本节介绍如何配置VPC边界防护的黑白名单规则。 添加黑白名单规则 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“访问控制 > VPC边界规则”，进入VPC边界规则页面。 3. 选择“黑名单规则”或“白名单规则”页签，单击“添加黑名单”或“添加白名单”，在弹出的添加黑白名单页面中，填写规则信息。 参数说明如下： 参数名称 参数说明 地址方向 可选择“源地址”或“目的地址”。 源地址：访问流量中的发送数据包的IP地址。 目的地址：访问流量中的接收数据包的IP地址。 名称 自定义规则名称。名称长度不能超过100个字符。 IP地址 支持输入IPv4地址或使用已添加的地址簿： 输入IPv4：使用“/”隔开掩码，如192.168.2.0/24，0.0.0.0/0表示任意地址。 地址簿选择：通过下拉框选择已添加的IP地址簿，添加IP地址簿请参见添加IP地址簿。 描述 （可选）自定义规则描述。 4. 以上所有的字段填写完毕后，点击“确认”时，需要校验这条规则加入后，是否超过客户剩余的规格，若未超过则生成相应的防护规则。 删除黑白名单 单击黑白名单列表操作中的“删除”，弹出删除确认框，确定后删除该黑白名单规则，若是“取消”则关闭对话框。

类型 操作限制 （需要人为配合） 注意事项 下表中的环境要求均不允许在灾备过程中修改，直至灾备结束。 业务数据库进行的参数修改不会记录在日志里，所以也不会同步至灾备数据库，请在灾备数据库升主后调整参数。 外部数据库创建的高权限用户若超出RDS MySQL支持范围，不会同步至灾备数据库，如super权限。 不支持外键级联操作。 不支持业务数据库恢复到之前时间点的操作(PITR)。 不支持强制清理binlog，否则会导致灾备任务失败。 网络中断在30秒内恢复的，不影响数据灾备，超过30秒，则可能会导致灾备任务失败。 若专属计算集群不支持4vCPU/8G或以上规格实例，则无法创建灾备任务。 支持断点续传功能，但对于无主键的表可能会出现重复插入数据的情况。 存在灾备任务时，不允许创迁移或者同步任务。 灾备不支持多写的多主模式，如果外部数据库没有提供superuser权限，则外部数据库为备时无法设置只读，请严格确保备节点的数据只来自主节点的同步，任何其他地方的写入将会导致备库数据被污染，使得灾备出现数据冲突而无法修复。 如果外部数据库为备且为只读，该只读只有superuser权限的账号可以写入数据，其他账号无法写入，但仍然需要确保备节点通过这个账号写入任何数据导致备库数据被污染，使得灾备出现数据冲突而无法修复。 业务数据库和灾备数据库为RDS for MySQL实例时，不支持带有TDE特性并建立具有加密功能表。 操作须知 数据灾备过程中，如果修改了业务库用于灾备的密码，会导致该灾备任务失败，需要在数据复制服务控制台将上述信息重新修改正确，然后重试任务可继续进行数据灾备。一般情况下不建议在灾备过程中修改上述信息。 数据灾备过程中，如果修改了业务库端口，会导致该灾备任务失败。一般情况下不建议在灾备过程中修改业务库端口。 数据灾备过程中，如果业务库为非本云关系型数据库实例，不支持修改IP地址。本云关系型数据库实例，对于因修改IP地址导致灾备任务失败的情况，系统自动更新为正确的IP地址，重试任务可继续进行同步。一般情况下，不建议修改IP地址。 数据灾备过程中，不建议做删除类型的DDL操作，可能会引起任务失败。 禁止源端在灾备任务执行主备倒换过程中进行写入操作，否则会出现数据污染或者表结构不一致，并最终导致业务端和灾备端数据不一致。

为帮助您更好地管理Kubernetes集群内的节点，云容器引擎CCE引入节点池概念。节点池是集群中具有相同配置的一组节点，一个节点池包含一个节点或多个节点。 您可以在CCE控制台中创建新的自定义节点池，借助节点池基本功能方便快捷地创建、管理和销毁节点，而不会影响整个集群。新节点池中所有节点的参数和类型都彼此相同，您无法在节点池中配置单个节点，任何配置更改都会影响节点池中的所有节点。 在云容器引擎中，创建集群时配置的节点参数和类型将成为默认节点池“DefaultPool”，该节点池不可编辑、删除或迁移，也不支持扩容、弹性伸缩。 通过节点池功能您还可以实现节点的动态扩缩容： 当集群中出现因资源不足而无法调度的实例（Pod）时，自动触发扩容，为您减少人力成本。 当满足节点空闲等缩容条件时，自动触发缩容，为您节约资源成本。 本章节介绍节点池在云容器引擎（CCE）中的工作原理，以及如何创建和管理节点池。 节点池架构 通常情况下，节点池内的节点均具有如下相同属性： 节点操作系统。 节点Kubernetes组件启动参数。 节点自定义启动脚本。 节点“K8S标签”及“Taints”设置。 此外，CCE将同时围绕节点池扩展以下属性： 节点池级别操作系统。 节点池级别每节点的Pod数上限。 应用场景 当业务需要使用大规模集群时，推荐您使用节点池进行节点管理，以提高大规模集群易用性。 下表介绍了多种大规模集群管理场景，并分别展示节点池在每种场景下发挥的作用： 场景 作用 集群存在较多异构节点（机型配置不同） 通过节点池可规范节点分组管理。 集群需要频繁扩缩容节点 通过节点池可降低操作成本。 集群内应用程序调度规则复杂 通过节点池标签可快速指定业务调度规则。 集群内节点日常维护 通过节点池可便捷操作Kubernetes版本升级、Docker版本升级。 功能点及注意事项 功能点 功能说明 注意事项 创建节点池 新增节点池， 暂不支持包年包月类型。 单个集群不建议超过100个节点池。 删除节点池 删除节点池时会先删除节点池中的节点，原有节点上的工作负载实例会自动迁移至其他节点池的可用节点。 如果工作负载实例具有特定的节点选择器，且如果集群中的其他节点均不符合标准，则工作负载实例可能仍处于无法安排的状态。 节点池开启弹性伸缩 开启弹性伸缩后，节点池将根据集群负载情况自动创建或删除节点池内的节点。 节点池中的节点建议不要放置重要数据，以防止节点被弹性缩容，数据无法恢复。 节点池关闭弹性伸缩 关闭弹性伸缩后，节点池内节点数量不随集群负载情况自动调整。 / 调整节点池大小 支持直接调整节点池内节点个数。若减小节点数量，将从现有节点池内随机缩容节点。 开启弹性伸缩后，不建议手动调整节点池大小。 调整节点池配置 可修改节点池名称、节点个数、K8S标签、Taints及资源标签。 修改K8S标签和Taints会对节点池内节点全部生效，可能会引起Pod重新调度，请谨慎变更。 添加已有节点 可添加不属于集群的节点到节点池。要求如下： 待添加节点需与CCE集群在同一虚拟私有云和子网内。 实例未被其他集群使用且实例与节点池配置相同（机型、计费模式等）。 无特殊情况时，不建议添加已有节点，推荐直接新建节点池。 移出节点池内节点 可以将同一个集群下某个节点池中的节点迁移到默认节点池（defaultpool）中 暂不支持将默认节点池（defaultpool）中的节点迁移到其他节点池中，也不支持将自定义节点池中的节点迁移到其他自定义节点池。 拷贝节点池 可以方便的拷贝现有节点池的配置，从而创建新的节点池。 配置kubernetes参数 通过该功能您可以对核心组件进行深度配置。 本功能仅支持在v1.15及以上版本的集群中对节点池进行配置，V1.15以下版本不显示该功能。 默认节点池DefaultPool不支持修改该类配置。 将工作负载部署到特定节点池 在定义工作负载时，您可以间接的控制将其部署在哪个节点池上。 例如，您可以通过CCE控制台中工作负载页面的“调度策略”设置工作负载与节点的亲和性，强制将该工作负载部署到特定节点池上，从而实现该工作负载仅在该节点池中的节点上运行的目的。如果您需要更好地控制工作负载实例的调度位置，您可以使用调度策略概述章节中关于工作负载与节点的亲和或反亲和策略相关说明。 您也可以为容器指定资源请求，工作负载将仅在满足资源请求的节点上运行。 例如，如果工作负载定义了需要包含四个CPU的容器，则工作负载将不会选择在具有两个CPU的节点上运行。

本节为Oracle RAC搭建最佳实践做产品介绍、系统及软件版本说明。 场景介绍 Oracle RAC（real application clusters，“实时应用集群”）是一个具有共享缓存架构的集群数据库，它克服了传统的无共享方法和共享磁盘方法的限制，为您的所有业务应用提供了一种具有高度可扩展性和可用性的数据库解决方案。 天翼云弹性裸金属具备物理机级别的资源隔离，同时具备云实例的弹性扩展属性，您可以使用天翼云弹性裸金属搭建高可用的Oracle RAC集群。 系统及软件版本说明 本示例使用的操作系统为CentOS 7.6，Oracle RAC的软件版本为19c。由于Oracle软件为付费产品，需要用户自行购买付费。 RAC是real application clusters的缩写，译为“实时应用集群”，是Oracle数据库中采用的新技术，是高可用性的一种，也是Oracle数据库支持网格计算环境的核心技术。 注意 Oracle RAC部署和运维较为复杂，本文仅针对在天翼云弹性裸金属上进行Oracle RAC集群部署进行操作指导。如涉及线上数据的相关变更，建议专业Oracle DBA进行操作。

本节介绍如何购买智算安全专区。 前提条件 已注册天翼云账号并完成实名认证。 大模型安全卫士 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 智算安全专区 > 大模型安全卫士”。 4. 在页面右上角，单击“立即购买”。 5. 在产品订购页面，配置区域 、可用区 、虚拟私有云 、子网、CPU架构 。 6. 选择规格和购买数量。 7. 选择“购买时长”，拖动时间轴设置购买时长。 说明 支持开启“自动续订”，当服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 8. 确认参数配置无误后，阅读《天翼云智算安全专区服务协议》，并勾选“我已阅读，理解并接受《天翼云智算安全专区服务协议》”，单击“立即购买”。 9. 进入“付款”页面，完成付款。

多活数据面性能指标如何？ 应用容灾多活协同其他云产品，用户可以通过查阅天翼云官方文档，了解使用到的产品组件指定规格实例的性能指标。 对于引入多活探针的性能变化，同城场景RT基本没增长，异地场景RT约有1~10ms增长，取决于具体业务与物理距离。 业务如何尽可能平滑地过渡到双活架构？ 业务应用从原有架构向双活扩展时，应以标准化的多环境多步骤的流程进行渐进式迭代，尽可能避免产生大范围影响，从而实现平滑过渡。 多环境 ： 应用发布按标准的日常、预发、灰度、生产等流程进行上线。 多步骤 ： 1. 分析业务现状，明确流量、数据和代码改造点，包括服务拆分、数据拆分、流量染色等。 2. 规划物理架构，开通目标区域、可用区、网络和中间件等资源。 3. 完成架构升级，根据不同改造点兼容性，业务原集群多版本迭代更新。 4. 部署双活集群，对新集群进行复影流量、灰度流量等业务正确性验证。 5. 应用分层切换，微服务、消息、数据库等组件切换多活规则。

本节主要介绍挂起卷。 在“卷管理”页面，选择上云卷，点击“操作”>“挂起”，可以挂起HBlock上云卷。 挂起卷适用于“多集群轮流写入同一上云卷”的场景，例如：A集群把卷挂起后，B集群立即原地还原并写入新数据；待B集群再次挂起，A集群恢复卷即可直接看到B集群的最新写入，实现“一写一挂、交替接管”。 注意 挂起后将立即冻结该卷的所有读写请求。请确保卷的所有数据已持久化，即如果卷已经被客户端挂载，需确保客户端的数据都已经同步到卷上。恢复前，依赖此卷的业务将不可用。 卷在挂起状态下，仅允许挂起、修改卷配置、修改上云配置、恢复、删除、查询。 卷处于挂起、挂起中、挂起失败状态时，不支持读写。 挂起卷前须先logout断开客户端连接，否则在卷状态恢复正常前将无法断开客户端连接。 仅卷处于正常、挂起、挂起中、挂起失败状态时，才可以执行此操作。 图1 挂起卷

在购买DRDS实例之前，您需要先做一系列的准备操作，包括评估实例规格，确定虚拟私有云（VPC）及可用区等。 评估实例规格 在购买DRDS前，您需要根据应用的实际情况，评估所需要的计算和存储能力，同时结合业务类型及规模，选择合适的实例规格，更好地满足应用需求。实例规格主要包括：实例的性能类型、CPU和内存等，更多实例规格信息，请参见规格。 确定VPC VPC为DRDS实例提供了网络隔离和访问控制，在创建VPC时，利用子网、安全组等网络特性，可以更便捷、安全地进行内部网络的配置和管理。 注意 DRDS实例必须与MySQL实例在同一个VPC内，且两者的安全组需要确保DRDS与MySQL间网络互通。 建议 DRDS实例与应用程序处于在同一个VPC内，可以提高安全性和性能。 DRDS实例、MySQL实例与应用程序三者尽量选择同一个安全组，可以保证网络访问不受限制，并且便于统一管理。 确定可用区 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。

本文为您介绍如何退订Web应用防火墙（原生版）实例。 Web应用防火墙（原生版）支持退订，可通过Web应用防火墙（原生版）控制台界面、天翼云费用中心发起并完成退订操作。 退订说明 您（天翼云客户）可根据需要，在符合天翼云退订规则的前提下，灵活退订配额。目前退订包含七天无理由全额退订和非七天无理由退订以及其他退订，退订规则详情见退订规则说明。 退订完成后，退款金额会退回账户余额，客户可根据需要进行提现。提现操作详情见余额提现。 说明 WAF实例退订后，主套餐及资源扩展包将一同退订；资源扩展包不支持单独退订。 成功发起退订后，实例资源将转入冻结状态，冻结期15天。冻结期间，用户配置数据会保留15天，WAF仍可以转发流量，同时WAF保留用户的配置数据，15天后资源被释放，释放后无法恢复。 操作步骤 具体操作请参见： 退订云SAAS型实例 退订独享型实例

本章介绍处理配置风险的方案。 主机安全服务对主机执行配置检测后，您可以根据检测结果中的相关信息，修复主机中含有风险的配置项或忽略可信任的配置项。 修改有风险的配置项 查看检测规则对应的详情信息，您可以根据审计描述验证检测结果，根据修改建议处理主机中的异常信息。 建议您及时优先修复威胁等级为“高危”的关键配置，根据业务实际情况修复威胁等级为“中危”或“低危”的关键配置。 忽略可信任的配置项 1、 单击云服务器名称，查看服务器的详细信息，选择“基线检查 > 配置检查”。 2、 单击目标风险项前的展开检查项，单击目标风险项“操作”列的“忽略”进行单个忽略。也可以勾选多个检测规则单击界面上方的“忽略”进行批量忽略。 对于已经忽略的检测规则，单击已忽略页签可“取消忽略”，也可以批量选中想要取消忽略的规则“取消忽略”。 修复验证 完成配置项的修复后，建议您在“风险预防 > 漏洞管理”页面单击“漏洞检测”立即执行手动检测，查看配置项修复结果。

tdsub) 2.2.5 终端权限信息 为了提供天翼云AOne SDK的其他服务，在收集和使用您的个人信息之前，天翼云AOne SDK会在提供服务前依法向您告知并征得您的同意，并通过弹框方式申请或使用操作系统的相关权限。 其中敏感的权限均不会默认开启，仅在您使用对应的功能且明确授权后启用 。您也可以在天翼云AOne SDK的系统权限管理页面（路径：我的>设置>系统权限管理）或进入设备系统管理权限中自主管理你的权限。根据产品的升级，申请、使用权限的类型与目的可能会有变动，我们将及时根据这些变动对列表进行调整，以确保您及时获悉权限的申请与使用情况。关于在其他服务中我们如何收集、使用您的个人信息，请见该服务相应的个人信息处理规则。 （1）为了您在开启天翼云AOne SDK后能够正常访问网络资源，我们会在您授权同意后获取您手机的 网络访问、网络连接状态、WIFI连接状态 ，此类信息属于该功能的必要信息，如不授权该权限将无法使用上述功能； （2）为了您可以对内部网络资源进行访问，我们会在您授权同意后获取您手机的 VPN连接权限 ，此类信息属于该功能的必要信息，如不授权该权限将无法使用上述功能； 请注意, 在不同设备和系统中,权限显示方式及关闭方式会有所不同,需同时参考其使用的设备及操作系统开发方的说明或指引。当终端用户关闭权限即代表其取消了相应的授权,我们和开发者将不会继续收集和使用相关权限所对应的个人信息, 也无法为终端用户提供需要终端用户开启权限才能提供的对应的功能。 随着天翼云边缘安全加速平台零信任服务功能进一步丰富，后续新增功能如涉及获取用户授权权限时，我们将明确提示并在您授权同意后才会获取该功能所需权限。如未取得您的授权，我们将不会收集和使用相关信息。如果我们提供的具体服务对收集个人信息另有具体规则的我们将根据法律规定向您告知并取得您的同意。本隐私和信息处理规则与该等具体规则相互补充，如该等具体规则与本隐私和信息处理规则有冲突的，以本隐私和信息处理规则为准。本隐私和信息处理规则未列明的事项，以该等具体规则的约定为准。 2.2.6 各项功能及服务涉及的个人信息 功能及服务 个人信息类型 收集方式 适用系统版本 AOne SDK 适配 设备系统类型 SDK本地采集 / 关键功能报错时上报 Android / iOS AOne SDK 适配 设备型号 SDK本地采集 / 关键功能报错时上报 Android / iOS AOne SDK 适配 系统版本信息 SDK本地采集 / 关键功能报错时上报 Android / iOS AOne SDK 适配 设备制造商 SDK本地采集 / 关键功能报错时上报 Android / iOS 创建VPN隧道 IP地址 SDK本地采集 / 关键功能报错时上报 Android / iOS 2.2.7 设备权限调用 为了保证最终用户能正常使用天翼云AOne SDK相应功能及服务，我们会通过开发者应用向系统申请最终用户设备的以下系统设备权限，申请前我们会征询最终用户的同意，最终用户可以选择“允许”或“禁止”权限申请。经过最终用户的授权后我们会开启相关权限，最终用户可以随时在系统中取消授权，最终用户取消授权会导致最终用户无法使用相关的业务功能，但不会导致最终用户无法使用其他业务功能。各项功能及功能对设备权限的调用情况如下： Android系统版本 设备权限 功能及服务 权限授权方式 查看网络状态 用于隧道建立 及 网络传输 用户授权 查看wifi网络状态信息 用于网络状态变化的 vpn隧道处理 用户授权 区分移动网络或wifi网络 用于网络状态变化的 vpn隧道处理 用户授权 绑定VPN服务 VPN 隧道建立 用户授权 iOS系统版本 设备权限 功能及服务 权限授权方式 网络扩展权限 VPN 隧道建立 用户授权 app组权限 VPN 隧道建立 用户授权 网络访问基础权限 VPN 隧道建立 及 数据上报 用户授权 2.2.7 您充分知晓，以下情形中，我们收集、使用个人信息无需征得您的授权同意： （1）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （2）为履行法定职责或者法定义务所必需； （3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （4）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （5）依照《中华人民共和国个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （6）法律、行政法规规定的其他情形。 2.2.8 我们向您提供的服务中的某些功能可能由我们委托的其他方（“受托方”）提供。例如委托物流、技术服务等服务提供商协助我们提供相应的支持。我们会按照法律规定对受托方处理个人信息提出要求，并对受托方的个人信息处理活动进行监督。 2.2.9 您理解并同意，如我们未在上述场景中明示您需要收集的个人信息，我们将会通过页面提示、交互设计等方式另行向您明示信息收集的内容、范围和目的并征得您同意。 三、我们如何使用 Cookie和同类技术 3.1为确保天翼云边缘安全加速平台零信任服务正常运转，我们会在您的计算机上或移动设备上存储、设定或取用Cookies，Cookies是存储于您硬盘或设备内存中的小型数据文件，借助于Cookies，我们将简化您的浏览过程、保留您的个性化设置，从而为您提供更加便捷、高效和快速的访问体验。您可以清除本设备上保存的所有Cookie，大部分网络浏览器都设有阻止Cookie的功能。但如果您这么做，则需要在每一次使用天翼云AOne SDK时更改用户设置。 3.2您通过我们客户端接入使用的第三方服务，查看第三方创建的网页或使用第三方开发的应用程序时，向您提示这些第三方可能会放置他们自己的Cookies，这些Cookies不受我们的控制，且它们的使用不受本隐私和信息处理规则的约束，您应当进行关注。我们对第三方服务提供方对您的个人信息采取保护措施会尽到法律规定的义务，但我们无法保证这些主体一定会按照我们的要求标准采取保护措施，如果您发现这些第三方服务存在风险时，建议您终止相关操作以保护您的合法权益。服务提供方应有自己的独立隐私权保护政策，您使用的第三方服务受其隐私政策约束，建议您仔细阅读其政策内容。 四、我们如何共享、转让、公开披露您的个人信息 除本隐私和信息处理规则载明的情形或法律明确规定的情形外，我们不会与其他个人信息处理者共享或转让、公开披露您的个人信息。 4.1 共享 4.1.1 未经您事先同意，我们不会与任何第三方共享您的信息，但以下情形除外： （1）在获取明确同意的情况下共享：经您事先明确同意，我们会与其他方共享您的信息； （2）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （3）为履行法定职责或者法定义务所必需； （4）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （5）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （6）依照《中华人民共和国个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （7）法律、行政法规规定的其他情形。 4.1.2 我们可能会接入第三方服务商提供的SDK或其他类似的应用程序，在经您授权的前提下，将我们依照本隐私和信息处理规则收集的用户个人信息共享给该等第三方服务商，以便提供更好的客户服务和用户体验。 我们接入的第三方服务商见本隐私和信息处理规则第2.2.2条。 如果上述个人信息接收方变更处理目的、处理方式时，我们会要求接收方依法另行向您告知并征求您的同意或要求接收方重新向您征求授权同意，法律另有规定的除外。 4.2 转让 我们不会将您的信息转让给任何公司、组织和个人，但以下情况除外： （1）获得您的明确同意后，我们会向其他方转让您的个人信息； （2）在涉及合并、分立、解散、被宣告破产等原因需要转让个人信息时，我们会向您告知接收方的名称或者姓名和联系方式，并要求将接收方继续受本隐私和信息处理规则的约束，继续履行本隐私和信息处理规则下我们对您个人信息的保护义务，并要求接收方在变更原先的处理目的、处理方式时，重新按照法律规定向您征求授权同意。 （3）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （4）为履行法定职责或者法定义务所必需； （5）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （6）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （7）依照《中华人民共和国个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （8）法律、行政法规规定的其他情形。 4.3 公开披露 我们仅会在以下情况下，公开披露您的个人信息： （1）获得您明确同意后； （2）根据您的需求，在您明确同意或授权的披露方式下披露您所指定的个人信息； （3）为履行法定职责或者法定义务所必需； （4）法律、行政法规规定的其他情形。 4.4根据相关法律法规及国家标准，以下情形中，我们对外提供、公开披露用户的个人信息无需事先征得您的授权同意： （1）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （2）为履行法定职责或者法定义务所必需； （3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （4）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （5）依照《中华人民共和国个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （6）法律、行政法规规定的其他情形。 五、 我们如何保护您的个人信息或关联组织信息 5.1 我们对个人信息的保护 我们非常重视您的信息安全。我们建立了数据安全管理制度，采用适当的物理、管理和技术保障措施来防止您的信息遭到未经授权访问、披露、使用、修改、损坏或丢失。 我们会使用混合加密技术提高信息的保密性；我们会使用受信赖的保护机制防止您的信息遭到恶意攻击；我们会部署访问控制机制，确保只有授权人员才可访问用户个人信息；我们会对您的数据定期进行备份，以免您的数据发生异常情况，造成不必要的损失；我们会举办安全和培训，加强员工对于保护用户个人信息重要性的认识。 但是，由于技术的限制以及可能存在的各种恶意手段，在互联网环境下，即便竭尽所能加强安全措施，也不可能始终保证信息百分之百的安全。如不幸发生信息泄露等安全事件，我们会立即启动应急预案，阻止事件扩大，及时采取补救措施，并推送通知、公告等多种形式告知您。同时，我们还将按照监管部门要求，上报个人信息安全事件的处置情况。 并且，我们会采取合理可行的措施，尽力避免处理无关的您的个人信息。我们会出于必要目的处理您的个人信息，该等处理将不会对您的权益造成重大影响。 5.2 用户对信息的保管 尽管有前述安全措施，但请您使用复杂密码，协助我们保证您的账户安全；并妥善保管您的账户、密码及其他信息，避免您的个人信息泄露。如果您发现您的账户、密码或其他信息被他人非法使用或有使用异常的情况的，应当及时通知我们，我们将采取相应安全保障措施。 六、 我们如何保存您的个人信息或关联组织信息 6.1 天翼云边缘安全加速平台零信任服务收集的有关您的信息将保存在天翼云边缘安全加速平台零信任服务在中华人民共和国境内（为本隐私和信息处理规则之目的，不含香港、澳门、台湾地区）的服务器上。如在符合适用法律规定的情形下因业务需要向境外传输个人信息的，我们会事先征得您的同意，向您告知用户个人信息出境的目的、接收方情况，并履行相关法律法规规定的程序。 6.2除非法律法规、监管政策另有要求或者我们向您提供的相关服务对应的个人信息处理规则另有约定，对于所收集的信息，我们将在提供产品或服务所必需的期间内保存。但由于遵从法律法规有关信息留存的要求（例如：《电子商务法》规定：商品和服务信息、交易信息保存时间自交易完成之日起不少于三年），我们可能会延长相关存储期限。 在您的信息已经不再需要用于实现本隐私和信息处理规则规定的目的和用途，也无需根据相关法律法规的规定保存时，我们将采取合理步骤以安全的方式销毁个人信息或进行匿名化处理使其不可识别并不可被再次编辑、修改、使用。 如果我们停止运营本服务，我们将及时停止收集和使用该产品或服务所需的您的个人信息。对于该产品或服务运营期间已经收集的您的个人信息，我们将依法保存，并在保存期限届满后进行匿名化处理或删除，但法律法规或监管部门另有规定的除外。 6.3我们会以加密的方式存储这些信息，不会对外提供、共享个人信息，或者将其用于功能以外的其他用途。除非企业用户要求，根据相关协议提供不包含个人信息外的操作行为、访问行为，或为了遵从相关法律法规要求。 七、未成年人保护 我们非常重视对未成年人个人信息的保护。如您为未成年人，我们要求您请您的父母或监护人仔细阅读本隐私政策，并在征得您的父母或监护人同意的前提下使用我们的服务或向我们提供信息。 对于经父母或监护人同意使用我们的服务而收集未成年人个人信息的情况，我们只会在法律法规允许、父母或监护人明确同意或者保护未成年人所必要的情况下处理合法收集到的未成年人的个人信息。如果我们发现在未事先获得父母或者其他监护人同意的情况下收集了未成年人的个人信息我们会设法尽快删除该信息。 如您是未成年人的父母或监护人，请您关注您所监护的未成年人是否是在取得您的授权同意后使用我们的服务。如果您有理由相信未成年人未经您的事先同意而向天翼云边缘安全加速平台零信任服务提交了个人信息，请联系我们删除此类个人信息，并请保证未成年人已取消服务。如您对我们处理您所监护的未成年人的个人信息有其他疑问，请通过本隐私政策内的联系方式与我们联系。 特别地，我们为不满十四周岁的儿童专门制定了《天翼云AOne SDK儿童个人信息保护政策及监护人须知》，如您为不满十四周岁的未成年人及监护人，请您在使用我们的服务前仔细阅读《天翼云AOne SDK儿童个人信息保护政策及监护人须知》，只有在取得监护人对《天翼云AOne SDK儿童个人信息保护政策及监护人须知》的同意后，我们才会处理十四周岁以下的儿童信息。《天翼云AOne SDK儿童个人信息保护政策及监护人须知》内容详见：《天翼云AOne SDK儿童个人信息保护政策及监护人须知》 八、我们如何处理儿童的个人信息 我们的服务主要面向成人。如果没有父母或监护人的同意，儿童不得创建自己的用户账户。 对于经父母同意而收集儿童个人信息的情况，我们只会在受到法律允许、父母或监护人明确同意或者保护儿童所必要的情况下使用或公开披露此信息。 尽管当地法律和习俗对儿童的定义不同，但我们将不满14周岁的任何人均视为儿童。我们不会存储用户的个人信息，如果我们发现自己在未事先获得可证实的父母同意的情况下收集并处理了儿童的个人信息，则会设法尽快删除数据。 九、您的权利及如何管理您的个人信息 9.1 查询 打开天翼云边缘安全加速平台零信任服务客户端成功登录后，您可以侧边栏中找到“设置”，您可以查看您的个人信息，也可以登录天翼云AOne SDK我的中查看您的个人信息，或通过您企业/组织的管理员登录天翼云边缘安全加速平台零信任服务控制台查询您的相关信息。 其他个人信息或关联组织信息：对于您使用我们的产品或服务过程中产生的其他个人信息或关联组织信息，如您需要，您也可以通过工单、邮件等方式联系我们查询您的个人信息。验证身份和权限后，我们将在15个工作日内响应您的个人信息查询请求。 9.2 变更或者修正错误信息 您可以登录天翼云边缘安全加速平台零信任服务客户端，在设置模块修改您的个人资料，或者登录天翼云AOne SDK我的中修改您的个人资料，或者联系您的企业/组织管理员登录天翼云边缘安全加速平台零信任服务的控制台进行修改。 如您发现无法自行更正的，您也可以通过工单、邮件等方式联系我们提出变更或者修正错误信息请求。验证身份和权限后，我们将在15个工作日内响应您的个人信息更改请求。 9.3 删除 若您发现我们未按照法律法规的规定或者本隐私和信息处理规则约定收集和使用您的信息，您可以联系您的企业/组织管理员登录天翼云边缘安全加速平台零信任服务的控制台对您的个人信息进行删除。您也可以通过工单、邮件等方式联系我们对相关信息（包含副本、数据备份）进行删除。 验证身份和权限后，我们将在15个工作日内响应您的个人信息删除请求。 当您或我们协助您删除相关信息后，由于遵从法律法规有关信息留存的要求，我们将安全地存储您的个人信息并限制对其的任何进一步的处理，直到备份可以清除或实现匿名化。 9.4 改变或撤回您的授权信息 （1）对于您已经授权同意我们收集和使用的终端设备权限信息，您可以通过在天翼云AOne SDK的系统权限管理页面（路径：我的>设置>系统权限管理）进行设置、改变或撤回您的授权同意；当您撤回您个人信息的授权后，我们无法继续提供撤回授权所对应的服务，也不再处理相应的个人信息。但撤回授权的决定，不会影响此前基于您的授权而开展的您的个人信息处理。 （2）对于您已经授权同意我们隐私政策内容，您可以通过在天翼云AOne SDK的设置页面（路径：我的>设置>隐私政策撤回）进行隐私政策授权同意撤回；当您撤回隐私政策同意后，将无法使用天翼云AOne SDK 功能，需要您重新授权同意隐私政策后，方可继续使用天翼云AOne SDK各项功能。 9.5 注销账户 您可以联系您的企业/组织管理员登录天翼云边缘安全加速平台零信任服务的控制台，在身份用户与组织用户列表页面进行您的账户删除，再在天翼云AOne SDK我的设置账户注销进行账户注销操作。 注：如果您是企业用户，请先联系管理员删除用户账户，再进行注销用户账户操作。 您也可以通过工单、邮件等方式联系我们对账户进行注销。 验证身份和权限后，我们将在15个工作日内响应您的账号注销请求。 9.6 个人信息副本获取权 如您需要您的个人信息的副本，您可以通过天翼云AOne SDK 中“我的设置个人信息与权限个人信息浏览与导出” 进行个人信息导出分享。您也可以通过本《天翼云AOne隐私和信息处理规则》文末提供的方式联系我们，在核实您的身份后，我们将向您提供您在我们的服务中的个人信息副本（包括基本资料、身份信息），但法律法规另有规定的或本隐私和信息处理规则另有约定的除外。 9.7 转移个人信息 您的个人信息如何在全国范围内转移，我们在中华人民共和国境内收集和产生的个人信息，将存储在中华人民共和国境内。 若符合以下条件 (1) 适用的法律有明确规定； (2) 获得您的明确授权 针对以上条件，您可以通过隐私政策文本底部的联系方式要求对您在天翼云AOne的个人信息进行转移。 十、响应您的请求 10.1 为保障安全，您申请查询、变更、删除您的信息或注销账户时，可能需要提供书面请求，或以其他方式证明您的身份。我们可能会先要求您验证自己的身份，然后再处理您的请求。 10.2 如果我们发生合并、分立、收购、重组等变更，会将变更信息通过天翼云边缘安全加速平台零信任服务进行发布。变更后我们会继续履行信息保护的责任和义务，如果信息使用目的有所变化，我们将明确提示并在您授权同意后才会获取权限，如未取得您的授权，我们将不会收集和使用相关信息。 10.3 尽管有上述约定，但按照法律法规要求，在以下情形下，我们可能无法响应您的请求： （1）与国家安全、国防安全有关的； （2）与公共安全、公共卫生、重大公共利益相关的； （3）与犯罪侦查、起诉和审判等有关的； （4）有充分证据表明您存在主观恶意或滥用权利的； （5）响应您的请求将导致其他个人、组织的合法权益受到严重损害的。 10.4 如您需要将您的个人信息转让至您指定的其他个人信息处理者，您可以随时联系我们。在符合相关法律规定且技术可行的前提下的，我们将根据您的要求向您提供转让的途径。 十一、本隐私和信息处理规则如何更新 11.1 基于为您提供更好的服务的目的，并根据业务的发展或法律法规及监督政策变化的要求，我们可能会适时修订本隐私和信息处理规则，对于本隐私和信息处理规则的重大变更，我们会通过天翼云AOne SDK内弹框方式请您重新授权同意， 如果您不同意新的隐私和信息处理规则，请您确保您立即停止访问或使用我们的相关服务。 您可以通过天翼云AOne SDK我的设置关于隐私政策入口，访问最新版的《天翼云AOne隐私和信息处理规则》。 十二、如何联系我们 12.1 如您对本隐私和信息处理规则或您信息的相关事宜有任何问题、意见、建议或申诉，您可以通过天翼云提交工单、联系智能客服、或拨打我们的客服电话4008109889与我们取得联系，您还可通过发送邮件至service@chinatelecom.cn或ctpip.ctyun@chinatelecom.cn，与天翼云边缘安全加速平台零信任服务的个人信息保护负责人进一步沟通。 12.2 一般情况下，我们将会在3个工作日内回复，特殊情形下，最长将在不超过15个工作日做出答复。 12.3 如果您对我们的回复不满意，特别是我们的信息处理行为损害了您的合法权益，您还可以通过以下外部途径寻求解决方案：向被告所在地有管辖权的人民法院提起诉讼。

什么是 GPUStack ？ GPUStack云服务是基于开源GPUStack构建的托管式AI模型部署平台，让您无需管理基础设施，即可在高性能GPU集群上轻松部署和运行各类AI模型。 GPUStack具备以下核心能力： 资源管理：提供自动化GPU资源调度与集群管理，支持异构GPU设备统一纳管，实现资源利用率最大化与成本最优化； 模型部署：支持主流开源大模型一键部署，兼容Hugging Face、ModelScope等模型源，集成vLLM、SGLang和TensorRTLLM等高性能推理引擎，满足不同场景性能需求； 智能运维：内置自动扩缩容、故障转移与负载均衡机制，提供实时性能监控与告警，确保服务高可用性与稳定性； 安全管控：提供完善的认证授权体系与网络隔离策略，支持私有化部署与数据安全保障，满足企业级安全合规要求。 通过部署 GPUStack 应用，您可以可视化管理GPU资源调度，快速搭建专属模型推理集群，为AI应用提供专属模型推理服务。 使用 GPUStack 部署模型推理平台指南 步骤1：订购GPU资源并部署GPUStack平台 1. 登录天翼云官网，选择应用商城 公有云生态专区，点击立即选购，进入应用专区页。 在专区页，点击“立即选购”，进入应用选购页。 2. 在应用选购列表中，找到“GPUStack单机版”，点击“立即订购”。 3. 按提示订购“GPUstack 单机版”，点击“确认下单”。 支付成功后，在我的应用页，查看应用状态，当应用状态为运行中时，代表GPUStack平台部署完成。 4. 点击“查看应用”按钮，在应用详情页点击“立即使用”或在浏览器中输入复制的应用入口，即可访问GPUstack。

本节介绍了:黑盒监控的用户指南。 应用场景 云容器引擎监控体系集成黑盒监控能力，黑盒监控即以用户的身份测试服务的外部可见性，常见的黑盒监控包括HTTP探针、TCP探针等用于检测站点或者服务的可访问性，以及访问效率等。 前提条件 已创建集群，具体操作请参见用户指南 > 集群 > 新建集群 章节。若已有集群，无需重复操作。 集群已安装ccsemonitor插件，可参考 用户指南 > 插件 章节。 应用接入黑盒监控 工作负载接入黑盒监控 登陆CCSE控制台， 点击左侧导航栏中的集群，进入集群列表页。 在集群列表中点击需要接入监控的集群，进入集群管理页面。 在工作负载菜单中选择一种工作负载，本文以无状态为例：选择 工作负载 > 无状态 > 创建Deployment 进入工作负载创建页面。 点击工作负载选项中的显示 高级设置展开工作负载高级设置，点击接入黑盒监控按钮进入监控注解设置界面。可以选择HTTP探针和TCP探针，填写端口和路径后点击确认就会自动生成相关注解。 填写工作负载的其他信息后点击提交 创建工作负载。创建好的工作负载就已经接入黑盒监控了。

本节介绍了如何应用云数据库GaussDB 的参数模板。 操作场景 参数模板编辑修改后，不会立即应用到实例，您可以根据业务需要应用到实例中，参数模板只能应用于相同版本的实例中。 操作步骤 步骤 1 登录管理控制台。 步骤 2 在“参数模板管理”页面，根据参数模板类型不同进行如下操作。 若需要将默认参数模板应用到实例，在“系统默认”页签的目标参数模板操作列，单击“应用”。 若需要将用户自己创建的参数模板应用到实例，在“自定义”页签的目标参数模板操作列，单击“更多 > 应用”。 一个参数模板可被应用到一个或多个实例。 步骤 3 在弹出框中，选择或输入所需应用的实例，单击“确定”。 参数模板应用成功后，您可参考查看参数模板应用记录，查看应用状态是否为“成功”。如果应用状态为“应用中”，则再次应用该模板时，将无法选择正在应用参数模板的实例。如果需要再次应用参数模板到同一实例，请确保应用状态为“成功”。 说明： 参数模板应用成功后，如果重启生效的参数有修改，实例将会变为“等待重启”状态，此时需要重启实例参数修改才能生效。如果所有重启生效的参数都没有修改，则实例状态不会发生改变。

参数 参数说明 插件规格 根据业务需求，选择插件的规格，包含如下选项： 演示规格（100容器以内）：适用于体验和功能演示环境，该规模下prometheus占用资源较少，但处理能力有限。建议在集群内容器数目不超过100时使用。 小规格（2000容器以内）：建议在集群中的容器数目不超过2000时使用。 中规格（5000容器以内）：建议在集群中的容器数目不超过5000时使用。 大规格（超过5000容器）：建议集群中容器数目超过5000时使用此规格。 实例数 选择上方插件规格后，显示插件中的实例数，此处仅作显示。 容器 选择插件规格后，显示插件容器的CPU和内存配额，此处仅作显示。 数据保留期 自定义监控数据需要保留的天数，默认为15天。 存储 支持云硬盘作为存储，按照界面提示配置如下参数： 可用区：请根据业务需要进行选择。可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 子类型：支持普通IO、高IO和超高IO三种类型。 容量：请根据业务需要输入存储容量，默认10G。 说明 若命名空间monitoring下已存在pvc，将使用此存储作为存储源。

本节主要介绍云环境配置模板，适用于RDA2.9.8版本。 天津 天津 203.176.94.86 iam.cntj1.ctyun.cn 203.176.94.86 vpc.cntj1.ctyun.cn 203.176.94.86 ecs.cntj1.ctyun.cn 203.176.94.86 ims.cntj1.ctyun.cn 203.176.94.86 evs.cntj1.ctyun.cn 上海 上海4 203.176.94.86 iam.cnsh1.ctyun.cn 203.176.94.86 vpc.cnsh1.ctyun.cn 203.176.94.86 ecs.cnsh1.ctyun.cn 203.176.94.86 ims.cnsh1.ctyun.cn 203.176.94.86 evs.cnsh1.ctyun.cn 苏州 苏州 203.176.94.86 iam.cnjssz1.ctyun.cn 203.176.94.86 vpc.cnjssz1.ctyun.cn 203.176.94.86 ecs.cnjssz1.ctyun.cn 203.176.94.86 ims.cnjssz1.ctyun.cn 203.176.94.86 evs.cnjssz1.ctyun.cn 杭州 杭州 203.176.94.86 iam.cnzhejiang1.ctyun.cn 203.176.94.86 vpc.cnzhejiang1.ctyun.cn 203.176.94.86 ecs.cnzhejiang1.ctyun.cn 203.176.94.86 ims.cnzhejiang1.ctyun.cn 203.176.94.86 evs.cnzhejiang1.ctyun.cn

本文介绍边缘安全加速平台名词术语。 CNAME 记录 CNAME ( Canonical Name )，即别名，用于把一个域名解析到另一个域名，当 DNS 系统在查询 CNAME 左面的名称的时候，都会转向 CNAME 右面的名称再进行查询，一直追踪到最后的 PTR 或 A 名称，成功查询后才会做出回应，否则失败。例如，您有一台服务器，使用 ctyun.cn 访问，您又希望通过 ctyun.cn1 也能访问该服务器，那么就需要在您的 DNS 解析服务商添加一条 CNAME 记录，将 ctyun.cn 指向 ctyun.cn1，添加该条 CNAME 记录后，所有访问 ctyun.cn 的请求都会被转到 ctyun.cn1，获得相同的内容。 DNS DNS 即Domain Name System，是域名解析服务的意思。它在互联网的作用是：把域名转换成为网络可以识别的 IP 地址。人们习惯记忆域名，但机器间互相只认 IP 地址，域名与 IP 地址之间是一一对应的，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，整个过程是自动进行的。比如：上网时输入的 www.ctyun.cn 会自动转换成为220.181.112.143。 常见的DNS解析服务商有：阿里云解析，万网解析，DNSPod，新网解析，Route53（AWS），Dyn，Cloudflare等。 边缘安全节点 边缘安全节点是相对于网络的复杂结构而提出的一个概念，指距离最终用户接入具有较少的中间环节的网络节点，对最终接入用户有较好的响应能力和连接速度。其作用是将访问量较大的网页内容和对象保存在服务器前端的专用 Cache 设备上，以此来提高网站访问的速度和质量。 回源 HOST 回源 host 决定回源请求访问到源站上的具体某个站点。 例1：源站是域名源站为 www.ctyun.cn，回源 host 为 www.ctyun.cn1，那么实际回源是请求到 www.ctyun.cn 解析到的IP，对应的主机上的站点 www.ctyun.cn1。 例2：源站是 IP 源站为1.1.1.1，回源 host 为www.ctyun.cn1，那么实际回源的是1.1.1.1对应的主机上的站点 www.ctyun.cn1。 协议回源 协议回源指回源时使用的协议和客户端访问资源时的协议保持一致，即如果客户端使用 HTTPS 方式请求资源，当 CDN 节点上未缓存该资源时，节点会使用相同的 HTTPS 方式回源获取资源；同理如果客户端使用 HTTP 协议的请求，CDN 节点回源时也使用 HTTP 协议。 过滤参数 过滤参数是指当URL请求中带“？”并携带参数请求到 CDN 节点的时候，CDN 节点在收到该请求后可根据配置决定是否将该带参数的 URL 请求回源站。当开启过滤参数时，该请求到 CDN 节点后会截取到没有参数的 URL 向源站请求。并且 CDN 节点仅保留一份副本。如果关闭该功能，则每个不同的 URL 都缓存不同的副本在 CDN 的节点上。 Web 安全 相关 Web 应用层面的安全问题与事件,包括各种 Web 组件、协议、应用等。 正则防护 经验规则集，自动为网站防御 SQL 注入、XSS 跨站、Webshell 上传、命令注入、后门隔离、非法文件请求、路径穿越、常见应用漏洞攻击等通用的 Web 攻击。 网站白名单 通过设置网站白名单，可以让满足条件的请求不经过任何 Web 应用防火墙防护模块的检测，直接访问源站服务器。 IP 黑名单 支持一键阻断来自指定 IP 地址、IP 地址段以及指定地理区域的 IP 地址的访问请求。 0Day 漏洞 0Day 是指在系统商在知晓并发布相关补丁前就被掌握或者公开的漏洞信息。 CC 安全防护 根据访问者的 URL，频率、行为等访问特征，智能识别 CC 攻击，迅速识别 CC 攻击并进行拦截，在大规模 CC 攻击时可以避免源站资源耗尽，保证企业网站的正常访问。 防敏感信息泄露 帮助网站过滤服务器返回内容（异常页面或关键字）中的敏感信息（例如身份证号、银行卡号、电话号码和敏感词汇），脱敏展示敏感信息或返回默认异常响应页面。 网络爬虫 又称为网页蜘蛛，网络机器人，是一种按照一定的规则，自动地抓取万维网信息的程序或者脚本。 挖矿 借助大量计算能力来计算产生虚拟货币。 多源评估 通过对多种输入信息源数据动态地进行综合分析与评估的能力。 访问主体 能访问客体的主动实体。 访问客体 能与主体建立访问连接的被动实体。 SSL 证书 SSL 证书（Secure Sockets Layer）指一种安全协议，目的是为互联网通信提供安全及数据完整性保障。SSL 证书遵循 SSL 协议，可安装在服务器上，实现数据传输加密。 云工作负载 指云环境中从应用程序层到管理程序或处理的自包含组件（如堆栈中的虚拟机和容器）的整个应用程序堆栈。 访问控制 确保对资产的访问是基于业务和安全要求进行授权和限制的手段。 零信任 一组围绕资源访问控制的安全策略、技术与过程的统称。从对访问主体的不信任开始，通过持续的身份鉴别和监测评估、最小权限原则等，动态调整访问策略和权限，实施精细化的访问控制和安全防护。 策略引擎 负责最终决定是否授予指定访问主体对资源（访问客体）的访问权限。策略引擎使用企业安全策略以及来自外部源的输入作为“信任算法”的输入，以决定授予或拒绝对该资源的访问。 连接器 放置在业务前端的引流设备，用于打通内外网业务，确保终端用户可以安全访问业务数据。 动态授权 基于零信任对访问主体永不信任的原则，根据用户所处的环境动态调整用户拥有的访问权限。 SDP 即软件定义边界，旨在对于网络安全防护中不信任任何设备、人物、身份、系统等相关，每一个步骤都要有所验证，有所根据，让所有安全防护的相关都变为可信安全。 TCP 协议 TCP 协议指传输控制协议（Transmission Control Protocol），是一种面向连接的、可靠的、基于字节流的传输层通信协议，由 IETF 的 RFC 793 定义。TCP 工作在网络 OSI 的七层模型中的第四层（传输层），连接到不同但互连的计算机通信网络的主计算机中的成对 进程之间依靠 TCP 提供可靠的通信服务。 UDP 协议 Internet 协议集支持一个无连接的传输协议，该协议称为用户数据包协议（UDP，User Datagram Protocol）。UDP 为应用程序提供了一种无需建立连接就可以发送封装的 IP 数据包的方法。RFC 768 描述了 UDP。 Internet 的传输层有两个主要协议，互为补充。无连接的是 UDP，它除了给应用程序发送 数据包功能并允许它们在所需的层次上架构自己的协议之外，几乎没有做什么特别的事情。 面向连接的是 TCP，该协议几乎做了所有的事情。 无服务器 Serverless 无服务器是一种云原生开发模型，可使开发人员专注构建和运行应用，而无需管理服务器。无服务器方案中仍然有服务器，但它们已从应用开发中抽离了出来。云提供商负责置备、维护和扩展服务器基础架构等例行工作。开发人员可以简单地将代码打包到容器中进行部署。部署之后，无服务器应用即可响应需求，并根据需要自动扩容。公共云提供商的无服务器产品通常通过一种事件驱动执行模型来按需计量。因此，当无服务器功能闲置时，不会产生费用。 函数即服务 FaaS 函数即服务（FaaS：Function as a service）是一种事件驱动计算执行模型；开发人员编写代码逻辑，部署到完全由平台管理的函数运行时中，然后按需执行。与 BaaS 不同，FaaS 可让开发人员拥有更大的掌控权力，他们可以创建自定义应用，而不依赖于包含预编写服务的库。 代码则部署到边缘安全加速平台管理的容器运行时中。具体而言，这些函数运行时具有以下特点： 无状态 让数据集成变得更加简单。 运行周期短 可以只运行非常短的时间。 事件触发 可在需要时自动运行。 这样，您只用为所需的计算能力付费，而不必管"闲置"的应用和服务器。 使用 FaaS 时，开发人员可以通过触发器调用无服务器应用。 触发器 用户绑定触发器和对应函数，来实现多种调用效果。目前支持定时触发器以及HTTP触发器。 HTTP 路由 用户绑定 HTTP 触发器和对应函数后，访问安全与加速服务中托管域名的特定路由，即可在边缘节点调用起对应函数计算逻辑。 KV 存储 OmniKV 边缘存储提供了 KeyValue 型边缘存储服务，使开发人员能够构建低时延、频繁读取、不频繁写入的数据驱动的边缘无服务器应用程序。借助 OmniKV，无服务器应用程序可以将数据存放在靠近用户的位置，避免从云端或本地解决方案中检索信息的需要，从而实现快速响应。用户快速可以构建高度动态的 API 和网站服务，部署轻量型的 API 网关、BaaS 服务。 运行时 用于在边缘节点运行用户自定义函数的安全隔离环境。函数运行时所支持的编程语言，目前支持 JavaScript。 开发者工具 开发人员使用命令行工具，在本地完成函数编写，构建，灰度上线。

本节介绍如何使用的安全接入点接入Kafka的方法，文档以Java代码为例。 前提条件 已配置正确的安全组。 已获取连接Kafka实例的地址。 如果Kafka实例未开启自动创建Topic功能，在连接实例前，请先创建Topic。 已创建弹性云服务器，如果使用内网同一个VPC访问实例，请设置弹性云服务器的VPC、子网、安全组与Kafka实例的VPC、子网、安全组一致。 需要用户先在用户管理页面创建用户，然后给对应的topic授予生产消费权限。 使用内网同一个VPC访问，实例端口为8092，实例连接地址从控制台实例详情菜单处获取，如下图所示。 Maven中引入Kafka客户端 java Kafka实例基于社区版本2.8.2/3.6.2，推荐客户端保持一致。 org.apache.kafka kafkaclients 2.8.2/3.6.2 客户端关键参数 java Properties props new Properties(); props.put(ProducerConfig.BOOTSTRAPSERVERSCONFIG, BROKERADDR); props.put(ProducerConfig.VALUESERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(ProducerConfig.KEYSERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(CommonClientConfigs.SECURITYPROTOCOLCONFIG, "SASLPLAINTEXT"); props.put("sasl.mechanism", "SCRAMSHA512"); props.put(SaslConfigs.SASLJAASCONFIG, "org.apache.kafka.common.security.scram.ScramLoginModule required username"testuser" password"Kafka@Test";"); 生产者代码示例 java package com.justin.kafka.service.gw.sasl; import org.apache.kafka.clients.CommonClientConfigs; import org.apache.kafka.clients.producer.Callback; import org.apache.kafka.clients.producer.KafkaProducer; import org.apache.kafka.clients.producer.ProducerConfig; import org.apache.kafka.clients.producer.ProducerRecord; import org.apache.kafka.clients.producer.RecordMetadata; import org.apache.kafka.common.config.SaslConfigs; import org.apache.kafka.common.serialization.StringSerializer; import java.util.Properties; public class Producer { private final KafkaProducer producer; public final static String TOPIC "testtopic2"; public final static String BROKERADDR "192.168.0.11:8092,192.168.0.9:8092,192.168.0.10:8092"; public Producer() { Properties props new Properties(); props.put(ProducerConfig.BOOTSTRAPSERVERSCONFIG, BROKERADDR); props.put(ProducerConfig.VALUESERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(ProducerConfig.KEYSERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(CommonClientConfigs.SECURITYPROTOCOLCONFIG, "SASLPLAINTEXT"); props.put("sasl.mechanism", "SCRAMSHA512"); props.put(SaslConfigs.SASLJAASCONFIG, "org.apache.kafka.common.security.scram.ScramLoginModule required username"testuser" password"Kafka@Test";"); props.put(ProducerConfig.ACKSCONFIG, "all"); props.put("retries",3); producer new KafkaProducer<>(props); } public void produce() { try { for (int i 0; i (TOPIC, data), new Callback() { public void onCompletion(RecordMetadata metadata, Exception exception) { if (exception ! null) { // TODO: 异常处理 exception.printStackTrace(); return; } System.out.println("produce msg completed, partition id " + metadata.partition()); } }); } } catch (Exception e) { // TODO: 异常处理 e.printStackTrace(); } producer.flush(); producer.close(); } public static void main(String[] args) { Producer producer new Producer(); producer.produce(); } }

本章节介绍如何编辑或删除资产。 操作场景 在资产管理页面可以对资产的业务系统进行编辑。另外，如果不再需要在态势感知（专业版）资产管理页面展示某个或某些云下导入的资产的信息，可以删除资产。 云上和云外资产都支持编辑。 仅自定义导入的云外资产支持删除，云上资产不支持删除。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“资产管理 > 资产管理”，进入资产管理页面。 5. 编辑或删除资产。 操作 执行步骤 编辑资产 编辑资产 1. 在资产管理页面中，勾选需要编辑的资产，并单击资产列表左上角“批量编辑”。 如果需要编辑某个类型的资产，可以选择对应资产页签，进入对应资产页面。例如，需要编辑主机资产，则选择“主机资产”页签。 2. 在弹出的资产编辑框中，对资产的业务系统进行编辑。 3. 编辑完成后，单击“确认”。 4. 在资产管理页面选择对应资产页签，可在资产列表查看资产信息。 编辑部门 1. 在资产管理页面中，选择“部门及业务系统”页签，单击“部门”后的编辑按钮。 2. 在弹出的“编辑部门”框中，编辑“部门名称”。 3. 编辑完成后，单击“确认”。 4. 在资产管理页面，选择“部门及业务系统”页签，可查看修改后的部门名称。 编辑业务系统 1. 在资产管理页面中，选择“部门及业务系统”页签，单击“业务系统”列表对应业务系统操作列的“编辑”按钮。 2. 在弹出的“编辑”对话框中，编辑“业务系统”，选择业务系统所在的“部门”，编辑“责任人”，设置“业务系统”关联的资产。 3. 编辑完成后，单击“确认”。 4. 在资产管理页面，选择“部门及业务系统”页签，可查看修改后的业务系统信息。 删除资产 删除资产 1. 在资产管理页面中，选择对应资产页签，进入对应资产页面。例如，需要删除主机资产，则选择“主机资产”页签。 2. 在对应资产页面，勾选您自定义导入的需要删除的资产，并单击列表上方的“批量删除”。 3. 系统将删除已勾选资产。 删除部门 1. 在资产管理页面中，选择“部门及业务系统”页签。 2. 单击待删除“部门”后的删除按钮。 3. 在弹出的“删除部门”对话框中，确认信息无误后，单击“一键输入”DELETE，单击“确定”。 删除业务系统 1. 在资产管理页面中，选择“部门及业务系统”页签。 2. 选中待删除的“业务系统”，单击操作列的“删除”按钮或列表上方的“删除”按钮。 3. 在弹出的“删除业务系统”对话框中，确认信息无误后，单击“一键输入”DELETE，单击“确定”。

本节介绍了 通过公网连接Microsoft SQL Server实例（Windows方式）的相关内容。 当不满足通过内网IP地址访问RDS实例的条件时，可以使用公网访问，建议单独绑定弹性公网IP连接弹性云主机（或公网主机）与RDS for SQL Server实例。 提供两种连接方式通过SQL Server Management Studio客户端连接实例：非SSL连接和SSL连接。其中，SSL连接实现了数据加密功能，具有更高的安全性。 非SSL连接 步骤 1 启动SQL Server Management Studio客户端。 步骤 2 选择“连接 > 数据库引擎”，在“连接到服务器”弹出框中填选登录信息。 图 连接到服务器 “服务器名称”是目标实例的主机IP和数据库端口（IP和数据库端口之间请使用英文半角逗号）。例如：x.x.x.x,8080 − 主机IP为已绑定的弹性公网IP地址。 − 端口为“基本信息”页签中，“连接信息”模块的“数据库端口”。 “身份验证”是认证方式，选择“SQL Server身份验证”。 “登录名”即待访问的关系型数据库账号，默认管理员账号为rdsuser。 “密码”即待访问的数据库账号对应的密码。 步骤 3 单击“连接”，连接实例。 结束 SSL连接 步骤 1 下载并上传SSL根证书。 1. 登录管理控制台。 2. 单击管理控制台左上角的 ，选择区域和项目。 3. 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 4. 在“实例管理”页面，单击实例名称进入“基本信息”页面，单击“数据库信息”模块“SSL”处的 ，下载根证书或捆绑包。 5. 将根证书导入弹性云主机Windows操作系统，请参见如何将RDS实例的SSL证书导入Windows/Linux操作系统。 说明 请在原有根证书到期前及时更换正规机构颁发的证书，以提高系统安全性。 对于Microsoft SQL Server，绑定公网IP后，需重启实例才能使SSL连接生效。 步骤 2 启动SQL Server Management Studio客户端。 步骤 3 选择“连接 > 数据库引擎”，在“连接到服务器”弹出框中填选登录信息。 图 连接到服务器 “服务器名称”是目标实例的主机IP和数据库端口（IP和数据库端口之间请使用英文半角逗号）。例如：x.x.x.x,8080 − 主机IP为已绑定的弹性公网IP地址。 − 端口为“基本信息”页签中，“连接信息”模块的“数据库端口”。 “身份验证”是认证方式，选择“SQL Server身份验证”。 “登录名”即待访问的关系型数据库账号，默认管理员账号为rdsuser。 “密码”即待访问的数据库账号对应的密码。 步骤 4 单击“选项”，在“连接属性”页签，填选相关信息，并勾选“加密连接”，启用SSL加密（系统默认不勾选“加密连接”，即不启用，需手动启用）。 图 连接属性 步骤 5 单击“连接”，连接实例。 结束

本节介绍云容器引擎的最佳实践:密钥Secret的安全使用。 在Kubernetes中，您可以使用Secret对象来存储敏感信息，例如密码、OAuth令牌和ssh密钥等。但Secret在etcd中以base64编码格式存储，base64编码不等于加密。因此建议用如下方式使用Secret。 严格限制Secret权限 通过文件挂载的方式使用Secret时，容器内映射的文件权限默认为0644，建议为其配置更严格的权限，例如： apiversion: v1 kind: Pod metadata: name: podauth spec: containers: name: mypod image: nginx volumeMounts: name: example mountPath: "/etc/example" volumes: name: example secret: secretName: mysecret defaultMode: 256 其中“defaultMode： 256”，256为10进制，对应八进制的0400权限。 “隐藏”Secret文件 使用文件挂载的方式时，通过配置Secret的文件名实现文件在容器中“隐藏”的效果： apiVersion: v1 kind: Secret metadata: name: mysecretfile data: .mysecretfile: dmFsdWUtMg0KDQo apiVersion: v1 kind: Pod metadata: name: mysecretfilepod spec: volumes: name: myvolume secret: secretName: mysecretfile containers: name: secretcontainer image: nginx command: ls "1" "/etc/volume" volumeMounts: name: myvolume readOnly: true mountPath: "/etc/volume" 这样.mysecretfile目录在/etc/volume/路径下通过“ls l”查看不到，但可以通过“ls al”查看到。 加密Secret文件内容 用户应在创建Secret前自行加密敏感信息，使用时再解密。

本节介绍如何在下一代防火墙v1.0中进行Syslog日志外发配置。 前提条件 已购买下一代防火墙v1.0资源，且资源状态为“运行中”。 配置日志外发 1. 登录云等保专区控制台，在左侧导航栏，选择“下一代防火墙 > 下一代防火墙v1.0”，在目标资源右侧操作列单击“配置”，进入下一代防火墙界面。 2. 在下一代防火墙导航栏，选择“系统 > 基本配置 > 系统日志”。 3. 单击“新建”，在弹窗中填写日志主机相关信息后，单击“确定”，即可完成系统日志的外发配置。 日志主机：外发的目的地IP地址或主机名称。 端口号：外发目的地的端口号。 4. 在导航栏选择“系统 > 基本配置 > 快速日志”。 5. 单击“新建”，在弹窗中填写日志主机相关信息后，单击“确定”，即可完成快速日志的外发配置。 日志主机：外发的目的地IP地址或主机名称。 端口号：外发目的地的端口号。 勾选需要发送的日志（建议勾选NAT日志、入侵防御）。 说明 NAT日志外发前提是需要开启NAT日志（默认不开启），详细开启方式见“[开启NAT日志](

短信服务支持根据用户需求创建符合要求的签名，一般建议将签名设置为账号主体所在机构的全称或简称。发送短信时，短信平台会将已审核通过的短信签名添加到短信内容中，再发送给短信接收方。本文将为您介绍个人用户如何添加签名。 前提条件 已开通短信服务。 当前登录账号已实名认证。 注意:个人认证用户和企业认证用户权限不同，具体区别，请参见 认证模式。 注意事项 用户短信签名名称已上线App名称、已在工信部备案的网站名称的，建议先用企业名称作为签名，待品未上线建议上线后再申请新的签名。 添加签名 1. 登录云通信控制台。 2. 在左侧导航栏中，单击签名管理 。 3. 在签名管理 页面左侧单击创建签名 。 4. 填写签名用途 、签名名称、签名类型等必填信息。 5. 填写场景说明 ，此信息是签名审核的参考信息之一，请详细描述签名的用途、场景等信息。信息完善的申请说明会提高签名的审核效率。 6. 单击提交，提交审核。审核流程，请参见流程签名审核。

本章节介绍如何使用K8s配置项替换配置文件 概述 当您选择使用Kubernetes进行容器化部署时，可以使用配置项去保存一些不需要加密的配置信息，如JVM堆内存、JVM属性参数等，在创建或者部署应用时，系统会自动将配置信息直接注入到容器中。 在微服务云应用平台场景下，这种配置管理方式变得更加灵活和强大。微服务云应用平台不仅支持上述的配置注入，还允许您将配置项以文件的形式直接挂载到容器内的指定目录。这意味着，除了能够动态调整应用的运行参数外，您还可以确保这些配置信息以文件的形式存在，这不仅方便了日常的管理和维护工作，也使得在需要时更新配置或进行故障排查变得更为直观和高效，从而显著提升了整体的运维体验和工作效率。 前提条件 1. 您已开通微服务云应用平台 2. 您已订购一个云容器引擎实例 常用使用场景 覆盖目录下已经存在的文件 这里以常用的nginx镜像举例，在官方的nginx镜像中，/etc/nginx目录下的nginx.conf文件是需要配置的，并且在不同的环境下，该文件内容也不相同。此时，可以使用将配置项以文件形式挂载到容器指定目录下，覆盖原文件，来实现不同环境使用不同配置的效果。 首先需要创建K8s配置项，左侧导航栏，选择容器应用实例 > Kubernetes配置，进入到配置列表，点击左上角创建配置项。需要注意的是：配置项下的键值对映射，键是文件名称，值为文件内容。 挂载配置项，左侧导航栏，选择容器应用实例 > 应用发布 > 应用实例。在应用实例列表选择需要覆盖的应用，进入应用详情界面，点击上方新增版本按钮，进入应用配置界面，在配置管理模块下配置文件挂载。 在配置管理中，可以通过挂载文件的方式，向容器中注入配置信息。需要注意的是，在挂载文件路径中，需要填写到文件名称。如下图所示： 参数 描述 配置类型 目前只支持配置项。 挂载类型 挂载到文件。 挂载源 挂载到应用容器文件系统中的配置项的名称。 挂载主目录 设置容器的挂载主目录，必须以斜杠（/）开头。 文件挂载方式 保留原文件：保留原目录下的文件，添加本次挂载文件。注意，相同文件名将保留本次挂载文件，隐藏原目录重名文件。 挂载配置 要挂载的Key：需要挂载到应用容器文件系统中的配置项指定的Key。挂载文件路径：相对挂载主目录的子路径。

本文介绍日志聚类的使用方法。 背景信息 天翼云云日志服务提供日志聚类功能，可在采集日志时将相似度高的日志进行聚合，提取出共同的日志模式（Pattern），帮助您快速掌握日志全貌。 前提条件 已创建日志项目与日志单元。 已完成采集日志。 已配置索引。 开启日志聚类功能 1. 登录云日志服务控制台。 2. 在日志管理页面的日志项目列表中，点击已创建的日志单元名称，进入日志单元详情页面。 3. 在日志单元详情页面中，即可查看当前日志单元中的日志数据。 4. 点击右上角设置按钮，在设置面板中点击“查询配置”，打开“日志聚类”开关，点击“确定”保存当前配置。 查看聚类结果 1. 在日志查询分析页面，输入查询语句并设置时间范围，点击查询执行日志查询。 2. 点击“日志聚类”页签，即可查看当前的聚类结果。 3. 聚类结果中各字段含义说明如下： 参数 说明 Number 当前聚类序号 Count 当前指定的查询时间段与查询条件内，某个Pattern对应的日志条数。 Pattern 某一类日志的具体模式，每个聚类下均会有一个或多个子Pattern。

本文主要介绍云日志服务如何使用edrop函数或ekeep函数过滤日志。 您可以使用edrop函数或ekeep函数过滤日志，也可以使用eif函数与edrop()参数、eifelse函数与edrop()参数过滤日志。 常用规则如下所示： ekeep(ehas(...) )：满足条件时保留，不满足条件时丢弃。 edrop(ehas(...) )：满足条件时丢弃，不满足条件时保留。 eifelse(ehas("..."), ekeep(), edrop())：满足条件时保留，不满足条件时丢弃。 eif(ehas("not ..."), edrop())：满足条件时丢弃，不满足条件时保留。 eif(ehas("..."), ekeep())：无意义的加工规则。 示例 原始日志 日志1 tag:observedts: 1597214851 entry: appview id: 8412 selftag: testok 日志2 entry: h5view id: 8415 selftag: testok2 加工规则 丢弃没有entry字段和tag:observedts字段的日志。 eif(enothas("entry"),edrop()) eif(enothas("tag:observedts"),edrop()) 加工结果 tag:observedts: 1597214851 entry: appview id: 8412 selftag: testok

本节主要介绍删除按需实例。 操作场景 对于“按需计费”模式的实例，您可根据业务需要，在“实例管理”页面手动删除实例来释放资源。（对于包年/包月的实例，您需要进行订单退订后才可删除实例，详细操作请参见退订包周期实例）。 使用须知 正在执行操作的实例不能手动删除，只有在实例操作完成后，才可删除实例。 “按需计费”类型的实例删除后将不再产生费用，实例生成的自动备份会被同步删除，保留的手动备份会继续收取费用。 实例删除后，该实例上的数据以及相关的自动备份将全部被清除，且不可恢复，请谨慎操作。建议您在删除实例前先创建备份，具体操作请参见创建手动备份。 实例删除后，实例下所有节点将同步被删除。 操作步骤 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择指定的实例，选择“删除”或“更多 > 删除实例”。 4. 若您已开启操作保护，在“删除实例”弹出框，单击“去验证”，跳转至验证页面，单击“免费获取验证码”，正确输入验证码并单击“认证”，页面自动关闭。 5. 在弹出框中，单击“是”。

本节为您介绍云迁移服务资源管理。 1. 在左侧导航栏中选择资源规划点击【资源管理】按钮，进入资源管理页，单击资源发现，填写对应表单，图1所示。 图1 资源管理列表页面 2. 进入发现方式选择 离线采集：您可通过调研模板向此功能模块导入源端资源信息；在资源确认后，平台将源端资源录入，进行后续的资源映射匹配，组迁移设置，迁移计划设置等管理。 在线采集：您可通过输入AccessKey、SecretKey在线采集源端资源信息；在资源确认后，平台将源端资源录入，进行后续的资源映射匹配、组迁移设置，迁移计划设置等管理，如图2所示。 图2 资源发现选择列页面。 3. 信息收集 进入 [信息收集] 页面，依次编辑新建任务名称>选择源端类型>文件上传，图3所示。 图3 信息收集编辑页面。 4. 填写完信息进入资源确认界面，如图所示。 5. 点击【资源确认】按钮，进入[完成]界面，可在列表进行展示。

说明：本章节会介绍如何在控制台配置和修改数据库内网地址 操作背景 用户从线下或者其他云迁移到关系型数据库后要面对更改IP的问题，为减少客户业务更改，降低迁移难度。提供规划与更改内网IP方式，降低客户迁移成本。 配置内网IP 在购买实例时，可在“服务选型”页面的网络部分，根据选择的子网自动配置内网地址。 修改内网IP 对于创建完成的关系型数据库实例，支持更改内网地址。 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 在“实例管理”页面，选择指定的实例，单击实例名称，进入实例基本信息页面。 在“基本信息”页“连接信息”模块“内网地址”处，单击“修改”。 您也可以在左侧导航栏，单击“连接管理”，在“内网连接”页面中，在“连接信息”模块“内网地址”处，单击“修改”。 在“修改内网地址”弹出框中进行修改。单击“确定”，保存修改内容。 修改内网IP后域名需要几分钟重新解析地址导致数据库连接中断，请在业务停止期间操作。 已使用IP地址列表中使用情况为“待使用”的IP地址表示已被占用，不允许被当前实例使用。

本页面介绍云数据库ClickHouse的配置变更。 根据包周期计费和按需计费这两种方式，以下是对配置升级后的计费规则的总结： 包周期计费： 对于包周期计费方式，用户通常选择一定时长的套餐，如包年或包月计费。 配置升级后的计费规则在包周期计费下可能有以下变化： 节点机器费用：如果升级增加了节点数量或改变了计算节点单价，在升配完成后将根据新的节点数量和单价进行计费。 存储空间费用：如果升级增加了存储空间大小，在升配完成后将根据新的存储空间大小进行计费。 订单升配标准费用（新规格当日产品标准天单价原规格当日产品标准天单价）（原规格订单总天数已使用天数）。 按需计费 按需计费方式根据实际使用的资源和时长进行计费，没有固定的套餐时长。 配置升级后的计费规则在按需计费下可能有以下变化： 节点机器费用：升级后的节点数量和计算节点单价将直接应用于新的使用时段，按照实际使用的节点数量和时长计费。 存储空间费用：升级后的存储空间大小将直接应用于新的使用时段，按照实际使用的存储空间和时长计费。

本文主要介绍智能边缘云资源实例退订的方式。 自助退订 如果您的资源实例确认不再需要，请在ECX控制台的对应类型资源板块，进行自助退订、删除或销毁操作。涉及计费的资源也可以在【天翼云官网>我的>费用中心>订单管理>退订管理】操作退订，也可以联系客户经理进行退订。 资源实例一旦被退订，将无法恢复，请提前导出、备份您的资源，避免造成损失。 实例到期 包年包月资源到期后，将被冻结无法使用，并在15天后自动释放，具体时间以您收到的邮件或短信提示为准。为避免影响您的正常使用，请及时在【天翼云官网>我的>费用中心>订单管理>续订管理】，手动续订或开通自动续订。 账户欠费 若您的账户出现欠费，按需计费的资源将被冻结无法使用，并在15天后自动释放，具体时间以您收到的邮件或短信提示为准。为避免影响您的正常使用，请确保账户余额充足。 如遇欠费，请及时充值，欠款缴清后，实例将被自动解冻。充值完成后，请在ECX控制台检查实例的运行和绑定状态，部分产品解冻后可能需要手动开机或重新绑定以恢复运行。 包年包月资源为预付费，不受账户欠费影响。

本文将为您介绍天翼云SDWAN统一身份认证与权限管理。 基本介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限，具体介绍说明详见：产品定义。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素左作用（Effect）、权限集（Action）等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略： 1. 系统策略 ：预置的系统策略，您只能使用不能修改。云专线相关的系统策略包含如下： sdwan admin：天翼云SDWAN服务的管理者权限，包含天翼云SDWAN服务所有控制权限； sdwan viewer：天翼云SDWAN服务的观察者权限，包含天翼云SDWAN服务的列表页与详情页面权限； 2. 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，具体配置说明详见：创建自定义策略。