本章节主要介绍翼MapReduce的创建备份任务操作。 操作场景 FusionInsight Manager支持在界面上创建备份任务，运行备份任务将对指定的数据进行备份。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“运维 > 备份恢复 > 备份管理 > 创建”。 3. 设置“备份对象”为“OMS”或需要备份数据的集群。 4. 在“任务名称”输入参数值。 5. 在“备份类型”选择任务执行属性。 备份类型说明 类型 参数 说明 周期备份 开始时间 表示周期备份任务第一次启动的时间 周期备份 周期 表示任务下次启动，与上一次运行的时间间隔，支持“小时”或“天” 周期备份 备份策略 可以选择下策略： 首次全量备份，后续增量备份 每次都全量备份 每n次进行一次全量备份 手动备份 无 需要手动运行任务才能进行备份 6. 在“备份配置”指定需要备份的数据。 支持备份元数据和业务数据。 各组件不同数据的备份任务操作请参考备份恢复管理。 7. 单击“确定”保存。 8. 在备份任务列表，可以查看刚创建的备份任务。 在指定的备份任务“操作”列，选择“更多 > 即时备份”，可以立即运行备份任务。

任务日志下载 数据库迁移工具提供“异常日志下载”和“全部日志下载”两种操作。当用户完成任务日志采集后，可点击“异常日志下载”查看迁移过程中的异常日志信息；也可以点击“全部日志下载”查看迁移过程的全部日志信息。

5.2 禁用SELinux 开启SELinux会导致天翼云物理机装机异常，需要关闭SELinux。 查看selinux是否disabled plaintext apt install y selinuxutils 查看selinux状态，返回Disabled则表示SElinux已关闭 getenforce 可使用下面命令禁用SELinux。 plaintext sed i.bak 's/SELINUX./SELINUXdisabled/g' /etc/selinux/config 重启后，可用‘sestatus v’或‘getenforce’或查看‘/etc/selinux/config’文件检查SELinux是否已禁用。 6 清理系统 6.1 删除网络配置（重要） 物理机装机时会根据实际情况生成网络配置，保留镜像中的网络配置可能会造成干扰。需要删除不必要的网络配置。具体网络配置和系统使用的网络管理方式有关，下面列举一些常见的情况。 Redhat系发行版：删除/etc/sysconfig/networkscripts/目录下除了ifcfglo外的ifcfg文件 Debian：删除/etc/network/interfaces.d/下的网络配置文件 Ubuntu：删除/etc/netplan/目录下的网络配置文件 6.2 删除machine ID（重要） machine ID标识了唯一的一台机器，在首次启动系统时一般会自动生成。需要删除镜像中的machine ID。 plaintext rm vf /var/lib/dbus/machineid truncate s 0 /etc/machineid 下面的清理项可有可无。但为了生成的镜像更小，请删除这些无用的文件。 6.3 清空软件包缓存 plaintext dnf clean all 使用dnf的发行版 yum clean all 使用yum的发行版 使用apt的发行版 aptget y autoclean aptget y clean rm rf /var/lib/apt/lists/ rm rf /var/cache/apt/archives/.deb 6.4 清理临时文件 plaintext find /tmp type f exec rm f {} ;

本文介绍如何进行批量下载。 你可通过媒体存储提供的XstorBrowser进行批量下载操作。具体可参考：下载文件或文件夹 。

参数 是否必填 参数类型 说明 示例 下级对象 regionId 是 String 资源池ID。 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx desktopOid 否 String 云电脑ID，通过指定云电脑ID和云硬盘状态以获取该云电脑可挂载的云硬盘列表 diskType 否 String 云硬盘类型（uhio超高IO;hio高IO;cio普通IO） forSysDisk 否 Boolean 是否查询属性为系统盘的云硬盘。true则返回属性为系统盘的云硬盘，false则返回属性为数据盘的云硬盘，缺省则返回属性为系统盘和数据盘的云硬盘 status 否 String 云硬盘状态（CREATING创建中;AVAILABLE可用;INUSE使用中;MOUNTING挂载中;UNMOUNTING卸载中;EXTENDING扩容中;CREATESNAPSHOTING创建快照中;REVERTING回滚中;DELETING删除中） pageNum 否 Integer 页码，至少1，默认1 pageSize 否 Integer 每页数量，最大100，默认10

本章节为您介绍如何登录密码产品实例。 在您购买云密评专区的密码服务后，会在控制台生成所选购服务的实例，下面为您介绍如何登录实例。 登录步骤 1. 登录天翼云云密评专区控制台。 2. 在界面左上角选择部署业务的资源池，进入实例界面。 3. 选择要登录的实例，单击“管理”，即可进入实例登录页面，在登录页面选择登录方式，并输入用户名和密码等验证信息进行登录。 说明 首次登录实例时，请根据界面提示修改密码，否则无法进入系统。 首次登录默认账号如下： 管理员首次登录：默认账号为购买密码产品时，自定义设置的用户名和密码，可以参见获取初始登录账号获取初始账密。 其他用户首次登录：默认账号为管理员创建用户时设置的用户名和密码，请联系管理员获取。 非首次登录，若用户忘记了密码，可以通过登录页面进行重置密码。

本节主要介绍如何在智能视图服务控制台使用录像下载功能。 在单个视频流的播放窗口下方，点击【录像下载】按钮，在弹窗中选择录像下载日期，支持拖拽选择时间区间，选中的录像下载时间区间不可超过2小时。 国标协议接入的设备支持云端录像和设备录像的切换查看，其他协议接入的设备仅支持查看云端录像。查看设备录像，需前端设备支持录像存储，切换至【设备】后点击日期即可查看。设备录像不支持录像下载。

本文介绍可以支持客户自定义的回源场景和配置方法。 功能介绍 源站配置模块支持客户自定义源站。支持IP或域名，支持配置天翼云媒体存储和天翼云对象存储作为源站；支持配置多个源站地址，多源站场景下，支持设置源站的主备优先级和权重，实现负载均衡。 回源场景 功能简介 配置入口 多层级主备及权重回源 客户有多个源站时，支持多主多备，及按不同权重回源。 客户控制台域名管理域名列表回源配置源站配置。 动态回源策略 如果您的加速域名有多个源站，可以配置合适的回源策略来实现不同的效果。动态回源策略支持择优回源、按权重回源、保持登录三种回源方式。 详见：动态回源策略 区分地区、运营商回源 支持分地区、运营商回源。 通过提交工单，由天翼云客服人工配置。 区分IPv4/IPv6协议回源 支持分IPv4/IPv6协议回源。 通过提交工单，由天翼云客服人工配置。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【回源配置】。 5. 在【源站】模块，单击【添加源站】。 6. 根据需求填写配置。 7. 单击【保存】，完成配置。 参数名 说明 源站类型 可选择IP或域名/媒体存储源站/对象存储源站。媒体存储源站和对象存储源站不可同时配置，且只能配置一个媒体存储源站/对象存储源站。 源站 即源站地址，支持IP或域名。 层级 支持主或备。 权重 即回该源站的权重值。 指定源站回源HOST 回源HOST决定了回源请求访问到源站的哪个站点。当不同源站使用不同回源HOST时，需通过“指定源站回源HOST”进行设定。 操作 可删除源站配置。

本节主要介绍添加日志转储 AOM支持将日志转储到对象存储服务（Object Storage Service，简称OBS）的OBS桶中，以便进行长期存储。如果您有更长时间的日志存储需求，可添加日志转储。 AOM提供周期性转储和一次性转储两种转储方式，供您选择使用。 周期性转储 ：将当前日志实时转储到OBS桶中，且以转储周期为粒度对1天的日志进行分割，同一时间段的日志将转储到其对应的日志文件中。例如，您需长久存储固定维度的日志，就可以选择周期性转储，操作详见添加周期性转储。 一次性转储 ：将历史日志一次性转储到OBS桶的同一个.log日志文件中。 一次性转储类似于“日志搜索”界面的导出功能，“日志搜索”界面最多可导出5000条日志，当日志数量比较多导出功能无法满足需求时，可对指定日志进行一次性转储，操作详见添加一次性转储。 添加周期性转储 下面以组件为例对其日志进行周期性转储：需实时将组件当前新产生的日志实时转储到OBS桶obsstoretest的/home/Periodical Dump目录下，且将每3个小时的日志转储到其对应的日志文件中，可参考如下操作。 步骤 1 登录AOM控制台，在左侧导航栏中选择“日志 > 日志转储”。 步骤 2 单击右上角的“添加日志转储”，参考下表设置相关参数后，单击“确认”。 添加成功后，指定资源当前新产生的日志将会实时转储到OBS桶中。 组件当前新产生的日志会实时转储到OBS桶obsstoretest的/home/Periodical Dump目录下，且每3个小时的日志转储到其对应的日志文件中。 说明 周期性转储属于近实时转储，存在分钟级转储时延，时延与日志条数和日志大小有关，具体规格如下： 5分钟内累计日志条数大于1000条或日志大小超过2MB时，实时转储。 5分钟内累计日志条数小于1000条或日志大小不足2MB时，每5分钟转储。 步骤 3 将存储在OBS中的日志文件下载到本地，以供定位问题使用。 1. 在周期性转储列表中，单击待操作的OBS桶名称，进入OBS服务的“概览”页面。 2. 在左侧导航栏中单击“对象”，在“对象”页签中，找到存储在OBS中的日志文件，例如，192.168.0.74varpaassyslogapmcountwarn.log、192.168.0.74varpaassyslogapmdebugerro.trace。 转储到OBS桶中的日志文件路径： 日志文件路径与选择的“日志类型”有关，如下表所示。 转储到OBS桶中的日志文件路径 日志类型 日志文件存储路径 :: 组件 所属桶目录 > 日志分组名称 > 集群名称 > 组件名称 > 日志采集日期（格式为YYYYMMDD） > 文件编号（格式为0X） 例如，obsstoretest > home > Periodical Dump > loggroup1 > zhqtest0112n > als0320a > 20190322> 03。 主机 所属桶目录 > 日志分组名称 > CONFIGFILE > defaultappname >日志采集日期（格式为YYYYMMDD） > 文件编号（格式为0X） 系统 所属桶目录 > 日志分组名称 > 集群名称 > 日志采集日期（格式为YYYYMMDD） > 文件编号（格式为0X） 转储到OBS桶中的日志文件名称 ：主机IPV4日志文件来源（将“/”替换为“”）日志文件名称，例如，192.168.0.74varpaassyslogapmcountwarn.log、192.168.0.74varpaassyslogapmdebugerro.trace。 3. 选中待下载的日志文件，单击右侧的“下载”，日志文件将下载到浏览器默认下载路径，如需要将日志文件保存到自定义路径下，请单击右侧的“下载为”。

本章节主要介绍翼MR Manager的主机详情页面。 进入到翼MR Manager以后，点击菜单“主机”，进入主机列表页面。 单击指定主机IP或主机名称进入到主机详情页面。如图所示： 详情页面下方依次为该主机的：主机状态、实例列表、告警历史信息。

本章节介绍如何访问服务网格CRD资源 服务网格通过K8s CRD（Custom Resource Definition）实现网格治理规则配置能力，当前服务网格的治理规则CRD全部配置在控制面所在的集群，您可以通过是要kubectl命令行工具操作控制面集群实现CRD配置。 步骤 1. 选择一台可以连接到服务网格控制面部署所在的容器集群API Server的机器，比如跟控制面集群在同VPC下的虚拟机，如果您的API Server通过公网ELB暴露了地址，您也可以通过其他可以通过公网连到控制面集群的机器访问API Server 2. 到K8s官网下载和安装kubectl命令行工具，具体根据所选择的连接API Server的客户端机器的系统以及目标集群的版本下载对应版本的kubectl 3. 登录云容器引擎控制台，选择要连接的集群，查看连接信息，可以看到对应集群的KubeConfig配置，选择公网或者私网的KubeConfig，按照提示保存到本地 4. 执行命令验证 plaintext kubectl get vs A NAMESPACE NAME GATEWAYS HOSTS AGE istiosystem istiodvs ["istiodgateway"] [""] 25d

本节介绍快照的管理方式，管理员可使用已创建的系统快照进行还原桌面操作。 操作场景 用户在使用AI云电脑过程中，管理员可以根据需要对AI云电脑进行创建系统快照、还原桌面操作（路径：桌面管理管理）。创建系统快照后，管理员也可以在“快照管理”页面里对系统快照进行查询、编辑、删除等操作。 系统默认一个AI云电脑只能创建一个快照，管理员如需对AI云电脑重新创建系统快照，请先删除原有的快照，再创建新的系统快照。 编辑快照 1. 进入“AI云电脑（政企版）”管理控制台； 2. 展开“AI云电脑管理”菜单栏，选择“快照管理”，进入快照管理页面； 3. 在需要编辑的快照所在行，点击“编辑”； 4. 进入“编辑快照”页面； 5. 编辑快照名称、快照描述等信息； 6. 点击“确定”，即完成编辑快照。 删除快照 1. 进入“AI云电脑（政企版）”管理控制台； 2. 展开“AI云电脑管理”菜单栏，选择“快照管理”，进入快照管理页面； 3. 在需要删除的快照所在行，点击“删除”； 4. 弹出“删除快照”对话框； 5. 点击“确定”，即完成删除快照。

本章节主要介绍翼MapReduce集群Hive组件使用规则。 Hive 3.1版本与Hive 1.2版本相比不兼容内容主要如下： 字段类型约束：Hive 3.1不支持String转成int。 UDF不兼容：Hive 3.1版本UDF内的Date类型改为Hive内置。 索引功能废弃。 时间函数问题：Hive 3.1版本为UTC时间，Hive 1.2版本为当地时区时间。 驱动不兼容：Hive 3.1和Hive 1.2版本的JDBC驱动不兼容。 Hive 3.1对ORC文件列名大小写，下划线敏感。 Hive 3.1版本列中不能有名为time的列。 当前，翼MR集群提供的是高稳定、高性能的3.1.2版本Hive组件能力，建议客户在开通翼MR集群后，优先考虑完成业务上Hive使用版本的升级适配。

本文将从功能简介、背景信息、前提条件、操作步骤、配置说明等方面介绍如何设置规则防护功能。 功能介绍 规则防护引擎使用基于正则的规则防护引擎和基于机器学习的 AI 防护引擎，进行 Web 漏洞和未知威胁防护。 目前防护 Web 攻击包括：SQL 注入、XSS 攻击、恶意扫描、命令注入攻击、Web 应用漏洞、WebShell 上传、不合规协议、木马后门等17类通用的 Web 攻击。 支持规则模板配置（安全基础配置—漏洞防护配置），用户可根据实际业务需要选择适合的模板，同时提供基于指定域名 URL 和规则 ID 白名单处置策略，进行误报处理。 背景信息 在控制台添加服务域名时，系统将通过4个问题确认网站的防护场景，并为您推荐默认生效的防护规则集，支持选择防护动作为告警或拦截。接入边缘云WAF业务成功后，将默认生效此防护规则集。 规则防护引擎基于各类防护场景，设定了七套防护规则集，能够满足各种网站业务防护需求，帮助网站抵御大量的Web攻击并提供漏洞防护。目前边缘云WAF安全团队总共已经维护五百多条防护规则，支持自动更新Web 0day漏洞攻击防护规则 全量防护规则集：适用于重保等级高，且允许一定程度误报的业务场景。该漏洞规则集防护包含全量规则，绝大部分规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），容易出现误报，请谨慎选择；敏感防护规则集：适用于常规网站，且允许少量误报的业务场景。该漏洞规则集防护等级较为严格，容易误报的规则处理动作为告警，其他规则处理动作为拦截（网站防护模式为拦截时则直接进行拦截），存在一定误报可能性； 宽松防护规则集：适用于常规网站，允许存在一定漏报的业务场景。该漏洞规则集防护等级较为宽松，关闭容易产生误报的规则，则可能存在一定漏报，接入后请及时关注； PHP防护规则集：适用于后台开发语言为PHP的网站业务。该漏洞规则集主要针对后台语言为PHP进行制定，关闭其他容易产生误报的规则，接入后请及时关注； JAVA防护规则集：适用于后台开发语言为JAVA的网站业务。该漏洞规则集主要针对后台语言为JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注； 非PHP和JAVA防护集：适用于后台开发语言明确非PHP和JAVA网站业务。该漏洞规则集主要针对后台语言为非PHP和JAVA进行制定，关闭其他容易产生误报的规则，接入后请及时关注； 下载类业务规则集：适用于下载类业务，即包含zip、rar、tar、gz等下载类后缀的业务网站。该漏洞规则集主要针对下载类业务进行设定规则，关闭其他容易产生误报的规则，接入后请及时关注；

本章节主要介绍翼MapReduce服务如何绑定/解绑弹性IP。 背景信息 创建的翼MapReduce集群中所有的节点都会默认被分配内网IP，外网IP需要用户自己去创建。 绑定弹性IP操作步骤 1. 登录翼MapReduce控制台，在我的集群页面，点击集群具体名称，进入集群详情页。 2. 在“节点管理”页面点击“节点组名称”列的下拉按钮，展开对应的节点信息，点击“操作”列的“更多”。 3. 点击“绑定弹性IP”，在“绑定弹性IP”的弹框中，如果您账号下没有可用的弹性公网IP，需要点击“+创建弹性公网IP”按钮跳转至新页面进行创建；如果您账号下有可用的弹性公网IP，可以通过下拉“弹性IP”的选择框选择IP后，点击“确认”进行绑定。 解绑弹性IP操作步骤 1. 登录翼MapReduce控制台，在我的集群页面，点击集群具体名称，进入集群详情页。 2. 在“节点管理”页面点击“节点组名称”列的下拉按钮，展开对应的节点信息，点击“操作”列的“更多”中的“解绑弹性IP”，并在弹窗内进行二次确认，即可完成解绑。

本节介绍了集群备份的用户指南。 执行备份 集群备份可对集群中的资源进行备份，备份粒度可是集群中所有资源，也可以加入一定筛选条件缩小备份的范围，如根据资源的命名空间及资源自身的类型来筛选。 在云容器引擎控制台菜单中按照以下路径进入界面【集群】{选定的集群}【备份】 【集群备份】，点击【创建备份】，在弹出框中配置备份任务的信息，录入信息后点击【创建】 名称 说明 名称 必填，备份任务的名称，名称限制为由小写字母开头，只允许小写字母，数字和‘’组成，且备份任务是当前集群中唯一 命名空间 非必填，选择备份资源的命名空间，可多选 资源 非必填，选择所备份资源的类型，可多选，也可以手动输入 持久卷 选择是否备份pod所使用的持久卷，备份内容中有pod资源，此项才生效。不能备份临时卷及hostPath 在备份列表中即可查看备份任务的执行状态，及备份完成后备份包的大小。 备份列表的操作列还包含以下三个操作： 还原：把当前备份包还原到当前集群中； 下载：下载当前备份任务的备份包； 删除：删除当前备份任务。 查看备份详情 在备份任务列表中，点击备份名称，进入备份详情页面。 在备份详情页面中，同样可以对当前备份任务执行还原、下载备份包和删除操作： 备份页面展示了当前备份任务的任务名称、备份时筛选的资源类型、是否包含持久卷、备份任务创建时间、备份包的大小和备份任务的状态这些这些信息。 此外如果曾经以当前备份任务的备份包执行了还原，还原记录会展示在界面下方的“相关还原记录”中。

本节主要介绍如何在智能视图服务控制台使用录像下载功能。 在单个视频流的播放窗口下方，点击【录像下载】按钮，在弹窗中选择录像下载日期，支持拖拽选择时间区间，选中的录像下载时间区间不可超过2小时。 国标协议接入的设备支持云端录像和设备录像的切换查看，其他协议接入的设备仅支持查看云端录像。查看设备录像，需前端设备支持录像存储，切换至【设备】后点击日期即可查看。设备录像不支持录像下载。

此小节介绍云堡垒机的访问控制策略。 新建访问控制策略并关联用户和资源账户 访问控制策略用于控制用户访问资源的权限。 访问控制策略支持以下功能项： 1. 支持按策略列表页策略排序区分优先级，排序越靠前优先级越高。 2. 策略基本限制和授权功能，包括使用有效期、登录时段限制、用户IP限制、文件传输权限、文件管理权限、RDP剪切板功能、运维水印显示功能等维度。同时可通过关联用户组或帐户组，批量授权访问控制权限。 约束限制 授权文件上传/下载权限，需同时开启“文件传输”和“文件管理”。 前提条件 已获取“访问控制策略”模块操作权限。 操作步骤 1. 登录云堡垒机系统。 2. 选择“策略 > 访问控制策略”，进入策略列表页面。 3. 单击“新建”，弹出策略基本属性配置窗口。 选择一个策略，单击“更多 > 插入”，亦可新建访问控制策略。配置完成后，在已创建的策略前新建一个策略。 4. 配置策略基本信息。新建访问控制策略： 访问控制策略基本信息参数说明 参数 说明 策略名称 自定义的访问控制策略名称，系统内“策略名称”不能重复。 有效期 选择策略生效时间和策略的失效时间。 文件传输 在运维过程中上传和下载文件权限。 勾选代表允许对文件上传或下载. 不勾选代表禁止对文件上传或下载。 更多选项 在运维过程中管理文件或文件夹权限，RDP剪切板和会话窗口显示水印功能。 SSH和RDP协议主机支持文件管理。 VNC协议主机不能直接文件管理，但可通过应用发布方式实现文件管理 Telnet协议主机不支持文件管理。 登录时段限制 选择登录资源的时间段权限。 IP限制 限制/允许用户“来源IP”访问资源。 选择“黑名单”，配置相应IP或IP网段，即限制该IP或IP网段用户登录资源。 选择“白名单”，配置相应IP或IP网段，即仅允许该IP或IP网段用户登录资源。 IP地址缺省状态下，即不限制用户IP登录资源。 5. 单击“下一步”，关联用户或用户组。 可同时配置关联多个用户或用户组。 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。 关联用户 6. 单击“下一步”，关联资源账户或帐户组。 可同时配置关联多个资源账户或资源账户组。 当资源账户组关联策略后，新资源账户加入到帐户组中会自动继承帐户组的策略权限。 关联资源账户 7. 单击“确定”，返回策略列表页面查看新建策略。 授权用户即可在“主机运维”或“应用运维”列表页面，查看和登录资源。 “关联用户”和“关联用户组”中用户需拥有资源运维的权限，即“角色”已配置主机运维或应用运维。否则用户登录系统后无法查看资源运维模块，不能进行运维登录操作。

Windows云主机内无法通过WinSCP连接linux云主机,通过xshell可以访问linux云主机。 前提条件 Windows云主机内已下载并安装 WinSCP 客户端（建议从官方网站获取最新版本），默认使用的端口号是22，请确保双方云主机的22端口开放，连接Linux云主机的文件协议选SFTP或SCP。 故障描述 通过Windows云主机内的WinSCP连接Linux云主机失败，报错如图1。 图1 通过winscp连接linux云主机报异常 故障排查 WinSCP是通过SFTP协议进行的主机连接，所以需要判断Linux云主机内的SSH配置文件中是否有sftp相关的配置，查看 /etc/ssh/sshdconfig中关于sftp的配置描述。 图2 检查linux云主机sshd是否开启sftp相关配置 上图2说明SFTP关联的配置文件是/usr/libexec/openssh/sftpserver，如果此文件缺失或者权限不对将会导致WinSCP连接异常，此文件默认权限是755。 解决步骤 如果是sftpserver文件缺失，可以从其他云主机拷贝一份到故障云主机的对应目录下。 如果是权限问题，通过chmod命令修改文件权限。命令如下。 chmod 755 R /usr/libexec/openssh/sftpserver

本文主要介绍JavaAgent下载地址 区域 下载地址 历史版本下载地址 广州 2.3.15sha256:fc547d5c9c62a80f079c5e67b2f999f0df2193f6f1a2e959bf5506b824ab7853

本小节介绍权限控制相关的常见问题。 客户SSL VPN接入之后，是否能够做到文档权限只能浏览不能下载？ VPN Web或者L3VPN接入无法控制应用的内容权限控制。如果客户是出于保密的需求，可以引导使用VDI的桌面云或应用虚拟化技术，所有资源都只能浏览，不能下载。 是否可以做到SSL VPN拨号之后，不允许访问互联网？ VPN专线就可以实现，EC和aWork都支持，用户拨号进入VPN之后，不允许访问本地局域网，增强安全性。 SSL VPN与CAS对接认证的场景下，用户角色授权如何实现？ CAS认证支持组映射和角色映射。（自M766R1版本开始支持）。 能否限制某个资源只能够从指定IP接入访问？ 背景：客户内网有OA和财务系统，OA类的系统在办公网，财务类的系统在生产网，平时访问财务系统都需要切换网线，比较麻烦，打算用VPN统一发布内网业务系统，但要求财务系统通过VPN也只能够在内网使用。 解决方案：维护两套账号，普通账号只能访问OA，不限制接入网络；财务账号可以访问财务系统，但限制接入IP必须是内网。

本文为您介绍半托管迁移模式的使用场景和流程。 什么是半托管模式 对象存储迁移服务（ZMS，全称ZOS Migration Service）支持用户在本地设备上部署代理软件（zmsagent） ，来执行迁移任务。半托管模式具有如下特点和优势： 靠近源端部署 ：可部署在靠近源端的环境中，代理程序通过从源端内网下载数据，通过公网传输至ZOS目的端，减少源端对象存储数据流出费用。 可选分布式部署 ：采用主从架构，可部署多设备，提供分布式迁移能力。 多任务并行迁移 ：支持多个迁移任务同时执行。 控制台管控 ：支持通过天翼云官网迁移服务控制台对迁移任务进行控制。 功能丰富 ：兼容全托管模式迁移的所有功能，包括断点续传。 半托管模式的使用场景 靠近源端迁移 ：通过将代理软件和机器部署在源端内网中，实现从源端内网下载对象，节省对象流出费用。 迁移资源独享 ：相较于全托管模式的资源共享，半托管模式可高效利用部署代理的设备的网络与计算资源，实现资源独享，帮助用户快速进行对象存储数据迁移。 半托管模式的使用流程 使用半托管模式进行迁移需要您在对象存储迁移控制台和您的部署设备上分别进行操作，您可按照如下流程进行操作： 1. 创建代理：在控制台上创建代理。 2. 部署代理：在您的设备上部署代理。 3. 管理代理：在控制台上管理已部署的代理。 4. 创建半托管模式的迁移任务：在控制台上进行半托管模式迁移任务的创建与管理。

本章节主要介绍翼MR Manager的告警历史特性。 进入到翼MR Manager以后，点击菜单“监控与告警 > 告警历史”，进入告警历史页面。如图所示： 页面上方为查询区域，各种查询条件进行组合查询。 支持查询集群服务级、角色实例级、主机级的告警信息。

介绍下载对象步骤。 功能说明 媒体存储控制台提供下载对象操作，用户可通过控制台便捷地完成操作。 前提条件 已完成创建存储桶操作，具体可参考： 创建存储桶 。 已在存储桶上传对象，具体可参考：上传对象。 操作步骤 1. 选择对应的存储区域和当前Bucket，找到需要下载的文件，点击【详情】按钮，进入对象详情页。 2. 在弹框中可以看到对象的访问URL，可以【复制文件URL】后进行访问，也可以直接通过【下载】下载对象。 相关文档 更多关于对象以及对象操作介绍，可参考：对象。

本章节主要介绍下载集群日志。 操作场景 本章节指导用户获取集群的日志。集群的日志可用于查看作业运行记录，定位作业失败原因等。 前提条件 已创建CDM集群。 操作步骤 1.登录CDM管理控制台。单击左侧导航上的“集群管理”，进入集群管理界面。集群列表详见下图 说明 “创建来源”列仅通过DataArts Studio服务进入数据集成界面可以看到。 2.选择集群操作列中的“更多 > 下载日志”，选择下载日志类型。下载日志类型详见下图 3.确认后，即可下载日志到本地。

Flume安装 Apache Flume官网下载地址： 下载apacheflume1.9.0bin.tar.gz。 解压安装tar zxvf apacheflume1.9.0bin.tar.gz 设置环境变量： 　　vi ~/.bashprofile 　　export FLUMEHOME /usr/local/apacheflume1.9.0bin 　　export PATH FLUMEHOME/bin:PATH 　　source ~/.bashprofile 修改Flume配置文件（$ FLUMEHOME/conf）： 按照模板复制出env.sh配置文件：cp flumeenv.sh.template flumeenv.sh 修改配置文件：vi flumeenv.sh，设置JAVAHOME： export JAVAHOME /usr/local/java/jdk1.8.0311 验证Flume安装是否成功： 至此，已完成Flume的安装与验证。 获取Kafka实例信息 1.登录天翼云Kafka专享版实例控制台。 2.在Kafka专享版页面，选择对应的实例，单击实例“名称”，进入实例基本信息页面。 3.在实例的基本信息页面的连接地址模块，可获取实例的IP地址与端口。 4.选择对应的Topic，如需创建Topic，请参考创建Topic。 配置Flume与Kafka互联 在$FLUMEHOME/conf下添加连接Kafka的配置文件：flumetokafka.conf，如下： 启动Flume并测试连接情况 启动Flume： bin/flumeng agent conf conf conffile conf/flumetokafka.conf name flumekafka Dflume.root.loggerINFO,console >./data.log 2>&1 &

步骤 操作内容 操作指引 1 登录 2 设置企业标识。首次订购使用AOne会议或订单已销毁后重新订购，需要先设置企业标识。企业标识为登录客户端的重要标识，建议使用企业名称等方便企业办公终端用户记忆的信息作为企业认证标识，暂不允许控制台修改，若有需要可提交工单进行配置。 3 添加用户和组织。为确保企业登录AOne会议客户端人员身份合法性，以及提升企业办公安全性，企业员工在登录AOne会议客户端时需要进行身份认证。因此需要先创建用户与组织信息，在该列表的用户才可登录使用AOne会议。 4 提交工单完成会议配置。完成用户组织添加后，请提交工单联系我们的技术团队，以完成会议配置的下发。 —— 5 设置高级账号和云录制空间配额。步骤3中新增的用户默认为免费账号，仅可加入会议，不支持发起会议。若用户需要发起会议，请在资源管理模块为其分配高级账号与云录制空间配额。若高级账号用户的云空间配额为0，则其发起的会议将无法使用云录制功能。 6 登录使用AOne会议。在导入列表中的用户，属于企业用户，可直接下载AOne会议客户端并登录使用。没有在导入列表中的用户如果需要加入会议，则需要自行注册个人用户账号后再登录。

本节介绍iVPN app产品简介。 功能介绍 iVPN app产品与AI云电脑客户端集成，提供一键加密接入AI云电脑的能力，适合小微用户入云、居家办公、移动办公等场景，支持Windows和Linux系统，可用于瘦终端、PC等。 使用限制 适用于Windows2.4和Linux2.5及以上版本AI云电脑客户端（暂不支持Windows32位）。 iVPN app入云场景说明 客户办公区AI云电脑客户端通过iVPN app实例实现加密接入资源池A VPC下的AI云电脑。 iVPN app开通使用步骤 （1）创建iVPN app实例 （2）设置iVPN app实例带宽 （3）AI云电脑客户端通过iVPN app接入AI云电脑 详细步骤请参考下面对应的小节。

为了保证弹性云主机实例的正常运行,本文为您介绍使用弹性云主机的使用须知,请您务必仔细阅读后使用。 弹性云主机使用须知 违法行为：禁止使用弹性云主机从事任何违法活动，包括但不限于网络攻击、黑客行为、非法数据获取、侵犯他人隐私、网络钓鱼、传播恶意软件等。 网络攻击：禁止使用弹性云主机进行任何形式的网络攻击，如分布式拒绝服务攻击（DDoS）、端口扫描、入侵他人系统等。 未授权访问：禁止使用弹性云主机未经授权地访问、入侵或侵犯他人的系统、网络或数据。 虚假行为：禁止使用弹性云主机从事虚假活动，如冒充他人身份、伪造数据、欺骗或误导他人。 资源滥用：禁止滥用弹性云主机资源，包括但不限于恶意占用计算资源、滥发垃圾邮件、进行大规模的非法广告活动等。 侵犯知识产权：禁止使用弹性云主机侵犯他人的知识产权，包括但不限于非法下载、分享、传播受版权保护的内容。 非法内容：禁止使用弹性云主机存储、传输或发布任何非法、淫秽、暴力、仇恨言论或其他违反道德准则的内容。 破坏性操作：禁止使用弹性云主机进行破坏性操作，如破坏网络、服务器、数据库或其他计算设备的正常运行。 违反云服务提供商政策：禁止违反所选择云服务提供商的使用政策、服务条款和合同约定。

工作原理 天翼云资源池，针对四层的TCP请求（TCP监听器），可以通过下述两种方式获取客户端源IP： 1. 在后端主机内配置TOA插件获取客户端的真实源IP地址。TOA是操作系统的内核模块，需要在ELB后端主机中安装TOA插件，以实现后端主机可获取客户端真实源IP地址的目的。具体操作参考——操作步骤（TOA模式）。 2. 在后端主机组上打开“获取客户端真实源IP”（该功能不支持平滑开启，切换到ProxyProtocol需要业务停服升级，请谨慎配置）开关，并在后端主机里开启Proxy Protocol后获取到客户端真实源IP。具体操作参考——操作步骤（Proxy Protocol模式）。该功能具体支持情况请以控制台显示为准。 说明 “获取客户端真实源IP”需要代理服务器和后端主机都支持该协议才能正常使用。如果后端主机不具备解析Proxy Protocol协议能力，打开特性开关可能会导致后端服务解析异常，从而影响服务可用性。 对于操作步骤（Proxy Protocol模式）实际支持情况以控制台展现为准。 操作步骤 TOA模式 1. 准备编译环境 a. 针对Linux内核版本为3.0以上的操作系统。以Centos环境为例。 b. 安装gcc编译器，执行以下命令： sudo yum install gcc c. 安装make工具，执行以下命令： sudo yum install make d. 安装内核模块开发包，执行以下命令： sudo yum install kerneldeveluname r e. 注意开发包的版本需要与内核版本一致，假如自带源里没有对应的内核开发包，可以到以下链接地址进行下载，地址如下： 以3.10.01160.80.1.0.1.el7.x8664为例，下载后执行以下命令安装： rpm ivh kerneldevel3.10.01160.80.1.0.1.el7.x8664.rpm f. 以下步骤是以Ubuntu、Debian环境为例，进行编译环境准备。 g. 安装gcc编译器，执行以下命令： sudo aptget install gcc h. 安装make工具，执行以下命令： sudo aptget install make i. 安装内核模块开发包，执行以下命令： sudo aptget install linuxheadersuname r 2. 编译内核模块 a. 下载TOA内核模块源代码，点击进入常见TOA下载页面 （获取验证码：t7nv）进行下载。 b. 编译模块。执行以下命令： cd src make c. 编译过程若未提示warning或者error，说明编译成功，检查当前目录下是否已经生成toa.ko文件。 3. 加载内核模块 a. 加载内核模块，执行以下命令： sudo insmod toa.ko b. 验证模块加载情况及内核输出信息，执行以下命令： dmesg grep TOA 假如提示信息中包含“TOA: toa loaded”，则证明内核模块已经加载成功。 说明 当CoreOS在容器中编译完内核模块后，需要将内核模块复制到宿主系统，最后在宿主系统中加载内核模块。另外由于编译内核模块的容器和宿主系统共享/lib/modules目录，可以在容器中将内核模块复制到该目录下，以供宿主系统使用 4. 自动加载内核模块 a. 把加载TOA内核模块的命令加到您的启动脚本中，能够保证TOA内核模块在系统启动时生效。 b. 在自定义的启动脚本中添加加载TOA内核模块的命令。具体步骤可参考以下操作： c. 在“/etc/sysconfig/modules/”目录下新建toa.modules文件。该文件包含了TOA内核模块的加载脚本。toa.modules文件内容，请参考如下示例：

本章介绍态势感知的日志管理能力。 通过授权对象存储服务（Object Storage Service，OBS）存储态势感知日志，帮助用户轻松应对安全日志存储、导出场景，以及满足日志存储180天及集中审计的要求。 背景信息 日志管理通过授权OBS存储SA日志，可实现日志存储、导出场景。日志存储后，支持长久存储和本地下载日志数据。 前提条件 已购买专业版态势感知，且在有效使用期内。 创建日志存储至OBS桶 为满足安全审计日志存储180天要求，可将日志存储至OBS桶。OBS支持长久存储日志数据，并支持在OBS控制台下载日志文件。 1. 登录管理控制台。 2. 在页面左上角单击，选择“安全 > 态势感知（专业版） > 日志管理”，进入日志管理页面。 3. 在“存储至OBS桶”栏中，单击，开启存储。 4. 配置存储日志相关参数，具体参数说明如下表所示。 参数名称 参数说明 桶名称 选择已创建的OBS桶。 如果没有可选择的OBS桶，单击“您没有可用的OBS桶，请前往创建”，进入对象存储服务管理控制台，创建OBS桶。 说明 目前仅支持选择当前帐号所在的区域中已有的OBS桶。 目前仅支持存储类别为“标准存储”和“低频访问存储”的OBS桶。 对象名称 自定义对象名称。 存储路径 根据桶名称和对象名称生成的存储路径。 5. 单击“确定”，完成配置。 配置成功后，日志将在大约10分钟后存储至OBS桶。

内网出访流量 紫色路径：业务ECS→GWLBE→云防火墙→NAT 网关→互联网。 策略配置原则：“按需放行，禁止无关出访”； 允许策略：仅开放业务必要的出访地址/ 端口（如允许 ECS 访问 OSS 的域名、访问第三方 API 的固定IP）； 拒绝策略：禁止访问高危IP 网段（如已知恶意 IP 库）、禁止 P2P 下载、视频网站等非业务流量。 带宽管控：通过NAT 网关配置带宽上限（如 100Mbps），避免单业务占用过多带宽影响其他服务。 VPC 间互访流量 黄色路径：vpc1/vpc2→云企业路由器→GWLBE→云防火墙→云企业路由器→目标 VPC。 策略配置原则：“按业务关联度放行”； 允许策略：仅开放跨VPC 业务依赖的端口； 拒绝策略：禁止无业务关联的VPC 互访。 VPC 与云专线互访流量 绿色路径：业务 VPC→云企业路由器→GWLBE→云防火墙→云企业路由器→云专线网关→线下网络。 策略配置原则：“双向管控，匹配线下安全策略”； 入访（线下→VPC）：仅允许线下办公网段访问 VPC 的业务端口（如线下财务网段访问 VPC 的 ERP系统端口）； 出访（VPC→线下）：仅允许VPC的业务子网访问线下数据库、文件服务器的必要端口。 加密传输：若传输敏感数据（如用户信息），可在云专线基础上开启IPsec VPN加密，避免数据泄露。