华为云用户手册

日志 Kubernetes日志可以协助您排查和诊断问题。本节介绍U CS 如何通过多种方式进行Kubernetes日志管理。 您可以方便地使用云原生日志采集插件采集应用日志并上报LTS，从而更好地利用LTS日志服务提供给您的各种日志统计分析等功能。具体操作，请参见收集数据面日志。 支持收集集群控制平面组件日志和Kubernetes审计日志，将日志从master节点采集到您账号的LTS日志服务的日志流中。具体操作，请参见收集控制面组件日志和收集Kubernetes审计日志。 支持收集集群Kubernetes事件，将Kubernetes事件从集群内采集到您账号的LTS日志服务的日志流中，以便对Kubernetes事件进行持久化存储和统计分析。具体操作，请参见收集Kubernetes事件。 关于UCS日志记录的详细介绍和配置方法，请参见日志中心章节。

应用场景 对于金融行业用户，新兴互联网业务的快速发展和业务数据的高敏感性是一对既有的矛盾，而现有的混合云架构是解决这一矛盾的较优解决方案。而在实际落地场景中，这样的结构依旧存在一些痛点亟待解决。 痛点一：业务部署分散，无法极速扩容和大规模治理，难以有效应对高峰期的流量冲击。 痛点二：云端生态不统一，业务实例分发困难，缺少丰富的金融云原生SaaS。 痛点三：流量治理层面难以满足数据敏感业务和时延敏感业务的高性能要求。 痛点四：智能终端的快速发展带来运营监管的难度，无法集中管理海量终端，实施有效的监管和运营。 痛点五：缺少跨中心的业务监控与治理能力，业务实例无法实现跨云迁移。

与其他云服务的关系 华为云UCS为用户提供一个统一的集群服务管理平台，与周边服务的依赖关系如图1所示。 图1 UCS与其他服务关系 表1 UCS与其他服务的关系 服务名称 UCS与其他服务的关系 主要交互功能 云容器引擎 CCE UCS支持接管云容器引擎中的CCE集群、 CCE Turbo 集群，为集群提供应用分发、流量管理、集群监控、应用数据管理等多种功能。 注册华为云集群 统一身份认证 IAM UCS在统一身份认证服务（IAM）能力基础上，为您提供细粒度的权限管理功能。 权限管理 云解析服务 DNS UCS对接云解析服务，获取解析 域名 ，提供大规模流量治理能力，实现流量的灵活接入。 流量分发 应用服务网格 ASM UCS对接应用服务网格，为您的服务以无侵入的方式提供灵活的服务治理能力。 服务网格 云原生服务中心 OSC UCS通过云原生服务中心构建统一的应用生态，支持云原生应用统一分发部署。 云原生服务中心 容器镜像服务 SWR UCS集成容器 镜像服务 能力，可以通过容器镜像在UCS所管理的集群中创建工作负载。 镜像仓库

智能线路解析 普通的域名解析只为用户返回解析结果，不会考虑访问者IP的来源和类型，这样，所有的访问者都被解析到同样的IP地址上，容易出现由跨运营商或者跨地域访问引起网络体验欠佳。 云解析服务的智能线路解析功能支持按运营商、地域等维度区分访问者IP的来源和类型，对同一域名的访问请求做出不同的解析响应，指向不同服务器的IP地址。当联通用户访问时，域名解析服务器返回联通服务器的IP地址；当电信用户访问时，返回电信服务器的IP地址，解决了跨网访问慢的难题，从而实现高效解析。 云解析服务还支持按IP网段划分访问者的自定义线路解析，您可以更细粒度的设置解析线路，将访问者路由至不同的网站服务器。 华为云解析服务支持的智能线路解析包括： 配置运营商线路解析 配置地域线路解析 配置自定义线路解析 配置权重解析 公网域名支持使用智能线路解析功能。内网域名、反向解析不支持使用智能线路解析功能。 例如，您的域名为www.example.com， 如果您的网站拥有单服务器，则设置解析线路类型为“全网默认”。 如果您的网站拥有3台服务器，分别位于电信、联通和海外，则可以设置4条解析线路，类型分别为：全网默认、运营商线路解析_电信、运营商线路解析_联通、地域解析_全球，详细内容请参见配置运营商线路解析和配置地域线路解析。 如果您的网站拥有2台服务器，分别向内部用户和外部用户开放，则可以根据内部用户及外部用户的IP网段设置自定义线路，详细内容请参见配置自定义线路解析。

云服务器访问云上资源 当您创建云服务器时，可以使用内网DNS进行解析，不经公网直接访问 SMN 、OBS等云服务。 当您创建云服务器时， 如果关联VPC子网的DNS服务器设置为公共DNS，云服务器对云服务的访问需要通过公共DNS在Internet上进行解析。 当云服务器访问OBS、SMN等华为云上服务时，解析过程如图3右侧的“1~10”所示。 在解析过程中，因需要通过Internet，访问时延大，体验差。 如果关联VPC子网的DNS服务器默认设置为华为云内网DNS，云服务器对云服务的访问直接通过内网DNS进行解析。 当云服务器访问OBS、SMN等华为云上服务时，内网DNS直接返回这些云服务的内网地址，无需通过Internet，访问时延小，性能高，解析过程如图3左侧的“①~④”所示。 您可以参考怎样切换内网DNS将云服务器的默认DNS服务器修改为华为云的内网DNS，这样就可以实现通过内网DNS直接访问云服务。 图3 访问云服务

项目 项目用于将资源（计算资源、存储资源和网络资源等）进行分组和隔离。项目可以是一个部门或者一个项目组。 一个账户中可以创建多个项目。 对于云解析服务，公网域名属于Global级别的资源，而内网域名和反向解析属于区域级别的资源。因此，系统会基于项目实现内网域名、反向解析资源的隔离和管理。在创建、查询、设置内网域名和反向解析前，用户需先指定区域和项目，然后在指定项目下执行相关操作。 父主题： 基本概念

记录集简介 云解析服务的解析记录由各种类型的记录集（Record Set）组成，是指一组资源记录的集合。这些资源记录属于同一域名，用于定义域名支持的解析类型以及解析值。 当您已经在云解析服务中创建完域名，需要对其进行域名级别的拓展或记录域名的详细信息，通过添加记录集来实现。 云解析服务支持的解析记录类型及适用场景如表1所示。 表1 解析记录适用场景说明 记录集类型 适用场景 描述 A 公网域名、内网域名 指定域名对应的IPv4地址，用于将域名解析到IPv4地址。 CNAME 公网域名、内网域名 指定域名的别名，用于将域名解析到另一域名，或者多个域名映射到同一域名上。 MX 公网域名、内网域名 指定域名对应的邮件服务器，用于为邮件域名设置邮箱服务器。 AAAA 公网域名、内网域名 指定域名对应的IPv6地址，用于将域名解析到IPv6地址。 TXT 公网域名、内网域名 用于对域名进行标识和说明，可填写任意的信息。主要用于以下场景： 记录DKIM的公钥，用于反电子邮件欺诈。 用于记录域名所有者身份信息，用于域名找回。 SRV 公网域名、内网域名 记录了具体某台计算机对外提供哪些服务，供用户查询使用。 NS 公网域名、内网域名 指定域名的权威DNS服务器，用于指定域名由哪个DNS服务器进行解析： 对于公网域名，系统默认创建，支持为域名的子域名手工创建NS记录。 对于内网域名，系统默认创建，不支持手工创建。 SOA 公网域名、内网域名 指定域名的主权威DNS服务器，系统默认创建，不支持手工创建。 CAA 公网域名 指定为域名颁发HTTPS证书的授权CA机构，用于防止HTTPS证书错误签发。 PTR 公网域名、内网域名 指定IP地址反向解析记录，用于通过私网IP地址反向查询对应的云服务器。

记录集示例 记录集在实际解析场景中的应用： 网站解析 A、AAAA类型的记录集，常用于网站解析，通过域名获取对应的IP地址。 图1 网站解析 内网解析 A、AAAA类型的记录集常用于内网解析，通过内网域名获取对应的私网IP地址。 图2 内网解析 邮箱解析 MX、CNAME以及TXT类型的记录集常用于邮箱解析。 图3 邮箱解析 私网IP反向解析 PTR记录集常用于通过云服务器的私网IP反向解析对应的内网域名。 图4 私网IP反向解析

域名分层结构 域名解析过程是一种分层的递归查询过程，这是由域名的分层结构决定的。下面以example.com为例介绍域名的组成和级别。 根域（.） 根域即“.”，是最高级别的域名。 域名在DNS系统中的完整格式为“example.com.”。当我们在浏览器中输入域名时，通常会省略最后的“.”，输入“example.com”，DNS系统会默认将域名转换为完整格式。 “.”对应根域名服务器，是最高级别的DNS服务器，保存顶级域DNS服务器地址。 顶级域（.com） 顶级域根据域名后缀进行区分，主要包括两大类： 通用顶级域，如.com，.net，.org，.top等。 国家顶级域，如.cn，.uk，.de等。 顶级域对应顶级域名服务器，保存顶级域对应二级域DNS服务器地址。例如，.com顶级域对应的顶级域名服务器保存后缀为.com的二级域名的DNS服务器地址。 二级域（example.com） 二级域是顶级域的子域，对应权威DNS服务器，为域名提供权威域名解析服务。 例如，您在域名服务商处购买域名example.com，并设置域名的DNS服务器地址，实际上就是将为域名example.com提供权威解析服务的DNS服务器地址告知.com顶级域的过程。 如果您选择华为云的云解析服务解析域名，则云解析服务作为权威DNS服务器，为您提供域名的权威DNS服务。

云服务器主机名管理 您可以根据云服务器的位置、用途、所有者等信息规划主机名，并使用主机名为云服务器添加内网解析记录，便于直观的获取云服务器的信息，更利于管理云服务器。 例如，您在某区域的某个可用区部署了20台ECS，其中10台用于网站A，10台用于网站B，则可以采用以下方式规划主机名和内网域名： 网站A：weba01.region1.az1.com~weba10.region1.az1.com 网站B：webb01.region1.az1.com~webb10.region1.az1.com 完成上述规划后，可以帮助您快速定位云服务的位置和用途，便于日常管理和维护。 您可以参考配置内网解析完成云服务器主机名管理的相关操作。

四步实现通过域名访问网站 公网域名解析可以应用于网站搭建场景。如果您想要搭建一个网站，并且使其可以通过Internet被访问，需要完成以下环节的工作： 图1 四步实现通过域名访问网站 注册域名并进行域名实名认证 通过域名注册商完成，如果您选择华为云作为您的域名注册商，可以参考域名注册完成网站域名的注册。 中信部规定，域名需要在注册完成的5个工作日内提交实名认证，否则将会被注册局暂停解析，影响域名的使用。 搭建网站 您可以选择通过华为云或者其他云平台搭建您的网站，如果您选择在华为云搭建您的网站，网站搭建从搭建方式、网站类型、操作系统等维度指导您完成网站的搭建。 备案网站 如果您的网站部署在华为云中国站，则可以通过华为云的备案中心进行备案，详细内容请参见什么是备案。 中信部规定，网站的域名和服务器IP需要进行备案，备案成功后您的域名才可以指向服务器开通访问。 解析域名 您可以选择华为云的云解析服务为您的网站域名提供DNS解析服务。要实现这一点，您需要在云解析服务中创建公网域名，并添加域名到弹性公网IP的解析记录。 配置网站解析指导您完成域名解析。 之后，您就可以通过在浏览器输入域名访问您的网站，其过程如图2所示。 图2 访问网站示意图 “阶段一”表示云解析服务的公网域名解析过程。 “阶段二”表示公网域名解析成功后，用户通过域名访问网站服务器的过程。 如果网站的域名未通过实名认证，网站没有通过备案审核，则会导致“阶段二”受阻，网站无法正常访问。 详细内容请参见为什么域名解析成功但网站仍然无法访问？ 公网域名解析过程与域名的分层结构有关，下面详细介绍域名分层结构及域名解析过程。

域名解析过程 通过域名www.example.com访问网站的域名解析过程如图3所示。 图3 域名解析过程 用户通过Web浏览器输入网站域名www.example.com。 Web浏览器将对域名www.example.com的查询请求路由到Local DNS。 Local DNS缓存域名解析数据，并提供递归查询功能。Local DNS通常是Internet服务商提供的DNS。 Local DNS在缓存中没有查询到域名的解析记录，将对域名www.example.com的查询请求路由到根域名服务器。 因域名后缀为.com，根域名服务器向Local DNS返回.com顶级域服务器的地址。 Local DNS将对域名www.example.com的查询请求路由到.com顶级域服务器。 .com顶级域服务器向Local DNS返回为域名example.com提供权威解析服务的权威DNS服务器地址。 Local DNS将对域名www.example.com的查询请求路由到权威DNS服务器。 如果域名www.example.com的DNS服务器设置为华为云DNS服务器地址，则云解析服务作为权威DNS服务器为域名提供权威的解析记录。 权威DNS服务器向Local DNS返回域名对应的网站IP地址。 Local DNS向Web浏览器返回网站IP地址。 Web浏览器通过网站IP地址访问网站服务器。 网站服务器向Web浏览器返回网站主页。 终端用户从Web浏览器获取网站主页，对网站的访问成功。 云解析服务的公网域名解析功能可以应用于网站解析、邮箱解析等场景：配置网站解析

云服务器切换 随着互联网用户数量的高速增长，一个网站应用部署在一个服务器上很难经得起高并发的访问，业务拆分到多个服务器分担压力是最基本的方案。 多个服务器可以建立在同一个VPC内，云服务器之间通过私网IP实现互访，私网IP会写入云服务器的内部调用API接口中。此时，存在这样的问题：假如其中一个云服务器发生切换，私网IP也会随之变化，这时就需要修改其他云服务器代码中的API接口，并重新发布变更，维护极其不便。 这时，如果您通过云解析服务为您VPC内的每个云服务器创建一个内网域名，并添加到对应私网IP的解析。这样，云服务器之间可以通过内网域名进行互访。当某个云服务器发生切换时，无需修改云服务器的代码，只需修改对应域名的解析记录即可。 云解析服务作为内网DNS的典型应用场景如图2所示。 图2 为 云服务器配置 内网域名 在一个VPC内，部署了ECS和RDS。其中： ECS：作为主业务站点和业务入口。 ECS1：作为公共接口。 RDS1：作为数据库，存储业务数据。 ECS2和RDS2：作为备份服务器和数据库。 当该网站在运行过程中，因ECS1故障，需要将业务切换到备份的 云服务器ECS 2时，如果云服务器没有配置内网域名，则需要通过修改主业务节点ECS的代码来重新设置云服务器的内网IP地址。该操作需要中断业务并重新发布网站，耗时耗力。 假如在部署该网站时，我们为云服务器申请了内网域名，且代码中设置的是云服务器的内网域名，则仅需要通过修改内网域名解析记录即可实现云服务器的切换，无需中断业务，也不需要重新发布网站。 您可以参考为云服务器配置内网域名为您的云服务器规划内网域名信息。

服务韧性 基于华为在全球ICT基础设施领域积累，华为云DNS累计在全球20+国家/地区部署上百个节点，实现每个Region多AZ多集群容灾，即使部分节点、集群、Region发生故障也不会导致解析中断，极大提高服务可靠性。 华为十多年安全攻防经验及优秀实践，结合华为云自建多地高防机房和运营商骨干网高防清洗中心多重防护，支持T级DDoS防护，可以快速有效应对各类DNS攻击，保护域名解析业务连续性。 自研新一代高性能DPDK解析加速服务，单服务器节点支持千万级并发，服务整体支持亿级并发，为用户提供高性能无限扩展的解析服务。 支持智能解析，可以按运营商、大洲/国家、权重等方式将用户流量调度到不同后端服务器，极大提高客户业务可靠性。 父主题： 安全

如何选择区域？ 选择区域时，您需要考虑以下几个因素： 地理位置 一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。 在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户，可以选择“非洲-约翰内斯堡”区域。 在拉丁美洲地区有业务的用户，可以选择“拉美-圣地亚哥”区域。 “拉美-圣地亚哥”区域位于智利。 资源的价格 不同区域的资源价格可能有差异，请参见华为云服务价格详情。

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的 云安全 挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

什么是区域、可用区？ 区域和可用区用来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。 图1 区域和可用区 目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。更多信息请参见华为云全球站点。

产品优势 云解析服务具有以下优势： 高性能 云解析服务采用自研的新一代高性能解析加速服务，单节点支持千万级并发，为您提供高效稳定的解析服务。 安全防护 云解析服务基于华为自研Anti-DDoS设备以及多年防护经验，可以有效应对各类DDoS攻击。 轻松访问云上资源 云解析服务支持为云服务器创建内网域名，既支持云服务器之间通过内网域名互相访问，也支持云服务器通过内网DNS访问云上资源，无需经过Internet，访问时延小，性能高。 您可以参考为云服务器配置内网域名为您的云服务器创建域名。 平滑切换无感知 支持将使用中的网站域名迁移至华为云云解析服务进行解析。在域名转入时，我们可以提前创建域名，并设置解析记录，使您网站的DNS服务实现平滑切换，用户访问体验不中断。 DNS服务平滑切换的详细内容请参考迁移域名到华为云进行域名解析。 核心数据安全隔离 对于保存核心数据的云服务器，不绑定弹性IP，使用内网DNS为其提供域名解析服务，这样，既保证了核心数据的安全性，又实现了对核心数据的访问。

基本功能 云解析服务为您提供以下解析服务类型： 公网域名解析 云解析服务将公网域名与IP地址相关联，为您提供基于Internet网络的域名解析服务，实现通过域名直接访问网站或者Web应用程序。 内网域名解析 云解析服务将在VPC内生效的内网域名与私网IP地址相关联，为华为云上资源提供VPC内的域名解析服务。 反向解析 云解析服务支持通过IP地址反向获取该IP地址指向的域名，通常用于自建邮件服务器的场景，是提高邮箱IP和域名信誉度的必要设置。 智能线路解析 云解析服务支持按运营商、地域等不同访问者IP的来源和类型，对同一域名的访问请求作出不同的解析响应，指向不同服务器的IP地址。解决跨运营商或者跨地域访问慢的难题，提高解析效率。

审计与日志 云审计 服务（Cloud Trace Service， CTS ），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，CTS可记录DNS的操作事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。 DNS支持审计的操作事件请参见支持审计的关键操作列表。 查看审计日志请参见查看审计日志。 父主题： 安全

功能总览 表1列出了云解析服务的常用功能。 在使用云解析服务之前，建议您先了解云解析服务的基本概念，以便更好地理解云解析服务提供的各项功能。 表1 云解析服务常用功能 功能分类 功能名称 功能描述 公网域名解析 公网域名 DNS支持为通过域名注册商注册的域名提供Internet网络的解析服务。DNS提供创建、修改、删除、暂停/启用、查看公网域名详情等基本操作。 详细内容，请参见公网域名管理简介。 域名级别 DNS支持创建的域名级别为主域名以及主域名的一级子域名。 如果域名后缀为一级（例如.com），支持创建主域名（例如example.com）、子域名（www.example.com） 如果域名后缀为两级（例如.com.cn），支持创建主域名（例如example.com.cn）、子域名（例如www.example.com.cn） 记录集 记录集是一组资源记录，用于定义域名的解析类型以及解析值。DNS支持为公网域名添加A、CNAME、MX、AAAA、TXT、SRV、NS以及CAA类型的记录集，还支持修改、删除、查看、暂停以及启用记录集。 详细内容，请参见解析管理简介。 找回域名 当域名已经被其他租户创建时，DNS支持域名所有者找回域名。 详细内容，请参见找回域名。 泛解析 DNS支持为主域名的所有子域名添加记录集，为所有子域名提供解析服务。 详细内容，请参见设置域名泛解析。 别名解析 DNS支持将解析记录与华为云服务资源实例（企业门户、 Web应用防火墙 ）相关联，为企业门户以及Web应用防火墙实例提供解析服务。 详细内容，请参见设置别名解析。 TTL DNS支持设置解析记录在本地DNS服务器的缓存时间。TTL取值范围：1~2147483647。 权重 DNS支持通过权重比例返回解析记录。 当域名在同一解析线路中有多条同一类型的解析记录时，可以通过“权重”设置解析记录的响应比例。 详细内容，请参见配置权重解析。 批操作 DNS支持批量添加、修改、转移、删除域名列表中的公网域名。 内网域名解析 内网域名 DNS支持创建在关联VPC内生效的内网域名，并为域名提供内网DNS解析服务。DNS提供创建、修改、删除、查看内网域名等基本操作，还支持关联VPC、解关联VPC功能。 内网域名无需注册，可以自由创建。 内网域名在关联VPC内唯一。 详细内容，请参见内网域名管理简介。 关联/解关联VPC DNS支持为内网域名关联或者解关联VPC。 详细内容，请参见为内网域名关联VPC和为内网域名解关联VPC。 记录集 记录集是一组资源记录，用于定义域名的解析类型以及解析值。DNS支持为内网域名添加A、CNAME、MX、AAAA、TXT、PTR以及SRV类型的记录集，还支持修改、删除以及查看记录集。 详细内容，请参见解析管理简介。 泛解析 DNS支持为内网域名的所有子域名添加记录集，为所有子域名提供解析服务。 详细内容，请参见设置域名泛解析。 TTL DNS支持设置解析记录在本地DNS服务器的缓存时间。TTL取值范围：1~2147483647。 批操作 DNS支持批量添加、修改、转移、删除域名列表中的内网域名。 反向解析 反向解析 DNS支持通过弹性IP获取该IP地址指定域名的反向解析服务，常应用于自建邮件服务器场景。DNS提供创建、修改以及删除反向解析。 详细内容，请参见反向解析管理简介。 TTL DNS支持设置解析记录在本地DNS服务器的缓存时间。TTL取值范围：1~2147483647。 批操作 反向解析支持批量导出反向解析 智能线路解析 运营商线路解析 DNS支持根据访问用户所在运营商网络调度到最佳访问地址。 详细内容，请参见配置运营商线路解析。 地域解析 DNS支持根据访问用户所处地理位置调度到最佳访问地址。 详细内容，请参见配置地域解析。 自定义线路解析 DNS支持自定义解析线路，根据访问用户所在IP网段，返回不同的解析结果。 详细内容，请参见配置自定义线路解析。 解析记录 全局搜索记录集 DNS支持集中管理公网域名和内网域名记录集。主要包括： 支持根据记录集状态、记录集类型、域名、记录集的值、记录集ID以及标签等条件搜索公网域名或者内网域名记录集。 支持修改、删除、暂停或者启用公网域名的记录集。 支持修改、删除内网域名的记录集。 详细内容，请参见全局搜索记录集。 批操作 DNS支持对公网域名和内网域名记录集的批操作，包括批量添加、批量删除、批量导入以及批量导出。 详细内容，请参见： 批量添加记录集（仅支持对公网域名操作） 批量删除记录集（仅支持对公网域名操作） 批量导入域名解析记录 批量导出域名解析记录。 快速添加解析 DNS支持为域名快速添加网站解析和邮箱解析。 详细内容，请参见快速添加网站解析和快速添加邮箱解析。 审计 查看审计日志 通过云审计，您可以记录与云解析服务相关的操作事件，便于日后的查询、审计和回溯。 华为云提供查看审计日志功能，支持在云审计服务管理控制台查看或导出最近7天的操作记录。 标签 资源标签 DNS支持为公网域名、内网域名、记录集以及反向解析等资源配置标签，也支持通过标签管理服务的预定义标签功能快速将标签与资源进行关联。 权限 权限管理 您可以使用统一身份认证服务IAM对您所拥有的云解析服务进行权限管理，以满足企业基于组织划分、职能划分设置不同的访问权限。 华为云支持为云解析服务提供权限管理功能：创建用户并授权使用DNS。 配额 配额调整 为防止资源滥用，云平台限定了各类资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少公网域名、内网域名、记录集或者反向解析。 如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 详细内容，请参见配额调整。

DNS权限 默认情况下，账号管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DNS资源包括： 公网域名：在创建时不区分物理区域，为全局级服务。 内网域名：在创建时通过物理区域划分，为项目级服务。 反向解析：在创建时通过物理区域划分，为项目级服务。 上述DNS资源中，公网域名的权限不支持在“全局服务”中设置。因此，DNS资源的权限均需按照项目级服务进行授权。 授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京4）对应的项目（cn-north-4）中设置相关权限，则该权限在所有区域项目中都生效。访问DNS时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对DNS服务，管理员能够控制IAM用户仅能对某一类DNS资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，DNS支持的API授权项请参见策略及授权项说明。 如表1所示，包括了DNS的所有系统权限。 表1 DNS系统权限 系统角色/策略名称 描述 类别 依赖关系 DNS FullAccess 云解析服务的所有执行权限。 系统策略 无 DNS ReadOnlyAccess 云解析服务只读权限，拥有该权限的用户仅能查看云解析服务资源。 系统策略 无 DNS Administrator 云解析服务的所有执行权限。 系统角色 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 表2列出了DNS常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 常用操作与系统权限的关系 操作 DNS FullAccess DNS ReadOnlyAccess DNS Administrator 创建公网域名 √ x √ 查看公网域名 √ √ √ 修改公网域名 √ x √ 删除公网域名 √ x √ 批量删除公网域名 √ x √ 暂停/启用公网域名 √ x √ 创建内网域名 √ x √ 查看内网域名 √ √ √ 修改内网域名 √ x √ 删除内网域名 √ x √ 批量删除内网域名 √ x √ 为内网域名关联VPC √ x √ 为内网域名解关联VPC √ x √ 添加记录集 √ x √ 查看记录集 √ √ √ 修改记录集 √ x √ 删除记录集 √ x √ 批量删除记录集 √ x √ 暂停/启用记录集 √ x √ 批量导出解析记录 √ x √ 批量导入解析记录 √ x √ 创建反向解析 √ x √ 查看反向解析 √ √ √ 修改反向解析 √ x √ 删除反向解析 √ x √ 批量删除反向解析 √ x √ 创建自定义线路 √ x √ 查看自定义线路 √ √ √ 修改自定义线路 √ x √ 删除自定义线路 √ x √

域名格式与级别 域名格式需满足如下要求： 域名以点号分隔成多个字符串。 单个字符串由各国文字的特定字符集、字母、数字、连字符（-）组成，连字符（-）不得出现在字符串的头部或者尾部。 单个字符串长度不超过63个字符。 字符串间以点分隔，且总长度（包括末尾的点）不超过254个字符。 云解析服务定义域名级别如下： 根域名：.。 顶级域名：.com，.net，.org，.cn等。 二级域名：即顶级域名的子域名，example.com，example.net，example.org等。 三级域名：即主域名的子域名，abc.example.com，abc.example.net，abc.example.org等。 以此类推，在上一级域名最左侧进行域名级别的拓展，def.abc.example.com，def.abc.example.net，def.abc.example.org等。 父主题： 基本概念

与其他服务的关系 云解析服务与周边服务的依赖关系如图1所示。 图1 云解析服务与其他服务的关系示意图 云解析服务与其他服务的关系如表1所示。 表1 与其他服务的关系 相关服务 交互功能 位置 弹性云服务器 为弹性云服务器提供域名解析服务 配置网站解析 虚拟私有云 提供基于VPC网络的域名解析服务 配置内网解析 对象存储服务 托管静态网站，提供域名到存储桶资源的映射 托管静态网站 云审计服务 记录与云解析服务相关的操作事件 支持审计的关键操作列表 域名注册 为注册的域名提供解析服务 配置网站解析（华为云注册域名） 统一身份认证服务 创建用户并授权使用DNS 创建用户并授权使用DNS 企业管理 通过企业项目管理云解析服务的公网域名、内网域名以及反向解析资源 创建公网域名 创建内网域名 创建反向解析

反向解析 反向解析是指通过IP地址反向获取该IP地址指向的域名，可以应用于自建邮件服务器的场景，是提高邮箱IP和域名信誉度的必要设置。 通常收件服务器在收到邮件时，会通过检测发件方邮箱的IP信誉度和域名信誉度，来判断是否为垃圾邮件。如果收件服务器反向解析发件方IP地址无法获取邮箱域名，则会认为这是由恶意主机发送的垃圾邮件而拒收。因此，搭建邮箱服务器时，建议您为邮箱服务器的IP地址添加到域名的反向解析。 假设要部署ECS作为邮箱服务器，且已经通过云解析服务为ECS的弹性IP添加反向解析记录，此时，反向解析在邮件收发过程中的应用如图1所示。 图1 反向解析应用 图1中仅描述与云解析服务相关的流程，邮件收件方对于发件方IP和域名信誉度的检测，本文不做描述。 如果没有为邮箱服务器添加反向解析记录，则收件方在收到邮件后，无法根据发件方的IP地址反向解析出邮箱域名。收件方会认为这是由恶意主机发送的垃圾邮件而选择拒收。因此，自建邮箱服务器时，为邮箱服务器的IP地址添加反向解析记录是必不可少的步骤。 您可以参考配置反向解析为您的云服务器配置反向解析。

配额 查看每个配额项目支持的默认配额，请参考怎样查看我的配额？，登录控制台查询您的配额详情。如果需要扩大配额，可以提交工单申请提升配额。 表1 配额 资源类型 默认配额限制 如何提升配额 公网域名 50个 可以通过提交工单提高此限制。 内网域名 50个 可以通过提交工单提高此限制。 记录集 500个 可以通过提交工单提高此限制。 URL转发记录集 2个 可以通过提交工单提高此限制。 反向解析 50个 可以通过提交工单提高此限制。 自定义线路 50个 可以通过提交工单提高此限制。 入站终端节点 50个 可以通过提交工单提高此限制。 出站终端节点 50个 可以通过提交工单提高此限制。 解析规则 50个 可以通过提交工单提高此限制。

规格与限制 表2 规格说明 资源类型 规格 说明 每个终端节点绑定的IP地址的最大个数 6个 可以通过提交工单提高此限制。 每个内网域名关联的VPC的最大个数 无限制 - 每个解析规则关联的VPC的最大个数 无限制 - VPC内单个ECS解析请求量 2000次/秒 VPC内单IP每秒最高QPS为2000次，每秒请求DNS峰值超过限制阈值后，将面临限速风险。 如果您的业务确实会产生超高的并发解析请求，建议您开启DNS缓存功能，以提升解析效率。 VPC内所有ECS解析总请求量 无限制 - VPC内单个ECS外部递归解析请求量 600次/秒 VPC内单IP外部递归解析请求阈值为600次/秒，超过限速阈值后，将面临限速风险。 如果您的业务确实会产生超高的并发解析请求，建议您开启DNS缓存功能，以提升解析效率。 VPC内所有ECS外部递归解析总请求量 5000次/秒 单个VPC内整体外部递归请求阈值为5000次/秒，超过限速阈值后，将面临限速风险。 如果您有特殊诉求访问大量互联网域名等业务场景，请提前提交工单联系技术支持沟通解决方案，以免因为限速影响您的业务。 VPC内单个域名外部递归解析请求量 50次/秒 单个VPC内对单个域名及其子域名（如：example.com）的外部递归解析请求阈值为50次/秒，超过限速阈值后，将面临限速风险。 单个公网域名请求带宽 5G 如果您的公网域名存在引入攻击等华为侧评估的非正常请求，请求量超过5G，域名会面临封禁清退风险，建议您选择合适的安全防护产品。 解析器入站终端节点单IP解析请求量 10000次/秒 终端节点单个IP的解析请求阈值为10000次/秒，互联网域名外部递归请求阈值为600次/秒，超过限速阈值后，将面临限速风险。 如果您的业务确实会产生超高的并发解析请求，建议您本地开启DNS缓存功能，以提升解析效率。 解析器出站终端节点单IP解析请求量 10000次/秒

开启性能管理 登录CAE控制台。 在左侧导航栏中选择“组件配置”。 在“组件配置”页面上方的下拉框中选择需要操作的组件。 图1 选择组件 单击“性能管理”模块中的“编辑”。 单击，开启性能管理开关。 图2 配置性能管理 单击“确定”，完成配置。 使配置生效。 如已完成组件部署，单击页面上方“生效配置”。在右侧弹框中确认配置信息，并单击“确定”，使配置生效。 如未完成组件部署，单击页面上方“配置并部署组件”。在右侧弹框中单击“确定”待部署执行完成后，配置生效。 性能管理开启后， APM Agent会周期性采集一些性能指标数据。您可以登录APM控制台查看应用指标监控、调用链、应用拓扑等，具体操作请参考《APM2.0用户指南》。 组件性能管理生效配置后，如果修改监控系统配置，需要重新配置性能管理，并生效配置。 图3 查看性能管理状态

示例流程 图1 给用户授权CAE权限流程 创建用户组并授权 在IAM控制台创建用户组，并授予CAE“CAE ReadOnlyAccess”权限。 创建IAM用户 在IAM控制台创建用户，并将其加入1中创建的用户组。 IAM用户登录并验证权限 新创建的用户登录控制台，验证CAE的只读权限。 在“服务列表”中选择“云应用引擎CAE”，进入“组件列表”，单击“新建组件”，“创建组件并部署”若提示没有操作权限，表示“CAE ReadOnlyAccess”已生效。 在“服务列表”中选择除CAE外的任一服务，若提示权限不足，表示“CAE ReadOnlyAccess”已生效。

添加监控系统配置 登录CAE控制台。 在左侧导航栏中选择“系统设置”。 单击“监控系统配置”模块中的“编辑”，进入“监控系统配置”页面。 参考表1和表2配置监控系统。 表1 基本配置 参数 参数说明 监控系统 目前只支持APM2.0接入。 采集方式 推荐使用增强型探针。 增强型探针：提供更丰富、更稳定的性能。 Open Telemetry：开源可观测性框架。 代码配置方式 默认勾选“开启自动注入探针（仅Java）” 探针包 “采集方式”选择“Open Telemetry”时可配置。支持“CAE提供的探针包”。 探针版本 在下拉框中选择“探针版本”。 探针升级策略 支持如下两种升级策略，默认为“重启自动升级”。 重启自动升级：每次都尝试重新下载镜像。 手动升级：如果本地有该镜像，则使用本地镜像，本地不存在时下载镜像。 表2 接入配置 参数 参数说明 APM应用 在下拉框中选择需接入的APM应用名称。 如果无对应的应用，请单击“前往APM创建APM应用”，跳转至APM控制台进行创建。 接入点 接入点会自动获取，无须手工输入。 AccessKey “采集方式”选择“增强型探针”时可配置。 接入密钥会自动获取APM2.0第一条密钥，如无密钥，可单击“前往APM创建访问密钥”进行创建。 SecretKey “采集方式”选择“增强型探针”时可配置。 SecretKey会自动获取，无须手工输入。 访问凭证 “采集方式”选择“OpenTelemetry”时显示。 访问凭证会自动获取，无须手工输入。 可单击查看访问凭证。 图1 配置增强型探针 图2 配置“OpenTelemetry”探针 单击“确定”，完成监控系统配置。