本节主要介绍如何进行主从切换 分布式缓存Redis管理控制台支持手动切换Redis实例的主从节点，该操作用于特殊场景，例如，释放所有业务连接或终止当前正在执行的业务操作。 主从切换须知 在主备节点切换间，业务会发生少于10秒的连接闪断，因此在操作前请确保应用具备断连重建能力。 当执行主备切换时，新的主备关系同步需要消耗较多资源，因此请在业务量空闲时间段执行操作。 主备之间数据同步采用半同步机制，理论上不丢失数据。 前提条件 只有当分布式缓存Redis缓存实例处于“运行中”状态，才能执行此操作。 操作步骤 1. 登录 Redis管理控制台。 2. 在管理控制台左上角选择实例所在的区域。 3. 在实例列表页，单击目标实例名称进入实例详情管理。 4. 左侧菜单点击CloudDBA>Redis节点管理，进入Redis节点管理界面。 5. 在Redis节点管理界面，点击上方按钮“批量主从切换”，可完成所有节点的主从切换。或选择某一分片节点，单击操作栏下主从切换，点击确定后对该节点执行主从切换。

当集群状态为“非均衡”时会出现某些节点主实例增多，从而负载压力较大。这种情况下集群状态是正常的，但整体性能要低于均衡状态。可参考本章节进行集群主备恢复操作将集群状态切换为“可用”状态。 背景说明 当集群状态为“非均衡”时会出现某些节点主实例增多，从而负载压力较大。这种情况下集群状态是正常的，但整体性能要低于均衡状态。可参考本章节进行集群主备恢复操作将集群状态切换为“可用”状态。 说明 集群主备恢复仅8.1.1.202及以上集群版本支持。 集群主备恢复将会短暂中断业务，中断时间根据用户自身业务量所决定，建议用户在业务低峰期执行此操作。 操作步骤 1. 登录DWS管理控制台。 2. 在“集群 > 专属集群”页面，找到非均衡状态的集群。 3. 在指定集群所在行“集群状态”列，“非均衡”状态下单击“一键修复”。 4. 在弹出对话框中，确认业务处于低峰期，然后再进行主备恢复确认，确认无误后单击“是”后页面右上角显示主备恢复请求下发成功。 5. 此时集群进行主备恢复操作，集群的任务信息变为“主备恢复中”，当集群主备恢复成功后，集群状态变为“可用”。

本节主要介绍基本流程 通过委托信任功能，您可以将自己的操作权限委托给更专业、高效的其他账号或者云服务，账号或者云服务可以根据权限代替您进行日常资源管理工作。 注意 只能对天翼云主帐号进行委托，不能对IAM子用户进行委托。 以账号A委托账号B管理账号A中的某些资源为例，说明委托的原理及方法。A帐号为委托方，B帐号为被委托方。 步骤 1 账号A创建委托。 图 委托方创建委托 步骤 2 （可选）账号B分配委托权限。 1. 创建用户组（如：Agency）并授予用户组管理委托的权限策略。 2. 创建用户并将用户Job加入到用户组（Agency）中。 图 为被委托方分配委托权限 步骤 3 账号B或IAM用户根据权限管理委托资源。 1. 被委托方登录自己的账号，并切换角色到账号A。 2. 切换到被授权的区域，并根据权限管理账号A的资源。 图 被委托方切换角色

本小节介绍容器安全卫士服务协议，请点击查看。 天翼云容器安全卫士服务协议

参数 参数类型 说明 示例 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 见下表

参数 参数类型 说明 示例 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 见下表

参数 参数类型 说明 示例 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 见下表

全托管 业务系统基于现有的开源 Apache Kafka 生态的代码，兼容社区版Kafka的API，具备原生Kafka的所有消息处理特性。无需任何改造，即可迁移上云，不再需要专门部署、运维，只需专注业务本身。 一键式部署 只需要在实例管理界面选好规格配置，提交订单。后台将自动创建部署完成一整套Kafka实例。 运维高效 提供多维度指标监控（队列级别）；支持消息查询、消息回溯以及消息数据过期自动删除。

本小节介绍数据库安全审计ECS自建数据库最佳实践。 数据库安全审计采用旁路部署模式，通过在数据库或应用系统服务器上部署数据库安全审计Agent，获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据，实现对ECS/BMS自建数据库的安全审计。 审计ECS/BMS自建数据库架构图如所示。 场景说明 假设您在的弹性云服务器（Elastic Cloud Server ，以下简称ECS）上自建了一个数据库，数据库的详细信息如表所示，您需要对该数据库内部违规和不正当操作进行定位追责，满足等保测评数据库审计需求。本章节详细介绍该场景下，在数据库端安装 Agent ，开启数据库安全审计功能和验证审计结果的操作。 数据库类型 MySQL 数据库版本 5.7 数据库IP地址 192.168.1.5 端口 3306 操作系统 LINUX64 约束与限制 使用数据库安全审计需要关闭数据库的SSL。 待审计数据库与数据库安全审计需要在同一区域。 购买数据库安全审计配置“VPC”参数时，需与Agent安装节点所在VPC相同。 数据库安全审计的Agent安装节点，请参见：如何选择数据库安全审计的Agent安装节点？。 步骤一：购买数据库安全审计 您需要根据您的业务需求购买数据库安全审计规格并配置数据库安全审计参数，详细操作请参见购买数据库安全审计。 为保证审计功能的正常使用，购买数据库安全审计配置“VPC”参数时，请与Agent安装节点所在VPC相同。 数据库安全审计的Agent安装节点，请参见：如何选择数据库安全审计的Agent安装节点？。

本节主要介绍管理自动备份。 GeminiDB Influx支持创建数据库实例的自动备份，以保证数据可靠性。当数据库或表被恶意或误删除，可依赖实例的备份保障数据安全。 说明 GeminiDB Influx自动备份时，不会对 自动备份策略 系统按照自动备份策略，对数据库进行自动备份，备份将以压缩包的形式存储在对象存储服务中，以保证用户数据的机密性和持久性。建议您定期对数据库进行备份，当数据库故障或数据损坏时，可以通过备份恢复数据库。由于开启备份会损耗数据库读写性能，建议您选择业务低峰时间段启动自动备份。 创建数据库实例时，系统默认开启自动备份策略，默认开启的自动备份策略设置如下： 图1 开启备份策略 1.保留天数： 自动备份可保留天数默认为7天。可设置保留天数范围为1~35天。对于系统中最近一个全量备份文件，如果在新的全量备份未超过保留天数前系统会一直保留，直至新的全量备份超过保留天数后才会删除。 增加保留天数，可提升数据可靠性，请根据需要设置。 减少保留天数，会针对已有的备份文件生效，即超出备份保留天数的已有备份文件（包括全量备份和增量备份）会被自动删除，但手动备份不会自动删除，请您谨慎选择。 说明 保留天数小于7天，系统每天都会进行自动备份。 系统会自动检测已有的自动备份文件，若备份文件超过用户自定义的数据保留天数，则将其删除。 备份时间段：默认为24小时中，间隔一小时的随机的一个时间段，例如12:00～13:00 。备份时间段以GMT时区保存。如果碰到夏令时或冬令时切换，备份时间段会因时区变化而改变。 假如保留天数设置为“2”，表示超过两天的全量备份和增量备份会被自动删除。即周一产生的备份会在周三删除，同理，周二产生的备份会在周四删除。 全量备份文件自动删除策略： 已有备份文件超出备份天数后会自动删除，考虑到数据完整性，自动删除时仍然会保留最近的一次超过保留天数的全量备份，保证在保留天数内的数据可正常恢复。 假如备份周期选择“周一”、“周二”，保留天数设置为“2”，备份文件的删除策略如下： 本周一产生的全量备份，会在本周四当天自动删除。原因如下： 本周二的全量备份在本周四当天超过保留天数，按照全量备份文件自动删除策略，会保留最近的一个超过保留天数的全量备份（即本周二的备份会被保留），因此周四当天删除本周一产生的全量备份文件。 本周二产生的全量备份，会在下周三当天自动删除。原因如下： 下周一产生的全量备份在下周三超过保留天数，按照全量备份文件自动删除策略，会保留最近的一个超过保留天数的全量备份（即下周一的备份会被保留），因此下周三当天删除本周二产生的全量备份。 2.备份周期： 默认为全选。 全选：选择一周内的每一天。系统每天都会进行自动备份。 选择周期：选择一周内的一天或几天。系统会在所选时间进行自动备份。 说明 备份周期对应的备份开始时间1小时内，系统会自动触发全量备份。备份所需时间由备份数据量决定，备份数据量越大，备份所需时间越长。 增备周期：系统默认自动将每隔15分钟的离散时间点上的增量数据进行备份。您也可以根据需要设置增量备份周期，目前支持设置为5分钟，10分钟，15分钟。增备周期目前为公测阶段，如需使用，请联系客服申请开通相应的操作权限。 实例创建成功后，您可根据业务需要设置自动备份策略。系统将按照您设置的自动备份策略对数据库进行备份。 关闭自动备份策略后，自动备份将会立即停止。

参数名 类型 是否必填 名称 说明 action int 是 域名操作动作 固定值1 domain string 是 域名 仅支持单个域名 productcode string 是 产品业务类型 “001”（静态加速）,“003”:（下载加速）, “004”（视频点播加速）,“008”（CDN加速），“014”（下载加速闲时） areascope int 否 加速范围 1（国内）；2（海外）； 3（国内+海外），不填默认为1 ipv6enable int 否 ipv6启用 1（启用）； 2（关闭），不传默认开启 origin list< object> 是 源站信息 origin[].origin string 是 源站ip或域名 origin[].port int 是 源站端口 支持http自定义端口，http不支持下发443端口，多个源站时，源站端口需保持一致 origin[].weight int 是 权重 范围：1100 origin[].role string 是 源站角色 取值: master, slave xosoriginis int 否 是否开启云存储XOS源站配置功能 枚举值：0（关闭）， 1（开启）；默认0 xosorigin object 否 云存储XOS源站信息 当xosoriginis为1的时候，xosorigin必传 xosorigin[].origin string 是 云存储XOS源站 xosorigin[].ak string 否 云存储XOS源站加密ak ak与sk必须同时填写 xosorigin[].sk string 否 云存储XOS源站加密sk ak与sk必须同时填写

本文介绍如何下载根证书。 如果您的业务用户通过Java等客户端访问Web业务，您需要下载与服务端证书类型一致的根证书，并手动安装到对应的客户端，确保客户端与服务端建立HTTPS安全连接。 背景概述 根证书是建立信任链的基础。一旦客户端安装了根证书，它即可验证由该根证书签发的所有证书。这使得客户端可以信任与该根证书相关的所有服务器和应用程序，从而建立起一个完整的信任链。 如果您的业务用户通过浏览器访问您的Web业务，则您无需关注根证书和中间证书，因为根证书和中间证书已经内置在浏览器，您只需在Web服务器安装经CA签发的SSL证书，即可实现客户端与服务端的HTTPS通信。如何获取SSL证书（服务端证书），请参见购买SSL证书。 如果业务用户通过Java等客户端访问您的Web业务，由于客户端没有内置根证书和中间证书，您可能需要在对应客户端或者系统默认信任库手动安装根证书和中间证书，保证客户端能够校验服务端的加密信息。例如，服务端安装了标准版SSL证书，则客户端需要有标准版OV型根证书，才能实现客户端与服务端的HTTPS通信。 下载根证书 证书分类 下载根证书 标准版 国密标准：国密版本根证书.zip 标准版 国际标准： 2025年4月3日之后签发：国际版本根证书（20250403后）.zip 2025年1月14日2025年4月3日之间签发：国际版本根证书（2025011420250403）.zip 2025年1月14日前签发：国际版本根证书（旧）.zip SecureSite GeoTrust TrustAsia ECC算法：DigiCertGlobalRootG3root.rar SecureSite GeoTrust TrustAsia RSA算法：DigiCertGlobalRootG2root.rar GlobalSign OV证书、EV证书：GlobalSign Root CA R3.zip GlobalSign DV证书：GlobalSign Root CA R6.zip CFCA 国密标准：CFCA CS SM2 CA.zip CFCA 国际标准：CFCA EV ROOT.zip 个人证书 国密标准：个人证书根证书.zip

同一个微服务引擎可能会有多个用户共同使用，而不同的用户根据其责任和权限，需要具备不同的微服务引擎访问和操作权限。开启了“安全认证”的微服务引擎专享版，根据用户接入引擎使用的帐号所关联的角色，赋予该用户不同的微服务引擎访问和操作权限。 安全认证具体内容，请参考系统管理。 您可根据实际业务需要，对微服务引擎专享版执行开启或关闭安全认证操作： 开启安全认证 未开启安全认证且状态可用的微服务引擎专享版，根据实际业务需要，可开启安全认证。 开启安全认证后，接入该引擎的微服务组件如果没有配置安全认证参数，或者微服务组件配置的安全认证帐号和密码不正确，会导致该微服务组件心跳失败，服务被迫下线。 关闭安全认证 已开启安全认证且状态可用的微服务引擎专享版，根据实际业务需要，可关闭安全认证。 关闭安全认证后，无论接入该引擎的微服务组件是否配置了安全认证参数，微服务组件的正常业务功能不受影响。 开启安全认证 步骤 1 登录ServiceStage控制台，选择“微服务引擎 CSE”。 步骤 2 选择待操作的微服务引擎，单击引擎名称，进入引擎“基本信息”页面。 步骤 3 在“安全”区域，开启安全认证开关。 如果引擎版本低于1.2.0，执行步骤4。 如果引擎版本为1.2.0及以上版本，执行步骤5。 步骤 4 升级引擎至1.2.0或以上版本。 1. 单击“升级引擎至新版本”。 2. 选择“升级后版本”，查看版本说明，根据需要决定是否升级到该版本后，单击“确定”。 3. 等待升级成功后，单击“返回微服务引擎”。 4. 选择刚升级成功的微服务引擎，单击引擎名称，进入引擎“基本信息”页面。 5. 在“安全”区域，开启安全认证开关。 步骤5 在微服务引擎控制台的“系统管理”页面，开启安全认证。 首次开启安全认证，单击“去开启安全认证”。 需先创建root帐号。输入root帐号的“密码”和“确认密码”，单击“立即创建”。 再次开启安全认证，单击“开启安全认证”。 输入引擎中已关联了admin角色的帐号名称及其密码。 步骤 6 （可选）参考角色管理，根据业务需要，创建角色。 步骤 7 （可选）参考帐号管理，根据业务需要，创建帐号。 步骤 8 在微服务引擎控制台的“系统管理”页面，单击“开启安全认证”。 步骤 9 根据提示确认已经完成所有配置后，勾选“确保已配置”。 步骤 10 单击“确定”。 等待微服务引擎更新完成，引擎状态由“配置中”变为“可用”，开启安全认证成功。

物理机的主机名带后缀“novalocal”，这正常吗？ 正常。 当创建物理机时，Linux物理机的主机名是通过Cloudinit注入的用户自定义名称来确定的。在某些情况下，查询物理机的主机名可能会带有后缀 ".novalocal"，而其他情况下则不带此后缀。这是因为不同的发行版本和操作系统在Cloudinit的实现方式上存在差异，导致主机名的呈现方式可能会有所不同。因此，带有 ".novalocal" 后缀的主机名是一种正常现象，并且不会对物理机的正常运行产生影响。 如何监控物理机的各类指标？ 您可以使用云监控服务来监控物理机的各类指标。以下是监控物理机的方式： 1. 物理机监控页签查看监控指标：天翼云提供的公共镜像均已安装Agent插件，使用平台提供的公共镜像创建物理机后，您可以在物理机监控页签快速查看物理机的不同指标：包括 CPU 使用率、内存利用率、磁盘空间、网络流量等。 2. 云监控面板管理监控数据：您可以通过云监控服务的控制台或API来查看物理机的监控数据。您可以实时监控各项指标的数值，并根据设定的阈值接收警报通知。 详细的安装指导以及所支持的监控指标请参见：使用主机监控。

操作场景 在运行中始终不保存任何数据或状态的工作负载称为“无状态负载 Deployment”，例如nginx。您可以通过控制台或kubectl命令行创建无状态负载。 前提条件 在创建容器工作负载前，您需要存在一个可用集群。若没有可用集群 ，请参照集群管理>购买混合集群中内容进行创建。 若工作负载需要被外网访问，请确保集群中至少有一个节点已绑定弹性IP，或已购买负载均衡实例。 创建多个工作负载时，请确保容器使用的端口不冲突 ，否则部署会失败。 通过控制台创建 云容器引擎提供了多种创建工作负载的方式，您可以通过如下方式进行创建： 基于“我的镜像”创建工作负载，用户首先需要将镜像上传至容器镜像服务。 基于“共享镜像”创建工作负载，即其它租户通过“容器镜像服务”共享给您的镜像。 您希望通过YAML方式创建工作负载，您可在“创建无状态工作负载”高级设置页面单击界面右侧的“YAML创建”，通过yaml的方式创建工作负载。YAML编写完成后，可单击“创建”，直接创建工作负载。 说明： YAML文件是和界面保持同步的，您也可以通过界面和YAML互动完成工作负载的创建。例如： 界面中填写工作负载名称后，YAML文件会自动关联该名称。 界面中添加完镜像后，YAML中也会自动关联该镜像。 控制台界面右侧的“YAML创建”不支持多个YAML混合，请分别创建，否则创建时将会报错。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”，单击“创建无状态工作负载”。参照下表设置工作负载基本信息，其中带“”标志的参数为必填参数。 工作负载基本信息 参数 参数说明 工作负载名称 新建工作负载的名称，命名必须唯一。 请输入4到63个字符的字符串，可以包含小写英文字母、数字和中划线（），并以小写英文字母开头，小写英文字母或数字结尾。 集群名称 新建工作负载所在的集群。 命名空间 在单集群中，不同命名空间中的数据彼此隔离。使应用可以共享同个集群的服务，也能够互不干扰。若您不设置命名空间，系统会默认使用default命名空间。 实例数量 工作负载的实例数量。工作负载可以有一个或多个实例，用户可以设置具体实例个数，默认为2，可自定义设置为1。 每个工作负载实例都由相同的容器部署而成。设置多个实例主要用于实现高可靠性，当某个实例故障时，工作负载还能正常运行。若使用单实例，节点异常或实例异常会导致服务异常。 时区同步 单击开启后，容器将和节点使用相同时区。 须知：时区同步功能开启后，在“数据存储 > 本地磁盘”中，将会自动添加HostPath类型的磁盘，请勿修改删除该磁盘。 工作负载描述 工作负载描述信息。 步骤 2 单击“下一步：容器设置”，添加容器。 1. 单击“添加容器”，选择需要部署的镜像。 − 我的镜像：展示了您创建的所有镜像仓库。 − 第三方镜像：CCE支持拉取第三方镜像仓库（即镜像仓库之外的镜像仓库）的镜像创建工作负载。使用第三方镜像时，请确保工作负载运行的节点可访问公网。第三方镜像的具体使用方法请参见如何使用第三方镜像。 若您的镜像仓库不需要认证，密钥认证请选择“否”，并输入“镜像名称”，单击“确定”。 若您的镜像仓库都必须经过认证（帐号密码）才能访问，您需要先创建密钥再使用第三方镜像，具体操作请参见如何使用第三方镜像。 − 共享镜像：其它租户通过“容器镜像服务”共享给您的镜像将在此处展示，您可以基于共享镜像创建工作负载。 2. 配置镜像基本信息。 工作负载是Kubernetes对一组Pod的抽象模型，用于描述业务的运行载体，一个Pod可以封装1个或多个容器，您可以单击右上方的“添加容器”，添加多个容器镜像并分别进行设置。 镜像参数说明 参数 说明 镜像名称 导入的镜像，您可单击“更换镜像”进行更换。 镜像版本 选择需要部署的镜像版本。 容器名称 容器的名称，可修改。 特权容器 特权容器是指容器里面的程序具有一定的特权。 若选中，容器将获得超级权限，例如可以操作宿主机上面的网络设备、修改内核参数等。 容器规格 CPU 配额： 申请：容器需要使用的最小CPU值，默认0.25Core。 限制：允许容器使用的CPU最大值。建议设容器配额的最高限额，避免容器资源超额导致系统故障。 内存配额： 申请：容器需要使用的内存最小值，默认512MiB。 限制：允许容器使用的内存最大值。如果超过，容器会被终止。 申请和限制的具体请参见设置容器规格。 GPU 配额：当集群中包含GPU节点时，才能设置GPU，无GPU节点不显示此选项。 容器需要使用的GPU百分比。勾选“使用”并设置百分比，例如设置为10%，表示该容器需使用GPU资源的10%。若不勾选“使用”，或设置为0，则无法使用GPU资源。 GPU 显卡：工作负载实例将被调度到GPU显卡类型为指定显卡的节点上。 若勾选“不限制”，容器将会随机使用节点中的任一显卡。您也可以勾选某个显卡，容器将使用特定显卡。 3. 生命周期：用于设置容器启动和运行时需要执行的命令。 − 启动命令：设置容器启动时执行的命令，具体请参见设置容器启动命令。 − 启动后处理：设置容器成功运行后执行的命令，详细配置方法请参见设置容器生命周期。 − 停止前处理：设置容器结束前执行的命令，通常用于删除日志/临时文件等，详细配置方法请参见设置容器生命周期。 4. 健康检查：CCE提供了存活与业务两种探针，用于判断容器和用户业务是否正常运行。详细配置方法请参见设置容器健康检查。 − 工作负载存活探针：检查容器是否正常，不正常则重启实例。 − 工作负载业务探针：检查用户业务是否就绪，不就绪则不转发流量到当前实例。 5. 环境变量：在容器中添加环境变量，一般用于通过环境变量设置参数。 在“环境变量”页签，单击“添加环境变量”，当前支持三种类型： − 手动添加：输入变量名称、变量/变量引用。 − 密钥导入：输入变量名称，选择导入的密钥名称和数据。您需要提前创建密钥，具体请参见配置中心>创建密钥。 − 配置项导入：输入变量名称，选择导入的配置项名称和数据。您需要提前创建配置项，具体请参见配置中心>创建配置项。 说明： 对于已设置的环境变量，单击环境变量后的“编辑”，可对该环境变量进行编辑。单击环境变量后的“删除”，可删除该环境变量。 6. 数据存储：给容器挂载数据存储，支持本地磁盘和云存储，适用于需持久化存储、高磁盘IO等场景。具体请参见存储管理。 7. 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。 请输入用户ID，容器将以当前用户权限运行。 8. 容器日志：设置容器日志采集策略、配置日志目录。用于收集容器日志便于统一管理和分析。详细配置请参见采集容器标准输出日志、采集容器内路径日志。 步骤 3 单击“下一步：工作负载访问设置”，单击“添加服务”，设置工作负载访问方式。 若工作负载需要和其它服务互访，或需要被公网访问，您需要添加服务，设置工作负载访问方式。 工作负载访问的方式决定了这个工作负载的网络属性，不同访问方式的工作负载可以提供不同网络能力，具体请参见网络管理>网络概述。 步骤 4 单击“下一步：高级设置”，配置更多高级策略。 升级策略：您可以指定无状态工作负载的升级方式，包括逐步“滚动升级”和整体“替换升级”。 − 滚动升级：将逐步用新版本的实例替换旧版本的实例，升级的过程中，业务流量会同时负载均衡分布到新老的实例上，因此业务不会中断。 最大无效实例数：每次滚动升级允许的最大无效实例数，如果等于实例数有断服风险（最小存活实例数 实例数 最大无效实例数）。 − 替换升级：将先把您工作负载的老版本实例删除，再安装指定的新版本，升级过程中业务会中断。 缩容策略：为工作负载删除提供一个时间窗，预留给生命周期中PreStop阶段执行命令。若超过此时间窗，进程仍未停止，该工作负载将被强制删除。 − 缩容时间窗 (s)：请输入时间，该时间为工作负载停止前命令的执行时间窗（09999秒），默认30秒。 − 缩容优先级：可根据业务需要选择“优先减少新实例”或“优先减少老实例”。 迁移策略：当工作负载实例所在的节点不可用时，系统将实例重新调度到其它可用节点的时间窗。 − 迁移时间窗 (s)：请输入时间，默认为300秒。 调度策略：您可以根据需要自由组合静态的全局调度策略或动态的运行时调度策略来实现自己的需求。具体请参见亲和反亲和性调度>调度策略概述。 Pod高级设置 − Pod标签：内置app标签在工作负载创建时指定，主要用于设置亲和性与反亲和性调度，暂不支持修改。您可以单击下方的“添加标签”增加标签。 说明： 客户端DNS配置：CCE集群内置DNS插件CoreDNS，为集群内的工作负载提供域名解析服务。详细使用方法请参见Kubernetes集群内置DNS配置说明。 − DNS策略： 追加域名解析配置：选择该配置后，将保留默认配置，以下“IP地址”和“搜索域”配置可能不生效。 替换域名解析配置：选择该配置后，将仅使用以下“IP地址”和“搜索域”配置进行域名解析。 继承Pod所在节点域名解析配置：将继承Pod所在节点的域名解析配置。 − IP地址：您可对自定义的域名配置域名服务器，值为一个或一组DNS IP地址，如“1.2.3.4”。 − 搜索域：定义域名的搜索域列表，当访问的域名不能被DNS解析时，会把该域名与搜索域列表中的域依次进行组合，并重新向DNS发起请求，直到域名被正确解析或者尝试完搜索域列表为止。 − 超时时间（s）：查询超时时间，请自定义。 − ndots：表示域名中必须出现的“.”的个数，如果域名中的“.”的个数不小于ndots，则该域名为一个FQDN，操作系统会直接查询；如果域名中的“.”的个数小于ndots，操作系统会在搜索域中进行查询。 自定义指标监控：是指监控系统提供的一种指标收集机制，该机制允许工作负载在部署时自定义需要上报的指标名称以及获取这些指标数据的接入点信息，在应用运行时由监控系统按固定的频率访问接入点进行指标的收集。 性能管理配置：性能管理服务可协助您快速进行工作负载的问题定位与性能瓶颈分析。 步骤 5 配置完成后，单击“创建”，在创建成功页面单击“返回工作负载列表”，查看工作负载状态。 在工作负载列表中，当工作负载状态为“运行中”时，表示工作负载创建成功。工作负载状态不会实时更新，请刷新页面查看。 步骤 6 在“无状态负载 Deployment”页面的工作负载列表中，复制“外部访问地址”，可在浏览器中访问工作负载。 说明： 当工作负载访问方式设为“节点访问（NodePort）”并绑定弹性IP或设为“负载均衡 ( LoadBalancer )”时，才可以获取外部访问地址，可以访问外网。 工作负载列表页在超过500条以上时，将采用Kubernetes的分页机制进行分页。Kubernetes的分页机制：仅支持回到第一页和查看下一页，不支持查看上一页，且在分页显示的情况下，资源总数显示的是批量查询出的数目而不是真实总数。 通过kubectl命令行创建 本节以nginx工作负载为例，说明kubectl命令创建工作负载的方法。 前提条件 请参见通过kubectl操作CCE集群配置kubectl命令，使弹性云主机连接集群。 操作步骤 步骤 1 登录已配置好kubectl命令的弹性云主机。 步骤 2 创建一个名为nginxdeployment.yaml的描述文件。其中，nginxdeployment.yaml为自定义名称，您可以随意命名。 vi nginxdeployment.yaml 描述文件内容如下。此处仅为示例，deployment的详细说明请参见kubernetes官方文档。 apiVersion: apps/v1 kind: Deployment metadata: name: nginx spec: replicas: 1 selector: matchLabels: app: nginx strategy: type: RollingUpdate template: metadata: labels: app: nginx spec: containers: image: nginx imagePullPolicy: Always name: nginx imagePullSecrets: name: defaultsecret 以上yaml字段解释如下表。 deployment字段详解 字段名称 字段说明 必选/可选 apiVersion 表示API的版本号。 说明 集群版本为1.9之前的无状态应用apiVersion格式为extensions/v1beta1，1.9之后的集群兼容extensions/v1beta1和apps/v1两种格式Version，请根据集群版本输入。 必选 kind 创建的对象类别。 必选 metadata 资源对象的元数据定义。 必选 name deployment的名称。 必选 Spec 用户对deployment的详细描述的主体部分都在spec中给出。 必选 replicas 实例数量。 必选 selector 定义Deployment可管理的容器实例。 必选 strategy 升级类型。当前支持两种升级方式，默认为滚动升级。 RollingUpdate：滚动升级。 ReplaceUpdate：替换升级。 可选 template 描述创建的容器实例详细信息。 必选 metadata 元数据。 必选 labels metadata.labels定义容器标签。 可选 spec: containers image（必选）：容器镜像名称。 imagePullPolicy（可选）：获取镜像的策略，可选值包括Always（每次都尝试重新下载镜像）、Never（仅使用本地镜像）、IfNotPresent（如果本地有该镜像，则使用本地镜像，本地不存在时下载镜像），默认为Always。 name（必选）：容器名称。 必选 imagePullSecrets Pull镜像时使用的secret名称。若使用私有镜像，该参数为必选。 需要Pull SWR容器镜像仓库的镜像时，参数值固定为defaultsecret。 当Pull第三方镜像仓库的镜像时，需设置为创建的secret名称。 可选 步骤 3 创建deployment。 kubectl create f nginxdeployment.yaml 回显如下表示已开始创建deployment。 deployment "nginx" created 步骤 4 查看deployment状态。 kubectl get pods deployment状态显示为Running，表示deployment已创建成功。 NAME READY STATUS RESTARTS AGE icagentm9dkt 0/0 Running 0 3d nginx1212400781qv313 1/1 Running 0 3d 参数解析： NAME：pod的名称 READY：已经部署完毕的pod副本数 STATUS：状态 RESTARTS：重启次数 AGE：已经运行的时间 步骤 5 若工作负载（即deployment）需要被访问（集群内访问或节点访问），您需要设置访问方式，具体请参见8 网络管理创建对应服务。

本文提供了科研助手的补充协议 天翼云息壤科研助手补充协议.pdf

本文主要介绍最佳实践 天翼云容器镜像服务最佳实践.pdf

本章节主要介绍的是配置跨Manager集群互信。 操作场景 当不同的两个Manager系统下安全模式的集群需要互相访问对方的资源时，管理员可以设置互信的系统，使外部系统的用户可以在本系统中使用。 每个系统用户安全使用的范围定义为“域”，不同的Manager系统需要定义唯一的域名。跨Manager访问实际上就是用户跨域使用。 说明 最多支持配置500个互信集群。 对系统的影响 配置跨集群互信后，外部系统的用户可以在本系统中使用，请管理员根据企业业务与安全要求，定期检视Manager系统中用户的权限。 配置跨集群互信时需要停止所有集群，会造成业务中断。 配置跨集群互信后，互信的集群中均会增加Kerberos内部用户“krbtgt/ 本集群域名 @ 外部集群域名 ”、“krbtgt/ 外部集群域名 @ 本集群域名 ”，用户不能删除。请管理员根据企业安全要求，及时且定期修改密码，需同时修改互信系统中4个用户且密码保持一致。具体请参见修改组件运行用户密码。修改密码期间可能影响跨系统业务应用的连接。 配置跨集群互信后，各个集群都需要重新下载并安装客户端 配置跨集群互信后，验证配置后是否可以正常工作，且如何使用本系统用户访问对端系统资源，请参见配置跨集群互信后的用户权限。

本节介绍了初始化Windows数据盘(Windows 2016)的操作场景、前提条件和操作指导。 操作场景 本文以云主机的操作系统为“Windows Server 2016 Standard 64bit”为例，提供磁盘的初始化操作指导。 MBR格式分区支持的磁盘最大容量为2 TB，GPT分区表最大支持的磁盘容量为18 EB，因此当为容量大于2 TB的磁盘分区时，请采用GPT分区方式。具体操作请参见初始化容量大于2TB的Windows数据盘（Windows 2008）。关于磁盘分区形式的更多介绍，请参见场景及磁盘分区形式介绍。 不同云主机的操作系统的格式化操作可能不同，本文仅供参考，具体操作步骤和差异请参考对应的云主机操作系统的产品文档。 前提条件 已挂载数据盘至云主机，且该数据盘未初始化。 已登录云主机。 操作指导 步骤 1 在云主机桌面，单击左下方开始图标。 弹出Windows Server窗口。 步骤 2 单击“服务器管理器”。 弹出“服务器管理器”窗口，如图所示。 图 服务器管理器 步骤 3 “服务器管理器”页面右上方选择“工具 > 计算机管理”。 弹出“计算机管理”窗口，如图所示。 图 计算机管理 步骤 4 选择“存储 > 磁盘管理”。 进入磁盘列表页面，存在未初始化的磁盘时，系统会自动弹出“初始化磁盘”对话框，如图所示。 图 磁盘列表 步骤 5 在“初始化磁盘”对话框中显示需要初始化的磁盘，此处以选择“GPT（GUID分区表）”为例，单击“确定”。 返回“计算机管理”窗口，如图所示。 图 计算机管理(Windows 2016) 说明 MBR支持的磁盘最大容量为2 TB，GPT最大支持的磁盘容量为18 EB，当前数据盘支持的最大容量为32 TB，如果您需要使用大于2 TB的磁盘容量，分区形式请采用GPT。当磁盘已经投入使用后，此时切换磁盘分区形式时，磁盘上的原有数据将会清除，因此请在磁盘初始化时谨慎选择磁盘分区形式。 步骤 6 在磁盘1右侧的未分配的区域，右键单击选择“新建简单卷”。 弹出“新建简单卷向导”窗口，如图所示。 图 新建简单卷向导(Windows 2016) 步骤 7 根据界面提示，单击“下一步”。 进入“指定卷大小”页面，如图所示。 图 指定卷大小(Windows 2016) 步骤 8 指定卷大小，系统默认卷大小为最大值，您还可以根据实际需求指定卷大小，此处以保持系统默认配置为例，单击“下一步”。 进入“分配驱动器号和路径”页面，如图所示。 图 分配驱动器号和路径(Windows 2016) 步骤 9 分配到驱动器号和路径，系统默认为磁盘分配驱动器号，驱动器号默认为“D”，此处以保持系统默认配置为例，单击“下一步”。 进入“格式化分区”页面，如图所示。 图 格式化分区(Windows 2016) 步骤 10 格式化分区，系统默认的文件系统为NTFS，并根据实际情况设置其他参数，此处以保持系统默认设置为例，单击“下一步”。 进入“完成新建卷”页面，如图所示。 图 完成新建卷(Windows 2016) 注意 不同文件系统支持的分区大小不同，请根据您的业务需求选择合适的文件系统。 步骤 11 单击“完成”。 需要等待片刻让系统完成初始化操作，当卷状态为“状态良好”时，表示初始化磁盘成功，如图所示。 图 初始化磁盘成功(Windows 2016) 步骤 12 新建卷完成后，单击下方任务栏中，在文件资源管理器中查看是否有新建卷，此处以“新建卷（D:）”为例。 单击“此电脑”，若如图所示，可以看到“新建卷（D:）”，表示磁盘初始化成功，任务结束。 图 文件资源管理器(Windows 2016)

本页介绍了文档数据库服务的一些基本概念。 地区与资源池 即订购时需要选择的资源池（Region）信息。在您订购文档数据库服务的时候，需要进行地区与资源池的选择，与您的已有业务在业务流量、VPC网络、网络白名单等拥有最优的搭配。 可用区 即同一资源池下，网络、电力、容灾等都相对隔离的独立区域，也称AZ。文档数据库服务在部分资源池具有多AZ可选择，具备跨AZ部署能力，具备更高的业务容错性。 文档数据库服务实例 文档数据库服务实例，用户订购及管理的最小单元。每个实例的资源之间都是隔离的，独立的。您可以通过管理控制台查看和管理您拥有的实例。 参数模板和参数组 文档数据库服务，为3.4，4.0版本的实例，都提供了默认的一套参数模板，您可以修改、添加、应用、比较各参数模板和参数组。 数据库连接数 即业务客户端与数据库实例之间的TCP连接数。集群实例一般是和Mongos角色的连接数量，副本集实例一般可与Primary节点、Secondary节点、ReadOnly节点连接。 集群 即文档数据库服务提供的集群类型规格实例，由Mongos、Shard、ConfigServer三类角色节点组成的分布式文档数据库服务。 副本集 即文档数据库服务提供的副本集类型规格实例，可以选择三节点、五节点、七节点规格，同时还可以在开通时选择只读从节点，或者开通后扩展只读从节点。

本页介绍分布式融合数据库HTAP的资源管控功能。 资源管控简介 使用资源管控特性，您可以定义资源组 (Resource Group)，资源组是实现资源规划的逻辑单元，通过控制读写请求的流量和优先级，实现应用资源的隔离，满足服务质量要求。使用资源组可以保证即使个别应用过度使用资源，也不会影响其他应用的资源需求，从而实现应用间的有效资源分配和隔离。 使用场景 资源管控特性将一个分布式融合数据库HTAP实例划分成多个逻辑单元（资源组），即使个别单元对资源过度使用，也不会挤占其他单元所需的资源。合理利用资源管控特性可以减少实例数量，降低运维难度及管理成本。利用该特性： 您可以将多个中小型业务合入一个实例中，并为之分配不同的资源组，形成资源隔离的效果，当个别应用的负载升高，也不会影响其他业务的正常运行。 当系统中存在多种类型的负载时，可以将不同的负载分别放入各自的资源组。利用资源管控技术，确保实时类业务的响应时间不受数据分析或批量业务的影响。 使用限制 资源管控将带来额外的调度开销。因此，开启该特性后，分布式融合数据库HTAP实例的性能可能会有轻微下降（低于 5%）。 基本资源单位RU Request Unit (RU) 是分布式融合数据库HTAP实例对 CPU、IO 等系统资源的统一抽象的计量单位，用于表示对数据库的单个请求消耗的资源量。

本节介绍了升级DCS实例小版本/代理版本的相关内容。 DCS会不定期升级实例小版本和代理版本，优化产品功能和修复产品缺陷，提升服务稳定性。本章节介绍如何升级已创建实例的小版本或代理版本到最新版。 升级实例小版本或代理版本不会改变实例的连接地址、访问密码、白名单配置、参数及告警配置等信息。 约束与限制 仅Redis 4.0及以上版本实例支持升级实例的小版本/代理版本。 仅Proxy集群和读写分离实例涉及代理版本（Proxy版本），其他实例类型不涉及。 如果实例已经为最新小版本/代理版本，不支持升级。 实例升级小版本时，Cluster集群请确保客户端能正常处理MOVED和ASK命令，否则会导致请求失败。 实例升级小版本或代理版本后不支持回退。 升级影响 建议在业务低峰期执行实例小版本升级。业务高峰期（如实例内存利用率、CPU利用率达到90%以上或写入流量过大）升级可能会失败，若升级失败，请在业务低峰期再次尝试升级。 实例升级小版本采用节点迁移的方式，在数据迁移过程中，访问时延会增大，每迁移一个分片会发生一次秒级闪断和一分钟以内的只读，请确保客户端应用具备重连机制和处理异常的能力。 实例升级代理版本过程中会发生秒级连接闪断，请确保客户端应用具备重连机制和处理异常的能力，建议在业务低峰期升级。

本文主要介绍天翼云ECS实例间的迁移场景和操作步骤。 简介 当需要把不同天翼云账号下的主机资源整合到一个天翼云账号下时，可以采用主机迁移服务实现ECS实例间的快速迁移。主机迁移服务支持同一区域或者不同区域的源端到目的端的迁移。 操作步骤 1. 获取目的端服务器所在账号的AK/SK。 1. 如果您需要直接使用账号来进行主机迁移，具体步骤请参见获取AK/SK（账号）。 2. 如果您在此账号中创建了IAM用户，授予此IAM用户对应的权限后使用此IAM用户创建AK/SK，具体步骤请参见获取AK/SK（IAM用户）。 2. 在源端服务器上安装迁移Agent，具体步骤请参见在源端上安装迁移Agent。 3. 安装完成后，双击SMSAgent，打开迁移Agent，在迁移Agent中填写1中获取的AK/SK，并启动迁移Agent。 说明 迁移Agent启动成功后会自动收集源端服务器信息并发送给主机迁移服务，主机迁移服务会自动校验源端服务器信息合法性以及是否可迁移。 4. 迁移Agent启动成功后，使用目的端服务器所在的账号，登录主机迁移管理控制台，在“迁移服务器”页面的服务器列表中，查看源端服务器信息。 5. 创建并启动迁移任务，具体步骤请参见设置迁移目的端，开始服务器复制并启动目的端。如果源端和目的端在天翼云的同一个VPC里面，“网络类型”可以私网，迁移时会使用目的端的私有IP建立数据连接，目的端不需要配置弹性IP。迁移完成后目的端服务器的登录方式与源端服务器的登录方式保持一致。 说明 源端和目的端处于同一账号、同一region、不同VPC下时，需要创建同一帐户下的对等连接，然后“迁移网络类型”可以选择私网。 源端和目的端处于不同账号、同一region、不同VPC下时，需要创建不同帐户下的对等连接，然后“迁移网络类型”可以选择私网。 （可选）启动目的端后，如果您的源端服务器有增量数据，您可以使用同步功能，同步源端增量数据。单击操作列的“同步”，单击“是”，开始进行增量数据同步。

调整影响 天翼云主账号调用上述OpenAPI不受影响，仅子账号调用须重新配置权限，否则会报权限不足的错误。

介绍RabbitMQ修改实例内容。 场景描述 在使用RabbitMQ时，可能会遇到需要修改实例的场景，例如： 业务变更：当业务需求发生变化，需要修改RabbitMQ实例的名称以反映新的业务逻辑时，可以进行实例名称的修改。例如，当新增或调整了某个业务模块，需要将其对应的实例名称修改为更准确的名称，以便于管理和监控。 网络配置变更：当需要更改 RabbitMQ 实例的网络配置时，可能需要修改弹性 IP。例如，当需要更改子网、VPC 或安全组的配置时，可能需要重新绑定弹性 IP，以确保 RabbitMQ 实例能够正确地与其他组件通信。 安全配置修改：当需要修改RabbitMQ实例的安全配置时，可以进行相应的修改。 需要注意的是，在进行实例的修改时，应该谨慎操作，并根据实际需求和系统情况进行调整。同时，修改实例时应该遵循RabbitMQ的最佳实践和建议，以确保系统的稳定性和性能。 修改实例名称 （1）在基本信息的实例名称后点击"修改" （2）在弹出窗口中输入新的实例名称，点击“确定” 设置公网访问的弹性IP （1）在基本信息的公网接入点后点击"绑定弹性IP" （2）在弹出窗口中选择弹性IP，点击“确定”

如何提升共享带宽实例可加入的弹性IP数量？ 每个共享带宽实例默认最多可加入20个EIP。 当共享带宽实例达到可添加的EIP数量上限，无法继续添加新的EIP时，您可以通过提交工单来申请提升配额。 在您提交工单时，请您说明具体的业务场景，我们将根据您的业务情况为您添加。 如何为加入共享带宽的EIP设置最大可用带宽值？ 共享带宽当前不支持为带宽内的每个IP设置峰值，您可以调整共享带宽的整体带宽大小。 在共享带宽下的弹性IP共同使用该共享带宽，当业务较为集中时，可能出现带宽挤占的情况，请您关注监控数据并及时进行业务调整。 具体操作，请参见修改共享带宽。 是否可以为使用共享带宽的某台主机限制最大可用带宽值？ 不可以。 主机所绑定的弹性IP，加入到共享带宽之后，共同使用该共享带宽，无法单独限制某个弹性IP的峰值带宽，您可以调整共享带宽的整体带宽大小。 主机网卡具有最大内网带宽限制，与共享带宽的峰值带宽无关，具体可参考主机规格说明。 如何将共享带宽中的EIP转移到另一个共享带宽？ 您可以首先将EIP从之前的共享带宽中移出，其操作入口为【操作>更多>移出弹性IP】。 接着将其加入到新的共享带宽中，其操作入口为【操作>更多>添加弹性IP】。 共享带宽的列表页及详情页均支持该两项操作。

参数 参数类型 说明 示例 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Array of Objects 接口业务数据 见下表

参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Array of Objects 接口业务数据 returnObj 表 returnObj

参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 returnObj 表 returnObj

参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Array of Objects 接口业务数据 returnObj 表 returnObj

参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 returnObj 表 returnObj

参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 returnObj 表 returnObj