本节介绍了云容器引擎的最佳实践:存储卷。 存储基础知识 云容器引擎使用Kubernetes编排系统作为集群、应用、存储、网络等模块的管理平台。本文为您介绍容器存储相关的基础知识，以便在使用容器服务的存储能力时，了解相应模块的基础知识和使用原则。 数据卷（Volume） 因为容器中的文件在磁盘上是临时存放的，所以Kubernetes定义了数据卷（Volume）以解决容器中的文件因容器重启而丢失的问题。数据卷（Volume）是Pod与外部存储设备进行数据传递的通道，也是Pod内部容器间、Pod与Pod间、Pod与外部环境进行数据共享的方式。数据卷（Volume）定义了外置存储的细节，并内嵌到Pod中作为Pod的一部分。实质是外置存储在Kubernetes系统的一个资源映射，当负载需要使用外置存储的时候，可以从数据卷（Volume）中查到相关信息并进行存储挂载操作。 数据卷（Volume）分类 描述 本地存储 适用于本地存储的数据卷，例如HostPath、emptyDir等。本地存储卷的特点是数据保存在集群的特定节点上，并且不能随着应用漂移，节点停机时数据即不再可用。 网络存储 适用于网络存储的数据卷，例如Ceph、GlusterFS、NFS、iSCSI等。网络存储卷的特点是数据不在集群的某个节点上，而是在远端的存储服务上，使用存储卷时需要将存储服务挂载到本地使用。 Secret和ConfigMap Secret和ConfigMap是特殊的数据卷，其数据是集群的一些对象信息，该对象数据以卷的形式被挂载到节点上供应用使用。 PVC 一种数据卷定义方式，将数据卷抽象成一个独立于Pod的对象，这个对象定义（关联）的存储信息即存储卷对应的真正存储信息，供Kubernetes负载挂载使用。 数据卷（Volume）使用原则：一个Pod可以挂载多个数据卷（Volume）。一个Pod可以挂载多种类型的数据卷（Volume）。每个被Pod挂载的Volume卷，可以在不同的容器间共享。Kubernetes环境推荐使用PVC和PV方式挂载数据卷（Volume）。虽然单Pod可以挂载多个数据卷（Volume），但是并不建议给一个Pod挂载过多数据卷。

配置 说明 是否迁移数据库账号和权限 请根据实际情况选择是否迁移源库的账号和权限。若选择“是”： 会对源库账号的授权信息和目标库登录用户的授权信息进行检查；如果目标库登录用户不包含源库账号所需的授权信息，则该源库账号的权限不进行迁移。 如果源库和目标库存在相同的账号信息，则在目标端会跳过该账号和权限的迁移。 账号迁移在所有表，视图，函数等结构迁移完成之后再迁移。 是否将目标库实例属性设置为只读 请根据实际情况选择是否将目标库实例属性设置为只读，仅当目标库为云实例时可设置。若选择“是”，则DTS任务运行时，目标库实例只允许DTS进行写操作，其它均不可写。 是否限制全量迁移速率 请根据实际情况选择是否设置全量限速。若选择“限速”，则可以按每秒全量迁移的行数RPS、每秒全量迁移的数据量(MB)两个维度进行设置，可单独设置任一维度，也可同时设置；同时设置时，系统以先达到的限速条件为准。 是否限制增量迁移速率 请根据实际情况选择是否设置增量限速。若选择“限速”，则可以按每秒增量迁移的行数RPS、每秒增量迁移的数据量(MB)两个维度进行设置，可单独设置任一维度，也可同时设置；同时设置时，系统以先达到的限速条件为准。 大小写策略 请根据实际情况选择大小写策略。大小写策略适用于当前配置页面上未选择或修改的级别数据，如选择了整库则针对表名和列名做转换， 如果选择了表，则对列名做转换。 选择"源和目标保持一致"时，目标库将和源库保存一致。 选择“转换为小写”时，目标库的对象名将转换为小写。 双向同步方案 请根据实际情况选择双向同步方案。 选择“回环表方式”，兼容性强，但会对数据库CPU造成额外开销。 选择“内核打标方式”时，性能优、延迟低、数据一致性高，但依赖数据库内核能力，仅当两端数据库为云实例，且均支持打标时可选。

本文主要介绍云日志服务如何创建告警规则。 告警规则为监控告警的管理单元，一条完整的告警规则包含监控日志单元对象、触发条件、检查频率、通知策略与告警内容等信息。本文将介绍如何创建告警规则。 前提条件 已创建日志项目、日志单元并完成日志数据接入。 已创建通知策略，详情请查看通知策略管理。 操作步骤 1. 登录云日志服务控制台。 2. 左侧导航栏点击告警规则模块，进入告警规则页面。 3. 点击创建告警规则。 4. 创建告警配置，请按如下说明配置参数。并点击新建，完成告警规则设置。 参数 说明 告警名称 设置告警名称 检查频率 告警规则的执行周期，支持固定频率与固定时间； 固定频率：按固定的时间间隔执行一次监控任务时间间隔，支持设置分钟、小时、天的频率； 固定时间：按固定的时间点，每天执行一次监控任务。 日志查询 查询对象：选择需要进行监控的日志项目与日志单元； 查询时间范围：针对目标日志单元进行检索时的时间范围； 查询执行：针对目标日志单元的查询分析条件，填入日志查询分析语句，点击【预览】按钮可预览检索结果，当检索结果满足触发条件时，则触发告警。关于如何填写查询分析语句，请参考日志查询语法与SQL统计语法。 触发条件 当目标日志单元的检索结果满足触发条件时，则触发告警通知。可同时设置多条触发条件，目前支持两类触发条件： 检索结果有数据：当检索结果有日志数据时即触发告警； 检索结果有特定条数据：当检索结果中的日志数据满足一定条件时即触发告警，可设置条件表达式。 有数据匹配：输入具体的条件表达式，当条件表达式返回为true的时候，产生告警，否则不产生告警。 有特定条数据匹配：输入具体的条件表达式，当条件表达式返回为true且满足特定条数据条件时，产生告警，否则不产生告警。 通知策略 选择已创建好的通知策略。 告警内容 告警内容将作为告警信息中的一个字段，告警内容支持插入各类变量。

本节介绍如何通过安全看板查看IPS防护信息。 您可通过安全看板快速查看攻击防御功能（IPS、反弹Shell、敏感目录扫描、病毒防御）的防护信息，及时调整IPS防护。 通过安全看板查看IPS防护信息 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“攻击防御> 安全看板”，进入“安全看板”页面。 5. 在页面上方，选择“互联网边界”或“VPC边界”页签。 6. 查看防火墙实例下防护规则的统计信息，您可以在下拉框中选择查询时间。 安全看板：IPS检测到的攻击总数、放行/拦截的总数、被攻击的端口个数。 攻击趋势：IPS阻断或放行的流量次数。 可视化统计：IPS检测/拦截到的攻击参数TOP 5的排行，参数说明如下。单击单条数据查看攻击事件详情。 参数名称 参数说明 攻击类型 攻击的类型。 TOP内部攻击来源IP 云内资产攻击外部IP时，云内资产的IP。 TOP外部攻击来源IP 外部IP攻击云内资产时，外部的IP。 TOP外部攻击来源地区 外部IP攻击云内资产时，外部IP的来源地区。 TOP攻击目的IP 攻击事件中的目的IP。 TOP被攻击端口 攻击事件中受到攻击的端口。 TOP攻击统计： 查看指定时间段内IPS检测/拦截中攻击次数TOP 50信息。 TOP攻击来源统计：来源IP、来源类型等信息。 TOP攻击目的统计：目的IP、目的端口、目的应用等信息。 说明 该IP地址是正常数据：单击“操作”列的“加白名单”，快速将该IP地址加入至白名单中，后续CFW将直接放行该IP地址的流量。 该IP地址是恶意攻击：单击“创建为地址组”或“添加到地址组”快速将多个IP地址添加至地址组中，添加后手动配置阻断的防护规则拦截恶意攻击，配置防护规则请参见“通过添加防护规则拦截/放行流量”。

后续管理 运维用户提交工单后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。 相关管理员审批工单通过后，运维用户权限立刻生效，即可在授权范围和时间段拥有命令操作权限。 相关管理员撤销工单权限后，运维用户权限立刻失效，操作命令会再次被拦截。 数据库授权工单 云堡垒机支持对数据库操作进行“动态授权”管理，加强对数据库关键操作的限制管理。 当运维用户登录数据库进行运维操作时，触发“动态授权”数据库控制策略的操作命令，系统会自动拦截操作命令，生成数据库授权工单。管理员将会收到工单审批申请。当管理员用户批准工单后，运维用户才有执行该数据库“动态授权”操作命令的权限。 本小节主要介绍如何管理数据库授权工单。 约束限制 仅专业版实例支持数据库运维操作审计。 仅针对MySQL和Oracle类型数据库，支持拦截敏感操作生成工单。 数据库授权工单由运维用户触发命令策略，自动创建，不能手动创建。 前提条件 已获取“数据库授权工单”模块管理权限。 已触发操作拦截，生成数据库授权工单。 操作步骤 1 登录云堡垒机系统。 2 选择“工单 > 数据库授权工单”，进入数据库授权工单页面。 数据库授权工单列表 3 提交工单。 单击指定工单“操作”列的“提交”，手动提交工单给管理员审批。 若工单被管理员驳回，可修改工单信息后再次提交工单。 4 撤回工单。 单击指定工单“操作”列的“撤回”，即可取消已提交的工单申请，工单状态变为“已撤回”。 5 修改工单信息。 单击“管理”，进入工单详情页面，即可查看工单基本信息。 单击工单详情页面编辑，即可修改工单授权运维时间。 “审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。 6 删除工单。 单击指定工单“操作”列的“删除”，可以删除该工单。 同时勾选多个工单，单击列表下方的“删除”，批量删除多个工单。 删除后工单信息不能找回，请谨慎操作。

参数 参数类型 说明 示例 下级对象 gwLbID String 网关负载均衡 ID gwlbxxx name String 名字 test description String 描述 desc vpcID String 虚拟私有云 ID vpcxxx subnetID String 子网 ID subnetxxx portID String 网卡 ID portxxx ipv6Enabled Boolean 是否开启 ipv6 true privateIpAddress String 私有 IP 地址 192.2.2.2 ipv6Address String ipv6 地址 2001:db8:85a3::8a2e:370:7334 slaName String 规格 elb.default deleteProtection Boolean 是否开启删除保护 true createdAt String 创建时间 20231218 10:00:00 updatedAt String 更新时间 20231218 10:00:00 natType Integer nat类型 0 projectID String 企业项目ID，默认"0" 0

poweroff Connection closed by foreign host. Disconnected from remote host at 11:08:54. Type help´ to learn how to use Xshell prompt. r. 用此新私有镜像发放云主机，系统盘指定100GB为例，重新登录以后，执行以下命令查看/dev/xvda磁盘分区情况。 parted l /dev/xvda 回显信息如下所示，确认root分区已完成扩容，此时扩容后的root分区大小为107GB。 Model: Xen Virtual Block Device (xvd) Disk /dev/xvda: 107GB Sector size (logical/physical): 512B/512B Partition Table: msdos Disk Flags: Number Start End Size Type File system Flags 1 1049kB 107GB 107GB primary ext4 boot 说明： 回显信息中Size的大小为扩容后的大小。

本文为您介绍如何进行企业项目资源管理。 前提条件 您已开通具有企业项目属性的资源，如虚拟私有云、子网等，如果一个资源不具有企业项目属性，在企业项目下将无法看到资源。 操作步骤 1. 管理员登录IAM控制台。 2. 管理员在IAM控制台左侧导航窗格中，点击“企业项目”。 3. 点击企业项目列表中，企业项目右侧操作栏的“查看资源”按钮，进入查看企业项目资源页面。 4. 通过选择所属资源池、产品类型，或输入资源名称、资源ID的关键字，可进行资源检索。

本节介绍漏洞扫描的优势。 扫描全面 涵盖多种类型资产扫描，支持云内外网站、主机漏洞，智能关联各资产，自动发现资产指纹信息，避免扫描盲区。 简单易用 配置简单，一键全网扫描。可自定义扫描事件，分类管理资产安全，让运维工作更简单，风险状况更清晰了然。 高效准确 采用Web2.0智能爬虫技术，内部验证机制不断自测和优化，提高检测准确率。 时刻关注业界紧急CVE爆发漏洞情况，自动扫描，快速了解资产安全风险。 报告全面 清晰简洁的扫描报告，多角度分析资产安全风险，多元化数据呈现，将安全数据智能分析和整合，使安全现状清晰明了。

性能增强，可靠性增强 控制面和数据面在社区版本基础上进行可靠性加固和性能优化。 多基础设施 提供免运维的托管控制面，提供全局统一的服务治理，灰度、安全和服务运行监控能力，并支持对支持容器和VM等多种基础设施的统一服务发现和管理。 协议扩展 社区通用的HTTP、gRPC、TCP、TLS外扩展对Dubbo协议的支持。 传统SDK集成 提供Spring Cloud、Dubbo等传统微服务SDK的集成解决方案，传统的微服务SDK开发的业务代码无需大的代码修改即可迁移到云原生的容器和网格运行环境上来。

本节介绍如何退订WAF独享版实例。 购买独享型实例后，在实例到期被删除前，您可以随时在WAF控制台退订实例。 操作步骤 1. 登录Web应用防火墙（原生版）控制台。 2. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“独享型”页签。 3. 单击目标实例操作列的“查看产品详情”。 4. 单击“退订”，进入退订页面。 5. 确认退订信息后，单击“立即退订”。 退订“二类节点”区域的独享版实例时，实例绑定的云主机默认需要一起退订。 6. 系统提示退订申请提交成功，可前往订单详情查看退订进度。

费用收取方 计费项 计费说明 媒体存储 CDN回源流量 数据从媒体存储传输到天翼云CDN所产生的回源流量。 温馨提示：如您使用天翼云CDN，需要在源站配置中，选择【媒体存储源站】，此配置下产生的回源流量会按照CDN回源流量进行计费。如您选择【IP或域名】，产生的回源流量将按照公网下行流量计费。 天翼云CDN CDN流量/带宽 用户访问天翼云CDN节点而产生的流出流量或带宽，具体计费可参考CDN

参数名称 描述 用户名 被授权用户的名称。 说明 该用户名称是已存在的IAM用户名称。并且该用户需要登录过云，才能进行授权操作。 权限设置 查看作业详情：查看此作业的作业详情。 更新作业：编辑修改此作业。 删除作业：删除此作业。 启动作业：启动该作业权限。 停止作业：停止该作业。 导出作业：导出该作业。 赋权：当前用户可将作业的权限赋予其他用户。 回收：当前用户可回收其他用户具备的该作业的权限，但不能回收该作业所有者的权限。 查看其他用户具备的权限：当前用户可查看其他用户具备的该作业的权限。

威胁分析页面顶部的数据统计栏展示了所有安全组件产生的告警数量及风险级别。 风险项级别分为5级： 严重（红）； 高（橙）； 中（黄）； 低（蓝）； 提示（绿）。 统计项目包括存在告警的服务器数量、待处理告警数、急需处理告警数、所有告警总数，急需处理报警包括严重与高级别报警 。 点击统计项目数字及风险项级别，可以把统计项目与风险级别加为筛选条件，页面下方的趋势图、告警云、TOP10、告警列表会即时根据筛选结果更新。 如需取消筛选条件，在告警列表头上方删除条件。

计费模式 包年/包月 按需计费 付费方式 预付费按照订单的购买周期结算。 后付费按照云服务器实际使用时长计费。 计费周期 按订单的购买周期计费。 按小时结算。 实例升级 暂不支持实例升级。 暂不支持实例升级。 更改计费模式 不支持变更为按需资源。 不支持变更为包周期资源。 变更规格 暂不支持变更实例规格。 暂不支持变更实例规格。 适用场景 适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。对于长期使用者，推荐该方式。 适用于消息资源需求波动的场景，可以随时开通，随时删除。

节点磁盘LVM配置 翼MR支持将多个磁盘配置成LVM（Logic Volume Management），多个磁盘规划成一个逻辑卷组。配置成LVM可以避免各磁盘间使用不均的问题，保持各个磁盘间均匀使用在HDFS和Kafka等能够利用多磁盘能力的组件上尤其重要。并且LVM可以支持磁盘扩容时不需要重新挂载，避免了业务中断。 数据可靠性 翼MR可利用弹性云服务器ECS提供的反亲和节点组以及放置组的能力，结合Hadoop的机架感知能力，将数据冗余到多个物理宿主机上，避免物理硬件的失效造成数据的失效。

本章节向您介绍此最佳实践的使用场景。 场景描述 概述：不同区域的公有云内资源，通过VPN连接打造IPSec加密隧道，实现云间高速互联通道，为不同区域的不同业务系统提供数据交互方案。 典型行业：所有公有云行业应用 适配场景：云间业务、数据互联 技术架构图 本实践方案基于如下图所示的技术架构和主要流程。 VPN连接提供云间高速互联通道示意图 方案优势 提供IPSec加密通道，传输安全性高 网关带宽有保障，业务、数据互通效率高 通过互联网环境传输，链路成本低

本章节会介绍关系型数据库的定义以及包含哪些数据库引擎 关系型数据库（Relational Database Service，简称RDS）是一种基于云计算平台的即开即用、稳定可靠、弹性伸缩、便捷管理的在线关系型数据库服务。关系型数据库支持以下引擎： MySQL PostgreSQL SQL Server 关系型数据库服务具有完善的性能监控体系和多重安全防护措施，并提供了专业的数据库管理平台，让用户能够在云中轻松的进行设置和扩展关系型数据库。通过关系型数据库服务的管理控制台，用户几乎可以执行所有必需任务而无需编程，简化运营流程，减少日常运维工作量，从而专注于开发应用和业务发展。 Microsoft SQL Server Microsoft SQL Server是老牌商用级数据库，成熟的企业级架构，轻松应对各种复杂环境。一站式部署、保障关键运维服务，大量降低人力成本。被广泛应用于政府、金融、医疗、教育和游戏等领域。云数据库SQL Server具有即开即用、稳定可靠、安全运行、弹性伸缩、轻松管理和经济实用等特点。 拥有高可用架构、数据安全保障和故障秒级恢复功能，提供了灵活的备份方案。

本节介绍服务器安全卫士（原生版）应用场景。 场景一：入侵行为检测 实时监测发现云服务器的漏洞、异常登录、暴力破解、弱口令等问题，全面了解服务器的安全状态，实现服务器安全的持续保护。 方案优势 提供异常登录、暴力破解的告警和防御，可以快速地发现黑客对企业服务器的渗透扫描行为，及时预警。 提供病毒查杀能力，有效检出恶意病毒文件，并提供病毒文件隔离和删除功能。 场景二：安全管理 提供统一的服务器安全管理能力，帮助用户更方便地管理云服务器的安全配置和安全事件，降低安全风险和管理成本。 方案优势 支持多操作系统：支持在Windows、CentOS、Ubuntu等多种操作系统的物理/虚拟主机上部署。 统一的安全管理能力：帮助用户统一查看所有的服务器资产、资产指纹以及安全事件，便于精细化安全运营。 场景三：等保合规 服务器安全是等保合规的关键项，服务器安全卫士提供的入侵检测功能，能协助各企业保护企业云服务器账户、系统的安全。 方案优势 满足入侵防范条款：入侵检测、漏洞管理功能满足等保的主机入侵防范条款。 满足不同行业监管要求：基于基线检测功能，提供多种基线标准模板，企业可自定义基线策略，支持一键检测和定时检测，根据检测结果提供处理建议。

本文帮助您快速熟悉如何查看子网的子网网段、状态、DNS服务器等信息。 操作场景 当您查看子网的相关联的ACL、主机、虚拟IP、路由等信息时，可以进行通过以下操作进行查看。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成子网的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 单击“子网”，进入子网列表页面。 5. 单击目标子网的子网名称，进入子网详情页。在详情页，可查看该子网的子网网段、状态、DNS服务器等信息。

本文介绍Serverless集群概述。 产品简介 云容器引擎Serverless版是天翼云提出的Serverless Kubernetes容器服务。与传统Kubernetes集群相比，Serverless集群无需购买节点即可直接部署容器应用，同时无需对集群进行节点维护和容量规划，降低了Kubernetes使用门槛，让用户更专注于应用程序，而不是管理底层基础设施。Serverless集群提供完善的Kubernetes兼容能力，您可以轻松迁移已有的Kubernetes应用到Serverless集群上，并且根据应用配置的CPU和内存资源量进行按需付费。 使用场景 互联网企业：大规模业务上线生产环境，对管控的稳定性、可观测性和安全性有较高要求。 大数据计算企业：大规模数据计算、高性能数据处理、高弹性需求等类型业务，对集群稳定性、性能和效率有较高要求。

演练准备 1. 开通应用高可用故障演练服务产品 2. 开通分布式消息服务Kafka产品 3. 搭建一套独立的演练环境，包含： 开通与生产配置（版本、节点数、Topic划分、副本数等）一致的Kafka实例。 部署订单服务、库存服务、支付服务、物流服务等应用模块，连接开通的Kafka实例。 准备模拟用户行为的压测工具和脚本，配置业务监控和日志采集，便于观察系统运行表现。 演练实施 创建环境 在左侧菜单栏点击故障演练 >环境概览 ，进入环境列表界面。 点击创建环境 ，填写环境基本信息后点击确定完成环境创建。 创建应用 在环境列表界面找到刚才创建的环境，进入应用列表 界面点击创建应用，填写应用的基本信息。 在资源配置 栏目点击分布式消息服务Kafka >添加资源 ，根据资源池与实例信息筛选Kafka实例，点击确定完成应用创建。 演练编排 在应用列表 界面，找到已创建的应用，点击右侧的演练任务 >新建演练 ，根据界面指引填写演练的基本信息，点击下一步 进入演练对象配置界面。 在演练对象配置 界面填写动作组名称、动作组描述，资源类型选择分布式消息服务Kafka ，点击添加实例 ，选择待演练的实例后点击确定。 在动作列表 栏目点击立即添加 ，选择演练动作Broker节点CPU高负载 ，点击下一步 进行动作参数设定，点击确定完成动作添加。 演练参数名称 配置值 持续时间（秒） 240 CPU占用率 99 故障注入模式 全部注入 在全局配置 界面，点击监控指标 栏目下的添加云产品监控，在弹出的配置界面中添加以下监控项目： 云产品监控>分布式消息服务Kafka>CPU使用率、磁盘读流量、磁盘写流量、磁盘平均读操作耗时、磁盘平均写操作耗时、存活节点数、节点存活状态。 确认指标已经添加后，设置演练超时时间 为120分钟，点击完成。

开启防护 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 4、在左侧导航栏中，选择“资产管理 > 主机管理 > 云服务器”，进入“云服务器”界面。 5、选择所需开启安全防护的主机，单击“操作”列“开启防护”。您可以根据自己的实际场景选择“包年/包月”或者“按需计费”，开启主机防护。 说明 按需计费仅支持选择企业版。 包年/包月模式出现配额不足时需购买主机安全防护配额。 包年/包月： 在“开启方式”对话框中，“计费模式”选择“包年/包月”，选择目标版本、分配防护配额，阅读并确认“《主机安全免责声明》”。“选择配额”分配方式： 随机分配：下拉框选择“随机选择配额”，系统优先为主机分发服务剩余时间较长的配额。 指定分配：下拉框选择具体配额ID，您可以为主机分配指定的配额。 按需计费： 在“开启方式”对话框中，“计费模式”选择“按需计费”，选择目标版本，阅读并勾选“《主机安全免责声明》。 注意 基础版在首次开启时可免费体验30天，体验结束后需购买基础版的包年/包月模式才能使用。 6、单击“确认”，开启防护。开启主机安全防护后，请在控制台上查看主机安全服务的开启状态。若目标主机的“防护状态”为“开启”，则表示基础版/企业版/旗舰版防护已开启。 您也可以通过在“主机管理 > 防护配额”页面的“操作”列中，单击“绑定主机”，为主机绑定防护配额，HSS自动为主机开启防护。 一个配额只能绑定一个主机，且只能绑定Agent在线的主机。 开启主机防护后，HSS将根据您购买的服务版本，自动对您的主机执行服务版本对应的安全检测。 自动执行的安全检测

本节介绍日志中心用户指南。 概述 分布式容器云平台提供日志采集和分析能力，包括容器日志、事件日志、控制面组件日志，辅助定位集群中出现的异常问题。 日志维度 说明 容器日志 采集集群中容器应用的标准输出日志。 事件日志 配合cubeevent插件，采集集群中的event信息，并持久化到日志中。 控制面组件日志 采集控制面组件的日志，包括kubeapiserver、kubecontrollermanager、kubescheduler和etcd。 前提条件 1. 已完成集群注册，具体操作请参见 本地注册集群 / 三方云注册集群。 2. 集群已安装ctglogoperator、cubeevent插件，具体操作请参考 插件。 操作步骤 开启日志采集 1. 登陆分布式容器云平台，在左侧导航栏中选择集群资源 > 集群管理，进入注册集群列表页。 2. 在注册集群列表中点击需要配置日志采集的集群，进入单集群管理页面。 3. 在单集群管理页面导航栏中选择运维管理 > 日志中心，进入日志中心页面。 4. 在日志中心页面顶部，可切换容器日志、事件日志、控制面组件日志页签，点击下方“立即开启”按钮，配置容器日志、事件日志和控制面组件日志接入。 配置完成后，在对应页签下即可查看、搜索应用日志。

原因分析 缓存用于加速查询操作，云搜索服务会将常见的查询结果或热数据缓存在内存中，但在某些情况下，缓存可能需要手动清理，例如缓存命中率下降或内存占用过高时。 解决方案 1. 清理字段数据缓存： 字段数据缓存用于存储字段值，可以通过以下命令清理字段缓存： POST /cache/clear?fielddatatrue 2. 清理查询缓存： 查询缓存用于缓存查询结果，可以通过以下命令清理查询缓存： POST /cache/clear?querytrue 3. 清理整个缓存： 如果希望清理所有缓存，包括字段数据缓存、查询缓存和请求缓存，可以使用： POST /cache/clear 4. 监控缓存使用： 定期监控缓存使用情况，避免缓存过度占用内存。例如，使用以下命令查看缓存统计信息： GET /nodes/stats/indices/fielddata?human

本章节主要介绍云搜索服务（ES）的产品规格。 CPU架构 节点规格类型 CPU内存比 适合场景 x86计算 通用计算型 1:4 默认规格，使用较频繁，各种场景都能使用，如果没有特别要求，可选择该规格。 x86计算 内存优化型 1:8 内存特别大，优势较明显，在内存使用量较多并且对时延没有太大要求的场景可优先选择该规格，比如多聚合（filedata堆内）、排序、列存docvalue（系统堆外内存）等场景。 鲲鹏计算 鲲鹏通用计算型 1:2和1:4 同上X86计算型场景，相比于X86计算型，ARM性价比较高。 说明 因各资源池部署规格不尽相同，且可选资源会根据用户订购情况动态变化，故实际可选规格请以开通资源时各资源池展示为准。

操作场景 本章介绍了如何添加运行CCE集群的节点池以及对节点池执行操作。要了解节点池的工作原理，请参阅节点池概述。 操作步骤 将节点池添加到现有集群。 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 单击右上角的“创建节点池”。 步骤 3 在创建节点池页面中，参照如下说明设置节点池选型参数。 计费模式： 节点池仅支持“按需计费”的计费模式，该模式将根据实际使用的资源按小时计费。 节点池创建后，自建的节点池里的资源无法转包周期，默认节点池里的资源可以转包周期。您可以把自建节点池里的资源迁移到默认的节点池里后再进行转包周期的操作。如何迁移请参见迁移节点。 当前区域：指节点实例所在的物理位置。 请就近选择靠近您业务的区域，可减少网络时延，提高访问速度；不同区域的云服务产品之间内网互不相通。 节点池名称：新建节点池的名称，默认按“集群名nodepool随机数”生成名称，可自定义。 节点类型：目前仅支持虚拟机节点。 节点购买数量：该节点池下购买的节点数量，此处设置的节点数不能超过集群管理的最大节点规模，请根据业务需求和界面提示选择，如需更多配额，请单击提交工单申请扩大配额。 弹性扩缩容： − 默认不开启。 − 单击 开启后，节点池将根据集群负载情况自动创建或删除节点池内的节点，参数设置如下： 节点数上限和节点数下限：您可设置节点数的上限和下限，保证节点数在合理的范围内伸缩。 优先级：请根据业务需要设置相应数值，该数值表示节点池之间进行弹性扩缩容的优先级，数值越大优先级越高，如设置为4的节点池比设置为1的节点池优先启动弹性伸缩。若多个节点池的值设置相同，如都设置为2，表示这几个节点池之间不分优先级，系统将按最小资源浪费原则进行伸缩。 弹性缩容冷却时间：请设置时间，单位为分钟或小时。弹性缩容冷却时间是指当前节点池扩容出的节点多长时间不能被缩容。 说明： 节点池中的节点建议不要放置重要数据，以防止节点被弹性缩容，数据无法恢复。 为保证功能的正常使用，节点池开启弹性扩缩容功能后，请务必安装autoscaler。 可用区：可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 请根据业务需要进行选择。节点池创建之后不支持修改可用区属性，请谨慎选择。 如果您需要提高工作负载的高可靠性，建议您选择“随机可用区”，将节点随机均匀分布在不同可用区中。 节点规格：请根据业务需求选择相应的节点规格。 须知： 为确保节点稳定性，系统会自动预留部分资源，用于运行必须的系统组件，详细请参见节点预留资源计算公式 。 操作系统：请直接选择节点对应的操作系统。 须知：重装操作系统或修改操作系统配置将导致节点不可用，请务必谨慎操作。 虚拟私有云：跟随集群，不可变更。 所在子网：通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 可选择该集群虚拟私有云下的任意子网，集群节点支持跨子网。 请确保子网下的DNS服务器可以解析对象存储服务域名，否则无法创建节点。 系统盘：设置工作节点的系统盘空间。您可以设置系统盘的规格为40GB1024GB之间的数值，缺省值为40GB。 在默认情况下，系统盘可提供高IO、超高IO两种基本的云硬盘类型。 数据盘：设置工作节点的数据盘空间。您可以设置数据盘的规格为100GB32768GB之间的数值，缺省值为100GB。数据盘可提供的云硬盘类型与系统盘一致，此处不再赘述，详情参见系统盘中的云硬盘类型介绍。 须知： 若数据盘卸载或损坏，会导致docker服务异常，最终导致节点不可用。建议不要删除该数据盘。 登录方式：支持密码和密钥对。 −选择“密码”：用户名默认为“root”，请输入登录节点的密码，并确认密码。 登录节点时需要使用该密码，请妥善管理密码，系统无法获取您设置的密码内容。 −选择“密钥对”：在选项框中选择用于登录本节点的密钥对，并单击勾选确认信息。 密钥对用于远程登录节点时的身份认证。若没有密钥对，可单击选项框右侧的“创建密钥对”来新建，创建密钥对操作步骤请参见。 步骤 4 云服务器高级设置：（可选），单击 展开后可对节点进行如下高级功能配置： 安装前执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装前执行，可能导致Kubernetes软件无法正常安装，需谨慎使用。常用于格式化数据盘等场景。 安装后执行脚本：请输入脚本命令，大小限制为0~1000字符。 脚本将在Kubernetes软件安装后执行，不影响Kubernetes软件安装。常用于修改Docker配置参数等场景。 步骤 5 Kubernetes高级设置：（可选），单击 展开后可对集群进行如下高级功能配置： 最大实例数：节点最大允许创建的实例数(Pod)，该数量包含系统默认实例，取值范围为16~128。 该设置的目的为防止节点因管理过多实例而负载过重，请根据您的业务需要进行设置。 Taints：默认为空。支持给该节点池扩容出来的节点加Taints来设置反亲和性，每个节点池最多配置10条Taints，每条Taints包含以下3个参数： −Key：必须以字母或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符；另外可以使用DNS子域作为前缀。 −Value：必须以字符或数字开头，可以包含字母、数字、连字符、下划线和点，最长63个字符。 −Effect：只可选NoSchedule，PreferNoSchedule或NoExecute。 须知： Taints配置时需要配合Pod的toleration使用，否则可能导致扩容失败或者Pod无法调度到扩容节点。 节点池创建后可单击列表项的“编辑”修改配置，修改后将同步到节点池下的已有节点。 K8S标签：K8S标签是附加到Kubernetes 对象（比如Pods）上的键值对，旨在用于指定对用户有意义且相关的对象的标识属性，但不直接对核心系统有语义含义。 详细请参见Labels and Selectors。 单容器可用数据空间：该参数用于设置一个容器可用的数据空间大小，设置范围为10G到80G。如果设置的参数超过数据盘中Docker可占用的实际数据空间（由数据盘设置项中的资源分配自定义参数指定，默认为数据盘大小的90%），将以Docker的实际空间大小为主。该参数仅在v1.13.10r0及以上版本的集群中显示。 步骤 6 （可选）您可以单击左侧的 按钮添加多个节点池，在按钮下方可以查看您可用的节点池配额数量。 步骤 7 完成配置后，单击“下一步：配置确认”，确认所设置的服务选型参数、规格和费用等信息。 步骤 8 确认规格和费用后，单击“提交”，节点池开始创建。 节点池创建预计需要610分钟，您可以单击“返回节点池管理”进行其他操作或单击“查看节点池事件列表”后查看节点池详情。待节点池状态为“正常”，表示节点池创建成功。 查看创建的节点池 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 节点池管理”。 步骤 2 在节点池管理页面中，单击右上角的集群选择框，选择集群后可显示当前集群下所有的节点池，并可查看每个节点池的节点类型、节点规格、弹性扩缩容状态和操作系统等。 须知： 节点池功能上线后，会在每个集群中创建一个默认节点池“DefaultPool”，该节点池不能被编辑、删除或迁移，集群中原有的节点及节点池外创建的节点均会显示在默认节点池“DefaultPool”中。 单击默认节点池“DefaultPool”中“节点”数据框，可查看DefaultPool中的节点列表。 步骤 3 单击右上角的Autoscaler状态选择框，可筛选全部、已启用、未启用Autoscaler功能的节点池。 步骤 4 在节点池列表中，单击节点池的名称，在节点池详情页面，可查看节点池的基本信息、ECS高级设置、Kubernetes高级设置、节点列表等信息。

本文介绍云备份的相关术语。 备份客户端 备份客户端（下文简称客户端）是安装在被保护的主机上，用于对云主机或本地服务器进行目录/文件备份的客户端。云备份服务需要搭配备份客户端一同使用，您需要首先在目标主机中安装客户端。 存储库 存储库用于存储您备份在云上的数据。创建备份前，需要先创建至少一个存储库，产生的备份副本会存放至对应的存储库中。 存储库有地域属性，选择合理的存储库地域可以帮助您提高备份性能，布局容灾。存储库创建成功后不能更换地域。 备份计划（备份任务） 备份计划指的是对备份对象执行备份操作时，预先设置的计划。包括备份计划的名称、关联的目标主机、备份目录、关联的存储库、备份周期以及备份数据的保留规则。通过创建备份计划，可以为被保护主机执行自动备份。 备份副本 备份副本即一个备份对象执行一次备份计划产生的备份数据，包括备份对象恢复时所需要的数据。备份副本可以通过执行备份计划产生。 历史任务 每执行一次备份或恢复动作会生成一条单独的任务执行记录，历史任务记录了路径、文件数量、执行时间、结束时间等信息。 地域 地域（Region）是指物理的数据中心的地理区域，从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。

故障现象 使用Windows server 2016以上操作系统作为客户端挂载CIFS类型的弹性文件系统失败，故障提示如下： 或 可能原因 Windows系统默认禁止访问匿名的网络共享目录，对于Windows Server 2016以上的系统，都需要配置允许客户端匿名访问。 解决方法 1. 远程连接Windows云主机，打开命令行工具。 2. 执行以下命令： plaintext REG ADD HKEYLOCALMACHINESYSTEMCurrentControlSetservicesLanmanWorkstationParameters /f /v AllowInsecureGuestAuth /t REGDWORD /d 1 3. 修改完成后，在客户端重新挂载文件系统。

本文介绍科研助手的应用类常见问题。 科研助手适用哪些场景？ HPC：适用于视频渲染、视频转码（视频格式转换、视频分辨率变化、添加水印/logo的）、科研教育等领域。 科学计算：适用于仿真模拟、化学分子计算、流体计算等。 生物分析：适用于基因测序、药物检测等领域。 科研助手的核心功能有哪些？ 多资源池管理： 底层资源池ECK专有资源、Serverless共享容器资源池、ECX虚拟机资源池满足不同价格区间的业务需求。 队列管理： 提供对作业队列管理，支持CPU/GPU作业和队列管理。 开发环境： 以云原生的资源使用和开发工具链的集成，为不同类型开发、探索、教学用户，提供更好云化开发体验。

Pytorch安全风险通告,请用户务必关注! 近日，监测到PyTorch存在远程代码执行漏洞（CVE202532434）,当使用 torch.load 加载模型且weightsonlyTrue时，攻击者可以利用此漏洞在目标机器上执行任意命令，可能导致数据泄露、系统入侵，甚至在云托管的AI环境中进行横向移动。 在科研助手中使用Pytorch版本小于2.6.0的客户，请勿下载并使用Pytorch加载非官方发布的模型文件，确保模型来源安全。如下载了带恶意代码的模型，开发机会被攻击者控制、勒索、窃取文件等，为了您的数据安全请使用最新版的Pytorch（公共框架中已提供）或不加载从互联网下载的模型文件。

本文主要介绍了开启重点操作短信验证的操作流程。 操作说明 开启重点操作短信验证保护后，您在进行对云主机进行关机、重启、重装等重点操作的场景时，需输入验证码，以防止错误操作造成的损失和风险。 需要注意的是：短信验证功能一旦开启，所有重点操作统一开启，短信验证的有效期为 15 分钟，15 分钟内做其他操作不需要重复验证。 操作流程 1.登录天翼云账号后，点击右上角登录名下方的“账号中心”，进入“统一身份认证”中，下拉找到“概览敏感操作”。 2.找到“操作保护”，点击“立即修改”，选择“开启”按钮。 3.输入正确验证码，点击”确认“，即可开启重点操作保护。