本节介绍如何查看VPC边界防护情况。 在VPC边界防火墙开关页面上方，用户可以查看VPC边界流量监控信息、防护状态、配额状态和流量拓扑。 VPC边界流量监控：展示最近7天内所有已开启防护资产的VPC边界流量峰值带宽；以及当前已购买的带宽规格和带宽占用情况。 防护状态：统计了您已开启和未开启防护的资产数量，支持防护对等连接、云专线、云间高速资产。 配额状态：展示已经购买的VPC边界防火墙未使用和已使用的配额数，以及VPC边界防护配额总量。1个防护实例，消耗1个防护配额。 流量拓扑可视：展示VPC边界的网络资产互访关系和防护情况，便于您梳理VPC边界访问拓扑并直观掌握整体网络安全防护态势。 操作步骤 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“防火墙开关 > VPC边界防火墙开关”。 3. 查看当前账号下对等连接、云专线、云间高速的防护情况。

本文介绍产品增值与定制内容申请的相关内容。 如果您有增值/定制的需求，您可以联系客户经理或天翼云客服，提交您的需求。 也可以进入官网以工单的形式提交您的需求。 工单提交流程： 第一步，登陆天翼云官网，点击用户菜单下的“工单管理“； 工单管理页面 第二步，进入“提交工单”页面，在安全加速业务处点击“提问”； 提交工单页面 第三步，根据您的需求，选择“问题分类”，或“创建工单” 问题分类和创建工单页面

问题现象 请求KMS报错或使用云服务加密功能报错。 报错信息为：httpcode401,codeAPIGW.0301,MsgIncorrect IAM authentication information: current ip:xx.xx.xx.xx refused。 可能原因 用户在IAM服务中设置了访问控制。 IAM控制策略默认范围为全地址访问，若用户设置了允许访问的IP地址或者网段，则未允许的IP地址/网段均无法访问KMS，或无法使用云服务加密特性。 解决方法 通过云服务控制台访问KMS（如OBS加密）：需要开放10.0.0.0/8、11.0.0.0/8、26.0.0.0/8网段。 通过API调用KMS接口：根据访问的源IP地址设置开放。 开放IP地址操作步骤 步骤 1 登录管理控制台。 步骤 2 单击页面左侧，选择“管理与监督 > 统一身份认证服务 IAM”，默认进入“用户”界面。 步骤 3 选择“安全设置 > 访问控制”，查看“允许访问的IP地址区间”和“允许访问的IP地址或网段”是否包含请求的源IP地址。 说明 需在“控制台访问”和“API访问”中都包含请求的源IP地址。

本节简要介绍访问控制基本信息。 用户身份管理和访问控制（Identity and Access Management，简称IAM）是OOS为用户提供的用户身份与权限管理服务，您可以使用IAM创建、管理用户账号，并对这些账号进行权限分配，方便资源管理。 您只需为您在天翼云账户中的资源付费，无需为IAM单独付费。 注意 OOS的IAM能力和天翼云官网的IAM能力不互通。 功能特性 只要您拥有一个天翼云账号，即可拥有IAM功能，天翼云账号管理员可以： 创建、管理子用户账号。 控制子用户账号内资源具有的操作权限。 按需为用户分配不同权限，从而避免与其他用户共享资源使用、访问密钥的使用等，降低账号的信息安全风险。 多重身份认证：通过多因子操作认证（MFA）,在进行IAM相关操作时，可以使用MFA，为操作增加一份安全保障。 应用场景 用户管理与分权 企业中有不同的员工，各自职责不同，权限不同。有的员工需要进行上传下载对象的操作，有的员工只需要查看统计信息，有的员工只需要查看日志信息。通过IAM，可以为不同的员工分配不同的操作权限。 基本概念 根用户 ：用户首次创建CTYUN账户时，最初使用的是一个对账户中所有服务和资源有完全访问权限的登录身份，此身份称为根用户。 IAM用户： IAM用户是OOS中的一个实体，该实体代表使用它与OOS进行交互的人员或应用程序，由CTYUN账户在OOS中创建的用户，也称为子用户。默认情况下，新用户无权执行任何OOS操作或访问任何OOS资源。 用户组 ：用户组是用户的集合，IAM可以将IAM用户添加到对应的用户组，通过对用户组进行授权管理IAM用户，用户组的权限会影响用户组内的IAM用户。建议具备相同权限的IAM用户添加到同一用户组，方便管理。同一个IAM用户可以同时加入多个用户组。 MFA ：多因子认证（MultiFactor Authentication，简称MFA）是一种简单安全的二次认证方式，为用户增加了一层安全保护。仅子用户支持MFA。 授权 ：通过给用户组和用户添加策略，用户就能获得策略中定义的权限，这一过程称为授权。 策略 ：策略是以JSON格式描述权限信息的集合，可以精确地描述被授权的资源集、操作集以及授权条件。支持系统策略和自定义策略： 系统策略：OOS预先创建好的策略，用户可以根据自身需求，直接引用。对于系统策略，用户只能使用，不能修改。 自定义策略：用户自己创建的策略，用户可以对该类型策略进行修改和删除。

安全体检相关术语解释，帮助您更好的理解产品能力。 CVE CVE（Common Vulnerabilities and Exposures）的全称是公共漏洞和暴露，是公开披露的网络安全漏洞列表。 CNVD 国家信息安全漏洞共享平台，简称CNVD，国家计算机网络应急技术处理协调中心联合建立的信息安全漏洞信息共享知识库。 CNNVD 中国国家信息安全漏洞库（英文简称：CNNVD）是中国信息安全测评中心为切实履行漏洞分析和风险评估的职能，负责建设运维的国家信息安全漏洞库，为我国信息安全保障提供基础服务。 连通性检测 检测体检出口IP到目标IP的网络连通性，减少因防火墙、黑白名单等导致的网络不通，造成体检失败。

本文介绍CDN加速可以支持的TLS版本及配置方法。 功能介绍 TLS（Transport Layer Security）即安全传输层协议，及其前身安全套接层（Secure Sockets Layer，缩写作SSL）是一种安全协议，目的是为互联网通信提供安全及数据完整性保障。最典型的应用就是HTTPS，HTTPS即HTTP over TLS，就是更安全的HTTP，运行在HTTP层之下，TCP层之上，为HTTP层提供数据加解密服务。 天翼云CDN加速产品提供TLS协议版本控制功能，您可以按需对不同加速域名配置不同的TLS协议版本，低版本的TLS协议将提供对老版本浏览器的支持，但是协议的安全性相对更差一些，高版本的TLS协议将提供更高的安全性，但是对老版本浏览器的兼容性相对差一些。 天翼云CDN加速产品支持的TLS协议版本包括TLSv1.0、TLSv1.1、TLSv1.2、TLSv1.3、GMTLSv1.1。 注意事项 1. 配置TLS协议版本前，请确保已成功配置HTTPS证书，操作方法详情请见：新增证书。 2. 默认开启 TLS v1.0、TLS v1.1、TLS v1.2、TLS v1.3、GMTLSv1.1。为保护您的数据安全，配置国际标准证书时建议选择TLS1.2、TLS1.3 。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】。 5. 在【请求协议】模块，勾选【HTTPS】。 6. 单击右侧【HTTPS配置】。 7. 选择域名对应的证书。如果已经在证书管理上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 8. 在【TLS版本】模块，根据需求选择配置。 9. 单击【保存】，完成配置。 说明 1. 仅配置国际标准证书时，TLS版本支持选择TLSv1、TLSv1.1、TLSv1.2、TLSv1.3。 2. 仅配置国密证书时，TLS版本仅支持选择GMTLSv1.1。 3. 同时配置国际标准证书和国密证书时，TLS版本支持选择TLSv1、TLSv1.1、TLSv1.2、TLSv1.3、GMTLSv1.1。

本文介绍全站加速可以支持的TLS版本及配置方法。 功能介绍 TLS（Transport Layer Security）即安全传输层协议，及其前身安全套接层（Secure Sockets Layer，缩写作SSL）是一种安全协议，目的是为互联网通信提供安全及数据完整性保障。最典型的应用就是HTTPS，HTTPS即HTTP over TLS，就是更安全的HTTP，运行在HTTP层之下，TCP层之上，为HTTP层提供数据加解密服务。 天翼云全站加速产品提供TLS协议版本控制功能，您可以按需对不同加速域名配置不同的TLS协议版本，低版本的TLS协议将提供对老版本浏览器的支持，但是协议的安全性相对更差一些，高版本的TLS协议将提供更高的安全性，但是对老版本浏览器的兼容性相对差一些。 天翼云全站加速产品支持的TLS协议版本包括TLSv1.0、TLSv1.1、TLSv1.2、TLSv1.3、GMTLSv1.1。 配置说明 注意事项 1. 配置TLS协议版本前，请确保已成功配置HTTPS证书，操作方法详情请见：新增证书。 2. 默认开启 TLS v1.0、TLS v1.1、TLS v1.2、TLS v1.3、GMTLSv1.1。为保护您的数据安全，配置国际标准证书时建议选择TLS1.2、TLS1.3 。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】，勾选【请求协议】中的【HTTPS】。 5. 单击右侧【HTTPS配置】，选择域名对应的【证书】。如果已经在证书管理上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 6. 配置【TLS版本】，配置完毕单击【保存】。 说明 1. 仅配置国际标准证书时，TLS版本支持选择TLSv1、TLSv1.1、TLSv1.2、TLSv1.3。 2. 仅配置国密证书时，TLS版本仅支持选择GMTLSv1.1。 3. 同时配置国际标准证书和国密证书时，TLS版本支持选择TLSv1、TLSv1.1、TLSv1.2、TLSv1.3、GMTLSv1.1。

本文介绍如何开启容器审计功能。 在容器安全列表内，可以查看审计功能是否已开启。若操作列中开启审计字体为“灰色”，表示审计功能暂不可用，需要先开启该功能；若为“红色”，则表示审计功能可用。 集群开启审计功能 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“安装配置 > 组件安装”，进入组件安装页面。 3. 单击集群列表操作列的“集群组件配置”，进入集群全局设置页面。 4. 开启容器审计功能，单击“保存”。 容器开启审计功能 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“容器安全 > 实时检测”，进入实时检测页面。 3. 在容器列表操作列单击“开启审计”，或勾选多个容器，单击列表右上方的“开启审计”，批量为容器开启审计功能。 配置容器审计 配置“容器调查审计信息保留时间”或“容器调查审计信息保留容量”。详细操作请参见容器设置。

本章介绍如何在控制台创建副本集实例、以及创建后如何设置安全组、并通过内网连接副本集实例。 操作场景 本章介绍如何在控制台创建副本集实例、以及创建后如何设置安全组、并通过内网连接副本集实例。 使用流程 初次创建实例到可以开始使用实例，您需要完成如下操作： 内网访问数据库实例

关系数据库SQL Server支持设置IP白名单，强化数据库的安全访问管理。 关系数据库SQL Server支持设置IP白名单，强化数据库的安全访问管理。 注意事项 不在IP白名单范围内的访问将被拒绝。 建议订购页勾选将子网加入白名单范围，以便开通后同VPC内的其他机器可以访问数据库。 除了设置IP白名单，您还需要关注安全组规则设置，如果安全组规则未放通数据库端口的访问，则即使加入IP白名单也无法访问。 在IP白名单范围内，源IP必须能够与数据库实例所在的网络相互通信，才能访问。 跨VPC等场景即使加入IP白名单因为无法访问，因为VPC之间是隔离的。 0.0.0.0/0表示放开所有IP访问（注意：同VPC或者弹性公网IP访问）。 127.0.0.1表示不允许实例被外部访问（注意：实例内部集群不受影响）。 如果实例绑定了弹性IP，需要将访问弹性IP的源端地址的公网IP配置进白名单。（源端地址的公网IP指访问弹性IP对应机器的公网出口IP，可通过搜索引擎查询IP地址获取）。 修改白名单针对新连接即时生效。 清空白名单分组将被重置为127.0.0.1。 创建白名单分组 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 关系数据库SQL Server版】，进入关系数据库SQL Server产品页面。然后单击【管理控制台】，进入TeleDB数据库【概览】页面。 2. 在左侧导航栏，选择【SQL Server > 实例管理】，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例【基本信息】页面。 4. 点击【白名单与安全组】，点击【创建白名单】。 5. 填写分组名称，同一个实例内分组名称要求唯一， 同时要求长度为120，允许字母数字中划线下划线。 6. 填写IP白名单，一个分组内支持填写多个IP或网段，多个IP或网段通过英逗号分隔。比如：192.168.1.2,192.168.0.1/24。 7. 点击【确定】，创建白名单分组。

查询分析结果可以通过表格形式进行展示。 表格为最常见的数据展示类型，通过对数据的整理，可以快速对数据进行分析。在态势感知（专业版）中，通过查询分析语句得到的数据结果在图标统计中，默认以表格形式进行展示。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道列后，再单击管道名称，右侧将显示管道数据的检索页面。 6. 输入查询分析语句，设置时间范围，并单击“查询分析”。 7. 选择“图表统计”页签，并在图表统计页面右侧的“图表类型”中单击。 8. 配置表格参数。 参数类别 参数名称 参数说明 基本配置 标题 自定义表格标题名称。 图表配置 隐藏字段 选择目标字段，将该字段在表格中隐藏。 图表设置完成后，左侧可预览配置后的数据分析情况。

本文主要介绍企业终端设备的漏洞修复情况。 背景说明 漏洞支持平台周期扫描、平台单次扫描及终端单次扫描，扫描出来的漏洞情况支持上报和展示。 功能说明 企业管理员通过控制台的漏洞修复页面，帮助他们有效监控和管理终端设备的漏洞修复情况，确保企业网络安全。 注意 同时，需注意订购套餐需满足以下条件之一： 1、已订购终端管理基础版，点击查看 2、零信任服务套餐为企业版，点此查看零信任服务 操作步骤 1.登录边缘安全加速控制台，选择【终端管理】。 2.在左侧导航栏点击【终端安全】下的【漏洞修复】二级导航栏。 周期扫描 1.周期扫描卡片中点击“扫描策略”进行配置，任务根据右侧开关生效扫描任务。 2.以下是周期扫描的字段说明。 字段值 备注 扫描计划 默认选中星期一至星期日，默认填入的开始时间为20：30。 自动修复 自动修复勾选的漏洞类型，部分漏洞重启后生效。 仅上报，不修复 不会自动修复漏洞。 漏洞类型 选项：紧急漏洞、高中低危漏洞、其他漏洞共5个。 "需重启漏洞"修复完成后的动作 仅当自动修复的漏洞列表包含“重启后生效”属性的漏洞时，才会执行设定的动作，否则不会执行任何动作。 防护对象 管控或排除指定的用户/设备。

本文介绍如何查看容器审计事件。 容器审计提供正常和异常的容器事件统计，包括容器进程事件、文件事件、网络事件。 前提条件 容器集群已开启审计功能。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“容器安全 > 实时检测”，进入容器实时检测页面。 3. 单击容器列表内的容器名称，进入容器详情页面。 4. 选择“容器审计”页签，进入审计详情页面。可查看容器的正常事件和异常事件的数量随时间变化的折线图（默认统计最近15分钟内的事件），又分类统计了容器的进程事件、文件事件、网络事件的数量，可通过选择时间或拖拽下方进度条来查看不同时间段内，容器发生的事件信息。 5. 查看事件列表：在统计图下方以列表展示了容器中发生的事件信息，单击列表中某行，可展开查看对应事件的详细信息。 容器审计事件参数说明： 参数 说明 进程名称 进程的名称。 用户 执行用户。 路径 执行命令所在路径。 进程命令行 具体执行的命令行。 事件类型 容器的事件类型，分为进程事件、文件事件和网络事件。 进程事件：指在容器中运行进程的事件； 文件事件：指容器中对文件的读操作和写操作产生的事件； 网络事件：指访问、监听等网络活动产生的事件。 安全状态 安全状态分为“正常”和“异常”这两种状态。 时间 事件发生的时间，事件列表中以时间倒序的顺序进行展示。

本文为您系统梳理使用数据库双活的标准化准备流程。 概述 数据库双活提供数据库语义级的同构数据库双活复制软件服务。采用数据库之间语义级的数据实时复制与同步；基于数据库事务日志分析技术，在数据库高并发事务场景下实现数据实时同步；于目标端同步写入时序，严格确保源端和目标端的数据库事务级最终一致性；提供了备库接管、反向同步等功能。 操作步骤 一、购买许可 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“资源同步”“资源同步管理”，进入资源管理模块页面。 5. 点击左侧菜单栏“数据库双活”，点击“许可”，进入许可页面。 6. 点击右上角“购买数据库双活许可”按钮，弹出购买许可弹窗。按需购买许可。 7. 填写数据库类型、购买数量和时长，勾选已阅读并同意相关协议后，点击“购买”按钮，完成许可支付。 二、安装drnode 步骤一：网络配置 场景1：若同步资源为天翼云内资源时，需手动配置其需同步资源所在的虚拟私有云（VPC），并通过部署VPC终端节点（VPCEP）实现MDR网络代理与目标VPC的安全互联。 1. 登录天翼云，进入[控制中心](

本节介绍如何获取风险程度最高的资产信息。 通过查看资产风险排名，可以获取风险程度最高的资产信息，并可进一步了解该资产遭受的威胁告警统计信息。 操作步骤 1. 登录管理控制台。 2. 单击页面的上方的，选择“安全 > 态势感知（专业版） > 资源管理”，进入态势感知服务资源管理页面。 单击“安全状况”、“威胁”、“漏洞”、或“基线”列排序按钮，排序当前资产风险排名。

配置说明 缓存参数 1. 登录边缘安全加速平台。 2. 进入【安全与加速工作台】【CDN加速配置】，点击目标域名。 3. 选择“静态配置缓存参数”单击“编辑配置”。 4. 单击添加，根据您的需求，配置需要的缓存参数。 配置参数说明： 参数名 配置值 说明 类型 后缀名/目录/首页/全部文件/全路径文件 需要配置的文件类型。 内容 指定类型的具体内容 类型选择后缀名、目录、全路径文件时，需配置具体内容；例如类型为后缀名时，需在内容处指明具体的文件后缀；如类型为目录时，需在内容处指明具体的目录内容。 忽略参数 不忽略/全部忽略/保留指定参数/忽略指定参数 缓存参数配置类型。如选择不忽略，则为带参数缓存；如选择全部忽略，则为去参数缓存；如为保留指定参数，则仅携带指定参数缓存；如为忽略指定参数，则为去指定参数后缓存。 优先级 数字 缓存配置的优先级；存在多条缓存参数设置时，相同文件类型及内容，执行优先级高的缓存规则。 配置页面： 点击“添加规则”则弹出添加缓存参数： 缓存URI 1. 登录边缘安全加速平台。 2. 进入【安全与加速工作台】【CDN加速配置】，点击目标域名。 3. 选择“静态配置缓存URI”单击“编辑配置”。 4. 单击添加，根据您的需求，配置需要的缓存参数。 配置参数说明： 参数名 配置值 说明 待改写path 需改写的URI 以/开头的URI，不含 目标path 改写后URI 以/开头的URI，不含 配置页面：

本文介绍如何部署AD域控制器。 前提条件 在AD域控制器的云主机上已经安装AD域服务器。 操作步骤 1. 将域服务器升级升为域控制器。打开“服务器管理器”，点右上角点小旗子图标，点击“服务器提升为域控制器”。 2. 添加新林。由于是第一个AD控制器，点击“添加新林”，根域名处填域名sfs.com，点击“下一步”等待部署配置。 说明： 将域控制器添加到现有域：在现有的域控制器中添加新的域控制器。 将新域添加到现有林：在现有的林中新建域，与林中现有的域不同。 3. 设置目录服务还原密码。 说明： 林功能级别(包含Windows Server 2008到WindowsServer 2016级别)：Windows Server 2012 R2。 域功能级别(只包含Windows Server 2012 R2域功能)：Windows Server 2012 R2。 指定域控制器功能：默认即可。 键入目录服务还原模式(DSRM)密码：需设置复杂密码，否则无法通过规则校验。 4. 跳过DNS选项，点击“下一步”。用AD域服务器当DNS服务器，不需要单独指定。 5. NetBios域名保持默认，点击“下一步”。 6. 日志及数据配置保持默认，点击“下一步”。 说明： AD DS数据库是AD域服务器用来存放用户信息的地方。 AD DS数据库、日志文件夹和sysvol文件夹，出于安全考虑建议放在其他盘。 7. 检查配置信息，点击“下一步”。 8. 安装前自动进行先决条件检查，检查通过后点击“安装”，系统自动安装并重启。安装需要一段时间请耐心等待。 9. 查看是否安装成功。理论上重启后AD域即部署成功，打开“服务器管理器”，点击“工具>Active Directory用户和计算机”，在弹窗中依次点击“sfs.com>Domain Controllers”，若展示云主机名称即代表AD域部署成功。

本文介绍数据库管理服务为云数据库提供数据库审计功能，帮助您追溯历史所有数据库操作记录，满足您的安全审计需求。 前提条件 用户已录入MySQL、DDS、PostgreSQL与SQL Server类型的云数据库实例。 MySQL、PostgreSQL、SQL Server数据库资源池支持：西南1、华东1、上海36、华北2、长沙42、华南2、青岛20、南昌5、西安7、杭州7。 DDS数据库资源池支持：华东1、上海36、西南1、华北2、华南2。 用户已经开启了数据库审计，详见：开启数据库审计。 操作步骤 1. 登录数据库管理服务。 2. 在左侧菜单栏依次点击SQL治理 > SQL审计，进入SQL审计明细界面。 注意事项 SQL审计明细的日志记录默认只保存1天，可设置范围为1~3天。若需要更改最长保存时间（最长支持180天）请联系客户经理评估调整。 仅超级管理员、系统管理员和审计管理员可以进入SQL审计日志界面。 MySQL审计日志中影响行数、返回行数、扫描行数、执行耗时、锁等待时间若无法查看则为历史版本，有需要请联系数据库内核升级版本即可。 若DDS不支持数据库审计，需先升级数据库内核版本。 功能介绍 SQL审计的日志记录了历史所有数据库操作记录，您需要先选择查看的时间范围和实例，点击查询按钮即可查看。 SQL审计明细日志搜索 SQL审计日志支持多个维度的联合搜索，不同数据库类型搜索项存在差异，常见搜索项说明如下 搜索项 说明 时间范围 选择查询的时间范围 数据库类型 选择DMS支持的数据库类型，必填 实例 实例名称，必填 节点IP 数据库实例节点IP，必填 数据库名 实例中数据库名称，可使用通配符%，指代任意长度字符 SQL执行类型 选择SQL语句的类型 SQL文本 SQL语句文本，大小写不敏感，可使用通配符%，指代任意长度字符 按时间排序 是否将查询结果按照时间排序，开启后将严重影响查询性能，建议关闭 数据库账号 大小写不敏感，可使用通配符%，指代任意长度字符 客户端IP 客户端IP地址，可使用通配符%，指代任意长度字符 SQL执行结果 SQL执行是否成功 注意 由于MySQL审计日志数据量较大，搜索的时间范围跨度仅限1天。

权限说明 如果您需要对LTS资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制LTS资源的访问。 通过IAM，您可以在账号中给员工创建IAM用户，并使用策略来控制其对LTS资源的访问范围。例如您的员工中有负责软件开发的人员，您希望员工拥有LTS的使用权限，但是不希望员工拥有删除服务发现规则等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用服务发现规则，但是不允许删除服务发现规则的权限策略，控制其对服务发现规则资源的使用范围。 如果账号已经能满足您的使用需求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用LTS的其它功能。 IAM是提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见“统一身份认证服务 用户指南的产品简介章节”。 LTS权限 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对LTS进行操作。 LTS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问LTS时，需要先切换至授权区域。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分。 如[表1]所示，包括了LTS的所有系统权限。 表 1 LTS系统权限 策略名称 描述 策略类别 依赖关系 LTS FullAccess 云日志服务的所有权限，拥有该权限的用户可以操作并使用LTS。 系统策略 CCE Administrator OBS Administrator AOM FullAccess LTS ReadOnlyAccess 云日志服务的只读权限，拥有该权限的用户仅能查看LTS数据。 系统策略 CCE Administrator OBS Administrator AOM FullAccess LTS Administrator 云日志服务的管理员权限。 系统角色 Tenant Guest Tenant Administrator [表2]列出了LTS常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表 2 常用操作与系统权限 操作 LTS FullAccess LTS ReadOnlyAccess LTS Administrator 查询日志组 √ √ √ 创建日志组 √ × √ 修改日志组 √ × √ 删除日志组 √ × √ 查询日志流 √ √ √ 创建日志流 √ × √ 修改日志流 √ × √ 删除日志流 √ × √ 配置主机日志接入 √ × √ 查询过滤器 √ √ √ 禁用过滤器 √ × √ 启用过滤器 √ × √ 删除过滤器 √ × √ 查询告警规则 √ √ √ 创建告警规则 √ × √ 修改告警规则 √ × √ 删除告警规则 √ × √ 查看日志转储 √ √ √ 添加日志转储 √ × √ 修改日志转储 √ × √ 删除日志转储 √ × √ 开启周期性转储 √ × √ 暂停周期性转储 √ × √ 安装ICAgent √ × √ 升级ICAgent √ × √ 卸载ICAgent √ × √ 使用自定义细粒度策略，请使用管理员用户进入统一身份认证（IAM）服务，按需选择云日志服务的细粒度权限进行授权操作。 云日志服务细粒度权限依赖说明请参见[表3]。 表 3 云日志服务细粒度权限依赖说明 权限名称 权限描述 权限依赖 lts:agents:list 查询Agent列表 无 lts:buckets:get 查询指定桶 无 lts:groups:put 修改指定日志组 无 lts:transfers:create 创建日志转储 obs:bucket:PutBucketAcl obs:bucket:GetBucketAcl obs:bucket:GetEncryptionConfiguration obs:bucket:HeadBucket lts:groups:get 查询指定日志组 无 lts:transfers:put 修改日志转储 obs:bucket:PutBucketAcl obs:bucket:GetBucketAcl obs:bucket:GetEncryptionConfiguration obs:bucket:HeadBucket lts:resourceTags:delete 删除资源标签 无 lts:ecsOsLogPaths:list 查询指定镜像的系统日志路径 无 lts:structConfig:create 创建LTS结构化配置 无 lts:agentsConf:get 查询指定Agent配置 无 lts:logIndex:list 查询日志索引列表 无 lts:transfers:delete 删除日志转储 无 lts:regex:create 提取结构化字段 无 lts:subscriptions:delete 删除指定订阅 无 lts:overviewLogsLast:list 查询用户的最近日志 无 lts:logIndex:get 查询指定日志索引 无 lts:sqlalarmrules:create 添加告警相关 无 lts:agentsConf:create 创建Agent配置 无 lts:sqlalarmrules:get 查询告警相关 无 lts:datasources:batchdelete 批量删除datasource 无 lts:structConfig:put 修改LTS结构化配置 无 lts:groups:list 查询日志组列表 无 lts:sqlalarmrules:delete 删除告警相关 无 lts:transfers:action 启停日志转储 无 lts:datasources:post 创建datasource 无 lts:topics:create 创建日志主题 无 lts:resourceTags:get 查询资源标签 无 lts:filters:put 修改日志过滤器 无 lts:logs:list 查询日志列表 无 lts:subscriptions:create 创建订阅 无 lts:filtersAction:put 启停日志过滤器 无 lts:overviewLogsTopTopic:get 查询日志量最大的主题的数据指标 无 lts:datasources:put 修改datasource 无 lts:structConfig:delete 删除LTS结构化配置 无 lts:logIndex:delete 删除指定日志索引 无 lts:filters:get 查询指定日志过滤器 无 lts:topics:delete 删除指定日志主题 无 lts:agentSupportedOsLogPaths:list 查询Agent支持的操作系统日志的路径 无 lts:topics:put 修改指定日志主题 无 lts:agentHeartbeat:post 上传agent心跳 无 lts:logsByName:upload 根据日志组和日志主题的名字上传日志 无 lts:buckets:list 查询桶列表 无 lts:logIndex:post 创建日志索引 无 lts:logContext:list 查询日志上下文 无 lts:groups:delete 删除指定日志组 无 lts:filters:delete 删除日志过滤器 无 lts:resourceTags:put 更新资源标签 无 lts:structConfig:get 查询LTS结构化配置 无 lts:overviewLogTotal:get 查询当前用户的日志总量 无 lts:subscriptions:put 修改指定订阅 无 lts:subscriptions:list 查询订阅器列表 无 lts:datasources:delete 删除指定datasource 无 lts:transfersStatus:get 查询日志转储状态 无 lts:logIndex:put 修改指定日志索引 无 lts:sqlalarmrules:put 修改告警相关 无 lts:logs:upload 上传日志 无 lts:agentDetails:list 查询agent诊断日志 无 lts:agentsConf:put 修改Agent配置 无 lts:logstreams:list 筛选日志流资源 无 lts:subscriptions:get 查询指定订阅 无 lts:disStreams:list 查询DIS通道 无 lts:groupTopics:put 创建日志组和日志主题 无 lts:resourceInstance:list 查询资源实例 无 lts:transfers:list 查询日志转储列表 无 lts:topics:get 查询指定日志主题 无 lts:agentsConf:delete 删除指定Agent配置 无 lts:agentEcs:list 查询ECS列表 无 lts:indiceLogs:list 搜索日志 无 lts:topics:list 查询日志主题列表 无

本文介绍SQL Server的产品优势。 正版授权 拥有微软正版授权，避免因为未授权使用软件造成风险，搭配微软商业智能工具，让您的业务运行起来更加高效。 高性价比 SQL Server的高性价比主要体现在即开即用、灵活计费、弹性扩展、全面兼容、维护方便。 即开即用 即开即用是SQL Server提供的一项优质服务，您不需要自行搭建和配置环境，仅需通过控制台快速开通实例，能够有效节省硬件成本、提高响应时间、降低运维成本。 灵活计费 支持按需和包周期两种计费方式，可以根据业务需求，选择不同计费方式，节省费用。 弹性扩展 您可以根据业务情况，对SQL Server实例进行弹性扩展，支持对实例规格、存储空间进行灵活扩展，帮助您有效节省成本。 便捷管理 提供了全面的日常维护和管理，包括软硬件故障处理等工作，确保数据库运转正常。专业的数据库管理平台，可视化界面提供一键式功能。此外，实时监控实例的CPU利用率、磁盘空间、连接数等性能指标，帮助您随时了解实例的动态情况。 安全可靠 网络隔离 通过虚拟私有云和安全组等网络安全技术实现网络隔离，与其他租户资源保持隔离，确保数据安全性。 访问控制 在虚拟私有云中，可以对SQL Server实例所在安全组的入站和出站规则进行限制，从而实现基于安全组的访问控制。这样就能够有效的控制可连接数据库实例的网络范围，从而提升数据库的安全性。 支持通过主子账号和企业项目，实现对数据库实例的管理权限控制。 支持通过对数据库账号设置库级别的读写权限，来达到数据库级别的权限控制。

查看Agent信息 1. 登录管理控制台。 2. 单击右上角的，选择区域。 3. 选择“安全 > 数据库安全服务”，进入数据库安全防护实例列表界面。 4. 在左侧导航树中，选择“数据库安全审计 > 数据库列表”，进入数据库列表界面。 5. 在“选择实例”下拉列表框中，选择查看的Agent所属的实例。 6. 单击数据库左侧的展开Agent的详细信息，如下所示，相关参数如下。 Agent参数说明 参数名称 说明 Agent ID Agent的ID，由系统自动生成。 安装节点类型 安装节点的类型，包括“数据库端”或“应用端”。 安装节点IP 安装Agent的节点的IP地址。 操作系统 安装Agent运行的操作系统。 审计网卡名称 安装节点的网卡名称。 CPU阈值(%) 安装节点的CPU阈值，缺省值为“80”。 说明 当安装节点的CPU超过设定的阈值时，Agent将停止工作。您可以直接升级服务器的CPU。 内存阈值(%) 安装节点的内存阈值，缺省值为“80”。 说明 当安装节点的内存超过设定的阈值时，Agent将停止工作。您可以直接升级服务器的内存。 通用 Agent是否为通用Agent。 运行状态 安装节点的运行状态。 您可以根据使用需求，对添加的Agent执行以下操作： 关闭 在需要关闭的Agent所在行的“操作”列，单击“关闭”后，在弹出的提示框中，单击“确定”，Agent状态为“关闭”。 关闭Agent后，数据库安全审计将停止对连接该Agent的数据库进行安全审计。 删除 在需要删除的Agent所在行的“操作”列，单击“删除”后，在弹出的提示框中，单击“确定”，删除该Agent。 删除Agent后，如果需要对连接该Agent的数据库进行安全审计，请重新添加Agent。

本节为您介绍数据安全中心产品优势。 云上全场景覆盖 通过整合云上各类数据源，提供一站式数据保护和防御机制。不仅支持结构化类型数据，还支持非结构化类型数据，支持云原生和ECS自建场景。 全生命周期可视化 将数据安全全生命周期各阶段的状态整合起来，并通过可视化方式展示云上数据安全态势。 高效识别数据源 通过专家知识库和NLP的双重加权，提升识别能力，精确高效地锁定敏感数据源。 全方位敏感数据防护 根据敏感数据发现策略，精准识别数据库中的敏感数据，并结合多种预置脱敏算法和用户自定义脱敏算法，实现全方位的敏感数据防护。

本文为您系统梳理使用数据库双活的标准化准备流程。 概述 数据库双活提供数据库语义级的同构数据库双活复制软件服务。采用数据库之间语义级的数据实时复制与同步；基于数据库事务日志分析技术，在数据库高并发事务场景下实现数据实时同步；于目标端同步写入时序，严格确保源端和目标端的数据库事务级最终一致性；提供了备库接管、反向同步等功能。 操作步骤 一、购买许可 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“资源同步”“资源同步管理”，进入资源管理模块页面。 5. 点击左侧菜单栏“数据库双活”，点击“许可”，进入许可页面。 6. 点击右上角“购买数据库双活许可”按钮，弹出购买许可弹窗。按需购买许可。 7. 填写数据库类型、购买数量和时长，勾选已阅读并同意相关协议后，点击“购买”按钮，完成许可支付。 二、安装drnode 步骤一：网络配置 场景1：若同步资源为天翼云内资源时，需手动配置其需同步资源所在的虚拟私有云（VPC），并通过部署VPC终端节点（VPCEP）实现MDR网络代理与目标VPC的安全互联。 1. 登录天翼云，进入[控制中心](

本章节主要介绍DataArts Studio的开发一个Hive SQL作业流程。 本章节介绍如何在数据开发模块上进行Hive SQL开发。 场景说明 数据开发模块作为一站式大数据开发平台，支持多种大数据工具的开发。Hive是基于Hadoop的一个数据仓库工具，可以将结构化的数据文件映射为一张数据库表，并提供简单的SQL查询功能；可以将SQL语句转换为MapReduce任务进行运行。 环境准备 已开通MapReduce服务MRS，并创建MRS集群，为Hive SQL提供运行环境。 MRS集群创建时，组件要包含Hive。 已开通数据集成CDM，并创建CDM集群，为数据开发模块提供数据开发模块与MRS通信的代理。 CDM集群创建时，需要注意：虚拟私有云、子网、安全组与MRS集群保持一致，确保网络互通。 建立Hive的数据连接 开发Hive SQL前，我们需要在“管理中心 > 数据连接”模块中建立一个到MRS Hive的连接，数据连接名称为“hive1009”。 关键参数说明： 集群名：已创建的MRS集群。 绑定Agent：已创建的CDM集群。 开发Hive SQL脚本 在“数据开发 > 脚本开发”模块中创建一个Hive SQL脚本，脚本名称为“hivesql”。在编辑器中输入SQL语句，通过SQL语句来实现业务需求。 开发脚本 关键说明： 上图中的脚本开发区为临时调试区，关闭脚本页签后，开发区的内容将丢失。您可以通过“提交”来保存并提交脚本版本。 数据连接：建立Hive的数据连接创建的连接。

本文介绍如何查看节点扫描结果。 扫描完成后，在节点列表中可以查看扫描结果。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“节点安全”，进入节点安全页面。 3. 节点状态列表上方，支持按照“节点名称”、“节点状态”、“防护状态”、“软件版本”、“软件名称”等进行筛选查询。系统默认筛选出节点类型为防御容器的节点。 节点列表参数说明如下： 参数 说明 节点名称 节点的名称。 IPv4地址 节点的IPv4地址。 IPv6地址 节点的IPv6地址。 集群 节点所属集群的名称。 系统类型 节点的操作系统类型。 节点状态 指节点上防御容器的在线状态，分为已连接、未连接和已暂停三种状态。 节点类型 节点类型根据节点上运行的容器分为防御容器和扫描容器。 扫描状态 扫描状态分为待扫描、扫描中、已扫描、扫描失败这几种状态。 心跳时间 最近一次检查节点在线状态的时间。

场景说明 RocketMQ的修改实例的场景描述如下： 在使用RocketMQ时，可能会遇到需要修改实例的场景，例如： 业务变更：当业务需求发生变化，需要修改RocketMQ实例的名称以反映新的业务逻辑时，可以进行实例名称的修改。例如，当新增或调整了某个业务模块，需要将其对应的实例名称修改为更准确的名称，以便于管理和监控。 消息处理速度优化：当消息的处理速度较慢或不稳定时，可以通过调整消息保存时长参数来优化消息的处理效率。例如，可以缩短消息的保存时长，减少消息在系统中的停留时间，以提高消息的实时性和处理速度。 安全配置修改：当需要修改RocketMQ实例的安全配置时，可以进行相应的修改。 需要注意的是，在进行实例的修改时，应该谨慎操作，并根据实际需求和系统情况进行调整。同时，修改实例时应该遵循RocketMQ的最佳实践和建议，以确保系统的稳定性和性能。 操作步骤 1、 天翼云官网点击控制中心，选择产品分布式消息服务RocketMQ。 2、 登录分布式消息服务RocketMQ控制台，点击右上角地域选择对应资源池。 进入实例列表，在实例名称点击修改按钮，直接修改实例名称字段。 3、 点击【管理】按钮进入管理菜单。点击修改配置，在弹出窗口修改实例描述和消息保存时长等信息。 注意 实例描述长度限制为0~256个字符。 您可以调整消息保存时长参数，实现消息容量消耗的控制。安全生产和稳定性保障限制，消息需要至少保留24小时。 要完整支持延时消息的功能，消息需要至少保留48小时。 4、 点击修改安全组，选择变更用户安全组。

与旧版IAM相比，新版IAM支持更精细、更安全、更全面的访问控制。需要注意的是： 新版的IAM不再区分主密钥、普通密钥。 每个根用户/子用户可以拥有2个访问密钥对。 当创建访问密钥时，您只有在创建时可以下载和查看您的私有访问密钥（即SecretAccessKey），如不慎遗失，您可以选择删除该访问密钥，并创建新的访问密钥。 为了提供更安全的服务，新版IAM API统一使用V4签名。

针对服务端报错问题进行诊断 诊断服务端报错问题 问题描述 网页抛错，尤其是5xx错误是互联网应用最常见的问题之一。5xx错误通常发生于服务端。服务端是业务逻辑最复杂，也是整条网络请求链路中最容易出错、出了错之后最难诊断原因的地方。运维工程师或研发工程师往往需要登录机器查看日志来定位问题。 对于逻辑不太复杂、上线时间不长的应用来说，登录机器查看日志的方式能够解决大部分网站抛错的问题。但在以下场景中，传统的问题诊断方式往往没有用武之地。 1. 在一个分布式应用集群中，需知道某一类错误的发生时间和频率。 2. 某系统已运行了很长时间，但是不想关心遗留的异常，只想知道今天和昨天相比、发布后和发布前相比多了哪些异常。 3. 查看一个异常对应的Web请求和相关参数。 4. 客服人员提供了一个用户下单失败的订单号，分析该用户下单失败的原因。 解决方案 为应用安装APM探针后，即可在不改动应用代码的情况下，利用应用性能监控的异常自动捕捉、收集、统计和溯源等能力，全面掌握应用的各种错误信息。 步骤一：安装APM探针 为应用安装APM探针后，才能对应用进行全方位监控。请根据实际需求选择一种方式来安装探针。 步骤二：查看关于应用异常的统计信息 为应用安装APM探针后，APM会收集和展示选定时间内应用的总请求量、平均响应时间、错误数、实时实例数、FullGC次数、慢SQL次数、异常次数和慢调用次数，以及这些指标和上一天的环比、上周的同比升降幅度。请按以下步骤查看应用异常的统计信息。 1. 在应用总览页面的概览页签下方，查看异常的总数、周同比和日同比数据，如下图所示。 2. 滑动页面至概览页签底部的统计分析区域的异常类型，查看各类型异常出现的次数，如下图所示。 3. 在导航栏，点击应用详情 ，选择异常错误分析，查看异常统计图、错误数、异常堆栈等，如下图所示。

本小节介绍终端安全EDR策略配置。 病毒查杀配置方法： 1.在【终端管理】→【终端分组管理】，进行策略配置，在【终端管理】→【策略中心】→【病毒查杀】，勾选“开启定期自动扫描”，点击保存。 2.在【终端管理】→【策略中心】→【病毒查杀】，勾选“定期漏洞扫描”，点击保存。 威胁检测配置方法 1.部署安装客户端后，在【威胁检测】→【终端病毒查杀】下，点击“快速查杀”，开启任务完成病毒查杀。 2.开启扫描任务，在【威胁检测】→【终端病毒查补】，进行终端漏洞查补，完成漏洞扫描。 3.开启终端基线检查，在【威胁检测】→【终端基线检查】，点击“立即检查”，完成基线检查。 以上完成客户端安装及策略配置，检查完成后安全信息将在安全专区展示。

%^+?,特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 单击“确定”，提交重置。 单击“取消”，取消本次重置。

本文主要介绍如何使用客户端优化设置能力。 背景说明 针对系统老旧或性能不足的老旧低配设备，管理员通常期望可以自适应降级安全策略以保障设备可以正常使用。 操作步骤 1.登录边缘安全加速控制台，进入AOne终端管理或者AOne零信任工作台。 2.在左侧导航栏，选择设置客户端设置优化设置，查看相应的配置和管理。 3.可根据业务需求进行相关配置操作。 功能说明 注意 客户端版本：需为2.23.10及以上客户端，目前支持Windows客户端。 满足任意一点即为老旧低配设备： 1. 系统老旧（Windows 7、Windows 7 SP1 、Windows 8、Windows 8.1）。 2. 性能配置不足（2C≤CPU<4C 或 4G≤内存<8G），此处CPU指逻辑4核。 当打开此开关时，将针对老旧低配设备做安全策略自适应调整，保障设备安全的同时缓解性能压力。自适应调整说明如下： 1. 文件实时防护自适应降级，即不会触发高等级防护。 2. 局域网共享防护自动关闭。

APPCOOKIE 在APPCOOKIE方式下，后端服务器负责在HTTP响应头插入会话保持cookie，ELB只对cookie做记录和透传。当客户首次请求时，ELB选择后端一台服务器转发，在后端服务器回复HTTP响应头时，ELB记录下会话保持cookie的值与后端服务器的关联关系，将该cookie透传给客户端。在cookie有效期内，后续客户端请求都携带会话保持cookie，ELB根据该cookie的值与后端服务器的关联关系，将请求转发给同一后端服务器处理。相比于HTTPCOOKIE， APPCOOKIE由后端服务器决定是否会话保持，适用于需要后端控制的复杂业务场景。 SOURCEIP 根据收到请求的客户端源IP地址信息，ELB将相同源IP地址的流量分发到相同的后端服务器上。 天翼云集群模式资源池适用于以下规则： 主备、集群模式资源池列表见产品简介产品类型和规格，实际情况以控制台展现为准。 植入COOKIE 原理与以上的HTTPCOOKIE相同。 重写COOKIE 在重写Cookie方式下，后端服务器负责在HTTP响应头插入会话保持cookie，ELB对cookie做改写。当客户首次请求时，ELB选择后端一台服务器转发，在后端服务器回复HTTP响应头时，ELB将会话保持cookie的值改写为后端服务器的SERVERID。在cookie有效期内，后续客户端请求都携带会话保持cookie，ELB根据该cookie的值将请求转发给同一后端服务器处理。相比于植入Cookie， 重写Cookie由后端服务器决定是否会话保持，适用于需要后端控制的复杂业务场景。