华为云用户手册

操作步骤 SparkSQL表授权、列授权、数据库授权与Hive的操作相同，详情请参见Hive用户权限管理。 在权限管理中，为了方便用户使用，授予数据库下表的任意权限将自动关联该数据库目录的HDFS权限。为了避免产生性能问题，取消表的任意权限，系统不会自动取消数据库目录的HDFS权限，但对应的用户只能登录数据库和查看表名。 如果为角色添加或删除数据库的查询权限，数据库中的表也将自动添加或删除查询权限。此机制为Hive实现，SparkSQL与Hive保持一致。 Spark不支持struct数据类型中列名称含有特殊字符（除字母、数字、下划线外的其他字符）。如果struct类型中列名称含有特殊字符，在 FusionInsight Manager的“编辑角色”页面进行授权时，该列将无法正确显示。

相关概念 SparkSQL的语句在SparkSQL中进行处理，权限要求如表1所示。 表1 使用SparkSQL表、列或数据库场景权限一览 操作场景 用户需要的权限 CREATE TABLE “创建”, RWX+ownership（for create external table - the location） 说明： 按照指定文件路径创建datasource表时，需要path后面文件的RWX+ownership权限。 DROP TABLE “Ownership”（of table） DROP TABLE PROPERTIES “Ownership” DESCRIBE TABLE “查询” SHOW PARTITIONS “查询” ALTER TABLE LOCATION “Ownership”, RWX+ownership (for new location) ALTER PARTITION LOCATION “Ownership”, RWX+ownership (for new partition location) ALTER TABLE ADD PARTITION “插入”, RWX+ownership (for partition location) ALTER TABLE DROP PARTITION “删除” ALTER TABLE(all of them except the ones above) “Update”,“Ownership” TRUNCATE TABLE “Ownership” CREATE VIEW “查询”,“Grant Of Select”,“创建” ALTER VIEW PROPERTIES “Ownership” ALTER VIEW RENAME “Ownership” ALTER VIEW ADD PARTS “Ownership” ALTER VIEW AS “Ownership” ALTER VIEW DROPPARTS “Ownership” ANALYZE TABLE “查询”, “插入” SHOW COLUMNS “查询” SHOW TABLE PROPERTIES “查询” CREATE TABLE AS SELECT “查询”, “创建” SELECT “查询” 说明： 与表一样，对视图进行SELECT操作的时候需要有该视图的“查询”权限。 INSERT “插入”, “删除 (for overwrite)” LOAD “插入”, “删除”, RWX+ownership(input location) SHOW CREATE TABLE “查询”,“Grant Of Select” CREATE FUNCTION “管理” DROP FUNCTION “管理” DESC FUNCTION - SHOW FUNCTIONS - MSCK (metastore check) “Ownership” ALTER DATABASE “管理” CREATE DATABASE - SHOW DATABASES - EXPLAIN “查询” DROP DATABASE “Ownership” DESC DATABASE - CACHE TABLE “查询” UNCACHE TABLE “查询” CLEAR CACHE TABLE “管理” REFRESH TABLE “查询” ADD FILE “管理” ADD JAR “管理” HEALTHCHECK -

安全认证 Flink整个系统存在三种认证方式： 使用kerberos认证：Flink yarn client与Yarn Resource Manager、JobManager与Zookeeper、JobManager与HDFS、TaskManager与HDFS、Kafka与TaskManager、TaskManager和Zookeeper。 使用security cookie进行认证：Flink yarn client与Job Manager、JobManager与TaskManager、TaskManager与TaskManager。 使用YARN内部的认证机制：Yarn Resource Manager与Application Master（简称AM）。 Flink的JobManager与YARN的AM是在同一个进程下。 如果用户集群开启Kerberos认证需要使用kerberos认证。 针对 MRS 3.x之前版本，Flink不支持使用security cookie方式进行认证。 表1 安全认证方式 安全认证方式 说明 配置方法 Kerberos认证 当前只支持keytab认证方式。 从FusionInsight Manager下载用户keytab，并将keytab放到Flink客户端所在主机的某个文件夹下。 在“flink-conf.yaml”上配置： keytab路径。 security.kerberos.login.keytab: /home/flinkuser/keytab/abc222.keytab 说明： “/home/flinkuser/keytab/abc222.keytab”表示的是用户目录。 principal名。 security.kerberos.login.principal: abc222 对于HA模式，如果配置了ZooKeeper，还需要设置ZK kerberos认证相关的配置。配置如下： zookeeper.sasl.disable: false security.kerberos.login.contexts: Client 如果用户对于Kafka client和Kafka broker之间也需要做kerberos认证，配置如下： security.kerberos.login.contexts: Client,KafkaClient Security Cookie 认证 - 参考签发Flink证书样例章节生成“generate_keystore.sh”脚本并放置在Flink客户端的“bin”目录下，调用“generate_keystore.sh”脚本，生成“Security Cookie”、“flink.keystore”文件和“flink.truststore”文件。 执行sh generate_keystore.sh，输入用户自定义密码。密码不允许包含#。 说明： 执行脚本后，在Flink客户端的“conf”目录下生成“flink.keystore”和“flink.truststore”文件，并且在客户端配置文件“flink-conf.yaml”中将以下配置项进行了默认赋值。 将配置项“security.ssl.keystore”设置为“flink.keystore”文件所在绝对路径。 将配置项“security.ssl.truststore”设置为“flink.truststore”文件所在的绝对路径。 将配置项“security.cookie”设置为“generate_keystore.sh”脚本自动生成的一串随机规则密码。 默认“flink-conf.yaml”中“security.ssl.encrypt.enabled: false”，“generate_keystore.sh”脚本将配置项“security.ssl.key-password”、“security.ssl.keystore-password”和“security.ssl.truststore-password”的值设置为调用“generate_keystore.sh”脚本时输入的密码。配置文件中包含认证密码信息可能存在安全风险，建议当前场景执行完毕后删除相关配置文件或加强安全管理。 MRS 3.x及之后版本，如果需要使用密文时，设置“flink-conf.yaml”中“security.ssl.encrypt.enabled: true”，“generate_keystore.sh”脚本不会配置“security.ssl.key-password”、“security.ssl.keystore-password”和“security.ssl.truststore-password”的值，需要使用Manager明文加密API进行获取，执行curl -k -i -u user name:password -X POST -HContent-type:application/json -d '{"plainText":"password"}' 'https://x.x.x.x:28443/web/api/v2/tools/encrypt' 其中user name:password分别为当前系统登录用户名和密码；"plainText"的password为调用“generate_keystore.sh”脚本时的密码；x.x.x.x为集群Manager的浮动IP。命令中如果携带认证密码信息可能存在安全风险，在执行命令前建议关闭系统的history命令记录功能，避免信息泄露。 查看是否打开“Security Cookie”开关，即查看配置“flink-conf.yaml”文件中的“security.enable: true”，查看“security cookie”是否已配置成功，例如： security.cookie: ae70acc9-9795-4c48-ad35-8b5adc8071744f605d1d-2726-432e-88ae-dd39bfec40a9 说明： 用户需要获取SSL证书，放置到Flink客户端中。具体操作可参考签发Flink证书样例。 使用MRS客户端预置“generate_keystore.sh”脚本获取SSL证书有效期为5年。参考签发Flink证书样例获取的SSL证书有效期为10年。 若要关闭默认的SSL认证方式，需在“flink-conf.yaml”文件中配置“security.ssl.enabled”的值为“false”，并且注释如下参数：security.ssl.key-password、security.ssl.keystore-password、security.ssl.keystore、security.ssl.truststore-password、security.ssl.trustore。 YARN内部认证方式 该方式是YARN内部的认证方式，不需要用户配置。 - 当前一个Flink集群只支持一个用户，一个用户可以创建多个Flink集群。

操作步骤 启用Kerberos认证的集群，登录MRS Manager页面，创建拥有“Hive Admin Privilege”权限的角色，创建角色请参考创建角色。 创建属于“Presto”和“Hive”组的用户，同时为该用户绑定1中创建的角色，然后下载用户认证文件，参见创建用户，下载用户认证文件。 将下载的user.keytab文件和krb5.conf上传到MRS客户端所在节点。 步骤2-3仅启用Kerberos认证的集群执行，普通集群请直接从步骤4开始执行。 根据业务情况，准备好客户端，并登录安装客户端的节点。 例如在Master2节点更新客户端，则登录该节点使用客户端，具体参见使用MRS客户端。 执行以下命令切换用户。 sudo su - omm 执行以下命令，切换到客户端目录，例如“/opt/client”。 cd /opt/client 执行以下命令，配置环境变量。 source bigdata_env 连接Presto Server。根据客户端的不同，提供如下两种客户端的链接方式。 使用MRS提供的客户端。 未启用Kerberos认证的集群，执行以下命令连接本集群的Presto Server。 presto_cli.sh 未启用Kerberos认证的集群，执行以下命令连接其他集群的Presto Server，其中ip为对应集群的Presto的浮动IP（可通过在Presto配置项中搜索PRESTO_COORDINATOR_FLOAT_IP的值获得），port为Presto Server的端口号，默认为7520。 presto_cli.sh --server http://ip:port 启用Kerberos认证的集群，执行以下命令连接本集群的Presto Server。 presto_cli.sh --krb5-config-path krb5.conf文件路径 --krb5-principal 用户principal --krb5-keytab-path user.keytab文件路径 --user presto用户名 启用Kerberos认证的集群，执行以下命令连接其他集群的Presto Server，其中ip为对应集群的Presto的浮动IP（可通过在Presto配置项中搜索PRESTO_COORDINATOR_FLOAT_IP的值获得），port为Presto Server的端口号，默认为7521。 presto_cli.sh --krb5-config-path krb5.conf文件路径 --krb5-principal 用户principal --krb5-keytab-path user.keytab文件路径 --server https://ip:port --krb5-remote-service-name Presto Server name 使用原生客户端 Presto原生客户端为客户端目录下的Presto/presto/bin/presto，使用方式参见https://prestodb.io/docs/current/security/cli.html。 执行Query语句，如“show catalogs;”，更多语句请参阅https://prestodb.io/docs/current/sql.html。 启用Kerberos认证的集群使用Presto查询Hive Catalog的数据时，运行Presto客户端的用户需要有Hive表的访问权限，并且需要在Hive beeline中执行命令grant all on table [table_name] to group hive;，给Hive组赋权限。 查询结束后，执行以下命令退出客户端。 quit;

AI原生应用引擎 提供AI原生应用开发引擎，包括RAG、Agent等应用框架，零码态和全码态的开发形态，降低AI原生应用开发门槛、提升开发效率。支持客户打通自己的业务能力API，将大模型的能力结合进入自己的业务链路。 提供支撑AI原生应用运行的整套模型工具链，包括数据管理、模型接入、模型调优、知识工程等能力，帮助客户选好、管好、用好大模型，从而提升大模型应用效果。 构建企业应用与大模型之间的安全隔离带，结合华为 云安全 控制机制，保障AI原生应用安全可信。

AppStage管理Console权限 如果需要针对AppStage，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用 统一身份认证 服务（Identity and Access Management，简称 IAM ）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制资源访问。 通过IAM，您可以在账号中给员工创建IAM用户，并授权控制员工对资源的访问范围。例如您的员工中有负责运营的人员，您希望他们拥有AppStage的查看权限，但是不希望他们拥有创建委托等高危操作的权限，那么您可以使用IAM为项目规划人员创建IAM用户，通过授予仅能查看Appstage，但是不允许使用AppStage的权限，控制他们对AppStage控制台的使用范围。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见《IAM产品介绍》。 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 AppStage部署时是全局级服务。授权时，“作用范围”需要选择“全局级项目”。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对AppStage服务，能够控制IAM用户仅能查看Appstage的操作。 如表2所示，包括了AppStage的所有系统权限。 表2 AppStage系统权限 策略名称 描述 策略类别 策略内容 AppStage FullAccess 应用平台管理员权限 系统策略 AppStage FullAccess策略内容 AppStage ReadOnlyAccess 应用平台只读权限 系统策略 AppStage ReadOnlyAccess策略内容 当需要授权IAM用户开通AppStage服务时，该用户除了拥有AppStage FullAccess中的权限外，还需要拥有CBC及IAM的相关权限，具体请参考创建用户并授权使用AppStage。 表3列出了AppStage常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表3 AppStage应用平台操作与系统策略关系 操作 AppStage FullAccess （默认已有CBC的权限） AppStage ReadOnlyAccess 创建组织 √ × 关联组织 √ × 查询联邦 √ √ 开通联邦 √ × 查询用户实例 √ √ 查询组织列表 √ √ 变更规格 √ × 按需订购产品服务 √ × 按需退订产品服务 √ × 查询未支付的订单 √ √ 组合购订购AppStage相关产品服务 √ × 订购AppStage相关服务 √ × 查询资源列表 √ √ 查询子产品资源使用情况列表 √ √ 查询资源使用情况 √ √ 查询资源概览 √ √ 同步区域 √ × 查询区域 √ √ 表4 常用操作与对应授权项 操作名称 授权项 依赖关系 创建组织 appstage:system:createOrg 无 关联组织 appstage:system:associateOrg iam:groups:listGroups、iam:projects:listProjects、iam:permissions:listRolesForAgencyOnDomain、iam:groups:listGroups 查询联邦 appstage:system:getFederation iam:permissions:listRolesForGroupOnDomain、iam:groups:listGroups 开通联邦 appstage:system:createFederation iam:identityProviders:getIdentityProvider、iam:identityProviders:createProtocol、 iam:identityProviders:createIDPMetadata、iam:identityProviders:createMapping、 iam:groups:createGroup、iam:permissions:listRolesForGroupOnDomain、iam:permissions:grantRoleToGroupOnDomain、 iam:identityProviders:getMapping、 iam:identityProviders:deleteProtocol、iam:identityProviders:createIdentityProvider、 iam:identityProviders:getProtocol 查询用户实例 appstage:instance:getInstance 无 查看委托 无 iam:agencies:listAgencies、iam:roles:listRoles、iam:permissions:listRolesForAgency、iam:agencies:updateAgency、iam:roles:getRole、iam:permissions:listRolesForAgencyOnDomain 服务授权（委托授权） 无 iam:agencies:listAgencies、iam:roles:updateRole、iam:roles:listRoles、iam:agencies:createAgency、iam:permissions:listRolesForAgency、iam:permissions:grantRoleToAgency、iam:agencies:updateAgency、iam:permissions:revokeRoleFromAgency、iam:roles:getRole、iam:roles:createRole、iam:permissions:listRolesForAgencyOnDomain、iam:roles:deleteRole 查询授权 无 iam:credentials:listCredentials、 凭证授权 无 iam:credentials:listCredentials、 iam:permissions:grantRoleToAgencyOnDomain、 iam:credentials:updateCredential、iam:groups:listGroups、iam:groups:createGroup、iam:credentials:createCredential、iam:credentials:deleteCredential、iam:identityProviders:createIdentityProvider、iam:identityProviders:createMapping、iam:identityProviders:createProtocol、iam:permissions:listRolesForGroupOnDomain 查询组织列表 appstage:system:listOrg iam:projects:listProjects 变更规格 appstage:resource:changeSpecification iam:tokens:assume 按需订购产品服务 appstage:resource:onDemandSubscribe 无 按需退订产品服务 appstage:resource:onDemandUnSubscribe 无 查询未支付的订单 appstage:resource:getPayingOrder 无 组合购订购AppStage相关产品服务 appstage:resource:pkgSubscribe iam:tokens:assume 订购AppStage相关服务 appstage:resource:subscribe iam:tokens:assume、iam:projects:listProjects 查询资源列表 appstage:resource:listResources 无 查询子产品资源使用情况列表 appstage:system:listSubProdResUsage 无 查询资源使用情况 appstage:system:getUsage 无 查询资源概览 appstage:system:getUsageMetric 无 同步区域 appstage:system:associateRegion 无 查询区域 appstage:system:getRegions 无

角色和权限 租户管理员：购买AppStage并关联组织的账号，为AppStage的租户管理员。租户管理员除了具有购买、变更规格、续费、退订等操作权限，还具有组织管理员的权限。组织管理员的权限请参考表1。 AppStage的角色和权限如表1所示。 表1 岗位/角色 子系统 岗位/角色 级别 岗位/角色描述 可管理的下级岗位/角色 申请加入时审批者岗位/角色 应用平台系统级 组织管理员 系统级 管理组织：部门及成员的创建、编辑、删除、查看等操作。 管理应用基础信息：产品、服务、微服务的创建、编辑、删除、下线、同步、查看等操作。 管理公告：公告的创建、编辑、删除、置顶/取消置顶、查看等操作。 审批申请权限：审批所有角色的申请，查看我的审批记录等操作。 AI原生应用引擎：查看工作空间、资产中心，管理我的模型、数据集与知识库、我的提示语，创建访问密钥等操作。 AI原生应用引擎所有角色 开发中心所有角色 运维中心所有的岗位/角色 运营中心所有的角色 租户管理员 AI原生应用引擎 AI原生应用引擎管理员 服务级 AI原生应用引擎管理员角色，可以查看工作空间、资产中心，可以管理我的模型、数据集与知识库、我的提示语，还可以创建访问密钥。 AI原生应用引擎开发者 AI原生应用引擎浏览者 组织管理员 AI原生应用引擎开发者 服务级 AI原生应用引擎开发者角色，可以查看工作空间、资产中心，可以管理我的模型、数据集与知识库、我的提示语，还可以创建访问密钥。 无 组织管理员 AI原生应用引擎管理员 AI原生应用引擎浏览者 服务级 AI原生应用引擎浏览者角色，可以查看工作空间、资产中心、我的模型、数据集与知识库、我的提示语。 无 组织管理员 AI原生应用引擎管理员 AI原生应用引擎租户运营管理员 服务级 AI原生应用引擎运营管理员角色，可以查看运营看板。 无 组织管理员 AI原生应用引擎管理员 开发中心 项目经理 服务级 服务级的管理员角色，可查看所在服务在开发中心中的所有内容，以及所有的操作。 开发人员 测试人员 浏览者 组织管理员 开发人员 服务级 服务级的开发人员角色，可查看所在服务在开发中心中的所有内容，以及开发涉及的操作。 无 组织管理员 所在服务的项目经理 测试人员 服务级 服务级的测试人员角色，可查看所在服务在开发中心中的所有内容，以及测试涉及的操作。 浏览者 服务级 服务级的浏览者角色，可查看所在服务在开发中心中的所有内容，不可操作。 运维中心 运维管理员 组织级 具备运维中心的所有权限。 无 组织管理员 基础运维岗位 部门级 适用于组织层级的运维人员申请，主要用于横向拉通一个组织内不同租户、产品、服务的基础资源管理，包括主机管理、网络管理等。 无 组织管理员 监控中心岗位 部门级 仅限7x24小时运维监控室人员（SRE）申请，具有横向拉通一个租户组的运维告警/监控大盘/日志的查看处理权限。 无 组织管理员 一级审批人 产品级 变更管理的一级审批人 无 组织管理员 二级审批人 产品级 变更管理的二级审批人 无 组织管理员 三级审批人 产品级 变更管理的三级审批人 无 组织管理员 服务研发岗位 服务级 即研发人员，适合业务的研发人员申请。具有以下权限： 查看服务的配置。 部署服务控制台的只读权限。 查看服务的监控大盘和业务报表、调用链、告警和事件、日志检索。 无 组织管理员 服务运维岗位 服务级 即业务运维人员，仅允许业务SRE申请。具有以下权限： 编辑、查看SRE所负责服务的配置。 控制台操作权限，包括服务的部署和升级、EAP编排管理，自定义报表管理，作业平台操作。 服务使用的公有云服务的操作权限。 弹性网络服务（ERS）、主机管理服务（VMS）的只读权限。 查看服务的监控大盘和业务报表、调用链、日志检索、告警和事件（含处理权限）。 负载均衡（SLB）、部署服务、微服务平台（NUWA）、数据库治理（WiseDBA）的服务运维操作权限。 无 组织管理员 运营中心 运营管理员 服务级 服务级运营数据管理角色，可执行数据管理，模型管理，指标管理，卡片管理，大屏管理，审计日志查看等运营管理动作。 指标开发者 组织管理员 指标开发者 服务级 服务级指标开发者角色，可执行数据接入，模型开发，指标开发，卡片开发，大屏管理等运营数据开发动作。 无 组织管理员 运营管理员

运营中心 看板 产品运营人员能直观查看关键数据，分析产品运营过程中取得的成效和潜在问题。 数据模型 运营中心提供数据建模能力，运营人员可以新建实时数据模型和离线数据模型，也可以通过逆向数据库生成数据模型。通过提供多表关联建模整合表能力，一个数据模型可以映射多个数据表数据。 指标管理 运营中心提供指标自定义灵活配置能力，可以配置普通指标、复合型指标和静态指标，基于数据模型，通过计算方式、计算时间单位、统计维度、筛选条件等组合配置指标。 数据管理 运营中心提供多种数据接入能力，通过与数据源连接，可以建立数据源中数据表或数据文件的迁移任务，将源端数据迁移到运营中心，为后续业务做数据准备。 看板管理 通过自定义运营看板，可以把产品运营中的关键数据统一呈现出来，可按人员权限和业务类型展示不同的数据看板，可视化展现产品运营现状。 审计日志 审计日志是记录系统活动的记录，以便检查和审查这些活动。它包含操作对象、操作IP、操作人、操作时间等。

AI原生应用引擎 应用管理 提供自定义创建、开发、部署、发布、取消发布AI应用，还可以对自己收藏的AI应用进行运行调试、二次开发等。 应用体验 将平台预置的应用部署和用户自己创建的应用部署进行API调测，帮助开发人员发现并解决应用接口上的问题和错误。 数据管理 数据管理中纳管了用户自定义的和平台预置的数据集，用户使用这些数据集进行模型训练、知识库构建等，快速完成平台使用并验证模型训练效果。 模型管理 用户可以自定义创建模型、模型服务及在线测试模型，检验模型的准确性、可靠性及反应效果。 提示语管理 用户自定义创建的、收藏的以及平台预置的提示语模板进行优化和改进。 大模型微调 提供调整大型语言模型的参数以适应特定任务的过程，通过在与任务相关的数据集上完成模型训练。

开发中心 团队管理 团队管理基于团队空间为团队成员提供项目开发和共享工作区域，用于协作、交流和共享资源。在团队空间中，团队成员可以共同编辑文档、共享文件、执行各自权限和责任事项、规划和排发任务等，从而提高团队的工作效率和协作能力。 版本管理 版本管理是一种管理和跟踪代码变化的方法，是对软件、文档、代码等进行版本控制和管理的过程。它可以帮助团队协作开发，保证代码的稳定性和可靠性，同时也可以追踪历史版本，方便回溯和修复问题，进而确保团队成员之间的协作和代码的稳定性。通过版本管理将研发活动和流程串接，支持持续规划，持续开发和持续发布。 集成式工具链 AppStage集成需求管理、代码托管、流水线、代码检查等工具能力，实现工具集成和开箱即用。提供软件研发流程的端到端支持。提升用户体验及研发效率。 效能管理 效能大盘是AppStage集成效能洞察 CodeArts Board的能力，为企业管理者、项目经理、团队Leader、开发者提供面向DevSecOps领域端到端的研发效能度量能力，提供从需求、缺陷、代码、构建、测试、部署、发布到运营等研发各阶段作业数据的分析洞察能力，覆盖交付质量、交付效率、交付能力、交付成本、交付价值，同时集成了华为先进的方法论和优秀实践，助力企业数字化转型和数据驱动运营及治理，提升企业软件能力可信和研发效能。

运维中心 部署服务 基础设施即代码（Infrastructure as Code，简称IaC）是指使用代码方式来实现基础设施自动化配置和管理的方法，通过将传统的手动配置和脚本化配置转变为代码形式，使得基础设施的管理更加一致、可重复、可追踪和可版本控制。部署服务按服务管理资源，将微服务作为最小变更单元 ，进行自动化的变更管理。 监控服务 监控服务（ServiceInsight）是一个为开发人员和运维SRE（Site Reliability Engineer）设计的全面监控平台。该平台围绕故障生命周期的各个阶段构建，提供即开即用的解决方案。它集成了预防、检测、诊断、恢复、通报和改进功能，旨在提供一个一体化的可观测性解决方案。 微服务平台 微服务平台（NUWA Runtime，简称NUWA）托管了一个微服务运行的所有基础设施，微服务对基础设施的所有要求都通过基础设施即代码（Infrastructure as Code，简称IaC）来描述。NUWA Runtime根据IaC描述，对接相关的配置服务器，通过弹性伸缩管理平台接口，完成部署。应用托管到NUWA Runtime以后，Runtime提供IaC和管理台两种方式对集群进行变更。业务通过发布IaC版本，在运维中心执行IaC，即可对微服务集群进行变更。Runtime支持通过IaC指定集群配置、Sidecar版本、资源分配等；通过管理台可以对微服务本身及其相关的资源进行管理，如微服务生命周期管理、事件查看、更新配置、回滚、扩缩容等。 微服务发现 微服务发现（Cloud Map）是云服务统一的服务注册发现中心，主要是为解决业务依赖环境配置繁琐的难题，包括：服务注册和发现，业务故障隔离，服务路由，服务间调用关系正向设计和治理，微服务配置中心。

应用运维（运维中心） 痛点 业务软件快速迭代，业务上线速度和现网稳定性之间存在冲突。 运维工具林立，工具本身能力参差不齐，运维组织、人员能力及知识体系需要快速发展。 业务复杂性高，系统可用性依赖于全栈可用，如何利用好数据变被动为主动。 优势 与AppStage开发中心配合使用，用户可以通过应用平台基于项目维度提供从需求、设计、开发、测试、发布、变更、部署、监控、演练全场景全生命周期管理。 应用平台运维中心是提供一站式、全流程、安全可信的业务运维平台。支持业务全链路压测演练及容器部署演练，实现流程IT化和可控可回溯运维安全管控能力。 用户可以通过上传软件包将应用部署在应用平台，完成对应用的自动化部署、智能化运维、场景化演练。

AI原生应用开发 痛点 管好大模型难：大模型百花齐放，能力各异，管好大模型难，为应用场景选择表现最佳模型难。 用好大模型难：在企业的复杂场景中，基础大模型效果不佳，且多个大模型结合缺乏有效手段。 获取高质量数据难：高质量数据决定AIGC的高度，企业缺少准备契合行业和企业的高质量数据集的能力。 数据及模型安全保障难：数据是企业的高价值资产，如何防止数据泄露、安全风险是企业的难题。 优势 广泛纳入业界优秀大模型，快速接入模型，提供行业模型评测能力，对多系列、多规格、多版本、多领域、多场景的大模型完成分级分权等精细化管理。 基于大模型快速构建AI原生应用，支持可视化画布流程编排，开箱即用的RAG/Prompt模板应用，帮助企业用好大模型。 构建企业应用与大模型之间的安全隔离带，保障智能应用安全可信。

云上应用开发和管理 痛点 各种技术飞跃式进步，令人眼花缭乱，很多企业被动式的堆砌。 选择产品和解决方案时，缺乏全面视角和评估能力，缺少持续严谨性。 企业在新技术面前缺乏系统性的规划、设计和持续集成能力，只能进行孤岛式的局部创新。 运维保障任务需耗费团队大部分的时间与精力。 优势 面向应用全生命周期管理提供一站式能力。开箱即用，云上开发，全流程规范可视，高效异地协作。 将华为面向10亿+移动用户服务能力知识沉淀入平台，实现可靠性、可运维、安全多项公共能力内置。 云原生Ops需围绕服务部署、事件处理、业务连续性流程，实现自动化和智能化运维能力建设支持业务全链路压测演练。 支撑华为内外部业务，构筑统一的SaaS底座，平台长期持续演进，确保先进性和生命力。

监控指标 如下监控指标需要在实例节点查看，具体方法请参见查看监控指标。 表1 GeminiDB Mongo支持的监控指标 指标ID 指标名称 指标含义 取值范围 单位 进制 测量对象 监控周期（原始指标） nosql001_cpu_usage CPU利用率 该指标为从系统层面采集的CPU使用率。 0~100 % 不涉及 GeminiDB Mongo实例的节点 1分钟 nosql002_mem_usage 内存利用率 该指标为从系统层面采集的内存使用率。 0~100 % 不涉及 GeminiDB Mongo实例的节点 1分钟 nosql003_bytes_out 网络输出吞吐量 统计平均每秒从测量对象的所有网络适配器输出的流量。 ≥ 0 bytes/s 1024(IEC) GeminiDB Mongo实例的节点 1分钟 nosql004_bytes_in 网络输入吞吐量 统计平均每秒从测量对象的所有网络适配器输入的流量。 ≥ 0 bytes/s 1024(IEC) GeminiDB Mongo实例的节点 1分钟 nosql005_disk_usage 存储容量使用率 该指标为存储容量使用率。 0~100 % 不涉及 GeminiDB Mongo实例 1分钟 nosql006_disk_total_size 存储容量总容量 该指标为实例的存储容量总容量。 ≥ 0 GB 不涉及 GeminiDB Mongo实例 1分钟 nosql007_disk_used_size 存储容量使用量 该指标为实例的存储容量使用量。 ≥ 0 GB 不涉及 GeminiDB Mongo实例 1分钟 mongodb001_command_ps command执行频率 该指标用于统计平均每秒command语句在节点上执行次数。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb002_delete_ps delete语句执行频率 该指标用于统计平均每秒delete语句在节点上执行次数。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb003_insert_ps insert语句执行频率 该指标用于统计平均每秒insert语句在节点上执行次数。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb004_query_ps query语句执行频率 该指标用于统计平均每秒query语句在节点上执行次数。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb005_update_ps update语句执行频率 该指标用于统计平均每秒update语句执行次数。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb006_getmore_ps getmore语句执行频率 该指标用于统计平均每秒getmore语句在节点上执行次数。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb007_connections 当前活动连接数 该指标用于统计试图连接到实例节点的连接数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb007_connections_usage 当前活动连接数百分比 该指标用于统计试图连接到实例节点的连接数占可用连接数百分比。 0~100 % 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb008_mem_resident 驻留内存 该指标用于统计当前驻留内存的大小。 ≥ 0 MB 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb009_mem_virtual 虚拟内存 该指标用于统计当前虚拟内存的大小。 ≥ 0 MB 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb010_regular_asserts_ps 常规断言频率 该指标用于统计常规断言频率。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb011_warning_asserts_ps 警告频率 该指标用于统计警告频率。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb012_msg_asserts_ps 消息断言频率 该指标用于统计消息断言频率。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb013_user_asserts_ps 用户断言频率 该指标用于统计用户断言频率。 ≥ 0 Count/s 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb014_queues_total 等待锁的操作数 该指标用于统计当前等待锁的操作数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb015_queues_readers 等待读锁的操作数 该指标用于统计当前等待读锁的操作数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb016_queues_writers 等待写锁的操作数 该指标用于统计当前等待写锁的操作数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb017_page_faults 缺页错误数 该指标用于统计当前节点上的缺页错误数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb018_porfling_num 慢查询数 该指标用于统计当前节点上的慢查询数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb019_cursors_open 当前维护游标数 该指标用于统计当前节点上的维护游标数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟 mongodb020_cursors_timeout 服务超时游标数 该指标用于统计当前节点上的服务超时游标数。 ≥ 0 Count 不涉及 GeminiDB Mongo实例的节点 1分钟

选项概述 KooCLI选项是指可以直接在调用API的命令中添加的系统参数，KooCLI支持的选项及其功能如下表所示。其中除“help”，“debug”，“dryrun”，“cli-output”，“cli-query”，“cli-output-num”，“cli-jsonInput”，“cli-endpoint”之外，其余选项支持被设置到配置项中。执行命令时，命令中的参数值优先于配置项中该参数值。 表1 KooCLI 选项列表 命令选项 说明 使用示例 help 选项 打印帮助信息 hcloud RDS ListCollations --cli-region="cn-north-1" --help debug 选项 打印命令调用过程中的调试信息。如API调用过程中的执行步骤，完整的请求URL等。 hcloud VPC ShowVpc/v3 --cli-region="cn-north-4" --project_id="0dd8cb****************19b5a84546" --vpc_id="0bbe****-****-****-****-****235be6e7" --debug dryrun 选项 检查命令正确性。执行校验后打印请求报文，跳过实际运行，不调用目标API。 hcloud RDS CreateConfiguration --cli-region="cn-north-4" --project_id="4ff018c******************df31948" --datastore.type="MySQL" --datastore.version="5.7" --values.max_connections="10" --name="test-001" --description="test create configuration" --dryrun skeleton 选项 生成JSON格式API入参骨架，便于使用--cli-jsonInput的方式传入API参数 hcloud RDS CreateConfiguration --cli-region="cn-north-4" --skeleton cli-region 选项 区域，表示在指定的区域中管理云服务资源。 hcloud EVS DeleteVolume --cli-region="cn-north-4" --volume_id="aed9****-****-****-****-****0e3219cf" --project_id="0dd8cb****************19b5a84546" cli-access-key，cli-secret-key，cli-security-token 选项 cli-access-key：访问密钥ID（Access Key ID，简称AK），此参数必须和SK同时使用。 cli-secret-key：秘密访问密钥（Secret Access Key，简称SK），此参数必须和AK同时使用。 cli-security-token：临时安全凭证。在使用临时AK/SK认证身份时，需同时使用此参数。 可用于以无配置方式AKSK调用云服务API。 以无配置方式AKSK调用云服务API： 使用访问密钥（永久AK/SK）： hcloud RDS ListApiVersion --cli-region="cn-north-4" --cli-access-key=******** --cli-secret-key=******** 使用临时安全凭证（临时AK/SK和SecurityToken）： hcloud RDS ListApiVersion --cli-region="cn-north-4" --cli-access-key=******** --cli-secret-key=******** --cli-security-token=******** cli-domain-id 选项 IAM用户所属账号ID。以AKSK认证模式调用全局服务的API时需要。一般情况下，调用全局服务的API时，KooCLI会根据用户的认证信息自动获取此参数的值。 hcloud CDN ListDomains --cli-region="cn-north-1" --cli-domain-id="08e09a6e******************1bb800" cli-profile 选项 KooCLI配置项名称，配置项用于存储一组调用云服务API时所需的公共信息，例如AK/SK，区域，项目ID等。 hcloud EVS ListSnapshots --cli-profile=test cli-mode 选项 指定配置项的认证模式，取值为： AKSK ecsAgency SSO 指定cli-mode为AKSK模式： hcloud CCE ListNodes --cluster_id="f288****-****-****-****-****ac101534" --project_id="0dd8cb****************19b5a84546" --cli-profile=test --cli-mode=AKSK 指定cli-mode为ecsAgency模式： hcloud CCE ListNodes --cluster_id="f288****-****-****-****-****ac101534" --project_id="0dd8cb****************19b5a84546" --cli-profile=test --cli-mode=ecsAgency cli-output，cli-query，cli-output-num 选项 用于指定结果的输出格式。 cli-output 响应数据的输出格式，取值可以为如下其一： json table tsv cli-query 筛选响应数据的JMESPath路径 cli-output-num table输出时，是否打印行号。取值为：true或者false 当cli-output的取值为json时： 调用云服务API： hcloud CCE ListClusters --cli-region="cn-north-4" --type="VirtualMachine" --project_id="0dd8cb****************19b5a84546" --cli-query="items[0]" 调用CLI系统命令： hcloud configure list --cli-output=json --cli-query="profiles[].{Name:name,Mode:mode,Ak:accessKeyId,SK:secretAccessKey}" 当cli-output的取值为table时： hcloud configure list --cli-output=table --cli-query="profiles[].{Name:name,Mode:mode,Ak:accessKeyId,SK:secretAccessKey}" 当cli-output的取值为tsv时： hcloud configure list --cli-output=tsv --cli-query="profiles[].{Name:name,Mode:mode,Ak:accessKeyId,SK:secretAccessKey}" cli-jsonInput 选项 指定JSON文件的方式传递API参数。当云服务API的参数过多时，可将参数定义在一个JSON文件中，KooCLI会解析该文件中的参数内容。 hcloud E CS CreateServers --cli-region="cn-north-4" --cli-read-timeout=60 --cli-jsonInput=C:\cli\Ecs_CreateServers.json cli-connect-timeout，cli-read-timeout 选项 请求超时时间。 cli-connect-timeout：请求连接超时时间(秒)。默认值5秒，参数最小取值为1秒； cli-read-timeout：I/O超时时间(秒)。默认值10秒，参数最小取值为1秒； hcloud ECS DeleteServerPassword --cli-region="cn-north-4" --project_id="2cc60f5****************efa5019ef" --server_id="e6b99563-****-****-****-1820d4fd2a67" --cli-connect-timeout=10 --cli-read-timeout=15 cli-retry-count 选项 请求连接重试次数。即：若请求连接超时，会自动重试。默认取值为0次，取值范围为0~5次。 hcloud RDS ListInstances --cli-region="cn-north-4" --Content-Type="application/json" --project_id="2cc60****************caefa5019ef" --cli-retry-count=3 cli-skip-secure-verify 选项 跳过https请求证书验证(不建议)。取值为true或false，默认为false。因跳过证书验证时存在安全风险，故当其取值为true时，KooCLI会向用户交互确认。 hcloud ECS NovaListServers --cli-region="cn-north-4" --project_id="2cc6****************6caefa5019ef" --cli-skip-secure-verify=true cli-endpoint 选项 自定义请求 域名 。 默认会请求对应区域的目标云服务，您也可以针对该云服务指定Endpoint。 hcloud IoTDA UpdateDevice --cli-region="cn-north-4" --description="test update device" --device_id="testz*********************0802" --cli-endpoint="iot-mqtts.cn-north-4.myhuaweicloud.com" cli-waiter 选项 结果轮询，参数应为JSON格式且使用双引号包裹。 hcloud ECS NovaShowServer --cli-region="cn-north-4" --server_id="e6b99563-xxxx-xxxx-xxxx-1820d4fd2a6" --cli-waiter="{\"expr\":\"server.status\",\"to\":\"ACTIVE\",\"timeout\":300}" cli-auth-type 选项 指定AKSK的签名方式，仅在需指定特殊签名算法时使用。 hcloud IoTDA UpdateDevice --cli-region="cn-north-4" --description="test update device" --device_id="testz*********************0802" --cli-endpoint="iot-mqtts.cn-north-4.myhuaweicloud.com" --cli-auth-type=derivedSign 父主题： 选项说明

指定签名算法 cli-auth-type用于指定AKSK的签名方式，在需指定特殊签名算法时添加此参数。目前参数支持的值为“derivedSign”，在使用aksk方式调用iotda服务时使用。 hcloud IoTDA UpdateDevice --cli-region="cn-north-4" --description="test update device" --device_id="testz*********************0802" --cli-endpoint="iot-mqtts.cn-north-4.myhuaweicloud.com" --cli-auth-type=derivedSign { "app_id" : "103b************************6202", "app_name" : "DefaultApp_********", "device_id" : "testz*********************0802", "node_id" : "testz*********************0802", "gateway_id" : "testz*********************0802", "device_name" : "test********************************************0802", "node_type" : "CATEWAY", "description" : "test update device", "fw_version" : null, "sw_version" : null, "device_sdk_version" : null, "auth_info" : { "auth_type" : "CERTIFICATES" "secret" : null, "fingerprint" : "e30db21************************b1772929c", "secure_access" : true, "timeout" : 0 } "product_id" : "50c1************************588e", "product_name" : "50c1************************588e", "status" : "INACTIVE", "create time" : "20220801T085024z", "tags" : [], "extension_info" : { "shal_fingerprint" : "82cd23e2************************e089d59d", "sha256_fingerprint" : "396ldb************************************************4a5f88ccb7" } } 父主题： 选项说明

使用限制 单账号跟踪的事件可以通过 云审计 控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到 对象存储服务 （OBS）或 云日志 服务（LTS），才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。

相关操作 在“产品管理”界面列表中，支持的其他操作请参考表1。 表1 相关操作 操作 说明 查看产品详情 在对应的“产品中文名”列下，单击产品中文名。 发布产品 在对应的“操作”列下，单击“发布”。 如果在创建产品时，在“发布提示”框，单击“暂不发布”，可以在这里进行发布。 产品“状态”为“草稿”或“已下线”，才能发布。 发布后，不支持删除。 编辑产品 在对应的“操作”列下，单击“编辑”。 产品“状态”为“草稿”，才能编辑。 删除产品 在对应的“操作”列下，单击“删除”。 产品“状态”为“草稿”，才能删除。 下线产品 在对应的“操作”列下，单击“下线”。 产品“状态”为“已发布”，才能下线。下线后，可再次发布。 下线产品需确保该产品下的服务及微服务已下线，下线后AppStage的开发中心、运维中心等中心无法使用该产品。 同步产品 在对应的“操作”列下，单击“同步”。 产品“状态”为“已发布/已下线”，才能同步。 产品发布后，如果AppStage的相关中心未同步到该产品，可使用此“同步”功能重新同步产品。

关联组织 登录AppStage控制台。 在“关联组织”页面关联组织。 如果“关联组织”页面被关闭后，可以在“总览”页，页面顶部根据提示单击“关联一个组织”；或在“关联组织”区域下单击“去关联”。 无组织，新建组织，执行如下操作。 在“创建组织”页面，设置组织名称。 名称由1~60个中文、英文、数字及合法字符组成。 设置组织的域名。 域名是指网址 (如www.example.com) 中“www.”之后的内容，以及电子邮件地址 （如《用户名》@example.com）中“@”符号之后的内容。 域名设置后组织管理员为组织创建成员时，创建的成员账号默认带有域名后缀，如设置的组织域名为abc.orgid.top，创建的成员账号为xxx@abc.orgid.top，设置的组织域名为example.com，创建的成员账号为xxx@example.com。 没有域名，域名可以输入组织简称，使用2~30位字母、数字和.-或它们的组合，如abc，后缀名为固定的.orgid.top，如图1所示。 图1 设置组织域名 已有域名，单击“使用自有域名”，输入自有域名，例如example.com，如图2所示。 图2 使用自有域名 阅读并勾选相关服务协议，单击“创建”。 组织创建成功。 在“总览”页，页面顶部根据提示单击“关联一个组织”；或在“关联组织”区域下单击“去关联”，选择租户要关联的组织，单击“确定”。 已有组织，选择租户要关联的组织，单击“确定”。 如果已有组织不满足用户要求，则单击“前往OrgID”，新增组织，请参考2.a~2.d。

购买AppStage 打开AppStage官网页，单击“控制台”，并登录。 在应用平台控制台首页，单击“立即购买”；或在“产品类型”区域，在对应中心单击“立即购买”。 根据需求购买。 购买AI原生应用引擎 选择“AI原生应用管理”页签。 单击“申请公测”。 在“申请公测”页面填写公测申请表，勾选“同意《公测试用服务协议》”，并单击“申请公测”提交申请。 系统提示已提交公测申请成功，预计5个工作日以内完成审核，请您耐心等待。 审批通过后，执行1~2。 系统后台审批通过之后，会通过邮件（如果在申请表中填写了邮箱地址）或短消息的方式通知您。 在“订购方式”区域下，选择“自由订购”或“定制套餐”。 自由订购：执行3.f。 定制套餐：选择套餐包，选择购买时长，根据需求勾选“自动续费”。 在“计费模式”区域下，选择“按需计费”或“包年/包月”。 当“订购方式”选择“自由订购”时，执行此步骤。 按需计费：在“模型”区域，勾选要购买的资源。 包年包月：选择套餐包并配置规格，选择购买时长，根据需求勾选“自动续费”。 在“协议许可”区域勾选“我已阅读并同意《应用平台AppStage服务声明》”，单击“下一步”。 在“确认配置”页面确认订购的产品信息，单击“去支付”。 在“支付方式”区域，选择支付方式，单击“确认付款”。 支付完成后，系统会提示“订单支付成功”。 购买开发中心/运维中心/运营中心 选择“应用生命周期管理”页签。 在“选择产品类型”区域，请根据业务需求选择所需产品并配置规格。 （可选）在“选择增量包类型”区域，可以选择运维中心/运营中心的扩展包或增量包，并配置规格。 在“购买时长”区域，选择购买时长，根据需求勾选“自动续费”。 在“协议许可”区域勾选“我已阅读并同意《应用平台AppStage服务声明》”。 单击右下角“立即购买”。 在“确认配置”页面确认订购的产品信息，单击“去支付”。 在“支付方式”区域，选择支付方式，单击“确认付款”。 支付完成后，系统会提示“订单支付成功”。

相关操作 在应用平台控制台“总览”页面，支持的其他操作请参考表1。 表1 相关操作 操作 说明 快速订购 在“套餐详情”区域，单击“快速订购”。购买未开通的资源。 如果已购买问答AI服务基础版或问答AI服务专业版，则可继续购买对应规格的问答AI服务基础版或问答AI服务专业版，可自行定义套餐数量。 变更规格 在“套餐详情”区域，单击“变更规格”。 续费 在“套餐详情”区域，单击“续费”。 退订 退订已购买的包年包月资源，适用于退订AI原生应用引擎/开发中心/运维中心/运营中心/的包年/包月资源。 在“套餐详情”区域，单击“退订”。 退订已购买的按需计费资源，适用于退订AI原生应用引擎的按需计费资源。 在应用平台控制台左侧导航栏选择“AI原生应用引擎”，在AI原生应用引擎详情页面的“我的资源”区域的资源列表中，单击需要停止计费的资源“操作”列的“退订”。

购买专业服务 在购买AppStage服务后，还可以购买专业服务。 专业服务是为客户提供aPaaS平台及应用上云和用云全生命周期的服务，支撑客户更好地使用aPaaS平台和应用。 打开AppStage官网页，单击“控制台”，并登录。 在应用平台控制台左侧导航，选择“专业服务”，进入“aPaas平台专业服务”页面。 在需要购买的专业服务下，单击“了解更多”，进入对应专业服务产品页进行购买。 如果使用IAM用户购买专业服务，则需要具备PSDM FullAccess和BSS FinanceAccess权限。给IAM用户授权操作请参考给IAM用户授权。

相关操作 在“微服务管理”界面列表中，支持的其他操作请参考表1。 表1 相关操作 操作 说明 查看微服务详情 在对应的“微服务中文名”列下，单击微服务中文名。 发布微服务 在对应的“操作”列下，单击“发布”。 如果在创建微服务时，在“发布提示”框，单击“暂不发布”，可以在这里进行发布。 微服务“状态”为“草稿”或“已下线”，才能发布。 发布后，不支持删除。 编辑微服务 在对应的“操作”列下，单击“编辑”。 微服务“状态”为“草稿”，才能编辑。 删除微服务 在对应的“操作”列下，单击“删除”。 微服务“状态”为“草稿”，才能删除。 下线微服务 在对应的“操作”列下，单击“下线”。 微服务“状态”为“已发布”，才能下线。下线后，可再次发布。 下线后AppStage的开发中心、运维中心无法使用该微服务。 同步微服务 在对应的“操作”列下，单击“同步”。 微服务“状态”为“已发布/已下线”，才能同步。 微服务发布后，如果AppStage开发中心、运维中心未同步到该微服务，可使用此“同步”功能重新同步微服务。

相关操作 在“服务管理”界面列表中，支持的其他操作请参考表1。 表1 相关操作 操作 说明 查看服务详情 在对应的“服务中文名”列下，单击服务中文名。 发布服务 在对应的“操作”列下，单击“发布”。 如果在创建服务时，在“发布提示”框，单击“暂不发布”，可以在这里进行发布。 服务“状态”为“草稿”或“已下线”，才能发布。 发布后，不支持删除。 编辑服务 在对应的“操作”列下，单击“编辑”。 服务“状态”为“草稿”，才能编辑。 删除服务 在对应的“操作”列下，单击“删除”。 服务“状态”为“草稿”，才能删除。 下线服务 在对应的“操作”列下，单击“下线”。 服务“状态”为“已发布”，才能下线。下线后，可再次发布。 下线服务需确保该服务下的微服务已下线，下线后AppStage的开发中心、运维中心等中心无法使用该服务。 同步服务 在对应的“操作”列下，单击“同步”。 服务“状态”为“已发布/已下线”，才能同步。 服务发布后，如果AppStage的相关中心未同步到该服务，可使用此“同步”功能重新同步服务。

配置AI原生应用引擎/运维中心/运营中心服务授权 登录AppStage控制台。 在弹出的“服务授权”对话框，勾选需要授权的授权项，单击“同意授权”。 购买AI原生应用引擎、运维中心或运营中心之后，系统将自动识别到您未同意服务授权并弹框提示您进行服务授权。 （可选）在应用平台控制台左侧导航，选择“服务授权”，在“服务授权”页面，单击“一键授权”，重新授权；或在“服务授权”页面的服务授权列表中，单击待授权的云服务名称，在“查看权限详情”页面，单击“补充授权”，补充授权。 服务授权完成后，在“总览”页面右上角，单击“开始使用”，进入AppStage首页。

AppStage自定义策略样例 示例：授权用户应用平台管理员权限并授予依赖权限 授权用户应用平台管理员权限。 AppStage管理员权限为全局级权限。 { "Version": "1.1", "Statement": [ { "Action": [ "appstage:*:*" ], "Effect": "Allow" } ] } 授予依赖的CBC权限。 需要授予CBC的如下权限，这些权限为项目级权限。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "bss:order:pay", "bss:order:view", "bss:balance:view", "bss:unsubscribe:update" ] } ] } 授予依赖的IAM权限。 需要授予IAM的如下权限，这些权限为全局级权限。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "iam:credentials:listCredentials", "iam:permissions:grantRoleToAgencyOnDomain", "iam:credentials:updateCredential", "iam:agencies:listAgencies", "iam:tokens:assume", "iam:roles:updateRole", "iam:roles:listRoles", "iam:agencies:createAgency", "iam:permissions:listRolesForAgency", "iam:projects:listProjects", "iam:groups:listGroups", "iam:groups:createGroup", "iam:permissions:grantRoleToAgency", "iam:credentials:createCredential", "iam:credentials:deleteCredential", "iam:agencies:updateAgency", "iam:permissions:revokeRoleFromAgency", "iam:roles:getRole", "iam:roles:createRole", "iam:permissions:listRolesForAgencyOnDomain", "iam:roles:deleteRole", "iam:identityProviders:createIdentityProvider", "iam:identityProviders:createMapping", "iam:identityProviders:createProtocol", "iam:permissions:listRolesForGroupOnDomain" , "iam:permissions:listRolesForGroupOnProject", "iam:permissions:grantRoleToGroupOnProject", "iam:identityProviders:createIDPMetadata", "iam:permissions:grantRoleToGroupOnDomain", "iam:identityProviders:getIdentityProvider", "iam:identityProviders:getMapping", "iam:identityProviders:deleteProtocol", "iam:identityProviders:getProtocol" ] } ] }

示例流程 图1 给用户授权AppStage服务权限流程 创建用户组并授权 在IAM控制台创建用户组，并授予AppStage服务的权限“AppStage ReadOnlyAccess”。 创建用户并加入用户组 在IAM控制台创建用户，并将其加入1中创建的用户组。 用户登录并验证权限 新创建的用户登录控制台，验证AppStag服务的只读权限： 在“总览”页，可以查看套餐包详情，表示“AppStage ReadOnlyAccess”已生效。

前提条件 给用户组授权之前，请您了解用户组可以添加的表1，并结合实际需求进行选择。如果您需要对除AppStage服务之外的其它服务授权，IAM支持服务的所有策略请参见权限策略。 表1 AppStage的系统角色或策略 系统角色/策略名称 描述 类别 依赖关系 AppStage ReadOnlyAccess 应用平台只读权限。 系统策略 部分功能依赖IAM的权限： iam:agencies:listAgencies、iam:credentials:listCredentials、iam:projects:listProjects、iam:permissions:listRolesForAgencyOnDomain、iam:permissions:listRolesForAgency、iam:roles:getRole、iam:permissions:listRolesForGroupOnDomain。 AppStage FullAccess 应用平台管理员权限。 系统策略 部分功能依赖CBC及IAM的权限。购买专业服务时，还需要具备PSDM FullAccess权限策略。自定义策略操作请参考AppStage自定义策略。 依赖CBC的权限 bss:order:pay、bss:order:view、bss:balance:view、bss:unsubscribe:update、bss:coupon:update（组合购）、bss:coupon:view（组合购）。 依赖IAM的权限 iam:roles:getRole、iam:roles:createRole、iam:roles:updateRole、iam:roles:deleteRole、iam:roles:listRoles、iam:agencies:listAgencies、iam:agencies:createAgency、iam:agencies:updateAgency、iam:permissions:listRolesForAgencyOnDomain、 iam:permissions:listRolesForGroupOnDomain、iam:permissions:listRolesForAgency、iam:permissions:grantRoleToAgency、iam:permissions:grantRoleToAgencyOnDomain、iam:permissions:revokeRoleFromAgency、iam:tokens:assume、iam:credentials:createCredential、iam:credentials:deleteCredential、iam:credentials:updateCredential、iam:credentials:listCredentials、iam:projects:listProjects、iam:groups:listGroups、iam:groups:createGroup、iam:identityProviders:createIdentityProvider、iam:identityProviders:createMapping、iam:identityProviders:createProtocol、 iam:identityProviders:createIDPMetadata、 iam:permissions:grantRoleToGroupOnProject、iam:permissions:listRolesForGroupOnProject、iam:identityProviders:getIdentityProvider、iam:permissions:grantRoleToGroupOnDomain、iam:identityProviders:getMapping、iam:identityProviders:deleteProtocol，iam:identityProviders:getProtocol。 如果用户不创建自定义策略，需要给IAM用户授予Tenant Administrator和Security Administrator的权限。给IAM用户授权操作请参考给IAM用户授权。

请求示例 导入配置文件，文件绝对路径为/root/neo4j-3.0.1.zip。 POST https://{endpoint}/v3/{project_id}/cas/configs/import -H "X-Auth-Token:$token" -H "Content-Type:multipart/form-data" -F upload_file=@/root/neo4j-3.0.1.zip