删除黑/白名单 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制> 访问策略管理”，进入“访问策略管理”界面。切换防护对象页签后，选择“黑名单”或“白名单”页签。 5. 在需要删除的规则所在行的“操作”列，单击“删除”。 6. 在弹出的“删除黑名单”或“删除白名单”界面，确认删除的信息无误后，输入“DELETE”，单击“确定”，完成删除。 注意 删除名单后无法恢复，请谨慎操作。

在态势感知（专业版）的已购资源中可统一呈现当前账号已经申请的资源，方便统一管理已购资源。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“已购资源”，进入已购资源管理页面。 4. 在已购资源页面查看详细信息。 总览： 已开通区域/总区域：当前账号已开通态势感知（专业版）的区域。 可升级：当前账号的所有已购版本中，可以升级的资源数量。 将到期版本：即将到期的规格及增值包数量。 总配额：当前账号已购买的总配额数量。 各区域具体购买态势感知（专业版）资源的详细情况。

本页介绍天翼云TeleDB数据库启动实例。 操作场景 当实例处于停止状态时，TeleDB支持手动启动实例，启动实例所有组件进程。 约束与限制 启动实例过程中不支持备份和重置密码等操作。 操作步骤 1. 切换至TeleDB控制台，在左侧导航树单击实例列表 ，进入实例列表页面。 2. 在实例列表页面，单击目标实例所在行的详情 ，进入实例详情页面。 3. 在实例详情页面，在操作下拉框，单击启动实例 ，出现提示 对话框。 4. 在提示 对话框，单击确定 启动实例。 5. 您在单击立即前往 ，跳转至任务管理中查看执行情况。

工具调用示例 移动鼠标： plaintext { "name": "movemouse", "arguments": { "desktopCode": "xxx", "x": 500, "y": 300 } } 输入文本： plaintext { "name": "typetext", "arguments": { "desktopCode": "xxx", "text": "Hello from AIuse MCP" } } 创建目录： plaintext { "name": "createdirectory", "arguments": { "desktopCode": "xxx", "path": "C:/aiusertest" } } 常见问题 如果 Qoder 中没有加载出工具列表，请优先检查： 本地是否已安装 Node.js，且 npx v 可正常输出版本号。 MCP 配置中的 command、args 和 env 是否填写正确。 CTGAPIKEY 和 CTGAPISECRET 是否正确。 AccessKey 是否已关联目标云电脑。 目标云电脑是否在线。 调用工具时是否明确传入或说明了 desktopCode。 安全建议 不要将包含 AccessKey Secret 的 MCP 配置提交到公开仓库。 多人共享开发环境时，建议使用个人或项目级 AccessKey。 如 Qoder 或 MCP Client 支持密钥管理，建议优先使用密钥管理能力。 AccessKey 泄露后，应立即在控制台禁用并更换。

工具调用示例 移动鼠标： plaintext { "name": "movemouse", "arguments": { "desktopCode": "xxx", "x": 500, "y": 300 } } 输入文本： plaintext { "name": "typetext", "arguments": { "desktopCode": "xxx", "text": "Hello from AIuse MCP" } } 创建目录： plaintext { "name": "createdirectory", "arguments": { "desktopCode": "xxx", "path": "C:/aiusertest" } } 常见问题 如果 Qoder 中没有加载出工具列表，请优先检查： 本地是否已安装 Node.js，且 npx v 可正常输出版本号。 MCP 配置中的 command、args 和 env 是否填写正确。 CTGAPIKEY 和 CTGAPISECRET 是否正确。 AccessKey 是否已关联目标云电脑。 目标云电脑是否在线。 调用工具时是否明确传入或说明了 desktopCode。 安全建议 不要将包含 AccessKey Secret 的 MCP 配置提交到公开仓库。 多人共享开发环境时，建议使用个人或项目级 AccessKey。 如 Qoder 或 MCP Client 支持密钥管理，建议优先使用密钥管理能力。 AccessKey 泄露后，应立即在控制台禁用并更换。

本章节为您介绍如何升级云堡垒机的实例版本。 新版本的云堡垒机对系统进行了功能优化或添加了新功能，请及时升级版本。 注意 在堡垒机升级至1.3.0版本后，需要卸载旧的访问插件，在“运维设置 > 访问插件”中下载最新版本插件进行安装。 堡垒机在升级失败后会自动回退版本。 前提条件 已获取管理控制台的登录账号与密码。 已绑定EIP，且EIP可用。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 云堡垒机（原生版）”，进入云堡垒机实例管理页面。 3. 选择需变更升级的实例，单击实例名称旁的“升级”。 4. 在弹出的对话框中单击“确认”，堡垒机开始进行自动升级并且堡垒机的状态会变为“升级中”。 5. 待堡垒机状态变为“运行中”即表示升级已经结束，可正常使用堡垒机。

本节主要介绍如何进行托管授权。 操作场景 托管创建完成后，需要到目标工作空间所属账号中进行授权。授权后，被托管空间将挂载到托管账号下的空间中，进行统一管理。 前提条件 已创建托管，详细操作请参见创建托管。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间托管”，进入空间托管管理页面。 4. 在托管页面中，选择“我纳管的”页签，并在目标托管任务所在行“操作”列，单击“接收”。 5. 在弹出的确认框中，单击“确认”。 后续处理 授权后，可以在“工作空间 > 空间管理”页面中查看已创建的托管视图，单击视图名称，进入后，可以查看被托管空间的详细信息。

此小节介绍数据库审计的功能特性。 记录数据库活动 记录一切对数据库的访问行为，记录维度包括客户端信息、服务端信息、操作信息、操作状态、返回结果集、SQL模板等。 存储数据库行为记录 存储记录行为时产生的日志，包括审计日志、会话日志、告警日志，还包括系统的相关配置，如人员权限配置、系统引擎配置等。 查询数据库审计日志 在已有的日志中查询某些关键信息，完成事件溯源，一般支持时间、类型、数据库实例名、操作结果、客户端、服务端等查询维度。 风险和威胁告警 将数据库访问的行为与安全规则库进行匹配，根据匹配的结果进行告警，一般包含页面告警、外送告警（短信、邮件）。 数据库性能分析 通过SQL执行时间统计数据库性能情况，分析潜在性能问题的根因，定位关键资产，可作为用户数据库性能调优的决策辅助。

本章节主要介绍数据治理中心 DataArts Studio主要应用场景。 云上数据平台快速搭建 快速将线下数据迁移上云，将数据集成到云上大数据服务中，并在DataArts Studio的界面中就可以进行快速的数据开发工作，让企业数据体系的建设变得如此简单。 优势 数据集成一键式操作 通过在服务界面配置化操作，可实现线上线下数据快速集成到云数据仓库。 支持多种数仓服务类型 根据需求，可以灵活选择数据服务类型，可以选择DWS服务建数仓，也可以选择MRS服务等数据平台。 安全稳定、降低成本 一站式的服务能力和稳定的数仓服务，让云上数据万无一失；免自建大数据集群、免运维，极大降低企业建设数仓成本。 详见下图：云上数据平台

问题原因 上述报错可能原因是当前导入的文件数据量较大，同时因为spark.sql.shuffle.partitions参数设置的并行度过大，导致缓存区大小不够而导入数据报错。 解决方案 建议可以尝试调小spark.sql.shuffle.partitions参数值来解决缓冲区不足问题。具体该参数设置步骤如下： 1.登录DLI管理控制台，单击“作业管理 > SQL作业”，对应SQL作业行的操作列，单击“编辑”按钮，跳转到“SQL编辑器”。 2.在“SQL编辑器”中，单击“设置”，参考如下图配置添加参数。 3.重新执行作业。 SQL作业运行报错：DLI.0002 FileNotFoundException 问题现象 SQL作业执行报错，报错信息大致如下： Please contact DLI service. DLI.0002: FileNotFoundException: getFileStatus on obs://xxx: status [404] 解决方案 请排查在同一时间点是否还有另外作业对当前报错作业操作的表信息有删除操作。 DLI不允许同时有多个作业在同一时间点对相同表进行读写操作，否则会造成作业冲突，导致作业运行失败。 用户通过CTAS创建hive表报schema解析异常错误 目前DLI支持hive语法创建TEXTFILE、SEQUENCEFILE、RCFILE、ORC、AVRO、PARQUET文件类型的表，如果用户CTAS建表指定的文件格式为AVRO类型，而且直接使用数字作为查询语句（SELECT）的输入，如“CREATE TABLE tbavro STORED AS AVRO AS SELECT 1”则会报schema解析异常。 此问题的原因是如果不指定列名，则会把SELECT后的内容同时作为列名和插入值，而AVRO格式的表不支持列名为数字，所以会报解析schema异常错误。 用户可以通过“CREATE TABLE tbavro STORED AS AVRO AS SELECT 1 AS colName”指定列名的方式解决该问题，或者将存储格式指定为除AVRO以外的其它格式。 在DataArts Studio上运行DLI SQL脚本，执行结果报org.apache.hadoop.fs.obs.OBSIOException错误

问题现象 在DLI上提交Flink SQL作业，作业运行失败，在作业日志中有如下报错信息： connect to DIS failed java.lang.IllegalArgumentException: Access key cannot be null 问题根因 该Flink SQL作业在配置作业运行参数时，有选择保存作业日志或开启Checkpoint，配置了OBS桶保存作业日志和Checkpoint。但是运行该Flink SQL作业的IAM用户没有OBS写入权限导致该问题。 解决方案 1.登录IAM控制台页面，单击“用户”，在搜索框中选择“用户名”，输入运行作业的IAM用户名。 2.单击查询到用户名，查看该用户对应的用户组。 3.单击“用户组”，输入查询到的用户组查询，单击用户组名称，在“授权记录”中查看当前用户的权限。 4.确认当前用户所属用户组下的权限是否包含OBS写入的权限，比如“OBS OperateAccess”。如果没有OBS写入权限，则给对应的用户组进行授权。 5.授权完成后，等待5到10分钟等待权限生效。再次运行失败的Flink SQL作业，查看作业运行状态。 Flink SQL作业读取DIS数据报Not authorized错误 问题现象 Flink SQL作业读取DIS数据，运行该作业时，语义校验失败。具体作业失败提示信息如下： Get dis channel xxx info failed. error info: Not authorized, please click the overview page to do the authorize action 问题原因 运行Flink作业前，没有对运行的用户账号授权获取DIS数据的权限。 解决方案 1.登录到DLI管理控制台，左侧导航栏选择“全局配置 > 服务授权”。 2.在服务授权管理界面，勾选“DIS Administrator”权限，单击“更新委托授权”完成对当前用户的DIS权限授权。 3.在“作业管理 > Flink作业”，单击对应的Flink SQL作业，重新启动和运行该作业。 Flink SQL作业消费Kafka后sink到es集群，作业执行成功，但未写入数据

本文简述回源HTTP请求头的用途和配置方法。 功能介绍 当边缘节点请求回源站拉取资源时，源站可获取到回源请求头中携带的信息。您可以通过该功能，改写用户回源请求中的HTTP Header信息，携带特定的参数信息给源站，实现特定业务需求。例如，通过XForwardFor头部携带真实客户端IP至源站。 配置说明 1.登录边缘安全加速控制台，选择【域名】【基础配置】，在域名列表中选中需要配置的域名。 2.进入域名配置详情页面后，选择【头部修改】，单击【编辑配置】按钮。 3.选择【回源HTTP请求头】后单击【增加规则】按钮。 4.添加HTTP请求头，填入参数和取值，详细规则请参考： 参数 说明 参数 请求头参数，仅支持大小写字母、数字、下划线、中划线。 取值 取值不支持空格及中文文字及字符。 若需要添加/修改对应请求头，请输入取值。 若需要删除对应请求头，取值不填，置为空。 配置界面

本文通过图文说明证书删除的操作步骤。 功能介绍 当证书过期或者不再使用时，可通过客户控制台删除证书。 注意事项 证书删除的前提是未绑定域名，因此在删除证书前，需要先解除证书与域名的绑定关系。 操作步骤 1.登录边缘安全加速平台控制台。 2.在【域名】【证书管理】【AOne 证书管理】页面，选定目标证书，在操作列单击“删除”。 3.控制台会弹窗（如下图），客户进行二次确认后，单击“确定”即可删除。 注意 删除证书前，请确保证书未绑定任何域名，否则将无法删除。 配置界面 要删除的证书如有域名仍在使用，将无法删除，会弹出如下的确认弹窗，点击【确认】将关闭弹窗。如需继续删除证书，必须先使所有绑定该证书的域名取消证书配置。 要删除的证书如果无域名使用，将弹出如下的弹窗，点击【确认】后即可删除证书。

本文介绍域名解绑标签的操作步骤。 功能介绍 标签为域名分类管理工具，通过标签功能对具有相同属性的域名进行分类管理。如果标签已不再适用于您当前某个或多个域名的用途，您可以解绑域名标签。本文介绍如何为域名解绑标签。 配置说明 1. 登录边缘安全加速控制台。 2. 单击左侧导航【域名】【域名管理】。 3. 在【域名管理】页面，找到目标域名的【标签】列。 4. 单击标签图标【】。 5. 找到【已选择标签】框。 6. 方式一：如果只是某个标签不适用，直接单击该标签的【×】来解除绑定，如。 7. 方式二：如果是整个标签组不适用，可单击最后面的【】解除绑定，如。 8. 确认无误后，单击【确定】提交。

参数 说明 处置粒度 支持根据设备，账号，公网IP三种类型作为处置粒度，会对所选粒度的访问行为进行统计和处置，其中设备是关联到账号的最小处置粒度 ，处置粒度选择为设备时只会对触发规则的账号当前登录设备进行处置，当处置粒度为账号时，在处置动作生效时期，该账号登录其他设备同样会被处置。 统计粒度 统计上方所选处置粒度在周期内对该统计粒度不同地址的请求次数，支持按照域名+端口或协议+IP+端口两种粒度。 统计周期 单位秒。 访问次数 单位次数。 处置时间 单位秒。 处置动作 监控：仅监控观察，不对网络连接、访问权限进行任何干预。 挑战认证：需通过配置的认证方式完成身份认证，才能继续访问内网。 禁止访问内网：关闭对内网环境资源的访问权限，即无法连接公司 / 单位内部系统、共享文件等内网资源。 注销登录：退出当前客户端登录状态，若账号不符合安全要求，将持续触发注销。 提示语 针对不同处置动作均默认设置有对应提示语，可进行自定义修改。

本章介绍处理配置风险的方案。 主机安全服务对主机执行配置检测后，您可以根据检测结果中的相关信息，修复主机中含有风险的配置项或忽略可信任的配置项。 修改有风险的配置项 查看检测规则对应的详情信息，您可以根据审计描述验证检测结果，根据修改建议处理主机中的异常信息。 建议您及时优先修复威胁等级为“高危”的关键配置，根据业务实际情况修复威胁等级为“中危”或“低危”的关键配置。 忽略可信任的配置项 1、 单击云服务器名称，查看服务器的详细信息，选择“基线检查 > 配置检查”。 2、 单击目标风险项前的展开检查项，单击目标风险项“操作”列的“忽略”进行单个忽略。也可以勾选多个检测规则单击界面上方的“忽略”进行批量忽略。 对于已经忽略的检测规则，单击已忽略页签可“取消忽略”，也可以批量选中想要取消忽略的规则“取消忽略”。 修复验证 完成配置项的修复后，建议您在“风险预防 > 漏洞管理”页面单击“漏洞检测”立即执行手动检测，查看配置项修复结果。

操作步骤 1. 登录Web应用防火墙（边缘云版）控制台 2. 在左侧导航栏中选择【域名管理】—【域名列表】，选择您要防护的域名，单击操作列【安全防护】 3. 进入【高级防护】页面 — 【广告防护】模块 配置说明 配置项 说明 开关 设置广告防护策略开启或者关闭 高级js动态检测开关 关闭。只检测页面已有广告内容（静态嵌入广告检测） 开启。将检测页面通过js动态添加元素内容，判断动态添加元素是否在白名单内，不再白名单则移除对应元素 处理动作 触发广告防护的处理动作，可选择告警或者清除 防护范围 设置要配置广告防护的URI； （1）URI：设置防护要包含/不包含的URI，例如：/home.jsp支持填写多个URI，用英文分隔符分隔； （2）PATH：设置防护要包含/不包含的路径，例如：/匹配请求URI前缀，/表示全站，用英文分隔符分隔； （3）多个粒度为且的逻辑；多个条件为或的关系； 白名单 外链白名单，当资源请求的链接来自设置的白名单时，不会进行广告处理，允许正常显示广告、图片

本章节主要介绍如何使用Python第三方库psycopg2连接集群。 用户在创建好数据仓库集群后使用psycopg2第三方库连接到集群，则可以使用Python访问DWS ，并进行数据表的各类操作。 连接集群前的准备 DWS 集群已绑定弹性IP。 已获取DWS 集群的数据库管理员用户名和密码。 注意 由于MD5算法已经被证实存在碰撞可能，已严禁将之用于密码校验算法。当前DWS 采用默认安全设计，默认禁止MD5算法的密码校验，可能导致开源客户端无法正常连接的问题。建议先检查一下数据库参数passwordencryptiontype参数是否为1，如果取值不为1，需要修改，修改方法参见《用户指南》的“修改数据库参数”章节；然后修改一次准备使用的数据库用户的密码。 说明 当前DWS出于安全考虑，已经默认不再使用MD5存储密码摘要了，这将导致使用开源驱动或者客户端无法正常连接数据库。需要您调整一下密码策略后再创建一个新用户或者对老用户做一次密码修改，方可使用开源协议中的MD5认证算法。 数据库中是不会存储用户的密码原文，而是存储密码的HASH摘要，在密码校验时与客户端发来的密码摘要进行比对（中间会有加盐操作）。故当您改变了密码算法策略时，数据库也是无法还原您的密码，再生成新的HASH算法的摘要值的。必须您手动修改一次密码或者创建一个新用户，这时新的密码将会采用您设置的HASH算法进行摘要存储，用于下次连接认证。 已获取DWS 集群的公网访问地址，含IP地址和端口。具体请参见 获取集群连接地址。 已安装psycopg2第三方库。下载地址： 说明 CentOS、Redhat等操作系统中使用yum命令安装，命令为：yum install pythonpsycopg2。 psycopg2的使用依赖于PostgreSQL的libpq动态库（32位的psycopg2需要对应32位的libpq；64位的psycopg2对应64位的libpq），Linux中可以依赖yum命令解决。在Windows系统使用psycopg2需要先安装libpq，主要方式有两种： 安装PostgreSQL，并配置libpq、ssl、crypto动态库位置到环境变量PATH中。 安装psqlodbc，使用PostgreSQL ODBC驱动携带的libpq、ssl、crypto动态库。

本节主要介绍产品优势 立体运维 提供覆盖应用性能、应用状态、基础设施状态、云资源使用情况的一站式立体运维平台 智能分析 以应用为中心，覆盖组件、实例、主机等多维度关联分析，快速定位异常根因 健康检查 实时监控应用健康状态，通过告警事件及日志分析分钟级追踪到异常业务代码 开箱即用 无需修改业务代码即可接入使用， 非侵入式数据采集，安全无忧 海量日志管理 高性能搜索和业务分析，自动将关联的日志聚类，可按应用、主机、文件名称、实例等维度快速过滤 关联分析 应用和资源层层自动关联，通过应用、组件、实例、主机和事务等多视角分析关联指标和告警数据，直击异常 生态开放 开放了运营、运维数据查询接口和采集标准，支持自主开发

本章介绍函数工作流如何给不同的用户做权限隔离。 如果您需要对FunctionGraph的函数资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制公有云资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并使用策略来控制他们对云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有FunctionGraph的使用权限，但是不希望他们拥有删除等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用FunctionGraph，但是不允许删除的权限策略，控制他们对FunctionGraph资源的使用范围。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用FunctionGraph服务的其它功能。 FunctionGraph权限 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得策略定义的权限，这一过程称为授权。授权后，用户就可以基于策略对云服务进行操作。 FunctionGraph资源通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在各区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问FunctionGraph时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。 如下表所示，包括了FunctionGraph的所有系统权限。 系统角色/策略名称 描述 类别 依赖关系 FunctionGraph FullAccess 函数工作流服务所有权限 系统策略 无 FunctionGraph ReadOnlyAccess 函数工作流服务只读权限 系统策略 无 FunctionGraph CommonOperations 函数工作流（FunctionGraph）调用者，具有查询函数和触发器，以及调用函数的权限 系统策略 无 说明 当添加了FunctionGraph FullAccess权限的子帐号在创建触发器或使用其他功能时仍没有操作权限，是因为该服务或功能不支持细粒度鉴权，因此需要您单独添加对应服务或功能的Admin权限。具体详情如下： APIG、当前不支持细粒度鉴权，需要添加对应admin权限。 更多触发器及相关功能需要的权限，请参见下表所示。 表 触发器及相关功能的权限 触发器/服务功能 权限 APIG专享版 apig:instances:get apig:instances:create apig:instances:update apig:instances:list apig:sharedInstance:operate DDS dds:instance:get dds:instance:list DMS/Kafka dms:instance:get dms:instance:list LTS lts:groups:create lts:groups:get lts:groups:list lts:groups:put lts:logstreams:delete lts:logstreams:list lts:topics:get lts:subscriptions:create lts:subscriptions:delete lts:subscriptions:put lts:structConfig:create lts:structConfig:get 下表列出了FunctionGraph常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 操作 FunctionGraph ReadOnlyAccess FunctionGraph CommonOperations FunctionGraph FullAccess 创建函数 × × √ 查询函数 √ √ √ 修改函数 × × √ 删除函数 × × √ 调用函数 × √ √ 查看函数日志 √ √ √ 查看函数指标数据 √ √ √

MRS权限说明 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 MRS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问MRS时，需要先切换至授权区域。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对MRS服务，管理员能够控制IAM用户仅能对集群进行指定的管理操作。如不允许某用户组删除集群，仅允许操作MRS集群基本操作，如创建集群、查询集群列表等。多数细粒度策略以API接口为粒度进行权限拆分。 如下表所示，包括了MRS的所有系统策略。 MRS系统策略 策略名称 描述 策略类别 MRS FullAccess MRS管理员权限，拥有该权限的用户可以拥有MRS所有权限。 细粒度策略 MRS CommonOperations MRS服务普通用户权限，拥有该权限的用户可以拥有MRS服务使用权限，无新增、删除资源权限。 细粒度策略 MRS ReadOnlyAccess MRS服务只读权限，拥有该权限的用户仅能查看MRS的资源。 细粒度策略 MRS Administrator 操作权限： 对MRS服务的所有执行权限。 拥有该权限的用户必须同时拥有Tenant Guest和Server Administrator权限。 RBAC策略 下表列出了MRS常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 常用操作与系统策略的授权关系 操作 MRS FullAccess MRS CommonOperations MRS ReadOnlyAccess MRS Administrator 创建集群 √ x x √ 调整集群 √ x x √ 升级节点规格 √ x x √ 删除集群 √ x x √ 查询集群详情 √ √ √ √ 查询集群列表 √ √ √ √ 设置弹性伸缩策略 √ x x √ 查询主机列表 √ √ √ √ 查询操作日志 √ √ √ √ 创建并执行作业 √ √ x √ 停止作业 √ √ x √ 删除单个作业 √ √ x √ 批量删除作业 √ √ x √ 查询作业详情 √ √ √ √ 查询作业列表 √ √ √ √ 新建文件夹 √ √ x √ 删除文件 √ √ x √ 查询文件列表 √ √ √ √ 批量操作集群标签 √ √ x √ 创建单个集群标签 √ √ x √ 删除单个集群标签 √ √ x √ 按照标签查询资源列表 √ √ √ √ 查询集群标签 √ √ √ √ 访问Manager页面 √ √ x √ 查询补丁列表 √ √ √ √ 安装补丁 √ √ x √ 卸载补丁 √ √ x √ 运维通道授权 √ √ x √ 运维通道日志共享 √ √ x √ 查询告警列表 √ √ √ √ 订阅告警消息提醒 √ √ x √ 提交SQL语句 √ √ x √ 查询SQL结果 √ √ x √ 取消SQL执行任务 √ √ x √

作业执行权限说明 对于开启Kerberos认证的安全集群，用户在MRS界面提交作业时，要先执行IAM用户同步操作，同步完成后会在MRS系统中产生同IAM用户名的用户。IAM同步用户是否有提交作业权限，取决于IAM同步时，用户所绑定的IAM策略，提交作业策略请参考统一身份认证用户指南中关于同步MRS的说明章节。 用户提交作业，如果涉及到具体组件的资源使用，如HDFS的目录访问、Hive表的访问等相关组件的权限时，需由admin（Manager管理员）用户进行授权，给提交作业用户赋予相关组件权限。具体操作如下： 1.使用admin用户登录Manager。 2.参考创建角色内容，增加用户具体需要的组件权限的角色。 3.参考相关任务修改提交作业用户所属的用户组，将新增的组件角色加入到该用户组中。 说明 用户所在用户组绑定的组件角色修改后，权限生效需要一定时间，请耐心等待。

训推一体场景 使用场景 主要面向对数据保密及安全有着较高要求的企业单位与科研机构，可有力支撑其在私有化环境中，凭借自有数据开展专属行业大模型的训练或者微调工作，尤其适用于政务、医疗、金融等诸多行业领域，充分满足不同行业对于数据安全及大模型定制化应用的需求。 产品优势 拥有丰富多样的训推一体机规格，可依据不同用户的具体业务规模、算力需求等情况，灵活提供适配性强的产品选择。 配备简单易用的训练平台，极大降低了用户的操作门槛，让即使没有深厚技术背景的人员也能便捷地进行大模型的相关训练操作，有效提升工作效率。 模型推理场景 使用场景 精准契合那些无大模型训练诉求，但又需要在私有化环境下部署自有大模型或引入行业大模型，以此为自身应用赋予智能能力的应用场景，广泛覆盖教育平台、数字政务以及医疗应用等关键领域，通过快速调用内置DeepSeek等系列大模型，获取高效的推理服务，为行业应用提供强大的AI支持，提升业务智能化水平。 产品优势 具备推理加速功能以及量化压缩技术，能够大幅提升模型推理的速度与效率，同时优化资源利用，降低对硬件资源的依赖。 支持在本地进行快速部署，可迅速将大模型的推理能力融入到现有业务体系中，减少部署时间成本，快速实现应用赋能与价值创造。

MySQL数据库迁移后无法启动 问题描述 迁移后MySQL数据库无法正常启动或短暂启动后又退出。 问题分析 该问题是因为源端MySQL数据库没有停止服务，导致目标端数据库相关文件不匹配所引起的。 解决方案 适当时间，停止源端MySql数据库服务的所有业务，再重新同步一次。 SELinux配置错误，无法进入系统 问题描述 迁移成功后，系统启动时卡住，无法进入系统，页面提示“SELinux targeted”。 问题分析 该问题可能是SELinux配置错误导致，可以禁用SELinux后重试。 解决方案 以下操作适用于部分子系统版本，并不适配全部问题环境，但您可按以下思路进行问题排除： 1. 找一台和目标端云主机在同一可用区可以上网的临时云主机，以挂载的方式将目标端云主机的系统盘挂载到临时云主机上。 2. 将目标端系统盘相关分区挂载到该临时云主机上。 3. 在临时云主机找到目标端系统盘的SELinux配置文件，设置SELinuxDisabled。 注意 请勿修改临时云主机的SELinux配置文件。 4. 将临时云主机上的目标端系统盘以及相关分区挂载回目标端云主机后重新启动。 CMS上云后会自动安转天翼云插件吗？ 会安装以下3类插件： ctcmagent：云主机监控内容。 cloudinit：云系统初始化、初次启动会执行。 qemuguestagent：各类虚拟化功能。 Windows系统迁移完成，启动/登录系统后出现蓝屏并重启 此类问题可按以下思路排除： 1. 迁移源端本身是否存在故障。 2. 是否是已安装的其余工具调用底层接口影响迁移源系统。

本小节介绍下载并安装Agent，在数据库端或应用端安装Agent。 下载Agent Agent添加完成后，您还需要下载Agent，并根据Agent的添加方式在数据库端或应用端安装Agent。 每个Agent都有唯一的AgentID，是Agent连接数据库安全审计实例的重要密钥。若您将添加的Agent删除，在重新添加Agent后，请重新下载Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 操作步骤 1. 登录管理控制台。 2. 单击右上角的，选择区域。 3. 选择“安全 > 数据库安全服务”，进入数据库安全防护实例列表界面。 4. 在左侧导航树中，选择“数据库安全审计 > 数据库列表”，进入数据库列表界面。 5. 在“选择实例”下拉列表框中，选择需要下载Agent的数据库所属的实例。 6. 单击数据库左侧的展开Agent的详细信息，在Agent所在行的“操作”列，单击“下载agent”，如图所示。将Agent安装包下载到本地。 请根据安装Agent节点的操作系统类型，选择下载相应的Agent安装包。 Linux操作系统 在“操作系统”为“LINUX64”的数据库中下载Agent安装包 Windows操作系统 在“操作系统”为“WINDOWS64”的数据库中下载Agent安装包 安装Agent（Linux操作系统） 安装Agent后，您才能开启数据库安全审计。通过本节介绍，您将了解如何在Linux操作系统的节点上安装Agent。 1. 将下载的Agent安装包“xxx.tar.gz”上传到待安装Agent的节点（例如使用WinSCP工具）。 2. 使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录该节点。 3. 执行以下命令，进入Agent安装包“xxx.tar.gz”所在目录。cd Agent安装包所在目录 4. 执行以下命令，解压缩“xxx.tar.gz”安装包。tar xvf xxx.tar.gz 5. 执行以下命令，进入解压后的目录。cd解压后的目录 6. 执行以下命令，查看是否有安装脚本“install.sh”的执行权限。如果有安装脚本的执行权限，请执行步骤7。如果没有安装脚本的执行权限，请执行以下操作：a.执行以下命令，添加安装脚本执行权限。chmod +x install.shb.确认有安装脚本执行权限后，请执行步骤7。 7. 执行以下命令，安装Agent。sh install.sh 说明 用户系统是Ubuntu时，执行以下命令安装Agent。 界面回显以下信息，说明安装成功。否则，说明Agent安装失败。 start agent starting audit agent audit agent started start success install dbss audit agent done! 注意 如果Agent安装失败，请您确认安装节点的运行系统是否满足Linux操作系统要求，并重新安装Agent。 8. 执行以下命令，查看Agent程序的运行状态。service auditagent status，如果界面回显以下信息，说明Agent程序运行正常，audit agent is running。

通过公网访问应用 为了实现从公网访问该应用，一种简便的方式是为该应用绑定公网 ELB 实例。 1. 在应用列表 中查看已创建的应用，点击该应用可以进入其详情页面。 2. 在应用信息 页签中，在应用访问设置 区域选择基于ELB访问 。点击添加公网ELB访问 ，配置如下参数，然后点击确定 。 1. 在ELB实例 中，选择新建ELB实例。 2. 在HTTP协议 页签中，设置HTTP端口 为80，容器端口 为18082。 清理资源 在完成本教程后，建议清理相关资源，避免持续产生费用。 1. 删除应用：进入 caedemo 应用的详情页面，点击更多 > 删除应用，并按照指引操作来删除上述应用。 2. （可选）删除网络资源：在部署应用的过程中，系统自动创建了VPC、交换机、安全组。 1. 查看VPC：在左侧导航栏选择命名空间 ，点击默认 ，在基础信息页面查看VPC，点击链接跳转到VPC详情页。 2. 查看交换机、安全组：在VPC的资源管理标签页点击链接跳转到相应资源的详情页。 3. 在各资源的详情页执行删除操作。 后续步骤 您已通过 Demo 镜像体验了部署应用的流程。CAE 为您提供以下方式来部署实际的应用 ： 使用镜像部署应用（推荐）：您可以将任何应用制作成镜像，然后将其推送到镜像仓库，最后将其部署到 CAE。 使用代码包部署应用：CAE 提供 Java、Python、Go、Node.js、.NET Core特定版本的运行环境，如果与您的代码兼容，则可以使用代码包部署应用。您需要先制作ZIP格式压缩包，然后将其部署到 CAE。 本示例使用系统创建的默认命名空间来部署应用。您也可以通过自定义命名空间来实现不同应用之间、开发/测试/生产环境之间的隔离 。每个命名空间需要绑定一个VPC。部署应用时，需要为应用实例绑定该VPC中的交换机，选择不同可用区的交换机即可实现应用的跨可用区部署。 创建应用后，可以手动调整实例数量与实例规格，或通过配置弹性伸缩策略实现根据访问量、资源使用情况自动调整实例数量。 为应用启用更多进阶功能。例如，微服务治理、持久化日志、应用监控等功能。

本章节主要介绍如何创建KafkaSSL类型跨源认证。 操作场景 通过在DLI控制台创建的KafkaSSL类型的跨源认证，将Kafka的认证信息存储到DLI，无需在SQL作业中配置帐号密码，安全访问Kafka实例。 说明 MRS Kafka开启Kerberos认证，未开启SSL认证时，创建Kerberos类型的认证。建表时通过krbauthname关联跨源认证。 MRS Kafka开启Kerberos认证，同时开启了SSL认证时，需要同时创建Kerberos和KafkaSSL类型的认证。建表时分别通过krbauthname和sslauthname关联跨源认证。 MRS Kafka未开启Kerberos认证，仅开启了SASL认证时（例如使用帐号密码认证PlainLoginModule场景），无需使用跨源认证。 MRS Kafka未开启Kerberos认证，仅开启了SSL认证时，创建KafkaSSL类型的认证。建表时通过sslauthname关联跨源认证。 MRS Kafka未开启Kerberos认证，开启了SASL认证和SSL认证时，创建KafkaSSL类型的认证。建表时通过sslauthname关联跨源认证。 操作步骤 1. 下载认证凭证。 DMS Kafka a.登录DMS Kafka控制台，单击实例名称进入详情页面。 b.在连接信息中，找到SSL证书，单击“下载”。 解压下载的kafkacerts压缩包，获取client.jks和phyca.crt文件。 MRS Kafka a.登录MRS Manager界面。 b.选择“系统 > 权限 > 用户”。 c.单击“更多 > 下载认证凭据”，保存后解压得到Truststore文件。 2. 上传认证凭证到OBS桶。 3. 创建跨源认证。 a.登录DLI管理控制台。 b.选择“跨源管理 > 跨源认证”。 c.单击“创建”。 填写Kafka认证信息，详细参数说明请参考下表。 参数说明 参数 参数说明 类型 选择KafkaSSL。 认证信息名称 所创建的跨源认证信息名称。 名称只能包含数字、英文字母和下划线，但不能是纯数字，且不能以下划线开头。 输入长度不能超过128个字符。 Truststore路径 上传SSL Truststore文件的OBS路径。 MRS Kafka请填写Truststore.jks文件的OBS路径。 DMS Kafka请填写client.jks文件的OBS路径。 Truststore密码 truststore密码。 Keystore路径 上传SSL KEYSTORE(密钥和证书)文件的OBS路径。 Keystore密码 keystore(密钥和证书)密码。 Key密码 keystore中的私钥密码。 4. 访问开启SASLSSL认证的Kafka。 跨源认证创建成功后，在创建访问数据源时只需关联跨源认证即可安全访问数据源。

场景描述 消息轨迹记录了一条消息从生产端到消息队列RocketMQ服务端，再到消费端的整个过程，包括各阶段的时间、执行状态等。 使用说明 客户端SDK默认不开启消息轨迹功能，需要在消息收发时主动开启消息轨迹，以Java为例，如下所示： 生产者启用消息轨迹： DefaultMQProducer producer new DefaultMQProducer("ProducerGroupName",new AclClientRPCHook(new SessionCredentials("控制台角色AK","控制台角色CK")),true,null); 消费者启用消息轨迹： DefaultMQPushConsumer consumer new DefaultMQPushConsumer( "ConsumerGroupName" ,newAclClientRPCHook( new SessionCredentials( "控制台角色AK" ,"控制台角色CK" ) ) ,newAllocateMessageQueueAveragely() ,true ,null); 消息轨迹的查询方式 1. 天翼云官网点击控制中心，选择产品分布式消息服务RocketMQ。 2. 登录分布式消息服务RocketMQ控制台，点击右上角地域选择对应资源池。 3. 进入实例列表，点击【管理】按钮进入管理菜单。 4. 根据查询结果，查看消息轨迹。

本页介绍天翼云TeleDB数据库监控概览。 操作场景 监控概览支持提供全面的实例监控功能，保证用户实时了解实例的运行状态。默认只保留一个月的监控数据。 操作步骤 1. 切换至TeleDB控制台，在左侧导航树单击实例监控 ，选择监控概览页签。 2. 监控概览页面展示了整个集群的全局信息，包括全局事务管理器、协调节点和数据节点的基本信息，具体如下： 节点运行状态：包括三种状态，运行中/停止/异常。 节点基本信息：节点名，主机ip，主备信息等。 节点请求量：GTM节点不接受请求，不展示。 节点连接数：GTM节点不接受业务连接，不展示。 节点CPU占用率：节点CPU占用率。 节点内存占用大小：节点内存占用大小。

弹性负载均衡支持移除后端云主机的操作,本文帮助您快速熟悉后端云主机的移除。 操作场景 解绑后端主机与负载均衡器的关联后，后端主机将不再接收到负载均衡器转发的请求，但这不会对云主机本身造成任何影响。您可以在业务增长或需要增强可靠性时重新将其添加到后端主机组中。 操作步骤 1. 登录天翼云控制中心。 2. 选择“网络>弹性负载均衡>负载均衡器”。 3. 单击已创建的负载均衡器实例名称。 4. 在该负载均衡详情界面，选择“后端主机组”标签。 5. 选定特定的后端主机组，从云主机列表中选择要移除的主机，点击“移除”。 6. 点击“确定”即完成移除云主机操作。

本文为您介绍分布式消息服务MQTT的操作指南认证授权。 创建用户名和密码 终端设备连接MQTT队列需要先创建用户密码。 1、 天翼云官网点击控制中心，选择产品分布式消息服务MQTT。 2、 登录分布式消息服务MQTT控制台，点击右上角地域选择对应资源池。 3、 进入实例列表，点击【管理】按钮进入管理菜单。 4、 进入认证授权菜单，点击【新增】按钮，在弹出框输入认证用户名、用户密码、确认密码等信息。 主题授权 对用户名进行主题授权，客户端方可正常收发。 1、 选择需要授权的用户，点击【授权】按钮。 2、 在弹出框填写已创建的主题名称，主题权限包含3种：pub、sub、pubsub，支持通配符，代表所有主题。

本文带您熟悉删除备份策略的操作步骤,您可删除不需要的备份策略。 操作场景 根据需要，用户可删除已有的备份策略。 注意 删除策略后，其绑定的磁盘将无法按照策略继续执行备份。 前提条件 已创建至少1个备份策略。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择上海上海36。 3. 在系统首页，选择“存储>云主机备份”。 4. 选择“备份策略”页签，在需要删除的备份策略所在行点击“更多>删除”按钮。 5. 在弹出的页面，确认删除信息，点击“确定”，完成删除备份策略的操作。