华为云用户手册

使用限制 CCE Autopilot集群使用的工作节点为全托管模式，因此您目前还无法使用依赖节点特性的功能，例如HostPath、HostNetwork等功能，具体使用限制如下： 不支持的功能 说明 推荐替代方案 DaemonSet型工作负载 在每个节点上部署Pod 通过sidecar形式在Pod中部署多个镜像 在Pod中设置HostPath 将节点本地文件挂载到容器中 使用EmptyDir或其他类型的 云存储 在Pod中设置HostNetwork 将节点端口映射到容器上 使用负载均衡类型的Service NodePort型Service 开放指定节点端口访问容器 使用负载均衡类型的Service 使用CCE Autopilot集群时，工作负载中的每个Pod默认提供30GiB（IOPS上限2500，IOPS突发上限16000）的免费磁盘空间。除系统本身及平台预留资源占用外，用户实际可用的镜像、容器及临时存储的空间总大小约为20GiB。如果使用容器镜像过大（一般5Gi以上）及容器根目录或临时存储存在创建大量文件场景时，建议增加Pod的临时存储容量，具体操作请参见文档增加Pod的临时存储容量。 使用CCE Autopilot集群时，默认最多创建500个Pod，其中插件实例可能占用部分Pod配额，请合理规划。如果配额不足，您可以提交工单申请扩容。 使用CCE Autopilot集群时，不支持创建使用ARM架构镜像的工作负载。

CCE Autopilot集群和传统Serverful容器集群的对比 维度 Serverless容器集群 传统Serverful容器集群 CCE Autopilot CCE Standard CCE Turbo 节点管理 工作节点全托管，CCE Autopilot集群负责节点扩缩容及预热 工作节点由您自行管理、运维 工作节点由您自行管理、运维 节点操作系统 使用containerd容器引擎的专属操作系统 您可以自行选择操作系统及容器引擎 您可以自行选择操作系统及容器引擎 节点规格 自适应规格 由您选择指定的节点规格 由您选择指定的节点规格 节点升级和维护 节点自动升级、修复 节点需通过重置升级 节点需通过重置升级 容器网络模型 云原生网络2.0模型 VPC网络模型 容器隧道网络模型 云原生网络2.0模型 网络性能 VPC网络和容器网络融合，性能无损耗 VPC网络叠加容器网络，性能有一定损耗 VPC网络和容器网络融合，性能无损耗 网络隔离 Pod可直接关联安全组，基于安全组的隔离策略，支持集群内外部统一的安全隔离。 容器隧道网络模式：集群内部网络隔离策略，支持NetworkPolicy。 VPC网络模式：不支持 Pod可直接关联安全组，基于安全组的隔离策略，支持集群内外部统一的安全隔离。

传统Serverful容器集群的痛点 在云计算的浪潮中，容器技术以其轻量级和高效性，成为企业IT架构转型的强劲动力。然而，随着业务的快速发展，传统的容器服务（Serverful）逐渐暴露出一系列问题：运维管理复杂、弹性速度慢、成本控制困难，这些都严重制约了企业的创新步伐。 运维管理复杂：用户需要手动管理底层服务器的资源分配和扩展，不仅涉及到复杂的容量规划和资源调度，还涉及到持续的节点监控、故障排查、系统升级等运维活动。运维成本高，需投入大量人力和物力资源。 弹性速度慢：用户需制定节点和负载的弹性联合策略，容器弹性扩容通常需要提前对工作节点进行扩容，过程通常需要分钟级别的等待，影响效率和响应速度。 成本控制困难：容器节点需要预先分配资源，当资源未被充分利用时，会造成资源浪费，且高负载情况时可能资源不足，难以实现成本效益最大化。

CCE Autopilot集群架构的优势 对比CCE Standard/Turbo集群，CCE Autopilot集群核心演进如下： 产品Serverless化：增加集群工作节点托管，实现集群全托管，用户无需对节点的部署、管理和安全性进行维护，集群规格自动弹性伸缩。 资源池化：采用华为云Serverless融合资源池，实现CPU、内存、GPU等资源的池化管理，减少资源碎片，容器资源按需使用。 性能全面优化：通过动态预热技术进行资源池预热，资源供给加速，容器秒级弹性，根据负载规模自动扩缩。 图2 CCE Autopilot集群架构对比

命名空间权限（kubernetes RBAC授权） 命名空间权限是基于Kubernetes RBAC能力的授权，通过权限设置可以让不同的用户或用户组拥有操作不同Kubernetes资源的权限。Kubernetes RBAC API定义了四种类型：Role、ClusterRole、RoleBinding与ClusterRoleBinding，这四种类型之间的关系和简要说明如下： Role：角色，其实是定义一组对Kubernetes资源（命名空间级别）的访问规则。 RoleBinding：角色绑定，定义了用户和角色的关系。 ClusterRole：集群角色，其实是定义一组对Kubernetes资源（集群级别，包含全部命名空间）的访问规则。 ClusterRoleBinding：集群角色绑定，定义了用户和集群角色的关系。 Role和ClusterRole指定了可以对哪些资源做哪些动作，RoleBinding和ClusterRoleBinding将角色绑定到特定的用户、用户组或ServiceAccount上。如下图所示。 图1 角色绑定 在CCE控制台可以授予用户或用户组命名空间权限，可以对某一个命名空间或全部命名空间授权，CCE控制台默认提供如下ClusterRole。 view（只读权限）：对全部或所选命名空间下大多数资源的只读权限。 edit（开发权限）：对全部或所选命名空间下多数资源的读写权限。当配置在全部命名空间时能力与运维权限一致。 admin（运维权限）：对全部命名空间下大多数资源的读写权限，对节点、存储卷，命名空间和配额管理的只读权限。 cluster-admin（管理员权限）：对全部命名空间下所有资源的读写权限。

集群权限（ IAM 系统策略授权） 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 CCE部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问CCE时，需要先切换至授权区域。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对CCE服务，租户（Domain）能够控制用户仅能对某一类集群和节点资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，CCE支持的API授权项请参见权限策略和授权项。 如表1所示，包括了CCE的所有系统权限。 表1 CCE系统权限 系统角色/策略名称 描述 类别 依赖关系 CCE Administrator 具有CCE集群及集群下所有资源（包含集群、工作负载、任务、服务等）的读写权限。 系统角色 拥有该权限的用户必须同时拥有以下权限： 全局服务：OBS Buckets Viewer、OBS Administrator。 区域级项目：Tenant Guest、Server Administrator、ELB Administrator、SFS Administrator、SWR Admin、 APM FullAccess。 说明： 如果IAM子用户需要对其他用户或用户组进行集群命名空间授权，则该用户需要拥有IAM只读权限。 CCE FullAccess CCE服务集群相关资源的普通操作权限，不包括集群（启用Kubernetes RBAC鉴权）的命名空间权限，不包括委托授权、生成集群证书等管理员角色的特权操作。 策略 无 CCE ReadOnlyAccess CCE服务集群相关资源的查看权限，不包括集群（启用Kubernetes RBAC鉴权）的命名空间权限。 策略 无 表2 CCE常用操作与系统权限的关系 操作 CCE ReadOnlyAccess CCE FullAccess CCE Administrator 创建集群 x √ √ 删除集群 x √ √ 更新集群，如后续允许集群支持RBAC，调度参数更新等 x √ √ 升级集群 x √ √ 查询集群列表 √ √ √ 查询集群详情 √ √ √ 查询任务列表（集群层面的job） √ √ √ 删除任务/批量删除任务（集群层面的job） x √ √ 查询任务详情（集群层面的job） √ √ √ 创建存储 x √ √ 删除存储 x √ √ 操作所有kubernetes资源 √（需Kubernetes RBAC授权） √（需Kubernetes RBAC授权） √ 监控中心所有资源查看权限 √ √ √ 监控中心所有资源操作权限 x √ √ 告警中心所有资源查看权限 √ √ √ 告警中心所有资源操作权限 x √ √ NAT网关服务的所有权限 x √ √ NAT网关服务所有资源详情的查看权限。 √ √ √ NAT网关服务所有资源列表的查看权限。 √ √ √ VPCEP（ VPC终端节点 ）的所有权限。 x √ √ VPCEP（VPC终端节点）所有资源详情的查看权限。 √ √ √ VPCEP（VPC终端节点）所有资源列表的查看权限。 √ √ √ EVS（云硬盘）的所有权限。 可以将云硬盘挂载到工作负载，并可以随时扩容云硬盘容量 x √ √ VPC（虚拟私有云）的所有权限。 创建的集群需要运行在虚拟私有云中，创建命名空间时，需要创建或关联VPC，创建在命名空间的容器都运行在VPC之内。 x √ √ EVS（云硬盘）所有资源详情的查看权限。可以将云硬盘挂载到工作负载，并可以随时扩容云硬盘容量 √ √ √ EVS（云硬盘）所有资源列表的查看权限。 √ √ √ VPC（虚拟私有云）所有资源详情的查看权限。 创建的集群需要运行在虚拟私有云中，创建命名空间时，需要创建或关联VPC，创建在命名空间的容器都运行在VPC之内 √ √ √ VPC（虚拟私有云）所有资源列表的查看权限。 √ √ √ ELB（弹性负载均衡）服务所有资源详情的查看权限。 √ √ √ ELB（弹性负载均衡）服务所有资源列表的查看权限。 √ √ √ SFS（弹性文件服务）服务所有资源详情的查看权限。 √ √ √ SFS（弹性文件服务）服务所有资源列表的查看权限。 √ √ √ AOM （ 应用运维管理 ）服务所有资源详情的查看权限。 √ √ √ AOM（应用运维管理）服务所有资源列表的查看权限。 √ √ √ AOM（应用运维管理）服务自动扩缩容规则的所有操作权限。 √ √ √

成本优化配置 CCE Autopilot集群为有成本优化诉求的企业用户提供了灵活的资源配置方案。它满足了用户对低成本学习、资源灵活配置的需求，同时支持业务量的自动扩缩，以适应业务的快速增长。CCE Autopilot集群确保了即使在资源需求较小的初期阶段，用户也能获得高可靠性和性能的服务，随着业务的扩展，资源可以无缝扩展，满足企业对成本效益和业务连续性的需求。 图3 传统模式和自动驾驶资源配置对比

与其他服务的关系 CCE Autopilot集群与周边服务的协作关系如表1所示。 表1 CCE Autopilot集群与其他服务的关系 服务名称 CCE Autopilot集群与其他服务的关系 虚拟私有云 VPC CCE Autopilot集群需要运行在虚拟私有云中，您在集群中创建的Pod实例将会从VPC网段内分配私网IP地址。 了解虚拟私有云更多信息，请参见虚拟私有云 VPC。 弹性负载均衡 ELB CCE Autopilot集群支持将创建的应用对接到弹性负载均衡，从而提高应用系统对外的服务能力，提高应用程序容错能力。您可以通过弹性负载均衡，从外部网络访问容器负载。 了解弹性负载均衡更多信息，请参见弹性负载均衡。 容器镜像服务 SWR 容器 镜像服务 提供的镜像仓库是用于存储、管理docker容器镜像的场所，可以让使用人员轻松存储、管理、部署docker容器镜像。您可以使用容器镜像服务中的镜像创建负载。 了解容器镜像服务，请参见容器镜像服务。 云硬盘 EVS 可以将云硬盘挂载到工作负载，并可以随时扩容云硬盘容量。 集群中每个工作负载最多挂载10个云硬盘存储，若挂载数量超过10，可能导致负载运行异常。 了解云硬盘更多信息，请参见云硬盘 EVS。 对象存储服务 OBS 对象存储服务是一个基于对象的海量存储服务，为客户提供海量、安全、高可靠、低成本的数据存储能力，包括：创建、修改、删除桶，上传、下载、删除对象等。 CCE Autopilot集群支持创建OBS对象存储卷并挂载到容器的某一路径下。 了解对象存储服务更多信息，请参见对象存储服务 OBS。 弹性文件服务 SFS 弹性文件服务提供托管的共享文件存储，符合标准文件协议（NFS），能够弹性伸缩至PB规模，具备可扩展的性能，为海量数据、高带宽型应用提供有力支持。 您可以使用弹性文件服务作为容器的持久化存储，在创建工作负载的时候挂载到容器上。 了解弹性文件服务更多信息，请参见弹性文件服务 SFS。 高性能弹性文件服务 SFS Turbo 高性能弹性文件服务提供一个完全托管的共享文件存储，能够弹性伸缩至320TB规模，支持亚毫秒低时延、百万级IOPS和百GB带宽，具有高可用性和持久性。适用于AI训练、自动驾驶、渲染等多种高性能应用场景。此外，SFS Turbo支持NFS和SMB协议，兼容主流操作系统，界面简单易用，降低操作成本。 CCE Autopilot集群支持将高性能弹性文件服务（SFS Turbo）及其子目录创建的存储卷挂载到容器的某一路径下，以满足数据持久化的需求。 了解高性能弹性文件服务更多信息，请参见高性能弹性文件服务 SFS Turbo。 云审计 服务 CTS 云审计服务提供云服务资源的操作记录，记录内容包括您从公有云管理控制台或者开放API发起的云服务资源操作请求以及每次请求的结果，供您查询、审计和回溯使用。 了解云审计服务更多信息，请参见云审计服务 CTS。

持续迭代的极致弹性性能 CCE Autopilot集群以极致性能为核心，联合底层服务构建统一Serverless容器资源底座，通过多级资源池预热技术，精准满足客户多元异构的资源需求，并持续迭代优化性能。无论是面对突发流量、季节性波动还是长期增长，用户无需提前规划和预留资源，实现容器秒级弹性，根据负载规模自动进行扩缩，确保业务的连续性和性能的最优化。用户可以在短时间内快速上线新应用或服务，快速响应市场变化。

访问控制 您可以使用 统一身份认证 服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。 关于IAM的详细介绍，请参见IAM产品介绍。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：不允许某用户组删除集群，仅允许 DLI 基本操作（如创建、查询作业等）。 DLI支持的授权项请参见权限管理概述。 如表3-1所示，包括了DLI的所有系统权限。 系统角色/策略名称 描述 类别 授权方式 DLI FullAccess 数据湖探索 所有权限。 系统策略 具体的授权方式请参考创建IAM用户并授权使用DLI以及《如何创建子用户》和《如何修改用户策略》。 DLI ReadOnlyAccess 数据湖 探索只读权限。 系统策略 Tenant Administrator 租户管理员。 操作权限：具有所有云服务的管理和使用权限。创建后，可通过ACL赋权给其他子用户使用。 作用范围：项目级服务。 系统角色 DLI Service Administrator DLI服务管理员。 操作权限：具有数据湖探索服务队列、数据的管理和使用权限。创建后，可通过ACL赋权给其他子用户使用。 作用范围：项目级服务。 系统角色

全面兼容的云原生开源生态 CCE Autopilot集群将Serverless架构优势与云原生开源生态相结合，提供全面兼容Kubernetes生态的Serverless集群，使用户能够根据需求灵活扩展功能。它支持Kubernetes社区版本的全跟随和自动更新，确保用户及时获得最新技术更新和安全补丁，保持技术前沿。未来将持续集成包括安全、应用管理、弹性、CI/CD、AI在内的主流开源软件如OPA Gatekeeper、Knative等，提供开箱即用的应用框架，让客户更加轻松地管理自己的Kubernetes应用。

SaaS/企业平台的运维与迭代升级 CCE Autopilot集群适合作为SaaS平台和企业平台的坚实底座，尤其适用于需要频繁进行升级和迭代的大型企业资源池。传统模式客户需自运维自升级，运维人力成本巨大。CCE Autopilot集群的自动化运维减少了对人力资源的依赖，显著降低了运维成本。且对互联网金融等对安全合规性有严格要求的行业，传统驾驶模式客户自运维，OS等保能力建设困难，CCE Autopilot集群的托管服务不仅简化了节点管理，还提升了系统的安全性和合规性，使企业能够更专注于核心业务的创新与发展。 图1 传统模式和自动驾驶的资源管理对比

与对象存储服务（OBS）的关系 对象存储服务（Object Storage Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下四种。 数据来源：使用DLI服务提供API，将OBS对应路径的数据导入到DLI。 具体API请参考《导入数据》。 存储数据：DLI中支持创建OBS表，该类型表在DLI服务中只有元数据，实际数据在该表对应的OBS路径中。 创建OBS表的SQL语法请参考《使用DataSource语法创建OBS表》和《使用Hive语法创建OBS表》。 备份数据：使用DLI提供导出API，将DLI的数据导出到OBS中备份。 具体API请参考《导出数据》。 存储查询结果：DLI提供API供用户将日常作业的查询结果数据保存到OBS。 具体API请参考《导出查询结果》。

与分布式缓存服务（D CS ）的关系 分布式缓存服务（Distributed Cache Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下两种。 数据来源：DLI服务提供DataFrame和SQL方式从DCS中导入数据到DLI。 存储查询结果：DLI使用标准SQL的Insert语法将日常作业的查询结果数据存放到DCS表中。 通过DLI跨源连接访问DWS数据请参考《跨源分析开发方式参考》。

与 表格存储服务 （CloudTable）的关系 表格存储 服务（CloudTable Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下两种。 数据来源：DLI服务提供DataFrame和SQL方式从CloudTable中导入数据到DLI。 存储查询结果：DLI使用标准SQL的Insert语法将日常作业的查询结果数据存放到CloudTable表中。 通过DLI跨源连接访问CloudTable数据请参考《跨源分析开发方式参考》。

与 云搜索服务 （ CSS ）的关系 云搜索 服务（Cloud Search Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下两种。 数据来源：DLI服务提供DataFrame和SQL方式从CSS中导入数据到DLI。 存储查询结果：DLI使用标准SQL的Insert语法将日常作业的查询结果数据存放到CSS表中。 通过DLI跨源连接访问DWS数据请参考《跨源分析开发方式参考》。

与关系型数据库服务（RDS）的关系 关系型数据库（Relational Database Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下两种。 数据来源：DLI服务提供DataFrame和SQL方式从RDS中导入数据到DLI。 存储查询结果：DLI使用标准SQL的Insert语法将日常作业的查询结果数据存放到RDS表中。 通过DLI跨源连接访问RDS数据请参考《跨源分析开发方式参考》。

与 MapReduce服务 （ MRS ）的关系 MapReduce服务（MapReduce Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下两种。 数据来源：DLI服务提供DataFrame和SQL方式从MRS中导入数据到DLI。 存储查询结果：DLI使用标准SQL的Insert语法将日常作业的查询结果数据存放到MRS表中。 通过DLI跨源连接访问DWS数据请参考《跨源分析开发方式参考》。

与文档数据库服务（DDS）的关系 文档数据库服务（Document Database Service）作为DLI的数据来源及数据存储，与DLI配合一起使用，关系有如下两种。 数据来源：DLI服务提供DataFrame和SQL方式从DDS中导入数据到DLI。 存储查询结果：DLI使用标准SQL的Insert语法将日常作业的查询结果数据存放到DDS表中。 通过DLI跨源连接访问DWS数据请参考《跨源分析开发方式参考》。

与 数据治理中心 （ DataArts Studio ）的关系 在 数据治理 中心DataArts Studio中，数据开发是一个一站式的大数据协同开发平台，提供全托管的大数据调度能力。它可管理多种大数据服务，极大降低用户使用大数据的门槛，帮助用户快速构建大数据处理中心。 通过数据治理中心的DLI SQL节点传递SQL语句到DLI中执行，请参考《DLI SQL》。 通过数据治理中心的DLI Flink Job节点执行一个预先定义的DLI作业，请参考《DLI Flink Job》。 通过数据治理中心的DLI Spark节点执行一个预先定义的Spark作业，请参考《DLI Spark》。

弹性资源池产品规格 弹性资源池为DLI作业运行提供所需的计算资源（CPU和内存）。弹性资源池的单位为CU，1CU包含1CPU和4GB内存。 您可以在弹性资源池中创建多个队列， 队列之间的计算资源支持共享。 通过合理设置队列的计算资源池分配策略，提高计算资源利用率。 DLI弹性资源池之间为物理集群隔离，同一个弹性资源池中的队列之间为逻辑隔离。 建议您对测试业务场景和生产业务场景分别创建弹性资源池，通过资源物理隔离的方式，保障资源管理的独立性和安全性。 DLI提供的弹性资源池规格如表1所示。 表1 弹性资源池规格 类型 规格 约束限制 适用场景 基础版 16-64CUs规格 不支持高可靠与高可用。 不支持设置队列属性和作业优先级。 不支持对接Notebook实例。 其他弹性资源池使用相关约束限制请参考弹性资源池使用约束限制。 适用于对资源消耗不高、对资源高可靠性和高可用性要求不高的测试场景。 标准版 64CUs及以上规格 弹性资源池使用相关约束限制请参考弹性资源池使用约束限制。 具备强大的计算能力、高可用性、及灵活的资源管理能力，适用于大规模计算任务场景和有长期资源规划需求的业务场景。

弹性资源池约束限制 更多弹性资源池约束限制请参考弹性资源池使用约束限制。 表1 弹性资源池约束限制 限制项 说明 资源规格 当前弹性资源池最大的计算资源 32000CUs。 弹性资源池中可创建队列的最小CU： 通用队列：4CUs SQL队列：Spark SQL队列：8CUs；HetuEngine SQL队列：16CUs 弹性资源池计费模式 弹性资源池支持按需和包年包月的购买方式。 不支持切换弹性资源池的计费模式。 当前仅支持包年包月计费模式的弹性资源池进行规格变更。 按需计费的弹性资源池默认勾选专属资源模式，自创建起按自然小时收费。 管理弹性资源池 弹性资源池不支持切换区域。 Flink 1.10及其以上版本的作业支持在弹性资源池运行。 弹性资源池网段设置后不支持更改。 仅支持查看30天以内的弹性资源池扩缩容历史。 弹性资源池无法直接访问公网。 弹性资源池关联队列 弹性资源池关联队列： 仅支持关联按需计费模式的队列（包括专属队列）。 队列和弹性资源池状态正常，资源未被冻结。 弹性资源池扩缩容 弹性资源池CU设置、弹性资源池中添加/删除队列、修改弹性资源池中队列的扩缩容策略、系统自动触发弹性资源池扩缩容时都会引起弹性资源池CU的变化，部分情况下系统无法保证按计划扩容/缩容至目标CUs： 弹性资源池扩容时，可能会由于物理资源不足导致弹性资源池无法扩容到设定的目标大小。 弹性资源池缩容时，系统不保证将队列资源完全缩容到设定的目标大小。 在执行缩容任务时，系统会先检查资源使用情况，判断是否存在缩容空间，如果现有资源无法按照最小缩容步长执行缩容任务，则弹性资源池可能缩容不成功，或缩容一部分规格的情况。 因资源规格不同可能有不同的缩容步长，通常是16CUs、32CUs、48CUs、64CUs等。 示例：弹性资源池规格为192CUs，资源池中的队列执行作业占用了68CUs，计划缩容至64CUs。 执行缩容任务时，系统判断剩余124CUs，按64CUs的缩容步长执行缩容任务，剩余60CUs资源无法继续缩容，因此弹性资源池执行缩容任务后规格为128CUs。

队列使用约束限制 更多队列使用约束限制请参考队列使用约束限制。 表2 队列使用约束限制 限制项 说明 资源类型 队列类型： default队列：DLI服务预置了名为“default”的队列供用户体验，资源的大小按需分配。运行作业时按照用户每个作业的数据扫描量（单位为“GB”）收取计算费用。 SQL类型队列：SQL队列支持提交Spark SQL作业。 通用队列：支持Spark程序、Flink SQL、Flink Jar作业。 不支持队列类型切换，如需使用其他队列类型，请重新购买新的队列。 管理队列 不支持切换队列的计费模式。 队列不支持切换区域。 创建队列时（非弹性资源池模式的队列），仅支持包年包月队列和按需专属队列选择跨AZ双活，且跨AZ的队列价格为单AZ模式下的2倍。 DLI队列不支持访问公网。 队列扩缩容 16CUs队列不支持扩容和缩容。 64CUs队列不支持缩容。 新创建的队列需要运行作业后才可进行扩缩容。

增强型跨源连接约束限制 更多增强型跨源连接约束限制请参考增强型跨源连接概述。 表7 增强型跨源连接约束限制 限制项 说明 适用场景约束限制 在同一队列中，如果同时使用了经典型跨源连接和增强型跨源连接，则经典型跨源连接优先于增强型跨源连接。推荐使用增强型跨源连接。 DLI提供的default队列不支持创建跨源连接。 Flink作业访问DIS，OBS和 SMN 数据源，无需创建跨源连接，可以直接访问。 增强型跨源仅支持包年包月队列、按需计费模式下的专属队列。 权限要求 增强型跨源连接需要使用VPC、子网、路由、对等连接功能，因此需要获得VPC（虚拟私有云）的VPC Administrator权限。 可在服务授权中进行设置。 使用约束限制 使用DLI增强型跨源时，弹性资源池/队列的网段与数据源网段不能重合。 访问跨源表需要使用已经创建跨源连接的队列。 跨源表不支持Preview预览功能。 检测连通性要求 检测跨源连接的连通性时对IP约束限制如下： IP必须为合法的IP地址，用“.”分隔的4个十进制数，范围是0-255。 测试时IP地址后可选择添加端口，用":"隔开，端口最大限制5位，端口范围：0~65535。 例如192.168.xx.xx或者192.168.xx.xx:8181。 检测跨源连接的连通性时对 域名 约束限制如下： 域名的限制长度为1到255的字符串，并且组成必须是字母、数字、下划线或者短横线。 域名的顶级域名至少包含两个及以上的字母，例如.com，.net，.cn等。 测试时域名后可选择添加端口，用":"隔开，端口最大限制为5位，端口范围：0~65535。 例如example.com:8080。

DLI套餐包使用约束限制 表4 DLI套餐包使用约束限制 限制项 说明 区域限制 套餐包购买后区域固定无法更换，购买的套餐只能在绑定的区域使用，不能在非绑定区域使用。 使用限制 套餐包购买后不支持退订。 计费时优先使用套餐中的资源，套餐中资源使用完后，超出部分按需付费。 套餐包不支持抵扣已使用的资源。 套餐包到期后，按需资源不会自动关闭，将会以按需付费的方式继续使用。 存储套餐的额度每个小时会重置。其他类型套餐包额度按月重置。

DLI资源相关约束限制 更多资源相关约束限制请参考数据管理。 表5 DLI资源相关约束限制 限制项 说明 数据库 “default”为内置数据库，不能创建名为“default”的数据库。 DLI支持创建的数据库的最大数量为50个。 数据表 DLI支持创建的表的最大数量为5000个。 DLI支持创建表类型： Managed：数据存储位置为DLI的表。 External：数据存储位置为OBS的表。 View：视图，视图只能通过SQL语句创建。 跨源表：表类型同样为External。 创建DLI表时不支持指定存储路径。 数据导入 仅支持将OBS上的数据导入DLI或OBS中。 支持将OBS中CSV，Parquet，ORC，JSON和Avro格式的数据导入到在DLI中创建的表。 将CSV格式数据导入分区表，需在数据源中将分区列放在最后一列。 导入数据的编码格式仅支持UTF-8。 数据导出 只支持将DLI表（表类型为“Managed”）中的数据导出到OBS桶中，且导出的路径必须指定到文件夹级别。 导出文件格式为json格式，且文本格式仅支持UTF-8。 支持跨账号导出数据，即B账户对A账户授权后，A账户拥有B账户OBS桶的元数据信息和权限信息的读取权限，以及路径的读写权限，则A账户可将数据导出至B账户的OBS路径中。

跨源认证使用约束限制 更多跨源认证约束限制请参考跨源认证简介。 表8 跨源认证约束限制 限制项 说明 适用场景约束限制 仅Spark SQL、和Flink OpenSource SQL 1.12版本的作业支持使用跨源认证。 仅在2023年5月1日后创建的队列，支持Flink作业使用跨源认证。 跨源认证类型 DLI支持四种类型的跨源认证，不同的数据源按需选择相应的认证类型。 CSS类型跨源认证：适用于“6.5.4”及以上版本的CSS集群且集群已开启安全模式。 Kerberos类型的跨源认证：适用于开启Kerberos认证的MRS安全集群。 Kafka_SSL类型的跨源认证：适用于开启SSL的Kafka。 Password类型的跨源认证：适用于DWS、RDS、DDS、DCS数据源。

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的 云安全 挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

异构数据源联邦分析 车企数字化服务转型 面临市场新的竞争压力及出行服务不断变革，车企通过构建车联云平台和车机OS，将互联网应用与用车场景打通，完成车企数字化服务转型，从而为车主提供更好的智联出行体验，增加车企竞争力，促进销量增长。例如：通过对车辆日常指标数据（电池、发动机，轮胎胎压、安全气囊等健康状态）的采集和分析，及时将维保建议回馈给车主。 优势 多源数据分析免搬迁：关系型数据库RDS中存放车辆和车主基本信息，表格存储CloudTable中存放实时的车辆位置和健康状态信息， 数据仓库 DWS中存放周期性统计的指标。通过DLI无需数据搬迁，对多数据源进行联邦分析。 数据分级存储：车企需要保留全量历史数据支撑审计类等业务，低频进行访问。温冷数据存放在低成本的对象存储服务OBS上，高频访问的热数据存放在数据引擎（CloudTable和DWS）中，降低整体存储成本。 告警快速敏捷触发服务器弹性伸缩：对CPU、内存、硬盘空间和带宽无特殊要求。 建议搭配以下服务使用 DIS、 CDM 、OBS、DWS、RDS、CloudTable 图2 车企数字化服务转型

大数据ETL处理 运营商大数据分析 运营商数据体量在PB~EB级，其数据种类多，有结构化的基站信息数据，非结构化的消息通信数据，同时对数据的时效性有很高的要求，DLI服务提供批处理、流处理等多模引擎，打破数据孤岛进行统一的数据分析。 优势 大数据ETL：具备TB~EB级运营商数据治理能力，能快速将海量运营商数据做ETL处理，为分布式批处理计算提供分布式数据集。 高吞吐低时延：采用Apache Flink的Dataflow模型，高性能计算资源，从用户自建的Kafka、MRS-Kafka、DMS-Kafka消费数据，单CU每秒吞吐1千~2万条消息。 细粒度权限管理：P公司内部有N个子部门，子部门之间需要对数据进行共享和隔离。DLI支持计算资源按租户隔离，保障作业SLA；支持数据权限控制到表/列，帮助企业实现部门间数据共享和权限管理。 建议搭配以下服务使用 OBS、DIS、DataArts Studio 图3 运营商大数据分析