微隔离防火墙(CTMIFW,Microisolation Firewall)是面向数据中心的跨平台统一安全管理软件,能够对数据中心的内部流量进行全面精细的可视化分析和高细粒度的安全策略管理,能够帮助用户快速便捷地实现环境隔离、域间隔离以及端到端隔离。与云下一代防火墙互补,实现纵深防御。

本小节介绍DDoS高防IP计费类常见问题。 天翼云DDoS高防IP是付费产品吗？ 天翼云高防IP作为天翼云安全业务的一个重要产品，作为付费的增值业务服务产品提供给天翼云客户。需要用户购买，收费的标准详见天翼云高防IP实例购买页面。 防护实例过期后是否会直接终止业务？ 防护资源过期后，会留存客户配置10个工作日的时间供客户进行续费。

本章介绍天翼云关系型数据库在连接时的常见问题及解决办法。 外部服务器能否访问RDS数据库 开通公网访问的实例 对于开通公网访问功能的关系型数据库实例，可以通过外网进行访问。 未开通公网访问的实例 在虚拟私有云中开通虚拟专用网络（Virtual Private Network，简称VPN），通过虚拟专用网络连接关系型数据库。 将关系型数据库与弹性云服务器创建在同一个虚拟专用网络下，通过弹性云服务器来访问关系型数据库。 客户端问题导致连接失败 客户端问题导致连接关系型数据库失败，可以从以下几个方面检查。 1. 弹性云服务器的安全策略 对于Windows平台，可检查Windows的安全策略是否开放关系型数据库端口。对于Linux平台，可使用iptables检查防火墙及端口的放行情况。 2. 应用配置错误 常见的有连接地址写错、端口参数配置错误和JDBC等的连接参数配置错误。 3. 用户名或密码错误 如果连接数据库时出现类似如下错误，请检查用户名或密码是否正确。 [Warning] Access denied for user 'username'@'yourIp' (using password: NO) [Warning] Access denied for user 'username'@'yourIp' (using password: YES) Login failed for user 'username' 说明 如问题仍未解决，请联系售后技术支持。 服务端问题导致连接失败 关系型数据库服务端可能出现的问题如下，请依次进行检测。 1. 连接方式有误。 解决方法：检查连接方式。如果是通过内网连接RDS实例，弹性云服务器与关系型数据库实例必须处于同一虚拟私有云内，且只能通过弹性云服务器连接。如果通过公网连接RDS实例，该弹性云服务器可以与目标实例不在同一个虚拟私有云内。 2. 连接数满。 解决方法：通过关系型数据库服务的资源监控功能查看连接数、CPU使用率等指标是否正常。如果达到上限，需要重启关系型数据库实例数据库，断开实例连接或升级关系型数据库实例规格解决。 3. 实例状态异常。比如实例重启卡住，关系型数据库系统故障，实例或表被锁定等。 解决方法：尝试重启功能。如果无法解决，请联系售后技术支持。

本节主要介绍环境准备 创建微服务引擎前，您需要创建虚拟私有云（Virtual Private Cloud，以下简称VPC），并且已配置好安全组与子网。VPC为专享版的微服务引擎提供一个隔离的、用户自主配置和管理的虚拟网络环境，提升公有云中资源的安全性，简化云上网络部署。 背景介绍 如果用户已有VPC，可重复使用，不需要多次创建。 只有在相同VPC下的客户端才可以访问专享版微服务引擎。 操作步骤 1、登录管理控制台，进入控制中心，选择“网络 > 虚拟私有云”。 2、单击页面右上方的“创建虚拟私有云”，创建虚拟私有云。 3、根据界面提示创建虚拟私有云和子网。 如无特殊需求，界面参数均可保持默认。 创建虚拟私有云时，会同时创建子网，也可额外创建新的子网。

本文介绍了扩容存储库的操作步骤,您可在存储库容量不够时,及时进行扩容。 操作场景 创建存储库后，当业务增大或备份量增多，存储库容量无法满足需求，可以考虑扩容存储库，获得更高的灵活性和可扩展性，同时确保数据的安全性。 使用须知 扩容容量为在原有基础上增加的容量。 金额计算公式为：剩余天数扩容后的单日金额差价本次收取金额。 单个存储库的容量为100GB – 1024000GB，扩容最小取值为1GB。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择上海上海36。 3. 在系统首页，选择“存储>云主机备份”。 4. 在控制台左侧导航栏，选择“存储库管理”。 5. 在“云主机备份”页签，选择要扩容的存储库，点击操作列下的“扩容”。 6. 在弹出的弹窗中，设置需要扩容的容量，点击“确定”并完成支付，即可完成扩容。

本文为您介绍如何查看审计事件。 当您已开通云审计服务，系统开始记录云服务资源的操作，并支持查看近7天的操作事件。 本文为您介绍如何在云审计控制台查看操作审计事件。 前提条件 已开通云审计服务。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在控制台列表页，选择“云审计”。 4. 进入云审计控制台后，点击侧边栏“事件列表”。 5. 进入事件列表页面，事件列表上方支持通过筛选条件查询。 云审计支持五个维度的组合查询，说明如下： 时间筛选：支持快速点选近30分钟、近1小时、近1天、近7天的时间范围，也支持自定义时间范围。 读写类型：支持根据事件的读写类型进行筛选。 事件级别：支持根据事件等级进行筛选，当前事件等级包括normal（代表本次操作成功）、warning（代表本次操作失败）。 操作用户：支持根据同一租户下的不同主子账号进行筛选。 事件来源、资源类型、资源筛选：支持以资源维度进行多层级的筛选，最细粒度支持具体某个资源实例的筛选。 6. 筛选条件选择完成，点击“查询”，符合条件的事件将以列表显示出来。

本节介绍如何查看云安全中心审计事件。 支持审计的操作列表 事件名称 读写类型 资产管理资产导入模板下载 写类型 资产管理资产导入 写类型 告警管理工单处置小结上传文件 写类型 资产管理资产导出 读类型 分析中心图表分析导出 读类型 告警管理工单处置小结下载文件 读类型 查看云审计事件 1. 登录云审计产品控制台，默认进入云审计事件列表页面。 2. 事件来源 选择“安全”，资源类型选择“云安全中心”，单击“查询”，筛选云安全中心事件。 3. 在需要查看的事件左侧，单击展开该事件的详细信息。 4. 在需要查看的事件右侧，单击操作列的“查看详情”，弹出一个窗口显示该操作事件结构的详细信息。 关于事件详情中字段详解，请参见审计服务事件参考。

约束限制 病毒查杀过程中会占用较多的内存、CPU、IO等资源，请在服务器空闲时进行病毒查杀。 快速查杀 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、选择“主动防御 > 病毒查杀”，进入“病毒查杀”界面。 4、单击“快速查杀”，弹出“快速查杀”对话框。 5、根据界面提示，填写“快速查杀”任务相关参数。 任务名称：您可自定义一个任务名称。 选择服务器：选择需要进行快速查杀的服务器。 说明 服务器处于查杀状态中时，不能被选择。 处置策略：选择针对检测到的病毒文件的处理方式。 自动处置：经过云病毒检测中心进一步确认为病毒的病毒文件系统自动进行隔离；未被确认为病毒的可疑文件会被打上“可疑”标签，需人工确认后进行处置。 人工处置：仅对检测到的病毒文件展示告警不自动隔离，需人工确认后进行处置。 6、单击“开始扫描”，启动查杀任务。 全盘查杀 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、选择“主动防御 > 病毒查杀”，进入“病毒查杀”界面。 4、单击“全盘查杀”，弹出“全盘查杀”对话框。 5、根据界面提示，填写“全盘查杀”任务相关参数。 任务名称：您可自定义一个任务名称。 选择服务器：选择需要进行全盘查杀的服务器。 说明 服务器处于查杀状态时，不能被选择。 全盘扫描，不扫描网络目录。 处置策略：选择针对检测到的病毒文件的处理方式。 自动处置：经过云病毒检测中心进一步确认为病毒的病毒文件系统自动进行隔离；未被确认为病毒的可疑文件会被打上“可疑”标签，需人工确认后进行处置。 人工处置：仅对检测到的病毒文件展示告警不自动隔离，需人工确认后进行处置。 6、单击“开始扫描”，启动查杀任务。

本节介绍订购集群联邦。 订购联邦 订购步骤 1. 在CCEONE控制台右上方侧点击“创建联邦”按钮。 2. 在“订购创建联邦”页面，选择计费模式、联邦名称、容器舰队、企业项目、虚拟私有云、所在子网、安全组、ApiServer访问、是否使用EIP暴露ApiServer、删除保护等参数，选择好了后点击"下一步"。 3. 在“开通配置”页面确认创建配置符合要求后，勾选同意“服务协议”，勾选好了后点击“提交订单”。 4. 返回CCEONE控制台，查看开通状态，待实例处于“运行”状态后开通成功，可点击实例进入控制台操作联邦实例。 约束条件 项目 约束 计费模式 当前只支持“按需计费”模式。 联邦名称 实例名称不可重复；实例名称长度4~40个字符，大小写字母开头，只能包含大小写字母、数字及分隔符()，大小写字母或数字结尾。 容器舰队 容器舰队可提供多集群的统一管理，包括统一的权限管理、统一的安全策略、统一的配置管理以及统一的多联邦管理、网格等能力。 舰队成员集群与联邦之间若存在跨资源池互通需求，后台默认尝试公网互联方式；若需调整，请在订购后至联邦控制台进行设置。 企业项目 可选择已有企业项目，或者在IAM创建新的企业项目。 虚拟私有云 建议联邦实例与成员集群间网络尽可能同资源池同 VPC，可最大化降低管理流量跨网跨资源池互通的成本。 所在子网 请选择虚拟私有云子网，集群的节点将部署在此子网中，并申请子网的 IP。当子网开启IPv6时，云资源（云主机、物理机）将开启 IPv4/IPv6 双栈。 ApiServer访问 请您根据需求选择合适的ELB规格，系统将据此创建一个私网ELB实例作为 APIServer 的负载均衡器，若删除该ELB实例会导致 APIServer 无法访问。 安全组 可自动生成或者选择已有安全组，需要确保联邦访问端口在虚拟私有云的子网里为放通状态。 是否使用EIP暴露ApiServer 获得您的授权，以委托方式新建 EIP 并按 EIP 实际使用量收费，未开启，无法通过公网访问 APIServer。 删除保护 防止通过控制台或API误删除联邦控制面，删除联邦控制面实例不会对用户容器集群造成任何影响，理论上也不影响已调度完成的应用。

本节介绍智算容器退订。 如果您有退订的需求，可以进行登录天翼云管理中心或云容器引擎控制台进行退订操作。天翼云目前支持7天无理由全额退订和非七天无理由退订以及其他退订，详细规则请参考文档费用中心退订。

本章节为您介绍什么是WAF日志分析。 Web应用防火墙（原生版）日志分析服务是高效采集并存储云产品实例及域名的Web访问与攻击日志。 基于天翼云平台自有能力，提供查询分析、报表、实时告警及多系统对接，助您聚焦安全分析，简化运维。满足等保合规与数据安全要求。 适用对象 存在云端主机、网络设备及安全日志的归档与合规存储需求的大型企业与机构。 期望依托云端资产日志开展高级威胁分析，并构建告警的自动化响应流程的企业。 对云端业务安全事件需进行溯源分析，或需提供定期安全报告（周报/月报/年报），以及需满足三级及以上等保要求的用户。 部署有自主安全运营中心的企业（如大型地产集团、电商平台、金融机构及政府单位），需将其安全告警等日志进行集中化管理与运营。 功能优势 等保合规：存储网站六个月以上的访问日志，助力企业符合等保合规要求。 一站式托管：依托天翼云云日志服务产品，提供从采集、存储、加工、检索分析、投递的一站式日志服务，免人工运维。 配置灵活： 通过便捷设置，即可启用 Web 访问日志与安全攻击日志的采集功能。 支持自定义 WAF 日志的存储方案，并可指定待采集日志的保护对象（如云产品实例、域名）。 支持根据实际业务或安全需要，定制专属报表模板（修改预设模板或新建自定义模板），助力您实时掌握业务的安全态势。

本章节为您介绍什么是WAF日志服务。 Web应用防火墙（原生版）日志服务高效采集并存储云产品实例及域名的Web访问与攻击日志。 基于天翼云平台自有能力，提供查询分析、报表、实时告警及多系统对接，助您聚焦安全分析，简化运维。满足等保合规与数据安全要求。 适用对象 存在云端主机、网络设备及安全日志的归档与合规存储需求的大型企业与机构。 期望依托云端资产日志开展高级威胁分析，并构建告警的自动化响应流程的企业。 对云端业务安全事件需进行溯源分析，或需提供定期安全报告（周报/月报/年报），以及需满足三级及以上等保要求的用户。 部署有自主安全运营中心的企业（如大型地产集团、电商平台、金融机构及政府单位），需将其安全告警等日志进行集中化管理与运营。 功能优势 等保合规：存储网站六个月以上的访问日志，助力企业符合等保合规要求。 一站式托管：依托天翼云云日志服务产品，提供从采集、存储、加工、检索分析、投递的一站式日志服务，免人工运维。 配置灵活： 通过便捷设置，即可启用 Web 访问日志与安全攻击日志的采集功能。 支持自定义 WAF 日志的存储方案，并可指定待采集日志的保护对象（如云产品实例、域名）。 支持根据实际业务或安全需要，定制专属报表模板（修改预设模板或新建自定义模板），助力您实时掌握业务的安全态势。

本文介绍Serverless集群概述。 产品简介 云容器引擎Serverless版是天翼云提出的Serverless Kubernetes容器服务。与传统Kubernetes集群相比，Serverless集群无需购买节点即可直接部署容器应用，同时无需对集群进行节点维护和容量规划，降低了Kubernetes使用门槛，让用户更专注于应用程序，而不是管理底层基础设施。Serverless集群提供完善的Kubernetes兼容能力，您可以轻松迁移已有的Kubernetes应用到Serverless集群上，并且根据应用配置的CPU和内存资源量进行按需付费。 使用场景 互联网企业：大规模业务上线生产环境，对管控的稳定性、可观测性和安全性有较高要求。 大数据计算企业：大规模数据计算、高性能数据处理、高弹性需求等类型业务，对集群稳定性、性能和效率有较高要求。

本文向您介绍通过企业版VPN实现数据中心和VPC互通的第一步：创建VPN网关。 前提条件 虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见《虚拟私有云用户指南》。 虚拟私有云VPC中ECS的安全组规则已经配置，并确保安全组规则允许数据中心的对端网关可以访问VPC资源。如何配置安全组规则，请参见《虚拟私有云用户指南》。 操作步骤 1. 登录管理控制台，单击“网络 > VPN”进入VPN控制台。 2. 在左侧导航栏，单击“虚拟专用网络 > 企业版VPN网关”。 3. 在“VPN网关”界面，单击“创建VPN网关”。 4. 根据界面提示配置参数，然后单击“立即购买”并完成支付。 表VPN网关关键参数说明 参数 说明 参数取值 计费模式 支持“按需”计费模式。 按需 区域 选择靠近您所在地域的区域。 名称 输入VPN网关的名称。 vpngw001 网络类型 公网：VPN网关通过公网建立VPN连接。 私网：VPN网关通过私网建立VPN连接。 公网 协议类型 支持“IPv4”和“IPv6”两种类型。 IPv4 关联模式 支持“虚拟私有云”和“企业路由器”两种方式。 虚拟私有云 虚拟私有云 选择需要和数据中心互通的VPC。 vpc001(192.168.0.0/16) 互联子网 用于VPN网关和VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 本端子网 配置VPC待和数据中心互通的子网。 支持“输入网段”和“选择子网”两种方式。 192.168.0.0/24 规格 选择“专业型1”。 专业型1 HA模式 选择“双活”。 双活 主EIP 选择EIP、带宽的计费模式、规格。 11.xx.xx.11 主EIP2 选择EIP、带宽的计费模式、规格。 11.xx.xx.12

本文向您介绍标签管理服务的审计与日志。 云审计服务（Cloud Trace Service，CTS），是天翼云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 开通云审计服务后，CTS可记录标签管理服务的操作事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。 标签管理服务支持审计的操作事件请参见支持审计的关键操作列表。 如何查看审计日志请参见查看审计日志。

AOne边缘安全加速平台套餐续费介绍。 避免AOne边缘安全加速平台的资源到期后，域名会自动发起停用，防护服务终止服务，您可以在资源到期前为资源手动续订，或者设置自动续订服务。针对AOne边缘安全加速平台情况，为您进行说明，请在续费前务必阅读以下内容。 续订规则 只有通过实名认证的客户，才可以执行续订操作。 未完成订单中的资源不允许续订，如开通中的资源、规格变更中的资源、退订中的资源。 已退订或释放的资源不可续费。 资源处于服务中且过期时长大于7天可以设置自动续订。 若资源到期后续费，续费周期自资源续订解冻开始，计算新的服务有效期，按照新的服务有效期计算费用。例如，客户资源2020年9月30号到期，10月11号续订1个月，那么资源新的服务开始时间为10月11号，到期时间为11月10号。相关费用自10月11号开始计算。 成套订购的套餐类组合产品，需整体续订，非成套订购单具有挂载关系的资源可以对单资源进行续订。 需要满足续订的规则，具体规则详见续订规则说明。 手动续订 满足续订规则的资源您可以随时手动续AOne边缘安全加速平台，本文介绍手动续订操作方式。 登陆天翼云官网右上角我的产品视图中找到需要续订的产品，点击“续订”，根据需求调整续订周期后，提交续订订单。 当续订周期达到1年或以上时，续订单将可享受包年折扣。

本节简要介绍访问控制基本信息。 用户身份管理和访问控制（Identity and Access Management，简称IAM）是OOS为用户提供的用户身份与权限管理服务，您可以使用IAM创建、管理用户账号，并对这些账号进行权限分配，方便资源管理。 您只需为您在天翼云账户中的资源付费，无需为IAM单独付费。 注意 OOS的IAM能力和天翼云官网的IAM能力不互通。 功能特性 只要您拥有一个天翼云账号，即可拥有IAM功能，天翼云账号管理员可以： 创建、管理子用户账号。 控制子用户账号内资源具有的操作权限。 按需为用户分配不同权限，从而避免与其他用户共享资源使用、访问密钥的使用等，降低账号的信息安全风险。 多重身份认证：通过多因子操作认证（MFA）,在进行IAM相关操作时，可以使用MFA，为操作增加一份安全保障。 应用场景 用户管理与分权 企业中有不同的员工，各自职责不同，权限不同。有的员工需要进行上传下载对象的操作，有的员工只需要查看统计信息，有的员工只需要查看日志信息。通过IAM，可以为不同的员工分配不同的操作权限。 基本概念 根用户 ：用户首次创建CTYUN账户时，最初使用的是一个对账户中所有服务和资源有完全访问权限的登录身份，此身份称为根用户。 IAM用户： IAM用户是OOS中的一个实体，该实体代表使用它与OOS进行交互的人员或应用程序，由CTYUN账户在OOS中创建的用户，也称为子用户。默认情况下，新用户无权执行任何OOS操作或访问任何OOS资源。 用户组 ：用户组是用户的集合，IAM可以将IAM用户添加到对应的用户组，通过对用户组进行授权管理IAM用户，用户组的权限会影响用户组内的IAM用户。建议具备相同权限的IAM用户添加到同一用户组，方便管理。同一个IAM用户可以同时加入多个用户组。 MFA ：多因子认证（MultiFactor Authentication，简称MFA）是一种简单安全的二次认证方式，为用户增加了一层安全保护。仅子用户支持MFA。 授权 ：通过给用户组和用户添加策略，用户就能获得策略中定义的权限，这一过程称为授权。 策略 ：策略是以JSON格式描述权限信息的集合，可以精确地描述被授权的资源集、操作集以及授权条件。支持系统策略和自定义策略： 系统策略：OOS预先创建好的策略，用户可以根据自身需求，直接引用。对于系统策略，用户只能使用，不能修改。 自定义策略：用户自己创建的策略，用户可以对该类型策略进行修改和删除。

类别 云防火墙 Web应用防火墙 定义 云防火墙（Cloud Firewall，CFW）是新一代的云防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持按需弹性扩容、AI提升智能防御能力、灵活扩展满足云上业务的变化和扩张需求，极简应用让用户快速灵活应对威胁。云防火墙服务是为用户业务上云提供网络安全防护的基础服务。 Web应用防火墙（Web Application Firewall，WAF），通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。 防护对象 弹性公网IP和VPC边界。 支持对Web攻击的基础防护。 支持外部入侵和主动外联的流量防护。 针对域名或IP，云上或云下的Web业务。 支持对Web攻击的全面防护。 功能特性 资产管理与入侵防御：对已开放公网访问的服务资产进行安全盘点，进行实时入侵检测与防御。 访问控制：支持互联网边界访问流量的访问控制。 流量分析与日志审计：VPC间流量全局统一访问控制，全流量分析可视化，日志审计与溯源分析。 SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击防护。

本文介绍了云防火墙（原生版）的产品定义和产品架构。 云防火墙（原生版）（CTCFW，Cloud Firewall）是一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界管控与安全防护，并提供业务整体情况可视化、日志审计和分析等功能，帮助您完成网络边界防护与等保合规。 产品功能 访问控制：可统一管理互联网访问控制策略（南北向），提供流量可视、访问控制、入侵防御等功能，全面保护用户的网络安全。 入侵防御：内置复合威胁检测引擎，支持对互联网上的恶意流量、DDoS攻击，漏洞利用等攻击行为进行入侵防护，并提供精准的漏洞虚拟补丁，智能阻断入侵风险。 流量可视：提供全面的用户业务流量可视化，实现网络访问可视，网络会话可视，网络行为可视，帮助用户全面感知网络情况。 日志审计：为用户全面记录入侵防御日志、访问控制日志、流量日志和操作日志，帮助用户完成等保合规要求。 产品架构 云防火墙（原生版）整体架构主要包括3个部分，分别为中央管理平台、南北向流量控制模块和日志平台。 中央管理平台：提供策略规则的编辑和下发能力，并展示安全整体情况，为您提供可视化平台。 南北向流量控制模块：主要用于实现互联网到主机间的访问控制，支持4~7层访问控制。 日志平台：存放入侵防御日志、访问控制日志、流量日志和操作日志，并提供查询分析能力。

本章节主要介绍密钥与密码。 创建密钥对 操作场景 为安全起见，物理机登录时建议使用密钥方式进行身份验证。因此，您需要使用已有密钥对或新建一个密钥对，用于远程登录身份验证。 新建密钥对 如果没有可用的密钥对，需要新建一个密钥对，生成公钥和私钥，并在登录物理机时进行鉴权。创建密钥对的方法如下： 通过管理控制台创建密钥对，公钥自动保存在系统中，私钥由用户保存在本地。 通过puttygen.exe工具创建密钥对，公钥和私钥均保存在用户本地。 使用已有密钥对 如果本地已有密钥对，可以直接选择管理控制台的“导入密钥对 > 选择文件”导入密钥。 约束与限制 当前支持的加解密算法为： SSH2（RSA，1024） SSH2（RSA，2048） SSH2（RSA，4096） 私钥是保证您的物理机安全的重要手段之一，用于SSH登录身份认证，为保证物理机安全，只能下载一次，请妥善保管。 通过管理控制台创建密钥对 1.登录天翼云，进入控制中心。 2.选择“计算 > 物理机服务”。 3.在左侧导航树中，选择“密钥对”。 4.在“密钥对”页面，单击“创建密钥对”。 5.输入密钥名称。 6.单击“确定”。 7.在系统弹出的提示框中单击“确定”。 请根据提示信息，查看并保存私钥。为保证安全，私钥只能下载一次，请妥善保管。

解绑标签 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 数据库审计”，进入数据库审计实例管理页面。 4. 选择需要解绑标签的数据库审计实例，单击“标签”旁的编辑按钮。 5. 在弹出的编辑标签窗口中，单击目标标签操作列的“删除”。 6. 单击“确定”，解绑标签完成。

本文为您介绍如何使用集群的API Server审计功能实现集群安全运维。 为了帮助集群管理人员更安全高效地运维集群，Serverless集群提供了API Server 的审计日志能力。这些日志直接来源于API Server 内部，详细记录了每一次对 Kubernetes API 的访问。通过分析这些日志，可以轻松定位“是谁在何时操作了哪个资源”，这对于追溯集群活动、排查故障、减轻安全运维压力是必不可少的。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群 。 采集的日志将以日志流的形式发送到您账号下指定的云日志服务的日志项目中，且云日志服务使用统一的按量付费方式计费。 安装ctglogoperator日志插件 收集API Server审计日志需要先安装日志插件： 1. 登录云容器引擎管理控制台，在左侧导航栏选择“集群列表”。 2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择“插件” > “插件市场”。 3. 在插件市场页面，在插件列表中选择要安装的ctglogoperator插件，点击“安装”按钮。 也可以通过在左侧导航栏，选择运维管理 >下的日志中心，点击“安装插件”。 等待ctglogoperator插件安装完成。 4. 在左侧导航栏，选择运维管理下的日志中心。 5. 在日志中心页面，单击“kubernetes审计日志”页签，然后单击“立即开启”。 6. 在配置kubernetes审计日志接入页，选择创建或使用已有日志项目，修改日志存储时间，点击“确定”。

天翼云关系数据库MySQL版提供两种通过内网连接MySQL实例的方式，即使用普通连接和SSL连接方式通过MySQL客户端连接实例。其中，SSL连接实现了数据加密功能，具有更高的安全性。本文为您介绍如何通过公网连接关系数据库MySQL版实例。 前提条件 已为目标实例绑定弹性公网IP。 已获取本地设备的IP地址，并将本设备的IP地址添加进实例白名单。 已设置安全组规则。 使用ping命令连通目标实例中绑定的弹性公网IP地址，确保本地设备可以访问该弹性公网IP地址。 使用客户端连接实例。 普通连接 用户可在本地使用相关工具直接连接数据库实例。执行如下命令连接MySQL实例。 plaintext mysql h P u p 参数说明如下： 参数 说明 主机IP，即关系数据库MySQL版实例实例管理 页面下，该集群对应的实例列表中，主机的连接地址。 数据库端口，为实例基本信息 页面中的数据库端口 。 用户名，即MySQL数据库帐号（默认管理员帐号为root）。 密码，即数据库帐号对应的密码，为创建数据库实例时指定的密码。 示例： plaintext mysql h 172.16.X.X P 8635 u root –p '' SSL连接 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例基本信息页面。 4. 在网络 区域的SSL状态处，下载根证书或捆绑包 5. 将根证书导入弹性云主机Linux操作系统。 (1) 关系数据库MySQL版服务在2017年4月提供了20年有效期的新根证书，该证书在实例重启后生效。请在原有根证书到期前及时更换正规机构颁发的证书，提高系统安全性。 (2) 关系数据库MySQL版服务还提供根证书捆绑包下载，其中包含2017年4月之后的新根证书和原有根证书。 6. 连接关系数据库MySQL版实例。 以Linux系统为例，执行如下命令。 plaintext mysql h P u p sslca 参数说明： 参数 说明 目标实例的弹性公网IP。 目标实例的数据库端口。 用户名，即关系数据库MySQL版帐号（默认管理员帐号为root）。 相应的SSL证书文件名，该文件需放在执行该命令的路径下。 使用root用户SSL连接数据库MySQL实例，示例如下： plaintext mysql h 172.16.X.X P 13049 u root p sslcaca.pem 出现如下提示时，输入数据库帐号对应的密码： plaintext Enter password: 说明 若连接失败，请确保各项前提条件正确配置后，重新尝试连接。

本页为您介绍DTS针对用户关键操作提供的日志管理功能。 功能介绍 天翼云数据传输服务DTS针对用户的关键操作和系统重要业务操作，提供了查看操作日志、及对接云审计和查看云审计日志的功能，帮助用户进行安全审计、故障排除、回顾操作流程、追踪错误等。 操作指引 查看DTS操作日志，请参见查看操作日志文档。 查看云审计日志，请参见查看云审计日志文档。

介绍云审计服务支持的性能测试服务操作列表。 云审计服务（Cloud Trace Service，简称CTS），是安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 通过云审计服务，您可以记录与消息通知服务相关的操作事件，便于日后的查询、审计和回溯。 表 支持审计的关键操作列表 servicetype resourcetype resourceid tracename 中文描述 CPTS cptsProject 数据库主键 createCptsProject 创建工程 CPTS cptsProject 数据库主键 deleteCptsProject 删除工程 CPTS cptsProject 数据库主键 modifyCptsProject 修改工程 CPTS cptsTask 数据库主键 createCptsTask 创建任务 CPTS cptsTask 数据库主键 deleteCptsTask 删除任务 CPTS cptsTask 数据库主键 modifyCptsTask 修改任务 CPTS cptsTemp 数据库主键 createCptsTemp 创建事务 CPTS cptsTemp 数据库主键 deleteCptsTemp 删除事务 CPTS cptsTemp 数据库主键 modifyCptsTemp 修改事务 CPTS cptsCase 数据库主键 createCptsCase 创建用例 CPTS cptsCase 数据库主键 deleteCptsCase 删除用例 CPTS cptsCase 数据库主键 modifyCptsCase 修改用例 CPTS cptsVariable 数据库主键 setVaribale 创建变量 CPTS cptsVariable 数据库主键 updateVaribale 修改变量 CPTS cptsVariable 数据库主键 deleteVaribale 删除变量 CPTS cptsTask 数据库主键 tempDebug 任务用例debug CPTS cptsTaskStatus 数据库主键 updateTaskStatus 更新任务状态

本章节介绍如何查看已创建完成的备份任务。 1、登录控制中心； 2、选中【存储】【云硬盘备份】； 3、在云硬盘备份界面，单击【管理备份策略】按钮，进入管理备份策略页面； 4、选中已创建的备份策略，该策略下【备份任务】页签可查看选中备份策略的所有备份任务详情； 5、可通过该页签下列表右上方的搜索框，选择备份任务状态进行任务查找。 说明 当前任务列表支持查看最近30天内按照备份策略执行任务的情况。 30 天之前的根据备份策略生成的备份是否成功，可以通过云硬盘备份列表进行检查： 1.可以查到 30 天前对应时间点的备份且状态为“可用”，则表示备份成功。 2.如果期望的云硬盘备份不存在，且没有超过备份保存数量和进行过手动删除，或者备份状态为“错误”，则表示备份未成功。 最近一天的已完成的备份任务状态为“失败”时，将通过邮件和短信（注册用户时提供了邮箱地址和手机号的情况下）的方式提醒租户。

本章节主要介绍翼MapReduce的审计管理页面操作。 操作场景 “审计”页面记录用户对集群Manager页面操作信息。管理员可通过该页面查看用户在Manager上的历史操作记录。审计管理包含的审计内容信息，请参考关于日志章节中的“审计日志”。 概述 登录FusionInsight Manager，单击“审计”，界面展示如下图所示FusionInsight Manager审计信息，包括操作类型、安全级别、开始时间、结束时间、用户、来源名称、主机、服务、实例、操作结果等。 审计信息列表 用户可以在“所有安全级别”中选择“高危”、“危险”、“一般”和“提示”级别的审计日志。 在高级搜索中，用户可设置过滤条件来查询审计日志。 a. 在“操作类型”中，用户可根据用户管理、集群、服务、健康检查等来指定操作类型查询对应的审计日志。 b. 在“服务”中，用户可选择相应的服务来查询审计日志。 说明 在服务中选择“”，表示除服务以外其他类型的审计日志。 c. 在“操作结果”中，用户可选择所有、成功、失败和未知来查询审计日志。 单击手动刷新当前页面，也可在修改审计表格显示的列。 单击“导出全部”，可一次性导出所有审计信息，可导出“TXT”或者“CSV”格式。

本节介绍如何配置重保防护的黑白名单规则。 重保防护支持配置全局IP黑白名单，对经过云WAF防护域名的访问源IP进行黑白名单设置，来自黑白名单中的IP地址/IP地址段的访问，WAF将不会做任何检测，直接拦截/放行。 支持添加IPv4、IPv6地址，支持添加IP地址段。 重保防护提供的全局IP黑白名单，检测逻辑优先级高于IP黑白名单检测；内部检测逻辑，白名单高于黑名单。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 重保防护场景”，进入重保防护配置页面。 5. 单击“新建黑白名单”，弹出新建黑白名单规则窗口，配置黑白名单规则参数，参数说明如下。 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 类别 定义该规则类型是“黑名单”或“白名单”。 IP地址 添加IP地址/地址段，支持IPv4和IPv6格式的IP地址/地址段。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 规则描述 可选参数，设置该规则的备注信息。 生效范围 支持选择“全部防护对象”或“特定防护对象”。 全部防护对象：配置的黑白名单规则对所有已接入的域名生效。 特定防护对象：配置的黑白名单规则仅对所选域名生效，可以选择多个域名。 说明 不支持独享版防护对象和监听器防护对象。 6. 配置完成后，单击“确定”。可以在列表中查看已新建的黑白名单规则。

接口描述：本接口用于提供用户查询域名维度的回源请求成功率 请求方式：post 请求路径：/statistics/querymissrequestsuccessratedata 使用说明： 单个用户一分钟限制调用10000次，并发不超过100 单次可查询的时间跨度不超过31天 请求参数说明 参数 类型 是否必传 名称 描述 producttype list 否 产品类型列表 默认全部产品，作为统计过滤项。支持：“001”(静态加速)，“003”(下载加速),“004”(视频点播加速),“008”(CDN加速),“014”(下载加速闲时),“007”(安全加速),“005”(直播加速),“006”(全站加速),“009”(应用加速),“010”(web应用防火墙（边缘云版）),“011”(高防DDoS（边缘云版）) domain list 否 域名列表 默认名下所有域名，可多个域名 starttime int 是 开始时间戳 单位秒 endtime int 是 结束时间戳 单位秒 interval string 否 时间粒度 目前仅支持5分钟 province list 否 省编码列表 省编码，不传默认所有省份，可多个省编码，作为统计筛选项，点击查看地区及省份列表。 isp list 否 运营商编码列表 运营商编码，不传默认所有运营商，可多个运营商编码，作为统计筛选项，点击查看运营商列表。 返回参数说明： 参数 类型 是否必传 名称及描述 code int 是 状态码 message string 是 描述信息 starttime int 否 开始时间戳 endtime int 否 结束时间戳 interval string 否 时间粒度 reqmissrequestsuccessratedatainterval list 否 每个时间间隔的回源请求成功率 reqmissrequestsuccessratedatainterval[].timestamp int 否 时间片开始时间戳 reqmissrequestsuccessratedatainterval[].domain string 否 域名 reqmissrequestsuccessratedatainterval[].missrequestsuccessrate float 否 回源请求成功率

云原生网关 核心能力 传统平台 使用云原生网关 云原生特性 1.流量网关+业务网关模式，部署运维工作量大，资源消耗多。 2.云原生组件支持不够。 1.同时具备流量网关和微服务网关能力，资源消耗减半。 2.无缝对接云原生组件，更贴合云原生架构。 开箱即用 需要投入人力处理部署、运维和定制化开发工作。 即买即用型实例，用户只需专注于业务开发，无需关注资源购买及部署运维，更专业、更弹性、更可靠。 高集成 集成云原生组件的能力较弱。 可与自研产品体系无缝对接，例如容器服务、注册中心、日志服务、应用监控等，提供一站式的微服务解决方案。 高扩展 扩展能力较弱。 支持多语言插件化扩展，场景丰富、应用灵活。 监控分析 监控指标不够丰富，实现链路追踪等能力需要的成本较高。 提供丰富的指标监控、日志分析、链路追踪等功能，实现服务的可见、可管、可控。 安全可靠 不支持复杂的安全认证机制。 支持HTTPS加密通信，提供jwt、oidc认证，ip黑白名单等安全策略。 低成本 需要自己维护网关组件。 网关能力托管到云端，节省用户维护成本。

服务阶段 实施任务 实施内容 交付物 购买阶段 购买安全评估服务 请您根据实际需求及服务团队沟通建议购买安全评估服务，购买指引请参见 购买阶段 发起安全评估服务需求 在控制台创建安全评估服务需求，详细操作请参见 准备阶段 确定评估范围、评估人员、评估工具及计划 确定安全评估范围，评估人员及评估工具，制定评估计划，按照计划时间开展评估工作 评估阶段 资产脆弱性扫描 利用用户漏洞扫描产品进行资产扫描，同时整合托管运营平台的脆弱性分析，从主动和被动识别两个维度进行业务资产现存漏洞问题的交叉识别，输出《业务资产安全漏洞清单》，安全服务专家对扫描出来的漏洞进行威胁分析和重要程度排序。漏洞扫描范围包含云主机、Web业务系统、数据库 《业务资产安全漏洞清单》 评估阶段 业务资产脆弱性分析 云端安全专家结合服务资产的业务特征和托管运营平台所采集的流量分析日志，综合分析业务资产存在的弱密码和明文传输等脆弱性问题，并执行脆弱性风险分析，对脆弱性问题进行排序，整合《业务资产安全漏洞清单》输出《业务资产脆弱性问题清单》 《业务资产脆弱性问题清单》 验收阶段 验收 汇总漏洞及业务脆弱性问题，提交安全评估服务报告 《安全评估服务报告》

本文对宿主机续订、退订、扩容做出说明。 宿主机续订、退订、扩容操作说明 专属云内宿主机的续订、退订、扩容流程与专属云开通流程相同，您无法在控制台完成专属云内宿主机的续订、退订、扩容，您可向专属客户经理或拨打客服热线4008109889提出需求，我们将在最短时间帮助您进行资源开通，开通成功后会立刻告知您。 具体申请流程如下： 1. 请向您的专属客户经理提交专属云的开通申请，如果没有专属客户经理请拨打天翼云客服电话4008109889 2. 我们会在一个工作日内与您确认专属云的使用需求。 3. 专属云资源将会在需求确认完成后48小时内开通，请您耐心等待。 4. 专属云开通后我们会告知您开通完成，您可以登录天翼云控制中心管理您的专属云资源。 宿主机续订、退订、扩容计费说明 宿主机续订 ：已购资源到期前需联系客户经理进行续订。资源到期后计算资源将被冻结，资源保留15天。保留期内可进行续费，保留期后未续费的专属云资源将完全销毁，无法恢复。 宿主机退订：本产品不支持无理由退订 宿主机扩容：专属云的计费模式是以宿主机台数为计费量纲，您通过联系客户经理对宿主机扩容成功后，需要根据新扩容宿主机的计算单元、存储单元、网络单元综合定价后支付新扩容宿主机的费用，购买宿主机之后专属云开通云主机不再收取vCPU和内存的费用。具体专属云的计算单元、存储单元、网络单元的价格参见专属云（计算独享型）价格清单。