操作场景 当云容灾网关发布新版本后，需要升级对已部署的云容灾网关进行升级操作。 升级步骤 以下操作以升级“24.6.0 ”版本的容灾网关“sdrsxxxx24.6.0.xxxx.tar.gz”为例。 1. 获取云容灾网关软件包到待部署服务器的任意目录。 跨区域和跨可用区：复制服务控制台页面提供的命令，登录待部署的云容灾网关服务器，进入任意目录，粘贴并执行命令获取软件包。 2. 在软件包所在目录下，以“root”用户，执行以下命令，解压缩软件包。 tar zxvf sdrsxxxx24.6.0.xxxx.tar.gz 3. 执行以下命令，进入升级脚本所在目录。 cd sdrsxxxx24.6.0.xxxx.tar.gz 4. 执行以下命令，升级云容灾网关软件。 sh upgrade.sh 回显中包含如下信息，说明云容灾网关升级成功： ... Upgrade SDRS successfully.

本章节主要介绍翼MapReduce服务的资源节点。 目前一类资源节点已在华东1、西南1、华北2、上海36、华南2、武汉41、呼和浩特3、南昌5、杭州7、西安7、西南2贵州资源池开通，更多资源池规划部署中，因用户权限不同，实际可选资源池请以控制台实际可见区域为准。 资源池 可用区 华东1 可用区1、可用区2、可用区3 西南1 可用区1、可用区2 华北2 可用区1、可用区2、可用区3 上海36 可用区1 华南2 可用区1、可用区2、可用区3 武汉41 可用区1 呼和浩特3 可用区1 南昌5 可用区1 杭州7 可用区1 西安7 可用区1 西南2贵州 可用区1

本章节主要介绍翼MapReduce的修改资源池操作。 操作场景 根据业务需要，资源池的主机需要调整时，管理员可以通过FusionInsight Manager修改已有资源池中的成员。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“租户资源 > 资源池”。 3. 在资源池列表指定资源池所在行的“操作”列，单击“编辑”。 4. 在“资源”修改“主机”。 增加主机：在界面左边主机列表，选择指定的主机名称，单击，将选中的主机加入资源池。 删除主机：在界面右边主机列表，选择指定的主机名称，单击，将选中的主机移出资源池。资源池中的主机列表可以为空。 5. 单击“确定”保存。

本节介绍如何云审计服务事件列表查看云堡垒机的审计事件。 操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 审计日志转储：支持将审计日志周期性的转储至对象存储服务（ZOS）下的ZOS桶或日志审计（原生版）服务中。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 若您使用云审计提供的转储至对象存储服务（ZOS）功能，需要开通对象存储服务并支付产生的费用，该费用以对象存储产品的计费为准，参考计费说明对象存储。 若您使用云审计提供的转储至日志审计（原生版）功能，需要开通日志审计（原生版）服务并支付产生的费用，该费用以日志审计（原生版）产品的计费为准，参考计费说明日志审计（原生版）。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。

本节介绍如何查看AntiDDoS云审计日志。 开启了云审计服务后，系统开始记录AntiDDoS资源的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 选择区域。 3. 选择“管理与部署> 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 5. 在下拉框中选择“云服务”，输入“AntiDDoS”，按“Enter”。 6. 在查询结果中单击事件名称，查看事件详情。 事件列表支持通过高级搜索来查询对应的操作事件，您可以在筛选器组合一个或多个筛选条件： 事件名称、资源名称、资源ID、事件ID：需要输入某个具体的名称或ID。 资源名称：当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。 资源ID：当该资源类型无资源ID或资源创建失败时，该字段为空。 云服务、资源类型：在下拉框中选择对应的云服务名称或资源类型。 操作用户：在下拉框中选择一个或多个具体的操作用户。 事件级别：可选项为“normal”、“warning”、“incident”，只可选择其中一项。 normal：表示操作成功。 warning：表示操作失败。 incident：表示比操作失败更严重的情况，如引起其他故障等。 时间范围：可选择查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近1周内任意时间段的操作事件。

本小节介绍云解析的定义及优势。 产品定义 云解析是天翼云与CNNIC联合推出的一款权威云解析产品。产品使用系列自主研发的DNS专用设备，具备完善的网络架构，支持IPv6和下一代互联网技术。 产品优势 专业的解析设备 使用CNNIC自主研发的DNS专用产品构建解析服务平台，有效避免开源软件漏洞。 完善的网络架构 全球分布式部署解析节点，采用BGP+ANYCAST技术组网，实现用户多维度的区域划分，确保每一次查询的全局路由最优化，最大程度上使用户解析就近响应。 灵活扩展性 平台采用良好的网络架构，可灵活的进行功能扩展、解析容量扩展、解析软件扩展等。 多节点，多线路 在全球部署多个节点，支持移动、联通、电信等线路细分。 CNNIC拥有多年的国家顶级域名的运行经验，在域名系统的建设、运行、安全防护等方面积累了大量的实际运营经验和维护经验。 具备完善的应急响应机制，拥有多次完成国内重要活动的网络安全保障经验。

本文主要介绍监控指标说明。 弹性伸缩支持的监控指标如下表所示。 弹性伸缩支持的监控指标 指标 指标名称 指标含义 取值范围 测量对象&维度 监控周期（原始指标） :::::: cpuutil CPU使用率 该指标用于统计弹性伸缩组的CPU使用率。 计算公式：伸缩组中的所有云服务器的CPU使用率之和/伸缩组实例数 单位：百分比 ≥0% 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 memutil 内存使用率 该指标用于统计弹性伸缩组的内存使用率，以百分比为单位。 计算公式：伸缩组中的所有云服务器内存使用率之和/伸缩组实例数 单位：百分比 说明 如果用户使用的镜像未安装vmtools，则无法获取该监控指标。 ≥0% 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 instancenum 实例数 该指标用于统计弹性伸缩组中可用的云服务器云主机数量。 计算公式：弹性伸缩组内生命周期状态为“已启用”的云服务器云主机数量之和 ≥0 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 networkincomingbytesrateinband 带内网络流入速率 该指标用于统计每秒流入弹性伸缩组的网络流量。 计算公式：伸缩组中所有云服务器的带内网络流入速率之和 / 伸缩组实例数 单位：字节/秒 ≥0 Byte/s 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 networkoutgoingbytesrateinband 带内网络流出速率 该指标用于统计每秒流出弹性伸缩组的网络流量。 计算公式：伸缩组中所有云服务器的带内网络流出速率之和 / 伸缩组实例数 单位：字节/秒 ≥0 Byte/s 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 diskreadbytesrate 磁盘读速率 该指标用于统计每秒从弹性伸缩组读出的数据量。 计算公式：伸缩组中所有云服务器的磁盘读速率之和 / 伸缩组实例数 单位：字节/秒 ≥0 Byte/s 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 diskwritebytesrate 磁盘写速率 该指标用于统计每秒写到弹性伸缩组的数据量。 计算公式：伸缩组中所有云服务器的磁盘写速率之和 / 伸缩组实例数 单位：字节/秒 ≥0 Byte/s 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 diskreadrequestsrate 磁盘读操作速率 该指标用于统计每秒从弹性伸缩组读取数据的请求次数。 计算公式：伸缩组中所有云服务器的磁盘读操作速率之和 / 伸缩组实例数 单位：请求/秒 ≥0 request/s 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 diskwriterequestsrate 磁盘写操作速率 该指标用于统计每秒往弹性伸缩组写数据的请求次数。 计算公式：伸缩组中的所有云服务器的磁盘写操作速率之和 / 伸缩组实例数 单位：请求/秒 ≥0 request/s 测量对象：弹性伸缩组 测量维度： AutoScalingGroup 5分钟 说明 对于不同的操作系统，监控指标“内存使用率”、“带内网络流出速率”和“带内网络流入速率”是否支持，详细信息请参见《弹性云主机用户指南》。

云堡垒机允许多用户同时登录同一资源吗？ 云堡垒机本身允许多用户同时登录同一资源，即不限制登录资源的用户数量。但受限于资源的多用户登录配置，多个云堡垒机用户不能同时登录同一资源账户。 例如，受限于Windows资源的多用户同时登录配置，同时登录Windows资源的用户数量有最大限额。Windows 2008和Windows 2012服务器默认仅支持两个用户同时登录，即被CBH系统纳管的Windows服务器默认最多允许两个用户同时登录。 为解除资源多用户同时登录限制，您可以选择如下方式解决： 配置资源服务器允许多用户登录。例如，在Windows服务器配置远程桌面会话主机和远程桌面授权。 在资源服务器创建多个帐号，并纳管为云堡垒机资源账户后，再分别授权给用户。 云堡垒机SSH运维支持哪些算法？ 云堡垒机3.3.26.0及以上版本SSH运维支持的算法如表所示。 SSH运维支持的算法 算法类型 H5运维 客户端运维 ::: Key exchange diffiehellmangroupexchangesha256 diffiehellmangroupexchangesha1 diffiehellmangroup14sha1 diffiehellmangroup1sha1 diffiehellmangroupexchangesha256 diffiehellmangroupexchangesha1 diffiehellmangroup14sha1 diffiehellmangroup1sha1 ecdhsha2nistp521 ecdhsha2nistp384 ecdhsha2nistp256 Encryption aes128ctr aes192ctr aes256ctr aes128cbc aes192cbc aes256cbc 3descbc blowfishcbc arcfour128 arcfour cast128cbc aes128ctr aes192ctr aes256ctr aes128cbc aes192cbc aes256cbc 3descbc blowfishcbc arcfour128 arcfour256 HMAC hmacmd5 hmacmd596 hmacsha1 hmacsha196 hmacsha2256 hmacsha2512 hmacripemd160 hmacripemd160@openssh.com hmacmd5 hmacmd596 hmacsha1 hmacsha196 hmacsha2256 hmacsha2512 Host key sshrsa sshdss sshrsa sshdss ecdsasha2nistp256 ecdsasha2nistp384

本文为您介绍云防火墙（原生版）的权限管理能力，支持通过IAM实现对云防火墙（原生版）的访问控制、权限分配。 云防火墙（原生版）通过IAM（统一身份认证服务，Identity and Access Management）对用户权限进行管理，IAM可以帮助用户安全地控制云防火墙（原生版）服务的访问及操作权限。 默认情况下，天翼云主账号拥有管理员权限，而主账号创建的IAM用户没有任何权限。IAM用户需要加入用户组，并给用户组授权相应策略后，IAM用户才能获得策略对应的权限，才可以基于被授予的权限对云服务进行操作。 IAM应用场景 IAM策略主要面向同一主账号下，对不同IAM用户授权的场景： 您可以为不同操作人员或应用程序创建不同IAM用户，并授予IAM用户刚好能完成工作所需的权限，比如查看权限，进行最小粒度授权管理。 新创建的IAM用户可以使用自己的登录名和密码登录控制台，实现多用户协同操作时无需分享账号密码的安全要求。 IAM策略说明 天翼云为云防火墙（原生版）提供如下系统策略 。如果系统策略不满足授权要求，可以创建自定义策略 ，自定义策略是对系统策略的扩展和补充，详情请参见创建自定义策略。 策略名称 策略描述 类别 授权范围 CFW admin 管理员，拥有云防火墙（原生版）全部操作权限。 系统策略 全局级 CFW viewer 仅拥有云防火墙（原生版）查看权限。 系统策略 全局级

天翼云云堡垒机（原生版）服务协议

操作说明 本方案基于 天翼云 ROS（资源编排服务）控制台，提供 OpenClaw 云主机的一键批量部署与删除能力。用户仅需在 ROS 控制台导入模板并配置参数，即可在分钟级完成环境搭建与资源回收。 方案通过模板化编排，将计算、网络与安全策略统一纳管，实现“自动化部署 + 安全策略一体化”，显著提升资源交付效率，降低运维复杂度。 适用场景 OpenClaw 云主机快速批量搭建 多环境标准化部署（开发、测试、生产） 临时资源快速创建与释放 对网络隔离与安全策略有定制化和合规管理要求的业务场景 方案架构 基于 ROS 模板编排，自动创建以下资源： VPC 私有网络 子网（Subnet） 安全组及访问规则 ECS 云主机（OpenClaw 镜像） 弹性公网 IP（自动分配与绑定） 架构关系如下： VPC ├── Subnet │ └── ECS(OpenClaw实例) × N │ ├── EIP │ └── Security Group 核心能力 在 ROS 控制台中： 导入模板（基于 Terraform 语法适配） 核心参数配置：配置实例数量（instancecount）、可用区选择、镜像、云主机规格等等 一键创建资源栈 即可自动完成： 多台 OpenClaw 云主机创建 自动命名（如 openclaw1、openclaw2） 公网 IP 自动绑定 同时支持一键删除资源栈，实现全量资源自动回收

对等连接产品为您提供灵活快捷的云上多VPC私网互联服务,本文带您了解对等连接的产品优势。 使用灵活，支持同账号、不同账号建连 支持在同一区域内的同一用户不同VPC之间、不同用户VPC之间以及公有云与专属云的VPC之间创建对等连接。 安全可控，自主授权 不同用户之间的VPC创建对等连接时，需要用户提供对端账户名和VPC ID，且需要对端用户接受才可建立连接。 简单易用，配置灵活 天翼云提供Web管理平台，用户可登陆Web页面轻松实现连接创建、路由策略配置。 内网可达，无公网费用 使用对等连接的两个VPC通信时，通过资源池内部网络进行互通，不会绕行公网。

背景信息 本文介绍如何使用IPsec VPN在两个VPC之间建立安全连接，实现两个VPC内的资源互访。 场景示例 以本文图中场景为例。某企业在华东1地域创建了一个vpc1，在青岛20地域创建了vpc2。两个VPC均已使用弹性云主机部署了业务，企业因后续发展，现在需要将vpc1和vpc2中的业务实现互相访问。 出于网络安全环境考虑，企业计划使用VPN网关，在两个VPC之间建立IPsec VPN连接，对数据进行加密传输，实现资源的安全互访。 前提条件 已经在天翼云华东1地域创建了vpc1，在青岛20地域创建了vpc2，两个VPC中均使用弹性云主机部署了相关业务。 VPC实例名称 VPC实例所属地域 VPC实例的网段 VPC实例ID 弹性云主机实例名称 弹性云主机实例IP地址 vpc1 华东1 192.168.0.0/16 vpctooedro7nb ecm371c 192.168.0.3 vpc2 青岛20 10.0.0.0/16 vpcr8jw6vfdnk ecm99df 10.0.0.62 您已经了解两个VPC中弹性云主机实例所应用的安全组规则，并确保安全组规则允许两个弹性云主机实例互访。

本小节介绍日志审计(原生版)报表用户指南。 报表是将日志审计（原生版）获取到的数据源数据，按报表的形式展示。 内置报表包括：攻击事件报表、审计事件报表、恶意程序报表、应用服务器报表、网络设备报表、防火墙事件报表、windows审计报表、Linux审计报表、天翼云堡垒机审计报表。 新增报表组 您需要在报表组中新增自定义报表，首先需要新增报表组。 1. 登录日志审计（原生版）控制台。 2. 在左侧导航栏选择“审计报表 > 报表”，进入“报表”页面。 3. 单击“新增组”，填写“报表组名称”和“报表组描述”。 4. 填写完成后，单击“确认”完成报表组的新增。 新增报表 1. 登录日志审计（原生版）控制台。 2. 在左侧导航栏选择“审计报表 > 报表”，进入“报表”页面。 3. 选择需要新增报表的组，单击“新增报表”，进入“配置报表”页面。 4. 在“配置报表”页面，填写相关内容。 参数 参数说明 取值样例 名称 填写自定义报表模板的名称，在同一个报表组内不支持重名的报表。 Test 标题 填写报表文件的大标题。 Test 数据源 选择报表内容生成的数据源，如何配置数据源请参考数据源。 保存时间 选择报表生成后在系统内保存的时间，以天为单位。 7天 纸张大小 选择生成报表的纸张大小模板，支持选择“A3”、“A4”。 A4 纸张方向 选择生成报表的纸张方向。 垂直 页眉/页脚 根据需求选择是否开启。 5. 在页面右侧，拖拽需要配置的文档模板模块，完成报表模板的配置。 6. 配置完成后单击“提交”，完成报表的配置。

本页面主要介绍天翼云数据传输服务DTS对接的云审计服务使用和查看方法。 操作场景 数据传输服务DTS现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 操作事件 字段 创建实例 dtsCreateInstance 删除实例 dtsDeleteInstance 任务启动 dtsStartJob 任务暂停 dtsStopJob 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表页，根据需要选择时间段、设置筛选条件，如：读写类型、事件级别、操作用户、事件来源、资源类型、资源名称、事件名称等。点击查询即可。 4. 在审计事件查询结果列表右侧操作列点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

本章节介绍云主机备份的应用场景:数据备份恢复和业务快速迁移部署。 云主机备份可为多种资源提供备份保护服务，有效保障用户数据的安全性和正确性，确保业务安全。云主机备份适用于数据备份和恢复以及业务快速迁移和部署的场景。 数据备份和恢复 云主机备份在以下场景中，均可快速恢复数据，保障业务安全可靠。 受黑客攻击或病毒入侵 通过云主机备份，可立即恢复到最近一次没有受黑客攻击或病毒入侵的备份时间点。 数据被误删 通过云主机备份，可立即恢复到删除前的备份时间点，找回被删除的数据。 应用程序更新出错 通过云主机备份，可立即恢复到应用程序更新前的备份时间点，使系统正常运行。 云主机宕机 通过云主机备份，可立即恢复到宕机之前的备份时间点，使服务器能再次正常启动。 业务快速迁移&部署 为云主机创建备份，使用备份创建镜像，可快速创建与现有云主机相同配置的新云服务器，实现业务的快速部署。 详情请参考最佳实践整机镜像跨可用区迁移。

天翼云云日志服务产品服务协议

本文为您介绍容灾演练的操作流程。 操作场景 在不影响业务的情况下，通过容灾演练模拟真实的容灾恢复场景，确保在生产中心发生故障时能够顺畅地进行故障切换，且容灾中心云主机能够正常拉起、接管业务。 操作须知 容灾演练时，云上容灾恢复拉起时部署的云主机会产生费用，仅支持按需计费，收费标准按照云主机标准资费收取。 容灾演练时会创建容灾演练云主机。由于需要创建主机，需要在灾备VPC中申请IP，请保证灾备VPC的IP充足，否则可能导致流程失败。 前提条件 受保护服务器处于“实时复制启动中”、“实时复制中”、“实时复制停止中”或“实时复制停止”状态。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域。 3. 在存储产品中选择“云容灾”，进入云容灾页面。 4. 在云容灾页面，单击“云上容灾”，进入保护组板块展示页面。 5. 在保护组板块展示页面，找到目标保护组，单击目标保护组板块，进入保护组页面。 6. 在保护组页面，在“受保护的服务器”页签，找到目标主机名，单击操作列的“容灾演练”，进入容灾演练页面。 7. 在容灾演练页面，根据界面提示，配置容灾演练参数。 参数 说明 容灾云主机名称 请输入切换后的云主机名称。长度为2～15 个字符，只能由英文、数字和特殊字符""组成，且只能以英文开头，以英文或数字结尾。 规格 请选择切换后的云主机规格。 注意：请根据容灾中心实际业务情况选择容灾云主机的规格，如果容灾云主机规格比生产中心降配太多，切换后可能导致业务无法流畅运行。 IP地址 请选择IP地址类型。 两种IP地址类型区别如下： DHCP：动态分配云主机的IP地址。 手动指定：用户可以手动输入指定云主机的IP地址。 磁盘类型 请选择磁盘类型。 恢复点 请选择恢复时间点。默认为当前时间，也可以单击“编辑”选择其他恢复点。 弹性IP 请选择弹性IP。 8. 单击“启动”，开始容灾演练，容灾演练过程中，实时数据复制不受影响。 9. 当容灾演练完成，单击容灾演练信息下的链接，跳转到云主机详情页，远程登录云主机，验证数据与应用。 10. 验证完成后，为了降低容灾演练恢复出来的云主机费用，建议尽快单击该服务器对应的操作栏下的“清空演练环境”，将恢复出来的服务器删除。

参数名 说明 回源连接超时时间 1. 指回源节点与源站服务器建立连接的超时时间。 2. 如果回源节点在指定的连接超时时间内未能与源站服务器建立连接，则会触发节点重试，重试失败后将与源站终止连接并返回502。 3. “回源超时时间设置（新）”和“回源超时时间设置”均未配置时，默认回源连接超时时间为5s。 回源请求超时时间 1. 指回源节点与源站服务器建连成功后，向源站服务器发送请求的超时时间。配置之后，内部链路的回源请求超时时间从回源层往边缘层逐层递增的能力，默认递增1s。 2. 如果在指定的请求超时时间内未接收到源站服务器响应的首包，则会触发节点重试，重试失败后将与源站终止连接并返回502。 3. “回源超时时间设置（新）”和“回源超时时间设置”均未配置时，默认回源请求超时时间为12s。

本文对删除镜像会话的操作步骤进行说明。 使用场景 当您不需要镜像业务时，您可以删除镜像会话，删除镜像会话之前，请先保证会话处于停止状态。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成镜像会话的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在左侧导航栏，选择“流量镜像镜像会话”选项。 5. 在镜像会话页面，找到需要删除的镜像会话，然后在操作列单击“删除”按钮。 6. 处于运行中的会话请先点击停止会话，在弹出的对话框，单击“确定”按钮。

本章主要介绍最佳实践概述 场景描述 本手册基于天翼云API网关实践所编写，用于指导您开放并调用API。 应用场景范围：基于天翼云API网关开放容器应用服务。 云容器引擎（CTCCE，Cloud Container Engine，简称CCE）中的工作负载，以及微服务，可通过API网关将服务能力以API形式对外开放。 方案优势 借助API网关开放CCE容器应用，具有如下优势： 无需设置弹性公网IP，节省网络带宽成本 API网关支持建立VPC通道，访问CCE中工作负载的地址。 提供多种认证方式，增加访问安全性 提供访问流量控制策略，增加后端服务的安全性 与直接访问容器应用相比，API网关提供流量控制，确保后端服务稳定运行。 支持多实例负载均衡，合理利用资源，增加系统可靠性 流程图 本手册介绍如何通过API网关访问CCE中的工作负载。 图1通过API网关访问CCE工作负载（由实例组成）

9. 运行的程序无法连接到实例？ 网络连接问题：请确保您的网络连接正常，并且能够与云数据库ClickHouse数据库进行通信。检查防火墙、路由器或安全组设置，确保网络配置没有阻止与云数据库ClickHouse的连接。 配置错误：检查您的连接参数，确保正确地指定了云数据库ClickHouse数据库的主机名、端口号、用户名、密码等信息。 授权问题：确认您具有正确的权限来连接和访问云数据库ClickHouse。检查您的用户名和密码是否正确，并且具有足够的权限来执行所需的操作。 云数据库ClickHouse服务器状态：确保ClickHouse服务器正在运行，并且可供连接。检查服务器的状态，确保它正在正常运行，没有发生任何故障或错误。 云数据库ClickHouseuse版本兼容性：确保您使用的程序与所连接的云数据库ClickHouse数据库版本兼容。某些功能可能需要特定版本的驱动程序或适配器才能与云数据库ClickHouse进行连接。 10. 连接超时问题如何排查？ 前情提要 在云数据库ClickHouse内核中，有许多与超时相关的参数可以进行设置，并且提供了多种协议用于进行数据交互。接下来将重点介绍如何对HTTP协议和TCP协议的相关参数进行配置。通过调整这些参数，您可以优化与云数据库ClickHouse的通信，提高系统的稳定性和性能。 HTTP连接 云数据库ClickHouse使用HTTP协议作为一种与客户端进行通信的方式，默认端口为8123且不支持更改。 分布式DDL查询超时问题 增加超时时间：根据任务的复杂性和数据量的大小，可以通过增加 distributedddltasktimeout参数的值来延长超时时间。该参数定义了DDL任务的超时时间阈值，单位为秒。增加超时时间可以给任务更多的执行时间，以便完成复杂的操作。

本节介绍该产品服务协议。 产品服务协议，详情参见《天翼云云容器引擎服务协议》。

本文为您介绍云容灾服务的基本概念。 概念 说明 生产中心 生产中心指需要容灾的云主机在云上的位置，即承载租户业务的云主机所在的地域和可用区，需在创建保护组时指定。 容灾中心 容灾中心指灾备用的计算和存储资源在云上的位置。当前容灾中心仅支持与生产中心在同一个地域的不同可用区。 RPO Recovery Point Objective（恢复点目标），指故障发生时数据可以恢复到的时间点，决定生产中心发生故障时的数据丢失量。例如，RPO 30秒，表示在生产中心发生故障时，最近30秒的数据无法恢复。 RTO Recovery Time Objective（恢复时间目标），指故障发生后服务器从中断到恢复运行所需要的时间。例如，RTO 1分钟，表示在生产中心发生故障时，需要1分钟才能恢复正常运行。 复影云主机 云容灾为充分减少容灾闲置资源带来的开销，在容灾端采用复影云主机，在减少资源消耗的同时又能够提供良好的RTO。启动容灾复制后，生产中心受保护的云主机的数据会实时复制至复影云主机；容灾演练/故障切换时，复影云主机中的数据会传输至容灾云主机用于业务恢复。确认故障切换完成后，复影云主机会被自动删除。容灾复制期间，建议不要对复影云主机进行任何操作。 容灾云主机 进行容灾演练或故障切换时，系统在容灾中心创建的用于恢复业务的云主机，称为容灾云主机。 容灾保护组 用于管理一组需要容灾复制的云主机。不同虚拟私有云下的云主机不能加入同一个保护组，若租户拥有多个不同虚拟私有云下的云主机，则需要创建多个保护组。 受保护的服务器 保护组创建完成后，将生产中心需要容灾的云主机添加到指定的保护组中，该云主机就是受保护的服务器。 容灾演练 容灾演练通过模拟真实的容灾恢复场景，确保在生产中心发生故障时能够顺畅地进行故障切换，且容灾中心云主机能够正常拉起、接管业务。 故障切换 当生产中心发生重大故障时通过执行故障切换来恢复业务，保障客户业务连续性。故障切换完成后需要尽快确认从而清理容灾复制在云上占用的资源，降低费用。

使用说明 目前图片处理服务暂不支持客户自助开启，如需使用，请通过提交工单向天翼云客服申请。申请时，请说明具体希望达成如下哪种效果：自适应WEBP、自动瘦身、URL中携带特定参数实现图片处理。 自适应WEBP 自适应WEBP是图片格式转换的一种，开启自适应WEBP功能后，用户请求URL中无需携带相关参数，全站加速节点可将Accept请求头值中包括image/webp的图片格式自动转换为WEBP，以获得更好的压缩率及图像质量。 注意 开启自适应WEBP功能后，原始图片缓存会失效，短时间内文件命中率会下降，一段时间后会自行恢复，请避免在业务高峰期开启该功能。 自动瘦身 自动瘦身是图片质量转换的一种，开启自动瘦身后，用户请求URL中无需携带相关参数，全站加速节点可按照预先设定的相对质量比例自动完成图片质量转换，以对图片进行压缩，节省用户访问流量。 注意 如需配置自动瘦身功能，请在工单中注明自动瘦身比例。 URL中携带特定参数实现图片处理 开通图片处理功能后，用户可通过在URL中携带特定参数实现灵活的图片处理能力。 图片处理请求URL格式为： 具体字段含义如下： 参数 说明 www.ctyun.cn 在天翼云加速的全站加速域名。 a.jpg 需要处理的图片名称。 action 图片处理的固定参数名。 key1:value1 图片处理的具体参数，例如：format:bmp，则表示对该图片进行格式转换动作，将a.jpg转换为bmp格式。 key2:value2 图片处理的具体参数2，支持对同个图片做多个处理动作。 1. 存在多个处理参数时，getinfo优先级最高，如有该参数，其他参数忽略无效。 2. 存在多个处理参数，且不包括getinfo时，format格式转换参数将作为最后动作来处理，其他处理参数将按参数携带的先后顺序依次进行处理。 示例： 处理效果为：对a.jpg先将其绝对质量转换为80，再对其进行居中宽400高200的裁剪，最后将其转换为bmp图片格式。 目前支持的图片处理操作及对应参数如下： 图片处理功能 处理参数 说明 格式转换 format 对图片格式进行转换。 质量转换 quality 对图片质量进行转换，支持绝对质量转换和相对质量转换。 图片裁剪 cut 对图片进行指定位置的裁剪。 图片缩放 resize 对图片进行缩放。 图片旋转 rotate 对图片进行旋转。 图片色彩 brightnesscontrast 对图片的亮度和对比度进行调整。 添加水印 textwatermarks、imagewatermarks 添加文字水印或图片水印。 图片置灰 grayscale 对图片进行置灰。 渐进式加载 progressive 将图片转换为渐进式加载格式。 获取图片信息 getinfo 获取图片信息，包括图片的大小、宽、高、图片格式、图片质量和图片方向信息。 图片加边框 border 指定边框像素宽度和十六进制颜色

天翼云云下一代防火墙服务协议（新） 自2021年11月11日起，新版天翼云云下一代防火墙服务协议生效。 天翼云云下一代防火墙服务协议（旧）

本小节介绍如何进行代理文件验证。 按照CA中心的规范，如果您申请了SSL证书，则必须完成域名验证（又称验证域名所有权）来证明待申请证书要绑定的域名属于您。 代理文件验证，是指授权证书管理服务从管理控制台获取证书验证文件，然后在服务器的网站根目录下创建指定文件。CA机构验证文件路径可以被访问，则表示验证通过。 注意 目前CA中心仅支持向80、443端口发起验证请求，因此您的业务需开放80、443端口。 天翼云仅支持绑定IP域名和单域名类型证书使用文件验证。 约束与限制 绑定域名是在天翼云本平台上申请的域名，且已使用天翼云云解析服务。 操作步骤 在用户当前购买的证书服务有效期内，只要满足以下前提条件，后续所有续订订单的域名验证环节将由系统自动完成，无需您进行任何操作： 域名所有权未发生变更。 服务器权限未变更，且已配置的授权信息持续有效。 用户未主动删除系统创建的验证记录或文件。 请您耐心等待系统进行代理文件验证。CA机构完成文件验证信息的审核后（约1个工作日）即可签发证书。

本小节介绍如何进行代理文件验证。 按照CA中心的规范，如果您申请了SSL证书，则必须完成域名验证（又称验证域名所有权）来证明待申请证书要绑定的域名属于您。 代理文件验证，是指授权证书管理服务从管理控制台获取证书验证文件，然后在服务器的网站根目录下创建指定文件。CA机构验证文件路径可以被访问，则表示验证通过。 注意 目前CA中心仅支持向80、443端口发起验证请求，因此您的业务需开放80、443端口。 天翼云仅支持绑定IP域名和单域名类型证书使用文件验证。 约束与限制 绑定域名是在天翼云本平台上申请的域名，且已使用天翼云云解析服务。 操作步骤 在用户当前购买的证书服务有效期内，只要满足以下前提条件，后续所有续订订单的域名验证环节将由系统自动完成，无需您进行任何操作： 域名所有权未发生变更。 服务器权限未变更，且已配置的授权信息持续有效。 用户未主动删除系统创建的验证记录或文件。 请您耐心等待系统进行代理文件验证。CA机构完成文件验证信息的审核后（约1个工作日）即可签发证书。

本章主要介绍翼MapReduce的安全声明功能。 JDK使用声明 MRS是一个大数据集群，为用户提供分布式的数据分析计算能力。本产品自带的JDK为OpenJDK，主要使用场景如下： 平台服务运行及维护使用。 Linux客户端运行时使用（主要为业务提交、应用运维等）。 JDK风险说明 系统对自带的JDK进行了权限控制，只有属于FusionInsight平台相关群组的用户才有权限访问，且平台部署在客户内网，安全风险较低。 JDK加固 JDK加固相关操作请参考加固策略的“加固JDK”部分。 Hue组件包含公网IP的说明 Hue组件使用的ipadrress，requests，Django等第三方包的测试用例及其注释包含的公网IP，组件在提供服务时不涉及这些IP，Hue组件的配置文件中不涉及公网IP。

本章主要介绍翼MapReduce的修改DBService数据库omm用户密码功能。 1.以root用户登录DBService主节点。 说明 DBService数据库omm用户密码不支持在DBService备节点修改。只需在DBService主节点执行修改操作，无需在备管理节点操作。 2.执行以下命令，切换用户。 su omm 3.执行以下命令，切换目录。 source $DBSERVERHOME/.dbserviceprofile cd ${DBSERVICESOFTWAREDIR}/sbin/ 4.执行以下命令，修改omm用户密码。 sh modifyDBPwd.sh 5.输入omm的原密码后，再输入两次新密码。 密码复杂度要求： 密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、特殊字符~!@$%^&()+[{}];", /?中的3种类型字符。 不可和用户名相同或用户名的倒序字符相同。 不可与前20个历史密码相同。 显示如下结果，说明修改成功： Successful to modify password.

操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 操作事件 读写类型 删除告警规则 写事件 创建告警规则 写事件 修改告警规则 写事件 开启一键告警 写事件 批量修改一键告警 写事件 任务中心任务下载 写事件 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表中，选择事件来源为“云监控”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

本章节介绍云原生网关管理类常见问题 云原生网关支持哪些服务来源？ 云原生网关当前支持从天翼云Nacos注册中心或者云容器引擎集群发现服务；添加完服务来源之后，可以从Nacos或者云容器引擎指定命名空间中发现服务，配置为网关代理转发的目标服务；网关通过监听指定namespace下的服务，实时动态感知服务节点列表变化，实现网关的动态路由转发能力。 为什么添加服务来源的时候只能看到部分Nacos或者云容器引擎实例？ 云原生网关属于某一个指定的vpc网络，选择Nacos或者云容器引擎作为服务来源时会过滤集群列表，只能选择和当前网关同一vpc下的集群作为服务发现来源。 云原生网关如何支持https访问？ 通过域名管理功能可以配置访问域名，对于有https访问需求的场景，可以配置域名的https证书；通过网关节点的27154端口或者外部ELB的https端口（需要配置转发规则转发到网关的27154端口）访问，实现https加密通信。 路由配置支持哪些匹配规则？ 当前路由支持根据请求的域名、路径、HTTP方法、header、query匹配；路径匹配支持精确匹配和前缀匹配，对于前缀匹配/abc可以匹配请求/abc，/abcd/ef，/abc/def/cc。 一个请求同时匹配到多个路由时，最终会使用哪条路由规则？ uri精确匹配优先级最高；对于多个uri前缀匹配同时命中的情况，匹配深度较高的优先；相同uri的路由，如果存在其他匹配条件，则优先按其他条件匹配；其他条件也都同时匹配的情况下，优先级数字较大的路由优先匹配。