华为云用户手册

GES自定义策略样例 示例1：授权用户拥有查询类权限、操作图权限 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "ges:*:get*", "ges:*:list*", "ges:graph:operate" ] } ] } 示例2：拒绝用户删除图 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。 如果您给用户授予GES FullAccess的系统策略，但不希望用户拥有GES FullAccess中定义的删除图权限，您可以创建一条拒绝删除独享集群的自定义策略，然后同时将GES FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对GES执行除了删除图外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "ges:graph:delete" ] } ] } 示例3：授权用户操作图名称前缀为ges_project的图（ges_project名字不区分大小写），访问图列表。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "ges:graph:create", "ges:graph:delete", "ges:graph:access", "ges:graph:getDetail" ], "Resource": [ "ges:*:*:graphName:ges_project*" ] }, { "Effect": "Allow", "Action": [ "ges:graph:list" ] } ]} 示例4：授权用户操作部分图资源，查看所有资源。 该策略分为两部分： 第一部分：授权用户操作资源名称前缀为ges_project的资源，资源包含图、备份。 第二部分：授权用户查询图列表、查询备份列表、查询任务列表、查询元数据列表、查看job详情。 { "Version": "1.1", "Statement": [ { "Action": [ "ges:backup:delete", "ges:graph:access", "ges:graph:operate", "ges:graph:delete", "ges:graph:create", "ges:backup:create", "ges:graph:getDetail" ], "Resource": [ "ges:*:*:backupName:ges_project*", "ges:*:*:graphName:ges_project*" ], "Effect": "Allow" }, { "Action": [ "ges:graph:list", "ges:backup:list", "ges:jobs:list", "ges:metadata:list", "ges:jobs:getDetail" ], "Effect": "Allow" } ]}

创建图的方式 本章节为您介绍如何使用图引擎服务（GES）进行创建图。 有三种创建方式可供选择：自定义创建，行业图模板创建和创建动态图，系统默认使用自定义创建方式。 自定义创建图：您可以直接使用系统默认的创图方式，进行查询和分析图。 行业图模板创建图：您可以选择想要创建的模板，系统会创建您所选规格的图并置入模板数据来供您查询和分析图。 创建动态图：此方式创建的图，系统默认开启动态图分析能力，可方便您利用动态图功能进行分析图。 如果您想要使用动态图功能，需使用创建动态图的方式，自定义和行业图模板创建的图不具有该功能，后续也无法开启动态图分析能力。 父主题： 创建图

操作步骤 在“元数据管理”页面，编辑元数据有两个入口： 单击对应元数据文件名称，进入元数据详情页，在页面底端单击“编辑”。 在对应元数据文件的“操作”列，单击“编辑”。 图1 编辑入口 在“编辑”页面： 手动构建页签下，您可以添加Label、添加Property、修改Label名称、通过上移和下移调整Property排序等操作。 可视化构建页签下，您可以拖动点到画布上添加Label，或者单击点或者边，修改label信息 。 修改完成后，单击“确定”保存修改。

角色权限 角色是 IAM 最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。只包含系统角色，不可自定义角色。 表1 GES系统角色 角色名称 描述 Tenant Guest 普通租户用户。 操作权限：可以对GES资源执行查看操作。 作用范围：项目级服务。 GES Administrator GES服务管理用户。 操作权限：可以对GES资源执行任意操作。 作用范围：项目级服务。 说明： 拥有该权限的用户同时拥有Tenant Guest、Server Administrator、VPC Administrator权限时，可以对GES资源执行任意操作。如果没有Tenant Guest或Server Administrator权限，将无法正常使用GES。 如果需要绑定/解绑EIP，则还需要拥有Security Administrator权限用于创建委托。 如果需要与OBS服务进行交互，例如创建，导入等操作，则还需要拥有OBS服务的权限，具体请参考GES常用操作对OBS权限的依赖关系，OBS权限授权时需要指定权限范围为全局服务资源。 GES Manager GES服务高级用户。 操作权限：可以对GES资源执行除创建图、删除图、变更规格、扩副本以外的任意操作。 作用范围：项目级服务。 说明： 拥有该权限的用户同时拥有Tenant Guest和Server Administrator权限时，可以对GES资源执行除创建图和删除图以外的任意操作。如果没有Tenant Guest权限，将无法正常使用GES。 如果需要绑定/解绑EIP，则还需要拥有Security Administrator和Server Administrator权限。 如果需要与OBS服务进行交互，例如导入操作，则还需要拥有OBS服务的权限，具体请参考GES常用操作对OBS权限的依赖关系，OBS权限授权时需要指定权限范围为全局服务资源。 GES Operator GES服务普通用户。 操作权限：可以对GES资源执行查看操作和访问图。 作用范围：项目级服务。 说明： 拥有该权限的用户同时拥有Tenant Guest权限时，可以对GES资源执行查看操作和访问图。如果没有Tenant Guest，则无法执行查看类操作或者访问图。 如果需要与OBS服务进行交互，例如查看元数据，则还需要拥有OBS服务的权限，具体请参考表3。 表2 GES常用操作与角色的关系 操作 GES Administrator GES Manager GES Operator Tenant Guest 创建图 √ × × × 删除图 √ × × × 查看图 √ √ √ √ 访问图 √ √ √ × 导入数据 √ √ × × 创建元数据 √ √ × × 查看元数据 √ √ √ √ 复制元数据 √ √ × × 编辑元数据 √ √ × × 删除元数据 √ √ × × 清空数据 √ √ × × 备份图 √ √ × × 恢复备份 √ √ × × 删除备份 √ √ × × 查看备份 √ √ √ √ 启动图 √ √ × × 停止图 √ √ × × 升级图 √ √ × × 导出图 √ √ × × 绑定EIP √ √ × × 解绑EIP √ √ × × 查看任务中心 √ √ √ √ 变更规格 √ × × × 扩副本图 √ × × × 重启图 √ √ × × 图细粒度权限配置 √ √ × × 用户组配置 √ √ × × 导入IAM用户 √ √ × × 查看用户详情 √ √ √ √ 表3 GES常用操作对OBS权限的依赖关系 GES操作 依赖的OBS权限 查看元数据 OBS Viewer策略或者OBS Buckets Viewer角色 创建/导入/复制/编辑/删除元数据 OBS Operator策略或者Tenant Administrator角色 创建图，导入图/导出图 OBS Operator策略或者Tenant Administrator角色 表4 GES常用操作对IAM权限的依赖关系 GES操作 依赖的IAM权限 导入IAM用户 iam:users:listUsers自定义策略或者IAM ReadOnlyAccess系统策略或者Server Administrator角色 创建/编辑用户组 iam:users:listUsers自定义策略或者IAM ReadOnlyAccess系统策略或者Server Administrator角色 父主题： 权限管理

操作步骤 在“元数据管理”页面，复制元数据有两个入口： 单击对应元数据文件名称，进入元数据详情页，在页面底端单击“复制”。 在对应的元数据文件的“操作”列，单击“复制”。 定义元数据文件名称以及存储路径。 “名称”：复制后的元数据文件名称，仅需要设置名称，文件格式默认为xml。 “存储路径”：存储元数据文件的OBS路径。 图1 复制元数据 单击“确定”，完成复制元数据。 元数据文件复制成功后，新的元数据文件将在“元数据管理”页面呈现。

图引擎实例连接信息 图3 实例信息 选择您已创建的图实例名称，可以查看到以下信息： 内网访问地址：同一私有网络内的弹性云服务器可以通过内网访问地址连接当前图实例。 公网访问地址：使用公网访问地址（弹性IP）可以从互联网访问图实例。同时支持图实例弹性IP的解绑与绑定。 JDBC连接字符串（内网）：当JDBC驱动执行机器和图实例处于同一私有网络时，使用此配置。 JDBC连接字符串（公网）：当JDBC驱动执行机器可以通过互联网访问图实例（已绑定弹性IP）时，使用此配置。

参数说明 表1 Betweenness Centrality算法参数说明 参数 是否必选 说明 类型 取值范围 默认值 directed 否 是否考虑边的方向 Boolean true或者false true weight 否 边上权重 String 空或字符串 * 空：边上的权重、距离默认为“1”。 * 字符串：对应的边上的属性将作为权重，当某边没有对应属性时，权重将默认为1。 说明： 边上权重应大于0。 - seeds 否 节点ID String 当图较大时，运行betweenness较慢，可以设置seeds作为采样节点，进行近似运算，seeds节点越多越接近准确解。输入节点个数不大于100000。 - k 否 采样个数 Integer 当图较大时，运行betweenness较慢，可以设置k，算法将从图中随机选取k各点，进行采样运算，k值越大约接近准确解。k不大于100000。 - 当进行采样近似betweenness运算时，seeds和k参数二选一输入即可，当两者同时输入时，默认以seeds节点作为采样节点运算，忽略k。

系统回退 系统回退。 迁移操作支持系统回退，您可根据需要决定是否回退至原操作系统。 执行centos2hce2.py --rollback all命令进行系统回退。回退后，执行reboot命令对系统重启。 执行centos2hce2.py --precommit rollback命令，恢复环境。 （可选）若迁移前已开启selinux，迁移时会自动关闭selinux服务。如有需要，回退后请手动恢复selinux状态。 执行centos2hce2.py --precommit rbk-selinux命令。 [root@localhost ~]# centos2hce2.py --precommit rbk-selinux2022-09-05 03:58:37,015-INFO-centos2hce2.py-[line:1401]: precommit migration2022-09-05 03:58:37,047-INFO-centos2hce2.py-[line:1319]: now begin to set selinux2022-09-05 03:58:37,051-INFO-centos2hce2.py-[line:1324]: modify selinux config succeed2022-09-05 03:58:37,051-INFO-centos2hce2.py-[line:1325]: selinux has been set, please reboot now2022-09-05 03:58:37,051-INFO-centos2hce2.py-[line:1340]: set rollback selinux succeed2022-09-05 03:58:37,051-INFO-centos2hce2.py-[line:1365]: upgrade precommit selinux success 执行reboot命令，进行系统重启。 [root@localhost ~]# reboot 系统重启后，可查看到selinux状态为开启状态。 [root@localhost ~]# getenforceEnforcing 清理系统数据。 执行centos2hce2.py --commit all命令清理数据。 执行命令后，系统会自动清理目标系统和原系统的系统数据，包括步骤3中备份路径下的系统数据。 [root@localhost ~]# centos2hce2.py --commit all2022-08-22 04:45:32,601-INFO-centos2hce2.py-[line:1242]: commit migration

general/hwsecurity/cybersecurity三种类型的差异 检查项类型 检查项名称 检查内容 general hwsecurity cybersecurity 是否默认满足 初始配置 文件系统配置 应当对系统关键目录进行分区挂载 - - - 否 确保禁用不需要的文件系统 - - - 否 确保无需修改的分区以只读方式挂载 - - - 否 确保无需挂载设备的分区以nodev方式挂载 - - - 否 确保无可执行文件的分区以noexec方式挂载 - - - 否 确保无需SUID和SGID的分区以nosuid方式挂载 - - - 否 避免使用USB存储 √ - - 是 软件服务配置 禁止安装X Window系统 - - - 是 禁止启用debug-shell服务 √ - - 是 禁止启用rsync服务 √ - - 是 禁止启用avahi服务 √ √ - 是 禁止启用SNMP服务 √ √ - 是 禁止启用squid服务 √ √ - 是 避免启用samba服务 √ √ - 是 禁止启用FTP服务 √ √ - 是 禁止启用TFTP服务 √ √ - 是 禁止启用DNS服务 √ - - 是 禁止启用NFS服务 √ √ - 是 禁止启用rpcbind服务 √ √ √ 否 禁止启用LDAP服务 √ √ - 是 禁止启用DHCP服务 √ √ - 是 禁止安装CUPS服务软件 - - - 是 禁止安装NIS服务软件 - - - 是 禁止安装telnet软件 - - - 是 禁止安装NIS客户端 - - - 是 禁止安装LDAP客户端 - - - 是 禁止安装调测类工具 - - - 是 禁止安装开发编译类工具 - - - 是 禁止安装网络嗅探类工具 - - - 是 软件升级配置 确保配置GPG公钥 - - - 是 确保配置启用gpgcheck - - - 是 确保配置软件仓库源 - - - 是 文件完整性检查 确保安装AIDE - - - 否 应当定期检查文件完整性 - - - 否 通用进程加固 确保启用ASLR √ - - 是 确保core dump配置正确 √ - - 是 应当合理限制用户可打开文件数量 - - - 否 确保链接文件保护配置正确 √ - - 是 确保dmesg访问权限配置正确 √ √ - 否 确保内核符号地址受限访问 √ √ - 是 应当合理限制进程ptrace能力 - - - 否 禁止全局加解密策略配置为LEGACY - - - 是 系统服务 时间同步服务 应当正确配置ntpd服务 - - - 否 应当正确配置chronyd服务 - - - 是 定时任务服务 确保cron服务正常运行 √ - - 是 确保cron配置权限正确 √ √ - 否 SSH服务 确保/etc/ssh/sshd_config权限配置正确 √ √ - 是 确保SSH私钥文件权限配置正确 √ √ √ 否 确保SSH公钥文件权限配置正确 √ √ √ 否 确保启用IgnoreRhosts √ - - 是 应当合理配置认证黑白名单 - - - 否 确保SSH使能PAM认证 √ - - 是 禁止SSH root登录 - - √ 否 禁止SSH空口令登录 √ - - 是 禁止使用HostbasedAuthentication √ - - 是 确保配置Warning Banner文件路径 √ √ - 否 确保正确配置SSH日志级别 √ √ - 是 应当配置SSH服务侦听IP - - - 否 应当正确配置SSH并发未认证连接数 √ - - 否 禁止使用X11Forwarding √ √ - 否 应当配置SSH MaxSessions不超过10 √ - - 是 应当正确配置MaxAuthTries √ - - 否 禁止使用PermitUserEnvironment √ - - 是 应当配置LoginGraceTime不超过60秒 √ √ - 否 确保配置空闲超时间隔时间 √ √ - 否 禁止使用AllowTcpForwarding √ √ - 否 确保SSH KexAlgorithms配置强算法 √ √ - 是 确保SSH MACs配置强算法 √ √ - 是 确保SSH Ciphers配置强算法 √ √ - 是 禁止配置SSH将弃用的选项 √ - - 是 网络服务 禁用不使用的网络协议和设备 避免使用不常见网络协议 - - - 否 避免使用无线网络 - - - 是 内核网络协议栈 禁止系统响应ICMP广播报文 √ √ - 是 禁止接收ICMP重定向报文 √ √ - 否 禁止转发ICMP重定向报文 √ - - 是 应当忽略所有ICMP请求 - - - 否 确保忽略伪造的ICMP报文 √ - - 是 确保启用反向地址过滤 √ √ - 否 禁止IP转发 √ √ - 是 禁止接收源路由报文 √ √ - 否 确保启用TCP-SYN cookie保护 √ √ - 是 应当启用日志记录可疑的网络包 √ - - 否 避免启用tcp_timestamps - - - 否 确保TIME_WAIT TCP协议等待时间已配置 √ - - 是 应当合理配置SYN_RECV状态队列数量 - - - 否 禁止使用ARP代理 - - - 是 防火墙配置 配置firewalld服务 应当启用firewalld服务 - - - 是 确保iptables未启用 - - - 是 确保nftables未启用 - - - 是 应当配置正确的默认区域 - - - 否 应当确保网络接口绑定正确区域 - - - 否 避免开启不必要的服务和端口 - - - 否 配置iptables服务 应当启用iptables服务 - - - 否 确保firewalld未启用 - - - 否 确保nftables未启用 - - - 是 应当正确配置iptables默认拒绝策略 - - - 否 应当正确配置iptables loopback策略 - - - 否 应当正确配置iptables INPUT策略 - - - 否 应当正确配置iptables OUTPUT策略 - - - 否 应当正确配置iptables INPUT、OUTPUT关联策略 - - - 否 配置nftables服务 应当启用nftables服务 - - - 否 确保iptables未启用 - - - 是 确保firewealld未启用 - - - 否 应当配置nftables默认拒绝策略 - - - 否 应当配置nftables loopback策略 - - - 否 应当正确配置nftables input策略 - - - 否 应当正确配置nftables output策略 - - - 否 应当正确配置nftables input、output关联策略 - - - 否 日志审计 auditd 确保auditd审计已启用 √ - - 是 应当在启动阶段启用auditd - - - 否 应当正确配置audit_backlog_limit - - - 否 确保配置单个日志大小限制 - - - 是 确保审计日志rotate已启用 - - - 否 确保审计日志不被自动删除 - - - 是 应当合理配置磁盘空间阈值 - - - 是 避免配置审计日志限速阈值过小 - - - 是 应当配置sudoers审计规则 - √ √ 否 应当配置登录审计规则 - - - 是 应当配置会话审计规则 - - - 是 应当配置时间修改审计规则 - √ √ 否 应当配置SELinux审计规则 - - - 否 应当配置网络环境审计规则 - - √ 否 应当配置文件访问控制权限审计规则 - - - 否 应当配置文件访问失败审计规则 - - - 否 应当配置文件删除审计规则 - - - 否 应当配置账号信息修改审计规则 - √ √ 否 应当配置文件系统挂载审计规则 - - - 否 应当配置提权命令审计规则 - - - 否 应当配置内核模块变更审计规则 - - - 是 应当配置修改sudo日志文件审计规则 - - - 否 rsyslog 确保rsyslog服务已启用 √ √ √ 否 确保系统认证相关事件日志已记录 - - - 是 确保cron服务日志已记录 √ - - 是 应当正确配置各服务日志记录 - - - 是 应当正确配置rsyslog默认文件权限 √ √ √ 否 确保rsyslog日志rotate已配置 - - - 否 应当配置发送日志到远程日志服务器 - - - 否 应当仅在指定的日志主机上接收远程rsyslog消息 - - - 否 确保rsyslog转储journald日志已配置 - - - 否 账号与口令管理 账号管理 禁止无需登录的账号拥有登录能力 - - - 否 禁止存在不使用的账号 - - - 否 应当正确设置账号有效期 - - - 否 禁止存在UID为0的非root账号 - - - 是 确保UID唯一 - - - 是 确保GID唯一 - - - 是 确保账号名唯一 - - - 是 确保组名唯一 - - - 是 确保/etc/passwd中的组都存在 - - - 是 确保账号拥有自己的Home目录 - - - 是 确保账号Home目录权限是750或更严格 - - - 是 避免账号Home目录下存在.forward文件 - - - 是 避免账号Home目录下存在.netrc文件 - - - 是 确保用户PATH变量被严格定义 - - - 是 口令管理 确保配置口令复杂度 √ √ √ 否 确保限制重用历史口令次数 √ √ √ 否 确保口令中不包含账号字符串 - - - 是 确保口令使用SHA512算法加密 √ √ √ 否 确保口令过期时间设置正确 √ √ √ 否 确保口令过期告警时间设置正确 √ √ - 是 应当设置口令修改周期设置正确 √ √ √ 否 确保不活跃口令锁定时间不超过30天 √ - - 是 确保Grub已设置口令保护 - - - 是 确保单用户模式已设置口令保护 - - - 是 身份认证 登录管理 确保登录失败一定次数后锁定账号 √ √ √ 否 避免root用户本地接入系统 - - - 否 确保会话超时时间设置正确 √ √ √ 否 确保Warning Banner包含合理的信息 确保本地登录Warning Banner包含合理的信息 √ √ - 否 确保远程登录Warning Banner包含合理的信息 √ √ - 否 确保motd文件包含合理的信息 √ √ - 否 确保/etc/issue权限配置正确 √ √ - 是 确保/etc/issue.net权限配置正确 √ √ - 是 确保/etc/motd权限配置正确 √ √ - 是 访问控制 SELinux 应当启用enforce模式 - - - 是 应当正确配置SELinux策略 - - - 是 避免标签为unconfined_service_t的服务存在 - - - 否 确保SETroubleshoot服务未安装 - - - 是 确保M CS 转换服务未安装 - - - 是 特权命令 确保su受限使用 √ √ √ 否 确保su命令继承用户环境变量不会引入提权 √ √ √ 否 确保普通用户通过sudo运行特权程序 - - - 否 确保配置sudo日志文件 √ - - 否 禁止使用SysRq键 - √ - 否 系统文件权限 确保/etc/passwd权限配置正确 √ - - 是 确保/etc/passwd-权限配置正确 √ - - 是 确保/etc/shadow权限配置正确 √ - - 是 确保/etc/shadow-权限配置正确 √ - - 是 确保/etc/group权限配置正确 √ - - 是 确保/etc/group-权限配置正确 √ - - 是 确保/etc/gshadow权限配置正确 √ - - 是 确保/etc/gshadow-权限配置正确 √ - - 是 确保全局可写目录已设置sticky位 - - - 是 禁止存在无属主或属组的文件或目录 - - - 是 禁止存在全局可写的文件 - - - 是 禁止存在空链接文件 - - - 是 禁止存在隐藏的可执行文件 - - - 是 确保删除文件非必要的SUID和SGID位 - - - 是 确保umask是027或更严格 √ √ √ 否 “√”表示执行。 “-”表示不执行。

回退RPM包 执行osmt rollback --reboot_config always命令回退RPM包。仅支持回退最近一次更新的RPM包。 --reboot_config always：可选，若上次升级有need_reboot_rpms列表中的RPM包，请使用此参数。 如果不带--reboot_config always，上次升级有涉及need_reboot_rpms列表中的RPM包，需要手动重启后才能回退生效。 请使用最新版本的OSMT工具进行操作，不建议通过OSMT工具回退OSMT自身版本。 父主题： 使用OSMT工具升级

安全更新概述 本节主要介绍如何使用yum或dnf命令查询并安装Huawei Cloud EulerOS中的安全更新。 各版本对yum和dnf命令的支持情况不同，本节以yum命令为例介绍。 dnf作为yum的替代者，提供更好的性能，dnf和yum命令的使用方法相同。 Huawei Cloud EulerOS 2.0及之后版本支持yum和dnf命令。 Huawei Cloud EulerOS 2.0之前版本仅支持yum命令。 父主题： 对HCE进行安全更新

使用毕昇编译器 编译运行C/C++程序。 clang [command line flags] hello.c -o hello.o./hello.oclang++ [command line flags] hello.cpp -o hello.o./hello.o 编译运行Fortran程序。 flang [command line flags] hello.f90 -o hello.o./hello.o 指定链接器。 毕昇编译器指定的链接器是LLVM的lld，若不指定它则使用默认的ld。 clang [command line flags] -fuse-ld=lld hello.c -o hello.o./hello.o

使用部署服务可以做什么？ 部署服务提供的功能如下表所示。 表1 功能列表 特性 描述 基础资源管理 可以添加一个或多个主机并进行连通性验证；可以新建主机集群对多个主机统一操作；通过搜索主机名或IP地址查找某主机；主机和主机集群可以修改和删除。 应用管理 可以创建一个或多个应用，应用可以通过预定义模板或者自由编排步骤创建；支持按照名字查找和过滤应用；可以修改和删除应用。 参数设置 应用的步骤支持参数引用，在部署时由您指定参数值，应用支持指定值替换相应参数部署。 动态执行参数 应用支持动态执行参数，在部署时动态输入参数无需修改应用，增强应用的重用性和灵活性。 选择应用包 支持从制品仓库选择应用包。应用包可以在编译构建中自动归档到制品仓库中。 上传应用包 支持从本地上传应用包到制品仓库。 部署动态 应用部署产生的服务动态消息，包括部署成功、部署失败和应用更新和删除消息。 并行部署 可以在一个应用中选择多个主机和多个环境，实现多主机并行部署。 部署详情 可以查看部署详情，可视化显示部署进程、当前部署应用信息。 部署日志 部署详情页面可以查看部署日志，多主机并行部署支持分主机日志查看。 流水线集成 可以在流水线集成应用，编排应用并行或者串行执行；支持流水线参数。

服务概述 部署（CodeArts Deploy）提供可视化、自动化部署服务。提供丰富的部署步骤，有助于用户制定标准的部署流程，降低部署成本，提升发布效率。 部署服务具有以下特性： 支持主机（物理机、虚拟机）部署和容器部署。 预置Tomcat、SpringBoot、Django等系统模板快速新建应用，提供丰富的原子步骤，支持拖拉拽方式自由编排组装应用。 主机部署场景以环境为粒度，支持多台主机同时部署。 基于云容器引擎服务（CCE），实现容器部署。 基于应用管理与运维平台服务（ServiceStage），实现微服务应用部署。 支持保存自定义模板，通过模板一键创建应用。 支持参数化配置，提供字符串、环境、枚举等参数类型，部署应用时支持参数的动态替换。 与流水线服务无缝集成，支持业务持续发布。 原子步骤独立输出部署日志，提供关键字匹配FAQ，部署失败能够快速定位原因并提供解决方案。

身份认证 用户可以通过登录控制台浏览访问部署服务，同时也支持采用REST API和SDK调用的方式使用部署服务核心功能。 关于身份认证，部署服务在APIG、前端框架以及后台接口等多个节点多次进行身份校验，确保访问的合法性。 通过控制台访问部署服务时，需输入正确的用户名密码。采用API调用时，部署服务支持下面两种认证方式： Token认证：通过Token认证调用请求，访问部署服务用户界面默认使用Token认证机制。 AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。推荐使用AK/SK认证，其安全性比Token认证要高。

数据保护技术 部署服务通过多种手段保护用户数据安全。 数据保护手段 简要说明 传输加密（HTTPS） 访问全链路采用HTTPS数据传输方式，保证数据传输安全。 个人数据保护 通过控制个人数据访问权限以及记录操作日志等方法防止个人数据泄露，保证您的个人数据安全。 对于用户在控制台输入的敏感数据，部署服务会将数据进行加密处理后存储，进一步保证用户的数据安全。 隐私数据保护 部署服务严格遵守华为云用户隐私声明条款，不存储非必要用户隐私数据，不消费用户数据。 数据销毁 对于用户进行销户和删除数据的操作，部署服务按照华为云要求，对数据进行逻辑删除，保留15天后进行物理删除。 父主题： 安全

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的 云安全 挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

审计 云审计 服务（Cloud Trace Service， CTS ），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。用户开通云审计服务并创建和配置追踪器后，CTS可记录目标审计服务的管理事件和数据事件用于审计。 部署服务通过对接CTS，将用户在使用CodeArts Deploy过程中关键的操作记录于CTS中，以便用户后续审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。

资源扩展 需求管理服务提供单独的存储扩展，允许需求管理服务的基础版、专业版套餐在资源不足的时候购买。 表1 知识库存储扩展 计费方式 包年/包月 适用场景 当需求管理服务中包含的知识库文件存储容量不满足实际使用需求时，可购买知识库存储扩展。 计费项 存储容量（GB） 购买限制 购买知识库存储扩展前，须完成需求管理服务基础版及以上规格套餐的购买。 10GB起购，步长10GB，购买上限为1000GB。 计费公式 单价*存储容量*购买时长 计费周期 根据购买时长确定（以GMT+08:00时间为准）。一个计费周期的起点是您开通或续费知识库存储扩展的时间（精确到秒），终点则是到期日的23:59:59。 例如，您在2023/03/08 15:50:04购买时长为一个月的知识库存储扩展，那么计费周期为：2023/03/08 15:50:04 ~ 2023/04/08 23:59:59。 变更配置 支持变更存储容量，变更时系统将按照如下规则为您计算变更费用。 资源升配：变更后的存储容量高于变更前，此时您需要支付新老配置的差价。 资源降配：变更后的存储容量低于变更前，此时华为云会将新老配置的差价退给您。 更多信息请参见变更资源规格费用说明。 到期后影响 到期未续费时，已购知识库存储扩展将失效。 父主题： 计费模式

到期后影响 图1描述了包年/包月需求管理服务各个阶段的状态。购买后，在计费周期内资源正常运行，此阶段为有效期；资源到期而未续费时，将陆续进入宽限期和保留期。 图1 包年/包月需求管理服务生命周期 到期预警 包年/包月需求管理服务在到期前第15天内，系统将在服务使用界面向用户推送到期预警消息。 当需求管理服务套餐资源用量/流量已达80%以上或100%，系统将在服务使用界面向用户推送预警消息。 到期后影响 当您的包年/包月需求管理服务到期未续费，首先会进入宽限期，资源状态变为“已过期”。宽限期内您可以正常使用需求管理服务。 如果您在宽限期内仍未续费包年/包月需求管理服务，那么就会进入保留期，资源状态变为“已冻结”，您将无法对处于保留期的包年/包月资源执行任何操作。 保留期到期后，若包年/包月需求管理服务仍未续费，那么将无法继续使用需求管理服务。 华为云根据客户等级定义了不同客户的宽限期和保留期时长。 关于续费的详细介绍请参见续费概述。

变更配置后对计费的影响 当前需求管理服务套餐不满足您的业务需要时，您可以在需求管理服务控制台发起变更操作。 变更操作可选择“即时变更”或“续费变更”。 即时变更：变更操作在当前的套餐周期内生效，变更时系统将按照如下规则为您计算变更费用。 资源升配：变更后的套餐价格高于变更前价格，此时您需要支付新老配置的差价。 资源降配：变更后的套餐价格低于变更前价格，此时华为云会将新老配置的差价退给您。 续费变更：即购买新套餐，在当前套餐到期后，新套餐自动生效。

续费相关的功能 包年/包月需求管理服务续费相关的功能如表1所示。 表1 续费相关的功能 功能 说明 手动续费 包年/包月需求管理服务从购买到被自动删除之前，您可以随时在需求管理服务控制台进行续费，以延长需求管理服务的使用时间。 自动续费 开通自动续费后，需求管理服务会在每次到期前自动续费，避免因忘记手动续费而导致资源被自动删除。 在包年/包月需求管理服务生命周期的不同阶段，您可以根据需要选择一种方式进行续费，具体如图1所示。 图1 需求管理服务生命周期 需求管理服务从购买到到期前，处于正常运行阶段，套餐状态为“正常”。 到期后，套餐状态变为“已过期”。 到期未续费时，需求管理服务首先会进入宽限期，宽限期到期后仍未续费，套餐状态变为“保留”。 超过宽限期仍未续费将进入保留期，如果保留期内仍未续费，资源将被自动删除。 华为云根据客户等级定义了不同客户的宽限期和保留期时长。 在需求管理服务到期前均可开通自动续费，到期前7日凌晨3:00首次尝试自动续费，如果扣款失败，每天凌晨3:00尝试一次，直至需求管理服务到期或者续费成功。到期前7日自动续费扣款是系统默认配置，您也可以根据需要修改此扣款日。

计费说明 需求管理服务套餐的包年/包月计费模式，计费项只包含用户数，即实际购买需求管理包周期套餐的人数。具体内容如表1所示。 需求管理服务资源扩展的计费项为存储容量。具体内容如表2所示。 表1 需求管理服务用户数计费项 计费项 计费项说明 计费公式 用户数 某一Region内，购买需求管理包周期套餐的人数。 单价*用户数*购买时长 表2 需求管理服务存储扩展计费项 计费项 计费项说明 计费公式 知识库存储容量 某一Region内，租户中知识库文件以及需求管理服务工作项附件的总容量。 单价*存储容量*购买时长

包年/包月资源 对于包年/包月计费模式的资源，例如包年/包月的需求管理服务、包年/包月的云硬盘等，用户在购买时会一次性付费，服务将在到期后自动停止使用。 如果在计费周期内不再使用包年/包月需求管理服务，您可以执行退订操作。需求管理服务套餐、资源扩展支持退订。系统将根据资源是否属于五天无理由退订、是否使用代金券和折扣券等条件返还一定金额到您的账户。详细的退订规则请参见云服务退订规则概览。 如果您已开启“自动续费”功能，为避免继续产生费用，请在自动续费扣款日（默认为到期前7日）之前关闭自动续费。

适用场景 包年/包月计费模式需要用户预先支付一定时长的费用，适用于长期、稳定的业务需求。以下是一些适用于包年/包月计费模式的业务场景： 稳定业务需求：对于长期运行且资源需求相对稳定的业务，如企业官网、在线商城、博客等，包年/包月计费模式能提供较高的成本效益。 长期项目：对于周期较长的项目，如科研项目、大型活动策划等，包年/包月计费模式可以确保在整个项目周期内资源的稳定使用。 业务高峰预测：如果能预测到业务高峰期，如电商促销季、节假日等，可提前购买包年/包月资源以应对高峰期的需求，避免资源紧张。 数据安全要求高：对于对数据安全性要求较高的业务，包年/包月计费模式可确保资源的持续使用，降低因资源欠费而导致的数据安全风险。

包年/包月套餐说明 需求管理服务采用包年/包月和资源扩展计费模式，提供基础版和专业版套餐，以满足不同规模用户的使用需求。 不同版本套餐中，提供的功能特性及资源规格略有不同，详情请参见表1。 表1 套餐包详情 套餐说明 适用场景 知识库文件存储容量 特性 包月计费 需求管理服务基础版 适用于个人开发者或者小微企业。 50GB Scrum需求模型 看板需求模型 IPD云服务/自运营模型 甘特、思维导图规划 迭代管理 原始需求管理 Wiki、文档写作 计费模式：包周期 需求管理服务专业版 适用于中大型企业。 100GB 基础版所有特性 IPD系统设备类需求模型 IPD独立软件类需求模型 需求基线及变更管理 特性树管理 两级项目计划管理 计费模式：包周期

按需计费项 需求管理服务的计费项为用户数和存储空间。 用户数，即用于计费计量的用户数，是该租户下加入项目的去重用户数，也包括从其他租户邀请加入到本租户项目的用户数。 如果该租户下的某个用户加入该租户下的多个项目，也只作为一个用户数计费。 例如：有A、B两个项目，A项目10人，B项目5人，A、B项目里的人是重叠的，B项目的5个用户也在A项目，A、B项目一起实际收费是按10人收。 如果该租户下的某个用户没有加入该租户下的任何一个项目，则不参与计费。 如果该租户下的某个项目邀请了其他租户的用户加入，则这批用户也作为邀请租户的用户进行计费。 这批用户同时也会按自己归属租户的计费原则进行计费。 存储空间，即用于计费计量的存储空间，是按这个租户所有消耗的存储空间进行计量计费，并不区分项目。 存储空间主要来自于用户使用文档托管服务的存储空间消耗，包括直接上传托管到文档管理服务的文档，也包括作为工作项附件的文档。 开通服务前，提供5用户+500MB存储空间内 免费体验 。 当需要加入第6个人时，系统提示开通服务。 开通服务后，即通过管理控制台开通需求管理服务后， 此时免费额度失效，将按实际用量计费，前面5个人和存储空间500MB开始计费。 例如：项目中在免费额度（5个人）基础上再加入1个人，则此时需求管理服务的用户数共有6（即5+1）人，计费也按照6个人计费。 当前用户数和存储空间按小时计量和计费。 表1 服务计费标准 计费因子 价格 价格单位 用户数*时间 0.08 元/用户/小时 存储空间*时间 0.000442 元/GB/小时

什么是区域、可用区？ 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。 图1 区域和可用区 目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。更多信息请参见华为云全球站点。

日志 GeminiDB Redis 支持查看数据库级别的慢日志，执行时间的单位为ms。通过该日志，可查找出执行效率低的语句，进行优化。 慢日志的详细介绍，请参见慢日志。 GeminiDB Cassandra 支持查看数据库级别的慢日志，执行时间的单位为ms。通过该日志，可查找出执行效率低的语句，进行优化。 慢日志的详细介绍，请参见慢日志。 GeminiDB Mongo 支持查看数据库级别的慢日志，执行时间的单位为ms。通过该日志，可查找出执行效率低的语句，进行优化。 慢日志的详细介绍，请参见慢日志。 支持查看数据库级别的错误日志，包括数据库运行的Warning和Error级别的信息，有助于分析系统中存在的问题。 错误日志的详细介绍，请参见错误日志。

审计 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务并创建和配置追踪器后，CTS可记录GeminiDB的管理事件和数据事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。 CTS支持追踪的GeminiDB Redis管理事件和数据事件列表，请参见支持审计的关键操作列表。 CTS支持追踪的GeminiDB Influx管理事件和数据事件列表，请参见支持审计的关键操作列表。 CTS支持追踪的GeminiDB Cassandra管理事件和数据事件列表，请参见支持审计的关键操作列表。 CTS支持追踪的GeminiDB Mongo管理事件和数据事件列表，请参见支持审计的关键操作列表。