站点监控的原理和使用的技术是什么？ 站点监控用于模拟真实用户对远端服务器的访问，从而探测远端服务器的可用性、连通性等问题。探测链路起点为公有云设定的分布式探测点，而链路终点即为用户所填写的站点地址。其中原理为：利用节点监测网络，针对不同区域，主动对应用进行体验测试，获得应用运行的各项性能指标。云监控站点监控支持的探测类型有四种，包括：ping、http、tcp、udp。 什么是数据聚合？ 数据聚合是指云监控服务在一定周期内对原始采样指标数据进行最大、最小、平均或方差值的计算，并把结果汇总的过程。这个计算周期又叫聚合周期。 聚合是一个平滑的计算过程，聚合周期越长、平滑处理越多，用户对趋势的预测越准确；聚合周期越短，聚合后的数据对告警越准确。 云监控服务的聚合周期目前最小是5分钟，同时还有20分钟、1小时、4小时，共4种聚合周期。 云监控通知发送有什么限制？ 短信每日限量 500 条（同一手机号） 邮件每日限量 50 条（同一邮箱地址） 语音每日限量 500 通（同一手机号） 语音30秒限制1通，600秒限制3通（同一手机号） 免费短信每月限量 1000 条。 付费短信每月无限制。 付费短信、语音，支持手动配置每月上限。

名称 类型 描述 path String HBlock数据目录。 totalCapacity Long 当前HBlock数据目录对应分区的总容量，单位是bytes。 usedCapacity Long 服务器上HBlock数据目录对应分区的已用容量，单位是bytes。 usedCapacityQuota Long HBlock在该数据目录的已写入量，即已用容量配额。单位是bytes。 capacityQuota Long 数据目录的容量配额。单位是bytes。 0表示禁止写入。不输出，表示没有限制。 managementStatus String 数据目录管理状态： Added：数据目录已添加至系统中。 Removing：数据目录正在移除中。 subStatus.stage String 移除数据目录所处的阶段： Reconfiguration：重置中。 CheckingData：检查数据。在该阶段，会同时显示下列字段的信息totalFD、healthyFD、warningFD、errorFD、safeData、reconstructionWaitData、availFDWaitData、singleCopyLUNData、corruptedData、具体告警信息（availFDWaitWarning、singleCopyLUNWarning或者corruptedWarning）。 Executing：执行移除数据目录 subStatus.totalFD Integer 总的故障域个数。 subStatus.healthyFD Integer 状态为Healthy的故障域个数。 subStatus.warningFD Integer 状态为Warning的故障域个数。 subStatus.errorFD Integer 状态为Error的故障域个数。 subStatus.safeData Double 安全数据百分比，单位是%。 subStatus.reconstructionWaitData Double 需要重建的数据百分比，单位是%。 subStatus.availFDWaitData Double 移除磁盘或者服务器时，数据重建需要的故障域个数不足，因此引发的无法重建的数据百分比。 subStatus.singleCopyLUNData Double 单副本数据百分比，单位是%。 subStatus.corruptedData Double 已经损坏的数据百分比，单位是%。 subStatus.availFDWaitWarning String 告警信息。 根据状态不同，显示的告警信息不同： availFDWaitWarning：移除磁盘或者服务器时，数据重建需要的故障域个数不足。 singleCopyLUNWarning：单副本卷数据所在磁盘或者服务器被移除。 corruptedWarning：故障域异常导致数据损坏。 subStatus.singleCopyLUNWarning String 告警信息。 根据状态不同，显示的告警信息不同： availFDWaitWarning：移除磁盘或者服务器时，数据重建需要的故障域个数不足。 singleCopyLUNWarning：单副本卷数据所在磁盘或者服务器被移除。 corruptedWarning：故障域异常导致数据损坏。 subStatus.corruptedWarning String 告警信息。 根据状态不同，显示的告警信息不同： availFDWaitWarning：移除磁盘或者服务器时，数据重建需要的故障域个数不足。 singleCopyLUNWarning：单副本卷数据所在磁盘或者服务器被移除。 corruptedWarning：故障域异常导致数据损坏。 healthStatus String 数据目录健康状态： Healthy：数据目录处于健康状态，可正常读写，且数据目录所在磁盘使用率未超过阈值（系统默认值为95%）。 Warning：数据目录处于警告状态，可读，但存在以下情况的任意一种：慢盘；数据目录所在磁盘使用率超过阈值（系统默认值为95%）；磁盘剩余空间不足1GiB；HBlock对这个目录停写；数据目录配额使用率超过阈值（系统默认值为95%）；数据目录配额为0。 Error：数据目录错误状态，无法访问，原因可能是：所在磁盘出现I/O错误导致无法读写，数据目录未正确挂载等。 healthDetail Array of string 数据目录健康状态详情： 如果健康状态为Healthy，此字段为空。 如果健康状态为Warning或Error，显示警告或错误的详细信息。 dsId String 数据目录对应的ds进程（仅集群版支持）。 说明 数据目录加入存储池后才会展示ds进程。

本章节主要介绍翼MapReduce的Capacity Scheduler模式下清除租户非关联队列操作。 操作场景 在Yarn Capacity Scheduler模式下，删除租户的时候，只是把租户队列的容量设置为0，并且把状态设为“STOPPED”，但是队列在Yarn的服务里面仍然残留。由于Yarn的机制，无法动态删除队列，管理员可以执行命令手动清除残留的队列。 对系统的影响 脚本运行过程中会重启controller服务，同步Yarn的配置，并重启主备ResourceManager实例。 重启controller服务时，无法登录和操作FusionInsight Manager。 重启主备ResourceManager实例后，Yarn组件以及依赖Yarn的组件会出现短暂的服务不可用告警。 前提条件 已删除某个租户，但该租户对应的队列依然存在。 操作步骤 1. 确定该租户对应的队列依然存在。 在FusionInsight Manager界面，选择“集群 > 待操作集群的名称 > 服务 > Yarn”。通过“ResourceManager(主)”链接进入ResourceManager WebUI界面。 单击左侧“Scheduler”界面，可以查看租户对应的队列依然存在，且状态为“STOPPED”，“Configured Capacity”值为0。 2. 以omm用户登录主管理节点。 3. 执行以下目录，执行“cleanQueuesAndRestartRM.sh”脚本。 cd ${BIGDATAHOME}/omserver/om/sbin ./cleanQueuesAndRestartRM.sh c 集群ID 说明 “集群ID”为需执行操作集群ID号，可在FusionInsight Manager的“集群 > 待操作集群的名称 > 集群属性”中查看。 在脚本运行过程中，需输入yes及管理员密码。 Running the script will restart Controller and restart ResourceManager. Are you sure you want to continue connecting (yes/no)?yes Please input admin password: Begin to backup queues ... ... 4. 脚本运行成功后，在FusionInsight Manager界面，选择“集群 > 待操作集群名称 > 服务 > Yarn”。通过“ResourceManager(主)”链接进入ResourceManager WebUI界面。 5. 单击左侧“Scheduler”界面，确认被删除租户的队列已经清除。

您可以通过事件规则过滤事件，将事件路由到云工作流服务。本文以自定义事件为例介绍将事件路由到云工作流的前提条件、操作步骤和结果验证。 前提条件 开通事件总线EventBridge并委托授权 创建自定义总线服务 开通云工作流并创建云工作流流程 操作步骤 1. 登录事件总线EventBridge控制台，在左侧导航栏，单击事件总线。 2. 选择目标总线，在左侧导航栏，单击事件规则，然后单击添加事件规则。 3. 在添加事件规则页面，完成以下操作。 1. 在配置基本信息配置向导，在名称文本框输入规则名称，在描述文本框输入规则的描述，然后单击下一步。 2. 在配置事件模式配置向导，选择匹配全部事件，然后单击下一步。 3. 在配置事件目标 配置向导，配置事件目标，事件目标服务类型选择云工作流，目标参数描述如下，然后单击创建。 参数说明 参数 说明 示例 流程名称 选择已创建的云工作流流程。 test1 执行名称（ExecutionName） 每次的执行名称，更多内容请参考事件内容转换。 空 执行输入信息（Input） 选择调用到服务的事件内容，更多内容请参考事件内容转换。 完整事件

本节介绍了启动节点自动伸缩的用户指南。 通过控制台启用节点自动伸缩 安装cubeclusterautoscaler 1. 登录天翼云CCE控制台。 2. 在集群列表 页面，单击目标集群名称，进入集群详情，然后在左侧导航栏，选择插件 > 插件市场。 3. 找到cubeclusterautoscaler插件，点击安装。 启用节点自动伸缩功能 1. 登录天翼云CCE控制台。 2. 在集群列表 页面，单击目标集群名称，进入集群详情，然后在左侧导航栏，选择节点 > 节点池。 3. 点击编辑 按钮，开启自动伸缩，设置伸缩组最大数量 和伸缩组最小数量。 验证配置 查看伸缩组状态与全局配置 如需修改全局配置，可点击修改按钮到如下页面配置 如需在不删除某伸缩组的情况下暂停自动扩缩容，可停用该伸缩组 使用以下命令查看Cluster Autoscaler的状态。 plaintext kubectl get pods n kubesystem l appclusterautoscaler 使用以下命令查看集群中的节点数量。同时，监控一段时间，确保节点数量根据工作负载需求自动调整。 plaintext kubectl get nodes

示例 为HBlock服务器hblock1添加数据目录/mnt/storage01。 plaintext [root@hblockserver CTYUNHBlockPlus3.10.0x64] ./stor server A p /mnt/storage01 n hblock1 capacityquota 20G Added path /mnt/storage01 on server hblock1 successfully.

本文为您介绍如何创建委托。 通过委托信任功能，您可以将自己的操作权限委托给更专业、高效的其他账号或者云服务，账号或者云服务可以根据权限代替您进行日常资源管理工作。 当前IAM支持以下3种委托方式：账号委托、服务委托、身份提供商。 操作步骤 账号委托 1. 管理员登录IAM控制台。 2. 点击左侧导航窗格的“委托”，点击委托管理页面的“创建委托”按钮。 3. 选择“账号委托”，点击“下一步”。 4. 在配置委托页面，输入委托名称、备注信息、委托的账号ID等内容点击“完成”，委托创建成功。委托的账号ID，可以由被委托方，使用天翼云账号登录IAM控制台后，在概览处获取。 服务委托 1. 管理员登录IAM控制台。 2. 点击左侧导航窗格的“委托”，点击委托管理页面的“创建委托”按钮。 3. 选择“服务委托”，点击“下一步”。 4. 在配置委托页面，输入委托名称、备注信息、选择委托服务，点击“完成”，委托创建成功。 说明 部分云服务在您首次使用控制台时，会在征得您同意后，创建服务内联委托，以执行后续自动化运维工作。

本章节主要介绍准备工作 在开始之前，您需要完成如下的准备工作。 步骤 1 创建虚拟私有云和子网。 虚拟私有云（Virtual Private Cloud，简称VPC）提供一个隔离的、用户自主配置和管理的虚拟网络环境，可以提升资源的安全性，简化用户的网络部署。 1. 登录虚拟私有云VPC控制台。 2. 单击右上角“创建虚拟私有云”。 3. 根据界面提示完成参数填写，单击“立即创建”。 步骤 2 创建密钥对。 新建一个密钥对，用于远程登录节点时的身份认证。 1. 登录弹性云服务器ECS控制台。 2. 选择左侧导航中的“密钥对”，单击右上角“创建密钥对”。 3. 输入密钥对名称后，单击“确定”。 4. 您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 说明 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 步骤 3 创建负载均衡。 弹性负载均衡将作为服务网格对外访问入口，被服务网格管理的应用流量，均从此实例进入并分发到后端服务。 1. 登录弹性负载均衡ELB控制台。 2. 单击右上角的“创建弹性负载均衡”。 3. 所属VPC、子网请选择步骤1中创建的虚拟私有云和子网，其他参数根据界面提示填写，单击“立即创建”。 步骤 4 创建集群。 1. 登录云容器引擎CCE控制台。 2. 选择左侧导航中的“资源管理 > 集群管理”，单击右上角“创建CCE集群”。 3. 在“服务选型”页面设置如下参数，其余参数均采用默认值。 集群名称：用户自行输入，此处设置为“cceasm”。 虚拟私有云、所在子网：选择步骤1中创建的虚拟私有云和子网。 4. 单击“下一步：创建节点”，配置添加节点的参数。除节点规格和登录方式外，其余参数保持默认。 节点规格：vCPUs为4核，内存为8GB。 说明 此规格为部署Bookinfo应用所需的最小资源。 如果在创建网格中创建的网格版本为1.3.0，则此处的节点规格需要选择8核16GB。为了保证sidecar的稳定性，1.3.0版本网格默认每个sidecar的CPU限制为1核，内存限制为512M，因此需要更多资源。 登录方式：选择步骤2中创建的密钥对，用于远程登录节点时的身份认证。 5. 单击“下一步：安装插件”，在“安装插件”步骤中选择要安装的插件。 “系统资源插件”为必装插件，“高级功能插件”可根据实际需求进行选择性安装。 6. 单击“下一步：配置确认”，阅读使用说明并勾选“我已知晓上述限制”，确认所设置的服务选型参数、规格等信息。 7. 确认订单无误后，单击“提交”，集群开始创建。 集群创建预计需要610分钟，您可以单击“返回集群管理”进行其他操作或单击“查看集群事件列表”后查看集群详情。

本章节主要介绍安全认证原理和认证机制。 功能 开启了 Kerberos认证的安全模式集群，进行应用开发时需要进行安全认证。 Kerberos这一名词来源于希腊神话“三个头的狗——地狱之门守护者”，后来沿用作为安全认证的概念，使用Kerberos的系统在设计上采用“客户端/服务器”结构与AES等加密技术，并且能够进行相互认证（即客户端和服务器端均可对对方进行身份认证）。可以用于防止窃听、防止replay攻击、保护数据完整性等场合，是一种应用对称密钥体制进行密钥管理的系统。 原理 Kerberos的原理架构和各模块的说明如下图所示： 原理架构 模块说明 App Client：应用客户端，通常是需要提交任务（或者作业）的应用程序。 App Server：应用服务端，通常是应用客户端需要访问的应用程序。 Key Distribution Center（KDC）：提供安全认证的服务。 Database：存储Principal数据。 Authentication Server（AS）：认证服务器，认证客户端身份，发放客户访问TGS的票据授权票据（TGT）。 Ticket Granting Server（TGS）：票据授予服务器，发放应用客户端访问应用服务端所需的服务票据（ST）。 步骤原理说明 应用客户端（App Client）可以是集群内某个服务，也可以是客户二次开发的一个应用程序，应用程序可以向应用服务提交任务或者作业。 1. ASREQ：App Client在提交任务或者作业前，需要向AS申请TGT，用于建立和TGS的安全会话。 2. ASREP：AS在收到TGT请求后，会解析其中的参数来生成对应的TGT，使用App Client指定的用户名的密钥进行加密响应消息。 3. TGSREQ：App Client收到TGT响应消息后，解析获取TGT，此时，再由App Client（通常是RPC底层）向TGS获取应用服务端的ST。 4. TGSREP：TGS在收到ST请求后，校验其中的TGT合法后，生成对应的App Server的ST，再使用App Server密钥将响应消息进行加密处理。 5. APREQ：App Client收到ST响应消息后，将ST打包到发给App Server的消息里面传输给对应的App Server。 6. APREP：App Server端收到请求后，使用App Server对应的密钥解析其中的ST，并校验成功后，本次请求合法通过。 说明 1. Kerberos认证时需要配置Kerberos认证所需要的文件参数，主要包含keytab路径，Kerberos认证的principal，Kerberos认证所需要的客户端配置krb5.conf文件。 2. 方法login()为调用的UserGroupInformation的方法执行Kerberos认证，生成TGT票据。 3. 方法doSth()调用hadoop的接口访问文件系统，此时底层RPC会自动携带TGT去Kerberos认证，生成ST票据。

此小节介绍如何修改服务器配置信息，当您需要修改防护网站的服务器信息或者需要添加服务器信息时，可参考本章节进行操作。 本章节可对以下场景提供指导： 修改服务器信息，即修改对外协议、源站协议、VPC、源站地址、源站端口。 添加服务器配置。 更新证书，关于证书更新的详细内容可参见：更新证书。 前提条件 已添加防护网站。 系统影响 修改服务器配置信息对业务无影响。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 步骤5 在目标网站所在行的“域名”列中，单击目标网站，进入网站基本信息页面。 步骤6 在“服务器信息”栏中，单击编辑按钮，如图所示。 步骤7 在“修改服务器信息”页面，根据需要修改服务器的各项配置以及已绑定的证书。 关于证书更新的详细内容可参见：更新证书。 WAF支持配置多个后端服务器，如果需要增加后端服务器，可单击“添加”，增加服务器。 步骤8 单击“确定”，完成服务器信息修改。

本小节介绍开启容器安全防护。 您可以为已购买的服务器开启容器版安全防护，开启后按照容器版所提供的能力对服务器进行安全防护。 开启容器节点防护时，您需为指定的节点（主机）分配一个配额，关闭容器安全防护或删除节点（主机）后，该配额可分配给其他的节点（主机）使用。 检测周期 企业主机安全每日凌晨进行全量检测。 若您在检测周期前开启防护，您需要等到次日凌晨检测后才能看到检测结果。 前提条件 “资产管理 > 容器管理”页面“容器节点管理”中目标服务器“Agent状态”为“在线”。 已在云容器引擎成功创建节点。 节点的“容器防护状态”为“未防护”。 操作步骤 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版）。 3、 在左侧导航树中，选择“资产管理 > 容器管理”，进入“容器节点管理”页面。 4、 根据需求可选择批量开启防护和单服务器开启防护。 单服务器开启防护 a.在“节点列表”中目标服务器的“操作”列单击“开启防护”，为需要开启防护的节点开启防护。 b.在弹窗中确认信息。 注意 开启包年/包月模式若提示配额不足，您需购买主机安全防护配额后才可以开启包年/包月的容器版防护，按需可直接开启，无需购买。 一个容器安全配额防护一个集群节点。 确认开启集群防护 c.确认选择信息无误，阅读《容器安全服务免责声明》并勾选“我已阅读《容器安全服务免责声明》”，单击确认，返回页面查看“容器防护状态”为“防护中”表示容器版安全防护已开启。 批量开启防护 a.在“节点列表”中勾选多个目标服务器前的选框，单击上方“开启防护”。 b.在弹窗中确认信息及选择计费模式。 注意 开启包年/包月模式若提示配额不足，您需购买主机安全防护配额后才可以开启包年/包月的容器版防护，按需可直接开启，无需购买。 一个容器安全配额防护一个集群节点。 c.确认选择信息无误，阅读《容器安全服务免责声明》并勾选“我已阅读《容器安全服务免责声明》”，单击确认，返回页面查看“容器防护状态”为“防护中”表示容器版安全防护已开启。

本文介绍了云防火墙（原生版）的购买类常见问题。 云防火墙（原生版）可以按天购买吗？ 不支持，目前只支持包月和包年购买。 云防火墙的流量带宽和防护IP数支持升降吗？ 支持。但在降配时，每次只支持降级一个参数，即防护互联网边界的流量峰值、防护互联网边界公网IP数若都要降配，需要分两个订单完成。 支持同时防护公网的IP不够怎么办？ 高级版可通过弹性扩展提升规格，可按照您的需要进行IP升配。

本节介绍了配置项的用户指南。 操作场景 配置项（ConfigMap ）是一种 API 对象，用来将非机密性的数据保存到键值对中。使用时， Pods 可以将其用作环境变量、命令行参数或者存储卷中的配置文件。 配置项允许您将环境配置信息和容器镜像解耦，便于应用配置的修改。 前提条件 已创建云容器引擎集群，具体操作请详见：订购集群 若已有云容器引擎集群，无需重复操作。 操作步骤 创建配置项： 方式1：通过界面创建配置项。 1、登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2、在集群列表中点击需要创建配置项的集群，进入集群管理页面。 3、在集群管理页面导航栏中选择配置管理 > 配置项，进入配置项信息页面。 4、点击新建，进入新建配置项页面。 5、根据实际需求，设置参数。参数说明可参考下表 参数 参数说明 名称 新建的配置名称，同一个命名空间里命名必须唯一。 标签 标签（Labels）是附加到 Kubernetes 对象（比如 Pod、Service、ConfigMap等）上的键值对。标签定义了这些对象的可识别属性，用来对它们进行管理和选择。 1. 点击标签添加一个标签。 2. 输入标签名（key）和标签值（value）。 注解 注解（Annotation）是附加到Kubernetes 对象（比如 Pod、Service、ConfigMap等）上的键值对注解定义对象的非标识属性。 1. 点击注解添加一个注解。 2. 输入注解名（key）和注解值（value）。 内容 配置项定义的配置数据，可以挂在到容器中使用，或用来存储配置数据 。 1. 输入变量名和变量值。 2. 也可以导入文件作为配置项（文件名即变量名，文件内容即变量值）。 6、点击提交，完成创建。 方式2：使用Yaml创建配置项。 1、登陆云容器引擎控制台， 点击左侧导航栏中的集群，进入集群列表页。 2、在集群列表中点击需要创建配置项的集群，进入集群管理页面。 3、在集群管理页面导航栏中选择配置管理 > 配置项，进入配置项信息页面。 4、点击新建YAML，进入配置项/新增Yaml页面。 5、Yaml编辑窗口提供一个默认的配置项Yaml模板，可参考模板创建需要的配置项。

短信服务支持设置每日和每月的短信发送总量预警值及限额值，达到预警值时，预设的联系人会收到系统发送的短信提醒；达到限额值，系统暂停短信发送。该功能是您根据日常情况进行的发送上限设置，设置后可避免网站被人恶意利用，导致短信量突增，产生高额费用。 注意事项 每日或每月的短信发送量及限额默认情况下无限制，在设置前，需要充分评估日常发送请求量，并设定在一个合理范围。一旦发送请求量达到设置阈值，将会停止发送短信。如果预估发送量不合理，可能会给您的业务造成影响。当发送请求达到您的设置值时，系统会给您进行短信通知，收到系统短信通知后您可以进行调整。 1. 天翼云后台系统阈值短信提醒，每日最多20次。 2. 如果已超限额，无法继续发送消息，需要手动调整限额值。 操作流程 1. 登录云通信控制台。 2. 在左侧导航栏，单击消息配置 。 3. 在发送总量阈值设置 区域，单击设置 。 4. 填写每日和每月的短信发送总量预警值及限额值，达到预警值时短信服务会向联系人发送提醒；达到限额值时停止短信发送业务。 5. 单击确认 ，完成配置。 6. 套餐包预警值。 系统自动根据套餐包使用情况发送警值提醒，当套餐包余量到达总量的30%、10%以及无余量时，系统将向用户发送短信提醒。

本文为您介绍将网站域名接入Web应用防火墙（原生版）实例时，证书配置相关的常见问题。 为什么需要导入证书？ 证书主要指HTTPS访问请求所使用的证书，通过使用HTTPS证书能够保证用户请求的安全性。 证书的主要原理是，用户请求通过第三方颁发的可信证书中的公钥对会话进行加密和签名，从而保证用户本身的信息以及用户所访问服务器的可信性，服务器端接收到用户通过公钥加密发送的请求和签名后，再通过私钥进行解密，从而验证用户本身的可信性。 WAF需要导入所防护域名的证书和私钥，从而完成对客户请求的认证，以及通过HTTPS的安全请求方式将用户的请求转发回源站。故在使用过程中，需要Web业务管理员将Web服务的证书及对应的私钥导入到WAF中，从而实现客户对Web业务的安全访问。 配置泛域名时，如何选择证书？ 域名和证书需要一一对应，泛域名只能使用泛域名证书。如果您没有泛域名证书，只有单域名对应的证书，则只能在WAF中按照单域名的方式逐条添加域名进行防护。 并且泛域名与证书必须是同级匹配，例如您的泛域名是.b.ctyun.cn，则泛域名证书必须为.b.ctyun.cn，不能是.ctyun.cn或.a.b.ctyun.cn。 如何更新已绑定域名的证书？ 1. 登录Web应用防火墙（原生版）管理控制台。 2. 在左侧导航栏选择“域名接入”，进入域名列表页。 3. 定位到需要更新证书的域名，单击操作列的“详情”，进入域名详情页。 4. 单击“协议及端口”后的“设置”，在弹出的对话框中点击“证书更新”，即可重新填写证书内容或上传新的证书文件。

本页面介绍云数据库ClickHouse的集群的可维护时间设置。 功能简介 设置可维护时间功能允许用户设置已有云数据库ClickHouse集群的可维护时间，以便天翼云运维团队合理安排运维操作。 操作步骤 1. 登录云数据库ClickHouse控制台 2. 在实例列表处点击对应实例的 "更多" 选项。 3. 在下拉列表中选 "编辑可维护时间"。 4. 选择需要设置时间，点击 "确定" 按钮。 5. 在收到编辑成功的响应后，可以在实例列表的页面中查看刚才编辑的可维护时间。

内网DNS支持更改主机DNS的操作，本文为您介绍如何更改主机DNS并使内网DNS配置生效。 为实现内网域名在 VPC 上的正常解析，用户需要将云主机内的 DNS 改成内网 DNS 服务地址。 查看内网DNS地址 1. 在内网 DNS 的列表中，可以看到如下红框内的提示。 2. 点击“查看列表”，可以看到内网DNS地址。 配置云主机DNS地址 查询的到内网DNS SERVER地址可以通过配置VPC DHCP选项集的方式修改VPC的DHCP默认DNS SERVER地址，配置选项集后，VPC内所有计算实例都可通过DHCP获取到通过DHCP选项集配置的DNS地址，如只希望特定主机使用内网DNS服务，也可通过直接修改对应云主机DNS地址的配置的方法修改单台实例的DNS地址。 修改Linux云主机内DNS地址 1. 登录Linux弹性云主机。 2. 执行以下命令，打开resolv.conf文件。 vi /etc/resolv.conf 3. 按“i”键进入编辑模式。 4. 将“nameserver”修改为当前云主机所在VPC的内网DNS IP地址，按“ESC”后输入“：wq”保存配置。

概述 JWT全称为 JSON Web Token，是一种开放标准（RFC 7519），它定义了一种在通信各方之间以JSON对象形式安全传输信息的方式。JWT可以使用HMAC、RSA、ECDSA等算法签名；在应用中，JWT可以用于用户身份认证和访问鉴权。云原生网关作为微服务的访问入口，是实现认证鉴权的理想节点，当前云原生网关支持JWT认证方式，交互流程如下： 1. JWT签发阶段，云原生网关对这类接口访问不做认证，将请求透传到业务授权服务。 2. 业务授权服务认证成功后签发JWT并返回给客户端，在后续的请求中客户端会带上JWT。 3. 云原生网关收到正常的业务请求时提取JWT并校验签名信息，校验通过则放过请求，否则返回401状态码。 JWT策略配置 云原生网关支持全局的JWT策略配置，在 安全认证 > 认证鉴权 菜单下，选择创建鉴权，鉴权类型选择JWT，填写相关参数即可创建JWT认证策略，JWT配置参数说明如下： 配置 说明 鉴权名称 唯一标识一个JWT鉴权配置，只能包含大小写字母、数字和‘’，且不能以‘’开头或者结尾。 加密算法 支持HS256、HS512、RS256。 密钥 选择HS256/ HS512算法时填写，需要指定是否base64编码，并提供密钥。 RSA密钥 选择RS256算法时填写，需要提供RSA算法公钥和私钥。 JWT Token配置 网关从请求获取JWT Token的位置，支持指定header、query和Cookie的key。 过期时间 JWT Token过期时间，默认86400秒。

本小节介绍SSL VPN的Windows安装客户端操作方法。 下载并安装Windows客户端 1. Windows电脑首次接入SSL VPN隧道时，在客户端电脑上打开浏览器，地址栏输入SSL VPN客户端接入地址 VPN云主机的公网IP，默认的端口是443，如果修改了默认端口，例如TCP443端口改为了4433端口，则接入地址是 2. 打开SSL VPN接入地址后会显示VPN客户端软件EasyConnect的下载，点击“下载”安装运行，如下图所示。 接入SSL VPN 1. 双击客户端图标。 2. 服务器地址输入vSSL的接入地址（以下截图中的IP为示例地址），然后点击右侧“连接”按钮。 3. 如下图中，输入SSL VPN客户端的用户名和密码信息，然后点击“登录”就可以接入SSL VPN隧道了。 4. 接入后，在电脑右下角就可以看到EasyConnect的图标，显示已连接的状态。右击图标点击“显示资源”可以看到自己的SSL用户可以访问到的资源权限。然后客户端电脑上输入天翼云业务服务器的内网私有IP地址访问即可。

本文介绍停用全站加速服务后，仍有一部分费用产生的原因。 问题现象 停用天翼云全站加速服务后，为什么仍有一部分费用产生？ 原因分析 造成这种情况主要有以下两个原因： 即使停用天翼云全站加速服务，若存在一些用户的LocalDNS服务器内有缓存，且缓存未过期，那么，LocalDNS还会把访问已停用的全站加速域名的请求解析到天翼云节点上，导致产生全站加速流量和请求数费用。 一些下载类软件存在LocalDNS缓存，在这部分缓存过期前，也会把访问已停用全站加速域名的请求解析到天翼云节点上，导致产生全站加速流量和请求数费用。

本文介绍SQL Server与其他服务的关系。 虚拟私有云（VPC） VPC是基于天翼云创建的自定义私有网络，为SQL Server提供一个逻辑上完全隔离的专有网络。使用VPC中的安全组、IP地址段、带宽等网络特性，可增强SQL Server服务的安全性。 弹性云主机（ECS） SQL Server配合弹性云主机一起使用，通过内网连接SQL Server可以有效地降低应用响应时间、节省公网流量费用。 弹性IP（EIP） SQL Server配合弹性IP一起使用，为您的实例提供公网访问方式。

本文主要介绍DRDS与其他服务的关系。 虚拟私有云（VPC） VPC是基于天翼云创建的自定义私有网络，为DRDS提供一个逻辑上完全隔离的专有网络。使用VPC中的安全组、IP地址段、带宽等网络特性，可增强访问 DRDS服务的安全性。 弹性云主机（ECS） 成功购买DRDS实例后，您需要通过弹性云主机连接使用DRDS实例。 关系型数据库服务（MySQL） 购买DRDS实例后，可以关联同一虚拟私有云中的MySQL实例，实现分布式数据库计算与存储。 弹性IP（EIP） 为您的实例提供公网访问方式。

本小节介绍云解析添加MX记录操作方法。 使用场景 邮件交换记录，用来指定由哪台邮件服务器负责接收给定域名网站的邮件，如果需要设置邮箱，让邮箱能收到邮件，就需要添加MX记录。 操作方法 1. 登录控制中心找到云解析产品列表，点击“解析管理”进入域名维护页面。 2. 在域名维护页面，点击要修改的域名进入记录管理页。 3. 单击页面上方的“添加记录”按钮，系统将自动生成一条空白记录。 4. 填写以下信息。 主机记录：一般是指子域名的前缀。 邮箱配置通常会使用“mail”、“@”作为主机记录。 如需实现邮箱地址是ID加上@ctyun.cn，主机记录填写@。 如需实现邮箱地址是ID加上@mail.ctyun.cn，主机记录填写mail。 记录类型：选MX记录。 线路类型：通常选择默认（默认为必填项，否则会导致部分用户无法解析）。 记录值：可以是域名也可以是IP地址，通常由邮箱注册商提供。 MX优先级：数值越低优先级越高，通常由邮箱注册商提供。 TTL：缓存时间，默认为3600秒。 5. 单击“√”完成记录添加。

本节主要介绍创建IAM用户 如果您是管理员，在云服务平台创建了多种资源，例如弹性云主机、云硬盘、物理机等，您需要将资源分配给企业中不同的员工或者应用程序使用，为了避免分享自己的帐号密码，您可以使用天翼云官网的用户管理功能，给员工或应用程序创建IAM用户。 默认情况下， 新创建的IAM用户没有任何权限 ，管理员需要为其授予权限，或将其加入用户组，并给用户组授权，用户组中的用户将获得用户组的权限。IAM用户拥有权限后，IAM用户就可以基于权限对云服务进行操作。 注意 “admin”为缺省用户组，具有所有云服务资源的操作权限。将用户加入该用户组后，用户可以操作并使用所有云服务资源，包括但不仅限于创建用户组及用户、修改用户组权限、管理资源等。 如果删除并重新创建同名用户，则需要重新授权。 操作步骤 步骤 1 管理员使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击右上角账号名，在下拉列表中单击“账号中心”。 步骤 3 账号中心左侧导航栏中，单击“统一身份认证”。 步骤 4 统一身份认证左侧导航栏中，单击“用户”。 步骤 5 在“用户”管理界面中，单击“创建用户”。 步骤 6 在创建用户界面中，输入用户名、手机号、用户组等用户信息。 用户组：在下拉菜单中选择已创建好的用户组，新用户将具备此用户组的全部权限，这一过程即给用户授权。 用户基本信息：依次输入新用户的“邮箱”、“用户名”等基本信息，并为用户设置初始登录密码。 步骤 7 单击“确定”，完成IAM用户创建，返回子用户列表，将显示新创建的IAM用户。

本章节主要介绍翼MapReduce的配置队列操作。 操作场景 根据业务需求，管理员可以在FusionInsight Manager修改指定租户的队列配置。 前提条件 已添加使用Superior调度器的租户。 操作步骤 1. 在FusionInsight Manager，单击“租户资源”。 2. 单击“动态资源计划”页签。 3. 单击“队列配置”页签。 4. “集群”参数选择待操作的集群名称，然后指定租户资源名的“操作”列，单击“修改”。 说明 l 在“租户资源管理”页签左侧租户列表，单击目标的租户，切换到“资源”页签，单击“队列配置（队列名）”后面的也能打开修改队列配置页面。 l 一个队列只能绑定一个非default资源池。 l 对于“每个YARN容器最多分配核数”、“每个YARN容器最大分配内存（MB）”、“最多运行任务数”、“每个用户最多运行任务数”和“最多挂起任务数”等参数，为便于操作，当子租户值为1时，父租户值可以设置为具体限制值；当父租户设置为具体限制值时，子租户可以设置为1。 l “每个YARN容器最多分配核数”和“每个YARN容器最大分配内存（MB）”需要同时修改为非1的值才会生效。 队列配置参数 参数名 描述 AM最多占有资源（%） 表示当前队列内所有Application Master所占的最大资源百分比。 每个YARN容器最多分配核数 表示当前队列内单个YARN容器可分配的最多核数，默认为1，表示取值范围内不限制。 每个YARN容器最大分配内存（MB） 表示当前队列内单个YARN容器可分配的最大内存，默认为1，表示取值范围内不限制。 最多运行任务数 表示当前队列最多同时可执行任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。取值范围为1～2147483647。 每个用户最多运行任务数 表示每个用户在当前队列中最多同时可执行任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。取值范围为1～2147483647。 最多挂起任务数 表示当前队列最多同时可挂起任务的数目，默认为1，表示取值范围内不限制（为空意义相同），为0表示不可挂起任务。取值范围为1～2147483647。 资源分配规则 表示单个用户任务间的资源分配规则，包括FIFO和FAIR。一个用户若在当前队列上提交了多个任务，FIFO规则代表一个任务完成后再执行其他任务，按顺序执行。FAIR规则代表各个任务同时获取到资源并平均分配资源。 默认资源标签 表示在指定资源标签（Label）的节点上执行任务。 Active状态 ACTIVE表示当前队列可接受并执行任务。 INACTIVE表示当前队列可接受但不执行任务，若提交任务，任务将处于挂起状态。 Open状态 OPEN表示当前队列处于打开状态。 CLOSED表示当前队列处于关闭状态，若提交任务，任务直接会被拒绝。 故障时是否队列迁移 集群开启单集群跨AZ高可用时，如果AZ故障后，需要当该租户正在运行的队列重新提交至其他AZ，可设置“故障时是否队列迁移”参数为“是”。 5. 单击“确定”完成配置。

本页面介绍了云数据库ClickHouse产品服务条款。 天翼云云数据库ClickHouse服务条款，详情请参见《天翼云数据库ClickHouse服务协议》。

本文将介绍如何查询已经配置好的健康检查规则。 操作场景 当用户已经为专线链路配置好健康检查规则，则可以参照本文来查询健康检查规则详情。 操作步骤 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域。 3. 单击“网络>云专线”，进入到云专线操作导航页面，在左侧导航栏中，单击“云专线>健康检查”，进入到健康检查页面。 4. 在健康检查页面，用户可以查看已经为当前用户配置的健康检查规则。

本章节主要介绍翼MapReduce的添加资源池操作。 操作场景 在集群中，管理员可从逻辑上对所有Yarn的节点进行分区，使多个NodeManager形成一个Yarn资源池。每个NodeManager只能属于一个资源池。管理员通过FusionInsight Manager添加一个自定义的资源池，并将未加入自定义资源池的主机加入此资源池，便于指定的队列利用这些计算资源。 系统中默认包含了一个名为“default”的资源池，所有未加入用户自定义资源池的NodeManager属于此资源池。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“租户资源 > 资源池”。 3. 单击“添加资源池”。 4. 设置资源池的属性。 “集群”：选择待添加资源池的集群名称。 “名称”：填写资源池的名称。长度为1~50个字符，可包含数字、字母或下划线（ ） ，且不能以下划线 （ ）开头。 “资源标签”：配置资源池的资源标签，包括数字、字母、下划线（ ）或减号（），长度为1~50个字符，且只能以数字或者字母开头。 “资源”：在界面左边可用主机列表中，勾选指定的主机，单击，将选中的主机加入已选主机列表。只支持选择本集群中的主机。资源池中的主机列表可以为空。 说明 根据业务需求，可以通过主机名称、CPU、内存、操作系统和平台类型，筛选需要选取的资源主机。 5. 单击“确定”保存。 完成资源池创建后，管理员可以在资源池的列表中查看资源池的名称、成员、类型。已加入自定义资源池的主机，不再是“default”资源池的成员。

本章节主要介绍翼MapReduce的添加资源池操作。 操作场景 在集群中，管理员可从逻辑上对所有Yarn的节点进行分区，使多个NodeManager形成一个Yarn资源池。每个NodeManager只能属于一个资源池。管理员通过FusionInsight Manager添加一个自定义的资源池，并将未加入自定义资源池的主机加入此资源池，便于指定的队列利用这些计算资源。 系统中默认包含了一个名为“default”的资源池，所有未加入用户自定义资源池的NodeManager属于此资源池。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“租户资源 > 资源池”。 3. 单击“添加资源池”。 4. 设置资源池的属性。 “集群”：选择待添加资源池的集群名称。 “名称”：填写资源池的名称。长度为1~50个字符，可包含数字、字母或下划线（），且不能以下划线（）开头。 “资源标签”：配置资源池的资源标签，包括数字、字母、下划线（）或减号（），长度为1~50个字符，且只能以数字或者字母开头。 “资源”：在界面左边可用主机列表中，勾选指定的主机，单击，将选中的主机加入已选主机列表。只支持选择本集群中的主机。资源池中的主机列表可以为空。 说明 根据业务需求，可以通过主机名称、CPU、内存、操作系统和平台类型，筛选需要选取的资源主机。 5. 单击“确定”保存。 完成资源池创建后，管理员可以在资源池的列表中查看资源池的名称、成员、类型。已加入自定义资源池的主机，不再是“default”资源池的成员。

本章节主要介绍翼MapReduce的查看主机概览操作。 总览 登录FusionInsight Manager以后，单击“主机”，在主机列表单击指定的主机名称，可以访问主机详情页面，主要包含基本信息区、磁盘状态区、角色列表区和监控图表等。 基本信息区 主机详情页面的基本信息包含该主机的各个关键信息，例如管理IP地址、业务IP地址、主机类型、机架、防火墙、CPU核数、操作系统等信息。 磁盘状态区 磁盘状态区包含了该主机所有为集群配置的磁盘分区，并显示每个磁盘分区的使用情况。 实例列表区 实例列表区显示了该主机所有安装的角色实例，并显示每个角色实例的状态，单击角色实例名称后的日志文件，可在线查看该实例对应日志文件内容。 告警和事件的历史记录 告警和事件的历史记录区显示了当前主机上报的关键告警与事件记录，系统最多可显示20条历史记录。 图表 主机详情页面的右侧展示图表区，包含该主机的各个关键监控指标报表。 用户可以单击右上角的“ > 定制”，自定义在图表区展示的监控报表。选择时间区间后，单击“ > 导出”，可以导出指定时间区间内的详细监控指标数据。 单击监控指标标题后的可以打开监控指标的解释说明。 单击主机的“图表”页签，可直接查看该主机的全量监控图表信息。

本文将介绍HTTPS访问异常如何定位问题。 网站接入Web应用防火墙（边缘云版）之后，如果出现HTTP请求访问正常但是HTTPS请求访问失败的情况，可能有以下几点原因： 未在网站接入时开启HTTPS功能 网站要支持HTTPS访问，需要在接入Web应用防火墙（边缘云版）服务时配置请求协议开启HTTPS，并上传对应的HTTPS证书。域名接入后也可以通过Web应用防火墙（边缘云版）控制台“域名列表 > 接入配置”页面开启HTTPS协议。 在Web应用防火墙（边缘云版）控制台配置的证书过期，或证书与域名不匹配 如有启用HTTPS，则检查配置证书是否过期，或证书不匹配、证书错误。如为上述情况，则替换为新证书、正确证书即可。具体操作为：在【域名管理】【域名列表】选择对应域名，进入【接入配置】，在【服务端口与协议】>【证书】中点击上传，上传新证书后，选择新证书备注名，单击【提交保存】即可。

本节介绍了开启云主机动态获取IPv6的方法。 操作场景 IPv6的使用，可以有效弥补IPv4网络地址资源有限的问题。如果当前云主机使用IPv4，那么启用IPv6后，云主机可在双栈模式下运行，即云主机可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址，这两个IP地址都可以进行内网/公网访问。 按照下文“约束与限制”中的网络环境要求创建的云主机，有些不能动态获取到IPv6地址，需要进行相关配置才行。如果云主机使用的是公共镜像，则支持情况如下： Windows公共镜像默认已开启IPv6动态获取功能，无需配置，文中的Windows操作系统部分供您验证和参考。 Linux公共镜像开启动态获取IPv6功能时，需要先判断是否支持IPv6协议栈，再判断是否已开启动态获取IPv6。目前，所有Linux公共镜像均已支持IPv6协议栈，并且Ubuntu 16操作系统已默认开启动态获取IPv6。即Ubuntu 16操作系统无需配置，其他Linux公共镜像需要执行开启动态获取IPv6的操作。 另外，本文提供了自动和手动配置的方法，分别为：Linux操作系统（自动配置启用IPv6）、Linux操作系统（手动配置启用IPv6），推荐您使用自动配置方法。 约束与限制 请确保云主机所在的子网已开启IPv6功能。 请确保创建云主机时已选择“自动分配IPv6地址”。 选择“自动分配IPv6地址” 云主机启动之后动态插拔的网卡不支持IPv6地址动态获取功能。 仅弹性云主机支持IPv6双栈，物理机不支持。 同一个网卡上，只能绑定一个IPv6地址。