本文为您介绍将网站域名接入Web应用防火墙（原生版）实例时，证书配置相关的常见问题。 为什么需要导入证书？ 证书主要指HTTPS访问请求所使用的证书，通过使用HTTPS证书能够保证用户请求的安全性。 证书的主要原理是，用户请求通过第三方颁发的可信证书中的公钥对会话进行加密和签名，从而保证用户本身的信息以及用户所访问服务器的可信性，服务器端接收到用户通过公钥加密发送的请求和签名后，再通过私钥进行解密，从而验证用户本身的可信性。 WAF需要导入所防护域名的证书和私钥，从而完成对客户请求的认证，以及通过HTTPS的安全请求方式将用户的请求转发回源站。故在使用过程中，需要Web业务管理员将Web服务的证书及对应的私钥导入到WAF中，从而实现客户对Web业务的安全访问。 配置泛域名时，如何选择证书？ 域名和证书需要一一对应，泛域名只能使用泛域名证书。如果您没有泛域名证书，只有单域名对应的证书，则只能在WAF中按照单域名的方式逐条添加域名进行防护。 并且泛域名与证书必须是同级匹配，例如您的泛域名是.b.ctyun.cn，则泛域名证书必须为.b.ctyun.cn，不能是.ctyun.cn或.a.b.ctyun.cn。 如何更新已绑定域名的证书？ 1. 登录Web应用防火墙（原生版）管理控制台。 2. 在左侧导航栏选择“域名接入”，进入域名列表页。 3. 定位到需要更新证书的域名，单击操作列的“详情”，进入域名详情页。 4. 单击“协议及端口”后的“设置”，在弹出的对话框中点击“证书更新”，即可重新填写证书内容或上传新的证书文件。

物理专线参数 中国电信物理专线的主要参数说明如下： 参数项 参数说明 名称 物理专线的标识名称，各地分公司因产品类型等定义规则不同，物理专线名称不同。 业务状态 物理专线的业务状态，有“开通中”、“待缴费”、“正常”等，例如： 1、“开通中”表示物理专线没有绑定专线网关，接入点云端口没有网络配置。 2、“待缴费”表示物理专线已完成绑定专线网关，接入点云端口已存在网络配置，此时云端口限速810kb。请及时订购或联系客户经理协助完成订购缴费。 3、“正常”表示物理专线业务状态正常，接入点云端口的限速已解除，并恢复至开通带宽的数值。 云端口带宽 购买的云端口带宽速率。1G1000M。 创建时间 此专线创建完成的时间。 到期时间 此专线订购后的到期时间。

本文为您介绍租户集群为天翼云原生集群的集群组件安装步骤。 开通容器安全卫士实例后，需要通过安装Sever/Agent将您要防护的集群、节点接入到平台中 ，用来采集集群、节点、容器等资产信息，包运行状态、命令、文件、网络等，进行安全检测和防护。 注意事项 集群组件在运行时会挂载k8s node宿主机的/data（非crio）和/root（crio）目录，请确保目录的权限正常。 请确保您的k8s集群允许出网策略TCP端口：31080、30432、32345。 前提条件 已购买容器安全卫士。 操作步骤 1. 进入容器安全卫士产品控制台。 2. 在左侧导航栏选择“安装配置 > 组件安装”，进入组件安装页面。 3. 单击“集群组件部署”，进入部署脚本页面。 4. 选择集群类型，天翼云原生集群选择“是”；选择集群所在的区域；选择集群。 5. 单击“立即部署”。 部署成功 前往“安装配置 > 运行状态”查看具体部署情况。 部署成功后，sever将租户信息上报至数据库，与项目信息进行关联展示。

本节为您介绍如何同步最新的服务器资产信息。 系统默认每天01:00自动同步服务器资产信息，您可以根据需要修改自动同步周期，或手动执行同步资产操作。 手动同步资产 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“资产管理 > 服务器列表”，进入服务器列表页面。 3. 单击右上角“同步资产”，系统会立即获取最新的服务器资产信息，更新服务器列表。 自动同步资产周期设置 系统默认每天01:00自动同步服务器资产信息，您可以根据需要修改同步周期，同步周期支持12小时和24小时。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“设置中心 > 安全配置”，选择“系统设置”页签，进入同步资产设置页面。 3. 选择自动同步资产周期。 1. 12小时：每天01:00、13:00自动同步服务器资产信息。 2. 24小时：每天01:00自动同步服务器资产信息。

参数 描述 源库类型 选择ECS自建库。 VPC 源数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。子网在可用分区内才会有效，创建源数据库实例的子网需要开启DHCP功能，在创建过程中也不能关闭已选子网的DHCP功能。 IP地址或域名 源数据库的IP地址或域名。 端口 源数据库服务端口，可输入范围为1~65535间的整数。 数据库用户名 源数据库的用户名。 数据库密码 源数据库的用户名所对应的密码。 SSL安全连接 通过该功能，用户可以选择是否开启对迁移链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不使用SSL证书，请自行承担数据安全风险。

产品功能 单机实例 主备实例 节点数 1 2 监控与告警 支持 支持 安全组 支持 支持 备份与恢复 支持 支持 参数设置 支持 支持 SSL 支持 支持 日志管理 支持 支持 只读实例（需另建实例） 支持 支持 主备库切换 不支持 支持 手动主备切换 不支持 支持 实例规格变更 支持 支持

本文内容主要介绍通过公网连接副本集实例 操作场景 本章介绍如何在控制台创建副本集实例，以及购买后如何设置安全组、绑定弹性公网IP，并通过公网连接副本集实例。 使用流程 初次创建实例到可以开始使用实例，您需要完成如下操作： 公网访问数据库实例

产品功能 单机实例 主备实例 节点数 1 2 监控与告警 支持 支持 安全组 支持 支持 备份与恢复 支持 支持 参数设置 支持 支持 SSL 支持 支持 日志管理 支持 支持 只读实例（需另建实例） 支持 支持 主备库切换 不支持 支持 手动主备切换 不支持 支持 实例规格变更 支持 支持

集群升级 为了方便您体验新特性、规避已知漏洞/问题，使用安全、稳定、可靠的Kubernetes版本，建议您定期升级CCE集群。CCE集群版本EOS之后，您将无法获得相应的技术支持以及CCE服务SLA保障，请您务必及时升级CCE集群。 您可以通过云容器引擎管理控制台，轻松实现对Kubernetes版本的可视化升级，提升集群业务的稳定性和可靠性。

产品功能 单机实例 主备实例（集群版同样为主备） 节点数 1 2 监控与告警 支持 支持 安全组 支持 支持 备份与恢复 支持 支持 参数设置 支持 支持 SSL 支持 支持 日志管理 支持 支持 只读实例（需另建实例） 支持 支持 主备库切换 不支持 支持 手动主备切换 不支持 支持 实例规格变更 支持 支持

安装UVP VMTools 以使用“vmtoolsWIN2008R2x64.zip”解压得到的“vmtoolsWIN2008R2x64.exe”安装程序为例介绍安装Tools的步骤。 1. VNC登录Windows云主机。 登录云主机的详细操作请参见《弹性云主机用户指南》。 说明： 必须通过VNC方式登录云主机，不可使用远程桌面登录方式，因为安装时会更新网卡驱动，远程桌面登录时网卡正在使用，从而导致安装不成功。 2. 根据上文“相关软件及获取方式”和云主机的操作系统类型下载对应的UVP VMTools版本。 3. 解压UVP Tools软件包。以使用“vmtoolsWIN2008R2x64.zip”解压得到的“vmtoolsWIN2008R2x64.exe”安装程序为例。 4. 右键单击“vmtoolsWIN2008R2x64.exe”，并选择“以管理员身份运行”，根据界面提示完成安装。 5. 当弹出安装提示窗口时，勾选“I accept the terms in the License Agreement”，单击“Install”。 安装提示 6. 按提示框进行工具安装，如下所示。 7. Windows 2008安装步骤为： a. 安装过程中可能会弹出Windows安全对话框，如下图，请勾选“Always trust...”，单击“Install”，否则将导致安装失败。 windows安全 b. 然后单击“Finish”。 8. 请执行验证安装成功，验证UVP VMTools是否安装成功。

本文主要介绍手工搭建LAMP环境(CentOS 7.8 PHP7.0)。 简介 LAMP是由Linux、Apache、MySQL和PHP建立的web应用平台。 本文主要介绍了在天翼云上如何使用弹性云主机的Linux实例手工搭建LAMP平台的web环境。该指导具体操作以CentOS 7.8 64位操作系统为例。 前提条件 1、弹性云主机已绑定弹性公网IP。 2、弹性云主机所在安全组添加了如下表所示的安全组规则 方向 协议/应用 端口/范围 源地址 入方向 HTTP(80) 80 0.0.0.0/0 资源规划 本次实践所用的资源配置及软件版本如下表中所示。当您使用不同的硬件规格或软件版本时，本指导中的命令及参数可能会发生改变，需要您根据实际情况进行调整。 资源 资源说明 成本说明 弹性云主机 计费模式：按需计费 规格：c7n.large.2 镜像：CentOS 7.8 64bit 系统盘：40G 弹性公网IP：自动分配 公网带宽：按流量计费 带宽大小：5 Mbit/s ECS涉及以下几项费用： · 云主机 · 云硬盘 · 弹性公网IP Apache 是一个开放源码的Web服务器。 免费 MySQL 是一款开源的关系数据库软件。获取方式：< 免费 PHP 是一款开源软件，用于Web开发。获取方式：< 免费

本章节主要介绍ALM14019 DataNode非堆内存使用率超过阈值的告警。 告警解释 系统每30秒周期性检测HDFS DataNode非堆内存使用率，并把实际的HDFS DataNode非堆内存使用率和阈值相比较。HDFS DataNode非堆内存使用率指标默认提供一个阈值范围。当HDFS DataNode非堆内存使用率超出阈值范围时，产生该告警。 用户可通过“运维 > 告警 > 阈值设置 > 待操作集群的名称 > HDFS”修改阈值。 当HDFS DataNode非堆内存使用率小于或等于阈值时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 14019 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 HDFS DataNode非堆内存使用率过高，会影响HDFS的数据读写性能。 可能原因 HDFS DataNode配置的非堆内存不足。 处理步骤 清除无用文件 1.以root用户登录HDFS客户端。执行cd命令进入客户端安装目录，然后执行 source bigdataenv 。 如果集群采用安全版本，要进行安全认证。 2.执行hdfs dfs rm r 文件或目录路径命令，确认删除无用的文件。 3.检查本告警是否恢复。 是，处理完毕。 否，执行步骤4。

数据库实例绑定公网IP与网络安全策略的配置流程 申请公网IP并绑定到ECS实例。 具体可参考天翼云ECS绑定公网IP相关文档绑定弹性公网IP。 ECS实例与目标数据库实例的网络ACL和安全组配置。 具体可参考同VPC通过VPC网络接入天翼云文档，区别的点是放通ECS实例的公网IP和DTS实例的公网IP。 数据库添加白名单。 自建数据库需要添加【DTS实例的配置流程】中配置的公网IP远程访问数据库的权限。不同类型的数据库添加白名单的方法可能不一样，具体可参考各数据库官方文档进行操作。

云产品 应用场景 描述 相关操作 虚拟专用网络VPN 使用公网低成本连接VPC与本地IDC 基于Internet使用加密隧道将VPC与本地数据中心连接起来。 具备成本低、配置简单、即开即用等优点。但它的网络质量依赖Internet。 通过VPN连接VPC，（路径文档VPN最佳实践通过VPN连接云下数据中心与云上VPC） 云专线 铺设物理专线高质量连接VPC与本地IDC 使用物理专线将VPC与本地数据中心连接起来。具备低时延、 高安全、专用等优点。适用对网络传输质量和安全等级要求较高的场景 。 通过用户专线访问多个VPC，（路径：文档云专线最佳实践通过用户专线访问多个VPC）

数据库实例绑定公网IP与网络安全策略的配置流程 申请公网IP并绑定到源数据库实例。 具体可参考天翼云数据库绑定公网IP相关文档绑定和解绑弹性公网IP。 源数据库实例与目标数据库实例的网络ACL和安全组配置。 具体可参考同VPC通过VPC网络接入天翼云文档，区别的点是放通源数据库实例的公网IP和DTS实例的公网IP。 数据库添加白名单。 数据库需要添加【DTS实例的配置流程】中配置的公网IP远程访问数据库的权限。不同类型的数据库添加白名单的方法可能不一样，具体可参考各数据库官方文档进行操作。

日志下载步骤 1. 登录边缘安全加速控制台，选择【边缘接入】控制台。 2. 进入【运营管理】【日志服务】【离线日志】页面。 3. 筛选对应域名/实例，选择时间后，单击下载对应域名/实例的日志。默认支持近30天的日志下载，同时支持单个日志下载和批量下载。 单日志下载：选中单个域名后面的文件下载键进行单个日志文件下载。 批量下载：第一列选中多个域名，并点击【批量下载】可进行批量日志下载。

本文通过图文说明证书查看路径和证书详情。 功能介绍 客户完成证书新增后，可通过客户控制台界面查看已添加的证书及其详细信息，包括：证书备注名、通用名称、创建时间、证书品牌、有效期、已绑定域名等等。 操作步骤 1.登录边缘安全加速平台控制台。 2.在【域名】【证书管理】【AOne 证书管理】页面，可以看到证书列表，含历史添加过的所有证书。 3.选定目标证书，在操作列单击“详情”，即可查看证书详情信息。

本小节介绍安全专区云堡垒机映射端口策略配置。 配置方法： 新增资产，点击【资产管理】→【资产管理】→【新增】，如下图为Windows模板进行配置： 注意 红为必填项 资产名称：根据实际网络、设备自定义取名； 系统类型：按业务服务器选择； IP地址段：填写业务服务器的私有IP地址； 资产类别：此处选择服务器； 资产IP：此处填写需要增加资产的实际IP。 通过"查询"按钮可以快速的查询当前已添加的资产。

本节介绍如何提升登录口令的安全性以及常见系统登录口令的修改方法。 随着互联网信息化进程的不断加深，用户服务器上运行的应用服务不断增加，而大多数服务都使用账户+口令的方式进行鉴权。黑客常以暴力破解的方式去尝试登录暴露在公网上的服务，如果您设置为弱口令登录，黑客可能会非法登录您的服务器，窃取服务器数据或破坏服务器。因此，定时检查服务器中存在的弱口令问题，并及时修改为强口令对服务器安全至关重要。 弱口令带来的危害 在服务器系统中使用弱口令可能会造成以下危害： 普通账户使用的弱口令可能会被猜解或被破解工具破解，从而泄露个人隐私信息，甚至造成财产损失。 系统管理员账户弱口令可能会导致整个系统被攻击、数据库信息被窃取、业务系统瘫痪，造成所有用户信息的泄露和巨大的经济损失，甚至可能引发群体性的网络安全危害事件。 如何避免设置弱口令 服务器安全卫士提供系统弱口令和应用弱口令两类弱口令检测，可帮您快速发现主机中存在的弱口令风险，详细操作参见弱口令检测。 若检测出弱口令，可按以下规则设置复杂口令： 密码长度不少于8位 包含大小写字母、数字及特殊字符 密码不包含用户名 密码中不含连续的字母或数字 并且建议您每隔3个月更改一次口令。

本小节介绍服务器安全卫士的功能使用。 Agent安装完成后，您可使用服务器安全卫士相关功能。 1.您可以在资产清点页面，查看对应操作系统服务器资产清点信息，包括：账号、进程、端口、web服务、数据库等信息。 2.您可以在风险发现总览界面，查看您 服务器风险概览情况 ，包括风险项统计、风险分布、风险趋势等。 3.您可以在风险发现下， 使用安全补丁、漏洞检测、弱密码检查、应用风险、系统风险、账号风险功能 。支持从风险维度和主机维度两种视图下，查看风险信息。 安全补丁：对安全补丁进行周期性自动检测，提供详细补丁说明和修复方案。 漏洞检测：精准本地分析漏洞，包含精准POC探测和版本漏洞探测；支持CVSS等漏洞信息详细描述，支持漏洞修复影响检查；提供命令级漏洞修复建议。 弱密码检查：弱口令自动检测，自动匹配账号名相关易猜解密码，支持弱口令字典自定义。 应用风险：检测Linux关键攻击路径上常用应用的配置型风险。 系统风险：检测linux上由于系统配置的产生的安全风险 账号风险：检测linux系统中的由于账号的配置产生的安全风险。 4.您可以在入侵检测下， 使用暴力破解、异常登录、反弹shell、本地提权、后门检测、Web后门、可疑操作、Web命令执行功能 。 暴力破解：实时监控主机上发生的爆破行为，并提供封停爆破来源IP的能力，支持自动封停和手动封停，可设置白名单。 异常登录：实时异常登录监控，发现异常IP、区域、时间等的异常登录，在使用前，必须先设置正常登录规则，否则异常登录功能不起作用，无法进行监控。支持封停和解封。 反弹shell：实时监控主机上反向连接的行为，并提供详细的攻击记录，支持设置白名单规则，支持对反弹shell行为进行阻断。 本地提权：支持实时进程提权监测，支持进程提权过程详细记录。 后门检测：精准发现系统内后门程序，提供详细后门程序分析报告与修复建议。 Web后门：多维度Web后门识别，支持规则匹配、相似度匹配、沙箱检测、模式分析引擎检测等多种机制检测，具备实时监测能力。 可疑操作：实时对Bash命令进行审计，发现可疑的黑客操作，支持自定义审计规则 Web命令执行：能够发现Web RCE和进程异常的执行事件 5.您可以在病毒查杀下， 设置查杀引擎和处置方式 ，支持对单台或多台服务器产生的病毒进行自动处置和手动处置。 6.您可以在合规基线下，根据等保、CIS的基线要求 设置基线检查任务 ，支持定时检查，可导出检查结果。

本页介绍了 connect failed 连接报错的处理方法。 问题描述 使用客户端连接文档数据库服务实例时报错 "Authentication failed", 使用的连接命令如下： mongo "mongodb://root: @ , /admin?authSourceadmin&replicaSet " 报错信息如下： 20230719T12:42:13.281+0800 W NETWORK [js] Unable to reach primary for set DDS 20230719T12:42:13.281+0800 I NETWORK [js] Cannot reach any nodes for set DDS. Please check network connectivity and the status of the set. This has happened for 2 checks in a row. 20230719T12:42:13.284+0800 E QUERY [js] Error: connect failed to replica set DDS/ : , : : connect@src/mongo/shell/mongo.js:257:13 @(connect):1:6 exception: connect failed 原因分析 从报错信息来看，是客户端到文档数据库服务之间的网络访问不通导致的。 可能的原因有： 文档数据库服务实例的端口错误，不可用。 文档数据库服务实例与客户端云主机不在同一个区域或子网。 服务端开启了 SSL 模式，但是客户端没有使用 SSL 模式访问。 处理方法 1. 检查文档数据库服务实例与ECS是否在同一个区域、同一个安全组和子网内。 首先登录文档数据库服务控制台，单击实例名称，在基本信息页面查看文档数据库服务实例所在的区域、VPC、安全组和子网信息。然后弹性云服务器控制台，单击云服务器名称，在基本信息页面，查看当前云主机所在的区域、VPC、安全组和子网信息。确保 2 者的配置信息相同。 2. 检查实例的端口是否正确，并通过 curl/telnet 命令检查端口是否可用。 登录到文档数据库服务控制台，单机实例名称，在基本信息页面查看实例的 IP 和端口信息，然后使用 curl 或者 telnet 命令测试端口的连通性。 示例如下： curl 检查 $ curl : It looks like you are trying to access MongoDB over HTTP on the native driver port. telnet 检查 $ telnet Trying ... Connected to . Escape character is '^]'. ^] telnet> 3. 检查实例是否开启了 SSL 模式。 登录到文档数据库服务控制台，单机实例名称，在基本信息页面上查看是否开启了 SSL 模式。如果开启了 SSL 模式，则下载证书后使用 SSL 模式访问，命令示例如下： ./mongo "mongodb://root: @ , /admin?authSourceadmin&replicaSet " ssl sslCAFile sslAllowInvalidHostnames

本节介绍如何使用的公共接入点接入Kafka的方法，文档以Java代码为例。 前提条件 已配置正确的安全组。 已获取连接Kafka实例的地址。 如果Kafka实例未开启自动创建Topic功能，在连接实例前，请先创建Topic。 已创建弹性云服务器，如果使用内网同一个VPC访问实例，请设置弹性云服务器的VPC、子网、安全组与Kafka实例的VPC、子网、安全组一致。 使用内网同一个VPC访问，实例端口为8090，实例连接地址从控制台实例详情菜单处获取，如下图所示。 Maven中引入Kafka客户端 java Kafka实例基于社区版本2.8.2/3.6.2，推荐客户端保持一致。 org.apache.kafka kafkaclients 2.8.2/3.6.2 客户端关键参数 java Properties props new Properties(); props.put(ProducerConfig.BOOTSTRAPSERVERSCONFIG, BROKERADDR); props.put(ProducerConfig.VALUESERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(ProducerConfig.KEYSERIALIZERCLASSCONFIG, StringSerializer.class.getName()); 生产者代码示例 java package com.justin.kafka.service.gw.plain; import org.apache.kafka.clients.producer.Callback; import org.apache.kafka.clients.producer.KafkaProducer; import org.apache.kafka.clients.producer.ProducerConfig; import org.apache.kafka.clients.producer.ProducerRecord; import org.apache.kafka.clients.producer.RecordMetadata; import org.apache.kafka.common.serialization.StringSerializer; import java.util.Properties; public class Producer { private final KafkaProducer producer; public final static String TOPIC "testtopic"; public final static String BROKERADDR "192.168.0.11:8090,192.168.0.9:8090,192.168.0.10:8090"; public Producer() { Properties props new Properties(); props.put(ProducerConfig.BOOTSTRAPSERVERSCONFIG, BROKERADDR); props.put(ProducerConfig.VALUESERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(ProducerConfig.KEYSERIALIZERCLASSCONFIG, StringSerializer.class.getName()); props.put(ProducerConfig.ACKSCONFIG, "all"); props.put("retries",3); producer new KafkaProducer<>(props); } public void produce() { try { for (int i 0; i (TOPIC, data), new Callback() { public void onCompletion(RecordMetadata metadata, Exception exception) { if (exception ! null) { // TODO: 异常处理 exception.printStackTrace(); return; } System.out.println("produce msg completed, partition id " + metadata.partition()); } }); } } catch (Exception e) { // TODO: 异常处理 e.printStackTrace(); } producer.flush(); producer.close(); } public static void main(String[] args) { Producer producer new Producer(); producer.produce(); } }

本文介绍CDN加速域名配置HTTPS中间证书的方法。 背景说明 中间证书是根证书颁发机构CA对中间证书颁发机构的公钥进行数字签名得到的证书。其作用是通过中间证书的私钥来签署最终用户的SSL证书，通过中间根对另一个中间根进行签名，然后CA使用它来对证书进行签名。如果CA直接从其根源颁发服务器证书，在这一过程中出现任何错误或者要求撤销每个使用root签名的证书，那么这个证书将立即不受信任。因此，为了避免这种风险发生，CA机构一般会引用中间证书。 主流浏览器如Firefox或者Chrome对未安装中间证书的网站可能会作出此链接不受信任的提示，或者安装了安全证书的网站，用手机访问时还是会出现不安全的提示，其实这都是中间证书链不完整导致的。 配置说明 1. 天翼云CDN控制台支持pem的证书格式。 2. 在【域名管理】【域名列表】选中对应域名，单击编辑进入配置界面，单击右侧【请求协议】，在【请求协议】模块，勾选【HTTPS】。单击右侧【HTTPS配置】，在【证书】模块，单击【点击上传】，输入证书备注名，在【证书公钥（PEM）格式】输入域名证书拼接中间证书即可，具体拼接格式如下： BEGIN CERTIFICATE 域名证书 END CERTIFICATE BEGIN CERTIFICATE 中间证书 END CERTIFICATE 示例：

本节介绍了使用FTP上传文件时客户端连接服务端超时的问题描述、约束与限制、可能原因、处理方法。 问题描述 客户端连接服务端超时，无法连接到服务端。 约束与限制 该文档适用于本地主机Windows系统上的FTP服务。 可能原因 服务端防火墙或安全组拦截。 处理方法 检查服务端防火墙设置。 关闭防火墙或者添加相应规则。

本章节介绍云密评专区产品功能。 数据加解密 提供重要数据的加密和解密服务，满足密评中对重要数据传输和存储的机密性要求，基于数据加密技术，能够在数据进入数据库之前对其进行加密处理，从而确保数据的机密性和完整性。 签名验签 提供重要数据的签名和验签服务，满足密评中对重要数据传输和存储的完整性要求以及操作的不可否认性要求。 密钥管理 提供集中的密钥全生命周期管理服务，满足密评中对密钥管理的安全性要求。 安全传输 提供网络通信通道的加密服务，满足密评中对网络和通信安全层面的数据传输机密性和完整性要求。 协同签名 配合移动端密码模块为应用系统移动端提供协同密码服务，满足应用终端身份认证、数据加密合规性要求。 密评服务 为租户侧提供密码方案设计、应用系统密改指导、应用系统密评支撑等服务。

本文汇总了使用弹性IP连接类的问题。 同时拥有自定义路由和弹性公网IP的访问外网的优先级是什么？ 弹性IP的优先级高于VPC路由表中的自定义路由。示例如下： 假如VPC路由表中存在一条自定义路由，目的地址为默认路由（0.0.0.0/0），下一跳为NAT网关。 如果VPC内的ECS绑定了EIP，会在ECS内增加默认网段的策略路由，并且优先级高于VPC路由表中的自定义路由，此时会导致流量转发至EIP出公网，无法抵达NAT网关。 EIP连接出现问题时，如何排查？ 问题描述：用户的弹性云主机已绑定EIP，但是无法连接到Internet。 排查思路：弹性云主机通过EIP访问Internet的流程如下图所示： 图 EIP网络示意图 本问题请按照以下思路进行排查处理。 图排查思路 1.查看弹性云主机运行是否正常 2.查看弹性云主机内部网络配置是否正确 3.查看EIP是否创建并绑定弹性云主机 4.查看EIP是否绑定弹性云主机主网卡 5.查看是否放通针对连接的安全组 6.查看弹性云主机子网是否设置拦截 步骤一：查看弹性云主机运行是否正常 检查您的弹性云主机是否正常运行。 弹性云主机运行状态如果不是运行状态，请尝试启动/重启弹性云主机。 步骤二：查看弹性云主机内部网络配置是否正确 1.确认弹性云主机网卡已经正确分配到IP地址。 登录弹性云主机内部，使用命令ifconfig或ip address查看网卡的IP信息。 注：Windows弹性云主机可以在命令行中执行ipconfig查看。 2.确认虚拟IP地址已经正确配置在网卡上。 当您使用了虚拟IP，需要确认虚拟IP是否正确配置在网卡上。 登录弹性云主机内部，使用命令ifconfig或ip address查看网卡的IP信息。如果没有虚拟IP地址，可以使用命令ip addr add 虚拟IP地址 eth0给弹性云主机添加正确的配置。 图查看网卡的虚拟IP地址 查看是否有默认路由信息，如果没有，则可以通过ip route add添加路由。 图查看默认路由 步骤三：查看EIP是否创建并绑定弹性云主机 检查您的EIP是否已经创建并绑定到该弹性云主机，若未创建&绑定，请先完成创建&绑定。 步骤四：查看EIP是否绑定弹性云主机主网卡 检查您的EIP是否绑定在弹性云主机的主网卡。若未绑定主网卡，需绑定至弹性云主机的主网卡上。 您可以在弹性云主机详情页的网卡页签下进行查看，默认列表第一条为主网卡。 步骤五：查看是否放通弹性云主机所在的安全组 检查您的安全组规则是否已经配置。 请根据实际需求，选择性配置安全组规则（Remote IP指的是放行的IP地址，0.0.0.0/0表示放通所有的IP地址，请谨慎使用）。 步骤六：查看弹性云主机子网是否设置拦截 检查您弹性云主机使用的网卡所在子网的网络ACL是否会对流量进行拦截。 您可以在虚拟私有云页面左侧导航栏选择网络ACL进行配置，请确认弹性云主机涉及的子网已放通。

检查HDFS服务状态 5.在告警列表中，查看是否有“ALM14000 HDFS服务不可用”告警产生。 是，执行步骤6。 否，执行步骤8。 6.参考“ALM14000 HDFS服务不可用”的处理步骤处理该故障。 7.等待几分钟后检查本告警是否恢复。 是，处理完毕。 否，执行步骤8。 8.在FusionInsight Manager，选择“集群 > 待操作集群的名称 > 服务 > HDFS”，查看HDFS“安全模式”是否为“ON”。 是，执行步骤9。 否，执行步骤12。 9.以root用户登录HDFS客户端。执行cd命令进入客户端安装目录，然后执行 source bigdataenv 。 如果集群采用安全版本，要进行安全认证。预先向管理员获取hdfs用户的密码，执行kinit hdfs命令，按提示输入密码。 10.执行以下命令手动退出安全模式。 hdfs dfsadmin safemode leave 11.等待几分钟后检查本告警是否恢复。 是，处理完毕。 否，执行步骤12。 检查HBase服务状态 12.在FusionInsight Manager，选择“集群 > 待操作集群的名称 > 服务 > HBase”。 13.查看2个HMaster的状态是否为一“主”一“备”。 是，执行步骤15。 否，执行步骤14。 14.单击“实例”，选择非主状态的HMaster实例，单击“更多 > 重启实例”重启HMaster，再次查看2个HMaster的状态是否为一“主”一“备”。 是，执行步骤15。 否，执行步骤21。 15.选择“集群 > 待操作集群的名称 > 服务 > HBase > HMaster(主)”，进入HMaster的WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 16.查看Region Servers下是否存在至少一个RegionServer。 是，执行步骤17。 否，执行步骤21。 17.查看“Tables > System Tables”，如下图，查看该标签的“Table Name”列下是否存在“hbase:meta”、“hbase:namespace”和“hbase:acl”。 是，执行步骤18。 否，执行步骤19。 HBase系统表 18.如上图，分别单击“hbase:meta”、“hbase:namespace”和“hbase:acl”超链接，查看所有页面是否能正常打开。如果页面能正常打开，说明表都正常。 是，执行步骤19。 否，执行步骤23。 说明 由于普通模式下的HBase默认未开启ACL权限控制，只有在手动开启ACL权限控制后才会存在“hbase:acl”表，需要检查该表，否则不需要检查该表。 19.查看HMaster的启动状态。 如下图在“Tasks” 下有“RUNNING”的状态表示HMaster正在启动，“State”列有HMaster处于“RUNNING”状态的时间。如下图中的“COMPLETE”状态表示HMaster启动完成。 查看HMaster是否持续了很长一段时间处于“RUNNING”状态。 HMaster正在启动的状态 HMaster启动完成的状态 是，执行步骤20。 否，执行步骤21。 20.查看HMaster页面是否有hbase:meta长时间处于“Region in Transition”的状态。 详见下图：Region处于Region in Transition的状态 是，执行步骤21。 否，执行步骤22。 21.确认在不影响业务的情况下，登录FusionInsight Manager，选择“集群 > 待操作集群的名称 > 服务 > HBase > 更多 > 重启服务”，输入密码，单击“确定”。 是，执行步骤22。 否，执行步骤23。 22.等待几分钟后检查本告警是否恢复。 是，处理完毕。 否，执行步骤23。

本节介绍当正常内容被拦截时，如何解除拦截。 操作场景 对于系统内置规则，解除误报功能可以处理规则误判的情况，当系统将正常内容误判为敏感内容时，可以通过此功能屏蔽内置规则处理误报问题。 操作步骤 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 内容规则库 > 规则列表”。 3. 在敏感内容列表右上方，单击“解除误报”。 4. 在弹框中配置解除拦截的信息。 5. 配置完成后，单击“解除误报”即可。 配置示例 如果发现某条合规的问题被拦截，如下图，可以看到提示检测引擎为“关键字引擎”，违规原因中有提到违规关键词。 则在解除误报弹窗中配置如下信息： 规则内容：填写在上述拦截信息中“违规原因”提到的关键词信息。 规则类型：上述拦截信息中“检测引擎”为关键字引擎，则选择 “关键词”。

本节介绍如何配置集群策略。 在集群策略页面内，支持配置集群审计策略、告警策略、告警规则。 前提条件 已开启集群审计功能，具体操作请参见开启集群审计。 操作步骤 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“集群安全 > 集群策略”，进入集群策略页面。 3. 配置审计策略：进入“审计策略”页面，可配置审计事件保留周期、审计事件类型。 4. 配置告警策略：进入“告警策略”页面，默认内置日常运营、重保模式、高级防护对应策略。 点击添加按钮，进入策略添加页面，输入策略名称（必填）、策略描述（非必填）、选择对象、开启规则，点击保存。 5. 配置告警规则：进入“告警规则”页面，点添加按钮，进入规则添加页面，输入规则名称（必填）、规则描述（非必填）、风险等级、att&ck战术、att&ck技术、标签、配置规则组，点击保存。

本页介绍了关系数据库MySQL版资源池和产品功能概览。 针对关系数据库MySQL版帮助文档中“一类节点”的资源池进行说明。“一类节点”中的资源池分为I类型资源池和II类型资源池。推荐使用II类型资源池。 表1 资源池说明 I 类型资源池 北京5、晋中、辽阳1、内蒙古6、石家庄20、杭州2、合肥2、九江、南京3、上海7、芜湖2、郴州2、佛山3、福州4、福州25、广州X节点（仅省内可见）、海口2、衡阳3、武汉4、乌鲁木齐4、乌鲁木齐27、西安3、西安4、西安5、中卫2、成都4、贵州3、昆明2、拉萨3、重庆2、帆豫智联、中卫5、西宁2 说明 所有I 类型资源池自2025年6月17日起已不再支持新购实例，如有问题，请提单咨询。 II 类型资源池 西南1、南宁23、长沙42、华北2、南昌5、青岛20、上海36、湖南永州一城一池1、华南2、华东1、太原4、武汉41、郑州5、西安7、西南2贵州、杭州7、广州4、苏州、芜湖4、呼和浩特3、庆阳2、广州x节点xc可用区、乌鲁木齐7、北京行业云20、上海15、佛山7、沈阳8 国际站资源池 香港2（区分国内站和国际站），澳门（国内站），印度尼西亚1（国内站） 说明 1. Ⅰ类型资源池和Ⅱ类型资源池通过管理控制台，点击控制中心右侧的区域框进行选择。 2. 广州4、苏州资源池可以通过实例管理页签的“Ⅱ类型资源池切换”按钮进行选择。 3. 关于香港2节点，国内站可以正常访问关系数据库MySQL版控制台左上角选择香港2节点，国际站可以通过点击国际站官网，选择关系数据库MySQL产品，享受数据库服务。您需要注意的是国际站和非国际站资源池的账号系统是彼此独立的。 4. Ⅱ类型资源池中，华南2、西南1、广州4、华东1、华北2等资源池均加载了国产化系列实例类型。具体加载类型可参见实例规格，关于国产化云主机相关情况可参考国产化云主机，以了解不同系列区别。 5. Ⅱ类型资源池中，自2024年12月30日起，已完成架构升级的资源池有：西南1、华东1、华北2、长沙42、上海36、太原4、武汉41、郑州5、广州4、西南2贵州、南昌5、华南2等所有Ⅱ类型资源池。 表2 功能说明 功能模块 产品功能 I 类型资源池 II 类型资源池 计费模式 按需 支持 支持 计费模式 包周期 支持 支持 数据库工具 智能问答助手 不支持 部分资源池支持 数据库工具 智能运维与实例画像 不支持 部分资源池支持 数据库工具 支持DMS登录数据库 不支持 部分资源池支持 数据库工具 数据库克隆 不支持 支持 部署方式 跨可用区 不支持 部分资源池支持 规格 单机实例 支持 支持 规格 主备实例 支持 支持 规格 一主两备实例 支持 支持 规格 只读实例 仅部分资源池支持 支持 实例管理 备份空间扩容 支持 支持 实例管理 存储空间扩容 支持 支持 实例管理 规格扩容 支持 支持 实例管理 规格缩容 不支持 支持 实例管理 存储空间自动扩容 不支持 支持 实例管理 性能自动扩容 不支持 支持 实例管理 性能自动缩容 不支持 仅华北2、西安7支持 实例管理 系列升级 支持 支持 实例管理 参数模板 支持 支持 实例管理 参数模板导入导出 不支持 支持 实例管理 标签管理 支持 支持 实例管理 主备切换 支持 支持 实例管理 修改切换策略 不支持 支持 实例管理 修改数据复制方式 不支持 支持 实例管理 迁移可用区 不支持 仅西南1、华南2、华东1、华北2支持 实例管理 重启实例 支持 支持 实例管理 修改数据库端口 支持 支持 实例管理 设置可维护时间段 不支持 支持 实例管理 续订实例 支持 支持 实例管理 暂停实例 不支持 仅西南1支持 实例管理 释放实例 支持 支持 实例管理 修改实例名称 支持 支持 实例管理 开启和关闭实例释放保护 不支持 支持 实例管理 MGR集群 不支持 仅西南1支持 实例管理 表名大小写 不支持 支持 实例管理 设置只读复制延迟 不支持 支持 实例管理 实例回收站 不支持 支持 实例管理 购买相同配置实例 不支持 支持 实例管理 只读转单机 不支持 西南1、华北2支持 实例管理 事件定时器 不支持 部分资源池支持 实例管理 设置数据库只读 不支持 支持 实例版本 升级内核小版本 不支持 支持 实例版本 升级数据库版本 不支持 仅华北2、西安7、长沙42、武汉41、杭州7支持 密码设置 自定义密码策略 不支持 支持 密码设置 修改密码 支持 支持 密码设置 密码锁定插件 不支持 支持 账号管理 创建账号 支持 支持 账号管理 修改账号权限 支持 支持 账号管理 重置高权限账号 不支持 支持 账号管理 基于数据库代理创建只读账号 不支持 仅西南1支持 账号管理 禁用root账号 不支持 仅西南1支持 数据库管理 创建数据库 支持 支持 数据库管理 删除数据库 支持 支持 监控告警 查看监控 支持 支持 监控告警 设置查看监控频率 不支持 支持 监控告警 设置报警规则 不支持 支持 问题诊断 死锁分析 不支持 仅西南1支持 问题诊断 空闲连接管理 不支持 支持 安全 透明数据加密TDE 不支持 仅华东1、西南1、华南2、杭州7支持 安全 SQL审计 不支持 支持 安全 SQL拦截 不支持 支持 安全 SSL加密 支持 支持 安全 云盘加密 不支持 仅华北2、华东1、西南1支持 安全 SQL限流 不支持 仅西南1支持 安全 动态脱敏 不支持 仅西南1支持 安全 IP白名单 不支持 支持 日志记录 日志管理 支持 支持 日志记录 任务列表 支持 支持 日志记录 操作记录 不支持 支持 日志记录 云审计 不支持 支持 备份 自动备份 支持 支持 备份 库表备份 不支持 支持 备份 手动备份 支持 支持 备份 对象存储 不支持 除广州4、苏州外其他均支持 备份 下载数据备份 不支持 未加载对象存储资源池不支持 备份 下载日志备份 不支持 未加载对象存储资源池不支持 备份 高频物理备份 支持 支持 备份 快照备份 不支持 白名单用户支持 备份 binlog本地设置 不支持 支持 备份 跨域备份 不支持 仅华东1、华北2、西南1支持 备份 备份类型转换 不支持 仅西南1支持 备份 逻辑备份 不支持 仅华北2、西安7支持 恢复 恢复至原实例 支持 支持 恢复 恢复至新实例 不支持 支持 恢复 多库表恢复 不支持 支持 恢复 快照恢复 不支持 白名单用户支持 恢复 跨域恢复 不支持 仅华东1、华北2、西南1支持 恢复 SQL闪回 不支持 仅华东1支持 访问 数据库代理 不支持 支持 访问 IPv4 支持 支持 访问 IPv6 不支持 支持 访问 弹性IP 部分资源池支持 支持 访问 开通指定IP地址 不支持 支持 访问 实例内网域名 不支持 仅西南1、华东1、武汉41支持 访问 修改内网连接地址（IPV4） 不支持 仅部分资源池支持 访问 切换实例VPC 不支持 除广州4、苏州外其他均支持 计费变更 按需实例转包周期 支持 支持 计费变更 包周期实例转按需 支持 支持 其他 主子账号/账号委托 部分资源池支持 支持

参数名 参数说明 host 服务端的host名称，默认是localhost。您可以选择使用ClickHouse实例所在节点主机名或者IP地址。 说明 ClickHouse的实例IP地址可登录集群FusionInsight Manager，然后选择“集群> 服务> ClickHouse >实例”，获取ClickHouseServer实例对应的业务IP地址。 port 连接的端口。 如果使用ssl安全连接则默认端口为9440，并且需要携带参数secure。具体的端口值可通过ClickHouseServer实例配置搜索“tcpportsecure”参数获取。 如果使用非ssl安全连接则默认端口为9000，不需要携带参数secure。具体的端口值可通过ClickHouseServer实例配置搜索“tcpport”参数获取。 user 用户名。 可以在Manager上创建该用户名并绑定对应的角色权限，具体可以参考“组件操作指南>使用ClickHouse >用户管理及认证> ClickHouse用户及权限管理”。 如果当前集群已启用Kerberos认证，使用kinit认证成功后，客户端登录时可以不携带user和password参数，即使用kinit认证的用户登录。Kerberos集群场景下没有默认用户，必须在Manager上创建该用户名。 如果当前集群未启用Kerberos认证，客户端登录时可以指定Manager上创建的用户和密码。不携带用户和密码参数时则默认使用default用户登录。 password 密码。 默认值：空字符串。该参数和user参数配套使用，可以在Manager上创建用户名时设置该密码。 query 使用非交互模式查询。 database 默认当前操作的数据库。默认值：服务端默认的配置（默认是default）。 multiline 如果指定，允许多行语句查询（Enter仅代表换行，不代表查询语句完结）。 multiquery 如果指定，允许处理用;号分隔的多个查询，只在非交互模式下生效。 format 使用指定的默认格式输出结果。 vertical 如果指定，默认情况下使用垂直格式输出结果。在这种格式中，每个值都在单独的行上打印，适用显示宽表的场景。 time 如果指定，非交互模式下会打印查询执行的时间到stderr中。 stacktrace 如果指定，如果出现异常，会打印堆栈跟踪信息。 configfile 配置文件的名称。 secure 如果指定，将通过ssl安全模式连接到服务器。 historyfile 存放命令历史的文件的路径。 param< name > 带有参数的查询，并将值从客户端传递给服务器。具体用法详见