3.4 配置防火墙 弹性物理机有安全组，而标准物理机只能依赖系统中的防火墙。若不配置防火墙，会有安全隐患。下面给出一个样例iptables配置。 plaintext 启用iptables、ip6tables防火墙。分别针对IPv4和IPv6网络。 systemctl enable iptables systemctl enable ip6tables 配置iptables。 只允许ICMP协议、本地loopback接口和访问ssh服务。禁止其他所有访问。 禁止转发流量（通常只有路由器才需要转发流量）。 cat > /etc/iptables/rules.v4 /etc/iptables/rules.v6 <

来自：

帮助文档

物理机 DPS

用户指南

镜像

通过镜像文件制作系统盘私有镜像

制作镜像文件

制作系统盘私有镜像

类Ubuntu私有镜像制作

3.4 配置防火墙 弹性物理机有安全组，而标准物理机只能依赖系统中的防火墙。若不配置防火墙，会有安全隐患。下面给出一个样例iptables配置。 plaintext 启用iptables、ip6tables防火墙。分别针对IPv4和IPv6网络。 systemctl enable iptables systemctl enable ip6tables 配置iptables。 只允许ICMP协议、本地loopback接口和访问ssh服务。禁止其他所有访问。 禁止转发流量（通常只有路由器才需要转发流量）。 cat > /etc/iptables/rules.v4 /etc/iptables/rules.v6 <

来自：

列表展示当前资源池下该租户创建的所有前端应用告警规则。 功能入口 1. 选择目标资源池，并登录 APM 组件控制台 2. 在左侧导航栏中选择「前端监控 」「告警规则」。 功能说明 告警规则列表展示 展示当前租户下所有前端应用告警规则信息，支持基础的增删改查、起停、查看告警事件历史操作。 创建/编辑告警规则 告警名称：您可自定义告警名称。 前端监控：展示前端应用列表，支持多选。 新增前端监控自动在此告警规则中追加：开启后，新增应用则自动使用该告警规则。 告警详情：包含告警分组、告警指标、告警条件、筛选条件、告警内容等。 告警分组 告警指标 告警条件 异常监控 错误数 某个时间段内，该指标大于、大于等于、小于、小于等于、等于某个数值时生效 API 监控 请求耗时 缓慢次数 成功率 请求数 请求失败数 某个时间段内，该指标大于、大于等于、小于、小于等于、等于某个数值/百分比时生效 性能监控 Dom Ready 首次可交互 页面完全加载 首次渲染 首屏时间 某个时间段内，该指标大于、大于等于、小于、小于等于、等于某个数值时生效 页面监控 PV UV 某个时间段内，该指标大于、大于等于、小于、小于等于、等于某个数值时生效 页面静态资源 加载耗时 成功率 加载失败数 采样数 某个时间段内，该指标大于、大于等于、小于、小于等于、等于某个数值/百分比时生效 持续时间 ：支持设置延迟告警。 告警等级 ：一般、次要、重要、等级。 通知策略 ：可以选择通知策略菜单里设置的策略。 标签 ：自定义标签，用于筛选。

本文介绍天翼云AOne边缘安全加速平台的节点分布情况。 天翼云CDN，在中国内地拥有2000+节点，覆盖多运营商和31个省份区域，大量节点位于省会及一二线主要城市；在海外、中国香港、中国澳门和中国台湾拥有800+节点，遍布亚洲、美洲、欧洲、非洲等大洲主要国家和城市。全网业务承载能力达160Tbps，支持1亿级QPS。 全球节点具体分布如下： 计费区域 节点分布 中国内地 东北地区：黑龙江、吉林、辽宁。 华北地区：北京、天津、河北、河南、山东、山西、内蒙古。 华东地区：上海、浙江、江苏、江西、安徽。 华中地区：湖北、湖南。 华南地区：广东、广西、海南、福建。 西南地区：四川、云南、贵州、西藏、重庆。 西北地区：甘肃、宁夏、陕西、青海、新疆。 全球（非中国内地） 亚洲：日本、香港、新加坡、马来西亚、泰国、印度尼西亚、越南、阿联酋。 北美洲：美国。 南美洲：巴西。 大洋洲：澳大利亚。 欧洲：德国、法国、英国、荷兰。 非洲：南非。

本节介绍边缘虚拟机支持的装机镜像类型及操作系统。 简介 镜像是一个包含了软件及必要配置的虚拟机模板，至少包含操作系统，还可以包含应用软件（例如：数据库软件）和私有软件。您可以使用镜像创建虚拟机。 镜像分为公共镜像和自定义镜像，公共镜像为系统默认提供的镜像，自定义镜像为用户自己创建的镜像。 用户可以灵活便捷的使用公共镜像或者自定义镜像申请虚拟机。同时，用户还能通过已有的虚拟机创建私有镜像，这样能快速轻松地启动能满足您一切需求的新虚拟机。例如，如果您的应用程序是网站或Web服务，您的自定义镜像可能会包含Web服务器、相关静态内容和动态页面代码，您通过这个镜像创建虚拟机之后，您的Web服务器将启动。 镜像类型 公有镜像：常见的标准操作系统镜像，所有用户可见，包括操作系统以及预装的公共应用。公共镜像具有高度稳定性，皆为正版授权，请放心使用，用户也可以根据实际需求自助配置应用环境或相关软件。目前ECX公有镜像也支持不同的国产化镜像，部分常见操作系统及支持的版本等信息见下表，具体清单可登录边缘虚拟机控制台，进入【镜像>公有镜像】进行查看。 操作系统 系统位数 版本 CentOS 64 8.2 CentOS 64 8.1 CentOS 64 7.9 CentOS 64 7.8 CentOS 64 7.7 CentOS 64 7.6 CentOS 64 7.4 CentOS 64 6.5 Ubuntu 64 22.04 Ubuntu 64 20.04 Windows Server 64 2019 Datacenter Windows Server 64 2016 Datacenter Windows Server 64 2016 Standard Windows Server 64 2012 R2 Datacenter Debian 64 10.12 Debian 64 10.9 Debian 64 9.13 KylinServer 64 10 CTyunOS 64 3.0 x86 CTyunOS 64 3.0 ARM UOSServer 64 20 自定义镜像：包含操作系统或业务数据、预装的公共应用以及用户的私有应用的镜像，仅用户个人可见。

本文介绍单请求限速功能适用场景和配置方法。 功能介绍 单请求限速功能可以限制全站加速节点响应给用户的下行速率，从而减少域名的整体带宽，节省成本。 适用场景 1. 游戏新版本发布，大量玩家同时访问全站加速节点下载更新包时。 2. 电商秒杀活动，大量用户集中访问某网站时。 注意事项 1. 单请求限速功能会限制用户的下行速率，影响用户的下载体验，需结合业务情况谨慎使用。 2. 单请求限速功能在请求大文件的情况下效果较好，如：请求文件10MB，单请求限速1MB/s。如果请求的是小文件（例如10KB），配置的限速值高于文件大小（例如1MB/s），则达不到限速效果。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【访问控制】。 5. 在【单请求限速】模块，单击【增加规则】。 6. 根据需求填写配置。 7. 单击【保存】，完成配置。 参数名 配置值 说明 类型 后缀名/目录/首页/全部文件/全路径文件 需要配置的文件类型。 内容 指定类型的具体内容。 类型选择后缀名、目录、全路径文件时，需配置具体内容；例如类型为后缀名时，需在内容处指明具体的文件后缀；如类型为目录时，需在内容处指明具体的目录内容。 限速值 单请求限速速率 单位支持B/s、KB/s和MB/s，最小限速值：1B/s。 优先级 数字 配置的优先级，存在多条设置时，相同文件类型及内容，执行优先级高的规则。

灵动应用产品使用手册 产品概述 1.1 产品介绍 灵动是一款图生视频类AI应用软件，旨在帮助视频创作者、中小广告团队、自媒体从业者，为其提供“高效、灵活、可复用”的AI图生视频创作能力。 产品有两种规格，基础型适用于生成5秒内的视频，进阶型适用于生成10秒内的视频。 1.2 产品核心能力 灵动支持10S内的短视频生成，能满足短视频时长制作需求。提供图片上传、参数配置、模板保存、视频预览与下载等核心功能。 同时，其市面上没有的参数配置功能，可以让专业视频制作人员能更有效的生成自己想要的视频，而模板保存功能，亦可快速生成创意小样用于提案，若客户调整风格，基于模板修改参数可快速再生成。 1.3 产品优势 1. 支持自定义的参数配置。默认的参数模板适合小白上手，灵活的参数设置则为专业人员的视频生成提供支撑。 2. 拥有模板保存功能。通过对参数组合定义成一个模板并命名，方便后续视频生成直接选用，快速生成创意小样用于提案等。 3. 基于优秀的大模型支撑，生成的视频在视频流畅性、动效逻辑等视频质量方面均较为优异。 1.4 术语解释 名称 说明 引导系数 “创意描述/参考图对生成结果的影响强度”。数值低时，AI 创作自由度高，结果可能和提示偏离；数值高时，严格遵循提示，但可能丢失部分创意随机性。 匹配程度 指生成内容与 “参考图/创意描述”的贴合度，数值越高，越严 格复刻参考元素（构图、色彩、元素布局等 ），越低则允许AI更多自主发挥。 推理步数 AI生成视频时迭代优化的次数，步数越多，画面细节、逻辑连贯 性打磨得越精细，但生成速度越慢。 随机种子 AI 创作的 “初始随机数”，相同参数下，种子固定则结果可复现； 种子随机时，即便参数不变，每次生成也会有差异. 加速阈值 “生成过程中，AI 判定可以加速跳过细调的阈值”。数值低 时，AI更保守，逐帧精细优化；数值高时，AI会跳过部分 “认为已达标” 的步骤，加快生成速度，但可能损失细节。 更多产品使用方法请参考附件。 灵动产品使用手册v1.0.pdf

本文介绍访问DDoS高防（边缘云版）域名资源出现404状态码的排查过程。 问题现象 在使用天翼云DDoS高防（边缘云版）时，出现404报错页面。 问题原因 404状态码是HTTP协议中的一种状态码，表示客户端所请求的资源未找到。当服务器无法找到与请求的URL对应的资源时，会返回404状态码给客户端，Web浏览器中显示为“页面未找到”、“页面不存在”或类似的提示，具体如下图示： 导致该错误的原因可能有如下几种： 场景一：网站配置未正确配置：如果网站配置未正确配置，指向了错误的资源路径，源站会无法找到正确的内容，从而导致404页面的出现。 场景二：服务器资源不存在：如果网站管理员删除或重命名源服务器上的某个文件或目录，服务器对应旧URI路径的资源不存在，那么边缘节点将无法得到对应的文件，从而返回404状态码。 场景三：拼写错误或客户端URL生成规则错误：如果在URL中存在拼写错误、文件路径错误或客户端URL生成规则有误等问题，将无法在服务器找到对应的资源，从而返回404状态码。 解决方案 如果您遇到访问出现404页面的情况，根据不同场景，可以尝试以下解决方法： 场景一：检查网站配置是否正确：控制台网站配置的回源域名/回源IP、回源HOST、回源端口、回源协议等配置是否正确。 1、回源域名/回源IP错误：检查回源域名/回源IP配置是否为目标源服务器的域名或IP、拼写是否正确。 2、回源HOST配置错误：回源HOST用于指定边缘节点回源时，请求URI具体的资源站点位置。如果回源HOST配置错误，源站无法根据HOST定位到URI资源的站点位置，源站也会响应404。回源域名/回源IP、回源HOST的区分如下： 回源域名/回源IP：指您的源站服务器，即存储和提供网站内容的主要服务器，该地址决定了回源时建连的具体IP地址。 回源HOST：指边缘节点回源请求头中携带的HOST字段值，决定了回源请求访问到源IP地址上的具体站点位置。若未指定回源HOST，默认取值当前加速域名。 3、回源端口/回源协议配置错误：该问题通常存在于源站端口非默认80/443端口，或http、https仅单一协议中存在资源。例如： 源站HTTP服务端口为81，则需要修改回源配置，自定义【源站端口】为HTTP 81，同时需要修改回源协议为HTTP。 源站HTTPS服务端口为82，目前HTTPS服务端口不支持自助自定义，请提交工单联系天翼云客服进行配置。 源站仅单一协议存在资源（HTTP默认80端口，HTTPS默认443端口），则根据实际源站情况，修改回源协议为HTTP或HTTPS。

本文简述替换过期证书的操作步骤。 功能介绍 如果您的证书临近过期，需要您在过期前替换证书，以避免影响域名的正常访问。 操作步骤 1. 请您参考：新增证书，上传新的证书。新证书一般会对应一个自定义的证书备注名。 2. 新证书上传完成后，在【域名列表】中找到需要关联证书的域名，单击【编辑】目标域名。 3. 勾选【请求协议】为HTTPS，这时才可进行HTTPS相关配置。 4. 选定新证书对应的证书备注名（即新证书），单击【保存】，即可完成新证书与域名的关联。 说明 新旧证书替换，新证书配置下发到CDN加速节点之前，客户端依旧采用旧证书进行访问，当节点配置变更生效后，客户端访问会平滑切换到新证书。 点击启用【请求协议】HTTPS后，才会弹出【HTTPS配置】相关配置框。

本文介绍在游戏加速及大流量攻击防护场景下的产品价值。 行业痛点 新游发布或游戏旺季时经常受到 DDoS 攻击，勒索频发，往往导致游戏不可用，影响游戏口碑和收益。 同时，游戏服务商需要保障全球数百万游戏玩家具有流畅的游戏体验，网络时延要求较高。 解决方案 通过 AOne 能够实时检测并阻止各种类型的 DDoS 攻击，确保游戏服务器始终保持在线，保证游戏用户稳定进行。 同时，AOne 边缘接入服务将游戏连接请求就近接入边缘节点，通过 AOne 的高速网络到达游戏服务器，极大地缩短了公网传输时延，有效提升游戏服务体验。

本文介绍如何设置指定路径的缓存时间。 背景说明 使用天翼云CDN加速以后，可以按照多种策略设置缓存过期时间，例如文件后缀名、目录、首页、全部文件等。本文主要介绍如何针对指定路径设置缓存过期时间全局生效。 详细信息 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【缓存配置】。 5. 在【缓存过期时间】模块，单击【增加规则】，弹出的对话框中，添加缓存时间规则。 6. 类型选择【目录】，并配置相应的内容。 7. 设置好对应过期时间及缓存规则。 8. 其他相关缓存配置详情请见：缓存过期时间设置。

本文介绍全站加速如何批量配置域名及相关注意事项等。 背景信息 客户往往会存在多个域名需要配置，而配置又是相同的情况，这时我们提供批量配置域名的方式可以使客户快速、便捷的接入域名。 操作步骤 可以通过API接口调用方法批量配置域名。 详见：批量新增域名。 注意事项 添加域名之前，您需要先开通对应产品类型的服务。 该域名必须已成功备案。 该域名之前未创建过，没有在途工单。 单个用户一分钟限制调用10次。 调用本接口批量新增时仅支持最简单配置，若需要对域名进行更复杂配置，请创建后再调用：批量更新域名配置接口。

全球（不含中国内地） 按日带宽峰值计费的加速区域为全球（不含中国内地）时，包含了北美、欧洲、亚太1区、亚太2区、亚太3区、中东/非洲、南美共7个计费区域，按照阶梯到达模式，执行如下标准资费，全球（不含中国内地）加速区域总费用为所有计费区域的费用总和。 带宽阶梯 北美 欧洲 亚太1区 亚太2区 亚太3区 中东/非洲 南美 计费单位 (0Mbps，500Mbps] 1.21 1.21 2.14 2.55 2.92 3.91 3.24 元/Mbps/日 (500Mbps，5Gbps] 1.15 1.15 1.88 2.22 2.60 3.59 2.97 元/Mbps/日 (5Gbps，20Gbps] 0.88 0.88 1.58 1.80 2.15 3.24 2.73 元/Mbps/日 (20Gbps，+∞) 0.65 0.65 1.49 1.65 2.04 3.06 2.50 元/Mbps/日 计费方式：日带宽峰值计费（按阶梯到达模式，按照指定单价计费）。 计费周期：按日结算，定时扣费。（当月最终账单将在次月3日生成，在次月4日10点后可查看和导出，具体出账时间以系统为准。） 计费场景：适用于流量曲线较为平稳，且全天内带宽利用率大于30%的客户。 全球（不含中国内地）划分说明： 北美：美国、加拿大等 欧洲：德国、法国、荷兰、英国等 亚太1区：除中国台湾、印尼、印度、韩国、澳大利亚、新西兰外的亚太国家/地区 亚太2区：中国台湾、印尼、印度 亚太3区：韩国、澳大利亚、新西兰 中东/非洲：阿联酋、南非、尼日利亚、埃及等国家/地区 南美：墨西哥、巴西等 示例： 以按量日带宽峰值计费为例，假设北美区域11月1日的日带宽峰值为10Mbps，11月2日的日带宽峰值为10Gbps，亚太1区11月1日的日带宽峰值为50Mbps，11月2日的日带宽峰值为4Gbps，计费情况如下所示： 日期 计费区域 日带宽峰值 区间分布 计费标准(元/Mbps/日) 当日收费(元) 11.1 北美 10Mbps (0Mbps，500Mbps] 1.21 12.1 11.2 北美 10Gbps (5Gbps，20Gbps] 0.88 8800 11.1 亚太1区 50Mbps (0Mbps，500Mbps] 2.14 107 11.2 亚太1区 4Gbps (500Mbps，5Gbps] 1.88 7520 11月1日北美区域当日收费12.1元，亚太1区当日收费107元，合计共收费119.1元； 11月2日北美区域当日收费8800元，亚太1区域当日收费7520元，合计共收费16320元。 若11月其余时间未产生带宽，则月度账单金额为119.1+1632016439.1元。

本文介绍如何在组网配置中继续关联新连接器,从而进行新互联链路的编排。 背景说明 AOne零信任通过分支网关将企业的分支、总部、IDC 机房或者云服务就近接入AOne网络（POP 节点），进而在云上实现企业分支网络的互联互通。在您要完成企业分支互联之前，您需要在零信任控制台将连接器关联到组网配置中。除了组网配置创建时可以快捷关联连接器，也可以在组网创建之后继续关联其他连接器，从而完成组网配置。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在首页产品能力栏目，选择零信任进入工作台。 3. 左侧导航栏AOne零信任网络组网管理，查看组网配置列表。 4. 点击需要修改的组网配置，点击连接器关联。 关联连接器列表 您可以在连接器关联里，继续关联其他连接器，从而完成组网配置。 列表字段说明如下： 字段 字段说明 连接器集群名称/ID 连接器集群名称：即自定义的连接器集群名称。 连接器集群ID：提供ID，代表连接器集群的唯一性。 计费区域 展示当前连接器集群绑定的计费区域：中国内地、香港、亚太、美洲、欧洲、中东非。 关联应用 展示当前连接器集群中允许互访的应用名称和数量。 首次关联时间 展示当前连接器集群首次关联该组网的时间。 操作 取消关联：取消关联连接器集群后，该集群与组网配置内的所有连接将立即中断，请谨慎操作。

为保障实例的稳定及安全，建议您在操作前仔细阅读本文为您介绍的天翼云关系型数据库MySQL实例级别的使用规范。 数据库实例类型选择 主备： 一主一备、一主多备的经典高可用架构。适用于政企、金融、医疗等大中型企业的生产数据库。 备机提高了实例的可靠性，主机与备机同步创建，备机具备数据备份、灾备等功能。 当主节点故障后，会发生主备切换，数据库客户端会发生短暂中断，数据库客户端需要支持重新连接。 单机： 具有较高性价比，与主流的主备实例相比，单机只包含一个节点。 适用于个人学习、测试，及微小型公司的生产环境。 单机无灾备功能，出现故障后无法进行切换。 只读： 单机版只读实例，推荐开启数据库代理功能，并购买冗余的单机版只读实例。当单个只读故障后，数据库代理可以将流量分担到其他只读节点。 天翼云官方推荐两种架构，以供参考： 1. 主实例下包含2个及以下只读实例时，高可用只读作用比较好。 2. 两个以上只读实例，建议开启数据库代理，获得更好的性价比。 说明 更多实例类型信息，请参见实例类型。 数据库实例规格选择 主机类型：目前提供四种主机类型（可能出现部分主机类型售罄，导致主机类型不存在）如下表： 主机类型 类型说明 2系列 提供基本水平的vCPU性能、平衡的计算、内存和网络资源，在主机负载较轻时，可以提供较高的计算能力，在主机负载较重时无法保证实例计算性能的稳定，但是性价比更高。 适用于对成本比较敏感、对性能抖动容忍度较高的场景。 3系列 采用第一代英特尔® 至强® 可扩展处理器 （Sky Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套10GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供强劲稳定的计算性能、更高网络带宽和PPS收发包能力。 适用于对计算与网络有一定要求的场景，如小型网站、轻量级研发测试环境、中小型数据库等。 6系列 采用第二代英特尔® 至强® 可扩展处理器 （Cascade Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供强劲稳定的计算性能、更高网络带宽和PPS收发包能力。 适用于对计算与网络有一定要求的场景，如通用数据库及缓存服务器、中重载企业应用等。 7系列 采用第三代英特尔® 至强® 可扩展处理器 （Ice Lake）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，提供更强劲稳定的计算性能、更高网络带宽和PPS收发包能力。 适用于对计算与网络有更高性能要求的Web应用、电商平台、短视频平台、在线游戏、保险金融等各类中重载企业应用。 规格： 目前提供的CPU内存规格有：1C4G、2C4G、2C8G、2C16G、4C8G、4C16G、4C32G、8C16G、8C32G、8C64G、16C32G、16C64G、16C128G、32C64G（可能出现部分规格售罄，导致部分规格不存在）。

防护模块配置 WAF支持多种威胁防护模块，防护模块概述如下： 防护模块 说明 默认规则 配置建议 Web应用基础防护 覆盖OWASP中的常见的攻击类型，通过内置规则库进行安全防护。 用户可选择系统默认规格的规则库，也可自定义防护规则库，实现针对性防护。 可开启/关闭，默认处于开启状态。 包括系统默认规则组（正常/宽松/严格）以及用户自定义规则组。默认选择正常规则组。 可根据不同的防护需求选择不同的防护等级： 正常规则组为考虑漏保和误报均衡结果的规则组，一般业务防护建议选择正常规则组。 宽松规则组提供精准的攻击检测策略，仅会对较为明确的攻击进行防护。 严格规则组提供全面的安全演策，会阻断所有可能为攻击的行为。 CC攻击防护 CC攻击（Challenge Collapsar）是DDoS的一种，攻击者通过代理服务器向受害主机不停发送大量数据包，造成Web业务服务器的资源耗尽，从而无法响应其他正常访问请求的一种攻击行为。CC攻击防护可以通过对Web业务请求的安全验证，防护网络攻击者对业务服务器发起的CC攻击。 可开启/关闭，默认处于关闭状态。 系统提供两种默认防护级别，无需用户设置防护规则实现快速配置。为了避免误杀，用户也可自定义CC防护规则，限制单个访问者对命中特定匹配条件的访问频率，WAF会根据配置的规则，精准识别CC攻击，并做出拦截、人机验证等动作处理。 当网站服务器资源有限，且存在被CC攻击的情况下建议开启。 开启后可能会影响业务的正常访问流程，建议选择人机验证，从而保证业务的可用性。 精准访问控制 用户可根据客户端IP、请求URL、以及常见的请求头字段定义访问请求的精确匹配条件，以进行过滤，并对命中条件的请求设置放行、拦截、观察或人机验证等操作。 可开启/关闭，默认处于关闭状态。 当业务出现明确需要保护的地址，例如用户名或密码保存的文件路径、以及管理员访问路径，可进行精准访问控制。 IP黑白名单设置 自定义添加IP黑白名单规则，阻断、放行指定IP的访问请求。 白名单优先级高于黑名单优先级，即当会话命中白名单后会被直接放行，不再进行后续的安全检测。 可开启/关闭，默认处于关闭状态。 黑白名单通常与其他防护模块并行使用，通过设置黑白名单，放行安全的访问请求，阻断恶意的访问请求。 BOT防护 WAF提供若干个已知的公开BOT类型，用户可分别设置相应的防护动作。 支持公开类型和自定义会话策略两大类防护策略。同时，用户可自定义防护策略，根据协议特征或者其他会话特征设置判定维度，对命中的请求进行相应的处理。 可开启/关闭，默认处于关闭状态。 BOT防护主要用于防止其他网站对业务网站信息的爬取，当有相关需要时，可以开启该模块。 地域访问控制 通过配置地域访问控制规则，可针对指定国家、地区的来源IP自定义访问控制。 可开启/关闭，默认处于关闭状态。 地域访问控制可以通过拒绝部分地域的访问，例如境外地址的访问，从而阻断掉可能来源于境外的攻击。 防敏感信息泄露 支持对网站返回的内容进行过滤（拦截、脱敏展示），过滤内容包括敏感信息、关键字和响应码。 可开启/关闭，默认处于关闭状态。 当网站返回信息中包括敏感信息时，通过设置防敏感信息泄露规则，可以过滤网站返回内容中的敏感信息（比如身份证号、电话号码等），对敏感信息进行脱敏展示，可以有效防止敏感泄露。 网页防篡改 通过缓存页面和锁定访问请求，可避免页面被恶意篡改而带来的负面影响，对重点静态页面进行保护。 可开启/关闭，默认处于关闭状态。 网页防篡改主要用于防护一些重点的静态页面。 Cookie防篡改 通过对Cookie中的字段增加完整性校验保护，WAF会新增一个Cookie字段用于篡改校验。 可开启/关闭，默认处于关闭状态。 Cookie防篡改主要用于防护Cookie变化较少、对安全性要求较高的网页。 隐私屏蔽 通过设置隐私屏蔽规则，可屏蔽用户隐私信息，避免用户隐私信息出现在系统记录的日志中。 可开启/关闭，默认处于关闭状态。 隐私屏蔽规则主要是屏蔽WAF系统日志中的用户隐私信息，可以从安全运维侧规避用户的隐私泄露风险。

OBS的优势 1. 数据稳定，业务可靠：OBS支撑数亿用户访问，稳定可靠。 2. 多重防护，授权管理：OBS支持多版本控制、防盗链、VPC网络隔离、访问日志审计以及细粒度的权限控制，保障数据安全可信。 3. 千亿对象，千万并发：OBS通过智能调度和响应，优化数据访问路径，并结合传输加速、大数据垂直优化等，为各场景下用户的千亿对象提供千万级并发、超高带宽、稳定低时延的数据访问体验。 4. 简单易用，便于管理：OBS支持标准REST API和数据迁移工具，让业务快速上云。无需事先规划存储容量，存储资源和性能可线性无限扩展，不用担心存储资源扩容、缩容问题。

AI训练和推理、高性能数据预处理、EDA、渲染、仿真等场景下，您可以通过SFS Turbo文件系统来加速OBS对象存储中的数据访问。SFS Turbo文件系统支持无缝访问存储在OBS对象存储桶中的对象。您可以指定SFS Turbo内的目录与OBS对象存储桶进行关联，然后通过创建导入导出任务实现数据同步。您可以在上层训练等任务开始前将OBS对象存储桶中的数据提前导入到SFS Turbo中，加速对OBS对象存储中的数据访问；上层任务产生的中间和结果等数据可以直接高速写入到SFS Turbo缓存中，中间缓存数据可被下游业务环节继续读取并处理，结果数据可以异步方式导出到关联的OBS对象存储中进行长期低成本存储。同时，您还可以配置缓存数据淘汰功能，及时将长期未访问的数据从SFS Turbo缓存中淘汰，释放SFS Turbo高性能缓存空间。 使用限制 支持存储联动的SFS Turbo文件系统规格有：20MB/s/TiB、40MB/s/TiB、125MB/s/TiB、250MB/s/TiB、500MB/s/TiB、1000MB/s/TiB。 SFS Turbo与OBS联动时通过内网传输，不产生OBS公网流量费用。 SFS Turbo目录和OBS配置联动后不支持创建硬链接、设置目录配额、执行重命名功能。 单个SFS Turbo文件系统最多可配置16个OBS联动目录。 创建 OBS 后端存储库，依赖的服务是对象存储服务 OBS。用户需要额外配置OBS Administrator权限。 同一层目录下不允许同样名称的文件和目录存在。 不支持超长路径，数据流动支持的路径最大长度是1023字符。 数据流动导入时，不支持长度大于255字节的文件名或子目录名。 开启WORM策略的OBS桶，只能从OBS桶导入数据到SFS Turbo，无法从SFS Turbo导出数据到OBS桶。 不支持绑定OBS并行文件系统和已配置服务端加密的OBS存储桶进行联动。

单字段索引 比如 coll表中有如下格式的文档： json { "id" : ObjectId("64bde367d89fa22ccaa281e9"), "score" : 98, "name" : "zhang san" } { "id" : ObjectId("64bde367d89fa22ccaa281ea"), "score" : 88, "name" : "li si" } 随着业务的增长，文档数逐渐变多后，如果想要按照 score 进行排序并提取 top 10 的文档就显得比较困难，因为涉及到全表扫描和内存排序。 此时可以按照 score 字段创建索引来加速查询，使用 mongo shell 创建索引的命令如下： db.coll.createIndex({score:1}) 命令中包含的 score 字段表示索引的 key， 1 表示升序，1 表示降序。文档数据库服务会按照 score 字段创建索引，底层实现为 btree 形式。用户通过 score 字段进行等值查询或者排序时，文档数据库服务会自动选择索引进行加速。 用户也可以在连接上实例后，通过下面的命令查看目前表中包含哪些索引： db.coll.getIndexes() 多字段复合索引 假设 coll 表中有如下文档： { "id" : ObjectId("64bde367d89fa22ccaa281e9"), "score" : 98, "name" : "zhang san" } { "id" : ObjectId("64bde367d89fa22ccaa281ea"), "score" : 88, "name" : "li si" } { "id" : ObjectId("64bde73ad89fa22ccaa281eb"), "score" : 98, "name" : "wang wu" } { "id" : ObjectId("64bde73ad89fa22ccaa281ec"), "score" : 98, "name" : "ma liu" } 如果希望查询 score98 的所有文档，并按照 name 字段进行升序排序。 此时可以对 score 和 name 字段创建复合索引，使用 mongo shell 创建复合索引的命令如下： db.coll.createIndex({score:1, name:1}) 复合索引比单字段索引能够处理的场景更多，比如上述复合索引既可以处理 score+name 联合查询的场景，也能处理只按照 score 等值查询和排序的场景。 但是使用复合索引也有一些注意事项： 复合索引遵循前缀匹配原则。比如 {score: 1, name: 1} 复合索引能处理按照 score 查询的场景，但是不能处理按照 name 查询的场景。因此在建索引时需要特别注意字段顺序。 字段越多，索引的存储空间越大。比如用户只有按照 score 字段进行查询和排序的场景，就没有必要创建复合索引了。

本文为您介绍如何使用ECI开通L20实例。 NVIDIA L20是NVIDIA面向数据中心AI和图形工作负载设计的一款专业 GPU，属于NVIDIA Ada Lovelace架构的数据中心GPU产品线。L20在AI推理、图形渲染和虚拟化之间取得平衡，填补了纯计算卡和专业显卡之间的市场空白。 操作步骤 1. 订购弹性容器实例，选择指定规格。架构选择X86计算，类型选择GPU计算加速型，显卡类型选择L20。 2. 在容器配置中打开高级设置，填写容器所需的GPU卡数量 3. 最后，点击确认订单。

本文介绍基于标签的域名日常管理操作。 功能介绍 在完成域名绑定标签后，您在日常运营时，就可以使用标签快速筛选对应的域名，进行分组管理。 配置说明 1. 登录边缘安全加速控制台。 2. 单击左侧导航【域名】【域名管理】。 3. 找到首个筛选框，提示【请选择标签】。 4. 下拉选择您本次计划筛选的【标签组】、【标签】。 5. 在选定标签组和标签之后，系统会自动过滤，并在【域名列表】中只显示符合条件的域名，从而帮助您快速定位到目标域名。 参数名 配置值 说明 标签组 必选项，按标签组筛选域名 如果先勾选某个标签组，则默认筛选出该标签组内全部标签所绑定的域名。 标签 必选项，按标签筛选域名 在选定某个标签组后，可以选择所关联的一个或多个标签进行筛选，选出目标标签绑定的域名。

本文主要为您介绍如何开启网页防篡改功能，以及如何配置网页防篡改防护规则。 网站域名接入Web应用防火墙后，您可以选择开启网页防篡改功能，通过设置网页防篡改规则，锁定需要保护的网站页面。当被锁定的页面在收到请求时，返回已设置的缓存页面，预防源站页面内容被恶意篡改。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版不支持网页防篡改功能，请升级到更高版本使用。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页面定位到“网页防篡改”模块，可以选择开启/关闭防护。 7. 点击防护规则右侧的“前去配置”，进入网页防篡改防护规则页面。 8. 单击“新建防护规则”，在弹出的对话框中，配置网页防篡改防护规则。 参数说明如下： 配置项 说明 域名 此处不可修改。可返回防护规则页面，在页面右上角进行域名切换。 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 网页地址 输入需要防篡改的网站静态页面的路径。 格式为“协议名://域名或IP地址[:端口号]/[路径名/…/文件名]”，例如“ 路径不支持通配符或参数，支持输入端口。 规则描述 可选项。设置规则的描述信息。 9. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

本章节主要介绍 通过数据地图查看数据血缘关系的配置数据血缘。 在DataArts Studio平台，自动分析血缘是通过在数据开发模块中配置数据处理迁移类型的节点产生的，当前支持采集节点静态配置产生的血缘和部分节点实例上的血缘。详情请参见下方 自动分析血缘。 另外，DataArts Studio平台还支持手动配置血缘方式，当用户手动配置血缘时，自动分析血缘将不生效。详情请参见下方 手动配置血缘。 自动分析血缘 自动分析血缘是通过在数据开发模块中配置数据处理迁移类型的节点产生的，当作业中包含如下节点时，系统支持自动解析血缘。 SQL类型节点 DataArts Studio目前支持对DLI SQL、DWS SQL和MRS Hive SQL节点的血缘解析，可以支持多SQL解析及列级血缘解析，当语句中有临时表时，会自动在数据目录中创建相关的临时表实体。 DLI SQL 支持解析DLI中表与表之间数据插入产生的血缘。 支持通过建表语句产生的OBS文件到DLI表之间的血缘。 DWS SQL 支持Create table like/as等DDL操作产生的DWS表之间的血缘。 支持Insert into等DML操作产生的DWS表之间的血缘。 MRS Hive SQL 支持Create table like/as等DDL操作产生的MRS表之间的血缘。 支持Insert into/overwrite等DML操作产生的MRS表之间的血缘。 数据集成类型节点 目前支持对CDM Job节点、ETL Job节点和OBS Manager节点的血缘解析。 CDM Job 支持MRS Hive、DLI、DWS、RDS、OBS以及CSS之间表文件迁移所产生的血缘。 ETL Job 支持DLI、OBS、MySQL以及DWS之间的ETL任务产生的血缘。 OBS Manager 支持OBS之间目录和文件复制迁移产生的血缘。 说明 当前血缘解析能力，单条sql语句不支持sql中含有分号的场景。

拦截已安装程序推送的不受欢迎弹窗,阻止恶意程序的捆绑安装行为,守护员工清爽、纯净的办公环境。 背景说明 支持管理员统一管控办公净化功能的开启和关闭。 注意 客户端版本：支持Windows客户端，需为2.26.10及以上客户端。 套餐版本：已订购终端管理基础版套餐或零信任企业版套餐。 操作步骤 1. 登录边缘安全加速控制台，选择【终端管理】。 2. 在左侧导航栏找到【办公净化】。 3. 可根据业务需求进行相关配置。 统一管控 点击卡片中的【编辑】按钮，即可配置当前功能（广告弹窗拦截、问题软件防护）。 功能开关：统一管控当前功能开启或关闭。 管控对象：本次管控策略生效的范围。

权限名称 权限说明 具体场景或目的 NSCameraUsageDescription 摄像头访问权限 IM发送消息、个人信息上传头像、AI问答、视频会议、获取摄像头拍照发送图片附件 NSPhotoLibraryUsageDescription 图片访问权限 IM发送消息、个人信息上传头像、AI问答、更换会议虚拟背景、获取相册发送图片附件 NSMicrophoneUsageDescription 麦克风访问权限 AI问答、会议语音通话 com.apple.developer.networking.networkextension 网络扩展权限（VPN、内容拦截等）权限 零信任/海外加速创建隧道的时候 NSFaceIDUsageDescription 面容、指纹生物识别访问权限 用于登录的时候，使用生物识别的方式认证 AppGroups 同一个开发者账号下的多个应用、扩展数据共享 允许同一个开发者账号下的多个应用、扩展（Extension）和主应用之间共享数据 网络权限 授权APP访问网络 App需要发起网络请求的地方

初识边缘函数 说明 通过介绍AccessOne开发者平台边缘函数的主要功能和应用场景，帮助首次使用边缘安全加速平台的客户全面认识产品 通过详细介绍产品优势，帮助客户全面了解边缘函数能解决的业务问题 通过详细介绍边缘函数工作原理 为帮助客户在浏览相关文档时能更快更准确理解相关功能及流程，专门提炼相关专业术语并提供解释说明

本文通过图文说明如何查看证书部署历史。 功能介绍 在使用CDN加速的过程中，可能会不定期修改证书信息，证书管理目录下的部署历史可以供您查看证书的历史版本记录。 配置说明 1. 登录CDN控制台。 2. 进入【证书管理】【部署历史】页面。 3. 按需选择部署状态、证书备注名、输入关键字等进行查询。可查看证书备注名、证书通用名称、证书品牌、颁发时间、到期时间、创建时间、更新时间、部署状态和历史版本。 4.点击操作列的【历史版本】，可查看证书的版本、授权域名、颁发机构、 颁发时间、到期时间、操作类型、更新时间。

本节介绍了分布式消息服务RabbitMQ产品常见应用场景。 行业应用 RabbitMQ在需要高效、可靠的消息传递和处理的任何行业都有广泛的应用，常见行业及其实际业务场景如下。 电子商务：RabbitMQ可用于处理订单和库存管理，处理支付通知及其它与物流相关的消息。 金融服务：RabbitMQ可以用于处理实时交易数据、通知和报价，并支持金融机构之间的异步通信。 电信：RabbitMQ可用于处理电话呼叫记录、短信和多媒体消息的分发等。 物流和供应链管理：RabbitMQ可以用于跟踪货物的位置和状态，以及协调供应链中各个环节的消息传递。 社交媒体：RabbitMQ可以用于实现实时消息推送、聊天和通知功能，以及处理用户生成内容。 游戏开发：RabbitMQ可用于处理游戏中的多人互动、玩家间的消息传递和协作。 科学和研究领域：RabbitMQ可以用于分布式计算、任务队列和数据流处理。 RabbitMQ通常用于业务的应用解耦、错峰流控与流量削峰和异步通信场景。 应用解耦 RabbitMQ可以将应用程序之间的耦合度降低，使得系统更加灵活和可扩展。以下是一些使用RabbitMQ实现应用解耦的举例： 订单和库存管理系统：假设有一个在线商店，订单系统负责接收和处理用户的订单，而库存管理系统则负责跟踪库存并更新库存状态。通过使用RabbitMQ，订单系统可以将订单信息发送到一个名为"orderqueue"的消息队列中，而库存管理系统则监听该队列，并在收到订单消息时进行库存更新。这样，订单系统和库存管理系统可以解耦，并且可以独立地进行扩展和维护。 日志处理系统：在一个大规模的分布式系统中，各个服务都会生成大量的日志信息。为了对这些日志进行集中管理和分析，可以使用RabbitMQ作为日志消息的中间代理。每个服务将其产生的日志消息发送到RabbitMQ的一个名为"logqueue"的消息队列中，然后日志处理系统从该队列中消费日志消息，并进行相应的处理和存储。这样，每个服务的日志处理可以独立进行，互不影响。 流量控制系统：在一个微服务架构中，可能会有多个服务实例同时运行，当某个服务实例过载时，传统的负载均衡器无法有效地控制流量分发。通过使用RabbitMQ，可以实现基于消息的流量控制。每个服务实例将其当前的负载情况发送到一个名为"loadqueue"的消息队列中，一个负载控制器订阅该队列，并根据各个服务实例的负载情况来动态调整流量分发。这样，流量控制仍然可以在应用层面进行解耦。

本文介绍URL鉴权的适用场景和配置方法。 功能介绍 默认情况下在边缘分发的内容大部分都是公开资源，用户可以直接请求URL获取。为了防止站点资源被恶意下载或者非法盗用，避免产生不必要的带宽浪费，您可以在天翼云边缘安全加速平台上配置URL鉴权功能。配置URL鉴权后，边缘节点会对加密串及时间戳进行校验，从而有效地保护用户站点资源。 适用场景 1、需要对站点资源限制用户访问，避免资源被恶意下载或者非法盗用。 2、请求的资源都具有一定的时效性，超过时效则不允许访问。 注意事项 1、配置URL鉴权需要客户端跟产品服务配合一起开启。 2、配置鉴权后，用户将携带鉴权参数访问，建议缓存策略修改为忽略鉴权参数进行缓存，否则将增大回源概率。 3、当鉴权规则（含算法、秘钥、鉴权参数等）发生变更时，需要通知安全与加速产品配合更改，否则将导致用户请求异常。 4、如果您的鉴权URL中含有中文或特殊字符，需先进行URL转码（即Encode）后使用。 配置说明 天翼云提供三种鉴权方式供您参考配置，以下为详细的鉴权原理及配置说明。 （一）鉴权方式A 1、原理说明 鉴权方式A访问URL构成： 鉴权字段说明： 字段 描述 DomainName 服务域名。 Filename 实际回源访问的URL，鉴权时Filename需以/开头。不包含？后面的参数。 authkey 设定的鉴权参数名，默认为authkey，也可自定义。 timestamp 鉴权服务器生成鉴权URL的时间，即：鉴权开始时间，值为从1970年1月1日0点至当前时间总秒数 ，十进制整数。 备注：与鉴权URL有效时长共同控制鉴权URL的失效时间。鉴权URL实际有效期timestamp+配置的鉴权URL有效时长。 rand 随机数。0 64位随机字符串，由大小写字母与数字组成，例如：477b3bbcf6711128c7bec。 uid 用户ID，暂未使用，设置成0即可。 md5hash 通过MD5算法计算出的32位字符串。计算公式如下：md5hash md5sum(Filenametimestampranduidkey)。 备注1：md5加密元素分隔符默认中划线（），也可自定义。 备注2：这里的key为用户设定的鉴权秘钥，长度6到32，由大小写字母与数字组成，例如：ctcdnkey123。

获取客户端真实IP 网站若使用了流量代理服务（如CDN、DDoS高防、WAF），达到源站的IP均将显示为相关服务的代理回源IP地址，WAF在HTTP请求头部中默认插入了XForwardedFor字段，用于记录客户端真实IP，源站服务器可以通过解析回源请求中的XForwardedFor记录，获取客户端的真实IP，各类型的Web应用服务器针对该字段的提取配置可联系安全防护工程师提供技术支持。 与CDN结合使用 WAF与CDN完全兼容，可以通过与CDN的结合使用，为开启CDN内容加速的业务同时提供Web攻击防护。 若已经接入CDN服务，将云WAF为防护域名分配的CNAME地址作为CDN的源站即可。 客户端 > CDN > WAF > 源站，流量将按照用户 > CDN > WAF >源站的架构回源。同时，需要您联系CDN服务商，将客户端的真实IP通过clientIP字段插入至HTTP请求头部中，并告知安全防护工程师进行提取配置，保证WAF正常防护。 防护策略说明 WAF防护服务目前默认策略分为低、中、高与 AI 学习模式。各防护策略均包含上述攻击类型在内的安全防护，策略等级越高越严格，攻击漏拦截概率越小，对业务 访问影响程度可能更高（业务代码不规范也会触发阻断策略）。 低级防护策略主要针对攻击特征比较明显的违规请求，适用于站点存在较多不可控用户输入（如含有富文本编辑器的网站业务）的业务场景。 一般情况下，中级防护策略适用于绝大部分业务场景的Web防护需求。 高级防护策略采用了最精细的防护颗粒度，适用于对业务安全性要求较高，同时需要网站开发人员高度参与策略定制与防护过程的业务场景。 如对站点业务流量特征还不完全清楚，可以启用AI学习模式，该模式下AI学习引擎会自动学习网站的访问模式与流量特征，经过7到14天的分类训练和流量学习后会对所有策略根据机器算法进行评分，保留学习后符合标准的策略规则，大幅减少误报，提高对已知与未知Web安全威胁的防护效果，同时，可联系天翼云安全工程师基于学习期间的攻防日志，进一步优化安全防护策略和配置。 接入WAF防护服务后，当启用防护策略时，即便是低级防护策略 ，可能也会因为网站代码实现不够规范或用户通过非常规方式访问等情况，造成用户的上传搜索等正常操作可能被误认为是攻击而拦截掉。当业务访问出现误报较多的情况，建议将防护模式调整为观察模式，通过自服务平台查看告警日志，并及时观察业务的正常使用情况，发现误报请求后第一时间联系天翼云安全工程师优化安全防护策略。

天翼AI云电脑是不是和正常电脑用起来一样的？ 天翼AI云电脑和正常电脑的使用体验接近，使用天翼云电脑客户端登录您的帐号，可以快速登录使用了，所有软件及文件数据存在云端，更安全便捷。 其他运营商的网络能否接入？ 只要能接入互联网，不管是手机、宽带、WIFI都可以接入，但是建议您优先使用中国电信的网络，质量和体验更有保障。 是否可以设置计算机账户和密码？ 您可以在天翼AI云电脑“控制面板”中的“用户帐户”中设置计算机账户和密码。但天翼AI云电脑连接时默认选择administrator帐户登录。 移动客户端APP是否支持指纹识别安全登录？ 可以在“我”页面中的“账号与安全”，进入账号与安全页面。 开通指纹识别的设置后，退出应用后再次打开则需要指纹识别安全登录。

本文解释变更计费方式后仍按原来的计费方式扣款的原因。 客户完成CDN加速计费方式变更后，如果发现业务仍按原来的计费方式扣款，主要原因在于计费方式变更并不是立即生效的。 若计费方式变更均为非按月结算类型，例如：“日带宽峰值”变更成“流量”，为次日凌晨0点生效。 若计费方式在非按月结算 与按月结算之间变更，例如：“流量”变更成“月95带宽峰值”，或“月95带宽峰值”变更成“流量”，均为次月1日的凌晨0点生效。 若计费方式在按月结算 和按月结算之间变更，例如：“月带宽峰值”变更成“月95带宽峰值”，或“月95带宽峰值”变更成“月带宽峰值”，均为次月1日的凌晨0点生效。