批量导入用户 1. 登录云堡垒机系统。 2. 在左侧导航树中，选择“用户 > 用户管理”，进入用户列表页面。 3. 单击界面右上角的“导入”，弹出导入用户操作窗口。 4. 单击“点击下载”，下载模板文件到本地。 5. 按照模板文件中的配置项说明，填写用户信息。 用户导入模板参数说明 参数 说明 :: 登录名 （必填）填入自定义登录系统的用户名。 认证类型 （必填）填入认证方式，仅能填写一种类型。 可选择填入字样：本地、AD域、LDAP、RADIUS。 密码 （必填）选择认证类型为“本地”时，填入自定义的用户登录密码。 认证服务器/域名 （必填）选择认证类型为“AD域”、“LDAP”或“Azure AD”时，按填写格式要求，填入认证服务器。 AD域认证填写格式为IP:PORT ，例如10.10.10.10:389。 LDAP认证填写格式为IP:'PORT/outest,dctest,dccom'，例如10.10.10.10:'389/outest,dccom'。 Azure AD认证时填写域名。 姓名 （必填）填入使用人员的姓名。 手机 （必填）填入使用人员的手机号码。 邮箱 （必填）填入使用人员的邮箱地址。 角色 （必填）填入用户的系统角色。 仅能填入一个角色类型， 默认可选角色包括部门管理员、策略管理员、审计管理员和运维员。 请务必确保填入系统内已创建的查询和修改角色信息。 所属部门 （必填）填入用户所归属的部门，需完整填写部门结构。 仅可填入一组部门层级，一个用户只能分属一个部分。 默认可填入部门为总部，部门上下级之间用“，”隔开。 请务必确保填入系统内已创建的查询部门配置。 用户描述 填入对用户帐号的简要描述。 用户组 填入用户帐号所属的用户组。 用户帐号可同时存在于同部门多个用户组，不同用户组之间用“，”隔开。 请务必确保填入系统内已创建的查询和修改用户组信息。 6. 单击“点击上传”，选择已填入用户信息的模板文件。 7. （可选）勾选“覆盖已有用户”。 勾选，表示覆盖同“登录名”的用户帐号，刷新用户信息。 不勾选，表示跳过同“登录名”的用户帐号。 8. 单击“确定”，返回用户列表中，即可查看和管理新增的用户。

本文介绍访问URL重定向功能及其配置说明。 功能介绍 当客户源站的内容存放路径发生了变更，CDN节点上的内容存放路径也发生了变更，但是用户请求URL里面包含的内容路径没有变更时，需要CDN节点改写用户请求里面的内容路径。技术实现方式是通过响应302状态码重定向的方式，让客户端取302响应里面的Location的新URL，重新向CDN节点发起访问，确保用户能获得正确的内容。例如：点播文件a.mp4原先存放在目录“/stream/”下，现在变更为“/vod/”，此时可通过天翼云CDN的访问URL重定向功能，实现用户访问 注意事项 该功能依赖客户端支持访问跳转后的内容。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【高级配置】。 5. 在【访问URL重定向】模块，单击【增加规则】，根据需求填写配置。 6. 单击【保存】，完成配置。 参数名 配置值 说明 类型 后缀名/目录/首页/全部文件/全路径文件 需要配置的文件类型。 内容 指定类型的具体内容。 类型选择后缀名、目录、全路径文件时，需配置具体内容；例如类型为后缀名时，需在内容处指明具体的文件后缀；如类型为目录时，需在内容处指明具体的目录内容。 待改写PATH 以/开头的PATH，不含 例如：^/qpdxv/(.) 目标PATH 以协议://域名开头的PATH，其中协议可为http/https（scheme），支持PCRE正则表达式。 比如常用$1,$2来捕获待改写PATH中圆括号内的字符串，目标PATH值可设置为例如：$scheme://ctyun.cn/videos/$1。 跳转状态码 301/302 响应301或者302状态码。 优先级 数字 配置的优先级，存在多条设置时，相同文件类型及内容，执行优先级高的规则。

本文介绍OCSP装订（OCSP Stapling）功能的使用方法。 功能介绍 OCSP（Online Certificate Status Protocol，在线证书状态协议），是由数字证书颁发机构CA（Certificate Authority）提供的一个在线证书查询接口，它建立一个可实时响应的机制，客户端发送查询证书请求到CA服务器，然后CA服务器实时响应验证证书是否合法有效。 客户端会在TLS握手时去实时查询OCSP接口，并在获得查询结果前会阻塞后续流程，在网络不佳时会造成较长时间的页面空白，降低了HTTPS性能，严重影响用户体验。 开启OCSP装订（OCSP Stapling）功能后，由全站加速进行OCSP信息查询并将查询结果缓存到服务器中。当客户端向服务器发起TLS握手请求时，全站加速服务器将证书的OCSP信息和证书一起发送到客户端，供用户验证，无需用户再向数字证书认证机构（CA）发送查询请求。极大地提高了TLS握手效率，提升了HTTPS性能。 由于OCSP响应是无法伪造的，因此这一过程也不会产生额外的安全问题。 适用场景 开启HTTPS功能后希望提升TLS握手效率，提升HTTPS性能，使网站访问速度更快，用户体验更好。 注意事项 1. 使用OCSP Stapling功能前需先勾选【请求协议】中的【HTTPS】。 2. OCSP Stapling功能默认关闭。 3. OCSP Stapling功能默认缓存1个小时，缓存过期后第一个访问请求OCSP Stapling不生效。 4. 客户端需支持OCSP扩展字段，如果客户端不支持OCSP扩展字段，则该功能无法生效。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】，勾选【请求协议】中的【HTTPS】。 5. 单击右侧【HTTPS配置】，选择域名对应的国际标准证书、国密证书。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加对应证书。添加完毕后，再选择对应证书，如未找到目标证书，可点击右侧的刷新按钮刷新后再重新选择。 6. 打开【OCSP Stapling】功能，配置完毕单击【保存】。

本文主要介绍通过控制台使用Nginx Ingress。 前提条件 Ingress为后端工作负载提供网络访问，因此集群中需提前部署可用的工作负载。若您无可用工作负载，可参考创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)部署工作负载。 添加Nginx Ingress时，需在集群中提前安装nginxingress插件。 注意事项 不建议在ELB服务页面修改ELB实例的任何配置，否则将导致服务异常。 如果您已经误操作，请卸载Nginx Ingress插件后重装。 Ingress转发策略中注册的URL需与后端应用暴露的URL一致，否则将返回404错误。 负载均衡实例需与当前集群处于相同VPC 且为相同公网或私网类型。 负载均衡实例需要拥有至少两个监听器配额，且端口80和443没有被监听器占用。 添加Nginx Ingress 本节以Nginx作为工作负载并添加Nginx Ingress为例进行说明。 步骤 1 登录CCE控制台，单击集群名称进入集群。 步骤 2 选择左侧导航栏的“服务发现”，在右侧选择“路由”页签，单击右上角“创建路由”。 步骤 3 设置Ingress参数。 名称： 自定义Ingress名称，例如nginxingressdemo。 命名空间： 选择需要添加Ingress的命名空间。 对接Nginx： 集群中已安装nginxingress插件后显示此选项，未安装nginxingress模板时本选项不显示。 单击开启后将对接nginxingress提供7层访问，可配置如下参数。 TLS配置 ：nginxingress支持HTTP和HTTPS，安装nginxingress时预留的监听端口，默认HTTP为80，HTTPS为443。使用HTTPS需要配置相关证书。 服务器证书：创建HTTPS协议监听时需要绑定IngressTLS类型的密钥证书，以支持HTTPS数据传输加密认证，创建密钥的方法请参见创建密钥。 SNI：SNI（Server Name Indication）是TLS的扩展协议，在该协议下允许同一个IP地址和端口号下对外提供多个基于TLS的访问域名，且不同的域名可以使用不同的安全证书。开启SNI后，允许客户端在发起TLS握手请求时就提交请求的域名信息。负载均衡收到TLS请求后，会根据请求的域名去查找证书：若找到域名对应的证书，则返回该证书认证鉴权；否则，返回缺省证书（服务器证书）认证鉴权。 转发策略配置： 请求的访问地址与转发规则匹配时（转发规则由域名、URL组成），此请求将被转发到对应的目标Service处理。单击“添加转发策略”按钮可添加多条转发策略。 域名：实际访问的域名地址。请确保所填写的域名已注册并备案，在Ingress创建完成后，将域名与自动创建的负载均衡实例的IP（即Ingress访问地址的IP部分）绑定。一旦配置了域名规则，则必须使用域名访问。 URL：需要注册的访问路径，例如：/healthz。社区v1.2.0版本（对应CCE nginxingress插件2.1.0版本）后修复CVE202125745( 目标服务名称：请选择已有Service或新建Service。页面列表中的查询结果已自动过滤不符合要求的Service。 目标服务访问端口：可选择目标Service的访问端口。 操作：可单击“删除”按钮删除该配置。 说明 Nginx Ingress的URL匹配规则是基于“/”符号分隔的路径前缀匹配，并区分大小写。只要访问路径以“/”符号分隔后的子路径匹配此前缀，均可正常访问，但如果该前缀仅是子路径中的部分字符串，则不会匹配。例如URL设置为/healthz，则匹配/healthz/v1，但不匹配/healthzv1。 注解 ：以“key: value”形式设置，可通过Annotations查询nginxingress支持的配置。社区v1.2.0版本（对应CCE nginxingress插件2.1.0版本）后修复CVE202125746( 步骤 4 配置完成后，单击“创建”。 创建完成后，在Ingress列表可查看到已添加的Ingress。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的IP情报库功能。 功能介绍 支持针对已维护的IP信誉库，从威胁类型维度（IDC服务器、傀儡机、漏洞利用等十几类）进行IP封禁，目前IP信誉库已维护接近120万条数据。 注意 注意：目前控制台尚未开放IP情报规则功能，如有防护需求请通过 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 购买Bot防护扩展服务，支持IP情报库相关功能。 背景信息 目前天翼云边缘安全加速平台安全团队通过大数据分析技术，并基于内置的评分机制对历史攻击数据进行威胁评定，生成IP信誉库，其中恶意IP包含了漏洞利用、扫描机、傀儡机、垃圾邮件、可疑、失陷主机、暴力破解、代理、远控、僵尸网络、劫持、钓鱼、恶意软件13种威胁类型，统计IP数量接近120万。 设置IP情报规则 支持通过威胁类型维度针对恶意IP进行监控或拦截的操作，支持配置多条防护规则。 配置项 说明 开关 控制规则为开启/关闭状态 处理动作 支持配置拦截或监控 拦截：对IP访问请求进行拦截处理 监控：不对请求拦截，但是会生成攻击日志 规则名称 支持设置规则名称 防护范围 将通过选择IP可信度、严重级别、威胁类型来配置IP情报防护规则，对同时满足三个配置的IP处理 可信度：即情报的可信度，针对已收录的IP情报，边缘云WAF安全团队将基于内置评分机制进一步验证，根据验证结果评定可信程度为高、中、低 严重级别：恶意IP的严重级别，有严重、高、中、低 威胁类型：漏洞利用、扫描机、傀儡机、垃圾邮件、可疑、失陷主机、暴力破解、代理、远控、僵尸网络、劫持、钓鱼、恶意软件，支持多选

简述错误页面自定义的使用场景和使用方法。 功能介绍 当客户端访问页面访问出错时，一般客户端会显示默认的页面，例如404 Not Found。默认的报错页面通常不美观，会带给用户不好的体验。 为了帮助客户优化用户体验，边缘节点支持配置以下功能：当出现指定错误码的时候，能够让用户跳转到客户自定义页面。 前提条件 您已经完成添加服务域名，如果您未添加，请参考添加服务域名。 注意事项 该功能依赖客户端支持302跳转。 可支持设置自定义页面的常见状态码如下：400、403、404、405、414、416、500、501、502、503、504。 跳转页面格式：http(s)://example.ctyun.cn/error404.html，要输入完整的包含http/https的url。 配置说明 该功能暂不支持客户自助配置，如需使用，请提交工单给天翼云客服，由其人工操作开启。 提交工单时，请附带如下信息： 参数 说明 状态码 例如：404，请按可支持的状态码范围进行提交。 URL 例如：

日志下载说明 1. 登录客户控制台。 2. 单击【日志下载】。 3. 筛选对应加速类型、域名和时间后，单击【查询】即可看到对应域名的日志文件。 4. 此时可以按需下载需要的日志。

状态码 错误码 状态信息 描述 500 CCMS00000000 CCMS00000000 系统异常 400 CCMS10000001 CCMS10000001 输入错误 400 CCMS10000002 CCMS10000002 参数为空 400 CCMS10000004 CCMS10000004 参数缺失 400 CCMS10000005 CCMS10000005 联系人不存在 400 CCMS10000006 CCMS10000006 数据库查询失败 400 CCMS10000007 CCMS10000007 当前参数不支持 400 CCMS10000008 CCMS10000008 算法找不到 400 CCMS10000009 CCMS10000009 算法参数错误 400 CCMS10000010 CCMS10000010 IO错误 400 CCMS10000011 CCMS10000011 csr生成失败 400 CCMS10000012 CCMS10000012 订单解析失败 400 CCMS100000013 CCMS100000013 数据保存失败 400 CCMS100000014 CCMS100000014 证书订单申请失败 400 CCMS100000015 CCMS100000015 证书域名为空 400 CCMS100000016 CCMS100000016 订单查询失败 400 CCMS100000017 CCMS100000017 证书吊销失败 400 CCMS100000018 CCMS100000018 证书信息查询为空 400 CCMS100000019 CCMS100000019 证书撤销申请失败 400 CCMS100000020 CCMS100000020 获取厂商证书信息失败 400 CCMS100000021 CCMS100000021 当前状态不支持该功能 400 CCMS100000022 CCMS100000022 证书格式转换错误 400 CCMS100000023 CCMS100000023 加解密错误 400 CCMS100000024 CCMS100000024 文件下载失败 400 CCMS100000025 CCMS100000025 公司不存在 400 CCMS100000026 CCMS100000026 联系人电话不能重复 400 CCMS100000027 CCMS100000027 联系人信息的邮箱不能重复 400 CCMS100000028 CCMS100000028 公司信息名称重复 400 CCMS100000029 CCMS100000029 公司信息电话重复 400 CCMS100000030 CCMS100000030 公司信息组织机构代码重复 400 CCMS100000031 CCMS100000031 域名不符合 400 CCMS100000032 CCMS100000032 数据删除操作失败 400 CCMS100000033 CCMS100000033 CSR信息查询为空 400 CCMS100000034 CCMS100000034 CSR解析错误 400 CCMS100000035 CCMS100000035 CSR名字重复 400 CCMS100000036 CCMS100000036 长度超过限制 400 CCMS100000037 CCMS100000037 参数超出限制 400 CCMS100000038 CCMS100000038 JSON解析错误 400 CCMS100000039 CCMS100000039 证书解析错误 400 CCMS100000040 CCMS100000040 资源不存在 400 CCMS100000041 CCMS100000041 枚举错误 400 CCMS100000042 CCMS100000042 IAM权限不匹配 400 CCMS100000043 CCMS100000043 获取IAM策略失败 400 CCMS100000044 CCMS100000044 资源被占用 400 CCMS100000045 CCMS100000045 文件上传失败 400 CCMS100000046 CCMS100000046 CSR正被使用 400 CCMS100000047 CCMS100000047 CSR与密钥不匹配 400 CCMS100000048 CCMS100000048 CSR格式错误 400 CCMS100000049 CCMS100000049 密钥格式错误 400 CCMS100000050 CCMS100000050 超出数量限制 400 CCMS100000051 CCMS100000051 密钥长度不支持 400 CCMS100000052 CCMS100000052 超出7天退订时间 400 CCMS100000053 CCMS100000053 图片违规 400 CCMS100000054 CCMS100000054 证书名称重复 400 CCMS100000055 CCMS100000055 参数不符合规则 400 CCMS100000056 CCMS100000056 证书格式错误 400 CCMS100000057 CCMS100000057 证书与密钥不匹配 400 CCMS100000058 CCMS100000058 多年期证书续期失败 400 CCMS100000059 CCMS100000059 证书链解析错误 400 CCMS100000060 CCMS100000060 主域名类型错误 400 CCMS100000061 CCMS100000061 证书状态发生改变，请稍后再试 400 CCMS100000062 CCMS100000062 域名校验检查失败 400 CCMS100000063 CCMS100000063 鉴权错误 400 CCMS100000064 CCMS100000064 联系人身份证为空 400 CCMS100000065 CCMS100000065 证书撤销吊销失败 400 CCMS100000066 CCMS100000066 域名SSL检测失败 400 CCMS100000067 CCMS100000067 上传相同的证书 400 CCMS100000068 CCMS100000068 一键部署的产品名称错误 400 CCMS100000069 CCMS100000069 证书已过期 400 CCMS100000070 CCMS100000070 证书链信息不匹配 400 CCMS100000072 CCMS100000072 部署记录不存在 400 CCMS100000073 CCMS100000073 部署记录不可撤销 400 CCMS100000074 CCMS100000074 部署记录参数为空 400 CCMS100000075 CCMS100000075 部署失败 400 CCMS100000076 CCMS100000076 关联id参数为空 400 CCMS100000077 CCMS100000077 国密不允许 400 CCMS100000078 CCMS100000078 部署域名为空 400 CCMS100000079 CCMS100000079 查询云产品信息失败 400 CCMS100000080 CCMS100000080 批量部署超出限制 400 CCMS100000081 CCMS100000081 撤销数量超出限制 400 CCMS100000082 CCMS100000082 撤销记录的关联id与输入的关联id不同 400 CCMS100000083 CCMS100000083 无可用证书 400 CCMS100000084 CCMS100000084 邮箱格式错误 400 CCMS100000085 CCMS100000085 短信格式错误

本节介绍购买漏洞扫描服务的操作流程。 操作场景 该任务指导用户首次使用VSS时，如何购买漏洞扫描服务的专业版、高级版和企业版扫描功能。 注意 仅支持从专业版升级至高级版，当您是专业版用户时，如果需要将专业版扫描配额包中的二级域名配额升级为一级域名配额，可以直接将专业版升级到高级版。 不支持多个版本同时存在。 不支持从专业版或高级版直接升级至企业版，当您是专业版或高级版用户时，如果需要使用企业版，请直接购买企业版。为保证您的权益，请您购买企业版后，提工单退订专业版或高级版。 购买漏洞扫描服务或配额后，不支持直接修改配额，仅支持升级规格，请谨慎操作。 前提条件 已获取管理控制台的登录帐号与密码。 购买步骤 1. 登录管理控制台。 2. 在页面上方选择区域或项目后，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理界面。 首次使用VSS，您可以在页面左侧，单击“立即购买”，进入VSS购买页面。 如果您已经体验了VSS基础版，请在页面的右上角，单击“升级规格”，进入VSS购买页面。 3. 在购买漏洞扫描服务界面，进行服务选型配置。 “计费模式”选择“包年/包月”，参数配置完成后，请执行步骤4。 说明 使用基础版的用户，可以继续使用基础版的功能，每个用户可添加的域名个数不超过5个。 当用户在使用中需要增加专业版/高级版/企业版域名扫描配额，购买的数量不能小于已购买的数量，到期时间不变。 计费模式包年/包月（专业版）： 计费模式包年/包月（高级版）： 计费模式包年/包月（企业版）： 服务选型参数说明： 参数 参数说明 规格选择 漏洞扫描服务提供了基础版、专业版、高级版和企业版四种服务版本。其中，基础版配额内的服务免费，部分功能按需计费；专业版、高级版和企业版需要收费。 规格说明 对应版本支持的功能介绍。 购买时长 专业版：可以选择1个月～3年的时长。 高级版：可以选择1个月～3年的时长。 企业版：支持“1个月”、“3个月”、“1年”的购买时长。 扫描配额包 选择“专业版”时，需要配置购买的域名扫描配额包数量。 Web漏扫：包含1个二级域名或IP:端口，每个公网IP支持的端口号不限。 主机漏扫：包含20个IP地址。 购买的“扫描配额包”不能少于资产列表的网站数量。 选择“高级版”时，需要配置购买的域名扫描配额包数量。 Web漏扫：默认包含1个一级域名（不限制二级域名个数）/IP（不限制端口个数），每个公网IP支持的端口号不限。 主机漏扫：不限制IP地址个数。 选择“企业版”时，每个配额包包含如下： Web漏扫：默认包含5个一级域名（不限制二级域名个数）/IP（不限制端口个数），每个公网IP支持的端口号不限。 主机漏扫：不限制IP地址个数。 若默认的域名配额数量不能满足您的要求，您可以通过配置扫描配额包的数量，增加域名配额。 计费模式选择“按需计费”，如下图所示。 创建任务时，保持升级开关关闭，开始扫描后默认享受单次基础版扫描服务。 创建任务时，开启升级开关，开始扫描后享受单次专业版扫描服务。扫描开始后进行一次性扣费，请保障您的账户余额充足。 基于基础版创建主机扫描时，每次扫描最多20台主机，扫描开始后进行一次性扣费，请保障您的账户余额充足。 计费模式按需计费： 请参照以下操作步骤完成一次扫描任务： 1. 单击“立即体验”回到“资产列表”界面。 说明 如果没有域名，请先添加域名并完成域名认证，再在创建任务界面进行单次按需购买。 2. 单击“扫描”，进入“创建任务”界面，相关设置如图所示。 您可以打开“是否将本次扫描升级为专业版规格”开关，将本次扫描升级为专业版。 设置完成后，用户可以根据需要选择定时扫描或者立即扫描，在弹出的“付费提醒”界面，单击“同意并扫描”。 4. 参数设置完毕后，在页面右下角，单击“立即购买”。 5. 确认订单详情无误后，单击“去支付”。 如果订单填写有误，用户可以单击“上一页”，回到服务选型页面修改配置信息后再继续购买。 6. 在“付款”页面，选择付款方式进行付款。

名称 描述 是否必须 Host 统计访问域名： 对象存储网络访问域名为：ooscnmg.ctyunapi.cn。 对象存储网络2访问域名为：ooscn2mg.ctyunapi.cn。 香港精品网和香港普通网访问域名为：ooscnhkmg.ctyunapi.cn。 是 Authorization 请求头签名。 支持用户签名验证V2和V4签名，建议使用V4签名。 类型：字符串。 是 xAmzDate 日期和时间格式必须遵循ISO 8601标准，并且必须使用“yyyyMMddT HHmmssZ”格式进行格式化。例如，如果日期和时间是“08/01/2018 15：32：41.982700”，则必须首先将其转换为UTC（协调世界时），然后提交为“20180801T083241Z”。 V4签名必填，V2签名可以填写xAmzDate或Date。 Date GMT时间。 V4签名不必填，V2签名可以填写xAmzDate或Date。 Connection 客户端与OOS服务器之间的连接状态。 取值： keepalive：长连接，请求结束后继续保持连接； close：短连接，请求结束后关闭连接。 默认值为：keepalive。 否

本文介绍用户分析可支持的维度和查询方法。 分析维度说明 用户分析模块，支持客户对访问用户区域分布、访问运营商分布、独立IP访问数等维度，按域名、时间条件进行查询，并基于带宽、流量、访问次数、独立IP访问峰值(1小时统计)、日活跃IP总量进行分析。同时支持数据的下载。 访问用户区域分布 访问用户区域分布支持客户按域名、时间等搜索条件，对用户所在区域基于带宽、流量、访问次数进行分析。 访问运营商分布 访问运营商分布支持客户按域名、时间等搜索条件，对用户所属运营商基于带宽、流量、访问次数进行分析。 独立IP访问数 独立IP访问数支持客户按域名、时间等搜索条件，对独立IP访问峰值(1小时统计)、日活跃IP总量进行分析。

新增接入流程 新增接入是指对于已经获得备案号的主体以及本次备案的已经获得了网站备案号的域名（该网站未在天翼云有接入服务），用户需要在天翼云办理新IP接入服务，这就是新增接入操作。 系统会自动区分非天翼云主体与天翼云主体。非天翼云主体是指此次备案的主办单位之前没有在本次备案的接入商做过任何备案，我们统称之为非天翼云主体。反之，天翼云主体就是指此次备案的主办单位之前已经在本次备案的接入商处做过备案并获得了备案号。 新增接入是指您本次接入的域名和主体都获得了管局下发的备案号，且该备案号是在其他isp商获得的。而且域名所在网站的备案号与主体备案号相关联。用户可以通过工信部网站提供的公共查询功能（ 针对三证合一或五证合一的企业单位，在进行新增接入操作时，如果之前是使用三证合一前的证件即旧证件备案并获得备案号的（但在证件三证合一后未及时进行备案变更的），那么在进行备案订单创建时，需要使用旧证件号码进行录入。因为备案订单的创建是调用管局的已备案信息库。 部分企业三证合一前的证号可通过全国企业信用信息查询网站www.gsxt.gov.cn查询获得（即工商注册号），或全国组织机构代码管理中心网站www.cods.org.cn查询。 在同一个接入商内，在同一条订单内可填写多条网站信息（多个网站备案号）。 流程如下 新增接入备案的完整流程及流程简图如下图所示： 1 创建新增接入订单 通过备案类型的自动匹配（主办单位证件号码已经获得备案号，域名也获得备案号且与主体相关），在系统无其他冲突数据的前提下创建订单任务，点击“查看”进入新增接入流程。 2 填写主办单位信息 填写主办单位信息，请按照页面提示，完善您本次备案的主办单位信息和单位负责人信息。所有必填项信息填写完毕后，点击“保存”或“下一步，填写网站信息”按钮保存所填写的主体信息。 注意：新增接入时，主体信息不提交管局审核，仅做天翼云系统内部留存之用。 3 填写网站及接入信息 填写网站信息，按照页面提示内容进行内容填写。填写您本次备案的网站信息和接入信息，域名录入请录入一级域名或单个专线IP地址，不支持二三级域名或ip段的录入。录入域名信息时，必须保证所录入的域名为该网站备案号下的已备案域名，不能填写未备案域名或其他网站备案号下的域名。此处录入的域名表示天翼云接入，如该网站备案号下有个别域名不需要天翼云接入，请勿填写。 注意：网站负责人信息、网站名称不提交管局审核，仅提交域名、网站接入信息。如果您本次备案的主办单位需要连续增加多个网站接入，请点击“继续新增接入”来进行操作。点击“继续新增接入”，打开弹框，如下图所示： 录入网站域名，系统会自动校验该域名的网站备案号，该网站备案号必须与主体备案号相关，否则无法继续操作。 4 资料上传 系统支持通过小程序采集上传和本地图片上传两种方式。 材料上传只支持jpg、png格式的图片，请勿上传其他格式的图片。系统限定每个图片类型最多上传3张图片，如位置不够可以传至其他空白位置。 5 本地上传图片 用户需要按照页面指引，上传各类证件彩色图片。 6 APP电子化方式上传图片 通过微信小程序扫描二维码后，在小程序端按照系统所提示采集需要图片，完成图片采集完成后会自动生成18位验证码，需将验证码填报至上图指定位置后，点击“确定”按钮，系统会自动将图片对应到合适位置。 预览填写的信息，并准确核对所填写的信息，并对有需更正的地方返回上一步修改。 信息预览无误后，点击“提交审核”，备案信息将提交至管理员进行审核。 7 天翼云/管局审核 提交预审核，天翼云备案专员将会尽快审核您的信息是否符合备案要求。审核符合要求的，天翼云会尽快代您将备案信息提交至管局进行备案终审，提交管局后，请主体和网站负责人收到验证短信后，在24小时内按照短信指引完成，否则会被管局退单。 管理员将根据真实性验信息和图片信息情况填写审核意见，如所备案信息和证件等信息无误，审核通过并提交管局；反之，审核拒绝，退回备案信息给备案发起人进行修改，或退回至待核验环节或待预审核环节由相关人员处理。 信息提交管局后，请耐心等待管局的审核，管局审核拒绝或接口自动退回后，会在订单中获得退回的意见，管理员或用户需根据退回意见进行修改后重新进行备案流程。 备案通过后，管局会给主办单位负责人发送备案通过通知，同时，经过管局审核的备案信息会同步给天翼云侧备案系统，您所已经备案通过的信息可以通过“已备案信息管理”进行查看管理。 去备案

访问服务更新适配 如果源集群的服务都是通过集群内的DNS域名访问的，那么不需要针对访问服务做任何适配。 如果是通过NodePort方式访问，需要将源集群的节点IP更改为目标集群的节点IP。 如果集群内应用通过Ingress对外提供服务，需要将域名DNS从源集群的ingress节点IP更改为目标集群的ingress节点IP。如果源集群的应用需要在公网上提供服务，则需要将目标集群的ingress暴露到公网上，具体操作请参见：如何将Ingress服务暴露到公网。 StorageClass更新适配 注意 以下操作需要在进行集群备份/恢复之前进行。 由于目标集群所采用的存储基础设施与源集群存在差异，可能导致迁移后存储卷无法实现正常挂载。针对这一情况，您可酌情选取并实施以下任一策略，以顺利完成存储卷的适应性调整。 1. 创建ConfigMap映射 apiVersion: v1kind: ConfigMapmetadata: name: changestorageclasspluginconfig namespace: velero labels: app.kubernetes.io/name: velero velero.io/pluginconfig: "true" velero.io/changestorageclass: RestoreItemActiondata: {原集群StorageClass name01}: {目标集群StorageClass name01} {原集群StorageClass name02}: {目标集群StorageClass name02} 执行以下命令，应用上述的 ConfigMap 配置 $ kubectl create f changestorageclass.yaml configmap/changestorageclasspluginconfig created 2. 创建同名StorageClass 通过云容器引擎页面在目标集群上创建与源集群名称相同的存储类，过程请参见：使用zos动态存储卷 通过以上任一方法在目标集群创建与源集群同名的StorageClass后，目标集群进行恢复/同步操作时，应用依赖的pv/pvc即可以动态自动创建，不对集群迁移造成影响。

本文介绍回源超时时间功能及其配置说明。 功能介绍 回源超时时间包括回源连接超时时间跟回源请求超时时间： 回源连接超时时间指回源节点与源站服务器建立连接的超时时间。 回源请求超时时间指回源节点与源站服务器建连成功后，向源站服务器发送请求的超时时间。 回源HTTP超时时间设置的长短要综合考虑网络链路情况、源站处理能力、连接问题等诸多因素。如您将回源响应超时时间设置的过长，可能会出现在源站处理能力达到上限，无法正常响应的情况下，失败的请求仍然长时间占用连接数，导致正常请求无法访问。建议您合理配置回源请求超时时间，以保证请求均能正常回源。 注意 自2025年12月25日起，新域名默认使用 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【回源配置】。 5. 在【回源超时时间设置】模块，开启功能进行配置。 6. 单击【确定】，完成配置。 参数名 说明 回源连接超时时间 指回源节点与源站服务器建立连接的超时时间。如果回源节点在指定的超时时间内未能与源站服务器建立连接，则会触发节点重试，重试失败后将与源站终止连接并返回502。默认回源连接超时时间为5s。 回源请求超时时间 指回源节点与源站服务器建连成功后，向源站服务器发送请求的超时时间。如果在指定的超时时间内未接收到源站服务器响应的首包，则会触发节点重试，重试失败后将与源站终止连接并返回502。默认回源请求超时时间为15s。

可视化大屏服务为客户提供网站整体安全状况的可视化大屏分析，实时展示网站安全运营情况。 glmoscodeexplain 如何开通可视化大屏服务？ 当前仅支持通过单击变更访问链接，进入变更访问链接后，单击【实例】，可按需在【全部产品】下拉框中过滤出【Web应用防火墙(边缘云版)】。 如果使用可视化大屏服务？ 客户如果购买了态势感知大屏服务，可以在控制台查看实时的安全态势感知服务。安全态势感知服务根据客户维度，实时展示客户业务整体的攻击情况，主要包括：攻击来源IP、攻击 TOP URL、攻击域名TOP排行、攻击类型分布、攻击类型趋势、攻击来源TOP排行、攻击趋势和滚动式的安全威胁信息等。具体功能介绍详见：态势感知 注意 暂时不支持单独退订可视化大屏服务，如果需要单独退订，请

参数 类型 是否必传 名称 描述 domain list 否 域名 域名列表 starttime int 是 开始时间戳 开始时间戳,单位秒 endtime int 是 结束时间戳 结束时间戳,单位秒 httpProtocol int 否 协议类型 协议类型，不传默认全部协议类型。 0（http），1（https）

适用场景 客户端存在Range请求，且源站支持Range，可响应指定范围内的内容数据时，建议开启Range回源功能，以提高文件分发效率及缓存利用率。 一般源站内容存在视频、APP等大文件场景下，建议开启Range回源功能。 注意事项 开启Range回源前需确认源站是否支持Range请求，即源站能够响应对应范围内的206文件分片内容，同时需确认源站响应头中是否包含TransferEncoding: chunked头部。如果源站不支持Range请求，或源站可能响应TransferEncoding: chunked头部，可提交工单申请配置“完整文件回源”功能，该功能开启后，客户端发起Range请求时，全站加速节点将会回源获取完整文件，并缓存下来，同时响应Range范围的数据。 开启Range回源时，全站加速会将用户请求（无论原始请求是否为Range请求）拆分成若干个Range请求回源，以一个100MB的文件为例，在Range回源开启时，全站加速获取完整文件需要回源100次，一定程度上会增加回源访问请求数和并发量，请合理设置分片大小。默认Range分片大小为1MB，即：如果客户端请求Range: bytes0100，则在全站加速节点回源时会将Range请求扩大为1MB。 请在新增域名时明确是否开启Range回源，以及开启Range回源的具体分片大小；一旦域名CNAME至我司产生流量后，建议不要轻易变更Range回源功能开启状态以及分片大小，否则可能会产生较高回源；如确实有调整需求，请在提交工单时特殊说明。 配置说明 该功能暂不支持客户自助配置，如需使用，请通过提交工单给天翼云客服，由其人工操作开启。 提交工单时，请附带如下信息： 1. 分片大小，默认为1MB；如需设置为其他值，请说明。 2. 开启分片范围，默认为域名粒度；如需设置为仅部分文件，请说明具体的文件范围，例如xx目录，或xx文件后缀（如.mp4、.flv等）。

接口功能介绍 支持按照协议、运营商、省份、流名等不同维度查询直播带宽。 使用说明 单个用户一分钟限制调用10000次，并发不超过100。 可查询历史数据时间范围为最近14天。 单次可查询的时间跨度为3小时，时间延时为5分钟。 单次查询输入域名的个数不能超过100个。 最大返回记录50000条记录。 该接口查询的数据不作为计费依据。 接口详情 请求方式：post 请求路径：/live/statistics/querybandwidthdata 请求参数 参数名 类型 名称 是否必填 说明 :::: starttime long 开始时间戳 是 起始时间，时间戳(秒)。不传或者传小于等于0是默认取当前时间3分钟 endtime long 结束时间戳 是 结束时间，时间戳(秒)。不传或者传小于等于0默认取starttime + 1分钟 interval string 时间粒度 否 时间粒度，目前限制1m，不传默认1m domain list（string） 域名列表 否 域名，不传默认名下所有域名，可多个域名，且域名的个数不超过100个 app list（string） 应用名列表 否 应用名，默认名下所有应用名，可多个应用名 stream list（string） 流名列表 否 流名，默认名下所有流名，可多个流名 province list（int） 省编码列表 否 省编码列表，不传默认所有省份，点击查看省份及对应的省编码。 isp list（string） 运营商编码列表 否 运营商编码，不传默认所有运营商，可多个运营商编码，作为统计筛选项，点击查看运营商及对应的运营商编码。 protocol list（string） 应用层协议列表 否 应用层协议，不传默认所有络层协议，支持作为统计筛选项，可以为rtmp、http、https livetype list（string） 播放协议列表 否 播放协议，支持rtmp，flv，hls，other，不传默认所有播放协议，作为统计过滤项。 groupby list（string） 聚合维度 否 该指标统计结果的聚合维度，支持在时间颗粒度外叠加多种聚合维度。目前支持domain，app，province，isp，stream，province，isp，protocol，livetype。不传默认统计结果按时间颗粒维度聚合。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的合规检测功能。 功能介绍 支持根据用户实际配置的条件，检查HTTP协议头部，对HTTP请求信息中的方法以及参数长度等信息进行检测，对不符合的请求项进行拦截或告警。 检测范围 请求方法检测：只允许指定请求方法访问网站。 请求协议检测：只允许指定协议版本访问网站。 请求头部缺失检测：请求缺少指定头部禁止访问网站。 数据重复检测：针对头部重复、参数重复进行拦截，禁止访问网站。 请求数据长度限制：针对请求URL、头部参数进行长度限制，禁止访问网站。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为免费版及以上版本，支持合规检测相关功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【Web应用防火墙】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力基础安全防护【合规性检测】详细设置页。 注意 域名新增时，会有一条全站合规检测的默认策略，可以通过【防护开关】来开启或者关闭，您也可以自定义合规检测规则。

产品 概览指标 说明 安全与加速 域名防护数 目前已开启防护策略的域名数以及总域名数占比 安全与加速 已订购流量/剩余流量 已订购流量套餐内流量+资源包总量；剩余流量已订购流量中剩余可用流量 安全与加速 已订购请求数/剩余请求数 已订购请求数套餐内动态请求数+动态请求数资源包总量；剩余流量已订购请求数中剩余可用量 边缘接入 今日/本月总流量 域名今日已使用流量和本月已使用流量 边缘接入 今日/本月带宽峰值 域名今日带宽峰值和本月带宽峰值 开发者平台 函数数量 开发者服务中已使用的边缘函数的数量 开发者平台 本月调用次数 本月函数的调用次数 开发者平台 本月出流量 本月已使用函数的出流量大小 零信任 已添加/已购买用户数 统计目前零信任服务中已购买的用户数和已使用的用户数 零信任 套餐剩余流量 零信任套餐内剩余的流量 零信任 本月带宽峰值 零信任本月用户的带宽峰值 终端管理 已用授权点数 终端设备列表中已使用的端点总数 终端管理 总授权额度 终端管理已购买的端点总数 学术加速 用户总数 学术加速已使用的用户数 学术加速 剩余流量 学术加速套餐内剩余的流量

本节介绍如何排查404/502/504错误。 域名接入WAF防护之后，若您访问网站时出现404 Not Found、502 Bad Gateway，504 Gateway Timeout等错误，请参考以下方法解决。 404 Not Found 现象一 访问网站时，返回下图所示的页面： 原因 ：访问地址增加的端口错误。 添加防护域名到WAF时，配置了非标准端口，访问网站时未加端口或使用源站端口，而不是非标准端口，例如配置了如图所示的非标准端口业务，用“ 解决办法 ：在访问链接后加上非标准端口，再次访问源站，如“ 添加防护域名到WAF时，没有配置非标准端口，访问时使用了非标准端口或者“源站端口”配置的非标准端口，例如配置了如图所示的防护业务，用“ 说明 没有配置非标准端口的情况下，WAF默认防护80/443端口的业务。其他端口的业务不能正常访问，如果您需要防护其他非标准端口的业务，请重新进行域名配置。 解决办法： 直接访问网站域名，如“

本文介绍使用CDN时，当业务异常时，快速判断是否源站问题的方法。 客户已经启用CDN的情况下，意味着客户已经CNAME到天翼云的一级域名，此时直接访问域名，将会直接访问到CDN节点。如果业务发生异常时，要快速确认是否源站问题，有如下两种方式：一是Windows环境通过修改本地HOSTS文件绑定源站IP实现，二是Linux环境下使用curl指令实现。 方式一：Windows环境通过修改本地HOSTS文件绑定源站ip进行测试验证 用户修改本地电脑的HOSTS文件，添加一条记录，如：“IP 加速域名”，让本地电脑访问加速域名时，强制绑定解析到源站IP，由源站IP进行服务，从而可以通过本地电脑来验证源站的可用性。 方式二：Linux环境使用curl指令进行测试验证 使用curl指令来发起HTTP/HTTPS请求，使用指定参数绑定源站进行测试验证。假设：192.168.1.1为源站IP地址，test.ctyun.cn为加速域名。 源站端口为80时，运行指令：curl voa " x 192.168.1.1:80 源站端口为443时，运行指令：curl voa " resolve test.ctyun.cn:443:192.168.1.1 源站端口为自定义端口时，运行指令：curl voa " x 192.168.1.1:[自定义端口号]

前提条件 已在管理控制台中创建“弹性负载均衡”实例。 1. 登录管理控制台首页，在服务列表中选择“网络 > 弹性负载均衡”。 2. 单击右上角的“创建弹性负载均衡”。 说明： CCE中的负载均衡 ( LoadBalancer )访问类型使用弹性负载均衡 ELB提供网络访问，存在如下产品约束： 自动创建的ELB实例建议不要被其他资源使用，否则会在删除时被占用，导致资源残留。 创建Ingress 您可以在创建工作负载时通过CCE控制台设置访问方式，本节以创建一个nginx工作负载并添加Ingress类型的Service为例进行说明。 步骤 1 创建工作负载，详细步骤请参见创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)。 若创建工作负载时，部署了“节点访问( NodePort )”类型的Service，请直接执行步骤3。 若创建工作负载时，未部署“节点访问( NodePort )”类型的Service，请先执行步骤2。 步骤 2 （可选）若创建工作负载时，未配置“节点访问 ( NodePort )”，请执行如下操作。 1. 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”。 2. 在Service页签下，单击“添加Service”。选择类型为“节点访问 ( NodePort )”。 − Service 名称：自定义服务名称，可与工作负载名称保持一致。 − 集群名称：选择需要添加Service的集群。 − 命名空间：选择需要添加Service的命名空间。 − 关联工作负载：单击“选择工作负载”，选择需要配置节点访问 ( NodePort )的工作负载名称，单击“确定”。 − 服务亲和： 集群级别：集群下所有节点的IP+访问端口均可以访问到此服务关联的负载，服务访问会因路由跳转导致一定性能损失，且无法获取到客户端源IP。 节点级别：只有通过负载所在节点的IP+访问端口才可以访问此服务关联的负载，服务访问没有因路由跳转导致的性能损失，且可以获取到客户端源IP。 − 端口配置： a、协议：请根据业务的协议类型选择。 b、容器端口：容器镜像中工作负载实际监听的端口，需用户确定。nginx程序实际监听的端口为80。 c、访问端口：容器端口映射到节点私有IP上的端口，用私有IP访问工作负载时使用，端口范围为3000032767，建议选择“自动生成”。 自动生成：系统会自动分配端口号。 指定端口：指定固定的节点端口，默认取值范围为3000032767。若指定端口时，请确保同个集群内的端口唯一性。 3. 单击“创建”，节点访问方式设置成功。 步骤 3 添加Ingress类型的Service。 1. 单击CCE左侧导航栏的“资源管理 > 网络管理”。 2. 在Ingress页签下，单击“添加Ingress”。 − Ingress 名称：自定义Ingress名称，例如ingressdemo。 − 集群名称：选择需要添加Ingress的集群。 − 命名空间：选择需要添加Ingress的命名空间。 − 负载均衡配置：Ingress使用弹性负载均衡服务（ELB）的负载均衡器提供七层网络访问。 说明： 1. ingress创建后请在CCE页面对所选ELB实例进行配置升级和维护，否则可能导致ingress服务异常。 2. 自动创建的ELB实例尽可能不要被其他ingress或者service使用，否则可能导致资源残留。 负载均衡：负载均衡实例需与当前集群处于相同VPC且为相同公网或私网类型。 请根据业务需求选择“公网”或“私网”。公网支持自动创建和使用已有负载均衡实例两种方式。私网：支持自动创建和使用已有负载均衡实例两种方式。 更改配置：选择“公网 > 自动创建”时，单击规格配置下的“更改配置”，可修改待创建的负载均衡实例的名称、规格、计费模式和带宽。 − 监听器配置：Ingress为负载均衡器配置监听器，监听器对负载均衡器上的请求进行监听，并分发流量。 a、对外协议：支持HTTP和HTTPS。 b、对外端口：开放在负载均衡服务地址的端口，可任意指定。 若选择启用“对接Nginx”后，将默认开启80和443端口，此处“对外端口”参数项将不显示。 c、服务器证书：请选择密钥证书。 须知： 选择HTTPS协议时，才需要创建密钥证书ingresstestsecret.yaml。创建密钥的方法请参见创建密钥。 同一个ELB实例的同一个端口配置HTTPS时，一个监听器只支持配置一个密钥证书。若使用两个不同的密钥证书将两个Ingress添加到同一个ELB下的同一个监听器，ELB侧实际只生效最初的证书。 − 转发策略配置：请求的访问地址与转发规则匹配时（转发规则由域名、URL组成），此请求将被转发到对应的目标Service处理。 说明： 服务负载均衡配置中可更改ELB实例的分配策略类型、会话保持、健康检查等内容，请勿在ELB服务修改相关信息。 − 域名：实际访问的域名地址。请确保所填写的域名已注册并备案，在Ingress创建完成后，将域名与自动创建的负载均衡实例的IP（即Ingress访问地址的IP部分）绑定。一旦配置了域名规则，则必须使用域名访问。 − URL匹配规则： 前缀匹配：例如映射URL为/healthz，只要符合此前缀的URL均可访问。例如/healthz/v1，/healthz/v2。 精确匹配：表示精准匹配，只有完全匹配上才能生效。例如映射URL为/healthz，则必须为此URL才能访问。 正则匹配：可设定映射URL规范，例如规范为/[AZaz09.]+/test。只要符合此规则的URL均可访问，例如/abcA9/test，/v1Ab/test。正则匹配规则支持POSIX与Perl两种标准。 − URL：需要注册的访问路径，例如：/healthz。 − 目标Service：请选择已有Service或新建Service。页面列表中仅支持选择“节点访问 ( NodePort )” 类型的Service，该查询结果已自动过滤。 − Service访问端口：可选择目标Service的访问端口。 − 服务负载均衡配置：该配置是基于服务的配置，若有多条路由使用当前服务，这些路由将使用相同的服务负载均衡配置。 健康检查：默认不启用。请根据界面提示进行配置。 − 操作：可单击“删除”按钮删除该配置。 单击“添加转发策略”按钮可添加多条转发策略。 步骤 4 配置完成后，单击“创建”。 创建完成后，在Ingress列表可查看到已创建成功的Ingress。 步骤 5 访问工作负载（例如名称为defaultbackend）的“/healthz”接口。 方式一：负载均衡IP访问（需负载均衡访问的服务不能配置域名） 1. 获取defaultbackend“/healthz”接口的访问地址，访问地址有负载均衡实例、对外端口、映射URL组成，例如：10.154.73.151:80/healthz。 a. 在左侧导航栏选择“资源管理 > 网络管理”。 b. 在“Ingress”页签下，单击Ingress名称，可查看访问地址。 2. 在浏览器中输入“/healthz”接口的访问地址，如： 访问defaultbackend“/healthz”接口 方式二：域名访问 以ingress中已配置域名ingress.com为例。 1. 获取ingressdemo的域名与访问地址的IP、URL与端口。 a. 在左侧导航栏选择“资源管理 > 网络管理”。 b. 在“Ingress”页签下，可查看访问地址。 c. 单击Ingress名称，可查看域名。 2. 在本地主机的C:WindowsSystem32driversetchosts中配置访问地址的IP和域名，如下图： 3. 在浏览器中输入 更新Ingress 您可以在添加完Ingress后，更新此Ingress的端口、域名和路由配置。操作如下： 说明： Ingress创建后请避免在ELB服务的控制台中操作Ingress对接的ELB资源，如需修改请在CCE控制台中对所选ELB实例进行配置升级和维护，否则可能导致Ingress服务异常。 在CCE控制台中更新Ingress时，负载均衡配置中可更改ELB实例的分配策略类型、会话保持、健康检查等内容，请勿在ELB服务修改相关信息。 自动创建的ELB实例尽可能不要被其他Ingress或者Service使用，否则可能导致资源残留。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”。在Ingress页签下，选择对应的集群和命名空间，单击待更新Ingress后方的“更新”。 步骤 2 在“更新Ingress”页面，更新如下参数： 监听器配置 对外端口：开放在负载均衡服务地址的端口，可任意指定。 转发策略配置 服务负载均衡配置： 单击展开后，可对如下参数进行设置： − 健康检查：默认开启。请根据界面提示进行配置。 单击“添加转发策略”按钮可添加多条转发策略。 − 域名：实际访问的域名地址。请确保所填写的域名已注册并备案，在Ingress创建完成后，将域名与自动创建的负载均衡实例的IP（即Ingress访问地址的IP部分）绑定。一旦配置了域名规则，则必须使用域名访问。 − URL匹配规则： a、前缀匹配：例如映射URL为/healthz，只要符合此前缀的URL均可访问。例如/healthz/v1，/healthz/v2。 b、精确匹配：表示精准匹配，只有完全匹配上才能生效。例如映射URL为/healthz，则必须为此URL才能访问。 c、正则匹配：可设定映射URL规范，例如规范为/[AZaz09.]+/test。只要符合此规则的URL均可访问，例如/abcA9/test，/v1Ab/test。正则匹配规则支持POSIX与Perl两种标准。 − URL：需要注册的访问路径，例如：/healthz。 − 目标Service：请选择已有Service或新建Service。页面列表中仅支持选择“节点访问 ( NodePort )” 类型的Service，该查询结果已自动过滤。Service访问端口：可选择目标Service的访问端口。 − 服务负载均衡配置：该配置是基于服务的配置，若有多条路由使用当前服务，这些路由将使用相同的服务负载均衡配置。详细配置请参见服务负载均衡配置.docx

本节介绍IPv6防护相关常见问题。 哪些版本支持IPv6防护？ Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。 如何测试在WAF中配置的源站IP是IPv6地址？ 执行此操作前，请确认已在WAF中添加了域名并完成了域名接入。 假如已在WAF中添加域名www.example.com。通过以下方法可以测试配置的源站IP是否是IPv6地址： 1. 在Windows中打开cmd命令行工具。 2. 执行dig AAAA www.example.com命令。 如果返回的结果里有IPv6格式的IP地址，如下图所示，则证明配置的源站IP是IPv6地址。 业务使用了IPv6，WAF中的源站地址如何配置？ 如果域名已接入了WAF（源站地址配置为IPv4地址）进行防护，当业务开启了IPv6时，WAF中配置的源站地址可以保持原IPv4地址，也可以修改为IPv6地址。 WAF支持IPv6/IPv4双栈模式和NAT64机制，详细说明如下： Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。

参数 参数类型 说明 示例 下级对象 OutId String 设备国标ID。 34082400011188226858 EnableDomain Boolean 是否启用域名。 true DeviceDomain String 设备域名。 xxx DeviceIp String 设备IP。 192.168.0.1 DevicePort Integer 设备Port。 554 AutoStartStream Boolean 是否启用自动拉流。 true StreamSize Integer 主子码流数量。 1 StreamNum Integer 设备发送第几个码流。 1

参数 参数类型 说明 示例 下级对象 OutId String 设备国标ID。 11000000541327000032 EnableDomain Boolean 是否启用域名。 true DeviceDomain String 设备域名。 xxx DeviceIp String 设备IP。 192.168.0.1 DevicePort Integer 设备Port。 554 AutoStartStream Boolean 是否启用自动拉流。 true StreamSize Integer 主子码流数量。 1 StreamNum Integer 设备发送第几个码流。 1

参数名 配置值 说明 待改写path 需改写的URI 以/开头的URI，不含 目标path 改写后URI 以/开头的URI，不含

参数 是否必填 参数类型 说明 示例 下级对象 name 否 String crs名称 test commonDomain 是 String 通用域名 ctyun.cn otherDomainName 否 String 其他域名 a.ctyun.cn contactId 是 String 联系人id 89b06a19338b23370abe20a55a4f03a1 companyId 是 String 公司id 89b06a19338b23370abe20a55a4f03a2 encryptionAlgorithm 是 String 加密算法，取值范围：RSA、ECC、SM2 RSA keyLength 是 Integer 密钥长度 2048

参数 类型 是否必填 名称 说明 domain string 是 域名 productcode string 否 产品类型 “001”（静态加速）,“003”:（下载加速）, “004”（视频点播加速）,“008”（CDN加速），“014”（下载加速闲时） ipv6enable int 否 ipv6启用 未传代表不修改，1（启用）； 2（关闭） origin list<originsingle> 否 回源信息 未传代表不修改，有传代表整个数组全量修改，字段originsingle详细说明见下方 xosoriginis int 否 是否开启云存储XOS源站配置功能 枚举值：0（关闭）， 1（开启）；默认0 xosorigin object 否 云存储XOS源站信息 未传代表不修改，有传代表整个数组全量修改，字段xosorigin详细说明见下方 reqhost string 否 回源host设置 传空字符串""代表删除，未传代表不修改 originhosttype int 否 主备源携带不同的回源host是否开启 未传代表不修改，0（关闭） ；1（开启） originhosthttp dict 否 http类型origin带不同的回源host 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式：{origin:回源host}；主备源携带不同的回源host开启（即originhosttype等于1），同时配置origin带不同的回源host和回源host，且都有传具体值，则以origin带不同的回源host生效（清空回源host） backuporigintimeout string 否 回源连接超时时间，单位秒 backuporiginresptimeout string 否 回源响应超时时间，单位秒 blackreferer dict 否 referer黑名单 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，字段blackreferer详细说明见下方,黑白名单只允许存在一个，若同时存在只处理黑名单 blackreferercondition dict 否 referer黑名单condition 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，删除blackreferer数据的话condition也要删除，格式:{“blackreferer”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]},mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。本参数仅适用于类型为新框架的域名，旧框架域名修改不生效，当前只支持配置单条全量修改，字段blackreferer详细说明见下方,黑白名单只允许存在一个，若同时存在只处理黑名单 whitereferer dict 否 referer白名单 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，字段whitereferer详细说明见下方 whitereferercondition dict 否 referer白名单condition 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，删除whitereferer数据的话condition也要删除，格式:{“whitereferer”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]},mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。本参数仅适用于类型为新框架的域名，旧框架域名修改不生效，当前只支持配置单条 useragent dict 否 useragent黑白名单配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，字段useragent详细说明见下方 filetypettl list<filetypettlsingle> 否 缓存类型设置 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段filetypettlsingle详细说明见下方 ipblacklist string 否 ip黑名单 传空字符串""代表删除，未传代表不修改，黑白名单只允许存在一个，若同时存在只处理黑名单,支持ip段与ip，多个ip/ip段以逗号分割，示例：1.1.1.1,2.2.2.2,::1,3.3.3.34.4.4.4 ipwhitelist string 否 ip白名单 传空字符串""代表删除，未传代表不修改，黑白名单只允许存在一个，若同时存在只处理黑名单,支持ip段与ip，多个ip/ip段以逗号分割，示例：1.1.1.1,2.2.2.2,::1,3.3.3.34.4.4.4 reqheaders list<reqheaderssingle> 否 自定义回源请求头 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段reqheaderssingle详细说明见下方 respheaders list<respheaderssingle> 否 自定义响应头 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段respheaderssingle详细说明见下方 errorcode list<errorcodesingle> 否 错误状态码缓存 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段errorcodesingle详细说明见下方 sharedhost string 否 共享缓存域名 传空字符串""代表删除，未传代表不修改 httpsstatus string 否 https是否开启 未传代表不修改，取值：on、off certname string 否 国际证书备注名 未传代表不修改，传空字符串代表删除 certnamegm string 否 国密证书备注名 未传代表不修改，传空字符串代表删除 httpsbasic dict 否 https基础信息 未传代表不修改，有传代表整个dict全量修改，字段httpsbasic详细说明见下方 basicconf dict 否 http配置基础信息 传空对象{}或未传均代表不修改，有传代表增量修改，字段basicconf详细说明见下方 limitspeeduri list<limitspeedurisingle> 否 基于url参数限速 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段limitspeedurisingle详细说明见下方 limitspeeduricondition dict 否 limitspeeduri的condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式:{“{key}”:[{“mode”:类型,“content”:“配置内容，多个以逗号间隔”}]}，mode类型为int，取值默认0,可以为：0(文件后缀),1(目录),2(首页),3(全部文件),4(全路径),key为limitspeeduri中的id.使用限制：一个key对应的数组大小只能是1，因为配置平台实际只支持配置一条；content必填，长度大于0，不能为空字符串或者空白字符串 limitspeedconst list<limitspeedconstsingle> 否 基于固定值限速 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段limitspeedconstsingle详细说明见下方 limitspeedconstcondition dict 否 limitspeedconst的condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式:{“{key}”:[{“mode”:类型,“content”:“配置内容，多个以逗号间隔”}]}，mode类型为int，取值默认0,可以为：0(文件后缀),1(目录),2(首页),3(全部文件),4(全路径),key为limitspeedconst中的id。使用限制：一个key对应的数组大小只能是1，因为配置平台实际只支持配置一条；content必填，长度大于0，不能为空字符串或者空白字符串 remotesyncauth list<remotesyncauthsingle> 否 远程同步鉴权客户自助 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段remotesyncauthsingle详细说明见下方 remotesyncauthcondition dict 否 远程同步鉴权condition 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode类型为int，取值默认0,可以为：0(文件后缀),1(目录),2(首页),3(全部文件),4(全路径),key为remotesyncauth中的id ssl string 否 ssl协议类型 传空字符串"“代表删除，未传代表不修改，支持TLSv1 、TLSv1.1 、TLSv1.2 、TLSv1.3，默认值为”"，支持多选，多个用英文逗号分隔 sslstapling string 否 ocsp stapling开关 未传代表不修改，on（开启），off（关闭） cusgzip list<cusgzipsingle> 否 文件压缩 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段cusgzipsingle详细说明见下方，原来文件压缩的字段为gzip字段，现改成cusgzip，两参数不能同时传，若之前用的是gzip字段建议迁移至cusgzip cusgzipcondition dict 否 文件压缩condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。key为cusgzip中的id，本参数仅适用于类型为新框架的域名，旧框架域名修改不生效，且修改本参数时，cusgzip必传 entrylimits list<entrylimitssingle> 否 限频自助参数 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段entrylimitssingle详细说明见下方，本参数仅适用于类型为新框架的域名，旧框架域名修改不生效。特别注意，若传空数组[]删除entrylimits参数时，若entrylimitscondition有值，也需要entrylimitscondition传空对象{}删除。 entrylimitscondition dict 否 限频自助参condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。key为entrylimits中的id，本参数仅适用于类型为新框架的域名，旧框架域名修改不生效 cachekeyargs list<cachekeyargssingle> 否 缓存参数 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段cachekeyargssingle详细说明见下方 cachekeyargscondition dict 否 缓存参数condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改，格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。key为cachekeyargs中的id，本参数仅适用于类型为新框架的域名，旧框架域名修改不生效 backoriginurirewrite list<backoriginurirewrite> 否 回源uri改写 传空对象[]代表删除，未传代表不修改，有传代表全量修改;字段backoriginurirewrite详细说明见下方 backoriginurirewritecondition dict 否 回源uri改写condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改；格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。key为backoriginurirewrite中的id，本参数仅适用于类型为新框架的域名，旧框架域名修改不生效 backoriginargrewrite list<backoriginargrewrite> 否 回源参数改写 传空对象[]代表删除，未传代表不修改，有传代表全量修改;字段backoriginargrewrite详细说明见下方 backoriginargrewritecondition dict 否 回源参数改写condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改；格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径。key为backoriginargrewrite中的id，本参数仅适用于类型为新框架的域名，旧框架域名修改不生效 ignorebackoriginargs int 否 是否忽略回源参数 枚举值：0（不忽略），1（忽略）；默认0 dnsquery dict 否 回源域名解析 字段dnsquery详细说明见下方 errorpage list<errorpagesingle> 否 错误页面重定向 传空数组[]代表删除，未传代表不修改，有传代表整个数组全量修改，字段errorpagesingle详细说明见下方 defineredirect list<defineredirect> 否 自定义重定向配置 传空对象[]代表删除，未传代表不修改，有传代表全量修改;字段defineredirect详细说明见下方 defineredirectcondition dict 否 自定义重定向condition配置 传空对象{}代表删除，未传代表不修改，有传代表整个dict全量修改；格式:{“key”:[{“mode”:类型, “content”:“配置内容，多个以逗号间隔”}]}, mode取值:默认0, 0:文件后缀 1:目录 2: 首页 3: 全部文件 4: 全路径；其中key为defineredirect:id

变更配置 域名配额扩容：当您的业务需求增加，可在计费周期内“扩容”域名的扫描配额包。支持扩容 专业版配额 、高级版配额 以及 企业版配额 。不支持多个版本同时存在。 专业版升级为高级版：当您是专业版用户时，如果需要将专业版扫描配额包中的二级域名配额全部升级为一级域名配额，可以直接将专业版 升级为 高级版 。 退订 购买漏洞扫描服务的扫描配额包后，如需停止使用，请到费用中心>订单管理>退订管理页面，选择对应的订单进行退订操作。 续费 扫描配额包到期后，您可以进行续费以延长扫描配额包的有效期，也可以设置到期自动续费。 到期与欠费 包周期资源开通成功后，如果没有按时续费，平台会提供一定的保留期。 欠费后，可以查看欠费详情。为防止相关资源不被停止或者释放，请及时进行充值，帐号将进入欠费状态，需要在约定时间内支付欠款。

快速统计 支持在快速统计区域中通过不同匹配条件查看总体的攻击情况。 统计条件 说明 域名 以域名受攻击占比由高到低进行排序 攻击IP 以发起攻击IP攻击占比由高到低进行排序 请求方式 统计攻击请求不同请求方式的占比 URI 以攻击请求中URI请求占比由高到低进行排序 攻击类型 以攻击请求中攻击类型攻击占比由高到低进行排序 状态码 统计攻击请求不同状态码的占比 自动刷新 支持自动刷新攻击日志界面，并可根据您的需求配置刷新间隔。 导出 导出攻击日志支持选择字段。 字段 说明 文件格式 文件格式支持txt、xlsx 导出字段设置 1.多选，选项域名、时间、事件ID、攻击IP、IP归属、URI、攻击类型、规则ID、状态码、处理动作、UserAgent、Referer、请求头、请求体、响应头、响应体、攻击内容 2.支持全选和取消全选 3.默认值域名、时间、事件ID、攻击IP、IP归属、URI、攻击类型、规则ID、状态码、处理动作、UserAgent、Referer 下载列表 您可以针对不同状态的文件名进行下载、重新生成或删除。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的高频爬虫限制功能。 功能介绍 以 Cookie 为粒度进行统计，防止攻击者盗用合法 Cookie 进行大量请求，通过限制不同统计粒度下访问次数防护爬虫。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 购买Bot防护扩展服务，支持Bot防护相关功能。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【Bot防护】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力客户端风险识别【高频爬虫限制】详细设置页。 配置说明 支持配置多个防护条件，最多支持配置5条，多个条件为或关系。 处理动作：支持拦截、告警、关闭。 统计粒度：IP/跳转Cookie/静态Cookie。 触发条件：达到触发条件的请求将对其执行处理动作。在【统计周期】内，请求数超过【N】次，将执行处理动作。 处理时长：支持配置处理动作持续时长（触发规则后的惩罚时间），单位支持天、时、分。