华为云用户手册

概述 通用计算型专属主机提供了基本水平的硬件性能。技术上采用非绑定CPU共享调度模式，vCPU会根据系统负载被随机分配到空闲的CPU超线程上。在主机负载较轻时，可以提供较高的计算能力，但是在主机负载较重时，可能由于不同实例vCPU争抢物理CPU资源而导致计算性能波动不稳定。能够支撑常规工作负载的云服务器，并能应付云服务器短时负载突增。 通用计算型类别的专属主机分为：s3、s3_pro、s6、s6_pro、s7、s7n，可用于部署S3型、S6型、S7型、S7n型云服务器，搭载Intel® Xeon® SkyLake全新一代CPU，提供更好性价比。

专属主机规格 表1 s3型专属主机规格 专属主机类型 CPU数量（Sockets） 物理内核 硬件规格 vCPUs s3 2 22 CPU：Intel® Xeon® SkyLake 6161 v5（主频2.20 GHz，睿频3.00 GHz） Memory：288 GB（=294912 MB） 144 表2 s3_pro型专属主机规格 专属主机类型 CPU数量（Sockets） 物理内核 硬件规格 vCPUs s3_pro 2 22 CPU：Intel® Xeon® SkyLake 6161 v5（主频2.20 GHz，睿频3.00 GHz） Memory：576 GB（=589824 MB） 144 表3 s6型专属主机规格 专属主机类型 CPU数量（Sockets） 物理内核 硬件规格 vCPUs s6 2 26 CPU：Intel® Xeon® CascadedLake CPU（主频2.6 GHz，睿频3.5 GHz） Memory：516 GB（=528384 MB） 264 表4 s6_pro型专属主机规格 专属主机类型 CPU数量（Sockets） 物理内核 硬件规格 vCPUs s6_pro 2 26 CPU：Intel® Xeon® CascadedLake CPU（主频2.6 GHz，睿频3.5 GHz） Memory：702 GB（=718848 MB） 264 表5 s7型专属主机规格 专属主机类型 CPU数量（Sockets） 物理内核 硬件规格 vCPUs s7 2 38 CPU：第三代英特尔® 至强® 可扩展处理器（主频2.8 GHz，睿频3.5 GHz） Memory：926GB（=948224 MB） 390 表6 s7n型专属主机规格 专属主机类型 CPU数量（Sockets） 物理内核 硬件规格 vCPUs s7n 2 28 CPU：第三代英特尔® 至强® 可扩展处理器（主频2.6 GHz，睿频3.4 GHz） Memory：912GB（=933888 MB） 276 专属主机规格中的vCPUs计算公式：vCPUs=(槽位数 * CPU核数 * 单核线程数 - CPU开销) * CPU超分比 s3型专属主机 vCPUs = (2 * 22 * 2 - 16) * 2 = 144 s3_pro型专属主机 vCPUs = (2 * 22 * 2 - 16) * 2 = 144 s6型专属主机 vCPUs = (2 * 26 * 2 - 16) * 3 = 264 s6_pro型专属主机 vCPUs = (2 * 26 * 2 - 16) * 3 = 264 s7型专属主机 vCPUs = (2 * 38 * 2 - 22) * 3 = 390 s7n型专属主机 vCPUs = (2 * 28 * 2 - 20) * 3 = 276

概述 专属主机的规格提供了对应物理服务器的配置信息，决定了您能在专属主机上使用的E CS 实例规格族，也决定了您能创建的ECS实例数量。 专属主机对应物理服务器的配置信息主要包括CPU数量（Sockets）、物理内核、本地存储、硬件配置（CPU型号和内存大小）、虚拟CPU核数（vCPUs），您可以根据自己的业务特性和规模，选择合适的专属主机规格。 目前已支持的专属主机规格如下： 通用计算型 通用计算增强型 内存优化型 此处仅是为了帮助您速查，详细的专属主机规格介绍、适用场景，以及所支持的云服务器规格，请前往对应章节查看。 专属主机类别 专属主机类型 CPU数量（Sockets） 物理内核 本地盘 硬件规格 vCPUs 通用计算型 s3 2 22 N/A CPU：Intel® Xeon® SkyLake 6161 v5（主频2.20 GHz，睿频3.00 GHz） Memory：288 GB（=294912 MB） 144 s3_pro 2 22 N/A CPU：Intel® Xeon® SkyLake 6161 v5（主频2.20 GHz，睿频3.00 GHz） Memory：576 GB（=589824 MB） 144 s6 2 26 N/A CPU：Intel® Xeon® CascadedLake CPU（主频2.6 GHz，睿频3.5 GHz） Memory：516 GB（=528384 MB） 264 s6_pro 2 26 N/A CPU：Intel® Xeon® CascadedLake CPU（主频2.6 GHz，睿频3.5 GHz） Memory：702GB（=718848 MB） 264 s7 2 38 N/A CPU：第三代英特尔® 至强® 可扩展处理器（主频2.8 GHz，睿频3.5 GHz） Memory：926GB（=948224 MB） 390 s7n 2 28 N/A CPU：第三代英特尔® 至强® 可扩展处理器（主频2.6 GHz，睿频3.4 GHz） Memory：912GB（=933888 MB） 276 通用计算增强型 c3 2 18 N/A CPU：Intel® Xeon® SkyLake 6151 v5（主频3.00 GHz，睿频3.40 GHz） Memory：128 GB（=131072 MB） 64 c3_pro 2 18 N/A CPU：Intel® Xeon® SkyLake 6151 v5（主频3.00 GHz，睿频3.40 GHz） Memory：256 GB（=262144 MB） 64 c3ne 2 18 N/A CPU：C SkyLake 6151 v5（主频3.00 GHz，睿频3.40 GHz） Memory：128 GB（=131072 MB） 64 c6 2 22 N/A CPU：Cascade Lake 6266（主频3.00 GHz，睿频3.40 GHz） Memory：148 GB（=151552 MB） 74 c6_pro 2 22 N/A CPU：Cascade Lake 6266（主频3.00 GHz，睿频3.40 GHz） Memory：296 GB（=303104 MB） 74 c7n_pro 2 28 N/A CPU：第三代英特尔® 至强® 可扩展处理器（主频2.6 GHz，睿频3.4 GHz） Memory：392GB（=401408 MB） 98 内存优化型 m3 2 18 N/A CPU：Intel® Xeon® SkyLake 6151 v5（主频3.00 GHz，睿频3.40 GHz） Memory：512 GB (=524288 MB) 64 m6 2 22 N/A CPU：Intel® Xeon® SkyLake 6151 v5（主频3.00 GHz，睿频3.40 GHz） Memory：608 GB (=622592 MB) 76 专属主机规格中的vCPUs计算公式： (槽位数 * CPU核数 * 单核线程数 - CPU开销) * CPU超分比 s3型和s3_pro型专属主机 vCPUs = (2 * 22 * 2 - 16) * 2 = 144 s6型和s6_pro型专属主机 vCPUs = (2 * 26 * 2 - 16) * 3 = 264 s7型专属主机 vCPUs = (2 * 38 * 2 - 22) * 3 = 390 s7n型专属主机 vCPUs = (2 * 28 * 2 - 20) * 3 = 276 c3型、c3_pro型和c3ne型专属主机 vCPUs = (2 * 18 * 2 - 12) * 1.07 = 64 c6型和c6_pro型专属主机 vCPUs = (2 * 22 * 2 - 14) * 1 = 74 c7n_pro型专属主机 vCPUs = (2 * 28 * 2 - 14) * 1 = 98 m3型专属主机 vCPUs计算公式：vCPUs = (2 * 18 * 2 - 12) * 1.07 = 64 m6型专属主机 vCPUs计算公式：vCPUs = (2 * 22 * 2 - 12) * 1 = 76 父主题： 规格族

生命周期 一台专属主机从创建到释放的整个生命周期会经历不同状态，如表1所示。 表1 专属主机状态说明 状态 状态属性 说明 正常 稳定状态 专属主机正常运行状态。 在这个状态的专属主机可以运行您的业务。 故障 故障状态 专属主机出现故障。 在这个状态下的专属主机不能对外提供业务，需要联系客服进行处理。 已删除 中间状态 专属主机已经删除。 在这个状态下的专属主机不能对外提供业务，几分钟后专属主机界面上对应的资源会消失。

自定义部署方式 您在部署云服务器时，可以通过“专属主机”配置项指定DeH，也可以由系统选择DeH。 “专属主机”配置项选择某台DeH时，表示指定该DeH来创建云服务器。 您可以在DeH控制台选择一台DeH来创建云服务器；也可以在创建云服务器时，选择创建到指定的DeH上。 “专属主机”配置项选择“自动放置”时，表示由系统选择一台DeH来创建云服务器。 此时系统会将云服务器创建在符合规格的DeH中剩余内存最大的那一台上，以使各DeH尽量均衡负载。 这两种不同的使用方式相结合，既能满足您对所部署应用的隔离性、安全性、合规性等要求，同时也能合理利用资源，使云服务器的性能更优化。

调用BSS接口状态码返回400 BadRequest 一般出现这种情况有两种可能： 合作伙伴客户调用接口时传入的请求参数有误。此时可以查看响应消息，一般会说明是哪个请求参数有误，请查看调用时是否遵循《API参考》中该请求参数的定义。 传入的请求消息不是JSON格式。请检查请求消息头参数中是否添加了“Content-Type":"application/json”字段，并确保传入的请求消息是JSON格式。若全是非必填参数，需传入"{}"。 父主题： 接口调用

高阶云服务清单 一级分类 二级分类 云服务产品 产品部确认分类 产品部 计算 计算 云手机CPH 开放能力 计算产品部 函数工作流 FunctionGraph 开发平台 PAAS产品部 容器 容器 云容器引擎CCE 开放能力 计算产品部 云容器实例CCI 开放能力 计算产品部 存储 存储 数据工坊DWR 开放能力 存储产品部 CDN与智能边缘 CDN与智能边缘 智能边缘平台IEF 开发平台 计算产品部 数据库 关系型数据库 GaussDB for openGauss 开发平台 数据库产品部 GaussDB for MySQL 开放能力 数据库产品部 RDS for MySQL 开放能力 数据库产品部 RDS for PostgreSQL 开放能力 数据库产品部 RDS for SQL Server 开放能力 数据库产品部 非关系型数据库 GaussDB for Mongo 开放能力 数据库产品部 GaussDB for Redis 开放能力 数据库产品部 GaussDB for Influx 开放能力 数据库产品部 GaussDB for Cassandra 开放能力 数据库产品部 文档数据库服务DDS 开放能力 数据库产品部 数据库生态工具&中间件 分布式数据库 中间件DDM 开放能力 数据库产品部 数据管理服务DAS 开发工具 数据库产品部 人工智能 AI基础平台 AI开发平台 ModelArts 开发平台 EI服务产品部 华为HiLens 开发平台 EI服务产品部 图引擎服务GES 开发平台 EI服务产品部 图像识别 图像标签Image Tagging 开放能力 EI服务产品部 名人识别ROC 开放能力 EI服务产品部 文字识别 文字识别OCR 开放能力 EI服务产品部 自然语言处理 自然语言处理基础NLP 开放能力 EI服务产品部 语言理解NLPLU 开放能力 EI服务产品部 语言生成NLPLG 开放能力 EI服务产品部 知识图谱NLPKG 开放能力 EI服务产品部 机器翻译 NLPMT 开放能力 EI服务产品部 对话机器人服务 智能问答机器人 QABot 开放能力 EI服务产品部 智能话务机器人 PhoneBot 开放能力 EI服务产品部 智能对话质检 SA 开放能力 EI服务产品部 内容审核 文本审核 Moderation Text 开放能力 EI服务产品部 图像审核 Moderation Image 开放能力 EI服务产品部 视频审核 VCM 开放能力 EI服务产品部 图像搜索 图像搜索ImageSearch 开放能力 EI服务产品部 人脸与人体识别 人证核身 服务IVS 开放能力 EI服务产品部 人脸识别服务 FRS 开放能力 EI服务产品部 语音交互 实时语音识别 RASR 开放能力 EI服务产品部 一句话识别 ASR 开放能力 EI服务产品部 录音文件识别LASR 开放能力 EI服务产品部 语音合成 TTS 开放能力 EI服务产品部 大数据 大数据计算 MapReduce服务 MRS 开放能力 EI服务产品部 数据湖探索 DLI 开放能力 EI服务产品部 云 数据仓库 GaussDB(DWS) 开放能力 EI服务产品部 表格存储服务 CloudTable 开放能力 EI服务产品部 可信智能计算服务 TICS 开放能力 EI服务产品部 数据可视化 数据可视化DLV 开放能力 EI服务产品部 大数据应用 推荐系统RES 开放能力 EI服务产品部 大数据搜索与分析 云搜索服务 CSS 开放能力 EI服务产品部 大 数据治理 与开发 数据湖 治理中心DGC 开发平台 EI服务产品部 数据接入服务 DIS 开放能力 EI服务产品部 IoT物联网 物联网云服务 设备接入IoTDA 开放能力 IoT服务产品部 IoT数据分析IoTA 开放能力 IoT服务产品部 IoT行业生态工作台IoTStage 开放能力 IoT服务产品部 行业物联网服务 路网数字化服务 DRIS 开发平台 IoT服务产品部 边缘计算 IoT边缘IoTEdge 开放能力 IoT服务产品部 应用中间件 应用中间件 分布式缓存服务Redis 开放能力 PAAS产品部 分布式缓存服务Memcached 开放能力 PAAS产品部 分布式消息服务Kafka 开放能力 PAAS产品部 分布式消息服务RabbitMQ 开放能力 PAAS产品部 分布式消息服务RocketMQ 开放能力 PAAS产品部 微服务引擎CSE 开放能力 PAAS产品部 多云高可用服务MAS 开发平台 PAAS产品部 API网关APIG 开放能力 PAAS产品部 开发与运维 软件开发平台 软件开发平台DevCloud 开发平台 PAAS产品部 Cloud IDE 开放能力 PAAS产品部 Classroom 开放能力 PAAS产品部 应用运行 应用管理与运维平台ServiceStage 开发平台 PAAS产品部 云应用引擎CAE 开发平台 PAAS产品部 低代码开发 应用魔方AppCube 开发平台 PAAS产品部 企业应用 应用与数据集成 应用与 数据集成平台 ROMAConnect 开发平台 PAAS产品部 企业协同 华为云会议Meeting 开放能力 媒体服务产品部 华为云 WeLink 开发平台 WeLink服务产品部 视频 视频 华为云 实时音视频 SparkRTC 开放能力 媒体服务产品部 视频接入服务 VIS 开发平台 媒体服务产品部 媒体处理 MPC 开发平台 媒体服务产品部 管理与监管 管理与监管 云日志服务LTS 开放能力 PAAS产品部 消息通知 服务 SMN 开放能力 计算产品部 应用身份管理 服务 OneAccess 开放能力 PAAS产品部 区块链 区块链 区块链服务BCS 开放能力 PAAS产品部 可信跨链 服务 TCS 开放能力 PAAS产品部 开天aPaaS 开天aPaaS 开天 集成工作台 MSSI 开发平台 aPaaS服务产品部 云消息 服务 KooMessage 开放能力 aPaaS服务产品部 开发者官网 CLI/Shell HCloud CLI（含命令集） 开发工具 PAAS产品部 CloudShell 开发工具 PAAS产品部 插件 DevKit（原Cloud Toolkit） 开发工具 PAAS产品部 API/SDK API Explorer 开发工具 PAAS产品部 代码模板 模板引擎DevStar 开发工具 PAAS产品部 软件仓库 开源镜像站 开发工具 PAAS产品部 父主题： 一次性工程费用（NRE）

参考信息 表2 DataCheck目录说明 文件或文件夹 说明 DataCheck bin 保存校验工具入口脚本。 Windows版本：datacheck.bat Linux版本：datacheck.sh conf 配置文件，进行源数据库和目的数据库的连接配置和日志打印设置。 lib 保存校验工具运行所需的相关jar包。 check_input.xlsx 待校验的表信息，包括Schema名、表名、列名等。 记录用户的校验级别信息和校验规则。已支持3种级别校验，包括high、middle、low，默认为low。 logs 压缩包中不包含该文件，校验工具执行后自动生成，记录工具运行过程日志。 check_input_result.xlsx 压缩包中不包含该文件，执行校验工具后会在check_input.xlsx相同路径下生成校验结果文件。

步骤三：数据一致性校验 迁移完成之后，可使用数据校验工具DataCheck校验源端、目标端的数据是否一致。 下载软件包后，解压DataCheck-*.zip包，进入DataCheck-*目录，即可使用。目录下各文件的使用说明参见表2。 配置工具包。 Windows环境下： 打开conf文件夹中的dbinfo.properties文件，根据实际需要进行配置。ADB源的配置参考下图： 图15 配置DataCheck 文件中的密码src.passwd和dws.passwd可使用工具，执行以下命令生成密文。 encryption.bat password 运行成功后会在本地bin目录下生成加密文件，如下图。 Linux环境下： 其他步骤相同。密文生成方法与上文中Window环境下的方法类似，命令为sh encryption.sh [password]。 执行数据校验。 Windows环境下： 打开check.input文件，将要校验的数据库(不填默认使用conf配置文件内的内容)、源表、目标端表填入，Row Range可根据需要填写特定范围的数据查询语句。 源端的库名在配置文件中配置后，check.input文件中的源端会默认填写配置文件中的库名，若check.input文件中填入其他库名，以check.input文件中的优先级为高。 校验级别Check Strategy支持high、middle、low三种，若未填写，默认为low。 下图为元数据对比的check_input文件。 图16 check_input 在bin目录下使用命令datacheck.bat执行校验工具： 查看已生成的校验结果 check_input_result.xlsx。 下图为源端元数据与目标端一致的结果。 下图为源端元数据与目标端不一致的结果。 Linux环境下： 编辑check_input.xlsx文件并上传，参考Window环境下的第一步。 使用命令sh datacheck.sh执行校验工具。 查看校验结果check_input_result.xlsx（校验结果分析与Windows场景相同）。

前提条件 SSH服务已打开。 SSH端口不会被防火墙关闭。 xml文件中各主机名称和IP配置正确。 所有机器节点间网络畅通。 如果为普通用户建立互信，需要提前在各主机创建相同用户并设置密码。 如果各主机安装并启动了SELinux服务，需要确保/root和/home目录安全，上下文为默认值或者关闭掉SELinux服务。其中默认目录如下： root目录：system_u:object_r:home_root_t:s0 home目录：system_u:object_r:admin_home_t:s0 检查系统SELinux状态的方法：执行命令getenforce，如果返回结果是Enforcing ，说明SELinux安装并启用。 检查目录安全上下文的命令： ls -ldZ /root | awk '{print $4}' ls -ldZ /home | awk '{print $4}' 恢复目录安全上下文命令： restorecon -r -vv /home/ restorecon -r -vv /root/

RocketMQ 4.8.0版本实例仅配置单组Broker有什么影响？ 当使用RocketMQ 4.8.0版本实例，且只创建了一组Broker，或者Topic仅关联了一组Broker时，如果Broker故障则会触发主备倒换，且恢复时间较长，为30秒左右。如果Topic关联了多组Broker，Broker故障时，生产流量可自动切换到另一组Broker，可用性更高。 建议使用如下方法处理RocketMQ 4.8.0版本实例仅配置单组Broker的问题： 扩容到两组或更多组Broker。 迁移到5.x版本实例，5.x实例各种规格均有多组Broker。 配置多组Broker后，可添加如下代码开启生产者异常检测机制（仅Java客户端5.1.4及以上版本才支持该功能），缩短故障切换时间。 producer.setSendLatencyFaultEnable(true) 父主题： 实例问题

使用建议 如果您对自己的业务流量特征还不完全清楚，建议先切换到“仅记录”模式进行观察。一般情况下，建议您观察一至两周，然后分析仅记录模式下的攻击日志。 如果没有发现任何正常业务流量被拦截的记录，则可以切换到“拦截”模式启用拦截防护。 如果发现攻击日志中存在正常业务流量，建议调整防护等级或者设置全局白名单（原误报屏蔽）来避免正常业务的误拦截。 业务操作方面应注意以下问题： 正常业务的HTTP请求中尽量不要直接传递原始的SQL语句、JAVA SCRIPT代码。 正常业务的URL尽量不要使用一些特殊的关键字（UPDATE、SET等）作为路径，例如：“https://www.example.com/abc/update/mod.php?set=1”。 如果业务中需要上传文件，不建议直接通过Web方式上传超过50M的文件，建议使用 对象存储服务 或者其他方式上传。

约束条件 初始版本的状态被标记为“SYSCURRENT”。 您可以将凭据的版本状态标记上服务内创建或者自定义类型的状态标签。每个版本可以被标记上多个状态标签，但是每个状态标签只能标记一个版本。目标状态标签为凭据对象内已经存在的状态标签时，首先自动会将此状态标签从其它版本上移除，然后标记至目标版本上。 凭据管理服务的每个凭据中最多可支持12个凭据版本状态，每个凭据版本状态同时仅能标识一个凭据版本。 “SYSCURRENT”和“SYSPREVIOUS”为服务内建的凭据状态，不可删除。

密钥概述 用户主密钥包括自定义密钥和默认密钥。本章节涉及创建、查看、启用、禁用、计划删除、取消删除等操作均为自定义密钥。 自定义密钥可以通过创建副本密钥的方式实现跨区域使用。在不同区域生成密钥材料相同的副本密钥，便于在多个区域执行数据的加解密处理，提高业务效率。 自定义密钥分为“对称密钥”和“非对称密钥”。 对称密钥加密是最常用的 数据加密 保护方式。相比对称密钥加密，非对称密钥通常用于在信任程度不对等的系统之间，实现数字签名验签或者加密传递敏感信息。非对称密钥由一对公钥和私钥组成，互相关联，其中的公钥可以被分发给任何人，而私钥必须被安全的保护起来，只有受信任者可以使用。 使用非对称密钥生成数字签名以及验证签名：签名者将验签公钥分发给消息接收者，使用签名私钥，对数据产生签名，并将数据以及签名传递给消息接收者。消息接收者获得数据和签名后，使用公钥针对数据验证签名的合法性。 表1 KMS支持的密钥算法类型 密钥类型 算法类型 密钥规格 说明 用途 对称密钥 AES AES_256 AES对称密钥 小量数据的加解密或用于加解密数据密钥。 对称密钥 SM4 SM4 国密SM4对称密钥 小量数据的加解密或用于加解密数据密钥。 摘要密钥 SHA HMAC_256 HMAC_384 HMAC_512 SHA摘要密钥 数据防篡改 数据完整性校验 摘要密钥 SM3 HMAC_SM3 国密SM3摘要密钥 数据防篡改 数据完整性校验 非对称密钥 RSA RSA_2048 RSA_3072 RSA_4096 RSA非对称密钥 小量数据的加解密或数字签名。 ECC EC_P256 EC_P384 椭圆曲线密码，使用NIST推荐的椭圆曲线 数字签名 非对称密钥 SM2 SM2 国密SM2非对称密钥 小量数据的加解密或数字签名。 父主题： 密钥管理

约束条件 凭据类型为轮转凭据。 凭据账号必须是目标数据库里已存在的数据库账号。 首次开启轮转时，当用户确认授权后，C SMS 会在当前区域当前项目下，帮助用户自动创建委托授权。因此，用户需要确认账号拥有 IAM 相关权限：iam:permissions:grantRoleToAgencyOnProject、iam:agencies:listAgencies、iam:roles:listRoles、iam:agencies:createAgency、iam:permissions:checkRoleForAgencyOnProject、iam:roles:createRole。 根据轮转凭据类型不同，创建的委托不同： RDS凭据 创建一个名为CSMSAccessFunctionGraph的委托 ，账号是op_svc_kms，权限名称是CSMSAccessFunctionGraph，使用项目级服务策略，包含函数工作流服务（FunctionGraph）的同步执行函数的权限（functiongraph:function:invoke）。 创建一个名为FunctionGraphAgencyForRotateRDSByCSMSV3委托 ，云服务是FunctionGraph，权限名称是FunctionGraphAgencyForRotateRDSByCSMSV3，使用项目级服务策略，包含： 凭据管理服务（CSMS）的相关权限：csms:secret:getVersion、csms:secret:listVersion、csms:secret:createVersion、csms:secret:getStage、csms:secret:get、csms:secret:updateStage。 虚拟私有云云服务（VPC）的相关权限：vpc:ports:create、vpc:vpcs:get、vpc:ports:get、vpc:ports:delete、vpc:subnets:get。 密钥管理服务（KMS）的相关权限：kms:cmk:createDataKey、kms:cmk:decryptDataKey。 云数据库（RDS）的相关权限：rds:password:update。 TaurusDB凭据 创建一个名为CSMSAccessFunctionGraph的委托 ，账号是op_svc_kms，权限名称是CSMSAccessFunctionGraph，使用项目级服务策略，包含函数工作流服务（FunctionGraph）的同步执行函数的权限（functiongraph:function:invoke）。 创建一个名为FunctionGraphAgencyForRotateGaussDBByCSMSV3委托 ，云服务是FunctionGraph，权限名称是FunctionGraphAgencyForRotateGaussDBByCSMSV3，使用项目级服务策略，包含： 凭据管理服务（CSMS）的相关权限：csms:secretVersion:get、csms:secretVersion:list、csms:secretVersion:create、csms:secretStage:get、csms:secret:get、csms:secretStage:update。 虚拟私有云云服务（VPC）的相关权限：vpc:ports:create、vpc:vpcs:get、vpc:ports:get、vpc:ports:delete、vpc:subnets:get。 密钥管理服务（KMS）的相关权限：kms:dek:create、kms:dek:decrypt。 云数据库TaurusDB的相关权限：gaussdb:user:modify。

约束条件 用户最多可创建200个凭据。 默认使用凭据管理为您创建的默认密钥“csms/default”作为当前凭据的加密密钥。您也可以前往KMS服务页面创建自定义对称密钥，并使用自定义加密密钥。 RDS凭据支持的数据库引擎为：MySQL。 TaurusDB凭据支持选择TaurusDB类型数据库。 首次开启轮转时，当用户确认授权后，CSMS会在当前区域当前项目下，帮助用户自动创建委托授权。因此，用户需要确认账号拥有IAM相关权限：iam:permissions:grantRoleToAgencyOnProject、iam:agencies:listAgencies、iam:roles:listRoles、iam:agencies:createAgency、iam:permissions:checkRoleForAgencyOnProject、iam:roles:createRole。 根据轮转凭据类型不同，创建的委托不同： RDS凭据 创建一个名为CSMSAccessFunctionGraph的委托 ，账号是op_svc_kms，权限名称是CSMSAccessFunctionGraph，使用项目级服务策略，包含函数工作流服务（FunctionGraph）的同步执行函数的权限（functiongraph:function:invoke）。 创建一个名为FunctionGraphAgencyForRotateRDSByCSMSV3委托 ，云服务是FunctionGraph，权限名称是FunctionGraphAgencyForRotateRDSByCSMSV3，使用项目级服务策略，包含： 凭据管理服务（CSMS）的相关权限：csms:secret:getVersion、csms:secret:listVersion、csms:secret:createVersion、csms:secret:getStage、csms:secret:get、csms:secret:updateStage。 虚拟私有云云服务（VPC）的相关权限：vpc:ports:create、vpc:vpcs:get、vpc:ports:get、vpc:ports:delete、vpc:subnets:get。 密钥管理服务（KMS）的相关权限：kms:cmk:createDataKey、kms:cmk:decryptDataKey。 云数据库（RDS）的相关权限：rds:password:update。 TaurusDB凭据 创建一个名为CSMSAccessFunctionGraph的委托 ，账号是op_svc_kms，权限名称是CSMSAccessFunctionGraph，使用项目级服务策略，包含函数工作流服务（FunctionGraph）的同步执行函数的权限（functiongraph:function:invoke）。 创建一个名为FunctionGraphAgencyForRotateGaussDBByCSMSV3委托 ，云服务是FunctionGraph，权限名称是FunctionGraphAgencyForRotateGaussDBByCSMSV3，使用项目级服务策略，包含： 凭据管理服务（CSMS）的相关权限：csms:secretVersion:get、csms:secretVersion:list、csms:secretVersion:create、csms:secretStage:get、csms:secret:get、csms:secretStage:update。 虚拟私有云云服务（VPC）的相关权限：vpc:ports:create、vpc:vpcs:get、vpc:ports:get、vpc:ports:delete、vpc:subnets:get。 密钥管理服务（KMS）的相关权限：kms:dek:create、kms:dek:decrypt。 云数据库TaurusDB的相关权限：gaussdb:user:modify。

双用户轮转 双用户轮转多用于轮转频次较高、轮转可靠性要求高的账号，托管两个相同权限的账号，每次轮转SYSPREVIOUS的凭据版本，保证密码重置切换的瞬间，程序访问不被中断。在轮转时先将新版本的凭据改为SYSPENDING状态，通过调用RDS接口重置密码，重置完成后新版本凭据的SYSPENDING状态会改为SYSCURRENT，之前SYSCURRENT状态的凭据变为SYSPREVIOUS，即视为完成整个轮转流程。 在创建时选择或者新建两个数据库账户作为凭据值储存 两个凭据值交替轮转，用户每次都是去获取的SYSCURRENT的凭据值

轮转凭据使用流程 流程说明： 创建一个轮转凭据。 设置凭据名称、标签等。 配置自动轮转策略。 应用系统在使用过程中需要访问数据库时，可以向CSMS服务请求访问凭据，获取凭据值，调用API接口详情请参见查询凭据版本和凭据值。 应用系统通过访问返回的凭据值解析明文数据，获取账号和密码后，可以访问该用户对应的目标数据库。 开启自动轮转后，数据库实例所托管的密码将定时轮转更新，请确认使用该数据库实例的应用端已完成代码适配，可在数据库连接建立时，动态获取最新凭据。 不要轻易缓存凭据中的任何信息，避免账号密码轮转后失效，导致数据库连接失败。

使用限制 单账号跟踪的事件可以通过 云审计 控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或 云日志 服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。

开启操作保护 登录管理控制台。 在“控制台”页面右上方的用户名处，在下拉列表中选择“安全设置”。 图1 安全设置 进入“安全设置”页面，单击“敏感操作”进入页面。在“操作保护”行，单击“立即启用”。 进入“操作保护设置”页面，选择“开启”，单击“确定”后，开启操作保护。 开启后，您以及账号中的IAM用户进行敏感操作时，例如查看凭据值、删除密钥等，需要输入验证码进行验证，避免误操作带来业务风险与损失。 用户如果进行敏感操作，将进入“操作保护”页面，选择认证方式，包括邮箱、手机和虚拟MFA三种认证方式。 如果用户只绑定了手机，则认证方式只能选择手机。 如果用户只绑定了邮箱，则认证方式只能选择邮件。 如果用户未绑定邮箱、手机和虚拟MFA，进行敏感操作时，华为云将提示用户绑定邮箱、手机或虚拟MFA。 如需修改验证手机、邮箱、虚拟MFA设备，请在账号中修改。

标签策略简介 标签策略是策略的一种类型，可帮助您在组织账号中对资源添加的标签进行标准化管理。标签策略对未添加标签的资源或未在标签策略中定义的标签不会生效。 例如：标签策略规定为某资源添加的标签A，需要遵循标签策略中定义的大小写规则和标签值。如果标签A使用的大小写、标签值不符合标签策略，则资源将会被标记为不合规。 标签策略有如下两种应用方式： 1. 事后检查 —— 资源标签如果违反标签策略，则在资源在合规性结果中显示为不合规。 2. 事前拦截 —— 标签策略开启强制执行后，则会阻止在指定的资源类型上完成不合规的标记操作。

标签命名规则 每个标签由一对键值对（Key-Value）组成。 每个数据加密服务资源最多可以添加20个标签。 对于每个资源，每个标签键（Key）都必须是唯一的，每个标签键（Key）只能有一个值（Value）。 标签共由两部分组成：“标签键”和“标签值”，其中，“标签键”和“标签值”的命名规则如表 标签参数说明所示。 标签以键值对的形式表示，用于标识存储库，便于对存储库进行分类和搜索。此处的标签仅用于存储库的过滤和管理。一个存储库最多添加10个标签。 如您的组织已经设定数据加密服务的相关标签策略，则需按照标签策略规则为密钥、凭据等添加标签。标签如果不符合标签策略的规则，则可能会导致密钥、凭据创建失败，请联系组织管理员了解标签策略详情。 表1 标签参数说明 参数 规则 样例 标签键 必填。 对于同一个自定义密钥，标签键唯一。 长度不超过128个字符。 首尾不能包含空格。 不能以_sys_开头。 可以包含以下字符： 中文 英文 数字 空格 特殊字符_.:=+-@ cost 标签值 可以为空。 长度不超过255个字符。 可以包含以下字符： 中文 英文 数字 空格 特殊字符_.:=+-@ 100

密钥所有者和接受者权限说明 密钥所有者可以对密钥执行任何操作，接受者仅可以执行部分操作，接受者支持的操作说明如表 密钥接受者支持的操作列表所示。 表1 密钥接受者支持的操作列表 角色 支持的操作 操作说明 接受者 kms:cmk:get 通过控制台或API进行访问 kms:cmk:createDataKey 仅能通过API访问 kms:cmk:createDataKeyWithoutPlaintext 仅能通过API访问 kms:cmk:encryptDataKey 仅能通过API访问 kms:cmk:decryptDataKey 仅能通过API访问 kms:cmk:encryptData 通过控制台或API进行访问 kms:cmk:decryptData 通过控制台或API进行访问 kms:cmk:sign 仅能通过API访问 kms:cmk:verify 仅能通过API访问 kms:cmk:generateMac 仅能通过API访问 kms:cmk:verifyMac 仅能通过API访问 kms:cmk:getPublicKey 通过控制台或API进行访问 kms:cmk:getRotation 通过控制台或API进行访问 kms:cmk:getTags 通过控制台或API进行访问

数据加密服务监控指标 表1 密钥管理支持的监控指标 指标ID 指标名称 指标含义 取值范围 测量对象 监控周期（原始指标） delkey_remaing_time 密钥剩余时间 该指标表示计划删除状态的密钥距离被删除还剩下的时间 ≥ 0 小时 密钥 5分钟 matrial_remaing_time 密钥材料的剩余有效时间 该指标表示外部导入的密钥材料的剩余有效时间 ≥ 0 小时 密钥 5分钟 charge_access_count 计费请求次数 该指标表示所有计费请求次数 ≥ 0 小时 密钥 5分钟 表2 凭据管理支持的监控指标 指标ID 指标名称 指标含义 取值范围 测量对象 监控周期（原始指标） del_secret_remaining_time 计划删除凭据剩余时间 该指标表示计划删除凭据的剩余时间 ≥ 0 小时 凭据 5分钟

相关操作 对象存储服务中对象的服务端加密方法，具体请参见《对象存储服务控制台指南》的“使用服务端加密方式上传文件”章节。 云硬盘中数据加密方法，具体请参见《云硬盘用户指南》的“购买云硬盘”章节。 私有镜像的加密方法，具体请参见《 镜像服务 用户指南》的“加密镜像”章节。 云数据库中数据库实例的磁盘加密方法，具体请参见《云数据库RDS快速入门》的“购买实例”章节。 创建DEK、不含明文的DEK方法，具体请参见《数据加密服务API参考》的“创建数据密钥”与“创建不含明文数据密钥”章节。 用户应用程序的DEK加解密方法，具体请参见《数据加密服务API参考》的“加密数据密钥”与“解密数据密钥”章节。

约束条件 用户最多可创建100个自定义密钥，不包含默认密钥。创建副本密钥会占用该区域自定义密钥配额。 创建的对称密钥使用的是AES算法密钥，AES-256密钥可用于小量数据的加解密或用于加解密数据密钥，HMAC密钥用于数据完成性校验。 创建的非对称密钥使用的是RSA密钥或ECC密钥，RSA密钥可用于加解密、数字签名及验签，ECC密钥仅用于数字签名及验签。 因为默认密钥的别名后缀为“/default”，所以用户创建的密钥别名后缀不能为“/default”。 通过API接口方式调用KMS密钥时，每月每个密钥可免费调用20000次。。

DEW自定义策略样例 示例：授权用户创建密钥 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "kms:cmk:create", "kms:cmk:getMaterial", "kms:cmkTag:create", "kms:cmkTag:batch", "kms:cmk:importMaterial" ] } ] }

约束条件 购买专属加密实例时，需要通过提交工单的方式设置“UKey接收信息”。只有拥有“Ticket Administrator”权限的账号才可以提交工单。 购买铂金版（国内）专属加密实例成功后，华为 云安全 专家会联系您。您可以提供Ukey收件地址，华为云会通过您提供的地址将配套的Uke邮寄给您。 铂金版（国内）专属加密实例仅支持包年/包月付费方式，购买后不能直接删除。 为了保障业务的高可靠性，您需要至少购买两个及以上专属加密实例，一个专属加密实例仅适用于测试，如需购买一个专属加密实例请联系华为云安全专家。

约束条件 标准版专属加密实例仅支持包年/包月付费方式，购买后不能直接删除。 为了保障业务的高可靠性，您需要至少购买两个及以上专属加密实例，一个专属加密实例仅适用于测试，如需购买一个专属加密实例请联系华为云安全专家。 购买专属加密实例时，需要通过提交工单的方式设置“UKey接收信息”。 购买成功后，华为云将按照您提供的Ukey收件地址将规划的Ukey邮寄给您，您可以使用Ukey初始化并授权您的业务APP访问专属加密实例。 同时，您需要激活专属加密实例，激活后，系统会为您分配符合您业务需求的专属加密实例。

前提条件 在实例化专属加密实例后，用户需要获取以下信息，初始化专属加密实例、安装安全代理软件并授权。 表1 信息获取 名称 说明 来源 Ukey 保存专属加密实例的权限管理信息。 订单付款后，且实例化专属加密实例成功后，由专属加密服务邮寄到您的Ukey收件地址。 专属加密实例管理工具 配合Ukey，远程管理专属加密实例。 安全专家会通过您提供的联系方式联系您，将配套的软件和相关指导文档发送给您。 专属加密实例配套文档 《专属加密实例用户手册》和《专属加密实例安装手册》。 安全代理软件 与专属加密实例建立安全通道。 SDK 用于提供专属加密实例的API接口，用户通过调用SDK与专属加密实例建立安全连接。 专属加密实例管理节点（例如：ECS） 运行专属加密实例管理工具，与专属加密实例处于同一VPC，并分配弹性IP地址用于远程连接。 请您根据自己的需要进行购买，详细操作请参见购买弹性云服务器。 业务APP节点（例如：ECS） 运行安全代理软件和用户的业务APP，与专属加密实例处于同一VPC。