本文主要介绍使用SASL证书连接。 本文主要介绍在命令行模式下使用SASL证书连接Kafka实例的操作，其中包含内网访问和公网访问两种连接场景。 在使用SASL证书的场景下，通过内网访问和通过公网访问，仅涉及连接IP和端口不一致，其他操作步骤是一样的，内网访问的连接端口为9093，公网访问的连接端口为9095。 文中仅介绍公网访问的连接示例，如果使用内网访问时，替换为相应的连接地址即可。 说明 Kafka实例的每个代理允许客户端单IP连接的个数默认为1000个，如果超过了，会出现连接失败问题。您可以通过 前提条件 1.已配置正确的安全组，安全组规则请参考准备环境中的安全组规则 。 2.已获取连接Kafka实例的地址。 如果是使用内网通过同一个VPC访问，实例端口为9093，实例连接地址获取如下图。 图 使用内网通过同一个VPC访问Kafka实例的连接地址（实例已开启SASL） 如果是公网访问，实例端口为9095，实例连接地址获取如下图。 图 公网访问Kafka实例的连接地址（实例已开启SASL） 3.已获取开启的SASL认证机制。 在Kafka实例详情页的“连接信息”区域，查看“开启的SASL认证机制”。如果SCRAMSHA512和PLAIN都开启了，根据实际情况选择其中任意一种配置连接。如果页面未显示“开启的SASL认证机制”，默认使用PLAIN机制。 图 开启的SASL认证机制 4.如果Kafka实例未开启自动创建Topic功能，获取Topic名称。 在实例的Topic管理页签中获取（可选）步骤三：创建Topic中创建的Topic名称。 图 查看Topic名称 5.已购买ECS，并完成JDK安装、环境变量配置以及Kafka开源客户端下载，具体操作请参考准备环境。

同一个微服务引擎可能会有多个用户共同使用，而不同的用户根据其责任和权限，需要具备不同的微服务引擎访问和操作权限。 开启了“安全认证”的微服务引擎专享版，通过微服务控制台提供了基于RBAC（RoleBased Access Control，基于角色的访问控制）的系统管理功能。 开启了“安全认证”的微服务引擎专享版，支持Spring Cloud、Java Chassis微服务框架正常接入。 说明： 基于RBAC的系统管理功能与IAM权限管理无关，仅是CSE内部微服务的权限管理机制。 如果您通过ServiceStage控制台操作微服务引擎，必须同时具备IAM和RBAC的操作权限，且IAM权限优先级要高于RBAC权限。 如果您通过API接口或者微服务框架操作微服务引擎，则只需具备RBAC相关权限。 当前系统管理功能仅支持微服务权限管理，暂不支持配置管理、服务治理。 1. 您可以使用关联了admin角色权限的帐号创建新帐号，根据实际业务需求把合适的角色同帐号关联。使用该帐号的用户则具有对该微服务引擎的相应的访问和操作权限。 − 创建开启了“安全认证”的微服务引擎专享版时，系统自动创建1个关联了admin角色权限的root帐号。不能编辑、删除root帐号。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建新帐号。创建和管理帐号，请参考帐号管理。 2. 您可以使用关联了admin角色权限的帐号创建自定义角色，根据业务需求把合适的微服务引擎访问和操作权限赋予该角色。 − 系统默认内置两种角色：管理员（admin）、开发者（developer）。不能编辑、删除内置角色。 − 您可以使用创建该微服务引擎的root帐号或者该微服务引擎下关联了admin角色权限的帐号创建自定义角色。创建和管理角色，请参考角色管理。 − 角色权限说明，请参见下表。 表 角色权限说明 角色 权限说明 admin 具有该微服务引擎下所有微服务、帐号和角色的所有操作权限。 developer 具有该微服务引擎下所有微服务的所有操作权限。 自定义角色 根据实际业务需求创建角色，给角色分配相应微服务的操作权限。

本章节进行插件说明与使用介绍 概述 目前云原生网关共支持8种插件配置，可以满足用户的身份认证、流量控制、安全、信息重写等需求。每个插件的配置详情与使用方式可参考以下介绍。 身份认证类 keyauth插件 描述 keyauth 是一个认证插件，在header或者query中匹配key值即可通过认证 作用范围 该插件即可用于全局插件，也可用于路由级插件。全局插件配置的优先级高于路由级插件配置，当同时在某一路由上配置了keyauth的全局插件和路由级插件时，需带上全局插件配置中的key值才能通过。 属性 名称 类型 必选项 默认值 有效值 描述 key string 必需 在header或者query中通过apikey携带key值进行认证。 如何启用 在配置窗口页以YAML格式填写 配置示例 下面是一个示例，填写keyauth配置信息: “key”:”test” 启用/停用 在配置页面设置生效开关 验证插件 未启用插件时API请求结果 $ curl i HTTP/1.1 200 ContentType: application/json TransferEncoding: chunked Connection: keepalive Date: Fri, 23 Dec 2022 03:53:53 GMT Server: APISIX/2.13.3 rspTest: hello,world [{"id":1,"productID":1,"reviewer":"Reviewer1","text":"THIS IS A GRAY VERSION "}] 启用插件不带apikey时API的请求结果 $ curl i HTTP/1.1 401 Unauthorized Date: Fri, 23 Dec 2022 03:54:31 GMT ContentType: text/plain; charsetutf8 TransferEncoding: chunked Connection: keepalive Server: APISIX/2.13.3 {"message":"Missing API key found in request"} 启用插件带apikey时API的请求结果 apikey的位置可以在header中也可以在query中 在header中使用 $ curl i H "apikey: test" HTTP/1.1 200 ContentType: application/json TransferEncoding: chunked Connection: keepalive Date: Fri, 23 Dec 2022 03:54:55 GMT Server: APISIX/2.13.3 rspTest: hello,world [{"id":1,"productID":1,"reviewer":"Reviewer1","text":"THIS IS A GRAY VERSION"}] 在query中使用 $ curl i HTTP/1.1 200 ContentType: application/json TransferEncoding: chunked Connection: keepalive Date: Fri, 23 Dec 2022 03:55:28 GMT Server: APISIX/2.13.3 rspTest: hello,world [{"id":1,"productID":1,"reviewer":"Reviewer1","text":"An extremely entertaining play by Shakespeare"}]

项目 说明 部署方式 独享引擎 使用场景 业务服务器部署在云上。 大型企业网站，具备较大的业务规模且基于业务特性具有定制化的安全需求。 防护对象 域名 IP 优势 部署灵活 独享引擎实例资源由用户独享 可以满足大规模流量攻击场景防护需求 独享引擎实例部署在VPC内，网络链路时延低

背景信息 数据库迁移服务（CMSDMS，Database Migration Service）在开始数据库迁移之前需要一台服务器部署数据转发节点并完成节点安装。 目前仅支持使用Linux系统的服务器。 操作场景 本节为您介绍数据库迁移服务数据转发节点安装的相关操作。 支持的操作系统 目前数据转发节点仅支持以下操作系统： centos：7 ubuntu：21、22 ctyunos：2 安装步骤 下载与准备 1. 下载安装包：使用wget命令下载最新的数据转发节点安装包 sudo wget 安装步骤 1. 解压文件：下载完成后，使用tar命令解压下载的压缩包 sudo tar xzvf cmpcompose2.0.1x8664.tar.gz 2. 授权脚本：为了确保安装过程顺利进行，请赋予所有.sh脚本执行权限 sudo chmod a+x .sh 3. 开始安装：执行安装脚本以完成数据转发节点的安装 sudo ./install.sh 示例如下： 后续配置 添加节点 安装完成后，请前往“节点管理”模块添加新节点。 端口设置 默认情况下，节点服务监听端口为18080。建议您采取以下措施保障主机安全： 安装后立即配置防火墙规则，仅允许外部访问18080端口。 当节点未被使用时，及时关闭对外暴露的端口，减少潜在的安全风险。

JWT 是一种轻量级的身份验证和鉴权机制，广泛应用于Web开发、API安全、单点登录等场景。服务网格支持配置JWT策略并应用到数据面实现请求身份认证，保护后端服务安全。 JWT策略配置说明 配置项 说明 安全策略名称 策略名称，如testjwt Issuer JWT的颁发者，如果请求带的JWT中的iss字段和此字段不一致，则该JWT会被拒绝 JWKS来源 用于验证JWT的密钥来源 jwks 用于验证JWT的密钥，当JWKS来源是jwks时填写 jwksUri 用于验证JWT的密钥URI，当JWKS来源是jwksUri时填写 Audience JWT颁发给的目标实体 JWTToken位置 获取JWT的位置，支持从请求头或者请求Query参数中获取 JWT透传 是否向后端透传JWT信息 将Payload通过Header透传 将JWT的Payload信息通过base64编码后添加到Header透传到后端 JWT策略绑定 策略生效粒度 当前支持命名空间、服务、工作负载、网关的生效粒度配置，说明如下 生效粒度 说明 命名空间 策略下发到所选择命名空间下所有数据面 服务 策略下发到所选服务关联的工作负载数据面 工作负载 策略下发到指定工作负载的数据面 网关 策略下发到网关 请求匹配规则 对于JWT策略、OIDC策略和自定义授权服务策略，支持基于请求特征匹配决定是否执行当前策略，支持的匹配项及说明如下 匹配项 说明 HTTP域名(Host) 匹配一组请求的域名 HTTP路径(Path) 匹配一组请求路径 HTTP方法(Method) 匹配一组请求的HTTP Method 端口(Port) 匹配一组请求的目标服务端口 说明 域名和路径匹配支持以下匹配模式 1. 精确匹配：如abc匹配abc字符串 2. 前缀匹配：abc匹配abc、abcd、abce等 3. 后缀匹配：abc匹配abc、xabc、zabc等 4. 存在匹配：匹配所有非空值 请求匹配支持黑白名单模式 1. 黑名单模式：选中请求必须执行认证策略 2. 白名单模式：选中请求跳过认证策略，其他请求需要执行策略

检查其他设置 服务器开启了系统自动更新补丁功能。在确认服务器已更新该漏洞后，建议您在漏洞管理界面中忽略该漏洞。 服务器安装了更新的补丁将旧补丁覆盖（如，2016及以上系统，最新的月度补丁会覆盖以前的所有补丁）。在确认无误后，建议您在漏洞管理界面中忽略该漏洞。 其他安全软件对补丁安装进行了拦截（如“360安全卫士服务器版”），您可以先暂停使用安全软件，待漏洞修复后，在开启安全软件。 说明 微软已于2020年1月14日停止对Windows Server 2008 R2系统的更新和维护，如果需要继续使用该系统，则需要购买相应的ESU （扩展安全更新） 密钥并进行激活或更换Windows操作系统版本。 Linux系统服务器操作 无yum源配置 您的服务器可能未配置yum源，请根据您的Linux系统选择yum源进行配置。配置完成后，重新执行漏洞修复操作。 yum源没有相应软件的最新升级包 切换到有相应软件包的yum源，配置完成后，重新执行漏洞修复操作。 内网环境连接不上公网 在线修复漏洞时，需要连接Internet，通过外部yum源提供漏洞修复服务。 内核老版本存留 由于内核升级比较特殊，一般都会有老版本存留的问题。您可通过执行验证修复命令查看当前使用的内核版本是否已符合漏洞要求的版本。确认无误后，对于该漏洞告警，您可以在企业主机安全管理控制台的“漏洞管理 > Linux软件漏洞管理”页面进行忽略 。同时，不建议您删除老版本内核。 验证修复命令： 操作系统 修复命令 :: CentOS/Fedora /Euler/Redhat/Oracle rpm qa Debian/Ubuntu dpkg l Gentoo emerge search软件名称 SUSE zypper search dC matchwords软件名称

client.sources staticlogsource client.channels staticlogchannel client.sinks kafkasink LOGTOHDFSONLINE1 client.sources.staticlogsource.type spooldir client.sources.staticlogsource.spoolDir 监控目录 client.sources.staticlogsource.fileSuffix .COMPLETED client.sources.staticlogsource.ignorePattern ^$ client.sources.staticlogsource.trackerDir 传输过程中元数据存储路径 client.sources.staticlogsource.maxBlobLength 16384 client.sources.staticlogsource.batchSize 51200 client.sources.staticlogsource.inputCharset UTF8 client.sources.staticlogsource.deserializer LINE client.sources.staticlogsource.selector.type replicating client.sources.staticlogsource.fileHeaderKey file client.sources.staticlogsource.fileHeader false client.sources.staticlogsource.basenameHeader true client.sources.staticlogsource.basenameHeaderKey basename client.sources.staticlogsource.deletePolicy never client.channels.staticlogchannel.type file client.channels.staticlogchannel.dataDirs 数据缓存路径，设置多个路径可提升性能，中间用逗号分开 client.channels.staticlogchannel.checkpointDir 检查点存放路径 client.channels.staticlogchannel.maxFileSize 2146435071 client.channels.staticlogchannel.capacity 1000000 client.channels.staticlogchannel.transactionCapacity 612000 client.channels.staticlogchannel.minimumRequiredSpace 524288000 client.sinks.kafkasink.type org.apache.flume.sink.kafka.KafkaSink client.sinks.kafkasink.kafka.topic 数据写入的topic ，如flumetest client.sinks.kafkasink.kafka.bootstrap.servers XXX . XXX . XXX . XXX :kafka 端口号 , XXX . XXX . XXX . XXX :kafka 端口号 , XXX . XXX . XXX . XXX :kafka端口号 client.sinks.kafkasink.flumeBatchSize 1000 client.sinks.kafkasink.kafka.producer.type sync client.sinks.kafkasink.kafka.security.protocol SASLPLAINTEXT client.sinks.kafkasink.kafka.kerberos.domain.name Kafka Domain名称，安全集群必填，如hadoop.xxx.1com client.sinks.kafkasink.requiredAcks 0 client.sources.staticlogsource.channels staticlogchannel client.sinks.kafkasink.channel staticlogchannel 说明 client.sinks.kafkasink.kafka.topic：数据写入的topic。若kafka中该topic不存在，默认情况下会自动创建该topic。 client.sinks.kafkasink.kafka.bootstrap.servers：Kafkabrokers列表，多个用英文逗号分隔。默认情况下，安全集群端口21007，普通集群对应端口9092。 client.sinks.kafkasink.kafka.security.protocol：安全集群为SASLPLAINTEXT，普通集群为PLAINTEXT。 client.sinks.kafkasink.kafka.kerberos.domain.name： 普通集群无需配置此参数。安全集群对应此参数的值为Kafka集群中“kerberos.domain.name”对应的值。 具体可到Broker实例所在节点上查看${BIGDATAHOME}/MRSCurrent/1 X Broker/etc/server.properties。 其中X为随机生成的数字，请根据实际情况修改。同时文件需要以Flume客户端安装用户身份保存，例如root用户。 具体可到Broker实例所在节点上查看“${BIGDATAHOME}/FusionInsightCurrent/1XBroker/etc/server.properties”。 9. 参数配置并保存后，Flume客户端将自动加载“properties.properties”中配置的内容。当spoolDir生成新的日志文件，文件内容将发送到Kafka生产者，并支持Kafka消费者消费。

信息的获取 云网平台获取 登录云网门户，在“控制台”>“账号中心”>“安全设置”>“用户AccessKey”点击“查看”获取。 基本签名流程 ctyuneopak/ctyuneopsk基本签名流程： 1. 待签字符串：使用规范请求和其他信息创建待签字符串。 2. 计算密钥：使用header、ctyuneopsk、ctyuneopak来创建hmac算法的密钥。 3. 计算签名：使用第三步的密钥和待签字符串在通过hmacsha256来计算签名。 4. 签名应用：将生成的签名信息作为请求消息头添加到HTTP请求中。 创建待签名字符串 待签名字符串的构造规则如下： 待签名字符串需要进行签名的header排序后的组合列表+ "n" + 排序的query + "n" + toHex(sha256(原封的body)) 需要进行签名的header排序后的组合列表（排序的header） header 以 headername:headervalue来一个一个通过n拼接起来，EOP是强制要求ctyuneoprequestid和eopdate这个头作为header中的一部分，并且必须是待签名header里的一个。需要进行签名算法的header需要进行排序（将它们的headername以26个英文字母的顺序来排序），将排序后得到的列表进行遍历组装成待签名的header。 排序的query query以&作为拼接，key和值以连接，排序规则使用26个英文字母的顺序来排序，Query参数全部都需要进行签名 toHex(sha256(原封的body)) 传进来的body参数进行sha256摘要，对摘要出来的结果转十六进制 排序的header例子： 假设你需要将ctyuneoprequestid、eopdate、host都要签名，则待签名的header构造出来是： ctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n ctyuneoprequestid、eopdate和host的排序就是这个顺序。 如果你加入一个ccad的header，同时这个header也要是进行签名，则待签名的header组合： ccad:123nctyuneoprequestid:123456789neopdate:20210531T100101Znhost:1.1.1.1:9080n

本文为您介绍如何使用ECI加载DeepSeek R1。 DeepSeek R1介绍 DeepSeekR1 是一款强化学习（RL）驱动的推理模型，解决了模型中的重复性和可读性问题。在 RL 之前，DeepSeekR1 引入了冷启动数据，进一步优化了推理性能。它在数学、代码和推理任务中与 OpenAIo1 表现相当，并且通过精心设计的训练方法，提升了整体效果。 使用限制 模型 推荐规格(云主机) 支持资源池 DeepSeekR1:1.5b 内存：4GB起 所有ECI已上线资源池 DeepSeekR1:7b 内存：16GB起 所有ECI已上线资源池 DeepSeekR1:8b 内存：16GB起 所有ECI已上线资源池 DeepSeekR1:14b 内存：32GB起 所有ECI已上线资源池 DeepSeekR1:32b 内存：64GB起 起临时存储空间：100GB起 所有ECI已上线资源池 DeepSeekR1:70b 内存：128GB起 临时存储空间：150GB起 所有ECI已上线资源池 ECI弹性容器实例接入DeepSeek R1最佳实践 1. 订购弹性容器实例，以最小模型1.5b为例。 2. 选择开源容器镜像(opensource/openwebuideepseekr1) 。 3. 打开容器高级设置，自定义环境变量。 其中PORT代表Open WebUI服务暴露的端口，ENABLEOPENAIAPI代表是否启用OpenAI的API，RAGEMBEDDINGENGINE代表RAG（Retrieval Augmented Generation：检索增强生成）使用的嵌入式引擎。 说明 国内环境建议按照示例配置。 4. 点击下一步，绑定弹性IP。支持自动创建或绑定已有EIP。 5. 确认订单，等待容器实例Running。 6. 检查端口连通性。 7. 安全组放开指定端口(PORT环境变量)。 8. 通过浏览器访问Open WebUI，如 EIP:PORT，点击Get started。 9. 创建管理员帐号/密码登入。 10. 进入主界面。 11. 模型验证。

本章节主要介绍Redis缓存类型的主备实例。 DCS Redis缓存类型都支持主备实例，本章节主要介绍Redis缓存类型的主备实例，有四个版本选择，Redis3.0、Redis4.0、Redis5.0和Redis6.0。 主备实例特点 DCS的主备实例在单机实例基础上，增强服务高可用以及数据高可靠性。 主备实例具有以下特性： 1.持久化，确保数据高可靠 实例默认包含一个主节点和一个备节点，都默认开启数据持久化。 Redis主备实例的备节点对用户不可见，不支持客户端直接读写数据。 2.数据同步 主备节点通过增量数据同步的方式保持缓存数据一致。 说明 当网络发生异常或有节点故障时，主备实例会在故障恢复后进行一次全量同步，保持数据一致性。 3.故障后自动切换主节点，服务高可用 当主节点故障后，连接会有秒级中断、不可用，备节点在30秒内自动完成主备切换，切换完成后恢复正常访问，无需用户操作，业务平稳运行。 4.容灾策略 跨AZ部署（可用区）：DCS支持将主备实例的主备副本部署在不同的AZ内，节点间电力与网络均物理隔离。您可以将应用程序也进行跨AZ部署，从而达到数据与应用全部高可用。 Redis 3.0实例架构设计 DCS的Redis主备实例架构，如下图所示。 主备实例示意图 示意图说明： VPC 虚拟私有云。实例的内部所有服务器节点，都运行在相同VPC中。 说明 VPC内访问，客户端需要与主备实例处于相同VPC，并且配置安全组访问规则。 客户应用 运行在ECS上的客户应用程序，即Redis的客户端。 Redis实例兼容开源协议，可直接使用开源客户端进行连接，关于客户端连接示例，请参考连接实例。 DCS缓存实例 DCS主备实例包含了Master和Slave两个节点。默认开启数据持久化功能，同时保持节点间数据同步。 DCS实时探测实例可用性，当主节点故障后，备节点升级为主节点，恢复业务。 Redis 3.0的访问端口默认为6379，不支持定义端口。

本节介绍服务器安全卫士（原生版）病毒查杀操作指南。 病毒扫描是服务器执行病毒扫描操作，发现病毒文件并处理的防护机制。 约束限制 请先购买企业版或旗舰版配额并绑定主机后，才能正常使用病毒查杀功能。 一键扫描 一键扫描为手动检测模式，用户需在病毒查杀页面单击一键扫描按钮，设置检测模式、生效范围。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“文件安全 > 病毒查杀”，进入病毒查杀页面。 3. 单击“一键扫描”，页面右侧弹出一键扫描设置窗口。 4. 在一键扫描设置窗口中，设置扫描参数。 参数说明如下： 参数 说明 检测模式 支持快速检测、全盘检测、自定义检测。 快速检测：扫描耗时短，有效扫描随系统自启动运行的风险文件。主要扫描系统常被利用的位置。 全盘检测：扫描服务器所有磁盘文件，清理磁盘中的木马病毒更彻底，相对比较耗时。 自定义检测：根据用户设置的指定目录有选择性的进行扫描。 设置生效范围 自定义选择需要执行病毒扫描任务的服务器。 5. 单击“确认”，设置完成。

Ruby是什么用户？ 在执行SELECT FROM pguser语句查看当前系统的用户时，看到Ruby用户且拥有很多权限。 Ruby用户为官方运维使用帐户，DWS数据库创建后，默认生成Ruby帐户，不涉及安全风险，请放心使用。

删除敏感数据规则组操作指导。 您可在数据安全中心DSC的敏感数据规则列表中删除不再使用的自定义敏感数据规则组。其中已在识别任务中使用的规则组、DSC内置规则组都不可删除。 前提条件 已添加敏感数据规则组。 约束条件 DSC内置的规则组不可删除。 如果待删除的规则组已在识别任务中使用，您需要先删除包含该规则组的敏感数据任务，再参照本章节删除该规则组。 规则组删除后将无法恢复，请谨慎操作。 操作步骤 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择“安全>数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中，选择“敏感数据识别 > 识别规则”，并选择“规则组”页签，进入规则组列表。 5. 在目标敏感规则组所在行的“操作”列，单击“删除”。 6. 在弹出的提示框中，单击“确定”。

本页介绍了如何管理天翼云RDSPostgreSQL产品的只读实例。 RDSPostgreSQL产品支持管理只读实例的功能，主要包括以下操作： 基础操作：重启、停止、升级等，支持绑定EIP和设置标签。 生命周期：退订、扩容（包括规格扩容和磁盘扩容）等。 参数设置：修改实例参数，并支持设置参数模板应用到只读实例。 实例操作：包括空闲连接查杀、清理在线表等。 实例监控：资源监控（主机资源包括CPU、IO等核心监控数据）、引擎监控（QPS、TPS、连接数、缓存等内核指标监控）、日志监控（慢日志、错误日志等）以及操作日志（包括控制台操作在内的监控等）。 数据库安全：白名单管理、数据库审计等安全操作。

步骤一：准备MySQL数据库 在使用MDR实现MySQL故障切换前，需要提前准备一个多活实例和一个MySQL数据库。 当前仅支持对云上资源进行故障切换， 因此需要购买一台规格类型为“一主一备”或“一主两备”的天翼云MySQL数据库。 1. 创建数据库实例，具体请参考：创建实例。 2. 为数据库实例设置安全组规则，具体请参考：设置安全组规则。 3. 为数据库实例绑定弹性IP，具体请参考：绑定弹性公网IP。 步骤二：同步资源 在资源管理模块中同步数据库资源到多活容灾服务平台，具体参考：同步天翼云数据库。 步骤三：创建容灾管理中心 创建容灾管理中心的具体请参考：创建容灾管理中心。 步骤四：接入应用 将需要进行故障切换的MySQL数据库接入创建好的容灾管理中心，具体操作请参考：应用接入。 步骤五：编排预案阶段和预案 1. 创建预案阶段，具体操作请参考：创建预案阶段。 2. 创建预案，具体操作请参考：创建预案。

STS即Secure Token Service 是一种安全凭证服务，可以使用STS来完成对于临时用户的访问授权。对于跨用户短期访问对象存储资源时，可以使用STS服务。这样就不需要透露主账号AK/SK，只需要生成一个短期访问凭证给需要的用户使用即可，避免主账号AK/SK泄露带来的安全风险。 获取临时token 在服务端生成临时token，可参考java、python、nodejs、CPP、donet、go、php SDK说明，请从 SDK概览 页面选择进入对应的开发指南查阅。 使用临时token 实现一个MyCredentialsProvider，支持更新ak/sk和token。 plaintext // .h @interface MyCredentialsProvider: NSObject ​ (instancetype)initWithAccessKey:(NSString )accessKey secretKey:(NSString )secretKey sessionToken:(NSString )sessionToken; ​ (void)updateCredWithAccessKey:(NSString )accessKey secretKey:(NSString )secretKey sessionToken:(NSString )sessionToken; @end ​ ​ // .m @interface MyCredentialsProvider() @property (atomic, strong) AWSCredentials internalCredentials; @end ​ @implementation MyCredentialsProvider (instancetype)initWithAccessKey:(NSString )accessKey secretKey:(NSString )secretKey sessionToken:(NSString )sessionToken { if (self [super init]) { internalCredentials [[AWSCredentials alloc] initWithAccessKey:accessKey secretKey:secretKey sessionKey:sessionToken expiration:nil]; } return self; } ​ (AWSTask )credentials { return [AWSTask taskWithResult:self.internalCredentials]; } ​ (void)invalidateCachedTemporaryCredentials { } ​ (void)updateCredWithAccessKey:(NSString )accessKey secretKey:(NSString )secretKey sessionToken:(NSString )sessionToken { self.internalCredentials [[AWSCredentials alloc] initWithAccessKey:accessKey secretKey:secretKey sessionKey:sessionToken expiration:nil]; } @end 使用临时token初始化sdk plaintext

本文介绍IP应用加速是否支持海外加速。 天翼云边缘接入IP应用加速支持海外加速。依托遍布全球的CDN优质节点及线路，通过智能调度及传输优化等核心自研技术，为企业跨国、跨境访问提供一站式全球加速服务。满足出海企业本地化节点覆盖当地用户的迫切需求，保障跨国网络访问的高速、稳定和安全，助力企业拓展全球化业务。 需要注意的是，开启海外加速需要额外付费，详见：边缘接入套餐资费。

本章节为您介绍VPN服务的基本功能。 VPN服务管理：用于维护VPN服务，提供配置VPN服务；对内网控制新增和删除；对静态路由表的新增，修改，删除等功能。 VPN服务证书：SSL VPN服务使用VPN服务证书来进行安全认证工作，使用SSL VPN服务的前提是必须安装相关VPN服务证书，提供新增，查看详情，启用，停用，可信证书链管理，CSR请求，证书应答，导入证书等功能。

步骤 操作内容 操作指引 1 登录 2 设置企业标识。首次订购使用AOne会议或订单已销毁后重新订购，需要先设置企业标识。企业标识为登录客户端的重要标识，建议使用企业名称等方便企业办公终端用户记忆的信息作为企业认证标识，暂不允许控制台修改，若有需要可提交工单进行配置。 3 添加用户和组织。为确保企业登录AOne会议客户端人员身份合法性，以及提升企业办公安全性，企业员工在登录AOne会议客户端时需要进行身份认证。因此需要先创建用户与组织信息，在该列表的用户才可登录使用AOne会议。 4 提交工单完成会议配置。完成用户组织添加后，请提交工单联系我们的技术团队，以完成会议配置的下发。 —— 5 设置高级账号和云录制空间配额。步骤3中新增的用户默认为免费账号，仅可加入会议，不支持发起会议。若用户需要发起会议，请在资源管理模块为其分配高级账号与云录制空间配额。若高级账号用户的云空间配额为0，则其发起的会议将无法使用云录制功能。 6 登录使用AOne会议。在导入列表中的用户，属于企业用户，可直接下载AOne会议客户端并登录使用。没有在导入列表中的用户如果需要加入会议，则需要自行注册个人用户账号后再登录。

本文介绍如何在组网配置中查看网络指标。 背景说明 AOne零信任通过分支网关将企业的分支、总部、IDC 机房或者云服务就近接入AOne网络（POP 节点），进而在云上实现企业分支网络的互联互通，则可通过网络指标来分析分支机构互联状态。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在首页产品能力栏目，选择零信任进入工作台。 3. 左侧导航栏AOne零信任网络组网管理，查看组网配置列表。 4. 点击需要修改的组网配置，点击网络指标。 网络指标 目前支持查看互联的时延、丢包、抖动情况。 时延 时延是指数据包从发送到接收的往返时间(RoundTrip Time,RTT)。 计算方式： 记录每个数据包的发送时间和接收时间。 计算每个数据包的RTT:RTT接收时间发送时间。 丢包 丢包率是指在发送的数据包中，未能成功接收到的数据包所占的比例。 计算方法: 记录发送的数据包总数 N。 记录成功接收到的数据包数 M。 计算丢包率:丢包率(NM)/N 100%。 抖动 抖动是指数据包传输时延的变化，通常用于衡量网络的稳定性。 计算方法: 记录每个数据包的RTT。 计算相邻数据包的RTT差值:抖动RTTi RTT(i1)。

修改密钥文件 须知 修改密钥文件的操作对系统影响较大，一旦操作失误会导致数据丢失。不推荐使用此功能。 在加密HFile和WAL内容操作中需要生成对应的密钥文件并设置密码，为确保系统安全，在运行一段时间后，用户可修改密钥，使用新的密钥文件对HFile和WAL内容进行加密。 1.使用omm用户执行如下命令生成新的密钥文件。 sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /hbase.jks /hbase.jks :表示生成的hbase.jks文件的存储路径。该路径和文件名称需与加密HFile和WAL内容章节生成的密钥文件相同。 ：表示密钥文件的别名，请使用与旧密钥文件不同的名字。 表示加密的类型，支持SMS4或AES。 表示密钥的长度，SMS4支持16位长度，AES支持128位长度。 例如，生成SMS4加密的密钥执行： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /home/hbase/conf/hbase.jks SMS4 16 ommnew 生成AES加密的密钥执行： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /home/hbase/conf/hbase.jks AES 128 ommnew 说明 集群的操作用户需要有/hbase.jks目录的“rw”权限，且要求目录已存在。 运行命令后需要再输入3遍相同的 ，该密码表示密钥文件的密码，请直接使用旧文件的密码，不会产生安全风险。 2.将生成的密钥文件分发到集群中所有节点的相同目录下，并为omm用户配置该文件的读写权限。 说明 请管理员根据企业安全要求，选择安全的操作步骤分发密钥。 3.在FusionInsight Manager的HBase服务配置界面中增加自定义配置项，设置“hbase.crypto.master.key.name”为“ommnew”，设置“hbase.crypto.master.alternate.key.name”为“omm”，然后保存配置。 4.重启HBase服务，使配置生效。 5.在HBase shell中执行major compact命令，生成基于新的加密算法的HFile文件。 majorcompact ' ' 6.从HMaster的网页中可以查看到major compact进度。 7.所有的“Compaction Progress”都为100%且“Remaining KVs”都为0时，使用omm用户执行如下命令销毁旧的密钥文件： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /hbase.jks /hbase.jks :表示生成的“hbase.jks”文件的存储路径。该路径和文件名称需与加密HFile和WAL内容章节生成的密钥文件相同。 ：表示要删除的旧密钥文件的别名。 例如： sh ${BIGDATAHOME}/FusionInsightHD8.1.0.1/install/FusionInsightHBase2.2.3/hbase/bin/hbaseencrypt.sh /home/hbase/conf/hbase.jks omm 说明 集群的操作用户需要有/hbase.jks目录的“rw”权限，且要求目录已存在。 8.再执行2，重新分发更新后的密钥文件。 9.从FusionInsight Manager中删除3中新增HBase自定义配置项“hbase.crypto.master.alternate.key.name”。 10.再执行4使配置生效。

检查主备集群RegionServer之间的网络连接 2.执行ping命令，查看故障RegionServer节点和备集群RegionServer所在主机的网络连接是否正常。 是，执行步骤5 否，执行步骤3 3.联系网络管理员恢复网络。 4.网络恢复后，在告警列表中，查看本告警是否清除。 是，处理完毕。 否，执行步骤5。 检查主集群RegionServer的Region分布情况 5.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HBase”，单击“HMaster(主)”，打开该HBase实例的WebUI，查看Region Servers上Region分布是否均衡。 6.以omm用户登录故障RegionServer节点。 7.进入客户端安装目录，设置环境变量。 cd 客户端安装目录 source bigdataenv 如果集群采用安全版本，要进行安全认证。执行kinit hbase命令，按提示输入密码（向管理员获取密码）。 8.执行以下命令查看目前负载均衡功能是否打开。 hbase shell balancerenabled 是，执行步骤10。 否，执行步骤9。 9.在hbase shell中执行命令打开负载均衡功能，并执行命令查看确认成功打开。 balanceswitch true balancerenabled 10.执行balancer命令手动触发负载均衡。 说明 建议打开和手动触发负载均衡操作在业务低峰期进行。 11.观察该告警是否清除。 是，处理完毕。 否，执行步骤12。

编辑规格操作指导 约束条件 内置规则不支持编辑。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击左上角的，选择区域或项目。 步骤 3 在左侧导航树中，单击，选择选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 步骤 4 在左侧导航树中选择“敏感数据识别 > 识别配置”，进入识别模板页签。 步骤 5 选择“识别规则”页签，进入识别规则界面。 步骤 6 在目标规则操作列单击“详情”查看并修改规则。支持修改的参数有“规则基础信息”、“添加到模板”、“匹配条件”和“识别阈值配置”。 相关操作 如果不再需要的自定义敏感数据规则，可以在数据安全中心DSC的敏感数据规则列表的目标规则操作列上点击“删除”按钮，这样就可以删除该规则。需要强调的是，已经添加到敏感数据规则集中的规则是不能被删除的，这主要是为了维护规则的一致性和完整性。另外，DSC内置的规则也是不可删除的，因为这些规则是系统的基础组件，对于数据的安全性起着至关重要的作用。

本文介绍Serverless集群概述。 产品简介 云容器引擎Serverless版是天翼云提出的Serverless Kubernetes容器服务。与传统Kubernetes集群相比，Serverless集群无需购买节点即可直接部署容器应用，同时无需对集群进行节点维护和容量规划，降低了Kubernetes使用门槛，让用户更专注于应用程序，而不是管理底层基础设施。Serverless集群提供完善的Kubernetes兼容能力，您可以轻松迁移已有的Kubernetes应用到Serverless集群上，并且根据应用配置的CPU和内存资源量进行按需付费。 使用场景 互联网企业：大规模业务上线生产环境，对管控的稳定性、可观测性和安全性有较高要求。 大数据计算企业：大规模数据计算、高性能数据处理、高弹性需求等类型业务，对集群稳定性、性能和效率有较高要求。

本节介绍VSS的主机扫描IP有哪些。 如果设置了访问限制，请添加策略允许VSS的IP地址可以访问您的主机。如果您使用了主机安全防护软件，请将VSS访问主机的IP地址添加到该软件的白名单中，以免该软件拦截了VSS访问用户主机的IP地址。 114.217.39.79，222.93.127.109

个性化数据访问 细粒度权限管控允许为不同用户或角色定制数据访问视图。例如，在一个销售系统中，销售人员可能只需要访问客户的基本信息，而经理则可以查看更详细的销售记录和分析数据。这种个性化的权限配置提高了工作效率。 多租户环境 在多租户环境中，细粒度权限管控能够有效隔离不同租户的数据，确保每个租户只能访问自己的数据。即使多个租户共享同一个搜索引擎集群，他们的数据依然能够得到严格的保护。 最小权限原则 细粒度权限控制支持最小权限原则（Principle of Least Privilege），确保用户仅能访问其工作所需的最小数据范围，从而减少潜在的安全风险。 技术实现与应用 管理员可以通过 OpenSearch 的安全模块，使用文档级别安全（DocumentLevel Security, DLS）和字段级别安全（FieldLevel Security, FLS）配置细粒度权限。DLS 允许基于查询条件限制用户对特定文档的访问，而 FLS 则允许管理员指定哪些字段对特定用户可见或不可见。 这些权限配置可以通过 OpenSearch 的 REST API 或管理工具来实现和管理。管理员还可以结合角色和用户组的概念，为不同用户群体配置统一的权限策略，从而简化权限管理流程。 操作示例 我们创建一个role publicrole，创建一个user publicuser1，目标是让这个user只能查看pub开头的索引里public字段为true的文档。 创建角色： PUT plugins/security/api/roles/publicrole { "clusterpermissions": [ "" ], "indexpermissions": [{ "indexpatterns": [ "pub" ], "dls": "{"term": { "public": "true"}}", "allowedactions": [ "read" ] }] } 创建用户： PUT plugins/security/api/internalusers/publicuser1 { "password": "" } 创建Mapping： PUT plugins/security/api/rolesmapping/publicrole { "users" : [ "publicuser1" ] } 创建索引： pub索引，插入两条数据 POST pubindex/doc/ { "name": "robert", "age": "30", "public": "true" } POST pubindex/doc/ { "name": "mike", "age": "55", "public": "false" } 非pub索引 POST secindex/doc/ { "name": "jane", "age": "18", "public": "true" } 我们开始搜索，预期是publicuser1搜索pubindex可以返回一条结果，搜索secindex无结果。而admin用户搜索pubindex可以返回两条结果，搜索secindex可以返回一条结果。 GET pubindex/search {"size": 10,"query": {"matchall": {}}} { "took" : 4, "timedout" : false, "shards" : { "total" : 1, "successful" : 1, "skipped" : 0, "failed" : 0 }, "hits" : { "total" : { "value" : 1, "relation" : "eq" }, "maxscore" : 2.0, "hits" : [ { "index" : "pubindex", "id" : "xBnh0okBxCORqeQrGobf", "score" : 2.0, "source" : { "name" : "robert", "age" : "30", "public" : "true" } } ] } } GET pubindex/search {"size": 10,"query": {"matchall": {}}} { "took" : 1, "timedout" : false, "shards" : { "total" : 1, "successful" : 1, "skipped" : 0, "failed" : 0 }, "hits" : { "total" : { "value" : 2, "relation" : "eq" }, "maxscore" : 1.0, "hits" : [ { "index" : "pubindex", "id" : "xBnh0okBxCORqeQrGobf", "score" : 1.0, "source" : { "name" : "robert", "age" : "30", "public" : "true" } }, { "index" : "pubindex", "id" : "xRnh0okBxCORqeQrMobq", "score" : 1.0, "source" : { "name" : "mike", "age" : "55", "public" : "false" } } ] } } GET secindex/search {"size": 10,"query": {"matchall": {}}} { "error" : { "rootcause" : [ { "type" : "securityexception", "reason" : "no permissions for [indices:data/read/search] and User [namepublicuser1, backendroles[], requestedTenantnull]" } ], "type" : "securityexception", "reason" : "no permissions for [indices:data/read/search] and User [namepublicuser1, backendroles[], requestedTenantnull]" }, "status" : 403 } GET secindex/search {"size": 10,"query": {"matchall": {}}} { "took" : 1, "timedout" : false, "shards" : { "total" : 1, "successful" : 1, "skipped" : 0, "failed" : 0 }, "hits" : { "total" : { "value" : 1, "relation" : "eq" }, "maxscore" : 1.0, "hits" : [ { "index" : "secindex", "id" : "xhnh0okBxCORqeQrTYbM", "score" : 1.0, "source" : { "name" : "jane", "age" : "18", "public" : "true" } } ] } } 搜索引擎的细粒度权限管控功能通过支持文档级别和字段级别的权限控制，为企业提供了强大的数据安全和管理能力。 这种精确的权限配置不仅帮助企业保护敏感信息，还能够在多租户环境和个性化数据访问需求下提供高效的解决方案。通过细粒度的权限管控，企业可以确保数据的安全性、隐私性和合规性，同时实现灵活的业务支持。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

认证鉴权 获取天翼云AK/SK: 1. 点击天翼云门户首页右上角的“登录”，输入登录的用户名和密码。 2. 点击右上角的“我的”， 点击个人中心。 3. 在左侧下拉列表中单击“安全设置”。 4. 在安全设置页面的“用户AccessKey”列，点击“新建”按钮，获取访问密钥（AK/SK）。新建成功后，“新建”按钮变为“查看”，您可以点击并查看并复制AK/SK。 认证鉴权介绍： AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 参数 描述 AK（Access Key ID） 访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名 SK（Secret Access Key） 私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 说明： 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

本文为您介绍将网站域名接入Web应用防火墙（原生版）实例时，如何修改域名DNS解析。 在添加网站域名后，您必须使用WAF的CNAME地址（或IP地址）修改域名的DNS解析设置，将网站的Web请求解析到WAF进行安全防护。 前提条件 已通过CNAME接入模式手动添加网站域名。 可选：已在源站服务器上放行WAF回源IP地址。 可选：已通过本地验证确保转发配置生效。通过本地验证确保WAF的网站转发配置正常，防止因配置错误导致业务中断。 注意 如果在WAF网站转发配置未生效时修改域名DNS，可能导致业务中断。建议先通过本地验证，再修改域名DNS。 拥有在域名的DNS服务商处修改域名解析设置的权限。 获取WAF CNAME地址 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏选择“接入管理”，，默认进入“域名接入”页签。 5. 定位到已添加的防护对象，在操作列点击进入“详情”进入防护对象详情页。 6. 在“防护对象详情”页Web应用防火墙信息栏中，复制该域名对应的WAF CNAME地址。

配置 说明 API名称 支持中文、英文、数字、下划线，且只能以英文或中文开头，364个字符。 API目录 一个特定功能或场景的API集合，是数据服务中API的最小组织单元，也是API网关中的最小管理单元。 您可单击“新建”进行新建，也可选择新建API目录已创建的API分组。 请求Path 资源路径，也即API访问路径。 示例：/v2/{projectid}/streams 协议 用于传输请求的协议，支持HTTP和HTTPS协议。 请求方式 HTTP请求方法（也称为操作或动词），它告诉服务你正在请求什么类型的操作。 GET：请求服务器返回指定资源。 POST：请求服务器新增资源或执行特殊操作，注册API时推荐使用。POST请求当前不支持body体，而是直接透传。 描述 对API进行简要描述。 标签 用户自定义输入，只能包含中文、英文字母、数字和下划线，且不能以下划线开头。 审核人 拥有API的审核权限。 单击“新建”，进入“审核中心>审核人管理”页面，新建审核人。 安全认证 API认证方式： APP认证：表示由API网关服务负责接口请求的安全认证。 IAM认证：表示借助IAM服务进行安全认证。 无认证：表示不需要认证。 服务目录可见性 发布后，所选范围内的用户均可以在服务目录中看到此API。 当前工作空间可见 当前项目可见 当前租户可见 访问日志 勾选，则此API的查询结果将会产生记录并被保留7天，可以在“运营管理>访问日志”处通过选择“请求日期”的方式查看对应日期的日志。 最低保留期限 API解绑前预留的最低期限。API进行停用/下线/取消授权时,会通知已授权用户,并为用户预留至少X小时,直到所有授权用户均完成解除或处理，或者到达截止时间, API才会停用/下线/取消授权。0表示不设限制。 入参定义 配置API请求中的参数，包含资源路径中的动态参数，请求URI中的查询参数和Header参数。 以配置资源路径中的动态参数为例进行说明，例如资源路径（请求Path）设置为： /v2/{projectid}/streams，资源路径中的{projectid}为动态参数，需要在此进行配置。 1. 单击“添加”，参数名配置为projectid。 2. 参数位置选择PATH。 3. 类型设置为STRING。 4. 选择性配置示例值和描述。