管控规则是通过一系列风险管控因子对数据库实现安全管控的规则集合,用户在使用DMS的查询窗口、数据导出、数据导入、SQL变更、实例管理、可视化编辑等功能时,可以设置管控规则对这些行为进行安全管控,进而可以在DMS平台内实现符合安全规范的数据库研发及变更流程。本文主要介绍管控规则集的新增、删除、编辑、复制创建等功能的使用方法。 前提条件 组织版本为企业版。 用户需要具有进入SQL风险 页面的菜单权限。菜单权限请参考权限说明。 用户在组织内添加了实例并绑定风险管控规则。 应用场景 场景 方案 针对所有数据库类型的高危风险操作统一拦截，如不同功能模块下的删表、删库语句。 管控规则集适配公有云所有的数据库类型。系统内置两种规则集，宽松规则集适合开发/测试环境的实例，严格规则集适合生产环境的实例。 管控规则集支持对DDL、DML、导出数据三种操作创建风险识别规则，三种操作行为涵盖了查询窗口、导入导出工单、SQL变更工单、数据库账号管理、可视化编辑等所有可能产生高危操作的功能场景，且每种风险规则提供多种风险管控因子，方便对用户的行为进行更精细化的管控。 管控规则集支持自定义审批流程，针对某种操作识别出来的风险等级，用户可以指定审批流程。 用户特定操作识别及自定义审批流程，如配置导出行数超过1000的工单由超级管理员审批。 管控规则集适配公有云所有的数据库类型。系统内置两种规则集，宽松规则集适合开发/测试环境的实例，严格规则集适合生产环境的实例。 管控规则集支持对DDL、DML、导出数据三种操作创建风险识别规则，三种操作行为涵盖了查询窗口、导入导出工单、SQL变更工单、数据库账号管理、可视化编辑等所有可能产生高危操作的功能场景，且每种风险规则提供多种风险管控因子，方便对用户的行为进行更精细化的管控。 管控规则集支持自定义审批流程，针对某种操作识别出来的风险等级，用户可以指定审批流程。 用户对不同环境的实例有不同的管控需求，如生产环境需要比较严格的管控规则，开发环境则需要一些宽松的规则，甚至无规则管控。 管控规则集适配公有云所有的数据库类型。系统内置两种规则集，宽松规则集适合开发/测试环境的实例，严格规则集适合生产环境的实例。 管控规则集支持对DDL、DML、导出数据三种操作创建风险识别规则，三种操作行为涵盖了查询窗口、导入导出工单、SQL变更工单、数据库账号管理、可视化编辑等所有可能产生高危操作的功能场景，且每种风险规则提供多种风险管控因子，方便对用户的行为进行更精细化的管控。 管控规则集支持自定义审批流程，针对某种操作识别出来的风险等级，用户可以指定审批流程。

针对一站式智算服务平台退订操作,为您进行说明。 服务开通后7天内如未使用则支持退订，退订后即可关闭。 平台开通的实例资源数据退订后保留15天，如15天期间届满仍未续订和续费，云公司有权在前述期间届满时立即释放客户的实例资源，并删除实例数据。 退订地址：我的—费用中心—订单管理—退订管理。 另外，您可通过天翼云官网工单或者客服电话【4008109889】沟通申请退款，款项会原路退回。

计费模式 包年/包月 按需计费 付费方式 预付费按照订单的购买周期结算。 后付费按照云服务器实际使用时长计费。 计费周期 按订单的购买周期计费。 按小时结算。 实例升级 支持实例升级。 支持实例升级。 更改计费模式 支持变更为按需资源。 支持变更为包周期资源。 变更规格 支持变更实例规格。 支持变更实例规格。 适用场景 适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。对于长期使用者，推荐该方式。 适用于资源需求波动的场景，可以随时开通，随时删除。

本节为您介绍镜像服务常见的计费类问题。 镜像的计费标准是什么？ 除了一些特殊的镜像，例如gpu云主机使用的Windows2019DataCenterGRID13.2镜像外，其他公共镜像、私有镜像、共享镜像、安全产品镜像均为免费，如果是私有镜像，镜像本身不收费，如果是通过镜像文件的方式导入镜像，需要开通对象存储服务，创建对象存储桶，对象存储收费。 其他人分享给我的镜像，我需要付费吗？ 其他账号共享给您的镜像，您不需要再次付费。需要计费的镜像参考计费说明。

计费项 计费说明 数据库实例（计算和存储） 提供包年包月和按需计费两种方式。同一个实例下的实例规格计费方式和存储空间计费方式保持一致。 备份存储空间 同一个实例下的实例规格计费方式与备份存储计费方式保持一致。 公网弹性IP（可选） RDSPostgreSQL实例支持公网访问，实例可绑定弹性IP产品实现公网访问，弹性IP会产生相关费用，具体可参见

当您无需访问云上资源时，可以将SDWAN实例与云间高速（标准版）实例解绑。 操作场景 用户将天翼云SDWAN实例与云间高速（标准版）实例解绑。 天翼云SDWAN实例与云间高速（标准版）实例解绑后，将无法通过天翼云SDWAN访问云上资源。 操作步骤 1. 登录天翼云SDWAN控制台； 2. 选择“天翼云SDWAN”，进入天翼云SDWAN实例列表页面； 3. 选中目标SDWAN实例，单机其“操作”列的“解绑云间高速（标准版）”； 4. 仔细阅读页面提示信息，单击“确定”，完成解绑。

本节介绍了如何删除云数据库GaussDB 的实例。 操作场景 用户需要删除不需要的数据库实例。 用户需要删除创建失败的数据库实例。 须知： 实例删除后，不可恢复，请谨慎操作。如需保留数据，请务必确认完成数据备份后再删除实例。 执行操作中的实例不能手动删除，只有在实例操作完成后，才可删除实例。 “按需计费”类型的实例删除后手动备份会继续保留。 删除按需实例 步骤 1 登录管理控制台。 步骤 2 在“实例管理”页面的实例列表中，选择需要删除的实例，在“操作”列，单击“更多 > 删除实例”。 步骤 3 在“删除实例”弹框，单击“是”下发请求，稍后刷新“实例管理”页面，查看删除结果。

本节介绍如何在漏洞扫描中进行Syslog日志外发配置。 前提条件 已购买漏洞扫描资源，且资源状态为“运行中”。 操作步骤 1. 登录云等保专区控制台，在左侧导航栏，选择“漏洞扫描”，在目标资源右侧操作列单击“配置”，进入漏洞扫描系统。 2. 在漏洞扫描左侧导航栏，选择“系统管理 > 配置”，选择“系统配置”页签，找到“syslog同步设置”。 3. 配置syslog同步设置参数，配置完成后，单击“确定”，即可完成Syslog外送配置。 状态：设置为“开启”。 syslog ip：配置外送目的地IP。 syslog端口：配置目的地端口。

本节介绍了GeminiDB Redis的重启实例及操作步骤。 操作场景 出于维护目的，您可能需要重启数据库实例。 使用须知 实例状态为“正常”、“异常”、“恢复检查中”，支持重启实例。 重启实例会导致服务中断，请谨慎操作。 重启实例后，该实例下所有节点将会被重启。 操作步骤 1、登录云数据库GeminiDB控制台。 2、 在“实例管理”页面，选择指定的实例，选择操作列“重启实例”或“更多>重启实例”。 3、您也可以在“实例管理”页面，单击指定实例的名称，在“基本信息”页面右上角，单击“重启实例”。 4、在弹出框中，单击“是”重启实例。 5、对于GeminiDB Redis实例，您可以根据业务需求，选择节点同时重启或者节点逐个重启。

通过本接口可创建一个水印模板配置。 接口功能介绍 通过本接口可创建一个水印模板配置。 接口约束 注意：水印模板需要事先上传水印图片至云点播，因此，调用该接口需要3步： 1. 传递创建水印模板的基本参数。 2. 成功之后，云点播服务返回参数中带一个 presigned 的 url 地址。使用该地址将图片上传到云点播。上传使用方法可参考文档使用预签名URL直传。 3. 上传成功后，通过一个接口通知点播服务图片上传完成。 本接口的单用户QPS限制为20次/秒。超过限制，API调用会被限流，这可能会影响您的业务，请合理调用。 URI POST /template/watermark/create 请求体 body 参数 参数 是否必填 参数类型 说明 示例 下级对象 name 是 String 模板名称 WaterMark favorite 否 Boolean 是否为选定模板，不填默认为false。 false position 是 Object 水印所在的位置信息 position remark 否 String 水印模板备注 模板备注 表 position 参数 是否必填 参数类型 说明 示例 下级对象 top 否 String 水印离屏幕顶部的距离，默认为 0。可以指定像素（例如 30px）或者百分比（例如 5%）。top 与 bottom 只能指定其中一个，如果两个都传入取 top 值。 10% bottom 否 String 水印离屏幕底部的距离，默认为 0。可以指定像素（例如 30px）或者百分比（例如 5%）。top 与 bottom 只能指定其中一个，如果两个都传入取 top 值。 10px left 否 String 水印离屏幕左侧的距离，默认为0。可以指定像素（例如 30px）或者百分比（例如 5%）。left与right只能指定其中一个，如果两个都传入取left值。 10% right 否 String 水印离屏幕右侧的距离，默认为0。可以指定像素（例如 30px）或者百分比（例如 5%）。left与right只能指定其中一个，如果两个都传入取left值。 10px height 是 String 图片的高度。可以指定像素（例如 30px）或者百分比（例如 5%）。 10% width 是 String 图片的宽度。可以指定像素（例如 30px）或者百分比（例如 5%）。 10%

NVIDIA GPU云主机需要安装驱动后才可以正常使用,本文为您介绍如何选择适合的驱动类型及安装方式。 驱动类型选型概述 天翼云GPU云主机支持安装以下两种NVIDIA驱动： GPU驱动：用于驱动物理GPU，也称Tesla 驱动。 GRID驱动：配套NVIDIA GRID vGPU方案使用、用于获得实时渲染能力。 实例类型 场景 驱动类型 驱动安装方式 GPU计算加速型 (windows) 通用计算 Tesla 驱动 NVIDIA官网下载并安装GPU驱动 GPU计算加速型 (windows) 图形渲染 GRID 驱动 在购买时选择已预装 GRID 驱动的计费镜像 向 NVIDIA 或其代理商购买对应的 License并自行安装GRID 驱动（ 不推荐） GPU计算加速型 (linux) 通用计算 Tesla 驱动 选择预装驱动的公共镜像 创建GPU实例时自动安装GPU驱动 NVIDIA官网下载并安装GPU驱动 GPU计算加速型 (linux) 图形渲染 （离线渲染可使用Tesla驱动，部分实时渲染需使用GRID驱动） Tesla 驱动/GRID 驱动 如安装Tesla驱动 选择预装驱动的公共镜像 创建GPU实例时自动安装GPU驱动 NVIDIA官网下载并安装GPU驱动 如安装GRID驱动 在购买时选择已预装 GRID 驱动的计费镜像 向 NVIDIA 或其代理商购买对应的 License并自行安装GRID 驱动（不推荐） GPU图形加速基础型（windows/linux） 通用计算 GRID 驱动 公共镜像中已预装GRID 驱动，无需单独付费 GPU图形加速基础型（windows/linux） 图形渲染 GRID 驱动 公共镜像中已预装GRID 驱动，无需单独付费 注意 目前仅部分资源池支持勾选“安装GPU驱动”，若目标资源池不支持该功能，且提供的预装驱动镜像无法满足您的要求，请您 参见安装Tesla驱动，手动安装GPU驱动。 目前仅部分资源池提供预装GRID驱动的计费镜像，如您所需资源池无该镜像，请提工单进行加载，预装GRID驱动的计费镜像的收费策略请参见计费说明镜像服务计费说明 天翼云 (ctyun.cn)。

本文主要介绍超高IO型实例类型总览 超高I/O型弹性云主机使用高性能NVMe SSD本地磁盘，提供高存储IOPS以及低读写时延，您可以通过管理控制台创建挂载有高性能NVMe SSD盘的弹性云主机。 在售：Ir7n、Ir3、I3、Ir7 规格名称 计算 磁盘类型 网络 :::: 超高I/O型Ir7n CPU/内存配比：1:4 vCPU数量范围：264 处理器：第三代英特尔® 至强® 可扩展处理器 基频/睿频：2.6GHz/3.4GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：600万PPS 最大内网带宽：40Gbps 超高I/O型Ir7 CPU/内存配比：1:4 vCPU数量范围：264 处理器：第三代英特尔® 至强® 可扩展处理器 基频/睿频：3.0GHz/3.5GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程 高IO 超高IO 通用型SSD 极速型SSD 支持IPv6 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：600万PPS 最大内网带宽：40Gbps 最大网络连接数：500万 超高I/O型Ir3 CPU/内存配比：1:4 vCPU数量范围：232 处理器：第二代英特尔® 至强® 可扩展处理器 基频/睿频：2.6GHz/3.5GHz 高IO 超高IO 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：450万PPS 最大内网带宽：30Gbps 超高I/O型I3 CPU/内存配比：1:8 vCPU数量范围：864 处理器：英特尔® 至强® 可扩展处理器 基频/睿频：3.0GHz/3.4GHz 高IO 超高IO 通用型SSD 极速型SSD 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：500万PPS 最大内网带宽：25Gbps

本小节介绍如何配置用户运维权限。 在使用云堡垒机进行运维前，管理员需要通过访问授权关联用户和资产，赋予用户对相应资产的访问权限。 配置说明 步骤 说明 步骤一：配置访问授权基本信息 可配置服务协议、状态、生效时间、失效时间等信息。 步骤二：关联账号或账号组 关联账号：赋权给单个系统用户。 关联账号组：批量赋权给整个账号组成员。赋权后，新加入组的用户账号即刻拥有该访问控制权限。 步骤三：关联资产或资产组 关联资产：授权访问单个资产。 关联资产组：授权访问整个账户组。授权后，新加入组的资产可立即被赋权用户访问。 步骤四：关联资产账号 授权访问可访问的资产账号、密码，授权后运维用户可使用该账号密码单点登录到该资产。 操作步骤 1. 使用管理员admin登录云堡垒机系统。 2. 角色身份切换到“管理角色”。 3. 在左侧导航栏，选择“授权管理 > 资产访问授权”，单击左上角的“新增”按钮。 4. 填写授权基本属性并通过维度属性关联账号以及资产和资产账号。 参数 参数说明 基本信息 授权规则名 填写资产访问授权的规则名称。 基本信息 启用状态 通过开关控制该条授权规则的启用状态，默认状态为开启。 登录名 用户 选择资产访问授权允许生效的用户，可多选。 登录名 用户组 选择资产访问授权允许生效的用户组，可多选。 资产 资产 选择该条授权规则允许访问的资产，可多选。 资产 资产组 选择该条授权规则允许访问的资产组，可多选。 账号 资产账号 选择该条授权规则下允许使用的资产账号，可多选。 协议 服务 选择资产访问的协议类型，可多选。 授权时间 生/失效日期 设置该条授权规则的生效/失效日期。 授权时间 生/失效时间 将针对上述日期范围的每一天，设置该条授权规则的生效/失效时间段（限定为某固定时间段，例如 9:00~ 18:00），未填写表示全天有效。 5. 填写完成后，单击“提交”。

本节介绍了云容器引擎的最佳实践：部署多个Nginx Ingress Controller。 背景信息 Nginx Ingress Controller因其开源特性和广泛应用而受到业界的青睐。在处理大型集群环境时，用户往往希望在同一集群内部署多个Nginx Ingress Controller实例，以便对不同流量进行有效管理。例如，某些服务可能需要通过公共网络对外提供服务，而另一些服务则仅供内部使用，不允许通过互联网访问。为了适应这种需求，可以通过设置两组独立的Nginx Ingress Controller，并分别与不同的ELB实例绑定，从而实现流量的精确控制和隔离。这种方法不仅提升了服务的安全性，还增强了流量管理的灵活性。 前提条件 已创建Kubernetes集群 已创建ELB实例，具体操作请参考创建负载均衡 部署新的Nginx Ingress Controller 在开通Kubernetes集群的时候，您可以选择为集群安装Ingress Controller组件，并为Ingress Controller绑定公网ELB实例。您可以通过以下步骤在Kubernetes集群再部署一套完全独立的Nginx Ingress Controller服务。 1. 获取Nginx Ingress Controller模板包 前往社区模板发布页面，选择合适版本的HelmChart包并下载，本文以ingressnginx4.7.5.tgz为例。 2. 上传模板包 登录云容器引擎控制台，进入“模板市场”，点击“我的模板”>“上传模板”。然后选择命名空间，点击“上传文件”，选择要上传的模板包，点击提交。 3. 发布模板实例 上传完模板包之后，在“我的模板”中选择刚上传的模板（ingressnginx），然后选择版本（4.7.5），然后点击发布。 填写“实例名称”，选择“集群名称”和“命名空间”。 在发布yaml文本中导入以下配置，根据说明填写相关参数（参数说明见下表“YAML参数说明”），其他未指定的参数会使用默认配置。 plaintext controller: image: registry: "registryvpccrsxxx.cnspinternal.ctyun.cn"

本节为您介绍迁移完成后Oracle业务启动与数据核验的相关步骤。 源机绑定目标机 1. 进入云主机控制台，选择目标端云主机，点击远程登陆。 2. 输入账号密码，检查账号密码等软件配置均和源机一致。 3. 检查目标机磁盘空间使用率是否与源机基本一致 注意：迁移工具会自动将磁盘中的碎文件进行重新写入和重组，因此磁盘的占用大小将略低于源机，而迁移后的文件大小总量是同源机一致的。 执行命令：df TH 4. 查看数据库服务状态，如果数据库为关闭状态则开启数据库。 启动容器服务： systemctl stop docker.socket 启动数据库：docker start oracle 5. 检查增量数据是否同步登录并查看源端数据库中的数据情况，mytable表中的记录数为1100条。 登录并查看目标机启动的数据库，查看数据库中的数据情况，mytable表中的记录数为1100条，与源机相同。 6. 检查数据库版本是否一致。 检查源机数据库系统版本： 检查目标机数据库系统版本，同源机一致： 7. 检查操作系统版本是否一致。 检查源机操作系统版本： 检查目标机操作系统版本，同源机一致： 8. 检查数据库文件总数是否一致。 检查源机oracle数据库所在挂载点的文件总数: 检查目标机oracle数据库所在挂载点的文件总数,同源机一致:

管理命令集 为简化添加大量命令的繁琐操作，可查询并添加常见命令参数，包括Linux主机和网络设备常见命令参数。 本小节主要介绍如何新建关联命令集、查看命令集、修改命令集、删除命令集。 前提条件 已获取“命令控制策略”模块操作权限。 新建命令集 1 登录云堡垒机系统。 2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。 命令集列表页面 3 创建命令集。 单击“新建”，弹出新建命令集窗口。 配置命令集名称。 系统内“命令集名称”不能重复 单击“确定”，返回规则集列表页面，查看新建的命令集。 新建命令集 4 添加命令集规则。 在目标命令集行，单击“操作”列的“添加命令”，弹出添加命令窗口。 选择命令集合或者单条命令。 目前系统预置了“Linux系统”和“网络设备”常见命令和参数。 单击“确定”，命令添加完成。 添加命令 查询和修改命令集 1 登录云堡垒机系统。 2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。 命令集列表 3 查询命令集。 快速查询：在搜索框中输入关键字，根据命令集名称、命令/参数等快速查询策略。 4 单击命令集名称，或者单击“管理”，进入命令集详情页面。 命令集详情 5 查看和修改命令集基本信息。 在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改命令集的基本信息。 可修改信息包括“命令集名称”，“部门”不可修改。 6 查看和修改命令参数。 在“命令”区域，单击“添加”，弹出添加命令窗口，可立即添加预置的命令参数。 单击“移除”，可立即删除该命令参数。 查看命令参数

NVIDIA GPU云主机需要安装驱动后才可以正常使用，本文为您介绍如何选择适合的驱动类型及安装方式。 驱动类型选型概述 天翼云GPU云主机支持安装以下两种NVIDIA驱动： GPU驱动：用于驱动物理GPU，也称Tesla 驱动。 GRID驱动：配套NVIDIA GRID vGPU方案使用、用于获得实时渲染能力。 实例类型 场景 驱动类型 驱动安装方式 GPU计算加速型 (windows) 通用计算 Tesla 驱动 NVIDIA官网下载并安装GPU驱动 GPU计算加速型 (windows) 图形渲染 GRID 驱动 在购买时选择已预装 GRID 驱动的计费镜像 向 NVIDIA 或其代理商购买对应的 License并自行安装GRID 驱动（ 不推荐） GPU计算加速型 (linux) 通用计算 Tesla 驱动 选择预装驱动的公共镜像 创建GPU实例时自动安装GPU驱动 NVIDIA官网下载并安装GPU驱动 GPU计算加速型 (linux) 图形渲染 （离线渲染可使用Tesla驱动，部分实时渲染需使用GRID驱动） Tesla 驱动/GRID 驱动 如安装Tesla驱动 选择预装驱动的公共镜像 创建GPU实例时自动安装GPU驱动 NVIDIA官网下载并安装GPU驱动 如安装GRID驱动 在购买时选择已预装 GRID 驱动的计费镜像 向 NVIDIA 或其代理商购买对应的 License并自行安装GRID 驱动（不推荐） GPU图形加速基础型（windows/linux） 通用计算 GRID 驱动 公共镜像中已预装GRID 驱动，无需单独付费 GPU图形加速基础型（windows/linux） 图形渲染 GRID 驱动 公共镜像中已预装GRID 驱动，无需单独付费 注意 目前仅部分资源池支持勾选“安装GPU驱动”，若目标资源池不支持该功能，且提供的预装驱动镜像无法满足您的要求，请您 参见安装Tesla驱动，手动安装GPU驱动。 目前仅部分资源池提供预装GRID驱动的计费镜像，如您所需资源池无该镜像，请提工单进行加载，预装GRID驱动的计费镜像的收费策略请参见计费说明镜像服务计费说明 天翼云 (ctyun.cn)。

参数 插件版本 参数说明 节点总数 所有版本 可扩容的最大节点总数。 cpu总数（核） 所有版本 可扩容的最大cpu总数（核）。 内存总数（GB） 所有版本 可扩容的最大内存总数（GB）。 自动扩容 部分版本无此参数 未调度实例扩容： 默认选中。 启用集群使用率扩容： 可选，扩容能力增强。 cpu扩容使用率：当节点池CPU达到所设置的使用上限，将扩容当前预置节点池的节点数。 内存扩容使用率：当节点池内存达到所设置的使用上限，将扩容当前预置节点池的节点数。 磁盘 部分版本无此参数 系统盘和数据盘：设置节点磁盘空间。 系统盘：规格为[40,1024]GB，用户可以配置，缺省值为40GB。 数据盘：规格为[100,32678]GB，用户可以配置，缺省值为100GB。 勾选“资源分配自定义”后，您可以对数据盘中的Docker和Kubelet资源占比进行自定义设置。 须知 磁盘使用directlvm模式，移除将使用looplvm模式，有影响系统稳定性的风险。 Docker资源包含Docker镜像数据以及镜像元数据，Kubelet资源包含Pod配置文件、密钥以及临时存储EmptyDir等挂载数据。 数据盘：单击“新增数据盘”，您可以增加一块数据盘。 系统盘和数据盘均可提供以下性能规格的云硬盘： 普通IO：是指由SATA存储提供资源的磁盘类型。提供可靠的块存储，单个云硬盘的最大IOPS可达到1000，可运行关键应用程序。 高IO：是指由SAS存储提供资源的磁盘类型。提供可达到3000的高IO和低至1 ms的读写延时，支持NoSQL/关系型数据库，数据仓库，文件系统等应用。 超高IO：是指由SSD存储提供资源的磁盘类型。提供可达到20000的超高IO和低至1 ms超低读写时延，支持NoSQL/关系型数据库，数据仓库等应用。 命令行注入 部分版本无此参数 请输入脚本命令。 说明： 脚本命令大小限制：0~1000字符。

此小节介绍企业主机安全策略管理。 企业主机安全旗舰版提供灵活的策略管理能力，用户可以根据需要自定义安全检测规则，并可以为不同的主机组或主机应用不同的策略，以满足不同应用场景的主机安全需求。 约束限制 需开启高级版、企业版、旗舰版、网页防篡改版、容器版中任一版本。 操作须知 开启企业版主机防护时，默认绑定“租户侧企业版策略组”（包含“弱口令检测”和“网站后门检测”策略），应用于全部的云服务器，不需要单独部署策略。 购买“旗舰版”或者“网页防篡改赠送旗舰版”后，开启旗舰版/网页防篡改版防护时，默认绑定了“租户侧旗舰版策略组”。 用户也可以通过复制“租户侧旗舰版策略组”的方式，创建自定义策略组，将“租户侧旗舰版策略组”替换为用户的自定义策略组，更加灵活的应用于不同的云服务器或者云服务器组。 策略列表 策略名称 策略说明 支持的操作系统 企业版 旗舰版 网页防篡改版 容器安全 资产发现 检测系统中的软件信息，包含软件名称、软件路径、主要应用等，帮助用户识别异常资产。 Linux × √ √ √ 弱口令检测 检测系统帐户口令是否属于常用的弱口令，针对弱口令提示用户修改。 Linux √ （只支持自定义弱口令） √ √ √ 配置检测 对常见的Tomcat配置、Nginx配置、SSH登录配置进行检查，帮助用户识别不安全的配置项。 Linux × √ √ √ containerescape 对容器到宿主机的逃逸进行检测，避免出现漏洞风险。 Linux × × × √ Webshell检测 检测云服务器上Web目录中的文件，判断是否为Webshell木马文件。 Linux √ （只支持配置检测路径） √ √ √ 容器文件监控 检测违反安全策略的文件异常访问，安全运维人员可用于判断是否有黑客入侵并篡改敏感文件。 Linux × × × √ 容器进程白名单 检测违反安全策略的进程启动。 Linux × × × √ 文件保护 检测操作系统、应用程序软件和其他组件的文件，确定文件是否发生了可能遭受攻击的更改。 Linux × √ √ √ 登录安全检测 检测SSH、FTP、MySQL等帐户遭受的口令破解攻击。 如果30秒内，帐户暴力破解次数（连续输入错误密码）达到5次及以上，HSS就会拦截该源IP，禁止其再次登录，防止主机因帐户破解被入侵。 SSH类型攻击默认拦截12小时，其他类型攻击默认拦截24小时。根据帐户暴力破解告警详情，如“攻击源IP”、“攻击类型”和“拦截次数”，您能够快速识别出该源IP是否为可信IP，如果为可信IP，您可以通过手动解除拦截的方式，解除拦截的可信IP。 Linux × √ √ √ 恶意文件检测 反弹shell：实时监控用户的进程行为，及时发现进程的非法Shell连接操作产生的反弹Shell行为。 异常shell：检测系统中异常Shell的获取行为，包括对Shell文件的修改、删除、移动、复制、硬链接、访问权限变化。 Linux × √ √ √ 进程异常行为 通过对运行进程的管控，全局检测各个主机的运行信息，保障云主机的安全性。您可以建立自己的进程白名单，对于进程的非法行为、黑客入侵过程进行告警。 Linux × √ √ √ root提权 检测当前系统文件路径的root提权行为。 Linux × √ √ √ 实时进程 检测进程中高危命令的执行行为，发生高危命令执行时，触发告警。 Linux，Windows × √ √ √ 查看策略组列表 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在左侧导航栏，选择“安全运营 > 策略管理”，进入“策略管理”界面，查看显示的策略组，字段说明如表所示。 说明 tenantlinuxcontainerdefaultpolicygroup：容器版linux系统预置策略，仅可被查看，不可复制和删除。 tenantlinuxenterprisedefaultpolicygroup：企业版linux系统预置策略，仅可被查看，不可被复制和删除。 tenantwindowsenterprisedefaultpolicygroup：企业版windows系统预置策略，仅可被查看，不可被复制和删除。 tenantlinuxpremiumdefaultpolicygroup：旗舰版linux系统预置策略，可通过复制该策略组来创建新的策略组。 tenantwindowspremiumdefaultpolicygroup：旗舰版windows系统预置策略，可通过复制该策略组来创建新的策略组。 可在列表右上角单击 ，手动刷新当前列表。 可单击关联服务器数的数量，查看策略组关联的服务器。 策略组列表字段说明 字段 说明 策略组名称 策略组的名称。 ID 策略组的ID号，对策略组的唯一标识。 描述 对策略组的描述。 支持的版本 策略组支持的主机安全的版本。 5、单击策略组名称，进入查看策略组详情界面，可以查看该策略组的策略列表，包括策略名称、状态、功能类别和支持的操作系统。 “租户侧企业版策略组”和“租户侧旗舰版策略组”中的所有策略默均为“已启用”状态。 若您不需要执行其中一项策略的检测，您可以在策略所在行的“操作”列单击“关闭”，关闭该策略项的检测。请根据您的需要“开启”或者“关闭”策略的检测。 Linux策略组详情 6、单击策略名称，可以查看策略的详情。 若需要修改或配置策略，请参见编辑策略内容。 示例弱口令策略详情

DTS服务等级协议变更说明。 尊敬的用户您好，我们将于2026年2月14日更新《天翼云数据传输服务DTS版服务等级协议》以期向您展示更加清晰完整的条款内容，帮助您更加清楚高效地了解我们的产品服务。 本次更新内容如下： 1. 将原协议第二条 服务承诺 和第三条 服务说明 的内容合并到新的第二条 服务说明与承诺，并更新关于服务不可用的定义，修改后内容如下： 服务不可用：指依照数据传输服务平台的系统日志，显示用户使用的数据迁移、数据同步功能因天翼云原因导致的从源数据库到目标数据库写入数据失败，且失败状态连续超过五分钟视为服务不可用，低于五分钟的不可用时间不视为服务不可用。 2. 将原协议第四条 赔偿方案 变更为 第三条服务补偿，并更新关于补偿申请时限的说明，新增关于补偿申请方法的说明，相关修改和新增内容如下： 补偿申请时限：用户可在每服务周期账单结清后对该服务周期没有达到服务可用性承诺的云服务提出补偿申请，且补偿申请必须在该云服务没有达到服务可用性承诺的服务周期结束后两个月内提出。超出申请时限的补偿申请将不被受理。天翼云将对用户的申请进行合理评估，并依据本SLA约定及诚信原则就是否适用补偿做出决定。 补偿申请方法：用户可以在天翼云用户中心提交工单申请补偿。 3. 将原协议第五条 不可抗力及免责 变更为第四条 限制，并新增如下条款： 以下原因导致的甲方数据传输服务不可用的情况不计在不可用时间内： 甲方的应用程序或安装活动所引起的； 任何天翼云所属设备以外的网络、设备故障或配置调整引起的； 系统或服务日常维护而引起的； 甲方使用DTS免费任务或处于收费任务的免费阶段的； 甲方未遵循天翼云产品官方使用文档或使用建议引起的； 甲方的源端数据库或目标端数据库自身原因导致的； 由于源端数据库或者目标端数据库用户名、密码修改后，甲方未及时在DTS控制台更新导致的； 由甲方操作所引起的不可用，包括但不限于实例被意外重启、源端数据库或者目标端数据库参数修改不当以及删改数据库账户、权限后未及时在DTS控制台更新等； 依照法律法规，应监管部门要求或依照协议及协议中援引的政策用户的服务被暂停或终止的。 4. 将原协议第五条 不可抗力及免责 中关于协议生效的内容放到新增的第五条 协议生效及其他并更新说明，修改后内容如下： 本服务等级协议自用户申请天翼云数据传输服务之日起生效并遵行。终止日期以《天翼云数据传输服务DTS版服务协议》的终止为准。 天翼云有权对本SLA条款作出修改。如本SLA条款有任何修改，天翼云将提前30天以网站公示或发送邮件的方式通知用户。如用户不同意天翼云对SLA所做的修改，用户有权停止使用DTS服务，如用户继续使用DTS服务，则视为用户接受修改后的SLA。 本次更新将于2026年2月14日正式更新至官网协议文档，请您务必认真阅读上述变更内容，若您不同意天翼云即将对SLA所做的修改，您有权停止使用DTS服务，如您继续使用DTS服务，则视为您接受修改后的SLA。

为了保证用户数据的安全，OOS提供以下安全策略来保障用户数据的安全性：用户签名验证、Bucket权限控制、访问控制、Bucket Policy安全策略、合规保留。详见API参考 安全策略。 在用户访问层面，所有针对OOS的数据请求都需要进行签名验证，OOS提供全方位的访问控制策略，使文件的拥有者对该文件有灵活的访问控制权。 在数据传输层面，不论是通过Web门户还是REST接口，用户的数据访问和操作都可以通过HTTPS协议进行，以确保数据传输中没有安全死角。 在数据存储层面，OOS将用户数据自动切片，进行分布式保存，并且对每片数据进行签名，即使数据被盗，没有用户的账号信息依然无法对数据进行破解，这样就充分保证了数据在存储层面的安全性。 在OOS系统的运维层面，通过利用天翼云的“虚拟云桌面”技术，运维人员无法直接访问生产系统，而必须一个可录像的“虚拟桌面”才能访问，运维人员的一举一动都将被记录在案。 在数据中心的运维层面，天翼云具备全球最先进的数据中心管理和运营能力。OOS部署在8级抗震、一级耐火、一级防水、通过ISO27001认证的的数据中心内部，与中国电信通信枢纽数据中心（武警守卫）同级别，具备完善的门禁制度、人员访控制度、设备巡检制度，确保物理层面的万无一失。

在使用公共算力服务之前,您需要先注册天翼云门户的账号。本节将介绍如何进行账号注册,如果您拥有天翼云的账号,可登录后直接使用公共算力服务。 操作步骤 1.打开天翼云门户网站，点击【免费注册】。 2.在注册页面，可选择通过短信注册或账号注册。通过短信注册请填写“手机号码”，并点“获取验证码”，如1分钟内手机未收到验证码，请再次点击“获取证码”按钮，最后勾选同意协议，点击“注册”按钮。通过账号注册请填写“登录名”、“登录密码”、“手机号码”，并点“获取验证码”，如1分钟内手机未收到验证码，请再次点击“获取证码”按钮，最后勾选同意协议，点击“注册”按钮。 3.注册成功后，即可体验天翼云服务。 4.如需实名认证，请参考账号中心实名认证。

Q：SDK 中输入的 desktopCode 是指什么？ A：desktopCode 是指桌面编码，用于唯一标识您的云电脑桌面实例。请注意，desktopCode 与桌面 ID 是两个不同的概念，请勿混淆，务必确认填写的是正确的桌面编码。 Q：如果我的云电脑桌面处于离线状态，是否仍然可以正常使用？ A：很抱歉，桌面处于离线状态时将无法正常接收和执行指令。请您先通过云电脑客户端或官网控制台将桌面开机并确认其处于在线运行状态后，再进行相关操作。 Q：通过 SDK 发送指令后，桌面没有任何响应，应如何排查？ A：建议您按以下步骤逐一排查： 1. 确认 SDK 指令格式是否正确，参数是否完整； 2. 检查接口返回的消息体中，是否包含成功标志（successtrue）； 3. 若上述检查均无异常，请进入目标桌面，打开「应用市场」，找到并重新安装以下两个插件：clinkagent 和 AiClientTool，安装完成后再重新发送指令。 如问题仍未解决，请联系我们的技术支持团队，并提供相关日志信息以便进一步协助排查。

Q：SDK 中输入的 desktopCode 是指什么？ A：desktopCode 是指桌面编码，用于唯一标识您的云电脑桌面实例。请注意，desktopCode 与桌面 ID 是两个不同的概念，请勿混淆，务必确认填写的是正确的桌面编码。 Q：如果我的云电脑桌面处于离线状态，是否仍然可以正常使用？ A：很抱歉，桌面处于离线状态时将无法正常接收和执行指令。请您先通过云电脑客户端或官网控制台将桌面开机并确认其处于在线运行状态后，再进行相关操作。 Q：通过 SDK 发送指令后，桌面没有任何响应，应如何排查？ A：建议您按以下步骤逐一排查： 1. 确认 SDK 指令格式是否正确，参数是否完整； 2. 检查接口返回的消息体中，是否包含成功标志（successtrue）； 3. 若上述检查均无异常，请进入目标桌面，打开「应用市场」，找到并重新安装以下两个插件：clinkagent 和 AiClientTool，安装完成后再重新发送指令。 如问题仍未解决，请联系我们的技术支持团队，并提供相关日志信息以便进一步协助排查。

在云应用引擎中，应用配置可以通过 ConfigMap 和 Secret 管理，实现配置与容器镜像的分离。ConfigMap 适用于存储普通配置，如配置文件内容或命令行参数，更新配置无需重建镜像。 Secret 用于存储敏感信息，如密码、证书或密钥，数据在内存中安全处理并加密存储。两者都可通过文件挂载或环境变量注入容器。 资源类型 数据类型 注入方式 安全性 适用场景 ConfigMap 非敏感配置 文件挂载 / 环境变量 / 命令行参数 普通 配置频繁变动或公开数据 Secret 敏感信息 文件挂载 / 环境变量 高（加密存储） 密码、证书、密钥等机密数据 通过合理使用 ConfigMap 与 Secret，您可以实现 配置与应用解耦，提升应用管理的灵活性和安全性。

本章节介绍如何管理云堡垒机的工单审批规则。 工单功能是指运维用户在申请资源访问权限或命令使用权限时，可通过工单申请资源的范围，以及提交工单的方式。 新增工单审批规则 1. 使用管理员账号登录云堡垒机系统。 2. 在左侧导航栏选择“工单管理 > 审批规则”，进入“审批规则”页面。 3. 单击左上角的【新增】按钮，弹出“规则新增”配置窗口。 4. 在弹出的对话框中配置相关内容，具体见下表，配置完成后单击“提交”。 参数 说明 基本信息 规则名称 输入您的审批规则名称。 基本信息 工单类型 根据业务需求选择审批规则： 资产访问授权 字符命令授权 文件操作授权 数据库命令授权 数据导出授权 注意 字符授权工单默认开通所有命令的使用权限，若您需要限制高危命令的使用请在“字符命令授权”模块将对应用户纳管入相关授权规则当中。 基本信息 审核人 选择该审批规则的具体审核人员，可多选。 审批对象 登录名（可选） 选择该条审批规则可以提交的相关用户，可多选。 审批对象 用户组（可选） 选择该条审批规则可以提交的相关用户组，可多选。

本页为您介绍从天翼云ECS自建数据库迁移/同步数据到天翼云数据库,同资源池不同VPC情况下,通过对等连接接入的方法。 在同资源池，不同VPC之间，网络默认不通，需要通过VPC打通的方式来实现网络互通。目前支持通过VPC对等连接的方式实现VPC间子网级的互通，注意需要保证源数据实例所在子网与目标数据库实例所在子网的网段不冲突。 以下分别介绍网络通信方式，DTS实例的配置流程和不同VPC间通过对等连接进行互通的配置流程。 网络通信方式 网络通信方式，见下图： DTS实例的配置流程 DTS实例订购成功后，选择对应实例ID的操作“实例配置”，进入【配置源库及目标库信息】页面，“打通网络配置”将会自动识别，源端将显示“当前数据库不在同一个虚拟私有云(VPC)，需要配置对等连接打通⽹络”，点击“创建虚拟私有云(VPC)对等连接”将跳转到VPC控制台，可按VPC相关流程处理“创建对等连接”，具体页面如下： 不同VPC间通过对等连接互通的配置流程 创建VPC对等连接。 具体可参考天翼云对等连接相关文档进行配置。 源数据库实例与目标数据库实例的网络ACL和安全组配置。 具体可参考同VPC通过VPC网络接入天翼云文档进行相应配置。 数据库添加白名单。 自建数据库需要添加DTS实例的私网IP访问数据库的权限。不同类型的数据库添加白名单的方法可能不一样，具体可参考各数据库官方文档进行操作。

本页为您介绍从天翼云数据库迁移/同步数据到天翼云数据库,同资源池不同VPC情况下,通过对等连接接入的方法。 在同资源池，不同VPC之间，网络默认不通，需要通过VPC打通的方式来实现网络互通。目前支持通过VPC对等连接的方式实现VPC间子网级的互通，注意需要保证源数据实例所在子网与目标数据库实例所在子网的网段不冲突。 以下分别介绍网络通信方式，DTS实例的配置流程和不同VPC间通过对等连接进行互通的配置流程。 网络通信方式 网络通信方式，见下图： DTS实例的配置流程 DTS实例订购成功后，选择对应实例ID的操作“实例配置”，进入【配置源库及目标库信息】页面，“打通网络配置”将会自动识别，源端将显示“当前数据库不在同一个虚拟私有云(VPC)，需要配置对等连接打通⽹络”，点击“创建虚拟私有云(VPC)对等连接”将跳转到VPC控制台，可按VPC相关流程处理“创建对等连接”，具体页面如下： 不同VPC间通过对等连接互通的配置流程 创建VPC对等连接。 具体可参考天翼云对等连接相关文档进行配置。 源数据库实例与目标数据库实例的网络ACL和安全组配置。 具体可参考同VPC通过VPC网络接入天翼云文档进行配置。 数据库添加白名单。 源数据库需要添加DTS实例的私网IP访问数据库的权限。不同类型的数据库添加白名单的方法可能不一样，具体可参考各数据库官方文档进行操作。

本文带您快速熟悉如何查询终端节点(Endpoint)。 对象存储（简称ZOS）为每个地域提供一个终端节点，终端节点可以理解为ZOS在不同地域的域名，用于处理各自地域的访问请求。 操作场景 如果您选择使用SDK、API或客户端，则需要提前获取创建桶时所选地域的终端节点（Endpoint），来访问ZOS资源。ZOS为每个地域提供了通过外网和内网的访问方式，具体请查看访问规则。 操作步骤 1.开通对象存储ZOS服务后，在管理控制台点击目标桶的Bucket名称，进入“概览”页面。 2.进入页面后，在“域名信息”中，记录当前资源池的终端节点（Endpoint）、Bucket外网访问、同资源池内网访问的IPV4或IPV6地址。 说明 终端节点（Endpoint）：ZOS为每个地域提供Endpoint，可通过这个地址访问和调用对象存储及其功能。 Bucket外网访问域名：桶的域名地址，支持公网访问ZOS。域名结构为“协议://BucketName.Endpoint”，BucketName为桶名称，Endpoint为桶对应的地域域名。 同资源池内网访问（IPV4）域名：支持同资源池云主机通过内网访问ZOS的IPV4地址，内网访问不产生公网流量。 同资源池内网访问（IPV6）域名：支持同资源池云主机通过内网访问ZOS的IPV6地址，内网访问不产生公网流量。 例如，华东华东1和广东广州6的endpoint地址如下表： 访问控制 Endpoint 地域 终端节点（Endpoint） 华东华东1 同资源池内网访问(IPV4) 华东华东1 访问控制 Endpoint 地域 终端节点（Endpoint） 广东广州6 同资源池内网访问(IPV4) 广东广州6

步骤二：添加后端主机组 添加处理前端请求的后端主机组。 1. 设置后端主机组名称。 2. 选择后端主机类型，仅可选云主机。 3. 从主机列表中选择可添加的云主机，然后点击“下一步”，即完成后端云主机的添加。 步骤三：参考UDP监听器负载方式&健康检查配置说明, 完成负载方式和健康检查配置。完成步骤三后，点击立即创建，完成UDP监听器创建。 UDP监听器负载方式&健康检查配置说明 负载方式&健康检查配置 说明 负载方式 从下拉列表框选择负载方式，UDP协议只支持选择轮询算法和最小连接算法。 轮询算法：请求以轮询的方式依次分发给各后端主机，加权轮询对权重高的主机会获得更多的轮询次数。 最小连接算法：动态调度算法，通过主机当前活跃的连接数来评估主机的负载情况，负载均衡将请求分发给活跃连接数最小的后端主机。加权最小连接数会结合权重分配后端主机。 源算法：基于源IP地址的一致性哈希，相同的源地址会调度到相同的后端主机。 会话保持 选择是否开启会话保持。开启会话保持后，负载均衡监听器会把来自同一客户端的访问请求分发到同一台后端主机上。 会话保持方式 UDP协议的会话保持方式为SOURCEIP方式。即来自同一IP地址的访问请求转发到同一台后端主机上。 会话保持时间 设置会话保持的时间，取值范围为1 86400，缺省1000s。 健康检查 开启健康检查，负载均衡对后端主机的服务状态进行探测。负载均衡将不会分发流量给服务异常的主机。 健康检查类型 UDP，UDP协议监听器只可选UDP。 间隔时间 健康检查的检查间隔，缺省5s。 超时时间 健康检查超时时间，缺省2s。 最大重试次数 健康检查的重试次数，缺省2，连续检查失败达到重试次数，则判断健康检查失败。

本文介绍弹性文件服务的配额类相关问题。 问题目录 什么是配额？ 弹性文件服务需要关注哪些配额？ 配额不足，如何申请扩大配额？ 最大可以创建多大的文件系统？ 最多可以创建多少个文件系统？ 我需要一个200TB的文件系统，如何申请配额？ 什么是配额？ 为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如用户最多可以创建多少台弹性云主机、多少块云硬盘、多少个文件系统等。如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 弹性文件服务需要关注哪些配额？ 一般情况下对于弹性文件服务，您需要关注以下3个配额： 配额项 说明 文件系统总容量配额 单用户单地域默认分配50TB配额用于创建文件系统，所有的文件系统容量之和不能超过此配额。 如不满足使用需求，可以提交工单申请调整。 文件系统数量配额 默认10个，即默认情况下，在某资源池您可以创建10个文件系统。在多可用区资源池，各可用区共用该资源池总数量配额。 如不满足使用需求，可以申请调整至20个。若需要创建20+个文件系统，请提交工单进行资源评估。 说明： 由于实际资源情况有波动，实际配额调整能力需要根据当前资源池的剩余资源情况进行调整，若剩余资源不足，可能无法调整至预期配额。 单个文件系统容量上限 单文件系统默认容量上限为32TB。如不满足使用需求，可以申请调整，通常情况下可以调整至320TB。 说明： 由于实际资源情况有波动，实际配额调整能力需要根据当前资源池的剩余资源情况进行调整，若剩余资源不足，可能无法调整至预期配额。 弹性文件服务容量和性能不是线性相关，性能不会随容量增大线性增长，最大性能详见产品规格。

SOC工具与技术 安全信息和事件管理（SIEM） SOC中最重要的工具之一是基于云的SIEM解决方案，它将来自多个安全解决方案和日志文件的数据聚合在一起。借助威胁情报和AI，这些工具帮助SOC检测不断演化的威胁、加快事件响应速度并先于攻击者行动。 安全编排、自动化和响应（Security Orchestration, Automation and Response，SOAR） SOAR可自动执行定期和可预测的扩充、响应和修正任务，从而空出时间和资源来进行更深入的调查和搜寻。 扩展检测和响应（Extended Detection and Response，XDR） XDR是一种服务型软件工具，它通过将安全产品和数据集成到简化的解决方案中来提供全面、更优的安全性。企业/组织使用这些解决方案在多云混合环境中主动有效地应对不断演化的威胁环境和复杂的安全挑战。与终端节点检测和响应 (EDR) 等系统相比，XDR扩大了安全范围，从而跨更广泛的产品集成了保护，包括企业/组织的终端节点、服务器、云应用程序和电子邮件等。在此基础中，XDR将预防、检测、调查和响应相结合，提供可见性、分析、相关事件警报和自动化响应来增强数据安全并对抗威胁。 防火墙 防火墙会监视进出网络的流量，根据SOC定义的安全规则允许或阻止流量。 日志管理 日志管理解决方案通常是SIEM的一部分，它会记录来自企业/组织中运行的每个软件、硬件和客户端的所有警报。这些日志提供了网络活动的相关信息。 漏洞管理 漏洞管理工具会扫描网络来帮助识别攻击者可能利用的任何薄弱点。 用户和实体行为分析（User and Entity Behavior Analytics，UEBA） 用户和实体行为分析构建在许多新式安全工具之中，它使用AI来分析从各种设备收集的数据，来为每个用户和实体建立正常活动的基线。当事件偏离基线时，会标记该事件供进一步分析。