本文为您介绍如何快速配置CC防护策略。 网站域名接入云WAF后，您可以选择开启CC防护功能，为网站拦截针对页面请求的CC攻击。您也可以根据实际需求自定义CC安全防护的防护策略。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版不支持CC防护，请升级到更高版本使用。 CC防护模式配置 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“CC防护”区域，可以选择开启/关闭防护状态；同时可以直接选择防护模式。 配置项说明如下： 配置项 说明 状态 开启或关闭CC安全防护功能。 防护模式 要应用的防护模式。可选值： 常规：只针对特别异常的请求进行拦截，误杀较少。建议您在网站无明显流量异常时应用此模式，避免误杀。 紧急：高效拦截CC攻击，可能造成较多误杀。当您发现有防护模式无法拦截的CC攻击，并出现网站响应缓慢，流量、CPU、内存等指标异常时，可以应用此模式。 自定义：自定义CC防护可以通过精确匹配条件过滤访问请求，基于用户访问源IP或者SESSION频率定义访问频率限制条件，对于超过频率限制的访问进行拦截。 策略配置方法，请参见设置[自定义CC防护策略](

本章节会介绍如何什么是只读实例。 产品简介 目前，云数据库PostgreSQL的实例支持只读实例。 在对数据库有少量写请求，但有大量读请求的应用场景下，单个实例可能无法抵抗读取压力，甚至对主业务产生影响。为了实现读取能力的弹性扩展，分担数据库压力，您可以在某个区域中创建一个或多个只读实例，利用只读实例满足大量的数据库读取需求，以此增加应用的吞吐量。您需要在应用程序中分别配置主实例和每个只读实例的连接地址，才能实现将写请求发往主实例而将读请求发往只读实例。 只读实例为单个物理节点的架构（没有备节点），采用PostgreSQL的原生复制功能将主实例的更改同步到所有只读实例，而且主实例和只读实例之间的数据同步不受网络延时的影响，只读实例跟主实例在同一区域，但可以在不同的可用区。 功能特点 规格可以与主实例不一致，并可以随时更改规格（没有时间限制），便于弹性升降级。 不需要维护账号与数据库，全部通过主实例同步。 提供系统性能监控。 关系型数据库服务提供近20个系统性能的监控视图，如磁盘容量、IOPS、连接数、CPU利用率、网络流量等，用户可以轻松查看实例的负载。 功能限制 1个主实例最多可以创建5个只读实例。 备份设置：不支持备份设置以及临时备份。 实例恢复：不支持通过备份文件或任意时间点创建临时实例，不支持通过备份集覆盖实例。 数据迁移：不支持将数据迁移至只读实例。 数据库管理：不支持创建和删除数据库。 帐号管理：只读实例不提供创建帐号权限，如需增加只读实例帐号，请在主实例上操作。

本章节会介绍如何什么是只读实例。 产品简介 目前，云数据库的实例支持只读实例和开通读写分离功能（自动读写分离目前在西安2、苏州、杭州、福州、广州4、石家庄资源池支持）。 在对数据库有少量写请求，但有大量读请求的应用场景下，单个实例可能无法抵抗读取压力，甚至对主业务产生影响。为了实现读取能力的弹性扩展，分担数据库压力，您可以在某个区域中创建一个或多个只读实例，利用只读实例满足大量的数据库读取需求，以此增加应用的吞吐量。创建只读实例后，您可以开通读写分离功能，通过RDS的读写分离连接地址，写请求自动访问主实例，读请求按照读权重设置自动访问各个只读实例。 未开通读写分离时，您需要在应用程序中分别配置主实例和每个只读实例的连接地址，才能实现将写请求发往主实例而将读请求发往只读实例。 只读实例为单个物理节点的架构（没有备节点），采用MySQL的原生复制功能，将主实例的更改同步到所有只读实例。只读实例跟主实例在同一区域，但可以在不同的可用区。 功能特点 只读实例规格可以与主实例不一致，并可以随时更改规格（没有时间限制），便于弹性升降级。 关系型数据库服务提供近20个系统性能的监控视图，如磁盘容量、IOPS、连接数、CPU利用率、网络流量等，用户可以轻松查看实例的负载。 提供系统性能监控。 关系型数据库服务提供近20个系统性能的监控视图，如磁盘容量、IOPS、连接数、CPU利用率、网络流量等，用户可以轻松查看实例的负载。 注意 建议只读实例规格大于等于主实例规格，否则易导致只读实例创建失败、延迟高、负载高等现象。

本文为您介绍分布式消息服务MQTT的快速入门连接实例。 创建用户名和密码 终端设备连接MQTT队列需要先创建用户密码。 1、 天翼云官网点击控制中心，选择产品分布式消息服务MQTT。 2、 登录分布式消息服务MQTT控制台，点击右上角地域选择对应资源池。 3、 进入实例列表，点击【管理】按钮进入管理菜单。 4、 进入认证授权菜单，点击【新增】按钮，在弹出框输入认证用户名、用户密码、确认密码等信息。 主题授权 对用户名进行主题授权，客户端方可正常收发。 1、 选择需要授权的用户，点击【授权】按钮。 2、 在弹出框填写已创建的主题名称，主题权限包含3种：pub、sub、pubsub，支持通配符， 代表所有主题。 绑定公网IP 公网接入若未绑定弹性公网ip需先进行购买弹性ip并进行绑定。 弹性IP是可以独立申请的公网 IP 地址，包括公网IP地址与公网出口带宽服务。可以与分布式消息服务MQTT动态绑定和解绑，实现云资源的互联网访问。针对需要公网访问分布式消息服务MQTT实例的需求，用户可开通弹性IP后，在MQTT实例页面进行绑定。 1、 进入实例列表，点击【管理】按钮进入管理菜单。 2、 在实例详情查看公网IP，点击【绑定】按钮，选择已购买的弹性IP。 弹性ip带宽大小计算规则可参照：带宽 报文大小TPS 120%，建议按120%购买，应对突发流程。如规格，报文大小1KB，TPS 2W/s，则带宽2000010008160Mb/s,建议200Mb/s。

本文以strongSwan为例介绍如何在本地数据中心的网关设备中添加VPN配置。 使用IPsec VPN建立站点到站点的连接时，在配置完VPN网关后，您还需在本地数据中心的网关设备中添加VPN配置。 场景示例 本文以上图场景为例。某公司在天翼云拥有一个VPC，VPC网段为192.168.10.0/24，VPC中使用弹性云主机部署了应用服务。同时该公司在本地拥有一个数据中心IDC，本地IDC网段为172.16.2.0/24。公司因业务发展，需要本地IDC与云上VPC互通，实现资源互访。该公司计划使用IPsec VPN产品，在本地IDC与云上VPC之间建立IPsec连接，实现云上和云下的互通。 本文涉及的网络配置请参见下表。 配置项 示例值 VPC 待和本地IDC互通的私网网段。 VPN网关 天翼云VPN网关的公网IP地址。 本地IDC 待和天翼云VPC互通的私网网段。 本地IDC 本地网关设备的公网IP地址。 前提条件 已下载IPsec连接的配置。 已在天翼云侧完成创建VPN网关、创建用户网关、创建IPsec连接、配置VPN网关路由的操作。 本文IPsec连接的配置如下表所示。 配置项 示例值 预共享密钥 aa123bb IKE配置 IKE版本 IKEv1 IKE配置 协商模式 main IKE配置 加密算法 AES128 IKE配置 认证算法 SHA1 IKE配置 DH分组 Group2 IKE配置 SA生存周期（秒） 86400 IPsec配置 加密算法 AES128 IPsec配置 认证算法 SHA1 IPsec配置 PFS DH group2 IPsec配置 SA生存周期（秒） 3600

对等连接支持编辑标签的操作,本文帮助您快速熟悉对等连接编辑标签的操作。 操作场景 当您的云环境中存在多个对等连接时，使用标签可以帮助您对其进行分类分组管理，提高资源的管理效率。 在为对等连接编辑标签时，通常需要指定标签键和标签值来标识和分类对等连接。标签键用于描述标签的分类或属性，而标签值则用于具体区分不同的对等连接。 说明 该功能仅白名单用户可见，请以实际控制台页面为准。 使用须知 每个资源可以最多添加10个标签。 标签的“键”和“值”是一一对应的，其中“键”值是唯一的。 添加标签 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方单击图标，选择区域。 3. 在系统首页，选择“网络>对等连接”。 4. 在“对等连接”列表页面，单击对等连接所在行的“编辑标签”。 5. 输入标签键和标签值，点击“确定”。 6. 在对等连接列表，还支持对已创建的对等连接批量编辑标签/批量解绑标签。 修改标签 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方单击图标，选择区域。 3. 在系统首页，选择“网络>对等连接”。 4. 在“对等连接”列表页面，单击对等连接所在行的“编辑标签”。 5. 在弹出的标签页，输入修改的“键”和“值”。 6. 点击“确定”，完成标签修改。

本文介绍如何获取备份下载链接。 注意事项 下载备份未开放，如需使用，请提交工单申请。 仅备份空间为对象存储的实例，支持生成备份下载连接。备份空间为云硬盘的实例不支持。 一个备份可能包含多个库，每个库会生成一个独立的下载链接；表级备份可能包含多个库表，每个表会生成两个独立的下载链接，分别为表的DDL文件和表的数据文件。下载链接有效期为1小时，如果链接过期，可以刷新重新获取下载链接。 只有成功的备份允许生成备份下载链接。 用户通过备份下载链接下载备份文件可能产生流量费用。 若实例开启了跨域备份，则可以在跨域备份列表页获取跨域资源池的备份下载链接，仅限已成功备份（同步）至跨域资源池的备份生成下载链接。 获取本地备份下载链接 1. 在天翼云官网首页的顶部菜单栏，选择【产品 > 数据库 > 关系型数据库 > 关系数据库SQL Server版】，进入关系数据库SQL Server产品页面。然后单击【管理控制台】，进入TeleDB数据库【概览】页面。 2. 在左侧导航栏，选择【SQL Server > 实例管理】，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，单击目标实例名称，进入实例【基本信息】页面。 4. 单击【备份恢复】。 5. 单击【本地数据备份】或【本地日志备份】，查看当前实例的备份记录。 6. 选择某个成功的备份记录，单击【单库备份下载】按钮，系统会自动生成该备份中包含库的下载链接。 7. 点击【复制地址】按钮，将复制单库下载链接。单击【单库备份下载】，将跳转浏览器新页面并请求下载链接，下载备份文件。

本页介绍了关系数据库MySQL版的只读实例。 注意 I类型资源池（仅南京3、重庆2、海口2、合肥2、上海7资源池）和II类型资源池均支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 功能简介 云数据库的实例支持只读实例。在对数据库有少量写请求，但有大量读请求的应用场景下，单个实例可能无法抵抗读取压力，甚至对主业务产生影响。为了实现读取能力的弹性扩展，分担数据库压力，您可以在某个区域中创建一个或多个只读实例，利用只读实例满足大量的数据库读取需求，以此增加应用的吞吐量。 只读实例为单个物理节点的架构（没有备节点），采用MySQL的原生复制功能，将主实例的更改同步到所有只读实例，而且主实例和只读实例之间的数据同步受网络延时的影响。 注意 您需要在应用程序中分别配置主实例和每个只读实例的连接地址，才能实现将写请求发往主实例而将读请求发往只读实例。 功能特点 规格可以与主实例不一致，但需要大于等于主实例规格，并可以随时更改规格（没有时间限制），便于弹性升级。 不需要维护帐号与数据库，全部通过主实例同步。 提供系统性能监控。关系数据库MySQL版服务提供近20个系统性能的监控视图，如磁盘容量、IOPS、连接数、CPU利用率、网络流量等，用户可以轻松查看实例的负载。 权限会自动同步，主实例中进行的权限调整会自动同步到备实例和只读数据库中。

本节为您介绍漏洞扫描原理、漏洞扫描版本规格、漏洞等级。 服务器安全卫士（原生版）支持扫描Linux软件漏洞、Windows系统漏洞、WebCMS漏洞、应用漏洞、应急漏洞，并提供漏洞的修复建议和一键修复功能，帮助您及时了解云主机操作系统中存在的风险，及时修复主机漏洞。 漏洞扫描原理 漏洞扫描原理如下： 漏洞分类 原理说明 Linux软件漏洞 通过与漏洞库进行比对，检测Linux操作系统官方维护的软件（非绿色版、非自行编译安装版；例如：kernel、openssl、vim、glibc等）是否存在漏洞，将存在风险的结果向用户告警。 Windows系统漏洞 通过同步微软官方的补丁公告，判断服务器上的补丁是否已经更新，并推送微软官方补丁，将存在风险的结果向用户告警。 WebCMS漏洞 通过对Web目录和文件进行检测，识别出WebCMS漏洞，将存在风险的结果向用户告警。 应用漏洞 通过检测主机上运行的软件发现应用是否存在漏洞，将存在风险的结果向用户告警。 应急漏洞 展示最新披露的漏洞详情，用户可根据实际情况对此漏洞进行专项扫描。 版本规格 以下介绍服务器安全卫士各版本漏洞扫描功能的支持情况。 说明 免费版仅支持Windows系统漏洞扫描、Linux软件漏洞扫描和查看漏洞，不支持一键修复漏洞，您可以参考漏洞详情页面提供的修复建议，登录到您的服务器手动修复漏洞。 功能 免费版 企业版 旗舰版 漏洞情况统计 ✓ ✓ ✓ Linux软件漏洞、Windows系统漏洞 ✓ ✓ ✓ WebCMS漏洞、应用漏洞 × ✓ ✓ 应急漏洞 × ✓ ✓ 一键扫描 × ✓ ✓ 定时扫描 ✓ ✓ ✓ 基于漏洞名称的扫描结果列表 ✓ ✓ ✓ 基于服务器的扫描结果列表 ✓ ✓ ✓ 查看漏洞详情 ✓ ✓ ✓ 一键修复漏洞 × ✓ ✓ 白名单管理 ✓ ✓ ✓

本章节为您介绍系统统计报表相关功能。 数据资产分析 “数据资产分析”页面的功能是让用户知道自己有哪些资产，哪些资产更加敏感，哪些资产经常做数据脱敏等，刚进入本页面时，页面会展示系统自动更新过的数据。 数据安全专区会在每天凌晨自动更新数据。但是您也可以选择点击手动更新按钮来获得当前时间最新的数据。 1.使用系统管理员登录数据脱敏实例。 2.在左侧导航栏选择“系统统计报表 > 数据资产分析 ”，进入“数据资产分析”页面，即可查看数据资产情况。 本页信息一共展示了任务运行概述、数据源类型分布、数据源和schema粒度的敏感程度排名top10、敏感标签词云以及资产统计清单这些数据分析内容。 脱敏任务分析 “脱敏任务分析”页面的功能是让用户知道脱敏任务运行是否正常，整体任务运行质量如何（比如错误数的变化），任务调度分配是否合理等。 数据安全专区会实时更新本页面的大部分数据，其中任务属性是针对任务进行统计，任务运行是针对实例进行统计，而且脱敏任务分析只对结构化任务的数据进行分析。 1.使用系统管理员登录数据脱敏实例。 2.在左侧导航栏选择“系统统计报表 > 脱敏任务分析 ”，进入“脱敏任务分析”页面，即可查看脱敏任务分析情况。 说明 页面左侧可针对任务运行时间（即实例运行时间）进行搜索，包括最近7天（默认）、最近15天、最近30天和自定义。 页面都带“导出”功能，单击后可导出页面内容，支持PDF和HTML两种文件格式。

使用条件 对计费方式为包年/包月的容灾管理中心可进行退订操作。 已纳管云主机的容灾管理中心不能退订，请解绑后再进行退订操作。 退订容灾管理中心的退费说明及限制请参考：退费说明。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏 “容灾管理”，进入容灾管理中心页面。 5. 点击容灾管理中心列表操作栏中“退订”按钮，弹出退订容灾管理中心操作弹窗。 6. 点击“确定”按钮，退订容灾管理中心。 销毁容灾管理中心 使用条件 对已到期的计费方式为包年/包月的容灾管理中心可进行删除操作。 “销毁”操作将解绑容灾管理中心内的所有纳管资源、应用管理、演练任务、切换任务等，并清空历史数据。 容灾管理中心过期后15天系统会自动销毁。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏 “容灾管理”，进入容灾管理中心页面。 5. 点击容灾管理中心列表操作栏中“销毁”按钮，弹出销毁操作弹窗。 6. 勾选“我已知晓”复选框，点击“确认”按钮，销毁容灾管理中心。

本文列举了多活容灾服务常用的术语及解释。 命名空间 命名空间是一个逻辑租户的概念，实现对MDR管控配置和数据的逻辑隔离，承载整个多活项目的资源集合，包括了流量入口，多活分区，数据同步，数据监控等内容。用户可以创建多个命名空间，用于逻辑隔离不同的资源。一般推荐按照企业的系统划分，比如OA系统，支付系统等可以各建一个命名空间。 容灾管理中心 容灾管理中心是一个独立的资源管理空间，以虚拟实例的形式独立运行，所有的操作都是在实例内进行，不同实例间的资源相互隔离。用户可以根据业务需要使用一个或若干个容灾管理中心。 容灾演练 为构建高效灾难应对机制，需定期开展基于预案演练体系的全真模拟演练。通过实战化场景复现关键业务系统的灾备恢复流程，重点验证应急响应时效性与数据保全能力，确保在突发灾难时实现业务连续性管理目标，最大限度降低运营中断风险和数据资产损失。 应急切换 当生产中心可用区内的云主机、数据库、存储等生产资源发生重大故障时，为快速恢复业务而进行的一系列的切换或恢复任务，涉及的任务来源于相应的预案流程。 同城主备 同城主备容灾是一种在同城或相近区域内（通常距离小于或等于200KM）建立的容灾策略。包括一个主数据中心，负责日常生产运行和实时数据存储，以及一个备用的数据中心，作为灾难备份中心。当主数据中心因各种原因（如火灾、建筑物破坏、供电故障、计算机系统及人为破坏等）发生故障时，备份数据中心能够快速接管业务，继续提供服务。

威胁告警 广义的威胁告警是指由于自然因素、人为因素或软硬件本身的原因，对信息系统造成危害的事件，或对社会造成负面影响的威胁。对于态势感知（专业版）来讲，威胁告警泛指根据大数据分析检测出的，对用户资产产生威胁的安全事件。 事件 事件是一个广泛的概念，可以包括告警，但不限于此，它可以是系统正常操作的一部分，也可以是异常或错误。在运维和安全领域，事件通常指的是已经发生并需要被关注、调查和处理的问题或故障。事件可能由一条或多条告警触发，也可能由其他因素（如用户操作、系统日志等）引发。 事件的目的是为了记录、分析、报告或审计，通常用于记录和报告系统的历史行为，以便于分析和审计。 告警 告警是运维中的一种异常信号的通知，通常是由监控系统或安全设备在检测到系统或网络中的异常情况时自动生成的。例如，当服务器的CPU使用率超过90%时，系统可能会发出告警。这些异常情况可能包括系统故障、安全威胁或性能瓶颈等。 告警通常有明确的指示性，能够明确指出异常发生的位置、类型和影响。同时，告警可以按照严重程度来进行分类，如紧急、重要、一般等，以便运维人员根据告警的严重程度来决定哪些需要优先处理。 告警的目的是及时通知相关人员，以便能够迅速响应并采取措施解决问题。 当态势感知（专业版）检测到的云资源中存在的异常情况（例如，某个恶意IP对资产攻击、资产已被入侵等）时，将以告警的形式将威胁信息展示在态势感知（专业版）告警管理界面中。

本文主要介绍 将Prometheus的数据上报到AOM 如果您已经部署并正在使用开源prometheus，可直接进行步骤3。 本章主要介绍通过部署Prometheus将AccessCode配置到Prometheus的配置文件并使之生效。 前提条件 已创建弹性云主机ECS。 操作步骤 步骤 1 安装并启动Prometheus，具体操作请参见Prometheus官方文档。 步骤 2 添加AccessCode。 1. 登录AOM控制台，在左侧导航栏中选择“配置管理 > 接入管理”。 2. 单击“添加AccessCode”。 添加AccessCode 每个项目最多可创建2个AccessCode。 AccessCode是调用API的身份凭据，请您妥善保管。 3. 在弹出的窗口，单击“确定”，添加AccessCode。 4. 添加成功后，单击即可查看AccessCode。也可单击“删除”，删除AccessCode（ 删除后无法恢复，请谨慎操作 ）。 查看AccessCode 步骤 3 登录ECS，找到prometheus的配置文件。 示例：如果通过以下命令启动 ./prometheus config.fileprometheus.yml 则找到prometheus.yml并将以下配置添加到末尾： remotewrite:url: ' tlsconfig: insecureskipverify: true bearertoken: '{accesscode}' 参数说明： regionname为指定承载REST服务端点的服务器域名或IP，不同服务不同区域的名称不同。 projectid 为项目的ID。 一个完整的配置示意如下，您需要配置斜体部分： my global configglobal: scrapeinterval: 15s

DWS的磁盘空间/容量是如何统计的？ 1.DWS的磁盘总容量统计：以3个数据节点为例，假设每个节点320G，总容量为960G。当存入一个1G的数据，DWS因为副本机制会将这1G的数据在两个节点中都各存一份，共占2G的空间，如果再加上元数据、索引等，实际1G的数据，存入DWS后占用的空间不止2G。所以总容量为960G的3节点集群，总量能存480G的数据。因为存储硬盘本身不贵，客户数据才珍贵。 客户在云的DWS控制台上搭建的时候，页面已经是按照一个节点的真正容量空间来统计的。比如dws.m3.xlarge，在搭建页面是160G，但实际这个节点的磁盘是有320G的，已经将这个320G显示为160G了，便于客户按实际落盘数据进行搭建。 2.单个节点磁盘的使用情况的确认： 同样的，以总容量为960G，3个数据节点为例，那么每个节点的磁盘容量就是320G。 登录DWS控制台，选择“监控>节点监控>概览”显示每个节点的磁盘以及其他资源占用情况。 说明 l 节点管理看到的磁盘空间是DWS集群内所有的磁盘即系统盘、数据盘加到一起的容量，而在概览里看到的磁盘空间只是集群内能做表数据存储的可用空间，另外DWS集群中表是有备份的副本数的，表的备份数据也是需要占用磁盘存储的。 l 如果已确定由于磁盘空间不足导致集群状态只读，告警磁盘不可用的异常场景时，可参考“

本小节介绍DDoS攻击缓解最佳实践。建议客户通过以下方式缓解DDoS攻击带来的影响。 缩小暴露面 隔离资源和不相关的业务，降低被攻击的风险。 配置安全组，尽量避免将非业务必须的服务端口暴露在公网上，从而避免与业务无关的请求和访问。通过配置安全组可以有效防止系统被扫描或者意外暴露。 优化业务架构 利用公共云的特性设计弹性伸缩和灾备切换的系统。 科学评估业务架构性能 在业务部署前期或运营期间，技术团队应该对业务架构进行压力测试，以评估现有架构的业务吞吐处理能力，为DDoS防御提供详细的技术参数指导信息。 优化DNS解析 通过智能解析的方式优化DNS解析，可以有效避免DNS流量攻击产生的风险。同时，建议您将业务托管至多家DNS服务商，并可以从以下方面考虑优化DNS解析。 屏蔽未经请求发送的DNS响应信息 丢弃快速重传数据包 启用TTL 丢弃未知来源的DNS查询请求和响应数据 丢弃未经请求或突发的DNS请求 启动DNS客户端验证 对响应信息进行缓存处理 使用ACL的权限 利用ACL、BCP38及IP信誉功能 服务器安全加固 提升服务器自身的连接数等性能。 对服务器上的操作系统、软件服务进行安全加固，减少可被攻击的点，增大攻击方的攻击成本。 确保服务器的系统文件是最新的版本，并及时更新系统补丁。 对所有服务器主机进行检查，清楚访问者的来源。 过滤不必要的服务和端口。例如，对于WWW服务器，只开放80端口，将其他所有端口关闭，或在防火墙上设置阻止策略。

参数 描述 数据流动方向 选择“出云”，即源端数据库为本云数据库。 源数据库引擎 选择“MySQL”。 目标数据库引擎 选择“MySQL”。 网络类型 此处以公网网络为示例。 可根据业务场景选择公网网络、VPC网络和VPN、专线网络。 源数据库实例 用户所创建的关系型数据库实例。 同步实例所在子网 请选择同步实例所在的子网。也可以单击“查看子网”，跳转至“网络控制台”查看实例所在子网帮助选择。 默认值为当前所选数据库实例所在子网，请选择有可用IP地址的子网。为确保同步实例创建成功，仅显示已经开启DHCP的子网。 IP类型 选择迁移实例的IP类型，目前支持选择“IPv4”或“IPv4&IPv6双栈”。只有所选择的VPC及子网都开启了IPv6双栈功能，才能选择IP类型为“IPv4&IPv6双栈”。 同步类型 此处以“全量+增量”为示例。 “全量+增量”：该模式为数据持续性实时同步，通过全量过程完成目标端数据库的初始化后，增量同步阶段通过解析日志等技术，将源端和目标端数据保持数据持续一致。 说明 选择“全量+增量”同步模式，增量同步可以在全量同步完成的基础上实现数据的持续同步，无需中断业务，实现同步过程中源业务和数据库继续对外提供访问。 “增量”：增量同步通过解析日志等技术，将源端产生的增量数据同步至目标端。 标签 可选配置，对同步任务的标识。使用标签可方便管理您的任务。每个任务最多支持10个标签配额。 任务创建成功后，您可以单击任务名称，在“标签”页签下查看对应标签。关于标签的详细操作，请参见 标签管理。

本章介绍天翼云关系型数据库所涉及的一些常用概念。 实例 关系型数据库的最小管理单元是实例，一个实例代表了一个独立运行的数据库。用户可以在关系型数据库系统中自助创建及管理各种数据库引擎的实例。实例的类型、规格、引擎、版本和状态。 数据库引擎 关系型数据库支持以下引擎： MySQL PostgreSQL SQL Server 实例类型 云数据库RDS的实例分为：单机实例、主备实例等。不同类型支持的引擎类型和实例规格不同，请以实际界面为准。 实例规格 数据库实例各种规格（vCPU个数、内存（GB）、对应的数据库引擎）。 自动备份 创建实例时，关系型数据库默认开启自动备份策略，实例创建成功后，您可对其进行修改，关系型数据库会根据您的配置，自动创建数据库实例的全量备份。 手动备份 手动备份是由用户启动的数据库实例的全量备份，它会一直保存，直到用户手动删除。 区域和可用区 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）指物理的数据中心。每个区域完全独立，这样可以实现最大程度的容错能力和稳定性。资源创建成功后不能更换区域。 可用区（AZ，Availability Zone）是同一区域内，电力和网络互相隔离的物理区域，一个可用区不受其他可用区故障的影响。一个区域内可以有多个可用区，不同可用区之间物理隔离，但内网互通，既保障了可用区的独立性，又提供了低价、低时延的网络连接。 下图阐明了区域和可用区之间的关系。 图 区域和可用区

本章介绍关系数据库的常用概念和名词解释。 实例 关系型数据库的最小管理单元是实例，一个实例代表了一个独立运行的数据库。用户可以在关系型数据库系统中自助创建及管理各种数据库引擎的实例。实例的类型、规格、引擎、版本和状态。 数据库引擎 关系型数据库支持以下引擎： MySQL PostgreSQL SQL Server 实例类型 云数据库RDS的实例分为：单机实例、主备实例等。不同类型支持的引擎类型和实例规格不同，请以实际界面为准。 实例规格 数据库实例各种规格（vCPU个数、内存（GB）、对应的数据库引擎）。 自动备份 创建实例时，关系型数据库默认开启自动备份策略，实例创建成功后，您可对其进行修改，关系型数据库会根据您的配置，自动创建数据库实例的全量备份。 手动备份 手动备份是由用户启动的数据库实例的全量备份，它会一直保存，直到用户手动删除。 区域和可用区 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）指物理的数据中心。每个区域完全独立，这样可以实现最大程度的容错能力和稳定性。资源创建成功后不能更换区域。 可用区（AZ，Availability Zone）是同一区域内，电力和网络互相隔离的物理区域，一个可用区不受其他可用区故障的影响。一个区域内可以有多个可用区，不同可用区之间物理隔离，但内网互通，既保障了可用区的独立性，又提供了低价、低时延的网络连接。 下图阐明了区域和可用区之间的关系。 图1 区域和可用区

操作场景 CCE提供了回调函数，在容器的生命周期的特定阶段执行调用，比如容器在停止前希望执行某项操作，就可以注册相应的钩子函数。 目前提供的生命周期回调函数如下所示： 启动命令：容器将会以该启动命令启动，请参见设置容器启动命令。 启动后处理： 容器启动后触发，请参见启动后处理。 停止前处理： 容器停止前触发。设置停止前处理，确保升级或实例删除时可提前将实例中运行的业务排水。详细请参见停止前处理。 容器如何执行命令和参数 Docker的镜像拥有存储镜像信息的相关元数据，如果不设置生命周期命令和参数，容器运行时将运行镜像制作时提供的默认的命令和参数，Docker将这两个字段定义为“Entrypoint”和 "CMD"。 如果在创建工作负载时填写了容器的运行命令和参数，将会覆盖镜像构建时的默认命令 "Entrypoint"、"CMD"，规则如下： 表容器执行命令和参数 镜像 Entrypoint 镜像CMD 容器运行命令 容器运行参数 最终执行 [touch] [/root/test] 未设置 未设置 [touch /root/test] [touch] [/root/test] [mkdir] 未设置 [mkdir] [touch] [/root/test] 未设置 [/opt/test] [touch /opt/test] [touch] [/root/test] [mkdir] [/opt/test] [mkdir /opt/test] 启动命令 在默认情况下，镜像启动时会运行默认命令，如果想运行特定命令或重写镜像默认值，需要进行相应设置。设置方法请参见设置容器启动命令。 启动后处理 步骤 1 登录CCE控制台，在创建工作负载时，展开“生命周期”。 步骤 2 在“启动后处理”后，设置启动后处理的参数，如下表。 启动后处理参数说明 参数 说明 命令行方式 在容器中执行指定的命令，配置为需要执行的命令。命令的格式为Command Args[1] Args[2]…（Command为系统命令或者用户自定义可执行程序，如果未指定路径则在默认路径下寻找可执行程序），如果需要执行多条命令，建议采用将命令写入脚本执行的方式。 如需要执行的命令如下： exec: command: /install.sh installagent 请在执行脚本中填写: /install installagent。这条命令表示容器创建成功后将执行install.sh。 HTTP请求方式 发起一个HTTP调用请求。配置参数如下： 路径：请求的URL路径，可选项。 端口：请求的端口，必选项。 主机地址：请求的IP地址，可选项，默认是容器所在的节点IP。 停止前处理 步骤 1 登录CCE控制台，在创建工作负载配置生命周期过程中，选择“停止前处理”。 步骤 2 在“停止前处理”后，设置停止前处理的参数，如下表。 停止前处理参数说明 参数 说明 命令行方式 在容器中执行指定的命令，配置为需要执行的命令。命令的格式为Command Args[1] Args[2]…（Command为系统命令或者用户自定义可执行程序，如果未指定路径则在默认路径下寻找可执行程序），如果需要执行多条命令，建议采用将命令写入脚本执行的方式。 如需要执行的命令如下： exec: command: /uninstall.sh uninstallagent 请在执行脚本中填写: /uninstall uninstallagent。这条命令表示容器结束前将执行uninstall.sh。 HTTP请求方式 发起一个HTTP调用请求。配置参数如下： 路径：请求的URL路径，可选项。 端口：请求的端口，必选项。 主机地址：请求的IP地址，可选项，默认是容器所在的节点IP。 容器重启策略 Pod通过restartPolicy字段指定重启策略，重启策略类型为：Always、OnFailure和Never，默认为 Always。 restartPolicy仅指通过同一节点上的kubelet重新启动容器。 重启策略 说明 Always 当容器失效时，由kubelet自动重启该容器。 OnFailure 当容器终止运行且退出码不为0时，由kubelet自动重启该容器。 Never 不论容器运行状态如何，kubelet都不会重启该容器。 说明： 可以管理Pod的控制器有ReplicaSet Controller，Job，DaemonSet，及kubelet（静态Pod）。 RS和DaemonSet：必须设置为Always，需要保证该容器持续运行。 Job：OnFailure或Never，确保容器执行完后不再重启。 kubelet：在Pod失效的时候重启它，不论RestartPolicy设置为什么值，并且不会对Pod进行健康检查。 设置容器生命周期YAML样例 本节以nginx为例，说明kubectl命令设置容器生命周期的方法。 前提条件 请参见通过kubectl操作CCE集群配置kubectl命令，使弹性云主机连接集群。 操作步骤 步骤 1 登录已配置好kubectl命令的弹性云主机。 步骤 2 创建一个名为nginxdeployment.yaml的描述文件。其中，nginxdeployment.yaml为自定义名称，您可以随意命名。 vi nginxdeployment.yaml 在以下配置文件中，您可以看到postStart命令在容器目录/bin/bash下写了个install.sh 命令。 preStop执行uninstall.sh命令。 apiVersion: extensions/v1beta1 kind: Deployment metadata: name: nginx spec: replicas: 1 selector: matchLabels: app: nginx strategy: type: RollingUpdate template: metadata: labels: app: nginx spec: restartPolicy: Always

问题描述 云主机显示的Windows操作系统时间与本地标准时间不一致。 如图所示，操作系统显示的时间与本地标准时间不一致。 可能原因 因网络问题或系统进程干扰，系统时间可能产生偏差，导致与标准时间不符。 处理方式（一） 手动同步系统时间 1. 单击桌面右下角的“更改日期和时间设置”，打开“日期和时间”窗口。 2. 点击“Internet时间”页签。 3. 单击“更改设置”，并选择时间服务器源。默认时间服务器源为: “time.windows.com”。 4. 依次点击“立即更新 > 确定”按钮。 5. 对比Windows系统时间与本地标准时间是否一致。 处理方式（二） 您可以通过修改注册表来调整Windows系统的时间更新频率，具体步骤如下。 1. 快捷键“win+r”打开“运行”对话框，输入“regedit”进入注册表编辑器。 2. 在注册表编辑器中，依次展开以下路径：HKEYLOCALMACHINE > SYSTEM > CurrentControlSet > Services > W32Time > TimeProviders > NtpClient，在 "NtpClient" 下找到 "SpecialPollInterval" 键值。 3. 在"NtpClient" 下找到"SpecialPollInterval" 键值。 4. 设定时间同步周期。 “数值数据”中显示的数字正是自动对时的间隔（以秒为单位），输入您想要的更新频率（单位是秒）。例如，如果您希望系统每隔3600秒（1小时）更新一次时间，您可以输入"3600"。 5. 单击“确定”保存关闭对话框。 6. 配置完成后，打开“命令提示符”窗口（CMD），执行以下命令以刷新组策略并使更改生效： Gpupdate 。 7. 在Internet时间里查看，如下图所示，可见下一次同步计划时间已更新，且同步频率调整为每3600秒一次。

本节是版本升级概述。 云数据库GaussDB提供单个实例和批量实例就地升级、灰度升级、热补丁升级，支持用户手动进行内核版本升级。内核版本升级涉及性能提升、新功能或问题修复等。 如何查看内核版本 当前实例的版本信息可在实例“基本信息”页面，“数据库信息”模块的“数据库引擎版本”处查询。 升级方案介绍 GaussDB提供了多种升级方案： 表 升级方案 升级方式 操作方式 升级类型 适用场景 支持的回退方式 升级对业务的影响 建议的业务措施 热补丁升级 升级自动提交 在线升级 产品问题修复 自动 手动 全程无业务中断。 无。 就地升级 不涉及 离线升级 新功能上线 产品问题修复 自动 就地升级需要暂停业务约30分钟。 升级过程需要全程停止业务。 灰度升级 升级自动提交 在线升级 新功能上线 产品问题修复 自动 在升级主DN和CN的过程中分别会有一次10秒左右的业务中断，提交升级过程中可能会进行主备分布均衡，根据业务量等因素会有不同时长的业务中断。 增加业务重连机制。建议每次重连间隔1s，低压力期间（每分片3000TPS+4000QPS以内）重连总时长25s；可接受高压力期间（每分片6000TPS+10000QPS以内）重连总时长100s；高于可接受的高压力期间不建议升级。 灰度升级 升级待观察（滚动升级） 在线升级 新功能上线 产品问题修复 自动 手动 如果选择升级的AZ内包含主DN，每个主DN的升级会有一次10秒左右业务中断，如果选择升级的AZ内包含CN组件，升级时每个CN就会有一次10秒左右业务中断。 增加业务重连机制。建议每次重连间隔1s，低压力期间（每分片3000TPS+4000QPS以内）重连总时长25s；可接受高压力期间（每分片6000TPS+10000QPS以内）重连总时长100s；高于可接受的高压力期间不建议升级。

本节介绍云容器引擎的最佳实践： 开启控制面过载保护。 简介 容器集群控制面的资源是有限的，如果控制面处理的请求超出资源能力限制，会导致集群性能显著下降，无法正常工作，因此有必要对控制面进行过载保护，以确保控制面稳定性，提高集群的可用性和可靠性。 控制面过载保护策略及触发条件 Kubernetes 1.31.6及以上版本支持集群过载保护功能。 开启集群过载保护功能后，当集群控制平面资源压力较大时，系统将根据负载等级按比例拒绝外部流量，通过减少处理外部请求来缓解系统压力。 集群过载监控 在安装Prometheus插件的集群，查询apisreveroverloadlevel获取集群过载等级，操作指引参见 Prometheus监控指标探索。 指标值对应含义如下： 0: 正常，不拒绝外部流量 1: 轻度过载，拒绝25%外部流量 2: 中度过载，拒绝50%外部流量 3: 重度过载，拒绝75%外部流量 4: 熔断，拒绝所有外部流量 开启或关闭集群控制面过载保护操作步骤 1、订购集群时可选择开启过载保护（默认开启）。 2、创建集群后开启或关闭过载保护。 1）若当前集群未开启过载保护功能，在集群概览页面将会有跳转提示，若无提示说明当前集群已开启过载保护功能，可直接前往配置中心进行修改。 2）点击提示信息跳转到集群配置中心页面，选择开启或关闭过载保护点击“确认配置”。 3）确定更新并等待控制面更新重启完成。 注意 1、专有版集群暂不支持过载保护功能。 2、仅Kubernetes1.31.6及以上版本集群支持过载保护功能。 3、开启或关闭过载保护功能会导致控制面重启，期间会导致服务短暂不可用，请在业务低峰期时进行。

本节介绍了云数据库GaussDB 的参数调优建议。 数据库参数是数据库系统运行的关键配置信息，设置不合适的参数值可能会影响业务。本文列举了一些重要参数说明，更多参数详细说明，请参考“导出参数”，将参数导出后查看。 通过控制台界面修改参数值，请参见查看和修改实例参数。 查询 trackstmtsessionslot 作用：设置一个session缓存的最大的全量/慢SQL的数量。 影响：缓存的SQL定期会被写入到系统表，如果业务量很大，超过这个数量语句执行将不会被跟踪，直到落盘线程将缓存语句落盘，留出空闲的空间，但不影响SQL的执行。 effectivecachesize 作用：设置节点优化器在一次单一的查询中可用的磁盘缓冲区的有效大小。设置这个参数，还要考虑的共享缓冲区以及内核的磁盘缓冲区。另外，还要考虑预计的在不同表之间的并发查询数目，因为它们将共享可用的空间。这个参数对分配的共享内存大小没有影响，它也不会使用内核磁盘缓冲，它只用于估算。数值是用磁盘页来计算的，通常每个页面是8192字节。 取值范围：整型，1～INTMAX，单位为8KB。 影响：比默认值高的数值可能会导致使用索引扫描，更低的数值可能会导致选择顺序扫描。 enablestreamoperator 控制优化器对stream的使用。当该参数关闭时，可能会有大量关于计划不能下推的日志记录到日志文件中。 logmindurationstatement 作用：当某条语句的持续时间大于或者等于特定的毫秒数时，记录每条完成语句的持续时间。设置logmindurationstatement可以很方便地跟踪需要优化的查询语句。对于使用扩展查询协议的客户端，语法分析、绑定、执行每一步所花时间被独立记录。 影响：设置过低的阈值可能影响负载吞吐，1表示关闭此功能。

本文主要 介绍 CCE发布Kubernetes 1.17版本说明。 云容器引擎（CCE）严格遵循社区一致性认证。本文介绍CCE发布Kubernetes 1.17版本所做的变更说明。 资源变更与弃用 apps/v1beta1和apps/v1beta2下所有资源不再提供服务，使用apps/v1替代。 extensions/v1beta1下daemonsets、deployments、replicasets不再提供服务，使用apps/v1替代。 extensions/v1beta1下networkpolicies不再提供服务，使用networking.k8s.io/v1替代。 extensions/v1beta1下podsecuritypolicies不再提供服务，使用policy/v1beta1替代。 extensions/v1beta1 ingress v1.20版本不再提供服务，当前可使用networking.k8s.io/v1beta1。 scheduling.k8s.io/v1beta1 and scheduling.k8s.io/v1alpha1下的PriorityClass计划在1.17不再提供服务，迁移至scheduling.k8s.io/v1。 events.k8s.io/v1beta1中event series.state字段已废弃，将在1.18版本中移除。 apiextensions.k8s.io/v1beta1下CustomResourceDefinition已废弃，将再1.19不在提供服务，使用apiextensions.k8s.io/v1。 admissionregistration.k8s.io/v1beta1 MutatingWebhookConfiguration和ValidatingWebhookConfiguration已废弃，将在1.19不在提供服务，使用admissionregistration.k8s.io/v1替换。 rbac.authorization.k8s.io/v1alpha1 and rbac.authorization.k8s.io/v1beta1被废弃，使用rbac.authorization.k8s.io/v1替代，v1.20会正式停止服务。 storage.k8s.io/v1beta1 CSINode object废弃并会在未来版本中移除。 其他废弃和移除 移除OutOfDisk node condition，改为使用DiskPressure。 scheduler.alpha.kubernetes.io/criticalpod annotation已被移除，如需要改为设置priorityClassName。 beta.kubernetes.io/os和beta.kubernetes.io/arch在1.14版本中已经废弃，计划在1.18版本中移除。 禁止通过nodelabels设置kubernetes.io和k8s.io为前缀的标签，老版本中kubernetes.io/availablezone该label在1.17中移除，整改为failuredomain.beta.kubernetes.io/zone获取AZ信息。 beta.kubernetes.io/instancetype被废弃，使用node.kubernetes.io/instancetype替代。 移除{kubeletrootdir}/plugins路径。 移除内置集群角色system:csiexternalprovisioner和system:csiexternalattacher。

本节介绍SMB协议的文件存储如何挂载到Windows系统的边缘虚拟机上。 操作场景 当创建文件存储后，您需要使用边缘虚拟机来挂载该文件存储，以实现多个边缘虚拟机共享使用文件存储的目的。 本章节以Windows Server 2019操作系统为例进行SMB协议的文件存储的挂载。 同一文件存储不能同时支持NFS协议和SMB协议。 前提条件 在需要操作的地域创建虚拟私有云VPC。 已创建该VPC下的边缘虚拟机，以下将以操作系统为 Windows Server 2019 的边缘虚拟机为例。 已创建该VPC下的文件存储，协议类型为SMB，并获取到文件存储的挂载点名称。 如果需要跨VPC访问文件存储，需要配置对等连接以确保VPC网络互通。 操作步骤 1. 登录ECX控制台。 2. 点击【边缘虚拟机>实例】，进入边缘虚拟机界面，找到即将执行挂载操作的边缘虚拟机所在行。 3. 点击“登录”，使用VNC方式登录已创建好的Windows Server 2019的边缘虚拟机。 4. 对于Windows Server 2016以上的系统，需要配置允许客户端匿名访问，在命令行工具中执行以下命令。 REG ADD HKEYLOCALMACHINESYSTEMCurrentControlSetservicesLanmanWorkstationParameters /f /v AllowInsecureGuestAuth /t REGDWORD /d 1 5. 鼠标移到桌面左下角，右键点击“Windows徽标”按钮，点击打开“文件资源管理器”。 6. 在文件资源管理器的左侧栏找到“此电脑”，右键单击“此电脑”，选择“映射网络驱动器”。 7. 在弹出的对话框中输入文件存储的挂载点名称，即文件存储服务ip路径。 8. 单击“完成”。 9. 挂载成功后，已挂载的文件存储将显示在“此电脑”的网络位置中，您可以像使用普通文件存储一样进行创建、修改或删除文件。

此小节介绍什么是企业主机安全。 企业主机安全服务（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机安全、容器安全和网页防篡改，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。 HSS不受地理位置影响，为主机、容器等提供统一的可视化和控制能力。 HSS通过对主机、容器进行系统完整性的保护、应用程序控制、行为监控和基于主机的入侵防御等，保护工作负载免受攻击。 主机安全 主机安全是提升主机整体安全性的服务，通过主机管理、风险预防、入侵检测、高级防御、安全运营、网页防篡改功能，全面识别并管理主机中的信息资产，实时监测主机中的风险并阻止非法入侵行为，帮助企业构建服务器安全体系，降低当前服务器面临的主要安全风险。 在主机中安装Agent后，您的主机将受到HSS云端防护中心全方位的安全保障，在安全控制台可视化界面上，您可以统一查看并管理同一区域内所有主机的防护状态和主机安全风险。 企业主机安全服务的工作原理如图所示。 企业主机安全服务的组件功能及工作流程说明如下： 组件功能及工作流程说明 组件 说明 管理控制台 可视化的管理平台，便于您集中下发配置信息，查看在同一区域内主机的防护状态和检测结果。 HSS云端防护中心 使用AI、机器学习和深度算法等技术分析主机中的各项安全风险。 集成多种杀毒引擎，深度查杀主机中的恶意程序。 接收您在控制台下发的配置信息和检测任务，并转发给安装在服务器上的Agent。 接收Agent上报的主机信息，分析主机中存在的安全风险和异常信息，将分析后的信息以检测报告的形式呈现在控制台界面。 Agent Agent通过HTTPS和WSS协议与HSS云端防护中心进行连接通信，默认端口：10180。 每日凌晨定时执行检测任务，全量扫描主机；实时监测主机的安全状态；并将收集的主机信息（包含不合规配置、不安全配置、入侵痕迹、软件列表、端口列表、进程列表等信息）上报给云端防护中心。 根据您配置的安全策略，阻止攻击者对主机的攻击行为。 如果未安装Agent或Agent状态异常，您将无法使用主机安全服务。 根据操作系统版本选择对应的安装命令/安装包进行安装。 网页防篡改、容器安全与主机安全共用同一个Agent，您只需在同一主机安装一次。

本章节主要介绍翼MapReduce的配置队列操作。 操作场景 根据业务需求，管理员可以在FusionInsight Manager修改指定租户的队列配置。 前提条件 已添加使用Superior调度器的租户。 操作步骤 1. 在FusionInsight Manager，单击“租户资源”。 2. 单击“动态资源计划”页签。 3. 单击“队列配置”页签。 4. “集群”参数选择待操作的集群名称，然后指定租户资源名的“操作”列，单击“修改”。 说明 l 在“租户资源管理”页签左侧租户列表，单击目标的租户，切换到“资源”页签，单击“队列配置（队列名）”后面的也能打开修改队列配置页面。 l 一个队列只能绑定一个非default资源池。 l 对于“每个YARN容器最多分配核数”、“每个YARN容器最大分配内存（MB）”、“最多运行任务数”、“每个用户最多运行任务数”和“最多挂起任务数”等参数，为便于操作，当子租户值为1时，父租户值可以设置为具体限制值；当父租户设置为具体限制值时，子租户可以设置为1。 l “每个YARN容器最多分配核数”和“每个YARN容器最大分配内存（MB）”需要同时修改为非1的值才会生效。 队列配置参数 参数名 描述 AM最多占有资源（%） 表示当前队列内所有Application Master所占的最大资源百分比。 每个YARN容器最多分配核数 表示当前队列内单个YARN容器可分配的最多核数，默认为1，表示取值范围内不限制。 每个YARN容器最大分配内存（MB） 表示当前队列内单个YARN容器可分配的最大内存，默认为1，表示取值范围内不限制。 最多运行任务数 表示当前队列最多同时可执行任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。取值范围为1～2147483647。 每个用户最多运行任务数 表示每个用户在当前队列中最多同时可执行任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。取值范围为1～2147483647。 最多挂起任务数 表示当前队列最多同时可挂起任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可挂起任务。取值范围为1～2147483647。 资源分配规则 表示单个用户任务间的资源分配规则，包括FIFO和FAIR。一个用户若在当前队列上提交了多个任务，FIFO规则代表一个任务完成后再执行其他任务，按顺序执行。FAIR规则代表各个任务同时获取到资源并平均分配资源。 默认资源标签 表示在指定资源标签（Label）的节点上执行任务。 Active状态 ACTIVE表示当前队列可接受并执行任务。 INACTIVE表示当前队列可接受但不执行任务，若提交任务，任务将处于挂起状态。 Open状态 OPEN表示当前队列处于打开状态。 CLOSED表示当前队列处于关闭状态，若提交任务，任务直接会被拒绝。 故障时是否队列迁移 集群开启单集群跨AZ高可用时，如果AZ故障后，需要当该租户正在运行的队列重新提交至其他AZ，可设置“故障时是否队列迁移”参数为“是”。 5. 单击“确定”完成配置。

本章节主要介绍翼MapReduce服务如何导入导出数据。 用户通过“文件管理”页面可以在分析集群进行文件夹创建、删除，文件导入、导出、删除操作，暂不支持文件创建功能。流式集群暂不支持在界面使用“文件管理”功能。开启Kerberos认证的集群中，根目录下的文件夹有权限限制，如需对其进行读写，请参考创建角色内容添加拥有对应文件夹权限的角色，再请参考相关任务修改提交作业用户所属的用户组，将新增的组件角色加入到该用户组中。 背景信息 MRS集群处理的数据源来源于OBS或HDFS，HDFS是Hadoop分布式文件系统（Hadoop Distributed File System），OBS即对象存储服务，是一个基于对象的海量存储服务，为客户提供海量、安全、高可靠、低成本的数据存储能力。MRS可以直接处理OBS中的数据，客户可以基于管理控制台Web界面和OBS客户端对数据进行浏览、管理和使用，同时可以通过REST API接口方式单独或集成到业务程序进行管理和访问数据。 用户创建作业前需要将本地数据上传至OBS系统，MRS使用OBS中的数据进行计算分析。当然MRS也支持将OBS中的数据导入至HDFS中，使用HDFS中的数据进行计算分析。数据完成处理和分析后，您可以将数据存储在HDFS中，也可以将集群中的数据导出至OBS系统。需要注意，HDFS和OBS也支持存储压缩格式的数据，目前支持存储bz2、gz压缩格式的数据。 导入数据 MRS目前只支持将OBS上的数据导入至HDFS中。上传文件速率会随着文件大小的增大而变慢，适合数据量小的场景下使用。 支持导入文件和目录，操作方法如下： 1. 登录MRS管理控制台。 2. 选择“集群列表 > 现有集群”，选中一集群并单击集群名进入集群信息页面。 3. 单击“文件管理”，进入“文件管理”页面。 4. 选择“HDFS文件列表”。 5. 进入数据存储目录，如“bdapp1”。 “bdapp1”目录仅为示例，可以是界面上的任何目录，也可以通过“新建”创建新的文件夹。 新建文件夹时需要满足以下要求： 文件夹名称小于等于255字符。 不允许为空。 不能包含 : /:?"<>;&,'!{}[]$%+特殊字符。 不能以“.”开头或结尾。 开头和末尾的空格会被忽略。 6. 单击“导入数据”，正确配置HDFS和OBS路径。配置OBS或者HDFS路径时，单击“浏览”并选择文件目录，然后单击“是”。 OBS路径 必须以“obs://”开头。 不支持导入KMS加密的文件或程序。 不支持导入空的文件夹。 目录和文件名称可以包含中文、字母、数字、中划线和下划线，但不能包含;&>, ,<'$?:特殊字符。 目录和文件名称不能以空格开头或结尾，中间可以包含空格。 HDFS全路径长度小于等于255字符。 7. 单击“确定”。 文件上传进度可在“文件操作记录”中查看。MRS将数据导入操作当做Distcp作业处理，也可在“作业管理”中查看Distcp作业是否执行成功。

SSL证书或证书管理服务到期前30天,天翼云将会自动为您续期证书。对于手动验证域名的证书,您需及时验证域名。 约束与限制 手动DNS验证的域名解析只能在您的域名管理平台上进行操作，具体的解析方法以域名服务商提供的解析方法为准。 前提条件 绑定的域名须做实名认证，如果未做实名认证，请前往您的域名服务商处完成域名实名认证。 获取域名验证信息 1. 登录证书管理服务控制台。 2. 选择需要进行域名验证（“状态/申请进度”为“申请审核中待域名验证”）的证书，单击“操作”列的“证书验证”。 3. 在证书验证页面，查看并记录解析记录的记录类型 、主机记录 和记录值。 在天翼云云解析服务器上进行DNS验证 1. 下面以天翼云解析为例，演示为域名添加DNS解析记录过程。如果您域名对应的DNS域名解析服务不在天翼云，请您前往域名对应的DNS域名解析商添加解析记录。 1. 使用域名持有者所在的天翼云账号，登录云解析服务管理控制台。 2. 在需要添加DNS解析记录的域名记录操作列，单击“解析设置”。 3. 在添加记录面板，将域名认证获取到的验证信息进行添加，填写规则参见下表。 参数 填写说明 主机记录 证书的验证信息对话框，域名服务商返回的“主机记录”。 记录类型 证书的验证信息对话框，域名服务商返回的“记录类型”。 线路类型 选择“默认”。 记录值 证书的验证信息对话框，域名服务商返回的“记录值”。 MX优先级 TTL 选择默认值，不作修改。 4. 单击“√”完成记录添加。 2. 成功配置解析记录后，等待CA中心对DNS验证信息进行审核，审核通过后，证书变为“已签发”状态。

资源 默认限制 一个账号在单地域可创建的经典型（免费）负载均衡数量（个） 1（经典型负载均衡同VPC内多实例性能共享，无性能保障。如用于生产业务，建议选择性能保障型实例。性能保障型未上线的地域，建议联系您的客户经理，由天翼云工程师评估后为您调整配额） 一个账号在单地域可创建性能保障型负载均衡数量（个） 20（可开工单评估提升配额） 一个负载均衡实例可添加的监听器数量（个） 30（可开工单评估提升配额） 一个监听器/转发策略可关联的后端主机组数量（个） 1（不支持调整） 一个后端主机组可关联的监听器/转发策略数量（个） 1（不支持调整） 一个负载均衡实例的后端主机组可添加的云主机类型的后端主机数量（个） 100（可开工单评估提升配额） 一个账号在单地域可添加的跨VPC后端IP类型的后端主机数量（个） 100（可开工单评估提升配额） 一个负载均衡实例中的监听器可选择的端口范围 165535（不支持调整） 一个监听器可设置的访问策略组数量（个） 1（不支持调整） 一个监听器可设置的扩展域名数量（个） 3（不支持调整） 一个账号在单地域可创建的后端主机组数量（个） 100（可开工单评估提升配额） 一个账号在单地域可创建的访问策略组数量（个） 20（可开工单评估提升配额） 一个访问策略组可包含的地址段数量（个） 50（可开工单评估提升配额。仅集群模式资源池支持调整，主备、集群模式资源池列表见 一个账号在单地域可创建的证书数量（个） 10（可开工单评估提升配额）

SSL证书或证书管理服务到期前30天,天翼云将会自动为您续期证书,请配合天翼云验证域名。 约束与限制 手动DNS验证的域名解析只能在您的域名管理平台上进行操作，具体的解析方法以域名服务商提供的解析方法为准。 前提条件 绑定的域名须做实名认证，如果未做实名认证，请前往您的域名服务商处完成域名实名认证。 获取域名验证信息 1. 登录证书管理服务控制台。 2. 选择需要进行域名验证（“状态/申请进度”为“申请审核中待域名验证”）的证书，单击“操作”列的“证书验证”。 3. 在证书验证页面，查看并记录解析记录的记录类型 、主机记录 和记录值。 在天翼云云解析服务器上进行DNS验证 1. 下面以天翼云解析为例，演示为域名添加DNS解析记录过程。如果您域名对应的DNS域名解析服务不在天翼云，请您前往域名对应的DNS域名解析商添加解析记录。 1. 使用域名持有者所在的天翼云账号，登录云解析服务管理控制台。 2. 在需要添加DNS解析记录的域名记录操作列，单击“解析设置”。 3. 在添加记录面板，将域名认证获取到的验证信息进行添加，填写规则参见下表。 参数 填写说明 主机记录 证书的验证信息对话框，域名服务商返回的“主机记录”。 记录类型 证书的验证信息对话框，域名服务商返回的“记录类型”。 线路类型 选择“默认”。 记录值 证书的验证信息对话框，域名服务商返回的“记录值”。 MX优先级 TTL 选择默认值，不作修改。 4. 单击“√”完成记录添加。 2. 成功配置解析记录后，等待CA中心对DNS验证信息进行审核，审核通过后，证书变为“已签发”状态。