本文介绍天翼云AOne会议应用场景。 AOne会议常见应用场景如下： 应用场景 业务痛点 AOne会议解决方案 智慧办公 跨地域团队协作成本高、效率低。 远程办公体验差，会议频繁卡顿或中断。 会议信息分散，事后难以追踪和整理。 提供高质量音视频会议，支持千人级会议稳定并发。 支持云录制、屏幕共享等功能，提升远程协同效率。 支持多端登录与移动办公，随时随地召开会议。 支持云录制视频下载和转写内容导出，方便会后任务跟进与知识沉淀。 远程医疗 医疗资源分布不均，专家会诊成本高。 医患沟通效率低，传统方式难以实时响应。 医疗系统安全要求高，需保障数据传输安全合规。 支持高清视频连线，可开展远程会诊、线上查房、远程培训等。 提供会议加密、水印追踪，保障医疗数据与隐私安全。 结合信创兼容能力，支持在合规环境下的部署落地。 支持共享影像资料、语音转写记录会诊过程，提升沟通效率、加强信息留存。 政企服务 跨部门、跨地区沟通流程繁琐。 政府系统对国产化、数据安全有严格要求。 政务会议需要留痕、可审计、可复用。 支持多地多方远程接入，实现跨部门、跨地区协同会议。 具备全链路国产化适配能力。 支持会议过程云录制、语音转写与水印留痕，满足合规与审计要求。 提供会议预约管理、主持权限管控，确保会议组织规范高效。

步骤三：访问ZOS服务 操作场景 终端节点与DNS终端节点服务和ZOS终端节点服务建立连接后，本地数据中心就可通过VPN连接或云专线来实现对ZOS服务的访问。 前提条件 本地数据中心通过VPN连接或云专线与云上VPC建立连接，确保数据的安全传输，并实现对ZOS的访问，需进行如下配置： VPN网关设置：确保允许访问的VPC子网网段包含了ZOS所在的网段。具体请参考VPN连接。 云专线虚拟网关设置：需要确保允许访问的VPC子网网段中包含ZOS所在的网段。具体请参考开通云专线。 操作步骤 1. 点击天翼云门户首页的“控制中心”，输入A账号登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击图标，选择所需的资源池节点，以下操作选择华东华东1。 3. 在系统首页，选择“网络>VPC终端节点”。 4. 在“终端节点”列表，点击已创建的连接到DNS服务的终端节点的名称/ID，查看该终端节点的“节点IP”。 5. 在用户本地数据中心的DNS服务器上配置相应的DNS转发规则，以将解析ZOS域名的请求转发到连接DNS服务的终端节点（部分资源池支持终端节点上启用，支持资源池以控制台展示为准，未支持资源池可直接使用地址直接访问ZOS服务）。 6. 配置用户本地数据中心节点到VPN网关或云专线网关的DNS路由。为了通过VPN或云专线访问DNS，需要配置用户本地数据中心节点的永久路由，将访问DNS的流量指向用户本地数据中心节点的专线网关或VPN网关的IP地址。 7. 验证本地数据中心与ZOS的连通性。

本章主要介绍使用软件开发生产线快速搭建项目（CCE篇） 本文基于软件开发生产线内置代码仓库，介绍如何使用软件开发生产线完成项目的开发、构建与部署，实现持续交付。 本文介绍采用CCE部署方式，若需了解ECS部署方法，请参考使用软件开发生产线快速搭建项目（ECS篇）。 准备工作 1. 拥有天翼云帐号。若没有，请先注册天翼云帐号。 2. 已购买软件开发生产线。 3. 已购买CCE集群，购买时的必要配置请参考下表与，表中未列出的配置保持默认即可。 表 集群购买配置 配置分类 配置项 配置建议 ::: 基础配置 计费模式 选择“按需计费”。 基础配置 集群版本 建议选择最新版本。 网络配置 网络模型 选择“VPC网络”。 网络配置 容器网段 勾选“自动设置网段”。 表 节点配置 配置分类 配置项 配置建议 ::: 计算配置 计费模式 选择“按需计费”。 计算配置 节点类型 选择“弹性云服务器虚拟机”。 计算配置 节点规格 选择2核8G及以上规格即可。 计算配置 容器引擎 选择“Docker”。 计算配置 操作系统 选择“公共镜像 > CentOS 7.6” 计算配置 登录方式 选择“密码”。 计算配置 密码 输入自定义密码。 网络配置 节点IP 选择“随机分配”。 网络配置 弹性公网IP 选择“暂不使用”。 4. 已在容器镜像服务中创建组织，本文中创建的组织名称为“webdemo”。

本文介绍如何查看WAF账单。 客户可以在费用中心按月查看在天翼云的消费概况，详情请参见账单概览。 账单说明 WAF产品为包年包月计费产品，包年包月产品采用预付费模式，即先付费再使用，一般为包年包月的购买形式，支付成功后，云资源将被系统分配给用户使用，直到超过保留期后被系统回收。 说明 当月最终账单将在次月3日生成，在次月4日10点后可查看和导出。 WAF属于按月结算的产品，当月消费可在次月3日查看账单。 操作步骤 1. 登录天翼云控制中心。 2. 在页面右上角用户名称处，选择“费用中心”。 3. 在左侧菜单栏选择“账单管理 > 账单概览”，进入账单概览页面，可按产品类型汇总查看产品账单。 4. 在左侧菜单栏选择“账单管理 > 账单详情”，进入账单详情页面。按如下筛选条件，即可查看到产品的账单详情。 统计维度选择“产品”。 统计周期选择“按账期”。 计费模式选择“包周期”。 账期选择需要查看的账单时间。

本节主要介绍创建委托（委托方操作） 通过创建委托，可以将资源共享给其他帐号，或委托更专业的人或团队来代为管理资源。被委托方使用自己的帐号登录后，切换到委托方帐号，即可管理委托方委托的资源，避免委托方共享自己的安全凭证（密码/密钥）给他人，确保帐号安全。 操作步骤 步骤 1 委托方使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击首页顶部控制台，在控制中心页面“管理与部署”分类中，单击“统一身份认证服务”。 步骤 3 在统一身份认证服务管理页面，单击左侧功能菜单“委托”。 步骤 4 在“委托”页面，单击“＋创建委托”。 步骤 5 在“创建委托”页面，输入“委托名称”，“委托类型”选择“普通帐号”，在“委托的帐号”中输入需要建立委托关系的其他帐号的帐号名。 说明 普通帐号：将资源共享给其他帐号或委托更专业的人或团队来代为管理帐号中的资源。委托的帐号只能是帐号，不能是IAM用户名。 云服务：授权指定云服务使用其他云服务。详情请参见“委托其他云服务管理资源” 步骤 6 设置“持续时间”及“描述”信息。 步骤 7 单击“下一步”，进入给委托授权页面。 步骤 8 勾选需要授予委托的权限，单击“下一步”，选择权限的作用范围。 说明 给委托授权即给其他帐号授权，给用户组授权即给帐号中的IAM用户授权，两者操作方法相同，仅可选择的权限个数不同，授权操作请参见“给用户组授权”。 为了保障您的帐号安全，委托将不能添加Security Administrator权限，建议您按照业务场景为委托授予最小权限。 步骤 9 单击“确定”，委托创建完成。 说明 委托方操作完成，将自己的帐号名称、创建的委托名称、委托ID以及委托的资源权限告知被委托方后，被委托方可以通过切换角色至委托方帐号中管理委托资源。

该任务指导用户通过漏洞扫描服务删除已添加的主机。 操作场景 删除主机后，该主机的所有扫描历史报告将会被删除，请谨慎操作。 前提条件 已获取管理控制台的登录账号和密码。 已添加主机。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 在目标主机的“操作”列，单击“删除”，在弹出的对话框中，单击“确定”。 说明 用户可以同时删除多个主机。选中多个主机后，单击“批量操作 > 删除”，在弹出的对话框单击“确定”，批量删除主机。

本文帮助您快速熟悉复制安全组规则的操作场景和操作流程。 操作场景 复制功能支持利用已有的安全组规则，快速生成一个新的安全组规则。复制时，您可以根据业务需求自定义修改目标规则。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成安全组、安全组规则的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在左侧导航栏，选择“访问控制安全组”选项。 5. 在安全组列表页面，选择需要复制规则的安全组，单击安全组名称进入详情页，进入安全组详情页。 6. 在“安全组”详情界面，选择安全组规则所属方向，找到需要复制的安全组规则所在行。 7. 点击操作列的“复制”，进入复制安全组规则页面。 8. 根据业务需求修改目标安全组规则的相应参数。 9. 单击“确定”按钮，即可快速创建出安全组规则。关于安全组规则中参数的设置方法，请参考添加安全组规则。

该任务指导用户通过漏洞扫描服务取消主机授权。 注意事项 取消主机授权后，将不能完全扫描出主机的安全风险，请谨慎操作。 前提条件 已获取管理控制台的登录账号与密码。 已添加主机。 已开通预置账号。 已在创建任务时授权通过网络连接到对应的主机，即已进行主机授权。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 批量选择需要配置的主机，单击“批量操作 > 编辑”，进入批量授权入口，如下图所示。 说明 用户也可以单台主机授权，在目标主机所在行的“操作”列，单击“编辑”。 5. 在目标主机的“操作”列，单击“更多”，在下拉框中，单击“解除授权”。解除授权后，“授权信息”的状态为“暂未配置”。 6. 单击“确定”，解除授权成功。

本节介绍主机添加成功后不能在主机列表中查找到。 由于VSS系统处理任务需要一段时间，因此主机添加成功后您不能在主机列表中马上查找到该添加的主机。请您等待一段时间，刷新主机列表再查找添加的主机。

本文主要介绍分布式消息服务RabbitMQ所需的环境准备。 创建RabbitMQ实例前，您需要提前准备相关依赖资源，包括虚拟私有云（Virtual Private Cloud，以下简称VPC）、子网和安全组，并配置安全组策略。每个RabbitMQ实例都部署在某个VPC中，并绑定具体的子网和安全组，通过这样的方式为RabbitMQ提供一个隔离的、用户自主配置和管理的虚拟网络环境以及安全保护策略，提升实例的安全性。 如果用户已有VPC，可重复使用，不需要多次创建。 创建VPC 1、登录管理控制台。 2、在管理控制台右上角单击，选择区域。 说明 此处请选择与您的应用服务相同的区域。 3、在管理控制台左上角单击，选择“网络 > 虚拟私有云”。 4、单击“创建虚拟私有云”，进入“创建虚拟私有云”界面。 5、根据界面提示创建虚拟私有云。如无特殊需求，界面参数均可保持默认。关于创建VPC的详细信息可以参考《虚拟私有云用户指南》。 创建虚拟私有云时，会同时创建子网，若需要额外创建子网，请参考6。如果不需要额外创建子网，请执行7。 6、在左侧导航栏，单击“子网”，进入“子网”界面。单击“创建子网”。根据界面提示创建子网。如无特殊需求，界面参数均可保持默认。 关于创建子网的详细信息可以参考《虚拟私有云用户指南》。 7、在左侧导航栏，选择“访问控制 > 安全组”，进入“安全组”界面。根据界面提示创建安全组。如无特殊需求，界面参数均可保持默认。 关于创建安全组的详细信息可以参考《虚拟私有云用户指南》。 使用RabbitMQ实例前，添加表1所示安全组规则，其他规则请根据实际需要添加。 说明 创建安全组后，系统默认添加入方向“允许安全组内的弹性云主机彼此通信”规则和出方向“放通全部流量”规则，此时使用内网通过同一个VPC访问RabbitMQ实例，无需添加表1的规则。 表1 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 5672 0.0.0.0/0 访问RabbitMQ实例（关闭SSL） 入方向 TCP 5671 0.0.0.0/0 访问RabbitMQ实例（开启SSL） 入方向 TCP 15672 0.0.0.0/0 访问Web界面UI地址（关闭SSL加密） 入方向 TCP 15671 0.0.0.0/0 访问Web界面UI地址（开启SSL加密）

分布式缓存服务Redis版支持为已创建的实例开启内网域名功能，并可在控制台随时修改内网域名配置。 说明 启用内网域名功能目前为白名单特性， 如需要使用该特性，请联系技术支持开通后使用。 前提条件 已成功开通分布式缓存服务Redis实例，且实例处于运行中状态。 操作步骤 1. 登录 Redis管理控制台。 2. 在管理控制台左上角选择实例所在的区域。 3. 在实例列表页，单击目标实例名称进入实例详情管理。 4. 在连接信息栏，内网域名处，单击"修改" 按钮。 5. 填写目标域名后，单击确定，即开始修改内网域名地址。 说明 如需通过内网域名访问实例，您需更改云主机DNS，使内网域名在VPC内正常解析，具体配置请参考： 配置DNS

OpenSearch Dashboards OpenSearch Dashboards提供了直观的可用于创建、共享、交互式的开发、运维数据分析平台。与OpenSearch搭配使用，并提供角色基础访问控制能力。文内或简称为Dashboards。 支持多用户角色的权限管理 支持包括甘特图在内的多种数据呈现方式 支持多种数据统计方式 支持高阶的索引管理能力 支持通知告警功能 支持基于SQL的查询能力 支持CSV、PDF、Excel等文件的报告生成功能 Logstash Logstash是数据管道服务，通过可扩展的输入、过滤和输出体系，实时采集、转换和加载多源异构数据，并灵活对接各类存储与分析平台，是ELK（Elastic Stack）生态的核心组件之一。天翼云提供的全托管的Logstash服务，支持一键部署、可视化管道配置和数据管道集中管理。 支持文件、数据库、消息队列等多种数据源采集 支持灵活的数据处理，如字段提取、数据脱敏等 内置健康检查机制，支持通过API或可视化界面监控数据管道运行状态 Cerebro Cerebro 是一个功能强大且易于使用的云搜索服务管理工具，适合开发、运维和数据分析等多种场景。通过Cerebro可以对实例进行Web可视化管理，如监控实时的磁盘、集群负载、内存使用率等，通过其直观的界面和丰富的功能，用户可以更高效地管理和监控云搜索实例。云搜索服务兼容开源Cerebro，适配0.9.4。 支持可视化数据管理 支持监控实例实时负载

分布式缓存服务Redis版支持为已创建的实例开启内网域名功能，并可在控制台随时修改内网域名配置。 说明 启用内网域名功能目前为白名单特性， 如需要使用该特性，请联系技术支持开通后使用。 前提条件 已成功开通分布式缓存服务Redis实例，且实例处于运行中状态。 操作步骤 1. 登录 Redis管理控制台。 2. 在管理控制台左上角选择实例所在的区域。 3. 在实例列表页，单击目标实例名称进入实例详情管理。 4. 在连接信息栏，内网域名处，单击"修改" 按钮。 5. 填写目标域名后，单击确定，即开始修改内网域名地址。 说明 如需通过内网域名访问实例，您需更改云主机DNS，使内网域名在VPC内正常解析，具体配置请参考： 配置DNS

本章节介绍了源站服务器部署在天翼云弹性云服务器（以下简称ECS）或天翼云弹性负载均衡（以下简称ELB）时，如何判断源站存在泄漏风险，以及如何配置访问控制策略保护源站安全。 网站已接入Web应用防火墙（Web Application Firewall，简称WAF）进行安全防护后，您可以通过设置源站服务器的访问控制策略，只放行WAF回源IP段，防止黑客获取您的源站IP后绕过WAF直接攻击源站。 说明 网站已接入WAF进行安全防护后，无论您是否配置源站保护，都不影响正常业务的转发。没有配置源站保护可能导致攻击者在源站IP暴露的情况下，绕过WAF直接攻击您的源站。 如果在ECS前使用了NAT网关做转发，也需要设置ECS入方向规则在ECS的安全组配置只允许放行WAF的回源IP地址段，保护源站安全。 操作须知 在配置源站保护前，请确保该ECS或ELB实例上的所有网站域名都已经接入WAF，保证网站能正常访问。 配置安全组存在一定风险，避免出现以下问题： 您的网站设置了Bypass回源，但未取消安全组和网络ACL等配置，这种情况下，可能会导致源站无法从公网访问。 当WAF有新增的回源网段时，如果源站已配置安全组防护，可能会导致频繁出现5xx错误。 如何判断源站存在泄露风险 您可以在非天翼云环境直接使用Telnet工具连接源站公网IP地址的业务端口（或者直接在浏览器中输入访问Web应用的IP），查看是否建立连接成功。 如果可以连通：表示源站存在泄露风险，一旦黑客获取到源站公网IP就可以绕过WAF直接访问。 如果无法连通：表示当前不存在源站泄露风险。

本节介绍登录天翼云电脑（政企版）控制台的操作指导。 操作场景 登录AI云电脑（政企版）控制台后，才能进行如下业务操作： 订购并管理资源包：管理员可先订购包括AI云电脑计算、存储和网络配额的资源包，然后再通过使用资源包为终端用户分配AI云电脑实例、配置数据盘及上网带宽。 创建并管理AI云电脑：可以通过资源包或单实例方式开通Windows系统、Linux系统的AI云电脑，可以查看和管理租户下所有AI云电脑的使用情况。 管理组织结构：在管理控制台上创建部门、角色、用户、子账号等，更好地维护管理台用户的组织架构。 管理网络：管理员可自主配置和管理虚拟网络环境。可配置虚拟私有云（VPC）、业务子网、网络安全组、上网带宽等。 管理策略：管理员可以通过配置策略，对用户终端与AI云电脑之间的数据传输和外设接入的权限进行控制。 通过产品详情页进入 1. 使用管理员帐号登录天翼云门户； 2. 前往天翼AI云电脑（政企版）产品详情页面； 3.在产品详情页面点击“管理控制台”进入即可。

本章节指导如何在Linux平台查看、启动、停止、更新和卸载Agent。 说明 查看、启动、停止、更新和卸载Agent需使用root用户。 前提条件 已成功Agent安装配置方式说明。 查看Agent版本 1. 使用root账号，登录主机。 2. 执行如下命令，确认使用Agent的版本。 plaintext if [[ f /usr/local/uniagent/extension/install/telescope/bin/telescope ]]; then /usr/local/uniagent/extension/install/telescope/bin/telescope v; elif [[ f /usr/local/telescope/bin/telescope ]]; then echo "old agent"; else echo 0; fi 返回“old agent”，表示使用老版本Agent，请参考老版本操作指令。 返回版本号，表示使用新版本Agent，请参考新版本操作指令。 返回“0”，表示未安装Agent。 查看Agent状态（新版本） 以root用户登录主机，执行以下命令，查看Agent状态。 plaintext /usr/local/uniagent/extension/install/telescope/telescoped status 当系统返回以下内容：则表示Agent为正常运行状态。 plaintext "Telescope process is running well." 启动Agent（新版本） 执行以下命令，启动Agent。 plaintext /usr/local/uniagent/extension/install/telescope/telescoped start 重启Agent（新版本） 执行以下命令查看telescope的PID。 plaintext /usr/local/uniagent/extension/install/telescope/telescoped restart 停止Agent（新版本） 登录主机，执行以下命令，停止Agent。 plaintext service uniagent stop /usr/local/uniagent/extension/install/telescope/telescoped stop 卸载Agent（新版本） 执行以下命令，即可卸载Agent。 plaintext bash /usr/local/uniagent/script/uninstall.sh 说明 用户可手动卸载Agent插件，卸载后云监控服务将不再主动采集主机的监控数据。如需再次使用，请重新安装。

本章节介绍主机迁移服务的优势。 简单易用 您只需在源端服务器安装和配置Agent、在服务端设置目的端并启动迁移任务、“持续同步”状态时启动目的端，其余事情都由主机迁移服务处理。 创建迁移任务您只需三步。即选择和配置源端、目的端及确认任务信息。 业务平滑切换 在主机迁移过程中您无需中断或者停止业务。 若不选择持续同步，只需在最后一次数据同步时短暂的停止业务，待最后一次增量数据同步完成后，目的端的业务即可启动，大大减少业务中断时间。 若选择持续同步，只需在“持续同步”状态时，启动目的端前短暂停止业务，大大减少业务中断时间。Linux文件级迁移，暂不支持“持续同步”功能。 兼容性好 支持主流云服务平台X86虚拟机迁移，和X86物理服务器迁移。 支持约90款主流Windows Server与Linux Server 操作系统迁移。 传输高效 迁移网络利用率达到90%以上。 安全性高 使用AK/SK校验迁移Agent身份。 传输通道使用SSL加密，保证您数据传输安全性。 SSL加密的证书和密钥是动态生成。

容器隧道网络（Overlay ）基于底层VPC网络，另构建了独立的VXLAN隧道化容器网络，适用于一般场景。VXLAN是将以太网报文封装成UDP报文进行隧道传输。容器网络是承载于VPC网络之上的Overlay网络平面，具有付出少量隧道封装性能损耗，即可获得通用性强、互通性强、高级特性支持全面（例如Network Policy网络隔离）的优势，可以满足大多数应用需求。 容器隧道网络 说明如下： Overlay L2指的是容器跨节点以Overlay通信，所有节点上的容器IP都是2层可达的。如Canal支持的Overlay类型为vxlan，采用的vswitch为openvswitch。 Overlay L2特性支持的功能包括： 支持多平面通信和隔离。 支持Pod访问Service IP。 支持Pod应用和Host应用的访问。 Overlay L2通信的上行链路网卡设备需要预配置IP地址。 Overlay L2目前不支持与其他网络模式的混用。 ServiceIP不支持多平面，只支持默认平面。 Overaly L2逻辑网络掩码（大子网掩码）目前不支持配置为大于24的值。 Overlay L2逻辑网络分配给节点的小子网掩码默认为26，支持配置为24~30。另外当小子网掩码为配置为24时，大子网掩码不支持配置为24。 Overlay L2由于在每个节点上都是小子网，容器内网络的网关都是由Canal自动分配，不支持指定网关。 优缺点 优点：不受VPC配额规格、响应速度限制（路由条目数、弹性网卡数、创建速度限制）。 缺点：封装的额外开销，网络复杂性较高、性能较低，无法直接利用VPC提供的负载均衡、安全组等能力。 应用场景 适用于对网络时延、带宽要求不是特别高的一般容器业务场景。

本章节主要介绍ALM12028 主机D状态进程数超过阈值。 告警解释 系统每30秒周期性检测主机中omm用户D状态进程数，并把实际进程数和阈值相比较。主机D状态进程数默认提供一个阈值范围。当检测到进程数超出阈值范围时产生该告警。 平滑次数为1，主机中omm 用户D状态进程总数小于或等于阈值时，告警恢复；平滑次数大于1，主机中omm用户D状态进程总数小于或等于阈值的90%时，告警恢复。 告警属性 告警ID 告警级别 是否自动清除 12028 重要 是 告警参数 参数名称 参数含义 来源 产生告警的集群或系统名称。 服务名 产生告警的服务名称。 角色名 产生告警的角色名称。 主机名 产生告警的主机名。 Trigger Condition 系统当前指标取值满足自定义的告警设置条件。 对系统的影响 占用系统资源，业务进程响应变慢。 可能原因 主机中正在等待的IO(磁盘IO、网络IO等)在较长时间内未得到响应，进程处于D状态和Z状态。 处理步骤 查看D状态进程 1. 打开FusionInsight Manager页面，在告警列表中，单击此告警所在行的，查看该告警的主机地址。 2. 以root 用户登录产生告警主机，执行su omm 命令，切换到omm用户。 3. 执行如下命令查看omm用户D状态进程号。 ps elf grep v "[threadcheckio]" awk 'NR!1 {print $2, $3, $4}' grep omm awk F' ' '{print $1, $3}' grep E "ZD" awk '{print $2}' 4. 查看结果是否为空。 是，业务进程正常，执行步骤6。 否，执行步骤5。 5. 切换到root 用户，执行reboot命令，重启产生告警主机（重启主机有风险，请确保重启后业务进程正常）。 6. 等待5分钟，检查该告警是否恢复。 是，处理完毕。 否，执行步骤7。

本节介绍为什么主机最大配额不能小于主机数量。 主机最大配额是授权检测主机的最大数量。在购买态势感知时，选择的最大配额需等于或大于当前账户下主机总数量，且不支持减少。若购买的最大配额小于主机数量，可能会造成如下影响： 未授权检测的主机被攻击后，不能及时感知威胁，造成数据泄露等风险。 操作步骤 1. 登录态势感知控制台，单击“升级”。 2. 根据规划或现有主机数量，配置主机最大配额。

准备资源 要求 创建指导 VPC和子网 不同的Kafka实例可以重复使用相同的VPC和子网，也可以使用不同的VPC和子网，请根据实际需要进行配置。 在创建VPC和子网时应注意如下要求： 创建的VPC与Kafka实例在相同的区域。 子网开启IPv6后，Kafka实例支持IPv6功能。Kafka实例开启IPv6后，客户端可以使用IPv6地址连接实例。 创建VPC和子网的操作指导请参考《虚拟私有云 用户指南》的 安全组 不同的Kafka实例可以重复使用相同的安全组，也可以使用不同的安全组，请根据实际需要进行配置。 在创建安全组时应注意如下要求： 创建安全组时，“模板”选择“自定义”。 使用Kafka实例前，添加下表中的安全组规则，其他规则请根据实际需要添加。 说明 创建安全组后，系统默认添加入方向“允许安全组内的弹性云主机彼此通信”规则和出方向“放通全部流量”规则，此时使用内网通过同一个VPC访问Kafka实例，无需添加下表中的规则。 创建安全组的操作指导请参考《虚拟私有云 用户指南》的 弹性IP地址 在创建弹性IP地址时，应注意如下要求： 创建的弹性IP地址与Kafka实例在相同的区域。 弹性IP地址的数量必须与Kafka实例的代理个数相同。 Kafka控制台无法识别开启IPv6转换功能的弹性IP地址。 创建弹性IP地址的操作指导请参考《弹性IP 用户指南》的“

本文主要介绍ELB的权限。 如果您需要对云上创建的弹性负载均衡资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制云上资源的访问。详请请参见统一身份认证。 通过IAM，您可以在云帐号中给员工创建IAM用户，并使用策略来控制他们对云上资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有ELB的使用权限，但是不希望他们拥有删除负载均衡器等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用负载均衡器，但是不允许删除负载均衡器的权限策略，控制他们对ELB资源的使用范围。 如果帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用ELB服务的其它功能。 ELB权限 默认情况下，帐号管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 ELB部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该策略仅对此项目生效，如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问ELB时，需要先切换至授权区域。 根据授权精度程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云上各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。 ELB系统权限表 系统角色/策略名称 描述 类型 ELB FullAccess 操作权限：对弹性负载均衡服务的所有执行权限。作用范围：项目级服务。 系统策略 ELB ReadOnlyAccess 操作权限：对弹性负载均衡服务的只读权限。作用范围：项目级服务。 系统策略 常用操作与系统策略的关系 操作 ELB FullAccess ELB ReadOnlyAccess 创建负载均衡器 √ × 查询负载均衡器 √ √ 查询负载均衡器状态树 √ √ 查询负载均衡器列表 √ √ 更新负载均衡器 √ × 删除负载均衡器 √ × 创建监听器 √ × 查询监听器 √ √ 修改监听器 √ × 删除监听器 √ × 创建后端主机组 √ × 查询后端主机组 √ √ 修改后端主机组 √ × 删除后端主机组 √ × 创建后端主机 √ × 查询后端主机 √ √ 修改后端主机 √ × 删除后端主机 √ × 创建健康检查 √ × 查询健康检查 √ √ 修改健康检查 √ × 关闭健康检查 √ × 创建弹性公网IP × × 绑定弹性公网IP × × 查询弹性公网IP √ √ 解绑弹性公网IP × × 查看监控指标 × × 查看访问日志 × ×

本章节主要介绍翼MapReduce的管理配置过期操作。 操作场景 某个新的配置需要同时下发到集群所有服务，或修改某项配置后导致多个不同服务的“配置状态”为“配置过期”或“失败”时，表示这些服务的配置参数值未同步且未生效，管理员可以对集群执行同步配置功能，并在同步配置后重启相关服务实例，使所有服务启用新的配置参数。 若集群中服务配置均已同步但未生效，需重启配置过期的实例。 对系统的影响 集群执行同步配置后，需要重启配置过期的服务。重启时对应的服务不可用。 重启配置过期的实例时，该实例不可用。 操作步骤 同步配置 1. 登录FusionInsight Manager。 2. 选择“集群 > 待操作集群的名称 > 概览”。 3. 选择“更多 > 同步配置”。 4. 在弹出窗口中单击“确定”，开始为当前集群同步配置。 重启配置过期的实例 1. 选择“更多 > 重启配置过期的实例”。 2. 在弹出窗口中输入当前登录的用户密码确认身份，然后单击“确定”。 3. 在确认重启实例的对话框中单击“确定”。 支持单击“查看实例”打开所有配置已过期的实例列表，确认可以执行重启任务。

本章节主要介绍翼MapReduce的删除租户操作。 操作场景 根据业务需求，对于当前不再使用的租户，管理员可以通过FusionInsight Manager删除租户，释放租户占用的资源。 前提条件 已添加租户。 检查待删除的租户是否存在子租户，如果存在，需要先删除全部子租户，否则无法删除当前租户。 待删除租户的角色，不能与任何一个用户或者用户组存在关联关系。 操作步骤 1. 登录FusionInsight Manager，单击“租户资源”。 2. 在左侧租户列表，选择待删除的租户，单击。 说明 根据业务需求，需要保留租户已有的数据时请同时勾选“保留该租户的数据。”，否则将自动删除租户对应的存储空间。 如果使用不属于supergroup组的用户执行删除租户操作，并且不保留租户数据，需要使用属于supergroup组的用户登录HDFS客户端，手动清理租户对应的存储空间，以免数据残留。 3. 单击“确定”，删除租户。 保存配置需要等待一段时间，租户成功删除。租户对应的角色、存储空间将删除。 说明 租户删除后，Yarn中对应的租户任务队列不会被删除。同时Yarn角色管理中，此租户任务队列不再显示。

本文主要介绍了包年包月计费模式适用场景、计费说明、资源到期处理及包年包月计费模式优缺点，便于用户快速了解包年包月计费模式。 包年包月计费，一种预付费模式，即先付费再使用，一般为包年包月的购买形式，支付成功后，云资源将被系统分配给用户使用，直到超过保留期后被系统回收。 适用场景 适用于较稳定的业务场景。 需要长期使用，追求低成本。 计费说明 一般以包年/包月的形式购买。用户根据需要，一次性支付一个月/多个月/一年/多年的费用，支付成功后，云资源将被系统分配给用户使用，直到超过保留期后被系统回收。 到期前续费 用户在资源到期前进行续费操作，可以延长原有资源到期时间，避免资源到期后冻结或超过保留期后被系统回收。 到期处理 到期后，资源进入保留期，您将不能正常访问及使用云服务（资源冻结），但对于您存储在云服务中的数据予以保留。 若您在保留期内续费，续费周期自资源续订解冻开始，计算新的服务有效期，按照新的服务有效期计算费用； 若保留期到期您仍未续费，存储在云服务中的数据将被删除、云服务资源将被释放。 表：包年包月资源到期处理机制 产品类型 保留期 超过保留期 计算、存储、网络、数据库、终端类产品 15天 存储数据将被删除、云服务资源将被释放

参数 参数说明 取值样例 资源类型 配置告警规则监控的服务名称。 弹性云主机 维度 用于指定告警规则对应指标的维度名称 云服务器 监控范围 告警规则适用的资源范围，可选择资源分组或指定资源。 说明 当选择资源分组时，该分组下任何资源满足告警策略时，都会触发告警通知。 选择指定资源时，勾选具体的监控对象，单击 将监控对象同步到右侧对话框。 指定资源 选择分组 当监控范围为资源分组时需配置此参数。 选择类型 根据需要可选择从模板导入或自定义创建。 说明 当监控范围为指定资源时可选择从模板导入。 自定义创建 模板 选择需要导入的模板。 告警策略 触发告警规则的告警策略。 当资源类型选择站点监控、日志监控、自定义监控、具体的云服务时，告警策略为一个周期性的动作。当资源类型选择事件监控时，具体的事件为一个瞬间的操作动作，而不是周期性动作。 例如：CPU使用率，监控周期为5分钟，连续三个周期平均值≥80% 挂载点 当监控指标为细颗粒度的磁盘类监控指标时需配置该参数。 Windows系统请输入对应的驱动器号，比如C、D或者E等，Linux系统请输入对应的挂载点，比如/dev、/opt等。 /dev 告警级别 根据告警的严重程度不同等级，可选择紧急、重要、次要、提示。 重要

事件总线负责接收事件源生产的事件。 事件总线EventBridge的事件总线包括以下类型： 云服务专用事件总线：一个无需创建与不可修改的内置官方事件总线，用于接收天翼云官方事件源的事件。天翼云官方事件源的事件只能发布到云服务专用事件总线。 自定义事件总线：需自行创建并管理的事件总线，用于接收自定义应用的事件。自定义应用事件只能发布到自定义事件总线。

本小节介绍域名无忧计费类常见问题。 域名无忧是付费产品吗？ 天翼云域名无忧作为天翼云安全业务的一个重要产品，作为付费的增值服务产品提供给天翼云客户，需要用户购买。 域名无忧是否支持试用？ 支持试用。 试用期为1个月，试用套餐包括1个域名监控，1次域名刷新。

本文为您介绍安全使用IAM的建议。 为了帮助您安全地控制对天翼云云资源的访问，请您遵循安全使用IAM的建议。 不给天翼云帐号创建访问密钥 天翼云帐号是您天翼云云资源归属、资源使用计费的主体，对其所拥有的资源及云服务具有完全的访问权限。密码与访问密钥（AK/SK）都是帐号的身份凭证，具有同等效力，密码用于登录界面控制台，是您必须具备的身份凭证，访问密钥用于使用开发工具进行编程调用，是第二个身份凭证，为辅助性质，非必须具备。为了提高帐号安全性，建议您仅使用密码登录控制台即可，不要给帐号创建第二个身份凭证（访问密钥），避免因访问密钥泄露带来的信息安全风险。 不将访问密钥嵌入到代码中 当您使用API、CLI、SDK等开发工具来访问云服务时，请勿直接将访问密钥嵌入到代码中，减少访问密钥被泄露的风险。 创建单独的IAM用户 如果有任何人需要访问您天翼云帐号中的资源，请不要将帐号的密码共享给他们，而是在您的帐号中给他们创建单独的IAM用户并分配相应的权限，同时，作为天翼云帐号主体，建议您不使用帐号访问天翼云，而是为自己创建一个IAM用户，并授予该用户管理权限，以使用该IAM用户代替帐号进行日常管理工作，保护帐号的安全。

本章节主要介绍如何修改资源池。 操作场景 该任务指导用户通过MRS修改已有资源池中的成员。 前提条件 已完成IAM用户同步（在集群详情页的“概览”页签，单击“IAM用户同步”右侧的“同步”进行IAM用户同步）。 操作步骤 1. 在集群详情页，单击“租户管理”。 说明 MRS 3.x及之后版本请参考 2. 单击“资源池”页签。 3. 在资源池列表指定资源池所在行的“操作”列，单击“修改”。 4. 在“修改资源池”修改“已添加主机”。 增加主机：在界面左边主机列表，勾选指定的主机名称加入资源池。 删除主机：在界面右边主机列表，单击指定主机后的将选中的主机移出资源池。资源池中的主机列表可以为空。 5. 单击“确定”保存。

本文主要介绍算力网关侧的裸金属访问天翼云4.0侧的对象存储。 操作步骤 一、 前提 通过公共算力服务提前完成跨域互联的创建。 二、 创建VPCE实例 在天翼云4.0侧的VPCE管理控制台，点击“创建终端节点”按钮，打开创建终端节点的页面。 说明： 服务类型：选择云服务。 选择服务：搜索并选择zos终端节点。 虚拟私有云：选择先前创建的VPC以及子网（此VPC和子网是跨域互联里使用的VPC和子网，已和算力网关侧的VPC完成互联打通）。 其它选项按需填写后点击创建。 在VPCE终端节点里记录ZOS终端节点的IP（此处举例：172.25.0.6）。后续使用终端节点IP来访问对象桶以及其中的对象数据。 如前期操作一切无误，可在算力网关侧的裸金属实例中ping通ZOS终端节点IP（此处为172.25.0.6）。 三、 创建对象桶以及上传对象数据 在对象存储界面按需创建出对象桶。 点击访问刚创建桶的详情页面，选择“文件管理”标签页，按需上传文件数据。 打开上传文件的详情页面，URL即为此文件的下载URL（如上图所示）。 说明： 使用先前VPCE实例的节点IP替换上图URL中的域名，示例替换后如下。 桶的链接： 文件的链接： 在算力网关侧的裸金属实例，可以使用wget下载到桶中的文件，如上图所示。

本章节主要介绍安装ICAgent并使用 本节以在ECS控制台购买一台ECS为例，演示如何为其安装ICAgent并在AOM界面对其进行监控。 注意事项 已开通一台ECS，且ECS的操作系统满足AOM支持的操作系统及版本。 在我的凭证中，提前获取用户AK/SK。 确认本地浏览器时间和ECS时间一致。 操作步骤 步骤 1 登录AOM控制台，左侧功能导航区域选择“配置管理 > Agent管理”。 步骤 2 进入Agent管理页面，在右侧下拉框选择目标主机的集群或“其它：用户自定义接入主机”。 步骤 3 单击“安装ICAgent”，输入我的凭证中AK/SK后，生成ICAgent安装命令，然后单击“复制命令”进行复制，如下图所示。 步骤 4 登录ECS控制台，在“弹性云主机 步骤 5 在ECS桌面单击“复制粘贴”，使用快捷键“Ctrl+V”将2中已复制的ICAgent安装命令粘贴至窗口中并单击“发送”，将复制的ICAgent安装命令发送至命令行窗口，然后在命令行窗口输入回车，执行ICAgent安装命令。 当显示“ICAgent install success”时，ICAgent已安装在了/opt/oss/servicemgr/目录。稍等片刻后，返回“Agent管理”界面查看ECS的ICAgent状态是否为“运行”。 如果ICAgent状态为“运行”，则表示ICAgent安装成功。 如果ICAgent状态为“离线”或其他状态，则请单击状态后的“详情”查看ICAgent安装失败的原因，可能是输入的AK/SK错误或ECS委托设置错误等原因导致，请获取正确的AK/SK或正确设置ECS委托后重新安装。如果还未安装成功，则请提交工单处理。 步骤 6 在AOM界面监控ECS。 ICAgent安装成功后等待1~2分钟左右，您在左侧导航栏中选择“总览 > 监控概览”，即可在“监控概览”界面对ECS进行监控，如下图所示。