背景信息 自定义运行时支持托管用户的HTTP Server。支持用户http请求的转发，请求链路：用户client > CF平台> Http server（自定义函数） 有两种调用函数的方式： HTTP调用（推荐）：例如使用HTTP触发器或者自定义域名。 API调用：通过Invoke API进行调用，例如使用SDK调用函数，或者控制台测试接口触发函数。 使用限制 一个函数的一个版本或别名，最多只能创建一个HTTP触发器。详细信息，请参见版本管理和别名管理。 HTTP Request限制 Request Headers不支持以"xfc"开头的自定义字段和以下自定义字段： connection keepalive 如果Request超过以下限制，会返回 400状态码和 InvalidArgument错误码。 Headers大小：Headers中的所有Key和Value的总大小不得超过8 KB。 Path大小：包括所有的Query Params，Path的总大小不得超过4 KB。 Body大小：同步调用请求的Body的总大小不得超过32 MB，异步调用请求的Body的总大小不得超过128 KB。 HTTP Response限制 Response Headers不支持以"xfc"开头的自定义字段和以下自定义字段： connection contentlength date keepalive server contentdisposition:attachment 如果Response超过以下限制，会返回 502状态码和 BadResponse错误码。 Headers大小：Headers中的所有Key和Value的总大小不得超过8 KB。 说明 从安全角度考虑，使用函默认的ctyun.com域名，服务端会在Response Headers中强制添加contentdisposition: attachment字段，此字段会使得返回结果在浏览器中以附件的方式下载。如果需要解除该限制，需设置自定义域名。 您可以通过绑定自定义域名，为函数映射不同的HTTP访问路径。

防护效果 假如已添加域名“www.example.com”，且配置了“阻断”防护动作的CC防护规则。可参照以下步骤验证防护效果： 步骤1 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 不能正常访问，参照章节网站接入WAF重新完成域名接入。 能正常访问，执行步骤2。 步骤2 清理浏览器缓存，在浏览器中访问满足Cookie条件的“ 如果您设置了“人机验证”防护动作，当用户访问超过限制后需要输入验证码才能继续访问。 步骤3 返回Web应用防火墙控制界面，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，查看防护域名拦截日志，您也可以：下载防护事件数据。 配置示例人机验证 假如防护域名“www.example.com”已接入WAF，您可以参照以下操作步骤验证人机验证防护效果。 步骤1 添加防护动作为“人机验证”CC防护规则。 步骤2 开启CC攻击防护。 步骤3 清理浏览器缓存，在浏览器中访问“ 当您在60秒内访问页面10次，在第11次访问该页面时，页面弹出验证码。此时，您需要输入验证码才能继续访问。 步骤4 返回Web应用防火墙管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。

此小节介绍企业主机安全漏洞管理类问题 漏洞管理显示的主机不存在？ 漏洞管理显示24小时内检测到的结果。若检测到主机存在漏洞后，您修改了主机的名称，检测结果会显示原主机名称，不会显示当前主机名称。 漏洞修复完毕后是否需要重启主机？ Windows系统漏洞修复完成后需要手动重启主机。 Linux系统Kernel类的漏洞修复完成后需要手动重启主机，其它类型漏洞修复完成后不重启也能生效。 如何处理漏洞？ 处理方法和步骤 1、查看漏洞检测结果。 2、按照漏洞检测结果给出的漏洞修复紧急度和解决方案逐个进行修复漏洞。 windows系统漏洞修复完成后需要手动重启。 Linux系统Kernel类的漏洞修复完成后需要手动重启。 3、企业主机安全服务每日凌晨将全面检测Linux主机和Windows主机，以及主机WebCMS的漏洞，漏洞修复完成后建议立即执行一次检测，核实修复结果。 漏洞修复后，为什么仍然提示漏洞存在？ 在企业主机安全控制台上使用漏洞管理功能修复系统软件漏洞时，如果提示漏洞修复失败，请参见以下可能原因： Windows系统服务器操作 补丁安装包下载不成功 您的服务器可能无访问公网权限，请在能访问Internet后，重新执行漏洞修复操作。 补丁安装包不匹配 请进一步确认补丁安装包的详细信息，如果补丁确实与您的服务器系统不匹配，建议您在“漏洞管理”界面中忽略该漏洞。 另一个补丁正在安装 由于服务器不能同时运行两个补丁安装程序，建议您等当前补丁安装完成后尝试重新执行漏洞修复操作。

介绍配置服务端加密的具体步骤。 适用场景 媒体存储支持服务端加密，当用户对存储桶配置服务端加密后，XOS将上传到该桶的对象进行加密，再将加密对象持久化保存。当用户通过GetObject请求下载对象时，XOS自动将加密对象解密后返回给用户，并在响应头中返回xamzserversideencryption，用于声明该对象进行了服务器端加密。 注意 本功能仅会对开启服务端加密之后上传的对象进行加密，不会改变已有对象的加密状态。关闭服务端加密，也不会影响已有对象的加密状态。 产品支持XOS完全托管，即密钥完全托管于服务端。 控制台仅支持配置AES256加密算法。 适用区域 本功能目前仅部分资源池支持，具体可参考：资源池与区域节点。 如需使用，可联系客户经理或提交工单申请。 配置桶默认加密 创建桶配置服务端加密 在创建桶的弹窗中，选择服务端加密方式以及对应的加密算法。创建桶的具体操作可参考：新建Bucket。 已创建的存储桶开启服务端加密 1. 登录媒体存储控制台，进入【对象存储Bucket列表】菜单。 2. 选择需要设置服务端加密的存储桶，进入【基础配置】标签页。 3. 在【服务端加密】设置项，点击【编辑】。 4. 在弹窗中选择【XOS完全托管】以及对应的加密算法，点击【确定】完成操作。 关闭桶默认加密 1. 登录媒体存储控制台，进入【对象存储Bucket列表】菜单。 2. 选择需要关闭服务端加密的存储桶，进入【基础配置】标签页。 3. 在【服务端加密】设置项，点击【编辑】。 4. 在弹窗中选择【无】，点击【确定】。

本章节主要介绍Flink作业相关问题中有关运维指导的问题。 Flink作业提交错误，如何定位 1.在Flink作业管理页面，将鼠标悬停到提交失败的作业状态上，查看失败的简要信息。 常见的失败原因可能包括： −CU资源不足：需扩容队列。 −生成jar包失败：检查SQL语法及UDF等。 2.如果信息不足以定位或者是调用栈错误，可以进一步单击作业名称，进入到作业详情页面，选择“提交日志”页签，查看作业提交日志。 Flink作业运行异常，如何定位 1.在“Flink作业”管理页面，对应作业“操作”列单击“编辑”按钮，在作业运行界面确认作业是否勾选“保存作业日志”参数。 −是，则执行3。 −否，则运行日志不会转储OBS桶，需要先执行2保存作业运行日志。 2.在作业运行界面勾选“保存作业日志”，在“OBS桶”参数选择存储运行日志的OBS桶。单击“启动”重新运行作业。作业重新运行完成后再执行3及后续步骤。 3.在Flink作业列表单击对应作业名称，进入作业详情页面，选择“运行日志”页签。 4.单击OBS桶，获取对应作业的完整运行日志。 5.下载最新“jobmanager.log”文件，搜索“RUNNING to FAILED”关键字，通过上下文的错误栈，确认失败原因。 6.如果“jobmanager.log”文件中的信息不足以定位，可以在运行日志中找到对应的“taskmanager.log”日志，搜索“RUNNING to FAILED”关键字，确认失败原因。 Flink作业重启后，如何判断是否可以从checkpoint直接恢复 Flink作业重启后，可以从两个角度判断是否可以从checkpoint直接恢复： 调整或者增加优化参数、并行度，修改Flink SQL语句、Flink Jar作业等操作，无法从checkpoint直接恢复。 仅修改“单TM所占CU数”参数时，可以从checkpoint直接恢复。

修改审计日志转储 开启审计日志转储后，您可以对转储配置进行修改，如修改日志存放的OBS桶和路径，转储周期等。 修改审计日志转储具体操作如下： 1. 登录DWS 管理控制台。 2. 在左侧导航栏中，单击“集群管理”。 3. 在集群列表中，单击您想要修改审计日志转储的集群的名称，然后在左侧导航栏单击“安全设置”。 4. 在“审计配置”区域中，修改审计日志转储配置。 5. 单击“应用”。 “配置状态”显示为“应用中”，表示系统正在保存配置。 等待一段时间后再次刷新“配置状态”，当显示为“已同步”，表示已保存配置并生效。 查看审计日志转储记录 开启审计日志转储后，您可以通过OBS查看转储的审计日志。 查看审计日志转储记录具体操作如下： 1. 登录DWS 管理控制台。 2. 在左侧导航栏中，单击“集群管理”。 3. 在集群列表中，单击您想要查看审计日志转储记录的集群的名称，然后在左侧导航栏单击“安全设置”。 4. 在“审计配置”区域中，单击“查看转储记录”。 5. 在弹出的“审计日记转储记录”弹出框中，单击“查看OBS桶”，进入OBS管理控制台。 6. 选择日志存放的OBS桶和文件夹进入查看具体的日志文件。 您可以选择将日志文件下载，解压并打开查看。审计日志文件字段说明如下。 详见下表：审计日志文件字段说明 名称 描述 time 操作时间 type 操作类型 result 操作结果 username 执行操作的用户名 database 数据库名称 clientconninfo 客户端连接信息 objectname 操作对象名称 detailinfo 执行操作详细信息 nodename 节点名称 threadid 线程ID localport 本地端口号 remoteport 远端端口号

稳定性 对于两阶段提交的事务，要及时提交或回滚，防止导致数据库膨胀。 选择业务低峰期变更表结构，如添加字段，索引操作。 业务高峰期创建索引时，建议使用CONCURRENTLY语法，并行创建索引，不堵塞表的DML。 业务高峰期修改表结构，要提前进行测试，防止表的REWRITE。 DDL操作需要设置锁等待超时时间，防止阻塞相关表的操作。 单个数据库库容量超过2T，需要考虑分库。 频繁访问的表，单表记录过2000万，或超过10GB，需要考虑分表或创建分区。 PostgreSQL的备库、只读库单进程回放WAL日志，最大回放速度为50 MB/s~70 MB/s，因此需要控制主库数据写入压力在50 MB/s以下，避免备机、只读复制异常。 日常运维 在实例管理界面下载慢SQL，及时关注并解决性能问题。 定期关注数据库的资源使用情况，若业务压力存在较大波动，建议配置资源告警，必要时扩充规格。业务写入压力过大会导致数据库重启恢复过程缓慢，影响业务可用性。 删除和修改记录时，需要先执行SELECT，确认无误才能提交执行。 大批量数据删除、更新后，应对被操作表执行VACUUM。 关注可用复制槽数以及创建的复制槽，请始终保持至少有一个空余的复制槽可供数据库备份使用，否则数据库备份会失败。 及时清理不再使用的复制槽，防止复制槽阻塞日志回收。 不要使用不记录日志的表（UNLOGGED TABLE），因为该表的数据会在数据库异常（如OOM、底层故障等）或发生主备倒换后丢失。 尽量避免对系统表做vacuum full操作，若有必要建议使用vacuum；否则执行vacuum full，并重启数据库后，可能导致数据库长时间无法连接。

本节包含全量数据恢复：恢复到指定时间点的相关内容。 操作场景 关系型数据库服务支持使用已有的自动备份，恢复实例数据到指定时间点。 实例恢复到指定时间点，会从OBS备份空间中选择一个该时间点最近的全量备份下载到实例上进行全量恢复，再重放增量备份到指定时间点，恢复时长和实例的数据量有关，平均恢复速率为30MB/s。 功能说明 表 功能说明 类别 说明 恢复范围 恢复整个实例。 恢复后实例数据 恢复后实例数据与用于恢复的“全备文件+增备文件”中的数据一致。 恢复到新实例会为用户重新创建一个和该时间点数据相同的实例。 恢复到已有实例会导致实例数据被覆盖。 恢复的时间点 可以恢复到全量备份保留时间内，最早的一个全量备份之后的任意时间点内的数据。 恢复类型 恢复到新实例 恢复到已有实例(非原实例) 恢复到新实例各配置项 新实例的数据库引擎和数据库版本，自动与原实例相同。 其他参数需要重新配置。 恢复时长 恢复时长和实例的数据量有关，平均恢复速率为30MB/s。 限制条件 恢复到已有实例（非原实例）的限制： − 恢复到已有实例会导致实例数据被覆盖，且恢复过程中实例将不可用。 − 只可选择与原实例相同VPC，相同引擎，相同版本的实例。例如：16.5版本的实例备份只能恢复到16.5版本的目标实例，无法恢复到16.6版本的目标实例。 − 请确保目标实例的存储空间大于或等于当前实例的存储空间，否则会导致任务下发失败。

本章介绍函数工作流如何使用容器镜像部署函数。 概述 用户直接打包上传容器镜像，由平台加载并启动运行。与原本上传代码方式相比，用户可以使用自定义的代码包，不仅灵活也简化了用户的迁移成本。您可以选择“事件函数”类型创建自定义镜像函数，也可以选择“HTTP函数”类型创建自定义镜像函数。 支持的功能： 下载用户镜像 用户镜像储存在自己的SWR服务中，需要SWR Admin权限才能下载，FunctionGraph会在创建pod前使用swr api生成并设置好临时登录指令。 环境变量 设置FunctionGraph函数的加密配置和环境变量。 挂载外部数据盘 支持挂载外部数据盘。 预留实例 支持预留实例。 前提条件 创建一个包含“SWR Admin容器镜像服务（SWR）管理员”权限的委托，因为用户镜像储存在SWR服务中，只有拥有“SWR Admin”权限，才能调用与获取，拉取镜像。 操作步骤 1. 登录函数工作流控制台，在左侧的导航栏选择“函数 > 函数列表”。 2. 单击右上方的“创建函数”，进入“创建函数”页面。 3. 选择“容器镜像”，参见下表。 配置信息 参数 说明 函数类型 选择函数类型。 事件函数：通过触发器来触发函数执行。 HTTP函数：用户可以直接发送 HTTP 请求到 URL 触发函数执行。 说明 自定义容器镜像需包含HTTP Server，监听端口为8000。 HTTP函数只允许创建APIG/APIC的触发器类型，其他触发器不支持。 事件函数需创建一个HTTP Server并实现Method为POST和Path为/invoke的函数执行入口，可实现Method为POST和Path为/init的函数初始化入口 区域 选择要部署代码的区域。 函数名称 函数名称，命名规则如下： 可包含字母、数字、下划线和中划线，长度不超过60个字符。 以大/小写字母开头，以字母或数字结尾。 企业项目 选择已创建的企业项目，将函数添加至企业项目中，默认选择“default”。 容器镜像 输入镜像URL，即用于函数的容器镜像的位置。您可以单击“查看镜像”，查看自有镜像及共享镜像。 容器镜像覆盖 CMD：容器的启动命令，例如"/bin/sh"。该参数为可选参数，不填写，则默认使用镜像中的Entrypoint/CMD。字符串数组，以逗号分开。 Args：容器的启动参数，例如"args,value1"。该参数为可选参数，不填写，则默认使用镜像中的CMD。字符串数组，以逗号分开。 Working Dir：容器的工作目录。该参数为可选参数，不填写，则默认使用镜像中的配置。文件夹路径，以/开头。 用户ID：镜像运行时的用户ID，若不填写，默认为1003。 用户组ID：镜像运行时的用户组ID，若不填写，默认为1003。 现有委托 选择包含SWR Admin权限的委托。 说明 Command、Args、Working dir三个参数之和不能超过5120。 初次执行时需要从SWR中拉取镜像，且冷启动时需要启动容器，所以自定义镜像冷启动比较慢。后续每次冷启动，如果节点上没有镜像，都需要从SWR中拉取。 镜像需要选择为“公开”。 自定义容器镜像开放端口限定为8000。 可支持的镜像包最大为2G，当镜像包过大时可以采取一些方式缩容，比如在线题库场景中，可以把原本加载在容器中的题库数据通过外部文件系统挂载盘方式挂载到容器中。 FunctionGraph通过LTS日志采集容器输出到控制台的所有日志，可以通过标准输出或者开源日志框架重定向到控制台的方式打印业务信息。打印的内容建议包括系统时间、组件名称、代码行、关键数据等来方便定位。 oom错误时，内存占用大小可以在函数执行结果中查看。 用户函数需要返回一个合法的http响应报文。 示例： 使用容器镜像部署函数，开发HTTP函数示例，请参见开发HTTP函数示例。 使用容器镜像部署函数，开发事件函数示例，请参见开发事件函数示例。

本文主要介绍创建节点。 前提条件 已创建至少一个集群。 您需要新建一个密钥对，用于远程登录节点时的身份认证。 若使用密码登录节点，请跳过此操作。 约束与限制 为了保证节点的稳定性，CCE集群节点上会根据节点的规格预留一部分资源给Kubernetes的相关组件（kubelet、kubeproxy以及docker等）和Kubernetes系统资源，使该节点可作为您的集群的一部分。 因此，您的节点资源总量与节点在Kubernetes中的可分配资源之间会存在差异。节点的规格越大，在节点上部署的容器可能会越多，所以Kubernetes自身需预留更多的资源，详情请参见节点预留资源计算公式。 节点的网络（如虚机网络、容器网络等）均被CCE接管，不允许用户自行添加删除网卡或改变路由，若自行修改，CCE不保证服务可用。例如，节点上名为的gw11cbf51a@eth0网卡为容器网络网关，不可修改。 节点购买后如需对其进行升级或降低规格等操作，请将节点关机后进行变更，也可以重新购买节点后，将老节点删除。 创建节点过程中会使用域名方式从OBS下载软件包，需要能够使用云上内网DNS解析OBS域名，否则会导致创建不成功。为此，节点所在子网需要配置为内网DNS地址，从而使得节点使用内网DNS。在创建子网时DNS默认配置为内网DNS，如果您修改过子网的DNS，请务必 确保子网下的DNS服务器可以解析OBS服务域名 ，否则需要将DNS改成内网DNS。 集群中的节点一旦创建后不可变更可用区。 集群开启IPv4/IPv6双栈时，所选节点子网不允许开启DHCP无限租约。

操作场景 HPA或CustomedHPA策略创建完成后，可对创建的策略进行更新、克隆、编辑YAML以及删除等操作。 操作场景 您可以查看HPA策略的规则、状态和事件，参照界面中的报错提示有针对性的解决异常事件。 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击要查看的HPA策略前方的。 步骤 2 在展开的区域中，可以看到规则、状态和事件页签，若策略异常，请参照界面中的报错提示进行定位处理。 说明：您还可以在工作负载详情页中查看已创建的HPA策略，登录CCE控制台，在左侧导航栏中单击“工作负载 > 无状态负载 Deployment”，单击工作负载后方“操作”中的“更多 > 伸缩”，在该工作负载详情页的“伸缩”页签下可以看到“弹性伸缩 HPA / CustomedHPA”，您在“弹性伸缩”页面配置的HPA策略也会在这里显示。 表事件类型及名称 事件类型 事件名称 描述 正常 SuccessfulRescale 扩缩容成功 异常 InvalidTargetRange 无效的TargetRange 异常 InvalidSelector 无效选择器 异常 FailedGetObjectMetric 获取对象失败数 异常 FailedGetPodsMetric 获取Pod列表失败指标 异常 FailedGetResourceMetric 获取资源失败数 异常 FailedGetExternalMetric 获取外部指标失败 异常 InvalidMetricSourceType 无效的指标来源类型 异常 FailedConvertHPA 转换HPA失败 异常 FailedGetScale 获取比例尺失败 异常 FailedComputeMetricsReplicas 计算指标副本数失败 异常 FailedGetScaleWindow 获取ScaleWindow失败 异常 FailedRescale 扩缩容失败 查看CustomedHPA策略 您可以查看CustomedHPA策略的规则和最新状态，参照界面中的报错提示有针对性的解决异常事件。 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击要查看的CustomedHPA策略前方的。 步骤 2 在展开的区域中，可以看到规则页签，若策略异常，请单击“最新状态”栏中的“详情”，参照展开的详细信息进行定位处理。 说明：您还可以在工作负载详情页中查看已创建的CustomedHPA策略，登录CCE控制台，在左侧导航栏中单击“工作负载 > 无状态负载 Deployment”，单击工作负载后方“操作”中的“更多 > 伸缩”，在该工作负载详情页的“伸缩”页签下可以看到“弹性伸缩 HPA / CustomedHPA”，您在“弹性伸缩”页面配置的CustomedHPA策略也会在这里显示。 更新HPA或CustomedHPA策略 以HPA策略为例。 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击策略后方“操作”栏中的“更新”。 步骤 2 在打开的“更新工作负载HPA策略”页面中，更新策略参数。 步骤 3 单击“更新”完成策略更新。 克隆HPA或CustomedHPA策略 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击策略后方“操作”栏中的“克隆”。 步骤 2 在打开的“创建工作负载HPA策略”页面中，可以看到部分参数（如实例范围、冷却时间和策略规则）已经克隆过来，请按照业务需求补充或修改其他策略参数。 步骤 3 单击“创建”完成策略克隆，在“工作负载伸缩”页签下的策略列表中可以看到新克隆的策略。 编辑YAML（HPA策略） 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击HPA策略后方“操作”栏中的“更多 > 编辑YAML”。 步骤 2 在弹出的“编辑YAML”窗口中，可以对YAML进行修改和下载。 步骤 3 在右上角关闭窗口完成操作。 查看YAML（CustomedHPA策略） 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击CustomedHPA策略后方“操作”栏中的“更多 > 查看YAML”。 步骤 2 在弹出的“查看YAML”窗口中，可以对YAML进行复制和下载，不能对其修改。 步骤 3 在右上角关闭窗口完成操作。 删除HPA或CustomedHPA策略 步骤 1 登录CCE控制台，在左侧导航栏中单击“弹性伸缩”，在“工作负载伸缩”页签下，单击策略后方“操作”栏中的“更多 > 删除”。 步骤 2 在弹出的“删除HPA策略”窗口中，确认是否删除。 步骤 3 单击“是”完成删除操作。

天翼云公网NAT网关产品采用包年包月和按需计费两种方式订购，详细说明如下表所示： 包年包月： 产品规格 最大并发连接数 标准资费（元/月） ::: 小型 1万 306 中型 5万 586.5 大型 20万 1147.5 超大型 100万 2040 定制型 千万级 官网内测中，联系客户经理询价并开启白名单 按需计费： 产品规格 最大并发连接数 标准资费（元/天） ::: 小型 1万 12 中型 5万 23 大型 20万 45 超大型 100万 80 定制型 千万级 官网内测中，联系客户经理询价并开启白名单 注 ：1、中型，大型，超大型规格和按需计费仅部分资源池支持，具体支持资源池以购买页面展示为准。 2、公网NAT网关可支持千万级并发连接专属定制型实例，专属定制型实例1年起售，仅支持多可用区的资源池支持售卖，如需购买请联系客户经理。 3、一次性购买时长达到1年及以上享受资费85折优惠。 4、公网NAT网关按需计费按天计费出账，不满一天按一天计费。

操作 说明 停用域名 对域名进行停用操作后，控制台上域名状态将变更为“已停止”，且天翼云CDN会立即将加速域名的CNAME解析至不可用地址。 删除域名 对域名进行删除操作后，天翼云CDN会直接删除加速域名在CDN节点的配置，域名对应CNAME入口地址失效，此时域名请求如果仍访问至CDN节点，则会响应403。

本文介绍了企业交换机服务协议 天翼云企业交换机服务协议详情请参见这里。

天翼云企业中心财务托管协议

本节主要介绍修改/启用/停用企业项目 当您的业务发生变化时，可以对已存在的企业项目进行修改、启用、停用操作。 为了保证您的资源安全，目前暂不支持删除企业项目。如果您不再使用企业项目，您可以停用企业项目。 说明 已停用企业项目无法使用修改功能。 停用后的企业项目仍会占用企业项目配额，如果您的企业项目配额不足，建议您提交工单让后台运维人员为您提供企业项目删除功能，或提升企业项目数量配额。 企业项目停用后在云服务创建页的“企业项目”中将不可见，无法迁入资源和添加用户组，如需再次使用，请重新启用该企业项目。 默认企业项目（default）无法编辑和停用。 修改企业项目 步骤 1 企业管理员登录天翼云网门户，单击天翼云首页顶部右侧“控制台”。 步骤 2 在控制台首页顶部右侧，单击您的用户名后弹出下拉菜单，单击“企业管理”。 步骤 3 在企业项目管理页面，单击左侧功能菜单“项目管理”，进入企业项目列表页面，单击待修改企业项目右侧的“更多”，单击更多下拉菜单中的“修改”。 步骤 4 在修改企业项目信息弹出框中，输入新的“名称”和“描述”。 步骤 5 单击“确定”完成企业项目修改。 启用/停用企业项目 步骤 1 企业管理员登录天翼云网门户，单击天翼云首页顶部右侧“控制台”。 步骤 2 在控制台首页顶部右侧，单击您的用户名后弹出下拉菜单，单击“企业管理”。 步骤 3 在企业项目管理页面，单击左侧功能菜单“项目管理”，进入企业项目列表页面，单击待启用/停用企业项目右侧的“更多”，单击更多下拉菜单中的“启用”/“停用”。 步骤 4 在企业项目启用/停用确认框中，单击“是”完成企业项目启用/停用。

本文介绍签名工具的使用方法。 Header签名工具 对象存储ZOS提供Header V2签名工具。您可以在可视化界面中填入指定参数，为GET、POST、PUT、DELETE和HEAD类的请求生成签名。 使用方法 通过Header V2签名工具生成签名的步骤如下： 1. 点击进入Header V2签名工具。 2. 填写对象存储的Access Key和Secret Key。如何获取请参见获取访问密钥（AK/SK）获取对象存储AK/SK。 3. 参考下表填写各项参数。 参数 是否必选 说明 请求方法 是 请求方法包括GET、POST、PUT、DELETE和HEAD，您根据调用的API选择。 GET：获取目标资源，如查询桶策略、下载对象等。 POST：新增资源或执行特殊操作，如生成预签名URL等。 PUT：更新目标资源，如设置桶策略、上传对象等。 DELETE：删除目标资源，如删除桶、删除对象等。 HEAD：返回资源的头部信息，如获取对象的元数据等。 ContentMD5 否 请求数据的MD5值，可以为空。ContentMD5是通过MD5算法计算数据的128位摘要，并将base64编码放入头部的字符串。设置此值可用于检查信息的一致性。 ContentType 否 请求内容的类型，例如image/png，可以为空。 Date 是 请求生成的时间。点击后出现弹窗，选择日期和时间，时间为北京时间。 bucket 否 希望访问的对象存储桶的名称，可以为空。 object 否 希望访问的对象存储对象的名称，可以为空。 4. 点击“生成Header签名”。右侧会生成结果，您可以复制签名字段、签名调用函数和请求头。

避免安装不必要的包 避免安装额外的或不必要的包，可以降低镜像的复杂度，减少镜像大小以及构建时间。当需要更新包时，推荐使用aptget install y xxx来升级指定的包，避免安装不必要的依赖。aptget upgrade会自动更新所有的依赖包，导致构建过程不确定，可能产生不一致的镜像，因此应该尽量避免使用。 减少镜像层并利用缓存 Docker镜像是分层的，Dockerfile中的每个指令都会创建一个新的镜像层，镜像层将被缓存和复用。当Dockerfile的指令修改了，复制的文件变化了，或者构建镜像时指定的变量不同了，对应的镜像层缓存就会失效，且之后的镜像层缓存都会失效。 对于以下Dockerfile: plaintext FROM ubuntu ADD . /app RUN aptget update RUN aptget install y nodejs RUN cd /app && npm install CMD npm start 可以将两条aptget相关的RUN指令合并，来减少镜像层，并且防止aptget update命中缓存从而导致aptget install安装过期的依赖。同时，将aptget指令前移，防止因为每次源代码变动生成新的镜像层，从而导致aptget指令缓存失效。所以最终调整的结果为: plaintext FROM ubuntu RUN aptget update && aptget install y nodejs ADD ./app RUN cd /app && npm install CMD npm start 删除指令生成的多余文件 假设我们更新了aptget源，下载解压并安装了一些软件包，它们都保存在/var/lib/apt/lists/目录中。但是，运行应用时Docker镜像中并不需要这些文件。所以最好将它们删除，防止Docker镜像变大。示例: plaintext RUN aptget update && aptget install y nodejs && rm rf /var/lib/apt/lists/

顺序消息是分布式消息服务RocketMQ版提供的一种严格按照顺序来发布和消费的消息类型。 顺序消息分为全局顺序消息和分区顺序消息： 全局顺序消息：对于指定的一个Topic，将队列数量设置为1，这个队列内所有消息按照严格的先入先出FIFO（First In First Out）的顺序进行发布和订阅。 分区顺序消息：对于指定的一个Topic，同一个队列内的消息按照严格的FIFO顺序进行发布和订阅。生产者指定分区选择算法，保证需要按顺序消费的消息被分配到同一个队列。 全局顺序消息和分区顺序消息的区别仅为队列数量不同，代码没有区别。 收发消息前，请参考收集连接信息收集RocketMQ所需的连接信息。 准备环境 1. 在命令行输入python，检查是否已安装Python。得到如下回显，说明Python已安装。 PS C:> python Python 3.9.9 (tags/v3.9.9:ccb0e6a, Nov 15 2021, 18:08:50) [MSC v.1929 64 bit (AMD64)] on win32 Type "help", "copyright", "credits" or "license" for more information. 如果未安装Python，请使用以下命令安装： pip install rocketmqclientpython 2. 安装librocketmq库和rocketmqclientpython。 说明 建议下载rocketmqclientcpp2.2.0，获取librocketmq库。 3. 将librocketmq.so添加到系统动态库搜索路径。 1. 查找librocketmq.so的路径。 find / name librocketmq.so 2. 将librocketmq.so添加到系统动态库搜索路径。 ln s /查找到的librocketmq.so路径/librocketmq.so /usr/lib sudo ldconfig 以下示例代码中的参数说明如下，请参考收集连接信息获取参数值。 GROUP：表示消费组名称。 ENDPOINT：表示实例连接地址和端口。 TOPIC：表示Topic名称。

为什么Group的状态一直处于“删除中”？ 当前删除Group采用的是异步删除方式，一般情况下，删除一个Group大概需要耗时12分钟。 问题现象 在分布式消息服务Kafka控制台的消费组管理页面删除Group后，此Group的状态一直处于删除中。删除中 可能原因 Group中存在活跃的订阅关系。 Group上有消费线程在提交新的消费位点。 解决方案 登录分布式消息服务Kafka控制台，查看Group的订阅关系。 若查询到Group订阅了Topic或者有消费线程在提交新的消费位点，请先取消订阅关系再删除Group。 为什么消费组的消息堆积量为“0”或者未显示 查看Group的消费状态时，消费位点不等于最大位点，但Group的堆积量显示为“0”，或者未显示。 可能原因 未曾提交过消费位点，或者消费位点已过期。 提交过消费位点并且未过期，但由于部分消息数据过期被删除，导致消费位点小于或者等于最小位点。 为什么不能登录部署分布式消息服务Kafka的机器？ 分布式消息服务Kafka提供全托管免运维服务，您无需登录机器，集群的一些基础信息会通过监控告警进行透传。 修改企业项目，是否会导致Kafka重启？ 修改企业项目不会导致Kafka重启。 Kafka实例支持批量导入Topic功能么？ 支持批量创建Topic，可下载批量创建模板填写信息后导入。见操作指南批量创建Topic。 消息被消费后，没有删除，导致Kafka存储空间占满？ 当消息被消费后，Kafka默认情况下并不会立即删除它们，而是将其保留在磁盘上。这可能会导致Kafka存储空间占满的问题。

本节介绍如何吊销SSL证书。 吊销证书指将已签发的证书从CA签发机构处注销。证书吊销后将失去加密效果，浏览器不再信任该证书。 如果您不再需要某张已签发的SSL证书或某张SSL证书密钥丢失或出于其他安全因素考虑，可以在证书管理控制台申请吊销证书。 注意 已签发的证书成功吊销后，若吊销时间距签发时间未超过28个自然日，支持重新申请证书，有且仅有一次重新申请的机会。 前提条件 仅支持状态为“已签发”状态的证书吊销。 吊销域名型（DV）证书 1. 选待吊销的DV证书，在“操作”列中选择“更多 > 吊销”。 2. 弹出证书吊销弹窗，确认待吊销的证书信息。 3. 确认证书仅有一次吊销机会后，勾选确认框。 4. 确认无误后，单击“确认吊销”，完成证书吊销操作。 吊销企业型（OV）证书/增强型（EV）证书 1. 选择待吊销的OV/EV证书，选择“操作”列的“更多 > 吊销”。 2. 在弹出的窗口中确认吊销信息，确认完毕后单击“下载吊销函”。 3. 确认吊销函的内容后，填写相关信息并且上传。 注意 吊销函须确认信息无误并签字保存。 吊销函需要盖公司公章回传。 4. 确认证书仅有一次吊销机会后，勾选确认框。 5. 单击“确认吊销”，完成证书吊销操作。

本章节介绍管理对象的具体步骤。 功能说明 您可在媒体存储控制台完成对象相关的管理操作。 前提条件 登录媒体存储控制台。 已完成新建Bucket操作，具体可参考 新建Bucket 。 已完成上传对象操作，具体可参考 上传对象 。 查看对象基础信息 1. 选择对应的存储区域和当前bucket，可查看已上传的文件列表，文件列表包含文件名、文件大小、媒体类型、存储类型、更新时间和操作等内容。 2. 点击【详情】，可进入对象详情页。 3. 在对象详情页可进行下载、复制文件URL、查看自定义元数据等操作。 修改对象元数据 您可通过修改对象元数据，修改标准HTTP头或自定义元数据。更多关于元数据的介绍，可参考：对象元数据。 注意 本功能目前仅部分资源池支持，具体资源池可参考： 如您所开通的资源池暂不支持修改元数据，则会展示【查看自定义元数据】。 1. 点击对象【详情】，进入页面后，选择【修改元数据】。 2. 用户可修改对象元数据以及自定义元数据，可直接在输入框修改或点击【添加参数】新增自定义元数据。完成元数据修改后，点击【确定】完成操作。 更改对象访问权限 1. 在文件列表找到需要操作的对象，右侧操作栏，点击【设置权限】。 2. 在弹窗修改对象的访问权限，或修改其他用户对此对象的访问权限。更多关于对象权限的说明，可参考：[ACL对象ACL权限](

支持多种数据库工具 DWS 提供了以下几款自研工具，用户可以在DWS 管理控制台下载相关的工具包。 gsql工具 它是一款运行在Linux操作系统的命令行SQL客户端工具，用于连接DWS 集群中的数据库，并对数据库进行操作和维护。 Data Studio工具 它是一款运行在Windows操作系统上的图形界面SQL客户端工具，用于连接DWS 集群中的数据库、管理数据库和数据库对象，编辑、运行、调试SQL脚本，查看执行计划等。 GDS工具 它是DWS 提供的数据服务工具，通过和外表机制的配合，实现数据的高速导入导出。 GDS工具包需要安装在数据源文件所在的服务器上，数据源文件所在的服务器称为数据服务器，也称为GDS服务器。 DSC SQL语法迁移工具 DSC（Database Schema Convertor）是一款运行在Linux或Windows操作系统上的命令行工具，致力于向客户提供简单、快速、可靠的应用程序SQL脚本迁移服务，通过内置的语法迁移逻辑解析源数据库应用程序SQL脚本，并迁移为适用于DWS 数据库的应用程序SQL脚本。 DSC支持迁移Teradata、Oracle、Netezza、MySQL和DB2数据库的SQL脚本。 gsdump和gsdumpall gsdump支持导出单个数据库或其内的对象，而gsdumpall支持导出集群中所有数据库或各库的公共全局对象。 通过导入工具将导出的元数据信息导入至需要的数据库，可以完成数据库信息的迁移。 gsrestore 在数据库迁移场景下，支持使用gsrestore工具将事先使用gsdump工具导出的文件格式，重新导入DWS集群，实现表定义、数据库对象定义等元数据的导入。

本章节介绍数据库安全如何安装Agent。 安装Agent后，您才能开启数据库安全审计功能，对待审计的数据库进行审计。 本节介绍如何在Linux系统上安装Agent。 前提条件 已成功购买数据库安全审计实例，且实例的状态为“运行中”。 数据库已成功添加Agent。 已获取Linux操作系统Agent安装包。 安装Agent节点的运行系统满足Linux系统版本要求。 安装Agent 在您安装新版Agent的时候，需要您为当前安装的Agent自定义一个密码。 请您根据数据库类型以及数据库的部署环境，在相应节点上安装Agent。 1. 将下载的Agent安装包“xxx.tar.gz”上传到待安装Agent的节点（例如使用WinSCP工具）。 2. 使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录该节点。 3. 执行以下命令，进入Agent安装包“xxx.tar.gz”所在目录。cd Agent安装包所在目录 4. 执行以下命令，解压缩“xxx.tar.gz”安装包。tar xvf xxx.tar.gz 5. 执行以下命令，进入解压后的目录。cd解压后的目录 6. 执行以下命令，查看是否有安装脚本“install.sh”的执行权限。 7. 执行以下命令，安装Agent。sh install.sh。用户系统是Ubantu时，执行以下命令安装Agent。bash install.sh。界面回显以下信息，说明安装成功。否则，说明Agent安装失败。 start agent starting audit agent audit agent started start success install dbss audit agent done! 如果Agent安装失败，请您确认安装节点的运行系统是否满足Linux操作系统要求，并重新安装Agent。 8. 执行以下命令，查看Agent程序的运行状态。service auditagent status如果界面回显以下信息，说明Agent程序运行正常。audit agent is running.

本文简述URL鉴权的适用场景和配置方法。 功能介绍 为保障直播资源不被非法盗用，避免产生不必要的带宽浪费，您可以使用视频直播的URL鉴权功能，在主播推流或播放URL中加上鉴权信息。在主播请求直播推流或观众请求播放时，CDN会对其URL带的加密信息进行合法性判断，仅校验通过的请求会予以响应，其它非法的访问将予以拒绝，从而有效地保护直播资源。 适用场景 需要对站点资源限制用户访问，避免资源被恶意下载或者非法盗用。 请求的资源都具有一定的时效性，超过时效则不允许访问。 注意事项 配置URL鉴权需要客户端跟CDN配合一起开启。 如果您的鉴权URL中含有中文或特殊字符，需先进行URL转码（即Encode）后使用。 前提条件 客户提供用于计算加密串的key值。 客户与CDN计算规则、校验逻辑统一。 鉴权原理 访问URL构成示例： 1. 是否携带鉴权参数。如果没有携带鉴权参数，认为请求非法，返回HTTP 403错误。 2. 时间校验：判断系统当前时间是否在时间戳有效期内。超出有效期，认为过期失效并返回HTTP 403错误。 3. 加密串校验：时间校验通过后，比对CDN服务器计算出来的md5hash值与访问请求中带的md5hash值是否相同，结果一致则认为鉴权通过并返回直播流，否则鉴权失败返回HTTP 403响应码。 4. md5hash规则：MD5(uri&time&key)【注意："&"仅用于区分标识演示用途，实际不加入鉴权组合内】

本章节主要介绍使用须知 数据库复制服务在使用上有一些固定的限制，用来提高数据迁移的稳定性和安全性。在进行正式的数据迁移之前，请先阅读以确保各存储引擎已满足使用限制条件。 备份文件准备 请先阅读以确保您已了解备份迁移任务所需要的各项使用条件，以便帮助您顺利完成数据迁移。 表 备份文件准备 迁移场景 准备工作 OBS自建桶场景 准备一个OBS桶，如果没有，则首先需要创建，相关操作请参见《对象存储服务控制台指南》中“创建桶”章节。 OBS桶里需要存在待还原的数据库备份文件，如果没有，需将本地的备份文件上传到OBS桶，并注意备份文件名称格式的正确性。上传备份文件的方法请参见《对象存储服务控制台指南》中“上传文件”章节。 如果批量上传多个文件（单次最多支持100个文件同时上传，总大小不超过5GB），或单次上传文件大于5GB，需下载OBS Browser+客户端，安装并登录，相关操作请参见《对象存储服务客户端指南》。 说明 本地备份文件上传到OBS桶时，暂不支持KMS加密方式。 本地备份文件上传到OBS桶时，请选择“标准存储”，否则会导致备份文件迁移失败。 建议备份文件放置于同区域且独立的公共桶，混用其他公共桶可能会因为其他文件过多，而无法展示迁移备份文件。 RDS全量备份场景 用户已有的Microsoft SQL Server数据库实例存在全量备份，如果没有，请参考《关系型数据库用户指南》中的“[](

本节主要介绍错误日志 文档数据库服务的日志管理功能支持查看数据库级别的错误日志，包括数据库运行的Warning和Error级别的信息，有助于您分析系统中存在的问题。 使用须知 对于社区版实例，支持通过界面查看和导出日志明细、以及下载日志文件的功能。 目前筛选日志级别和导出日志的功能需要具有相应的权限才可操作，如需使用，请联系客服申请相应权限。 查看和导出日志明细 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上方的，选择区域和项目。 步骤 3 在页面左上角单击，选择“数据库 > 文档数据库服务 DDS”，进入文档数据库服务信息页面。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在左侧导航树，单击“错误日志”。 步骤 6 在“错误日志”页面，默认在“日志明细”页签下，查看详细信息。 对于集群实例，您可以查看mongos节点、shard节点和config节点的错误日志。 查看集群实例的错误日志 对于副本集实例，您可以查看Primary、Secondary、Hidden节点以及只读节点的错误日志信息。 查看副本集实例的错误日志 步骤 7 在“日志明细”页签下，您也可以单击日志列表右上方，导出日志明细。 导出完成后，您可以在本地查看生成的“.csv”文件。 支持单次最多导出2000条日志明细。

本节介绍了全量数据恢复：按备份文件恢复的操作场景、约束限制、操作步骤等内容。 操作场景 关系型数据库支持使用已有的自动备份和手动备份，将实例数据恢复到备份被创建时的状态。该操作恢复的为整个实例的数据。 通过备份文件恢复到实例上，会从OBS备份空间中将该备份文件下载到实例上进行全量恢复，恢复时长和实例的数据量有关，平均恢复速率为100MB/s。 功能说明 表 功能说明 类别 说明 恢复范围 恢复整个实例。 恢复后实例数据 恢复后实例数据与用于恢复的全备文件中的数据一致。 恢复到新实例会为用户重新创建一个和该备份数据相同的实例。 恢复类型 恢复到新实例 恢复到新实例各配置项 新实例的数据库引擎和数据库版本，自动与原实例相同。 存储空间大小默认和原实例相同，且必须大于或等于原实例存储空间大小。 其他参数需要重新配置。 恢复时长 恢复时长和实例的数据量有关，平均恢复速率为100MB/s。 约束限制 如果原实例创建表时的SQL语句指定了透明页压缩，恢复到实例时可能会出现磁盘空间不足导致的恢复失败。 如果实例启用了“SQL限流”功能，不同恢复场景的限制如下： − 恢复到新实例：5.7版本原有的SQL限流规则都会失效，5.6和8.0会保留原实例的限流规则。 − 恢复到当前实例：当前实例的SQL限流规则都会恢复到备份所在的时间点。 − 恢复到已有实例：5.7版本目标实例的SQL限流规则全部失效，5.6和8.0原实例的规则会覆盖目标实例规则。

参数 参数类型 说明 示例 下级对象 status Integer 状态 1开启 其他关闭 1 day Integer 检测频率 1 hour Integer 扫描时间小时，1代表每间隔day天的凌晨1点minute分开始 1 minute Integer 扫描时间分钟，0代表每间隔day天的hour点的0分开始 0 checkType String 扫描类型，多个逗号分割 1：系统弱口令:2：应用弱口令 1,2 agentGuidList Array of Strings guid列表 scopeOPTIONAL时有效 ["guid1","guid2"] scope String 生效范围 OPTIONAL自选机器 ALL所有机器 OPTIONAL

人脸识别是天翼云自研AI平台提供的产品之一，通过自主研发人脸识别算法模型，提供人脸系列API服务，包括人脸检测、人脸属性识别、人脸比对等能力。通过订购天翼云人脸识别产品，可将此服务快速高效的部署到您的应用中，为开发者和企业提供高性能的在线API服务和解决方案，针对图片进行分析，可应用于人脸识别和认证、安防考勤等各种场景。 本说明提供了人脸识别产品API的描述、语法、参数说明及示例等内容。

本文介绍CDN加速按量计费的退订流程。 按量计费退订说明 当前CDN加速支持退订按量计费，天翼云用户可根据需要，灵活退订资源。 按量计费退订步骤 CDN加速产品同时支持在天翼云官网的费用中心和CDN控制台发起按量计费的退订。 退订方式1 1. 登录天翼云官网，单击右上角的用户名，进入【费用中心】。 2. 单击【订单管理】【退订管理】。勾选要退订的按量计费资源，单击【退订】，进入退订详情页面。 3. 退订前，建议查阅【退订须知】，再次确认要退订的资源信息，确认无误后，选择退订原因并勾选【我已确认本次退订金额和相关费用】，单击【退订】完成退订操作。 退订方式2 1. 通过天翼云官网购买CDN加速产品的客户，登录CDN控制台，单击左侧导航栏的【计费详情】【CDN加速】，支持参照如下页面在CDN加速计费详情页发起CDN加速按量计费的退订。 2. 退订前，建议查阅【退订须知】，再次确认要退订的资源信息，确认无误后，选择退订原因并勾选【我已确认本次退订金额和相关费用】，单击【退订】完成退订操作。

天翼云Prometheus监控服务提供了Remote Read的标准接口，您可以通过这个接口远程访问天翼云上Prometheus的监控数据。本文以开源Prometheus访问天翼云Prometheus监控为例介绍如何使用Remote Read地址。 使用限制 Remote Read接口暂不支持HTTP/2。 前提条件 已创建Prometheus 版实例 远程读取的客户端网络已经与暴露接口打通。 操作指南 步骤一：获取用户的AccessKey和AccessKey Secret 如果您已创建Prometheus实例，且您需要使用AccessKey和AccessKey Secret进行远程读写，则需要先为获取用户的AccessKey ID和AccessKey Secret。 1. 通过实名认证的账号登录天翼云。 2. 进入天翼云账号中心。 3. 点击【安全设置】进入安全设置中心 4. 在用户AccessKey模块，可创建AKSK，或直接查看已生成的AKSK。 步骤二：获取Remote Read地址 1. 登录应用性能监控控制台，左侧菜单选择Prometheus监控，进入实例列表页面。 2. 单击目标实例名称。 3. 在设置页签上，复制Remote Read地址。 步骤三：配置开源版Prometheus 1. 安装开源Prometheus。 2. 编辑Prometheus.yml配置文件，并在文件末尾增加以下内容，将remoteread链接替换为上文步骤二中获取的地址，然后保存文件。 plaintext global: scrapeinterval: 15s evaluationinterval: 15sscrapeconfigs: jobname: 'prometheus' staticconfigs: targets: ['localhost:9090'] remoteread: 替换为您的Remote Read地址。 url: " readrecent: true 3. 重启开源版Prometheus服务。