本节介绍如何在linux云主机中设置允许或禁止用户/IP通过SSH方式连接。 操作场景 出于对云主机系统安全的考虑，需要对操作系统设置用户/IP是否可以通过SSH方式连接，以深度管理云主机登录权限。 操作方法 您可以选择适用您需求的设置方式，实现限制登录的目的。 1. 通过编辑sshd配置文件，可以对指定用户/用户组或IP的登录权限设置。 1）编辑sshd配置文件中为指定用户设置白名单。在 /etc/ssh/sshdconfig 配置文件中添加AllowUsers配置，以下示例中的实际效果为允许用户user通过192.168.8.8的IP地址进行登录。 AllowUsers user@192.168.8.8 2）编辑sshd配置文件中为指定用户设置黑名单。在 /etc/ssh/sshdconfig 配置文件中添加DenyUsers配置，以下示例中的实际效果为禁止用户invaliduser登录。 DenyUsers invaliduser 2. 通过编辑host.allow和host.deny文件，可以对指定IP或IP地址段的登录权限进行设置。通常这两个文件结合设置。 1）编辑host.allow文件，添加 sshd: IP地址或IP地址段，允许指定IP地址或IP地址段进行登录，示例如下： sshd: 192.168.8.8 2）编辑host.deny文件，添加如下内容，禁止所有IP的SSH登录权限： sshd: ALL 两个文件同时设置规则的时候，hosts.allow文件中的规则优先级高于hosts.deny，结合使用可以有针对性地开放SSH登录权限。 因此以上示例的实际效果，云主机将只允许IP地址为192.168.8.8的用户进行SSH登录，其它的IP都会拒绝。 3. 重启sshd服务，使以上修订内容生效。

调用方式 在 Qoder 中可以直接用自然语言说明目标桌面和任务： plaintext 在 desktopCodexxx 桌面，创建一下 C:/aiusertest 文件夹。 如果 MCP Client 展示结构化工具参数，则需要填写： plaintext { "desktopCode": "xxx", "path": "C:/aiusertest" } 接入流程 1. 准备 AccessKey ID、AccessKey Secret 和目标云电脑 desktopCode。 2. 确认本地 Node.js 和 npx 可用。 3. 在 Qoder 或其他 MCP Client 中添加 MCP Server 配置。 4. 保存配置并刷新 MCP Client。 5. 确认工具列表加载成功。 6. 调用 Computer Use 或 FileSystem 工具，并在请求中指定 desktopCode。 验证建议 建议先执行低风险工具验证配置是否可用： plaintext 在 desktopCodexxx 桌面，获取当前鼠标位置。 然后再执行文件或鼠标键盘操作： plaintext 在 desktopCodexxx 桌面，创建一下 C:/aiusertest 文件夹。 安全建议 不要将包含 AccessKey Secret 的 MCP 配置提交到公开仓库。 多人共享开发环境时，应使用个人或项目级 AccessKey。 AccessKey 应只关联必要的云电脑资源。 AccessKey 泄露后应立即在控制台禁用。 文件系统工具具备读写目标云电脑文件的能力，建议只在可信任务和可信桌面中启用。

本文介绍终端管理的使用概况。 简介 总览提供了终端管理的使用概况，方便您查看服务的整体使用情况，快速定位问题。 操作步骤 1.登录 边缘安全加速平台控制台 ，选择【终端管理】控制台。 2.在左侧导航栏，单击【总览】。 3.终端管理总览页面默认展示终端态势。 总览 总览整体分为三个模块进行展示：终端态势、安全态势、效能态势。 终端态势 终端态势模块用于快速了解终端设备的整体在线状态与分布情况，帮助用户掌握设备在线情况、系统类型占比、授权使用状况及未授权设备数量、软件情况等，为终端安全管理提供基础数据支撑。 资产统计：呈现设备数量（含在线率）和用户数量（含激活率）。 活跃设备统计：呈现活跃设备趋势图和活跃设备峰值。 软件安装统计：软件安装 TOP 10 排行榜（按安装数量排序）。 正版软件统计：软件正版授权 TOP 10 超额排行榜（按超额数量排序）。 上网行为统计：拦截网站 TOP 10 和拦截用户 TOP 10。 客户端版本号统计：不同操作系统客户端版本号饼图。 操作系统统计：设备操作系统饼图，支持进一步按照“系统+版本号”的维度排行。 软件仓库统计：当前企业上架的自定义软件、预定义软件数量。 员工电脑性能分析：呈现不同区间的磁盘空间占用率。

创建授权策略 1. 进入服务网格控制台，选择 网格安全中心 > 授权策略，选择命名空间，列表页默认展示当前命名空间下的授权策略。 2. 选择左上角 使用YAML创建，选择配置模板，编辑保存策略即可。 修改授权策略 1. 进入服务网格控制台，选择 网格安全中心 > 授权策略，选择命名空间，列表页默认展示当前命名空间下的授权策略。 2. 选择右侧操作栏的修改，编辑保存策略即可。 删除授权策略 1. 进入服务网格控制台，选择 网格安全中心 > 授权策略，选择命名空间，列表页默认展示当前命名空间下的授权策略。 2. 选择右侧操作栏的删除，即可删除选中的策略。 AuthorizationPolicy配置说明： 字段 类型 必选 说明 selector WorkloadSelector No 工作负载选择器，选择策略生效的工作负载。 rules Rule No 一组匹配规则，至少匹配其中一个才认为是匹配； 1，规则列表为空时，默认不匹配。 2，当Action为ALLOW时，实际行为是所有的请求都被拒绝。 action Action No 授权策略的行为，支持以下可选值： 1，ALLOW：如果匹配则允许访问，action默认值。 2，DENY：如果匹配则拒绝访问。 3，AUDIT：匹配的请求将被审计。 4，CUSTOM：使用外部授权服务对请求进行授权。 provider ExtensionProvider (oneof) No 指定外部授权服务，需要跟actionCUSTOM时一起使用；引用MeshConfig中的extension provider。

本章节为您介绍服务版本差异。 数据分类分级实例 数据安全专区的数据分类分级实例仅有标准版可选择。 版本 支持纳管的数据库数量 支持的数据库字段数 产品能力 标准版 4/8/16/32 3万/7万/15万/30万字段以内 提供流程化的数据分类分级能力 数据脱敏与水印实例 数据安全专区的数据脱敏与水印实例支持标准版、高级版、企业版三种规格供您选择。 版本 支持纳管的数据库数量 数据脱敏能力 水印溯源能力 基本数据库 国产数据库 大数据组件 标准版 4/8/16/32 √ √ √ × × 高级版 4/8/16/32 √ √ √ √ × 企业版 4/8/16/32 √ √ √ √ √ 数据库安全网关 数据安全专区的数据库安全网关实例仅有标准版可选择。 版本 支持纳管的资产数量 产品能力 标准版 4/8/16/32 提供数据库准入、访问控制、攻击防护、动态脱敏、 运维审批等多种能力 API安全网关 API安全网关支持标准版 、高级版 、企业版 、旗舰版。 版本 TPS指标 API全生命周期管理 API攻击防护 API访问控制 API动态脱敏 API数据水印 标准版 2000 √ √ √ √ √ 高级版 4000 √ √ √ √ √ 企业版 6000 √ √ √ √ √ 旗舰版 20000 √ √ √ √ √

介绍分布式消息服务Kafka删除用户功能操作内容。 场景描述 Kafka删除用户的场景描述如下： 用户离职或不再需要访问权限：当用户离开组织或不再需要访问Kafka集群时，可以删除其用户账户。这可以确保已离职的用户无法再访问和操作Kafka，提高安全性和合规性。 角色调整或合并：在某些情况下，可能需要对用户角色进行调整或合并。如果某个角色不再需要或与其他角色重复，可以删除相关的用户账户和角色，以简化管理和维护。 用户账户过期或失效：如果用户账户的有效期已过或由于某种原因失效，可以删除该用户账户。这有助于清理无效的用户账户，减少安全风险和资源浪费。 安全审计和合规要求：根据安全审计和合规要求，可能需要删除某些用户账户。例如，当用户账户存在安全风险或违反合规规定时，需要及时删除相关账户以保护系统安全和数据隐私。 数据隔离和资源管理：在多租户环境中，当某个租户不再需要使用Kafka集群时，可以删除其相关的用户账户。这有助于释放资源，提高资源利用率和性能。 操作步骤 （1）登录管理控制台。 （2）进入Kafka管理控制台。 （3）在实例列表页在操作列，目标实例行点击“管理”。 （4）点击“用户管理”后进入应用用户管理页面，点击指定用户其右侧的“删除”按钮。 注意事项 Kafka删除用户时需要注意以下事项： 确认用户身份：在删除用户之前，确保要删除的用户的身份是正确的。验证用户的身份可以防止误删除或删除错误的用户账户。 备份和迁移数据：如果用户账户中存在重要的数据或信息，建议在删除用户之前进行数据备份和迁移。这可以确保数据的安全性和完整性，并防止数据的丢失或泄露。 通知相关人员：在删除用户之前，及时通知相关的管理人员或团队成员。这有助于协调和沟通，确保删除用户的操作得到充分的授权和确认。 关注系统性能：删除用户时，要注意对Kafka集群的性能影响。大规模的用户删除操作可能会对系统造成一定的负载和延迟，因此在合适的时间窗口进行删除操作，以减少对业务的影响。

删除操作连接 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“操作连接”页签，进入连接管理页面。 5. 在目标连接所在行“操作”列，单击“删除”，弹出删除确认框。 6. 在弹出的确认框中，单击“确认”，完成操作连接删除。 注意 操作连接删除后，不可找回，请谨慎操作。

本小节介绍证书管理服务术语解释。 SSL证书 SSL证书是一种数字证书，用于在互联网上建立安全通信连接。SSL代表安全套接层（Secure Sockets Layer），它在客户端和服务器之间创建加密通道，确保敏感数据在传输过程中不会被未经授权的第三方截获或篡改。 签发（CA）机构 签发机构（Certificate Authority，CA）是一种可信的第三方机构，负责验证和签发数字证书。CA在互联网通信中发挥重要作用，确保通信的安全性和可靠性。 证书有效期 证书有效期指的是数字证书的有效时间范围，即从SSL证书的颁发日期到过期日期之间的时间段。在这段有效期内，SSL证书被认为是可信和有效的。 HTTPS加密协议 HTTPS（Hypertext Transfer Protocol Secure）是一种通过加密和身份验证来保护数据传输安全的网络通信协议。它是基于HTTP协议的安全版本，通过使用SSL（Secure Sockets Layer）或TLS（Transport Layer Security）协议来实现通信的加密和认证。 域名类型 证书域名类型分为单域名证书、通配符证书（泛域名证书）和多域名证书，不同域名类型的证书对应了它们适用的域名范围： 单域名证书适用于单个特定域名，例如：ctyun.cn。 通配符证书（泛域名证书）适用于一个主域名及其所有的子域名。 多域名证书可适用于多个相似域名，例如：ctyun.cn、ctyun.com、ctyun.com.cn、.ctyun.cn。

本文为您介绍接入域名时，如何配置放行回源IP地址段。 WAF使用特定的回源IP段，将经过防护引擎检测后的正常流量转发回网站域名的源站服务器。网站接入WAF进行防护后，您需要将回源IP段添加到源站安全软件的白名单中，放行该回源IP段。 为什么要放行回源IP段 WAF采用CNAME的方式将原本去向网站的请求转向到WAF，从而实现对网站访问的安全防护，这些用户请求将在WAF进行安全检测和过滤后，发送回源站。此时由于网站接入WAF，访问网站的IP实际上变成了WAF的回源IP段，从网站的角度来看，访问其的来源IP变得更加集中，访问频率变得更高，服务器上的防火墙或安全软件很容易认为这些IP在发起攻击，从而将WAF回源IP段拉黑。如果WAF的回源IP段被拉黑，WAF的请求将无法得到源站的正常响应。因此，在网站接入WAF后，您应确保源站服务器已将WAF的全部回源IP放行（即加入白名单），否则可能会出现网站无法打开或打开极其缓慢等情况。 注意 将源站加入白名单的操作需要将源站的回源IP加入到业务整个访问链路上所有安全设备的白名单，例如边界防火墙白名单、IPS设备白名单、源站服务器中的安全组白名单以及服务器上具备访问控制能力的安全软件的白名单等。

本节主要介绍OBS安全性相关问题。 我的数据存在OBS中，如何保证安全性？ OBS本身是非常安全的。OBS本身也提供端到端的安全服务。访问桶或对象时，如果桶或对象未公开，只有桶或对象的拥有者才能够访问，访问时需要提供访问密钥（AK/SK）。您还可以使用各种访问控制机制，例如桶策略和访问控制列表（ACL），选择性地向您的用户和用户组授予权限。传输数据时，OBS支持HTTPS/SSL协议；如果您需要更高安全性，可以开启服务端加密功能。 OBS会不会扫描我的数据用于其他用途？ 系统对数据做的扫描仅限于判断数据块是否存在和被损坏（如有损坏，会启动修复），不会读取具体的内容。 后台工程师能否导出我存在OBS中的数据？ 后台工程师无法导出用户数据。访问桶或对象时，如果桶或对象未公开，只有桶或对象的拥有者才能够访问，访问时需要提供访问密钥（AK/SK）。 OBS如何保证我的数据不会被盗用？ 只有桶或对象的拥有者才能访问，访问时需要提供访问密钥（AK/SK），并且还有ACL、桶策略、防盗链等多种访问控制机制保证数据的访问安全。 在使用AK和SK访问OBS过程中，密钥AK和SK是否可以更换？ 可以。在使用过程中，密钥AK和SK可以随时更换。 多个用户是否可以共享一对AK和SK来访问OBS？ 可以。不同的用户使用相同的一对AK和SK可以同时访问OBS中的资源，且访问到的资源相同。

该任务指导用户通过漏洞扫描服务新增监测任务，监测任务新增成功后，自动开启监测。 操作场景 漏洞扫描服务支持网站扫描，网站是您的“资产”，您可以在“安全监测”界面对您的资产进行安全扫描与编辑操作。 说明 漏洞扫描服务的基础版不支持安全监测功能，如果您是基础版用户，请您通过购买专业版、高级版或企业版使用该功能。 前提条件 已获取管理控制台的登录帐号与密码。 域名的“认证状态”为“已认证”。 操作步骤 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务页面。 3. 在“安全监测”页面，单击“新增监测任务”。 4. 进入新增监测任务入口。 5. 在“新增监测任务”界面，请根据下表进行扫描设置。 参数 参数说明 任务名称 用户自定义。 目标网址 待扫描的网站地址或IP地址。 通过下拉框选择已认证通过的域名。 扫描周期 单击下拉框选择任务扫描周期。 每天 每三天 每周 每月 开始时间 设置监测任务开始的时间。 扫描模式 三种扫描模式： 极速策略：扫描耗时最少，能检测到的漏洞相对较少。 标准策略：扫描耗时适中，能检测到的漏洞相对较多。 深度策略：扫描耗时最长，能检测到最深处的漏洞。 是否扫描登录URL 默认不扫描登录URL，开启扫描登录URL前，请务必确认不会影响正常业务 扫描项设置 VSS支持的扫描项参照下表。 ：开启 ：关闭 扫描项设置： 扫描项名称 说明 Web常规漏洞扫描（包括XSS、SQL注入等30多种常见漏洞） 提供了常规的30多种常见漏洞的扫描，如XSS、SQL等漏洞的扫描。默认为开启状态，不支持关闭。 端口扫描 检测主机打开的所有端口。 弱密码扫描 对网站的弱密码进行扫描检测。 CVE漏洞扫描 CVE，即公共暴露漏洞库。VSS可以快速更新漏洞规则，扫描最新漏洞。 网页内容合规检测（文字） 对网站文字的合规性进行检测。 网页内容合规检测（图片） 对网站图片的合规性进行检测。 网站挂马检测 挂马：上传木马到网站上，使得网站在运行的时候执行木马程序，被黑客控制，遭受损失。VSS可以检测网站是否存在挂马。 链接健康检测（死链、暗链、恶意外链） 对网站的链接地址进行健康性检测，避免您的网站出现死链、暗链、恶意链接。 6. 设置完成后，单击“确认”。

本章节介绍了如何修改分布式消息服务RocketMQ实例的信息。 操作场景 购买RocketMQ实例成功后，您可以根据自己的业务情况对RocketMQ实例的部分参数进行调整，包括实例名称、企业项目、描述和安全组。 操作步骤 1. 登录分布式消息服务RocketMQ控制台。 2. 单击RocketMQ实例的名称，进入实例详情页面。 图1 实例详情 3. 以下参数支持修改。 o 实例名称 企业项目 o 描述 o 公网访问（公网访问的修改方法，请参考设置实例公网访问。） o 安全组 o ACL访问控制（2021年8月21号后购买的实例，才支持修改） 参数修改完成后，通过以下方式查看修改结果。 o 修改“公网访问”，系统跳转到“后台任务管理”页签，并显示当前任务的操作进度和结果。 o 修改“实例名称”、“描述”、“ACL访问控制”、“企业项目”和“安全组”后，右上角直接提示修改结果。

态势感知（专业版）根据常用场景内置了多种模型模板（包括场景说明、模型原理、处置建议、使用约束等信息），本节介绍如何查看已有模型模板。 操作场景 态势感知（专业版）支持利用模型对管道中的日志数据进行扫描，如果不在模型设置范围内容，将产生告警提示。模型是基于模板而创建的，因此，需利用已有模板创建模型。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“建模分析 > 智能建模”，进入智能建模页面后，选择“模型模板”页签，进入模型模板页面。 5. 在模型模板页面，查看已有模型模板。 参数名称 参数说明 模型模板统计 显示可用模板和活跃模板数量。 可用模板：可用的模板总数。 活跃模板：指已经被用来创建模型的模板，会被统计为活跃模板。使用模板创建模型请参见新建或编辑模型。 严重程度 显示当前已有模板的严重程度统计情况，与模板关联的告警的严重程度一致，包含致命、高危、中危、低危、提示级别。 致命：致命级别的告警表示系统已经受到严重的攻击，可能导致数据丢失、系统崩溃或者长时间的服务中断。例如，发现勒索加密行为或恶意程序感染。建议您立即处理，避免对系统造成更严重的损害。 高危：高危级别的告警表示系统可能正在受到攻击，但尚未造成严重的损害。例如，检测到未授权的登录尝试或执行了危险命令（如删除关键系统文件或修改系统设置的命令）。建议您及时调查并采取措施，以防止攻击蔓延。 中危：中危级别的告警表示系统存在潜在的安全威胁，但目前没有明显遭受攻击的迹象。例如，检测到文件或目录的异常修改，表明系统可能存在潜在的攻击路径或配置错误。建议您进一步分析并采取适当的防范措施，以确保系统的安全。 低危：低危级别的告警表示系统存在轻微的安全威胁，不会对系统的正常运行产生显著影响。例如，检测到一些端口扫描行为，这些行为通常是攻击者尝试寻找系统漏洞的前奏。这类告警可以在合适的时间进行处理，不需要立即采取紧急措施。如果您的资产安全等级要求较高，可以关注该等级的安全告警。 提示：对应资源存在潜在的错误可能影响到业务。如果您对您的资产的安全等级要求较高，可以关注该等级的安全告警。 模板列表 模板列表中，显示当前已有模板的严重程度、名称、模型类型、更新时间和创建时间等信息。 如需查看某个模型模板的详细信息，可单击模板所在行“操作”列的“详情”，右侧弹出当前模板详情页面。 在详情页面中可以查看当前模型模板的描述信息、查询规则、触发条件、查询计划等信息。

与旧版IAM相比，新版IAM支持更精细、更安全、更全面的访问控制。需要注意的是： 新版的IAM不再区分主密钥、普通密钥。 每个根用户/子用户可以拥有2个访问密钥对。 当创建访问密钥时，您只有在创建时可以下载和查看您的私有访问密钥（即SecretAccessKey），如不慎遗失，您可以选择删除该访问密钥，并创建新的访问密钥。 为了提供更安全的服务，新版IAM API统一使用V4签名。

配置暴力破解规则 说明 Agent 版本低于 5.1.0，不支持配置自定义规则功能，使用此功能需升级 Agent 版本。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“设置中心 > 安全配置”，进入安全配置。 3. 在暴力破解模块，单击“规则配置”按钮，开始暴力破解规则设置。 4. 配置暴力破解规则参数。 参数说明如下： 参数 说明 检查阈值 配置服务器在一段时间内连续登录失败超过的次数。 时间配置限制：11440分钟。 登录失败次数限制：1100次。 封禁时长 选择封禁时长，支持选择：不封禁、5分钟、15分钟、30分钟、1小时、2小时、6小时、12小时、24小时。 防护场景 选择需要配置的防护场景，默认选择RDP暴力破解 、SSH暴力破解 ，支持选择FTP暴力破解 、MySQL暴力破解 、SQLServer暴力破解。 5. 当所有字段都设置完成后，单击“确认”。 配置勒索诱饵防护 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“设置中心 > 安全配置”，进入安全配置。 3. 在勒索诱饵防护模块，单击“配置规则”，开始配置勒索诱饵防护。 4. 在页面右侧弹出的防护设置页面，配置防护参数。 参数 说明 启用诱饵防护 自动在系统关键位置投放诱饵文件，实时捕捉勒索行为并进行阻断。 病毒处置方式 支持手动处理和自动隔离。 手动处理：人工手动对勒索病毒文件进行处理。 自动隔离：检测出勒索病毒文件自动隔离。 说明 自动隔离后，若出现误报，可在告警列表中对文件进行恢复。 指定防护目录 根据用户的特定防护场景，可自定义创建勒索诱饵文件。 设置生效范围 自定义选择需要开启诱饵防护的服务器。 5. 配置完成后，单击“确认”。 绑定存储库：选择一个可用状态的存储库，备份数据大小应小于存储库剩余容量。

本小节介绍终端安全EDR策略配置。 病毒查杀配置方法： 1.在【终端管理】→【终端分组管理】，进行策略配置，在【终端管理】→【策略中心】→【病毒查杀】，勾选“开启定期自动扫描”，点击保存。 2.在【终端管理】→【策略中心】→【病毒查杀】，勾选“定期漏洞扫描”，点击保存。 威胁检测配置方法 1.部署安装客户端后，在【威胁检测】→【终端病毒查杀】下，点击“快速查杀”，开启任务完成病毒查杀。 2.开启扫描任务，在【威胁检测】→【终端病毒查补】，进行终端漏洞查补，完成漏洞扫描。 3.开启终端基线检查，在【威胁检测】→【终端基线检查】，点击“立即检查”，完成基线检查。 以上完成客户端安装及策略配置，检查完成后安全信息将在安全专区展示。

配置说明 缓存参数 1. 登录边缘安全加速平台。 2. 进入【安全与加速工作台】【CDN加速配置】，点击目标域名。 3. 选择“静态配置缓存参数”单击“编辑配置”。 4. 单击添加，根据您的需求，配置需要的缓存参数。 配置参数说明： 参数名 配置值 说明 类型 后缀名/目录/首页/全部文件/全路径文件 需要配置的文件类型。 内容 指定类型的具体内容 类型选择后缀名、目录、全路径文件时，需配置具体内容；例如类型为后缀名时，需在内容处指明具体的文件后缀；如类型为目录时，需在内容处指明具体的目录内容。 忽略参数 不忽略/全部忽略/保留指定参数/忽略指定参数 缓存参数配置类型。如选择不忽略，则为带参数缓存；如选择全部忽略，则为去参数缓存；如为保留指定参数，则仅携带指定参数缓存；如为忽略指定参数，则为去指定参数后缓存。 优先级 数字 缓存配置的优先级；存在多条缓存参数设置时，相同文件类型及内容，执行优先级高的缓存规则。 配置页面： 点击“添加规则”则弹出添加缓存参数： 缓存URI 1. 登录边缘安全加速平台。 2. 进入【安全与加速工作台】【CDN加速配置】，点击目标域名。 3. 选择“静态配置缓存URI”单击“编辑配置”。 4. 单击添加，根据您的需求，配置需要的缓存参数。 配置参数说明： 参数名 配置值 说明 待改写path 需改写的URI 以/开头的URI，不含 目标path 改写后URI 以/开头的URI，不含 配置页面：

参数名 说明 取值样例 名称 连接的名称，根据连接的数据源类型，用户可自定义便于记忆、区分的连接名。 kafkalink Manager IP MRS Manager的浮动IP地址，可以单击输入框后的“选择”来选定已创建的MRS集群，CDM会自动填充下面的鉴权参数。 用户名 需要配置MRS Manager的用户名和密码。 如果要创建MRS安全集群的数据连接，不能使用admin用户。因为admin用户是默认的管理页面用户，这个用户无法作为安全集群的认证用户来使用。您可以创建一个新的MRS用户，然后在创建MRS数据连接时，“用户名”和“密码”填写为新建的MRS用户及其密码。 说明 如果CDM集群为2.9.0版本及之后版本，且MRS集群为3.1.0及之后版本，则所创建的用户至少需具备Managerviewer的角色权限才能在CDM创建连接；如果需要对MRS组件的库、表、列进行操作，还需要参考MRS文档添加对应组件的库、表、列操作权限。 如果CDM集群为2.9.0之前的版本，或MRS集群为3.1.0之前的版本，则所创建的用户需要具备Manageradministrator或Systemadministrator权限，才能在CDM创建连接。 仅具备Managertenant或Managerauditor权限，无法创建连接。 密码 访问MRS Manager的用户密码。 认证类型 访问MRS的认证类型： SIMPLE：非安全模式选择Simple鉴权。 KERBEROS：安全模式选择Kerberos鉴权。 是

本节主要介绍使用Redisshake工具在线全量迁移其他云厂商Redis Redisshake是一款开源的Redis迁移工具，在Rump模式下，Redisshake可以以scan的方式从源端Redis获取全量数据，写入到目的端，实现数据迁移。这种迁移方式不依赖于SYNC和PSYNC，可以广泛应用于自建Redis、云Redis之间的迁移。 本文将介绍如何利用Redisshake的Rump模式，以在线全量的迁移方式，一次性将其他云厂商Redis迁移至DCS中。 本方案数据流向示意图 前提条件 已在目标端云服务创建Redis实例。 已在目标端云服务创建用于运行Redisshake的弹性云主机(ECS)。 创建的ECS需要选择与Redis实例相同的VPC，并且需要绑定弹性公网IP。 Rump模式不支持增量数据迁移，建议您先停止源端Redis的写入再进行迁移，防止数据不一致。 该方案配置只支持同DB映射迁移，异DB映射迁移该方案配置不适用。 源端为多DB使用（有非DB0的DB使用），DCS为Proxy集群时，DCS需要开启多DB模式，否则会迁移失败（单DB0的Proxy集群不支持select命令）。 源端为多DB使用（有非DB0的DB使用），DCS为Cluster集群时，该方案不支持（DCS Cluster集群只支持DB0模式）。 操作步骤 步骤 1 分别在ECS和源端转发服务器上安装Nginx，本文以ECS操作系统为Centos7.x为例进行安装，不同操作系统命令稍有不同。 1. 执行以下命令，添加Nginx到yum源。 sudo rpm Uvh 2. 添加完之后，执行以下命令，查看是否已经添加成功。 yum search nginx 3. 添加成功之后，执行以下命令，安装Nginx。 sudo yum install y nginx 4. 执行以下命令安装stream模块。 yum install nginxmodstream skipbroken 5. 启动Nginx并设置为开机自动运行。 sudo systemctl start nginx.service sudo systemctl enable nginx.service 6. 在本地浏览器中输入服务器地址（ECS公网IP地址），查看安装是否成功。 如果出现下面页面，则表示安装成功。 步骤 2 在源端Redis添加源端转发服务器的白名单。 步骤 3 在源端转发服务器配置安全组。 1. 获取ECS的公网IP地址。 2. 配置源端转发服务器安全组入方向，添加ECS的公网IP地址，并放开来自ECS访问请求的端口（以6379为例）。 步骤 4 配置源端转发服务器的Nginx转发配置。 1. 登录Linux源端转发服务器，执行命令打开并修改配置文件。 cd /etc/nginx vi nginx.conf 2. 转发配置示例如下： stream { server { listen 6379; proxypass {sourceinstanceaddress}:{port}; } } 其中，6379为源端转发服务器本机监听端口，{sourceinstanceaddress}和{port}为源端Redis实例的连接地址和端口。 配置目的：通过访问源端转发服务器本机监听端口6379，访问源端Redis。 注意：以上配置必须配置在如下图所示的位置。 配置位置要求 3. 重启Nginx服务。 service nginx restart 4. 验证启动是否成功。 netstat angrep 6379 端口在监听状态，Nginx启动成功。 验证结果 步骤 5 配置ECS的Nginx转发配置。 1. 登录LinuxECS，执行命令打开并修改配置文件。 cd /etc/nginx vi nginx.conf 2. 配置示例如下： stream { server { listen 6666; proxypass {sourceecsaddress}:6379; } } 其中，6666为ECS本机监听端口，{sourceecsaddress}为源端转发服务器公网IP地址，6379为源端转发服务器Nginx的监听端口。 配置目的：通过访问ECS本机监听端口6666，访问源端转发服务器。 注意：以上配置必须配置在如下图所示的位置。 配置位置要求 3. 重启Nginx服务。 service nginx restart 4. 验证启动是否成功。 netstat angrep 6666 端口在监听状态，Nginx启动成功。 验证结果 步骤 6 在ECS执行以下命令测试6666端口的网络连接。 rediscli h {targetecsaddress} p 6666 a {password} 其中，{targetecsaddress}为ECS公网IP地址，6666为ECS监听端口，{password}为源端Redis密码，如无密码可不填。 连接示例 步骤 7 准备迁移工具Redisshake。 1. 登录ECS。 2. 在ECS中执行以下命令下载Redisshake，本文以下载2.0.3版本为例进行说明。您可以根据实际需要下载其他RedisShake版本。 wget 3. 执行命令解压Redisshake文件。 tar xvf redisshakev2.0.3.tar.gz 步骤 7 配置Redisshake的配置文件。 1. 执行命令进入解压后的目录。 cd redisshakev2.0.3 2. 修改配置文件redisshake.conf。 vim redisshake.conf 修改源端Redis信息配置： − source.type 源端redis实例类型，单机、主备、proxy集群实例都选择standalone，cluster实例选择cluster。 − source.address ECS公网IP地址和映射源端转发服务器的端口(ECS监听端口 6666) ，用英文冒号隔开。 − source.passwordraw 源端待迁移Redis实例的密码，如未设置密码，无需填写。 修改目标端DCS信息配置： − target.type Redis实例类型，单机、主备、proxy集群实例都选择standalone，cluster实例选择cluster。 − target.address Redis实例的连接地址和端口，用英文冒号隔开。 − target.passwordraw Redis实例的密码，如未设置密码，无需填写。 3. 按下Esc键退出编辑模式，输入 :wq！ 按回车键保存配置并退出编辑界面。 步骤 9 执行命令启动Redisshake并使用rump（在线全量）模式开始数据迁移。 ./redisshake.linux conf redisshake.conf type rump 迁移过程 迁移结果 步骤 10 迁移完成后，请使用rediscli工具连接源Redis和目标Redis，确认数据的完整性。 1. 分别连接源Redis和目标Redis。 连接操作请参考使用rediscli连接Redis实例。 2. 输入 info keyspace ，查看keys参数和expires参数的值。 3. 对比源Redis和目标Redis的keys参数分别减去expires参数的差值。如果差值一致，表示数据完整，迁移正常。 步骤 11 删除Redisshake配置文件。

8e系列 采用第五代英特尔® 至强® 可扩展处理器 （Emerald Rapids）， 基于新一代虚拟化平台，支持IPI虚拟化（IPI Virtualization），使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制。支持 Intel® 高级矩阵扩展（Intel®AMX）、TME（Total Memory Encryption）运行内存加密等高级特性，同时可提供 192C1536G 大规格实例，计算性能、安全性、稳定性更强大，在人工智能、媒体应用、网站应用的性能均有所提升。 8ne系列 采用第五代英特尔® 至强® 可扩展处理器 （Emerald Rapids）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术，搭载天翼云自研紫金智能网卡，通过软硬结合的方式提高虚拟化性能，大幅提升实例的网络带宽能力和网络收发包能力。可提供192C1536G的大规格实例、3600万收发包能力 。适用各种于网络密集型应用场景，如NFV/SDWAN、移动互联网、视频弹幕、电信业务转发等；中小型数据库系统、缓存、搜索集群；各种类型和规模的企业级应用；大数据分析和机器学习。 8a系列 搭载AMD EPYC™ Genoa处理器（2.6GHz），基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套100GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，可提供稳定的算力输出和更强劲的I/O引擎。适用于对价格敏感、性能要求高的场景，如各种类型和规模的企业级应用、大数据分析与处理、高网络收发包场景（如游戏、直播等）、AI训练与推理，音视频转码类应用等。

场景说明 RocketMQ的修改实例的场景描述如下： 在使用RocketMQ时，可能会遇到需要修改实例的场景，例如： 业务变更：当业务需求发生变化，需要修改RocketMQ实例的名称以反映新的业务逻辑时，可以进行实例名称的修改。例如，当新增或调整了某个业务模块，需要将其对应的实例名称修改为更准确的名称，以便于管理和监控。 消息处理速度优化：当消息的处理速度较慢或不稳定时，可以通过调整消息保存时长参数来优化消息的处理效率。例如，可以缩短消息的保存时长，减少消息在系统中的停留时间，以提高消息的实时性和处理速度。 安全配置修改：当需要修改RocketMQ实例的安全配置时，可以进行相应的修改。 需要注意的是，在进行实例的修改时，应该谨慎操作，并根据实际需求和系统情况进行调整。同时，修改实例时应该遵循RocketMQ的最佳实践和建议，以确保系统的稳定性和性能。 操作步骤 1、 天翼云官网点击控制中心，选择产品分布式消息服务RocketMQ。 2、 登录分布式消息服务RocketMQ控制台，点击右上角地域选择对应资源池。 3、进入实例列表，在实例名称点击修改按钮，直接修改实例名称字段。 4、 点击【管理】按钮进入管理菜单。点击修改配置，在弹出窗口修改实例描述和消息保存时长等信息。 注意 实例描述长度限制为0~256个字符。 您可以调整消息保存时长参数，实现消息容量消耗的控制。安全生产和稳定性保障限制，消息需要至少保留24小时。 要完整支持延时消息的功能，消息需要至少保留48小时。 4、 点击修改安全组，选择变更用户安全组。

本文主要介绍如何使用客户端优化设置能力。 背景说明 针对系统老旧或性能不足的老旧低配设备，管理员通常期望可以自适应降级安全策略以保障设备可以正常使用。 操作步骤 1.登录边缘安全加速控制台，进入AOne终端管理或者AOne零信任工作台。 2.在左侧导航栏，选择设置客户端设置优化设置，查看相应的配置和管理。 3.可根据业务需求进行相关配置操作。 功能说明 注意 客户端版本：需为2.23.10及以上客户端，目前支持Windows客户端。 满足任意一点即为老旧低配设备： 1. 系统老旧（Windows 7、Windows 7 SP1 、Windows 8、Windows 8.1）。 2. 性能配置不足（2C≤CPU<4C 或 4G≤内存<8G），此处CPU指逻辑4核。 当打开此开关时，将针对老旧低配设备做安全策略自适应调整，保障设备安全的同时缓解性能压力。自适应调整说明如下： 1. 文件实时防护自适应降级，即不会触发高等级防护。 2. 局域网共享防护自动关闭。

边缘接入服务 如果您只订购了“套餐版本”服务，想增加对应的扩展服务，可以点击“点击购买更多”进入订购页面，选择对应的扩展服务进行增项订购，可以增项的服务项包括“域名扩展包”、“端口数”、"DDoS防护带宽"、"DDoS弹性防护"。 如何进行计费方式变更？ 目前，安全与加速服务、零信任服务、边缘接入服务都支持计费方式变更。 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【计费详情】，进入产品服务菜单。 3. 选择需要变更的套餐版本，以安全与加速服务为例，选中【计费方式变更】按钮，在弹出的“计费方式变更”对话框中选中要变更的计费方式（比如：原有是流量计费，可以变更为带宽计费）。 注意 在扩展服务订购页面也可以点击【计费方式变更】进行计费方式变更，该方式仅零信任服务支持。 计费方式需次月生效，次月生效之前不允许进行订购产品扩展服务，请取消计费方式变更或次月再操作。

本文介绍对金融类客户的产品价值。 业务特点 交易（电商交易、金融支付、账单同步等场景）重视用户体验与数据安全，整体IT建设标准高，如果业务运营中出现延迟掉包、系统运行缓慢、数据容易丢失、账户数据被篡改、恶意刷优惠券等问题，会影响用户的恐慌，导致客户业务流失。 客户痛点 信用卡商城、手机网银、支付类业务数据实时性要求高。 热门纪念币、优惠券抢购体量大，易高并发。 行情推送类使用特殊websocket协议传输。 客户不愿上传证书加速。 电商大促抢购高峰拥堵，支付、秒杀等大量并发请求。 用户敏感信息容易泄露。 海外攻击团队勒索。 业务欺诈、营销欺诈。 产品价值 智能加速：通过多级缓存，就近响应用户请求；实时探测，选择最优路径动态回源；IPv6一键开启。 一体化安全+防护：对攻击进行层层识别和防御，避免数据泄漏造成负面影响。 行业情报共享：对全网在服的金融客户遭受的攻击行为进行分析，不断优化安全防护模板。 爬虫防护：区分恶意爬虫，SEO/SEM推广，在拦截爬虫的同时，保障业务的正常进行。 基于零信任架构，实现内部业务和端口隐身，保护数据安全。

%^+?,特殊字符。请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。 单击“确定”，提交重置。 单击“取消”，取消本次重置。

主机漏洞扫描主要包含对应用服务、网络设备、安全设备等相关主机设备的漏扫扫描以及对应主机安全的相关服务和操作系统的漏洞进行扫描。本小节介绍安全专区主机漏洞。 漏洞数据来源 【资产管理】→【服务器】中，点击【扫描】，将漏洞数据同步到【主机漏洞】模块。 趋势分析图默认展示当前一周的数据，通过右上角可筛选不同的时间段查看趋势图： 安全管理中心 记录漏洞状态、漏洞所存在风险值，对时间段内所存在漏洞进行趋势分析。 1.点击【未处理漏洞数量】或者【风险项】（风险项颜色标注高、中、低风险）。 2.点击柱状图可筛选出相应的数据。 3.筛选出相应结果。 4.鼠标移至【趋势分析】中的曲线上，即可查看已处理漏洞、未处理漏洞、产生时间和处理时间。 5.点击【主机漏洞Top10】，查看详细漏洞分析、漏洞产生原因。 6.选择导出漏洞信息文件，确定保存即可。 7.对于某一个特定的风险终端进行精准定位，展示主机漏洞产生原因并记录扫描方案。 8.点击漏洞描述下的查看设置，展示风险的具体描述及其解决方案。

本文介绍强制跳转的场景及配置方法。 功能介绍 通过配置强制跳转功能，将客户端到边缘节点的原请求方式强制重定向为HTTP或者HTTPS请求。天翼云边缘安全加速平台支持配置HTTP和HTTPS强制跳转，适用场景： 已经配置了HTTPS证书的加速域名，可配置强制跳转，通过301或302重定向方式，将客户端到边缘加速节点的HTTP请求强制跳转为HTTPS请求，HTTPS请求更安全。 对于安全性要求不高的业务应用，对应的加速域名可配置强制跳转，通过301或302重定向方式，将客户端到边缘加速节点的HTTPS请求强制跳转为HTTP请求。 配置说明 1.登录边缘安全加速平台控制台。 2.单击左侧导航栏【域名】【基础配置】。 3.在【域名列表】页面，找到目标域名，单击【编辑配置】，选择右侧【HTTPS配置】，开启【强制跳转】功能。 4.【跳转类型】选择目标跳转场景，如“Http>Https”、“Https>Http”。 5.选择合适的【跳转方式】，如302跳转或301跳转。 6.配置完毕单击【保存】。 参数名 说明 强制跳转 默认为关闭，即不开启强制跳转功能。 跳转类型 Http>Https：将客户端到全站加速节点的Http请求强制重定向为方式Https。 Https>Http：将客户端到全站加速节点的Https请求强制重定向为方式Http。 跳转方式 跳转状态码，支持302/301状态码。 注意 当请求协议中的HTTPS未勾选时，强制跳转（301或302）只支持从Https重定向为Http。只有勾选请求协议中的HTTPS且完成证书配置的情况下，强制跳转（301或302）才支持从Http重定向为Https。

本节介绍服务器安全卫士(原生版)基线检测操作指南。 对服务器操作系统、数据库、关键应用软件配置等进行检测，帮助用户提前识别出可能导致安全漏洞的不安全配置项，例如不必要的服务开启、过时的软件版本、未启用的安全特性等。通过基线检测，可以及时发现并修复这些潜在的安全风险。 版本限制 仅企业版、旗舰版支持基线检测功能。 新建基线检测策略 基线检测设置分为一键检测和定时检测。当您需要进行基线检测时，先设置您需要的基线策略。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“风险管理 > 基线检测”，进入基线检测页面。 3. 单击“策略管理”，进入策略管理页面。 该页面展示了已经设置好的基线策略，包括策略名称、检查周期、检测服务器数、创建日期、策略开关和操作。可以新建、编辑和删除基线策略。 4. 单击“新建策略”，页面右侧弹出新建基线策略窗口。 5. 设置策略名称、检查时间、选择基线名称和服务器。 6. 设置完成后，单击“确认”即可完成新建基线策略。 编辑基线检测策略 若您需要对已有的基线策略进行编辑，点击该策略操作列中的“编辑”，可以修改策略的所有信息，包括策略名称、检查时间、已选择的基线名称和服务器，修改完成后点击“确认”即可完成基线策略编辑。 删除基线检测策略 若您需要删除已有的基线策略，点击该策略操作列中的“删除”，在提示框中点击“确认”即可完成基线策略删除。

本章节主要介绍翼MapReduce的多租户功能。 定义 多租户是MRS集群中的多个资源集合（每个资源集合是一个租户），具有分配和调度资源的能力。资源包括计算资源和存储资源。 背景 现代企业的数据集群在向集中化和云化方向发展，企业级大数据集群需要满足： 不同用户在集群上运行不同类型的应用和作业（分析、查询、流处理等），同时存放不同类型和格式的数据。 某些类型的用户（例如银行、政府单位等）对数据安全非常关注，很难容忍将自己的数据与其他用户的放在一起。 这给大数据集群带来了以下挑战： 合理地分配和调度资源，以支持多种应用和作业在集群上平稳运行。 对不同的用户进行严格的访问控制，以保证数据和业务的安全。 多租户将大数据集群的资源隔离成一个个资源集合，彼此互不干扰，用户通过“租用”需要的资源集合，来运行应用和作业，并存放数据。在大数据集群上可以存在多个资源集合来支持多个用户的不同需求。 对此，MRS企业级大数据集群提供了完整的企业级大数据多租户解决方案。 优势 合理配置和隔离资源 租户之间的资源是隔离的，一个租户对资源的使用不影响其他租户，保证了每个租户根据业务需求去配置相关的资源，可提高资源利用效率。 测量和统计资源消费 系统资源以租户为单位进行计划和分配，租户是系统资源的申请者和消费者，其资源消费能够被测量和统计。 保证数据安全和访问安全 多租户场景下，分开存放不同租户的数据，以保证数据安全；控制用户对租户资源的访问权限，以保证访问安全。

本文主要介绍 容器如何访问VPC内部网络。 前面章节介绍了使用Service和Ingress访问容器，本节将介绍如何从容器访问内部网络（ VPC内集群外 ），包括VPC内访问和跨VPC访问。 VPC内访问 根据集群容器网络模型不同，从容器访问内部网络有不同表现。 容器隧道网络 容器隧道网络在节点网络基础上通过隧道封装网络数据包，容器访问同VPC下其他资源时，只要节点能访问通，容器就能访问通。如果访问不通，需要确认对端资源的安全组配置是否能够允许容器所在节点访问。 VPC网络 VPC网络使用了VPC路由功能来转发容器的流量，容器网段与节点VPC不在同一个网段，容器访问同VPC下其他资源时， 需要对端资源的安全组能够允许容器网段访问 。 例如集群节点所在网段为192.168.10.0/24，容器网段为172.16.0.0/16。 VPC下（集群外）有一个地址为192.168.10.52的ECS，其安全组规则仅允许集群节点的IP网段访问。 此时如果从容器中ping 192.168.10.52，会发现无法ping通。 kubectl exec test016cbbf97b78krj6h it /bin/sh / ping 192.168.10.25 PING 192.168.10.25 (192.168.10.25): 56 data bytes ^C 192.168.10.25 ping statistics 104 packets transmitted, 0 packets received, 100% packet loss 在安全组放通容器网段172.16.0.0/16访问。 此时再从容器中ping 192.168.10.52，会发现可以ping通。 $ kubectl exec test016cbbf97b78krj6h it /bin/sh /

本文提供应用加速用户使用指南的下载方式。 2024年12月1日起，应用加速产品并入边缘安全加速平台，边缘安全加速平台边缘接入服务可提供应用加速和边缘DDoS防护能力，应用场景更丰富。详见边缘接入服务介绍。 新客户如有应用加速需求，请订购并使用其升级产品边缘接入服务，详见启用边缘接入服务。 存量客户如需访问应用加速控制台，请登录应用加速控制台。 存量客户如需了解如何使用应用加速产品，可下载天翼云应用加速用户使用指南.pdf。

本节介绍如何新增检测规则。 检测规则中包含基本设置、检测条件设置、分级分类设置、严重性设置等内容。通过对检测规则的设置，可以对敏感信息更加精确的检测并进行分级分类与严重性的设置。 新增检测规则 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 语料安全 > 检测规则”。 3. 点击“新增”。填写基本设置、检测条件、分级分类、严重性等信息，点击“保存”完成检测规则配置。 参数如下表所示： 信息 说明 基本设置 名称 该策略名称。 基本设置 备注 该策略描述备注。 检测条件设置 只允许选择一种检测条件；关键字、正则支持多选。 检测条件：关键字、正则表达式、字典、文档指纹、数据库指纹、图像指纹、语义模型、文件类型、文件名称、文件大小、文件MD5、修改时间。 分基分类设置 所属分类 数据来源于分类模板。 分基分类设置 所属分级 数据来源于分级。 严重性设置 数据来源于严重性。 支持配置检测达一定数据时视为某种严重性。