华为云用户手册

配置告警行动规则 在“总览”页面切换为“应用视角”。 在快速入门区域，单击“配置告警行动规则”，进入“告警行动规则”页面。 在“告警行动规则”页签下，单击“创建告警行动规则”。 设置行动规则名称、类型等信息，参数说明如表8所示。 图11 创建告警行动规则 表8 告警行动规则参数说明 参数名称 说明 行动规则名称 行动规则的名称，只能由中文、数字、字母、下划线和中划线组成，且不能以下划线或中划线开头和结尾，最多可输入200个字符。 企业项目 所属的企业项目。 如果在全局页面设置为“ALL”，此处请从下拉列表中选择企业项目。 如果在全局页面已选择企业项目，则此处灰化不可选。 描述 行动规则的描述信息，最多可输入1024个字符。 行动规则类型 行动规则的类型。 指标或事件 当指标或事件满足对应的告警条件时，系统根据关联 SMN 主题与消息模板来发送告警通知。 日志 当日志数据满足对应的告警条件时，系统根据关联SMN主题与消息模板来发送告警通知。 行动方式 告警行动规则与SMN主题、消息模板关联的类型，请从下拉列表中选择。当前只支持“通知”类型。 主题 SMN主题，请从下拉列表中选择。 若没有合适的主题，请单击主题选择栏下方“创建主题”，在SMN界面创建。 消息模板 通知消息的模板，请从下列列表中选择。 若没有合适的消息模板，请单击消息模板选择栏右侧“创建消息模板”，新建消息模板。 设置完成后，单击“确定”。

什么是 应用运维管理 应用运维管理（Application Operations Management，简称 AOM ）是云上应用的一站式立体化运维管理平台，融合 云监控 、 云日志 、应用性能、真实用户体验、后台链接数据等多维度可观测性数据源，提供应用资源统一管理、一站式可观测性分析和自动化运维方案，帮助用户及时发现故障，全面掌握应用、资源及业务的实时运行状况，提升企业海量运维的自动化能力和效率。 图1 AOM产品结构图 托管&运行态 AOM可无缝对接多个上层运维服务，支持快速从应用管理与运维平台（ServiceStage）、 函数工作流 （FunctionGraph）和微服务引擎（Cloud Service Engine， CS E）等上层运维服务采集指标数据并实时、可视化呈现。 可观测性分析 基于四层指标体系（基础设施层指标、中间件层指标、应用层指标和业务层指标），通过事务监控、容器监控、普罗监控等功能，提供异常检测、历史数据分析、性能分析、关联性和场景化分析等可观测性分析能力。 运维自动化 提供批量磁盘清理、作业编排、脚本执行等功能，将日常运维操作服务化、标准化、自动化。 应用资源管理 通过应用管理、资源搜索等功能，将所有资源对象与应用统一管理，为AOM上层运维场景服务提供准确、及时、一致的资源配置数据。 采集管理 统一管理插件，并为AOM提供指令下发功能，如脚本下发和执行。 开放 支持原生PromQL数据上报，也可通过API等方式上报数据，并也可通过grafana查看数据，通过kafka转储数据。

资源编排 服务 资源编排服务（Resource Formation Service，简称 RFS ）通过图形化设计器，直观便捷的进行云服务资源开通和应用部署，将复杂的云服务资源配置和应用部署配置通过模板描述，从而实现一键式云资源与应用的开通与复制；同时在示例模板中提供了海量的免费应用模板，覆盖各热点云服务应用场景，方便您直接使用或为您设计个性化模板提供参考。 通过AOM界面您可监控RFS的基础资源和运行在其上的应用，同时在AOM界面还可查看相关的日志和告警。

裸金属服务器 裸金属服务器（Bare Metal Server，简称BMS）为您和您的企业提供专属的云上物理服务器，为核心数据库、关键应用系统、高性能计算、大数据等业务提供卓越的计算性能以及数据安全，结合云中资源的弹性优势，租户可灵活申请，按需使用。 您购买了裸金属服务器（裸金属服务器操作系统需满足表4中的使用限制，且购买后需要给裸金属服务器安装UniAgent，否则无法使用AOM监控）后，在AOM界面可对裸金属服务器的基础资源和运行在其上的应用进行监控，同时在AOM界面还可查看相关的日志和告警。

消息通知 服务 消息通知服务（Simple Message Notification，简称SMN）可以依据您的需求主动推送通知消息，最终您可以通过短信、电子邮件、应用等方式接收通知信息。您也可以在应用之间通过消息通知服务实现应用的功能集成，降低系统的复杂性。 AOM使用SMN提供的消息发送机制，当您因不在现场而无法通过AOM查询阈值规则状态的变更信息时，能及时将该变更信息以邮件或短信的方式发送给相关人员，以便您及时获取资源运行状态等信息并采取相应措施，避免因资源问题造成业务损失。详细内容请参见创建指标告警规则。

云容器引擎服务 云容器引擎服务（Cloud Container Engine，简称CCE）是提供高性能可扩展的容器服务，基于云服务器快速构建高可靠的容器集群，深度整合网络和存储能力，兼容Kubernetes及Docker容器生态。帮助您轻松创建和管理多样化的容器工作负载，并提供容器故障自愈，监控日志采集，自动弹性扩容等高效运维能力。 通过AOM界面您可监控CCE的基础资源和运行在其上的应用，同时在AOM界面还可查看相关的日志和告警。

智能边缘平台 智能边缘平台（Intelligent EdgeFabric，简称IEF）通过纳管您的边缘节点，提供将云上应用延伸到边缘的能力，联动边缘和云端的数据，满足客户对边缘计算资源的远程管控、数据处理、分析决策、智能化的诉求，同时，在云端提供统一的设备/应用监控、日志采集等运维能力，为企业提供完整的边缘和云协同的一体化服务的边缘计算解决方案。 AOM提供对IEF资源的运维能力，无需额外安装其他插件，通过AOM您可监控IEF的资源（例如：边缘节点、应用、函数），同时在AOM还可以查看IEF资源的日志和告警。

应用性能管理 服务 应用性能管理服务（Application Performance Management，简称 APM ）是实时监控并管理云应用性能和故障的云服务，提供专业的分布式应用性能分析能力，可以帮助运维人员快速解决应用在分布式架构下的问题定位和性能瓶颈等难题，为您的体验保驾护航。 为了更好的监控、管理应用，AOM集成了APM的相关功能，可通过AOM界面统一运维；APM也有独立的控制台入口，也可以单独使用APM。

应用管理与运维平台 应用管理与运维平台（ServiceStage）是面向企业的一站式PaaS平台服务，提供应用云上托管解决方案，帮助企业简化部署、监控、运维和治理等应用生命周期管理问题；提供微服务框架，兼容主流开源生态，不绑定特定开发框架和平台，帮助企业快速构建基于微服务架构的分布式应用。 通过AOM界面您可监控ServiceStage的基础资源和运行在其上的应用，同时在AOM界面还可查看相关的日志和告警。

弹性云服务器 弹性云服务器（Elastic Cloud Server，简称ECS）是由CPU、内存、镜像、云硬盘组成的一种可随时获取、弹性可扩展的计算服务器，同时它结合虚拟私有云、虚拟防火墙、数据多副本保存等能力，为您打造一个高效、可靠、安全的计算环境，确保您的服务持久稳定运行。弹性云服务器创建成功后，您就可以像使用自己的本地PC或物理服务器一样，在云上使用弹性云服务器。 您购买了弹性云服务器（弹性云服务器操作系统需满足表4中的使用限制，且购买后需要给弹性云服务器安装UniAgent，否则无法使用AOM监控）后，在AOM界面可对弹性云服务器的基础资源和运行在其上的应用进行监控，同时在AOM界面还可查看相关的日志和告警。

自动化运维 表1 自动化运维基本概念 术语 说明 脚本管理 支持Shell、Python、Bat、Powershell脚本语言以及单个脚本的多版本管理。 作业管理 将脚本和文件原子操作进行多步骤编排形成作业模板，用于完成特定运维自动化场景操作。例如初始化业务环境。 执行方案 从作业模板中挑选1个或多个步骤组合组成执行方案。是作业模板的实例化对象。 云服务场景 云服务提供的原子化的变更场景。例如重启ECS。 标准化运维 将脚本、文件管理、执行方案、云服务场景组合合成一套操作流程，用于标准化特定场景的运维场景变更。 服务场景 将作业、标准化运维发布成服务，用户无需感知底层操作逻辑，仅输入简单的信息即可自助完成特定运维场景。 参数库 在作业、标准化运维中定义的全局共享参数，支持字符串，主机列表类型。除了达到多步骤参数共享目的，可清晰的看到整个流程涉及的全部参数和用途。 OS账号 用于执行脚本和文件管理的操作系统账户。 工具市场 服务默认提供的按照场景分类展现各功能的工具卡片，用户可根据需要控制场景从服务市场中上下架和基于安全考虑配置任务的审批流程。 父主题： 基本概念

产品优势 兼容开放 支持各类开源协议低门槛接入，开放了运营、运维数据查询接口和采集标准，提供全托管、免运维、低成本的云原生监控能力。 开箱即用 无需修改业务代码即可接入使用， 非侵入式数据采集，安全无忧。 丰富的数据源 融合云监控、云日志、应用性能、真实用户体验、后台链接数据等多维度可观测性数据源。 全栈一体化监控 覆盖用户端、服务端及云产品所有监控数据，提供从数据发现、数据展示到数据异常告警的全方位、可视化监控服务，实现从上到下、从前端到后端的全栈一体化监控。 关联分析 应用和资源层层自动关联，通过应用、组件、实例、主机和事务等多视角下钻分析指标、日志、告警数据，直击异常。 精准告警 构建指标告警、事件告警、日志告警的统一告警体系，提供分组、抑制和静默等告警降噪策略，结合告警通知和订阅等功能，帮助用户从容应对海量告警风暴，快速检测和修复业务告警。 统一可视化 支持对多种数据源，在同一个仪表盘中统一监控与分析，并以折线图、数字图等形式多样化、可视化呈现，帮助用户快速监控资源、及时获取数据发展趋势和制定决策。

应用资源管理 表1 应用资源管理基本概念 术语 说明 应用资源管理 简称CMDB，在AOM2.0中管理应用与云资源的关系，并为AOM的监控、自动化运维、APM服务提供统一、及时的资源环境管理服务。 应用TOPO结构 资源与应用关系的层次结构。CMDB遵循“应用 + 子应用（可选）+ 组件 + 环境”的应用管理模型。 企业项目 华为云企业项目，一个项目可以包含一个或者多个应用。 应用 应用资源管理的基础对象，资源管理模型的根节点。一个应用代表一个逻辑单元，可以理解为项目、产品、业务。应用创建后，每个region都可以看到相同的应用拓扑信息。 例如一个商城应用包含用户管理服务、登录验证服务、商品列表、订单管理服务等。 子应用 应用管理的可选节点，同一个应用下，最多可创建三层子应用。子应用可以理解为服务，对组件/微服务的归组分类。 组件 构成应用的最小单元,可以理解为应用程序或者应用依赖的一个中间件云服务组件，例如RDS，DMS。组件一般跟下面的环境一起组合使用，一个组件可以包含一个或者多个环境。比如一个订单的应用程序，包含功能测试环境，压力测试环境，预发环境以及现网环境等。 环境 用于区分一个组件的不同环境或者一个组件的多个部署区域。一个组件或者程序，由于部署不同的配置参数，形成多个环境。每个环境都有region属性，可以通过region信息实现环境的过滤，也可以在创建环境时打上一个或多个标签，通过标签进行环境过滤。例如按照环境类型区分包括：正式、测试。 环境标签 为环境设置的一个属性，多个环境可能具有相同的的标签，通过标签可过滤显示需要的环境。同一个标签只能添加在本应用下的不同环境，不能跨应用添加。 资源绑定 将资源对象与应用下的环境建立关联关系，在同一个应用下资源对象实例可属于多个环境。 解绑资源 关联资源后，当组件或环境信息变化，不需要资源时，可将资源从原应用节点解除绑定。 资源转移 关联资源后，当组件或环境信息变化，需要及时转移资源时，可将资源从原应用节点转移到目标应用的节点下。 父主题： 基本概念

采集管理 表1 采集管理基本概念 术语 说明 UniAgent 统一数据采集Agent，完成统一插件生命周期管理，并为AOM提供指令下发，如脚本下发和执行。它自身不提供数据采集能力，运维由不同的插件分工采集，插件按需安装、升级和卸载。后续逐步上线其它插件（如云监控和主机安全），统一规范管理。 AK/SK 访问密钥。通过提供租户级别的AK/SK来安装ICAgent，以便于采集日志数据。 ICAgent ICAgent用于采集指标、日志和应用性能数据，对于在ECS、BMS控制台直接购买的主机，您需手动安装ICAgent。对于通过CCE间接购买的主机，ICAgent会自动安装。 安装机 在AOM界面上，安装机支持批量下发安装UniAgent指令到主机，因此需要将VPC中某一台主机设置为安装机，该VPC其它主机均可通过界面远程安装。 代理区/代理机 为解决多云之间网络互通，需要在华为云购买和配置ECS主机为代理机，同时代理机上需要绑定公网IP，AOM通过该代理机下发部署控制命令到远程主机，运维数据也将经过该代理机至AOM。代理区由多个代理机组成，主要是考虑代理机的高可用性。 父主题： 基本概念

修订记录 表1 版本说明列表 日期 修订记录 2023-09-30 新增以下章节： AOM与 CES 的云服务监控功能对比 安全 优化以下章节： 基础指标：容器指标 2023-09-15 删除“计费说明”章节。 2023-08-04 删除“基础指标-云服务指标”章节。 2023-06-30 新增以下章节： 与AOM 1.0对比 基础指标：IoTDA指标 优化以下章节： 基础指标：容器指标 基础指标-云服务指标 2022-12-30 新增以下章节： 基础指标：虚机指标 基础指标：容器指标 基础指标-云服务指标 指标维度 优化以下章节： 简介 计费说明 2022-06-30 第一次发布。

与AOM 1.0对比 AOM 2.0基于AOM 1.0原有功能，结合用户常用的应用监控，增加了多种指标和日志数据的采集与监控，并对监控结果可视化呈现。同时，通过自动化运维功能将日常运维操作服务化、自动化，减少运维人员重复性操作。 本章节主要对比AOM 2.0与AOM 1.0版本的功能特性。 表1 AOM 2.0与AOM 1.0版本的功能特性对比 功能项 功能项说明 AOM 1.0 AOM 2.0 应用资源管理 资源检索 提供应用、主机等资源的检索功能，支持通过ID、关键字、名称等方式快速检索资源。 不支持 支持 应用管理 管理云服务对象与应用之间的关系，遵循“应用 + 子应用（可选）+ 组件 + 环境”的应用管理模型。 资源管理 全局查看所有的云服务资源对象与应用的关联关系，便于用户对资源进行分析和管理。 环境标签 为已创建的应用环境添加标签，便于用户快速过滤和查找相同属性的应用环境。 资源监控 接入中心 快速接入需要监控的业务层、应用层、中间件层、基础设施层指标。 不支持 支持 仪表盘 将不同图表展示到同一个屏幕上，通过多种图表形式展示资源的指标、日志和性能数据。 部分支持 只支持指标数据和系统性能数据的可视化监控，不支持日志数据的监控。 支持 告警管理 对服务设置事件条件或者对资源的指标设置阈值条件，当AOM自身或外部服务存在异常或可能存在异常而产生告警时，将告警信息以邮件、短信、企业微信等方式发送给指定的人员。 部分支持 只支持按指标类型和Prometheus命令创建指标告警规则，不支持按全量指标创建。 支持 应用洞察 基于CMDB模型，从应用、组件到环境对资源健康状态分层监控。 部分支持 不支持基于CMDB模型，对指标数据分层监控。 支持 容器洞察 从工作负载和集群2个维度监控CCE的资源使用、状态和告警等信息，以便快速响应，保证工作负载顺畅运行。 支持 支持 指标浏览 实时监控日志数据和各资源的指标数据及趋势，还可对关注的指标进行创建告警规则等操作，以便实时查看业务及分析数据关联分析。 部分支持 只支持监控分析指标数据，不支持监控分析日志数据。 支持 基础设施监控 实时监控主机和云服务运行状态和虚机CPU、内存、磁盘等信息。 支持 支持 Prometheus监控 全面对接开源Prometheus生态，支持类型丰富的组件监控，提供多种开箱即用的预置监控大盘，可灵活扩展云原生组件指标插件。 不支持 支持 业务监控 将ELB上报到LTS的日志数据提取为指标来统一管理，便于后续在指标浏览、仪表盘界面实时监控。 不支持 支持 日志分析 通过日志接入和日志搜索功能帮您快速在海量日志中查询到所需的日志，还可通过分析日志的来源信息和上下文原始数据快速定位问题。 支持 支持 进程监控 通过配置应用发现规则发现和收集主机上部署的应用和关联的指标，并支持从应用下钻到组件，从组件下钻到实例，从实例下钻到容器。通过各层状态，完成对应用或组件的立体监控。 支持 支持 数据订阅 支持用户订阅指标或者告警信息，订阅后可以将数据转发到用户配置的kafka或DMS的Topic中，供消费者消费转发的订阅的信息。 支持 支持 采集管理 通过UniAgent调度采集任务对数据进行采集。目前UniAgent安装支持两种方式：手动安装和自动安装。 不支持 支持 自动化运维 服务场景 提供不同任务类型，并且可以对各原子服务场景卡片进行管理。 不支持 支持 定时运维 提供创建定时任务等功能，并展示定时任务的执行记录。 任务管理 提供执行任务等功能，并展示所有任务的执行记录。 参数库 提供创建参数等功能，并展示现有所有参数信息。 作业管理 提供创建作业等功能，并支持对作业进行管理。 脚本管理 提供创建脚本等功能，并支持对脚本进行版本管理。 文件管理 提供创建文件包等功能，并支持对文件包进行版本管理。 随着AOM 1.0相关功能逐步被AOM 2.0全面取代，AOM 1.0后续会逐步下线，建议用户将AOM 1.0升级到AOM 2.0版本，升级的相关操作请参见升级AOM。

通过ICAgent上报的虚机指标的指标维度 表1 通过ICAgent上报的虚机指标的指标维度 指标类别 指标维度 说明 网络指标 clusterId 集群ID。 hostID 主机ID。 nameSpace 集群的命名空间。 netDevice 网卡名称。 nodeIP 主机IP。 nodeName 主机名称。 磁盘指标 clusterId 集群ID。 diskDevice 磁盘名称。 hostID 主机ID。 nameSpace 集群的命名空间。 nodeIP 主机IP。 nodeName 主机名称。 磁盘分区指标 diskPartition 磁盘分区。 diskPartitionType 磁盘分区类型。 文件系统指标 clusterId 集群ID。 clusterName 集群名称。 fileSystem 文件系统。 hostID 主机ID。 mountPoint 挂载点。 nameSpace 集群的命名空间。 nodeIP 主机IP。 nodeName 主机名称。 主机指标 clusterId 集群ID。 clusterName 集群名称。 gpuName GPU名称。 gpuID GPU ID。 npuName NPU名称。 npuID NPU ID。 hostID 主机ID。 nameSpace 集群的命名空间。 nodeIP 主机IP。 hostName 主机名称。 集群指标 clusterId 集群ID。 clusterName 集群名称。 projectId 项目ID。 容器指标 appID 服务ID。 appName 服务名称。 clusterId 集群ID。 clusterName 集群名称。 containerID 容器ID。 containerName 容器名称。 deploymentName 工作负载名称。 kind 应用类型。 nameSpace 集群的命名空间。 podID 实例ID。 podIP 实例IP。 podName 实例名称。 serviceID 存量ID。 nodename 主机名称。 nodeIP 主机IP。 virtualServiceName Istio虚拟服务名。 gpuID GPU ID。 npuName NPU名称。 npuID NPU ID。 进程指标 appName 服务名称。 clusterId 集群ID。 clusterName 集群名称。 nameSpace 集群的命名空间。 processID 进程ID。 processName 进程名称。 serviceID 存量ID。

服务韧性 AOM服务提供了多种可靠性容灾能力，可以通过AZ内实例容灾、多AZ容灾、多集群容灾、数据多副本等技术方案，保障服务的持久性和可靠性。 表1 AOM服务可靠性架构 可靠性方案 简要说明 AZ内实例容灾 单AZ内，AOM实例通过多实例方式实现实例容灾，快速剔除故障节点，保障实例持续提供服务。 多AZ容灾 AOM支持跨AZ容灾，当一个AZ异常时，不影响其他AZ下的实例持续提供服务。 多集群容灾 AOM支持多集群方案，当一个集群异常时，可以继续提供服务。 数据容灾 AOM的配置、指标、告警等数据均是多副本存储，保证了数据可靠性。 父主题： 安全

数据保护技术 AOM通过多种数据保护手段和特性，保障AOM的数据安全可靠。 表1 AOM的数据保护手段和特性 数据保护手段 简要说明 详细介绍 传输加密（HTTPS） AOM支持HTTPS传输协议，保证数据传输的安全性。 构造请求 数据冗余存储 指标、告警、配置等数据以多副本方式存储，保障数据可靠性。 / 数据订阅 AOM支持客户配置数据订阅，把客户的指标和告警数据发送到客户指定的DMS实例中，客户可以自由处理转储出来的这部分数据。 数据订阅 父主题： 安全

监控安全风险 AOM通过多种方式监控安全风险，保障数据安全可靠，具体请参见表1。 表1 AOM的监控安全风险 监控安全风险 简要说明 详细介绍 资源监控 AOM提供应用监控、工作负载监控、集群监控、主机监控、指标浏览等功能，支持实时监控您的应用及相关云资源，并将 数据可视化 展示，帮助用户快速分析应用健康状态。 应用监控 工作负载监控 集群监控 主机监控 指标浏览 告警管理 AOM支持通过告警规则对应用、资源及业务设置告警条件，当AOM自身或外部服务存在异常或可能存在异常时，将告警信息通过邮件、短信、企业微信等方式发送给指定人员，帮助用户及时发现故障。 告警管理使用说明 父主题： 安全

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的 云安全 挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

AOM与CES的云服务监控功能对比 本章节主要对比AOM 2.0的云服务监控与CES的云服务监控功能差异。 AOM的指标数据来源于CES。AOM的指标数据为Prometheus格式，CES为自定义格式。AOM与CES的云服务监控功能对比如表1所示。 表1 AOM的云服务监控与CES的云服务监控功能对比 功能 CES云监控 AOM 2.0云监控 跨账号统一监控 不支持 支持 自定义数据存储时长 不支持（默认可存储3个月）。 支持（最长367天）。 数据导出 支持导出近3个月聚合数据。 支持导出近48个小时原始数据。 支持仪表盘、API导出。 支持数据写入kafka。 聚合查询 不支持聚合查询，仅支持简单查询。 支持多实例聚合查询，例如：按标签、按资源组等聚合。 PromQL语法 不支持 支持，告警规则、仪表盘、指标浏览等监控功能均支持。 仪表盘 支持标准云产品的单实例大盘。 提供丰富的预置模板。 仪表盘支持的图表类型 2 8+ 仪表盘支持的监控视图数 50 100+ 创建告警规则数 仅支持1000。 默认3000+，最多支持10000+。 告警模板可添加告警规则数 仅支持50。 支持添加20+云服务，每个云服务支持添加100+告警规则。 历史告警保存时间 7天。 1年。 单次创建告警规则可选择的被监控对象数 5000 不限制，支持全部资源、正则匹配、精准匹配。 聚合告警 不支持 支持基于PromQL语法的聚合告警，例如：按CDN总带宽、EIP总带宽和OBS存储等条件聚合告警。 对接线下Grafana 不支持 支持以Prometheus数据源的方式直接对接到线下Grafana。 对接线下自建Prometheus 不支持 支持数据直接写入自建Prometheus。 业务监控 不支持 支持基于Prometheus、LTS日志和自定义渠道的业务监控。 应用监控 不支持 支持对JVM、Spring、Nginx、Tengine和Tomcat等的监控。 线下IDC监控 不支持 支持基于Prometheus Exporter的线下硬件、存储和网络等监控。 线下中间件监控 不支持 支持对线下MongoDB、Redis和RocketMQ等中间件的监控。

审计 云审计 服务（Cloud Trace Service， CTS ），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务并创建和配置追踪器后，CTS可记录AOM的管理事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。 CTS支持追踪的AOM管理事件列表，请参见审计。 图1 云审计服务

基础指标：Flink指标 介绍通过Flink服务上报到AOM的指标的类别、名称、含义等信息。 表1 Flink服务监控指标 分类 指标 指标含义 单位 CPU flink_jobmanager_Status_JVM_CPU_Load JobManager中JVM的CPU负载。 无 flink_jobmanager_Status_JVM_CPU_Time jobmanager中JVM使用的CPU时间。 无 flink_jobmanager_Status_ProcessTree_CPU_Usage JobManager 中JVM的CPU使用率。 无 flink_taskmanager_Status_JVM_CPU_Load TaskManager 中JVM的CPU负载。 无 flink_taskmanager_Status_JVM_CPU_Time TaskManager中JVM使用的CPU时间。 无 flink_taskmanager_Status_ProcessTree_CPU_Usage TaskManager 中的JVM的CPU使用率。 无 Memory flink_jobmanager_Status_JVM_Memory_Heap_Used JobManager的堆内存使用量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Heap_Committed 保证JobManager的JVM可用的堆内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Heap_Max JobManager中可用于内存管理的最大堆内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_NonHeap_Used JobManager的堆外内存使用量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_NonHeap_Committed 保证JobManager的JVM可用的堆外内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_NonHeap_Max JobManager中可用于内存管理的最大堆外内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Metaspace_Used JobManager MetaSpace内存池中当前使用的内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Metaspace_Committed JobManager MetaSpace内存池中保证可供JVM使用的内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Metaspace_Max JobManager MetaSpace内存池中可以使用的最大内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Direct_Count JobManager direct缓冲池中的缓冲区数。 无 flink_jobmanager_Status_JVM_Memory_Direct_MemoryUsed JobManager中JVM用于direct缓冲池的内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Direct_TotalCapacity JobManager中direct缓冲池中所有缓冲区的总容量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Mapped_Count JobManager中mapped缓冲池中的缓冲区个数。 无 flink_jobmanager_Status_JVM_Memory_Mapped_MemoryUsed JobManager中JVM用于mapped缓冲池的内存量。 字节（Byte） flink_jobmanager_Status_JVM_Memory_Mapped_TotalCapacity JobManager中mapped缓冲池中所有缓冲区的总容量 字节（Byte） flink_jobmanager_Status_Flink_Memory_Managed_Used JobManager中已使用的托管内存量。 字节（Byte） flink_jobmanager_Status_Flink_Memory_Managed_Total JobManager中托管内存总量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Heap_Used TaskManager的堆内存使用量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Heap_Committed 保证TaskManager的JVM可用的堆内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Heap_Max TaskManager中可用于内存管理的最大堆内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_NonHeap_Used TaskManager的堆外内存使用量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_NonHeap_Committed 保证TaskManager的JVM可用的堆外内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_NonHeap_Max TaskManager中可用于内存管理的最大堆外内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Metaspace_Used TaskManager MetaSpace内存池中当前使用的内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Metaspace_Committed TaskManager MetaSpace内存池中保证可供JVM使用的内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Metaspace_Max TaskManager MetaSpace内存池中可以使用的最大内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Direct_Count TaskManager direct缓冲池中的缓冲区数。 无 flink_taskmanager_Status_JVM_Memory_Direct_MemoryUsed TaskManager中JVM用于direct缓冲池的内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Direct_TotalCapacity TaskManager中direct缓冲池中所有缓冲区的总容量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Mapped_Count TaskManager中mapped缓冲池中的缓冲区个数。 无 flink_taskmanager_Status_JVM_Memory_Mapped_MemoryUsed TaskManager中JVM用于mapped缓冲池的内存量。 字节（Byte） flink_taskmanager_Status_JVM_Memory_Mapped_TotalCapacity TaskManager中mapped缓冲池中所有缓冲区的总容量。 字节（Byte） flink_taskmanager_Status_Flink_Memory_Managed_Used TaskManager中已使用的托管内存量。 字节（Byte） flink_taskmanager_Status_Flink_Memory_Managed_Total TaskManager中托管内存总量。 字节（Byte） flink_taskmanager_Status_ProcessTree_Memory_RSS 通过Linux获取整个进程的内存。 字节（Byte） Threads flink_jobmanager_Status_JVM_Threads_Count JobManager中活动的线程总数。 个 flink_taskmanager_Status_JVM_Threads_Count TaskManager中活动中的线程总数。 个 GarbageCollection flink_jobmanager_Status_JVM_GarbageCollector_ConcurrentMarkSweep_Count JobManager CMS垃圾回收器的回收次数。 次数 flink_jobmanager_Status_JVM_GarbageCollector_ConcurrentMarkSweep_Time JobManager CMS执行垃圾回收总耗时。 毫秒（ms） flink_jobmanager_Status_JVM_GarbageCollector_ParNew_Count JobManager GC次数。 次数 flink_jobmanager_Status_JVM_GarbageCollector_ParNew_Time JobManager每次GC时间。 毫秒（ms） flink_taskmanager_Status_JVM_GarbageCollector_ConcurrentMarkSweep_Count TaskManager CMS垃圾回收器的回收次数。 次数 flink_taskmanager_Status_JVM_GarbageCollector_ConcurrentMarkSweep_Time TaskManager CMS执行垃圾回收总耗时。 毫秒（ms） flink_taskmanager_Status_JVM_GarbageCollector_ParNew_Count TaskManager GC次数。 次数 flink_taskmanager_Status_JVM_GarbageCollector_ParNew_Time TaskManager每次GC时间。 毫秒（ms） ClassLoader flink_jobmanager_Status_JVM_ClassLoader_ClassesLoaded JobManager自JVM启动以来加载的类的总数。 无 flink_jobmanager_Status_JVM_ClassLoader_ClassesUnloaded JobManager自JVM启动以来卸载的类的总数。 无 flink_taskmanager_Status_JVM_ClassLoader_ClassesLoaded TaskManager自JVM启动以来加载的类的总数。 无 flink_taskmanager_Status_JVM_ClassLoader_ClassesUnloaded TaskManager自JVM启动以来卸载的类的总数。 无 Network flink_taskmanager_Status_Network_AvailableMemorySegments TaskManager未使用的内存segments的个数。 无 flink_taskmanager_Status_Network_TotalMemorySegments TaskManager中分配的内存segments的总数。 无 Default shuffle service flink_taskmanager_Status_Shuffle_Netty_AvailableMemorySegments TaskManager未使用的内存segments的个数。 无 flink_taskmanager_Status_Shuffle_Netty_UsedMemorySegments TaskManager已使用的内存segments的个数。 无 flink_taskmanager_Status_Shuffle_Netty_TotalMemorySegments TaskManager分配的内存segments的个数。 无 flink_taskmanager_Status_Shuffle_Netty_AvailableMemory TaskManager中未使用的内存量。 字节（Byte） flink_taskmanager_Status_Shuffle_Netty_UsedMemory TaskManager中已使用的内存量。 字节（Byte） flink_taskmanager_Status_Shuffle_Netty_TotalMemory TaskManager中分配的内存量。 字节（Byte） Availability flink_jobmanager_job_numRestarts 自作业提交以来的重新启动总数。 次 Checkpointing flink_jobmanager_job_lastCheckpointDuration 完成最新checkpoint所用的时间 毫秒（ms） flink_jobmanager_job_lastCheckpointSize 最新checkpoint的大小，如果启用了增量检查点或更改日志，则此度量可能与lastCheckpointFullSize不同。 字节（Byte） flink_jobmanager_job_numberOfInProgressCheckpoints 正在进行的checkpoint的数量。 个 flink_jobmanager_job_numberOfCompletedCheckpoints 成功完成的checkpoint的数量。 个 flink_jobmanager_job_numberOfFailedCheckpoints 失败的checkpoint的数量。 个 flink_jobmanager_job_totalNumberOfCheckpoints 所有checkpoint的总数。 个 IO flink_taskmanager_job_task_numBytesOut Task输出的字节总数。 字节（Byte） flink_taskmanager_job_task_numBytesOutPerSecond Task每秒输出的字节总数。 字节/秒（Byte/s） flink_taskmanager_job_task_isBackPressured Task是否反压。 无 flink_taskmanager_job_task_numRecordsIn Task收到的记录总数。 条 flink_taskmanager_job_task_numRecordsInPerSecond Task每秒收到的记录总数。 条/秒 flink_taskmanager_job_task_numBytesIn Task收到的字节数。 字节（Byte） flink_taskmanager_job_task_numBytesInPerSecond Task每秒收到的字节数。 字节/秒（Byte/s） flink_taskmanager_job_task_numRecordsOut Task发出的记录总数。 条 flink_taskmanager_job_task_numRecordsOutPerSecond Task每秒发出的记录总数。 条/秒 flink_taskmanager_job_task_operator_numRecordsIn Operator收到的记录总数。 条 flink_taskmanager_job_task_operator_numRecordsInPerSecond Operator每秒收到的记录总数。 条/秒 flink_taskmanager_job_task_operator_numRecordsOut Operator发出的记录总数。 条 flink_taskmanager_job_task_operator_numRecordsOutPerSecond Operator每秒发出的记录总数。 条/秒 flink_taskmanager_job_task_operator_sourceIdleTime Source 闲置时长。 毫秒（ms） flink_taskmanager_job_task_operator_source_numRecordsIn source收到的记录总数。 条 flink_taskmanager_job_task_operator_sink_numRecordsOut Sink端输出记录总数。 条 flink_taskmanager_job_task_operator_source_numRecordsInPerSecond 数据源Source端每秒输入的记录数。 条/秒 flink_taskmanager_job_task_operator_sink_numRecordsOutPerSecond 数据目的Sink端每秒输出的记录数。 条/秒 kafka connector flink_taskmanager_job_task_operator_currentEmitEventTimeLag 数据的事件时间与数据离开 Source 时的间隔 毫秒（ms） flink_taskmanager_job_task_operator_currentFetchEventTimeLag 数据的事件时间与数据进入Source的时间间隔 毫秒（ms） flink_taskmanager_job_task_operator_pendingRecords 尚未被 Source 拉取的数据数量 条 父主题： 指标总览

如何取消主机登录成功的告警通知？ 如果您在“实时告警通知”项目中勾选了“登录成功通知”选项，则任何账户登录成功的事件都会向您实时发送告警信息。 如果您所有ECS上的账户都由个别管理员负责管理，通过该功能可以对系统账户进行严格的监控。 如果系统账户由多人管理，或者不同主机由不同管理员负责管理，那么运维人员可能会因为频繁收到不相关的告警而对运维工作造成困扰，此时建议您登录 企业主机安全 控制台关闭该告警项。 登录成功并不代表发生了攻击，需要您确认登录IP是否是已知的合法IP。 父主题： 异常登录

如何选择区域？ 选择区域时，您需要考虑以下几个因素： 地理位置 一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。不过，在基础设施、BGP网络品质、资源的操作与配置等方面，中国大陆各个区域间区别不大，如果您或者您的目标用户在中国大陆，可以不用考虑不同区域造成的网络时延问题。 在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户，可以选择“南非-约翰内斯堡”区域。 在欧洲地区有业务的用户，可以选择“欧洲-巴黎”区域。 资源的价格 不同区域的资源价格可能有差异，请参见华为云服务价格详情。

什么是区域、可用区？ 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。 图1 区域和可用区 目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。

设置口令复杂度策略 为了确保系统的安全性，建议设置的口令复杂度策略为：口令最小长度不小于8且必须包含大写字母、小写字母、数字和特殊字符。 以下配置为基础的安全要求，如需其他更多的安全配置，请执行以下命令获取Linux帮助信息。 基于Red Hat 7.0的CentOS、Fedora、EulerOS系统 man pam_pwquality 其他Linux系统 man pam_cracklib CentOS、Fedora、EulerOS操作系统 执行以下命令，编辑文件“/etc/pam.d/system-auth”。 vi /etc/pam.d/system-auth 找到文件中的以下内容。 基于Red Hat 7.0的CentOS、Fedora、EulerOS系统： password requisite pam_pwquality.so try_first_pass retry=3 type= 其他CentOS、Fedora、EulerOS系统： password requisite pam_cracklib.so try_first_pass retry=3 type= 添加参数“minlen”、“dcredit”、“ucredit”、“lcredit”、“ocredit”。如果文件中已有这些参数，直接修改参数值即可，参数说明如表1所示。 示例： password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 type= “dcredit”、“ucredit”、“lcredit”、“ocredit”中均需要配置为负数。 表1 参数说明 参数 说明 示例 minlen 口令最小长度配置项。 如果需要设置最小口令长度为8，则minlen的值应该设置为8。 minlen=8 dcredit 口令数字要求的配置项。 值为负数N时表示至少有N个数字，值为正数时对数字个数没有限制。 dcredit=-1 ucredit 口令大写字母要求的配置项。 值为负数N时表示至少有N个大写字母，值为正数时对大写字母个数没有限制。 ucredit=-1 lcredit 口令小写字母要求的配置项。 值为负数N时表示至少有N个小写字母，值为正数时对小写字母个数没有限制。 lcredit=-1 ocredit 特殊字符要求的配置项。 值为负数N时表示至少有N个特殊字符，值为正数时对特殊字符个数没有限制。 ocredit=-1 Debian、Ubuntu操作系统 执行以下命令，编辑文件“/etc/pam.d/common-password”。 vi /etc/pam.d/common-password 找到文件中的以下内容： password requisite pam_cracklib.so retry=3 minlen=8 difok=3 添加参数“minlen”、“dcredit”、“ucredit”、“lcredit”、“ocredit”。如果文件中已有这些参数，直接修改参数值即可，参数说明如表1所示。 示例： password requisite pam_cracklib.so retry=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 difok=3

工作原理 在主机中安装Agent后，您的主机将受到HSS云端防护中心全方位的安全保障，在安全控制台可视化界面上，您可以统一查看并管理同一区域内所有主机的防护状态和主机安全风险。 主机安全的工作原理如图1所示。 图1 工作原理 各组件功能及工作流程说明如下： 表1 组件功能及工作流程说明 组件 说明 管理控制台 可视化的管理平台，便于您集中下发配置信息，查看在同一区域内主机的防护状态和检测结果。 HSS云端防护中心 使用AI、机器学习和深度算法等技术分析主机中的各项安全风险。 集成多种杀毒引擎，深度查杀主机中的恶意程序。 接收您在控制台下发的配置信息和检测任务，并转发给安装在服务器上的Agent。 接收Agent上报的主机信息，分析主机中存在的安全风险和异常信息，将分析后的信息以检测报告的形式呈现在控制台界面。 Agent Agent通过HTTPS和WSS协议与HSS云端防护中心进行连接通信，默认端口：10180。 每日凌晨定时执行检测任务，全量扫描主机；实时监测主机的安全状态；并将收集的主机信息（包含不合规配置、不安全配置、入侵痕迹、软件列表、端口列表、进程列表等信息）上报给云端防护中心。 根据您配置的安全策略，阻止攻击者对主机的攻击行为。 说明： 如果未安装Agent或Agent状态异常，您将无法使用企业主机安全。 Agent可安装在华为云弹性云服务器（Elastic Cloud Server，ECS）/裸金属服务器（Bare Metal Server，BMS）、线下IDC以及第三方云主机中。 根据操作系统版本选择对应的安装命令/安装包进行安装。 网页防篡改、 容器安全 与主机安全共用同一个Agent，您只需在同一主机安装一次。

日志保留周期 日志文件 日志描述 文件大小限制 路径下保留的文件 保留周期 hostwatch.log 记录守护进程运行时相关日志。 10MB 保留8个最新的日志文件。 不超过文件大小限制，只要不卸载HSS Agent，会一直保留日志信息。 hostguard.log 记录工作进程运行时相关日志。 10MB 保留8个最新的日志文件。 upgrade.log 记录版本升级时相关日志。 10MB 保留8个最新的日志文件。 hostguard-service.log 记录服务启动时相关日志（脚本）。 100kB 保留2个最新的日志文件。 config_tool.log 记录服务启动时相关日志（程序）。 10kB 保留2个最新的日志文件。 engine.log 记录服务退出时相关日志。 10kB 保留2个最新的日志文件。