本节为您介绍权限管理的概念。 在协同使用资源的场景下，如果您需要根据实际的职责权限情况配置用户使用权限，可使用 统一身份认证（Identity and Access Management，简称IAM）服务，创建多个IAM用户并为其授予不同的权限，实现不同IAM子用户可以分权管理不同的资源，从而提高管理效率，降低信息泄露风险。通过IAM可实现精细化权限管理、安全访问、批量管理用户权限、委托其他帐号管理资源等功能。您可以创建并为IAM用户或用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 IAM是天翼云提供的免费基础服务，您只需为购买资源进行付费。关于IAM的详细介绍，请参见IAM产品介绍。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略：预置的系统策略，您只能使用不能修改。云助手相关的系统策略包含如下： Admin：云助手的管理者权限，包含云助手所有控制权限（不含订单类权限）。 Viewer:云助手的观察者权限，包含云助手的列表页与详情页面权限。 自定义策略：您按需自行创建和维护的权限策略。

并行文件系统 并行文件系统（Parallel File System）是对象存储服务（Object Storage Service，OBS）提供的一种经过优化的高性能文件系统，能够快速处理高性能计算（HPC）工作负载。 访问密钥（AK/SK） OBS支持通过AK/SK认证方式进行认证鉴权，即使用Access Key ID（AK）/Secret Access Key（SK）加密的方法来验证某个请求发送者身份。当您使用OBS提供的API进行二次开发并通过AK/SK认证方式完成认证鉴权时，需要按照OBS定义的签名算法来计算签名并添加到请求中。 OBS支持使用永久AK/SK鉴权，也支持通过临时AK/SK和securitytoken进行认证鉴权。 永久AK/SK 用户可以在“我的凭证”页面创建永久AK/SK。 Access Key Id（AK）：访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名。 Secret Access Key（SK）：与访问密钥ID结合使用的私有访问密钥，对请求进行加密签名，可标识发送方，并防止请求被修改。 临时AK/SK 临时AK/SK和securitytoken是系统颁发给用户的临时访问令牌，有效期范围为15分钟至24小时，过期后需要重新获取。临时AK/SK和securitytoken遵循权限最小化原则，可应用于临时访问OBS。如果未使用securitytoken，会返回403错误。 临时Access Key Id：临时访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名。 临时Secret Access Key：与临时访问密钥ID结合使用的临时私有访问密钥，对请求进行加密签名，可标识发送方，并防止请求被修改。 securitytoken：与临时访问密钥ID和临时私有访问密钥结合使用，可以访问指定账号下所有资源。 当使用如下工具访问OBS资源时，需配置AK/SK用于生成鉴权信息进行安全认证。 工具 AK/SK配置方式 OBS Browser+ 在配置账号时配置AK和SK。 API 在计算签名时添加AK和SK到请求中。

本文主要介绍如何创建备份策略。 通过备份策略，您可以按照一定的策略要求对服务器数据进行周期性备份，以便服务器在数据丢失或损坏时快速恢复数据，保证业务正常运行。 说明 通过备份策略的方式对云服务器进行周期性备份，仅当启用备份策略后，系统才会自动备份所绑定的服务器，并定期删除过期的备份。 每个用户最多只能创建32个备份策略。 一个备份策略中最多可以绑定64个服务器。 操作步骤 1. 登录云服务器备份管理控制台。 1. 登录管理控制台。 2. 选择“存储 > 云主机备份”。 2. 选择“策略”页签，单击页面左上方的“创建备份策略” 3. 设置备份策略信息，各参数说明如下： 名称 ： 设置备份策略的名称。只能由中文字符、英文字母、数字、下划线、中划线组成，且长度小于等于255个字符。 是否启用 ： 设置备份策略的启用状态。 启用数据库服务器备份（可选）： 启用后，系统将执行应用一致性备份。若同时勾选“应用一致性备份失败后继续备份”，应用一致性备份失败后系统将执行崩溃一致性备份；若不勾选，应用一致性备份失败后将直接产生失败备份。使用应用一致性备份前，请完成安全组更改和成功安装客户端。 备份时间： 设置备份任务在一天之内的执行时间点。最多支持在一天内设置24个备份时间，且任意两个备份时间间隔必须大于等于一小时。如果连续两天进行备份，第一天的最后一次备份时间与第二天的第一次备份时间间隔也需要大于等于一小时。 备份周期 ： 设置备份任务的执行日期。 保留规则： 设置备份产生后的保留规则：按时间，按数量，永久保留。 4. 设置完成后，单击确定，完成备份策略的创建。 5. 在备份策略所在行，单击“绑定服务器” 6. 在服务器列表中勾选需要绑定的服务器，勾选后将在已选服务器区域展示。 7. 单击确定。

约束与限制 使用混合负载均衡功能时，请注意以下事项： 请前往负载均衡器基本信息页面开启跨VPC后端功能，否则该功能无法正常使用。 添加的跨VPC后端的IP地址只允许为IPv4类型的地址。 添加的跨VPC后端的IP地址不能为本VPC内的IP地址以及公网IP地址，否则请求不可达。 请确保负载均衡器的后端子网有足够的IP地址（至少有16个可用IP地址），否则该功能无法正常使用。可以通过负载均衡器的“基本信息 > 后端子网”添加多个后端子网来增加后端子网的IP地址。 跨VPC后端的安全组规则必须放通负载均衡器的后端子网网段，否则会导后端业务流量与健康检查异常。 跨VPC后端功能开启后无法关闭。 方案架构 独享型负载均衡（ELBTest）在VPCTest01（172.18.0.0/24）中； 云主机（ECSTest）在VPCTest02（172.17.0.0/24）中； 通过使用跨VPC后端功能将VPCTest02（172.17.0.0/24）中的云主机（ECSTest）添加至独享型负载均衡（ELBTest）的后端云主机组中。 资源规划 表 资源规划表 资源 资源名称 资源说明 ::: VPC VPCTest01 创建独享型负载均衡（ELBTest）所在VPC：172.18.0.0/24 VPC VPCTest02 服务器（ECSTest）所在的VPC：172.17.0.0/24 对等连接 PeeringTest 在ELB所在的VPC和云上其他VPC之间建立对等连接 本端VPC网段：172.18.0.0/24 对端VPC网段：172.17.0.0/24 路由表 RouteVPCTest01 创建对等连接路由，所属VPC：VPCTest01 目的地址：172.17.0.0/24 路由表 RouteVPCTest02 创建对等连接路由，所属VPC：VPCTest02 目的地址：172.18.0.0/24 ELB ELBTest 独享型负载均衡 EIP EIPTest 用于给ELBTest绑定的弹性公网IP 119.3.233.52 ECS ECSTest ECS所属VPC：VPCTest02 私网IP：172.17.0.145

使用场景 当您遇到VPC中的两个实例IP地址冲突，或者在进行网络重构或迁移时，需要调整VPC网络架构、子网划分等，这可能会导致需要修改物理机内网IP或更换VPC。 前提条件 物理机处于关机状态。 只有主网卡支持修改内网IP，必须先删除辅助网卡。 如果网卡绑定了虚拟IP或者DNAT规则，需要先解绑。 如果网卡上有IPv6地址，无法修改（包括IPv4和IPv6的）内网IP地址，请先删除IPv6地址。 如需修改弹性负载均衡后端服务器的内网IP地址，请先移出后端服务器组后再修改内网IP。 如果物理机作为静态路由的下一跳，必须先删除静态路由再修改内网IP。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择西南西南1。 3. 依次选择“计算”，单击“物理机服务”，进入物理机控制台页面。 4. 在物理机列表，选择需要修改内网IP或者更换VPC的物理机，在物理机详情页选择“网卡”页签，点击“修改内网IP”或者“更改VPC”。 5. 在修改内网IP弹框页面或者更换VPC弹框页面，输入相关参数，点击“确定”按钮。 注意 修改内网IP会导致物理机网络中断，同时更改物理机子网、IP地址、MAC地址。 修改内网IP过程中，请勿操作物理机的弹性IP，或对物理机做其他操作。 修改内网IP后，请重新检查配置安全组、ACL、虚拟IP地址等配置。 修改内网IP后，请重新配置网络相关的服务、应用软件，例如虚拟IP、静态路由表、ELB、NAT、DNS等。 标准裸金属在多AZ资源池无法支持修改内网IP和更换VPC，建议提前做好网络规划。

本节介绍分布式缓存产品规格API参数 本节介绍分布式缓存Redis产品订购、扩缩容、增减分片数、增减副本数、变配以及对应询价接口API参数，包括版本类型、实例类型、版本号、主机类型、分片规格、分片数、规格、副本数、磁盘类型等。 具体参数范围可能因为不同资源池配置上线的产品有所差异，可通过 资源池可创建规格 接口查询，具体可参照下表 API参数对照表。 资源池、可用区、虚拟私有云ID、所在子网ID、安全组ID、实例名称、实例密码参数为产品订购必填参数，本节不作详细说明。 基础版API参数 参数说明 参数取值 标准版 Cluster集群 Proxy集群 读写分离 版本类型 version BASIC BASIC BASIC BASIC 实例类型 edition StandardDual DirectCluster ClusterOriginalProxy OriginalMultipleReadLvs 版本号 engineVersion 5.0 6.0 7.0 5.0 6.0 7.0 5.0 6.0 7.0 5.0 6.0 7.0 主机类型 hostType X86计算： S（默认）：通用型 C：计算增强型 HS：海光通用型 HC：海光计算增强型 ARM计算： KS：鲲鹏通用型 KC：鲲鹏计算增强型 X86计算： S（默认）：通用型 C：计算增强型 HS：海光通用型 HC：海光计算增强型 ARM计算： KS：鲲鹏通用型 KC：鲲鹏计算增强型 X86计算： S（默认）：通用型 C：计算增强型 HS：海光通用型 HC：海光计算增强型 ARM计算： KS：鲲鹏通用型 KC：鲲鹏计算增强型 X86计算： S（默认）：通用型 C：计算增强型 HS：海光通用型 HC：海光计算增强型 ARM计算： KS：鲲鹏通用型 KC：鲲鹏计算增强型 分片规格 shardMemSize 1 2 4 8 16 32 64 1 2 4 8 16 32 64 1 2 4 8 16 32 64 1 2 4 8 16 32 64 分片数 shardCount 不填 3~256 3~256 不填 规格 capacity 不填 不填 不填 不填 副本数 copiesCount 1~10（默认值：2） 1~10（默认值：2） 1~10（默认值：2） 2~10（默认值：2） 磁盘类型 dataDiskType SSD（默认）：超高IO SAS：高IO SSD（默认）：超高IO SAS：高IO SSD（默认）：超高IO SAS：高IO SSD（默认）：超高IO SAS：高IO

本章节介绍云容器集群Pod DNS篡改故障演练。 背景介绍 DNS 篡改会使域名解析到错误的 IP，从而在 CCE 环境中造成流量劫持、访问异常或数据泄露等风险。本演练模拟 DNS 篡改场景，用于检验 Pod 的安全防护与监控告警有效性，并评估业务在解析被劫持时的表现。 基本原理 通过修改本地DNS解析文件实现。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的pod列表。 5. 在弹出的对话框中，单击添加pod。 6. 勾选您希望进行故障演练的一个或多个Pod ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎Pod。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎Pod实例。 添加故障动作 ：单击立即添加 ，在列表中选择DNS篡改动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 域名：待篡改的目标域名。 映射IP：将目标域名解析到的IP地址。 容器选择模式：选择攻击pod中容器，可以“按资源定义的首个容器”，也可以“指定容器名称”，当选择指定容器名称时，需要输入容器的名称。 容器名称：填写攻击目标的容器名称

该章节指导您通过Web应用防火墙服务下载仅记录和拦截的攻击事件数据，可下载5天内的全量防护事件数据，当天的防护事件数据，在次日凌晨生成到防护事件数据csv文件。 前提条件 已添加防护网站。 已生成了防护事件数据文件。 规格限制 单个文件的事件总数量最大值为5000，超过5000就会生成另一个文件。 在WAF控制台只能下载5天内的全量防护事件数据。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 步骤5 选择“下载”页签，下载防护数据文件，参数说明如表。 参数名称 参数说明 :: 文件名称 样式为文件名称.csv。 事件数量 被拦截和仅记录的事件总数量。 说明 单个文件的事件总数量最大值为5000，超过5000就会生成另一个文件。 步骤6 在目标时间段所在行的“操作”列，单击“下载数据”，下载到本地。 防护数据文件字段参数说明 字段 字段说明 示例 ::: action 防护事件的防护动作。 block attack 攻击的类型。 SQL Injection body 攻击者的请求实体内容。 cookie 攻击者的Cookie。 headers 攻击者的消息头。 host 防护的网站域名或IP。 www.example.com id 标识防护事件的ID。 02111620201121060347feb42002 payload 攻击者对防护网站造成伤害的组成部分。 pythonrequests/2.20.1 payloadlocation 攻击者对防护网站造成伤害的位置或访问URL的次数。 useragent policyid 标识防护策略ID。 d5580c8f6cd4403ebbf85892d4bbb8e4 requestline 攻击者的请求行。 GET / rule 防护事件对应的规则编号。 81066 sip Web访问者的公网IP地址（攻击者IP地址）。 time 防护事件发生的时间。 2020/11/21 0:20:44 url 防护域名的URL。 /

本节主要介绍网络集群类问题 启用服务网格后，状态一直为安装中 问题描述 为CCE集群启用服务网格（即创建网格）后，网格状态一直显示为“安装中”，鼠标放上去提示“正在启用istio服务网格：开通用户安全组规则成功”。 问题定位 登录CCE控制台，在“资源管理 > 命名空间”中查看对应集群的istiosystem命名空间是否存在。 原因分析 存在istiosystem命名空间残留。 解决方法 删除已有的istiosystem命名空间后即可继续安装。 卸载服务网格后，状态一直为未就绪 问题描述 在ASM控制台卸载服务网格后，网格状态一直显示为“未就绪”。 问题定位 步骤 1 登录CCE控制台，在左侧导航栏选择“模板市场 > 示例模板”。 步骤 2 单击“模板实例”页签，在搜索框中选择对应集群，查看模板实例和卸载失败最新事件。 可以看到istiomaster模板实例的执行状态为“卸载失败”，并且最新事件提示如下信息： deletion failed with 1 error(s): clusterroles:rbac.authorization.k8s.io "istiocleanupsecretsistiosystem" already exists 原因分析 helm对中断状态支持不好，客户异常操作会导致istio的helm模板卡在中间状态，使卸载过程中留下残留资源，从而导致卸载失败。 解决方法 步骤 1 通过kubectl连接到CCE集群。 步骤 2 执行以下命令，清理istio相关资源。 kubectl delete ServiceAccount n istiosystem kubectl get ServiceAccount n istiosystem grep istio awk '{print $1}' kubectl delete ClusterRole n istiosystem kubectl get ClusterRole n istiosystem grep istio awk '{print $1}' kubectl delete ClusterRoleBinding n istiosystem kubectl get ClusterRoleBinding n istiosystem grep istio awk '{print $1}' kubectl delete job n istiosystem kubectl get job n istiosystem grep istio awk '{print $1}' kubectl delete crd n istiosystem kubectl get crd n istiosystem grep istio awk '{print $1}' kubectl delete mutatingwebhookconfigurations n istiosystem kubectl get mutatingwebhookconfigurations n istiosystem grep istio awk '{print $1}' 步骤 3 登录ASM控制台，重新执行卸载操作。

本页介绍RDSPostgreSQL如何创建白名单。 创建RDSPostgreSQL实例后，默认允许同VPC内的IP可访问实例。您可以通过创建白名单管理，进行设置可访问该实例的IP范围。 操作场景 白名单指允许访问RDSPostgreSQL实例的ip列表。设置白名单可以让实例得到高级别的访问安全保护。 注意 设置白名单不会影响实例的正常运行。 默认的白名单分组（default）不能删除，只能清空。 开通时如选择“将VPC加入白名单”为是，则默认的白名单分组包含实例VPC网段表示该网段下的IP均可访问实例；如选择为否，则只包含127.0.0.1;0:0:0:0:0:0:0:1，表示不允许任何ip访问该实例。 不同资源池因IaaS资源能力等原因，加载版本有所差异，详见 操作方式 1. 登录天翼云官网。 2. 点击右上角的控制中心，跳转到控制中心页面。 3. 点击控制中心，进入控制中心后，选择目标资源池。 4. 在产品列表页面中找到【数据库】→【关系数据库PostgreSQL版】，点击进入控制台。 5. 在左侧菜单中点击【PostgreSQL】→【实例管理】，点击进入产品实例管理页。 6. 在【实例管理】的实例列表中选择目标实例，点击实例名称进入实例管理详情页。 7. 点击白名单管理，进入到白名单管理页面>点击“创建白名单组”>在弹出的窗口填入分组名称和组内白名单。 1. 创建的白名单分组名称在同一个实例上具有唯一性。 2. 同一个实例，不同分组的白名单ip列表可以重复，所有分组的ip的并集起效果。 3. 若白名单设置了两个ip，其中一个ip作用范围包含了另一个ip，则以范围大的ip为准。例如：0.0.0.0/0;192.168.10.2，则以0.0.0.0/0的效果为准。 8. 点击“确定”，保存白名单，点击“取消”，放弃创建白名单。

本节介绍如何查看WAF独享型产品信息。 您可以在产品信息页面查看已购买实例的版本、规格等信息。 前提条件 已购买WAF独享型实例。 查看独享型产品信息 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“系统管理 > 查看产品信息”，选择“独享型”页签。 5. 查看独享型实例列表。 参数 说明 实例名称 系统默认以“资源池名称+VPC名称+实例内网IP”自动生成实例名称。用户可在实例详情页面对其进行修改。 实例ID 实例的ID。 运行状态 当前实例的运行状态，包括正常、异常、离线。 防护对象 接入防护对象的个数。在实例详情页点击数字可跳转至对应防护对象列表页。 节点个数 当前实例的节点个数。 资源池名称 当前实例所属资源池。 VPC名称 当前实例所属VPC。 子网名称 当前实例所属子网。 实例IPv4 单机版：显示单机节点本身内网IPV4地址。 集群版：显示集群VIP的IPV4地址。 实例IPv6 单机版：显示单机节点本身内网IPV6地址。 集群版：显示集群VIP的IPV6地址。 公网代理IPv4 绑定在实例上的IPV4公网地址，用于互联网IPV4通信，需要手动绑定用户的IPV4地址。 公网代理IPv6 绑定在实例上的IPV6公网地址，用于互联网IPV6通信，需要手动绑定用户的IPV6地址。 WAF防护开关 可对实例的防护状态进行开启或关闭，关闭后，该实例下所有防护对象都将不受防护。 域名个数 当前实例支持防护的防护对象个数。 业务带宽 当前实例支持防护的业务带宽。 产品版本 实例的规格，单机版或集群版。 6. 单击目标实例操作列的“查看产品详情”。 7. 在产品信息页面，可以查看实例版本、实例名称、实例ID、到期时间、实例规格等信息，并支持对实例进行管理。

本节主要介绍Agent管理 操作场景 使用对象存储迁移前需在一台或多台服务器上安装Agent用于迁移其他云服务商对象存储数据到天翼云。 约束限制 安装Agent的服务器必须为Linux系统，操作系统为X64，最低规格为4U8G。且必须与安装RDA的服务器处于同一个VPC、同一个安全组。（保证安装Agent的服务器能够访问安装RDA的服务器的5679端口） 安装Agent的服务器必须处于支持的目的端Endpoint中。 安装Agent的服务器必须加载弹性IP地址（用于访问源端） 操作步骤 步骤 1 在浏览器中输入 步骤 2 单击左侧导航栏的“配置管理”，在“OMS配置管理”页签，单击“Agent管理 > 添加节点”。 步骤 3 在弹出的“添加节点”页面，按照界面提示，配置参数。配置完成后，单击“确认”。 参数 说明 : 名称 用户自定义。 用户名 准备安装Agent服务器的SSH登录用户名。说明若使用云专线，请使用root账号。 密码 准备安装Agent服务器的SSH登录用户的密码。 IP地址 准备安装Agent服务器的私有IP地址。 端口 22 步骤 4 配置完成后，单击“确认”。 添加成功后，系统自动进行程序安装。状态列显示当前安装状态，如下图所示： 初始化 SSH检查中 下载中 上传中 安装中 安装成功离线 安装成功在线 程序安装状态说明 状态 说明 : 初始化 系统初始化 SSH检查中 SSH校验 下载中 下载Agent安装包 上传中 上传Agent安装包 安装中 安装部署Agent服务 安装成功 Agent安装成功离线 Agent安装成功在线

本章节主要介绍Spark作业相关问题中有关作业开发的问题。 Spark如何将数据写入到DLI表中 使用Spark将数据写入到DLI表中，主要设置如下参数： fs.obs.access.key fs.obs.secret.key fs.obs.impl fs.obs.endpoint 示例如下： import logging from operator import add from pyspark import SparkContext logging.basicConfig(format'%(message)s', levellogging.INFO) import local file testfilename "D://testdata1.txt" outfilename "D://testdataresult1" sc SparkContext("local","wordcount app") sc.jsc.hadoopConfiguration().set("fs.obs.access.key", "myak") sc.jsc.hadoopConfiguration().set("fs.obs.secret.key", "mysk") sc.jsc.hadoopConfiguration().set("fs.obs.impl", "org.apache.hadoop.fs.obs.OBSFileSystem") sc.jsc.hadoopConfiguration().set("fs.obs.endpoint", "myendpoint") red: textfile rdd object textfile sc.textFile(testfilename) counts counts textfile.flatMap(lambda line: line.split(" ")).map(lambda word: (word, 1)).reduceByKey(lambda a, b: a + b) write counts.saveAsTextFile(outfilename) 通用队列操作OBS表如何设置AK/SK 获取结果为AK和SK时，设置如下： 1. 代码创建SparkContext val sc: SparkContext new SparkContext() sc.hadoopConfiguration.set("fs.obs.access.key", ak) sc.hadoopConfiguration.set("fs.obs.secret.key", sk) 2. 代码创建SparkSession val sparkSession: SparkSession SparkSession .builder() .config("spark.hadoop.fs.obs.access.key", ak) .config("spark.hadoop.fs.obs.secret.key", sk) .enableHiveSupport() .getOrCreate() 获取结果为ak、sk和securitytoken时，鉴权时，临时AK/SK和securitytoken必须同时使用，设置如下： 1. 代码创建SparkContext val sc: SparkContext new SparkContext() sc.hadoopConfiguration.set("fs.obs.access.key", ak) sc.hadoopConfiguration.set("fs.obs.secret.key", sk) sc.hadoopConfiguration.set("fs.obs.session.token", sts) 2. 代码创建SparkSession val sparkSession: SparkSession SparkSession .builder() .config("spark.hadoop.fs.obs.access.key", ak) .config("spark.hadoop.fs.obs.secret.key", sk) .config("spark.hadoop.fs.obs.session.token", sts) .enableHiveSupport() .getOrCreate() 说明 出于安全考虑，不建议在obs路径上带AK/SK信息。而且，如果是在OBS目录上建表，建表语句path字段给定的obs路径不能包含AK/SK信息。

本文主要介绍 创建用户并授权使用DMS for Kafka。 如果您需要对您所拥有的DMS for Kafka服务进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您的帐号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用DMS for Kafka资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将DMS for Kafka资源委托给更专业、高效的其他帐号或者云服务，这些帐号或者云服务可以根据权限进行代运维。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用DMS for Kafka服务的其它功能。 本章节为您介绍对用户授权的方法，操作流程如下图所示。 前提条件 给用户组授权之前，请您了解用户组可以添加的DMS for Kafka系统策略，并结合实际需求进行选择，DMS for Kafka支持的系统策略及策略间的对比，请参见：DMS for Kafka权限管理。 示例流程 图 给用户授权DMS for Kafka权限流程 1. 创建用户组并授权 在IAM控制台创建用户组，并授予DMS for Kafka的只读权限“DMS ReadOnlyAccess”。 2. 创建用户并加入用户组 在IAM控制台创建用户，并将其加入 1 中创建的用户组。 3. 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限： 在“服务列表”中选择分布式消息服务Kafka，进入Kafka实例主界面，单击右上角“购买Kafka实例”，尝试购买Kafka实例，如果无法购买Kafka实例（假设当前权限仅包含DMS ReadOnlyAccess），表示“DMS ReadOnlyAccess”已生效。 在“服务列表”中选择云硬盘（假设当前策略仅包含DMS ReadOnlyAccess），若提示权限不足，表示“DMS ReadOnlyAccess”已生效。

本章节主要介绍配置定时备份告警与审计信息。 操作场景 管理员可通过修改配置文件，实现定时备份FusionInsight Manager的告警信息、Manager审计信息以及所有服务的审计信息到指定的存储位置。 备份支持使用SFTP协议或FTP协议，FTP协议未加密数据可能存在安全风险，建议使用SFTP。 操作步骤 1.以omm用户登录主管理节点。 说明 用户只需在主管理节点执行此操作，不支持在备管理节点上配置定时备份。 2.执行以下命令，切换目录。 cd ${BIGDATAHOME}/omserver/om/sbin 3.执行以下命令，配置定时备份Manager告警、审计或者服务审计信息。 ./setNorthBound.sh t 信息类型 i 远程服务器IP p 服务器使用的SFTP或FTP 端口 u 用户名 d 保存信息的路径 c 时间间隔（分钟） m 每个保存文件的信息记录数 s 备份启停开关 e 指定的协议 例如： ./setNorthBound.sh t alarm i 10.0.0.10 p 22 u sftpuser d /tmp/ c 10 m 100 s true e sftp 此脚本将修改告警信息备份配置文件“alarmcollectupload.properties”。文件存储路径为“${BIGDATAHOME}/omserver/tomcat/webapps/web/WEBINF/classes/config”。 ./setNorthBound.sh t audit i 10.0.0.10 p 22 u sftpuser d /tmp/ c 10 m 100 s true e sftp 此脚本将修改审计信息备份配置文件“auditcollectupload.properties”。文件存储路径为“${BIGDATAHOME}/omserver/tomcat/webapps/web/WEBINF/classes/config”。 ./setNorthBound.sh t serviceaudit i 10.0.0.10 p 22 u sftpuser d /tmp/ c 10 m 100 s true e sftp 此脚本将修改服务审计信息备份配置文件“serviceauditcollectupload.properties”。文件存储路径为“${BIGDATAHOME}/omserver/tomcat/webapps/web/WEBINF/classes/config”。 4.根据界面提示输入用户的密码。密码将加密保存在配置文件中。 Please input sftp/ftp server password: 5.显示如下结果，说明修改成功。备管理节点将自动同步配置文件。 execute command syncfile successfully. Config Succeed.

本章介绍通过做哪些检查来避免分片变更失败。 为了避免分片变更失败，请您最晚在变更前一天完成以下内容的检查。 预检查内容 检查内容 检查目的 检查未通过解决方案 数据库实例binlog备份时间检查 客户全量备份是否保留足够长时间。 进入DN console，增加全量备份天数。 DN节点binlog必须开启 Binlog必须开启以支持在线变更。 若您的DN节点是RDS实例，无需解决。若您的DN节点是Taurus实例，请进入Taurus console 参数配置，设置logbintrue。 DN节点binlog本地保留时间检查 Binlog在DN节点上的保留时间必须足够长。 若您的DN节点是RDS实例，无需解决。若您的DN节点是Taurus实例，请进入Taurus console 参数配置，设置binlogexpirelogsseconds 为604800或更大。 广播表数据一致性检查 保证广播表数据一致后再执行分片变更。 请联系DRDS运维人员。 源物理分片的字符集和排序规则检查 保证分片变更后字符的展示和排序一致。 请联系DRDS运维人员。 物理表建表语句检查 保证各物理分片上的表结构保持一致。 请先使用check table 命令查询表结构不一致详情，之后再使用alter 语法对表进行修正。 主键检查 要求源库所有表都具有主键，且拆分键是主键一部分以保证分片变更后数据一致性。 如果表不存在主键，请使用alter语句增加主键。 数据库实例链接检查 DN节点是否可连接。 检查安全组等配置。 数据库实例参数检查 源DN节点和目标DN节点数据库关键参数配置需要相同。 请进入DN console对参数配置进行修改。 数据库实例磁盘空间检查 防止分片变更过程中，DN节点磁盘不足。 对DN节点进行磁盘扩容，注：本项检查根据估计值进行判断，极端情况下与实际值有一定差别。 数据库实例时区检查 源DN节点和目标DN节点时区要求相同。 请进入DN console参数配置对时区进行修改请进入DN console参数配置对时区进行修改。

本章节主要介绍通过专线访问。 MRS为您提供云专线（Direct Connect）方式访问MRS集群。云专线用于搭建用户本地数据中心与线上云VPC之间高速、低时延、稳定安全的专属连接通道，充分利用线上云服务优势的同时，继续使用现有的IT设施，实现灵活一体，可伸缩的混合云计算环境。 前提条件 云专线服务可用，并已打通本地数据中心到线上VPC的连接通道。 通过专线访问MRS集群 1. 登录MRS管理控制台。 2. 单击集群名称进入集群详情页。 3. 在集群详情页面的“概览”页签，单击“集群管理页面”右侧的“前往Manager”。 4. “访问方式”选择“专线访问”，并勾选“我确认已打通本地与浮动IP的网络，可使用专线直接访问MRS Manager。”。 浮动IP为MRS为您访问MRS Manager页面自动分配的IP地址，使用专线访问MRS Manager之前您确保云专线服务已打通本地数据中心到线上VPC的连接通道。 5. 单击“确定”，进入MRS Manager登录页面，用户名使用“admin”，密码为创建集群时设置的admin密码。 切换MRS Manager访问方式 为了便于用户操作，浏览器缓存会记录用户所选择的访问Manager的方式，如需切换访问Manager方式，参考如下步骤操作。 1. 登录MRS管理控制台。 2. 单击集群名称进入集群详情页。 3. 在集群详情页面的“概览”页签，单击“集群管理页面”右侧的按钮。 4. 在弹出页面重新选择“访问方式”即可。 若由“EIP访问”切换为“专线访问”，请在专线网路互通的前提下，在弹出页面的“访问方式”选择“专线访问”并勾选“我确认已打通本地与浮动IP的网络，可使用专线直接访问MRS Manager。”后单击“确定”。 若由“专线访问”切换为“EIP访问”，在弹出页面的“访问方式”选择“EIP访问”并参考访问MRS Manager（MRS 2.x及之前版本）中的通过弹性公网IP访问Manager配置EIP。若集群已配置过公网IP，直接单击“确定”以EIP方式访问Manager。

本小节介绍渗透测试价格，分为小型、中型和大型三类，客户可根据自身系统规模进行选择。 订购须知 1、渗透测试以电子报告形式提供一次性服务； 2、功能点指应用系统中可增删改查业务数据的入口或流程，针对多个页面有新增、上传等功能点且api接口、参数都相同，可计为一个功能点； 3、本产品一经订购立即生效，除不可抗力外不支持退订。渗透测试服务有效期为一个自然年，即从购买之日起一年内都可以联系我们进行实施。强烈建议您购买后尽快实施，解决安全问题宜早不宜迟，到期后渗透测试服务不可再使用。 资费说明 渗透测试资费标准价格如下： 描述 规格 单价 小型 小型系统渗透测试：测试对象功能点1~10个; 10,000元/次 中型 中型系统渗透测试：测试对象功能点1160个； 40,000元/次 大型 大型系统渗透测试：测试对象功能点61120个； 70,000元/次 例如： 展示类系统，如门户网站包含展示页面5个、反馈页面1个，页面中无其他增删改查功能点，功能点数量为6个≤10个，为1个小型系统。 交互查询类，如政务网站、订票、业务办理等系统，包含5个1级功能入口>共10个2级功能页面，每个页面包含增删改查4个功能点，则该系统功能点数量累计为40≤60个，为1个中型系统，可下单1个中型系统或者4个小型系统。 交易管理类，以交易、复杂管理系统为主，如OA、电商、网银、app、管理后台等系统，包含10个1级功能入口>共28个2/3级功能页面，每个页面包含增删改查下载上传6个功能点，则该系统功能点数量累计为168≥120个，等同于1个大型（120以内）+1个中型（60以内）系统，可下单1个大型系统和1个中型系统。 注意 具体以各版本的订购页面和控制台展示为准。

本章节介绍数据库安全续费。 数据库安全续费 续费说明 包年/包月数据库安全服务到期后会影响数据库安全服务正常运行。如果您想继续使用，需要在指定的时间内为数据库安全审计实例续费，否则实例会自动释放，数据丢失且不可恢复。 续费操作仅适用于包年/包月数据库安全服务。 数据库安全服务在到期前续费成功，所有资源得以保留，且实例的运行不受影响。 续费方式 续费分为手动续费和自动续费两种方式， 1. 一是手动续费，包年/包月数据库安全服务从购买到被自动删除之前，您可以随时在DBSS控制台为数据库安全服务续费，以延长数据库安全服务的使用时间。 2. 二是自动续费，开通自动续费后，数据库安全服务会在每次到期前自动续费，避免因忘记手动续费而导致资源被自动删除。

数据库安全审计可以跨区域使用吗？ 数据库安全审计不支持跨区域（Region）使用。待审计的数据库和购买的数据库安全审计实例必须在同一区域，您才能使用数据库安全审计功能。 数据库安全审计可以跨可用区使用吗？ 待审计的数据库和购买的数据库安全审计实例必须在同一区域，您才能使用数据库安全审计。如果待审计的数据库和购买的数据库安全审计实例在同一区域，但不在同一可用区，则您可以使用数据库安全审计。 例如，您在某个区域的“可用区1”购买了数据库安全审计，如图所示，待审计的数据库部署在该区域的“可用区2”或“可用区3”，则您可以使用购买的数据库安全审计。 在“可用区1”购买数据库安全审计 数据库安全审计（旁路模式）是否会影响业务？ 不影响。数据库安全审计是数据库安全服务提供的旁路模式数据库审计功能，只对数据库进行审计，不影响用户业务，与本地审计工具不冲突。 数据库安全审计可以应用于哪些场景？ 数据库安全审计采用数据库旁路部署方式，在不影响用户业务的提前下，可以对管理控制台上的RDS、ECS/BMS自建的数据库进行灵活的审计。 基于数据库风险操作，监视数据库登录、操作类型（数据定义、数据操作和数据控制）和操作对象，有效对数据库进行审计。 从风险、会话、SQL注入等多个维度进行分析，帮助您及时了解数据库状况。 提供审计报表模板库，可以生成日报、周报或月报审计报表（可设置报表生成频率）。同时，支持发送报表生成的实时告警通知，帮助您及时获取审计报表。

section会退集群实例的节点)。 手动切换集群主备节点 集群实例由dds mongos（路由）、Config（配置）和Shard（分片）组件构成，其中Config和Shard分别由主节点、备节点和隐藏节点组成。主节点和备节点不对外提供访问地址，隐藏节点用于备份数据。当主节点故障时，系统会自动分配新的主节点保障高可用。同时，文档数据库服务提供主备切换功能，供用户在容灾演练等场景下自行切换主备节点。 使用须知 实例状态为正常或异常、恢复检查中、修改安全组中、高负载时，允许切换主备节点。 主备节点切换可能会造成1分钟的服务闪断，切换前请确认客户端具备重连机制。 主备同步的延迟时间过长时，主备切换耗时可能很久。因此，当主备同步的延迟时间超过300s时，控制台将不允许下发主备切换。关于副本集主备同步的延迟时间，请参见副本集中主备同步存在多长时间的延迟。 切换Config主备节点 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上方的 ，选择区域和项目。 步骤 3 在“服务列表”中，选择“数据库 > 文档数据库服务”，进入文档数据库服务信息页面。 步骤 4 在“实例管理”页面，选择指定的集群实例，单击实例名称。 步骤 5 在“基本信息”页面“节点信息”区域，选择“config”页签，单击操作列的“主备切换”。 步骤 6 在弹出框中单击“是”，开始执行主备切换。 步骤 7 查看切换结果。 主备切换过程中，实例运行状态显示为“主备切换中”，切换完成后，实例状态显示为“正常”。 在实例“基本信息”页面的“节点信息”区域，可查看切换后的主备节点。 切换完成后，原先的主节点会变为备节点，如果需要重新连接集群主节点，请参见通过Mongo Shell连接集群实例（内网连接）。 结束

操作步骤 1. 登录天翼云控制中心，单击管理控制台左上角的，选择地域。 2. 选择“计算>弹性云主机”，进入弹性云主机控制台页面，找到即将执行挂载操作的云主机。 3. 以root用户登录该弹性云主机，登录方法参考登录Linux弹性云主机。 注意 文件存储的服务端口为：111、139、2049、20048、445、11002、11003、10141，设置安全组时不要禁止，以防无法访问文件服务。 4. 执行以下命令查询该云主机是否安装NFS客户端，若没有返回安装结果，执行第5步进行安装。 plaintext rpm qa grep nfsutils 5. 安装NFS客户端。安装时注意不同操作系统执行命令不同。 CentOS系统，执行以下命令： plaintext yum y install nfsutils Ubuntu系统，执行以下命令： plaintext sudo aptget install nfscommon 6. 执行如下命令创建本地挂载路径，例如“/mnt/sfs”。 plaintext mkdir /mnt/sfs 7. 在文件系统详情页面复制挂载命令，并在客户端执行挂载。挂载完成后使用 df h命令查看文件系统挂载情况。挂载命令获取见下图： 注意 请将挂载命令中的“/localfolder”替换为您在第6步创建的本地挂载路径。 8. 挂载完成后使用 df h命令查看文件系统挂载情况。 9. 配置开机自动挂载。 注意 为避免已挂载文件系统的云主机重启后挂载信息丢失，建议设置重启时进行自动挂载。 1. 执行“vi /etc/rc.d/rc.local”编辑 rc.local 文件，在文件末尾新增挂载信息，挂载命令可在文件系统详情页获取（见上方第7步）。配置完成后，单击“Esc”键，并输入 :wq，保存文件并退出。配置样例如下： plaintext sleep 10s && sudo 挂载命令 2. 执行“chmod +x /etc/rc.d/rc.local ”。 3. 完成上述配置后，当云主机重启时，系统会等待10s后自动挂载。 10. （可选）建议使用NFSv3协议挂载，如需使用 NFSv4 协议挂载，请在每个 NFS 客户端按以下步骤配置nfs4uniqueid。 plaintext

本章节介绍云容器集群Pod DNS篡改故障演练。 背景介绍 DNS 篡改会使域名解析到错误的 IP，从而在 CCE 环境中造成流量劫持、访问异常或数据泄露等风险。本演练模拟 DNS 篡改场景，用于检验 Pod 的安全防护与监控告警有效性，并评估业务在解析被劫持时的表现。 基本原理 通过修改本地DNS解析文件实现。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的pod列表。 5. 在弹出的对话框中，单击添加pod。 6. 勾选您希望进行故障演练的一个或多个Pod ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎Pod。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎Pod实例。 添加故障动作 ：单击立即添加 ，在列表中选择DNS篡改动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 域名：待篡改的目标域名。 映射IP：将目标域名解析到的IP地址。 容器选择模式：选择攻击pod中容器，可以“按资源定义的首个容器”，也可以“指定容器名称”，当选择指定容器名称时，需要输入容器的名称。 容器名称：填写攻击目标的容器名称

操作场景 本节将以使用"Microsoft Remote Desktop for Mac"工具远程连接到运行"Windows Server 2012 R2 数据中心版 64位"操作系统的云主机为例，介绍如何在Mac OS系统上登录Windows云主机的操作步骤。 前提条件 Windows云主机处于“运行中”状态。 已获得Windows云主机的用户名和密码。如果忘记密码，须重置云主机密码，请参考在控制台重置弹性云主机密码。 Windows云主机所在安全组的入方向已开放3389端口。 Windows防火墙未开启或开启后放通3389端口。 登录工具与Windows云主机具有网络连通性。如果使用处于公网中的终端登录，需要您的Windows云主机已绑定弹性IP。如果通过内网使用此方式登录，则不需要绑定弹性IP，例如VPN、云专线等内网网络连通场景。 Windows云主机已开启远程桌面协议RDP。 已在Mac OS系统上安装了Microsoft Remote Desktop for Mac或其他适用于Mac OS系统的远程连接工具。您可以下载Microsoft Remote Desktop for Mac。 注意 请注意，微软官方已停止提供Remote Desktop客户端的下载链接，您可以尝试下载 操作步骤 1. 启动Microsoft Remote Desktop应用。 2. 点击"Add Desktop"（添加桌面）。 3. 在"Add PC"（添加计算机）页面，进行登录信息的设置。 PC name（计算机名称）：输入要登录的Windows实例的弹性IP地址。 User account（用户账户）：从下拉列表中选择"Add user account"（添加用户账户），然后弹出"Add user account"对话框。 在"Add user account"对话框中，输入Windows实例的用户名（例如"administrator"）和登录密码，然后点击"Add"（添加）。 4. 在"Remote Desktop"页面，双击要登录的Windows实例的图标。 5. 确认信息后，点击"Continue"（继续）。

本文介绍IP访问限频功能适用场景和配置方法。 功能介绍 IP访问限频功能可以限制单个用户IP在天翼云全站加速单台服务器上的请求频次，防御CC攻击，防止恶意用户盗刷。 适用场景 1. 网站存在用户使用同个IP频繁重复下载同一资源导致大量全站加速流量浪费的场景。 2. 网站存在用户使用同个IP频繁发起恶意请求或尝试非法访问的场景。 注意事项 1. 当单IP单域名每秒访问单台服务器的次数达到设置的阈值，返回403状态码，阻断时间默认10分钟。 2. 设置阈值时需根据业务的实际情况进行评估，阈值过低可能导致正常用户的访问受限，影响用户体验；而阈值过高则可能无法有效限制非法访问或恶意行为。 3. 限频功能对非法访问防控效果有限，若存在大量IP对全网节点进行恶意访问或攻击，通过此功能无法有效控制，建议您购买边缘安全加速平台产品。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【访问控制】。 5. 在【IP访问限频】模块，单击【增加规则】。 6. 根据需求填写配置，单击【确定】。 7. 单击【保存】，完成配置。 参数名 配置值 说明 类型 后缀名/目录/首页/全部文件/全路径文件 需要配置的文件类型。 内容 指定类型的具体内容 类型选择后缀名、目录、全路径文件时，需配置具体内容；例如类型为后缀名时，需在内容处指明具体的文件后缀；如类型为目录时，需在内容处指明具体的目录内容。 访问阈值 每秒可访问次数 单位：次/秒，IP访问超过阈值后，拒绝访问10分钟。 优先级 数字 配置的优先级，存在多条设置时，相同文件类型及内容，执行优先级高的规则。数字越大，优先级越高。

部署和配置License Server 我们以CentOS 7.5操作系统的云主机为例演示部署和配置License Server。 说明 云主机规格不小于2vCPU，内存不小于4GiB。 请提前记录云主机MAC地址。 如用作生产用途，建议采用高可用模式部署，主备高可用模式部署License Server 请参考NVIDIA官方License Server高可用部署文档（ licenseserverhighavailability） 。 1. 配置网络： 1. 如使用VPC网络访问License Server：请确保License Server和使用GRID驱动的GPU加速型实例处在同一个VPC子网内。 2. 如使用公网IP访问License Server：请配置License Server所在的安全组，增加入方向规则：TCP 7070和TCP 8080。 2. 安装License Server。 具体过程请参考NVIDIA官方License Server安装文档 （ installingnvidiagridlicenseserver)。 3. 获取License文件 a. 新建页签，登录NVIDIA网站（ SERVERS”。 图 选择LICENSE SERVERS b. 单击“CREATE SERVER”. c. 填写Server Name、Description、MAC Address（License服务器的MAC地址）。 d. 选择Feature，在Licenses框中输入需要的license数目，单击“ADD”。 如果是主备部署的情况需要把备服务器的名称填入 Failover License Server，MAC地址填入Failover MAC Address中。 e. 单击“CREATE LICENSE SERVER”。 图 填写LICENSE SERVERS信息 f. 下载license文件 图 下载license文件 4. 在Web浏览器中，根据安装时配置的管理页面链接，访问License Server管理界面的主页。 默认访问链接为： 5. 单击“License Server > License Management”，使用License服务器配置菜单导入，并单击“Upload”上传许可证.bin文件，完成License Server的配置。 图 上传许可证文件

调试测试计划 新增或修改测试计划后，可通过调试快速发现语法或配置错误，确保该模型在任务中可用。 1、登录性能测试控制台，在左侧导航栏中选择“JMeter测试工程”。单击待调试测试计划所在工程后的。 2、在“测试计划列表”页签中，单击待调试的测试计划操作栏中的。 3、在弹出的对话框中，选择“资源组类型”后单击“启动调试”。 4、在“调试日志”页签，查看调试的操作日志。 调试日志 5、调试完成后，在“结果”页签，查看测试计划调试的具体内容。 如果调试结果报错，可根据错误日志信息，修改jmx文件后重新导入。导入方法请参见管理测试计划中的修改测试计划部分。 启动测试计划 测试计划指通过在不同压测点执行一系列测试，持续对系统发起压力测试，通过测试获取并分析系统运行的性能数据。 您可以在一个测试工程中添加多个测试计划。 前提条件 确保资源组状态为“运行中”。 确保资源组的调试节点上的32001和32003端口在安全组被开启。 确保资源组的执行节点和被压测的应用之间网络互通。 操作步骤 1、登录性能测试控制台，在左侧导航栏中选择“JMeter测试工程”，单击待操作工程后的。 2、创建测试计划，具体操作请参见创建测试计划。 3、创建完成后，单击任务操作栏的。 4、在“启动测试任务”对话框中，选择对应的资源组。 5、单击“启动”，启动测试任务。然后可以单击“查看报告”来查看实时性能报告。 说明 压测时长建议至少300s，并发数请根据被压测应用的实际情况填写。通过多次调整压测数据进行反复测试，得到应用所能承受的最大值，进行持续优化和验证。 管理测试计划 测试计划创建成功后，您可以对测试计划进行管理。

修改Windows系统实例默认远程端口，以Windows Server 2012数据中心版为例。 操作步骤 1. 登录控制中心，进入轻量型云主机列表页面。 2. 通过控制台VNC远程登录待修改端口的Windows轻量型云主机实例。 3. 修改注册表子项PortNumber的值。 4. 右键单击Windows 徽标键，选择运行，启动运行窗口。 5. 在运行窗口的文本框内输入regedit.exe后按回车键，打开注册表编辑器。 6. 在左侧导航树中逐层选择HKEYLOCALMACHINE > System > CurrentControlSet > Control > Terminal Server > Wds > rdpwd > Tds > tcp，如下图所示： 7. 在列表中找到注册表子项PortNumber并右键单击，选择修改，进入修改窗口。 8. 在弹出的修改窗口中，在数值数据的文本框中输入新的远程端口号，以3398为例。在基数框中勾选十进制，然后单击“确定”。 9. 在左侧导航树中逐层选择HKEYLOCALMACHINE > System > CurrentControlSet > Control > Terminal Server > WinStations > RDPTcp。 10. 在右侧列表中找到注册表子项PortNumber并右键单击，选择修改（可以使用键盘方向键向下寻找）。 11. 在弹出的对话框中，在数值数据的文本框中输入新的远程端口号，在本示例中即3398。在基数框中勾选十进制，然后单击确定。 12. 在轻量型云主机管理控制台中将此台云主机进行重启。 13. 为该实例添加安全组规则，允许新配置的3398远程端口进行连接。 14. 最后使用远程桌面连接功能远程访问实例，在远程地址后面添加新端口号3398即可连接实例。

sectionc8805cf165fea374) 函数服务是否支持在函数中启动TCP的监听端口，通过EIP接收外部发送过来的TCP请求？ FunctionGraph是什么？ 函数工作流（FunctionGraph）是一项基于事件驱动的函数托管计算服务。使用FunctionGraph函数，只需编写业务函数代码并设置运行的条件，无需配置和管理服务器等基础设施，函数以弹性、免运维、高可靠的方式运行。 函数中如何读写文件？ 函数工作目录权限说明 函数可以读取代码目录下的文件，函数工作目录在入口文件的上一级，例如用户上传了文件夹backend，需要读取与入口文件同级目录的文件test.conf，可以用相对路径“code/backend/test.conf”，或者使用绝对路径（相关目录为RUNTIMECODEROOT环境变量对应的值）。如果需要写文件（如创建新文件或者下载文件等），可以在/tmp目录下进行或者使用函数提供的挂载文件系统功能。 说明 若容器回收，文件的读写就会失效。 函数目前不支持持久化。 典型场景 需要对OBS上的文件进行处理，可以先把文件下载到/tmp目录。 函数运行过程中产生了一些数据想保存到OBS，可以先在/tmp目录下创建新文件，然后把这些数据写到里面，接下来上传该文件到OBS。 FunctionGraph函数是否支持扩展？ FunctionGraph目前已经集成了一些非标准库如：redis、http、obsclient等，开发函数时可以直接使用。 用户可以通过维护属于自己的依赖代码库，供所有函数使用。 IAM子帐号使用FunctionGraph需要设置哪些权限？ 使用IAM子帐号登录、使用函数工作流服务，对函数和函数下的触发器进行增删改查，如果出现权限不足情况，需要主帐号对IAM子帐号所属的用户组设置相应的权限。同时，若您想通过函数调用其他云服务，如OBS服务时，需要您配置委托并根据实际业务需求配置服务相关权限。为保障服务的安全，请您按照最小权限原则配置权限。

本节介绍如何配置重保防护的黑白名单规则。 重保防护支持配置全局IP黑白名单，对经过云WAF防护域名的访问源IP进行黑白名单设置，来自黑白名单中的IP地址/IP地址段的访问，WAF将不会做任何检测，直接拦截/放行。 支持添加IPv4、IPv6地址，支持添加IP地址段。 重保防护提供的全局IP黑白名单，检测逻辑优先级高于IP黑白名单检测；内部检测逻辑，白名单高于黑名单。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 重保防护场景”，进入重保防护配置页面。 5. 单击“新建黑白名单”，弹出新建黑白名单规则窗口，配置黑白名单规则参数，参数说明如下。 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 类别 定义该规则类型是“黑名单”或“白名单”。 IP地址 添加IP地址/地址段，支持IPv4和IPv6格式的IP地址/地址段。 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。 过期时间可选： 永久生效 限定日期：自定义设置失效日期 规则描述 可选参数，设置该规则的备注信息。 生效范围 支持选择“全部防护对象”或“特定防护对象”。 全部防护对象：配置的黑白名单规则对所有已接入的域名生效。 特定防护对象：配置的黑白名单规则仅对所选域名生效，可以选择多个域名。 说明 不支持独享版防护对象和监听器防护对象。 6. 配置完成后，单击“确定”。可以在列表中查看已新建的黑白名单规则。

Service Service是用来解决Pod访问问题的。每个Service有一个固定IP地址，Service将访问流量转发给Pod，而且Service可以给这些Pod做负载均衡。 图 通过Service访问Pod 根据创建Service的类型不同，可分成如下模式： ClusterIP：用于在集群内部互相访问的场景，通过ClusterIP访问Service。 NodePort：用于从集群外部访问的场景，通过节点上的端口访问Service。 LoadBalancer：用于从集群外部访问的场景，其实是NodePort的扩展，通过一个特定的LoadBalancer访问Service，这个LoadBalancer将请求转发到节点的NodePort，而外部只需要访问LoadBalancer。 Service的详细介绍请参见Service概述。 lngress Service是基于四层TCP和UDP协议转发的，而Ingress可以基于七层的HTTP和HTTPS协议转发，可以通过域名和路径做到更细粒度的划分，如下图所示。 图 IngressService Ingress的详细介绍请参见Ingress概述。 网络访问场景 负载网络访问可以分为如下几种场景。 集群内部访问：创建ClusterIP类型的Service，通过Service访问负载。 外部访问负载：从外部访问负载推荐使用Service（NodePort类型或LoadBalancer类型）或Ingress访问。 公网访问负载需要节点或LoadBalancer绑定公网IP。 内网访问负载通过节点或LoadBalancer内网IP即可。如果跨VPC需要通过对等连接等手段打通不同VPC网络。 负载访问外部： 负载访问内网：负载访问内网地址，在不同容器网络模型下有不同的表现，需要注意在对端安全组放通容器网段，具体请参见容器如何访问VPC内部网络。 负载访问公网：访问公网有几种方法可以实现，一是让容器所在节点绑定公网IP（容器网络模型为VPC网络或容器隧道网络），另一个是通过NAT网关配置SNAT规则，具体请参见从容器访问公网。 图 网络访问示意图

本节介绍如何查看Linux漏洞、Windows漏洞、WebCMS漏洞、应用漏洞的详细信息。 前提条件 已接入HSS产品日志并已开启自动转告警设置，详细操作请参见数据集成。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在态势感知（专业版）管理页面选择“风险预防> 漏洞管理”，进入漏洞管理页面。 5. 在漏洞管理页面，查看漏洞统计情况。 漏洞类型分布 ：呈现漏洞整体数量，及各类型漏洞分布情况。 漏洞TOP5排行 ：漏洞编号页签中，呈现漏洞编号数量TOP5的漏洞及受影响资产数量；漏洞类型页签中，呈现漏洞类型数量TOP5的漏洞、漏洞危险程度及受影响资产。 风险资产TOP5排行 ：呈现TOP5的风险资产。 6. 在漏洞管理界面，选择“Linux漏洞”、“Windows漏洞”、“WebCMS漏洞”、“应用漏洞”任意一个页签，进入对应漏洞管理页面。 当漏洞较多时，可以通过搜索功能，选择漏洞的“漏洞名称”、“漏洞编号”、“等级”或者“是否处理”，并在搜索框中输入关键词，单击，即可快速查询指定漏洞。 页面最多可查看9999条漏洞信息。 漏洞参数说明： 参数名称 参数说明 漏洞名称 扫描出的漏洞名称。单击漏洞名称，可查看该漏洞的简介、相关漏洞库信息。 等级 漏洞的危险程度。 ID 漏洞ID。 影响资产 受某个漏洞影响的资产总数。 漏洞编号 漏洞对应的编号。 最近扫描时间 最近一次扫描的时间。 是否处理 该漏洞是否已处理。 7. 如需查看某个漏洞的详细信息，可单击漏洞名称，在右侧弹出的详情页面进行查看。