如果您需要对天翼云上购买的运维安全中心实例资源进行管理，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制天翼云资源的访问。 通过IAM，您可以在天翼云账号中给员工创建IAM用户，并使用策略来控制对天翼云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望员工拥有运维安全中心实例的使用权限，但是不希望员工拥有创建、变更规格、升级实例等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用实例，但是不允许创建、变更规格、升级CBH实例的权限策略，控制员工对实例资源的使用范围。 如果天翼云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用运维安全中心的其它功能。 运维安全中心实例权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 CBH实例部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北北京1）对应的项目（cnnorth1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问CBH实例时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对运维安全中心实例，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。 如下表所示，包括了运维安全中心实例的部分系统权限。 系统角色/策略名称 描述 类别 CBH FullAccess 运维安全中心实例的所有权限（支付权限除外）。 系统策略 CBH ReadOnlyAccess 运维安全中心实例只读权限，拥有该权限的用户仅能查看运维安全中心服务，不具备服务配置和操作权限。 系统策略 说明 您在赋予账号企业项目级的CBH FullAccess权限时，还需要授予账号IAM项目级别的CBH ReadOnlyAccess权限，这样才可以在Console控制台正常使用CBH服务的各项功能。 您在赋予账号企业项目级的CBH FullAccess权限时，还需要授予账号IAM项目级别的CBH ReadOnlyAccess权限，这样才可以在Console控制台正常使用CBH服务的各项功能。 如下表列出了CBH实例常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 操作 CBH FullAccess CBH ReadOnlyAccess 创建运维安全中心 √ x 变更运维安全中心规格（变更规格） √ x 查询运维安全中心列表 √ √ 升级运维安全中心软件版本 √ x 查询ECS配额 √ x 绑定或解绑EIP √ x 重启运维安全中心 √ x 启动运维安全中心 √ x 关闭运维安全中心 √ x 查看运维安全中心可用区 √ x 检测当前配置是否支持创建IPv6运维安全中心 √ x 检测运维安全中心与License中心之间网络是否连通 √ x 修改运维安全中心网络，确保与License中心网络连通 √ x

本小节介绍服务器安全卫士风险发现中查看执行记录方法。 查看方法 总览界面提供对执行的各类风险扫描查看其执行情况。点击总览界面中的“更多”按钮，选择“查看执行记录”，可查看执行记录列表。 查看失败主机详情 每条记录支持对失败主机的详情进行查看，点击“失败主机详情”按钮可查看失败主机列表。 查看弱密码进度 弱密码额外提供对进度的查看，点击执行内容为弱密码扫描记录中的“弱密码进度”按钮，可查看弱密码执行进度情况。

您可以根据实际情况,管理GiServer的参数(属性)设置,也可以重置已修改的参数值。 操作步骤 1. 在天翼云官网首页的顶部菜单栏，选择产品 > 数据库 > 关系型数据库 > 分布式关系型数据库 ，进入分布式关系型数据库产品页面。然后单击管理控制台 ，进入概览页面。 2. 在左侧导航栏，选择DRDS > 实例管理，进入实例列表页面。然后在顶部菜单栏，选择区域和项目。 3. 在实例列表中，找到目标实例，单击操作 列的管理 ，进入实例基本信息页面。 4. 单击参数管理 ，然后单击全局索引组件GiServer参数页签，进入GiServer参数管理页面。 5. 在参数列表上方，选中目标分组或输入目标属性名称，单击查询。 6. 找到目标属性值，根据实际情况修改属性值。 说明 您也可以单击目标属性值操作 列的重置，即可重置属性值。 属性编码 属性名称 允许值 默认值 支持在线加载 rebuildOptimizeSwitch 是否开启重建索引流程优化开关 true/false false 是 skipBinlogRecover 是否绕过Binlog指定（GITD）位置恢复，如果为true，表示需要从头开复制 true/false false 否 recoverDataDir 索引数据恢复文件夹路径 ./recoverData 否 recoverBatch 索引数据恢复批次处理的大小，单位：个 12147483647 100 否 recoverInterval 索引数据恢复定时恢复的时间间隔（毫秒） 17200000 10000 否 fetchBatchSize 客户端提交重建索引请求时，指定重建索引一次批量处理的行数 12147483647 2000 否 serverPrintInterval GiServer服务器性能状态打印的时间间隔（毫秒） 17200000 5000 否 binlogDelay 更新Binlog位置记录到存储的延迟时间（毫秒） 17200000 300000 否 binlogCacheThread binlog索引写缓存的最大线程数 12147483647 128 否 binlogCacheQueueSize 单个binlog索引线程的缓存队列长度，单位：个 12147483647 128 否 rebuildCacheThread 重建索引写缓存的最大线程数 12147483647 128 否 parallelRebuildTasks 最大同时重建子任务数 12147483647 20 否 netWriteTimeout MySQL主机写binlog超时时间（毫秒） 17200000 60000 否 accessDb 数据库集群主从选择 master/slave master 否

本文主要介绍IP地址组。 IP地址组是多个IP地址的集合，用来统一管理具有相同安全要求或需要频繁修改的IP地址。 对于需要使用黑名单和白名单，在监听器上设置访问控制策略的用户，开启白名单或黑名单时必须选择一个IP地址组，从而实现允许或者限制IP地址组中的IP访问负载均衡的监听器。 同一个IP地址组，最多可以关联50个监听器。目前IP地址组既支持IPv4地址又支持IPv6地址。 天翼云部分二类节点正在升级，以支持IP地址组能力，敬请用户随时关注。 创建IP地址组 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 选择“服务列表 > 网络 > 弹性负载均衡”。 4. 在“IP地址组”界面，单击“创建IP地址组”。 5. 配置IP地址组参数。 IP地址组参数说明表 参数 说明 样例 名称 IP地址组的名称。 ipGroup01 企业项目 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 IP地址 需要通过白名单或黑名单进行访问控制的IP地址。每行一个IP地址或一个网段，以回车结束； 每个IP地址或者网段都可以用“”分隔添加备注，如“192.168.10.10丨ECS01”， 备注长度范围是0到255字符，不能包含<>；每个IP地址组最多可添加300个IP地址和网段。 说明：如果IP地址组未包含任何IP地址，当访问控制选择白名单时，则对应的负载均衡监听器禁止任何IP地址访问。 10.168.2.24 10.168.16.0/24 描述 IP地址组相关信息的描述说明。 6. 确认参数配置，单击“确定”。

此小节介绍主机风险总览。 企业主机安全在控制台提供总览页面，实时展示您所有资产的安全评分、安全风险、防护地图等，帮助您了解主机和容器的安全状态以及存在的安全风险。 查看总览 1、登录管理控制台。 2、在左侧导航树选择“总览”，进入总览页查看资产安全信息。 说明 如果您的服务器已通过企业项目的模式进行管理，您可选择目标“企业项目”后查看或操作目标企业项目内的资产和检测信息。 区域 说明 配额数量及待升级Agent数 展示当前您已购买的各版本HSS防护配额总数和使用情况，以及待升级Agent数量。 单击对应防护配额的总数值，可跳转到防护配额界面查看防护配额列表。 单击待升级Agent数值，可跳转到Agent管理界面查看并升级Agent。 说明：企业主机安全会持续优化提升服务能力，包括但不限于新增功能、优化缺陷，因此会定期迭代版本。请及时将主机上的Agent升级为最新版，以便您可以享受到更好的企业主机安全。 安全评分 安全风险评分范围为0~100分，无风险资产默认为100分，HSS会根据资产中存在的基线风险、漏洞风险、入侵风险和资产风险等执行扣分，评分越低表示资产中存在的安全风险越多。 为了保护的您资产安全，建议您及时处理安全风险，提高安全评分： 1、在“安全评分”模块，单击“立即处理”。 2、在“安全风险处理”弹窗中，查看扣分项，单击下箭头展开扣分明细。 3、单击扣分项右侧的“前往处理”，可跳转至对应的风险列表，您可以根据风险详情和修复建议进行修复。 4、修复风险后，单击“重新体检”，刷新评分。 热点资讯 展示最新的热点漏洞信息。 安全风险 展示HSS检测到您资产中存在的安全风险。 主机风险： 需紧急处理告警/总数：处理优先级为紧急的告警数量和告警总数。 紧急优先级修复漏洞/总数：修复优先级为紧急的漏洞数量和漏洞总数。 基线风险：待处理的基线风险总数。 待处理可疑进程：待处理的可疑进程事件总数。 容器风险： 高优先级修复漏洞/总数：修复紧急度为高危的漏洞数量和漏洞总数。 安全风险趋势 展示资产最近七天的安全风险趋势图。 防护地图 展示资产开启安全防护的情况。 资产总数：当前区域下的资产总数。 未防护/主机总数：未防护主机数量和主机总数。 未防护/容器总数：未防护容器数量和容器总数。 安全防护功能开启情况：对应防护功能的开启数量和防护功能累计扫描/检测项数量。

此小节介绍主机风险总览。 企业主机安全在控制台提供总览页面，实时展示您所有资产的安全评分、安全风险、防护地图等，帮助您了解主机和容器的安全状态以及存在的安全风险。 查看总览 1、登录管理控制台。 2、在左侧导航树选择“总览”，进入总览页查看资产安全信息。 说明 如果您的服务器已通过企业项目的模式进行管理，您可选择目标“企业项目”后查看或操作目标企业项目内的资产和检测信息。 区域 说明 配额数量及待升级Agent数 展示当前您已购买的各版本HSS防护配额总数和使用情况，以及待升级Agent数量。 单击对应防护配额的总数值，可跳转到防护配额界面查看防护配额列表。 单击待升级Agent数值，可跳转到Agent管理界面查看并升级Agent。 说明：企业主机安全会持续优化提升服务能力，包括但不限于新增功能、优化缺陷，因此会定期迭代版本。请及时将主机上的Agent升级为最新版，以便您可以享受到更好的企业主机安全。 安全评分 安全风险评分范围为0~100分，无风险资产默认为100分，HSS会根据资产中存在的基线风险、漏洞风险、入侵风险和资产风险等执行扣分，评分越低表示资产中存在的安全风险越多。 为了保护的您资产安全，建议您及时处理安全风险，提高安全评分： 1、在“安全评分”模块，单击“立即处理”。 2、在“安全风险处理”弹窗中，查看扣分项，单击下箭头展开扣分明细。 3、单击扣分项右侧的“前往处理”，可跳转至对应的风险列表，您可以根据风险详情和修复建议进行修复。 4、修复风险后，单击“重新体检”，刷新评分。 热点资讯 展示最新的热点漏洞信息。 安全风险 展示HSS检测到您资产中存在的安全风险。 主机风险： 需紧急处理告警/总数：处理优先级为紧急的告警数量和告警总数。 紧急优先级修复漏洞/总数：修复优先级为紧急的漏洞数量和漏洞总数。 基线风险：待处理的基线风险总数。 待处理可疑进程：待处理的可疑进程事件总数。 容器风险： 高优先级修复漏洞/总数：修复紧急度为高危的漏洞数量和漏洞总数。 安全风险趋势 展示资产最近七天的安全风险趋势图。 防护地图 展示资产开启安全防护的情况。 资产总数：当前区域下的资产总数。 未防护/主机总数：未防护主机数量和主机总数。 未防护/容器总数：未防护容器数量和容器总数。 安全防护功能开启情况：对应防护功能的开启数量和防护功能累计扫描/检测项数量。

防护配额的分配方法。 “防护配额”分配方式： 随机分配：下拉框选择“随机选择配额”，系统优先为主机分发服务剩余时间较长的配额。 指定分配：下拉框选择具体配额ID，您可以为主机分配指定的配额。 批量分配：批量开启防护时，系统会随机为批量选择的主机分配防护配额。 说明 一般情况下，采用随机分配的方式。

本文介绍如何创建内网数据订阅渠道。 操作场景 内网数据订阅适用于企业内部网络环境中，对数据实时性、传输安全性等有较高要求的场景，可在不暴露公网、不影响源端性能的前提下，实现低延迟、高可靠的数据分发与消费。目前已支持内网消息队列（kafka）、内网普罗米修斯（APM实例、自建）方式。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 说明 1、内网数据订阅功能：内网消息队列（kafka）、内网普罗米修斯（APM实例、自建实例）三种方式当前分别受限开放，如有需求可以联系客户经理为您开放此功能。 2、如需使用内网消息队列（kafka）方式数据订阅功能，需先开通天翼云分布式消息服务Kafka实例。 3、如需使用内网普罗米修斯（APM实例）方式数据订阅功能，需先在天翼云应用性能监控（APM）平台>Prometheus监控>实例列表创建实例。 创建内网消息队列（kafka）方式订阅渠道 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“迁移与部署”，单击“云监控服务”，进入监控概览页面。 4. 单击“数据订阅”，切换至订阅渠道页签。 5. 点击"创建订阅渠道"按钮，进入订阅渠道创建页面。 6. “网络通道”选择“VPC内网”，订阅类型选择“分布式消息服务”。 配置参数如下： 参数 参数说明 是否必填 取值样例 实例选择 选择天翼云分布式消息服务Kafka实例 是 用户名 填写目标实例的访问用户名 否 注意 如目标实例已启用用户名及密码认证方式，请按实际信息填写 密码 填写目标实例的访问用户名 否 注意 如目标实例已启用用户名及密码认证方式，请按实际信息填写 TOPIC 填写数据订阅的kafka实例的主题 是

接口功能介绍 查看后端主机详情 接口约束 无 URI GET /v4/elb/showtarget 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 regionID 是 String 区域ID 81f7728662dd11ec810800155d307d5b ID 否 String 后端主机ID, 该字段后续废弃 xxx targetID 是 String 后端主机ID, 推荐使用该字段, 当同时使用 ID 和 targetID 时，优先使用 targetID xxxx 请求参数 请求头header参数 无 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Object 接口业务数据 returnObj 表 returnObj 参数 参数类型 说明 示例 下级对象 regionID String 区域ID 81f7728662dd11ec810800155d307d5b azName String 可用区名称 az1 projectID String 项目ID 0 ID String 后端主机ID xxx targetGroupID String 后端主机组ID tgxxx description String 描述 desc instanceType String 实例类型: VM / BM VM instanceID String 实例ID xxx protocolPort Integer 协议端口 8000 weight Integer 权重 50 healthCheckStatus String IPv4的健康检查状态: offline / online / unknown online healthCheckStatusIpv6 String IPv6的健康检查状态: offline / online / unknown online status String 状态: DOWN / ACTIVE DOWN createdTime String 创建时间，为UTC格式 20221003T09: 44: 22Z updatedTime String 更新时间，为UTC格式 20221003T09: 44: 22Z targetIP String 后端主机IP 192.2.22.2

介绍安装HSS Agent影响。 安装HSS Agent不影响在线业务，也不会影响服务器的运行状态。 企业主机安全服务（HSS）提供的Agent，用于执行检测任务，全量扫描主机；实时监测主机的安全状态，并将收集的主机信息上报给云端防护中心。 更多有关HSS Agent的信息，请参见：什么是HSS的Agent？。

本文为您介绍删除自定义告警模板的操作场景、前提条件和操作步骤。 操作场景 当您业务发生变更或告警模板不再需要时，您可以在控制台删除自定义的告警模板。 默认告警模板无法删除。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已完成自定义告警模板的创建。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“管理与部署”，单击“云监控”，进入监控概览页面。 4. 单击“告警服务”下拉菜单，单击“告警模板”，进入告警模板详情页面。 5. 单击“自定义告警模板”页签，单击目标告警模板所在行的“删除”选项。 6. 单击“确认”按钮，完成删除操作。

本节介绍智算容器使用限制。 约束与限制 购买智算版容器集群实例之前需要在天翼云完成实名认证。 天翼云官网支持：集群订购、退订、续订、节点扩容。 创建节点过程中会使用域名方式从OBS下载软件包，需要能够使用云上内网DNS解析OBS域名，否则会导致创建不成功。为此，节点所在子网需要配置为内网DNS地址，从而使得节点使用内网DNS。在创建子网时DNS默认配置为内网DNS，如果您修改过子网的DNS，请务必确保子网下的DNS服务器可以解析OBS服务域名，否则需要将DNS改成内网DNS。 集群一旦创建以后，不支持变更以下项： 变更集群类型。 变更集群的控制节点数量。 变更控制节点可用区。 变更集群的网络配置，如所在的虚拟私有云VPC、子网、容器网段、服务网段、IPv6、kubeproxy代理（转发）模式。 变更网络模型，例如“容器隧道网络”更换为“VPC网络”。 资源池限制 资源池类型 已加载资源池 L1 资源池 华北2、华南2、西南1、西南2 L2 资源池 上海15、杭州7、武汉41、西安7、长沙42、沈阳8、芜湖4 配额限制 集群类型 租户限制集群数量 单集群管理节点数量 单节点最大Pod数 例外申请方式 专有版集群 5 1000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 智算版集群 5 1000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 托管版单实例集群 2 10 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 托管版高可用集群 2 几个档次可选：50/200/1000/2000 默认110，可订购时配置自定义Kubelet参数 通过工单咨询 说明 1. 智算版容器集群依赖底座弹性裸金属资源，如：昇腾910B，需IaaS智算资源支持，申请资源需提交咨询工单或联系对应产品经理。 2. 智算版容器集群目前已经适配了昇腾910B、800I A2，NVIDIA H800、L40S等，适配详情可提交咨询工单或联系对应产品经理。

本文为您介绍敏感操作保护的内容 操作场景 当主用户及子用户在控制台进行敏感操作时（如删除弹性云主机）, 操作保护将通过虚拟MFA、手机短信或邮箱等方式二次确认当前操作，避免误操作导致的损失。 操作步骤 开启操作保护 1. 管理员登录IAM控制台。 2. 点击左侧导航窗格的“概览 ”，进入“敏感操作”。 3. 点击“立即修改”，选择“开启”操作保护，当前支持主用户认证、操作用户认证以及指定人员认证。 其中，主用户认证代表所有操作保护认证由主用户验证。操作用户不限制主、子用户，触发敏感操作的用户自行验证。指定人员需验证需指定手机号。 注意 建议您开启敏感操作保护，优先选择“操作用户验证”，避免高危误操作带来的损失，同时支持验证的灵活性。 4. 在控制台执行相关敏感操作时，后台根据操作保护的配置以及采集的多因素验证信息（手机验证码、邮箱验证码、虚拟MFA等），通过弹窗的方式对用户的身份进行二次校验。如果验证通过，系统才会放行对应的操作行为，否则会阻止敏感操作。 以删除 IAM 用户，选择“操作用户验证”为例。当前支持操作用户手机验证、邮箱验证两种方式。

本章介绍收到主机登录成功的告警的处理方法。 若您在“实时告警通知”项目中勾选了“登录成功通知”选项，则任何帐户登录成功的事件都会向您实时发送告警信息。 若您所有ECS上的帐户都由个别管理员负责管理，通过该功能可以对系统帐户进行严格的监控。 若系统帐户由多人管理，或者不同主机由不同管理员负责管理，那么运维人员可能会因为频繁收到不相关的告警而对运维工作造成困扰，此时建议您登录主机安全服务控制台关闭该告警项。 登录成功并不代表发生了攻击，需要您确认登录IP是否是已知的合法IP。

接口功能介绍 更新后端主机 接口约束 无 URI POST /v4/elb/updatetarget 路径参数 无 Query参数 无 请求参数 请求头header参数 无 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 regionID 是 String 区域ID 81f7728662dd11ec810800155d307d5b ID 否 String 后端主机ID, 该字段后续废弃 XXX targetID 是 String 后端主机ID, 推荐使用该字段, 当同时使用 ID 和 targetID 时，优先使用 targetID XXX description 否 String 支持拉丁字母、中文、数字, 特殊字符：~!@ $%^&()+ <>?:'{},./;'[,]·！@ ￥%……&（） —— +{},《》？：“”【】、；‘'，。、，不能以 http: / https: 开头，长度 0 128 desc protocolPort 否 Integer 协议端口。取值范围：165535 80 weight 否 Integer 权重。取值范围：0256，默认为100 100 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 返回状态码（800为成功，900为失败） 800 message String statusCode为900时的错误信息; statusCode为800时为success, 英文 success description String statusCode为900时的错误信息; statusCode为800时为成功, 中文 成功 errorCode String statusCode为900时为业务细分错误码，三段式：product.module.code; statusCode为800时为SUCCESS SUCCESS returnObj Array of Objects 接口业务数据 returnObj 表 returnObj 参数 参数类型 说明 示例 下级对象 ID String 后端主机ID target49bp8uzydb

本文介绍如何修改关系数据库MySQL版实例的切换策略。 注意 仅II类型资源池支持该功能，具体支持情况以控制台页面展示为准。更多资源池信息，请参见功能概览。 切换策略说明 关系数据库MySQL版支持切换主备实例的切换策略，以满足不同的业务需求，支持如下两种切换方式： 注意 单机和一主一备实例默认是可用性优先，一主两备实例默认是可靠性优先。 可用性优先 对在线时间要求高的系统推荐使用可用性优先，在主备切换的时候优先保证数据库可用性。 可靠性优先 对数据一致性要求高的系统推荐选择可靠性优先，在主备切换的时候优先保障数据一致性。 注意 对于高可用实例，可靠性优先模式下，如果从节点宕机（云主机故障，疏散重启），期间为保障数据一致性，主节点会出现短暂的只读状态。待从节点恢复后，将会关闭只读。尤其是一主一备的实例类型，建议客户按需评估、谨慎设置切换策略！ 约束限制 实例状态为运行中。 只有一主一备、一主两备实例支持修改切换策略，单机版实例不支持。 单资源池实例不支持。 迁移可用区、系列升级、大版本升级可能会调整您的切换策略。 异步复制没有可靠性优先。

本章节主要介绍了通过DRS将其他云数据库实时迁移至本云DDS的任务配置流程。 包括以下迁移场景： 其他云MongoDB数据库实时迁移至本云DDS。 其他云内云主机自建自维护的MongoDB数据库迁移至本云DDS。 网络示意图和MySQL的场景相同 迁移步骤 图 迁移流程图 迁移建议（重要） 数据库迁移与环境多样性和人为操作均有密切关系，为了确保迁移的平顺，建议您在进行正式的数据库迁移之前进行一次演练，可以帮助您提前发现问题并解决问题，如何最小化对数据库的影响请参考如下建议。 强烈建议您在启动任务时选择“稍后启动”功能，将启动时间设置在业务低峰期，相对静止的数据可以有效提升一次性迁移成功率，避免迁移对业务造成性能影响。 迁移须知（重要） 注意 在创建迁移任务之前，请您务必仔细阅读迁移须知。 参考《数据库复制服务快速入门》中的“使用须知”章节。 迁移准备 1.权限准备： 当使用 DRS 将其他云MongoDB数据库的数据迁移到本DDS实例时，在不同迁移类型情况下，对源数据库和目标数据库的帐号权限要求如表： 表 迁移账号权限 迁移类型 全量迁移 全量+增量迁移 源数据库 o 副本集：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限。 o 集群：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对config数据库有read权限。 o 单节点：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限。 如果需要迁移源数据库用户和角色信息，连接源数据库的用户权限需要对admin数据库的系统表system.users，system.roles有读权限。 o 副本集：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 o 单节点：连接源数据库的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 o 集群：连接源数据库mongos节点的用户权限需要对admin数据库有readAnyDatabase权限，对config数据库有read权限， 连接源数据库分片节点的用户权限需要对admin数据库有readAnyDatabase权限，对local数据库有read权限。 如果需要迁移源数据库用户和角色信息，连接源数据库的用户权限需要对admin数据库的系统表system.users，system.roles有读权限。 目标数据库 连接目标数据库的用户权限需要对admin数据库有readAnyDatabase权限，对目标数据库有readWrite权限。 源数据库权限设置： 需要确保源数据库MongoDB的帐号权限具备表1的要求。若权限不足，需要在源数据库端开通高权限的帐号。 目前DRS支持迁移的第三方云厂商有：阿里云，腾讯云和亚马逊云。 以阿里云云数据库MongoDB迁移到本云DDS为例，阿里云MongoDB默认的初始帐号已经具备进行数据迁移的能力，使用初始帐号即可。 目标数据库权限设置： 本云DDS实例使用初始帐号即可。 2.网络准备： 源数据库需要开放公网访问。源数据库的网络设置： 源数据库MongoDB实例需要开放公网域名的访问。 以阿里云云数据库MongoDB迁移到本云DDS实例为例，一般情况下，阿里云云数据库MongoDB不提供公网地址，需要通过申请公网地址来允许外部的应用对接，具体的操作及注意事项可以参考阿里云提供的相关指导。 目标数据库的网络设置：目标端不需要进行设置。 3.安全规则准备： 源数据库安全组规则设置： 源数据库MongoDB实例需要将具体的DRS迁移实例的弹性公网IP添加到其网络白名单中，确保源数据库MongoDB实例可以与上述弹性公网IP连通。 以阿里云云数据库MongoDB迁移到本云DDS为例，具体设置网络白名单的操作及注意事项可以参考相关指导。在设置网络白名单之前，需要先获取DRS迁移实例的弹性公网IP，具体操作如下： 迁移实例创建成功后，可在“源库及目标库”页面获取DRS迁移实例的弹性公网IP。如图所示： 图 迁移实例公网弹性IP 以上讲述的是精细配置白名单的方法，还有一种简单设置白名单的方法，在安全允许的情况下，可以将源数据库MongoDB实例的网络白名单设置为0.0.0.0/0，代表允许任何IP地址访问该实例。 上述的网络白名单是为了进行数据迁移设置的，迁移结束后可以删除。 目标数据库安全组规则设置： 目标数据库默认与DRS迁移实例处在同一个VPC，网络是互通的，DRS可以直接写入数据到目标数据库，不需要进行任何设置。 4.其他事项准备： 由于迁移过程不会迁移MongoDB数据库的用户信息以及相关参数，需要自行将上述信息导出后手动添加到目标DDS中。

修改组策略 本地组策略编辑器 1 选择“开始 > 运行”，输入gpedit.msc打开组策略。 2 选择“计算机配置 > 管理模板 > Windows组件 > 远程桌面服务 > 远程桌面会话主机 > 授权”，双击右侧的“使用指定的远程桌面许可证服务器”。 隐藏有关影响RD会话主机服务器的RD授权问题的通知 打开“隐藏有关影响RD会话主机服务器的RD授权问题的通知”对话框，选择“己启用”，单击“下一个设置”。 设置远程桌面授权模式 在“设置远程桌面授权模式”对话框中，选择“己启用”，在“指定RD会话主机服务器的授权模式”下拉列表中选择“按用户”，之后单击“确定”，完成设置。 配置终端服务多用户 1 选择“开始 > 运行”，输入gpedit.msc打开组策略。 2 选择“计算机配置 > 管理模板 > windows组件 > 远程桌面服务 > 远程桌面会话主机 > 连接”。 3 修改“限制连接的数量” 为已启用，允许的最大连接数改为999999。 4 修改“允许远程启动未列出的程序” 为已启用。 5 单击“确定”。 6 选择“计算机配置 > 管理模板 > windows组件 > 远程桌面服务 > 远程桌面会话主机 > 会话时间限制”。 7 修改“设置已中断会话的时间限制”为已启用，修改“结束已断开连接的会话”为1分钟。 8 单击“确定”。

本节为您介绍如何卸载源端主机上安装的agent。 操作场景 主机迁移已完成，且该主机不再需要继续迁移至另外的目标。 操作步骤 源端主机为windows系统 序号 步骤 详细说明 1 进入操作系统界面 2 打开"运行"对话框 按下Win+R组合键，调出运行栏。 3 进入卸载程序 键入"appwiz.cpl"，然后按回车。 4 卸载MoveCloud 找到MoveCloud x.x.x，其中x.x.x为版本号，如下图中的2.8.2，选中后右键点击卸载。 5 确认卸载 点击是以确认卸载， 等待卸载完成即可。 源端主机为linux系统 序号 步骤 详细说明 1 进入操作系统 2 卸载movecloud 执行movecloud uninstall即可完成卸载。

本文将向您介绍如何查询您的网站业务统计分析报表。 功能介绍 可以通过安全报表，可以查询Web安全、CC安全两个维度的攻击数、攻击趋势、威胁类型分布、攻击IP TOP 10、TOP攻击URL等报表，并且支持导出报表。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 新增域名后，边缘云WAF将会自动为域名开启域名防护规则功能，一旦识别到攻击行为，将产生攻击日志，并将攻击数据统计在安全报表中 查看安全报表 1. 登录Web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【统计分析】模块 2. 根据您的站点业务数据查看需求，选择业务分析报表或者热门分析报表页面 业务分析报表说明 业务分析模块可为客户提供带宽流量、请求数、状态码等指标。 通过筛选项进行组合查询带宽流量、请求数、状态码等指标。筛选项包括域名、运营商、地区、时间。 带宽流量。界面中展示的是您所选范围、域名、运营商、地区、时间范围内的带宽和流量统计图表，可通过切换“带宽”和“流量”的按钮查看带宽和流量图，同时会给出查询时间范围内每日总流量、带宽峰值、峰值时间点。 请求数。界面中展示的是您所选范围、域名、运营商、地区、时间范围内的请求数和QPS统计图表，可通过切换“请求数”和“QPS”的按钮查看请求数和QPS图，请求数图表中包括了总请求数、动态http请求数、动态https请求数、静态http请求数、静态https请求数。 天粒度数据统计说明： 没有开启WAF防护：防护请求数0，总请求数静态http请求数+静态https请求数+动态请求数+动态https请求数。 开启WAF防护：动态请求数0，总请求数静态http请求数+静态https请求数+防护请求数。 状态码。界面中展示的是您所选域名、运营商、地区、时间范围内的状态码统计图表，可通过切换“所有状态码”、“2XX”、“3XX”、“4XX”、“5XX”的按钮查看不同状态码的图表，并显示查询时间范围内的总状态码量，同时展示状态码占比表和状态码占比饼图。

本章主要介绍API注册问题。 无法创建API是什么原因？ API免费创建。如果被限制操作，可能原因为用户欠费。 API的响应码如何定义？ 响应信息由后端API服务（即API的提供者）定义，API网关只做透传。 使用VPC通道，后端服务的主机端口怎么填写? 填写API后端服务监听的端口。 不使用VPC通道时，后端服务地址可以是什么？ 可以是公网域名或者公网IP（支持公有云服务器的弹性IP地址）。 后端服务地址是否一定要配置为ECS的地址？ 后端服务地址可以配置为ECS的弹性公网IP，也可以配置为您自己服务器的公网IP地址，还可以配置为域名。 后端服务是否支持绑定私网ELB地址？ 不支持。请使用VPC通道。 如果是公网ELB地址，可直接使用。 后端服务地址可以填写私有地址（子网IP）吗？ 专享版：支持。实例所在同一个vpc子网内IP，或者通过专线打通的本地数据中心私有地址。 不支持专享版的网段： 0.0.0.0/8 10.0.0.0/8 100.125.0.0/16 127.0.0.0/8 169.254.0.0/16 172.16.0.0/12 192.0.0.0/24 192.0.2.0/24 192.88.99.0/24 192.168.0.0/16 198.18.0.0/15 198.51.100.0/24 203.0.113.0/24 224.0.0.0/4 240.0.0.0/4 255.255.255.255/32

本章节主要介绍翼MapReduce的Capacity Scheduler模式下清除租户非关联队列操作。 操作场景 在Yarn Capacity Scheduler模式下，删除租户的时候，只是把租户队列的容量设置为0，并且把状态设为“STOPPED”，但是队列在Yarn的服务里面仍然残留。由于Yarn的机制，无法动态删除队列，管理员可以执行命令手动清除残留的队列。 对系统的影响 脚本运行过程中会重启controller服务，同步Yarn的配置，并重启主备ResourceManager实例。 重启controller服务时，无法登录和操作FusionInsight Manager。 重启主备ResourceManager实例后，Yarn组件以及依赖Yarn的组件会出现短暂的服务不可用告警。 前提条件 已删除某个租户，但该租户对应的队列依然存在。 操作步骤 1. 确定该租户对应的队列依然存在。 在FusionInsight Manager界面，选择“集群 > 待操作集群的名称 > 服务 > Yarn”。通过“ResourceManager(主)”链接进入ResourceManager WebUI界面。 单击左侧“Scheduler”界面，可以查看租户对应的队列依然存在，且状态为“STOPPED”，“Configured Capacity”值为0。 2. 以omm用户登录主管理节点。 3. 执行以下目录，执行“cleanQueuesAndRestartRM.sh”脚本。 cd ${BIGDATAHOME}/omserver/om/sbin ./cleanQueuesAndRestartRM.sh c 集群ID 说明 “集群ID”为需执行操作集群ID号，可在FusionInsight Manager的“集群 > 待操作集群的名称 > 集群属性”中查看。 在脚本运行过程中，需输入yes及管理员密码。 Running the script will restart Controller and restart ResourceManager. Are you sure you want to continue connecting (yes/no)?yes Please input admin password: Begin to backup queues ... ... 4. 脚本运行成功后，在FusionInsight Manager界面，选择“集群 > 待操作集群名称 > 服务 > Yarn”。通过“ResourceManager(主)”链接进入ResourceManager WebUI界面。 5. 单击左侧“Scheduler”界面，确认被删除租户的队列已经清除。

本章节主要介绍翼MapReduce组件Spark的操作使用说明。 Sparkbeeline连接的目标可以是spark thrift server、也可以是kyuubi server。 我们以spark thrift server为例，提供链接流程如下： 1. 首先配置spark thrift相关配置。 1. Sparkenv.sh 中配置需要配置JAVAHOME、HADOOPHOME、HADOOPCLASSPATH、HADOOPCONFDIR等环境变量。 2. SPARKHOME/conf 路径下的hivesite.xml文件中，需要配置如下： hive.server2.transport.mode Set this to value: http hive.server2.thrift.http.port HTTP port number to listen on; default is 10001 如果hivesite.xml是软连接，且spark和hive混布，那么需要直接cp该文件到SPARKHOME/conf下面。 3. Sparkdefaults.conf中如果hadoop集群开启了Kerberos认证，那么需要配置spark.sql。 2. 启动spark thrift server。 SPARKHOME/sbin/startthriftserver.sh 3. 如果当前集群已启用Kerberos认证，执行以下命令认证当前用户。如果当前集群未启用Kerberos认证，则无需执行此命令。 1. 首先klist kt ，获取keytab文件的principal，例如 klist kt user.keytab 获得 user/hostname@realm。 2. 然后kinit kt ，例如 kinit kt user.keytab user/hostname@realm。 3. Kinit认证完成登录后，可以klist l查看。 4. Beeline链接sparkthriftserver。 SPARKHOME/bin u ‘jdbc:hive2:// : / ;principaluser/hostname@realm?spark.yarn.queueroot.default’ n user 5. 执行如下命令查询所有表，返回结果中存在表test，即表示访问OBS成功。 show databases

告警联系人/组信息是告警通知的前提，通过告警联系人/组功能，可以方便维护告警相关人员及群组信息。 操作场景 用于创建告警通知相关人员信息（联系方式、邮箱等），以及联系人所属联系组信息。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 查看站点监控任务 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“管理与部署”，单击“云监控”，进入监控概览页面。 4. 单击“告警服务”>"告警联系人/组”，默认进入告警联系人页面。

版本配额说明 VSS各服务版本支持的扫描配额说明： 版本 域名/IP个数 扫描次数 单个任务时长 任务优先级 单用户并发扫描数 基础版 Web漏扫：包含5个二级域名或IP:端口。 Web漏扫：5个域名每日总共可以扫描5次。 2小时 低 默认Web漏扫最大并发为1个域名。 专业版 Web漏扫：包含1个二级域名或IP:端口。 主机漏扫：包含20个IP地址。 无限制 高 默认Web漏扫最大并发为3个域名。 默认主机漏扫最大并发为5个IP。 高级版 Web漏扫：默认包含1个一级域名（不限制下属二级域名个数）/IP（不限制端口个数）。 主机漏扫：不限制IP地址个数。 无限制 高 默认Web漏扫最大并发为5个域名。 默认主机漏扫最大并发为10个IP。

本文介绍如何使用ECX部署OpenClaw企业微信机器人。 注意 配置企业微信机器人之前，请先确保已经购买ECX虚拟机并配置大模型服务。具体操作步骤，可参考指引：使用ECX部署OpenClaw。 创建企业微信机器人并获取配置 1、登录++企业微信官网++，使用有企业管理员权限的账号登录。 2、创建机器人。 在企业微信管理后台进入安全管理管理工具，点击智能机器人。 录入对应配置，选择API模式创建。 录入名称、简介、可见范围、URL、Token、EncodingAESKey。其中URL输入 此时先不点击保存创建，先登录虚拟机配置机器人Channel。 配置OpenClaw企业微信AI助手 1、登录虚拟机，执行以下命令，配置企业机器人。 plaintext openclaw config set channels '{ "wecom": { "enabled": true, "webhookPath": "/wecom", "token": " ", "encodingAESKey": " ", "receiveId": "", "dm": { "policy": "pairing" } } }' 或通过WebUI配置。 2、执行以下命令，重启网关，使配置生效。 plaintext openclaw gateway restart 3、返回企业微信，点击创建，提交机器人配置保存。

本节介绍了备份恢复相关问题与处理方法。 mysqldump导数据报错权限不足 场景描述 mysqldump使用指定用户导出数据库数据时，报错：'Access denied; you need (at least one of) the PROCESS privilege(s) 原因分析 mysqldump使用指定用户导出数据时，需要赋予PROCESS权限。 解决方案 使用管理员帐户给相应用户授予PROCESS权限。 GRANT SELECT，PROCESS ON . TO ‘dumpuser’@’%’; FLUSH PRIVILEGES; 使用mysqlbinlog工具获取binlog 本节介绍了获取binlog方法。 本文以从弹性云主机ECS上拉取为例，其他环境下方法类似。 1. 在ECS上安装MySQL客户端，详情请参考安装MySQL客户端。 说明 TaurusDB兼容社区MySQL 8.0及以上版本，请勿安装8.0以下版本的版本的客户端。 2. 执行命令，下载binlog文件。 mysqlbinlog hxxx uxxx Pxxx pxxx binlog.xxxx readfromremoteserver mysqlbinlog的常用参数： h：数据库host。 u：用户名。 P：端口号。 p：密码。 startposition：表示从指定的起始位置开始解析。 startdatetime：表示从指定的时间开始解析。 stopposition：表示解析到指定的位置。 stopdatetime：表示解析到指定的时间。 skipgtids：跳过打印gtidlogevent。 shortform：表示只显示statements。 resultfile：将binlog解析生成sql文件。 readfromremoteserver：远程下载binlog(用于mysqlbinlog与数据库服务端不再同一台机器的情况)。 canal解析binlog报错

计费项 计费说明 数据仓库节点 对您选择的节点规格计费，计费详情请参见 快照存储空间 数据仓库服务（DWS）提供了部分免费存储空间，用于存放您的快照数据，免费空间内不计费。当快照数据存储空间超过免费空间大小时，超出部分按照对象存储服务（OBS）的计费规则进行计费。 免费空间大小是您的集群的总存储空间大小，即单节点存储空间大小x节点数。 云数仓存储 用户在可选范围内自定义集群使用的存储类型与存储容量，采用存储资源独立计费的方式。 公网IP及带宽（可选） 数据仓库服务（DWS）集群支持绑定弹性公网IP，所需费用按照虚拟私有云（VPC）服务的弹性公网IP计费规则进行计费。计费详情请参见弹性IP

参数 描述 实例名称 加装时设置的实例名称，单击实例名称可以进入实例详情页。 实例状态 展示目前实例状态： 运行中：正常在有效期内，运行状态正常的实例 创建中：刚下单还在开通部署中的实例 处理中：处于重启等正常操作下的实例，该状态下部分功能不可使用 已冻结：包周期已到期的实例，可续费或退订销毁 释放中：实例正在进行清理和退订流程，结束后即已销毁。 已销毁：实例已删除，资源已回收的实例；如遇到资源不足或其他原因导致开通部署失败，将自动销毁，可再次下单或工单联系技术支持 异常：实例不可连接或可连接但不可用状态 实例处于异常状态时，您可以尝试重启处理，若依旧失败，请及时联系技术支持 管道数量 实例内目前存在的管道数量 运行中的管道数量 实例中目前处于运行中的管道数量 节点数量 当前实例部署的云主机节点数 版本 Logstash部署的版本号 计费模式 包年包月 关联实例 加装当前Logstash实例的Elasticsearch实例或OpenSearch实例 到期时间 包年包月实例使用，表示包周期可使用的截止时间，Logstash随关联实例时间到期 创建时间 实例的加装时间 操作 展示实例可执行的操作入口，包含重启、续订等针对实例的操作，当前实例无法操作某项时，按钮将置灰。已经销毁的实例可以点击删除按钮，该实例不会在列表中展示。

检查阈值设置是否合理 1.在FusionInsight Manager，选择“运维 > 告警 > 阈值设置 > 待操作集群的名称 > 主机 > 网络写信息 > 写吞吐率”，查看该告警阈值是否合理（默认80%为合理值，用户可以根据自己的实际需求调节）。 是，执行步骤4。 否，执行步骤2。 2.根据实际服务的使用情况在“运维 > 告警 > 阈值设置 > 待操作集群的名称 > 主机 > 网络写信息 > 写吞吐率”，单击“操作”列的“修改”更改告警阈值。 如下图所示： 3.等待5分钟，检查该告警是否恢复。 是，处理完毕。 否，执行步骤4。 检查网口速率是否满足需求 4.打开FusionInsight Manager页面，在实时告警列表中，单击此告警所在行的，获取告警所在主机地址及网口。 5.以root用户登录告警所在主机。 6.执行命令ethtool 网口名称 ，查看当前网口速率最大值Speed。 说明 对于虚拟机环境，通过命令可能无法查询到网口速率，建议直接联系系统管理确认网口速率是否满足需求。 7.若网络写吞吐率超过阈值，直接联系系统管理员，提升网口速率。 8.检查该告警是否恢复。 是，处理完毕。 否，执行步骤9。 收集故障信息 9.在主集群的FusionInsight Manager界面，选择“运维 > 日志 > 下载”。 10.在“服务”中勾选“OMS”，单击“确定”。 11.设置“主机”为告警所在节点和主OMS节点。 12.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后30分钟，单击“下载”。 13.请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 无。

检查阈值设置是否合理 1.在FusionInsight Manager，选择“运维 > 告警 > 阈值设置 > 待操作集群的名称 > 主机 > 网络读信息 > 读吞吐率”，查看该告警阈值是否不合理（默认80%为合理值，用户可以根据自己的实际需求调节）。 是，执行步骤2。 否，执行步骤4。 2.根据实际服务的使用情况在“运维 > 告警 > 阈值设置 > 待操作集群的名称 > 主机 > 网络读信息 > 读吞吐率”，单击“操作”列的“修改”更改告警阈值。 3.等待5分钟，检查该告警是否恢复。 是，处理完毕。 否，执行步骤4。 检查网口速率是否满足需求 4.打开FusionInsight Manager页面，在实时告警列表中，单击此告警所在行的，获取告警所在主机地址及网口名称。 5.以root用户登录告警所在主机。 6.执行命令ethtool 网口名称 ，查看当前网口速率最大值Speed。 说明 对于虚拟机环境，通过命令可能无法查询到网口速率，建议直接联系系统管理确认网口速率是否满足需求。 7.若网络读吞吐率超过阈值，直接联系系统管理员，提升网口速率。 8.检查该告警是否恢复。 是，处理完毕。 否，执行步骤9。 收集故障信息 9.在主集群的FusionInsight Manager界面，选择“运维 > 日志 > 下载”。 10.在“服务”中勾选“OMS”，单击“确定”。 11.设置“主机”为告警所在节点和主OMS节点。 12.单击右上角的设置日志收集的“开始时间”和“结束时间”分别为告警产生时间的前后30分钟，单击“下载”。 13.请联系运维人员，并发送已收集的故障日志信息。 告警清除 此告警修复后，系统会自动清除此告警，无需手工清除。 参考信息 无。

本小节介绍服务器安全卫士的资产清点查询视图。 资产清点（Asset Inventory），致力于帮助用户从安全角度自动化构建细粒度资产信息，支持对业务层资产精准识别和动态感知，让保护对象清晰可见。使用 AgentServer 架构，提供10余类主机关键资产清点，800余类业务应用自动识别，并拥有良好的扩展能力。 资产清点功能有两种查询视图： 概览视图、分级视图 。 概览视图 概览视图作为“资产清点”功能的首页，主要实现对资产信息的可视化，帮助用户更直观地了解资产总体情况，更有效得出对资产的理解或判断。 概览视图内容，包含如下几部分： 主机统计：展示被托管主机的相关情况，包括：Agent运行状态、安装进展变化、及相关管理属性； 核心资产统计：总览主机中的几大重要资产（账号、端口、进程、软件应用、Web站点、数据库），体现为资产的总量统计、及特殊关注数量； 资产分布情况：展示上述具体资产的分布及统计情况，包括：基础资产、业务相关应用、Web资产等： 资源消耗情况：展示主机资源消耗情况，包括：系统负载、内存使用、磁盘使用。