增强型云主机配套25GE智能网卡，通过软硬结合的方式提高虚拟化性能，大幅提升实例的网络带宽能力和网络收发包能力。 在售型号：c8ne、m8ne 停售型号：c7ne 适用场景 增强型云主机适用各种于网络密集型应用与企业级应用： NFV/SDWAN 移动互联网 视频弹幕 电信业务转发 大中型数据库系统、缓存、搜索集群 大数据分析和机器学习 增强型弹性云主机特点 规格名称 计算 磁盘类型 网络 网络增强计算型c8ne 1.CPU/内存配比：1:2/1:4 2.vCPU数量范围：2192 3.处理器：第五代英特尔®至强®可扩展处理器 4.基频/睿频：2.6GHz/3.1GHz 1.XSSD0 2.XSSD1 1.支持IPv6 2.实例网络性能与计算规格对应，规格越高网络性能越强 3.最大网络收发包：3600万PPS 4.最大内网带宽：64Gbps 网络增强内存型m8ne 1.CPU/内存配比：1:8 2.vCPU数量范围：2192 3.处理器：第五代英特尔®至强®可扩展处理器 4.基频/睿频：2.6GHz/3.1GHz 1.XSSD0 2.XSSD1 1.支持IPv6 2.实例网络性能与计算规格对应，规格越高网络性能越强 3.最大网络收发包：3600万PPS 4.最大内网带宽：64Gbps 网络增强计算型c7ne 1.CPU/内存配比：1:2/1:4 2.vCPU数量范围：2148 3.处理器：第三代英特尔®至强®可扩展处理器 4.基频/睿频：2.8GHz/3.5GHz 1.普通IO 2.高IO 3.通用型SSD 4.超高IO 5.极速型SSD 1.支持IPv6 2.实例网络性能与计算规格对应，规格越高网络性能越强 3.最大网络收发包：3000万PPS 4.最大内网带宽：32Gbps

本文介绍刷新和预取的差异及适用场景。 CDN刷新和预取是可选的操作，取决于客户的需求，可以根据自身需求和网站的特点来决定是否需要进行刷新和预取操作。 1. 刷新是指在CDN上将旧的缓存文件删除或置为过期，当用户下一次访问时可回源获取最新文件并重新缓存。当同名文件更新不频繁，且配置了较长缓存过期时间情况下，需要对文件进行更新时，可采用刷新操作，以确保用户获取到最新内容。此外，刷新也适用于源站资源删除、缓存文件有误等场景。 注意 如果同名文件更新频繁，建议配置较短的缓存过期时间，使其自然过期，无需进行频繁的CDN主动刷新操作。 2. 预取是指在用户访问至CDN节点之前，提前触发CDN回源获取并缓存文件，以达到首个用户即能访问加速的效果，并避免新文件热度过高导致的回源量高问题。适用于用户访问热度较高，且可能会造成较大回源的新文件发布场景，例如热门APP应用更新包即将发布前，可提前触发CDN预取，以提升用户体验并控制回源并发量。

适用场景 客户端存在Range请求，且源站支持Range，可响应指定范围内的内容数据时，建议开启分片回源功能，以提高文件分发效率及缓存利用率。 一般源站内容是视频、APP等大文件的场景下，建议开启分片回源功能。 注意事项 开启分片回源前需确认源站是否支持Range请求，即源站能够响应对应范围内的206文件分片内容，如果源站不支持Range请求，开启分片回源可能会导致资源无法缓存。 开启分片回源时（非自适应回源），边缘安全加速会将用户请求（无论原始请求是否为Range请求）拆分成若干个Range请求回源，以一个100MB的文件为例，在分片回源开启时，边缘安全加速获取完整文件需要回源100次，一定程度上会增加回源访问请求数和并发量，请合理设置分片大小。默认Range分片大小为1MB，即：如果客户端请求Range: bytes0100，则在CDN节点回源时会将Range请求扩大为1MB。 请在新增域名时明确是否开启分片回源，以及开启分片回源的具体分片大小；一旦域名CNAME至我司产生流量后，建议不要轻易变更分片回源功能的分片大小，否则可能会产生较高回源；如确实有调整需求，请在提交工单时特殊说明。 配置说明 该功能暂不支持客户自助配置，如需使用，请通过提交工单给天翼云客服，由其人工操作开启。 提交工单时，请您提供如下信息： 1. 回源分片大小，默认为1MB；如需设置为其他值，请详细说明。 2. 开启分片回源功能的范围，默认为域名粒度；如需设置为仅部分文件，请说明具体的文件范围，例如xx目录，或xx文件后缀（如.mp4、.flv等）。 3. 如需开启自适应回源，请特殊说明。

本节介绍了元数据获取的操作场景、使用须知、弹性云主机元数据类别支持列表、前提条件、Metadata(OpenStack元数据API)、User data(OpenStack元数据API)等内容。 操作场景 弹性云主机元数据包含了弹性云主机在云平台的基本信息，例如云服务ID、主机名、网络信息等。弹性云主机元数据支持两种风格，可以分别通过兼容Openstack和兼容EC2的API获取，如表 61所示。对于支持的元数据类型，本节详细介绍了其URI和使用方法。 使用须知 如果元数据中包含了敏感数据，您应当采取适当的措施来保护敏感数据，比如限制访问范围、加密等。 防火墙配置示例如下所示： Windows 如果您不希望管理员之外的用户访问自定义用户数据，请以管理员身份开启防火墙后，在PowerShell 中执行下面的命令，阻止非管理员用户访问自定义用户数据： PS C:>$RejectPrincipal NewObject TypeName System.Security.Principal.NTAccount ("Everyone") PS C:>$RejectPrincipalSID $RejectPrincipal.Translate([System.Security.Principal.SecurityIdentifier]).Value PS C:>$ExceptPrincipal NewObject TypeName System.Security.Principal.NTAccount ("Administrator") PS C:>$ExceptPrincipalSID $ExceptPrincipal.Translate([System.Security.Principal.SecurityIdentifier]).Value PS C:>$PrincipalSDDL "O:LSD:(D;;CC;;;$ExceptPrincipalSID)(A;;CC;;;$RejectPrincipalSID)" PS C:>NewNetFirewallRule DisplayName "Reject metadata service for $($RejectPrincipal.Value), exception: $($ExceptPrincipal.Value)" Action block Direction out Protocol TCP RemoteAddress 169.254.169.254 LocalUser $PrincipalSDDL Linux 如果您不希望root之外的用户访问自定义用户数据，请以root用户权限执行下面的命令，阻止非root用户访问自定义用户数据： iptables append OUTPUT proto tcp destination 169.254.169.254 match owner ! uidowner root jump REJECT

CCE当前支持域名双向认证。 域名双向认证默认不开启，可通过kubectl config usecontext externalTLSVerify 命令切换到externalTLSVerify这个context开启使用。 集群绑定或解绑弹性IP、配置或更新自定义域名时，集群服务端证书将同步签入最新的集群访问地址（包括集群绑定的弹性IP、集群配置的所有自定义域名）。 异步同步集群通常耗时约510min，同步结果可以在操作记录中查看“同步证书”。 对已经绑定了EIP的集群，如果在使用双向认证时出现认证不通过的情况（x509: certificate is valid），需要重新绑定EIP并重新下载kubeconfig.json。 早期未支持域名双向认证时，kubeconfig.json中包含"insecureskiptlsverify": true字段，如图所示。如果需要使用双向认证，您可以重新下载kubeconfig.json文件并配置开启域名双向认证。 图 未开启域名双向认证 常见问题（Error from server Forbidden） 使用kubectl在创建或查询Kubernetes资源时，显示如下内容。 kubectl get deploy Error from server (Forbidden): deployments.apps is forbidden: User "0c97ac3cb280f4d91fa7c0096739e1f8" cannot list resource "deployments" in API group "apps" in the namespace "default" 原因是用户没有操作该Kubernetes资源的权限，请参见命名空间权限（Kubernetes RBAC授权）为用户授权。

证书种类 分类 域名型证书（DV） 企业型证书（OV） 增强型证书（EV） 应用场景 适用于个人站点、中小型企业网站、APP、小程序等。 如果您的网站主体是个人（即没有企业营业执照），只能申请域名型（DV）证书。 对于一般企业，建议购买 OV 型及以上类型的 SSL 证书。 若作为移动端网站或接口调用，也建议您购买 OV 型及以上类型的 SSL 证书。 一般用于银行证券等金融机构、大中型企业，例如金融、支付类企业，建议购买 EV 型证书。 信任等级 信任等级一般 信任等级较高 信任等级强 认证强度 只需验证域名的真实性便可颁发证书保护网站 必须要验证域名权限以及企业的身份，审核严格，安全性高 审核更严格，安全性更高 签发周期 1个工作日 5~7个工作日 5~7个工作日 支持的域名类型 通配符、单域名、多域名 通配符、单域名、多域名、单IP 单域名、多域名 支持的证书版本 标准版 GlobalSign TrustAsia 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 GeoTrust GlobalSign CFCA TrustAsia 浏览器图示

本文介绍单点登录配置。 功能介绍 单点登录（Single SignOn，简称 SSO）是一种身份验证机制，它允许用户使用一组唯一的认证凭证（如用户名和密码）来访问多个相关但独立的软件系统。通过SSO，用户只需要登录一次就可以访问所有相互信任的应用系统，而不需要为每个应用单独进行登录操作。这种机制极大地提高了用户体验，减少了重复输入凭据的麻烦，并且可以提高安全性。 注意 仅购买零信任基础版及以上客户支持该配置。 单点登录按照应用粒度进行配置，应用配置为“Web应用”类型支持配置管理该功能，使用该功能涉及对应应用系统配合开发。 操作步骤 1.登录边缘安全加速平台控制台。 2.支持在AOne零信任工作台进行配置。 3.在左侧导航栏，选择应用应用配置应用列表进行相应配置（仅支持应用编辑时配置该功能）。 单点登录配置 目前单点登录模式可选择OIDC协议、AOnelet自定义协议进行配置，客户可按需进行选择。 OIDC协议：业界最主流的OIDC协议，OIDC授权码模式适用于大部分场景，需要应用能够出公网，访问AOne认证的服务器。 AOnelet协议：如果应用完全不能出公网或者是独立的APP，则推荐使用AOnelet自定义协议对接。

创建和管理应用,获取 API 调用凭证。 企业可以为不同的业务线或产品分别创建独立的应用，实现权限隔离与独立管理。 操作步骤 1. 单击页面右上角的“新增”，弹出“新增应用”对话框。 2. 填写以下信息： 字段 是否必填 说明 应用名称 必填 为应用设置易于识别的名称，建议与业务系统对应。 启用状态 必填 默认开启，关闭后该应用的 API 调用将被拒绝。 代答库 选填 选择已创建的代答库，命中风险时将返回对应的代答内容。 白名单词库 选填 选择白名单词库，词库中的词语将被忽略风险检测。 黑名单词库 选填 选择黑名单词库，命中黑名单词语将直接拦截。 3. 单击“确认”完成创建。 创建成功后，系统会自动为该应用生成唯一的 APP CODE、公钥（publicKey）和私钥（privateKey），用于 API 调用鉴权。 说明 白名单与黑名单的优先级说明： 系统进行风险检测时：首先，将检测内容与白名单词库进行精确匹配。对于文本中成功匹配到的白名单词条，系统将自动忽略这些部分，不纳入后续的风险评估范围。随后，将检测文本与黑名单词库中的词条进行精确匹配。如果文本中成功匹配到黑名单词库中的任意词条，则直接返回对应的拦截类型，而不再进行后续的其他风险评估。

创建和管理应用,获取 API 调用凭证。 企业可以为不同的业务线或产品分别创建独立的应用，实现权限隔离与独立管理。 操作步骤 1. 单击页面右上角的“新增”，弹出“新增应用”对话框。 2. 填写以下信息： 字段 是否必填 说明 应用名称 必填 为应用设置易于识别的名称，建议与业务系统对应。 启用状态 必填 默认开启，关闭后该应用的 API 调用将被拒绝。 代答库 选填 选择已创建的代答库，命中风险时将返回对应的代答内容。 白名单词库 选填 选择白名单词库，词库中的词语将被忽略风险检测。 黑名单词库 选填 选择黑名单词库，命中黑名单词语将直接拦截。 3. 单击“确认”完成创建。 创建成功后，系统会自动为该应用生成唯一的 APP CODE、公钥（publicKey）和私钥（privateKey），用于 API 调用鉴权。 说明 白名单与黑名单的优先级说明： 系统进行风险检测时：首先，将检测内容与白名单词库进行精确匹配。对于文本中成功匹配到的白名单词条，系统将自动忽略这些部分，不纳入后续的风险评估范围。随后，将检测文本与黑名单词库中的词条进行精确匹配。如果文本中成功匹配到黑名单词库中的任意词条，则直接返回对应的拦截类型，而不再进行后续的其他风险评估。

增强型云主机配套25GE智能网卡，通过软硬结合的方式提高虚拟化性能，大幅提升实例的网络带宽能力和网络收发包能力。 在售型号：c8ne、m8ne 停售型号：c7ne 适用场景 增强型云主机适用各种于网络密集型应用与企业级应用： NFV/SDWAN 移动互联网 视频弹幕 电信业务转发 大中型数据库系统、缓存、搜索集群 大数据分析和机器学习 增强型弹性云主机特点 规格名称 计算 磁盘类型 网络 网络增强计算型c8ne 1.CPU/内存配比：1:2/1:4 2.vCPU数量范围：2192 3.处理器：第五代英特尔®至强®可扩展处理器 4.基频/睿频：2.6GHz/3.1GHz 1.XSSD0 2.XSSD1 1.支持IPv6 2.实例网络性能与计算规格对应，规格越高网络性能越强 3.最大网络收发包：3600万PPS 4.最大内网带宽：64Gbps 网络增强内存型m8ne 1.CPU/内存配比：1:8 2.vCPU数量范围：2192 3.处理器：第五代英特尔®至强®可扩展处理器 4.基频/睿频：2.6GHz/3.1GHz 1.XSSD0 2.XSSD1 1.支持IPv6 2.实例网络性能与计算规格对应，规格越高网络性能越强 3.最大网络收发包：3600万PPS 4.最大内网带宽：64Gbps 网络增强计算型c7ne 1.CPU/内存配比：1:2/1:4 2.vCPU数量范围：2148 3.处理器：第三代英特尔®至强®可扩展处理器 4.基频/睿频：2.8GHz/3.5GHz 1.普通IO 2.高IO 3.通用型SSD 4.超高IO 5.极速型SSD 1.支持IPv6 2.实例网络性能与计算规格对应，规格越高网络性能越强 3.最大网络收发包：3000万PPS 4.最大内网带宽：32Gbps

本文主要介绍故障类问题 为什么创建组织失败？ 问题现象：创建组织失败，页面提示该组织已经存在，但在“组织管理”页面没有查询到该组织。 解决办法：组织名称全局唯一，即当前区域下，组织名称唯一。 创建组织时如果提示组织已存在，可能该组织名称已被其他用户使用，请重新设置一个组织名称。 CCE工作负载拉取SWR镜像异常，提示为“未登录” 当CCE工作负载无法正常拉取SWR的镜像，且提示“未登陆”时，请排查该工作负载的yaml文件中是否存在“imagePullSecrets”字段，且name参数值需固定为defaultsecret。 示例： apiVersion: extensions/v1beta1 kind: Deployment metadata: name: nginx spec: replicas: 1 selector: matchLabels: app: nginx strategy: type: RollingUpdate template: metadata: labels: app: nginx spec: containers: image: nginximagePullPolicy: Always name: nginx imagePullSecrets: name: defaultsecret 为什么登录指令执行失败？ 登录指令执行失败有以下几种情况： 1. 容器引擎未安装正确，报如下所示错误： “docker: command not found” 解决方法： 重新安装docker容器引擎。 由于容器镜像服务支持容器引擎1.11.2及以上版本上传镜像，建议下载对应版本。 安装容器引擎需要连接互联网，内网服务器需要绑定弹性公网IP后才能访问。 2. 临时登录指令已过期或登录指令中区域项目名称、AK、登录密钥错误，报如下所示错误： “unauthorized: authentication required” 解决方法： 登录容器镜像服务控制台，在左侧菜单栏选择“我的镜像”，单击右侧“客户端上传”获取登录指令。 a. 获取临时的登录指令：单击“生成临时登录指令”，在弹出的页面中单击复制登录指令。 b. 获取长期有效的登录指令：单击“如何获取长期有效登录指令”，具体方法请参见用户指南 > 镜像管理> 获取长期有效登录指令。 3. 登录指令中镜像仓库地址错误，报如下所示错误： “Error llgging in to v2 endpoint, trying next endpoint: Get dial tcp: lookup {{endpoint}} on xxx.xxx.xxx.xxx:53 : no such host” 解决方法： c. 修改登录指令中的镜像仓库地址。 镜像仓库地址格式: registry.区域项目名称.ctyun.cn，如“苏州”对应的镜像仓库地址为registry.cnjssz1.ctyun.cn。 d. 获取临时登录指令。 4. x509: certificate has expired or is not yet valid 长期有效登录指令中AK/SK被删除导致，请使用有效的AK/SK生成登录指令。 5. x509: certificate signed by unknown authority 问题原因： 容器引擎客户端和SWR之间使用HTTPS的方式进行通信，客户端会对服务端的证书进行校验。如果服务端证书不是权威机构颁发的，则会报如下错误：x509: certificate signed by unknown authority 解决方法： 如果用户信赖服务端，跳过证书认证，那么可以手动配置Docker的启动参数，配置方法如下： CentOS： 修改“/etc/docker/daemon.json”文件（如果没有，可以手动创建），在该文件内添加如下内容： { "insecureregistries": ["{镜像仓库地址}"] } Ubuntu： 修改“/etc/default/docker”文件，在DOCKEROPTS配置项中增加如下内容： DOCKEROPTS"insecureregistry {镜像仓库地址}" EulerOS： 修改“/etc/sysconfig/docker”文件，在INSECUREREGISTRY配置项中增加如下内容： INSECUREREGISTRY'insecureregistry {镜像仓库地址}' 说明 镜像仓库地址支持域名和IP形式。 域名：registry.区域项目名称.ctyun.cn。例如“苏州”的镜像仓库地址为：registry.cnjssz1.ctyun.cn。 IP：可通过ping镜像仓库地址（域名形式）获取。 配置完成后，执行systemctl restart docker重启容器引擎。

合理分配CoreDNS副本运行的位置 建议您在部署CoreDNS副本时，应将CoreDNS副本打散在不同可用区、不同集群节点上，避免单节点、单可用区故障。CoreDNS默认配置了按节点的弱反亲和性，可能会因为节点资源不足导致部分或全部副本部署在同一节点上，如果遇到这种情况，请删除Pod重新触发其调度来调整。 CoreDNS所运行的集群节点应避免CPU、内存用满的情况，否则会影响域名解析的QPS和响应延迟。当集群节点条件允许时，可以考虑使用自定义参数将CoreDNS调度至独立的集群节点上，以提供稳定的域名解析服务。关于CoreDNS调度至独立的集群节点的方式，请参见使用自定义参数完成CoreDNS独占部署。 手动扩容副本数 当集群节点数长时间较为固定时，您可以通过以下命令扩容CoreDNS副本数。 kubectl scale replicas{target} deployment/coredns n kubesystem 基于CPU负载指标自动扩容副本数（HPA） 由于HPA会频繁触发CoreDNS副本缩容，建议您不要使用容器水平扩缩容（HPA），如果您的场景下必须依赖于HPA，请参考以下基于CPU负载的策略配置： apiVersion: autoscaling/v2beta1 kind: HorizontalPodAutoscaler metadata: name: corednshpa namespace: kubesystem spec: scaleTargetRef: apiVersion: apps/v1 kind: Deployment name: coredns minReplicas: 2 maxReplicas: 10 metrics: type: Resource resource: name: cpu targetAverageUtilization: 50

本节介绍网络的用户指南:服务发现DNS概述。 创建集群时会自动安装CoreDNS插件，用来提供集群内部域名解析。在kubesystem命名空间下，可以查看到CoreDNS相关Pod： kubectl nkubesystem get po l k8sappkubedns NAME READY STATUS RESTARTS AGE coredns84f6584c855rmgq 1/1 Running 0 41h coredns84f6584c85rs4n6 1/1 Running 0 41h 作为集群内部DNS服务器，CoreDNS会将Service域名与Service的IP记录起来，Pod可以向CoreDNS查询Service域名获取对应IP地址。Pod访问的Service域名格式为..svc.，其中为Service名称，为命名空间名称，为集群内部域名，默认为cluster.local。若客户端和服务端在同一个命名空间下，可通过直接访问。建议在集群内部使用Service域名访问Pod，无需感知具体Service地址。 默认情况下，会将Coredns Service的地址作为域名解析服务地址写在Pod的/etc/resolv.conf kubectl nkubesystem get svc kubedns NAME TYPE CLUSTERIP EXTERNALIP PORT(S) AGE kubedns ClusterIP 10.96.0.10 53/UDP,53/TCP,9153/TCP 9d kubectl exec it nginxdemo748fb499d78f2t5 cat /etc/resolv.conf search default.svc.cluster.local svc.cluster.local cluster.local nameserver 10.96.0.10 options ndots:5 Pod内通过Service域名访问后端Pod的DNS解析过程，如下图所示：

二、AnythingLLM 服务部署（ docker 方式） 1. 获取 AnythingLLM docker image 文件。 由于国内无法访问 docker hub 网站，您需要修改 docker 的服务配置文件，添加国内可访问的源，以便能够顺利拉取 AnythingLLM docker image 文件。操作步骤如下： 向 docker 配置文件中添加国内可访问的 docker 镜像源 重启 docker 服务 拉取 AnythingLLM docker image plaintext Docker 守护进程（ daemon ）的配置文件。添加国内可访问镜像源。 sudo vi /etc/docker/daemon.json 重启 docker 服务 sudo systemctl restart docker 确认 docker 服务正常 sudo systemctl status docker 拉取 anythingllm 镜像 docker pull mintplexlabs/anythingllm daemon.json 文件添加的内容为： plaintext { "registrymirrors": [" " " } daemon.json 文件如下，仅供参考： 2. 启动 AnythingLLM 服务。 首先查看下载的 AnythingLLM 容器镜像的 tag 启动 AnythingLLM 服务 查看 AnythingLLM 服务状态 plaintext 查看当前的容器镜像列表 docker image list 启动 AnythingLLM 服务，下述 PROT 参数需要与第一部分开放的端口相对应 docker run d e PORT3001 e OLLAMABASEURL e ENABLESIGNUPtrue e ENABLEOPENAIAPIFalse addhosthost.docker.internal:hostgateway nethost v anythingLLM:/app/backend/data name anythingLLM restart always mintplexlabs/anythingllm:latest

使用天翼云息壤一体化智算服务平台 准备工作 使用天翼云息壤提供的大模型不仅需要提供API KEY，还需要提供对应的模型ID。其获取方式如下: 1. 登录天翼云官网，选择息壤一体化智算服务平台>一站式智算服务平台>服务接入>创建服务组>DeepSeekR1昇腾版，点击提交。 2. 选择测试服务，获App key作为API KEY。选择查看详情>了解更多。 3. 选择API文档，获取模型ID和终端地址。 Open WebUI接入 1. 登录Open WebUI并选择管理员面板>设置>外部连接。 2. 选择OpenAI API开启，点击管理OpenAI API连接，新增息壤大模型终端地址、API KEY和模型ID。终端地址需要增加V1版本。 3. 点击保存。 4. 点击模型，修改模型ID为易理解的模型。 5. 查看对话新增的大模型，其中息壤DeepSeekR1昇腾版为新增模型。 注意 请妥善保管您的API KEY，不要在公共场合泄露。 返回DeepSeek专题导航。

适用场景 客户端存在Range请求，且源站支持Range，可响应指定范围内的内容数据时，建议开启分片回源功能，以提高文件分发效率及缓存利用率。 一般源站内容是视频、APP等大文件的场景下，建议开启分片回源功能。 注意事项 开启分片回源前需确认源站是否支持Range请求，即源站能够响应对应范围内的206文件分片内容，如果源站不支持Range请求，开启分片回源可能会导致资源无法缓存。 开启分片回源时（非自适应回源），CDN会将用户请求（无论原始请求是否为Range请求）拆分成若干个Range请求回源，以一个100MB的文件为例，在分片回源开启时，CDN获取完整文件需要回源100次，一定程度上会增加回源访问请求数和并发量，请合理设置分片大小。默认Range分片大小为1MB，即：如果客户端请求Range: bytes0100，则在CDN节点回源时会将Range请求扩大为1MB。 请在新增域名时明确是否开启分片回源，以及开启分片回源的具体分片大小；一旦域名CNAME至我司产生流量后，建议不要轻易变更分片回源功能的分片大小，否则可能会产生较高回源；如确实有调整需求，请在提交工单时特殊说明。 配置说明 该功能暂不支持客户自助配置，如需使用，请通过提交工单给天翼云客服，由其人工操作开启。 提交工单时，请您提供如下信息： 1. 回源分片大小，默认为1MB；如需设置为其他值，请详细说明。 2. 开启分片回源功能的范围，默认为域名粒度；如需设置为仅部分文件，请说明具体的文件范围，例如xx目录，或xx文件后缀（如.mp4、.flv等）。 3. 如需开启自适应回源，请特殊说明。

本文介绍如何使用AOne创建同步任务,将橙讯的组织机构数据同步至AOne平台。 功能介绍 橙讯是中国电子科技集团旗下推出的安全电子邮件及协同办公平台。通过在您的服务平台（以下简称“平台”）配置橙讯同步任务，即可实现将橙讯中的组织架构和用户信息同步至平台，为平台上的应用提供统一的身份源，帮助企业完成从橙讯到平台的身份打通与认证管理。 前置条件 请提前确认您拥有橙讯企业管理后台的超级管理员或组织架构管理员权限。如未开通，请先联系橙讯售后或您的客户经理开通相关接口调用权限。 注意 目前该能力暂未全面开放至控制台，若想要进行该能力配置，可联系我们)进行开启。 操作步骤 管理员创建橙讯应用 1.创建应用 访问橙讯管理后台，在“管理后台”界面中点击“创建应用”。 点击“工作台”，选择“添加应用”。 填写应用名称、描述等信息后完成创建。 2.应用相关权限配置 应用创建完成后，在应用详情页的“授权信息”界面，查看并记录下 App Key、Corp Secret、Corp Id 和 Signature Key，这四个信息将用于后续创建同步任务。 在通讯录同步模块，开启“同步状态”，勾选同步字段及选择同步范围（与应用可见范围保持一致全组织/部分成员）。

本章节主要介绍操作类问题中有关集群访问的问题。 MRS集群内节点的登录方式（密码或密钥对）如何切换？ 不可以切换。 创建集群时选择了节点登录方式后不能更改登录方式。 如何获取ZooKeeper的IP地址和端口？ ZooKeeper的IP地址和端口可以通过MRS控制台或登录Manager界面获取。 方法一：通过MRS控制台获取 1. 在MRS集群详情页的“概览”页签，单击“IAM用户同步”右侧的“同步”进行IAM用户同步。 2. 选择“组件管理 > ZooKeeper > 实例”，获取ZooKeeper实例的“业务IP”地址。 3. 选择“服务配置”页签，搜索“clientPort”参数，该参数的值即为ZooKeeper的端口。 方法二：通过Manager界面获取 1. 登录Manager界面。 2. 在Manager界面获取ZooKeeper的IP地址和端口。 −针对MRS 3.x之前版本集群 i.选择“服务管理 > ZooKeeper > 实例”，获取ZooKeeper实例的“业务IP”地址。 ii.选择“服务配置”页签，搜索“clientPort”参数，该参数的值即为ZooKeeper的端口。 −针对MRS 3.x及之后版本集群 i.选择“集群 > 服务 ZooKeeper > 实例”，获取ZooKeeper实例的“业务IP”地址。 ii.选择“配置”页签，搜索参数“clientPort”值，该参数的值即为ZooKeeper的端口。 如何通过集群外的节点访问MRS集群？ 创建集群外Linux操作系统ECS节点访问MRS集群 1.创建一个集群外ECS节点。 ECS节点的“可用区”、“虚拟私有云”、“安全组”，需要和待访问集群的配置相同。 2.在VPC管理控制台，申请一个弹性IP地址，并与ECS绑定。 3.配置集群安全组规则。 a.在集群“概览”界面，选择“添加安全组规则 > 管理安全组规则”。 b.在“入方向规则”页签，选择“添加规则”，在“添加入方向规则”配置ECS节点的IP和放开所有端口。 c.安全组规则添加完成后，可以直接下载并安装客户端到集群外ECS节点。 d.使用客户端。 使用客户端安装用户，登录客户端节点，执行以下命令切换到客户端目录。 cd /opt/hadoopclient 执行以下命令加载环境变量。 source bigdataenv 如果当前集群已启用Kerberos认证，执行以下命令认证当前用户。如果当前集群未启用Kerberos认证，则通常情况下无需认证。 kinit MRS集群用户 例如： kinit admin 直接执行组件的客户端命令。 例如： 使用HDFS客户端命令查看HDFS根目录文件。 hdfs dfs ls / Found 15 items drwxrwxx hive hive 0 20211026 16:30 /apps drwxrxrx hdfs hadoop 0 20211018 20:54 /datasets drwxrxrx hdfs hadoop 0 20211018 20:54 /datastore drwxrwx+ flink hadoop 0 20211018 21:10 /flink drwxrx flume hadoop 0 20211018 20:54 /flume drwxrwxx hbase hadoop 0 20211030 07:31 /hbase ...

Sample of static pv. Path is templates/examples/filesystemvolumes/staticpv staticPv: enable: false clusterId: cluster1 clusterMode: true lunName: lun04 snapshots: Sample of static snapshot. snapshot should preprovisioned before staticSnapshot be enabled. Path is templates/examples/snapshots/staticsnapshot staticSnapshot: enable: false clusterId: cluster1 sourceLunName: lu1 snapshotName: s1 (2) 应用配置文件，在charts/csidriverstor下执行更新配置命令。 plaintext [root@k8smaster csidriverstor] helm upgrade stor ./ Release "stor" has been upgraded. Happy Helming! NAME: stor LAST DEPLOYED: Sun Apr 27 11:38:43 2025 NAMESPACE: default STATUS: deployed REVISION: 3 TEST SUITE: None NOTES: The Stor CSI Plugin has been published. The plugin image is: storcsidriver:1.5.1 The Stor Cluster Info is: [ { "clusterID": "stor1", "apiEndPointList": [ " " " ], "storProvider": "HBlock", "csiApiTimeout": 480 }, { "clusterID": "stor2", "apiEndPointList": [ " ], "storProvider": "HBlock", "csiApiTimeout": 480 } ] (3) 验证HBlock CSI是否已经可以正常启用：如果启用的样例成功建立pod，则表示HBlock CSI可以正常启用。如果快照和克隆卷创建成功，说明快照和克隆功能正常。 plaintext [root@k8smaster csidriverstor] kubectl get pod NAME READY STATUS RESTARTS AGE csistorplugincontroller79df7bf49cwr4tb 4/4 Running 0 62m csistorpluginnode4lzr9 2/2 Running 0 62m csistorpluginnodejx95c 2/2 Running 0 62m mycsiappblockdynamic 1/1 Running 0 18m snapshotcontroller0 1/1 Running 0 62m [root@k8smaster csidriverstor]

本节包含使用psql命令迁移RDS for PostgreSQL数据的相关内容。 迁移准备 PostgreSQL支持逻辑备份。您可使用pgdump逻辑备份功能，导出备份文件，再通过psql导入到RDS中，实现将PostgreSQL的数据导入到关系型数据库中。 关系型数据库服务支持开启公网访问功能，通过弹性公网IP进行访问。您也可通过弹性云主机的内网访问关系型数据库。 准备工作 1. 准备弹性云主机或可公网访问关系型数据库。 − 通过弹性云主机连接关系型数据库实例，需要创建一台弹性云主机。 2. 在1中的弹性云主机或可访问关系型数据库的设备上，安装PostgreSQL客户端。 说明 该弹性云主机或可访问关系型数据库的设备上需要安装和RDS for PostgreSQL数据库服务端相同版本的数据库客户端，PostgreSQL数据库或客户端会自带pgdump和psql工具。 导出数据 要将已有的PostgreSQL数据库迁移到关系型数据库，需要先对它进行导出。 注意 相应导出工具需要与数据库引擎版本匹配。 数据库迁移为离线迁移，您需要停止使用源数据库的应用程序。 导出或导入数据时，请谨慎，避免因操作不当导致实例或业务异常。 步骤 1 登录已准备的弹性云主机，或可访问关系型数据库的设备。 步骤 2 使用pgdump将源数据库导出至SQL文件。 pgdumpusername host port formatplain file DBUSER为数据库用户。 DBADDRESS为数据库地址。 DBPORT为数据库端口。 BACKUPFILE为要导出的文件名称。 DBNAME为要迁移的数据库名称。 根据命令提示输入数据库密码。 说明 导出的SQL文件为INSERT语句时可以更容易地编辑和手动修改，但是导入数据的速度可能会比使用COPY语句慢一些，建议根据实际情况选择导出合适的语句格式。 若源库和目标库都使用PostgreSQL数据库，建议导出COPY语句（默认），参考•示例一：导出源数据库至SQL文件（COPY语句...。 若源库或目标库使用了非PostgreSQL数据库，建议导出INSERT语句，参考•示例二：导出源数据库至SQL文件（INSERT...。 更多使用，请参见pgdump选项说明。 示例如下： 示例一：导出源数据库至SQL文件（COPY语句）。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain filebackup.sql mydb Password for user root: 示例二：导出源数据库至SQL文件（INSERT语句）。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain inserts filebackup.sql mydb Password for user root: 示例三：导出源数据库中所有表结构至SQL文件。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain schemaonly filebackup.sql mydb Password for user root: 示例四：导出源数据库中所有表数据至SQL文件。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain dataonly filebackup.sql mydb Password for user root: 命令执行完会生成“backup.sql”文件，如下： plaintext [rds@localhost ~]$ ll backup.sql rwr. 1 rds rds 2714 Sep 21 08:23 backup.sql 步骤 3 使用pgdump将源数据库中的表导出至SQL文件。 pgdump username host port formatplain file table DBUSER为数据库用户。 DBADDRESS为数据库地址。 DBPORT为数据库端口。 BACKUPFILE为要导出的文件名称。 DBNAME为要迁移的数据库名称。 TABLENAME为要迁移的数据库中指定表名称。 根据命令提示输入数据库密码。 示例如下： 示例一：导出源数据库中指定的单表至SQL文件。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain filebackup.sql mydb tabletest Password for user root: 示例二：导出源数据库中指定的多表至SQL文件。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain filebackup.sql mydb tabletest1 tabletest2 Password for user root: 示例三：导出源数据库中以ts开头的所有表至SQL文件。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain filebackup.sql mydb tablets Password for user root: 示例四：导出源数据库中除ts开头之外的所有表至SQL文件。 $ pgdump usernameroot host192.168.151.18 port5432 formatplain filebackup.sql mydb Tts Password for user root: 命令执行完会生成“backup.sql”文件，如下： plaintext [rds@localhost ~]$ ll backup.sql rwr. 1 rds rds 2714 Sep 21 08:23 backup.sql 结束

本节介绍了云容器引擎的最佳实践: 通过配置kubeconfig文件实现集群权限精细化管理。 集群权限精细化管理的背景 云容器引擎默认给用户的kubeconfig文件对集群操作的权限相当于root级别，这样的权限级别对于某用户来说过大，很不便于对集群的精细化管理。为了达到对集群精细化管理的目标，我们可以通过kubeconfig设置特定的用户，然后给用户赋予集群的部分操作权限（如：增、查、改）。 注意事项 下面配置步骤操作前，请先确保您的机器上有kubectl工具，若没有请到社区下载与集群版本对应的或者最新的kubectl。 基于Role实现集群权限精细化管理的配置步骤 说明 下述示例创建一个用户，并且该用户只能查看default下的Pod，不能查看其他namespace下的Pod且不能删除default下的任何Pod。 1. 配置ServiceAccount，名称为testsa，命名空间为default kubectl create sa testsa n default 3. 创建Role，并配置针对不同资源相对应的操作权限 vi addRole.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: name: testrole namespace: default rules: apiGroups: "" resources: pods verbs: get list watch apiGroups: apps resources: pods verbs: get list watch kubectl create f addRole.yaml 4. 配置RoleBinding，将sa绑定到Role上，让sa获取相应权限 vi addRoleBinding.yaml apiVersion: rbac.authorization.k8s.io/v1 kind: RoleBinding metadata: name: myrolebinding namespace: default roleRef: apiGroup: rbac.authorization.k8s.io kind: Role name: testrole subjects: kind: ServiceAccount name: testsa namespace: default kubectl create f addRoleBinding.yaml 5. 配置集群访问信息 4.1 通过sa的名称testsa获取sa对应的密钥，第一列testsatokennttvl即为密钥名 kubectl get secret n default grep testsa 4.2 将密钥中的ca.crt解码后导出 kubectl get secret testsatokend6b4q n default oyaml grep ca.crt: awk '{print $2}' base64 d > ca.crt 4.3 设置集群访问方式，其中dev 为需要访问的集群名称，10.50.208.30为集群ApiServer地址，test.config为配置文件的存放路径 （1）如果通过内部ApiServer地址，执行命令如下： kubectl config setcluster dev server certificateauthorityca.crt embedcertstrue kubeconfigtest.config （2）如果通过公网ApiServer地址，执行命令如下： kubectl config setcluster dev server kubeconfigtest.config insecureskiptlsverifytrue 集群ApiServer地址为内网ApiServer地址，绑定弹性IP后也可为公网ApiServer地址。如下图： 5. 配置集群认证信息 5.1 获取集群的token信息 token$(kubectl describe secret testsatokend6b4q n default awk '/token:/{print $2}') 5.2 设置使用集群的用户uiadmin kubectl config setcredentials uiadmin token$token kubeconfigtest.config 7. 配置集群认证访问的上下文信息，uiadmin@test为上下文的名称 kubectl config setcontext uiadmin@test clusterdev useruiadmin kubeconfigtest.config 8. 设置上下文 kubectl config usecontext uiadmin@test kubeconfigtest.config

使用限制 Cubecni IPVLAN模式下，基于eBPF实现NetworkPolicy，有如下限制： 1. IP Blocks即使包含Pod地址，这些Pod地址也不会加入白名单，需通过PodSelector或NamespeceSelector选择Pod； 2. IP Blocks的except支持不佳，不建议使用except关键字； 3. 若配置egress规则，会限制Pod访问所在节点以及其上HostNetwork类型Pod，即使白名单配置了所在Host地址也无效。 使用示例 网络策略详细使用方式可参考Kubernetes社区文档，下文以Nginx应用为例，介绍使用方式。 准备示例应用 使用YAMl方式创建示例应用，YAML定义如下： a. 登录云容器引擎控制台，左侧导航栏选择集群； b. 在集群列表页面，单击目标集群名称，进入集群管理页面； c. 左侧导航栏，选择工作负载 > 无状态； d. 选择default命名空间，点击新增YAML ，默认为一Nginx示例，将image字段替换为{镜像拉取地址}/opensource/nginx:1.26alpineslim，点击保存； e. 等待服务启动完成。 示例一：限制服务只能被带有特定标签的应用访问 通过控制台操作如下： 1. 登录云容器引擎控制台，左侧导航栏选择集群； 2. 在集群列表页面，单击目标集群名称，进入集群管理页面； 3. 左侧导航栏，选择网络 > 网络策略 ，选择default命名空间，点击创建网络策略； 创建面板配置说明如下： 配置名 说明 示例 名称 网络策略的名称。 example1 Pod选择器 单击+ 选择工作负载添加标签，设置使用网络策略的Pod。 若不配置Pod选择器，则对命名空间下所有Pod生效。 示例设置如下： 设置工作类型为：Deployment 设置工作负载为：nginxdeployment 设置标签为：appnginx 来源 配置入站规则（igress）列表，用于声明谁可以访问目标Pod。每个列表项包含规则和端口。 每个规则表示一组允许的来源，若配置多个规则，则满足任一规则即允许访问。 规则： 1. podSelector：此选择器将在与NetworkPolicy相同的名字空间中选择特定的Pod，将其允许作为入站流量来源； 2. namespaceSelector：此选择器将选择特定的名字空间，将所有Pod用作其入站流量来源； 3. ipBlock：此选择器将选择特定的IP CIDR范围用作入站流量来源。 端口：支持TCP和UDP协议。 本示例不添加任何来源规则。 去向 配置出站规则（egress）列表，用于声明目标Pod可以访问哪些地址。每个列表项包含规则和端口。 每个规则表示一组允许的去向，若配置多个规则，则满足任一规则即允许访问。 规则： 1. podSelector：此选择器将在与NetworkPolicy相同的名字空间中选择特定的Pod，将其允许作为出站流量目的地； 2. namespaceSelector：此选择器将选择特定的名字空间，将所有Pod用作其出站流量目的地； 3. ipBlock：此选择器将选择特定的IP CIDR范围用作出站流量目的地。 端口：支持TCP和UDP协议。 本示例不添加任何去向规则。 4. 点击下一步 ，点击确认； 5. 在另一个命名空间（例如demo）部署demo服务（可使用Nginx镜像），登陆容器，测试与示例Nginx的通信。可见，网络策略没有允许demo服务访问，导致访问会超时： 6. 修改网络策略为允许demo服务访问，点击编辑，在来源右侧，单击+添加，规则设置如下： 配置名 示例值 选择器 namespaceSelector 命名空间 demo 标签 kubernetes.io/metadata.name: demo 点击下一步 ，点击确认； 7. 登陆容器，测试与示例Nginx的通信。可见，网络策略允许demo服务访问，访问正常：

username: root password: TesT@@135 driverclassname: org.postgresql.Driver version: file: localpath: /app/pg/localpackage platform: standalone 7. 启动管理平台，执行命令./startup.sh。 8. 管理平台启动成功后，打开配置库database，如pgadmin，在pgzookeeperinfo表插入预先部署好的Zookeeper服务的url。 参考SQL： 如果是mysql数据库使用以下sql 。 plaintext INSERT INTO pgadmin.telepgzookeeperinfo(zookeeperid, url, primarynamespace, username, password, enableacl, description, createuser, createtime, updateuser, updatetime) VALUES (1, '10.142.90.28:8791,10.142.90.29:8791,10.142.90.30:8791', 'pgcluster', NULL, NULL, '0', NULL, 'test', NOW(), NULL, NULL); 如果是pg数据库使用以下sql。 plaintext INSERT INTO pgadmin.telepgzookeeperinfo(zookeeperid, url, primarynamespace, username, password, enableacl, description, createuser, createtime, updateuser, updatetime) VALUES (1, '10.150.106.24:2181,10.150.106.25:2181,10.150.106.26:2181', 'pgcluster', NULL, NULL, '0', NULL, 'test', NOW(), NULL, NULL); 需要把10.142.90.28:8791,10.142.90.29:8791,10.142.90.30:8791 替换成部署好的Zookeeper服务的url 控制台自建用户: root/TeleHTAP@2020 2. 部署监控采集数据服务 参考文档《部署监控数据采集服务》。 3. 部署北向接口服务 如果有送北向的需求，请参考文档《部署北向接口服务》。

本文介绍如何将网站域名接入边缘安全加速平台的安全与加速服务,保障您网站的安全性和可用性。 通过网站业务梳理、域名接入配置、运营管理三个方面进行管理您的网站。 网站业务梳理 在将网站接入边缘安全加速平台前，建议您先梳理网站的业务信息以及历史受攻击的情况，便于使用安全与加速服务制定合适的防护策略。 梳理网站的基础信息 梳理网站的基础信息，有利于您在域名接入安全与加速服务时，填写正确的域名配置。 网站支持哪些访问协议，如果需要支持HTTPS，那需要提前准备对应的HTTPS证书。 网站有使用了哪些业务端口，判断WAF是否能支持该网站的所有业务端口。 源站的IP有哪些，源站是否有iptables之类的访问限制，如果有需要加白AccessOne防护集群的回源IP。 梳理网站的业务情况 了解自身网站业务有利于安全与加速服务防护策略的配置，也有助于在订购安全与加速服务套餐时能选择合适的套餐规格属性。 网站当前的业务流量情况，包括流量峰值的Mbps、QPS情况。 网站访问者的主要来源，访问者的客户端环境有哪些，是否有APP客户端 网站有多少用户活跃度，主要的用户群体有哪些，有助于分析访问行为特征并制定防护策略。

本文向您介绍Token服务用户权限类常见问题。 主账号如何管理子账号的App Key？ 主账号自身可在“服务接入”模块，选择对应子账号的用户名称查询其创建的服务组，支持主账号对子账号创建服务组进行创建、编辑、停用、删除等操作。 主子账号在token额度使用中是什么规则？ 免费额度：每个模型被赋予不等的免费额度和免费试用期限，具体免费额度可在页面中查看，免费期限从第一次使用该模型开始计算。免费额度用完或到期后，可以付费开通服务。暂不支持开通付费服务的模型可选择部署为我的服务后继续使用。 共享机制：主/子账号共用免费额度及有效期周期额度 不可分配：不支持主账号向子账号分配额度 有效期触发：主账号任一账号首次使用模型服务即启动2周有效期倒计时 付费使用：部分模型支持开通付费token服务。暂不支持开通付费token的模型可转为部署为“我的服务”。 独立开通：各账号可单独开通付费服务，操作互不影响。 状态独立：各账号页面显示自身付费状态，不关联其他账号。 统一扣费：所有子账号消费均从主账号余额扣除。 举例：子账号A已开通付费，成功后即可付费使用tokens；子账号B未开通，则子账号B不可付费使用tokens。

本文为您介绍推理服务API调用说明。 终端节点 主要作用：用户信息的发送和接收，信令信息的控制处理、安全保护等作用。 终端节点： 接口构造 请求域名 终端请求地址： 通信协议 接口通过 HTTPS 进行通信，保护用户数据的机密性和完整性，确保网络通信的安全性。 版本管理 为区分接口版本，在http请求路径中加入版本信息，目前版本为v1，因而请求的url前缀为： 请求鉴权 请求header中需要填入Authorization鉴权信息，Authorization对应值应为Bearer + 平台上获取的服务组App Key AppKey获取方法：登录平台门户，训推智算服务平台>模型服务>服务接入>创建服务组>绑定服务>获取appKey 为避免被安全护栏拦截，建议在http请求header中填入UserAgent信息 浏览器或客户端标识：Chrome/58.0.3029.110、Mozilla/5.0、AppleWebKit/537.36、Safari/537.36、Windows NT 10.0、PostmanRuntimeApipostRuntime/1.1.0等 请求示例 plaintext 请求路径： 为具体的功能路径，如/chat/completions 请求方式：POST 请求header必填项： Authorization: Bearer AppKey ContentType: application/json 其他header： UserAgent: PostmanRuntimeApipostRuntime/1.1.0

天翼AI云电脑是云计算技术和终端相结合的创新型产品。依托中国电信优质云网资源，结合自主研发的CLINK数据安全传输协议，具备多重数据安全防护机制，实现安全高效的AI云电脑使用体验。提供一键部署、灵活可配、集中管控能力，广泛应用于办公、教育、医疗等行业使用场景。 本文档提供了天翼AI云电脑（政企版）API 的描述、语法、参数说明及示例等内容。

通过自定义策略配置,进一步增强护栏的灵活性与针对性。 代答库用于定义当检测到特定风险类型时，系统应返回给用户的“预设回复内容”，替代原本被拦截的大模型输出，保障对话体验的连贯性。 使用规则 可为不同风险类型分别配置代答内容。 每个风险类型最多可添加 5 条 代答内容，系统命中风险后将 随机 选取其中一条进行代答，避免回复过于单一。 每个代答库中，每个风险类型最多设置 10 条 代答文本，每条字符数限制为 100 个字符。 代答库创建后，需要在“应用管理”中将应用与该代答库关联，方可生效。如未关联，系统将使用默认回答。 支持配置代答的风险类型 宣扬暴力 宣扬淫秽色情 政治敏感 违反社会主义核心价值观的内容 侵犯他人合法权益 商业违法违规 提示注入攻击 黑名单 危险行为 其他风险类别 创建代答库 1. 进入“代答库管理”页面，单击右上角“新增”。 2. 填写“代答库名称”和“描述”（选填）。 3. 在各风险类型下方的输入框中填写对应的代答内容。 4. 单击“确认”保存。 编辑代答库 单击代答库卡片右上角的“操作 > 编辑”，可修改各风险类型的代答内容。编辑保存后，所有关联该代答库的应用将即时生效。 提示：出现“已添加到剪贴板”提示，即表示 APP CODE 信息已复制成功。

2. 将需要迁移的工作负载或相关服务，提升到集群联邦控制面管理 成员集群加入联邦后，其内部署的工作负载、Service、ConfigMap等还无法通过联邦进行调度，需要首先将相关资源YAML作为配置模板提升到联邦控制面管理，此后，才能再基于联邦进行该工作负载的多集群调度分发。 底层集群工作负载提升到联邦控制面管理的方式有两种，对原始工作负载的影响也不同。需要业务按自身需求按需选择。 方式一：工作负载维度接管，并且原集群中工作负载Pod不重启 假设成员集群member1中存在工作负载default/nginx，其状态为running： shell [root@cluster1] kubectl get deploy nginxNAME READY UPTODATE AVAILABLE AGE nginx 1/1 1 1 66s[root@cluster1] kubectl get podNAME READY STATUS RESTARTS AGE nginx6799fc88d8sqjj4 1/1 Running 0 2m12s 我们可以基于联邦控制面kubectl方式，执行以下命令来将其提升到联邦控制面管理： shell [root@master1] karmadactl promote deployment nginx n default c member1Resource "apps/v1, Resourcedeployments"(default/nginx) is promoted successfully 此时，再在联邦控制面中查询该工作负载，可看到已经可以查询到，说明已被联邦实例接管： shell [root@master1] kubectl get deployNAME READY UPTODATE AVAILABLE AGE nginx 1/1 1 1 7m25s 检查成员集群中对应nginx无状态工作负载，对应Pod并未重启： shell [root@cluster1]

老版本服务。 path: / backend: service: name: oldnginx port: number: 80 pathType: ImplementationSpecific 执行以下命令，部署Ingress。 kubectl apply f ingress.yaml 测试访问情况。执行以下命令，获取外部IP。 kubectl get ingress 执行以下命令，查看路由访问情况。 curl H"Host: www.ctyun.com" 期望输出： old 步骤二：灰度发布新版本服务 发布一个新版本的Nginx服务并配置路由规则。部署新版本的Deployment和Service。创建nginx1.yaml。 apiVersion:apps/v1 kind: Deployment metadata: name:newnginx spec: replicas:1 selector: matchLabels: run:newnginx template: metadata: labels: run:newnginx spec: containers: image: registrynm6bcrs.ctyun.com/ccsesample/newnginx imagePullPolicy:Always name:newnginx ports: containerPort:80 protocol: TCP restartPolicy:Always apiVersion:v1 kind: Service metadata: name:newnginx spec: ports: port:80 protocol:TCP targetPort:80 selector: run:newnginx sessionAffinity:None type:NodePort 执行以下命令，创建Deployment和Service。 kubectl apply f nginx.yaml 设置访问新版本服务的路由规则。容器支持设置以下三种路由规则，您可以根据实际情况选择路由规则。设置满足特定规则的客户端才能访问新版本服务。以下示例仅请求头中满足foobar的客户端请求才能路由到新版本服务。按照以上条件，创建新的Ingress资源grayreleasecanary。 apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: grayreleasecanary annotations: 开启Canary。 nginx.ingress.kubernetes.io/canary: "true"

本文为您介绍创建的目录、文件权限不足的问题现象、问题原因和解决方案。 问题现象 手动执行如下命令，出现如下报错日志。 ssh p 22 o ConnectTimeout10 o StrictHostKeyCheckingno teledb@10.218.14.144 sudo yum y install dos2unix expect readline createrepo nettools lsof uuid 经过排查发现目录文件权限不对，用户组不具备读写操作权限。 原因分析 执行umask命令，发现其设置的值与实际不相符，查找出位0027，实际上位022才对，导致用户创建的文件或者目录用户组权限不对。 解决方案 方式一 1. 执行如下命令，给解压出的安装包赋予读写执行权限。 cd /app sudo chmod R 755 teledbxv2.8.6centos.x8664 sudo chown R teledb:teledb teledbxv2.8.6centos.x8664 ssh p 22 o ConnectTimeout10 o StrictHostKeyCheckingno teledb@10.218.14.144 sudo yum y install dos2unix expect readline createrepo nettools lsof uuid 2. 重新install，当出现如下回显信息表示安装成功。

适用场景 客户端存在Range请求，且源站支持Range，可响应指定范围内的内容数据时，建议开启Range回源功能，以提高文件分发效率及缓存利用率。 一般源站内容存在视频、APP等大文件场景下，建议开启Range回源功能。 注意事项 开启Range回源前需确认源站是否支持Range请求，即源站能够响应对应范围内的206文件分片内容，同时需确认源站响应头中是否包含TransferEncoding: chunked头部。如果源站不支持Range请求，或源站可能响应TransferEncoding: chunked头部，可提交工单申请配置“完整文件回源”功能，该功能开启后，客户端发起Range请求时，全站加速节点将会回源获取完整文件，并缓存下来，同时响应Range范围的数据。 开启Range回源时，全站加速会将用户请求（无论原始请求是否为Range请求）拆分成若干个Range请求回源，以一个100MB的文件为例，在Range回源开启时，全站加速获取完整文件需要回源100次，一定程度上会增加回源访问请求数和并发量，请合理设置分片大小。默认Range分片大小为1MB，即：如果客户端请求Range: bytes0100，则在全站加速节点回源时会将Range请求扩大为1MB。 请在新增域名时明确是否开启Range回源，以及开启Range回源的具体分片大小；一旦域名CNAME至我司产生流量后，建议不要轻易变更Range回源功能开启状态以及分片大小，否则可能会产生较高回源；如确实有调整需求，请在提交工单时特殊说明。 配置说明 该功能暂不支持客户自助配置，如需使用，请通过提交工单给天翼云客服，由其人工操作开启。 提交工单时，请附带如下信息： 1. 分片大小，默认为1MB；如需设置为其他值，请说明。 2. 开启分片范围，默认为域名粒度；如需设置为仅部分文件，请说明具体的文件范围，例如xx目录，或xx文件后缀（如.mp4、.flv等）。