步骤二：排查是否开启健康检查 通过“监听器 > 后端主机组”查看是否开启了健康检查选项。 当客户端直接访问后端云主机业务正常时，请检查负载均衡器是否开启了健康检查。当云主机开启了健康检查，而健康检查失败时，负载均衡器不会向此后端云主机转发流量。 如未开启健康检查，共享型负载均衡实例请检查后端云主机的安全组和网络ACL规则已经放通100.125.0.0/16网段。独享型负载均衡请检查后端云主机的安全组已经放通ELB后端子网所在的VPC网段。 注意 共享型实例四层监听器开启“获取客户端IP”功能后，后端云主机安全组规则和网络ACL规则均无需放通100.125.0.0/16网段及客户端IP地址。 独享型负载均衡四层监听器未开启“跨VPC后端”功能时，后端云主机安全组规则和网络ACL规则均无需放通ELB后端子网所在的VPC网段。 步骤三：排查健康检查是否正常 通过“监听器 > 后端主机组”查看云主机的健康检查结果是否为正常。健康检查异常的情况下，负载均衡不会向这台云主机转发流量。 当服务器开启了健康检查，而健康检查失败时，负载均衡器不会向此后端云主机转发流量。

本节主要介绍智能视图服务的向上级联功能概述。 级联定义 级联：两个信令安全路由网关之间是上下级关系，下级信令安全路由网关主动向上级信令安全路由网关发起注册，经上级信令安全路由网关鉴权认证后才能进行上下级系统间通信。 用户可在智能视图服务控制台，创建本级平台，并选择当前已接入的设备/平台，重新组织排序后，共享给第三方平台以供调阅使用，即向上级联。 级联功能说明 创建本级平台时，支持填写上级平台信息，以虚拟业务组或行政区划结构推送至上级平台进行级联。 支持本平台级联的启停、级联状态查阅、设备增减等平台管理操作。 支持第三方上级平台对本平台级联设备的实时预览、录像回放、云台控制等操作。 支持的设备目录模式 智能视图服务已提供虚拟业务组 及行政区划两种设备目录模式，以方便用户对级联至上级平台的设备进行管理和排序。 虚拟业务组及行政区划的操作说明请参考【向上级联管理级联组织树】。 虚拟业务组 虚拟业务组模式下，支持随意对目录、设备进行归并与排序，无目录层级限制。

本文简述如何查询指定IP是否为天翼云IP。 功能介绍 天翼云边缘安全加速平台—安全与加速服务提供一种IP地址检测工具，您可以使用该工具检测某IP地址是否为天翼云节点IP，同时获取IP所属城市、运营商、机房地址、节点层级等信息。 应用场景 场景一：配置安全与加速服务后，可通过该工具验证客户端的请求是否成功到达天翼云节点IP。如果不是天翼云节点IP，则代表配置未生效；如果是，则可以继续验证请求是否正常。 场景二：当您的网站访问异常时，可通过该工具查询用户访问的IP是否为天翼云节点IP，来排查网站访问异常的原因。如果IP地址是天翼云IP，您可以继续排查问题原因或者反馈给我们处理。如果IP地址不是天翼云IP，则要查看CNAME是否配置正确，DNS解析是否正常等。 使用方法 您可以使用查询IP所属直辖市，运营商，机房地址，节点层级接口检测IP是否属于天翼云IP。 您可以通过控制台进行自助输入查询地址。 控制台自助查询IP归属 1. 登录边缘安全加速平台控制台。 2. 进入【工具IP归属查询】页面，输入查询的地址。 3. 输入查询后将显示该地址是否为天翼云节点以及对应归属地。

本文详细介绍IP应用加速接入模块的功能。 功能介绍 在IP应用加速接入模块，您可以进行新增接入、域名/实例状态查询、查看/编辑/停用/启用/删除等操作。 新增接入 详情请查看：添加域名/实例。 IP应用加速接入列表 查看接入列表，可以查看已添加的域名/实例信息，包括域名、实例名称、接入方式、CNAME、加速区域、状态、IPv6解析、操作等。 IPv6解析可以开启IPv6解析或者关闭IPv6解析。 操作列包含加速配置、安全防护、停用、删除、启用、区域变更。 【加速配置】可以查看当前加速域名的加速配置信息，也可以编辑当前加速域名的配置信息。 【安全防护】可以查看当前加速域名的安全防护配置，也可以修改当前加速域名的安全防护配置。 【停用】停止当前域名解析，停止域名加速服务。 【启用】恢复当前域名解析，启用域名加速服务。 【删除】可以删除已停用状态的域名。 当域名状态为【已启用】且无在途工单时，可以对域名配置进行【查看】、【编辑】、【停用】操作。 当域名状态为【配置中】时，仅可以对域名配置进行【查看】操作。 当域名状态为【已停用】且无在途工单时，可以对域名配置进行【查看】、【启用】、【删除】操作。 当域名有在途工单时，无论域名是什么状态，都只能对域名配置进行【查看】操作。 【区域变更】可修改当前加速域名的加速区域。

本小节介绍网络安全法、等保2.0以及测评机构等概念。 《中华人民共和国网络安全法》 《中华人民共和国网络安全法》是为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定的法规。 测评机构 信息安全等级保护测评机构是指具备本规范的基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室推荐，从事非涉密信息系统及资源安全等级测评工作的机构。 等保2.0 等保2.0全称网络安全等级保护2.0制度，是我国网络安全领域的基本国策，基本制度。 等级保护标准在1.0时代标准的基础上，注重主动防御，从被动防御到事前、事中、 事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、 基础信息网络、 云计算、 大数据、 物联网、 移动互联网和工业控制信息系统等级保护对象的全覆盖。 ECS 弹性云主机（Elastic Cloud Server，ECS）是由 CPU、内存、操作系统、云硬盘组成的基础的计算组件。弹性云主机创建成功后，您就可以像使用自己的本地 PC 或物理服务器一样，在云上使用弹性云主机。 RDS RDS是关系型数据库服务（Relational Database Service）的简称，是一种即开即用、稳定可靠、可弹性伸缩的在线数据库服务。具有多重安全防护措施和完善的性能监控体系，并提供专业的数据库备份、恢复及优化方案，使您能专注于应用开发和业务发展。

本小节介绍证书管理服务功能特性。 证书管理 统一管理云上用户SSL证书、个人证书申请使用，提供证书申请、验证、安装、下载、续费、吊销、删除的全生命周期管理能力。 传输安全保护用户隐私 SSL证书将在网站和客户端之间建立一条安全的信息传输加密通道，保护用户隐私数据的传输。 确认网站真实性 SSL证书能帮助确认网站的真实身份，如同网站在互联网世界中的身份证。 提升搜索引擎排名 知名搜索引擎已经优先收录对HTTPS支持的网站，可以帮助网站快速提高排名。 确保数据完整性 网站采用HTTPS加密通讯，防止数据在传送过程中被窃取、篡改，确保数据的完整性；同时有效抵挡中间人的攻击，提升安全性。 提高网站访问速度 SSL证书全面兼容HTTP2.0协议，快速动态加载网页内容，为网站服务提速。 国际可信签章 SSL证书含有国际可信签章，将签章放置在您的网站中，用户可以通过签章的链接，了解您网站的安全以及可信状况。

数据库来源为非公网IP 需要打通数据库到DTS实例所在VPC的网络。 源端数据库 当网络接入类型为“VPC网络”时，源端数据库可以通过“选择数据库实例”和“输入IP地址和端口”两种方式访问，具体如下： 通过选择数据库实例方式访问数据库 此时，直接在源端数据库实例列表中选择源库实例即可。但需要进行如下配置： 为天翼云DDS实例添加内网访问的白名单分组，并将DTS实例的内网地址添加到允许访问的IP名单中（DTS实例的内网地址在DTS实例配置源库目标库配置页面可获取）。 在天翼云DDS实例所在的VPC中，配置VPC安全组，安全组中配置DTS实例的内网地址。 通过输入IP地址和端口方式访问数据库 此时，DTS通过填写的IP地址和端口来访问源库，根据源端数据库架构的不同，分为如下2种情况： 源端为副本集架构 在进入DTS实例配置源库目标库配置环节时，需要在源库的副本集IP地址中填写DDS源库的副本集的内网IP地址。 为天翼云DDS实例添加内网访问的白名单分组，并将DTS实例的内网地址添加到允许访问的IP名单中（DTS实例的内网地址在DTS实例配置源库目标库配置页面可获取）。 在天翼云DDS实例所在的VPC中，配置VPC安全组，安全组中配置DTS实例的内网地址。 源端为分片集群机构 当源端为分片集群架构时，DTS将会通过数据库的mongos IP地址和端口来访问源端数据库。 mongos的IP地址和端口至少为1组，在进入DTS实例配置源库目标库配置环节时，需要在源库的IP地址中填写源库mongos节点的内网IP地址。 为天翼云DDS实例添加内网访问的白名单分组，并将DTS实例的内网地址添加到允许访问的IP名单中（DTS实例的内网地址在DTS实例配置源库目标库配置页面可获取）。 在天翼云DDS实例所在的VPC中，配置VPC安全组，安全组中配置DTS实例的内网地址。

参数 说明 企业项目 选择微服务引擎所在的企业项目。 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 开通企业项目，创建并启用新的企业项目后可以使用，默认选择default。 规格 选择微服务引擎规格。须知引擎创建成功后，不支持规格变更。 引擎类型 选择微服务引擎的类型。 集群集群模式部署，主机级容灾。 单机单节点部署，不支持容灾。须知“引擎类型”为“单机”的微服务引擎专享版仅适用于开发测试环境，不适用于生产环境；不支持变更引擎类型。 如选择使用，请先阅读约束说明并勾选“我已知晓如下约束”。 引擎名称 输入微服务引擎的名称，引擎创建后不能修改名称。 可用区 选择可用区。 “引擎类型”选择“集群”时，根据环境可用区数量，为引擎选择1个或者3个可用区。 − 选择1个可用区，可提供主机级别容灾能力。− 选择3个可用区，可提供可用区级别容灾能力。 “引擎类型”选择“单机”时，为引擎选择1个可用区。 网络 为引擎选择已创建的虚拟私有云及其子网，可以为您的引擎构建隔离的、自主配置和管理的虚拟网络环境。 描述 输入引擎描述信息。 单击 ，输入引擎描述信息。 单击 ，保存描述。 安全认证 开启了“安全认证”的微服务引擎专享版，通过微服务控制台提供了基于RBAC（RoleBased Access Control，基于角色的访问控制）的系统管理功能。 选择“开启安全认证”： 1. 根据业务需要确认需开启安全认证后，勾选“我已知晓：开启安全认证后，需要在微服务的配置文件中添加对应用户的帐号密码，否则服务无法注册到引擎。” 2. 输入root帐号的“密码”，并在“再次输入密码”输入框输入密码进行确认。密码请妥善保管，以免遗失。 选择“关闭安全认证”：无需配置帐户名、密码即可将服务注册到引擎，效率性能更高，建议用于VPC内访问时使用。

3.1 升级系统 升级系统，确保软件包更新到最新，减少安全风险。下面的命令升级除内核相关之外的包，其中包含bug修复相关的包。 plaintext dnf y x 'kernel' update bugfix 3.2 配置ssh服务器 下面是对ssh服务器的一些配置。 plaintext sed e "s/^ ?PubkeyAuthentication./PubkeyAuthentication yes/g" e "s/^ ?PasswordAuthentication./PasswordAuthentication yes/g" e "s/^ ?PermitRootLogin./PermitRootLogin yes/g" e "s/^ ?UseDNS./UseDNS no/g" e "s/^ ?GSSAPIAuthentication./GSSAPIAuthentication no/g" i.bak /etc/ssh/sshdconfig 说明： PubkeyAuthentication yes：允许公钥认证访问。使用公钥认证访问通常更为安全。 PasswordAuthentication yes：允许使用密码认证访问。密码认证访问不如公钥认证访问安全。但默认镜像中没有公钥（在镜像中捆绑固定的公钥可能有安全隐患），需要使用密码认证访问。您可以在装机登录后配置好ssh公钥，然后禁用密码认证访问。 PermitRootLogin yes：允许root用户登录。允许root用户登录可能不够安全。但默认镜像中不创建其他普通用户。在镜像中创建普通用户并为其捆绑固定的密码可能有安全隐患。物理机装机时只会为root用户设置密码。您可以在装机登录后创建其他用户，然后禁用root用户登录。 UseDNS no：禁用反向DNS解析。未连通公网的机器上DNS不可用，会导致ssh连接缓慢或失败。 GSSAPIAuthentication no：禁用GSSAPI认证访问。GSSAPI认证需要自行配置才能使用。开启可能会导致ssh连接缓慢或失败。 注意 请不要在镜像中留ssh公钥或新建非root用户，可能有安全隐患。若相应的ssh私钥或用户密码泄露，继续使用该镜像会扩大受影响范围。

本节主要介绍设置微服务引擎专享版公网访问 状态“可用”的微服务引擎专享版，绑定公网IP后可提供公网访问微服务引擎专享版的能力。 注意 未开启安全认证的微服务引擎无认证鉴权能力，开放到公网面临安全风险，增加系统的脆弱性。如：配置、服务信息等数据资产可能会被窃取。 请不要在生产环境和安全要求较高的网络环境中使用该功能。 开启公网访问 1、登录ServiceStage控制台，选择“微服务引擎 CSE”。 2、单击待开启公网访问的微服务引擎名称，进入微服务引擎的“基本信息”页面。 3、开启“公网访问”开关，在弹出的对话框勾选“我已知晓安全风险”，单击“确定”。 4、单击“弹性IP地址”后的下拉框。在下拉框中选择可用弹性IP，单击下拉框后侧的“√”。 若下拉框中无可用弹性IP，请单击“创建弹性IP”，根据界面提示创建。 关闭公网访问 1、登录ServiceStage控制台，选择“微服务引擎 CSE”。 2、单击待关闭公网访问的微服务引擎名称，进入微服务引擎的“基本信息”页面。 3、关闭“公网访问”开关。 4、在弹出对话框单击“确定”。

对比项 一体机 公有云 自建IT设施/传统私有云 主要行业 教育、医疗、政府、金融、军工等 通用、互联网 政府、金融 主打场景 本地化、数据安全、企业边缘 弹性、稳定 本地化 核心价值 快速交付、安全可控、低时延 高弹性 安全可控 标准化交付 √ √ × 敏捷扩容 √ √ × 运维托管 √ √ × 低起建门槛 √ √ × 低时延 √ × √ 数据本地化 √ × √ 数据就近处理 √ × √ 物理强隔离 √ × √

本节介绍了如何在控制台变更域名的服务区域。 使用场景 根据域名所提供服务的区域，用户可选择与之相匹配的边缘安全加速平台服务区域。例如：某站点的主要客户群体在中国内地，则域名接入边缘安全加速平台后，选择“中国内地”服务区域。客户端访问域名站点的流量，就会就近接入进入中国内地区域的边缘节点。 当服务区域为中国内地，站点请求会被调度到中国内的节点。 当服务区域为全球（不含中国内地），站点请求会被调度到全球（不含中国内地）的节点。 当服务区域为全球，站点请求会被调度到中国内地或全球（不含中国内地）的节点。 前提条件 订购边缘安全加速服务，加速区域为“全球”的套餐。加速区域为“中国内地”或者“全球（不含中国内地）”的套餐，不可变更域名的服务区域。 域名状态为“已启用”。 使用说明 1.登录边缘安全加速控制台。 2.进入安全与加速工作台域名域名管理页面。 3.在域名操作栏点击“区域变更”，选择服务区域后点击确定即可。 注意 1、不同服务区域对应不同资费标准，服务区域包含中国内地时，域名请先完成在中国大陆的ICP备案，同时完成公安网的备案。 2、修改服务区域，由于服务节点变更，短期内回源的流量会增加，命中率会下降，请您留意源站运行情况。 3、 修改服务区域可能会引起回源IP变更，如果您的源站有回源IP白名单限制，请通过 4.进入后台自动化配置流程（正常情况15分钟以内），流程结束后会自动变成“已启用”状态。若“配置中”状态持续时间过长，可创建工单获取支持。

查看风险评分 1. 登录容器安全卫士控制台。 2. 在左侧导航栏，选择“镜像安全 > 镜像设置”，进入镜像设置页面。 3. 选择“风险评分”页签。可以自定义设置评分项。 总分固定为100，所有评分项目总和不得超过100，所有子扣分项的分数不得超过对应评分项目的最大扣分值。 扣分规则为发现即扣分，不考虑该风险项的数量，例如发现高危漏洞扣25分，则无论发现多少高危漏洞都只扣除25分。 在风险评分表的右侧有各个分数段的安全分值说明。 4. 配置完成后，单击“保存”。

本小节介绍云防火墙N100型号计费类常见问题。 N100是否可以按月计费？ N100支持按月/按年计费，最低订购时长为1个月。 云主机和N100计费是否重复？ 云主机订购费用和N100的计费是不同步的，云主机计算属于资源计算，需要按照平台云主机计费标准；N100属于服务计费，会根据使用规格、时长、功能等项目进行计费。 我已经购买了云N100，是否意味着已开启安全防护？ 不是。购买成功后还需要一系列的配置才能开启安全防护，例如准备承载机资源、导入授权、配置引流、开启安全防护策略、设置告警通知等配置。

本文向您介绍如何解决修改Linux弹性云主机的默认SSH端口后,使用新端口无法登录。 新端口无法登录的原因可能有：安全组没有放通新端口，防火墙没有放通新端口，sshd文件未添加新端口等。 检查安全组规则 以新的SSH端口号为2222为例，安全组规则在确保 “入方向”需要放通2222端口。如果没有此规则，须在安全组中添加2222入方向端口 检查防火墙规则 检查iptables防火墙是否放通新的SSH端口，以2222端口为例。 1）登录Linux弹性云主机。以CentOS 7.6操作系统为例，执行以下命令编辑iptables文件。 vi /etc/sysconfig/iptables 2）添加2222端口规则 A INPUT m state state NEW m tcp p tcp dport 2222 j ACCEPT 3）修改完成后重启iptables服务。 systemctl restart iptables 检查SSH配置文件 1）登录弹性云主机检查ssh配置文件。执行如下命令，查看是否配置了 Port 2222。 vi /etc/ssh/sshdconfig 2）如未配置，请将“Port 22”替换为“Port 2222”。 3）执行如下命令，重启ssh服务。 service sshd restart

云下一代防火墙安全产品如何修改密码？ 要修改云下一代防火墙的密码，请按照以下步骤操作： 登录到云下一代防火墙WEB UI管理界面。 在管理界面中，右上角并点击登录账号的选项。 在账户设置中，您将找到当前默认账户的密码选项。 单击密码选项，然后按照系统提示的指南来修改并确认新密码。 保存更改，您的密码将被成功修改。 注意 为了安全起见，建议定期更改密码，并确保新密码是强密码，以提高账户的安全性。如有需要，您还可以参考云下一代防火墙产品文档或联系我们的支持团队以获取更详细的密码修改说明。 云下一代防火墙如何无法登录云主机查询序列号？ 云下一代防火墙实例订购需提供设备序列号【S/N】(即序列号)，设备初始化登录成功后可进行查询，步骤如下：首先在云主机控制台选择远程登录，输入默认用户名密码后，按照要求进行密码修改；然后命令行输入以下命令进行配置查询show version；最后查询完成后，记录S/N号(即序列号)即可，详细可参考：查询序列号。 云下一代防火墙安全产品过期后无法配置？ 云下一代防火墙安全产品授权过期后会锁定配置，需导入续订授权后重启恢复。如过期时间较长会影响业务正常访问。 建议：过期后还请尽快续订，如不续订，还请解绑弹性IP至业务主机，防止出现业务影响。

此小节介绍企业主机安全资产管理。 HSS提供资产管理功能，主动检测主机中的开放端口、系统运行中的进程、主机中的Web目录和自启动项，并对账号信息和软件信息的变动情况进行记录。 通过资产管理，您能集中清点主机中的各项资产信息，及时发现主机中含有风险的各项资产。 资产管理仅提供风险检测功能，若发现有可疑资产信息，请手动处理。 检测周期 账号信息管理、开放端口检测：实时检测。开放端口检测结果每6小时刷新一次统计数据。 进程信息管理、Web目录管理、软件信息管理、自启动：每日凌晨自动进行一次检测。 查看主机中的资产信息 1、登录管理控制台。 2、在页面左上角选择“区域”，单击，选择“安全 > 企业主机安全”，进入企业主机安全页面。 3、进入“资产管理”页面，选择不同页签，查看HSS检测到的您服务器上的所有资产。 进入资产管理页面 账号信息管理 历史变动状态说明： 变动状态：新建（新建了账号）、删除（删除了账号）、修改（修改了账号名、管理员权限或用户组等信息）。 发生变动时间：由于为周期收集，变动记录的时间是获取到改动的时间，非真实发生的时间。 根据实时账号数据和历史变动记录，您可以统一管理所有主机中的账号信息。若发现系统中有不必要的多余账号，或者发现有超级权限的账号（拥有root权限），需要排查这些账号是否是正常业务使用，如果不是则建议删除多余账号或者修改账号的权限，避免账号被黑客利用。

集群创建完成后，可以接入集群开始使用Elasticsearch搜索引擎，如定义索引数据、导入数据、搜索数据等。接入方式有4种： 在管理控制台通过Kibana接入集群。 在同一VPC内的弹性云主机，直接调用Elasticsearch API。 非安全模式使用Java API接入集群。 Elasticsearch 安全模式Java API接入集群。 在管理控制台通过Kibana接入集群 1.登录云搜索服务管理控制台。 2.在左侧导航栏，单击“集群管理”。 3.在集群对应的“操作”列，单击“Kibana”，即可打开Kibana界面。 说明 单击“Kibana”将会在浏览器中打开一个新窗口，而弹出的新窗口有可能被浏览器拦截。如果单击“Kibana”后无新窗口打开，表示已被浏览器拦截。建议在浏览器中查看拦截信息，允许浏览器访问已拦截的弹出式窗口，即kibana的访问地址 。 4.在打开的Kibana页面中，您可以创建索引、查询索引和文档、对文档字段进行分析。 其中导入数据到Elasticsearch的操作指导请参见如下章节： 使用Logstash导入数据到Elasticsearch。 使用Kibana或API导入数据到Elasticsearch。 在同一VPC内的弹性云主机，直接调用Elasticsearch API 直接调用Elasticsearch API的弹性云主机，需满足如下要求。创建并登录弹性云主机的操作指导请参见弹性云主机的“登录Linux弹性云主机”或“登录Windows弹性云主机”。 为弹性云主机分配足够的磁盘空间。 此弹性云主机的VPC需要与集群在同一个VPC中。 此弹性云主机的安全组需要和集群的安全组相同。 如果不同，请修改弹性云主机安全组或配置弹性云主机安全组的出入规则允许集群所有安全组的访问。修改操作请参见《虚拟私有云》帮助文档。 待接入的ES集群，其安全组的出方向和入方向需允许TCP协议及9200端口，或者允许端口范围包含9200端口。 操作步骤如下所示： 1.创建并登录满足要求的弹性云主机。 2.接入集群时需要使用内网访问地址和端口号，您可以在集群列表中的“内网访问地址”列获取节点内网访问地址。如果集群只有1个节点，此处仅显示1个节点的内网访问地址和端口号，如果集群有多个节点，此处显示所有节点的内网访问地址和端口号。 例如，集群中有2个节点，集群列表显示的值为“10.62.179.32:9200 10.62.179.33:9200”，表示2个节点的内网访问地址分别为“10.62.179.32”和“10.62.179.33”，访问节点需使用端口都为“9200”。 3.在此弹性云主机中，直接通过cURL执行API或者开发程序调用API并执行程序即可使用集群。 例如，使用cURL执行如下命令，查看集群中的索引信息，集群中某一个节点的内网访问地址为“10.62.179.32”，端口为“9200”。 如果接入集群未启用安全模式，接入方式为： curl ' 如果接入集群已启用安全模式，则需要使用https方式访问，并附加用户名和密码，在curl命令中添加u选项。 curl u username:password k' 说明 此处仅使用集群中某一个节点内网访问地址和端口号，当该节点出现故障时，将导致命令执行失败。如果集群包含多个节点，可以将节点内网访问地址和端口号替换为集群中另一节点的内网访问地址和端口号；如果集群只包含一个节点，则需要将该节点修复之后再次执行命令。 执行结果

同一个Nacos引擎可能会有多个用户共同使用，开启了“安全认证”的Nacos引擎专享版，通过微服务控制台提供的基于RBAC（RoleBased Access Control，基于角色的访问控制）的权限控制功能，使不同的用户根据其责任和权限，具备不同的引擎访问和操作权限。 开启了“安全认证”的Nacos引擎专享版，支持微服务正常接入。 说明 只有引擎版本为2.1.0.1及以上版本支持此功能，若版本低于2.1.0.1，可参考 当Nacos引擎版本为2.1.0升级到2.1.0.1及以上版本时，需要先开启安全认证初始化密钥信息，才可使用权限控制功能。

注意事项 当开通天翼云边缘安全加速平台—安全与加速服务加速全球或全球（不含中国内地）服务时，支持开通高性能网络增值服务。 高性能网络服务开通后不会直接生效，需要针对域名配置开启高性能网络服务才会生效。具体请参考高性能网络中配置说明。 因高性能网络为非必须的精品增值服务，涉及计费，如无需使用，请及时退订服务。

参数 参数类型 说明 示例 下级对象 vulRiskNum Integer 漏洞风险数 1 vulHostNum Integer 漏洞风险主机数 1 scaRiskNum Integer 安全基线主机数 1 scaHostNum Integer 安全几线主机数 1 wpRiskNum Integer 网页防篡改风险数 1 wpHostNum Integer 网页防篡改主机数 1 virusRiskNum Integer 病毒文件数 1 virusHostNum Integer 病毒文件数主机数 1 instrustonEventRiskNum Integer 入侵检测风险数量 1 instrustonEventRiskHostNum Integer 入侵检测风险主机数量 1

步骤二：使用DeepSeek模型 1. 通过web界面进行模型交互 注意 镜像自带的 ollama 工具监听 127.0.0.1:11434、webui 监听 0.0.0.0:3000 端口，云主机默认不对外开放任何端口访问，请按需开放端口访问规则，避免数据泄露。 1. 放行云主机安全组的 3000 端口。具体操作请参考添加安全组规则弹性云主机用户指南安全安全组配置安全组规则 天翼云。 2. 访问DeepSeek模型的可视化界面。登录地址为： 注意 云主机全自动安装DeepSeek模型和可视化界面，请等待云主机启动 5 分钟后，再访问登录界面。 首次登录页面如下： 3. 注册管理员账号。 4. 使用设置。 刷新进入首页，在模型下拉列表中，选择刚部署的DeepSeek:7b 模型。 点击左下角进入设置页面，如果您不想开放其他用户注册使用，则需要关闭 “允许用户注册” 功能。 如果您允许用户注册，还可以设置用户注册之后的行为，例如选择新用户注册后默认用户角色为“用户”/“待激活” 等，需要管理员手动激活。 设置模型可见性。多用户模式下，建议把模型设置为"Public"。 5. 使用DeepSeek模型进行模型推理。

本文介绍Redis连接失败问题排查和解决 概述 本章节主要描述Redis连接过程出现的问题，以及解决方法。 问题分类 当您发现与Redis实例连接出现异常时，可以根据本文的内容，从以下几个方面进行排查。 Redis和ECS之间的连接问题 公网连接Redis 密码问题 实例配置问题 客户端连接问题 性能问题导致连接超时 Redis和ECS之间的连接问题 在连接Redis和ECS之间存在一些常见的问题，需要确保它们在同一个VPC内并能够正常通信。 未正确配置安全组规则： 问题描述：Redis和ECS的安全组可能没有正确配置，导致连接失败。 解决方法：需要配置ECS和Redis实例所在安全组规则，确保允许Redis实例被访问。详细的配置步骤可以参考配置安全组。 白名单功能开启导致连接失败： 问题描述：如果实例开启了白名单功能，客户端连接时需要确保客户端IP在白名单内，否则将无法连接。 解决方法：需要按照实例实例白名单配置文档操作，确保客户端IP在白名单内。注意，如果客户端IP发生变化，需要将新的IP加入白名单。 不同VPC导致连接失败： 问题描述：如果Redis实例和ECS不在同一个VPC，它们之间的网络是不相通的。 解决方法：可以通过创建VPC对等连接，将两个VPC的网络打通，实现跨VPC访问Redis实例。有关VPC对等连接的创建和使用，请参考VPC对等连接说明。

购买ECS 1. 登录管理控制台。 2. 在服务列表中选择“计算 > 弹性云主机 ECS”，进入云服务器控制台，单击“购买弹性云主机”。 图5 登录弹性云主机控制台 3. 配置基础信息后，单击“下一步：网络配置”。ECS与待连接的GeminiDB Influx实例的区域及可用区一致。ECS与待连接的GeminiDB Influx实例的区域、可用区、VPC和安全组一致。 图6 基础配置 图7 选择规格 图8 选择镜像 4. 配置网络信息后，单击“下一步：高级配置”。ECS与待连接的GeminiDB Influx实例的VPC和安全组一致。 如果安全组规则允许弹性云主机云主机访问，即可连接实例。 如果安全组规则不允许弹性云主机云主机访问，需要在实例安全组添加一条“入”的访问规则。 图9 网络配置 图10 选择弹性公网IP 5. 配置密码等信息后，单击“下一步：确认配置”。 图11 高级配置 6. 确认配置信息后，单击“立即购买”。 图12 确认配置 7. 查看购买成功的ECS。

参数名 说明 取值样例 名称 连接的名称，根据连接的数据源类型，用户可自定义便于记忆、区分的连接名。 TSDBlink OpenTSDB链接地址 OpenTSDB的ZK链接地址。 opentsdbsp8afz7bgbps5ur.cloudtable.com:4242 安全模式 选择安全或非安全模式。 选择安全模式时，需要输入项目ID、用户名、AK/SK。 Nonsecurity 项目ID CloudTable服务所在区域的项目ID。 项目ID表示租户的资源，帐号ID对应当前帐号。用户可在对应页面下查看不同Region对应的项目ID和帐号ID。 1. 注册并登录管理控制台。 2.在用户名的下拉列表中单击“我的凭证”。 3. 在“我的凭证”页面，查看帐号名和帐号ID，在项目列表中查看项目ID。 用户名 访问CloudTable服务的用户名。 admin 访问标识(AK) 密钥(SK) 访问CloudTable服务的AK和SK。 您需要先创建当前账号的访问密钥，并获得对应的AK和SK。 1. 登录控制台，在用户名下拉列表中选择“我的凭证”。 2. 进入“我的凭证”页面，选择“访问密钥>新增访问密钥”，详见下图：单击新增访问密钥。 3.单击“确定”，根据浏览器提示，保存密钥文件。密钥文件会直接保存到浏览器默认的下载文件夹中。打开名称为“credentials.csv”的文件，即可查看访问密钥（Access Key Id和Secret Access Key）。 说明 每个用户仅允许新增两个访问密钥。 为保证访问密钥的安全，访问密钥仅在初次生成时自动下载，后续不可再次通过管理控制台界面获取。请在生成后妥善保管。

检查NameNode节点是否进入安全模式 19.在FusionInsight Manager首页，选择“集群 > 待操作集群的名称 > 服务 > HDFS”，单击服务异常的NameService的“NameNode(主)”，显示NameNode WebUI页面。 说明 admin用户默认不具备其他组件的管理权限，如果访问组件原生界面时出现因权限不足而打不开页面或内容显示不全时，可手动创建具备对应组件管理权限的用户进行登录。 20.在NameNode WebUI，查看是否显示如下信息：“Safe mode is ON.” “Safe mode is ON.”表示安全模式已打开，后面的提示信息为告警信息，根据实际情况展现。 是，执行步骤21。 否，执行步骤24。 21.以root用户登录客户端。执行cd命令进入客户端安装目录，然后执行 source bigdataenv 。如果集群采用安全版本，要进行安全认证，执行kinit hdfs命令，按提示输入密码（向管理员获取密码）。如果集群采用非安全版本，需使用omm用户登录并执行命令，请确保omm用户具有客户端执行权限。 22.执行 hdfs dfsadmin safemode leave 。 23.在“运维 > 告警 > 告警”页签，查看该告警是否恢复。 是，处理完毕。 否，执行步骤24。 收集故障信息 24.在FusionInsight Manager首页，选择“运维 > 日志 > 下载”。 25.在“服务”中勾选待操作集群的如下节点信息。 ZooKeeper HDFS 26.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后10分钟，单击“下载”。 27.请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 无。

本章节主要介绍如何使用Linux gsql客户端连接集群。 用户在创建好数据仓库集群，开始使用集群数据库之前，需要使用数据库SQL客户端连接到数据库。DWS提供了与集群版本配套的Linux gsql命令行客户端工具，您可以使用Linux gsql客户端通过集群的公网地址或者内网地址访问集群。 它的运行环境是Linux操作系统，在使用Linux gsql客户端远程连接DWS集群之前，需要准备一个Linux主机用于安装和运行Linux gsql客户端。如果通过公网地址访问集群，也可以将Linux gsql客户端安装在用户自己的Linux主机上，但是该Linux主机必须具有公网地址。若DWS集群没有配置公网IP，为方便起见，推荐您创建一台Linux弹性云主机（简称ECS）。 （可选）准备ECS作为gsql客户端主机 创建弹性云主机的操作步骤，请参见《弹性云主机用户指南》中的“快速入门 > 创建弹性云主机”章节。 创建的弹性云主机需要满足如下要求： 弹性云主机需要与DWS 集群具有相同的区域、可用区。 如果使用DWS 提供的gsql命令行客户端连接DWS 集群，弹性云主机的镜像必须满足如下要求： 镜像的操作系统必须是gsql客户端所支持的下列Linux操作系统： −“Redhat x8664”客户端工具支持在以下系统中使用： RHEL 6.4~7.6 CentOS 6.4~7.4 EulerOS 2.3 −“SUSE x8664”客户端工具支持在以下系统中使用： SLES 11.1~11.4 SLES 12.0~12.3 如果客户端通过内网地址访问集群，请确保创建的弹性云主机与DWS 集群在同一虚拟私有云里。 虚拟私有云相关操作请参见《虚拟私有云用户指南》中“虚拟私有云和子网”。 如果客户端通过公网地址访问集群，请确保创建的弹性云主机和DWS 集群都要有弹性IP。 创建弹性云主机时，参数“弹性IP”需设置为“自动分配”或“使用已有”。 弹性云主机对应的安全组规则需要确保能与DWS 集群提供服务的端口网络互通。 安全组相关操作请参见《虚拟私有云用户指南》中“安全组”章节。 请确认弹性云主机的安全组中存在符合如下要求的规则，如果不存在，请在弹性云主机的安全组中添加相应的规则： −方向：出方向 −协议：必须包含TCP，例如TCP、全部。 −端口：需要包含DWS 集群提供服务的数据库端口，例如，设置为“165535”或者具体的DWS 数据库端口。 −目的地址：设置的IP地址需要包含所要连接的DWS集群的地址，例如，设置为“0.0.0.0/0”或者具体的DWS 集群的连接地址。 DWS 集群的安全组规则需要确保DWS 能接受来自客户端的网络访问。 请确认DWS 集群的安全组中存在符合如下要求的规则，如果不存在，请在DWS 集群的安全组中添加相应的规则。 −方向：入方向 −协议：必须包含TCP，例如TCP、全部。 −端口：设置为DWS 集群提供服务的数据库端口，例如“8000”。 −源地址：设置的IP地址需要包含DWS 客户端主机的IP地址，例如“192.168.0.10/32”。

本文向您介绍当云主机出现端口不通的情况时请应怎样排查。 问题现象 云主机端口不通，会导致云主机之间无法通信或云主机无法对外服务，会影响应用或服务间的调用，或者用户对服务的访问。 根因分析 可能有以下几种原因导致端口不通： 1. 在控制台界面，云主机所在安全组未放行该端口； 2. 应用服务配置存在问题，对外服务端口未被正常监听； 3. 操作系统内，防火墙配置策略异常，如防火墙未放行端口访问。 问题定位步骤 本文分别对Windows和Linux操作系统的远程连接端口进行排查，以下为操作步骤。 Windows 操作系统 此部分以Windows Server 2012操作系统的云主机为示例，对云主机无法远程连接问题的定位步骤。 步骤1：排查安全组是否放通Windows远程连接端口3389。 1. 登录控制中心，选择云主机所在区域，点击“弹性云主机”进入云主机控制台。 2. 在云主机列表，点击需要远程连接的云主机实例名称。 3. 点击“安全组”页签，查看安全组规则。 4. 检查云主机所在的安全组是否已添加3389入方向的安全组规则。 步骤2 ：排查端口是否正常被监听。 在Windows操作系统中打开cmd窗口，执行如下命令。 plaintext netstat ano findstr :3389 如果回显信息如下则说明3389端口正常全网监听。否则，请开启监听。 步骤3 ：排查防火墙已经放行服务。 1. 单击“控制面板”>“Windows防火墙”。 2. 根据防火墙状态，如果防火墙处于关闭状态，且您不需要使用防火墙，则无需再做其他处理。 3. 如果防火墙处于开启状态，则单击“高级设置”。 4. 在弹出窗口的左侧导航栏中，单击“入站规则”。 5. 右键“入站规则”>新建入站规则>选择“端口”>填写“需要放开的端口”完成配置。

如果不再需要某个数据空间，可以参照本节进行删除。 约束与限制 系统创建默认数据空间不支持删除操作。 如果待删除数据空间中，存在数据管道，则该数据空间不能直接删除。您需要先删除数据管道，再删除数据空间。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在需要删除的数据空间所在行的“操作”列，单击“删除”。 6. 在弹出的对话框中单击“确认”，完成删除数据空间的操作。 注意 如果待删除数据空间中，存在数据管道，则该数据空间不能直接删除。您需要先删除数据管道，再删除数据空间。

本小节介绍安全专区云防火墙配置的VPC环境调整。 云防火墙需要实现IP地址转换功能，所以需要关闭云主机的网络接口IP地址检查，同时放通相关网络端口。 关闭云防火墙虚机网络检查 1.在【天翼云控制中心】页面中的【控制中心】→【计算】→【弹性云主机】，找到承载云防火墙（AQZQAF）的云主机（表示主机名称）。 点击该云主机名称，选择网卡，确认该云主机下有两个网卡。 2.将所有网卡的【源/目的检查】选项设置关闭。 3.确认网卡的安全组是否放通业务流量端口（必须放通TCP/443端口）。 4.进入【控制中心】→【网络】→【虚拟私有云】，检查安全专区所在VPC子网，详情如图所示，记录子网“IPv4网络”与“网关”。

本小节介绍日志审计(原生版)产品定义。 产品介绍 日志审计（原生版）（LAS Log Audit Service）通过实时不间断采集设备、主机、操作系统、数据库以及应用系统产生的海量日志信息，进行集中化存储，为您提供安全存储、检索、审计、告警、报表等能力，帮助您满足等保合规要求。 产品功能 天翼云日志审计（原生版）系统具备资产管理、日志检索、日志审计、多维报表等功能。 资产集中管理：提供集中化的统一管理平台，将所有的日志信息收集到平台中，进行信息资产的统一日志管理。 高速日志检索：基于海量数据的高速检索能力，可以实现多重条件组合的快速检索和精确定位。 实时日志审计报警：对归并处理的日志进行实时动态分析，及时发现网络非法访问、数据违规操作、系统进程异常、设备故障等高危安全事件通过邮件、短信等方式进行报警。 丰富多维日志报表：丰富合规报表预设，支持全方位自定义报表导出，实现数据库系统、数据库服务器、网络设备的多维立体审计。 产品架构 天翼云日志审计（原生版）系统产品架构包含数据采集层、处理层、存储层、引擎层、业务层、可视化。 采集层：提供开放式的信息采集接口，实现对用户环境内各类IT资产以及所采用的各厂商安全产品或安全系统进行主动或被动的日志采集。 处理层：实现对采集到的数据做统一规范化，对数据进行关键信息提取，标签化分类，过滤，归并等数据ETL操作，为后续的数据分析做准备。 存储层：实现海量安全大数据的分布式存储，提供结构化数据和非结构化数据的存储能力，并为上层的数据分析应用提供高效的数据库功能支撑。 引擎层：综合数据处理分析的能力提供层，提供由大数据技术和架构支撑的快速检索和数据关联发掘功能。是支撑上层数据呈现和分析结果输出的计算引擎层，提供丰富的大数据统计、关联分析、数据挖掘以及态势分析能力，是系统的分析处理的核心。该层提供了基础数据处理引擎，包括流式计算引擎、复杂事件处理引擎、全文检索引擎、关联分析引擎等。 业务层：实现用户基于平台的标准化数据，依托平台报表工具，日志检索工具，分析引擎，实现用户自身业务相关的安全管理以及数据分析，监控，处置，保障业务的安全稳定。 可视化：实现对平台的数据处理，数据分析，报表分析，处置结果等通过图表可视化的方式呈现。

本节介绍了安全管理角色的用户指南。 操作场景 基于角色（Role）的访问控制（RBAC）是一种基于组织中用户的角色来调节控制对计算机或网络资源的访问的方法。 RBAC 的 Role 或 ClusterRole 中包含一组代表相关权限的规则。 这些权限是纯粹累加的（不存在拒绝某操作的规则）。 Role 总是用来在某个名字空间内设置访问权限； 在你创建 Role 时，你必须指定该 Role 所属的名字空间。与之相对，ClusterRole 则是一个集群作用域的资源。这两种资源的名字不同（Role 和 ClusterRole）是因为 Kubernetes 对象要么是名字空间作用域的，要么是集群作用域的，不可两者兼具。 前提条件 已创建云容器引擎集群，具体操作请参见创建一个集群。若已有容器集群，无需重复操作。 操作步骤 创建Role或Cluster Role 1. 登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2. 在集群列表中点击需要创建Role的集群，进入集群管理页面。 3. 在集群管理页面导航栏中选择安全管理 > 角色，进入角色信息页面。 4. 在上⽅选项卡中选择Role或Cluster Role创建对应的角色，本文以Cluster Role为例。 5. 点击创建进入创建YAML页面，Yaml编辑窗口提供⼀个默认的Cluster Role Yaml模板，可参考模板创建需要的Cluster Role。