本节介绍了云硬盘扩容的流程。 1、登陆天翼云控制中心; 2、在系统首页，单击【存储 > 云硬盘】； 3、在【云硬盘列表】界面，选择需要扩容的云硬盘单击“扩容”； 4、选择需要新增的容量，点击“下一步”。 5、阅读《扩容须知》后，点击“我已阅读，继续扩容”。 6、确认扩容信息，点击“提交订单”。 7、支付后，完成磁盘扩容。

本节介绍在天翼云电脑移动终端订购云电脑的操作说明。 订购方式 AI云电脑（公众版）使用包年包月的计费方式，订购方式如下： (1)天翼AI云电脑App订购，可前往天翼AI云电脑下载页或在其他安卓应用市场下载安卓移动端，安装完成后在APP内订购。（iOS版暂不支持订购） (2)天翼云官网订购：天翼云网门户>产品>计算>云终端，选择“天翼AI云电脑（公众版）”自助订购。 (3)营业厅订购：请前往当地的电信营业厅咨询天翼AI云电脑产品订购相关内容。 AI云电脑（政企版）使用包年包月的计费方式，订购方式如下： (1)天翼云官网订购：天翼云网门户>产品>计算>云终端，选择“天翼AI云电脑（政企版）”自助订购。通过“单实例”方式开通或“资源包”方式开通。AI云电脑（政企版）连接互联网需单独订购上网带宽。 (2)营业厅订购：请前往当地的电信营业厅咨询天翼AI云电脑产品订购相关内容。 天翼AI云电脑移动端订购AI云电脑（公众版） 提示：天翼AI云电脑安卓移动客户端仅提供天翼AI云电脑（公众版）的订购。 以下是AI云电脑（公众版）在移动客户端的订购流程。 1. 登录“天翼AI云电脑”移动客户端； 2. 选择“首页”，点击顶部的订购入口，进入AI云电脑产品列表； 3. 选择所需要的AI云电脑规格，点击“立即订购”； 4. 进入产品详情页，选择AI云电脑的购买时长，数据盘容量，点击“提交订单”； 5. 确认订单信息后并完成支付； 6. 支付成功后，点击底部导航“AI云电脑”按钮，即可查看并使用AI云电脑（首次开通需要等待一段时间，完成系统初始化设置）。

关闭云审计服务 如果需要关闭云审计服务，进入云审计管理控制台，单击左侧导航的“追踪器”，删除追踪器即可。

本文为您介绍通过KMS实现云硬盘、对象存储、弹性文件等云服务的数据加密最佳实践。 密钥管理系统与天翼云产品无缝集成，在云产品中，仅需要选择在KMS中托管的主密钥，即可轻松实现对云产品数据的服务端加密。 云产品通过集成KMS实现对云上数据的加密存储，密钥由KMS托管，满足监管合规要求。整个服务端加密过程对用户透明无感知，只需要开启加密功能并指定密钥即可。同时用户无须自定构建和维护密钥管理基础设施，节省开发成本。 用户可以选择KMS为云产品自动创建的默认主密钥加密，也可以选择通过KMS创建的用户主密钥。其中默认密钥不收取密钥托管费用。 场景示意图 云产品开启服务端加密流程 加密云硬盘 在创建云硬盘页面，选择开启“磁盘加密”，并在密钥列表中选择加密密钥。 加密对象存储 在创建对象存储Bucket页面，选择开启“服务端加密”，并在密钥列表中选择加密密钥。 加密弹性文件 在创建文件系统页面，选择开启KMS加密，并在密钥列表中选择加密密钥。

本文介绍了云防火墙等保合规能力说明 检查项分类安全控制点风险等级 等保合规检查项 云防火墙CFW提供的对应能力说明 相关功能介绍 安全通信网络网络架构中 应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力。 云防火墙提供访问控制机制和入侵防护能力，开启防护后能够自动阻断互联网与VPC之间的威胁访问，为用户提供自动的边界防护能力。 入侵防护 访问控制 安全区域边界边界防护高 应能够对内部用户非授权连到外部网络的行为进行限制或检查。 云防火墙提供南北向访问控制功能，检查外部网络连接到内部的所有通信和内部用户连接到外部网络的通信，阻断双向非授权访问行为，保证受保护的内部网络与外部网络之间的通信在受控接口内进行通信。 访问控制 安全区域边界边界防护中 应能够对非授权设备私自连到内部网络的行为进行限制或检查。 云防火墙提供南北向访问控制功能，检查外部网络连接到内部的所有通信和内部用户连接到外部网络的通信，阻断双向非授权访问行为，保证受保护的内部网络与外部网络之间的通信在受控接口内进行通信。 访问控制 安全区域边界边界防护中 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。 云防火墙提供南北向访问控制功能，检查外部网络连接到内部的所有通信和内部用户连接到外部网络的通信，阻断双向非授权访问行为，保证受保护的内部网络与外部网络之间的通信在受控接口内进行通信。 访问控制 安全区域边界入侵防范高 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。 云防火墙实现对互联网上的恶意流量入侵活动和常规攻击行为进行实时阻断和拦截。 入侵防护 安全区域边界入侵防范高 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。 云防火墙实现云上资产对外流量的主动外联、失陷感知等出方向流量分析和攻击防护及访问控制。 入侵防护 安全区域边界入侵防范中 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。 云防火墙提供对业务流量中的攻击行为的检测和记录，并能根据策略设置提供攻击流量阻断功能，记录风险级别、事件名称、源IP、目的IP、方向、判断来源、发生时间和动作。 入侵防护 安全区域边界访问控制高 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下受控接口拒绝除允许通信外的所有通信。 云防火墙提供默认拒绝所有通信的访问控制策略，只允许通行策略相关会话通信。 访问控制 安全区域边界访问控制中 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化。 云防火墙提供流量记录功能，能够记录所有防火墙的通信会话行为，可通过对防火墙网络通信判断访问规则的有效性，从而实现访问控制规则最小化。 访问控制 安全区域边界访问控制高 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许或拒绝数据包进出。 云防火墙实现对进出访问控制策略进行严格设置。访问控制策略包括源类型、访问源、目的类型、目的、协议类型、目的端口、应用协议、动作、描述和优先级。 访问控制 安全区域边界访问控制中 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级。 支持根据FTP等会话的状态信息设置对会话的允许/拒绝访问能力，控制粒度为端口级。 访问控制 安全区域边界访问控制中 应对进出网络的数据流实现基于应用协议和应用内容的访问控制。 支持DNS等应用协议和下载等应用内容进行访问控制。 访问控制 安全区域边界安全审计高 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。 云防火墙提供日志审计功能，可以记录所有流量日志、访问控制日志、入侵防护日志和操作日志。 日志审计 安全区域边界安全审计中 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。 云防火墙提供日志记录事件功能，包括：时间、告警名称、攻击类型、源/目IP字段、等级等。 日志审计 安全区域边界安全审计中 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。 云防火墙提供日志分析功能，默认保存7天的数据，同时还支持修改存储时长至180天。 日志审计 安全区域边界安全审计中 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 云防火墙提供日志分析功能，记录所有流量访问日志，默认保存7天的数据，同时还支持修改存储时长至180天。 日志审计

稳定可靠的高可用架构 多资源池分散部署，异地容灾机制安全可靠；运营商级带宽扩容能力，可支持高并发业务接入防护；采用集群+冗余高可用模式，消除单点故障；全面满足各场景下的高可用需求。 满足等保合规要求 与云原生安全产品深度融合，针对云上云下资产，形成纵深防护体系以及融合防护视角，支持ELB/ALB/ECS等云产品一键接入，与证书管理服务、云安全中心、云防火墙（原生版）等原生安全产品协同联动，一站式完成云上安全统一监控和管理，助力企业安全合规建设；深度兼容IPv6双栈协议，满足等保2.0、GDPR等国内外合规要求，针对政务、金融等强监管行业，提供数据本地化、审计日志隔离存储等专项方案，助力客户通过安全审查与合规验收。

第三方云站点接入公共传输通道 1. 阿里云接入公共传输通 阿里云资源池所在地市的CN2DCI PE设备通过预开通的大带宽中继电路接入阿里云资源池出口网关CGW设备。电信按客户为单位基于预开通的中继电路接入端口创建客户VBR，客户VBR与CN2DCI PE之间通过VLAN子接口对接，并进行带宽限速。 2. 腾讯云接入公共传输通道： 腾讯云资源池所在地市的CN2DCI PE设备通过预开通的大带宽中继电路接入腾讯云资源池出口网关CGW设备（腾讯云三层交换机）。电信按客户为单位创建客户专线网关，基于预开通的大带宽中继电路创建专用通道，客户专线网关与CN2DCI PE之间通过VLAN子接口对接，并进行带宽限速。 3. 华为云接入公共传输通道 华为云资源池所在地市的CN2DCI PE设备通过预开通的大带宽中继电路接入华为云资源池出口网关CGW设备（华为云POP）。电信按客户为单位基于预开通的中继电路创建客户虚拟网关，客户虚拟网关与CN2DCI PE之间通过VLAN子接口对接，并进行带宽限速。 4. 微软云接入公共传输通道 微软云资源池所在地市的CN2DCI PE设备通过预开通的大带宽中继电路接入微软云资源池出口网关CGW设备（微软云MSEE）。电信根据不同客户，在CGW与CN2DCI PE之间通过QinQ子接口对接，并进行带宽限速。 5. AWS云接入公共传输通道 AWS资源池所在地市的CN2DCI PE设备通过预开通的大带宽中继电路接入AWS资源池出口网关CGW设备（AWS DXGateway）。电信根据不同应用，CGW与CN2DCI PE之间通过VLAN子接口对接，并进行带宽限速。

本章节介绍如何将部署在云容器引擎的应用通过安装cubems插件实现应用接入 概述 部署在云容器引擎的应用可以直接通过安装cubems插件实现应用接入。 环境规划 1.开通微服务云应用平台MSAP 开通 微服务云应用平台。 2.环境信息配置 使用微服务治理中心前，需要为应用提前规划环境、项目和分组信息。您可通过进入微服务治理控制台>应用治理>应用接入>云容器引擎进行配置，也可跳转至微服务云应用平台创建。 网络通路 1.DNS配置 上报域名为内网域名，需要在DNS配置文件（/etc/resolv.conf）首行添加nameserver 100.95.0.1 才生效。 2.创建VPC终端节点 使用微服务治理中心前，需要在目标VPC中创建终端节点。创建路径：微服务治理中心控制台>应用治理>应用接入>云容器引擎>网络通路。 进入应用接入页面。 点击云容器引擎，选择VPC，点击创建终端节点。 点击确定授权并创建VPC终端节点。 点击确定后，刷新页面，显示VPC的终端节点状态为已创建。

本节介绍云等保专区产品的下一代防火墙。 下一代防火墙能够提供应用层防火墙、入侵防护、防病毒、反APT、DOS防护、内容过滤、URL过滤、智能带宽管理、上网行为管控与审计等多重安全特性；同时，它全面适配云环境，支持主流的公有云、私有云及虚拟化平台；全特性支持RESTful API，具备高效的协同联动能力，能够提供立体化防护能力。 进入控制台 1. 登录云等保专区控制台。 2. 在左侧导航选择“下一代防火墙”，进入下一代防火墙资源列表页面。 3. 单击目标资源操作列的“配置”，跳转到下一代防火墙控制台。 使用下一代防火墙 说明 下一代防火墙v1.0已支持规则库更新能力，若需要更新规则库请提交工单申请。 了解更多下一代防火墙相关操作内容，请下载阅读《云等保专区下一代防火墙 v1.0 用户指南》。

本文为您介绍云搜索服务实例标签操作,包含标签绑定、标签修改、删除标签,支持单实例标签操作,通过标签实现实例精细化分类、资源台账与账单维度管理。 随着企业业务规模的扩大，Elasticsearch实例的数量可能从几个增加到几十个。在这样的背景下，仅靠实例名称难以实现高效的资源分类与识别，云搜索服务提供的标签管理功能，支持通过“键值对”标识资源，并提供便捷的批量管理能力。结合标签管理能力，不仅可以实现实例的快速筛选，还能实现企业级资源的数字化治理。 使用限制 1. 单个云搜索服务实例最多可创建绑定 50 个标签。 2. 每个标签键仅限选择一个标签值进行绑定。 使用前提 1. 已登录天翼云官网，拥有云搜索服务实例管理操作权限。 2. 已在天翼云官网标签管理页面创建好标签。 操作步骤 绑定标签 云搜索服务支持在实例开通和开通完毕后进行标签绑定。 订购绑定 1. 打开云搜索服务订购实例页面，在实例配置中的标签键和标签值下拉选择所需要绑定的标签； 2. 选择好后，点击右侧保存按钮； 3. 如需修改点击对应标签的删除按钮，选择正确的绑定即可。 已开通实例绑定 1. 登录云搜索服务控制台，进入对应实例类型的管理列表页面，点击实例名称，进入基础信息页； 2. 在基础信息页面中，点击编辑标签，在标签键和标签值中下拉选择所需要绑定的标签； 3. 选择好后，点击右侧保存按钮； 4. 如需修改点击对应标签的删除按钮，选择正确的绑定即可。

本文将为您介绍绑定VPC的操作步骤。 应用场景 本地IDC通过专线网关实现访问VPC，建立快捷和灵活的入云方式。 前提条件 专线网关已绑定物理专线，具体操作说明详见绑定和解绑物理专线。 专线网关已创建BGP或静态路由，具体操作说明详见创建和管理BGP或创建和管理静态路由。 操作步骤 绑定VPC 1、登录云专线控制台，在左侧导航栏中，单击【专线网关】。 2、在专线网关页面，选择目标专线网关，在操作列中单击【详情】。 3、在专线网关详情VPC页签，单击【绑定VPC】，配置以下参数信息，然后单击【确定】。 配置 说明 VPC实例类型 选择绑定的VPC实例类型。 同账号：绑定当前账号的VPC实例。 跨账号：绑定其他账号的VPC实例。 说明 如果选择跨账号，需要先完成跨账号授权，具体操作说明详见授权VPC实例。 专属云项目 选择绑定的VPC是否属于专属云项目，默认为无，说明VPC不署于专属云。 说明 如果绑定的VPC是专属云VPC，则选择对应的专属云。 VPC 选择绑定的VPC名称。 VPC网段（IPv4） 选择VPC的网段 IP类型 选择VPC子网的IP类型。 IPv4：IPv4类型的VPC子网 IPv6：IPv6类型的VPC子网 双栈：IPv4和IPv6类型的VPC子网 子网 选择专线网关需要访问的VPC子网。 权重 选择专线网关到VPC路由的权重，默认为100。 说明 表示当前专线网关到VPC侧路由的权重，多条路由的权重相等时采用负载均衡模式进行流量传输；某条路由的权重值越大，表示该路由优先级越高。

混合云一体机（以下简称一体机）是天翼云基于多年研发积累和大规模业务实践验证，结合对市场用户云业务需求深入洞察，推出的软硬一体产品。其中硬件部分采用通用x86或国产服务器，软件集成天翼云平台，提供计算、存储、网络、监控、管理等全栈云服务，帮助企业从零构建云底座。 一体机是标准化交付产品，到货后110个工作日即可完成交付，无需经过冗长的项目沟通及采购流程。同时用户可自行指定一体机部署位置，安全可控，满足低延时、低成本的需求，非常适合承载边缘、灵活上云需求。

本文介绍如何创建Serverless集群。 前提条件 已开通并授权云容器引擎。 已登录弹性容器实例控制台开通ECI服务。 步骤一：登录云容器引擎控制台 1.登录云容器引擎控制台。 2.在控制台的左侧导航栏中点击“集群”。 3.在集群列表页面中，单击页面右上角的“创建集群”，进入订购页后单击“Serverless版”，进入订购云容器引擎Serverless版界面。 步骤二：集群配置 在订购云容器引擎Serverless版页面中，完成集群的基本配置。部分配置说明如下： 配置项 描述 实例名称 填写集群的实例名称 企业项目 按需选择企业项目 计费模式 默认使用按需计费模式 Kubernetes版本 显示当前Serverless集群支持的Kubernetes版本 部署方式 支持单可用区部署、多可用区部署 可用区 按需选择可用区 API Server访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。同时，您也可以选择是否使用EIP暴露API Server，选择不开放时，则无法通过外网访问集群API Server 虚拟私有云 集群所使用的VPC，支持使用已有的VPC或创建虚拟私有云 所在子网 集群所使用的子网，支持使用已有的子网或创建子网 默认安全组 安全组是一种虚拟防火墙，能够控制实例的出入站流量，Serverless集群会自动生成一条默认的安全组，以确保容器之间能正常通信 启用IPv6 启用IPv6双栈将创建双栈Serverless集群 Service CIDR 设置Service CIDR。Service网段不能与VPC及VPC内已有集群使用的网段重复，并且Service地址段也不能和Pod地址段重复。集群创建成功后不能再修改该网段 自定义证书SAN 按需添加自定义的IP或域名，以实现对客户端的访问控制 集群本地域名 填写集群的本地域名 集群删除保护 设置是否启用集群删除保护，防止通过控制台或者API误删除集群 集群标签 为集群绑定标签，作为云资源的标识 集群描述 按需对集群进行描述说明 时区 集群所要使用的时区

可信服务功能介绍 什么是可信服务 可信服务是指可与组织管理服务集成，提供组织级相关能力的云服务。管理账号及主账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。例如，开启云防火墙为可信服务后，云防火墙可以获取组织单元及成员账号信息，统一为整个组织提供基于云防火墙的产品服务。 什么是委托管理员 委托管理员账号是一个组织中有特殊权限的成员账号。管理账号可指定某个成员账号为某个可信服务的委托管理员账号。成为委托管理员账号后，该成员账号下的用户可以使用对应可信服务的组织级管理能力。例如，某一个成员账号成为云防火墙的委托管理员后，可以共享云防火墙服务在组织成员账号内共同防护。 当前支持可信服务的云产品 可信服务 功能介绍 是否支持委派管理员账号 相关文档 云防火墙 云防火墙集成组织管理后，能够统一管理多账号的公网IP资产，统一配置防御策略，实现集中安全管控。 是 多账号管理 启用或禁用可信服务 登入企业组织管理员账号后，您可以在“企业中心可信服务”界面，对支持可信服务的产品进行开启或禁用。 组织管理员禁用某个云服务的可信访问后，此云服务便不能给成员账号创建此服务的"服务关联委托”。 服务启用可信后才可以设置委托管理员。

本节介绍如何查看安全概览,通过安全概览了解整体的安全风险和告警。 安全概览会通过大屏的方式展示安全评分、资产总数、告警总数、威胁动态、日志分布TOP5、风险资产TOP5、告警处置概览、近七天趋势图、攻击链统计图。 前提条件 安全概览的数据来源于接入系统的数据量，需要确保已完成数据接入。具体操作请参见接入日志、告警。 操作步骤 1. 登录云安全中心控制台。 2. 在左侧导航栏，选择“安全态势 > 安全概览”，进入安全概览页面，查看安全评分和风险数据统计。 说明 日志、告警等维度数据展示均支持下钻点击，通过详情进行展示。 概览数据只展示当前情况，最新实时数据需要手动刷新页面获取。

本节主要介绍Web应用生命周期管理 典型业务应用场景 应用场景 Web程序的应用范围非常广泛，日常使用的企业业务系统、网上商城系统、论坛、博客、Wiki知识系统、网络游戏等都可能是Web应用。针对不同技术架构的Web应用进行生命周期的管理，是企业IT部门主要工作内容之一。 价值 使用统一的平台管理各种Web应用，能够大大简化工作量，提高效率，快速响应复杂多变的业务需求。 优势 ServiceStage一站式运维平台，提升了企业级Web应用开发和运维的效率，使企业专注业务创新。具有以下优势： 一键部署，支持War、Jar、Zip软件包一键部署。 一站式运维，提供升级、回滚、日志、监控、弹性等丰富的运维能力。 无缝集成，支持与ELB、DCS等云服务与应用无缝集成。

本文将为您介绍算力专网的主要应用场景。 总部/分支站点组网（含入云）场景客户总部、分支机构、自建机房等站点位于中国境内或境外网络节点覆盖范围内，其中客户本地侧站点提供IPRAN和PON等多种接入方式。天翼云节点可以是中国电信CN2DCI网络覆盖的全国资源池，既可以接入本省天翼云，也可以跨省接入天翼云。境内第三方公有云节点接入通过CN2DCI网络实现，境外第三方云节点接入可以通过国际公司相关产品实现。 客户站点使用IPRAN接入算力专网 客户总部/分支站点由IPRAN网络接入CN2DCI网络的本地PE或延伸交换机。用户CE到ASBR/BLEAF设备通过VLAN+PW建立二层通道。客户网络CE与本地IPRAN的U设备采用单上联或双上联的方式对接，以二层VLAN方式互联。用户接入的IPRAN U设备与ASBR/BLEAF设备之间建立PW，承载用户二层通道。ASBR设备与本城域内的CN2DCI PE设备就近互联。用户CE作为自身内网的三层网关，与CN2DCI PE设备互为三层邻居。以上ASBR/BLEAF设备为复用IPRAN云专线的ASBR设备。 天翼云资源池站点接入算力专网 云资源池内云专线交换机作为CE设备，通过预开通的大带宽中继电路接入资源池所在地市CN2DCI PE设备，云资源池内不同客户之间通过不同的VRF来进行区隔。云专线交换机与CN2DCI PE设备之间通过VLAN子接口对接。

本章节主要介绍如何绑定/解绑队列。 约束限制 绑定跨源的DLI队列网段和数据源网段不能重合。 不支持绑定系统预置的default队列。 绑定队列 使用增强型跨源连接之前必须绑定队列且对等连接的状态是“active”。 方式一 在“增强型跨源”页面，选择一条连接，单击该连接“操作”列中的“更多 > 绑定队列”，在弹出的对话框中，选择要绑定的队列（支持多选），单击“确定”。 方式二 单击选择的连接名称，进入该连接的“ 详情”页面。单击左上角的“创建”，在弹出的对话框中，选择要绑定的队列（支持多选），单击“确定”。 查看绑定队列详情 在“增强型跨源”页面，选中一条连接，单击选中的连接名称，可以查看绑定队列相关信息。 跨源连接队列详情列表参数 参数 参数说明 对等连接ID 增强型跨源在该队列所在集群中创建的对等连接ID。 说明 每一个增强型跨源对每一个绑定的队列都会创建一个对等连接。该对等连接用于实现跨VPC通信，请确保数据源使用的安全组开放了DLI队列网段的访问，并且在使用跨源过程中不要删除该对等连接。 名称 已绑定的队列名称。 连接状态 跨源连接的状态信息，包括以下三种状态： 创建中 已激活 已失败 说明 当连接状态显示为“已失败”时，单击左边对应的 ，可查看详细的错误信息。 更新时间 每个连接的更新时间，可按更新时间顺序或倒序显示连接列表。 操作 解绑队列：用于解除跨源连接与队列之间的绑定关系。

本文带您了解NAT网关的功能特性。 使用SNAT主动访问Internet 使用NAT网关的SNAT功能，构建VPC主动访问公网出口，使VPC内没有弹性IP的资源可以直接访问公网，实现云内主机共享使用弹性IP访问Internet。 使用DNAT面向Internet提供服务 使用NAT网关的DNAT端口级转换功能，使云上资源可轻松面向Internet提供服务，同时节省大量弹性公网IP，保护云上私网网络结构。 可视化运维 结合弹性IP和NAT网关监控，可对出入网流量进行可视化主动运维。及时发现网络瓶颈，保障业务永续服务，让运维更简单。 使用私网NAT网关 SNAT实现指定地址访问IDC 使用私网NAT网关的SNAT功能，可实现云上VPC内计算实例使用统一私网中转IP地址与IDC互访，IDC网络仅需向中转IP地址开放访问权限，无需感知云上VPC内网络地址明细信息。 使用私网NAT网关 DNAT实现使用指定私网地址开放VPC私网服务 使用私网NAT网关的DNAT功能，可实现云上VPC内计算实例使用同一私网中转IP地址开放服务，避免暴露VPC真实地址，实现网络的安全隔离。

本文简要介绍了组播的基本概念。 基本概念 组播域中存在多个组播组，主机通过加入某组播组成为该组播组的成员，从而可以接收发往该组播组的组播数据。 下表简要为您介绍组播的一些基本概念： 名称 说明 组播域 组播域是指地域范围内定义一个组播网络范围。 仅组播域之内的资源可以发送和接收组播流量，组播域之外的资源无法发送和接收组播流量。 一个vpc下仅支持创建一个组播域，同地域的多个组播域之间互不相通。 组播组 在组播域中，一组发送和接收相同组播报文的资源组成一个组播组。每个组播组均由一个组播IP地址标识。 一个组播域下支持创建多个组播组，各个组播组的IP地址不能相同。不同组播域下支持创建相同IP地址的组播组。不同组播组的组播流量互不相通。 组播成员 在组播组下，接收组播流量的资源称为组播成员。

本章主要介绍创建追踪器的创建。 云审计服务提供的追踪器分两类，包括管理类事件追踪器和数据类事件追踪器。 管理类事件追踪器用于记录管理事件，即针对所有云资源的操作日志，例如创建、登录、删除等。 数据类事件追踪器用于记录数据事件，即针对租户对OBS桶中的数据的操作日志，例如上传、下载等。 用户首次进入云审计服务时，在追踪器页面单击“开通云审计服务”，系统会自动为您创建一个名为system的管理类事件追踪器。管理类事件追踪器会自动识别并关联当前租户所使用的所有云服务，并将当前租户的所有操作记录在该追踪器中。 1. 使用限制 CTS仅记录最近7天内的操作事件，您需要配置追踪器转储至OBS或LTS服务来保存更长时间的事件，否则将无法追溯7天前的操作事件。配置转储后，追踪器会将事件持续保存到您指定的OBS桶或LTS日志流中。 管理类追踪器只能有一个，删除后依旧会保留历史事件操作记录，重新开通云审计服务后可恢复管理类追踪器。

Node检查 检查项名称 说明 修复方案 检查节点是否存在 检查集群中是否存在该节点。 请检查Node在集群中是否存在。 检查节点状态是否Ready 检查节点在集群中的状态是否为Ready。 请登录到节点上执行systemctl status kubelet或journalctl exu kubelet查看节点上kubelet进程异常日志并尝试修复。 检查ECS实例是否存在 检查ECS实例是否存在。 请检查ECS实例状态。 检查ECS实例状态正常 检查ECS实例状态，实例状态异常时会影响Pod的正常运行。 请检查ECS实例状态。 检查节点状态是否不可调度 检查节点是否不可调度，不可调度的节点会影响Pod的正常运行。 节点不可调度，请检查节点调度设置。 检查节点Chronyd进程状态是否正常 检查节点Chronyd进程是否异常，该进程异常可能会影响系统时钟同步。 节点Chronyd进程异常，可能影响节点系统时间同步。请尝试通过命令systemctl restart chronyd重启节点Chronyd进程。 检查节点Ntpd进程状态是否正常 检查节点Ntpd进程是否异常，该进程异常时可能会影响系统时钟同步。 节点Ntpd进程异常，可能影响节点系统时间同步。请尝试通过命令systemctl restart ntpd重启节点Ntpd进程。 检查节点Containerd状态是否正常 检查节点Containerd服务的状态，该进程异常时可能会影响Pod的正常运行。 节点Containerd状态异常，请收集节点日志并提交工单处理。 检查节点Containerd镜像拉取是否正常 检查节点Containerd进程拉取pause镜像是否正常。 请检查节点网络及镜像配置。 检查节点Docker状态是否正常 检查节点Dockerd服务的状态，该进程异常时可能会影响Pod的正常运行。 节点Docker状态异常，请收集节点日志并提交工单处理。 检查节点Docker镜像拉取是否正常 检查节点Docker进程拉取pause镜像是否正常。 请检查节点网络及镜像配置。 检查节点Kubelet状态是否正常 检查节点Kubelet服务的状态，该进程可能会影响Pod的正常运行。 请检查节点kubelet日志。 检查节点Kubelet启动时间 检查节点Kubelet进程启动时间。 无 节点OS版本 检查节点操作系统版本。 无 节点内核版本 检查节点内核版本是否过低，内核版本过低可能造成系统异常。 请尝试更换节点升级内核。 节点Systemd版本 检查节点systemd版本。 无 节点runc版本 检查节点runc版本，runc版本过低可能造成系统异常。 无 节点系统时间 检查节点系统时间。 无 节点硬件时间 检查节点硬件时间。 无 节点硬件时间漂移 检查节点硬件时钟与系统时间是否一致，时间相差超过2分钟可能引起组件异常。 请尝试登录节点，通过命令hwclock systohc将节点系统时间同步到硬件时间。 检查节点内存交换区开启情况 检查节点内存交换区 (Memory Swap) 功能是否开启，K8s默认要求关闭内存交换区。 当前节点内存交换区 (Memory Swap) 功能不支持开启，请登录节点关闭该功能。 检查Conntrack表使用情况 检查节点Conntrack表是否满，Conntrack表满可能影响网络性能。 请检查nfconntrackbuckets和nfconntrackmax内核参数。 检查节点访问集群API Server是否正常 检查节点能否正常连接集群API Server，访问集群中其他K8s资源。 请检查集群相关配置。检查Master组件Pod是否异常。API Server使用的负载均衡ELB是否异常。 节点DNS服务地址 检查节点能否正常使用主机DNS服务，通过主机DNS服务解析集群外域名。 请检查主机DNS服务是否正常。更多信息，请参见DNS解析异常问题排查。 集群DNS服务ClusterIP 检查集群DNS服务的Cluster IP是否正常分配，集群DNS服务异常会造成集群功能异常，影响业务。 请检查CoreDNS Pod运行状态和运行日志。更多信息，请参见DNS解析异常问题排查。 检查节点访问集群DNS服务是否正常 检查节点能否正常访问集群kubedns服务的Cluster IP，通过集群的DNS服务解析集群内域名。 请检查CoreDNS Pod运行状态和运行日志。更多信息，请参见DNS解析异常问题排查。 检查节点访问集群DNS后端端点是否正常 检查节点能否正常访问集群CoreDNS的Pod IP地址，通过CoreDNS进行域名解析。 请检查节点能否正常访问CoreDNS的Pod IP地址。更多信息，请参见DNS解析异常问题排查。 检查节点内网IP是否存在 检查节点内网IP是否存在。 节点内网IP不存在，请尝试移除节点后重新导入，移除时需保留ECS。 检查节点能否访问公网 检查节点能否正常访问公网，无法访问公网可能影响公网镜像拉取。 请检查集群是否开启SNAT公网访问。 节点CPU使用率 检查节点CPU负载是否过高，CPU负载过高可能影响系统性能。 无 节点内存使用率 检查节点内存负载是否过高，内存过高可能影响系统性能。 无

云上资产可通过自动识别添加，线下的资产可通过手动增加自定义资产。本小节介绍安全专区资产管理服务器主机新建。 新建服务器组 1.进入【资产管理】→【添加】，新建服务器组，填写组别名称，设置排序值。 2.点击【选择服务器】，进入服务器列表，选择要分配到该组的资产服务器，点击【确定】提交。 3.点击确定按钮，则新增成功。 编辑服务器分组 选择所要编辑的服务器组，点击【操作】，可进行【编辑】、【删除】以及【刷新】操作。 自定义服务器 进入【资产管理】→【新建】，打开自定义服务器窗口，填写服务器资料，新建自定义服务器。 服务器名称：服务的名称； VPC：所属VPC； 操作系统：选择操作系统类型； 所属地域：选择服务所在区域； 内网IP：服务器IP地址。 所示模板如下，进行点击【提交】，即可创建成功。 在【新增服务器】列表中可查看到新增的服务器信息（新增的服务器有new图标标识，查看或编辑后该图标则消失）。

本章节介绍如何退订云原生网关 概述 在云原生网关控制台实例列表页面，选择需要退订的实例，点击退订，在弹出的对话框中点击确认，实例资源会在后台自动释放。 操作步骤 1. 进入微服务引擎MSE控制台； 2. 在顶部菜单栏选择资源池； 3. 单击左侧导航栏云原生网关 > 网关列表 ； 4. 选择要退订的实例，点击退订； 5. 跳转退订页，提交订单，进行退订； 6. 返回微服务引擎MSE控制台，单击左侧导航栏云原生网关 > 网关列表 ； 7. 查看实例列表，退订实例不可访问；

本文列举了云原生API网关中关于计费的常见问题。 如何为开通的云原生API网关续费? 实例计费模式为包年包月，当实例生命周期达到截至使用时间时，云原生API网关实例会处于到期停机的状态，然后保留15天，保留期内，用户可以通过续费恢复实例；若超出保留期实例将被真正地清理。 操作步骤 1. 登录云原生API网关控制台。 2. 在左侧导航栏，选择"实例"，并在顶部菜单栏选择地域。 3. 在实例列表页单击右侧操作栏 "续订"。 4. 跳转至实例续订页面，选择续订时长后点击"确定"，完成续费。

本章节介绍云容器ETCD节点宕机故障演练。 背景介绍 云容器引擎（CCE）中，Etcd 节点是集群的分布式数据存储核心。硬件故障、系统内核异常、软件组件崩溃、网络中断及数据同步异常等因素，均可能导致 Etcd 节点故障。Etcd 节点故障会造成集群配置读写失败、状态同步异常，进而导致 Master 节点管控功能受限，Pod 调度、扩缩容等操作失效，影响上层业务稳定性，本演练可测试系统应对 Etcd 节点故障的恢复能力。 基本原理 通过停止Etcd 节点上的服务，模拟Etcd 节点故障。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云容器引擎。 添加实例 ：单击添加实例 ，勾选上一步中添加的云容器引擎实例。 添加故障动作 ：单击立即添加 ，在列表中选择Etcd节点故障动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 故障节点：故障动作的目标节点。

本文介绍如何在事件总线EventBridge管理控制台添加云应用引擎作为事件流中的服务类型。 前提条件 开通事件总线EventBridge并委托授权。 创建自定义总线服务。 开通云应用引擎，创建任务模板。 创建事件流 1. 登录事件总线EventBridge控制台，在左侧导航栏，单击事件总线。 2. 选择目标总线，点击事件源 按钮，点击添加事件源按钮，创建一个自定义事件源；填写事件源名，事件提供方可选择自定义应用。 3. 在左侧导航栏，单击事件规则 ，然后单击添加事件规则。 4. 在创建规则页面，完成以下操作。 1. 在配置基本信息 配置向导页面中，在名称 文本框输入规则名称，在描述文本框输入规则的描述，然后单击下一步。 2. 在配置事件模式配置向导页面中，在事件模式内容代码框输入事件模式，此处可选择匹配全部事件，然后单击下一步。如需了解更多信息，请参见事件模式。 3. 配置事件目标，云应用引擎目标参数描述如参数说明所示，然后单击创建，如图1所示。 图1：创建云应用引擎事件目标 参数说明 参数 说明 示例 AppID 选择应用模板。 EventId 选择触发云应用引擎模板的id。 部分事件/$.id Parameters 选择触发云应用引擎模板的Parameters。 部分事件/$.data

本章节主要介绍数据仓库服务如何查看其它资料并清理资源。 查看其它资料 完成如上操作步骤后，我们推荐您可以参考如下资料继续对数据仓库服务进行更详细深入的了解： 《数据仓库服务用户指南》：本指南在此入门的基础上，对创建、管理、监控以及连接集群的概念和相关操作提供全面详细的信息。 《数据仓库服务数据库开发指南》：本指南在此入门的基础上，为数据库开发人员提供全面详细的信息，帮助他们了解如何构建、管理和查询DWS 数据库，包括SQL语法、用户管理、数据导入导出等指导。 清理资源 当完成快速入门的样例后，如果您不再需要使用本样例创建的样例数据、集群、ECS以及VPC时，您可以删除这些资源，以免资源浪费或占用您的配额。 1.删除DWS 集群。 在DWS 管理控制台，单击“集群管理”，在集群列表中集群“dwsdemo”所在行，单击“更多 > 删除”。然后在弹出对话框中勾选“释放与集群绑定的弹性IP”，单击“确定”。 如果待删除集群使用了自动创建的安全组，且该自动创建的安全组没有被别的集群使用，删除集群时，该安全组也会一起被自动删除。 2.删除子网。删除前请先确保该子网未被其他资源绑定。 登录虚拟私有云管理控制台，在左侧导航树单击“虚拟私有云”，在虚拟私有云列表中，单击名称“vpcdws”，然后在子网列表中“subnetdws”所在行单击“删除”。 3.删除虚拟私有云。删除前请先确保该虚拟私有云未被其他资源绑定。 登录虚拟私有云管理控制台，在虚拟私有云列表中，找到虚拟私有云“vpcdws) ”，单击其所在行的“删除”。 具体步骤，请参见《虚拟私有云用户指南》中“虚拟私有云和子网 > 删除虚拟私有云”章节。

云容器引擎 CCE 智算版是利用云原生架构和技术,在云容器引擎上快速定制化构建AI生产系统,提供智算场景下的调度策略(共享GPU调度、批作业调度、拓扑感知调度)、GPU/RDMA异构资源管理和GPU资源监控基础能力,为用户提供AI数据集管理,AI模型开发、训练、评测,以及模型推理等服务。

本章节介绍云容器集群节点磁盘IO高负载故障演练。 背景介绍 高并发的日志落盘、有状态应用（如数据库Pod）的批量写入、大数据文件读写或底层存储介质的性能瓶颈，都可能导致云容器引擎（CCE）节点的磁盘 IO 饱和。这种情况会直接造成 Pod 的请求处理延迟、应用假死甚至数据丢失。本演练模拟磁盘 IO 资源被持续占用的高负载场景，帮助您评估应用的容错能力、检验数据写入的可靠性，并验证相关监控告警的有效性。 基本原理 先通过dd命令将数据写入文件中，然后再通过循环读写文件占用磁盘带宽。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云容器引擎，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云容器引擎实例，单击确定。 4. 在应用资源 页面的云容器引擎 列表中，找到您的目标集群，单击其操作列的节点列表。 5. 在弹出的对话框中，单击添加节点。 6. 勾选您希望进行故障演练的一个或多个节点 ，然后单击确定。 注意 当您首次对 CCE 集群执行演练时，系统会自动在该集群中安装演练探针（以 Deployment 和 DaemonSet 形式部署）。 您也可以提前在 故障演练 > 目标应用 > 探针管理 > 云容器引擎 界面查看探针的基本信息，并手动执行安装或更新操作。

本节介绍了云容器引擎的最佳实践:集群网络地址段规划实践。 在云容器引擎创建集群时，需要根据具体业务需求规划VPC大小和数量、子网大小和数量、容器网段和服务网段。本文介绍集群各类地址作用，以及如何规划地址段。 约束与限制 使用VPN方式访问集群时，需注意VPN网络与集群所在的VPC网段、容器网段和服务网段不能冲突。 集群各网段基本概念 VPC网段 虚拟私有云（Virtual Private Cloud，VPC）是隔离的、私密的网络环境，可以自定义网络地址、路由表、安全组等。同时，虚拟私有云提供丰富的网络连接，可以满足云上虚拟私有云互访、公网访问、通过专线或者VPN与线下IDC互通等网络场景。 子网网段 云资源（例如云服务器、数据库服务等）须部署在子网内，同子网内网络默认互通，同VPC下不同子网之间默认互通。子网网段创建后无法修改，请合理规划网络。 下图所示，VPC网段结构： 容器网段（Pod网段） 订购集群时，可指定容器网段（即Pod网段）。针对选择的网络插件，容器网段有不同限制： 1、Calico IPIP隧道网络： 可指定一个私有地址段作为容器网段，该地址段仅在集群内有效。网段大小影响后续可添加节点数及可创建Pod数上线，建议使用大网段，例如172.16.0.0/16，如下所示： VPC网段 容器网段 Service网段 最大可分配Pod地址数 192.168.0.0/16 172.16.0.0/16 10.96.0.0/16 65536 容器网段不能与节点所在的VPC网段重叠。例如节点使用子网网段192.168.1.0/24，所属VPC网段为192.168.0.0/16，则不能使用与192.168.0.0/16重叠的网段作为容器网段。

本节介绍了云容器引擎的最佳实践:集群网络地址段规划实践。 在云容器引擎创建集群时，需要根据具体业务需求规划VPC大小和数量、子网大小和数量、容器网段和服务网段。本文介绍集群各类地址作用，以及如何规划地址段。 约束与限制 使用VPN方式访问集群时，需注意VPN网络与集群所在的VPC网段、容器网段和服务网段不能冲突。 集群各网段基本概念 VPC网段 虚拟私有云（Virtual Private Cloud，VPC）是隔离的、私密的网络环境，可以自定义网络地址、路由表、安全组等。同时，虚拟私有云提供丰富的网络连接，可以满足云上虚拟私有云互访、公网访问、通过专线或者VPN与线下IDC互通等网络场景。 子网网段 云资源（例如云服务器、数据库服务等）须部署在子网内，同子网内网络默认互通，同VPC下不同子网之间默认互通。子网网段创建后无法修改，请合理规划网络。 下图所示，VPC网段结构： 容器网段（Pod网段） 订购集群时，可指定容器网段（即Pod网段）。针对选择的网络插件，容器网段有不同限制： 1、Calico IPIP隧道网络： 可指定一个私有地址段作为容器网段，该地址段仅在集群内有效。网段大小影响后续可添加节点数及可创建Pod数上线，建议使用大网段，例如172.16.0.0/16，如下所示： VPC网段 容器网段 Service网段 最大可分配Pod地址数 192.168.0.0/16 172.16.0.0/16 10.96.0.0/16 65536 容器网段不能与节点所在的VPC网段重叠。例如节点使用子网网段192.168.1.0/24，所属VPC网段为192.168.0.0/16，则不能使用与192.168.0.0/16重叠的网段作为容器网段。