导出病毒文件列表 说明 支持导出的格式：支持“.csv”格式。 约束限制：导出数据不超过20万条。 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“文件安全 > 病毒查杀”，进入病毒查杀页面。 3. 单击病毒文件列表右上角的“导出”图标，导出病毒文件列表。 若只需要导出部分病毒文件，可以先进行筛选，筛选出目标信息后，再单击“导出”图标，导出您需要的病毒文件列表。支持按照发现时间、处理状态、服务器名称、服务器IP、文件MD5进行筛选。 4. 页面右上角会显示导出状态，当导出完成后，单击“下载”，将告警列表下载到本地。 注意 若“关闭”页面，此时告警列表还未下载到本地，若需要下载，则需要重新导出。 处理病毒文件 提供忽略、加入白名单、文件隔离、文件删除四种病毒处理方式。 忽略：忽略此次告警，后续发生相同告警事件时将再次进行告警。 加入白名单：经分析后确认为误报，可以选择将对应文件加入白名单，加入白名单后该条告警将从告警列表移除，加入白名单。若需要从白名单移除，请参见删除白名单规则。 注意 加入白名单的文件，将不再对其进行检测告警，请谨慎操作。 文件隔离：手动隔离病毒文件，文件隔离成功后将移动至隔离区并加密，无法再对服务器造成威胁。如用户有恢复需求，可在[文件隔离箱](

本章节为您介绍审计日志的相关内容。 当系统根据既定配置成功捕获到客户端的访问行为时，它会详尽地记录审计日志。这些日志为用户提供了一个全面的视角，以查看所有触发审计的 SQL语句的详细信息。 为了方便您快速定位和分析，数据库安全网关支持在审计日志页面根据时间范围、客户端 IP、数据库账号、报文内容等多个维度进行灵活的筛选操作，从而确保用户能够迅速获取所需的关键信息。 检索审计日志 1.在左侧菜单栏选择“查询分析 > 审计日志”进入审计日志页面。 2.设置查询条件（如时间范围、资产、操 作类型等） ，单击“搜索”即可查询相关审计日志。 3.可单击查询条件下方的“更多条件”，在更多条件对话框中勾选需要的查询条件 ，单击“确认”即可添 加相应的查询条件 ，单击“恢复默认”可以恢复至默认查询条件。 查看审计日志详情 1.在左侧菜单栏选择“查询分析 > 审计日志”进入审计日志页面。 2.在审计日志列表中，单击日志条目右侧的“详情”可以查看该审计记录的详细信息，包括审计记录的基本信息、客户端信息、服务端信息、 请求详情、返回详情。 3.单击审计日志详情窗口右下角的“上一条”或“下一条”可切换查看临近的审计日志。 4.在日志详细中 ，单击“取证”即可弹出下载框 ，等待文件生成成功后 ，单击“下载”即可下载.png 图片格式的审计日志详情文件。

本章节为您介绍如何申请个人证书。 个人证书是由CA机构核验身份后颁发的数字凭证，用于强身份认证、电子签名和加密通信等场景，12个工作日签发证书。 成功购买个人证书后，您需要申请证书，即提交证书申请人的详细信息审核。所有信息通过审核后，证书颁发机构才签发证书。 在申请证书时，您可以参考SSL证书申请常见问题。 前提条件 已成功购买证书并且在控制台的“证书状态”为“待申请”，如何购买证书请参考：购买个人证书。 准备工作 申请个人证书时，需要在人工验证阶段上传证书申请表，您可以提前下载个人证书申请表模版，申请表需填写个人签名和日期。 服务类型 加密标准 下载审核材料模板 个人证书 国密标准 个人证书申请表模版.xlsx 操作步骤 1. 登录证书管理服务控制台。 2. 在左侧导航栏选择“个人证书管理 > 个人证书列表”。 3. 选择需要申请的个人证书，单击“操作”列的“证书申请”按钮，开始申请个人证书。 4. 在右侧弹出的窗口中填写联系人信息。 说明 目前个人证书仅支持国密算法。 5. 填写完后，单击“确定”，进入验证环节，根据页面提示填写申请表并上传。 6. 上传完成后，等待CA签发机构完成验证，若验证通过则可以在控制台下载个人证书。

文本介绍如何免费注册个人用户账号。成功注册并完成登录后，即可使用AOne会议。 说明 1. 您注册AOne会议账号后，为了您的账号安全，建议定期修改账号密码。 2. 个人用户无需订购即可使用AOne会议服务。此账户类型仅支持加入会议，不支持发起会议。您可以加入由企业用户创建的会议。 下载AOne会议客户端 AOne会议提供灵活的接入方式： 1. 原生客户端： 为Windows、macOS、Android和iOS平台提供原生客户端。请根据您的设备下载对应版本：客户端下载。 2. Web客户端： 无需安装软件，直接在浏览器中访问：Web客户端。 客户端使用限制请参见使用限制，客户端操作手册请参见用户指南。 通过PC客户端注册登录 账号密码方式 1. 打开“AOne会议”PC客户端，可查看到登录页面。 2. 点击“个人用户”，切换至个人用户登录页面。 3. 点击“账密登录”跳转到账密登录页，点击左下角的“立即注册”，跳转到注册页，输入手机号和验证码后点击“注册”，即可完成个人用户账号注册。 4. 账号注册后，会自动返回登录页。您可以点击登录页右下角的“忘记密码”，重置登录密码，密码重置后再通过手机号、登录密码进行登录。或点击“手机登录”，直接输入手机号和验证码进行登录。

本文档指导您如何在Tomcat服务器中安装部署SSL证书。 前提条件 已在当前服务器中安装配置 Tomcat 服务。 已购买证书并且已获取到证书相关文件。 安装前准备文件 在证书管理服务控制台的证书管理页选择您需要安装的证书，选择“证书下载”。 在弹出的 “证书下载” 窗口中，服务器类型选择 Tomcat，单击“下载”并解压缩包至本地，文件内包含下述2个文件： JKS证书：XXXX.cn.jks JKS证书密码：README.txt 操作步骤 1. 将已获取到的“XXX.cn.jks”密钥库文件拷贝至Tomcat安装目录/conf目录下。 2. 编辑/conf目录下的“server.xml”配置。 // keystoreFile指向步骤1保存的的jks文件； keystorePass值为jks证书密码； Port是端口； SSLEnable是开启ssl的意思； 3. 修改完成后，重启Tomcat服务器即可。 （可选）HTTP自动跳转HTTPS的安全配置 1.打开/conf目录下的“web.xml”文件，找到标签，在后面插入如下内容 SSL / CONFIDENTIAL 2.后续打开“server.xml”文件，修改redirectPort端口参数，如下所示：

操作步骤 1. 登录天翼云，进入控制中心。 2. 单击控制中心顶部的，选择“地域”，此处我们选择华东1。 3. 单击左侧导航栏“计算 > 物理机服务”，进入物理机列表。 4. 在“实例名称/ID”列，单击目标物理机“实例名称”进入该物理机详情页。 5. 在下方页签单击“云硬盘”，在云硬盘页面右上角单击“挂载磁盘”，勾选需要进行挂载的磁盘，单击“确定”。 6. 命令下发完成后，稍等片刻刷新页面查看到已挂载磁盘，即完成挂载。 卸载云盘数据盘 操作场景 将挂载至物理机中的云硬盘卸载。 约束限制 对于Windows物理机，在在线卸载数据盘之前，请确保没有程序正在对该磁盘进行读写操作。否则，卸载过程中可能会导致数据丢失。 对于Linux物理机，在在线卸载数据盘之前，需要先登录物理机，并执行umount命令，取消待卸载磁盘与文件系统之间的关联。同时，确保没有程序正在对该磁盘进行读写操作。如果有读写操作进行中，卸载磁盘将失败。 操作步骤 1. 登录天翼云，进入控制中心。 2. 单击控制中心顶部的，选择“地域”，此处我们选择华东1。 3. 单击左侧导航栏“计算 > 物理机服务”，进入物理机列表。 4. 在“实例名称/ID”列，单击目标物理机“实例名称“进入该物理机详情页。 5. 在下方页签单击“云硬盘”，在确保没有程序正在访问数据盘的情况下，在目标磁盘行的右侧单击“卸载”。 6. 在“卸载云硬盘”弹窗确认内容后，单击“确定”。 说明 云硬盘在卸载前，请保证该云硬盘在操作系统内的逻辑磁盘已通过umount等命令进行卸载操作，否则可能导致云硬盘卸载失败。 7. 命令下发完成后，提示“操作成功”稍等页面刷新即完成数据盘卸载。 扩容磁盘

本文为您介绍Windows无法正常启动时怎样恢复数据。 故障描述 登录Windows操作系统云主机时，无法正常进入系统。自启动系统修复模式，但选择修复选项后报错，无法继续进行系统修复。 可能原因 Windows文件已损坏。 处理方法 1. 登录云主机控制台，选择“计算>弹性云主机”。 2. 卸载云主机挂载的数据盘。 在云主机的详情页，单击“云硬盘”页签，单击数据盘后的“卸载”。 3. 重装故障云主机的操作系统。 选择待重装操作系统的云主机，并点击“关机”按钮，待云主机关机完成之后，在云主机的“操作”列下，单击“更多>一键重装”，在“一键重装”弹窗选择镜像及密码相关信息，并点击“确定”。 说明 在执行任何更改或操作之前，建议备份弹性云主机数据，并确保具备恢复机制。 在遇到复杂问题或无法解决的情况下，寻求天翼云专业支持和建议。 4. 将数据盘重新挂载至云主机。 在云主机的详情页，点击“云硬盘”页签，选择“挂载磁盘”，选择步骤2卸载的磁盘并进行挂载。 5. 云主机开机后，重新验证云主机是否可以正常进入系统。

步骤五： 配置SNAT规则 1. 登录天翼云控制中心，选择“网络>NAT网关”，进入NAT网关信息展示页面。点击NAT网关名称，进入NAT网关1详情规则页面。 2. 点击“添加SNAT规则”，弹出添加SNAT规则对话框，进行参数配置。 子网：选择子网１。 弹性IP：选择购买的弹性IP1。 3. 配置好相关参数后，点击“确定”，等待SNAT规则状态变为运行中，即完成SNAT规则配置。 4. 选择“网络>NAT网关”，进入NAT网关信息展示页面。点击NAT网关名称，进入NAT网关2详情规则页面。 5. 点击“添加SNAT规则”，弹出添加SNAT规则对话框，进行参数配置。 子网：选择子网２。 弹性IP：选择购买的弹性IP2。 配置好相关参数后，点击“确定”等待SNAT规则状态变为运行中，即完成SNAT规则配置。 步骤六：测试连通性 1. 登录天翼云控制台，选择”计算>弹性云主机”， 2. 进入弹性云主机控制台，选择子网1中的弹性云主机，点击右侧“远程登录”登录弹性云主机。 3. 登录完成，通过ping外网地址，例如ctyun.cn，测试云主机是否能够通过NAT网关访问公网。 4. 执行curl 5. 重复上述操作，查看子网2中云主机的网络连通性和访问互联网的源IP地址。 6. 经测试，IP地址分别为两个子网绑定NAT网关的SNAT规则的弹性IP。

云搜索服务支持弹性负载均衡（ELB）配置，用户可将天翼云现有ELB实例快速接入云搜索服务，实现访问流量的智能分发与负载均衡。 操作步骤 1. 在弹性负载均衡产品控制台购买负载均衡器，请购买与云搜索实例在同一地域的负载均衡器，虚拟私有云请选择和云搜索实例相同的VPC、子网以确保内网可连接。 2. 创建完成后，在负载均衡控制台设置监听器及后端主机组。 3. 登录云搜索控制台，点击需要绑定的实例名称进入详情页，在安全设置页面开启OpenSearch实例负载均衡设置的开关，在弹出的界面中选择目标弹性负载均衡的和后端主机组。 提交后等待绑定完成，即可通过负载均衡访问OpenSearch实例。

资源包类型 存储类型 资源包描述 单AZ存储容量包 标准存储 用于抵扣单AZ冗余策略下标准存储产生的数据存储容量费用，支持自定义规格包订购，1GB起订 单AZ存储容量包 低频存储 用于抵扣单AZ冗余策略下低频存储产生的数据存储容量费用，支持自定义规格包订购，1GB起订 单AZ存储容量包 归档存储 用于抵扣单AZ冗余策略下归档存储产生的数据存储容量费用，支持自定义规格包订购，1GB起订 多AZ存储容量包 标准存储 用于抵扣多AZ冗余策略下标准存储产生的数据存储容量费用，支持自定义规格包订购，1GB起订 多AZ存储容量包 低频存储 用于抵扣多AZ冗余策略下低频存储产生的数据存储容量费用，支持自定义规格包订购，1GB起订 公网流出流量包 标准存储 用于抵扣通过互联网下载标准存储类型的数据所产生的公网流出流量费用，支持自定义规格包订购，1GB起订 公网流出流量包 低频存储 用于抵扣通过互联网下载低频存储类型的数据所产生的公网流出流量费用，支持自定义规格包订购，1GB起订 公网流出流量包 归档存储 用于抵扣通过互联网下载归档存储类型的数据所产生的公网流出流量费用，支持自定义规格包订购，1GB起订 请求次数包 标准存储 用于抵扣发送到标准存储的请求指令产生的费用，支持自定义规格包订购，1万次起订 请求次数包 低频存储 用于抵扣发送到低频存储的请求指令产生的费用，支持自定义规格包订购，1万次起订 请求次数包 归档存储 用于抵扣发送到归档存储的请求指令产生的费用，支持自定义规格包订购，1万次起订 取回流量包 低频存储 用于抵扣下载低频存储类型的数据时产生的取回流量费用，支持自定义规格包订购，1GB起订 取回流量包 归档存储 用于抵扣解冻归档存储类型的数据时产生的取回流量费用，支持自定义规格包订购，1GB起订

我需要购买多大的存储库？ 手动备份场景 如果仅进行一次性手动备份，建议存储库容量大于等于所需要备份资源的容量总和的2倍。 说明 为更好的进行数据保护，备份副本建议至少保留2个。 自动备份场景 如果需要自动备份，可以使用以下公式估算应创建的存储库大小： 存储库容量(GB) （磁盘容量(GB) + 备份保留时长(天) / 备份周期(天) 磁盘每日变化数据量(GB)） 120% 建议您在按照上述公式完成估算后，可以根据实际业务情况进行调整。 存储库按需计费和扣款周期是多少？ 存储库按需计费是每小时计费，先使用后付款。详细的服务资费标准请参考计费说明章节。 如何退订旧版云主机备份（CSB S）的资源包？ 如您需要迁移资源至云服务备份，迁移之前拥有的CSBS资源包将不能迁移，可以提工单或者联系您的客户经理进行退订，退订规则可以参考退订规则说明。 为什么创建策略时提示用户权限不足？ 如果用户账户存在欠费或无余额的情况，则无法进行创建策略、添加标签等操作。 如何退订存储库？ 如您不需要再使用包年包月付费模式的存储库存放备份，可以提工单或者联系您的客户经理进行退订，退订规则可以参考退订规则说明。 为什么新版服务中的备份也会出现在旧版服务？ 如果您已完成旧版服务迁移备份至新版服务，在新版的云服务备份服务创建备份后，会同时在旧版的云硬盘备份服务中产生相同的备份记录。这是由于底层机制，旧版的云硬盘备份会展示包括云服务备份、云主机备份以及云硬盘备份产生的所有备份，但这些备份不会重复计费，仅作为界面展示。 如果您希望删除旧版云硬盘备份服务中的备份，需要在新版服务中找到对应的备份进行删除，则旧版服务的备份也会同时删除，无法在旧版服务中删除。

操作场景 当您不再需要保护指定实例时，请执行删除保护实例操作，解除生产站点服务器和天翼云容灾站点间的复制关系。 删除保护实例不会删除生产站点的云服务器资源，对生产站点业务无影响。 使用须知 保护实例反向重保护后同步完成，删除保护实例，需要在云容灾网关服务器上手工卸载生产站点服务器原先的硬盘，然后在生产站点服务器再手工挂载原先的硬盘。 保护实例反向重保护后初始同步过程中，如果删除保护实例，生产站点服务器可能无法启动，建议等初始同步完成后再删除保护实例。 前提条件 待删除的保护实例有其它操作正在执行时，不可以执行删除操作。 操作步骤 1. 登录管理控制台。单击服务列表，选择“存储 > 存储容灾服务”。 2. 进入“存储容灾服务”页面。 3. 在“异步复制”页面，单击待删除的保护实例所在站点复制对的保护实例数。进入对应站点复制对的保护组页面。 4. 在左侧导航选择待删除保护实例所在的保护组。进入保护组详情页面。 5. 在保护实例列表中，单击待删除的保护实例所在行操作列的“更多 > 删除”。如果需要批量删除保护实例，可同时勾选需要删除的保护实例，单击保护实例列表上方的“删除”。 6. 在弹出的确认对话框中，根据需求选择相应的操作。删除容灾站点的服务器/云硬盘： 1. 不勾选：生产站点服务器与天翼云容灾站点间的复制关系解除，但是会保留容灾站点的云服务器、及容灾站点服务器上挂载的云硬盘。 2. 勾选：生产站点服务器与天翼云容灾站点间的复制关系解除，并同步删除容灾站点服务器、及容灾站点服务器上挂载的云硬盘。如果不存在云服务器则直接删除云硬盘。 7. 单击“是”，删除保护实例。 8. 删除完成后，生产站点服务器将出现在“未保护的服务器”列表中。。 删除保护实例不会自动清理该保护实例创建的容灾演练，需在容灾演练页面进行删除。

典型架构图 安全增强措施 1. 数据加密 1. 使用SSL/TLS加密公网传输流量（如HTTPS） 2. 数据库启用透明数据加密（TDE）和天翼云KMS服务 2. 安全防护 1. 根据业务情况使用天翼云提供的安全产品进行公网防护。 成本优化建议 1. 按需分配公网IP：公网流量通过NAT网关共享出口，仅对必须暴露的服务使用独享的弹性IP（需要为云主机所在的子网配置指向IPv4网关的默认路由）。 2. 合理选择带宽： 1. 优先使用共享带宽降低弹性IP带宽成本。 2. 根据业务峰谷情况选择弹性IP的固定带宽或按流量计费模式。 3. 清理闲置资源：定期删除未使用的EIP、安全组、路由表等资源。 运维与监控 1. 自动化部署：使用天翼云原生API实现VPC、子网、安全组等资源的自动化编排。 2. 监控告警：配置云监控对使用的云资源进行告警，重点关注以下指标： 1. 弹性IP、共享带宽网络出入带宽利用 2. NAT网关并发连接数 3. 弹性负载均衡健康/异常后端主机数 常见问题规避 1. IP地址耗尽：预留至少20%的IP空间（如使用/16的VPC，按/24划分子网）。 如果出现VPC地址不足的情况，可以通过为VPC增加扩展网段的方式，扩容地址。 2. 安全组配置错误：遵循最小权限原则，禁止开放0.0.0.0/0到高危端口（如22、3389）。 3. 单可用区风险：确保关键服务（如数据库）部署在至少2个可用区。 通过以上设计，可在天翼云单地域单VPC环境下构建安全、高可用且易于扩展的网络架构，适用于中小型企业或独立业务系统。

本文介绍Web应用防火墙（边缘云版）是否可以和CDN一起接入。 Web应用防火墙（边缘云版）可以和CDN一起接入。 Web应用防火墙（边缘云版）和CDN一起接入，是指CDN融合了Web应用防火墙（边缘云版）能力，在CDN节点上提供Web应用防火墙（边缘云版）防护功能。Web应用防火墙（边缘云版）防护具体功能，请参见Web应用防火墙（边缘云版）功能介绍。 前提条件 已开通天翼云CDN加速计费，且已经将域名添加到CDN加速控制台。 已完成Web应用防火墙（边缘云版）产品开通。 CDN控制台域名的加速范围选择为中国内地。 操作步骤 1. 登录Web应用防火墙（边缘云版） 控制台。 2. 选择域名管理—域名列表，点击【添加域名】。 3. 填写网站域名后，点击【确认】进行产品关联，同步网站通用配置，并单击【下一步】。 4. 根据页面配置指引，完成安全防护配置。

本节介绍跨集群跨地域容灾迁移。 为了应对集群单点宕机故障，分布式容器云平台CCE One的集群联邦提供多集群多活应用、秒级流量接管能力。业务应用的实例可以多集群多活的部署在不同容器集群服务中，当集群单点宕机故障发生时，集群联邦可以秒级自动完成应用实例的弹性迁移以及流量的切换，业务的可靠性大大提升。 多活容灾方案示意如下图所示，通过创建域名访问规则，将应用分发到多个Kubernetes集群，包括两个天翼云CCE集群（部署在不同Region）和一个其他云的Kubernetes集群，实现应用的多活容灾。 前提条件 已开通一个天翼云CCE集群和一个三方云集群。 已订购具备策略解析能力的公网DNS服务，例如GTM等；天翼云当前无此类产品售卖，因此需用户自行准备，或找专门的DNS服务提供商购买。 适用场景 对应用容灾高可用有较高要求，希望实现业务极致弹性及高可用的场景。 操作指引 本文将基于天翼云CCE集群和阿里云ACK集群，演示如何实现多集群应用容灾与自动迁移能力。 步骤一：将天翼云CCE集群及三方云集群，注册到CCE One，并加入到联邦成员中 1. 在【集群资源】>【注册集群】页面，选择天翼云类型注册集群，并根据指引将提前创建的天翼云CCE集群和阿里云ACK集群关联进来； 2. 进入【舰队管理】页面，创建舰队并添加上面关联的两个CCE One注册集群； 3. 进入【联邦管理】页面，根据指引订购集群联邦实例，并将联邦实例与上面的舰队进行关联； 由于舰队中成员集群与联邦存在跨资源池情况，联邦联通网络可能需要用户手工干预才能联通；具体可参考指引 打通注册集群与联邦实例之间的联通网络 如下图所示： 已成功注册到联邦的成员集群，其【接入联邦状态】应为“已连接”；若连接状态为“添加失败”，则可以参考上面指引进行网络配置调整，并修改【联邦网络类型】到对应类型后，触发后台再次自动尝试连接。

本文介绍如何将已绑定EIP的云主机实例加入共享带宽中,复用共享带宽中的带宽。 前提条件 已注册天翼云账号。 已创建共享带宽 操作步骤 1. 登录共享带宽控制台。 2. 在顶部菜单栏处，选择共享带宽的地域。 3. 在共享带宽页面，单击目标共享带宽名称。 4. 在弹性IP区域单击“添加”。 5. 选择已绑定云资源的弹性IP并单击“确定”即可。

查看监控图表 1. 登录天翼云控制中心。 2. 在产品服务列表中“管理与部署 > 云监控服务”，进入云监控服务主页面。 3. 在左侧导航栏，选择“云服务监控”，单击“云堡垒机”产品。 4. 在云堡垒机监控列表中选择目标的实例，单击操作列的“查看监控图表”，进入监控详情页。 5. 在监控详情页，可以查看实例详情和监控图表。 切换不同的时间周期，查看不同周期内监控指标的情况。

查看监控图表 1. 登录天翼云控制中心。 2. 在产品服务列表中“管理与部署 > 云监控服务”，进入云监控服务主页面。 3. 在左侧导航栏，选择“云服务监控”，单击“云堡垒机”产品。 4. 在云堡垒机监控列表中选择目标的实例，单击操作列的“查看监控图表”，进入监控详情页。 5. 在监控详情页，可以查看实例详情和监控图表。 切换不同的时间周期，查看不同周期内监控指标的情况。

本章节主要介绍翼MapReduce的区域和可用区的概念。 通常用区域和可用区来描述数据中心的位置，用户可以在特定的区域、可用区创建云服务资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 在同一地域内，可用区与可用区之间内网互通。各可用区之间可以实现故障隔离，即如果一个可用区出现故障，则不会影响其他可用区的正常运行。是否将实例放在同一可用区内，主要取决于您的应用对容灾能力和网络延时的要求。 如果您的应用需要较高的容灾能力，建议您将实例部署在同一地域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，建议您将实例创建在同一可用区内。

本节介绍了Ingress诊断对应的检查项以及修复方案。 Ingress诊断主要包括Ingress注解、Ingress Controller组件启动参数等检查项。 注意 使用故障诊断功能时，系统将在您的集群节点上执行数据采集程序并收集检查结果。采集的信息包括系统版本，负载、Docker、Kubelet等运行状态及系统日志中关键错误信息。数据采集程序不会采集您的业务信息及敏感数据。 Ingress诊断对应的检查项 根据集群配置，具体检查项可能稍有不同。实际结果请以诊断页面结果为准。 检查项名称 说明 修复方案 检查Ingress是否存在 检查是否通过提供的信息找到了对应的Ingress资源。 检查所提供的URL信息是否有能够对应的Ingress规则。若URL信息无误，可能是Ingress规则存在问题。 Ingress名称 展示所匹配到的Ingress规则名称。 无 检查是否使用了nginx.ingress.kubernetes.io/sessioncookiehash废弃注解 检查是否使用了在0.24.0版本废弃的nginx.ingress.kubernetes.io/sessioncookiehash注解key。 确认当前Ingress Controller版本，移除该注解或使用其他注解代替。 检查是否使用了nginx.ingress.kubernetes.io/baseurlscheme废弃注解 检查是否使用了在0.22.0版本废弃的nginx.ingress.kubernetes.io/baseurlscheme注解key。 确认当前Ingress Controller版本，移除该注解或使用其他注解代替。 检查是否使用了nginx.ingress.kubernetes.io/securebackends废弃注解 检查是否使用了在0.21.0版本废弃的nginx.ingress.kubernetes.io/securebackends注解key。 确认当前Ingress Controller版本，移除该注解或使用其他注解代替。 检查是否使用了nginx.com/nginx.org注解 检查是否使用了不兼容社区版Nginx Ingress Controller的商业版Ingress注解key（以nginx.com/nginx.org开头）。 请使用对应功能的正确用法。关于Ingress更多信息，请参见社区官方文档Nginx Ingress Controller。(引用到官方文档) 检查是否使用了nginx.ingress.kubernetes.io/grpcbackend废弃注解 检查是否使用了在0.21.0版本废弃的nginx.ingress.kubernetes.io/grpcbackend注解key。 确认当前Ingress Controller版本，移除该注解或使用其他注解代替。 检查是否使用了nginx.ingress.kubernetes.io/mirroruri废弃注解 检查是否使用了在0.24.0版本废弃的nginx.ingress.kubernetes.io/mirroruri注解key。 确认当前Ingress Controller版本，移除该注解或使用其他注解代替。 检查是否启用了canary 使用了nginx.ingress.kubernetes.io/canary相关注解，但value值为"false‘，如果需要使用灰度功能，请指定nginx.ingress.kubernetes.io/canary: "true"。 如果您需要在该Ingress上开启Canary功能，请在Ingress规则上添加nginx.ingress.kubernetes.io/canary: "true"注解。 检查Ingress是否存在异常事件 检查集群中是否存在与该Ingress相关的异常事件。 检查并处理异常事件描述信息中的报错，如无法解决，请提交工单处理。 检查Ingress Controller是否存在 检查Ingress使用的Ingress Class对应的Ingress Controller工作负载是否存在。 确认kubesystem命名空间下Ingress Controller工作负载存在。如不存在，请尝试安装相关Ingress Controller插件。 Ingress Controller就绪Pod比值 检查Ingress Controller工作负载对应的就绪Pod比值。 检查Ingress Controller Pod状态，保证Pod存在且处于Ready状态。 检查是否使用了forcenamespaceisolation废弃的启动参数 检查Ingress Controller是否使用了在0.24.0版本废弃的"forcenamespaceisolation"启动参数。 确认当前Ingress Controller版本，移除该启动参数。 检查是否使用了sortbackends废弃的启动参数 检查Ingress Controller是否使用了在0.22.0版本废弃的"sortbackends"启动参数。 确认当前Ingress Controller版本，移除该启动参数。 检查Ingress Controller Pod中是否存在error日志 检查Ingress Controller Pod最近的日志中是否包含error错误日志。 检查并处理Ingress Controller Pod中报错日志，如Service端口冲突等。

云监控提供默认的系统告警模板，同时您也可将相应产品的告警规则保存在自定义告警模板中。可以直接通过模板创建告警规则时，节省配置时效。 操作场景 如果您拥有大量云资源，可以通过系统默认告警模板及自定义告警模板，快捷创建告警规则。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 查看模板 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“管理与部署”，单击“云监控服务”，进入监控概览页面。 4. 选择“告警服务>告警模板”菜单，即可进入告警模板页面，默认为系统默认告警模板。

数据库 所需权限 参考赋权语句 源库 全量同步： 需要具备sysadmin、dbowner、dbdatareader、dbdatawriter的其中一个角色权限。 增量同步： 需要具备sysadmin角色的权限。 授予用户sysadmin角色权限： ALTER SERVER ROLE sysadmin ADD MEMBER 用户名; 授予用户dbdatareader角色权限： ALTER SERVER ROLE dbdatareader ADD MEMBER 用户名; 授予用户dbdatawriter角色权限： ALTER SERVER ROLE dbdatawriter ADD MEMBER 用户名; 目标库 目标库为天翼云RDS for SQL Server 客户配置迁移实例的目标库连接时只需要填入普通用户即可，DTS会自动创建数据库并将该数据库的db owner权限授予配置的用户。 目标库为自建库或其他云数据库 需要具备sysadmin角色权限。 目标库为天翼云RDS for SQL Server 无需额外进行赋权，DTS会自动创建数据库并将该数据库的dbowner权限授予配置的连接目标库的普通用户。 目标库为自建库或其他云数据库时，授予用户sysadmin角色权限： ALTER SERVER ROLE sysadmin ADD MEMBER 用户名;

数据库 所需权限 参考赋权语句 源库 全量迁移： 需要具备sysadmin、dbowner、dbdatareader、dbdatawriter的其中一个角色权限。 增量迁移： 需要具备sysadmin角色的权限。 授予用户sysadmin角色权限： ALTER SERVER ROLE sysadmin ADD MEMBER 用户名; 授予用户dbdatareader角色权限： ALTER SERVER ROLE dbdatareader ADD MEMBER 用户名; 授予用户dbdatawriter角色权限： ALTER SERVER ROLE dbdatawriter ADD MEMBER 用户名; 目标库 目标库为天翼云RDS for SQL Server 客户配置迁移实例的目标库连接时只需要填入普通用户即可，DTS会自动创建数据库并将该数据库的dbowner权限授予配置的用户。 目标库为自建库或其他云数据库 需要具备sysadmin角色权限。 目标库为天翼云RDS for SQL Server 无需额外进行赋权，DTS会自动创建数据库并将该数据库的dbowner权限授予配置的连接目标库的普通用户。 目标库为自建库或其他云数据库时，授予用户sysadmin角色权限： ALTER SERVER ROLE sysadmin ADD MEMBER 用户名;

本文以Juniper防火墙为例介绍如何在本地站点中加载VPN配置。 使用IPsec VPN建立站点到站点的连接时，在配置完天翼云VPN网关后，您还需在本地站点的网关设备中进行VPN配置。 前提条件 已经在天翼云VPC内创建了IPsec连接。 已经下载了IPsec连接的配置。 IPsec协议信息 配置项 示例值 IKE 认证算法 SHA256 IKE 加密算法 3DES IKE DH分组 Group2 IKE IKE版本 IKEv1 IKE 生命周期 86400 IKE 协商模式 main IKE PSK aa123bb IPsec 认证算法 SHA256 IPsec 加密算法 3DES IPsec PFS DH group2 IPsec 生命周期 3600 网络配置信息 配置项 示例值 VPC 待和本地IDC互通的私网网段。 VPN网关 天翼云VPN网关的公网IP地址。 本地IDC 待和天翼云VPC互通的私网网段。 本地IDC 本地网关设备的公网IP地址。 操作步骤 按照以下操作，在Juniper防火墙中加载用户网关的配置。 1. 登录防火墙设备的命令行配置界面。 2. 配置基本网络、安全域和地址簿信息。 Set security zones securityzone trust addressbook address netcfgr19216818024 192.168.18.0/24 set security zones securityzone vpn addressbook address netcfgr1921681024 192.168.1.0/24 3. 配置IKE策略。 set security ike policy ikepolicycfgr mode main set security ike policy ikepolicycfgr presharedkey asciitext "aa123bb" 4. 配置IKE网关、出接口和协议版本。 set security ike gateway ikegatecfgr ikepolicy ikepolicycfgr set security ike gateway ikegatecfgr address 121.xxx.xxx.113 set security ike gateway ikegatecfgr externalinterface ge0/0/3 set security ike gateway ikegatecfgr version v1only 5. 配置IPsec策略。 set security ipsec policy ipsecpolicycfgr proposalset standard 6. 应用IPsec策略。 set security ipsec vpn ipsecvpncfgr ike gateway ikegatecfgr set security ipsec vpn ipsecvpncfgr ike ipsecpolicy ipsecpolicycfgr set security ipsec vpn ipsecvpncfgr bindinterface st0.0 set security ipsec vpn ipsecvpncfgr establishtunnels immediately set security ipsec policy ipsecpolicycfgr perfectforwardsecrecy keys group2 7. 配置出站策略。 set security policies fromzone trust tozone vpn policy trustvpncfgr match sourceaddress netcfgr19216818024 set security policies fromzone trust tozone vpn policy trustvpncfgr match destinationaddress netcfgr1921681024 set security policies fromzone trust tozone vpn policy trustvpncfgr match application any set security policies fromzone trust tozone vpn policy trustvpncfgr then permit 8. 配置入站策略。 set security policies fromzone vpn tozone trust policy vpntrustcfgr match sourceaddress netcfgr1921681024 set security policies fromzone vpn tozone trust policy vpntrustcfgr match destinationaddress netcfgr19216818024 set security policies fromzone vpn tozone trust policy vpntrustcfgr match application any set security policies fromzone vpn tozone trust policy vpntrustcfgr then permit

本小节介绍SSL VPN的订购操作方法。 购买SSL VPN时系统会自动匹配合适的云主机，无需用户再单独购买云主机，云主机和SSL VPN会同步计费。 SSL VPN支持包年/包月订购，最小服务时长为1个月。 操作步骤 1. 使用天翼云账号登录SSL VPN管理控制台。 2. 单击“立即购买”进入订购页面。 3. 按需选择并发连接数量、弹性IP、订购时长。 4. 点击“立即购买”，确认订单并支付后等待订单完成即可。

Policy设置例子 允许所有的操作 plaintext {"Version":"20121017","Statement":{"Effect":"Allow","Action":["s3:"],"Resource":["arn:aws:s3::: ","arn:aws:s3::: /"]}} 限制只能上传和下载 plaintext {"Version":"20121017","Statement":{"Effect":"Allow","Action":["s3:PutObject","s3:GetObject"],"Resource":["arn:aws:s3::: ","arn:aws:s3::: /"]}} 使用分片上传 plaintext {"Version":"20121017","Statement":{"Effect":"Allow","Action":["s3:PutObject","s3:AbortMultipartUpload","s3:ListBucketMultipartUploads","s3:ListMultipartUploadParts"],"Resource":["arn:aws:s3::: ","arn:aws:s3::: /"]}} 其他常见操作权限： 上传权限：s3:PutObject 下载权限：s3:GetObject 删除权限：s3:DeleteObject 获取列表权限：s3:ListBucket 注意 ListObjects 操作是由ListBucket权限控制的 "Version:20121017"是系统的policy格式的版本号，不能改成其他日期 更多权限可参考：桶策略。

温馨提示： 调用API接口可结合SDK调试。具体SDK下载。

本地客户端为Windowws系统 在Windows系统中，您可通过tracetcp进行端口可用性探测。tracetcp同样通过发送TCP数据包进行链路探测，以分析链路是否存在中间节点对目标端口做了阻断。 安装traceroute 1. 在WinPcap官网下载并安装WinPcap library。 2. 在tracetcp官网下载tracetcp。 3. 将下载的tracetcp解压。 4. 进入解压后的文件夹，把tracetcp.exe程序移动到：C:WindowsSystem32 目录下。 注意 如果程序不在系统目录，则需要手动修改系统环境变量，以确保指令可以直接调用。 使用方法 在Windows PowerShell或cmd命令行中输入tracetcp命令，常用tracetcp命令格式如下所示。 plaintext tracetcp : ：指目标服务器的IP地址或者域名。 ：指需要探测的目标端口。 关于更多tracetcp参数说明，您可以通过tracetcp ?命令查看帮助。 测试示例 tracetcp的示例命令和返回结果如下。 plaintext C:UsersAdministrator>tracetcp www.ctyun.cn:80 Tracing route to 171.XXX.XXX.8 on port 80 Over a maximum of 30 hops. 1 1 ms 1 ms 1 ms 192.168.XX.X [XiaoXXXX] 2 3 ms 2 ms 2 ms 192.168.X.X [192.168.X.X] 3 11 ms 6 ms 6 ms 100.XX.X.X 4 4 ms 218.XX.XXX.XXX [XXX.XXX.XX.218.broad.XX.XX.XXXXXXX.163data.com.cn] 5 4 ms 182.140.220.106 6 10 ms 7 ms 7 ms 61.XXX.X.XXX [XXX.X.XXX.61.broad.XX.XX.XXXXXXX.163data.com.cn] 7 9 ms 7 ms 7 ms 118.XXX.XX.XXX 8 Destination Reached in 8 ms. Connection established to 171.XXX.XXX.8 Trace Complete. 当相关端口在某一跳被阻断，则之后各跳均不会有返回数据，据此就可以判断出异常节点。您可以根据相应节点信息，查询IP归属运营商进行问题反馈。

本文介绍了如何使用统一身份认证(Identity and Access Management,简称IAM)服务对访问云硬盘资源进行精细的权限管理。 统一身份认证IAM介绍 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等，更多信息，请参见“步骤二：创建自定义策略”。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略 ：预置的系统策略，您只能使用不能修改。云硬盘EVS相关的系统策略包含如下： Evs Admin：云硬盘服务的管理者权限，包含云硬盘所有控制权限（不含订单类权限）； Evs Viewer：云硬盘服务的观察者权限，包含云硬盘的列表页与详情页面权限； 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，请参见“步骤二：创建自定义策略”。

创建密钥版本 由于公私钥使用场景的特殊性，KMS不支持对非对称的用户主密钥进行自动轮转。可在指定用户主密钥中人工创建新的密钥版本，生成全新的一对公钥和私钥。 除此之外，和对称类型的用户主密钥不同，非对称的用于主密钥没有主版本（PrimaryKeyVersion）的概念，因此使用非对称密码运算的接口除需指定用户主密钥标志符（或别名）之外，还需指定密钥版本。 不适用范围 KMS管理的以下类型的密钥不支持多个版本： 云产品的默认密钥：特定云产品托管在KMS上的、用于加密保护您的数据的默认密钥。这类密钥由特定云产品为用户代为管理，为您的数据提供最基本的加密保护。 用户自带密钥（BYOK）：您导入到KMS中的密钥。这类CMK的Origin属性为External，KMS不负责为用户生成密钥材料，无法自动发起轮转行为。更多信息，请参见导入密钥材料。 操作步骤 设置自动轮转（对称密钥） 1. 登录密钥管理服务控制台。 2. 在页面最上方的导航栏的资源池下拉列表，选择密钥所在的区域。 3. 在左侧导航栏，单击 密钥管理服务 ，进入 密钥列表 。 4. 定位到待设置的对称密钥，点击 密钥ID ，进入 密钥详情页 。 5. 在密钥版本区域，点击 设置轮转策略 。 6. 在设置轮转策略对话框，选择轮转周期， 30天 、 90天 、 180天 ，或 自定义天数 。 7. 设置了自动轮转策略后，将显示密钥下次轮转时间，点击确定完成设置。 8. 可通过相同的步骤更改轮转周期，也可取消轮转策略。

云主机备份支持按需计费和资源包抵扣的计费模式。 包年包月 云主机备份当前不支持包年、包月的计费方式。支持资源包一次性付费，出账后抵扣的方式。针对资源包一次性预付包年包月，享受一定的优惠政策，具体折扣以标准价为准。客户需要一次性付费，退订请咨询您的客户经理，按照天翼云标准说明申请退订。 按需 云主机备份当前支持按需的计费方式，计费颗粒度为按小时，按备份功能费和备份存储费的总和收取。 详细的服务资费费率标准请参见产品价格详情中的内容。

操作步骤 1. 登录服务器连接MySQL实例，例如弹性云主机服务器或者本地服务器。 说明 创建并使用弹性云主机的方法，请参考 2. 执行如下命令，连接MySQL实例。 mysql h连接地址 P端口 u用户名 p密码 参数说明： h：主机IP地址，即MySQL > 实例管理 页面中该集群对应的实例列表中，主机的连接地址。 P：数据库端口，为实例基本信息 页面中的数据库端口。 u：用户名，即MySQL数据库帐号（默认管理员帐号为 root）。 p：密码，即MySQL数据库帐号对应的密码，为创建数据库实例时指定的密码，可以执行命令后输入，防止密码明文显示。 图1：连接命令示例： 图2：连接成功： 说明 若连接MySQL失败，请查看本文末尾的常见的连接失败问题及解决方法。 通过客户端连接MySQL实例 windows操作系统中，您可以通过使用MySQL客户端连接MySQL实例，本操作以MySQL Workbench 8.0.29为例，介绍如何通过客户端连接MySQL实例，其他客户端可以参考以下操作。 1. 到MySQL Workbench官网下载并安装MySQL Workbench。 2. 启动MySQL Workbench，打开Database > Connect to Database 。 3. 根据要求输入连接信息，单击OK完成连接。 参数说明： Hostname：MySQL实例的地址，需绑定弹性公网IP后获取外网地址。 Port：数据库端口，为实例基本信息 页面中的数据库端口。 Username：用户名，即 MySQL数据库帐号（默认管理员帐号为 root)。 Password：密码，即MySQL数据库帐号对应的密码，为创建数据库实例时指定的密码。