为确保DRDS高效、稳定运行，需对应用可能运行的SQL语句进行审计，找出不符合规范的语句，拒绝语句执行或者对用户提示警告，即通过DML审计规则可以实现SQL黑名单的功能。本文为您介绍如何开启或关闭已有的审计规则。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 分布式关系型数据库 ，进入分布式关系型数据库产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择DRDS > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击操作 列的管理 ，进入实例基本信息页面。 4. 在左侧目录单击数据库安全 ，然后单击数据库审计 页签，进入DML审计页面。 您可以在审计日志列表中查看目标分组和分片的审计日志，包括时间、数据库、语句、用户、客户端、审计方式和审计信息。 5. 选中目标分组，单击查看或修改审计 规则，进入DML审计规则面板。 6. 在DML审计规则列表中，找到目标审计规则，然后在开启列打开或关闭该审计规则。 系统默认配置了常用的审计规则，您可以根据需要进行启停操作。也可以根据实际情况新增DML审计规则，并对其进行启停操作。

为什么要更新VMTools？ 平台会定期从virtio社区同步问题修复，每月发布更新版本可以帮您进行以下优化： 1. 问题修复和安全性： VMTools 提供了与宿主机系统的交互，包括文件共享、鼠标和键盘集成等功能。更新VMTools可以获得最新的问题修复和安全性更新，确保在您的虚拟机中使用过程中不会遇到已知问题或潜在的安全漏洞。 2. 兼容性： 更新VMTools可以确保虚拟机与宿主机的软件和硬件环境保持兼容。随着宿主机和虚拟化平台的更新，旧版本的VMTools可能会出现不兼容性问题，更新可以避免这些问题。 3. 性能优化： 新版本的VMTools通常会带来性能优化，从而提升虚拟机的性能和响应速度。通过更新，您可以获得更好的虚拟机性能体验。 4. 新功能支持： 更新VMTools可能会引入新的功能和增强，从而改善虚拟机的功能和管理能力。这些功能可以帮助您更有效地管理和操作虚拟机。 什么时候更新VMTools？ 更新VMTools的时机取决于问题的严重程度、安全性、定期更新以及您所使用的镜像类型。保持最新的VMTools版本是确保虚拟机安全、稳定和高效运行的重要措施。建议您在通过以下考虑来进行VMTools更新： 重大错误或安全问题： 如果发现VMTools中存在重大错误或安全问题，建议立即更新，以确保虚拟机的安全性和稳定性。这是保护您的虚拟机免受潜在威胁的重要步骤。 定期更新： 平台会定期将更新的VMTools版本提供至OBS桶，以确保您在制作私有镜像或安装新虚拟机时可以获得最新版本的VMTools。您可以定期检查是否有新版本可用，并在需要时进行更新。 公共镜像更新： 如果您使用平台提供的公共镜像，这些镜像会定期更新，以确保其中包含了最新版本的VMTools。在使用这些镜像时，您可以放心地获得更新的VMTools。 文档和资料同步： 平台会确保文档中的下载链接与OBS桶中的文件保持同步，以确保您能够轻松地下载到最新版本的VMTools。在需要更新时，您可以从指定的下载链接获取新版本。

本节介绍什么是SSH密钥及使用限制条件。 简介 SSH密钥对是一种安全便捷的登录认证方式，由公钥和私钥组成。 SSH密钥对通过加密算法生成一对密钥，默认采用RSA 2048位的加密方式。 要使用SSH密钥对登录Linux实例，用户必须先创建一个密钥对，并在创建实例时指定密钥对，然后使用私钥连接实例。 优势 安全性：SSH密钥对登录认证更为安全可靠。密钥对安全强度远高于常规用户口令，可以杜绝暴力破解威胁，且无法通过公钥推导出私钥。 便捷性：如果客户将公钥配置在Linux实例中，那么，在本地或者另外一台实例中，您可以使用私钥通过SSH命令或相关工具登录目标实例，而不需要输入密码，便于远程登录大量Linux实例，方便管理。如果需要批量维护多台Linux实例，推荐使用这种方式登录。 使用限制 如果使用SSH密钥对登录Linux实例，将会禁用密码登录，以提高安全性。 仅支持Linux实例。 通过控制台绑定密钥对时，一台Linux实例只能绑定一个密钥对，如果用户有使用多个密钥对登录实例的需求，可以在实例内部手动修改~/.ssh/authorizedkeys文件，添加多个密钥对。创建虚拟机实例时可选是否关联密钥对。

威胁情报类型关联布局 说明 系统内置威胁情报类型已默认关联已有布局，暂不支持自定义关联布局。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 运营对象”，进入运营对象的数据类页面后，选择“类型管理”页签，进入类型管理页面。 5. 在类型管理页面，选择“威胁情报”页签，进入威胁情报类型管理页面。 6. 在威胁情报类型管理页面中，选择需要关联布局的类型，并单击目标类型所在行“操作”列的“关联布局”，页面弹出绑定布局编辑框。 7. 在绑定布局编辑框中，选择需要关联的布局。 8. 单击“确认”。 编辑已有威胁情报类型 说明 暂不支持编辑系统内置威胁情报类型。 自定义威胁情报类型新增成功后，不支持修改类型名称。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 运营对象”，进入运营对象的数据类页面后，选择“类型管理”页签，进入类型管理页面。 5. 在类型管理页面，选择“威胁情报”页签，进入威胁情报类型管理页面。 6. 在威胁情报类型管理页面中，选择需要编辑的类型，并单击目标类型所在行“操作”列的“编辑”，右侧弹出编辑页面。 7. 在编辑页面中，编辑对应类型的参数信息。 参数名称 参数说明 类型名称 自定义威胁情报的名称。 类型标识 威胁情报标识，不支持修改。 启动状态 设置威胁情报的启动状态。 ：表示启用。 ：表示禁用。 失效时间 设置威胁情报的失效时间。 永不失效：表示当前情报类型永不失效。 时间间隔：设置情报失效的间隔时间。 描述 自定义威胁情报的描述信息。 8. 在页面右下角单击“确认”。

本节介绍如何创建管道。 操作场景 数据传输消息主题和存储索引组合为数据管道。 当您需要使用态势感知（专业版）提供的 安全分析 、 数据分析 、智能建模功能时，需要创建管道。 前提条件 已新建工作空间，具体操作请参见新增工作空间。 已新增数据空间，具体操作请参见新增数据空间。 约束与限制 一个数据空间中最多可创建20个数据管道。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称右侧的，并在下拉选项中选择的“创建管道”，系统从右侧弹出创建管道页面。 6. 在创建管道页面中，配置管道参数，参数说明如下表所示。 参数名称 参数说明 数据空间 该管道所属的数据空间，系统默认生成。 管道名称 自定义管道的名称。命名规则如下： 名称长度取值范围为564个字符。 名称须为工作空间内唯一，不能与工作空间内的其他管道名称相同。 必须以小写英文字母开头，且只能包含小写英文字母、数字和''，且''不能在结尾，也不能连续出现。 不能以系统预留的前缀isap、csb、secmaster、sec、ssec、isec、lsec、security开头。 Shard数 该管道的Shard数量。取值范围为：164。 索引可以存储数据量超过1个节点硬件限制的数据。为满足这样的需求，Elasticsearch提供了一个能力，将一个索引拆分为多个，称为Shard。当您创建一个索引时，您可以根据实际情况指定Shard的数量。每个Shard托管在集群中的任意一个节点中，且每个Shard本身是一个独立的、全功能的“索引”。 生命周期 该管道内数据的生命周期。取值范围为：7180。 描述 可选参数，设置该管道的备注信息。 7. 单击“确定”。 创建成功后，可单击数据空间名称或数据空间栏后的，展开查看已创建的管道。

操作名称 资源类型 事件名称 创建虚拟网络 network createNetwork 更新虚拟网络 networks updateNetwork 删除虚拟网络 networks deleteNetwork 创建虚拟子网 subnets createSubnet 更新虚拟子网 subnets updateSubnet 删除虚拟子网 subnets deleteSubnet 创建虚拟端口 ports createPort 更新虚拟端口 ports updatePort 删除虚拟端口 ports deletePort 创建浮动IP floatingips createFloatingip 更新浮动IP floatingips updateFloatingip 删除浮动IP floatingips deleteFloatingip 创建虚拟路由 routes createRouter 更新虚拟路由 routes updateRouter 删除虚拟路由 routes deleteRouter 添加虚拟路由的接口 routes addRouterInterface 删除虚拟路由的接口 routes removeRouterInterface 为当前vpcrouter添加扩展路由 routes addExtraRoute 为当前vpcrouter删除指定的扩展路由 routes removeExtraRoute 创建安全组 securitygroups createSecuritygroup 删除安全组 securitygroups deleteSecuritygroup 更新安全组 securitygroups updateSecuritygroup 创建安全组规则 securitygrouprules createSecuritygrouprule 删除安全组规则 securitygrouprules deleteSecuritygrouprule 创建一个vpnservice vpn createVpnService 更新vpnservice vpn updateVpnService 删除vpnservice vpn deleteVpnService 创建密钥交换策略 vpn createVpnIkepolicy 更新密钥交换策略信息 vpn updateVpnIkepolicy 删除租户指定ikepolicy vpn deleteVpnIkepolicy 创建一个ipsecpolicy vpn createVpnIpsecpolicy 更新指定ipsecpolicy vpn updateVpnIpsecpolicy 删除指定的ipsecpolicy vpn deleteVpnIpsecpolicy 创建一个ipsec连接 vpn createVpnIpsecsiteconnection 更新ipsec连接 vpn updateVpnIpsecsiteconnection 删除指定ipsec连接 vpn deleteVpnIpsecsiteconnection Create VPN endpoint group vpn createVpnEndpointgroup Update VPN endpoint group vpn updateVpnEndpointgroup Remove VPN endpoint group vpn deleteVpnEndpointgroup 更新代理 agent updateAgent 删除代理 agent deleteAgent 指定网络使用的DHCP Agent agent createAgentDhcpnetwork 移除网络使用的DHCP Agent agent deleteAgentDhcpnetwork 更新指定租户的配额值 quota updateQuota 重置指定租户的配额值 quota deleteQuota 创建firewall group FWaaS v2 createFirewallGroup 更新firewall group FWaaS v2 updateFirewallGroup 删除firewall group FWaaS v2 deleteFirewallGroup 创建firewall policy FWaaS v2 createFirewallPolicy 更新firewall policy FWaaS v2 updateFirewallPolicy 删除firewall policy FWaaS v2 deleteFirewallPolicy firewall policy中插入firewall rule FWaaS v2 insertFirewallPolicyRule firewall policy中移除firewall rule FWaaS v2 removeFirewallPolicyRule 创建firewall rule FWaaS v2 createFirewallRule 更新firewall rule FWaaS v2 updateFirewallRule 删除firewall rule FWaaS v2 deleteFirewallRule 创建loadbalancer loadbalancer createLBaaSLoadbalancer 更新指定的loadbalancer loadbalancer updateLBaaSLoadbalancer 删除指定的loadbalancer loadbalancer deleteLBaaSLoadbalancer 创建listener listener createLBaaSListener 更新指定的listener listener updateLBaaSListener 删除指定的listener listener deleteLBaaSlistener 创建pool pool createLBaaSPool 更新指定的pool pool updateLBaaSPool 删除指定的Pool pool deleteLbaasPool 创建Member member createLBaaSPoolMember 更新指定的Member member updateLBaaSPoolMember 删除指定的member member deleteLBaaSPoolMember 创建healthmonitor healthmonitor createLBaaSHealthMonitor 更新指定的healthmonitor healthmonitor updateLBaaSHealthMonitor 删除指定的healthmonitor healthmonitor deleteLBaaSHealthMonitor

本章节主要介绍数据仓库服务的续订操作。 续订规则 续订规则详情请见天翼云帮助中心费用中心续订规则说明。 按需续费 按需付费模式下无需续订，只需保持账号内余额充足即可。 续费步骤如下 ： 1.在天翼云官网，点击右上角的“管理中心”； 登录页 2.进入“管理中心”页面，选择“充值”； 充值页面 3.进入“费用中心”，在“余额充值”项下输入充值金额，点击“充值”； 输入金额页面 4.进入超级收银台页面，选择合适的支付方式完成付款； 付款方式页 包周期续订 1.在天翼云官网，点击右上角的“管理中心”； 2.左侧导航栏点击“订单管理”“续订管理”，输入筛选条件，找到需要续订的产品，按提示完成续订操作即可。

本文介绍企业组织常见问题 我是主账号，为什么我不能创建子账号？ 天翼云对不同渠道来源的账号做了创建子账号的限制动作。若您为电信省公司渠道账号将不允许在企业中心创建子账号，您可以通过客户经理为您创建账号，再进行邀请加入企业组织。若您为天翼云公司或天翼云省分公司后付费渠道账号，需要由客户经理在BCP完成申请动作才能在企业中心创建子账号。 邀请子账号有什么限制？ 被邀请的子账号需要完成企业实名认证，且原则上要求待被邀请的子账号实名认证信息需与主账号一致，或为关联企业。 代理商渠道账号是否允许开通企业中心功能? 暂时不支持代理商渠道账号开通企业中心。 企业组织对成员账号的授权与CTIAM授权的区别？ 企业组织对成员账号的授权是隐式拒绝权限，是范围权限，判定成员账号只能在其授权范围内，对账号下的用户进行权限管理。对某个IAM用户而言，企业组织权限判定优先级高于CTIAM。

操作场景 查看重保支持、可用性检查、服务月报等服务权益的交付信息、状态等。当服务单完成后，可下载相关的交付件并进行评价。 查看服务单 1、登录天翼云管理中心，点击支持支持计划，进入“我的服务单”页面。 服务单列表展示了客户已申请的重保支持及天翼云交付的可用性检查、服务月报的所有服务单信息。 2、在服务单的“操作”栏点击“查看”，进入服务单的详情页面。 详情页面包含以下内容： 基础信息：服务单号、服务状态等。 服务权益专属信息：当前服务权益的个性化信息。 对于服务单的过程交付件，您可以在线“下载”。 评价服务单 1、登录天翼云管理中心，点击支持支持计划，进入“我的服务单”页面。 2、在状态为“已完成”的服务单的“操作”栏点击“评价”，进入服务单的评价页面。 在“服务评价”区域对各服务维度打星。 服务维度包括：响应速度、交付物质量。

本文介绍如何处理Windows云主机卡顿问题。 问题原因 当您发现云主机的运行速度变慢或云主机突然出现网络断开的现象，则可能是由以下原因导致的： 1. 云主机使用共享型实例：共享型实例在云计算中是指多个虚拟机共享同一台物理服务器的资源，这会导致资源争用，可能导致服务器卡顿问题。 2. 云主机受到恶意软件或病毒的感染：恶意软件可能执行各种恶意任务，占用大量计算资源，增加云主机网络带宽和资源消耗，影响正常的服务运行等，可能导致服务器卡顿问题。 3. 云主机系统资源利用率异常：资源包括CPU、内存、磁盘和网络等，当其中一个或多个资源受到过度使用或不合理分配时，可能导致服务器卡顿问题。 问题处理 云主机使用资源共享型实例 步骤一：问题定位 检查当前云主机的规格类型，共享资源型和独享资源型实例的说明请参见规格类型。 步骤二：问题处理 独享资源型实例在云计算中独享物理服务器的资源，可以提供更稳定和可预测的性能。如果您对业务稳定性有较高要求，建议您将共享型实例变更为独享资源型实例，请参见变更规格。 云主机受到恶意软件或病毒的感染 步骤一：问题定位 定位云主机是否受到恶意软件感染，您可以运行受信任的杀毒软件或安全扫描工具，对服务器进行全面扫描。此外，您还可以检查操作系统、应用程序和安全软件是否为最新版本，并已应用最新的安全更新和补丁。 步骤二：问题处理 如果服务器受到恶意软件感染，及时采取行动非常重要。隔离服务器、运行安全扫描工具、清除恶意软件、更新系统等都是确保服务器安全的关键步骤。

本文介绍如何处理Linux云主机卡顿问题。 问题原因 当您发现云主机的运行速度变慢或云主机突然出现网络断开的现象，则可能是由以下原因导致的。 1. 云主机使用共享型实例：共享型实例在云计算中是指多个虚拟机共享同一台物理服务器的资源，这会导致资源争用，可能导致服务器卡顿问题。 2. 云主机受到恶意软件或病毒感染：恶意软件可能执行各种恶意任务，占用大量计算资源，增加云主机网络带宽和资源消耗，影响正常的服务运行等，可能导致服务器卡顿问题。 3. 云主机系统资源利用率异常：资源包括CPU、内存、磁盘和网络等，当其中一个或多个资源受到过度使用或不合理分配时，可能导致服务器卡顿问题。 问题处理 云主机使用资源共享型实例 步骤一：问题定位 检查当前云主机的规格类型，共享资源型和独享资源型实例的说明请参见规格类型。 步骤二：问题处理 独享资源型实例在云计算中独享物理服务器的资源，可以提供更稳定和可预测的性能。如果您对业务稳定性有较高要求，建议您将共享型实例变更为独享资源型实例，请参见变更规格。 云主机受到恶意软件或病毒的感染 步骤一：问题定位 定位云主机是否受到恶意软件感染，您可以运行受信任的杀毒软件或安全扫描工具，对服务器进行全面扫描。此外，您还可以检查操作系统、应用程序和安全软件是否为最新版本，并已应用最新的安全更新和补丁。 步骤二：问题处理 如果服务器受到恶意软件感染，及时采取行动非常重要。隔离服务器、运行安全扫描工具、清除恶意软件、更新系统等都是确保服务器安全的关键步骤。

本文介绍了如何使用Nginx代理天翼云弹性文件服务。 应用场景 Nginx (engine x) 是一个高性能的HTTP和反向代理web服务器。 Nginx是一款轻量级的Web服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器，在BSDlike协议下发行。其特点是占有内存少，并发能力强，事实上Nginx的并发能力确实在同类型的网页服务器中表现较好，中国大陆使用Nginx网站用户有百度、京东、新浪、网易、腾讯、淘宝等。 本案例中，使用一台Nginx做反向代理服务器，三台Nginx做负载均衡的代理服务。因为使用用户可能非常多，所以需要做负载均衡。后端使用天翼云的弹性文件服务。天翼云弹性文件服务用于存储文件，如图片、视频、镜像回源文件或者一些用户的静态数据等。不同的Nginx代理服务器之间共享访问文件系统数据。 方案使用云产品 弹性文件服务，弹性云主机 方案架构 配置的架构如下图： 准备工作 在开始之前需要创建一个虚拟机私有云VPC，一个文件系统，四台云主机，其中一台做反向代理服务器，三台做负载均衡的代理服务。具体操作如下： 1. 在需要操作的地域创建虚拟私有云VPC，具体操作步骤参见创建虚拟私有云VPC。 2. 创建该VPC下的弹性云主机，操作系统为Linux，此处以CTyunOS 2.0.1为例演示，具体操作步骤参见创建弹性云主机。 3. 创建该VPC下的文件系统，文件系统的协议类型为NFS，具体操作步骤参见创建文件系统。

对象存储的产品优势 云上对象存储相对于自建存储服务器在存储空间、存储成本、存储可靠性、存储安全性、存储易用性、存储灵活性和存储兼容性等方面具备明显的优势。这些优势使得对象存储成为处理大规模数据存储需求的理想选择，并广泛应用于云计算和大数据领域。 弹性扩展，海量存储空间 对象存储具备海量的存储空间，对称分布式架构下理论容量可无限弹性扩展，且支持在线扩容，实施过程业务无中断，用户无需担心存储空间不足及资源扩容问题。 稳定可靠，数据持久可用 硬件层：物理设备部署在八级抗震、一级耐火、一级防水、通过ISO27001认证的数据中心内部；核心部件如CPU、内存、风扇等全部具备冗余保护和异常监控，实时感知器件状态。 数据层：存储集群AZ内支持纠删码方式数据冗余，硬件设备冗余等保护手段，集群间支持跨站点数据复制和多AZ高可用能力，实现多级可靠性保障。对象存储服务可用性可达99.995%，数据持久性高达99.9999999999%（12个9）。 安全可信，多层数据防护 权限控制：支持ACL访问控制、桶策略授权、STS临时授权、防盗链等多种权限控制手段，灵活控制数据可访问性。 数据加密：支持服务端数据加密，数据一致性校验以及HTTPS安全传输，保障数据存储和传输中均安全可信。 合规保护：支持配置数据的合规保护周期策略，保护期内数据只可读取无法被删除篡改，关键数据加固防护。 版本控制：支持数据多版本能力，允许创建数据的多个保护版本，即使发生意外误删亦可进行还原恢复。

本文介绍边缘接入服务IP应用加速配置模块的相应功能。 功能介绍 在IP应用加速配置模块，您可以进行域名/实例的新增、查看、编辑及其相应域名状态查询。 新增接入 登录边缘安全加速控制台，进入【边缘接入】控制台，选择【域名】【IP应用加速配置】，这个页面您可以查看已添加的域名/实例的基础信息、回源配置、访问控制、传递用户IP回源等信息。基础信息包括加速域名、实例名称、CNAME、加速区域、产品类型、创建时间等信息。点击左上角【新增接入】。 选择接入方式，填写加速域名/实例名称，选择加速区域（中国内地、全球（不含中国内地）、全球），是否启用IPv6。 域名接入方式： 无域名接入方式： 根据您的需要，配置您加速域名的【回源配置】、【访问控制】、【传递用户IP回源】等相关功能。 完成加速配置后，点击右下角的下一步，进入安全防护配置页面，按需开启DDoS防护后提交。 完成新增接入操作后，可通过【域名】【IP应用加速接入】 查看该域名/实例所处状态。 域名/实例配置完成，生成CNAME，状态变更为【已启用】，即可以在【IP应用加速接入】首页列表中，查看对应域名的详情，进行停用/启用/删除等操作，也可以开启IPv6解析开关，修改加速配置或安全防护配置等。 域名/实例新增过程中涉及的主要配置项说明如下：

本文主要介绍外设管控功能。 背景说明 外设是企业员工工作中必不可少的工具，攻击者可能利用这些外设进行病毒传播、获取敏感信息等。所以企业需要对外设进行管控，尤其是U盘和移动硬盘。 数据泄露的方式很多，仅通过网络流量检测数据泄露情况是远远不够的，物理方式外泄数据也不容忽视。外设管控帮助企业在物理设备层建立起数据防泄漏围墙。 功能说明 企业管理员可以在控制台的外设管控页面，手动配置管控策略，启用外设管控，阻止员工随意传输数据，防止敏感数据泄露。 注意 如需使用外设管控能力，请开启管控策略。 同时，需注意订购套餐需满足以下条件之一： 1、已订购终端管理基础版，点击查看 2、零信任服务套餐为企业版，点此查看零信任服务 操作步骤 管控策略 1. 登录边缘安全加速控制台，选择【终端管理】。 2. 在左侧导航栏点击【终端安全】里的【外设管控】。 3. 管控策略卡片中点击“编辑”进行配置。 4. 设备类型包括U盘、便携设备。 注意 U盘管控支持Windows系统、Mac系统、麒麟系统、统信系统。 便携设备支持Windows系统、麒麟系统、统信系统。 说明 读写：不对读写做限制，允许外设接入终端。 只读：允许从外设读数据，不允许往外设写数据。 禁用：不允许外设接入终端。 5. 管控对象中支持多个维度（组织、用户组、用户、设备）进行勾选。 6. 企业管理员可以查询到对外设管控操作的记录明细。

本文介绍如何退订全站加速服务或停止计费。 全站加速资源包退订 用户可根据需要，在符合天翼云退订规则的前提下，灵活退订资源。只要流量包用量未用尽或者有效期未到期，均可按照天翼云的退订规则完成退订操作。 详情参见：资源包退订。 全站加速按量计费退订 全站加速按量计费的退订流程，可以登录天翼云管理中心进行退订操作。 详见参见：退订全站加速服务。 停止计费 若没有添加全站加速的域名，则不会产生计费。 若已添加了全站加速的域名，那么可以删除已有的加速域名，即可停止全站加速服务，也就不会产生费用。如何删除全站加速域名，详见：如何关闭加速服务。

本文主要介绍 连接已开启SASL的Kafka实例。 创建实例时开启SASLSSL访问，则数据加密传输，安全性更高。 由于安全问题，支持的加密套件为 TLSECDHEECDSAWITHAES128CBCSHA256 ， TLSECDHERSAWITHAES128CBCSHA256和 TLSECDHERSAWITHAES128GCMSHA256 。 本章节介绍如何使用开源的Kafka客户端访问开启SASL的Kafka实例的方法，其中包含在内网中通过同一个VPC连接实例和通过公网连接实例两个场景。如果是使用DNAT访问实例，请参考使用DNAT访问Kafka实例。 说明 Kafka实例的每个代理允许客户端单IP连接的个数默认为1000个，如果超过了，会出现连接失败问题。您可以通过 前提条件 1.已配置正确的安全组。 访问开启SASL的Kafka实例时，实例需要配置正确的安全组规则，具体安全组配置要求，请参考上表。 2.已获取连接Kafka实例的地址。 如果是使用内网通过同一个VPC访问，实例端口为9093，实例连接地址获取如下图。 图 使用内网通过同一个VPC访问Kafka实例的连接地址（实例已开启SASL） 如果是公网访问，实例端口为9095，实例连接地址获取如下图。 图 公网访问Kafka实例的连接地址（实例已开启SASL） 3.已获取开启的SASL认证机制。 在Kafka实例详情页的“连接信息”区域，查看“开启的SASL认证机制”。如果SCRAMSHA512和PLAIN都开启了，根据实际情况选择其中任意一种配置连接。如果页面未显示“开启的SASL认证机制”，默认使用PLAIN机制。 图 开启的SASL认证机制 4.如果Kafka实例未开启自动创建Topic功能，在连接实例前，请先创建Topic。 5.已下载client.jks证书。如果没有，在控制台单击Kafka实例名称，进入实例详情页面，在“连接信息 > SSL证书”所在行，单击“下载”。下载压缩包后解压，获取压缩包中的客户端证书文件：client.jks。 6.已下载Kafka命令行工具1.1.0版本或者Kafka命令行工具2.3.0版本或者Kafka命令行工具2.7.2版本，确保Kafka实例版本与命令行工具版本相同。 7.已创建弹性云服务器，如果使用内网通过同一个VPC访问实例，请设置弹性云服务器的VPC、子网、安全组与Kafka实例的VPC、子网、安全组一致。在弹性云服务器中安装Java Development Kit 1.8.111或以上版本，并配置JAVAHOME与PATH环境变量，具体方法如下： 使用执行用户在用户家目录下修改“.bashprofile”，添加如下行。其中“/opt/java/jdk1.8.0151”为JDK的安装路径，请根据实际情况修改。 export JAVAHOME/opt/java/jdk1.8.0151 export PATH$​JAVAHOME/bin:JAVAH​OME/bin:$​PATH 执行source .bashprofile命令使修改生效。

产品规格 标准资费（元） 单位 基础服务安装部署 7000 实例 基础服务健康巡检 7000 实例 基础服务应急响应 9000 实例 基础服务性能调优 9000 实例 保驾护航高级专家 15000 天 保驾护航资深专家 20000 天 数据库增值服务包 500 实例月 数据库增值服务包 6000 实例年

autovacuumworkmem (integer) 指定每个自动清理工作者进程能使用的最大内存量。其默认值为1，表示转而使用 maintenanceworkmem的值。当运行在其他上下文环境中时，这个设置对VACUUM的行为没有影响。 maxstackdepth (integer) 指定服务器的执行堆栈的最大安全深度。这个参数的理想设置是由内核强制的实际栈尺寸限制（ulimit s所设置的或者本地等价物），减去大约一兆字节的安全边缘。需要这个安全边缘是因为在服务器中并非所有例程都检查栈深度，只是在关键的可能递规的例程（例如表达式计算）中才进行检查。默认设置是两兆字节（2MB），这个值相对比较小并且不可能导致崩溃。但是，这个值可能太小了，以至于无法执行复杂的函数。只有超级用户可以修改这个设置。把maxstackdepth参数设置得高于实际的内核限制将意味着一个失控的递归函数可能会导致一个独立的后端进程崩溃。 在TeleDB能够检测内核限制的平台上，服务器将不允许把这个参数设置为一个不安全的值。不过，并非所有平台都能提供该信息，所以我们还是建议你在选择值时要小心。 dynamicsharedmemorytype (enum) 指定服务器应该使用的动态共享内存实现。可能的值是posix（用于使用 shmopen分配的 POSIX 共享内存）、sysv （用于通过shmget分配的 System V 共享内存）、 windows（用于 Windows 共享内存）、mmap （使用存储在数据目录中的内存映射文件模拟共享内存）以及none（禁用 这个特性）。并非所有平台上都支持所有值，平台上第一个支持的选项就是其默认值。 在任何平台上mmap选项都不是默认值，通常不鼓励使用它，因为操作系统会 反复地把修改过的页面写回到磁盘上，从而增加了系统的I/O负载。不过当 pgdynshmem目录被存储在一个 RAM 盘时或者没有其他共享内存功能可用时， 它还是有用的。

空间托管是指跨账号安全运营，可实现Workspace委托集中安全运营查看统一资产风险、告警和事件等。 空间托管流程 操作步骤 说明 1 创建托管视图 创建托管视图管理托管任务。 2 创建托管 态势感知（专业版）支持将项目中的工作空间托管给其他用户，托管后，可实现Workspace委托集中安全运营查看统一资产风险、告警和事件等。 3 托管授权 由于托管是将本项目中的工作空间托管给其他用户，因此，需要双重授权。 1. 创建委托后，需要先在已有账号中，接收授权，同意将工作空间托管给其他用户。 2. 然后在目标账号的“工作空间 > 空间托管 > 我纳管的”菜单下进行托管授权，统一接收托管。 授权后，被托管空间将挂载到托管账号下的空间中，进行统一管理。 约束与限制 单账号单Region内最多创建1个空间托管视图。 单账号单Region空间托管视图（包含的纳管工作空间数）中的工作空间数 ≤ 100个。 跨账号跨Region空间托管视图（包含的纳管工作空间数）中的工作空间数 ≤ 10个。 单账号创建账号委托≤ 50个。

编辑识别任务 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中，选择“敏感数据识别（新） > 识别任务”，进入识别任务界面。 5. 在目标任务“操作”列单击“更多 > 编辑”进入“编辑任务”弹框。 6. 在弹框中编辑和修改任务内容，单击“确定”保存。 删除识别任务 注意 如果识别任务正在运行，需先停止任务或者待任务识别完成后再执行删除操作。 删除操作无法恢复，请谨慎操作。 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中，选择“敏感数据识别（新） > 识别任务”，进入识别任务界面。 5. 在目标任务“操作”列单击“更多 > 删除”。 6. 在确认删除的弹框中单击“确定”，删除此任务。

新增接入流程 新增接入是指对于已经获得备案号的主体以及本次备案的已经获得了网站备案号的域名（该网站未在天翼云有接入服务），用户需要在天翼云办理新IP接入服务，这就是新增接入操作。 系统会自动区分非天翼云主体与天翼云主体。非天翼云主体是指此次备案的主办单位之前没有在本次备案的接入商做过任何备案，我们统称之为非天翼云主体。反之，天翼云主体就是指此次备案的主办单位之前已经在本次备案的接入商处做过备案并获得了备案号。 新增接入是指您本次接入的域名和主体都获得了管局下发的备案号，且该备案号是在其他isp商获得的。而且域名所在网站的备案号与主体备案号相关联。用户可以通过工信部网站提供的公共查询功能（ 针对三证合一或五证合一的企业单位，在进行新增接入操作时，如果之前是使用三证合一前的证件即旧证件备案并获得备案号的（但在证件三证合一后未及时进行备案变更的），那么在进行备案订单创建时，需要使用旧证件号码进行录入。因为备案订单的创建是调用管局的已备案信息库。 部分企业三证合一前的证号可通过全国企业信用信息查询网站www.gsxt.gov.cn查询获得（即工商注册号），或全国组织机构代码管理中心网站www.cods.org.cn查询。 在同一个接入商内，在同一条订单内可填写多条网站信息（多个网站备案号）。 流程如下 新增接入备案的完整流程及流程简图如下图所示： 1 创建新增接入订单 通过备案类型的自动匹配（主办单位证件号码已经获得备案号，域名也获得备案号且与主体相关），在系统无其他冲突数据的前提下创建订单任务，点击“查看”进入新增接入流程。 2 填写主办单位信息 填写主办单位信息，请按照页面提示，完善您本次备案的主办单位信息和单位负责人信息。所有必填项信息填写完毕后，点击“保存”或“下一步，填写网站信息”按钮保存所填写的主体信息。 注意：新增接入时，主体信息不提交管局审核，仅做天翼云系统内部留存之用。 3 填写网站及接入信息 填写网站信息，按照页面提示内容进行内容填写。填写您本次备案的网站信息和接入信息，域名录入请录入一级域名或单个专线IP地址，不支持二三级域名或ip段的录入。录入域名信息时，必须保证所录入的域名为该网站备案号下的已备案域名，不能填写未备案域名或其他网站备案号下的域名。此处录入的域名表示天翼云接入，如该网站备案号下有个别域名不需要天翼云接入，请勿填写。 注意：网站负责人信息、网站名称不提交管局审核，仅提交域名、网站接入信息。如果您本次备案的主办单位需要连续增加多个网站接入，请点击“继续新增接入”来进行操作。点击“继续新增接入”，打开弹框，如下图所示： 录入网站域名，系统会自动校验该域名的网站备案号，该网站备案号必须与主体备案号相关，否则无法继续操作。 4 资料上传 系统支持通过小程序采集上传和本地图片上传两种方式。 材料上传只支持jpg、png格式的图片，请勿上传其他格式的图片。系统限定每个图片类型最多上传3张图片，如位置不够可以传至其他空白位置。 5 本地上传图片 用户需要按照页面指引，上传各类证件彩色图片。 6 APP电子化方式上传图片 通过微信小程序扫描二维码后，在小程序端按照系统所提示采集需要图片，完成图片采集完成后会自动生成18位验证码，需将验证码填报至上图指定位置后，点击“确定”按钮，系统会自动将图片对应到合适位置。 预览填写的信息，并准确核对所填写的信息，并对有需更正的地方返回上一步修改。 信息预览无误后，点击“提交审核”，备案信息将提交至管理员进行审核。 7 天翼云/管局审核 提交预审核，天翼云备案专员将会尽快审核您的信息是否符合备案要求。审核符合要求的，天翼云会尽快代您将备案信息提交至管局进行备案终审，提交管局后，请主体和网站负责人收到验证短信后，在24小时内按照短信指引完成，否则会被管局退单。 管理员将根据真实性验信息和图片信息情况填写审核意见，如所备案信息和证件等信息无误，审核通过并提交管局；反之，审核拒绝，退回备案信息给备案发起人进行修改，或退回至待核验环节或待预审核环节由相关人员处理。 信息提交管局后，请耐心等待管局的审核，管局审核拒绝或接口自动退回后，会在订单中获得退回的意见，管理员或用户需根据退回意见进行修改后重新进行备案流程。 备案通过后，管局会给主办单位负责人发送备案通过通知，同时，经过管局审核的备案信息会同步给天翼云侧备案系统，您所已经备案通过的信息可以通过“已备案信息管理”进行查看管理。 去备案

本章节介绍如何登录Ranger的WebUI界面。 Ranger服务提供了集中式的权限管理框架，可以对HDFS、HBase、Hive等组件进行细粒度的权限访问控制，并且提供了WebUI方便Ranger管理员进行操作。 WebUI是用户操作的核心入口，主要用于统一管理各类组件（如HDFS、Hive、Spark、等）的权限策略、安全配置、审计日志等，无需在各个组件中单独配置权限。 操作步骤 1、获取Ranger admin用户密码（具体操作见账号密码类）。 2、访问Ranger WebUI（具体操作见通过弹性公网IP访问）。 3、在Ranger管理首页可查看当前Ranger已集成的各服务权限管理插件，用户可通过对应插件设置更细粒度的权限，具体主要操作页面功能描述参见下表。 入口 功能描述 Access Manager 查看当前Ranger已集成的各服务权限管理插件，用户可通过对应插件设置更细粒度的权限。 Audit 查看Ranger运行及权限管控相关审计日志信息。 Security Zone 配置安全区域，Ranger管理员可将各组件的资源切分为多个区域，由不同Ranger管理员为服务的指定资源设置安全策略，以便更好的管理。 Settings 查看Ranger相关权限设置信息，例如查看用户、用户组、Role等。

本页介绍了SSL证书产品的基本功能特性。 内容加密：建立一个信息安全通道，来保证数据传输的安全。 身份认证：确认网站的真实性。 数据完整性：防止内容被第三方冒充或者篡改。

本文介绍内外网隔离的适用场景和配置方法。 基本概念 内网：即局域网，是指在某一区域内由多台计算机互联成的计算机组。局域网内的IP是可以自定义分配管理，局域网是封闭型的，仅局域网内进行互联互通。 外网：即广域网，又称公网。是连接不同地区局域网或城域网计算机通信的远程网。公网的IP是固定分配的，一般不会随意变更，且公网IP是需要进行相关报备。 内外网隔离指的是将内部网络（内网）与外部网络（外网）物理或逻辑上分开，以防止未经授权的访问和数据泄露。通过内外网隔离，企业组织可以显著提高其安全性，因为即使外网遭受攻击，攻击者也难以渗透到内网，从而保护了组织的核心资产和数据。零信任模型强调的是一种持续的、动态的安全策略，它要求组织不断地评估和改进其安全措施，以应对不断变化的威胁环境。 功能说明 可针对常用的互联网域名、ip设定黑白名单进行互联网行为控制，主要差异如下： 互联网流量白名单设置：适用于重保、企业安全要求等级较高的场景，需要牺牲一定的客户体验。设置需访问、且安全的域名或IP为白名单，连接内网时仅放行白名单内的互联网流量，其他均不可访问；断开内网才可访问互联网流量。 互联网流量黑名单设置：仅设置已识别到的攻击域名或IP，访问该域名或IP时进行阻断，比如企业内部已识别该域名为钓鱼网站，则可直接配置禁用。 注意 内外网隔离仅支持PC（Windows/Mac）以及统信/麒麟/Ubuntu操作系统2.9.0及以上客户端版本支持，Linux ARM64/x86命令行以及移动端均不支持。

安全 尽量避免数据库被公网访问，公网连接时必须绑定弹性公网IP，设置合适的白名单。 尽量使用SSL连接，保证连接的安全性。

li1979812511478 " ")。 端口映射 终端节点服务与终端节点建立连接关系，进行通信，协议可选择TCP。 服务端口：终端节点服务绑定了后端资源，作为提供服务的端口。 终端端口：终端节点提供给用户，作为访问终端节点服务的端口。 服务端口和终端端口取值范围1～65535，单次操作最多添加50条端口映射。 说明 通过“终端端口→ 服务端口”的方式进行访问。 后端资源类型 实际提供服务的后端资源。 可创建为终端节点服务的后端资源包括： 弹性负载均衡：适用于高访问量业务和对可靠性和容灾性要求较高的业务。 云服务器：作为服务器使用。 此处选择“弹性负载均衡”。 说明： 安全组添加的规则是白名单。终端节点服务配置的后端资源所在安全组，需要添加源地址为198.19.128.0/20的白名单入方向规则，详细操作请参考《虚拟私有云用户指南》中的“添加安全组规则”。 选择负载均衡 “后端资源类型”选择为“弹性负载均衡”时，会出现该参数，在下拉列表中选择需要提供服务的负载均衡，只支持弹性负载均衡。 说明 弹性负载均衡作为终端节点服务的后端资源后，不支持获取真实访问客户端的地址。 5. 单击“立即创建”。 6. 返回终端节点服务列表可查看创建的终端节点服务。

本节主要介绍产品功能 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号或者云服务管理资源等。 精细的权限管理 使用IAM，您可以将帐号内不同的资源按需分配给创建的IAM用户，实现精细的权限管理。例如：控制用户Charlie能管理项目B的VPC，而让用户James只能查看项目B中VPC的数据。 图 权限管理模型 安全访问 您可以使用IAM为用户或者应用程序生成身份凭证，不必与其他人员共享您的帐号密码，系统会通过身份凭证中携带的权限信息允许用户安全地访问您帐号中的资源。 通过用户组批量管理用户权限 您不需要为每个用户进行单独的授权，只需规划用户组，并将对应权限授予用户组，然后将用户添加至用户组中，用户就继承了用户组的权限。如果用户权限变更，只需在用户组中删除用户或将用户添加进其他用户组，实现快捷的用户授权。 委托其他帐号或者云服务管理资源 通过委托信任功能，您可以将自己的操作权限委托给更专业、高效的其他帐号或者云服务，这些账号或者云服务可以根据权限代替您进行日常工作。

本文为您介绍在天翼云上配置NTP服务器的操作流程。 该NTP服务器仅限于在天翼云控制台上购买的弹性云主机安装使用。该功能使用的前提是该节点具备内网DNS功能。 如需在购买的弹性云主机上安装NTP服务器，您可以选择使用天翼云控制台自己提供的NTP服务器，也可以选择其他NTP服务器。安装NTP服务器的操作相同，本节以天翼云控制台提供的NTP服务器为例，介绍在弹性云主机上安装NTP服务器的操作。 背景信息 使用天翼云提供的NTP服务器时，需和天翼云DNS服务器配套使用。天翼云NTP服务器配置请参考：内网yum源及NTP配置。 天翼云参考以下时钟服务器域名： cn.pool.ntp.org asia.pool.ntp.org pool.ntp.org hk.pool.ntp.org Linux操作系统 1. 检查弹性云主机的DNS服务器域名是否正确。 登录Linux弹性云主机。 执行以下命令，打开resolv.conf文件。 plaintext vi /etc/resolv.conf 查看文件中nameserver的值是否和提供的DNS服务器域名相同。 是，执行3。 否，执行2。 2. （可选）给弹性云主机配置DNS服务器。 登录Linux弹性云主机。 执行以下命令，编辑resolv.conf文件。 plaintext vi /etc/resolv.conf 添加如下语句，配置DNS服务器。 nameserver DNS服务器的IP地址（具体见内网DNS控制台提示）。 3. 给弹性云主机配置NTP服务器。 登录Linux弹性云主机。 执行以下命令，编辑ntp.conf文件。 plaintext vi /etc/ntp.conf 添加以下语句，配置NTP服务器。 server NTP服务器域名 示例： plaintext server ntp.ctyun.cn 执行以下命令，系统重新启动时启动服务。 对于SUSE操作系统： plaintext service ntp restart 对于Euler、CentOS操作系统： plaintext systemctl restart ntpd 请根据弹性云主机实际使用的操作系统，以及实际ntp服务名，选择具体的命令进行重启。 执行以下命令，检查与上层NTP服务器是否时钟同步成功。 plaintext ntpq p 如果在您所配置的时钟服务器所在行的前面出现”“， 则表示系统已成功同步到您当前配置的时钟服务器。 首次进行NTP时钟同步需要一定时间，请等待几分钟再进行检查。 请根据弹性云主机实际使用的操作系统，以及实际ntp服务名，选择具体的命令设置NTP服务的开机自启动。 如果是SUSE操作系统： plaintext chkconfig ntp on 如果是Euler、CentOS操作系统： plaintext chkconfig ntpd on

函数计算服务对用户数据的保护采取了严格的安全措施，确保用户代码的存储和执行环境都是安全且隔离的。函数计算服务不会访问或查看用户的数据和代码，同时实施严格的权限控制机制，确保每个账号只能访问其拥有权限的资源，没有权限读取或获取其他账号的数据，包括代码。

允许外部访问子网内实例的指定端口 本示例中，在子网内的实例上搭建了可供外部访问的网站，实例作为Web服务器，需要放通入方向的HTTP(80)和HTTPS(443)端口。当子网关联了网络ACL时，需要同时在网络ACL和安全组添加对应的规则。 在网络ACL中，添加如下表所示的规则： 添加定义规则01，允许任意IP地址通过HTTP协议，访问子网内实例的80端口。 添加定义规则02，允许任意IP地址通过HTTPS协议，访问子网内实例的443端口。 其中目的地址10.8.0.0/24为需要防护的子网网段。 方向 生效顺序 类型 策略 协议 源地址 源端口范围 目的地址 目的端口范围 规则说明 入方向 1 IPv4 允许 TCP 0.0.0.0/0 全部 10.8.0.0/24 80 自定义规则01 入方向 2 IPv4 允许 TCP 0.0.0.0/0 全部 10.8.0.0/24 443 自定义规则02 入方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 默认规则 出方向 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 默认规则 在安全组中，添加如下表所示的规则： 入方向规则01：允许任意IP地址通过HTTP协议，访问实例的80端口。 入方向规则02：允许任意IP地址通过HTTPS协议，访问实例的443端口。 出方向规则03：允许任何流量从安全组内实例流出。 安全组的出方向规则设置比较宽松，本示例中出方向通过网络ACL默认规则防护，仅允许入站流量的响应流量出站，会拦截其他流量出站。 方向 优先级 策略 类型 协议端口 源地址/目的地址 规则说明 入方向 1 允许 IPv4 自定义TCP: 80 IP地址：0.0.0.0/0 规则01 入方向 1 允许 IPv4 自定义TCP:443 IP地址：0.0.0.0/0 规则02 出方向 1 允许 IPv4 全部 IP地址：0.0.0.0/0 规则03

本文主要介绍如何创建弹性云主机。 操作场景 假如您有一个Web应用，由于业务量比较大，需要使用两个弹性云主机进行业务负载分担。 共享型负载均衡可以将访问流量根据流量分配策略分发到后端多台云主机，实现业务的负载分担。同时消除了单点故障，提升了业务的可用性。 前提条件 后端主机的安全组已经开通了业务需要使用的端口（也可以先开通所有端口，业务部署完成后再限制不使用的端口）。 由于共享型弹性负载均衡通过“100.125.0.0/16”网段的IP与后端主机互访，为了保证健康检查功能正常使用，后端主机的安全组必须开通“100.125.0.0/16”网段。 说明 共享型实例四层监听器开启“获取客户端IP”功能后，后端主机安全组规则和网络ACL规则均无需放通100.125.0.0/16网段及客户端IP地址。 独享型负载均衡四层监听器未开启“跨VPC后端”功能时，后端主机安全组规则和网络ACL规则均无需放通ELB所在的VPC网段。 创建弹性云主机 负载均衡只负责流量转发，不具备处理请求的能力。因此，需要通过ECS实例处理用户的请求。 在当前场景中，弹性云主机需要创建并绑定弹性IP （简称EIP）。ECS绑定EIP仅作为本次示例中配置ECS后端业务所需，用户实际使用时，需要根据自身业务规划确定ECS是否绑定EIP。 1. 登录管理控制台； 2. 在管理控制台左上角选择区域和项目； 3. 选择“服务列表 > 计算 > 弹性云主机”； 4. 在“弹性云主机”界面单击“创建弹性云主机”，根据界面提示配置参数，并单击“立即申请”； 示例中使用的两台弹性云主机的规格如下： 创建的弹性云主机规格表 参数项 参数值 名称 ECS01、ECS02 操作系统 CentOS 7.2 64bit CPU 2vCPUs 内存 4GB 系统盘 40GB 数据盘 100GB 公网带宽 5 Mbit/s 5. 单击“提交”。