华为云用户手册

后续处理 外部攻击源的攻击源IP前显示攻击源IP所在国家国旗，鼠标悬停在国旗上可显示国名。您可以单击外部攻击源列表中的攻击源IP，查看此外部攻击源详情页面。 您可以在高级搜索中设置筛选条件，单击“导出”，导出符合筛选条件的外部攻击源列表（Excel格式文件）；或勾选预导出的外部攻击源，单击“导出”，导出选中的外部攻击源列表。 外部攻击源详情页面包含处置建议、处置记录、外部攻击源分析、关联告警事件列表等信息。 您可以单击“导出详情”，导出包含外部攻击源详细信息的Word格式文件。 导出完成后，将鼠标悬停在右上角帐号，单击“下载中心”，下载对应文件。 图4 下载中心 您可以单击外部攻击源详情页面中关联告警事件列表中的事件名称，查看此事件的详情页面。 图5 事件详情页面

背景信息 华为乾坤按照以下规则判定威胁事件是否为外部攻击源。 非信任域或混合域内的主机存在攻击行为，同时存在攻击行为的主机IP不在全局白名单内，且不在缺省私网网段内，此时判定此威胁事件为外部攻击源。 非信任域或混合域的具体信息请参见配置设备安全域。全局白名单的具体信息请参见配置全局白名单。缺省私网网段指10.0.0.0～10.255.255.255、172.16.0.0～172.31.255.555、192.168.0.0～192.168.255.255。 非信任域或混合域的内网地址存在攻击行为，同时该内网地址在不可信内网地址内，判定为外部攻击源。不可信内网地址的具体信息请参见配置不可信内网地址。 针对外部攻击源，华为乾坤有如下几种处置方式： 华为乾坤智能分析后成功下发IP黑名单，其状态显示为“已封禁”。 华为乾坤智能分析后无法下发IP黑名单，由安全运营专家进一步分析后手动成功下发IP黑名单，其状态显示为“已封禁”。 华为乾坤智能分析和安全运营专家根据现有信息无法处置或者下发失败时，需要租户进行人工处置，其状态显示为“未处置”。 租户需要对“未处置”的外部攻击源进行处置，处置方法包括封禁攻击源和标记状态（已人工处置、已忽略）。 开通如下版本时，才能使用华为乾坤自动下发IP黑名单。 同时购买边界防护与响应服务标准版+自动阻断 边界防护与响应服务专业版 边界防护与响应服务高级版 边界防护与响应服务试用版

安全响应 提供安全事件的响应闭环能力，主要包括下发黑名单、发送告警两种安全响应动作，租户可利用华为乾坤的安全响应能力有效提高安全事件的闭环效率。 针对以下场景提供下发黑名单或发送告警两种安全响应动作： 自动化分析判定后可以自动处置的告警事件，自动化分析将请求安全响应下发黑名单或发送告警。 自动化分析判定后需要安全专家处置的告警事件，安全专家分析后可通过Portal页面的事件管理菜单人工下发黑名单或发送告警。 租户或MSP可以在安全运营中心处置威胁事件中下发黑名单。

背景信息 华为乾坤根据设备提供的日志判断威胁事件的检测类型，如果检测类型为AV/CDE，则此威胁事件被识别为恶意文件。 如果设备检测到恶意文件时已拦截，则恶意文件事件的状态为“已拦截”，如果设备检测到恶意文件时未拦截，则恶意文件事件的状态为“未处置”。 针对“已拦截”、“未处置”的恶意文件，华为乾坤可以向租户发送短信和邮件告警通知租户或者下发IP黑名单。 租户需要对“未处置”的恶意文件进行处置，处置后将其状态标记为“已人工处置”或“已忽略”。

操作步骤 参考威胁事件处置入口选择一种操作入口，进入“外部攻击源”的威胁事件列表。 本章节以“安全运营中心（威胁事件）”入口为例。 筛选待处置事件，即“事件处置状态”为“未处置”、“处置失败”和“事件超时关闭”的事件。 图1 恶意文件待处置事件 单击待处理事件的“事件名称”列，查看威胁事件详情，根据“处置建议”以及本步骤内容，完成处置。 完成处置后，可以在“处置记录”页签查看处置记录。 恶意文件详情界面中的事件名称以及恶意文件详情可能涉及公网地址，仅用于事件信息展示以帮助用户了解威胁事件，服务不会主动发起与这些公网地址的连接。 若租户同时购买智能终端安全服务，并检测到终端资产存在恶意文件，可以在详情页面的“处置建议”区域进行处置。 华为乾坤对恶意文件取证后，将资产信息和文件信息发送到对应终端Agent，Agent根据文件HASH快速查找文件路径，租户可选择将恶意文件隔离或删除。 如果您不知如何处置，或者处置后未能有效解决，请求助对应安全云服务商或渠道商。 图2 恶意文件威胁事件详情 标记状态 已人工处置 租户根据具体的事件采取人工处置，比如根据事件的源、目的地址、文件名等查找并清除恶意文件。 确认风险主机中已清除恶意文件后，在操作列将事件标记为“已人工处置”。 忽略 租户经过排查后发现为误报或无需处理时，在操作列将事件标记为“忽略”。后续就不用再关注此事件。

操作步骤 登录华为乾坤控制台。 在控制台页面，将鼠标移至页面右上方用户账号位置，单击“订单中心”，选择“我的套餐”页签，可以看到已申请的试用套餐。 单击上图中的“绑定设备”。 如果设备没有被添加到华为乾坤控制台中，则绑定方式选择“新增设备并绑定”，输入正确的设备SN、设备款型，并单击“确定”。 图1 新增设备并绑定 如果设备已存在，则绑定方式选择“绑定已有设备”，并选中套餐需要绑定的设备，并单击“确定”。 图2 绑定已有设备 绑定成功后可以看到对应“套餐状态”变为“开通中”；等待设备上线后，套餐状态变为“正常”。

威胁事件须知 华为乾坤可以防护外部攻击、内部失陷主机、恶意文件下载等事件。 华为乾坤识别出告警事件后，经过进一步智能处置形成威胁事件，威胁事件分为外部攻击源、失陷主机和恶意文件三种类型。 某些特殊场景下的威胁事件，会在参数列打上对应标签： 攻击成功的威胁事件在“事件名称”栏打上“攻击成功”标签。 若租户已购买重保套餐，在网络安全演练期间，如果威胁事件匹配到攻方IP，则在“事件名称”栏打上“重保”标签。同时威胁事件支持按标签进行筛选，以便让租户清楚了解哪些威胁事件是与网络安全演练相关的。 采用旁路模式上线的设备检测到的威胁事件，“攻击状态”栏将打上“旁路”标签。旁路模式的设备无法对流量进行阻断。 某些检测类型事件，只有在符合条件的场景下才会呈现： 蜜罐：购买并开通了云蜜罐服务套餐后，蜜罐类事件才能被检测并呈现在威胁事件列表中。 高等级租户享有对自身及下级租户威胁事件的查看、处置权限。

背景信息 安全防护大屏展示了安全识别与检测、安全响应与恢复和最近事件三块内容，包括失陷类型TOP5、威胁检测类型TOP5、威胁事件、系统健康状态、威胁判定平均时长、威胁综合阻断率、抵御攻击类型数、威胁IP封禁趋势、最近事件等基础功能模块。 安全防护大屏根据用户开通的边界防护与响应服务套餐类别，提供差异化的功能模块选择。基础功能模块适用于开通任一套餐的用户；标注了“专业版”标签的功能模块，仅适用于开通专业版套餐的用户。功能模块套餐匹配及数据呈现，请参见表1。 图1 安全防护大屏

相关操作 威胁事件支持导出，单次最多可导出10万条数据，具体导出方法如下所示。 单击概览中威胁事件下的数字或各个威胁专项事件后面的数字，进入相应事件列表。 在威胁事件列表中，按需筛选并导出威胁事件。 导出全部威胁事件：单击“导出”，选择“导出全部”。 导出部分威胁事件：勾选部分数据，单击“导出”，选择“导出选中”。 在风险提示窗口，勾选“我已仔细阅读操作提示并充分理解此操作的业务影响”，单击“确定”。 导出完成后，单击导出提示框的“下载中心”进入详情页面，在需要下载的文件的操作列，单击“下载”即可。

操作步骤 登录华为乾坤控制台，选择“安全运营中心”。 在右上角菜单栏选择“安全报表”。 选择任一报表，单击“报表预览”。 图1 安全报表列表 查看安全报表。 表1 安全报表介绍 模块 说明 网络安全概览 展示原始告警、告警事件、威胁事件的统计数据。 告警事件 告警事件是系统基于原始安全告警，通过关联分析、专家模型、人工智能等自动化研判技术，自动识别出的真实安全攻击事件。 展示其活跃趋势、严重级别统计、防护状态统计、威胁类型、目标地址、详情等相关信息。 专项风险 | 外部攻击源 外部攻击源是系统通过告警事件自动分析研判后，识别的外部攻击者地址，及时处置可降低来自外部的入侵威胁。 展示其数量趋势、严重级别统计、防护状态统计、攻击源地理位置、攻击类型、详情等相关信息。 专项风险 | 失陷主机 失陷主机是系统通过对告警事件自动分析研判后，识别的内部风险资产地址，包括挖矿、远控、勒索、内部攻击威胁等失陷类型。 展示其活跃趋势、严重级别统计、防护状态统计、恶意行为、失陷类型、详情等相关信息。 专项风险 | 恶意文件 恶意文件是系统通过对告警事件自动分析研判后，识别出的恶意程序文件，包括木马、蠕虫、挖矿、勒索、广告等文件类型，系统会自动检测并拦截高风险的恶意文件。 展示其数量趋势、严重级别统计、防护状态统计、文件类型、风险主机、详情等相关信息。 风险服务端口（仅购买专业版套餐时呈现） 服务端口对外暴露会增加网络的受攻击面，让攻击者利用漏洞、暴力破解等手段进行攻击，进而突破边界。 展示其数量趋势、详情等相关信息。 网络流量分析 网络流量分析为您展示网络的使用情况，将从总流速、应用、源IP地址三个维度为您分析流量大小及占用比例。

套餐介绍 当前可开通边界防护与响应服务，并指定租户可以使用的版本（边界防护服务标准版、边界防护服务专业版）。 边界防护服务标准版、边界防护服务专业版的功能差异如表1所示。 表1 边界防护各版本差异 关键能力 能力描述 标准版 标准版+自动阻断 专业版 入侵检测防御 基于已知攻击防护签名拦截来自外网的攻击，阻拦恶意软件（如病毒、木马）的传输行为，发现内网问题主机并切断问题主机外联行为，有效保护用户业务的安全性和稳定性。 √ √ √ 事件自动分析 利用智能分析能力对设备检测到的安全事件进行分析确认，保障攻击拦截以及安全告警的准确性，及时优化攻击检测规则，提升现网防护效果。 √ √ √ 事件紧急通知 基于安全防护事件提取紧急通知，同时通过短信、邮件多种方式通知用户。 √ √ √ 黑白名单功能 用户可基于Portal快速人工完成黑白名单设置，快速阻断威胁。 √ √ √ 定期安全报告 基于安全防护事件，定期生成周报、月报，并通过邮件发送至用户邮箱。 √ √ √ 基础安全大屏 通过对安全事件的综合分析，实时呈现TOP威胁类型、失陷类型、最新威胁事件等信息，帮助用户快速感知综合安全态势。 √ √ √ 威胁自动阻断 基于安全事件分析结果，对外部高危攻击源进行黑名单自动下发，直接阻断其后续的攻击行为。 基于DNS日志实现DGA、挖矿、恶意软件、远控、勒索等高级威胁检测，识别恶意 域名 访问行为，并对恶意域名实现自动化封禁。 × √ √ 专业态势大屏 支持差异化大屏组件功能，用户可使用大屏自定义能力快速定制专业化安全态势大屏。 × × √ 互联网暴露面风险监测 通过对用户网络出口网关设备的IP的监测，帮助用户统计网关设备暴露在公网中的IP，并识别其中存在暴露风险的端口或服务。 × × √ 父主题： 产品介绍

背景信息 华为乾坤通过“IPv4地址+天关”或“MAC地址+主机名”确定资产唯一性。资产信息发生变化时，可能导致多个现存资产之间发生冲突，无法确定资产唯一性，需要进行人工处置。 假设用户内网存在一资产，可能导致以下冲突： 场景1：“IPv4地址+天关”冲突 DAY1：用户购买并开通了 漏洞扫描服务 ，手动录入该资产，资产管理创建资产A，资产信息包含资产A的IPv4地址和天关。执行 漏洞扫描 ，发现相关漏洞信息。 DAY2：用户购买并开通了智能终端安全服务，HiSec Endpoint Agent将该资产上报资产管理，资产管理创建资产B，资产信息包含资产B的IPv4地址和MAC地址。 DAY3：用户购买并开通了边界防护与响应服务，根据边界防护与响应服务与智能终端安全服务的联动处置要求，资产B自动绑定天关，此时资产管理发现资产A与资产B实际为统一资产，发生冲突。 场景2：“MAC地址+主机名”冲突 DAY1：用户购买并开通了智能终端安全服务，HiSec Endpoint Agent将该资产上报资产管理，资产管理创建资产A，资产信息包含资产A的MAC地址（MAC地址1）和主机名。用户使用服务后，本地卸载Agent，此时资产管理仍保存资产A数据。 DAY2：用户切换该资产的网卡，并再次安装HiSec Endpoint Agent。HiSec Endpoint Agent将该资产上报资产管理，资产管理创建资产B（因MAC地址不同，识别为不同资产），资产信息包含资产B的MAC地址（MAC地址2）和主机名（与资产A主机名相同）。 DAY3：用户切换至原网卡，资产B的资产信息变动，HiSec Endpoint Agent上报最新数据，此时资产管理发现资产A与资产B的资产信息发生冲突，导致资产B的资产信息无法更新。

操作步骤 在控制台页面，将鼠标移至页面右上方用户账号位置，选择“系统设置”进入详情页面。 选择“品牌设置”，支持自定义日间模式logo（中、英文）、夜间模式logo（中、英文）、页签icon、品牌名称中文、品牌名称英文、页签标题中文、页签标题英文、登录页标题中文和登录页标题英文。 单击页面上图片框，可添加图片自定义品牌样式。支持JPG、JPEG、PNG格式，且单张上传图片大小不超过1M。 图1 品牌设置 将鼠标悬浮于日间模式logo（中、英文）、夜间模式logo（中、英文）或页签icon图片框内，单击可预览当前logo或icon样式，单击可删除当前样式。 查看示意图：单击“查看示意图”可以查看当前设置可应用位置。 单击“确定”完成品牌设置。

GUC参数 表8 GUC参数 变更类型 序号 名称 变更描述 新增 1 enable_wlm_internal_memory_limit 控制是否打开wlm内部的限制，如：作业估算内存不超过80%/90%/40%的限制。 2 enable_strict_memory_expansion 控制作业是否在DN上做内存扩展。 3 allow_zero_estimate_memory 控制作业在没有统计信息情况下，是否允许将估算内存设置为0。 4 max_process_memory_auto_adjust 控制CM在主备切换情况下是否对max_process_memory做动态调整。 5 wlm_memory_feedback_adjust 控制CCN的动态负载管理中的内存负反馈功能是否开启，支持：on、off、on(50,40) 三种设置方式。 6 autoanalyze_mode 新增系统级autoanalyze模式的控制参数（默认normal与前向行为一致，设置为light则启用动态采样）。 7 enable_redactcol_computable 用于设置是否开启数据脱敏可算功能，默认关闭。 8 windowagg_pushdown_enhancement 控制窗口函数和group by同时出现时是否将partition by和group by的交集下推。 9 enable_from_collapse_hint 控制是否启用优先选择hint的计划，默认启用，并支持语句级hint参数。 10 enable_value_redistribute 用于设置是否使用value partition stream优化windowagg。 11 setop_optmode 控制setop操作的各个子查询分支是否做去重操作，默认值disable，即不去重，跟8.2.0之前版本保持一致；配置值force：强制走去重；配置值cost，基于cost选择是否去重。（注：setop分支的底层为stream算子的时候才会尝试去重）。 12 security_enable_options 控制是否允许使用grant_to_public、grant_with_grant_option和foreign_table_options这三种功能，出于安全考虑，这些操作默认禁止，用户可根据实际需求进行配置。 13 audit_object_name_format 控制审计日志中object_name字段显示对象名的格式，默认single，显示单对象。 14 enable_redactcol_equal_const 用于限制新版本脱敏下允许常量套取的行为，默认关闭，禁止脱敏列与常量做等值比较。 15 enable_mixedagg 用于控制是否生成Mixed Agg执行计划，默认关闭。 16 max_streams_per_query 用于控制对stream数量过多的plan在优化器阶段报错，避免stream建连占用过多连接，默认值10000。 17 agg_max_mem 用于控制Agg算子聚集列超过5个时，最大的估算内存，防止估算内存过大导致CCN排队。 18 max_volatile_memory volatile临时表相关内存context的最大量，单位kb，取值范围1024-INT_MAX，默认1GB。 19 max_volatile_tables 单个session中volatile临时表(包括创建时的附属表，如toast、cudesc)的个数限制，默认300。 20 enable_hashfilter 用来控制是否可以生成hashfilter。 21 volatile_shipping_version 控制8.2.0版本sequence下推增强能力，默认1。 22 smp_thread_cost 用于控制生成的query_dop值。默认值为1000。 23 enable_wal_decelerate 用于带索引导入时的流控限速的总开关。 24 wal_decelerate_policy 用于表示触发限速后的行为策略。 25 wal_write_speed 用于表示单DN每个query每秒最大允许触发wal写入动作的速度Byte/s。 26 wal_decelerate_trigger_threshold 用于表示单DN每个query触发wal写入限速的门限。 27 enable_cstore_ring_buffer 控制是否开启列存RingBuffer。 28 enable_tsdb_multi_temperature 控制是否开启时序表的obs冷热功能，默认为关闭。 29 enable_tsdb_multi_temperature 控制是否开启时序表的obs冷热功能，默认为关闭。 30 ddl_lock_timeout 用于单独指定阻塞DDL语句等锁的时间，让DDL拿不到锁快速终止，只对八级锁有效，默认值为0，表示不生效。 31 build_backup_param 控制增量build过程中用于磁盘备份的最小满足规格。 修改 32 comm_tcp_mode 参数类型从POSTMASTER修改为SIGHUP。 33 max_process_memory 进程的最大内存，由POSTMASTER类型修改为SIGHUP；最小阈值为2G，不推荐设置为最小阈值。 34 rewrite_rule 新增eager_magicset枚举值控制magic set增强功能。 35 behavior_compat_options behavior_compat_options新增normal_session_id取值，用于控制是否session id是否拼接node_name，默认关闭，session id拼接node_name。 36 behavior_compat_options merge_into_with_trigger新增behavior_compat_options，开启后支持对有触发器的表执行MERGE INTO，默认关闭 37 behavior_compat_options 增加选项disable_jsonb_exact_match，控制操作符匹配规则，默认关闭； 参数关闭时，仅支持jsonb相关类型的精确匹配；若精确匹配失败，则会在剩余不含jsonb类型的备选中匹配； 参数打开时，行为回退，操作符匹配不区分类型； 38 hashjoin_spill_strategy 新增两种策略5,6。行为与原来0、1相同。原来0、1行为修改。从内表较大内存放不下，外表较小时进行内外表交换，改成内表较大内存放不下，继续划分内表，直到无法划分，再尝试内外表交换。 39 sql_use_spacelimit 对sql_use_spacelimit参数初始值进行设置。将其修改为当前实例所在磁盘的10%（上限），不足10G（下限）时，设置为10G 40 temp_file_limit 对temp_file_limit参数初始值进行设置。将其修改为当前实例所在磁盘的10%（上限），不足10G（下限）时，设置为10G。 删除 41 enable_grant_public 设置是否允许使用grant to public语法。 42 enable_grant_option 设置是否允许使用grant with grant option语法。

系统函数 表6 系统函数 变更类型 序号 名称 变更描述 新增 1 pg_stat_get_runtime_relstats 新增函数，开启动态采样后autoanalyze生成的表级统计信息存放于内存中，该函数用于查询。 2 pg_stat_get_runtime_attstats 新增函数，开启动态采样后autoanalyze生成的列级统计信息存放于内存中，该函数用于查询。 3 pg_stat_set_last_data_changed_num 新增手动设置表历史累计修改量接口，用于pgstat内容丢失的补救措施 4 strcmp() 字符串比较，相等返回0，小于返回-1，其他返回1，入参含null返回null 5 hex() 入参字符串的每个字符或十进制整数转化为十六进制数字。 6 unhex() 执行从HEX(str)的反向操作。就是说，它将参数中的每一对十六进制数字理解为一个数字，并将其转化为该数字代表的字符。结果字符以bytea的形式返回。 7 space(n) 返回n个空格构成的字符串 8 rand() 获取0.0 到 1.0 之间的随机数。 9 truncate(x,d) 将x截断为d位小数。d为负数时截断整数位为0。 10 addtime(expr1,expr2) 增加时间。expr1是time或timestamp类型，expr2是interval类型。 11 subtime(expr1,expr2) 特定时间减去指定的时间。expr1 - expr2 expr1为time、timestamp类型。expr2为interval类型，返回类型同expr1。 12 timediff(expr1,expr2) 计算两个参数的时间差。expr1 - expr2，返回time类型， 入参需同为time类型或timestamp类型。 13 curdate() 返回当前日期，date类型。 14 curtime([fsp]) 返回当前时间，time类型 fsp-它指定返回的小数秒精度。 15 uuid() 返回通用唯一标识符(UUID)。 16 convert_tz() 进行时区转换。 17 cast(expr,typename) 将expr转换为指定type。 18 digest() digest()函数可以根据不同的算法生成数据的二进制哈希值。 19 hmac() hmac()函数可以根据不同的算法为带有密钥的数据计算出MAC值。 20 crypt()和gen_salt() crypt()和gen_salt()函数专用于哈希密码。crypt()执行哈希用于加密数据，gen_salt()用于生成加盐哈希。 21 pgp_sym_encrypt() 用于对称密钥加密。 22 pgp_sym_decrypt() 用于解密PGP对称密钥加密后的消息。 23 pgp_pub_encrypt() 用于公共密钥加密。 24 pgp_pub_decrypt() 用于解密PGP公共密钥加密后的消息。 25 pgp_key_id() 用于提取PGP公钥或者私钥的密钥ID；如果传入一个加密后的消息，将会返回加密该消息使用的密钥ID。 26 armor() 用于将二进制数据转换为PGP ASCII-armor格式，相当于Base64加上CRC以及额外的格式化。 27 dearmor() 用于执行与armor()函数相反的转换。 28 pgp_armor_headers() 函数用于返回数据中的armor header。 29 encrypt 原始加密函数，不支持PGP加密的任何高级功能。IV是0。 30 decrypt 原始解密函数，不支持PGP加密的任何高级功能。IV是0。 31 encrypt_iv 原始解密函数，不支持PGP加密的任何高级功能。IV可由用户设定。 32 decrypt_iv 原始解密函数，不支持PGP加密的任何高级功能。IV可由用户设定。 33 gen_random_bytes gen_random_bytes()函数用于生成具有强加密性的随机字节。 34 gen_random_uuid() gen_random_uuid()函数用于返回一个version 4的随机UUID。 35 get_volatile_pg_class 获取内存中volatile临时表的pg_class相关元数据(volatile临时表元数据不存储系统表)。 36 get_volatile_pg_attribute 获取内存中volatile临时表的pg_attribute相关元数据。 37 gs_increase_except_num 新增函数，用于增加查询异常触发次数。 38 gs_update_blocklist_hash_info 新增函数用于更新内存中黑名单信息。 39 gs_append_blocklist 新增函数用于新增黑名单语句。 40 gs_remove_blocklist 新增函数用于将语句移出黑名单。 41 gs_wlm_rebuild_except_rule_hash 新增gs_wlm_rebuild_except_rule_hash函数用于主动触发build异常规则内核hash表。 42 pg_stat_wal_write 用于查询当前cn或dn上的线程信息，以及wal和数据页导入量及速率。 43 pgxc_stat_wal_write 用于查询cn与dn交互的线程信息，以及wal和数据页导入量及速率。 44 get_col_file_info 获取指定列存表的空CU文件数和总CU文件数。 45 get_all_col_file_info 获取所有列存表的空CU文件数和总CU文件数。 46 col_rebuild_file_relation 更换Relfilenode，重新整理指定列存表的CU文件，重整后变回连续的1GB文件。 修改 47 pg_query_audit/pgxc_query_audit 修改thread_id字段为session id字段，记录语句执行所在的session。 48 login_audit_messages/login_audit_messages_pid 新增session id字段，记录语句执行所在的session。

系统视图 表7 系统视图 变更类型 序号 名称 变更描述 新增 1 gs_obs_latency 新增视图用于监控OBS延迟。 2 pgxc_stat_wal 查询当前query的wal日志和数据页的流量信息。 3 pgxc_lockwait_detail 显示每个节点中锁等待链详细信息。 4 pgxc_wait_detail 显示所有节点SQL等待从上至下的等待链详细信息，包括wait_node、query等。 修改 5 gs_obs_read_traffic OBS读写带宽视图，修改为按10分钟间隔聚集，增加logtime列显示时间分组。 6 gs_obs_write_traffic OBS读写带宽视图，修改为按10分钟间隔聚集，增加logtime列显示时间分组。

行为变更 表2 行为变更 变更类型 序号 名称 变更描述 新增 1 支持windowagg生成value partition执行计划 窗口函数出现在语句的最外层，如果没有加order by，基线行为数据会是有序的，8.2.0版本默认开启enable_value_redistribute以后，数据会变成无序的，需要指定order by子句才能保证有序。 修改 2 异常规则配置方式变更，由工具变更为语法配置 异常规则原来由gs_cgroup对其对应的控制组做配置，8.2.0更改为CREATE/ALTER/DROP EXCEPT RULE语法配置，新版本使用gs_cgroup配置时会给出相应提示。 3 异常规则内部去除qualificationtime，以elapsedtime取代 qualificationtime在旧版本作为一个规则，但是只能与cpuskewpercent合并使用，效果和elapsedtime相同。因此去除该配置项，直接配置elapsedtime即可。 4 tid字段名 行存支持tid字段名，原行存不支持tid字段名。 5 max_process_memory CN调整为DN的一半。

SQL语法 表3 SQL语法 变更类型 序号 名称 变更描述 新增 1 表属性参数analyze_mode 新增表级analyze模式的控制参数(该表支持哪种analyze)，不设置时与前向无变化。 2 禁用子查询提升hint 增加禁用子查询提升hint，支持形式：no_merge当前查询，no_merge(relid)指定对象。 3 hint在DML语句中生效 增加支持hint在insert/update/merge/delete语句中生效。 4 agg重分布hint增加支持指定列名 agg重分布hint增加支持指定列名，形式为/+ redistribute ((*) (a b c d)) */。 5 agg重分布hint增加支持指定count(distinct)列 agg重分布hint支持指定count(distinct)列在双层hashagg场景下生效。 6 invisible 新增索引OPTIONS，用于设置索引扫描在执行计划中是否可见。 7 支持MySQL中的反引号 支持使用反引号区分普通字符和特殊字符。 8 创建表时，列定义支持指定on update属性 列定义指定on update属性时，当数据有更新时，自动填充更新时间戳。 9 CREATE/ALTER/DROP EXCEPT RULE 新增语法用于新增、创建、删除内核异常规则。 10 CREATE SERVER增加OPTIONS security_token 新增OPTIONS security_token用于传递securitytoken用于临时AK，SK访问OBS。 11 CREATE FOREIGN TABLE增加OPTIONS security_token 新增OPTIONS security_token用于传递securitytoken用于临时AK，SK访问OBS。 12 OBS外表（dist_fdw）option参数新增file_split_ threshold选项 OBS外表（dist_fdw）option参数新增file_split_ threshold选项。 13 GDS外表新增gds_compress参数 基于GDS管道文件导入导出，用于GDS互联互通时候数据在DN和GDS之间压缩传输，目前仅支持snappy压缩算法普通文件的导入导出不支持该参数。 14 GDS外表新增dataencoding参数 用于表示latin1数据库中保存的数据的字符集。 15 gc_fdw互联互通外表(sql on other gaussdb外表)新增gds_compress参数 用于GDS外表互联互通时候数据在DN和GDS之间压缩传输，目前仅支持snappy压缩算法。 16 gc_fdw互联互通外表(sql on other gaussdb)新增dataencoding参数 用于表示执行端laint1数据库中保存的数据的字符集。 修改 17 CREATE/ALTER REDACTION POLICY 表级参数deltarow_threshold的默认值设置为10000，指定列存表导入时小于多少行的数据进入delta表，只在表级参数enable_delta开启时生效。 18 资源池关联异常规则语法变更 新增INHERIT选项，说明策略是否继承自其他策略。 19 single_node支持obs外表语法 资源池旧版本可用于配置内存异常规则，8.2.0统一异常规则接口为 CREATE/ALTER RESOURCE POOL 'pool' with (EXCEPT_RULE='rule1,2'); 20 OBS外表（dist_fdw）支持使用server指定AK、SK single_node支持obs外表（dfs_fdw）。

系统表 表5 系统表 变更类型 序号 名称 变更描述 新增 1 gs_blocklist_query 新增系统表用于保存黑名单语句和异常规则触发信息。 2 pg_except_rule 新增pg_except_rule系统表，用于存储当前集群所创建的异常规则信息，包括规则名称，具体规则阈值，以及规则触发的action。 修改 3 pg_redaction_policy，pg_redaction_column 新增inherited列，说明策略是否由用户手动创建

解释说明 现在配置 可直接在购买页面进行配置，跨网段访问配置当前最多可支持配置30个源端网段， 源端网段之间不能重复。 创建后配置 跨网段访问配置当前最多可支持配置30个源端网段， 源端网段之间不能重复。 1. 登录文档数据库服务。 2. 在“实例管理”页面，选择指定的数据库实例，单击实例名称，进入“基本信息”页面。 3. 在左侧导航树，单击“连接管理”。 4. 在“内网连接”页签下，单击“跨网段访问配置”右侧的“立即开通”，设置对应的源端网段信息。 5. 开通成功后，“跨网段访问配置”的状态变更为“已开通”。 若您需要更改源端网段配置，可以单击“跨网段访问配置”右侧的“立即修改”。 源端E CS 连接实例的前提是与实例节点网络通信正常，如果网络不通，可以参考对等连接进行相关配置。

CCE集群pod与CCI集群中pod通过service互通的使用指导 安装插件，勾选”网络互通“功能。 安装成功后租户账号下会自动创建负载均衡器，可以通过网络控制台进行查看。 创建弹性CCI侧pod，并配置service发布。 为了方便验证，镜像选择暴露容器80端口的nginx。 为工作负载配置service。推荐自动创建新的负载均衡器，以避免和插件自动创建的elb产生冲突。 通过CCE集群控制台，获取该负载的访问方式。 创建CCE侧pod，并配置service发布。方法请参考步骤2，不选择弹性CCI标签。 验证网络互访。 创建弹性CCI的工作负载，镜像选择含有curl命令的镜像，如centos。 通过CCI侧进入该容器，执行图中命令，观测CCI访问CCE service网络打通。 图1 访问CCE pod的service 同理创建CCE侧pod，镜像选择含有curl命令的镜像，如centos。执行相同的命令。观测CCE访问CCI service网络打通。 图2 访问CCI pod的service

初始化容器网络互通开关配置 初始化容器网络互通开关默认关闭，若要使用，请在开启网络互通功能开关的前提下，根据以下操作进行配置。 登录CCE控制台。 选择CCE集群，单击进入CCE集群总览页面。 在导航栏左侧单击“插件中心”，进入插件中心首页。 选择“CCE 突发弹性引擎 (对接 CCI)”插件，单击“编辑”。 图3 CCE 突发弹性引擎 (对接 CCI)插件 在“网络互通（可选）”开启的条件下，单击“编辑YAML”。 图4 编辑插件 将“set_proxy_as_first_initcontainer”配置为true。 图5 修改参数 在“CCE 突发弹性引擎 (对接 CCI)”插件的实例列表中查看实例名称为“bursting-cceaddon-virtual-kubelet-virtual-kubelet-xxx”、“cceaddon-virtual-kubelet-virtual-kubelet-xxx”状态显示为“运行中”，表示重新部署完毕，该功能可正常运行。 图6 查看插件部署状态

约束与限制 使用共享VPC的CCE集群不支持开启“网络互通”功能。 使用CCE集群中的Bursting插件对接CCI 2.0服务，支持配置独享型ELB的Ingress和Service。Bursting插件1.5.5以下版本不支持配置ELB类型的Service。 当前网络互通能力依赖sidecar容器的启动，如需使用以下功能，插件升级到1.5.28及以上版本： 业务容器需要使用postStart功能。 在初始化容器中使用网络互通能力，需要开启初始化容器网络互通开关。 开启网络互通能力、开启初始化容器网络互通开关等操作需等待相关组件就绪，再下发负载，否则会导致功能异常。 跨CCE和CCI实例Service网络互通只支持集群内访问（ClusterIP）类型。不支持在init-container中访问CCE侧ClusterIP service。 跨CCE和CCI实例，在对接LoadBalancer类型的Service或Ingress时： 禁止指定健康检查端口，在CCE集群下，由于CCI的容器与CCE的容器在ELB注册的后端使用端口不一致，指定健康检查端口会导致部分后端健康检查异常。 跨集群使用Service对接同一个ELB的监听器时，需确认健康检查方式，避免服务访问异常。 跨CCE和CCI实例，在对接共享型LoadBalancer类型的Service时，需要放通node安全组下100.125.0.0/16网段的容器端口。

购买套餐包 MaaS服务提供了按需套餐包，用户可以提前购买按需套餐包，从而获得灵活的、更高性价比的算力资源。当购买了套餐包，在使用公共资源池运行任务时，将会优先抵扣套餐包的配额，超出当前套餐包的额度或使用时段，将自动转为按需收费。 关于套餐包的约束限制、资源包抵扣顺序和套餐包余量预警请参见套餐包。 购买操作如下： 登录ModelArts管理控制台。 在左侧导航栏中，选择“ModelArts Studio”进入ModelArts Studio大模型即服务平台。 在ModelArts Studio首页单击“购买套餐包”，进入购买页面。 在“购买”页面，选择套餐包“规格”和“购买数量”，单击“立即购买”，确认订单详情，单击“去支付”，根据界面提示完成套餐包支付。 支付完成后，在ModelArts Studio大模型即服务平台创建任务时，选择套餐包规格的公共资源池，在运行任务时即可优先使用套餐包资源。

权重校验 创建模型时，开启权重校验后，平台会自动创建一个权重校验的任务。在模型版本详情页面的“任务记录”区域，可以查看权重校验任务。 图1 查看权重校验任务 当状态显示运行失败时，鼠标悬停在状态即可查看失败信息，根据失败信息处理问题。常见的权重校验失败信息及其处理建议请参见表4。 表4 权重校验常见的失败信息 失败信息 信息解释 处理建议 Unknown error, please contact the operation and maintenance personnel or check the log to locate the specific problem. 未知错误。 查看日志定位处理问题，或者联系技术支持。 Backend model template selection error (metadata error). 后台模型模板选择错误。 查看日志定位处理问题，或者联系技术支持。 Failed to read standard config.json in the background. 后台读取标准config.json失败。 查看日志定位处理问题，或者联系技术支持。 Failed to read generation_config.json. generation_config.json内容格式错误。 检查“generation_config.json”文件中的内容是否为json格式。 The value of do_sample is not set to true in generation_config.json, which is inconsistent with the configured sampling parameters such as temperature, top_p, top_k etc. 在generation_config.json中没有将do_sample的值设置为true，与配置的temperature、top_p、top_k等采样参数矛盾。 将“generation_config.json”文件中的“do_sample”的值设置为“true”。 Failed to read user config.json. config.json不存在或内容不符合json格式。 检查“config.json”文件是否存在，或者是内容是否为json格式。 The quantization_config field is missing in config.json, please check whether it is awq quantization weight. config.json中缺少quantization_config字段，请检查是否为awq量化权重。 检查权重和模型模板是否匹配。 There is an extra quantization_config field in config.json. Please check whether it is a non-quantized weight. config.json中多出quantization_config字段，请检查是否为非量化权重。 检查权重和模型模板是否匹配。 Key fields describing the model structure are missing from config.json, or their values are inconsistent with standard open source. config.json中缺少描述模型结构的关键字段，或其值与标准开源不一致。 检查“config.json”文件中的配置是否与模型官方一致。 Error loading tokenizer in transformers. transformers加载tokenizer出错。 检查词表文件是否正确。 Error loading weights in transformers. transformers加载权重出错。 检查权重文件是否正确。

编辑构建任务 通过项目入口方式访问CodeArts Build服务首页。 在编译构建任务列表搜索目标任务。 单击编译构建任务所在行，在下拉列表中选择“编辑”，进入“编辑任务”页面。 基本信息：可修改任务名称、代码源、代码仓、默认分支、任务描述等信息。 构建步骤：可修改构建步骤、步骤参数等信息。 参数设置：可配置执行任务时的自定义参数。 执行计划：可配置触发事件（持续集成）和定时执行。 修改历史：可查看构建任务的修改记录。单击“比较差异”，可查看构建任务相比于上一次执行时调整的内容。 权限管理：可配置不同角色的权限。 通知：可配置任务事件类型通知信息（包括任务构建成功、失败、删除、配置更新、被禁用）。 根据需要选择对应页签并进行编辑，单击“保存”完成修改。

删除构建任务 单击编译构建任务所在行，在下拉列表中选择“删除”。请根据实际情况确定是否删除对应构建任务。 删除的构建任务可在构建任务回收站中查看。在编译构建首页右上角单击“更多”，在下拉列表选择“构建任务回收站”。 页面中展示已删除的构建任务，根据需要可以完成以下相关操作。 操作 说明 修改任务保留时间 单击“任务保留时间”下拉列表，根据需要选择时长，可选天数范围为1~30天。 搜索任务 在搜索框中输入待搜索内容，单击搜索，即可在页面中查看搜索结果。 删除任务 在列表中勾选待删除的任务，单击“删除”，即可将所选任务从回收站中删除。 恢复任务 在列表中勾选待恢复的任务，单击“恢复”，即可将所选任务恢复到编译构建服务的任务列表中。 清空回收站 单击“清空回收站”，可删除回收站中所有任务。

CodeArts Build服务首页功能总览 CodeArts Build提供多种外观主题，本节以“无限+经典”主题为例介绍导航栏内容。 表2 首页功能总览说明 菜单项 说明 单击下拉列表可切换服务所属区域。 每个区域之间数据及资源不互通，请选择您已购买的区域进行使用。 单击下拉列表，可选择“编译构建”，进入编译构建服务首页。 该页面展示当前租户创建的所有项目的所有构建任务。 如果以项目入口访问CodeArts Build服务，单击此处的下拉列表，可切换至其它项目。 单击可在下拉列表中访问自定义模板、自定义构建环境、文件管理、构建任务回收站和构建资源池管理。 单击可执行构建任务。 单击可收藏构建任务。 单击可在下拉框中编辑、复制、禁用和删除构建任务。

代码化构建（单仓下载） 参考以下代码示例，修改在创建代码化构建使用的YAML文件中的PRE_BUILD部分代码信息。 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 version: 2.0 # 必须是2.0 steps: PRE_BUILD: - checkout: name: checkout inputs: scm: codehub # 代码来源:仅支持Repo url: xxxxxxxxx # 拉取代码的ssh地址。 branch: ${codeBranch} # 任何时候都必填，支持参数化 commit: ${commitId} lfs: true submodule: true depth: 100 tag: ${tag} path: test 表2 单仓下载代码示例参数说明 参数 类型 说明 scm string 填写代码源：当前只支持Repo，如果yaml文件中没配置，则使用构建任务配置的代码仓信息。 默认值：codehub。 url string 填写拉取代码的代码仓ssh地址。 branch string 拉取的代码分支。 支持参数化，可使用${codeBranch}调用。 commit string 可选参数。指定commitId构建时，填写拉取的commitId。 支持参数化，可使用${commitId}调用。 tag string 可选参数。指定tag构建时，填写拉取的tag。 支持参数化，可使用${tag}调用。如果同时指定commitId和tag，优先执行commitId构建。 depth int 可选参数。浅克隆深度：当选择commitId构建时，depth必须大于等于commitId所在深度。 默认值：1。 submodule bool 可选参数。配置是否拉取子模块。 true：拉取。 false：不拉取。 默认值：false。 lfs bool 可选参数。配置是否开启git lfs。 true：开启。 false：不开启。 构建默认不拉取音视频、图像等大型文件，开启git lfs后，构建将会全量拉取文件。默认值：false。 path string 可选参数。clone的子路径：代码将会下载到子目录下。

图形化构建 可选择使用指定代码仓库Tag或CommitID构建，同时可选择开启子模块（submodules）自动更新与Git LFS。 预置“代码下载配置”步骤，参考表1配置参数。 表1 代码下载配置参数说明 参数 说明 使用指定代码仓库Tag或CommitID构建 配置执行构建任务时是否指定Tag构建或CommitID构建。 不指定：拉取全部代码进行构建。 指定Tag构建：仅拉取指定Tag的代码进行构建。执行构建任务时需在弹框中输入Tag。 Tag是指代码仓库中的标签。如果代码源选择的是Repo，关于如何创建Tag可参见标签管理。如果代码源使用的是第三方代码仓，需在第三方代码仓中创建标签。 指定CommitID构建：仅拉取指定CommitID的代码进行构建。执行构建任务时需在弹框中输入CommitID。 CommitID是指提交代码时生成的编号。以Repo代码仓为例，CommitID在代码仓库中显示如图1。 图1 CommitID 克隆深度 可选参数。 克隆深度是指距离最近一次提交的提交次数，该值越大，检出代码的深度越深。深度为正整数，推荐最大深度为25。 例如：克隆深度5就表示只克隆最新5次提交记录以及提交之后的最新内容，不克隆历史提交。 子模块（submodules）自动更新 子模块（submodule）是Git为管理仓库共用而衍生出的一个工具，通过子模块用户可以将公共仓库作为子目录包含到用户的仓库中，并能够双向同步该公共仓库的代码，借助子模块用户能将公共仓库隔离、复用，能随时拉取最新代码以及对它提交修复，能大大提高团队效率。更多详情请参考配置代码仓库的子模块设置。 开启：当代码仓库存在子模块时，系统在构建时会自动拉取子模块仓库的代码。 不开启：系统不会自动拉取子模块仓库的代码。 开启Git LFS 根据需要选择是否开启“Git LFS”，构建默认不拉取音视频、图像等大型文件，开启“Git LFS”后，构建将会全量拉取文件。