参数 参数类型 说明 示例 下级对象 configID Integer 【Deprecated】伸缩组配置ID，仅伸缩配置数目为1时有值 375 configList Array of Integer 伸缩组配置ID列表 [375, 263] recoveryMode Integer 实例回收模式。取值范围：1： 释放模式。 2： 停机回收模式。 1 regionID String 资源池ID 81f7728662dd11ec810800155d307d5b healthPeriod Integer 健康检查时间间隔（周期），单位：秒，取值范围：[300,10080] 300 maxCount Integer 最大云主机数，取值范围：[minCount,2147483647] 20 minCount Integer 最小云主机数，取值范围：[0,50] 1 expectedCount Integer 期望云主机数，取值范围：[minCount,maxCount]，非多可用区资源池不支持该参数 1 moveOutStrategy Integer 实例移出策略。取值范围：1： 较早创建的配置较早创建的云主机。 2： 较晚创建的配置较晚创建的云主机。 3： 较早创建的云主机。 4： 较晚创建的云主机。 1 createDate String 创建时间 20221008 22:25:54 groupID Integer 伸缩组ID 468 updateDate String 更新时间 20221008 22:25:54 healthMode Integer 健康检查方式。取值范围：1： 云服务器健康检查。 2： 弹性负载均衡健康检查。 1 useLb Integer 是否使用负载均衡，1：是 2：否 1 zabbixName String 【Deprecated】监控设备ID scalca04095d2f19427095f52ba6a30b25a3468 subnetList Map of String 【Deprecated】子网ID与可用区信息列表，非多可用区该值为空数组。 [{"az1": ["subnet7q4b66v5h5"]},{"az2": ["subnet7q4b66v5h5"]}] subnetIDList Array of Strings 子网ID列表 ["subnet7q4b66v5h5"，"subnet7q4b66v5h5"] vpcCidr String 虚拟私有云网段 192.168.0.0/16 status Integer 伸缩组状态。取值范围：1： 启用。 2： 停用。 1 vpcName String 虚拟私有云名称 vpc21a4 instanceCount Integer 伸缩组包含云主机数量 20 projectIDEcs String 企业项目ID 0 configName String 【Deprecated】伸缩配置名称，仅伸缩配置数目为1时有值 asconfige928 name String 伸缩组名称 asgroupa1ac securityGroupIDList Array of Strings 多可用区资源池安全组ID列表。非多可用区资源池该值为空数组，可在查询弹性伸缩配置接口查询。 ["4b793e4c0d675978b23f06e966fc45db"] vpcID String 虚拟私有云ID fda71b1de4de586081eb77388b965da1 azStrategy Integer 扩容策略类型，仅多可用区资源池支持。非多可用区资源池该值为空。取值范围：1：均衡分布。 2：优先级分布。 1 deleteProtection Boolean 是否开启伸缩组保护。取值范围：true：开启伸缩组保护，此时不能删除该伸缩组。false：关闭伸缩组保护，可删除该伸缩组。 true

本文主要介绍如何创建子账号，并对子账号设置系统策略，从而使用子账号开通实例，使用DRDS控制台。 创建子账户并使用 用户在天翼云注册后自动创建，该用户对其所拥有的资源具有完全的访问权限，可以重置用户密码、分配用户权限等。如果需要多人共同使用天翼云资源，为了确保账号安全，建议创建子用户来进行日常管理工作。子用户的用户名、密码由拥有IAM权限的用户控制。子用户同样可以登录访问天翼云控制台，登录入口与主用户相同，受赋予的权限限制。创建子账户的步骤如下： 操作步骤 1. 进入天翼云官网，通过主账号登录，登入后，右上角选择【我的】，点击【账号中心】，进入个人中心界面。 2. 在左侧导航栏点击【统一身份认证】，进入统一认证服务IAM。 3. 在左侧导航栏点击【用户】页签，点击右上角【创建用户】。 4. 填写子账号的相关信息，包含用户名、邮箱、手机号等，并设置密码。设置完成点击右下角【下一步】。 5. 如无用户组请先创建用户组，如有可点击【添加】，添加进该用户组之后，会自动显示在右侧【已选用户组】窗口。如后续从用户组删除该用户，可点击【移除】。admin用户组为拥有所有操作权限的用户组，您可根据需要加入此用户组或者加入自行创建的用户组。 6. 加入用户组后，点击右下角【下一步】，将会显示创建成功。点击【返回用户列表】，可以看到创建的子账户。 7. 选择左侧导航栏【企业项目】页签，可以看到默认的企业项目，您也可以点击右上角【创建企业项目】按钮新创建一个企业项目。点击右侧的【查看用户组】可进行查看和设置企业项目下的用户组。 8. 点击【设置用户组】，并选择可选的用户组，点击右箭头移动至右侧窗口，并点击【确定】。点击【移除】按钮可将用户组从企业项目中移除。如果您在上一步骤中创建了新的企业项目，也需要进行该步骤设置用户组。 9. 在新添加的用户组右侧选择【设置策略】，可以搜索DRDS相关的策略，勾选策略，点击右移箭头移动至右侧窗口，并点击【确定】。确认后会提示操作成功，该步骤是为用户组的用户设置策略。 10. 退出当前账号，并使用步骤4中创建的子账号和密码登录，选择相应资源池和企业项目，您可看到主账户创建的资源。 11. 您也可以利用子账户创建开通实例。

本节介绍如何配置攻击惩罚，使WAF按配置的攻击惩罚时长来自动封禁访问者。 网站域名接入Web应用防火墙后，您可以选择开启攻击惩罚功能。开启并配置攻击惩罚功能后，当WAF检测到访问者的IP、Cookie或请求参数中有恶意请求时，WAF将按配置的攻击惩罚时长来自动封禁访问者。 配置的攻击惩罚标准会提供给BOT防护、精准访问控制防护模块使用。当配置BOT防护规则、精准访问控制规则时，可使用攻击惩罚标准功能。 BOT防护规则：当处置动作选择拦截、动态拦截时，支持勾选“攻击惩罚”。 精准访问控制规则：当处置动作选择拦截时，支持勾选“攻击惩罚”。 攻击惩罚对象 攻击惩罚的对象包含IP以及SESSION会话对象。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入。 使用限制 基础版和标准版不支持攻击惩罚功能，请升级到更高版本使用。 配置攻击惩罚标准 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 选择“系统配置”页签，定位到“攻击惩罚”模块，可以选择开启/关闭防护。 7. 单击攻击惩罚右侧的“前去配置”，进入攻击惩罚配置页面。 8. 配置攻击惩罚参数。 配置项 说明 拦截周期 配置初次拦截的时长，即第一次惩罚的时长。 单位为“分钟”，可输入10~60的整数。 说明 攻击惩罚与动态拦截同时生效，实际拦截时长按照攻击惩罚和动态拦截的最大时间进行拦截。 每次增长时长 配置多次拦截的增长时长，即在上一次惩罚时长的基础上增长对应的时间。 单位为“分钟”，可输入10~60的整数，10代表拦截时长每次增长10分钟。 最多拦截次数 配置最多拦截的次数。 可输入1~5的数字，1代表着惩罚目标增长1次处罚时间，下一次被永久拦截。5代表惩罚目标增长5次处罚时间后，下一次被永久拦截。 生效范围 默认为全部规则。 9. 单击“确认”，完成攻击惩罚配置。

本文为您介绍如何管理防护事件，以及防护事件日志中包含的字段含义。 云WAF将攻击防护的事件详情记录在事件报表中，用户可在事件列表中查看攻击时间、攻击IP、攻击类型、攻击URL、地理位置、处置动作、命中规则ID、攻击详情等。具体功能如下： 支持查看所选时间范围内的防护事件，查询时间支持选择昨天、今天、近3天、近7天、近30天或自定义时间。 提供防护事件多级查询，筛选条件包括域名、攻击类型、攻击IP、防护模块、处置动作、规则ID、请求UUID等。 支持将列表数据下载到本地。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入并正常防护。 查询防护事件 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护事件 > 查询防护事件”，进入防护事件页面。 5. 在防护事件列表上方，可以设置筛选条件，支持设置多项匹配条件。 查询条件字段参数说明： 参数名称 参数说明 防护对象 选择想要查看的防护对象，支持选择各防护模式下的所有防护对象或某个防护对象。 时间选择 可查看“昨天”、“今天”、“近3天”、“近7天”、“近30天”或者自定义时间范围内的防护日志。 攻击类型 发生的攻击类型。默认为全部攻击类型，也可以根据需要，选择攻击类型查看攻击日志信息。 攻击IP Web访问者的公网IP地址，默认为全部，也可以根据需要输入攻击者IP地址查看攻击日志信息。 防护模块 按防护模块进行筛选。 处置动作 防护配置中设置的防护动作，包含：观察、拦截、放行、验证码、JS验证、重定向、重置连接、全部脱敏、动态拦截、限速。 规则ID 攻击触发的防护规则ID。 UUID关键字 请求对应的唯一标识。 6. 筛选条件设置完成后，点击“查询”，筛选后的结果将在列表中展示，可通过右侧的“事件列表显示设置”按钮对攻击事件的字段进行自定义展示。 说明 CC攻击事件页签分别展示CC攻击事件数 和CC攻击次数，例如：页签显示CC攻击事件（1/3），实际含义为出现总计1次CC攻击事件数，一共有3次CC攻击。 事件显示字段支持自定义设置和重新排序，同时可以控制是否在新标签页中查看攻击事件详情。

随着业务逻辑的复杂化，越来越多的应用需要大量模块之间的网络调用。传统的单一外部防火墙，或依照应用分层的防火墙已渐渐无法满足需求。在一个大的集群里面，各模块、业务逻辑层，或各职能团队之间的网络策略需求越来越强。 CCE基于Kubernetes的网络策略功能进行了加强，通过配置网络策略，允许在同个集群内实现网络的隔离，也就是可以在某些实例（Pod）之间架起防火墙。 使用场景例如：某个用户有支付系统，且严格要求只能某几个组件能访问该支付系统，否则有被攻破的安全风险，通过配置网络策略可免除该风险。 约束与限制 VPC网络模型暂不支持网络策略（NetworkPolicy）。 网络策略（NetworkPolicy）暂不支持设置egress路由规则。 使用说明 若工作负载（例如名称为workload1）未配置网络策略，那“当前集群内的其它工作负载”都可以访问“名为workload1的工作负载”。 设置网络策略 步骤 1 登录CCE控制台，在左侧导航栏中选择“资源管理 > 网络管理”。在NetworkPolicy页签，单击“添加NetworkPolicy”。 NetworkPolicy名称：自定义输入NetworkPolicy名称。 集群名称：选择网络策略所在集群。 命名空间：选择网络策略所在命名空间。 关联工作负载： 单击“选择工作负载”，选择“需要设置网络策略的工作负载”，例如工作负载名称为workload1，单击“确定”。 规则：单击“添加规则”，参数设置请参见下表 表NetworkPolicy添加规则 参数 参数说明 方向 当前仅支持入方向。即“其它工作负载”访问“当前的工作负载（即当前案例中的workload1）”。 协议 请选择对应的协议类型，目前支持TCP和UDP协议，不支持ICMP协议。 目的容器端口 容器镜像中应用程序实际监听端口，需用户确定。nginx程序实际监听的端口为80。 若不填写容器端口，默认所有端口都可被访问。 远端 选择可访问“当前工作负载”的“其它工作负载”。通过目的容器端口来访问。 命名空间： 若选择某个命名空间，则该命名空间下的所有工作负载都会加入白名单，即都可访问workload1。 工作负载： 若选择某个工作负载，即该工作负载可以访问workload1 。仅支持选择与workload1同个命名空间下的“其它工作负载”。 步骤 2 设置完成后，单击“创建”。 步骤 3 若需要为当前工作负载添加更多网络策略，例如其它端口需要被某个工作负载访问，可单击“添加NetworkPolicy”，继续添加更多策略。 创建成功后，“仅远端中配置好的命名空间或工作负载”可以访问“当前工作负载”。

本小节介绍容器安全卫士服务协议，请点击查看。 天翼云容器安全卫士服务协议

本小节介绍容器安全卫士服务等级协议，请点击查看。 天翼云容器安全卫士服务等级协议

本文介绍如何在容器安全卫士响应中心页面查看已处理的告警信息，并支持对已暂停的容器进行恢复、对已隔离的Pod进行解除隔离等操作。 响应中心展示“已隔离”、“已暂停”、“已重启”的容器，“已阻断”的镜像和已加入白名单的告警。 隔离Pod列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“告警响应 > 响应中心”，进入响应中心页面。 3. 在隔离Pod列表，可以对已隔离的Pod进行恢复。 暂停容器列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“告警响应 > 响应中心”，进入响应中心页面。 3. 在暂停容器列表，可以对已暂停的容器进行恢复。 重启Pod列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“告警响应 > 响应中心”，进入响应中心页面。 3. 在重启Pod列表，可以查看重启过的Pod。 镜像阻断列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“告警响应 > 响应中心”，进入响应中心页面。 3. 在镜像阻断列表，可以对已阻断的镜像解除阻断。

接口功能介绍 服务器安全卫士系统，服务器安全卫士数据导出任务取消接口 接口约束 签约服务器安全卫士 URI POST /v1/security/data/cancelTask 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 exportTaskId 否 String 导出任务id SDET20251113154639000000000009936911 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 traceId String traceId asaadasd11111 statusCode String 状态码 200成功 200 枚举参数 无 请求示例 请求url 无 请求头header {"ContentType": "application/json"} 请求体body {"exportTaskId": "SDET20251113154639000000000009936911"}

功能项 功能说明 标准版 专业版 身份认证 用户账号双因子认证 支持手机令牌、手机短信、USBKey、动态令牌等多因子认证形式。 √ √ 身份认证 用户账号远程认证 支持AD域、RADIUS、LDAP、Azure AD远程认证。 √ √ 权限控制 系统访问权限 通过划分组织部分结构、分配用户角色、设置用户登录限制，控制用户登录和访问系统权限。 √ √ 权限控制 资源访问权限 按照用户、用户组、资源账户、账户组，建立用户对资源的访问控制授权，通过配置访问控制策略、双人授权、命令控制策略，实现对资源不同维度的控制。 √ √ 权限控制 双人授权 通过配置“双人授权”实现双人或多人权限审核，保障核心资源安全。 √ √ 权限控制 字符命令拦截 通过配置命令控制策略，对字符协议资源关键操作，进行动态授权。 √ √ 权限控制 数据库命令拦截 通过配置数据库控制策略，对数据库资源敏感、危险等操作，进行精确限制、二次复核。 说明：数据库命令拦截功能不区分云数据库还是自建的数据库。 × √ 账户管理 用户账号全生命周期管理 用户账号单个创建、批量导入、批量管理，以及划分用户组管理。 √ √ 账户管理 资源账户全生命周期管理 资源和资源账户的单个添加、批量导入、批量管理，以及资源账户的划分账户组管理。 √ √ 账户管理 纳管主机资源 支持纳管SSH、RDP、VNC、TELNET、FTP、SFTP、Rlogin协议类型的Linux和Windows资源。 √ √ 账户管理 纳管应用资源 支持通过Windows应用服务器，纳管Chrome、Edge、Firefox、Oracle Tool 、MySQL等浏览器或客户端应用资源。 √ √ 账户管理 纳管数据库资源 支持纳管DB2、MySQL、SQL Server和Oracle引擎类型数据库。 × √ 账户管理 资源账户自动改密 通过配置改密策略，定期修改资源账户密码，管控资源账户及登录密码。 √ √ 账户管理 资源账户自动同步 通过配置账户同步策略，及时发现僵尸账户或未被管控账户。 × √ 操作审计 系统登录和操作全程记录 支持导出系统日志、生成系统报表，以及配置告警通知。 √ √ 操作审计 资源运维操作全程审计 支持多种审计技术和审计形式，会话实时监控，历史会话可生成视频、导出文本报表的双重审计，并支持日志远程备份。 √ √ 操作审计 数据库行为审计 基于操作命令审计数据库运维全程。 × √ 高效运维 Web浏览器一站式运维 远程登录资源，无需安装客户端，一键登录运维资源，并集成批量登录、协同会话、文件传输、命令群发等功能。 √ √ 高效运维 第三方客户端运维 一键接入多种运维工具，支持多种运维形式，包括SSH客户端运维、FTP/SFTP客户端运维等。 √ √ 高效运维 数据库运维 通过SSO单点登录工具调用客户端，一键登录目标数据库。 × √ 高效运维 自动化运维 在线管理脚本，以及定时执行预置运维任务。 × √ 工单申请 访问授权工单、命令授权工单申请 系统用户为获取资源控制权限，通过手动或自动方式触发系统工单，提交工单给系统管理人员审批，获取权限的全程。 √ √ 工单申请 数据库授权工单申请 系统用户可触发数据库敏感操作，自动生成授权工单，系统用户需提交工单申请，由管理人员审批通过才能获取继续操作权限。 × √

本节主要介绍使用RedisShake工具离线迁移其他云厂商Redis RedisShake是一款开源的Redis迁移工具，支持Cluster集群的在线迁移与离线迁移（备份文件导入）。当部署在其他云厂商Redis服务上的Cluster集群数据，无法在线迁移时，可以选择离线迁移。 与在线迁移相比，离线迁移适用于源实例与目标实例的网络无法连通的场景，或者源端实例部署在其他云厂商Redis服务中，无法实现在线迁移。 本文以Linux系统环境为例，介绍如何使用RedisShake工具进行Cluster集群数据离线迁移。 前提条件 已创建Redis实例，注意创建的Cluster集群内存规格不能小于源端Cluster集群。 已创建用于运行RedisShake的弹性云主机(ECS)，创建的ECS需要选择与Redis实例相同的VPC、子网和安全组。 迁移步骤 1. 使用Rediscli连接目标端Redis实例，获取目标端Cluster集群的Master节点IP地址与端口。 rediscli h {targetredisaddress} p {targetredisport} a {targetredispassword} cluster nodes − {targetredisaddress}：目标Redis实例的连接地址。 − {targetredisport}：目标Redis实例的连接端口号。 − {targetredispassword}：目标Redis实例的连接密码。 在命令返回的结果中，获取所有master节点的IP端口，如下如所示： 2. 在准备好的ECS上安装迁移工具RedisShake。 a. 登录ECS。 b. 在ECS中执行以下命令下载RedisShake，本文以下载2.0.3版本为例进行说明。您可以根据实际需要选择其他RedisShake版本。 wget c. 执行命令解压RedisShake文件。 tar xvf redisshakev2.0.3.tar.gz 如果源端集群部署在数据中心内网，还需在内网服务器上安装RedisShake，并参考下述步骤进行数据导出，然后将数据文件上传到云主机。 3. 从源端Redis控制台导出RDB文件，如果无法导出RDB文件，请联系源端客服获取。 4. 导入RDB文件。 a. 将导出的RDB文件（含多个）上传到云主机上。云主机与目标端DCS Cluster集群实例的网络连通。 b. 编辑RedisShake工具配置文件redisshake.conf。 vim redisshake.conf 补充目标端所有master节点的连接信息： target.type cluster

审计日志 操作类型 操作 DBService审计日志 维护管理 备份恢复操作 HBase审计日志 DDL（数据定义）语句 创建表 删除表 修改表 增加列族 修改列族 删除列族 启用表 禁用表 用户信息修改 修改密码 用户登录 HBase审计日志 DML（数据操作）语句 put数据（针对hbase:meta表、ctmeta表和hbase:acl表） 删除数据（针对hbase:meta表、ctmeta表和hbase:acl表） 检查并put数据（针对hbase:meta表、ctmeta表和hbase:acl表） 检查并删除数据（针对hbase:meta表、ctmeta表和hbase:acl表） HBase审计日志 权限控制 给用户授权 取消用户授权 Hive审计日志 元数据操作 元数据定义，如创建数据库、表等 元数据删除，如删除数据库、表等 元数据修改，如增加列、重命名表等 元数据导入/导出 Hive审计日志 数据维护 向表中加载数据 向表中插入数据 Hive审计日志 权限管理 创建/删除角色 授予/回收角色 授予/回收权限 HDFS审计日志 权限管理 文件/文件夹访问权限 文件/文件夹owner信息 HDFS审计日志 文件操作 创建文件夹 创建文件 打开文件 追加文件内容 修改文件名称 删除文件/文件夹 设置文件时间属性 设置文件副本个数 多文件合并 文件系统检查 文件链接 Mapreduce审计日志 程序运行 启动Container请求 停止Container请求 Container结束，状态为成功 Container结束，状态为失败 Container结束，状态为中止 提交任务 结束任务 LdapServer审计日志 维护管理 添加操作系统用户 添加组 添加用户到组 删除用户 删除组 KrbServer审计日志 维护管理 修改kerberos帐号密码 添加kerberos帐号 删除kerberos帐号 用户认证 Loader审计日志 安全管理 用户登录 Loader审计日志 元数据管理 查询connector 查询framework 查询step Loader审计日志 数据源连接管理 查询数据源连接 增加数据源连接 更新数据源连接 删除数据源连接 激活数据源连接 禁用数据源连接 Loader审计日志 作业管理 查询作业 创建作业 更新作业 删除作业 激活作业 禁用作业 查询作业所有执行记录 查询作业最近执行记录 提交作业 停止作业 Hue审计日志 服务启动 启动Hue Hue审计日志 用户操作 用户登录 用户退出 Hue审计日志 任务操作 创建任务 修改任务 删除任务 提交任务 保存任务 任务状态更新 Zookeeper审计日志 权限管理 设置ZNODE访问权限 Zookeeper审计日志 ZNODE操作 创建ZNODE 删除ZNODE 设置ZNODE数据 Storm审计日志 Nimbus 提交拓扑 中止拓扑 重分配拓扑 去激活拓扑 激活拓扑 Storm审计日志 UI 中止拓扑 重分配拓扑 去激活拓扑 激活拓扑

本节介绍了通过puttygen.exe工具创建密钥对的操作场景、操作步骤。 操作场景 您可以通过puttygen.exe工具创建密钥对，创建完成后，公钥和私钥均保存在用户本地。 说明 通过puttygen.exe工具创建成功的密钥对，还需要执行导入密钥对，导入系统才能正常使用密钥对。 操作步骤 1. 在以下路径中下载并安装PuTTY和PuTTYgen。 说明 PuTTYgen是密钥生成器，用于创建密钥对，生成一对公钥和私钥供PuTTY使用。 生成公钥和私钥文件。 双击“puttygen.exe”，打开“PuTTY Key Generator”。 PuTTY Key Generator 单击“Generate”。 密钥生成器将自动生成一对公钥和私钥，其中，下图的红框内容为生成的公钥文件。 生成公钥和私钥文件 复制红框中的公钥内容，并将其粘贴在文本文档中，以.txt格式保存在本地，保存公钥文件。 说明 请勿直接单击“Save public key”保存公钥文件。因为通过puttygen.exe工具的“Save public key”按钮保存在本地的公钥文件，公钥内容的格式会发生变化，不能直接导入管理控制台使用。 2. 保存私钥文件。 根据不同用途，需将私钥文件保存为不同格式。为保证安全，私钥只能下载一次，请妥善保管。 保存私钥文件为“.ppk”格式。 3. 当用户使用PuTTY工具登录Linux弹性云主机时，需使用“.ppk”格式的私钥文件。保存方法如下： 在“PuTTY Key Generator”界面，选择“File > Save private key”。 保存私钥文件 保存转化后的私钥到本地。例如：kp123.ppk 保存私钥文件为“.pem”格式。 4. 当用户使用Xshell工具登录Linux弹性云主机，或者获取Windows弹性云主机的密码时，需使用“.pem”格式的私钥文件。保存方法如下： 选择“Conversions > Export OpenSSH key”。 说明 如果该私钥文件用于Windows弹性云主机的获取密码操作，在选择“Export OpenSSH key”时，请勿填写“Key passphrase”信息，否则会导致获取密码失败。 保存私钥文件 保存私钥到本地。例如：kp123.pem 6. 公钥和私钥文件按照需要正确保存后，请参见导入密钥对的“复制公钥文件内容方式”，将公钥导入系统中。

本章节主要指导使用Springboot开发应用的用户，部署业务到FunctionGraph。用户通常可以使用SpringInitializr或者IntelliJ IDEA新建等多种方式构建SpringBoot，本章节以Spring.io 的 操作流程 将既有项目部署到FunctionGraph通常只需要：修改项目监听端口号为8000，然后在jar包同目录创建bootstrap文件写入执行jar包的命令。本案例使用IntelliJIDEA，Maven项目。 构建代码包 1. 打开Springboot项目，在maven插件处单击package，生成jar包。 图 生成jar包 2. 配置工程web端口。HTTP函数当前支持8000端口，需配置工程web端口为 8000 （此端口请勿修改） ,可以使用application.properties文件来配置，也可以在启动时指定端口号。 图 配置8000端口 3. 在jar包同目录创建bootstrap文件，输入启动参数：/opt/function/runtime/java11/rtsp/jre/bin/javajar Dfile.encodingutf8/opt/function/code/restservicecomplete0.0.1SNAPSHOT.jar 图 输入启动参数 4. 选中jar包和bootstrap文件，打包成zip包。 创建HTTP函数并上传代码 创建1个HTTP函数，并上传已打包的zip包。请参见用户指南的“创建HTTP函数”章节。 验证结果 1. 使用函数测试事件验证 1. 在函数详情页，选择函数版本，单击“配置测试事件”，弹出“配置测试事件”页。 2. 选择事件模板，修改测试事件中的path、pathParameters参数，构建一个简单的Get请求。 3. 单击“创建”，完成测试事件创建。 4. 单击“测试”，获取响应。 2. 配置APIG（专享版）触发器测试 1. 请参见 用户指南的“使用APIG（专享版）触发器”章节，创建APIG（专享版）触发器，“安全认证”建议选择“None”，方便调试。 2. 复制生成的调用URL在浏览器进行访问。在URL后添加请求参数greeting?namefguser。默认生成的APIG（专享版）触发器的调用URL为“域名/函数名”，在本案例中即： 如果用户直接把已有的工程上传，会因为path里多了函数名而无法直接访问自己的服务。

本节介绍如何配置全局精准访问控制规则。 防护对象接入Web应用防火墙后，您可以选择开启全局精准访问控制功能，并配置精准访问控制规则。 全局精准访问控制支持对全局域名或单个域名生效。 全局精准访问控制允许自定义访问控制规则，通过对请求路径、请求URI、Cookie、请求参数、Header、referer、UserAgent等多个特征进行条件组合，对访问请求进行特征匹配实现管控，有针对性地阻断各类攻击行为。 前提条件 已购买WAF云SaaS型实例，且实例版本为标准版及以上版本。 网站已通过“域名接入”方式接入WAF进行防护。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 全局防护配置”，进入全局防护配置页面。 5. 定位到“精准访问控制”模块，可以选择开启/关闭防护。 6. 点击防护规则右侧的“前去配置”，进入全局精准访问控制页面。 7. 单击“新建防护规则”，配置全局精准访问控制规则。 参数说明如下： 配置项 说明 规则名称 设置规则的名称。 规则名称用于标识当前防护规则，建议您使用有明确含义的名称。 企业项目 选择需要配置全局精准访问控制规则对象所在的企业项目。 接入对象 设置精准访问控制规则的作用对象，支持选择“全部防护对象”或选择“特定防护对象”。 说明 全局精准访问控制不支持独享版和监听器防护对象。 匹配条件 设置访问请求需要匹配的条件（即特征）。单击“新增条件”可以设置最多30个条件。存在多个条件时，多个条件必须同时满足才算命中。 关于匹配条件的配置描述，请参见匹配条件字段说明。 处置动作 定义触发规则后执行的动作，可选值： 观察 拦截 放行 验证码 JS验证 重定向 过期时间 规则配置后，规则状态开启即生效。可通过设置过期时间，为该规则定义生效时间段。过期时间可选： 永久生效 限定日期：自定义设置失效日期 优先级 代表该规则在精准访问控制模块中执行的优先级。 可输入1～100的整数，数字越大，代表这条规则的优先级越高。相同的优先级下，创建/更新时间越晚，优先级越高。 8. 单击“保存”，规则创建成功，成功后规则默认启用。您可以在规则列表中查看该规则。

本文介绍如何下载根证书。 如果您的业务用户通过Java等客户端访问Web业务，您需要下载与服务端证书类型一致的根证书，并手动安装到对应的客户端，确保客户端与服务端建立HTTPS安全连接。 背景概述 根证书是建立信任链的基础。一旦客户端安装了根证书，它即可验证由该根证书签发的所有证书。这使得客户端可以信任与该根证书相关的所有服务器和应用程序，从而建立起一个完整的信任链。 如果您的业务用户通过浏览器访问您的Web业务，则您无需关注根证书和中间证书，因为根证书和中间证书已经内置在浏览器，您只需在Web服务器安装经CA签发的SSL证书，即可实现客户端与服务端的HTTPS通信。如何获取SSL证书（服务端证书），请参见购买SSL证书。 如果业务用户通过Java等客户端访问您的Web业务，由于客户端没有内置根证书和中间证书，您可能需要在对应客户端或者系统默认信任库手动安装根证书和中间证书，保证客户端能够校验服务端的加密信息。例如，服务端安装了标准版SSL证书，则客户端需要有标准版OV型根证书，才能实现客户端与服务端的HTTPS通信。 下载根证书 证书分类 下载根证书 标准版 国密标准：国密版本根证书.zip 标准版 国际标准： 2025年4月3日之后签发：国际版本根证书（20250403后）.zip 2025年1月14日2025年4月3日之间签发：国际版本根证书（2025011420250403）.zip 2025年1月14日前签发：国际版本根证书（旧）.zip SecureSite GeoTrust TrustAsia ECC算法：DigiCertGlobalRootG3root.rar SecureSite GeoTrust TrustAsia RSA算法：DigiCertGlobalRootG2root.rar GlobalSign OV证书、EV证书：GlobalSign Root CA R3.zip GlobalSign DV证书：GlobalSign Root CA R6.zip CFCA 国密标准：CFCA CS SM2 CA.zip CFCA 国际标准：CFCA EV ROOT.zip 个人证书 国密标准：个人证书根证书.zip

本章节主要介绍ALM19013 region处在RIT状态的时长超过阈值的告警。 告警解释 系统按300秒周期性检测HBase上的region处在RIT状态的数量。当检测到处在RIT状态的region时长超过阈值时长（连续两次超过阈值），上报该告警。当处在超时状态的region都恢复后，告警恢复。 说明 若集群启用了多实例功能且安装了多个HBase服务，请根据“定位信息”的“服务名”值来确定具体产生告警的HBase服务。例如HBase1服务不可用，则“定位信息”中显示服务名HBase1，处理步骤中的操作对象也应由HBase调整为HBase1。 告警属性 告警ID 告警级别 是否自动清除 19013 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 对系统的影响 表的部分数据丢失或不可用。 可能原因 Compaction永久阻塞。 HDFS文件异常。 处理步骤 检查告警原因 1.在FusionInsight Manager首页，选择“运维 > 告警 > 告警”，选中“告警ID”为“19013”的告警，查看“定位信息”中的主机名及角色名。 2.选择“集群 > 待操作集群的名称 > 服务 > HBase ”，单击图表区域右上角的下拉菜单，选择“定制 > 服务 > 处在RIT状态的region数”，单击“确定”，查看该图表中“处在RIT状态达到阈值时长的region数”监控项是否在连续3个检测周期内检测到值。（默认阈值为60秒）。 是，执行步骤3。 否，执行步骤7。 3.选择“集群 > 待操作集群的名称 > 服务 > HBase > HMaster（主） > Tables” ，查看是否只是某一个表的region RIT状态超时。 是，执行步骤4。 否，执行步骤7。 4.在客户端执行hbase hbck是否报错“No table descriptor file under hdfs://hacluster/hbase/data/default/table”。 是，执行步骤5。 否，执行步骤7。 5.以root用户登录客户端。执行如下命令： cd 客户端安装目录 source bigdataenv 如为安全模式集群，请执行kinit hbase 登录HMaster WebUI，在导航栏选择“Procedure & Locks”，在Procedures查看是否有处于Waiting状态的process id。如果有，需要执行以下命令将procedure lock释放： hbase hbck j 客户端安装目录/HBase/hbase/tools/hbasehbck2.jar bypass o pid 查看State是否处于Bypass状态，如果界面上的procedures一直处于RUNNABLE(Bypass)状态，需要进行主备切换。执行assigns命令使region重新上线。 hbase hbck j 客户端安装目录/HBase/hbase/tools/hbasehbck2.jar assigns o regionName 6.在客户端执行 hbase hbck，查看否报错“No table descriptor file under hdfs://hacluster/hbase/data/default/table”。 是，执行步骤7。 否，处理完毕。

查看omm密码状态 6.查看ssh命令的交互信息。 要求输入omm用户的密码（Password:），执行步骤7。 要求输入密码短语（Enter passphrase for key '/home/omm/.ssh/idrsa':），执行步骤9。 7.排查OMS节点和host2节点omm 用户的信任清单（/home/omm/.ssh/authorizedkeys），查看是否包含对端主机omm用户的公钥文件（/home/omm/.ssh/idrsa.pub）。 是，联系OS专家处理。 否，把对端主机omm用户的公钥添加到本机的信任清单中。 8.把对端主机omm 用户的公钥添加到本机的信任清单中，然后依次在告警详情中的节点执行ssh 命令：ssh host2 （host2为告警详情中OMS节点之外的其它节点），看是否连接失败。 是，执行步骤9。 否，持续一段时间观察告警是否清除，如果清除则操作结束，如果未清除请执行步骤9。 收集故障信息 9.在FusionInsight Manager界面，选择“运维 > 日志 > 下载”。 10.在“服务”中勾选“Controller”，单击“确定”。 11.单击右上角的设置日志收集的时间范围，一般为告警产生时间的前后10分钟，单击“下载”。 12.请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 节点互信异常处理方法如下： 须知 本此操作需使用omm用户执行。 如果节点间网络不通，请先解决网络不通的问题，可以检查两个节点是否通一个安全组，是否有设置hosts.deny、hosts.allow 等。 1.在两端节点执行sshadd l 确认是否有identities信息。 是，执行4。 否，执行2。 2.如果没有identities信息，执行ps efgrep sshagent 找到sshagent进程，并停止该进程并等待该进程自动重启。 3.执行sshadd l 查看是否已经添加identities信息，如果已经添加手动ssh确认是否互信正常。 4.如果有identities信息，需要确认“/home/omm/.ssh/authorizedkeys”中是否有对端节点“/home/omm/.ssh/idrsa.pub”文件中的信息，如果没有手动添加。 5.检查“/home/omm/.ssh”目录下的文件权限是否被修改。 6.排查如下日志文件“/var/log/Bigdata/nodeagent/scriptlog/sshagentmonitor.log”。 7.如果用户把omm的“/home”目录删除了，请联系MRS支撑人员修复。

本文主要介绍 手动配置Agent（Windows，可选） 操作场景 用户成功安装Agent插件后，推荐您采用“修复插件配置”方式配置Agent。如果“修复插件配置”不成功或其他原因导致无法配置Agent，你可以采用本章节提供的手工方式配置Agent。 约束与限制 Windows类型BMS暂不支持安装Agent。 前提条件 已成功安装Agent插件。 操作步骤 1. 登录ECS。 2. 打开telescopewindowsamd64bin文件夹下的conf.json文件。 3. 配置如下参数，参数说明请参见下表。 plaintext { "InstanceId":"", "ProjectId": "", "AccessKey": "", "SecretKey": "", "RegionId": "cnhz1", "ClientPort": 0, "PortNum": 200 } 表 公共配置参数 参数 说明 InstanceId ECS ID，可通过登录管理控制台，在弹性云主机ECS列表中查看。 说明 InstanceId可不用配置，保持"InstanceId":"",即可，若需要配置，需要遵循如下两条原则： l 该资源ID需保证全局唯一性，即同一个RegionID下Agent使用的InstanceId不能相同，否则系统可能会出现异常。 l InstanceId必须与实际的ECS或BMS资源ID一致，否则云监控服务界面将看不到对应ECS或BMS资源操作系统监控的数据。 ProjectId ProjectId可不用配置，保持"ProjectId": "",即可。若需要配置，请参考已下获取方式。 项目ID，获取方式如下： 登录管理控制台，单击右上角“用户名”，选择“我的凭证”； 在项目列表中，查看ECS或BMS资源对应的所属区域的项目ID。 AccessKey/SecretKey 访问密钥，获取方式如下： 登录管理控制台，单击右上角“用户名”，选择“我的凭证 > 管理访问密钥”； l 如已有访问密钥，查看创建时下载保存的credentials.csv文件中，获取文件中记录的Key值即可； l 如未创建，则通过“新增访问密钥”可创建新的访问密钥，妥善保存credentials.csv文件，并获取文件中记录的Key值。 须知 l 为了安全考虑，建议该用户为IAM用户，并且权限仅为CES Administrator和LTS Administrator 。 l 配置的AccessKey必须在“我的凭证 > 管理访问密钥”列表中，否则将鉴权失败，云监控服务界面看不到操作系统监控数据。 RegionId 区域ID，例如：ECS或BMS资源所属区域为“杭州”，则RegionID为“cnhz1”。 ClientPort Agent占用的起始端口号。 说明 默认为0，表示随机占用。11023为系统保留端口，建议不要配置。 PortNum Agent占用的范围的个数。 说明 默认为200，若ClientPort配置5000，则表示在50005199端口中随机占用。 4. 等待几分钟后，当插件状态为“运行中”并且监控状态开启时，说明Agent已安装成功并开始采集细粒度监控指标。

本节介绍服务器安全卫士（原生版）服务等级协议。 请参见服务器安全卫士（原生版）服务等级协议。

本节介绍如何发布网络策略并查看发布记录。 在预发布策略确认无误后，可以选择正式发布策略。 发布策略 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“网络安全 > 策略管理”，进入策略管理页面。 3. 单击策略列表操作列内的“发布”按钮，可以将预发布的策略改为正式发布。 4. 修改后，发布状态将改变为“已发布”状态。 若要修改已经发布的策略，需要先单击策略列表操作列内的“撤销”按钮撤回已发布的策略，撤回后才支持进行编辑操作。 查看发布记录 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“网络安全 > 策略管理”，进入策略管理页面。 3. 单击策略列表右上方的“发布记录”按钮，即可查看策略发布记录。

数据安全专区支持IPv4/IPv6双栈防护，在购买数据安全专区时，可以直接选择已开启IPv6的VPC和子网。或者购买数据安全专区后，修改VPC和子网配置，开启IPv6后，重启实例后会自动分配IPv6地址。 对于新用户来说，可以创建VPC和子网时选择开启 IPv6。 对于已开通服务的用户来说，可以修改VPC和子网配置，开启IPv6后，重启实例后会自动分配IPv6地址。

天翼云弹性高性能计算产品为您提供优质的服务体验,本文带您了解天翼云弹性高性能计算的产品优势。 高性能计算平台 快速交付，部署灵活 天翼云弹性高性能计算平台操作简洁、易于上手，您可以在天翼云控制台快速创建高性能计算集群，一键部署出您需要的高性能计算环境和应用程序，创建完成后即可立即提交作业开始工作。相较于传统超算漫长的部署周期，弹性高性能计算部署灵活、分钟级交付、资源即租即用，您可以随时选用最新硬件。 成本低廉，无需运维 天翼云弹性高性能计算平台服务免费，您仅需以租用的方式支付实例费用便可使用高性能计算平台。您无需关注HPC集群本身的设备运维、网络安全、机房故障等一系列运维事件，无需投入大量资金，极大地降低了中小客户的使用门槛。而传统超算需投入大量人力成本和物料成本，包括服务器、系统、数据库等软硬件费用及机房机柜费用和运维成本，对个人用户及中小企业不友好。 云端数据，安全可靠 不同租户之间资源隔离，数据安全有保障。基于虚拟私有云实现的网络访问隔离，充分保证了集群网络的安全性。支持对接弹性文件存储，满足企业数据安全和可靠性诉求。

本文为您介绍创建脚本的具体操作。 概述 脚本管理提供全生命周期脚本管控，涵盖脚本库的创建、验证、变更、停用、编辑、发布等，实现脚本标准化开发与版本控制；通过脚本黑名单机制拦截高风险脚本以强化安全，脚本历史支持操作追溯与审计。系统环境变量管理保障脚本跨环境兼容性，同时支持对云主机和数据库的自动化脚本执行，兼顾运维灵活性与安全性，降低人工干预风险，提升容灾场景下的操作效率和可靠性。 使用条件 多活容灾服务平台当前仅支持在平台侧执行脚本，不支持上传脚本文件到目标资源。 每种资源类型下同一种语言的脚本数量上限为50，若有扩展需要请联系管理员。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“脚本管理”“脚本库”，进入脚本库列表页。 5. 点击右上角“创建脚本”按钮，跳转至脚本创建页。 6. 创建脚本各配置项说明如下： 参数 是否必填 配置说明 脚本名称 √ 填写脚本名称，脚本名称需唯一。 长度为263字符。 脚本语言 √ 选择脚本语言，当前支持Shell、Python2、Python3。 脚本版本 √ 显示脚本版本，脚本创建时系统默认将脚本版本设置为v1.0。 适用资源类型 √ 选择适用资源类型，当前支持主机、数据库两类。 主机支持Linux/Windows；数据库支持MySQL/Redis/PostgreSQL/MongoDB。 脚本分组 × 选择脚本分组，默认无分组。 脚本来源 √ 选择脚本来源，支持本地脚本、手工录入、克隆、内置脚本。 本地脚本 √ 当脚本来源为本地脚本时显示，上传本地脚本文件。 文件类型限制为扩展名为.py或.sh两种。 源脚本 √ 当脚本来源为克隆时展示，选择源脚本，数据来自当前脚本库中所有脚本。 脚本模板 √ 当脚本来源为内置脚本时展示，选择脚本模板后，脚本内容展示相关脚本模板内容。 脚本内容 √ 当脚本来源为本地脚本时，展示本地上传脚本的内容，支持编辑。 当脚本来源为手工录入时，需用户手动录入脚本内容； 当脚本来源为克隆时，展示源脚本的脚本内容，支持编辑； 当脚本来源为内置脚本时，根据用户选择的脚本语言、适用类型和脚本模板展示脚本内容，支持编辑。 脚本内容长度上限为1000个字符。 脚本参数请求参数 √ 填写参数名称，长度不超过64字符。 选择参数类型，可选数值型、字符型、字符串型、布尔型。 填写参数key，长度不超过64字符，不能与系统环境变量key冲突。 选择参数是否必填，可选是、否。 填写参数描述。 脚本参数返回参数 √ 填写参数名称，长度不超过64字符。 选择参数类型，可选数值型、字符型、字符串型、布尔型。 填写参数key，长度不超过64字符，不能与系统环境变量key冲突。 填写参数描述。 成功标准判定方式 √ 选择成功标准判断方式，可选通过表达式判定、无条件成功。 成功标准表达式 √ 判定方式为表达式判定时展示，填写参数名，数据来源于脚本返回的参数名。 填写表达式符号，若参数类型为数值类型，可选等于/大于/小于/大于等于/小于等于；若参数类型为字符或字符串类型，可选等于/大于/小于/大于等于/小于等于/包含/不包含/以...开头/以...结尾；若参数类型为布尔型，可选等于。 填写表达式参数值，若参数类型为数值类型/字符型/字符串类型，需填写参数值；若参数类型为布尔型，可选择真/假。 成功标准表达式生效 √ 判定方式为表达式判定时展示，选择表达式生效方式，可选满足所有表达式、满足任一表达式。 脚本描述 × 填写脚本的描述。 长度为0100个字符。 7. 脚本信息填写完毕后，点击右下角“立即创建”按钮，完成创建脚本操作。

本页面介绍云数据库ClickHouse创建用户的基本语法。 CREATE USER语法用于在云数据库ClickHouse中创建新用户。以下是CREATE USER语句的基本语法结构： CREATE USER [IF NOT EXISTS] username [IDENTIFIED [WITH {PLAINTEXTPASSWORD SHA256PASSWORD}] BY 'password'] [DEFAULT ROLE rolename] [SETTINGS settingname settingvalue, ...] 其中的关键要素包括： IF NOT EXISTS：可选项，表示如果用户已经存在，则不执行创建操作。 username：指定用户的名称。 IDENTIFIED：可选项，用于指定用户的身份验证方式。可以选择明文密码（PLAINTEXTPASSWORD）或SHA256哈希密码（SHA256PASSWORD）。 'password'：指定用户的密码，需根据选择的身份验证方式进行正确的格式化。 DEFAULT ROLE：可选项，指定用户的默认角色（rolename）。 SETTINGS：可选项，用于指定用户的其他设置，例如最大查询并发数、查询超时时间等。 下面是一些示例的CREATE USER语句。 示例1 CREATE USER IF NOT EXISTS myuser IDENTIFIED WITH PLAINTEXTPASSWORD BY 'mypassword' DEFAULT ROLE myrole SETTINGS maxconcurrentqueries 10; 该语句创建了一个名为myuser的用户，使用明文密码进行身份验证，并设置了默认角色为myrole。同时，设置了maxconcurrentqueries参数为10。 示例2 用户名为name1且无需密码 这显然不太安全： CREATE USER name1 NOT IDENTIFIED 示例3 指定明文密码： CREATE USER name2 IDENTIFIED WITH plaintextpassword BY 'mypassword' 由于密码以明文形式存储在/var/lib/clickhouse/access目录下的SQL文本文件中，因此不建议使用明文密码不是一个好主意，可以尝试使用sha256password。 最常见的选择是使用SHA256散列算法对密码进行哈希。当指定IDENTIFIED WITH sha256password时，云数据库ClickHouse会为您对密码进行哈希处理。例如： CREATE USER name3 IDENTIFIED WITH sha256password BY 'mypassword' name3用户现在可以使用mypassword登录，但密码以上述哈希值的形式存储。以下SQL文件在服务器启动时被创建并执行： /var/lib/clickhouse/access $ cat 3843f5106ebda52d72ace021686d8a93.sql ATTACH USER name3 IDENTIFIED WITH sha256hash BY '0C268556C1680BEF0640AAC1E7187566704208398DA31F03D18C74F5C5BE5053' SALT '4FB16307F5E10048196966DD7E6876AE53DE6A1D1F625488482C75F14A5097C7'; 如果您已经为用户名创建了散列值和相应的盐值，那么可以使用IDENTIFIED WITH sha256hash BY 'hash'或IDENTIFIED WITH sha256hash BY 'hash' SALT 'salt'。对于带有SALT的sha256hash，哈希值必须从'password'和'salt'的串联中计算得出。

Windows环境下安装ICAgent失败，并提示SERVICE STOP 现象 ：在Windows环境下安装ICAgent失败，提示SERVICE STOP。任务管理器中不存在ICAgent任务。系统服务列表中不存在ICAgent服务。命令行下执行sc query icagent提示未找到。 原因 ：一般为360安全卫士等杀毒软件拦截了icagent服务注册。 解决方法 ： 1. 检查360安全卫士等杀毒软件是否正在运行。 2. 关闭360安全卫士后再进行icagent安装。 说明 Windows下ICAgent采集文件类型需要手动配置采集路径.log、 .trace、 .out等文本文件，不支持二进制文件。

元素名称 说明 XAmzAlgorithm V4签名算法。如果请求包含policy，对于V4签名，则此字段为必填字段。 取值：AWS4HMACSHA256。 XAmzCredential 用户的accessKeyId和范围信息，范围信息包括请求日期、区域、服务、终止字符串aws4request，格式如下： <youraccesskeyid>/<date>/<region>/<service>/aws4request 其中： date格式为YYYYMMDD。 region： 对于oos api：访问域名为oos xx .ctyunapi.cn，region为 xx 。 对于统计api：访问域名为oos xx mg.ctyunapi.cn，region为 xx mg。 对于操作跟踪api：访问域名为oos xx cloudtrail.ctyunapi.cn，region为 xx 。 对于iam api：访问域名为oos xx iam.ctyunapi.cn，region为 xx 。 说明 各资源池的详细访问域名详见 XAmzDate 日期和时间格式必须遵循ISO 8601标准，并且必须使用“yyyyMMddT HHmmssZ”格式进行格式化。例如，如果日期和时间是“08/01/2018 15：32：41.982700”，则必须首先将其转换为UTC（协调世界时），然后提交为“20180801T083241Z”。 如果请求包含policy，对于V4签名，则此字段为必填字段。 XAmzSecurityToken 临时会话使用的安全令牌。使用临时密钥构造V2或者V4签名请求时，此字段为必填字段。 xamz 以xamz开头的系统定义的元数据。（如xamzwebsiteredirectlocation、xamzstorageclass，不含xamzsignature）。 支持精确匹配。 bucket 指定上传内容允许的Bucket。 支持精确匹配和startswith。 contentlengthrange 指定已上传内容允许长度的最小值和最大值。 支持范围匹配。 CacheControl, ContentType, ContentDisposition, Content Encoding, Expires 特定于 REST 的标头。 支持精确匹配和startswith。 Key 已上传文件的名称或文件名称前缀。 支持精确匹配和 startswith。 successactionredirect, redirect 上传成功后客户端重定向到的URL。 支持精确匹配和startswith。 successactionstatus 如果没有指定 successactionredirect，上传成功后状态代码将返回到客户端。 支持精确匹配。 xamzmeta 特定于用户的元数据。 支持精确匹配和 startswith。

本文介绍如何创建云主机。 1. 目前双栈云主机未面向线上用户开放，线下客户请向云公司受理岗申请双栈公测权限，注明账号名称，账号归属（哪个分公司、哪个客户），公测的资源池。 2. 双栈是针对子网开启的，需在VPC内创建一个新的双栈子网，或对原有子网开启IPv6。申请完双栈公测权限后，创建子网时可看到选项。 3. 云主机必须创建在已开启IPv6的子网中，云主机目前只有在新创建的时刻支持开启双栈，存量主机暂无法增加IPv6地址。 4. 新建一台云主机，选择支持双栈的规格，并非所有主机规格都支持双栈，具体见后续列表，但也存在双栈POD中主机资源售罄而无法开出，如果14步都正常走完，选择支持的主机类型还是看不到IPv6选项，就是双栈资源售罄了。 5. 弹性IP仅用于访问IPv4公网，如果不访问IPv4公网，无需使用。 6. 牢记：弹性IP与双栈功能没有关系，不要把弹性IP的NAT64转换功能与双栈混为一谈。双栈云主机是通过云主机上绑定的双栈网卡获得内网IPv4地址、内外合一的IPv6地址。如果访问IPv4公网，就申请弹性IP；如果访问IPv6公网，就把双栈网卡的IPv6地址加入共享带宽。 7. 申请双栈主机成功后，主机将获得IPv6地址，此地址是全球唯一的，内网公网都相同，但此时只支持内网访问。 8. 以上都操作完成后，可登录主机尝试使用 ipconfig /all 或 ifconfig来查看主机是否获取了该IPv6地址。如果没有，需要手动开启IPv6协议。 9. 如果要访问IPv6公网，将IPv6地址加入共享带宽，并查看网络ACL和安全组的出入方向是否已放通所需IPv6协议。 ::/0 表示全部IPv6地址，0.0.0.0/0 表示全部IPv4地址。 网络控制台>访问控制>网络ACL，点击“添加规则”。 10. 尝试访问网站，正常显示网页则成功。如果失败，可将IPv6 DNS设置为 240c::6666 再尝试。

本节介绍了Linux外部镜像文件在导出前未完成初始化配置的解决办法。 外部镜像文件在从原平台导出前，没有按照准备镜像文件（Linux）一节中的Linux操作系统的镜像文件限制表的要求完成初始化操作，推荐您使用弹性云主机完成相关配置。流程如下图所示。 注意 云主机的正常运行依赖于XEN和KVM驱动，未安装会对云主机运行时的性能产生影响，云主机的部分功能会有缺失。请确保外部镜像文件在从原平台导出前，已安装这些驱动，否则云主机因启动不成功而无法进行任何配置。 详细操作请参考 创建过程 步骤1：上传镜像文件 上传外部镜像文件到OBS个人桶中，请参考上传镜像文件（Linux）。 步骤2：注册镜像 通过管理控制台选择上传的镜像文件，并将镜像文件注册为未初始化的私有镜像。请参考注册镜像（Linux）。 步骤3：创建云主机 使用未初始化的私有镜像创建弹性云主机。 1. 登录管理控制台。 2. 选择“计算 > 镜像服务”。 进入镜像服务页面。 3. 单击“私有镜像”页签进入私有镜像列表。 4. 在未初始化的私有镜像所在行，单击“操作”列的“申请主机”。 5. 根据界面提示完成云主机的创建。需要关注以下几点： 1. 需要在云主机所属安全组中添加对应的入方向规则，确保可以从外部访问该云主机。 2. 如果镜像文件中已安装了CloudInit工具，请按照界面提示设置登录密码；如果未安装，请使用镜像文件中包含的密码或证书登录。 详细操作请参见《弹性云主机用户指南》。 6. 请执行以下步骤检查云主机，验证私有镜像是否可用。 1. 如果云主机启动成功，证明外部镜像文件已安装原生XEN和KVM驱动，或者云平台的自动化配置功能已为您自动安装该驱动。否，请您在原平台安装原生XEN和KVM驱动后，再重新创建私有镜像。 2. 如果能够使用用户设置的密码/密钥登录云主机，证明已安装CloudInit工具。否，请使用原始密码/密钥登录云主机，再参考安装CloudInit工具。 3. 请参考步骤4：配置云主机检查网络相关配置。 如果满足以上条件，则私有镜像可用，请直接参考下文“清理环境（可选）”清理环境。

本页介绍分布式融合数据库HTAP的创建实例流程。 详细的创建实例过程能够帮助您更好的开始使用天翼云分布式融合数据库HTAP。 操作场景 本节将介绍分布式融合数据库HTAP的创建实例过程。 分布式融合数据库HTAP支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的数据库实例。 注意事项 分布式融合数据库HTAP的性能，取决于用户订购分布式融合数据库HTAP时所选择的配置。可供用户选择的硬件配置为性能规格、存储类型以及存储空间等。 操作步骤 1. 登陆天翼云官网。 2. 选择“产品 > 数据库 > 分布式融合数据库HTAP”，进入分布式融合数据库HTAP产品详情页面，点击【立即开通】。 3. 进入开通页面，选择或输入实例的相关配置信息。 其中基础配置包括计费模式、区域、引擎类型、版本和可用区，可用区可以选择1个或者3个。 实例规格包括配置模板、性能类型、各节点规格及数量。 配置模板给出了入门配置和标准配置两种建议，您也可以自定义配置。 性能类型有三种，通用型、计算增强型、内存优化型，并可以搭配六代机和七代机使用。 计算节点至少1个，行存节点至少3个，列存节点可以为0个，管理节点固定为3个，监控节点固定为1个。计算节点、行存节点、列存节点可根据需求自定义数量，最大数量不超过50个。 数据备份默认开启，开启数据备份后，至少要添加一个同步节点。若不开启数据备份，则不用添加同步节点。 网络配置包括虚拟私有云、子网、安全组。 数据库设置可以设置实例名称，如果批量订购多个实例，从第二个实例开始，实例名称1，第三个实例名称2。 购买量包括购买时长、购买数量、是否自动续订，最多可以批量购买50个实例。 最后阅读并勾选服务协议，确认无误后点击【下一步】。 4. 点击【下一步】跳转到配置确认页面，可以看到所需开通实例的配置信息，包括第 2 步开通页面中所选则的基础配置、部署配置、实例规格、网络配置、购买量、实例名称，确认无误后点击【立即创建】。 5. 点击【立即创建】后跳转到支付页面，可以看到订单支付详情，确认无误后点击【立即支付】。 6. 支付成功后返回订单列表页面，能看到实例状态为 “开通中”。稍等一会后，刷新页面，待实例状态显示“已完成”，创建实例成功。

本节基于天翼云分布式缓存服务实践所编写，用于指导您在以下场景使用DCS实现排行榜功能。 场景介绍 在网页和APP中常常需要用到榜单的功能，对某个keyvalue的列表进行降序显示。当操作和查询并发大的时候，使用传统数据库就会遇到性能瓶颈，造成较大的时延。 使用分布式缓存服务（DCS）的Redis版本，可以实现一个商品热销排行榜的功能。它的优势在于： 数据保存在缓存中，读写速度非常快。 提供字符串（String）、链表（List）、集合（Set）、哈希（Hash）等多种数据结构类型的存储。 实践指导 1. 准备一台弹性云主机（ECS），选择Windows系统类型。 2. 在ECS上安装JDK1.8以上版本和Eclipse，下载jedis客户端（点此处直接下载jar包）。 3. 在天翼云控制台购买DCS缓存实例。注意和ECS选择相同虚拟私有云、子网以及安全组。 4. 在ECS上运行Eclipse，创建一个java工程，为示例代码创建一个productSalesRankDemo.java文件，并将jedis客户端作为library引用到工程中。 5. 将DCS缓存实例的连接地址、端口以及连接密码配置到示例代码文件中。 6. 编译并运行得到结果。 代码示例 package dcsDemo02; import java.util.ArrayList; import java.util.List; import java.util.Set; import java.util.UUID; import redis.clients.jedis.Jedis; import redis.clients.jedis.Tuple; public class productSalesRankDemo { static final int PRODUCTKINDS 30; public static void main(String[] args) { //实例连接地址，从控制台获取 String host "192.168.0.246"; //Redis端口 int port 6379; Jedis jedisClient new Jedis(host, port); try { //实例密码 String authMsg jedisClient.auth(""); if (!authMsg.equals("OK")) { System.out.println("AUTH FAILED: " + authMsg); } //键 String key "商品热销排行榜"; jedisClient.del(key); //随机生成产品数据 List productList new ArrayList<>(); for(int i 0; i sortedProductList jedisClient.zrevrangeWithScores(key, 0, 1); for(Tuple product : sortedProductList) { System.out.println("产品ID： " + product.getElement() + ", 销量： " Double.valueOf(product.getScore()).intValue()); } System.out.println(); System.out.println(" "+key); System.out.println(" 前五大热销产品"); //获取销量前五列表并输出 Set sortedTopList jedisClient.zrevrangeWithScores(key, 0, 4); for(Tuple product : sortedTopList) { System.out.println("产品ID： " + product.getElement() + ", 销量： " Double.valueOf(product.getScore()).intValue()); } } catch (Exception e) { e.printStackTrace(); } finally { jedisClient.quit(); jedisClient.close(); } } }

本节主要介绍存储桶的安全策略。 安全策略定义OOS资源的访问权限，作用于所配置的存储桶及存储桶内文件（Object）。OOS存储桶拥有者通过安全策略可为IAM用户或其他帐号授权存储桶及存储桶内文件的操作权限，具体包括： 允许/拒绝Bucket级别的权限。 允许/拒绝Object级别的权限。 存储桶的安全策略是由效果、被授权用户、资源、动作和条件5个桶策略基本元素共同决定，详细的Bucket Policy格式请参见Bucket Policy元素。 说明 如果存储桶（Bucket）的属性为私有或者公共读，配置允许任何用户可以向该Bucket写文件的策略时，需要联系天翼云客服评估审核后开通此功能。 在“存储桶列表”页面点击“属性”>“安全策略”，进入“安全策略”页面，在该页面点击“编辑策略”，可以添加Bucket Policy。 Policy示例如下： Referer设置（防盗链设置） 如果要配置名称为"examplebucket"的Bucket的访问策略，只允许Referer头为以“ { "Version":"20121017", "Id":"", "Statement":[ { "Sid":"", "Effect":"Allow", "Principal":{ "CTYUN": [""] }, "Action":"oos:GetObject", "Resource":"arn:ctyun:oos:::examplebucket/", "Condition":{ "StringLike":{ "ctyun:Referer":[ " " ] } } } ] } IP设置 如果只允许IP地址在192.168.143.0/24范围内的IP访问存储桶examplebucket，不允许IP地址192.168.143.188/32访问，那么可以采用如下的配置方式。 { "Version": "20121017", "Id": "OOSPolicyId1", "Statement": [ { "Sid": "IPAllow", "Effect": "Allow", "Principal": { "CTYUN": "" }, "Action": "oos:GetObject", "Resource": "arn:ctyun:oos:::examplebucket/", "Condition" : { "IpAddress" : { "ctyun:SourceIp": "192.168.143.0/24" }, "NotIpAddress" : { "ctyun:SourceIp": "192.168.143.188/32" } } } ] }