本节介绍了云容器引擎的最佳实践：通过特权容器配置内核参数。 前提条件 开通特权容器需要通过命令行模式连接到目标集群，所以需要先保存集群kubeconfig，并且配置好kubectl环境。 注意 修改主机的内核配置可能会对系统的稳定性和安全性产生影响，因此在进行这些操作时请谨慎考虑，并确保您具备足够的了解和经验。 后台操作流程 编写应用yaml，创建特权容器，示例如下： kind: DaemonSet apiVersion: apps/v1 metadata: name: daemonsettest labels: name: daemonsettest spec: selector: matchLabels: name: daemonsettest template: metadata: labels: name: daemonsettest spec: hostNetwork: true containers: name: daemonsettest image: nginx:alpine command: "/bin/sh" args: "c" while :; do time$(date);done imagePullPolicy: IfNotPresent lifecycle: postStart: exec: command: sysctl "w" net.ipv4.tcptwreuse1 securityContext: privileged: true imagePullSecrets: name: defaultsecret spec.spec.containers.lifecycle 字段是指容器启动后执行设置的命令；spec.spec.containers.securityContext.privileged: true是指开启特权容器。 使用以上yaml文件创建特权容器：kubectl apply f daemonsettest.yaml 执行后查看是否容器启动成功：kubectl get daemonset 当看到READY数量跟节点数量相同时，说明已经全部创建成功，则可以在当前主机执行kubectl get po grep daemonsettest 或者docker ps grep daemonsettest查找对应容器。 通过命令 docker exec it 356d0e5a831c /bin/sh 或 kubectl exec it podname bash 进入容器内部，然后执行命令sysctl a grep net.ipv4.tcptwreuse查看对应的内容是否有修改命令行终端确认修改系统参数成功。

应用场景 Calico IPIP隧道容器网络适用如下场景： 1. 性能要求不高：由于引入了额外的IPIP隧道封包解包，相对于cubecni容器网络存在大约5%15%性能损失，适用于对性能要求不是特别高的业务场景，例如访问量不大的管理后台服务等； 2. 大规模组网：由于构建的覆盖（overlay）容器网络不占用任何VPC资源，所以在容器网络层面，集群节点数不受VPC资源限制；BGP Peer默认使用全互联模式，为减少节点数上升对BGP连接数的指数级消耗，当节点数大于100时，可使用路由反射模式，引入中心化的路由反射节点，将BGP连接数增长降为O(N)增长，最大可支持1000节点规模。 容器IP地址段分配 订购使用Calico容器网络插件的集群时，由于pod网段限制了节点和pod规模，建议选择使用一个大网段。如下所示，把172.16.0.0/12作为Pod网段： 集群创建时，云容器引擎使用该网段作为Calico的私有IP地址池，如下所示： 节点网段由kubecontrollermanager分配，默认每个节点会分配到一个掩码为24的地址段，可分配网段数直接决定集群节点规模上限，例如pod网段为172.16.0.0/18，则支持添加256个节点。若不考虑其它资源限制，单个节点理论上最多可创建256个Pod。 可以通过以下方式查看节点分配的pod网段： [root@CCSEAGENTvmAggbkVfL paasdp]

参数名称 说明 标题 自定义关注指标组件的标题名称，该名称只能由中文、英文字母、数字、下划线、中划线组成，长度限制为128字节。例如：CPU利用率 企业项目 监控视图关联的企业项目，只有有企业项目的权限，才有权查看此监控视图的监控数据。 资源类型 所关注指标对应的服务名称。此处请选择“云数据库GeminiDB”。 维度 所关注指标的维度名称。此处请选择“RedisRedis节点”。 监控对象 所关注指标对应的监控对象。此处建议勾选需要监控的GeminiDB Redis实例下的所有节点。 监控指标 所关注指标的名称。此处推荐设置如下常用监控指标： 磁盘利用率（整个实例级） 用于监控GeminiDB Redis实例容量使用情况。如果磁盘利用率>80%时，建议及时进行 。

本文介绍如何升级应用。 升级操作可以通过应用管理界面列表操作【升级】进入升级页面，也可以通过点击具体的应用进入详情页点击【升级】页签进入升级页面。 操作步骤 1.登录云容器引擎控制台，在左侧控制台导航栏中选择【工作负载】>【无状态】或【有状态】,进入应用管理界面>单击已创建的某一个应用，进入应用详情页面，选择【升级】页签； 2.请根据业务需求进行应用的升级，该过程与创建应用容器设置步骤相似，升级的参数说明请参见下表： 参数 参数说明 容器配置 选择镜像 在对应的容器下，单击【选择镜像】进行修改 镜像版本 进行镜像版本的更改 容器名称 单击列表框，修改容器名称 容器规格 对容器允许使用的cpu的最小值、最大值，内存的最小值、最大值进行修改 其它设置 生命周期 支持对生命周期进行修改，为应用提供极大的灵活性 生命周期包括：启动命令、启动后处理、停止前处理 健康检查 支持对通过探针监测容器进行修改 环境变量 容器运行环境中设定的一个变量。可以在应用部署后修改，为应用提供极大的灵活性； 在【环境变量】页签，单击【添加环境变量】； 输入变量名称、变量/变量引用。 数据存储 支持对数据存储进行修改，增加本地磁盘 安全设置 支持通过修改用户ID对容器权限进行修改 容器日志 容器设置日志采集策略、配置日志目录。用于收集容器日志以及日志防爆。通过添加日志策略对容器设置进行修改 3.更新完成后，单击【提交】。

本文主要介绍CCE发布Kubernetes 1.15版本说明。 云容器引擎（CCE）严格遵循社区一致性认证。本文介绍CCE发布Kubernetes 1.15版本所做的变更说明。 为了能够更好地方便您使用容器服务，确保您使用稳定又可靠的Kubernetes版本，请您务必在维护周期结束之前升级您的Kubernetes集群。 版本说明 CCE针对Kubernetes v1.15版本提供了全链路的组件优化和升级，v1.15版本包含两个小版本，即v1.15.11和v1.15.6r1。 资源变更与弃用 extensions/v1beta1中Ingress已弃用，1.19正式暂停使用，迁移到networking.k8s.io/v1beta1 extensions/v1beta1中NetworkPolicy 1.16正式暂停使用，迁移到networking.k8s.io/v1 extensions/v1beta1中PodSecurityPolicy 1.16正式暂停使用，迁移到policy/v1beta1 extensions/v1beta1、apps/v1beta1或apps/v1beta2的DaemonSet、Deployment、和ReplicaSet，迁移至apps/v1，1.16版本暂停使用 PriorityClass升级到scheduling.k8s.io/v1，scheduling.k8s.io/v1beta1和scheduling.k8s.io/v1alpha1 1.17正式废弃 events.k8s.io/v1beta1 Event API中series.state字段废弃，将在1.18版本中移除 参考链接 社区v1.13与v1.15版本之间的CHANGELOG v1.14到v1.15的变化： v1.13到v1.14的变化：

本文将介绍如何在控制台中管理配置项。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 创建配置项 1. 登录云容器引擎控制台，在左侧导航栏中选择“集群” 。 2. 在集群列表页面中，单击目标集群名称，并在左侧导航栏中选择“配置管理” 。 3. 选择“配置项” ，在配置项页面中，您可以通过以下两种方式创建配置项。 1. 通过配置项菜单创建。 1. 单击配置项页面左上角的“创建配置项”。 2. 在配置项新增页面中，填写配置项名称以及配置项内容，包括变量名和对应的变量值，允许添加多个配置项。同时支持从文件导入配置项内容。 2. 使用YAML创建资源。 1. 单击配置项页面左上角的“新增YAML”。 2. 在使用模版部署的页面填写配置项内容，即ConfigMap的相关信息；或者选择“从文件导入” ，然后单击保存 。 相关操作 配置项创建完成后，您可以在配置项页面中进行以下操作： 在目标配置项选项卡点击单击“查看与更新” ，可以查看、修改或删除该配置项信息。 在目标配置项选项卡单击“删除”，可以删除不需要的配置项。 在目标配置项选项卡单击“查看YAML”，看查看该配置项对应的YAML文件。

本节介绍云容器引擎的最佳实践：容器升级业务不中断。 应用场景 在 Kubernetes 集群中，常见的应用部署模式是使用 Deployment 与 LoadBalancer 类型的Service 对外提供访问。在进行应用更新或升级时，Deployment 会创建新的 Pod 并逐步替换旧的 Pod，但在这个过程中可能会出现服务中断的情况。 解决方案 为了最大程度的减少服务中断，我们可以采取一系列措施： 设置滚动更新策略：通过设置Deployment的滚动更新策略来控制更新的速度，可以指定更新期间的最大不可用副本数（maxUnavailable）和同时可用的最大副本数（maxSurge），通过合理设置这些参数，可以确保在更新过程中保持足够的可用性。 健康检查和就绪探针：在容器中配置健康检查和就绪探针，确保新Pod在完全就绪之前不会接收流量，从而减少中断。 外部负载均衡器配置：如果使用LoadBalancer类型的Service对外提供访问，可以配置服务对外部请求的负载均衡行为，主要包括以下两种： 1. Cluster：默认模式，外部流量可以转发到其它节点上的Pod，转发时会替换掉报文的源IP为上一个转发节点的地址。 2. Local：外部流量只会发给本机的Pod，转发时会保留源IP。 实践 登录云容器引擎控制台，单击集群名称进入集群 左侧菜单栏选择工作负载，在工作负载列表中，单击无状态进入Deployment列表页，单击创建新Deployment，进入Deployment配置页面。 单击显示 高级设置，升级策略处可以自定义MaxSurge与MaxUnavailable。本示例中配置最大不可用副本数为25%，同时可用的最大副本数为25%，用于控制工作负载的滚动步长。 在实例内容器选框位置，单击显示 高级设置，容器健康检查选区可以设置存活检查与就绪检查。本示例为TCP端口检查，请根据应用实际情况进行设置，配置就绪检查的启动延时探测时间为20s，用于控制工作负载滚动更新的时间间隔。 在实例内容器选框位置，单击显示 高级设置，对容器进行停止前处理，可以设置为工作负载收到删除请求后休眠30s，使其具备充足的时间来处理剩余请求，保证服务正常运行。 左侧菜单栏选择网络，在网络列表中，单击服务进入Service列表，单击创建服务，进入Service配置页面。 服务类型选择负载均衡，下方访问设置处会出现外部流量策略选框，用户可以自行选择Cluster类型流量策略或Local类型流量策略。 单击显示 高级设置，可以选择Session Affinty方式。 1. None：Kubernetes不会保持与特定客户端的会话状态，每个请求都根据负载均衡算法独立地路由到后端Pod，意味着即使是来自同一客户端的连续请求，也可能被发送到不同的后端Pod上，从而不会保持会话状态。 2. 客户端IP：Kubernetes将使用客户端的IP地址来决定将请求路由到哪个后端Pod，同一个客户端的请求始终转发至同一个后端的Pod对象。 设置完成后，进入Deployment列表页，选择某个工作负载，单击右侧重新部署，重启方式选择滚动重启，可以看到新实例被首先创建出来，然后停止旧的实例，确保始终有实例正在运行。

本节介绍了云容器引擎的最佳实践： 通过配置kubeconfig文件实现集群权限精细化管理。 集群权限精细化管理的背景 云容器引擎默认给用户的kubeconfig文件对集群操作的权限相当于root级别，这样的权限级别对于某用户来说过大，很不便于对集群的精细化管理。为了达到对集群精细化管理的目标，我们可以通过kubeconfig设置特定的用户，然后给用户赋予集群的部分操作权限（如：增、查、改）。 注意事项 下面配置步骤操作前，请先确保您的机器上有kubectl工具，若没有请到社区下载与集群版本对应的或者最新的kubectl。 基于Role实现集群权限精细化管理的配置步骤 说明 下述示例创建一个用户，并且该用户只能查看default下的Pod，不能查看其他namespace下的Pod且不能删除default下的任何Pod。 1. 配置ServiceAccount，名称为testsa，命名空间为default kubectl create sa testsa n default 3. 创建Role，并配置针对不同资源相对应的操作权限 vi addRole.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: testrole namespace: default rules: apiGroups: "" resources: pods verbs: get list watch apiGroups: apps resources: pods verbs: get list watch kubectl create f addRole.yaml 4. 配置RoleBinding，将sa绑定到Role上，让sa获取相应权限 vi addRoleBinding.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: myrolebinding namespace: default roleRef: apiGroup: rbac.authorization.k8s.io kind: Role name: testrole subjects: kind: ServiceAccount name: testsa namespace: default kubectl create f addRoleBinding.yaml 5. 配置集群访问信息 4.1 通过sa的名称testsa获取sa对应的密钥，第一列testsatokennttvl即为密钥名 kubectl get secret n default grep testsa 4.2 将密钥中的ca.crt解码后导出 kubectl get secret testsatokend6b4q n default oyaml grep ca.crt: awk '{print $2}' base64 d > ca.crt 4.3 设置集群访问方式，其中dev 为需要访问的集群名称，10.50.208.30为集群ApiServer地址，test.config为配置文件的存放路径 （1）如果通过内部ApiServer地址，执行命令如下： kubectl config setcluster dev server certificateauthorityca.crt embedcertstrue kubeconfigtest.config （2）如果通过公网ApiServer地址，执行命令如下： kubectl config setcluster dev server kubeconfigtest.config insecureskiptlsverifytrue 集群ApiServer地址为内网ApiServer地址，绑定弹性IP后也可为公网ApiServer地址。如下图： 5. 配置集群认证信息 5.1 获取集群的token信息 token$(kubectl describe secret testsatokend6b4q n default awk '/token:/{print $2}') 5.2 设置使用集群的用户uiadmin kubectl config setcredentials uiadmin token$token kubeconfigtest.config 7. 配置集群认证访问的上下文信息，uiadmin@test为上下文的名称 kubectl config setcontext uiadmin@test clusterdev useruiadmin kubeconfigtest.config 8. 设置上下文 kubectl config usecontext uiadmin@test kubeconfigtest.config

本节介绍云等保专区产品的上线配置概览。 云等保专区整合了多个原子能力，部分原子能力需要进行安装配置后，才能正常使用。 原子能力 安装内容及步骤 参考文档 主机安全v1.0 Agent下载安装 请参考主机安全 主机安全v1.0 资产管理配置 请参考主机安全 主机安全v1.0 安全策略编辑 请参考主机安全 主机安全v1.0 日志查看 请参考主机安全 Web应用防火墙v1.0 绑定弹性IP 请参考Web应用防火墙 Web应用防火墙v1.0 全局配置 请参考Web应用防火墙 Web应用防火墙v1.0 添加站点 请参考Web应用防火墙 Web应用防火墙v1.0 配置策略 请参考Web应用防火墙 Web应用防火墙v1.0 验证URL 请参考Web应用防火墙 下一代防火墙v1.0 绑定弹性IP 请参考下一代防火墙 下一代防火墙v1.0 配置子网路由 请参考下一代防火墙 下一代防火墙v1.0 设置安全策略 请参考下一代防火墙 下一代防火墙v1.0 安全日志查看 请参考下一代防火墙 堡垒机v1.0 绑定弹性IP 请参考堡垒机 堡垒机v1.0 创建部门 请参考堡垒机 堡垒机v1.0 创建用户 请参考堡垒机 堡垒机v1.0 创建主机 请参考堡垒机 堡垒机v1.0 创建运维规则 请参考堡垒机 堡垒机v1.0 审计规则设置 请参考堡垒机 堡垒机v1.0 数据归档设置 请参考堡垒机 漏洞扫描v1.0 资产管理 请参考漏洞扫描 漏洞扫描v1.0 扫描策略设置 请参考漏洞扫描 漏洞扫描v1.0 创建扫描任务 请参考漏洞扫描 漏洞扫描v1.0 扫描报告查看 请参考漏洞扫描 日志审计v1.0 设置日志上传 请参考日志审计 日志审计v1.0 添加资产 请参考日志审计 日志审计v1.0 查询自查信息 请参考日志审计 日志审计v1.0 创建解决方案包 请参考日志审计 日志审计v1.0 订阅告警 请参考日志审计 日志审计v1.0 查看审计结果 请参考日志审计 数据库审计v1.0 安装Agent 请参考数据库审计 数据库审计v1.0 添加资产 请参考数据库审计 数据库审计v1.0 配置规则 请参考数据库审计 数据库审计v1.0 订阅报表和告警 请参考数据库审计

在应用的发布、重启过程中，不可避免的会造成流量的损失，可能会因为服务没有预热而出现抖动，或因为服务没有完全初始化之前就注册在注册中心导致访问失败。微服务治理提供了服务上线的保护能力，提供服务预热、延迟注册服务的能力解决流量损失问题。 使用无损下线 默认情况下，当应用开启服务治理后即可享受无损下线功能，无需额外操作 功能入口 1. 完成灰度应用部署后，即可查看应用当前存在的标签。 2. 登录云应用引擎控制台。 3. 在左侧导航栏选择 应用管理 > 应用列表，单击目标应用名称。 4. 应用基础信息页面，选择 微服务治理 > 流量治理，单击 无损上下线 服务预热 应用在启动后，由于内部资源还未彻底初始化，直接处理大流量可能会导致出现请求阻塞或报错的情况。在应用刚启动的一段时间内，通过小流量预热的方式使应用完成内部资源的初始化，这样可以有效的避免应用上线后出现的抖动问题。 预热参数说明： 参数 说明 预热时长（秒） 应用实例下一次启动的预热时间，默认预热时长为120秒。服务预热时长设置范围为0~86400秒（即24小时）。 预热曲线 默认为2（适合于一般预热场景），表示在预热周期内服务提供者的流量接收曲线形状呈2次曲线形状。预热曲线设置范围为0~20。

本文主要介绍散点图配置。 散点图是一种在直角坐标系平面上，通过数据点展示两个变量关系的图表。每组数据分别对应X轴和Y轴的坐标值，点的位置、分布和密集程度可用于判断两个变量之间的相互影响程度。 前提条件 已完成日志采集配置，并成功采集到日志。 操作步骤 1. 登录云日志服务控制台。 2. 在日志管理页面的日志项目列表中，点击已创建的日志单元名称，进入日志单元详情页面。 3. 在日志单元详情页面中，即可查看当前日志单元中的日志数据。 4. 在语句搜索模式下，输入查询语句与SQL分析语句，具体语法请参考SQL统计分析章节。 5. 点击【查询】按钮，结果将默认以表格形式呈现。右侧图表类型选择点击散点图图。 6. 结果将以散点图图的形式展示。 配置参数 查询分析配置 参数 说明 图表名称 支持自定义图表名称。 x轴字段 选择目标日志字段作为X轴。 y轴字段 选择目标日志字段作为Y轴。 分类列 选择用于数据分类的日志字段。 点大小列 选择一个字段，将根据该字段的值动态设置点的大小。 图形配置 参数 说明 线宽 设置线的宽度。 透明度 设置透明度 点大小 设置点的大小。 若您设置了点大小列，则此处的点大小设置不会生效。 形状 设置点的形状（圆形、方形和三角形）。

日志触发器能够为您提供增量日志的触发事件，您可以及时感知到指定的日志单元产生了新的日志，结合日志服务提供的SDK，您可以消费到最新的增量日志，完成定制化的任务。 使用场景 监控关键日志并告警。通过配置日志触发器，您可以及时消费到增量日志，通过编排工作流，可以监听捕捉日志内容，并发出告警。 实现日志数据的ETL。通过配置日志触发器，您可以持续消费指定日志单元的日志（Extract），通过编排工作流，可以对日志数据进行清洗、脱敏等一系列处理，并投递到新的日志单元（Transform，Load）。 触发机制 事件的基本传递机制请参考概述。 增量日志事件的上报：日志单元会持续监听日志数据写入，如果没有新增日志，不会上报事件；如果有新增日志，且最近60秒内日志量少于25MB，那每60秒会上报一次；如果日志量大于25MB，则在日志量达到25MB时上报一次。 Event事件的data部分格式如下。 plaintext { "beginCursor":7256969395249872970, // 日志数据起始游标，标识增量日志的开始位置 "endCursor":7256969395249872981, // 日志数据结束游标，标识当次上报日志结束为止 "unitCode":"0fc54abd09aa8c" // 日志单元ID } 日志触发器只会推送日志事件的元数据信息，不包括日志内容，如果需要消费日志内容，请使用云日志提供的SDK并结合Event事件data字段进行日志消费，具体用法可参考文档。

本节介绍了：云容器引擎发布 Kubernetes 1.25版本说明。 社区 Kubernetes 版本主要变更 Kubernetes 1.25 Changelog 1. PodSecurityPolicy 弃用，Pod Security Admission 升级为稳定版本，迁移指引可参见从 PodSecurityPolicy迁移到内置的 PodSecurity Admission控制器。 2. 临时容器升级为稳定版本，临时容器是在 Pod中存在有限时长的容器。临时容器可用于排障，特别是检查另一个容器的时候，该容器已奔溃无法使用 kubectl exec进入。 3. 对 cgroups v2的支持达到稳定状态，cgroups v2相对于 cgroups v1 进行了多项改进，更多信息请参阅cgroup v2。 4. Windows 支持得到了改进。 5. SeccompDefault 升级为 Beta，清参阅教程使用 seccomp限制容器系统调用。 6. 网络策略（NetworkPolicy）中的 endPort GA，该特性支持设置端口范围。请注意，endPort依赖网络策略提供商支持。 7. CSI 临时卷升级到稳定状态，该功能允许在 Pod spec中为临时用例直接指定 CSI卷。它们可用于注入配置、密钥、身份标志、变量等类似信息。 8. CRD 校验表达式语言升级到 Beta版，该特性允许使用通用表示式语言（CEL）声明式地验证自定义资源。更多信息见[校验规则指南](

Service 与 kubeproxy Service是Kubernetes抽象出来的网络组件，它对外提供统一的IP，屏蔽后端 Pod 的变化，将请求负载到后端的容器 Pod。 kubeproxy是 Kubernetes 的核心组件之一，负责维护节点上 Service 到 Pod 的网络规则。云容器引擎的 kubeproxy 支持 iptables 和 IPVS 两种模式。 iptables iptables 是 Linux 用于过滤和处理数据包的内核功能，其原理是通过 Hook 机制挂载的一系列规则对路径上的数据包进行处理。在使用 iptables 模式时，kubeproxy 会为每一个 Service 添加一条 iptables 规则。通过这些规格流向 Service 的数据包将被随机转发到后端的容器 Pod上。适用的场景： 成熟稳定的kubeproxy代理模式，性能一般，适用于Service数量较少（小于3000）的场景 随机平等的负载均衡算法能满足需求的场景 IPVS IPVS（IP Virtual Server）是构建在传输层上的负载均衡，其原理是将客户端的 TCP 和 UDP 请求根据预设的调度算法分配到后端的真实服务器上，从而实现服务器集群的负载均衡。采用 IPVS 模式时，kubeproxy 会使用 IPVS 提供的高效查找算法将请求转发到后端的容器 Pod上，且处理效率与集群规模无关。适用的场景： 高性能的kubeproxy代理模式，适用于集群规模较大或Service数量较多的场景 有轮询、最短期望延迟、最少连接以及各种哈希方法等负载均衡算法需求的场景

本节介绍了云容器引擎的产品功能。 功能特性 强大的集群管理 单集群支持数千节点规模 高性能自研网络插件，VM与容器直连互通，性能提升20% 丰富的集群插件，开箱即用 一站式容器应用管理 支持原生5种类型工作负载 内置应用模板，支持一键部署Helm应用 支持灰度发布，蓝绿发布，应用弹性伸缩 极致弹性&高效调度 支持HPA/CronHPA伸缩策略 支持基于历史指标/事件驱动的弹性伸缩 提供负载感知调度，解决原生k8s调度不均问题 企业级的安全稳定 支持3Master高可用，镜像服务高可用能力 提供集群备份恢复插件，支持多种存储介质 支持安全容器，提供镜像签名和镜像扫描 功能列表 一级分类 二级分类 功能点 功能点描述 核心功能 集群 一键快速部署 支持界面化订购，自动开通Kubernetes集群，兼容原生Kubernetes 核心功能 集群 节点管理 支持界面化进行扩缩容，支持节点标签、调度设置 核心功能 集群 命名空间 支持资源配额设置、支持网络隔离设置 核心功能 集群 运行时 支持Docker、Containerd 核心功能 工作负载 生命周期管理 支持应用创建、启停、扩缩容、注销等生命周期操作 核心功能 工作负载 工作负载 支持界面化发布有状态、无状态、守护进程、任务、定时任务等工作负载 核心功能 工作负载 多容器 支持一个Pod中发布多个容器，支持设置特权级容器 核心功能 工作负载 探针 支持界面化自定义策略检测应用的可用性 核心功能 工作负载 滚动升级 支持业务不中断平滑升级 核心功能 工作负载 亲和性/反亲和 支持主机及应用的亲和性与反亲和性调度 核心功能 工作负载 资源管控 支持容器级别的资源需求和限额设置，防止资源的浪费 核心功能 弹性调度 Pod弹性伸缩 支持自动伸缩规则设置，基于CPU/内存等资源自动伸缩应用，支持HPA、CronHPA和基于事件的弹性策略 核心功能 弹性调度 节点弹性伸缩 支持节点弹性伸缩 核心功能 弹性调度 负载感知调度 支持调度Pod时考虑节点的实际负载 核心功能 路由 多协议支持 支持TCP、UDP、HTTP以及HTTPS等协议 核心功能 路由 Service支持 支持NodePort、ClusterIP，LB等对外提供访问、支持无头服务 核心功能 路由 Ingress支持 支持Nginx Ingress 核心功能 路由 灰度/蓝绿发布 支持支持灰度/蓝绿发布，支持应用的多个版本在线运行 核心功能 配置管理 配置项 支持配置项 核心功能 配置管理 Secret 支持保密字典、凭证等 核心功能 网络 网络插件 支持高性能网络插件Calico 核心功能 网络 网络插件 支持自研网络插件CubeCNI实现容器与虚拟机网络直通 核心功能 网络 网络策略 支持容器访问策略和流控限制 核心功能 存储 多类型存储 支持Local、NFS、Ceph常见持久存储类；支持csi驱动程序，集成天翼云的云硬盘、弹性文件、对象存储等云存储 核心功能 存储 持久卷声明 支持界面化创建持久卷声明，支持监控存储使用量 核心功能 存储 持久卷 支持界面化创建持久卷，支持持久卷的动态生成 核心功能 日志管理 日志中心 支持容器日志的采集、存储和检索，支持集成三方开源日志解决方案 核心功能 监控与告警 监控中心 支持集群、节点、容器多级别的监控与告警配置，支持审计日志，支持集成三方开源监控解决方案 核心功能 系统管理 接入平台 作为平台组件对外提供服务，支持订单方式进行集群的开通、扩缩容、删除等 核心功能 系统管理 权限管理 多租户支持，租户资源隔离，用户角色授权，支持集群和命名空间的授权 高级功能 应用 插件市场 支持通过Chart对插件打包发布到插件市场，界面化一键部署监控等插件，通过插件与其他产品集成 高级功能 应用 模板市场 支持通过Chart对应用打包发布到模板市场，界面化安装部署等 高级功能 应用 有状态应用 支持挂载持久化存储，实现有状态应用容器化部署 高级功能 能力开放 OpenAPI 支持开放API，对接持续集成和私有部署系统 高级功能 高可用部署 Kubernetes高可用 支持Kubernetes高可用部署 容器镜像服务 镜像 镜像仓库 支持对接多镜像中心，支持界面化创建仓库 容器镜像服务 镜像 租户隔离 支持公开仓库的可见性及私有仓库的不可见性 容器镜像服务 镜像 镜像管理 支持管理海量镜像，支持多版本镜像 容器镜像服务 镜像 镜像收藏 支持快速检索镜像并收藏 容器安全 授权 权限管理 支持基于k8s RBAC授权 容器安全 配置安全 容器安全策略 支持SecurityContext配置

本小节介绍微隔离防火墙产品定义和产品优势。 产品定义 微隔离防火墙（CTMIFW Microisolation Firewall）面向数据中心的跨平台统一安全管理软件，能够对数据中心的内部流量进行全面精细的可视化分析和高细粒度的安全策略管理，能够帮助用户快速便捷的实现环境隔离、域间隔离以及端到端隔离。与云下一代防火墙互补，实现纵深防御。 产品优势 基础架构无关 与基础架构无关，与系统适配。 Linux 发行版 CentOS: 5.X(有限支持)/ 6.X/ 7.X/ 8.3.2011； Ubuntu: 14/ 16/ 18.04 LTS/ 20； Debian: 8/ 9/ 10； Suse: 11.4/ 12SP1/ 12SP5； Open Suse: 42.3/ 13.2/ Leap15.0。 Windows Server Windows Server 2008R2； Windows Server 2012/ R2； Windows Server 2016； Windows Server 2019。 国产操作系统 UOS:V20Debian10/V20CentOS7.7/V20CentOS8.2； Kylin: V4/ V7/ V10； EulerOS: SP5； OpenEulerOS: 20.09/ 21.09。 容器平台 K8S+Docker； K8S+CIRO。 系统影响小 采用安全可靠架构设计 全用户态设计，不侵蚀系统内核； 单向控制通信，不额外开放端口； 客户端防卸载、防删除、防停用。 智能优化系统性能开销 连接、阻断关系合并上报； 防火墙策略对象智能聚合。 多项资源占用保护机制 CPU单核占用率降级阈值设定； 连接、阻断关系内存占用限制； Conntrack最大容量动态调整； TCP / UDP超时时间智能调整。

功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 支持的操作系统 检测周期 未分类恶意软件 对运行中的程序进行检测，识别出其中的后门、木马、挖矿软件、蠕虫和病毒等恶意程序。 × √ √ √ √ √ Linux、Windows 实时检测 病毒 对服务器进行实时检测，对在服务器资产发现的各种病毒进行告警上报。 × √ √ √ √ √ Linux、Windows 实时检测 蠕虫 对服务器中入侵的蠕虫或已存在的蠕虫进行检测、查杀，并进行告警上报。 × √ √ √ √ √ Linux、Windows 实时检测 木马 对隐藏在正常程序中具备破坏和删除文件、发送密码、记录键盘等特殊功能的程序进行检测，发现时立即进行告警上报。 × √ √ √ √ √ Linux、Windows 实时检测 僵尸网络 检测主机资产中是否存在已被传播的僵尸程序，一旦发现立即进行告警上报。 × √ √ √ √ √ Linux、Windows 实时检测 后门 实时检测服务器系统是否存在后门漏洞，对发现的后门病毒进行告警上报。 × √ √ √ √ √ Linux、Windows 实时检测 Rootkits 检测服务器资产，对可疑的内核模块和可疑的文件或文件夹进行告警上报。 × √ √ √ √ √ Linux 实时检测 勒索软件 检测来自网页、软件、邮件、存储介质等介质捆绑、植入的勒索软件。勒索软件用于锁定、控制您的文档、邮件、数据库、源代码、图片、压缩文件等多种数据资产，并以此作为向您勒索钱财的筹码。 × × × √ √ √ Linux、Windows 实时检测 黑客工具 检测服务器是否存在用来控制服务器的非标工具，一旦发现立即上报告警。 × × √ √ √ √ Linux、Windows 实时检测 Webshell 检测云服务器上Web目录中的文件，判断是否为Webshell木马文件，支持检测常见的PHP、JSP等后门文件类型。 网站后门检测信息包括“木马文件路径”、“状态”、“首次发现时间”、“最后发现时间”。您可以根据网站后门信息忽略可信文件。 您可以使用手动检测功能检测主机中的网站后门。 × √ √ √ √ √ Linux、Windows 实时检测 挖矿软件 实时检测服务器中是否存在挖矿软件，并对发现的软件进行告警上报。 × √ √ √ √ √ Linux、Windows 实时检测 远程代码执行 实时检测服务器是否存在被远程调用的情况，一旦发现立即进行告警上报。 × × √ √ √ √ Linux、Windows 实时检测 反弹Shell 实时监控用户的进程行为，可及时发现并阻断进程的非法Shell连接操作产生的反弹Shell行为。支持对TCP、UDP、ICMP等协议的检测。 × √ √ √ √ √ Linux 实时检测 文件提权 检测当前系统对文件的提权。 × √ √ √ √ √ Linux 实时检测 进程提权 检测以下进程提权操作：利用SUID程序漏洞进行root提权。利用内核漏洞进行root提权。 × √ √ √ √ √ Linux 实时检测 关键文件变更 对于系统关键文件进行监控，文件被修改时告警，提醒用户关键文件存在被篡改的可能。 × √ √ √ √ √ Linux 实时检测 文件/目录变更 实时监控系统文件/目录，对创建、删除、移动、修改属性或修改内容的操作进行告警，提醒用户文件/目录可能被篡改。 × √ √ √ √ √ Linux、Windows 实时检测 进程异常行为 检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。对于进程的非法行为、黑客入侵过程进行告警。进程异常行为可以监控以下异常行为： 监控进程CPU使用异常。 检测进程对恶意IP的访问。 检测进程并发连接数异常等。 × × √ √ √ √ Linux、Windows 实时检测 高危命令执行 实时检测当前系统中执行的高危命令，当发生高危命令执行时，及时触发告警。 × √ √ √ √ √ Linux、Windows 实时检测 异常Shell 检测系统中异常Shell的获取行为，包括对Shell文件的修改、删除、移动、复制、硬链接、访问权限变化。 × √ √ √ √ √ Linux 实时检测 Crontab可疑任务 检测并列出当前所有主机系统中自启动服务、定时任务、预加载动态库、Run注册表键或者开机启动文件夹的汇总信息。帮助用户通过自启动变更情况，及时发现异常自启动项，快速定位木马程序的问题。 × × × √ √ √ Linux、Windows 实时检测 系统安全防护被禁用 检测勒索软件加密前准备动作：通过注册表关闭Windows Defender 实时保护功能，一旦发现立即上报告警。 × × √ √ √ × Windows 实时检测 备份删除 检测勒索软件加密前准备动作：删除备份格式文件或Backup文件夹下的文件，一旦发现立即上报告警。 × × √ √ √ √ Windows 实时检测 异常注册表操作 检测通过注册表关闭系统防火墙、勒索病毒Stop修改注册表并写入特定字符串等操作，一旦发现立即上报告警。 × × √ √ √ √ Windows 实时检测 暴力破解 检测“尝试暴力破解”和“暴力破解成功”等暴力破解。 检测账户遭受的口令破解攻击，封锁攻击源，防止云主机因账户破解被入侵。 若账户暴力破解成功，登录到云主机，则触发安全事件告警。 √ √ √ √ √ √ Linux、Windows 实时检测 异常登录 检测主机异地登录行为并进行告警，用户可根据实际情况采取相应措施（例如：忽略、修改密码等）。若在非常用登录地登录，则触发安全事件告警。 √ √ √ √ √ √ Linux、Windows 实时检测 非法系统账号 检测主机系统中的账号，列出当前系统中的可疑账号信息，帮助用户及时发现非法账号。 × √ √ √ √ √ Linux、Windows 实时检测 用户账号添加 检测使用命令创建隐藏账户，一旦创建成功后用户交互界面和命令查询均不可见。 × × √ √ √ √ Windows 实时检测 用户密码窃取 检测主机中的系统账号和密码Hash值被异常获取的行为，一旦发现进行告警上报。 × × √ √ √ √ Linux、Windows 实时检测 端口扫描 检测用户指定的端口存在被扫描或者嗅探的行为，一旦发现进行告警上报。 × × × √ √ √ Linux 实时检测 主机扫描 检测网络对主机规则覆盖（包含对ICMP、ARP、nbtscan是覆盖）的扫描活动，一旦发现立即上报告警。 × × × √ √ √ Linux 实时检测

本文为您介绍如何通过注解实现ECI Pod环境变量获取元Pod IP和 EIP IP。 操作步骤 1. 打开云容器引擎集群控制台，点击集群名称。 2. 选择工作负载菜单，点击无状态，进入无状态列表页。 3. 点击“新增YAML”按钮。 4. 为Pod 添加注解，以Deployment 为例： plaintext k8s.ctyun.cn/eciwitheip: "true" 可选，设置则自动分配 EIP k8s.ctyun.cn/eipbandwidth: "5" 可选，单位 Mbps，默认 5Mbps deployment 完整模板，其中环境变量设置如下，获取Pod IP和EIP IP： shell apiVersion: apps/v1 kind: Deployment metadata: name: nginxdeployment labels: app: nginx spec: replicas: 1 selector: matchLabels: app: nginx template: metadata: annotations: k8s.ctyun.cn/eciwitheip: "true" k8s.ctyun.cn/eipbandwidth: "5" labels: app: nginx spec: containers: name: nginx image: registryhuadong1.crsinternal.ctyun.cn/opensource/nginx:1.25alpine ports: containerPort: 80 env: name: PODIP valueFrom: fieldRef: fieldPath: status.podIP name: PODEIP valueFrom: fieldRef: fieldPath: "metadata.annotations['k8s.ctyun.cn/allocatedeipAddress']" nodeName: vndc2hq918w25w2vqracnhuadong1jsnj3apublicctcloud 注意 通过yaml 创建，此处需要指定节点为 vnode： shell nodeName: "vndc2hq918w25w2vqracnhuadong1jsnj3apublicctcloud" 5. 创建完成在ECI 控制台，找到对应的ECI Pod，进入详情页面，选择远程连接页签，可以看到环境变量已生效。 6.

本小节介绍数据库安全购买类常见问题。 购买实例时如何选择“子网”？ 需要选择与数据库同一VPC的子网。 购买实例时为何要选择VPC？ 对于非云上的数据库，Agent和DBSS实例之间的网络需要通过VPC互通。DBSS实例的VPC和安装Agent的节点如果在不同VPC，将导致无法审计。 同一区域可以多少个数据库安全审计实例？ 基础版：最多支持3个数据库实例。 专业版：最多支持6个数据库实例。 高级版：最多支持30个数据库实例。 在专属云上购买数据库安全服务会消耗专属云上的资源吗？ 当您在专属云上购买数据库安全服务时，DBSS将消耗您在专属云上的计算资源，消耗的资源说明如表所示。 如果您不希望DBSS消耗专属云资源，请在公有云上购买DBSS。 版本 消耗资源 基础版 vCPU：4核 内存：16GB 硬盘：560GB 专业版 vCPU：8核 内存：32GB 硬盘：1084GB 高级版 vCPU：16核 内存：64GB 硬盘：2108GB 哪些区域可以使用数据库安全服务？ 目前数据库安全服务主要集中在天翼云二类节点，主要区域包含如下： 购买实例时提示资源售罄时如何处理？ 当您在购买数据库安全服务时，界面提示资源售罄，请您单击管理控制台左上角的区域按钮选择其他区域后购买或提交工单。

本页介绍了关系数据库MySQL版资源池和产品功能概览。 针对关系数据库MySQL版帮助文档中“一类节点”的资源池进行说明。“一类节点”中的资源池分为I类型资源池和II类型资源池。推荐使用II类型资源池。 表1 资源池说明 I 类型资源池 北京5、晋中、辽阳1、内蒙古6、石家庄20、杭州2、合肥2、九江、南京3、上海7、芜湖2、郴州2、佛山3、福州4、福州25、广州X节点（仅省内可见）、海口2、衡阳3、武汉4、乌鲁木齐4、乌鲁木齐27、西安3、西安4、西安5、中卫2、成都4、贵州3、昆明2、拉萨3、重庆2、帆豫智联、中卫5、西宁2 说明 所有I 类型资源池自2025年6月17日起已不再支持新购实例，如有问题，请提单咨询。 II 类型资源池 西南1、南宁23、长沙42、华北2、南昌5、青岛20、上海36、湖南永州一城一池1、华南2、华东1、太原4、武汉41、郑州5、西安7、西南2贵州、杭州7、广州4、苏州、芜湖4、呼和浩特3、庆阳2、广州x节点xc可用区、乌鲁木齐7、北京行业云20、上海15、佛山7、沈阳8 国际站资源池 香港2（区分国内站和国际站），澳门（国内站），印度尼西亚1（国内站） 说明 1. Ⅰ类型资源池和Ⅱ类型资源池通过管理控制台，点击控制中心右侧的区域框进行选择。 2. 广州4、苏州资源池可以通过实例管理页签的“Ⅱ类型资源池切换”按钮进行选择。 3. 关于香港2节点，国内站可以正常访问关系数据库MySQL版控制台左上角选择香港2节点，国际站可以通过点击国际站官网，选择关系数据库MySQL产品，享受数据库服务。您需要注意的是国际站和非国际站资源池的账号系统是彼此独立的。 4. Ⅱ类型资源池中，华南2、西南1、广州4、华东1、华北2等资源池均加载了国产化系列实例类型。具体加载类型可参见实例规格，关于国产化云主机相关情况可参考国产化云主机，以了解不同系列区别。 5. Ⅱ类型资源池中，自2024年12月30日起，已完成架构升级的资源池有：西南1、华东1、华北2、长沙42、上海36、太原4、武汉41、郑州5、广州4、西南2贵州、南昌5、华南2等所有Ⅱ类型资源池。 表2 功能说明 功能模块 产品功能 I 类型资源池 II 类型资源池 计费模式 按需 支持 支持 计费模式 包周期 支持 支持 数据库工具 智能问答助手 不支持 部分资源池支持 数据库工具 智能运维与实例画像 不支持 部分资源池支持 数据库工具 支持DMS登录数据库 不支持 部分资源池支持 数据库工具 数据库克隆 不支持 支持 部署方式 跨可用区 不支持 部分资源池支持 规格 单机实例 支持 支持 规格 主备实例 支持 支持 规格 一主两备实例 支持 支持 规格 只读实例 仅部分资源池支持 支持 实例管理 备份空间扩容 支持 支持 实例管理 存储空间扩容 支持 支持 实例管理 规格扩容 支持 支持 实例管理 规格缩容 不支持 支持 实例管理 存储空间自动扩容 不支持 支持 实例管理 性能自动扩容 不支持 支持 实例管理 性能自动缩容 不支持 仅华北2、西安7支持 实例管理 系列升级 支持 支持 实例管理 参数模板 支持 支持 实例管理 参数模板导入导出 不支持 支持 实例管理 标签管理 支持 支持 实例管理 主备切换 支持 支持 实例管理 修改切换策略 不支持 支持 实例管理 修改数据复制方式 不支持 支持 实例管理 迁移可用区 不支持 仅西南1、华南2、华东1、华北2支持 实例管理 重启实例 支持 支持 实例管理 修改数据库端口 支持 支持 实例管理 设置可维护时间段 不支持 支持 实例管理 续订实例 支持 支持 实例管理 暂停实例 不支持 仅西南1支持 实例管理 释放实例 支持 支持 实例管理 修改实例名称 支持 支持 实例管理 开启和关闭实例释放保护 不支持 支持 实例管理 MGR集群 不支持 仅西南1支持 实例管理 表名大小写 不支持 支持 实例管理 设置只读复制延迟 不支持 支持 实例管理 实例回收站 不支持 支持 实例管理 购买相同配置实例 不支持 支持 实例管理 只读转单机 不支持 西南1、华北2支持 实例管理 事件定时器 不支持 部分资源池支持 实例管理 设置数据库只读 不支持 支持 实例版本 升级内核小版本 不支持 支持 实例版本 升级数据库版本 不支持 仅华北2、西安7、长沙42、武汉41、杭州7支持 密码设置 自定义密码策略 不支持 支持 密码设置 修改密码 支持 支持 密码设置 密码锁定插件 不支持 支持 账号管理 创建账号 支持 支持 账号管理 修改账号权限 支持 支持 账号管理 重置高权限账号 不支持 支持 账号管理 基于数据库代理创建只读账号 不支持 仅西南1支持 账号管理 禁用root账号 不支持 仅西南1支持 数据库管理 创建数据库 支持 支持 数据库管理 删除数据库 支持 支持 监控告警 查看监控 支持 支持 监控告警 设置查看监控频率 不支持 支持 监控告警 设置报警规则 不支持 支持 问题诊断 死锁分析 不支持 仅西南1支持 问题诊断 空闲连接管理 不支持 支持 安全 透明数据加密TDE 不支持 仅华东1、西南1、华南2、杭州7支持 安全 SQL审计 不支持 支持 安全 SQL拦截 不支持 支持 安全 SSL加密 支持 支持 安全 云盘加密 不支持 仅华北2、华东1、西南1支持 安全 SQL限流 不支持 仅西南1支持 安全 动态脱敏 不支持 仅西南1支持 安全 IP白名单 不支持 支持 日志记录 日志管理 支持 支持 日志记录 任务列表 支持 支持 日志记录 操作记录 不支持 支持 日志记录 云审计 不支持 支持 备份 自动备份 支持 支持 备份 库表备份 不支持 支持 备份 手动备份 支持 支持 备份 对象存储 不支持 除广州4、苏州外其他均支持 备份 下载数据备份 不支持 未加载对象存储资源池不支持 备份 下载日志备份 不支持 未加载对象存储资源池不支持 备份 高频物理备份 支持 支持 备份 快照备份 不支持 白名单用户支持 备份 binlog本地设置 不支持 支持 备份 跨域备份 不支持 仅华东1、华北2、西南1支持 备份 备份类型转换 不支持 仅西南1支持 备份 逻辑备份 不支持 仅华北2、西安7支持 恢复 恢复至原实例 支持 支持 恢复 恢复至新实例 不支持 支持 恢复 多库表恢复 不支持 支持 恢复 快照恢复 不支持 白名单用户支持 恢复 跨域恢复 不支持 仅华东1、华北2、西南1支持 恢复 SQL闪回 不支持 仅华东1支持 访问 数据库代理 不支持 支持 访问 IPv4 支持 支持 访问 IPv6 不支持 支持 访问 弹性IP 部分资源池支持 支持 访问 开通指定IP地址 不支持 支持 访问 实例内网域名 不支持 仅西南1、华东1、武汉41支持 访问 修改内网连接地址（IPV4） 不支持 仅部分资源池支持 访问 切换实例VPC 不支持 除广州4、苏州外其他均支持 计费变更 按需实例转包周期 支持 支持 计费变更 包周期实例转按需 支持 支持 其他 主子账号/账号委托 部分资源池支持 支持

本文介绍如何配置DDoS封堵通知渠道。 注意 本文适用于天翼云所有公网资源池。所有弹性 EIP 均已纳入 DDoS 基础防护覆盖范围，平台会统一为其分配免费基础 DDoS 防护阈值。若您的 EIP 所属资源池未开放 DDoS 基础防护控制台，虽无控制台操作与查询功能，但 EIP 流量超出防护阈值被平台封堵时，系统仍会自动向账号绑定联系人发送站内信、短信及邮件通知。 引言 为确保您能及时获知弹性 EIP 的 DDoS 封堵相关信息，快速响应并保障业务平稳运行，本文将详细介绍 DDoS 封堵通知渠道的配置方法。默认情况下，当 IP 触发 DDoS 封堵时，平台会自动向您天翼云账号本身已绑定的联系人，通过短信、站内信、邮件三种方式发送封堵通知；若您需要让业务值班人员、运维人员等更多相关人员同步接收该类通知，可通过配置安全消息接收人的方式额外增加接收人，实现 DDoS 封堵信息的多人同步推送，具体配置操作将在下文逐步说明。 前提条件 用户持有天翼云弹性 EIP：所有弹性 EIP 均纳入 DDoS 基础防护覆盖范围，平台基于整体安全管控需求，为每一个弹性 EIP 统一分配 DDoS 防护阈值；若客户无公网业务需求，可无需使用该产品相关功能。 完成账号实名制认证。

本文介绍如何配置DDoS封堵通知渠道。 注意 本文适用于天翼云所有公网资源池。所有弹性 EIP 均已纳入 DDoS 基础防护覆盖范围，平台会统一为其分配免费基础 DDoS 防护阈值。若您的 EIP 所属资源池未开放 DDoS 基础防护控制台，虽无控制台操作与查询功能，但 EIP 流量超出防护阈值被平台封堵时，系统仍会自动向账号绑定联系人发送站内信、短信及邮件通知。 引言 为确保您能及时获知弹性 EIP 的 DDoS 封堵相关信息，快速响应并保障业务平稳运行，本文将详细介绍 DDoS 封堵通知渠道的配置方法。默认情况下，当 IP 触发 DDoS 封堵时，平台会自动向您天翼云账号本身已绑定的联系人，通过短信、站内信、邮件三种方式发送封堵通知；若您需要让业务值班人员、运维人员等更多相关人员同步接收该类通知，可通过配置安全消息接收人的方式额外增加接收人，实现 DDoS 封堵信息的多人同步推送，具体配置操作将在下文逐步说明。 前提条件 用户持有天翼云弹性 EIP：所有弹性 EIP 均纳入 DDoS 基础防护覆盖范围，平台基于整体安全管控需求，为每一个弹性 EIP 统一分配 DDoS 防护阈值；若客户无公网业务需求，可无需使用该产品相关功能。 完成账号实名制认证。

具体步骤 首先，需进行告警规则的配置及启用，步骤同上，下文主要介绍创建共享带宽及弹性IP加入该共享带宽的步骤。 一、创建共享带宽 1. 登录网络控制台。 2. 在系统首页，单击“网络>虚拟私有云”。 3. 在网络控制台选择“共享带宽”，进入共享带宽页面。 4. 在共享带宽页面，单击“购买共享带宽”，进入订购页面，按照提示配置参数。 二、将弹性IP加入共享带宽 1. 登录网络控制台。 2. 在顶部菜单栏，选择地域。 3. 在左侧导航栏，选择“共享带宽”，进入共享带宽页面，找到目标共享带宽实例，在操作列单击添加弹性IP。 4. 在添加弹性IP对话框，根据以下信息添加弹性IP，然后单击确定 。 注意 已创建弹性IP且计费方式为按量付费。 弹性IP的地域与要加入的共享带宽的地域相同。 弹性IP与共享带宽线路类型需一致。 场景二： 场景说明 若用户当前使用按固定带宽计费的弹性IP或共享带宽实例已经达到默认的带宽配额上限，可通过提交工单的方式提升带宽配额上限，详见下方说明。 配额说明 产品 计费方式 默认配额 提升配额 弹性IP 包周期/按需按带宽计费 [1Mbps，300Mbps] 提交工单，最大值可提至2000Mbps 共享带宽 包周期/按需计费 [5Mbps，1000Mbps] 提交工单，最大值可提至2000Mbps

本节介绍集群联邦概述。 集群联邦 集群联邦基于多云容器编排能力，旨在管理跨云、跨地域场景下的多集群应用，为您提供多集群统一管理、应用部署、服务发现、弹性伸缩、故障迁移等能力。 功能优势 完全兼容Kubernetes原生API，支持从单集群到多集群零改造升级，无缝集成现有Kubernetes工具链生态。 丰富的多集群调度策略：集群亲和性调度、多集群拆分/再平衡调度，多维度的高可用部署，包括多Region、多AZ、多集群、多云供应商 。提供自动化的多集群故障优雅迁移能力，对故障集群实例进行集中式或分散式的迁移，保证服务实例不跌零 多集群流量分发：多集群Service实现跨集群的服务发现和访问。多集群Ingress提供跨集群的负载均衡和流量路由机制，支持自动切流，可自动摘除故障集群上的流量，保障服务的可用性 。 多集群弹性伸缩：基于工作负载的系统指标变动、自定义指标变动或固定的时间周期，实行多集群统一的负载伸缩策略，提升工作负载的可用性和稳定性 。 全域容器智能分析：实时监控应用及资源，采集各项指标及事件等数据以分析应用健康状态，提供多集群统一的全栈监控视图，对业务提供端到端追踪和可视化，提供集群健康诊断能力，缩短问题分析定位时间 。

本文介绍弹性文件服务入门相关流程。 天翼云弹性文件服务提供按需扩展的高性能文件存储，可为云上多个弹性云主机提供大规模共享访问，具备高可用性和高数据持久性。下面我们以创建文件系统、挂载文件系统到数据读写为例介绍弹性文件服务的整体入门流程，具体流程见下图： 1. 首先进行准备工作，注册天翼云，确保账户余额，具体流程参见准备工作。 2. 设置天翼云弹性文件服务控制台所给出的配置项，包括存储类型、存储协议等信息，具体步骤请参见创建文件系统。 3. 创建好的文件系统需要挂载至云主机或物理机上使用，具体挂载步骤参见挂载文件系统。 4. 文件系统挂载完成后，您可以为文件系统配置监控告警规则，监控带宽、IOPS等数据，赋能业务，配置参考创建告警规则和开启一键告警。 5. 您可以将本地或其他存储设备上的数据迁移至文件系统共享与管理。具体步骤可参考NAS文件系统之间的迁移。 6. 您可以像访问本地数据一样读写文件系统中存储的数据。

本文主要介绍弹性负载均衡健康检查常见问题。 健康检查为什么会导致负载均衡器会频繁向后端云主机发送探测请求？ ELB是高可用集群部署的，集群内的所有的转发节点会同时向后端云主机发送探测请求，检查间隔用户可配，健康检查会根据检查间隔一直探测，所以每隔几秒会有访问。您可以通过修改健康检查配置的周期来控制访问后端云主机的频率。 健康检查什么时候启动？ 后端云主机新加入后，在第一个周期内随机一个时间开始检测，后续按照“检查间隔”启动。 “最大重试次数”是否包括健康检查失败的场景？ 是，最大重试次数既是健康最大重试次数，也是不健康最大重试次数。 如何处理健康检查导致的大量日志？ 可以增加健康检查间隔时间，但延长健康检查的间隔时间后，后端云主机出现故障时，负载均衡发现故障云主机的时间也会增长。 可以关闭健康检查，但关闭健康检查后，负载均衡不再检查后端云主机，一旦某台后端云主机发生故障，则无法实现访问流量自动切换至其它正常的后端云主机。 切换健康检查协议，配置方法： 进入控制台，选择弹性负载均衡，选择需要配置的实例，选择后端云主机，点击配置健康检查配置，切换健康检查协议。 但负载均衡将只检查监听端口状态，不检查HTTP状态，会导致负载均衡无法实时获知HTTP应用是否出现问题。

2.1 环境准备 2.1.1 安装Apptainer（Galaxy相关镜像环境默认已安装，可跳过此步骤） 根据操作系统类型选择对应安装方式（以Ubuntu为例）： 安装依赖 sudo aptget update && sudo aptget install y libseccompdev squashfstools 下载并安装Apptainer wget sudo dpkg i apptainer1.2.81amd64.deb 2.1.2 下载测试工具 创建工作目录并获取EvalScope容器镜像： mkdir p /root/ctyun/log cd /root/ctyun wget （需联系公有云事业部，获取sif文件） 2.2 全量测试脚本配置与执行 2.2.1 脚本参数说明 编辑 run.sh脚本（vim run.sh，可按需调整参数）： !/bin/bash 定义日志输出路径 logdir"/root/ctyun/log" 请替换为实际的日志存储路径 mkdir p "$logdir" 如果目录不存在，则创建 定义parallel的取值 parallelvalues(1 10 20 32 40 64 128) 定义inputtokens和outputtokens的取值 tokenpairs("255 256" "255 1024" "255 2048" "511 512" "511 1024" "1023 1024" "1023 2048" "2047 2048" "4095 1024" "4095 4096") tokenpairs("20480 8192") 获取当前时间戳，格式为 YYYYMMDDHHMMSS timestamp$(date +"%Y%m%d%H%M%S") 外循环：遍历inputtokens和outputtokens的取值 for tokens in "${tokenpairs[@]}"; do

智慧工地 适用于管理系统与安防系统不配套，信息化程度较低，员工管控便利性不足，无法投入大量人力保障工地现场的场景。通过纳管所有工地视频，AI算法高效识别现场情况，预防事故的发生，有效降低事故率，助力实现“云监工”。智能视图服务具备以下优势： 建设周期短，成本低廉，云端汇聚组网方式更加简单明了，可用性更强，后续运维简单可靠。 大规模部署推流接入点，就近接入，满足多种形态视频资源的稳定接入。 集成AI内容审核，进行人脸识别，人员聚集检测、车辆牌号检索等工地现场管控。 智慧零售 适用于门店分散、加盟店多、人员管理难；客流客群数据统计难，难以判断市场动向；难以判断营销活动效果的门店智慧化改造。通过视频信息的数据化采集与应用为业务运营降本增效，积累行业智慧数据，快速支撑连锁门店的运营决策，提高企业收益率。智能视图服务具备以下优势： 前端设备、平台公网/专线接入，设备统一接入与管理。 根据业务特点，随时随地播放实时流、历史流，查看截图，支持监控内容的按需播放与调取，实现远程巡店。 支持多种算法部署升级、算力弹性扩容，智能统计分析客流情况，智能预警。

本小节介绍日志审计的网络环境需求。 若日志审计绑定了EIP，在用户通过EIP访问日志审计实例之前需要配置安全组策略，编辑入向策略，才可通过EIP直接访问日志审计实例。 说明 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互信任的弹性云服务器和日志审计实例提供访问策略。 为了保障日志审计的安全性和稳定性，在使用日志审计实例之前，您需要设置安全组，添加规则允许需访问日志审计的IP地址和端口。 日志审计实例开放端口说明 一类节点 说明 在订购时会自动生成以下安全组，保证页面访问和日志传输。 端口 协议 方向 用途 说明 514 UDP 入方向 Syslogudp采集 来源IP限制为支持上报采集的网段。 162 UDP 入方向 Snmptrap采集 来源IP限制为支持上报采集的网段。 8181 TCP 入方向 门户端口 来源IP限制为实例控制台地址，如果不开放，则无法访问Web界面。 433 HTTPS 出方向 日志审计实例心跳上报、授权许可同步到控制台 如果不开放，则会导致无法正常完成在线升级、升配操作。 53 UDP 出方向 日志审计实例心跳上报、授权许可同步到控制台需要的DNS解析 如果不开放，则会导致无法正常完成在线升级、升配操作

本章节介绍故障演练服务中演练任务管理功能。 概述 演练是指通过向系统的特定目标注入指定故障，并观察其影响，从而验证和提升系统可用性与韧性的过程。 新建演练 在目标应用的演练管理 页面，单击新建演练按钮，即可开始编排一个新的演练任务。 1、填写基本信息 在基本信息 页面，填写演练名称 、演练描述 和关联应用等。 说明 配置关联应用 可在当前演练任务中选择关联应用的资源进行故障演练。 2、配置演练对象 单击下一步 进入演练对象配置 页面。在此页面，可以配置一个或多个动作组，它们是故障注入的基本流程单元。 2.1 配置动作组 填写动作组名称 和描述。 单击动作组 右上角的复制图标，可以快速克隆出一个新的动作组。 说明 一个演练任务 可创建多个动作组。 2.2 添加实例到动作组 为动作组 选择一个资源类型（如弹性云主机）。 单击添加实例，在弹出的对话框中选择需要执行演练的资源对象。 说明 同一个动作组内仅可针对同一资源类型进行故障注入操作，不同资源类型可选择的实例个数也有不同的限制。 2.3 添加故障动作到动作组 在动作列表 中单击立即添加 ，选择需要注入的故障动作。 在弹出的对话框中，配置该故障动作的具体参数。

协议服务提供标准NFS协议访问HPFS文件系统的能力，本文介绍查询协议服务的场景说明和操作步骤。 场景说明 您可以查看文件系统下协议服务的基本信息，支持按协议服务ID或描述关键字查看指定的协议服务。 操作步骤 1. 登录天翼云控制中心，单击管理控制台左上角的，选择地域。 2. 选择“存储>并行文件服务HPFS”，进入并行文件服务的控制台页面。 3. 点击目标文件系统，进入文件系统详情页，点击协议服务页签，即可进入协议服务页面。 4. 在协议服务列表页查看所有协议服务的基本信息，参数说明如表所示： 参数 说明 协议服务ID 协议服务的ID，创建时自动生成，不支持修改。 状态 协议服务状态： 创建中、创建失败、可用、删除中、异常。 规格 通用型。 协议类型 NFS协议，默认支持NFSv3和NFSv4。 VPC挂载地址 导出的NFS的挂载地址。 VPCE挂载地址 若创建时选择开启终端节点（VPCE），则展示VPCE挂载信息，返回通常需要1~3分钟。 注意 如果您删除了终端节点，则VPCE的挂载地址将会失效。 VPC名称/ID 协议服务绑定的虚拟私有云（VPC），VPC的名称可以点击跳转到对应详情页面。 创建时间 协议服务的创建时间。 描述 协议服务的描述信息。 操作 仅支持删除操作。

敏感数据是指泄漏后可能会给社会或个人带来严重危害的数据。 敏感数据举例： 个人：家庭住址、工作单位、银行卡号、身份证号码 企业或组织：财务信息、客户资料、技术资料、重大决策等公司核心信息。 天翼云数据安全中心（Data Security Center，简称DSC）为您提供静态数据脱敏功能：能够根据脱敏规则对大批量数据进行统一变形转换处理。静态脱敏的应用场景多为：开发测试、数据分享、数据研究。可以将生产环境中的敏感数据交付至开发、测试或者外发环境。 为何敏感数据会泄露 内部原因 员工（包括在职员工、待离职员工、合作伙伴、外包人员）盗窃数据 重要笔记本电脑和移动设备的丢失或失窃 敏感数据越权访问和存储 企业员工打印、外和复制敏感数据 意外传输敏感数据 外部原因 基础措施不可控，避免数据存储系统存在安全漏洞 配置不当导致的外部攻击 敏感数据越权访问和存储 场景 场景假设：“rsddsctest”数据库中“dscyunxiaoke”表中存储了银行员工信息。 处理方案：当前需要对敏感数据进行敏感数据识别并完成脱敏，可选择识别规则组“银行金融领域模板”，该模板为预置模板，能识别出敏感数据并生成识别结果数据报告，再对识别出的敏感数据进行“Hash脱敏”中的SHA256算法进行脱敏处理，以此来达到保护敏感数据得目的。