Cookie防护将不生效。 防护条件 配置项 说明 Cookie key 值 设置需要防护的Cookie名称，Cookie必须有参数值，例如：setcookie: SFcookie11ENCRYPTCOOKIE1988262423afZ5ZEIzbEL%3D; Secure; SameSiteStrict, 只有SFcookie11、SameSite可配置为key 防护方式 支持选择加密与签名两种防护方式，需要配置防护动作与防护过渡期 加密：对Cookie值进行加密，客户端查看到的值为加密后的内容 签名：给Cookie值加签名字段，签名方式可选 UA：使用该方式签名，客户UA变换后，Cookie签名验证将不通过 IP+HOST+UA：泛域名模式下，加签HOST字段 IP+UA：使用该方式签名，客户IP或使用浏览器改变后，使用之前Cookie防护验证不通过 IP：使用该方式签名，客户ip变换后，Cookie签名验证将不通过 防护动作 拦截/清除 拦截：Cookie值检测不通过将拦截请求，并清除Cookie 清除：Cookie检测不通过清除该Cookie回源，总开关为拦截，防护动作为清除，最终效果仍为清除 防护过渡期 在过渡期内（即在配置的时间之前），检测失败不会进行拦截，只会清除Cookie值，重新登录后将下发新的Cookie值 Cookie属性 支持选择HTTP Only和secure 设置后Cookie不允许js读取，有效防止xss盗取客户Cookie，配置后，Cookie响应头部增加值Http Only，若源站响应已存在Http Only，会同时存在 secure：Cookie设置为secure的时候，客户端只能通过https协议发送Cookie，无法通过http发送

参数名称 参数描述 告警级别 发现的告警事件的等级。 服务器名称 目标告警对应的服务器。 告警名称 目标告警的名称。 告警时间 发现告警的时间。 攻击源IP 目标告警的IP地址。 攻击源URL 目标告警的URL地址。

威胁告警 广义的威胁告警是指由于自然因素、人为因素或软硬件本身的原因，对信息系统造成危害的事件，或对社会造成负面影响的威胁。对于态势感知（专业版）来讲，威胁告警泛指根据大数据分析检测出的，对用户资产产生威胁的安全事件。 事件 事件是一个广泛的概念，可以包括告警，但不限于此，它可以是系统正常操作的一部分，也可以是异常或错误。在运维和安全领域，事件通常指的是已经发生并需要被关注、调查和处理的问题或故障。事件可能由一条或多条告警触发，也可能由其他因素（如用户操作、系统日志等）引发。 事件的目的是为了记录、分析、报告或审计，通常用于记录和报告系统的历史行为，以便于分析和审计。 告警 告警是运维中的一种异常信号的通知，通常是由监控系统或安全设备在检测到系统或网络中的异常情况时自动生成的。例如，当服务器的CPU使用率超过90%时，系统可能会发出告警。这些异常情况可能包括系统故障、安全威胁或性能瓶颈等。 告警通常有明确的指示性，能够明确指出异常发生的位置、类型和影响。同时，告警可以按照严重程度来进行分类，如紧急、重要、一般等，以便运维人员根据告警的严重程度来决定哪些需要优先处理。 告警的目的是及时通知相关人员，以便能够迅速响应并采取措施解决问题。 当态势感知（专业版）检测到的云资源中存在的异常情况（例如，某个恶意IP对资产攻击、资产已被入侵等）时，将以告警的形式将威胁信息展示在态势感知（专业版）告警管理界面中。

本章介绍天翼云关系型数据库如何弹性变更配置。 选择需要变更的实例，点击“更多”，选择“规格变更”进行变更操作

本文介绍如何设置容器组。 容器组是Kubernetes部署应用或服务的最小的基本单位。一个容器组可以封装多个应用容器(也可以只有一个容器）、存储资源、一个独立的网络IP以及管理控制容器运行方式的策略选项。 用户创建完应用，查看【容器组列表】。 容器组列表页中内容包括：实例名称、状态、实例IP、所在节点、就绪容器（已就绪/全部）、创建时间、操作（编辑YAML、监控、删除）。编辑YAML界面： 点击具体容器组，可进入容器组详情页，在此可查看到容器组详情，且可根据需求，对容器、监控、容器终端、日志、事件进行查看和监控。

天翼云弹性高性能计算支持使用OpenFOAM软件进行流体力学仿真计算,本文为您介绍该应用场景下的操作步骤。 背景信息 OpenFOAM全称Open Source Field Operation and Manipulation，是一款对连续介质力学问题进行数值计算的软件，可进行数据预处理、后处理和自定义求解器，常用于计算流体力学(CFD)领域。 准备工作 ● 已创建弹性高性能计算EHPC集群。 ● 已创建集群用户。 ● 需要安装的软件：OpenFOAM 10、gcc/11.4.0 和 Intel OneAPI 2022.2.0。 操作步骤 1.登录EHPC集群，安装OpenFOAM 10。 加载编译环境变量： 加载gcc和Intel编译器等环境变量 $ module load gcc/11.4.0 tbb/2021.6.0 compilerrt/2022.1.0 oclfpga/2022.1.0 compiler/2022.1.0 mpi/2021.6.0 mkl/2022.1.0 $ export MPIROOT/mnt/nvme0n1/hpc/inteloneapi/mpi/2021.6.0 $ cd ThirdParty10version10 $ source etc/bashrc 先后编译ThirdParty和OpenFOAM两个文件夹： $ cd ThirdParty10version10 $ ./Allwake j $ cd $ cd OpenFOAM10 $ ./Allwake j $ cd 2.测试步骤。 演示测试样例cavitatingBullet： cd OpenFOAM10/tutorials/multiphase/interFoam/laminar/cavitatingBullet 修改Allrun文件： !/bin/sh cd ${0%/} exit 1 Run from this directory export OMPIALLOWRUNASROOT1 export OMPIALLOWRUNASROOTCONFIRM1

本节介绍如何查看已有应急策略。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“风险预防> 策略管理”，进入策略管理页面后选择“策略视图”页签，进入应急策略策略管理页面。 5. 应急策略管理页面默认进入“策略视图”页面，查看任务下发成功的应急策略统计情况： 策略过期分布：以饼图形式呈现“自动过期”策略占比，并统计“有自动过期”和“无自动过期”的策略数量。 策略分布：以柱状图形式呈现各个防线类型的“阻断”和“加白”策略类型的策略数量。应急策略支持的防线类型请参考约束与限制说明。 阻断区域Top5：以条形图呈现策略对象所在的区域，仅统计Top5区域的应急策略数量分布情况。 应急策略列表：以列表形式呈现应急策略基本信息。策略列表参数说明如下： 参数名称 参数说明 策略对象 策略对象，一个策略对象单独呈现一行。 当“对象类型”是“IP”时：此处呈现IP地址。 当“对象类型”是“域名”时：此处呈现单个域名。 当“对象类型”是“账号”时：此处呈现云服务账号（IAM用户名）。 策略类型 策略类型：“阻断”或“白名单”。 “阻断”：阻断的策略对象将被禁止访问。 “白名单”：加入白名单的策略对象访问请求将被放行。 对象类型 策略的对象类型。 当“策略类型”是“阻断”时，对象类型可选范围有“IP”、“账号”、“域名”。 当“策略类型”是“白名单”时，对象类型可选范围有“IP”、“域名”。 防线类型 策略的防线类型。 应急策略支持的防线类型有CFW/WAF/VPC。 区域 策略中的操作连接对应的区域。 标签 策略的标签信息。 创建人 策略的创建人信息。 自动过期 显示策略自动过期时间与当前时间的间隔。 过期时间 策略的自动过期时间点。 描述 策略的描述信息，该参数默认隐藏。单击应急策略列表上方搜索框最右侧的设置按钮，支持对应急策略列表进行如下设置： “基础设置”： “表格内容折行”：启用此能力可让表格内容自动折行，禁用此功能可截断文本。 “操作列”：启用此能力可让操作列固定在最后一列永久可见。 “自定义显示列”：自定义应急策略列表参数显示列，勾选参数前的则该参数会在列表中显示，去勾选参数前的则对应参数不在列表中显示。 创建时间 策略的创建时间。 操作 对策略进行编辑、删除等操作。详细操作指导参考[编辑策略](

本文介绍应用托管的功能特性。 应用全生命周期管理 提供从构建、交付、管理到运维的全生命周期应用管理能力，支持多种方式灵活构建应用、通过模板标准化交付、一站式管理应用访问与资源，提供持续运维能力。 高效便捷的应用市场和MCP市场 提供丰富多样的应用资源库，涵盖开源工具、模型算法、AI应用、MCP服务等多种类型，满足不同业务场景下的功能扩展与集成需求。支持一键部署，简化传统应用安装与配置的复杂流程，显著提升部署效率。 持久化应用存储 为应用提供持久化存储，支持多种存储类型和性能规格，提供多途径文件接入方式。 灵活资源分配与团队协作 支持完善的项目空间管理能力，实现多项目、多团队的高效协作与资源隔离，灵活配置人员、角色与权限体系，实现对成员访问范围与操作权限的精细化控制。 弹性伸缩 具备弹性伸缩能力，一种根据系统负载情况自动调整资源配置的机制，旨在确保系统在不同的业务场景下都能保持良好的性能和稳定性，同时避免资源的浪费。

本小节介绍安全专区云数据库审计客户端安装方法。 下载客户端 下载客户端，选择对应的客户端进行下载。 安装步骤 1.下载安装包，根据包中的Agent安装手册提示完成安装及连接配置。 2.填写信息，进行客户端与云数据库审计的连接。 3.在Windows上安装Agent客户端，默认安装即可。 4.执行Agent,选择接收、发送数据包的网卡，并填写相应的信息。 IP地址：云数据库审计管理口地址192.168.0.225； 抓包端口：本地数据库端口，如默认ORACLE端口1521，MSSQL默认1433，MYSQL默认3306，如需添加多个端口，请使用逗号进行分隔； 服务端口：默认云数据库审计设备服务端口，默认9999，请使用默认配置； 缓冲队列个数：缓冲队列大小，使用默认配置即可； 收发网卡：请根据实际情况进行选择，程序支持自动发现功能。 注意 Agent必须要保证始终运行，才能将本地数据库连接信息发送给审计设备，一旦关闭，将不会向审计系统发送本地审计数据，因此请将Agent设置为服务。 5.运行后，如出现如下内容，表示工作，并正常发送数据包。 6.连接成功后，可到【部署方式】，查看已连接到的客户端。 完成以上操作部署后，可在安全专区平台进行日常运营。

本节介绍如何安装混合备份客户端。 操作场景 混合备份通过客户端提供备份服务。备份操作前，需要在备份目标机器中安装客户端，可在控制台进行客户端安装操作。 约束与限制 操作系统限制：支持Windows7/10/11系列、Windows Server 2008/2012/2016/2019/2022系列、Ubuntu16/18/20系列、Centos6/7/8系列、统信UOS20、银河麒麟V10、阿里龙蜥8、其他通用Linux系列64位操作系统。 由于云备份服务需要与存储库端网络可达，请在目标机器端放行880、8888、8899端口。 备份目标机器必须处于开机状态，与存储库端网络可达。 每个目标机器仅允许安装一个客户端。若想更新客户端至最新版本，可以升级客户端。 操作步骤 1. 登录控制中心。 2. 在控制中心左上角点击，选择地域，此处选择华东华东1。 3. 选择“存储>云备份>混合备份（存储版）”，进入“主机列表”页签，点击“下载客户端”按钮，根据目标机器的CPU架构和操作系统选择对应的和客户端类型。 4. 若选择Windows类型 1. 选择存储库和网络传输方式。 1. 若选择公网方式，无需填写对应IP。 2. 若选择非公网方式，需先创建连接备份服务（华东1的备份服务实例ID为endpseryanvu0zc7z）的终端节点VPCE，创建好终端节点后在下载备份客户端界面填写终端节点IP地址。 2. 点击“下载”按钮，并将安装包拷贝到对应备份主机上。 3. 解压安装包，得到app.config文件和exe安装程序。 4. 确保解压出的两个文件在同级目录下，以管理员权限运行exe安装程序。 5. 选择安装路径，默认安装路径为：“C:Program Filesxclient”。 6. 点击下一步，等待安装完成，安装成功后，在“主机列表”页签中，查看目标机器为“在线”状态，即可为目标机器进行不同类型的数据备份。 5. 若选择Linux类型（Ubuntu、CentOS、统信、银河麒麟、阿里龙蜥、通用Linux） 1. 选择存储库和网络传输方式。 1. 若选择公网方式，无需填写对应IP。 2. 若选择非公网方式，需先创建连接备份服务（华东1的备份服务实例ID为endpseryanvu0zc7z）的终端节点VPCE，创建好终端节点后在下载备份客户端界面填写终端节点IP地址。 2. 点击“生成脚本”按钮，复制下载命令到对应备份主机上执行，获取客户端安装脚本。 3. 选择系统账户（备份oracle数据库时需要选择oracle账户，其他备份选择系统账户），点击“复制在线脚本”或“复制离线脚本”。 4. 在对应备份主机上执行上一步的脚本，等待客户端安装完成，安装成功后，在“主机列表”页签中，查看目标机器为“在线”状态，即可为目标机器进行不同类型的数据备份。

id19d31edc90271) 方式二：单独分享skill给好友 如何将OpenClaw的Skills迁移至其他云电脑？ OpenClaw云电脑的Skills 技能：cctvnewsfetcher 描述：专注于国内时政信息的获取工具。它可以精准检索并提取指定日期的《央视新闻联播》文字内容或摘要，帮助你快速掌握官方发布的重大新闻和政策动向。 提示词：帮我获取昨天《央视新闻联播》的完整内容。 技能：chinatelecommail 描述：预置集成的邮件管理助手，适配中国电信邮箱服务。只需简单配置，即可直接通过对话完成邮件的发送、接收、查询和管理，实现办公自动化。 提示词：给张三发个邮件，告诉他会议推迟到下午3点。 配置方式： 1. 生成OpenClaw专属邮箱授权密码，再把密码记录起来。 2. 在OpenClaw中配置账号密码：“这是邮箱账号和密码：[邮箱账号] [邮箱密码] 请配置到技能：chinatelecommail的config.toml文件中”。 技能：findskills 描述：OpenClaw 生态的“导航员”。只需用自然语言描述需求，它就能推荐并一键安装合适的技能，极大降低了探索成本。 提示词：我想找一个能智能处理图片的技能，有推荐的吗？

本文介绍横向扫描防护的适用场景和配置方法。 基本概念介绍 横向扫描主要指的是黑客在利用某个漏洞获取网络访问权后，进行收集系统其他信息来实施精确的攻击行为。例如员工点击钓鱼邮件导致办公电脑被安装了远控木马，黑客利用员工电脑上VPN内网环境，进而对企业的内网进行横向扫描，扫描如果没有合适的预防措施，则可能导致黑客获取某个点的访问权后，扩大攻破其他点，造成影响面扩大。 功能说明 针对横向扫描的行为进行设定不同策略模版，如IP类横向渗透防护、域名类横向渗透防护，支持针对单用户账号，设备，相同公网IP进行不同协议、端口、地址的组合判断其频次，若高于异常则进行阻断或挑战认证。同时，网关支持接收处置动作的取消处置，并把取消处置动作下发给对应客户端。该功能是实时统计，达到阈值立即处置。 配置说明 参数 说明 处置粒度 支持根据设备，账号，公网IP三种类型作为处置粒度，会对所选粒度的访问行为进行统计和处置，其中设备是关联到账号的最小处置粒度 ，处置粒度选择为设备时只会对触发规则的账号当前登录设备进行处置，当处置粒度为账号时，在处置动作生效时期，该账号登录其他设备同样会被处置。 统计粒度 统计上方所选处置粒度在周期内对该统计粒度不同地址的请求次数，支持按照域名+端口或协议+IP+端口两种粒度。 统计周期 单位秒。 访问次数 单位次数。 处置时间 单位秒。 处置动作 监控：仅监控观察，不对网络连接、访问权限进行任何干预。 挑战认证：需通过配置的认证方式完成身份认证，才能继续访问内网。 禁止访问内网：关闭对内网环境资源的访问权限，即无法连接公司 / 单位内部系统、共享文件等内网资源。 注销登录：退出当前客户端登录状态，若账号不符合安全要求，将持续触发注销。 提示语 针对不同处置动作均默认设置有对应提示语，可进行自定义修改。

本节主要介绍如何使用API删除服务器属性。 此操作用来删除服务器targetPortalIP配置。 请求语法 plaintext DELETE /rest/v1/system/server/serverId/targetportalIP HTTP/1.1 Date:date Host: ip:port Authorization:authorization 请求参数 参数 类型 描述 是否必须 serverId String 要删除targetPortalIP配置的服务器ID 是 请求示例 删除hblock1的iSCSI目标门户IP。 plaintext DELETE /rest/v1/system/server/hblock1/targetportalIP HTTP/1.1 Date: Thu, 17 Mar 2022 01:01:08 GMT Authorization: HBlock userName:signature Host: 192.168.0.121:1443 响应示例 plaintext HTTP/1.1 204 No Content xhblockrequestid: 821c5921163f47d292aa281887c551f3 Connection: keepalive Date: Thu, 17 Mar 2022 01:01:09 GMT Server: HBlock

本节介绍天翼量子AI云电脑客户端支持的系统、浏览器版本，以及下载地址。 说明：新版本客户端目前处于灰度测试阶段，将逐步向更多用户开放，感谢您的耐心等待。 若您希望申请试用，可发送邮件至指定邮箱：clouddesktop@chinatelecom.cn 1. 前言 欢迎广大用户下载安装天翼量子AI云电脑全新视觉客户端，当前文档适用于Windows客户端，Mac客户端，Ubuntu瘦终端，安卓瘦终端，国产化终端（银河麒麟/统信UOS），Web客户端的使用帮助文档。 2. 产品定义 天翼量子AI云电脑是云计算技术和终端相结合的创新型产品。依托中国电信优质云网资源，结合自主研发的Clink数据安全传输协议，实现低延时、高画质、带宽占用少、多终端接入，打造从端到云全链路的安全防护体系，用户通过终端快速访问调取云端资源，实现统一管理、便捷维护，多重数据安全防护，随时随地共享数据、安全办公。 3. 客户端支持的最低系统版本 天翼量子AI云电脑客户端支持Windows，MacOS12.0，Android7.0，iOS10、Ubuntu18.04，UOS V20，Kylin V10等以上系统版本。 4. Web客户端接入的最低浏览器版本 支持Chrome70+、Firefox72+、edge、UOS 5.2.1200+、奇安信1.0.1365+等浏览器接入。Web客户端访问地址：[

参数 取值示例 说明 优先级 0 表示该条记录的优先级，0优先级最高，表示配置优先级最高。 TYPE host 支持配置以下取值： host：该条记录验证TCP/IP连接，包括SSL连接和非SSL连接。 hostssl：该条记录只验证通过SSL建立的TCP/IP连接。 hostnossl：该条记录只验证通过非SSL建立的TCP/IP连接。 DATABASE all 允许用户访问的数据库，all表示允许用户访问所有数据库。如果配置多个，可通过逗号（,）分隔，配置的数据库必须是已存在的且不能是template0，template1这两个数据库。 USER user0 允许哪些用户访问数据库，填写创建数据库账号中创建的用户名。如果配置多个，可通过逗号（,）分隔。必须是已创建的用户且不能配置成内置用户，如：rdsAdmin, rdsMetric, rdsBackup, rdsRepl, rdsProxy。 ADDRESS 0.0.0.0/0 ::0/0 允许用户从哪个或哪些IP访问数据库，0.0.0.0/0（IPv4地址）和::0/0（IPv6地址）表示允许用户从任意IP地址访问数据库。 说明 修改后不在该网段的IP将会连接不上，请谨慎修改。 MASK 空 掩码。如果ADDRESS为IP地址，可以通过此参数指定IP地址的掩码。 METHOD md5 认证方法，支持： reject scramsha256 md5

单节点配置 eth0 10.218.14.144 22 idc1 teledb Car@87v5@K5 OssCenterMasterConfdbEtcd 这里是master 高可用三节点控制台的配置 eth0 10.218.14.144 22 idc1 teledb Car@87v5@K5 OssCenterMasterConfdbEtcd eth0 10.218.14.145 22 idc1 teledb Car@87v5@K5 OssCenterSlaveConfdbEtcd eth0 10.218.14.146 22 idc1 teledb Car@87v5@K5 OssCenterSlaveConfdbEtcd 高可用版本： 单机版本： 执行如下命令修改配置文件ossdcp.conf plaintext cd /app/teledbdeployx86centos/teledbxmgr/conf/oss/ vim ossdcp.conf 您可按照如下模版修改配置文件内容： plaintext ossdcp.conf文件说明 ZKCONNECTSTRING10.218.14.143:8035 填写zk的ip和端口 ZKNODEPATH/services/teledbx zk的注册信息 （可通过查询install.cfg 的registerRootPath行信息获取，使其保持一致） ZKSESSIONTIMEOUT60 不需要修改 ENABLEORDERREPLYtrue ORDERREPLYIP10.218.14.143 填写机器的IP ORDERREPLYPORT9011 不需要修改 ORDERREPLYURL/teledbdcp/v1/workorder/notifyResult 不修要修改 PUSHGATEWAYENABLEDfalse PUSHGATEWAYURL

步骤四：手动为封禁IP解封 说明 当IP解封后，访问频率未超过设定阈值时，不会被封禁。 解除BOT防护动态拦截 1. 在“防护配置 > 对象防护配置”页面，选择“安全防护”页签，定位到“BOT防护”模块。 2. 单击拦截列表右侧的“解除拦截”，进入动态拦截页面。 3. 对于正在拦截中的对象，单击操作列的“解除拦截”可放开拦截。 解除攻击惩罚 1. 在“防护配置 > 对象防护配置”页面，选择“系统配置”页签，定位到“攻击惩罚”模块。 2. 单击惩罚列表右侧的“前去查看”，进入惩罚列表页面。 3. 对于正在惩罚中的拦截对象，单击操作列的“解除惩罚”可放开惩罚对象封禁。