本文介绍按需计费规则。 按需计费是一种先使用再付费的计费模式，用户开通服务时不需要进行任何预付款或包周期承诺。 适用场景 在完成日志数据采集后，您即可在云日志服务控制台进行实时查询与分析，日志数据可以长期存储。 适用计费项 按照费用类型，云日志服务的计费项包含日志存储量、日志读写流量，关于每种计费项的计费因子、计费公式等详情信息，请参考计费项说明。 计费项 计费说明 标准价格 免费额度 日志存储量 包括日志（压缩后）的存储量和日志（未压缩）被建立索引所产生的存储量。 0.0004792元/GB/小时 500MB/月 日志读写流量 数据（压缩后）被上传到云日志服务时，按照传输的数据量计算写流量费用。 0.18元/GB 500MB/月 日志索引流量 日志数据开启全文索引、字段索引时产生的流量。 0.35元/GB 500MB/月 付费方式 云服务日志支持按需付费方式。按照各个计费项实际使用量结算费用。先使用，后付费。 计费周期 按小时进行计费，每小时结算一次费用并生成账单，从账户余额中扣除实际消费金额，结算完毕后进入新的计费周期。 欠费影响 系统会在每个计费周期后的一段时间对按需计费资源进行扣费。当您的帐户欠费时，将无法使用云日志服务，日志将停止上报。具体请查看欠费说明。

本节介绍如何查看预定义地址组。 云防火墙为您提供预定义地址组，包括“NAT64转换地址组”和“WAF回源IP地址组”，两个地址组均建议您放行。 NAT64转换地址组：开启弹性公网IP（EIP）服务的IPv6转换功能后，云防火墙接收到对应IPv6流量的源IP地址会被转换为当前地址组中的IP。 说明 如果您开启了弹性公网IP（EIP）服务的IPv6转换功能，建议放行“NAT64转换地址组”。 WAF回源IP地址组：提供Web应用防火墙（WAF）服务云模式的回源IP地址。 注意 引用至防护规则，如果回源IP改变，无需手动修改，防火墙每天自动更新地址组中的IP地址。 添加至黑/白名单，如果回源IP改变，您需手动修改对应黑/白名单中的IP地址。 预定义地址组仅支持查看，不支持添加、修改、删除操作。 查看预定义地址组 1. 登录管理控制台。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“访问控制> 对象组管理”，进入“对象组管理”界面。 5. 在“IP地址组”页签，选择“预定义地址组”页签，单击目标地址组的名称，进入详细信息页面，查看地址组信息。

本文帮助您了解如何操作跨账号网络实例授权。 跨域号授权 跨账号网络实例授权互通 ，可实现归属不同天翼云账号的 虚拟私有云 （VPC）、云专线网关、SDWAN、VPN网关 等网络实例，在同一云间高速组网内安全互联，满足企业多账号架构下的云间网络统一调度与互通需求。 在实际业务场景中，企业集团、大型政企及多分支机构普遍采用多账号分权管理模式：总公司、子公司、业务部门、项目组等分别使用独立天翼云账号，各自创建并管理专属 VPC 及云上资源。传统模式下，跨账号网络互通需通过复杂的专线对接或公网中转，配置繁琐、时延较高且安全管控难度大。 依托云间高速跨账号授权能力，资源归属账号可将自身 VPC 等网络实例，授权给云间高速管控账号统一纳管，无需变更账号归属、无需迁移资源，即可将分散在不同账号下的网络实例加入同一云间高速组网，实现端到端私网互通。 适用场景： 集团总账号统一组网、子公司账号独立运维的集团型多云管控场景 项目制交付中，不同项目账号资源需横向互通的多项目协同场景 政企内部按部门 / 业务线分账号管理，需跨部门云上互联的分权分域场景 混合云与多云对接场景下，跨账号云专线、VPC 统一接入云间高速的一体化组网场景 通过精细化授权与隔离机制，既保障各账号资源所有权与管理权限独立，又实现跨账号网络高效互通、统一调度，兼顾管理安全 与组网灵活性，适配企业复杂组织架构下的云网互联互通需求。 使用说明

本节为您介绍物理机对其他产品的支持情况。 实例 支持自动化发放物理机，远程Console登录。 支持客户自主管理物理机生命周期：查询、启动、关机、重启、删除。 导出物理机列表：将客户名下的所有物理机信息，以CSV文件的形式导出至本地。 支持重置密码。 支持重装操作系统：物理机操作系统无法正常启动、中毒等场景，可以重装操作系统。 支持通过API管理物理机。 支持主机监控，可实时获取物理机的CPU、内存、磁盘I/O等监控指标数据。 支持云审计，记录与物理机相关的操作事件，便于日后的查询、审计和回溯。 磁盘 弹性裸金属可支持挂/卸载云硬盘。 支持非共享卷和共享卷。 支持云硬盘扩容。 镜像 可以使用公共镜像、私有镜像、共享镜像发放物理机。 支持通过物理机创建私有镜像。 私有镜像支持不同账号之间共享镜像。 网络 支持虚拟私有云。 创建安全组并定义安全组规则，为物理机提供安全防护。 支持绑定弹性IP，满足客户互联网访问需求。 支持绑定多张网卡。

参数 参数类型 是否必填 示例 说明 下级对象 regionID String 是 81f7728662dd11ec810800155d307d5b 资源池ID resGroupID String 是 95f7f0cbb5d7547e86673fceeab177d5 分组ID deviceType String 否 vm 本参数表示设备类型。取值范围：vm：云主机。ph：宿主机。baremetal：裸金属。disk：云磁盘。scaling：弹性伸缩。traffic：共享带宽。eip：弹性IP。elb：负载均衡。listener：监听器。cstorsfs：弹性文件。sitemontior：站点监控。...详见“ service String 否 ecs 本参数表示服务。取值范围：ecs：云主机。evs：云硬盘。pms：物理机。...详见“ instanceID String 否 2e8ad1263f0811ed95a4acde48001122 设备ID page String 否 1 页码，默认1,建议使用pageNo，该参数后续会下线 pageNo String 否 1 页码，默认为1 pageSize String 否 10 每页数量，默认10

本章节主要介绍使用GDS从远端服务器导入数据的最佳实践。 教程指引 本教程旨在演示使用GDS（General Data Service）工具将远端服务器上的数据导入DWS中的办法，帮助您学习如何通过GDS进行数据导入的方法。 在本教程中，您将： 生成本教程需要使用的CSV格式的数据源文件。 将数据源文件上传到数据服务器。 创建外表，用于对接GDS和DWS，及将数据服务器上的数据引流到DWS集群中。 启动DWS并创建数据库表后，将数据导入到表中。 根据错误表中的提示诊断加载错误并更正这些错误。 准备ECS作为GDS服务器 创建Linux弹性云主机的操作步骤，请参见《弹性云主机用户指南》中的“创建弹性云主机”。创建后，请参见《弹性云主机用户指南》中的“登录Linux弹性云主机”章节进行登录。 说明 l ECS操作系统必须是GDS工具包所支持的操作系统。 l ECS与DWS处于同一区域、同一虚拟私有云和子网。 l ECS安全组规则需放通DWS集群的访问，即安全组入规则： l 协议：TCP l 端口范围：5000 l 源地址：选择“IP地址”，输入DWS 集群地址，例如“192.168.0.10/32”。 l ECS内部如果启用了防火墙，需要保证防火墙打开了GDS服务的监听端口： iptables I INPUT p tcp m tcp dport j ACCEPT

本文帮助您快速熟悉创建弹性网卡的相关操作。 操作场景 创建弹性网卡可用于实现灵活、高可用的网络方案配置。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经创建虚拟私有云VPC、子网、弹性云主机。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”，进入网络控制台页面。 4. 单击“弹性网卡”，进入弹性网卡列表页面。单击“创建弹性网卡”，进入创建弹性网卡界面。 5. 在创建弹性网卡详情页填写基本信息。弹性网卡具有子网属性，创建后只能挂载到对应子网的云主机、物理机实例上。可以通过分配辅助私网IP来实现单网卡多IP。 参数 描述 名称 弹性网卡名称，由数字、字母、中文、、组成，不能以数字、和开头。 VPC 选择弹性网卡归属的VPC，必填项。 子网 选择弹性网卡归属的子网，必填项。 主私网IPv4地址 自动分配 辅助私网IP 可以选择不设置、自动分配，或者指定地址。 安全组 选择弹性网卡所属安全组。 6. 填写基本信息后，点击“确定”按钮，弹性网卡创建成功。

本文帮助您快速熟悉创建弹性网卡的相关操作。 操作场景 创建弹性网卡可用于实现灵活、高可用的网络方案配置。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经创建虚拟私有云VPC、子网、弹性云主机。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 单击“弹性网卡”，进入弹性网卡列表页面。单击“创建弹性网卡”，进入创建弹性网卡界面。 5. 在创建弹性网卡详情页填写基本信息。弹性网卡具有子网属性，创建后只能挂载到对应子网的云主机、物理机实例上。可以通过分配辅助私网IP来实现单网卡多IP。 参数 描述 名称 弹性网卡名称，由数字、字母、中文、、组成，不能以数字、和开头。 VPC 选择弹性网卡归属的VPC，必填项。 子网 选择弹性网卡归属的子网，必填项。 主私网IPv4地址 自动分配 辅助私网IP 可以选择不设置、自动分配，或者指定地址。 安全组 选择弹性网卡所属安全组。 6. 填写基本信息后，点击“确定”按钮，弹性网卡创建成功。

本文主要介绍如何解绑云主机或弹性公网IP。 操作场景 本章节指导您如何将弹性网卡与云主机或弹性公网IP进行解绑。 约束与限制 当弹性网卡的“中止时删除”功能开启时，解绑实例时，会同步删除弹性网卡。 删除弹性网卡时，会同步删除弹性网卡绑定的辅助弹性网卡，并清理实例内部对应的VLAN子接口。 删除弹性网卡时，会解除网卡和弹性公网IP的绑定关系。 当弹性网卡的“中止时删除”功能关闭时，解绑实例时，只是解除弹性网卡和实例的绑定关系，不会删除弹性网卡。如果弹性网卡已绑定弹性公网IP，则解绑实例时，不仅解除弹性网卡和实例的绑定关系，也会同步解除弹性网卡和弹性公网IP的绑定关系。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击图标，打开服务列表，选择“网络 > 虚拟私有云”。进入虚拟私有云列表页面。 3. 在左侧导航栏选择“弹性网卡”。 4. 在弹性网卡列表页，单击操作列的“解绑实例”或“解绑弹性公网IP”。 5. 单击“是”，完成解绑。解绑弹性公网IP时，可选择同时释放该弹性公网IP。

场景示意图 场景三： 攻防实战场景 随着逐步接受和了解公有云的安全性，企业用户的重点转向了公有云“内部”的安全。根据常见的责任分担模型，云运营商主要负责云基础设施的安全，而客户则负责云中数据和应用的安全，针对云中数据和应用的攻防实战就显得尤为重要了。 方案优势 提升数据关联性：通过关联和整合海量数据日志，企业可以提升运维效率，实现更加精准的监控和管理。 实时分析：利用先进的安全算力，实时关联和分析海量信息，有效提高运维的响应速度和决策能力。 高级威胁的有效发现：借助全局数据的支持，企业可以更有效地检测和应对复杂的高级威胁，提升威胁发现能力。 实战效果好：当前网络威胁的数量、复杂性，网络安全工作负载的增加以及攻击面的增长，专业人员经常抱怨依赖手动流程和大量的点工具来进行威胁检测和响应。云安全中心具备全局视野，多年安全维护经验，帮助用户实现各类威胁的检测和响应，能满足用户的实战诉求。 场景示意图

卸载探针 1. 登录应用高可用服务控制台。 2. 在左侧导航栏中，定位到故障演练 菜单，选择要操作的目标应用 ，单击其下的探针管理选项。 3. 在探针管理 页面，选择云容器引擎页签。 4. 在列表中找到目标主机，单击操作列的卸载按钮。 5. 在弹出的对话框中单击确定 ，系统将发起探针卸载流程。 6. 单击操作列的执行记录，可查看探针的操作历史记录。 7. 卸载结束后，列表中的探针安装状态 更新为未安装。 注意 探针列表中的连接状态表示目标资源探针与故障演练服务控制面的连通状态，此状态有一定延迟。 云容器引擎探针通过插件形式安装在容器集群中，可登录云容器引擎控制台查看相关插件实例（ctgchaosinjectoragent 、ctgchaosbladeoperator）。

操作步骤 您可以在控制台勾选多个视频条目，点击工具栏浮现的【导出媒资】按钮将选中的视频媒资导出。 屏蔽违规视频 前提条件 已开通云点播产品。 已创建至少一个点播实例。 操作步骤 如您需要阻断/解除阻断某些视频的发布链接，可以点击视频条目上的【屏蔽】/【解除屏蔽】，对已发布视频的地址进行阻断。 被屏蔽的视频地址（包括原视频、转码后视频、截图等），在公网访问将提示403。 如您使用CDN对云点播存储桶进行加速，您需要在CDN产品控制台同步将该地址阻断，否则受到CDN缓存影响，部分用户仍可能查看到违规视频。请注意，云点播原视频、转码后视频和截图分别存放在三个存储桶内，您需要对三组CDN加速域名进行下线操作。

本节介绍在CentOS操作系统的弹性云主机里设置时区的操作方法。 操作场景 本节操作介绍在CentOS操作系统的弹性云主机里如何设置时区。 约束与限制 该文档已在CentOS 6.8及CentOS 7.5操作系统弹性云主机上验证，其他版本可能存在差异。 文档中以中国上海时区为例。 CentOS 6/RHEL 6操作系统（以中国上海时区为例） 1. 修改系统时区（永久），请执行： plaintext cp vf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime​ 2. 确认当前时区是否已经为CST，重新登录后执行以下命令。 plaintext date awk '{print $5}' CentOS 7操作系统（以中国上海时区为例） 1. 查看所需的时区，请执行： plaintext timedatectl listtimezones 2. 更改时区，请执行： plaintext timedatectl settimezone Asia/Shanghai 3. 验证时区状态，请执行： plaintext timedatectl status

本节以Windows Server 2008 标准版64位中文版弹性云主机为例,指导您修改IIS上绑定的域名。 问题描述 访问IIS搭建的网站的时候报错404。 原因分析 IIS上绑定的域名没有指定IP地址。 操作步骤 1. 登录弹性云主机，选择“开始 >管理工具 > 信息服务（IIS）管理器”。 2. 在IIS管理器界面，选择需要编辑的网站。单击右键选择“编辑绑定”。 3. 选择待修改的网站，选择相应的域名，单击“编辑”，添加指定弹性云主机的私有IP地址。单击确定，完成IP绑定。

本文为您介绍查看保护组概览的操作流程。 操作场景 在容灾保护组内选择保护组概览页签，可查看目标保护组的服务器复制状态、容灾演练、任务统计等信息。 前提条件 已经创建保护组。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域。 3. 在存储产品中选择“云容灾”，进入云容灾页面。 4. 在云容灾页面，单击“云上容灾”，进入保护组板块展示页面。 5. 在容灾板块展示页面，找到目标保护组，单击目标保护组板块，进入保护组页面。 6. 在保护组页面，单击“保护组概览”页签，可以查看服务器复制状态、容灾演练、任务统计等信息。

本文为您介绍云容灾满足的灾难恢复能力等级。 根据国家标准《信息系统灾难恢复规范》GB/T 209882007，灾难恢复能力等级示例如下表所示： 灾难恢复能力等级 等级名 RTO RPO 1 基本支持 2天以上 1天至7天 2 备用场地支持 24小时以上 1天至7天 3 电子传输和部分设备支持 12小时以上 数小时至1天 4 电子传输及完整设备支持 数小时至2天 数小时至1天 5 实时数据传输及完整设备支持 数分钟至2天 0到30分钟 6 数据零丢失和远程集群支持 数分钟 0 云容灾为云主机提供跨可用区的容灾保护能力，支持数据实时复制，RPO可达秒级、RTO可达分钟级，满足国标容灾等级5级要求。

本节介绍如何手动续订WAF云SaaS型实例。 购买WAF云SaaS型实例后，在实例到期被删除前，您可以随时在WAF控制台为实例续费。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“云SAAS型”页签。 5. 单击“续订”，进入续订页面。 6. 在“续订”操作界面，根据使用需要调整续订周期。 7. 续订周期设置完成后，在页面下方确认支付费用，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。

本文将介绍Web应用防火墙（边缘云版）流量访问流程。 Web应用防火墙（边缘云版）的流量访问流程如下图所示： 流量访问流程主要分为以下几个步骤： 1. Web应用防火墙（边缘云版）把安全能力赋能在所有边缘节点，用户的访问流量可就近接入安全边缘节点。 2. 安全边缘节点(WAF防护引擎)会解析访问请求报文，根据防护规则判断访问请求是否为恶意请求。 3. 如果是恶意请求，防护节点会根据客户配置的策略进行处理，比如阻断请求直接响应拦截信息给请求客户端。 4. 如果是正常业务请求，安全边缘节点会通过智能调度系统将请求转发到客户源站。对于请求客户端来讲源站服务器是隐身的。

说明：本章节会介绍如何通过弹性云主机通过内网连接数据库实例 提供两种连接方式通过MySQL客户端连接实例：普通连接和SSL连接。其中，SSL连接实现了数据加密功能，具有更高的安全性。 前提条件 登录弹性云服务器。 通过弹性云服务器连接关系型数据库实例，需要具备以下条件。 该弹性云服务器与目标实例必须处于同一VPC、子网内。 该弹性云服务器必须处于目标实例所属安全组允许访问的范围内。 如果目标实例所属安全组为默认安全组， 则无需设置安全组规则。 如果目标实例所属安全组非默认安全组，请查看安全组规则是否允许该弹性云服务器访问。具体操作请参考步骤二：设置安全组规则。 如果安全组规则允许弹性云服务器访问，即可连接实例。 如果安全组规则不允许弹性云服务器访问，则需添加安全组规则。该弹性云服务器必须处于目标实例所属安全组允许访问的范围内。 使用客户端连接实例。 您可以在Linux操作系统和Windows操作系统中，使用数据库客户端连接RDS实例。 在Linux操作系统中，您需要在可访问关系型数据库的设备上安装MySQL客户端。建议您下载的MySQL客户端版本应该高于已创建的RDS实例中数据库版本。 在Windows操作系统中，您可以使用任何通用的数据库客户端连接到RDS实例且连接方法类似。 使用MySQLFront连接实例 步骤 1 启动MySQLFront客户端。 步骤 2 在连接管理对话框中，单击“新建”。 图1 连接管理 步骤 2 输入需要连接的关系型数据库实例信息，然后单击“确定”。 图2 添加信息 表1 参数说明 参数 说明 名称 连接数据库的任务名称。若不填写，系统默认与Host一致。 主机 目标实例的内网地址。查看目标实例的内网地址及端口信息的步骤如下： 1. 登录关系型数据库服务的管理控制台。 2. 选择目标实例所在区域。 3. 单击目标实例名称，进入“基本信息”页面。 4. 在“连接信息”模块，可查看“内网地址”信息。 端口 输入RDS实例的内网端口。 用户 需要访问RDS实例的账号名称。默认root。 密码 要访问关系型数据库实例的帐号所对应的密码。 步骤 3 在“连接管理”窗口，选中步骤3创建的连接，单击“打开”，如下图所示。若连接信息无误，即会成功连接实例。 图3 打开登录信息 SSL连接 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，单击实例名称进入“基本信息”页面，单击“数据库信息”模块“SSL”处的，下载根证书或捆绑包。 步骤 5 将根证书导入弹性云服务器Linux操作系统。 关系型数据库服务在2017年4月提供了20年有效期的新根证书，该证书在实例重启后生效。请在原有根证书到期前及时更换正规机构颁发的证书，提高系统安全性。 关系型数据库服务还提供根证书捆绑包下载，其中包含2017年4月之后的新根证书和原有根证书。 步骤 6 连接关系型数据库实例。以Linux系统为例，执行如下命令。 mysql h P u p sslca 表2 参数说明 参数 说明 内网地址。在目标实例的“基本信息”页面，“连接信息”模块的“内网地址”。 数据库端口，默认3306。在目标实例的“基本信息”页面，“连接信息”模块的“数据库端口”。 用户名，即关系型数据库帐号（默认管理员帐号为root）。 相应的SSL证书文件名，该文件需放在执行该命令的路径下。 使用root用户SSL连接数据库实例，示例如下： mysql h 172.16.0.31 P 3306 u root p sslcaca.pem 出现如下提示时，输入数据库帐号对应的密码： Enter password:

以下适用于重庆2、南京3节点 天翼云微服务云应用平台产品OpenAPI标准.pdf

小结 通过对象存储迁移服务（ZMS），您可以直接在控制台将其它云厂商存储的对象存储数据，迁移到天翼云对象存储（ZOS）；对于源端数据情况不清晰的情况，您也可以在对象存储迁移服务控制台先进行迁移前的源端数据评估，再进行迁移。

本文介绍IPv4/IPv6云主机通过绑定弹性IP和共享带宽,实现互联网连接的最佳实践案例。 场景描述 概述：云上支持IPv4/IPv6的云主机、物理机、等计算实例，通过绑定弹性IP和共享带宽，实现互联网连接。 典型行业：所有公有云行业应用。 适配场景：互联网访问。 技术架构图 本实践方案基于如下图所示的技术架构和主要流程。 图 弹性IP提供互联网互联能力示意图 方案优势 提供可定制带宽的互联网接入服务 提供固定弹性IP地址 支持IPv6连接服务

CES Agent如何通过授权获取临时AK/SK？ 为了更加安全高效的使用云监控服务提供的主机监控功能，我们提供了最新方式的Agent授权方法。在安装主机监控Agent前，仅需要一键式单击该区域的授权按钮或者在创建弹性云主机页面勾选云监控Agent委托，则系统会自动对该区域下所有云主机或物理机安装的Agent做临时AK/SK授权，并且以后在该区域新创建的资源都会自动获得此授权。本节针对本授权做以下说明： 1. 授权对象： 当您在云监控服务管理控制台“主机监控 > 弹性云主机”（或“主机监控 > 物理机”）所示页面单击“一键配置”后，系统会在IAM自动创建名为“cesagency”的委托，该委托自动授权给CES服务的内部账户opsvcces。 2. 授权范围： 仅为所在区域的内部账户“opsvcces”添加“CES Administrator”权限。 3. 授权原因： CES Agent运行在弹性云主机或物理机内，该Agent采集监控数据后需要上报到云监控服务，授权后CES Agent能够自动获取临时AK/SK，这样您就可以安全方便的使用云监控服务管理控制台或API查询Agent监控数据指标了。 a. 安全：Agent使用的AK/SK仅具有CES Administrator权限的临时AK/SK，不会使用客户全局AK/SK，即当前的临时AK/SK只具备操作云监控服务的权限。 b. 方便：您仅需在一个区域配置一次即可，无需对每个CES Agent手动配置。 4. 如果授权后在IAM委托页面无法查询到“cesagency”，您可以手工在IAM管理控制台重新创建。 说明 新创建的委托名称必须为“cesagency”。 委托类型为“普通帐号”，委托的帐号必须为“opsvcces”。

本章节介绍如何创建数据类追踪器。 云审计服务提供的追踪器分两类，包括管理类追踪器和数据类追踪器。 管理类追踪器用于记录管理事件，即针对所有云资源的操作日志，例如创建、登录、删除等。 数据类追踪器用于记录数据事件，即针对租户对OBS桶中的数据的操作日志，例如上传、下载等。 操作场景 云审计服务支持创建数据类事件追踪器，用于记录数据操作日志。数据类追踪器用于记录数据事件，即针对租户对OBS桶中的数据的操作日志，例如上传、下载等。 在开通云审计服务时，系统已为您自动创建了一个管理事件追踪器，管理事件追踪器只能有一个，故后续您自行创建的追踪器均为数据类事件追踪器。 使用限制 CTS仅记录最近7天内的操作事件，您需要配置追踪器来保存更长时间的事件，否则将无法追溯7天前的操作事件。追踪器会将事件持续保存到您指定的LTS日志流或者OBS桶中。 前提条件 已开通云审计服务。 创建数据类事件追踪器 1. 登录管理控制台。 2. 在服务列表选择“管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 3. 在左侧导航栏选择“追踪器”，单击页面右上角的“创建追踪器”。 4. 基本信息。新建“追踪器名称”便于识别。单击“下一步”，基本信息填写成功。 数据类事件追踪器命名规则：名称只能包含大小写字母、数字、和，且必须由大小写字母或数字开头。名称不能为空，且输入长度不能超过32个字符。名称不能为“system”或“systemtrace”。 5. 在选择追踪对象页面，填写相关参数，详细参数说明见表 选择追踪对象参数表 ，单击“下一步”。 6. 在配置转储页面，填写相关参数，单击“下一步”。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务（OBS）或配置转储到云日志服务（LTS）。具体参数说明参见表 配置转储到OBS参数列表和表 配置转储到LTS参数列表。 7. 预览追踪器信息无误后，单击“创建”完成追踪器的创建。 表 选择追踪对象参数表 参数名称 参数说明 数据事件来源 数据事件的存储容器，默认为OBS桶。 OBS桶名称 在下拉列表中选择对应OBS桶。 创建完成后，OBS桶名称不可修改。 事件操作类型 数据操作类型分为“读操作”和“写操作”，读操作指的是从OBS桶中获取或下载对象数据，写操作指的是向OBS桶中上传或写入对象数据。 勾选“读操作”后，CTS只会记录读操作类型的数据事件。 勾选“写操作”后，CTS只会记录写操作类型的数据事件。 您可以在OBS服务的页面的“表2 云审计服务支持的OBS数据事件操作列表”中，查看当前支持云审计的全部OBS操作数据事件，以及查看具体有哪些读操作类型事件和写操作类型事件。 表 配置转储到OBS参数列表 参数名称 参数说明 转储到OBS 当“转储到OBS”开关打开时，您可以选择已存在的OBS桶，并配置事件文件前缀。 如果“转储到OBS”开关关闭时，则无需配置相应参数。 选择OBS 选择已有OBS桶：选择当前区域已创建的OBS桶。 OBS桶名称 当“选择OBS”选择“新建OBS桶”时，直接新建OBS桶名称。OBS桶名称不能为空，仅支持小写字母、数字、“”和“.”，且长度范围为363个字符。禁止两个“.”相邻（如“my..bucket”），禁止“.”和“”相邻（如“my.bucket”和“my.bucket”），禁止使用ip为桶名称。 当“选择OBS”选择“选择已有OBS桶”时，可以选择已存在的OBS桶。 保存周期 转储至OBS桶中日志的保存周期。该配置会修改被选择桶的桶策略，影响范围为桶内的所有文件。不同类型、不同级别的合规认证标准对审计日志的保存时间有不同的要求，建议设置保存周期不低于180天。 数据类事件追踪器：保存周期支持设置为30天、60天、90天、180天、三年和沿用OBS配置。 事件文件名前缀 用于标识被转储的事件文件，该字段支持用户自定义，会自动添加在转储事件文件的文件名前端，方便用户快速进行筛选。事件文件名前缀只能由英文字母、数字、下划线（）、中划线（）和小数点（.）组成，且长度范围为064个字符。 表 配置转储到LTS参数列表 参数名称 参数说明 转储到LTS 当“转储到LTS”开关打开时，表示操作事件将转储到日志流中。 日志组名称 当“转储到LTS”开关打开时，日志组名称默认为“CTS”。如果“转储到LTS”开关关闭时，则无需配置该参数。

本文主要介绍使用私网NAT网关为VPC内计算实例实现线上线下互通入门指引 操作场景 本文档将以部署VPC内计算实例以指定私网地址接入线下本地数据中心为场景，帮助您学习如何创建和使用私网NAT网关。 用户本地数据中心（IDC）通过云专线接入虚拟私有云（VPC），VPC中的ECS需要转换成IDC指定的私网网段进行通信，详情可见下方的组网图。 图组网图 操作流程 操作步骤 说明 步骤一：创建业务VPC和中转VPC 创建业务VPC（含业务子网）和中转VPC（含中转子网）。 步骤二：配置VPC Peering 创建VPC对等连接将用户IDC（Peering目的VPC）与中转VPC连通。 步骤三：创建私网NAT网关 购买一个私网NAT网关。 步骤四：创建中转IP 创建中转IP，使虚拟私有云内多个云服务器可以共享中转IP。 步骤五：添加SNAT规则 为私网NAT网关添加SNAT规则，通过绑定中转IP可实现VPC内的多个云服务器共享中转IP，访问外部数据中心或其他VPC。 步骤六：添加路由 自定义路由，路由包括目的地址、下一跳类型、下一跳地址等信息，可以决定网络流量的走向。 步骤七：添加安全组规则 在目的VPC包含的云服务器中添加入方向安全组规则，用于将转发到目的端的流量全部放通。

VPN的带宽限速，是限制的哪个方向的带宽，带宽的单位是什么？ 云上用户购买的VPN网关带宽指的是出云方向的，同时为了避免入云方向不限速带来的流量不对称问题。入云方向的带宽策略调整如下两种情况： 如果所购买的带宽 10Mbit，则入云方向与购买的带宽一致。 按带宽计费度量采用国际统一的带宽单位Mbit，按流量计费的度量单位为GByte。 VPN网关带宽到达限额时有什么影响？ VPN带宽限速限制的出VPC方向的带宽，如果您VPN的带宽超过限额使用时，会出现网络卡顿、部分子网间无法访问、甚至出现VPN连接中断现象（无法收到VPN的探测报文）。 因此在出现VPN带宽已达到上限时，建议您对VPN网关带宽进行扩容。 说明 VPN的带宽最大为1000(Mbit/s)。 修改了VPN带宽大小，为什么测试没有生效？ VPN带宽修改到生效会有一定的延迟，是正常现象。 请在修改带宽5分钟后再进行带宽测试。 说明 修改VPN带宽大小，不会导致用户业务和网络中断。 如何选择购买VPN带宽的大小？ 购买VPN时，选择带宽大小需要考虑以下两个因素： VPN隧道中单位时间的数据传输量（需要冗余一定带宽，防止链路拥塞）。 考虑两端的出口带宽，云上带宽要小于云下出口带宽。

专属云Kafka的产品服务与公有云Kafka的产品规格保持一致，由两种服务资源组成，队列规格、队列存储。 其中队列计算规格按消息队列基准带宽分为4种分别是：100MB/s、300MB/s、600MB/s、1200MB/s； 存储类型分2种，分别如下：高I/O、超高I/O。

本节主要介绍使用DCS控制台进行数据迁移时迁移失败的问题排查和解决。 在使用控制台进行数据迁移时，如果出现迁移方案选择错误、在线迁移源Redis没有放通SYNC和PSYNC命令、源Redis和目标Redis网络不连通等问题，都会导致迁移失败。 排查步骤 步骤 1 查看迁移日志。 出现如下错误，表示迁移任务底层资源不足，需要联系技术支持处理。 create migration ecs failed, flavor 出现如下错误，表示在线迁移时，源Redis没有放通SYNC和PSYNC命令，需要联系技术支持放通命令。 source redis unsupported command: psync 步骤 2 检查迁移方案。Redis实例间迁移，高版本不支持迁移到低版本。 步骤 3 检查源Redis是否放通SYNC和PSYNC命令，迁移任务底层资源与源Redis、目标Redis网络是否连通。 如果是在线迁移，才涉及该操作。 在线迁移，必须满足源Redis和目标Redis的网络相通、源Redis已放通SYNC和PSYNC命令这两个前提，否则，会迁移失败。 网络 检查DCS的源Redis、目标Redis、迁移任务所需虚拟机是否在同一个VPC，如果不在同一个VPC，则需要建立VPC对等连接，打通网络。关于创建和使用VPC对等连接，请参考《虚拟私有云用户指南》的“对等连接”文档说明。 如果是同一个VPC，则检查安全组（Redis 3.0实例）或白名单（Redis 4.0/5.0/6.0实例）是否放通端口和IP，确保网络是连通的； 源Redis和目标Redis必须允许迁移任务底层虚拟机访问。 源Redis和目标Redis属于不同的云厂商时，需使用云专线服务打通网络。 命令 默认情况下，一般云厂商都是禁用了SYNC和PSYNC命令，如果要放通，需要联系云厂商运维人员放通命令。 DCS内部进行迁移： 自建Redis迁移至DCS，默认没有禁用SYNC和PSYNC命令； DCS服务之间进行迁移，如果是同一帐号相同Region进行在线迁移，在执行迁移时，会自动放通SYNC和PSYNC命令； 如果是不同Region或相同Region不同帐号进行在线迁移，不会自动放通SYNC和PSYNC命令，无法使用控制台上的在线迁移功能。推荐使用备份文件导入方式迁移。 其他云厂商迁移到DCS服务： 一般云厂商都是禁用了SYNC和PSYNC命令，如果使用在线迁移功能，需要联系源端的云厂商运维人员放通此命令。如果使用离线迁移，推荐使用备份文件导入的方式。 如果不需要增量迁移，可以参考使用Redisshake工具在线全量迁移其他云厂商Redis进行全量迁移，该方式不依赖于SYNC和PSYNC。 步骤 4 检查源Redis是否存在大Key。 如果源Redis存在大key，建议将大key打散成多个小key后再迁移。 步骤 5 检查目标Redis的规格是否大于迁移数据大小、是否有其他任务在执行。 如果目标Redis的实例规格小于迁移数据大小，迁移过程中，内存被占满，会导致迁移失败。 如果目标Redis存在正在执行的主备切换，建议联系技术支持关闭主备切换后，重新执行数据迁移。待迁移完成后，重新开启主备切换。 步骤 6 检查迁移操作是否正确。 检查填写的IP地址、实例密码是否正确。 步骤 7 排查白名单。 步骤 8 如果无法解决，请联系技术支持。

云资源视图提供查看和管理云服务资源能力，您可以通过界面总览信息快速查看和管理您的资源。 说明 云资源视图现为试运行阶段，若在使用过程中有任何问题，可通过我的工单反馈给我们，若对云资源视图有其他建议或意见，请通过建议与反馈提交。 区域 概述 快捷导航区域 快捷导航区域通过多种形式，提供各资源控制台的快捷入口，帮助您快速访问服务。 我的资源区域 我的资源区域展示账号下已有资源、资源池及数量，可快捷访问，同时通过查看更多资源，可对全部资源进行检索和管理。 基础信息区域 基础信息区域展示账号、费用、待办、卡券等基础信息，以及公告、活动提醒。 支持与服务区域 支持与服务区域推荐热门产品，同时提供常用服务工具。

本小节介绍安全专区产品优势。 快速合规方案 产品套餐依据等级保护要求针对云上各种应用场景进行合规设计，产品自动交付，一次购买可满足云用户多个系统的等保合规技术要求，快速解决云上合规整改问题。 平台紧密集成 自动识别所有云资产，关联安全组件能力自动评估云用户资产安全态势，用户使用云平台账号即可登录安全专区实施所有安全管理工作。 网端管三层防护 提供覆盖网络安全、终端安全、应用安全、数据安全各层面的安全能力，网端管联动分析，为云上应用系统安全运行提供全面保障。 集中管理全管控 集中管理用户云上资产安全，集中管理云上安全设备，集中管理云网边界、虚机系统、业务系统的漏洞、告警、用户行为等安全运行数据，提供全覆盖的安全态势管理能力。

本章节介绍云原生API网关的企业项目 概述 参见IAM管理中的企业项目管理 前提条件 在IAM管理中已存在可用的企业项目，若没有请在企业项目管理中创建。 关联企业项目 目前云原生API网关只在订购实例时关联可选企业项目，参见创建网关实例实例配置说明

事件样例 c { "eventId": "66523425", "eventName": "云主机远程登录", "eventTime": 1677547897000, "eventLevel": 0, "eventType": 1, "eventActType": 0, "srcRegion": "aaf589124d5d11eaa04d0242ac110002", "srcServiceType": "计算", "srcIp": "", "srcProdTypeName": "云主机", "srcProdName": "ecmff0d", "srcResId": "f7f718052ce2454b82a133de9b92fc01", "userId": "010cdad75c8e452a866b2cae6534c3d2", "accountId": "d581e41449ed428c8107ee3e35827e18", "reqId": "66523425", "reqData": "{"resourcename": "ecmff0d", "resourceuuid": "f7f718052ce2454b82a133de9b92fc01"}", "respData": "0", "apiVersion": "v1" }