华为云用户手册

排查思路 集群处于异常状态的排查思路大致可根据报错信息进行定位，如表1所示。 表1 报错信息说明 报错信息 说明 推荐排查项 “currently no agents available, please make sure the agents are correctly registered” 出现该错误的原因大概率为接入集群中的proxy-agent运行状态异常或网络异常。 排查项一：proxy-agent的运行状态 排查项二：集群与U CS 网络连接状态 “please check the health status of kube apiserver: ...” 出现该错误的原因大概率为集群内部kube-apiserver无法访问。 排查项三：集群kube-apiserver状态 “cluster responded with non-successful status code: ...” 出现该错误的原因可能是多样的，请根据实际状态码进行排查。 例如状态码401表示用户没有访问权限，可能的原因是集群认证信息过期。 排查项四：集群认证信息变化 “cluster responded with non-successful message: ...” 出现该错误的原因可能是多样的，请根据实际信息进行排查。 例如“Get "https://172.16.0.143:6443/readyz?timeout=32s\": context deadline exceeded”显示访问apiserver超时，可能是因为集群apiserver发生故障。 - “Current cluster version is not supported in UCS service.” 出现该错误的原因是集群版本不符合要求：接入UCS服务的Kubernetes集群版本必须为1.19及以上。 -

排查项一：proxy-agent的运行状态 集群从UCS注销后，原有proxy-agent配置文件中包含的认证信息将会失效，请同时删除集群中已部署的proxy-agent实例。如需再次接入UCS，必须重新从UCS控制台下载proxy-agent配置文件进行部署。 登录目标集群Master节点。 查看集群代理部署状态。 kubectl -n kube-system get pod | grep proxy-agent 如果部署成功，预期输出如下： proxy-agent-*** 1/1 Running 0 9s 说明proxy-agent部署正常，如proxy-agent没有处于正常Running状态，可以使用kubectl -n kube-system describe pod proxy-agent-***查看Pod的告警信息，详细排查思路可参考proxy-agent部署失败怎么办？。 proxy-agent默认部署两个Pod实例，存在一个Pod正常Running即可使用基本功能，但是高可用性无法保证。 打印proxy-agent的Pod日志，查看代理程序是否可以连接到UCS。 kubectl -n kube-system logs proxy-agent-*** | grep "Start serving" 如没有“Start serving”的日志打印但是proxy-agent实例状态正常，则需要继续检查其他排查项。

操作步骤 于安装节点获取节点清理脚本。 在解压后的“/var/paas/.ucs-package/ucs-onpremise/scripts/”目录下，即可获取清理脚本uninstall_node.sh。 将清理脚本拷贝到待清理的节点。 登录到待清理的节点上，执行以下命令进行清理操作： bash uninstall_node.sh 为了尽可能减少残留进程或者数据，清理脚本支持多次执行。 清理脚本执行完成后，重启节点。 重复执行上述操作，清理其他节点。

问题背景 集群加入联邦失败，错误提示“状态校验失败，不支持”，错误码“UCS.01100007”，错误信息“Update associated clusters validate failed”，错误原因：“vpcep: Required value: all subnets in vpc xxx have endpoint connected to xxx.vpcep-src-open.xxx but not managed by ucs”。 图1 状态校验失败

集群在何种状态下时，UCS会产生计费？ 集群状态的变化会影响UCS对其vCPU数量的统计，从而影响UCS服务的计费。若集群需要使用UCS服务，请保证其在正常运行状态；若集群不再需要使用，请及时注销，避免持续扣款。 不同集群状态是否造成UCS计费的情况见表1 集群状态与计费。 表1 集群状态与计费 集群状态 是否计费 运行中 是 不可用 是 说明： 当集群接入UCS之后，UCS会获取用户集群vCPU的使用量并记录。如果之后集群状态变为“不可用”，导致UCS无法获取到最新的集群vCPU使用量信息，UCS会根据最后一次记录到的vCPU使用量进行计费。 等待接入 否 注册超时 否 注销中 否 注销失败 否 父主题： 计费相关

排查项二：集群与UCS网络连接状态 公网接入： 检查集群是否绑定公网IP或配置公网NAT网关。 检查集群安全组的出方向是否放通。如需对出方向做访问控制，请联系技术支持获取目的地址和端口号。 解决网络问题后，删掉已有的proxy-agent Pod使其重新生成Pod资源，查看新建Pod的日志中是否存在“Start serving”的日志打印。 kubectl -n kube-system logs proxy-agent-*** | grep "Start serving" 日志正常打印后，刷新UCS控制台页面，查看集群是否正常连接。 私网接入： 检查集群安全组的出方向是否放通。如需对出方向做访问控制，请联系技术支持获取目的地址和端口号。 排除集群与UCS和IDC之间的网络连接故障。 根据网络连接方式不同，请参考以下文档进行故障排除。 云专线（DC）：请参考故障排除。 虚拟专用网络 （VPN）：请参考故障排除。 排除集群私网接入的VPCEP故障，VPCEP状态需为“已接受”。如VPCEP被误删除，则需重新创建，请参见私网接入的集群误删除VPCEP后如何恢复？。 图1 VPCEP状态 解决网络问题后，删掉已有的proxy-agent Pod使其重新生成Pod资源，查看新建Pod的日志中是否存在“Start serving”的日志打印。 kubectl -n kube-system logs proxy-agent-*** | grep "Start serving" 日志正常打印后，刷新UCS控制台页面，查看集群是否正常连接。

排查项三：集群kube-apiserver状态 集群接入UCS时，可能出现如图2所示的异常信息，错误显示“please check the health status of kube apiserver: ...”。 图2 kube-apiserver状态异常 如出现以上信息，说明proxy-agent无法和集群apiserver进行正常通信，由于不同用户待接入集群的网络环境配置不同，这里无法提供统一的解决方案，需要您自行解决集群网络问题后进行重试。 登录UCS控制台，在左侧导航栏选择“容器舰队”页面。 登录目标集群Master节点，检查proxy-agent的Pod是否可以访问待接入集群的apiserver。 参考命令： kubectl exec -ti proxy-agent-*** -n kube-system /bin/bash# 访问集群的kube-apiservercurl -kv https://kubernetes.default.svc.cluster.local/readyz 如无法正常访问，请解决集群网络问题后，在UCS控制台重新注册集群，并重新部署proxy-agent。

排查项四：集群认证信息变化 如错误显示“cluster responded with non-successful status: [401][Unauthorized]”，通过观察集群三个Master节点“/var/paas/sys/log/kubernetes/auth-server.log”日志，可能是 IAM 网络连通故障。请确认IAM 域名 解析能力，及IAM服务连通性正常。 常见问题日志如下： Failed to authenticate token: *******: dial tcp: lookup iam.myhuaweicloud.com on *.*.*.*:53: no such host 此类日志说明，节点缺少对iam.myhuaweicloud.com解析能力，请参考安装前准备，配置对应的域名解析。 Failed to authenticate token: Get *******: dial tcp *.*.*.*:443: i/o timeout 此类日志说明，节点访问IAM服务超时，请确保节点与华为云IAM服务能正常通信。 currently only supports Agency token 此类日志说明请求不是从UCS服务发起，目前本地集群只支持UCS服务IAM Token访问。 IAM assumed user has no authorization/iam assumed user should allowed by TEAdmin 此类日志说明UCS服务访问集群故障，请联系华为技术人员进行排障。 Failed to authenticate token: token expired, please acquire a new token 此类日志说明Token存在过期现象，请使用date命令确定时间是否差距过大，如果节点时间与标准时间差距过大，请同步时间后，查看集群是否恢复。如果长时间未恢复，可能需要重装集群，请联系华为技术人员进行排障。 解决上述问题后，请使用crictl ps | grep auth | awk '{print $1}' | xargs crictl stop命令重启auth-server容器。

排查思路 集群处于异常状态的排查思路大致可根据报错信息进行定位，如表1所示。 表1 报错信息说明 报错信息 说明 推荐排查项 “currently no agents available, please make sure the agents are correctly registered” 出现该错误的原因大概率为接入集群中的proxy-agent运行状态异常或网络异常。 排查项一：proxy-agent的运行状态 排查项二：集群与UCS网络连接状态 “please check the health status of kube apiserver: ...” 出现该错误的原因大概率为集群内部kube-apiserver无法访问。 排查项三：集群kube-apiserver状态 “cluster responded with non-successful status code: ...” 出现该错误的原因可能是多样的，请根据实际状态码进行排查。 例如状态码401表示用户没有访问权限，可能的原因是集群认证信息过期。 排查项四：集群认证信息变化 “cluster responded with non-successful message: ...” 出现该错误的原因可能是多样的，请根据实际信息进行排查。 例如“Get "https://172.16.0.143:6443/readyz?timeout=32s\": context deadline exceeded”显示访问apiserver超时，可能是因为集群apiserver发生故障。 - “Current cluster version is not supported in UCS service.” 出现该错误的原因是集群版本不符合要求：接入UCS服务的Kubernetes集群版本必须为1.19及以上。 -

排查项一：proxy-agent的运行状态 集群从UCS注销后，原有proxy-agent配置文件中包含的认证信息将会失效，请同时删除集群中已部署的proxy-agent实例。如需再次接入UCS，必须重新从UCS控制台下载proxy-agent配置文件进行部署。 登录目标集群Master节点。 查看集群代理部署状态。 kubectl -n kube-system get pod | grep proxy-agent 如果部署成功，预期输出如下： proxy-agent-*** 1/1 Running 0 9s 说明proxy-agent部署正常，如proxy-agent没有处于正常Running状态，可以使用kubectl -n kube-system describe pod proxy-agent-***查看Pod的告警信息，详细排查思路可参考proxy-agent部署失败怎么办？。 proxy-agent默认部署两个Pod实例，存在一个Pod正常Running即可使用基本功能，但是高可用性无法保证。 打印proxy-agent的Pod日志，查看代理程序是否可以连接到UCS。 kubectl -n kube-system logs proxy-agent-*** | grep "Start serving" 如没有“Start serving”的日志打印但是proxy-agent实例状态正常，则需要继续检查其他排查项。

计费项 使用UCS服务时，会产生UCS服务管理费用，具体内容如表1 UCS计费项所示。 表1 UCS计费项 计费项 说明 适用的计费模式 计费公式 UCS集群管理服务 UCS集群管理服务费用由集群类型（包括华为云集群、本地集群、附着集群、多云集群和伙伴云集群）、集群vCPU容量和购买时长决定。 UCS服务管理费用不包括任何资源（例如计算节点、网络服务等）相关的费用。 包年/包月、按需计费 集群规模 *规格单价 *购买时长 具体 定价 请参见UCS价格详情。

操作步骤 登录集群Master节点。 查看proxy-agent运行状态。 kubectl -n kube-system get pod | grep proxy-agent 回显如下，pod状态处于ImagePullBackOff或Pending： proxy-agent-59ddf7597b-rq4j6 0/1 ImagePullBackOff 0 2d16hproxy-agent-59ddf7597b-sjf55 0/1 Pending 0 2d16h 查看Pod的详细信息。 kubectl describe pod proxy-agent-*** -nkube-system 可能出现如下错误： K8s事件显示集群无法拉取proxy-agent镜像，请您确保集群具备访问公网的能力，可正常拉取SWR镜像。 K8s事件显示节点的CPU或内存资源不足，请您扩容节点资源。 K8s事件显示没有符合调度规则的节点。proxy-agent为实现高可用性，默认将两个实例调度至不同的节点，请您确保集群中至少存在两个节点具有足够的资源。 K8s事件显示gatekeeper相关字样，可能是由于创建的策略实例进行了拦截。为解决此问题，请在集群上执行以下命令删除相应策略实例。 kubectl delete constraint --all 以上问题解决后，重新查看proxy-agent运行状态，所有Pod处于“Running”状态。

计费模式 UCS提供包年/包月和按需计费两种计费模式，以满足不同场景下的用户需求。 包年/包月：一种预付费模式，即先付费再使用，按照订单的购买周期进行结算。购买周期越长，享受的折扣越大。一般适用于接入集群规模长期稳定的成熟业务。 按需计费：一种后付费模式，即先使用再付费，按照UCS实际使用时长计费，按小时结算。按需计费模式允许您根据实际业务需求灵活地调整服务使用，无需提前购买付费，灵活性高。一般适用于接入集群规模较小的业务场景。

步骤三：在UCS添加调度策略 DNS解析添加完成后，回到UCS控制台“创建流量策略”页面，选择新添加的域名。如域名未同步，可单击右侧按钮进行刷新。 图2 创建流量策略 参考创建流量策略，为新添加的域名添加调度策略。 图3 调度策略 检验新增调度策略是否生效。 以Linux系统为例，您可以在已经连接Internet的终端的命令窗口使用如下命令测试调度策略是否生效，命令格式如下： dig 目标域名 如果Linux终端的操作系统没有自带dig命令，需要手动安装后才能使用。例如CentOS系统，可执行yum install bind-utils安装。 如下图所示，回显中“ANSWER SECTION”的IP地址为目标集群负载均衡IP，则表示调度策略创建成功。

受影响组件列表 MRS 集群版本 受影响组件 MRS 3.1.1 Hive、Oozie、Flink、Ranger、Tez MRS 3.1.0 Hive、Flink、Spark、Tez、Impala、Ranger、Presto、Oozie MRS 3.0.5 Hive、Flink、Spark、Tez、Impala、Ranger、Presto、Oozie、Storm、Loader MRS 3.0.2 Hive、Flink、Spark、Tez、Ranger、Oozie、Storm、Loader MRS 2.1.1 Hive、Tez、Storm、Loader、Impala、Presto MRS 2.1.0 Loader、Hive、Storm、Presto、Impala、Tez、Spark、HBase MRS 1.9.3 Loader、Hive、Tez、Spark、Flink MRS 1.9.2 Loader、Hive、Tez、Spark、Flink、Impala MRS 1.9.0 Loader、Hive、Spark、Flink MRS 1.8.10 Loader、Storm MRS 1.7.1 Loader、Storm

ECS重置密码插件升级（可选） 华为云ECS服务提供了一键式重置密码功能，弹性云服务器的密码丢失或过期时，可使用该功能进行一键式重置密码。重置密码插件为ECS内部运行的客户端进程，不对外提供任何网络服务，重置密码插件CloudResetPwdUpdateAgent使用了Apache Log4j2组件，经华为 云安全 实验室分析验证，ECS重置密码插件无可利用条件，无安全风险。 如果用户需要升级该插件中的Log4j2版本，可通过下面的步骤升级插件： 将“MRS_Log4j_Patch.tar.gz”上传至主 OMS 节点的“/home/omm”目录下。具体可参考如何上传本地文件到集群内节点？。 使用root用户登录主OMS节点，修改补丁工具相应权限，切到omm用户下，并解压补丁工具至当前目录。 chown omm:wheel -R /home/omm/MRS_Log4j_Patch.tar.gz su - omm cd /home/omm tar -zxf MRS_Log4j_Patch.tar.gz 在“/home/omm/MRS_Log4j_Patch/bin/ips.ini”文件中配置需要打补丁的节点IP（当前集群所有节点IP）。 每行配置一个IP，中间不能有空行。 根据节点登录方式执行以下步骤： 密码登录 执行以下命令： nohup sh install.sh upgrade_resetpwdagent passwd:登录密码 & 例如密码为xyz123，则命令为： nohup sh install.sh upgrade_resetpwdagent passwd:xyz123 & 通过tail -f nohup.out查看执行情况，打印“upgrade_resetpwdagent patch success.”表示执行完成。 密钥登录 将root用户对应的私钥文件上传到“/home/omm/MRS_Log4j_Patch/bin”目录下，保证文件的属组为root:root，执行命令： chown root:root /home/omm/MRS_Log4j_Patch/bin/密钥文件 chmod 644 /home/omm/MRS_Log4j_Patch/bin/密钥文件 执行以下命令 su - omm cd /home/omm/MRS_Log4j_Patch/bin nohup sh install.sh upgrade_resetpwdagent privatekey:私钥文件路径 & 例如私钥文件路径为‘/home/omm/MRS_Log4j_Patch/bin/abc.pem’，则执行命令为： nohup sh install.sh upgrade_resetpwdagent privatekey:/home/omm/MRS_Log4j_Patch/bin/abc.pem & 通过tail -f nohup.out查看执行情况，打印“upgrade_resetpwdagent patch success.”表示执行完成。

扩容节点安装补丁 扩容操作时关闭“启动组件”开关。 将“MRS_Log4j_Patch.tar.gz”上传至主OMS节点的“/home/omm”目录下。具体可参考如何上传本地文件到集群内节点？。 使用root用户登录主OMS节点，修改补丁工具相应权限，切到omm用户下，并解压补丁工具至当前目录。 chown omm:wheel -R /home/omm/MRS_Log4j_Patch.tar.gz su - omm cd /home/omm tar -zxf MRS_Log4j_Patch.tar.gz 在“/home/omm/MRS_Log4j_Patch/bin/ips.ini”文件中配置需要打补丁的节点IP（当前集群扩容节点IP）。 每行配置一个IP，中间不能有空行。 执行脚本安装补丁。 cd /home/omm/MRS_Log4j_Patch/bin nohup sh install.sh upgrade & 通过tail -f nohup.out可查看执行情况，打印“upgrade patch success.”表示执行完成。 登录Manager页面，启动新扩容节点上的实例。

操作步骤 使用omm用户登录到主OMS节点，备份$NODE_AGENT_HOME/bin/nodeagent_ctl.sh文件。 cp $NODE_AGENT_HOME/bin/nodeagent_ctl.sh /tmp 执行命令vi $NODE_AGENT_HOME/bin/nodeagent_ctl.sh，找到“JVM_ARGS=”所在行，在该行的下一行添加一行新内容： JVM_ARGS="$JVM_ARGS -Dfastjson.parser.safeMode=true" 在集群所有节点执行1和2。 可以手动通过omm用户将修改好的“$NODE_AGENT_HOME/bin/nodeagent_ctl.sh”文件覆盖到所有节点。 使用omm用户在主OMS节点执行如下命令重启集群所有节点NodeAgent。 $CONTROLLER_HOME/inst/restartAllNoes.sh 登录集群后台节点查看进程： ps -ef |grep NodeAgent 如果包含参数“-Dfastjson.parser.safeMode=true”，说明漏洞问题已经规避，如下图所示：

前提条件 从OBS路径中下载的补丁工具“MRS_Log4j_Patch.tar.gz”，下载路径：https://mrs-container1-patch-cn-south-1.obs.cn-south-1.myhuaweicloud.com/MRS_Common_Script/MRS_Log4j_Patch.tar.gz。 确认集群主OMS节点： OMS节点一般为Master1和Master2节点，主OMS节点判断方法，执行以下命令，返回结果为active的节点为主OMS节点，返回结果为standby的节点为备OMS节点： 3.x之前版本： sh /opt/Bigdata/*/workspace0/ha/module/hacom/script/get_harole.sh 3.x及之后版本： sh /opt/Bigdata/om-server*/OMS/workspace0/ha/module/hacom/script/get_harole.sh

现有集群节点安装补丁 将“MRS_Log4j_Patch.tar.gz”上传至主OMS节点的“/home/omm”目录下。具体可参考如何上传本地文件到集群内节点？。 使用root用户登录主OMS节点，修改补丁工具相应权限，切到omm用户下，并解压补丁工具至当前目录。 chown omm:wheel -R /home/omm/MRS_Log4j_Patch.tar.gz su - omm cd /home/omm tar -zxf MRS_Log4j_Patch.tar.gz 在“/home/omm/MRS_Log4j_Patch/bin/ips.ini”文件中配置需要打补丁的节点IP（当前集群所有节点IP）。 每行配置一个IP，中间不能有空行。 执行脚本安装补丁。 cd /home/omm/MRS_Log4j_Patch/bin nohup sh install.sh upgrade & 通过tail -f nohup.out可查看执行情况（打印 “upgrade patch success.” 表示执行完成）。 登录Manager页面，重启受影响的组件，受影响组件请参考受影响组件列表。建议业务低峰期时执行重启操作。 （可选）如果要新下载的客户端安装上补丁，需要先为部件包安装补丁，可执行如下命令： su - omm cd /home/omm/MRS_Log4j_Patch/bin nohup sh install.sh upgrade_package & 通过tail -f nohup.out查看执行情况，打印“upgrade_package patch success.”表示执行完成。 执行完之后，重新下载的客户端就已经是安装补丁的客户端。 该步骤耗时比较长，且执行完之后不需要重启组件。 补丁安装完成后，不能删除补丁目录相关文件，否则会响补丁的卸载功能。

补丁卸载方法 使用root用户登录主OMS节点，执行如下命令，卸载脚本： su - omm cd /home/omm/MRS_Log4j_Patch/bin nohup sh install.sh rollback & 通过tail -f nohup.out可查看执行情况，打印“rollback patch success.”表示执行完成。 登录Manager页面，重启受影响的组件，受影响组件请参考受影响组件列表。建议业务低峰期时执行重启操作。 如果安装补丁时执行了现有集群节点安装补丁的6，且希望回退部件包中的修改，可在2执行完之后执行如下操作： 使用root用户登录主OMS节点，执行如下命令： su - omm cd /home/omm/MRS_Log4j_Patch/bin nohup sh install.sh rollback_package & 通过tail -f nohup.out查看执行情况（打印“rollback_package patch success.”表示执行完成）。

操作步骤 使用omm用户登录到主OMS节点，备份“$OM_TOMCAT_HOME/bin/catalina.sh”文件。 cp $OM_TOMCAT_HOME/bin/catalina.sh /tmp 执行命令vi $OM_TOMCAT_HOME/bin/catalina.sh，找到“Execute The Requested Command”所在行，在该行上面添加一行新内容： JAVA_OPTS="$JAVA_OPTS -Dfastjson.parser.safeMode=true" 使用omm用户在主OMS节点执行如下命令重启Manager Web 服务。 $OMS_RUN_PATH/workspace/ha/module/harm/plugin/script/tomcat stop $OMS_RUN_PATH/workspace/ha/module/harm/plugin/script/tomcat start 在主OMS节点查看进程： ps -ef |grep tomcat | grep om-server 如果包含参数“-Dfastjson.parser.safeMode=true”，说明漏洞问题已经规避，如下图所示： 使用omm用户在备OMS节点同样执行1与2。

操作步骤 使用omm用户登录到主OMS节点，备份$CONTROLLER_HOME/sbin/controller.sh文件。 cp $CONTROLLER_HOME/sbin/controller.sh /tmp 执行命令vi $CONTROLLER_HOME/sbin/controller.sh，找到JVM_ARGS=所在行，在该行的下一行添加一行新内容： JVM_ARGS="$JVM_ARGS -Dfastjson.parser.safeMode=true" 使用omm用户在主OMS节点执行如下命令重启Controller 服务。 sh /opt/Bigdata/om-server/om/sbin/restart-controller.sh 在主OMS节点查看进程。 ps -ef |grep ControllerService 如果包含参数“ -Dfastjson.parser.safeMode=true”，说明漏洞问题已经规避，如下图所示： 使用omm用户在备OMS节点重复执行1与2。

漏洞规避方案 请根据MRS集群版本，从如下链接中选择相应的漏洞规避方案。 MRS 3.1.1：MRS 3.1.1版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 3.1.0：MRS 3.1.0版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 3.0.5：MRS 3.0.5版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 3.0.2：MRS 3.0.2版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 2.1.1：MRS 2.1.1版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 2.1.0：MRS 2.1.0版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 1.9.3：MRS 1.9.3版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 1.9.2：MRS 1.9.2版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 1.9.0：MRS 1.9.0版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 1.8.10：MRS 1.8.10版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施 MRS 1.7.1：MRS 1.7.1版本Log4j2远程执行漏洞（CVE-2021-44228）缓解措施

涉及模块 管理面：不涉及该漏洞 租户面：Manager（Web+Controller+nodeagent）、Kafka、Flink MRS 3.1.0.x执行以下章节： 修复Manager Web 修复Manager Controller 修复Manager nodeagent MRS 3.1.2.x执行章节： 修复Manager Web 修复Manager Controller 修复Manager nodeagent 修复Kafka 修复Flink

使用流程 解决方案工作台（原Haydn）是华为云的一站式解决方案全生命周期数字化平台，帮助华为云用户在线化、协作式的完成解决方案的设计、验证、交付和运维事件管理，加速企业数字化转型。 使用解决方案工作台进行解决方案管理的流程如下图所示。 图1 解决方案工作台使用流程 访问解决方案工作台 使用华为云账号登录解决方案工作台，成为解决方案工作台用户。 购买套餐 购买免费基础版，可使用基础的设计、验证、交付、运维能力，例如设计的技术架构设计（TA）能力。 购买增强包，使用相应的全场景业务功能。例如，购买方案设计功能增强包，结合免费基础版，可进行技术架构设计（TA）和信息架构设计（IA）。 创建空间 解决方案工作台通过工作空间实现不同用户的信息和资源隔离，在开始进行方案管理前，需要先根据工作场景创建对应类型的工作空间，参考创建工作空间。 工作空间的类型决定了整个空间的工作内容。 例如，您需要使用解决方案工作台进行联营商品认证，则可以在创建工作空间时选择“云商店联营验证”空间类型，在该类型下您可以查看到与联营验证相关的验证要求、工作流等。接下来新建的方案也只能是联营验证类型的解决方案，根据联营验证的工作流进行验证。后续的详细指导参考标准空间、交付空间、运维空间。 父主题： 开始使用解决方案工作台

方案设计提交审核 方案设计完成后，可提交方案设计审核，审核通过的方案为“设计完成”状态。仅允许方案设计责任人（即，在新建方案时指定的设计责任人）提交审核。 点击设计中心右上角【提交审核】按钮，选择要提交的架构、方案审核责任人，点击【确定】。审核责任人可选择工作空间内的架构师或项目经理，支持多选。 图1 设计中心-提交审核 提交后，可在方案管理中查看该方案，该方案的阶段变为：方案审核 图2 方案管理主页 点击方案名称，可在方案详情页流程记录查看审核结果 图3 方案详情页-流程记录 审核通过后，方案阶段变为：设计完成，设计完成状态的方案可开启后续的方案验证流程。 审核责任人的审核操作请参考方案审核。如果您订阅了解决方案工作台的邮件通知，则可通过邮件通知查看审核结果。 父主题： 技术架构设计

创建集成架构—从已有架构复制 如您需要从其他空间或本空间的指定方案下复制架构，则可以通过复制功能复制已有架构。 单击左上角“【创建集成架构】按钮开始新建集成架构。 填写架构名称后，选择从已有架构复制。 依次选择工作空间、解决方案、集成架构、部署架构（可选），自定义填写架构名称和架构描述后点击“确定”。 图5 从已有架构创建集成架构 如果待复制的架构在同一空间&同一方案下，您也可以直接点击左上角的架构复制按钮进行快速复制。 图6 复制架构 复制完成后，可在复制的集成架构基础上进行二次编辑。可参考集成架构设计指导进行详细的集成架构设计。

创建集成架构—加速场架构模板 解决方案工作台解决方案加速场发布了不同行业、场景的架构模板供用户使用，您可以通过搜索加速场架构模板，引用合适的架构，在该架构的基础上进行您的架构设计。 单击左上角【创建集成架构】按钮开始新建集成架构。 填写架构名称后，选择加速场架构模板。 在选择模板处通过搜索关键字，如：迁移，选择合适的加速场架构模板后点击确定。您也可以点击该架构的“详情”进入该架构详情页进行查看，确认是否是您需要引用的架构。 图4 通过加速场模板创建集成架构 创建成功后，画布上自动加载您引用的架构模板，您可以基于该架构进行修改和保存。 可参考集成架构设计指导进行详细的集成架构设计。

自动部署（ RFS ） 设计中心RFS自动部署架构设计完成后，后续创建验证需求关联该自动部署架构，在资源开通阶段可以实现自动购买和部署云服务资源。如何进行自动化部署架构设计请参考5.2.1.2-自动部署-RFS自动部署。 自动部署是直接一次性购买架构中的云服务并且部署。 进入空间中，在左侧导航栏选择【验证中心】-【资源管理】，在待开通资源的需求后面点击【资源开通】。 进入到云服务资源开通界面，点击【创建资源栈】。 图10 创建资源栈 选择模板步骤无需操作，已固定了默认模板，即为设计设计中心在开通资源前的最新保存的模板，点击【下一步】。 图11 选择模板 配置参数，完成后点击【下一步】。 编辑描述：对该资源栈的描述，创建成功后，该描述会同步到RFS资源栈列表中。（非必填） 设置服务密码：设置对应云服务的登录密码，也可以部署后登录服务再设置。（非必填） 图12 配置参数 资源栈设置，完成后点击【下一步】 IAM权限委托：可以选择账号已有委托权限部署资源（非必填，如果不选择则是使用开通人账号权限进行部署）。 回滚设置：开启回滚，操作失败时，会自动回滚至系统所保存的上一个成功的资源状态，例如部署资源时，某一个资源部署失败，则回滚到上一步，即所有资源都回滚到部署前。 删除保护：开启删除保护后，必须要拥有对应IAM权限的用户才可以删除该资源栈，否则不能删除。 图13 资源栈设置 配置确认，可以选择创建执行计划或者直接部署资源栈 图14 配置确认 创建执行计划：即创建资源栈，但不部署，后续可以随时点击部署、删除、同步，同步即为刷新状态。 图15 资源栈列表 直接部署资源栈：即马上购买资源并部署，点击同步按钮可以刷新部署状态。 图16 资源栈列表 提交资源开通，自动部署资源成功后，填写应用信息、技术栈信息—点击【提交】按钮，资源开通完成。 图17 提交资源开通