本节介绍如何使用 SASLSSL 接入点接入Kafka,文档以Java代码为例。 前提条件 已配置正确的安全组。 已获取连接Kafka实例的地址。 如果Kafka实例未开启自动创建Topic功能，在连接实例前，请先创建Topic。 已创建弹性云服务器，如果使用内网同一个VPC访问实例，请设置弹性云服务器的VPC、子网、安全组与Kafka实例的VPC、子网、安全组一致。 需要用户先在用户管理页面创建用户，然后给对应的topic授予生产消费权限。 接口地址及证书下载，需使用内网同一个VPC访问，实例端口为8098。具体信息从控制台实例详情菜单处获取，如下图所示，点击中间下载箭头即可下载证书。 Maven中引入Kafka客户端 java Kafka实例基于社区版本2.8.2/3.6.2，推荐客户端保持一致。 org.apache.kafka kafkaclients 2.8.2/3.6.2 客户端关键参数 java Properties props new Properties(); props.put(ProducerConfig.BOOTSTRAPSERVERSCONFIG, BROKERADDR); props.put(ProducerConfig.VALUESERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(ProducerConfig.KEYSERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(CommonClientConfigs.SECURITYPROTOCOLCONFIG, "SASLSSL"); props.put("sasl.mechanism", "SCRAMSHA512"); props.put(SaslConfigs.SASLJAASCONFIG, "org.apache.kafka.common.security.scram.ScramLoginModule required username"testuser" password"Kafka@Test";"); props.put("ssl.truststore.location","/kafka/client.truststore.jks"); props.put("ssl.truststore.password","sJses2tin1@23"); props.put("ssl.endpoint.identification.algorithm","");

本节介绍如何为Web应用防火墙v1.0开启/切换IPv6防护。 子网开启IPv6 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“网络 > 虚拟私有云”。 4. 选择对应的虚拟私有云，选择对应子网，点击子网后的“修改”进入修改子网页面，勾选“开启IPv6”，单击“确定”。 Web应用防火墙设备开通 在设备成功开通后，默认一张网卡设定为管理网卡，以供单点登录设备时使用；需新增一张网卡专门用于业务操作。 Web应用防火墙开通 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”。 4. 在资源概览页面右上角，单击“立即购买”。 5. 在购买页面配置基础信息（包括区域 、虚拟私有云 、子网、可用区 和CPU分类 ），套餐选择自定义中的Web应用防火墙、并进行产品规格配置。 6. 选择购买时长后，勾选“我已阅读，理解并接受《云等保专区服务协议》”，点击“立即购买”。完成购买后等待资源开通成功。 新增业务网卡 1. 创建弹性网卡 在天翼云控制中心服务列表页，选择“网络 > 虚拟私有云”；在网络控制台左侧导航栏，选择“弹性网卡”，单击弹性网卡页面右上角的“创建弹性网卡”，配置弹性网卡的区域、名称、VPC、子网、安全组等信息，点击“确定”。 2. 绑定网卡 在云等保专区左侧导航栏，选择“Web应用防火墙”，在开通的设备右侧操作列点击“更多 > 绑定网卡”，选中上一步创建的弹性网卡，点击“确定”。 3. 重启Web应用防火墙系统 在云等保专区左侧导航栏，选择“Web应用防火墙”，在开通的设备右侧操作列点击“更多 > 重启”。 登录Web应用防火墙界面 在云等保专区左侧导航栏，选择“Web应用防火墙”，在目标资源右侧操作列单击“配置”，进入Web应用防火墙界面。 开启IPv6防护 开通Web应用防火墙v1.0后，还需要配置网络才能开启IPv6防护，请提交工单联系技术支持进行配置。

本节介绍了第三方镜像仓库导入的用户指南。 概述 对于已使用第三方镜像仓库（Harbor、华为SWR，阿里云ACR、腾讯云企业版）的客户，可以参照本章节将第三方镜像仓库迁移至企业版服务。 前置条件 已开通并使用容器镜像服务企业版实例 已使用第三方镜像仓库 如果第三方镜像仓库是自建Harbor，必须通公网 操作步骤 创建第三方镜像仓库导入规则 1. 进入容器镜像服务控制台 。 2. 点击已开通的企业版实例名称。 3. 左侧导航栏点击 "实例管理" "镜像导入"，并点击页面中的创建导入规则按钮。 4. 根据下表填写导入规则名称、规则描述、第三方镜像仓库信息、源命名空间、目标命名空间、触发方式并点击确定。 参数 说明 名称 规则名称 描述 规则描述 来源 Harbor｜ 华为SWR ｜ 阿里云ACR ｜ 腾讯云企业版 服务地址 第三方镜像仓库服务地址，例如: Access Key ID 第三方镜像仓库Access Key Secret Access Key 第三方镜像仓库Secret Key 用户名字 第三方Harbor镜像仓库用户名字 密码 第三方Harbor镜像仓库密码 Tag 导入镜像tag匹配规则，使用示例如下： 匹配全部: 匹配多个版本: {v1,v2,v3} 匹配前缀: v1 源命名空间 源实例命名空间 目的命名空间 目的实例命名空间 触发方式 定时触发 ｜ 手动触发 首次触发时间 首次触发时间 触发频率 触发频率，可以按天或小时

本章节主要介绍翼MapReduce服务如何缩容task节点。 当task节点组内的资源超出您的业务需求时，您可以使用节点缩容功能减少实例数量。 约束与限制 1. V2.20版本起支持task节点缩容功能。 2. 当前仅支持对按需计费模式的task节点进行缩容，包年/包月集群暂不支持该方式缩容。 3. 仅支持对状态为“运行中”的集群进行节点缩容操作。 注意 节点缩容生效后，会立刻销毁对应的主机与硬盘，无法恢复，请慎重操作！缩容前请确保已备份或迁移所需数据。 操作步骤 1. 登录翼MapReduce管理控制台。 2. 从“我的集群”中 ，选中一个运行中的集群并单击集群名称，进入集群信息页面。 3. 选择“更多”，点击“节点缩容”按钮。 4. 翼MR支持“指定数量”与“指定节点”两种方式进行缩容: 指定数量：缩容方式选择“指定数量”后，请设置需要缩容的节点数量，系统将基于节点状态，优先选择状态异常的节点进行缩容。 指定节点：缩容方式选择“指定节点”后，可以在节点列表中勾选需要缩容的节点。 5. 指定缩容的数量或勾选指定节点后，点击“下一步”，系统将对缩容节点进行校验。为避免影响业务运行，缩容后需保障剩余节点上的角色实例数满足组件最小使用需求。 服务名称 角色实例 校验规则 YARN NodeManager 缩容后，至少保有3个NodeManager角色实例 Flume Flume 缩容后，至少保有1个Flume角色实例 Trino TrinoWorker 缩容后，至少保有1个TrinoWorker角色实例 6. 校验时，若识别到即将缩容的节点上存在运行中的任务，请及时检查是否需要更换缩容的节点，若选择正确，提前做好备份和迁移工作。建议完成上述工作后，停止运行中的任务，并观察影响，确认无误后再行缩容。 7. 缩容节点前，请阅读协议并确认是否对列表中的节点进行缩容，勾选协议后，“确认销毁”按钮亮起，点击后将立刻执行销毁动作，请谨慎操作。 8. 缩容成功后，缩减的节点将不在节点管理页面内展示。

li1979812511478 " ")。 端口映射 终端节点服务与终端节点建立连接关系，进行通信，协议可选择TCP。 服务端口：终端节点服务绑定了后端资源，作为提供服务的端口。 终端端口：终端节点提供给用户，作为访问终端节点服务的端口。 服务端口和终端端口取值范围1～65535，单次操作最多添加50条端口映射。 说明 通过“终端端口→ 服务端口”的方式进行访问。 后端资源类型 实际提供服务的后端资源。 可创建为终端节点服务的后端资源包括： 弹性负载均衡：适用于高访问量业务和对可靠性和容灾性要求较高的业务。 云服务器：作为服务器使用。 此处选择“弹性负载均衡”。 说明： 安全组添加的规则是白名单。终端节点服务配置的后端资源所在安全组，需要添加源地址为198.19.128.0/20的白名单入方向规则，详细操作请参考《虚拟私有云用户指南》中的“添加安全组规则”。 选择负载均衡 “后端资源类型”选择为“弹性负载均衡”时，会出现该参数，在下拉列表中选择需要提供服务的负载均衡，只支持弹性负载均衡。 说明 弹性负载均衡作为终端节点服务的后端资源后，不支持获取真实访问客户端的地址。 5. 单击“立即创建”。 6. 返回终端节点服务列表可查看创建的终端节点服务。

名称 描述 根节点 根节点名称默认为default。点击右键，可以选择“添加子节点”或“编辑”节点。 根节点 添加子节点 父节点类型。 根节点 添加子节点 父节点名称。 根节点 添加子节点 子节点类型，可以选择： room：机房。选择room时，可以编辑下列信息： 子节点名称：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（ ）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 描述：节点描述，取值：1~50位字符串。 rack：机架。选择rack时，可以编辑下列信息： 子节点名称：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（ ）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 描述：节点描述，取值：1~50位字符串。 server：服务器。选择server，添加服务器。添加服务器时，待添加的服务器安装HBlock后，才可以编辑下列信息： 子节点名称：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 服务器IP：指定需要添加的服务器IP，支持IPv4和IPv6地址。 端口号：指定API端口号。取值范围是[1, 65535]，默认值是1443。需要和该服务器安装HBlock时设置的API端口号保持一致。 数据目录：包括数据目录、容量配额、操作。 数据目录：服务器中，用于存储用户数据的绝对路径。 容量配额：一旦达到配额，就立刻阻止数据写入。支持输入数字（默认单位为GiB），或者输入“数字+单位”，数字应精确到两位小数，单位可为KiB、MiB、GiB、TiB或者PiB，并且配额需要不大于数据目录总容量，0表示禁止写入，负数或者不填表示无限制。 操作：点击“移除”，可以移除添加的数据目录。点击“添加”，可以添加数据目录。 描述：节点描述，取值：1~50位字符串。 根节点 编辑 节点名称：修改节点名称。取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 根节点 编辑 描述：节点描述，取值：1~50位字符串。 room类型节点 机房类型的节点。将鼠标放至节点名称处，可以显示节点名称、类型及描述信息。点击右键，可以选择添加子节点、移除或编辑节点。 room类型节点 添加子节点 父节点类型。 room类型节点 添加子节点 父节点名称。 room类型节点 添加子节点 子节点类型，可以选择： rack：机架。选择rack时，可以编辑下列信息： 子节点名称：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（ ）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 描述：节点描述，取值：1~50位字符串。 server：服务器。选择server，添加服务器。添加服务器时，待添加的服务器安装HBlock后，才可以编辑下列信息： 子节点名称：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（ ）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 服务器IP：指定需要添加的服务器IP，支持IPv4和IPv6地址。 端口号：指定API端口号。取值范围是[1, 65535]，默认值是1443。需要和该服务器安装HBlock时设置的API端口号保持一致。 数据目录：包括数据目录、容量配额、操作。 数据目录：服务器中，用于存储用户数据的绝对路径。 容量配额：一旦达到配额，就立刻阻止数据写入。支持输入数字（默认单位为GiB），或者输入“数字+单位”，数字应精确到两位小数，单位可为KiB、MiB、GiB、TiB或者PiB，并且配额需要不大于数据目录总容量，0表示禁止写入，负数或者不填表示无限制。 操作：点击“移除”，可以移除添加的数据目录。点击“添加”，可以添加数据目录。 描述：节点描述，取值：1~50位字符串。 room类型节点 移除 当room节点没有子节点时，可以点击移除按钮，删除该节点。 room类型节点 编辑 节点名称：修改节点名称。取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 room类型节点 编辑 描述：节点描述，取值：1~50位字符串。 rack类型节点 机房类型的节点。将鼠标放至节点名称处，可以显示节点名称、类型及描述信息。点击右键，可以选择添加子节点、移除节点、编辑节点或重映射。 rack类型节点 添加子节点 父节点类型。 rack类型节点 添加子节点 父节点名称。 rack类型节点 添加子节点 子节点类型，可以选择server，添加服务器。添加服务器时，待添加的服务器安装HBlock后，才可以编辑下列信息： 子节点名称：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 服务器IP：指定需要添加的服务器IP，支持IPv4和IPv6地址。 端口号：指定API端口号。取值范围是[1, 65535]，默认值是1443。需要和该服务器安装HBlock时设置的API端口号保持一致。 数据目录：包括数据目录、容量配合、操作。 数据目录：服务器中，用于存储用户数据的绝对路径。 容量配额：一旦达到配额，就立刻阻止数据写入。支持输入数字（默认单位为GiB），或者输入“数字+单位”，数字应精确到两位小数，单位可为KiB、MiB、GiB、TiB或者PiB，并且配额需要不大于数据目录总容量，0表示禁止写入，负数或者不填表示无限制。 操作：点击“移除”，可以移除添加的数据目录。 描述：节点描述，取值：1~50位字符串。 rack类型节点 移除 当rack节点没有子节点时，可以点击“移除”按钮，删除该节点。 rack类型节点 编辑 节点名称：修改节点名称。取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 rack类型节点 编辑 描述：节点描述，取值：1~50位字符串。 rack类型节点 重映射 变更父节点。通过下拉框，重新选择父节点名称。 server类型节点 服务器类型的节点。 将鼠标放至节点名称处，可以显示节点名称、类型、服务器ID、业务IP、集群IP、数据目录容量、数据目录已用容量、服务器状态及描述信息。 点击右键，可以选择添加子节点、移除节点、编辑节点或重映射。 server类型节点 添加子节点 父节点类型。 server类型节点 添加子节点 父节点名称。 server类型节点 添加子节点 子节点类型，可以选择path，添加数据目录。 数据目录：服务器中，用于存储用户数据的绝对路径，一次可以添加多个数据目录，数据目录以英文逗号（,）分开。 容量配额：一旦达到配额，就立刻阻止数据写入。支持输入数字（默认单位为GiB），或者输入“数字+单位”，数字应精确到两位小数，单位可为KiB、MiB、GiB、TiB或者PiB，并且配额需要不大于数据目录总容量，0表示禁止写入，负数或者不填表示无限制。 操作：点击“移除”，可以移除添加的数据目录。点击“添加”，可以添加数据目录。 server类型节点 移除 点击“移除”按钮，可以移除服务器。 注意 如果移除已损毁或者宕机的服务器，需要使用强制移除。强制移除服务器，会产生数据丢失风险，请谨慎操作。 如果移除服务器上有iSCSI目标，该iSCSI目标对应卷的高可用类型是ActiveStandby，移除服务器时，业务不会中断，此卷对应的iSCSI目标会切换到其他服务器上，客户端需要重新连接Target对应的新服务器IP。 如果移除服务器上有iSCSI目标，该iSCSI目标对应卷的高可用类型是Disabled，移除服务器时，业务会中断，此卷对应的iSCSI目标会切换到其他服务器上，客户端需要重新连接Target对应的新服务器IP。但服务器移除时，会有数据丢失风险。 如果执行日志采集后，产生的日志保存在服务器安装目录下，在服务器移除之后，该日志将被删除。如果产生的日志保存在HBlock的数据目录内，并且移除服务器时删除服务器HBlock数据目录中的数据，该日志也将被删除。 有服务器正在移除时，不能再移除其他服务器。如果必须移除，请使用强制移除，但有丢数据风险。 该节点的所有数据目录不属于任何存储池，允许移除该服务器。否则不能移除，如果必须移除，请使用强制移除，但有丢数据风险。 如果要移除服务器的某个数据目录属于基础存储池，且是基础存储池中仅剩的一个可用故障域中的节点，不允许移除。 server类型节点 编辑 节点名称：修改节点名称。取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 server类型节点 编辑 描述：节点描述，取值：1~50位字符串。 server类型节点 重映射 变更父节点。通过下拉框，重新选择父节点名称。 path类型节点 数据目录类型的节点。 将鼠标放至节点名称处，可以显示节点名称、类型、数据目录容量、数据目录已用容量、容量配额、已用容量配额、健康状态、健康详情、存储池。 点击右键，可以移除数据目录。 注意 强制移除数据目录，有产生数据丢失风险。 如果执行日志采集后，产生的日志保存在HBlock的数据目录内，移除数据目录时删除数据目录上的HBlock数据，该日志将被删除。 有数据目录正在移除时，不能再移除其他数据目录。如果必须移除，请使用强制移除，但有丢数据风险。

取消关联 前提条件 该环境下如果存在已发布的应用实例，则不允许解除项目与环境的关联关系。 1. 登录微服务云应用控制台，选择“应用管理 > 应用列表”。 2. 点击项目名，在“环境列表”，单击右侧的“关联环境”。 3. 选择某个已关联的环境，单击右侧的“删除关联”。 4. 在弹出的提示框中，单击“确定”，完成删除项目环境关联。

介绍云审计服务对接微服务引擎。 云审计服务支持的CSE操作列表 CSE通过云审计服务（Cloud Trace Service，简称CTS）为您提供云服务资源的操作记录，记录内容包括您从控制台或者API发起的云服务资源操作请求以及每次请求的结果，供您查询、审计和回溯使用。 如果您需要收集、记录或者查询Nacos引擎和ServiceComb引擎的操作日志，需要先帮助中心 > 云审计 > 计费说明 > 申请云审计服务。通过云审计服务可查看Nacos和ServiceComb引擎最近7天的操作记录，支持记录的操作日志详情见下表。 表 云审计服务支持的Nacos引擎操作列表 操作类型 资源类型 事件名称 创建引擎 engine CreateEngineJob 删除引擎 engine DeleteEngineJob 创建服务 service createService 修改服务 service modifyService 删除服务 service deleteService 发布配置 config publishConfig 删除配置 config deleteConfig 创建命名空间 namespace createNamespace 修改命名空间 namespace modifyNamespace 删除命名空间 namespace deleteNamespace 表 云审计服务支持的ServiceComb引擎操作列表 操作类型 资源类型 事件名称 创建引擎 engine createEngine 删除引擎 engine deleteEngine 升级或变更引擎 engine upgradeOrModifyEngine 创建引擎备份任务 engine createEnginebackup 删除引擎备份任务 engine deleteEnginebackup 创建引擎恢复任务 engine createEnginerecovery 创建引擎备份策略 engine createEnginebackupstrategy 删除引擎备份策略 engine deleteEnginebackupstrategy 更新引擎备份策略 engine updateEnginebackupstrategy 更新灰度发布规则 engine ModifyDarklaunch 删除灰度发布 engine DeleteDarklaunch 修改配置项 engine ModifyConfig 新增配置项 engine CreateConfig 删除配置项 engine DeleteConfig 更新治理规则 engine ModifyGovernpolicy 更新微服务 engine modifyMicroservice 创建微服务 engine createMicroservice 删除微服务 engine deleteMicroservice 创建微服务标签 engine createMicroserviceTag 更新微服务标签 engine updateMicroserviceTag 删除微服务标签 engine deleteMicroserviceTag 创建微服务规则 engine createMicroserviceRule 更新微服务规则 engine updateMicroserviceRule 删除微服务规则 engine deleteMicroserviceRule 创建微服务契约 engine createMicroserviceSchema 更新微服务契约 engine updateMicroserviceSchema 删除微服务契约 engine deleteMicroserviceSchema 更新微服务依赖关系 engine updateMicroserviceDependency 更新微服务属性 engine updateMicroserviceProperty 更新微服务 engine updateMicroservice 更新监控阈值 engine updateThreshold 更新自定义规则 engine updateItemmeta 删除自定义规则 engine DeleteItemmeta 执行配置项清理 engine executeConfigcleanup 更新微服务实例状态 engine updateInstanceStatus 更新微服务实例属性 engine updateInstanceProperty 创建微服务实例 engine createInstance 删除微服务实例 engine deleteInstance

本章节主要介绍登录linux物理机。 约束与限制： 仅Linux物理机支持远程登录。 只有该物理机的创建者，或者拥有Tenant Administrator或Server Administrator角色的用户才能远程登录该物理机。 物理机远程登录的界面不支持中文输入法，不支持桌面图形化操作。 物理机远程登录，对Ctrl、Alt等快捷键支持不够友好，比如“Alt + ASCII码”表示的特殊字符会输出多个特殊字符。 密钥对（KeyPair）登录方式创建的Linux物理机，需要先使用密钥登录物理机（参考SSH密钥方式登录）设置密码才可以进行远程登录。具体操作如下： 使用密钥登录物理机后切换到root帐户，执行命令passwd即可设置root密码。 1. 登录天翼云，进入控制中心。 2. 选择“计算 > 物理机服务”，进入物理机页面。 3. 选择一台物理机，单击“远程登录”。开始建立连接，大约1分钟后进入登录界面，按“Enter”后输入用户名和密码即可登录。 说明 获取远程登录链接后，如果10分钟内未登录，则该链接失效，需要重新获取。 远程登录的界面如果10分钟未操作，则该页面失效，需要重新获取链接并登录。 如果在登录界面按“Enter”后没有响应，可能因为该物理机所使用的镜像未配置远程登录功能，请参考 sectionf6d0bfd17b025404 远程登录物理机后，如果控制台显示异常（比如错行、乱码），请参考

查看与编辑混部规则详情 1. 登录云容器引擎控制台，选择指定集群后，选择左侧菜单栏“混合部署应用混部应用优先级配置”菜单。在规则列表中点击某一规则名称，进入详情页面。 2. 点击左上角“编辑”按钮，可修改 QoS 类型及负载感知调度器设置。 绑定与解绑应用 1. 登录云容器引擎控制台，选择指定集群后，选择左侧菜单栏“混合部署应用混部应用优先级配置”菜单。在规则列表中点击某一规则名称，进入详情页面。 2. 点击“绑定”按钮，弹出批量绑定应用窗口。 3. 可通过命名空间、工作负载类型等筛选待绑定应用。 4. 勾选目标应用，点击“确定”即可批量绑定。 5. 在已绑定应用列表中，点击单个应用末尾的“解绑”按钮，可解除该应用与规则的绑定关系。 常见问题与说明 绑定应用后无效果？ 确认应用已正确选择并绑定，稍等片刻或刷新页面。 规则删除失败？ 检查是否有应用仍绑定该规则，需先解绑所有应用。 编辑规则后部分应用未生效？ 编辑后新配置仅对后续调度生效，已运行的应用需重启或重新调度。 注意 建议为不同业务类型的应用设置合理优先级，避免资源争抢。 编辑或删除规则前，请确认相关应用的运行影响。 批量操作时请谨慎选择目标应用，避免误操作。

本节包含专属云（计算独享型）用户使用手册。 天翼云专属云（计算独享型）用户使用指南.pdf

本章节主要介绍云搜索服务自定义策略。 如果系统预置的ES权限，不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参考云搜索服务API参考中的权限策略和授权项。 目前支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 具体创建步骤请参见：统一身份认证用户指南中有关创建自定义策略的内容。本章为您介绍常用的ES自定义策略样例。 ES系统策略样例 示例1：授权用户ES FullAccess权限，即给用户配置ES的所有权限。 开启ES FullAccess权限，需要依赖OBS和IAM权限，除了配ES FullAccess还要加上IAM ReadOnlyAccess和OBS的所有权限。如果用户需要查看集群监控信息，则需要依赖CES的只读权限。如果用户需要使用终端节服务，除了配置VPCEndpoint Administrator权限，还需要同时配置VPC Administrator、Server Administrator以及DNS Administrator权限。如果用户需要使用标签功能，需要配置TMS Administrator权限。 说明 如果是子账户，需要同时设置GetBucketStoragePolicy、GetBucketLocation、ListBucket权限，才能看到OBS桶。 1.授权用户ES FullAccess权限。 { "Version": "1.1", "Statement": [ { "Action": [ "ES::", "vpc:securityGroups:get", "vpc:securityGroups:create", "vpc:securityGroups:delete", "vpc:securityGroupRules:get", "vpc:securityGroupRules:create", "vpc:securityGroupRules:delete", "vpc:vpcs:list", "vpc:privateIps:list", "vpc:ports:get", "vpc:ports:create", "vpc:ports:update", "vpc:ports:delete", "vpc:quotas:list", "vpc:subnets:get", "ecs:cloudServerFlavors:get", "ecs:serverInterfaces:use", "ecs:cloudServers:addNics", "ecs:quotas:get", "evs:types:get", "evs:quotas:get" ], "Effect": "Allow" } ] } 2.授权用户IAM ReadOnlyAccess自定义策略。 { "Version": "1.1", "Statement": [ { "Action": [ "iam::get", "iam::list", "iam::check" ], "Effect": "Allow" } ] } 3.授权用户OBS的所有权限。 { "Version": "1.1", "Statement": [ { "Action": [ "OBS::" ], "Effect": "Allow" } ] } 4.（可选）授权用户查看集群监控信息权限。 { "Version": "1.1", "Statement": [ { "Action": [ "ces::get", "ces::list" ], "Effect": "Allow" } ] } 5.（可选）授权用户VPCEndpoint Administrator权限。 { "Version": "1.0", "Statement": [ { "Action": [ "VPCEP:endpointservices:" ], "Effect": "Allow" } ], "Depends": [ { "catalog": "BASE", "displayname": "Server Administrator" }, { "catalog": "VPC", "displayname": "VPC Administrator" }, { "catalog": "DNS", "displayname": "DNS Administrator" } ] } 6.（可选）授权VPC Administrator权限。 { "Version": "1.0", "Statement": [ { "Action": [ "vpc:vpcs:", "vpc:routers:", "vpc:networks:", "vpc:subnets:", "vpc:ports:", "vpc:privateIps:", "vpc:peerings:", "vpc:routes:", "vpc:lbaas:", "vpc:vpns:", "ecs::get", "ecs::list", "elb::get", "elb::list" ], "Effect": "Allow" } ] } 7.（可选）授权Server Administrator权限。 { "Version": "1.1", "Statement": [ { "Action": [ "ecs::", "evs::get", "evs::list", "evs:volumes:create", "evs:volumes:delete", "evs:volumes:attach", "evs:volumes:detach", "evs:volumes:manage", "evs:volumes:update", "evs:volumes:uploadImage", "evs:snapshots:create", "vpc::get", "vpc::list", "vpc:networks:create", "vpc:networks:update", "vpc:subnets:update", "vpc:subnets:create", "vpc:routers:get", "vpc:routers:update", "vpc:ports:", "vpc:privateIps:", "vpc:securityGroups:", "vpc:securityGroupRules:", "vpc:floatingIps:", "vpc:publicIps:", "vpc:bandwidths:", "vpc:firewalls:", "ims:images:create", "ims:images:delete", "ims:images:get", "ims:images:list", "ims:images:update", "ims:images:upload" ], "Effect": "Allow" } ], "Depends": [ { "catalog": "BASE", "displayname": "Tenant Guest" }, { "catalog": "BASE", "displayname": "BSS Administrator" }, { "catalog": "BASE", "displayname": "VPC Administrator" }, { "catalog": "BASE", "displayname": "IMS Administrator" } ] } 8.（可选）授权DNS Administrator权限。 { "Version": "1.0", "Statement": [ { "Action": [ "DNS:Zone:", "DNS:RecordSet:", "DNS:PTRRecord:" ], "Effect": "Allow" } ], "Depends": [ { "catalog": "BASE", "displayname": "Tenant Guest" }, { "catalog": "VPC", "displayname": "VPC Administrator" } ] } 9.（可选）授权TMS Administrator权限。 { "Version": "1.0", "Statement": [ { "Action": [ "TMS:predefinetag:", "TMS:resourcetag:" ], "Effect": "Allow" } ], "Depends": [ { "catalog": "BASE", "displayname": "Tenant Guest" }, { "catalog": "BASE", "displayname": "Server Administrator" }, { "catalog": "IMS", "displayname": "IMS Administrator" }, { "catalog": "Auto Scaling", "displayname": "AutoScaling Administrator" }, { "catalog": "VPC", "displayname": "VPC Administrator" }, { "catalog": "VBS", "displayname": "VBS Administrator" }, { "catalog": "OBS", "displayname": "Tenant Administrator" }, { "catalog": "OBS", "displayname": "Tenant Guest" } ] } 说明 如果用户账号开通了企业项目： 当该账号配置ES FullAccess权限时，即使给单个企业项目只配了ES ReadOnlyAccess权限，但所有企业项目都拥有ES FullAccess权限。 如果给单个企业项目开通了ES FullAccess权限，则该企业项目下的所有子用户都可以拥有该权限。如：企业项目default配了ES FullAccess权限，那么子用户可以读到default企业项目下的集群，且进行读写操作。 示例2：授权用户ES ReadOnlyAccess权限，即给用户配置ES的只读权限。如果用户需要查看集群监控信息，则需要依赖CES的只读权限。 1.授权用户ES ReadOnlyAccess权限。 { "Version": "1.1", "Statement": [ { "Action": [ "ES::get", "ES::list", "vpc:securityGroups:get", "vpc:securityGroupRules:get", "vpc:vpcs:list", "vpc:privateIps:list", "vpc:ports:get", "vpc:quotas:list", "vpc:subnets:get", "ecs:cloudServerFlavors:get", "ecs:quotas:get", "evs:types:get", "evs:quotas:get" ], "Effect": "Allow" } ] } 2.（可选）授权用户查看集群监控信息权限。 { "Version": "1.1", "Statement": [ { "Action": [ "ces::get", "ces::list" ], "Effect": "Allow" } ] } 说明 如果用户账号开通了企业项目： 在统一认证服务中给该账号开通了ES ReadOnlyAccess权限，但是给某个企业项目配置了ES FullAccess权限，那么子用户可以读到所有企业项目下的集群，但是只对开通ES FullAccess权限下的集群进行写操作。例如，给企业项目default配置了ES FullAccess权限，那么子用户可以读到所有企业项目下的集群，但是只对default下的集群进行写操作。 在统一认证服务中给该账号开通了ES ReadOnlyAccess权限，但是没有给单个企业项目授权，则子账户只能读取该项目下的集群，不能进行写操作。例如，给企业项目default配了ES ReadOnlyAccess，那么子用户可以读到default企业项目下的集群，不可进行写操作。

类别 默认用户 初始密码 描述 OMS数据库 ommdba dbChangeMe@123456 OMS数据库管理员用户，用于创建、启动和停止等维护操作 OMS数据库 omm ChangeMe@123456 OMS数据库数据访问用户 DBService数据库 omm dbserverAdmin@123 DBService组件中GaussDB数据库的管理员用户 DBService数据库 hive HiveUser@ Hive连接DBService数据库用户 DBService数据库 hue HueUser@123 Hue连接DBService数据库用户 DBService数据库 sqoop SqoopUser@ Loader连接DBService数据库的用户 DBService数据库 ranger RangerUser@ Ranger连接DBService数据库的用户

本章节主要介绍通过数据地图查看数据血缘关系的方案概述。 什么是数据血缘 大数据时代，数据爆发性增长，海量的、各种类型的数据在快速产生。这些庞大复杂的数据信息，通过联姻融合、转换变换、流转流通，又生成新的数据，汇聚成数据的海洋。 数据的产生、加工融合、流转流通，到最终消亡，数据之间自然会形成一种关系。我们借鉴人类社会中类似的一种关系来表达数据之间的这种关系，称之为数据的血缘关系。与人类社会中的血缘关系不同，数据的血缘关系还包含了一些特有的特征： 归属性 ：一般来说，特定的数据归属特定的组织或者个人，数据具有归属性。 多源性 ：同一个数据可以有多个来源（多个父亲）。一个数据可以是多个数据经过加工而生成的，而且这种加工过程可以是多个。 可追溯性 ：数据的血缘关系，体现了数据的生命周期，体现了数据从产生到消亡的整个过程，具备可追溯性。 层次性 ：数据的血缘关系是有层次的。对数据的分类、归纳、总结等对数据进行的描述信息又形成了新的数据，不同程度的描述信息形成了数据的层次。 详见下图：数据血缘关系示例 DataArts Studio数据血缘实现方案 数据血缘的产生： 在DataArtsStudio平台，自动分析血缘是通过在数据开发模块中配置数据处理迁移类型的节点产生的，当前支持采集节点静态配置产生的血缘和部分节点实例上的血缘。详情请参见 配置数据血缘章节中的 自动分析血缘。 另外，DataArtsStudio平台还支持手动配置血缘方式，当用户手动配置血缘时，自动分析血缘将不生效。详情请参见 配置数据血缘章节中的 手动配置血缘。 数据血缘的展示： 当数据开发模块中的作业已完成血缘关系配置后，启动作业调度，并在数据目录模块进行元数据采集任务，则可以在数据目录模块可视化查看数据血缘关系。

购买弹性云主机 1. 登录天翼云“控制中心(控制台)”，在页面上方选择用户对应购买弹性云主机的地域，例如“福州3”。选择“计算”大类下的“弹性云主机”产品。或是在天翼云官网首页点击“立即订购”。 2. 单击“创建弹性云主机”。 配置弹性云主机实例规格 1. 选择计费模式“包年/包月”或是“按量付费”。 2. 完成页面必填项的选择，例如地域、主机名称、规格、镜像类型、存储等。 说明 创建弹性云主机过程，请您根据规格特性，选择符合业务需求的弹性云主机规格。请参考： 使用弹性云主机需要您支付相应费用，详细请见： 创建弹性云主机需要配置系统盘与数据盘，如果您对存储性能有要求，请参考： 您需要为存储支付相应的费用，详细请见： 网络配置 1. 选择弹性云主机对应的网络配置选项含网卡、扩展网卡、安全组、弹性IP等，根据页面提示完成操作。 2. 点击“下一步：高级配置”按钮。 说明 安全组是控制弹性云主机访问策略的组件，相关概念与操作，请参考： 如果您有访问公网的需求，请您使用弹性IP，相关概念与应用场景，请参考： 您需要为弹性IP支付相应的费用，详细请见：

本节为您介绍智能网关实例业务变配的操作步骤。 您可以依据业务需求为智能网关实例进行带宽升配、带宽临时升配（订购弹性带宽包）或者设备升级。 带宽升配 为智能网关实例升配带宽前，您需要了解以下信息： 变配限制 生效时间 计费影响 适用场景 修改智能网关实例的带宽峰值时，只支持选择比当前实例更高的带宽规格。 通常升配后的实例带宽会立即生效。但可能会因为网络等原因有一定延迟，请您耐心等待。 为实例升配时需要支付变配后与变配前带宽峰值所需费用的差额。 当智能网关实例的带宽峰值不满足您的业务需求时，您可以进行升配。 操作步骤 1. 登录天翼云SDWAN控制台； 2. 选择“智能网关”，单击目标智能网关实例“操作”列的“升配”； 3. 根据页面提示，选择“带宽升配”，用户可调大带宽值； 4. 提交订单，支付成功后，完成带宽升配。 设备升配 为智能网关实例升配设备前，您需要了解以下信息： 变配限制 生效时间 计费影响 适用场景 升级智能网关实例的设备时，只支持硬件设备从单机升级到双机备份。 设备升配后，需要沟通新设备发货及装维相关事宜，请您耐心等待。 为实例升配时需要支付变配后与变配前单个设备所需费用的差额。 当业务需要更高的可用性时，您可以进行设备升配，建立设备主备关系。

指定创建的Hive表默认Location为OBS路径 1.登录FusionInsight Manager，选择“集群 > 服务 > Hive > 配置 > 全部配置”。 2.在左侧的导航列表中选择“MetaStore > 自定义”。在自定义配置项中，给参数“hive.metastore.customized.configs”添加配置项“hive.metastore.warehouse.dir”，设置值为OBS路径。 详见下图：hive.metastore.warehouse.dir配置 3.在左侧的导航列表中选择“HiveServer > 自定义”。在自定义配置项中，给参数“hive.metastore.customized.configs”和“hive.server.customized.configs”添加配置项“hive.metastore.warehouse.dir”，设置值为OBS路径。 详见下图：hive.metastore.warehouse.dir配置 4.保存并重启Hive服务。 5.更新客户端配置文件。 a.执行以下命令修改客户端Hive配置文件目录下的“hivemetastoresite.xml”。 vim /opt/Bigdata/client/Hive/config/hivemetastoresite.xml b.将“hive.metastore.warehouse.dir”的值修改为对应的OBS路径。 6.进入beeline客户端，创建表并确认Location为OBS路径。 beeline create table test(name string); desc formatted test; 说明 如果当前数据库Location已指向HDFS，那么在当前数据库下建表（不指定Location）默认也指向当前HDFS。如需修改默认建表策略可以修改数据库的Location重新指向OBS。操作如下： a.执行以下命令查看数据库Location。 show create database obstest ; b.执行以下命令修改数据库Location。 alter database obstest set location obs:// OBS 并行文件系统名称/user/hive/warehouse/ 数据库名' 执行命令 show create database obstest ，查看数据库Location已经指向OBS。 c.执行以下命令修改表的Location。 alter table userinfo set location ' obs:// OBS 并行文件系统名称/user/hive/warehouse/ 数据库名/ 表名' 如果表已有业务数据，需要同步迁移原数据文件至修改后的Location地址。

本文介绍了如何在公网连接RDSPostgreSQL。 RDSPostgreSQL支持客户以公网形式通过PostgreSQL客户端连接实例。 前提条件 1.绑定弹性IP并设置安全组规则 订购并创建弹性公网IP，请参见申请弹性IP。 获取本地设备的IP地址，以便配置安全组使用。 配置安全组规则，将本地设备IP地址及目标实例端口加入安全组允许访问范围中。安全组设置参见添加安全组规则。 2.安装PostgreSQL客户端 请参见数据库基本使用安装PostgreSQL客户端。 命令行连接 通过公网连接RDSPostgreSQL实例。以Linux系统为例，可以执行如下命令： psql h p U d 参数说明： ：主机IP，即控制台页面的实例列表>实例详情页面中的网络下的"弹性IP"。 ：数据库端口，为“实例详情”页面中的数据库端口。 ：用户名，即 PostgreSQL数据库帐号（默认管理员帐号为 root）。 ：数据库名，即PostgreSQL实例里面的数据库，默认初始化的数据库名是postgres。 示例： psql h xx.xx.xx.xx p xxxx U root –d postgres

事件来源 事件名称 事件ID 事件级别 事件说明 RDS 重置数据库管理员密码 resetPassword 重要 重置数据库管理员密码 RDS 集群扩容等操作 instanceAction 重要 磁盘扩容、规格变更 RDS 删除集群下的实例 deleteInstance 次要 删除集群下的实例 RDS 修改备份策略 setBackupPolicy 次要 修改备份策略 RDS 修改参数组 updateParameterGroup 次要 修改参数组 RDS 删除参数组 deleteParameterGroup 次要 删除参数组 RDS 重置参数组 resetParameterGroup 次要 重置参数组 RDS 修改数据库端口号 changeInstancePort 重要 修改数据库端口号 RDS 实例主备切换 PrimaryStandbySwitched 重要 仅故障自动主备切换支持事件监控，手动主备切换不支持。

本小节介绍微隔离防火墙业务拓扑使用说明。 工作组 拓扑中每个椭圆形标识代表一个工作组，类似于传统安全中的安全域、业务组等概念。 每个工作组有13个标签，分为位置标签、应用标签、环境标签，可以通过这三个标签来标识一个工作组，例如：“北京电商生产”、“天翼云web测试”等。 单击工作组，可查看该组的基本信息。基本信息页面可以修改该工作组的标签及策略状态。 注意 标签的修改会导致策略的变化，在防护状态下，谨慎修改。 针对工作组修改策略状态时，会改变改组内所有工作负载的策略状态。 点击详细信息，可进入工作组的详细页面。 双击工作组，可展开此工作组，并查看其中工作负载。 工作负载 工作组中每个小方块代表一个工作负载（工作负载可以是物理服务器、虚拟机或容器）。 单击工作负载，可查看该工作负载的基本信息，拓扑中也会高亮显示与此工作负载有访问关系的其他工作负载。 在工作负载基本信息框中可快速修改该工作负载角色及策略状态。重新统计按钮可清空所有针对此工作负载的访问连接记录。 支持在基本信息框中直接新建角色。

本章节主要介绍使用Impala客户端 。 使用Impala客户端 Impala是用于处理存储在Hadoop集群中的大量数据的MPP（大规模并行处理）SQL查询引擎。 它是一个用C++和Java编写的开源软件。 与其他Hadoop的SQL引擎相比，它拥有高性能和低延迟的特点。 背景信息 假定用户开发一个应用程序，用于管理企业中的使用A业务的用户信息，使用Impala客户端实现A业务操作流程如下： 普通表的操作： 创建用户信息表userinfo。 在用户信息中新增用户的学历、职称信息。 根据用户编号查询用户姓名和地址。 A业务结束后，删除用户信息表。 详见下表：用户信息 编号 姓名 性别 年龄 地址 12005000201 A 男 19 A城市 12005000202 B 女 23 B城市 12005000203 C 男 26 C城市 12005000204 D 男 18 D城市 12005000205 E 女 21 E城市 12005000206 F 男 32 F城市 12005000207 G 女 29 G城市 12005000208 H 女 30 H城市 12005000209 I 男 26 I城市 12005000210 J 女 25 J城市 前提条件 已安装客户端，例如安装目录为“/opt/hadoopclient”，以下操作的客户端目录只是举例，请根据实际安装目录修改。

如果发生了数据倾斜 此时倾斜executor不会出现Exception，但是内存heap使用量偏高，会发出内存告警。 这一点可以在web UI的task列表中清晰的看到stage的某一个task相对于其他task，其computing time明显很长。 这种情况下一般是shuffle发生了数据倾斜，首先可以使用map combiner，降低map侧的倾斜的shuffle reduce分区的数据量。 此外，可以通过编程，提取出topk的shuffle reduce 分区的key值，然后将对应shuffle Key的rdd partition打上随机数，做一个均匀分割，然后执行reduceByKey操作，最后去掉随机数，再执行一次reduceByKey。 如果不想这样，可以使用hive。 Heap User Heap User作用 用户自定义数据结构，这个就是用户使用spark core api 或者 spark sql api过程中使用了其他数据结构进行编程，因而产生了一些heap消耗。 Heap User不足 存在heap不足的情况，一般是用户将task的计算结果，RDD.collect 到driver中的数据结构中，这种情况，需要去使用专门的connector，实现分布式计算和读写。 还有就是用户执行sql的时候，会进行非insert 操作，即直接select读取大表，导致driver内存不足够，这种情况下建议使用limit 操作，或者 使用spark的流式返回功能。

本文主要介绍高频常见问题。 计费 云容器引擎CCE如何收费？ 集群管理 CCE集群创建失败的原因与解决方法？ 集群的管理规模和控制节点的数量有关系吗？ 当集群状态为“不可用”时，如何排查解决？ 节点及节点池 集群可用，但节点状态为“不可用”？ 如何变更CCE集群中的节点规格？ 工作负载 工作负载异常：实例调度失败 工作负载异常：实例拉取镜像失败 工作负载异常：结束中，解决Terminating状态的Pod删不掉的问题 CCE集群中工作负载镜像的拉取策略？

参数 类型 描述 是否必须 filter String 查询的过滤条件。可以选择多个查询，如果是或的关系，使用“or”将查询条件分隔开；如果是与的关系，使用“and”将查询条件分隔开。 支持的过滤条件类型包括： qosName：策略名称。 否 range String 查询QoS策略的范围，格式为ij，i和j为正整数，0

托管检测与响应服务（原生版）续费说明。 托管检测与响应服务（原生版）的基础版、企业版、全流量分析服务支持续费。 续订周期 基础版：可按月 或按年续费。 企业版：仅支持按年续费。 全流量分析服务：可按月 或按年续费。 续订步骤 续订基础版 续订企业版 续订全流量分析服务

添加逻辑集群lc2 1. 在集群管理页面，单击指定集群名称进入“集群详情”页面，在左导航栏单击“逻辑集群管理”。 2. 进入逻辑集群页面，单击右上角“添加逻辑集群”，从右侧勾选3个节点到左侧列表中，并输入逻辑集群名称lc2，单击“确定”。 请耐心等待约2分钟，逻辑集群添加成功。 创建逻辑集群关联用户并实现跨逻辑查询数据 1. 以系统管理员连接数据库，执行以下SQL语句查询原业务表name。 验证转换后，业务数据查询正常。 SELECT FROM name; 2. 执行以下语句创建u1关联逻辑集群lc1，u2关联逻辑集群lc2。 CREATE USER u1 NODE GROUP "lc1" password '{password} '; CREATE USER u2 NODE GROUP "lc2" password ' {password} '; 3. 以用户u1登录数据库，创建新表u1.t1并插入两条数据，同时授权用户u2可以访问该表。 CREATE TABLE u1.t1 (id int, name varchar(20)); INSERT INTO u1.t1 VALUES (1,'joy'),(2,'lily'); GRANT USAGE ON SCHEMA u1 TO u2; GRANT SELECT ON TABLE u1.t1 TO u2; 4. 以用户u2登录数据库，查询原业务表t1数据，提示无权访问逻辑集群lc1。结果表明，即使用户u1已经授权了u2可以访问该表，但是由于这张表在不同的逻辑集群，所以仍然无法访问，证明逻辑集群间数据隔离。 SELECT FROM u1.t1; 5. 切回系统管理员dbadmin窗口，将逻辑集群lc1的访问权限授予用户u2。 GRANT USAGE ON NODE GROUP lc1 TO u2; 6. 再次切到用户u2窗口，查询表t1成功。结果验证绑定了逻辑集群lc2的用户可以跨逻辑集群查询到原业务表t1。实现逻辑集群间的数据共享。 SELECT FROM u1.t1;

本文介绍配置安全组的入方向规则的最佳实践。您可以通过配置安全组规则,允许或禁止安全组内的ECS实例对公网或私网的访问。 弹性云主机是天翼云提供的云服务器。安全组（Security Group）是用于设置云服务器实例的网络访问控制的虚拟防火墙，一般是作为流量访问白名单存在，以下是一些ECS安全组的最佳实践： 开放原则 默认拒绝所有流量：新建的安全组规则默认情况下拒绝所有入站和出站流量，这是一种良好的安全实践。 仅开放必要的端口和协议，避免使用0.0.0.0/0规则：根据应用需求，只开放必要的端口和协议，例如HTTP（80端口）、HTTPS（443端口）等。避免开放不必要的端口，以减少攻击面。 分组原则 根据应用需求进行分组：根据应用程序或服务的需求，可以将安全组规则进行分组。例如，将Web服务器相关的规则放在一个Web层安全组中，数据库服务器相关的规则放在另一个Database层安全组中。这样可以更好地管理和组织安全组规则，暴露不同的出入规则和权限。 避免过度复杂化：尽量避免创建过多的安全组，以免管理和维护变得复杂。根据实际情况合理划分安全组，保持简洁和易于管理。 授权原则 基于最小权限原则：为安全组授权时，应遵循最小权限原则，仅授予实例所需的访问权限。只开放必要的端口和IP地址范围，避免授权过度，减少潜在的安全风险。 限制访问来源：根据实际需求，限制访问来源的IP地址或IP地址段。仅允许特定的IP地址或IP地址段访问云主机，以增加安全性。

本章节主要向您介绍企业路由器的权限管理相关内容。 如果您需要对云服务平台上的ER资源，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制服务资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并授权控制他们对资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有ER的使用权限，但是不希望他们拥有删除ER等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用ER，但是不允许删除ER的权限，控制他们对ER资源的使用范围。 如果账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用ER服务的其它功能。 IAM是云服务平台提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。 ER权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 ER部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问ER时，需要先切换至授权区域。 下表介绍了ER的所有系统权限。 系统角色/策略名称 描述 类别 依赖关系 ER FullAccess 企业路由器的管理员权限，拥有该权限的用户可以操作并使用所有企业路由器。 系统策略 无 ER ReadOnlyAccess 企业路由器只读权限，拥有该权限的用户仅能查看企业路由器数据。 系统策略 无 下表介绍了ER常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 操作 Tenant Administrator Tenant Guest ER FullAccess ER ReadOnlyAccess 创建企业路由器 √ × √ × 修改企业路由器配置 √ × √ × 查看企业路由器 √ √ √ √ 删除企业路由器 √ × √ × 在企业路由器中添加“虚拟私有云（VPC）”连接 √ × √ × 删除“虚拟私有云（VPC）”连接 √ × √ × 查看连接（所有类型） √ √ √ √ 创建路由表 √ × √ × 修改路由表名称 √ × √ × 查看路由表 √ √ √ √ 删除路由表 √ × √ × 创建关联将连接关联至路由表中 √ × √ × 查看路由表中关联的连接 √ √ √ √ 删除路由表中关联的连接 √ × √ × 在路由表中创建连接的传播 √ × √ × 查看路由表中连接的传播 √ √ √ √ 删除路由表中连接的传播 √ × √ × 创建静态路由 √ × √ × 修改静态路由 √ × √ × 查看路由 √ √ √ √ 删除静态路由 √ × √ × 创建流日志 √ × √ × 查看流日志 √ √ √ √ 关闭流日志 √ × √ × 开启流日志 √ × √ × 删除流日志 √ × √ × 添加资源的标签 √ × √ × 修改资源的标签 √ × √ × 查看资源的标签 √ √ √ √ 删除资源的标签 √ × √ ×

本节主要介绍产品规格差异 微服务引擎服务数限制说明 微服务引擎专业版：专业版引擎Cloud Service Engine是ServiceStage提供的免费体验引擎。专业版引擎可以体验ServiceStage的所有产品能力，比如服务治理、配置管理等。引擎资源为所有租户共享，性能可能会受其他租户影响；专业版引擎不支持升级到专享版。 微服务引擎专享版：专享版引擎，是可支持大规模微服务应用管理的商用引擎。您可根据业务需要选择不同规格，不支持规格变更；专享版引擎资源独享，性能不受其他租户影响。 微服务引擎支持最大服务数说明如下。 表 微服务引擎最大服务限制说明 引擎类型 规格（微服务实例数） :: 微服务引擎专业版 20 微服务引擎专享版 100 微服务引擎专享版 200 微服务引擎专享版 500 微服务引擎专享版 2000

本章节主要介绍翼MapReduce的导出主机信息操作。 操作场景 管理员可以在FusionInsight Manager导出所有主机的信息。 操作步骤 1. 登录FusionInsight Manager。 2. 单击“主机”。 3. 在右上角的下拉菜单中选择所需主机的类型，也可以通过“高级搜索”进一步筛选所需主机。 4. 单击“导出全部”，在“保存类型”选择“TXT”或“CSV”。单击“确定”开始导出。

本文介绍如何安装Nginx Ingress Controller。 您可通过在插件管理页面安装Nginx Ingress Controller，详细操作步骤如下： 操作步骤 1. 登录云容器引擎控制台。 2. 在控制台的左侧导航栏中点击“集群”。 3. 在集群列表页面中，单击目标集群的名称进入集群详情界面。 4. 在集群管理页面的左侧导航栏中，选择“插件” ，然后单击“插件市场” 。 5. 在插件市场页面找到“nginxingresscontroller ”，点击“安装”。 6. 在弹出页中确定插件版 、超时时长以及YAML信息，单击“安装”。 7. 如果在nginxingresscontroller插件区域的右上角显示已安装，则表示该插件已安装成功。

本章节介绍如何查看已创建完成的备份任务。 1、登录控制中心； 2、选中【存储】【云硬盘备份】； 3、在云硬盘备份界面，单击【管理备份策略】按钮，进入管理备份策略页面； 4、选中已创建的备份策略，该策略下【备份任务】页签可查看选中备份策略的所有备份任务详情； 5、可通过该页签下列表右上方的搜索框，选择备份任务状态进行任务查找。 说明 当前任务列表支持查看最近30天内按照备份策略执行任务的情况。 30 天之前的根据备份策略生成的备份是否成功，可以通过云硬盘备份列表进行检查： 1.可以查到 30 天前对应时间点的备份且状态为“可用”，则表示备份成功。 2.如果期望的云硬盘备份不存在，且没有超过备份保存数量和进行过手动删除，或者备份状态为“错误”，则表示备份未成功。 最近一天的已完成的备份任务状态为“失败”时，将通过邮件和短信（注册用户时提供了邮箱地址和手机号的情况下）的方式提醒租户。