其中第一个标签key为ccse，value为plugin，另外一个标签key为cstorcsiprovison，value为yes 注意，此标签为存储侧的标签，并非容器侧的标签，最终只会在存储控制台展示。 tags: "ccse:plugin,cstorcsiprovison:yes" reclaimPolicy: Delete allowVolumeExpansion: true mountOptions: discard 执行以下命令，创建StorageClass plaintext kubectl apply f scexample.yaml 查看创建的StorageClass： 操作步骤: 登录“云容器引擎”管理控制台；在集群列表页点击进入指定集群；进入主菜单“存储”——“存储类”，在存储类列表查看。 2、创建持久卷声明（PVC） 使用kubectl连接集群，创建示例yaml文件pvcexample.yaml： plaintext apiVersion: v1 kind: PersistentVolumeClaim metadata: name: cstorpvcdisk spec: 访问模式 accessModes: ReadWriteOnce resources: requests: storage: 10Gi storageClassName: cstorcsidisksassc 执行以下命令，创建PVC plaintext kubectl apply f pvcexample.yaml 查看创建的PVC： 操作步骤: 登录“云容器引擎”管理控制台；在集群列表页点击进入指定集群；进入主菜单“存储”——“持久卷声明”，在列表查看。 3、创建工作负载 使用kubectl连接集群，创建示例yaml文件stsexample.yaml： plaintext apiVersion: "apps/v1" kind: "StatefulSet" metadata: name: "teststs" spec: podManagementPolicy: "OrderedReady" replicas: 1 revisionHistoryLimit: 10 serviceName: "" template: spec: containers: image: "nginx:1.25alpine" imagePullPolicy: "IfNotPresent" name: "container1" resources: limits: cpu: "100m" memory: "256Mi" requests: cpu: "100m" memory: "256Mi" terminationMessagePath: "/dev/terminationlog" terminationMessagePolicy: "File" volumeMounts: mountPath: "/ccetmp" name: "volume1" dnsPolicy: "ClusterFirst" restartPolicy: "Always" schedulerName: "defaultscheduler" securityContext: {} terminationGracePeriodSeconds: 30 volumes: name: "volume1" persistentVolumeClaim: claimName: "cstorpvcdisk" updateStrategy: rollingUpdate: partition: 0 type: "RollingUpdate" 执行以下命令，创建StatefulSet plaintext kubectl apply f stsexample.yaml 查看创建的有状态负载： 操作步骤: 登录“云容器引擎”管理控制台；在集群列表页点击进入指定集群；进入主菜单“工作负载”——“有状态”，在列表查看。

本节介绍网络的用户指南：集群网络概述。 集群网络分为主机和容器两个维度，主机位于VPC中使用VPC网络，容器网络则使用容器网络插件来管理。 节点网络 VPC为集群内主机分配IP地址，订购集群时选择VPC中的子网用于集群的主机网络，子网可用IP数量直接限制了集群节点规模。 容器网络 约束条件 容器网络CNI插件为Pod分配IP地址，云容器引擎提供的CNI插件均符合kubernetes容器网络模型，具体约束如下： 1.每个Pod都拥有一个独立IP地址，Pod内容器均共享一个网络命名空间； 2.任意Pod之间均可直接通信，无需NAT； 3.任意Pod与节点间均可直接通信，无需NAT。 网络插件 当前云容器引擎提供如下CNI插件： calico容器网络：使用calico IPIP模式。该模式下，calico依旧使用BGP分发节点的容器路由信息，但在节点网络基础上通过IPIP隧道技术构建独立于节点网络平面的容器网络平面，IPIP将发给容器的IP报文封装成发给目的节点的IP报文进行隧道传输； cubecni容器网络：是云原生网络方案，直接基于VPC网络中的弹性网卡和IP资源构建容器网络。Pod通过弹性网卡资源直接分配VPC的子网IP地址，无需额外指定虚拟Pod地址段。 Cubecni和Calico对比如下： 。 对比项 Cubecni Calico隧道模式 容器网络平面 构建Underlay网络，容器和节点均在同个网络平面，支持VPC内多集群Pod直接互通及VPC内直接互通 构建Overlay网络，基于集群节点网络构建 一层覆盖网络，不支持VPC内多集群Pod直接互通及VPC内直接互通 容器网络性能 无解封包开销，整体性能优于Overlay网络，其中Cubecni独占ENI模式性能无限接近主机 有解封包损耗 节点规模 不直接限制节点规模 受限于BGP Peer连接数等限制 网络访问控制 支持网络策略Network Policy，其中Cubecni独占ENi模式支持Pod粒度安全组配置 支持网络策略Network Policy 源地址审计 Pod访问VPC网络资源，源地址是容器IP，不经节点SNAT，便于审计 Pod访问VPC网络资源，需经节点SNAT，不便于审计 地址管理 无需按节点分配地址段，随用随分配，地址无浪费 每个节点提前分配虚拟地址段 ELB 支持ELB直通Pod，性能更优 不支持ELB直通Pod，需通过NodePort转发

本章节主要介绍天翼云与客户在安全性方面各自应承担的责任。 为明确翼MapReduce产品在云服务环境下的安全责任边界，保障客户与天翼云协同构建安全可信的服务体系，本文将介绍天翼云与客户在安全性方面各自应承担的责任。 天翼云安全责任 天翼云负责保障云服务自身安全。责任包括： 基于天翼云综合安全产品体系，保障翼MapReduce产品内部使用的计算、存储、网络等基础设施，以及运行其上的平台服务与应用服务的安全性。 基于天翼云账号认证体系，为客户提供云上账户安全管理能力，包括但不限于支持主子账号、分组授权、细粒度授权等账户安全管控手段。 基于天翼云的监控与日志管理等能力，为客户提供翼MapReduce产品控制台操作及组件服务指标的安全监控能力。 未经客户授权，不接触和处理客户的业务数据。 客户安全责任 客户负责云服务内部的安全，正确配置和使用天翼云提供的产品能力和服务，责任包括： 负责数据的备份、加密，并对翼MapReduce产品中使用的所有密钥进行妥善管理。 负责访问权限控制，在账户设置中遵循最小权限原则，保护天翼云账户认证凭证。 遵循天翼云提供的安全原则和建议，对翼MapReduce产品中所使用的服务器、虚拟私有云、安全组、网络等基础设施进行合理配置，避免因配置不当而引发的安全风险与问题，承担数据安全主体责任。 管理安装在翼MapReducce集群上的组件服务，对其进行合理配置与使用，避免因不当配置引发的安全风险与问题。 不使用天翼云产品和服务从事非法的数据处理活动。

本节介绍智算套件概述。 前提条件 已创建云容器引擎智算版集群。 套件介绍 套件名称 版本 套件说明 驱动管理 1.0.2 为GPU云主机或物理机的算力调度提供硬件驱动。 模型预热 1.8.0 将模型从对象存储预热到本地盘，大幅提升模型部署效率。 智算套件控制面引擎 1.0.5 提供高可用控制面，管理智算套件控制台正常运行。 故障诊断 1.0.3 为集群提供集群巡检、故障诊断等能力。 网络 1.0.3 为集群容器提供使用RDMA网络的能力，包括IB和RoCE。 弹性数据集 1.0.0 支持数据集版本管理，提供弹性加载能力。 弹性训练 1.0.5 为集群提供AI任务接入，兼容主流AI框架和工具，包括TensorFlow、PyTorch、Horovod、Spark等。 GPU安全容器 1.0.0 支持Kata安全容器运行时，满足业务高安全需求。 智能调度 1.0.9 为集群提供智能任务调度策略，可支持Gang、Capacity、Binpack/Spread和Queue等智能调度。 监控 1.0.7 为集群提供硬件监控能力，可采集GPU/NPU，显存等，支持可视化查看GPU的分配、使用和健康状态。

1.2 CPU算力用于大模型推理的适用场景 CPU适用于以下大模型推理场景： 场景1: 大模型推理需要的内存超过了单块GPU的显存容量，需要多块或更高配GPU卡，采用CPU方案，可以降低成本； 场景2: 应用请求量小，GPU利用率低，采用CPU推理，资源划分的粒度更小，可有效降低起建成本； 场景3: GPU资源紧缺，CPU更容易获取，且可以胜任大模型推理。 2 天翼云EMR实例DeepSeekR1DistillQwen7B蒸馏模型部署实践 本节内容主要介绍如何在天翼云EMR实例上，基于Intel® xFasterTransformer加速库和vllm推理引擎完成模型部署，并展示相关性能指标。 2.1 服务部署 为了方便用户使用，天翼云联合英特尔制作了一键部署的云主机镜像，内置DeepSeekR1DistillQwen7B模型、vLLM推理框架、xFT加速库以及openwebui前端可视环境。您可在天翼云控制台选择下列资源池和镜像，开通云主机进行体验。 类型 可用资源 可用资源池 华东华东1az2、华东华东1az3 可用规格 c8e系列（最低内存需求32G） 可用镜像 DeepSeekvLLM英特尔AMX推理加速（CPU） 完成云主机开通后，推理服务会在5分钟内自动启动，您无需进行任何其他操作。 注意 如需在云主机外访问服务，您需要绑定弹性IP，并在安全组内放行22/3000/8000端口。

本章节主要介绍翼MapReduce服务中Doris组件基于ARM架构下性能优化后的TPCH测试结果。 测试目的及重点 本测试旨在测试天翼云翼MapReduce服务下Doris引擎的SQL性能，对比翼MapReduce中Doris基于ARM架构下的优化版本和开源社区2.1.2版本的性能。重点为运行TPCH测试的22个Query，获取运行时间，时间越少，性能越好。 Doris主要两类进程: Frontend（FE）：主要负责用户请求的接入、查询解析规划、元数据的管理、节点管理相关工作。以下统称Doris FE。 Backend（BE）：主要负责数据存储、查询计划的执行。以下统称Doris BE。 集群环境 服务器规格： Processors: HiSilicon Kunpeng920 aarch64 2.6 GHz96 Memory: 128GB(32GB4) Storage Device: 446GB 1(Boot Disk) 7.3TB 10(Data Disk) 集群规模： 服务器 4 (Doris FE：1台、Doris BE：3台) Doris配置及使用资源 本次测试Doris配置与开源社区2.1.2保持一致。以下表格为部分关键配置。 Doris FE Doris BE JAVAOPTSXss4m Xmx8192m experimentalenablenereidsplanner true experimentalenablepipelineenginetrue experimentalenablepipelinexenginetrue JAVAOPTSXmx8192m disablestoragepagecachetrue enablefeaturebinlog true 测试步骤 整体测试步骤包括：准备测试工具、生成数据与测试语句、导入Doris中的tpch数据库并验证数据量、执行测试。相关测试命令已集成在脚本中，以下介绍测试步骤中出现的命令，是从脚本中提取的部分核心命令。

与NAS相比，OSS提供了便捷的工具以及控制台，支持可视化管理Bucket，并在解决应用实例数据持久化和实例间数据分发问题的基础上，进一步降低成本。OSS适用于读多写少的场景，例如挂载配置文件或者前端静态文件等。 功能入口 场景不同，操作入口也有所不同 创建应用 1. 登录云应用引擎控制台，在左侧导航栏选择应用管理>应用列表，然后选择单击创建应用 2. 在应用基本信息向导页面进行配置后，单击下一步：高级设置。 对正在运行的应用进行变更 1. 登录云应用引擎控制台，在左侧导航栏选择应用管理>应用列表，然后单击目标应用名称 2. 在目标应用的基础信息页面，单击部署应用 注意 重新部署应用后，该应用将会被重启。为避免业务中断等不可预知的错误，请在业务低峰期执行部署操作 对已停止的应用进行变更 1. 登录云应用引擎控制台，在左侧导航栏选择应用管理>应用列表，然后单击目标应用名称 2. 在目标应用的基础信息页面，单击部署应用 挂载OSS指引 挂载OSS 展开持久化存储设置区域，启用OSS对象存储。配置Bucket、挂载目录、容器路径以及读写权限等相关信息。如需添加多条信息，请点击添加 。 取消挂载OSS 挂载OSS后，如果您不再使用OSS存储，可以取消挂载OSS。在云应用引擎控制台取消挂载OSS后，您在OSS中所存储的数据仍然存在，不会被删除。具体操作为找到需要取消挂载的OSS配置条目，单击操作列的删除按钮。 配置项 说明 示例值 Bucket 已创建的OSS Bucket。 bucketname 挂载目录 已创建的OSS目录或OSS对象。如果OSS挂载目录不存在，会触发异常。 示例如下： / tmp/osstest/ tmp/ossdemo.log 容器路径 SAE的容器路径。如果路径已存在，会覆盖原有路径；如果路径不存在，会新建路径。 /home/admin/app/php/ 权限 容器路径对挂载目录资源的权限，取值如下： 只读 读写 只读

本页介绍了天翼云关系数据库MySQL版参数模板的创建方法。 背景信息 您可以使用数据库参数模板中的参数来管理数据库引擎配置。数据库参数模板就像是引擎配置值的容器，这些值可应用于一个或多个数据库实例。您需要注意如下事项： 您在创建数据库实例时系统将会为您的数据库实例适配默认的数据库参数模板。默认参数模板包含数据库引擎默认值和系统默认值，具体根据引擎、计算等级及实例的分配存储空间而定。 注意 您无法修改默认数据库参数模板的参数设置，您必须创建自己的数据库参数模板才能更改参数设置的默认值。 如果您想使用您自己的参数模板，只需创建一个自定义参数模板，然后针对您的实例进行应用即可。 以下是您在使用参数模板中的参数时应了解的几个要点： 当您修改当前实例的参数模板并保存后，仅应用于当前实例，不会对其他实例造成影响。 当您对实例进行应用参数模板时会去重置数据库配置文件，因此不管当前模板中是否存在需要重启的参数，均会对数据库进行重启。 如果您仅需要修改少量参数，且不想重启数据库，您可以在实例管理 页面单击目标实例名称，进入参数设置 页签进行修改，详细操作，请参见参数设置。 在数据库参数模板内设置参数不恰当可能会产生意外的不利影响，包括性能降低和系统不稳定。修改数据库参数时应始终保持谨慎，且修改数据库参数模板前要备份数据。将参数模板更改应用于生产数据库实例前，您应当在测试数据库实例上试用这些参数模板设置更改。

本章节介绍微服务云应用平台应用路由能力 概述 应用的外部访问入口包含K8s Ingress应用路由。便于在创建路由规则时关联后端应用暴露的服务，不仅可以作为外部的流量入口，还可以作为微服务的网关，实现用户对流量的统一调度和管理。微服务云应用平台应用路由目前仅支持Nginx Ingress路由。 路由列表 1. 登录微服务云应用控制台，选择“应用运维 > 容器应用实例>应用路由” 2. 点击“应用路由>Ingress路由”，查看路由列表 “名称”：Ingress路由规则名称 “类型”：nginx，目前仅支持nginx应用路由 “端点”：通过Ingress规则暴露的服务的入口地址，这个服务的端点就是实际处理请求的目标地址。Ingress控制器会根据Ingress资源中的规则将外部请求转发给相应的服务端点 “k8s集群名称”：k8s集群名 “k8s命名空间”：k8s集群命名空间 “转发规则”：路由转发规则 “创建时间”：应用路由的创建时间 创建Ingress 前提条件 1. k8s集群需要在“云容器引擎>插件市场“”安装“nginxingresscontroller插件” 2. 对于nginxingresscontroller而言，需要确保外部流量能够正确地路由到这个控制器上。在““云容器引擎>网络>服务”创建一个Service类型为LoadBalancer或者NodePort，以便于从集群外部访问到这个入口控制器，从而实现对集群内服务的HTTP/HTTPS请求的路由 3. 在“云容器引擎>命名空间>编辑命名空间”，针对指定命名空间开启Ingress服务

创建项目和应用 在左侧导航栏，选择应用列表。在应用列表点击新增项目。展开新增完成的项目，在应用管理下创建应用，技术栈选择 StaticResource。 项目关联环境 展开项目树，在环境管理下将步骤1创建的环境关联上。 创建容器应用实例并部署 在左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。在应用实例左上角点击创建应用实例。 基本信息 项目/应用：选择步骤2创建的应用 应用实例名称：无需修改，使用默认名称即可 技术栈版本：选择1.24.0staticresourcetar 接入方式：选择制品 镜像目标架构：云容器引擎是ARM架构勾选linux/arm64，云容器引擎是X86架构勾选linux/amd64或不勾 应用实例版本：无需修改，使用默认版本即可 企业项目：选择default 部署配置 选择集群：选择步骤1导入到环境中的云容器引擎 部署包来源：选择自定义程序包 上传包：上传前端应用包 制品版本：输入制品版本 完成以上信息填写后，点击下一步进入到预览页面，确认信息无误后，点击创建按钮，完成应用实例创建。 应用实例创建完成后，直接点击查看实例详情按钮，到实例详情页面。点击上方发布应用实例按钮，进入到应用发布界面。点击右下角发布按钮，进入到发布单详情界面。等待发布单完成初始化后再点击发布按钮进行应用发布。应用开始发布后，可点击应用实例发布单，查看应用发布具体信息。

本文介绍如何设置应用访问策略。 在实际环境中，对服务的访问会有两种来源：集群内部的程序、集群外部。云容器引擎提供ClusterIP和Nodeport两种访问方式。 操作步骤 1.进入应用创建流程中的【添加服务】步骤>点击【添加服务】，填写相应的配置参数，配置服务参数说明如下： 参数 参数说明 服务名称 新建服务的名称 服务协议簇 分为IPv4与IPv6两种类型的服务协议簇 访问方式 “集群内访问 ( ClusterIP )”、“节点访问（Nodeport）” 协议 TCP/UDP 容器端口 容器中应用启动监听的端口 访问端口 映射到容器的应用端口 NodePort 节点上 2.单击【确认】，完成服务的创建。

通过备份和恢复功能可以实现跨集群迁移数据至云搜索服务实例。 应用场景 通过备份与恢复实现天翼云云搜索Elasticsearch/OpenSearch集群间的数据迁移适用于源集群和目标集群都是天翼云云搜索服务的集群，且依赖天翼云对象存储服务ZOS。常用于以下场景： 跨地域或跨账号迁移：将其他Region或账号下的Elasticsearch/OpenSearch集群迁移到当前集群中。 Elasticsearch迁移OpenSearch：将Elasticsearch集群数据迁移到OpenSearch集群中。 集群合并：将两个Elasticsearch/OpenSearch集群的索引数据合并到一个集群中。 方案优势 一站式便捷管理 通过天翼云云搜索服务控制台集成的集群备份功能，实现可视化备份与恢复操作。支持自动化运维策略预设（如定时备份、增量备份），降低人工干预成本。 专为海量数据迁移设计，可高效承载GB至PB级数据迁移任务。基于分布式架构的弹性扩展能力，确保超大规模数据迁移场景下的系统稳定性。 ​灵活跨域协作 依托天翼云对象存储ZOS跨区域复制技术，支持多地域数据同步迁移。 ​精准恢复模式 提供细粒度恢复选择：可按索引维度定向恢复，或基于时间戳回滚至特定集群状态。支持数据版本回溯与一致性校验，保障业务连续性。 约束限制 1. 备份与恢复不支持动态增量数据同步，建议停止数据更新后再进行备份。 2. 第三方存储仓库要配置公网访问才能迁移快照数据。 前提条件 1. 源实例和目标实例处于可用状态。 2. 目标实例的云搜索实例开通备份功能，同资源池下的对象存储服务（ZOS）可用。 3. 已开通好两个不同区域的在用云搜索实例。 操作步骤 本文以西南1资源池云搜索服务迁移进华东1资源池云搜索服务实例为例，模拟数据迁移过程。

本节主要介绍计费模式。 云容器引擎（CCE）支持“按需计费”、“包年/包月”两种计费方式，供您灵活选择。

本文介绍验证域名归属权的两种方式及其详细操作步骤。 背景说明 客户在天翼云CDN控制台新增域名时，需通过域名归属权验证。具体可根据如下方法一、方法二，任意选择一种方式进行操作验证即可。 方法一：DNS解析验证 以加速域名www.ctcdn.cn为例，为您介绍如何通过DNS解析验证来验证域名归属权。 步骤一：生成TXT记录值 前往天翼云CDN控制台，单击左侧导航栏【域名管理】【域名列表】，单击右上角【添加域名】，在【加速域名】输入www.ctcdn.cn（待验证的域名）后，单击【进入验证环节】，在弹出的【认证域名归属权】界面中，选择【DNS解析认证】，复制表格中的TXT记录值（记录值仅为示例）：202207060000002jar4fb2hc79iwjq5cdid87t7rci1sgp33exuyvez4kwonobxt。 步骤二：在域名解析服务商平台添加TXT记录值 客户需在自己的域名解析服务商平台（例如：阿里云云解析DNS、腾讯云DNSpod、新网等），添加本次要新增域名的主域名解析记录，即第1步中需复制的TXT记录值（记录值仅为示例）。 下文以 阿里云云解析 DNS 平台为例，介绍如何完成 TXT 记录的添加操作。 1. 登录阿里云云解析DNS控制台。 2. 单击左侧导航栏【解析配置】【公网权威解析】。 3. 找到加速域名对应的主域名ctcdn.cn，单击右侧【解析设置】。 4. 单击【添加记录】，记录类型选择【TXT】，主机记录及记录值填写步骤一中提供的值，其他参数使用默认值即可。 说明 主域名：一级域名。例如：www.ctcdn.cn或者www.test.ctcdn.cn的主域名为：ctcdn.cn。 TXT记录值为根据域名随机生成的值。

本节介绍智算套件定义。 产品定义 智算套件是利用云原生架构和技术，在云容器引擎上快速定制化构建AI生产系统，帮助用户基于 Kubernetes 充分利用天翼云上弹性算力，支持弹性训练与推理等场景。 产品介绍 套件名称 套件说明 驱动管理 为GPU云主机或物理机的算力调度提供硬件驱动。 模型预热 将模型从对象存储预热到本地盘，大幅提升模型部署效率。 智算套件控制面引擎 提供高可用控制面，管理智算套件控制台正常运行。 故障诊断 为集群提供集群巡检、故障诊断等能力。 网络 为集群容器提供使用RDMA网络的能力，包括IB和RoCE。 弹性数据集 支持数据集版本管理，提供弹性加载能力。 弹性训练 为集群提供AI任务接入，兼容主流AI框架和工具，包括TensorFlow、PyTorch、Horovod、Spark等。 GPU安全容器 支持Kata安全容器运行时，满足业务高安全需求。 智能调度 为集群提供智能任务调度策略，可支持Gang、Capacity、Binpack/Spread和Queue等智能调度。 监控 为集群提供硬件监控能力，可采集GPU/NPU，显存等，支持可视化查看GPU的分配、使用和健康状态。

3、创建工作负载 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“工作负载”——“有状态”，单击左上角“创建SatefulSet”； 在创建对话框，数据卷栏中，选择添加数据卷，卷类型选择“使用已有PVC”，操作栏选择“添加已有PVC”； 在实例内容器栏，为容器设置挂载点。选择添加挂载点，选择数据卷为上一步创建，根据需要配置容器路径和权限； 所有的信息都配置完成后，单击 “提交” 。 创建成功后，您就可以正常使用数据卷。 通过kubectl命令行使用LocalPV动态存储卷 1、创建存储类（StorageClass） 使用kubectl连接集群，创建示例yaml文件scexample.yaml： plaintext apiVersion: storage.k8s.io/v1 kind: StorageClass metadata: name: cstorcsilocallvmsc provisioner: local.csi.cstor.com parameters: 产品类型 type: lvm 所需挂载文件系统，当前支持ext4和xfs csi.storage.k8s.io/fstype: xfs 基础存储 baseStor: vg2 reclaimPolicy: Delete allowVolumeExpansion: true mountOptions: discard 执行以下命令，创建StorageClass plaintext kubectl apply f scexample.yaml 查看创建的StorageClass： 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“存储”——“存储类”，在存储类列表查看。

天翼云支持云硬盘快照功能,用以快速恢复数据,确保业务稳定运行。 什么是云硬盘快照 云硬盘快照是云硬盘数据在特定时间点的完整副本或镜像。作为一种主要的灾难恢复方法，用户可以使用快照将数据完全恢复到创建快照时的时间点。用户可以通过管理控制台或者API接口创建云硬盘快照。 说明 当前支持云硬盘快照的资源池为华东1和华北2。 云硬盘快照原理 快照分为全量快照和增量快照。 云硬盘的第一个快照为不包含空数据块的全量快照。后续快照是增量快照，仅存储自前一个快照以来发生更改的数据块。 具体原理如下图所示： 云硬盘快照计费说明 天翼云云硬盘快照采用按需付费的方式计费，先使用，后付费，按照您实际使用容量收取快照存储费用。具体收费标准请参见云硬盘快照计费说明。 云硬盘快照使用场景 数据保护和恢复：快照可以用作数据的备份和恢复手段。当云硬盘的数据发生意外删除、损坏或错误修改时，可以使用快照来恢复到之前的状态。 数据恢复测试：可以使用快照来进行数据恢复测试。在进行关键操作之前，先创建一个快照，然后在测试过程中可以随时回滚到快照状态，以确保操作的安全性和可靠性。 数据备份和归档：通过创建快照，可以定期备份云硬盘的数据，并将快照存档用于长期数据保留、合规要求或法律需求。 批量部署多个业务：通过同一个快照可以快速创建出多个具有相同数据的云硬盘，从而可以同时为多种业务提供数据资源。例如数据挖掘、报表查询和开发测试等业务。

本节介绍了云容器引擎的最佳实践：如何将Ingress服务暴露到公网。 如果你是通过Ingress访问你的服务，并且想通过公网访问，可为集群Ingress服务配置天翼云ELB。 具体配置步骤如下： 1、登录到控制台，进入服务所在的集群，选择菜单“网络“>”服务“，命名空间选择“kubesystem”，点击”创建服务“按钮。 2、其中负载均衡一栏，选择公网访问，从列表中选择一个要绑定的负载均衡（如果列表为空，请确认你是否有可用的负载均衡，没有的话，请先到ELB控制台创建）。 端口映射一栏，填写好容器端口和服务端口（该端口是负载均衡的监听端口）。如下所示： 注意 nginxingresscontroller pod 默认的http端口是10080，默认的https端口是10443。 如需修改，可以到nginxingresscontroller插件yaml修改端口号。 3、工作负载绑定一栏，类型选择Deployment，名称选择nginxingresscontrollernginxingresscontroller，然后点击提交。 注意 选择工作负载前请先确认nginxingresscontroller插件的版本，如果版本小于1.3.5，这里工作负载类型应选择DaemonSet 4、待ELB绑定后，即可通过服务列表中“集群外访问”中的外网地址访问服务了。

本文介绍如何为应用挂载数据卷。 Docker镜像是由多个文件系统叠加而成，当启动一个容器的时候，Docker会加载只读镜像层并在上面添加一个读写层。当删除Docker容器并通过该镜像重新启动时，之前的更改将会丢失。为了能够保存数据以及共享容器间的数据，Docker提出了数据卷的概念。简单来说，数据卷就是目录或者文件，它可以绕过默认的联合文件系统，以正常的文件或者目录的形式存在于主机上。 在Docker中，数据卷只是磁盘或另一容器中的目录。其生命周期不受管理，且Docker现在提供的卷驱动程序功能非常有限。容器引擎CCE采用的是Kubernetes的数据卷的概念，Kubernetes数据卷具有完善的生命周期管理，支持多种类型的数据卷，同时实例可以使用任意数量的数据卷。 云容器引擎支持四类本地磁盘挂载类型：支持hostPath、emptyDir、configMap、secret。各类型说明如下： hostPath：指定主机中的文件或目录挂载到容器的某一路径中； EmptyDir：用于临时存储，生命周期与容器实例相同。容器实例消亡时，EmptyDir会被删除， 数据会永久丢失； ConfigMap：将配置文件中的key映射到容器中，可以用于挂载配置文件到指定容器目录； Secret：将密钥中的数据挂载到指定的容器路径。 操作步骤 1.在创建应用或升级应用流程中，进去容器设置步骤，点击【数据存储】，点击【添加本地磁盘】，进入本地磁盘添加页面； 1）卷类型选择hostPath，表示在容器上挂载宿主机上的文件或目录。通常用于“容器应用程序生成的日志文件需要永久保存”或者“需要访问宿主机上Docker引擎内部数据结构的容器应用”，具体参数说明如下所示： 参数 参数说明 存储类型 选择主机路径 主机路径 输入主机路径，如/tmp 挂载路径 数据卷挂载到容器上的路径 注意： 请不要挂载在系统目录下，如“/”、“/var/run”等，会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，应用创建失败 子路径 相对路径 权限 只读：只能读容器路径中的数据卷； 读写：可修改容器路径中的数据卷，容器迁移时新写入的数据不会随之迁移，会造成数据丢失； 2）卷类型选择emptyDir：容器分配到节点时系统将自动创建卷，初始内容为空。在同一个Pod中所有容器可以读写emptyDir中的相同文件。当Pod从节点上移除时，empryDir中的数据也会永久删除。通常用于临时数据的高速存储，具体参数说明如下所示： 参数 参数说明 存储类型 选择临时路径 磁盘介质 不勾选：存储在硬盘上，适用于数据量大，读写效率要求低的场景 勾选：存储在内存中，适用于数据量少，读写效率要求高的场景 挂载路径 数据卷挂载到容器上的路径。 注意： 请不要挂载在系统目录下，如“/”、“/var/run”等，会导致容器异常。建议挂载在空目录下，若目录不为空，请确保目录下无影响容器启动的文件，否则文件会被替换，导致容器启动异常，应用创建失败 权限 只读：只能读容器路径中的数据卷 可写：可修改容器路径中的数据卷，容器迁移时新写入的数据不会随之迁移，会造成数据丢失 3）卷类型选择configMap：平台提供应用代码和配置文件的分离，configMap用于处理应用配置参数。用户需要提前创建应用配置，操作步骤请参见创建配置项，临时数据的高速存储，具体参数说明如下所示： 参数 参数说明 存储类型 选择配置项 配置项 选择已经建立好的配置项 说明： configMap需要提前创建 挂载路径 数据卷挂载到容器上的路径 权限 只读：只能读容器路径中的数据卷 4）卷类型选择secret：用户需要提前创建私密凭据，操作步骤请参见创建私密凭据,临时数据的高速存储，具体参数说明如下所示： 参数 参数说明 存储类型 选择私密凭据 卷类型 选择已经创建好的私密凭据 说明： secret需要提前创建，请参见 创建私密凭据 挂载路径 数据卷挂载到容器上的路径 权限 只读：只能读容器路径中的数据卷 2.点击【添加容器挂载】，可新增挂载项，点击【删除】可删除之前的容器挂载配置； 3.点击【确定】，完成本地磁盘的添加。

本节主要介绍物理机或其他公有云主机迁移至天翼云ECS 当需要实现物理机的上云迁移，把物理机迁移至天翼云ECS；或者把其他公有云主机迁移至天翼云ECS时，可以采用RDA主机迁移服务实现源端服务器到天翼云ECS的快速迁移。本章节主要介绍将物理机或其他公有云主机迁移至天翼云ECS的迁移场景和操作步骤。 测试资源准备 开通相关资源，建立迁移链路并测试连通性。获取迁移目的端所在账号的AK/SK。 RDA工具安装和配置 参考用户指南完成RDA工具的安装和配置。 待迁移主机添加配置 在RDA控制台完成源端主机资源添加，完成性能采集（可选）。 数据迁移 配置目的端，推送agent并创建启动迁移任务。在线迁移，增量同步。 割接校验 停止源端应用并进行最后一次增量迁移，完成后进行业务割接校验。

本章节介绍如何部署bookinfo应用到CSM实例 前提条件 1. 已开通云容器引擎，至少有一个云容器引擎实例。产品入口：云容器引擎。 2. 开通天翼云服务网格实例。 操作步骤 创建命名空间 首先到云容器引擎控制台找到当前添加到服务网格的云容器引擎集群，创建测试应用部署的sample命名空间，同时给命名空间打上istioinjection: enabled的标签以保证该命名空间下的pod会被注入sidecar。 部署应用 使用如下yaml部署我们的bookinfo应用，注意根据当前集群所在的资源池替换镜像的地址（当前云容器引擎实例在华东1资源池）；如果您想要把演示应用部署到其他namespace也可以修改yaml里面的namespace字段实现，示例yaml如下： apiVersion: v1 kind: Service metadata: name: details labels: withServiceMesh: "true" workloadKind: Deployment workloadName: detailsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: details apiVersion: apps/v1 kind: Deployment metadata: name: detailsv1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: detailsv1 template: metadata: labels: app: details version: v1 name: detailsv1 source: CCSE csmAutoEnable: "on" "sidecar.istio.io/inject": "true" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: details image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinfodetailsv1:1.16.2' imagePullPolicy: IfNotPresent resources: limits: cpu: "200m" memory: "256Mi" requests: cpu: "50m" memory: "64Mi" apiVersion: v1 kind: Service metadata: name: ratings labels: withServiceMesh: "true" workloadKind: Deployment workloadName: ratingsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: ratings apiVersion: apps/v1 kind: Deployment metadata: name: ratingsv1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: ratingsv1 template: metadata: labels: app: ratings version: v1 name: ratingsv1 source: CCSE "sidecar.istio.io/inject": "true" csmAutoEnable: "on" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: ratings image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinforatingsv1:1.16.2' imagePullPolicy: IfNotPresent resources: limits: cpu: "200m" memory: "256Mi" requests: cpu: "50m" memory: "64Mi" apiVersion: v1 kind: Service metadata: name: reviews labels: withServiceMesh: "true" workloadKind: Deployment workloadName: reviewsv1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: reviews apiVersion: apps/v1 kind: Deployment metadata: name: reviewsv1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: reviewsv1 template: metadata: labels: app: reviews version: v1 name: reviewsv1 source: CCSE "sidecar.istio.io/inject": "true" csmAutoEnable: "on" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: reviews image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinforeviewsv1:1.16.2' imagePullPolicy: IfNotPresent env: name: LOGDIR value: "/tmp/logs" volumeMounts: name: tmp mountPath: /tmp name: wlpoutput mountPath: /opt/ibm/wlp/output volumes: name: wlpoutput emptyDir: {} name: tmp emptyDir: {} apiVersion: v1 kind: Service metadata: name: productpage labels: withServiceMesh: "true" workloadKind: Deployment workloadName: productpagev1 spec: ports: port: 9080 targetPort: 9080 name: http selector: app: productpage type: NodePort apiVersion: apps/v1 kind: Deployment metadata: name: productpagev1 labels: withServiceMesh: "true" spec: replicas: 1 selector: matchLabels: name: productpagev1 template: metadata: labels: app: productpage version: v1 name: productpagev1 source: CCSE "sidecar.istio.io/inject": "true" csmAutoEnable: "on" annotations: "sidecar.istio.io/inject": "true" spec: containers: name: productpage image: 'registryvpccrshuadong1.cnspinternal.ctyun.cn/library/istioexamplesbookinfoproductpagev1:1.16.2' imagePullPolicy: IfNotPresent resources: limits: cpu: "200m" memory: "256Mi" requests: cpu: "50m" memory: "64Mi" volumeMounts: name: tmp mountPath: /tmp volumes: name: tmp emptyDir: {} 在云容器引擎控制台选择我们要部署的sample命名空间，通过工作负载>无状态>新增yaml，依次部署上面的deployment； 通过网络>服务>新增yaml依次部署上面的Service填入我们准备的yaml文件，保存即可； 部署完成后，可以在工作负载>无状态列表里看到bookinfo相关的部署信息，在网络>Service菜单下可以看到刚部署的Service列表。

本节介绍云容器引擎的最佳实践： 容器中域名解析的最佳实践。 Pod的DNS解析行为 Kubernetes以Pod为最小可创建、管理、部署单元，Pod内部包含一个或一组共享namespace和cgroup的紧密关联的容器。容器内部的DNS解析行为与Pod的DNS解析行为概念上是对等的。 Pod中的DNS查询行为直接受Pod的/etc/resolv.conf配置文件的影响，Kubelet在拉起Pod时，会根据Pod规约中dnsPolicy的配置为Pod生成/etc/resolv.conf配置。 默认情况下，Pod的dnsPolicy设置为clusterFirst, Pod的/etc/resolv.conf值类似: nameserver 172.20.0.10 search .svc.cluster.local svc.cluster.local cluster.local options ndots:5 各字段解释如下: nameserver : 域名解析服务器 search : 域名查找后缀规则，会在 .svc.cluster.local svc.cluster.local cluster.local三个域中搜索匹配的记录 options : 域名解析选项，KV值格式，典型的有ndots，表示解析的域名字符串内的点字符数量超过ndots值，则认为是完整域名，直接解析，如不足，则追加.svc.cluster.local后缀 默认情况下, nameserver值为云容器引擎内置的CoreDNS service ClusterIP, Kubernetes在CoreDNS中为普通Service赋予一个形如 mysvc.mynamespace.svc.clusterdomain.example的DNS A记录,该名称会解析成Service对应的clusterIP。 Pod访问集群内部Service域名时，根据域名后缀规则依次查询Service名称，获得Service对应的ClusterIP。 Pod访问集群外部域名时，根据Pod规约的dnsPolicy值不同，使用Pod所在节点配置的DNS或者使用CoreDNS所在节点的配置DNS服务器进行解析。

退订服务器是否影响现有程序运行？ 问题描述 退订服务器是否影响现有程序运行？ 解决方法 容器部署，退订服务器后服务实例将会在CCE集群内重新调度。 如何处理开启了安全认证的微服务引擎专享版开启IPv6后服务注册失败？ 问题描述 基于Java Chassis开发的微服务注册到开启了安全认证的微服务引擎专享版，微服务的注册发现地址使用微服务引擎服务注册发现的IPv4地址，可以注册成功并正常启动。 如果修改微服务的注册发现地址为微服务引擎注册发现的IPv6地址后，注册失败并报错“java.net.SocketException: Protocol family unavailable”。 可能原因 创建微服务引擎专享版时，当选择开启了IPv6的VPC网络时，创建引擎支持IPv6网络。当部署服务使用IPv6网段且选择容器部署时，选择的CCE集群需要开启IPv6双栈开关。 如果选择的CCE集群资源没有开启IPv6开关，就会导致服务网络不通，报错“java.net.SocketException: Protocol family unavailable”。 解决方法 步骤 1 修改部署了微服务应用的环境，添加开启了“IPv6双栈”开关的CCE集群。 修改环境，请参考。 步骤 2 重新部署应用，请参考。 如何处理操作微服务引擎专享版时遇到非微服务引擎本身错误？ 问题描述 在对微服务引擎专享版执行创建、删除、变更规格、升级等操作时，可能会遇到非微服务引擎本身的错误。 例如，在创建微服务引擎专享版时，集群部署失败，报错如下： {"errorcode":"SVCSTG.00500400","errormessage":"{"kind":"Status","apiVersion":"v1","metadata":{},"status":"Failure","code":400,"errorCode":"CCE.01400013","errorMessage":"Insufficient volume quota.","errorcode":"CCECM.0307","errormsg":"Volume quota is not enough","message":"volume quota checking failed as [60/240] insufficient volume size quota","reason":"QuotaInsufficient"}"} 解决方法 页面上展示的错误信息中已经包含相应服务的错误码，根据错误码和错误信息联系相应服务的技术支持工程师提供支持。

使用示例 pod中直接使用HostPath 使用kubectl连接集群，创建示例yaml文件hostpathpodexample.yaml： apiVersion: v1 kind: Pod metadata: name: testpd spec: containers: image: registry.k8s.io/testwebserver name: testcontainer volumeMounts: mountPath: /testpd name: testvolume volumes: name: testvolume hostPath: 主机节点上目录位置 path: /data 此字段为可选 type: Directory 执行以下命令，创建Pod kubectl apply f hostpathpodexample.yaml 查看创建的Pod： 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“工作负载”——“容器组”，在列表查看。 PV和PVC方式定义HostPath 使用kubectl连接集群，创建示例yaml文件hostpathpvexample.yaml: apiVersion: v1 kind: PersistentVolume metadata: name: hostpathpv labels: type: local spec: capacity: storage: 1Gi accessModes: ReadWriteOnce hostPath: path: "/data" apiVersion: v1 kind: PersistentVolumeClaim metadata: name: hostpathpvc spec: accessModes: ReadWriteOnce resources: requests: storage: 1Gi volumeName: "hostpathpv" 执行以下命令，创建PV、PVC kubectl apply f hostpathpvexample.yaml 查看创建的PV、PVC： 登录“云容器引擎”管理控制台； 在集群列表页点击进入指定集群； 进入主菜单“存储”，在持久卷和持久卷声明列表查看。

问题现象 开通服务网格后控制面服务没有正常启动，报错信息如下： message: 'Internal error occurred: failed calling webhook "cosignwebhook.kubesystem.svc": failed to call webhook: Post " x509: certificate is valid for cosignwebhook, cosignwebhook.default, cosignwebhook.default.svc, not cosignwebhook.kubesystem.svc' 问题原因 由于在云容器引擎集群开启了cubesign插件，该插件会对集群中部署的镜像做签名验证，提升系统安全性。服务网格控制面组件镜像不会使用cubesign签名，因此部署会因为签名校验而失败。 解决方案 关闭云容器引擎集群cubesign插件，重新部署网格控制面服务。

本节介绍网络的用户指南：LoadBalancer类型Service 云容器引擎支持将Service通过负载均衡ELB向外暴露， 云容器引擎集群内置CCM（Cloud Controller Manager）插件，当Service的类型为LoadBalancer时，CCM插件会为Service配置负载均衡，并根据Service信息配置好负载均衡的后端服务器组、健康检查和监听规则等，使得用户可以通过负载均衡访问该Service。以下是使用负载均衡的步骤指引。 使用已有负载均衡暴露服务 前提条件 用户已提前在负载均衡控制台创建ELB实例，ELB实例需要与Service所在的容器集群在同一个VPC网络下。 注意事项 不同Service可以同时复用同一个负载均衡实例，复用同一个负载均衡实例需要避免不同Service使用相同的服务端口，否则存在监听配置被覆盖的情况 不能复用由CCM自动创建的或集群ApiServer使用的负载均衡实例 当Service删除时，使用已有的负载均衡不会被删除 集群Master节点不作为负载均衡实例的后端 操作步骤 1. 登录 云容器引擎 控制台，点击进入想要操作的集群，在左侧菜单选择“网络” “服务”； 2. 如下图，点击“新建”按钮新建服务，按照参数说明配置相关的参数； 服务访问方式：选择负载均衡 负载均衡：可根据业务需要选择私网访问或公网访问，集群内或同一VPC内访问建议选择私网访问即可；选择“使用已有负载均衡”；负载均衡实例列表会根据选择的私网/公网访问方式显示出对应的实例，选择想要使用的负载均衡实例即可 标签：根据需要可以为服务配置标签 注解：根据需要可以为服务配置注解 外部流量策略：Cluster或Local。Cluster策略下，集群所有可用工作节点都会挂载到负载均衡实例；Local策略下，只有Service对应的Pod所在节点会挂载到负载均衡实例 端口映射：配置好协议、容器端口及服务端口，其中容器端口为应用本身暴露的端口，服务端口则会作为负载均衡实例的监听端口 工作负载绑定：选择服务要关联的工作负载，也可以配置自定义标签关联 3. 创建服务后，在服务列表可以看到该服务，通过服务的集群外访问地址即可以访问该服务。

本节主要介绍镜像创建无状态工作负载（Nginx） 。 您可以使用容器镜像快速创建一个可公网访问的单实例工作负载。本章节将指导您基于云容器引擎CCE快速部署Nginx容器应用，并管理该容器应用的全生命周期，以期让您具备将云容器引擎应用到实际项目中的能力。 前提条件 您需要创建一个至少包含一个4核8G节点的集群，且该节点已绑定弹性IP，并确保其可联网下载容器镜像。 集群是运行工作负载的逻辑分组，包含一组云主机资源，每台云主机即集群中的一个节点。 创建集群的方法，请参见 集群。 Nginx应用概述 Nginx是一款轻量级的Web服务器，您可通过CCE快速搭建nginx web服务器。 本章节将以创建Nginx应用为例，来创建一个工作负载，预计需要5分钟。 本章节执行完成后，可成功访问Nginx的网页，如下图。 图 本例结果 操作步骤 步骤 1 登录CCE控制台。 步骤 2 单击集群进入集群控制台。 步骤 3 在左侧菜单栏选择“工作负载”，单击右上角“创建负载”。 步骤 4 填写以下参数，其它保持默认。 基本信息 负载类型：选择无状态负载。 负载名称：nginx。 命名空间：default。 实例数量：请设置为1。 容器配置 在基本信息中，“镜像名称”输入框中输入“nginx:latest”。 服务配置 单击服务配置下的加号，创建服务（Service），用于从外部访问负载。本例将创建一个负载均衡类型的Service，请在右侧弹窗中配置如下参数。 Service名称：输入应用发布的可被外部访问的名称，设置为：nginx。 访问类型：选择“负载均衡 ( LoadBalancer )”。 服务亲和：保持默认。 负载均衡器：如果已有负载均衡（ELB）实例，可以选择已有ELB，如果没有可选择“自动创建”，创建一个公网类型负载均衡器。 端口配置： 对外协议：TCP。 服务端口：设置为9888，该端口号将映射到容器端口。 容器端口：容器中应用启动监听的端口，nginx镜像请设置为80，其他应用容器端口和应用本身的端口一致。 步骤 5 单击右下角“创建工作负载”。 等待工作负载创建成功。 创建成功后在无状态负载下会显示一个运行中的工作负载。

本章节介绍如何进行Ingress配置接入 前置条件 1. 开通云容器引擎集群 2. 开通MSE云原生网关实例，绑定公网ELB 3. 需要部署的镜像已经上传到镜像仓库 云原生网关配置 1. 配置云容器引擎服务来源，安装Ingress controller（注意配置我们要监听的命名空间的标签，这里我们只监听带有mseingresswatching的命名空间） 创建完成后可以看到云容器引擎上Ingress controller安装成功 2. 部署应用 给demo应用添加标签mseingresswatching 在demo命名空间下部署我们的测试应用（请确保镜像已经推送到镜像仓库），这里我们使用istio的bookinfo说明，部署完成后demo命名空间下的应用列表如下： 如果需要正常访问bookinfo应用需要配置以下路由规则： 路径精确匹配：/productpage，/login，/logout 路径前缀匹配：/static/，/api/v1/products/ 访问后端productpage服务 其中/productpage 路径是我们应用的访问入口 此时我们访问云原生网关的ELB地址： 由于此时我们还没有创建服务和路由规则，访问会返回404错误

云工作流支持的功能如下(公测版)： 功能集 功能 功能说明 参考文档 基本功能 流程（Flow） 云工作流基于CNCF ServerlessWorkflow Specification 0.8版本进行适配优化作为天翼云云工作流执行流程定义。执行流程时，云工作流执行引擎会根据流程定义解析并驱动执行相关状态流转。 一个流程通常包含若干状态（State），这些状态可以是简单的执行类状态，例如操作（Operation）、暂停（Sleep）、传递（Noop）和失败（Fail）等；也可以是复杂的流程控制类状态，例如条件分支（Switch）、并行（Parallel）和迭代（Foreach）。 流程定义介绍 创建流程 执行流程 基本功能 调度（Schedule） 云工作流调度（即触发器）是触发工作流执行的方式。在事件驱动的计算模型中，事件源是事件的生产者，工作流是事件的处理者。云工作流目前支持比较常见的触发器场景： 定时触发器、HTTP触发器、消息队列类型（Kafka、 RokectMQ）触发器， 云原生网关触发器 工作流调度简介 特性功能 标准（Standard）模式 云工作流支持创建标准（Standard）和快速（Express）两种模式的工作流。 标准（Standard）模式适用于传统意义上的离线业务流程编排执行场景，具备执行步骤状态的持久化存储，支持运行长时间的工作流执行状态流转。 快速工作流和标准工作流 特性功能 快速（Express）模式 云工作流支持创建标准（Standard）和快速（Express）两种模式的工作流。 快速（Express）模式适用于常见的在线业务流程编排和准实时业务流程编排场景，例如微服务API编排、流式数据处理等低延迟和大负载业务场景。 快速工作流和标准工作流 运维及可观测建设 工作流执行监控 工作流执行监控可对工作流的执行启动、执行成功、执行失败、执行超时以及执行过程中的状态转换和执行耗时等指标进行监控和展示。 监控指标 运维及可观测建设 审计事件 云工作流已接入审计服务，可以在云审计中查询用户操作云工作流产生的管控事件， 例如创建工作流、删除工作流以及执行工作流等。 审计事件 流程开发 工作流设计器 云工作流提供一个低代码、可视化的工作流设计器，包含cloudflow studio、 yaml以及工作流设置等功能区。可以基于cloudflow studio进行工作流可视化编排以及相关属性设置， 降低用户对流程定义语言的学习成本。 工作流设计器 集成建设 云服务优化集成 云工作流支持与天翼云多个云服务集成，允许在流程中调用这些云服务的API进行相关资源的操作，完成业务流程构建。 云工作流与云服务的集成类型包括普通集成和优化集成。普通集成是指允许云工作流直接调用云产品的OpenAPI服务接口，不对这些服务接口做任何包装处理和实现优化，基本包括了在天翼云OpenAPI门户注册的云服务OpenAPI服务接口。 优化集成是指对部分高频使用的云产品服务接口进行包装和优化处理，简化接口使用难度，方便用户集成。 集成模式 服务集成模式 函数计算集成 云工作流计集成 集成建设 云服务普通集成 普通集成是指云工作流直接通过在天翼云产品在天翼云OpenAPI门户注册的OpenAPI对外提供的服务接口进行集成调用，不对服务接口做任何特殊处理和优化。 允许云工作流通过调用弹性计算、存储服务、数据库、容器、大数据处理、中间件服务在内的多个天翼云服务的接口实现业务流程编排。 普通集成

本文介绍了云防火墙与其他云服务的关系。 与统一身份认证服务的关系 统一身份认证服务（Identity and Access Management，简称IAM）为云防火墙服务提供了权限管理的功能。用户在天翼云注册后自动创建主用户，该用户对其所拥有的资源具有完全的访问权限，拥有重置用户密码、分配用户等权限。用户可以通过为子用户配置不同的角色分配访问云防火墙（原生版）不同的权限。云防火墙（原生版）角色包含admin角色和viewer角色，其中admin角色拥有全局权限，可以使用云防火墙（原生版）的全部功能。viewer角色只拥有可读权限，只能查看云防火墙（原生版）相关数据，不能进行配置操作。 与Web应用防火墙（原生版）的区别 Web应用防火墙（原生版）针对Web业务防护，主要应用于对七层应用流量进行防护，其防护对象为域名相关的网站，主要防护Web攻击，通常在用户部署公网Web业务时，需要开启Web应用防火墙对网站进行防护，对非Web类业务没有防护能力，且只防护由外对内的攻击，对业务的恶意主动外联没有监测和防护能力。 云防火墙（原生版）包含全部业务防护，主要应用于对四层网络流量的防护和访问控制，其防护对象为用户的IP，支持对Web漏洞的基础防护以及其他网络层的攻击行为，同时还支持内对外的主动外联流量检测。支持失陷主机和恶意外联的自动拦截。通常在用户开通互联网访问时需要部署，是网络访问基础的防护设备。 具体区别对比如下表： 类别 云防火墙（原生版） Web应用防火墙（原生版） ::: 产品定义 云防火墙（原生版）（CTCFW，Cloud Firewall）是一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界管控与安全防护，并提供业务整体情况可视化、日志审计和分析等功能，帮助您完成网络边界防护与等保合规。 Web应用防火墙（原生版）（CTWAF，Web Application Firewall）为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。 防护对象 IP（弹性公网IP、内网IP等） 域名 网络层级 四层 七层 应用场景 边界网络防护 Web业务安全防护 核心技术 ACL访问控制、DPI深度包检测、IPS入侵检测技术 HTTP协议解析、Web攻击检测 安全能力 支持外部访问控制和主动外联管控，能够检测攻击者对用户网络发起的攻击，同时也能对用户网络主动外联行为进行分析，阻断由内而外的恶意连接行为，保护用户的资产安全。 集成机器学习检测引擎，支持专家经验特征与语义特征，有效检测SQL 注入、XSS等基于形式语言的攻击类型，对OWASP常见攻击类型进行了良好覆盖。 Web应用防火墙建议使用场景： 当用户部署了对外提供服务的Web应用时，建议用户购买Web应用防火墙，以便能够保护所部署Web服务的安全。 注意 无论所部署的Web服务是否位于天翼云上，都可以购买天翼云Web应用防火墙（原生版）对用户的Web服务提供防护，天翼云Web应用防火墙（原生版）提供全球级服务，能够为用户任意位置的Web服务提供全面的Web安全保护。 云防火墙建议使用场景： 当用户在天翼云上购买了弹性云主机时，建议购买云防火墙，以便能够保护用户云上弹性云主机的安全。 注意 天翼云云防火墙仅能保护部署在天翼云内的弹性云主机网络安全，对于在其他位置的主机和网络设备，因其网络流量未流经天翼云，故天翼云云防火墙无法保护其网络安全。

本章节主要介绍环境管理 环境概述 环境是用于应用组件部署和运行的计算、存储、网络等基础资源的集合。ServiceStage把相同VPC下的计算资源（如云容器引擎CCE）、网络资源（如弹性负载均衡ELB、弹性公网EIP等）和中间件（如分布式缓存DCS、微服务引擎CSE等）组合为一个环境，如：开发环境，测试环境，预生产环境，生产环境。 环境内网络互通，可以按环境维度来管理资源、部署服务，减少具体基础资源运维管理的复杂性。 同一个项目下，最多支持创建300个环境。 创建环境 在部署应用组件之前，您需要先创建环境。 操作步骤 1、登录ServcieStage控制台，进入“环境管理”，单击“创建环境”。 2、填写环境配置信息，其中带“”标志的参数为必填参数。 参数 参数说明 环境名称 环境的名称。 企业项目 设置企业项目。企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。开通企业项目后可以使用。 描述 环境说明信息。 单击 ，输入环境描述信息。 单击，保存描述。 虚拟私有云(VPC) 选择环境资源所在VPC。 新建VPC，请参考“帮助中心 > 虚拟私有云 > 用户指南 > 虚拟私有云和子网 > 虚拟私有云 > 创建虚拟私有云和子网”。 环境类型 根据应用组件部署方式，选择环境类型。 Kubernetes：适用于容器部署方式（云容器引擎部署），应用组件以容器镜像方式通过Kubernetes调度部署。 3、单击“立即创建”，完成环境创建。 环境创建完成后，进入环境详情页面，可以查看环境详情、进行环境资源配置等操作。

本章节介绍微服务引擎的使用限制 微服务引擎产品实例使用限制 注册配置中心 限制项 限制值 Nacos单实例命名空间数量上限。 50个 Nacos单实例配置文件数量上限。 10000个 Nacos单个配置文件大小上限。 100 KB ZooKeeper单个Session所创建的临时节点（ephemeral）类型上限。 2000个 ZooKeeper数据管理数据导入文件大小限制。 200M Eureka单节点服务实例注册数量上限。 1000个 云原生网关 限制功能 说明 IP黑白名单 当前基于请求云原生网关的网络层IP进行黑白名单管控，对于使用ELB的场景，网关看到的网络层IP是ELB的出口IP。后续会优化该功能，支持基于XForwardedFor中的IP进行管控的能力。 微服务治理中心 概述 在使用微服务治理中心之前时，您需要通过本文提前了解微服务治理中心的使用限制。 版本限制 模块 限制 说明 微服务框架Spring Cloud Spring Cloud Edgware及以上版本。 客户端：Feign、RestTemplate。 微服务框架Dubbo Dubbo 2.5.3及以上版本。 无 接入方式 支持ECS、云容器引擎应用接入。 如果使用ECS接入，需要在ECS的/etc/resolv.conf文件首行添加nameserver 100.95.0.1。 注册中心 支持应用使用Nacos、Eureka和Zookeeper三种引擎。 无 JDK版本 支持JDK1.8+版本应用接入。 无 VPC 应用所在的VPC需手动接入微服务治理中心。 接入方法，见文档ECS微服务应用接入MSE治理中心。 当您的应用满足上述限制后，通过ECS或云容器引擎接入微服务治理中心，可以使用微服务治理中心相关功能。 微服务引擎配额资源使用限制