本章节主要介绍新建DWS连接。 本章节以新建DWS连接为例，介绍如何建立DataArts Studio与数据仓库底座之间的数据连接。 前提条件 在创建数据连接前，请确保您已创建所要连接的数据湖（如DataArts Studio所支持的数据库、云服务等）。 1. 在创建DWS类型的数据连接前，您需要先在DWS服务中创建集群，并且具有KMS密钥的查看权限。 2. 在创建MRS HBase、MRS Hive、MRS Kafka、MRS Ranger、MRS Spark、MRS Presto类型的数据连接前，需确保您已创建MRS集群，并且在创建数据链接时已创建选择所需要的组件。 3. 在创建RDS类型的数据连接前，请确保您已创建RDS数据库实例。DataArts Studio平台目前仅支持RDS中的MySQL和PostgreSQL数据库引擎。 在创建数据连接前，请确保待连接的数据湖与DataArts Studio实例之间网络互通。 1. 如果数据湖为云下的数据库，则需要通过公网或者专线打通网络，确保数据源所在的主机可以访问公网，并且防火墙规则已开放连接端口。 2. 如果数据湖为云上服务（如DWS、MRS等），则网络互通需满足如下条件： ①DataArts Studio实例（指DataArts Studio实例中的CDM集群）与云上服务处于不同区域的情况下，需要通过公网或者专线打通网络。 ②DataArts Studio实例（指DataArts Studio实例中的CDM集群）与云上服务同区域情况下，同虚拟私有云、同子网、同安全组的不同实例默认网络互通；如果同虚拟私有云但是子网或安全组不同，还需配置路由规则及安全组规则，配置路由规则请参见《虚拟私有云》帮助文档中的“添加路由信息”章节，配置安全组规则请参见《虚拟私有云》帮助文档中的“安全组 > 添加安全组规则”章节。 ③此外，您还必须确保该云服务的实例与DataArts Studio工作空间所属的企业项目必须相同，如果不同，您需要修改工作空间的企业项目。

参数 说明 虚拟私有云 物理机网络使用虚拟私有云（VPC）提供的网络，包括子网、安全组等。 您可以选择使用已有的虚拟私有云网络，或者单击“控制中心创建”创建新的虚拟私有云。 安全组 安全组用来实现安全组内和安全组间物理机的访问控制，加强物理机的安全保护。用户可以在安全组中定义各种访问规则，当弹性裸金属加入该安全组后，即受到这些访问规则的保护。当您需要修改安全组时，请前往管理安全组进行操作。标准裸金属不支持安全组，需要系统内配置iptable。 网卡 默认设置主网卡，用户可根据需求设置扩展网卡。 弹性IP 弹性IP将公网IP地址和物理机绑定，通过此绑定，虚拟私有云内的物理机可以使用固定的公网IP地址对外提供访问。 可以根据实际情况选择以下三种方式：不使用：物理机不能与互联网互通，仅可作为私有网络中部署业务或者集群所需物理机进行使用。 自动分配：自动为每台物理机分配独享带宽的弹性IP，可选带宽规格为1~300Mbps。使用已有：为物理机分配已有弹性IP，使用已有弹性IP时，不能批量创建物理机。

参数 说明 虚拟私有云 物理机网络使用虚拟私有云（VPC）提供的网络，包括子网、安全组等。 您可以选择使用已有的虚拟私有云网络，或者单击“控制中心创建”创建新的虚拟私有云。 安全组 安全组用来实现安全组内和安全组间物理机的访问控制，加强物理机的安全保护。用户可以在安全组中定义各种访问规则，当弹性裸金属加入该安全组后，即受到这些访问规则的保护。当您需要修改安全组时，请前往管理安全组进行操作。标准裸金属不支持安全组，需要系统内配置iptable。 网卡 默认设置主网卡，用户可根据需求设置扩展网卡。 弹性IP 弹性IP将公网IP地址和物理机绑定，通过此绑定，虚拟私有云内的物理机可以使用固定的公网IP地址对外提供访问。 可以根据实际情况选择以下三种方式：不使用：物理机不能与互联网互通，仅可作为私有网络中部署业务或者集群所需物理机进行使用。 自动分配：自动为每台物理机分配独享带宽的弹性IP，可选带宽规格为1~300Mbps。使用已有：为物理机分配已有弹性IP，使用已有弹性IP时，不能批量创建物理机。

参数 说明 虚拟私有云 物理机网络使用虚拟私有云（VPC）提供的网络，包括子网、安全组等。 您可以选择使用已有的虚拟私有云网络，或者单击“控制中心创建”创建新的虚拟私有云。 安全组 安全组用来实现安全组内和安全组间物理机的访问控制，加强物理机的安全保护。用户可以在安全组中定义各种访问规则，当弹性裸金属加入该安全组后，即受到这些访问规则的保护。当您需要修改安全组时，请前往管理安全组进行操作。标准裸金属不支持安全组，需要系统内配置iptable。 网卡 默认设置主网卡，用户可根据需求设置扩展网卡。 弹性IP 弹性IP将公网IP地址和物理机绑定，通过此绑定，虚拟私有云内的物理机可以使用固定的公网IP地址对外提供访问。 可以根据实际情况选择以下三种方式：不使用：物理机不能与互联网互通，仅可作为私有网络中部署业务或者集群所需物理机进行使用。 自动分配：自动为每台物理机分配独享带宽的弹性IP，可选带宽规格为1~300Mbps。使用已有：为物理机分配已有弹性IP，使用已有弹性IP时，不能批量创建物理机。

天翼云多活容灾服务（MDR）即将上线，通过MDR平台，您可以将应用的主备节点部署到不同的地域，平时使用主节点提供服务，当主节点应用出现故障，备节点应用可以继续为您的客户提供服务。 此外，您也可以在部署时使用云主机组功能，通过反亲和性/强制反亲和性将云主机尽量/强制地创建在不同的宿主机上，提高业务的可靠性。

已购买的弹性云主机不支持更换地域。 如果您需要在另一个地域使用弹性云主机，有以下两种方案： 1）选择目标地域重新购买实例，建议选择与您的业务需求最接近的区域，以减少网络延迟和数据传输时间。 2）采用主机迁移服务实现实例间的快速迁移，具体操作可以参考 天翼云ECS实例间迁移最佳实践 。

通过公网IP访问Kibana Kibana公网访问配置完成后，将会获得一个kibana公网访问地址，用户可以通过此IP访问集群的Kibana。 1.登录云搜索服务管理控制台。 2.在集群管理页面，单击需要配置Kibana公网访问的集群名称，进入集群基本信息页面。 3.选择“Kibana公网访问”页签，获取kibana公网访问地址。 4.通过该地址，就可以在公网上面访问云搜索服务集群的Kibana。

本文主要介绍弹性伸缩服务产品优势。 弹性伸缩服务可根据用户的业务需求，通过策略自动调整其业务的资源。具有自动调整资源、节约成本开支、提高可用性和容错能力的优势。适用以下场景： 访问流量较大的论坛网站，业务负载变化难以预测，需要根据实时监控到的云主机CPU使用率、内存使用率等指标对云主机数量进行动态调整。 电商网站，在进行大型促销活动时，需要定时增加云主机数量，以保证促销活动顺利进行。 视频直播网站，每天14:00~16:00播出热门节目，每天都需要在该时段增加云主机数量，保证业务的平稳运行。 自动调整资源 弹性伸缩能够实现应用系统自动按需调整资源，即在业务增长时能够实现自动增加实例数量，以满足业务需求，业务下降时能够实现应用系统自动缩容，保障业务平稳运行。 按需调整云主机资源 向应用系统中添加弹性伸缩，能够实现按需调整资源，即能够实现在业务增长时增加实例，业务下降时减少实例，这样加强了应用系统的成本管理。调整资源主要包括以下几种方式： 动态调整资源 动态调整资源是通过告警策略的触发来调整资源。详细内容请参阅动态资源扩展。 计划调整资源 计划调整资源是通过定时策略或周期策略的触发来调整资源。详细内容请参阅按计划扩展资源。 手工调整资源 通过修改期望实例数或手动移入、移出实例来调整资源。详细内容请参阅手动扩展资源。 例如，运行在公有云上的基本Web应用程序。此应用程序允许乘客购买火车票。在每年中期时段，人员流动性较低，此应用程序的使用率较低。每年年底和年初，人员流动性较高，因此对此应用程序的需求会显著提高。一般系统会采用添加足够多的云主机，如图1所示，或添加处理应用程序平均需求所需的容量，如图2所示，来满足业务需求。但这两种方案会造成资源浪费或无法满足高峰期的需求。当您给应用程序中添加弹性伸缩后，弹性伸缩会自动根据需求调整云主机的数量，如图3所示，为您节约成本并且满足高峰期的需求。 图1 服务器资源冗余 图2 服务器资源不足 图3 向应用程序中添加弹性伸缩

本文介绍创建及管理内网访问内容。 功能概述 内网访问用于管理接入应用托管的VPC终端节点，已完成VPC接入的云资源，可通过内网访问域名连接应用托管中的应用，保障访问安全性。 操作步骤 步骤 1：进入内网访问页面 1. 登录天翼云应用托管控制台，在左侧导航栏选择网络 → 内网访问，进入内网访问管理页面。 步骤 2：接入 VPC 1. 委托授权（首次操作需执行，为平台授权）： 弹出「创建委托」弹窗，展示所需授予的权限： VPC 终端节点：查询、创建、删除等权限； 虚拟私有云：查询 VPC、子网等权限； 内网 DNS：查询、创建、删除 DNS 记录等权限。 点击【确认授权】，平台自动创建名为 CtyunAssumeRoleForAPP 的委托。 注意：请勿删除或修改此委托，否则会导致内网访问功能异常。 2. 完成委托授权后，点击【接入 VPC】按钮，弹窗【VPC终端节点配置】完成以下内容配置并提交，VPC即接入成功。 选择 可用区； 选择 虚拟私有云（下拉框展示当前账号下可用 VPC），若需新的虚拟私有云，请点击【去创建】； 点击【确认配置】提交。

本文介绍创建及管理内网访问内容。 功能概述 内网访问用于管理接入应用托管的VPC终端节点，已完成VPC接入的云资源，可通过内网访问域名连接应用托管中的应用，保障访问安全性。 操作步骤 步骤 1：进入内网访问页面 1. 登录天翼云应用托管控制台，在左侧导航栏选择网络 → 内网访问，进入内网访问管理页面。 步骤 2：接入 VPC 1. 委托授权（首次操作需执行，为平台授权）： 弹出「创建委托」弹窗，展示所需授予的权限： VPC 终端节点：查询、创建、删除等权限； 虚拟私有云：查询 VPC、子网等权限； 内网 DNS：查询、创建、删除 DNS 记录等权限。 点击【确认授权】，平台自动创建名为 CtyunAssumeRoleForAPP 的委托。 注意：请勿删除或修改此委托，否则会导致内网访问功能异常。 2. 完成委托授权后，点击【接入 VPC】按钮，弹窗【VPC终端节点配置】完成以下内容配置并提交，VPC即接入成功。 选择 可用区； 选择 虚拟私有云（下拉框展示当前账号下可用 VPC），若需新的虚拟私有云，请点击【去创建】； 点击【确认配置】提交。

一个VPC最多支持创建多少个私网NAT？ 当前单个VPC最多支持购买10个私网NAT。 私网NAT支持SNAT规则和DNAT规则共用一个中转IP吗？ 私网NAT目前暂不支持SNAT规则和DNAT规则共用一个中转IP。 私网NAT支持云专线的IP转换吗？ 支持。在创建DNAT规则时，选择自定义模式，可添加通过云专线接入的客户云下IP。 私网NAT和公网NAT有什么区别？ 私网NAT是实现私网IP与私网IP之间的地址转换。 私网NAT的作用有： 通过私网IP地址转换，解决私网IP地址冲突的问题。 通过私网IP地址转换，满足指定地址接入的需求。 公网NAT是实现私网IP与公网IP之间的地址转换。 公网NAT的作用有： 更安全：避免云主机公网IP直接暴露在外。 省成本：共享EIP，共享带宽，节约EIP资源。 私网NAT是否支持跨账号使用？ 私网NAT本身不支持跨账号使用，但可以通过VPC对等连接实现跨帐户通信，VPC对等连接打通两个账号的中转VPC，实现两个私网NAT转换IP后的跨账号通信。

本文帮助您快速熟悉如何修改弹性网卡的基本信息、分配IPv6、辅助私网IP。 操作场景 您可以根据业务需求修改弹性网卡的名称、安全组，管理辅助私网IP。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经创建虚拟私有云VPC、子网、弹性云主机。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 单击“弹性网卡”，进入弹性网卡列表页面。 5. 在弹性网卡列表页找到对应的弹性网卡，点击“修改”，填写名称、安全组、描述，点击“确定”即可完成修改。 6. 在目标弹性网卡的“操作”列，点击“管理弹性网卡IP地址”。 7. 在弹窗页面可以取消分配IPv6地址，取消分配后IPv6地址回收。再次分配可以重新获得IPv6地址。您也可以分配新的辅助私网IP（IPv4）或者取消分配。 注意 分配辅助私网IPv4后，您需要登录服务器实例，在实例内部配置已分配的辅助私网IPv4地址。 变更IPv6地址后，不能立即生效，需要等云主机下次dhcp续约时才能生效。 8. 当您不需要此弹性网卡时，点击弹性网卡列表“删除”，即可删除该弹性网卡。

本文介绍了云防火墙（原生版）的产品定义和产品架构。 云防火墙（原生版）（CTCFW，Cloud Firewall）是一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界管控与安全防护，并提供业务整体情况可视化、日志审计和分析等功能，帮助您完成网络边界防护与等保合规。 产品功能 访问控制：可统一管理互联网访问控制策略（南北向），提供流量可视、访问控制、入侵防御等功能，全面保护用户的网络安全。 入侵防御：内置复合威胁检测引擎，支持对互联网上的恶意流量、DDoS攻击，漏洞利用等攻击行为进行入侵防护，并提供精准的漏洞虚拟补丁，智能阻断入侵风险。 流量可视：提供全面的用户业务流量可视化，实现网络访问可视，网络会话可视，网络行为可视，帮助用户全面感知网络情况。 日志审计：为用户全面记录入侵防御日志、访问控制日志、流量日志和操作日志，帮助用户完成等保合规要求。 产品架构 云防火墙（原生版）整体架构主要包括3个部分，分别为中央管理平台、南北向流量控制模块和日志平台。 中央管理平台：提供策略规则的编辑和下发能力，并展示安全整体情况，为您提供可视化平台。 南北向流量控制模块：主要用于实现互联网到主机间的访问控制，支持4~7层访问控制。 日志平台：存放入侵防御日志、访问控制日志、流量日志和操作日志，并提供查询分析能力。

参数 是否必填 参数类型 说明 示例 下级对象 regionID 是 String ctyun资源池ID 81f7728662dd11ec810800155d307d5b service 是 String 本参数表示产品名称。取值范围：ecs：云主机。evs：云硬盘。...详见“[一键告警：产品列表]”接口返回。 ecs alarmType 是 String 本参数表示告警类型。 取值范围：series：时序指标。event：事件。 根据以上范围取值。 series

本文介绍天翼云远程证明服务,包括工作原理、使用方式和计费说明。 概述 天翼云远程证明服务是一个统一的解决方案，可用于验证不同平台（如鲲鹏、海光、intel 、AMD等）的可信度和在该平台中运行的代码的完整性。该服务支持对基于虚拟可信平台模块vTPM（virtual Trusted Platform Module）的平台进行证明，以及对可信执行环境TEE（Trusted Execution Environment）的状态进行证明。 工作原理 基于硬件信任根建立从硬件到软件的可信启动链，并利用该信任根对系统状态生成密码学签名的报告。远端验证者通过验证该报告的完整性和真实性，并与预定义的可信策略进行比对，来达成两个核心目标： 确认平台基于真实的硬件可信根。 确认平台运行了符合预期的软件栈。 使用方式 远程证明服务主要用于对机密云主机和可信云主机进行远程证明，目前仅提供通过OpenAPI进行认证（详细可参见远程证明服务OpenAPI），主要有以下两种使用方式： 方式一： 1. 在可信/机密云主机启动过程中，（虚拟）硬件会度量所涉及的软件并保存度量值； 2. 启动完成后，您可从云主机内调用相关接口获得“证据“，由（虚拟）硬件内密钥所签名的内容（包含度量值）； 3. 您可以将“证据”提交给远程证明服务进行校验。远程证明服务负责取得（虚拟）硬件内密钥所对应的证书，用于校验“证据”确实由对应（虚拟）硬件生成，便验证了平台是基于真实的硬件可信根； 4. 您可以进一步检查“证据”中各字段的值（包含度量值），便验证了平台运行了符合预期的软件栈。 方式二： 1. 您需要制定证据校验策略，并将策略上传至远程证明服务； 2. 在可信/机密云主机启动过程中，（虚拟）硬件会度量所涉及的软件并保存度量值； 3. 启动完成后，您可从云主机内调用相关接口获得“证据“——由（虚拟）硬件内密钥所签名的内容（包含度量值）； 4. 您可以将“证据”提交给远程证明服务进行校验，提交时指定使用哪个策略进行校验。远程证明服务负责取得（虚拟）硬件内密钥所对应的证书，用于校验“证据”确实由对应（虚拟）硬件生成，便验证了平台是基于真实的硬件可信根；策略中包含客户预期的“证据”中各个字段的值（包含度量值），将预期值（基准值）与生成值作对比，便验证了平台是基于真实的硬件可信根。

本文介绍天翼云远程证明服务,包括工作原理、使用方式和计费说明。 概述 天翼云远程证明服务是一个统一的解决方案，可用于验证不同平台（如鲲鹏、海光、intel 、AMD等）的可信度和在该平台中运行的代码的完整性。该服务支持对基于虚拟可信平台模块vTPM（virtual Trusted Platform Module）的平台进行证明，以及对可信执行环境TEE（Trusted Execution Environment）的状态进行证明。 工作原理 基于硬件信任根建立从硬件到软件的可信启动链，并利用该信任根对系统状态生成密码学签名的报告。远端验证者通过验证该报告的完整性和真实性，并与预定义的可信策略进行比对，来达成两个核心目标： 确认平台基于真实的硬件可信根。 确认平台运行了符合预期的软件栈。 使用方式 远程证明服务主要用于对机密云主机和可信云主机进行远程证明，目前仅提供通过OpenAPI进行认证（详细可参见远程证明服务OpenAPI），主要有以下两种使用方式： 方式一： 1. 在可信/机密云主机启动过程中，（虚拟）硬件会度量所涉及的软件并保存度量值； 2. 启动完成后，您可从云主机内调用相关接口获得“证据“，由（虚拟）硬件内密钥所签名的内容（包含度量值）； 3. 您可以将“证据”提交给远程证明服务进行校验。远程证明服务负责取得（虚拟）硬件内密钥所对应的证书，用于校验“证据”确实由对应（虚拟）硬件生成，便验证了平台是基于真实的硬件可信根； 4. 您可以进一步检查“证据”中各字段的值（包含度量值），便验证了平台运行了符合预期的软件栈。 方式二： 1. 您需要制定证据校验策略，并将策略上传至远程证明服务； 2. 在可信/机密云主机启动过程中，（虚拟）硬件会度量所涉及的软件并保存度量值； 3. 启动完成后，您可从云主机内调用相关接口获得“证据“——由（虚拟）硬件内密钥所签名的内容（包含度量值）； 4. 您可以将“证据”提交给远程证明服务进行校验，提交时指定使用哪个策略进行校验。远程证明服务负责取得（虚拟）硬件内密钥所对应的证书，用于校验“证据”确实由对应（虚拟）硬件生成，便验证了平台是基于真实的硬件可信根；策略中包含客户预期的“证据”中各个字段的值（包含度量值），将预期值（基准值）与生成值作对比，便验证了平台是基于真实的硬件可信根。

此小节介绍登录云堡垒机。 说明 内网地址登录需要确保网络环境互通。 外网地址登录需要绑定弹性IP。 前提条件 管理员已添加该用户。 操作步骤 1. 启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 云堡垒机实例登录地址为 2. 选择认证方式为“本地认证 ”或“AD认证”。 3. 输入系统用户账号和密码，输入图形验证码。 4. 在弹出的对话框中选择绑定的双因子认证方式，若未开启双因子认证则跳过该步骤。 说明 使用短信认证登录，请确保该云堡垒机已开启短信认证方式，具体开启操作请参考：认证设置章节。 使用手机令牌登录前，请先确保您已经为该账号绑定手机令牌，绑定手机令牌才做请参见：手机令牌章节。 5. 单击“确定”，成功登录到堡垒机系统。 注意 动态口令的获取需要使用天翼云APP虚拟MFA管理功能，若未安装天翼云APP，请进入手机应用商店搜索“天翼云”，下载安装天翼云手机APP。

本节介绍了云数据库TaurusDB的常用概念。 了解以下概念，有助于您更好地选购和使用云数据库TaurusDB： 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。一般情况下，TaurusDB实例应该和弹性云主机实例位于同一地域，以实现最高的访问性能。 可用区（Availability Zone，简称AZ）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个实例，可用区是指在某个地域内拥有独立电力和网络的物理区域。 可用区之间内网互通，不同可用区之间物理隔离。每个可用区都不受其他可用区故障的影响，并提供低价、低延迟的网络连接，以连接到同一地区其他可用区。通过使用独立可用区内的TaurusDB，可以保护您的应用程序不受单一位置故障的影响。同一Region的不同AZ之间没有实质性区别。 规格：每个节点的资源配置，比如16核64GB。

云点播拼接模版功能介绍。 综述 用户可使用拼接模板将多个视频按照一定的排列规则拼接成完整的视频，通常用于对上传素材添加片头、片尾等操作。 新建拼接模板 前提条件 已开通云点播产品。 操作步骤 进入云点播控制台，选择左侧导航栏的【模板管理】–【拼接模板】可打开拼接模板列表页面。点击【添加模板】进入模板自定义设置。 相关配置参数 配置类型 配置参数 :: 模板名称 支持中英文字符、数字、下划线和短横线“”，不超过20位。 拼接类型 目前可供选择的为【片头片尾拼接】。 片头视频 用作片头的视频素材。拼接视频需存放在云点播【媒体库】内。 片尾视频 用作片尾的视频素材。拼接视频需存放在云点播【媒体库】内。 视频分辨率 当片头、片尾及主视频三者存在分辨率差异时，用户可根据自身业务需求，选择如何定义输出视频的分辨率。当选择【跟随主视频】时，则片头、片尾视频会根据主视频分辨率进行拉伸变换。当选择【自定义】时，片头、片尾、主视频三者均会按照自定义分辨率进行拉伸变换。 视频码率 输出视频的目标视频编码码率。 音频保留 在拼接过程中，片头、片尾合主视频的声音可能存在音轨空缺或重叠，用户可选择在拼接时【保留音频并按需填充空音频流】或【去除音频】。 音频码率 输出成片的目标音频码率。 注意 1. 视频拼接本质属于视频编码，需按照输出视频规格进行计费。计费时长为片头、片尾、主视频播放时长总和。 2. 受限于片头、片尾、主视频编码码率、清晰度、分辨率等影响，拼接合成后视频的播放质量可能会下降。 3. 拼接模板功能需要拼接的视频、片头、片尾等素材需提前上传在媒体库内。拼接模式目前仅支持输出H.264格式的成片。 4. 建议将素材文件的权限置为【公共读】，如为了保证素材访问安全性需设置为【私有】，请将文件签名部分一并写入配置模板，并确保该签名在模板使用过程中有效。

本章节向您介绍如何为VPC增加扩展网段。 操作场景 创建虚拟私有云VPC时，您配置的IPv4网段是VPC的主网段。当VPC创建完成后，主网段不支持修改，若主网段不够分配，您可以参考以下操作为VPC添加扩展网段。 操作步骤 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 在服务列表，选择“网络 > 虚拟私有云”，进入虚拟私有云列表页面。 4. 在虚拟私有云列表中，单击目标虚拟私有云所在行的操作列下的“编辑网段”，弹出“编辑网段”对话框。 5. 在“编辑网段”对话框中，单击“添加IPv4扩展网段”。 6. 输入扩展网段，单击“确定”。 约束与限制 创建子网时候，您可以基于主网段或者扩展网段来分配子网网段，但是一个子网网段，要么属于主网段，要么属于扩展网段，不能两个网段混用。 同一个VPC内的子网默认互通，基于主网段的子网和基于扩展网段的子网也是默认互通。 扩展网段的子网地址与VPC路由表中已有路由的目的地址相同或者重叠，会导致已有路由不生效。 在扩展网段中创建子网时，系统会为该子网生成一条目的地址为子网网段，下一跳为Local的路由，Local路由属于VPC内部路由，优先级高于VPC路由表中添加的其他路由。比如，VPC路由表已有某个下一跳为对等连接的路由，其目的地址为100.20.0.0/24；新增扩展网段子网的路由，其目的地址为100.20.0.0/16，100.20.0.0/16和100.20.0.0/24网段重叠，流量优先通过扩展网段子网的路由转发，会导致对等连接的路由失效。 VPC扩展网段支持的掩码范围为328。 不支持添加的扩展网段范围如下表所示。 网段类型 不支持的网段范围 私有网段预留地址 172.31.0.0/16 192.168.0.0/16 主网段已使用的私网网段 系统内部预留地址 100.64.0.0/10 214.0.0.0/7 198.18.0.0/15 169.254.0.0/16 公网保留地址 0.0.0.0/8 127.0.0.0/8 240.0.0.0/4 255.255.255.255/32

本文汇总了使用虚拟私有云产品时常见的使用安全类问题。 弹性云服务器加入安全组过后能否变更安全组？ 可以。进入弹性云服务器详情界面，在网卡下拉窗口选择更改安全组。 一个用户能拥有多少个安全组？ 一个用户最多可以拥有100个安全组，5000条安全组规则。 创建弹性云服务器时，可以选择多个安全组（建议不超过5个）。 一个用户可以拥有多少个网络ACL？ 一个用户最多可以拥有200个网络ACL，每个网络ACL出方向或入方向建议最多创建20条规则，超过20条会影响转发性能 。 变更安全组规则和网络ACL规则时，是否对原有流量实时生效？ 安全组是有状态的，即无论安全组入方向的规则如何，都允许对出方向流量的响应流入实例，反之亦然。安全组使用连接跟踪来跟踪有关进出实例的流量信息，在安全组规则增加、删除、更新时，或者该安全组下实例创建、删除时，会自动清除该安全组下所有实例入方向的连接跟踪，此时，流入或流出实例的流量会被当做新的连接，需要重新匹配相应入方向或出方向的安全组规则，以保证规则能立即生效，从而保障流入实例的流量的安全。 网络ACL规则配置变更，对于原有流量不会立刻生效。用户需断开变更规则所影响的流量一段时间（约120秒）后，变更后的规则才能对流量生效。如要确保流量在变更规则时能立即中断，建议使用安全组进行安全策略配置。

本章节主要向您介绍如何删除安全组与安全组规则。 删除安全组 操作场景 当您的安全组不需要使用时，您可以删除不需要的安全组。 约束与限制 系统自带的默认安全组不能删除，默认安全组名称为default。 当安全组已关联至其他服务实例时，比如云主机、云容器、云数据库等，此安全组无法删除。请您将实例从安全组中移出后，重新尝试删除安全组。 当安全组作为“源地址”或者“目的地址”，被添加在其他安全组的规则中时，此安全组无法删除，需要删除该条规则或修改规则，然后重新尝试删除安全组。 比如，安全组sgB中有一条安全组规则的“源地址”设置为安全组sgA，则需要删除或者更改sgB中的该条规则，才可以删除sgA。 操作步骤 1. 登录管理控制台，进入“虚拟私有云>访问控制>安全组”。 2. 在安全组列表中，选择目标安全组所在行的操作列下的“更多 > 删除”，弹出删除确认对话框。 3. 根据界面提示完成确认，确认无误后单击“确定”，删除安全组。 删除安全组规则 操作场景 当您不需要通过某条安全组规则控制流量流入/流出安全组内实例时，您可以删除安全组规则。 约束与限制 当您删除安全组规则前，请您务必了解该操作可能带来的影响，避免误删除造成网络中断或者引入不必要的网络安全问题。 安全组规则遵循白名单原理，当在规则中没有明确定义允许或拒绝某条流量时，安全组一律拒绝该流量流入或者流出实例。

本文分别为您介绍Windows云主机和Linux云主机如何搭建FTP。 Windows云主机 添加IIS以及FTP服务角色 1. 登录弹性云主机。 2. 选择“开始 > 服务器管理器”。 3. 单击“添加角色和功能”。 4. 在弹出的“开始之前”对话框中，单击“下一步”。 5. 选择“基于角色或基于功能的安装”，单击“下一步”。 6. 选择需要部署FTP的服务器，单击“下一步”。 7. 选择“ Web服务器（IIS）”，并在弹出的对话框中单击“添加功能”，然后单击“下一步”。 8. 连续单击“下一步”，到“角色服务”页面。 9. 选择“FTP服务器” 以及“IIS管理控制台”，单击“下一步”。 10. 单击“安装”，开始部署服务角色。 11. 安装完成后，单击“关闭”。 创建FTP用户名及密码 创建Windows用户名和密码，用于FTP使用。如果您希望匿名用户可以访问，可以不创建FTP用户和密码。 1. 在“服务器管理器”中，选择“仪表板 > 工具 > 计算机管理”。 2. 选择“系统工具 > 本地用户和组 > 用户”，在右侧空白处右击，并选择“新用户”。 3. 设置“用户名”和“密码”，此处用户名以“ftpadmin”为例。

（二）十字符病毒 1. 故障现象 名称由随机10字符组成的进程，运行时占用大量CPU资源，伴有网络流量较大、占满带宽的现象，无法通过kill命令终止该进程。 2. 排查思路 确认占用CPU资源的进程，分析该进程对应的程序，同时查看计划任务、启动脚本等，排查是否存在可疑文件，并根据文件内容确认恶意脚本程序。 3. 排查过程 查看进程列表，确认占用CPU资源的主要进程。 由于病毒通常具有自动运行机制，因此常常藏身于计划任务中。查系统计划任务中是否存在可疑脚本，并对脚本进行进一步分析核查，可确认系统被感染病毒，病毒本体是/lib/libudev.so。 4. 解决方法： 终止病毒进程（强制终止该进程后，病毒程序还会自动拉起一个新的进程运行。 删除恶意程序脚本。 杀掉病毒进程。 清理计划任务内容。 删除病毒本体。 检查开机自启动项等内容，彻底清理病毒痕迹。 三，系统加固操作建议 针对Linux云主机，建议您绑定Linux开放22端口安全组，移除默认安全组，单独开放需要的端口，使用复杂密码并定期更换，同时定期对您的云主机制作私有镜像，操作方法请参考下列文档： 安全组概述 实例加入/移出安全组 配置安全组规则 修改云主机默认远程端口 通过云主机创建Linux系统盘镜像

本章节介绍云原生网关的全局插件 概述 全局插件可应用于整个网关实例，对所有API路由都生效，目前云原生网关提供了6种全局插件。 查看全局插件配置列表 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 您可以在网关列表页单击需要查看的网关实例ID或者 实例名称 ，也可以单击操作列中的管理按钮； 5. 单击左侧导航栏 全局插件 ，可查看全部插件和已启用插件配置列表； 查看全局插件详情 操作步骤 1. 全部插件中展示了目前云原生网关所提供的全局插件列表； 2. 点击插件图标进入插件详情页，展示插件的基本信息，使用引导页面上展示详细的配置属性； 编辑全局插件配置 操作步骤 1. 从全部插件页面点击插件图标进入插件详情页； 2. 插件配置页面展示了当前插件的配置模板； 3. 点击编辑按钮，可对该插件的配置进行编辑修改； 4. 编辑完成后，点击保存按钮，即可保存该插件配置； 5. 若要放弃配置更改，可点击取消按钮； 6. 也可进入已开启插件页面，查看目前正在生效的插件配置，对已开启插件配置进行编辑； 启停全局插件配置

本文主要介绍云日志服务中查询分析Nginx访问日志。 云日志服务LTS支持采集Nginx日志，并进行多维度查询。本文介绍分析网站访问情况、异常和重要场景告警的分析案例。 背景信息 Nginx是一款主流的网站服务器，当您选用Nginx搭建网站时，Nginx日志是运维网站的重要信息。 云日志服务支持通过数据接入向导一站式采集Nginx日志，您还可以使用云日志服务的查询分析语句，分析网站的延时情况，及时调优网站。针对性能问题、服务器错误、流量变化等重要场景，您还可以设置告警，当满足告警条件时给您发送告警信息。 前提条件 根据配置向导，创建对应的日志单元、安装采集器、配置采集规则，生成日志字段。 可以使用正则表达式来分割这个Nginx访问日志行。用户可以输入日志样例预览匹配结果，并为匹配结果进行字段命名 操作步骤 完成上述步骤后，采集器将开始在指定的主机组中进行日志采集，并将采集的日志信息展示在控制台上。用户点击日志检索之后再点击检索分析，便可以在控制台看到检索到的日志信息。在展示页面上，用户可以根据自己的需求选择不同的展示方式。如对日志进行展开，JSON格式化等操作 样例1：查询IP 192.168.1.100 发过来的请求日志。 样例2：查询IP 192.168.1.100 发过来的GET请求日志。

本文提供了包括IPv4和IPv6不同组网环境下VPC对等连接配置的示例供您参考,帮助您了解如何在不同的场景下配置对等连接。 由于同资源池不同VPC之间默认内网隔离，若需要使它们之间内网互通可使用对等连接将两个VPC内网连通。若需要连接跨地域的VPC，您可以考虑使用云间高速服务。请结合您的实际需求，选择适当的网络连接方式。 以下是针对在云环境下建立对等连接时可能遇到的网络地址冲突问题的三种情况，以及相应的对等连接配置示例。 情况 配置示例 VPC网段和子网网段均不重叠 通过对等连接实现两个VPC全地址段互通。具体请参考指向整个VPC网段的对等连接配置。 VPC网段重叠且部分子网网段重叠 通过对等连接实现两个VPC中指定子网互通，对等连接两端VPC中需要互通的子网网段不用重叠。具体请参考指向VPC子网的对等连接配置。 通过对等连接实现两个VPC内指定弹性云主机互通，对等连接互通的弹性云主机实例的私有IP地址不能相同。具体请参考指向VPC内云主机的对等连接配置。 VPC网段和全部子网网段均重叠 无法通过创建对等连接来实现VPC之间的通信。具体请参考无效的VPC对等连接配置。

工作流流程（workflow）定义了业务逻辑描述以及流程执行所需要的通用信息， 例如一个审批权限申请流程可能包含创建审批、处理审批， 通过审批、拒绝审批等。在创建流程（workflow）后， 可以多次触发工作流执行（Execution），每次执行可以设置不同的输入， 例如每次审批的申请人以及审批通过权限的有效时长是不一样的。 同时， 云工作流提供了丰富的控制类状态去描述流程的业务逻辑， 可以串行、并行或者条件执行某些任务，以及针对一类数组数据并行执行一系列任务等。 如何使用工作流 工作流创建 使用工作流，首先需要创建工作流，云工作流支持创建标准和快速两种模式的工作流。创建工作流的核心是完成工作流定义， 工作流定义详细看流程定义介绍。工作流创建可以使用云工作流控制台、OpenAPI等方式进行创建和管理， 详细可看创建工作流。 工作流调用 工作流完成创建后， 可以通过云工作流控制台、OpenAPI等方式触发工作流的执行。 同时也可通过在控制台创建触发器的方式按照事件驱动的方式触发工作流执行。工作流启动后， 工作流会按照流程定义的顺序和规则执行任务， 并按照JSON格式输出工作流执行结果， 同时在控制台工作流执行详情，可以查看工作流执行后各个任务执行的输入输出。详细可看工作流执行。

SSL连接（推荐） 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，单击实例名称进入“基本信息”页面， 步骤 5 在“实例信息”模块的“SSL”处，查看SSL开关状态。 开关打开，执行步骤6。 开关关闭，单击，在弹出框中，单击“是”，开启SSL加密。然后执行步骤6。 步骤 6 单击“SSL”处的，下载根证书或捆绑包。 步骤 7 登录Linux系统的弹性云主机。 步骤 8 在弹性云主机上安装MySQL客户端，详情请参见如何安装MySQL客户端。 步骤 9 将根证书上传至需连接TaurusDB实例的弹性云主机，并导入根证书。 请参见将根证书导入Windows/Linux操作系统。 步骤 10 执行如下命令，连接TaurusDB数据库实例。 mysql h P u p sslca 表 参数说明 参数 说明 主机IP，在目标实例的“基本信息”页面，“网络信息”模块的“读写公网地址”。 数据库端口，在目标实例的“基本信息”页面，“网络信息”模块的“数据库端口”。 用户名，即TaurusDB数据库管理员帐号，默认为root。 相应的SSL证书文件，该文件需放在执行该命令的路径下。 示例： 使用root用户SSL连接数据库实例，示例如下： mysql h 10.xx.xx.xx P 3306 u root p sslcaca.pem 出现如下提示时，输入数据库帐号对应的密码： Enter password: 说明 若连接失败，请确保各项前提条件正确配置后，重新尝试连接。

本文介绍使用RedisShake工具离线迁移其他云厂商Redis Cluster集群。 RedisShake基本介绍 RedisShake是一个开源的Redis迁移工具，可以用于在线迁移和离线迁移（通过备份文件导入）。 目前 RedisShake 有三种迁移模式：PSync、RDB 和 SCAN，分别对应 syncreader、rdbreader 和 scanreader。主要有以下三种数据迁移场景： 1. 对于从备份rdb中恢复数据的场景，可以使用 rdbreader。 2. 对于数据迁移场景，优先选择 syncreader。 3. 对于全量复制的场景下或者自研集群不支持 PSync 协议情况下，可以使用 scanreader。 当你需要迁移部署在其他云厂商上的 Redis 集群数据时，如果无法进行在线迁移，你可以选择离线迁移的方式。 离线迁移（备份文件导入） 与在线迁移相比，离线迁移适宜于源实例与目标实例的网络无法连通的场景。 1、在DCS控制台创建缓存实例。 注意新创建的Redis实例容量不能小于源端Redis实例的实际使用容量。 2、准备一台云服务器，并安装RedisShake。 RedisShake既能访问源端缓存实例，也能访问目标端DCS 缓存，需要绑定弹性公网IP 3、导出RDB文件。 使用如下命令导出RDB文件： ./rediscli h {redisaddress} p {redisport} a {password} rdb {output.rdb} 执行命令后回显"Transfer finished with success."，表示文件导出成功。 4、将导出的RDB文件（含多个）上传到云服务器上。 5、编辑RedisShake配置文件。 编辑redisshake工具配置文件shake.toml，补充迁移双方信息，及迁移模式。 [rdbreader] filepath "/tmp/dump.rdb" [rediswriter] cluster false

操作场景 开启了云审计服务后，系统开始记录CCE资源的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击页面上方的“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务信息页面。 步骤 3 单击左侧导航树的“事件列表”，进入事件列表信息页面。 步骤 4 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。其中，事件来源选择“CCE”。 当筛选类型选择事件名称时，还需选择某个具体的事件名称。 选择资源ID时，还需选择或者手动输入某个具体的资源ID。 选择资源名称时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 时间范围：可选择查询最近七天内任意时间段的操作事件。 步骤 4 在需要查看的记录左侧，单击展开该记录的详细信息，展开记录如图171所示。 图 展开记录 步骤 5 在需要查看的记录右侧，单击“查看事件”，弹出一个窗口，如图172所示，显示了该操作事件结构的详细信息。 图 查看事件

本小节介绍安全专区云数据库审计客户端安装方法。 下载客户端 下载客户端，选择对应的客户端进行下载。 安装步骤 1.下载安装包，根据包中的Agent安装手册提示完成安装及连接配置。 2.填写信息，进行客户端与云数据库审计的连接。 3.在Windows上安装Agent客户端，默认安装即可。 4.执行Agent,选择接收、发送数据包的网卡，并填写相应的信息。 IP地址：云数据库审计管理口地址192.168.0.225； 抓包端口：本地数据库端口，如默认ORACLE端口1521，MSSQL默认1433，MYSQL默认3306，如需添加多个端口，请使用逗号进行分隔； 服务端口：默认云数据库审计设备服务端口，默认9999，请使用默认配置； 缓冲队列个数：缓冲队列大小，使用默认配置即可； 收发网卡：请根据实际情况进行选择，程序支持自动发现功能。 注意 Agent必须要保证始终运行，才能将本地数据库连接信息发送给审计设备，一旦关闭，将不会向审计系统发送本地审计数据，因此请将Agent设置为服务。 5.运行后，如出现如下内容，表示工作，并正常发送数据包。 6.连接成功后，可到【部署方式】，查看已连接到的客户端。 完成以上操作部署后，可在安全专区平台进行日常运营。