实践 描述 变更规格 当使用的云堡垒机规格不能满足实际需求时，您可以选择对云堡垒机的规格进行变更规格。 系统策略 云堡垒机支持通过执行命令运维数据库，包括数据删除、修改、查看等运维操作。为确保数据库敏感信息的安全，避免关键信息的丢失和泄露，本文针对运维用户访问和运维数据库关键信息，详细介绍了如何设置数据库高危操作的复核审批，以及如何实现关键信息的重点监控。 等保合规 为客户提供一站式的安全解决方案，帮助客户快速、低成本完成安全整改，轻松满足等保合规要求。 系统运维 针对您的服务器资源分布在跨VPC、线下IDC机房、非华为云等跨网络域的场景，华为云堡垒机提供了通过网络代理服务器进行运维的方案，便于您在没有搭建网络专线的情况下，纳管各网络域的各类服务器资源，从而通过华为云堡垒机统一管理、运维您的各类工作负载。 运维审计 云堡垒机可以管控所有的操作，并对所有的操作都进行详细记录。针对会话的审计日志，支持在线查看、在线播放和下载后离线播放。目前支持字符协议（SSH、TELNET）、图形协议（RDP、VNC）、文件传输协议（FTP、SFTP、SCP）、数据库协议（DB2、MySQL、Oracle、SQL Server）和应用发布的操作审计。其中，字符协议和数据库协议能够进行操作指令解析，还原操作指令；文件传输能够记录传输的文件名称和目标路径。

五、我们如何保护您的信息 5.1 我们对您的信息的保护 我们非常重视您的信息安全。我们建立了数据安全管理制度，采用适当的物理、管理和技术保障措施来防止您的信息遭到未经授权访问、披露、使用、修改、损坏或丢失。 但是，由于技术的限制以及可能存在的各种恶意手段，在互联网环境下，即便竭尽所能加强安全措施，也不可能始终保证信息百分之百的安全。如不幸发生信息泄露等安全事件，我们会立即启动应急预案，阻止事件扩大，及时采取补救措施，并推送通知、公告等多种形式告知您。同时，我们还将按照监管部门要求，上报用户信息安全事件的处置情况。 5.2 您对信息的保管 尽管有前述安全措施，但请您妥善保管您的账户、密码及其他信息，避免您的信息泄露。如果您发现您的账号、密码或其他信息被他人非法使用或有使用异常的情况的，应及时通知我们，我们将采取相应安全保障措施。 六、我们如何管理您的信息 6.1 查询 打开本App成功配置连接后，您可以点击连接名称，进入连接详情页。如需查看相关配置信息，您可以点击详情页右上角的“操作”图标，点击“编辑VPN”查看配置信息。或者，通过登录天翼云VPN连接控制台查询您的相关信息。 对于您使用我们的产品或服务过程中产生的其他配置信息，如您需要，您也可以通过工单、邮件等方式联系我们查询您的配置信息。验证身份和权限后，我们将在15日内响应您的配置信息查询请求。

本节介绍了常见问题:镜像安全相关问题。 如何扫描所有镜像 目前支持扫描单个版本的容器镜像。

配置有效期后，在到期前5天，每天会自动发送一次邮件提醒。 操作步骤 1、登录云堡垒机系统。 2、选择“系统 > 系统配置 > 安全配置”，进入系统安全配置管理页面。 3、在“用户有效期倒计时配置”模块的右侧，单击“编辑”，进入“用户有效期倒计时配置”页面。 4、输入用户密码，开启用户有效期倒计时开关状态。 5、单击“确定”，完成配置。

本节介绍了如何在控制台上创建云数据库GaussDB 的实例。 操作场景 本章将介绍在云数据库GaussDB 的管理控制台创建实例。 操作步骤 步骤 1 登录管理控制台。 步骤 2 在“实例管理”页面，单击“创建数据库实例”。 步骤 3 在创建实例页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 基本信息 参数 描述 区域 租户当前所在区域，也可在页面左上角切换。说明不同区域内的产品内网不互通，且创建后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库版本 云数据库GaussDB 目前支持3.103、2.7版本。 实例类型 “分布式版”：分布式形态能够支撑较大的数据量，且提供了横向扩展的能力，可以通过扩容的方式提高实例的数据容量和并发能力。“主备版”：适用于数据量较小，且长期来看数据不会大幅度增长，但是对数据的可靠性，以及业务的可用性有一定诉求的场景。 部署形态 独立部署：将数据库组件部署在不同节点上。适用于可靠性、稳定性要求较高，实例规模较大的场景。高可用（1主2备）：采用一主两备三节点的部署模式，包含一个分片。 事务一致性 仅分布式版形态有该参数。l 强一致性：应用更新数据时，用户都能查询到全部已经成功提交的数据，对性能有影响。l 最终一致性：应用更新数据时，用户查询到的数据可能不相同，有可能是更新后的值，也有可能是更新前的值，但经过一段时间后，查询到的数据是更新后的值，该种类型通常具有较高的性能。 切换策略 l 数据高可靠：对数据一致性要求高的系统推荐选择数据高可靠，在故障切换的时候优先保障数据一致性。l 业务高可用：对业务在线时间要求高的系统推荐使用业务高可用，在故障切换的时候优先保证数据库可用性。说明在业务高可用场景下需要谨慎修改如下数据库参数：l recoverytimetarget：不当修改该参数会导致实例频繁进行强制切换，请在技术人员指导下进行修改。l auditsystemobject：不当修改该参数会导致丢失DDL审计日志，请在技术人员指导下进行修改。 副本集数量 仅分布式部署形态可选。每个分片下1主多副本的部署方案，3副本就是1主2备的部署方式。 分片数量 仅分布式部署形态可选。一个分片指的是一组DN副本集，分片内的DN数量与“副本集数量”参数有关，例如副本集数量为3，则一个分片就包含一主两备三个DN节点。 协调节点数量 仅分布式部署形态可选。数据库中包含的协调节点（CN，Coordinator Node）数量，协调节点负责接收来自应用的访问请求，并向客户端返回执行结果；负责分解任务，并调度在各分片上并行执行。须知CN数量必须小于或等于两倍的分片数。 可用区 可用区只支持部署在一个或者三个可用区。可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择。 规格与存储 参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数。 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。 网络 参数 描述 虚拟私有云 GaussDB实例所在的虚拟专用网络，可以对不同业务进行网络隔离。需要创建或选择所需的虚拟私有云。 说明 GaussDB实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建GaussDB实例的子网默认开启DHCP功能，不可关闭。创建实例时GaussDB会自动配置内网地址。 说明 创建实例时支持选择IPv6子网。选择IPv6子网后，实例的数据浮动IP地址将绑定IPv6地址，连接数据库时也可使用IPv6地址进行连接。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 IPv6实例的约束限制： 创建实例所选规格需要支持IPv6。 创建实例所选的可用区支持IPv6。 需要实例为8.102.0及以上版本。 内网安全组 控制网络出/入方向及端口的访问，默认添加了GaussDB实例所属的内网安全组访问。 创建分布式版实例时，如果需要修改内网安全组，请确保入方向规则TCP协议端口包含：4000060480,20050,50005001,23792380,6000,6500， ( + 100)。（例如设置的数据库端口为8000，则安全组中需要包含80008100）。 创建主备版实例时，如果需要修改内网安全组，请确保入方向规则TCP协议端口包含：20050，50005001，23792380，6000，6500， ( + 100)。（例如设置的数据库端口为8000，则安全组中需要包含80008100）。 内网安全组限制实例的安全访问规则，加强GaussDB与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 数据库端口 数据库对外开放的端口，默认为8000，可选范围为：1024~39989。 如下端口被系统占用，不可设置： 2378~2380、2400、4999~5001、5100、5500、 5999~6001、6009~6010、6500、8015、8097、8098、8181、9090、9100、9180、 9187、9200、12016、12017、20049、20050、21731、21732、32122~32126、39001。 单浮动IP策略 是否开启单浮动IP策略，如果开启，实例将只有一个浮动IP绑定主节点，如果发生主备倒换，浮动IP不会发生变化；如果不开启，每个节点都会绑定一个浮动IP，如果发生主备倒换，浮动IP会发生变化。 单浮动IP约束限制如下： 仅支持3.206及以上的主备版实例。 仅创建时支持修改，创建后不支持切换单浮动IP策略。 数据库配置 参数 描述 管理员帐户名 数据库的登录名称默认为root。 管理员密码 请您输入高强度密码并定期修改，以提高安全性，防止出现密码被暴力破解等安全风险。须知设置的密码需满足以下几个条件：l 8到32个字符。l 至少包含大写字母（AZ），小写字母（az），数字（09），非字母数字字符（限定为~!@

进入客户控制台 成功开通AOne边缘接入服务后，您可以通过以下方式进入AOne边缘安全加速控制台。 官网页面进入控制台：进入边缘安全加速平台产品详情页，点击管理控制台。 通过控制中心进入控制台：进入天翼云控制中心，在CDN与视频分类下，点击边缘安全加速平台。 通过控制台链接直接进入。 添加域名/实例 进入客户控制台后，就可以添加域名/实例。步骤详见：添加域名/实例。域名/实例创建成功的标志是：在首页列表中，可以查到新建域名/实例，以及CNAME地址。 模拟访问验收 在客户控制台成功添加加速域名/实例后，为保证DNS解析顺利切换而不影响现有业务，建议先模拟访问进行功能验收，验收无误后，再切换DNS解析。具体流程如下： 1. 在天翼云客户控制台的IP应用加速的首页列表中，复制域名/实例对应的CNAME记录值。 2. 通过ping（Windows）或dig（MAC） CNAME记录的方式，如ping .ctdns.cn 获取该CNAME解析出来的天翼云已为您分配的某个节点IP，即为可测试验证功能的线上节点IP。 3. 用户修改本地电脑“C:WindowsSystem32Driversetc”的hosts文件，添加一条记录，让本地电脑访问加速域名时，强制绑定解析到该节点IP，由该节点IP进行服务，从而可以通过本地电脑来验证加速域名对应的相关业务功能和场景；如遇到修改后的host文件无法访问，可参考如下步骤： Hosts文件无法保存解决方法： Hosts文件无法修改可能是因为没有管理员权限所致的，完成以下的设置后，当我们修改了Hosts文件后就可以顺利保存了。 打开“计算机”，依次进入“C:WindowsSystem32Driversetc”（不同系统不同版本下，该文件的位置可能不同，仅供参考），找到hosts文件。 先选择“hosts”文件，打开其“属性”。 切换到“安全”选项卡，点击“高级”。 在“权限”下，点击“更改权限”。 点击“添加”，增添一个新权限。 点击“高级”进入高级设置。 选择“立即查找”，并在下方选择当前的系统账户，点击“确定”将其打开。 将“完全控制”勾上允许，并点击“确定”。 此时弹出一个安全警告窗口，点击“是”即可。 4. 验证内容： 成功绑定hosts文件后，您可以打开浏览器，在本地电脑访问加速域名进行连通性测试，测试结果可通过浏览器自带的开发者工具（F12）查看。如果浏览器访问到的IP和您在hosts文件中绑定的IP一致，表示配置正确。如果访问到的IP和您在hosts文件中绑定的IP不一致，表示配置不正确，您需要检查hosts文件中绑定的IP地址是否正确，确保该IP地址是CNAME地址的IP。 在电脑本地成功访问加速域名绑定的IP后，您可以基于自己的测试用例，或者必要的核验步骤，验证相关功能的准确性，如果功能验证不如预期，请提工单联系运维处理。

本文是对集群升级的概述 云容器引擎（CCE）严格遵循社区一致性认证，每年发布3个Kubernetes版本，每个版本发布后提供至少24个月的维护周期，CCE保证维护周期内的Kubernetes版本的稳定运行。 为了保障您的服务权益，请您务必在维护周期结束之前升级您的Kubernetes集群，您可在集群列表页面确认集群的Kubernetes版本，以及当前是否有新的版本可供升级。主动升级集群有以下好处： 降低安全和稳定性风险：Kubernetes版本迭代过程中，会不断修复发现的安全及稳定性漏洞，长久使用EOS版本集群会给业务带来安全和稳定性风险。 支持新功能和新操作系统：Kubernetes版本的迭代过程中，会不断带来新的功能、优化。您可通过CCE集群版本发布说明查看最新版本的特性说明。 避免大跨度兼容风险：Kubernetes版本的迭代过程中，会不断带来API变更与功能废弃。长久未升级的集群，在需要升级时需要更大的运维保障投入。周期性的跟随升级能有效缓解版本差异累积导致的兼容性风险。建议用户每季度升级一次补丁版本，每年升级一次大版本至当前支持的最新版本。 更加有效的技术支持：对于EOS的Kubernetes版本集群，CCE不再提供安全补丁和问题修复，同样无法保证EOS版本集群的技术支持质量。

接口功能介绍 将安全组复制到账号的其它资源池下。 接口约束 无 URI POST /v3/securityGroup/copySecurityGroup 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 regionId 是 String 资源池ID。 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 请求参数 请求头header参数 无 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 securityGroupOidList 是 Array of Strings 要复制的安全组ID列表 targetRegionIdList 否 Array of Strings 复制的目标资源池ID列表, 非必传, 不传默认复制到账号下所有资源池 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 状态码。可能值： 800：请求成功。 900：请求失败。 800 error String 错误码。 ECPC1000 message String 提示信息。 OK. returnObj Object 返回数据结构体。 returnObj 枚举参数 无 请求示例 请求url 请求头header 无 请求体body { "securityGroupOidList":["sgxxxa","sgxxxb"], "targetRegionIdList":["region1","region2"] } 响应示例 { "statusCode":800, "message":"OK.", "returnObj":{ } }

li1979812511478 " ")。 端口映射 终端节点服务与终端节点建立连接关系，进行通信，协议可选择TCP。 服务端口：终端节点服务绑定了后端资源，作为提供服务的端口。 终端端口：终端节点提供给用户，作为访问终端节点服务的端口。 服务端口和终端端口取值范围1～65535，单次操作最多添加50条端口映射。 说明 通过“终端端口→ 服务端口”的方式进行访问。 后端资源类型 实际提供服务的后端资源。 可创建为终端节点服务的后端资源包括： 弹性负载均衡：适用于高访问量业务和对可靠性和容灾性要求较高的业务。 云服务器：作为服务器使用。 此处选择“弹性负载均衡”。 说明： 安全组添加的规则是白名单。终端节点服务配置的后端资源所在安全组，需要添加源地址为198.19.128.0/20的白名单入方向规则，详细操作请参考《虚拟私有云用户指南》中的“添加安全组规则”。 选择负载均衡 “后端资源类型”选择为“弹性负载均衡”时，会出现该参数，在下拉列表中选择需要提供服务的负载均衡，只支持弹性负载均衡。 说明 弹性负载均衡作为终端节点服务的后端资源后，不支持获取真实访问客户端的地址。 5. 单击“立即创建”。 6. 返回终端节点服务列表可查看创建的终端节点服务。

本节主要介绍产品功能 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号或者云服务管理资源等。 精细的权限管理 使用IAM，您可以将帐号内不同的资源按需分配给创建的IAM用户，实现精细的权限管理。例如：控制用户Charlie能管理项目B的VPC，而让用户James只能查看项目B中VPC的数据。 图 权限管理模型 安全访问 您可以使用IAM为用户或者应用程序生成身份凭证，不必与其他人员共享您的帐号密码，系统会通过身份凭证中携带的权限信息允许用户安全地访问您帐号中的资源。 通过用户组批量管理用户权限 您不需要为每个用户进行单独的授权，只需规划用户组，并将对应权限授予用户组，然后将用户添加至用户组中，用户就继承了用户组的权限。如果用户权限变更，只需在用户组中删除用户或将用户添加进其他用户组，实现快捷的用户授权。 委托其他帐号或者云服务管理资源 通过委托信任功能，您可以将自己的操作权限委托给更专业、高效的其他帐号或者云服务，这些账号或者云服务可以根据权限代替您进行日常工作。

手动备份数据库审计日志 1. 登录管理控制台。 2. 单击右上角的 ，选择区域。 3. 选择“安全 > 数据库安全服务”，进入数据库安全审计“总览”界面。 4. 在左侧导航树中，选择“设置”，进入设置界面。 5. 在“选择实例”下拉列表框中，选择需要设置备份的实例，选择“备份与恢复”页签。 6. 单击“手动备份”，在弹出的对话框中，选择“备份范围”并设置访问密钥的AK和SK，如下图所示。 7. 单击“确定”。 恢复数据库审计日志 数据库审计日志备份成功后，您可以根据需要恢复数据库的审计日志。 注意 日志数据恢复风险较大，在恢复日志数据前，请您确认备份的日志数据的准确性或完整性。 1. 登录管理控制台。 2. 单击右上角的 ，选择区域。 3. 选择“安全 > 数据库安全服务”，进入数据库安全审计“总览”界面。 4. 在左侧导航树中，选择“设置”，进入设置界面。 5. 在“选择实例”下拉列表框中，选择需要恢复日志的实例，选择“备份与恢复”页签。 6. 在需要恢复数据库审计的备份日志所在的“操作”列，单击“恢复日志”。 7. 在弹出的提示框中，单击“确定”。

本文为您介绍VPC终端节点产品的定义和产品架构。 VPC终端节点（VPC Endpoint），能够将VPC私密地连接到终端节点服务（云服务、用户私有服务），使VPC中的云资源无需弹性IP就能够访问终端节点服务，提高了访问效率，为您提供更加灵活、安全的组网方式。 VPC终端节点由“终端节点服务”和“终端节点”两种资源实例组成。 终端节点服务：指将云服务或用户私有服务配置为VPC终端节点支持的服务，可以被终端节点连接和访问。 终端节点：用于在VPC和终端节点服务之间建立便捷、安全、私密的连接通道。

关闭公网访问 1. 登录分布式消息服务RocketMQ控制台。 2. 单击RocketMQ实例的名称，进入实例详情页面。 3. 在“公网访问”后，单击。 4. 关闭，单击，关闭公网访问。 关闭公网访问后，需要修改对应的安全组规则，才能成功连接RocketMQ实例。 表2 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 8100 0.0.0.0/0 VPC内访问元数据节点的端口 入方向 TCP 1010010199 0.0.0.0/0 访问业务节点的端口

原因 解决方案 后端服务地址错误。 在编辑API中修改后端服务地址。如果是域名，请确认域名能正确解析到后端服务IP地址。 后端超时时间设置不合理。当后端服务没有在设置的后端超时时间内返回时，API网关提示后端服务调用失败。 在编辑API中增加后端超时时间。 如果“后端服务地址”在ECS（Elastic Cloud Server），ECS的安全组的出/入方向规则可能拦截了请求。 检查后端服务所在ECS的安全组，确保出/入方向端口规则和协议都设置正确。 请求协议配置错误，如后端服务为HTTP，在API网关配置为HTTPS。 注册的API与后端服务配置相同的协议。

相关服务 交互功能 云专线 通过云专线接入VPC的本地服务器，可以通过公网NAT网关访问公网或为公网提供服务。 虚拟专用网络 通过VPN可以在远端用户和VPC之间建立一条安全加密的公网通信隧道。为通过公网NAT网关访问公网提供了更加安全的访问。 弹性云主机 公网NAT网关可以为弹性云主机提供访问公网或者为公网提供服务的能力。 虚拟私有云 虚拟私有云内的弹性云主机与Internet互连。 弹性IP 实现VPC中的云主机以公网NAT网关的形式共享弹性公网IP访问公网或为公网提供服务。 云监控 查看NAT网关的监控数据，还可以获取可视化监控图表。

本文介绍如何处理Windows云主机卡顿问题。 问题原因 当您发现云主机的运行速度变慢或云主机突然出现网络断开的现象，则可能是由以下原因导致的： 1. 云主机使用共享型实例：共享型实例在云计算中是指多个虚拟机共享同一台物理服务器的资源，这会导致资源争用，可能导致服务器卡顿问题。 2. 云主机受到恶意软件或病毒的感染：恶意软件可能执行各种恶意任务，占用大量计算资源，增加云主机网络带宽和资源消耗，影响正常的服务运行等，可能导致服务器卡顿问题。 3. 云主机系统资源利用率异常：资源包括CPU、内存、磁盘和网络等，当其中一个或多个资源受到过度使用或不合理分配时，可能导致服务器卡顿问题。 问题处理 云主机使用资源共享型实例 步骤一：问题定位 检查当前云主机的规格类型，共享资源型和独享资源型实例的说明请参见规格类型。 步骤二：问题处理 独享资源型实例在云计算中独享物理服务器的资源，可以提供更稳定和可预测的性能。如果您对业务稳定性有较高要求，建议您将共享型实例变更为独享资源型实例，请参见变更规格。 云主机受到恶意软件或病毒的感染 步骤一：问题定位 定位云主机是否受到恶意软件感染，您可以运行受信任的杀毒软件或安全扫描工具，对服务器进行全面扫描。此外，您还可以检查操作系统、应用程序和安全软件是否为最新版本，并已应用最新的安全更新和补丁。 步骤二：问题处理 如果服务器受到恶意软件感染，及时采取行动非常重要。隔离服务器、运行安全扫描工具、清除恶意软件、更新系统等都是确保服务器安全的关键步骤。

本文介绍如何处理Linux云主机卡顿问题。 问题原因 当您发现云主机的运行速度变慢或云主机突然出现网络断开的现象，则可能是由以下原因导致的。 1. 云主机使用共享型实例：共享型实例在云计算中是指多个虚拟机共享同一台物理服务器的资源，这会导致资源争用，可能导致服务器卡顿问题。 2. 云主机受到恶意软件或病毒感染：恶意软件可能执行各种恶意任务，占用大量计算资源，增加云主机网络带宽和资源消耗，影响正常的服务运行等，可能导致服务器卡顿问题。 3. 云主机系统资源利用率异常：资源包括CPU、内存、磁盘和网络等，当其中一个或多个资源受到过度使用或不合理分配时，可能导致服务器卡顿问题。 问题处理 云主机使用资源共享型实例 步骤一：问题定位 检查当前云主机的规格类型，共享资源型和独享资源型实例的说明请参见规格类型。 步骤二：问题处理 独享资源型实例在云计算中独享物理服务器的资源，可以提供更稳定和可预测的性能。如果您对业务稳定性有较高要求，建议您将共享型实例变更为独享资源型实例，请参见变更规格。 云主机受到恶意软件或病毒的感染 步骤一：问题定位 定位云主机是否受到恶意软件感染，您可以运行受信任的杀毒软件或安全扫描工具，对服务器进行全面扫描。此外，您还可以检查操作系统、应用程序和安全软件是否为最新版本，并已应用最新的安全更新和补丁。 步骤二：问题处理 如果服务器受到恶意软件感染，及时采取行动非常重要。隔离服务器、运行安全扫描工具、清除恶意软件、更新系统等都是确保服务器安全的关键步骤。

本节介绍OpenSSH用户枚举漏洞修复最佳实践。 漏洞编号 CVE201815473 漏洞名称 OpenSSH 用户枚举漏洞 漏洞描述 OpenSSH（OpenBSD Secure Shell）是OpenBSD计划组所维护的一套用于安全访问远程计算机的连接工具, 该工具是SSH协议的开源实现，支持对所有的传输进行加密，可有效阻止窃听、连接劫持以及其他网络级的攻击; OpenSSH 7.7及之前版本中存在用户枚举漏洞，该漏洞源于程序会对有效的和无效的用户身份验证请求发出不同的响应，攻击者可通过发送特制的请求利用该漏洞枚举用户名称。 影响范围 OpenSSH 7.7及之前版本 官方解决方案 应用补丁可以修复此漏洞，需要重新编译，补丁获取链接：< 新版本OpenSSH7.8已经修复这个安全问题，请到厂商的主页下载，下载链接： < < 检测与修复建议 服务器安全卫士（原生版）已支持对对该漏洞的检测与修复。需要在服务器安装部署Agent，并已开启安全防护。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏选择“漏洞扫描”，进入漏洞扫描页面。 3. 在漏洞扫描页面点击“一键扫描”按钮，进入一键扫描设置页面，勾选相应参数设置进行漏洞扫描。 4. 在漏洞扫描详情页面， Windows系统漏洞列表中已检测出主机存在的OpenSSH漏洞。 5. 检测完成后，可点击“查看详情”，跳转到详情页面，可以根据修复建议修复漏洞。 6. 修复过程需要花费一段时间，修复完成后，请重启云主机使补丁生效。 7. 重启云主机后，再次单击“一键扫描”，验证该漏洞是否修复成功。

五、 内核升级指南 本章介绍用户升级内核的重要性、方法及注意事项； 5.1 内核作用及升级内核的重要性： Linux 内核的主要作用： ● 硬件管理： 内核负责与计算机硬件进行交互，管理各种硬件设备（如处理器、内存、硬盘、网络适配器等）。它确保这些硬件能够协同工作，以完成各种任务。 ● 系统调度： 内核负责管理运行在计算机上的各个进程（程序的执行实例）。它决定哪个进程在什么时间运行，如何分配处理器时间片，以实现高效的多任务处理。 ● 内存管理： 内核控制着计算机内存的分配和释放，以确保不同的程序和进程能够安全地共享系统内存资源。 ● 文件系统管理： 内核管理文件系统，使得应用程序可以读取、写入和操作文件。它处理文件和目录的创建、删除、移动等操作。 ● 设备驱动程序： 内核包含各种设备驱动程序，使操作系统能够与硬件设备进行通信。这些驱动程序允许操作系统识别和与设备交互，从而实现硬件的正常工作。 ● 安全性和权限管理： 内核负责管理用户和程序的访问权限，以确保系统的安全性。它通过访问控制列表和权限机制来限制不同用户和进程对系统资源的访问。 ● 系统调用： 内核提供系统调用接口，允许应用程序请求操作系统执行特定的任务，如文件操作、网络通信等。 升级内核是保持系统最新和高效的关键，升级内核有助于保持系统与时俱进，获得更好的性能、安全性和稳定性。 但是，升级内核需要谨慎，不当的升级可能会导致不稳定性或与现有软件不兼容的问题。 升级内核重要性： ● 每个新内核版本都会带来对硬件和软件的优化。通过升级内核，用户可以获得更好的性能和响应速度，从而提升整体系统体验。 ● 内核更新通常包括对已知漏洞和安全问题的修复。保持内核更新意味着您的系统能够抵御当前和未来的安全威胁。 ● 新的内核版本通常会增加对新硬件的支持。这对于那些计划使用最新硬件的用户来说尤为重要。

本章节主要介绍天翼云物理机的使用场景。 对安全和监管高要求的场景 金融、证券等行业对业务部署的合规性，以及某些客户对数据安全有苛刻的要求。采用物理机部署，通过网络隔离、专线接入等方式确保独享资源，数据安全隔离，保障用户数据的安全。 核心数据库 泛政务、金融、互联网等行业客户的关键业务系统的核心数据库，其业务压力大、安全隔离要求高，可通过资源专享、网络隔离、性能有保障的物理机承载，满足业务需求。尤其类似Oracle等数据库，其部署复杂，对性能要求高，推荐采用物理机部署。 大数据场景 互联网、汽车、交通、政务等行业的大数据存储、大数据分析等相关业务，客户在云上自建大数据平台，推荐采用性能更强、兼容性更高的物理机服务器承载。同时，天翼云物理机服务器支持结合对象存储服务的存算分离方案。 容器场景 电商平台、游戏、疫情核酸平台等业务弹性要求较高，性能要求更高的场景，可采用物理机容器方案，相比虚机容器，物理机容器提供更高的部署密度、更低的资源开销、更加敏捷的部署效率。基于云原生技术帮助客户实现降低云化成本目标。 高性能计算 科研、基因测序、天气预测、能源勘探、影视渲染、人工智能等高性能计算场景下，对计算能力要求高、处理的任务多、并行数据量大。天翼云物理机采用高规格物理服务与本地SAS存储进行部署，提供强大的计算能力和存储性能。高计算性能、稳定性和实时性，避免虚拟化带来的性能损耗，满足业务对服务器的高计算性能、高稳定性、高实时性的诉求。

本文介绍CDN加速应对攻击的处理机制及策略建议。 详细说明 天翼云CDN加速产品提供公共开放的加速能力，默认不提供防攻击服务。如果您的CDN加速域名受到攻击（例如DDOS攻击或CC攻击），导致CDN节点带宽或请求QPS大幅上涨，影响正常用户请求时，天翼云CDN将基于域名业务情况、攻击影响程度等综合评估，必要情况下有权将您的加速域名流量导入“隔离节点”，进入“隔离节点”的用户请求将不再保障服务质量。 如您的域名存在潜在被攻击风险，不希望在上述场景下被切换至“隔离节点”，请在CDN加速基础上，叠加购买Web应用防火墙（边缘云版），或切换至安全类加速产品、边缘安全加速平台。详情请见：边缘安全加速平台。 相关概念 DDoS：分布式拒绝服务攻击（Distributed Denial of Service，简称DDoS）是指攻击的发出点是分布在不同地方，且所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。 CC攻击：攻击者借助代理服务器生成指向受害主机的合法请求，实现DDoS和伪装就叫：CC(Challenge Collapsar)，CC主要是攻击页面，属于应用层攻击。

网站安全监测客户控制台的【计费详情】页面，客户可以进行查看购买的套餐版本和扩展服务，以及可用域名的数量：

事件记录 OOS可以记录用户的管理事件以及数据操作事件，可用于支撑安全分析、合规审计和问题定位等常见应用场景。 产品能力 功能说明 操作跟踪 操作跟踪用于记录OOS账户的管理事件，并将产生的跟踪日志保存到指定的OOS存储桶中。 日志 日志功能可以帮助记录所有Bucket和Object级别的操作记录， 您可以通过点击右边的单选框来开启/不开启用户日志功能，同时还可以通过设置目标存储桶（Bucket）和路径来指定日志的存储位置。 数据保护 OOS提供HTTPS访问、数据冗余存储、合规保留、确保数据安全可靠。 产品能力 简要说明 HTTPS访问 OOS支持HTTP和HTTPS两种传输协议，为保证数据传输的安全性，推荐您使用更加安全的HTTPS协议。 数据冗余存储 OOS支持多种冗余存储，包括Erasure Code（EC，纠删码）和多副本。在保证数据安全性的情况下，OOS会选择最优冗余存储方案进行数据存储。 数据一致性校验（MD5） OOS支持数据一致性校验，可以通过计算MD5值的方式对上传下载的数据进行一致性校验，确保数据安全。 合规保留 OOS支持WORM特性，允许用户以“不可删除、不可篡改”方式保存和使用数据。

本文介绍内外网隔离的适用场景和配置方法。 基本概念 内网：即局域网，是指在某一区域内由多台计算机互联成的计算机组。局域网内的IP是可以自定义分配管理，局域网是封闭型的，仅局域网内进行互联互通。 外网：即广域网，又称公网。是连接不同地区局域网或城域网计算机通信的远程网。公网的IP是固定分配的，一般不会随意变更，且公网IP是需要进行相关报备。 内外网隔离指的是将内部网络（内网）与外部网络（外网）物理或逻辑上分开，以防止未经授权的访问和数据泄露。通过内外网隔离，企业组织可以显著提高其安全性，因为即使外网遭受攻击，攻击者也难以渗透到内网，从而保护了组织的核心资产和数据。零信任模型强调的是一种持续的、动态的安全策略，它要求组织不断地评估和改进其安全措施，以应对不断变化的威胁环境。 功能说明 可针对常用的互联网域名、ip设定黑白名单进行互联网行为控制，主要差异如下： 互联网流量白名单设置：适用于重保、企业安全要求等级较高的场景，需要牺牲一定的客户体验。设置需访问、且安全的域名或IP为白名单，连接内网时仅放行白名单内的互联网流量，其他均不可访问；断开内网才可访问互联网流量。 互联网流量黑名单设置：仅设置已识别到的攻击域名或IP，访问该域名或IP时进行阻断，比如企业内部已识别该域名为钓鱼网站，则可直接配置禁用。

提交流程版本 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。 5. 在目标流程“操作”列，单击“版本管理”，弹出流程版本管理页面。 6. 在流程版本管理页面中，单击“版本信息”栏中目标流程所在行的“操作”列的“提交”，弹出提交确认框。 7. 在确认框中，单击“确认”，提交流程版本。 说明 流程版本提交后“版本状态”更新为“待审核”。 流程版本提交后不可以再编辑，如果需要编辑可以新建版本，或者在审核中驳回提交。 激活/失活流程版本 说明 只有版本状态为未激活的流程版本才能激活。 每个流程只允许存在一个激活版本。 激活当前版本后，之前激活的版本将会失活。例如，此次激活V2版本，则处于已激活状态的V1版本将被取消激活，更新为未激活状态。 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。 5. 在目标流程“操作”列，单击“版本管理”，弹出流程版本管理页面。 6. 在流程版本管理页面中，单击“版本信息”栏中目标流程版本所在行的“操作”列的“激活”或者“取消激活”。 7. 在弹出确认框中，单击“确认”，完成激活/失活操作。

本章节主要介绍如何在已有物理机实例中手动安装Agent,实现主机监控。 您需要完成以下步骤： 1.添加域名解析地址：在物理机“/etc/resolv.conf”文件中添加各区域域名解析地址。 2.修改子网DNS地址：按物理机所在区域修改子网的DNS服务器地址。 3.配置安全组：用于下载Telescope包、发送指标数据、采集日志等。 此三步请参见内网DNS与安全组配置。 4.安装Agent：手动为物理机安装Agent，实现主机监控。 此步请参见安装Agent（Linux）。

态势感知支持自定义检测结果列表。 前提条件 已接收到安全产品的检测结果。 操作步骤 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版）”，进入态势感知管理页面。 3. 在左侧导航栏选择“检测结果”，进入全部结果管理页面。 4. 单击，展开结果列表属性框。 5. 勾选结果属性。 6. 刷新结果列表，即可在列表查看目标属性。

Navicat客户端连接DRDS实例 步骤 1 登录分布式数据库中间件服务，单击需要连接的DRDS实例名称，进入实例基本信息页面。 步骤 2 在“实例信息”模块的弹性公网IP单击“绑定”。绑定已申请的公网IP。 步骤 3 在DRDS管理控制台左侧选择虚拟私有云图标。单击“访问控制>安全组”。 步骤 4 在安全组界面，单击操作列的“配置规则”，进入安全组详情界面。在安全组详情界面，单击“添加规则”，弹出添加规则窗口。根据界面提示配置安全组规则，设置完成后单击“确定”即可。 说明 绑定弹性公网IP后，建议您在内网安全组中设置严格的出入规则，以加强数据库安全性。 步骤 5 打开Navicat客户端，单击“连接”。在新建连接窗口中填写主机IP地址（弹性公网IP地址）、用户名和密码（DRDS账号、密码）。 说明 Navicat客户端推荐使用版本为Navicat12。 步骤 6 单击“连接测试”，如果显示连接成功，单击“确定”，等待12分钟即可连接成功。连接失败会直接弹出失败原因，请修改后重试。 结束 说明 通过其他可视化的MySQL工具（例如 Workbench）连接DRDS实例的操作与此章基本一致，不做详细描述。 MySQL命令行连接DRDS逻辑库 步骤 1 登录弹性云主机，打开命令行工具，输入以下命令。 plaintext mysql h ${DDMSERVERADDRESS} P${DDMSERVERPORT} u${DDMUSER} p [D${DDMDBNAME}] [defaultcharactersetutf8][defaultauthmysqlnativepassword] 表 参数说明 参数示例 参数填写说明 参数举例 DDMSERVERADDRESS DRDS实例所在IP地址。 192.168.0.200 DDMSERVERPORT DRDS实例连接端口。 5066 DDMUSER DRDS实例账号。 dbuser01 DDMDBNAME DRDS实例逻辑库名，选填。 defaultcharactersetutf8 指定字符编码为UTF8，选填。 当MySQL连接编码和实际编码不一致，导致DRDS解析出现乱码时请配置该参数。 defaultauthmysqlnativepassword 默认使用密码认证插件，选填。 ssl 使用SSL加密连接，需要先开启SSL，选填。 说明 如果您使用了MySQL 8.0的客户端，需要增加defaultauthmysqlnativepassword参数。 如果您开启了SSL特性，默认使用加密连接。 步骤 2 下面为Windows服务器命令行窗口中使用表中举例参数MySQL命令连接服务器的回显情况。 plaintext C:UserstestDDM>mysql h192.168.0.200 P5066 Ddb5133 udbuser01 p Enter password: Reading table information for completion of table and column names You can turn off this feature to get a quicker startup with A Welcome to the MySQL monitor. Commands end with ;or g. Your MySQL connection id is 5 Server version: 5.6.29 Copyright (c) 2000, 2016, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type 'help;' or 'h' for help. Type 'c' to clear the current input statement. mysql> 结束

说明：本章节会介绍天翼云关系型数据库如何创建新实例 操作场景 本节将介绍在关系型数据库服务的管理控制台创建实例的过程。 RDS for MySQL支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的关系型数据库实例。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，单击“创建数据库实例”。 步骤 5 在“服务选型”页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 计费模式： 包年/包月： 若选择该模式，跳过步骤6，执行步骤7。 按需计费： 若选择该模式，继续执行步骤6。 表1 基本信息 参数 描述 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： − 相同，主机和备机会部署在同一个可用区。 − 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 单机：采用单个数据库节点部署架构，与主流的主备实例相比，它只包含一个节点，但具有高性价比。适用于个人学习、微型网站以及中小企业的开发测试环境。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。 表2 规格与存储 参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 创建成功后可进行规格变更 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 普通I/O：磁盘类型SATA，最大吞吐量90MB/s 高I/O：磁盘类型SAS，最大吞吐量150MB/s 超高I/O：磁盘类型SSD，最大吞吐量350MB/s 存储池 只有选择“专属存储”的用户才有此选项，是购买专属分布式存储服务时确定的独享的存储池，该存储池与其他池物理隔离，安全性高。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。存储空间支持40GB到4000GB，用户选择容量大小必须为10的整数倍。 数据库创建成功后可进行扩容。 表3 网络 参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 须知 目前RDS实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“IPv4/IPv6双栈管理”章节。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 表4 数据库配置 参数 描述 管理员帐户 数据库的登录名默认为root。 管理员密码 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@

步骤二：开通服务 用户首次进入服务器安全卫士（原生版）控制台时，需要先开通服务。开通服务后，服务器默认处于“免费版”防护状态。 1. 登录天翼云官网。 2. 选择“产品 > 安全及管理 > 工作负载安全 > 服务器安全卫士（原生版）”，进入服务器安全卫士（原生版）产品详情页，选择“管理控制台”。 3. 进入服务器安全卫士（原生版）管理控制台后，弹出下方“服务开通申请”对话框。 4. 阅读《天翼云服务器安全卫士（原生版）服务协议》后，勾选“我已阅读并同意相关协议《天翼云服务器安全卫士（原生版）服务协议》”，单击“同意”，即可开通服务器安全卫士（原生版）服务。 步骤三：切换防护配额 将基础版配额切换至企业版、旗舰版。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“资产管理 > 服务器列表”，进入服务器列表页面。 3. 您可对需要防护的服务器进行“切换版本”。选择您需要切换版本的服务器，可进行单台服务器的配额版本切换，也可以选择多台服务器进行批量切换。 单台服务器切换版本 在服务器列表中找到您需要切换版本的服务器，单击操作列的“切换版本”，弹出切换版本窗口。选择配额版本和配额后，单击“确定”，完成版本切换。 批量切换版本 在服务器列表中勾选需要切换版本的服务器，单击列表上方的“批量切换版本”，弹出切换版本窗口。选择配额版本，单击“确定”，配额和服务器按照顺序一一匹配。 说明 批量切换版本时，服务器按照图中顺序与配额绑定，配额的绑定顺序按照到期时间从早到晚进行绑定。

查询分析结果可以通过柱状图形式进行展示。 柱状图是一种由矩形表示类别的数据显示方法，可以在多个数据和趋势分析之间进行清晰比较。态势感知（专业版）中，柱状图默认采用垂直柱子（即矩形块的宽度一定，高度代表数值大小）来展示数据。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“日志审计 > 安全数据”，进入安全分析页面。 5. 在左侧数据空间导航栏中，单击数据空间名称，展开数据管道列后，再单击管道名称，右侧将显示管道数据的检索页面。 6. 输入查询分析语句，设置时间范围，并单击“查询分析”。 7. 选择“图表统计”页签，并在图表统计页面右侧的“图表类型”中单击。 8. 配置柱状图参数。 参数类别 参数名称 参数说明 基本配置 标题 自定义线图标题名称。 图表配置 X轴标题 自定义X轴标题名称。 图表配置 Y轴标题 自定义Y轴标题名称。 图表配置 X轴字段 选择X轴显示字段。 图表配置 Y轴字段 选择Y轴显示字段。 图例配置 显示图例 确认是否显示图例。 图例配置 图例位置 开启显示图例时须配置。 图例在图表中的位置，可以配置为上、下、左和右。 图表设置完成后，左侧可预览配置后的数据分析情况。

网站暴露面广且要求网站内容输出的准确性，网站内容监测基于深度学习模型，对敏感内容检测，输出相关敏感信息和类别，及时同步客户，保障网站稳定安全的运行。