Effect Effect元素是必需具备的元素，用于指定声明所产生的结果是“允许”还是“显式拒绝”。Effect的有效值为Allow和Deny。在默认情况下，将拒绝访问资源。如要允许访问资源，必须将Effect元素设置为Allow。 Action Action元素描述将允许或拒绝的指定操作。每个服务有对应的任务操作，用户可以使用相应服务来执行所描述的任务。目前提供的服务有：oos（对象存储）、cloudtrail（操作跟踪）、statistics（统计）和iam（访问控制）。具体每种服务包括的操作详见操作权限与API对应关系 。 Action元素的语法结构为："Action": "服务:具体操作"。其中具体操作也可以用通配符（）表示某类操作。 示例1 ：OOS：获取文件（Object）操作。 "Action": "oos:GetObject" 示例2 ：IAM：创建IAM用户。 "Action": "iam:CreateUser" 示例3 ：使用通配符（）表示执行OOS的所有服务。 "Action": "oos:" 示例4 ：使用通配符（）表示执行IAM服务中包含AccessKey的操作。 "Action": "iam:AccessKey" NotAction NotAction元素描述与指定操作列表之外的所有内容显式匹配。使用NotAction时只列出不应匹配的一些操作。使用NotAction时： 如果使用Allow效果，则允许未列出的所有适用操作或服务。 如果使用Deny效果，则拒绝此类未列出的操作或服务。如果想允许某个已列出的操作，则必须显式允许此操作。 示例1 ：除删除存储桶操作外，允许用户执行OOS其他所有操作。 { "Version": "20121017", "Statement": [ { "Effect": "Allow", "NotAction": "oos:DeleteBucket", "Resource": "arn:ctyun:oos::10rc2arpn6306:", } ] } 示例2 ：允许用户执行除IAM服务外的所有操作。 { "Version": "20121017", "Statement": [ { "Effect": "Allow", "NotAction": "iam:", "Resource": "", } ] } 示例3 ：拒绝除oos、cloudtrail和statistics之外的服务。但并不是允许oos、cloudtrail和statistics服务的操作，如果允许oos、cloudtrail和statistics中的某个操作，需要再写新的策略进行显式允许。 { "Version": "20121017", "Statement": [ { "Effect": "Deny", "NotAction": [ "oos:", "cloudtrail:", "statistics:", ], "Resource": "", } ] }

常见问题规避 1. IP地址冲突：规划阶段严格校验各VPC CIDR范围，禁止重叠。 2. 路由环路：避免在多个对等连接互通的情况下，在VPC的路由表中配置重复目的地址路由条目。 3. 安全组过度开放：禁止配置 0.0.0.0/0 允许所有端口，按需细化规则。 通过以上设计，可在天翼云单地域多VPC环境下实现 安全隔离、灵活互通、成本可控 的云网络架构，适用于中大型企业多业务线协同或复杂业务分层场景。

本章节主要介绍翼MapReduce服务隔离主机。 操作场景 用户发现某个主机出现异常或故障，无法提供服务或影响集群整体性能时，可以临时将主机从集群可用节点排除，使客户端访问其他可用的正常节点。在为集群安装补丁的场景中，也支持排除指定节点不安装补丁。 该任务指导用户在MRS Manager上根据实际业务或运维规划手工将主机隔离。隔离主机仅支持隔离非管理节点。 对系统的影响 主机隔离后该主机上的所有角色实例将被停止，且不能对主机及主机上的所有实例进行启动、停止和配置等操作。 主机隔离后无法统计并显示该主机硬件和主机上实例的监控状态及指标数据。 操作步骤 在MRS Manager单击“主机管理”。 1. 勾选待隔离主机前的复选框。 2. 选择“更多 > 隔离主机”。 3. 在“隔离主机”，单击“确定”。 界面提示“操作成功。”，单击“完成”，主机成功隔离，“操作状态”显示为“已隔离”。 说明 已隔离的主机，可以取消隔离重新加入集群，请参见

使用VPC终端节点服务之前,您需要注册天翼云帐号,本文带您了解使用VPC终端节点前需要做的准备事项。 步骤一：注册天翼云帐号 如果您已有一个天翼云帐号，请跳到下一个步骤。如果您还没有天翼云帐号，请参考“注册天翼云账号”进行注册。 说明 一个手机号最多可注册5个天翼云账号，超出则不再支持注册新的天翼云账号。 注册邮箱用于登录、天翼云信息接收，请确保邮箱的准确性。 步骤二：实名认证 完成注册后登录并进行实名认证。具体操作请参考实名认证。 步骤三：帐号充值 VPC终端节点为客户提供按量计费模式。如果您采用按量计费使用VPC终端节点服务，需满足账户余额超过100元要求，在登录账号后，您可以点击页面右上角的“管理中心”，然后点击“充值”按钮为您的账号充值，具体充值说明可参考账户充值。 说明 账号余额不足100元或不支持按量付费功能。 天翼云支持在线或转账汇款的方式进行充值。 建议采用在线支付方式充值。 使用专属汇款账号进行汇款，汇款至专属汇款账号，系统会自动匹配您的天翼云账户，预计24小时内充值到您的账户余额。

本实践将为您介绍如何利用弹性伸缩创建低成本的业务集群来应对不规律的业务流量波动。 场景描述 用户业务的访问量或流量波动明显，在业务高峰期业务流量较大，其他时段业务流量较低。非高峰期的计算资源处于闲置状态，导致成本浪费，此类波动通常是无规律的，例如社交平台或者新闻媒体因为某个爆点新闻导致的突发流量。 解决方案 可以使用弹性伸缩创建低成本业务集群，根据业务流量自动扩缩容业务集群内的计算资源，减少成本浪费。方案详解如下： 针对日常业务流量，购买包年包月云主机实例，并将其加入弹性伸缩组做日常监控。 为伸缩组创建告警策略来应对突发的流量变化（突增或突减）。 前提条件 在做本实践之前，请确保您已经注册了天翼云账号，并确保您的账户中有充足的余额，具体步骤请参见准备工作。 操作步骤 为保证云主机实例提供稳定的计算服务，计划通过弹性伸缩自动调节伸缩组内云主机数量，将伸缩组内云主机CPU利用率维持在50%左右。具体操作步骤如下： 步骤一：创建包年包月弹性云主机实例 步骤二：创建伸缩组并添加云主机实例 步骤三：根据业务需求创建伸缩策略（告警策略）

本节介绍了删除私有镜像的流程。 1、登录天翼云控制中心; 2、在云主机控制台，单击【镜像服务】； 3、在镜像服务列表，选择私有镜像页签，在操作列点击【更多 > 删除】 4、确定要删除的镜像服务信息，点击是，完成删除镜像。

本文将为您介绍财务管理使用的常见问题。 企业财务管理功能面向的客户范围 企业中心财务管理功能当前主要面向天翼云云公司、云省分线上/线下渠道客户，省公司线下渠道客户若想使用企业财务管理功能，需联系客户经理申请。 企业子账号与主账号的财务模式是否可转换？ 系统暂不支持直接财务独立转财务托管，或财务托管转财务独立。 是否支持邀请已有的天翼云账号成为财务托管子账号？ 暂不支持。

本页介绍天翼云TeleDB数据库节点扩容。 操作场景 随着业务的增长，数据库在运行性能及存储上逐渐会达到瓶颈。此时，需要通过增加节点来提升集群的性能及存储能力。该任务用于指导对协调节点（CN）和数据节点（DN）进行扩容。协调节点和数据节点都是按组添加。每组数量与创建实例时选择的实例系列相关联。机器规格和原实例规格保持一致。用户可自定义新增节点所在服务器。 注意事项 主备节点所在服务器不能为同一台服务器。 增加节点前请检查所有表都已设置主键或设置表级别参数REPLICA IDENTITY为FULL，否则数据无法完成迁移导致新增节点失败。 扩容数据节点后请手动使用数据重平衡功能。 操作步骤 1. 以用户名和密码登录TeleDBDCP数据库管理平台。 2. 在左侧导航树中，选择实例管理 > 实例列表 ，右侧页面可查看实例列表。 3. 在实例列表页面，单击目标实例所在行的更多 > 扩容 ，出现节点扩容对话框。 4. 进入节点扩容 对话框，根据以下内容填写基本信息，单击确定完成扩容。 扩容节点类型：可根据实际情况填写协调节点或数据节点。 节点名称：默认不可更改。 VIP：可选参数，可根据实际需求选择vip。 说明 只有协调节点才支持配置该参数。 安装端口:必选参数，可根据实际需求填写，确保端口未被占用。 内部端口：必选参数，可根据实际需求填写，确保端口未被占用。 节点组信息：如果期望新加的节点归属于已存在的节点组，则该参数必填。 说明 只有扩容数据节点才支持配置该参数。 主节点节点信息：可选参数，可根据实际需求选择主节点ip。 备节点节点信息：可选参数，可根据实际需求选择备节点ip。 5. 弹出提示 对话框。可单击立即前往 ，在任务管理页面查看执行详情。

此小节介绍云堡垒机数据库审计。 审计对象为授权的资产数据角色在本地初始化访问方式产生的数据库会话，支持查看sql指令，会话详情。 操作步骤 1.管理员登录并切换至“审计角色”，在左侧导航栏选择“会话日志 > 数据库审计”。 2.可直接查看数据库审计的相关内容。

虚拟IP的使用限制 当云主机具有多个网卡，并且这些网卡都归属一个子网时，不推荐使用虚拟IP功能。如果在该场景下使用虚拟IP功能，弹性云主机内部会存在路由冲突，导致虚拟IP通信异常。 虚拟IP是从VPC子网内划分的一个内网地址，因此仅支持将虚拟IP绑定至当前子网内的云主机，不支持跨子网绑定云主机。 使用IPv6地址的虚拟IP仅支持绑定一个网卡。 虚拟IP及扩展弹性网卡不支持直接访问天翼云内网云服务，如内网DNS等。 虚拟IP与弹性IP绑定将受弹性IP相关配额限制，具体可参看弹性IP服务约束与限制内容。 说明 将虚拟IP绑定至ECS时，会将虚拟IP同时关联至ECS的安全组。一个虚拟IP最多可同时关联至10个安全组。 对等连接的使用限制 对等连接仅可以连通同节点内的VPC，不同节点的VPC之间不能创建对等连接。 配置对等连接时，当您的本端VPC和对端VPC存在网段重叠的情况时，那么您的对等连接可能会不生效。 VPCA和VPCB之间创建对等连接，默认情况下，VPCB不能通过VPCA的EIP访问公网。您可以使用NAT网关服务或配置SNAT服务器，使得VPCB下的弹性云主机可以通过VPCA下绑定了EIP的弹性云主机访问Internet。 对等连接支持同区域下云平台的VPC与专属云（DeC）下的VPC互通。跨租户申请对等连接时，为了安全，需要从DeC端发起申请，无法从云平台的VPC发起。 对等连接支持同区域、同租户的专属云（DeC）下的VPC互通。 对等连接申请时，如果对端VPC属于某个专属云（DeC），无法跨租户申请此对等连接。

日志流（LogStream）是日志读写的基本单位，日志组中可以创建日志流，将不同类型的日志分类存储，方便对日志进一步分类管理。例如，您可以将不同的日志（操作日志、访问日志等）写入不同的日志流，查询日志时可以进入对应的日志流快速查看日志。 1个日志组中最多可以创建100个日志流，不支持扩大配额。如果您的配额已满，无法创建日志流，建议删除不再需要使用的日志流后重试，或者在新的日志组中创建日志流。 前提条件 已创建日志组。 创建日志流 日志流的创建类型分为用户创建（主动）和云服务创建（被动），云服务创建指其他云服务与云日志服务进行系统对接后，系统自动在云日志服务控制台创建的日志流，本操作中日志流的创建类型为用户创建（主动）。 1. 在云日志服务管理控制台，单击日志组名称对应的 按钮。 2. 单击展开页面左上角的“创建日志流”，输入日志流名称，名称需要满足如下要求： 只支持输入英文、数字、中文、中划线、下划线及小数点。 不能以小数点、下划线开头或以小数点结尾。 长度为164个字符。 创建日志流 3. 单击“确定”，完成日志流的创建。 在日志流列表中，可以查看日志流的名称、创建时间和创建类型。 创建完成的日志流

迁移日志中提示 [ERROR]xxx Permission denied是什么原因？ 通常是由于当前用户缺少执行该文件或文件夹的权限而导致的： 文件或文件夹的权限不够。 当前用户不是文件或文件夹的所有者。 文件或文件夹不存在。 如何重启Agent？ 迁移源显示离线，表明CMSAgent未有效在迁移源运行。 您需先修复迁移源状态为在线后，再新建迁移任务，修复方法如下： Linux系统中： 1. 查看服务进程：ps ef grep moveCloud 或 movecloud status。 2. 重启进程服务：movecloud restart。 Windows系统中： 1. 查看服务进程：任务管理器中查看movecloudManage进程。 2. 重启进程服务：moveCloud。 迁移日志中提示 [ERROR]No space left on device该如何解决? 问题描述 用户正常启动CMS进行迁移后，日志提示： ERROR：No space left on device 问题分析 迁移源端本身存储不合理存在空间不足情况造成报错； 迁移过程中会存在一定空间占用，windows建议预留总据量10%空间； linux注意源机使用率即可，无需特意预留。 解决方案 1. 登录迁移源端云主机，在迁移源端检查存储空间使用情况。 2. 如果可用存储空间剩余不多，可删除部分无用的文件或者扩容迁移源端存储空间。

节点名称 系统权限 权限描述 CDM Job DAYU Administrator 数据治理中心服务的所有执行权限。 Import GES GES Administrator 图引擎服务的所有执行权限。该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 MRS Presto SQL、MRS Spark、MRS Spark Python、MRS Flink Job、 MRS MapReduce MRS Spark SQL、MRS Hive SQL（通过MRS API方式连接MRS集群的） MRS Administrator KMS Administrator MRS Administrator：MapReduce服务的所有执行权限。该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 KMS Administrator：数据加密服务加密密钥的管理员权限。 MRS Spark SQL、MRS Hive SQL、MRS Kafka、Kafka Client（通过代理方式连接集群） DAYU Administrator KMS Administrator DAYU Administrator：数据治理中心服务的所有执行权限。 KMS Administrator：数据加密服务加密密钥的管理员权限。 DLI Flink Job、DLI SQL、DLI Spark DLI Service Admin 数据湖探索的所有执行权限。 DWS SQL、Shell、RDS SQL（通过代理方式连接数据源） DAYU Administrator KMS Administrator DAYU Administrator：数据治理中心服务的所有执行权限。 KMS Administrator：数据加密服务加密密钥的管理员权限。 CSS DAYU Administrator Elasticsearch Administrator DAYU Administrator：数据治理中心服务的所有执行权限。 Elasticsearch Administrator：云搜索服务的所有执行权限。该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 Create OBS、Delete OBS、OBS Manager OBS OperateAccess 查看桶、上传对象、获取对象、删除对象、获取对象ACL等对象基本操作权限 SMN SMN Administrator 消息通知服务的所有执行权限。

本文将介绍爬虫情报规则，从背景信息、相关配置项、相关操作帮助您更好地理解爬虫情报规则。 功能介绍 支持针对搜索引擎IP放行、针对恶意Bot请求IP封禁，目前爬虫情报库已维护接近10万条数据 注意 目前控制台尚未开放爬虫情报规则功能，如有防护需求请通过 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 开通Web应用防火墙（边缘云版）扩展服务Bot管理，支持使用Bot防护策略，具体请见套餐和版本说明 背景信息 边缘云WAF安全团队基于天翼云积累的海量威胁情报库，并经过离线分析技术，收集国内外公开的、已知的恶意爬虫IP；另外，通过反向解析技术，收录了众多SE类别的爬虫信息，两者结合形成爬虫情报库，内置近10万条友好爬虫与已知恶意爬虫IP信息，目前仍持续更新中。 针对已知爬虫，边缘云WAF为爬虫情报进行标识与分类，例如搜索引擎类的爬虫，分为谷歌爬虫、360爬虫、百度爬虫等各类标识，您可以仅针对其中的某类搜索引擎标识进行加白的动作，则后续此类爬虫IP将不经过边缘云WAF的Bot防护策略。对于恶意爬虫，您也可以对其进行一键封禁的操作，边缘云WAF将会对其进行拦截，避免网站业务遭受已知恶意爬虫的攻击。

参数 是否必填 参数类型 说明 示例 下级对象 regionID 是 String 资源池ID 81f7728662dd11ec810800155d307d5b backupClientID 否 String 备份客户端ID 34d33b5ef401aa1336bb748564cd9542 queryContent 否 String 可选查询：主机名称/ID testecs pageNo 否 Integer 当前页，默认1 1 pageSize 否 Integer 每页最多返回，默认10，最大值为50 10 isCloud 否 Boolean 是否是云上资源(默认true)，true：弹性云主机，false：本地客户主机。该参数后续即将下线，推荐使用sourceType参数 true sourceType 否 String 产品服务类型(默认CTECS)，CTECS：弹性云主机，CTDPS：裸金属物理机，CTLS：本地客户主机 CTDPS notOnlyInstalled 否 Boolean 是否返回未安装的备份客户端与主机信息(默认false) false

产品规格、计费单位、价格及应用场景说明，帮助您快速了解产品总体计费模式。 本产品按照服务的类型、人员数、服务周期及服务资产数进行收费。 注意 购买基础版、企业版前，应至少已订购主机安全、WAF、云防火墙安全产品。 服务项 细分项 资产数 单位 价格 应用场景 备注 基础版 基础版接入服务 元/年 40800 基础费用，包含服务接入、资源配置等 基础版 基础版资产 1 元/台/年 720 单个资产托管费用 企业版 托管基础服务 元/年 60000 基础费用，包含服务接入、资源配置等 企业版包含托管资产的应急响应服务，新购一年赠送一次资产威胁分析服务。 企业版 托管资产 1 元/台/年 1800 单个资产托管费用 企业版包含托管资产的应急响应服务，新购一年赠送一次资产威胁分析服务。 护航版 前期评估 150 元/天 10000 对资产、网络、应用进行重保前的整体安全评估，协助用户完成安全加固 最低5天 护航版 重保服务 150 元/天 12000 提供724小时不间断人工重保服务，持续进行安全监控及应急响应 护航版 防护资产扩展包 50 元/天/个 8000 扩展重保服务监控资产数量 每新增1个资产扩展包，安全检查最低天数增加1天 护航版 蓝军攻击服务（3人5天） 元/次 450000 提供3人5天的蓝军攻击服务，提供攻击报告 应急响应服务 应急响应服务 120 元/次 35000 提供远程应急响应服务，受影响范围为120个资产 应急响应服务 应急响应服务 21100 元/次 36000 提供远程应急响应服务，受影响范围为21100个资产 应急响应服务 应急响应服务 101200 元/次 39600 提供远程应急响应服务，受影响范围为101200个资产 应急响应服务 应急响应服务 201500 元/次 52000 提供远程应急响应服务，受影响范围为201500个资产 安全评估 安全评估服务 元/次 30000 对云上资产、应用、网络进行整体安全评估，提供评估报告，提供加固建议 全流量分析服务 元/月 3500 单个规格支持网络层吞吐量500Mbps，应用层吞吐量≤250Mbps，可按需叠加。 全流量分析服务 元/年 35000 单个规格支持网络层吞吐量500Mbps，应用层吞吐量≤250Mbps，可按需叠加。

本章节主要介绍翼MapReduce服务Kafka健康检查指标项说明。 Broker可用节点数 标项名称 ：Broker数目 指标项含义 ：检查集群中可用的Broker节点数，若集群中可用的Broker节点数小于2，则认为不健康。 恢复指导 ：如果该指标项异常，进入Kafka服务实例页面，单击不可用Broker实例的“主机名”，在“概要信息”中查看主机的健康状态，若为“良好”，则参见“进程故障”告警进行处理；若不为“良好”，则参见“节点故障”告警进行处理。 服务健康状态 指标项名称 ：服务状态 指标项含义 ：检查Kafka服务状态是否正常。如果状态不正常，则认为不健康。 恢复指导 ：如果该指标项异常，建议参见“Kafka服务不可用”告警进行处理。 检查告警 指标项名称 ：告警信息 指标项含义 ：检查服务是否存在未清除的告警。如果存在，则认为不健康。 恢复指导 ：如果该指标项异常，建议参见告警进行处理。

本章节主要介绍翼MapReduce的主机操作。 选择“主机 > 资源概况 > 主机”，可查看主机资源概况，分为基础配置（CPU/内存）和磁盘配置两部分，如下图所示。 单击“导出数据”，可导出集群中所有主机的配置列表，包括主机名称、管理IP、主机类型、核数、平台类型、内存容量、磁盘大小等。 详见下图：主机资源概况 基础配置（CPU/内存） 鼠标放置饼图上会显示当前区域集群中各节点不同硬件配置下的配置信息及数量，格式为： 核数（平台类型）内存大小：数量 。 单击相应区域，会在下方显示相应的主机列表。 磁盘配置 横轴为节点上磁盘总容量（包含OS盘），纵轴为逻辑磁盘数量（包含OS盘）。 鼠标放置圆点上会显示处于当前配置状态下的磁盘信息，包括磁盘数量、总容量、主机数。 单击相应圆点，会在下方显示相应的主机列表。

本章节主要介绍翼MapReduce的执行角色实例主备倒换操作。 操作场景 部分服务的角色以主备高可用的模式进行部署，在需要对主实例进行维护不能提供服务，或者其他维护需要时，可以手动触发实例主备倒换。 操作步骤 1. 登录FusionInsight Manager。 2. 选择“集群 > 待操作集群的名称 > 服务”。 3. 单击服务视图中指定的服务名称。 4. 在服务详情页面单击“更多”，选择“执行角色实例倒换”。 5. 输入当前登录的用户密码确认身份，单击“确定”。 6. 在弹出界面单击“确定”，执行角色实例主备倒换。 说明 Manager部件包支持的主备倒换角色实例的服务有：DBService。 HD部件包支持的主备倒换角色实例的服务有：HDFS、Yarn、Storm、HBase、Mapreduce。 HDFS的角色NameNode在进行主备倒换时，需要指定NameService。 Porter部件包支持的主备倒换角色实例的服务有：Loader。 其他角色实例则不支持此功能。

本文主要介绍使用VNC Viewer连接linux轻量型云主机。 实践场景 用户可通过控制面板登录轻量型云主机，也可以在本地电脑通过SSH的连接方式连接到虚机。一般来说，SSH的登录环境都是命令行界面，这对于一部分不熟悉使用命令行界面或者需要进行一些较为复杂操作的用户不是很方便，需要使用图形化界面。通过安装VNC Viewer可以实现这个目的，本文将通过Ubuntu 18.04操作系统的轻量型云主机，为您介绍如何安装VNC Server，并通过VNC Viewer连接轻量型云主机。 准备工作 需要先在天翼云官网创建一台轻量型云主机，创建时的操作系统选择为Ubuntu 18.04。 本地电脑已安装了VNC Viewer客户端，您可通过对应官网下载获取VNC Viewer的客户端。 操作步骤 安装VNC Server 默认情况下，Ubuntu 18.04操作系统没有安装图形环境或VNC Server。本示例中，桌面环境使用Xfce，它是一个精简的轻量化桌面，与Gnome和KDE相比更小巧，并且界面美观、对用户友好，适合轻量型云主机远程连接场景下使用。 1. 登录轻量型云主机控制台，点击“远程登录”操作功能，登录VNC界面。依次在命令行中敲入： 用户名：root（默认）。 密码：用户创建时设置的密码。 2. 安装图形化界面及VNC Server。天翼云平台提供的系统镜像内一般未预装图像化界面及图形化桌面，所以需要用户自行进行安装。本文将采用Xfce桌面环境，及TightVNC，TightVNC时一款远程桌面应用程序。 更新可安装列表，输入命令： sudo apt update 安装软件，依次输入以下命令： sudo apt install xfce4 xfce4goodies sudo apt install tightvncserver

本文为您介绍Web应用防火墙（原生版）产品定义及架构。 产品定义 Web应用防火墙（原生版）（CTWAF，Web Application Firewall，简称WAF）为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。 产品架构 Web应用防火墙（原生版）产品整体架构主要包括3个部分，分别为WAF集群 、中央管理平台 、日志平台。 WAF集群：依托规则引擎实现流量过滤，并通过管控Agent与管理平台通信，接收防护策略的下发，上报执行节点运行状态。 Web应用防火墙（原生版）提供两种WAF云SaaS模式和WAF独享模式两种模式： WAF云SaaS模式，WAF集群分布式部署于多个天翼云资源池上。 WAF独享模式，WAF部署在租户VPC内。 中央管理平台：提供多维策略规则的编辑和下发能力，并监控执行节点运行状态。 日志平台：存放访问日志及防护日志，并提供自动告警能力。 防护原理 Web应用防火墙（原生版）提供WAF云SaaS模式 域名接入、WAF云SaaS模式 ELB接入、WAF独享模式接入三种接入方式，防护原理及部署架构如下所示，关于接入方式的详细说明，请参见产品规格接入方式说明。 类型 WAF云SaaS模式 域名接入 WAF云SaaS模式 ELB接入 WAF独享模式接入 防护原理 网站接入WAF防护后，网站所有请求先发送到WAF，WAF检测并拦截恶意流量，将正常流量转发至源站，在客户端看来，源站不可见，从而确保源站的安全。 WAF仅对进入监听器的应用层流量进行检测，不参与流量转发。通过添加引流端口到WAF的方式，使ELB所有的Web业务流量被指定网关牵引到WAF进行检测，WAF过滤Web应用攻击后，将正常的业务流量转发回ELB，再回源到正常业务网站。 网站接入WAF防护后，网站所有请求先发送到WAF，WAF检测并拦截恶意流量，将正常流量转发至源站，在客户端看来，源站不可见，从而确保源站的安全。 部署架构 WAF集群分布式部署于多个天翼云资源池上，异地容灾安全可靠，充分满足用户高可用需求。 WAF旁路部署，对业务零影响。当WAF发生故障时，流量将直接通过ELB发送给后端，不影响客户正常业务。 WAF通过反向代理的形态部署在租户VPC内，资源独享，网络链路时延低。

本文为您介绍drnode客户端的更新和卸载操作。 drnode客户端更新 使用条件 安装drnode客户端后，客户端版本检查更新时，drnode客户端可进行更新操作。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“资源同步管理”“数据源”“客户端管理”，进入云主机列表页。 5. 当检查到客户端版本需更新，或点击客户端状态刷新按钮后检测到版本需更新时。 6. 点击操作列更新客户端按钮，可完成更新客户端操作。 drnode客户端卸载 使用条件 安装drnode客户端且未开启数据保护操作时，进行drnode客户端卸载操作。 安装drnode客户端且开启数据保护操作时，需删除数据保护后，进行drnode客户端卸载操作。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击管理控制台左上角的，选择区域。 3. 在服务列表选择“计算”“多活容灾服务”，进入多活容灾服务控制台。 4. 点击左侧菜单栏“资源同步管理”“数据源”“客户端管理”，进入云主机列表页。 5. 点击操作列“卸载客户端”按钮，完成drnode客户端卸载操作。

本页为您介绍其他云MySQL迁移到RDS for MySQL时,如何创建RDS for MySQL实例的操作步骤和相关说明。 本页介绍了如何创建天翼云关系数据库MySQL版新实例，详细的创建实例过程能够帮助您更好的开始使用天翼云关系型数据库MySQL。 操作场景 本节介绍在关系数据库MySQL版服务的管理控制台创建实例的过程。 MySQL支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的关系型数据库实例。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域和项目。 3. 选择“数据库 >关系数据库MySQL版”，进入关系数据库MySQL版信息页面。 4. 在“实例管理”页面，单击“创建数据库实例”。 5. 在“服务选型”页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 6. 对于按需计费的实例，进行规格确认。 如果需要重新选择实例规格，单击“上一步”，回到上个页面修改实例信息。 如果规格确认无误，单击“提交申请”，完成购买实例的申请。 跳过 步骤7和步骤8 ，直接执行 步骤9 。 7. 对于包年/包月模式的实例，进行订单确认。 如果需要重新选择实例规格，单击“上一步”，回到上个页面修改关系型数据库实例信息。 如果订单确认无误，单击“去支付”，进入“付款”页面。 如果暂不确定实例规格，单击“提交，暂不付款”，系统将保留您的订单，稍后可在“费用 > 我的订单”中支付或取消订单。 对于“包年/包月”模式的实例，付款成功后，才会创建。 8. 选择付费方式，完成付费。 说明 本操作仅适用于包年/包月计费方式。 9. 关系数据库MySQL版实例创建成功后，用户可以在“实例管理”页面对其进行查看和管理。 创建实例过程中，状态显示为“创建中”。您可以通过“任务中心”查看结果。在实例列表的右上角，单击刷新列表，可查看到创建完成的实例状态显示为“运行中”。 创建实例时，系统默认开启自动备份策略，后期可修改。实例创建成功后，系统会自动创建一个全量备份。 数据库端口默认为13049，实例创建成功后可修改。

DWS的磁盘空间/容量是如何统计的？ 1.DWS的磁盘总容量统计：以3个数据节点为例，假设每个节点320G，总容量为960G。当存入一个1G的数据，DWS因为副本机制会将这1G的数据在两个节点中都各存一份，共占2G的空间，如果再加上元数据、索引等，实际1G的数据，存入DWS后占用的空间不止2G。所以总容量为960G的3节点集群，总量能存480G的数据。因为存储硬盘本身不贵，客户数据才珍贵。 客户在云的DWS控制台上搭建的时候，页面已经是按照一个节点的真正容量空间来统计的。比如dws.m3.xlarge，在搭建页面是160G，但实际这个节点的磁盘是有320G的，已经将这个320G显示为160G了，便于客户按实际落盘数据进行搭建。 2.单个节点磁盘的使用情况的确认： 同样的，以总容量为960G，3个数据节点为例，那么每个节点的磁盘容量就是320G。 登录DWS控制台，选择“监控>节点监控>概览”显示每个节点的磁盘以及其他资源占用情况。 说明 l 节点管理看到的磁盘空间是DWS集群内所有的磁盘即系统盘、数据盘加到一起的容量，而在概览里看到的磁盘空间只是集群内能做表数据存储的可用空间，另外DWS集群中表是有备份的副本数的，表的备份数据也是需要占用磁盘存储的。 l 如果已确定由于磁盘空间不足导致集群状态只读，告警磁盘不可用的异常场景时，可参考“

支持将分布式消息服务Kafka的重平衡日志接入LTS。重平衡日志记录了Rebalance的详情，包括Rebalance时间、原因和触发Rebalance的客户端等。重平衡日志存储在云日志服务中，由LTS提供查询功能。 接入操作说明 1. 登录分布式消息服务Kafka管理控制台。 2. 在实例列表中，点击目标Kafka实例名称。 3. 点击左侧菜单栏“智能运维”重平衡日志。点击【立即开启】按钮，即可将Kafka日志接入至云日志服务的grouprebalancelog日志项目中。 4. 等待若干分钟后，系统将自动生成可视化仪表大盘。 5. 点击页面上方“日志查询”页签，即可查询详细的重平衡日志信息。 6. 您也可以登录云日志服务控制台，在“grouprebalancelog”日志项目中，可查看所有已接入日志服务的Kafka重平衡日志的日志单元，并进行查询、分析或告警配置等操作。

天翼云电脑(政企版)可以通过资源包订购方式。 操作场景 AI云电脑服务开通之后，管理员可先订购包括AI云电脑计算、存储和网络配额的资源包，然后再通过使用资源包为终端用户分配AI云电脑实例、配置数据盘及上网带宽。 操作步骤 1. 进入“AI云电脑（政企版）”控制台； 2. 点击“资源包管理”，进入“资源包管理”页面； 3. 点击“订购资源包”，进入“订购资源包”页面； 4. 根据实际情况选择需购买的资源包配置信息，包括计算包，存储包，网络包及购买时长； 计算包：每个计算包包括10vCPU+20GB内存+80G高IO系统盘每AI云电脑的资源总和，如用户需要开通100台2vCPU4GB内存的AI云电脑，则此处需配置20个计算包，以此类推； 存储包：订购资源包可使用的AI云电脑数据盘的总量，100GB起订，步长100GB，最大10000TB； 网络包：订购资源包可使用的网络带宽总量，0~4096Mbps； 5. 选择购买时长：订购资源包可使用的有效时长； 6. 确认信息和配置费用，点击“立即购买”。支付成功后，即可完成资源包的订购。

本文介绍按需计费规则。 按需计费是一种先使用再付费的计费模式，用户开通服务时不需要进行任何预付款或包周期承诺。 适用场景 在完成日志数据采集后，您即可在云日志服务控制台进行实时查询与分析，日志数据可以长期存储。 适用计费项 按照费用类型，云日志服务的计费项包含日志存储量、日志读写流量，关于每种计费项的计费因子、计费公式等详情信息，请参考计费项说明。 计费项 计费说明 标准价格 免费额度 日志存储量 包括日志（压缩后）的存储量和日志（未压缩）被建立索引所产生的存储量。 0.0004792元/GB/小时 500MB/月 日志读写流量 数据（压缩后）被上传到云日志服务时，按照传输的数据量计算写流量费用。 0.18元/GB 500MB/月 日志索引流量 日志数据开启全文索引、字段索引时产生的流量。 0.35元/GB 500MB/月 付费方式 云服务日志支持按需付费方式。按照各个计费项实际使用量结算费用。先使用，后付费。 计费周期 按小时进行计费，每小时结算一次费用并生成账单，从账户余额中扣除实际消费金额，结算完毕后进入新的计费周期。 欠费影响 系统会在每个计费周期后的一段时间对按需计费资源进行扣费。当您的帐户欠费时，将无法使用云日志服务，日志将停止上报。具体请查看欠费说明。

本章节主要介绍关联质量规则操作。 当您完成表的新建和发布后，您可以在表中关联质量规则。在“配置中心 > 功能配置”页面中的“模型设计业务流程步骤 > 创建质量作业”勾选的情况下，完成质量规则的关联后，表发布后就会在DataArts Studio数据质量中自动创建质量作业，如果当前表已经发布，则系统会自动更新质量作业。 关联质量规则并查看质量作业 1.在DataArts Studio数据架构控制台，单击左侧导航栏的“关系建模”进入关系建模页面。 2.在页面选择所需要的模型单击进入，在右侧的列表中将显示该模型下面所有的表。您也可以展开主题结构，选中一个对象，右侧的列表中将显示该对象下所有的表。 3.在列表中，找到所需要的表，单击表名称进入表详情页面。 4.在详情页的表字段区域，选中需要关联质量规则的的字段，然后单击“关联质量规则”按钮。 异常数据输出配置：勾选此项，并勾选生成异常数据，表示异常数据将按照配置的参数存储到规定的库中。 5.在弹出的“关联质量规则”对话框中，单击“添加规则”。 此时，系统将弹出“添加规则”对话框，在规则列表中将显示DataArts Studio数据质量中默认的质量规则，选中所需要的规则，然后单击“确定”。如果列表中的规则不满足业务需求，您也可以创建自定义规则，单击“新建规则”可以跳转到DataArts Studio数据质量页面，请参考新建规则模板新建规则。 添加规则完成后，将返回“关联质量规则”对话框，在“规则名称”列表中，选中一条规则，然后设置告警条件，设置完所有规则的告警条件后单击“确定”。 在“告警条件”输入框中，请输入告警条件表达式，在质量作业运行时，系统将计算出告警条件表达式的结果，并根据表达式的结果是否为真来判断是否触发告警。如果表达式的结果为真则触发质量告警，结果为假则不触发质量告警。 告警条件表达式由告警参数和逻辑运算符组成。 每个规则的告警参数会在“告警参数”中以按钮形式列出。单击这些按钮，在“告警条件”中将按告警参数的排列顺序显示为{1}、{2}、{3}等变量名称，以此类推，变量名即代表告警参数。也就是说，在设置“告警条件”时，使用变量{1}代表第一个告警参数，${2}代表第二个告警参数，以此类推。 6.（可选）如需要将质量作业中不符合设定规则的异常数据存储在异常表中，可以打开“异常数据输出配置”开关。 点击开关，并打开“生成异常数据”按钮，表示异常数据将按照配置的参数存储到规定的库中。 各参数具体含义如下： 数据库或Schema：表示存储异常数据的数据库或Schema。 表前缀：表示存储异常数据的表的前缀。 表后缀：表示存储异常数据的表的后缀。 配置完成后点击保存配置。 7.（可选）质量规则的检查范围默认是全表，如需要精确定位分区查询数据，请填写where条件。 8.查看关联质量规则的结果，如果显示成功，单击“确定”。如果显示失败，请查看失败原因，等问题处理后，再重新关联质量规则。 9.返回关系模型列表页面，找到已关联质量规则的表，在“同步状态”列中，鼠标移至创建质量作业的图标上，单击“查看”进入质量作业页面查看已添加的质量规则。 10.进入质量作业的“规则配置”页面，可以查看刚才添加的质量规则。 此外，在建表时已关联的数据标准，在表发布后也会在上图中生成相应的质量规则，您可以在质量作业中进行查看。 字段关联的数据标准生成的质量规则，示例如下： 字段关联了数据标准，数据标准关联的码表生成的质量规则，示例如下：

本节主要介绍自定义策略。 如果系统预置的云数据库GeminiDB权限，不满足您的授权要求，可以创建自定义策略。 目前天翼云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 本章为您介绍常用的云数据库GeminiDB自定义策略样例。 自定义策略样例 示例1：授权用户创建云数据库 GeminiDB实例 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "nosql:instance:create" ] } ] } 示例2：拒绝用户删除云数据库 GeminiDB数据库实例 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循 Deny优先原则 。 如果您给用户授予GaussDB NoSQLFullAccess的系统策略，但不希望用户拥有GaussDB NoSQLFullAccess中定义的删除云数据库 GeminiDB实例权限，您可以创建一条拒绝删除云数据库 GeminiDB实例的自定义策略，然后同时将GaussDB NoSQLFullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对云数据库 GeminiDB执行除了删除云数据库 GeminiDB实例外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny" "Action": [ "nosql:instance:delete" ], } ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Action": [ "nosql:instance:create", "nosql:instance:rename", "nosql:instance:delete", "vpc:publicIps:list", "vpc:publicIps:update" ], "Effect": "Allow" } ] }

本节介绍了如何进行域名归属权校验。域名归属权校验是将域名接入DDoS高防（边缘云版）的必要操作。在控制台进行域名基本配置之后，会弹出域名归属权校验框，需根据其中返回内容完成以下步骤。 客户可根据如下方法一、方法二，任意选择一种方式进行操作验证即可。 方法一：DNS解析验证 示例为ctcdn.cn的解析配置 1. 客户需在自己的域名解析服务商，添加天翼云控制台返回的TXT记录值（如下记录值仅为示例）。 记录类型 主机记录 记录值 TXT dnsverify 202207060000002jar4fb2hc79iwjq5cdid87t7rci1sgp33exuyvez4kwonobxt 2. 域名解析操作完成后，等待（建议10分钟）DNS解析生效后即可进行解析验证。 解析命令：dig dnsverify.ctcdn.cn txt 3. 如解析出来的txt值和天翼云控制台返回的TXT记录值一致，则表示配置正确。确认配置正确后，可前往天翼云控制台，在新增域名界面点击验证，验证通过就可以正常操作新增域名。 方法二：文件验证 示例为ctcdn.cn的解析配置 1. 在您的源站根目录下，创建文件名为：dnsverify.txt的文件，文件内容为天翼云控制台返回的TXT记录值（如下记录值仅为示例）。 2. 文件在源站根目录下创建完成后，即可进行访问验证（示例为访问 ）。 windows验证： linux验证： 3. 如访问展示的文件内容和天翼云控制台返回的TXT记录值一致，则表示配置正确。确认配置正确后，可前往天翼云控制台，在新增域名界面点击验证，验证通过就可以正常操作新增域名。

创建告警通知策略,当告警触发时,只要不符合静默策略,就会依照通知策略在对应渠道发送告警信息给对应的通知对象。 功能入口 1. 登录 云原生API网关控制台。 2. 在左侧导航栏，展开 "告警管理"菜单，点击“通知策略”。 功能说明 支持增删改查告警通知策略信息。 通知对象：可从通知组进行选择。 通知模板：可跟进不同通知渠道（邮件、短信）设置不同的通知模板。 通知时段：可以设置通知时段，默认是告警触发时通知。

证书重颁发,是指在证书仍然有效时,由于某些特殊原因,用户需要获取一张新证书。 操作场景 通常在下述场景下，需要重颁发证书： 密钥泄露或丢失：为了网站的安全，建议重颁发一张新证书。 域名删减：原有的证书将不再适用，需要重颁发证书以匹配新域名。 密钥算法升级：通过密钥算法升级，可优化安全性、性能、合规性，系统性地提升安全防护能力并优化资源效率。 约束限制 适用产品：SSL证书、私有（内网）证书 适用品牌：CFCA、GlobalSign、标准版、DigiCert（SecureSite、GeoTrust、TrustAsia） 适用算法：国际、国密 重颁发次数限制：单张证书在有效期内（199天 ）最多可申请3次重颁发，第3次申请后，重颁发按钮置灰。 重颁发后新证书的有效期： CFCA、GlobalSign：原证书剩余时间，仅在证书到期前30天内重颁发时将获得199天续期证书。 标准版、DigiCert（SecureSite、GeoTrust、TrustAsia）：199天。 操作步骤 1. 登录证书管理服务控制台。 2. 选择“SSL证书管理 > SSL证书列表”或“私有证书管理 > 私有证书列表”。 3. 选择需要进行重颁发的证书，单击“操作”列的“重颁发”。 4. 填写证书申请的相关信息。 参数 说明 证书绑定域名 第一个域名将作为证书通用域名名称（不可修改）。只可删减其他域名。 密钥算法 可选择“RSA”、“ECC”或“SM2”。 证书请求文件 CSR是一个包含网站、服务、国家、组织、域名、公钥和签名的编码文件，用于从可信的证书颁发机构（CA）获取证书。 支持“系统生成”或“手动生成”两种方式： 系统生成：根据用户所配置的信息，系统自动生成一个CSR。为保障您的证书顺利申请，建议您使用系统生成CSR的方式，避免因内容不正确而导致的审核失败。 手动生成：在下拉框中选择已手动创建的CSR，使用已创建的CSR申请证书。 注意 请不要在证书签发完成前删除CSR。 手动生成将无法署到天翼云产品。 私钥文件 填写您的CSR私钥。 您可以单击“上传”并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框，或者使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框。 5. 单击“确定”，提交申请。 证书状态更新为“申请审核中重颁发”。申请通过后，证书状态将更新为“已签发”。 新证书签发后，原证书吊销说明： 品牌 是否吊销 吊销说明 CFCA 是 原证书将在3天内吊销。 GlobalSign 否 原证书与新证书可同时使用。 标准版、DigiCert（SecureSite、GeoTrust、TrustAsia） 吊销的场景：仅当申请重颁发时删减域名，原证书将在新证书签发3 天后吊销。 不吊销的场景：其他场景不吊销原证书。