前置网络协议与安全环境限制 协议与认证强制要求 ：不支持 Windows 身份认证方式，仅支持 SQL Server 身份认证。不支持 TLS 1.0 和 TLS 1.1 协议的同步，必须将源库升级到 TLS 1.2 及以上版本。 TDE透明数据加密 ：不支持迁移源数据库中开启了 TDE（透明数据加密）的数据库，若需迁移，必须在配置迁移任务前将其彻底关闭。同时，也不支持列加密。 操作须知 DTS同步过程一般包含四个阶段：预检查阶段、结构同步阶段、全量阶段、增量阶段。为了确保数据同步各个阶段的平顺，在创建同步任务前，请务必阅读以下使用须知。 如同步对象为表级别，则单次同步任务仅支持同步最多3000张表。当超出数量限制，任务会在提交后会请求报错。如果遇到这种情形，建议您拆分待同步的表，分批配置成多个任务，或者配置为整库同步。 目标库关联RDS数据库的字符集必须与源数据库一致。 目标库若已存在行数据，DTS在增量同步过程中源库相同主键的数据将覆盖目标库已存在的数据，因此在同步前需要用户自行判断数据是否需要清除，建议用户在同步前自行清空目标库。 目标实例及关联RDS实例的运行状态必须正常，若关联RDS实例是主备实例，复制状态也必须正常。 目标库关联RDS实例必须有足够的磁盘空间，建议至少为待同步数据量的2.5倍。（全量数据同步会并发执行 INSERT 操作，导致目标数据库的表产生碎片，因此全量同步完成后目标数据库的表存储空间会比源实例的表存储空间大）。 SQL Server的TIMESTAMP类型字段不能显式赋值，只能自动生成，所以目标库库的TIMESTAMP值自动生成，跟源库的字段值存在差异。 增量同步时，CDC机制会在源库的cdc这个schema下产生一些数据库对象，请勿操作，否则影响增量同步。 在任务启动、任务全量同步阶段，不建议对源数据库做删除类型的DDL操作，这样可能会引起任务同步失败。 同步过程中，不允许修改、删除连接源和目标数据库的用户的用户名、密码、权限，或修改源和目标数据库的端口号。 同步过程中，不允许对源库需要同步的表结构进行修改。 选择表级对象同步时，增量同步过程中不建议对表进行重命名操作。 增量同步场景下，不支持源数据库进行恢复操作。 增量同步场景下，不支持无主键表的数据增量同步，因为无主键表的增量同步性能远低于有主键的表，而且不能保证数据的一致性。 如果开启 CDC 的表需要写入的单字段数据长度超过 64KB，由于 CDC 作业默认最大处理长度限制，必须提前在源库执行 exec spconfigure 'max text repl size', 1; 命令进行配置调整，否则会导致同步失败或截断。 CDC 组件默认仅保留 3 天数据，若源库单表日均变更超千万条，建议使用 spcdcchangejob 命令将保留时间调整为 1440 分钟（24小时）或更长。 极端场景下，开启 CDC 的表数量不建议超过 1000 张，否则极易导致任务延迟或运行不稳定。聚集列存储索引表不支持开启 CDC。 待同步的表不仅需要有主键，还需要具备聚集索引且包含主键列；已经开启 CDC 的表不支持进行任何主键相关的变更，增量同步期间不支持重建索引操作，否则会造成数据丢失。 切勿使用 sprename 命令修改对象名称，应直接使用 ALTER 命令，否则会导致任务运行失败。 全量数据同步运行期间，建议将源库的事务处理模式启用 READCOMMITTEDSNAPSHOT（已提交读隔离），防止产生的共享锁影响业务正常写入。 在业务正式切换到目标实例前，务必手动结束该数据同步任务，或者回收 DTS 账号在目标库的写权限。避免任务意外自动恢复后用旧数据覆盖目标端新业务数据。 sys.sysservers视图的srvname字段与SERVERPROPERTY函数返回值保持一致。 若单次同步任务中开启CDC的表数量大于1000，则预检查会失败。 日志备份模式与全量物理备份前提：为保证增量同步正常进行，源库的数据日志必须开启，且备份模式必须设置为 Full。

本章节将介绍申请证书的详细操作。 成功购买证书后，您需要申请证书，即为证书绑定域名或IP、填写证书申请人的详细信息并提交审核。所有信息通过审核后，证书颁发机构才签发证书。 在申请证书时，您可以参考SSL证书申请常见问题。 前提条件 已成功购买证书并且在控制台的“证书状态”为“待申请”。如何购买证书请参考：购买SSL证书。 约束限制 如果您申请的DV证书，绑定的域名含有edu、gov、bank、live或品牌相关的敏感词，可能无法通过安全审核，建议选择OV或EV证书。 操作步骤 1. 登录“证书管理服务”控制台，在左侧导航栏选择“SSL证书管理 > SSL证书列表”，随后在顶部导航栏选择“可申请”，进入“证书管理”页面。 2. 选择“域名型 (DV) SSL”证书，单击“操作”列的“证书申请”按钮，进行SSL证书申请。 3. 在右侧弹出的窗口中填写证书申请的相关信息。 填写参数 参数说明 证书绑定域名 第一个域名将作为证书通用域名名称（不可修改）。 注意 若您在申请单域名规格证书时，填写的域名为4级及以上子域名，请加上“www”，否则不会包含主域名。例如：申请www.aaa.bbb.ctyun.cn，会包含aa.bbb.ctyun.cn这个备用域名，若直接申请aaa.bbb.ctyun.cn，则不会包含www.aaa.bbb.ctyun.cn这个备用域名。 若您的域名为中文域名，可使用Punycode编码转换工具将中文域名编码为Punycode填入域名栏。 域名验证方式 可选“文件验证”、“手工DNS验证”、“代理文件验证”、“代理DNS验证”。 “手工DNS验证”、“代理DNS验证”：不支持GlobalSign版本的证书验证。 “文件验证”、“代理文件验证”：目前仅支持绑定IP方式的OV证书验证，不支持通配符域名类型的证书验证。 说明 申请提交后，不支持更改域名验证方式，请谨慎选择。若已经提交申请，只能撤回申请后重新提交申请。 证书管理服务有效时长内包含多张SSL证书。每张张证书到期前30天，天翼云将会自动为您续期证书，此处的“域名验证方式”建议选择“代理文件验证”或“代理DNS验证”，每次续期证书将无需手动验证域名。 联系人 选择联系人，如何新建联系人请参考信息管理章节。 所在地 选择公司实际所在地区。（目前仅支持选择中国地区） 密钥算法 可选择“RSA”、“ECC”或“SM2”（根据购买证书页面所选的加密标准选择） CSR生成方式 CSR是一个包含网站、服务、国家、组织、域名、公钥和签名的编码文件，用于从可信的证书颁发机构（CA）获取SSL证书。 支持“系统生成”或“手动生成”两种方式： 系统生成：根据用户所配置的信息，系统自动生成一个CSR。为保障您的证书顺利申请，建议您使用系统生成CSR的方式，避免因内容不正确而导致的审核失败。 手动生成：在下拉框中选择已手动创建的CSR，使用已创建的CSR申请证书。 注意 请不要在证书签发完成前删除CSR。 手动生成将无法署到天翼云产品。 提醒事件管理 说明 证书过期将影响业务正常运行，因此，建议设置证书临期提醒，联系人建议填写运维人员。 联系人 建议填写运维人员。如果需要新增联系人，请参见联系人管理。 提醒方式 可选择“邮件方式”、“短信方式”。 提醒内容 支持多选： 30天到期提醒 15天到期提醒 证书验证提醒 证书下载提醒 4. 填写完后，单击“提交审核”。 提交审核后，CA颁发机构将对您提交的申请进行处理并给您填写的邮箱发送一封验证邮件。您需要按照要求进行域名验证。 5. 配置域名验证信息，配置域名信息操作可参考域名验证。配置后完成等待审核签发证书。 6. 若证书已成功签发，可返回到“已签发”页签查看签发成功的证书。

本文主要介绍通过控制台使用Nginx Ingress。 前提条件 Ingress为后端工作负载提供网络访问，因此集群中需提前部署可用的工作负载。若您无可用工作负载，可参考创建无状态负载(Deployment)、创建有状态负载(StatefulSet)或创建守护进程集(DaemonSet)部署工作负载。 添加Nginx Ingress时，需在集群中提前安装nginxingress插件。 注意事项 不建议在ELB服务页面修改ELB实例的任何配置，否则将导致服务异常。 如果您已经误操作，请卸载Nginx Ingress插件后重装。 Ingress转发策略中注册的URL需与后端应用暴露的URL一致，否则将返回404错误。 负载均衡实例需与当前集群处于相同VPC 且为相同公网或私网类型。 负载均衡实例需要拥有至少两个监听器配额，且端口80和443没有被监听器占用。 添加Nginx Ingress 本节以Nginx作为工作负载并添加Nginx Ingress为例进行说明。 步骤 1 登录CCE控制台，单击集群名称进入集群。 步骤 2 选择左侧导航栏的“服务发现”，在右侧选择“路由”页签，单击右上角“创建路由”。 步骤 3 设置Ingress参数。 名称： 自定义Ingress名称，例如nginxingressdemo。 命名空间： 选择需要添加Ingress的命名空间。 对接Nginx： 集群中已安装nginxingress插件后显示此选项，未安装nginxingress模板时本选项不显示。 单击开启后将对接nginxingress提供7层访问，可配置如下参数。 TLS配置 ：nginxingress支持HTTP和HTTPS，安装nginxingress时预留的监听端口，默认HTTP为80，HTTPS为443。使用HTTPS需要配置相关证书。 服务器证书：创建HTTPS协议监听时需要绑定IngressTLS类型的密钥证书，以支持HTTPS数据传输加密认证，创建密钥的方法请参见创建密钥。 SNI：SNI（Server Name Indication）是TLS的扩展协议，在该协议下允许同一个IP地址和端口号下对外提供多个基于TLS的访问域名，且不同的域名可以使用不同的安全证书。开启SNI后，允许客户端在发起TLS握手请求时就提交请求的域名信息。负载均衡收到TLS请求后，会根据请求的域名去查找证书：若找到域名对应的证书，则返回该证书认证鉴权；否则，返回缺省证书（服务器证书）认证鉴权。 转发策略配置： 请求的访问地址与转发规则匹配时（转发规则由域名、URL组成），此请求将被转发到对应的目标Service处理。单击“添加转发策略”按钮可添加多条转发策略。 域名：实际访问的域名地址。请确保所填写的域名已注册并备案，在Ingress创建完成后，将域名与自动创建的负载均衡实例的IP（即Ingress访问地址的IP部分）绑定。一旦配置了域名规则，则必须使用域名访问。 URL：需要注册的访问路径，例如：/healthz。社区v1.2.0版本（对应CCE nginxingress插件2.1.0版本）后修复CVE202125745( 目标服务名称：请选择已有Service或新建Service。页面列表中的查询结果已自动过滤不符合要求的Service。 目标服务访问端口：可选择目标Service的访问端口。 操作：可单击“删除”按钮删除该配置。 说明 Nginx Ingress的URL匹配规则是基于“/”符号分隔的路径前缀匹配，并区分大小写。只要访问路径以“/”符号分隔后的子路径匹配此前缀，均可正常访问，但如果该前缀仅是子路径中的部分字符串，则不会匹配。例如URL设置为/healthz，则匹配/healthz/v1，但不匹配/healthzv1。 注解 ：以“key: value”形式设置，可通过Annotations查询nginxingress支持的配置。社区v1.2.0版本（对应CCE nginxingress插件2.1.0版本）后修复CVE202125746( 步骤 4 配置完成后，单击“创建”。 创建完成后，在Ingress列表可查看到已添加的Ingress。

一、获取ak、sk 1. 登录CDN+IAM。 2. 在个人中心AccessKey管理页面，点击新增按钮。 3. 选择对应的工作区并确定，此时你可以查看到AccessKey已生成。 4. 选中密钥，点击查看。为保障安全，需要填写手机验证码。验证通过后，点击显示SK，即可查看详情，并支持复制和发送邮箱操作。 二、在httpclient的请求头增加3个字段，分别是eopdate、ctyuneoprequestid、EopAuthorization。 1.构造eopdate 。该字段的格式是“yyyymmddTHHMMSSZ”，言简意赅就是“年月日T时分秒Z”，示例“eopdate:20211221T163614Z”。 2.构造ctyuneoprequestid 。该字段是uuid，32位随机数。 3.构造EopAuthorization 。按以下步骤进行： 3.1构造代签字符串sigture 。sigture 需要进行签名的Header排序后的组合列表+ " n " + 排序的query + " n " + toHex(sha256(原封的body)) 需要进行签名的Header排序后的组合列表 将ctyuneoprequestid、eopdate以 “headername:headervalue”的形式、以“n ”作为每个header的结尾符、以英文字母表作为headername的排序依据将它们拼接起来。 注意：EOP强制要求ctyuneoprequestid、eopdate必须进行签名。其他字段是否需要签名看自身需求。 例子(假设你需要将ctyuneoprequestid、eopdate、host都要签名)： ctyuneoprequestid:123456789neopdate:20210531T100101Zn 排序的query query以&作为拼接，key和值以连接，排序规则使用26个英文字母的顺序来排序，Query参数全部都需要进行签名 toHex(sha256(原封的body)) 传进来的body参数进行sha256摘要，对摘要出来的结果转十六进制 sigture 示例1 （假设query 为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z nnne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 sigture 示例2 （假设query 不为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160930Z nnaa1&bb2ne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 3.2 构造动态秘钥kdate 。 3.2.1 使用eopdate作为数据，sk作为密钥，算出ktime。 3.2.2 使用ak作为数据，ktime作为密钥，算出kAk。 3.2.3 使用eopdate的年月日值作为数据，kAk作为密钥，算出kdate。 eopdate yyyymmddTHHMMSSZ（20211221T163614Z）(年月日T时分秒Z) : Ktime 使用eopdate作为数据，sk作为密钥，算出ktime。 Ktime hmacSha256(eopdate,sk) kAk 使用ak作为数据，ktime作为密钥，算出kAk。 kAk hmacsha256(ak,ktime) kdate 使用eopdate的年月日值作为数据，kAk作为密钥，算出kdate。 kdate hmacsha256(eopdate,kAk) 3.3 构造Signature 。使用kdate作为密钥、sigture作为数据，将其得到的结果进行base64编码得出Signature Signature 1）hmacsha256(sigture,kdate) 2）将上一步的结果进行base64加密得出Signature 3.4 构造EopAuthorization 。 3.4.1 构造Headers。 3.4.2得到EopAuthorization。 EopAuthorization:ak Headersxxx Signaturexxx。 Headers 将需要进行签名的请求头字段以 “headername”的形式、以“;”作为间隔符、以英文字母表作为headername的排序依据将它们拼接起来。 例子(假设你需要将ctyuneoprequestid、eopdate都要签名)：Headers ctyuneoprequestid;eopdate : EopAuthorization EopAuthorization:ak Headersxxx Signaturexxx。注意，ak、Headers、Signature之间以空格隔开。 例如：EopAuthorization:ak Headersctyuneoprequestid;eopdate SignatureNlMHOhk5bVfZ9MwDSSJydcZjjENmDtpNYigJGVb 注意：如果你需要进行签名的Header不止默认的ctyuneoprequestid和eopdate，那么你需要在httpclient的请求头部中加上，并且EopAuthorization中也需要增加 三、 签名示例。

一、获取ak、sk 1.登录天翼云CDN+IAM 。 2.在个人中心AccessKey管理页面，点击新增按钮。 3.选择对应的工作区并确定，此时你可以查看到AccessKey已生成。 4.选中密钥，点击查看。为保障安全，需要填写手机验证码。验证通过后，点击显示SK，即可查看详情，并支持复制和发送邮箱操作。 二、鉴权方式 在httpclient的请求头增加3个字段，分别是eopdate、ctyuneoprequestid、EopAuthorization。 1.构造eopdate 。该字段的格式是“yyyymmddTHHMMSSZ”，言简意赅就是“年月日T时分秒Z”，示例“eopdate:20211221T163614Z”。 2.构造ctyuneoprequestid 。该字段是uuid，32位随机数。 3.构造EopAuthorization 。按以下步骤进行： 3.1构造代签字符串sigture 。sigture 需要进行签名的Header排序后的组合列表+ " n " + 排序的query + " n " +toHex(sha256(原封的body))。 步骤 构造请求头的方法 需要进行签名的Header排序后的组合列表 将ctyuneoprequestid、eopdate以 “headername:headervalue”的形式、以“n ”作为每个header的结尾符、以英文字母表作为headername的排序依据将它们拼接起来。 注意：EOP强制要求ctyuneoprequestid、eopdate必须进行签名。其他字段是否需要签名看自身需求。 例子(假设你需要将ctyuneoprequestid、eopdate、host都要签名)： ctyuneoprequestid:123456789neopdate:20210531T100101Zn 排序的query query以&作为拼接，key和值以连接，排序规则使用26个英文字母的顺序来排序，Query参数全部都需要进行签名 toHex(sha256(原封的body)) 传进来的body参数进行sha256摘要，对摘要出来的结果转十六进制 sigture 示例1 （假设query 为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z nnne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 sigture 示例2 （假设query 不为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855）： ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160930Z nnaa1&bb2ne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 3.2构造动态秘钥kdate 。 3.2.1使用eopdate作为数据，sk作为密钥，算出ktime。 3.2.2使用ak作为数据，ktime作为密钥，算出kAk。 3.2.3使用eopdate的年月日值作为数据，kAk作为密钥，算出kdate。 步骤 构造动态密钥的方法 : eopdate yyyymmddTHHMMSSZ（20211221T163614Z）(年月日T时分秒Z) Ktime 使用eopdate作为数据，sk作为密钥，算出ktime。 Ktime hmacSha256(eopdate,sk) kAk 使用ak作为数据，ktime作为密钥，算出kAk。 kAk hmacsha256(ak,ktime) kdate 使用eopdate的年月日值作为数据，kAk作为密钥，算出kdate。 kdate hmacsha256(eopdate,kAk) 3.3构造Signature 。使用kdate作为密钥、sigture作为数据，将其得到的结果进行base64编码得出Signature。 步骤 构造签名的方法 Signature 1）hmacsha256(sigture,kdate) 2）将上一步的结果进行base64加密得出Signature 3.4构造EopAuthorization 。 3.4.1构造Headers。 3.4.2得到EopAuthorization。 EopAuthorization:ak Headersxxx Signaturexxx。 步骤 构造EopAuthorization的方法 : Headers 将需要进行签名的请求头字段以 “headername”的形式、以“;”作为间隔符、以英文字母表作为headername的排序依据将它们拼接起来。 例子(假设你需要将ctyuneoprequestid、eopdate都要签名)：Headers ctyuneoprequestid;eopdate EopAuthorization EopAuthorization:ak Headersxxx Signaturexxx。注意，ak、Headers、Signature之间以空格隔开。 例如：EopAuthorization:ak Headersctyuneoprequestid;eopdate SignatureNlMHOhk5bVfZ9MwDSSJydcZjjENmDtpNYigJGVb 注意：如果你需要进行签名的Header不止默认的ctyuneoprequestid和eopdate，那么你需要在httpclient的请求头部中加上，并且EopAuthorization中也需要增加 三、 签名示例

本文简述如何调用API获取AKSK。 一、获取AKSK 1. 登录CDN+ IAM，地址：vip.ctcdn.cn 。 2. 在个人中心AccessKey管理页面，点击新增按钮。 3. 选择对应的工作区并确定，此时你可以查看到AccessKey已生成。 4. 选中密钥，点击查看。为保障安全，需要填写手机验证码。验证通过后，点击显示SK，即可查看详情，并支持复制和发送邮箱操作。 二、在httpclient的请求头增加3个字段，分别是eopdate、ctyuneoprequestid、EopAuthorization。 1.构造eopdate 。该字段的格式是“yyyymmddTHHMMSSZ”，言简意赅就是“年月日T时分秒Z”，示例“eopdate:20211221T163614Z”。 2.构造ctyuneoprequestid 。该字段是uuid，32位随机数。 3.构造EopAuthorization 。按以下步骤进行： 3.1构造代签字符串sigture 。 sigture 需要进行签名的Header排序后的组合列表+ " n " + 排序的query + " n " + toHex(sha256(原封的body)) 步骤 构造请求头的方法 需要进行签名的Header排序后的组合列表 将ctyuneoprequestid、eopdate以 “headername:headervalue”的形式、以“n ”作为每个header的结尾符、以英文字母表作为headername的排序依据将它们拼接起来。 注意：EOP强制要求ctyuneoprequestid、eopdate必须进行签名。其他字段是否需要签名看自身需求。 例子(假设你需要将ctyuneoprequestid、eopdate、host都要签名)： ctyuneoprequestid:123456789neopdate:20210531T100101Zn 排序的query query以&作为拼接，key和值以连接，排序规则使用26个英文字母的顺序来排序，Query参数全部都需要进行签名 toHex(sha256(原封的body)) 传进来的body参数进行sha256摘要，对摘要出来的结果转十六进制 sigture 示例1： 假设query 为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z nnne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 sigture 示例2： 假设query 不为空 、需要进行签名的Header排序后的组合列表为“ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160752Z n”、body参数做sha256摘要后转十六进制为e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 ctyuneoprequestid:27cfe4dce64045f692ca492ca73e8680n eopdate:20220525T160930Znnaa1&bb2ne3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 3.2 构造动态秘钥kdate。 3.2.1 使用eopdate作为数据，sk作为密钥，算出ktime。 3.2.2 使用ak作为数据，ktime作为密钥，算出kAk。 3.2.3 使用eopdate的年月日值作为数据，kAk作为密钥，算出kdate。 步骤 构造动态密钥的方法 : eopdate yyyymmddTHHMMSSZ（20211221T163614Z）(年月日T时分秒Z) Ktime 使用eopdate作为数据，sk作为密钥，算出ktime。 Ktime hmacSha256(eopdate,sk) kAk 使用ak作为数据，ktime作为密钥，算出kAk。 kAk hmacsha256(ak,ktime) kdate 使用eopdate的年月日值作为数据，kAk作为密钥，算出kdate。 kdate hmacsha256(eopdate,kAk) 3.3 构造Signature 。使用kdate作为密钥、sigture作为数据，将其得到的结果进行base64编码得出Signature 步骤 构造签名的方法 Signature 1）hmacsha256(sigture,kdate) 2）将上一步的结果进行base64加密得出Signature 3.4 构造EopAuthorization。 3.4.1 构造Headers。 3.4.2得到EopAuthorization。 EopAuthorization:ak Headersxxx Signaturexxx 步骤 构造EopAuthorization的方法 : Headers 将需要进行签名的请求头字段以 “headername”的形式、以“;”作为间隔符、以英文字母表作为headername的排序依据将它们拼接起来。 例如(假设你需要将ctyuneoprequestid、eopdate都要签名)：Headers ctyuneoprequestid;eopdate EopAuthorization EopAuthorization:ak Headersxxx Signaturexxx。注意，ak、Headers、Signature之间以空格隔开。 例如：EopAuthorization:ak Headersctyuneoprequestid;eopdate SignatureNlMHOhk5bVfZ9MwDSSJydcZjjENmDtpNYigJGVb 注意：如果你需要进行签名的Header不止默认的ctyuneoprequestid和eopdate，那么你需要在httpclient的请求头部中加上，并且EopAuthorization中也需要增加 三、 签名示例

本文带您了解证书格式的具体要求。 证书格式要求 在创建证书时，支持粘贴证书到内容框，或点击上传证书内容。证书包含证书的公钥和签名等信息，证书扩展名为".pem"或".crt"，您可直接输入证书内容或上传证书文件。 1. 通过Root CA机构颁发的证书，证书是唯一的一份，不需要额外的证书，配置的站点即可被浏览器等访问设备认为可信。Root CA证书格式必须符合如下要求：以BEGIN CERTIFICATE, END CERTIFICATE开头和结尾。每行64个字符，最后一行长度可以不足64个字符。证书内容不能包含空格。 2. 通过中级CA机构颁发的证书，证书文件包含多份证书，需要将服务器证书与中级证书合并在一起上传。证书链格式必须符合如下要求：BEGIN CERTIFICATEEND CERTIFICATEBEGIN CERTIFICATEEND CERTIFICATEBEGIN CERTIFICATEEND CERTIFICATE服务器证书放第一位，中级证书放第二位，中间不能有空行。证书内容不能包含空格。证书之间不能有空行，并且每行64字节。符合证书的格式要求。 私钥格式要求 私钥是证书的关键部分，用于加密和解密通信数据。建议在生成和使用私钥时，遵循最佳实践并确保其安全性，以保护您的通信安全。 证书的私钥，私钥扩展名为"key",您可直接输入私钥文件内容或上传符合格式的私钥文件。私钥内容格式为:以“ BEGIN RSA PRIVATE KEY ”作为开头，“ END RSA PRIVATE KEY ”作为结尾。 RSA私钥示例： BEGIN RSA PRIVATE KEY MIICXQIBAAKBgQDFPN9ojPndxSC4E1pqWQVKGHCFlXAAGBOxbGfSzXqzsoyacotu eqMqXQbxrPSQFATeVmhZPNVEMdvcAMjYsV/mymtAwVqVA6q/OFdX/b3UHO+b/VqL o3J5SrM86Veqnjzwu4oCSabuEDiN+tga1syQmEG4OFM6NSmAYSxcZdE6LwIDAQAB AoGBAJvLzJCyIsCJcKHWL6onbSUtDtyFwPViD1QrVAtQYabF14g8CGUZG/9fgheu TXPtTDcvu7cZdUArvgYW3I9F9IBb2lmF3a44xfiAKdDhzr4DK/vQhvHPuuTeZA41 r2zp8Cu+Bp40pSxmoAOK3B0/peZAka01Ju7c7ZChDWrxleHZAkEA/6dcaWHotfGS eW5YLbSms3f0m0GH38nRl7oxyCW6yMIDkFHURVMBKW1OhrcuGo8u0nTMi5IH9gRg 5bH8XcujlQJBAMWBQgzCHyoSeryD3TFieXIFzgDBw6Ve5hyMjUtjvgdVKoxRPvpO kclc39QHP6Dm2wrXXHEej+9RILxBZCVQNbMCQQC42i+Ut0nHvPuXN/UkXzomDHde h1ySsOAO4H+8Y6OSI87l3HUrByCQ7stX1z3L0HofjHqV9Koy9emGTFLZEzSdAkB7 Ei6cUKKmztkYe3rr+RcATEmwAw3tEJOHmrW5ErApVZKr2TzLMQZ7WZpIPzQRCYnY 2ZZLDuZWFFG3vW+wKKktAkAaQ5GNzbwkRLpXF1FZFuNF7erxypzstbUmU/31b7tS i5LmxTGKL/xRYtZEHjya4Ikkkgt40q1MrUsgIYbFYMf2 END RSA PRIVATE KEY EC私钥示例（暂不支持）： BEGIN EC PRIVATE KEY MHcCAQEEIKpAuZ/Wwp7FTSCNJ56fFM4Y/rf8ltXp3xnrooPxNc1UoAoGCCqGSM49 AwEHoUQDQgAEqiRaEw3ItPsRAqdDjJCyqxhfm8y3tVrxLBAGhPM0pVhHuqmPoQFA zR5FA3IJZaWcopieEX5uZ4KMtDhLFu/FHw END EC PRIVATE KEY

本文介绍OpenClaw(原 Clawdbot)更改厂商模型配置的内容。 前置说明 1.该文档为介绍通过应用托管应用市场体验OpenClaw更改厂商模型配置的内容。 2.本产品中的应用由第三方主体提供，尽管天翼云已尽最大努力进行识别和维护，但仍无法保证应用的可用性。请客户按照该产品的服务协议使用该产品，做好甄别工作，并对自行选择的服务承担相应责任。 概述 OpenClaw是近期在开发者社区和AI领域广受关注的一款开源、自托管的个人AI助手。它以其独特的“本地优先”设计理念，将强大的大型语言模型能力与用户本地系统深度结合，实现了从“对话式AI”到“可执行实际任务的智能体”的跨越。与依赖云端服务的传统AI助手不同，OpenClaw将数据主权和隐私控制权完全交还给用户，所有数据和处理过程均在用户可控的环境中进行，被誉为“首个7×24小时永不下班的AI员工”。它的开源特性也吸引了大量开发者参与生态建设，形成了一个活跃的技能市场。 重要：OpenClaw 为开源 AI 助手，请在使用前充分评估其安全性与稳定性并严格遵循许可协议，以切实保障您的系统环境与数据安全。 1. 请避免在 OpenClaw 中绑定生产级敏感账号。如需使用 API 服务，建议使用受限的 API Key 或临时 Token，并建立定期轮换机制，以降低密钥泄露带来的风险。 2. 建议优先使用天翼云官方提供的skills与插件，避免安装来源不明的第三方技能，防止恶意代码注入。 3. 请通过密码或 Token 对 OpenClaw 服务进行访问授权，严格限制访问 IP 范围，避免公网暴露，拦截非授权访问请求。 4. 建议启用详细的日志记录与行为监控，对操作行为和数据处理过程进行持续审计，及时发现并处置异常行为。

自增属性AUTOINCREMENT为何未在表结构中显示 场景描述 创建表时，添加了自增属性AUTOINCREMENT，执行 show create table ，自增属性未在表结构中显示。 创建表： 执行show create table xxx ，未显示自增属性AUTOINCREMENT： 原因分析 经过排查，是因为参数“sqlmode”设置了NOFIELDOPTIONS属性。 sqlmode相关属性介绍： NOFIELDOPTIONS：不要在SHOW CREATE TABLE的输出中打印MySQL专用列选项。 NOKEYOPTIONS：不要在SHOW CREATE TABLE的输出中打印MySQL专用索引选项。 NOTABLEOPTIONS：不要在SHOW CREATE TABLE的输出中打印MySQL专用表选项（例如ENGINE）。 解决方案 将sqlmode的NOFIELDOPTIONS属性去掉即可。 空用户的危害 MySQL中是允许用户名为 '' 的用户存在，本章节介绍数据库中存在这种空用户时的危害。 MySQL中使用空用户时，它将可以匹配任何用户名。这一特性也会带来多种安全性、功能性危害。所以，在实际使用过程中应避免使用空用户。 安全性危害 当存在空用户时，连接时可以使用任意用户名进行登录。 如果空用户有密码，则使用任意用户名和空用户的密码即可登录数据库，并获得空用户所拥有的所有权限。示例： 没有空用户时，使用非法用户名‘abcd’，连接失败 mysql> select user,host from mysql.user; ++ user host ++ root % mysql.infoschema localhost mysql.session localhost mysql.sys localhost ++ mysql uabcd h127.0.0.1 P3306 pTest1234 mysql: [Warning] Using a password on the command line interface can be insecure. ERROR 1045 (28000): Access denied for user 'abcd'@'localhost' (using password: YES)

HBlock CSI插件 HBlock Container Storage Interface(CSI)插件是一种符合CSI规范的驱动程序。HBlock CSI插件与Kubernetes集成，可以为Kubernetes提供高性能、可扩展、高可靠的持久化存储。HBlock CSI插件架构如下图所示。 HBlock CSI插件运行在CSI Pod中，CSI Pod通过此插件管理持久卷的生命周期，包括创建、删除、挂载和卸载持久卷等操作。每个持久卷在 HBlock存储集群中对应一个iSCSI LUN。当Kubernetes中的Pod需要使用该卷时，将通过 iSCSI 协议在Pod所在的物理节点上挂载该LUN，Pod使用LUN对应的数据目录进行读写。 HBlock CSI插件特点 稳定性强 HBlock CSI插件将存储和计算资源完全解耦，实现了资源的隔离。HBlock CSI插件以容器化方式部署，充分保证了运行的稳定性。 安全性高 对于需要配置在HBlock CSI插件中的敏感信息，支持使用加密方式配置，充分保证用户数据安全，不会泄露密码密钥等重要信息。 兼容性强 HBlock CSI插件以容器化方式部署，不依赖于操作系统版本的限制，可以运行在多种操作系统上，消除环境差异带来的不确定性以及其他约束。 灵活性强 支持静态PV，动态PV，动态PVC等多种调用方法，用户可根据实际应用需要灵活创建、挂载存储卷。 静态PV：即直接使用YAML文件创建的PV，适用于存储卷较少，并且不会频繁修改配置信息的场景。 动态PV：即通过PVC创建的PV，无需提前创建PV，只要通过StorageClass把存储资源定义好，Kubernetes就会根据PVC动态创建PV。适用于存储卷较多，但存储卷的类型都相同的场景。 动态PVC：通过StatefulSet中指定的StorageClass动态创建PVC，Kubernetes根据StorageClass中配置的信息，自动触发HBlock CSI插件创建HBlock 卷。适用于需动态创建多个Pod，并为其挂载存储的场景。

本节介绍服务器安全卫士（原生版）网页防篡改相关常见问题。 如何使用网页防篡改（原生版）？ 首先需要根据所需防护的服务器上的网站情况，订购网页防篡改（原生版）配额，每台服务器需订购1个配额。订购成功后，根据您的网站情况进行防护策略的配置，即可开启网页防篡改（原生版）防护服务。 如何绑定网页防篡改防护配额？ 1. 购买成功防护配额后，可在防护配额管理页面查看配额的使用状态、绑定服务器、开通时间、到期时间等信息。 2. 在防护管理页面对需要防护的服务器进行防护设置，在防护设置页面选择防护配额，即可进行绑定。详细操作请参见防护管理。 为什么要添加防护目录？ 通常攻击者对网站发起攻击都会恶意篡改网页目录中的文件，因此需要添加网站防护目录，网页防篡改（原生版）才能实时监控，发现篡改行为后可以立即告警并自动恢复。 设置防护目录操作步骤如下： 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“网页防篡改（原生版） > 防护管理”，进入防护管理页面。 3. 在列表中选择要进行防护设置的服务器，单击操作列的“防护设置”，进入防护设置页面。 4. 绑定防护配额：选择需要绑定的配额后，单击“配置防护策略”。 若已经绑定防护配额，可直接进入篡改防护设置页面。 5. 篡改防护设置：包括配置防护目录、设置特权进程、设置远端备份。 配置防护目录：防护目录分为添加白名单和添加黑名单两种模式，可根据实际使用场景进行配置。 白名单模式：会对添加的防护目录和文件类型进行保护。 黑名单模式：会防护目录下所有未排除的子目录、文件类型和指定文件。 其他配置 ：请参见防护管理。 完成防护设置后，用户即可对服务器开启网页防篡改防护。

数据安全专区数据脱敏能力具有广泛的数据库支持、出色的性能和良好的可扩展性。它采用独特的脱敏与水印/溯源算法，能够高效处理敏感数据，实现去标识化和匿名化。多种处理方式如固定值替换、置空、乱序、保留统计特征等确保了在不改变现有业务逻辑的前提下，脱敏后的数据仍能保留原有业务逻辑特征。 数据安全专区支持软硬件一体机或虚拟化部署（保证与生产环境和开发 第三方测试环境前后路由可达即可）。生产库中的原始数据，经过数据脱敏清洗后离线分发至测试环境，所有敏感数据全部在内存中处理，可保证整个环节敏感数据不落地。 主要功能 敏感数据自动发现 数据脱敏系统内置多种发现规则，支持基于数据内容的识别，不仅依赖于用户的元数据管理系统、字段名或字段注释等信息。支持用户基于自身需求自定义规则，实现对敏感数据的自动发现和标识。 同时数据脱敏系统可和数据分级分类平台进行对接，可基于行业或法律法规对敏感数据进行分类分级与梳理，便于用户按照不同级别进行脱敏算法的配置，有效避免数据的过度保护。 支持采用随机采样的方式，在采样的过程中过滤空值及脏数据。如在业务初期数据逻辑定义不规范往往会产生较多脏数据，而传统的敏感数据检索方式通常是简单过滤表中前若干条数据，无法有效避免此类脏数据的干扰。数据脱敏系统的随机采样是基于表总行数进行随机抽取，可有效避免脏数据的干扰，提高敏感数据识别的准确性。数据发现算法除常规的正则表达式、字典等，还加入了NLP算法，开箱即用70多种通用敏感字段识别算法，大幅提升了对敏感数据内容的识别和处理能力。有效避免敏感数据的误报、漏报。

安装Agent后，您才能开启数据库安全审计功能，对待审计的数据库进行审计。本节介绍如何在Windows操作系统上安装Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 已获取Windows操作系统Agent安装包。 安装Agent节点的运行系统满足Windows系统版本要求。 安装Agent 1. 在Windows主机安装“Npcap”软件。如果该Windows主机已安装“Npcap”，请执行步骤2。如果该Windows主机未安装“Npcap”，请执行以下步骤： 请前往 将下载好的npcap xxxx .exe软件安装包上传至需要安装agent的虚拟机。 双击npcap软件安装包。 在弹出的对话框中，单击“I Agree”，如图所示。同意安装“Npcap” 在弹出的对话框中，单击“Install”，不勾选安装选项，如图所示。安装“Npcap” 在弹出的对话框中，单击“Next”。 单击“Finish”，完成安装。 2. 以“Administrator”用户登录到Windows主机。 3. 将下载的Agent安装包“xxx.zip”复制到该主机任意一个目录下。 4. 进入Agent安装包所在目录，并解压缩安装包。 5. 进入解压后的文件夹，双击“install.bat”执行文件。 6. 安装成功，界面如图417所示，按任意键结束安装。 7. 安装完成后，在Windows任务管理器中查看“dbssauditagent”进程。如果进程不存在，说明Agent安装失败，请尝试重新安装Agent。

本文介绍如何免密拉取CRS镜像。 对于天翼云容器镜像服务CRS的镜像，弹性容器实例ECI支持免密拉取，以提升效率和安全性。 前提条件 账号已经在容器镜像服务创建个人版或者企业版镜像仓库，并完成配置且上传所需的容器镜像。 容器镜像仓库服务文档参考：容器镜像服务文档。 配置说明 创建弹性容器实例时“选择镜像”，弹出的镜像选择页面选择所需镜像，即可实现自动免密拉取。

本章节介绍数据库安全停止计费。 停止计费 包年/包月资源 对于包年/包月计费模式的资源，例如包年/包月的DBSS实例，用户在购买时会一次性付费，服务将在到期后自动停止使用。 如果在计费周期内不再使用包年/包月资源，您可以执行退订操作，系统将根据资源是否属于五天无理由退订、是否使用代金券和折扣券等条件返还一定金额到您的帐户。 如果您已开启“自动续费”功能，为避免继续产生费用，请在自动续费扣款日（默认为到期前7日）之前关闭自动续费。

本章主要介绍翼MapReduce的备份OMS数据功能。 操作场景 为了确保FusionInsight Manager系统日常数据安全，或者系统管理员需要对Manager进行重大操作（如扩容、减容等）前后，需要对Manager数据进行备份，从而保证系统在出现异常或未达到预期结果时可以及时进行数据恢复，将对业务的影响降到最低。 管理员可以通过FusionInsight Manager创建备份Manager任务并备份数据。支持创建任务自动或手动备份数据。 前提条件 如果数据要备份至远端HDFS中，需要准备一个用于备份数据的备集群，认证模式需要与主集群相同。其他备份方式不需要准备备集群。 如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置跨Manager集群互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 根据业务需要，规划备份的类型、周期和策略等规格，并检查主备管理节点“ 数据存放路径 /LocalBackup/”是否有充足的空间。 如果数据要备份至NAS中，需要提前部署好NAS服务端。 如果数据要备份至OBS中，需要当前集群已对接OBS，并具有访问OBS的权限。 操作步骤 1.在FusionInsight Manager，选择“运维 > 备份恢复 > 备份管理”。 2.单击“创建”。 3.在“任务名称”填写备份任务的名称。 4.设置“备份对象”为“OMS”。 5.在“备份类型”选择备份任务的运行类型。 “周期备份”表示按周期自动执行备份，“手动备份”表示由手工执行备份。 详见下表： 周期备份参数 参数名称 描述 开始时间 任务第一次启动的时间。 周期 任务下次启动，与上一次运行的时间间隔，支持按“小时”或按“天”。 备份策略 首次全量备份，后续增量备份 每次都全量备份 每n次进行一次全量备份说明 说明 备份Manager数据和组件元数据时不支持增量备份，仅支持“每次都全量备份”。 如果“路径类型”要使用NFS或CIFS，不能使用增量备份功能。因为在NFS或CIFS备份时使用增量备份时，每次增量备份都会刷新最近一次全量备份的备份数据，所以不会产生新的恢复点。 6.在“备份配置”，勾选“OMS”。 7.在“OMS”的“路径类型”，选择一个备份目录的类型。 备份目录支持以下类型： “LocalDir”：表示将备份文件保存在主管理节点的本地磁盘上，备管理节点将自动同步备份文件。 默认保存目录为“ 数据存放路径 /LocalBackup/”，例如“/srv/BigData/LocalBackup”。 选择此参数值，还需要配置“最大备份数”，表示备份目录中可保留的备份文件集数量。 “LocalHDFS”：表示将备份文件保存在当前集群的HDFS目录。 选择此参数值，还需要配置以下参数： “目的端路径”：填写备份文件在HDFS中保存的目录。不支持填写HDFS中的隐藏目录，例如快照或回收站目录；也不支持默认的系统目录，例如“/hbase”或“/user/hbase/backup”。 “最大备份数”：填写备份目录中可保留的备份文件集数量。 “备份时使用集群”：填写备份目录对应的集群名称。 “目标NameService名称”：选择备份目录对应的NameService名称。默认值为“hacluster”。 “RemoteHDFS”：表示将备份文件保存在备集群的HDFS目录。 选择此参数值，还需要配置以下参数： “目的端NameService名称”：填写备集群的NameService名称。可以输入集群内置的远端集群的NameService名称（haclusterX，haclusterX1，haclusterX2，haclusterX3，haclusterX4），也可输入其他已配置的远端集群NameService名称。 “IP 模式”：目标IP的IP地址模式。系统会根据集群网络类型自动选择对应的IP模式，如IPv4或者IPv6。 “目的端NameNode IP地址”：填写备集群NameNode业务平面IP地址，支持主节点或备节点。 “目的端路径”：填写备集群保存备份数据的HDFS目录。不支持填写HDFS中的隐藏目录，例如快照或回收站目录；也不支持默认的系统目录，例如“/hbase”或“/user/hbase/backup”。 “最大备份数”：填写备份目录中可保留的备份文件集数量。 “源集群”：选择要备份数据使用的Yarn队列所在的集群。 “队列名称”：填写备份任务执行时使用的Yarn队列的名称。需和源集群中已存在且状态正常的队列名称相同。 “NFS”：表示将备份文件通过NFS协议保存在NAS中。 选择此参数值，还需要配置以下参数： “IP 模式”：目标IP的IP地址模式。系统会根据集群网络类型自动选择对应的IP模式，如IPv4或者IPv6。 “服务器IP地址”：填写NAS服务器IP地址。 “服务器共享路径”：填写用户配置的NAS服务器共享目录。 “最大备份数”：填写备份目录中可保留的备份文件集数量。 “CIFS”：表示将备份文件通过CIFS协议保存在NAS中。 选择此参数值，还需要配置以下参数： “IP 模式”：目标IP的IP地址模式。系统会根据集群网络类型自动选择对应的IP模式，如IPv4或者IPv6。 “服务器IP地址”：填写NAS服务器IP地址。 “端口号”：填写CIFS协议连接NAS服务器使用的端口号，默认值为“445”。 “用户名”：填写配置CIFS协议时设置的用户名。 “密码”：填写配置CIFS协议时设置的密码。 “服务器共享路径”：填写用户配置的NAS服务器共享目录。 “最大备份数”：填写备份目录中可保留的备份文件集数量。 “SFTP”：表示将备份文件通过SFTP协议保存到服务器中。 选择此参数值，还需要配置以下参数： “IP 模式”：目标IP的IP地址模式。系统会根据集群网络类型自动选择对应的IP模式，如IPv4或者IPv6。 “服务器IP地址”：填写备份数据的服务器IP地址。 “端口号”：填写SFTP协议连接备份服务器使用的端口号，默认值为“22”。 “用户名”：填写使用SFTP协议连接服务器时的用户名。 “密码”：填写使用SFTP协议连接服务器时的密码。 “服务器共享路径”：SFTP服务器上的备份路径。 “最大备份数”：填写备份目录中可保留的备份文件集数量。 “OBS”：表示将备份文件保存在OBS中。 选择此参数值，还需要配置以下参数： “目的端路径”：填写保存备份数据的OBS目录。 “最大备份数”：填写备份目录中可保留的备份文件集数量。 说明 MRS 3.1.0及之后版本才支持备份数据到OBS。 8.单击“确定”保存。 9.在备份任务列表中已创建任务的“操作”列，选择“更多 > 即时备份”，开始执行备份任务。 备份任务执行完成后，系统自动在备份目录中为每个备份任务创建子目录，目录名为“ 备份任务名任务创建时间” ，用于保存数据源的备份文件。 备份文件的名称为“ 版本号数据源任务执行时间 .tar.gz”。

场景描述 云审计服务能够为您提供云服务资源的操作记录，记录的信息包括发起操作的用户身份、IP地址、具体的操作内容的信息，以及操作返回的响应信息。根据这些操作记录，您可以很方便地实现安全审计、问题跟踪、资源定位，帮助您更好地规划和利用已有资源、甄别违规或高危操作。 什么是事件 事件即云审计服务追踪并保存的云服务资源的操作日志，操作包括用户对云服务资源新增、修改、删除等操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作。 约束与限制 用户通过云审计控制台只能查询最近7天的操作记录，过期自动删除，不支持人工删除。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务（OBS）或云日志服务（LTS），才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 用户对云服务资源做出创建、修改、删除等操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。 在CTS新版事件列表查看审计事件 1. 登录控制台，选择“管理与部署 > 云审计服务”，进入云审计服务页面。 2. 单击左侧导航栏的“事件列表”，进入事件列表信息页面。 3. 在列表上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 4. 事件列表支持通过高级搜索来查询对应的操作事件，您可以在筛选器组合一个或多个筛选条件。 5. 参数名称 说明 事件名称 操作事件的名称。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 各个云服务支持审计的操作事件的名称请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 示例：updateAlarm 云服务 云服务的名称缩写。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 示例：IAM 资源名称 操作事件涉及的云资源名称。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。 示例：ecsname 资源ID 操作事件涉及的云资源ID。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 当该资源类型无资源ID或资源创建失败时，该字段为空。 示例：{虚拟机ID} 事件ID 操作事件日志上报到CTS后，查看事件中的traceid参数值。 输入的值需全字符匹配，不支持模糊匹配模式。 示例：01d18a1b56ee11f0ac811e229 资源类型 操作事件涉及的资源类型。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 各个云服务的资源类型请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 示例：user 操作用户 触发事件的操作用户。 下拉选项中选择一个或多个操作用户。 查看事件中的tracetype的值为“SystemAction”时，表示本次操作由服务内部触发，该条事件对应的操作用户可能为空。 事件级别 下拉选项包含“normal”、“warning”、“incident”，只可选择其中一项。 normal代表操作成功。 warning代表操作失败。 incident代表比操作失败更严重的情况，如引起其他故障等。 6. 在事件列表页面，您还可以导出操作记录文件、刷新列表、设置列表展示信息等。 1. 在搜索框中输入任意关键字，按下Enter键，可以在事件列表搜索符合条件的数据。 2. 单击“导出”按钮，云审计服务会将查询结果以.xlsx格式的表格文件导出，该.xlsx文件包含了本次查询结果的所有事件，且最多导出5000条信息。 3. 单击按钮，可以获取到事件操作记录的最新信息。 4. 单击按钮，可以自定义事件列表的展示信息。启用表格内容折行开关，可让表格内容自动折行，禁用此功能将会截断文本，默认停用此开关。 7. （可选）在新版事件列表页面，单击右上方的“返回旧版”按钮，可切换至旧版事件列表页面。

场景描述 RocketMQ提供了用户管理和权限管理机制，用于确保消息队列的安全性和访问控制。另外RocketMQ还支持角色的概念，可以将多个权限组合成一个角色，并将角色分配给用户。通过角色管理，可以简化权限管理的复杂性，提高管理效率。 通过用户管理和权限管理机制，RocketMQ可以实现对消息队列的细粒度访问控制，确保只有授权的用户能够读取、写入和订阅消息，并提供了灵活的角色管理功能，方便管理员进行权限分配和管理。这些机制可以帮助用户保护消息队列的安全性，防止未经授权的访问和操作。 应用用户管理 本章节适用于南京3、上海7、重庆2、乌鲁木齐27、保定、石家庄20、内蒙6、晋中、北京5 节点。 新建消息实例后，必须在此菜单新建应用用户，然后应用才能在此消息实例上发送、消费消息。此处的用户名即为管控openapi中的accessKey，加密后的密码即为管控openapi中的secretKey。 应用用户：指MQ客户端，连接服务器生产消费时，需要进行权限校验，所以MQ客户端的用户，称为应用用户。 除了用户密码的校验，还可以为用户指定topic，代表该用户只能生产消费，指定的topic，其他topic不能生产消费。 1）点击【新建用户】按钮 2）进入用户列表界面，新增用户 3）弹出框填写用户字段 默认展示租户名，不可修改。 选择集群名称，填写应用用户名，请输入大于6位字符，只能输入大小写字母，下划线，数字。 填写用户密码，请输入大于8位字符，需要包含数字大小写字母以及特殊符号(!@

本文介绍OpenClaw(原 Clawdbot)更改厂商模型配置的内容。 前置说明 1.该文档为介绍通过应用托管应用市场体验OpenClaw更改厂商模型配置的内容。 2.本产品中的应用由第三方主体提供，尽管天翼云已尽最大努力进行识别和维护，但仍无法保证应用的可用性。请客户按照该产品的服务协议使用该产品，做好甄别工作，并对自行选择的服务承担相应责任。 概述 OpenClaw是近期在开发者社区和AI领域广受关注的一款开源、自托管的个人AI助手。它以其独特的“本地优先”设计理念，将强大的大型语言模型能力与用户本地系统深度结合，实现了从“对话式AI”到“可执行实际任务的智能体”的跨越。与依赖云端服务的传统AI助手不同，OpenClaw将数据主权和隐私控制权完全交还给用户，所有数据和处理过程均在用户可控的环境中进行，被誉为“首个7×24小时永不下班的AI员工”。它的开源特性也吸引了大量开发者参与生态建设，形成了一个活跃的技能市场。 重要：OpenClaw 为开源 AI 助手，请在使用前充分评估其安全性与稳定性并严格遵循许可协议，以切实保障您的系统环境与数据安全。 1. 请避免在 OpenClaw 中绑定生产级敏感账号。如需使用 API 服务，建议使用受限的 API Key 或临时 Token，并建立定期轮换机制，以降低密钥泄露带来的风险。 2. 建议优先使用天翼云官方提供的skills与插件，避免安装来源不明的第三方技能，防止恶意代码注入。 3. 请通过密码或 Token 对 OpenClaw 服务进行访问授权，严格限制访问 IP 范围，避免公网暴露，拦截非授权访问请求。 4. 建议启用详细的日志记录与行为监控，对操作行为和数据处理过程进行持续审计，及时发现并处置异常行为。

本文为您介绍容器安全卫士的基本概念。 容器 容器（Container）是一个视图隔离、资源可限制、独立文件系统的进程集合。它类似于虚拟机，但更轻量，可以在应用程序之间共享操作系统。 “视图隔离”是指能够看到部分进程以及具有独立的主机名等；控制资源使用率则是可以对内存大小以及CPU 使用个数等进行限制。常见的容器引擎包括Docker、Containerd等。 镜像 镜像（Image）是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源等文件外，还包含了一些为运行准备的配置参数（如环境变量）。 镜像是容器的模板，而容器是镜像的实例。镜像是静态的，而容器是动态的。 仓库镜像是指存储在镜像仓库内的镜像，节点镜像是指存储在集群节点上的镜像。 仓库 仓库（Repository）是集中存储和分发容器镜像文件的场所，分为公共仓库和私有仓库。 集群 集群特指容器集群，即Kubernetes（简称k8s）集群或基于Kubernetes衍生的企业定制版（例如Openshift集群），由一套Kubernetes系统管理的多台服务器形成一个集群。 Kubernetes是一个容器的编排和管理系统，提供服务发现、弹性伸缩、负载均衡、故障自愈等功能。 Kubernetes将集群中的服务器划分为Master（控制节点）和Node（计算节点）： Master节点上运行着集群管理相关的一组进程，例如etcd、kubeapiserver、kubecontrollermanager和kubescheduler，这些进程实现了整个集群的资源管理、Pod调度、弹性伸缩、安全控制、系统监控和纠错等管理能力，并且都是全自动完成的。 Node作为集群中的计算节点，运行上层业务应用程序，在Node上Kubernetes管理的最小运行单元是Pod。Node上运行着Kubernetes的kubelet、kubeproxy服务进程，这些服务进程负责Pod的创建、启动、监控、重启、销毁以及实现软件模式的负载均衡器。

本文将介绍如何免密拉取CRS镜像。 ECI支持从天翼云容器镜像服务CRS私有镜像仓库中免密拉取镜像，以提升效率和安全性。创建ECI实例前，需要将镜像上传到对应仓库中。本文介绍如何免密拉取CRS镜像。 背景信息 天翼云容器镜像服务CRS分为个人版和企业版。其中，企业版是企业级云原生应用制品管理平台，提供容器镜像、Helm Chart以及符合OCI规范制品的生命周期管理，适用于业务大规模部署场景，帮助企业降低交付复杂度。 创建工作负载时，如果要拉取的镜像属于CRS镜像，当使用内网地址时，ECI支持免密拉取，提升效率，同时避免密码泄露的风险，加强安全性。 前提条件 确保您已经创建Serverless集群，具体操作请参阅创建Serverless集群。 确保kubectl工具已经连接目标集群。 操作步骤 1. 登录云容器引擎控制台，在控制台的左侧导航栏中点击“集群” 。 2. 在集群列表页面中单击目标集群的名称。 3. 在左侧选择“工作负载”，选择“无状态”，在右上角单击“创建Deployment”。 4. 按需配置工作负载的信息。 5. 按需配置容器，容器信息Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 1. 容器名称：为容器命名。 2. 镜像更新策略：选择是否总是拉取镜像。 3. 镜像名称：选择容器使用的镜像，支持多种镜像来源。 4. 镜像版本：选择需要部署的镜像版本。 6. 点击选择镜像，从CRS镜像仓库选择私有镜像，选择内网地址。 7. 创建完成后，进入工作负载的无状态页面，可以看到新建的k8ssidecar应用出现在无状态列表下。

本章节概括介绍了边缘重保服务整体服务框架及其主要应用场景。 边缘重保服务可针对各类推广活动、重要会议、赛事、晚会等业务场景中的突发性流量压力及潜在的安全隐患，为客户核心业务提供全生命周期的保障。通过“事前全面分析和准备事中严格护航值守事后复盘优化”的三级保障体系，从底层资源入手，以业务功能可用性和应用服务的安全性为要义，为企业的核心业务提供多重保险，助力企业在流量洪峰中构建高可靠数字防线。 边缘重保服务以资深重保专家团队和成熟的边缘云系列产品为核心能力基础，辅以自研及第三方权威机构的各类工具，从前期的组织规划到过程中的作战保障及事后的复盘分析，构建核心业务加固、周期监控巡检、故障应急响应三位一体多重护甲的保障体系，为业务保驾护航，让您全程无忧！ 整体服务框架 应用场景 营销推广： 618购物节、双十一购物狂欢节、双十二购物狂欢节、年货节等电商促销活动；品牌发布会、产品发布会等受公众瞩目的各类发布会。 晚会与庆典：春节联欢晚会、跨年晚会、中秋晚会、地方春晚等晚会型活动；国庆阅兵、国家级大型庆典类活动。 教育活动：中高考查分、高考志愿填报、中小学生开学第一课、各类职业资格或技能考试认证等大规模教育类活动。 重要赛事：奥运会、冬奥会、世界杯、欧洲杯、亚运会、大运会、热门联赛等重要竞技赛事。 大型会晤：两会、金砖会晤、经济贸易峰会、各类大型论坛等会晤型活动。 票务活动：春运车票、演唱会门票、热门景点门票、消费券发放、纪念币发行等限量抢购类活动。 其他：攻防演练、热门游戏发布、热门应用大版本更新、企业核心业务割接及其他需要保障支持类的场景。

本文为您介绍信封加密场景中，如何通过用户主密钥、数据密钥实现数据离线加密。 信封加密（Envelope Encryption）是一种应对海量数据的高性能加解密方案。这种技术不再使用用户主密钥（CMK）直接加密和解密数据，而是通过生成加密数据的数据密钥（DEK），将其封入信封中（即通过CMK加密）存储、传递和使用，由KMS确保数据密钥的随机性和安全性。 实际使用时，用户无需将大量业务数据上传至KMS服务端，直接通过离线的数据密钥在本地实现加解密，有效避免安全隐患，保证了业务加密性能的要求。 场景示意图 操作流程 信封加密 1. 通过KMS控制台或者调用CreateKey接口，创建一个用户主密钥（CMK）。 2. 调用GenerateDataKey接口创建一个数据密钥。KMS会返回一个明文的数据密钥和一个经用户主密钥（CMK）加密的密文数据密钥。 3. 使用明文的数据密钥加密本地文件，产生密文文件，然后销毁内存中的明文数据密钥。 4. 用户将密文数据密钥和密文文件一同存储到持久化存储设备或服务中。 信封解密 1. 从本地文件中读取密文数据密钥。 2. 调用KMS服务的Decrypt接口，将密文数据解密为明文数据密钥。 3. 用明文数据密钥为本地密文文件解密，再销毁内存中的明文密钥。 相关API 您可以调用以下KMS API，实现对本地数据的加密或解密操作。 API名称 说明 createKey 创建用户主密钥（CMK） generateDataKey 生成信封加密的数据密钥，返回数据密钥的明文和经过指定用户主密钥加密的密文 decrypt 解密由generateDataKey接口生成的数据密钥密文，不需要指定CMK

本文为您介绍如何通过密钥管理提供的信封加密技术，实现本地大规模数据的加解密。 信封加密（Envelope Encryption）是一种应对海量数据的高性能加解密方案。这种技术不再使用用户主密钥（CMK）直接加密和解密数据，而是通过生成加密数据的数据密钥（DEK），将其封入信封中（即通过CMK加密）存储、传递和使用，由KMS确保数据密钥的随机性和安全性。 实际使用时，用户无需将大量业务数据上传至KMS服务端，直接通过离线的数据密钥在本地实现加解密，有效避免安全隐患，保证了业务加密性能的要求。 场景示意图 加解密流程 信封加密过程 1. 通过KMS控制台或者调用CreateKey接口，创建一个用户主密钥（CMK）。 2. 调用GenerateDataKey接口创建一个数据密钥。KMS会返回一个明文的数据密钥和一个经用户主密钥（CMK）加密的密文数据密钥。 3. 使用明文的数据密钥加密本地文件，产生密文文件，然后销毁内存中的明文数据密钥。 4. 用户将密文数据密钥和密文文件一同存储到持久化存储设备或服务中。 信封解密过程 1. 从本地文件中读取密文数据密钥。 2. 调用KMS服务的Decrypt接口，将密文数据解密为明文数据密钥。 3. 用明文数据密钥为本地密文文件解密，再销毁内存中的明文密钥。 相关API 您可以调用以下KMS API，实现对本地数据的加密或解密操作。 API名称 说明 createKey 创建用户主密钥（CMK）。 generateDataKey 生成信封加密的数据密钥，返回数据密钥的明文和经过指定用户主密钥加密的密文。 decrypt 解密由generateDataKey接口生成的数据密钥密文，不需要指定CMK。

数据库安全审计提供了基础版、专业版和高级版三种服务版本。 产品规格 您可以根据业务需求选择相应的服务版本，各版本的性能规格说明如表所示。 数据库安全审计版本性能规格说明如下： 版本 支持的数据库实例 系统资源要求 性能参数 基础版 最多支持3个数据库实例 CPU：4U 内存：16GB 硬盘：500GB 吞吐量峰值：3,000条/秒 入库速率：360万条/小时 4亿条在线SQ语句存储 50亿条归档SQ语句存储 专业版 最多支持6个数据库实例 CPU：8U 内存：32GB 硬盘：1000GB 硬盘：1T 吞吐量峰值：6,000条/秒 入库速率：720万条/小时 6亿条在线SQ语句存储 100亿条归档SQ语句存储 高级版 最多支持30个数据库实例 CPU：16U 内存：64GB 硬盘：2000GB 硬盘：2T 吞吐量峰值：30,000条/秒 入库速率：1080万条/小时 15亿条在线SQ语句存储 600亿条归档SQ语句存储 说明 数据库实例通过数据库 IP+ 数据库端口计量。如果同一数据库IP具有多个数据库端口，数据库实例数为数据库端口数。1个数据库IP只有1个数据库端口，即为一个数据库实例；1个数据库IP具有N个数据库端口，即为N个数据库实例。例如：用户有2个数据库资产分别为IP1和IP2 ，IP1有一个数据库端口，则为1个数据库实例；IP2有3个数据库端口，则为3个数据库实例。IP1和IP2合计为4个数据库实例，选择服务版本规格时需要大于或等于4个数据库实例，即选用专业版（最多支持审计6个数据库实例）。 不支持修改规格。若要修改，请退订后重购。 本表中在线SQL语句的条数，是按照每条SQL语句的容量为1KB来计算的。

本章主要介绍翼MapReduce的修改OMS数据库访问用户密码功能。 操作场景 建议管理员定期修改OMS数据库访问用户的密码，以提升系统运维安全性。 对系统的影响 修改密码需要重启OMS服务，服务在重启时系统无法访问。 操作步骤 1.在FusionInsight Manager选择“系统 > OMS > gaussDB > 修改密码”。 2.在omm用户所在行，单击“操作”列下的“修改密码”。 3.在弹出窗口中输入当前登录的用户密码确认身份，单击“确定”。 4.根据界面信息，输入新旧密码。 密码复杂度要求： 密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、特殊字符~!@$%^&()+[{}];", /?中的3种类型字符。 不可和用户名相同或用户名的倒序字符相同。 不可与前20个历史密码相同。 5.单击“确定”，等待界面提示操作成功。 6.在omm用户所在行，单击“操作”列下的“重启OMS服务”。 7.在弹出窗口中输入当前登录的用户密码确认身份，单击“确定”。 8.在确定重启的对话框中，单击“确定”，重新启动OMS服务。

本章节主要介绍修改组件数据库用户密码。 操作场景 该任务指导用户定期修改组件数据库用户的密码，以提升系统运维安全性。 对系统的影响 修改密码需要重启服务，服务在重启时无法访问。 操作步骤 在MRS Manager单击“服务管理”，单击待修改数据库用户服务的名称。 1. 确定修改哪个组件数据库用户密码。 修改DBService数据库用户密码，直接执行步骤3。 修改Hive或者Hue或者Loader数据库用户密码，需要先停止服务再执行步骤3。 单击“停止服务”。 2. 选择“更多 > 修改密码”。 3. 根据界面信息，输入新旧密码。 密码复杂度要求： DBService数据库用户密码字符长度为16～32位。Hive或Hue或Loader数据库用户密码字符长度为8～32位。 至少需要包含大写字母、小写字母、数字、特殊字符~!@$%^&()+[{}];:", /?中的3种类型字符。 不能与用户名或倒序用户名相同。 不可与前20个历史密码相同。 4. 单击“确定”，系统自动重新启动对应的服务。界面提示“操作成功”，单击“完成”。

本文带您了解什么是Token服务。 Token服务是面向企业开发者的模型服务平台，提供功能全面、安全可靠且具有价格优势的模型调用服务。 功能模块 模型体验：提供多场景模型展示与试用，支持开发者在模型广场快速体验主流AI模型，体验中心可零门槛测试基础推理能力。 模型服务：主流大模型提供标准化API接口，支持高并发在线推理服务，内置调用量监控与延迟分析功能，保障企业级应用稳定高效运行。 插件服务：支持接入私有知识库增强领域应答，集成联网搜索获取实时信息，通过插件组合扩展模型边界，应对复杂业务需求。

本章节主要介绍云硬盘备份产品的优势。 简单易用 操作简单，3步完成备份配置，无需具备专业的备份软件技能。相比传统备份系统，无需关心备份服务器、备份存储的规划、扩容。 灵活高效 基于策略的自动备份，满足各种备份场景需求。永久增量备份，增量恢复，备份窗口短，恢复时间目标（RTO）达分钟级。 经济实惠 采用永久增量备份，首次备份为全量备份，后续备份均为增量备份，备份数据占用空间少。备份存储资源弹性伸缩，按量付费。 安全可靠 数据自动加密保存到对象存储中，数据持久性高达99.999999999%（11个9），远高于传统备份系统。

本小节介绍日志审计(原生版)术语解释。 日志采集 实现第三方安全设备、网络设备、windows/linux主机日志、web服务器日志、虚拟化平台日志以及自定义等日志采集。 日志存储 实现原始日志、范式化日志的存储，可定义存储周期。 日志检索 实现全文、keyvalue、括弧、正则、模糊等检索方式；支持保存检索、从已保存的检索导入见多条件。 可视化统计 实现趋势图、折线图、柱状图、饼图、表格等统计项展示。 事件告警 自定义事件规则，可按照日志、字段布尔逻辑关系等方式自定义规则，实现时间的查询、查询结果统计以及统计结果的展示。

数据安全中心服务可识别的敏感数据包括敏感图片信息、个人敏感信息、企业敏感信息等七类，具体可识别的敏感数据类型如下表所示。 敏感数据分类 数据类型 敏感图片信息 身份证图片 护照图片 个人敏感信息 身份证 银行卡 姓名 手机号 邮箱 护照号 港澳通行证 车牌号 电话号码 军官司证 性别 车辆识别代码 企业敏感信息 营业执照号码 税务登记证号码 组织机构代码 统一社会信用代码 密钥敏感信息 PEM证书 KEY私钥 AccessKeyId AccessKeySecret 哈希密码 设备敏感信息 IP地址 MAC地址 JDBC连接串 IPv6地址 IMEI MEID 位置敏感信息 省份 城市 GPS位置 地址 通用敏感信息 日期

此小节介绍AntiDDoS流量清洗的应用场景。 AntiDDoS对公网IP提供不超过5Gbps流量的DDoS攻击防护。 对大于5Gbps的流量，系统会进行自动限流措施（正常访问流量会丢失）；对于正常业务流量超过5Gbps流量的应用，建议用户自主购买第三方清洗中心服务，从第三方获取报表。 AntiDDoS设备部署在机房出口处，网络拓扑架构如下图所示。 检测中心根据用户配置的安全策略，检测网络访问流量。当发生攻击时，将数据引流到清洗设备进行实时防御，清洗异常流量，转发正常流量。