参数 描述 虚拟私有云 云数据库ClickHouse实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，云数据库ClickHouse默认为您分配资源。 须知 ：目前云数据库ClickHouse实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建云数据库ClickHouse实例的子网默认开启DHCP功能，不可关闭。 创建实例时云数据库ClickHouse会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强云数据库ClickHouse与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，云数据库ClickHouse服务默认为您分配内网安全组资源。

参数 描述 平台名称 向上级联的平台名称。 SIP服务国标编码 该信息一般由上级平台提供，也可以由上下级平台协商确定，用于上下级平台相互身份鉴权。 SIP服务国标域 SIP服务国标域默认截取SIP服务国标编码的前10位。 SIP服务IP/端口 由上级平台提供。 设备国标编号 下级平台的国标编号。 级联区域 上下级平台进行级联的区域，一般选择较近的区域即可。 网络类型 默认选择互联网，专线网络需要天翼云提供IP和端口信息。 开启鉴权 根据级联需要选择开启/关闭鉴权功能。 SIP认证用户名 对应上级平台接入信息设备国标ID。 SIP认证密码 对应上级平台关联的GB28181凭证的凭证密码。 级联方式 根据GB 28181协议标准，支持虚拟业务组和行政区划两种方式（ 将会影响平台下设备目录的构建方式 ）。 所属行业 根据GB 28181协议标准，选择所属行业。 上级级联区域 选择上级平台的所属区域。 信令传输 支持TCP和UDP两种协议。 字符集 支持GB2312和UTF8两种字符集，UTF8涵盖更广泛的中文字符范围，而GB2312在平台兼容性方面表现更为稳定。在平台对接中，若未明确指定字符集，建议优先选择GB2312。 35114国密认证 开启35114国密认证，需要上级平台支持。开启后，您需要在级联平台页面创建证书请求并上传相关证书。 注册周期 注册周期不小于300秒。 心跳周期 心跳周期不小于60秒。 分组目录大小 执行目录推送任务的时候，单个消息包含的目录数量。 权限集合 支持复选，包含云台、流保活、录像下载和语音对讲。 是否使用通道的实际名称 开启该功能，NVR通道向上级联使用通道的实际名称，仅支持GB28181协议和EHOME协议。 跨级推流 开启后，在多层级级联场景下，可节约资源降低转发延迟。 级联映射 上下级平台因防火墙等情况无法访问时，开启该选项，可分别配置本地和上级地址映射。 描述 请输入平台级联的相关描述，例如平台属性、用途等。

添加域名组 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全 > 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 5. （可选）如果添加网络域名组，则选择“网络域名组”页签。 6. 切换至“域名组”页签，单击“添加域名组”，弹出“添加域名组”，填写参数如下所示。 参数名称 参数说明 域名组类型 应用型/网络型 域名组名称 自定义域名组名称。 描述 （可选）设置该域名组的备注信息。 域名 输入域名，规则如下： 支持多级别单域名（例如，一级域名example.com，二级域名www.example.com等）和泛域名（例如，.example.com）。 多个域名以英文逗号、英文分号、换行符、空格分隔。 说明 输入的域名请勿重复。 添加域名组中域名 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制> 对象组管理”，进入“对象组管理”界面。 5. 切换至“域名组”页签，单击添加的域名组名称。弹出“域名组”弹窗。 6. 单击“添加域名”，弹出“添加域名”对话框，填写域名信息。 单击添加可添加多个域名。 7. 确认无误后，单击“确认”，完成添加。

本节描述了ECX的定义、边缘计算的定义、边缘计算的特点等。 ECX的定义 智能边缘云(Edge Cloud X, ECX)是将传统的云计算中心移向了网络边缘，以降低延迟、提升响应速度和性能，满足行业数字化中的敏捷连接、实时业务、应用智能等关键需求。 什么是边缘计算 在深入了解ECX前，您需要先了解什么是边缘计算。 边缘计算是一种分布式计算架构，它将数据处理、存储和服务功能移近数据产生的边缘位置，即接近数据源和用户的位置，而不是依赖中心化的数据中心或云计算平台。通过将计算移动到边缘设备，可以更快速地处理数据，并在本地存储和分析数据，从而减少对中心云计算数据中心的依赖。同时，边缘计算还可以提高安全性和隐私性，因为数据不需要传输到中心云上进行处理。 边缘计算的应用场景包括边缘推理、智慧园区、云游戏、内容分发网络CDN、视频监控、工业物联网等，其中智慧园区、视频监控、工业物联网可划属于2B业务，云游戏可划属于2C业务。边缘计算应用场景使用的关键能力主要包括：海量网络联接与管理、实时数据采集与处理、本地业务自治、 边云协同、图像识别与视频分析、AR/VR、游戏渲染与呈现，以及数据安全与隐私保护等。

本节为您介绍权限管理的概念。 在协同使用资源的场景下，如果您需要根据实际的职责权限情况配置用户使用权限，可使用 统一身份认证（Identity and Access Management，简称IAM）服务，创建多个IAM用户并为其授予不同的权限，实现不同IAM子用户可以分权管理不同的资源，从而提高管理效率，降低信息泄露风险。通过IAM可实现精细化权限管理、安全访问、批量管理用户权限、委托其他帐号管理资源等功能。您可以创建并为IAM用户或用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 IAM是天翼云提供的免费基础服务，您只需为购买资源进行付费。关于IAM的详细介绍，请参见IAM产品介绍。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略：预置的系统策略，您只能使用不能修改。云助手相关的系统策略包含如下： Admin：云助手的管理者权限，包含云助手所有控制权限（不含订单类权限）。 Viewer:云助手的观察者权限，包含云助手的列表页与详情页面权限。 自定义策略：您按需自行创建和维护的权限策略。

本节介绍了专属云（存储独享型）的产品优势。 存储专享 存储资源独享，保证高读写性能，且保证数据安全与合规性，为您提供VIP级别的存储服务。 特性丰富 支持共享云硬盘、云硬盘备份、云主机备份、快照等功能，满足不同业务场景的需求。 场景丰富 灵活对接弹性云主机、物理机服务以及专属云（计算独享型）服务等。 高性能 采用分布式存储架构，可平滑扩展，性能线性增长，为业务提供高吞吐、高并发的存储能力。

本章节主要介绍如何创建Elasticsearch集群。 场景描述 当创建的集群类型不同时，需要关注如表1所示的关键参数的配置。 表1 集群创建差异 集群类型 “安全模式” “HTTPS访问” “公网访问” “Kibana公网访问” 非安全模式的集群 关闭 不涉及 不支持启用 不支持启用 安全模式+HTTP协议的集群 开启 关闭 不支持启用 支持启用 安全模式+HTTPS协议的集群 开启 开启 支持启用 支持启用 前提条件 已经完成待创建的Elasticsearch集群规划。 创建集群 1. 登录云搜索服务管理控制台。 2. 在总览页面单击右上角的“创建集群”，进入“创建集群”页面。 或者左侧导航栏单击“集群管理> Elasticsearch”，单击右上角的“创建集群”，进入“创建集群”页面。 3. 在“基础配置”页面，完成Elasticsearch集群的基本信息和资源配置。 表2 Elasticsearch集群的基础配置 参数 说明 计费模式 集群支持包年/包月和按需计费两种模式。 l 包年/包月：根据集群购买时长，一次性支付集群费用。最短时长为1个月，最长时长为3年。如果购买时长超过9个月，建议包年购买，价格更优惠。 l 按需计费：按实际使用时长计费，计费周期为一小时，不足一小时按一小时计费。 订购周期 选择包年/包月模式后，需要选择购买时长。 您可以根据需求，选择是否需要“自动续费”。 当前区域 选择集群的所在区域。 不同区域的云服务产品之间内网互不相通。请就近选择靠近您业务的区域，可减少网络时延，提高访问速度。 可用区 选择集群工作区域下关联的可用区。 最多支持配置3个“可用区”。 集群类型 选择“Elasticsearch”。 集群版本 选择所需的集群版本，支持的版本以界面可选项为准。 集群名称 自定义集群名称，可输入的字符范围为4～32个字符，只能包含数字、字母、中划线和下划线，且必须以字母开头。 节点数量 集群中的数据节点个数。可选节点数为1~32，建议节点数为3或3以上，以提升集群可用性。 l 当集群未启用Master节点和Client节点时，数据节点将同时承担集群管理、存储数据、提供接入集群和分析数据的职责。此时，为保证集群中数据的稳定性，建议设置节点数量大于等于3个。 l 当集群启用了Master节点但未启用Client节点时，数据节点将用于存储数据并提供接入集群和分析数据的功能。 l 当集群未启用Master节点但启用了Client节点时，数据节点将用于存储数据并提供集群管理功能。 l 当集群同时启用了Master节点和Client节点时，数据节点将仅用于存储数据。 说明 当集群中数据节点的数量和可用区的数量不是整数倍关系时，集群的数据会分布可能会不均匀，从而影响数据查询或写入业务。 CPU架构 支持“X86计算”和“鲲鹏计算”两种类型。具体支持的类型由实际区域环境决定。 节点规格 集群中数据节点的规格。您可以根据需求，选择对应的规格。每个集群只能选择一个规格。 节点存储 当“节点规格”选择的是云硬盘时，需要选择集群数据节点的云硬盘类型。节点存储支持普通I/O、高I/O、超高I/O。 节点存储容量 设置数据节点的存储空间大小，其取值范围与“节点规格”关联，不同的规格允许的取值范围不同。 节点存储容量只支持配置为20的倍数。 启用Master节点 Master节点负责管理集群中所有节点任务，如元数据管理、索引创建与删除、分片分配等。在大规模集群的元数据管理、节点管理、稳定性保障和集群操作控制中发挥着至关重要的作用。 启用Master节点后，在下方选择对应的“节点规格”、“节点数量”和“节点存储”。“节点数量”必须是不小于3的奇数，最多设置9个节点。“节点存储”的存储容量为固定值，存储类型可以根据实际情况选择。 启用Client节点 Client节点负责接收并协调外部请求，如search和write请求，在处理高负载查询、复杂聚合、大量分片管理以及优化集群扩展性方面发挥着重要作用。 启用Client节点后，在下方选择对应的“节点规格”、“节点数量”和“节点存储”。“节点数量”可设置为1~32任意数值。“节点存储”的存储容量为固定值，存储类型可以根据实际情况选择。 启用冷数据节点 冷数据节点用于存储对查询时延要求不高，但数据量较大的历史数据，是管理大规模数据集和优化存储成本的有效方式。 启用冷数据节点后，在下方选择对应的“节点规格”、“节点数量”和“节点存储”。“节点数量”可设置为1~32任意数值。“节点存储”的存储类型和存储容量可以根据实际情况选择。 开启冷数据节点之后，支持切换集群的冷热数据，详情请参见2.7.9 切换Elasticsearch集群冷热数据。 说明 当集群中冷数据节点的数量和可用区的数量不是整数倍关系时，集群的数据会分布可能会不均匀，从而影响数据查询或写入业务。 企业项目 如果开通了“企业项目”，在创建集群时可以给集群绑定一个企业项目。 在下拉框中选择企业项目，单击“查看项目管理”跳转到“企业项目管理”管理控制台，查看已有的企业项目。 4. 单击“下一步：网络配置”。 5. 在“网络配置”页面，完成Elasticsearch集群的网络和安全模式配置。 表3 Elasticsearch集群的网络配置 参数 说明 虚拟私有云 指定集群节点使用的虚拟专用网络，实现不同业务的网络隔离。 单击“查看虚拟私有云”跳转到虚拟私有云列表，查看已创建的VPC名称和ID。 如果没有合适的VPC，建议联系CSS服务管理员新建VPC，具体请参见。 说明 此处选择的VPC必须包含网段（CIDR），否则集群将无法创建成功。新建的VPC默认包含网段（CIDR）。 子网 集群使用子网实现与其他网络的隔离，并独享所有网络资源，以提高网络安全。 选择当前虚拟私有云下集群需要的子网。 当选择的虚拟私有云支持IPv6，则在下拉框中选择是否分配IPv6地址。只有7.6.2和7.10.2版本的Elasticsearch集群支持分配IPv6地址。 安全组 安全组起着虚拟防火墙的作用，为集群提供安全的网络访问控制策略。 选择集群需要的安全组，单击“查看安全组”跳转到安全组列表，可以了解安全组详情。 说明 请确保安全组的“端口范围/ICMP类型”为“Any”或者包含端口9200的端口范围。 如果创建的集群为7.6.2及以上版本，则需要确保同安全组内节点之间的端口全放通。如果无法放通同安全组内节点之间的全部端口，请至少确保9300端口的通信。 放开9300端口通信后，如果集群磁盘使用率较高，可清理过期数据，释放磁盘存储空间。 安全模式 选择是否开启集群安全模式。 l默认开启，则创建的是安全模式的集群。安全模式的集群会对集群进行通讯加密和安全认证。因此必须配置集群的“管理员账户名”和“管理员密码”。 − 管理员账户名 默认为admin。 − 设置并确认管理员密码 。要记住设置的密码，后续访问集群需要输入密码。 l不开启，则创建的是非安全模式的集群。非安全模式的集群无需安全认证即可访问，并且采用HTTP明文传输数据。建议确认访问环境的安全性，勿将访问接口暴露到公网环境上。 HTTPS访问 只有开启集群的安全模式才可以启用HTTPS访问，开启HTTPS访问后，访问集群将进行通讯加密。 说明 安全集群使用HTTPS通信，相比非安全集群使用HTTP通信在读取性能上会降低，预期相对HTTP集群在大并发压力下有20%的性能劣化。如果想要读取性能快，又想要使用安全集群所提供的用户权限隔离资源（索引、文档、字段等）的功能，则可以关闭HTTPS访问。关闭HTTPS访问后，会使用HTTP协议与集群通信，无法保证数据安全性，并且无法开启公网访问功能。 公网访问 仅当集群开启了“安全模式”和“HTTPS访问”时，才可以选择是否配置“公网访问”。配置公网访问后，用户可以获得一个公网访问的IP地址，通过这个IP地址可以在公网访问该安全集群。 6. 单击“下一步：高级配置”。 7. 在“高级配置”页面，完成Elasticsearch集群的快照和其他高级配置。 a. 设置集群快照。 系统默认打开集群快照开关，如果您不需要启用自动快照，可以在“集群快照开关”右侧关闭。自动快照会创建委托访问对象存储服务OBS，快照存储在OBS标准存储中需额外计费。 表4 集群快照基础配置 参数 说明 OBS桶 在下拉框中选择存储快照的OBS桶。也可以单击右侧的“创建桶”新建OBS。 创建或者已存在的OBS桶需满足如下条件： l“存储类别”为“标准存储”。 l“区域”须与创建的集群所在区域相同。 备份路径 快照在OBS桶中的存放路径。 备份路径配置规则： l备份路径不能使用符号“:?"<>”。 l备份路径不能以“/”开头。 l备份路径不能以“.”开头或结尾。 l备份路径的总长度不能超过1023个字符。 IAM委托 指当前账号授权云搜索服务访问或维护存储在OBS中数据。如果没有合适的委托可以联系CSS服务管理员新建IAM委托。 所选的IAM委托需满足如下条件： l“委托类型”选择“云服务”。 l“云服务”选择“Elasticsearch”或者“云搜索服务 CSS”。 l必选策略：“Tenant Administrator”或“OBS Administrator” 表5 设置自动创建快照 参数 说明 快照名称前缀 快照名称前缀的长度为1～32个字符，只能包含小写字母、数字、中划线和下划线，且必须以小写字母开头。快照名称由快照名称前缀加上时间戳组成，例如自动生成的快照名称为“snapshot1566921603720”。 时区 指备份时间对应的时区，不支持修改。基于此时区选择备份开始时间。 备份开始时间 指每天自动开始备份的时间，只能指定整点时间，如00:00、01:00，取值范围为00:00～23:00。请在下拉框中选择时间。 8. 单击“下一步：确认配置”，确认完成后单击“立即创建”开始创建集群。 9. 单击“返回集群列表”，系统将跳转到“集群管理”页面。您创建的集群将展现在集群列表中，且集群状态为“创建中”，创建成功后集群状态会变为“可用”。 如果集群创建失败，请根据界面提示重新创建集群。

云点播密钥管理功能介绍。 综述 云点播采用了AK/SK的认证机制，对SDK、API、回调通知等交互入口进行了安全强化。AK（又称Access key），用于标识用户身份。SK（又称Secret access key）是用户用于加密认证字符串和云厂商用来验证认证字符串的密钥，其中SK必须保密。AK/SK使用对称加解密算法，其原理是当云点播侧接收到用户的请求后，系统将使用AK对应的相同的SK和同样的认证机制生成认证字符串，并与用户请求中包含的认证字符串进行比对。如果认证字符串相同，系统认为用户拥有指定的操作权限，并执行相关操作；如果认证字符串不同，系统将忽略该操作并返回错误码。云点播提供了统一入口，对涉及到的相关AK/SK密钥对进行管理。 查看密钥配置列表 前提条件 已开通云点播产品。 账号属性为主账号。 操作步骤 进入云点播控制台，选择左侧导航栏的【开发配置】–【密钥管理】可打开密钥管理配置页面。在该页面，您可以看到【原生密钥】、【OpenAPI密钥】两个标签卡，适用于在不同场景下密钥生成和管理。 功能 说明 :: 原生密钥 用于在调用原生API、SDK时的身份和校验信息生成，该密钥由云点播（存量）或CTIAM（增量）生成。 OpenAPI密钥 用于在调用天翼云OpenAPI接口时的身份和校验信息生成。 原生密钥

本文为您介绍重点操作验证的定义和重点操作范围。 产品定义 重点操作验证，是天翼云平台为了保障安全，在用户进行重点操作前增加的二次认证，二次认证通过后系统才能执行用户操作。可避免因误操作引起严重后果，提供更高的安全性。 目前二次认证仅支持短信验证码方式认证。若您开启短信验证能力，在控制台进行重点操作时，系统会向您的手机号（绑定天翼云账号的手机号）发送短信验证码，需输入正确的验证码才能执行该重点操作。从而避免您进行误操作，造成云产品数据的丢失；另一方面，确保操作人身份，避免影响业务运行。 重点操作：可能引起服务运行中断、网络中断、数据丢失等情况的操作。 重点操作范围 当您开启操作保护后，进行重点操作时，需要进行身份验证，重点操作范围如下表： （操作范围会不定期更新，敬请关注） 产品名称 功能 上线时间 ::: 弹性云主机 关机 2023年2月10日 弹性云主机 批量关机 2023年2月10日 弹性云主机 重启 2023年2月10日 弹性云主机 批量重启 2023年2月10日 弹性云主机 一键重装 2023年2月10日 弹性云主机 重置密码 2023年2月10日 弹性云主机 批量重置密码 2023年2月10日 弹性云主机 变配 2023年2月10日 弹性云主机 删除（按需） 2023年2月10日 弹性云主机 退订（包周期） 2023年2月10日 弹性云主机 批量删除/退订 2023年2月10日 弹性云主机 弹性IP解绑 2023年2月10日 云硬盘 卸载 2023年2月10日 云硬盘 删除（按需） 2023年2月10日 云硬盘 退订（包周期） 2023年2月10日 虚拟私有云 VPC安全组删除 2023年2月10日 弹性IP 弹性IP解绑 2023年2月10日 弹性IP 弹性IP删除 2023年2月10日 弹性IP 弹性IP退订 2023年2月10日 弹性IP 共享带宽删除 2023年2月10日 弹性负载均衡 弹性负载均衡删除 2023年2月10日 弹性负载均衡 弹性负载均衡退订 2023年2月10日 NAT网关 DNAT规则删除 2023年2月10日 NAT网关 SNAT规则删除 2023年2月10日 VPN连接 VPN删除 2023年2月10日

本章节为您介绍线下IDC通过专线和代理服务器接入HSS 应用场景 随着混合云的发展，用户对于云上云下资源实现统一安全管理的需求也越发强烈。企业主机安全支持线下IDC接入纳管，用户可以通过一个控制台实现一致的主机安全防护策略，避免因为不同平台安全水位不一致导致的攻击风险。 方案架构 线下IDC通过云专线服务与云上VPC实现网络互通，再通过云上弹性云服务器代理接入HSS，如下图所示。 云专线（Direct Connect），用于搭建用户本地数据中心与云VPC之间高速、低时延、稳定安全的专属连接通道，充分利用云服务优势的同时，继续使用现有的IT设施，实现灵活一体，可伸缩的混合云计算环境。 弹性云服务器（Elastic Cloud Server），是一种可随时自助获取、可弹性伸缩的云服务器，可帮助您打造可靠、安全、灵活、高效的应用环境，确保服务持久稳定运行，提升运维效率。 资源规划 本方案示例中涉及的资源如下： 资源 资源说明 数量 云专线（CTCDA，Cloud Dedicated Access） DC，作为连接第三方主机和云上资源的专属通道。 1 弹性云主机（Elastic Cloud Server） ECS，作为代理服务器，将线下IDC的请求转发至HSS后台。 1

本节介绍了云数据库TaurusDB的权限管理。 IAM权限管理 如果帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用TaurusDB的其他功能。 如果您需要对购买的TaurusDB资源，为企业中的员工设置不同的访问权限，为达到不同员工之间的权限隔离，您可以使用统一身份认证服务 （Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并授权控制员工对资源的访问范围。例如您的员工中有负责软件开发的人员，您希望开发人员拥有TaurusDB的使用权限，但是不希望拥有删除TaurusDB等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用TaurusDB，但是不允许删除TaurusDB的权限，控制开发人员对TaurusDB资源的使用范围。 IAM是提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。 TaurusDB权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 TaurusDB部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问TaurusDB时，需要先切换至授权区域。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对云数据库TaurusDB，管理员能够控制IAM用户仅能对某一类数据库资源进行指定的管理操作。 如下表所示，包括了云数据库TaurusDB的所有系统权限。 表 TaurusDB系统权限 策略名称 描述 类别 GaussDB FullAccess 云数据库TaurusDB服务的所有执行权限。 系统策略 GaussDB ReadOnlyAccess 云数据库TaurusDB服务的只读访问权限。 系统策略 下表列出了云数据库TaurusDB常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表 常用操作与系统权限的关系 操作 GaussDB FullAccess GaussDB ReadOnlyAccess 创建TaurusDB实例 支持 不支持 删除TaurusDB实例 支持 不支持 查询TaurusDB实例列表 支持 支持 表 常用操作与对应授权项 操作名称 授权项 备注 修改参数模板 gaussdb:param:modify 变更数据库实例的规格 gaussdb:instance:modifySpec 创建数据库实例 gaussdb:instance:create 界面选择VPC、子网、安全组需要配置：vpc:vpcs:listvpc:vpcs:getvpc:subnets:getvpc:securityGroups:get创建加密实例需要在项目上配置KMS Administrator权限。创建包周期实例需要配置CBC权限：bss:renewal:viewbss:renewal:updatebss:balance:viewbss:order:view 创建手动备份 gaussdb:backup:create 查询备份列表 gaussdb:backup:list 查询错误日志 gaussdb:log:list 重启实例 gaussdb:instance:restart 查询数据库实例列表 gaussdb:instance:list 创建参数模板 gaussdb:param:create 删除参数模板 gaussdb:param:delete 修改备份策略 gaussdb:instance:modifyBackupPolicy 查看参数模板 gaussdb:param:list 删除实例 gaussdb:instance:delete 删除手动备份 gaussdb:backup:delete 查询项目标签 gaussdb:tag:list 应用参数模板 gaussdb:param:apply 批量添加删除项目标签 gaussdb:instance:dealTag 变更配额 gaussdb:quota:modify 升级数据库实例版本 gaussdb:instance:upgrade 只读升主 gaussdb:instance:switchover 修改数据库端口 gaussdb:instance:modifyPort 修改实例安全组 gaussdb:instance:modifySecurityGroup 修改读写内网地址 gaussdb:instance:modifyIp 界面选择ip需要配置：vpc:vpcs:listvpc:vpcs:get 开启、关闭SSL gaussdb:instance:modifySSL 修改实例名称 gaussdb:instance:rename 添加只读节点 gaussdb:instance:addNodes 删除只读节点 gaussdb:instance:deleteNodes 修改存储空间 gaussdb:instance:modifyStorageSize 修改数据库实例密码 gaussdb:instance:modifyPassword 绑定公网IP gaussdb:instance:bindPublicIp 界面列出公网IP需要配置：vpc:publicIps:getvpc:publicIps:list 解绑公网IP gaussdb:instance:unbindPublicIp 修改监控策略 gaussdb:instance:modifyMonitorPolicy 修改节点倒换优先级 gaussdb:instance:modifySwitchoverPriority 修改可维护时间窗 gaussdb:instance:modifyMaintenanceWindow 节点隔离 gaussdb:instance:isolateNodes 创建数据库用户 gaussdb:user:create 删除数据库用户 gaussdb:user:delete 修改数据库用户密码 gaussdb:user:modify 查询数据库用户 gaussdb:user:list 数据库用户授权 gaussdb:user:grantPrivilege 回收数据库用户权限 gaussdb:user:revokePrivilege 创建数据库 gaussdb:database:create 删除数据库 gaussdb:database:delete 查询数据库列表 gaussdb:database:list

本节介绍了创建并通过MySQLFront连接TaurusDB实例的相关内容。 TaurusDB实例创建完成后，可以先登录到Windows弹性云主机，在ECS上安装MySQLFront（以MySQLFront为例），然后通过MySQLFront使用内网IP连接到实例。 MySQLFront是一个用于MySQL数据库的Windows前端管理工具。允许用户通过图形界面与MySQL数据库进行交互，包括连接到数据库、执行SQL命令、管理数据表和记录等。 操作流程 操作步骤 说明 步骤1：创建TaurusDB实例 选择TaurusDB的基础配置、高级配置信息，购买数据库实例。 步骤2：创建ECS 购买Windows ECS，并确认ECS实例与TaurusDB实例在同一区域、同一VPC内。 步骤3：测试连通性并安装MySQLFront 测试ECS到TaurusDB实例内网IP和端口的网络连通性，并在ECS上安装MySQLFront。 步骤4：使用MySQLFront连接实例 使用MySQLFront通过内网IP和端口连接TaurusDB实例。 步骤1：创建TaurusDB实例 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域和项目。 步骤 3 在页面左上角单击 ，选择“数据库 > 云数据库 TaurusDB”。 步骤 4 在“实例管理”页面，单击“创建数据库实例”。 步骤 5 在“创建数据库实例”页面，填写并选择实例相关信息后，单击“立即创建”。 表 基本信息 参数 描述 计费模式 选择“按需计费”。 区域 实例所在区域。 须知 不同区域的资源之间内网互不相通。请选择靠近您业务的区域，可以降低网络时延，提高访问速度。 实例创建成功后不能更换区域，请谨慎选择。 实例名称 实例名称长度最小为4个字符，最大为64个字符且不超过64个字节（一个中文字符占用3个字节），必须以字母或中文开头，区分大小写，可以包含字母、数字、中划线、下划线或中文，不能包含其他特殊字符。 创建多个数据库实例时，名称自动按序增加4位数字后缀。例如输入instance，从instance0001开始命名；若已有instance0010，从instance0011开始命名。 批量创建的实例名称长度在4个到59个字节之间，可以包含字母、数字、中划线、下划线或中文（一个中文字符占用3个字节），不能包含其他特殊字符。 数据库引擎版本 TaurusDB V2.0。 实例类型 支持集群版和单机版。 集群：集群版包含1个主节点和最少1个最多15个只读节点。主节点处理读写请求，只读节点仅处理读请求。主节点如果发生故障，只读节点会自动切换为主节点，保证数据库的高可用。适用于中大型企业的生产数据库，覆盖互联网、政企税务、银行保险等行业。 单机：单机版只有1个主节点，没有只读节点。单机版无需处理多个节点之间的同步协作，易满足ACID事务需求。适用于个人学习、微型网站以及中小企业的开发测试环境。 可用区类型 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 单可用区：主节点和只读节点部署在同一个可用区。 多可用区：您选择主可用区，创建的只读节点会均匀分布在各可用区之间，保证高可靠性。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期不可修改。 表 规格与存储 参数 描述 性能规格 不同性能规格对应不同连接数和最大IOPS。 创建成功后可进行规格变更。 CPU架构 CPU架构分为X86和鲲鹏。 节点数量 每个实例默认只有1个主节点，其余节点为只读节点，单次创建最多可批量申请9个只读节点。 实例创建成功后，您可根据业务需要，添加只读节点，具体请参见创建只读节点。 存储设置 您的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。 表 网络设置 参数 描述 虚拟私有云 TaurusDB数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离，以提高网络安全性。 您需要选择所需的虚拟私有云和子网。如果没有可选的虚拟私有云，TaurusDB会为您分配一个默认的虚拟私有云（defaultvpc），您也可以使用已有、新建VPC和子网。 须知 TaurusDB实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 内网安全组 内网安全组限制实例的安全访问规则，加强TaurusDB数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，TaurusDB数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 表 数据库配置 参数 描述 管理员账户名 数据库的登录名默认为root。 管理员密码 所设置的密码，长度为8~32个字符，至少包含以下字符中的3种：大写字母、小写字母、数字、特殊字符~!@

产品概述 天翼云云助手（CTCA， Cloud Assistant）是专门为云服务器打造的原生自动化运维工具，免密码、免登录、无需使用跳板机，即可批量执行命令（Shell、PowerShell、Bat、Python等），完成运行自动化运维脚本、轮询进程、安装卸载软件、启动或停止服务、安装补丁或安装安全更新等任务。 产品优势 批量执行命令 通过云助手，您能够以安全可靠的方式远程管理大规模的实例，无需登录服务器、使用堡垒主机或 SSH。 提供集成工具 云助手可作为运维部署工具，免费支持 API，可供集成。 查询历史记录 通过云助手执行的操作系统脚本命令，您可以查询到其历史记录信息。 实现自动化 您可以预先创建常用的操作命令，并通过云助手高效完成您的日常任务。例如：注册表编辑、用户管理、软件和补丁安装等。 应用场景 当您涉及以下业务场景时，可通过云助手快速实现需求： 上传并运行自动化运维脚本。 执行常见操作任务。 运行已保存的脚本。 批量安装软件或应用。 安装补丁或安全更新。 上传文件或证书到指定目录。 使用限制 云助手具备以下限制项： 2024年6月30日之后使用公共镜像创建的实例，默认已预装云助手客户端。若您的实例于2024年6月30日前购买，请参考 安装云助手客户端 进行安装。 单次执行命令实例数量上限为100。 云助手仅保存最近三个月的命令执行历史记录，且记录数量最大保存10万条。 创建的Bat、PowerShell、Python或者Shell脚本和自定义参数的使用场景与文件大小说明如下： 1. 上传文件：文件大小不能超过24 KB。 2. 创建命令：命令大小不能超过24 KB。

本章节指导用户在区域外主机中安装ICAgent。 ICAgent是云日志服务进行日志采集的工具，运行在需要采集日志的服务器中。使用云日志服务在区域外主机采集日志时，需要安装ICAgent。您可以通过以下操作指导在区域外主机中安装ICAgent。 前提条件 安装ICAgent前，请确保本地浏览器的时间、时区与主机的时间、时区一致。如果不一致，可能会导致日志上报出错。 安装方式说明 ICAgent有两种安装方式，请按照您的场景进行选择。 表 1 安装方式 方式 适用场景 首次安装 该服务器上未安装过ICAgent。 继承安装（Linux环境支持） 您有多个服务器需要安装ICAgent，其中一个服务器已经通过首次安装方式装好了ICAgent，对于没有安装ICAgent的其他多个服务器，您可以采用该安装方式。 首次安装（Linux环境） 非本区域的服务器安装ICAgent，请先在弹性云主机控制台购买一台弹性云主机作为跳板机，具体操作请参考购买ELB和多主机作为跳板机，然后执行如下操作： 说明 推荐CentOS 6.5 64bit及其以上版本的镜像， 最低规格为1vCPUs 1GB，推荐规格为2vCPUs 4GB。 1. 登录管理控制台，选择“管理与部署 > 云日志服务 LTS”，进入“日志管理”页面。 2. 左侧导航栏选择“主机管理 > 主机”，进入“主机”页面。 3. 在主机管理页面，单击右上角“安装ICAgent”。 4. “安装系统”选择“Linux”。 5. “主机类型”选择“区域外主机”。 6. “网络连通性方式”为“专线”。专线连通场景下，默认其它IDC上的机器与LTS后端网络不通，需要配置网络打通方案，建议您选择VPCEP。 说明 专线：区域外主机与当前区域LTS通过跳板机或VPCEP专线连通，安全性和稳定性都更高。在专线连通场景下，默认区域外主机与当前区域LTS网络不通，安装在区域外主机上的ICAgent无法直接访问当前区域LTS上报日志的网段。因此需要配置网络打通方案，使用跳板机或VPCEP的方式去连通LTS后端将数据转发到LTS。 跳板机：跳板机作为数据转发器，将区域外主机ICAgent采集到的数据转发给LTS。当您在进行测试，或者日志流量并不大的情况下，可以使用跳板机的方案。对于大流量日志场景推荐您使用VPCEP。 VPCEP：即VPC终端节点，能够将VPC私密地连接到当前区域LTS，使VPC中的资源无需弹性公网IP就能够访问终端节点服务。这种方式能够减少数据在公网上传输的风险，提高数据传输的安全性和效率。 7. 选择“连通LTS后端方式”为VPCEP时，填写VPCEP域名，填写完成后，直接从步骤9开始。 请您在网络同事的协助下，在他云上配置VPCEP的DNS域名解析规则，将VPCEP的域名解析到指定IP。 配置完成后，选择一台要采集日志的主机，输入界面上的测试命令，如果能ping通，表示网络配置OK。 8. 选择“连通LTS后端方式”为跳板机时，需要设置该步骤。在跳板机上开通转发端口。 1）在当前region区申请一台ECS主机当跳板机。 2）添加跳板机ECS使用的安全组规则，开放入方向对应端口，保证区域外主机到跳板机数据连通。在弹性云服务器控制台，单击ECS主机名称进入详情页，选择安全组页签，进入安全组列表页。单击具体的安全组名，进入安全组详情页。在该安全组详情页，单击“入方向规则 > 添加规则”，按下表添加安全组规则。 方向 协议 端口 说明 入方向 TCP 8149、8102、8923、30200、30201、80 ICAgent发送数据到跳板机的端口列表，保证非本区域的VM到跳板机ECS的数据连通性。 3）输入跳板机私有IP，生成跳板机转发命令。 说明 跳板机私有IP是指VPC内网IP。 4）单击“复制命令”，复制跳板机转发命令。 5）以root用户登录跳板机，执行SSH Tunnel转发命令。根据命令提示输入root用户名密码即可。 plaintext ssh f N L {跳板机ip}:8149:{elbip}:8149 L {跳板机ip}:8102:{elbip}:8102 L {跳板机ip}:8923:{elbip}:8923 L {跳板机ip}:30200:{elbip}:30200 L {跳板机ip}:30201:{elbip}:30201 L {跳板机ip}:80:icagent{region}.{obsdomain}:80 {跳板机ip} 6）执行netstat lnp grep ssh命令查看对应端口是否被侦听，如果返回结果如下图所示，说明TCP端口已开通。 说明 如果跳板机ECS掉电重启，请重新执行如上命令。 7）获取AK/SK，填写DC和跳板机连接IP。 说明 DC：自定义节点所属数据中心名称，便于分类查看主机。 跳板机连接IP：使用EIP方式连接，为跳板机弹性公网IP，使用云专线VPC对等连接方式，为跳板机VPC内网IP。 9. 复制ICAgent安装命令。 10. 使用PuTTY等远程登录工具，以root用户登录所在region待安装ICAgent的服务器，执行ICAgent安装命令进行安装。 说明 当显示“ICAgent install success”时，表示安装成功，ICAgent已安装在了/opt/oss/servicemgr/目录。安装成功后，在云日志服务左侧导航栏中选择“主机管理 > 主机”，查看该服务器中ICAgent的状态。 如果安装失败，请卸载ICAgent后重新安装，如果还未安装成功，请联系技术支持。 当前网卡信息由节点上安装的ICAgent插件通过执行ifconfig命令获取。若网卡配置中没有inet信息，则不会上报IPv4地址，即在LTS主机页面的“主机IPv4”显示；若未配置inet6信息，则不会上报IPv6地址，即在LTS主机页面的“主机IPv6”显示。

本章节会介绍云数据库 RDS for MySQL提供使用命令行、图形化界面。 表 RDS连接方式 连接方式 使用场景 通过DAS连接RDS for MySQL实例 通过数据管理服务（Data Admin Service，简称DAS）这款可视化的专业数据库管理工具，可获得执行SQL、高级数据库管理、智能化运维等功能，做到易用、安全、智能地管理数据库。云数据库RDS库服务默认开通DAS连接权限。 通过mysql命令行客户端连接实例 在Linux操作系统中，您需要在弹性云主机上安装MySQL客户端，通过mysql命令行连接实例。支持公网和内网两种连接方式： 系统默认提供内网IP地址。当应用部署在弹性云主机上，且该弹性云主机与RDS for MySQL实例处于同一区域，同一VPC时，建议单独使用内网IP连接弹性云主机与RDS for MySQL实例。 不能通过内网IP地址访问RDS实例时，使用公网访问，建议单独绑定弹性公网IP连接弹性云主机（或公网主机）与RDS for MySQL实例。 通过图形化界面连接RDS for MySQL实例 在Windows操作系统中，您可以使用任何通用的数据库客户端连接到RDS for MySQL实例。

本节主要描述Redis连接过程出现的问题，以及解决方法。 问题分类 当您发现与Redis实例连接出现异常时，可以根据本文的内容，从以下几个方面进行排查。 Redis和ECS之间的连接问题 密码问题 实例配置问题 客户端连接问题 带宽超限导致连接问题 性能问题导致连接超时 Redis和ECS之间的连接问题 客户端所在的ECS必须和Redis实例在同一个VPC内，并且需要确保ECS和Redis之间可以正常连接。 如果是Redis 3.0实例，Redis和ECS的安全组没有配置正确，连接失败。 解决方法：配置ECS和Redis实例所在安全组规则，允许Redis实例被访问。 如果是Redis 4.0/5.0/6.0实例，开启了白名单功能，连接失败。 如果实例开启了白名单，在使用客户端连接时，需要确保客户端IP是否在白名单内，如果不在白名单，会出现连接失败。客户端IP如果有变化，需要将变化后的IP加入白名单。 Redis实例和ECS不在同一个Region。 解决方法：不支持跨Region访问，可以在ECS所在的Region创建Redis实例，创建时注意选择与ECS相同VPC，创建之后，使用数据迁移进行迁移，将原有Redis实例数据迁移到新实例中。 Redis实例和ECS不在同一个VPC。 不同的VPC，网络是不相通的，不在同一VPC下的ECS无法访问Redis实例。可以通过创建VPC对等连接，将两个VPC的网络打通，实现跨VPC访问Redis实例。 关于创建和使用VPC对等连接，请参考《虚拟私有云用户指南》的“对等连接”文档说明。

参数 是否必选 参数说明 名称 是 伸缩组的名称，用户可自定义，也可以选择保持系统默认分配名称。 最大实例数（台） 是 伸缩组内包含的实例数量的最大值，伸缩组内执行的任何伸缩活动结果不得大于最大实例数。 若您修改了伸缩组的最大实例数使得伸缩组的当前实例数大于最大实例数，弹性伸缩服务会自动移出实例，保证伸缩组的当前实例数等于最大实例数。 最小实例数（台） 是 伸缩组内包含的实例数量的最小值，伸缩组内执行的任何伸缩活动结果不得小于最小实例数。 若您修改了伸缩组的最小实例数使得伸缩组的当前实例数小于伸缩最小实例数时，弹性伸缩服务会自动添加实例，保证伸缩组的当前实例数等于伸缩最小实例数。 开启期望实例数 否 伸缩组内是否开启期望实例数配置。期望实例数是伸缩组内包含的实例数量的稳态值。 若您为伸缩组开启并设置了期望实例数，当伸缩组内实例数不等于期望实例数时，弹性伸缩服务会自动进行扩缩容，确保伸缩组内始终保持该数量的实例数。 虚拟私有云 是 同一伸缩组内的弹性云主机的虚拟私有云是一致的。 网卡 是 一个伸缩组可以绑定多张网卡，默认第一张网卡为主网卡。 多可用区扩容策略 是 多可用区资源池伸缩组需指定扩容策略。 均衡策略：在伸缩组绑定的伸缩配置关联多个可用区时生效，支持在多个可用区之间均衡分布云主机实例。 优先级策略：伸缩组绑定的伸缩配置先选择的可用区优先级高。弹性伸缩优先在优先级最高的可用区尝试伸缩活动。若无法扩进行伸缩活动，则自动在优先级次之的可用区进行。 添加已有云主机实例 否 伸缩组创建完成后，支持将符合条件的已有云主机实例移入伸缩组，作为初始化实例，最大可选择添加10个实例。添加已有的云主机实例数量受到最小、最大、期望实例数限制。 安全组 是 安全组类似防火墙功能，是一个逻辑上的分组，用于设置网络访问控制。 负载均衡 否 选择启用负载均衡后，伸缩组中的云主机会自动挂载到您关联的负载均衡下。当选择使用弹性负载均衡时，需配置4个参数：负载均衡器、主机组、后端端口和权重。 访问流量将按照分发策略自动分发到伸缩组内的所有弹性云主机。 注意：一个伸缩组可最多关联10个负载均衡监听器。 实例移除策略 是 在对伸缩组进行缩容时，会采用此策略进行移除，共有以下四种方式： 较早创建的配置较早创建的实例：先筛选出较早创建的配置所创建出的实例，再筛选较早创建的实例移出。 较晚创建的配置较晚创建的实例：先筛选出较晚创建的配置所创建出的实例，再筛选较晚创建的实例移出。 较早创建的实例：根据时间筛选较早创建的实例，跟是否是伸缩配置创建的无关。 较晚创建的实例：根据时间筛选较晚创建的实例，跟是否是伸缩配置创建的无关。 实例回收模式 是 指伸缩组自动创建的实例被移出后的处理策略。 释放模式：将移出的伸缩组自动创建的云主机释放。 注意：对于手动移入伸缩组的云主机，如果被移出伸缩组，资源不会被释放，状态保持不变，不适用此策略。 健康检查方式 是 健康检查会将处于“异常”状态的云主机从伸缩组中移出，并替换同种规格的云主机来承载业务流量。有以下两种方式： 云主机健康检查：是指对云主机的运行状态进行检查，如关机、错误等人为或非人为状态都是云主机异常状态。 弹性负载均衡健康检查：是指根据负载均衡对云主机的健康检查结果进行的检查。所有监听器下检测到的云主机状态必须均为正常。 不启用：关闭伸缩组健康检查，伸缩组不会获取实例健康状态信息。 注意：只有开启负载均衡时您才可以选择弹性负载均衡健康检查，建议当伸缩组开启负载均衡时，使用弹性负载均衡健康检查。 健康检查间隔 是 执行健康检查的周期时间。您可以根据业务实际情况设置合理的健康检查间隔（5分钟、 15分钟、 1小时、 3小时），以确保其包含主机中应用程序的预期启动时间。 企业项目 是 支持为伸缩组选择企业项目。

本节介绍了什么是云硬盘、产品优势及云硬盘、弹性文件服务、对象存储服务的区别。 云硬盘简介 云硬盘（EVS，Elastic Volume Service）可以为云上计算资源提供高可靠、高性能、规格丰富并且可弹性扩展的块存储服务，可满足不同场景的业务需求，适用于分布式文件系统、开发测试、数据仓库以及高性能计算等场景。云上计算包括弹性云主机和物理机。 云硬盘简称为磁盘，本文档中也会用磁盘来表示云硬盘。 图1 云硬盘架构 产品优势 云硬盘为云主机提供规格丰富、安全可靠、可弹性扩展的硬盘资源，具体功能特性如下： 规格丰富 EVS提供多种规格的云硬盘，可挂载至云主机用作数据盘和系统盘，您可以根据业务需求及预算选择合适的云硬盘。 弹性扩展 您可以创建的单个云硬盘最小容量为10 GB，最大容量为 32 TB，即，10 GB ≤ 云硬盘容量 ≤ 32 TB。若您已有的云硬盘容量不足以满足业务增长对数据存储空间的需求，您可以根据需求进行扩容，最小扩容步长为1GB，单个云硬盘最大可扩容至32 TB。 扩容云硬盘时还会受容量总配额影响，系统会显示您当前的剩余容量配额，新扩容的容量不能超过剩余容量配额。您可以申请足够的配额满足业务需求。 安全可靠 云硬盘支持备份、快照等数据冗余备份功能，为存储在云硬盘中的数据提供可靠保障，防止应用异常、黑客攻击等情况造成的数据错误。 实时监控 配合云监控（Cloud Eye），帮助您随时掌握云硬盘健康状态，了解云硬盘运行状况。

本页为您介绍WPS云文档天翼云版的功能特性 多人协作 多人随时随地在不同设备上针对同一份文档进行协作编辑，资料实时同步更新，在线评论文档，高效沟通无忧，协作痕迹留存，可查看可还原。 文档共享 文档外链一键分享功能，在与企业外部的客户或合作伙伴共享大文件时，以外链的形式一键发送，提高传输速度，避免因邮件限制文件大小而收发不到，同时还可以减小企业带宽压力。 文档存储 企业资料上云，云端统一存储，让文档不再零散存放。 文档安全 后台实现企业成员的统一管理，明确各人职能权限，事前架构制定、事中权限分级、事后水印追溯， 全方位保障企业信息安全。 小工具 强大 PDF 功能，支持批量完美转换，支持 PDFWord 互转、PDF 合并、提取等功能，满足企业所需的 PDF 操作需求。一键识别图片文字，轻轻一扫，即可一键将图片中的文字转换为文本，极大限度提高办公效率。日历待办、统计表单、流程图&思维导图等轻工具助力企业高效安排每日工作。

操作场景 当负载均衡协议为UDP时，健康检查也采用的UDP协议，您需要打开其后端服务器的ICMP协议安全组规则。 操作步骤 步骤 1 登录弹性云主机控制台，找到CCE集群中的节点对应的弹性云主机，单击云服务器名称，进入详情页面。 步骤 2 在“安全组”页签下，单击“更改安全组规则”。 步骤 3 在打开的页面中单击“入方向规则”页签，单击“添加规则”，为云服务器添加入方向规则，单击“确定”。 说明： 您只需为工作负载所在集群下的任意一个节点更改安全组规则，请添加规则即可，不要修改原有的安全组规则。 安全组需放通网段100.125.0.0/16流量。

此小节介绍开启企业主机安全网页防篡改。 开启网页防篡改时，您需为指定的主机分配一个配额，关闭主机安全服务或删除主机后，该配额可分配给其他的主机使用。 开启网页防篡改防护时会同步开启主机安全的旗舰版防护。 网页防篡改原理 防护类型 原理说明 静态网页防护 1.锁定本地文件目录驱动级锁定Web文件目录下的文件，禁止攻击者修改，网站管理员可通过特权进程进行更新网站内容。 2.主动备份恢复若检测到防护目录下的文件被篡改时，将立即使用本地主机备份文件自动恢复被非法篡改的文件。 3.远端备份恢复若本地主机上的文件目录和备份目录失效，还可通过远端备份服务恢复被篡改的网页。 动态网页防护 1.基于RASP过滤恶意行为采用自研RASP检测应用程序行为，有效阻断攻击者通过应用程序篡改网页内容的行为。 2.网盘文件访问控 精细化定义网盘文件中的文件访问权限，包括新增，修改，查询等，确保防篡改同时不影响网站内容发布。 前提条件 在“主动防御 > 网页防篡改 > 防护配置”页面中“防护状态”为“未防护”。 在“资产管理 > 主机管理”页面“云服务器”列表中“Agent状态”为“在线”、“防护状态”为“未防护”。

云主机不想使用公网IP，但是主机是包周期主机，无法解绑EIP，请问还有什么方法限制主机IP在互联网上暴露？ 可使用安全组功能限制IP的保留，安全组具体介绍可参考安全组概述。 具体操作方法为： 1. 在云主机控制台选中该云主机，点击进入详情页。 2. 选择安全组页签，在安全组列表中，点击安全组名称左侧的展开符，将安全组详情信息展开。确认安全组入方向源地址只放行客户本地IP，即可限制主机IP在互联网上暴露。安全组具体配置规则可参考添加安全组操作 如何绑定虚拟IP，单虚拟IP支持绑定几个主机？ 虚拟IP是虚拟私有云（VPC）产品下的功能，通常用于后端云主机之间部署业务高可用。虚拟IP的详细说明请见：虚拟私有云虚拟IP概述 虚拟IP仅支持绑定5台主机。详细绑定操作与操作限制，请见：虚拟IP绑定服务器。 如何修改内网IP地址？ 在云主机控制台列表里选择要修改内网IP的云主机，操作关机。点击“实例/主机名”进入该云主机详情页面，在“网卡”tap页面选择“修改内网IP”，在弹出的“修改内网IP”对话框修改内网IP地址。

使用可信云主机 查看实例可信信息 1. 登录弹性云主机控制台。 2. 在云主机列表中： 可信状态图标为绿色：表示已开启可信系统。 可信状态图标为灰色：表示未开启可信系统。 3. 单击已开启可信系统的实例名称/ID，进入详情页： 在主机信息区域，通过 可信实例 字段可查看开启状态。 选择可信计算页签，查看详细可信信息。 可信信息说明 资产启动概况：以圆圈表示各PCR（平台配置寄存器），每个PCR对应启动过程中的一个特定环节。圆圈颜色含义： 全部绿色：启动过程正常，实际度量值与标准值一致。 红色（当前环节）+ 灰色（后续环节）：表示当前环节出错。 资产中组件可信状态：与上方的PCR圆圈一一对应。 PCR度量对象说明： pcr0：表征SRTM、BIOS、嵌入式可选ROM、PI驱动等。 pcr1：表征主机平台配置。 pcr2：表征UEFI驱动、应用代码。 pcr3：表征UEFI驱动、应用配置、应用数据。 pcr4：表征UEFI启动管理代码（通常是MBR）。 pcr5：表征UEFI启动管理代码（通常是MBR）、启动相关数据（由UEFI启动管理代码使用的数据）、GPT分区表。 pcr6：表征平台生产厂商定义的特定UEFI固件。 pcr7：表征安全启动策略。 pcr8：表征在grub.cfg等配置文件中规定执行的关键命令（不会度量非关键命令，例如定义启动菜单标题的命令），以及传递给Linux内核的命令行信息。 pcr9：表征GRUB模块、Linux内核和initramfs。 说明 PCR即平台配置寄存器（Platform Configuration Register），是可信安全设备的存储单元，能够可靠地存储启动过程中收集的状态信息。每个PCR对应启动过程中的一个特定环节，PCR值表征各环节中度量对象的状态。如果PCR中存储的实际度量值与预期的标准值一致，则认为该环节符合预期。

本文将为您介绍天翼云SDWAN统一身份认证与权限管理。 基本介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限，具体介绍说明详见：产品定义。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素左作用（Effect）、权限集（Action）等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略： 1. 系统策略 ：预置的系统策略，您只能使用不能修改。云专线相关的系统策略包含如下： sdwan admin：天翼云SDWAN服务的管理者权限，包含天翼云SDWAN服务所有控制权限； sdwan viewer：天翼云SDWAN服务的观察者权限，包含天翼云SDWAN服务的列表页与详情页面权限； 2. 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，具体配置说明详见：创建自定义策略。

本文为您介绍如何用curl命令接入OpenSearch实例。 概述 使用 Curl 是最简单直接的方式访问 OpenSearch 实例。它允许用户通过命令行发送 HTTP/HTTPS请求与实例进行交互，例如创建索引、查询集群状态等操作。 前提条件 已开通天翼云云搜索服务OpenSearch实例。 实例已绑定公网IP，具体可参考“实例公网访问”章节。 本地已按照Curl工具。 操作步骤 实例使用HTTP协议访问OpenSearch实例 plaintext curl u : " user：OpenSearch实例用户名，比如admin。 password：该用户密码，比如用户配置的OpenSearch实例admin用户密码。 host：主机IP，即实例绑定的公网IP。 port：端口号，一般是9200。 实例使用HTTPS协议访问OpenSearch实例 方式一：忽略证书校验（适用于自签名证书或快速测试） 在使用自签名证书时，可以使用k 或 insecure 参数跳过安全校验： plaintext curl u k : " 方式二：指定证书访问（推荐生产环境） 为了保证通信的绝对安全，推荐通过cacert 参数指定根证书的绝对路径来进行访问： plaintext curl u : " cacert /path/to/your/ca.pem 证书可以从云搜索服务控制台 “安全设置”页面下载。

步骤一：创建云主机并绑定EIP 开通创建云主机，绑定弹性EIP操作流程请参考： < ● 华东1云主机A购买公网带宽：10Mbps ● 西南1云主机B购买公网带宽：10Mbps 步骤二：安装iperf3 检查云主机上的安全组及网络ACL配置，确保云主机能够正常访问公网。 分别在华东1、西南1的云主机上安装iperf3 执行命令：yum install iperf3 说明：CentOS、CTyunOS镜像环境下执行命令为yum install iperf3，如果是其他操作系统，请以操作系统实际命令为准。 步骤三：打流测试 以华东1 云主机作为客户端，西南1云主机做为服务端，从华东1向西南1进行打流测试，查看华东1的出云带宽。 本次测试以iperf udp方式打流，指定带宽为客户购买带宽10Mbps 服务端：西南1 执行命令：iperf3 s （启动服务） 注意：iperf3在不指定端口的情况下，默认使用端口5201，请在客户端和服务端云主机上，注意安全组的配置，放行该端口；如果指定其他端口，也注意要在安全组中放行。 客户端：华东1 执行命令：iperf3 c XX.XX.XX.XX(西南1 EIP地址) t 30 b 10M i 15 u 参数说明： t 30 : 发送报文持续时间为30秒 b 10M：指定发送报文带宽10Mbps i 15：测试结果的输出周期为15秒 u：使用UDP协议打流 通过以上测试，可以看到华东1出云带宽符合购买带宽10Mbps，丢包为0，基本无抖动。 在西南1查看入云带宽及丢包情况： 入云带宽10Mbps，0丢包，无抖动。 如果想让服务端向客户端打流，查看服务端的出云带宽，可在客户端执行如下命令： iperf3 c XX.XX.XX.XX(西南1 EIP地址) t 30 b 10M i 15 u R 增加R 表示反向测试，则可查看服务端向客户端的打流情况及出云带宽等信息。 通过采用iperf打流的方式，可以辅助您验证实际的公网带宽是否符合业务所需。

标准快速 全栈云服务集成一体 , 多种增值能力可选，大幅减少建设时间。 国产化和x86多种配置可选，满足客户不同需求场景。 标准产品规格及售卖模式，快速匹配客户需求。 到货后110个工作日即可完成产品部署交付，虚拟资源即开即用。 安全稳定 采用自研云底座，历经大规模客户业务验证。 数据多副本（双副本或三副本）、故障HA、快照与备份等多项技术保障数据高可靠。 高效管理 内置云管平台，可视化资源开通及运营管理。 可整合多一体机集群，提供混合多资源池管理能力。 支持VPN服务，帮助客户以低成本快速构建专有企业云网。 极简运维 多维度监控、告警数据，帮助用户提前发现业务运行隐患。 属地化运维和724小时在线服务，全方位解决客户后顾之忧。

本文介绍弹性云主机的计费项和计费方式。 一台云主机实例包括计算资源（vCPU和内存）、镜像、云硬盘等资源，其中涉及计费的资源如下表所示。 资源类型 计费说明 计费方式 计算资源（vCPU和内存） 以实例规格的形式提供计算资源，包括vCPU和内存，收取实例规格费用。 包年包月计费说明，按量付费计费说明 包年/包月、按量计费 镜像 镜像当前分为公共镜像、私有镜像、共享镜像与安全产品镜像。 镜像服务计费说明 根据镜像类型及使用情况决定 云硬盘 针对不同云硬盘类型与容量计费。购买云主机实例时会默认购买40GiB的系统盘，用户可以根据需要调整该容量。 云硬盘计费说明 包年/包月、按量计费 弹性IP 如有互联网访问需求，您需要购买弹性公网IP。弹性IP可根据带宽、流量进行计费。 弹性IP计费说明 按带宽包年包月、按带宽按量付费、按实际流量付费 关于试用、代金券的相关规则请参考：试用规则、代金券使用。

参数项 说明 区域 指APIG专享版实例部署的区域，建议和您其他的业务部署在相同区域，这样不同的业务可以在VPC内以子网方式通信，节省公网带宽成本，降低网络延时。 可用区 指同一区域内电力、网络等资源物理隔离的地理区域，一般为互相独立的机房。 APIG实例支持同时选择多个可用区，进行跨可用区部署，提升实例高可用性。 实例名称 实例的名称，根据规划自定义。 实例规格 当前开放基础版、专业版、企业版、铂金版实例。 时间窗 指允许云服务技术支持对实例进行维护的时间段。如果有维护需要，技术支持会提前与您沟通确认。 建议选择业务量较少的时间段。 公网入口 指允许外部服务通过弹性IP地址，调用专享版实例创建的API。开启“公网入口”，需要绑定一个“弹性IP地址”。 您需要使用独立域名/子域名访问，使用子域名访问时存在单日访问次数限制。可在创建API分组后，为分组绑定独立域名，独立域名需要解析到专享版实例的弹性IP。 例如您有一个API，请求协议为HTTPS，Path为/apidemo，开启了公网访问，并为分组绑定了独立域名后，可使用 公网出口 指允许专享版实例API的后端服务部署在外部网络，APIG为实例开启公网出口。您可以根据业务预估设置合适的“出公网带宽”。出公网带宽可配置范围为1~2000Mbit/s，费用按小时计算，以弹性IP服务的价格为准。 IPv6 如果后端云主机部署在外部网络，且需要使用IPv6地址访问，则需要勾选“支持IPv6”。 网络 指为实例绑定到一个虚拟私有云，并为其分配子网。 在相同虚拟私有云中的云服务资源（如ECS），可以使用APIG专享版实例的私有地址调用API。 建议将专享版实例和您的其他关联业务配置一个相同的虚拟私有云，确保网络安全的同时，方便网络配置。 安全组 安全组用于设置端口访问规则，定义哪些端口允许被外部访问，以及允许访问外部哪些地址与端口。 例如，后端服务部署在外部网络，则需要设置相应的安全组规则，允许访问后端服务地址与API调用监听端口。 说明 如果开启公网入口，安全组入方向需要放开80（HTTP）和443（HTTPS）端口的访问权限。 描述 实例的描述信息。

添加安全组规则 安全组中的入方向规则默认开启了22端口，当云主机的SSH登录端口修改为5000时，需要为安全组新加一条规则。 1.登录管理控制台。 2.选择“计算 > 弹性云主机”，进入云主机控制台。 3.单击云主机名称“ecsf5a2”进入详情页面。 4.选择“安全组”页签，单击展开安全组规则详情，单击列表右上角的“更改安全组规则”。 5.添加一条入方向规则，如下图所示。 图 安全组规则 编辑hosts.allow和hosts.deny “/etc/hosts.allow”和“/etc/hosts.deny”是控制远程访问的文件，通过配置该文件可以允许或者拒绝某个IP或者IP段的客户访问Linux云主机的某项服务。 比如SSH服务，通常只对管理员开放，那我们就可以禁用不必要的IP，而只开放管理员可能使用到的IP段。 因为云主机需要在不同地点登录，建议编辑“/etc/hosts.allow”允许所有IP地址登录，这样不会影响正常使用。 vim /etc/hosts.allow 在最后一行增加“sshd:ALL”。 我们可以通过一些方法识别云主机的安全风险，比如检查SSH状态，查看疑似恶意登录的IP，然后在“/etc/hosts.deny”中将这些地址禁止。

参数 是否必选 参数说明 名称 是 创建伸缩配置的名称。 可用区 是 多可用区资源池可选择伸缩组绑定的伸缩配置，在指定可用区扩缩容。当伸缩配置绑定的伸缩组使用优先级扩容策略时，可用区选择顺序将决定优先级。 配置规格 是 配置规格有两种选择，使用新规格与使用现有云主机规格： 选择“使用现有云主机规格 > 请选择云主机” 创建配置，云主机类型、 vCPU、内存、镜像、云硬盘数据、安全组信息将默认与选择的云主机规格保持一致。 选择“使用新规格”，接下来根据实际业务需求配置主机类型、 vCPU、内存、镜像、云硬盘参数、安全组信息。 弹性IP 是 弹性IP可以实现虚拟私有云中的云资源通过固定的公网IP 地址与互联网互通。您可以根据实际需求选择以下两种方式： 不使用：弹性云主机不能对外提供访问服务，仅可在虚拟私有云内部进行内网互通。 自动分配：自动为每台弹性云主机分配独享带宽的弹性IP，带宽值可以由您设定。 登录方式 是 天翼云提供两种登录方式供您选择，密钥对和密码。 密钥对指使用密钥作为弹性云主机的鉴权方式进行登录。选择此方式，请您在密钥对配置项中导入密钥对。说明： 如果您直接从下拉列表中选择已有的密钥，请确保您已在本地获取该文件且可以登录云主机，否则，将影响您正常登录弹性云主机。 账户密码指使用设置 root 用户（Linux 操作系统）和 Administrator 用户（Windows操作系统）的初始密码方式作为弹性云主机的鉴权方式，如果选择此方式，您可以通过用户名密码方式登录弹性云主机。您需要为您的用户设置密码，并确认密码，确保能够成功登录云主机。 云监控 否 是否开启详细监控。开启后，在云主机创建成功后35分钟将完成详细监控Agent安装，启用云服务器CPU、内存、网络、磁盘、进程等指标详细监控；若不开启，则无任何监控数据。 是否编辑标签 否 是否启用标签。若启用，通过该伸缩配置创建的云主机默认绑定标签；若不启用，则通过该伸缩配置创建的云主机无标签。 用户数据 否 用于创建云主机时向云主机注入实例自定义数据。伸缩配置支持以文本形式输入用户数据内容，配置后，云主机首次启动时会自行注入数据信息。 例如：您可以通过注入一段脚本，激活待创建云主机的root用户权限，注入成功后，您可以使用root用户登录弹性云主机。

本节介绍态势感知的应用场景。 云安全的理念是“三分建设，七分运营”，态势感知（专业版）的应用场景即是占了七分的安全运营。主要有以下几个应用场景： 日常安全运营 日常过程中，基于安全运营中关注的要素，对各个安全目标，执行各安全运营流程剧本，从而发现并消减风险，并对流程进行持续改进，避免风险再次发生。 重大保障 重大节日、假日、活动、会议期间，进行高强度724的安全保障，侧重于防攻击，保障业务可用性不因安全攻击受影响。 防护演练 国家机关单位、地方政府、企业组织的攻防演练中，进行高强度的安全防守保障，侧重于防入侵，保障不因入侵失分被问责（通报、批评等）。 安全评估 重大保障及防护演练前，信息全面的脆弱性盘点，包括白盒方式的基线评估、黑盒方式的攻击面、攻击路径探测。