华为云用户手册

操作流程 操作步骤 说明 准备工作 使用云服务前，您需要 注册华为账号 并开通华为云、完成实名认证、为账户充值。 步骤一：跨境申请 中国大陆区的VPC需要与中国大陆区外的VPC进行通信时，先要进行跨境申请，提交您的基本资料，保障跨境业务的安全性。 如果用户的网络规划中不涉及跨大区的通信时，则无需操作本步骤。 步骤二：创建云连接实例 创建一个云连接实例，用于加载VPC实例。 步骤三：加载网络实例 用户需要根据规划的网络连通情况，将需要互通的VPC实例加载到云连接实例中。 步骤四：购买带宽包 为了实现相同大区不同区域或不同大区之间的互通，用户需要先购买带宽包，绑定到对应的云连接实例中，并配置域间带宽以保证业务正常使用。 步骤五：配置域间带宽

入门指引 云连接服务，构建跨区域VPC之间以及云上多VPC与云下多数据中心之间的高速、优质、稳定的网络能力，帮助用户打造一张具有企业级规模和通信能力的全球云上网络。云连接服务的应用场景及操作指引如表1所示。 表1 云连接服务的应用场景及操作指引 应用场景 具体操作指引 云上同区域VPC互通 通过云连接实例实现同区域VPC互通 云上跨区域VPC互通 通过云连接实例实现跨区域VPC互通 通过中心网络和企业路由器实现跨区域VPC互通 云下数据中心与云上VPC互通 通过云连接实例和云专线实现云下数据中心与云上VPC互通

步骤二：加载网络实例 用户需要根据规划的网络连通情况，将需要进行互通的VPC实例加载到创建的云连接实例中。 进入云连接实例列表页面。 单击目标云连接实例名称，进入基本信息页面。 单击“网络实例”页签。 单击“加载网络实例”，在弹出的对话框中加载同账号网络实例。 根据表2填写对应参数后，单击“确定”。 图2 加载同账号网络实例 表2 加载同账号网络实例参数 参数 说明 账号 加载的网络实例的账号类型。 这里选择同账号。 区域 需要连接的VPC所在区域。 实例类型 需要加载到云连接实例中实现互通的实例类型。包括： 虚拟私有云（VPC） 虚拟网关（VGW） 这里选择虚拟私有云（VPC）。 VPC 需要加载到云连接实例中实现网络互通的VPC名称。 当实例类型参数选择虚拟私有云时，需要配置此参数。 VPC CIDRs 需要加载到云连接实例中实现网络互通的VPC内的网段路由。 当实例类型参数选择虚拟私有云时，需配置以下两个参数： 子网 其他网段：其中包含自定义网段的配置 备注 加载同账号网络实例备注信息。 在弹出加载成功的对话框中，如果需要继续加载网络实例，在对话框中单击“继续加载”。不需要加载可以关闭弹窗，在网络实例页签中查看已加载的网络实例信息。

步骤一：创建云连接实例 进入云连接实例列表页面。 单击页面右上方的“创建云连接”。 在弹出的对话框中根据表1填写对应参数。 表1 创建云连接实例参数 参数 说明 名称 云连接实例的名称。 长度为1~64个字符，中、英文字母，数字，下划线，中划线，点。 企业项目 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 使用场景 虚拟私有云：选择虚拟私有云场景时，网络实例类型支持选择虚拟私有云（VPC）和虚拟网关（VGW）。 标签 云连接实例的标识，包括键和值。可以为云连接实例创建20个标签。 说明： 如果已经通过TMS的预定义标签功能预先创建了标签，则可以直接选择对应的标签键和值。 预定义标签的详细内容，请参见预定义标签简介。 描述 云连接实例的描述。 长度为0~255个字符。 单击“确定”，完成云连接实例的创建。

跨VPC互通 实践 描述 跨区域VPC互通 通过云连接实例，将两个区域的VPC建立连接，使得两地的数据中心网络可以互访，同时可无障碍的访问VPC之上的业务系统。 基于云连接服务实现跨区域多VPC互通 通过云连接实例来实现跨区域多VPC互通，为跨区域的多虚拟私有云（VPC）互通的业务提供安全，稳定，高性能，高可靠的网络。 基于云连接和对等连接实现云上多区域同业务VPC互通 通过配置VPC对等连接和云连接实例，实现多个区域的同业务VPC互通。

流程简介 当多个区域的VPC进行跨区域的私网通信时，需要先创建一个云连接实例，然后在创建的云连接实例中加载需要互通的VPC实例，如果涉及跨账号的VPC互联，需要跨账号授权网络实例，加载跨账号网络实例。然后购买大区内互通的带宽包，最后配置需要连通区域之间的域间带宽。如果其中有涉及到中国大陆地区外的VPC，需要和中国大陆区的VPC实现互通，则在购买带宽包前，需要进行跨境申请，保证您传输数据的合规性。 如图1所示。 图1 跨区域跨账号互通 入门流程如图2所示。 图2 云连接流程图

方案架构 为了实现业务的就近接入，XX企业在华为云区域A、区域B以及区域C内均部署了业务，承载业务的不同VPC之间需要网络互通。 在三个区域中，分别创建三个企业路由器ER，包括区域A的ER-A、区域B的ER-B以及区域C的ER-C。 创建云连接中心网络，并在云连接中心网络中加入ER-A、ER-B以及ER-C，连通不同区域的企业路由器。 在区域A内，将VPC-A01和VPC-A02接入ER内，实现同区域内VPC互通。在区域B和区域C进行同样的操作。最终，通过中心网络和企业路由器，实现不同区域的VPC网络互通。 图1 跨区域VPC互通组网 您可以使用企业路由器的共享功能，将不同账号下的虚拟私有云添加至同一个企业路由器中构建组网。

问题现象 此错误一般出现在JVM的标准输出中。Profiler功能进行CPU热点采样时，会同时采集Native（Linux Kernel + JVM + C/C++）以及Java栈，采集Native栈需要对Java中每个线程的perf_event的fd进行MMap，Linux内核中限制了进程perf_event相关的MMap的总内存大小（默认516 K Bytes）。当Java中线程数较多时，会触发限制并在Java标准输出中打印警告信息perf_event mmap failed...。出现这个告警信息，对Java的运行没有副作用，对业务也没有影响，实际的影响是火焰图中看不到Native的栈。一般来说定位CPU热点问题时，只看Java方法栈就够了，您可以忽略此告警。

问题现象 报错信息：java.lang.UnsatisfiedLinkError: /jre/lib/amd64/libfontmanager.so: /apm-javaagent-profiler/apm-javaagent/native-agent/x86/libz.so.1: version `ZLIB_1.2.9' not found (required by /usr/lib64/libpng16.so.16) 这个错误出现在服务日志中，服务程序调用JDK的libfontmanager.so中的方法。出现该错误的原因是由于该so依赖libz.so.1的1.2.9版本，与javaagent中的libz.so.1版本不兼容。

问题现象 CPU Profiler依赖perf_event_open的系统调用，但因为Linux kernel的Syscall安全策略（seccomp）控制，可能会禁止进程调用特定Syscall。 错误提示如下： [ERROR] xxxx Failed to execute 'start,jfr=7,jstackdepth=100,threads=true,event=cpu,interval=50ms,alloc=512k,wall=50ms,file=xxxx.jfr' [ERROR] xxxx Failed to start Continuous Profile Collector [ERROR] xxxx No access to perf events. Try --fdtransfer or --all-user option or 'sysctl kernel.perf_event_paranoid=1'

兼容性评估 华为HCE操作系统已具备完整代替CentOS的技术能力，完全自主可控，并基于openEuler开源社区持续自主演进。南向支持6大类400种板卡，基本覆盖主流计算产品。北向100%兼容主流的应用场景（云原生、存储、数据库、大数据、WEB等）。超过5000种应用软件通过兼容性认证，基本能够替代CentOS的各种部署。 为满足CentOS系列到HCE搬迁的准确性和安全性，请您使用兼容性工具对待迁移软件快速进行扫描，获取评估结果。 对于可兼容的应用软件，迁移过程中并不会修改软件配置，迁移完成后无需重新配置；对于部分不兼容的应用软件，评估报告给出相应的规避策略，请在迁移之后进行相应的适配。

迁移能力评估 HCE已有成熟的搬迁指导，按照分布式集群应用、主备应用、单机应用三种类型对各种应用进行归类，并制定相应的搬迁方案： 针对分布式集群软件，如大数据、分布式存储。CentOS搬迁无需中断业务， 基于分布式软件伸缩扩容机制，HCE实现滚动代替，平滑搬迁。 针对主备应用，如数据库等。CentOS搬迁无需中断业务，先备后主，基于主备状态同步机制，平滑搬迁。 针对单机应用，CentOS搬迁需中断业务，割接式搬迁，该类搬迁方案和原应用重新部署方式等同，属于成熟方案。 华为云提供两步切换至HCE操作系统实践，本实践带您体验从CentOS迁移到Huawei Cloud EulerOS 2.0的完整过程，开发者可直接体验兼容评估和迁移能力评估。

背景信息 CentOS 8系统2021年12月31日已停止维护服务，CentOS 7系统将于2024年06月30日停止维护服务。CentOS不再支持新的软件和补丁更新。CentOS用户现有业务随时面临宕机和安全风险，并无法确保及时恢复。 HCE操作系统从云原生混部竞争力、安全可信、快速迁移、高效运维、专业认证等方面为用户提供专业云服务、解决CentOS停服带来的影响。HCE提供了迁移工具，可将CentOS、EulerOS等操作系统平滑迁移至HCE操作系统。

应对策略 为了保障使用CentOS系统的业务正常运行，华为云为您提供替换CentOS操作系统的应对策略。替换CentOS操作系统的方式分为两类，切换操作系统和迁移操作系统。 切换到Debian或Ubuntu具体操作、详见切换操作系统。 将CentOS操作系统切换为支持切换的操作系统。 如果现有的E CS 配置（网卡、磁盘、VPN等配置的类型和数量）都不需要改变，仅需要修改ECS的操作系统镜像，并且您的软件和原操作系统耦合度较低，建议使用系统切换。 切换到Huawei Cloud EulerOS具体操作，详见将操作系统切换为HCE。 切换到Debian或Ubuntu具体操作、详见切换操作系统。 将CentOS操作系统迁移为Huawei Cloud EulerOS操作系统。 如果现有的ECS配置（网卡、磁盘、VPN等配置的类型和数量）都不需要改变，希望保留操作系统软件的配置参数，可以通过操作系统迁移的方式迁移到Huawei Cloud EulerOS。 系统迁移详见将操作系统迁移为HCE。 系统切换和迁移的区别如下表，请根据需要选择合适的替换方式。 表1 系统切换和迁移的区别 区别 系统切换 系统迁移 数据备份 切换操作系统会清除系统盘数据，包括系统盘上的系统分区和所有其它分区。 切换操作系统不影响数据盘数据。 迁移操作系统不会清除系统盘数据，为避免系统软件的数据丢失，建议将其备份。 迁移操作系统不影响数据盘数据。 个性化设置 切换操作系统后，当前操作系统内的个性化设置（如DNS、主机名等）将被重置，需重新配置。 迁移操作系统后，当前操作系统内的个性化设置（如DNS、主机名等）不需重新配置。 表2 支持切换的操作系统 操作系统 概述 适用人群 Huawei Cloud EulerOS Huawei Cloud EulerOS（简称HCE）是基于openEuler构建的云上操作系统。 HCE打造云原生、高性能、高安全、易迁移等能力，加速用户业务上云，提升用户的应用创新空间，可替代CentOS、EulerOS等公共镜像。 适用于希望使用免费镜像，并延续开源社区镜像使用习惯的个人或企业。 Debian、Ubuntu操作系统 Linux的其他发行版操作系统，不同操作系统在使用习惯和应用兼容性上存在一定差异。 适用于可以自行应对操作系统切换成本的个人或企业。

背景信息 2020年12月08日，CentOS官方宣布了停止维护CentOS Linux的计划，并推出了CentOS Stream项目。更多信息，请参见CentOS官方公告。 CentOS 8系统2021年12月31日已停止维护服务，CentOS 7系统将于2024年06月30日停止维护服务。CentOS官方不再提供CentOS 9及后续版本，不再支持新的软件和补丁更新。CentOS用户现有业务随时面临宕机和安全风险，并无法确保及时恢复。

影响 基于CentOS官方的变更计划，对CentOS操作系统的使用者产生的影响如下所述： 2021年12月31日以后，CentOS 8的使用者将无法获得包括问题修复和功能更新在内的任何软件维护和支持。 2024年06月30日以后，CentOS 7的使用者将无法获得包括问题修复和功能更新在内的任何软件维护和支持。 对于华为云的公共镜像及服务支持存在一定影响： 华为云暂不会下线CentOS 8公共镜像，同时已经使用CentOS 8创建的ECS实例运行不会受到影响，但将停止更新镜像。 华为云对于CentOS操作系统的服务支持将和CentOS官方日期保持同步。2021年12月31日以后将不再对CentOS 8提供服务支持；对CentOS 7的服务支持将持续至2024年6月30日。

Huawei Cloud EulerOS、openEuler和EulerOS镜像的主要区别是什么？ Huawei Cloud EulerOS、openEuler和EulerOS镜像均为华为自研镜像，主要区别如下表 1所示： 表1 Huawei Cloud EulerOS、openEuler和EulerOS镜像的区别与联系 镜像类型 描述 Huawei Cloud EulerOS（简称HCE） Huawei Cloud EulerOS（简称HCE），是基于openEuler开发的一款商业发行版镜像，可替代CentOS、EulerOS等操作系统，并提供专业的维护保障能力，镜像目前免费对用户使用。 说明： Huawei Cloud EulerOS 2.0是基于openEuler 22.03 LTS版本构建的云上操作系统。 openEuler openEuler是一款开源镜像，您可以免费使用，但是不提供商业维护保障能力。openEuler最初由华为研发，但是已经在2021年11月9日正式捐赠给开放原子开源基金会，openEuler的技术支持由开源社区提供。 EulerOS EulerOS是基于开源技术的企业级Linux操作系统软件，具备高安全性、高可扩展性、高性能等技术特性，能够满足客户IT基础设施和云计算服务等多业务场景需求。 说明： EulerOS是基于开源操作系统openEuler进行开发的华为内部的操作系统。

操作步骤 打开配置文件/boot/grub2/grub.cfg，删除selinux=0。 执行touch /.autorelabel命令。 /.autorelabel文件将触发OS在启动过程中对磁盘上所有文件relabel重新打selinux标签，该过程可能需要持续几分钟。relabel完成后OS将自动重启一次并生效，同时自动删除/.autorelabel文件确保下次不会再重复执行relabel动作。 打开配置文件/etc/selinux/config，设置SELINUX=permissive，并执行reboot重启操作系统。 再次打开配置文件/etc/selinux/config，设置SELINUX=enforcing，并执行reboot重启操作系统。 重启后执行getenforce命令查看SElinux状态。 显示Enforcing表示SElinux已经开启。

在x86架构安装mlnx驱动 下载CX6网卡驱动安装包MLNX_OFED_LINUX-23.10-1.1.9.0-openeuler22.03-x86_64.tgz。 解压驱动安装包并进入工作目录。 tar -xf MLNX_OFED_LINUX-23.10-1.1.9.0-openeuler22.03-x86_64.tgz cd MLNX_OFED_LINUX-23.10-1.1.9.0-openeuler22.03-x86_64 安装CX6网卡驱动软件。 ./mlnxofedinstall --basic --without-depcheck --distro OPENEULER22.03 --force --kernel 5.10.0-60.18.0.50.oe2203.x86_64 --kernel-sources /lib/modules/$(uname -r)/build 其中，“5.10.0-60.18.0.50.oe2203.x86_64“是官方MLNX_OFED包本身编译时的内核版本。 创建链接。 ln -s /lib/modules/5.10.0-60.18.0.50.oe2203.x86_64/extra/mlnx-ofa_kernel /lib/modules/$(uname -r)/weak-updates/ ln -s /lib/modules/5.10.0-60.18.0.50.oe2203.x86_64/extra/kernel-mft /lib/modules/$(uname -r)/weak-updates/ depmod -a 执行reboot命令重新系统。 执行/etc/init.d/openibd status命令查看驱动安装结果。 显示如下信息表示驱动安装成功。

在Arm架构安装mlnx驱动 下载CX6网卡驱动安装包MLNX_OFED_LINUX-23.10-1.1.9.0-openeuler22.03-aarch64.tgz。 解压驱动安装包并进入工作目录。 tar -xf MLNX_OFED_LINUX-23.10-1.1.9.0-openeuler22.03-aarch64.tgz cd MLNX_OFED_LINUX-23.10-1.1.9.0-openeuler22.03-aarch64 安装CX6网卡驱动软件。 ./mlnxofedinstall --basic --without-depcheck --distro OPENEULER22.03 --force --kernel 5.10.0-60.18.0.50.oe2203.aarch64 --kernel-sources /lib/modules/$(uname -r)/build 其中，“5.10.0-60.18.0.50.oe2203.aarch64”是官方MLNX_OFED包本身编译时的内核版本。 执行如下命令创建链接。 ln -s /lib/modules/5.10.0-60.18.0.50.oe2203.aarch64/extra/mlnx-ofa_kernel /lib/modules/$(uname -r)/weak-updates/ ln -s /lib/modules/5.10.0-60.18.0.50.oe2203.aarch64/extra/kernel-mft /lib/modules/$(uname -r)/weak-updates/ depmod -a 执行reboot命令重新系统。 执行/etc/init.d/openibd status命令查看驱动安装结果。 显示如下信息表示驱动安装成功。

基本概念 表1 基本概念 概念 说明 身份提供商（Identity Provider，简称IdP） 负责收集、存储用户身份信息，如用户名、密码等，在用户登录时负责认证用户的服务。在企业与华为云联邦身份认证的过程中，身份提供商指企业自身的身份提供商，目前常用的第三方IdP有Microsoft Active Directory（AD FS）、Shibboleth。 服务提供商（Service Provider，简称SP） 服务提供商通过与身份提供商IdP建立信任关系，使用IdP提供的用户信息，为用户提供具体的服务。在企业与华为云联邦身份认证的过程中，服务提供商指华为云。 联邦身份认证 身份提供商IdP与服务提供商SP建立信任关系并完成交互流程，实现用户单点登录的过程，称之为联邦身份认证。 单点登录（Single Sign-On，简称SSO） 用户在身份提供商IdP系统登录后，就可以通过跳转链接访问已建立互信关系的服务提供商SP系统，这一过程称之为单点登录。如：企业管理系统与华为云建立互信关系后，企业管理系统中的用户通过华为云提供的登录入口，使用已有的账号密码在企业管理系统中登录后，即可跳转访问华为云。华为云支持两类单点登录方式，分别是虚拟用户SSO和 IAM 用户SSO。 SAML 2.0 安全断言标记语言（Security Assertion Markup Language 2.0，缩写为SAML 2.0）是一个由一组协议组成，用来传输安全声明的XML框架。SAML2.0是由标准化组织OASIS提出的用于安全操作的标准，是很多身份提供商 （IdP）使用的一种开放标准，关于SAML2.0的详细描述请参见：SAML 2.0技术概述。IAM支持使用SAML2.0协议进行联邦身份认证，因此与华为云建立联邦身份认证的企业IdP必须支持SAML2.0协议。 OIDC OIDC是OpenID Connect的简称，是一个基于OAuth 2.0协议的身份认证标准协议。IAM支持使用OIDC1.0协议进行联邦身份认证，因此与华为云建立联邦身份认证的企业IdP必须支持OIDC 1.0协议。关于OIDC的详细描述请参见：欢迎使用OpenID Connect。 OAuth 2.0 OAuth 2.0是Open Authorization 2.0的简称，是一种开放授权协议，授权框架支持第三方应用程序以自己的名义获取访问权限。

SSO方式 目前IAM支持两类SSO方式，分别是虚拟用户SSO和IAM用户SSO。选择SSO方式请参见虚拟用户SSO与IAM用户SSO的适用场景。 虚拟用户SSO 企业IdP用户登录华为云后，系统为其自动创建虚拟用户信息，并根据您配置的身份转换规则为其授予访问权限。 IAM用户SSO 企业IdP用户登录华为云后，系统将自动匹配外部身份ID绑定的对应IAM子用户，从而拥有该子用户所在用户组的权限。 目前IAM支持两种联邦登录的形式，分别是浏览器页面单点登录（Web SSO）和调用API接口。 浏览器页面单点登录（Web SSO）：浏览器作为通讯媒介，适用于普通用户通过浏览器访问华为云。您可以从IdP侧或SP侧发起Web SSO： IdP侧发起登录：配置企业管理系统登录入口后，通过企业管理系统单点登录华为云。 SP侧发起登录：通过华为云提供的企业联邦用户登录入口，输入对应华为云用户名称，选择身份提供商，跳转至企业管理系统进行登录认证。 调用API接口：开发工具/应用程序作为通讯媒介，例如OpenStack Client、ShibbolethECP Client，适用于企业或用户通过API调用方式访问华为云。 表2 联邦认证方式 SSO方式 支持协议 是否支持Web SSO 是否支持API调用 从IdP侧发起登录 从SP侧发起登录 多个IdP 虚拟用户SSO SAML 2.0与OIDC 是 是 支持 支持 支持 IAM用户SSO SAML 2.0 是 是 支持 支持 不支持

注意事项 企业IdP服务器的时间需要和华为云的时间、时区一致，即都使用GMT时间（Greenwich Mean Time），否则会导致联邦身份认证失败。 由于联邦用户的身份信息（如邮件地址、手机号码）保存在企业IdP中，是企业IdP映射到华为云的虚拟用户，因此，联邦用户通过身份提供商功能访问华为云时有以下约束： 如果账号开启了敏感操作保护（登录保护或操作保护），对联邦用户不生效，即联邦用户在执行敏感操作时，不需要二次验证。 不支持创建永久访问密钥（AK/SK），支持通过用户或委托token来获取临时访问凭证（临时AK/SK和securitytoken），具体方法请参见：获取临时AK/SK和securitytoken。 如需使用永久AK/SK，只能由账号或是实体IAM用户创建密钥，共享给联邦用户。由于密钥表示用户所拥有的权限，因此建议由与联邦用户同在一个用户组的实体IAM用户创建并分享密钥。

使用联邦身份认证的优势 管理用户简单 使用联邦身份认证前，管理员需要在企业管理系统和华为云分别为用户创建账号。 使用联邦身份认证后，企业管理员只需要在企业管理系统中为用户创建账号，用户即可同时访问两个系统，降低了人员管理成本。 用户操作方便 使用联邦身份认证前，用户访问企业管理系统和华为云时需要使用两个系统的账号登录。 使用联邦身份认证后，用户在本企业管理系统中登录即可访问两个系统。 图1 使用联邦身份认证的优势

条件（Condition） 条件键（Condition）是SCP生效的特定条件，包括条件键和运算符。 条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。 服务级条件键（前缀通常为服务缩写，如ecs:）仅适用于对应服务的操作，详情请参见表4。 单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个 VPC终端节点 发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。 运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：运算符。 ECS定义了以下可以在SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。 表4 ECS支持的服务级条件键 服务级条件键 类型 单值/多值 说明 ecs:imageID string 多值 根据请求参数中指定的镜像ID过滤访问。 ecs:FlavorId string 多值 根据请求参数中指定的规格ID过滤访问。 ecs:VpcId string 多值 根据请求参数中指定的网络ID过滤访问。 ecs:SubnetId string 多值 根据请求参数中指定的子网ID过滤访问。 ecs:KmsKeyId string 多值 根据请求参数中指定的加密密钥ID过滤访问。 ecs:ServerId string 单值 根据云服务器ID过滤访问。 ecs:SSHKeyPairName string 单值 根据请求参数中指定的SSH密钥对的名称过滤访问。 ecs:AvailabilityZone string 单值 根据请求参数中指定的可用区名称过滤访问。 ecs:PortId string 多值 根据请求参数中指定的portId过滤访问。 ecs:SupportAgentType string 多值 根据请求中指定的agent类型过滤访问。 ecs:ImageSupportAgentType string 多值 根据请求中指定的镜像支持的agent类型过滤访问。 ecs:VolumeId string 单值 根据请求中指定的卷ID过滤访问。 ecs:ImageType string 单值 根据请求中指定镜像的类型过滤访问（如：公共镜像、私有镜像、共享镜像、市场镜像）。 ecs:OsType string 单值 根据请求中指定镜像的操作系统类型过滤访问（如：Linux、Windows）。 ecs:OsVersion string 单值 根据请求中指定镜像的操作系统版本过滤访问（如：CentOS 7.3 64bit）。 ecs:ImagePlatform string 单值 根据请求中指定镜像的平台过滤访问（如：Windows、Ubuntu、Red Hat、SUSE、CentOS）。

支持审计的关键操作 通过 云审计 服务，您可以记录与组织云服务相关的操作事件，便于日后的查询、审计和回溯。 表1 云审计支持的Organizations操作列表 操作名称 资源类型 事件名称 创建组织 Organization createOrganization 关闭组织 Organization celeteOrganization 退出组织 Organization leaveOrganization 创建组织单元 OrganizationUnit createOrganizationalUnit 修改组织单元 OrganizationUnit updateOrganizationalUnit 删除组织单元 OrganizationUnit deleteOrganizationalUnit 邀请账号 Account inviteAccount 创建账号 Account createAccount 关闭账号 Account closeAccount 更新账号 Account updateAccount 移动账号 Account moveAccount 移除账号 Account removeAccount 接受邀请 Handshake acceptHandshake 拒绝邀请 Handshake declineHandshake 取消邀请 Handshake cancelHandshake 启用可信服务 TrustedService enableTrustedService 禁用可信服务 TrustedService disableTrustedService 设置委托管理员 DelegatedAdministrator registerDelegatedAdministrator 取消委托管理员 DelegatedAdministrator deregisterDelegatedAdministrator 创建策略 Policy createPolicy 修改策略 Policy updatePolicy 删除策略 Policy deletePolicy 启用策略类型 Policy enablePolicyType 禁用策略类型 Policy disablePolicyType 绑定策略 Policy attachPolicy 解绑策略 Policy detachPolicy 添加标签 Account OrganizationUnit Policy Root Tag tagResource 删除标签 Account OrganizationUnit Policy Root Tag untagResource 父主题： 使用 CTS 审计组织操作事件

条件（Condition） 条件（Condition）是SCP生效的特定条件，包括条件键和运算符。 条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。 服务级条件键（前缀为服务缩写，如evs:）仅适用于对应服务的操作，详情请参见表4。 单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个VPC终端节点发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。 运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：运算符。 EVS定义了以下可以在自定义SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。 表4 EVS支持的服务级条件键 服务级条件键 类型 单值/多值 说明 evs:Encrypted boolean 单值 根据云硬盘是否加密过滤访问。 evs:KmsKeyId string 单值 根据云硬盘的密钥ID过滤访问。 evs:ImageId string 单值 根据镜像ID过滤访问。 evs:BackupId string 单值 根据备份ID过滤访问。 evs:SnapshotId string 单值 根据快照ID过滤访问。 evs:AvailabilityZone string 单值 根据云硬盘的可用区过滤访问。 evs:SourceAvailabilityZone string 单值 根据源AZ过滤访问。 evs:VolumeType string 单值 根据云硬盘的类型过滤访问。 evs:VolumeSize numeric 单值 根据云硬盘的大小过滤访问。 evs:VolumeIops numeric 单值 根据云硬盘的IOPS过滤访问。 evs:VolumeThroughput numeric 单值 根据云硬盘的吞吐量过滤访问。 evs:ChargingMode string 单值 根据云硬盘的计费模式过滤访问。 evs:ServerServiceType string 单值 根据云服务器服务类型过滤访问。 evs:VolumeId string 单值 根据云硬盘ID过滤访问。

管理与监管 序号 服务名称 相关文档 1 消息通知 服务（ SMN ） 消息通知服务 SMN 2 云日志 服务（LTS） 云日志服务 LTS 3 统一身份认证 （IAM） 统一身份认证 IAM 4 安全令牌服务（STS） 安全令牌服务 STS 5 资源编排 服务（ RFS ） 资源编排服务 RFS 6 IAM身份中心（IdentityCenter） IAM身份中心 7 组织（Organizations） 组织 Organizations 8 资源访问管理 （ RAM ） 资源访问管理 RAM 9 企业项目管理服务 （EPS） 企业项目管理 EPS 10 标签管理服务（TMS） 标签管理服务 TMS 11 配置审计 （Config）（原 资源管理服务 RMS ） 配置审计 Config 12 访问分析（AccessAnalyzer） 访问分析 IAM Access Analyzer 13 云审计服务（CTS） 云审计服务 CTS 14 资源治理中心（RGC） 资源治理中心 RGC 15 应用运维管理 （ AOM ） 应用运维管理 AOM 16 云监控服务 （ CES ） 云监控 服务 CES 17 云运维中心（COC） 云运维中心 COC

安全与合规 序号 服务名称 相关文档 1 原生基础防护（Anti-DDoS） 原生基础防护 Anti-DDoS 2 DDoS原生高级防护（CNAD） 原生高级防护 CNAD 3 DDoS高防（AAD） DDoS高防 AAD 4 数据加密 服务（DEW），包含如下微服务： 密钥管理服务（KMS） 云凭据管理服务（C SMS ） 密钥对管理服务（KPS） 专属加密（DHSM） 数据加密服务 DEW 5 主机安全服务（HSS） 主机安全服务 HSS 6 安全云脑 （SecMaster） 安全云脑 SecMaster 7 云防火墙 （CFW） 云防火墙 CFW 8 数据安全中心 （DSC） 数据安全中心 DSC 9 私有证书管理服务（PCA） 私有证书管理服务 PCA 10 SSL证书管理服务（SCM） SSL证书管理服务 SCM 11 云堡垒机 （CBH） 云 堡垒机 CBH 12 数据库安全服务（DBSS） 数据库安全服务 DBSS 13 Web应用防火墙 （WAF） Web应用防火墙 WAF

网络 序号 服务名称 相关文档 1 虚拟私有云（VPC） 虚拟私有云 VPC 2 弹性公网IP（EIP） 弹性公网IP EIP 3 NAT网关（NAT） NAT网关 NAT 4 弹性负载均衡（ELB） 弹性负载均衡 ELB 5 VPC终端节点（VPCEP） VPC终端节点 VPCEP 6 云专线（DC） 云专线 DC 7 企业路由器（ER） 企业路由器 ER 8 全球加速服务（GA） 全球加速服务 GA 9 云连接（CC） 云连接 CC