华为云用户手册

病毒查杀 病毒查杀功能支持检测服务器中的病毒文件，可帮助用户清理潜在的恶意威胁。 表15 病毒查杀功能介绍 服务功能 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 病毒查杀 病毒查杀功能使用特征病毒检测引擎，支持扫描服务器中的病毒文件，扫描文件类型覆盖可执行文件、压缩文件、脚本文件、文档、图片、音视频文件，用户可根据自身需要，自主对服务器执行“快速查杀”、“全盘查杀”、“自定义查杀”扫描任务，并及时处置检测到的病毒文件，增强业务系统的病毒防御能力。 支持的操作系统：Linux、Windows。 检测周期：手动检测。 × √（仅支持快速查杀） √ √ √ √

容器集群防护 容器集群防护功能支持检测镜像中存在的不合规基线、漏洞恶意文件，防止不安全的容器镜像部署到集群。 表18 容器集群防护功能介绍 服务功能 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 容器集群防护 支持在容器镜像启动时检测其中存在的不合规基线、漏洞和恶意文件，并可根据检测结果告警和阻断未授权或含高危安全风险的容器镜像运行。 支持的操作系统：Linux。 检测周期：实时检测。 × × × × × √

网页防篡改 网页防篡改实时检测并拦截篡改指定目录下文件的行为，并可快速获取备份的合法文件恢复被篡改的文件，从而保护网站的网页、电子文档、图片等文件不被黑客篡改和破坏。 表11 网页防篡改功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 静态网页防篡改 防止网站服务器中的静态网页文件被篡改。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × × √ × 动态网页防篡改 为Tomcat提供动态网页防篡改能力，防止网站数据库中动态网页内容被篡改。 支持的操作系统：Linux。 检测周期：实时检测。 × × × × √ ×

应用防护 应用防护为运行时的应用提供安全防御。您无需修改应用程序文件，只需将探针注入到应用程序，即可为应用提供强大的安全防护能力。 表10 应用防护功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 SQL注入 检测防御SQL注入（SQL Injection）攻击，检测web应用是否存在对应漏洞。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ OS命令注入 检测防御远程OS命令注入（OS Command Injection）攻击，同时检测web应用是否存在对应漏洞。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ XSS 检测防御存储型跨站脚本(Cross-Site Scripting，XSS)注入攻击。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ Log4j RCE漏洞检测 检测防御远程代码执行的控制攻击，并支持对攻击行为进行阻和拦截。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 上传Webshell 检测防御上传危险文件的攻击或将已有文件改名为危险文件扩展名的攻击，同时检测web应用是否存在对应漏洞。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 内存马注入 检测防御内存马注入攻击。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ XXE 检测防御XXE注入（XML External Entity Injection）攻击，检测web应用是否存在对应漏洞。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 反序列化输入 检测使用了危险类的反序列化攻击。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 文件目录遍历 获取访问文件的路径或目录，匹配是否在敏感目录或敏感文件下。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ Struts2 OGNL OGNL代码执行检测。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ JSP执行操作系统命令 检测可疑行为—通过JSP请求执行操作系统命令。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ JSP删除文件 检测可疑行为—通过JSP请求删除文件失败。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 数据库连接异常 检测可疑异常—数据库连接抛出的认证和通讯异常。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 0 day漏洞 检测执行命令的堆栈哈希是否在Web应用的白名单堆栈哈希表里。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ SecurityManager权限检测异常 检测可疑异常，即SecurityManager抛出的异常。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ JNDI注入 检测防御JNDI注入攻击，检测Web应用是否存在对应漏洞。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √ 表达式(Expression)注入 检测防御表达式注入攻击，检测Web应用是否存在对应漏洞。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √ √

基线检查 基线检查支持扫描主机系统和关键软件含有风险的配置、弱口令、口令复杂度策略，支持的检测基线包含安全实践和等保合规基线，且可自定义选择检测的子基线项、修复漏洞风险。 表8 基线检查功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 口令复杂度策略检测 检测系统中的口令复杂度策略，给出修改建议，帮助用户提升口令安全性。 支持检测的操作系统：Linux。 检测周期：每日凌晨自动检测、手动检测。 √ √ √ √ √ √ 经典弱口令检测 检测系统账户口令是否属于常用的弱口令，针对弱口令提示用户修改。 支持检测的操作系统：Linux、Windows。 检测周期：每日凌晨自动检测、手动检测。 √ √ √ √ √ √ 配置检查 对常见的Tomcat配置、Nginx配置、SSH登录配置进行检查，帮助用户识别不安全的配置项。 支持检测的操作系统：Linux、Windows。 检测周期：每日凌晨自动检测、手动检测。 × × √ √ √ √

漏洞管理 漏洞管理支持检测主机中的Linux软件漏洞、Windows系统漏洞、Web-CMS漏洞、应用漏洞和应急漏洞，帮助用户识别潜在风险。 表7 漏洞管理功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 Linux漏洞检测 通过与漏洞库进行比对，检测主机的Linux操作系统官方维护的软件（非绿色版、非自行编译安装版；例如：kernel、openssl、vim、glibc等）存在的漏洞。 支持的操作系统：Linux。 检测周期：自动扫描（默认每日自动扫描）、定时扫描（默认每周一次，基础版不支持）、手动扫描（基础版不支持）。 √ √ √ √ √ √ Windows漏洞检测 通过同步微软官方的补丁公告，检测主机的Windows操作系统存在的漏洞。 支持的操作系统：Windows。 检测周期：自动扫描（默认每日自动扫描）、定时扫描（默认每周一次，基础版不支持）、手动扫描（基础版不支持）。 √ √ √ √ √ × Web-CMS漏洞检测 通过对主机中的Web目录和文件进行检测，识别Web-CMS漏洞，提升Web服务安全性。 支持的操作系统：Linux、Windows。 检测周期：自动扫描（默认每日自动扫描）、定时扫描（默认每周一次）、手动扫描。 × √ √ √ √ √ 应用漏洞检测 检测主机中开源的jar包、elf文件等的漏洞，比如log4j、spring-core的漏洞。 支持的操作系统：Linux、Windows。 检测周期：自动扫描（默认每周一自动扫描）、定时扫描（默认每周一次）、手动扫描。 × × √ √ √ √ 应急漏洞检测 通过软件版本比对和POC验证的方式，检测主机上运行的软件和依赖包是否存在漏洞，将存在风险的漏洞上报至控制台，并给您提供漏洞告警。 支持的操作系统：Linux、Windows。 检测周期：定时扫描（需要手动配置开启）、手动扫描。 × √ √ √ √ √

容器镜像安全 容器镜像安全支持扫描CI/CD镜像、仓库镜像、本地镜像安全，发现镜像中的漏洞、恶意文件、不合规配置等风险并提供修复建议，帮助用户确保镜像在开发、部署和运行全生命周期中的安全性。 表9 容器镜像安全功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 容器镜像扫描增值服务 CI/CD镜像安全扫描 支持将镜像安全扫描能力集成到Jenkins Pipeline项目的CI/CD构建流水线中，实现镜像构建阶段的安全扫描，识别镜像中存在的系统漏洞、应用漏洞、异常系统配置、恶意文件、敏感文件等10+风险，让安全左移到DevOps阶段，帮助用户及早消除安全风险，防止将有风险的镜像部署到生产环境。 支持的操作系统：Linux。 检测周期：项目构建时触发镜像扫描。 × × × × × × √ 仓库镜像安全扫描 检测镜像是否存在系统漏洞、应用漏洞、恶意文件、配置风险、弱密码、敏感信息、软件合规等风险项，并提供修复建议，帮助用户识别出潜在的风险。 支持的操作系统：Linux。 检测周期：手动检测、定时扫描（需启用）。 × × × × × × √ 本地镜像安全扫描 检测镜像是否存在系统漏洞、应用漏洞、软件信息风险项，并提供修复建议，帮助用户识别出潜在的风险。 支持的操作系统：Linux。 检测周期：手动检测。 × × × × × √ ×

主机指纹 主机指纹功能支持采集主机中的端口、进程、Web应用、Web服务、Web框架和自启动项等资产信息，用户通过主机指纹功能集中清点主机中的各类资产信息，及时发现风险资产。 表5 主机指纹功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 账号 检测当前系统的账号信息，帮助用户进行账户安全性管理。 支持的操作系统：Linux、Windows。 检测周期：每小时自动检测。 × × √ √ √ √ 开放端口 检测当前系统开放的端口，帮助用户识别出其中的危险端口和未知端口。 支持的操作系统：Linux、Windows。 检测周期：每30秒自动检测。 × × √ √ √ √ 进程 监测运行中的进程并进行收集及呈现，便于用户自主清点合法进程，发现异常进程。 支持的操作系统：Linux、Windows。 检测周期：每小时自动检测。 × × √ √ √ √ 软件 监测并记录当前系统安装的软件信息，帮助用户清点软件资产，识别不安全的软件版本。 支持的操作系统：Linux、Windows。 检测周期：每日自动检测。 × × √ √ √ √ 自启动项 对系统中的自启动项进行检测，及时统计自启动项的变更情况。 支持的操作系统：Linux、Windows。 检测周期：每小时自动检测。 × × √ √ √ √ Web应用 Web应用主要统计、展示推送发布web内容的软件详细信息，您可以查看所有软件的版本、路径、配置文件、关键进程等信息。 已支持采集的Web应用类型包括： Linux：PHPMailer、PHPMyadmin、DedeCMS、Wordpress、ThinkPHP、BigTree、JPress、Jenkins、ZABBIX、Discuz!、ThinkCMF。 Windows：畅捷通 支持的操作系统：Linux、Windows。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √ Web服务 统计、展示对外提供web内容访问的软件详细信息，您可查看所有软件的版本、路径、配置文件、关联进程等信息。 已支持采集的Web服务类型包括： Linux：Apache、Nginx、Tomcat、Weblogic、WebSphere、JBoss、Wildfly、Jetty。 Windows：Tomcat 支持的操作系统：Linux、Windows。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √ Web框架 统计、展示Web内容对外呈现时所使用框架的详细信息，您可查看所有框架的版本、路径、关联进程等信息。 已支持采集的Web框架类型包括以下几种，均基于Linux系统： Java语言框架：Struts、struts2、spring、hibernate、webwork、quartz、velocity、turbine、freemarker、flexive、stripes、vaadin、vertx、wicket、zkoss、jackson、fastjson、shiro、MyBatis、Jersey、JFinal。 Python语言框架：Django、Flask、Tornado、web.py、web2py。 PHP语言框架：Webasyst、KYPHP、CodeIgniter、InitPHP、SpeedPHP、ThinkPHP、OneThink Go语言框架：Gin、Beego、Fasthttp、Iris、Echo。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √ Web站点 统计、展示存放Web内容的目录及对外提供访问的站点信息，您可以查看所有目录及权限、以及和站点所关联访问路径、对外端口、关键进程等信息。 已支持采集的Web站点包括：基于Linux系统的Apache、Nginx、Tomcat。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √ 中间件 统计、展示所使用到的所有软件信息，您可查看所有中间件所关联的服务器、版本号、路径、关联进程等信息。 支持的操作系统：Linux、Windows。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √ 数据库 统计、展示提供数据存储的软件详细信息，您可以查看所有软件的版本、路径、配置文件、关键进程等信息。 已支持采集的数据库类型包括： Linux：MySQL、Redis、Oracle、MongoDB、Memcache、PostgresQL、HBase、DB2、Sybase、达梦数据库管理系统、金仓数据库管理系统kingbaseES。 Windows：MySQL 支持的操作系统：Linux、Windows（仅支持MySQL）。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √ 内核模块 统计、展示运行在内核层的全量程序模块文件，您可查看所有模块所关联的服务器、版本号、模块描述、驱动文件路径、文件权限、文件哈希等信息。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × √ √ √ √

容器资产 容器资产功能支持采集容器相关资产信息，包括集群、节点、容器、镜像以及容器指纹，其中容器指纹细分为账号、开放端口、进程、软件、自启动项、Web应用、Web服务、Web框架、Web站点、中间件和数据库等多个子类别。通过容器资产功能，用户可以全面盘点容器各类资产，从而有效的识别风险资产和安全隐患。 表6 容器资产功能介绍 功能名称 功能概述 基础版 专业版 企业版 旗舰版 网页防篡改版 容器版 集群 统计并展示集群、工作负载、服务以及Pod的详细信息。 支持的操作系统：Linux。 检测周期：手动检测。 × × × × × √ 节点 统计并展示集群节点、非集群节点的详细信息。 支持的操作系统：Linux。 检测周期：手动检测。 × × × × × √ 容器 统计并展示容器实例的详细信息。 支持的操作系统：Linux。 检测周期：手动检测。 × × × × × √ 镜像 统计并展示本地镜像、仓库镜像、CI/CD镜像信息。 支持的操作系统：Linux。 检测周期：手动检测。 × × × × × √ 账号 检测的容器系统中的账号信息，帮助用户进行账户安全性管理。 支持的操作系统：Linux。 检测周期：每小时自动检测。 × × × × × √ 开放端口 检测容器系统中的开放的端口，帮助用户识别出其中的危险端口和未知端口。 支持的操作系统：Linux。 检测周期：每30秒自动检测。 × × × × × √ 进程 监测运行中的进程并进行收集及呈现，便于用户自主清点合法进程，发现异常进程。 支持的操作系统：Linux。 检测周期：每小时自动检测。 × × × × × √ 软件 监测并记录当前容器系统安装的软件信息，帮助用户清点软件资产，识别不安全的软件版本。 支持的操作系统：Linux。 检测周期：每日自动检测。 × × × × × √ 自启动项 对容器系统中的自启动项进行检测，及时统计自启动项的变更情况。 支持的操作系统：Linux。 检测周期：每小时自动检测。 × × × × × √ Web应用 Web应用主要统计、展示推送发布web内容的软件详细信息，您可以查看所有软件的版本、路径、配置文件、关键进程等信息。 已支持采集的Web应用类型包括：PHPMailer、PHPMyadmin、DedeCMS、Wordpress、ThinkPHP、BigTree、JPress、Jenkins、ZABBIX、Discuz!、ThinkCMF。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × × × × √ Web服务 采集并展示对外提供web内容访问的软件详细信息，您可查看所有软件的版本、路径、配置文件、关联进程等信息。 已支持采集的Web服务类型包括：Apache、Nginx、Tomcat、Weblogic、WebSphere、JBoss、Wildfly、Jetty。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × × × × √ Web框架 采集并展示Web内容对外呈现时所使用框架的详细信息，您可查看所有框架的版本、路径、关联进程等信息。 已支持采集的Web框架类型包括： Java语言框架：Struts、struts2、spring、hibernate、webwork、quartz、velocity、turbine、freemarker、flexive、stripes、vaadin、vertx、wicket、zkoss、jackson、fastjson、shiro、MyBatis、Jersey、JFinal。 Python语言框架：Django、Flask、Tornado、web.py、web2py。 PHP语言框架：Webasyst、KYPHP、CodeIgniter、InitPHP、SpeedPHP、ThinkPHP、OneThink Go语言框架：Gin、Beego、Fasthttp、Iris、Echo。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × × × × √ Web站点 采集并展示存放Web内容的目录及对外提供访问的站点信息，您可以查看所有目录及权限、以及和站点所关联访问路径、对外端口、关键进程等信息。 已支持采集的Web站点包括：Apache、Nginx、Tomcat。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × × × × √ 中间件 采集并展示所使用到的所有软件信息，您可查看所有中间件所关联的服务器、版本号、路径、关联进程等信息。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × × × × √ 数据库 采集并展示提供数据存储的软件详细信息，您可以查看所有软件的版本、路径、配置文件、关键进程等信息。 已支持采集的数据库类型包括：MySQL、Redis、Oracle、MongoDB、Memcache、PostgresQL、HBase、DB2、Sybase、达梦数据库管理系统、金仓数据库管理系统kingbaseES。 支持的操作系统：Linux。 检测周期：1次/周（每周一凌晨04：10）。 × × × × × √

名词解释 基本概念、云服务简介、专有名词解释 弹性云服务器 E CS ：是一种可随时自助获取、可弹性伸缩的云服务器，可帮助您打造可靠、安全、灵活、高效的应用环境，确保服务持久稳定运行，提升运维效率。 华为云Flexus 云服务器X实例：Flexus云服务器X实例是新一代面向中小企业和开发者打造的柔性算力云服务器。Flexus云服务器X实例功能接近ECS， 同时还具备独有特点，例如Flexus云服务器X实例具有更灵活的vCPU内存配比、支持热变配不中断业务变更规格、支持性能模式等。详细信息参考华为云Flexus云服务。 弹性公网IP EIP：提供独立的公网IP资源，包括公网IP地址与公网出口带宽服务。可以与Flexus云服务器X实例、弹性云服务器、裸金属服务器、虚拟IP、弹性负载均衡、NAT网关等资源灵活地绑定及解绑。 云数据库 RDS for MySQL：云数据库 RDS for MySQL拥有即开即用、稳定可靠、安全运行、弹性伸缩、轻松管理、经济实用等特点，让您更加专注业务发展。

安全组规则修改（可选） 该解决方案使用22端口用来远程登录云服务器，默认对该方案创建的VPC子网网段放开，请参考修改安全组规则，配置IP地址白名单，以便能正常访问服务。 安全组实际是网络流量访问策略，包括网络流量入方向规则和出方向规则，通过这些规则为安全组内具有相同保护需求并且相互信任的云服务器、云容器、云数据库等实例提供安全保护。 如果您的实例关联的安全组策略无法满足使用需求，比如需要添加、修改、删除某个TCP端口，请参考以下内容进行修改。 添加安全组规则：根据业务使用需求需要开放某个TCP端口，请参考添加安全组规则添加入方向规则，打开指定的TCP端口。 修改安全组规则：安全组规则设置不当会造成严重的安全隐患。您可以参考修改安全组规则，来修改安全组中不合理的规则，保证云服务器等实例的网络安全。 删除安全组规则：当安全组规则入方向、出方向源地址/目的地址有变化时，或者不需要开放某个端口时，您可以参考删除安全组规则进行安全组规则删除。

CloudExplorer Lite功能界面 单击顶部导航栏中的首页，进入主页功能界面。 图10 首页 单击左侧导航栏，左侧固定模块菜单，包含管理中心、云主机服务、云账单、运营分析、安全合规五个服务模块，单击图标便可切换到相应的模块中。 图11 功能界面 管理中心是云管平台的核心能力之一，CloudExplorer Lite 为用户提供多租户、多角色的管理模型；采用模块化设计，即插即用，提供模块管理。企业可以轻松部署不同模块，从而扩大对云基础设施的管理范围； 图12 管理中心 云主机管理提供统一的云主机生命周期管理操作和监控界面，基于既有的用户管理体系，用户可创建、可操作的资源都具有租户隔离属性。 图13 云主机管理 云账单提供统一的费用管理、费用分摊、自定义多维度账单功能，可作为企业的云资源成本分析中心，能够帮助企业用户有效降低云上资源的成本管理难度。 图14 云账单 运营分析能够对企业现有的云资源从分布、容量、使用情况等多个维度进行分析，并提供资源优化建议。 图15 运营分析 安全合规支持一键扫描多个云平台的多种云资源，可灵活定义规则。 图16 安全合规 更加详细的使用请参考：https://fit2cloud.com/cloudexplorer-lite/docs/user_manual/homepage/

创建rf_admin_trust委托（可选） 进入华为云官网，打开控制台管理界面，鼠标移动至个人账号处，打开“ 统一身份认证 ”菜单。 图1 控制台管理界面 图2 统一身份认证菜单 进入“委托”菜单，搜索“rf_admin_trust”委托。 图3 委托列表 如果委托存在，则不用执行接下来的创建委托的步骤 如果委托不存在时执行接下来的步骤创建委托 单击步骤2界面中的“创建委托”按钮，在委托名称中输入“rf_admin_trust”，委托类型选择“云服务”，输入“ RFS ”，单击“下一步”。 图4 创建委托 在搜索框中输入“Tenant Administrator”权限，并勾选搜索结果，单击“下一步”。 图5 选择策略 选择“所有资源”，并单击“下一步“完成配置。 图6 设置授权范围 “委托”列表中出现“rf_admin_trust”委托则创建成功。 图7 委托列表

资源和成本规划 该解决方案主要部署如下资源，不同产品的花费仅供参考，实际以收费账单为准，具体请参考华为云官网价格： 表1 资源和成本规格 （包年包月） 华为云服务 配置示例 每月预估花费 Flexus云服务器X实例 区域：华北-北京四 计费模式：包年包月 规格：x1.8u.16g | 8vCPUs | 16GiB 镜像：CentOS 7.6 64bit 系统盘：高IO | 200GB 购买量：1 性能模式：关闭 502元 弹性公网IP EIP 区域：华北-北京四 计费模式：包年包月 线路：动态BGP 公网带宽：按带宽计费 带宽大小：5Mbit/s 购买量：1 115元 云数据库 RDS for MySQL 区域：华北-北京四 数据库引擎：MySQL 实例类型：单机 性能规格：通用型 | 2 vCPUs | 4 GB 存储空间：100GB 购买时长：1个月 购买量：1 256元 合计 873元 表2 资源和成本规格（按需计费） 华为云服务 配置示例 每月预估花费 Flexus云服务器X实例 按需计费：1.811元/小时 区域：华北-北京四 计费模式：按需计费 规格：x1.8u.16g | 8vCPUs | 16GiB 镜像：CentOS 7.6 64bit 系统盘：高IO | 200GB 购买量：1 性能模式：关闭 1.00* 24 * 30=718.56元 弹性公网IP EIP 按需计费：0.335元/5M/小时 区域：华北-北京四 计费模式：按带宽计费 线路：动态BGP 公网带宽：按带宽计费 购买时长：1个月 购买量：1 0.335*24*30=241.2元 云数据库 RDS for MySQL 按需计费：0.52元/小时 区域：华北-北京四 数据库引擎：MySQL 实例类型：单机 性能规格：通用型 | 2 vCPUs | 4 GB 存储空间：100GB 购买时长：1个月 购买量：1 0.52*24*30=374.4元 合计 1334.16元

名词解释 基本概念、云服务简介、专有名词解释 弹性云服务器 ECS：是一种可随时自助获取、可弹性伸缩的云服务器，可帮助您打造可靠、安全、灵活、高效的应用环境，确保服务持久稳定运行，提升运维效率。 云数据 GeminiDB：采用云原生分布式架构，完全兼容Redis协议，支持丰富数据类型。 提供数据实时持久化、多副本强一致保障，以及实时监控、弹性伸缩、自动备份等一站式服务。 文档数据库服务 DDS：一种兼容MongoDB 3.4/4.0版本的文档数据库服务。目前支持分片集群（Sharding）、副本集（ReplicaSet）和单节点（Single）三种部署架构。 云数据库 RDS for MySQL：是一种基于 云计算平台 的即开即用、稳定可靠、弹性伸缩、便捷管理的在线云数据库服务。 安全组：安全组是一个逻辑上的分组，为同一个VPC内具有相同安全保护需求并相互信任的弹性云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云服务器加入该安全组后，即受到这些访问规则的保护。

安全组规则修改（可选） 该解决方案使用22端口用来远程登录弹性云服务器 ECS，默认对该方案创建的VPC子网网段放开，请参考修改安全组规则，配置IP地址白名单，以便能正常访问服务。 该解决方案使用3306端口用来访问云数据库 RDS for MySQL ，默认对该方案创建的VPC子网网段放开，请参考修改安全组规则，配置IP地址白名单，以便能正常访问服务。 安全组实际是网络流量访问策略，包括网络流量入方向规则和出方向规则，通过这些规则为安全组内具有相同保护需求并且相互信任的云服务器、云容器、云数据库等实例提供安全保护。 如果您的实例关联的安全组策略无法满足使用需求，比如需要添加、修改、删除某个TCP端口，请参考以下内容进行修改。 添加安全组规则：根据业务使用需求需要开放某个TCP端口，请参考添加安全组规则添加入方向规则，打开指定的TCP端口。 修改安全组规则：安全组规则设置不当会造成严重的安全隐患。您可以参考修改安全组规则，来修改安全组中不合理的规则，保证云服务器等实例的网络安全。 删除安全组规则：当安全组规则入方向、出方向源地址/目的地址有变化时，或者不需要开放某个端口时，您可以参考删除安全组规则进行安全组规则删除。

创建rf_admin_trust委托（可选） 进入华为云官网，打开控制台管理界面，鼠标移动至个人账号处，打开“统一身份认证”菜单。 图1 控制台管理界面 图2 统一身份认证菜单 进入“委托”菜单，搜索“rf_admin_trust”委托。 图3 委托列表 如果委托存在，则不用执行接下来的创建委托的步骤 如果委托不存在时执行接下来的步骤创建委托 单击步骤2界面中的“创建委托”按钮，在委托名称中输入“rf_admin_trust”，委托类型选择“云服务”，输入“RFS”，单击“下一步”。 图4 创建委托 在搜索框中输入“Tenant Administrator”权限，并勾选搜索结果，单击“下一步”。 图5 选择策略 选择“所有资源”，并单击“下一步“完成配置。 图6 设置授权范围 “委托”列表中出现“rf_admin_trust”委托则创建成功。 图7 委托列表

资源和成本规划 该解决方案主要部署如下资源，不同产品的花费仅供参考，实际以收费账单为准，具体请参考华为云官网价格： 表1 资源和成本规划（按需计费） 华为云服务 配置示例 每月预估花费 弹性云服务器 ECS 按需计费：2.553元/小时 区域：华北-北京四 计费模式：按需计费 规格：X86计算 | ECS | c7.2xlarge.2 | 8vCPUs | 16GiB 镜像：CentOS 7.6 64bit 系统盘：超高IO | 100GB 数据盘：超高IO | 500GB 购买量：1 2.553*24*30=1838.16元 云数据库 GeminiDB 按需计费：5.39元/小时 区域：华北-北京四 计费模式：按需计费 节点规格：geminidb.redis.large.4 | 2 vCPUs 节点数：3 存储容量：40GB 5.39 * 24 * 30 = 3880.8元 文档数据库服务 DDS 按需计费：3.6元/小时 区域：华北-北京四 实例类型：副本集 节点数：三节点 存储类型：超高IO 节点规格：通用型 性能规格：dds.mongodb.s6.xlarge.2.repset | 4 vCPUs | 8GB 存储空间：300GB 3.6* 24 * 30 = 2592 元 云数据库 RDS for MySQL 按需计费：2.82元/小时 区域：华北-北京四 计费模式：按需计费 数据库引擎：MySQL 数据库版本：8.0 实例类型：主备 存储类型：SSD云盘 性能规格：独享型 4 vCPUs | 8 GB 存储空间：300GB 购买数量：1 2.82* 24 * 30 = 2030.4元 合计 - 10341.36元

AOM 与 APM 有何区别？ AOM与APM同属于立体化运维解决方案体系，共享采集器。AOM提供了应用级故障分析、告警管理、日志采集与分析等能力，能够有效预防问题的产生及快速帮助应用运维人员定位故障，降低运维成本。APM提供了用户体验管理、分布式性能追踪、事务分析等能力，可以帮助运维人员快速解决应用在分布式架构下的问题定位和性能瓶颈等难题，为用户体验保驾护航。 AOM提供基础运维能力，APM是对AOM运维能力的补充。AOM界面集成了APM，可通过AOM界面统一运维；APM也有独立的控制台入口，可以单独使用APM。 图1 立体化运维解决方案 父主题： 常见咨询问题

Windows环境下安装icagent失败，并提示SERVICE STOP 现象：在Windows环境下安装icagent失败，提示SERVICE STOP。任务管理器中不存在icagent任务。系统服务列表中不存在icagent服务。命令行下执行sc query icagent提示未找到。 原因：一般为360安全卫士等杀毒软件拦截了icagent服务注册。 解决方法： 检查360安全卫士等杀毒软件是否正在运行。 关闭360安全卫士后再进行icagent安装。 Windows下icagent采集文件类型需要手动配置采集路径*.log、 *.trace、 *.out等文本文件，不支持二进制文件、不支持Windows系统日志。

Agent管理页面中用户自定义接入主机的IP是如何获取的？ AOM会默认遍历虚机上的所有网卡设备，按照以太网卡、Bond网卡、无线网卡等优先级顺序获取IP，如果获取到的不是期望的地址，可以在启动ICAgent时设置进程的环境变量IC_NET_CARD=网卡名，获取指定网卡IP。 举例： 在/etc/profile中增加export IC_NET_CARD=eth2。 执行source /etc/profile使环境变量在当前shell生效。 进入/opt/oss/servicemgr/ICAgent/bin/manual/目录，停止并重新启动icagent。 bash mstop.sh bash mstart.sh 查看该环境变量是否正确传递到应用中。 strings /proc/{icagentprocid}/envrion | grep IC_NET_CARD 如果ICAgent显示的IP地址是127.0.0.1，则可能是ICAgent启动时未获取到本机的IP导致，例如VM掉电重启时会出现。此时您需要重启ICAgent即可。 若您的主机IP发生变更（例如续租时分配了新的IP），此时Agent管理页面中显示的可能还是原来的IP，需要您重启ICAgent即可。

非华为云主机安装ICAgent后为何无数据上报？ 当您在非华为云主机上安装了ICAgent后，ICAgent上报数据需要访问如下端口，如果本地有防火墙配置，请打开如下端口的出方向否则对应数据无法上报，对应功能不可用。 8149： 上报指标数据使用 8102： 上报日志数据使用 8923： 上报APM(调用链、JVM)指标使用 30200： ICAgent的控制端口 30201： ICAgent的控制端口

采集器ICAgent对资源的占用大吗？例如内存、CPU。 AOM对基础指标的采集，包含VM、容器、进程的CPU、内存等基础指标。 资源消耗：对此类指标采集时，采集器ICAgent对资源的消耗和容器、进程个数相关。 正常业务量情况下，采集器ICAgent消耗内存约30M、单核CPU约3%。 使用限制：单节点上运行容器个数小于1000个。 保护机制： 采集器ICAgent对CPU资源的消耗最大不超过2核。 当采集器ICAgent对内存的消耗超过min{4G，节点物理内存/2}时，AOM将启动采集器重启保护。 min{4G，节点物理内存/2}表示取“节点物理内存的一半”和“4G”中的较小值。 日志文件的采集，包含了syslog、容器标准输出、用户配置路径、容器挂载等多种方式的日志文件采集。 资源消耗：此类数据采集时，采集器ICAgent对资源的消耗和文件日志量、文件个数及网络带宽、backend服务处理能力等多种因素强相关。

创建委托 登录 IAM 控制台。 在左侧导航栏，单击“委托”，进入委托页面。 单击右上角“创建委托”，进入创建委托页面。 参考表1设置创建委托的参数。 表1 创建委托 名称 说明 样例 委托名称 标识该委托代理的名称。 须知： 委托名称必须为apm_admin_trust。 - 委托类型 选择“云服务”。 云服务 云服务 请选择“ 应用运维管理 AOM”。 - 持续时间 选择“永久”。 永久 描述 可选参数，用于补充说明该委托代理的详细信息。 - 单击“下一步”，进入“授权”页面。 在“选择策略”页签选择“DMS UserAccess”策略，并单击“下一步”。 DMS UserAccess策略：分布式消息服务普通用户权限（无实例创建、修改、删除、扩容、转储）。 在“设置最小授权范围”页签设置授权范围方案为“指定区域项目资源”，并在下方“项目[所属区域]”选定生效区域。 单击“确定”，委托关系创建成功。

操作系统使用限制 AOM支持多个操作系统，在购买主机时您需选择AOM支持的操作系统，详见表1，否则无法使用AOM对主机进行监控。 表1 AOM支持的操作系统及版本 操作系统 版本 SUSE SUSE Enterprise 11 SP4 64bit SUSE Enterprise 12 SP1 64bit SUSE Enterprise 12 SP2 64bit SUSE Enterprise 12 SP3 64bit OpenSUSE 13.2 64bit 42.2 64bit 15.0 64bit（该版本暂不支持syslog日志采集） EulerOS 2.2 64bit 2.3 64bit 2.5 64bit 2.9 64bit 2.10 64bit CentOS 6.3 64bit 6.5 64bit 6.8 64bit 6.9 64bit 6.10 64bit 7.1 64bit 7.2 64bit 7.3 64bit 7.4 64bit 7.5 64bit 7.6 64bit Ubuntu 14.04 server 64bit 16.04 server 64bit 18.04 server 64bit Fedora 24 64bit 25 64bit 29 64bit Debian 7.5.0 32bit 7.5.0 64bit 8.2.0 64bit 8.8.0 64bit 9.0.0 64bit Kylin Kylin V10 SP1 64bit 对于Linux x86_64服务器，AOM支持上表中所有的操作系统及版本。 对于Linux ARM服务器，CentOS操作系统仅支持7.4 及其以上版本，上表所列的其他操作系统对应版本均支持。

创建委托 登录IAM控制台。 在左侧导航栏，单击“委托”，进入委托页面。 单击右上角“创建委托”，进入创建委托页面。 参考表1设置创建委托的参数。 表1 创建委托 名称 说明 样例 委托名称 标识该委托代理的名称。 aom_ecm_trust 委托类型 选择“云服务” - 云服务 选择“ECS BMS” - 持续时间 选择“永久” - 描述 可选参数，用于补充说明该委托代理的详细信息。 - 单击“完成”，在授权的确认弹窗中，单击“立即授权”，进入“授权”页面。 在“选择策略”页签选择“AOM FullAccess”策略，并单击“下一步”。 单击页面下方的“确定”按钮，委托关系创建成功。

名词解释 基本概念、云服务简介、专有名词解释 弹性公网EIP：提供独立的公网IP资源，包括公网IP地址与公网出口带宽服务。可以与弹性云服务器、裸金属服务器、虚拟VIP、弹性负载均衡、NAT网关等资源灵活地绑定及解绑。 虚拟私有云VPC ：是用户在云上申请的隔离的、私密的虚拟网络环境。用户可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性IP搭建业务系统。 安全组：安全组是一个逻辑上的分组，为同一个VPC内具有相同安全保护需求并相互信任的弹性云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云服务器加入该安全组后，即受到这些访问规则的保护。 云数据库 RDS for MySQL:简称（RDS）是一种基于云计算平台的即开即用、稳定可靠、弹性伸缩、便捷管理的在线云数据库服务。 数据复制服务 ：简称（DRS）致力于提供数据库零停机的迁移上云体验，支持同构异构数据库、 分布式数据库 、分片式数据库之间的迁移，通过DRS也可以让数据库到数据库、数仓、大数据的数据集成与数据传输秒级可达，为企业数据贯穿和数字化转型打下坚实的第一步

快速部署 本章节主要帮助用户快速部署该解决方案。 表1 参数填写说明 参数名称 类型 是否必填 参数解释 默认值 source_db_name String 必填 源数据库RDS(for mysql)名称，取值范围：4~64个字符之间，必须以字母开头，区分大小写，可以包含字母、数字、中划线或者下划线，不能包含其他的特殊字符。 空 source_db_ip Number 必填 源数据库的访问地址，IP地址或者 域名 。 空 source_db_port String 必填 源数据库的访问端口，取值范围为：1024-65535（其中12017和33071被RDS系统占用不可设置）。 3306 source_db_password String 必填 源数据库RDS(for MySQL)管理员密码。管理员账户名默认root。取值范围：8~32个字符，至少包含以下字符中的三种：大写字母、小写字母、数字和特殊字符~!@#%^*_-=+?,()&$。 空 vpc_name String 必填 目标数据库虚拟私有云（VPC）名称，该模板使用新建VPC，不允许重名。取值范围：1-50个字符，支持中文、英文字母、数字、_（下划线）、-（中划线）、.（点）。 rapid-creating-of-rds-clone-instance-demo secgroup_name String 必填 目标数据库安全组名称，该模板新建安全组，安全组规则请参考部署指南进行配置。取值范围：1-64个字符，支持数字、字母、中文、_(下划线)、-（中划线）、.（点）。 rapid-creating-of-rds-clone-instance-demo destination_db_name String 必填 目标数据库RDS(for mysql)名称，取值范围：4~64个字符之间，必须以字母开头，区分大小写，可以包含字母、数字、中划线或者下划线，不能包含其他的特殊字符。 rapid-creating-of-rds-clone-instance-demo destination_db_password String 必填 目标数据库RDS(for MySQL)管理员密码，创建完成后，请参考云数据库RDS(for MySQL)重置密码。管理员账户名默认root。取值范围：8~32个字符，至少包含以下字符中的三种：大写字母、小写字母、数字和特殊字符~!@#%^*_-=+?,()&$。 空 drs_name String 必填 数据复制服务DRS任务名称，取值范围：4-50位，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 rapid-creating-of-rds-clone-instance-demo 登录华为云解决方案实践，选择“快速创建云数据库RDS克隆实例”解决方案，单击“一键部署”，跳转至解决方案创建堆栈界面。 图1 解决方案实施库 在选择模板界面中，单击“下一步”。 图2 选择模板 在配置参数页面中，参考表1完成自定义参数填写，单击“下一步”。 图3 配置参数 在资源栈设置页面中，权限委托选择“rf_admin_trust”（可选），单击“下一步”。 图4 资源栈设置 在配置确认页面中，单击“创建执行计划”。 图5 配置确认 在弹出的创建执行计划框中，自定义填写执行计划名称，单击“确认”。 图6 创建执行计划 图7 执行计划创建成功 单击“执行”，弹出执行计划提示信息，单击“执行”确认执行。 图8 执行计划确认 等待解决方案自动部署。部署成功后，单击“事件”，回显结果如下: 图9 资源创建成功 父主题： 实施步骤

创建rf_admin_trust委托（可选） 进入华为云官网，打开控制台管理界面，鼠标移动至个人账号处，打开“统一身份认证”菜单。 图1 控制台管理界面 图2 统一身份认证菜单 进入“委托”菜单，搜索“rf_admin_trust”委托。 图3 委托列表 如果委托存在，则不用执行接下来的创建委托的步骤 如果委托不存在时执行接下来的步骤创建委托 单击步骤2界面中的“创建委托”按钮，在委托名称中输入“rf_admin_trust”，委托类型选择“云服务”，输入“RFS”，单击“下一步”。 图4 创建委托 在搜索框中输入“Tenant Administrator”权限，并勾选搜索结果，单击“下一步”。 图5 选择策略 选择“所有资源”，并单击“下一步“完成配置。 图6 设置授权范围 “委托”列表中出现“rf_admin_trust”委托则创建成功。 图7 委托列表

资源和成本规划 该解决方案主要部署如下资源，不同产品的花费仅供参考，具体请参考华为云官网价格，实际以收费账单为准： 表1 资源和成本规划（按需计费） 华为云服务 配置示例 每月预估花费 云数据库 RDS（for MySQL） 区域：华北-北京四 计费模式：按需计费 数据库引擎：MySQL 实例类型：主备 购买数量：1 每月花费与源数据库相同，具体参考RDS费用详情 数据复制服务 DRS 区域：华北-北京四 按需计费：配置费用2.4元/小时+数据传输费用1.50元/G 计费模式：按需计费 任务类型：实时迁移 数据流动方向：入云 源数据库引擎：MySQL 目标数据库引擎：MySQL 2.40*24*30=1728元+1.50元/G 合计 - 1728元 +1.5元/G+RDS(for MySQL)费用