本文介绍CDN加速应对攻击的处理机制及策略建议。 详细说明 天翼云CDN加速产品提供公共开放的加速能力，默认不提供防攻击服务。如果您的CDN加速域名受到攻击（例如DDOS攻击或CC攻击），导致CDN节点带宽或请求QPS大幅上涨，影响正常用户请求时，天翼云CDN将基于域名业务情况、攻击影响程度等综合评估，必要情况下有权将您的加速域名流量导入“隔离节点”，进入“隔离节点”的用户请求将不再保障服务质量。 如您的域名存在潜在被攻击风险，不希望在上述场景下被切换至“隔离节点”，请在CDN加速基础上，叠加购买Web应用防火墙（边缘云版），或切换至安全类加速产品、边缘安全加速平台。详情请见：边缘安全加速平台。 相关概念 DDoS：分布式拒绝服务攻击（Distributed Denial of Service，简称DDoS）是指攻击的发出点是分布在不同地方，且所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。 CC攻击：攻击者借助代理服务器生成指向受害主机的合法请求，实现DDoS和伪装就叫：CC(Challenge Collapsar)，CC主要是攻击页面，属于应用层攻击。

资源类型 配置项 配置内容 说明 DRS迁移任务 迁移任务名 DRSmysql 自定义 DRS迁移任务 源数据库引擎 MySQL 本示例中源数据库为自建MySQL，即在天翼云弹性云主机上安装社区版MySQL。 DRS迁移任务 目标数据库引擎 MySQL 本示例中目标数据库也是MySQL，使用的天翼云RDS实例。 DRS迁移任务 网络类型 公网网络 本示例中采用“公网”。

本文为您介绍IPsec VPN常见的应用场景。 IPsec VPN支持在企业本地数据中心或企业办公网络与天翼云VPC（Virtual Private Cloud）之间建立安全可靠的网络连接。 混合组网 您可以通过IPsec VPN隧道连接用户的数据中心和天翼云资源池的VPC网络，快速便捷地利用云上的弹性资源。 通过采用加密的IPsec VPN隧道将用户本地网络和云上VPC互联，利用VPC的弹性伸缩功能，扩展应用计算能力。 云上网络互联 通过IPsec VPN连接不同区域的VPC，使用户的数据和服务在不同地域能够互联互通。 您可以通过IPsec VPN连接天翼云不同区域资源池的VPC，也可以连接天翼云与其他云服务商的网络（前提是对方也具备同等IPsec VPN能力）。 多站点互联 通过IPsec VPN连接，可将多个站点的流量进行汇聚和转发。 您可以通过VPN网关建立多个IPsec连接通道，与企业的多个站点进行连接。 每个站点都可以访问云上VPC资源，实现多站点上云流量的汇聚。 每个站点可以通过VPN网关实现多个站点网络之间的互通。

其他退订 如因天翼云原因导致用户退订的情况，退订不占用用户每账户的退订次数，不产生费用。 退款金额流向 退款方式分原路返回和退回余额两种情况。 订单充值支付（微信、翼支付）到账 360天内 、订单充值支付（支付宝）到账90天内，且订单未开票或已开票已退票的订单，退订后退款金额会原路返回，按照原支付路径实时退还至原付款账户。 订单充值支付（微信、翼支付）到账 360天内 、订单充值支付（支付宝）到账90天内，且订单已开票未退票 的订单，退订后退款金额会退回账户余额。欠票金额不能进行提现，客户退票或增加相应开票金额后，原欠票金额即可恢复可提现操作。提现操作详见文档余额提现。 订单充值支付（微信、翼支付）到账超过360天 、订单充值支付（支付宝）到账超过90天 的订单，退订后退款金额会退回账户余额，客户可根据需要进行提现 。提现操作详见文档余额提现。

自定义策略 如果系统策略无法满足授权要求，管理员可以根据各服务支持的权限，创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制，自定义策略是对系统策略的扩展和补充。您可以通过可视化和JSON视图完成自定义策略的配置。 委托 委托根据委托对象的不同，分为委托其他天翼云帐号和委托其他云服务。 委托其他天翼云帐号：通过委托功能，您可以将自己帐号中的资源操作权限委托给其他天翼云帐号，被委托的帐号可以根据权限代替您进行资源运维和管理工作。 委托其他云服务：由于天翼云各服务之间存在业务交互关系，一些云服务需要与其他云服务协同工作，在使用时会需要您创建云服务委托，将操作权限委托给该服务，让该服务以您的身份使用其他云服务，代替您进行一些资源运维的自动化工作。 身份凭证 身份凭证是识别用户身份的依据，您通过控制台或者API访问天翼云时，需要使用身份凭证来进行系统的认证鉴权。身份凭证包括密码和访问密钥，您可以在IAM中管理自己以及帐号中IAM用户的身份凭证。 密码 常见的身份凭证，密码可以用来登录控制台。您不能在IAM中管理自己账号的密码，请在天翼云网门户“个人中心”修改自己的密码。

参数 描述 虚拟私有云 和主实例相同。 子网 和主实例相同。 IPv4地址：创建只读实例时RDS会自动为您配置IPv4内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 IPv6地址：选择支持IPv6地址的CPU和内存规格后，才能创建内网地址为IPv6的实例。创建只读实例时RDS会自动为您配置IPv6内网地址，不支持指定IPv6内网地址。实例创建成功后该内网地址也不支持修改。 内网安全组 和主实例相同。

本节介绍混合集群如何打通云上云下网络。 混合集群概述 本地自建 Kubernetes 集群通过分布式容器云平台注册集群接入，可以为自建Kubernetes集群扩容云上 ECS 节点，同时管理云上、云下计算资源，形成混合集群。 搭建混合集群的网络关键在于打通云上云下网络连通，包括： 1. 云上VPC网络与云下网络互通，即计算节点之间互连互通； 2. 云上容器网络与云下容器网络互通，即容器Pod之间互连互通； 混合集群网络模式 节点网络互通 具体操作步骤如下： 1. 将云下网络通过内网接入天翼云，请参考天翼云提供的专线方案 云上云下网络专线接通方案。 2. 测试云上云下连通性，验证云下节点与云上节点是否互通。 3. 如需要云下网络需要通过内网访问云产品，云下网络需配置云产品的域名解析（.ctyun.cn域名解析转发到云上DNS VPCE IP），云产品包括：CRS镜像仓库、对象存储、日志、监控等。 容器网络互通 在确保云上云下节点网络互通之后，才可配置云下节点上运行的容器网络和云上节点运行的容器网络互通。 场景一：云下Kubernetes集群容器网络模式为Underlay模式，Pod IP集群外可访问 平面网络模式，一般用于集群规模较大(或规划较大)且对网络性能要求较高的场景。常见的开源Underlay模式组件包括： Flannel HostGW模式 Calico 路由反射模式 Cilium BCP路由模式 若云下Kubernetes的容器网络模式是Underlay模式，那么云上节点需要使用Cubecni网络插件。在此模式下，需要满足以下条件： 在混合集群中，用户需要确保满足以下条件： 云下网络插件只运行在云下计算节点。 云上的Cubecni网络插件只运行在云上计算节点，不会被调度到云下计算节点。 1. 配置网络插件 a.分布式容器云平台三方集群节点扩容的云上ECS节点会自动添加节点标签k8s.node.ctyun.cn/cloudtrue，默认云上Cubecni网络插件会根据云上节点标签自动调度到云上ECS节点。 b.请根据节点标签为云下网络插件设置NodeAffinity，或设置相关污点来确保云下网络插件只运行在云下。例如，针对云下Calico网络插件，使用nodeAffinity设置其不会被调度到标签为k8s.node.ctyun.cn/cloudtrue的节点上。其它运行于云下且不被希望调度到云上的网络插件也可以用这种方式设置： shell cat calicods.patch spec: template: spec: affinity: nodeAffinity: requiredDuringSchedulingIgnoredDuringExecution: nodeSelectorTerms: matchExpressions: key: k8s.node.ctyun.cn/cloud operator: NotIn values: "true" EOF kubectl n kubesystem patch ds caliconode p "$(cat calicods.patch)" 2. 安装Cubecni插件 a.登录分布式容器云平台控制台，在左侧导航栏选择集群资源 > 集群管理。 b.在集群列表页面，单击目标集群，进入集群页面，在左侧导航栏选择插件 > 插件市场。 c.在插件市场页面，搜索cubecni插件或者cubecnistandalone插件，单击右下方安装。 d.在左侧导航栏选择 工作负载 > 守护进程，查看kubesystem命名空间下cubecni组件的守护进程，在三方集群扩容云上节点前，cubecni不会被调度到任何一个云下节点上。

本章节主要介绍如何在天翼云物理机部署应用服务。 安装及启动Nginx 1. 输入yum install nginx命令安装Nginx，当需要确认时输入“y”确认。 2. 输入systemctl start nginx.service启动Nginx服务。 说明 此处以CentOS 7.3 64bit为例，其他操作系统的Nginx启动命令请您自行查阅。 3. 输入 wget ，测试Nginx服务。 访问Web默认页面 使用浏览器访问“

云间高速(标准版)产品为您提供优质的服务体验,本文带您了解云间高速(标准版)的产品优势。 低时延高速率 云间高速（标准版）产品是中国电信基于其优质网络资源提供的一种低延迟、安全、高速、大带宽的网络传输服务。产品利用中国电信的强大网络基础设施，确保数据传输的稳定性和可靠性。 云网紧密融合 充分体现中国电信优质的“云+网”综合资源优势，形成面向客户的一点上云、一线入云、云间互联的新型服务形态。 接入点覆盖广 依托中国电信天翼云“4+4+31+X”资源池发展战略，相较于传统公有云，具有更多的资源池节点，这使得客户的选择更加丰富多样。同时，由于天翼云拥有更多的资源池节点，可以更好地满足用户在实际业务场景中的需求，从而为用户提供更加稳定、高效的云服务。 高安全性 云间高速（标准版）产品基于中国电信CN2DCI网络进行构建，与公众互联网保持物理隔离。客户之间的网络通过VxLAN技术实现逻辑隔离，从而提供更高安全性的私网通信。 弹性扩展 云间高速（标准版）允许接入多数量，多类型的网络实例，灵活配置，以补点方式入网，实现客户全部站点的网络互通，可降低客户的组网成本；跨域带宽包支持弹性伸缩，域间带宽可以灵活调整。

本文介绍云SSO的使用实践 应用实践：主账号创建云SSO用户后，以云SSO用户身份访问子账号1与子账号2，且按需配置不同的权限 云SSO用户只能由企业中心主账号在云SSO中心创建，创建成功后，通过云SSO登录门户地址跳转访问组织内成员账号 步骤1：登录中国电信天翼云管理中心，创建云SSO用户 步骤2：在“权限管理”菜单栏，按需创建权限集 步骤3：在“绑定权限集”菜单栏，创建访问配置实例，访问配置由云SSO用户/权限集/成员账号组成 步骤4：通过“云SSO门户地址”跳转访问组织内账号。 场景示意： 主账号分别配置了两个“访问配置”实例A与实例B： 1.实例A允许主账号所创建的云SSO用户访问子账号 1，登录后具备云主机的管理员相关的权限； 2.实例B允许主账号所创建的云SSO用户访问子账号 2，登录后具备弹性IP的观察者相关的权限。

DHCP无法正常获取内网IP？ 问题描述 DHCP无法正常获取内网IP，当DHCP无法正常获取内网IP时，不同系统的云主机表现如下： Linux系统表现为无法获取内网IP。 windows系统由于自身的机制，会表现为云主机内网IP变为169.254网段中的一个IP，和官网上显示的内网IP不同。 处理方法 步骤 1查看云主机内是否存在dhclient进程， 1. 登录Linux云主机，执行如下命令，查看是否存在dhclient进程。 ps ef grep dhclient， 2. 若dhclient进程不存在，可以登录云主机，重启网卡或主动发起DHCP请求。 − Linux系统 执行以下命令： dhclient eth0 或 ifdown eth0 ifup eth0 或 dhcpcd eth0 − windows系统 在网络连接中选择其中一个网络设备，单击鼠标右键，选择“禁用”，再单击“启用”。 步骤 2对于DHCP Client长期不发起请求的情况（例如重启网卡后又复现），可以参照以下操作： 1. 配置静态IP： − windows系统： i. 在网络连接中选择“属性”。 ii. 在弹出的窗口中选择“Internet协议版本4”，单击“属性”，修改相关配置。 − Linux系统： i. 登录Linux云主机，执行如下命令，修改配置。 vi /etc/sysconfig/networkscripts/ifcfgeth0 BOOTPROTOstatic IPADDR192.168.1.100 IP地址（修改） NETMASK255.255.255.0 掩码值（修改） GATEWAY192.168.1.1 网关地址（修改） ii. 重启云主机使网络配置生效。 2. 选取有DHCP持续获取能力的镜像。 − Windows系列，原生支持持续获取，例如：Windows Web Server 2008 R2 64bit；Windows Server Datacenter 2008 R2 64bit；Windows Server Enterprise 2008 SP2 64bit;；Windows Server Enterprise 2008 R2 64bit。 − CentOS系列，通过在“/etc/sysconfig/networkscripts/ifcfgethX”中添加PERSISTENTDHCLIENT"y”可全部支持持续获取。 − Ubuntu系列，如Ubuntu1004，Ubuntu1404原生支持持续获取。 步骤 3若以上步骤没有解决问题，可以通过查看客户云主机的messages日志（路径为“/var/log/messages”）排查问题，通过网卡的MAC地址过滤日志，检查是否有客户的进程影响DHCP获取IP。 步骤 4若依然无法解决，请联系客服，寻求技术支持，检查CAN节点。

本章节主要介绍如何创建翼MapReduce服务的操作用户。 如果您需要对您所拥有的翼MapReduce服务进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），创建IAM子用户，并给子用户赋予不同的角色权限及企业项目权限。 如果主帐号已经能满足您的要求，不需要创建更多的子用户，您可以跳过本章节，不影响您使用翼MapReduce服务的其它功能。 创建用户 1. 管理员登录天翼云官网，点击页面右上角用户名，在下拉列表中点击“账号中心”。 2. 在账号中心页面，点击左侧菜单栏中的“统一身份认证”进入IAM用户管理页面。 3. 点击左侧菜单栏栏中的“用户”，在页面中点击“创建用户”按钮开启创建。 用户授权 默认情况下，管理员创建的IAM用户没有翼MR操作权限，需要为其赋予角色权限后，才能使该用户获得集群操作权限。您可以通过下表中的功能，为新增用户授予权限。 功能 操作 权限作用范围 账号中心—统一身份认证服务 授予翼MR与企业项目权限 官网产品 翼MR控制台用户管理 同步IAM账号至翼MR 翼MR产品 翼MR控制台角色管理 管理集群角色（含角色的新增、编辑与删除） 翼MR产品 翼MR集群用户权限 在指定集群内，为用户授予集群角色，支持被授权用户使用集群 翼MR单集群

记录集类型 使用场景 描述 A 内网域名 指定域名对应的IPv4地址，用于将域名路由到IPv4地址。 CNAME 内网域名 指定域名的别名，用于将多个域名映射到同一主机上。 MX 内网域名 指定域名对应的邮件服务器，用于为邮件域名设置邮箱服务器。 AAAA 内网域名 指定域名对应的IPv6地址，用于将域名路由到IPv6地址。 TXT 内网域名 用于对域名进行标识和说明，可填写任意的信息。主要用于以下场景： 记录DKIM的公钥，用于反电子邮件欺诈。 用于记录域名所有者身份信息，用于域名找回。 SRV 内网域名 记录了具体某台计算机对外提供哪些服务，供用户查询使用。 SOA 内网域名 指定该域名的主权威DNS服务器，系统默认创建，不支持手工创建。 PTR 内网域名 指定IP地址反向解析记录，用于通过私网IP地址反向查询对应的云主机。

本章节主要介绍翼MapReduce集群使用规则。 翼MR集群内节点上的/var/log目录中，存放了操作系统的相关操作、安全等关键性日志数据以及翼MR集群各个部署组件实例的应用和审计日志，以方便客户对云主机的系统问题以及翼MR组件集群进行定位和安全审计。 针对上述的系统日志文件，不建议客户进行清理，该操作属于高危操作，易引发弹性云主机的故障不可用问题。 针对上述的翼MR集群应用和审计日志，建议客户基于必要性考虑，确认是否需要清理。如果需要清理，优先考虑将相关历史久远的日志执行删除操作。

检查Windows服务器是否120天授权到期 检查方法： 通过内网的一台windows主机远程登录方式连接登录报错的Windows云服务器时，如果出现如下错误：“ 由于没有远程桌面授权服务器可以提供许可证，远程会话被中断，请跟服务器管理员联系。 ” 则说明该Windows服务器120天授权到期。Windows操作系统的云服务器默认支持免费使用120天，到期后需要付费，如未付费会则造成远程连接失败。 解决办法： 请重新激活并授权。 如果通过上述排查，仍然无法解决问题，请单击管理控制台右上方的“工单”，填写工单信息反馈问题现象，联系技术支持。 运维资源列表可登录资源不可见怎么办？ 问题现象 云堡垒机“主机运维” 或 “应用运维”列表页面，用户原可登录资源突然不可见了。 可能原因 资源授权的“访问控制策略”设置了“有效期”，用户访问资源权限失效。 资源授权的“访问控制策略”设置了“登录时段限制”，用户在“禁止登录”时间段不能查看登录资源。 “访问控制策略”关联的用户或资源被移除，用户访问资源权限被取消。 资源授权的“访问控制策略”被禁用，用户失去该资源访问控制权限。 资源授权的“访问控制策略”被删除，用户失去该资源访问控制权限。 解决办法 查看资源授权的“访问控制策略”详情，根据实际情况重新配置或新建访问控制策略。 修改“访问控制策略”基本信息，重新配置“有效期”或“登录时段限制”。 启用被禁用的“访问控制策略”。 修改“访问控制策略”的详情，重新关联用户或资源。 若“访问控制策略”被删除，请新建策略关联用户和资源。 通过Web浏览器登录资源，不弹出会话界面怎么办？

本小节介绍态势感知订购态势感知操作方法。 通过天翼云控制中心下的安全选项下的态势感知进入订购态势感知授权页面，订购页面如下，填写对应的信息。 串联部署网络配置的场景： 场景 A：态势网关作为网络出口，直挂业务主机（网关主备监控同公网IP下资产） 场景 B：态势网关下挂负载均衡（网关主备监控1资产） 场景 C：态势网关下挂云防火墙（网关主备监控1资产） 场景 D：态势网关上挂云防火墙（多资产监控） 旁路部署网络配置的场景： 使用天翼云平台的流量镜像功能引流，不涉及网络割接，只需开通态势感知控制端（多资产监控） 在订购完成后会有态势感知技术人员联系对接网络配置，请确保联系方式顺畅。

翼共享盘是否支持Linux/国产化云电脑挂载？ 支持，目前翼共享盘支持麒麟V10，UOS V20，Ubuntu18.4以及centos7.6。 翼共享盘是否支持私有化部署？ 支持，请联系运维或通过邮件申请，邮件发送至：clouddesktop@chinatelecom.cn。 翼共享盘是否支持跨VPC、跨资源池挂载？ 翼共享盘默认是支持VPC内的AI云电脑及云手机挂载使用的。如果需要跨VPC挂载，可通过打通VPC之间的对等连接、云间互联实现。目前公有云暂不支持跨资源池挂载。 翼共享如何使用AI应用中心企业智库？ 翼共享网络共享盘支持关联AI应用中心企业智库，可在AI应用中心申请开通，无网络盘用户可以获得10G免费空间。开通后支持网页版访问管理共享盘，挂载盘功能将陆续开放。

本章节主要介绍云搜索服务（ES）的购买流程。 1.注册天翼云官网账号，登录后进入官网首页； 2.在官网首页，单击左上角“产品”，【大数据>云搜索服务】； 3.在【云搜索服务】界面，单击【立即开通】； 4.在云搜索服务集群创建页面选择计费模式、订购周期、当前区域（即资源池）、可用区、集群类型、集群版本、集群名称、节点规格等基础配置信息后，按提示进入“网络配置”、“高级配置”页面并根据需要进行配置，最后单击【立即创建】； 基础配置 网络配置 高级配置 5.按页面提示，勾选相关协议，进入支付页面完成付款。

注意事项 请确保上传的证书还在有效期范围内。 目前只支持PEM格式，其他格式客户可自行转换，或提交工单向天翼云客服咨询推荐的转换站点。

注意事项 请确保上传的证书还在有效期范围内。 目前只支持PEM格式，其他格式客户可自行转换，或提交工单向天翼云客服咨询推荐的转换站点。

迁移方案的关键操作 配置“ 同名文件是否覆盖 ”选项：创建任务时，配置按 最后修改时间（Lastmodified） 的处理方式，来进行迁移。 根据源端业务的增量情况，多次使用“开始”操作启动迁移任务进行增量的迁移。 操作流程 该方案通过多次迁移实现对源端增量数据的迁移，具体流程如下： 准备工作 注册天翼云账号 使用对象存储迁移服务ZMS，您需要先注册天翼云门户的账号。本部分将介绍如何进行账号注册，如果您拥有天翼云的账号，可登录后直接使用对象存储迁移服务。 1. 打开天翼云门户网站，点击“ 注册 ”。 2. 在注册页面，请填写“ 邮箱地址 ”、“ 登录密码 ”、“ 手机号码 ”，并点击“ 同意协议并提交 ” 按钮，如1分钟内手机未收到验证码，请再次点击“ 免费获取短信验证码 ”按钮。 3. 注册成功后，可到邮箱激活您的账号，即可体验天翼云。 4. 进行实名认证，请参考会员服务实名认证。 开通天翼云对象存储 登录您的天翼云账号即可使用对象存储迁移服务ZMS，但天翼云对象存储ZOS需要您单独开通，具体操作可参看开通对象存储服务。

本节为您介绍云迁移服务CMS身份认证与访问控制相关内容。 CMS服务支持身份认证与访问控制，为您提供主子账号服务授权功能。 主子账号及授权管理 通过使用企业项目服务，可以让多个用户共享同一个天翼云账号，并且根据他们的需要分配不同的权限，实现精细的访问控制。这一服务能够为拥有多层次组织和项目结构的用户提供强大的资源管理平台支持。 由天翼云账号在“主子账号及授权管理”中创建的用户，是云服务的使用人员，具有独立的身份凭证（密码和访问密钥），根据账号授予的权限使用资源。子用户不拥有资源，不进行独立的计费，IAM子用户的权限和资源由所属账号统一控制和付费。具体介绍请参考主子账号及授权管理用户指南。 访问控制 您可以创建用户组，并给用户组授予策略或角色，用户组中的用户将获得用户组的权限。同时，用户也可以为自身授予权限。这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。具体请参见IAM子用户/用户组/策略与企业项目。

在开始 API 接入前，请确保已完成以下准备工作： 1. 开通产品：已在天翼云控制中心成功开通大模型安全护栏服务。 2. 创建应用：在控制台“应用管理”中创建至少一个应用，并从应用的编辑页面获取以下鉴权凭证： 凭证名称 说明 获取位置 accountid 租户 ID 天翼云控制台账号信息页 XAPPCODE（即AK） 应用编码，作为 AK 使用 应用管理 > 操作 > 复制APP鉴权信息 publicKey 公钥 应用管理 > 操作 > 复制APP鉴权信息 privateKey 私钥（SK） 应用管理 > 操作 > 复制APP鉴权信息 （请妥善保管，勿泄露） 获取服务地址 ：请通过工单或者服务热线（4008109889）获取服务地址。

本文为您详细介绍天翼云云搜索服务的优势和特点。 天翼云云搜索服务具备以下特点和显著优势： 高效易用 升级搜索组件内核，吞吐性能提升30%，可将数据经由可视化平台进行分析展示。 无忧运维 全托管服务，开箱即用，主要操作一键可达，专业团队贴身看护。 高安全性 云搜索服务主要从以下几个方面保障数据和业务运行安全： 网络隔离 整个服务部署于用户公有云上专享的虚拟私有云中，提供安全隔离的网络环境，保证用户大数据集群的业务、管理的安全性。通过结合虚拟私有云的子网划分、路由控制、安全组等功能，可以为用户提供高安全、高可靠的网络隔离环境。 管理平面和用户服务分开部署，控制台用于管理用户订购的云搜索服务。 主机安全 通过VPC及安全组专有网络来确保主机的安全。针对云主机，天翼云也提供如下安全措施： 操作系统内核安全加固 更新操作系统最新补丁 操作系统权限控制 操作系统端口管理 操作系统协议与端口防攻击 云主机监控 防DDoS攻击 定期备份数据 增加登录密码强度 数据安全 数据安全在云搜索服务中，通过多副本机制保证用户的数据安全。 支持用户认证与细粒度级别鉴权。 云搜索数据存储在天翼云云硬盘产品中，云硬盘采用三副本冗余机制，定期备份，保证上层服务数据的高容灾性。

本文介绍应用性能监控的权限管理。 权限说明 如果您需要对给企业中的员工设置不同的功能权限，您可以使用天翼云统一身份认证（Identity and Access Management，简称IAM）进行权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可帮助您进行权限管理。 通过天翼云统一身份认证IAM，您可以在天翼云主账号中给员工或其他使用者创建IAM用户，并通过权限策略来控制其在应用性能监控中的功能权限。例如您希望某个子用户拥有指标查看权限，但是不希望该子用户拥有删除应用等高危操作的权限，那么您可以创建IAM用户，授予仅能查看监控指标，但是不允许删除应用。 如果天翼云账号已经能满足您的使用需求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用应用性能监控的其它功能。 IAM是天翼云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见IAM产品介绍。 应用性能监控权限 在默认情况下，通过主账号新建的IAM用户没有任何权限，主账号需要将IAM用户加入用户组，并给用户组授予权限策略，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限在应用性能监控进行操作。 策略是IAM提供的细粒度权限集合，可以精确到具体资源、条件等。使用基于策略的授权是一种灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对弹性云主机服务，管理员能够控制IAM用户仅能对云主机的资源进行指定的管理操作。 下表包括了应用性能监控的所有系统策略。 策略名称 描述 策略类别 APM admin 应用性能监控的所有权限，拥有该权限的用户可以操作并使用应用性能监控。 系统策略 APM user 应用性能监控的使用权限，除删除应用权限外，其余权限与Admin相同。 系统策略 APM viewer 应用性能监控的只读权限，拥有该权限的用户仅能查看应用性能监控数据。 系统策略 下表列出了常用操作与系统策略的授权关系，您可以参照该表选择合适的系统策略。 操作 admin user viewer 实例统计列表查询 ✓ ✓ ✓ JVM信息查询 ✓ ✓ ✓ Pod图表查询 ✓ ✓ ✓ SQL分析查询 ✓ ✓ ✓ nosql分析 ✓ ✓ ✓ 异常调用统计分析 ✓ ✓ ✓ 上下游应用 ✓ ✓ ✓ 接口统计列表查询 ✓ ✓ ✓ 数据库调用统计列表查询 ✓ ✓ ✓ 获取接入应用信息 ✓ ✓ × 概览统计数据查询 ✓ ✓ ✓ 慢调用查询 ✓ ✓ ✓ 接口调用统计 ✓ ✓ ✓ 应用实例信息查询 ✓ ✓ ✓ 调用曲线图 ✓ ✓ ✓ 查询数据库拓扑图 ✓ ✓ ✓ 查询拓扑图 ✓ ✓ ✓ 外部调用目标服务统计概览 ✓ ✓ ✓ 外部调用概览的图表 ✓ ✓ ✓ MQ监控 ✓ ✓ ✓ 调用链详情查询 ✓ ✓ ✓ 获取日志配置信息 ✓ ✓ ✓ 查询应用配置 ✓ ✓ ✓ 用量统计页 ✓ ✓ ✓ arms首页 ✓ ✓ ✓ 调用链查询页 ✓ ✓ ✓ web容器查询 ✓ ✓ ✓ 查询数据存储时长 ✓ ✓ ✓ 删除应用 ✓ × × 下载javaagent ✓ ✓ × 开启或关闭调用链日志关联功能 ✓ ✓ × 保存应用配置 ✓ ✓ × 修改数据存储时长 ✓ ✓ ×

本文介绍中国电信天翼云服务协议。 天翼云应用加速产品采用《天翼云CDN服务协议》，详情请参见天翼云CDN服务协议。

什么是入云带宽和出云带宽？ 入云带宽：从Internet流入云平台方向的带宽，例如，从公网下载资源到云内ECS。 出云带宽：从云平台流出到Internet方向的带宽，例如，云内的ECS对外提供服务，外部用户下载云内ECS上的资源。 弹性IP带宽与内网带宽有何差异？ 弹性IP带宽是指弹性云主机通过弹性IP访问公网时使用的带宽。通过弹性IP带宽显示网络的使用情况。 内网带宽是指弹性云主机在云平台内通信能够达到的带宽。弹性云主机根据不同的规格限制内网带宽和内网收发包能力。 带宽与上传下载速率是什么关系？ 带宽单位用bps(bit/s)，表示每秒钟传输的二进制位数。下载速率单位用Bps(Byte/s)表示，表示每秒钟传输的字节数。 1Byte（字节）8bit（位），即下载速率带宽/8 通常1M带宽即指1Mbps1000Kbps1000/8KBps125KBps一般情况下，考虑到还有其他损耗（计算机性能、网络设备质量、资源使用情况、网络高峰期等），实际速率一般小于这个速率。

本章介绍主机迁移服务与其他云服务的关系。 主机迁移服务SMS与其他服务的关系参见下表。 相关服务 交互功能 位置 弹性云主机（Elastic Cloud Server，ECS） 将源端服务器的系统、应用和文件等数据迁移到天翼云弹性云主机。 创建云主机 弹性IP（Elastic IP，EIP） 创建迁移任务过程中支持采用公网迁移，要求目的端服务器配置有“弹性IP”。 申请弹性IP 虚拟私有云（Virtual Private Cloud，VPC） 在创建迁移任务前，通过虚拟私有云设置您目的端弹性云服务器所在VPC的安全组。 创建虚拟私有云 云硬盘服务（Elastic Volume Service，EVS） 迁移任务创建并启动后，主机迁移服务会创建一块临时按需计费EVS卷，迁移完成删除该临时卷。 云硬盘规格和价格 云审计服务（Cloud Trace Service，CTS） 通过云审计服务收集主机迁移服务操作记录，便于日后的查询、审计和回溯。 开通云审计服务

本章节会介绍云数据库 RDS for MySQL提供使用命令行、图形化界面。 表 RDS连接方式 连接方式 使用场景 通过DAS连接RDS for MySQL实例 通过数据管理服务（Data Admin Service，简称DAS）这款可视化的专业数据库管理工具，可获得执行SQL、高级数据库管理、智能化运维等功能，做到易用、安全、智能地管理数据库。云数据库RDS库服务默认开通DAS连接权限。 通过mysql命令行客户端连接实例 在Linux操作系统中，您需要在弹性云主机上安装MySQL客户端，通过mysql命令行连接实例。支持公网和内网两种连接方式： 系统默认提供内网IP地址。当应用部署在弹性云主机上，且该弹性云主机与RDS for MySQL实例处于同一区域，同一VPC时，建议单独使用内网IP连接弹性云主机与RDS for MySQL实例。 不能通过内网IP地址访问RDS实例时，使用公网访问，建议单独绑定弹性公网IP连接弹性云主机（或公网主机）与RDS for MySQL实例。 通过图形化界面连接RDS for MySQL实例 在Windows操作系统中，您可以使用任何通用的数据库客户端连接到RDS for MySQL实例。

本章节会介绍如何在控制台配置和修改数据库内网地址。 操作背景 用户从线下或者其他云迁移到关系型数据库后要面对更改IP的问题，为减少客户业务更改，降低迁移难度。提供规划与更改内网IP方式，降低客户迁移成本。 配置内网IP 在购买实例时，可在“服务选型”页面的网络部分，根据选择的子网自动配置内网地址。 修改内网IP 对于创建完成的关系型数据库实例，支持更改内网地址。 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称，进入实例基本信息页面。 步骤 5 在“基本信息”页“连接信息”模块“内网地址”处，单击“修改”。 步骤 6 您也可以在左侧导航栏，单击“连接管理”，在“内网连接”页面中，在“连接信息”模块“内网地址”处，单击“修改”。 在“修改内网地址”弹出框中进行修改。单击“确定”，保存修改内容。 修改内网IP后域名需要几分钟重新解析地址导致数据库连接中断，请在业务停止期间操作。 已使用IP地址列表中使用情况为“待使用”的IP地址表示已被占用，不允许被当前实例使用。

本章节主要介绍翼MapReduce集群组件使用规则。 当前，翼MR产品不支持Hive元数据库使用内置MySQL类型。内置MySQL不具备生产运行所需要的高可用、高安全性，且该方式缺乏有效的技术保障能力，客户需要为此承担不必要的业务风险。 在翼MR集群开通的流程中，基于上述产品考量，不开放相关选配功能，默认推荐客户预先开通好天翼云成熟的数据库产品关系数据库MySQL版（CTRDS MySQL）作为Hive服务的元数据库。

本章节会介绍如何配置和修改数据库内网地址。 操作背景 用户从线下或者其他云迁移到关系型数据库后要面对更改IP的问题，为减少客户业务更改，降低迁移难度。提供规划与更改内网IP方式，降低客户迁移成本。 配置内网IP 在购买实例时，可在“服务选型”页面的网络部分，根据选择的子网自动配置内网地址。 修改内网IP 对于创建完成的关系型数据库实例，支持更改内网地址。 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称，进入实例基本信息页面。 步骤 5 在“基本信息”页“连接信息”模块“内网地址”处，单击“修改”。 步骤 6 在“修改内网地址”弹出框中进行修改。单击“确定”，保存修改内容。