华为云用户手册

设置方式 修改lib目录下的OBS.ini，配置日志的大小、个数以及级别（其中*_Run参数的配置为最常用的配置项）： ;Every line must be less than 1024 [LogConfig] ;Log Size: unit=KB, 10MB = 10KB * 1024 = 10240KB LogSize_Interface=10240 LogSize_Operation=10240 LogSize_Run=10240 ;Log Num LogNum_Interface=10 LogNum_Operation=10 LogNum_Run=10 ;Log level: debug = 0,info = 1,warn = 2,error = 3 LogLevel_Interface=0 LogLevel_Operation=0 LogLevel_Run=0 ;LogFilePermission LogFilePermission=0600 [ProductConfig] ;Product Name sdkname=eSDK-OBS-API-Linux-C [LogPath] ;Log Path is relative to the path of configuration file LogPath=../logs

其他日志相关配置 Windows下，OBS.ini中LogPath字段可以以wchar_t格式读取，需要通过设置文件路径编码来实现，案例如下： set_file_path_code(UNICODE_CODE);//默认是ANSI_CODE 设置后，以下方法的本地文件路径也需要是wchar_t类型（参数是以char*格式传入，内部处理逻辑是wchar_t） 表1 影响函数 说明 download_file 参数download_file_config的downLoad_file、check_point_file成员需要是wchar_t类型，以char*格式传入 upload_file 参数upload_file_config的upload_file、check_point_file成员需要是wchar_t类型，以char*格式传入 set_obs_log_path 参数log_path需要是wchar_t类型，以char*格式传入

OBS服务端错误码(C SDK) 在向OBS服务端发出请求后，如果遇到错误，会在响应中包含响应的错误码描述错误信息。详细的错误码及其对应的描述和HTTP状态码见下表： HTTP状态码 错误码 错误信息 处理措施 301 Moved Permanently PermanentRedirect 尝试访问的桶必须使用指定的地址，请将以后的请求发送到这个地址。 按照返回的重定向地址发送请求。 301 Moved Permanently WebsiteRedirect Website请求缺少bucketName。 携带桶名后重试。 307 Moved Temporarily TemporaryRedirect 临时重定向，当DNS更新时，请求将被重定向到桶。 会自动重定向，也可以将请求发送到重定向地址。 400 Bad Request BadDigest 客户端指定的对象内容的MD5值与系统接收到的内容MD5值不一致。 检查头域中携带的MD5与消息体计算出来的MD5是否一致。 400 Bad Request BadDomainName 域名 不合法。 使用合法的域名。 400 Bad Request BadRequest 请求参数不合法。 根据返回的错误消息体提示进行修改。 400 Bad Request CustomDomainAreadyExist 配置了已存在的域。 已经配置过了，不需要再配置。 400 Bad Request CustomDomainNotExist 删除不存在的域。 未配置或已经删除，无需删除。 400 Bad Request EntityTooLarge 用户POST上传的对象大小超过了条件允许的最大大小。 修改POST上传的policy中的条件或者减少对象大小。 400 Bad Request EntityTooSmall 用户POST上传的对象大小小于条件允许的最小大小。 修改POST上传的policy中的条件或者增加对象大小。 400 Bad Request IllegalLocationConstraintException 用户未带Location在非默认Region创桶。 请求发往默认Region创桶或带非默认Region的Location创桶。 400 Bad Request IncompleteBody 由于网络原因或其他问题导致请求体未接受完整。 重新上传对象。 400 Bad Request IncorrectNumberOfFilesInPost Request 每个POST请求都需要带一个上传的文件。 带上一个上传文件。 400 Bad Request InvalidArgument 无效的参数。 根据返回的错误消息体提示进行修改。 400 Bad Request InvalidBucket 请求访问的桶已不存在。 更换桶名。 400 Bad Request InvalidBucketName 请求中指定的桶名无效，超长或带不允许的特殊字符。 更换桶名。 400 Bad Request InvalidEncryptionAlgorithmError 错误的加密算法。下载SSE-C加密的对象，携带的加密头域错误，导致不能解密。 携带正确的加密头域下载对象。 400 Bad Request InvalidLocationConstraint 创建桶时，指定的Location不合法或不存在。 指定正确的Location创桶。 400 Bad Request InvalidPart 一个或多个指定的段无法找到。这些段可能没有上传，或者指定的entity tag与段的entity tag不一致。 按照正确的段和entity tag合并段。 400 Bad Request InvalidPartOrder 段列表的顺序不是升序，段列表必须按段号升序排列。 按段号升序排列后重新合并。 400 Bad Request InvalidPolicyDocument 表单中的内容与策略文档中指定的条件不一致。 根据返回的错误消息体提示修改构造表单的policy重试。 400 Bad Request InvalidRedirectLocation 无效的重定向地址。 指定正确的地址。 400 Bad Request InvalidRequest 无效请求。 根据返回的错误消息体提示进行修改。 400 Bad Request InvalidRequestBody 请求体无效，需要消息体的请求没有上传消息体。 按照正确的格式上传消息体。 400 Bad Request InvalidTargetBucketForLogging delivery group对目标桶无ACL权限。 对目标桶配置ACL权限后重试。 400 Bad Request KeyTooLongError 提供的Key过长。 使用较短的Key。 400 Bad Request KMS.DisabledException SSE-KMS加密方式下，主密钥被禁用。 更换密钥后重试，或联系技术支持。 400 Bad Request KMS.NotFoundException SSE-KMS加密方式下，主密钥不存在。 携带正确的主密钥重试。 400 Bad Request MalformedACLError 提供的XML格式错误，或者不符合要求的格式。 使用正确的XML格式重试。 400 Bad Request MalformedError 请求中携带的XML格式不正确。 使用正确的XML格式重试。 400 Bad Request MalformedLoggingStatus Logging的XML格式不正确。 使用正确的XML格式重试。 400 Bad Request MalformedPolicy Bucket policy检查不通过。 根据返回的错误消息体提示结合桶policy的要求进行修改。 400 Bad Request MalformedQuotaError Quota的XML格式不正确。 使用正确的XML格式重试。 400 Bad Request MalformedXML 当用户发送了一个配置项的错误格式的XML会出现这样的错误。 使用正确的XML格式重试。 400 Bad Request MaxMessageLengthExceeded 拷贝对象，带请求消息体。 拷贝对象不带消息体重试。 400 Bad Request MetadataTooLarge 元数据消息头超过了允许的最大元数据大小。 减少元数据消息头。 400 Bad Request MissingRegion 请求中缺少Region信息，且系统无默认Region。 请求中携带Region信息。 400 Bad Request MissingRequestBodyError 当用户发送一个空的XML文档作为请求时会发生。 提供正确的XML文档。 400 Bad Request MissingRequiredHeader 请求中缺少必要的头域。 提供必要的头域。 400 Bad Request MissingSecurityHeader 请求缺少一个必须的头。 提供必要的头域。 400 Bad Request TooManyBuckets 用户拥有的桶的数量达到了系统的上限，并且请求试图创建一个新桶。 删除部分桶后重试。 400 Bad Request TooManyCustomDomains 配置了过多的用户域 删除部分用户域后重试。 400 Bad Request TooManyWrongSignature 因高频错误请求被拒绝服务。 更换正确的Access Key后重试。 400 Bad Request UnexpectedContent 该请求需要消息体而客户端没带，或该请求不需要消息体而客户端带了。 根据说明重试。 400 Bad Request UserKeyMustBeSpecified 该操作只有特殊用户可使用。 请联系技术支持。 403 Forbidden AccessDenied 拒绝访问，请求没有携带日期头域或者头域格式错误。 请求携带正确的日期头域。 403 Forbidden AccessForbidden 权限不足，桶未配置CORS或者CORS规则不匹配。 修改桶的CORS配置，或者根据桶的CORS配置发送匹配的OPTIONS请求。 403 Forbidden AllAccessDisabled 用户无权限执行某操作。桶名为禁用关键字。 更换桶名。 403 Forbidden DeregisterUserId 用户已经注销。 充值或重新开户。 403 Forbidden InArrearOrInsufficientBalance 用户欠费或余额不足而没有权限进行某种操作。 充值。 403 Forbidden InsufficientStorageSpace 存储空间不足。 超过配额限制，增加配额或删除部分对象。 403 Forbidden InvalidAccessKeyId 系统记录中不存在客户提供的Access Key Id。 携带正确的Access Key Id。 403 Forbidden NotSignedUp 你的账户还没有在系统中注册，必须先在系统中注册了才能使用该账户。 先注册OBS服务。 403 Forbidden RequestTimeTooSkewed 请求的时间与服务器的时间相差太大。 检查客户端时间是否与当前时间相差太大。 403 Forbidden SignatureDoesNotMatch 请求中带的签名与系统计算得到的签名不一致。 检查你的Secret Access Key和签名计算方法。 403 Forbidden Unauthorized 用户未实名认证。 请实名认证后重试。 404 Not Found NoSuchBucket 指定的桶不存在。 先创桶再操作。 404 Not Found NoSuchBucketPolicy 桶policy不存在。 先配置桶policy。 404 Not Found NoSuchCORSConfiguration CORS配置不存在。 先配置CORS。 404 Not Found NoSuchCustomDomain 请求的用户域不存在。 先设置用户域。 404 Not Found NoSuchKey 指定的Key不存在。 先上传对象。 404 Not Found NoSuchLifecycleConfiguration 请求的LifeCycle不存在。 先配置LifeCycle。 404 Not Found NoSuchUpload 指定的多段上传不存在。Upload ID不存在，或者多段上传已经终止或完成。 使用存在的段或重新初始化段。 404 Not Found NoSuchVersion 请求中指定的version ID与现存的所有版本都不匹配。 使用正确的version ID。 404 Not Found NoSuchWebsiteConfiguration 请求的Website不存在。 先配置Website。 405 Method Not Allowed MethodNotAllowed 指定的方法不允许操作在请求的资源上。 对应返回的Message为：Specified method is not supported. 方法不允许。 408 Request Timeout RequestTimeout 用户与Server之间的socket连接在超时时间内没有进行读写操作。 检查网络后重试，或联系技术支持。 409 Conflict BucketAlreadyExists 请求的桶名已经存在。桶的命名空间是系统中所有用户共用的，选择一个不同的桶名再重试一次。 更换桶名。 409 Conflict BucketAlreadyOwnedByYou 发起该请求的用户已经创建过了这个名字的桶，并拥有这个桶。 不需要再创桶了。 409 Conflict BucketNotEmpty 用户尝试删除的桶不为空。 先删除桶中对象，然后再删桶。 409 Conflict InvalidBucketState 无效的桶状态，配置跨Region复制后不允许关闭桶多版本。 不关闭桶的多版本或取消跨Region复制。 409 Conflict OperationAborted 另外一个冲突的操作当前正作用在这个资源上，请重试。 等待一段时间后重试。 409 Conflict ServiceNotSupported 请求的方法服务端不支持。 服务端不支持，请联系技术支持。 411 Length Required MissingContentLength 必须要提供HTTP消息头中的Content-Length字段。 提供Content-Length消息头。 412 Precondition Failed PreconditionFailed 用户指定的先决条件中至少有一项没有包含。 根据返回消息体中的Condition提示进行修改。 416 Client Requested Range Not Satisfiable InvalidRange 请求的range不可获得。 携带正确的range重试。 500 Internal Server Error InternalError 系统遇到内部错误，请重试。 请联系技术支持。 501 Not Implemented ServiceNotImplemented 请求的方法服务端没有实现。 当前不支持，请联系技术支持。 503 Service Unavailable ServiceUnavailable 服务器过载或者内部错误异常。 等待一段时间后重试，或联系技术支持。 503 Service Unavailable SlowDown 请降低请求频率。 请降低请求频率。 父主题： 异常处理(C SDK)

生命周期管理简介(C SDK) 开发过程中，您有任何问题可以在github上提交issue，或者在华为云 对象存储服务 论坛中发帖求助。 OBS允许您对桶设置生命周期规则，实现自动转换对象的存储类别、自动淘汰过期的对象，以有效利用存储特性，优化存储空间。针对不同前缀的对象，您可以同时设置多条规则。一条规则包含 规则ID，用于标识一条规则，不能重复。 受影响的对象前缀，此规则只作用于符合前缀的对象。 最新版本对象的转换策略，指定方式为： 指定满足前缀的对象创建后第几天时转换为指定的存储类别。 直接指定满足前缀的对象转换为指定的存储类别的日期。 最新版本对象过期时间，指定方式为： 指定满足前缀的对象创建后第几天时过期。 直接指定满足前缀的对象过期日期。 历史版本对象转换策略，指定方式为： 指定满足前缀的对象成为历史版本后第几天时转换为指定的存储类别。 历史版本对象过期时间，指定方式为： 指定满足前缀的对象成为历史版本后第几天时过期。 是否生效标识。 更多关于生命周期的内容请参考生命周期管理。 对象过期后会被OBS服务端自动删除。 对象转换策略中的时间必须早于对象过期时间；历史版本对象转换策略中的时间也必须早于历史版本对象的过期时间。 桶必须开启多版本状态，历史版本对象转换策略和历史版本对象过期时间配置才能生效。 父主题： 生命周期管理(C SDK)

接口约束 OBS支持的Region与Endpoint的对应关系，详细信息请参见地区与终端节点。 如果遇到跨域报错、签名不匹配问题，请参考以下步骤排查问题： 未配置跨域，需要在控制台配置CORS规则，请参考配置桶允许跨域请求。 签名计算问题，请参考URL中携带签名排查签名参数是否正确；比如上传对象功能，后端将Content-Type参与计算签名生成授权URL，但是前端使用授权URL时没有设置Content-Type字段或者传入错误的值，此时会出现跨域错误。解决方案为：Content-Type字段前后端保持一致。

功能说明 临时授权访问是指通过访问密钥、请求方法类型、请求参数等信息生成一个临时访问权限的URL，这个URL中会包含鉴权信息，您可以使用该URL进行访问OBS服务进行特定操作。在生成URL时，您需要指定URL的有效期。生成临时授权访问的URL是通过设置结构体temp_auth_configure来实现的。 temp_auth_configure结构体存在于obs_options结构体中。该方法适用于每个C SDK接口。 参数 作用 SDK中对应的结构体 expires 生成的临时URL的有效期 obs_options. temp_auth_configure temp_auth_callback 回调函数用于返回生成的临时URL callback_data 回调数据

配置SDK日志(C SDK) 开发过程中，您有任何问题可以在github上提交issue，或者在华为云对象存储服务论坛中发帖求助。 OBS C SDK的日志路径是通过OBS.ini中LogPath字段指定的，日志默认生成于与C SDK动态库lib目录同级的logs目录中，OBS.ini文件应与动态库（libeSDKLogAPI.so）同一目录。 OBS C SDK支持通过set_obs_log_path来指定日志路径，该方法存在两个参数，第一个参数为指定的路径，第二个参数为判断设定路径方式的信号，当该信号为True时，SDK将在第一个参数给定的路径下寻找OBS.ini进行日志配置，当该信号为Fasle时，SDK将在第一个参数给定的路径下生成OBS.ini和日志文件。 您可以从 日志分析 (C SDK)章节获取更多关于SDK日志的信息。 父主题： 初始化(C SDK)

初始化SDK(C SDK) 开发过程中，您有任何问题可以在github上提交issue，或者在华为云对象存储服务论坛中发帖求助。 OBS客户端（ObsClient）是访问OBS服务的C客户端，它为调用者提供一系列与OBS服务进行交互的接口，用于管理、操作桶（Bucket）和对象（Object）等OBS服务上的资源。 使用OBS C SDK发起OBS请求，您需要先调用初始化接口，在进程退出的时候调用取消初始化的接口，释放资源。 在使用C SDK前要先调用初始化接口obs_initialize，而且进程中只需要调用一次： obs_status ret_status = OBS_STATUS_BUTT; ret_status = obs_initialize(OBS_INIT_ALL); if (OBS_STATUS_OK != ret_status) { printf("obs_initialize failed(%s).\n", obs_get_status_name(ret_status)); return ret_status; } obs_deinitialize(); // 请不要多次调用obs_initialize和obs_deinitialize，否则会导致程序访问无效的内存 父主题： 初始化(C SDK)

配置密钥(C SDK) 开发过程中，您有任何问题可以在github上提交issue，或者在华为云对象存储服务论坛中发帖求助。 要接入OBS服务，您需要拥有一组有效的访问密钥（AK和SK）用来进行签名认证。具体可参考OBS服务环境搭建(C SDK)。 获取AK和SK之后，您便可以按照以下步骤进行初始化。 初始化SDK(C SDK) 配置option(C SDK) 配置SDK日志(C SDK) 父主题： 初始化(C SDK)

OBS服务环境搭建(C SDK) 开发过程中，您有任何问题可以在github上提交issue，或者在华为云对象存储服务论坛中发帖求助。 注册云服务账号 使用OBS之前必须要有一个云服务账号。 打开浏览器。 登录公有云网站www.huaweicloud.com。 在页面右上角单击“注册”。 按需填写注册信息并单击“同意协议并注册”。 开通OBS服务 使用OBS服务之前必须先充值，才能正常使用OBS服务。 登录OBS管理控制台。 单击页面右上角的“费用”进入费用中心页面。 单击“充值”，系统自动跳转到充值窗口。 根据界面提示信息，对账户进行充值。 充值成功后，关闭充值窗口，返回管理控制台首页。 单击“对象存储服务”，开通并进入OBS管理控制台。 创建访问密钥 OBS通过用户账号中的AK和SK进行签名验证，确保通过授权的账号才能访问指定的OBS资源。以下是对AK和SK的解释说明： AK：Access Key ID，接入键标识，用户在对象存储服务系统中的接入键标识，一个接入键标识唯一对应一个用户，一个用户可以同时拥有多个接入键标识。对象存储服务系统通过接入键标识识别访问系统的用户。 SK：Secret Access Key，安全接入键，用户在对象存储服务系统中的安全接入键，是用户访问对象存储服务系统的密钥，用户根据安全接入键和请求头域生成鉴权信息。安全接入键和接入键标识一一对应。 访问密钥分永久访问密钥（AK/SK）和临时访问密钥（AK/SK和SecurityToken）两种。每个用户最多可创建两个有效的永久访问密钥。临时访问密钥只在设置的有效期内能够访问OBS，过期后需要重新获取。出于安全性考虑，建议您使用临时访问密钥访问OBS，或使用永久访问密钥访问OBS时，定期更新您的访问密钥（AK/SK）。两种密钥的获取方式如下。 永久访问密钥： 登录OBS控制台。 单击页面右上角的用户名，并选择“我的凭证”。 在“我的凭证”页面，单击左侧导航栏的“访问密钥”。 在“访问密钥”页面，单击“新增访问密钥”。 在弹出的“新增访问密钥”对话框中，输入登录密码和对应验证码。 用户如果未绑定邮箱和手机，则只需输入登录密码。 用户如果同时绑定了邮箱和手机，可以选择其中一种方式进行验证。 单击“确定”。 在弹出的“下载确认”提示框中，单击“确定”后，密钥会直接保存到浏览器默认的下载文件夹中。 打开下载下来的“credentials.csv”文件即可获取到访问密钥（AK和SK）。 每个用户最多可创建两个有效的访问密钥。 为防止访问密钥泄露，建议您将其保存到安全的位置。如果用户在此提示框中单击“取消”，则不会下载密钥，后续也将无法重新下载。如果需要使用访问密钥，可以重新创建新的访问密钥。 临时访问密钥： 临时AK/SK和SecurityToken是系统颁发给用户的临时访问令牌，通过接口设置有效期，范围为15分钟至24小时，过期后需要重新获取。临时AK/SK和SecurityToken遵循权限最小化原则。使用临时AK/SK鉴权时，临时AK/SK和SecurityToken必须同时使用。 获取临时访问密钥的接口请参考获取临时AK/SK和securitytoken。 OBS属于全局级服务，所以在获取临时访问密钥时，需要设置Token的使用范围取值为domain，表示获取的Token可以作用于全局服务，全局服务不区分项目或者区域。 父主题： 快速入门(C SDK)

使用前须知 开发过程中，您有任何问题可以在github上提交issue，或者在华为云对象存储服务论坛中发帖求助。 请确认您已经熟悉OBS的基本概念，如桶（Bucket）、对象（Object）、访问密钥（AK和SK）等。 使用OBS客户端进行接口调用操作完成后，没有返回异常，则表明接口调用成功；如果返回异常，则说明操作失败，此时应从SDK错误处理(C SDK)中获取错误信息。 当前各区域特性开放不一致，部分特性只在部分区域开放，使用过程中如果接口HTTP状态码为405，请确认该区域是否支持该功能特性。

兼容性说明 3.*.* 相对于 3.0.0兼容 3.*.* 不兼容 2.*.* 3.*.* 不兼容 1.*.* arm编译环境： NAME="EulerOS" VERSION="2.0 (SP8)" ID="euleros" ID_LIKE="rhel fedora centos" VERSION_ID="2.0" PRETTY_NAME="EulerOS 2.0 (SP8)" ANSI_COLOR="0;31" 内核版本： 4.19.36-vhulk1905.1.0.h276.eulerosv2r8.aarch64 gcc/g++版本： gcc (GCC) 10.3.0/g++ (GCC) 10.3.0 linux编译环境： NAME="CentOS Linux" VERSION="7 (Core)" ID="centos" ID_LIKE="rhel fedora" VERSION_ID="7" PRETTY_NAME="CentOS Linux 7 (Core)" ANSI_COLOR="0;31" CPE_NAME="cpe:/o:centos:centos:7" HOME_URL="https://www.centos.org/" BUG_REPORT_URL="https://bugs.centos.org/" CENTOS_MANTISBT_PROJECT="CentOS-7" CENTOS_MANTISBT_PROJECT_VERSION="7" REDHAT_SUPPORT_PRODUCT="centos" REDHAT_SUPPORT_PRODUCT_VERSION="7" 内核版本： 3.10.0-957.5.1.el7.x86_64 gcc/g++版本： gcc (GCC) 10.3.0/g++ (GCC) 10.3.0 SDK二进制包编译环境如上，其余内核和操作系统的兼容性不做保证。如果有其它操作系统或者内核版本的需求，请使用开源代码自行编译。

SDK编译 获取到SDK源码后，根据使用平台来开展编译工作。 linux下： linux可以直接进入到source/eSDK_OBS_API/eSDK_OBS_API_C++/下执行下面的脚本来编译(x86和arm略有不同请注意)： export SPD LOG _VERSION=spdlog-1.12.0 #x86执行这条命令 bash build.sh sdk #arm执行这条命令 bash build_aarch.sh sdk 具体参数可见脚本内注释，生成产物为一个包含了demo代码，include，和lib的demo包（包名为sdk.tgz）。 Windows下： 使用visual studio打开source/eSDK_OBS_API/eSDK_OBS_API_C++/sln/vc100/下的sln工程，生成obs项目，即可在输出目录（可在工程属性中查看）生成huaweisecurec.lib，huaweisecurec.dll,libeSDKOBS.lib和libeSDKOBS.dll。 3.24.3之前的版本的编译的详细步骤可以参考这个链接：Windows下编译C SDK

安全检测 物联网平台 提供安全检测能力，可持续检测设备的安全威胁。本文介绍具体的安全检测项，及如何查看并处理检测出的安全风险。 检测项说明 检测项 说明 设备侧使用非加密方式接入 设备与物联网平台之间，未使用加密协议建立安全连接，可能导致中间人劫持、重放攻击，会对业务造成影响。 使用不安全的TLS版本协议 不安全的TLS协议版本（TLS v1.0、v1.1）存在可被利用的安全漏洞，可能会造成设备数据泄露等安全风险。 使用不安全的加密算法套件 当前主要检测包含以下几种不安全的加密算法套件： TLS_ECDHE_PSK_WITH_AES_128_CBC_SHA, TLS_ECDHE_PSK_WITH_AES_256_CBC_SHA, TLS_PSK_WITH_AES_128_CBC_SHA, TLS_PSK_WITH_AES_256_CBC_SHA 不安全的加密算法套件存在可被利用的安全漏洞，可能会造成设备数据泄露等安全风险。 设备侧单位时间内多次建链 设备侧在1秒内与物联网平台进行多次建链，存在设备被暴力破解，导致身份信息泄露的可能，会造成正常设备被迫下线、业务数据被窃取等安全风险。 设备鉴权失败 设备身份认证信息错误，导致设备无法上线，可能会对业务造成影响。 上述通用异常检测功能检测项开关默认开启，同时设备异常检测包括一些非公共检测项，用户可以根据需求进行检测项的开关等配置。 表1 检测项说明 检测项 说明 内存泄漏检测 检测端侧设备是否存在内存泄漏。 异常端口检测 检测端侧设备是否开启了异常端口。 CPU使用率检测 检测端侧设备CPU使用率是否过高。 磁盘空间检测 检测端侧设备磁盘空间是否不足。 电池电量检测 检测端侧设备电池电量是否过低。 恶意IP检测 检测与设备通信的IP地址是否为恶意IP地址。 本地登录检测 检测设备是否被通过非SSH等网络方式登录。 暴力破解登录检测 检测设备是否被尝试通过暴力破解账号密码进行登录。 文件篡改检测 检测设备指定目录下的文件是否被篡改。

离线分析 当设备发生离线事件时，需要对离线原因进行分析。根据离线发生的时间、设备的离线原因来统计离线设备的特征，帮助您全面了解、分析设备离线的原因。 离线原因 说明 设备侧主动离线 设备主动向物联网平台发送MQTT协议的DISCONNECT报文，进行离线。 设备侧长时间不发送心跳导致设备离线 设备侧未按照MQTT协议规定，在设置的心跳周期 * 1.5 时间范围内物联网平台发送MQTT协议层的心跳报文，导致物联网平台认为该设备链路已失效，按照协议要求，断开设备链接。 （注：心跳周期是设备侧在与物联网平台进行建链时指定的） 设备侧跟云端之间TCP链路断开，导致设备离线 物联网平台收到设备侧发送的TCP拆链报文，导致设备侧与物联网平台之间的TCP链路断开。 删除设备导致链路断开，设备离线 租户在物联网平台上对该设备进行删除，物联网平台对该设备进行断链。 冻结设备导致链路断开，设备离线 租户在物联网平台上对该设备进行冻结，物联网平台对该设备进行断链。 平台主动断开设备链路，导致设备离线 物联网平台升级期间，会主动断开设备链路。 设备与平台建立多条链路，导致老链路被断链 设备侧与物联网平台主动建立了多条链路，物联网平台将该设备侧的老链路断开，保留新建立的链路。 重置设备密钥，导致设备离线 租户在物联网平台上对该设备进行密钥重置并设置强制断链时，物联网平台对该设备进行断链。

示例 metadata: description: This is an example application for FunctionGraph. author: Serverless team homePageUrl: https://www.huaweicloud.com/product/functiongraph.html version: 1.0.0 components: - name: helloworld type: Huawei::FunctionGraph::Function properties: region: cn-east-4 codeUri: https://test-wkx.obs.cn-north-4.myhuaweicloud.com/helloworld.zip projectID: 0531e14952000f742f3ec0088c4b25cf handler: index.handler runtime: Python3.9 memorySize: 256 timeout: 60 userData: key1: value1 key2: value2 encryptedUserData: '{"nonce": "ZEUOREFaiahRbMz+K9xQwA==", "header": "aGVhZGVy", "ciphertext": "SCxXsffvpU1BF2Ci8a2RedNQ", "tag": "a+EYRVPOsQ+YpQkMuFg1wA=="}' initializerTimeout: 30 initializerHandler: index.init_handler strategyConfig: concurrency: 80 concurrentNum: 20

详解 函数配置在cam.yaml的properties属性下，当前支持的函数配置详解如下： 参数 是否必须 是否更新 描述 region 是 否 调用函数所在region。 codeUri 是 否 函数代码地址。该值为函数代码包在OBS上的地址。 projectID 是 否 租户Project ID。 handler 是 是 函数执行入口。 runtime 是 否 FunctionGraph函数的执行环境支持Node.js6.10、Python2.7、Python3.6、PHP7.3、Java8、Node.js 8.10、C#.NET Core 2.0、C#.NET Core 2.1。 Python2.7: Python语言2.7版本。 Python3.6: Python语言3.6版本。 PHP7.3: Php语言7.3版本。 Java8: Java语言8版本。 Node.js6.10: Nodejs语言6.10版本。 Node.js8.10: Nodejs语言8.10版本。 C#(.NET Core 2.0): C#语言2.0版本。 C#(.NET Core 2.1): C#语言2.1版本。 C#(.NET Core 3.1): C#语言3.1版本。 Custom: 自定义运行时。 memorySize 是 是 函数内存，单位M。 枚举值： 128、256、512、768、1024、1280、1536、1792、2048、2560、3072、3584、4096 timeout 是 是 函数运行超时时间，单位秒，范围3～900秒。 userData 否 是 用户自定义的name/value信息，在函数中使用的参数。 encryptedUserData 否 是 用户自定义的name/value信息，用于需要加密的配置。 initializerTimeout 否 是 初始化超时时间,超时函数将被强行停止,范围1~300秒。 initializerHandler 否 是 函数初始化入口,规则:xx.xx,必须包含“. ”。 举例:对于node.js函数:myfunction.initializer,则表示函数的文件名为myfunction.js,初始化的入口函数名为initializer。 concurrentNum 否 是 函数单实例并发数。 concurrency 否 是 单函数最大实例数，0禁用函数，-1无限制，例100，该函数最大实例数100（普通实例+预留实例）。 当前cam.yaml不支持VPC、委托、磁盘挂载和动态内存配置的更新，如果函数需要使用VPC、委托或者磁盘挂载和动态内存请在函数界面手动配置，在使用函数更新流水线时会保留VPC、委托、磁盘挂载和动态内存配置，不会覆盖掉。 为了避免在cam.yaml中明文显示函数的加密配置-encryptedUserData，该CICD使用了AES对称加密的GCM模式对encryptedUserData明文内容进行加密，加密输出配置为cam.yaml中encryptedUserData项对应的值。在functions仓库和“函数更新流水线”中encryptedUserData的值以密文传输，在最后部署更新函数时解密更新，所以在执行“函数更新流水线”时需提供AES加密时使用的Key。示例如下： encryptedUserData明文： '{"password":"123"}' 使用AES-GCM加密后： {"nonce": "ZEUOREFaiahRbMz+K9xQwA==", "header": "aGVhZGVy", "ciphertext": "SCxXsffvpU1BF2Ci8a2RedNQ", "tag": "a+EYRVPOsQ+YpQkMuFg1wA=="}，其中ciphertext为加密后的密文。

安装KooCLI命令行工具 安装KooCLI命令行工具 远程登录购买的 ECS云服务器 ，执行如下命令安装KooCLI： curl -sSL https://hwcloudcli.obs.cn-north-1.myhuaweicloud.com/cli/latest/hcloud_install.sh -o ./hcloud_install.sh && bash ./hcloud_install.sh 图2 安装命令行工具 初始化KooCLI命令行工具 使用如下命令初始化KooCLI命令行工具： hcloud configure init 需要输入Access Key ID、Secret Access key和Region Name，获取方法请参见3、4。 图3 初始化KooCLI命令行工具 获取访问密钥（Access Key ID和Secret Access key） 如果您有登录密码，可以登录控制台，可以在我的凭证中获取自己的访问密钥AK/SK。请参见：新增访问密钥。可以下载得到AK/SK文件，文件名一般为：credentials.csv。如下图所示，文件包含了用户名称（User Name），AK（Access Key Id），SK（Secret Access Key）。 图4 credentials.csv文件内容 如果您没有登录密码，不能登录控制台，在访问密钥异常丢失或者需要重置时，可以请账号管理员在 IAM 中生成您的访问密钥，并发送给您。请参见：管理IAM用户访问密钥。 获取Region Name 请参见：地区和终端节点。 图5 获取区域

HTTP终端节点 此设置指定当有人通过GET请求访问函数API终端节点时，应运行first函数。您可以在部署服务后运行serverless info命令来获取终端节点的URL。 以下是一个例子： # serverless.yml functions: hello: handler: index.hello events: - apigw: env_id: DEFAULT_ENVIRONMENT_RELEASE_ID env_name: RELEASE req_method: GET path: /test name: API_test 请参考有关函数执行入口的文档，了解用于此类事件的入口函数签名。

示例 简单的函数调用 serverless invoke --function functionName 本示例将调用部署的函数，并在终端中输出调用的结果。 带数据的函数调用 serverless invoke --function functionName --data '{"name": "Bob"}' 此示例将使用提供的数据调用函数，并在终端中输出调用的结果。 带传递数据的函数调用 serverless invoke --function functionName --path lib/event.json 此示例将在调用指定/部署的函数时传递lib/event.json文件（相对于服务的根目录的相对路径）中的JSON数据。 event.json示例： { "key": "value" }

示例 从GitHub URL安装服务 serverless install --url https://github.com/zy-linn/examples/tree/v3/legacy/huawei-nodejs 本示例将从GitHub下载huawei-nodejs服务的.zip文件，在当前工作目录下创建一个名为huawei-nodejs的新目录，并将文件解压到该目录下。 使用新服务名称从GitHub URL安装服务 serverless install --url https://github.com/zy-linn/examples/tree/v3/legacy/huawei-nodejs--name my-huawei-service 此示例执行过程如下： 从GitHub下载huawei-nodejs服务的.zip文件。 在当前工作目录中创建名为my-huawei-service的新目录。 在此目录中解压文件。 如果根服务中存在serverless.yml，则将服务重命名为my-huawei-service。 从GitHub URL中的目录安装服务 serverless install --url https://github.com/zy-linn/examples/tree/v3/legacy/huawei-nodejs 本示例将从GitHub下载huawei-nodejs服务。

示例 创建新服务 serverless create --template-url https://github.com/zy-linn/examples/tree/v3/legacy/huawei-nodejs --name my-special-service 此示例将为服务生成Node.js运行时。华为作为提供商，该运行时将在当前工作目录中生成。 在（新）目录中创建指定名称的服务 serverless create --template-url https://github.com/zy-linn/examples/tree/v3/legacy/huawei-nodejs --path my-new-service 此示例将为服务生成Node.js运行时。华为作为提供商，该运行时将在my-new-service目录中生成；如不存在该目录，则会自动生成。在其他情况下Serverless将使用已经存在的目录。 此外，Serverless将根据您提供的路径将服务重命名。在此示例中，服务将重命名为my-new-service。

从环境变量中引用变量 要引用环境变量中的变量，请在serverless.yml中使用${env:someProperty}语法，如下： service: new-service provider: name: huawei runtime: Node.js14.18 credentials: ~/.fg/credentials # path must be absolute environment: variables: ENV_FIRST: ${env:TENCENTCLOUD_APPID} plugins: - serverless-huawei-functions functions: hello: handler: index.hello

打包配置 有时，您可能希望对函数产物以及它们的打包方式有更多的控制。 您可以使用patterns配置来更多地控制打包过程。 Patterns 您可以定义将从结果产物中排除/包括的全局模式。如果您希望排除文件，可以使用前缀为“!”的全局模式，如：!exclude-me/**。Serverless Framework将运行全局模式，以便您始终可以重新包含以前排除的文件和目录。 示例 排除所有node_modules，然后专门使用exclude重新包含的特定模块（在本例中为node-fetch）： package: patterns: - '!node_modules/**' - 'node_modules/node-fetch/**' 排除handler.js以外的所有文件： package: patterns: - '!src/**' - src/function/handler.js 如果要排除目录，请不要忘记使用正确的全局语法，可参考如下： package: patterns: - '!tmp/**' - '!.git/**'

配置 事件属于每个函数，可以在serverless.yml的events属性中找到。 # serverless.yml functions: first: # Function name handler: index.http # Reference to file index.js & exported function 'http' events: - apigw: env_id: DEFAULT_ENVIRONMENT_RELEASE_ID env_name: RELEASE req_method: GET path: /test name: API_test 目前，每个函数只支持一个事件定义。

配置 您的Serverless服务中有关华为云 函数工作流 的所有内容都可以在functions属性下的serverless.yml中找到。 # serverless.yml service: fg-service provider: name: huawei plugins: - serverless-huawei-functions functions: first: handler: index.handler

内存大小和超时 函数的memorySize和timeout可以在提供商或函数层面指定。提供商层面的定义允许所有函数共享此配置，而函数层面的定义意味着此配置仅对当前函数有效。 如果未指定，默认memorySize为256MB，timeout为30s。 # serverless.yml provider: memorySize: 512 timeout: 90 functions: first: handler: first second: handler: second memorySize: 256 timeout: 60

执行入口签名 事件执行入口的签名如下： function (event, context) { } event 如果函数由指定的APIG事件触发，则传递给执行入口的event如下： // JSON.parse(event) { events: { "body": "", "requestContext": { "apiId": "xxx", "requestId": "xxx", "stage": "RELEASE" }, "queryStringParameters": { "responseType": "html" }, "httpMethod": "GET", "pathParameters": {}, "headers": { "accept-language": "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2", "accept-encoding": "gzip, deflate, br", "x-forwarded-port": "443", "x-forwarded-for": "xxx", "accept": "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8", "upgrade-insecure-requests": "1", "host": "xxx", "x-forwarded-proto": "https", "pragma": "no-cache", "cache-control": "no-cache", "x-real-ip": "xxx", "user-agent": "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:57.0) Gecko/20100101 Firefox/57.0" }, "path": "/apig-event-template", "isBase64Encoded": true } } context context参数包含有关函数的运行时信息。例如：请求ID、临时AK、函数元数据。具体详情请参见开发事件函数。

组织 在最初使用应用时，建议您可以使用单个服务来定义该项目的所有函数和事件。 myService/ serverless.yml # Contains all functions and infrastructure resources 但是，随着应用增多，您可以将其拆分为多个服务。大多数用户按工作流或数据模型组织他们的服务，并在服务中将与这些工作流和数据模型相关的函数进行分组。 users/ serverless.yml # Contains 4 functions that do Users CRUD operations and the Users database posts/ serverless.yml # Contains 4 functions that do Posts CRUD operations and the Posts database comments/ serverless.yml # Contains 4 functions that do Comments CRUD operations and the Comments database 这是有意义的，因为相关函数通常使用公共基础设施资源，并且用户希望将这些函数和资源作为单个部署单元放在一起，以便更好地组织和分离关注点。

创建 使用create命令创建服务。您可以输入路径创建目录并将服务自动命名： # Create service with Node.js template in the folder ./my-service serverless create --template-url https://github.com/zy-linn/examples/tree/v3/legacy/huawei-nodejs --path my-service huawei-nodejs是华为云函数工作流的可用运行时。 有关所有详细信息和选项，请查看创建。