华为云用户手册

续费相关的功能 包年/包月云集群续费相关的功能如表1所示。 表1 续费相关的功能 功能 说明 手动续费 包年/包月集群从购买到被自动删除之前，您可以随时为集群续费，以延长集群的使用时间。 自动续费 开通自动续费后，集群会在每次到期前自动续费，避免因忘记手动续费而导致资源被自动删除。 在一台包年/包月集群生命周期的不同阶段，您可以根据需要选择一种方式进行续费，具体图1所示。 图1 集群生命周期 集群从购买到到期前，处于正常运行阶段，资源状态为“运行中”。 到期后，资源状态变为“已过期”。 到期未续费时，集群首先会进入宽限期，宽限期到期后仍未续费，资源状态变为“已冻结”。 超过宽限期仍未续费将进入保留期，如果保留期内仍未续费，资源将被自动删除。 华为云根据客户等级定义了不同客户的宽限期和保留期时长。 在集群到期前均可开通自动续费，到期前7日凌晨3:00首次尝试自动续费，如果扣款失败，每天凌晨3:00尝试一次，直至集群到期或者续费成功。到期前7日自动续费扣款是系统默认配置，您也可以根据需要修改此扣款日。

计费概述 通过阅读本文，您可以快速了解云搜索服务 CSS的计费模式、计费项、续费、欠费等主要计费信息。 计费模式 云搜索服务提供包年/包月、按需计费两种计费模式，以满足不同场景下的用户需求。包年/包月是一种预付费模式，即先付费再使用，按照订单的购买周期进行结算，因此在购买之前，您必须确保账户余额充足。按需计费是一种后付费模式，即先使用再付费，按照集群实际使用时长计费。关于两种计费模式的详细介绍请参见2.1 计费模式概述。 在购买集群后，如果发现当前计费模式无法满足业务需求，您还可以变更计费模式。详细介绍请参见6.1 变更计费模式概述。 计费项 云搜索服务的计费项由节点规格费用、节点存储费用、Kibana公网带宽和公网带宽费用组成。了解每种计费项的计费因子、计费公式等信息，请参见计费项。 如需了解实际场景下的计费样例以及各计费项在不同计费模式下的费用计算过程，请参见5 计费样例。 续费 包年/包月集群在到期后会影响云搜索服务的正常运行。如果您想继续使用云搜索服务，需要在规定的时间内为云搜索服务进行续费，否则vCPUs、内存、存储等资源将会自动释放，数据也可能会丢失。续费包括手动续费和自动续费两种方式，您可以根据需求选择。了解更多关于续费的信息，请参见续费概述。 欠费 在使用云搜索服务时，账户的可用额度小于待结算的账单，即被判定为账户欠费。欠费后，可能会影响云服务资源的正常运行，需要及时充值。详细介绍请参见9 欠费说明。 停止计费 当云搜索服务资源不再使用时，可以将集群退订或删除，从而避免继续收费。详细介绍请参见10 停止计费。 成本管理 您可以从成本构成、成本分配、成本分析和成本优化四个维度来管理成本。更多详情，请参见11 成本管理。

到期后影响 图3描述了包年/包月集群各个阶段的状态。购买后，在计费周期内资源正常运行，此阶段为有效期；资源到期而未续费时，将陆续进入宽限期和保留期。 图3 包年/包月集群资源生命周期 到期预警 包年/包月集群在到期前第7天内，系统将向用户推送到期预警消息。预警消息将通过邮件、短信和站内信的方式通知到华为云账号的创建者。 到期后影响 当您的包年/包月集群到期未续费，首先会进入宽限期，资源状态变为“已过期”。宽限期内您可以正常访问集群，但以下操作将受到限制： 变更节点规格 扩容节点存储 修改带宽大小 如果您在宽限期内仍未续费包年/包月集群资源，那么就会进入保留期，资源状态变为“已冻结”，您将无法对处于保留期的包年/包月资源执行任何操作。 保留期到期后，若包年/包月集群资源仍未续费，那么计算资源（vCPUs和内存）、云硬盘和公网带宽将被释放，数据无法恢复。 华为云根据客户等级定义了不同客户的宽限期和保留期时长。 关于续费的详细介绍请参见续费概述。

变更配置后对计费的影响 当前包年/包月集群的规格不满足您的业务需要时，您可以在云搜索服务管理控制台发起变更规格操作，变更时系统将按照如下规则为您计算变更费用： 资源升配：新配置价格高于老配置价格，此时您需要支付新老配置的差价。 资源降配：新配置价格低于老配置价格，此时华为云会将新老配置的差价退给您。 资源降配会影响进群性能，通常不建议您这样操作。这里以资源升配且无任何优惠的场景为例，假设您在2023/04/08购买了一个包年/包月集群（ess.spec-4u8g），购买时长为1个月，计划在2023/04/18变更规格为ess.spec-8u16g。旧配置价格为614.74 元/月，新配置价格为1229.34 元/月。计算公式如下： 升配费用=新配置价格*剩余周期-旧配置价格*剩余周期 公式中的剩余周期为每个自然月的剩余天数/对应自然月的最大天数。本示例中，剩余周期=12（4月份剩余天数）/ 30（4月份最大天数）+ 8（5月份剩余天数）/ 31（5月份最大天数）=0.66，代入公式可得升配费用=1229.34*0.6581-614.74*0.6581=450.64（元）。 更多信息请参见变更资源规格费用说明。

适用场景 包年/包月计费模式需要用户预先支付一定时长的费用，适用于长期、稳定的业务需求。以下是一些适用于包年/包月计费模式的业务场景： 稳定业务需求：对于长期运行且资源需求相对稳定的业务，如企业官网、在线商城、博客等，包年/包月计费模式能提供较高的成本效益。 长期项目：对于周期较长的项目，包年/包月计费模式可以确保在整个项目周期内资源的稳定使用。 业务高峰预测：如果能预测到业务高峰期，如电商促销季、节假日等，可提前购买包年/包月资源以应对高峰期的需求，避免资源紧张。 数据安全要求高：对于对数据安全性要求较高的业务，包年/包月计费模式可确保资源的持续使用，降低因资源欠费而导致的数据安全风险。

适用计费项 以下计费项支持包年/包月： 表1 适用计费项 计费项 说明 节点规格 包括vCPUs和内存。 节点存储 节点的磁盘存储类型和节点存储大小。 公网带宽 包年/包月集群开通公网访问或者Kibana公网访问功能时，会产生带宽费用，带宽的计费模式同为包年/包月。 假设您计划购买一个节点存储为高I/O 40GB的集群，且选择Kibana公网访问。在购买集群的配置确认页面，您将看到所需费用的明细，如图1所示。 图1 配置费用示例 配置费用将包括以下部分： 节点规格：根据所选配置（包括vCPUs和内存）计算的费用。 节点存储：节点的存储费用。 Kibana公网带宽：根据所选带宽大小计算的费用。

计费示例 假设您在2023/03/08 15:50:04购买了一个包年/包月集群（规格：ess.spec-4u8g），计费资源包括计算资源（vCPUs和内存）、存储（普通I/O 40GB）以及Kibana公网带宽（1Mbit/s）。购买时长为一个月，并在到期前手动续费1个月，则： 第一个计费周期为：2023/03/08 15:50:04 ~ 2023/04/08 23:59:59 第二个计费周期为：2023/04/08 23:59:59 ~ 2023/05/08 23:59:59 您需要为每个计费周期预先付费，各项资源单独计费，计费公式如下所示。 表2 计费公式 资源类型 计费公式 资源单价 节点规格 节点规格单价 * 购买时长 请参见云搜索服务价格计算器中的“规格价格”。 节点存储 节点存储单价 * 购买时长 请参见云搜索服务价格计算器中的“存储价格”。 公网带宽 按固定带宽值采用阶梯计费 0Mbit/s~5Mbit/s（含）：均为一个统一的单价 大于5Mbit/s：按每Mbit/s计费 请参见云搜索服务价格计算器中的“带宽价格”。 图2给出了上述示例配置的费用计算过程。 图中价格仅供参考，实际计算请以云搜索服务价格计算器中的价格为准。 图2 包年/包月集群费用计算示例

操作步骤 在AppStage首页右上区域单击“运营中心”快捷入口，进入运营中心工作台。 在左侧导航栏选择“运营看板”。 单击“配置看板”。 在“配置看板”界面“我的卡片”页签中，选择卡片分类，单击“新建卡片”。 选择卡片创建方式。在“上传卡片”下单击“上传离线卡片”。 支持在线构建、模板构建、上传卡片方式。 创建方式：自定义在线构建卡片模板。 在线构建：构建图表类或表单类卡片。 模板构建：使用卡片模板构建卡片。 上传卡片：通过上传卡片源文件创建卡片。 进入“上传卡片”界面，配置卡片信息，具体的参数说明如表1所示。 表1 参数说明 参数 说明 卡片名称 必填项。 自定义卡片的名称。名称由1~64个字符组成，包含中文、字母、数字及下划线。 上传源文件 必填项。 单击“添加文件”，选择本地准备好的卡片源文件。 说明： 只能上传zip文件，且不超过10MB。 离线定制的卡片是通过离线脚手架进行开发的，相关开发文档和开发依赖请联系华为工程师进行获取。 卡片分类 必填项。 从下拉框中选择卡片分类。 描述 必填项。 卡片的描述信息。由1-400个字符组成，包含中文、字母、数字及下划线。 卡片封面 可选项。 单击左侧方框中的，上传本地准备好的封面图。推荐图片比例为4:3。 配置完成后，单击“确定”，在“提示”对话框单击“取消”。 系统自动跳转至“我的卡片”界面，上传后的卡片会展现在“我的卡片”所创建卡片分组页面列表下。 在“提示”对话框单击“确认”，可以再次创建卡片。

功能介绍 开发中心的主要功能如表1所示。 表1 开发中心功能介绍 主要功能 功能简介 团队管理 团队和成员管理，团队所属部门、关联服务等信息配置以及成员的新增、修改和删除。 版本管理 需求和业务规划，制定版本计划，跟踪交付任务，跟踪发布上线。 需求管理 需求管理流程覆盖需求的收集、分析、评审、排序、分发、实现、验证、确认的全过程。 代码管理 提供分布式代码管理和协同开发能力，包括代码托管、代码检查、代码审核、代码追溯、持续集成等功能。 流水线管理 将产品需求纳入流水线进行需求设计、开发、验证，最终通过软件包将实现的用户需求交付给下游。 缺陷管理 从缺陷的发现和提出，到分析定位、实施修复，再到测试和验收，最终导向缺陷的闭环。 部署发布管理 版本发布后自动推送、自动部署，实现从开发到发布、部署、运行全生命周期可追溯。 效能管理 提供从需求、缺陷、代码、构建、测试、部署、发布到运营等研发各阶段作业数据的分析洞察能力。 父主题： 开发中心简介

更多操作 您还可以对Flink任务进行以下操作。 表2 Flink任务管理 操作名称 操作步骤 编辑Tags 在Flink页面单击“编辑Tags”。 在“编辑Tags”页面单击“新建Tags”。 输入Tags并单击“保存”。 单击“确定”。 关联Tags 在Flink任务列表中，单击待关联Tags的Flink任务所在行的“关联Tags”。 选择已新建的Tags。 单击“确定”。 说明： 关联Tags之前须先编辑并新建Tags。 编辑Flink任务 在Flink任务列表中，单击待编辑Flink任务所在行的“编辑”。 删除Flink任务 在Flink任务列表中，单击待删除Flink任务所在行的“删除”。 启动Flink任务 在Flink任务列表中，单击待删除Flink任务所在行的“启动”。 批量启动Flink任务 在Flink任务列表中，勾选待启动Flink任务。 单击列表上方的“批量启动”。 停止Flink任务 在Flink任务列表中，单击待停止Flink任务所在行的“停止”。 批量停止Flink任务 在Flink任务列表中，勾选待停止Flink任务。 单击列表上方的“批量停止”。 优雅停止Flink任务 在Flink任务列表中，单击待停止Flink任务所在行的“优雅停止”。 部署更新Flink任务 在Flink任务列表中，单击待更新部署Flink任务所在行的“部署更新”。 从资源中心部署文件 在Flink任务列表中，单击待部署Flink任务所在行的“从资源中心部署文件”。 查看日志 在Flink任务列表中，单击待查看日志Flink任务所在行的“查看日志”。 查看操作历史 在Flink任务列表中，单击待查看操作历史的Flink任务所在行的“操作历史”。 查看历史版本信息 在Flink任务列表中，单击待查看历史版本信息的Flink任务所在行的“历史版本信息”。 （可选）可单击历史版本所在行的“对比当前版本”，查看版本差异。

新建卡片分类 在AppStage首页右上区域单击“运营中心”快捷入口，进入运营中心工作台。 在左侧导航栏选择“运营看板”。 单击“配置看板”。 在“配置看板”界面“我的卡片”页签中，单击页面左上角的“新建卡片分类”。 输入卡片分类名称。 建议您按照一定的命名规则填写卡片分类名称，方便您快速识别和查找。卡片分类名称可输入1-64个字符，可包括中文、字母、数字及下划线，需满足唯一性且不可重复。 输入完成后按Enter键，卡片分类新建成功。

更多操作 您还可以对Spark任务进行以下操作。 表2 Spark任务管理 操作名称 操作步骤 编辑Tags 在Spark页面单击“编辑Tags”。 在“编辑Tags”页面单击“新建Tags”。 输入Tags并单击“保存”。 单击“确定”。 关联Tags 编辑并新建Tags后，在Spark任务列表中，单击待关联Tags的Spark任务所在行的“关联Tags”。 选择已新建的Tags。 单击“确定”。 编辑Spark任务 在Spark任务列表中，单击待编辑Spark任务所在行的“编辑”。 删除Spark任务 在Spark任务列表中，单击待删除Spark任务所在行的“删除”。 启动Spark任务 在Spark任务列表中，单击待启动Spark任务所在行的“启动”。 批量启动Spark任务 在Spark任务列表中，勾选待启动Spark任务。 单击列表上方的“批量启动”。 停止Spark任务 在Spark任务列表中，单击待停止Spark任务所在行的“停止”。 批量停止Spark任务 在Spark任务列表中，勾选待停止Spark任务。 单击列表上方的“批量启动”。 部署更新Spark任务 在Spark任务列表中，单击待更新部署Spark任务所在行的“部署更新”。 从资源中心部署文件 在Spark任务列表中，单击待部署Spark任务所在行的“从资源中心部署文件”。 查看日志 在Spark任务列表中，单击待查看日志Spark任务所在行的“查看日志”。 查看操作历史 在Spark任务列表中，单击待查看操作历史的Spark任务所在行的“操作历史”。 查看历史版本信息 在Spark任务列表中，单击待查看历史版本信息的Spark任务所在行的“历史版本信息”。 （可选）可单击历史版本所在行的“对比当前版本”，查看版本差异。

响应示例 状态码： 200 Success { "total_count" : 1, "jobs" : [ { "id" : "6f85e061-04dd-42e7-86d6-d3b1e40aac2e", "name" : "CreateCassandra", "status" : "Running", "start_time" : "2023-09-12T06:44:01+0000", "end_time" : "2023-09-12T06:44:03+0000", "progress" : "14%", "instance" : { "id" : "27a045b6bf9e46f691f81366d398cb04in06", "name" : "nosql-12f5" }, "fail_reason" : "" } ] }

响应参数 状态码： 200 表4 响应Body参数 参数 参数类型 描述 jobs Array of 表5 objects 任务列表。 total_count Integer 任务列表总数。 表5 JobDetail 参数 参数类型 描述 id String 任务ID。 name String 任务名称。 status String 任务执行状态。取值： Running：表示任务正在执行。 Completed：表示任务执行成功。 Failed：表示任务执行失败。 start_time String 创建时间，格式为“yyyy-mm-ddThh:mm:ssZ”。 其中，T指某个时间的开始；Z指时区偏移量，例如北京时间偏移显示为+0800。 end_time String 结束时间，格式为“yyyy-mm-ddThh:mm:ssZ”。 其中，T指某个时间的开始；Z指时区偏移量，例如北京时间偏移显示为+0800。 progress String 任务执行进度。 说明： 执行中状态才返回执行进度，例如“60%”，表示任务执行进度为60%，否则返回“”。 instance 表6 object 任务关联的实例信息。 fail_reason String 任务执行失败时的错误信息。 表6 JobInstanceInfo 参数 参数类型 描述 id String 实例ID。 name String 实例名称。

URI GET https://{Endpoint}/v3/{project_id}/jobs 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 租户在某一region下的project ID。获取方法请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 id 否 String 任务ID。 start_time 否 String 查询开始时间，默认当前时间往前30天，格式为“yyyy-mm-ddThh:mm:ssZ”。 其中，T指某个时间的开始，Z指时区偏移量。 end_time 否 String 查询结束时间，默认当前时间，格式为“yyyy-mm-ddThh:mm:ssZ”，且大于查询开始时间，时间跨度不超过30天。 其中，T指某个时间的开始，Z指时区偏移量。 status 否 String 任务状态。取值为“Running”为执行中。取值为“Completed”为完成。取值为“Failed”为失败。 name 否 String 任务名称。对应取值如下： "CreateInstance"：创建实例。 "RestoreNewInstance"：恢复到新实例。 "EnlargeInstance"：扩容实例。 "ReduceInstance"：缩容实例。 "RestartInstance"：重启实例。 "RestartNode"：重启节点。 "EnlargeInstanceVolume"：扩容实例磁盘。 "ReduceInstanceVolume"：缩容实例磁盘。 "ResizeInstance"：规格变更实例。 "UpgradeDbVersion"：升级数据库版本。 "BindPublicIP"：绑定公网IP。 "UnbindPublicIP"：解绑公网IP。 "DeleteInstance"：删除实例。 "EnlargeInstanceColdVolume"：扩容实例冷存储。 "AddInstanceColdVolume"：增加实例冷存储。 "ModifySecurityGroup"：修改安全组。 "ModifyCcmCert"：修改CCM证书。 "ModifyPort"：修改端口。 "ConstructDisasterRecovery"：构造容灾关系。 "DeConstructDisasterRecovery"：解除容灾关系。 "SwitchOverDisasterRecovery"：切换容灾关系。 "BuildBiActiveInstance"：构建双活实例。 "ReleaseBiActiveInstance"：解除双活实例关系。 "BackupInstance"：备份实例。 offset 否 Integer 索引位置，偏移量。 从第一条数据偏移offset条数据后开始查询，默认为0（偏移0条数据，表示从第一条数据开始查询），必须为数字，不能为负数。 limit 否 Integer 查询记录数。取值10，20，50 ，默认为50。

DEW权限 默认情况下，KMS管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 DEW部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问DEW时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对DEW服务，KMS管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，权限的最小粒度为API授权项（action）。DEW支持的API授权项请参见DEW权限及授权项。 如表 KMS系统策略所示，包括了DEW的所有系统权限。 表1 KMS系统策略 系统角色/策略名称 描述 类别 依赖关系 KMS Administrator 密钥管理服务(KMS)管理员，拥有该服务下的所有权限。 系统角色 无 KMS CMKFullAccess 密钥管理服务(KMS)的加密密钥所有权限。拥有该权限的用户可以完成基于策略授权的所有操作。 系统策略 无 KMS CMKReadOnlyAccess 密钥管理服务(KMS)的加密密钥只读权限。拥有该权限的用户可以完成基于策略授权的所有操作。 系统策略 无 表2 KPS系统策略 系统角色/策略名称 描述 类别 依赖关系 DEW KeypairFullAccess 数据加密服务中密钥对管理服务(KPS)的所有权限。拥有该权限的用户可以完成基于策略授权的所有操作。 系统策略 无 DEW KeypairReadOnlyAccess 数据加密服务中密钥对管理服务(KPS)的查看权限。拥有该权限的用户仅能查看密钥对管理服务(KPS)数据。 系统策略 无 表3 CSMS系统策略 系统角色/策略名称 描述 类别 依赖关系 CSMS FullAccess 数据加密服务中凭据管理服务(CSMS)的所有权限。拥有该权限的用户可以完成基于策略授权的所有操作。 系统策略 无 CSMS ReadOnlyAccess 数据加密服务中凭据管理服务(CSMS)的只读权限。拥有该权限的用户可以完成基于策略授权的所有操作。 系统策略 无 DEW KeypairFullAccess、DEW KeypairReadOnlyAccess策略用于进行企业项目授权时，对个人用户授权后无法生效。 若个人用户需使用企业项目授权，需将个人用户加入用户组，对用户组整体进行授权后，该个人用户才能正常使用企业项目。 表4列出了DEW常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表4 常用操作与KMS系统权限的关系 操作 KMS Administrator KMS CMKFullAccess 创建密钥 √ √ 启用密钥 √ √ 禁用密钥 √ √ 计划删除密钥 √ √ 取消计划删除密钥 √ √ 修改密钥别名 √ √ 修改密钥描述 √ √ 创建随机数 √ √ 创建数据密钥 √ √ 创建不含明文数据密钥 √ √ 加密数据密钥 √ √ 解密数据密钥 √ √ 获取密钥导入参数 √ √ 导入密钥材料 √ √ 删除密钥材料 √ √ 创建授权 √ √ 撤销授权 √ √ 退役授权 √ √ 查询授权列表 √ √ 查询可退役授权列表 √ √ 加密数据 √ √ 解密数据 √ √ 签名消息 √ √ 验证签名 √ √ 开启密钥轮换 √ √ 修改密钥轮换周期 √ √ 关闭密钥轮换 √ √ 查询密钥轮换状态 √ √ 查询密钥实例 √ √ 查询密钥标签 √ √ 查询项目标签 √ √ 批量添加删除密钥标签 √ √ 添加密钥标签 √ √ 删除密钥标签 √ √ 查询密钥列表 √ √ 查询密钥信息 √ √ 查询公钥信息 √ √ 查询实例数 √ √ 查询配额 √ √ 查询密钥对列表 x x 创建或导入密钥对 x x 查询密钥对 x x 删除密钥对 x x 更新密钥对描述 x x 绑定密钥对 x x 解绑密钥对 x x 查询绑定任务信息 x x 查询失败的任务 x x 删除所有失败的任务 x x 删除失败的任务 x x 查询正在处理的任务 x x

基本概念 本文解释了数据加密服务（Data Encryption Workshop, DEW）的基本术语概念，帮助您正确理解和使用DEW。 表1 通用加密术语 名称 定义 更多信息 对称密钥加密 对称密钥加密又称专用密钥加密。信息的发送方和接收方使用相同密钥去加密和解密数据。 优点：加密和解密速度快。 缺点：每对密钥需保持唯一性，所以用户量大时密钥管理困难。 适用场景：加密大量数据。 密钥概述 非对称密钥加密 非对称密钥加密又称公开密钥加密。它需要使用一对密钥来分别完成加密和解密的操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。 优点：加密和解密使用密钥不同，所以安全性高。 缺点：加密和解密速度较慢。 适用场景：对敏感信息加密。 密钥概述 国密 国密即国家密码局认定的国产密码算法。其中包括对称加密算法、椭圆曲线非对称加密算法、摘要算法。包括 SM2、SM4 等。 SM1为对称加密算法，加密强度为128位，采用硬件实现。 SM2为非对称加密算法，其加密强度为256位。 SM3为密码摘要算法，消息分组长度为 512 位，摘要值长度为 256 位。 SM4为对称加密算法，加密强度为128位。 - HMAC算法 （Hash-based Message Authentication Code，HMAC） HMAC算法是一种基于密钥的消息认证码算法。HMAC算法使用信息与密钥结合，使用哈希函数对结果进行加密，由此实现对信息完整性的保护以及信息验证。 - 数字签名 数字签名（Digital Signature）又称公钥数字签名，通常用于验证消息的真实性和完整性。使用者通过私钥将信息加密后发送给接收方，接收方通过公钥进行解密，通过信息对比保障电子文件的安全性。 - 表2 密钥管理服务术语 名称 定义 更多信息 硬件安全模块 （Hardware Security Module，HSM） 硬件安全模块是一种用于保护和管理强认证系统所使用的密钥同时提供相关密码学操作的计算机硬件设备。 - 用户主密钥 （Customer Master Key，CMK） 用户主密钥是用户或云服务通过密钥管理创建的密钥，是一种密钥加密密钥，主要用于加密并保护数据加密密钥。一个用户主密钥可以加密多个数据加密密钥。 用户主密钥分为自定义密钥和默认密钥。 什么是用户主密钥？ 默认密钥 （Default Key） 默认密钥是对象存储服务（Object Storage Service，OBS）等其他云服务自动通过密钥管理为用户创建的用户主密钥，其别名后缀为“/default”。 什么是默认密钥？ 密钥材料 （Key Material） 密钥材料是密码运算操作的重要输入之一，与密钥ID、基本元数据共同组成用户主密钥（Customer Master Key，CMK）。 - 信封加密 （Envelope Encryption） 信封加密是一种加密手段，将加密数据的数据密钥封入信封中存储、传递和使用，不再使用用户主密钥直接加解密数据。 信封加密方式有什么优势？ 数据加密密钥 （Data Encrypt Key，DEK） 数据加密密钥是用于加密数据的密钥。 什么是数据加密密钥？ HYOK （Hold Your Own Key，HYOK） 用户可以完全控制其密钥，密钥始终归用户所有。 专属密钥库 表3 SSH密钥对术语 名称 定义 更多信息 SSH密钥对 SSH密钥对是一种用于加密和验证网络连接的安全协议。它由两个部分组成：私钥和公钥。 私钥是一个加密的文件，只有持有者可以访问它。 公钥是一个非加密的文件，可以与任何人共享。当一个用户想要连接到另一个用户的计算机时，可以使用公钥来加密消息，并使用私钥来解密消息。 这种加密方式比传统的密码验证更安全，因为私钥只有持有者可以访问，而公钥可以在不暴露私钥的情况下共享。 密钥对管理 私有密钥对 私有密钥对是仅支持当前帐号查看或使用的密钥对。 创建密钥对 帐号密钥对 帐号密钥对是支持本帐号下所有用户查看或使用的密钥对。 升级密钥对

轮换凭据和密钥 为提升系统安全性，需要对敏感凭据进行定期更新。凭据轮换时要求对目标凭据具备依赖性的应用或配置同步更新，多应用系统凭据更新容易遗漏，可能带来业务中断风险。 通过凭据管理服务，提供凭据多版本管理，应用节点通过API/SDK调用实现应用层凭据安全轮换。 解决方案说明如下： 管理员通过凭据管理控制台或API接口新增凭据版本，更新目标凭据内容。 应用节点通过调用API/SDK 获取最新凭据版本，或指定版本状态的凭据，实现全量或灰度的凭据轮换。 定期重复步骤1和步骤2实现凭据定期轮转。 加密密钥开启密钥轮换，提高存储安全性。

凭据安全检索 应用程序访问数据库或其他服务时，需要提供如密码、令牌、证书、SSH 密钥、API 密钥等各种类型的凭据信息进行身份校验，通常是直接使用明文方式将上述凭据嵌入在应用程序的配置文件中。该场景存在凭据信息硬编码、明文存储易泄露和安全性较低等风险问题。 通过凭据管理服务，用户可以将代码中的硬编码替换为对API 的调用，以便用编程的方式动态查询凭据，由于该凭据中不包含敏感信息，保证凭据不被泄露。 解决方案说明如下： 应用读取配置时，调用凭据管理服务API检索读取凭据（代替硬编码和明文凭据）。

凭据事件通知 用户为凭据对象订阅关联事件后，当事件为启用状态且基础事件类型在凭据对象上触发时，通过消息通知服务（SMN）对应事件通知会发送至事件指定的通知主题上。基础事件类型包括：凭据新版本创建，凭据版本过期，凭据删除，凭据轮转。配置事件通知后，用户可以通过函数工作流服务(FunctionGraph)中基于事件驱动的托管函数来自动化轮转凭据。 解决方案说明如下： 1.管理员通过凭据管理服务的事件通知控制台或者调用API接口新增事件。 2.创建或更新凭据时，关联订阅所需的事件对象。 3.用户在凭据状态发生改变时收到事件通知消息，并可在函数工作流服务(FunctionGraph)中配置函数，来实现凭据自动更新或轮转等功能。

凭据管理基本功能 表1 凭据管理基本功能 功能 服务内容 凭据全生命周期管理 创建、查看、定时删除、取消删除凭据 修改凭据的加密密钥和描述信息 凭据版本管理 创建、查看凭据版本 查看凭据值 凭据版本到期设置 凭据版本状态管理 更新、查询、删除凭据版本状态 凭据标签管理 添加、搜索、编辑、删除标签 凭据事件管理 创建、查看、删除事件 修改凭据事件类型 凭据通知管理 查看变更事件类型、事件名称、凭据名称

修订记录 发布日期 修改说明 2023-11-03 第三十九次正式发布。 新增基本概念章节，新增HAMC算法、数字签名概念，修改密钥对概念。 新增场景示例章节。 修改产品优势章节，新增高易用性描述。 2023-09-25 第三十八次正式发布。 修改产品优势章节，新增对接CCE服务描述。 2023-08-24 第三十七次正式发布。 删除计费说明章节。计费说明更换为手册。 2023-08-02 第三十六次正式发布。 修改功能特性章节，新增专属密钥库、HYOK特性描述。 2023-06-30 第三十五次正式发布。 修改功能特性章节，新增HMAC密钥算法类型描述。 修改功能特性章节，新增凭据事件通知描述。 修改产品优势章节，新增凭据变更通知描述。 2022-11-22 第三十三次正式发布。 新增版本说明章节。 2022-11-15 第三十二次正式发布。 新增安全章节。 2022-08-18 第三十一次正式发布。 修改什么是数据加密服务章节，新增密钥对、私有密钥对、帐号密钥对概念。 2022-07-08 第三十次正式发布。 修改什么是数据加密服务章节，新增国密概念。 2022-05-18 第二十九次正式发布 修改什么是数据加密服务章节，优化基本概念。 2022-05-10 第二十八次正式发布。 修改功能特性，优化内容介绍。 修改1.8-计费说明章节，优化计费说明。 2022-03-29 第二十七次正式发布。 修改1.8-计费说明章节，优化计费说明。 2022-02-25 第二十六次正式发布。 修改1.5.1功能特性章节，新增支持导入的密钥对算法 2021-12-27 第二十五次正式发布。 修改1.4.1功能特性章节，优化功能特性。 修改1.4.3使用场景章节，优化使用场景介绍。 2021-11-15 第二十四次正式发布。 修改1.8-计费说明章节，优化计费说明。 2021-09-30 第二十三次正式发布。 修改使用场景章节，新增相关文档链接。 修改1.8-计费说明章节，优化计费说明。 2021-07-20 第二十二次正式发布。 修改凭据管理章节，优化功能特性。 修改功能特性章节，优化功能特性。 2021-06-30 第二十一次正式发布。 新增凭据管理章节。 修改什么是数据加密服务章节，增加凭据管理描述。 修改DEW权限管理章节，增加“常用操作与系统权限的关系”表。 2020-12-14 第二十次正式发布。 增加个人数据保护机制章节。 2020-08-25 第十九次正式发布。 “数据安全治理”下线。 2020-08-18 第十八次正式发布。 修改1.8-计费说明章节中引用的链接。 2020-05-27 第十七次正式发布。 新增1.8-计费说明。 2020-02-10 第十六次正式发布。 DEW系统策略名称变更：“DEW Keypair Admin”修改为“DEW KeypairFullAccess”，“DEW Keypair Viewer” 修改为“DEW KeypairReadOnlyAccess”，“KMS CMK Admin”修改为“KMS CMKFullAccess”。 2020-01-20 第十五次正式发布。 根据IAM界面变化更新产品介绍中DEW权限管理章节的内容。 2019-12-13 第十四次正式发布。 产品介绍修改功能特性章节，删除基础版和专业版相关描述。 2019-10-16 第十三次正式发布。 新增细粒度授权相关内容。 2019-06-24 第十二次正式发布。 在如何使用中补充使用流程。 在功能特性中新增支持的加密机类型。 2019-05-27 第十一次正式发布。 产品介绍优化DEW权限管理章节。 2019-03-30 第十次正式发布。 优化产品介绍目录结构，方便用户查阅。 2018-11-08 第九次正式发布。 修改“如何使用”章节，增加“与弹性文件服务配合使用”的说明。 修改与其他云服务的关系章节，增加“与弹性文件服务的关系”的说明。 2018-05-25 第八次正式发布。 修改如何使用章节，增加“与云数据库配合使用”的说明。 修改与其他云服务的关系章节，增加“与云数据库的关系”的说明。 2018-05-17 第七次正式发布。 修改与其他云服务的关系章节，新增导入私钥和导出私钥操作事件。 2018-04-12 第六次正式发布。 修改“功能介绍”章节，增加绑定密钥对说明。 2018-03-30 第五次正式发布。 修改“使用场景”，增加“登录Linux操作系统的弹性云服务器”。 修改“功能介绍”，增加创建、导入和删除密钥对功能介绍。 修改如何使用，增加与弹性云服务器配合使用的描述。 修改与其他云服务的关系，增加与弹性云服务器的关系说明，新增添加标签、删除标签、创建和导入密钥对、删除密钥对操作事件。 2017-12-15 第四次正式发布。 修改“功能介绍”章节，增加加解密小数据功能说明。 2017-11-16 第三次正式发布。 新增支持云硬盘。 新增了“项目”的概念说明。 修改“使用场景”章节。 修改与其他云服务的关系章节，增加云审计服务支持的KMS操作“加密数据”、“解密数据”的资源类型和事件名称。 2017-01-20 第二次正式发布。 新增了密钥管理服务相关概念、访问与使用方法以及与其他云服务的关系。 新增了默认主密钥说明。 新增了OBS、EVS、IMS定义，并优化了使用场景相关描述。 优化了SSE-KMS相关描述。 新增了创建DEK、不含明文的DEK方法相关说明。 新增了EVS、IMS与KMS的关系，如何配合使用等相关描述。 新增加了私有镜像的加密方法相关说明。 2016-08-25 第一次正式发布。

镜像包打包 上传打包的项目。 将jar文件上传到联网的linux机器上，如目录（/home/monitor）中 安装docker。 请确认你使用的系统已经安装docker(docker版本需要高于17.06，推荐18.06),安装参照docker 安装教程 制作镜像。 搜索基础镜像，基础镜像需要集成jre。 docker search jre8 选择合适的镜像（镜像需要集成了jre且版本不低于8） NAME DESCRIPTION STARS OFFICIAL AUTOMATED livingobjects/jre8 Jre8 image 4 [OK] livingobjects/jre8镜像是docker hub第三方提供的镜像，非华为公司发布，且华为公司未提供任何官方镜像。该镜像在此仅做示例，华为对该镜像的安全性不作保证。强烈建议用户自己封装镜像！ 拉取镜像 docker pull livingobjects/jre8 编写dockerfile制作镜像 dockerfile内容参照如下（具体可参考编写高效的Dockerfile ） #Version 1.0.0 FROM livingobjects/jre8 #基础镜像来源 RUN mkdir -p /opt/iot/edge/monitor / && chmod -R 777 /opt/ #授权 COPY monitor /opt/iot/edge/monitor #复制文件到指定目录,此dockerfile文件位置:/home,jar包位置:/home/monitor USER root #用户名 EXPOSE 8080 CMD ["java", "-jar", "/opt/iot/edge/monitor/monitor-app.jar", "run"] #运行命令 构建镜像 docker build -t edge_monitor:1.0.0 /home --no-cache 查看打包完成的镜像 docker images REPOSITORY TAG IMAGE ID CREATED SIZE edge_monitor 1.0.0 93f9d964bcea 12 seconds ago 243MB 镜像上传。 上传镜像 开通容器镜像服务SWR 镜像上传需要使用SWR镜像容器服务，开通及使用请参照容器镜像服务 SWR_用户指南 获取SWR登录指令 请参照使用容器引擎客户端上传镜像第四节。 tag镜像 使用tag命令将镜像重命名以确定上传位置和组织，获取上传位置和组织前缀请参考pull/push命令 docker tag edge_monitor:1.0.0 swr.cn-north-4.myhuaweicloud.com/hw_swr/edge_monitor:1.0.0 上传镜像 docker push swr.cn-north-4.myhuaweicloud.com/hw_swr/edge_monitor:1.0.0 查看上传结果 上传镜像后请在SWR将镜像设置为公开。

公网带宽 公网带宽是指华为云实例到Internet之间的网络带宽流量。ECS实例可以通过在创建时配置公网带宽，或创建后绑定EIP的方式来开通公网带宽，即弹性公网IP带宽。 公网带宽分为入云带宽和出云带宽。 入云带宽：从Internet流入华为云方向的带宽，例如，从公网下载资源到云内ECS。 出云带宽：从华为云流出到Internet方向的带宽，例如，云内的ECS对外提供服务，外部用户下载云内ECS上的资源。

变更安全组规则和网络ACL规则时，是否对原有流量实时生效？ 安全组使用连接跟踪来标识进出实例的流量信息，入方向安全组的规则变更，对原有流量立即生效。出方向安全组规则的变更，不影响已建立的长连接，只对新建立的连接生效。 当您在安全组内增加、删除、更新规则，或者在安全组内添加、移出实例时，系统会自动清除该安全组内所有实例入方向的连接，详细说明如下： 由入方向流量建立的连接，已建立的长连接将会断开。所有入方向流量立即重新建立连接，并匹配新的安全组入方向规则。 由出方向流量建立的连接，已建立的长连接不会断开，依旧遵循原有安全组规则。出方向流量新建立的连接，将会匹配新的安全组出方向规则。 网络ACL使用连接跟踪来标识进出实例的流量信息，入方向和出方向网络ACL规则配置变更，对原有流量不会立即生效。 当您在网络ACL内增加、删除、更新规则，或者在网络ACL内添加、移出子网时，由入方向/出方向流量建立的连接，已建立的长连接不会断开，依旧遵循原有网络ACL规则。入方向/出方向流量新建立的连接，将会匹配新的网络ACL出方向规则。 对于已建立的长连接，流量断开后，不会立即建立新的连接，需要超过连接跟踪的老化时间后，才会新建立连接并匹配新的规则。比如，对于已建立的ICMP协议长连接，当流量中断后，需要超过老化时间30s后，将会新建立连接并匹配新的规则，详细说明如下： 不同协议的连接跟踪老化时间不同，比如已建立连接状态的TCP协议连接老化时间是600s，ICMP协议老化时间是30s。对于除TCP和ICMP的其他协议，如果两个方向都收到了报文，连接老化时间是180s，如果只是单方向收到了报文，另一个方向没有收到报文，则连接老化时间是30s。 TCP协议处于不同状态下的连接老化时间也不相同，比如TCP连接处于ESTABLISHED（连接已建立）状态时，老化时间是600s，处于FIN-WAIT（连接即将关闭）状态时，老化时间是30s。 父主题： 安全类

操作指引 本文提供Linux和Windows云服务器的操作指导，具体请参见表1。 表1 操作指引说明 操作系统类型 IP类型 操作步骤 Linux IPv4 本文以CentOS 8.0 64bit操作系统为例： 为多网卡Linux云服务器配置策略路由 (IPv4/IPv6) IPv6 Windows IPv4 本文以Windows 2012 64bit操作系统为例： 为多网卡Windows云服务器配置策略路由 (IPv4/IPv6) IPv6

操作场景 本文档以配置双网卡云服务器的策略路由为例，组网如图1所示，具体说明如下： 源端云服务器主网卡和扩展网卡位于同一个VPC内的不同子网。 源端云服务器和目的端云服务器位于同一个VPC内的不同子网，因此网络互通，即配置策略路由前，源端云服务器的主网卡可以和目的端云服务器正常通信。 为源端云服务器双网卡配置策略路由后，主网卡和扩展网卡都可以作为独立网卡和目的端云服务器正常通信。 您可以根据实际情况选择目的端地址，请在配置双网卡策略路由前，确保源端云服务器主网卡和目的端已正常通信。 图1 双网卡云服务器组网示意图

排查思路 以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低频率原因排查，从而帮助您快速找到问题的原因。 如果解决完某个可能原因仍未解决问题，请继续排查其他可能原因。 表1 排查思路 可能原因 处理措施 检查ECS安全组是否已放通 解决方法请参考检查ECS安全组是否已放通。 检查网卡的“源/目的检查”开关是否关闭 解决方法请参考检查网卡的源/目的检查开关是否关闭。 检查VPC的自定义路由是否添加正确 解决方法请参考检查VPC的自定义路由是否添加正确。

路由 您可以在默认路由表和自定义路由表中添加路由，路由包括目的地址、下一跳类型、下一跳地址等信息，来决定网络流量的走向。路由分为系统路由和自定义路由。 系统路由：系统自动添加且无法修改或删除的路由。 创建路由表后，系统会自动在路由表中添加如下的系统路由，表示VPC内实例互通。 目的地址是100.64.0.0/10、198.19.128.0/20的路由。 目的地址是子网网段的路由。 您在创建子网时，开启IPv6功能，系统将自动为当前子网分配IPv6网段，就可以在路由表中看到IPv6路由。子网网段目的地址示例如下： IPv4地址：192.168.2.0/24。 IPv6地址：2407:c080:802:be7::/64。 除以上系统路由外，系统还会自动添加目的地址是127.0.0.0/8的路由，表示本地回环地址。 自定义路由：可以修改和删除的路由。自定义路由的目的地址不能与系统路由的目的地址重叠。 您可以通过添加自定义路由来自定义网络流量的走向，您需要指定目的地址、下一跳类型、下一跳地址。支持的下一跳类型如表1所示。 您无法在VPC路由表中添加目的地址相同的两条路由，即使路由的下一跳类型不同也不行。因此不论路由的下一跳是何种类型，路由的优先级均取决于目的地址，遵循最长匹配原则，即优先选择匹配度更高的目的地址进行路由转发。 表1 下一跳类型 下一跳类型 说明 支持添加该类型路由的路由表 服务器实例 将指向目的地址的流量转发到虚拟私有云内的一台ECS实例。 默认路由表 自定义路由表 扩展网卡 将指向目的地址的流量转发到虚拟私有云内的一台ECS实例的扩展网卡。 默认路由表 自定义路由表 裸金属服务器自定义网络 将指向目的地址的流量转发到一个裸金属服务器自定义网络。 自定义路由表 VPN网关 将指向目的地址的流量转发到一个VPN网关。 自定义路由表 云专线网关 将指向目的地址的流量转发到一个云专线网关。 自定义路由表 云连接 将指向目的地址的流量转发到云连接。 自定义路由表 辅助弹性网卡 将指向目的地址的流量转发到虚拟私有云内的一台ECS实例的辅助弹性网卡。 默认路由表 自定义路由表 NAT网关 将指向目的地址的流量转发到一个NAT网关。 默认路由表 自定义路由表 对等连接 将指向目的地址的流量转发到一个对等连接。 默认路由表 自定义路由表 虚拟IP 将指向目的地址的流量转发到一个虚拟IP地址，可以通过该虚拟IP地址将流量转发到主备ECS。 默认路由表 自定义路由表 VPC终端节点 将指向目的地址的流量转发到一个VPC终端节点。 默认路由表 自定义路由表 云容器引擎 将指向目的地址的流量转发到一个云容器引擎的节点。 默认路由表 自定义路由表 企业路由器 将指向目的地址的流量转发到一个企业路由器。 默认路由表 自定义路由表 云防火墙 将指向目的地址的流量转发到一个云防火墙。 默认路由表 自定义路由表 互联网网关 将指向目的地址的流量转发到一个互联网网关。 默认路由表 自定义路由表 个别由系统下发的路由可供用户修改和删除，这取决于创建对端服务时是否已设置目的地址。 例如，创建NAT网关时，系统会自动下发一条自定义类型的路由，没有明确指定目的地址（默认为0.0.0.0/0）,此时用户可修改该目的地址。而创建VPN网关时，可以指定远端子网，也就是路由表的目的地址，系统将下发系统类型的路由。如果在路由表页面更改路由将会导致与对端数据不一致，您可以前往对端服务页面修改远端子网来调整路由表中的路由规则。

达量断网 支持中国电信实体卡、中国联通和中国移动的组池卡，进行达量断网操作。 物联网卡统一设置了“达量断网”功能，单卡当月已用流量超出套餐额度则自动断网，次月自动恢复。单卡当月剩余流量不累计到下个月。 前向流量池内单卡已用流量超过套餐额度可正常使用，前向流量池内所有卡当月已用流量总和超出前向流量池内SIM卡的套餐额度总和则自动断网。前向流量池当月剩余流量（如果有的话）不累计到下个月。 达量断网停机之后，无论是当月充值恢复使用，还是次月自动恢复使用，大部分设备无需重启即可正常联网。如果发现设备无法联网，重启即可。 父主题： 使用物联网卡