华为云用户手册

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 是 String 内容类型。 X-Auth-Token 否 String 用户Token。使用Token鉴权方式时必选。通过调用 IAM 服务获取用户Token接口获取（响应消息头中X-Subject-Token的值）。 Authorization 否 String 使用AK/SK方式认证时必选，携带的鉴权信息。 X-Sdk-Date 否 String 使用AK/SK方式认证时必选，请求的发生时间。 X-Project-Id 否 String 使用AK/SK方式认证时必选，携带项目ID信息。

状态码 调用 实时音视频 API时，可能返回的状态码如表1所示。 表1 状态码 返回值 说明 200 OK 请求正常。 201 Created 创建类的请求完全成功。 202 Accepted 已经接受请求，但未处理完成。 204 No Content 请求完全成功，同时HTTP响应不包含响应体。 400 Bad Request 非法请求。 建议直接修改该请求，不要重试该请求。 401 Unauthorized 在客户端提供认证信息后，返回该状态码，表明服务端指出客户端所提供的认证信息不正确或非法。 403 Forbidden 请求被拒绝访问。 返回该状态码，表明请求能够到达服务端，且服务端能够理解用户请求，但是拒绝做更多的事情，因为该请求被设置为拒绝访问，建议直接修改该请求，不要重试该请求。 404 Not Found 所请求的资源不存在。 建议直接修改该请求，不要重试该请求。 405 Method Not Allowed 请求中带有该资源不支持的方法。 建议直接修改该请求，不要重试该请求。 406 Not Acceptable 服务器无法根据客户端请求的内容特性完成请求。 407 Proxy Authentication Required 请求要求代理的身份认证，与401类似，但请求者应当使用代理进行授权。 408 Request Timeout 服务器等候请求时发生超时。 客户端可以随时再次提交该请求而无需进行任何更改。 409 Conflict 服务器在完成请求时发生冲突。 返回该状态码，表明客户端尝试创建的资源已经存在，或者由于冲突请求的更新操作不能被完成。 500 Internal Server Error 表明服务端能被请求访问到，但是不能理解用户的请求。 501 Not Implemented 服务器不支持请求的功能，无法完成请求。 502 Bad Gateway 充当网关或代理的服务器，从远端服务器接收到了一个无效的请求。 503 Service Unavailable 被请求的服务无效。 建议直接修改该请求，不要重试该请求。 504 Gateway Timeout 网关超时。 父主题： 附录

响应示例 状态码： 400 操作失败 { "error_code" : "RTC.00001003", "error_msg" : "InvalidParameterValue"} 状态码： 401 请求失败，携带的X-Auth-Token错误 { "error_code" : "RTC.00001003", "error_msg" : "InvalidParameterValue"} 状态码： 500 查询失败，服务器端错误 { "error_code" : "RTC.00002xxx", "error_msg" : "InternalError"}

响应参数 状态码： 200 表3 响应Header参数 参数 参数类型 描述 X-request-Id String 此字段携带请求ID号，以便任务跟踪。 状态码： 400 表4 响应Header参数 参数 参数类型 描述 X-request-Id String 此字段携带请求ID号，以便任务跟踪。 表5 响应Body参数 参数 参数类型 描述 error_code String 错误码 error_msg String 错误描述 状态码： 401 表6 响应Header参数 参数 参数类型 描述 X-request-Id String 此字段携带请求ID号，以便任务跟踪。 表7 响应Body参数 参数 参数类型 描述 error_code String 错误码 error_msg String 错误描述 状态码： 500 表8 响应Header参数 参数 参数类型 描述 X-request-Id String 此字段携带请求ID号，以便任务跟踪。 表9 响应Body参数 参数 参数类型 描述 error_code String 错误码 error_msg String 错误描述

请求参数 表1 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 用户Token。 通过调用IAM服务获取用户Token接口获取（响应消息头中X-Subject-Token的值）。 表2 请求Body参数 参数 是否必选 参数类型 描述 bucket 是 String OBS桶名 operation 是 Integer 操作，1-授权；0-取消授权 location 是 String 查询bucket所在的region cn-north-4 cn-north-1 cn-north-5 cn-north-6 cn-south-1 cn-east-2 project_id 否 String 租户华为云账号projectid

Token认证 Token的有效期为24小时，需要使用一个Token鉴权时，可以先缓存起来，避免频繁调用。 Token在计算机系统中代表令牌（临时）的意思，拥有Token就代表拥有某种权限。Token认证就是在调用API的时候将Token加到请求消息头中，从而通过身份认证，获得操作API的权限。Token可通过调用获取用户Token接口获取。 调用本服务API需要项目级别的Token，即调用获取用户Token接口时，请求body中auth.scope的取值需要选择project，如下所示。 { "auth": { "identity": { "methods": [ "password" ], "password": { "user": { "name": "username", //IAM用户名 "password": $ADMIN_PASS, //IAM用户密码，建议在配置文件或者环境变量中密文存放，使用时解密，确保安全 "domain": { "name": "domainname" //IAM用户所属账号名 } } } }, "scope": { "project": { "name": "xxxxxxxx" //项目名称 } } }} 获取Token 后，再调用其他接口时，您需要在请求消息头中添加“X-Auth-Token”，其值即为Token。例如Token值为“ABCDEFJ....”，则调用接口时将“X-Auth-Token: ABCDEFJ....”加到请求消息头即可，如下所示。 123 POST https://iam.cn-north-4.myhuaweicloud.com/v3.0/OS-USER/usersContent-Type: application/jsonX-Auth-Token: ABCDEFJ.... 您还可以通过这个视频教程了解如何使用Token认证：https://bbs.huaweicloud.com/videos/101333。

AK/SK认证 AK/SK签名认证方式仅支持消息体大小在12MB以内，12MB以上的请求请使用Token认证。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 AK（Access Key ID）：访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名。 SK（Secret Access Key）：私有访问密钥。与访问密钥ID结合使用，对请求进行加密签名，可标识发送方，并防止请求被修改。 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见API签名指南。 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

调用API获取项目ID 您还能通过调用查询指定条件下的项目信息API获取项目ID。 获取项目ID的接口为“GET https://{Endpoint}/v3/projects/”，其中{Endpoint}为IAM的终端节点可以从地区和终端节点获取。接口的认证鉴权请参见认证鉴权。 响应示例如下，其中projects下的“id”即为项目ID。 { "projects": [ { "domain_id": "65382450e8f64ac0870cd180d14e684b", "is_domain": false, "parent_id": "65382450e8f64ac0870cd180d14e684b", "name": "region01", "description": "", "links": { "next": null, "previous": null, "self": "https://www.example.com/v3/projects/a4a5d4098fb4474fa22cd05f897d6b99" }, "id": "a4a5d4098fb4474fa22cd05f897d6b99", "enabled": true } ], "links": { "next": null, "previous": null, "self": "https://www.example.com/v3/projects" } }

智能交互限制 智能交互对硬件设备的最低配置要求，如表1所示。 表1 硬件设备要求 硬件配置 最低配置 CPU i5及以上版本。 内存 8G以上。 硬盘 128G及以上。 操作系统 Windows或Android系统。 麦克风 需要有麦克风，且要保障1米以内的拾音效果。 扬声器 需要有扬声器。 触摸屏 需要有触摸屏。 带宽 4M以上。 由于浏览器的安全策略限制，仅支持通过“https:// 域名 ”方式访问，否则无法正常加载运行智能交互WebSDK。 智能交互界面对浏览器的要求，如表2所示。 表2 浏览器适配详情 操作系统类型 浏览器类型 浏览器版本 Windows Chrome浏览器 91+ Edge浏览器 80+ Android 移动版Chrome浏览器 91+ iOS 移动版Safari浏览器 17.3+ Mac Safari浏览器 15.6+ 智能交互使用透明背景时对浏览器的要求，如表3所示。 表3 透明背景支持情况 操作系统类型 浏览器类型 浏览器版本 Windows Chrome浏览器 94+ Edge浏览器 94+ Android 移动版Chrome浏览器 94+ iOS 移动版Safari浏览器 17.3+ Mac Safari浏览器 16.4+ 父主题： 使用限制

照片数字人限制 照片数字人视频制作限制说明，如表1所示。 表1 照片数字人视频制作限制 照片数字人视频制作配置 限制 人像照片 制作照片数字人的人像照片拍摄要求，如下所示： 真人正面照，不支持动漫卡通形象；面部占比50%以上，侧脸俯仰角度不超过15度。 五官清晰无遮挡，目视前方。 良好的亮度，确保面部细节。 照片内不能出现多张人脸。 人像照片格式要求，如下所示： 支持的格式为：PNG、JPG、JPEG、WEBP。 大小不超过16MB。 分辨率最大支持1080P，如果超出，会自动缩放为1080P，且需保证分辨率大于等于80*80。 音频 音频录制要求，如下所示： 单声道音频。 清晰人声无背景音乐与杂音。 音频格式要求，如下所示： 支持的格式为：MP3、WAV。 大小不超过20MB，时长不超过5分钟。 文本驱动 文本驱动方式的要求如下所示： 文本输入长度不超过2000字。 通过文本合成的音频时长不能超过5分钟。 在照片数字人制作页面，选择“文本驱动”方式驱动照片说话时，需要输入文本并选择音色，再单击“试听”预估音频时长。如果超过5分钟，会导致照片数字人制作失败。 父主题： 使用限制

使用概览 使用方式 功能支持 是否支持免华为账号登录 开发工作量 账号权限管理 华为云控制台 支持 云日志 服务全部功能 不支持 无 华为云IAM 华为云用户自建系统内嵌（免密登录） 支持云日志服务界面全部功能 支持，iframe嵌入到企业内的运维系统，通过企业鉴权系统登录 少，需要前端iframe嵌入 企业鉴权系统 对接Grafana插件 支持Grafana的仪表盘、告警等功能 支持，日志流数据接入Grafana使用 无 Grafana自身的权限管理系统

什么是区域、可用区？ 区域和可用区用来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。 图1 区域和可用区 目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。更多信息请参见华为云全球站点。

如何选择区域？ 选择区域时，您需要考虑以下几个因素： 地理位置 一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。 在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户，可以选择“非洲-约翰内斯堡”区域。 在拉丁美洲地区有业务的用户，可以选择“拉美-圣地亚哥”区域。 “拉美-圣地亚哥”区域位于智利。 资源的价格 不同区域的资源价格可能有差异，请参见华为云服务价格详情。

云手游服务器规格 表1 云手游服务器规格 规格名称 配置 physical.rx1.xlarge.cg CPU：Hi1616 (2*32Core*2.4GHz) 内存：256GB DDR4 RAM 本地磁盘：2*1.2T SAS + 800G SAS SSD 网卡：2*10GE GPU：3*WX5100 扩展配置：云手游接入软件 physical.kg1.4xlarge.cg CPU：Kunpeng 920 (2*64Core*2.6GHz) 内存：512GB DDR4 RAM 本地磁盘：N/A 网卡：2*10GE GPU：5*WX5100 扩展配置：云手游接入软件

支持的云手游实例规格 表2 physical.rx1.xlarge.cg可部署的云手机规格 规格名称 配置 适用游戏类型 rx1.cg.c15.d30.e1v1 计算&存储：2vCPUs | 8GB | 30GB 屏幕分辨率：1280x720 手机开数：15 EIP/VIP：1/1 动作射击 即时战略 经营策略 表3 physical.kg1.4xlarge.cg可部署的云手机规格 规格名称 配置 适用游戏类型 kg1.cg.c40.d30SSD.e1v1 计算&存储：2vCPUs | 10GB | 30GB 屏幕分辨率：1280x720 手机开数：40 EIP/VIP：1/1 动作射击 即时战略 经营策略 kg1.cg.c80.d16SSD.e1v1 计算&存储：2vCPUs | 5GB | 16GB 屏幕分辨率：960x540 手机开数：80 EIP/VIP：1/1 卡牌游戏 休闲益智游戏 kg1.cg.c20.d50SSD.e1v1 计算&存储：6vCPUs | 12GB | 50GB 屏幕分辨率：1920x1080 手机开数：20 EIP/VIP：1/1 角色扮演 体育竞速（赛车、足球） 多人竞技 其中， 云手机规格名称中各字段均有明确含义。以“rx1.cg.c15.d30.e1v1”为例，rx1表示对应服务器的CPU类型为Hi1616（kg1表示Kunpeng 920）；cg表示对应服务器为云手游类型；c15表示手机开数为15；d30表示机身存储容量为30GB；e1v1表示弹性公网IP和虚拟内网IP的数量均为1。 “手机开数”是指一台服务器可以虚拟出的云手机数量。例如：手机开数为15，表示购买一台服务器，实际可以得到15台云手机。 EIP/VIP个数（弹性公网IP/虚拟内网IP）是服务器所绑定的EIP/VIP数量。EIP提供云手机的外网访问能力；VIP为云手机流量的出入口。 所有云手机共用一个服务器的公网IP。如果选择EIP为0的规格，云手机将无法直接访问外网，且不支持单独绑定EIP。

云硬盘规格 physical.kg1.4xlarge.cg云手游服务器规格无本地磁盘，系统默认购买并挂载一块或多块超高IO类型云硬盘，为云手机提供更多存储空间，并且可实现用户数据持久化。 系统默认购买的云硬盘容量和个数与云手机规格有关，如表4所示。 表4 云硬盘容量和个数 服务器规格 云手机规格 单块云硬盘容量（GB） 云硬盘个数（个） physical.kg1.4xlarge.cg kg1.cg.c40.d30SSD.e1v1 550 3 kg1.cg.c80.d16SSD.e1v1 550 3 kg1.cg.c20.d50SSD.e1v1 450 3 kg1.cg.c20.d30SSD.e1v1（私有） 300 3 云手机规格中标注“私有”表示该规格为私有规格，其他用户不可见。

CPH权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 CPH部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华东-上海一）对应的项目（cn-east-3）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问CPH时，需要先切换至授权区域。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对E CS 服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，权限的最小粒度为API授权项（action），CPH支持的API授权项请参见策略及授权项说明。 如表1所示，包括了CPH的所有系统权限。 表1 CPH系统权限 系统角色/策略名称 描述 类别 依赖关系 CPH Administrator 云手机服务器管理员权限，拥有该权限的用户拥有云手机服务器所有执行权限。 系统角色 对于购买自定义网络的服务器，需要依赖VPC FullAccess权限,在同项目中勾选依赖的角色。 CPH User 云手机服务器只读权限，拥有该权限的用户仅能查看云手机服务器资源数据。 系统角色 依赖Tenant Guest，在同项目中勾选依赖的角色。 CPH FullAccess 云手机服务器已支持细粒度授权项的所有执行操作。 注意： CPH FullAccess授予子账号后，子账号权限较大，请妥善保管子账号凭证，避免因凭证泄露带来安全风险。若需要调整权限范围，可通过创建自定义策略重新配置，具体操作请参考创建自定义策略。 系统策略 不支持的授权项需结合系统角色进行授权。 CPH ReadOnlyAccess 云手机服务器已支持细粒度授权项的只读操作，即查看云手机服务器资源数据。 系统策略 不支持的授权项需结合系统角色进行授权。 CPH NotSupportEnterpriseAccess 云手机服务器不支持企业项目的细粒度权限项集合。 使用企业项目功能时：在企业项目视图授权了CPH FullAccess策略后，还需要在IAM项目视图授权该策略，用户才可以正常使用CPH的全部功能。 注意： CPH NotSupportEnterpriseAccess授予子账号后，子账号权限较大，请妥善保管子账号凭证，避免因凭证泄露带来安全风险。若需要调整权限范围，可通过创建自定义策略重新配置，具体操作请参考创建自定义策略。 系统策略 不支持的授权项需结合系统角色进行授权。 CPH AgencyDependencyAccess 云手机服务器依赖用户委托给服务的细粒度权限项集合。 包含云手机服务在创建云手机服务器时依赖的其他服务的权限。 系统策略 不支持的授权项需结合系统角色进行授权。 表2列出了常用操作与系统角色的授权关系，您可以参照该表选择合适的系统角色。 表2 常用操作与系统角色的关系 操作 CPH Administrator CPH User CPH FullAccess CPH ReadOnlyAccess CPH NotSupportEnterpriseAccess 购买云手机服务器 √ × √ × × 删除云手机服务器 √ × √ × × 切换云手机服务器 √ × √ × × 查询云手机服务器列表 √ √ √ √ × 查询云手机服务器详情 √ √ √ √ × 查询云手机服务器规格列表 √ √ √ √ √ 修改云手机服务器名称 √ × √ × × 变更云手机服务器规格 √ × √ × × 重启云手机服务器 √ × √ × × 推送共享存储文件 √ × √ × × 查询共享存储文件 √ √ √ √ × 删除共享存储文件 √ × √ × × 推送共享应用 √ × √ × × 删除共享应用 √ × √ × × 更改密钥对 √ × √ × × 查询编码服务 √ √ √ √ × 重启编码服务 √ × √ × × 查询带宽信息 √ √ √ √ √ 修改共享带宽 √ × √ × √ 查询云手机列表 √ √ √ √ × 查询云手机详情 √ √ √ √ × 查询云手机规格列表 √ × √ × √ 重置云手机实例 √ × √ × × 重启云手机实例 √ × √ × × 关闭云手机实例 √ × √ × × 修改云手机名称 √ × √ × × 更新云手机属性 √ × √ × × 导出云手机数据 √ × √ × × 恢复云手机数据 √ × √ × × 云手机流量导流 √ × √ × × 云手机磁盘扩容 √ × √ × × 获取云手机连接信息 √ √ √ √ × 执行异步adb shell命令 √ × √ × × 执行同步adb shell命令 √ × √ × × 查询任务执行状态 √ √ √ √ √ 查询任务执行状态列表 √ √ √ √ √ 批量添加标签 √ × √ × × 批量删除标签 √ × √ × × 查询资源实例 √ √ √ √ × 查询资源标签 √ √ √ √ × 查询项目标签 √ √ √ √ × 获取手机镜像列表 √ √ √ √ √ 删除手机镜像 √ × √ × × 手机镜像共享 √ × √ × × 获取手机镜像共享用户列表 √ √ √ √ × 手机镜像取消共享 √ × √ × × 获取可用区列表 √ √ √ √ √ 获取子网列表 √ √ √ √ √ 查询对等连接配置 √ √ √ √ √ 删除对等连接配置 √ × √ × × 添加对等连接配置 √ × √ × × 导出云手机详情 √ × √ × × 创建委托 √ × √ × √ 检查委托 √ × √ × √

使用方式 云平台提供了Web化的服务管理系统（即管理控制台）和基于HTTPS请求的API（Application programming interface）管理方式。 API方式 如果用户需要将云手机集成到第三方系统，用于二次开发，请使用API方式访问云手机服务器。具体操作请参见“API参考”。 管理控制台方式 其他相关操作，如购买、连接云手机实例，请使用管理控制台方式访问云手机服务器。 云手机实例以服务器为单位购买，您只需要指定具体的服务器类型、实例规格、手机镜像、所需要的网络配置等，即可获得一台服务器，以及相应数量的云手机实例。详细购买及使用流程请参见“购买云手机服务器”。

为什么选择云手机服务器？ 作为一种新型服务，云手机服务器对传统物理手机起到了非常好的延展和补充作用，可以用在诸如APP仿真测试、云手游、直播互娱、移动办公等场景，让移动应用不但可以在物理手机运行，还可以在云端智能运行。 降本增效 面向如APP仿真测试等互联网行业场景，单台手机的处理效率非常有限，通过云手机的方式，大幅降低人工操作和设备采购维护成本。 安全保障 云手机由于应用数据运行在云上，面向政府、金融等信息安全诉求较高的行业，提供更加安全高效的移动办公解决方案。员工通过使用云手机的方式登录办公系统，公私数据分离，同时企业也可对云手机服务器进行智能管理，降本增效的同时，信息安全也更加有保障。 探索游戏、直播行业新可能 云手机服务器还可以为游戏、直播等行业提供全新的互动体验方式，开拓新的商业模式和市场空间。以云手游场景为例，因为游戏的内容实际是在云上虚拟手机上运行，可以提前安装部署和动态加载，所以对于最终玩家来说，游戏可以做到无需下载，即点即玩，大幅提高玩家转换率。同时可以让中低配手机用户也能流畅运行大型手游，增大游戏覆盖的用户范围。 云手机服务器的更多创新技术以及优势，请参见产品优势。

产品架构 云手机服务器产品架构分三部分，云手机侧、终端设备侧以及客户业务侧，如图1所示。 图1 云手机服务器产品架构 云手机服务器基于华为TaiShan ARM服务器实现，集成多张高性价比的专业GPU显卡，可提供专业的图形图像处理能力。TaiShan服务器中运行了EulerOS作为Host OS，在Host OS中通过自研MonBox技术生成容器，在容器中运行开源AOSP系统，从而虚拟出多台云手机。由于TaiShan服务器基于ARM架构，而手机系统也基于ARM架构，所以减少了指令集转换所带来的翻译算力损耗，可以达到更好的使用体验。 云手机服务器提供了视频、音频以及触控SDK。客户基于终端设备可以开发相应的APP，来获取云手机的音频、视频；也可以采集触控指令，如触摸屏、滑动、单击等操作指令，从而在云手机上来执行。 在业务侧，客户通过管理控制台、API、ADB端口及其他自定义端口可以对云手机服务器进行资源管理、应用管理、运维管理和接入管理等。 资源管理：购买、查询云手机服务器。 应用管理：云手机应用程序推送、安装、卸载等。 运维管理：重启、重置、关机、开机云手机服务器。 接入管理：云手机服务器接入认证。

审计与日志 云审计 服务（Cloud Trace Service， CTS ），是华为 云安全 解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，CTS可记录CPH的操作事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。 CPH支持审计的操作事件，请参见支持审计的关键操作。 查看审计日志，请参见查看CPH审计事件。 父主题： 安全

云手机服务器与其他服务的关系 表1 云手机服务器与其他服务的关系 服务名称 云手机服务器与其他服务的关系 主要交互功能 弹性云服务器 弹性云服务器可作为内网方式连接云手机的跳板机器，也可在云手游场景下作为推流服务器使用。 ADB方式（内网） 弹性公网IP 通过弹性公网IP实现云手机服务器与外部通信。 ADB方式（公网） 虚拟私有云 通过虚拟私有云建立专属的网络环境。 购买云手机服务器 云硬盘 为云手机提供云上存储空间。 云手机服务器 云手游服务器 对象存储服务 为云手机安装APK时，可先将软件包上传至OBS桶，通过相关ADB命令实现批量安装。 批量控制 云监控服务 当您购买云手机服务器后，无需额外安装其他插件，即可在 云监控 服务查看云手机服务器及相关联资源（云手机、磁盘及GPU卡）的监控数据，还可以获取可视化监控图表。 支持的监控指标 查看监控指标 创建告警规则 云审计服务 记录与云手机服务器相关的操作事件，便于日后的查询、审计和回溯。 支持审计的关键操作列表 查看审计日志

云手机与其他手机模拟方案的对比 当前市场上常见的手机模拟方案有x86模拟器方案和真手机方案，优劣对比如表1所示。 表1 云手机与其他手机模拟方案的对比 项目 x86模拟器方案 真手机方案 华为云云手机 性能 差 需要在x86指令集和ARM指令集之间转换，效率低，最少有50%的性能损失。 中 基于真机的实现方式，性能与真机一致，但无法超越真机性能。 高 基于ARM服务器的实现方式，性能规格灵活，可大幅度超越真机性能，无限延展手机对性能和存储的需求。 兼容性 差 x86的复杂指令到ARM的精简指令并非一对一转换，存在严重的应用兼容性问题，长期存在，难以解决。 高 与真机一致，应用兼容性有保障。 高 由于采用ARM服务器的实现方式，基于ARM的原生应用兼容性高。 稳定性 中 基于外部各种开源或非商业模拟器软件实现，稳定性难以保证。 极差 非服务器制成品，大量二手真机、手工焊点与复杂接线难以保障产品质量，稳定性非常差。 高 自研高性能ARM芯片与ARM服务器，市场上有大量应用，稳定性与可靠性高。 可获得性 高 直接基于x86服务器以及模拟器软件搭建，门槛低，资源可获得性高。 极差 非常难获得足够且稳定的货源，二手手机市场变化快，设计对应的手机在市场上的可获得性极差。 高 采用公有云服务方式，资源量大，使用灵活，可按月包周期，资源弹性大。 仿真度 差 基于软件上层技术实现，虽然可修改手机参数较多，同时特征明显，很容易被上层应用检测为模拟器。 高 与真机一致，仿真度高。 高 可实现真机完全的仿真与兼容性，如果采用高性价比AOSP方式，也可针对应用进行底层硬件数据模拟。 规格灵活性 高 可灵活设定规格，自由度高。 差 按照规格设定购买相应的真机，基本不具备规格灵活性。 高 基于ARM服务器的实现方式，规格灵活设定调整，也可轻松实现高规格超分实例。

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

SSH隧道 SSH隧道即SSH端口转发，在SSH客户端与SSH服务端之间建立一个隧道，将网络数据通过该隧道转发至指定端口，从而进行网络通信。SSH隧道自动提供了相应的加密及解密服务，保证了数据传输的安全性。 SSH隧道有三种端口转发模式：本地端口转发（Local Port Forwarding）、远程端口转发（Remote Port Forwarding）以及动态端口转发（Dynamic Port Forwarding）。对于本地/远程端口转发，两者的方向恰好相反。连接云手机时，使用的是本地端口转发，因此本文着重介绍本地端口转发的工作原理。 假设本地主机A1为SSH客户端，远端云主机B1为SSH服务端。从A1主机通过SSH登录B1主机，指定不同的端口转发选项（-L、-R和-D），即可在A1与B1之间建立SSH隧道，从而进行不同的端口转发。 应用场景 远端云主机B1上运行了一个服务，端口为2000，本地主机A1需要访问这个服务。假设云主机B1的IP为122.x.x.x，则该服务的访问地址为：http://122.x.x.x:2000 为什么需要本地端口转发？ 一般来讲，云主机的防火墙默认只开启了22端口，如果需要访问2000端口，则需要修改防火墙。为了保证安全，防火墙需要配置允许访问的IP地址。但是，云主机的公网IP通常是网络提供商动态分配的，如果变更公网IP地址，防火墙配置就需要经常修改，造成不必要的麻烦。 什么是本地端口转发？ 本地端口转发，是将发送到本地端口的请求，转发到目标端口，这样就可以通过访问本地端口，来访问目标端口的服务。使用-L选项，就可以指定需要转发的端口，语法如下： ssh -L 本地端口:目标地址:目标端口 例如： ssh -L 3000:targethost:2000 root@122.x.x.x表示在本地主机A1登录远端云主机B1，通过本地端口转发，将发送到本地主机A1端口3000的请求，转发到远端云主机B1的2000端口。 这样，在本地主机A1上可以通过访问http://122.x.x.x:2000来访问远端云主机B1上的服务。 扩展应用 以上语法中，目标地址也可以是其他主机的地址，以连接云手机场景为例，目标地址为云手机的私有IP地址，本地主机A1为本地设备，远端云主机B1为云手机服务器，那么建立SSH隧道的命令为： ssh -L 本地端口:云手机私有IP地址:目标端口 用户名@服务器的公网IP地址 另外，建立隧道时常用的选项还有-N、-f等。 -N：表示建立SSH隧道以后不连接到SSH服务端，通常与“-f”选项连用。 -f：表示在后台运行SSH隧道，通常与“-N”选项连用。

IAM身份认证 云手机服务器支持通过IAM进行精细的权限管理，实现用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制资源的访问。 您可以在账号中创建IAM用户，并授权控制他们对资源的访问范围。IAM权限是作用于云资源的，IAM权限定义了允许和拒绝的访问操作，以此实现云资源权限访问控制。 权限管理简介，请参见CPH权限管理。 授权使用CPH，请参见创建用户并授权使用CPH。 自定义策略，请参见权限配置示例。 策略及授权项详情，请参见权限及授权项说明。

移动办公 随着移动应用的普及，越来越多的企业开始通过移动终端接入办公，但同时也带来了企业数据安全的隐患，采购定制安全手机虽然可以增强安全性，但仍然无法防止敏感数据泄露。基于云手机的移动办公应用可以将企业核心数据留在云端，而仅仅将手机画面向授权员工开放。 图2 移动办公场景架构 架构说明： 企业应用APP上传至对象存储以后，批量安装在云手机当中，通过将云手机的音视频画面进行流化编码输出到客户端进行显示，同时接收客户端的操作指令控制云手机中的应用，企业数据留在云端，更为安全可靠。 登录/客户业务服务器集群采取负载均衡及弹性伸缩设计，能够轻松应对超大规模并发的场景。 云手机可分布部署在各大中心节点及边缘云当中，有效降低用户互动体验的时延，做到最佳体验及最优带宽性价比。

数据保护技术 云手机服务器通过多种数据保护手段和特性，保障存储数据的安全可靠。 云手机服务器底层为裸金属服务器，具备物理机级的性能和隔离性，用户独占计算资源，并且无任何虚拟化开销。 云手机服务器提供备份与恢复接口，支持客户将重要数据备份到自己的OBS桶（导出云手机数据），也支持客户将OBS桶的备份数据还原到指定云手机（恢复云手机数据 ）。 为了保障云手机用户数据的机密性，新版AOSP公共镜像支持文件级加密，用户数据以密文形式落盘。 父主题： 安全

云游戏 云游戏作为游戏行业的热门发展方向，通过视频流化的方式面向玩家提供免下载，脱离手机性能的一种游戏服务方式，其本身包含了PC游戏的流化和移动游戏的流化。云手机服务器作为云端仿真手机可以发挥移动游戏指令同构的优势，在云端承载游戏应用。 图1 云游戏场景架构 架构说明： 手机游戏APP安装在云手机当中，通过将云手机的音视频画面进行流化编码输出到客户端进行显示，同时接收客户端的操作指令控制云手机中的游戏。 登录服务器集群采取负载均衡及弹性伸缩设计，能够轻松应对超大规模并发的场景。 云手机可分布部署在各大中心节点及边缘云当中，有效降低用户互动体验的时延，做到最佳体验及最优带宽性价比。

密钥对 密钥对，也称SSH密钥对，是区别于用户名+密码的远程登录Linux实例的认证方式。通过加密算法生成一对密钥，一个对外界公开，称为公钥，另一个由用户自己保留，称为私钥。公钥和私钥组成密钥对。密钥对的工作原理是使用公钥加密某个数据（例如一个密码），用户可以使用私钥解密数据。 华为云只会存储公钥，您需要存储私钥。拥有您的私钥的任何人都可以解密您的登录信息，因此将您的私钥保存在一个安全的位置非常重要。 如何创建使用密钥对，请参见表3 高级配置参数说明。