CSRF防护的方式 1、验证码 CSRF攻击的过程，往往是在用户不知情的情况下构造了网络请求，验证码则强制用户必须与应用进行交互才能完成最终请求。但基于使用体验，网站不会给所有的操作都加上验证码。 2、验证HTTP Referrer字段 根据 HTTP 协议，HTTP 头部中Referrer字段记录了该 HTTP 请求的来源地址。 比如一个论坛发帖的操作，在正常境况下需要先访问有发帖功能的页面，在提交发帖的表单时，Referrer值必然是发帖表单所在的页面。如果Referrer的值不是这个页面，甚至不是发帖网站的域，则极有可能是CSRF攻击。 3、请求中添加token并验证 在请求中放入黑客所不能伪造的信息，并且该信息不存在于Cookie 之中。可以在HTTP 请求中以参数的形式加入一个随机产生的token，并在服务器端建立一个拦截器来验证这个token，如果请求中没有token 或者token 内容不正确，则认为可能是CSRF 攻击而拒绝该请求。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通体验版及以上版本支持使用CSRF防护功能 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 登录web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入高级防护页面； 3. 进入“CSRF防护”页面，可以配置CSRF防护策略；

本小节介绍态势感知产品定义。 态势感知为用户提供统一的威胁检测平台。态势感知能够帮助用户检测云上资产遭受到的各种典型安全风险，还原攻击历史，感知攻击现状，预测攻击态势，为用户提供强大的事前、事中、事后安全管理能力。 态势感知系统通过资产管理、脆弱性评估、威胁检测等手段完成用户网络的安全检查、风险评估、可视化呈现。同时，通过与国家应急响应中心（CNCERT）权威监测平台的威胁情报、知识库对接，动态实时地完成应急协同、威胁情报接入、信息流转、防护规则更新等信息交换，做到用户安全风险的快速发现和信息闭环。

管理规模大 多规格集群模式满足高性能及可用性需求 集群规格 集群模式 最大纳管规模 双机集群 双主 2000虚机/3000容器 4机集群 2接入+2数据 10000虚机/15000容器 6机集群 2接入+4数据 20000虚机/25000容器 8机集群 2接入+2管理+4数据 30000虚机/40000容器 产品价值或亮点 用户可通过微隔离产品部署实现如下价值提升： 填补安全能力空白 内部东西向流量可视； 工作负载间互访可控； 非正常横向连接可知。 缩减内部暴露敞口 跨平台流量统一管理； 非必要暴露端口监测； 业务授权最小化分配。 提升应急处置效率 失陷主机拖拽式隔离； 高危端口一键式封禁； 异常连接实时化监测。 满足等保合规要求 虚机间流量识别控制； 虚机与物理机间访控； 策略随虚机动态漂移。

功能 说明 指定地域创建桶、删除桶、桶概览、搜索桶和删除桶的操作等。 文件管理包括新建目录（文件夹）、上传、下载、搜索、复制、分享文件、通过URL访问对象、修改文件的存储类型、设置文件标签、设置读写权限、设置HTTP头、解冻归档文件、删除文件、恢复文件等。 清理碎片功能可以清除由于文件上传失败而产生的碎片。 支持通过桶的读写权限、IAM权限管理、STS临时授权、跨域访问设置、防盗链、桶ACL对ZOS进行权限管理。 多版本管理功能允许用户在存储桶内保留同一对象的多个不同版本，可满足需要追踪数据变更历史、保留先前状态或实现数据恢复的需求。 支持创建并保存对存储桶的访问日志记录，以进行请求分析和日志审计。 支持设置桶的生命周期管理策略，定时删除桶中的对象或者定时转换对象的存储类别，实现对桶的自动化管理，节省存储空间并优化成本。 通过静态页面设置，可以把存储桶内的对象设置为静态网站托管，并通过存储桶的静态网站域名来访问静态网站。 桶清单功能支持将生成的桶清单上传到您指定的桶中，便于获取海量对象的信息并管理桶内对象。 桶配额可以限制桶内允许上传的对象总容量/总数量，适用于需要对桶的容量/桶中对象数量进行限制的场景。 支持在公共资源池的每个地域设置一个用户地域配额，作为该地域所有桶容量或文件数量的上限。 当用户访问的数据在ZOS存储桶中不存在时，会直接返回404错误。如果您配置了数据回源功能，则可以通过数据回源规则从源站访问到对应的数据。 通过服务端在数据写入之前对数据进行加密，并在访问时自动解密，实现对静态数据的有效保护，增强数据的安全性。 ZOS控制台支持合规控制策略配置及管理，允许用户以“不可删除、不可篡改”方式保存和使用数据。 支持通过图形化方式配置样式，一个样式中包含多个图片处理参数，快速实现复杂的图片处理操作。 支持通过云监控获取用户维度和桶维度的指标数据，并允许创建告警规则来监测ZOS的状态。 对象存储迁移支持将其他云存储的数据迁移到ZOS进行存储。

天翼云支持基于SAML 2.0的SSO(Single Sign On,单点登录),本文为您介绍企业如何运用身份提供商能力,实现企业内部账号单点登录到天翼云的联邦身份认证流程。 基本概念 概念 说明 身份提供商（Identity Provider，IdP） 存储企业内部用户数据，能够提供身份管理能力的服务。在企业完成与天翼云的联邦身份认证流程中，身份提供商指企业内部用户管理身份系统。常见的企业IdP有Microsoft Active Directory Federation Service （AD FS）、Shibboleth等。 服务提供商（Service Provider，SP） 服务提供商指在建立与身份提供商的互信关系后，使用身份提供商的用户数据，为用户提供具体服务的实体。在企业完成与天翼云的联邦身份认证流程中，服务提供商指天翼云。 SAML 2.0 SAML即安全断言标记语言，英文全称是Security Assertion Markup Language。它是一个基于XML的标准，用于在不同的安全域之间交换认证和授权数据，例如IdP和SP之间，SAML 2.0是目前实现企业SSO的一套开放标准。 SSO方式 天翼云目前提供用户SSO方式，支持浏览器页面单点登录。（Web SSO） 用户SSO 天翼云通过IdP传输的SAML断言确定企业用户与天翼云用户的对应关系，以实现企业IdP用户登录天翼云后，自动匹配为一个有效的天翼云用户，并拥有该天翼云用户所拥有的权限。 注意 一个账户下，只能创建一个用户SSO的身份提供商。

产品优势 分布式消息服务MQTT具有协议丰富、安全可靠、低成本高性能、消息互通等优势，适用于大规模分布式系统中的消息传递和处理场景。 协议丰富： 兼容支持原生多种标准协议，如MQTT、MQTTSN、CoAP、LwM2M；兼容任何支持MQTT协议的 SDK覆盖绝大多数移动端开发平台及开发语言。 安全可靠： 数据安全，支持SSL加密通信，提供身份认证，数据传输更安全可靠。 低成本高性能： 稳定承载大规模终端设备连接，资源占用少；消息路由快速低延时，单集群支持百万规模的路由。 更多信息请参见产品优势。 应用场景 分布式消息服务MQTT可以用于许多应用场景，其灵活性和轻量级特性使其适用于各种需要实时消息传输和发布/订阅模型的应用，如物联网通信、远程监控及控制、传感器数据采集等。 物联网（IoT）通信 MQTT广泛用于连接和管理大规模的物联网设备。它允许传感器、嵌入式设备和其他物联网终端之间进行实时数据通信，以监测环境、收集数据和实现智能控制。 远程监控和控制 MQTT可用于远程监控和控制系统，如监控能源设备、工业自动化、智能家居系统等。它使操作员能够实时监测设备状态，同时可以通过发布命令来实现设备控制。 传感器数据采集 MQTT用于将传感器数据从分布式传感器网络传送到数据中心或云平台，以进行分析和处理。这对于监测环境、天气预报、农业数据收集等非常有用。 更多信息请参见应用场景。

本文为您介绍如何续订Web应用防火墙（原生版）实例。 为避免Web应用防火墙（原生版）实例到期后，防护服务自动停止，需要在实例到期前为实例手动续费，或设置到期自动续费。 到期说明 服务即将到期前，系统会以短信或邮件的形式提醒服务即将到期，并提醒用户续费。 服务到期后，如果没有按时续费，平台会冻结服务，但用户配置信息会提供15天的保留期。 说明 保留期内，平台会冻结WAF服务，用户配置的各类防护策略将不再生效，云WAF只转发流量。 保留期满，用户若仍未续费，平台会清除实例资源，用户所添加域名的所有配置将会被删除，同时云WAF将不再转发业务流量，若用户未及时将DNS指回服务器源站IP，网站业务流量将无法正常转发。 续订说明 服务支持手动续订，需要在服务到期前进入控制台操作。 在购买云WAF时，支持开启“自动续订”，开启自动续订后，在服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 说明 若购买云WAF时勾选了“自动续订”，系统将会默认设置续费周期： 按月购买，自动续费周期默认为3个月。 按年购买，自动续费周期默认为1年。 如需要修改自动续费周期，可进入天翼云“费用中心 > 订单管理 > 续订管理”页面，在资源页面找到待修改自动续订的资源，单击操作列的“修改自动续订”，拖动“续订周期”可修改自动续订周期，当自动续订周期达1年或以上时，将可享受包年折扣。

本章节主要介绍服务器安全卫士对接的云审计服务使用和查看方法。 操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 审计日志转储：支持将审计日志周期性的转储至对象存储服务（ZOS）下的ZOS桶或日志审计（原生版）服务中。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 若您使用云审计提供的转储至对象存储服务（ZOS）功能，需要开通对象存储服务并支付产生的费用，该费用以对象存储产品的计费为准，参考计费说明对象存储。 若您使用云审计提供的转储至日志审计（原生版）功能，需要开通日志审计（原生版）服务并支付产生的费用，该费用以日志审计（原生版）产品的计费为准，参考计费说明日志审计（原生版）。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。

本章节主要介绍MapReduce如何创建集群。 使用翼MR的首要操作就是创建集群，本章节为您介绍如何在翼MR管理控制台创建一个新的集群。 操作步骤 1.登录翼MR管理控制台。 2.单击“创建集群”，进入“创建集群”页面。 说明 创建集群时需要注意配额提醒。当资源配额不足时，建议按照提示申请足够的资源，再创建集群 。 3.在创建集群页面，选择“自定义创建”页签。 4 .配置集群软件信息。 区域：默认即可。 集群名称：可以设置为系统默认名称，但为了区分和记忆，建议带上项目拼音缩写或者日期等。例如：“mrs20180321”。 集群版本：默认最新版本即可。 集群类型：默认选择“分析集群”即可。 组件选择：分析集群勾选Spark2x、HBase和Hive等组件。流式集群勾选Kafka和Storm等组件。混合集群可同时勾选分析集群流式集群的组件。 元数据：默认即可。 说明 针对翼MR 3.x之前版本，分析集群勾选Spark、HBase和Hive等组件 。 5.单击“下一步”。 可用区：默认即可。 虚拟私有云：默认即可。如果没有虚拟私有云，请单击“查看虚拟私有云”进入虚拟私有云，创建一个新的虚拟私有云。 子网：默认即可。 安全组：选择“自动创建”。 弹性公网IP：选择“暂不绑定”。 实例规格：Master和Core节点都选择“通用计算型S3>8核16GB(s3.2xlarge.2 )”。 系统盘：存储类型选择“普通IO”，存储空间默认即可。 数据盘：存储类型选择“普通IO”，存储空间默认即可，数据盘数量默认即可。 实例数量：Master节点数量默认为2，Core节点数量配置为3。 注意 上述“实例规格”示例，实际可选规格请以各资源池可用规格为准。 6.单击“下一步”进入高级配置页签，配置参数，其他参数保持默认。 Kerberos认证： −Kerberos认证：关闭Kerberos认证。 −用户名：Manager管理员用户，目前默认为admin用户。 −密码：Manager管理员用户的密码。 登录方式：选择登录ECS节点的登录方式。 −密码：设置登录ECS节点的登录密码。 −密钥对：从下拉框中选择密钥对，如果已获取私钥文件，请勾选“我确认已获取该密钥对中的私钥文件 SSHkeyxxx ，否则无法登录弹性云主机”。如果没有创建密钥对，请单击“查看密钥对”创建或导入密钥，然后再获取私钥文件。 通信安全授权：勾选确认授权。 7.单击“立即申请”。 当集群开启Kerberos认证时，需要确认是否需要开启Kerberos认证，若确认开启请单击“继续”，若无需开启Kerberos认证请单击“返回”关闭Kerberos认证后再创建集群。 8.单击“返回集群列表”，可以查看到集群创建的状态。 集群创建需要时间，所创集群的初始状态为“启动中”，创建成功后状态更新为“运行中”，请您耐心等待。

本章节主要介绍翼MapReduce从零开始使用Kerberos认证集群。 本章节提供从零开始使用安全集群并执行MapReduce程序、Spark程序和Hive程序的操作指导。 翼MR 3.x版本Presto组件暂不支持开启Kerberos认证。 本指导的基本内容如下所示： 1.创建安全集群并登录其Manager 2.创建角色和用户 3.执行MapReduce程序 4.执行Spark程序 5.执行Hive程序 创建安全集群并登录其Manager 1.创建安全集群，请参见创建自定义集群页面，开启“Kerberos认证”参数开关，并配置“密码”、“确认密码”参数。该密码用于登录Manager，请妥善保管。 2.登录翼MR管理控制台页面。 3.单击“集群列表”，在“现有集群”列表，单击指定的集群名称，进入集群信息页面。 4.单击“集群管理页面”后的“前往Manager”，打开Manager页面。 若用户创建集群时已经绑定弹性公网IP。 a. 添加安全组规则，默认填充的是用户访问公网IP地址9022端口的规则。如需对安全组规则进行查看，修改和删除操作，请单击“管理安全组规则”。 说明 自动获取的访问公网IP与用户本机IP不一致，属于正常现象，无需处理 。 9022端口为knox的端口，需要开启访问knox的9022端口权限，才能访问Manager服务 。 b.勾选“我确认xx.xx.xx.xx为可信任的公网访问IP，并允许从该IP访问翼MR Manager页面。” 若用户创建集群时暂未绑定弹性公网IP。 a.在弹性公网IP下拉框中选择可用的弹性公网IP或单击“管理弹性公网IP”创建弹性公网IP。 b.添加安全组规则，默认填充的是用户访问公网IP地址9022端口的规则。如需对安全组规则进行查看，修改和删除操作，请点击“管理安全组规则”。 说明 自动获取的访问公网IP与用户本机IP不一致，属于正常现象，无需处理 。 9022端口为knox的端口，需要开启访问knox的9022端口权限，才能访问Manager服务 。 c.勾选“我确认xx.xx.xx.xx为可信任的公网访问IP，并允许从该IP访问翼MR Manager页面。” 5.单击“确定”，进入Manager登录页面，如需给其他用户开通访问Manager的权限，请参见用户操作指南访问集群Manager章节，添加对应用户访问公网的IP地址为可信范围。 6.输入创建集群时默认的用户名“admin”及设置的密码，单击“登录”进入Manager页面。

员工办公行为分析 展示员工办公行为情况，主要是办公情况、网站访问情况、软件使用情况。 办公情况：统计平均办公时长，主要通过设备开机、关机、息屏等实际办公情况进行统计。 网站访问情况：统计非办公网站的频次、访问统计以及上网行为管理的拦截情况。 软件使用情况：统计软件使用时长、运行情况。 注意 上网行为管控功能需要客户端版本号为2.3.x及以上。 终端安全分析 终端安全分析针对计算机系统中的终端设备进行全面审查和评估，以识别潜在的安全漏洞和威胁，并采取相应的措施来保护系统和数据的完整性、机密性和可用性。 终端防病毒：主要是病毒扫描的情况展示，展示未处理的病毒数。 合规检测：展示不合规设备数量情况。 效能分析 针对企业员工的行为进行分析企业办公效能，以助于企业管理员进行相关管理。

本文介绍批量新增域名的方式使客户快速、便捷的接入多个配置相同的域名。 前提条件 已经订购边缘安全加速平台安全与加速服务，并且套餐支持的域名数量未超过限制。 若服务区域选择“中国内地”或者“全球”，域名需要完成ICP备案，才可以接入边缘安全加速平台安全与加速服务。 操作步骤说明 1、登录边缘安全加速控制台，选择安全与加速进入工作台域名域名管理页面。您可以在该页面查看已添加的域名信息，包括域名、CNAME、状态、开启/关闭IPv6解析。单击【批量新增】。 2、【新增域名】按钮默认置灰，第1个域名填写完成且域名归属权校验通过后，才可以点击【新增域名】按钮继续添加域名。需要填写网站基础信息、网站安全配置。 注意 限制单次最多新增20个域名，如您有多个域名需要新增，可以分多次批量操作。 同一批次批量新增的域名会下发相同的配置。

态势感知是否支持包月计费模式？ 支持。 态势感知的基础版和高级版都支持包月的计费模式。更多态势感知的价格信息，请参见计费说明。 态势感知如何新增要监控的云主机数量？ 态势感知需要增加监控的云主机数量，可以进入控制中心，选择“升级”，对待监测IP数量进行升级。 购买态势感知基础版可以升级为高级版吗？ 态势感知基础版可以升级为高级版。 态势感知软件升级，包括升级监控云主机台数和版本，比如用户当前是基础版，可以升级至高级版，还可以选择升级待监测IP数量。 态势感知授权到期是否影响业务？ 授权到期并不影响客户业务。因为授权是指态势感知的使用权到期，并不是云主机到期。 态势感知到期后，会继续收费吗？ 态势感知到期后，不会继续收费。但是到期会导致无法登录态势感知页面，为避免影响使用，需要在到期前及时的进行续订。

本章节主要介绍查看集群基本信息。 登录翼MapReduce控制台后，进入集群列表页面，点击需要查看集群的名称，即进入集群基本信息界面。 集群基本信息参数主要包括集群信息、软件信息和网络硬件。 集群信息 参数 说明 集群名称 集群的名称。 集群ID 集群的ID 创建时间 集群创建的时间。 运行时间 集群运行的时间。 到期时间 集群到期时间。 高可用 默认开启。 计费模式 包年/包月、按需或包年/包月到期转按需。 Kerberos认证 根据业务场景需要，默认开启。 登录方式 默认为密码，V2.16版本起支持密码重置操作。 软件信息 参数 说明 产品版本 集群使用的翼MapReduce版本。 软件信息 集群创建时使用的组件及其版本号。单击需要查看的组件名称，可以进入该组件详情信息。 业务场景 集群创建时选择的业务场景。 客户端 集群涉及组件的客户端安装包、MD5值和配置文件。当前支持下载客户端的场景有4个，分别是：数据湖、数据服务、实时数据流和自定义。 网络硬件 参数 说明 区域集群 集群所在的区域。 硬件配置 集群所有节点MASTER、CORE、TASK（如有）的硬件信息。 企业项目 集群所属的企业项目。 虚拟私有云（VPC） 集群所使用的虚拟私有云（VPC），单击复制VPC ID，单击内容可以跳转并查看该VPC详细信息。 安全组 集群所使用的安全组，单击复制安全组ID，单击内容可以跳转并查看安全组详细信息。 子网 集群所使用的子网，单击复制子网ID，单击内容可以跳转并查看子网详细信息。 操作系统 集群所用的操作系统。 主机类型 集群所用主机的类型。 CPU类型 集群所用主机的CPU类型。 IPv6访问 V2.15版本起，支持展示集群是否开启IPv6访问能力。

本文介绍建议启用HTTPS功能的业务场景。 需要开启HTTPS功能的业务场景： HTTP协议以明文方式发送内容，不提供任何方式的数据加密。如果您的网站包含敏感信息，担心网站信息泄露或者被篡改等情况，建议您的域名开启HTTPS功能。开启HTTPS功能后，可实现客户端和CDN节点之间请求使用HTTPS加密传输，保障数据传输的安全性。同时，为保障CDN节点和源站之间的数据链路传输安全，建议CDN节点回源也使用HTTPS协议，即源站也需要支持HTTPS服务，从而保障用户>CDN节点>源站全链路数据安全。

本文向您介绍如何定时推送安全服务报告。 功能介绍 网站接入后，您可以通过创建报告订阅任务，向您的邮箱定时发送网站业务安全的服务报告，减少手动进入控制台手动获取统计数据的成本。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 配置了对应的安全防护策略，报告才会生成统计数据，您可以按需配置防护策略，请参见网站防护配置概述。 说明 默认脱敏显示您的联系方式等敏感信息，点击明文显示时，请您注意保护数据安全！ 如何配置报告订阅任务 1. 登录边缘安全加速平台控制台。 2. 进入【运营管理】>【报告订阅】页面。 3. 点击安全服务报告新增，进入新建任务界面，见下图。 配置项说明 配置项 说明 任务状态 报告订阅任务的状态，开启后定时推送任务才生效，关闭则不生效 任务名称 报告订阅的任务名称，限制不能重名 接收邮箱 接收服务报告的邮箱，支持配置多个 备注 可编辑任务的详细说明或备注信息 报告周期 可选择日报、周报、月报、单次 当选择日报时，报告默认统计前一天的数据 当选择周报时，报告默认统计前一周周一至周日的数据 当选择单次时，报告只发送一次，并且可以自由选择报告统计周期以及发送时间 发送时间 支持配置报告的发送时间，由于报告需要一定的生成时间，最终发送时间可能会有些许差异 配置完成，将生成任务卡片，可见下图：

您可以根据云主机的位置、用途、所有者等信息规划主机名，并使用主机名为云主机添加内网解析记录，便于直观的获取云主机的信息，更利于管理云主机。 例如，您在某区域的某个可用区部署了20台ECS，其中10台用于网站A，10台用于网站B，则可以采用以下方式规划主机名和内网域名： 网站A：weba01.region1.az1.com~weba10.region1.az1.com 网站B：webb01.region1.az1.com~webb10.region1.az1.com 完成上述规划后，可以帮助您快速定位云服务的位置和用途，便于日常管理和维护。 您可以参考快速入门章节完成云主机主机名管理的相关操作。

本章介绍关系数据库的优势，关系型数据库具有低成本、高安全性、高可靠性等优势，相对传统数据库运维繁琐等缺陷，关系型数据库使用更加方便简单。 低成本 即开即用 您可以通过官网实时生成目标实例，关系型数据库服务配合弹性云主机一起使用，通过内网连接关系型数据库可以有效的降低应用响应时间、节省公网流量费用。 弹性扩容 可以根据您的业务情况弹性伸缩所需的资源，按需开支，量身订做。配合云监控（Cloud Eye）监测数据库压力和数据存储量的变化，您可以灵活调整实例规格。 完全兼容 您无需再次学习，关系型数据库各引擎的操作方法与原生数据库引擎的完全相同。关系型数据库还兼容现有的程序和工具。 运维便捷 RDS的日常维护和管理，包括但不限于软硬件故障处理、数据库补丁更新等工作，保障关系型数据库运转正常。提供专业数据库管理平台，重启、重置密码、参数修改、查看错误日志和慢查询日志、恢复数据等一键式功能。提供CPU利用率、IOPS、连接数、磁盘空间等实例信息实时监控及报警，让您随时随地了解实例动态。 高安全性 网络隔离 通过虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组实现网络隔离。虚拟私有云允许租户通过配置虚拟私有云入站IP范围，来控制连接数据库的IP地址段。关系型数据库实例运行在租户独立的虚拟私有云内，可提升关系型数据库实例的安全性。您可以综合运用子网和安全组的配置，来完成关系型数据库实例的隔离。

本实践介绍了CORS相关概念以及如何通过 ZOS 控制台或以编程方式使用ZOS软件开发工具包来启用 CORS。此外,我们提供了一个实践案例为您展示配置浏览器跨域前后的区别。 操作场景 在对象存储的实际应用中，通常需要在浏览器网页中访问存储在服务器上的数据。如果浏览器禁止跨域请求，则无法直接访问对象存储中的数据。 在ZOS中，您可以创建一个存储桶（bucket）来存储你的数据对象（Object），这些对象可以通过一个公共的URL进行访问。然而，如果您想在一个不同域的Web应用中直接访问这些对象，您可能会遇到跨域问题。例如，网站A要从ZOS存储桶中获取一个图片对象，在没有配置CORS的情况下，浏览器会因为跨域问题而阻止这个请求。然而您可以在存储桶配置中添加一个CORS策略，指定网站A可以访问您的对象。这样，该网站的Web应用就可以通过公共URL直接访问存储桶中的对象，而不会遇到跨域问题。 背景知识 浏览器同源策略 浏览器的同源策略是一种安全机制，用于限制一个网页文档或脚本与不同源的资源进行交互。同源策略的目的是保护用户的隐私和安全，防止恶意网站通过脚本访问其他网站的敏感信息或进行恶意操作。 根据同源策略，浏览器只允许当前网页与同一源下的其他资源进行交互，包括读取和修改。这种限制有效地保护了用户的隐私和安全，阻止恶意网站通过跨域请求获取用户的敏感信息。同时，同源策略也有助于防止跨站点脚本攻击（XSS）和跨站请求伪造攻击（CSRF）等网络安全问题。 网址同源是指两个URL具有相同的来源。具体来说，如果一个URL的协议、域名和端口号都与另一个URL相同，那么这两个URL就是同源的。下面将举例为您解释网址同源的概念： 与 协议不同，为不同源； 与 与 端口号不同，为不同源； 与 为同源。

本小节介绍态势感知旁路部署配置。 态势感知控制端配置前准备 确保态势感知控制端的安全组放行 22 端口，态势感知控制端云主机网卡关闭源/目的检查。 态势感知控制端的配置需要配合态势感知技术工程师，由态势感知技术工程师配置。 旁路部署场景，使用天翼云平台的流量镜像功能引流，不涉及网络割接，只需开通态势感知控制端。 配置步骤 1. 确认所在资源池流量镜像功能可用性，是否存在配额或弹性云主机类型限制。 2. 登录天翼云网络控制台，在左侧选择“流量镜像 > 筛选条件”创建筛选条件。根据需要监控的云主机配置出入方向规则。 3. 创建完成后，单击筛选条件的名称，进入筛选条件详情，创建入方向规则。 4. 在左侧导航栏选择“流量镜像 > 镜像会话”，创建镜像会话，选择对应筛选条件，配置镜像源和镜像目的：镜像源选择需要监测的弹性网卡，镜像目的选择态势感知控制端的辅助网卡。 5. 开通完毕后，启动镜像会话，态势感知控制端验证镜像流量。

本文为您介绍资源编排ROS的常用应用场景。 应用快速上云 场景说明 助力企业将复杂的多云/混合云应用架构，通过模板化方式实现一键自动化部署与全生命周期管理。 场景痛点 部署效率低下：传统手动创建与配置云资源流程繁琐，耗时冗长，严重阻碍业务上线速度。 准确性难保障：人工操作极易引入配置偏差，引发线上故障。 产品优势 企业级资源栈管理 提供清晰的项目视图，支持完全的环境隔离，实现对一套应用资源的整体性创建、升级、回滚和删除，管理粒度更符合企业运维习惯。 强大的模板能力与模版复用 不仅支持原生terraform标准，还提供可视化编辑器和复用最佳实践模板，可直接复用或稍作修改后部署，极大降低模板编写门槛，加速上云进程。 内嵌式安全合规治理 内置变更审核流程、模板合规性校验与资源风险扫描能力，并在执行前提供价格预测，让每一次资源变更都可知、可控、可追溯，有效降低风险。 深度集成天翼云全栈服务 全面适配天翼云核心云服务，提供经过深度优化和验证的官方Provider，确保资源操作的稳定性与高性能。 环境快速复制

工作机制 首先使用轻量级的Filebeat采集日志、其次使用Logstash接收Filebeat的输出，并对日志进行解析、添加或删除字段等处理、最后将数据输出到天翼云Elasticsearch实例，通过Kibana实例在前端可视化展示。 前提条件 已经开通天翼云云搜索Elasticsearch和Kibana实例，并完成Logstash实例加装。 已经部署Filebeat和Logstash并且打通和天翼云云搜索实例之间的网络。推荐使用Filebeat 7.10.2版本。 查看Kibana的终端可以访问到云搜索实例，设置好5601端口的网络安全策略。 操作步骤 配置Filebeat Filebeat采集日志，配置具体的日志路径。 plaintext 采集日志 filebeat.inputs: type: log 采集的日志文件的路径。替换为自己日志的路径，可以使用通配符。 paths: /yourpath/.log output.logstash: hosts: ["{logstaship}:5044"] 配置Logstash Logstash需要接收Filebeat的输出并进行处理，需要在Logstash管道管理模块中创建并部署管道。示例配置如下： plaintext input { beats { port > 5044 } } 对数据进行处理。 filter { mutate { removefield > ["@version"] } } output{ elasticsearch{ Elasticsearch实例的访问地址。 hosts > [" " " 访问Elasticsearch实例的用户名和密码，如无安全机制可不配置。 user > "" password > "" 配置写入的索引名,示例如下。 index > "filebeatlogstashes%{+YYYY.MM.dd}" } }

本节介绍创建网站扫描任务或重启任务不成功时如何处理。 请执行以下步骤进行处理。 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务页面。 3. 在“资产列表 > 网站”页签，进入网站列表入口。 4. 在“资产列表”界面，查看目标网址是否已完成域名认证。 如果是，请联系技术支持。 如果否，请执行步骤5～步骤6完成域名认证。 5. 在目标域名的“认证状态”列，单击“前往认证”。 6. 在弹出的“认证域名”对话框中，选择域名认证方式完成域名认证。

Web应用防火墙（原生版） Web应用防火墙（原生版）（CTWAF，Web Application Firewall，简称WAF）基于三大引擎（安全模型检测引擎+智能语义检测引擎+机器学习检测引擎），结合设备指纹、无感验证码、动态人机挑战、动态环境验证、随机化混淆策略、AI驱动的实时决策等关键技术，支持多种常见编码自动还原能力，提供深度攻击防逃逸功能，构建完整的动态防御闭环，有效检测 SQL 注入、XSS 等基于形式语言的攻击类型，有效应对自动化工具、0day漏洞攻击等高风险威胁。打造专业的Web安全防护能力。可为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。更多信息请参考++Web应用防火墙++ 配置方式： 如果您拥有弹性IP、公网NAT网关、弹性负载均衡等网络资产，并需要进行公网流量出入的互联网边界防护需求，您可以在云防火墙的“互联网边界开关”页面将这些网络资产接入云防火墙，并配置相关的互联网边界访问控制规则。具体操作，请参见++防火墙开关互联网边界防火墙++、++访问控制配置互联网边界防护规则++ 如果您拥有对等连接、云间高速、云专线等网络资产，并需要针对内网互访进行VPC边界防护，您可以在云防火墙的“VPC边界开关”页面将内网互访流量接入云防火墙，并配置相关的VPC边界访问控制规则。具体操作，请参见++防火墙开关VPC边界防火墙++、++访问控制配置VPC边界防护规则++

本小节介绍云解析域名与DNS关联类常见问题。 域名更换注册商，是否会影响DNS解析？ 不影响。域名和DNS解析是独立的，域名更换注册商，并不代表DNS必须同时更换。 域名过期已完成续费，云解析是否支持快速恢复解析？ 不支持。一般域名过期续费成功后，需要等待2448小时恢复解析。 域名被注册商暂停解析，云解析DNS能解除锁定吗？ 不能。域名状态通常由注册商维护，如果您的域名状态是 Clienthold 或者 Serverhold，建议联系域名注册商处理。 备案与网站访问的关系？ ICP备案主要看您的网站等互联网信息服务解折到的服务器是否在中国内地(大陆)，如果服务器在中国内地(大陆)，必须完成ICP备案才可对外提供服务。 ICP备案与DNS解析的关系 域名解析与备案并无直接关联，网站是否备案并不影响域名解析的设置和解析的生效。但网站未备案或者备案中，会直接影响网站的访问与使用。 未备案或正在备案中，是否可以设置网站解析？ 可以。 DNS解析已生效，网站无法访问从ICP备案角度的排查方法？ 根据工信部要求，域名解析至中国内地服务器必须先完成网站备案，才能正常开通网站访问。建议尽快联系服务商备案。

设置共享文件的权限 需要在FTP站点为共享给用户的文件夹设置访问及修改等权限。 1. 在服务器上创建一个供FTP使用的文件夹，选择文件夹，并单击右键选择“属性”。此处以“work01”文件夹为例。 2. 在“安全”页签，选择 “Everyone”，单击“编辑”。如果没有“Everyone”用户可以直接选择，需要先进行添加。 3. 选择“Everyone”，然后根据需要，选择“Everyone”的权限，并单击“确定”。此处以允许所有权限为例。 添加及设置FTP站点 1. 在“服务器管理器”中，选择“仪表板 > 工具 > Internet Information Services (IIS)管理器 ”。 2. 选择“网站”并单击右键，然后选择“添加FTP站点”。 3. 在弹出的窗口中，填写FTP站点名称及共享文件夹的物理路径，然后单击“下一步”。此处站点名称以“FTPSERVER”为例。 4. 输入该弹性云主机的公网IP地址以及端口号，并设置SSL，单击“下一步”。端口号默认为21，也可自行设置 。 5. SSL根据需要进行设置。 无：不需要SSL加密。 允许：允许FTP服务器与客户端的非SSL和SSL连接。 需要：需要对FTP服务器和客户端之间的通信进行SSL加密。 说明 当SSL选择“允许”和“需要”时，需要选择SSL证书。可以选择已有的SSL证书，也可以制作一个SSL证书，具体制作证书的方法请参见制作服务器证书。 6. 设置身份认证和授权信息，并单击“完成”。 身份认证 匿名 ： 允许任何仅提供用户名 “anonymous” 或 “ftp” 的用户访问内容。 基本 ： 需要用户提供有效用户名和密码才能访问内容。但是基本身份验证通过网络传输密码时不加密，因此建议在确认客户端和FTP服务器之间的网络连接安全时使用此身份验证方法。 授权 允许访问 权限：选择经过授权的用户的“读取”和“写入”权限。 所有用户 ： 所有用户均可访问相应内容。 匿名用户 ： 匿名用户可访问相应内容。 指定角色或用户组：仅指定的角色或用户组的成员才能访问相应内容。如果选择此项，需要在下面输入框中输入指定的角色或用户组。 指定用户：仅指定的用户才能访问相应内容。如果选择此项，需要在下面输入框中输入指定的用户。 7. 绑定弹性云主机的私网IP。选择“网站”，选中创建的FTP站点，单击“绑定”；在弹出的“网站绑定”窗口单击“添加”，然后在弹出的窗口中添加弹性云主机的私网IP地址，并单击“确定”。

安全管理 基于网络隔离、安全组规则以及一系列安全加固项，实现租户隔离和访问权限控制，保护系统和用户的隐私及数据安全。 支持SSL安全网络连接、用户权限管理、密码管理等功能，保证数据库在网络层、管理层、应用层和系统层的安全性。 监控与审计 监控集群 DWS 与云监控服务集成，使您能够对集群中的计算节点和数据库进行实时监控。详情请参见《数据仓库服务用户指南》中“监控集群”章节。 事件通知 DWS 与消息通知服务对接，使您能够查看触发的各类事件。详情请参见《数据仓库服务用户指南》中的“事件通知”。 告警管理 告警管理包含查看告警规则、告警规则配置与告警信息订阅功能。其中，告警规则可以提供过去一周的告警信息统计与告警信息明细，方便用户自行查看租户下的告警。该特性除了以默认值的形式提供一套DWS告警最佳实践外，还允许用户根据自己的业务特点，个性化修改告警阈值。详情请参见《数据仓库服务用户指南》中“告警管理”章节。 审计日志 DWS 与云审计服务集成，使您能够对所有的管理控制台操作及API调用进行审计。 DWS 数据库还会记录所有的SQL操作，包括连接尝试、查询和数据库的变动。详情请参见《数据仓库服务用户指南》中“设置数据库审计日志”章节。

翼建站的功能与优势 功能： 文章系统 文章类型1 文章模块可根据客户需求进行动态化调整，模块内容不限于以上模块 文章系统 文章类型2 文章模块可根据客户需求进行动态化调整，模块内容不限于以上模块 文章系统 文章类型3 文章模块可根据客户需求进行动态化调整，模块内容不限于以上模块 文章系统 …… 文章模块可根据客户需求进行动态化调整，模块内容不限于以上模块 图集管理 分类 可设置前台banner图 图集管理 列表 可设置前台banner图 自定义代码 设置站点自定义代码 用户与角色 用户管理 可设置后台管理员，方便多管理员进行管理 用户与角色 角色管理 可设置后台管理员，方便多管理员进行管理 站点管理 菜单项管理 设置后台操作权限 站点管理 日志管理 查看后台操作日志 项目外部链接 友情链接 可任意设置相应站点链接 项目外部链接 其他站点 可任意设置相应站点链接 联系我们 一键导航 可设置一键导航信息 联系我们 联系方式 可设置联系方式 个人服务 个人信息 修改个人信息 个人服务 密码修改 修改个人密码 线上互动 留言板 管理在线留言 系统设置中心 网站信息 设置网站基础信息，包括联系方式等 系统设置中心 访问统计 接入丰富的访问统计功能，方便查阅访问情况

本页为您介绍数据迁移到天翼云DDS数据库的网络准备工作，并已适配阿里云MongoDB数据库迁入。 文档数据库有副本集、分片集群等不同的架构，在网络访问方面与其他数据库相比具有一定的差异性，在将本地自建的、其他云上的、天翼云不同资源池的、天翼云ECS自建的DDS/MongoDB数据库数据迁移到天翼云文档数据库DDS前，需要您重点关注网络方面的准备工作。 目前数据传输服务DTS支持通过"公网EIP"和“VPC网络”两种网络接入方式进行数据的迁移和同步。在订购DTS实例时，您可以根据源端和目标端数据库所在的位置决定采用哪种网络接入类型，当源库和目标库在天翼云同一个资源池时，网络接入类型请选用VPC网络，其他情况需要选用公网EIP的接入方式。采用“公网EIP”接入时，分片集群仅支持阿里云或自建 MongoDB数据库为源迁移入云。 数据库来源为公网IP 源端数据库 源端数据库只能通过输入IP地址、端口的方式进行访问。根据源端数据库架构的不同，分为如下2种情况： 源端为副本集架构 以源端为副本集标准三节点为例，数据库包含Primary、Secondary以及Hidden节点，在迁移过程中，为保证源端数据库高可用，需要给Primary和Secondary节点分别绑定不同的公网IP，此处绑定的公网IP在进入DTS实例配置源库目标库配置环节时，需要填写到源库的副本集IP地址中。为Primary和Secondary节点绑定公网IP的方法，具体可参考各数据库官方文档进行操作。 为天翼云DDS实例添加公网访问的白名单分组，并将DTS实例即将或已绑定的公网IP添加到允许访问的IP名单中（源端为其他云MongoDB实例时，请参考不同产品官网文档的指引进行配置，将DTS实例绑定的公网IP配置为可以访问源实例）。 在天翼云DDS实例所在的VPC中，配置VPC安全组，安全组中配置DTS实例绑定的公网IP。 源端为分片集群 当源端为分片集群架构时，DTS将会通过数据库的mongos IP地址和端口来访问源端数据库，通过shard接入信息生成子任务。 mongos IP地址和端口至少为1组，请为mongos绑定公网IP，此处绑定的公网IP在进入DTS实例配置源库目标库配置环节时，需要填写到源库的mongos节点IP地址中。 源库的shard接入信息可以为多组，每组为同一个分片下的多个IP:Port（这里的IP为公网IP），格式：IP和Port之间以英文冒号分隔，多组IP:Port之间用英文逗号隔开。可以提前查询对应的iP和端口信息，方便配置DTS实例时填写。 为天翼云DDS实例添加公网访问的白名单分组，并将DTS实例即将或已绑定的公网IP添加到允许访问的IP名单中（源端为其他云MongoDB实例时，请参考不同产品官网文档的指引进行配置，将DTS实例绑定的公网IP配置为可以访问源实例）。 在天翼云DDS实例所在的VPC中，配置VPC安全组，安全组中配置DTS实例绑定的公网IP。 注意 当通过公网EIP的方式接入，源端为分片集群时，当前仅支持将阿里云或自建 MongoDB分片集群迁移到天翼云；请在阿里云或自建 MongoDB shard节点绑定公网IP，具体操作可参考阿里云官网。

本文带您了解什么是内网DNS产品。 内网DNS（Intranet Domain Name Service，CTIDNS）提供高可用，高扩展的DNS服务和DNS管理服务，帮助客户将域名或应用资源转换成用于计算机连接的IP地址，从而将最终用户路由到相应的应用资源上，实现应用资源的访问和内网服务的连接。内网DNS可提供VPC内安全、全面、高性能的域名解析功能，可直接响应内网域名的解析请求，快速高效，有效防护劫持，避免安全风险。 内网域名解析过程 当VPC内云服务器访问内网域名时，内网DNS直接对内网域名进行解析，向云服务器返回对应被访问的云服务器的私网IP地址。 当VPC内云服务器访问Internet上的公网域名时，内网DNS会将对公网域名的解析请求转发至公共DNS进行解析，待收到公共DNS返回的公网IP地址后，再将公网IP返回云服务器。 系统架构 内网DNS（Intranet Domain Name Service，CTIDNS）由两个关键组成部分构成，分别是管控层和解析层： 管控层：管控层通过控制台和OpenAPI对外提供服务，主要职能如下： 管理域名解析数据：管控层负责处理域名解析数据的增删改查操作，确保域名与IP地址的映射准确性。 配置数据管理：管控层管理配置数据，保障DNS服务的可靠性和可用性。 日志数据管理：管控层记录和管理日志数据，支持用户监测和故障排除。 存储功能：管控层存储域名解析数据、配置数据和日志数据，确保数据的安全性和可靠性。 解析层：解析层通过部署解析服务器集群向外提供服务，主要职能为： 域名解析：解析层接收来自管控层的域名解析记录数据，并对解析请求进行响应，将域名解析为对应的IP地址，实现计算机之间的连接。

准备工作 注册天翼云账号 使用对象存储迁移服务ZMS，您需要先注册天翼云门户的账号。本部分将介绍如何进行账号注册，如果您拥有天翼云的账号，可登录后直接使用对象存储迁移服务。 1. 打开天翼云门户网站，点击“ 注册 ”。 2. 在注册页面，请填写“ 邮箱地址 ”、“ 登录密码 ”、“ 手机号码 ”，并点击“ 同意协议并提交 ” 按钮，如1分钟内手机未收到验证码，请再次点击“ 免费获取短信验证码 ”按钮。 3. 注册成功后，可到邮箱激活您的账号，即可体验天翼云。 4. 进行实名认证，请参考会员服务实名认证。 开通天翼云对象存储 登录您的天翼云账号即可使用对象存储迁移服务ZMS，但天翼云对象存储ZOS需要您单独开通，具体操作可参看开通对象存储服务。 获取源端和目的端的访问密钥（AK/SK） 源端：源端为天翼云OOS，请检查您的天翼云OOS对应账号是否已创建有访问密钥（AK/SK），并且为您的账号授权天翼云OOS的访问权限。 目的端：目的端仅为天翼云对象存储ZOS，您可参看获取访问密钥（AK/SK），获取您的访问密钥（AK/SK）。

本文介绍域名出现备案阻断的可能原因及处理方式。 详细说明 域名备案阻断的原因可能有多种，包括但不限于以下几种： 域名未备案或备案信息不完整。 域名备案信息与实际情况不符。 域名备案信息过期或被注销。 域名因以下原因被列入黑名单或被封禁： 违法违规行为：如果您的网站存在违法违规内容，例如涉黄、涉赌、涉毒、传播谣言等，那么您的域名可能会被列入备案黑名单或被封禁。 安全问题：如果您的网站存在安全问题，例如存在漏洞、遭受黑客攻击、被恶意软件感染等，那么您的域名可能会被列入备案黑名单或被封禁。 备案信息不真实或不完整：如果您的备案信息不真实或不完整，例如域名所有人信息不真实、网站备案信息与实际情况不符等，那么您的域名可能会被列入备案黑名单或被封禁。 其他原因：除了上述原因外，还可能存在其他原因导致域名被列入备案黑名单或被封禁，例如政策调整、技术问题等。 如果您的域名出现备案阻断，可以按照以下步骤进行解决： 1. 确认备案信息是否完整、准确。 2. 联系您的域名注册商或主机服务商，确认备案信息是否完整、准确，并及时进行备案。 3. 联系相关部门进行申诉。 4. 如果备案信息已经完整、准确，但仍然出现备案阻断的情况，或者发现您的域名被列入备案黑名单或被封禁。建议您及时联系相关部门进行申诉并配合进行处理，以尽快恢复域名的正常使用。同时，建议您加强网站安全防护，遵守相关法律法规，保证备案信息真实完整，以避免域名被列入备案黑名单或被封禁的风险。 总之，域名备案是一项非常重要的工作，如果您的域名出现备案阻断，直播将无法为其加速，一定要及时解决，以免影响您的网站访问和业务发展。