适用场景 用户Web业务服务器部署在天翼云上、非天翼云或线下，防护对象为域名。 各服务版本推荐适用的场景说明如下： 服务版本 适用场景说明 基础版 适用个人网站防护。 标准版 适用中小型网站，对业务没有特殊的安全需求。 企业版 适用中型企业级网站或服务对互联网公众开放的网站，关注数据安全且具有高标准的安全需求。 旗舰版 适用中大型企业网站，具备较大的业务规模，或是具有特殊定制的安全需求。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，默认进入“云SAAS型”页签，单击“立即购买”。 首次使用WAF时，进入如下欢迎页面，单击“立即购买”。 5. 在产品订购页面，选择版本、企业项目、规格和购买数量。 参数说明如下： 参数 说明 版本选择 此处选择“WAF 云SaaS模式”。 企业项目 选择新购产品所在的企业项目，企业项目相关内容请参考：企业项目管理。 说明 仅一类资源池支持选择企业项目。 规格选择 提供四个规格：基础版、标准版、企业版、旗舰版，关于产品规格信息对比，请参见产品规格。 购买数量 一个账号支持购买一个包周期实例，实例必须绑定一个主套餐版本。 6. 选择标准版、企业版、旗舰版时，支持叠加购买“域名扩展包”、“业务扩展包”、“规则扩展包”，可以设置购买数量。 7. （可选）填写交付联系方式。 说明 为保障产品顺利交付，天翼云提供免费交付服务，请提供交付联系方式，订购完成后，天翼云安全专家会与您取得联系。 8. 选择“购买时长”，拖动时间轴设置购买时长。 说明 支持开启“自动续订”，当服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 “基础版”最多支持一次性付费1年。 9. 确认参数配置无误后，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。 10. 进入“付款”页面，完成付款。

DCS自定义策略 如果系统预置的DCS权限，不满足您的授权要求，可以创建自定义策略。 DCS的支持自定义策略授权项如下表所示。 DCS授权项明细 权限 授权项 IAM项目(Project) 企业项目(Enterprise Project) 创建缓存实例 dcs:instance:create √ √ 查询指定实例 dcs:instance:get √ √ 修改实例信息 dcs:instance:modify √ √ 删除实例 dcs:instance:delete √ √ 缓存实例扩容 dcs:instance:scale √ √ 查询实例列表 dcs:instance:list √ √ 查询实例配置信息 dcs:instance:getConfiguration √ √ 修改实例配置信息 dcs:instance:modifyConfigureation √ √ 重启实例或清空数据 dcs:instance:modifyStatus √ √ 修改实例密码 dcs:instance:modifyAuthInfo √ √ 备份实例数据 dcs:instance:backupData √ √ 恢复实例数据 dcs:instance:restoreData √ √ 查询备份任务 dcs:instance:getDataBackupLog √ √ 查询恢复任务 dcs:instance:getDataRestoreLog √ √ 删除备份文件 dcs:instance:deleteDataBackupFile √ √ 查询实例后台任务 dcs:instance:getBackgroundTask √ √ 删除后台任务 dcs:instance:deleteBackgroundTask √ √ 重置实例密码 dcs:instance:resetAuthInfo √ √ 下载备份文件 dcs:instance:downloadBackupData √ √ 实例数据迁移 dcs:instance:migrateData √ √ Web CLI dcs:instance:webcli √ √ 创建迁移任务 dcs:migrationTask:create √ X 修改迁移任务配置或停止迁移任务 dcs:migrationTask:modify √ X 删除迁移任务 dcs:migrationTask:delete √ X 查询迁移任务列表 dcs:migrationTask:list √ X 查询迁移任务详情 dcs:migrationTask:get √ X 诊断实例 dcs:instance:diagnosis √ √ 查询参数模板列表 dcs:template:list √ X 创建参数模板 dcs:template:create √ X 实例主备倒换 dcs:instance:swap √ √ 修改实例白名单信息 dcs:whitelist:modify √ √ 获取实例白名单列表 dcs:whitelist:list √ √ 创建实例访问帐号 dcs:aclaccount:create √ √ 删除实例访问帐号 dcs:aclaccount:delete √ √ 修改实例访问帐号信息 dcs:aclaccount:modify √ √ 获取实例访问帐号列表 dcs:aclaccount:list √ √ 查询慢日志列表 dcs:slowlog:list √ √ 查询参数模板 dcs:template:get √ X 查询任务进度 dcs:job:get √ √ 查看实例审计日志 dcs:auditlog:get √ √ 查询实例升级信息 dcs:instance:getUpgradeInfo √ √ 查询实例SSL信息 dcs:ssl:get √ √ 重建域名解析 dcs:domainname:rebuild √ √ 实例间交换IP地址 dcs:migrationTask:exchangeIp √ X 实例交换IP后回滚 dcs:migrationTask:rollbackIp √ X Kill Redis会话 dcs:clients:kill √ √ 修改参数模板 dcs:template:modify √ X 开启或关闭公网域名解析 dcs:publicdomainname:update √ √ 删除参数模板 dcs:template:delete √ X 释放历史域名解析 dcs:histroydomainname:release √ √ 升级实例版本 dcs:instance:upgrade √ √ 分析实例的大key或者热key dcs:instance:analyze √ √ 开启或关闭实例审计日志 dcs:auditlog:modify √ √ 开启或关闭客户端ip透传 dcs:clientiptrans:modify √ √ 修改实例SSL信息 dcs:ssl:modify √ √ 查询Redis会话列表 dcs:clients:list √ √ 目前云服务平台支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 本章为您介绍常用的DCS自定义策略样例。 说明 由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的细粒度策略后，大概需要等待5分钟细粒度策略才能生效。

本节介绍如何快速连接RocketMQ并生产和消费消息。 本章节将为您介绍分布式消息服务RocketMQ（以下简称RocketMQ）入门的使用流程，以创建一个开启SSL的RocketMQ实例，客户端使用内网通过同一个VPC连接RocketMQ实例生产消费消息为例，帮助您快速上手RocketMQ。 1. 在ECS环境中进入“rocketmqtutorial/bin”目录。 plaintext cd rocketmqtutorial/bin 2. 运行生产普通消息命令。 命令示例如下： plaintext JAVAOPTDtls.enabletrue sh mqadmin sendMessage n "10.xxx.xxx.89:8100;10.xxx.xxx.144:8100" t Topic01 p "hello rocketmq" 10.xxx.xxx.89:8100;10.xxx.xxx.144:8100：表示RocketMQ实例的“连接地址”，即11中记录的连接地址。 Topic01：表示RocketMQ实例下创建的Topic名称，即4中创建的Topic名称。 hello rocketmq：表示生产消息的内容，可自定义。 3. 运行消费普通消息命令。 命令示例如下： plaintext JAVAOPTDtls.enabletrue sh mqadmin consumeMessage n "10.xxx.xxx.89:8100;10.xxx.xxx.144:8100" t Topic01 如上图中BODY显示的内容即为消费消息的内容。 如需停止消费使用Ctrl+C命令退出。

接口功能介绍 更改监控视图中的某一个监控项内容。 一个监控视图包含一个或多个监控项，监控项为keyvalue格式，这里更新的是监控项中的value值。 接口约束 regionID（资源池）、templateID（监控面板）、viewID（监控视图）、itemKey（监控项Key）存在。 URI POST /v4/monitor/putmonitoritem 请求参数 请求体body参数 参数 参数类型 是否必填 示例 说明 下级对象 regionID String 是 81f7728662dd11ec810800155d307d5b 资源池ID templateID String 是 466d5eb4484311eda9b7005056897257 监控面板ID viewID String 是 4cb790ae489411edb386005056897257 监控视图ID itemKey String 是 key2 要更新的监控项名称Key，即已存在的监控项Key itemVal Object 是 newVal2 监控项新Value，用来替换旧的监控项Value值，与监控项名称组成keyvalue格式，可以为任意内容 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败），默认值：800 800 errorCode String 失败时的错误代码，参见公共错误码说明 message String 失败时的错误描述，一般为英文描述 Success msgDesc String 失败时的错误描述，一般为中文描述 成功 returnObj Object 返回对象 returnObj 表returnObj 参数 参数类型 说明 示例 下级对象 success Boolean 监控项内容是否更新成功 true

选择终端管理页签，可对终端设置管控。 客户端管理 针对客户端设置卸载密码、桌面快捷方式、升级方式及内容、下载限速。 系统性能监控 实现监控网络流量、CPU、内存及磁盘的使用状况。 Agent管理 配置 说明 密码管理 设置客户端卸载密码，防止客户端意外卸载。适用于需要自定义修改配置策略模板卸载密码场景。 1. 点击卸载密码、退出密码后的图标置于开启状态，开启卸载密码、退出密码功能。 2. 输入密码。 升级设置 设置客户端定期升级，使客户端及规则库保持最新。适用于需要自定义修改升级场景。 1. 勾选定时升级。 2. 设置执行时间，选择升级内容、错峰时间。 执行时间：可配置自动升级时间，支持按每日、每月、每周，并设置具体时间点。 升级内容：支持软件版本、病毒库、网马库、情报库、漏洞库和弱口令库。 错峰时间：避免批量升级客户端引发升级风暴。将在设置的时间内给绑定的终端随机一个时间升级。 下载设置 设置下载限速，保证客户网络环境运行稳定。适用于需要自定义修改升级场景。 时钟同步 开启后，将主机的计算机系统时间修改为管理中心的系统时间，并定期校准。

本文为坐席助手的最佳实践案例介绍。 场景及问题 整体客户咨询服务包含四个主要环节。面对海量用户咨询，运营人员主要依赖知识库通过关键词查询来提供客户服务。因此，服务能力在很大程度上依赖于知识查询效率、业务理解程度和提炼总结能力等。当前存在以下风险： 客户服务体验差 运营服务成本高 业务抗风险能力弱 在有限的运营人员情况下，如何高效且高质量地完成服务？这对传统知识库内的搜索场景提出了新的要求。 现存问题 人工： 经验依赖度高 服务： 效率低，投诉频繁 结果： 首页采纳率低 知识： 规范化程度低 内容： 运营工作量大 解决方案 解决手段： 在知识库内的搜索场景中，提供智能答复能力，以提升运营服务手段。 结合自研大模型的优势，赋能传统知识库，补充AI模块，内部实现知识搜索一键触达，降低经验依赖，使每位员工都能成为运营专家；外部则缩短会话平均时长，提高服务效率和用户满意度。 标签与意图识别： 输入用户问题，输出意图标签以定位目标知识范围。 文档检索及管理： 根据标签结果进行查询，匹配目标文档内容。 大模型问答模块： 结合目标文档内容生成回复答案及参考来源。

保留原volcanoschedulerconfigmap配置 假如在某场景下希望插件升级后时沿用原配置，可参考以下步骤： 步骤 1 查看原volcanoschedulerconfigmap配置，并备份。 示例如下： kubectl edit cm volcanoschedulerconfigmap n kubesystemapiVersion: v1 data: defaultscheduler.conf: actions: "enqueue, allocate, backfill" tiers: plugins: name: priority name: gang name: conformance plugins: name: drf name: predicates name: nodeorder name: binpack arguments: binpack.cpu: 100 binpack.weight: 10 binpack.resources: nvidia.com/gpu binpack.resources.nvidia.com/gpu: 10000 plugins: name: ccegputopologypredicate name: ccegputopologypriority name: ccegpu plugins: name: nodelocalvolume name: nodeemptydirvolume name: nodeCSIscheduling name: networkresource 步骤 2 在控制台“参数配置”中填写自定义修改的内容： { "cacert": "", "defaultschedulerconf": { "actions": "enqueue, allocate, backfill", "tiers": [ { "plugins": [ { "name": "priority" }, { "name": "gang" }, { "name": "conformance" } ] }, { "plugins": [ { "name": "drf" }, { "name": "predicates" }, { "name": "nodeorder" }, { "name": "binpack", "arguments": { "binpack.cpu": 100, "binpack.weight": 10, "binpack.resources": "nvidia.com/gpu", "binpack.resources.nvidia.com/gpu": 10000 } } ] }, { "plugins": [ { "name": "ccegputopologypredicate" }, { "name": "ccegputopologypriority" }, { "name": "ccegpu" } ] }, { "plugins": [ { "name": "nodelocalvolume" }, { "name": "nodeemptydirvolume" }, { "name": "nodeCSIscheduling" }, { "name": "networkresource" } ] } ] }, "servercert": "", "serverkey": "" } 说明 使用该功能时会覆盖原volcanoschedulerconfigmap中内容，所以升级时务必检查是否在volcanoschedulerconfigmap做过修改。如果是，需要把修改内容同步到升级界面里。

本章节主要介绍配置Elasticsearch或云搜索服务源端参数。 作业中源连接为配置Elasticsearch/云搜索服务（CSS）连接时，源端作业参数如下表所示。 表 Elasticsearch或云搜索服务作为源端时的作业参数 参数名 说明 取值样例 索引 Elasticsearch的索引，类似关系数据库中的数据库名称。索引名称只能全部小写，不能有大写。 index 类型 Elasticsearch的类型，类似关系数据库中的表名称。类型名称只能全部小写，不能有大写。 type 拆分nested类型字段 可选参数，选择是否将nested字段的json内容拆分，例如：将“a:{ b:{ c:1, d:{ e:2, f:3 } } }”拆成三个字段“a.b.c”、“a.b.d.e”、“a.b.d.f”。 否 过滤条件 可选参数，CDM只迁移满足过滤条件的数据。 当前仅支持通过Elasticsearch的query string（即q语法）方式对源数据进行过滤。q语法使用方式介绍如下： − 精确匹配时，直接使用 column :data 格式进行匹配过滤。其中column表示字段名，data表示查询条件，例如“lastname:Smith”。 另外，如果查询条件data为带空格的字符串，则需要用双引号包围。如果不指定column，则会对所有字段以data进行匹配。 − 多条查询条件时，可通过连接词组合多个查询条件，格式为column1 :data1 ANDcolumn2:data2。其中，中间的连接词必须用全大写，可以为“AND”、“OR”或“NOT”，且连接词前后要有空格。 例如：“lastname:Smith AND lastname:John”。 − 范围匹配时，可以直接使用条件表达式的方式进行过滤，格式为 column :>data 。其中，操作符支持“>”、“>”、“ 1636905600000 AND time:1637078400000”。也可以配合时间宏变量使用，如“createTime:{timestamp(dateformat(yyyyMMdd,1,DAY))} AND createTime:<{timestamp(dateformat(yyyyMMdd))}”。 − 范围匹配时，也支持使用范围区间语法的方式进行过滤，格式为 column :{data1TOdata2} 。其中，{”、“}”代表不包含该值，“[”、“]”代表包含该值，TO必须大写且前后要有空格，代表所有。 例如：“time:{1636992000000 TO ]”,表示过滤time字段中大于1636992000000的所有数据。也可以配合时间宏变量使用，如“createTime:[{timestamp(dateformat(yyyyMMdd,1,DAY))} TO{timestamp(dateformat(yyyyMMdd))}}”。 暂不支持通过Elasticsearch的query DSL（即DSL语法，Domain Sepcified Language）查询方式对源数据进行过滤。 lastname:Smith 抽取元字段 表示是否抽取索引的元字段，目前只支持（index、type、id、score）例如：index、type、id、score 是 在下一步的字段映射中，源端和目的端均支持配置自定义字段。 详见下图： 配置自定义字段

本文介绍如何通过对象存储上传多种类型的文件。 使用场景 您可以根据需要将文本、图片、视频等文件上传。 使用限制 支持控制台直接上传文件夹。 设定桶的配额可以限制一个桶要上传的对象总容量/总数量。详情请参见桶配额。 当文件名相同的文件上传到同一个Bucket时，若未开启版本控制，新上传的文件将覆盖同名文件，旧文件将被新文件覆盖；若开启版本控制，新上传的文件将创建一个新的版本，而不是直接覆盖原有的同名文件，同一个Bucket下保存多个同名文件的不同版本。 当新上传的文件夹和桶内的文件夹名称相同，若未开启版本控制，上传后旧文件夹和新文件夹将合并。 使用方式 使用方式 参考文档 :: 控制台 详情请参见上传文件。 ZOS管理控制台一次最多可以一次性上传100个文件，总大小为5GB。 如果在ZOS管理控制台只上传一个文件，文件最大大小为5GB。 SDK ZOS支持多种SDK，关于SDK的代码示例请参见开发者文档。 通过SDK的PUT上传、追加上传和预签名上传文件，可以上传小于5GB的文件。 通过SDK的分段上传、断点续传和预签名分段上传，可以上传小于48.8TB的文件。每个分段最大5GB，最多支持1万个分片。 API 详情请参见生成对象上传链接。

步骤3 tail查看文件 查看环境变量文件/etc/profile末尾5行的信息。 输入： tail 5 /etc/profile 输出： . $i fi done unset i fi 通过5的方式来指定需要查看末尾多少行的数据（不指定参数默认查看末尾10行的数据）。 > tail命令参数详情： > > 输入： > > tail help tail 还有一个比较常用的操作是使用参数f，可以实时监控查看的文件，文件一旦新增了内容就会将新增的内容显示出来。 实验小结 本次实验通过敲击一些常用的Linux命令来辅助学习Linux的基础操作，主要有浏览文件、创建文件、文件操作，为后续的Linux高阶语法奠定基础。

托管检测与响应服务（原生版）具备100%处置闭环率、持续保障、快速响应、标准化服务等核心优势。 100%处置闭环率 自动处置能力联动全网威胁情报，实时处置高级威胁，结合云端专家处置升级策略，保证重大事件处置闭环率100%。 持续安全保障 提供N × 24小时的安全保障，持续对云上资产进行告警分析、安全事件监测、漏洞情报捕获。 快速响应及时止损 第一时间介入安全事件发生的环境，对安全事件进行处置，避免类似情况再次发生，防止数据遭受泄露造成经济损失。 标准化服务内容 依托顶尖服务团队及行业标准，提供标准化服务流程和交付内容，保证服务质量。

迁移方案 集群迁移工作主要涵盖以下六个关键环节： 1. 目标集群资源规划： 全面了解云容器引擎集群与自建集群之间的特性差异，合理进行资源分配。为确保迁移后的平稳运行，建议尽可能保持新旧集群在配置上的对应一致性。 2. 集群外资源迁移： 如涉及集群外部资源的迁移，可选用相应的迁移解决方案进行操作。 3. 迁移工具安装： 完成集群外资源转移后，分别在源集群与目标集群中安装迁移工具Velero。 4. 集群内资源迁移： 采用迁移工具Velero，将源集群内部资源备份至对象存储系统，随后在目标集群中执行恢复操作。 1. 原集群应用备份： 用户启动备份流程时，Velero会在源集群中生成Backup对象，同步收集并备份相关数据及资源，然后将其打包上传至符合S3协议的对象存储。备份的各类集群资源将以JSON格式文件保存。 2. 目标集群应用恢复： 在目标集群进行还原时，Velero会定位到先前存储备份数据的临时对象桶，将备份数据下载至新集群环境中，依据JSON文件内容逐一重新部署各项资源。 5. 资源更新适配： 迁移后的集群资源可能出现部署问题，此时需对存在问题的资源进行针对性更新适配，主要涵盖以下几类情况： 镜像更新适配 访问服务更新适配 StorageClass更新适配 数据库更新适配 6. 其他后续工作： 集群资源部署无误后，对迁移后应用的各项功能进行全面验证，逐步将业务流量切至新集群。确认所有服务均正常运作后，可将原集群安全下线。

本节介绍了创建有状态工作负载(StatefulSet)的用户指南。 基本概念 有状态工作负载：即kubernetes中的“StatefulSet”，有状态工作负载支持实例有序部署和删除，支持持久化存储，适用于实例间存在互访的场景，如ETCD、mysqlHA等。 操作场景 在运行过程中会保存数据或状态的工作负载称为“有状态工作负载（statefulset）”。例如Mysql，它需要存储产生的新数据。因为容器可以在不同主机间迁移，所以在宿主机上并不会保存数据，这依赖于云容器引擎提供的高可用存储卷，将存储卷挂载在容器上，从而实现有状态工作负载的数据持久化。 约束与限制 当您删除或扩缩有状态负载时，为保证数据安全，系统并不会删除它所关联的存储卷。 当您删除一个有状态负载时，为实现有状态负载中的Pod可以有序停止，请在删除之前将副本数缩容到0。 您需要在创建有状态负载的同时，创建一个Headless Service，用于解决有状态负载Pod互相访问的问题，详情请参见Headless Service。 节点不可用时，Pod状态变为“未就绪”，此时需要手工删除有状态工作负载的Pod，Pod实例才会迁移到正常节点上。 前提条件 在创建容器工作负载前，您需要存在一个可用集群。若没有请参照集群开通中内容创建。 若工作负载需要被外网访问，请确保集群中至少有一个节点已绑定弹性IP，或已购买负载均衡实例。 创建多个工作负载时，请确保容器使用的端口不冲突 ，否则部署会失败。

本节介绍了虚拟机如何通过NAT网关配置实现公网互访。 虚拟机可以通过绑定弹性公网IP或NAT网关或负载均衡等多种方式实现公网访问，本节内容主要介绍通过NAT网关实现公网互访。 NAT网关为虚拟私有云（Virtual Private Cloud，VPC）内的计算实例提供网络地址转换服务，实现多个虚拟机使用相同的弹性IP访问Internet或提供互联网接入服务。 NAT网关支持设置SNAT规则，即虚拟机访问公网，出方向访问；也支持设置DNAT规则，外部访问虚拟机，入方向访问。 前提条件 已创建VPC网卡虚拟机。 已创建相同VPC的NAT网关。 已创建空闲的公网IP。 虚拟机通过NAT网关访问公网 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>公网IP&带宽>公网IP】，在【IP列表】选择空闲状态的IP，单击【操作>绑定】。 3. 在【公网IP绑定】界面，实例类型选择【NAT网关实例】，选择需要绑定的NAT网关，单击【提交】完成弹性公网IP绑定NAT网关。 4. 单击左侧【NAT网关】导航栏，在【NAT网关列表】选择已绑定了弹性公网IP的NAT网关，单击【操作>设置规则】进入网关详情。 5. 在网关详情页，选择【SNAT规则】页签，单击【SNAT规则】，弹窗【添加SNAT规则】页面。 6. 在【添加SNAT规则】页面，子网需要选择与虚拟机VPC网卡相同的子网，【弹性公网IP】选择已绑定的公网IP，下拉项只会显示已绑定的公网IP，单击【提交】完成规则设置。 7. 在【SNAT规则】页签可以查看已添加的规则。 8. 登录虚拟机，输入账号密码，ping测公网可ping测成功。

本文主要介绍节点DNS检查. 检查项内容 当前检查项包括以下内容： 检查当前节点DNS配置是否能正常解析OBS地址 检查当前节点是否能访问存储升级组件包的OBS地址 解决方案 节点升级过程中，需要从OBS拉取升级组件包。此项检查失败，请联系技术人员支持。

服务阶段 实施任务 实施内容 交付物 购买阶段 购买安全评估服务 请您根据实际需求及服务团队沟通建议购买安全评估服务，购买指引请参见 购买阶段 发起安全评估服务需求 在控制台创建安全评估服务需求，详细操作请参见 准备阶段 确定评估范围、评估人员、评估工具及计划 确定安全评估范围，评估人员及评估工具，制定评估计划，按照计划时间开展评估工作 评估阶段 资产脆弱性扫描 利用用户漏洞扫描产品进行资产扫描，同时整合托管运营平台的脆弱性分析，从主动和被动识别两个维度进行业务资产现存漏洞问题的交叉识别，输出《业务资产安全漏洞清单》，安全服务专家对扫描出来的漏洞进行威胁分析和重要程度排序。漏洞扫描范围包含云主机、Web业务系统、数据库 《业务资产安全漏洞清单》 评估阶段 业务资产脆弱性分析 云端安全专家结合服务资产的业务特征和托管运营平台所采集的流量分析日志，综合分析业务资产存在的弱密码和明文传输等脆弱性问题，并执行脆弱性风险分析，对脆弱性问题进行排序，整合《业务资产安全漏洞清单》输出《业务资产脆弱性问题清单》 《业务资产脆弱性问题清单》 验收阶段 验收 汇总漏洞及业务脆弱性问题，提交安全评估服务报告 《安全评估服务报告》

本节介绍了下载备份文件的操作场景、约束限制和操作步骤等相关内容。 操作场景 用户可以下载手动和自动备份文件，用于本地存储备份。 云数据库 RDS for MySQL支持用户下载全量备份，下载的备份文件格式为.qp。 约束限制 处于冻结状态的实例不允许下载全量备份文件。 如果您想下载备份文件，请联系客服人员开通权限。 若备份文件大于400MB，建议您使用OBS Browser+下载。 方式1：使用OBS Browser+下载 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的 ，选择区域。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“备份管理”页面，选择需要下载的可用备份，单击操作列中的“下载”。 您也可进入目标实例的“基本信息”页面，在左侧导航栏选择“备份恢复”，在“全量备份”页签下，单击操作列中的“下载”。 步骤 5 在弹出框中，单击“OBS Browser+下载”，根据界面提示，通过OBS Browser+客户端下载RDS备份文件。 1. 下载客户端工具OBS Browser+。 2. 解压并安装OBS Browser+。 3. 使用下载指导页面步骤2的用户名，登录客户端工具OBS Browser+。 4. 使用下载指导页面步骤2的桶名，挂载外部桶。 5. 下载备份文件。 在OBS Browser+界面，单击添加成功的外部桶桶名，进入对象列表页面，在右侧搜索栏，输入“备份文件名称”并检索，单击“下载”。 6. 备份文件下载完成后，配置OBS Browser+启用证书校验。

本文内容主要介绍绑定弹性公网IP 操作场景 副本集实例创建成功后，支持用户绑定弹性公网IP，通过公共网络访问数据库实例，绑定后也可根据需要解绑。 注意事项 在访问数据库前，您需要在虚拟私有云申请一个弹性公网IP，并将访问数据库的IP地址，或者IP段加安全组入方向的访问规则。 副本集实例仅支持Primary和Secondary节点绑定弹性公网IP。对于已绑定弹性公网IP的节点，需解绑后，才可重新绑定其他弹性公网IP。 绑定弹性IP 步骤 1 在“实例管理”页面，选择指定的副本集实例，单击实例名称。 步骤 2 在左侧导航树，单击“连接管理”。 步骤 3 在“基本信息”区域的目标节点上，单击“绑定弹性IP”。 步骤 4 在弹出框的弹性IP列表中，显示“未绑定”状态的弹性IP，选择所需绑定的弹性IP，单击“确定”，提交绑定任务。如果没有可用的弹性IP，单击“查看弹性IP”，创建新的弹性IP。 步骤 5 在目标节点的“弹性IP”列，查看绑定成功的弹性IP。 解绑弹性IP 步骤 1 对于已绑定弹性公网IP的节点，在“实例管理”页面，选择指定的副本集实例，单击实例名称。 步骤 2 在左侧导航树，单击“连接管理”。 步骤 3 在“基本信息”区域的目标节点上，单击“解绑弹性IP”。 步骤 4 在弹出框中，单击“确定”，解绑弹性公网IP。

名称 描述 ContentLength 响应体的长度。 ContentType 响应内容的MIME类型。 Date OOS返回响应的日期和时间。 ETag 文件的哈希值。ETag只反映了文件的内容，而不是其元数据。此响应头可以用作数据完整性检查，以验证数据是否与客户端发送的数据相同。 Server 服务端名称，默认值是CTYUN。 xamzrequestid 用于唯一标示请求的ID。 Connection 客户端与OOS服务器之间的连接状态。 如果请求时Connection值为keepalive，请求结束后继续保持连接，不返回此响应头。 如果请求时Connection值为close，请求结束后关闭连接，返回此响应头Connection: close。

KMS提供两类SDK，分别为服务SDK和客户端加密SDK，您可以根据业务需求选择合适的SDK。 服务SDK 服务SDK对应KMS服务实例的API，当前支持Java语言，详细内容请参见服务SDK。 客户端加密SDK 客户端加密SDK是一个在应用侧集成的密码算法库，通过与密钥管理服务结合使用，提供数据加解密、文件加解密等功能，帮助在应用本地完成大型文件数据的加解密。详细内容请参见客户端加密模块概述。

DMS操作审计详情 用户点击详情按钮，会弹出详情界面。除上述基本信息外，详情界面还会展示具体的操作内容。 查看工单详情 用户点击日志记录中的 工单号 ，会跳转到工单详情界面，展示工单号、工单类型、工单状态、创建人、创建时间、工单说明、预检查结果、工单审批流程、异常信息等关键内容。 操作风险配置 DMS操作审计支持用户根据事件类型自定义操作风险等级，点击 操作风险配置 ，可对每一种事件类型设置不同的操作风险等级。进行配置时，可以直接对二级菜单选择风险等级，此时该二级菜单下的所有事件都会设定为同一风险等级。

灵活的数据抽取 用户可基于自身需要，可灵活配置数据抽取的增量条件，数据脱敏系统可支持的增量条件包括但不限于：基于时间戳、基于主键或唯一键、基于分区或分片。 水印溯源 支持多种数据水印格式，包括并不限于伪行水印、伪列水印、脱敏水印、内容修改水印、零宽水印： 伪行 伪列水印：通过添加配置比例的数据行或数据列来插入水印信息，当数据泄漏后，通过提取伪行 伪列水印信息来进行泄漏追溯。 脱敏水印：支持基于数据本身特征脱敏水印方式，不影响业务逻辑的同时能有效的避免了水印数据被绕开。 内容修改水印算法：适用于不能影响数据的业务含义并具有较强的业务使用或分析需求的场景，同时隐蔽性要求高。 零宽水印算法：在常见办公软件（office等）或数据库管理软件（dbeaver等）打开时是不可见的，在可视宽度上是不可感知的，不易单独选中。更适用于以文件形式发放数据，在文件中的数据内容中添加水印的场景。

高并发访问场景 业务挑战：金融机构的网站和应用需要在高并发情况下保持稳定运行，同时提供快速的数据传输和响应时间，以满足用户的高要求和期望。 方案优势：AOne利用内容分发网络（CDN）技术，将静态内容缓存到离用户更近的边缘节点，提高内容加载速度，优化网站和应用程序的性能，提供更快速、流畅的用户体验。 电子交易加速场景 业务挑战：电子交易需要毫秒级的响应时间，任何延迟都可能影响交易的准确性和效率。 方案优势：AOne的低延迟网络连接和智能负载均衡技术，加速电子交易的执行速度，确保交易的实时性和精确性。 IPv6升级改造 业务挑战：IPv6升级涉及源站改造难度大，需要确保新网络环境下的数据和通信的安全性，以及数据传输和响应速度。 方案优势：AOne支持一键极速升级并同时满足性能和安全性，通过提供双栈支持，使得IPv4和IPv6网络能够协同运行，加速灾难恢复过程。 两地三中心 业务挑战：两地三中心架构中，需要保障数据同步实时性和一致性，并实现灾难的快速恢复。 方案优势：AOne可以提供高速、稳定的网络连接，帮助实现两地数据中心之间的实时数据同步，确保数据的准确性和一致性。

TeleDB管控数据传输服务由管理模块、执行模块、稽核模块、核心配置集群、核心配置库组成，本文为您详细介绍具体的模块。 TeleDB管控数据传输服务由管理模块、执行模块、稽核模块、核心配置集群、核心配置库组成，具备广泛的兼容性，支持从多种数据源（如Oracle、MySQL、PostgreSQL等）迁移数据至TeleDB。这一功能为各类客户提供了一种简便、顺畅的迁移方式，能够顺利完成数据的迁移与整合。 管理模块 ：接受外部用户对系统的请求，对操作请求进行预处理和分发，并兼具进行任务管理、任务配置、监控数据查看、日志查看、工作节点调度等功能。 执行模块 ：具体负责执行数据迁移，接收管理模块的任务请求，依序执行迁移评估、结构迁移、全量迁移、增量迁移的具体工作流程。 稽核模块 ：负责在全量迁移完成后，对存量数据的正确性进行数据比对。包含对象级稽核、行级稽核、内容级稽核三个级别。对象级稽核比对源端和目标端数据库对象的结构是否一致，行级稽核比对源端表和目标端对应表的数据行数是否一致，内容级稽核比对源端表和目标端对应表的数据内容是否一致。 核心配置集群 ：负责增量任务位点管理、实时监控数据存储、任务状态存储和工作节点高可用。 核心配置库 ：负责存储和管理用户的任务信息以及部分元数据信息。

名称 类型 是否必选 示例值 描述 action String 是 QuerySendDetails 系统规定参数。取值： QuerySendDetails 。 currentPage Int 是 1 分页查看发送记录，指定发送记录的当前页码。 pageSize Int 是 10 分页查看发送记录，指定每页显示的短信记录数量。取值范围为1~50。 phoneNumber String 是 1890000 接收短信的手机号码。格式：国内短信：11位手机号码，例如1590000。 sendDate String 是 20220328 短信发送日期，支持查询最近30天的记录。格式为yyyyMMdd，例如20181225。 signName String 否 签名 对应发送内容的签名。 templateCode String 否 SMS73419576145 对应发送内容的模板编号。 requestId String 否 49667481793 对用发送时返回的流水号。

本文介绍关闭服务后的配置保留情况。 您可以通过停用域名实现关闭加速服务。 如果客户自助对域名主动发起停用操作后，天翼云视频直播会将加速域名的CNAME入口解析至不可用地址，直播控制台上域名状态变更为【停止】。

本节介绍了分布式消息服务RabbitMQ产品计费模式的区别。 包周期（包年/包月）、按需2种计费模式供您灵活选择，使用越久越便宜。 按包周期实例计费 天翼云提供包月和包年的购买模式。这种购买方式相对于按需付费则能够提供更大的折扣，对于长期使用者，推荐该方式。包周期计费按照订单的购买周期来进行结算。 按需实例计费 这种购买方式比较灵活，可以即开即停，支持秒级计费。实例从“开通”开启计费到“删除”结束计费，按实际购买时长（精确到秒）计费。 下表列出两种模式的区别： 计费模式 包年/包月 按需计费 付费方式 预付费按照订单的购买周期结算。 后付费按照云服务器实际使用时长计费。 计费周期 按订单的购买周期计费。 按小时结算。 实例升级 支持扩容，工单施工完生效，但是施工过程中服务不可用；不支持缩容。 支持扩容，工单施工完生效，但是施工过程中服务不可用；不支持缩容。 更改计费模式 支持变更为按需资源。 支持变更为包周期资源。 变更规格 支持变更实例规格。 支持变更实例规格。 适用场景 适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。对于长期使用者，推荐该方式。 适用于消息资源需求波动的场景，可以随时开通，随时删除。 变更配置：天翼云分布式消息服务支持计费模式变更，更多操作内容请参考按需转包周期。

本节介绍了智能语音交互使用限制类问答。 语音合成服务对于文本格式是否有要求？ 具体语音合成服务文本格式要求也可以参考语音合成API。 目前仅支持 base64 编码方式请求，暂不支持 url 方式请求。 一次请求仅支持一条数据。 智能语音交互产品是HTTP GET请求还是HTTP POST请求？ 智能语音交互产品以API的方式提供服务，支持HTTP POST请求。 HTTP POST提供了加密传输、身份验证和授权以及请求参数验证和过滤等机制，从而可以更好的保障用户的数据安全。 智能语音交互能否提供100%识别准确率？ 智能语音交互准确率与上传的文本内容质量相关，同时也存在一定概率的误差，无法做到100%识别准确率。 如您对当前使用的智能语音交互产品服务有识别准确率相关问题，您可通过提交天翼云官网工单或者拨打客服电话【4008109889转1】联系我们。 QPS不够用怎么办？ 默认支持5个QPS，建议您在程序中可以进行一定的请求限制，避免收到大量限流报错。 注意：如果您的程序在失败时有重试机制，当您扩大并发量后接口返回错误码时，请不要重试，否则可能加重限流报错情况。 智能语音交互服务是否支持私有化部署？ 智能语音交互支持公有云、私有化部署。 您可通过提交天翼云官网工单或者拨打客服电话【4008109889转1】沟通私有化部署相关合作。

本章节内容主要介绍常见问题中通用类 使用文档数据库服务要注意什么? 故障切换 文档数据库实例采用多路由+多分片+副本集的部署形态，当路由主机出现故障时，可实时动态切换。副本集包含多个副本，当主节点发生故障时，系统会在30秒之内切换到备节点。 实例的弹性云主机，对用户都不可见，这意味着，只允许用户应用程序访问数据库对应的IP地址和端口。 文档数据库服务使用的对象存储服务上的备份文件，对用户不可见，它们只对后台管理系统可见。 申请文档数据库服务后，您还需要做什么？ 您不需要进行数据库的基础运维（比如高可用、安全补丁等），但是您还需要重点关注以下事情： 文档数据库实例的CPU、IOPS、空间是否足够，如果不够需要优化或者扩容。 文档数据库实例是否存在性能问题，是否有大量的慢查询，查询语句是否需要优化，是否有多余的索引或者索引缺失等。 什么是文档数据库实例可用性? 文档数据库实例可用性的计算公式： 实例可用性（1–故障时间/服务总时间）×100% 我的实例是否会受其他用户实例影响? 文档数据库实例不会受其他用户实例影响，因为每个用户的实例与其他用户的实例是独立的，并且有资源隔离，互不影响。 文档数据库服务支持读写分离吗? 文档数据库服务支持读写分离，它的写操作仅可以在副本集中的主节点上进行，用户通过配置实现读操作在从节点进行。

场景描述 国密型VPN网关证书到期或失效后，需要更换VPN网关证书。 更换VPN网关证书，对端网关需要使用新的配套CA证书与VPN网关进行重协商，否则连接中断。 操作步骤 1. 登录管理控制台，单击“网络 > VPN”进入VPN控制台。 2. 在左侧导航栏，单击“虚拟专用网络 > 企业版VPN网关”。 3. 在“VPN网关”界面需要上传证书的国密型VPN网关所在行，选择“更多 > 查看/上传证书”。 4. 单击“更换”，根据界面提示填写相关信息。 表VPN网关证书参数说明 参数 说明 取值样例 证书名称 不支持修改。 与原证书名称保持一致。 新签名证书 签名证书用于对数据进行签名认证，以保证数据的有效性和不可否认性。 以文本方式打开签名证书PEM格式的文件（后缀名为“.pem”），将证书内容复制到此处。 签名证书需要同时上传签发此签名证书的CA证书。 BEGIN CERTIFICATE 签名证书 END CERTIFICATE BEGIN CERTIFICATE CA证书 END CERTIFICATE 新签名私钥 签名私钥用于对签名证书加密过的数据进行解密，签名私钥是非公开的，由用户自行保管。 以文本方式打开签名私钥KEY格式的文件（后缀名为“.key”），将私钥复制到此处。 BEGIN EC PRIVATE KEY 签名私钥 END EC PRIVATE KEY 新加密证书 加密证书用于对VPN连接的传输数据进行加密，以保证数据的保密性和完整性。签发该加密证书的CA机构需和签发签名证书的CA机构保持一致。 以文本方式打开加密证书PEM格式的文件（后缀名为“.pem”），将证书内容复制到此处。 BEGIN CERTIFICATE 加密证书 END CERTIFICATE 新加密私钥 加密私钥用于对加密证书加密过的数据进行解密，加密私钥是非公开的，由用户自行保管。 以文本方式打开加密私钥KEY格式的文件（后缀名为“.key”），将私钥内容复制到此处。 BEGIN EC PRIVATE KEY 加密私钥 END EC PRIVATE KEY 5. 勾选“我已知晓上述内容，确认更换证书”，单击“确定”。

本文主要为您介绍如何开启防敏感信息泄露防护，以及如何配置防敏感信息泄露规则。 网站域名接入Web应用防火墙后，您可以选择开启防敏感信息泄露功能，并配置防敏感信息泄露规则，可对网页中的敏感信息或指定的HTTP响应码页面进行过滤或拦截。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版和标准版不支持防敏感信息泄露功能，请升级到更高版本使用。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“防敏感信息泄露”模块，可以选择开启/关闭防护。 7. 点击防护规则右侧的“前去配置”，进入防敏感信息泄露规则页面。 8. 单击“新建防护规则”，在弹出的对话框中，配置防敏感信息泄露规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 匹配条件 选择需要在响应信息中检测的敏感信息类型，包括敏感信息、响应码、关键字。 敏感信息：用户的个人身份信息，包括身份证号、电话号码、电子邮箱等。 响应码：指定的HTTP响应码，比如401、402、403等。 关键字：自定义需要检测关键字。 匹配内容 根据所选匹配条件，对应不同的内容。 敏感信息：包括身份证号、电话号码、电子邮箱等。 响应码：选择特定的HTTP请求状态码。 关键字：需要手动输入匹配的关键字。 防护路径 需要防护的URL的路径。 执行动作 选择在响应信息中检测到敏感信息后系统执行的动作。 观察：仅通过日志记录匹配到的页面和内容，不进行拦截。 信息脱敏全部屏蔽：对匹配到的内容，将被全部进行脱敏展示。 信息脱敏自定义范围：选择该项，还需要配置“显示”或“屏蔽”具体的范围。 拦截：拦截匹配到的页面和内容，并向发起请求的客户端返回拦截响应页面。 规则描述 可选项。设置规则的描述信息。 9. 单击“确定”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

混合云一体机集成天翼云平台，提供计算、存储、网络、监控、管理等全栈云服务。 计算 弹性云主机：由CPU、内存、镜像、云硬盘组成，是一种可随时获取、即开即用、可弹性扩展的计算服务器。一体机支持创建通用型、计算增强型、内存优化型多种云主机类型，同时支持云主机组、云主机快照等功能。 GPU云主机：结合了GPU计算力与CPU计算力，满足客户在人工智能、高性能计算、专业图形图像处理等场景中的需求。一体机通过扩展GPU服务器的方式支持GPU云主机，GPU云主机支持虚拟化、直通技术。 标准裸金属：具有物理资源独享、高性能的特点，适合部署核心数据库等关键系统。一体机通过虚拟裸金属网关实现对物理服务器的统一纳管。 镜像服务：是弹性云主机实例可选择的运行环境模板，一般包括操作系统和预装软件。云镜像服务包括公共镜像、私有镜像及共享镜像。 弹性伸缩服务：通过策略自动调整计算资源的管理服务。用户通过管理控制台设定弹性伸缩组策略，弹性伸缩服务将根据预设规则自动调整伸缩组内的云主机数量，降低人为反复调整资源以应对业务变化和高峰压力的工作量，帮助用户节约资源和人力成本。 存储 云硬盘：基于分布式架构的、可弹性扩展的数据块级存储设备。可为云主机提供系统盘和数据盘，满足文件系统、数据库或者其他应用等的存储。 云硬盘备份：针对云主机的系统盘、数据盘提供的备份服务。用户可对存储重要数据的磁盘进行备份，并在云主机磁盘故障、用户误删数据、遭到黑客攻击等情况下将备份数据快速恢复到源盘，有效保证用户数据的安全性。 云主机备份：支持多云硬盘一致性快照技术的备份服务，支持利用备份数据恢复弹性云主机数据，提供数据备份和操作恢复的整体方案，具备实时增量备份、快速数据恢复能力，有效保障用户数据的安全性和正确性，确保业务安全。 文件存储：提供按需扩展的高性能文件存储，可为多个弹性云主机、标准裸金属提供共享访问，具备高可用性和高数据持久性。 对象存储：存储非结构化数据（图片、音视频、文本等格式文件），根据客户需求空间确定存储容量。 网络 扁平网络：可与物理机网络直通，也可通过物理网络设置网关和路由直接访问互联网的网络。 虚拟私有云：为云主机等云上资源提供可配置、可管理的虚拟网络环境，不同虚拟私有云之间二层逻辑隔离。 弹性IP：将弹性IP地址和子网中关联的弹性云主机绑定和解绑，可以实现VPC中的弹性云主机通过固定的公网IP地址与互联网互通。 负载均衡：通过将访问流量自动分发到多台云主机，扩展对外的服务能力，解决大量并发访问服务器的问题，实现更高水平的应用程序容错性能。 对等连接：是指两个VPC之间的网络连接。用户可以使用私有IP地址在两个VPC之间进行通信，就像两个VPC在同一个网络中一样。用户可以在自己租户的VPC之间创建对等连接，也可以在自己租户的VPC与其他租户的VPC之间创建对等连接。 安全组：是云主机级别的流量防护规则，默认安全组default放通全部协议全部端口的流出。 ACL：是一个子网级别的流量防护规则，用户可以自定义设置网络ACL规则，并将网络ACL与子网绑定，实现对子网中云主机实例流量的访问控制。通过与子网关联的出方向/入方向规则控制出入子网的流量数据。 NAT网关：能够为虚拟私有云内的弹性云主机提供网络地址转换服务，使多个弹性云主机可以共享使用弹性IP访问Internet。 VPN连接（选配）：基于Internet、通过IPSec加密通道连接用户的企业数据中心和一体机的虚拟私有云（VPC），实现两侧资源的内网互通，帮助用户轻松实现混合云环境的部署。 监控 云主机监控：包括CPU使用率、网络流入流出流量的速率、内存使用率、磁盘分配率、磁盘使用率、磁盘剩余存储量等图表数据。 云硬盘监控：包括磁盘读速率、磁盘读请求速率、磁盘写速率、磁盘写请求速率。 弹性IP监控：包括流入流出带宽、网络流入流出速率。 负载均衡监控：包括入网流量、出网流量、出网带宽、活跃连接数、新建连接数、并发连接数等。 管理 云服务：为用户提供资源创建、管理能力，比如创建云主机、管理VPC等。 运维监控：支持通过拓扑、大屏、仪表盘等形式提供告警、性能监控、日志等基础运维服务。 运营管理：匹配组织架构，提供用户管理、配额管理、角色管理等管理能力。