本文介绍海量文件服务配额相关限制及操作。 目录 什么是服务配额？ 配额说明 如何查看服务配额？ 如何申请扩大配额？ 常见问题 什么是服务配额？ 服务配额是指天翼云账号在使用云资源时的最大限制。为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如用户最多可以创建多少台弹性云主机、多少块云硬盘、多少个文件系统等。 配额说明 对于海量文件服务，一般情况下您需要关注以下3个配额： 配额项 说明 文件系统总容量配额 单用户单地域默认分配500TB配额用于创建文件系统，所有的文件系统都使用这500TB。 若不满足使用需求，例如需要创建1PB的文件系统，则可以提交工单申请调整此配额。 文件系统数量配额 默认10个，即默认情况下，在某资源池您可以创建10个文件系统。在多可用区资源池，各可用区共用该资源池总数量配额。 如不满足使用需求，可以申请调整至20个，见下方场景示例。 若需要创建20+个文件系统，请提交工单进行资源评估。 说明 由于实际资源情况有波动，实际配额调整能力需要根据当前资源池的剩余资源情况进行调整，若实际剩余资源不足，可能无法调整至预期配额。 单个文件系统容量上限 单文件系统默认容量上限为1PB。如不满足使用需求，可以申请调整，最大可调整至4PB。 说明 由于实际资源情况有波动，实际配额调整能力需要根据当前资源池的剩余资源情况进行调整，若实际剩余资源不足，可能无法调整至预期配额。 海量文件服务容量和性能不是线性相关，性能不会随容量增大线性增长，最大性能详见产品规格。

当您的防护网站以独享模式部署到WAF后，您可以在WAF管理控制台上通过升级操作，将WAF独享引擎实例升级到最新版本，以获取独享引擎实例最新防护性能。为了提升业务的高可靠性，请您参照以下操作指导完成独享引擎实例升级操作。 说明 对于可靠性要求较高的业务，建议您至少购买2个独享引擎实例部署为双活或多活高可靠架构。如果业务部署单引擎实例，当实例对应的ECS发生故障时，WAF将不可用。 前提条件 防护网站以“独享模式”接入WAF。 单独享引擎实例节点升级 如果您的业务只部署了一个独享引擎实例，请参照以下操作升级实例。 步骤 1 购买一个新的独享引擎实例。 新购买的独享引擎实例为最新版本。当实例为最新版本时，“升级”按钮为灰化状态。 确保新购买的实例，虚拟私有云，子网，安全组等配置，与原实例一致。在这些参数都一致的情况下，新实例会自动同步原实例的所有WAF防护配置。 步骤 2 在原独享引擎实例所属VPC下的任一台ECS上，执行curl命令，验证业务是否正常。 HTTP业务 curl http:// WAF独享引擎实例IP : 业务端口H "host：业务域名 " H "UserAgent: Test" HTTPS业务 curl https:// WAF独享引擎实例IP : 业务端口 H "host：业务域名" H "UserAgent: Test 检查业务是否正常，如果业务正常，请执行步骤3；如果业务异常，请参照业务中断排查排查故障后，再执行步骤3。 说明 执行curl命令的主机需要满足以下条件： 网络通信正常。 已安装curl命令。Windows操作系统的主机需要手动安装

本节主要介绍创建委托（委托方操作） 通过创建委托，可以将资源共享给其他帐号，或委托更专业的人或团队来代为管理资源。被委托方使用自己的帐号登录后，切换到委托方帐号，即可管理委托方委托的资源，避免委托方共享自己的安全凭证（密码/密钥）给他人，确保帐号安全。 操作步骤 步骤 1 委托方使用已注册的天翼云帐号登录天翼云官网。 步骤 2 单击首页顶部控制台，在控制中心页面“管理与部署”分类中，单击“统一身份认证服务”。 步骤 3 在统一身份认证服务管理页面，单击左侧功能菜单“委托”。 步骤 4 在“委托”页面，单击“＋创建委托”。 步骤 5 在“创建委托”页面，输入“委托名称”，“委托类型”选择“普通帐号”，在“委托的帐号”中输入需要建立委托关系的其他帐号的帐号名。 说明 普通帐号：将资源共享给其他帐号或委托更专业的人或团队来代为管理帐号中的资源。委托的帐号只能是帐号，不能是IAM用户名。 云服务：授权指定云服务使用其他云服务。详情请参见“委托其他云服务管理资源” 步骤 6 设置“持续时间”及“描述”信息。 步骤 7 单击“下一步”，进入给委托授权页面。 步骤 8 勾选需要授予委托的权限，单击“下一步”，选择权限的作用范围。 说明 给委托授权即给其他帐号授权，给用户组授权即给帐号中的IAM用户授权，两者操作方法相同，仅可选择的权限个数不同，授权操作请参见“给用户组授权”。 为了保障您的帐号安全，委托将不能添加Security Administrator权限，建议您按照业务场景为委托授予最小权限。 步骤 9 单击“确定”，委托创建完成。 说明 委托方操作完成，将自己的帐号名称、创建的委托名称、委托ID以及委托的资源权限告知被委托方后，被委托方可以通过切换角色至委托方帐号中管理委托资源。

本章节介绍了源站服务器部署在天翼云弹性云服务器（以下简称ECS）或天翼云弹性负载均衡（以下简称ELB）时，如何判断源站存在泄漏风险，以及如何配置访问控制策略保护源站安全。 网站已接入Web应用防火墙（Web Application Firewall，简称WAF）进行安全防护后，您可以通过设置源站服务器的访问控制策略，只放行WAF回源IP段，防止黑客获取您的源站IP后绕过WAF直接攻击源站。 说明 网站已接入WAF进行安全防护后，无论您是否配置源站保护，都不影响正常业务的转发。没有配置源站保护可能导致攻击者在源站IP暴露的情况下，绕过WAF直接攻击您的源站。 如果在ECS前使用了NAT网关做转发，也需要设置ECS入方向规则在ECS的安全组配置只允许放行WAF的回源IP地址段，保护源站安全。 操作须知 在配置源站保护前，请确保该ECS或ELB实例上的所有网站域名都已经接入WAF，保证网站能正常访问。 配置安全组存在一定风险，避免出现以下问题： 您的网站设置了Bypass回源，但未取消安全组和网络ACL等配置，这种情况下，可能会导致源站无法从公网访问。 当WAF有新增的回源网段时，如果源站已配置安全组防护，可能会导致频繁出现5xx错误。 如何判断源站存在泄露风险 您可以在非天翼云环境直接使用Telnet工具连接源站公网IP地址的业务端口（或者直接在浏览器中输入访问Web应用的IP），查看是否建立连接成功。 如果可以连通：表示源站存在泄露风险，一旦黑客获取到源站公网IP就可以绕过WAF直接访问。 如果无法连通：表示当前不存在源站泄露风险。

对比项 子项 默认密钥 基础版 企业版 计费模式 免费 包周期 包周期 应用场景 云产品透明加密 √ √ √ 应用场景 用户自建应用加密 √ √ 应用场景 密评合规 × √ 应用场景 证书管理 √ √ 配额 默认计算性能（以对称加密为例） 1000QPS（所有云产品的默认密钥共享加密接口的性能） 单基础实例专享：2000QPS（通过应用接入点在VPC间调用） 共享网关：750QPS（通过openapi调用） 单基础实例专享：2000QPS（通过应用接入点在VPC间调用） 共享网关：750QPS（通过openapi调用） 配额 密钥数量 每个天翼云账号在每个资源池，可为每个云产品创建1个默认密钥 单基础实例：02000个 单基础实例：02000个 配额 证书数量 单基础实例：01000个 单基础实例：01000个 配额 应用接入点 单基础实例：3个 单基础实例：3个 接入网络类型 内部网络 openapi（公网） VPC间调用（私网） openapi（公网） VPC间调用（私网） 密钥管理 密钥规格 AES256 对称密钥：AES256 非对称密钥：RSA2048 对称密钥： AES256 SM4 非对称密钥： RSA2048 SM2 密钥管理 导入外部密钥材料（BYOK） × √ 对称密钥支持 √ 对称密钥支持 密钥管理 密钥自动轮转 × √ 对称密钥支持 √ 对称密钥支持 密钥管理 计划删除密钥 × √ √ 密钥管理 密钥删除保护 × √ √ 密钥管理 密钥别名管理 √（系统默认别名） √ √ 密钥管理 密钥标签管理 √ √ √ 密码运算 数据加解密 √（云产品） √ √ 密码运算 签名验签 × √ √ 密码运算 完整性校验 × √ √ 证书管理 创建证书 × √ √ 证书管理 导入证书 × √ √ 证书管理 吊销证书 × √ √ 证书管理 删除证书 × √ √

本文向您介绍弹性IP服务的基本概念。 独享带宽 当您购买EIP时，无论是哪种计费模式，只要没有加入共享带宽，那么您的EIP使用的是独享带宽。 您可以根据业务需求随时调整独享带宽大小，带宽大小的修改即时生效。 独享带宽支持对单个EIP进行限速，该EIP只能被一个云资源（弹性云主机、NAT网关、弹性负载均衡等）使用。一般情况下，如果所有IP业务都是同时间进行公网访问，建议使用独享带宽。 共享带宽 共享带宽可以实现多个EIP共同使用一条带宽，针对多个EIP进行集中限速。 同一区域下的所有已绑定EIP的ECS、ELB等实例共用一条带宽资源，实现VPC和区域级别的带宽统一管理，同时方便运维统计和运营成本结算。 区域和可用区 什么是区域、可用区 区域和可用区用来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）指物理的数据中心。每个区域完全独立，这样可以实现最大程度的容错能力和稳定性。资源创建成功后不能更换区域。 可用区（AZ，Availability Zone）是同一区域内，电力和网络互相隔离的物理区域，一个可用区不受其他可用区故障的影响。一个区域内可以有多个可用区，不同可用区之间物理隔离，但内网互通，既保障了可用区的独立性，又提供了低价、低时延的网络连接。

云容器引擎通过将Kubernetes网络和VPC深度集成，提供了稳定高性能的容器网络，能够满足多种复杂场景下工作负载间的互相访问。 约束与限制 每个命名空间下，创建的服务数量不能超过6000个。此处的服务对应kubernetes的service资源，即工作负载所添加的服务。 容器开启hostPort或hostNetwork网络模式后，若需对外提供服务，则需要给容器所在节点开启对应端口的安全组(containerPort)。 Service基本概念 Kubernetes中每一个工作负载会有一个或多个实例（Pod），每个实例（Pod）的IP地址由网络插件动态随机分配（Pod重启后IP地址会改变）。为屏蔽这些后端实例的动态变化和对多实例的负载均衡，引入了Service这个资源对象。 Service是一种资源，提供了我们访问单个或多个容器应用的能力。每个服务在其生命周期内，都拥有一个固定的IP地址和端口。每个服务对应了后台的一个或多个Pod，通过这种方式，客户端就不需要关心Pod所在的位置，方便后端进行方便的Pod扩容、缩容等操作。 用户在Kubernetes中可以部署各种容器，其中一部分是通过HTTP、HTTPS协议对外提供七层网络服务，另一部分是通过TCP、UDP协议提供四层网络服务。而Kubernetes定义的Service资源就是用来管理集群中四层网络的服务访问。 根据创建Service的type类型不同，可分成如下模式： ClusterIP ：默认类型，为服务分配集群虚拟IP，此时集群内部的pod可以通过服务名称寻址到服务的集群虚拟IP地址，集群外无效。 NodePort ：在每个节点上为服务分配静态端口号，此时如果在集群外部访问任何一个节点的IP地址加指定的端口号，kubeproxy会将流量转发到服务的集群虚拟IP，再由虚拟IP寻址到Pod。 LoadBalancer ：通过云服务供应商提供的load balancer向外部暴露服务，由指定的load balancer负责对NodePort与ClusterIP服务的路由。 ClusterIP和NodePort类型的Service，在不同云服务商或是自建集群中的行为表现通常情况下相同。而LoadBalancer类型的Service，由于使用了云服务商的负载均衡进行服务暴露，云服务商会围绕其负载均衡的能力提供不同的额外功能。例如，控制负载均衡的网络类型，后端绑定的权重调节等，详情请参见本章相关文档。 服务访问方式 在CCE中，支持以下类型的互联互通： 集群内访问（ClusterIP ） 工作负载暴露给同一集群内其他工作负载访问的方式，可以通过“集群内部域名”访问。集群内部域名格式为“ . .svc.cluster.local”，例如“nginx.default.svc.cluster.local”。详细请参见集群内访问(ClusterIP)。 节点访问（NodePort ） 节点访问 ( NodePort）是指在每个节点的IP上开放一个静态端口，通过静态端口对外暴露服务。节点访问 ( NodePort )会路由到ClusterIP服务，这个ClusterIP服务会自动创建。通过请求 : ，可以从集群的外部访问一个NodePort服务。详细请参见节点访问(NodePort)。 负载均衡 ( LoadBalancer ) 通过弹性负载均衡从公网访问工作负载，与弹性IP方式相比提供了高可靠的保障，一般用于系统中需要暴露到公网的服务。访问方式由公网弹性负载均衡ELB服务地址以及设置的访问端口组成，例如“10.117.117.117:80”。详细请参见负载均衡(LoadBalancer)。 七层负载均衡（Ingress） 通常情况下，service和pod的IP仅可在集群内部访问。集群外部的请求需要通过负载均衡转发到service在Node上暴露的NodePort上，然后再由kubeproxy通过边缘路由器 (edge router) 将其转发给相关的Pod或者丢弃，而Ingress就是为进入集群的请求提供路由规则的集合。 Ingress可以给service提供集群外部访问的URL、负载均衡、SSL终止、HTTP路由等。为了配置这些Ingress规则，集群管理员需要部署一个Ingress controller，它监听Ingress和service的变化，并根据规则配置负载均衡并提供访问入口。 Ingress的组成部分： Nginx：实现负载均衡到pod的集合。 Ingress Controller：从集群api获取services对应pod的ip到nginx配置文件中。 Ingress：为nginx创建虚拟主机。 Ingress的创建与管理请参见Ingress概述。 网络策略（NetworkPolicy） 网络策略（NetworkPolicy）是一种关于pod间及pod与其他网络端点间所允许的通信规则的规范。 NetworkPolicy资源使用标签选择pod，并定义选定pod所允许的通信规则，详细请参见NetworkPolicy。 网络底层基础设施 VPC 虚拟私有云（Virtual Private Cloud，以下简称VPC），是基于创建的自定义私有网络，不同的专有网络之间彻底逻辑隔离。可以为云服务器、云数据库和负载均衡等构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。 您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 ELB 弹性负载均衡（Elastic Load Balance，简称ELB）是将访问流量根据转发策略分发到后端多台服务器的流量分发控制服务。弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力，通过消除单点故障提升应用系统的可用性。 弹性负载均衡支持经典型、共享型两种负载均衡： − 经典型负载均衡：适用于访问量较小，应用模型简单的web业务。 − 共享型负载均衡：适用于访问量较大的web业务，提供基于域名和URL的路由均衡能力，实现更加灵活的业务转发。

本节介绍登录天翼云电脑（政企版）控制台的操作指导。 操作场景 登录AI云电脑（政企版）控制台后，才能进行如下业务操作： 订购并管理资源包：管理员可先订购包括AI云电脑计算、存储和网络配额的资源包，然后再通过使用资源包为终端用户分配AI云电脑实例、配置数据盘及上网带宽。 创建并管理AI云电脑：可以通过资源包或单实例方式开通Windows系统、Linux系统的AI云电脑，可以查看和管理租户下所有AI云电脑的使用情况。 管理组织结构：在管理控制台上创建部门、角色、用户、子账号等，更好地维护管理台用户的组织架构。 管理网络：管理员可自主配置和管理虚拟网络环境。可配置虚拟私有云（VPC）、业务子网、网络安全组、上网带宽等。 管理策略：管理员可以通过配置策略，对用户终端与AI云电脑之间的数据传输和外设接入的权限进行控制。 通过产品详情页进入 1. 使用管理员帐号登录天翼云门户； 2. 前往天翼AI云电脑（政企版）产品详情页面； 3.在产品详情页面点击“管理控制台”进入即可。

介绍APM监控详情里缓存监控中的Redis相关指标的名称、含义等信息。 Redis指标说明表 指标类别 指标 指标说明 数据类型 Redis调用详情（Detail，调用详情指标集） ms0To10Count 010ms次数 Int Redis调用详情（Detail，调用详情指标集） ms10To100Count 10100ms次数 Int Redis调用详情（Detail，调用详情指标集） ms100To500Count 100500ms次数 Int Redis调用详情（Detail，调用详情指标集） ms500To1000Count 5001000ms次数 Int Redis调用详情（Detail，调用详情指标集） ms1000To10000Count 110s次数 Int Redis调用详情（Detail，调用详情指标集） msMorethan10000Count 10s以上次数 Int Redis调用详情（Detail，调用详情指标集） count 请求数 Int Redis调用详情（Detail，调用详情指标集） SUM 总响应时间 Int Redis调用详情（Detail，调用详情指标集） maxCost 最大响应时间 Int Redis调用详情（Detail，调用详情指标集） failedCount 错误数 Int 主机汇总（Host，主机汇总指标集） ms0To10Count 010ms次数 Int 主机汇总（Host，主机汇总指标集） ms10To100Count 10100ms次数 Int 主机汇总（Host，主机汇总指标集） ms100To500Count 100500ms次数 Int 主机汇总（Host，主机汇总指标集） ms500To1000Count 5001000ms次数 Int 主机汇总（Host，主机汇总指标集） ms1000To10000Count 110s次数 Int 主机汇总（Host，主机汇总指标集） msMorethan10000Count 10s以上次数 Int 主机汇总（Host，主机汇总指标集） count 请求数 Int 主机汇总（Host，主机汇总指标集） SUM 总响应时间 Int 主机汇总（Host，主机汇总指标集） maxCost 最大响应时间 Int 主机汇总（Host，主机汇总指标集） failedCount 错误数 Int

本文主要介绍后端云主机概述。 绑定后端云主机时，请注意以下事项： 如果未开启跨VPC后端，请确保后端云主机和负载均衡器属于同一个VPC。 建议您选择相同操作系统的后端云主机，以便日后管理和维护。 您可以设置后端主机组内各后端云主机的转发权重。权重越高的后端云主机将被分配到更多的访问请求。 如果您开启了会话保持功能，那么有可能会造成后端云主机的访问量不均衡。如果出现了访问不均衡的情况，建议您暂时关闭会话保持功能，观察一下是否依然存在这种情况。 慢启动 开启慢启动后，负载均衡器向该模式下的后端云主机线性增加请求分配权重，当配置的慢启动持续时间期限结束后，负载均衡器向后端云主机正常发送完请求，并退出慢启动模式。使用慢启动功能时，请注意以下事项： 目前仅HTTP和HTTPS类型的后端主机组支持慢启动功能。 只对加权轮询算法生效。 只对于新增后端云主机开启慢启动，如果原来的主机组没有后端云主机，则新增的首个后端云主机慢启动也不生效。 在健康检查开启时，后端云主机在线后慢启动生效； 如果慢启动过程中健康检查抖动，慢启动计时不会停止。 在健康检查关闭时，慢启动立即生效。 后端云主机的慢启动结束之后，不会再次进入慢启动模式。

本文主要介绍了包年包月计费模式适用场景、计费说明、资源到期处理及包年包月计费模式优缺点，便于用户快速了解包年包月计费模式。 包年包月计费，一种预付费模式，即先付费再使用，一般为包年包月的购买形式，支付成功后，云资源将被系统分配给用户使用，直到超过保留期后被系统回收。 适用场景 适用于较稳定的业务场景。 需要长期使用，追求低成本。 计费说明 一般以包年/包月的形式购买。用户根据需要，一次性支付一个月/多个月/一年/多年的费用，支付成功后，云资源将被系统分配给用户使用，直到超过保留期后被系统回收。 到期前续费 用户在资源到期前进行续费操作，可以延长原有资源到期时间，避免资源到期后冻结或超过保留期后被系统回收。 到期处理 到期后，资源进入保留期，您将不能正常访问及使用云服务（资源冻结），但对于您存储在云服务中的数据予以保留。 若您在保留期内续费，续费周期自资源续订解冻开始，计算新的服务有效期，按照新的服务有效期计算费用； 若保留期到期您仍未续费，存储在云服务中的数据将被删除、云服务资源将被释放。 表：包年包月资源到期处理机制 产品类型 保留期 超过保留期 计算、存储、网络、数据库、终端类产品 15天 存储数据将被删除、云服务资源将被释放

服务月报是帮助客户总结云上资源运行状态，找出痛点问题和优化建议的专业报告。 服务月报是为企业级支持计划客户呈现的资源总体情况、服务总结、云上资源可用性分析、健康状态分析等，帮助客户总结云上资源运行状态，找出痛点问题和优化建议的专业报告。 天翼云在客户加入企业级支持计划次月起提供月报服务，根据客户要求，按需于每月第15个工作日前向客户要求的邮箱发送上月服务月报。 服务月报核心内容包括： 资源总结情况： 各产品线资源数量，月度周期的资源变化量； 服务总结： 月度工单整体情况，重点报障信息及需求跟进情况； 云上资源可用性分析： 识别各产品线风险项，提出优化建议，整改进展和当前状态； 主要云资源和网络健康状态分析： 描述使用概览，月度运行情况，以及提出优化建议； 安全防护： 依据客户使用的安全产品出具安全报表和建议。 注意 在一些特殊情况下，可能因数据采集制约导致天翼云无法生成和发送月报。例如，尚处于上云POC阶段的部署架构可能变动较大不适宜生成月报；专属云特定部署场景也可能导致工具无法采集到月报数据；部分资源池暂时无法对接，月报中部分数据可能存在一定差异。 在输出服务月报的过程中，天翼云需采集客户的基础设施运维数据。所有数据仅用于制作服务月报，不会用于其他任何目的。数据采集类型和用途说明如表1所示。 表1 数据采集类型和用途说明 数据类型 说明 采集和存储方式 数据用途 ::: 服务工单数据 技术类、业务类工单清单。 工单的编号、描述、问题分类、创建时间、解决时间等工单信息。 经自动化工具调用工单API查询结果，中途不存储数据，月报结果按照租户隔离存储。 自动化统计分析，生成月报“服务工单”内容。 云服务资源实例数据 客户创建的资源列表，各资源数量。 资源id、名称、状态、规格、创建时间、IP地址、使用量及服务资源相关的基本配置信息。 经自动化工具调用云服务API查询结果，中途不存储数据，月报结果按照租户隔离存储。 自动化统计分析，生成月报“资源概况”内容。 资源负载监控数据 CPU使用率、内存使用率、磁盘使用率、磁盘读写速率、 IP出口带宽、IP入口带宽、并发连接数、新建连接数、网络延迟、网络丢包率等资源监控指标。 经自动化工具调用云服务API查询结果，中途不存储数据，月报结果按照租户隔离存储。 自动化统计分析，生成月报“资源概况”内容。

本节介绍什么是云安全中心。 云安全中心（CTCSC，Cloud Security Center，简称云CSC）作为用户侧的安全中心，通过对各个主机资产、安全设备告警日志等数据的采集对数据进行应用，通过安全数据的统一汇聚进行安全数据的统一融合化处理，通过平台整体整合形成数据汇聚、威胁检测、告警响应的业务能力，对业务进行应急处置和统计分析，满足态势感知、响应处置拦截、威胁预警和攻击行为溯源等目标，最终实现统一的前台展示，帮助用户实现威胁检测、溯源、响应的自动化安全运营闭环。 云安全中心系统主要包含应用中心、安全分析中心、安全数据汇聚以及安全响应中心四大模块。 应用中心：提供各类安全数据的展示、资产以及风险管理，对各类安全指标进行统计分析，出具安全运营报告，实现安全系统数据的统一管理、统一运营。 安全分析中心：实现安全分析和数据分析，构建各类威胁模型，深度检测安全威胁，智能分析辅助安全决策，感知整体安全态势。 安全数据汇聚：实现各类数据源的数据收集，实现数据服务、数据存储、数据处理以及数据采集等。 安全响应中心：实现工单、剧本以及插件工具的管理，安全编排与自动化响应处置，提升安全威胁检测能力和处置效率。

本文主要介绍算力网关侧的裸金属访问天翼云4.0侧的对象存储。 操作步骤 一、 前提 通过公共算力服务提前完成跨域互联的创建。 二、 创建VPCE实例 在天翼云4.0侧的VPCE管理控制台，点击“创建终端节点”按钮，打开创建终端节点的页面。 说明： 服务类型：选择云服务。 选择服务：搜索并选择zos终端节点。 虚拟私有云：选择先前创建的VPC以及子网（此VPC和子网是跨域互联里使用的VPC和子网，已和算力网关侧的VPC完成互联打通）。 其它选项按需填写后点击创建。 在VPCE终端节点里记录ZOS终端节点的IP（此处举例：172.25.0.6）。后续使用终端节点IP来访问对象桶以及其中的对象数据。 如前期操作一切无误，可在算力网关侧的裸金属实例中ping通ZOS终端节点IP（此处为172.25.0.6）。 三、 创建对象桶以及上传对象数据 在对象存储界面按需创建出对象桶。 点击访问刚创建桶的详情页面，选择“文件管理”标签页，按需上传文件数据。 打开上传文件的详情页面，URL即为此文件的下载URL（如上图所示）。 说明： 使用先前VPCE实例的节点IP替换上图URL中的域名，示例替换后如下。 桶的链接： 文件的链接： 在算力网关侧的裸金属实例，可以使用wget下载到桶中的文件，如上图所示。

本文帮助您快速熟悉复制安全组规则的操作场景和操作流程。 操作场景 复制功能支持利用已有的安全组规则，快速生成一个新的安全组规则。复制时，您可以根据业务需求自定义修改目标规则。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成安全组、安全组规则的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在左侧导航栏，选择“访问控制安全组”选项。 5. 在安全组列表页面，选择需要复制规则的安全组，单击安全组名称进入详情页，进入安全组详情页。 6. 在“安全组”详情界面，选择安全组规则所属方向，找到需要复制的安全组规则所在行。 7. 点击操作列的“复制”，进入复制安全组规则页面。 8. 根据业务需求修改目标安全组规则的相应参数。 9. 单击“确定”按钮，即可快速创建出安全组规则。关于安全组规则中参数的设置方法，请参考添加安全组规则。

总览页面分为云服务全景图（资产地图）、数据采集安全、数据传输/存储安全、数据使用安全和数据交换/删除安全共五大板块，实时呈现了用户资产的具体情况。 前提要求 已完成资产访问的授权，参考云资产委托授权/停止授权进行操作。 已完成添加数据库资产，参考数据库资产清单进行操作。 操作步骤 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择“安全> 数据安全中心”，进入数据安全中心总览界面。 4. 查看数据安全中心服务的总览—云服务全景图。 提供数据资产地图，帮助客户建立数据资产的全景视图，可视化呈现数据资产分布、数据敏感程度、当前的风险级别。 梳理云上数据资产：自动扫描并梳理云上数据资产，地图化展示资产分布，帮助用户解决数据在哪里的问题。 敏感数据展示：基于DSC的三层数据识别引擎、预置合规规则、自然语义识别技术、文件相似度检测技术，对数据资产进行分类分级。 对数据资产按照“风险VPC数”、“风险安全组数”、“风险主机数”、“风险RDS数”、“风险OBS数”进行分类展示。 每类资产按照“高危”、“中危”、“低危”、“未识别风险”对敏感数据进行分级定位。 风险监控和预警：基于风险识别引擎，对数据资产进行风险监控，展示每类资产的风险分布，并预警。 说明 将鼠标移动到数据资产图标处，可查看资产相关信息。 单击数据资产图标，在界面的右侧弹框中可详细查看该资产的“基本信息”、“风险信息”或者“风险安全组规则”等信息。 5. 查看数据安全中心服务的总览—数据采集安全。 DSC根据敏感数据规则对敏感数据进行识别和敏感等级分类，您可以在总览页面查看您资产中不同风险等级的数据的分布情况。 基于敏感字段在文件中出现的累计次数和敏感字段关联组来判断文件的敏感性，并根据文件的敏感程度将其划分为四个等级：“未识别风险”、“低风险”、“中风险”和“高风险”。风险等级依次递增。具体风险等级情况说明： 未识别风险：0级 低风险：1~3级 中风险：4~7级 高风险：8~10级 在柱状图中，不同高度代表该风险等级的资产数量。将鼠标箭头放置在柱状图上，可查看该风险等级的资产数量。 6. 查看数据安全中心服务的总览—数据传输/存储安全。 数据传输安全：DSC统计了以下可能存在传输安全的项，您可以直接单击具体项的名称，查看详细情况。 VPN连接数：您的资产中存在已创建的虚拟专用网络，具体的请参考《VPN服务用户指南》。 云专线连接数：您的资产中存在已创建的云专线物理连接，具体的请参考《云专线用户指南》。 ELB未采用加密通信的监听器：添加监听器时，未使用加密通信HTTPS协议的监听器数量的统计，建议您采用HTTS协议进行加密通信，具体的操作请参见修改监听器。 SSL证书订阅：您的资产中存在已购买或者已上传的证书数量，了解SSL证书请参考《SSL证书管理用户指南》。 WAF未采用加密通信的域名：WAF中添加域名时，未使用加密传输HTTPS协议的域名数量的统计，建议您采用HTTPS协议进行加密通信，具体的操作请参见修改服务器信息。 数据存储安全：该模块为您罗列了存在未加密的对象桶，为了防止您的资产存在不必要的存储安全，建议您单击对象桶名称，前往OBS界面，对未加密的对象桶进行加密。 7. 查看数据安全中心服务的总览—数据使用安全。 该模块统计了“近30分钟”、“近3小时”、“近24小时”、“近7天”、“近30天”内的数据使用安全信息。 未处理异常事件：按“数据访问异常”、“数据操作异常”、“数据管理异常”所占比例进行展示。同时，展示了异常事件总数、违例确认总数和违例排除总数。 单击“未处理异常事件”中的其中一个颜色区域，可查看指定数据异常占比。 当不需要展示某种类型的异常事件时，单击事件分布图右侧攻击类型对应的颜色方块，取消在事件分布圆环中的展示。 Top5访问源IP：前5的访问源IP的统计。 Top5被访问高风险对象：被访问的对象中，排在前5的高风险对象。 Top5访问帐号：前5的访问帐号的统计。 8. 查看数据安全中心服务的总览—数据交换/删除安全。 数据交换安全：展示了已创建的“静态脱敏任务数”以及“水印API调用次数”，如何创建数据脱敏任务请参考创建数据脱敏任务。 数据删除安全：DSC为您统计了数据库、ECS、OBS资产的当日删除数和总删除数。

本节介绍网络的用户指南:节点维度的网络配置。 使用场景 Cubecni网络插件会为节点额外添加网卡，用来构建容器网络。这些网卡，如eth1，默认使用配置项cubecniconfig配置的Pod子网和安全组，其中Pod子网为订购时选择的子网，安全组为订购时委托自动创建或用户选择的安全组。 可通过创建新的配置项，为特定节点或节点池配置单独的Pod子网和安全组，实现节点维度的容器网络配置。 如下场景，为特定节点配置独立的子网和安全组，以实现节点C的Pod独享NAT出口IP和带宽： 使用限制 1. 仅新建 的网卡会使用新配置的Pod子网和安全组，已创建的ENI会继续使用原有配置。若需配置节点维度Pod子网和安全组，建议为新节点 或节点池配置; 2. 该特性要求Cubecni版本不低于v1.1.6，且集群已配置资源委托。 操作步骤 1. 在命名空间kubesystem中创建名称为foo的ConfigMap。 a. 登录云容器引擎控制台，左侧导航栏选择集群； b. 在集群列表页面，单击目标集群名称，进入集群管理页面； c. 左侧导航栏，选择配置管理 > 配置项； d. 在配置项页面，命名空间选择kubesystem，单击创建配置项; e. 创建页面，配置项名称设置为foo，单击添加配置项，变量名设置为nodeconfig.json，变量值填入以下内容，将iaassubnets和securitygroups参数替换为实际值： plaintext { "action": "override", "iaassubnets": ["subnetjin7fmxxxx"], "securitygroups": ["sg6hxh19xxxx"] } 参数名 说明 action 值固定为override，默认为override，即子网/安全组配置会覆盖cubecniconfig的配置 iaassubnets 值为VPC子网ID列表。若配置多个子网，优先使用可用IP最多的子网；如无需修改，则无需配置iaassubnets，或值配置为null securitygroups 值为安全组ID列表。用于配置新建的Pod共享ENI，最多可配置5个；若无需修改，则无需配置securitygroups，或值配置为null 2. 节点配置标签 新建节点配置标签 创建节点池时添加节点标签，键设置为cubecniconfig，值设置为foo。新建节点池，详见节点池管理。 注意 节点池新增节点会使用foo指定的配置，不会更新存量节点已创建的网卡的安全组。 已有节点配置标签 a. 集群管理页面左侧导航栏，选择节点>标签 ，点击右侧对应节点的设置标签。 b. 在设置节点标签页面，选择自定义标签 ，点击添加标签。 c. 标签名设置为cubecniconfig，标签值值设置为foo，点击确认。 添加标签后，需重建cubecni插件： a. 集群管理页面左侧导航栏，选工作负载>守护进程。 b. 命名空间 选择kubesystem ，找到cubecni服务，点击右侧的重新部署。 c. 选择滚动重启 或快速重启 ，点击确认，当运行/期望Pod数量相等，说明重启成功。 注意 对于存量节点，不会更新已创建的网卡的安全组。 3. 检查配置是否生效 登录弹性云主机控制台，进入云主机实例详情页，可见弹性网卡配置的子网和安全组信息。

操作场景 当需要使用SDRS服务时，需要在生产站点服务器安装代理客户端。 代理客户端将复制生产站点服务器的IO，并发送给容灾网关。 前提条件 代理客户端不能部署在云容灾网关服务器上。 为保障服务正常运行，需要确保端口未被占用，请参见附录中的“异步复制客户端的端口说明”。 如果待安装代理客户端的服务器的防火墙已开启，需要放通59526端口的访问。 云容灾网关和代理客户端建议放在同一安全组内，安全组配置为仅允许安全组内弹性云主机互通。 安装包准备步骤 基于安全考虑，SDRS服务将在首次安装时随机生成自签证书用于组件间认证。为保证通信正常，安装代理客户端时，需使用在网关节点上生成的携带证书的安装包。 说明 仅新安装客户端涉及以下安装包准备步骤。 如果云容灾网关存在已经签名的目标版本安装包，可直接使用该安装包安装，详见Linux安装代理客户端步骤。 1. 获取代理客户端软件包到网关服务器 的/opt/cloud目录，并比对软件包的sha256值，确保安装包完整性。 跨区域和跨可用区模式：在服务控制台页面选择生产站点服务器的操作系统及对应版本，复制页面提供的命令，登录到网关服务器，进入/opt/cloud目录，粘贴并执行命令获取软件包。 2. 执行以下命令，将网关节点上的证书打包生成新的Linux安装包和sha256文件： sh /opt/cloud/sdrs/createcerts.shl 3. 执行以下命令，将网关节点上的证书打包生成新的windows安装包和sha256文件： sh /opt/cloud/sdrs/createcerts.sh w 说明 打包windows安装包需要使用unzipzip命令，若回显中包含如下提示，需安装后再进行重试。 ...unzip not installed. 或者 ...zip not installed.

本章主要介绍翼MapReduce的配置HBase允许修改操作的IP地址白名单功能。 当HBase集群开启Replication功能时，为了保护主备集群的HBase数据一致性，对备集群HBase增加了数据修改操作的保护。当备集群HBase接收到数据修改操作的RPC请求时，首先检查发出该请求的用户的权限，只有HBase管理用户才有修改权限；其次检查发出该请求的IP的有效性，备集群只接收来自IP白名单中的机器发起的修改请求。IP白名单通过配置项“hbase.replication.allowedIPs”配置。 参数修改入口：在FusionInsight Manager系统中，选择“集群 > 待操作集群的名称 > 服务 > 服务名 > 配置”，展开“全部配置”页签。在搜索框中输入参数名称。 详见下表：参数说明 配置参数 说明 默认值 hbase.replication.allowedIPs 仅允许指定IP地址的复制请求。支持逗号分隔型regex模式。以下模式均支持： Regex模式例如: 10.18.40. , 10.18. , 10.18.40.11 Range模式（只能指定八位字节的最后一个的范围）例如: 10.18.40.[1020] 参数值默认为空，为空时IP白名单为备集群RegionServer的IP，表示只接受来自备集群RegionServer的修改请求。 N/A

接口功能介绍 本接口用于查询直播在线拉流数据。 接口详情 请求方式：post 请求路径：/live/statistics/querypullstreaminfo 使用说明 单个用户一分钟限制调用10000次，并发不超过100； 可查询历史数据时间范围为最近14天； 单次可查询的时间跨度为1小时； 数据延迟时间为2min。 请求参数 参数 是否必填 参数类型 说明 示例 下级对象 domain 是 list 加速域名列表，单次查询输入域名的个数不能超过10个 [“ctyun.cn”,“ctyun.cn1”] appname 否 list 发布点列表 [“app1”,“app2”] streamname 否 list 流名列表 [“stream1”,“stream2”] starttime 是 int 开始时间戳,单位秒 1655108160 endtime 是 int 结束时间戳,单位秒 1655111760 响应参数 参数 是否必填 参数类型 说明 示例 下级对象 code 是 int 状态码 100000 message 是 string 描述信息 success result 否 list 返回结果列表 resultsingle 表resultsingle： 参数 是否必填 参数类型 说明 示例 下级对象 time 否 int 最新时间戳，单位秒 peerIsp 否 string 运营商 中国电信 peerIp 否 string 拉流ip 101.201.252.162 stream 否 string 流名 stream1 appName 否 string 发布点 app1 peerProvince 否 string 拉流ip归属地（省） 内蒙古自治区 peerCity 否 string 拉流ip归属地（市） 呼和浩特市 channel 否 string 域名 ctyun.cn2 pullStartTime 否 int 推流开始时间戳，单位秒 1631541676 pullEndTime 否 int 推流结束时间戳，单位秒 1631541736

本章节介绍云数据库ClickHouse数据备份和数据恢复功能。 备份恢复方案 云数据库ClickHouse支持自动备份和手动备份，您可以定期对数据库进行备份，当数据库故障或数据损坏时，可以通过备份文件恢复数据库，从而保证数据可靠性。实例恢复可根据备份任务做相应的数据恢复。可选择恢复到本实例，也可以选择恢复到同region下同租户的其他ClickHouse实例。恢复的实例必须要求和备份实例节点top结构一致。 说明 在备份过程中会进行数据文件的读取与复制，这可能会影响集群的读写效率。建议在业务低峰期启动备份任务。 备份内容 云数据库ClickHouse备份分为元数据备份和数据备份。数据备份时，选择相应库表备份，选中后会把集群内所有节点当前表都选中。 元数据备份：云数据库ClickHouse只针对实例库表数据结构进行备份。 数据备份：云数据库ClickHouse会把库表和数据文件一起备份。 备份位置 云数据库ClickHouse目前备份都存放在对象存储中，不会占用实例的存储空间。 根据保留时间，备份的数据到期后会自动删除。 注意 由于对象存储是按需计费的，余额欠费后，不会影响自动备份和手动备份功能，实例备份占用的备份空间会持续扣费。 备份操作步骤 1. 登入++天翼云ClickHouse 控制台++，在实例列表选择对应的实例，进入实例详情页面单击备份恢复。 2. 如果备份任务页出现未开启备份服务页面，可先去点击开启下备份设置（开启过程会涉及几分钟，请耐心等待）。 3. 点击创建备份，可以手动开启一次备份，手动备份任务是实时启动。也可以在备份策略页面，设置两种备份的备份策略，系统会根据设置的策略周期性进行备份任务，同时根据设置的保留时间，对定时备份进行到期清理。 4. 在备份任务页面，可查看所有的备份任务。备份过程中，正在备份的任务也可以进行取消，后台会把备份进行暂停，同时删除备份过程的数据。

参数 参数类型 说明 示例 下级对象 attachedId String 绑定设备ID aab10b211ec040108b16d76993b49d9b attachedName String 绑定设备名称 asconfigb17cqes8 attachedPrivateIp String 绑定设备ip 172.31.0.150 attachedType String 绑定设备类型 VM云主机 BM物理机 VIP虚拟ip LB是负载均衡 NAT VM bindStatus String 绑定状态；bind;unbind; bind eip String eip 182.43.62.56 eipId String eipId eipp0weypef75 eipName String eip名称 eip1cc7 eipNum String eip数字形式表现 firewallEdition String 防火墙版本号 firewallId String 防火墙ID ipType String IP类型；ipv4;ipv6; ipv4 protectStatus Boolean 防护状态 regionId String 资源池ID a6449feab4db11e9a6b40242ac110007 subnetCidr String 子网cidr subnetId String 子网id subnetName String 子网名称 tip String 提示 normal正常 tipOpenFirewall提示开通防火墙 tipConfig提示更改配置 uid String 租户ID 6ee4c9fa71c3403eab8af44e29c3e4c1 userId String 用户id 6ee4c9fa71c3403eab8af44e29c3e4c1 vpcId String vpc id vpccc91 vpcIp String vpc ip 192.168.0.0/16 vpcName String vpc名称 vpccc91

本文介绍扩容海量文件服务的具体操作。 操作场景 当用户认为文件系统的容量不足时，可以通过执行扩容操作来增加文件系统的容量。 注意 目前文件系统仅支持扩容操作，暂不支持缩容，可购置小容量新文件系统后进行文件迁移。 单用户单地域的海量文件服务初始容量配额500TB，该账号下开通的所有文件系统共享该配额，因此扩容规则为：扩容后的文件系统的总容量 海量文件服务OceanFS”，进入OceanFS文件系统列表页面。 3. 在待扩容的文件系统操作栏，点击“更多>扩容”。 4. 在弹出的“扩容”对话框中，按实际需要进行容量规格选择。 5. 完成容量设置后，包年/包月模式下点击“确认”进行支付；按量付费模式下在弹出界面点击“确定”完成扩容。 6. 等待扩容完成，可在文件系统详情页看到扩容后的容量。

本节介绍如何对主机进行授权。 操作场景 该任务指导用户通过漏洞扫描服务对已添加的Linux主机进行扫描授权。 前提条件 已获取管理控制台的登录账号与密码。 已添加Linux主机。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务管理控制台。 3. 在左侧导航栏，选择“资产列表 > 主机”，进入主机列表入口。 4. 批量选择需要配置的主机，单击“批量操作 > 编辑”，进入批量授权入口，如下图所示。 说明 用户也可以单台主机授权，在目标主机所在行的“操作”列，单击“编辑”。 5. 在主机授权页面，批量选择需要授权的主机，单击“批量配置授权信息”，如下图所示。 说明 用户也可以单台主机授权，在目标主机所在行的“操作”列，单击“配置授权信息”。 如果需要修改主机名称，单击编辑按钮，在弹出的对话框中，进行修改。 6. 选择SSH授权方式进行主机授权。 说明 如果需要修改已有SSH授权，单击“编辑”，进行修改。 如果需要删除已有SSH授权，单击“删除”，进行删除。 选择已有SSH授权，或者单击“创建SSH授权”创建SSH授权，如下图所示，参数说明如下表所示。 参数说明： 参数名称 参数说明 SSH授权别称 自定义SSH授权名称。 登录端口 SSH授权登录的端口号。 请确保安全组已添加该端口，以便主机可通过该端口访问VSS。 选择登录方式 “密码登录” “密钥登录” 选择加密密钥 为了保护主机登录密码或密钥安全，请您必须使用加密密钥，以避免登录密码或密钥明文存储和泄露风险。 您可以选择已有的加密密钥，如果没有可选的加密密钥，请单击“创建密钥”，创建VSS专用的默认主密钥。 Root权限是否加固 打开该权限后，不可以用root账号直接登录，而只能通过普通用户登录，然后才能切换到root用户。 sudo用户名 默认为root。 sudo密码 设置sudo用户对应的密码，为了您的账号安全，您的密码会加密保存。 7. 单击“确认”，完成Linux主机授权。 8. 单击“确定”，Linux主机授权成功。

相关操作 配置主机授权后，您可以取消主机授权，取消主机授权后，将不能完全扫描出主机的安全风险。

本页介绍部署环境时，需使用的硬件、网络和基础环境等等。 在部署环境之前，硬件、网络及基础环境必须满足如下要求： 服务器芯片：支持国产鲲鹏、海光、龙芯 服务器规格：4C8G及以上 磁盘：推荐1T及以上，实例节点服务器建议使用SSD 网络:千兆网络，实例节点服务器建议万兆网卡 操作系统版本：麒麟V10 SP3、统信V20 部署机器SSH 版本要求 7.4以上 最小化部署主机数量：TeleDB控制台一台主机，实例主机至少两台， 最小化资源部署需要三台主机 主机规格要求：控制台主机系统为centos7.6+intelx86 ，8c16g以上，建议为8c32g，实例主机系统可选择centos7.6+intelx86或者ctyunos201+鲲鹏920 准备一个数据盘，控制台主机建议500G，实例主机根据数据量判断 主机名 规格 目录及大小 系统及CPU类型 说明 A机器 8C32G 系统盘500G/app1T centos7.6+intelx86 用于安装TeledbDB控制台 B机器 8C32G 系统盘500G/app1T centos7.6+intelx86 用于安装实例主机 C机器 8C32G 系统盘500G/app1T centos7.6+intelx86 用于安装实例主机

本章节介绍如何在数据仓库服务(DWS)管理控制台创建一个数据仓库集群。 登录数据仓库服务管理控制台 操作场景 用户需要先进入数据仓库服务（DWS）控制台中心，然后开始使用数据仓库服务(DWS)。 操作步骤 1. 点击天翼云主页右上角控制中心； 2. 在天翼云“控制中心”右上角选择目标资源池； 3. 在“数据分析”列表中，单击“数据仓库服务”，进入数据仓库服务管理控制台页面。 创建集群 如果用户需要在云环境中使用数据仓库服务(DWS)，首先要创建一个数据仓库集群。 本章节为您介绍如何在数据仓库服务(DWS)管理控制台创建一个数据仓库集群。 创建集群前的准备 评估集群节点规格 用户可以根据数据量、业务负载以及性能需求，选择能够支撑业务应用的节点数量，数量越多，存储与计算能力越强。 首次使用DWS服务，可以先创建一个规格较小的集群，今后随着数据量和业务负载的变化，再自由调整集群规模和节点规格，自由扩展而不中断业务。 确定用户可使用的节点数 用户可使用的节点数需满足以下条件，否则系统会提示无法创建集群： 可使用的节点数取决于所选产品类型，其中实时数仓（单机部署）集群为单个节点，且只能为一个节点；其他产品类型可使用节点数大于或者等于3。用户可使用的节点数可在“集群 > 专属集群”页面查看。

本文为您介绍密钥管理服务的产品优势。 密钥管理服务（KMS）与传统的密钥管理设施相比具有安全合规、弹性高效、广泛集成以及稳定可用等优势。 安全合规 通过国家密码管理局安全性审查，符合国家密码行业标准（GM/T）相关技术规范要求，获得由国家密码管理局商用密码检测中心颁发的《商用密码产品认证证书》。 采用由国家密码管理局批准的硬件密码设备，通过更高安全的保护机制确保密钥的保密性、完整性和可用性。 集中托管 支持自动化开通，按需扩容，弹性灵活。 提供密码基础设施的完全托管，可轻松创建密钥等资源，并通过极简API/SDK实现应用的快速集成。 广泛集成 与云硬盘、对象存储、弹性文件、数据库等天翼云产品无缝集成，实现云上资源原生数据的加密保护。 云产品服务端加密功能可一键开启，加密过程透明无感知，用户体验极好。 稳定可靠 采用分布式部署，在每个资源池构建了冗余的密码计算能力，有效保证服务可靠性。 支持VPC内应用通过私密的连接通道访问KMS服务，保证数据安全性的同时，大幅度提高了访问效率，减少延时。

当云主机文件已删除但磁盘空间未释放时,请参考本文档解决方案 问题原因 在Linux或UNIX系统中，通过rm命令或者文件管理器对某个文件执行删除操作后，该文件将会从文件系统的目录结构上解除链接(unlink)同时从磁盘上清除数据。如果删除文件时，文件正在被一个或多个进程占用（如文件正在被浏览或读取），将出现解除链接(unlink)成功，而清除数据失败的情况，即空间未释放。 解决方案 查询占用文件的进程，并使用kill命令结束该进程。进程结束后，文件空间将自动释放。 操作步骤 1. 执行以下命令，查询已删除但仍然被进程占用的文件列表。 $ /usr/sbin/lsof grep deleted 执行命令后会获得如下回显信息（此信息为示例，请您以实际回显信息为准）。 cfg 27757 data 35u ocd 65,67 4295334545 45555532/oradata/DATA/fcuser.bak(deleted) 从回显信息中可见pid为27757的进程占用了刚刚删除的文件/oradata/DATA/fcuser.bak，文件名后的“(deleted)”为文件已被删除的标记。 2. 执行以下命令，通过结束该进程来释放被占用的空间。 kill 9 27757

问题描述 Nouveau驱动是Linux系统中用于支持NVIDIA显卡的开源驱动程序。然而，当Nouveau驱动未被禁用时，可能会导致一系列问题，特别是在使用NVIDIA的专有驱动程序时。以下是一些常见的问题： 图形性能下降：Nouveau驱动通常不如NVIDIA的专有驱动性能优越。 驱动冲突：Nouveau和NVIDIA专有驱动之间可能会发生冲突，导致驱动安装失败或者系统无法正常识别显卡。 解决方法 1.执行命令： 输入以下命令来检查Nouveau驱动的状态： lsmod grep nouveau 2.检查输出： 无输出：如果命令没有返回任何内容，或者输出中不包含“nouveau”关键字，这说明Nouveau驱动已经被禁用，请排查是否有其他问题。 有输出：如果输出中包含“nouveau”关键字，表示Nouveau驱动仍然安装并启用，请继续执行步骤3。 3.文件中写入下面两行内容 echo 'blacklist nouveau' > /etc/modprobe.d/blacklistnouveau.conf echo 'options nouveau modeset0' >> /etc/modprobe.d/blacklistnouveau.conf 4.Nouveau模块卸载 RedHat系（CentOS）系统执行 dracut force rmmod nouveau Debian类（Ubuntu）系统执行 updateinitramfs u rmmod nouveau 5.卸载后确认，以下命令没有打印内容则为禁用成功 lsmod grep nouveau 6.执行以下命令重启云主机（可选） reboot

本文介绍了云防火墙（原生版）产品的最佳实践，从EIP防护带宽选择、开启资产保护、配置访问控制策略等方面提供指导。 如何选择合适的EIP防护带宽？ 云防火墙（原生版）C100型实例提供高级版和企业版供用户选择，不同版本支持的EIP防护带宽不一样，建议EIP防护带宽不小于VPC内EIP总带宽。 EIP防护带宽支持范围如下： 高级版：10Mbps~2000Mbps 企业版：50Mbps~2000Mbps 开启公网资产保护 互联网边界防火墙帮助您检测和防护云上公网IP资产间的通信流量。只有为资产开启互联网边界防火墙后，您才可以使用云防火墙分析和控制云上主机的互联网访问流量。 您可以在“防火墙开关 > 互联网边界防火墙开关”页面，对指定的公网IP资产开启互联网边界防火墙，如下图所示。 配置外到内的访问策略 在“访问控制 > 互联网边界规则 > 入向规则”页面可进行配置，如下图所示。 在入向规则的访问策略中，不要对公网IP全部端口开放访问，对外仅开放必要的互联网IP和端口，其他端口请全部设置为拒绝。 放行需要对外开放的应用或端口 在访问控制页面入向规则列表中，依据业务需求，将源IP地址配置为0.0.0.0/0或特定源，目的选择要放开的IP，协议选择ANY或者依据业务需要选择对应协议，动作选择放行。 例如，80端口为Web服务，对全网开放，因此访问源为0.0.0.0/0；1433、3389端口分别为SqlServer、RDP服务，对特定源开放，因此访问源为特定源。 将除放行策略之外的流量设置为拒绝放行 在访问控制页面入向规则列表中，将源IP地址配置为0.0.0.0/0或地址簿中系统默认配置的地址簿ANY（0.0.0.0/0），目的设置为ANY，协议设置为ANY，动作选择拒绝。

本节主要描述在使用云容器引擎前,需理解该产品所涉及的概念,以便于您更好地理解容器产品。 关键词 说明 集群 集群指容器运行所需要的云资源组合，关联了若干服务器节点、负载均衡、专有网络等云资源。 专有版集群：需要创建1个Master（非高可用），或者3/5个Master（高可用）节点，以及若干Worker节点，可对集群基础设施进行更细粒度的控制，需要自行规划、维护、升级服务器集群。 托管版集群：只需创建Worker节点，Master节点由CCSE创建并托管，具备操作简单、低成本无需运维等特点。 节点 一台服务器（可以是虚拟机实例或者物理服务器）已经安装了Docker Engine，可以用于部署和管理容器。容器的Agent程序会被安装到节点上并注册到一个集群上。 专有网络VPC 专有网络VPC是您自己独有的云上私有网络。您可以完全掌控自己的专有网络，例如选择IP地址范围、配置路由表和网关等，您可以在自己定义的专有网络中使用天翼云资源如云服务器、云数据库和负载均衡等。 安全组 安全组是一种虚拟防火墙，具备状态检测和数据包过滤能力，用于在云端划分安全域。安全组是一个逻辑上的分组，由同一地域内具有相同安全保护需求并相互信任的实例组成。 应用目录 应用目录功能集成了Helm，提供了Helm的相关功能，并进行了相关功能扩展，例如提供图形化界面。 编排模板 编排模板是一种保存Kubernetes YAML格式编排文件的方式。 Kubernetes Kubernetes是一个开源平台，具有可移植性和可扩展性，用于管理容器化的工作负载和服务，简化了声明式配置和自动化。 容器（Container） 打包应用及其运行依赖环境的技术，一个节点可运行多个容器。 镜像（Image） 容器镜像是容器应用打包的标准格式，封装了应用程序及其所有软件依赖的二进制数据。 镜像仓库（Image Registry） 容器镜像仓库是一种存储库，用于存储Kubernetes和基于容器应用开发的容器镜像。 管理节点（Master Node） 管理节点是Kubernetes集群的管理者，运行着的服务包括kubeapiserver、kubescheduler、kubecontrollermanager、etcd组件，和容器网络相关的组件。 工作节点（Worker Node） 工作节点是Kubernetes集群中承担工作负载的节点，可以是虚拟机也可以是物理机。工作节点承担实际的Pod调度以及与管理节点的通信等。一个工作节点上的服务包括Docker运行时环境、kubelet、KubeProxy以及其它一些可选的组件。 命名空间（Namespace） 命名空间为Kubernetes集群提供虚拟的隔离作用。Kubernetes集群初始有3个命名空间，分别是默认命名空间default、系统命名空间kubesystem和kubepublic，除此以外，管理员可以创建新的命名空间以满足需求。 容器组（Pod） Pod是Kubernetes部署应用或服务的最小的基本单位。一个Pod封装多个应用容器（也可以只有一个容器）、存储资源、一个独立的网络IP以及管理控制容器运行方式的策略选项。 副本控制器（ReplicationController，RC） RC确保任何时候Kubernetes集群中有指定数量的Pod副本在运行。通过监控运行中的Pod来保证集群中运行指定数目的Pod副本。指定的数目可以是多个也可以是1个；少于指定数目，RC就会启动运行新的Pod副本；多于指定数目，RC就会终止多余的Pod副本。 副本集（ReplicaSet，RS） ReplicaSet（RS）是RC的升级版本，唯一区别是对选择器的支持，RS能支持更多种类的匹配模式。副本集对象一般不单独使用，而是作为Deployment的理想状态参数使用。 工作负载（Workload） 工作负载是在Kubernetes上运行的应用程序。 标签（Label） Labels的实质是附着在资源对象上的一系列Key/Value键值对，用于指定对用户有意义的对象的属性，标签对内核系统是没有直接意义的。标签可以在创建一个对象的时候直接赋予，也可以在后期随时修改，每一个对象可以拥有多个标签，但key值必须唯一。 服务（Service） Service是Kubernetes的基本操作单元，是真实应用服务的抽象，每一个服务后面都有很多对应的容器来提供支持，通过KubeProxy的ports和服务selector决定服务请求传递给后端的容器，对外表现为一个单一访问接口。 路由（Ingress） Ingress是授权入站连接到达集群服务的规则集合。您可以通过Ingress配置提供外部可访问的URL、负载均衡、SSL、基于名称的虚拟主机等。通过POST Ingress资源到API Server的方式来请求Ingress。Ingress Controller负责实现Ingress，通常使用负载均衡器，它还可以配置边界路由和其他前端，这有助于以高可用的方式处理流量。 配置项（ConfigMap） 配置项可用于存储细粒度信息如单个属性，或粗粒度信息如整个配置文件或JSON对象。您可以使用配置项保存不需要加密的配置信息和配置文件。 保密字典（Secret） 保密字典用于存储在Kubernetes集群中使用一些敏感的配置，例如密码、证书等信息。 卷（Volume） 和Docker的存储卷有些类似，Docker的存储卷作用范围为一个容器，而Kubernetes的存储卷的生命周期和作用范围是一个Pod。每个Pod中声明的存储卷由Pod中的所有容器共享。 存储卷（Persistent Volume，PV） PV是集群内的存储资源，类似节点是集群资源一样。PV独立于Pod的生命周期，可根据不同的StorageClass类型创建不同类型的PV。 存储卷声明（Persistent VolumeClaim，PVC） PVC是资源的使用者。类似Pod消耗节点资源一样，而PVC消耗PV资源。 存储类（StorageClass） 存储类可以实现动态供应存储卷。通过动态存储卷，Kubernetes将能够按照用户的需要，自动创建其所需的存储。 弹性伸缩（Autoscaling） 弹性伸缩是根据业务需求和策略，经济地自动调整弹性计算资源的管理服务。典型的场景包含在线业务弹性、大规模计算训练、深度学习GPU或共享GPU的训练与推理、定时周期性负载变化等。 可观测性（Observability） Kubernetes可观测性体系包含监控和日志两部分，监控可以帮助开发者查看系统的运行状态，而日志可以协助问题的排查和诊断。 Helm Helm是Kubernetes包管理平台。Helm将一个应用的相关资源组织成为Charts，然后通过Charts管理程序包。 节点亲和性（nodeAffinity） 节点亲和性指通过Worker节点的Label标签控制Pod部署在特定的节点上。 污点（Taints） 污点和节点亲和性相反，它使节点能够排斥一类特定的Pod。 容忍（Tolerations） 应用于Pod上，允许（但并不要求）Pod调度到带有与之匹配的污点的节点上。 应用亲和性（podAffinity） 应用亲和性决定应用Pod可以和特定Pod部署在同一拓扑域。例如，对于相互通信的服务，可通过应用亲和性调度，将其部署到同一拓扑域（例如同一个主机）中，以减少它们之间的网络延迟。 应用反亲和性（podAntiAffinity） 应用反亲和性决定应用Pod不与特性Pod部署在同一拓扑域。例如，将一个服务的Pod分散部署到不同的拓扑域（例如不同主机）中，以提高服务本身的稳定性。 服务网格（Istio） Istio是一个提供连接、保护、控制以及观测服务的开放平台，兼容社区Istio开源服务网格，用于简化服务的治理，包括服务调用之间的流量路由与拆分管理、服务间通信的认证安全以及网格可观测性能力。