本小节介绍容器安全告警事件概述。 开启节点防护后，部署在每个容器宿主机上的Agent会对容器运行状态进行实时监控，支持逃逸检测、高危系统调用、异常进程检测、文件异常检测、容器环境等检测。用户可通过容器安全告警全面了解告警事件类型，及时发现资产中的安全威胁、实时掌握资产的安全状态。 告警事件列表说明 事件类型 告警事件 原理说明 恶意软件 未分类恶意软件 通过程序特征、行为检测，结合AI图像指纹算法以及云查杀，有效识别后门、木马、挖矿软件、蠕虫和病毒等恶意程序，也可检测出容器中未知的恶意程序和病毒变种。 恶意软件 勒索软件 检测来自网页、软件、邮件、存储介质等介质捆绑、植入的勒索软件。 勒索软件用于锁定、控制您的文档、邮件、数据库、源代码、图片、压缩文件等多种数据资产，并以此作为向您勒索钱财的筹码。 恶意软件 Webshell 检测容器中Web目录中的文件，判断是否为Webshell木马文件，支持检测常见的PHP、JSP等后门文件类型。 恶意软件 黑客工具 检测利用漏洞或者黑客工具的恶意行为，一旦发现进行告警上报。 漏洞利用 漏洞逃逸攻击 HSS监控到容器内进程行为符合已知漏洞的行为特征时（例如：“脏牛”、“bruteforce”、“runc”、“shocker”等），触发逃逸漏洞攻击告警。 漏洞利用 文件逃逸攻击 HSS监控发现容器进程访问了宿主机系统的关键文件目录（例如：“/etc/shadow”、“/etc/crontab”），则认为容器内发生了逃逸文件访问，触发告警。即使该目录符合容器配置的目录映射规则，HSS仍然会触发告警。 系统异常行为 反弹Shell 支持对TCP、UDP、ICMP等协议的检测。 您可以在“策略管理”的“恶意文件检测”策略中配置反弹Shell检测，HSS会实时检测执行的可疑指令、主机被远程控制执行任意命令等。 系统异常行为 文件提权 检测利用SUID、SGID程序漏洞进行root提权的行为，一旦发现进行告警上报。 系统异常行为 进程提权 当黑客成功入侵容器后，会尝试利用漏洞进行root提权或者文件提权，从而达到非法创建和修改系统账号的权限或者篡改文件的目的。 HSS支持检测以下异常提权操作： 利用SUID程序漏洞进行root提权。 利用内核漏洞进行root提权。 对文件的提权。 系统异常行为 关键文件变更 实时监控系统关键文件（例如：ls、ps、login、top等），对修改文件内容的操作进行告警，提醒用户关键文件可能被篡改。 对于关键文件变更，HSS只检测文件内容是否被修改，不关注是人为还是进程进行的修改。 系统异常行为 进程异常行为 检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。 对于进程的非法行为、黑客入侵过程进行告警。 进程异常行为可以监控以下异常行为： 监控进程CPU使用异常。 检测进程对恶意IP的访问。 检测进程并发连接数异常等。 系统异常行为 高危系统调用 Linux系统调用是用户进程进入内核执行任务的请求通道。CGS监控容器进程，如果发现进程使用了危险系统调用（例如：“openbyhandleat”、“ptrace”、“setns”、“reboot”等），触发高危系统调用告警。 系统异常行为 高危命令执行 实时检测容器系统中执行的高危命令，当发生高危命令执行时触发告警。 系统异常行为 容器进程异常 容器恶意程序 HSS监控容器内启动的容器进程的行为特征和进程文件指纹，如果特征与已定义的恶意程序吻合则触发容器恶意程序告警。 容器异常进程 容器业务通常比较单一。如果您能够确定容器内只会运行某些特定进程，可以在“策略管理”设置“容器进程白名单”并将策略关联容器镜像。 对于已关联的容器镜像启动的容器，HSS只允许白名单进程启动，如果容器内存在非白名单进程，触发容器异常程序告警。 系统异常行为 敏感文件访问 HSS监控容器内已配置文件保护策略的容器镜像文件状态。如果发生文件修改事件则触发文件异常告警。 系统异常行为 容器异常启动 HSS监控新启动的容器，对容器启动配置选项进行检测，当发现容器权限过高存在风险时触发告警。容器环境检测触发的告警只是提醒容器启动风险，并不是发生实际攻击。如果黑客利用容器配置风险执行了真实攻击，仍然会触发HSS容器安全的其他检测告警。 HSS支持以下容器环境检测： 禁止启动特权容器(privileged:true) 特权容器是指容器以最大权限启动，类似与操作系统的root权限，拥有最大能力。docker run启动容器时携带“–privilegedtrue”参数，或者kubernates POD配置中容器的“securityContext”配置了“privileged:true”，此时容器会以特权容器方式启动。 告警内容中提示：“privileged:true”，表示该容器以特权容器模式启动。 需要限制容器能力集（capabilities:[xxx]） Linux系统将系统权限做了分类，通过授予特定的权限集合，能控制容器进程的操作范围，避免出现严重问题。容器启动时默认开启了一些常用能力，通过修改启动配置可以放开所有系统权限。 告警内容中提示：“capabilities:[xxx]”，表示该容器启动时拥有所有能力集过大，存在风险。 建议启用seccomp（seccompunconfined） Seccomp(secure computing mode)是Linux的一种内核特性，用于限制进程能够调用的系统调用，减少内核的攻击面。如果容器启动时设置“seccompunconfined”，将不会对容器内的系统调用执行限制。 告警内容中提示：“seccompunconfined”，表示该容器启动时没有启动seccomp，存在风险。 说明 启用seccomp后，由于每次系统调用Linux内核都需要执行权限校验，如果容器业务场景会频繁使用系统调用，开启seccomp对性能会有一定影响。具体影响建议在实际业务场景测试分析。 限制容器获取新的权限(nonewprivileges:false) 进程可以通过程序的suid位或者sgid位获取附加权限，通过sudo提权执行更高权限的操作。容器默认配置限制不允许进行权限提升。 如果容器启动时指定了“–nonewprivilegesfalse”，则该容器拥有权限提升的能力。 告警内容中提示：“nonewprivileges:false”，表示该容器关闭了提权限制，存在风险。 危险目录映射(mounts:[...]) 容器启动时可以将宿主机目录映射到容器内，方便容器内业务直接读写宿主机上的资源。这是一种存在风险的使用方式，如果容器启动时映射了宿主机操作系统关键目录，容易造成从容器内破坏宿主机系统的事件。 HSS监控到容器启动时mount了宿主机危险路径时触发告警，定义的宿主机危险目录包括：“/boot”，“/dev”，“/etc”，“/sys”，“/var/run”等。 告警内容中提示：“mounts:[{"source":"xxx","destination":"yyy"...]”，表示该容器映射的文件路径存在风险。 说明 对于docker容器常用的需要访问的宿主文件如“/etc/hosts”、“/etc/resolv.conf”不会触发告警。 禁止启动命名空间为host的容器 容器的命名空间需要与主机隔离开，如果容器配置了与主机相同的命名空间，则该容器可以访问并修改主机上的内容，易造成容器逃逸的安全事件，存在安全风险。因此HSS会检测容器的pid，network，ipc命名空间是否为host。 告警名称为“容器命名空间”，告警内容中提示“容器pid命名空间模式”、“容器ipc命名空间模式”、“容器网络命名空间模式”，表示启动了命名空间为host的容器，需要按照告警中的提示排查容器的启动选项，如果存在业务需要，可以将该告警事件忽略。 容器镜像阻断 在Docker环境中容器启动前，HSS检测到中指定的不安全容器镜像运行时触发告警。 说明 需安装Docker插件。 用户异常行为 非法系统账号 黑客可能通过风险账号入侵容器，以达到控制容器的目的，需要您及时排查系统中的账户。 HSS检查系统中存在的可疑隐藏账号、克隆账号；如果存在可疑账号、克隆账号等，则触发告警。 用户异常行为 暴力破解 检测容器场景下“尝试暴力破解”和“暴力破解成功”等暴破异常行为，发现暴破行为时触发告警。 支持检测容器场景下SSH、Web和Enumdb暴破行为。 说明 目前暂仅支持Docker容器运行时的暴力破解检测告警。 用户异常行为 用户密码窃取 检测到通过非法手段获取用户密钥行为，一旦发现进行告警上报。 网络异常访问 异常外联行为 检测到服务器存在异常外联可疑IP的行为，一旦发现进行告警上报。 网络异常访问 端口转发检测 检测到利用可疑工具进行端口转发行为，一旦发现进行告警上报。

本节介绍如何查看VPC边界防护情况。 在VPC边界防火墙开关页面上方，用户可以查看VPC边界流量监控信息、防护状态、配额状态和流量拓扑。 VPC边界流量监控：展示最近7天内所有已开启防护资产的VPC边界流量峰值带宽；以及当前已购买的带宽规格和带宽占用情况。 防护状态：统计了您已开启和未开启防护的资产数量，支持防护对等连接、云专线、云间高速资产。 配额状态：展示已经购买的VPC边界防火墙未使用和已使用的配额数，以及VPC边界防护配额总量。1个防护实例，消耗1个防护配额。 流量拓扑可视：展示VPC边界的网络资产互访关系和防护情况，便于您梳理VPC边界访问拓扑并直观掌握整体网络安全防护态势。 操作步骤 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“防火墙开关 > VPC边界防火墙开关”。 3. 查看当前账号下对等连接、云专线、云间高速的防护情况。

微隔离防火墙以镜像方式承载,订购前需要开通一台云主机承载业务,然后再购买授权。本小节介绍微隔离防火墙的订购模式。 目前下单的两种模式： 1. bcp下单模式，客户经理可通过此模式下单； 2. 官网下单模式，客户经理以外的人员可通过此方式下单。 官网下单模式 1、进入天翼云官网，点击右上角【控制中心】，然后登录。 2、点击【弹性云主机】。 3、点击【创建弹性云主机】。 4、按需选择相应的云主机规格，需注意：在选择公共镜像时，选择安全产品中的微隔离防火墙。 5、云主机需开放端口：10443、6443、8000、60001、60011、60021、60031端口。6443为WEB控制台访问端口，10443端口为后台管理使用的端口，8000安装agent的访问端口，60001、600011、60021、60031为agent接入自适应微隔离管理中心的使用端口。 开放端口操作： 1）点击上图的【下一步：网络配置】进行配置。 2）进入【配置安全规则】。 3）点击【创建安全组】 6、在创建完成云主机后，在【控制中心】中选择安全项中的【微隔离防火墙】。点击小购物车“”进入订购页面。 7、设置实例名称，选择需要微隔离防护的云主机数量，上传识别文件，选择订购时长，勾选服务协议，即可提交订购。本产品的授权过程需要12个工作日的时间完成，完成授权后会生成对应的实例项，授权文件可以在console页面的实例信息中下载，我们也会邮件通知授权文件。

本文带您了解对等连接的功能特性。 对等连接是一种跨VPC的网络连接服务，用于实现两个虚拟私有云（VPC）之间的内网通信。它就像在两个独立的VPC之间搭建了一条高速的私有通道，流量不经过公网，具有低延迟、高带宽、高安全性的特点。其主要功能特性如下： 同账号对等连接 适用场景：在同一账号、同一资源池内的两个VPC之间建立连接。 特性：创建后默认自动接受，无需手动审批，简化了账号内部网络规划的流程，实现快速互通。 跨账号对等连接： 适用场景：在不同账号、但属于同一资源池的两个VPC之间建立连接。 特性：采用手动授权机制。发起方创建连接后，需要对方账号确认“接受”此连接请求后，方可建立。这确保了跨账户网络访问的安全性与可控性。 便捷的连接管理 集中管理：提供统一的管理界面，方便用户查看账号下所有的对等连接实例。 状态监控：清晰展示对等连接的状态，便于快速排查问题。 灵活操作：支持对已有的对等连接进行查询、修改和删除等操作。 基于路由的精细化流量控制 成功建立对等连接仅是搭建了通信的通道，要实现VPC内资源的实际通信，必须依赖正确的路由配置。 同账号对等连接：用户需在本端VPC的路由表中，添加指向对端VPC网段的路由规则（下一跳为该对等连接）；同时，也需在对端VPC的路由表中，添加指向本端VPC网段的路由规则。 跨账号对等连接：需要双方账号协作配置。本端账号需在本端VPC路由表中配置指向对端网段的路由；对端账号需在其VPC路由表中配置指向本端网段的路由。

如果您需要在弹性云主机的Linux实例上手工搭建LNMP平台的web环境,可以参考本文内容。 本文主要介绍了在天翼云上如何使用弹性云主机的Linux实例手工搭建LNMP平台的web环境。该指导具体操作以CentOS 7.2 64位操作系统为例。 操作流程 安装nginx。 安装MySQL。 安装PHP。 浏览器访问测试。 前提条件 弹性云主机已绑定弹性IP。 弹性云主机所在安全组添加了如下表所示的安全组规则，具体步骤参见为安全组添加安全组规则。 方向 协议/应用 端口/范围 源地址 入方向 HTTP(80) 80 0.0.0.0/0 操作步骤 安装nginx。 1. 登录弹性云主机。 2. 执行以下命令，下载对应当前系统版本的nginx包。 plaintext wget 3. 执行以下命令，建立nginx的yum仓库。 plaintext rpm ivh nginxreleasecentos70.el7.ngx.noarch.rpm 4. 执行以下命令，安装nginx。 plaintext yum y install nginx 5. 执行以下命令，启动nginx并设置开机启动。 plaintext systemctl start nginx systemctl enable nginx 6. 使用浏览器访问 “

本文帮助您快速熟悉修改对等连接路由的操作方法。 操作场景 本节指导用户修改对等连接的路由，即修改本端VPC和对端VPC路由表中对等连接关联的路由。 如果您的对等连接路由添加错误，可以参考本节修改本端VPC和对端VPC的路由配置。 修改相同账户对等连接的路由 1. 登录管理控制台，并选择目标区域 2. 在控制台首页打开服务列表，选择“网络 > 虚拟私有云”。 进入虚拟私有云列表页面。 3. 在左侧导航栏，选择“虚拟私有云 > 对等连接”。 进入对等连接列表页面。 4. 在对等连接列表中，单击目标对等连接的名称。 进入对等连接详情页面。 5. 在页面下方的路由列表中，单击目标路由对应的路由表超链接。 进入路由表详情页面。 6. 在路由详情页面的路由列表中，单击目标路由操作列下的“修改”。 7. 根据界面提示，修改路由信息，并单击“确定”，完成路由修改。 修改不同账户对等连接的路由 通过本端账户修改本端VPC的路由，通过对端账户修改对端VPC的路由，修改方法相同。 1. 使用本端账户登录管理控制台，执行以下操作，修改本端VPC的路由。 1. 在控制台首页打开服务列表，选择“网络 > 虚拟私有云”。 进入虚拟私有云列表页面。 2. 在左侧导航栏，选择“虚拟私有云 > 对等连接”。 进入对等连接列表页面。 3. 在对等连接列表中，单击目标对等连接的名称。 进入对等连接详情页面。 4. 在页面下方的路由列表中，单击目标路由对应的路由表超链接。 进入路由表详情页面。 5. 在路由详情页面的路由列表中，单击目标路由操作列下的“修改”。 6. 根据界面提示，修改路由信息，并单击“确定”，完成路由修改。 2. 使用对端账户登录管理控制台，参考上述操作步骤，修改对端VPC的路由。

本小节介绍安全专区云防火墙配置的网络配置。 配置防火墙的IP地址及路由，确认防火墙的网络连通。 配置网卡 1.从组件列表登录云防火墙web管理界面（详见访问安全组件），在【安全专区】页面中【组件管理】登录云防火墙管理。 云防火墙管理页面如下图所示： 2.点击 【网络】→【接口/区域】→【物理接口】，列出网卡。 3.eth0作为网络边界外网口，需进行以下配置： 点击“eth0”网卡，打开接口配置窗口，并根据弹性IP数量进行配置。 单一弹性IP场景配置 区域：选择“L3untrustA”，设置网卡所在区域； 基本属性：勾选“允许PING”“WAN口”； 线路带宽:“上行下行”设置1024Mbps； IPv4：默认选择“DHCP”，保持默认选择，无需更改。 多个弹性IP场景配置 区域：选择“L3untrustA”，设置网卡所在区域； 基本属性：勾选“允许PING”“WAN口”； 线路带宽：“上行下行”设置1024Mbps； IPv4：勾选“静态IP”，在IP地址栏填写防火墙的私有IP及其绑定的虚拟IP，虚拟IP与弹性IP一一对应（虚拟IP的申请及绑定通过天翼云控制台操作）。

开启防护 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 4、在左侧导航栏中，选择“资产管理 > 主机管理 > 云服务器”，进入“云服务器”界面。 5、选择所需开启安全防护的主机，单击“操作”列“开启防护”。您可以根据自己的实际场景选择“包年/包月”或者“按需计费”，开启主机防护。 说明 按需计费仅支持选择企业版。 包年/包月模式出现配额不足时需购买主机安全防护配额。 包年/包月： 在“开启方式”对话框中，“计费模式”选择“包年/包月”，选择目标版本、分配防护配额，阅读并确认“《主机安全免责声明》”。“选择配额”分配方式： 随机分配：下拉框选择“随机选择配额”，系统优先为主机分发服务剩余时间较长的配额。 指定分配：下拉框选择具体配额ID，您可以为主机分配指定的配额。 按需计费： 在“开启方式”对话框中，“计费模式”选择“按需计费”，选择目标版本，阅读并勾选“《主机安全免责声明》。 注意 基础版在首次开启时可免费体验30天，体验结束后需购买基础版的包年/包月模式才能使用。 6、单击“确认”，开启防护。开启主机安全防护后，请在控制台上查看主机安全服务的开启状态。若目标主机的“防护状态”为“开启”，则表示基础版/企业版/旗舰版防护已开启。 您也可以通过在“主机管理 > 防护配额”页面的“操作”列中，单击“绑定主机”，为主机绑定防护配额，HSS自动为主机开启防护。 一个配额只能绑定一个主机，且只能绑定Agent在线的主机。 开启主机防护后，HSS将根据您购买的服务版本，自动对您的主机执行服务版本对应的安全检测。 自动执行的安全检测

（可选）配置FTP防火墙支持 如果需要使用FTP服务器的被动模式，则需要配置FTP防火墙支持。 a.双击“FTP防火墙支持”，打开FTP防火墙支持的配置界面。 b.配置相关参数，并单击“应用”。 数据通道端口范围：指定用于被动连接的端口范围。可指定的有效端口范围为102565535。请根据实际需求进行设置。 防火墙的外部IP地址：输入该弹性云主机的公网IP地址。 c.重启云主机使防火墙配置生效。 设置安全组及防火墙 搭建好FTP站点后，需要在弹性云主机安全组的入方向添加一条放行FTP端口的规则，具体步骤参见为安全组添加安全组规则。放通的端口请参考表。 如果配置了“FTP防火墙支持”，需要在安全组中同时放行FTP站点使用的端口和FTP防火墙使用的数据通道端口。 服务器防火墙默认放行TCP的21端口用于FTP服务。如果选用其他端口，需要在防火墙中添加一条放行此端口的入站规则。 表 设置安全组规则 FTP模式 方向 协议 端口 源地址 主动模式 入方向 TCP 20端口和21端口 0.0.0.0/0 被动模式 入方向 TCP 21端口和1024 65535间的端口（例如50006000） 0.0.0.0/0

Linux弹性云主机处理方法 1. 登录弹性云主机。 2. 更新补丁，升级kernel内核。 说明 说明：升级kernel内核后，请务必执行reboot命令重启弹性云主机。 3. 验证是否升级成功。 检测Linux操作系统安全漏洞是否已修补完成 1. 在github网站搜索spectremeltdownchecker，获取spectremeltdownchecker.sh检测脚本。 2. 将步骤1获取的脚本上传至云主机。 3. 在云主机执行以下命令，并根据脚本提示判断Meltdown或Spectre漏洞是否已经修复。 chmod +x spectremeltdownchecker.sh sudo bash spectremeltdownchecker.sh 回显信息如图1所示。 图1 执行脚本后的回显信息 OK为已修复漏洞，KO为未修复，如图1所示代表CVE20175753、CVE20175715、CVE20175754漏洞均已修复。 打开或关闭Linux操作系统的安全漏洞补丁开关 CPU的预测执行是一种性能优化技术，因此修复Meltdown或Spectre漏洞后可能导致在特定工作负载下的性能下降。 如果您希望可以禁用部分或全部漏洞安全保护策略以避免漏洞修复带来的性能下降，那么可以参考以下操作启用或者禁用安全保护策略。 您可以根据如下具体情况配置系统来达到理想的安全策略： Meltdown漏洞 采取页表隔离pti（Page Table Isolation）来控制内核页表隔离功能，此功能适用于CVE20175754。 Spectre漏洞 采取间接分支限制预测ibrs（Indirect Branch Restricted Speculation）控制SPECCTRL模型特定寄存器（MSR）中的IBRS功能，结合retpoline，及间接分支预测障碍ibpb（Indirect Branch Prediction Barriers）控制PREDCMD模型特定寄存器（MSR）中的IBPB功能，此功能适用于CVE20175715。 说明 CVE20175753漏洞是通过内核补丁修复的，它无法禁用，并且它在Red Hat的性能测试中没有显示出任何可见的影响。 关闭Meltdown安全漏洞补丁 如果您认为Meltdown漏洞修复对系统的性能影响不可接受，或者您有更好的保护机制，可根据以下步骤操作： 1. 根据不同的操作系统修改内核参数： a. CentOS、EulerOS、Ubuntu、Fedora、Red Hat：添加内核参数nopti b. Debian、OpenSUSE：添加内核参数ptioff 2. 重启云主机。 关闭Spectre安全漏洞补丁 如果您认为Spectre漏洞修复对系统的性能影响不可接受，或者您有更好的保护机制，可根据以下步骤操作： 1. 根据不同的操作系统修改内核参数： a. CentOS、EulerOS、Fedora、Debian、Red Hat、OpenSUSE：添加内核参数spectrev2off b. Ubuntu：添加内核参数nospectrev2off 2. 重启云主机。 如果您使用的是第三方操作系统，可以前往对应官网查询更多信息。

本章节主要介绍通用类问题 DRDS提供哪些高可靠保障 数据完整性 DRDS实例故障不会影响数据的完整性。 1、业务数据存储在数据节点分片中，DRDS不存储业务数据。 2、逻辑库与逻辑表等配置信息存储在DRDS数据库中，DRDS数据库主备高可用。 高可用机制 DRDS采用多个无状态节点集群式部署模式，通过弹性负载均衡地址提供服务。 1、DRDS节点自身宕机类故障，对于已建立在故障节点上的连接会断连报错，DRDS集群整体服务不受影响，通常情况下可在5秒内将故障节点从集群中剔除。 2、下挂数据节点故障，通常情况下可以在下挂数据节点恢复后30秒内完全恢复正常服务能力。 如何选择和配置安全组 DRDS实例采用了VPC和安全组等网络安全保护措施，以下内容帮助您正确配置安全组。 通过VPC内网访问DRDS实例 DRDS实例的访问和使用，包括客户端所在ECS访问DRDS实例，以及DRDS实例访问其关联的数据节点。 除了ECS、DRDS实例、数据节点必须处于相同VPC之外，还需要他们的安全组分别配置了正确的规则，允许网络访问。建议ECS、DRDS、数据节点配置相同的安全组。安全组创建后，默认包含同一安全组内网络访问不受限制的规则。 一个DRDS实例关联的不同数据节点之间是否可以共享数据 一个DRDS实例关联的不同数据节点之间数据是互相独立的，无法共享。数据节点表示DRDS下关联的RDS for MySQL实例。

本节介绍如何查看基线检查结果。 操作场景 检查计划设置完成后，如果需尽快查看检查结果，可以在基线检查页面，执行立即检查。执行完成后，约10分钟后将可以在检查结果页面进行查看，立即检查相关操作请参见立即执行基线检查。 如果未执行立即检查，系统将按照已设置的检查计划，在指定时间内执行检查，例如，默认每隔3天检查一次，每次在00:00~06:00执行。检查完成后，将可以在检查结果页面中进行查看。 前提条件 已进行云服务基线扫描。 仅态势感知（专业版）专业版支持“操作系统配置基线”、“经典弱口令检测”、“口令复杂度策略检测”遵从包，需要提前在态势感知（专业版）接入企业主机安全HSS的“主机安全基线”日志且打开“主机安全基线”日志对应的“自动转告警”按钮。接入日志数据详细操作请参见接入日志数据。 操作步骤 查看某工作空间中所有检查项的检查结果。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. （可选）在左侧导航栏选择“日志审计> 云服务接入”，进入云服务日志接入成页面后，在态势感知（专业版）所在行的“审计相关日志”列，开启合规基线日志设置。 每个Region的首个工作空间可自动加载当前Region所有数据，无需手动处理。后续新增的用于自定义运营的工作空间，不会自动加载数据，需要用户自定义接入。 本步骤介绍手动接入操作指导。 设置完成后，如果需尽快查看检查结果，可以在基线检查页面，执行立即检查。执行完成后，约10分钟后将可以在检查结果页面进行查看，立即检查相关操作请参见立即执行基线检查。 如果未执行立即检查，系统将按照已设置的检查计划，在指定时间内执行检查，例如，默认每隔3天检查一次，每次在00:00~06:00执行。检查完成后，将可以在检查结果页面中进行查看。 5. 在左侧导航栏选择“风险预防> 基线检查”，默认进入检查结果页面。 6. 在检查结果页面中，查看检查项的检查结果，参数说明如下所示： 参数名称 参数说明 风险资源及风险等级 最近一次支持基线检查的检查结果中，风险资源总数、不同风险等级的不合格检查项目数据和对应的风险资源的数量。 风险等级分为：致命、高危、中危、低危、提示几个级别。 策略扫描情况 对各个云服务的资产扫描后，合格、不合格以及检查失败数据信息。 安全包遵从状态 最近一次执行基线检查后，各个安全遵从包中合格、不合格以及检查失败数据和不合格检查项目所占比例。 检查结果合格率 最近一次执行基线检查的基线合格率。 检查结果合格率 基线检查合格项 / (合格项 + 不合格项 + 检查失败项) 100%，不涉及的检查项将不会计算在内。 安全遵从包及检查结果列表 展示所有遵从包以及检查结果列表。 如果需要查看某个遵从包的检查结果，可以在左侧选择需要查看的检查规范，右侧列表中将会展示该遵从包中的检查项的检查结果详情。 单击检查结果列表右上角的设置按钮，可以对列表展示（例如，是否换行、是否固定操作列等）进行设置。 如需查看某个基线检查项详情，可以单击待查看检查项名称，进入检查项目详情页面。 在检查项目详情页面，查看检查项目的详细描述、检查过程、检查结果和对应的检查资源等详细信息。

本文主要介绍远程桌面连接Windows云主机报错:0x1104如何处理。 问题描述 使用MSTSC方式登录Windows Server 2008操作系统的云主机，系统报错：检测到一个协议错误（代码 0x1104）。 图 协议错误（代码 0x1104） 可能原因 服务端安全组3389端口未开启。 服务端防火墙关闭。 服务端3389端口被其他进程占用。 远程桌面会话主机配置不正确。 处理方法 步骤 1 检查安全组设置。 检查3389端口入方向是否开启，若已开启，执行步骤2。 步骤 2 检查防火墙是否关闭。 1.登录Windows云主机。 2.单击桌面左下角的Windows图标，选择“控制面板 > Windows防火墙”。 3.单击“启用或关闭Windows防火墙”。 查看并设置防火墙的具体状态：开启或关闭。 如果正常，请执行步骤3。 步骤 3 使用VNC方式登录云主机，查看端口信息。 1.进入cmd命令窗，并执行以下命令。 netstat ano findstr ：3389 图 检查3389端口 如上图所示，3389端口被占用，进程PID为4。 2.打开任务管理器，查看PID为4的进程为System系统进程。 3.通常IIS服务和SQL Server会以System进程运行，执行以下HTTP命令进一步查看。 netsh http show servicestate 图 查看系统进程 4.如果可以看到3389端口被HTTP协议使用，可以确定是被IIS服务占用。 5.在浏览器输入“ 6.修改IIS使用其他端口，重启IIS服务。 步骤 4 如果以上检查均没有问题，请执行步骤5，检查是否由于远程桌面会话主机配置导致。 步骤 5 检查远程桌面会话主机配置。 1.通过VNC登录云主机。 2.打开cmd运行窗口，并输入“gpedit.msc”。 3.单击“确定”，打开“本地组策略编辑器”。 4.选择“计算机配置 > 管理模板 > Windows组件”，查找并双击“远程桌面服务”。 图 远程桌面服务 5.选择“远程桌面会话主机 > 安全 > 远程（RDP）连接要求使用指定的安全层”。 图 远程（RDP）连接要求使用指定的安全层 6.选择“已启用”，并将“安全层”设置为“RDP”。 图 设置安全层 7.单击“确定”。 8.配置完成后，打开“cmd”命令窗。 9.执行以下命令，刷新组策略。 gpupdate 图 刷新组策略

本文通过将弹性负载均衡和弹性云主机的组合使用,实现用户请求分均衡发至两台云主机,熟悉弹性负载均衡的配置操作。 操作场景 通过弹性云主机搭建服务（例如Web服务），当业务量大时单台云主机能力有限，需要两台同时进行业务负载。 本场景通过将弹性负载均衡和弹性云主机的组合使用，实现用户请求分均衡发至两台云主机。 创建弹性云主机 天翼云弹性负载均衡只负责将访问流量自动分发到多台弹性云主机上，不具备处理请求的能力。在当前场景中，需要通过弹性云主机实例来处理用户的请求。 弹性IP（EIP）是可以独立申请的公网IP地址，包括公网IP地址与公网出口带宽服务。在当前场景中，创建的弹性云主机需要与EIP绑定，后续操作需要使用浏览器进行公网IP地址访问，验证最终操作结果。具体操作，请参见创建弹性云主机。 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 在控制中心页面，依次选择“计算 > 弹性云主机”。 4. 在“弹性云主机”界面单击“创建云主机”，根据界面提示配置参数，并单击“立即购买”。 示例中使用的两台弹性云主机的规格如下： 参数项 参数值 实例名称 ecs01、ecs02 区域 华东华东1 操作系统 CentOS7.6 CPU 2vCPUs 内存 4GB 系统盘 40GB 数据盘 10GB 公网带宽 5 Mbit/s 安全组 默认安全组，开放22、80端口，实际业务中根据具体情况而定。 弹性IP 自动分配 登录方式 密码 创建密码 自定义 注意 由于弹性负载均衡服务向后端主机转发流量和健康检查的源地址为100.89.0.0/16(IPv4)、100:0:0:2:0:0:6459:0/112（IPv6）地址段的地址，所选择的安全组需要对100.89.0.0/16(IPv4)、100:0:0:2:0:0:6459:0/112（IPv6）地址段的入向流量放行。

分类 云产品 计算 弹性云主机 存储 云硬盘 网络 弹性IP、公网NAT网关、安全组、虚拟私有云

VPC对等关系 对等连接名称 本端VPC 对端VPC VPCA内的弹性云主机A011和VPCB内弹性云主机B01对等 PeeringAB VPCA VPCB VPCA内弹性云主机A012和VPCC内的弹性云主机C01对等 PeeringAC VPCA VPCC

VPC对等关系 对等连接名称 本端VPC 对端VPC VPCA内的弹性云主机A011和VPCB内弹性云主机B01对等 PeeringAB VPCA VPCB VPCA内弹性云主机A012和VPCC内的弹性云主机C01对等 PeeringAC VPCA VPCC

本小节介绍筛选未安装Agent的主机 1、录管理控制台。 2、在页面左上角单击选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在安装与配置页面，选择“Agent管理 > Agent不在线”页签，查看未安装Agent的云服务器。

本章节主要介绍如何登录集群节点。 本章节介绍如何使用弹性云主机管理控制台上提供的远程登录（VNC方式）和如何使用密钥或密码方式（SSH方式）登录MRS集群中的节点，远程登录主要用于紧急运维场景，远程登录弹性云主机进行相关维护操作。其他场景下，建议用户采用SSH方式登录。 说明 如果需要使用SSH方式登录集群节点，需要在集群的安全组规则中手动添加入方向规则：其中源地址为“客户端IPV4地址/32(或者客户端IPV6地址/128)”，端口为22，具体请参见“虚拟私有云 > 用户指南 > 安全性 > 安全组 > 添加安全组规则”。 登录弹性云主机（VNC方式） 1.登录MapReduce服务管理控制台。 2.选择“集群列表 > 现有集群”，选中一个运行中的集群并单击集群名，进入集群基本信息页面。 3.在“节点管理”页签单击Master节点组中某一Master节点名称，登录到弹性云主机管理控制台。 4.单击右上角的“远程登录”。 5.根据界面提示，输入Master节点的用户名和密码。 创建集群时登录方式选择了“密码”。此时，你需要输入的用户名、密码分别是root和创建集群时设置的密码。 创建集群时登录方式选择了密钥对，则使用如下方式登录： a. 创建集群成功后，参见“虚拟私有云 ​> 用户指南 ​> 虚拟IP”章节中的相关内容，为集群的Master节点绑定一个弹性IP地址。 b. 使用root用户名和密钥文件，SSH方式远程登录Master节点。 c. 执行passwd root命令，设置root用户密码。 d. 设置成功后，返回界面登录方式，输入root用户名和步骤5.2.c设置的密码，登录节点。

前提条件 已获取管理控制台的登录帐号与密码。 已经配置好安全组。 弹性云服务器的“Agent状态”为“未安装”。 通过IE浏览器访问时需要将用到的网站加入受信任的站点。 安装Linux版本客户端（方式一） 步骤1、登录云服务备份管理控制台。 1. 登录管理控制台。 2. 单击管理控制台右上角的，选择区域和项目。 3. 选择“存储 > 云服务备份”。选择对应备份的页签。 步骤2、选择“安装Agent”页签，进入“安装Agent”页面。 步骤3、在方式一中，根据需要选择相应的Agent版本，并将步骤二的安装命令复制下来。 步骤4、前往“弹性云服务器”界面，选择目标服务器，单击“操作”列下的“远程登录”，登录该弹性云服务器。 步骤5、将步骤二的安装命令粘贴至该服务器，以root权限执行。若执行失败，请先使用命令yum install y bindutils进行dig模块安装；若使用该命令安装仍旧失败，再使用安装Linux版本客户端（方式二）进行安装。 步骤6、Linux系统客户端安装完成后，即表示Agent已在正常工作。后续请参考最佳实践中修改或编写自定义脚本，来实现MySQL或SAP HANA等数据库的一致性备份。 安装Linux版本客户端（方式二） 步骤1、登录云服务备份管理控制台。 1. 登录管理控制台。 2. 单击管理控制台右上角的，选择区域和项目。 3. 选择“存储 > 云服务备份”。选择对应备份的页签。 步骤2、选择“安装Agent”页签，进入“安装Agent”页面。 步骤3、在方式二中，单击“点击下载”。在弹出的“下载客户端”，根据目标弹性云服务器的操作系统类型，选择需要下载的版本，单击“确定”。 步骤4、将客户端下载至本地任意目录后，使用文件传输工具（例如：“Xftp”、“SecureFX”、“WinSCP”），将下载的客户端安装包上传到待安装客户端的弹性云服务器。 步骤5、上传完毕后，前往“弹性云服务器”界面，选择目标服务器，单击“操作”列下的“远程登录”，登录该弹性云服务器。 步骤6、执行tar zxvf命令，将客户端安装包解压至任意目录，执行以下命令，进入解压后目录中的bin目录。 cd bin 执行以下命令，运行安装脚本。 sh agentinstallebk.sh 系统提示客户端安装成功。 步骤7、若弹性云服务器中已经安装了MySQL或SAP HANA数据库，需要执行以下命令加密MySQL或HANA数据库登录密码。 /home/rdadmin/Agent/bin/agentcli encpwd 步骤8、使用上一个步骤中的加密密码替换/home/rdadmin/Agent/bin/thirdparty/ebkuser/目录下脚本里的数据库登录密码。 步骤9、Linux系统客户端安装完成后，即表示Agent已在正常工作。后续请参考最佳实践中修改或编写自定义脚本，来实现MySQL或SAP HANA等数据库的一致性备份。

总览 态势感知（专业版）“总览”页面实时呈现云上整体安全评估状况，并联动其他云安全服务，集中展示云上安全，包括资产的安全评估结果、安全监控和安全趋势等信息，可以全面了解资产的安全情况。总览页面实时呈现态势感知（专业版）所有工作空间的整体安全评估结果，查看方法请参见查看总览。 态势总览 “态势总览”页面实时呈现当前工作空间中资源的整体安全评估状况，包括资产的安全评估结果、安全监控和安全趋势等信息，可以全面了解资产的安全情况。目标工作空间的“态势感知> 态势总览”页面呈现当前单个工作空间的安全评估结果，查看方法请参见查看态势总览。 安全风险 安全风险是对资产安全状况的综合评估，反映了一段时间内资产遭受的安全风险。安全风险通常体现为一个量化的数值，便于用户理解目前资产的安全状况，数值大小并不代表资产的安全或危险，仅作为资产遭受攻击严重程度的参考。安全大屏中的可以还原攻击历史，感知攻击现状，预测攻击态势，为用户提供强大的事前、事中、事后安全管理能力，实现一屏全面感知。 安全评分 态势感知（专业版）实时呈现您云上资产的整体安全评估状况，并根据态势感知（专业版）的威胁检测能力，评估整体资产安全健康得分。 安全评分每天凌晨2:00自动更新，也支持通过在页面中单击“重新检测”来进行实时更新。 如下将介绍在安全评分中，不同分值的含义以及扣分项的详细情况。 安全分值 SecMaster根据威胁检测能力，评估整体资产安全健康得分。 风险等级包括“无风险”、“提示”、“低危”、“中危”、“高危”和“致命”。 分值范围为0～100，分值越大表示风险越小，资产更安全。 分值从0开始，每隔20取值范围对应不同的风险等级，例如分值范围40~60对应风险等级为“中危”。 分值环形图不同色块表示不同威胁等级，例如黄色对应“中危”。 资产风险修复，并手动刷新告警事件状态后，安全评分可以通过手动单击“重新检测”进行更新。 说明 资产安全风险修复后，为降低安全评分的风险等级，需手动忽略或处理告警事件，刷新告警列表中告警事件状态。 风险等级 安全分值 分值说明 无风险 100分 恭喜您，您的资产当前安全状况良好。 提示 80≤分值<100 您的资产存在少量的安全隐患，建议您及时加固安全防护体系。 低危 60≤分值<80 您的资产存在较多的安全隐患，建议您及时加固安全防护体系。 中危 40≤分值<60 您的资产防御黑客入侵的能力较弱，建议您立即加固安全防护体系。 高危 20≤分值<40 您的资产存在较高的黑客入侵和病毒感染的风险，建议您立即处理。 致命 0≤分值<20 您的资产很可能遭受到黑客入侵和病毒感染的威胁，建议您立即处理。 安全评分扣分项 安全评分扣分项及其分值情况如下所示： 分类 扣分项 单项扣分值 处理建议 最高扣分上限 安全服务启用 未开启安全相关服务 不扣分 开启安全相关服务 30 合规检查 存在未处理的致命不合规项 10 按照合规修复建议指导进行合规问题修复，修复后重新触发扫描任务，自动刷新评分。 20 合规检查 存在未处理的高危不合规项 5 按照合规修复建议指导进行合规问题修复，修复后重新触发扫描任务，自动刷新评分。 20 合规检查 存在未处理的中危不合规项 2 按照合规修复建议指导进行合规问题修复，修复后重新触发扫描任务，自动刷新评分。 20 合规检查 存在未处理的低危不合规项 0.1 按照合规修复建议指导进行合规问题修复，修复后重新触发扫描任务，自动刷新评分。 20 漏洞 存在未处理的致命漏洞 10 按照漏洞修复建议指导进行漏洞修复，修复后重新触发漏洞扫描任务，自动刷新评分。 20 漏洞 存在未处理的高危漏洞 5 按照漏洞修复建议指导进行漏洞修复，修复后重新触发漏洞扫描任务，自动刷新评分。 20 漏洞 存在未处理的中危漏洞 2 按照漏洞修复建议指导进行漏洞修复，修复后重新触发漏洞扫描任务，自动刷新评分。 20 漏洞 存在未处理的低危漏洞 0.1 按照漏洞修复建议指导进行漏洞修复，修复后重新触发漏洞扫描任务，自动刷新评分。 20 威胁告警 存在未处理的致命告警事件 10 按照威胁事件处置指导建议进行修复，修复后自动刷新评分。 30 威胁告警 存在未处理的高危告警事件 5 按照威胁事件处置指导建议进行修复，修复后自动刷新评分。 30 威胁告警 存在未处理的中危告警事件 2 按照威胁事件处置指导建议进行修复，修复后自动刷新评分。 30 威胁告警 存在未处理的低危告警事件 0.1 按照威胁事件处置指导建议进行修复，修复后自动刷新评分。 30

本文带您了解该方案所涉及的资源及场景拓扑。 涉及资源 VPC、云专线、VPC终端节点、弹性云主机。 虚拟私有云VPC：配置云专线需要做好云上VPC和本地数据中心的网段规划。用户可以将其VPC内的服务资源配置为终端节点服务。 云专线：用于搭建云下用户本地数据中心与天翼云VPC之间高速、低时延、稳定安全的专属连接通道，实现灵活一体，可伸缩的混合云计算环境。 VPC终端节点：可以使用内网在VPC内提供便捷、安全、私密的通道与终端节点服务进行连接，实现通过天翼云内网访问云上VPC内的资源和其他云服务。 弹性云主机：用户的私有服务，可创建为终端节点服务，可以购买终端节点访问该终端节点服务。 场景拓扑 云下用户数据中心（IDC）通过云专线与云上VPC1建立连接。 云上VPC1通过终端节点访问VPC2中的弹性云主机1（终端节点服务）。 云下IDC通过云上VPC1访问VPC2中的弹性云主机2（终端节点服务）。

本文主要介绍如何查看天翼云账号的“基本信息”。 操作步骤 1、在天翼云官网首页点击“我的账号中心”进入账号中心的“基本信息”页面； 2、查看账号总览。 在“我的账号”区域，您可以查看天翼云账号的信息，如：“登录名”、“账号类型”、“注册时间”、“最近登录时间”等； 在“账号安全”区域，您可以查看天翼云账号安全的信息，如：“手机号”、“邮箱”等； 在“实名认证”区域，您可以查看天翼云账号实名认证的信息，如：“姓名”或“企业名称”等。 3、查看用户账号详细资料。 在“核心信息”区域，您可以查看使用天翼云账号时所需的信息，如：“会员身份”、“用户名”、“出生日期”等； 在“业务信息”区域，您可以查看使用天翼云业务时所需的信息，如：“应用行业”、“应用类型”、“应用场景”、“产品名称”、“企业网址”等； 在“联系信息”区域，您可以查看“国家地区”、“所在地”、“街道地址”、“联系电话”等信息。

本节介绍了文件加密服务的最佳实践介绍。 应用场景说明 翼加密是首个针对天翼AI云电脑场景的文件加密安全解决方案。通过高安全性的加密算法，对天翼AI云电脑（政企版）内的文件实时无感加密。在保证用户正常使用天翼AI云电脑（政企版）的前提下，保障企业内部的敏感和机密数据文件安全不外泄。 加密文件如被移到天翼AI云电脑外部的非加密环境，则无法正常打开。防止有意/无意的文件泄漏行为。加密文档如需外发，必须经过严格的脱密审批，并且保留审批记录，有迹可循。 翼加密的优势包括： 透明加密技术：采用高级别加密算法，文件以密文形式保存，对有权限用户透明，不影响企业正常办公和使用习惯。 严格的外发控制：无权限用户无法正常打开加密文件。加密文件如需脱密外发必须审批，有迹可循。 全面的加密管控：可通过配置加密算法、加密强度，范围等精准管控加密力度，支持多种高级加密标准算法。 前提条件 已开通天翼AI云电脑（政企版），详情请参见快速订购AI云电脑。 已开通翼加密，详情请参见开通翼加密。 已在AI云电脑内下载安装翼加密客户端，详情请参见安装加密应用。 为了保证翼加密的正常使用，在使用之前，请您务必认真阅读用户须知注意事项。详情请参见用户须知。

本文帮助您快速熟悉复制安全组规则的操作场景和操作流程。 操作场景 复制功能支持利用已有的安全组规则，快速生成一个新的安全组规则。复制时，您可以根据业务需求自定义修改目标规则。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成安全组、安全组规则的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在左侧导航栏，选择“访问控制安全组”选项。 5. 在安全组列表页面，选择需要复制规则的安全组，单击安全组名称进入详情页，进入安全组详情页。 6. 在“安全组”详情界面，选择安全组规则所属方向，找到需要复制的安全组规则所在行。 7. 点击操作列的“复制”，进入复制安全组规则页面。 8. 根据业务需求修改目标安全组规则的相应参数。 9. 单击“确定”按钮，即可快速创建出安全组规则。关于安全组规则中参数的设置方法，请参考添加安全组规则。

本节介绍如何使用文件检测功能。 步骤一：创建检测规则 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 语料安全 > 检测规则”。 3. 点击“新增”, 举例自定义检测内容包含关键字“机密”等。 步骤二：上传验证文件 方式一：在客户代理模型上传包含步骤一中关键字内容的文件。 方式二：进入“内容安全 > 语料安全 > 文件检测”页面，点击“上传文件”上传包含步骤一中关键字内容的文件。 可以看到，上传的文件被成功拦截。

本节主要介绍修改实例安全组。 操作场景 GeminiDB Influx支持修改安全组。 使用须知 对于进行节点扩容中的实例，不可修改安全组。 该功能目前处于公测阶段，如需使用，请您联系客服申请开通。 操作步骤 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB Influx 接口”。 3. 在“实例管理”页面，选择指定的实例，单击实例名称。 4. 在左侧导航树，单击“连接管理”。 5. 在“内网安全组”区域，单击，选择实例所属安全组。 单击，提交修改。此过程约需1～3分钟。 单击，取消修改。 6. 稍后可在“安全组”区域，查看修改结果。

前提条件 云主机的状态为“运行中”。 需保证C盘可写入，且剩余空间大于300MB。 云主机使用的VPC网络DHCP不能禁用。 云主机网络正常通行。 云主机安全组出方向规则满足如下要求： − 协议：TCP − 端口范围：80 − 远端地址：169.254.0.0/16 如果您使用的是默认安全组出方向规则，则已经包括了如上要求，可以正常初始化。默认安全组出方向规则为： − 协议：ALL − 端口范围：ALL − 远端地址：0.0.0.0/16 操作步骤 1. 检查云主机是否已安装密码重置插件CloudResetPwdAgent和CloudResetPwdUpdateAgent。检查方法如下： 查看任务管理器，如果找到cloudResetPwdAgent服务和cloudResetPwdUpdateAgent服务，如下图所示，表示云主机已安装密码重置插件。 判断是否已安装插件 − 是，结束。 − 否，执行2。 2. 下载一键式重置密码插件。请参考获取一键式重置密码插件，下载对应的一键式重置密码插件CloudResetPwdAgent.zip并完成完整性校验。 安装一键式重置密码插件对插件的具体放置目录无特殊要求，请您自定义。 说明： 云主机需要绑定弹性公网IP才能自动更新一键式重置密码插件。 3. 安装一键式重置密码插件。 a. 依次双击“CloudResetPwdAgent.Windows”和“CloudResetPwdUpdateAgent.Windows”文件夹下的“setup.bat”，安装密码重置插件。 b. 查看任务管理器，检查密码重置插件是否安装成功。 如果在任务管理器中查找到了cloudResetPwdAgent服务和cloudResetPwdUpdateAgent服务，表示安装成功，否则安装失败。 说明： 如果密码重置插件安装失败，请检查安装环境是否符合要求，并重试安装操作。

本章节主要介绍分布式消息服务RabbitMQ的实例类问题。 RabbitMQ使用的版本是多少？ 服务端RabbitMQ的版本是3.8.35。 RabbitMQ实例SSL连接的协议版本号是多少？ TLS v1.2版本。 创建实例时为什么无法查看子网和安全组等信息？ 创建实例时，如果无法查看虚拟私有云、子网、安全组、弹性IP，可能原因是该用户无Server Administrator和VPC Administrator权限，增加权限的详细步骤请参考《统一身份认证服务 用户指南》的“用户指南 > 用户组及授权 > 查看或修改或删除用户组”章节。 若其中一台RabbitMQ重启失败，需要会如何处理？ 重启RabbitMQ实例时，不会重启实例所在虚拟机，仅重启RabbitMQ进程。 重启集群实例时，若其中一台RabbitMQ进程重启失败，则重启后实例状态依然为“运行中”，并提示“部分节点故障”。在每台虚拟机上都有RabbitMQ的守护进程，定时检查RabbitMQ进程是否存在，当进程不存在时会自动拉起RabbitMQ进程。 如果RabbitMQ实例异常持续超过1分钟，会上报告警。 RabbitMQ集群实例如何均衡分发请求到每个虚拟机？ 集群内部使用LVS做负载均衡，由LVS将请求均衡分发到每个虚拟机节点。 RabbitMQ实例集群内部的队列是否有冗余备份？ 队列是否做镜像（即冗余备份）取决于用户的需要，如果用户设置了镜像，会在集群中多个代理上存储队列的副本，当某个代理故障，集群会从其他正常的代理中选择一个代理，用来同步队列数据。

本文绍了如何查看RDSPostgreSQL实例连接信息。 操作场景 客户从内外网连接实例时需要从控制台获取实例连接信息，当前连接方式不可修改。 约束限制 当前实例创建后，内网连接IP不可修改。 操作步骤 Ⅰ类资源池的连接信息获取方式 1. 登录天翼云门户。 2. 点击【控制中心】，选择对应资源池，例如“上海7”。 3. 选择【关系数据库PostgreSQL版】，点击进入组件控制台管理页面。 4. 在“实例管理”列表中点击对应的实例进入实例信息页，其中“连接地址”即为实例的内网IP，“数据库端口”为实例的连接端口，“虚拟私有云”为对应的VPC，“安全组”为对应的安全组。 Ⅱ类资源池的连接信息获取方式 1. 登录天翼云门户。 2. 点击控制中心，进入控制中心后，选择目标资源池。 3. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 4. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 5. 在【实例管理】的实例列表中选择目标实例，点击实例名称进入实例管理详情页。 6. 在单个实例的管理详情页中，“ipv4地址”为天翼云内的ipv4连接地址，“ipv6地址”为天翼云内的ipv6连接地址，“弹性IP”为当前实例绑定的可公网访问的IP信息，“数据库端口”为当前实例的连接端口。 注意 不同资源池因iaas资源能力等原因，加载版本有所差异，详见

本文介绍对金融类客户的产品价值。 业务特点 交易（电商交易、金融支付、账单同步等场景）重视用户体验与数据安全，整体IT建设标准高，如果业务运营中出现延迟掉包、系统运行缓慢、数据容易丢失、账户数据被篡改、恶意刷优惠券等问题，会影响用户的恐慌，导致客户业务流失。 客户痛点 信用卡商城、手机网银、支付类业务数据实时性要求高。 热门纪念币、优惠券抢购体量大，易高并发。 行情推送类使用特殊websocket协议传输。 客户不愿上传证书加速。 电商大促抢购高峰拥堵，支付、秒杀等大量并发请求。 用户敏感信息容易泄露。 海外攻击团队勒索。 业务欺诈、营销欺诈。 产品价值 智能加速：通过多级缓存，就近响应用户请求；实时探测，选择最优路径动态回源；IPv6一键开启。 一体化安全+防护：对攻击进行层层识别和防御，避免数据泄漏造成负面影响。 行业情报共享：对全网在服的金融客户遭受的攻击行为进行分析，不断优化安全防护模板。 爬虫防护：区分恶意爬虫，SEO/SEM推广，在拦截爬虫的同时，保障业务的正常进行。 基于零信任架构，实现内部业务和端口隐身，保护数据安全。

本节主要介绍安全组的组成、产品优势、应用场景和使用限制。 安全组概述 安全组用于虚拟机的出入流量的访问控制，其由一系列的安全组规则组成，是云上网络安全防护的主要方式。安全组通过设置的规则实现具体的访问控制，当虚拟机实例或者网卡加入到对应安全组后，即受到这些规则的保护。安全组具备有状态的特性，即数据包在入方向是被允许的，则对应此连接在出方向也自动被允许，反之亦然。 根据业务的访问控制需求，可以创建自定义安全组，也可以在默认安全组中添加或者删除安全组规则来调整安全访问策略。 每个虚拟机实例或者网卡至少加入一个安全组，可以同时加入多个安全组。 默认安全组 系统默认为用户创建的安全组，不同安全组规则不同，具体规则可进入安全组详情页查看。 安全组规则 安全组规则由源/目的IP、协议、端口、策略（允许或者拒绝）和优先级组成，其包括入方向和出方向的规则。 应用场景 根据业务的安全访问控制需求，为不同的应用使用不同的安全组，确保应用之间的安全隔离。 针对公网和混合云方向做安全隔离，使对应的虚拟机只对外暴露相关的服务协议和端口，防止额外的端口暴露，确保应用安全。 产品优势 灵活配置：安全组可基于业务需求实时调整对应的安全规则。 访问隔离：通过不同的安全组设置，实现了不同虚拟机之间的访问控制隔离。