本节主要介绍常见问题。 如何解决新增节点时提示弹性IP不足的问题？ 问题描述 在CCE集群中新增节点时，在“弹性IP”处选择“自动创建”，但创建节点失败，提示弹性IP不足。 解决方法 您可以有两种方法解决弹性IP不足的问题。 方法一：解绑已绑定弹性IP的虚拟机，再重新添加节点。 a. 登录弹性云主机控制台。 b. 在弹性云主机列表中，找到待解绑云服务器，单击云服务器名称。 c. 在打开的弹性云主机详情页中，单击“弹性公网IP”页签，在公网IP列表中单击待解绑IP后的“解绑”，为该云服务器解绑弹性IP，单击“确定”。 d. 返回CCE控制台创建节点页面中，选择“使用已有”重新新增节点的操作。 方法二：提高弹性IP的配额。 天翼云对用户的资源数量和容量做了配额限制。如果资源配额限制满足不了用户的使用需求，可以通过工单系统来提交工单申请，并告知您申请提高配额的理由。 在通过审理之后，我们会更新您的配额并进行通知。 如何快速清理已删除节点上的CCE组件？ 使用场景 若集群中包含纳管节点，删除对应集群和节点不会删除对应的ECS，此时请按照界面提示清理节点上CCE组件。若未按照提示清理节点组件，后续需要清理ECS时，可按照如下操作进行清理。 操作步骤 1登录CCE控制台。 2在左侧导航栏中选择“集群管理 > 节点管理”，在右侧的节点列表中找到要执行操作的纳管节点，在节点的“操作”区域下单击“更多 > 移除”。 3在弹出的“移除纳管节点”对话框中输入"REMOVE"确认移除节点，单击“确认”。 4、认真阅读弹出的“提示”页面内容，按照步骤清理CCE相关资源。 如何加固CCE集群的节点VPC安全组规则？ CCE作为通用的容器平台，安全组规则的设置适用于通用场景。用户可根据安全需求，通过网络控制台的安全组找到CCE集群对应的安全组规则进行安全加固。 安全组查找路径：登录控制台，单击服务列表中的“网络 > 虚拟私有云 VPC”，在网络控制台单击“访问控制 > 安全组”。 其中，控制节点的安全组名称是：{集群名}ccecontrol{随机ID}；用户节点的安全组名称是：{集群名}ccenode{随机ID}。 安全组中必须开启的端口如下： {集群名}ccecontrol{随机ID}： •源地址属于本安全组规则的需全部放通。 •5444、8445、9443、4789端口的规则不能修改。 •5443端口需对VPC网段、容器网段放通。 {集群名}ccenode{随机ID}： •源地址属于本安全组规则的需全部放通。 •4789、10250端口的规则不能修改。 •3000032767端口需对VPC网段、容器网段和ELB的网段放通。

本节主要介绍如何查看事件信息。 操作场景 通过查看事件列表，您可以了解近360天的事件的统计信息列表，列表内容包括事件的名称、类型、等级和发生时间等。并可通过自定义过滤条件，如事件名称、事件等级和发生时间等，快速查询到相应事件的统计信息。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面。 5. 在事件管理页面上方，查看事件统计情况。 急需处理事件 ：呈现事件等级为致命或高危，且状态为非关闭的事件总数。 超期事件 ：呈现已超过事件设置的计划关闭时间，且还未关闭的事件总数。 事件状态 ：呈现“打开”、“阻塞”、“关闭”状态的事件总数及对应状态下事件数量。 事件数量 ：当前工作空间内的事件总数，以及各个等级对应的事件数量。 6. 在事件列表中，查看事件详细信息。 页面最多可查看9999条事件信息。 参数 说明 事件名称 事件名称。 事件ID 事件对应的ID。 事件等级 事件严重等级，分为以下等级：提示、低危、中危、高危、致命。 类型 事件类型。 状态 事件状态，分为以下状态：打开、阻塞、关闭。 影响资产 受此事件影响的资产。 验证状态 此事件的验证状态，即事件的准确性。分为以下状态：未知、确认、误报。 责任人 此事件的主要责任人。 创建时间 此事件的创建时间。 首次发生时间 此事件首次发生时间。 最近发生时间 此事件最近一次发生的具体时间。 计划关闭时间 此事件的计划关闭时间。 描述 事件的描述信息。 数据源产品名称 事件来源产品的名称。 标签 事件的标签信息 操作 可对事件进行编辑、关闭等操作。 7. 如需查看某个事件详概览，可单击告警名称，页面右侧将展示事件的概览信息。 在事件概览页面可以查看事件的处置建议、基本信息和关联信息（包括关联的威胁指标、告警、事件、攻击信息等）。 如果需要查看事件详情，可以在事件概览页面右下角单击“事件详情”，进入事件详情页面。 在详情页面除了可以查看概览页面的信息外，还可以查看事件的时间线和攻击信息。例如：事件首次发生时间、检测时间、攻击进程ID等。 在事件概览/详情页面可以在事件等级和状态的下拉箭头中修改事件等级、状态。 在事件概览/详情页面可以关联或取消关联告警、事件、情报，还可以查看受影响资产相关信息。

本章为您介绍如何管理加密云硬盘,包括创建加密云硬盘与卸载加密云硬盘。 工作原理 服务端加密支持选择默认密钥及用户自行创建的用户主密钥，具体可选择的密钥类型如下。 密钥创建者 密钥类型 密钥算法 服务版本 云产品 默认密钥 AES256（默认） 按需版&包周期版 用户自行创建 用户主密钥软件 AES256 按需版 用户自行创建 用户主密钥硬件 AES256 SM4 按需版 在了解云硬盘加密工作原理之前，首先需要了解两个概念： 默认密钥 系统为云产品自动创建的用于服务端加密的默认密钥，默认密钥与云产品对应，每个天翼云账号下的每个云产品，在每个资源池支持创建1个默认密钥。 默认密钥的别名定义为alias ，例如aliasecs。 默认密钥的密钥材料由KMS生成，不支持导入外部密钥材料，同时不支持自动轮转、启用/禁用、删除等操作。 用户主密钥 云产品加密时，可选用户在KMS服务中自建的用户主密钥，密钥类型为对称密钥，算法支持AES256、SM4，保护级别可选软件保护、硬件保护。 用户主密钥按照KMS按需及包周期版的服务标准资费进行计费，请您确保账户余额充足、到期前及时续费，避免KMS服务冻结，冻结后云产品无法进行正常的加解密操作，云产品可能会出现异常。 用户主密钥支持计划删除，操作计划删除前请确保该密钥非云产品加密使用的密钥，避免误删除导致云产品无法正常加解密而出现异常。为避免误删，您可以为密钥开启删除保护功能。 注意 当前云硬盘加密仅支持选择按需版本中的自建用户主密钥，当前包周期版本中的用户主密钥暂不支持做云硬盘加密使用。 若您为2024年9月10日之后购买了KMS包周期服务，您可选择使用默认密钥进行云产品加密。 第一次使用加密云硬盘时，系统会自动创建一个用户主密钥（CMK），该密钥有且仅有一个，且是在KMS中的相应地域所创建，并将其存储在受严格的物理和逻辑安全控制保护的密钥管理服务上。查看如何通过KMS实现服务端加密。 每个地域的加密云硬盘，都需要通过256位数据密钥（DEK）进行加密，此数据密钥（DEK）具备地域唯一性，即每个地域都有且仅有一个。该密钥受 KMS 提供的密钥管理基础设施的保护，能有效防止未经授权的访问。云硬盘的数据密钥（DEK）仅在实例所在的宿主机的内存中使用，不会以明文形式存储在任何持久化介质（即使是云硬盘本身）上。 在创建加密云硬盘并将其挂载到实例后，以下数据都将关联此密钥并进行加密： 云硬盘中的静态数据 云硬盘和实例间传输的数据（实例操作系统内的数据不加密） 通过加密云硬盘创建的快照

步骤二：购买终端节点 操作场景 将待访问的后端资源创建为终端节点服务后，为了能够访问这些终端节点服务，您还需要购买终端节点。以下将提供购买终端节点的步骤指导。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择华东华东1。 3. 在系统首页，选择“网络>VPC终端节点”。 4. 在“终端节点”页面，单击“创建终端节点”。 5. 进入“创建终端节点”页面，根据终端节点配置说明完成参数配置，点击下一步。 6. 在资源详情页面确认终端节点配置、数量、费用等。 7. 勾选“我已阅读并同意相关协议《VPC终端节点服务协议》，点击“确认下单”。 8. 配置连接管理。 返回“终端节点服务”页面，点击终端节点服务名称/ID, 进入终端节点服务详情页面。点击“连接管理”页签，如果终端节点状态为“已连接”，表示终端节点已成功连接至终端节点服务；如果终端节点状态为“待审核”，表示需先进行审批，具体操作可参考配置连接管理。 此处同意终端节点的连接，在连接管理页面的“操作”栏下，点击“允许”并在弹出的对话框点击“确定”。允许后，将开始对该终端节点提供服务并建立连接。 9. 返回终端节点列表查看终端节点状态变为“已连接”，表示终端节点已成功连接至终端节点服务。 10. 点击终端节点名称/ID，即可查看终端节点的详细信息。 11. 终端节点创建成功后，会生成一个“节点IP”。 12. 配置验证。 远程登录VPC1中的弹性云主机， 访问VPC终端节点的节点IP。 终端节点配置说明 参数 说明 地域 终端节点所在地域，页面左上角可切换地域。不同地域的资源之间内网不互通，为了最优化的性能，请选择靠近您的地域，以降低网络时延并提高访问速度。 名称 终端节点的名称。名称由数字、字母、中文、、组成，不能以数字、和开头。 可用服务 可按按服务ID查找可用服务，并进行验证。若开启了访问白名单，验证前，需要将当前用户的邮箱加入用户私有服务的白名单。此处输入步骤一创建的终端节点服务的ID。 虚拟私有云 选择终端节点所属虚拟私有云。 子网 选择终端节点所属的子网。 内网IP地址（可选） 自动分配内网IP，可通过内网IP直接访问终端节点。 访问白名单 可选开启或关闭。 默认不启用白名单，即所有网段允许访问节点网卡；最多允许20个网段。 开启后，需填写允许访问节点网卡的网段，多个网段换行分隔。 描述（可选） 终端节点相关的描述。

本文为您介绍切换管理的具体操作。 使用条件 仅当演练整体状态为执行中/终止中/暂停中/已暂停才能进入该切换的切换管理页面。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“容灾切换”“应急切换”，进入应急切换列表页。 5. 在列表上方下拉菜单中选择需要进行应急切换的命名空间。 6. 点击列表操作列“切换管理”按钮，进入切换管理详情页。 7. 在基本信息部分，可查看切换名称、命名空间、关联预案、涉及容灾管理中心、切换方式、状态、预计耗时、超时时间、开始和结束时间、切换耗时等信息。 8. 在任务列表部分，可以查看任务列表及进行相关操作。列表上方可进行确认切换结果、暂停切换、恢复切换、终止切换操作。 9. 若用户需确认切换结果，可点击列表上方的确认切换结果，弹出确认切换结果弹窗，选择本次切换结果执行成功或失败，点击“确定”后，最近切换状态变为用户所选结果。 10. 若用户需暂停切换，可点击列表上方的暂停切换，弹出暂停切换弹窗，点击“确认”后，最近切换状态变为用户所选结果。当切换中存在执行中的任务，切换会在该任务执行完成后暂停，执行过程中切换任务的最近状态为“暂停中”，执行完毕后状态变更为“已暂停”。 11. 若用户需要恢复切换，可点击列表上方的恢复切换，弹出恢复切换弹窗，点击“确认”后，最近切换状态变为执行中。若切换为自动执行的场景，系统会自动执行待执行的任务，若切换为手动执行的场景下，需用户手动执行待执行的任务。 12. 若用户需终止切换，可点击列表上方的终止切换，弹出终止切换弹窗，点击确认后，最近切换状态变为“已终止”。当切换中存在执行中的任务，切换会在该任务执行完成后终止，执行过程中切换任务的最近状态为“终止中”，执行完毕后状态变更为“已终止”。终止切换后无法重启本次切换。 13. 当整体切换状态为执行中，且任务组件类型为普通非人工任务时，用户可对执行失败的任务进行编辑/重新执行/确认状态操作，可点击任务的操作栏中相应按钮。 14. 当整体切换状态为执行中，任务组件类型为人工任务，且任务状态为执行中时，用户可对任务进行确认成功操作。 15. 当整体切换状态为执行中，且任务状态为待执行时，用户可对任务进行执行操作。 16. 在流程视图部分，可以查看当前容灾切换关联的预案整体流程视图和状态。点击具体预案阶段可查看其下的任务视图。

本页介绍天翼云TeleDB数据库日志管理相关操作。 操作步骤 1. 切换至TeleDB控制台，在左侧导航树单击日志管理 ，进入日志管理页面。 2. 查询错误日志 说明 错误日志记录了实例中各节点在运行过程中产生的错误信息。 1. 在当前实例下拉框选择您需查询的实例，选择错误日志 页签，设置查询开始时间和结束时间，选择查询条件，单击查询 。 查询条件可选择 节点名称 、 IP地址 、 数据库名称 、用户 和 错误信息 。 3. 慢SQL查询 说明 超过指定时间的 SQL 语句查询称为慢查询，对应语句称为慢查询语句。可以在控制台的操作日志页面查看实例的慢日志明细。 1. 在当前实例下拉框选择您所需要查询的实例，选择慢SQL查询 页签，设置开始时间和结束时间，在下拉框中选择 查询用户 、 查询条件 ，然后单击查询按钮。 查询条件可选择节点名称、IP地址、SQL语句和数据库名称。 2. 在目标日志的操作 列，单击优化建议 ，查看当前慢查询的索引优化建议。 注意 您需要在定时任务中配置了queryindexadvice（用于对慢sql查询生成相应的索引优化建议），才能查看当前慢查询的索引优化建议。 4. 查询高频SQL日志 1. 在当前实例下拉框选择您所需要查询的实例，选择高频SQL 页签，可选择重复次数，设置开始时间和结束时间，在下拉款中选择查询条件 ，单击查询按钮。 查询条件可选择用户名、SQL语句、用户和数据库名称。 5. 审计日志 1. 设置设计规则 1. 在当前实例下拉框选择您所需要查询的实例，选择审计日志页签，单击审计设置，出现审计设置对话框。 2. 在审计设置对话框中，选择是否开启审计、审计粒度，单击确定完成审计设置。 当审计粒度为全局级，您可对需要进行审计和告警的动作进行选择。 当审计粒度为对象级，您需设置对象审计规则同时使用。 2. 审计规则管理 1. 在当前实例下拉框选择您所需要查询的实例，选择审计日志页签，单击审计规则管理，进入审计规则管理页面。 2. 新增审计规则 1. 在审计规则管理 页面，单击 新增审计规则 ，出现新增审计规则对话框。 2. 在新增审计规则 对话框中，输入规则名称 、选择 审计对象名称 、勾选 审计操作类型 、输入审计对象和选择 是否开启 ， 是否触发告警 ，单击确定完成新增审计规则。 3. 编辑审计规则 单击已创建审计规则所在行的编辑 ，可修改审计规则。 4. 删除审计规则 单击已创建审计规则所在行的删除 ，可删除审计规则。 3. 查看审计日志 1. 选择审计日志 页签，在当前实例下拉框选择您需要查询的实例，设置查询开始时间和结束时间，在下拉框选择查询条件 ，单击 查询 。 查询条件可选择审计类型 、 SQL详情 、数据库名称、账号 和 审计操作 。

Kafka作为一款热门的消息队列中间件，具备高效可靠的消息异步传递机制，主要用于不同系统间的数据交流和传递，在企业解决方案、金融支付、电信、电子商务、社交、即时通信、视频、物联网、车联网等众多领域都有广泛应用。 异步通信 将业务中属于非核心或不重要的流程部分，使用消息异步通知的方式发给目标系统，这样主业务流程无需同步等待其他系统的处理结果，从而达到系统快速响应的目的。 如网站的用户注册场景，在用户注册成功后，还需要发送注册邮件与注册短信，这两个流程使用Kafka消息服务通知邮件发送系统与短信发送系统，从而提升注册流程的响应速度。 图 串行发送注册邮件与短信流程 图 借助消息队列异步发送注册邮件与短信流程 错峰流控与流量削峰 在电子商务系统或大型网站中，上下游系统处理能力存在差异，处理能力高的上游系统的突发流量可能会对处理能力低的某些下游系统造成冲击，需要提高系统的可用性的同时降低系统实现的复杂性。电商大促销等流量洪流突然来袭时，可以通过队列服务堆积缓存订单等信息，在下游系统有能力处理消息的时候再处理，避免下游订阅系统因突发流量崩溃。消息队列提供亿级消息堆积能力，3天的默认保留时长，消息消费系统可以错峰进行消息处理。 另外，在商品秒杀、抢购等流量短时间内暴增场景中，为了防止后端应用被压垮，可在前后端系统间使用Kafka消息队列传递请求。 图 消息队列应对秒杀大流量场景 日志同步 在大型业务系统设计中，为了快速定位问题，全链路追踪日志，以及故障及时预警监控，通常需要将各系统应用的日志集中分析处理。 Kafka设计初衷就是为了应对大量日志传输场景，应用通过可靠异步方式将日志消息同步到消息服务，再通过其他组件对日志做实时或离线分析，也可用于关键日志信息收集进行应用监控。 日志同步主要有三个关键部分：日志采集客户端，Kafka消息队列以及后端的日志处理应用。 1. 日志采集客户端，负责用户各类应用服务的日志数据采集，以消息方式将日志“批量”“异步”发送Kafka客户端。 Kafka客户端批量提交和压缩消息，对应用服务的性能影响非常小。 2. Kafka将日志存储在消息文件中，提供持久化。 3. 日志处理应用，如Logstash，订阅并消费Kafka中的日志消息，最终供文件搜索服务检索日志，或者由Kafka将消息传递给Hadoop等其他大数据应用系统化存储与分析。 图 日志同步示意图 上图中Logstash、ElasticSearch分别为日志分析和检索的开源工具，Hadoop表示大数据分析系统。

背景说明 天翼云现已上线新版的备份服务云服务备份（Cloud Backup and Recovery，以下简称"CBR"）。如果您在云主机备份和云硬盘备份服务中存在备份资源，但希望使用新版云服务备份对历史备份进行备份管理，可以将备份资源从云主机备份和云硬盘备份服务一键迁移至云服务备份中。 若您从未使用过云主机备份和云硬盘备份服务或不再需要历史备份资源，可以跳过此章节，直接使用新服务。 完成资源迁移后，您可以参考云主机备份完成云主机备份资源包的退订，云硬盘备份只有按需计费，不涉及资源包退订。 迁移规则说明 进行一键迁移时，系统会根据您的历史资源情况为您自动创建存储库。 表 迁移规则说明 迁移前 迁移后 :: 云主机或云硬盘绑定在备份策略中 已产生过备份，无论策略是否开启，则迁移时系统会创建一个与策略名称（最长为64位）相同的存储库，创建成功后策略会绑定存储库。 云主机或云硬盘绑定在备份策略中 未产生过备份，仅在策略开启的情况下会创建存储库，创建成功后策略会绑定存储库命名规则同上。 云主机或云硬盘绑定在备份或复制策略中 未产生过备份，且策略未开启时，仅对策略进行迁移。 备份或复制策略未绑定云主机或云硬盘 对策略进行迁移。 开启数据库备份 创建存储库时会创建和该策略名称一致的数据库备份存储库。 复制产生的备份 存放在一个命名为“default”的复制存储库。 使用备份创建过镜像且已为镜像添加标签 可能会导致备份迁移失败。您需要前往镜像服务，删除该镜像的标签后再进行迁移。迁移完成后再重新添加标签即可。 迁移备份时，只要在例如苏州的其中一个区域迁移备份，则列举的区域的所有备份在迁移时会一同迁移。其他未列举的区域的备份不会一起迁移，需要单独前往该区域进行迁移。 迁移成功后，在新版云服务备份中创建的备份也会出现在原云硬盘备份服务中，但不会重复计费，属于正常现象。 说明： 如果您希望删除旧版云硬盘备份服务中的备份，需要在新版服务中找到对应的备份进行删除，则旧版服务的备份也会同时删除，无法在旧版服务中删除。 根据以上规则，系统在创建存储库时，每个存储库预设容量为：备份数据所占容量1.2。 例如：某用户拥有容量分别为100GB和50GB的云服务器，实际存储数据的容量分别为20GB和10GB，使用云服务器备份服务分别手动创建过一个普通整机备份。进行迁移时，默认创建的存储库将为备份数据所占容量1.2。本例中备份数据所占容量1.2为36GB。此时系统会自动创建一个大小为36GB的存储库。

本小节介绍数据库安全数据库慢SQL检测最佳实践。 操作场景 数据库安全审计默认提供一条“数据库慢SQL检测”的风险操作，用于检测原始审计日志的响应时间大于1秒的SQL语句。 通过数据库慢SQL检测，您可获知执行耗时长、影响行数、执行该SQL语句的数据库信息并根据实际需求对慢SQL进行优化。 数据库安全审计支持以下执行语句类型检测：数据定义（DDL）： CREATE TABLE CREATE TABLESPACE DROP TABLE DROP TABLESPACE 数据操作（DML）： INSERT UPDATE DELETE SELECT SELECT FOR UPDATE 数据控制（DCL）： CREATE USER DROP USER GRANT 查看慢SQL检测结果 数据库慢SQL检测开启后，您可以在“总览 > 语句”中查看执行效率低的语句及语句详细信息。 1. 登录管理控制台。 2. 在页面上方选择“区域”后，单击，选择“安全与合规 > 数据库安全服务”。 3. 在左侧导航树中，选择“总览”，进入“总览”界面。 4. 在“选择实例”下拉列表框中，选择需要查看数据库慢SQL语句信息的实例。 5. 选择“语句”页签。 6. 您可以按照以下方法，查询指定的SQL语句。选择“时间”（“全部”、“近30分钟”、“近1小时”、“近24小时”、“近7天”或“近30天”），或者单击，选择开始时间和结束时间，单击“提交”，列表显示该时间段的SQL语句。选择“风险等级”（“低”，数据库慢SQL规则默认为低），单击“提交”，列表显示该级别的SQL语句。单击“高级选项”后的，输入相关信息，如图所示，单击“搜索”，列表显示该选项的SQL语句。 说明 一次查询最多可查询10,000条记录。 高级选项信息 7. 在需要查看详情的慢SQL语句所在行的“操作”列，单击“详情”，如图所示。 8. 在详情提示框中，查看慢SQL语句的详细信息，如图所示，相关参数说明如表所示。 SQL语句详情参数说明 参数名称 说明 会话ID SQL语句的ID，由系统自动生成。 数据库实例 SQL语句所在的数据库实例。 数据库类型 执行SQL语句所在的数据库的类型。 数据库用户 执行SQL语句的数据库用户。 客户端MAC地址 执行SQL语句所在客户端MAC地址。 数据库MAC地址 执行SQL语句所在数据库MAC地址。 客户端IP 执行SQL语句所在客户端的IP地址。 数据库IP 执行SQL语句所在的数据库的IP地址。 客户端端口 执行SQL语句所在的客户端的端口。 数据库端口 执行SQL语句所在的数据库的端口。 客户端名称 执行SQL语句所在客户端名称。 操作类型 SQL语句的操作类型。 操作对象类型 SQL语句的操作对象的类型。 响应结果 执行SQL语句的响应结果。 影响行数 执行SQL语句的影响行数。 开始时间 SQL语句开始执行的时间。 应结束时间 SQL语句结束的时间。 SQL请求语句 SQL语句的名称。 请求结果 SQL语句请求执行的结果。

本节介绍了RDS for MySQL 5.7版本升级到8.0的操作场景、前提条件、注意事项、操作步骤等相关内容等。 操作场景 云数据库 RDS for MySQL支持通过以下两种方式升级实例大版本： 通过RDS界面升级大版本：如需该操作请提交工单进行权限申请。 通过DRS升级大版本：通过DRS迁移功能将RDS for MySQL低版本实例迁移到高版本。 前提条件 通过RDS界面升级大版本功能目前支持西宁、海口、太原、南昌、郑州、乌鲁木齐、内蒙3、兰州、福州、北京2、长沙2、广州4、苏州、杭州、成都3、芜湖、上海4、深圳、武汉2、中卫、重庆、石家庄、青岛、贵州、西安2、华北。 如果用户创建DRS任务使用的是子账号，需要完成DRS账户委托，否则会导致升级失败。具体操作如下。 当用户创建DRS任务使用的是子账号，执行定时启动任务、全量完成自动结束、自动续传失败任务、定时对比任务等自动功能时，可能会访问全局服务或是Region级别服务，需要使用“账户委托”，否则会导致执行失败。 数据复制服务支持在创建任务的时候，自动将用户账户委托给数据复制服务的管理租户，即opsvcrds，便于在执行定期任务的时候，具有对任务实行自动化管理的权限。 解决方案： 方法一：使用主账号重新创建一次任务，主账号默认有Security Administrator权限，可在创建任务后将委托创建出来。 方法二：使用主账号在子账号所在的用户组添加Security Administrator权限后，重新创建任务。 方法三：手动添加“账户委托”，添加步骤如下： a. 使用主账号登录天翼云，在右上角单击“控制台”。 b. 在控制台页面管理与部署页面，选择“统一身份认证服务”。 c. 在统一身份认证页面，单击左侧导航窗格中“委托”，进入“委托”页面。 d. 在“委托”页面，单击右上方的“创建委托”进行委托创建。 e. 填写委托名称为“DRSAGENTCY” ，委托类型为 “普通账号”时， 委托的账号为 “opsvcrds”；持续时间为“永久”，完成后单击“完成”。 图 创建委托 f. 在“选择策略”页面，选择DRSAGENTCY的授权策略，委托权限需配置全局的 Tenant Administrator，完成后单击右下角的“下一步”。 图 选择策略 g. 在“设置最小授权范围”页面，先选择全局服务资源授权，点击右下角的“确定”后，在授权记录页面再点击“授权”，基于指定区域设置最小授权范围，完成后单击右下角的“确定”。 图 全局服务资源授权 图 指定区域项目授权 h. 授权完成后，单击委托名称，在“授权记录”中可看到全局服务和指定区域两条授权记录。 图 授权记录 i. 权限生效时间提醒，您选中的OBS权限由于系统设计的原因，授权后需等待1530分钟才可生效，权限生效后重新创建即可。

操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例管理 页面，选择指定的实例，单击操作 列的更多 ，然后选择创建只读。 说明 只读实例需要等主实例创建完毕后才能开通。 只读实例需要单独配置白名单才可以访问。 为包周期的主实例创建包周期的只读实例时，请务必保证主实例的有效期大于1个月，否则请先续订主实例后，再为其开通包周期的只读实例。 如果主实例为包周期，可以选择订购包周期或按需的只读实例；如果主实例为按需的，则只能订购按需的只读实例。 基本信息 参数 描述 数据库版本 和主实例相同，无法自主选择。 可用区 针对支持多可用区的资源池，您可以自主选择可用区。 性能类型 我们提供了通用型、计算增强型和内存优化型的主机类型供您选择，对应的主机类型提供对应六代机或七代机。目前七代机的表现整体优于六代机。 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。关于性能规格详情，请参见数据库实例规格。创建成功后可进行规格变更，请参见变更实例的CPU和内存规格。 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。普通I/O：磁盘类型SATA，最大吞吐量90MB/s。高I/O：磁盘类型SAS，最大吞吐量150MB/s。超高I/O：磁盘类型SSD，最大吞吐量350MB/s。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。只读实例的存储空间大小默认与主实例一致。 IP地址 可以选择自动分配IP或者手动指定IP地址。 实例名称 只读实例名称无法自主定义。 购买周期 参数 描述 购买时长 选择所需的时长，可选择包周期或者按需计费，系统会自动计算对应的配置费用，包周期时间越长，折扣越大。 购买数量 关系数据库MySQL版服务支持批量创建只读实例，只读总数上限为5个。 4.在规格确认页面，进行信息确认。 如果需要重新选择，单击上一步。 信息确认无误，单击提交，下发新增只读实例请求。 5.只读实例创建成功后，您可以对其进行查看和管理。 您可以通过任务列表查看详细进度和结果。 说明 只读实例可单独进行退订，主实例退订时只读实例也会随之退订，如有特殊原因导致主实例退订后只读实例未退订，只读实例将显示异常，请于控制台页面对只读实例进行退订，以免只读实例产生多余费用。

在CTS事件列表查看审计事件 1. 登录控制台，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 2. 单击左侧导航栏的“事件列表”，进入事件列表信息页面。 3. 在页面右上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 4. 事件列表支持通过高级搜索来查询对应的操作事件，您可以在筛选器组合一个或多个筛选条件。 表事件筛选参数说明 参数名称 说明 事件名称 操作事件的名称。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 各个云服务支持审计的操作事件的名称请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 示例：updateAlarm 云服务 云服务的名称缩写。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 示例：IAM 资源名称 操作事件涉及的云资源名称。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。 示例：ecsname 资源ID 操作事件涉及的云资源ID。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 当该资源类型无资源ID或资源创建失败时，该字段为空。 示例：{虚拟机ID} 事件ID 操作事件日志上报到CTS后，查看事件中的traceid参数值。 输入的值需全字符匹配，不支持模糊匹配模式。 示例：01d18a1b56ee11f0ac811e229 资源类型 操作事件涉及的资源类型。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 各个云服务的资源类型请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 示例：user 操作用户 触发事件的操作用户。 下拉选项中选择一个或多个操作用户。 查看事件中的tracetype的值为“SystemAction”时，表示本次操作由服务内部触发，该条事件对应的操作用户可能为空。 事件级别 下拉选项包含“normal”、“warning”、“incident”，只可选择其中一项。 normal代表操作成功。 warning代表操作失败。 incident代表比操作失败更严重的情况，如引起其他故障等。 5. 在事件列表页面，您还可以导出操作记录文件、刷新列表、设置列表展示信息等。 在搜索框中输入任意关键字，按下Enter键，可以在事件列表搜索符合条件的数据。 单击“导出”按钮，云审计服务会将查询结果以.xlsx格式的表格文件导出，该.xlsx文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击按钮，可以获取到事件操作记录的最新信息。

本文帮助您了解对象存储跨域访问设置的相关概念与配置流程。 跨域访问简介 跨域资源共享（CrossOrigin Resource Sharing，CORS）是HTML5提供的标准跨域解决方案。跨域访问，也叫JavaScript跨域访问，是浏览器出于安全考虑而设置的一个限制即同源策略（Same Origin Policy，SOP）。当来自于A网站的页面中的JavaScript代码希望访问B网站的时候，浏览器会拒绝该访问，因为A、B两个网站是属于不同的域，不同域之间的网站脚本和内容是无法进行交互的。 典型应用场景 只有在浏览器访问的情况下才会涉及CORS的使用，在使用客户端访问的时候无需担心出现跨域问题。ZOS提供HTML5协议中的跨域资源共享设置，帮助您实现跨域访问。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击，选择地域，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，单击Bucket名称进入“概览”页面。 5. 选择“权限管理”页面，找到“跨域设置”，点击“设置”按钮。 6. 在跨域设置页面点击“创建策略”。 7. 根据跨域规则参数配置说明完成跨域规则创建，并点击“确定”，完成创建。 跨域规则创建参数说明 参数 说明 :: 来源 指定允许的跨域请求的来源。配置规则如下：允许多条匹配规则，多条规则需换行填写。每行的域名或IP必须以 https:// 开头且不能以/结尾，支持通配符星号（ ），每行允许使用最多一个星号（ ），不支持输入空格和中文字符。若域名使用的不是默认端口，还需要携带端口号。例如： 域名配置示例如下： 匹配指定域名时，填写完整域名。例如： 匹配泛二级域名，可使用通配符星号（ ）。例如： .ctyun.cn。 匹配所有域名，可直接填写通配符星号（ ）。 允许Methods 指定允许的跨域请求方法。 允许Headers 指定允许跨域请求的响应头。配置规则如下：允许多条匹配规则，多条规则需换行填写。每条匹配规则最多使用一个星号（ ）通配符，不支持输入空格。建议没有特殊需求的情况下设置为星号（ ）。 暴露Headers 指定允许用户从应用程序中访问的响应头。例如一个Javascript的XMLHttpRequest对象。允许多条匹配规则，多条规则需换行填写。不支持使用星号（ ）通配符和输入空格。 暴露Headers配置值： ETag ContentType ContentLength CacheControl ContentDisposition ContentEncoding ContentLanguage Expires 缓存时间 指定浏览器对特定资源的预取（OPTIONS）请求返回结果的缓存时间。 说明 通过桶“概览”页面基础设置中的“跨域访问”，也可跳转至“权限管理”页面。

本文主要介绍独享型负载均衡规格。 天翼云部分二类节点正在升级，以支持独享型负载均衡服务，敬请用户随时关注。 独享型负载均衡支持按规格购买，请根据自身业务规划选择实例规格。实际业务超过规格限定时，会限制新建请求的建立、以及丢包等问题。 并发最大连接数Max Connection：并发最大连接数是指在四层监听或者七层监听时，一个负载均衡实例能够承载的最大连接数量。当实例上的连接数超过规格定义的最大连接数时，为了保障已有的连接业务性能，新建连接请求将被丢弃。 每秒新建连接数Connection Per Second (CPS)：每秒新建连接数是指在四层监听或者七层监听时，新建连接的速率。当新建连接的速率超过规格定义的每秒新建连接数时，为了保障已有的连接业务性能，新建连接请求将被丢弃。 说明 如果实例同时使用HTTP与HTTPS监听器业务，则最终的新建连接数按比例进行叠加，计算公式为新建连接数 HTTP新建连接数 + HTTPS新建连接数× 规格中HTTP与HTTPS的比例 举例，实例的规格提供2000个每秒的HTTP新建连接数或者200个每秒的HTTPS新建连接数，则HTTP与HTTPS的比例为10：1，则新建连接数 HTTP新建连接数+ HTTPS新建连接数× 10。 每秒查询数Query Per Second (QPS)：每秒查询数是指仅在七层监听时，每秒可以处理的HTTP/HTTPS的查询请求的数量。当请求速率超过规格所定义的每秒查询数时，为了保障已有的连接业务性能，新建连接请求将被丢弃。 每秒带宽（Mbps）：每秒带宽可以在四层监听或者七层监听时保障带宽的性能。 独享型负载均衡的类型选定后将无法修改，请您合理评估选择。 网络型（TCP/UDP）独享型负载均衡实例规格性能表 规格类型 最大连接数 新建连接数(CPS) 带宽（Mbps） 小型 I 500000 10000 50 小型 II 1000000 20000 100 中型 I 2000000 40000 200 中型 II 4000000 80000 400 大型 I 10000000 200000 1000 大型 II 20000000 400000 2000 应用型（HTTP/HTTPS）独享型负载均衡实例规格性能表 规格类型 最大连接数 新建连接数(CPS)(HTTP) 新建连接数(CPS)(HTTPS) 每秒查询数(QPS)(HTTP) 每秒查询数(QPS)(HTTPS) 带宽（Mbps） 小型 I 200000 2000 200 4000 2000 50 小型 II 400000 4000 400 8000 4000 100 中型 I 800000 8000 800 16000 8000 200 中型 II 2000000 20000 2000 40000 20000 400 大型 I 4000000 40000 4000 80000 40000 1000 大型 II 8000000 80000 8000 160000 80000 2000 说明 如果一个负载均衡器下创建了多个监听器，则上述表格中的每秒查询数（QPS）是指该负载均衡器下的所有监听器的QPS之和不超过规格所定义的QPS值。 带宽规格指入流量加出流量的总和不超过表中的数值。带宽规格是ELB所能提供的带宽保障范围，保障范围内资源可用；超出保障范围的，无法保障带宽性能。

关系数据库MySQL版支持为正常运行的主实例创建手动备份。您可以选择手动做全量备份和部分的库表备份，然后通过手动备份恢复数据，从而保证数据可靠性。本文介绍关系数据库 MySQL版产品如何创建手动备份。 前提条件 实例状态为运行中。 约束限制 实例中表的数量会影响备份速度，表数量建议上限为50万。 备份效率与实例数据量大小成正比。 全量备份时，会连接备份所属的实例，校验该实例的状态。如果校验存在以下两种情况，则校验不通过，会自动进行校验重试。如果重试结束后，仍然无法满足，则备份失败： 备份所属的实例正在执行DDL操作。 从备份所属的实例获取备份锁失败。 影响 单机实例在备份会影响数据库性能，建议您配置在业务量较小时执行备份或升级实例为主备实例。 单机实例中的慢SQL会阻碍备份操作导致备份失败，若您有较大SQL需要执行，建议您避免在此时间进行实例备份或升级实例为主备实例。 备份空间不足会导致备份失败，此时建议您进行备份空间扩容。 操作步骤 注意 手动备份的文件，也会按照自动清理策略被清理，如有重要数据，请增多保留天数或及时做好数据保存，以免被系统清理。 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入基本信息页面。 4. 单击备份恢复 ，进入基础备份列表页签。 5. 单击创建备份。 6. 在创建备份 面板中，设置备份参数，然后单击提交。 备份类型 ：支持选择物理备份或者逻辑备份，如果选择逻辑备份，则需要配置相关的参数，更为详细的逻辑备份内容可参见逻辑备份。（仅部分资源池支持逻辑备份，具体以页面实际展示为准。） 备份方式 ：支持选择全量备份或者库表备份，如果选择库表备份，则需要选择需要备份的库表，更为详细的库表备份内容可参见库表备份。 备份名称：名称长度在4位到64位之间，不区分大小写，可以包含中文、字母、数字、中划线或下划线，不能包含其他特殊字符。 描述 ：不能超过256位，且不能包含特殊字符 > ! 备份管理，进入基础备份列表页面，管理备份文件。 方式二： 1. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。 2. 单击实例名称，进入实例基本信息页面。 3. 单击备份恢复，进入基础备份列表页签，管理备份文件。

本节介绍如何接入数据并查看日志存储位置。 操作场景 态势感知（专业版）支持一键接入多种云产品的日志数据。接入后，可以统一管理日志信息，以及检索并分析所有收集到的日志。 说明 建议将态势感知（专业版）管理的资产以及资产的告警、基线检查结果、漏洞数据、日志数据接入同一个工作空间，便于统一运营，进行安全分析关联。 约束与限制 日志接入操作成功后，日志数据订阅预计在十分钟内生效。 态势感知（专业版）支持一键接入CFW日志数据，若接入的是新购买的CFW的日志数据，由于日志上报存在一定的延迟，如果您当天在态势感知（专业版）执行了接入CFW日志操作，则将会隔天才能在态势感知（专业版）中查看到上报的CFW日志数据。 接入云服务日志 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 云服务接入”，进入云服务日志接入页面。 5. 在云服务日志接入页面，配置日志接入。请根据当前region已开通云服务按需进行接入。 6. 一键接入多个云服务产品的日志 ，在云服务日志接入页面，单击“一键接入”按钮，右侧弹出“一键接入”配置页面。在一键接入配置页面，下拉选择数据源区域，下拉勾选需要接入的云服务日志。配置完成后，单击右下角“确定”，完成设置。 7. 云服务日志接入也支持设置单个云产品的日志接入。在云服务接入管理页面，单击云服务产品所在行操作列的“设置”，右侧弹出日志接入设置配置页面。 8. 在设置页面，根据需要配置接入开关。 参数名称 参数说明 日志类型 日志的类型。 日志接入 设置日志接入开关。按钮打开表示日志接入态势感知（专业版）。 自动转告警 在“自动转告警”列，单击，开启后，当接入的云服务日志满足告警触发条件时，自动转为告警，并且在“告警管理”页面中进行展示。 生命周期 日志接入后的存储时长。 日志状态 日志接入的状态。 已接入：日志已接入且执行成功。 未接入：日志未接入。 接入失败：日志接入且执行失败。 最近活跃时间 最近日志接入时间，即活跃时间。 操作 单击“编辑”，可设置该日志类型的生命周期，单位天。生命周期指的是日志接入后的存储时长。 9. 云服务日志接入配置完成后，在“日志审计> 云服务接入”页面可查看云服务产品的日志接入状态。 说明 操作成功后，日志数据订阅预计在十分钟内生效。接入完成后，将创建默认数据空间和管道。

环境要求 实时同步对环境有一些特定的要求，请确保环境配置满足以下条件。该类型的要求系统会自动检查，并给出处理建议。 表 环境要求 类型名称 使用限制 （DRS自动检查） 数据库权限设置 源数据库帐户需要具备如下权限： SELECT、SHOW VIEW、EVENT、LOCK TABLES、REPLICATION SLAVE、REPLICATION CLIENT。 提供的目标数据库帐号必须拥有如下权限： SELECT、CREATE、DROP、DELETE、INSERT、UPDATE。 RDS for MySQL实例的root帐户默认已具备上述权限。 同步对象约束 支持表、主键索引、唯一索引、普通索引、存储过程、视图、函数的同步，不支持事件、触发器的同步。 库映射时源库中不允许存在存储过程、视图、函数对象。 映射的库中不允许存在除表外的对象且在同步过程中不允许创建这些对象，否则会导致同步任务失败。 不支持非MyISAM和非InnoDB表的同步。 不支持已选择的表与未选择的表之间互相rename的DDL操作，否则会导致同步任务失败。 源数据库要求 MySQL源数据库的binlog日志必须打开，且binlog日志格式必须为Row格式。 在磁盘空间允许的情况下，建议源数据库binlog保存时间越长越好，建议为3天。 源数据库expirelogsdays参数值为0，可能会导致同步失败。 增量同步时，必须设置MySQL源数据库的serverid。如果源数据库版本小于或等于MySQL5.6，serverid的取值范围在2－4294967296之间；如果源数据库版本大于或等于MySQL5.7，serverid的取值范围在1－4294967296之间。 源数据库中的库名不能包含：' /"以及非ASCII字符。 源数据库中的表名、视图名不能包含：'<>/"以及非ASCII字符。 源数据库中的库名和库映射的名称不允许为iblogfile。 不支持非MyISAM和非InnoDB的表同步到RDS。 数据库映射时，源库中存在视图、存储过程等对象，可能会导致实时同步失败。 目标数据库要求 目标数据库实例的运行状态必须正常，若数据库实例是主备实例，复制状态也必须正常。 目标数据库实例必须有足够的磁盘空间。 除了MySQL系统数据库之外，当目标库和源库同名时，目标数据库中若存在与源库同名的表，则表结构必须与源库保持一致。 目标数据库的字符集必须与源数据库一致。 目标数据库的时区设置必须与源数据库一致。 DRS同步时会有大量数据写入目标库，目标库maxallowedpacket 参数过小会导致无法写入，建议将目标库maxallowedpacket参数值设置为大于100MB。 同步的对象中包含引擎为MyISAM的表，则目标数据库sqlmode不能包含noenginesubstitution参数，否则可能会导致同步失败。 映射到目标库中的库名不能包含：“.”、 “ ”、“”、和“'”。

本文主要介绍如何通过统一使用utf8mb4字符集来实现在MySQL实例中存储emoji表情的最佳实践。 我们将从客户端、会话连接和MySQL实例等多个方面介绍如何配置和修改字符集以支持utf8mb4。 客户端和会话连接的字符集配置 为了确保能够正确存储和显示emoji表情，我们首先需要在客户端和会话连接中统一使用utf8mb4字符集。 客户端配置：保证客户端输出的字符串的字符集为utf8mb4。这可以通过设置客户端的字符集编码来实现，确保输出的数据是以utf8mb4编码发送到MySQL实例。 会话连接配置：确保到RDS实例的会话连接支持utf8mb4字符集。以JDBC连接为例，需要使用MySQL Connector/J 5.1.13及以上的版本，并且在连接串中不配置"characterEncoding"选项。 MySQL实例的字符集配置 为了完全支持utf8mb4字符集并存储emoji表情，我们需要在MySQL实例中进行相应的配置。 修改控制台参数： 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 关系数据库MySQL版 ，进入关系数据库MySQL产品页面。然后单击管理控制台 ，进入TeleDB数据库概览页面。 2. 在左侧导航栏，选择MySQL > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例基本信息页面。 4. 单击参数设置，进入参数列表页面。 5. 找到charactersetserver 参数并将其值修改为utf8mb4。 6. 单击保存。 设置数据库字符集：在创建数据库时，显式指定字符集为utf8mb4，并为数据库授权相关帐号访问权限。 配置表的字符集：在创建或修改表时，显式指定表的字符集为utf8mb4，以确保表中的数据能够正确存储和显示emoji表情。 如果创建或修改列时没有显式指定字符集和比较规则，则该列将默认使用所属表的字符集和比较规则。同样地，如果创建或修改表时没有显式指定字符集和比较规则，则该表将默认使用所属数据库的字符集和比较规则。如果创建或修改数据库时没有显式指定字符集和比较规则，则该数据库将默认使用服务器的字符集和比较规则。 通过上述设置，能够有效降低乱码风险，并实现在MySQL实例中存储和展示复杂汉字和emoji表情的需求。 综上所述，我们建议在MySQL实例时选择utf8mb4字符集，并确保客户端、会话连接和MySQL实例的字符集配置统一。通过统一使用utf8mb4字符集，我们可以提供更好的用户体验，并避免由于字符集不匹配而导致的乱码问题。 注意 修改字符集和比较规则可能会增加数据存储空间，但不会影响现有数据的质量和兼容性。

操作场景 本章介绍了如何添加运行CCE集群的节点池以及对节点池执行操作。要了解节点池的工作原理，请参阅节点池概述。 操作步骤 将节点池添加到现有集群。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 单击右上角的“创建节点池”。 步骤 3 在创建节点池页面中，参照如下说明设置节点池选型参数。 计费模式： 节点池仅支持“按需计费”的计费模式，该模式将根据实际使用的资源按小时计费。 节点池创建后，自建的节点池里的资源无法转包周期，默认节点池里的资源可以转包周期。您可以把自建节点池里的资源迁移到默认的节点池里后再进行转包周期的操作。如何迁移请参见迁移节点。 当前区域：指节点实例所在的物理位置。 请就近选择靠近您业务的区域，可减少网络时延，提高访问速度；不同区域的云服务产品之间内网互不相通。 节点池名称：新建节点池的名称，默认按“集群名nodepool随机数”生成名称，可自定义。 节点类型：目前仅支持虚拟机节点。 节点购买数量：该节点池下购买的节点数量，此处设置的节点数不能超过集群管理的最大节点规模，请根据业务需求和界面提示选择，如需更多配额，请单击提交工单申请扩大配额。 弹性扩缩容： − 默认不开启。 − 单击 开启后，节点池将根据集群负载情况自动创建或删除节点池内的节点，参数设置如下： 节点数上限和节点数下限：您可设置节点数的上限和下限，保证节点数在合理的范围内伸缩。 优先级：请根据业务需要设置相应数值，该数值表示节点池之间进行弹性扩缩容的优先级，数值越大优先级越高，如设置为4的节点池比设置为1的节点池优先启动弹性伸缩。若多个节点池的值设置相同，如都设置为2，表示这几个节点池之间不分优先级，系统将按最小资源浪费原则进行伸缩。 弹性缩容冷却时间：请设置时间，单位为分钟或小时。弹性缩容冷却时间是指当前节点池扩容出的节点多长时间不能被缩容。 说明： 节点池中的节点建议不要放置重要数据，以防止节点被弹性缩容，数据无法恢复。 为保证功能的正常使用，节点池开启弹性扩缩容功能后，请务必安装autoscaler。 可用区：可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 请根据业务需要进行选择。节点池创建之后不支持修改可用区属性，请谨慎选择。 如果您需要提高工作负载的高可靠性，建议您选择“随机可用区”，将节点随机均匀分布在不同可用区中。 节点规格：请根据业务需求选择相应的节点规格。 须知： 为确保节点稳定性，系统会自动预留部分资源，用于运行必须的系统组件，详细请参见节点预留资源计算公式 。 操作系统：请直接选择节点对应的操作系统。 须知：重装操作系统或修改操作系统配置将导致节点不可用，请务必谨慎操作。 虚拟私有云：跟随集群，不可变更。 所在子网：通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 可选择该集群虚拟私有云下的任意子网，集群节点支持跨子网。 请确保子网下的DNS服务器可以解析对象存储服务域名，否则无法创建节点。 系统盘：设置工作节点的系统盘空间。您可以设置系统盘的规格为40GB1024GB之间的数值，缺省值为40GB。 在默认情况下，系统盘可提供高IO、超高IO两种基本的云硬盘类型。 数据盘：设置工作节点的数据盘空间。您可以设置数据盘的规格为100GB32768GB之间的数值，缺省值为100GB。数据盘可提供的云硬盘类型与系统盘一致，此处不再赘述，详情参见系统盘中的云硬盘类型介绍。 须知： 若数据盘卸载或损坏，会导致docker服务异常，最终导致节点不可用。建议不要删除该数据盘。 登录方式：支持密码和密钥对。 −选择“密码”：用户名默认为“root”，请输入登录节点的密码，并确认密码。 登录节点时需要使用该密码，请妥善管理密码，系统无法获取您设置的密码内容。 −选择“密钥对”：在选项框中选择用于登录本节点的密钥对，并单击勾选确认信息。 密钥对用于远程登录节点时的身份认证。若没有密钥对，可单击选项框右侧的“创建密钥对”来新建，创建密钥对操作步骤请参见。 步骤 4 云服务器高级设置：（可选），单击 展开后可对节点进行如下高级功能配置： 安装前执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装前执行，可能导致Kubernetes软件无法正常安装，需谨慎使用。常用于格式化数据盘等场景。 安装后执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装后执行，不影响Kubernetes软件安装。常用于修改Docker配置参数等场景。 步骤 5 Kubernetes高级设置：（可选），单击 展开后可对集群进行如下高级功能配置： 最大实例数：节点最大允许创建的实例数(Pod)，该数量包含系统默认实例，取值范围为16~128。 该设置的目的为防止节点因管理过多实例而负载过重，请根据您的业务需要进行设置。 Taints：默认为空。支持给该节点池扩容出来的节点加Taints来设置反亲和性，每个节点池最多配置10条Taints，每条Taints包含以下3个参数： −Key：必须以字母或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符；另外可以使用DNS子域作为前缀。 −Value：必须以字符或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符。 −Effect：只可选NoSchedule，PreferNoSchedule或NoExecute。 须知： Taints配置时需要配合Pod的toleration使用，否则可能导致扩容失败或者Pod无法调度到扩容节点。 节点池创建后可单击列表项的“编辑”修改配置，修改后将同步到节点池下的已有节点。 K8S标签：K8S标签是附加到Kubernetes 对象（比如Pods）上的键值对，旨在用于指定对用户有意义且相关的对象的标识属性，但不直接对核心系统有语义含义。 详细请参见Labels and Selectors。 单容器可用数据空间：该参数用于设置一个容器可用的数据空间大小，设置范围为10G到80G。如果设置的参数超过数据盘中Docker可占用的实际数据空间（由数据盘设置项中的资源分配自定义参数指定，默认为数据盘大小的90%），将以Docker的实际空间大小为主。该参数仅在v1.13.10r0及以上版本的集群中显示。 步骤 6 （可选）您可以单击左侧的 按钮添加多个节点池，在按钮下方可以查看您可用的节点池配额数量。 步骤 7 完成配置后，单击“下一步：配置确认”，确认所设置的服务选型参数、规格和费用等信息。 步骤 8 确认规格和费用后，单击“提交”，节点池开始创建。 节点池创建预计需要610分钟，您可以单击“返回节点池管理”进行其他操作或单击“查看节点池事件列表”后查看节点池详情。待节点池状态为“正常”，表示节点池创建成功。 查看创建的节点池 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在节点池管理页面中，单击右上角的集群选择框，选择集群后可显示当前集群下所有的节点池，并可查看每个节点池的节点类型、节点规格、弹性扩缩容状态和操作系统等。 须知： 节点池功能上线后，会在每个集群中创建一个默认节点池“DefaultPool”，该节点池不能被编辑、删除或迁移，集群中原有的节点及节点池外创建的节点均会显示在默认节点池“DefaultPool”中。 单击默认节点池“DefaultPool”中“节点”数据框，可查看DefaultPool中的节点列表。 步骤 3 单击右上角的Autoscaler状态选择框，可筛选全部、已启用、未启用Autoscaler功能的节点池。 步骤 4 在节点池列表中，单击节点池的名称，在节点池详情页面，可查看节点池的基本信息、ECS高级设置、Kubernetes高级设置、节点列表等信息。

梳理项 说明 网站和业务信息 网站/应用业务每天的流量峰值情况，包括Mbps、QPS 判断风险时间点，并且可作为WAF实例的业务带宽和业务QPS规格的选择依据。 说明 如果您选择的QPS规格不足以支撑网站/应用业务每天的流量峰值，对超出当前WAF版本支持峰值的QPS，WAF将不再防护网站，QPS将直接透传到源站，影响网站/应用业务的防护。 业务的主要用户群体（例如，访问用户的主要来源地区） 判断非法攻击来源，后续可使用地理位置访问控制功能屏蔽非法来源地区。 业务是否为C/S架构 如果是C/S架构，进一步明确是否有App客户端、Windows客户端、Linux客户端、代码回调或其他环境的客户端。 源站部署的具体位置 判断购买哪种实例region。 源站服务器的操作系统（Linux、Windows）和所使用的Web服务中间件（Apache、Nginx、IIS等） 判断源站是否存在访问控制策略，避免源站误拦截WAF回源IP转发的流量。 域名使用协议 判断所使用的通信协议WAF是否支持。 说明 网站的“对外协议”、“源站协议” 必须要根据防护网站的实际情况配置正确，WAF才会正常防护您的网站。 对外协议，即客户端（例如浏览器）请求访问网站的协议类型。可选择“HTTP”、“HTTPS”两种协议类型。 源站协议，即WAF转发客户端（例如浏览器）请求的协议类型。可选择“HTTP”、“HTTPS”两种协议类型。 业务端口 判断需要防护的业务端口是否在WAF支持的端口范围内。 标准端口： 80：HTTP对外协议默认使用端口 443：HTTPS对外协议默认使用端口 非标准端口 80/443以外的端口 业务是否使用TLS 1.0或弱加密套件 判断业务使用的加密套件是否支持。 业务在接入WAF前，是否已接入DDoS高防、CDN等服务。 接入WAF时，判断如何选择“是否已使用代理”，以及正确进行域名解析。 （针对HTTPS业务）客户端是否支持SNI标准 对于支持HTTPS协议的域名，接入WAF后，客户端和服务端都需要支持SNI标准。 业务交互过程 了解业务交互过程、业务处理逻辑，便于后续配置针对性防护策略。 活跃用户数量 便于后续在处理紧急攻击事件时，判断事件严重程度，以采取风险较低的应急处理措施。 业务及攻击情况 业务类型及业务特征（例如，游戏、棋牌、网站、App等业务） 便于在后续攻击防护过程中分析攻击特征。 单用户、单IP的入方向流量范围和连接情况 帮助后续判断是否可针对单个IP制定限速策略。 用户群体属性 例如，个人用户、网吧用户、或通过代理访问的用户。 业务是否遭受过大流量攻击、攻击类型和最大的攻击流量峰值 判断是否需要增加DDoS防护服务，并根据攻击流量峰值判断需要的DDoS防护规格。 业务是否遭受过CC攻击和最大的CC攻击峰值QPS 通过分析历史攻击特征，配置预防性策略。 业务是否已完成压力测试 评估源站服务器的请求处理性能，帮助后续判断是否因遭受攻击导致业务发生异常。

此章节为您介绍如何选购密码服务的相关业务。 若您需要购买密码服务的相关业务，可参考本章节进行选购。 说明 您在控制台购买密码服务业务前，请先提交工单申请开通购买白名单。 操作步骤 1. 登录密码服务管理控制台。 2. 单击右上角的“订购密评专区”，跳转至订购页面。 3. 选择您业务所需要的部署地域和可用区。 4. 选择需要购买的产品和规格。 配置项 配置项说明 密码产品 综合安全网关服务 每个服务支持1000并发，可叠加，最多支持购买10个，建议搭配EIP使用。 密码产品 密钥管理服务 提供安全、可靠的密钥管理服务，密钥管理购买后保存的密钥请在密钥管理服务中查询。 密码产品 数据加密网关服务 提供重要数据的加密和解密服务，满足密评中对重要数据传输和存储的机密性要求。 密码产品 协同签名服务 每个服务支持1000并发，可叠加，最多支持购买10个。 密码产品 数字证书认证系统 支持1万证书签发，5个CA，兼容RSA、ECC、SM2算法。 国密套件 国密浏览器 选择需购买的国密浏览器个数，兼容主流国产操作系统，满足国密安全传输要求。 国密套件 智能密码钥匙 选择需购买的密钥钥匙个数。 国密套件 协同签名客户端 支持IOS、Android、Windows、Linux等操作系统，每个客户端占1个配额，最多支持购买10000个。 国密套件 证书管理服务 提供权威证书管理服务（证书有效期至少为一年，购买时长小于一年会默认为一年时长）。 国密证书、国际证书购买后会保存至证书管理服务控制台。 密评服务 密评咨询服务 为应用设计密码应用方案，协助密评机构开展密评，单个应用配置1套。 密评服务 密评测评服务 支持1个应用密码应用安全性评估。 密评服务 密码改造服务 项目特殊需求定制服务，下单前请提前和产品经理沟通并评估工作量，根据工作量确定下单数量。 5. 购买密码产品，还需要配置企业项目、网络信息。 配置项 配置项说明 企业项目 选择此次购买的密评服务所属的企业项目，方便您进行管理。 虚拟私有云 选择密码产品实例所要配置的虚拟私有云。 注意 成功创建后，VPC不可更换，请谨慎选择。 安全组 选择密码产品实例所在的安全组。 子网 选择密码产品实例所属的子网。 6. 购买密码产品，还需要配置密码产品管理员账号初始账密。 配置项 配置项说明 用户名 设置购买的密码产品实例管理员初始账号。 密码 设置购买的密码产品实例管理员初始密码。 确认密码 二次确认购买的密码产品实例管理员初始密码。 7. 选择购买密码产品、证书管理服务的时长。 支持开启“到期自动续费”。开启自动续费后，当服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 8. 配置完成后，勾选“我已阅读并同意《天翼云密码服务服务协议》《隐私政策声明》”后，单击“提交订单”。

本文帮助您了解对象存储资源包管理的操作步骤。 操作场景 开通ZOS之后，您还可以通过ZOS控制台订购资源包。使用时产生的用量会优先从资源包中进行抵扣，若用量超出已订购资源包的规格，则超出部分转为按量计费。具体计费请参考资源包计费。 约束与限制 只有开通了ZOS服务后才能购买资源包。 各资源池需要单独订购资源包，不可通用，资源包订购完立即生效。 当月使用量超出已购资源包的额度，计费模式自动转为按需计费，新购资源包不能抵扣已产生的资源用量。 资源包支持叠加订购、续订和退订，但不支持升级。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方点击，选择地域，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储控制台的桶列表页面，点击“资源包管理”。 5. 点击“订购资源包”，在弹出的页面选择需要订购的资源包类型、存储类型、规格、数量、购买时长等并勾选协议，点击“立即购买”。 资源包参数 说明 地域 地域表示ZOS的数据中心所在物理位置。地域一旦指定之后就不允许更改。资源包有地域属性，只能抵扣所选择地域产生的用量。 存储类型 标准存储：提供高可靠、高可用、高性能和低延迟的存储服务，适用于对数据访问速度要求较高且频繁访问（平均一月访问多次）的存储场景。 低频存储：提供高可靠、低成本的存储服务，适用于不频繁访问（平均一月访问一次）的存储场景，提供更低的存储成本，但在需要时也能快速实时访问数据的业务场景。 归档存储：提供高可靠、更低成本的存储服务，需要解冻后访问，适用于长期存储、极少访问（平均一年访问一次）的存储场景。 资源包类型及规格 单AZ存储容量包：该资源包用于抵扣该地域数据冗余策略为单AZ（数据存储在一个可用区）的存储容量，1GB起订。 多AZ存储容量包：该资源包用于抵扣该地域数据冗余策略为多AZ（数据存储在同一地域的多个可用区）的存储容量，1GB起订。 公网流出流量包：该资源包用于抵扣在使用对象存储时产生的公网流出流量，1GB起订。 请求次数包：该资源包用于抵扣在使用对象存储时发出的请求指令次数即调用API的次数，1万次起订。 数据取回流量包：该资源包用于抵扣访问低频或归档对象时产生的数据取回流量费用，1GB起订。（仅低频、归档存储类型支持） 购买时长 1个月≤购买时长≤3年。 购买数量 按需选择购买的资源包数量。 6. 列表展示订购成功的资源包，包含资源包类型、存储类型、规格、剩余量、生效时间、到期时间。若资源包快到期，可以点击“续订”选择续订时长；若资源包剩余量不足，可点击“订购资源包”进行叠加订购。

本文为您介绍演练管理的具体操作。 使用条件 仅当演练整体状态为执行中/终止中/已暂停/暂停中才能进入该演练的演练管理页面。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“容灾切换”“容灾演练”，进入容灾演练列表页。 5. 在列表上方下拉菜单中选择需要进行容灾演练的命名空间。 6. 点击列表操作列“演练管理”按钮，进入演练管理详情页。 7. 在基本信息部分，可查看演练名称、命名空间、关联预案、涉及容灾管理中心、演练方式、状态、预计耗时、超时时间、开始和结束时间、演练耗时等信息。 8. 在任务列表部分，可查看当前演练关联的任务列表及进行相关操作。列表上方可进行确认演练结果、暂停演练、恢复演练、终止演练操作。 9. 若用户需确认演练结果，可点击列表上方的确认演练结果，弹出确认演练结果弹窗，选择本次演练结果执行成功或失败，点击“确定”后，最近演练状态变为用户所选结果。 10. 若用户需暂停演练，可点击列表上方的暂停演练，弹出暂停演练弹窗，点击“确认”后，最近演练状态变为用户所选结果。当演练中存在执行中的任务，演练会在该任务执行完成后暂停，执行过程中演练任务的最近状态为“暂停中”，执行完毕后状态变更为“已暂停”。 11. 若用户需恢复演练，可点击列表上方的恢复演练，弹出恢复演练弹窗，点击“确认”后，最近演练状态变为执行中。演练恢复后，若演练为自动执行的场景，系统会自动执行待执行的任务，若演练为手动执行的场景，需用户手动执行待执行的任务。 12. 若用户需终止演练，可点击列表上方的终止演练，弹出终止演练弹窗，点击确认后，最近演练状态变为“已终止”。当演练中存在执行中的任务，演练会在该任务执行完成后终止，执行过程中演练任务的最近状态为“终止中”，执行完毕后状态变更为“已终止”。终止演练后无法重启本次演练。 13. 当整体演练状态为执行中，且任务组件类型为普通非人工任务时，用户可对执行失败的任务进行编辑/重新执行/确认状态操作，可点击任务的操作栏中相应按钮。 14. 当整体演练状态为执行中，任务组件类型为人工任务，且任务状态为执行中时，用户可对任务进行确认成功操作。 15. 当整体演练状态为执行中且任务状态为待执行时，用户可对任务进行执行操作。 16. 在预案流程视图部分，可以查看当前容灾演练关联的预案整体流程视图和状态。点击具体预案阶段可查看其下的任务视图。

本页介绍天翼云TeleDB数据库高效的并行计算能力。 TeleDB支持两级并行，从而实现高效的并行计算能力。两级并行分别为多节点之间的并行和节点内的并行。 多节点之间并行执行：分布式事务需要多节点一起完成。多个节点之间是并行的，例如：所有DDL语句，涉及元数据变更，需在所有CN、DN节点上执行。批量INSERT语句、不带分布键的SELECT、UPDATE、DELETE语句，需在所有DN节点上执行。 节点内基于数据页的并行计算：对于大表查询，为充分利用服务器多核处理能力，在节点内同时启动多个进程并行计算，协同完成一个任务。 说明 TeleDB支持设置参数，通过参数来显示表的大小。当表的数据量超过一定阈值时，会启用并行。当需要并行计算的时候，优化器会根据表大小得出并行度，启动多个进程并行执行。如果有更多的资源，执行速度可以根据并行度实现线性扩展。 实际使用中常见的是join关联，和aggregate数据汇聚（也就是group by），下面以hash join和aggreagte为例，介绍TeleDB的并行计算能力。 hash join 仍以TBLA关联TBLB表查询为例，两表大小相当时，优化器会优先选择hash join方式关联，流程如下： 1. 获取TBLB表所有数据。 2. TBLB表的每一行计算哈希值，构建一张哈希表。 3. 访问TBLA表每一行数据。 4. TBLA表每一行计算哈希值。 5. TBLA表每一行哈希值，匹配哈希表，得到匹配结果。 并行hash join 对于大表关联，优化器根据资源估算，可以启动多个进程，并行扫描数据，然后并行hash join，流程如下： 1. 多个进程并行访问TBLB表的一部分数据。 2. 每个进程各自构建一张哈希表。 3. 合并所有进程的哈希表，构建出一张共享哈希表。 4. 多个进程并行访问TBLA表的一部分数据。 5. 多个进程并行计算出TBLA表每一行的哈希值。 6. 多个进程并行匹配共享哈希表，得到匹配结果。 相比没有开启并行hash join的查询，并行hash join的性能提升，主要有并行扫描和并行hash join，而在构建哈希表和哈希表匹配部分的并行计算能力，可以让查询性能随着并行度的提升而提升。 aggregate汇聚计算 例如：TBLA表的简单sum、avg等汇聚计算。 左图为没有开启并行时的执行流程，只需要查询、汇聚两步。 并行aggregate汇聚计算 右图为开启并行后的执行流程，流程如下： 1. 多个进程并行访问TBLA表的一部分数据。 2. 多个进程并行计算aggregate，得到一个中间结果。 3. 所有中间结果进行一次数据重分布，将相同group by汇聚列的数据分布在同一个进程中。 4. 多个进程并行再做一次最终的aggregate，然后汇总，得到汇聚结果。

本文介绍访问CDN加速资源出现404状态码的排查过程。 问题现象 在使用天翼云CDN加速时，出现404报错页面。 问题原因 404状态码是HTTP协议中的一种状态码，表示客户端所请求的资源未找到。当服务器无法找到与请求的URL对应的资源时，会返回404状态码给客户端，Web浏览器中显示为“页面未找到”、“页面不存在”或类似的提示，具体如下图示： 导致该错误的原因可能有如下几种： 场景一：CDN未正确配置：如果CDN未正确配置，指向了错误的资源路径，源站会无法找到正确的内容，从而导致404页面的出现。 场景二：服务器资源不存在：如果网站管理员删除或重命名源服务器上的某个文件或目录，服务器对应旧URI路径的资源不存在，那么CDN将无法得到对应的文件，从而返回404状态码。 场景三：拼写错误或客户端URL生成规则错误：如果在URL中存在拼写错误、文件路径错误或客户端URL生成规则有误等问题，将无法在服务器找到对应的资源，从而返回404状态码。 解决方案 如果您遇到CDN出现404页面的情况，根据不同场景，可以尝试以下解决方法： 场景一：检查CDN配置是否正确：CDN配置的回源域名/回源IP、回源HOST、源站端口、回源协议等配置是否正确。 1. 回源域名/回源IP错误：检查回源域名/回源IP配置是否为目标源服务器的域名或IP、拼写是否正确。 2. 回源HOST配置错误：回源HOST用于指定CDN节点回源时，请求URI具体的资源站点位置。如果回源HOST配置错误，源站无法根据HOST定位到URI资源的站点位置，源站也会响应404。回源域名/回源IP、回源HOST的区分如下： 回源域名/回源IP：指您的源站服务器，即存储和提供网站内容的主要服务器，该地址决定了CDN回源时建联的具体IP地址。 回源HOST：指CDN回源请求头中携带的HOST字段值，决定了回源请求访问到源IP地址上的具体站点位置。若未指定回源HOST，默认取值当前加速域名。 3. 源站端口/回源协议配置错误：该问题通常存在于源站端口非默认80/443端口，或http、https仅单一协议中存在资源。例如： 源站http服务端口为81，则需要修改回源配置，配置【回源端口】为http 81。 源站https服务端口为82，则需要修改回源配置，配置【回源端口】为https 82。 源站仅单一协议存在资源（http默认80端口，https默认443端口），则根据实际源站情况，修改回源协议为HTTP或HTTPS。

本节介绍了RDS for MySQL 5.6版本升级到5.7的操作场景、前提条件、约束限制、操作步骤等相关内容。 操作场景 支持通过以下两种方式将RDS for MySQL 5.6版本升级到5.7： 通过RDS界面升级大版本：如需该操作请提交工单进行权限申请。 通过DRS升级大版本：通过DRS迁移功能将RDS for MySQL低版本实例迁移到高版本。 前提条件 通过RDS界面升级大版本功能目前支持西宁、海口、太原、南昌、郑州、乌鲁木齐、内蒙3、兰州、福州、北京2、长沙2、广州4、苏州、杭州、成都3、芜湖、上海4、深圳、武汉2、中卫、重庆、石家庄、青岛、贵州、西安2、华北。 如果用户创建DRS任务使用的是子账号，需要完成DRS账户委托，否则会导致升级失败。具体操作如下。 当用户创建DRS任务使用的是子账号，执行定时启动任务、全量完成自动结束、自动续传失败任务、定时对比任务等自动功能时，可能会访问全局服务或是Region级别服务，需要使用“账户委托”，否则会导致执行失败。 数据复制服务支持在创建任务的时候，自动将用户账户委托给数据复制服务的管理租户，即opsvcrds，便于在执行定期任务的时候，具有对任务实行自动化管理的权限。 解决方案： 方法一：使用主账号重新创建一次任务，主账号默认有Security Administrator权限，可在创建任务后将委托创建出来。 方法二：使用主账号在子账号所在的用户组添加Security Administrator权限后，重新创建任务。 方法三：手动添加“账户委托”，添加步骤如下： a. 使用主账号登录天翼云，在右上角单击“控制台”。 b. 在控制台页面管理与部署页面，选择“统一身份认证服务”。 c. 在统一身份认证页面，单击左侧导航窗格中“委托”，进入“委托”页面。 d. 在“委托”页面，单击右上方的“创建委托”进行委托创建。 e. 填写委托名称为“DRSAGENTCY” ，委托类型为 “普通账号”时， 委托的账号为 “opsvcrds”；持续时间为“永久”，完成后单击“完成”。 图 创建委托 f. 在“选择策略”页面，选择DRSAGENTCY的授权策略，委托权限需配置全局的 Tenant Administrator，完成后单击右下角的“下一步”。 图 选择策略 g. 在“设置最小授权范围”页面，先选择全局服务资源授权，点击右下角的“确定”后，在授权记录页面再点击“授权”，基于指定区域设置最小授权范围，完成后单击右下角的“确定”。 图 全局服务资源授权 图 指定区域项目授权 h. 授权完成后，单击委托名称，在“授权记录”中可看到全局服务和指定区域两条授权记录。 图 授权记录 i. 权限生效时间提醒，您选中的OBS权限由于系统设计的原因，授权后需等待1530分钟才可生效，权限生效后重新创建即可。

本文介绍如何针对文件系统创建告警规则。 目录 概述 操作步骤 方式一：通过云监控服务控制台创建告警规则 方式二：通过OpenAPI创建告警规则 相关文档 概述 通过使用云监控的告警功能，用户可以对文件系统的核心监控指标设置告警规则，当监控指标触发用户设置的告警条件时，支持以邮箱、短信等方式通知用户，让用户在第一时间得知云服务发生异常，迅速处理故障，避免因资源问题造成业务损失。更多信息，请参考使用告警功能云监控服务用户指南。 操作步骤 方式一：通过云监控服务控制台创建告警规则 1. 登录天翼云控制中心，单击管理控制台左上角的，选择地域。 2. 单击“管理与部署>云监控服务”，进入云监控控制台页面。 3. 单击“云服务监控”下拉菜单，选择"告警服务>告警规则"，进入告警规则控制台页面 4. 可通过以下三个入口，创建告警规则： 入口一：您可以选择在“云服务监控>弹性文件监控>OceanFS 标签页”页，在目标文件系统的“操作”栏下点击“创建告警规则”，选择需要告警服务的监控指标创建规则，包括监控阈值、通知频率、通知方式等。 入口二：在“云服务监控>弹性文件监控>OceanFS 标签页”页面，在目标文件系统的“操作”栏下点击“查看监控图表”，进入文件系统的监控详情页，目标监控项图表右上方，点击“+”创建此监控项的告警规则。 入口三：单击“云服务监控”下拉菜单，选择"告警服务>告警规则"，进入告警规则控制台页面，页面右上方点击“创建告警规则”。 5. 根据界面提示，配置告警规则的相关指标，配置参数如表所示： 参数 参数说明 选择类型 可选择从模板导入或自定义创建。 从模板导入：在下拉框中选择已有的模板，参考告警模板。 自定义创建：需进行配置参数选择。 监控指标 详细内容参见云监控概述。 策略 支持的聚合值：原始值、平均值、最大值、最小值支持的策略：≥，＞，≤，＜，＝值：填写设定的值数。 聚合周期 可以选择：1分钟、5分钟、20分钟、1小时、4小时、12小时和24小时，根据告警规则需求选择。 出现次数 选择达成策略值出现的次数。 发送通知 关闭，无需配置后续通知规则；开启，需配置下列相关参数，选择通知发送的模式。 选择告警联系组 在下拉框中选择告警联系组，如果没有，需添加告警联系人/组。 告警重复 指当告警第一次发生后，如果没有条件触发恢复告警，再重复发送几次告警。可以选择不重复、1次、2次、3次。如果选择重复告警3次，意味着会收到4次告警。 触发场景 出现告警，恢复正常。 通知周期 选择可接收到通知的时间，根据需求勾选星期一、星期二、星期三、星期四、星期五、星期六、星期日。例如未勾选星期一，则星期一不会收到通知信息。 通知时段 选择通知的具体时间段，如6：30：007：30：00。 通知方式 邮件、短信。 告警回调 请填写具体URL。 规则名称 填写告警规则名称。 企业项目 选择告警规则所属企业项目。 描述 填写告警规则的信息描述，限制100字以内。 6. 设置好对应参数后，点击“确定”，等待告警规则创建完成。 7. 告警规则设置完成后，当符合规则的告警产生时，系统会自动进行通知。

二、 简单型多层级组织 简单型多层级组织架构一般为三级，即存在一级组织总管平台，具备平台全部权限，同时二级组织所使用的资源数量需要由一级组织进行分配。二级组织下有多个项目，此时可以参照该模式进行多级资源管理，进行AI作业，组织层级及各层级角色与功能关系如下图： 一级组织：一级组织可以视为客户内部使用天翼云训推平台最高管理人员，将其账号赋予“admin”用户组(即管理员角色)，其将拥有平台全部权限(参见《准备工作章节》)。一级组织(管理员)进行资源层面的管控，可以给二级组织(二级管理员)分配专属集群资源，具体AI作业由二级组织及其下级组织执行。一级组织(管理员)给二级组织(二级管理员)分配专属集群资源的操作步骤详见《成员管理章节》。 二级组织：二级组织可以视为客户内部具体的业务部门，将二级组织负责人的账号赋予“二级管理员”用户组(即二级管理员角色)，其可拥有平台内仅次于管理员的权限(与管理员的区别主要在于资源使用权，二级组织负责人(二级管理员)需要由一级组织(管理员)为其分配资源后，才可使用被分配的资源)。二级组织负责人(二级管理员)基于一级组织(管理员)为其分配的资源，可以将这些资源用于组织内部的AI作业。二级组织内部存在多个项目，故为了便于将每个项目进行区分，训推平台引入了“工作空间”概念，即使用训推平台进行AI作业时，需要在工作空间内进行，在空间内，项目所有成员之间数据、资源共享，各个空间之间数据和资源是互相隔离的。故若二级组织下有多个项目，可以由二级组织负责人(二级管理员)为每个项目创建一个工作空间，并将项目负责人授予工作空间管理员权限，以及为每个工作空间创建专属的资源配额，供下级组织成员使用。工作空间的创建、工作空间成员的添加详见《工作空间章节》，资源配额的创建详见《资源配额章节》。 三级组织：三级组织即为具体使用训推平台进行AI作业的项目团队，每个项目具备单独的工作空间(由二级组织负责人(二级管理员)创建)，二级组织负责人(二级管理员)可以设置项目负责人为此工作空间的管理员，项目负责人(工作空间管理员)可以将项目其他成员添加进工作空间，并赋予其工作空间内的角色(如算法开发、运维角色)，若二级组织负责人(二级管理员)未给工作空间添加资源配额，则项目负责人(工作空间管理员)可以自己为工作空间添加资源配额(只有为工作空间添加资源配额后，工作空间成员在进行AI作业时才能正常使用资源)。工作空间成员可以基于工作空间关联的资源配额进行AI作业，如模型开发、模型训练，推理部署等。工作空间成员的添加以及为工作空间添加资源配额详见《工作空间章节》，资源配额的创建详见《资源配额章节》。

参数名称 参数说明 威胁告警 呈现最近7天内未处理威胁告警，可快速了解资产遭受的威胁告警类型和数量，呈现威胁告警的统计结果。 此处严重等级含义如下： 致命：即致命风险，表示您的资产中检测到了入侵事件，建议您立即查看告警事件的详情并及时进行处理。 高危：即高危风险，表示资产中检测到了可疑的异常事件，建议您立即查看告警事件的详情并及时进行处理。 其他：即其他类型（中危、低危、提示）风险，表示服务器中检测到了有风险的异常事件，建议您及时查看该告警事件的详情。 单击威胁告警模块，系统将列表实时呈现近7天内TOP5的威胁告警事件，可快速查看威胁告警详情，监控威胁告警状况。 列表呈现近7天TOP5的威胁告警事件的信息，包括威胁告警名称、告警等级、资产名称、告警发现时间。 若列表显示内容为空，表示近7天无威胁告警事件。 单击“查看更多”，可跳转到“检测结果”页面，查看更多的威胁告警信息，并可自定义过滤条件查询告警信息。 漏洞 展示您资产中TOP5漏洞类型，以及近24小时内还未修复的漏洞总数和不同漏洞风险等级对应的数量。 此处严重等级含义如下： 致命：即致命风险，表示您的资产中检测到了漏洞事件，建议您立即查看漏洞事件的详情并及时进行处理。 高危：即高危风险，表示资产中检测到了可疑的异常事件，建议您立即查看漏洞事件的详情并及时进行处理。 其他：即其他类型（中危、低危、提示）风险，表示服务器中检测到了有风险的异常事件，建议您及时查看该漏洞的详情。 单击漏洞模块中的“实时监控最新漏洞风险事件Top5”栏，系统将列表实时呈现近24小时内TOP5的漏洞事件，可快速查看漏洞详情。 列表呈现当日最新TOP5漏洞事件详情，包括漏洞名称、漏洞等级、资产名称、漏洞发现时间。 若列表显示内容为空，表示当日无漏洞事件。 单击“查看更多”，可跳转到“检查结果”页面，查看更多的漏洞信息，并可自定义过滤条件查询漏洞信息。 合规检查 展示您资产中近30天内存在的合规风险总数量和不同危险等级的合规检查风险对应的数量。 此处严重等级含义如下： 致命：即致命风险，表示您的资产中检测到了不合规的配置，建议您立即查看合规异常事件的详情并及时进行处理。 高危：即高危风险，表示资产中检测到了可疑的异常配置，建议您立即查看合规异常事件的详情并及时进行处理。 其他：即其他类型（中危、低危、提示）风险，表示服务器中检测到了有风险的异常配置，建议您及时查看该合规检查项目的详情。 单击合规检查异常模块，系统将列表实时呈现近30天内TOP5的合规检查异常事件，可快速查看合规检查详情。 列表呈现最近一次合规检查中TOP的合规异常事件详情，包括合规检查项目名称、等级、资产名称、发现时间。 若列表显示内容为空，表示近30天无合规异常事件。 单击“查看更多”，可跳转到“检查结果”页面，查看更多的合规异常信息，并可自定义过滤条件查询合规检查信息。

介绍Windows主机挂载的最佳实践。 实践背景 使用iSCSI协议的块设备也可以在windows操作系统下使用，下面将以win10为例连接天翼云媒体存储块设备，其他版本的操作系统类似。 操作步骤 1.打开控制面板>管理工具> iSCSI 发起程序。 2.修改iSCSI 发起程序中"配置"页下的发起程序名称为媒体存储控制台块设备创建时填写的CHAP iqn（本例以iqn.209901.com.client.cicdtestcy:230323为例）； 3.右键开始菜单，管理员模式下运行命令行程序，如下图。 并在命令行中输入如下命令(所有都需要)： iscsicli AddTarget iqn.201810.com.redhat.iscsigw:iscsiigw iqn.201810.com.redhat.iscsigw:iscsiigw 14.215.109.226 13260 说明 1. 以上示例中：iqn.201810.com.redhat.iscsigw:iscsiigw 是TargetName、TargetAlias，对应TargetIqn，14.215.109.226是网关地址，13260是数据端口。挂载时，您需要对应替换成需要挂载的块空间信息。 2. 你也可以可直接通过块空间详情复制对应的操作命令，具体界面如下图所示。如您通过控制台复制挂载命令进行操作，此步操作完成后，可直接跳转第5步查看新增的磁盘信息。 3. 更多块空间管理操作可参考： 结果如下： 并且在"属性"中的"门户组"页下可以看到关联的网络门户为14.215.109.226:13260。 4.连接到目标网关：点击【连接】按钮，然后点击【高级】，再勾选【启用CHAP登录】，并输入名称和目标机密，最后点击【确定】，就会进行连接，如下图所示。 这里具体的参数可参考：块空间管理，获取所需挂载块空间的CHAP用户与CHAP密钥。 5.实现连接后，可以在计算机管理>磁盘管理中找到新加入的网络盘，如下图，然后进行磁盘的初始化工作。初始化完成后，即可在资源管理器中看到新增的设备，可进行正常的文件系统操作。 6.断开连接：点击iSCSI发起程序目标下面的刷新，在已连接磁盘上右键点击"断开连接"，或者在命令行中输入命令：iscsicli SessionList ，找到连接ID；再输入：iscsicli LogoutTarget，完成断开操作。 7.删除连接，在命令行中输入：iscsicli RemoveTarget iqn.201810.com.redhat.iscsigw:iscsiigw ，完成删除操作。

本页介绍天翼云TeleDB数据库中数据脱敏。 脱敏是指在用户无感知的情况下，对非授权用户返回被脱敏的数据。其主要原理是通过某种运算法则，在真实数据返回给访问终端前，按照既定规则，将原始数据映射到另一种形式（可以支持多种变化），该映射规则对查询用户不可见，且转换后的形式不能做逆向操作（即转换为原始数据）。 说明 无感知是指用户使用的查询操作变化，也无需增加额外的运算操作。 非授权用户是指没有访问权限的用户，以访问表为例，用户具备该表的查询权限，但被限制对某些字段真实值的获得。 例如： 安全员通过脱敏配置接口，对表的某些敏感字段设置数据脱敏规则。这样原系统中的所有用户（包括管理员）再去查看表数据时，都得到的脱敏规则使能后的结果，且规则下发后立即生效，无需停机或者重启。 相应的，对于原本正常访问的数据库用户，定义为授权用户，安全员可以将这些数据库用户定义为某些对象的白名单用户，即给这些数据库用户添加白名单属性。这些白名单用户在登录系统完成鉴权后，就被系统识别为授权用户，访问表的方式也是没有变化的，而且获得的都是原始数据。 所以，从以上两个维度实现了更细粒度的数据访问控制，是对现有访问控制的增强，而且做到对现有业务系统无感知。 创建数据脱敏策略 1. 切换到godlike用户，创建 tbldatamaskxx表、tbldatamaskyy表、tbldatamaskzz表，并插入数据。 c regression godlike create table tbldatamaskxx( i int, im int, ii int2, iim int2, j bigint, jmbigint, x varchar, xm varchar, y text, ym text) distribute by shard(i); NOTICE: Replica identity is needed for shard table, please add to this table through "alter table" command. insert into tbldatamaskxx values(1024, 1024, 7788, 7788,42949672960,42949672960, '112233201804035566', '112233201804035566','abcdefghijk', 'abcdefghijk'); insert into tbldatamaskxx(i, x) values(1025, 'all is null'); insert into tbldatamaskxx(i, x, xm, ym) values(1026, 'all is null', 'this is a very very very looooooooong string, i guess here is over 32 bytes length, emmmmm', 'tbase!!~~~'); create table tbldatamaskyy( i int, im int, ii int2, iim int2, j bigint, jmbigint, x varchar, xm varchar, y text, ym text) distribute by shard(i);; 使用mlsadmin用户创建数据脱敏策略 案例1：api健壮性测试 NOTICE: Replica identity is needed for shard table, please add to this table through "alter table" command. insert into tbldatamaskyy values(1024, 1024, 7788, 7788, 42949672960,42949672960, '112233201804035566', '112233201804035566','abcdefghijk', 'abcdefghijk'); create table tbldatamaskzz ( i int , j text , z text ) distribute by shard(i);; NOTICE: Replica identity is needed for shard table, please add to this table through "alter table" command. insert into tbldatamaskzz values(1024,'x','y'); 2. 使用mlsadmin用户创建数据脱敏策略。 c regression mlsadmin select currentdatabase(); currentdatabase regression (1 row) select currentuser; currentuser mlsadmin (1 row)

本页介绍天翼云TeleDB数据库中全密态加密。 全密态加密是一种数据加密技术，‌旨在确保数据在整个生命周期（‌包括传输、‌运算和存储）‌中始终保持加密状态，‌从而保护数据隐私。‌这种加密技术不仅涉及到数据的存储加密，‌还包括数据在处理过程中的加密，‌确保即使在数据传输和计算过程中，‌攻击者也无法获取有效的数据信息。‌全密态加密技术的实现依赖于特定的密钥管理机制，‌包括客户端主密钥（‌CMK）‌和数据加密密钥（‌CEK）‌的使用，‌其中CMK用于加密CEK，‌而CEK则用于加密用户数据，‌从而形成一个完整的数据加密体系。 全密态加密方案 全密态加密的实现原理是用户发起查询任务指令，在客户端按照与数据相同的加密策略(加密算法，加密密钥等)完成加密。参数加密完成后整个查询任务被变更成⼀个加密的查询任务并发到数据库服务端。查询得到的结果仍然为密⽂，并最终返回客户端进⾏解密。其核心在用户自己持有数据加解密密钥且数据加解密过程仅在客⼾侧完成，数据以密⽂形态存在于数据库服务侧的整个生命周期过程中，并在数据库服务端完成查询运算。 开启全密态加密 您可参考如下操作开启全密态加密。 管控侧操作： 1. 以用户名和密码登录TeleDBDCP管理控制台。 2. 进入TeleDBDCP控制台管理页面，开通实例。您可参考《安装部署》中实例服务初始化及实例开通章节开通实例。 3. 在实例开通页面，填写基本信息页面，打开KMS开关，选择KMS机器。 说明 KMS开启后无法关闭，选择后无法更改。 数据库侧操作： 1. 在安装⽬录下新建 etc/localkms ⽬录⽤于存储CMK⽂件。 2. psql使⽤C开启全密态。 psql dxxx pxxx hxxx C 3. 创建主密钥CMK。 CREATE CLIENT MASTER KEY cmk1 WITH (KEYSTORE LOCALKMS , KEYPATH "kms1", ALGORITHM SM2); 4. 创建数据密钥CEK。 CREATE COLUMN ENCRYPTION KEY CEK1 WITH VALUES (CLIENTMASTERKEY cmk1,ALGORITHM SM4SM3); 5. 创建加密表，指定加密列。 CREATE TABLE creditcardinfo ( idnumber int,name text encrypted with (columnsencryptionkey cek1, encryptiontype DETERMINISTIC), creditcard varchar(19) encrypted with (columnsencryptionkey cek1,encryptiontype DETERMINISTIC)); 6. 执⾏SQL（仅⽀持SELECT、UPDATE、INSERT、DELETE）。 使用示例 创建CMK主秘钥 CREATE CLIENT MASTER KEY cmk12 WITH (KEYSTORE localkms, KEYPATH "localkms1" , ALGORITHM SM2);CREATE CLIENT MASTER KEY cmk2 WITH (KEYSTORE localkms, KEYPATH "localkms1" , ALGORITHM SM2); 创建CEK数据秘钥 CREATE COLUMN ENCRYPTION KEY cek1 WITH VALUES (CLIENTMASTERKEY cmk1, ALGORITHM SM4SM3);CREATE COLUMN ENCRYPTION KEY cek2 WITH VALUES (CLIENTMASTERKEY cmk2, ALGORITHM SM4SM3);DROP CLIENT MASTER KEY cmk1 CASCADE 创建加密表，col1未加密，col2使⽤cek1加密，col3和col4使⽤cek2加密 CREATE TABLE IF NOT EXISTS tbl1 (col1 INT,col2 INT ENCRYPTED WITH (COLUMNSENCRYPTIONKEY cek1, ENCRYPTIONTYPE DETERMINISTIC),col3 TEXT ENCRYPTED WITH (COLUMNSENCRYPTIONKEY cek2, ENCRYPTIONTYPE DETERMINISTIC),col4 VARCHAR(20) ENCRYPTED WITH (COLUMNSENCRYPTIONKEY cek2, ENCRYPTIONTYPE DETERMINISTIC));