本文介绍边缘安全加速平台的安全与加速服务在CC攻击常见场景中的推荐防护策略和配置。 CC攻击是一种恶意网络攻击，旨在通过向目标服务器发送大量的请求，超过其处理能力，从而使其无法正常工作或服务受到严重影响。以下是一些常见的CC攻击场景及WAF在不同场景下提供的具体防护策略和配置。 场景1：高频海量的虚假请求耗尽服务器资源 攻击者利用大量的虚假请求，不断向目标网站发送超过正常用户请求频率的请求，导致目标网站无法正常服务，这个最常见的一种CC攻击场景。您可以关注您的网站请求数趋势，如果请求QPS在某一时刻突然异常突增很多(比正常业务QPS突增超过10倍)，就很有可能是受到了CC攻击。 针对超过正常请求频率的攻击，最直接有效的防护方式就是配置频率控制，通过限制指定URL的访问频率，拦截超过网站正常业务请求频率的攻击。如：配置登录接口的单IP访问频率达到每分钟50次时则进行拦截，具体配置如下图： 除此之外，您还可以通过开启CC防护功能对CC攻击进行防护，设置URL达到指定阈值后则进行挑战，通过CC防护策略来校验请求是否来自于真实浏览器（注意：该功能不适用于不能执行JS的环境，如API、Native App、Websocket等） 配置示例：以下配置在阈值请求达到每10秒5000次时，则会开启CC攻击防护。

本页面总结并介绍了多种解决方案来迁移和同步数据。 云数据库ClickHouse提供了多种解决方案来迁移和同步数据，以满足不同业务场景下对数据库数据迁移和同步的需求。这些方案可以帮助用户高效、可靠地将数据从一个环境迁移到另一个环境，并确保数据的一致性和完整性。无论是从本地数据库迁移到云数据库ClickHouse，还是从其他数据源进行数据同步，都可以利用这些方案来简化数据迁移和同步的过程。 从MySQL迁移数据 从本地存储迁移数据 从Flink迁移数据 从ClickHouse 自建集群迁移数据 从Kafka迁移数据

本节介绍如何设置文件完整性保护检测规则。 操作步骤 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“文件安全 > 文件完整性保护”，进入文件完整性保护页面。 3. 单击列表右上方的“检测设置”，进入检测设置页面。 4. 配置相关参数。 参数 说明 启用文件变更检测 开启或关闭文件变更检测功能。 关键文件监控 系统内置：对系统关键文件、文件路径、文件目录进行实时监控，发现文件变更篡改行为进行告警。 自定义：根据用户特定的防护场景，自定义添加监控路径，发现文件变更篡改行为进行告警。 监控排除设置 对用户添加的信任文件路径不再进行监控，方便用户更加灵活创建检测策略。 设置生效范围 自定义选择需要执行文件变更篡改行为监控的服务器。 5. 配置完成后，单击“确认提交”。

本文介绍如何管理白名单，包括新增、修改白名单等操作。 新增白名单 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“镜像安全 > 镜像管理”，进入镜像管理页面。 3. 单击镜像管理页面右上角的“白名单管理”，进入白名单管理页面。 4. 单击列表右上角的“新增白名单”，可以新增白名单。 5. 新增完成，可以在列表中看到刚才新增的白名单。 白名单列表上方支持按照“白名单名称”、“内容”模糊搜索，按照“类型”定向筛选查询。 编辑白名单 单击操作列的“编辑”，即可查看或移除已添加到白名单中的镜像、漏洞、文件、软件、环境变量信息。 删除白名单 若不需要白名单时，可以单击操作列的“删除”，删除白名单。 注意 删除白名单后不支持恢复，请谨慎操作。

参数 说明 示例 类型 选择策略类型。本章节以创建备份策略为例。 备份策略 名称 设置备份策略的名称。只能由中文字符、英文字母、数字、下划线、中划线组成，且长度小于等于64个字符。 backuppolicy 是否启用 设置备份策略的启用状态。 仅当启用备份策略后，系统才会自动备份所绑定的存储库的云主机和磁盘，并定期删除过期的备份。 备份周期 设置备份任务的执行日期。 o 按周 指定备份策略在每周的周几进行备份，可以多选。 o 按天 指定备份策略每隔几天进行一次备份，可设置1～30天。 每1天当选择按天备份时，理论上第一次备份的时间为备份策略创建当天。如果当天备份策略创建的时间已经晚于设置的备份时间，那么将会等到第二个备份周期再进行第一次备份。建议选择无业务或者业务量较少的时间进行备份。 备份时间 设置备份任务在一天之内的执行时间点。只支持在整点进行备份，同时支持选择多个整点进行备份。 须知： o 设定的备份时间和控制台实际创建备份的时间可能存在差异。 o 如需要备份的资源总数据量较大，建议备份执行时间点不宜设置过于紧密。如果单个资源执行备份的时长超过两个备份执行时间间隔，则会跳过第二个备份时间点不进行备份。 例如： 某磁盘的备份策略设置的备份时间点为：00:00，01:00，02:00。在00:00时，磁盘开始进行备份，由于磁盘此次备份增量数据较大，或者该时间段同时执行的备份任务较多，该次备份任务耗时90分钟，在01:30时完成备份。则01:00的备份时间点会跳过，在02:00时再执行备份，将只会产生两个备份。 o 备份时间指的是客户端所在的本地时间，并不是指region所在的时区时间。 00:00，02:00o 建议选择无业务或者业务量较少的时间进行备份。o 备份的业务高峰期在0点到早上6点，建议客户评估业务类型，分散时间备份，如果指定的策略在业务高峰时段，可能会有一定的调度延迟 保留规则 设置备份产生后的保留规则。 o 按时间 可选择1个月、3个月、6个月、1年的固定保留时长或根据需要自定义保留时长。取值范围为2～99999天。 o 按数量单个云主机执行备份策略保留的备份总份数。取值范围为2～99999个。 o 永久保留 说明： § 当保留的备份数超过设置的数值时，系统会自动删除最早创建的备份，当保留的备份超过设定的时间时，系统会自动删除所有过期的备份；系统默认每隔一天自动清理，删除的备份不会影响其他备份用于恢复。 § 保留的备份可能将不会在备份策略设置的时间点按时自动删除，将会存在一定的延迟。备份在到期时间后的12点至0点的时间段，进行分批删除。 § 保留规则仅对备份策略自动调度生成的备份有效。手动执行备份策略生成的备份不会统计在内，且不会自动删除。如需删除，请在备份页签的备份列表中手动删除。 § 当备份创建过镜像之后，该备份不会继续统计在保留规则中，也不会自动删除。§ 周期性备份产生的失败的备份最多保留10个，保留时长1个月，可手动删除。 设置“按数量”保留3个备份。

概述 JWT全称为 JSON Web Token，是一种开放标准（RFC 7519），它定义了一种在通信各方之间以JSON对象形式安全传输信息的方式。JWT可以使用HMAC、RSA、ECDSA等算法签名；在应用中，JWT可以用于用户身份认证和访问鉴权。云原生网关作为微服务的访问入口，是实现认证鉴权的理想节点，当前云原生网关支持JWT认证方式，交互流程如下： 1. JWT签发阶段，云原生网关对这类接口访问不做认证，将请求透传到业务授权服务。 2. 业务授权服务认证成功后签发JWT并返回给客户端，在后续的请求中客户端会带上JWT。 3. 云原生网关收到正常的业务请求时提取JWT并校验签名信息，校验通过则放过请求，否则返回401状态码。 JWT策略配置 云原生网关支持全局的JWT策略配置，在 安全认证 > 认证鉴权 菜单下，选择创建鉴权，鉴权类型选择JWT，填写相关参数即可创建JWT认证策略，JWT配置参数说明如下： 配置 说明 鉴权名称 唯一标识一个JWT鉴权配置，只能包含大小写字母、数字和‘’，且不能以‘’开头或者结尾。 加密算法 支持HS256、HS512、RS256。 密钥 选择HS256/ HS512算法时填写，需要指定是否base64编码，并提供密钥。 RSA密钥 选择RS256算法时填写，需要提供RSA算法公钥和私钥。 JWT Token配置 网关从请求获取JWT Token的位置，支持指定header、query和Cookie的key。 过期时间 JWT Token过期时间，默认86400秒。

本文介绍批量配置HTTPS证书的方法。 功能介绍 边缘安全加速平台支持HTTPS加速服务，您可以通过控制台上传证书，并批量关联域名启用HTTPS加速服务，实现全网数据加密传输。 适用场景 该功能适用于多域名需同时开启HTTPS服务的场景。 注意事项 批量HTTPS证书配置一次最多能关联100个域名，筛选范围仅包含域名状态为已启用且无在途工单的域名。 域名绑定证书后会开启域名HTTPS功能。 配置说明 1. 登录边缘安全加速平台控制台。 2. 单击左侧导航栏【证书管理】【证书列表】。 3. 在【证书列表】页面，单击左上角【添加自有证书】，并上传证书。 4. 证书上传完可开始【绑定域名】。 5. 选择需绑定该证书的域名，单击【提交绑定】即可。 参数名 说明 证书备注名 证书备注名，是指在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便选择时，选定正确的证书与所配置的域名进行关联。 如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 证书公钥（PEM格式） 只支持PEM格式。如果为其他格式，请先转换。 证书私钥（PEM格式） 只支持PEM格式。如果为其他格式，请先转换。

本文介绍标签和标签组的含义，如何创建标签和标签组，如何删除标签和标签组。 功能介绍 边缘安全加速平台控制台上提供了一种域名分类管理工具——标签和标签组，使用标签可以对具有相同属性的域名进行分类管理，使用标签组可以对具有相同类别属性的标签进行分类管理。 配置说明 例如：您有很多业务系统（CRM、ERP、DMS等），每个业务系统又包含多个域名，就可以借助标签组和标签对这些域名进行分组管理。即创建一个名为Businesssystem的标签组，同时创建三个名为CRM、ERP、DMS的标签。 创建标签和标签组的操作步骤 1. 登录边缘安全加速控制台。 2. 单击左侧导航【域名】【标签管理】。 3. 在【标签管理】页面，单击右上角的【新增标签】。 4. 在弹窗界面，输入标签组名，如“Businesssystem”。输入“Businesssystem”完成后，需要单击下方显示的“Businesssystem”完成标签组名创建。 5. 在弹窗界面，输入标签名，多个标签名用;分隔，如“”。 6. 确认无误后，单击【确定】提交，完成名为“Businesssystem”的标签组和名为“CRM、ERP、DMS”的标签创建。 参数名 配置值 说明 标签组名 只能输入，英文字母和数字，不允许为空。 标签组，即一组具有相同类别属性标签的统称，在配置关系里面，它是一类标签的集合。 标签名 只能输入，英文字母和数字，多个值用;分隔，不允许为空。 标签，即一组具有相同属性的域名的统称，在配置关系里面，它是一类域名的集合。

说明 运维安全中心（云堡垒机）仅支持二类节点部署的云审计服务。 开启了云审计服务后，系统开始记录运维安全中心（云堡垒机）实例的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域。 3. 在页面左上角单击，选择“管理与部署> 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 5. 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： “事件来源”、“资源类型”和“筛选类型”。 在下拉框中选择查询条件，例如：依次选择“CBH”>“cbh”>“按事件名称”>“createInstance”，单击“查询”，查询所有创建CBH实例的操作。 事件名称：选择具体的事件名称，例如createInstance。 资源ID：选择或者手动输入需要查看审计日志的CBH实例ID。 资源名称：选择或手动输入需要查看审计日志的CBH实例名称。 “操作用户”：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 “事件级别”：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 “起始时间”、“结束时间”：可通过选择时间段查询操作事件。 6. 在需要查看的记录左侧，单击展开该记录的详细信息。 7. 在需要查看的记录右侧，单击“查看事件”，查看该操作事件结构的详细信息。

本章节为您介绍用户管理的相关内容。 用户管理是指管理当前实例下所有用户信息，提供新增、编辑、Ukey绑定、重置等功能。 新增用户 1. 登录综合安全网关实例。 2. 选择“系统管理 > 用户管理”，进入“用户管理”页面。 3. 单击页面左上角的“添加用户”，在弹出的“添加用户”窗口中配置用户参数。 参数 是否可选 参数说明 登录名 必选 自定义用户的登录名，配置后不可修改。 别名 可选 设置用户的别名。 角色 必选 选择该登录用户在系统中的角色。 支持如下四种角色： 操作员（ctyunoperator） 日志审计员（ctyunauditor） 系统管理员（ctyunuseradmin） 超级管理员（ctyunadmin） 手机号码 可选 填写手机号。 邮箱地址 可选 填写新增用户的邮箱地址。 地址 可选 填写新增用户的地址。 输入密码 必选 设置用户的密码。 确认密码 必选 二次确认密码。 4. 配置完成后，单击“确定”完成用户添加。 后续操作 说明 系统初始的超级管理员用户不支持编辑和删除。 编辑用户：选择需要编辑的用户，单击“操作”列的“编辑”按钮，修改用户的相关信息后单击“确定”完成修改。 绑定UKey：选择需要绑定UKey的用户，单击“操作”列的“UKEY绑定”按钮，在弹出的对话框中填写UKEY序列号及PIN码完成绑定。 注意 首次使用UKEY需要在综合安全网关登录页面下载并安装UKEY插件。 解绑UKey：选择需要解绑UKey的用户，单击“操作”列的“UKEY解绑”按钮，在弹出的对话框中填写PIN码完成解绑。 重置用户密码：选择需要重置密码的用户，单击“操作”列的“设置口令”按钮，在弹出的对话框中单击“确定”完成重置。

本小节介绍安全专区云数据库审计客户端安装方法。 下载客户端 下载客户端，选择对应的客户端进行下载。 安装步骤 1.下载安装包，根据包中的Agent安装手册提示完成安装及连接配置。 2.填写信息，进行客户端与云数据库审计的连接。 3.在Windows上安装Agent客户端，默认安装即可。 4.执行Agent,选择接收、发送数据包的网卡，并填写相应的信息。 IP地址：云数据库审计管理口地址192.168.0.225； 抓包端口：本地数据库端口，如默认ORACLE端口1521，MSSQL默认1433，MYSQL默认3306，如需添加多个端口，请使用逗号进行分隔； 服务端口：默认云数据库审计设备服务端口，默认9999，请使用默认配置； 缓冲队列个数：缓冲队列大小，使用默认配置即可； 收发网卡：请根据实际情况进行选择，程序支持自动发现功能。 注意 Agent必须要保证始终运行，才能将本地数据库连接信息发送给审计设备，一旦关闭，将不会向审计系统发送本地审计数据，因此请将Agent设置为服务。 5.运行后，如出现如下内容，表示工作，并正常发送数据包。 6.连接成功后，可到【部署方式】，查看已连接到的客户端。 完成以上操作部署后，可在安全专区平台进行日常运营。

本章介绍通过公网使用弹性云主机连接云数据库GaussDB 实例。 准备工作 云数据库GaussDB 提供gsql工具帮助您在命令行下连接数据库，您需要提前创建一台弹性云主机用于安装gsql工具。具体请参见《弹性云主机用户指南》。 须知 操作系统需要选择Euler操作系统。gsql支持的操作系统版本如下： X86：EulerOS V2.0SP5。 绑定弹性公网IP 如果您想要通过公网访问数据库实例，那么您需要为数据库实例绑定弹性公网IP，具体操作请参考绑定和解绑弹性公网IP。 设置安全组规则 在访问数据库前，您需要将访问数据库的IP地址，或者IP段加入安全组入方向的访问规则，操作请参见设置安全组规则。 远程连接数据库 步骤 1 登录申请的弹性云主机。 步骤 2 在申请的弹性云主机上，上传客户端工具包并配置gsql的执行环境变量。 1. 以root用户登录客户端机器。 2. 创建“/tmp/tools”目录。 mkdir /tmp/tools 3. 获取GaussDB软件包并解压。 unzip GaussDBopengaussclienttools.zip 4. 根据申请的弹性云主机的操作系统架构进入不同目录，获取“GaussDBKernelxxxEULER64bitgsql.tar.gz”，并上传到申请的弹性云主机“/tmp/tools”路径下。 说明 软件包相对位置为安装时所放位置，根据实际情况填写。 5. 解压文件。 cd /tmp/tools tar zxvf GaussDBKernelV500R001C00EULER64bitgsql.tar.gz 6. 设置环境变量。 打开“~/.bashrc”文件。 vi ~/.bashrc 在其中输入如下内容后，单击“ESC”退出编辑模式，使用“:wq!”命令保存并退出。 export PATH/tmp/tools/bin:$PATH export LDLIBRARYPATH/tmp/tools/lib:$LDLIBRARYPATH 使环境变量配置生效。 source ~/.bashrc 步骤 2 执行如下指令，根据提示输入密码，连接数据库。 数据库创建成功后，会默认生成名称为postgres的数据库，此处以postgres库为例。 gsql d postgres h 10.0.0.0 U root p 8000 Password for user root: postgres为需要连接的数据库名称，10.0.0.0为实例绑定的公网IP地址，root为登录数据库的用户名，8000为实例的端口号。

目前提供Kafka专享版实例的服务，Kafka专享版实例采用物理隔离的方式部署，租户独占Kafka实例。创建Kafka专享版实例之后，使用开源Kafka客户端向Kafka专享版实例生产消息和消费消息。 本章节介绍如何使用开源的Kafka客户端访问未开启SASL的Kafka专享实例方法。 多语言客户端使用请参考Kafka官网： 说明：Kafka服务器允许客户端单IP连接的个数为200个，如果超过了，会出现连接失败问题。 前提条件 已配置正确的安全组。 访问未开启SASL的Kafka专享实例时，支持VPC内访问。实例需要配置正确的安全组规则，具体安全组配置要求，请参考下表。 已获取连接Kafka专享版实例的地址。 使用VPC内访问，实例端口为9092，实例连接地址获取如下图。 获取VPC内访问Kafka专享实例的连接地址（实例未开启SASL） Kafka专享实例已创建Topic，否则请提前创建Topic。 已下载Kafka命令行工具1.1.0版本或者Kafka命令行工具2.3.0版本，确保Kafka实例版本与命令行工具版本相同。 已在Kafka命令行工具的使用环境中安装Java Development Kit 1.8.111或以上版本，并完成环境变量配置。 命令行模式连接实例 以下操作命令以Linux系统为例进行说明： 解压Kafka命令行工具。 进入文件压缩包所在目录，然后执行以下命令解压文件。 tar zxf [kafkatar] 其中，[kafkatar]表示命令行工具的压缩包名称。 例如： tar zxf kafka2.111.1.0.tgz 进入Kafka命令行工具的“/bin”目录下。 注意，Windows系统下需要进入“/bin/windows”目录下。 执行如下命令进行生产消息。 ./kafkaconsoleproducer.sh brokerlist ${连接地址} topic ${Topic名称} 参数说明如下： 连接地址：从前提条件中获取的连接地址。 Topic名称：Kafka实例下创建的Topic名称。 以获取的Kafka实例连接地址为“10.3.196.45:9092,10.78.42.127:9092,10.4.49.103:9092”为例。执行完命令后输入内容，按“Enter”发送消息到Kafka实例，输入的每一行内容都将作为一条消息发送到Kafka实例。 [root@ecskafka bin]

本文主要介绍使用SASL证书连接。 本文主要介绍在命令行模式下使用SASL证书连接Kafka实例的操作，其中包含内网访问和公网访问两种连接场景。 在使用SASL证书的场景下，通过内网访问和通过公网访问，仅涉及连接IP和端口不一致，其他操作步骤是一样的，内网访问的连接端口为9093，公网访问的连接端口为9095。 文中仅介绍公网访问的连接示例，如果使用内网访问时，替换为相应的连接地址即可。 说明 Kafka实例的每个代理允许客户端单IP连接的个数默认为1000个，如果超过了，会出现连接失败问题。您可以通过 前提条件 1.已配置正确的安全组，安全组规则请参考准备环境中的安全组规则 。 2.已获取连接Kafka实例的地址。 如果是使用内网通过同一个VPC访问，实例端口为9093，实例连接地址获取如下图。 图 使用内网通过同一个VPC访问Kafka实例的连接地址（实例已开启SASL） 如果是公网访问，实例端口为9095，实例连接地址获取如下图。 图 公网访问Kafka实例的连接地址（实例已开启SASL） 3.已获取开启的SASL认证机制。 在Kafka实例详情页的“连接信息”区域，查看“开启的SASL认证机制”。如果SCRAMSHA512和PLAIN都开启了，根据实际情况选择其中任意一种配置连接。如果页面未显示“开启的SASL认证机制”，默认使用PLAIN机制。 图 开启的SASL认证机制 4.如果Kafka实例未开启自动创建Topic功能，获取Topic名称。 在实例的Topic管理页签中获取（可选）步骤三：创建Topic中创建的Topic名称。 图 查看Topic名称 5.已购买ECS，并完成JDK安装、环境变量配置以及Kafka开源客户端下载，具体操作请参考准备环境。

同一个微服务引擎可能会有多个用户共同使用，而不同的用户根据其责任和权限，需要具备不同的微服务引擎访问和操作权限。 开启了“安全认证”的微服务引擎专享版，通过微服务控制台提供了基于RBAC（RoleBased Access Control，基于角色的访问控制）的系统管理功能。 开启了“安全认证”的微服务引擎专享版，支持Spring Cloud、Java Chassis微服务框架正常接入。 说明： 基于RBAC的系统管理功能与IAM权限管理无关，仅是CSE内部微服务的权限管理机制。 如果您通过ServiceStage控制台操作微服务引擎，必须同时具备IAM和RBAC的操作权限，且IAM权限优先级要高于RBAC权限。 如果您通过API接口或者微服务框架操作微服务引擎，则只需具备RBAC相关权限。 当前系统管理功能仅支持微服务权限管理，暂不支持配置管理、服务治理。 1. 您可以使用关联了admin角色权限的帐号创建新帐号，根据实际业务需求把合适的角色同帐号关联。使用该帐号的用户则具有对该微服务引擎的相应的访问和操作权限。 − 创建开启了“安全认证”的微服务引擎专享版时，系统自动创建1个关联了admin角色权限的root帐号。不能编辑、删除root帐号。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建新帐号。创建和管理帐号，请参考帐号管理。 2. 您可以使用关联了admin角色权限的帐号创建自定义角色，根据业务需求把合适的微服务引擎访问和操作权限赋予该角色。 − 系统默认内置两种角色：管理员（admin）、开发者（developer）。不能编辑、删除内置角色。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建自定义角色。创建和管理角色，请参考角色管理。 − 角色权限说明，请参见下表。 表 角色权限说明 角色 权限说明 admin 具有该微服务引擎下所有微服务、帐号和角色的所有操作权限。 developer 具有该微服务引擎下所有微服务的所有操作权限。 自定义角色 根据实际业务需求创建角色，给角色分配相应微服务的操作权限。

解决方案 若Pod无法新建，或状态异常，请联系技术支持人员，并说明异常发生的范围为新建节点还是存量节点。

本节介绍集群元数据备份与恢复。 CCE One 提供备份恢复功能，能对已被分布式容器云平台纳管的集群应用进行备份，并在线上其他 CCE集群恢复，从而快速完成线下应用向线上环境的迁移。本文详细介绍了如何使用备份能力将已接入注册集群的线下自建集群中的应用高效迁移至天翼云容器引擎 CCE集群中来。 前提条件 已开通对象储存（CTZOS）服务，并开通公网访问。具体操作，请参考对象储存。 将自建Kubernetes集群通过注册集群的方式接入分布式容器云平台CCE One。具体操作，请参见将本地Kubernetes接入注册集群。 注意 若源/目标集群无法注册到天翼云CCE One注册集群时（公网/内网均不具备打通条件），可考虑手工向成员集群部署ccsebackup插件以及YAML配置方式进行相关操作，相对前端操作方式会比较繁琐。若有需要，可联系天翼云售前同学咨询。 适用场景 实现业务快速上云，应用备份迁移一体化。 参考指引 本文以nginx应用为例，在线下集群中部署应用后进行备份，然后在线上天翼云注册集群中进行恢复。 步骤一：在自建Kubernetes集群部署应用 执行以下命令，创建对应的nginx deployment： plaintext apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: name: nginx image: nginx:latest imagePullPolicy: IfNotPresent ports: containerPort: 80 apiVersion: v1 kind: Service metadata: name: nginxservice labels: app: nginx spec: selector: app: nginx ports: protocol: TCP port: 80 targetPort: 80 预期结果：

概述 目前天翼云支持包周期、按量付费两种计费方式，您可根据您的实际情况选择不同的计费方式。天翼云支持计费方式相互转换，即包周期计费可以转换成按量付费，按量付费可以转换为包周期计费。 说明 当前支持物理机服务按量付费的资源池为华东1、杭州7、西南2、华北2、上海15、华南2、西南1、武汉41、芜湖4、北京9、沈阳8、长沙42、西安7、呼和浩特3。 按量付费转换为包周期计费 按量转包周期指的是按量付费转为包周期计费模式，客户进行按量转包周期操作后，立即生效，原来按量付费的资源即转为包周期计费。 1. 在物理机控制台列表页面，点击按量付费实例的“更多”，在下拉菜单中选择“转包周期”。 2. 在弹出的转包周期对话框中，选择“确定”按钮。 3. 进入支付页面，点击“去支付”完成支付操作。按量转换为包周期计费完成。 包周期转换为按量付费 包周期转按量指的是包周期转换为按量付费计费模式，客户进行转按量操作后，在资源到期时生效，计费模式转换为按量付费。 1. 在物理机控制台列表页面，点击包周期实例的“更多”，在下拉菜单中选择“到期转按量”。 2. 在弹出的对话框中，选择“确定”按钮。进入支付页面，点击“去支付”完成支付操作。包周期转换为按量付费完成。 注意 若距离实例到期时间不足1天，无法进行包周期转按量付费操作。 说明 资源到期前可取消“转按量”设置，操作入口在费用中心订单管理续订管理下的“到期转按需”页面进行操作。

检查Flume Agent的目录权限 9.以root用户登录故障节点IP所在主机。 10.执行以下命令，进入Flume Agent的安装目录。 cd Flume 客户端安装目录/fusioninsightflume1.9.0/conf/ 11.执行ls al R命令，检查所有文件的所有者是否均是Flume Agent运行用户。 是，执行步骤12。 否，使用chown命令修改文件所有者为Flume Agent运行用户。 检查Flume Agent配置 12.执行cat properties.properties grep spooldir以及cat properties.properties grep TAILDIR命令，确认Flume Source是否是spooldir类型或TAILDIR类型，若任意一个命令有返回值，则为spooldir类型或TAILDIR类型。 是，执行步骤13。 否，执行步骤17。 13.查看数据监控目录是否存在。 是，执行步骤15。 否，执行步骤14。 说明 查看spooldir监控目录，执行命令：cat properties.properties grep spoolDir 查看TAILDIR监控目录，执行命令：cat properties.properties grep parentDir 14.指定服务器上用户自定义已经存在的数据监控目录。 15.查看Flume Agent运行用户对步骤13所指定的监控目录是否有可读可写可执行权限。 是，执行步骤17。 否，执行步骤16。 说明 使用Flume运行用户进入监控目录，若可以创建文件，这说明Flume运行用户是否对该监控目录具有可读可写可执行权限。 16.执行“chmod 777 Flume 监控目录 ”命令赋予Flume Agent运行用户对步骤13监控目录的可读可写可执行权限。 17.确认Flume Sink对接组件是否处于安全模式。 是，执行步骤18。 否，执行步骤23。 说明 若用户业务配置文件properties.properties的sink为hdfs sink、hbase sink，当配置文件中包含有keytab时，则Flume Sink对接组件处于安全模式。 若用户业务配置文件properties.properties的sink为kafka sink，当配置参数.security.protocol的值为SASLPLAINTEXT或为SASLSSL时，则Flume Sink对接的Kafka处于安全模式。 18.使用“ll ketab 路径命令 ”查看配置文件“.kerberosKeytab”参数所指的keytab认证路径是否存在。 是，执行步骤20。 否，执行步骤19。 说明 ketab路径查看方式：cat properties.properties grep keytab 19.将步骤18中kerberosKeytab参数的值指定为用户自定的keytab路径，执行步骤21。 20.执行步骤18查看Flume Agent运行用户是否有访问keytab认证文件的权限，若返回为keytab路径，则表示有权限，否则无权限。 是，执行步骤22。 否，执行步骤21。 21.执行“chmod 755 ketab 文件 ”赋予步骤19中所指定的keytab文件的可读权限, 并重启Flume进程。 22.查看告警列表中该告警是否已清除。 是，处理完毕。 否，执行步骤23。

本节主要介绍入门指引 灰度发布是迭代软件产品在生产环境安全上线的一种重要手段。本教程以Bookinfo应用为例，向您讲解服务网格基于Istio提供的服务治理能力。 Bookinfo应用灰度发布流程包含以下步骤： 图 Bookinfo应用灰度发布流程

相关操作 参考手册 创建MySQL实例 步骤一： 配置MySQL实例 步骤二： 连接MySQL实例 步骤三：

JWT 是一种轻量级的身份验证和鉴权机制，广泛应用于Web开发、API安全、单点登录等场景。服务网格支持配置JWT策略并应用到数据面实现请求身份认证，保护后端服务安全。 JWT策略配置说明 配置项 说明 安全策略名称 策略名称，如testjwt Issuer JWT的颁发者，如果请求带的JWT中的iss字段和此字段不一致，则该JWT会被拒绝 JWKS来源 用于验证JWT的密钥来源 jwks 用于验证JWT的密钥，当JWKS来源是jwks时填写 jwksUri 用于验证JWT的密钥URI，当JWKS来源是jwksUri时填写 Audience JWT颁发给的目标实体 JWTToken位置 获取JWT的位置，支持从请求头或者请求Query参数中获取 JWT透传 是否向后端透传JWT信息 将Payload通过Header透传 将JWT的Payload信息通过base64编码后添加到Header透传到后端 JWT策略绑定 策略生效粒度 当前支持命名空间、服务、工作负载、网关的生效粒度配置，说明如下 生效粒度 说明 命名空间 策略下发到所选择命名空间下所有数据面 服务 策略下发到所选服务关联的工作负载数据面 工作负载 策略下发到指定工作负载的数据面 网关 策略下发到网关 请求匹配规则 对于JWT策略、OIDC策略和自定义授权服务策略，支持基于请求特征匹配决定是否执行当前策略，支持的匹配项及说明如下 匹配项 说明 HTTP域名(Host) 匹配一组请求的域名 HTTP路径(Path) 匹配一组请求路径 HTTP方法(Method) 匹配一组请求的HTTP Method 端口(Port) 匹配一组请求的目标服务端口 说明 域名和路径匹配支持以下匹配模式 1. 精确匹配：如abc匹配abc字符串 2. 前缀匹配：abc匹配abc、abcd、abce等 3. 后缀匹配：abc匹配abc、xabc、zabc等 4. 存在匹配：匹配所有非空值 请求匹配支持黑白名单模式 1. 黑名单模式：选中请求必须执行认证策略 2. 白名单模式：选中请求跳过认证策略，其他请求需要执行策略

客户端打开后要求输入的企业标识如何获取？ 企业认证标识是登录客户端的重要凭证，建议采用自身公司身份相关的进行定义。 可登录边缘安全加速平台对应控制台企业服务进行获取。 问题故障分析 部署连接器后，仍然显示连接器“未激活”，如何定位排查？ 确认是否连接器能对外联网。 确认连接器是否对外网络出方向有进行防火墙限制，若有，需放开对应端口的网络出口访问。 客户端网络正常，但是客户端访问内部系统失败可能是什么原因？ 访问失败存在很多场景，以下列举几种常见情况，如未找到有效解决方式，请联系我们。 检查客户端是否处于在线状态，若非在线状态，则隧道连接已断开，无法访问内部系统。 检查应用是否针对该用户已授权，若未授权，则无法进行访问。 检查应用类型是否选择错误，如ssh 协议选择Web类型应用，则可能导致访问出现异常。 查询内网审计日志，判断是否被零信任网关拦截。 检查应用与连接器是否处于连通状态，可通过连接器机器telnet对应的应用ip和端口，确认是否是连接器与应用无法连通导致。 客户端短信验证码收不到如何解决？ 若您选择将手机号直接设置为登录账号，发送账号新增通知时，短信会携带手机号则短信存在被运营商拦截的风险，可能导致您无法正常接收。这是因为运营商为防范诈骗风险，会对含 "手机号”的短信进行严格校验，易触发拦截规则。 其他情况下若未收到短信，您可按以下方式排查： 检查平台手机号填写准确性，若填写错误可修正后尝试； 检查手机系统的「骚扰拦截箱」或「垃圾短信箱」（如华为手机在【安全中心 骚扰拦截】中查看，小米手机在【手机管家 骚扰拦截】中查询）； 查看第三方安全软件（如手机管家）的拦截记录，确认是否存在误拦截情况； 联系手机号所属运营商（移动 10086 / 联通 10010 / 电信 10000）查询短信发送状态。

导出资源信息 云堡垒机支持批量导出资源信息，用于本地备份资源配置，以及便于快速管理资源基本信息。 为加强资源信息安全管理，支持加密导出资源信息。 导出的主机资源文件中包含主机基本信息、主机下所有资源账户信息、主机资源账户明文密码等。 导出的应用服务器文件中包含应用服务器基本信息、应用服务器帐户信息、应用路径信息、服务器帐户明文密码等。 导出的应用发布文件中包含应用发布基本信息、应用资源账户信息、应用资源账户明文密码等。 导出的资源账户文件中包含资源账户基本信息、关联资源信息、资源地址信息、资源账户明文密码等。 前提条件 已分别获取“主机管理”、“应用服务器”、“应用发布”、“资源账户”模块操作权限。 批量导出主机资源信息 1. 登录云堡垒机系统。 2. 选择“资源 > 主机管理”，进入主机管理列表页面。 3. 勾选需要导出的主机。 若不勾选，默认导出全部主机。 4. 单击“导出”，弹出导出主机资源确认窗口。 5. 导出确认。 （可选）设置加密密码：可选择设置。不设置，下载的主机资源文件为未加密的CSV格式；设置密码，下载的主机资源文件为加密的ZIP格式。 （必选）用户密码：输入当前用户的登录密码，验证通过才允许导出主机资源信息，确保资源账户密码安全。 单击“确定”，即可下载CSV格式文件或加密的ZIP格式文件保存到本地。 批量导出应用服务器信息 1. 登录云堡垒机系统。 2. 选择“资源 > 应用发布 > 应用服务器”，进入应用服务器列表页面。 3. 勾选需要导出的应用服务器。若不勾选，默认导出全部应用服务器。 4. 单击“导出”，弹出导出应用服务器确认窗口。 5. 导出确认。 （可选）设置加密密码：可选择设置。不设置，下载的应用服务器文件为未加密的CSV格式；设置密码，下载的应用服务器文件为加密的ZIP格式。 （必选）用户密码：输入当前用户的登录密码，验证通过才允许导出应用服务器信息，确保资源账户密码安全。 单击“确定”，即可下载CSV格式文件或加密的ZIP格式文件保存到本地。

参数名 说明 生效日期 调度任务的生效时间段。 调度周期 选择调度任务的执行周期，并配置相关参数。 分钟 小时 天 周 间隔时间 调度任务的间隔时间。 调度时间 设置调度任务的起始时间和结束时间。

本节介绍云等保专区产品的漏洞扫描。 漏洞扫描系统功能主要包含网站漏洞扫描、数据库漏洞扫描、基线核查、主机漏洞扫描、安全事件扫描五大扫描功能，以及统计报告控制体系、用户权限管理体系等辅助功能。 功能 描述 首页 资产总量分布 统计资产总数及不同类型资产数目及占比。 统计主机风险资产、网站风险资产占比（风险等级非信息类资产）。 首页 弱点总量分布 统计当前发现的所有弱点数及根据不同弱点类型统计弱点数目。 首页 资产风险分布 从不同风险等级维度统计风险资产数量。 首页 风险主机TOP5 根据风险主机弱点数，列出风险数最多的5个主机资产。 首页 风险网站TOP5 根据风险网站的弱点数，列出风险数最多的5个网站资产。 首页 主机资风险/服务分布 统计主机资产出现次数最多的10个弱点、漏洞风险、服务类型、端口。 首页 网站资产风险/服务分布 统计网站资产出现次数最多的10个弱点、漏洞风险、服务类型。 首页 弱点发现趋势 按时间展示弱点的趋势状态，弱点的数据包括所有扫描类型的数据（不包含信息类漏洞）。 资产管理 资产列表 支持主机资产、网站资产两种类型。 支持新增、导入、导出、删除、编辑资产。 支持按照组织视角展示资产。 资产管理 授权管理 支持主机授权信息管理。 支数据库授信息管理。 任务管理 创建任务 支持创建通用任务、专项任务。 通用任务支持主机扫描、网站扫描、数据库扫描、基线配置核查、事件内容。 专项任务支持弱口令扫描、存活主机探测、大数据漏洞扫描、物联网漏洞扫描、信创漏洞扫描。 任务管理 任务列表 支持查看已下发的所有扫描任务，可对任务进行集中管理，包括查询任务、新增任务、执行任务等。 模板中心 漏洞模板 支持主机策略、网站策略、数据库策略管理。 支持新增、编辑、另存为、删除、查看策略。 支持使用自定义策略下发扫描任务。 模板中心 基线模板 支持工信部、公安部行业基线核查模板。 支持对应用程序、操作系统、网络设备、虚拟化设备、数据库五类资产的安全配置进行核查。 支持查看基线模板详情。 模板中心 扫描参数 支持设置主机扫描、网站扫描高级参数模板。 可根据需要设置与恢复默认扫描参数配置。 模板中心 字典模板 主机扫描和弱口令发现任务中引用的各协议弱口令字典。可自定义弱口令字典。 模板中心 报告模板 根据不同任务类型，设置离线报告导出的内容。 支持设置主机扫描报告、网站扫描报告、数据库扫描报告、基线核查报告、事件内容报告。 支持系统默认模板及自定义报告内容模板。 模板中心 端口列表 系统默认提供的端口列表模板。 报告管理 报告管理 支持对已扫描完成的任务导出离线报告。 支持对已导出报告进行下载。 系统管理 用户管理 支持角色管理及用户管理。 支持新增角色、编辑角色、删除角色。 支持新增用户，并指定用户角色。 系统管理 系统设置 提供系统服务、升级、数据备份等管理功能。 支持在线升级和离线升级。 支持系统SSH服务开启、系统重启、系统关闭、网卡重启操作。 支持设置系统时间。 支持根据需要备份系统数据。 系统管理 配置管理 提供网络配置、安全配置、告警配置、版权配置功能。 支持网卡设置、路由配置、DNS配置、网关配置。 支持密码安全复杂度、登录安全设置、超时设置、磁盘告警设置、多因子认证设置。 支持验证码登录、认证证书登录、用户名密码登录。 系统管理 引擎管理 支持对系统各个引擎状态进行查看与监控。 系统管理 常用工具 支持Ping、Traceroute、Dig、Telnet、SSH、CURL、Nmap命令工具。 系统管理 许可管理 支持查看许可授权内容及更新许可。 了解更多漏洞扫描相关操作内容，请下载阅读《云等保专区漏洞扫描 v1.0 用户指南》。

此小节介绍避免勒索 事前举措 由于勒索攻击高强度加密算法的难破解性和数字货币交易方式的隐蔽性， 解决勒索攻击的首要是构建“安全能力前置”，提升自身的“免疫力” 。 建议按照如下加固方式开展事前勒索防护： 收敛互联网暴露面： 定期扫描外部端口，保证公开范围最小化。 减少系统风险入口： 定期开展漏洞扫描及系统风险配置参数扫描，第一时间修复漏洞及风险项，减小系统风险等级。同时，应关注软件厂商发布的安全漏洞信息和补丁信息，及时做好漏洞管理和修复工作。 加强网络访问控制： 各企业应具有明确的网络安全区域划分、访问限制规则，最小化开放访问权限，及时更新访问控制规则。 关键数据备份： 加强重要数据备份工作，可靠的数据备份可以最小化勒索软件带来的损失。需要主动加密存储和定期备份关键业务数据，并合理设置备份保留策略，确保被勒索攻击后存在有效副本可以恢复数据。 加强帐号权限管控： 通过身份管理、细粒度权限控制等访问控制规则为企业不同角色分配帐号并授权，同时应提升特权账户的安全性。在另一方面，企业关键业务资产，需要妥善设置并保存帐号及口令信息。关键资产上，配置双因素认证鉴别登录人员身份，可有效防范系统爆破风险。 搭建高可靠业务架构： 采用集群模式的云服务部署模式。当某一个节点发生紧急问题，业务切换至备用节点，提升业务系统可靠性能力，也可防止数据丢失。在资源允许的条件下，企业或组织可以搭建同城或异地容灾备份系统，当主系统出现发生勒索事件后，可以快速切换到备份系统，从而保证业务的连续性。 制定安全事件应急预案： 建立应对勒索病毒攻击等网络安全突发事件的应急组织体系和管理机制，明确工作原则、职责分工、应急流程、关键措施等。一旦发生勒索病毒攻击事件，立即启动内部网络安全应急预案，标准化开展应急处置工作来减轻、消除勒索病毒攻击影响。 加强企业员工安全意识： 通过培训、演练等方式提高员工网络安全意识，明确国家网络安全法令及公司网络安全规范，能够识别网络钓鱼等常见的网络安全攻击，具备一定的事件处理能力，知晓安全事件带来的后果和影响。

本小节介绍服务器安全卫士的相关术语。 Agent 指服务器安全监测与防护代理软件，运行在客户服务器操作系统，该安全代理具备严格的权限和运行负载控制，保护服务器的同时对业务运行不产生影响。 弱口令 容易被别人猜测（包括信息泄露导致）或被破解工具破解的口令均为弱口令。 软件漏洞 应用软件、中间件软件或操作系统软件在设计、实现上的缺陷或错误，被不法者利用，通过网络植入木马、病毒等方式来攻击或控制整个服务器，窃取服务器中的重要资料和信息，甚至破坏系统服务。 Web后门 Web后门是一段网页代码，主要以ASP、PHP、JAVA代码为主。由于这些代码都运行在Web服务器端，攻击者通过插入这段精心设计的代码，在Web服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透、提权获得服务器的控制权。 POC POC（Proof of Concept）的中文意思是“观点证明”。漏洞报告中的POC是指一段说明或者一个攻击的样例，使得读者能够确认这个漏洞是真实存在的。 CVSS CVSS（Common Vulnerability Scoring System，通用漏洞评分系统）是一个行业公开标准，其被设计用来评测漏洞的严重程度，并帮助确定所需反应的紧急度和重要度。 Rootkit Rootkit是一种特殊的恶意软件，它的功能是在目标服务器上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。Rootkit通过加载特殊的驱动，修改系统内核，进而达到隐藏信息的目的。

GPUStack产品使用手册,含单机版和集群版(Worker、Server) 产品概述 1.1 产品介绍 GPUStack云服务是基于开源GPUStack构建的托管式AI模型部署平台，让您无需管理基础设施，即可在高性能GPU集群上轻松部署和运行各类AI模型，支持单机版和集群版（Worker、Server）。 单机版 集群版 面向用户 个人、中小团队或企业内部 企业研发团队、实验室、AI算力平台 适用场景 1. 个人开发者的大模型微调、推理效果验证 2. 小团队的算法原型开发、单卡模型性能测试 3. 教学科研场景的小规模 AI 实验 4. 临时算力需求（如短期模型 demo 制作) 1. 企业大模型训练 / 推理的规模化算力需求 2. 多团队共享 GPU 算力池的资源管控场景 3. 高并发模型服务（如智能客服等） 4. 异构 GPU 资源混合调度（支持 NVIDIA/昇腾等） 资源配置 单GPU服务器 Server节点：8C/16G 计算型服务器 Worker节点：1~N台GPU服务器（支持英伟达、昇腾等不同厂商GPU卡） 1.2 产品核心能力 资源管理：提供自动化GPU资源调度与集群管理，支持异构GPU设备统一纳管，实现资源利用率最大化与成本最优化； 模型部署：支持主流开源大模型一键部署，兼容Hugging Face、ModelScope等模型源，集成vLLM、SGLang和TensorRTLLM等高性能推理引擎，满足不同场景性能需求； 智能运维：内置自动扩缩容、故障转移与负载均衡机制，提供实时性能监控与告警，确保服务高可用性与稳定性； 安全管控：提供完善的认证授权体系与网络隔离策略，支持私有化部署与数据安全保障，满足企业级安全合规要求。

GPUStack产品使用手册,含单机版和集群版(Worker、Server) 产品概述 1.1 产品介绍 GPUStack云服务是基于开源GPUStack构建的托管式AI模型部署平台，让您无需管理基础设施，即可在高性能GPU集群上轻松部署和运行各类AI模型，支持单机版和集群版（Worker、Server）。 单机版 集群版 面向用户 个人、中小团队或企业内部 企业研发团队、实验室、AI算力平台 适用场景 1. 个人开发者的大模型微调、推理效果验证 2. 小团队的算法原型开发、单卡模型性能测试 3. 教学科研场景的小规模 AI 实验 4. 临时算力需求（如短期模型 demo 制作) 1. 企业大模型训练 / 推理的规模化算力需求 2. 多团队共享 GPU 算力池的资源管控场景 3. 高并发模型服务（如智能客服等） 4. 异构 GPU 资源混合调度（支持 NVIDIA/昇腾等） 资源配置 单GPU服务器 Server节点：8C/16G 计算型服务器 Worker节点：1~N台GPU服务器（支持英伟达、昇腾等不同厂商GPU卡） 1.2 产品核心能力 资源管理：提供自动化GPU资源调度与集群管理，支持异构GPU设备统一纳管，实现资源利用率最大化与成本最优化； 模型部署：支持主流开源大模型一键部署，兼容Hugging Face、ModelScope等模型源，集成vLLM、SGLang和TensorRTLLM等高性能推理引擎，满足不同场景性能需求； 智能运维：内置自动扩缩容、故障转移与负载均衡机制，提供实时性能监控与告警，确保服务高可用性与稳定性； 安全管控：提供完善的认证授权体系与网络隔离策略，支持私有化部署与数据安全保障，满足企业级安全合规要求。

本节介绍了一键式重置密码插件漏洞说明 漏洞说明 弹性云主机提供了重置密码功能，当弹性云主机的密码丢失或过期时，可使用该功能进行一键式重置密码。 2022年1月14日以前的旧版本一键式重置密码插件“CloudResetPwdUpdateAgent ”使用了Apache Log4j2组件，会被安全工具扫描出漏洞。 表 漏洞信息 漏洞类型 CVEID 漏洞级别 披露/发现时间 修复时间 Apache Log4j2 远程代码执行 CVE202144228 严重 20211209 2022114 Apache Log4j2 远程代码执行 CVE202145046 严重 20211215 2022114 Apache Log4j2 拒绝服务 CVE202145105 中 20211218 2022114 Apache Log4j2 远程代码执行 CVE202144832 中 20211229 2022114 Apache Log4j2 信息泄露 CVE20209488 低 20200427 2022114 漏洞影响 一键式重置密码插件是弹性云主机内部运行的客户端进程，不对外提供任何网络服务。经分析验证，一键式重置密码插件无可利用条件，无安全风险。

conditions表 参数 参数类型 必选 说明 匹配方式 示例 bucket String 否 存储桶名称。 bucket {"bucket": "examplebucket"} key String 否 上传对象的名称。 eq、startswith ["eq", "$key", "ExampleObject"] xamzalgorithm String 是 指定签名的版本和算法，固定值为AWS4HMACSHA256。 xamzalgorithm {"xamzalgorithm": "AWS4HMACSHA256"} xamzcredential String 是 指明派生密钥的参数集。格式： / / /s3/aws4request。 xamzcredential {"xamzcredential": "afwnu54/20241216/useast1/s3/aws4request"} xamzdate String 是 请求的时间（遵循ISO 8601日期和时间标准）。格式：20241216T020211Z。 xamzdate {"xamzdate": "20241216T020211Z"} contentlengthrange String 否 上传对象时的最小以及最大允许的大小，单位是字节。 contentlengthrange ["contentlengthrange", 1, 10] successactionstatus String 否 上传成功后的返回状态码。 eq、startswith ["eq", "$successactionstatus", "201"] contenttype String 否 限制对象的文件类型。 eq、startswith ["eq", "$contenttype", "image/jpg"] xamzsecuritytoken String 否 安全令牌。仅在通过STS构造POST签名时需要该参数。可以通过调用STS服务的AssumeRole接口获取安全令牌。 xamzsecuritytoken {"xamzsecuritytoken": "ek+NvIdz"} cachecontrol String 否 缓存控制。 eq、startswith ["eq", "$cachecontrol", "nocache"]