本章节主要介绍翼MapReduce集群组件使用规则。 Kafka支持四种协议类型的访问，分别为：PLAINTEXT、SSL、SASLPLAINTEXT、SASLSSL。当前，翼MR集群默认采用Kerberos安全验证服务，Kafka协议类型建议使用SASLPLAINTEXT、SASLSSL这两种。

操作步骤 1. 登录控制中心。 2. 单击控制中心顶部的，选择“地域”。 3. 单击左侧导航栏“产品服务列表”，选择“计算 > 弹性云主机”。 4. 选择左侧的“云主机组”。 5. 找到想要删除的云主机组，点击右侧操作栏中的“删除”按钮。 6. 在删除确认弹窗中点击“确认”按钮。 7. 返回云主机组列表，刷新页面，云主机组删除操作完成。 注意 挂载云主机无法删除。 从云主机组批量迁出云主机 操作步骤 1. 登录控制中心。 2. 单击控制中心顶部的，选择“地域”。 3. 单击左侧导航栏“产品服务列表”，选择“计算 > 弹性云主机”。 4. 选择左侧的“云主机组”。 5. 点击目标云主机组名称，进入云主机组的详情页。 6. 在云主机列表中勾选需要迁移的云主机，或通过全选复选框勾选全部云主机，点击“移除云主机”按钮。 7. 在确认弹窗中确认云主机信息，点击“确定”，完成批量移除操作。

购买ECS 1. 登录管理控制台。 2. 在服务列表中选择“计算 > 弹性云主机 ECS”，进入云服务器控制台，单击“购买弹性云主机”。 图5 登录弹性云主机控制台 3. 配置基础信息后，单击“下一步：网络配置”。ECS与待连接的GeminiDB Influx实例的区域及可用区一致。ECS与待连接的GeminiDB Influx实例的区域、可用区、VPC和安全组一致。 图6 基础配置 图7 选择规格 图8 选择镜像 4. 配置网络信息后，单击“下一步：高级配置”。ECS与待连接的GeminiDB Influx实例的VPC和安全组一致。 如果安全组规则允许弹性云主机云主机访问，即可连接实例。 如果安全组规则不允许弹性云主机云主机访问，需要在实例安全组添加一条“入”的访问规则。 图9 网络配置 图10 选择弹性公网IP 5. 配置密码等信息后，单击“下一步：确认配置”。 图11 高级配置 6. 确认配置信息后，单击“立即购买”。 图12 确认配置 7. 查看购买成功的ECS。

前提条件 当前资源池具备对象存储能力。 使用限制 1. 目前支持squashfs、qcow2格式的镜像文件的上传。 2. 将已准备好的镜像文件、镜像分区文件和对应MD5文件上传至对象存储桶。具体可参考“制作私有镜像”。 3. 为确保过程顺利，镜像名称、对象存储桶名、路径名称中请不要使用中文、空格以及特殊字符。 4. 导入相关镜像文件时，请确认文件对云平台可读： 如果您的资源池支持自动授权，请直接授权云平台访问文件。 否则，请手动将文件权限设置为公共读。 流程概览 通过镜像文件创建系统盘镜像是指用户可以从本地或其他云平台将准备好的镜像文件导入天翼云，导入后可以用此镜像创建物理机或者对物理机进行重装。 通过镜像文件创建系统盘镜像包括3个步骤： 1. 准备符合要求的镜像文件，请参考“制作私有镜像”。 2. 上传镜像文件至对象存储桶，请参考下文“上传镜像文件”。 3. 将上传的镜像文件注册为私有镜像，请参考下文“注册镜像”。 上传镜像文件 镜像文件准备好后，需要将镜像文件上传至对象存储桶中。上传镜像文件的操作请参考上传文件。 注册镜像 镜像文件上传至对象存储桶后，需要将其注册为云平台可用的私有镜像，以下为详细操作步骤。 操作步骤 1. 登录天翼云控制中心。 2. 单击控制中心顶部的选择区域。 3. 在左侧导航栏选择“计算 > 镜像服务”。 4. 在“镜像”列表页面，单击右上角“创建私有镜像”，进入创建私有镜像页面。 5. 在创建私有镜像页面，镜像类型选择“系统盘镜像”，镜像源选择“物理机镜像文件”。 6. 选择镜像文件。 7. 选择镜像分区文件。 8. 选择MD5文件。 注意 确保镜像文件、镜像分区文件和MD5文件的匹配关系一致。 9. 选择操作系统以及对应的版本，此处的系统和版本用于匹配使用私有镜像去创建物理机或者重装系统。 注意 制作Windows私有镜像需要选择Windows操作系统以及版本，制作Linux私有镜像需要选择Linux操作系统以及版本，否则将会导致镜像制作失败。 10. 选择分区设置。 11. 选择企业项目，企业项目为必填项，一个私有镜像必须属于一个企业项目。 12. 填写镜像名称（长度232位，只能由数字、字母、、和.组成，不能以数字、、和.开头、且不能以结尾）。 13. 在高级配置中，设置标签和描述（可选）。 14. 单击“下一步”。 15. 确认镜像参数，勾选“我已阅读并同意相关协议”，并单击“确认下单”按钮。 根据镜像大小的不同，创建时间不同，等待一段时间后即可在私有镜像列表看到创建出的私有镜像。

前提条件 已获取管理控制台的登录帐号与密码。 已经配置好安全组。 弹性云服务器的“Agent状态”为“未安装”。 通过IE浏览器访问时需要将用到的网站加入受信任的站点。 安装Linux版本客户端（方式一） 步骤1、登录云服务备份管理控制台。 1. 登录管理控制台。 2. 单击管理控制台右上角的，选择区域和项目。 3. 选择“存储 > 云服务备份”。选择对应备份的页签。 步骤2、选择“安装Agent”页签，进入“安装Agent”页面。 步骤3、在方式一中，根据需要选择相应的Agent版本，并将步骤二的安装命令复制下来。 步骤4、前往“弹性云服务器”界面，选择目标服务器，单击“操作”列下的“远程登录”，登录该弹性云服务器。 步骤5、将步骤二的安装命令粘贴至该服务器，以root权限执行。若执行失败，请先使用命令yum install y bindutils进行dig模块安装；若使用该命令安装仍旧失败，再使用安装Linux版本客户端（方式二）进行安装。 步骤6、Linux系统客户端安装完成后，即表示Agent已在正常工作。后续请参考最佳实践中修改或编写自定义脚本，来实现MySQL或SAP HANA等数据库的一致性备份。 安装Linux版本客户端（方式二） 步骤1、登录云服务备份管理控制台。 1. 登录管理控制台。 2. 单击管理控制台右上角的，选择区域和项目。 3. 选择“存储 > 云服务备份”。选择对应备份的页签。 步骤2、选择“安装Agent”页签，进入“安装Agent”页面。 步骤3、在方式二中，单击“点击下载”。在弹出的“下载客户端”，根据目标弹性云服务器的操作系统类型，选择需要下载的版本，单击“确定”。 步骤4、将客户端下载至本地任意目录后，使用文件传输工具（例如：“Xftp”、“SecureFX”、“WinSCP”），将下载的客户端安装包上传到待安装客户端的弹性云服务器。 步骤5、上传完毕后，前往“弹性云服务器”界面，选择目标服务器，单击“操作”列下的“远程登录”，登录该弹性云服务器。 步骤6、执行tar zxvf命令，将客户端安装包解压至任意目录，执行以下命令，进入解压后目录中的bin目录。 cd bin 执行以下命令，运行安装脚本。 sh agentinstallebk.sh 系统提示客户端安装成功。 步骤7、若弹性云服务器中已经安装了MySQL或SAP HANA数据库，需要执行以下命令加密MySQL或HANA数据库登录密码。 /home/rdadmin/Agent/bin/agentcli encpwd 步骤8、使用上一个步骤中的加密密码替换/home/rdadmin/Agent/bin/thirdparty/ebkuser/目录下脚本里的数据库登录密码。 步骤9、Linux系统客户端安装完成后，即表示Agent已在正常工作。后续请参考最佳实践中修改或编写自定义脚本，来实现MySQL或SAP HANA等数据库的一致性备份。

本节介绍天翼云智能语音交互产品定义。 什么是智能语音交互 天翼云智能语音交互产品可广泛应用于语音交互等各类场景。 服务需要用户通过调用API接口，然后返回结果，用户需要通过编码将识别结果对接到业务系统或保存成文件。 当前智能语音交互产品提供了以下服务： 语音合成

通过ECS访问FusionInsight Manage 1. 在MRS管理控制台，单击“集群列表”。 2. 在“现有集群”列表中，单击指定的集群名称。 记录集群的“可用区”、“虚拟私有云”、“集群管理页面”、“安全组”。 3. 在管理控制台首页服务列表中选择“弹性云主机”，进入ECS管理控制台，创建一个新的弹性云主机。 弹性云主机的“可用区”、“虚拟私有云”、“安全组”，需要和待访问集群的配置相同。 选择一个Windows系统的公共镜像。例如，选择一个标准镜像“Windows Server 2012 R2 Standard 64bit(40GB)”。 其他配置参数详细信息，请参见“弹性云主机 > 用户指南 > 快速入门 > 创建并登录Windows弹性云主机”。 说明 如果ECS的安全组和Master节点的“默认安全组”不同，用户可以选择以下任一种方法修改配置： 将ECS的安全组修改为Master节点的默认安全组，请参见“ 用户指南 > 安全组 > 更改安全组”。 在集群Master节点和Core节点的安全组添加两条安全组规则使ECS可以访问集群，“协议”需选择为“TCP”，“端口”需分别选择“28443”和“20009”。请参见“虚拟私有云 > 用户指南 > 安全性 > 安全组 > 添加安全组规则”。 4. 在VPC管理控制台，申请一个弹性IP地址，并与ECS绑定。 具体请参见“虚拟私有云>用户指南 > 弹性公网IP > 为弹性云主机申请和绑定弹性公网IP”。 5. 登录弹性云主机。 登录ECS需要Windows系统的帐号、密码，弹性IP地址以及配置安全组规则。具体请参见“弹性云主机 > 用户指南 > 实例 > 登录弹性云主机 > 登录Windows弹性云主机”。 6. 在Windows的远程桌面中，打开浏览器访问Manager。 例如Windows 2012操作系统可以使用Internet Explorer 11。 Manager访问地址为“集群管理页面”地址。访问时需要输入集群的用户名和密码，例如“admin”用户。 如果使用其他集群用户访问Manager，第一次访问时需要修改密码。新密码需要满足集群当前的用户密码复杂度策略。请咨询管理员。 默认情况下，在登录时输入5次错误密码将锁定用户，需等待5分钟自动解锁。 7. 注销用户退出Manager时移动鼠标到右上角 ，然后单击“注销”。

本节介绍了切换虚拟私有云的操作场景、约束限制、切换须知、操作步骤。 操作场景 本节操作介绍为弹性云主机切换虚拟私有云的操作步骤。 约束限制 仅支持单网卡切换虚拟私有云。 切换虚拟私有云前如果重装/切换过云主机的操作系统，请先登录云主机，验证重装/切换时设置的密码或密钥是否注入成功。 − 如果成功登录云主机，说明密码或密钥注入完成，可继续执行其他操作。 − 否则说明系统正在注入密码或密钥信息，在此期间请勿对云主机执行其他操作。 切换虚拟私有云过程中，请勿操作云主机的弹性公网IP，或对云主机做其他操作。 如果网卡上有IPv6地址，无法切换虚拟私有云。 切换须知 切换虚拟私有云支持在开机状态下操作，但是过程中会导致云主机网络中断。 切换虚拟私有云后，云主机子网、私有IP地址、MAC地址、操作系统内网卡名称都会发生改变。 切换虚拟私有云后，请重新配置源/目的检查和虚拟IP地址。 虚拟私有云切换完成后，与网络配置相关的应用软件需要重新配置。与网络相关的服务也需要重新配置，例如ELB、VPN、NAT、DNS等。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 弹性云主机”。 3. 在弹性云主机列表中，单击“操作”列下的“更多 > 网络设置 > 切换VPC”。 系统弹窗显示“切换虚拟私有云”页面。 4. 根据界面提示，在下拉列表中选择可用的虚拟私有云、子网，设置私有IP地址和安全组。 5. 您可以同时勾选多个安全组，此时，弹性云主机的访问规则遵循几个安全组规则的并集。 说明 使用多个安全组可能会影响弹性云主机的网络性能，建议您选择安全组的数量不多于5个。 6. 单击“确定”。

本文主要介绍了余额提现的操作流程和注意事项。 客户可以申请对充值账户中的可提现金额进行提现。 提现规则 可提现金额账户余额欠票金额按需预留100或按需资源1小时费用 提现金额优先 原路退回 ，银行卡提现只能提现至与实名认证信息相同的银行账号。 为了保证账户资金安全，必须完成实名认证后才可以进行提现。 代金券充值金额不能进行提现；欠票金额不能进行提现，客户退票或增加相应开票金额后，原欠票金额即可恢复可提现操作。 天翼云账号开通了按需付费业务，需预留 100 元 金额或按需资源1小时费用，此预留金额不能提现。（在按需资源删除48小时之后可提现预留的金额）。 提现款项流向 提现分为原路提现和银行卡提现两种。 在线充值（微信、翼支付）到账360天内的金额、在线充值（通过天翼云APP跳转支付宝支付）到账90天内的金额、在线充值（通过天翼云官网支付宝扫码充值）到账360天内的金额，可以原路退回。提现时按照原支付路径（支付宝、微信、翼支付）实时退还至原付款账户。 在线充值（微信、翼支付）到账超过360天的金额 、在线充值（通过天翼云APP跳转支付宝支付）到账超过90天的金额、在线充值（通过天翼云官网支付宝扫码充值）到账超过360天的金额或因 第三方余额不足 、网络超时等其他原因导致原路返回提现失败的，转为银行卡提现。 转账汇款充值（对公充值）的金额只能进行银行卡提现。 银行卡提现需要您提交相关资料(原支付凭证等)，预计10~15个工作日完成。 通过第三方支付或银联在线支付充值到个人实名认证用户 的资金，若因系统能力无法支持原路退回，银行卡提现只能提现至与个人实名认证信息相同的银行账号。客户提交提现申请时需同步上传原付款凭证，如遇特殊情况无法提交付款凭证的，客户需上传说明函证明（模板：关于个人客户付款凭证缺失的说明.docx）。 通过第三方支付或银联在线支付充值到企业实名认证用户 的资金，若因系统能力无法支持原路退回，银行卡提现原则上只能提现至与企业实名认证信息相同的银行账号。客户提交提现申请时需同步上传原付款凭证，如遇特殊情况无法提交付款凭证的，客户需上传说明函证明（模板：关于企业客户付款凭证缺失的说明.docx）。此外，如确因实际原因需提现至非同名的银行账号，客户还需提交加盖公司公章或财务专用章的证明（模板：关于充值客户和提现客户不一致的情况说明.docx），证明企业与提现账号的关系。 系统默认根据现金账户后进先出的原则进行提现，即根据多个充值流水的处理顺序，按照充值时间，后充值的金额先提取。

本章节为您介绍了天翼云ECX的功能特性。 提供多重保障和手段，实现业务高可用 高可用多副本存储，云硬盘、整机的快照备份，快照回滚、备份恢复。 虚拟机冷热迁移及反亲和，故障自愈。 多样化监控指标和告警，图形化展示，帮助快速发现和处理问题。 支持专属网络和经典网络，可选择其一或两者兼具 专属网络即VPC，支持NAT、SLB、VPN等多种扩展能力。 经典网络独立于VPC，支持大带宽业务。 支持在开通时或开通后按需增删网络类型和数量。 提供多种VPC互通能力，可根据需求按需选择 对等连接可实现同集群同用户或不同用户VPC之间的内网互通。 VPN可实现不同集群之间或与第三方云、本地数据中心互联互通。 边边网络可实现不同VPC之间内网互联，不限集群和用户。 提供裸金属，兼具虚拟机弹性能力和物理机高性能 裸金属支持EIP和NAT网关等VPC能力，可与同集群云主机内网互通。 支持使用公有镜像和自定义镜像自定义装机。 提供多种监控指标告警。 提供丰富的计算、存储、网络能力 提供与中心云相同的能力，一致的使用体验。 提供包括虚拟机、裸金属等计算能力，云硬盘、本地盘、本地裸盘等存储能力。 提供VPC、公网IP、共享带宽、NAT网关、负载均衡、路由表、内网VIP、NAT64服务等网络能力。

本文介绍了使用天翼云防火墙(原生版)的使用流程和步骤说明。 一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界、内网VPC边界管控与安全防护，并提供实时入侵防护、全流量业务可视化、日志审计和分析等功能，帮助用户完成网络边界防护与等保合规业务。 使用流程 使用流程如下图： 互联网边界防护 操作步骤 说明 相关文档 购买云防火墙（原生版） 成功注册天翼云账号后，打开控制中心，切换资源池至目标资源池，选择云防火墙（原生版）产品，点击购买配额。 购买C100实例 开启防护 打开云防火墙（原生版）控制台，选择防火墙开关，开启防护。 开启弹性IP防护 开启公网NAT网关防护 开启弹性负载均衡防护 配置防护策略 购买成功后，打开云防火墙（原生版）控制台，配置访问控制策略和防护策略。 支持配置以下防护策略： 入向/出向防护规则：按照IP地址、端口、协议、应用等维度设置防护规则进行流量管控。 黑/白名单规则：按照IP地址进行流量管控，来自黑名单内的流量会直接拦截，来自白名单内的流量会直接放行。 入侵防御：根据入侵防御规则库拦截网络攻击，支持基础防御、虚拟补丁、DDoS防护。 配置互联网边界防护规则 配置入侵防御防护规则 查看防护结果 策略配置成功后，查看防护结果日志，防火墙成功开启。 日志审计

本章节主要介绍翼MapReduce服务的API使用说明。 OpenAPI门户提供了产品的API文档、API调试、SDK中心等信息与能力。 您可以前往OpenAPI门户，了解如何使用翼MapReduce服务的API，详情请参见使用API。您可以在OpenAPI门户内了解调用前必知、API概览、如何调用API以及详细的接口说明。

操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域，此处我们选择华东1。 3. 单击“存储>云硬盘”，进入云硬盘主页面。 4. 单击左侧导航栏中的“云硬盘快照”，进入云硬盘快照页面。 5. 在云硬盘快照页面，单击待回滚快照所在行“操作>回滚”，进入“回滚数据”窗口。 6. 根据界面提示，确定回滚操作信息后，单击“确定”，云硬盘开始进行数据回滚。注意云硬盘回滚至目标时刻之后，该目标时刻到回滚操作时刻之间的数据将被删除，请谨慎操作。 7. 在云硬盘快照页面，查看快照状态。待快照状态由“回滚中”变为“可用”时，表示回滚命令下发成功。 8. 登录云主机查看数据是否回滚成功。 注意 云硬盘数据是否回滚成功请以云硬盘实际数据为准。 验证回滚快照功能 用一个实际案例来确认快照回滚功能。 1. 登录弹性云主机实例查看当前云硬盘中的数据。比如此时文件夹/mnt/sdc中具有一个文件a.txt。 2. 在执行操作删除文件a.txt之前可以对云硬盘创建快照用于备份数据。您可在控制台创建快照。具体操作详见创建快照。 3. 您可根据业务需求继续使用云硬盘，在业务使用过程中为云硬盘创建快照可降低数据误操作的风险。比如本例中，在创建快照之后，再进行“删除文件夹/mnt/sdc中的a.txt文件” 的操作。 4. 若想将云硬盘数据恢复数据至快照时刻，您可在控制台对快照进行回滚操作，具体操作详见快照回滚。注意回滚时，云硬盘若处于挂载状态，其所挂载的云主机需要处于关机状态，现在我们进行关机及回滚。 5. 执行回滚操作后，在云主机实例中查看云硬盘数据恢复，则表明回滚操作成功。此时文件夹/mnt/sdc中恢复了a.txt文件。

本章节主要介绍ALM24014 Flume MonitorServer证书文件即将过期的告警。 告警解释 MonitorServer每隔一个小时，检查当前MonitorServer证书文件是否即将过期，如果剩余有效期小于或等于30天，产生该告警。剩余有效期大于30天，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 24014 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 对系统的影响 MonitorServer证书文件即将失效，对系统目前运行无影响。 可能原因 MonitorServer证书文件即将到期。 处理步骤 查看告警信息 1.登录FusionInsight Manager首页，选择“运维 > 告警 > 告警 > ALM24014 MonitorServer证书文件即将过期 > 定位信息”。查看告警上报的实例的IP地址。 检查系统中合法证书文件的有效期，重新生成证书文件 2.以root用户登录告警所在节点主机，并执行su omm切换用户。 3.执行命令进入MonitorServer证书目录。 cd ${BIGDATAHOME}/FusionInsightPorter/install/FusionInsightFlume/flume/conf 4.执行命令查看用户证书的生效时间与失效时间。 openssl x509 noout text in mssChat.crt 5.根据需要，选择业务空闲期，执行步骤6~步骤7更新证书。 6.执行以下命令进入Flume脚本目录。 cd ${BIGDATAHOME}/FusionInsightPorter/install/FusionInsightFlume/flume/bin 7.执行以下命令重新生成证书，等待1小时，观察此告警是否被清除。 sh geneJKS.sh m sKitty12@ n cKitty12@ 是，执行步骤9。 否，执行步骤8。 8.使用omm用户在Flume实例产生告警的节点，重复执行步骤6~步骤7，等待1小时，观察此告警是否被清除。 是，执行步骤9。 否，执行步骤10。 9.查看系统在定时检查时是否会再次产生此告警。 是，执行步骤10。 否，处理完毕。

本节介绍了KVM实例变更为QingTian实例的操作场景、约束与限制、操作流程、后续处理。 操作场景 本节介绍将KVM实例变更为QingTian架构实例的操作步骤。 说明 KVM实例：参考实例规格，查询对应规格的虚拟化类型。 QingTian架构实例：选择“通用计算增强型C7”、“通用计算增强型C7t”、“内存优化型M7”、“鲲鹏通用计算增强型Kc2”。 约束与限制 Windows操作系统云主机不支持“KVM实例”变更为“QingTian实例”。 变更规格过程中，弹性云主机需要关机，建议您选择业务空闲时间进行操作。 变更规格时不支持修改网络类型。 Linux操作系统云主机的系统盘和数据盘如果存在由多个物理卷组成的LVM逻辑卷或组建了RAID磁盘阵列，均不支持变更规格，否则可能会导致数据丢失。 C7、M7型云主机仅支持使用SCSI磁盘模式挂载磁盘，不支持使用VBD磁盘模式挂载磁盘。即磁盘标识为wwn。由其他规格变更为C7、M7型云主机会导致虚拟机内盘符发生变化，请先检查系统fstab、grub中是否有使用磁盘设备名。如果存在该问题，请参考修改fstab文件磁盘标识方式为UUID进行修改，避免变更后实例启动失败。 支持将“KVM实例”变更为“QingTian实例”，不支持将“QingTian实例”变更为“KVM实例”。 不支持“XEN实例” 变更为“QingTian实例”。 如果云主机操作系统的逻辑卷管理器（LVM）启用了system.devices文件功能，规格变更后可能会使LVM根据system.devices文件匹配不到磁盘，导致LVM无法识别。基于Red Hat Enterprise Linux 9的操作系统默认启用了system.devices设备文件功能，例如CentOS 9.x、Rocky Linux 9.x等版本。对于使用这些版本操作系统的云主机，在变更前需要将/etc/lvm/device里的system.devices文件重命名或者移走，然后再进行变更操作。更多介绍，请参见限制LVM设备可见性和用法。

本文介绍删除云主机启动模板。 操作场景 当您创建的云主机启动模板已不再需要时，您可删除云主机模板。删除云主机模板后不会影响当前已创建的云主机实例或弹性伸缩。 操作步骤 1. 登录控制中心。 2. 单击控制中心顶部的，选择“地域”。 3. 单击左侧导航栏“产品服务列表”，选择“计算 >弹性云主机 > 云主机启动模板”，进入云主机启动模板控制列表页。 4. 找到想要使用的云主机启动模板，点击操作中“删除”。

资源分组列表展示用户在云监控服务拥有的全部资源分组及各个分组的资源和健康度概况。 操作步骤 1. 在管理控制台左上角选择区域和项目。 2. 单击“服务列表 > 云监控服务”。 3. 单击页面左侧的“资源分组”，进入“资源分组”页面。 在“资源分组”页面可以查看用户创建的所有资源分组，如下表所示。 表 资源分组列表参数说明 参数 说明 名称/ID 资源分组的名称/ID。 说明 分组名称小于等于128个字符，只能为字母、数字、汉字、、。 健康状态 组内所有资源均未发生告警，为健康状态。 只要组内有资源正在告警，为不健康状态。 组内所有资源均未设置告警规则，提示未设置告警规则。 不健康资源数 组内所有正在告警的资源数总和。例如您有2台弹性云主机 、1个云硬盘正在告警，则不健康资源数为3。 资源总数 组内所有资源的数量，例如组内有2台弹性云主机 ，1个云硬盘，1个弹性IP四个资源，则资源总数为4。 资源类型数 组内资源类型的数量，例如组内有2台弹性云主机 、1个云硬盘两种资源类型，则资源类型数为2。 归属企业项目 拥有资源分组权限的企业项目名称。 创建时间 资源分组的创建时间。 操作 目前支持修改、删除组两种操作。

本文主要介绍云日志服务如何进行通知策略管理。 通知策略包含通知对象、通知模板与通知时段，当告警触发时，只要不符合静默策略，就会根据所配置的通知策略在对应渠道发送告警信息给对应的通知对象。本文介绍如何创建通知策略。 前提条件 已完成通知组配置，详情请查看通知组管理。 操作步骤 1. 登录云日志服务控制台。 2. 左侧导航栏点击告警管理通知策略模块。 3. 点击【创建通知策略】。 4. 在页面中输入通知策略名称。 5. 点击【添加通知对象】，可添加联系人、联系人组、翼连、webhook四种类型的通知对象，每种类型下可添加具体通知对象。 6. 检查通知模板，您可根据实际情况修改不同渠道的通知模板内容。 7. 设置通知时段，告警信息只在您配置的时段进行通知，不配置默认全天通知时段。 8. 点击【确定】，完成通知策略创建。

操作系统 版本 Linux 天翼云提供的公共Linux镜像均支持 Windows 天翼云提供的公共Windows镜像均支持

参数 参数说明 资源类型 配置告警规则监控的服务名称。 取值样例：弹性云主机 维度 用于指定告警规则对应指标的维度名称。 取值样例：弹性云主机 是否从现有模板导入 是 选择一个已有模板名称，自动添加默认告警规则。 否 手动添加告警规则。

本文介绍如何处理CNAME解析不生效问题。 CNAME（Canonical Name）记录是一种别名记录，用于将多个域名映射到同一台计算机或服务器上。通过配置CNAME记录，可以实现域名的别名映射，将一个域名解析到另一个域名上。 客户接入视频直播时，在天翼云直播控制台完成加速域名添加后，系统会为您分配一个天翼云视频直播的CNAME域名，例如 .ctdns.cn，您需要在您的DNS解析服务商添加CNAME记录，将自己的加速域名指向 .ctdns.cn的CNAME域名，这样该域名所有的请求才会转向天翼云视频直播的节点，实现加速的目的。 如发现CNAME未正常解析，可能的原因如下： 1. CNAME配置错误：请检查所配置的CNAME解析记录值是否与天翼云直播控制台提供的CNAME地址一致。如果不一致，可能会导致解析失败。 2. TTL未过期：在完成CNAME配置后，运营商localDNS的TTL可能还未过期。通常情况下，TTL时间为10分钟，但实际生效以您域名解析时配置的TTL为准。需要等待TTL时间过期后，新的CNAME解析才能生效。

本文介绍了云防火墙（原生版）的购买类常见问题。 云防火墙（原生版）可以按天购买吗？ 不支持，目前只支持包月和包年购买。 云防火墙的流量带宽和防护IP数支持升降吗？ 支持。但在降配时，每次只支持降级一个参数，即防护互联网边界的流量峰值、防护互联网边界公网IP数若都要降配，需要分两个订单完成。 支持同时防护公网的IP不够怎么办？ 高级版可通过弹性扩展提升规格，可按照您的需要进行IP升配。

本章节主要介绍翼MapReduce的配置Syslog北向参数。 操作场景 该任务指导用户以Syslog方式将MRS Manager的告警事件上报到指定的监控运维系统中。 须知：Syslog协议未做加密，传输数据容易被窃取，存在安全风险。 前提条件 对接服务器对应的弹性云服务器需要和MRS集群的Master节点在相同的VPC，且Master节点可以访问对接服务器的IP地址和指定端口。 操作步骤 在MRS Manager，单击“系统设置”。 1. 在“配置”区域“监控和告警配置”下，单击“Syslog配置”。 “Syslog服务”的开关默认为关闭，单击启用Syslog服务。 2. 设置如下表所示的对接参数。 详见下表：对接参数 参数区域 参数名称 参数说明 Syslog协议 服务IP 设置对接服务器IP地址。 服务端口 设置对接端口。 协议 设置协议类型，取值范围： l “TCP” l “UDP” 安全级别 设置上报消息的严重程度，取值范围： l “Informational” l “Emergency” l “Alert” l “Critical” l “Error” l “Warning” l “Notice” l “Debug” Facility 设置产生日志的模块。 标识符 设置产品标识，默认为“MRS Manager”。 报告信息 报文格式 设置告警报告的消息格式，具体要求请参考界面帮助。 报告告警类型 设置需要上报的告警类型。 l “故障”表示Manager产生告警时会上报Syslog告警消息。 l “清除”表示清除Manager告警时会上报Syslog告警消息。 l “事件”表示Manager产生事件时会上报Syslog告警消息。 报告告警级别 设置需要上报的告警级别。支持“提示”、“一般”、“严重”和 “致命”。 未恢复告警上报设置 周期上报未恢复告警 设置是否按指定周期上报未清除的告警。“周期上报未恢复告警”的开关默认为关闭，单击启用此功能。 间隔时间（分钟） 设置周期上报未恢复告警到远程Syslog服务的时间间隔，当“周期上报未恢复告警”开关打开时启用。单位为分钟，默认值为“15”，取值范围为5分钟到一天（1440分钟）。 心跳设置 上报心跳 设置是否开启周期上报Syslog心跳消息。“周期上报未恢复告警”的开关默认为关闭，单击启用此功能。 心跳周期（分钟） 设置周期上报心跳的时间间隔，当“上报心跳”开关打开时启用。单位为分钟，默认值为“15”，取值范围为160。 心跳报文 设置心跳上报的内容，当“上报心跳”开关打开时启用，不能为空。支持数字、字母、下划线、竖线、冒号、空格、英文逗号和句号等字符，长度小于等于256。 说明：设置周期上报心跳报文后，在某些集群容错自动恢复的场景下（例如主备管理节点倒换）可能会出现报文上报中断的现象，此时等待自动恢复即可。 3. 单击“确定”，设置完成。

排查项九：检查节点中的vdb盘是否被删除 如果节点中的vdb盘被删除，可参考此章节内容恢复节点。 排查项十：排查Docker服务是否正常 步骤 6 执行以下命令确认docker服务是否正在运行： systemctl status docker 若执行失败或服务状态非active，请确认docker运行失败原因，必要时可提交工单联系技术支持。 步骤 2 执行以下命令检查当前节点上所有容器数量： docker ps a wc l 若命令卡死、执行时间过长或异常容器数过多（1000以上），请确认外部是否存在重复不断地创删负载现象，在大量容器频繁创删过程中有可能出现大量异常容器且难以及时清理。 在此场景下可考虑停止重复创删负载或采用更多的节点去分摊负载，一般等待一段时间后节点会恢复正常，必要情况可执行docker rm {containerid}手动清理异常容器。 三、 如何变更CCE集群中的节点规格？ 操作方法 注意 如果需要变更规格的节点是纳管到集群中的，可将节点从CCE集群中移除后再变更节点规格，避免影响业务。 步骤 1 登录CCE控制台，进入集群，在左侧选择“节点管理”，在右侧单击节点名称，跳转到弹性云服务器详情页。 步骤 2 在弹性云服务器详情页中，单击右上角的“关机”，关机完成后单击“更多 > 变更规格”。 步骤 3 在“云服务器变更规格”页面中根据业务需求选择相应的规格，单击“提交”完成节点规格的变更，返回弹性云服务器列表页，将该云服务器执行“开机”操作。 步骤 4 登录CCE控制台，进入集群，在节点管理列表中找到该节点，并单击操作栏中的“同步云服务器”，同步后即可看到节点规格已与弹性云服务器中变更的规格一致。 四、CCE节点变更规格后，为什么无法重新拉起或创建工作负载？

本节介绍了备份弹性云主机的操作场景、云主机备份操作步骤、云硬盘备份操作步骤。 操作场景 云备份（Cloud Backup and Recovery，CBR）提供对云硬盘和弹性云主机的备份保护服务，支持基于快照技术的备份服务，并支持利用备份数据恢复服务器和磁盘的数据。云备份最大限度保障用户数据的安全性和正确性，确保业务安全。 云备份提供申请即用的备份服务，使您的数据更加安全可靠。例如，当磁盘或服务器出现故障或者人为错误导致数据误删时，可以自助快速恢复数据。 云主机备份操作步骤 1.登录管理控制台。 2.选择“存储 > 云备份 > 云主机备份”。 3.单击“创建云主机备份存储库”。 详细操作，请参见《云备份用户指南》中“创建存储库”章节。 4.云主机备份存储库创建后，通过向存储库绑定服务器来进行备份操作。 详细操作，请参见《云备份用户指南》中“绑定云主机或磁盘”章节。 5.创建备份。 详细操作，请参见《云备份用户指南》中“创建备份”章节。 云硬盘备份操作步骤 1.登录管理控制台。 2.选择“存储 > 云备份 > 云硬盘备份”。 3.单击“创建云硬盘备份存储库”。 详细操作，请参见《云备份用户指南》中“创建存储库”章节。 4.云硬盘备份存储库创建后，通过向存储库绑定磁盘来进行备份操作。 详细操作，请参见《云备份用户指南》中“绑定云主机或磁盘”章节。 5.创建备份。 详细操作，请参见《云备份用户指南》中“创建备份”章节。

本节介绍文件存储概念和使用。 简介 文件存储提供了可扩展的共享文件存储服务，它具有如下优势：支持多个ECX实例共享访问、支持弹性扩展、储存速度快、数据储存可靠性高等。ECX文件存储已支持NFS和SMB两种协议。 开通文件存储 1. 登录ECX控制台。 2. 点击【边缘存储>文件存储】进入到文件存储页面，点击【购买文件存储】按钮跳转至购买文件存储页面。 3. 参数如下表所示，核对信息无误后，点击【下单购买】完成支付，即可开通成功。 参数 说明 计费模式 使用的计费模式，可选择【包年包月】或者【按需计费】 地域 选择使用哪个地域用于创建文件存储 可用区 选择使用哪个可用区用于创建文件存储 文件存储名称 自定义名称，由中英文、数字、中划线''或下划线''组成，1~20个字符 IO类型 所使用的IO类型 容量大小 创建的大小，范围为10～32768GB 协议类型 支持的协议类型为【NFS】或【SMB】 接入网络 选择文件存储需要接入的vpc，若当前集群未创建过vpc，可跳转至开通vpc页面进行创建 查看文件存储 1. 登录ECX控制台。 2. 单击左侧导航栏【边缘存储>文件存储】进入文件存储列表，在文件存储列表可查看文件存储的ID、类型、协议等信息，支持通过文件存储的实例名称或实例ID搜索查找文件存储实例。 3. 点击文件存储列表中文件存储的名字，进入到详情页面可以查看对应的文件存储详情信息。

分类 功能模块 描述 零信任免费版 零信任VPN版 零信任基础版 零信任企业版 终端管理基础版 远程办公接入 零信任VPN 提供虚拟专有网络，通过加密协议对数据进行加密传输，建立安全可靠的VPN网络。 √ √ √ √ 不涉及 远程办公接入 内网应用接入 可实现域名、IP等精细化内网应用接入。 √ √ √ √ 不涉及 远程办公接入 精细化权限管控 支持应用按身份，角色，用户组，组织架构等进行授权和管控。 √ √ √ √ 不涉及 远程办公接入 信创连接器 连接器版本支持常用国产化系统，包括麒麟、统信、天翼云CTyunOS。 × √ √ √ 不涉及 远程办公接入 连接器管理 提供灵活连接器部署安装方式，用于打通企业内网。 √（仅支持部分安装命令，可支持至多5个连接器集群或实例） √（可支持至多10个连接器集群或实例） √（可支持至多10个连接器集群或实例） √（可支持至多20个连接器集群或实例） 不涉及 远程办公接入 域名解析 域名解析管理功能针对无公网解析的域名，实现无需绑定HOST即可进行内网访问。 √ √ √ √ 不涉及 远程办公接入 源地址网络地址转换 实现一对一内网访问溯源，针对用户+设备粒度、用户粒度进行分配唯一IP回源访问。 × √ √ √ 不涉及 远程办公接入 内网限速 可以基于总带宽、单客户端进行内网限速。 √ √ √ √ 不涉及 远程办公接入 网络健康探测 提供网络接入情况连通性探测，实时监控发现异常网络接入情况，确保内网访问高可用、稳定性。 × √ √ √ 不涉及 身份安全认证 身份源同步 支持第三方身份源集成（自建/企微/AD等)。 √（限时免费） √ √ √ 不涉及 身份安全认证 认证源集成 支持账密、短信、邮箱进行认证，以及第三方认证源集成（如企微/AD等）。 √（限时免费） √ √ √ 不涉及 身份安全认证 单点登录SSO 支持标准协议单点登录SSO对接 × × √ √ 不涉及 身份安全认证 双因素认证 支持短信、邮箱进行双因素认证。 √ √ √ √ 不涉及 设备管理 桌面终端 提供PC端的客户端程序，支持Windows，MacOS系统。 √ √ √ √ √ 设备管理 移动终端 提供移动端的APP程序，支持IOS、安卓系统手机。 × × √ √ 暂未发布 设备管理 移动端SDK 提供移动端SDK的标准接入能力，支持对接IOS、安卓系统手机。 × √ √ √ 暂未发布 设备管理 Linux终端 提供Linux相关操作系统类型的客户端程序。 × × √（支持ubuntu18.04、ubuntu20.04桌面版） √（支持ubuntu18.04、ubuntu20.04桌面版） 暂未发布 设备管理 信创终端 提供信创系统的客户端程序，信创系统（麒麟、统信）。 × × √ √ 暂未发布 设备管理 终端资产 终端资产进行盘点、展示，用于分析。 √ √ √ √ √ 设备管理 设备策略 支持设备共享、用户激活认证、授信等策略处理。 × √ √ √ √ 安全策略 访问控制 提供接入VPN访问控制，粒度包括按用户、IP、终端设备、接入时间、地区等。 √（仅支持部分规则粒度） √（仅支持部分规则粒度） √ √ 不涉及 安全策略 应用隐身 支持连接器部署和反向连接到天翼云边缘节点，实现企业内网应用隐身，并且基于SDP架构，对数据面和控制面进行分离，无需暴露企业应用于公网之中。 √ √ √ √ 不涉及 安全策略 准入管控 支持对接入零信任客户端的终端设备的多维度准入策略配置，实现对异常行为、设备、身份等不允许接入企业VPN网络。 × × √ √ 不涉及 安全策略 横向渗透防护 支持进行钓鱼防护，能够对企业内网发生恶意扫描行为，例如触发异常访问频率和维度的行为实时阻断等。有效抑制住钓鱼等C2攻击。 × × × √ 不涉及 安全策略 动态授权 支持对访问主体在远程访问的过程中的行为、身份、设备、终端环境等信息进行多维度策略评估，并实时对异常进行阻断等。 × × √ √ 不涉及 安全策略 RBI云端浏览器隔离 通过隔离浏览环境进行数据隔离、运行隔离，限制员工行为，保障员工终端安全，敏感数据不落地。 额外付费购买 额外付费购买 额外付费购买 额外付费购买 不涉及 安全策略 内外网隔离 支持对终端访问的流量进行黑白名单管控，能够实现企业内网访问和互联网访问的安全隔离。 × × × √ 不涉及 终端安全管理 上网行为管控 员工互联网访问行为可视可审可追溯，一键拦截违规违法网站，轻松实现合规合法、网络稳定的上网环境，提高企业办公效率。 × × × √ √ 终端安全管理 软件管理 从软件的来源、安装、运行情况进行全方位展示，协助企业梳理员工安装、运行软件情况；通过配置软件管控策略，阻止软件运行。 × × √ √ √ 终端安全管理 病毒查杀 支持定期对终端进行病毒扫描，提供最新的病毒引擎版本，扫描完成后自动隔离和上报。 × × × √ √ 终端安全管理 实时防护 包含文件实时防护、U盘防护，对即将进入设备的病毒进行实时监控。 × × × √ √ 终端安全管理 局域网共享防护 局域网共享路径是病毒常见的横向扩散手段，对局域网共享路径进行操作时需要实时监控。比如文件上传、执行等。 × × × ×（限时免费） ×（限时免费） 终端安全管理 防钓鱼 面向办公网钓鱼防护场景，支持检测IM工具和邮件附件下载的文件是否带毒、是否为伪装文件。 × × × ×（限时免费） ×（限时免费） 终端安全管理 漏洞修复 对设备进行漏洞扫描和补丁修复，有效发现和修复设备存在的紧急漏洞，加固操作系统的安全性。 × × × √ √ 终端安全管理 外设管控 企业管理员对员工的U盘、SD卡、外接硬盘进行禁用、只读、审计管控，有效阻止风险入侵，有效防止文件外泄。 × × × √ √ 终端安全管理 办公净化 对于已安装软件，支持自动拦截广告、骚扰、恶意弹窗。为用户提供⽆⼲扰的纯净操作环境，赋能绿色上网诉求。 × × × √（限时免费） √（限时免费） 终端安全管理 AI安全检测 支持盘点设备上运行的大模型组件，高效构建AI应用资产全景；支持超过 30+种 AI 应用组件漏洞检测，实现漏洞高效管理。 × × × ×（限时免费） ×（限时免费） 终端安全管理 合规检测 支持设置终端基线标准，能够对接入零信任的终端进行基线采集并检测是否符合企业安全规范基准。 × × √ √ √ 终端安全管理 自保护 当员工退出账号、退出客户端、退出企业、卸载客户端时，需要进行防护码校验，实现客户端自保护。 × × √ √ √ 产品服务 态势大屏 提供零信任办公态势大屏，能够展示企业办公内网访问情况、终端安全分析、设备分布、用户分布等态势感知能力。 × × × √ × 产品服务 告警自助 提供零信任远程办公告警自助能力，企业可配置连接器异常告警、业务异常告警等，实现精准感知异常，减少业务影响。 × √ （SaaS版本支持 √ （SaaS版本支持） √ （SaaS版本支持） × 产品服务 客户端定制化 支持客户端定制化LOGO，强化企业感知力。 × × √ √ × 产品服务 日志投递 将零信任日志投递到客户指定目标服务器，实现AOne日志的全生命周期管理。可对接企业统一态势平台，赋能企业安全运维监控场景。 × × √ （SaaS版本支持） √ （SaaS版本支持） 不涉及 产品服务 日志审计 提供日志审计功能，针对行为进行审计。 × √ √ √ √

本文为您介绍使用parted分区工具初始化Linux数据盘的操作步骤。 操作场景 本文以“CentOS 7.6 64位”操作系统为例，介绍如何使用parted分区工具为数据盘设置分区，操作回显仅供参考。 前提条件 已挂载数据盘至云主机或物理机，且数据盘还没有被初始化。 操作步骤 当新增云硬盘的容量小于2TB，使用parted工具进行Linux数据盘初始化共分为五步，具体步骤如下： 登录弹性云主机。 查看新增数据盘：查看新增数据盘是否已成功挂载至此台云主机，并查看其容量。 创建GPT分区：为新增数据盘创建独立的逻辑分区，以便更好地组织和管理数据。 创建文件系统并挂载：为新建分区创建文件系统，可以使用独立的文件系统来存储数据。 设置开机自动挂载磁盘：云主机系统启动时可自动挂载磁盘。 登录弹性云主机 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域，此处我们选择华东1。 3. 单击选择“计算>弹性云主机”，进入云主机列表页面。 4. 单击需要初始化数据盘的云主机所在行的“操作>远程登录”，登录此台云主机，具体操作可参见登录Linux弹性云主机。 查看新增数据盘 执行命令 fdisk l，查看新增数据盘。回显如下： 当前的云主机有两块磁盘，“/dev/vda”是默认的系统盘，“/dev/vdb”是本次新增需要初始化的数据盘，容量为30G。

本节介绍翼共享盘的挂载管理操作。 NAS共享盘挂载 1. 进入“AI云电脑（政企版）”控制台； 2. 选择“翼共享”“翼共享管理”菜单，进入翼共享管理页面； 3.选择“NAS共享盘”“更多”“挂载管理”，进入挂载管理页面， 4.待挂载的桌面可执行“”挂载”操作，挂载成功后，可以在配置桌面上看到当前的共享盘； 5.已挂载的桌面可以进行“锁定”操作，锁定后用户在桌面可以看到共享盘，但无法访问共享盘。 说明：仅当云电脑处于开机状态时，翼共享盘才会自动挂载。在非离线运行或在线运行状态下，挂载状态统一显示为“未挂载”。当云电脑开机状态下，若检测到翼共享盘未正常挂载，则显示为“挂载异常”，并在列表中置顶显示。网络共享盘挂载 网络共享盘挂载 1. 进入“AI云电脑（政企版）”控制台； 2. 选择“翼共享”“翼共享管理”菜单，进入翼共享管理页面； 3.选择“网络共享盘”“更多”“挂载管理”，进入挂载管理页面， 4、在管理页面，默认为所有成员挂载，点击添加进行成员或组织选择。添加后仅添加后的成员及组织可以看到挂载盘。 5、已添加的成员组织可以在当前页面移除。 说明:挂载配置需要几分钟生效时间。添加的部门，后续部门下的成员或者子部门变更将会自动挂载和自动取消挂载。

本文帮助您了解对象存储解冻归档文件相关的操作步骤。 操作场景 ZOS归档存储类型可提供高可靠、更低成本的存储服务，需要解冻后访问，适用于长期存储、极少访问（平均一年访问一次）的存储场景。 约束与限制 数据解冻会按解冻数据大小产生数据解冻费用，且数据解冻后，会产生一个指定时长的标准存储对象副本，解冻产生的副本控制台不可见。 在解冻的有效期内，会同时收取该对象在标准存储和归档存储中的存储费用，有效期到期后副本自动删除。 解冻文件的有效期最少为1天，最多为31天。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在控制台上方点击，选择地域，以下操作选择华东华东1。 3. 在控制台首页，选择“存储>对象存储”。 4. 在对象存储桶列表，点击Bucket名称进入“概览”页面。 5. 点击“文件管理”页面，选中要查看的归档文件，点击文件所在行的“更多”按钮。 6. 点击更多下拉选项中的“解冻”按钮。 7. 在弹出的页面输入解冻有效期，点击“确定”。 8. 解冻后点击文件名可查看解冻状态和有效期。

本文主要介绍云日志服务如何进行上下文查询。 本小节介绍如何在云日志服务控制台查看指定日志在原始日志文件内的上下文信息。 前提条件 已创建日志项目、日志单元 已完成日志接入并已采集到日志 背景信息 日志中的上下文查询是指定日志来源和其中一条日志，将该日志在原始文件中的前若干条（上文）或后若干条日志（下文）也同时检索出来。通过查看指定日志的上下文信息，您可以在业务故障排查过程中快速查找相关故障信息，方便您快速定位问题与解决各类故障。 功能优势 上下文查询的功能优势体现在日志数据的理解和分析。当您对日志进行检索分析时，提供的上下文信息可以显著改进查询的效果和数据分析的质量。 1. 在进行故障排查时，上下文查询可以帮助您理解事件或错误发生的背景和前因后果。 2. 云日志服务具有独立性，无需改动日志文件格式也无需登录云主机服务器即可查看文件的指定日志的上下文信息。 3. 无须担心由于服务器存储空间不足或日志文件覆盖造成的数据丢失，在云日志服务控制台可以随时查看历史数据。 操作步骤 1. 登录云日志服务控制台。 2. 在日志管理页面的日志项目列表中，点击已创建的日志单元名称，进入日志单元详情页面。 3. 在日志单元详情页面中，即可查看当前日志单元中的日志数据。 4. 找到目标日志并点击上下文检索图标，打开上下文浏览界面。 5. 在上下文浏览界面中，使用鼠标在当前页面上下滚动查看指定日志的上下文信息。

本节主要介绍云数据库GeminiDB的权限管理。 如果您需要对购买的云数据库 GeminiDB资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制天翼云资源的访问。 通过IAM，您可以在天翼云账号中给员工创建IAM用户，并授权控制他们对天翼云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有云数据库 GeminiDB的使用权限，但是不希望他们拥有删除云数据库 GeminiDB等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用云数据库 GeminiDB，但是不允许删除云数据库 GeminiDB的权限策略，控制他们对云数据库 GeminiDB资源的使用范围。 如果天翼云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用云数据库 GeminiDB服务的其它功能。 IAM是天翼云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。 关于IAM的详细介绍，请参见《IAM产品介绍》。 云数据库 GeminiDB权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 云数据库 GeminiDB部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如广州4）对应的项目（cngdgz1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问云数据库 GeminiDB时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于天翼云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云主机资源进行指定的管理操作。 如表1所示，包括了云数据库 GeminiDB的所有系统权限。 表1 云数据库 GeminiDB系统权限 策略名称/系统角色 描述 类别 依赖关系 GeminiDB FullAccess 云数据库 GeminiDB服务所有权限。 系统策略 创建包周期实例需要配置CBC权限： bss:balance:view bss:balance:update bss:order:view bss:order:pay bss:order:update bss:renewal:view bss:renewal:update 退订包周期实例需要配置CBC权限： bss:unsubscribe:update GeminiDB ReadOnlyAccess 云数据库 GeminiDB服务只读权限。 系统策略 无 表2列出了云数据库 GeminiDB常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 常用操作与系统权限的关系 操作 GeminiDB FullAccess GeminiDB ReadOnlyAccess 创建实例 √ x 查询实例列表 √ √ 查询实例详情 √ √ 查询任务列表 √ √ 删除实例 √ x 重启实例 √ x 重置密码 √ x 变更实例安全组 √ x 修改数据库端口 √ x 绑定/解绑公网IP √ x 磁盘扩容 √ x 规格变更 √ x 节点扩容 √ x 节点缩容 √ x 修改备份策略 √ x 重命名实例 √ x 创建手动备份 √ x 查询备份列表 √ √ 恢复到新实例 √ x 删除备份 √ x 创建参数模板 √ x 查询参数模板列表 √ √ 修改参数模板 √ x 删除参数模板 √ x 查询企业项目配额管理列表 √ √ 修改企业项目配额 √ x 切换SSL开关 √ x 停止备份 √ x 表3列出了云数据库 GeminiDB常用操作以及对应的授权项，您可以参照该表自定义配置权限策略。 表3 常用操作与对应的授权项 操作 授权项 授权范围 备注 实例创建页 vpc:vpcs:list vpc:subnets:get vpc:securityGroups:get 支持： IAM项目(Project) 企业项目(Enterprise Project) 创建页需要查询对应的VPC、子网、安全组。 创建实例 nosql:instance:create vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:securityGroups:get vpc:ports:get 支持： IAM项目(Project) 企业项目(Enterprise Project) 界面使用默认VPC、子网、安全组需对应配置vpc::create权限， 创建加密实例需要在项目上配置KMS Administrator权限。 查询实例列表 nosql:instance:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 查询实例详情 nosql:instance:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 如果实例详情界面需要展示VPC、子网、安全组，请增加vpc::get和vpc::list授权项。 查询任务列表 nosql:task:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 删除实例 nosql:instance:delete 支持： IAM项目(Project) 企业项目(Enterprise Project) 删除实例需要同时删除数据侧IP地址。 重启实例 nosql:instance:restart 支持： IAM项目(Project) 企业项目(Enterprise Project) 重置密码 nosql:instance:modifyPasswd 支持： IAM项目(Project) 企业项目(Enterprise Project) 变更实例安全组 nosql:instance:modifySecurityGroup 支持： IAM项目(Project) 企业项目(Enterprise Project) 修改数据库端口 nosql:instance:modifyPort 支持： IAM项目(Project) 企业项目(Enterprise Project) 绑定公网IP nosql:instance:bindPublicIp 支持： IAM项目(Project) 绑定公网IP时，需要查询已经创建好的公网IP。 不支持企业项目 不支持细粒度 解绑公网IP nosql:instance:unbindPublicIp 支持： IAM项目(Project) 不支持企业项目 不支持细粒度 磁盘扩容 nosql:instance:modifyStorageSize 支持： IAM项目(Project) 企业项目(Enterprise Project) 规格变更 nosql:instance:modifySpecification 支持： IAM项目(Project) 企业项目(Enterprise Project) 节点扩容 nosql:instance:extendNode vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:securityGroups:get vpc:ports:get 支持： IAM项目(Project) 企业项目(Enterprise Project) 节点缩容 nosql:instance:reduceNode 支持： IAM项目(Project) 企业项目(Enterprise Project) 删除集群节点。 修改备份策略 nosql:instance:modifyBackupPolicy 支持： IAM项目(Project) 企业项目(Enterprise Project) 重命名实例 nosql:instance:rename 支持： IAM项目(Project) 企业项目(Enterprise Project) 创建手动备份 nosql:backup:create 支持： IAM项目(Project) 企业项目(Enterprise Project) 查询备份列表 nosql:backup:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 下载备份文件 nosql:backup:download 支持： IAM项目(Project) 企业项目(Enterprise Project) 恢复到新实例 nosql:backup:restoreToNewInstance vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:securityGroups:get vpc:ports:get 支持： IAM项目(Project) 企业项目(Enterprise Project) 加密实例需要在项目上配置KMS Administrator权限。 备份恢复到已有实例 nosql:backup:restoreToExistInstance 支持： IAM项目(Project) 企业项目(Enterprise Project) 删除备份 nosql:backup:delete 支持： IAM项目(Project) 企业项目(Enterprise Project) 创建参数模板 nosql:param:create 支持： IAM项目(Project) 企业项目(Enterprise Project) 查询参数模板列表 nosql:param:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 修改参数模板中的参数值 nosql:param:modify 支持： IAM项目(Project) 企业项目(Enterprise Project) 变更实例下节点的参数配置 nosql:instance:modifyParameter 支持： IAM项目(Project) 企业项目(Enterprise Project) 删除参数模板 nosql:param:delete 支持： IAM项目(Project) 企业项目(Enterprise Project) 标签操作 nosql:instance:tag tms:resourceTags:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 标签列表 nosql:tag:list tms:resourceTags:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 查询企业项目配额管理列表 nosql:quota:list 支持： IAM项目(Project) 企业项目(Enterprise Project) 修改企业项目配额 nosql:quota:modify 支持： IAM项目(Project) 企业项目(Enterprise Project) 切换审计日志开关 nosql:instance:switchAuditLog 支持： IAM项目(Project) 企业项目(Enterprise Project) 下载审计日志 nosql:instance:downloadAuditLog 支持： IAM项目(Project) 企业项目(Enterprise Project) 删除审计日志 nosql:instance:deleteAuditLog 支持： IAM项目(Project) 企业项目(Enterprise Project) 更新慢日志明文开关 nosql:instance:modifySlowLogPlaintextSwitch 支持： IAM项目(Project) 企业项目(Enterprise Project) 切换SSL开关 nosql:instance:switchSSL 支持： IAM项目(Project) 企业项目(Enterprise Project) 修改内网IP nosql:instance:modifyPrivateIp 支持： IAM项目(Project) 企业项目(Enterprise Project) 切换主备节点 nosql:instance:switchover 支持： IAM项目(Project) 企业项目(Enterprise Project) 数据库补丁升级 nosql:instance:upgradeDatabaseVersion 支持： IAM项目(Project) 企业项目(Enterprise Project) 停止备份 nosql:backup:stop 支持： IAM项目(Project) 企业项目(Enterprise Project) 查询日志配置组 lts:groups:get 支持： IAM项目(Project) 企业项目(Enterprise Project) 查询日志配置流 lts:topics:get 支持： IAM项目(Project) 企业项目(Enterprise Project)