本节介绍购买单节点示例操作方法。 1. 登录天翼云官网，打开控制中心。 2. 选择“产品 > 安全 > 云下一代防火墙”，单击“立即开通”。 版本：请确认使用规格，具体规格详情可参考规格。 部署模式：单节点。 弹性IP：上述开通云主机后为其绑定的弹性IP。 购买时长：按需选择即可。

轻量型云主机目前提供包年/包月的计费方式。 包年/包月：弹性云主机按照预付费方式计费，用户需要提前支付一定的费用，然后在一定的时间内使用实例。这种方式适合长期使用的用户，可以获得更多的折扣和优惠。 使用包年包月方式，您可以获得更多的折扣和优惠，获得更稳定和可靠的服务，用户可根据实际情况选择购买时长。

ECI能为Kubernetes提供基础的容器Pod运行环境，每个ECI实例相当于一个Pod。本文介绍ECI Pod的配置和创建方式。 基本配置 基于Kubernetes社区的Virtual Kubelet技术，ECI支持以虚拟节点（VK）的形式接入到Kubernetes集群中。一个ECI实例相当于一个Pod，包含以下几部分配置： 实例规格 一个ECI实例主要包括vCPU和内存规格。创建实例时，可以指定ECI规格（直接指定vCPU和内存），也可以指定ECS规格来满足GPU、增强网络能力等特殊需求。 容器镜像 一个ECI实例由一个或者多个容器组成，部署容器应用时，需要准备好容器镜像。容器镜像包含容器应用运行所需的程序、库文件、配置等。拉取镜像时，需要保证网络畅通，推荐您使用镜像缓存功能来节约实例的启动耗时。 网络 一个ECI实例将占用所属VPC下的子网的一个弹性网卡资源，默认具备一个内网IP地址。如果需要连接公网，例如需要拉取公网镜像。则需要为ECI实例绑定EIP，或者为所属VPC绑定NAT网关。 存储 一个ECI实例默认有40 GiB的临时存储空间，您可以根据需要增加临时存储空间。如果想要保留存储的文件，建议使用外挂数据卷，支持挂载云盘、弹性文件和对象存储等天翼云存储数据卷。 创建方式 根据业务场景和使用场景，ECI支持两种实例的定义方式： 1. 指定vCPU和内存：您创建ECI实例时可以按需指定vCPU和内存。 2. 指定ECS规格：您创建ECI实例时可以按需指定ECI实例底层使用ECS规格族，来获取相应规格族的指定能力。

什么是手动备份？ 手动备份是用户在备份恢复界面自主发起对数据库实例的全量备份，目前它会一直保存，直到用户主动删除。 企业项目 企业项目权限实现细粒度控制的基础。将云资源、企业成员按企业项目进行管理，通过企业项目将云资源、带有权限的用户组绑定到一起，通过授权用户组来限制用户使用企业项目内的云资源权限。 什么是区域和可用区？ 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）指物理的数据中心。每个区域完全独立，这样可以实现最大程度的容错能力和稳定性。资源创建成功后不能更换区域。 可用区（AZ，Availability Zone）是同一区域内，电力和网络互相隔离的物理区域，一个可用区不受其他可用区故障的影响。一个区域内可以有多个可用区，不同可用区之间物理隔离，但内网互通，既保障了可用区的独立性，又提供了低价、低时延的网络连接。 下图阐明了区域和可用区之间的关系。 图1 区域和可用区 目前，天翼云已在全国多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。更多信息请参见天翼云产品部署看板 。

公有云采用虚拟私有云（VPC）管理各服务的网络安全，比如DCS缓存服务，用户创建的DCS缓存实例，只允许被实例处于相同虚拟私有云的弹性云主机访问。 解决方案 天翼云的弹性云主机，如果绑定了弹性IP地址，用户可以从本地电脑远程访问。 因此，我们可以采用ssh工具的隧道代理机制，通过一台既能连接DCS缓存实例，又能被本地电脑访问的中转服务器，实现“代理转发”。 说明 Redis 4.0/5.0 Cluster集群实例暂不支持使用该方案进行公网访问。 前提条件 假设已申请DCS缓存实例一个，本地电脑可以连接互联网，且安装有MobaXterm、Redis客户端等工具。 申请一台弹性云主机（ECS），满足以下要求： 绑定弹性IP，公网可以访问ECS. ECS的虚拟私有云以及子网配置成与DCS缓存实例相同。 ECS配置正确的安全组访问规则。 为了方便，ECS使用linux操作系统。 这样保证ECS与DCS缓存实例网络互通，同时可以从本地电脑远程SSH连接ECS。 操作步骤 通过MobaXterm建立隧道作为跳板机 1.新建一个到ECS的SSH连接，使用22号端口。 图 连接ECS 2.SSH连接配置好后，输入登录用户和密码，连接上ECS。登录后输入TMOUT0，避免连接超时自动关闭。 图 输入TMOUT0 3.在MobaXterm工具中找到MobaSSHtunnal，建立隧道。 图 创建隧道 4.配置本地IP为127.0.0.1后，启动隧道。 图 启动隧道 5.本地电脑打开Redis客户端，以Redis命令行界面为例。连接DCS缓存实例，命令如下： Rediscli h 127.0.0.1 p 3306 a {password} 参数说明： h 主机名：localhost或者127.0.0.1，和隧道建立时配置的本地IP相同。 p 端口号：3306，和隧道建立时配置的本地侦听端口相同。 a 密码：DCS缓存实例连接密码。 6.连接成功，显示如下。 图 连接实例

参数 描述 虚拟私有云、子网、安全组 VNode所属的虚拟私有云、子网、安全组 可用区 VNode所属的可用区 KubeConfig VNode要连接的Kubernetes集群的kubeconfig 标签 VNode绑定的标签信息 污点 VNode绑定的污点信息

本文介绍如何使用云容器引擎Serverless版。 本文介绍如何通过控制台创建Serverless集群、使用镜像部署应用以及查看容器信息。 前提条件 已开通并授权云容器引擎。 已登录弹性容器实例控制台开通服务。 操作步骤 创建Serverless集群 1.登录云容器引擎控制台。 2.在控制台的左侧导航栏中点击“集群”。 3.在集群列表页面中，单击页面右上角的“创建集群”，进入订购页后单击“Serverless版”。 4.在订购Serverless容器引擎页面中，完成集群的基本配置。部分配置说明如下： 配置项 描述 实例名称 填写集群的实例名称 企业项目 按需选择企业项目 计费模式 默认使用按需计费模式 Kubernetes版本 显示当前Serverless集群支持的Kubernetes版本 部署方式 支持单可用区部署、多可用区部署 可用区 按需选择可用区 API Server访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。同时，您也可以选择是否使用EIP暴露API Server，选择不开放时，则无法通过外网访问集群API Server 虚拟私有云 集群所使用的VPC，支持使用已有的VPC或创建虚拟私有云 所在子网 集群所使用的子网，支持使用已有的子网或创建子网 默认安全组 安全组是一种虚拟防火墙，能够控制实例的出入站流量，Serverless集群会自动生成一条默认的安全组，以确保容器之间能正常通信 启用IPv6 启用IPv6双栈将创建双栈Serverless集群 Service CIDR 设置Service CIDR。Service网段不能与VPC及VPC内已有集群使用的网段重复，并且Service地址段也不能和Pod地址段重复。集群创建成功后不能再修改该网段 自定义证书SAN 按需添加自定义的IP或域名，以实现对客户端的访问控制 集群本地域名 填写集群的本地域名 集群删除保护 设置是否启用集群删除保护，防止通过控制台或者API误删除集群 集群标签 为集群绑定标签，作为云资源的标识 集群描述 按需对集群进行描述说明 时区 集群所要使用的时区 5.集群配置完成后，单击“下一步”。 6.按需进行插件配置，配置完成后，单击“确认配置”。 7.确定产品名称、基础配置以及费用无误后提交订单。 8.集群创建成功后，您可以进入云容器引擎控制台，在集群选项卡中可以看到新创建的集群。点击集群名称进入集群详情界面，可以查看集群相关信息。

本实践介绍使用FIO工具测试云硬盘性能的方法。 实践概述 天翼云提供的云硬盘根据磁盘类型的不同拥有不同的性能和价格，详细信息请参见磁盘类型及性能介绍。 FIO 是对磁盘性能进行压力测试和验证的常用工具，本实践将使用FIO工具，介绍云硬盘性能测试的方法。 操作前准备 本节主要介绍在进行具体操作之前用户需要做的准备工作，包括测试前检查、工具安装和FIO参数介绍。 本文以 “CentOS Stream 8 64位” 操作系统为例，介绍使用 FIO 工具进行性能测试的相关操作。由于不同操作系统在系统配置、内核版本及工具支持方面可能存在差异，因此格式化或配置步骤可能有所不同。本文内容仅供参考，具体操作请以对应操作系统的官方产品文档为准，以确保测试过程的准确性与稳定性。 测试前检查 进行测试前，请首先完成云硬盘的挂载和初始化，操作请参考挂载云硬盘和初始化云硬盘。 注意 测试磁盘性能时，建议直接测试裸数据盘（如 /dev/vdb），但有可能会破坏磁盘上的文件系统结构，请在测试前提前做好数据备份。 强烈建议您不要将系统盘或者含有重要数据的数据盘作为测试对象。建议您在空白的数据盘上测试性能，避免造成数据丢失。 登录到测试云主机，执行以下命令，查询待测试的磁盘分区是否已经4KiB对齐。 plaintext sudo fdisk lu 若返回结果中待测试磁盘的Start值能被8整除即是4KiB对齐。下图中的回显表示该磁盘分区已4KiB对齐。 如Start值不能被8整除，则表示未4KiB对齐，那么请删除原有分区后再继续测试，重新按照4KiB对齐选择初始磁柱编号。

本页面介绍云数据库ClickHouse提供的本地表与分布式表两种建表方式。 云数据库ClickHouse建表语句基本语法如下： CREATE TABLE [IF NOT EXISTS] [db.]tablename ON CLUSTER cluster ( name1 [type1] [DEFAULTMATERIALIZEDALIAS expr1], name2 [type2] [DEFAULTMATERIALIZEDALIAS expr2], ... INDEX indexname1 expr1 TYPE type1(...) GRANULARITY value1, INDEX indexname2 expr2 TYPE type2(...) GRANULARITY value2 ) ENGINE enginename() [PARTITION BY expr] [ORDER BY expr] [PRIMARY KEY expr] [SAMPLE BY expr] [SETTINGS namevalue, ...]; 选项描述： db：指定数据库名称，如果当前语句没有包含‘db’，则默认使用当前选择的数据库为‘db’。 cluster：指定集群名称，目前固定为default。ON CLUSTER 将在每一个节点上都创建一个本地表。 type：该列数据类型，例如 UInt32。 DEFAULT：该列缺省值。如果INSERT中不包含指定的列，那么将通过表达式计算它的默认值并填充它。 MATERIALIZED：物化列表达式，表示该列不能被INSERT，是被计算出来的； 在INSERT语句中，不需要写入该列；在SELECT 查询语句结果集不包含该列。 ALIAS ：别名列。这样的列不会存储在表中。 它的值不能够通过INSERT写入，同时使用SELECT查询星号时，这些列也不会被用来替换星号。 但是它们可以用于SELECT中，在这种情况下，在查询分析中别名将被替换。 物化列与别名列的区别： 物化列是会保存数据，查询的时候不需要计算，而别名列不会保存数据，查询的时候需要计算，查询时候返回表达式的计算结果。 以下选项与表引擎相关，只有MergeTree系列表引擎支持： PARTITION BY：指定分区键。通常按照日期分区，也可以用其他字段或字段表达式。 ORDER BY：指定排序键。可以是一组列的元组或任意的表达式。 PRIMARY KEY： 指定主键，默认情况下主键跟排序键相同。因此，大部分情况下不需要再专门指定一个 PRIMARY KEY 子句。 SAMPLE BY ：抽样表达式，如果要用抽样表达式，主键中必须包含这个表达式。 SETTINGS：影响性能的额外参数。 GRANULARITY ：索引粒度参数。 示例，创建一个本地表： CREATE TABLE ontimelocal ON CLUSTER default ( Year UInt16, Quarter UInt8, Month UInt8, DayofMonth UInt8, DayOfWeek UInt8, FlightDate Date, FlightNum String, Div5WheelsOff String, Div5TailNum String )ENGINE ReplicatedMergeTree( '/clickhouse/tables/{database}/{table}/{shard}', '{replica}') PARTITION BY toYYYYMM(FlightDate) PRIMARY KEY (intHash32(FlightDate)) ORDER BY (intHash32(FlightDate),FlightNum) SAMPLE BY intHash32(FlightDate) SETTINGS indexgranularity 8192 ; 说明 高可用集群（双副本），要用ReplicatedMergeTree等Replicated系列引擎，否则副本之间不进行数据复制，导致数据查询结果不一致。ReplicatedMergeTree创建的时只支持以下两种方式填写参数： ReplicatedMergeTree('/clickhouse/tables/{database}/{table}/{shard}', '{replica}') ，参数中的字符不允许修改。 ReplicatedMergeTree()，参数会自动默认填成和方式1一样。

云原生API网关通过插件市场提供可扩展能力,集成传输协议转换、精细化流量管控、多层次安全防护等标准化插件,支持用户根据业务需求对网关功能进行模块化定制与弹性扩展。本文主要介绍如何安装和卸载插件。 安装插件 安装插件是指将云原生API网关插件市场 中的插件安装到具体的网关实例的过程。有两种方式可以安装插件： 操作步骤1：在插件市场安装 1. 登录 云原生API网关控制台。 2. 在左侧导航栏，选择"插件"，并在顶部菜单栏选择地域。 3. 在插件市场页面的快捷导航栏处，选择插件类型或者搜索插件名称，单击插件卡片上的"安装"，在弹出的安装插件框中选择需要使用此插件的网关实例，单击"确定"。 操作步骤2：在网关实例中安装 1. 登录 云原生API网关控制台。 2. 在左侧导航栏，选择"实例"，并在顶部菜单栏选择地域。 3. 在实例页面，单击目标网关实例名称。 4. 在左侧导航栏，选择"插件"，并在顶部菜单栏选择地域。 5. 单击"安装插件"，在安装插件页面的快捷导航处，选择要安装的插件类型或者搜索插件名称，单击"插件"卡片，在弹出的安装插件框中，单击"安装并配置"。 卸载插件 当您想要将插件彻底从网关上删除时，您可以选择卸载插件。有两种方式可以卸载插件： 注意 卸载插件时，如果存在启用的插件规则，请先停用插件再卸载；如果插件未启用，卸载插件会将配置的插件规则一并删除。

本章介绍端云协同客户端的DMS助手。 功能介绍 端云协同客户端内置了DMS助手，为数据库开发和管理提供智能化的辅助能力。 知识问答：对于数据库中的基础知识或专业术语，提供全面而详尽的解答。 SQL生成：支持用自然语言描述需求生成SQL，并可在DMS助手中一键执行，降低SQL编写门槛，提升开发效率。 SQL纠错 ：快速定位SQL错误并给出修复方案，并可在DMS助手中一键对比修改前后的SQL。 SQL补全：在SQL编辑框中输入时自动提供智能代码补全建议。 自定义模型：支持添加和管理第三方AI模型。 前提条件 安装并已启动端云协同客户端。 注意事项 添加自定义模型时请确认第三方模型支持OpenAI兼容协议。 添加自定义模型时请确保DMS客户端能够访问您配置的API地址。 操作步骤 1. 启动端云协同客户端。 2. 点击右上角的DMS助手图标。 添加自定义模型 自定义模型功能允许您在DMS助手中添加和管理第三方AI模型，扩展DMS的智能问答能力。通过配置自定义模型，您可以使用自己部署的或第三方服务商提供的大语言模型来辅助数据库管理工作。 模型自定义添加 ：支持添加符合OpenAI兼容协议的第三方AI模型，配置API地址、API密钥、模型名称后即可使用。 连接测试 ：保存前可进行连接测试，验证配置是否正确。 模型管理 ：支持启用/禁用、编辑、删除已添加的模型。 多模型切换 ：可在已配置的多个模型间自由切换使用。

本章介绍端云协同客户端的DMS助手。 功能介绍 端云协同客户端内置了DMS助手，为数据库开发和管理提供智能化的辅助能力。 知识问答：对于数据库中的基础知识或专业术语，提供全面而详尽的解答。 SQL生成：支持用自然语言描述需求生成SQL，并可在DMS助手中一键执行，降低SQL编写门槛，提升开发效率。 SQL纠错 ：快速定位SQL错误并给出修复方案，并可在DMS助手中一键对比修改前后的SQL。 SQL补全：在SQL编辑框中输入时自动提供智能代码补全建议。 自定义模型：支持添加和管理第三方AI模型。 前提条件 安装并已启动端云协同客户端。 注意事项 添加自定义模型时请确认第三方模型支持OpenAI兼容协议。 添加自定义模型时请确保DMS客户端能够访问您配置的API地址。 操作步骤 1. 启动端云协同客户端。 2. 点击右上角的DMS助手图标。 添加自定义模型 自定义模型功能允许您在DMS助手中添加和管理第三方AI模型，扩展DMS的智能问答能力。通过配置自定义模型，您可以使用自己部署的或第三方服务商提供的大语言模型来辅助数据库管理工作。 模型自定义添加 ：支持添加符合OpenAI兼容协议的第三方AI模型，配置API地址、API密钥、模型名称后即可使用。 连接测试 ：保存前可进行连接测试，验证配置是否正确。 模型管理 ：支持启用/禁用、编辑、删除已添加的模型。 多模型切换 ：可在已配置的多个模型间自由切换使用。

概述 API分组支持绑定域名。绑定域名后，可通过该域名访问分组下的API，但前提是该域名需指向该云原生网关实例。 操作步骤 1. 登录微服务引擎MSE云原生网关管理控制台，选择资源池。 2. 在左侧导航栏，选择云原生网关 > 网关列表，进入对应网关实例的控制台。 3. 在左侧导航栏，选择API托管 > 分组管理。 绑定域名 点击对应分组右侧省略号中的绑定域名，即可进入绑定域名弹窗。也可以在分组详情页中，点击域名模块的修改按钮进入。 云原生网关的API支持多环境隔离，提供两种路由方式：请求头路由环境和域名路由环境。两种方式可独立配置，也可同时使用。 请求头路由环境 ：启用后，通过在请求头中传入 XCaStagePROD/TEST/DEV，即可将请求路由到相应的环境。 域名路由环境 ：绑定域名到特定环境后，可通过该域名访问API，网关会自动将请求路由至对应的环境。 > 绑定域名也存在一定的约束： > > 基于请求头部区分环境时，每个环境可以不关联域名或者关联相同的域名； > 不基于请求头部区分环境时，每个环境必须关联至少一个域名且域名不能有重复； > 同一个分组最多支持5个域名 > 基于请求头部区分环境时，使用XCaStage请求头确定环境。其中环境名称分别为：生产PROD；测试TEST；开发DEV

专有宿主机为您提供优质的服务体验,本文带您了解专有宿主机的产品优势。 企业级安全与合规 专有宿主机上上独享宿主机物理资源，包括CPU、内存、网卡等物理资源，获得更高安全性。每台宿主机具备全局唯一的硬件标识（机器码），能够满足特定行业或企业内控中更为严格的安全合规与审计规范要求。 极致性能与稳定性 在共享宿主机环境中，您的云主机实例可能受到其他租户资源使用高峰的影响，导致性能波动。专有宿主机可以彻底消除了这一问题，保证您的业务负载是物理服务器上唯一的负载源，性能表现完全由您的业务特性决定，不会与其他用户发生的资源争抢行为，性能可预测。 灵活与可靠的部署 用户可在指定的专有宿主机上精确部署云主机实例，实现对计算资源物理位置的完全掌控。同时，系统提供自动部署功能，可根据系统预设策略自动选择最优宿主机，能够兼顾资源利用率与性能隔离需求。结合控制台便捷的资源创建与删除操作，以及镜像与备份服务提供的快速环境部署与恢复能力，提供灵活的编排与控制能力。 完整的资源可见性与拓扑管理 专有宿主机提供清晰的云主机宿主机资源映射视图，用户可直观查看云主机与底层专有宿主机的归属关系。帮助用户从基础设施层到应用层的全链路可视化管理，为运维决策与故障排查提供了关键依据。

本文为您介绍更换密钥对的具体操作。 问题描述 更换云主机密钥对后，无法使用新的密钥对登录云服务器。 处理方法 1. 先登录Linux云主机上制作密钥对，登录到云主机，执行以下命令，生成密钥对。 [root@host ~]$ sshkeygen > authorizedkeys 4. 修改.ssh、authorizedkeys文件权限。 [root@host .ssh]$ chmod 600 authorizedkeys [root@host .ssh]$ chmod 700 ~/.ssh 5. (可选)打开密钥登录功能。 RSAAuthentication yes PubkeyAuthentication yes 6. 打开允许root用户登录配置。 PermitRootLogin yes 7. 完成上述配置后，重启sshd服务，以密钥方式登录成功后，再禁用密码登录。 PasswordAuthentication no 8. 重启ssh服务。 systemctl restart sshd

本页为您介绍其他云MySQL迁移到RDS for MySQL时,其他云MySQL实例的准备工作。 网络 VPC网络安全策略放通 需要在其他云数据库实例所在的VPC放通【DTS实例的配置流程】中配置的公网IP的访问权限，一般包括网络ACL和实例安全组，具体可参考各厂商云数据库官方文档进行操作。 数据库添加白名单 数据库需要添加【DTS实例的配置流程】中配置的公网IP远程访问数据库的权限。不同类型的数据库添加白名单的方法可能不一样，具体可参考各数据库官方文档进行操作。 数据库账号及权限 数据库账号及权限要求，根据源库版本不同而不同，下面分开进行描述。 源库为MySQL 5.7 所需权限 1. 对MySQL库的SELECT权限。 2. 对待迁移库的SELECT,EVENT,TRIGGER权限。 3. 部分全局权限。 RELOAD LOCK TABLES REPLICATION CLIENT REPLICATION SLAVE SHOW VIEW PROCESS 4. 如果是整实例迁移，需要对所有数据库的查询权限。 参考赋权语句 sql GRANT SELECT ON mysql. TO '迁移账号'@'%'; GRANT SELECT,EVENT,TRIGGER ON 待迁移的库. TO '迁移账号'@'%'; GRANT RELOAD,LOCK TABLES,REPLICATION CLIENT,REPLICATION SLAVE,SHOW VIEW,PROCESS ON . TO '迁移账号'@'%'; 源库为MySQL 8.0 所需权限 1. 对MySQL库的SELECT权限。 2. 对待迁移库的SELECT,EXECUTE,EVENT,TRIGGER权限。 3. 部分全局权限。 RELOAD PROCESS LOCK TABLES REPLICATION CLIENT REPLICATION SLAVE SHOW VIEW SHOWROUTINE 4. 如果是整实例迁移，需要对所有数据库的查询权限。

吊销USBKey 1. 登录云堡垒机系统。 2. 选择“用户 > USBKey”，进入USBKey列表页面。 3. 单击“操作”列的“吊销”，可吊销该USBKey。 4. 勾选多个USBKey，单击列表下方的“吊销”，可批量吊销USBKey。 动态令牌管理 用户帐号需配置了“动态令牌”多因子认证，才能为用户帐号签发动态令牌。 动态令牌需要提前申购。目前云堡垒机支持坚石诚信ETZ201型号，外观如图651。 坚石诚信ETZ201示例 前提条件 已申购硬件令牌。 已获取“用户”模块管理权限。 已获取“动态令牌”模块管理权限。 签发动态令牌 一个动态令牌只能签发给一个用户使用。 1. 登录云堡垒机系统。 2. 选择“用户 > 动态令牌”，进入动态令牌列表页面。 3. 单击“签发”，新建签发令牌标识。 4. 配置令牌标识信息。 签发动态令牌参数说明 参数 说明 :: 令牌标识 动态令牌条形码。 秘钥 动态令牌的厂商提供，与“令牌标识”一一对应的唯一“密钥”。 关联用户 选择已配置“动态令牌”多因子认证的用户帐号。 5. 单击“确定”，返回动态令牌列表，即可查看已签发令牌标识。 关联用户登录云堡垒机系统时，在登录界面输入用户登录名、用户密码，以及动态令牌上动态口令，即可完成动态令牌方式登录。

本文为您介绍如何打开和关闭自动调配开关，以及如何创建和删除SCIM密钥 约束与限制 1. 出于安全原因，已创建的访问令牌不能再次显示，但您可以生成新的访问令牌。 2. 当前最多支持 3 个访问令牌。 3. 需要先打开自动调配开关，随后才能进行SCIM密钥的创建。 操作步骤 打开自动调配 1. 登录云SSO控制台。 2. 在左侧导航栏，点击“管理设置”。 3. 在“SCIM”页签下，点击“自动调配”，切换到打开状态。 创建SCIM密钥 1. 登录云SSO控制台。 2. 在左侧导航栏，点击“管理设置”。 3. 在下方“访问令牌”处的右侧，点击“生成新令牌”。 4. 在弹出的“生成新访问令牌”对话框中，复制访问令牌，然后点击关闭。 删除SCIM密钥 1. 登录云SSO控制台。 2. 在左侧导航栏，点击“管理设置”。 3. 在下方“访问令牌”处，找到不再使用的SCIM密钥，点击右侧的“删除”操作。 注意：删除后，使用该SCIM密钥的同步任务将会失败。您可以通过最近使用日期确认SCIM密钥的使用情况。 关闭自动调配 1. 登录云SSO控制台。 2. 在左侧导航栏，点击“管理设置”。 3. 在“SCIM”页签下，点击“自动调配”，切换到关闭状态。 注意：关闭自动调配开关，会删除已配置的所有访问令牌，请确认现存的SCIM密钥已不再使用。

本节介绍了如何在控制台新增端口接入规则。 使用场景 如果您需要为非网站类业务提供DDoS高防（边缘云版）服务。您可以在DDoS高防（边缘云版）控制台通过TCP、UDP端口接入配置完成业务接入。 注意 相同域名，无法同时进行域名接入（HTTP/HTTPS）和端口接入(TCP/UDP)。 前提条件 已开通DDoS高防（边缘云版）。 不支持80、8080、443、8443端口接入配置，关于上述接口的防护，建议您使用域名接入。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【业务接入】【端口接入】页面。 3.点击右上角【新增规则】按钮。 新增规则配置说明： 配置项 说明 协议类型 支持TCP、UDP协议。 转发端口 即为业务端口，支持配置端口、端口段。 若配置多个转发端口，则对应源站端口、源站均为相同。 部分端口不可用（不可用端口会在控制台更新）。 源站端口 选择端口接入，可支持配置多个，用分号隔开。 选择端口段接入，不可配置，源站端口跟随请求端口进行回源。 回源转发模式 默认为轮询模式。 源站 支持配置IPV6、IPV4、域名作为源站。 支持源站配置20个。 4.配置完成后，点击【确认】按钮，新增规则将变成“配置中”状态。 5.进入后台自动化配置流程（正常情况15分钟以内），流程结束后会自动变成“配置完成”状态。若“配置中”状态持续时间过长，可创建工单获取支持。

本节为您介绍云迁移服务CMS功能特性。 云迁移服务模块 服务器迁移服务模块 数据库迁移服务模块 数据迁移服务模块

本节介绍了云容器引擎节点类常见问题。 容器集群新增节点时的问题与排查方法？ 若是通过集群节点扩容，可在集群节点列表中查看新增的节点概况； 若是通过节点池新增节点，可在节点池详情的伸缩活动中看操作记录。 如何重置容器集群中节点的密码？ 可在集群节点详情页面有重置密码按钮，需两次输入密码校验正确后才生效。 注意 节点重置密码等同于云主机重置密码，请务必保存好密码。 节点重置密码后如何登陆云主机？ 需购买并绑定同一VPC内的弹性IP后，可SSH登陆云主机操作。 容器集群节点中安装kubelet的端口主要有哪些？ 容器集群节点中安装kubelet的端口主要有如下几个： 10250 –port：kubelet服务监听的端口，api会检测他是否存活。 10248 –healthzport：健康检查服务的端口。 10255 –readonlyport：只读端口，可以不用验证和授权机制，直接访问。 4194 –cadvisorport：当前节点cadvisor运行的端口。 容器集群的节点可以更改IP吗？ 不支持修改私网IP：当前容器的集群中把节点私网IP作为kubernetes node名称，kubernetes node名称不支持修改，修改后会导致节点不可用及容器网络异常等故障，所以不支持更换节点私网IP。 支持修改公网IP：节点上的公网IP可以在云主机控制台更换。 如何更改节点Pod数量？ 不同集群单节点支持的最大Pod数是有限制的，默认为110。 登陆到节点上，修改/var/lib/kubelet/config.yaml中配置。 修改参数maxPods为指定的值。 执行systemctl restart kubelet，重启kubelet。

Web应用防火墙（原生版） Web应用防火墙（原生版）（CTWAF，Web Application Firewall，简称WAF）基于三大引擎（安全模型检测引擎+智能语义检测引擎+机器学习检测引擎），结合设备指纹、无感验证码、动态人机挑战、动态环境验证、随机化混淆策略、AI驱动的实时决策等关键技术，支持多种常见编码自动还原能力，提供深度攻击防逃逸功能，构建完整的动态防御闭环，有效检测 SQL 注入、XSS 等基于形式语言的攻击类型，有效应对自动化工具、0day漏洞攻击等高风险威胁。打造专业的Web安全防护能力。可为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。更多信息请参考++Web应用防火墙++ 配置方式： 如果您拥有弹性IP、公网NAT网关、弹性负载均衡等网络资产，并需要进行公网流量出入的互联网边界防护需求，您可以在云防火墙的“互联网边界开关”页面将这些网络资产接入云防火墙，并配置相关的互联网边界访问控制规则。具体操作，请参见++防火墙开关互联网边界防火墙++、++访问控制配置互联网边界防护规则++ 如果您拥有对等连接、云间高速、云专线等网络资产，并需要针对内网互访进行VPC边界防护，您可以在云防火墙的“VPC边界开关”页面将内网互访流量接入云防火墙，并配置相关的VPC边界访问控制规则。具体操作，请参见++防火墙开关VPC边界防火墙++、++访问控制配置VPC边界防护规则++

弹性公网IP地址 弹性网卡绑定弹性公网IP，用于公网通信。使用弹性IP时会将网卡的私网IP NAT成为公网IP，以此来访问公网或者被公网访问。 多队列 网卡多队列是指实例规格支持的最大网卡队列数。单台ECS实例vCPU处理网络中断存在性能瓶颈时，您可以将实例中的网络中断分散给不同的vCPU处理，从而提升性能。 修改内网IP/切换VPC 云主机、物理机的主网卡提供以下能力：修改为同子网下其他IP、切换同VPC下的其他子网、切换至其他VPC。 您可以通过修改云主机、物理机服务器的主网卡IP或者切换VPC、子网来实现迁移功能，在网络规划存在冲突或者需要隔离某个服务器时，可以使用此功能。 注意 弹性网卡仅适用于可用区资源池，不同资源池列表见 多网卡场景下的默认路由通告 单台云主机或弹性裸金属实例，如果存在绑定多张网卡的情况下，默认只有主网卡会通告默认路由信息。如需启用辅助网卡的默认路由通告能力，请提工单申请。 说明 开启辅助网卡的路由通告功能后，系统会自动通告IPv4、IPv6的默认路由 IPv4默认路由：通过DHCP协议下发。用户可通过重启云服务器的网络服务，来触发DHCP的续约，以使新路由立即生效。 IPv6默认路由：通过路由器通告（RA）方式下发，通常会周期通告，不需要用户重启网络服务。 云主机操作系统接收到辅助网卡通告的路由，具体如何在操作系统内生成路由规则，依赖操作系统本身的配置；

配置防护策略后，您可通过策略助手快速查看防护规则的命中情况，及时调整防护规则。 通过策略助手查看防护信息 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制> 策略助手”，进入“策略助手”页面。 5. 查看防火墙实例下防护规则的统计信息。 策略看板：查看指定时间段内防护策略（防护规则和黑白名单）命中/放行/阻断的总数，以及高频命中的放行/阻断策略。 策略命中情况：查看指定时间段内指定规则的命中详情。 可视化统计：查看指定时间段内访问规则拦截的攻击事件中指定参数的TOP 5排行，参数说明请参见下表。单击单条数据查看策略命中详情。 参数 说明 TOP命中拦截策略 命中且执行拦截的策略。 TOP出云拦截IP 出方向流量中被拦截的IP，切换“源”或“目的”查看源IP或目的IP。 TOP入云拦截IP 入方向流量中被拦截的IP，切换“源”或“目的”查看源IP或目的IP。 TOP拦截目的端口 拦截的目的端口，切换“出云”或“入云”查看出方向或入方向。 TOP拦截IP地区 拦截的IP所属地区，切换“出云的目的”或“入云的源”查看出方向目的IP或入方向的源IP。 长期未命中策略：查看一周、一个月、三个月或六个月内启用后无命中的策略，建议您及时修改或删除。

此小节介绍云堡垒机的系统日志。 运维人员登录云堡垒机系统，执行配置权限、审计管理等操作后，审计管理员将会收到系统日志记录。 查看系统日志 通过系统日志记录，可查询详细的系统登录和操作记录，在线审计系统日志。系统日志包括系统登录日志和系统操作日志两部分。 前提条件 已获取“系统登录日志”或“系统操作日志”模块管理权限。 查看系统登录日志 1 登录云堡垒机系统。 2 选择“审计 > 系统日志”，选择“系统登录日志”页签，进入系统日志列表页面。 系统登录日志 3 查询系统登录日志。 快速查询：在搜索框中输入关键字，根据用户、来源IP、日志内容、起止时间等快速查询系统登录日志。 高级搜索：在相应属性搜索框中分别关键字，精确查询系统登录日志。 4 根据筛选条件，即可查看到目标登录日志。 查看系统操作日志 1 登录云堡垒机系统。 2 选择“审计 > 系统日志”，进入系统日志列表页面。 3 选择“系统操作日志”页签，进入系统操作日志列表页面。 4 查询系统操作日志。 快速查询：在搜索框中输入关键字，根据用户、来源IP、日志内容、起止时间等快速查询系统操作日志。 高级搜索：在相应属性搜索框中分别关键字，精确查询系统操作日志。 5 根据筛选条件，即可查看到目标操作日志。 导出系统日志 运维人员登录云堡垒机系统，执行配置权限、审计管理等操作后，审计管理员将会收到系统日志记录。通过系统日志记录，可查询详细的系统登录和操作记录，在线审计系统日志。系统日志包括系统登录日志和系统操作日志两部分。

约束限制 目前云堡垒机系统只适配Tomcat的Java Keystore格式证书文件，即后缀为jks的证书文件。 上传的证书文件大小不超过20KB，且证书文件包含证书密码。 无证书密码将不能验证上传证书，SSL证书文件无法上传到系统。 操作步骤 1. 登录云堡垒机系统。 2. 选择“系统 > 系统配置 > 安全配置”，进入系统安全配置管理页面。 3. 在“Web证书配置”区域，单击“编辑”，弹出Web证书更新窗口。 4. 上传下载到本地的证书文件。 5. 证书文件上传成功后，输入keystore密码，证书密码验证文件。 6. 单击“确定”，返回安全配置管理页面，查看当前系统Web证书信息。 7. 证书信息更新后，为了使证书生效，需要重启堡垒机系统。 配置手机令牌类型 手机令牌可用来生成动态口令的手机客户端软件。云堡垒机系统支持通过绑定手机令牌，对用户登录进行多因子身份认证，用户配置“手机令牌”多因子认证后，需同时输入用户密码和6位手机令牌验证码，才能登录云堡垒机系统。 本小节主要介绍如何设置系统手机令牌类型。 约束限制 目前仅支持两种手机令牌类型： 内置手机令牌：微信小程序手机令牌。 RADIUS手机令牌：APP版手机令牌，包括Google Authenticator和FreeOTP。 系统手机令牌类型，需与实际绑定手机令牌类型一致。 前提条件 用户已获取“系统”模块管理权限。 操作步骤 1. 登录云堡垒机系统。 2. 选择“系统 > 系统配置 > 安全配置”，进入系统安全配置管理页面。 3. 在“手机令牌配置”区域，单击“编辑”，弹出手机令牌类型配置窗口。 4. 选择系统手机令牌类型。 5. 单击“确定”，返回安全配置管理页面，查看当前系统手机令牌类型。 配置USB Key厂商 本小节主要介绍如何配置系统USB Key厂商。

问题描述 在安装Windows操作系统的本地PC上，通过远程桌面RDP协议（如MSTSC方式）连接Windows云服务器时，报错提示：出现身份验证错误，要求的函数不受支持。 如果报错信息中仅提示：出现身份验证错误，要求的函数不受支持。请参考“处理方法”部分解决该问题。 如果报错信息中附加提示“这可能是由于CredSSP加密数据库修正”，如下图所示，那么可能原因是微软于2018年3月发布安全补丁，该安全补丁会影响RDP连接CredSSP，从而导致通过RDP协议访问云服务器时连接失败。 处理方法 1. 登陆云服务器。 2. 打开“开始”菜单，右键单击“计算机”，选择“属性”，左侧导航栏选择“远程设置”。 3. 在“远程”页签中“远程桌面”栏，选择“允许远程连接到此计算机”。

本章节主要向您介绍如何将路由表关联至子网。 操作场景 子网创建完成后，系统会将子网关联至VPC默认路由表。如果您需要为子网使用特定路由，则可以将子网关联至自定义路由表。 如果将子网关联至自定义路由表，那么自定义路由表仅影响子网的出流量走向，入流量仍然匹配默认路由表。 注意 路由表和子网关联后，该路由表的路由规则将对该子网生效，子网下的云资源将启用新的路由规则，请确认对业务造成的影响，谨慎操作。 约束与限制 子网必须关联路由表，一个子网只能关联一个路由表。 一个路由表可以同时关联多个子网。 操作步骤 1. 登录管理控制台。 2. 在系统首页，选择“网络 > 虚拟私有云”。进入虚拟有云列表页面。 3. 在左侧导航栏，选择“虚拟私有云 > 路由表”，进入路由表列表页面。 4. 在路由表列表中，单击操作列的“关联子网”。 5. 选择需要关联的子网。 6. 单击“确定”，完成关联。

本文向您介绍如何解决T4 GPU设备显示异常的问题。 问题描述 G6型或PI2型规格的GPU弹性云主机中，执行nvidiasmi命令查看GPU设备状态或使用情况时，有如下问题： 单卡GPU弹性云主机上，报错“No devices were found”。 多卡GPU弹性云主机上显示卡数目不全，执行“lspcigrep i nvidia“显示GPU卡数目正常。 可能原因 NVIDIA Tesla T4 GPU默认使用并开启GSP Firmware，导致GPU无法识别。 处理方法 1. 执行以下命令，移除NVIDIA内核模块。 plaintext rmmod nvidiadrm rmmod nvidimodeset rmmod nvidia 2. 执行以下命令，关闭GSP Firmware开关，并载入NVIDIA内核模块。 plaintext modprobe nvidia NVregEnableGpuFirmware0 modprobe nvidiadrm modprobe nvidiamodeset 以上操作只对当前运行的系统生效。如需持久化设置，需要在配置文件/etc/modprobe.d/nvidia.conf中增加一行“options nvidia NVregEnableGpuFirmware0“。 3. 如果问题依然存在，请联系客服，由技术支持人员处理。

维度 子维度 CCE Turbo集群 CCE集群 集群 定位 面向云原生2.0的新一代容器集群产品，计算、网络、调度全面加速 标准版本集群，提供商用级的容器集群服务 集群 节点形态 支持虚拟机和物理机混合 支持虚拟机和物理机混合 网络 网络模型 云原生网络2.0 ：面向大规模和高性能的场景。 组网规模最大支持2000节点 云原生网络1.0 ：面向性能和规模要求不高的场景。 容器隧道网络模式 VPC网络模式 网络 网络性能 VPC网络和容器网络融合，性能无损耗 VPC网络叠加容器网络，性能有一定损耗 网络 容器网络隔离 Pod可直接关联安全组，基于安全组的隔离策略，支持集群内外部统一的安全隔离。 隧道网络模式：集群内部网络隔离策略，支持Networkpolicy。 VPC网络模式：不支持 安全 隔离性 物理机：安全容器，支持虚机级别的隔离 虚拟机：普通容器 普通容器，Cgroups隔离

本小节介绍日志审计(原生版)产品介绍类常见问题。 日志审计（原生版）是什么？ 日志审计（原生版）系统能够实时不间断地采集汇聚企业中不同厂商不同种类的安全设备、网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行安全分析及合规审计，及时、有效的发现异常安全事件及违规事件。 系统提供了众多基于日志分析的强大功能，如安全日志的集中采集、分析挖掘、合规审计、实时监控及安全告警等，系统配备了全球IP归属及地理位置信息数据，为安全事件的分析、溯源提供了有力支撑，综合日志审计分析系统能够同时满足企业实际运维分析需求及审计合规需求，是企业日常信息安全工作的重要支撑平台。 日志审计（原生版）市场需求有哪些？ 日志审计需求主要源自于两个方面的驱动力： 一方面，从企业和组织自身安全的需要出发，日志审计能够帮助用户获悉信息系统的安全运行状态，识别针对信息系统的攻击和入侵，以及来自内部的违规和信息泄露，能够为事后的问题分析和调查取证提供必要的信息； 另一方面，从国家法律法规、行业标准和规范的角度出发，日志审计已经成为了满足合规与内控需求的必备功能。 日志审计（原生版）适用范畴？ 日志审计（原生版）系统提供了众多基于日志分析功能，系统具有广泛的应用范围和客户群，在政府、企业、电信、金融、电力、公安、军工、等行业均有成功的应用，满足企业实际运维分析需求及审计合规需求，是企业日常信息安全工作的重要支撑平台。

规划协作 接下来，我们要创建分析Claw、文案Claw、美工Claw三个Agent的协同关系。 在创建的普通表格Claw电商工作流中，创建3个sheet，分别用于：用户输入【产品】、分析Claw输入【客群分析】、文案Claw根据客群分析输出宣传文案。 规划工作区域： sheet1的A列由用户输入，下发对应商品的任务。 sheet1的B列由用户输入，下发对应美术素材的要求，在此我们选择了缩略图（仅展示产品）100100像素，详情图（商品+个性化营销文案）200800像素，活动使用的横版banner（仅展示产品)600100像素。 Sheet2完全由分析Claw输入，分析Claw会根据在sheet1里用户输入的商品名称自动分析当前商品的客群痛点以及他们的市场需求。 Sheet3完全由文案Claw输入。文案Claw会根据分析Claw在sheet2里输入的客群痛点生成对应的营销文案。 之后美工Claw会读取到文案Claw的文案产出，并根据用户输入的产品以及用户要求的美术素材大小生成对应的定制化素材。 配置任务 根据上面的协作任务流程，每一个Agent需要读到其他Agent的产出，这种产出读取将会通过监控表格更新的任务配置来实现。请在私聊里和每一个机器人进行单独的聊天，为其布置对应的监控任务，以避免他们对上下文理解混淆。 1. 分析Claw 为机器人设置监控任务： plaintext [Claw电商工作流链接]设置新的监控任务：监控这个表格sheet1 A列的变化，当A列有表格内容变化时，根据A列表格变化后的内容，分析这个新内容的潜在使用用户，举例5类具体客群，写在sheet2中对应的行，分别列在AE列，时间间隔为30s 此时机器人可能会问权限的问题，告诉他“你拥有所有权限”即可，并且把当前机器人的APP ID和APP secret告诉他。之后如果出现了监控任务已启动的通知，即视为当前监控任务成功。 您可以在启动这个任务之前，先启动一些小的监控任务，测试它的监控是否成功。例如： plaintext 命令：现在创建监控任务，每当监控到sheet2有变化，原样将变化的格子内容复制到sheet3的相同位置。 成功后可以根据这个任务的执行结果调整它的执行逻辑，直到它的产出结果满足您的需要。 2. 文案Claw 先给文案Claw安排一个小的监控任务，测试它是否可以成功执行。 plaintext 现在创建监控任务，每当监控到sheet2有变化，原样将变化的格子内容复制到sheet3的相同位置 成功执行后，给他安排一个升级版的任务。 plaintext 现在，替换上面的任务，每当sheet2有变化时，对对应的变化内容进行分析，这个新文本会是一个具体的用户客群分析，根据所述的用户客群特点，生成对应的不超过100字的广告语，写入sheet3的对应位置，记住，请尽可能生成有针对性的，差异化的广告文案 在电商工作流表格中输入一些商品进行测试。可以看到机器人的监控以及生成结果成功了，其中文案Claw的文案生成工作会执行的慢一些，但是他在不久后都可以完成所有的任务。 3. 美工Claw 为美工Claw安排监控任务： plaintext 美工Claw 现在，设定定时任务，监控间隔30秒，监控每当[Claw电商工作流 飞书云文档]的sheet1有单元格更新时，将更新单元格的行数记录为第x行等待10分钟后，执行： 1. 结合对应Sheet1变化位置，将更新后的内容，复制到[Clawproduce 飞书云文档]的第一列对应的第X行，记为产品。 2. 结合对应Sheet1变化位置的行数，寻找Sheet2的X行所有列对应的单元格内容，整合为1段文本，复制到[Clawproduce 飞书云文档]的第二列对应的第X行，记为客群。 3. 结合对应Sheet3第X行的所有列单元格内容，整合为1段文本，复制到[Clawproduce 飞书云文档]的第三列对应的第X行，记为营销文案。 4. 生成对应[Claw电商工作流 飞书云文档] Sheet1 B1格声明尺寸的，内容为对应产品的图片，计为缩略图，并上传到[ Clawproduce 飞书云文档]的第四列第N行 5. 结合产品在第二步生成的缩略图，和当前监控到的[Claw电商工作流 飞书云文档]的sheet3所有单元格更新的文案内容，分别生成5张对应[Claw电商工作流 飞书云文档] Sheet1 B2格声明尺寸的图片，生成后上传到 [Clawproduce 飞书云文档]的第五列第X行 结合产品内容和产品在第二步生成的缩略图，生成对应[Claw电商工作流 飞书云文档 ]Sheet1 B3格声明尺寸的图片，生成后上传到[ Clawproduce 飞书云文档]的第六列第N行 之后，美工Claw会进行尝试，并提示监控任务成功。