华为云用户手册

现行实例规格说明 DDS集群实例的CPU规格分为通用型和增强Ⅱ型，详见表1。 表1 CPU规格类型 规格 说明 适用场景 通用型 与同一物理机上的其他通用型规格实例共享CPU资源，通过资源复用换取CPU使用率最大化，性价比较高，适用于对性能稳定性要求较低的应用场景。 侧重对成本、性价比要求较高的场景。 增强Ⅱ型 CPU性能强劲，并搭载全新网络加速引擎，以及DPDK(Data Plane Development Kit)快速报文处理机制，提供更高的网络性能以及算力，满足不同场景需求。 对数据库算力与网络有更高性能要求的网站和Web应用场景。 表2 config节点的规格 CPU类型 规格类型 vCPU（个） 内存（GB） 规格ID 缺省最大连接数配置 连接数取值范围 x86 通用型 2 4 dds.mongodb.s6.large.2.config 2000 200-2000 4 8 dds.mongodb.s6.xlarge.2.config 4000 200-4000 8 16 dds.mongodb.s6.2xlarge.2.config 4000 200-4000 增强Ⅱ型 2 4 dds.mongodb.c6.large.2.config 2000 200-2000 4 8 dds.mongodb.c6.xlarge.2.config 4000 200-4000 8 16 dds.mongodb.c6.2xlarge.2.config 4000 200-4000 鲲鹏 - 2 4 dds.mongodb.large.arm2.config 2000 200-2000 4 8 dds.mongodb.xlarge.arm2.config 4000 200-4000 8 16 dds.mongodb.2xlarge.arm2.config 16000 200-16000 表3 dds mongos和shard节点的规格 CPU类型 规格类型 组件 vCPU（个） 内存（GB） 规格ID 缺省最大连接数配置 连接数取值范围 x86 通用型 dds mongos 1 4 dds.mongodb.s6.medium.4.mongos 1000 200-1000 2 4 dds.mongodb.s6.large.2.mongos 2000 200-2000 2 8 dds.mongodb.s6.large.4.mongos 2000 200-2000 4 8 dds.mongodb.s6.xlarge.2.mongos 4000 200-4000 4 16 dds.mongodb.s6.xlarge.4.mongos 4000 200-4000 8 16 dds.mongodb.s6.2xlarge.2.mongos 16000 200-16000 8 32 dds.mongodb.s6.2xlarge.4.mongos 16000 200-16000 shard 1 4 dds.mongodb.s6.medium.4.shard 1000 200-1000 2 4 dds.mongodb.s6.large.2.shard 2000 200-2000 2 8 dds.mongodb.s6.large.4.shard 2000 200-2000 4 8 dds.mongodb.s6.xlarge.2.shard 4000 200-4000 4 16 dds.mongodb.s6.xlarge.4.shard 4000 200-4000 8 16 dds.mongodb.s6.2xlarge.2.shard 16000 200-16000 8 32 dds.mongodb.s6.2xlarge.4.shard 16000 200-16000 增强Ⅱ型 dds mongos 2 8 dds.mongodb.c6.large.4.mongos 2000 200-2000 2 16 dds.mongodb.c6.large.8.mongos 2000 200-2000 4 16 dds.mongodb.c6.xlarge.4.mongos 4000 200-4000 4 32 dds.mongodb.c6.xlarge.8.mongos 4000 200-4000 8 32 dds.mongodb.c6.2xlarge.4.mongos 16000 200-16000 8 64 dds.mongodb.c6.2xlarge.8.mongos 16000 200-16000 16 64 dds.mongodb.c6.4xlarge.4.mongos 16000 200-16000 16 128 dds.mongodb.c6.4xlarge.8.mongos 16000 200-16000 32 128 dds.mongodb.c6.8xlarge.4.mongos 16000 200-16000 32 256 dds.mongodb.c6.8xlarge.8.mongos 16000 200-16000 64 256 dds.mongodb.c6.16xlarge.4.mongos 16000 200-16000 shard 2 8 dds.mongodb.c6.large.4.shard 2000 200-2000 2 16 dds.mongodb.c6.large.8.shard 2000 200-2000 4 16 dds.mongodb.c6.xlarge.4.shard 4000 200-4000 4 32 dds.mongodb.c6.xlarge.8.shard 4000 200-4000 8 32 dds.mongodb.c6.2xlarge.4.shard 16000 200-16000 8 64 dds.mongodb.c6.2xlarge.8.shard 16000 200-16000 16 64 dds.mongodb.c6.4xlarge.4.shard 16000 200-16000 16 128 dds.mongodb.c6.4xlarge.8.shard 16000 200-16000 32 128 dds.mongodb.c6.8xlarge.4.shard 16000 200-16000 32 256 dds.mongodb.c6.8xlarge.8.shard 16000 200-16000 64 256 dds.mongodb.c6.16xlarge.4.shard 16000 200-16000 鲲鹏 - dds mongos 2 4 dds.mongodb.large.arm2.mongos 2000 200-2000 - 2 8 dds.mongodb.large.arm4.mongos 2000 200-2000 - 4 8 dds.mongodb.xlarge.arm2.mongos 4000 200-4000 - 4 16 dds.mongodb.xlarge.arm4.mongos 4000 200-4000 - 8 16 dds.mongodb.2xlarge.arm2.mongos 16000 200-16000 - 8 32 dds.mongodb.2xlarge.arm4.mongos 16000 200-16000 - 16 32 dds.mongodb.4xlarge.arm2.mongos 16000 200-16000 - 16 64 dds.mongodb.4xlarge.arm4.mongos 16000 200-16000 - shard 2 4 dds.mongodb.large.arm2.shard 2000 200-2000 - 2 8 dds.mongodb.large.arm4.shard 2000 200-2000 - 4 8 dds.mongodb.xlarge.arm2.shard 4000 200-4000 - 4 16 dds.mongodb.xlarge.arm4.shard 4000 200-4000 - 8 16 dds.mongodb.2xlarge.arm2.shard 16000 200-16000 - 8 32 dds.mongodb.2xlarge.arm4.shard 16000 200-16000 - 16 32 dds.mongodb.4xlarge.arm2.shard 16000 200-16000 - 16 64 dds.mongodb.4xlarge.arm4.shard 16000 200-16000

功能介绍 表1 功能介绍 功能名称 说明 查看应用性能指标 应用概览页面展示应用维度的指标数据，包含url调用次数、url平均响应时间、url错误率等；同时支持“购买特惠包”以及“接入应用”。 监控组件性能指标 组件列表展示组件不同的指标监控项， APM 支持查看组件的指标监控项。 通过调用链查看微服务间调用关系 在企业微服务之间调用复杂的场景下，Agent会抽样一些请求，拦截对应请求及后续一系列的调用信息。您可以通过调用链查看微服务间调用关系。 通过全局拓扑图查看应用间调用关系 通过拓扑图可以自动梳理服务之间的调用关系，同时也可以从全局视角查看服务之间调用是否正常，帮助用户快速定位问题。 管理APM探针启停状态 APM探针启停的状态。

通过Profiler分析代码性能 Profiler性能分析支持如下功能： 开启性能分析Profiler：首次使用Profiler性能分析功能时，需要开启Profiler。 分析代码性能：Profiler性能分析会自动获取应用程序运行过程中CPU和内存和时延的使用情况。通过火焰图实时展示每一个方法、类和线程的调用关系和执行效率，帮助您优化代码性能。 对代码性能差异：通过火焰图实时展示两个实例或同一个实例不同时间段的方法、类和线程的调用关系和执行效率的差异，帮助您对比代码性能差异。 查看代码性能快照：支持快照列表查询功能。快照列表以分钟为时间维度，获取应用程序的调试信息，如CPU核数、内存分配速率、实例名称以及主机名称。 查看建议：支持查看建议。Profiler根据用户的性能数据，识别出超过CPU使用率阈值的方法，然后给出合理的建议。

使用限制 为了应用运行稳定，强烈建议您按照要求升级JDK版本，在低版本的JDK上使用Debugging诊断功能，存在应用崩溃的风险。 Debugging诊断仅针对白名单用户开放。 表1 JDK版本说明 JDK类型 版本 OpenJDK OpenJDK 8u352+ OpenJDK 17.0.5+ Oracle JDK Oracle JDK 17.0.9+ 表2 Agent版本说明 Agent版本 说明 2.4.10-profiler Agent版本2.4.10-profiler及以后版本，支持Debugging诊断。 表3 使用限制以及说明 序号 使用限制及说明 1 Debugging诊断需要环境中含有jdk8或者jdk17，如果仅有JRE则无法使用。 2 Debugging诊断仅支持JAVA语言。

通过Debugging诊断代码 Debugging诊断代码支持如下功能： 线程分析支持显示该应用的所有线程和查看线程的堆栈信息。通过Debugging诊断线程，帮助用户快速定位耗时较高的线程。 方法分析支持检查正在运行的方法的耗时明细、调用来源以及方法源码。通过Debugging诊断方法，帮助用户快速定位问题的根本原因，以及问题线下无法复现或日志缺失等场景。 对象分析用于分析某个对象内部状态，并支持查看对象参数值和详细信息。

监控指标数据采集最大行数配置 当数据库的监控指标数据的数量，超过默认或者配置的数值时，页面会显示“Mysql数据库 采集数量超过上限 xxx，如需修改请 配置”的告警。 图2 Mysql数据库采集最大行数配置 单击告警中的“配置”，修改监控数据指标采集最大行数。 单击“确定”，配置完成。 监控指标数据的数量，超过默认或者配置的数值时，页面才会显示“Mysql数据库 采集数量超过上限 xxx，如需修改请 配置”的告警。 如果监控指标数据的数量，未超过默认或者配置的数值时，不支持配置监控数据指标采集最大行数。 监控数据指标采集最大行数，默认值为500，配置输入值的范围：10~2000。 监控数据指标采集超过该设置值后，监控项立即停止采集。为了防止内存占用过大，设置完成5分钟后生效。 了解“数据库”的更多内容，请参见数据库。

访问方式 公有云提供了Web化的服务管理平台（即管理控制台）和基于HTTPS请求的API（Application programming interface）管理方式。 API方式 如果用户需要将 镜像服务 集成到第三方系统，用于二次开发，请使用API方式访问镜像服务。具体操作请参见《镜像服务API参考》。 管理控制台方式 其他相关操作，请使用管理控制台方式访问镜像服务。如果用户已在云平台注册，可直接登录管理控制台，从主页选择“镜像服务”。 如果未注册，请参见“ 注册华为账号 并开通华为云”。

镜像类型 镜像分为公共镜像、私有镜像、共享镜像、市场镜像。公共镜像为系统默认提供的镜像，私有镜像为用户自己创建的镜像，共享镜像为其他用户共享的私有镜像。 图1以动图的形式展示了各类型镜像间的关系。 图1 镜像类型 镜像类型 说明 公共镜像 常见的标准操作系统镜像，所有用户可见，包括操作系统以及预装的公共应用。公共镜像具有高度稳定性，皆为正版授权，请放心使用，您也可以根据实际需求自助配置应用环境或相关软件。 官方公共镜像支持的操作系统类型包括：Huawei Cloud EulerOS、Windows，CentOS，Debian，openSUSE，Fedora，Ubuntu，EulerOS，CoreOS。 说明： Windows操作系统为市场镜像，该服务由第三方提供。为方便用户选用，在公共镜像中提供入口。 更多关于公共镜像的介绍，请参见“公共镜像概述”。 私有镜像 包含操作系统或业务数据、预装的公共应用以及用户的私有应用的镜像，仅用户个人可见。 私有镜像包括系统盘镜像、数据盘镜像、ISO 镜像和整机镜像，其中： 系统盘镜像：包含用户运行业务所需的操作系统、应用软件的镜像。系统盘镜像可以用于创建云服务器，迁移用户业务到云。 数据盘镜像：只包含用户业务数据的镜像。数据盘镜像可以用于创建云硬盘，将用户的业务数据迁移到云上。 ISO 镜像：将外部镜像的ISO文件注册到云平台的私有镜像。ISO镜像是特殊的镜像，只能发放用作临时过渡的云服务器。 整机镜像：也叫全镜像，包含用户运行业务所需的操作系统、应用软件和业务数据的镜像。整机镜像基于差量备份制作，相比同样磁盘容量的系统盘镜像和数据盘镜像，创建效率更高。 共享镜像 由其他用户共享而来的私有镜像。 更多关于共享镜像的使用，请参见“共享镜像”。 市场镜像 提供预装操作系统、应用环境和各类软件的优质第三方镜像。无需配置，可一键部署，满足建站、应用开发、可视化管理等个性化需求。 市场镜像通常由具有丰富云服务器维护和配置经验的服务商提供，并且经过华为云云商店和服务商的严格测试和审核，可保证镜像的安全性。

应对策略 为了保障使用CentOS系统的业务正常运行，华为云为您提供替换CentOS操作系统的应对策略。替换CentOS操作系统的方式分为两类，切换操作系统和迁移操作系统。 将CentOS操作系统切换为支持切换的操作系统。 如果现有的E CS 配置（网卡、磁盘、VPN等配置的类型和数量）都不需要改变，仅需要修改ECS的操作系统镜像，并且您的软件和原操作系统耦合度较低，建议使用系统切换。 切换到Huawei Cloud EulerOS具体操作，详见将操作系统切换为HCE OS。 切换到CentOS Stream或Rocky Linux具体操作详见切换操作系统。 将CentOS操作系统迁移为Huawei Cloud EulerOS操作系统。 如果现有的ECS配置（网卡、磁盘、VPN等配置的类型和数量）都不需要改变，希望保留操作系统软件的配置参数，可以通过操作系统迁移的方式迁移到Huawei Cloud EulerOS。 系统迁移详见将操作系统迁移为HCE。 系统切换和迁移的区别如下表，请根据需要选择合适的替换方式。 表1 系统切换和迁移的区别 区别 系统切换 系统迁移 数据备份 切换操作系统会清除系统盘数据，包括系统盘上的系统分区和所有其它分区。 切换操作系统不影响数据盘数据。 迁移操作系统不会清除系统盘数据，为避免系统软件的数据丢失，建议将其备份。 迁移操作系统不影响数据盘数据。 个性化设置 切换操作系统后，当前操作系统内的个性化设置（如DNS、主机名等）将被重置，需重新配置。 迁移操作系统后，当前操作系统内的个性化设置（如DNS、主机名等）不需重新配置。 表2 支持切换的操作系统 操作系统 概述 适用人群 Huawei Cloud EulerOS Huawei Cloud EulerOS(简称HCE)是基于openEuler构建的云上操作系统，中文名为华为云欧拉操作系统。 HCE打造云原生、高性能、高安全、易迁移等能力，加速用户业务上云，提升用户的应用创新空间，可替代CentOS、EulerOS等公共镜像。 适用于希望使用免费镜像，并延续开源社区镜像使用习惯的个人或企业。 CentOS Stream CentOS Stream是一个滚动升级的版本，由CentOS官方提供。 适用于希望延续CentOS使用习惯，并希望获得滚动升级的个人或企业。 Rocky Linux Rocky Linux是一个社区化的企业级操作系统，位于Red Hat Enterprise Linux（RHEL）下游。Rocky Linux与CentOS一样，提供了适用于服务器的稳定版本，旨在作为CentOS完全兼容的替代版本。 适用于希望使用免费镜像，并延续开源社区镜像使用习惯的个人或企业。 AlmaLinux AlmaLinux是CloudLinux团队宣布构建的一个稳定版CentOS社区分支。该操作系统实现了与Red Hat Enterprise Linux（RHEL）二进制文件的1:1兼容，并提供了不停机更换操作系统的能力。 适用于希望使用免费镜像，并延续开源社区镜像使用习惯的个人或企业。 Debian、Ubuntu操作系统 Linux的其他发行版操作系统，不同操作系统在使用习惯和应用兼容性上存在一定差异。 适用于可以自行应对操作系统切换成本的个人或企业。

影响 基于CentOS官方的变更计划，对CentOS操作系统的使用者产生的影响如下所述： 2021年12月31日以后，CentOS 8的使用者将无法获得包括问题修复和功能更新在内的任何软件维护和支持。 2024年06月30日以后，CentOS 7的使用者将无法获得包括问题修复和功能更新在内的任何软件维护和支持。 对于华为云的公共镜像及服务支持存在一定影响： 华为云暂不会下线CentOS 8公共镜像，同时已经使用CentOS 8创建的ECS实例运行不会受到影响，但将停止更新镜像。 华为云对于CentOS操作系统的服务支持将和CentOS官方日期保持同步。2021年12月31日以后将不再对CentOS 8提供服务支持；对CentOS 7的服务支持将持续至2024年6月30日。

背景信息 2020年12月08日，CentOS官方宣布了停止维护CentOS Linux的计划，并推出了CentOS Stream项目。更多信息，请参见CentOS官方公告。 CentOS 8系统2021年12月31日已停止维护服务，CentOS 7系统将于2024年06月30日停止维护服务。CentOS官方不再提供CentOS 9及后续版本，不再支持新的软件和补丁更新。CentOS用户现有业务随时面临宕机和安全风险，并无法确保及时恢复。

步骤三：连接实例生产消费消息 进入ECS的“root”目录下，下载RabbitMQ-Tutorial.zip示例工程代码。 wget https://dms-demo.obs.cn-north-1.myhuaweicloud.com/RabbitMQ-Tutorial.zip “/root”为示例工程代码存放路径，请根据实际情况修改。 解压RabbitMQ-Tutorial.zip压缩包。 unzip RabbitMQ-Tutorial.zip 进入RabbitMQ-Tutorial目录，该目录下包含预编译好的jar文件。 cd RabbitMQ-Tutorial 运行生产消息示例。 java -cp .:rabbitmq-tutorial.jar Send ${host} ${port} ${user} ${password} 参数说明如下： host：从创建实例中获取的连接地址。 port：RabbitMQ实例的连接端口，输入5672。 user：创建实例时，设置的用户名。 password：创建实例时，设置的密码。 生产消息示例如下： [root@ecs-test RabbitMQ-Tutorial]# java -cp .:rabbitmq-tutorial.jar Send 192.168.xx.40 5672 test Zxxxxxxs [x] Sent 'Hello World!' [root@ecs-test RabbitMQ-Tutorial]# java -cp .:rabbitmq-tutorial.jar Send 192.168.xx.40 5672 test Zxxxxxxs [x] Sent 'Hello World!' 运行消费消息示例。 java -cp .:rabbitmq-tutorial.jar Recv ${host} ${port} ${user} ${password} 参数说明如下： host：从创建实例中获取的连接地址。 port：RabbitMQ实例的连接端口，输入5672。 user：创建实例时，设置的用户名。 password：创建实例时，设置的密码。 消费消息示例如下： [root@ecs-test RabbitMQ-Tutorial]# java -cp .:rabbitmq-tutorial.jar Recv 192.168.xx.40 5672 test Zxxxxxxs [*] Waiting for messages. To exit press CTRL+C [x] Received 'Hello World!' [x] Received 'Hello World!' 如需停止消费使用Ctrl+C命令退出。

配置实例参数 进入API网关控制台页面。 在左侧导航栏选择“实例管理”。 在待配置参数的实例上，单击“查看控制台”或实例名称。 单击“配置参数”页签，找到您需要调整的配置项，根据下表参数说明，进行修改。不同的实例规格展示的配置参数会存在不同，具体以界面为准。 表1 实例配置参数说明 参数 说明 ratelimit_api_limits API全局默认流控值，默认值为200次/秒，可修改范围为1次/秒~1000000次/秒。API未绑定流控策略时，执行此默认流控；API绑定流控策略时，则执行绑定的流控策略。流控策略的API流量限制值不能超过API全局默认流控值。 request_body_size API请求中允许携带的Body大小上限，默认值为12MB，可修改范围为1MB~9536MB。 支持通过POST方法上传文件，目前仅支持对请求体透传。 backend_timeout 后端响应超时时间上限，默认值为60000ms，可修改范围为1ms~600000ms。 app_token app_token认证方式开关，默认关闭。启用后，可在API请求中使用获取的access_token进行API的调用认证。 app_token_expire_time：access_token的有效时间，在access_token到期前，请及时获取新的access_token并更新，避免影响正常使用。 refresh_token_expire_time：refresh_token的有效时间。refresh_token用于获取新的access_token。 app_token_uri：获取access_token的uri。 app_token_key：access_token的加密key。 app_api_key app_api_key认证方式开关，默认关闭。启用后，可在API请求中添加“apikey”参数，携带凭据的Key进行API的调用认证。 app_basic app_basic认证方式开关，默认关闭。启用后，在API请求中添加Header参数“Authorization”，参数值为"Basic"+base64(appkey:appsecret)，其中appkey和appsecret分别为凭据的Key和Secret。 app_secret app_secret认证方式开关，默认关闭。启用后，可在API请求中添加“X-HW-ID”和“X-HW-AppKey”参数，携带凭据的Key和Secret进行API的调用认证。 app_route 支持IP访问开关，默认关闭。启用后，非DEFAULT分组下的APP认证的API可以使用IP地址调用。 backend_client_certificate 后端双向认证开关，默认关闭。启用后，创建API配置后端服务时，可配置后端双向认证。 ssl_ciphers 支持配置HTTPS加密套件，默认所有的加密套件全部支持。当您绑定独立 域名 后，可根据需要选择支持的加密套件。 real_ip_from_xff 是否使用X-Forwarded-For头中的IP作为ACL、流控的判断依据，默认不使用。 xff_index：X-Forwarded-For头中IP的排序序号，值允许为正数、负数、0。 xff_index值为0或正数时，获取X-Forwarded-For头中对应索引的IP。 xff_index值为负数时，按倒序方式从X-Forwarded-For头中获取IP。 例如到达API网关的X-Forwarded-For头中依次有IP1，IP2，IP3三个IP地址，xff_index取0时获取IP1，xff_index取1时获取IP2，xff_index取-1时获取IP3，xff_index取-2时获取IP2。 vpc_name_modifiable 负载通道名称是否可修改，默认可修改。 须知： 负载通道名称可修改时，当前实例的负载通道无法通过项目级负载通道管理接口操作。 app_jwt_enable app_jwt认证方式开关，默认关闭。启用后，可在API请求中添加如下参数，携带凭据的Key和Secret以及时间戳进行API的调用认证。 在API请求中添加Header参数“Timestamp”，参数值为当前时间的Unix时间戳，单位为毫秒。 在API请求中添加Header参数“Authorization”，这一参数可以通过修改“app_jwt_auth_header”项进行配置，默认值为“Authorization”，参数值为sha256(appkey+appsecret+timestamp)，且sha256加密后的字符串需为小写字母。其中appkey和appsecret分别为凭据的Key和Secret，timestamp为当前时间的Unix时间戳，单位为毫秒。 在API请求中添加Header参数“X-HW-ID”，参数值为凭据的Key。 public_key_enable public_key类型签名密钥开关，默认关闭。启用后，可在签名密钥认证中使用public_key类型签名。 public_key_uri_prefix：获取public_key对应secret的uri前缀。具体uri格式为：https://{虚拟私有云访问地址}{public_key_uri_prefix}{public_key签名密钥名称}。 custom_auth_header 认证头域自定义配置开关，默认关闭。启用后，参数“app_auth_header”和“backend_sign_header”的初始值为空，与不启用效果一致。 如果配置“app_auth_header”的“参数运行值”，那么对于APP认证的API，请求header中携带APP认证信息的参数为此处“app_auth_header”的值；如果配置“backend_sign_header”的“参数运行值”，那么对于绑定HMAC或者Basic Auth类型签名密钥策略的API，API网关到后端服务的请求header中携带签名信息的参数为此处“backend_sign_header”的值。 须知： 配置后会影响当前实例下所有APP认证或签名密钥策略（HMAC/Basic Auth类型），请谨慎配置。 gzip 对响应请求使用gzip压缩，用于减少公网流量。默认未配置gzip压缩，配置后1分钟生效，请谨慎修改。 启用后，可配置comp_level参数，comp_level表示压缩级别，值越大表示性能消耗越大，一般默认为6。 须知： 响应请求体大于1KB时，您可以使用gzip压缩文件（即1KB以下的文件不做压缩）。 gzip压缩支持的文件类型有text/xml、text/plain、text/css、application/javascript、application/x-javascript、application/rss+xml、text/javascript、image/tiff、image/svg+xml、application/json、application/xml 启用gzip压缩后，须在请求中添加请求头“Accept-Encoding: gzip”。 gzip配置完成后，如需修改，至少需要1分钟后。 custom_log 自定义日志功能开关，默认关闭。开启自定义日志功能后，实例下所有API的调用日志中会在指定位置打印指定参数的值。 启用后，需单击“编辑”，添加需在调用日志中打印的参数。 须知： 自定义日志只支持打印由客户端发起的请求信息，不支持打印在APIG中定义的常量参数和系统参数。 自定义日志最多可配置10个字段，且字段大小总和不得超过2KB。 参数值中的部分特殊字符会进行编码，例如：加号（+）会被编码为空格“ ”，双引号（"）会被编码为“\x22”，反斜杠（\）会被编码为“\x5C”。 sse_strategy SSE传输策略开关，默认关闭。启用后，支持通过使用Server-Sent Events（SSE）按照流式输出API的响应内容，可以实现逐字符渲染。 须知： sse_strategy配置完成后，如需修改，至少需要1分钟后。 vpc_name_modifiable 负载通道名称支持修改开关。开启后可修改负载通道名称，但当前实例的负载通道无法通过项目级VPC通道管理API接口操作。 vpc_health_status 负载通道后端实例健康状态显示开关，默认关闭。开关开启且负载通道的健康检查开启时，将在负载通道详情页面展示后端实例的健康状态。 request_custom_config 支持自定义配置客户端请求相关参数。 HTTP/2：HTTP/2协议的开关，默认为开启状态。更多详情请参考什么是API网关。 request_body_timeout：客户端请求体超时时间的修改，默认为8s。网络状况差或请求体过大的情况下可适当调整该参数。 须知： 客户端请求自定义配置修改完成后，如需修改，至少需要1分钟后。 api_uri_no_escape API的URL中的Path转义处理开关。默认关闭，表示URL中的Path会进行转义处理。 开启“api_uri_no_escape”开关后，使用Path不转义的功能请参见表2。 表2 Path不转义影响的功能 功能 描述 API前端定义的Path 请求发送时使用的Path api_uri_no_escape开关关闭 api_uri_no_escape开关开启 API定义 APIG进行匹配路由的Path /{path} /aa%2Faa /aa/aa /aa%2Faa 参数编排 后端服务参数使用的Path - - /aa/aa /aa%2Faa http到https重定向 重定向使用的Path - - /aa/aa /aa%2Faa 策略后端 策略条件为请求入参的Path - - /aa/aa /aa%2Faa 第三方认证策略 API绑定第三方认证策略后，传递到第三方的Path - - /aa/aa /aa%2Faa kafka日志推送策略 API绑定kafka日志推送策略后，使用的请求Path - - /aa/aa /aa%2Faa 负载通道 使用URI哈希分发算法的负载通道时，APIG用来转发的Path - - /aa/aa /aa%2Faa FunctionGraph后端 API的后端类型为FunctionGraph时，发送到函数请求Path - - /aa/aa /aa%2Faa 自定义认证 API认证方式选择自定义认证时，发送到函数请求Path - - /aa/aa /aa%2Faa 表3 APIG支持的加密套件 加密套件名称 安全性 ECDHE-ECDSA-AES256-GCM-SHA384 高 ECDHE-RSA-AES256-GCM-SHA384 高 ECDHE-ECDSA-AES128-GCM-SHA256 高 ECDHE-RSA-AES128-GCM-SHA256 高 ECDHE-ECDSA-AES256-SHA384 低（即将下线） ECDHE-RSA-AES256-SHA384 低（即将下线） ECDHE-ECDSA-AES128-SHA256 低（即将下线） ECDHE-RSA-AES128-SHA256 低 低（即将下线）

注意事项 API网关中API分组和API的配额满足需求。 如果使用Swagger info或OpenAPI info的title作为API分组名称，新创建的API分组名称不能与已有的API分组名称重名。 导入的API定义中，如果存在冲突，那么根据系统导入的先后顺序，先导入的API会显示导入成功，后导入的API会显示导入失败。例如导入的API定义中存在2个名称相同或请求路径相同的API，那么先导入的API会显示导入成功，后导入的会显示导入失败。 导入的API定义与已有的API定义冲突时，您可以选择使用导入的API定义覆盖已有的API定义，或者保留已有的API定义，此时导入的API定义会显示导入失败。 如果选择扩展覆盖，当导入API的扩展定义项名称与已有策略（ACL，流量控制等）名称相同时，则会覆盖已有策略（ACL，流量控制等）。 导入的API不会自动发布到环境，导入时可以选择“立即发布”或者“稍后发布”，您可以自行选择策略。 暂不支持导入API的负载通道、SSL证书和凭据。

使用限制 单账号跟踪的事件可以通过 云审计 控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到 对象存储服务 （OBS）或 云日志 服务（LTS），才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。

开放API流程 企业或开发者通过API网关开放自身的服务与数据，实现业务能力变现。 创建API分组 每个API都归属到某一个API分组下，在创建API前应提前创建API分组。 添加API的SSL证书 如果API分组中的API支持HTTPS请求协议，需要为独立域名添加SSL证书。反之，跳过此步骤。 配置API的调用域名 在开放API前，您需要为API分组绑定一个独立域名，供API调用者访问API使用。 在绑定独立域名前，您可以使用系统为API分配的调试域名进行API调试，每天最多可以访问调试域名1000次。系统自动分配的域名不能用于生产业务，且仅限应用程序调试使用。 创建API的负载通道（可选） 如果需要访问指定服务器中已部署的后端服务，可通过创建负载通道来实现。反之，跳过此步骤。 创建API 把已有后端服务封装为标准RESTFul API或GRPC API，并对外开放。 API创建成功后，您可根据业务需求配置API策略，管理API等。 调试APIG创建的API 通过APIG提供的在线调试功能验证 API服务 是否正常可用。 配置API的发布环境和环境变量（可选） API可以同时提供给不同的环境调用，如生产、测试或开发。RELEASE是系统默认的发布环境，如果使用RELEASE环境，可跳过配置发布环境步骤。 如果API的后端服务信息中定义了环境变量，则需要在环境中添加对应的变量。通过环境变量，可实现同一个API，在不同环境中调用不同的后端服务。 发布APIG创建的API 把API发布到环境中，API只有在发布到环境后，才支持被调用。 父主题： 开放API

兼容性说明 支持OpenAPI规范。 OpenAPI规范（OAS），是定义一个标准的、与具体编程语言无关的RESTful API的规范。OpenAPI规范的前身是Swagger规范，API网关目前支持两种OpenAPI规范：Swagger 2.0或OpenAPI 3.0。为了方便区分，下文中OAS表示OpenAPI规范（包含Swagger 2.0或OpenAPI 3.0），Swagger表示Swagger 2.0规范，OpenAPI表示OpenAPI 3.0规范。 API网关导入或导出的OAS对象，与API网关对象定义的映射关系。 请求参数类型与API网关参数类型差异。 API请求路径模板语法差异。 导入API时支持的API网关扩展字段。 表1 OAS对象与API网关对象定义的映射关系 Swagger对象 OpenAPI对象 （以3.0.0为例） API网关对象 导入时行为 导出时行为 info.title info.title API分组名称 导入到新的分组：新的分组名称 导入到已有分组：未使用 支持汉字、英文、数字、下划线，且只能以英文或汉字开头，3 ~ 64字符 填充为分组名称 info.description info.description API分组描述 导入到新的分组：新的分组描述 导入到已有分组：未使用 填充为分组描述信息 info.version info.version 版本 未使用 用户指定 未指定则使用当前时间 host server.url API分组域名 未使用 优先使用API分组的第一个自定义域名 如果分组未绑定自定义域名则使用分组的独立域名 basePath - - 将与每条API的请求路径拼接起来使用 未填充 paths.path paths.path API请求路径 与basePath拼接起来作为API请求路径 填充为API请求路径 operation.operationId operation.operationId API名称 作为API名称 填充为API名称 operation.description operation.description API描述 作为API描述 填充为API描述 operation.parameters operation.parameters API前端请求参数 作为API请求参数 填充为API请求参数 operation.schemes - API前端请求协议 作为API请求协议 填充为API请求协议 operation.responses operation.responses - 未使用 固定填充default响应定义 operation.security operation.security API认证方式 API认证方式 结合x-apigateway-auth-type 填充为API认证方式 结合x-apigateway-auth-type 表2 请求参数类型和API网关参数类型差异 OAS类型Swagger类型 API网关类型 支持的参数属性字段 integer long float double number maximum minimum default enum required description string string maxLength minLength default enum required description 其它类型 不支持 不支持 表3 API请求路径模板语法差异 语法 OAS类型Swagger类型 API网关 /users/{userName} 支持 支持 /users/prefix-{userName} /users/{userName}-suffix /users/prefix-{userName} -suffix 支持 前端请求定义不支持 后端请求定义支持 /users/{proxy+} 不支持 前端请求定义支持 后端请求定义不支持

约束与限制 API网关参数限制，如下所示。 API网关暂不支持formData和body位置的请求参数定义。 API网关暂不支持consumes和produces定义。 API网关中，header位置的参数名称，不区分大小写。 后端策略限制，如下所示。 默认后端类型为HTTP，策略后端支持HTTP、HTTP-VPC。 默认后端类型为HTTP-VPC，策略后端支持HTTP、HTTP-VPC。 默认后端类型为function，策略后端支持function。 默认后端类型为mock，策略后端支持mock。 暂不支持导入导出GRPC API。

配置实例标签 进入API网关控制台页面。 在左侧导航栏选择“实例管理”。 在待添加标签的实例上，单击“查看控制台”或实例名称。 在“标签”页签中，单击“添加标签”。 标签由键和值组成，值可以为空。 标签键：支持可用UTF-8格式表示的字母(包含中文)、数字和空格，以及： _ . : = + - @字符； _sys_开头属于系统标签，租户不能输入。 标签值：支持可用UTF-8格式表示的字母(包含中文)、数字和空格，以及： _ . : = + - @字符。 如您的组织已经设定API网关服务的相关标签策略，则需按照标签策略规则为实例添加标签。标签如果不符合标签策略的规则，则可能会导致添加标签失败，请联系组织管理员了解标签策略详情。 单击“确定”。

约束与限制 一个API只能属于一个API分组。 API分组创建后，系统为分组自动分配一个内部测试用的调试域名，此调试域名每天最多可以访问1000次。您也可以在控制台上API分组详情的“分组信息”页面关闭“调试域名开关”来关闭调试域名，关闭后将隐藏调试域名，且不能通过调试域名调用API。 调试域名不能用于生产业务，且仅限应用程序调试使用。 调试域名默认只能在与实例相同VPC内的服务器上解析和访问，如果调试域名要支持公网解析与访问，请在实例上绑定公网入口弹性IP。

使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务（OBS）或云日志服务（LTS），才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。

前提条件 给用户组授权之前，请您了解用户组可以添加的表1，并结合实际需求进行选择。如果您需要对除API网关服务之外的其它服务授权， IAM 支持服务的所有策略请参见权限策略。 表1 API网关的系统角色或策略 系统角色/策略名称 描述 类别 依赖关系 APIG Administrator API网关服务的管理员权限。拥有该权限的用户可以使用API网关服务的所有功能。 系统角色 如果在操作过程中涉及其他服务资源的创建、删除、变更等，则还需要在同项目中勾选对应服务的Administrator权限。 APIG FullAccess API网关服务所有权限。拥有该权限的用户可以使用API网关服务的所有功能。 系统策略 无。 APIG ReadOnlyAccess API网关服务的只读访问权限。拥有该权限的用户只能查看API网关服务的各类信息。 系统策略 无。

APIG自定义策略 如果系统预置的API网关权限，不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参考细粒度策略支持的授权项。 目前华为云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 具体创建步骤请参见：创建自定义策略。本章为您介绍常用的API网关自定义策略样例。

APIG自定义策略样例 示例1：授权用户创建API、调试API的权限 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ " apig:apis:create apig:apis:debug " ] } ] } 示例2：拒绝用户创建API分组 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。 如果您给用户授予APIG FullAccess的系统策略，但不希望用户拥有APIG FullAccess中定义的创建API分组权限，您可以创建一条拒绝创建API分组的自定义策略，然后同时将APIG FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以执行除创建API分组外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ " apig:apis:create apig:apis:debug " ] } ] }

监控指标 表1 监控指标说明 指标ID 指标名称 指标含义 取值范围 单位 进制 测量对象（维度） 监控周期（原始指标） throttled_calls API被流控的调用次数 该指标表示API被流控之后累计的调用次数 ≥0 Times/min 不涉及 专享版API网关实例（instance_id） 1分钟 requests 接口调用次数 该指标表示API调用次数 ≥0 Times/min 不涉及 专享版API网关实例（instance_id） 1分钟 req_count_error 异常次数 该指标表示API总的错误次数 ≥0 Times/min 不涉及 单个API（instance_id，api_id） 1分钟 req_count_5xx 5xx调用次数 该指标表示API的5xx调用次数 ≥0 Times/min 不涉及 单个API（instance_id，api_id） 1分钟 req_count_4xx 4xx调用次数 该指标表示API的4xx调用次数 ≥0 Times/min 不涉及 单个API（instance_id，api_id） 1分钟 req_count_2xx 2xx调用次数 该指标表示API的2xx调用次数 ≥0 Times/min 不涉及 单个API（instance_id，api_id） 1分钟 req_count 接口调用次数 该指标表示API调用次数 ≥0 Times/min 不涉及 单个API（instance_id，api_id） 1分钟 output_throughput 流出流量 该指标表示API的流出流量 ≥0 Byte 1000(SI) 单个API（instance_id，api_id） 1分钟 max_latency 最大延迟毫秒数 该指标表示API的最大延迟毫秒数 ≥0 ms 不涉及 专享版API网关实例（instance_id） 1分钟 max_latency 最大延迟毫秒数 该指标表示API的最大延迟毫秒数 ≥0 ms 不涉及 单个API（instance_id，api_id） 1分钟 input_throughput 流入流量 该指标表示API的流入流量 ≥0 Byte 1000(SI) 单个API（instance_id，api_id） 1分钟 error_5xx 5xx调用次数 该指标表示API的5xx调用次数 ≥0 Times/min 不涉及 专享版API网关实例（instance_id） 1分钟 error_4xx 4xx调用次数 该指标表示API的4xx调用次数 ≥0 Times/min 不涉及 专享版API网关实例（instance_id） 1分钟 avg_latency 平均延迟毫秒数 该指标表示API的平均延迟毫秒数 ≥0 ms 不涉及 专享版API网关实例（instance_id） 1分钟 avg_latency 平均延迟毫秒数 该指标表示API的平均延迟毫秒数 ≥0 ms 不涉及 单个API（instance_id，api_id） 1分钟 node_system_load 网关节点系统负载 该指标用于统计当前数据面网关节点负载详情，1表示低水位，2表示中水位，3表示高水位 1，2，3， count 不涉及 单个网关节点（node_ip） 1分钟 node_cpu_usage 网关节点cpu使用率 该指标用于统计当前数据面网关节点cpu使用率 ≥0 % 不涉及 单个网关节点（node_ip） 1分钟 node_memory_usage 网关节点内存使用率 该指标用于统计当前数据面网关节点内存使用率 ≥0 % 不涉及 单个网关节点（node_ip） 1分钟

与云审计服务的关系 云审计服务（Cloud Trace Service，CTS）记录了 数据安全中心 相关的操作事件，方便用户日后的查询、审计和回溯。 表1 云审计服务支持的DSC操作列表 操作名称 资源类型 事件名称 授权或者取消对DSC的授权 dscGrant grantOrRevokeTodsc 添加OBS桶资产 dscObsAsset addBuckets 删除OBS桶资产 dscObsAsset deleteBucket 添加数据库资产 dscDatabaseAsset addDatabase 修改数据库资产 dscDatabaseAsset updateDatabase 删除数据库资产 dscDatabaseAsset deleteDatabase 添加大数据资产 dscBigdataAsset addBigdata 修改大数据资产 dscBigdataAsset updateBigdata 删除大数据资产 dscBigdataAsset deleteBigdata 更新对象名称 dscAsset updateAssetName 下载批量添加模板 dscBatchImportTemplate downloadBatchImportTemplate 批量添加数据库 dscAsset batchAddDatabase 批量添加资产 dscAsset batchAddAssets 展示异常事件 dscExceptionEvent listExceptionEventInfo 获取异常事件详细信息 dscExceptionEvent getExceptionEventDetail 添加告警配置 dscAlarmConfig addAlarmConfig 修改告警配置 dscAlarmConfig updateAlarmConfig 下载报表 dscReport downloadReport 删除报表 dscReport deleteReport 添加扫描规则 dscRule addRule 修改扫描规则 dscRule editRule 删除扫描规则 dscRule deleteRule 添加扫描规则组 dscRuleGroup addRuleGroup 修改扫描规则组 dscRuleGroup editRuleGroup 删除扫描规则组 dscRuleGroup deleteRuleGroup 添加扫描任务 dscScanTask addScanJob 修改扫描任务 dscScanTask updateScanJob 删除扫描子任务 dscScanTask deleteScanTask 删除扫描任务 dscScanTask deleteScanJob 启动扫描任务 dscScanTask startJob 停止扫描任务 dscScanTask stopJob 启动扫描子任务 dscScanTask startTask 停止扫描子任务 dscScanTask stopTask 启用/停用ES脱敏 dscBigDataMaskSwitch switchBigDataMaskStatus 获取ElasticSearch field信息 dscBigDataMetaData getESField 添加ES脱敏模板 dscBigDataMaskTemplate addBigDataTemplate 编辑ES脱敏模板 dscBigDataMaskTemplate editBigDataTemplate 删除ES脱敏模板 dscBigDataMaskTemplate deleteBigDataTemplate 查询ES脱敏模板列表 dscBigDataMaskTemplate showBigDataTemplates 启动/停止ES脱敏模板 dscBigDataMaskTemplate operateBigDataTemplate 切换ES脱敏模板状态 dscBigDataMaskTemplate switchBigDataTemplate 启用/停用数据库脱敏 dscDBMaskSwitch switchDBMaskStatus 获取数据库字段信息 dscDBMetaData getColumn 添加数据库脱敏模板 dscDBMaskTemplate addDBTemplate 修改数据库脱敏模板 dscDBMaskTemplate editDBTemplate 删除数据库脱敏模板 dscDBMaskTemplate deleteDBTemplate 查询数据库脱敏模板列表 dscDBMaskTemplate showDBTemplates 启动/停止数据库脱敏模板 dscDBMaskTemplate operateDBTemplate 切换数据库脱敏模板状态 dscDBMaskTemplate switchDBTemplate 添加脱敏算法 dscMaskAlgorithm addMaskAlgorithm 编辑脱敏算法 dscMaskAlgorithm editMaskAlgorithm 删除脱敏算法 dscMaskAlgorithm deleteMaskAlgorithm 测试脱敏算法 dscMaskAlgorithm testMaskAlgorithm 获取字段与脱敏算法的映射关系 dscMaskAlgorithm getFieldAlgorithms 添加加密算法配置 dscEncryptMaskConfig addEncryptConfig 修改加密算法配置 dscEncryptMaskConfig editEncryptConfig 删除加密算法配置 dscEncryptMaskConfig deleteEncryptConfig

身份认证和访问控制 身份认证 用户访问DSC的方式有多种，包括DSC控制台、API、SDK，无论访问方式封装成何种形式，其本质都是通过DSC提供的REST风格的API接口进行请求。 DSC的接口需要经过认证请求后才可以访问成功。DSC支持两种认证方式： Token认证：通过Token认证调用请求，访问DSC控制台默认使用Token认证机制。 AK/SK认证：通过AK（Access Key ID）/SK（Secret Access Key）加密调用请求。推荐使用AK/SK认证，其安全性比Token认证要高。 关于认证鉴权的详细介绍及获取方式，请参见认证鉴权。 访问控制 DSC支持通过权限控制（IAM权限）进行访问控制。 表1 DSC访问控制 访问控制方式 简要说明 详细介绍 权限控制 IAM权限 IAM权限是作用于云资源的，IAM权限定义了允许和拒绝的访问操作，以此实现云资源权限访问控制。管理员创建IAM用户后，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限。 IAM产品介绍 DSC权限管理 DSC权限管理（细粒度） 父主题： 安全

规格版本差异 本章节介绍数据安全中心服务和API数据安全防护实例的版本规格差异。 数据安全中心服务提供“通用数据安全防护场景”和“大模型数据安全防护场景”。 “通用数据安全防护场景”包含“标准版”和“专业版”两个版本供您选择，其差异如表1所示。 当前版本的数据库数量和OBS体量不能满足业务需求时，可以通过升级版本和规格增加数据库扩展包和OBS扩展包的数量。 OBS体量即OBS桶的“存储用量”，进入OBS服务控制台，左侧菜单选择“桶列表”查看桶“存储用量”，请根据OBS桶的“存储用量”选择大于或者相等的OBS体量。 表1 服务版本差异 规格版本 支持添加的数据库数量 支持添加的OBS体量 API调用额度 支持的功能 标准版 2个 100GB 不支持 资产地图 敏感数据识别 数据风险检测 专业版 2个 100GB 100W次 资产地图 敏感数据识别 数据风险检测 数据静态脱敏 数据水印注入/提取 API接口的调用 “大模型数据安全防护场景”：大模型使用的非结构化数据敏感数据识别、脱敏以及水印。 版本规格包含“标准版”，进行大模型敏感信息检测，包含的功能表2如所示。 表2 规格 规格版本 支持添加的数据体量 支持的功能 标准版 1T 训练数据资产目录 文本敏感数据识别 文本敏感数据脱敏 OBS使用日志审计 训练数据水印注入/提取 API数据安全防护实例提供了“基础版”和“专业版”供您选择，其差异如表3所示。 表3 实例版本差异 业务规格 基础版 专业版 - 满足基础防护需求 适用于中量级防护需求 支持应用数量 10个（最大） 20个（最大） 支持HTTP流量 1,000 Mbps 2,000 Mbps 支持HTTPS流量 500 Mbps 1,000 Mbps

特性说明 表1 功能概览 特性 描述 相关文档 首页概览 资产概览：对应用、接口、账号、敏感数据等资产进行数量统计。 访问热度：从不同维度显示近7天或近30天的访问情况。 首页概览 日志中心 支持记录告警日志和流量日志，并支持多条件进行日志查询。 告警日志：查看命中黑名单，风险防护，阻断类访问控制规则的详细信息。 检索日志：查看具体某个业务的访问流量信息。 日志中心 资产中心 应用资产：通过配置域名或IP+端口的方式实现网关的代理部署，提供多种代理类型（如HTTP、HTTPS等）供选择，以满足不同安全和应用需求。 接口资产：代理后通过访问情况自动扫描应用资产中的API接口，确保无遗漏。 账号资产：能够根据账号解析规则，识别到账号和对应会话，便于进行针对性的管理。支持根据识别出的账号配置各种防护规则。 敏感数据内置敏感数据识别算法识别多种类型的敏感数据，如密码、身份证号码、银行卡号等。 资产中心 安全策略 白名单：支持通过客户端IP、账号、敏感标签等条件配置不同生效范围的白名单 访问控制：支持通过不同条件组合对应用配置安全防护规则 风险防护：支持内置攻击识别规则，能根据动作执行阻断或日志审计防护。且支持自定义攻击阻断策略，并基于策略进行自动处置。 黑名单：支持通过客户端IP、账号、敏感标签等条件任意组合，配置黑名单并进行阻断。 脱敏管理：内置常见敏感数据标签和对应脱敏算法，支持添加脱敏模板，批量配置敏感数据标签和对应算法。支持根据不同条件对接口中返回的敏感数据进行脱敏，防止敏感数据泄露。 水印管理：支持对不同类型的应用服务添加水印，包含网页水印、点阵水印、文档水印，无痕水印等多种水印类型。在发生数据泄露事件时，支持根据水印内容追踪其泄露源头。 安全策略管理 业务配置 敏感数据标签：管理敏感数据标签，支持key指定，value关键字和正则自定义敏感数据标签。支持手动例外和添加敏感数据。 客户端IP解析：支持配置客户端IP解析规则，将对应识别位置的识别内容，解析成客户端IP。 证书管理：管理系统中的SSL证书。 分类分级：系统内置敏感数据分类分级，并支持自定义调整。 业务配置 系统管理 网络管理：支持页面配置网卡、路由与DNS信息，或是一键启用bypss状态，便于排查系统问题。 备份恢复：支持备份审计日志与配置文件，在遇到问题或误操作时，可以恢复审计日志或配置信息。 数据清理：支持定时或手动清理业务日志和系统日志。 系统管理 用户管理 内置系统管理员，审计管理员和安全管理员。 系统管理员：负责系统的日常运行维护。 安全管理员：主要负责系统的日常安全保密管理工作，包括系统用户权限的授予与撤销等配置。 审计管理员主要负责对系统管理员和安全管理员的操作行为进行审计跟踪、分析和监督检查。 用户管理 系统运维 系统监控：实时显示设备状态，系统的资源使用情况，方便排查问题。 系统过载：当API数据安全防护系统压力较高时，可配置系统过载，对部分流量进行bypass（不处理直接放行），降低系统压力。 系统运维

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的 云安全 挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的 IaaS、PaaS 和 SaaS 类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的 IaaS、PaaS 和 SaaS 类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API 网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全