华为云用户手册

变更配置后对计费的影响 如果您在购买按需计费实例后变更了实例配置，会产生一个新订单并开始按新配置的价格计费，旧订单自动失效。 如果您在一小时内变更了实例配置，所在计费周期的计费信息按变更后的配置生成。 例如，您在9:00:00开通了1个标准版S1单元，并在9:30:00升配为1个S2单元，那么在这一个小时的计费周期会产生两条计费信息。 第一条对应09:00:00 ~ 9:30:00，实例规格按照1个S1单元的计费信息。 第二条对应09:30:00 ~ 10:00:00，实例规格按照1个S2单元的计费信息。 单个标准版实例可配置多个同类型的计量单元，如5个S1，但不能配置不同类型的单元，如2个S1和3个S2混合。支持随时升降单元个数及类型，如2个S1升级为5个S1、2个S1升级为2个S2。免费单元S0支持升级至ST/S1/S2/S3，升级后原S0不再保留。

计费示例 假设您在2023/04/18 9:59:30开通了一个标准版S1单元，然后在2023/04/18 11:45:46将其删除，则： 第一个计费周期为2023/04/18 09:00:00 ~ 2023/04/18 10:00:00，在2023/04/18 09:59:30 ~ 2023/04/18 10:00:00间产生费用，该计费周期内的计费时长为30秒。 第二个计费周期为2023/04/18 10:00:00 ~ 2023/04/18 11:00:00，在2023/04/18 10:00:00 ~ 2023/04/18 11:00:00间产生费用，该计费周期内的计费时长为3600秒。 第三个计费周期为2023/04/18 11:00:00 ~ 2023/04/18 12:00:00，在2023/04/18 11:00:00 ~ 2023/04/18 11:45:46间产生费用，该计费周期内的计费时长为2746秒。 您需要为每个计费周期付费，计费公式如表2所示。产品价格计算器中标出了资源每小时的价格，您需要将每小时价格除以3600，得到每秒价格。 表2 计费公式 资源类型 计费公式 资源单价 设备接入基础版实例（2023年1月1日前） 百万消息单价 * 计费周期内消息数 3.6元/百万条消息 设备接入标准版实例 单元类型单价 * 单元数量 * 购买时长 请参见设备接入价格计算器，计费模式选择“按需计费”，然后选择您要购买的单元类型，购买单元数量默认为1，购买时长默认为1小时。查看页面下方的“配置费用”即为该实例资源每小时的价格。

在费用中心续费 登录管理控制台。 单击“控制台”页面上方“费用”，在下拉菜单中选择“续费管理”，进入“续费管理”页面。 自定义查询条件。 可在“手动续费项”、“自动续费项”、“到期转按需项”、“到期不续费项”页签查询全部待续费资源，对资源进行手动续费的操作。 图2 续费管理 所有需手动续费的资源都可归置到“手动续费项”页签，具体操作请参见如何恢复为手动续费。 手动续费资源。 单个续费：在资源页面找到需要续费的资源，单击操作列的“续费”。 图3 单个资源续费 批量续费：在资源页面勾选需要续费的资源，单击列表左上角的“批量续费”。 图4 批量续费 选择云服务器的续费时长，判断是否勾选“统一到期日”，将云服务器到期时间统一到各个月的某一天（详细介绍请参见统一包年/包月资源的到期日）。确认配置费用后单击“去支付”。 图5 续费确认 进入支付页面，选择支付方式，确认付款，支付订单后即可完成续费。

重启 MRS 集群组件使用限制 请在低业务负载时间段进行滚动重启操作。 在滚动重启Kafka服务时， 如果Kafka服务业务吞吐量很高（100MB/s以上的情况下），会出现Kafka服务滚动重启失败的情况。 在滚动重启HBase服务时候，如果原生界面上每个RegionServer上每秒的请求数超过10000，需要增大handle数来预防重启过程中负载过大导致的RegionServer重启失败。 重启前需要观察当前HBase的负载请求数（原生界面上每个RegionServer的请求数如果超过10000，需要增大handle数来预防超出负载）。 在集群Core节点个数小于6个的情况下，可能会出现业务短时间受影响的情况。 请优先使用滚动重启操作来重启实例或服务，并勾选“仅重启配置过期的实例”。

组件重启参考信息 当前MRS集群中，服务和实例是否支持滚动重启如表2所示。 表2 服务和实例是否支持滚动重启 服务 实例 是否支持滚动重启 Alluxio AlluxioJobMaster 是 AlluxioMaster ClickHouse ClickHouseServer 是 ClickHouseBalancer CDL CDLConnector 是 CDLService Flink FlinkResource 否 FlinkServer Flume Flume 是 MonitorServer Guardian TokenServer 是 HBase HMaster 是 RegionServer ThriftServer RESTServer HetuEngine HSBroker 是 HSConsole HSFabric QAS HDFS NameNode 是 Zkfc JournalNode HttpFS DataNode Hive MetaStore 是 WebHCat HiveServer Hue Hue 否 Impala Impalad 否 StateStore Catalog IoTDB IoTDBServer 是 Kafka Broker 是 KafkaUI 否 Kudu KuduTserver 是 KuduMaster Loader Sqoop 否 Mapreduce JobHistoryServer 是 Oozie oozie 否 Presto Coordinator 是 Worker Ranger RangerAdmin 是 UserSync TagSync Spark JobHistory 是 JD BCS erver SparkResource Storm Nimbus 是 UI Supervisor Logviewer Tez TezUI 否 Yarn ResourceManager 是 NodeManager ZooKeeper Quorumpeer 是 实例启动时长如表3所示： 表3 重启时长参考 服务名称 重启时长 启动时长 附加说明 IoTDB 3min IoTDBServer：3min - CDL 2min CDLConnector：1min CDLService：1min - ClickHouse 4min ClickHouseServer：2min ClickHouseBalancer：2min - HDFS 10min+x NameNode：4min+x DataNode：2min JournalNode：2min Zkfc：2min x为NameNode元数据加载时长，每千万文件大约耗时2分钟，例如5000万文件x为10分钟。 由于受DataNode数据块上报影响启动时间有一定浮动。 Yarn 5min+x ResourceManager：3min+x NodeManager：2min x为ResourceManager保留任务数恢复时长，每1万保留任务大约需要1分钟。 Mapreduce 2min+x JobHistoryServer：2min+x x为历史任务扫描时长，每10万任务大约2.5分钟。 ZooKeeper 2min+x quorumpeer：2min+x x为加载znode节点时长，每100万znode大约1分钟。 Hive 3.5min HiveServer：3min MetaStore：1min30s WebHcat：1min Hive整体服务：3min - Spark2x 5min JobHistory2x：5min SparkResource2x：5min JDB CS erver2x：5min - Flink 4min FlinkResource：1min FlinkServer：3min - Kafka 2min+x Broker：1min+x KafkaUI：5 min x为数据恢复时长，单实例20000 partition启动所需时长大约2分钟。 Storm 6min Nimbus：3mins UI：1min Supervisor：1min Logviewer：1min - Flume 3min Flume：2 min MonitorServer：1min - Doris 2分钟 FE：1min BE：1min DBroker：1min -

查看云服务操作日志 登录MRS管理控制台。 单击“操作日志”，查看日志详情。 日志列表默认按时间顺序排列，时间最近的日志显示在最前端。 日志信息中的各字段说明如表1所示。 表1 日志说明 参数 参数说明 操作类型 记录执行的操作类型，包括： 集群操作 作业操作 数据操作 操作IP 记录执行操作的IP地址。 说明： 当MRS集群部署失败时，集群会被自动删除，并且自动删除集群的操作日志中不包含用户的“操作IP”信息。 用户 执行操作的用户。 操作内容 记录实际操作内容，不超过2048字符。 时间 记录操作的时间。对于已删除的集群，界面只显示6个月内的日志信息，若需要查看6个月之前的日志信息，请联系华为云支持人员。 企业项目 操作的集群所属的企业项目。

为已有MRS集群创建RDS数据连接 该步骤指导用户为当前已有的MRS集群创建RDS数据连接。 登录MRS控制台，在导航栏选择“数据连接”。 单击“新建数据连接 ”。 参考表1配置相关参数。 表1 数据连接 参数 示例 说明 类型 - 选择外部源连接的类型。 RDS服务PostgreSQL数据库：安装了Hive组件的集群支持连接该类型数据库。 RDS服务MySQL数据库：安装了Hive或Ranger组件的集群支持连接该类型数据库。 名称 newtest 数据连接的名称。 数据库实例 - RDS服务数据库实例，该实例需要先在RDS服务创建后在此处引用，且已创建数据库，具体请参考创建并配置RDS实例。单击“查看数据库实例”查看已创建的实例。 数据库 dataname 待连接的数据库的名称。 用户名 datauser 登录待连接的数据库的用户名。 密码 - 登录待连接的数据库的密码。 当用户选择的数据连接为“RDS服务MySQL数据库”时，请确保使用的数据库用户为root用户。如果为非root用户，请参考创建并配置RDS实例操作。 单击“确定”完成创建。

MRS节点规格 MRS当前支持主机规格的配型由CPU+内存+Disk共同决定。 弹性云服务器由多个租户共享物理资源，而裸金属服务器的资源归用户独享。对于关键类应用或性能要求较高的业务（如大数据集群、企业中间件系统），并且要求安全可靠的运行环境，使用裸金属服务器更合适。 当使用BMS类型的规格时，不支持升级Master节点规格。 仅当集群的“计费模式”为“包年/包月”时，MRS支持使用BMS类型的规格。 MRS支持的弹性云服务器（ECS）和裸金属服务器（BMS）混合部署，部署方式如下： Master、Core和Task节点均使用ECS部署。 Master、Core使用BMS部署，Task使用ECS部署。 Master、Core节点任意使用ECS和BMS混合部署，Task节点使用ECS部署。 节点的实例规格配置越高，数据处理分析能力越强，集群所需费用也越高。 不同可用区内的实例规格可能有差异，如果当前可用区下的实例规格不满足需求，可尝试切换其他可用区。 当Core节点规格选择为HDD磁盘时，MRS无需为数据磁盘付费，但ECS需要为此付费。 当Core节点规格选择非HDD磁盘时，Master节点和Core节点的磁盘类型取决于数据磁盘。 当节点的实例规格选项后标示“已售罄”时，将无法购买此规格的节点，请选择其他规格节点进行购买。 Master节点中的4核8GB规格不在SLA售后范围内，仅适用于测试环境，不建议用于生产环境。 MRS 3.x及之后版本集群Master节点规格不能小于64GB。

磁盘角色 表1 MRS集群节点磁盘类型 磁盘角色 描述 系统盘 节点系统盘的存储类型和存储空间。 存储类型： SAS：高IO SSD：超高IO GPSSD：通用型SSD ESSD：极速型SSD 数据盘 节点数据磁盘存储空间。为增大数据存储容量，创建集群时可同时添加磁盘，每个Core或者Task节点最多支持添加10块磁盘，有如下应用场景： 数据存储和计算分离，数据存储在OBS中，集群存储成本低，存储量不受限制，并且集群可以随时删除，但计算性能取决于OBS访问性能，相对HDFS有所下降，建议在数据计算不频繁场景下使用。 数据存储和计算不分离，数据存储在HDFS中，集群成本较高，计算性能高，但存储量受磁盘空间限制，删除集群前需将数据导出保存，建议在数据计算频繁场景下使用。 目前的存储类型： SAS：高IO SSD：超高IO GPSSD：通用型SSD ESSD：极速型SSD 说明： MRS集群内节点个数越多，对管理节点（即Master节点）的硬盘容量要求越高。为了保证集群能够健康地运行，当创建的节点个数达到300时，建议将Master的硬盘容量配置成600 GB以上；当创建的节点个数达到500时，建议将Master的硬盘容量配置成1TB以上。

MRS IAM 权限说明 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 MRS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问MRS时，需要先切换至授权区域。 权限模型根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对MRS服务，管理员能够控制IAM用户仅能对集群进行指定的管理操作。如不允许某用户组删除集群，仅允许操作MRS集群基本操作，如创建集群、查询集群列表等。多数细粒度策略以API接口为粒度进行权限拆分，MRS支持的API授权项请参见权限策略和授权项。 如表1所示，包括了MRS的所有默认系统策略。 表1 MRS系统策略 策略名称 描述 策略类别 MRS FullAccess MRS管理员权限，拥有该权限的用户可以拥有MRS所有权限。 细粒度策略 MRS CommonOperations MRS服务普通用户权限，拥有该权限的用户可以拥有MRS服务使用权限，无新增、删除资源权限。 细粒度策略 MRS ReadOnlyAccess MRS服务只读权限，拥有该权限的用户仅能查看MRS的资源。 细粒度策略 MRS Administrator 操作权限： 对MRS服务的所有执行权限。 拥有该权限的用户必须同时拥有Tenant Guest和Server Administrator权限。 RBAC策略 表2列出了MRS常用操作与系统权限策略的对应支持情况，您可以参照该表选择合适的系统权限策略。 表2 常用操作与系统策略的对应关系 操作 MRS FullAccess MRS CommonOperations MRS ReadOnlyAccess MRS Administrator 创建集群 √ x x √ 调整集群 √ x x √ 升级节点规格 √ x x √ 删除集群 √ x x √ 查询集群详情 √ √ √ √ 查询集群列表 √ √ √ √ 设置弹性伸缩策略 √ x x √ 查询主机列表 √ √ √ √ 查询操作日志 √ √ √ √ 创建并执行作业 √ √ x √ 停止作业 √ √ x √ 删除单个作业 √ √ x √ 批量删除作业 √ √ x √ 查询作业详情 √ √ √ √ 查询作业列表 √ √ √ √ 新建文件夹 √ √ x √ 删除文件 √ √ x √ 查询文件列表 √ √ √ √ 批量操作集群标签 √ √ x √ 创建单个集群标签 √ √ x √ 删除单个集群标签 √ √ x √ 按照标签查询资源列表 √ √ √ √ 查询集群标签 √ √ √ √ 访问Manager页面 √ √ x √ 查询补丁列表 √ √ √ √ 安装补丁 √ √ x √ 卸载补丁 √ √ x √ 运维通道授权 √ √ x √ 运维通道日志共享 √ √ x √ 查询告警列表 √ √ √ √ 订阅告警消息提醒 √ √ x √ 提交SQL语句 √ √ x √ 查询SQL结果 √ √ x √ 取消SQL执行任务 √ √ x √

示例流程 图1 给用户授权MRS权限流程 创建用户组并授权 在IAM控制台创建用户组，并授予MRS服务对应权限。 创建用户并加入用户组 在IAM控制台创建用户，并将其加入1中创建的用户组。 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限： 在“服务列表”中选择MRS服务，进入MRS主界面，单击右上角“购买集群”，尝试购买MRS集群，如果无法购买MRS集群（假设当前权限仅包含MRS ReadOnlyAccess），表示“MRS ReadOnlyAccess”已生效。 在“服务列表”中选择除MRS服务外（假设当前策略仅包含MRS ReadOnlyAccess）的任一服务，若提示权限不足，表示“MRS ReadOnlyAccess”已生效。

通过Manager配置租户队列 MRS 3.x及之后版本集群： 在 FusionInsight Manager，单击“租户资源”。 单击“动态资源计划”页签。 单击“队列配置”页签。 在指定租户资源名的“操作”列，单击“修改”。根据当前使用的调度器类型，修改对应参数。 新安装集群的Yarn组件默认使用Superior调度器。也可以参考切换MRS租户资源调度器切换调度器。 调度器类型可登录Manager，在Yarn服务“全部配置”页面搜索“yarn.resourcemanager.scheduler.class”参数进行查询。 在“租户资源管理”页签左侧租户列表，单击目标的租户，切换到“资源”页签，单击“队列配置（队列名）”后面的也能打开修改队列配置页面。 一个队列只能绑定一个非default资源池，即新添加的资源池只能绑定一个队列，作为这个队列的默认资源池。 对于“每个YARN容器最多分配核数”、“每个YARN容器最大分配内存（MB）”、“最多运行任务数”、“每个用户最多运行任务数”和“最多挂起任务数”等参数，为便于操作，当子租户值为-1时，父租户值可以设置为具体限制值；当父租户设置为具体限制值时，子租户可以设置为-1。 “每个YARN容器最多分配核数”和“每个YARN容器最大分配内存（MB）”需要同时修改为非-1的值才会生效。 对于开启了跨资源池调度的队列，在作业运行过程中不能删除已有资源池，否则可能会导致运行中的作业申请不到资源而持续阻塞。同样如果在作业运行过程中为队列配置新的资源池，那么此时已经处于运行状态的队列可能不能立即使用到新资源池的资源，新增的资源仅对修改后提交的作业有效。 使用Superior调度器集群请参考下表为子租户配置属性。 表3 队列配置参数 参数名 示例 描述 AM最多占有资源（%） 10 表示当前队列内所有Application Master所占的最大资源百分比。 每个YARN容器最多分配核数 -1 表示当前队列内单个YARN容器可分配的最多核数，默认为-1，表示取值范围内不限制。 每个YARN容器最大分配内存（MB） -1 表示当前队列内单个YARN容器可分配的最大内存，默认为-1，表示取值范围内不限制。 最多运行任务数 -1 表示当前队列最多同时可执行任务的数目，默认为-1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。 每个用户最多运行任务数 -1 表示每个用户在当前队列中最多同时可执行任务的数目，默认为-1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。 最多挂起任务数 -1 表示当前队列最多同时可挂起任务的数目，默认为-1，表示取值范围内不限制（为空意义相同），为0表示不可挂起任务。 资源分配规则 FIFO 表示单个用户任务间的资源分配规则，包括FIFO和FAIR。 一个用户若在当前队列上提交了多个任务，FIFO规则代表一个任务完成后再执行其他任务，按顺序执行。FAIR规则代表各个任务同时获取到资源并平均分配资源。 默认资源标签 - 表示在指定资源标签（Label）的节点上执行任务。 说明： 如果需要使用新的资源池，需要修改默认标签为新的资源池标签。 跨资源池调度 - 表示当前队列内Container是否支持跨资源池调度。（仅MRS 3.3.0-3.5.0版本支持配置该参数） default队列不支持开启跨资源池调度。 AM跨资源池调度 - 表示当前队列内Application Master是否支持跨资源池调度。（仅MRS 3.3.0-3.5.0版本支持配置该参数） default队列不支持开启AM跨资源池调度。 Active状态 ACTIVE ACTIVE表示当前队列可接受并执行任务。 INACTIVE表示当前队列可接受但不执行任务，若提交任务，任务将处于挂起状态。 Open状态 OPEN OPEN表示当前队列处于打开状态。 CLOSED表示当前队列处于关闭状态，若提交任务，任务直接会被拒绝。 使用Capacity调度器集群，“租户资源名（队列）”为租户及队列名称，然后参考下表为子租户配置属性。 表4 队列配置参数 参数名 示例 描述 最大应用数量 10 表示最大应用程序数量。 AM最大资源百分比 10 表示集群中可用于运行Application Master的最大资源占比。 用户资源最小上限百分比 (%) 25 表示用户使用的最小资源上限百分比。 任何时刻，一个队列中每个用户可使用的资源量均有一定的限制。当一个队列中同时运行多个用户的应用程序时，每个用户的使用资源量在一个最小值和最大值之间浮动，其中，最小值取决于正在运行的应用程序数目，而最大值则由此参数决定。 比如，假设此参数的值设置为25。当两个用户向该队列提交应用程序时，每个用户可使用资源量不能超过50%，如果三个用户提交应用程序，则每个用户可使用资源量不能超过33%，如果四个或者更多用户提交应用程序，则每个用户可用资源量不能超过25%。 用户资源上限因子 10 表示用户使用的最大资源限制因子，与当前租户在集群中实际资源百分比相乘，可计算出用户使用的最大资源百分比。 状态 - 表示资源计划当前的状态。 默认资源池 default 表示队列使用的资源池。默认为“default”，如果需要修改为其他资源，需要先配置队列容量，请参见配置资源池的队列容量策略。 单击“确定”完成配置。 MRS 2.x及之前版本集群： 在MRS Manager，单击“租户管理”。 单击“动态资源计划”页签。 单击“队列配置”页签。 在租户队列表格，指定租户队列的“操作”列，单击“修改”。 在“租户管理”页签左侧租户列表，单击目标的租户，切换到“资源”页签，单击编辑按钮也能打开修改队列配置页面。 表5 队列配置参数 参数名 示例 描述 最大应用数量 10 表示最大应用程序数量。 AM最大资源百分比 10 表示集群中可用于运行Application Master的最大资源占比。 用户资源最小上限百分比 (%) 25 表示用户使用的最小资源上限百分比。 任何时刻，一个队列中每个用户可使用的资源量均有一定的限制。当一个队列中同时运行多个用户的应用程序时，每个用户的使用资源量在一个最小值和最大值之间浮动，其中，最小值取决于正在运行的应用程序数目，而最大值则由此参数决定。 比如，假设此参数的值设置为25。当两个用户向该队列提交应用程序时，每个用户可使用资源量不能超过50%，如果三个用户提交应用程序，则每个用户可使用资源量不能超过33%，如果四个或者更多用户提交应用程序，则每个用户可用资源量不能超过25%。 用户资源上限因子 10 表示用户使用的最大资源限制因子，与当前租户在集群中实际资源百分比相乘，可计算出用户使用的最大资源百分比。 状态 - 表示资源计划当前的状态。 默认资源池 default 表示队列使用的资源池。默认为“default”，如果需要修改为其他资源，需要先配置队列容量，请参见配置资源池的队列容量策略。

通过管理控制台配置租户队列 登录MRS管理控制台。 选择“现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 在集群详情页，单击“租户管理”。 单击“队列配置”页签。 在租户队列表格，指定租户队列的“操作”列，单击“修改”。 在“租户管理”页签左侧租户列表，单击目标的租户，切换到“资源”页签，单击也能打开修改队列配置页面。 一个队列只能绑定一个非default资源池。 MRS 2.x及之前版本： 表1 队列配置参数 参数名 示例 描述 最大应用数量 10 表示最大应用程序数量。 AM最大资源百分比 10 表示集群中可用于运行Application Master的最大资源占比。 用户资源最小上限百分比 (%) 25 表示用户使用的最小资源上限百分比。 任何时刻，一个队列中每个用户可使用的资源量均有一定的限制。当一个队列中同时运行多个用户的应用程序时，每个用户的使用资源量在一个最小值和最大值之间浮动，其中，最小值取决于正在运行的应用程序数目，而最大值则由此参数决定。 比如，假设此参数的值设置为25。当两个用户向该队列提交应用程序时，每个用户可使用资源量不能超过50%，如果三个用户提交应用程序，则每个用户可使用资源量不能超过33%，如果四个或者更多用户提交应用程序，则每个用户可用资源量不能超过25%。 用户资源上限因子 10 表示用户使用的最大资源限制因子，与当前租户在集群中实际资源百分比相乘，可计算出用户使用的最大资源百分比。 状态 - 表示资源计划当前的状态。 默认资源池 default 表示队列使用的资源池。默认为“default”，如果需要修改为其他资源，需要先配置队列容量，请参见配置资源池的队列容量策略。 MRS 3.x及之后版本： 表2 队列配置参数 参数名 示例 描述 AM最多占有资源（%） 10 表示当前队列内所有Application Master所占的最大资源百分比。 每个YARN容器最多分配核数 -1 表示当前队列内单个YARN容器可分配的最多核数，默认为-1，表示取值范围内不限制。 每个YARN容器最大分配内存（MB） -1 表示当前队列内单个YARN容器可分配的最大内存，默认为-1，表示取值范围内不限制。 最多运行任务数 -1 表示当前队列最多同时可执行任务的数目，默认为-1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。 每个用户最多运行任务数 -1 表示每个用户在当前队列中最多同时可执行任务的数目，默认为-1，表示取值范围内不限制（为空意义相同），为0表示不可执行任务。 最多挂起任务数 -1 表示当前队列最多同时可挂起任务的数目，默认为-1，表示取值范围内不限制（为空意义相同），为0表示不可挂起任务。 资源分配规则 FIFO 表示单个用户任务间的资源分配规则，包括FIFO和FAIR。 一个用户若在当前队列上提交了多个任务，FIFO规则代表一个任务完成后再执行其他任务，按顺序执行。FAIR规则代表各个任务同时获取到资源并平均分配资源。 默认资源标签 - 表示在指定资源标签（Label）的节点上执行任务。 说明： 如果需要使用新的资源池，需要修改默认标签为新的资源池标签。 跨资源池调度 - 表示当前队列内Container是否支持跨资源池调度。（仅MRS 3.3.0-3.5.0版本支持配置该参数） default队列不支持开启跨资源池调度。 AM跨资源池调度 - 表示当前队列内Application Master是否支持跨资源池调度。（仅MRS 3.3.0-3.5.0版本支持配置该参数） default队列不支持开启AM跨资源池调度。 Active状态 ACTIVE ACTIVE表示当前队列可接受并执行任务。 INACTIVE表示当前队列可接受但不执行任务，若提交任务，任务将处于挂起状态。 Open状态 OPEN OPEN表示当前队列处于打开状态。 CLOSED表示当前队列处于关闭状态，若提交任务，任务直接会被拒绝。

创建MRS集群时手动添加Task节点组 当前MRS集群如需规划Task节点组进行弹性伸缩，在配置集群节点信息过程中，可参考以下步骤进行操作： 添加分析Task节点组： 对于集群类型为“分析集群”或“混合集群”的集群： 系统会自动添加分析Task节点组“task_node_analysis_group”，请根据实际需求设置节点数量、实例规格及节点磁盘配置。 若不需要该分析Task节点组，可手动删除。 对于集群类型为“自定义”的集群： 在集群节点配置区域，单击“添加节点组”，手动添加一个新的节点组。 配置“拓扑调整”参数为“开启”。 手动选择角色拓扑，使该节点组只包含NodeManager角色（NM）即可。 在集群创建完成后，通过手动添加节点组的方式添加Task节点组，可参考添加Task节点。 添加流式Task节点组： 对于集群类型为“流式集群”、“混合集群”且包含Storm组件的集群： 系统会自动添加流式Task节点组“task_node_streaming_group”，请根据实际需求设置节点数量、实例规格及节点磁盘配置。 若不需要该流式Task节点组，可手动删除。

MRS集群节点配置 表3 集群节点信息 参数 描述 示例 CPU架构 MRS集群节点的CPU架构类型，可选择“x86计算”或者“鲲鹏计算”。MRS 3.1.0及MRS 3.1.5版本无该参数。 x86计算 常用模板 当“集群类型”选择“自定义”时该参数有效，常用模板包含“管控合设”、“数据分设”和“管控分设”，具体详情请参考MRS集群部署类型说明选择。 管控合设 节点组名称 设置集群内节点组的名称。 Master节点组名称固定为“master_node_default_group”。 系统会根据集群所包含的组件自动创建对应Core节点组，例如当选择“ClickHouse”组件时，系统会添加ClickHouse节点组，并在该节点组默认部署ClickHouseServer角色。 “集群类型”为“自定义集群”时，其他节点组名称可自定义。 当集群数据量变化不大而集群业务处理能力需求变化比较大，可选择手动添加Task节点组，参考创建MRS集群时手动添加Task节点组。 node_group_1 节点类型 “集群类型”为“自定义集群”时，可手动选择非Master节点组的节点类型，如果指定节点组类型为Task，则该节点组仅能部署NodeManager角色（除节点必备角色外）。 Core 付费类型 MRS集群中节点的计费模式。 Master和Core节点组的计费模式与集群所选计费模式保持一致。 Task节点组的计费模式固定为“按需计费”。 按需计费 节点数 配置各节点组内的节点个数。 Master节点组的节点数量最少为3个，最多不超过9个。 Core节点组至少存在一个，Core节点和Task节点的数量之和不能超过10000个。 “集群类型”为“自定义集群”时，可以单击“添加节点组”，添加多个节点组。 说明： 过小的节点容量会导致您的集群运行缓慢，而过大的节点容量会产生不必要的成本，请根据您要处理的数据对集群节点数量进行调整。 - 实例规格 选择MRS集群节点的实例规格，可单击进行调整。 关于MRS集群节点规格的详细说明可参考MRS集群节点规格说明。 说明： 节点的实例规格配置越高，数据处理分析能力越强，集群所需费用也越高。 不同可用区内的实例规格可能有差异，如果当前可用区下的实例规格不满足需求，可尝试切换其他可用区。 当Core节点规格选择为HDD磁盘时，MRS无需为数据磁盘付费，但ECS需要为此付费。 当Core节点规格选择非HDD磁盘时，Master节点和Core节点的磁盘类型取决于数据磁盘。 当节点的实例规格选项后标示“已售罄”时，将无法购买此规格的节点，请选择其他规格节点进行购买。 Master节点中的4核8GB规格不在SLA售后范围内，仅适用于测试环境，不建议用于生产环境。 MRS 3.x及之后版本集群Master节点规格不能小于64GB。 - 系统盘 节点系统盘的存储类型和存储空间，可根据需要进行调整，更多MRS集群存储说明请参考磁盘角色。 - 数据盘 节点数据盘的存储类型和存储空间，为增大数据存储容量，创建集群时可同时添加磁盘，每个Core或者Task节点最多支持添加10块磁盘，更多MRS集群存储说明请参考磁盘角色。 - LVM 仅当创建流式Core节点时，该参数在流式Core节点有效。单击该参数以开启或关闭磁盘LVM管理。MRS 3.x及之后版本不支持该参数。 启用逻辑卷管理(LVM)时，会将节点中所有磁盘以逻辑卷的方式挂载，能够更加合理的规划磁盘，避免磁盘不均匀的问题，提升系统的稳定性。 不开启 拓扑调整 “集群类型”为“自定义集群”时，可手动调整集群内各组件在节点组的部署情况。 设置“拓扑调整”为“开启”，然后根据业务需要调整实例部署方式，具体说明请参见自定义集群拓扑调整说明。 不开启

查看MRS集群创建失败任务 如果集群创建失败后，失败任务会自动转入“失败任务管理”页面。 在集群列表页面单击进入“失败任务管理”页面，在“任务状态”列中，将鼠标移动到任务状态上可以查看到失败原因。 MRS集群创建失败错误码列表如表6所示。 表6 错误码 错误码 说明 MRS.101 用户请求配额不足，请联系客服提升配额。 MRS.102 用户Token为空或不合法，请稍后重试或联系客服。 MRS.103 用户请求不合法，请稍后重试或联系客服。 MRS.104 用户资源不足，请稍后重试或联系客服。 MRS.105 现子网IP不足，请稍后重试或联系客服。 MRS.201 因ECS服务导致失败，请稍后重试或联系客服。 MRS.202 因IAM服务导致失败，请稍后重试或联系客服。 MRS.203 因VPC服务导致失败，请稍后重试或联系客服。 MRS.400 MRS内部出错，请稍后重试或联系客服。

MRS集群版本配置 表1 MRS集群配置参数 参数 描述 示例 集群名称 集群名称不允许重复。 只能由字母、数字、中划线和下划线组成，并且长度为1～64个字符。 mrs_test 集群类型 根据业务需要选择合适的MRS集群类型。 分析集群：用于离线数据分析场景，对海量数据进分析处理，形成结果数据，主要包含Hadoop、Spark、HBase、Hive、Flink、Oozie、Tez等数据分析类组件。 流式集群：用于流式数据处理任务，对实时数据源进行快速分析，主要包含Kafka、Flume等流式数据处理组件。 混合集群：既可以用来做离线数据分析，也可以用来做流处理任务的集群。 自定义：提供丰富的组件搭配，可自行选择对应版本MRS集群所支持的所有组件。 自定义 版本类型 MRS提供了LTS版与普通版两种类型的集群，不同版本提供的组件有所不同，可根据需要选择版本类型。 LTS版：集群提供更强的高可靠和容灾能力，融入了MRS服务自研组件，提供长期的支持和演进。 普通版：主要依托开源组件的能力，融入了MRS服务自研、成熟稳定的特性和功能，带来性能及稳定性的提升。 LTS版 集群版本 MRS集群的版本，不同版本所包含的开源组件版本及功能特性可能不同，推荐选择最新版本。 版本详细包含的组件详细可参考MRS组件版本一览表。 MRS 3.2.0-LTS.1 组件选择 选择要MRS集群内要部署的组件。 请根据业务需求合理选择需要的组件，部分类型集群创建后不支持添加服务。 - 元数据 是否使用外部数据源存储集群的Hive、Ranger元数据。 本地元数据： 元数据存储在集群本地。 外置数据连接：使用外部数据源元数据，若集群异常或删除时将不影响元数据，适用于存储计算分离的场景。 在创建MRS集群时，支持对接LakeFormation实例，存储Hive、Spark等组件元数据，可参考配置LakeFormation数据连接。 在集群创建完成后，可以手动配置集群组件元数据存储至外部数据源，可参考管理MRS集群元数据。 本地元数据 组件端口 当前MRS集群内各组件默认通讯端口值的策略，LTS版本集群支持配置。 开源：开源组件的默认通讯端口遵循开源社区的规范不做修改，与开源社区保持一致。 定制：定制组件的默认通讯端口与开源社区不一致。 开源默认端口与定制默认端口区别请参考MRS集群服务常用端口列表。 开源

MRS集群网络配置 表2 MRS集群网络配置参数 参数 描述 示例 可用区 当前区域内，待创建资源所归属的可用区，可用区是在同一区域下，电力、网络隔离的物理区域。 说明： 当您为IES购买MRS时，请选择可用区为“边缘可用区”。 可用区1 虚拟私有云 MRS集群节点所归属的虚拟私有云网络（VPC），如果没有可用的虚拟私有云，请单击“查看虚拟私有云”进入网络控制台，创建一个新的虚拟私有云。 - 子网 虚拟私有云（VPC）网络内的子网信息，如果没有可用的子网，请单击“查看子网”进入网络控制台，创建一个新的子网。 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。网络ACL出规则配置请参考如何配置网络ACL出规则？。 说明： 创建MRS集群需要的IP数量和集群节点和组件个数相关，集群类型不影响IP数量。 MRS集群部署默认需要的IP数量为：集群节点数量+2（Manager+DB），如果部署集群时选择Hadoop、Hue、Sqoop或Loader、Presto组件，则每一个组件需要再加一个IP。若单独购买ClickHouse集群则需要的IP数量为：集群节点数量+1（Manager）。 - 安全组 安全组是一组对弹性云服务器的访问规则的集合，为同一个VPC内具有相同安全保护需求并相互信任的弹性云服务器提供访问策略。 创建MRS集群时，系统默认自动创建一个安全组，也可选择下拉框中已有的安全组。 说明： 选择用户自己创建的安全组时，请确保入方向规则中有一条全部协议，全部端口，源地址为可信任的IP访问范围的规则，源地址请勿使用0.0.0.0/0，否则会有安全风险。若用户不清楚可信任的IP访问范围，请选择自动创建。 自动创建 弹性公网IP 通过将弹性公网IP与MRS集群绑定，实现使用弹性公网IP访问Manager的目的。 用户创建集群时，可选择下拉框中已有的弹性公网IP进行绑定。若下拉框中没有可选的弹性公网IP，可以单击“创建弹性公网IP”进入弹性公网IP服务进行购买。 说明： 弹性公网IP必须和集群在同一区域。 暂不绑定

自定义购买MRS集群 进入购买MRS集群页面。 在购买集群页面，选择“自定义购买”页签。 创建集群时需要注意配额提醒。当资源配额不足时，建议按照提示申请足够的资源，再创建集群。 在“基础配置”区域，设置MRS集群基础信息。 计费模式：集群的计费模式，MRS提供“包年/包月”与“按需计费”两种计费模式。 区域：待创建资源所在的区域信息，不同区域的资源之间内网不互通，请选择靠近您的区域，可以降低网络延时、提高访问速度。 根据界面提示，配置MRS集群信息。 创建集群时，您需要对集群的版本信息、网络信息、节点规格信息及数量以及其他高级配置功能进行配置。 MRS集群版本配置 MRS集群网络配置 MRS集群节点配置 MRS集群其他配置 集群信息全部配置完成后，单击“立即购买”。 当集群开启Kerberos认证时，需要确认是否需要开启Kerberos认证，若确认开启请单击“继续”，若无需开启Kerberos认证请单击“返回”关闭Kerberos认证后再创建集群。购买集群后，不支持修改。 如果您对价格有疑问，可以单击页面左下角“了解计费详情”，根据计费详情来了解产品价格。 若您选择“按需计费”时，可能因为冻结保证金失败或者账号可能存在风险导致下单失败，请联系技术支持处理。 单击“返回集群列表”，可以查看到集群创建的状态。 集群创建需要时间，所创集群的初始状态为“启动中”，创建成功后状态更新为“运行中”，请您耐心等待。 MRS系统界面支持同一时间并发创建10个集群，且最多支持管理100个集群。 集群创建的状态过程请参见表1中的“状态”参数说明。

操作场景 为了确保Hive日常用户的业务数据安全，或者系统管理员需要对Hive进行重大操作（如升级或迁移等），需要对Hive数据进行备份，从而保证系统在出现异常或未达到预期结果时可以及时进行数据恢复，将对业务的影响降到最低。 系统管理员可以通过FusionInsight Manager创建备份Hive任务。支持创建任务自动或手动备份数据。 Hive备份恢复功能不支持识别用户的Hive表、索引、视图等对象在业务和结构上存在的关联关系。用户在执行备份恢复任务时，需要根据业务场景管理统一的恢复点，防止影响业务正常运行。 Hive备份恢复功能不支持Hive on RDB数据表，需要在外部数据库中单独备份恢复原始数据表。 已创建的Hive备份任务且包含Hive on HBase表，如果本次备份任务在备集群的备份数据丢失，当下次执行增量备份时备份任务将失败，需要重新创建Hive的备份任务。如果下次执行全量则备份正常。 通过Manager备份功能对Hive表层级的HDFS目录做备份后，Hive表将无法被删除重建。

前提条件 如果数据要备份至远端HDFS中，需满足以下条件： 需要准备一个用于备份数据的备集群，认证模式需要与主集群相同。 如果主集群部署为安全模式，且主备集群不是由同一个FusionInsight Manager管理，则必须配置系统互信，请参见配置MRS集群间互信。如果主集群部署为普通模式，则不需要配置互信。 主备集群必须已配置跨集群拷贝，请参见启用MRS集群间拷贝功能。 主备集群上的时间必须一致，而且主备集群上的NTP服务必须使用同一个时间源。 检查备集群HDFS是否有充足的空间，备份文件保存的目录建议使用用户自定义的目录。 根据业务需要，规划备份任务的类型、周期、备份对象、备份目录和备份任务需要使用的Yarn队列等策略规格。 使用HDFS客户端，以“hdfs”用户执行hdfs lsSnapshottableDir检查当前集群中已创建HDFS快照的目录清单，确保待备份的数据文件所在HDFS路径的父目录或子目录不存在HDFS快照，否则无法创建备份任务。 如果数据要备份至NAS中，需要提前部署好NAS服务端。 如果数据要备份至OBS中，需要当前集群已对接OBS，并具有访问OBS的权限。MRS 3.5.0及之后版本支持备份数据到OBS。

查看作业状态 登录MRS管理控制台。 选择“现有集群”，选中一个运行中的集群并单击集群名称，进入集群信息页面。 单击“作业管理”，即可查看当前MRS集群已创建的作业列表及状态。 作业列表默认按提交时间顺序排列，各类作业列表参数说明如表1所示，可通过作业类型和作业状态快速筛选作业。 表1 作业列表参数 参数 参数说明 作业名称/ID 作业的名称，新增作业时配置。 ID是作业的唯一标识，作业新增后系统自动赋值。 用户名称 提交作业的用户名称。 作业类型 作业类型。 说明： 在MRS集群“文件管理”页面进行文件的导入导出操作后，您可以在“作业管理”页面查看Distcp类型的作业详情。 状态 显示作业的状态。 已提交：作业已提交。 已接受：作业提交成功后的初始状态。 运行中：作业执行过程中。 已完成：作业执行完成，并且执行成功。 已终止：作业执行过程中，停止执行。 异常：作业执行过程中报错，或者作业执行完成，但执行失败。 执行结果 显示作业执行完成的结果。 未定：正在执行的作业。 成功：执行成功的作业。 终止：执行中被手动终止的作业。 失败：执行失败的作业。 说明： 作业执行成功或失败后都不能再次执行，只能重新添加作业。 队列名称 提交作业用户绑定的资源队列的名称。 作业提交时间 记录作业提交的开始时间。 作业结束时间 记录作业执行完成或手工停止的时间。 操作 对当前作业执行相关操作，请参考管理MRS集群作业。

配置Spark SQL防御前提条件 已安装包含Spark服务的集群客户端，安装目录如“/opt/hadoopclient”。 Spark服务运行状态正常。 在租户资源中添加租户，例如创建租户sparkstatic1，具体请参见添加MRS租户章节。 对于开启了Kerberos认证的集群，需要创建一个业务用户，例如创建用户“sparkuser”，该用户属于hive、hadoop、supergroup组，主组为hive，角色绑定sparkstatic1。

在开启OBS权限控制功能时各组件访问OBS的说明 以root用户登录集群任意一个节点，密码为用户创建集群时设置的root密码。 配置环境变量： cd 客户端安装目录 source 客户端安装目录/bigdata_env 如果当前集群已启用Kerberos认证，执行以下命令认证当前用户。如果当前集群未启用Kerberos认证，则无需执行此命令。 kinit MRS集群用户 例如: kinit admin 如果当前集群未启用Kerberos认证，执行如下命令登录执行操作的用户，该用户需要属于supergroup组，创建用户可参考创建MRS集群用户，将XXXX替换成用户名。 mkdir /home/XXXX chown XXXX /home/XXXX su - XXXX 访问OBS，无需再配置AK、SK和Endpoint。 OBS路径格式：obs://OBS并行文件系统名称/XXX hadoop fs -ls "obs://obs-example/job/hadoop-mapreduce-examples-3.1.2.jarobs-example/job/hadoop-mapreduce-examples-3.1.2.jar" 如需使用hadoop fs删除OBS上文件，请使用hadoop fs -rm -skipTrash来删除文件。 spark-sql、spark-beeline在创建表时，若不涉及数据导入，则不会访问OBS。即若在一个无权限的OBS目录下创建表，CREATE TABLE仍会成功，但插入数据会报403 AccessDeniedException。

配置OBS权限控制映射关系 在MRS控制台，选择“现有集群”并单击集群名称。 在“概览”页签的基本信息区域，单击“OBS权限控制”右侧的“单击管理”。 单击“添加映射”，并参考表1配置相关参数。 表1 添加OBS权限控制映射关系 参数 说明 IAM委托 选择2中创建的委托。 类型 User：在用户级别进行映射 Group：用户组级别进行映射 说明： 用户级别的映射优先级大于用户组级别的映射。若选择Group，建议在“MRS用户（组）”一栏，填写用户的主组名称。 请避免同个用户名（组）出现在多个映射记录上。 MRS 用户（组） MRS中的用户（组）的名称，以英文逗号进行分隔。 说明： 对于没有配置在OBS权限控制的用户，且没有配置AK、SK时，将以MRS_ECS_DEFAULT_AGENCY中的OBS OperateAccess的权限访问OBS。对于组件内置用户不建议绑定在委托中。 如需对组件内置用户在以下场景提交作业时配置委托，要求如下： 如需对spark-beeline的操作进行权限控制，开启Kerberos认证的集群配置用户名“spark”，未开启Kerberos认证的集群配置用户名“omm”。 如需对hbase shell的操作进行权限控制，开启Kerberos认证的集群配置用户名“hbase”，未开启Kerberos认证的集群配置用户名“omm”。 如需对Presto的操作进行权限控制，开启Kerberos认证的集群配置用户名“omm”、“hive”和登录客户端的用户名，未开启Kerberos认证的集群配置用户名“omm”和登录客户端的用户名。 如需使用Hive在beeline模式下创建表时，配置内置用户“hive”。 单击“确定”。 勾选“我同意授权MRS用户（组）与IAM委托之间的信任关系。”，并单击“确定”，完成MRS用户与OBS权限的映射关系。 当集群详情页面“概览”页签的“OBS权限控制”后出现或OBS权限控制的映射表已刷新，表示映射生效（过程大约需要1分钟）。 在关系列表的“操作”列可以对已添加的关系进行编辑和删除。 对于没有配置在OBS权限控制的用户，且没有配置AK、SK时，将以集群配置的委托在“ 对象存储服务 ”项目下所拥有的权限访问OBS。 无论用户是否配置OBS权限控制，只要配置AK、SK时，将以AK、SK的权限访问OBS。 映射关系的修改、创建、删除需要用户有Security Administrator权限。 修改映射关系后，若想使之在spark-beeline中生效，需要重启Spark服务，若想使之在Hive beeline中生效，需要退出beeline重新进入，若想使之在Presto服务中生效，需要重启Presto服务。

给集群配置有OBS访问权限的委托 请参考配置MRS集群通过IAM委托对接OBS配置OBS访问权限的委托。 配置的委托对该集群上所有用户（包括内置用户）及用户组生效，如需对集群上的用户及用户组访问OBS的权限进行控制请继续执行后续步骤。 配置OBS路径权限时，如果配置了写权限，需要同步配置对应的回收站路径。默认回收站路径为“/user/${current.user}/.Trash/”，${current.user}表示当前使用的用户名。

操作场景 该章节指导用户开启Guardian组件存算分离操作。开启后Guardian可以在存算分离场景下为HDFS、Hive、Spark、Loader、HetuEngine等服务提供访问OBS的临时认证凭据。 配置Guardian服务对接OBS主要操作如下： 创建OBS并行文件系统 创建普通账号委托 创建云服务委托并绑定集群 为Guardian组件配置访问OBS权限 开启Hive表的级联授权功能 配置回收站清理策略

CTS 服务条件键 条件键（Condition）是SCP生效的特定条件，包括条件键和运算符。 条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。 服务级条件键（前缀通常为服务缩写，如cts:）仅适用于对应服务的操作，详情请参见表1。 单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个 VPC终端节点 发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。 运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：运算符。 CTS定义了以下可以在SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。 表1 CTS支持的服务级条件键 服务级条件键 类型 单值/多值 说明 cts:TargetType string 单值 按照数据转储类型筛选访问权限。 cts:TargetAccountId string 单值 按照obs桶所属用户的DomainID（账号ID）筛选访问权限。 cts:TargetOrgId string 单值 按照obs桶所属组织筛选访问权限。 cts:TargetOrgPath string 单值 按照obs桶所属组织OU路径筛选访问权限。 cts:TargetType需要与其他3个服务条件键结合使用。当cts:TargetType被设置为obs时，cts:TargetOrgPath、cts:TargetOrgId和cts:TargetAccountId将生效。详细使用方式请参考CTS服务控制策略使用示例。

CTS服务控制策略使用示例 服务控制策略 (SCP) 的原理介绍和语法介绍详情请参见：SCP原理介绍和SCP语法介绍。 示例一：使用服务条件键cts:TargetAccountId ，限制审计日志仅能转储至特定账号下的obs桶。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "cts:tracker:create", "cts:tracker:update" ], "Condition": { "StringEquals": { "cts:TargetType": [ "obs" ] }, "StringNotEquals": { "cts:TargetAccountId": [ "051d********d3420f9bc01403fd8da0", "2883********4c6380e59a4d416a60ee" ] } } } ] } 示例二：使用服务条件键cts:TargetOrgId，限制审计日志仅能转储至特定组织内账号下的obs桶。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "cts:tracker:create", "cts:tracker:update" ], "Condition": { "StringEquals": { "cts:TargetType": [ "obs" ] }, "StringNotEquals": { "cts:TargetOrgId": [ "o-fa9h4ghf0hnp********tah2nxmtugrf", "o-1vs0zv5azbbt********asbfd4oekb7z" ] } } } ] } 示例三：使用服务条件键cts:TargetOrgPath，限制审计日志仅能转储至特定组织ou内账号下的obs桶。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "cts:tracker:create", "cts:tracker:update" ], "Condition": { "StringEquals": { "cts:TargetType": [ "obs" ] }, "StringNotEquals": { "cts:TargetOrgPath": [ "o-1vs0zv5azbbt********asbfd4oekb7z/r-zk3fox3t********cvfd7b1av5yuzikp/ou-x0m71md5k0bz********xfq7kj2uy9ck/ou-la1j52h39hi********jkmlbstb9jk8p/ou-67ax22d********duqqov9xd6ld5udpv", "o-sdfwesdfw232********1j52hasf2346/r-43fdghwt********etmgdfnb9ersdfg6" ] } } } ] }

使用限制 当前CTS支持使用SCP的区域包含：华南-广州-友好用户环境、华北-乌兰察布-汽车一、华北-乌兰察布一、华北-北京一、华北-北京四、华南-广州、华东-上海一、华东-上海二、华东-青岛、华东二、西南-贵阳一、中国-香港、亚太-曼谷、亚太-新加坡、亚太-雅加达、中东-利雅得、拉美-墨西哥城一、拉美-墨西哥城二、拉美-圣保罗一、拉美-圣地亚哥、非洲-开罗、非洲-约翰内斯堡、土耳其-伊斯坦布尔。 在配置SCP策略时，确保配置数据与账号数据（例如账号ID）相匹配。 cts:TargetType需要与其他3个服务条件键结合使用。当cts:TargetType被设置为obs时，cts:TargetOrgPath、cts:TargetOrgId和cts:TargetAccountId将生效。详细使用方式请参考CTS服务控制策略使用示例。