本节介绍数据加密的权限管理说明。 如果您需要对云服务平台上购买的数据加密（以下简称DEW）资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云服务资源的访问。 通过IAM，您可以在帐号中给员工创建IAM用户，并使用策略来控制员工对云服务资源的访问范围。例如您的员工中有负责软件开发的人员，您希望这些开发人员拥有DEW的使用权限，但是不希望开发人员拥有删除DEW等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用DEW，但是不允许删除DEW的权限策略，控制员工对云资源的使用范围。 如果系统帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用DEW的其它功能。 数据加密权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DEW部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问KMS时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云服务平台各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对KMS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，权限的最小粒度为API授权项（action）。 DEW系统权限 系统角色/策略名称 描述 类别 KMS Administrator 加密密钥的管理员权限。 系统角色 KMS CMKFullAccess 加密密钥所有权限。 系统策略 下表列出了DEW常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 常用操作与系统权限的关系 操作 KMS Administrator KMS CMKFullAccess 创建密钥 √ √ 启用密钥 √ √ 禁用密钥 √ √ 计划删除密钥 √ √ 取消计划删除密钥 √ √ 修改密钥别名 √ √ 修改密钥描述 √ √ 创建随机数 √ √ 创建数据密钥 √ √ 创建不含明文数据密钥 √ √ 加密数据密钥 √ √ 解密数据密钥 √ √ 获取密钥导入参数 √ √ 导入密钥材料 √ √ 删除密钥材料 √ √ 创建授权 √ √ 撤销授权 √ √ 退役授权 √ √ 查询授权列表 √ √ 查询可退役授权列表 √ √ 加密数据 √ √ 解密数据 √ √ 查询密钥实例 √ √ 查询密钥标签 √ √ 查询项目标签 √ √ 批量添加删除密钥标签 √ √ 添加密钥标签 √ √ 删除密钥标签 √ √ 查询密钥列表 √ √ 查询密钥信息 √ √ 查询实例数 √ √ 查询配额 √ √ 系统默认提供两种权限策略：系统策略和自定义策略。系统策略是IAM预置的策略，用户只能使用不能修改。若系统策略不满足授权要求，用户可以创建自定义策略，自由搭配需要授予的权限集。 用户组配置权限策略后，将用户加入用户组中，可以使该用户获得权限策略中定义的操作权限。

本节主要介绍为企业项目迁入资源 当资源需要按照企业业务进行分组管理或当资源分组发生变化时，可以对资源进行迁入或迁出操作，实现资源管理权限的重新分配。 企业项目管理支持跨资源节点将资源迁入到同一企业项目授权管理。 操作步骤 步骤 1 企业管理员使用已注册的天翼云帐号登录天翼云网门户，单击天翼云首页顶部右侧“控制台”。 步骤 2 在控制台首页顶部右侧，单击您的用户名后弹出下拉菜单，单击“企业管理”，在企业管理控制台左侧导航菜单中，单击“项目管理”。 步骤 3 在企业项目管理页中的项目列表，单击企业项目名称，在企业项目详情页中，单击“资源”页签。 步骤 4 在“资源”页签，单击“迁入”，弹出迁入资源对话框。 系统显示“迁入资源”页面。 步骤 5 选择“迁入方式”。 单资源迁入：将每个资源作为独立资源迁入，并且可以同时迁入多个资源。 如果是除ECS外的其他资源时，那么必须选择此项。 如果资源是ECS，可以选择此项，表示只迁入ECS，不迁入ECS的关联资源，例如该ECS绑定的云硬盘和弹性IP。 ECS关联迁入：只需选择ECS资源，其关联的资源将自动同时迁入。 仅当资源是ECS，才可以选择此项，目前仅支持ECS及其关联资源云硬盘、弹性IP同时迁入。 步骤 6 在资源列表上方的筛选框中对“服务”、“区域”和“企业项目”进行筛选，或者在搜索框中直接输入资源名称进行精确搜索。 步骤 7 单击列表中资源类型列的，对“资源类型”进行筛选。 下方展示符合条件的资源。 迁入方式为“ECS关联迁入”时，不支持对“服务”和“资源类型”进行筛选。 步骤 8 勾选待迁入资源，单击“确定”。 资源迁入完成，在当前企业项目的资源列表中即可查看迁入的资源。

本章节介绍Kubernetes配置相关能力 概述 Kubernetes配置目前支持K8s配置项、K8s保密字典和配置模板，通过Kubernetes配置来管理K8s的配置项、保密字典以及自定义添加配置模板。可以使用配置项来保存不需要加密的配置信息，例如jvm相关参数信息；使用保密字典来保存一些敏感信息，例如token数据；也可以通过配置模板提前创建好模板，方便在配置项或保密字典中引用。 K8s配置项 创建配置项 在配置项页面，点击“创建配置项”。创建配置项需要填写如下内容： 配置项名称：输入配置项名称 K8s集群：下拉选择目标云容器引擎K8s集群 K8s命名空间：自动带出 配置映射： 导入配置（从模板导入和从文件导入）或者手动添加 键： K8s配置项键值 值： K8s配置项内容value 编辑K8s配置项，只能修改配置项键值内容。 删除K8s配置项，点击更多选择删除按钮，根据提示完成删除操作即可 说明 删除K8s配置项，前提是这个配置项没有关联应用实例，可以通过查看关联应用实例按钮确定当前K8s配置项使用情况。 K8s保密字典 在保密字典页面，点击“创建保密字典”。创建保密字典需要填写如下内容： 保密字典名称 云容器引擎K8s集群：选择目标K8s集群 K8s命名空间：根据K8s集群自动带入 base64编码数据：勾选后，secret须配置base64编码的数据 配置映射： 导入配置（从模板导入和从文件导入）或者手动添加 键： K8s保密字典键值 值： K8s保密字典内容value 编辑K8s保密字典，只能修改保密字典键值内容。 删除K8s保密字典，点击更多选择删除按钮，根据提示完成删除操作即可。 说明 删除K8s保密字典，前提是这个保密字典没有关联应用实例，可以通过查看关联应用实例按钮确定当前K8s保密字典使用情况。

本节介绍如何配置重保防护的黑白名单规则。 重保防护支持配置全局IP黑白名单，对经过云WAF防护域名的访问源IP进行黑白名单设置，来自黑白名单中的IP地址/IP地址段的访问，WAF将不会做任何检测，直接拦截/放行。 支持添加IPv4、IPv6地址，支持添加IP地址段。 重保防护提供的全局IP黑白名单，检测逻辑优先级高于IP黑白名单检测；内部检测逻辑，白名单高于黑名单。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 重保防护场景”，进入重保防护配置页面。 5. 单击“新建黑白名单”，弹出新建黑白名单规则窗口，配置黑白名单规则参数，参数说明如下。 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 类别 定义该规则类型是“黑名单”或“白名单”。 IP地址 添加IP地址/地址段，支持IPv4和IPv6格式的IP地址/地址段。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 规则描述 可选参数，设置该规则的备注信息。 生效范围 支持选择“全部防护对象”或“特定防护对象”。 全部防护对象：配置的黑白名单规则对所有已接入的域名生效。 特定防护对象：配置的黑白名单规则仅对所选域名生效，可以选择多个域名。 说明 不支持独享版防护对象和监听器防护对象。 6. 配置完成后，单击“确定”。可以在列表中查看已新建的黑白名单规则。

迁移中升级带宽后，迁移使用的是升级前的带宽还是升级后的带宽？ 升级带宽后，迁移使用的实际带宽取决于下面最小的带宽。升级带宽后，需要等待510分钟，才可生效，请耐心等待。 源端服务器升级后的带宽。 目的端服务器入云带宽。 SMS控制台设置的网速限制。 迁移速度由源端带宽决定还是目的端带宽决定？ 迁移速度取决于源端的出口带宽和目的端的入云带宽。取两者中较小值进行迁移。 如何判断迁移任务是不是卡住？ 迁移任务如果长时间不动，可能是以下三种情况，需要查看源端Agent日志确定。 情况一：迁移任务处于“持续同步”阶段。 “持续同步”是主机迁移服务新增的功能，会自动同步源端数据。在配置目的端时，“是否持续同步”选择“是”，全量复制完成后会自动进入“持续同步”阶段。 迁移任务处于“持续同步”阶段的时候，迁移并没有完成，需要手动启动目的端，因此，在未手动启动目的端前，迁移任务会一直处于“持续同步”阶段。启动目的端完成后，才算一次完整的迁移。 情况二：数据迁移中。 数据迁移进行全量复制时，长时间处于某一进度，可能是由于迁移数据量大，迁移速率慢，导致长时间内进度无明显变化，需要查看日志进行确认。若迁移速率不为0，已迁移数据量持续增加，则表明迁移正常。 情况三：启动目的端卡住。 1、启动目的端后任务进度条长时间为0，可能是在执行最后一次同步任务。启动目的端时会进行一次数据同步，期间进度条无变化，数据同步时间长短由源端数据量决定，如果数据量过大，会导致数据比对时间长，该现象为正常现象。若要确定是否在进行数据同步，可查看smsInfo.log最新日志，若启动目的端之后未出现error级别日志，则表明任务正常。 2、启动目的端后任务进度条有进度但长时间无变化，可尝试暂停任务，再次启动任务，等待一段时间（10分钟左右）再次查看是否发生变化。

本文主要介绍监控。 您可以在云监控服务控制台查看弹性负载均衡服务上报的监控指标以及产生告警信息。 监控指标说明 ELB支持的监控指标说明表 指标ID 指标名称 指标含义 取值范围 测量对象 监控周期 （原始指标） :::::: m1cps 并发连接数 在四层负载均衡器中，指从测量对象到后端云主机建立的所有TCP和UDP连接的数量。 在七层负载均衡器中，指从客户端到ELB建立的所有TCP连接的数量。 单位：个 ≥ 0个 共享型负载均衡器 共享型负载均衡监听器 1分钟 m2actconn 活跃连接数 从测量对象到后端云主机建立的所有ESTABLISHED状态的TCP或UDP连接的数量。 Windows和Linux云主机都可以使用如下命令查看。 netstat an 单位：个 ≥ 0个 共享型负载均衡器 共享型负载均衡监听器 1分钟 m3inactconn 非活跃连接数 从测量对象到所有后端云主机建立的所有除ESTABLISHED状态之外的TCP连接的数量。 Windows和Linux云主机都可以使用如下命令查看。 netstat an 单位：个 ≥ 0个 共享型负载均衡器 共享型负载均衡监听器 1分钟 m4ncps 新建连接数 从客户端到测量对象每秒新建立的TCP和UDP连接数。 单位：个/秒 ≥ 0个/秒 共享型负载均衡器 共享型负载均衡监听器 1分钟 m5inpps 流入数据包数 测量对象每秒接收到的数据包的个数。 单位：个/秒 ≥ 0个/秒 共享型负载均衡器 共享型负载均衡监听器 1分钟 m6outpps 流出数据包数 测量对象每秒发出的数据包的个数。 单位：个/秒 ≥ 0个/秒 共享型负载均衡器 共享型负载均衡监听器 1分钟 m7inBps 网络流入速率 从外部访问测量对象所消耗的流量。 单位：字节/秒 ≥ 0bytes/s 共享型负载均衡器 共享型负载均衡监听器 1分钟 m8outBps 网络流出速率 测量对象访问外部所消耗的流量。 单位：字节/秒 ≥ 0bytes/s 共享型负载均衡器 共享型负载均衡监听器 1分钟 m9abnormalservers 异常主机数 健康检查统计监控对象后端异常的主机个数。 单位：个 ≥ 0个 独享型负载均衡器 共享型负载均衡器 1分钟 manormalservers 正常主机数 健康检查统计监控对象后端正常的主机个数。 单位：个 ≥ 0个 独享型负载均衡器 共享型负载均衡器 1分钟

参数名称 参数说明 取值样例 区域 必选参数。 不同区域的云服务产品之间内网互不相通，请就近选择靠近您业务的区域，可减少网络时延，提高访问速度。 可用区 必选参数。 可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。一个区域内有多个可用区，一个可用区发生故障后不会影响同一区域内下的其它可用区。 此处建议您同时选择两个可用区，表示企业路由器将同时部署在这两个可用区内，属于双活模式，为业务容灾提供可靠保障。 两个可用区均部署企业路由器时，可用区内流量遵循本地优先原则，即优先访问同一个可用区内的企业路由器，减少时延，提升访问速率。 可用区1 可用区2 名称 必选参数。 输入企业路由器的名称。要求如下： 长度范围为1~64位。 名称由中文、英文字母、数字、下划线（）、中划线（）、点（.）组成。 ertest01 ASN 必选参数。 自治系统（AS）是一个实体管辖下拥有相同选路策略的IP网络。在边界网关协议（BGP）网络中，每个AS都被分配一个唯一的自治系统编号 (ASN)，用于区分不同的AS。 您可以使用默认ASN，也可以在6451265534或42000000004294967294范围内指定专用ASN。 对于同一个区域内的组网，您可以将其视为一个自治系统，企业路由器的ASN使用默认或者在指定范围内选择任意一个即可。 64512 默认路由表关联 可选参数。 默认开启。 为了简化您后续的网络配置，此处建议您开启“默认路由表关联”功能，开启之后： 创建企业路由器时，系统会自动创建名称为“defaultRouteTable”的路由表，将其作为默认关联路由表。 默认关联路由表支持修改，企业路由器创建完成后，您可以创建新的路由表，并将新的路由表设置为默认关联路由表。 设置完默认关联路由表后，在企业路由器中新创建连接时（比如连接A），会自动为连接A在默认关联路由表中创建关联。 开启 默认路由表传播 可选参数。 默认开启。 为了简化您后续的网络配置流程，此处建议您开启“默认路由表传播”功能，开启之后： 创建企业路由器时，系统会自动创建名称为“defaultRouteTable”的路由表，将其作为默认传播路由表。 同时开启“默认路由表关联”和“默认路由表传播”功能，则默认关联路由表和默认传播路由表为同一个路由表，均为系统创建的名称为“defaultRouteTable”的路由表。 默认传播路由表支持修改，企业路由器创建完成后，您可以创建新的路由表，并将新的路由表设置为默认传播路由表。 设置完默认传播路由表后，在企业路由器中新创建连接时（比如连接A），会自动为连接A在默认传播路由表中创建传播。 开启 自动接受共享连接 可选参数。 作为企业路由器的所有者，您可以将企业路由器共享给其他帐号的接受者，接受者可以在共享企业路由器中创建连接。 关闭该选项，接受者创建的连接需要所有者审批，所有者接受后才会创建。 开启该选项，接受者创建的连接会被自动接受，无需所有者审批。 关闭 企业项目 必选参数。 创建企业路由器时，需要将企业路由器加入已有的企业项目内。 企业项目管理提供了一种按企业项目管理云资源的方式，帮助您实现以企业项目为基本单元的资源及人员的统一管理，默认项目为default。 default 标签 可选参数。 您可以在创建企业路由器的时候为企业路由器绑定标签，标签用于标识云资源，可通过标签实现对云资源的分类和搜索。 “标签键”：test “标签值”：01 描述 可选参数。 您可以根据需要在文本框中输入对该企业路由器的描述信息。

参数 说明 Bucket名称 桶的名称。 ARN 桶的资源路径。 存储类型 桶的存储类型，有标准存储、低频存储、归档存储三种类型。部分资源池暂不支持低频或归档存储。 读写权限 私有：仅桶的拥有者和授权用户可进行读写操作。 公共读：公共读权限下所有用户均拥有该桶的读权限，为确保您的数据安全，不推荐此配置。 地域 桶所在的地域。 创建时间 桶的创建时间。 终端节点（Endpoint） ZOS为每个地域提供Endpoint，可通过这个地址访问和调用对象存储及其功能。 Bucket外网访问 桶的域名地址，支持公网访问ZOS。 同资源池内网访问（IPV4/IPV6） 支持同资源池云主机通过内网访问ZOS，内网访问不产生公网流量。

应用托管 OpenClaw 安全风险通告,请用户务必关注! 近日，CERT 披露 OpenClaw 存在多类高危安全漏洞，涵盖命令注入、代码执行、权限提升、路径遍历、认证绕过等，攻击者可利用漏洞在目标机器上执行任意命令、越权提权、窃取 / 篡改系统数据，可能导致业务系统被入侵、核心数据泄露、云托管环境横向渗透等严重风险。 在应用托管中使用OpenClaw 历史版本（26.3.13版本之前）的客户，请尽快升级至应用托管最新版本，该版本已修复当前披露的OpenClaw 相关安全漏洞。如继续使用存在漏洞的历史版本，业务系统将面临被攻击者控制、勒索、数据窃取等安全威胁，为了您的数据安全请及时完成版本升级，可联系您的客户经理，或者提交客服工单，亦或直接拨打热线电话：4008109889转1。

本文带您了解如何如查看后端主机组。 操作场景 天翼云弹性负载均衡支持查看已添加的后端主机组。 前提条件 在添加监听器时，您设置了后端主机组名称，并进行了相关配置。具体可参考添加监听器。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台顶端单击图标，选择区域，本文选择华东华东1。 3. 在系统首页，选择“网络>弹性负载均衡>负载均衡器”。 4. 在弹出页面点击要查看的“后端主机组”名称，即可查看后端主机组下的云主机等信息。

本节介绍如何手动续订WAF独享型实例。 购买独享型实例后，在实例到期被删除前，您可以随时在WAF控制台进行续费。 操作步骤 1. 登录Web应用防火墙（原生版）控制台。 2. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“独享型”页签。 3. 单击目标实例操作列的“查看产品详情”。 4. 单击“续订”，进入续订页面。 5. 在“续订”操作界面，根据使用需要调整续订周期。 续订“二类节点”区域的独享版实例时，实例绑定的云主机默认需要一起续订。 6. 续订时长设置完成后，在页面下方确认支付费用，阅读《天翼云Web应用防火墙（原生版）服务协议》，并勾选“我已阅读，理解并接受《天翼云Web应用防火墙（原生版）服务协议》“，单击“立即购买”。

参数名称 参数说明 取值样例 名称 必选参数。 输入ER流日志的名称。要求如下： 长度范围为1~64位。 名称由中文、英文字母、数字、下划线（）、中划线（）、点（.）组成。 flowlogab 资源类型 必选参数。 选择要采集流量信息的资源类型。 虚拟私有云（VPC） 选择资源 必选参数。 在资源列表中，选择要采集日志信息的具体资源。 vpcab 日志组 必选参数。 选择已有的日志组。 如果没有可选的日志组，请单击“新建日志组”跳转至云日志服务控制台创建。 ltsgroupab 日志流 必选参数。 选择已有的日志流。 如果没有可选的日志流，请单击“新建日志流”跳转至云日志服务控制台创建。 ltstopicab 描述 可选参数。 您可以根据需要在文本框中输入对该流日志的描述信息。

本章介绍天翼云关系型数据库各项功能介绍。 天翼云关系型数据库是托管型数据库，为用户提供的主要功能包括： SQL Server（2012/2014/2016/2017标准版/企业版/web版） 支持通过内网IP地址及端口访问数据库实例，处在同一VPC内的云主机和数据库实例可相互访问 支持为RDS绑定公网IP，通过公网IP访问数据库实例 支持单机实例、一主一备实例和只读实例（最多5个只读实例，仅限2017企业版） 支持对RDS实例进行CPU/内存、存储空间的扩容 支持根据业务需求指定数据自动备份策略（最多保留7个自动备份），也可进行手动备份及备份恢复 支持对数据库参数的调整 支持查看实例运行的系统资源监控指标，如CPU、内存使用率等，还可查看MySQL数据库指标，如QPS/TPS

本文介绍云主机备份产品的计费项。 目前仅仅针对存储库这一项进行计费。存储库是一种云上备份仓库，用于存储您备份在云上的数据。存储库具有地域属性，用户可按需在不同地域创建。 计费项：按照存储库容量和计费模式计费。 存储库容量：单位GB。 计费模式： 按需计费：先使用后付费的计费方式，按照存储库实际使用时长计费，每小时结算一次。 包年包月：以年、月为单位。从存储库创建或续订时间开始，到存储库到期或退订时间结束。 卡券管理 优惠券使用规则请参见天翼云帮助中心费用中心优惠券使用。 代金券使用规则请参见天翼云帮助中心费用中心代金券使用。

本文带您熟悉删除备份策略的操作步骤,您可删除不需要的备份策略。 操作场景 根据需要，用户可删除已有的备份策略。 注意 删除策略后，其绑定的磁盘将无法按照策略继续执行备份。 前提条件 已创建至少1个备份策略。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择上海上海36。 3. 在系统首页，选择“存储>云主机备份”。 4. 选择“备份策略”页签，在需要删除的备份策略所在行点击“更多>删除”按钮。 5. 在弹出的页面，确认删除信息，点击“确定”，完成删除备份策略的操作。

步骤 说明 设置镜像会话基本信息 设置镜像会话的名称，优先级等参数，开始创建镜像会话。 关联筛选条件 选择网络流量的筛选条件，关联至镜像会话。一个镜像会话可以关联一个筛选条件，如果没有合适的筛选条件，您可以创建筛选条件。 关联镜像源 选择弹性网卡作为镜像源，关联至镜像会话。 一个镜像会话可关联多个镜像源。 关联镜像目的 选择云服务器网卡或者弹性负载均衡ELB实例作为镜像目的，关联至镜像会话。 创建完成 镜像会话创建完成并开启后，对于镜像源符合筛选条件的网络流量，将被镜像到镜像目的实例。如果您在创建镜像会话期间关闭了镜像会话，则无法监控镜像源的网络流量。

本文主要介绍日志主题的使用方式。 云日志服务支持通过设置不同的日志主题（Topic），对所采集文本日志进行分类。完成配置后，日志主题将以topic字段展示在日志内容中。 操作步骤 1. 在日志“采集配置”流程中，选择日志主题类型。 2. 若选择为文件路径提取，则需要在下方配置相应的正则表达式，用于完整匹配文件路径，并将表达式匹配的结果（用户名或应用名）作为日志主题（Topic）上传至云日志服务中。 3. 若选择自定义模式，则需要在下方输入自定义主题名，使用自定义的静态日志主题。 4. 完成配置后，在日志查询页面中，输入对应生成的日志主题即可查询相应主题的日志，如topic: userA。

本节介绍了数据库性能优化相关问题与解决方法。 TaurusDB CPU使用率高的解决方法 使用云数据库TaurusDB时，如果您的CPU使用率很高或接近100%，会导致数据读写处理缓慢、无法获取连接、出现报错等，从而影响业务正常运行。 解决方案 1. 通过查看慢SQL日志来确定是否存在运行缓慢的SQL查询以及各个查询的性能特征（如果有），从而定位查询运行缓慢的原因。 查询TaurusDB日志，请参见查看慢日志。 2. 查看TaurusDB实例的CPU使用率指标，协助定位问题。 3. 创建只读节点专门负责查询。减轻主实例负载，分担数据库压力。 4. 多表关联查询时，关联字段要加上索引。 5. 尽量避免用select 语句进行全表扫描，可以指定字段或者添加where条件。

本节介绍了如何修改云数据库GaussDB 的参数模板描述。 操作场景 参数模板创建成功后，用户可根据需要对自己创建的参数模板描述进行修改。 默认参数模板的描述不可修改。 操作步骤 步骤 1 登录管理控制台。 步骤 2 在“参数模板管理”页面的“自定义”页签，选择一个用户创建的参数模板，单击“描述”列 。 步骤 3 输入新的描述信息，单击 ，提交修改，单击 ，取消修改。 修改成功后，新的新描述信息，可在参数模板列表的“描述”列查看。 参数模板的描述长度不能超过256字符，且不能包含>!<"&'特殊字符。

本节主要介绍实例回收站。 GeminiDB Redis支持将退订后的包年包月实例和删除的按需实例，加入回收站管理。您可以在回收站中重建实例恢复数据。 使用须知 回收站策略机制默认开启，且不可关闭，默认保留天数为1天，该功能免费。 目前回收站允许加入100个实例，超过该配额的实例将无法添加至回收站中。 当实例存储空间满时，删除之后的实例不会放入回收站。 设置回收站策略 注意 修改回收站保留天数，仅对修改后新进入回收站的实例生效，对于修改前已经存在的实例，仍保持原来的回收策略，请您谨慎操作。 登录云数据库GeminiDB控制台。 在“回收站”页面，单击“回收站策略”，设置已删除实例保留天数，可设置范围为1~7天。单击“确定”，完成设置。

此小节介绍云堡垒机字符审计。 审计对象为授权的资产数据角色产生的字符访问会话（ssh、telnet），支持查看命令列表，回放访问录屏，中断活动会话，实时播放会话，下载会话审计文件。 操作步骤 1.管理员登录并切换至“审计角色”，在左侧导航栏选择“会话日志 > 字符审计”。 2.单击“操作”列的“查看”可打开详细命令列表。 3.单击“操作”列的“播放”可使用浏览器在线播放会话。结束时间为空说明是活动会话，单击“播放”可实时观看会话，单击“中断”可中断该会话。

本页面介绍了云数据库ClickHouse的常见数据类型。 以下是云数据库ClickHouse中常见的数据类型及其取值范围和具体描述： 数据类型 取值范围 描述 Int8 128 到 127 有符号的8位整数 Int16 32,768 到 32,767 有符号的16位整数 Int32 2,147,483,648 到 2,147,483,647 有符号的32位整数 Int64 9,223,372,036,854,775,808 到 9,223,372,036,854,775,807 有符号的64位整数 UInt8 0 到 255 无符号的8位整数 UInt16 0 到 65,535 无符号的16位整数 UInt32 0 到 4,294,967,295 无符号的32位整数 UInt64 0 到 18,446,744,073,709,551,615 无符号的64位整数 Float32 约为 3.4e38 到 3.4e38 单精度浮点数 Float64 约为 1.7e308 到 1.7e308 双精度浮点数 Decimal(M, D) 依据M和D的值而定 固定精度的十进制数，M为总位数，D为小数位数 String 可变长度的字符串 可变长度的字符序列 FixedString(N) 固定长度的字符串，N为长度 固定长度的字符序列 Date 日期，格式为YYYYMMDD 日期类型 DateTime 日期和时间，格式为YYYYMMDD HH:MM:SS 日期和时间类型 DateTime64(N) 带有纳秒精度的日期和时间，N为纳秒的位数 带有纳秒精度的日期和时间类型 UInt8 (布尔型) 0 表示 False，1 表示 True 布尔类型 Enum8 有限离散值，根据具体枚举值而定 具有预定义值的枚举类型 Enum16 有限离散值，根据具体枚举值而定 具有预定义值的枚举类型 Array(T) 元素类型为T的数组 由相同类型的元素组成的可变长度数组 IPv4 IPv4地址 IPv4地址类型 IPv6 IPv6地址 IPv6地址类型 UUID 通用唯一标识符 通用唯一标识符类型 LowCardinality(T) 低基数的枚举类型，T为底层类型 具有低基数的枚举类型，适用于具有大量重复值的枚举类型 说明 取值范围和精度可能会受到特定环境、配置和数据类型定义的限制。在实际使用时，请根据具体需求和数据类型的定义选择适当的数据类型，并确保数据的正确性和合理性。

添加监控视图 在完成监控看板的创建后，您就可以添加监控视图对云服务进行监控。目前每个监控看板最多支持24个监控视图。 在同一个监控视图里，您可以添加20个监控指标，支持跨服务、跨维度、跨指标进行对比监控。 操作步骤 1. 登录管理控制台。 2. 单击“服务列表 > 云监控服务”。 3. 选择“总览 > 监控面板”，切换到需要添加监控视图的监控面板，然后单击“添加监控视图”。 系统弹出“添加监控视图”窗口。 4. 在“添加监控视图”界面，参照表1完成参数配置。 表 1 配置参数 参数 参数说明 标题 自定义关注指标组件的标题名称，该名称只能由中文、英文字母、数字、下划线、中划线组成，长度限制为128字节。 取值样例：widgetaxaj 归属企业项目 监控视图关联的企业项目，只有有企业项目的权限，才有权查看此监控视图的监控数据。 资源类型 所关注指标对应的服务名称。 取值样例：云硬盘 维度 所关注指标的维度名称。 取值样例：磁盘 监控对象 所关注指标对应的监控对象，数量上限为20个。可支持一次勾选多个监控对象。 监控指标 所关注指标的名称。 取值样例：磁盘读带宽 5. 单击“确定”，完成监控视图的添加。 在所选的监控看板上可以查看新添加监控视图的监控走势图，单击，可放大查看详细的指标对比数据。

本文将为您介绍Provider声明。 Terraform文件类型通常以 .tf 或 .tf.json 结尾，文件中由 provider，resource，data source 和 variable 组成。 每个 Provider 代表一个服务提供商，Terraform 依赖云服务商 Provider 进行云资源管理交互。Provider 通过关键字 provider 进行声明，Provider 的配置参数请参考 这里 。 执行 terraform init 命令时会下载使用的插件，默认将从 Terraform 官方仓库下载最新版本的插件。 对于 Terraform 0.13 之后的版本，可以使用 "requiredproviders" 指定 Provider的 registry 源和版本。 每个 Terraform 模块必须声明其所需的提供程序，以便 Terraform 能够安装和使用它们。提供程序要求在 requiredproviders 代码块中声明。 Provider 的声明要求包括 source 和 version 和 local name（下方举例 ctyun）： java terraform { requiredversion "> 0.10" requiredproviders { ctyun { source "ctyunit/ctyun" version "1.2.0" } } } requiredversion 用于指定哪个版本的Terraform CLI 运行配置，当前支持Terraform 1.0.0 1.5.7。 requiredproviders 声明块中包含一个或多个provider声明。每个声明指定一个 source 和 version。 requiredproviders 都支持以下参数： 关键字 描述 类型 是否必填 source provider的全局源地址 string 是 version 可用版本号，版本约束规则可参考 这里 string 是

本文为您介绍如何通过OpenSearch、自建Filebeat和Dashboards建设网络拨测功能。 使用Opensearch、Filebeat和Dashboard实例搭建拨测功能与数据展示大盘，可以实时地、统一地、方便一键查看多个天翼云多可用区之间或地域之间的网络平均时延。这些数据可以为用户在搭建服务时选择更适合的地域或可用区。 应用场景 本文以OpenSearch、Filebeat和Dashboards为例，搭建一个拨测功能及结果数据的展示大盘。使用Filebeat采集探测机器探测的网络数据，发送到kafka进行多个探测节点的数据汇聚以后存储到OpenSearch中，最后通过Dashboards进行数据的可视化展示。该方案可以用于以下场景： 1. 客户部署业务的服务区选择：云下各地域访问阿里云地域的平均时延。您可以参考性能观测数据，在搭建服务时选择更适合的地域或可用区。 2. 客户物理链路的选择：查看跨地域连接物理链路的时延情况，以便您选择更适合您业务的链路类型。 方案架构 OpenSearch 是一款开源的分布式搜索和分析套件，衍生自 Elasticsearch OSS 7.10.2。可提供轻松执行交互式日志分析、实时应用程序监控、和数据分析等基础能力。 Filebeat归属于Beats家族，使用go语言开发，是一个轻量的日志收集器，因为轻量所以适用于部署在需要收集日志的服务器中 Dashboards为OpenSearch提供一个开源的数据分析和可视化平台，用于对Elasticsearch中的数据进行搜索、查看和交互。

参数 参数说明 计费模式 私网NAT网关的计费模式。 区域 私网NAT网关所在的区域。 名称 私网NAT网关名称。最大支持64个字符，仅支持数字、字母、（下划线）、（中划线）。 虚拟私有云 私网NAT网关所属的业务VPC。VPC仅在创建私网NAT网关时可以选择，后续不支持修改。 子网 私网NAT网关所属VPC中的子网。子网至少有一个可用的IP地址。 子网仅在创建私网NAT网关时可以选择，后续不支持修改。 规格 私网NAT网关的规格。私网NAT网关共有小型、中型、大型和超大型四种规格类型。 描述 私网NAT网关信息描述。最大支持255个字符。

本文为您介绍弹性IP产品的收费项目。 弹性IP费用（后文称EIP保有费），弹性IP服务提供合法的公网IPv4地址资源，用于云资源的互联网访问。弹性公网IP必须配合带宽使用，带宽分为独享带宽和共享带宽，带宽单独计费，计费方式分为包年包月按带宽计费、按需按带宽计费、按需按流量计费。 弹性公网IP加入到包年/包月共享带宽中，若共享带宽到期后不续费，则会自动给每个弹性公网IP分配一个按需按流量计费的独享带宽，之后将按照按需按流量计费方式收费，如果共享带宽到期后，其中的弹性公网IP不再需要，请及时释放。

API网关是否支持多后端节点方案？ 支持，通过VPC通道支持多后端节点，一个VPC通道中可以添加多个云服务器。 独立域名申请后还需要做什么？ 独立域名完成注册、备案后，您需要将其CNAME解析到API分组对应的子域名，解析成功后，即可使用。域名与API分组为多对一的关系，即一个分组最多能绑定5个独立域名，但一个域名只能解析到1个分组。 API网关可以绑定内网域名吗？ 不可以。域名必须完成备案，并将其CNAME解析到API分组对应的子域名。不能将无法在公网访问的域名，或者将他人所有的域名绑定给API分组。

本文介绍配置安全组及其规则的最佳实践。您可以通过配置安全组规则,允许或禁止安全组内的ECS实例对公网或私网的访问。 安全组实践建议 云上的安全组提供类似虚拟防火墙功能，用于设置单台或多台ECS实例的网络访问控制，是重要的安全隔离手段。创建ECS实例时，您必须选择一个安全组。您还可以添加安全组规则，对某个安全组下的所有ECS实例的出方向和入方向进行网络控制。 在使用安全组前，您应先了解以下实践建议： 最重要的规则：安全组应作为白名单使用。 开放应用出入规则时应遵循最小授权原则。例如，您可以选择开放具体的端口，如80端口。 不应使用一个安全组管理所有应用，因为不同的应用存在不同的访问控制需求。对于分布式应用来说，不同的应用类型应该使用不同的安全组，例如，您应对Web层、Service层、Database层、 Cache层使用不同的安全组，暴露不同的出入规则。 避免为每台实例单独设置一个安全组，控制管理成本。 尽可能保持单个安全组的规则简洁。因为如果单个安全组规则过多，增加或者删除规则就变得很复杂，就会增加管理的复杂度。 天翼云的控制台提供了克隆安全组和安全组规则的功能。如果您想要修改线上的安全组和规则，您应先克隆一个安全组，再在克隆的安全组上进行调试，避免直接影响线上应用。（部分资源池支持，可提工单申请克隆功能。） 安全组TCP、UDP报文分片后，分片不带有端口信息，需要将端口范围指定为165535，不进行端口过滤。目前仅合肥2支持UDP大包分片后指定端口过滤功能，如有UDP大包分片，需要指定端口号过滤的需求，可联系客户经理开通此功能。 如果您想实现在不同安全组的资源之间的网络互通，您可使用安全组方式授权。同一安全组内云服务器实例内网互访默认是隔离状态，如您有同一安全组内的云服务器之间互通的需求，您可以在添加安全组规则时配置一条引用本安全组的规则，实现组内互通。

本节主要介绍包周期实例转按需计费 。 GeminiDB Influx支持将包周期（包年/包月）实例转为按需计费实例。对于到期后不再长期使用资源的包周期实例，可以选择转按需操作，到期后将转为按需计费实例。 使用须知 包周期实例状态为“正常”时才能转按需计费。 目前仅集群版本支持此功能，单节点暂不支持。 单个包周期实例转按需 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，选择目标实例，在操作列单击“转按需”，进入转按需页面。 图1 包周期转按需 4. 在转按需页面，核对实例信息无误后，单击“转按需”。包周期实例将在到期后转为按需计费实例。 注意 转按需成功后，自动续费将会被关闭，请谨慎操作。 5. 转按需申请提交后，在目标实例的“计费方式”列，会提示实例到期后转按需。 6. 如需取消转按需，您可以在费用中心的“续费管理”页签，在目标实例的“操作”列，选择“更多 > 取消转按需”。 7. 在弹出框中，单击“确定”，取消转按需申请。 包周期实例批量转按需 1. 登录管理控制台。 2. 在服务列表中选择“数据库 > 云数据库 GeminiDB”。 3. 在“实例管理”页面，勾选目标实例，单击实例列表上方“转按需”。 图2 包周期批量转按需 4. 在弹出框中单击“是”，进入“包周期转按需”页面。 5. 在转按需页面，核对实例信息无误后，单击“转按需”。包周期实例将在到期后转为按需计费实例。 注意 转按需成功后，自动续费将会被关闭，请谨慎操作。 6. 转按需申请提交后，在目标实例的“计费方式”列，会提示实例到期后转按需。 7. 如需取消转按需，您可以在费用中心的“续费管理”页签，在目标实例的“操作”列，选择“更多 > 取消转按需”。 8. 在弹出框中，单击“确定”，取消转按需申请。

本文介绍如何创建容器应用。 应用指运行在CCE上的一组实例。创建一个完整的容器应用，可以通过“选择开源镜像”、“上传并选择私有镜像”两种方式实现，后续还将支持通过“应用模板”进行应用创建。本节指导用户通过容器镜像创建无状态类型的容器应用。 操作前提 已创建集群并添加节点。 若用户需要使用私有镜像作为镜像源，需要提前制作好私有镜像并将其上传到仓库中。 操作步骤 1.选择资源池，如【杭州2】，进入云容器引擎平台页面； 2.单击左侧导航栏的【工作负载】>【无状态】，进入无状态应用列表； 3.在【无状态】页下，单击【创建应用】按钮，进入应用创建页面； 4.按照页面提示填写，包含基本信息、容器设置、添加服务、高级配置几步。 1）基本信息填写：按照下表，输入相应参数，其它保持默认： 参数 说明 应用名称 nginx 部署集群 选择所创建的集群 实例数量 1 命名空间 default 2）单击【下一步】，进入容器设置页面>单击【选择镜像】按钮，弹出镜像选择框>在【天翼云官方镜像】页签中选择nginx的镜像，勾选后单击【确定】>选择镜像版本latest，容器名称及规格保持默认，其余配置可跳过>点击【下一步】，进入【添加服务】设置页面； 3）单击【添加服务】，参照下表，输入应用访问配置参数。本例中，将 nginx 应用设置为被集群内访问，参数具体填写内容如下表展示： 参数 说明 服务名称 输入应用发布的可被同个集群内的其他应用访问的名称，设置为：nginx 访问方式 集群内访问 容器端口 容器中应用启动监听的端口，nginx 镜像请设置为：81 访问端口 设置为8080 协议 TCP 4）单击【下一步】，高级设置可按需配置>单击【提交】,等待应用创建完成； 5）应用创建完成后，在应用管理列表中可查看到运行中的应用。 本章节以“天翼云官方镜像”的方式创建应用为例，来创建一个 nginx 容器应用。nginx 是一款轻量级的 Web 服务器，您可通过云容器引擎 CCE 快速创建 nginx 容器应用，搭建 nginx web 服务器。 说明： 节点和应用运行过程中会产生费用，建议您参照本章节创建应用后，删除应用和节点，避免费用产生。本章节执行完成后，可成功访问 nginx 的网页，如下图：

帮助用户完成SFS Turbo备份存储库的创建，快速创建SFS Turbo备份容器。 操作步骤 1. 登录云服务备份管理控制台。 a. 登录管理控制台。 b. 单击管理控制台左上角的，选择区域。 c. 单击“”，选择“存储 > 云服务备份> SFS Turbo备份”。 2. 在界面右上角单击“购买SFS Turbo备份存储库”。 3. 选择计费模式。 包年包月是预付费模式，按订单的购买周期计费，适用于可预估资源使用周期的场景，价格比按需计费模式更优惠。 按需计费是后付费模式，根据实际使用量进行计费，可以随时购买或删除存储库。费用直接从账户余额中扣除。 4. （可选）在文件系统列表中勾选需要备份的文件系统，勾选后将在已选文件系统列表区域展示，如下图所示。 图 选择文件系统 说明 所选文件系统未绑定存储库且状态必须为“可用”。 若不勾选文件系统，如需备份可在创建存储库后绑定文件系统即可。 说明 单AZ备份：备份数据仅存储在单个可用区（AZ），成本更低。 多AZ备份：备份数据冗余存储至多个可用区（AZ），可靠性更高。 5. 输入存储库容量。此容量为绑定文件系统所需的总容量。您需要提前规划存储库容量，存储库的空间不能小于备份文件系统的空间。取值范围为[10，10485760]GB。 6. 选择是否配置自动备份。 立即配置：配置后会将存储库绑定到备份策略中，整个存储库绑定的文件系统都将按照备份策略进行自动备份。可以选择已存在的备份策略，也可以创建新的备份策略。 暂不配置：存储库将不会进行自动备份。 7. 如开通了企业项目，需要为存储库添加已有的企业项目。 企业项目是一种云资源管理方式，企业项目管理提供统一的云资源按项目管理，以及项目内的资源管理、成员管理，默认项目为default。 8. （可选）为存储库添加标签。 标签以键值对的形式表示，用于标识存储库，便于对存储库进行分类和搜索。此处的标签仅用于存储库的过滤和管理。一个存储库最多添加10个标签。 9. 输入待创建的存储库的名称。 只能由中文字符、英文字母、数字、下划线、中划线组成，且长度小于等于64个字符。例如：vault612c。也可以采用默认的名称，默认的命名规则为“vaultxxxx”。 10. 当计费模式为“包年/包月”时，需要选择购买时长。可选取的时间范围为1个月~5年。 可以选择是否自动续费，勾选自动续费时： 按月购买：自动续费周期为1个月。 按年购买：自动续费周期为1年。 11. 根据页面提示，完成支付。 12. 返回SFS Turbo备份页面。可以在存储库列表看到成功创建的存储库。