本节介绍内容安全检测服务的常见问题。 购买内容安全检测服务后，多长时间能出报告？ “检测类型”选择“内容安全单次检测（按需）”时，下单后7个工作日内出报告；“检测类型”选择“文本安全监测（按月/按年）”时，下单后的检测周期（1个自然月）后的7个工作日内出报告。 购买内容安全检测服务后，什么时候扣费？ 购买内容安全检测服务后，系统立即执行检测并扣费，且检测过程中，不支持修改检测域名、暂停任务、退费等操作。 内容安全检测服务支持三种检测类型：内容安全单次检测（按需）、文本安全监测（按月）、文本安全监测（按年）。选择“内容安全单次检测（按需）”时，内容安全检测服务按“检测对象”的总个数进行收费。同一个对象再次进行扫描时，需要重新收费。 例如：单次配置了10个检测对象（新媒体账号或网站网址），每个检测对象检测一次，则需要进行10次收费。 详细的计费说明请参见计费说明。 内容安全检测服务对网站的检测范围是什么？ 内容安全检测服务可对网站/新媒体平台发布的内容进行合法合规检测，主要对文本、图片、视频、语音进行检测和识别是否包含色情、涉政、暴力、惊悚、不宜广告、垃圾信息、不良内容等，有效帮助您降低内容风险。 内容合法合规性检测 国家政策要求各地方机构要认真落实意识形态工作和网络内容安全工作责任制。为响应国家政策，内容安全检测服务可对网站/新媒体内容进行合法合规检测，主要对文本、图片、视频、语音进行检测和识别是否包含色情、涉政、暴力、惊悚、不宜广告、垃圾信息、不良内容等，有效帮助您降低内容风险。 内容准确性检测 对网站/主流新媒体平台的内容进行准确性检测，主要对文本、图片、视频、语音进行表述规范审核，如对错别字、生僻字、词法表述、语法表述等内容进行检测审核。 网站目录的检测范围： 检测同一个网站域名下的所有目录（检测的域名和网站名称完全一致）。例如， 不检测链接到其它域名的URL（检测的域名不一致）。例如，检测域名是“ 不检测链接到其它网站的URL（域名相同，但网站名称不一致的）。例如，检测域名是“

本文主要介绍使用CoreDNS实现自定义域名解析。 应用现状 在使用CCE时，可能会有解析自定义内部域名的需求，例如： 存量代码配置了用固定域名调用内部其他服务，如果要切换到Kubernetes Service方式，修改配置工作量大。 在集群外自建了一个其他服务，需要将集群中的数据通过固定域名发送到这个服务。 解决方案 使用CoreDNS有以下几种自定义域名解析的方案。 为CoreDNS配置存根域：可以直接在控制台添加，简单易操作。 使用 CoreDNS Hosts 插件配置任意域名解析：简单直观，可以添加任意解析记录，类似在本地/etc/hosts中添加解析记录。 使用 CoreDNS Rewrite 插件指向域名到集群内服务：相当于给Kubernetes中的Service名称取了个别名，无需提前知道解析记录的IP地址。 使用 CoreDNS Forward 插件将自建 DNS 设为上游 DNS：自建DNS中，可以管理大量的解析记录，解析记录专门管理，增删记录无需修改CoreDNS配置。 注意事项 CoreDNS修改配置需额外谨慎，因为CoreDNS负责集群的域名解析任务，修改不当可能会导致集群解析出现异常。请做好修改前后的测试验证。 为CoreDNS配置存根域 集群管理员可以修改CoreDNS Corefile的ConfigMap以更改服务发现的工作方式。 若集群管理员有一个位于10.150.0.1的Consul域名解析服务器，并且所有Consul的域名都带有.consul.local的后缀。 步骤 1 登录CCE控制台，单击集群名称进入集群。 步骤 2 在左侧导航栏中选择“插件管理”，在“已安装插件”下，在CoreDNS下单击“编辑”，进入插件详情页。 步骤 3 在“参数配置”下添加存根域。 修改stubdomains参数，格式为一个键值对，键为DNS后缀域名，值为一个或一组DNS IP地址，如下所示。 { "stubdomains": { "consul.local": [ "10.150.0.1" ] }, "upstreamnameservers": [] } 步骤 4 单击“确定”。 也可以通过修改ConfigMap，直接按如下方式添加。 $ kubectl edit configmap coredns n kubesystem apiVersion: v1 data: Corefile: .:5353 { bind {$PODIP} cache 30 errors health {$PODIP}:8080 kubernetes cluster.local inaddr.arpa ip6.arpa { pods insecure fallthrough inaddr.arpa ip6.arpa } loadbalance roundrobin prometheus {$PODIP}:9153 forward . /etc/resolv.conf { policy random } reload }consul.local:5353 { bind {$PODIP} errors cache 30 forward . 10.150.0.1 } kind: ConfigMap metadata: creationTimestamp: "20220504T04:42:24Z" labels: app: coredns k8sapp: coredns kubernetes.io/clusterservice: "true" kubernetes.io/name: CoreDNS release: cceaddoncoredns name: coredns namespace: kubesystem resourceVersion: "8663493" uid: bba871429f8d4056b8a694c3887e9e1d

配置类型 参数 说明 样例 配置转发策略 名称 转发策略的名称。 forwardingpolicyq582 配置转发策略 域名 触发转发的域名，仅支持精确域名。注意，域名或者URL至少要指定一个。 www.test.com 配置转发策略 URL匹配规则 精确匹配：请求的URL和设定URL完全一致。 前缀匹配：请求的URL匹配以设定URL开头的URL。 正则匹配：请求的URL和设定的URL正则表达式匹配。 说明： 匹配的优先级为：精确匹配 > 前缀匹配 > 正则匹配 前缀匹配遵循“最长字符串匹配”原则，例如存在/elb和/elbvip两个规则，访问的URL为/elbvipplus，则会优先匹配/elbvip这个规则。 精确匹配 配置转发策略 URL 触发转发的URL。 /login.php 配置转发策略 描述 转发策略的描述。 添加后端主机组 后端主机组 可选择“新创建”或“使用已有”。 新创建

本文介绍如何退订全站加速服务或停止计费。 全站加速资源包退订 用户可根据需要，在符合天翼云退订规则的前提下，灵活退订资源。只要流量包用量未用尽或者有效期未到期，均可按照天翼云的退订规则完成退订操作。 详情参见：资源包退订。 全站加速按量计费退订 全站加速按量计费的退订流程，可以登录天翼云管理中心进行退订操作。 详见参见：退订全站加速服务。 停止计费 若没有添加全站加速的域名，则不会产生计费。 若已添加了全站加速的域名，那么可以删除已有的加速域名，即可停止全站加速服务，也就不会产生费用。如何删除全站加速域名，详见：如何关闭加速服务。

统计指标 说明 带宽流量 支持按域名、加速区域、运营商、省份等维度查询流量和带宽。支持数据对比，您可以选择长度相同的任意两天的时间进行对比。 回源统计 支持按域名、加速区域等维度查询回客户源的流量和带宽。 请求数 支持按域名、加速区域、运营商、省份等维度查询用户请求数。 状态码 支持查询边缘响应状态码和回源状态码。可通过切换【所有状态码】、【2XX】、【3XX】、【4XX】、【5XX】的按钮查看不同状态码的图表。 地区运营商 支持查看区域运营商维度的峰值带宽、流量等。默认按照峰值带宽降序排列，也可单击流量、请求数后面的箭头更改为使用流量或请求数排行。 在线人数 针对直播流为FLV或者RTMP业务时，支持自助查询域名粒度或流粒度的在线人数。

渗透测试如何识别一个应用系统？ 以一个三级域名作为一个应用系统的唯一标识，多个三级域名将被视为多个应用系统。 如www.ctyun.cn为一个应用系统，www.ctyun.cn/+路径也为同一个应用系统；反之不同三级域名为不同的应用系统，如www.ctyun.cn与desk.ctyun.cn为2个不同的应用系统。 渗透测试是否只针对天翼云的租户，异网客户是否可以购买开通？ 云上租户，异网客户均可购买使用，前提条件需要有天翼云账号，能正常购买渗透测试产品，且保证需要测试的域名公网可访问。 服务开始前，您需要提供渗透测试授权函，我们会为您提供详细的渗透测试方案，确定服务细节及测试范围，得到您的授权后，开展渗透测试服务，并提供渗透测试报告。

类别 云防火墙 Web应用防火墙 产品定义 云防火墙（原生版）（CTCFW，Cloud Firewall）是一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界管控与安全防护，并提供业务整体情况可视化、日志审计和分析等功能，帮助您完成网络边界防护与等保合规。 Web应用防火墙（原生版）（CTWAF，Web Application Firewall）为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。 防护对象 IP（弹性公网IP、内网IP等） 域名 网络层级 四层 七层 应用场景 边界网络防护 Web业务安全防护 核心技术 ACL访问控制、DPI深度包检测、IPS入侵检测技术 HTTP协议解析、Web攻击检测 安全能力 支持外部访问控制和主动外联管控，能够检测攻击者对用户网络发起的攻击，同时也能对用户网络主动外联行为进行分析，阻断由内而外的恶意连接行为，保护用户的资产安全。 集成机器学习检测引擎，支持专家经验特征与语义特征，有效检测SQL注入、XSS等基于形式语言的攻击类型，对OWASP常见攻击类型进行了良好覆盖。

配置说明 配置项 说明 防护开关 将CSRF防护功能设置为关闭、拦截或告警。 可信任域名 当请求referrer中含该域名，则该请求放行（可填多个域名，默认一级本域名）默认域名可进行修改 防护配置 防护范围：设置要检测的请求范围，支持正则匹配/字符串。支持配置多条防护粒度与防护范围，多条防护粒度为且关系，多条防护范围为或关系。URI：填写等于/不等于防护的URI；METHOD:填写等于/不等于的请求方法；PATH：填写等于/不等于的PATH 合法referrer：填写合法url，当请求referer精确匹配“合法referrer”，则该请求放行 无referrer：当请求没有referrer这个字段时候的处理动作；跳转，拦截，监控，放行（其中选择跳转后需要填跳转目的地址，默认当前域名首页） 不合法referrer时执行操作：当请求referer没有在"可信任域名"、"合法referrer"中，该请求的处理动作，拦截，监控，放行（其中选择跳转后需要填跳转目的地址，默认当前域名首页） 注意：存在多条CSRF防护配置时，按照顺序进行防护范围的匹配，采用第一条命中防护范围的策略；最多支持配置5条策略

本文介绍了AOne平台子用户管理概述。 需求场景 AOne边缘安全加速平台包含多种服务，如安全与加速、边缘接入、零信任、开发者平台等；同时某些服务（如安全与加速），还可能涉及不同的域名资源。 某些用户场景，需要多个可访问AOne平台控制台的账号，并且针对不同的账号设置不同访问的权限，常见的需求包括： 添加子用户A，具有AOne所有的访问、编辑权限（所有菜单、所有域名）。 添加子用户B，只具有AOne安全与加速服务控制台的访问权限，不可访问零信任、边缘接入等其他服务控制台。 添加子用户C，只具有AOne安全与加速服务控制台的可查看权限，不具备编辑权限。 添加子用户D，只具有AOne安全与加速服务控制台部分域名的配置权限，不可查看、配置其他域名资源。 …… 总结：用户需要能够设置不同角色，从子用户可访问的菜单、子用户可访问的域名、子用户的可读/可写权限三个维度进行授权。 最佳实践 AOne边缘安全加速平台已对接CDN+ IAM组件，可实现在CDN+平台的工作区创建子用户，并为子用户分配不同的角色。 AOne边缘安全加速平台包含三种内置角色，内置角色的权限策略用户不编辑，此外支持定制角色实现更复杂的访问控制场景。 内置角色 角色说明 边缘安全加速平台管理者 最高权限，具备该角色的用户可查看配平台所有菜单、所有域名，并且具备编辑权限。 边缘安全加速平台参与者 查看权限，具备该角色的用户可查看平台所有菜单，但是无法查看任何域名并且不具备安全与加速服务控制台的编辑权限 边缘安全加速平台查看者 查看权限，具备该角色的用户可查看平台所有菜单、所有域名，但是不具备安全与加速服务控制台的编辑权限。 说明 边缘安全加速平台参与者与查看者角色，当前仅针对安全与加速服务控制台的可编辑权限进行了限制，其余服务控制台暂未进行限制，仍具备编辑权限。 当内置角色的权限能够满足用户授权需求时，可直接给子用户赋予内置角色。操作步骤参考：新增子用户关联内置角色。 当内置角色的权限不能满足用户授权需求时，可创建定制角色后，给子账号赋予定制角色。操作步骤参考：新增子用户关联定制角色。

本节介绍云智手机的账户与安全。 如何注册云智手机账户？ 支持在云智手机APP内使用手机验证码方式自助注册，或前往线下电信营业厅订购云智手机并开通账户。 如何修改云智手机密码？ 操作步骤如下： 1. 登录云智手机后，可以在“我的”页面中点击个人信息，进入个人中心页面； 2. 选择“修改密码”，按照要求填写密码后，点击“确认”即可修改成功。 云智手机数据信息是否会长久保留？ 云智手机使用到期后，数据资料将保留2天。在这段时间内： 1. 如果您选择续订服务，您的数据将会继续被保存。 2. 若未进行续订，超过2天后数据将过期失效且不可恢复。 因此，云智手机的数据并不是长久保留的。在服务到期前若未选择续订，建议您做好重要数据的备份工作。 账户被锁定怎么办？ 如果用户在登录时连续输入错误的密码达到10次，云智手机账户将会被锁定10分钟。这是为了保障账户的安全性，防止暴力破解。 如果您遇到账户被锁定的情况，请耐心等待10分钟后再次尝试登录。

参数 是否必填 参数类型 说明 示例 下级对象 HostName 否 String 跳转时的域名，域名需符合域名规范 HttpRedirectCode 否 String 跳转时返回的状态码 301,302 Protocol 否 String 跳转时的协议 http,https ReplaceKeyPrefixWith 否 String Redirect时Object名称的前缀将替换成该值。如果前缀为空，则将这个字符串插入Object名称的前面 ReplaceKeyWith 否 String Redirect时Object名称将替换成ReplaceKeyWith指定的值，ReplaceKeyWith支持设置变量

参数 是否必填 参数类型 说明 示例 下级对象 HostName 否 String 跳转时的域名，域名需符合域名规范 HttpRedirectCode 否 String 跳转时返回的状态码 301,302 Protocol 否 String 跳转时的协议 http,https ReplaceKeyPrefixWith 否 String Redirect时Object名称的前缀将替换成该值。如果前缀为空，则将这个字符串插入Object名称的前面 ReplaceKeyWith 否 String Redirect时Object名称将替换成ReplaceKeyWith指定的值，ReplaceKeyWith支持设置变量

本文介绍OCSP装订（OCSP Stapling）功能的使用方法。 功能介绍 OCSP（Online Certificate Status Protocol，在线证书状态协议），是由数字证书颁发机构CA（Certificate Authority）提供的一个在线证书查询接口，它建立一个可实时响应的机制，客户端发送查询证书请求到CA服务器，然后CA服务器实时响应验证证书是否合法有效。 客户端会在TLS握手时去实时查询OCSP接口，并在获得查询结果前会阻塞后续流程，在网络不佳时会造成较长时间的页面空白，降低HTTPS性能，严重影响用户体验。 开启OCSP装订（OCSP Stapling）功能后，由CDN进行OCSP信息查询并将查询结果缓存到服务器中。当客户端向服务器发起TLS握手请求时，CDN服务器将证书的OCSP信息和证书一起发送到客户端，供用户验证，无需用户再向数字证书认证机构（CA）发送查询请求。极大地提高TLS握手效率，提升HTTPS性能。 由于OCSP响应是无法伪造的，因此这一过程也不会产生额外的安全问题。 适用场景 开启HTTPS功能后希望提升TLS握手效率，提升HTTPS性能，使网站访问速度更快，用户体验更好。 注意事项 1. 使用OCSP Stapling功能前需先勾选【请求协议】中的【HTTPS】。 2. OCSP Stapling功能默认关闭。 3. OCSP Stapling功能默认缓存1个小时，缓存过期后第一个访问请求OCSP Stapling不生效。 4. 客户端需支持OCSP扩展字段，如果客户端不支持OCSP扩展字段，则该功能无法生效。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】。 5. 在【请求协议】模块，勾选【HTTPS】。 6. 单击右侧【HTTPS配置】。 7. 选择域名对应的证书。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 8. 在【OCSP Stapling】模块，开启功能。 9. 单击【保存】，完成配置。 参数名 说明 OCSP Stapling 默认关闭，即不开启OCSP Stapling功能。开启OCSP Stapling功能之前，需要先完成HTTPS证书配置。

注意事项 1. 配置加密套件前，请确保已成功配置HTTPS证书，操作方法详情请见：新增证书。 2. TLS版本默认开启 TLS v1.0、TLS v1.1、TLS v1.2、TLS v1.3、GMTLSv1.1。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】。 5. 在【请求协议】模块，勾选【HTTPS】。 6. 单击右侧【HTTPS配置】。 7. 选择域名对应的证书。如果已经在证书管理上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 8. 在【加密套件】模块，根据需求选择加密套件。 说明 1. 选择加密套件前，请确保已配置证书，未配置证书将无法选择加密套件。 2. 仅配置国际标准证书时，加密套件支持选择全部加密套件、强加密套件、自定义加密套件。 3. 仅配置国密证书时，加密套件仅支持选择全部加密套件、自定义加密套件。 4. 同时配置国际标准证书和国密证书时，加密套件仅支持选择全部加密套件、自定义加密套件。

本文介绍访问接入安全与加速响应403状态码可能的原因及解决方案。 问题现象 接入安全与加速服务后，访问对应网站资源，边缘节点响应403状态码，无法访问资源。 可能原因及解决方案 场景一：加速域名没有接入安全与加速服务 若域名没有接入安全与加速服务，该域名请求访问到边缘节点时，边缘节点会直接响应403。具体报错如下： 解决方案：针对加速域名未在接入安全与加速服务，可以将需要加速的域名接入，详情参见添加服务域名。 场景二：源站响应403问题 当用户端对该资源发起请求，边缘节点转发回源，源站如果响应403状态码给边缘节点，边缘节点会将403响应给用户端。具体报错如下： 解决方案：针对源站响应的403，需要源站排查对应原因，源站修改对应响应后，用户端再重新发起请求。 场景三：URL违规问题 当边缘节点对某资源下发封禁任务后，用户再访问该资源，边缘节点会响应403。以及当客户开启边缘节点内容审核增值服务，在平台发现违规资源时，边缘节点会自动下发封禁任务，此时如果客户对该域名配置启用了URL封禁的策略，此时也会响应403。这两类均归结为URL违规问题。当因为URL违规而进行封禁出现403时，DenyReason响应头可能会出现如下几种：deny by blockcatchkeyignoreurl、deny by blockfullurl、deny by blockignoreurl、deny by blockcatchkeyplusurl。具体报错示例如下： 解决方案：针对URL违规引起的403 ，对违规的内容进行整改，确保整改后内容为合法。

本文介绍错误页面自定义功能及其配置说明。 功能介绍 当页面访问出错时，客户端会显示默认错误页面，例如404 Not Found。默认的报错页面通常不美观，会带给用户不好的体验。 为了帮助客户优化用户体验，CDN加速节点支持当出现指定错误码的时候，能够让用户302跳转到自定义页面的功能。 注意事项 该功能依赖客户端支持访问302跳转后的内容。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【高级配置】。 5. 在【错误页面重定向】模块，单击【增加规则】，根据需求填写配置。 6. 单击【保存】，完成配置。 参数名 配置值 说明 错误状态码 需要配置跳转页面的错误状态码。 可填写值：300～599 且非499，多个以英文逗号分隔。 跳转页面 错误状态码要跳转的页面URL。 总长度最小为16位，须以 跳转状态码 301/302 响应301或者302状态码。 优先级 数字 相同错误状态码配置，仅优先级高的配置生效。

本文介绍错误页面自定义功能及其配置说明。 功能介绍 当页面访问出错时，客户端会显示默认错误页面，例如404 Not Found。默认的报错页面通常不美观，会带给用户不好的体验。 为了帮助客户优化用户体验，全站加速加速节点支持当出现指定错误码的时候，能够让用户302跳转到自定义页面的功能。 注意事项 该功能依赖客户端支持访问302跳转后的内容。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【高级配置】。 5. 在【错误页面重定向】模块，单击【增加规则】，根据需求填写配置。 6. 单击【保存】，完成配置。 参数名 配置值 说明 错误状态码 需要配置跳转页面的错误状态码。 可填写值：300～599 且非499，多个以英文逗号分隔。 跳转页面 错误状态码要跳转的页面URL。 总长度最小为16位，须以 跳转状态码 301/302 响应301或者302状态码。 优先级 数字 相同错误状态码配置，仅优先级高的配置生效。

预部署回滚 如您在灰度环境对业务脚本进行了修改后，又想将灰度环境的业务脚本回滚成与生产一致的业务脚本内容，可单击操作列的【预部署回滚】来实现该功能。 注意 1. 只有已启用状态的域名才可以进行业务脚本的新增、编辑、预部署转生产、预部署回滚等操作。 2. 删除域名时会将域名绑定的业务脚本一同起删除。

第五步：登录云主机访问对象存储 您可以在登录云主机后安装兼容S3接口的客户端工具（常用工具列表）访问对象存储，本文以Windows系统下使用S3Browser工具为例。 1. 下载安装工具：可通过S3Browser工具官方网站下载： 2. 配置对象存储访问信息：打开S3Browser工具，点击左上角“Account > Add new account”。 3. 在弹出配置框中进行账户信息配置。 参数 说明 Display name 可自定义，在工具本地标识账户名称 Account type 选择“S3 Compatible Storage” REST Endpoint 填入之前获取的对象存储访问IP信息 Access Key ID 填入之前获取的对象存储访问鉴权AccessKey Secret Key ID 填入之前获取的对象存储访问鉴权SecretKey Use secure transfer(SSL/TLS) 您使用内网IP访问时，请勿勾选；当您使用公网域名访问时，请勾选 配置完成后点击“Add new account”。 4. 创建桶 账户创建完成后，可以点击工具左上角“New Bucket”按钮，创建一个新的桶。 5. 创建对象 桶创建完成后，可以在左上角窗口内选中，之后点击“Upload”按钮，上传本地文件数据到对象存储中。

添加共享型负载均衡HTTPS监听器 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 选择“服务列表 > 网络 > 弹性负载均衡”。 4. 在“负载均衡器”界面，单击需要添加监听器的负载均衡名称。 5. 切换到“监听器”页签，单击“添加监听器”，配置监听器。 共享型负载均衡配置监听器参数说明表 参数 说明 示例 ::: 名称 监听器名称。 listenerpnqy 前端协议/端口 负载分发的协议和端口。 协议选择HTTPPS，端口取值范围[165535]。 HTTPS/443 云主机证书 协议类型为HTTPS时，需绑定云主机证书。 云主机证书用于SSL握手协商，需提供证书内容和私钥。 高级配置 访问策略 支持通过白名单和黑名单进行访问控制： 允许所有IP访问 黑名单 白名单 白名单 IP地址组 设置白名单或者黑名单时，必须选择一个IP地址组。如果还未创建IP地址组，需要先创建IP地址组。 ipGroupb2 安全策略 支持选择可用的安全策略。 安全策略TLS12 双向认证 一般的HTTPS业务场景只对云主机做认证，因此只需要配置云主机的证书即可。某些关键业务（如银行支付），需要对通信双方的身份都要做认证，即双向认证，以确保业务的安全性。后端云主机无需额外配置双向认证。。 CA证书 双向认证开启后需要配置CA证书。 空闲超时时间（秒） 如果在超时时间内一直没有访问请求，负载均衡会中断当前连接，直到下一次请求到来时再重新建立新的连接。 时间取值范围[04000]。 60 请求超时时间（秒） 客户端向负载均衡发起请求，如果在超时时间内客户端没有完成整个请求的传输，负载均衡将放弃等待关闭连接。 时间取值范围[1300]。 60 响应超时时间（秒） 负载均衡向后端云主机发起请求，如果超时时间内接收请求的后端云主机无响应，负载均衡会向其他后端云主机重试请求。如果重试期间后端云主机一直没有响应，则负载均衡会给客户端返回HTTP 504错误码。 时间取值范围[1300]。 说明： 当开启了会话保持功能时，响应超时时间内如果对应的后端云主机无响应，则直接会返回HTTP 504错误码。 60 描述 对于监听器描述。 字数范围：0/255。 标签 可通过配置该项使用标签功能。标签的“键”和“值”是一一对应的，其中“键”值是唯一的。 6. 单击“下一步”，配置后端主机组及配置健康检查。 共享型负载均衡配置后端主机组参数说明表 参数 说明 示例 后端主机组 把具有相同特性的后端云主机放在一个组。新创建使用已有说明：使用已有后端主机组时，请确保此后端主机组未被使用。 并且只能选择前端协议匹配的后端云主机组。例如前端协议是TCP时，后端协议只能是TCP。 新创建 名称 后端主机组名称。 servergroupsq4v 后端协议 云云主机开通的协议。前端协议为HTTPS时，后端协议默认为HTTP，不支持修改。 HTTP 分配策略类型 负载均衡采用的算法。说明：用户可以根据自身需求选择相应的算法来分配用户访问流量，提升负载均衡能力。 对于加权轮询算法和加权最少连接，当云主机的权重为“0”时，将不会被分发访问请求。 加权轮询算法 会话保持 开启会话保持后，弹性负载均衡将属于同一个会话的请求都转发到同一个云主机进行处理。 说明：当分配策略类型为“加权轮询算法”时，可配置会话保持。 会话保持类型 共享型负载均衡，HTTP和HTTPS协议支持负载均衡器cookie、应用程序cookie类型。 负载均衡cookie cookie名称 当会话保持选择应用程序cookie时，需要填写cookie名称。 cookieNameqsps 会话保持时间（分钟） 当分配策略类型选择“加权轮询算法”或“加权最少连接”，会话保持开启后，需添加会话保持时间。 四层会话保持的会话保持时间取值范围为[1，60]。七层会话保持的会话保持时间取值范围为[1，1440]。 20 描述 后端主机组的描述。字数范围：0/255。 7. 配置健康检查参数。 共享型负载均衡配置健康检查参数说明表 参数 说明 示例 ::: 是否开启 开启或者关闭健康检查。 协议 健康检查支持TCP、HTTP协议，设置后不可修改。 HTTP 域名 健康检查的请求域名。 默认值为空，由数字、字母、‘’、‘.’组成的字符串，只能以数字或字符开头。 只有健康检查协议为HTTP时，需要设置。 www.elb.com 高级配置 检查间隔（秒） 每次健康检查响应的最大间隔时间。 取值范围[150]。 5 超时时间（秒） 每次健康检查响应的最大超时时间。取值范围[150]。 3 检查路径 指定健康检查的URL地址。当“协议”为HTTP时生效。检查路径只能以/开头，长度范围[180]。 支持使用英文字母、数字和‘’、‘/’、‘.’、‘%’、‘&’以及特殊字符~';@$+,!:()。 说明 例如： 访问链接为： 访问链接为： /index.html 最大重试次数 健康检查最大的重试次数，取值范围[110]。 3 8. 单击“完成”。 参数 说明 示例 ::: 是否开启 开启或者关闭健康检查。 协议 健康检查支持HTTP、TCP、HTTPS协议，设置后不可修改。 HTTP 域名 健康检查的请求域名。 默认值为空，由数字、字母、‘’、‘.’组成的字符串，只能以数字或字符开头。 只有健康检查协议为HTTP时，需要设置。 www.elb.com 高级配置 检查间隔（秒） 每次健康检查响应的最大间隔时间。 取值范围[150]。 5 超时时间（秒） 每次健康检查响应的最大超时时间。取值范围[150]。 3 检查路径 指定健康检查的URL地址。当“协议”为HTTP时生效。检查路径只能以/开头，长度范围[180]。 支持使用英文字母、数字和‘’、‘/’、‘.’、‘%’、‘&’以及特殊字符~';@$+,!:()。 说明 例如： 访问链接为： 访问链接为： /index.html 最大重试次数 健康检查最大的重试次数，取值范围[110]。 3

参数 说明 任务信息 任务名称 输入自定义的任务名称。 说明 命名规则：必须为大小写字母、数字、横线或下划线，长度在432个字符之间；自定义的任务名称不能与您已存在的任务名称重复。 选择源端 源端 选择源端数据的服务提供方。 说明 目前支持的源端： 支持阿里云（OSS）、华为云（OBS）、腾讯云（COS）迁移至ZOS。 支持天翼云对象存储（ZOS）、天翼云（OOS）迁移至ZOS。 支持AWS（S3）和其他遵循标准S3协议的对象存储服务迁移至ZOS。 选择源端 EndPoint Endpoint支持输入IP地址或域名。 若使用非默认端口，请输入端口号，格式为IP:Port。 说明 若源端为阿里云OSS，您可在OSS的bucket“ 概览访问端口外网访问 ”找到 Endpoint（地域节点）信息 。 若源端为华为云OBS，您可在OBS的bucket“ 概览域名信息 ”中找到对应的 Endpoint（终端节点）信息 。 若源端为腾讯云COS，您可在COS的bucket“ 概览基本信息所属地域 ”中找到 所属地域 信息，例如：apbeijing、apshanghai。 若源端为天翼云OOS，您可在OOS的bucket“ 属性区域属性Endpoint ”中找到 Endpoint 信息。 若源端为天翼云ZOS，您可在对象存储ZOS的bucket“ 概览域名信息 ”中找到 终端节点（Endpoint） 信息。 注意 腾讯云COS的Endpoint较为特殊，仅需填写region即可，例如：apbeijing、apshanghai。 选择源端 Access Key 输入您源端的Access Key。 选择源端 Secret Key 输入您源端的Secret Key。 选择源端 存储桶 输入您源端的对象存储桶名称。 选择源端 迁移方式 选择源端数据的迁移方式，支持：指定存储桶、指定文件夹、指定前缀。 说明 指定存储桶 ：选择“指定存储桶”时，将会迁移存储桶内的全部对象。 指定文件夹 ：选择“指定文件夹”时，将会迁移选中文件夹下的所有对象。仅支持单个文件夹。 指定前缀 ：选择“指定前缀”时，将会迁移桶中所有以该前缀开头的对象。仅支持单个前缀。

功能说明 开发者平台边缘函数目前由函数触发器、函数运行时、边缘存储组成： 触发器目前支持HTTP触发器和定时触发器： HTTP触发器：基于您的CDN加速域名，匹配请求中的对应规则（例如 定时触发器：提供类似Crontab形式，使用函数执行周期性任务（即将上线）。 函数运行时：在边缘节点运行您的JavaScript业务代码的安全隔离环境，请求级隔离，微秒级别启动，用完立即销毁。 边缘存储：提供全网同步的KV存储功能（即将上线）。 相关术语 无服务器 Serverless 无服务器是一种云原生开发模型，可使开发人员专注构建和运行应用，而无需管理服务器。无服务器方案中仍然有服务器，但它们已从应用开发中抽离了出来。云提供商负责置备、维护和扩展服务器基础架构等例行工作。开发人员可以简单地将代码打包到容器中进行部署。部署之后，无服务器应用即可响应需求，并根据需要自动扩容。公共云提供商的无服务器产品通常通过一种事件驱动执行模型来按需计量。因此，当无服务器功能闲置时，不会产生费用。 函数即服务 FaaS 函数即服务（FaaS：Function as a service）是一种事件驱动计算执行模型；开发人员编写代码逻辑，部署到完全由平台管理的函数运行时中，然后按需执行。与 BaaS 不同，FaaS 可让开发人员拥有更大的掌控权力，他们可以创建自定义应用，而不依赖于包含预编写服务的库。代码则部署到边缘安全加速平台管理的容器运行时中。具体而言，这些函数运行时具有以下特点： 无状态 让数据集成变得更加简单。 运行周期短 可以只运行非常短的时间。 事件触发 可在需要时自动运行。 这样，您只用为所需的计算能力付费，而不必管"闲置"的应用和服务器。使用FaaS时，开发人员可以通过触发器调用无服务器应用。 触发器 用户绑定触发器和对应函数，来实现多种调用效果。目前支持定时触发器以及HTTP触发器。 HTTP 路由 用户绑定HTTP触发器和对应函数后，访问安全与加速服务中托管域名的特定路由，即可在边缘节点调用起对应函数计算逻辑。 KV 存储 OmniKV边缘存储提供了KeyValue型边缘存储服务，使开发人员能够构建低时延、频繁读取、不频繁写入的数据驱动的边缘无服务器应用程序。借助OmniKV，无服务器应用程序可以将数据存放在靠近用户的位置，避免从云端或本地解决方案中检索信息的需要，从而实现快速响应。用户快速可以构建高度动态的API和网站服务，部署轻量型的API网关、BaaS服务。 运行时 用于在边缘节点运行用户自定义函数的安全隔离环境。函数运行时所支持的编程语言，目前支持JavaScript。 开发者工具 开发人员使用命令行工具，在本地完成函数编写，构建，灰度上线。

本节介绍Web应用防火墙（独享版）其他业务中断排查问题。 如何解决重定向次数过多？ 在WAF中完成了域名接入后，请求访问目标域名时，如果提示“重定向次数过多”，一般是由于您在服务器后端配置了HTTP强制跳转HTTPS，在WAF上只配置了一条HTTPS（对外协议）到HTTP（源站协议）的转发，强制WAF将用户的请求进行跳转，所以造成死循环。配置两条HTTP（对外协议）到HTTP（源站协议）和HTTPS（对外协议）到HTTPS（源站协议）的服务器信息。 如何处理域名接入WAF后，登录首页不停地刷新？ 域名接入WAF后，所有网站访问请求将先流转到WAF进行监控，经WAF过滤后再返回到源站服务器。对于客户端的每一个请求，WAF会根据请求访问的IP地址和用户代理（User Agent）生成一个识别码，而WAF有多个回源IP（随机分配），当回源IP发生变化时请求的识别码也会不同，将导致会话被WAF直接删除，登录首页不停地刷新，为了避免出现该问题，建议您使用会话Cookie进行会话保持。 如何解决HTTP配置转发策略后程序访问页面卡顿？ 如果HTTP配置转发策略后程序访问页面卡顿，请添加HTTP到HTTP和HTTPS到HTTPS这2条转发协议规则。 使用WAF后如何处理网站的文件不能上传？ 将网站接入WAF后，网站的文件上传请求限制为10G 。如果需要上传超过10G的文件，视频，建议不使用WAF防护的域名上传，可采用以下三种方式上传： 直接通过IP上传。 使用没有被WAF防护的域名上传。 采用ftp协议上传。

防护效果 假如已添加域名“www.example.com”，且配置了“阻断”防护动作的CC防护规则。可参照以下步骤验证防护效果： 步骤1 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 不能正常访问，参照章节网站接入WAF重新完成域名接入。 能正常访问，执行步骤2。 步骤2 清理浏览器缓存，在浏览器中访问满足Cookie条件的“ 如果您设置了“人机验证”防护动作，当用户访问超过限制后需要输入验证码才能继续访问。 步骤3 返回Web应用防火墙控制界面，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，查看防护域名拦截日志，您也可以：下载防护事件数据。 配置示例人机验证 假如防护域名“www.example.com”已接入WAF，您可以参照以下操作步骤验证人机验证防护效果。 步骤1 添加防护动作为“人机验证”CC防护规则。 步骤2 开启CC攻击防护。 步骤3 清理浏览器缓存，在浏览器中访问“ 当您在60秒内访问页面10次，在第11次访问该页面时，页面弹出验证码。此时，您需要输入验证码才能继续访问。 步骤4 返回Web应用防火墙管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。

参数 描述 IP地址或域名 目标数据库的IP地址或域名。

访问控制日志 1.登录天翼云控制中心。 2.在左侧导航树中，单击左上方的“服务列表”，选择“安全 > 云防火墙”，进入云防火墙的概览页面。 3.在左侧导航树中，选择“日志审计”。 4.选择“访问控制日志”页签，可查看近一周的访问控制情况。若需要修改指定IP访问控制的响应动作，请参照添加防护规则或添加黑/白名单。 “访问控制日志”的参数说明： 参数 说明 命中时间 访问发生的时间。 源IP 访问的源IP地址。 源国家/地区 访问源IP所属的地理位置。 源端口 访问控制的源端口。包括单个端口，或者连续端口组，中间使用“”隔开，如：80443 目的IP 访问的目的IP。 目的网址 访问的域名地址。 目的国家/地区 访问目的IP所属的地理位置。 目的端口 访问控制的目的端口。包括单个端口，或者连续端口组，中间使用“”隔开，如：80443 协议 访问控制的协议类型。 响应动作 包括观察者模式（“观察”）和拦截模式（“阻断”或“放行”）。 规则 访问控制的规则类型，包括黑名单、白名单。

参数 类型 名称 是否必填 说明 origin string 转推目标 是 转推目标ip或域名，支持ipv4、ipv6和域名 port string 转推端口 否 转推目标端口，不填默认1935 host string 转推host 否 转推使用的请求头host

本文将介绍如何设置高频爬虫限制功能。 功能介绍 以 Cookie 为粒度进行统计，防止攻击者盗用合法 Cookie 进行大量请求，通过限制不同统计粒度下访问次数防护爬虫。 注意 注意：目前控制台尚未开放高频爬虫限制功能，如有防护需求请通过 前提条件 已开通Web应用防火墙（边缘云版）。 已新增域名并成功接入WAF，具体操作请见WAF接入。 开通Web应用防火墙（边缘云版）扩展服务Bot管理，支持使用Bot防护策略，具体请见套餐和版本说明。 配置说明 支持配置多个防护条件，最多支持配置5条，多个条件为或关系。 配置项 说明 Bot标识 即爬虫情报库中的IP标识，例如百度爬虫、谷歌爬虫等 情报类型 目前支持收录已知恶意Bot、搜索引擎、IDC机房三类情报 执行动作 支持对某一类的爬虫情报及爬虫标识一键加白、拦截、监控 加白：加白后，访问将不经过Bot防护策略 拦截：对IP访问请求进行拦截处理 监控：不对请求拦截，但是会生成攻击日志

功能 说明 支持在直播控制台配置转码模板并绑定到对应域名上，实现对直播流的转码及播放。 支持在直播控制台配置录制模板并绑定到对应域名上，实现对推流进行录制并将录制文件存储到媒体存储中。 支持在直播控制台配置截图模板并绑定到对应域名上，实现对直播流进行截图并将截图文件存储到媒体存储中。 支持配置录制和截图的回调地址。 支持在直播控制台批量配置封禁IP，并支持配置封禁IP时长。

参数 描述 URIscheme 表示用于传输请求的协议，当前所有API均采用HTTPS协议。 Endpoint 指定承载REST服务端点的服务器域名或IP，不同服务不同区域的Endpoint不同，您可以从地区和终端节点获取。例如云主机产品服务在某个区域的Endpoint为“ctecsxxx.ctapi.ctyun.cn”。 resourcepath 资源路径，即API访问路径。从具体API的URI模块获取，例如"根据regionID查询用户资源"API的resourcepath为“/v4/region/customerResources”。 querystring 查询参数，是可选部分，并不是每个API都有查询参数。 查询参数前面需要带一个“?”，形式为“参数名参数取值”，例如“?limit10”，表示查询不超过10条数据。

参数 描述 URIscheme 表示用于传输请求的协议，当前所有API均采用HTTPS协议。 Endpoint 指定承载REST服务端点的服务器域名或IP，不同服务不同区域的Endpoint不同，您可以从地区和终端节点获取。例如云主机产品服务在某个区域的Endpoint为“ctecsxxx.ctapi.ctyun.cn”。 resourcepath 资源路径，即API访问路径。从具体API的URI模块获取，例如"根据regionID查询用户资源"API的resourcepath为“/v4/region/customerResources”。 querystring 查询参数，是可选部分，并不是每个API都有查询参数。查询参数前面需要带一个“?”，形式为“参数名参数取值”，例如“?limit10”，表示查询不超过10条数据。

参数 描述 URIscheme 表示用于传输请求的协议，当前所有API均采用HTTPS协议 Endpoint 指定承载REST服务端点的服务器域名或IP，不同服务不同区域的Endpoint不同，您可以从地区和终端节点获取。例如云主机产品服务在某个区域的Endpoint为“ctecsxxx.ctapi.ctyun.cn” resourcepath 资源路径，即API访问路径。从具体API的URI模块获取，例如"根据regionID查询用户资源"API的resourcepath为“/v4/region/customerResources” querystring 查询参数，是可选部分，并不是每个API都有查询参数。查询参数前面需要带一个“?”，形式为“参数名参数取值”，例如“?limit10”，表示查询不超过10条数据