本章介绍如何进行目的端的配置。 操作场景 迁移前，您需要设置目的端服务器。该目的端用来接收源端的数据，同时您也可以使用该目的端进行迁移测试和启动目的端。 前提条件 只有“迁移阶段”为“已就绪”时才可设置目的端。 操作步骤 1. 登录主机迁移服务管理控制台。 2. 在左侧导航树中，单击“迁移服务器”，进入迁移服务器列表页面。 3. 在迁移服务器列表页面找到待迁移的服务器，在“目的端”列，单击“设置目的端”，进入迁移配置页面。或单击“操作”列的“更多 > 设置目的端”，进入迁移配置页面。如果在迁移服务器列表中没有看到源端服务器记录，请检查是否登录的是目的端天翼云帐号。 4. 在“迁移配置”页面的基本配置页签，根据下表参数说明，设置相关参数。 参数 子参数 说明 迁移参数模版 选择某个迁移参数模版后，页面根据模版的值自动设置网络类型、网络限流值、迁移方式、是否持续同步、是否调整分区、区域、项目;系统会为每个用户自动创建一个默认迁移参数模版，您也可以提前手动创建迁移参数模版，参见创建迁移参数模板。 网络类型 公网 若使用公网迁移，要求目的端服务器配置有“弹性IP”。 “网络类型”默认设置为公网。 私网 私网包括专线、VPN、对等连接、同VPC子网，如选择私网则需要提前创建，迁移时会使用目的端私有IP。 IP版本 IPv4 使用IPv4进行数据迁移。 IPv6 双栈网络下，可以选择使用IPv6进行主机迁移。 网络限流 根据要迁移的源端带宽大小及业务要求，设置限制带宽大小。 设置为0时，代表不限流。 Linux限流功能是基于TC(Traffic Control)模块控制，如果源端服务器没有TC模块，则无法支持限流。 部分Linux系统，暂不支持限流。（例如：CentOS 8.x以及基于其构建的其它发行版本均没有TC模块。） CPU限制 仅支持Linux迁移。 内存限制 磁盘吞吐限制 迁移方式 Linux文件级 Linux文件级迁移是指全量复制和持续同步最小粒度为文件，这种方式同步效率低，但兼容性好。 Windows块级 Windows块级迁移是指全量复制和持续同步的最小粒度为磁盘逻辑单位"块"。Windows当前仅支持块级迁移，这种迁移方式迁移和同步效率高。 是否持续同步 否 全量复制完成后，系统会自动启动目的端，无需用户进行操作。 若要同步新增数据，请单击操作列的“同步”，将增量数据同步至目的端服务器。 是 全量复制完成后，会进入持续同步阶段，该阶段系统会定时自动同步源端增量数据到目的端，此时目的端并未启动，无法操作。如需退出该阶段，单击“启动目的端”即可。 是否调整分区 否 选择否，目的端磁盘分区与源端保持一致。 是 选择是，用来调整目的端磁盘分区。 迁移后主机状态 关机 选择关机，迁移完成后目的端服务器自动关机。 开机 选择开机，迁移完成后目的端服务器保持开机状态。 是否检测网络质量 否 不进行网络质量评估。 是 首次全量迁移时，会生成一个“迁移网络质量评估”的子任务，该子任务通过检测丢包率、抖动、网络时延、带宽以及内存占用率和CPU占用率，给出网络质量评估结果。 是否启用多进程 否 默认使用1个进程进行迁移、同步。 是 设置迁移和同步最大进程个数，SMSAgent根据设置的进程个数，启用多个进程执行迁移任务。仅适用Linux文件迁移。 迁移特殊配置项 Linux文件级配置不同步、不迁移等特殊配置信息。 Windows块级迁移，专线场景下，可配置目的端中转IP。 调整磁盘分区 单击右侧出现的“调整磁盘分区”，弹出“磁盘分区调整”窗口，如下图所示，用户根据实际业务场景，完成磁盘分区的设置。 图 Windows磁盘分区调整 图 Linux磁盘分区调整 说明 磁盘分区调整可以修改是否迁移以及调整分区大小。 Linux支持LVM调整，可以选择物理卷和逻辑卷是否迁移以及调整大小。 注意 Windows系统分区和启动分区是否迁移不可选，默认必须进行迁移。 Windows调整分区大小时只能增大当前分区大小。 Linux Btrfs文件系统暂时不支持磁盘分区调整。 Linux系统分区，swap分区是否迁移不可选，默认为“是”，必须进行迁移。 LVM迁移卷组，可通过卷组配置页，左上方的按钮组，选择全部迁移或暂不迁移。 LVM中的逻辑卷如果是否迁移都选择“否”，则卷组不迁移，对应的物理卷是否迁移也会全部自动切换成“否”。 Linux块级迁移，磁盘分区只可以调大。 Linux文件级迁移，磁盘分区可以调大，也可以调小，调小时需保证调小后的分区大小大于已使用空间+1GB。如果调整前分区大小小于已使用空间+1GB，则无法将磁盘分区大小调小。 如果调整分区大小超过当前磁盘大小时，请先单击“磁盘调整”，调大磁盘大小后再进行分区调整。 如果调整分区大小后，小于当前磁盘大小，如有必要，可单击“磁盘调整”，调小磁盘大小。 单击“下一步 磁盘调整”，确认磁盘调整无误后，单击“确定”，完成磁盘分区的调整。 注意 确定后，是否调整磁盘分区无法重新设置为“否”。如果想要恢复原始磁盘分区设置，请在操作栏下，下拉“更多”，单击“删除”，然后在源端重启Agent，之后重新设置目的端配置，是否调整磁盘分区选择“否”。 5. 单击右下角的“下一步：目的端配置”，进入目的端配置页签。 6. 在目的端配置页签，设置相关参数。 参数 子参数 说明 区域 下拉菜单中选择目的端服务器所在区域。 您可以根据业务要求，选择具体的区域。 项目 下拉菜单中选择目的端所在区域的项目。 选择区域后，才能选择项目 服务器选择 已有服务器 在已有的服务器列表中，根据“推荐目的端，操作系统”勾选目的端服务器。 创建新服务器 根据需求，您可以配置虚拟私有云、子网、安全组等参数，详细说明参见创建新服务器。 已有服务器 目的端服务器需要满足如下条件，否则请单击“前往ECS购买”，根据“推荐目的端，操作系统”购买满足如下条件的弹性云主机。当前已支持将源端服务器迁移到“包年/包月”和“按需计费”这两种计费模式的弹性云主机，您可根据需求选择对应计费模式的弹性云主机。 Windows系统的目的端服务器（即弹性云主机）“规格”中的“内存”大小要不小于2GB。 目的端服务器的磁盘个数不小于源端服务器磁盘个数，且目的端服务器每块磁盘的大小要不小于对应的源端服务器“推荐规格”大小。 目的端服务器的操作系统类型需要和源端的OS类型保持一致。否则，迁移完成后服务器OS系统类型与镜像类型不一致，造成名字冲突及其他问题。 确保源端服务器可以访问目的端服务器，即要有可用的EIP，或者配置VPN、专线。 确保目的端服务器所在VPC安全组配置准确。需配置目的端服务器所在VPC安全组。如果是Windows系统，开放TCP的8899端口、8900端口和22端口；如果是Linux系统，块级迁移开放8900端口和22端口，文件级迁移开放22端口。 以上端口，建议只对源端服务器开放。 防火墙开放端口与操作系统开放端口保持一致。 创建新服务器 选择“自动推荐”时，虚拟私有云、子网与安全组默认为自动创建，也可以根据需求手动选择。 高级配置中服务器名称、可用区、规格、系统盘、数据盘、弹性公网IP默认自动推荐和选择，也可以根据需求手动选择。 说明 数据盘支持的磁盘模式包括：VBD类型（默认）、SCSI类型。关于磁盘模式的详细介绍请参见 数据盘支持创建“共享盘”，关于共享磁盘的详细介绍请参见 选择已有模板时，虚拟私有云、子网、安全组、可用区、磁盘类型根据模板确定，也可以手动调整。 注意 虚拟私有云选择自动创建时，SMS会帮助用户创建一个VPC： 若源端IP是192.168.X.X，则推荐创建的VPC网段是192.168.0.0/16，同时创建一个子网，网段也是192.168.0.0/16。 若源端IP是172.16.X.X，则推荐创建的VPC网段是172.16.0.0/12，同时创建一个子网，网段也是172.16.0.0/12。 若源端IP是10. X .X.X，则推荐创建的VPC网段是10.0.0.0/8，同时创建一个子网，网段也是10.0.0.0/8。 安全组选择自动创建时，则SMS服务会自动创建一个安全组，并根据SMS的需要开放端口，Windows开放8899端口、8900端口和22端口；如果是Linux系统，块级迁移开放8900端口和22端口，文件级迁移只开放22端口。 7.目的端参数配置完成后，单击右下角“下一步：确认配置”，进入确认配置页签。 8.（可选）单击“保存为虚拟机配置模板”，弹出“创建虚拟机配置模板”窗口，输入模板名称，单击“确定”，可将配置信息保存为模板。 说明 在目的端配置时，只有服务器选择“创建新服务器”时，才能单击“保存为虚拟机配置模板”。 图 创建虚拟机配置模板窗口 9. 确认信息无误后，单击“保存配置”按钮，弹出“是否保存配置”窗口。仔细阅读“迁移条件须知和风险提示”后，单击“是”。如果您想立即开始迁移，可单击“保存配置并开始迁移”按钮，弹出“是否保存配置并开始迁移”窗口。仔细阅读“迁移条件须知和风险提示”后，单击“是”。 说明 当迁移服务器列表的迁移阶段列显示为，迁移实时状态为已就绪，说明目的端已配置完成。

本实践介绍如何对存储库容量进行监控配置,以便在存储库使用率达到一定阈值后对用户进行告警。 场景描述： 云主机备份提供存储库来进行备份数据的存放，存储库已使用容量超过总容量上限后，备份服务将不会继续执行新的备份，策略的自动执行会失败，在此期间将不会有新的备份数据可用。您可以通过云监控服务进行存储库使用率的监控指标配置，在存储库使用率达到您设置的上限后，进行短信和邮件的告警，以及时进行存储库的扩容。 监控指标： 监控指标 指标说明 测量对象 存储库使用率 该指标用于统计存储库当前已用容量占总容量的比率。 单位：% 存储库 操作步骤 1. 登录控制中心，选择地域，例如选择华东1。 2. 选择“管理与部署”，单击“云监控服务”，进入监控概览页面。 3. 单击“云服务监控”下拉菜单，单击“云主机备份”，进入云主机备份监控列表页面。 4. 对需要监控的存储库所在行，点击“创建告警规则”，进入监控告警配置页面 5. 在告警策略中，选择“云主机备份存储库使用率”，根据您的实际需要进行期望的存储库使用率阈值设置，如您设置为“云主机备份存储库使用率“的”原始值“大于等于”80%“时进行告警，则表示在该存储库使用量达到总容量的80%时，云监控将对您发送告警通知，具体的通知方式取决于您的”配置告警通知“。 6. 其他配置参数如下： 模块 参数 参数说明 配置示例 约束与限制 选择监控对象 规则类型 选择规则的类型，主要包括指标监控、事件监控、站点监控、自定义监控、自定义事件五种。 指标监控 自定义监控、自定义事件目前仅支持部分资源池。 选择监控对象 服务 配置告警规则监控的云服务资源类型。 云主机备份 选择监控对象 维度 用于指定告警规则对应指标的维度名称。 存储库 选择监控对象 监控对象类型 具体实例/资源分组 具体实例 选择监控对象 监控对象 用来配置该告警规则针对的具体资源，可以是一个或多个。 存储库名称 定义告警策略 选择类型 自定义创建/从模板导入。 自定义创建 定义告警策略 策略 满足全部/任意策略 策略信息包括：指标、数据类型（原始值、最大值、最小值、平均值）、判断条件（>、≥、 80%，连续一个检测周期，普通 同一告警规则下，告警条件最多支持添加20条。 定义告警策略 无数据处理 不做处理/视为告警/视为恢复 不做处理 配置告警通知 发送通知 配置是否发送邮件通知用户，可以选择“是” （推荐选择）或者“否”。 是 配置告警通知 通知方式 配置告警通知的通知方式。 通知联系人组 配置告警通知 告警联系组 配置发生告警通知的用户组。 csbsalarm 配置告警通知 触发场景 触发告警邮件的场景，可在告警及恢复时发送提醒信息。 出现告警 配置告警通知 通知渠道 配置告警通知的通知渠道，支持邮箱、短信、语音。 邮箱、短信 配置告警通知 重复告警 指告警发生后如果未恢复正常，将重复发送告警通知次数。 重复2次 配置告警通知 通知频率 配置告警通知的通知频率。 每12小时通知一次 配置告警通知 通知周期 配置告警通知的周期时间。 星期天、星期一、星期二、星期三、星期四、星期五、星期六 配置告警通知 通知时段 配置告警通知的时间段。 00:00:0023:59:59 配置告警通知 通知模板 选择通知模板,告警信息将按系统默认模板。 系统模板 规则信息 名称 该告警规则的自定义名称。 csbsalarmnote 规则信息 描述 添加对该告警规则描述（此参数非必填项）。

本实践介绍如何对存储库容量进行监控配置,以便在存储库使用率达到一定阈值后对用户进行告警。 场景描述： 云主机备份提供存储库来进行备份数据的存放，存储库已使用容量超过总容量上限后，备份服务将不会继续执行新的备份，策略的自动执行会失败，在此期间将不会有新的备份数据可用。您可以通过云监控服务进行存储库使用率的监控指标配置，在存储库使用率达到您设置的上限后，进行短信和邮件的告警，以及时进行存储库的扩容。 监控指标： 监控指标 指标说明 测量对象 存储库使用率 该指标用于统计存储库当前已用容量占总容量的比率。 单位：% 存储库 操作步骤 1. 登录控制中心，选择地域，例如选择华东1。 2. 选择“管理与部署”，单击“云监控服务”，进入监控概览页面。 3. 单击“云服务监控”下拉菜单，单击“云主机备份”，进入云主机备份监控列表页面。 4. 对需要监控的存储库所在行，点击“创建告警规则”，进入监控告警配置页面 5. 在告警策略中，选择“云主机备份存储库使用率”，根据您的实际需要进行期望的存储库使用率阈值设置，如您设置为“云主机备份存储库使用率“的”原始值“大于等于”80%“时进行告警，则表示在该存储库使用量达到总容量的80%时，云监控将对您发送告警通知，具体的通知方式取决于您的”配置告警通知“。 6. 其他配置参数如下： 模块 参数 参数说明 配置示例 约束与限制 选择监控对象 规则类型 选择规则的类型，主要包括指标监控、事件监控、站点监控、自定义监控、自定义事件五种。 指标监控 自定义监控、自定义事件目前仅支持部分资源池。 选择监控对象 服务 配置告警规则监控的云服务资源类型。 云主机备份 选择监控对象 维度 用于指定告警规则对应指标的维度名称。 存储库 选择监控对象 监控对象类型 具体实例/资源分组 具体实例 选择监控对象 监控对象 用来配置该告警规则针对的具体资源，可以是一个或多个。 存储库名称 定义告警策略 选择类型 自定义创建/从模板导入。 自定义创建 定义告警策略 策略 满足全部/任意策略 策略信息包括：指标、数据类型（原始值、最大值、最小值、平均值）、判断条件（>、≥、 80%，连续一个检测周期，普通 同一告警规则下，告警条件最多支持添加20条。 定义告警策略 无数据处理 不做处理/视为告警/视为恢复 不做处理 配置告警通知 发送通知 配置是否发送邮件通知用户，可以选择“是” （推荐选择）或者“否”。 是 配置告警通知 通知方式 配置告警通知的通知方式。 通知联系人组 配置告警通知 告警联系组 配置发生告警通知的用户组。 csbsalarm 配置告警通知 触发场景 触发告警邮件的场景，可在告警及恢复时发送提醒信息。 出现告警 配置告警通知 通知渠道 配置告警通知的通知渠道，支持邮箱、短信、语音。 邮箱、短信 配置告警通知 重复告警 指告警发生后如果未恢复正常，将重复发送告警通知次数。 重复2次 配置告警通知 通知频率 配置告警通知的通知频率。 每12小时通知一次 配置告警通知 通知周期 配置告警通知的周期时间。 星期天、星期一、星期二、星期三、星期四、星期五、星期六 配置告警通知 通知时段 配置告警通知的时间段。 00:00:0023:59:59 配置告警通知 通知模板 选择通知模板,告警信息将按系统默认模板。 系统模板 规则信息 名称 该告警规则的自定义名称。 csbsalarmnote 规则信息 描述 添加对该告警规则描述（此参数非必填项）。

本实践介绍如何对存储库容量进行监控配置,以便在存储库使用率达到一定阈值后对用户进行告警。 场景描述： 云硬盘备份提供存储库来进行备份数据的存放，存储库已使用容量超过总容量上限后，备份服务将不会继续执行新的备份，策略的自动执行会失败，在此期间将不会有新的备份数据可用。您可以通过云监控服务进行存储库使用率的监控指标配置，在存储库使用率达到您设置的上限后，进行短信和邮件的告警，以及时进行存储库的扩容。 监控指标： 监控指标 指标说明 测量对象 存储库使用率 该指标用于统计存储库当前已用容量占总容量的比率。 单位：% 存储库 操作步骤 1. 登录控制中心，选择地域，例如选择华东1。 2. 选择“管理与部署”，单击“云监控服务”，进入监控概览页面。 3. 单击“云服务监控”下拉菜单，单击“云硬盘备份”，进入云硬盘备份监控列表页面。 4. 对需要监控的存储库所在行，点击“创建告警规则”，进入监控告警配置页面 5. 在告警策略中，选择“云硬盘备份存储库使用率”，根据您的实际需要进行期望的存储库使用率阈值设置，如您设置为“云硬盘备份存储库使用率“的”原始值“大于等于”80%“时进行告警，则表示在该存储库使用量达到总容量的80%时，云监控将对您发送告警通知，具体的通知方式取决于您的”配置告警通知“。 6. 其他配置参数如下： 模块 参数 参数说明 配置示例 约束与限制 选择监控对象 规则类型 选择规则的类型，主要包括指标监控、事件监控、站点监控、自定义监控、自定义事件五种。 指标监控 自定义监控、自定义事件目前仅支持部分资源池。 选择监控对象 服务 配置告警规则监控的云服务资源类型。 云硬盘备份 选择监控对象 维度 用于指定告警规则对应指标的维度名称。 存储库 选择监控对象 监控对象类型 具体实例/资源分组 具体实例 选择监控对象 监控对象 用来配置该告警规则针对的具体资源，可以是一个或多个。 存储库名称 定义告警策略 选择类型 自定义创建/从模板导入。 自定义创建 定义告警策略 策略 满足全部/任意策略 策略信息包括：指标、数据类型（原始值、最大值、最小值、平均值）、判断条件（>、≥、 80%，连续一个检测周期，普通 同一告警规则下，告警条件最多支持添加20条。 定义告警策略 无数据处理 不做处理/视为告警/视为恢复 不做处理 配置告警通知 发送通知 配置是否发送邮件通知用户，可以选择“是” （推荐选择）或者“否”。 是 配置告警通知 通知方式 配置告警通知的通知方式。 通知联系人组 配置告警通知 告警联系组 配置发生告警通知的用户组。 vbsalarm 配置告警通知 触发场景 触发告警邮件的场景，可在告警及恢复时发送提醒信息。 出现告警 配置告警通知 通知渠道 配置告警通知的通知渠道，支持邮箱、短信、语音。 邮箱、短信 配置告警通知 重复告警 指告警发生后如果未恢复正常，将重复发送告警通知次数。 重复2次 配置告警通知 通知频率 配置告警通知的通知频率。 每12小时通知一次 配置告警通知 通知周期 配置告警通知的周期时间。 星期天、星期一、星期二、星期三、星期四、星期五、星期六 配置告警通知 通知时段 配置告警通知的时间段。 00:00:0023:59:59 配置告警通知 通知模板 选择通知模板,告警信息将按系统默认模板。 系统模板 规则信息 名称 该告警规则的自定义名称。 vbsalarmnote 规则信息 描述 添加对该告警规则描述（此参数非必填项）。

本文介绍如何通过独享型接入方式将网站接入WAF进行防护。 使用独享型接入方式接入WAF前，需要先添加防护对象。 前提条件 已购买WAF独享型实例，且当前实例支持接入的防护对象数量未超过限制。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 进入到云WAF控制台，在左侧导航栏选择“接入管理”，选择“独享型接入”页签。 5. 点击“添加防护对象”进入信息配置页，依次配置“防护对象”、“服务器配置”、“代理情况”、“负载均衡策略”等信息。 配置项说明如下： 配置项 说明 选择实例 单击“选择实例”，在弹出的选择实例对话框中，找到目标实例，单击操作列的“选择”。 防护对象 填写防护网站的域名或IP。 域名：支持添加精确域名和泛域名。 精确域名：支持多级别精确域名，例如主域名ctyun.cn、子域名www.ctyun.cn等。 泛域名：支持使用泛域名格式，例如.ctyun.cn可以匹配www.ctyun.cn、test.ctyun.cn。 说明 使用泛域名后，WAF将自动匹配该泛域名对应的所有子域名，例如，.ctyun.cn能够匹配www.ctyun.cn、test.ctyun.cn等。 泛域名不支持匹配对应的主域名，例如.ctyun.cn不能匹配ctyun.cn。 如果同时存在精确域名和泛域名，则精确域名的转发规则和防护策略优先生效。 IP：支持防护公网IP、私网IP。 当填写公网IP时，指客户端访问业务系统直接指向的弹性IP（该弹性IP可能绑定在防火墙或WAF上）。 当填写私网IP时（用于内网访问防护场景），填写内网客户端访问的内网IP（因内网访问情况下，WAF代理业务系统，此处需填写WAF代理业务系统的IP而非业务系统本身的IP，即WAF业务网卡的VIP，业务系统内网IP填写在回源IP处）。 说明 采用内部IP代理场景下，因直接通过IP访问，WAF监听对象为WAF本身的IP，为了区分不同的业务，后端多业务不能采用相同端口，例如后端两个不同的业务不能同时采用80端口，否则WAF无法判断业务需要回源到哪个端口，会导致防护无法生效；若内部WAF采用域名进行区分则可配置相同端口。 防护对象名称 自定义防护网站的显示名称。 服务器配置 单击“添加一个服务器端口组”，弹出新增服务器端口组窗口。 选择网站使用的协议类型以及对应的转发服务端口： 协议类型：HTTP/HTTPS。 端口：选中协议后，系统会对应设置默认端口，HTTP协议默认为80端口，HTTPS协议默认为443端口。 用户也可自定义选择其他端口，可选类型： 标准端口：80、8080；443、8443。 非标端口：除以上标准端口以外的端口。 说明 如果防护域名使用非标准端口，请查看WAF支持的端口。 WAF通过此处添加的端口为网站提供流量的接入与转发服务，网站域名的业务流量只通过已添加的服务端口进行转发。对于未添加的端口，WAF不会转发任何该端口的访问请求流量到源站服务器，因此这些端口的启用不会对源站服务器造成任何安全威胁。 源站地址：设置网站的源站服务器地址，支持IP地址格式和域名格式。完成接入后，WAF将过滤后的访问请求转发到此处设置的服务器地址。设置说明如下： IP地址格式：填写源站的私网IP地址。 最多支持添加40个源站IP或服务器域名。 支持同时配置IPv4和IPv6地址。 说明 如果此处配置私网IP，请确保WAF到源站的网络路径是可访问的，以便于WAF能够对流量进行监控。 域名格式：一般对应该域名在DNS服务商处配置的CNAME。使用域名格式时， WAF会将客户端请求转发到回源域名解析出来的IP地址。 权重：当负载均衡算法为“加权轮询”时生效，所有请求将此处配置的权重轮流分配给源站服务器，权重越大，回源到该源站的几率越高。 不输入则视同为最低权重1。 当输入值为0时，业务不会回源到该站点。 取值范围：0~100的正整数。 说明 当健康检查发现站点出现问题时，剩余站点将按照剩余配置权重进行动态比例变化后的结果进行回源转发，节点回源请求比例节点权重/所有权重之和。 若回源列表中所有源站健康检查均失败了，为保障业务默认通路WAF将会强制回源至回源列表中顺序为第一个的站点。 若设置多个权重为0的节点，仅会回源至列表上第一个权重为0的节点。 所有站点全部健康检查失败，会强制回配置列表第一个节点。 证书配置 若选择HTTPS协议，还需要上传证书，且证书必须正确、有效，才能保证WAF正常防护网站的HTTPS协议访问请求。 1. 点击“上传证书”，进入服务器端证书配置页面。 2. 选择证书类型，支持“通用证书”和“国密证书”。 3. 配置证书。支持证书选择、手动填写、文件上传方式： 证书选择：如您使用了证书管理服务，可通过下拉框选择已有证书。 手动填写：填写证书名称，并将与域名关联的证书文件和私钥文件的文本内容的PEM编码分别复制粘贴到证书文件和证书私钥中。 文件上传：填写证书名称，点击“上传”，将与域名关联的证书文件和私钥文件上传至平台中。 说明 手动填写需要将证书和私钥的PEM编码内容填入。 上传证书时，如果证书是.PEM/.CER/.CRT的后缀，可以直接上传；私钥文件若为.KEY/.PEM的后缀，请确保内容格式为PME编码，即可上传。 高级设置 > HTTP强制跳转 选择HTTPS后，还支持启用HTTP强制跳转功能。 HTTPS强制跳转表示将客户端的HTTP请求强制转换为HTTPS请求，默认跳转到443端口。 如果您需要强制客户端使用HTTPS请求访问网站以提高安全性，则开启该设置。 说明 只有在未选中HTTP协议时，支持开启该设置。 请确保网站支持HTTPS业务再开启该设置。开启该设置后，部分浏览器将被强制设置为使用HTTPS请求访问网站。 高级设置 > TLS协议版本和加密套件 选择证书后，需要配置TLS协议版本和加密套件。WAF默认配置的TLS协议版本为“TLS1.0及以上版本”，加密套件为“全部加密套件”。 TLS协议版本 配置说明如下，为了确保网站安全，请根据业务实际需求进行配置： 支持TLS1.0及以上版本：所有的TLS协议都可以访问网站，兼容性最高，适用于网站无安全性要求的场景。 支持TLS1.1及以上版本：WAF将自动拦截TLS1.0协议的访问请求，适用于网站安全性能要求一般的场景。 支持TLS1.2及以上版本：WAF将自动拦截TLS1.0和TLS1.1协议的访问请求，适用于网站安全性能要求很高的场景。 自定义加密协议：WAF只允许所选TLS协议访问网站。 加密套件 配置说明： 全部加密套件：兼容性较高，安全性较低。 协议版本的自定义加密套件：请谨慎选择，避免影响业务。 WAF支持的加密套件及TLS协议版本详细信息请参见WAF支持的加密套件。 高级设置 > SSL解析方式 选择HTTPS后，支持配置SSL解析方式。支持“单向认证”和“双向认证”。 说明 国密证书暂不支持双向认证。 健康检查 开启健康检查将自动移除对失效源站的转发策略，当失效源站恢复健康后将重新加入转发列表。 开启后，还需配置健康检查策略。 代理情况 选择网站业务在接入WAF前是否开启了其他代理服务（例如DDoS高防、CDN等），按实际情况选择： 否：表示WAF收到的业务请求来自发起请求的客户端。WAF直接获取与WAF建立连接的IP作为客户端IP。 是：表示WAF收到的业务请求来自其他代理服务转发，而非直接来自发起请求的客户端。 为了保证WAF可以获取真实的客户端IP进行安全分析，需要进一步设置“源IP获取方式”。 源IP获取方式：系统默认设置为“从Socket连接中获取”，您也可按实际情况，创建一个有序的判定列表，系统将从列表的第一项开始查找，若不存在或者是非法的IP格式，则尝试下一条。 其中检测末项固定为“从Socket连接中获取”。获取方式列表最多可添加5条规则，可选项如下： 从Socket连接中获取 从XFowardedFor连接中获取倒数第x层代理 从HTTP头“XClientIP”中获取 负载均衡策略 当设置了多个源站服务器地址时，需设置多源站服务器间的负载均衡算法。可选项如下： 轮询：将所有请求轮流分配给不同的源站服务器。 IP Hash：将来自同一个IP的请求定向分配给同一个源站服务器。 加权轮询：根据同一组回源地址内配置的权重进行加权回源，权重越大，回源到该源站的几率越高。 设置生效后，WAF将根据设置的负载均衡算法向多个源站地址分发回源请求，实现负载均衡。 流量标记 开启流量标记功能，WAF在转发客户端请求到源站服务器时，通过在回源请求头部添加标记字段，标记该请求经过WAF转发，可以帮助源站判断请求来源。 如果请求中存在指定标记字段，则为WAF检测后的正常请求，放行该请求；如果请求中不存在指定标记字段，则为攻击者请求，拦截该请求。 单击“添加一个标记”，添加流量标记。最多支持添加5个标记字段。 支持如下标记类型： 自定义请求Header，配置自定义Header名、Header值。 客户端真实IP，配置客户端真实IP所在的HTTP Header名。 客户端真实源端口，配置客户端真实源端口所在的HTTP Header名。 注意 请勿填写标准的HTTP头部字段，否则会导致标准头部字段内容被自定义的字段值覆盖。 回源长连接 功能开启后，支持回源长连接功能，WAF独享版最大支持50000个回源长连接。 开启“回源长连接”后，还需配置“空闲连接超时时间”，默认值为10秒，最多支持60秒。 功能关闭后，将不支持WebSocket。 说明 当针对源站健康检查失败时，WAF会主动将失效的源站剔除回源列表，并将请求按照剩余站点权重比例/轮询转发至剩余健康站点，直至该源站恢复健康。 若回源列表中所有源站健康检查均失败了，为保障业务默认通路WAF将会强制回源至回源列表中顺序为第一个的站点。 源站响应超时切换时间公式：（检查间隔 + 响应超时时间） × 请求失败失效阈值。 源站恢复切换时间公式：（检查间隔 + 响应超时时间） × 失效后恢复健康阈值。 超时配置 开启超时配置，可以配置如下超时时间： 连接超时时间：WAF转发客户端请求时，与源站建立连接的超时时间。 读连接超时时间：WAF等待源站响应的超时时间。 写连接超时时间：WAF向源站发送请求的超时时间。 以上默认值均为60秒，最短支持10秒，最长支持1200秒。 备注 防护对象的描述信息，可以自定义。 6. 配置完成后单击“保存”，返回独享型接入页面。该网站的WAF防护开关默认开启。

本文介绍分布式消息服务RocketMQ入门指引的生产消费验证内容。 背景信息 RocketMQ的生产消费验证是指在使用RocketMQ进行消息生产和消费时的验证过程。具体而言，验证包括以下几个方面： 生产者验证：RocketMQ提供了丰富的生产者API，开发人员可以使用这些API将消息发送到RocketMQ的消息队列中。在验证阶段，可以通过发送消息并检查返回结果来确保消息成功发送到Broker节点。此外，生产者还应该验证消息的顺序性、事务性以及可靠性等方面。 消费者验证：RocketMQ的消费者可以订阅特定的消息主题，从而消费这些主题下的消息。在验证阶段，消费者应该能够正确地从Broker节点拉取消息并进行消费处理。消费者还可以验证消息的顺序性、重试机制以及消息过滤等功能。 操作步骤 1、 天翼云官网点击控制中心，选择产品分布式消息服务RocketMQ。 2、 登录分布式消息服务RocketMQ控制台，点击右上角地域选择对应资源池。 3、 进入实例列表，点击【管理】按钮进入管理菜单。 4、 进入Topic管理菜单，点击【拨测】按钮，进行生产消费的拨测验证，验证开通的消息实例和主题。 1）生产测试拨测： 选择消息类型，默认普通消息。 填写需要产生的测试消息数量，以及每条消息的大小，默认每条消息1KB，建议不超过4MB(4096KB)。 选择已建的消息主题，若无选项，请新增主题，详见上文创建主题和订阅组。 点击【测试】按钮，按照已填写规格及数量产生测试消息数据，展示消息数据的信息，包括消息ID(messageID)、发送状态、主题名（topic名）、Broker名、队列ID。 拨测功能涉及消息发送状态码，以下是RocketMQ消息发送状态码及其说明： ✧ SENDOK（发送成功）：表示消息成功发送到了消息服务器。 ✧ FLUSHDISKTIMEOUT（刷新磁盘超时）：表示消息已经成功发送到消息服务器，但是刷新到磁盘上超时。这可能会导致消息服务器在宕机后，尚未持久化到磁盘上的数据丢失。 ✧ FLUSHSLAVETIMEOUT（刷新从服务器超时）：表示消息已经成功发送到消息服务器，但是刷新到从服务器上超时。这可能会导致主从同步不一致。 ✧ SLAVENOTAVAILABLE（从服务器不可用）：表示消息已经成功发送到消息服务器，但是从服务器不可用。这可能是由于网络故障或从服务器宕机引起的。 ✧ UNKNOWNERROR（未知错误）：表示发送消息时遇到了未知的错误。一般情况下建议重试发送消息。 ✧ MESSAGESIZEEXCEEDED（消息大小超过限制）：表示消息的大小超过了消息服务器的限制。需要检查消息的大小是否合适。 ✧ PRODUCETHROTTLE（消息生产被限流）：表示消息生产者的频率超出了消息服务器的限制。这可能是由于消息发送频率过高引起的。 ✧ SERVICENOTAVAILABLE（服务不可用）：表示消息服务器不可用。这可能是由于网络故障或者消息服务器宕机引起的。 请注意，以上状态码仅适用于RocketMQ消息发送阶段，并且不代表消息是否成功被消费者接收。同时，这些状态码也可能因版本变化而有所不同，建议查阅官方文档获取最新信息。 2）消费测试拨测： 选择消息顺序，下拉选择无序/有序，默认选项为无序。 RocketMQ是一种开源的分布式消息中间件，它支持有序消息和无序消息。 ✧ 有序消息是指消息的消费顺序与发送顺序完全一致。在某些业务场景下，消息的处理需要保证顺序性，例如订单的处理或者任务的执行。RocketMQ提供了有序消息的支持，通过指定消息的顺序属性或使用消息队列的分区机制，可以确保消息按照指定的顺序进行消费。 ✧ 无序消息则是指消息的消费顺序与发送顺序无关。无序消息的特点是高吞吐量和低延迟，适用于一些不要求严格顺序的业务场景，如日志收集等。 在RocketMQ中，有序消息和无序消息的实现方式略有不同。有序消息需要借助MessageQueue的分区机制和消费者端的顺序消息消费来实现。而无序消息则是通过消息的发送和接收的并发处理来实现的。 总的来说，RocketMQ既支持有序消息也支持无序消息，根据业务需求选择合适的消息类型来满足业务的要求。 选择消费方式，目前仅提供pull方式。值得注意的是，RocketMQ还提供了推送（push）方式的消费模式，其中消息队列服务器会主动将消息推送给消费者。但在当前仅限于pull方式的消费模式。 填写消费数量。 下拉选择选择已建的消息主题和订阅组，若无选项，请新增主题和订阅组，详见上文创建主题和订阅组。 点击【测试】按钮，按照已填写规格及数量产生消费数据，展示消息数据的信息，包括消息ID(messageID)、主题名称（topicName）、生成时间、存储时间、队列ID、消费状态。 拨测功能涉及消息消费状态码，RocketMQ消费状态码是指在消息消费过程中，对消费结果进行标识的状态码。以下是常见的RocketMQ消费状态码： ✧ CONSUMESUCCESS（消费成功）：表示消息成功被消费。 ✧ RECONSUMELATER（稍后重试）：表示消费失败，需要稍后再次进行消费。 ✧ CONSUMEFAILURE（消费失败）：表示消息消费出现异常或失败。 ✧ SLAVENOTAVAILABLE（从节点不可用）：表示消费者无法访问从节点来消费消息。 ✧ NOMATCHEDMESSAGE（无匹配的消息）：表示当前没有匹配的消息需要消费。 ✧ OFFSETILLEGAL（偏移量非法）：表示消费的偏移量参数不合法。 ✧ BROKERTIMEOUT（Broker超时）：表示由于Broker超时导致消费失败。 5、 用户应用按照规范接入RocketMQ，发送、消费消息。 1）生产者示例API 以下适用于南京3、上海7、重庆2、乌鲁木齐27、保定、石家庄20、内蒙6、晋中、北京5节点。 ctgmq引擎版本，SDK下载方式详见环境准备其他工具章节。 package com.ctg.guide; import com.ctg.mq.api.CTGMQFactory; import com.ctg.mq.api.IMQProducer; import com.ctg.mq.api.PropertyKeyConst; import com.ctg.mq.api.bean.MQMessage; import com.ctg.mq.api.bean.MQSendResult; import com.ctg.mq.api.exception.MQException; import com.ctg.mq.api.exception.MQProducerException; import java.util.Properties; / Producer，发送消息 / public class Producer { public static void main(String[] args) throws InterruptedException, MQException { Properties properties new Properties(); properties.setProperty(PropertyKeyConst.ProducerGroupName, "producergroup"); properties.setProperty(PropertyKeyConst.NamesrvAddr, "10.50.208.1:9876;10.50.208.2:9876;10.50.208.3:9876"); properties.setProperty(PropertyKeyConst.NamesrvAuthID, "app4test"); properties.setProperty(PropertyKeyConst.NamesrvAuthPwd, ""); properties.setProperty(PropertyKeyConst.ClusterName, "defaultMQBrokerCluster"); properties.setProperty(PropertyKeyConst.TenantID, "defaultMQTenantID"); IMQProducer producer CTGMQFactory.createProducer(properties);//建议应用启动时创建 int connectResult producer.connect(); if(connectResult ! 0){ return; } for (int i 0; i mqResultList) { //mqResultList 默认为1，可通过批量消费数量设置 for(MQResult result : mqResultList) { //TODO System.out.println(result); } return ConsumerTopicStatus.CONSUMESUCCESS;//对消息批量确认(成功) //return ConsumerTopicStatus.RECONSUMELATER;//对消息批量确认(失败) } }); } } 以下适用于华东1、华北2、西南1、华南2、上海36、青岛20、长沙42、南昌5、武汉41、杭州7、西南2贵州、太原4、郑州5、西安7、呼和浩特3节点。 rocketmq引擎版本，SDK下载方式详见环境准备其他工具章节。 importorg.apache.rocketmq.client.consumer.DefaultMQPushConsumer; importorg.apache.rocketmq.client.consumer.listener.ConsumeConcurrentlyStatus; importorg.apache.rocketmq.client.consumer.listener.MessageListenerConcurrently; importorg.apache.rocketmq.client.exception.MQClientException; publicclassPushConsumer{ public static void main(String[] args) throws Exception{ AclClientRPCHook rpcHook newAclClientRPCHook(newSessionCredentials(ACCESSKEY, SECRETKEY)); DefaultMQPushConsumer consumer new DefaultMQPushConsumer(rpcHook); consumer.setConsumerGroup("ConsumerGroupName"); // 填入元数据地址 consumer.setNamesrvAddr("XXX:xxx"); ; //如果需要开启SSL，请增加此行代码 consumer.subscribe("YOUR TOPIC",""); consumer.registerMessageListener((MessageListenerConcurrently)(msgs, context)>{ System.out.printf("%s Receive New Messages: %s %n",Thread.currentThread().getName(), msgs); returnConsumeConcurrentlyStatus.CONSUMESUCCESS; }); consumer.start(); System.out.printf("Consumer Started.%n"); } } 示例参数说明： Namesrv地址 Namesrv地址可从控制台查看，多个地址按分号分隔。 应用用户和密码 这个应用用户和密码就是控制台创建的应用用户和密码。 租户id和集群名 集群名和租户id可以从应用用户管理查询。 订阅组 消费组名需要在控制台提前创建好。

本页介绍了天翼云关系数据库MySQL版支持的监控指标。 关系数据库MySQL版支持的监控指标如下。 注意 关系数据库MySQL版实例中的Agent只用于监控实例运行的指标、状态，不会收集除监控指标外的其它数据。 功能说明 本文定义了关系数据库MySQL版上报云监控的监控指标的命名空间，监控指标列表和维度定义。用户可以通过云监控提供的API接口来检索关系型数据库产生的监控指标和告警信息。 监控指标频率目前支持15秒、60秒、300秒，默认监控频率为30秒。 注意 部分监控指标支持设置为10秒，详细信息，请参见设置监控频率 实例监控指标 关系数据库MySQL版实例性能监控指标，如下表所示。 指标名称 指标含义 取值范围 CPU使用率（系统空间） 该指标用于统计测量对象的CPU使用率（系统空间占用），以比率为单位。 0100% CPU使用率（用户空间） 该指标用于统计测量对象的CPU使用率（用户空间占用），以比率为单位。 0100% CPU使用率（等待I/O） 该指标用于统计CPU在等待磁盘I/O请求完成时处于空闲状态的时间百分比。 0100% CPU总使用率 该指标用于统计测量对象的CPU总使用率，以比率为单位。 0100% MySQL CPU使用率 该指标用于统计MySQL进程的CPU使用率。 0100% 内存使用率 该指标用于统计测量对象的内存使用率，以比率为单位。 0100% MySQL服务进程占用的内存使用率 该指标用于统计MySQL服务进程占用的内存使用率。以比率为单位。 0100% 实例总空间使用量 该指标用于统计实例的空间占用情况，以GB为单位。 ≥ 0 GB 备份空间使用量 该指标用于统计云硬盘实例备份空间的使用情况，以GB为单位。 ≥ 0 GB 磁盘读速率（数据盘） 该指标用于统计当前实例数据盘，单位时间内系统处理的磁盘读速率（平均值）。 ≥ 0 kb/s 磁盘写速率（数据盘） 该指标用于统计当前实例数据盘，单位时间内系统处理的磁盘写速率（平均值）。 ≥ 0 kb/s 磁盘读速率（系统盘） 该指标用于统计当前实例系统盘，单位时间内系统处理的磁盘读速率（平均值）。 ≥ 0 kb/s 磁盘写速率（系统盘） 该指标用于统计当前实例系统盘，单位时间内系统处理的磁盘写速率（平均值）。 ≥ 0 kb/s 数据盘读次数 该指标用于统计数据盘，单位时间内系统处理的I/O读扇区请求数量（平均值）。 ≥ 0 counts 数据盘写次数 该指标用于统计数据盘，单位时间内系统处理的I/O写扇区请求数量（平均值）。 ≥ 0 counts 系统盘读次数 该指标用于统计系统盘，单位时间内系统处理的I/O读扇区请求数量（平均值）。 ≥ 0 counts 系统盘写次数 该指标用于统计系统盘，单位时间内系统处理的I/O写扇区请求数量（平均值）。 ≥ 0 counts 磁盘使用率（数据盘） 该指标用于统计数据盘的磁盘使用率，以比率为单位。 0100% 磁盘使用率（系统盘） 该指标用于统计系统盘的磁盘使用率，以比率为单位。 0100% 磁盘平均队列长度（数据盘） 该指标用于统计数据盘平均队列长度。以s为单位。 ≥0s 磁盘平均队列长度（系统盘） 该指标用于统计系统盘平均队列长度。以s为单位。 ≥0s IO操作等待时间（数据盘） 该指标用于统计数据盘IO操作等待时间。 ≥0 ms IO操作等待时间（系统盘） 该指标用于统计系统盘IO操作等待时间。 ≥0 ms 网络接收字节数 该指标用于统计平均每秒从测量对象的所有网络适配器输入的流量，以千字节为单位。 ≥ 0 kb/s 网络发送字节数 该指标用于统计平均每秒从测量对象的所有网络适配器输出的流量，以千字节为单位。 ≥ 0 kb/s 数据库总连接数 该指标用于统计试图连接到MySQL服务器的总连接数，以个为单位。 ≥ 0 counts 当前活跃连接数 该指标用于统计当前打开的连接的数量，以个为单位。 ≥ 0 counts 执行次数（select） 该指标用于统计平均每秒select语句执行次数 ≥ 0 counts 执行次数（insert） 该指标用于统计平均每秒insert语句执行次数 ≥ 0 counts 执行次数（update） 该指标用于统计平均每秒update语句执行次数 ≥ 0 counts 执行次数（delete） 该指标用于统计平均每秒delete语句执行次数 ≥ 0 counts QPS 该指标用于统计SQL语句查询次数，含存储过程，以次/秒为单位。 ≥ 0 queries/s TPS 该指标用于统计事务执行次数，含提交的和回退的，以次/秒为单位。 ≥ 0 transactions/s 缓冲池利用率 该指标用于统计空闲的页与InnoDB缓存中缓冲池页面总数的比例，以比率为单位。 0100% 缓冲池命中率 该指标用于统计读命中与读请求数比例，以比率为单位。 0100% 缓冲池脏块率 该指标用于统计InnoDB缓存中脏数据与InnoDB缓存中使用的页比例，以比率为单位。 0100% InnoDB读取吞吐量 该指标用于统计Innodb平均每秒读字节数，以字节/秒为单位。 ≥ 0 bytes/s InnoDB写入吞吐量 该指标用于统计Innodb平均每秒写字节数，以字节/秒为单位。 ≥ 0 bytes/s InnoDB文件读取频率 该指标用于统计Innodb平均每秒从文件中读的次数，以次/秒为单位。 ≥ 0 counts/s InnoDB文件写入频率 该指标用于统计Innodb平均每秒向文件中写的次数，以次/秒为单位。 ≥ 0 counts/s InnoDB日志写请求频率 该指标用于统计平均每秒的日志写请求数，以次/秒为单位。 ≥ 0 counts/s InnoDB日志物理写频率 该指标用于统计平均每秒向日志文件的物理写次数，以次/秒为单位。 ≥ 0 counts/s InnoDB日志fsync()写频率 该指标用于统计平均每秒向日志文件完成的fsync()写数量，以次/秒为单位。 ≥ 0 counts/s 临时表创建数量 该指标用于统计在硬盘上创建的临时表数量，以个为单位。 ≥ 0 counts Insert语句执行频率 该指标用于统计平均每秒Insert语句执行次数，以次/秒为单位。 ≥ 0 queries/s Delete语句执行频率 该指标用于统计平均每秒Delete语句执行次数，以次/秒为单位。 ≥ 0 queries/s Select语句执行频率 该指标用于统计平均每秒Select语句执行次数。 ≥ 0 queries/s Update语句执行频率 该指标用于统计平均每秒Update语句执行次数，以次/秒为单位。 ≥ 0 queries/s 行删除速率 该指标用于统计平均每秒从InnoDB表删除的行数，以行/秒为单位。 ≥ 0 rows/s 行插入速率 该指标用于统计平均每秒向InnoDB表插入的行数，以行/秒为单位。 ≥ 0 rows/s 行读取速率 该指标用于统计平均每秒从InnoDB表读取的行数，以行/秒为单位。 ≥ 0 rows/s 行更新速率 该指标用于统计平均每秒向InnoDB表更新的行数，以行/秒为单位。 ≥ 0 rows/s 历史行锁平均等待时间 该指标用于统计innodb历史行锁平均等待时间。 > 0ms 当前行锁等待数 该指标用于统计innodb当前行锁等待数，以个为单位。表示当前正在等待行锁的事务个数。 ≥ 0 counts 长事务个数统计 该指标用于统计长事务的个数 ≥ 0 counts 连接使用率 该指标用于统计当前已用的MySQL连接数占总连接数的百分比。 0100% 主从复制延迟 该指标用于统计多节点实例，主从复制延迟时间，以s为单位。 ≥0 s 每秒DDL次数 该指标用于统计对象每秒钟ddl次数 ≥ 0 counts 平均每秒InsertSelect语句执行次数 该指标用于统计对象平均每秒InsertSelect语句执行次数 ≥ 0 counts 平均每秒ReplaceSelect语句执行次数 该指标用于统计对象平均每秒ReplaceSelect语句执行次数 ≥ 0 counts 平均每秒replace语句执行次数 该指标用于统计对象平均每秒replace语句执行次数 ≥ 0 counts Innodb打开文件数 该指标用于统计对象Innodb打开文件数 ≥ 0 counts 打开表数 该指标用于统计对象打开表数 ≥ 0 counts 打开的文件数 该指标用于统计对象打开的文件数 ≥ 0 counts 执行全表搜索查询的数量 该指标用于统计对象执行全表搜索查询的数量 ≥ 0 counts InnoDB 平均每秒fsync操作次数 该指标用于统计对象InnoDB 平均每秒fsync操作次数 ≥ 0 counts InnoDB每秒写入redo log日志量(B) 该指标用于统计对象InnoDB每秒写入redo log日志量(B) ≥0 B mdl锁阻塞的连接数 该指标用于统计对象mdl锁阻塞的连接数 ≥ 0 counts relay log使用量 该指标用于统计对象relay log使用量 ≥0 MB redo log使用量 该指标用于统计对象redo log使用量 ≥0 MB 系统数据库数据量 该指标用于统计系统数据库数据量 ≥0 MB 用户数据库数据量 该指标用于统计对象用户数据库数据量 ≥0 MB 临时文件数据量 该指标用于统计对象临时文件数据量 ≥0 MB undo log使用量 该指标用于统计对象undo log使用量 ≥0 MB binlog使用量 该指标用于统计对象binlog使用量 ≥0 MB slow log使用量 该指标用于统计对象slow log使用量 ≥0 MB 平均每秒从所有客户端接收到的字节数 该指标用于统计对象平均每秒从所有客户端接收到的字节数 ≥0 KB 平均每秒发送给所有客户端的字节数 该指标用于统计对象平均每秒发送给所有客户端的字节数 ≥0 KB 当前全部会话 该指标用于统计当前全部会话 ≥ 0 counts 当前活跃会话 该指标用于统计当前活跃会话 ≥ 0 counts InnoDB Buffer Pool 刷Page请求数量 该指标用于统计对象InnoDB Buffer Pool 刷Page请求数量 ≥ 0 counts InnoDB 表总等待row locks次数 该指标用于统计对象InnoDB 表总等待row locks次数 ≥ 0 counts 从系统启动到现在锁定的总时间 该指标用于统计对象从系统启动到现在锁定的总时间 ≥0 ms InnoDB 表每秒等待row locks时间 该指标用于统计对象InnoDB 表每秒等待row locks时间 ≥0 ms InnoDB 表每秒等待row locks次数 该指标用于统计对象InnoDB 表每秒等待row locks次数 ≥ 0 counts InnoDB 表平均等待row locks时间 该指标用于统计对象InnoDB 表平均等待row locks时间 ≥0 ms 监控行锁个数 该指标用于统计对象监控行锁个数 ≥ 0 counts 读取源二进制日志的I/O线程是否正在运行 该指标用于统计对象读取源二进制日志的I/O线程是否正在运行 ≥ 0 counts 执行中继日志中事件的SQL线程是否正在运行 该指标用于统计对象执行中继日志中事件的SQL线程是否正在运行 ≥ 0 counts MySQL读写次数 该指标用于统计对象MySQL读写次数 ≥ 0 counts IOPS使用率 该指标用于统计对象IOPS使用率 0100% 慢查询 该指标用于统计对象的慢查询数量 ≥ 0 counts 等待表锁次数 该指标用于统计对象的等待表锁次数（dml级） ≥ 0 counts

本节主要介绍步骤一（2）：创建出云迁移任务 数据库复制服务提供出云的功能，可以将本云上的数据库迁移至用户端数据库，方便进行数据回流处理。 本章节将以RDS for MySQL到ECS自建MySQL的迁移为示例，介绍在同一VPC网络场景下，通过数据库复制服务管理控制台配置数据迁移任务的流程，其他存储引擎的配置流程类似。 VPC网络适合本云内数据库之间的迁移。在数据库复制服务中，数据库迁移是通过任务的形式完成的，通过创建任务向导，可以完成任务信息配置、任务创建。迁移任务创建成功后，您也可以通过数据库复制服务管理控制台，对任务进行管理。 目前数据库复制服务支持每个用户最多可创建5个实时迁移任务。 前提条件 已登录数据库复制服务控制台。 账户余额大于等于100元。 满足实时迁移支持的数据库类型。 满足出云迁移的限制条件。 操作步骤 1、在“实时迁移管理”页面，单击“创建迁移任务”，进入创建迁移任务页面。 2、在“迁移实例”页面，填任务名称、任务异常通知设置、时延阈值、描述、迁移实例信息。 图 迁移任务信息 表 任务和描述 参数 描述 任务名称 任务名称在450位之间，必须以字母开头，不区分大小写，可以包含字母、数字、中划线或下划线，不能包含其他的特殊字符。 任务异常通知设置 该项为可选参数，开启之后，需要填写手机号码或者邮箱作为指定收件人。当迁移任务状态异常时，系统将发送通知给指定收件人。 说明 收到确认短信或邮件之后，需要在48小时内处理，否则该订阅无效，将无法收到异常通知。 时延阈值 在增量迁移阶段，源数据库和目标数据库之间的实时同步有时会存在一个时间差，称为时延，单位为秒。 时延阈值设置是指时延超过一定的值后（时延阈值范围为1—3600s），DRS可以发送告警通知给指定收件人。告警通知将在时延稳定超过设定的阈值6min后发送，避免出现由于时延波动反复发送告警通知的情况。 说明 首次进入增量迁移阶段，会有较多数据等待同步，存在较大的时延，属于正常情况，不在此功能的监控范围之内。 设置时延阈值之前，需要设置任务异常通知。 描述 描述不能超过256位，且不能包含! & ' " 特殊字符。 图 迁移实例信息 表 迁移实例信息 参数 描述 数据流动方向 选择出云。 出云指源端数据库为本云数据库的场景。 源数据库引擎 选择MySQL。 目标数据库引擎 选择MySQL。 网络类型 目前支持公网网络、VPC网络和VPN、专线网络类型，您可以根据具体的业务场景进行设置，此处场景以VPC网络为示例。 VPC网络：适合云上数据库之间的迁移。 VPN、专线网络：适合通过VPN、专线网络，实现其他云下自建数据库与云上数据库迁移、或云上跨Region的数据库之间的迁移。 公网网络：适合将其他云下或其他平台的数据库迁移到目标数据库。 源数据库实例 用户需要迁移的数据库实例。 迁移模式 全量：该模式为数据库一次性迁移，适用于可中断业务的数据库迁移场景，全量迁移将非系统数据库的全部数据库对象和数据一次性迁移至目标端数据库，包括：表、视图、存储过程等。 说明 如果用户只进行全量迁移时，建议停止对源数据库的操作，否则迁移过程中源数据库产生的新数据不会同步到目标数据库。 全量+增量：该模式为数据库持续性迁移，适用于对业务中断敏感的场景，通过全量迁移过程中完成的目标端数据库的初始化后，增量迁移阶段通过解析日志等技术，将源端和目标端数据库保持数据持续一致。 说明 选择“全量+增量”迁移模式，增量迁移可以在全量迁移完成的基础上实现数据的持续同步，无需中断业务，实现迁移过程中源业务和数据库继续对外提供访问。 3、在“源库及目标库”页面，迁移实例创建成功后，填选源库信息和目标库信息，并单击“源库和目标库”处的“测试连接”，分别测试并确定与源库和目标库连通后，勾选协议，单击“下一步”。 图 源库信息 表 源库信息 参数 描述 数据库实例名称 默认为创建迁移任务时选择的关系型数据库实例，不可进行修改。 数据库用户名 源数据库对应的数据库用户名。 数据库密码 源数据库对应的数据库密码。任务为启动中、全量迁移、增量迁移、增量迁移失败状态时，可在“基本信息”页面的“迁移信息”区域，单击“源库密码”后的“替换密码”，在弹出的对话框中修改密码。 说明 源数据库的用户名和密码将在迁移过程中被加密暂存到数据库和迁移实例主机上，待该任务删除后会永久清除。 图 目标库信息 表 目标库信息 参数 描述 VPC 目标数据库所在的虚拟专用网络，可以对不同业务进行网络隔离。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。子网在可用分区内才会有效，创建源数据库实例的子网需要开启DHCP功能，在创建过程中也不能关闭已选子网的DHCP功能。 IP地址或域名 目标数据库的IP地址或域名。 端口 目标数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 目标数据库的用户名。 数据库密码 目标数据库的用户名所对应的密码。支持在任务创建后修改密码。 任务为启动中、全量迁移、增量迁移、增量迁移失败状态时，可在“基本信息”页面的“迁移信息”区域，单击“目标库密码”后的“替换密码”，在弹出的对话框中修改密码。 SSL安全连接 通过该功能，用户可以选择是否开启对迁移链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不使用SSL证书，请自行承担数据安全风险。 所有Definer迁移到该用户下 是 迁移后，所有源数据库对象的Definer都会迁移至该用户下，其他用户需要授权后才具有数据库对象权限。 否 迁移后，将保持源数据库对象Definer定义不变，选择此选项，需要配合下一步用户权限迁移功能，将源数据库的用户全部迁移，这样才能保持源数据库的权限体系完全不变。 说明： 目标数据库的IP地址、端口、用户名和密码将在迁移过程中被加密暂存到数据库和迁移实例主机上，待该任务删除后会永久清除。 4、在“迁移设置”页面，设置迁移用户和迁移对象等信息，单击“下一步”。 图 迁移模式 表 迁移模式 参数 描述 快照模式 如果您选择的是全量迁移模式的任务，数据库复制服务支持设置快照模式。 非快照式 适用于停止业务数据写入的导出，如果全量迁移中仍然有业务数据的修改，则导出数据为时间点非水平一致。稳定性和性能要优于快照式全量迁移。 快照式 可以在业务运行时产生一份时间水平一致的快照数据，具有业务数据分析价值，过程中的数据变化不会体现在导出数据中。 说明 快照读会使用MySQL备份锁进行全局锁表，在开启一致性读后自动解锁（加锁时间在3s以内），备份锁会对此期间的DML或者DDL操作造成阻塞，建议用户选择源库空闲的时间段使用快照备份功能。 目前仅MySQL全量模式的迁移任务支持快照模式设置。 是否过滤DROP DATABASE 增量迁移过程中，源数据库端执行的DDL操作在一定程度上会影响数据的迁移能力，为了降低迁移数据的风险，数据库复制服务提供了过滤DDL操作的功能。 目前支持默认过滤删除数据库的操作。 是，表示数据迁移过程中不会同步用户在源数据库端执行的删除数据库的操作。 否，则表示数据迁移过程中将相关操作同步到目标库。 说明 目前仅支持RDS for MySQL实例>MySQL数据库数据库的全量+增量的迁移场景。 迁移用户 数据库的迁移过程中，迁移用户需要进行单独处理。 常见的迁移用户一般分为三类：可完整迁移的用户、需要降权的用户和不可迁移的用户。您可以根据业务需求选择“迁移”或者“不迁移”，选择“迁移”后，可根据需要选择迁移用户。 迁移 当您选择迁移用户时，请参见《数据库复制服务用户指南》中“迁移用户”章节进行数据库用户、权限及密码的处理。 不迁移 迁移过程中，将不进行用户、权限和密码的迁移。 迁移对象 您可以根据业务需求，选择全部对象迁移、表级迁移或者库级迁移。 全部迁移：将源数据库中的所有对象全部迁移至目标数据库，对象迁移到目标数据库实例后，对象名将会保持与源数据库实例对象名一致且无法修改。 表级迁移：将选择的表级对象迁移至目标数据库。 库级迁移：将选择的库级对象迁移至目标数据库。 如果有切换源数据库的操作或源库迁移对象变化的情况，请务必在选择迁移对象前单击右上角的按钮，以确保待选择的对象为最新源数据库对象。 说明 若选择部分数据库进行迁移时，由于存储过程、视图等对象可能与其他数据库的表存在依赖关系，若所依赖的表未迁移，则会导致迁移失败。建议您在迁移之前进行确认，或选择全部数据库进行迁移。 选择对象的时候，对象名称的前后空格不显示，中间如有多个空格只显示一个空格。 选择对象的时候支持搜索，以便您快速选择需要的数据库对象。 5、在“预检查”页面，进行迁移任务预校验，校验是否可进行迁移。 查看检查结果，如有不通过的检查项，需要修复不通过项后，单击“重新校验”按钮重新进行迁移任务预校验。 预检查不通过项处理建议请参见《数据库复制服务用户指南》中的“预检查不通过项修复方法”。 图 预检查 预检查完成后，且预检查通过率为100%时，单击“下一步”。 说明 所有检查项结果均通过时，若存在待确认项，需要阅读并确认详情后才可以继续执行下一步操作 6、在“任务确认”页面，选择迁移任务的启动时间，并确认迁移任务信息无误后，单击“启动任务”，提交迁移任务。 说明 迁移任务的启动时间可以根据业务需求，设置为“立即启动”或“稍后启动”，优选“稍后启动”。 预计迁移任务启动后，会对源数据库和目标数据库的性能产生影响，强烈建议您将任务启动时间设定在业务低峰期，同时预留23天校对数据。 7、迁移任务提交后，您可在“实时迁移管理”页面，查看并管理自己的任务。 您可查看任务提交后的状态，状态请参见参考：任务状态含义。 在任务列表的右上角，单击刷新列表，可查看到最新的任务状态。

本节主要介绍MongoDB数据库迁移 本章节主要介绍了通过DRS将本地MongoDB数据库实时迁移至本云DDS的任务配置流程。支持以下网络类型： VPN（Virtual Private Network，虚拟专用网络）网络 公网网络 迁移流程 图 迁移流程图 迁移建议（重要） 数据库迁移与环境多样性和人为操作均有密切关系，为了确保迁移的平顺，建议您在进行正式的数据库迁移之前进行一次演练，可以帮助您提前发现问题并解决问题，如何最小化对数据库的影响请参考如下建议。 强烈建议您在启动任务时选择“稍后启动”功能，将启动时间设置在业务低峰期，相对静止的数据可以有效提升一次性迁移成功率，避免迁移对业务造成性能影响。 迁移须知（重要） 说明 在创建迁移任务之前，请您务必仔细阅读迁移须知。 参考《数据库复制服务快速入门》中的“使用须知”章节。 迁移准备 1.权限准备： 当使用 DRS 将本地数据库的数据迁移到本云DDS实例时，在不同迁移类型情况下，对源数据库和目标数据库的帐号权限要求如表1所示： 表 迁移账号权限 迁移类型 全量迁移 全量+增量迁移 源数据库 o 副本集：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限。 o 集群：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对config数据库有read权限。 o 单节点：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限。 如果需要迁移源数据库用户和角色信息，连接源数据库的用户权限需要对admin数据库的系统表system.users，system.roles有读权限。 o 副本集：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 o 单节点：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 o 集群：连接源数据库mongos节点的用户权限需要对admin数据库有readAnyDatabase权限，对config数据库有read权限， 连接源数据库分片节点的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 如果需要迁移源数据库用户和角色信息，连接源数据库的用户权限需要对admin数据库的系统表system.users，system.roles有读权限。 目标数据库 连接目标数据库的用户权限需要对admin数据库有readAnyDatabase权限，对目标数据库有readWrite权限。 源数据库的权限设置： 需要确保源数据库MongoDB的帐号具备表1的权限，若权限不足，需要在源数据库端创建高权限的帐号。 目标数据库的权限设置： 本云DDS实例使用初始帐号即可。 2.网络准备： 源数据库的网络设置： 本地MongoDB数据库实时迁移至本云DDS的场景，一般可以使用VPN网络和公网网络两种方式进行迁移，您可以根据实际情况为本地MongoDB数据库开放公网访问或建立VPN访问。一般推荐使用公网网络进行迁移，该方式下的数据迁移过程较为方便和经济。 目标数据库的网络设置：若通过VPN访问，请先开通天翼云VPN服务，确保源数据库和目标DDS网络互通。 若通过公网网络访问，目标DDS不需要进行设置。 3.安全规则准备： 源数据库的白名单设置：若通过公网网络进行迁移，源数据库MongoDB实例需要将具体的DRS迁移实例的弹性公网IP添加到其网络白名单中，确保源数据库MongoDB实例可以与上述弹性公网IP连通。在设置网络白名单之前需要获取DRS迁移实例，具体方法如下： 迁移实例创建成功后，可在“源库及目标库”页面获取DRS迁移实例的弹性公网IP。如图4所示： 图 迁移实例公网弹性IP 以上讲述的是精细配置白名单的方法，还有一种简单设置白名单的方法，在安全允许的情况下，可以将源数据库MongoDB实例的网络白名单设置为0.0.0.0/0，代表允许任何IP地址访问该实例。 若通过VPN网络进行迁移，源库需要将DRS迁移实例的私有IP添加到其网络白名单内，确保源端和目标端网络互通。 上述的网络白名单是为了进行数据迁移设置的，迁移结束后可以删除。 目标数据库安全组规则设置： 目标数据库默认与DRS迁移实例处在同一个VPC，网络是互通的，DRS可以直接写入数据到目标数据库，不需要进行任何设置。 4.其他事项准备： 由于迁移过程不会迁移MongoDB数据库的用户信息以及相关参数，需要自行将上述信息导出后手动添加到目标DDS中。 迁移步骤 以下操作以公网网络迁移的方式为例，指导您通过DRS将本地MongoDB数据库实时迁移至本云DDS实例。 1.创建迁移任务。 登录管理控制台，在服务列表中选择“数据库 > 数据库复制服务”，进入数据库复制服务信息页面。 在“实时迁移管理”页面，单击右上角“创建迁移任务”，进入迁移任务信息页面。 在“迁移实例”页面，填选任务名称、通知收件人、描述和迁移实例信息。 图 迁移实例信息 表 任务信息 参数 描述 任务名称 任务名称在4位到64位之间，必须以字母开头，不区分大小写，可以包含字母、数字、中划线或下划线，不能包含其他的特殊字符。 任务异常通知设置 该项为可选参数，开启之后，需要填写手机号码或者邮箱作为指定收件人。当迁移任务状态异常时，系统将发送通知给指定收件人。说明：收到确认短信或邮件之后，需要在48小时内处理，否则该功能订阅无效。 时延阈值 增量迁移中，源数据库和目标数据库之间的同步有时会存在一个时间差，称为时延，单位为秒。时延阈值设置是指时延超过一定的值后（时间阈值范围为1—3600s），DRS可以发送通知给指定收件人。 说明 首次进入增量迁移阶段，会有较多数据等待同步，存在较大的时延，属于正常情况，不在此功能的监控范围之内。 描述 描述不能超过256位，且不能包含!<>&'"特殊字符。 表 迁移实例 参数 描述 数据流动方向 选择入云。 源数据库引擎 选择MongoDB数据库引擎。 目标数据库引擎 选择DDS数据库引擎。 网络类型 选择公网网络。建议您开启SSL安全连接，SSL约降低2030%的迁移性能，但保证了数据的安全性。 目标数据库实例 选择您所创建的本云DDS实例。 迁移模式 § 全量全量为一次性迁移，如果您只进行全量迁移时，建议停止对源数据库的操作，否则迁移过程中源数据库产生的新数据不会同步到目标数据库。 § 全量+增量增量可以在全量迁移完成的基础上实现数据的持续同步。您可以选择全量+增量的迁移模式，实现迁移过程中源业务和数据库继续对外提供访问。 在“源库及目标库”信息页面，迁移实例创建成功后，填选源库信息和目标库信息，建议您单击“源库和目标库”处的“测试连接”，分别测试并确定与源库和目标库连通后，勾选协议，单击“下一步”。 图 源库及目标库信息 表 源库信息 参数 描述 IP地址或域名 配置源数据库MongoDB实例的访问地址或域名。 端口 配置源数据库MongoDB实例的服务端口，可输入范围为1~65535间的整数。 数据库用户名 访问源数据库MongoDB的用户名。 数据库密码 访问源数据库MongoDB的用户名所对应的密码。 SSL安全连接 在选择公网网络进行迁移任务时，为了提升数据在网络传输过程中的安全性，建议您开启SSL安全连接，对迁移链路进行加密，如果开启，需要您上传CA证书。 表 目标库信息 参数 描述 数据库实例名称 默认为创建迁移任务时选择的已创建的DDS实例，不可进行修改。 数据库用户名 访问目标端DDS实例的用户名。 数据库密码 访问目标端DDS实例的用户名所对应的密码。 在“迁移设置”页面，设置迁移对象。 图 迁移对象 表 迁移模式和迁移对象 参数 描述 迁移对象 选择您需要迁移的对象。迁移对象选择的粒度可以为库和表，对象迁移到DDS实例后，对象名将会保持与源数据库MongoDB实例对象名一致且无法修改。 在“预检查”页面，进行迁移任务预校验，校验是否可进行任务迁移。查看检查结果，如有失败的检查项，需要修复失败项后，单击“重新校验”按钮重新进行迁移任务预校验。 预检查失败项处理建议请参见《数据库复制服务用户指南》中的“预检查失败项修复方法”。 预检查完成后，且所有检查项结果均成功时，单击“下一步”。 图 预检查 说明 所有检查项结果均成功时，若存在告警，需要阅读并确认告警详情后才可以继续执行下一步操作。 在“任务确认”页面，选择迁移任务的启动时间，勾选协议，单击“启动任务”，提交迁移任务。 说明 迁移任务的启动时间可以根据业务需求，设置为“立即启动”或“稍后启动”。 预计迁移任务启动后，会对源数据库和目标数据库的性能产生影响，建议选择业务低峰期，合理设置迁移任务的启动时间。 迁移任务提交后，开始启动迁移任务，您可以返回“实时迁移管理”页面，查看迁移任务状态。 2.任务管理 迁移任务启动后，会经历全量迁移和增量迁移两个阶段，对于不同阶段的迁移任务，您可以进行任务管理。全量迁移 查看迁移进度：全量迁移中的任务，您可单击任务名称，在“迁移进度”页签下，查看全量迁移进度。当全量迁移进度显示为100%，表示全量迁移已经完成。 增量迁移查看时延监控：全量迁移完成后，开始进行增量迁移。对于增量迁移中的任务，您可单击任务名称，在“迁移进度”页签下，查看增量迁移同步时延，当时延为0s时，说明源数据库和目标数据库的数据是实时同步的。您也可以使用“迁移对比”页签进行一致性对比。 图 查看时延监控 查看迁移对比：为了尽可能减少业务的影响和业务中断时间，增量迁移中的任务，您可单击任务名称，在“迁移对比”页签下，建议按照如下流程进行迁移对比，以便确定合适的业务割接时机。 图 迁移对比流程 具体的迁移对比操作及注意事项请参考《数据库复制服务用户指南》中“对比迁移项”章节。 3.割接建议 建议您选择一个业务低峰期，开始正式系统割接流程。割接前，请您确认至少在业务低峰期有过一次完整的数据对比。可以结合数据对比的“稍后启动”功能，选择业务低峰期进行数据对比，以便得到更为具有参考性的对比结果。由于同步具有轻微的时差，在数据持续操作过程中进行对比任务，可能会出现少量数据不一致对比结果，从而失去参考意义。 先中断业务（如果业务负载非常轻，也可以尝试不中断业务）。 在源数据库端执行如下语句，并观察在15分钟内若无任何新会话执行SQL ，则可认为业务已经完全停止。 db.currentOp() 说明 上述语句查询到的进程列表中，包括DRS迁移实例的连接，您需要确认除DRS迁移实例的连接外无任何新会话执行SQL，即可认为业务已经完全停止。 通过DRS迁移任务监控页面进行观察同步时延，保持实时同步时延为0，并稳定保持一段时间；同时，您可以使用数据级对比功能，进行割接前的最后一次数据级对比，耗时可参考之前的对比记录。如果时间允许，则选择全部对比。 如果时间不允许，则推荐对比活跃表，关键业务表，第二步对比多次存在差异的表等。 确定系统割接时机，业务系统指向本云数据库，业务对外恢复使用，迁移完成。 4.迁移结束 结束迁移任务：业务系统和数据库切换至本云后，为了防止源数据库的操作继续同步到目标数据库，造成数据覆盖问题，此时您可选择结束迁移任务，该操作仅删除了迁移实例，迁移任务仍显示在任务列表中，您可以进行查看或删除。结束迁移任务后，DRS将不再计费。 删除迁移任务：对于已结束的迁移任务，您可选择删除任务。该操作将一并删除迁移任务，删除迁移任务后，该任务将不会出现在任务列表中。

本文为您介绍如何将网站域名接入Web应用防火墙（原生版）实例。 使用CNAME接入方式接入云WAF前，先要添加需要防护的域名。本文介绍如何将要防护的域名添加到云WAF。 前提条件 已购买WAF云SaaS型实例，且当前实例支持接入的域名数量未超过限制。 您必须先为域名完成ICP备案，才可以将网站接入WAF进行防护。如何备案请参见新增备案。 说明 根据《非经营性互联网信息服务备案管理办法》第五条规定：在中华人民共和国境内提供非经营性互联网信息服务，应当依法履行备案手续。未经备案，不得在中华人民共和国境内从事非经营性互联网信息服务。本办法所称在中华人民共和国境内提供非经营性互联网信息服务，是指在中华人民共和国境内的组织或个人利用通过互联网域名访问的网站或者利用仅能通过互联网IP地址访问的网站，提供非经营性互联网信息服务。第十九条规定：互联网接入服务提供者应当记录其接入的非经营性互联网信息服务提供者的备案信息。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 进入到云WAF控制台，在左侧导航栏选择“接入管理”，默认进入“域名接入”页签。 5. 点击“添加防护对象”进入防护对象信息配置页，依次配置“防护对象”、“服务器配置”、“代理情况”、“负载均衡策略”等信息。 配置项说明如下： 配置项 说明 防护对象 填写网站域名，可添加精确域名和泛域名： 精确域名：支持多级别精确域名，例如主域名ctyun.cn、子域名www.ctyun.cn等。 泛域名：支持使用泛域名格式，例如.ctyun.cn可以匹配www.ctyun.cn、test.ctyun.cn。 说明 使用泛域名后，WAF将自动匹配该泛域名对应的所有子域名，例如，.ctyun.cn能够匹配www.ctyun.cn、test.ctyun.cn等。 泛域名不支持匹配对应的主域名，例如.ctyun.cn不能匹配ctyun.cn。 如果同时存在精确域名和泛域名，则精确域名的转发规则和防护策略优先生效。 添加的域名必须通过工信部ICP备案，若未备案则无法添加。 防护对象名称 自定义防护网站的显示名称。 服务器配置 单击“添加一个服务器端口组”，弹出新增服务器端口组窗口。 选择网站使用的协议类型以及对应的转发服务端口： 协议类型：HTTP/HTTPS。 端口：选中协议后，系统会对应设置默认端口，HTTP协议默认为80端口，HTTPS协议默认为443端口。 用户也可自定义选择其他端口，可选类型： 标准端口：80、8080；443、8443。 非标端口：除以上标准端口以外的端口。 说明 如果防护域名使用非标准端口，请查看WAF支持的端口。 WAF通过此处添加的端口为网站提供流量的接入与转发服务，网站域名的业务流量只通过已添加的服务端口进行转发。对于未添加的端口，WAF不会转发任何该端口的访问请求流量到源站服务器，因此这些端口的启用不会对源站服务器造成任何安全威胁。 源站地址：设置网站的源站服务器地址，支持IP地址格式和域名（如CNAME）格式。完成接入后，WAF将过滤后的访问请求转发到此处设置的服务器地址。设置说明如下： IP地址格式：填写源站的公网IP地址。需要为公网可达的IP地址。 最多支持添加40个源站IP或服务器域名。 支持同时配置IPv4和IPv6地址。 域名格式：一般对应该域名在DNS服务商处配置的CNAME。使用域名格式时， WAF会将客户端请求转发到回源域名解析出来的IP地址。 权重：当负载均衡算法为“加权轮询”时生效，所有请求将此处配置的权重轮流分配给源站服务器，权重越大，回源到该源站的几率越高。 不输入则视同为最低权重1。 当输入值为0时，业务不会回源到该站点。 取值范围：0~100的正整数。 说明 当健康检查发现站点出现问题时，剩余站点将按照剩余配置权重进行动态比例变化后的结果进行回源转发，节点回源请求比例节点权重/所有权重之和。 若设置多个权重为0的节点，仅会回源至列表上第一个权重为0的节点。 所有站点全部健康检查失败，会强制回配置列表第一个节点。 合规认证 选择是否开启PCI DSS和PCI 3DS合规认证。 PCI DSS合规认证说明如下：开启PCI DSS合规认证后，您将不能修改 TLS 最低版本和加密套件，最低 TLS 版本将设置为“TLS v1.2及以上”，加密套件设置为指定范围。如果您需要修改 TLS 最低版本和加密套件，请关闭该认证。 PCI 3DS合规认证说明如下：开启 PCI 3DS 合规认证后，您将不能修改 TLS 最低版本，且最低 TLS 版本将设置为“TLS v1.2及以上”，并且您将不能关闭该认证，请根据业务实际需求进行操作。开启该认证后，该域名将不支持添加 HTTP 协议的协议端口接入。 说明 当“服务器配置协议端口”配置仅为“HTTPS”时，才支持配置 PCI DSS/3DS 合规。 证书配置 若选择HTTPS协议，还需要上传证书，且证书必须正确、有效，才能保证WAF正常防护网站的HTTPS协议访问请求。 1. 点击“上传证书”，进入服务器端证书配置页面。 2. 选择证书类型，支持“通用证书”和“国密证书”。 3. 配置证书。支持证书选择、手动填写、文件上传方式： 证书选择：如您使用了证书管理服务，可通过下拉框选择已有证书。 手动填写：填写证书名称，并将与域名关联的证书文件和私钥文件的文本内容的PEM编码分别复制粘贴到证书文件和证书私钥中。 文件上传：填写证书名称，点击“上传”，将与域名关联的证书文件和私钥文件上传至平台中。 说明 手动填写需要将证书和私钥的PEM编码内容填入。 上传证书时，如果证书是.PEM/.CER/.CRT的后缀，可以直接上传；私钥文件若为.KEY/.PEM的后缀，请确保内容格式为PME编码，即可上传。 高级设置 > HTTP强制跳转 选择HTTPS后，还支持启用HTTP强制跳转功能。 HTTPS强制跳转表示将客户端的HTTP请求强制转换为HTTPS请求，默认跳转到443端口。 如果您需要强制客户端使用HTTPS请求访问网站以提高安全性，则开启该设置。 说明 只有在未选中HTTP协议时，支持开启该设置。 请确保网站支持HTTPS业务再开启该设置。开启该设置后，部分浏览器将被强制设置为使用HTTPS请求访问网站。 高级设置 > TLS协议版本和加密套件 选择证书后，需要配置TLS协议版本和加密套件。WAF默认配置的TLS协议版本为“TLS1.0及以上版本”，加密套件为“全部加密套件”。 TLS协议版本 配置说明如下，为了确保网站安全，请根据业务实际需求进行配置： 支持TLS1.0及以上版本：所有的TLS协议都可以访问网站，兼容性最高，适用于网站无安全性要求的场景。 支持TLS1.1及以上版本：WAF将自动拦截TLS1.0协议的访问请求，适用于网站安全性能要求一般的场景。 支持TLS1.2及以上版本：WAF将自动拦截TLS1.0和TLS1.1协议的访问请求，适用于网站安全性能要求很高的场景。 自定义加密协议：WAF只允许所选TLS协议访问网站。 加密套件 配置说明： 全部加密套件：兼容性较高，安全性较低。 协议版本的自定义加密套件：请谨慎选择，避免影响业务。 WAF支持的加密套件及TLS协议版本详细信息请参见WAF支持的加密套件。 高级设置 > SSL解析方式 选择HTTPS后，支持配置SSL解析方式。支持“单向认证”和“双向认证”。 说明 国密证书暂不支持双向认证。 健康检查 开启健康检查将自动移除对失效源站的转发策略，当失效源站恢复健康后将重新加入转发列表。 开启后，还需配置健康检查策略。 说明 当针对源站健康检查失败时，WAF会主动将失效的源站剔除回源列表，并将请求按照剩余站点权重比例/轮询转发至剩余健康站点，直至该源站恢复健康。 若回源列表中所有源站健康检查均失败了，为保障业务默认通路WAF将会强制回源至回源列表中顺序为第一个的站点。 源站响应超时切换时间公式：（检查间隔 + 响应超时时间） × 请求失败失效阈值。 源站恢复切换时间公式：（检查间隔 + 响应超时时间） × 失效后恢复健康阈值。 IPv6 WAF默认只处理IPv4请求流量。如果需要支持IPv6请求，请开启该功能。 ：开启IPv6功能，支持将IPv6请求流量接入WAF进行防护。 注意 功能开启并完成域名接入后无法修改，如需关闭IPv6请求防护，需要重新接入域名。 ：不开启IPv6功能，仅防护IPv4请求流量。 代理情况 选择网站业务在接入WAF前是否开启了其他代理服务（例如DDoS高防、CDN等），按实际情况选择： 否：表示WAF收到的业务请求来自发起请求的客户端。WAF直接获取与WAF建立连接的IP作为客户端IP。 是：表示WAF收到的业务请求来自其他代理服务转发，而非直接来自发起请求的客户端。 为了保证WAF可以获取真实的客户端IP进行安全分析，需要进一步设置源IP获取方式。 源IP获取方式：系统默认设置为“从Socket连接中获取”，您也可按实际情况，创建一个有序的判定列表，系统将从列表的第一项开始查找，若不存在或者是非法的IP格式，则尝试下一条。 其中检测末项固定为“从Socket连接中获取”。获取方式列表最多可添加5条规则，可选项如下： 从Socket连接中获取 从XFowardedFor连接中获取倒数第x层代理 从HTTP头“XClientIP”中获取 负载均衡策略 当设置了多个源站服务器地址时，需设置多源站服务器间的负载均衡算法。可选项如下： 轮询：将所有请求轮流分配给不同的源站服务器。 IP Hash：将来自同一个IP的请求定向分配给同一个源站服务器。 加权轮询：根据同一组回源地址内配置的权重进行加权回源，权重越大，回源到该源站的几率越高。 设置生效后，WAF将根据设置的负载均衡算法向多个源站地址分发回源请求，实现负载均衡。 流量标记 开启流量标记功能，WAF在转发客户端请求到源站服务器时，通过在回源请求头部添加标记字段，标记该请求经过WAF转发，可以帮助源站判断请求来源。 如果请求中存在指定标记字段，则为WAF检测后的正常请求，放行该请求；如果请求中不存在指定标记字段，则为攻击者请求，拦截该请求。 单击“添加一个标记”，添加流量标记。最多支持添加5个标记字段。 支持如下标记类型： 自定义请求Header，配置自定义Header名、Header值。 自定义响应Header，配置自定义Header名、Header值。 客户端真实IP，配置客户端真实IP所在的HTTP Header名。 客户端真实源端口，配置客户端真实源端口所在的HTTP Header名。 注意 请勿填写标准的HTTP头部字段，否则会导致标准头部字段内容被自定义的字段值覆盖。 回源长连接 功能开启后，支持回源长连接功能。 开启“回源长连接”后，还需配置“空闲连接超时时间”，默认值为10秒，最多支持60秒。 说明 标准版最多支持1000个回源长连接，企业版、旗舰版最多支持6000个回源长连接。 功能关闭后，将不支持WebSocket。 超时配置 开启超时配置，可以配置如下超时时间： 连接超时时间：WAF转发客户端请求时，与源站建立连接的超时时间。 读连接超时时间：WAF等待源站响应的超时时间。 写连接超时时间：WAF向源站发送请求的超时时间。 以上默认值均为60秒，最短支持10秒，最长支持1200秒。 6. 本地验证。 根据页面提示，在本地电脑上搭建简易的模拟环境，验证网站流量转发设置已经生效，避免转发设置未生效时修改域名的DNS解析设置，导致业务访问异常。更多信息，请参见本地验证。 7. 修改DNS解析。 根据页面提示修改域名的DNS解析，将网站域名解析到WAF进行防护，完成后单击“下一步”。更多信息，请参见修改域名DNS。 8. 添加完成。 根据页面提示设置放行WAF回源IP段，完成后单击“完成，返回防护对象列表”，返回域名接入页面。更多信息，请参见放行WAF回源IP段。 9. 域名添加完成后，该域名WAF防护开关默认开启。

本页介绍天翼云TeleDB数据库数据传输服务模块的安装部署操作。 前提条件 本服务部署需要的全部组件按安装顺序排列如下： MySQL Zookeeper Docker 部署规划 本产品采用一键安装包的部署方式，安装包包含了后端运行所需的java应用。安装前需要检查、配置好安装所需的环境。安装后配置前端即可访问。 操作步骤 1. 查看操作系统版本 cat /etc/osrelease; 2. 查看系统架构 uname a; 3. 创建目录并挂载磁盘 sudo mkdir p /dts; 创建目录 sudo fdisk l 查看磁盘，选一块未挂载的/dev/xxx sudo mkdir /dts 创建挂载目录 sudo mkfs.xfs f /dev/sde 创建文件系统，例如选了sde这块盘 /dev/sde /dts xfs defaults 0 0 打开 /etc/fstab 文件末尾添加这一行 sudo mount a 挂载 df h 查看挂载结果 4. 创建用户 1. 执行以下命令，创建用户 sudo useradd dts; 2. 执行以下命令，为用户设置密码 sudo passwd dts; 3. 执行以下命令，修改目录权限 sudo chown R dts:dts /dts; 4. 执行以下命令，为用户添加sudoers权限，并设置免密登录 sudo vi /etc/sudoers; 打开该文件，添加以下行： dts ALL(ALL) NOPASSWD: ALL 保存退出。 5. 为用户开放更多系统资源，打开/etc/security/limits.conf sudo vi /etc/security/limits.conf 在文件末尾添加如下行： dts soft nofile 65535 dts hard nofile 65535 dts soft nproc 65535 dts hard nproc 65535 dts soft stack unlimited dts hard stack unlimited dts soft as unlimited dts hard as unlimited 保存并退出。 6. 执行以下命令，将dts用户加入root用户组 sudo usermod a G root dts; 5. 解压安装包 1. 将部署包拷贝到/dts目录下 sudo cp ctgpaasdts2.8.5P9.tar.gz /dts; 2. 修改压缩包权限 sudo chown dts:dts /dts/ctgpaasdts2.8.5P9.tar.gz; 3. 切换用户 sudo su dts; 4. 进入主目录 cd /dts; 5. 解压并进入解压后的目录内 tar zxvf ctgpaasdts2.8.5P9.tar.gz && cd ctgpaasdts2.8.5P9; 6. 查看主目录结构 ls l; 7. 查看依赖包目录 ls l ./pkg 6. 安装jdk 说明 dts基于java 11运行，因此要先安装jdk。 1. 进入pkg目录 cd ./pkg; 2. 如果是arm架构（鲲鹏机器），则执行如下命令解压 tar zxvf microsoftjdk11.0.12.7.1linuxaarch64.tar.gz 3. 如果x86架构（海光机器），则执行如下命令解压 tar zxvf openjdk11.0.18+10.tar.gz 4. 重命名解压后的目录 mv jdk11.0.12+7 jdk11 5. 配置java环境变量 vi ~/.bashrc 在文件末尾添加以下几行，保存并退出 export JAVAHOME/dts/jdk11 export CLASSPATH.:$JAVAHOME/lib/dt.jar:$JAVAHOME/lib/tools.jar export PATH$JAVAHOME/bin:$PATH 让环境变量生效： source ~/.bashrc; 查看java版本： java version; 7. 安装telnet dts的一键部署包，会用telnet命令检查程序是否安装成功，因此需要这个包。 先查看telnet是否有安装： rpm qa grep telnet; 如果有输出，则不用再安装，否则执行以下安装命令，（以x86架构为例） sudo rpm ivh xinetd2.3.1514.el7.x8664.rpm; sudo rpm ivh telnet0.1765.el78.x8664.rpm; sudo rpm ivh telnetserver0.1765.el78.x8664.rpm; 8. 安装openssl10 sudo rpm ivh compatopenssl101.0.2o3.el8.x8664.rpm; 9. 后端部署 10. 部署包目录架构 下面为执行tree命令输出： ctgpaasdts2.8.5P9arrch64 ├── api │ └── V280001BASEINIT.sql ├── arm64 │ └── install ├── config │ ├── application.yml │ ├── mysqlport.cnf │ ├── otter.properties │ └── start.sh ├── install ├── install.cfg ├── pkg │ ├── compatopenssl101.0.2o3.el8.aarch64.rpm │ ├── docker24.0.5.arrch64.tgz │ ├── manager.web.deploy2.8.5P9.tar.gz │ ├── microsoftjdk11.0.12.7.1linuxaarch64.tar.gz │ ├── mysql5.7.492023.q3.2.aarch64.tar.gz │ ├── ora2pgty4.tar.gz │ ├── telnet0.1776.el8.aarch64.rpm │ ├── telnetserver0.1776.el8.aarch64.rpm │ ├── xinetd2.3.1524.el8.aarch64.rpm │ └── zookeeper3.4.13.tar.gz ├── start ├── stop ├── tools │ ├── aarch64 │ │ ├── go │ │ ├── jdk │ │ │ ├── copyjdkconfigs3.73.ky10.noarch.rpm │ │ │ ├── giflib5.2.11.ky10.aarch64.rpm │ │ │ ├── java11openjdk11.0.6.104.ky10.ky10.aarch64.rpm │ │ │ ├── java11openjdkdevel11.0.6.104.ky10.ky10.aarch64.rpm │ │ │ ├── java11openjdkheadless11.0.6.104.ky10.ky10.aarch64.rpm │ │ │ ├── javapackagesfilesystem5.3.02.ky10.noarch.rpm │ │ │ ├── lksctptools1.0.1611.ky10.aarch64.rpm │ │ │ ├── luaposix33.3.112.ky10.aarch64.rpm │ │ │ ├── tzdatajava2020a1.p01.ky10.noarch.rpm │ │ │ ├── xorgx11fontsothers7.524.ky10.noarch.rpm │ │ │ └── xorgx11fontutils7.542.ky10.aarch64.rpm │ │ ├── mysql │ │ └── net │ │ └── telnet0.1776.ky10.aarch64.rpm │ ├── ELF │ │ └── mysql │ └── secureHandler └── uninstall 11. 填写配置文件 配置文件install.cfg模板如下 { "version": "DTS版本号", "deployPath": "DTS统一部署路径, 需确保目录已经存在且具备正常的读写权限", "db": { "mode": "common", "machine": [ { "username": "DTS管理库所在机器对应登录账号", "password": "DTS管理库所在机器对应登录账号, 明文", "ip": "DTS管理库所在机器对应IP", "port": "DTS管理库所在机器ssh端口" } ], "deploy": "是否部署新的管理库，int类型.如果复用已有库填0, 否则填1. 当取值0时, 上述username, password, port可不填", "auth": { "dbPort": "DTS管理库服务端口, int类型", "superPassword": "DTS管理库root账号对应初始密码, 明文. 如上述deploy取值0, 则可不填", "dbUser": "DTS管理库初始账号, 如上述deploy取值0, 则必须确保该账号已经存在", "dbPassword": "DTS管理库初始账号对应密码, 明文", "dbName": "DTS管理库初始schema" } }, "manager": { "mode": "common", "machine": [ { "username": "DTS控制台所在机器对应登录账号", "password": "DTS控制台所在机器对应登录账号, 明文", "ip": "DTS控制台所在机器对应IP", "port": "DTS控制台所在机器ssh端口" } ], "deploy": 1, "httpPort": "DTS控制台http服务端口, int类型", "httpsPort": "DTS控制台https服务端口, int类型", "conPort": "DTS控制台rpc服务端口, int类型", "specification": "DTS控制台规格信息, 可取值范围micro,min,standard,medium,large.注意:不同的规格在部署时需分配不同的内存,可提供不同的性能参数,具体规格说明见下面附录.一般情况下建议取值min", "prodInstId": "", "allowWebDomain": "" }, "zookeeper": { "mode": "common", "machine": [ { "username": "DTS调度节点(zookeeper)1所在机器对应登录账号", "password": "DTS调度节点(zookeeper)1所在机器对应登录账号, 明文", "ip": "DTS调度节点(zookeeper)1所在机器对应IP", "port": "DTS调度节点(zookeeper)1所在机器ssh端口" }, { "username": "DTS调度节点(zookeeper)2所在机器对应登录账号", "password": "DTS调度节点(zookeeper)2所在机器对应登录账号, 明文", "ip": "DTS调度节点(zookeeper)2所在机器对应IP", "port": "DTS调度节点(zookeeper)2所在机器ssh端口" }, { "username": "DTS调度节点(zookeeper)3所在机器对应登录账号", "password": "DTS调度节点(zookeeper)3所在机器对应登录账号, 明文", "ip": "DTS调度节点(zookeeper)3所在机器对应IP", "port": "DTS调度节点(zookeeper)3所在机器ssh端口" } ], "deploy": "是否部署新的zookeeper，int类型. 如复用已有zookeeper则填0, 否则填1. 当取值0时, 上述username, password, port可不填", "zkPort": "zookeeper对应服务端口,int类型", "zkElection": "zookeeper对应选举端口,int类型", "zkCommunication": "zookeeper对应通信端口,int类型" }, "scene": "standalone" } 先备份一下： cp install.cfg install.cfg.sample; 填写配置文件。 arm架构额外操作：如果是arm架构，则将arm64目录下的install文件拷贝到当前目录(x86不做此步骤) cp ./arm64/install ./ 12. 执行一键部署脚本 ./install 如果部署失败，则执行 chmod +x uninstall; ./uninstall; 解决问题后，重新执行一键部署。 13. 对接dcp 修改application.yml配置，注意需要修改的配置项如下，其他不用管 配置项 描述 填写示例 server.servlet.contextpath 后端服务路径，和dcp约定，必须填写为/dts /dts spring.applicaton.name 在dcp中的组件标识，必须填写为dts dts spring.cloud.inetutils.preferrednetworks 让dcp进行服务发现后的ip地址，如果dts所属服务器是多ip，要注意哪个ip是和dcp通的，这里就填写那个ip地址 182.42.233.200 spring.cloud.zookeeper.enabled 表示会去连zk，必须填写true true spring.cloud.zookeeper.connectstring dcp给出的zk的连接地址 182.42.233.200:2181 spring.cloud.zookeeper.discovery.root dcp给出的组件的注册路径 /services/gctest spring.cloud.zookeeper.maxretries 连接zk的重试次数，不配置默认为10 建议填写300 spring.cloud.zookeeper.maxsleepms 每次重试的等待时间，默认为500 建议填写1000 iam.server.responseApiUrl dcp给出的回单地址 示例如下： server: servlet: contextpath: /dts https: ssl: enabled: false port: 17971 keystoretype: PKCS12 keystore: keystore/dtsserver.p12 keystorepassword: keyalias: dtsserver enabledprotocols: TLSv1,TLSv1.1,TLSv1.2 ciphers: TLSECDHERSAWITHAES128CBCSHA256,TLSECDHERSAWITHAES128CBCSHA,TLSECDHERSAWITHAES256CBCSHA384,TLSECDHERSAWITHAES256CBCSHA,TLSECDHERSAWITHRC4128SHA,TLSRSAWITHAES128CBCSHA256,TLSRSAWITHAES128CBCSHA,TLSRSAWITHAES256CBCSHA256,TLSRSAWITHAES256CBCSHA,SSLRSAWITHRC4128SHA mybatis: typealiasespackage: com.chinatelecom.dts.shared.common.model mapperlocations: classpath:dao/.xml configuration: mapunderscoretocamelcase: true spring: application: name: dts cloud: inetutils: preferrednetworks: 182.42.233.200 loadbalancer: ribbon: enabled: false compatibilityverifier: enabled: false zookeeper: enabled: true connectstring: 182.42.233.200:2181 maxretries: 300 maxsleepms: 1000 discovery: preferipaddress: true root: /services/gctest iam.server.url: iam.server.syncApi: /openapi/v1/users/ctyun/sync iam.server.tenants: /openapi/v1/tenants iam.server.versionAgentUrl: /openapi/v1/versions/projectVersion iam.server.logUrl: iam.server.responseApiUrl: api: server: disable: true cluster: xxx:8901 key: TestApiServer digest: 45783632523044543459453955776E704767676F47773D3D 修改otter.properties配置中，otter.run.modeprivatedcp，表示私有云dcp运行环境，示例如下 otter.manager.monitor.email.host smtp.chinatelecom.cn otter.manager.monitor.email.password otter.manager.monitor.email.receiver rc@wq.com otter.manager.monitor.email.security tls otter.manager.monitor.email.stmp.port 465 otter.manager.monitor.email.switch off otter.manager.monitor.email.username otter.run.mode privatedcp otter.zookeeper.aclEnable true otter.zookeeper.authConfig dts:6f562b63312b6b5a6c4f38304c75436d4576693679413d3d otter.zookeeper.cluster.default 182.42.233.200:17973 otter.zookeeper.sessionTimeout 90000 停止manager服务 ./stop.sh 启动manager服务 ./start.sh 14. 前端部署 dcp会给一个前端部署目录，只要把前端文件拷贝到该目录下即可。例如dcp给出的目录为/dcp/teledbdcpfordms/teledbdts，那么 cd /dcp/teledbdcpfordms/teledbdts; 拷贝前端压缩包到console目录 cp teledbdts.zip /dcp/teledbdcpfordms/teledbdts; 解压teledbdts.zip，解压后的文件目录名为teledbdts unzip teledbdtszip; 重命名teledbdts mv teledbdts console; 15. 导入ADAM镜像 前提是部署好docker服务，然后导入ADAM镜像，注意要在DTS工作节点运行的那台机器上导入 docker load input ora2pgty4.tar latest 16. 添加开机启动 1. 给与可执行权限 sudo chmod +x autorestart.sh; 2. 打开/etc/cron.allow文件，在末尾添加上dts，允许dts用户执行crontab命令，保存退出 sudo vi /etc/cron.allow; 3. 编辑crontab crontab e; 4. 在末尾添加上自启命令，保存退出 @reboot /dts/dtsinstall/2.8.5/autorestart.sh /dts/dtsinstall/2.8.5/manager > /dts/dtsinstall/2.8.5/restart.log 2>&1

本页介绍天翼云TeleDB数据库中强制访问控制。 强制访问是基于自定义的安全策略最终通过标签实现对用户和表的行级安全加密。安全策略(Policy)是等级(Level)和隔离区(Compartment)，组(Group)和标签(Label)的集合，最终通过绑定标签实现行级安全。其实现原理是将表和用户绑定到标签上，再由标签关联等级(必选)，隔离区(可选)和安全组(可选)，形成了一个多级的行级安全加密体系。 安全策略(Policy)：是指创建等级(Level)，隔离区(Compartment)，组(Group)和标签(Label)必须指定所属的安全策略。 等级(Level)：提供第二等级的安全控制，标签必须指定等级。 隔离区(Compartment)：提供第二等级的安全控制，可选。 组(Group)：提供第三等级的安全控制，一种树状的结构，可选。 标签(Label)：最终通过标签绑定体现行级安全。仅当用户被赋予的标签比此行标签有相同或更高等时，该行才可以被用户存取。 注意 分号(:)和逗号(,)保留用于多级安全体系的表达，安全策略中组件的名字不要使用。 在Teledb中，创建安全策略需要通过teledbxmls插件，需要创建插件 SQL CREATE EXTENSION teledbxmls; 安全策略 通过MLSCLSCREATEPOLICY()函数创建安全策略 SQL SELECT MLSCLSCREATEPOLICY(policyname, policyid) 参数描述： policyname(策略名称): 要创建的策略的名称，大小写敏感，不可以空。 policyid(策略ID): 用于标识策略的唯一ID，取值范围[1, 100]。 安全等级(Level) 通过函数MLSCLSCREATELEVEL()函数创建安全等级。 SQL SELECT MLSCLSCREATELEVEL(policyname, levelid, shortname, longname) 参数描述： policyname（策略名称）: 指定要添加安全级别的策略名称，不可以为空。 levelid（级别ID）: 用于标识安全级别的唯一ID，取值范围[0, 32767]。 shortname（名称）: 安全级别的名称，大小写敏感，不可为空，不可以含空格和tabj键。 shortname（名称）: 安全级别的名称，大小写敏感，不可为空，不可以含空格和tabj键。 longname（完整名称）: 安全级别的描述。 通过MLSCLSALTERLEVELDESCRIPTION()函数修改等级的标签描述。 SQL SELECT MLSCLSALTERLEVELDESCRIPTION(policyname, levelid, longname) 安全隔离区(Compartment) 通过MLSCLSCREATECOMPARTMENT()函数创建安全隔离区(Compartment)。 SQL SELECT MLSCLSCREATECOMPARTMENT(policyname, compartmentid, shortname, longname) 参数 描述 ： policyname（策略名称）: 指定要添加安全隔离区的策略名称。 compartmentid（隔离区ID）: 用于标识安全隔离区的唯一ID，取值范围[0, 32767]。 shortname（简称）: 安全隔离区的简称。 longname（完整名称）: 安全隔离区的完整名称。 安全组(Group) 通过MLSCLSCREATEGROUPROOT()函数创建新的安全组根节点（Group Root） SQL SELECT MLSCLSCREATEGROUPROOT(policyname, rootid, shortname, longname) 参数描述： policyname（策略名称）: 指定要创建安全组根节点的策略名称。 rootid（根节点ID）: 用于标识安全组根节点的唯一ID。 shortname（简称）: 安全组根节点的简称。 longname（完整名称）: 安全组根节点的完整名称。 通过MLSCLSCREATEGROUPNODE()函数在数据库中创建新的安全组子节点（Group Node）并将其设置为指定父节点的子节点。 SQL SELECT MLSCLSCREATEGROUPNODE(policyname, childid, shortname, longname, parentshortz) 参数描述： policyname（策略名称）: 指定要创建安全组子节点的策略名称。 childid（子节点ID）: 用于标识安全组子节点的唯一ID。 shortname（简称）: 安全组子节点的简称。 longname（完整名称）: 安全组子节点的完整名称。 parentshortname（父节点简称）: 安全组子节点所属的父节点的简称。 标签(LABEL) 通过MLSCLSCREATELABEL()函数创建或替换MLS 策略的标签（label），并将其存储到数据库中。 SQL SELECT MLSCLSCREATELABEL(policyname, labelid, labelstr) 参数描述： policyname（策略名称）: 指定要添加标签的策略名称。 labelid（标签ID）: 用于标识标签的唯一ID，取值范围[0, 32767]。 labelstr（标签名）: 标签，不可为空，长度不超过256。由 ，其compartmentids和groupids由1到N个ID构成，ID间用,分割。有效的表达形式如下： levelid:compartmentid1,compartmentid2,...compartmentidN:groupid1,groupid2,...groupidN levelid:compartmentid:groupid levelid:compartmentid: levelid::groupid levelid:: 表标签绑定 通过MLSCLSCREATETABLELABEL()函数将指定标签绑定到指定的表(Table)，并将相关数据存储到pgclstable系统表。 SQL SELECT MLSCLSCREATETABLELABEL(policyname labelid, schemaname, tablename) 参数描述： policyname（策略名称）: 指定要应用的策略名称。 labelid（标签ID）: 要应用于表的标签ID，取值范围[0, 32767]。 schemaname（模式名称）: 表所在的模式名。 tablename（表格名称）: 要应用标签的表名。 通过MLSCLSDROPTABLELABEL()函数删除绑定到表上的标签并更新pgclstable系统表数据。 SQL MLSCLSDROPTABLELABEL(policyname, schemaname, tablename) 用户标签绑定/删除 通过MLSCLSCREATEUSERLABEL()函数为指定的用户创建一个带有默认标签的用户账户，并将其存储到 pgclsuser 表中。 SQL SELECT MLSCLSCREATEUSERLABEL(policyname, username name, defreadlabel, defwritelabel, defrowlabel) 参数描述： policyname（策略名称）: 指定要应用的策略名称。 username（用户名）: 要创建标签的用户账户名称。 defreadlabel（默认读标签）: 为用户定义的默认读标签ID。 defwritelabel（默认写标签）: 为用户定义的默认写标签ID。 defrowlabel（默认行标签）: 为用户定义的默认行标签ID。 通过MLSCLSDROPUSERLABEL()函数为指定用户删除标签，并将pgclsuser 表中指定用户的标签删除，且断开指定用户当前所有的数据库连接。 SQL SELECT MLSCLSDROPUSERLABEL(username) 参数描述： username（用户名）: 要删除指定用户标签的用户账户名称。 示例： 初始化环境 SQL c mlsadmin 创建安全策略 select MLSCLSCREATEPOLICY('rlspolicy', 66); 创建安全等级 select MLSCLSCREATELEVEL('rlspolicy', 10, 'defaultlevel', 'default Level'); select MLSCLSCREATELEVEL('rlspolicy', 10, 'userlevel', 'user Level'); select MLSCLSCREATELEVEL('rlspolicy', 9, 'badlevel', 'bad Level'); select MLSCLSCREATELEVEL('rlspolicy', 100, 'goodlevel', 'good Level'); 创建隔离区 select MLSCLSCREATECOMPARTMENT('rlspolicy', 30, 'rlscom0', 'RLS compartment 0'); select MLSCLSCREATECOMPARTMENT('rlspolicy', 31, 'rlscom1', 'RLS compartment 1'); select MLSCLSCREATECOMPARTMENT('rlspolicy', 32, 'rlscom2', 'RLS compartment 2'); 创建安全组 select MLSCLSCREATEGROUPROOT('rlspolicy', 50, 'root', 'group root'); select MLSCLSCREATEGROUPNODE('rlspolicy', 51, 'child1', 'child of root node 1', 'root'); select MLSCLSCREATEGROUPNODE('rlspolicy', 52, 'child2', 'child of root node 2', 'root'); select MLSCLSCREATEGROUPNODE('rlspolicy', 511, 'child11', 'child of child1 node 1', 'child1'); select MLSCLSCREATEGROUPNODE('rlspolicy', 512, 'child12', 'child of child1 node 2', 'child1'); 创建安全标签，此时和安全等级，隔离区以及安全组进行绑定 select MLSCLSCREATELABEL('rlspolicy', 1024, 'defaultlevel:rlscom0:child12'); 将标签绑定到表 alter table public.tbl1 add column cls clsitem default '99:1024'; select MLSCLSCREATETABLELABEL('rlspolicy', 1024, 'public', 'tbl1'); 安全等级 SQL select MLSCLSCREATELABEL('rlspolicy', 1025, 'userlevel::'); select MLSCLSCREATELABEL('rlspolicy', 1026, 'badlevel::'); select MLSCLSCREATELABEL('rlspolicy', 1027, 'goodlevel::'); 将标签绑定到用户 select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike1', 1024, 1024, 1024); select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike2', 1025, 1025, 1025); select MLSCLSCREATEUSERLABEL('rlspolicy', 'badgodlike1', 1026, 1026, 1026); select MLSCLSCREATEUSERLABEL('rlspolicy', 'goodgodlike1', 1027, 1027, 1027); SQL c godlike1 insert into public.tbl1 select generateseries(1,3), generateseries(1,3); select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:1024 2 2 66:1024 3 3 66:1024 (3 rows) SQL c godlike2 insert into public.tbl1 select generateseries(4,6), generateseries(4,6); 当前用户不在隔离区，无法看到godlike1用户创建的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 4 4 66:1025 5 5 66:1025 6 6 66:1025 (3 rows） SQL c badgodlike1 低优先级的用户无法看到高优先级的用户插入的数据 select from public.tbl1 order by col1; col1 col2 cls ++ (0 rows) SQL insert into public.tbl1 select generateseries(7,9), generateseries(7,9); 低优先级用户可以看到自己创建的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 7 7 66:1026 8 8 66:1026 9 9 66:1026 (3 rows) SQL c goodgodlike1 高优先级用户可以看到低优先级用户创建的数据 同时无法看到隔离区的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 4 4 66:1025 5 5 66:1025 6 6 66:1025 7 7 66:1026 8 8 66:1026 9 9 66:1026 (6 rows) SQL insert into public.tbl1 select generateseries(10,12), generateseries(10,12); select from public.tbl1 order by col1; col1 col2 cls ++ 4 4 66:1025 5 5 66:1025 6 6 66:1025 7 7 66:1026 8 8 66:1026 9 9 66:1026 10 10 66:1027 11 11 66:1027 12 12 66:1027 (9 rows) SQL c godlike1 高优先级用户可以看到比自己低优先级用户创建的数据 无法看到比自己优先级高的用户创建的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:1024 2 2 66:1024 3 3 66:1024 4 4 66:1025 5 5 66:1025 6 6 66:1025 7 7 66:1026 8 8 66:1026 9 9 66:1026 (9 rows) SQL c commonuser0 select from public.tbl1 order by col1; col1 col2 cls ++ (0 rows) 安全隔离区 SQL c mlsadmin select MLSCLSDROPUSERLABEL('godlike1'); select MLSCLSDROPUSERLABEL('godlike2'); select MLSCLSDROPUSERLABEL('badgodlike1'); select MLSCLSDROPUSERLABEL('goodgodlike1'); 创建安全标签，并绑定隔隔离区 select MLSCLSCREATELABEL('rlspolicy', 2048, 'defaultlevel:rlscom0:'); select MLSCLSCREATELABEL('rlspolicy', 2049, 'defaultlevel:rlscom0,rlscom1,rlscom2:'); select MLSCLSCREATELABEL('rlspolicy', 2050, 'defaultlevel:rlscom1,rlscom2:'); select MLSCLSCREATELABEL('rlspolicy', 2051, 'defaultlevel:rlscom0,rlscom2:'); 将标签绑定到用户 select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike1', 2048, 2048, 2048); select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike2', 2049, 2049, 2049); select MLSCLSCREATEUSERLABEL('rlspolicy', 'badgodlike1', 2050, 2050, 2050); select MLSCLSCREATEUSERLABEL('rlspolicy', 'goodgodlike1', 2051, 2051, 2051); SQL c godlike1 insert into public.tbl1 select generateseries(1,3), generateseries(1,3); select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 (3 rows) SQL c godlike2 insert into public.tbl1 select generateseries(4,6), generateseries(4,6); 当前用户所在隔离区含godlike1用户隔离区，可以看到godlike1的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 4 4 66:2049 5 5 66:2049 6 6 66:2049 (6 rows) SQL c badgodlike1 insert into public.tbl1 select generateseries(7,9), generateseries(7,9); 当前用户所在隔离区无法包含前面用户的隔离区，无法看到他们插入的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 7 7 66:2050 8 8 66:2050 9 9 66:2050 (3 rows) SQL c goodgodlike1 insert into public.tbl1 select generateseries(10,12), generateseries(10,12); 相同等级，godlike1的隔离区是当前的子集，当前用户可以看到godlike1插入的数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 10 10 66:2051 11 11 66:2051 12 12 66:2051 (6 rows) SQL c godlike2 当前用户含rlscom0,rlscom1,rlscom2三个隔离区可以看到之前插入的所有数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:2048 2 2 66:2048 3 3 66:2048 4 4 66:2049 5 5 66:2049 6 6 66:2049 7 7 66:2050 8 8 66:2050 9 9 66:2050 10 10 66:2051 11 11 66:2051 12 12 66:2051 (12 rows) 安全组 SQL c mlsadmin select MLSCLSDROPUSERLABEL('godlike1'); select MLSCLSDROPUSERLABEL('godlike2'); select MLSCLSDROPUSERLABEL('badgodlike1'); select MLSCLSDROPUSERLABEL('goodgodlike1'); 创建安全标签，并绑定用户组 select MLSCLSCREATELABEL('rlspolicy', 4096, 'defaultlevel:rlscom0:root'); select MLSCLSCREATELABEL('rlspolicy', 4097, 'defaultlevel:rlscom0:child1'); select MLSCLSCREATELABEL('rlspolicy', 4098, 'defaultlevel:rlscom0:child11,child12'); 将标签绑定到用户 select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike1', 4096, 4096, 4096); select MLSCLSCREATEUSERLABEL('rlspolicy', 'godlike2', 4097, 4097, 4097); select MLSCLSCREATEUSERLABEL('rlspolicy', 'badgodlike1', 4098, 4098, 4098); SQL c badgodlike1 insert into public.tbl1 select generateseries(1,3), generateseries(1,3); select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 (3 rows) SQL c godlike2 insert into public.tbl1 select generateseries(4,6), generateseries(4,6); 安全组根节点可以看到子节点数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 4 4 66:4097 5 5 66:4097 6 6 66:4097 (6 rows) SQL c godlike1 insert into public.tbl1 select generateseries(7,9), generateseries(7,9); 安全组根节点可以看到所有子节点数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 4 4 66:4097 5 5 66:4097 6 6 66:4097 7 7 66:4096 8 8 66:4096 9 9 66:4096 (9 rows) SQL c badgodlike1 子节点 无法看到根节点数据 select from public.tbl1 order by col1; col1 col2 cls ++ 1 1 66:4098 2 2 66:4098 3 3 66:4098 (3 rows)

参数 参数 描述 n LUNNAME 或 name LUNNAME 设置卷名称。 取值：字符串形式，长度范围是1~16，只能由字母、数字和短横线（）组成，字母区分大小写，且仅支持以字母或数字开头。 p CAPACITY 或 capacity CAPACITY 设置卷容量。 取值：整数形式，数字后面可以输入单位简写G/g、T/t或P/p，分别代表GiB、TiB、PiB，如果不输入，默认为GiB。 如果单位是GiB，取值为[1, 1048576]。 如果单位是TiB，取值为[1, 1024]。 如果单位是PiB，取值为1。 t TARGETNAME 或 target TARGETNAME 指定iSCSI Target名称。 取值：字符串形式，长度范围1~16，只能由小写字母、数字、句点(.)和短横线()组成，且仅支持以字母或数字开头。 说明 创建卷时，如果指定的iSCSI Target名称不存在，那么同时创建iSCSI Target，新创建iSCSI Target的回收策略默认为Delete。 priority SERVERID & 指定卷主备分布优先级的服务器ID（仅集群版支持），系统会根据指定的服务器ID顺序来选择卷的主备IQN。可以指定一个或者多个服务器ID，以英文逗号分开。 前置条件：iSCSI Target名称已经存在，且指定的服务器必须是iSCSI Target所在的服务器。 autofailback AUTOFAILBACK 是否根据指定的卷主备分布优先级自动进行主备切换（仅集群版支持），即针对卷主备状态，当高优先级的服务器恢复正常后，是否自动进行主备状态切换。 取值： Enabled：自动进行主备切换。 Disabled：不自动进行主备切换。 默认值为Enabled。 pool POOL 指定存储池（仅集群版支持），表示最终存储池，卷数据最终落在该存储池内。默认使用集群的基础存储池。 cachepool CACHEPOOL 指定缓存存储池（仅集群版支持）。如果指定了缓存存储池，卷数据首先写入缓存存储池，然后再存入存储池。 注意 存储池与缓存存储池不能是同一个存储池。 a HIGHAVAILABILITY 或 ha HIGHAVAILABILITY 选择卷的高可用类型（仅集群版支持）： 取值： ActiveStandby（as）：启用主备，该卷关联对应Target下的所有IQN。 Disabled（off）：不启用主备，该卷关联对应Target下的1个IQN。客户端连接该类型的卷的方法可以参见Windows 客户端–单机版、Linux 客户端 – 单机版。 默认值为ActiveStandby（as）。 c LOCALSTORAGECLASS 或 localstorageclass LOCALSTORAGECLASS 卷冗余模式（仅集群版支持）。 取值： singlecopy：单副本。 2copy：两副本。 3copy：三副本。 EC N+M：纠删码模式。其中N、M为正整数，N≥M，且N+M≤128。表示将数据分割成N个片段，并生成M个校验数据。 默认值为EC 2+1。 说明 以下场景均为集群可用的前提下： 创建EC N+M的卷后： 卷所在存储池可用故障域数量大于等于卷的最小副本数时，可以向卷中写数据。卷所在存储池可用故障域数量小于最小副本数时，不能向卷写数据，且系统会产生告警。 卷所在存储池可用故障域数量大于等于N+M，卷数据正常，不会产生降级。卷所在存储池可用故障域数量处于[N, N+M），卷数据将处于降级状态，建议尽快添加或修复故障域。卷所在存储池可用故障域数量小于N时，已写入的数据发生损毁。 创建副本模式的卷后： 卷所在存储池可用故障域数量大于等于卷的最小副本数时，可以向卷中写数据。卷所在存储池可用故障域数量小于最小副本数时，不能向卷写数据，且系统会产生告警。 卷所在存储池可用故障域数量大于等于副本数，卷数据正常，不会产生降级。对于两副本、三副本卷，卷存储池所在故障域大于等于1，但小于副本数时，卷数据将处于降级状态，建议尽快添加或修复存储池故障域。卷所在存储池无可用故障域时，已写入的数据发生损毁。 minreplica MINREPLICA 最小副本数（仅集群版支持）。 对于副本模式的卷，假设卷副本数为X，最小副本数为Y（Y必须≤X），该卷每次写入时，至少Y份数据写入成功，才视为本次写入成功。对于EC N+M模式的卷，假设该卷最小副本数设置为Y（必须满足N≤Y≤N+M），必须满足总和至少为Y的数据块和校验块写入成功，才视为本次写入成功。 取值：整数。对于副本卷，取值范围是[1, N]，N为副本模式卷的副本数，默认值为1。对于EC卷，取值范围是[N, N+M]，默认值为N。 redundancyoverlap REDUNDANCYOVERLAP 指定卷的折叠副本数（仅集群版支持）。在数据冗余模式下，同一份数据的不同副本/分片默认分布在不同的故障域，当故障域损坏时，允许根据卷的冗余折叠原则，将多份数据副本放在同一个故障域中，但是分布在不同的path上。 注意 如果存储池故障域级别为path，此参数不生效。 取值：整数。对于副本卷，取值范围是[1, N]，N为副本模式卷的副本数，默认值为1；对于EC模式，取值范围是[1, N+M]，默认值为1。 ecfragmentsize ECFRAGEMENTSIZE 纠删码模式分片大小。卷冗余模式为EC模式时，此设置才生效，否则忽略。 取值：1、2、4、8、16、32、64、128、256、512、1024、2048、4096，单位是KiB。默认值为16。 o SECTORSIZE 或 sectorsize SECTORSIZE 设置扇区大小。 取值：512、4096，单位是bytes。默认值为4096。 说明 扇区大小的选取：根据自身业务场景，一般情况下，单次I/O操作的数据大小大于或接近4 KiB，则推荐选择4096；单次I/O操作的数据大小接近512 bytes，则推荐选择512。如果对接VMware等虚拟化平台，则推荐选择512 bytes。 w WRITEPOLICY 或 writepolicy WRITEPOLICY 卷的写策略： WriteBack（wb）：回写，指数据写入到内存后即返回客户端成功，之后再异步写入磁盘。适用于对性能要求较高，稳定性要求不高的场景。 WriteThrough（wt）：透写，指数据同时写入内存和磁盘，并在都写成功后再返回客户端成功。适用于稳定性要求较高，写性能要求不高，且最近写入的数据会较快被读取的场景。 WriteAround（wa）：绕写，指数据直接写到磁盘，不写入内存。适用于稳定性要求较高，性能要求不高，且写多读少的场景。 默认值为WriteBack（wb）。 P PATH 或 path PATH 指定存储卷数据的数据目录（仅单机版支持）。 取值：只能包含字母、数字、汉字和特殊字符(~ ! @ $ ( ) + ; . :)。 如果创建卷时不指定数据目录，使用服务器设置的默认数据目录。 m STORAGEMODE 或 mode STORAGEMODE 设置卷的存储类型： Local：本地模式，数据全部保留在本地。 Cache：缓存模式，本地保留部分热数据，全部数据异步存储到OOS中。 Storage：存储模式，本地保留全部数据，并异步存储到OOS中。 存储类型默认为Local。 cloudprovider CLOUDPROVIDER 对象存储服务名称： OOS：天翼云对象存储经典版I型。 S3：兼容S3的其他对象存储。 默认值为OOS。 B BUCKETNAME 或 bucket BUCKETNAME 已存在的存储桶的名称。 注意 请勿开启Bucket的生命周期设定和合规保留。 A ACCESSKEY 或 ak ACCESSKEY 对象存储服务的AccessKeyID。 S SECRETKEY 或 sk SECRETKEY 对象存储服务的SecretAccessKey。 C CLOUDSTORAGECLASS 或 cloudstorageclass CLOUDSTORAGECLASS 设置数据在对象存储的存储类型： STANDARD：标准存储。 STANDARDIA：低频访问存储。 默认为STANDARD。 E ENDPOINT 或 endpoint ENDPOINT 设置对象存储的Endpoint。 注意 Endpoint必须与所使用的对象存储服务一一对应：若使用OOS对象存储服务，需填写OOS的Endpoint；若使用兼容S3的其他对象存储服务，则需填写它的Endpoint。 如果仅输入域名将会使用HTTPS协议进行访问。 具体OOS Endpoint详见OOS Endpoint和区域。 signversion VERSION 指定上云签名认证的类型： v2：V2签名认证。 v4：V4签名认证。 默认值为v2。 region REGION 表示Endpoint资源池所在区域。具体region详见OOS Endpoint和区域。 V4签名时，此项必填。 M CLOUDCOMPRESSION 或 cloudcompression CLOUDCOMPRESSION 是否压缩数据上传至对象存储： Enabled（on）：压缩数据上传至对象存储。 Disabled（off）：不压缩数据上传至对象存储。 默认值为Enabled（on）。 O OBJECTSIZE 或 objectsize OBJECTSIZE 数据存储在对象存储中的大小。 取值：128、256、512、1024、2048、4096、8192，单位是KiB。默认值为1024。 X PREFIX 或 prefix PREFIX 设置对象存储中的前缀名称，设置前缀名称后，卷数据会存在存储桶以前缀命名的类文件夹中。如果未指定前缀，则直接存储在以卷名称命名的类文件夹中。 取值：字符串形式，长度范围是1~256。 qosname QOSNAME 指定QoS策略名称。 说明 创建卷时，如果指定QoS策略名称不存在，那么同时创建QoS策略，新创建的QoS策略的回收策略默认为Delete。 对于集群版，不指定QoS策略时： 如果卷的缓存存储池和存储池同时存在，卷的QoS策略为缓存存储池设置的“存储池内卷的默认QoS策略”；如果缓存存储池未设置“存储池内卷的默认QoS策略”，则卷无QoS策略。 如果卷只有存储池，卷的QoS策略为存储池设置的“存储池内卷的默认QoS策略”；如果存储池未设置“存储池内卷的默认QoS策略”，则卷无QoS策略。 取值：字符串形式，长度范围1~64，只能由字母、数字和短横线()组成，区分大小写，且仅支持以字母或数字开头。 注意 如果没有指定QOSNAME ，但是设置了IOPS/Bps中的任何一个参数，则根据IOPS/Bps自动创建一个QoS策略，系统为策略名赋值：lunlunnameqostimestamp。 如果指定了QOSNAME 以及IOPS/Bps中的任何一个参数，则QOSNAME不能与已存在的QoS策略重名。 如果指定了QOSNAME ，没有设置IOPS/Bps中的任何一个参数，则QOSNAME需要为已存在的QoS策略名称。 iops IOPS 每秒能够进行读写操作次数的最大值。 取值：整数形式，取值为[1, 999999999]，默认值为1。1表示不限制。 readiops READIOPS 每秒能够进行读操作次数的最大值。 取值：整数形式，取值为[1, 999999999]，默认值为1。1表示不限制。 writeiops WRITEIOPS 每秒能够进行写操作次数的最大值。 取值：整数形式，取值为[1, 999999999]，默认值为1。1表示不限制。 bps BPS 每秒可传输数据量的最大值。 取值：整数形式，数字后面可以输入单位简写B/b、K/k、M/m、G/g、T/t，分别代表B/s、KiB/s、MiB/s、GiB/s、TiB/s。默认单位是B/s，默认值为1，表示不限制。 如果单位是B/s，取值为[1, 4096000000000]。 如果单位是KiB/s，取值为[1, 4000000000]。 如果单位是MiB/s，取值为[1, 3906250]。 如果单位是GiB/s，取值为[1, 3814]。 如果单位是TiB/s，取值为[1, 3]。 readbps READBPS 读带宽上限。 取值：整数形式，数字后面可以输入单位简写B/b、K/k、M/m、G/g、T/t，分别代表B/s、KiB/s、MiB/s、GiB/s、TiB/s。默认单位是B/s，默认值为1，表示不限制。 如果单位是B/s，取值为[1, 4096000000000]。 如果单位是KiB/s，取值为[1, 4000000000]。 如果单位是MiB/s，取值为[1, 3906250]。 如果单位是GiB/s，取值为[1, 3814]。 如果单位是TiB/s，取值为[1, 3]。 writebps WRITEBPS 写带宽上限。 取值：整数形式，数字后面可以输入单位简写B/b、K/k、M/m、G/g、T/t，分别代表B/s、KiB/s、MiB/s、GiB/s、TiB/s。默认单位是B/s，默认值为1，表示不限制。 如果单位是B/s，取值为[1, 4096000000000]。 如果单位是KiB/s，取值为[1, 4000000000]。 如果单位是MiB/s，取值为[1, 3906250]。 如果单位是GiB/s，取值为[1, 3814]。 如果单位是TiB/s，取值为[1, 3]。 iopsburst IOPSBURST 使用Burst功能时，每秒能够进行读写操作次数的最大值。 取值：整数形式。只有当iops IOPS 大于等于1时，此项设置为1或(IOPS, 999999999]内的正整数方可生效。默认值为1，表示不限制。 readiopsburst READIOPSBURST 使用Burst功能时，每秒能够进行读操作次数的最大值。 取值：整数形式。只有当readiops READIOPS 大于等于1时，此项设置为1或(READIOPS, 999999999]内的正整数方可生效。默认值为1，表示不限制。 writeiopsburst WRITEIOPSBURST 使用Burst功能时，每秒能够进行写操作次数的最大值。 取值：整数形式。只有当writeiops WRITEIOPS 大于等于1时，此项设置为1或(WRITEIOPS 999999999]内的正整数方可生效。默认值为1，表示不限制。 bpsburst BPSBURST 使用Burst功能时，每秒可传输的数据量最大值。 取值：整数形式，数字后面可以输入单位简写B/b、K/k、M/m、G/g、T/t，分别代表B/s、KiB/s、MiB/s、GiB/s、TiB/s。默认单位是B/s，默认值为1，表示不限制。只有当bps BPS大于等于1时，在单位相同的情况下，此项设置为下列取值范围方可生效： 如果单位是B/s，取值为1或(BPS, 4096000000000]内的正整数。 如果单位是KiB/s，取值为1或(BPS, 4000000000]内的正整数。 如果单位是MiB/s，取值为1或(BPS, 3906250]内的正整数。 如果单位是GiB/s，取值为1或(BPS, 3814]内的正整数。 如果单位是TiB/s，取值为1或(BPS, 3]内的正整数。 readbpsburst READBPSBURST 使用Burst功能时，读带宽上限。 取值：整数形式，数字后面可以输入单位简写B/b、K/k、M/m、G/g、T/t，分别代表B/s、KiB/s、MiB/s、GiB/s、TiB/s。默认单位是B/s，默认值为1，表示不限制。只有当readbps READBPS大于等于1时，在单位相同的情况下，此项设置为下列取值范围方可生效： 如果单位是B/s，取值为1或(READBPS, 4096000000000]内的正整数。 如果单位是KiB/s，取值为1或(READBPS, 4000000000]内的正整数。 如果单位是MiB/s，取值为1或(READBPS, 3906250]内的正整数。 如果单位是GiB/s，取值为1或(READBPS, 3814]内的正整数。 如果单位是TiB/s，取值为1或(READBPS, 3]内的正整数。 writebpsburst WRITEBPSBURST 使用Burst功能时，写带宽上限。 取值：整数形式，数字后面可以输入单位简写B/b、K/k、M/m、G/g、T/t，分别代表B/s、KiB/s、MiB/s、GiB/s、TiB/s。默认单位是B/s，默认值为1，表示不限制。只有当writebps WRITEBPS大于等于1时，在单位相同的情况下，此项设置为下列取值范围方可生效： 如果单位是B/s，取值为1或(WRITEBPS, 4096000000000]内的正整数。 如果单位是KiB/s，取值为1或(WRITEBPS, 4000000000]内的正整数。 如果单位是MiB/s，取值为1或(WRITEBPS, 3906250]内的正整数。 如果单位是GiB/s，取值为1或(WRITEBPS, 3814]内的正整数。 如果单位是TiB/s，取值为1或(WRITEBPS, 3]内的正整数。 iopsburstsecs IOPSBURSTSECS 使用Burst功能时，按照Burst上限的能力进行读写操作所能持续的时间。 注意 只有在IOPS Burst功能启用时，此配置才生效。 取值：整数形式，取值为[1, 999999999]，默认值为1，单位是秒。 readiopsburstsecs READIOPSBURSTSECS 使用Burst功能时，按照Burst上限的能力进行读操作所能持续的时间。 注意 只有在Read IOPS Burst功能启用时，此配置才生效。 取值：整数形式，取值为[1, 999999999]，默认值为1，单位是秒。 writeiopsburstsecs WRITEIOPSBURSTSECS 使用Burst功能时，按照Burst上限的能力进行写操作所能持续的时间。 注意 只有在Write IOPS Burst功能启用时，此配置才生效。 取值：整数形式，取值为[1, 999999999]，默认值为1，单位是秒。 bpsburstsecs BPSBURSTSECS 使用Burst功能时，按照Burst上限的流量能力所能持续的时间。 注意 只有在BPS Burst功能启用时，此配置才生效。 取值：整数形式，取值为[1, 999999999]，默认值为1，单位是秒。 readbpsburstsecs READBPSBURSTSECS 使用Burst功能时，按照Burst上限的读流量能力所能持续的时间。 注意 只有在Read BPS Burst功能启用时，此配置才生效。 取值：整数形式，取值为[1, 999999999]，默认值为1，单位是秒。 writebpsburstsecs WRITEBPSBURSTSECS 使用Burst功能时，按照Burst上限的写流量能力所能持续的时间。 注意 只有在Write BPS Burst功能启用时，此配置才生效。 取值：整数形式，取值为[1, 999999999]，默认值为1，单位是秒。

本节主要介绍OBS服务协议。 自2021年11月11日起，新版对象存储服务协议生效，详情请参见这里。 中国电信天翼对象存储系统服务协议 历史版本（2012年11月10日）

目前微服务云应用平台处于公测阶段，服务协议请参见公测产品服务协议。

天翼云为您提供对象存储服务等级协议,请您点击查看。 自2021年11月11日起，新版对象存储服务等级协议生效，详情请参见这里。 中国电信天翼对象存储系统服务等级协议 历史版本（2012年11月10日）

本节主要介绍OBS服务等级协议。 自2021年11月11日起，新版对象存储服务协议生效，详情请参见这里。 中国电信天翼对象存储系统服务协议 历史版本（2012年11月10日）

对象存储服务协议生效，详情请参见这里。

对象存储服务等级协议生效，详情请参见这里。 中国电信天翼对象存储系统服务等级协议 历史版本（2012年11月10日）。

状态码 错误码 错误信息 描述 400 AuthorizationHeaderMalformed The authorization header is malformed. 签名头格式不正确。 400 AuthorizationHeaderMalformed The authorization header is malformed, missing Credential. 签名头格式不正确，需补充Credential。 400 AuthorizationHeaderMalformed The authorization header is malformed, missing SignedHeaders. 签名头格式不正确，需补充SignedHeaders。 400 AuthorizationHeaderMalformed The authorization header is malformed, missing Signature. 签名头格式不正确，需补充Signature。 400 AuthorizationHeaderMalformed The authorization header is malformed, the Credential is malformed, expecting 'YOURAKID/YYYYMMDD/REGION/SERVICE/aws4request'. 签名头中Credential格式不正确，格式应该为'YOURAKID/YYYYMMDD/REGION/SERVICE/aws4request'。 400 AuthorizationHeaderMalformed The authorization header is malformed, the date format ' date ' is wrong, expecting 'YYYYMMDD'. 签名头中date格式不正确，应该为'YYYYMMDD'。 400 AuthorizationHeaderMalformed The authorization header is malformed, the region'region' is wrong, expecting ' region '. 签名头中区域名不正确。 400 AuthorizationHeaderMalformed The authorization header is malformed, incorrect service ' service '. This endpoint belongs to ' endpoint '. 签名头不正确，服务域名不对。 400 AuthorizationHeaderMalformed The authorization header is malformed, incorrect terminal ' terminal '. This endpoint uses 'aws4request'. 签名头不正确，endpoint应使用服务aws4request。 400 AuthorizationPostFormFieldsError Form Post authentication version 4 requires the policy, xamzalgorithm, xamzcredential, xamzsignature, xamzdate form fields. V4签名中policy、xamzalgorithm、xamzcredential、xamzsignature、xamzdate不能为空。 400 AuthorizationPostFormFieldsError Xamzalgorithm only supports 'AWS4HMACSHA256'. v4签名算法仅支持AWS4HMACSHA256。 400 AuthorizationPostFormFieldsError Xamzdate must be in the ISO8601 Long Format "yyyyMMdd'T'HHmmss'Z'". xamzdate必须是ISO8601时间格式yyyyMMdd'T'HHmmss'Z'。 400 AuthorizationQueryParametersError XAmzAlgorithm only supports 'AWS4HMACSHA256'. V4预签名签名算法仅支持AWS4HMACSHA256。 400 AuthorizationQueryParametersError Querystring authentication version 4 requires the XAmzAlgorithm, XAmzCredential, XAmzSignature, XAmzDate, XAmzSignedHeaders, and XAmzExpires parameters. V4预签名需要下列参数：XAmzAlgorithm, XAmzCredential, XAmzSignature, XAmzDate, XAmzSignedHeaders, and XAmzExpires。 400 AuthorizationQueryParametersError XAmzExpires must be less than a week (in seconds); that is, the given XAmzExpires must be less than 604800 seconds. V4预签名生成时间不能超过7天。 400 AuthorizationQueryParametersError XAmzExpires must be nonnegative. V4预签名过期时间不能为负数。 400 AuthorizationQueryParametersError XAmzDate must be in the ISO8601 Long Format "yyyyMMdd'T'HHmmss'Z'". V4预签名XAmzDate必须是ISO8601时间格式yyyyMMdd'T'HHmmss'Z'。 400 AuthorizationQueryParametersError Invalid credential date"date" . This date is not the same as XAmzDate: "date". V4预签名credential date与XAmzDate的日期需要保持一致。 400 BadDigest The ContentMD5 you specified did not match what we received. ContentMD5不正确。 400 BadRequest Advance cut's position is out of image. 剪切图片时起始坐标超过原图片尺寸。 400 CanNotModifyMetadataLocation Can not modifiy bucket metadata location. 不能修改元数据位置。 400 IdMismatch Document ID does not match the specified configuration ID. 请求头和请求体中清单ID输入不一致。 400 IncompleteBody You did not provide the number of bytes specified by the ContentLength HTTP header. ContentLength配置的长度与实际收到的数据长度不符，请检查后重发。 400 InvalidArgument User key must have a length greater than 0. 表单上传文件时Key项的值不能为空。 400 InvalidArgument The authorization header is invalid. Expected AccessKeyId:signature. v2签名格式不正确，应该为“ AccessKeyId : signature ”。 400 InvalidArgument xamzcontentsha256 must be UNSIGNEDPAYLOAD, STREAMINGAWS4HMACSHA256PAYLOAD, or a valid sha256 value. v4签名xamzcontentsha256必须是UNSIGNEDPAYLOAD, STREAMINGAWS4HMACSHA256PAYLOAD或者有效的sha256值。 400 InvalidArgument Unsupported authorization type. v4签名Authentication标头只支持AWS4HMACSHA256算法。 400 InvalidArgument Bucket POST must contain a field named 'AWSAccessKeyId'. If it is specified, please check the order of the fields. 必须包含字段AWSAccessKeyId。 400 InvalidArgument Bucket POST must contain a field named 'policy'. If it is specified, please check the order of the fields. 必须包含字段policy。 400 InvalidArgument Bucket POST must contain a field named 'signature'. If it is specified, please check the order of the fields. 必须包含字段signature。 400 InvalidArgument POST requires exactly one file upload per request. POST请求每次只能上传一个文件。 400 InvalidArgument Bucket POST must contain a field named 'key'. If it is specified, please check the order of the fields. 表单上传中必须指定key。如果已指定，请检查字段顺序。 400 InvalidArgument If the TargetBucket element does not exist, the TargetPrefix element cannot exist either. 在配置日志规则时，如果TargetBucket元素不存在，则TargetPrefix也不能存在。 400 InvalidArgument The target prefix exceeds 900 bytes. 配置日志记录规则时，TargetPrefix的长度不能超过900字节。 400 InvalidArgument ID length should not exceed allowed limit of 255. 配置生命周期规则时，Rule ID长度不能超过255。 400 InvalidArgument At least one action needs to be specified in a rule. 配置生命周期规则时，必须配置过期时间，Days或Date。 400 InvalidArgument 'Days' for [TransitionExpiration] action must be a positive integer. 配置生命周期规则时，Days必须为正整数。 400 InvalidArgument Only one action can be specified in the rule. 配置生命周期规则时，Days或Date只能存在一个。 400 InvalidArgument 'Date' must be at midnight GMT. 配置生命周期规则时，Date必须为ISO8601格式，并且为UTC的零点。 400 InvalidArgument Invalid target Storage class for Transition action. 指定的存储类型无效。 400 InvalidArgument Default retention period must be a positive integer value. 合规保留日期取值必须是正整数。 400 InvalidArgument Object lock configuration has been enabled and can not be disabled. 合规保留已经开启，不能关闭。 400 InvalidArgument Default retention period cannot be less than previously value. 设置的合规保留时长不能短于上次设置的时长。 400 InvalidArgument MaxUploads should be between 1~1000. maxuploads的取值范围为[1,1000]。 400 InvalidArgument The length of delimiter must be 1. delimiter长度不能超过1。并且只能是‘/’或空。 400 InvalidArgument MaxKeys should be between 1~1000. 参数maxKeys取值范围为[1,1000]。 400 InvalidArgument Maxparts should be between 1~1000. maxparts取值范围为[1,1000]。 400 InvalidArgument Partnumbermarker must be an integer between 0 and 2147483647. partnumbermarker必须是整数，取值范围是(0, 2147483647)。 400 InvalidArgument xamzlimitrate invalid. The input should be positive integer. xamzlimitrate取值必须为正整数。 400 InvalidArgument Invalid request parameter: value. 参数无效。 400 InvalidArgument The object size should be less than 5TiB. 文件大小不能超过5TiB。 400 InvalidArgument The 'Expires' field format invalid. The 'Expires' header format invalid. Expires格式不正确。 400 InvalidArgument The metadata size should be less than 2KiB. 用户自定义元数据不能超过2KiB。 400 InvalidArgument Insufficient information. Origin request header needed. 跨域预检时，请求头不正确。 400 InvalidArgument Please enter an integer not less than 1. CORS配置中MaxAgeSeconds取值为不小于1的整数。 400 InvalidArgument Invalid AccessControlRequestMethod: value . AccessControlRequestMethod无效。 400 InvalidArgument The xamzcopysourcerange value must be of the form bytesfirstlast where first and last are the zerobased offsets of the first and last bytes to copy. xamzcopysourcerange形式必须为bytes first last ，其中第一个和最后一个都是以零为基础开始的偏移量。 400 InvalidArgument Invalid protocol, protocol can be http or https. If not defined the protocol will be selected automatically. 指定的http协议值不正确。 400 InvalidArgument The provided host name contains N characters. The maximum allowed redirect page size is 1024 characters. HostName包含的字符个数大于1024。 400 InvalidArgument The provided home page contains N characters. The maximum allowed home page size is 1024 characters. 首页包含的字符个数大于1024。 400 InvalidArgument The provided error page contains N characters. The maximum allowed error page size is 1024 characters. 错误页包含的字符个数大于1024。 400 InvalidArgument The provided replacement contains N characters. The maximum allowed replacement size is 1024 characters. 重定向规则中ReplaceKeyPrefixWith或者ReplaceKeyWith包含的字符个数大于1024。 400 InvalidArgument The provided prefix contains N characters.The maximum allowed prefix size is 1024 characters. 重定向规则中KeyPrefixEquals包含的字符个数大于1024。 400 InvalidArgument RedirectAllRequestsTo cannot be provided in conjunction with other Routing Rules. 重定向所有请求不能与其他规则同时存在。 400 InvalidArgument The IndexDocument Suffix cannot contain the "/" character. 索引页配置不能包含斜杠“/”。 400 InvalidArgument The IndexDocument Suffix cannot be blank. 索引页配置不能为空。 400 InvalidArgument Missing required key 'Redirect'. 缺少必需的参数Redirect。 400 InvalidArgument The ErrorDocument Key cannot be blank. 错误页配置不能为空。 400 InvalidArgument The HostName cannot be blank. HostName配置不能为空。 400 InvalidArgument The HostName cannot contain the "/" character. HostName不能包含斜杠“/”。 400 InvalidArgument The provided HTTP error code ( value ) is not valid. Valid codes are 4XX or 5XX. 重定向条件中的HttpErrorCodeReturnedEquals不是有效值。 400 InvalidArgument Missing required key 'HostName'. 缺少必需的参数HostName。 400 InvalidArgument The HostName cannot contain spaces. HostName配置不能包含空格。 400 InvalidArgument A value for IndexDocument Suffix must be provided if RedirectAllRequestsTo is empty. 重定向所有请求未配置时，索引文件必须配置。 400 InvalidArgument The destination bucket does not belong to you. 目的Bucket为他人的Bucket。 400 InvalidArgument Invalid Format value. 清单的格式不正确，取值只能为CSV。 400 InvalidArgument Invalid Field value. Field值填写错误。 400 InvalidArgument The maximum size of a Destination/Prefix is 512. Prefix最大长度为512。 400 InvalidArgument The maximum size of a Filter/Prefix is 1024. Prefix最大长度为1024。 400 InvalidArgument IsEnabled value expects true or false. IsEnabled的取值只能为true或false。 400 InvalidArgument Frequency value expects Daily or Weekly. Frequency的取值只能为Daily或Weekly。 400 InvalidArgument Schedule/Frequency missing. Frequency未填写。 400 InvalidArgument InventoryConfiguration/Destination/OOSBucketDestination/Bucket missing. 清单的目的Bucket未填写。 400 InvalidArgument IsEnabled missing. IsEnabled缺失。 400 InvalidArgument InventoryConfiguration/Destination/OOSBucketDestination/Format missing. 清单的输出格式缺失。 400 InvalidArgument Invalid id. Id无效。 400 InvalidArgument Id missing. 请求体中的id缺失。 400 InvalidArgument The type of 'IsAccessTime' must be Boolean. IsAccessTime取值应为布尔型，true或者false。 400 InvalidArgument 'Days' in the Expiration action for prefix ' prefix ' must be greater than 'Days' in the Transition action. 两生命周期规则重叠时，过期删除天数必须大于过期转储天数。 400 InvalidBucketCorsConfigure The XML you provided is not valid. XML无效。 400 InvalidBucketName The bucket name is: name . Bucket名字无效。 400 InvalidConfigurationId The specified configuration id is invalid. 请求头的清单ID未填写。 400 InvalidLocationConstraint The specified location constraint is not valid. 指定的数据位置无效。 400 InvalidObjectName The object name is: name . 文件名字无效。 400 InvalidOOSDestinationBucket Invalid Bucket ARN. Bucket ARN的格式不正确。 400 InvalidOOSDestinationBucket Invalid Bucket Name: bucketname . 清单输出的目的Bucket不存在。 400 InvalidPart One or more of the specified parts could not be found. The part may not have been uploaded, or the specified entity tag may not match the part's entity tag. 一个或者多个指定片段无法找到，片段可能没有被上传，或者指定的ETag值跟片段的ETag值不匹配。 400 InvalidPartNumber Part number must be an integer between 1 and 10000. 参数PartNumber的取值是[1, 10000]。 400 InvalidPartOrder The list of parts was not in ascending order. The parts list must be specified in order by part number. 分片片段列表没有按升序排列。片段列表必须根据分片号按顺序排列。 400 InvalidPartSize Your proposed upload is smaller than the minimum allowed object size. Each part must be at least 5 MiB in size, except the last part. 合并分片文件时，只允许最后一片小于5MiB，其他分片至少5MiB。 400 InvalidPolicyDocument Invalid Policy: JSON invalid: value . 策略无效，不是标准的json格式。 400 InvalidPolicyDocument Invalid according to Policy: Extra input fields: value . 策略无效，输入了额外的字段。 400 InvalidPolicyDocument Policy could not be parsed as a valid JSON string. 策略必须是json格式。 400 InvalidPolicyDocument Policy is missing required element Statement. 策略必须配置Statement。 400 InvalidPolicyDocument Policy is missing required element Principal. 策略必须配置Principal。 400 InvalidPolicyDocument Policy element has invalid value Principal. 策略配置的Principal值无效。 400 InvalidPolicyDocument Policy is missing required element Resource. 策略必须配置Resource元素。 400 InvalidPolicyDocument Policy is missing required element Resource content. 策略的Resource元素必须赋值。 400 InvalidPolicyDocument Policy has invalid resource resource . 策略配置的Resource无效。 400 InvalidPolicyDocument Policy has an invalid condition key key . 策略配置的condition key无效。 400 InvalidPolicyDocument No such condition type type . 策略配置的condition type无效。 400 InvalidPolicyDocument Action does not apply to any resource(s) in statement. 策略配置的Action无效。 400 InvalidPolicyDocument Policy is missing required element Effect. 策略必须配置Effect。 400 InvalidPolicyDocument Policy element has invalid value Effect : Effect . 策略配置的Effect无效。 400 InvalidPolicyDocument Policy element has invalid value Version : Version . 策略配置的Version无效。 400 InvalidRedirectLocation The website redirect location must be nonempty. xamzwebsiteredirectlocation头不能为空。 400 InvalidRedirectLocation The website redirect location must have a prefix of ' or ' or '/'. xamzwebsiteredirectlocation必须有前缀' 400 InvalidRedirectLocation The length of website redirect location cannot exceed 2,048 characters. xamzwebsiteredirectlocation长度不能超过2048。 400 InvalidRequest Missing required header for this request: xamzcontentsha256. v4签名必须携带xamzcontentsha256。 400 InvalidRequest Missing required header for this request: ContentMD5. 请求头必须包含ContentMD5。 400 InvalidRequest Please reduce your request rate. 请降低您的请求频率。 400 InvalidRequest The operation failed, please change a resource pool and try again. 请换其他资源池或者重试。 400 InvalidRequest This copy request is illegal because it is trying to copy an object to itself without changing the object's metadata or storage class. 复制文件时必须修改元数据或者存储类型。 400 InvalidRequest xamzlimitrate invalid.The input should be positive integer. xamzlimitrate只能是正整数。 400 InvalidRequest The source object size cannot be smaller than 5 GiB. 如果源文件取range进行拷贝，源文件大小不能小于5G。 400 InvalidRequest You can only define ReplaceKeyPrefix or ReplaceKey but not both. ReplaceKeyPrefix或者ReplaceKey不能同时存在。 400 InvalidRequest Condition cannot be empty. To redirect all requests without a condition, the condition element shouldn't be present. Condition配置不能为空。不带条件的情况下，重定向所有请求不应该出现condition元素。 400 InvalidRequest The maximum size of a prefix is 1024. 配置生命周期规则时，前缀的最大长度为1024。 400 InvalidRequest Number of lifecycle rules should not exceed allowed limit of 1000 rules. 同一Bucket配置的生命周期规则不能超过1000条。 400 InvalidRequest Rule ID must be unique. Found same ID for more than one rule. 配置生命周期规则时，Rule ID必须唯一。 400 InvalidRequest Found two rules with same prefix ' prefix ' for same action type [TransitionExpiration]. 同一Bucket的两条生命周期规则不能有相同的prefix。 400 InvalidRequest Found overlapping prefixes ' prefix ' and ' prefix ' for same action type [TransitionExpiration]. 同一Bucket的两条生命周期规则不能有前缀重叠的情况。 400 InvalidRequest Found overlapping prefixes ' prefix ' and '' for same action type [TransitionExpiration]. 同一Bucket的两条生命周期规则不能同时存在有前缀和无前缀规则。 400 InvalidStorageClass The storage class you specified is not valid. xamzstorageclass无效。 400 InvalidStorageClass Can not specify the storage class. 未合并的分段文件不能指定xamzstorageclass进行拷贝。 400 InvalidTargetBucketForLogging The target bucket name is: name . 日志记录规则时，目标Bucket不存在或者无目标Bucket的权限。 400 MalformedPOSTRequest The body of your POST request is not wellformed multipart/formdata. POST表单请求中contenttype配置的boundary格式不规范。 400 MalformedXML CORS Rule is empty. CORS Rule不能为空。 400 MalformedXML The number of CORS Rules you provided cannot exceed 100. CORS Rules个数不能超过100。 400 MalformedXML The length of CORS Rule ID you provided cannot exceed 255 characters. CORS Rule ID长度不能超255个字符。 400 MalformedXML AllowedOrigin does not exist. CORS配置中AllowedOrigin不存在。 400 MalformedXML AllowedMethod does not exist. CORS配置中AllowedMethod不存在。 400 MalformedXML AllowedOrigin " value " can not have more than one wildcard. CORS配置中AllowedOrigin最多只能携带一个通配符。 400 MalformedXML AllowedHeader " value " can not have more than one wildcard. CORS配置中AllowedHeader最多只能携带一个通配符。 400 MalformedXML ExposeHeader " value " contains wildcard. We currently do not support wildcard for ExposeHeader. CORS配置中ExposeHeader不能携带通配符。 400 MalformedXML CORS Rule ID is not unique. CORS Rule ID必须是唯一的。 400 MalformedXML The XML you provided was not wellformed or did not validate against our published schema. XML格式不正确。 400 MaxRequestBodyLengthExceeded Your request was too big, the maximum size is % s . 请求体长度太长。 400 MissingRequestBodyError Request Body is empty. 请求body体为空。 400 NoSuchUpload The specified upload does not exist. The uploadId may be invalid, or the upload may have been aborted or completed. 指定的分片上传过程不存在，上传ID可能非法，分片上传过程可能被终止或者已经完成。 400 PutObjectTooFast Upload: value is updated too fast. 同一文件并发上传过快。 400 TooManyBuckets You have attempted to create more buckets than allowed. Bucket数量已经到达上限。 400 TooManyConfigurations You are attempting to create a new configuration but have already reached the 10configuration limit. 超出清单配置规则的数量限制，每个Bucket最多配置10条清单。 403 InvalidAccessKeyId InvalidAccessKeyId. AccessKeyId无效。 403 InvalidAccessKeyId The AccessKeyId is invalid. AccessKeyId被禁用。 403 InvalidAccessKeyId The specified accessKey: accessKey does not exist. 临时密钥不存在，需重新申请。 403 AccessDenied Please use primary access key. 需要使用主密钥。 403 AccessDenied Nonprimary key can not list without prefix or prefix is not start with access key. 非主密钥只能list以自己access key为前缀的文件。 403 AccessDenied Nonprimary key can not operate bucket. 非主密钥，不能操作该Bucket。 403 AccessDenied Nonprimary key can not operate object that not start with access key. 非主密钥只能操作以自己access key为前缀的文件。 403 AccessDenied The secret token is expired, expiration: value . secret token过期。 403 AccessDenied The OOS service has been closed due to overdue payment. If the overdue payment exceed 15 days, the data will be deleted. Please recharge it in time. 由于逾期付款，OOS服务已关闭。如果逾期付款超过15天，数据将被删除。请及时充值。 403 AccessDenied OOS authentication requires a valid Date or xamzdate header. OOS 签名头中需要携带Date或xamzdate。 403 AccessDenied OOS authentication requires a valid Date or xamzdate header, expecting" YYYYMMDD'T'HHMMSS'Z'". OOS 签名头需要携带正确格式的Date或xamzdate，格式为YYYYMMDD'T'HHMMSS'Z'。 403 AccessDenied Invalid according to Policy: Policy expired. v4签名的xamzdate时间不能超过7天。 403 AccessDenied Invalid according to Policy: Policy Condition failed:xxx 签名策略不对。 403 AccessDenied Querystring authentication requires the Signature, Expires and AWSAccessKeyId parameters. V2预签名需要携带以下参数：Signature、Expires、AWSAccessKeyId。 403 AccessDenied Invalid date (should be seconds since epoch): date . 过期时间需要精确到秒。 403 AccessDenied Request has expired. 请求过期。 403 AccessDenied Anonymous access is forbidden for this operation. 匿名用户禁止此操作。 403 AccessDenied The user's permission is not enough. 用户权限不足。 403 AccessDenied You do not have permission to this resource pool, please try another resource pool. 没有该资源池的权限，请使用其他资源池。 403 AccessDenied CORSResponse: This CORS request is not allowed. This is usually because the evalution of Origin, request method / AccessControlRequestMethod or AccessControlRequestHeaders are not whitelisted by the resource's CORS spec. 跨域预检请求没有通过CORS规则校验。请检查Origin、AccessControlRequestMethod、AccessControlRequestHeaders是否在CORS列表的白名单中。 403 AccessDenied CORSResponse: CORS is not enabled for this bucket. 此Bucket未配置CORS。 403 AccessDenied Access denied by bucket policy. 受Bucket Policy的规则影响，被显示拒绝。 403 AccessDenied Access denied by bucket policy or anonymous access is forbidden. 匿名访问被拒绝，或者被Bucket Policy规则隐式拒绝。 403 AccessDenied User: user is not authorized to perform: action on resource: resource . 没有权限访问此资源。 403 AccessDenied The user does not belong to the region. 没有此资源池的上传权限，请更换其他资源池重试。 403 AccessDenied You do not have permission to request the value data region. Please change the data region for the bucket and try again. Bucket下配置的数据位置都已失效，请重新配置，或者修改为可以自动调度。 403 AccessDenied You are not allowed to set the publicreadwrite permission for the bucket. 您不具备将容器设置为公有的权限，请联系天翼云客服协助开通此功能。 403 AccessDenied You are not allowed to grant publicwrite permission to anonymous users. 您不可以向匿名用户授予写权限，请联系天翼云客服协助开通此功能。 403 AccessDenied Make sure that bucket's permissions are not private before using the static website hosting feature. 在使用静态网站托管功能之前，请确保Bucket权限不是私有。 403 Forbidden CORSResponse: Bucket not found. 如果是preflight CORS请求，Bucket必须存在。 403 IllegalObject The object " bucket/object " is illegal, forbid copy. 源文件是非法文件，不允许拷贝。 403 RequestTimeTooSkewed The difference between the request time and the server's time is too large. 客户端时间和服务器端时间相差超过15分钟。 403 SignatureDoesNotMatch The request signature we calculated does not match the signature you provided. Check your key and signing method. 签名计算错误，需按OOS的签名规则，请检查客户端签名计算方法。 403 SignatureDoesNotMatch The authorization type is malformed. V2签名头不是AWS开头，或者V4签名头不是AWS4HMACSHA256。 403 SignatureDoesNotMatch Invalid order of SignedHeaders. V4签名SignedHeasers需按字典序排序 404 MalformedContinuationToken The continuationtoken you provided invalid. continuationtoken的值不正确。 404 NoSuchBucket The resource you requested does not exist. 请求的Bucket不存在。 404 NoSuchBucket The request bucketname is name. 复制文件时源Bucket不存在。 404 NotSuchBucketPolicy The bucket policy configuration does not exist. 此Bucket Policy配置不存在。 404 NoSuchCORSConfiguration The CORS configuration does not exist. Bucket下没有配置CORS。 404 NoSuchLifecycleConfiguration The lifecycle configuration does not exist. 生命周期规则配置不存在。 404 NoSuchKey The resource you requested does not exist. 请求文件不存在。 404 NoSuchKey An Error Occurred While Attempting to Retrieve a Custom Error Document. 尝试检索自定义错误文档时发生错误。 404 NoSuchWebsiteConfiguration The specified bucket does not have a website configuration. Bucekt未开启website功能。 404 ObjectLockConfigurationNotFoundError Object lock configuration does not exist for this bucket. 此Bucket不存在合规保留配置。 405 MethodNotAllowed The specified location constraint is not valid. 指定的数据位置无效。 405 MethodNotAllowed The specified method is not allowed against this resource. 此资源不允许使用该方法。 409 BucketAlreadyExists BucketAlreadyExists. Bucket名字已存在，请更换名字。 409 BucketNotEmpty The bucket you tried to delete is not empty. Bucket非空，不能删除。 411 MissingContentLength You must provide the ContentLength HTTP header. 需要提供ContentLength消息头。 412 PreconditionFailed Bucket post must be of the enclosuretype multipart/formdata. POST表单的contenttype请求头不正确。 412 PreconditionFailed The preconditions xamzcopysourceifmodifiedsince you specified did not hold. 预处理条件下，指定的xamzcopysourceifmodifiedsince不匹配。 503 ServiceUnavailable Service is busy.Please try again. 服务器繁忙，请重试。 503 SlowDown Please reduce your request rate. 请降低请求频率。

本章节为您介绍VPN服务的基本功能。 VPN服务管理：用于维护VPN服务，提供配置VPN服务；对内网控制新增和删除；对静态路由表的新增，修改，删除等功能。 VPN服务证书：SSL VPN服务使用VPN服务证书来进行安全认证工作，使用SSL VPN服务的前提是必须安装相关VPN服务证书，提供新增，查看详情，启用，停用，可信证书链管理，CSR请求，证书应答，导入证书等功能。

nodelay: false [可选]当设置为 true 时，如果限速插件功能临时不可用，将会自动允许请求继续。默认 false allowdegradation: false

配置模板 plaintext [必填]正则过滤数组，不可重复。如果当前请求 URI 命中其中任何一个，则将响应代码设置为 rejectedcode 以退出当前用户请求 blockrules: test.com+ [可选]当请求 URI 命中 blockrules 中的任何一个时，将返回的 HTTP 状态代码。有效值[200,599], 默认值403 rejectedcode: 403 [可选]当请求 URI 命中 blockrules 中的任何一个时，将返回的 HTTP 响应体 rejectedmsg: “This URI is not allowed to be accessed ” [可选]匹配URI时是否忽略大小写.默认false caseinsensitive: false

缺点 资源冗余，需要部署两套生产环境。 新版本故障影响范围大。 A/B测试 概念 A/B测试是一种通过对比实验优化产品决策的技术方法。它会将用户流量随机分配到两个或多个不同版本（A版和B版）的服务或界面中，在相同运行环境下收集各版本的用户行为数据。这是一种基于请求内容匹配的灰度发布策略，只有匹配特定规则的请求才会被引流到新版本，常见的做法包括基于HTTP Header和Cookie。 这种方案既能验证新功能/改版的实际效果，又能有效控制产品迭代风险。由于采用实时分流机制，整个过程无需停机切换，且可以随时终止实验恢复原状。 如下图所示，某服务当前版本为v1，现在新版本v2要上线。希望安卓用户可以尝鲜新功能，其他系统用户保持不变。通过在监控平台观察旧版本与新版本的成功率、RT对比，当新版本整体服务符合预期后，即可将所有请求切换到新版本v2，最后为了节省资源，可以逐步下线到旧版本v1。 优点 可以对特定的请求或者用户提供服务新版本，新版本故障影响范围小。 需要构建完备的监控平台，用于对比不同版本之间请求状态的差异。 缺点 仍然存在资源冗余，因为无法准确评估请求容量。 发布周期长。 金丝雀发布

本文将详细介绍clientcontrol插件功能、配置和使用。 功能说明 clientcontrol 插件通过设置客户端请求体大小上限来动态控制客户端的请求。当设置较大的限制时可能导致内存使用增加，需根据实际需求合理配置。 配置字段 名称 类型 填写要求 默认值 有效值 描述 maxbodysize integer 可选 [0,...] 动态设置 clientmaxbodysize 的大小 配置示例 clientcontrol 使用示例 plaintext maxbodysize: 1 根据该场景请求路由 plaintext curl d '123' 由于请求路由的请求体大小超过了所设置的客户端请求体大小上限，请求返回413. plaintext HTTP/1.1 413 Request Entity Too Large ...... 配置模板 plaintext [可选]设置客户端请求体大小上限.有效范围[0,...] maxbodysize: 1024

本文将简单介绍HTTP API的概念和使用场景。 HTTP API HTTP API是基于HTTP协议的接口，以路由为中心。适用于微服务架构等场景，支持单服务、多服务、Mock、重定向等多种使用场景。 若业务系统无需细粒度的API管理，可通过设置路由规则的方式，指定特定请求由哪个后端服务承接。相较于REST API接口，路由路径的粒度通常更粗，例如可以通过前缀匹配的方式配置路由（/user/），这种特性支持快速设定访问路径，助力系统间高效协作，具有较高的灵活性，业务系统间的调用逻辑也更简单。

本文将详细介绍csrf插件功能、配置和使用。 功能说明 csrf 插件可保护用户的 API 免于 CSRF 攻击。 在此插件运行时，GET、HEAD 和 OPTIONS 会被定义为 safemethods，其他的请求方法则定义为 unsafemethods。因此 GET、HEAD 和 OPTIONS 方法的调用不会被检查拦截。 使用 GET 请求 API 时，在响应中会有一个携带了加密 Token 的 Cookie。Token 字段名称为插件配置中的 name 值，默认为 agwcsrftoken。 注意 每一个请求都会返回一个新的 Cookie。 在后续对该路由进行的 unsafemethods 请求中，需要从 Cookie 中读取加密的 Token，并在请求头中携带该 Token。请求头字段的名称为插件属性中的 name。 配置字段 名称 类型 填写要求 默认值 有效值 描述 key string 必填 加密 Token 的密钥。 name string 可选 agwcsrftoken 生成的 Cookie 中的 Token 名称，需要使用此名称在请求头携带 Cookie 中的内容。 expires number 可选 7200 CSRF Cookie 的过期时间，单位为秒。当设置为 0 时，会忽略 CSRF Cookie 过期时间检查。 配置示例 plaintext key: "edd1c9f034335f136f87ad84b625c8f1" 启用插件后，使用 curl 命令尝试直接对该路由发起 POST 请求，会返回 Unauthorized 字样的报错提示： plaintext curl i X POST HTTP/1.1 401 Unauthorized {"errormsg":"no csrf token in headers"} 当发起 GET 请求时，返回结果中会有携带 Token 的 Cookie： plaintext curl i i HTTP/1.1 200 OK SetCookie: agwcsrftokeneyJyYW5kb20iOjAuNzgyMDk5MTE4NjUxNjQsInNpZ24iOiIwNTEyZDFkZDRiMmNjYTIxMTRlYWRhYWUxOTkxNmNiZGYzMWE2ZGI0MzRkNWQ5MzRjODkzZWM3M2ZmNTQxZTJlIiwiZXhwaXJlcyI6MTc0NTQ4ODkxM30;path/;SameSiteLax;ExpiresThu, 24Apr25 12:01:53 GMT 在请求之前，用户需要从 Cookie 中读取 Token，并在后续的 unsafemethods 请求的请求头中携带。 例如，你可以在客户端使用 jscookie 读取 Cookie，使用 axios 发送请求： plaintext const token Cookie.get('agwcsrftoken'); const instance axios.create({ headers: {'agwcsrftoken': token} }); 使用 curl 命令发送请求，确保请求中携带了 Cookie 信息，如果返回 200 HTTP 状态码则表示请求成功： plaintext curl i X POST H 'agwcsrftoken: eyJyYW5kb20iOjAuNjg4OTcyMzA4ODM1NDMsImV4cGlyZXMiOjcyMDAsInNpZ24iOiJcL09uZEF4WUZDZGYwSnBiNDlKREtnbzVoYkJjbzhkS0JRZXVDQm44MG9ldz0ifQ' b 'agwcsrftokeneyJyYW5kb20iOjAuNjg4OTcyMzA4ODM1NDMsImV4cGlyZXMiOjcyMDAsInNpZ24iOiJcL09uZEF4WUZDZGYwSnBiNDlKREtnbzVoYkJjbzhkS0JRZXVDQm44MG9ldz0ifQ' HTTP/1.1 200 OK

本文将详细介绍clientcontrol插件功能、配置和使用。 功能说明 clientcontrol 插件通过设置客户端请求体大小上限来动态控制客户端的请求。当设置较大的限制时可能导致内存使用增加，需根据实际需求合理配置。 配置字段 名称 类型 填写要求 默认值 有效值 描述 maxbodysize integer 可选 [0,...] 动态设置 clientmaxbodysize 的大小 配置示例 clientcontrol 使用示例 plaintext maxbodysize: 1 根据该场景请求路由 plaintext curl d '123' 由于请求路由的请求体大小超过了所设置的客户端请求体大小上限，请求返回413. plaintext HTTP/1.1 413 Request Entity Too Large ...... 413 Request Entity Too Large 413 Request Entity Too Large openresty Powered by CGW. 配置模板 plaintext [可选]设置客户端请求体大小上限.有效范围[0,...] maxbodysize: 1024

本文将详细介绍limitcount插件功能、配置和使用。 功能说明 limitcount 插件使用固定时间窗口算法，主要用于限制单个客户端在指定的时间范围内对服务的总请求数，并且会在 HTTP 响应头中返回剩余可以请求的个数. 配置字段 名称 类型 填写要求 默认值 有效值 描述 count integer 必填 count> 0 每个客户端在指定时间窗口内的总请求数量阈值。 timewindow integer 必填 timewindow> 0 时间窗口的大小（以秒为单位）。超过该属性定义的时间，则会重新开始计数。 rejectedcode integer 可选 503 [200,...,599] 当请求超过阈值被拒绝时，返回的 HTTP 状态码。 keytype string 可选 "var" ["var", "varcombination", "constant"] key 的类型。 key string 可选 "remoteaddr" 用来做请求计数的依据。如果 keytype 为 constant，那么 key 会被当作常量；如果 keytype 为 var，那么 key 会被当作变量；如果 keytype 为 varcombination，那么 key 会被当作变量组合，如 $remoteaddr $consumername，插件会同时受 $remoteaddr 和 $consumername 两个变量的约束；如果 key 的值为空，$remoteaddr 会被作为默认 key。 rejectedmsg string 可选 非空 当请求超过阈值被拒绝时，返回的响应体。 allowdegradation boolean 可选 false 当插件功能临时不可用时（例如 Redis 超时），当设置为 true 时，则表示可以允许插件降级并进行继续请求的操作。 showlimitquotaheader boolean 可选 true 当设置为 true 时，在响应头中显示 XRateLimitLimit（限制的总请求数）和 XRateLimitRemaining（剩余还可以发送的请求数）字段。

名称 类型 填写要求 默认值 有效值 描述 count integer 必填 count> 0 每个客户端在指定时间窗口内的总请求数量阈值。 timewindow integer 必填 timewindow> 0 时间窗口的大小（以秒为单位）。超过该属性定义的时间，则会重新开始计数。 rejectedcode integer 可选 429 [200,599] 当请求超过阈值被拒绝时，返回的 HTTP 状态码。 keytype string 可选 "var" ["var", "varcombination", "constant"] key 的类型。 key string 可选 "remoteaddr" 用来做请求计数的依据。如果 keytype 为 var，则 key 将被解释为变量。变量不需要以美元符号（$）为前缀。如果 keytype 为 varcombination，那么 key 会被当作变量组合，所有变量都应该以美元符号 ($) 为前缀。如 $remoteaddr $consumername，插件会同时受 $remoteaddr 和 $consumername 两个变量的约束；如果 keytype 为 constant，那么 key 会被当作常量。如果 key 的值为空，$remoteaddr 会被作为默认 key。 rejectedmsg string 可选 非空 当请求超过阈值被拒绝时，返回的响应体。 showlimitquotaheader boolean 可选 true 当设置为 true 时，在响应头中显示 XRateLimitLimit（限制的总请求数）和 XRateLimitRemaining（剩余还可以发送的请求数）字段。 group string 可选 非空 对多个API设置相同 group，则路由可以共享相同的速率限制计数器。注意同一个group下的插件配置值需相同。 policy string 可选 "local" ["local","redis"] 速率限制计数器的策略。如果是 local，则计数器存储在本地内存中，按照单个实例节点计数。如果是 redis，则计数器存储在 Redis 实例上，按照实例集群计数。 redishost string 当 policy 为 redis 时必填 Redis 节点的地址。 redisport integer 当 policy 为 redis 时必填 6379 [1,65535] Redis 节点的端口。 redisusername string 可选 如果使用 Redis ACL，则为 Redis 的用户名。如果使用旧式身份验证方法 requirepass，则仅配置 redispassword。 redispassword string 可选 Redis 节点的密码。

名称 类型 填写要求 默认值 有效值 描述 allowlist array[string] 可选 加入白名单的 UserAgent。 denylist array[string] 可选 加入黑名单的 UserAgent。 message string 可选 "Not allowed" 字符数[1,1024] 当未允许的 UserAgent 访问时返回的信息。 bypassmissing boolean 可选 false 当设置为 true 时，如果 UserAgent 请求头不存在或格式有误时，将绕过检查。

名称 类型 填写要求 默认值 有效值 描述 duration number 必填 延迟时间，可以指定小数 percentage integer 可选 [0, 100] 将被延迟的请求占比 vars array[] 可选 执行请求延迟的规则，当规则匹配通过后才会执行故障注。vars 是一个表达式的列表，来自