华为云用户手册

登录体验版流程引擎 登录iDME控制台。 在左侧导航栏中，单击“数据建模引擎”，进入数据建模引擎页面。 （可选）如果同时有部署在公有云上和边缘云上的运行服务，请切换到公有云。 在“公有云运行服务”列表中，找到已部署至体验版数据建模引擎的应用，单击“登录运行态”，进入应用运行态。 您也可通过服务名称链接进入详情页后，在页面右上角单击“登录运行态”。 在左侧导航栏中，单击“流程引擎”，即可进入“流程引擎”页面。

超时处理机制 超时处理包含如下2种超时处理配置： 超时自动转审：超过审批规定时间后，转交其他审核人审批，仅支持单人转审。 超时自动审批：超过审批规定时间后，自动通过当前流程节点的审批。 如果“审批通过流程”选择的流程节点为驳回节点，超过审批规定时间后，将自动驳回当前流程节点。 超时处理的超时时间配置包含如下维度： 自然日：计算包括法定节假日及双休日在内的天数，满足企业的特殊需求。支持最大365天，最小1天的日期粒度。 小时：按照小时维度处理时间，保障流程效率。支持最大23小时，最小1小时的时间粒度。 分钟：以分钟为计算单位，便于处理紧急事件。支持最大59分钟，最小1分钟的时间粒度。 秒：以秒为计算单位，支持最大59秒，最小1秒的时间粒度。 流程的超时处理依赖用户任务组件类型，及该组件所设置的“常规”和“导航树配置”相关参数。当某个流程节点有多个审批人时，该流程节点的超时处理机制略有区别。 普通用户任务：超时处理的触发时间 = 提交流程时的启动时间 + 超时处理设定的时间。 例如，设定超时时间为1天，提交流程的启动时间为2024-09-09 20:20:00，2024-09-10 20:20:00将触发超时处理机制，自动执行监听器中所选的超时处理。 会签用户任务： 并行多任务事件：提交流程时，该流程节点上的所有责任人都会同时收到审批任务。因此，此类型组件的超时处理触发时间与普通用户任务相同。 时序多任务事件：提交流程时，系统会基于配置的完成条件，按照配置的责任人，一个一个依次审批。因此，此类型组件的超时处理触发时间有如下区别： 一票通过：超时处理触发时间 = 提交流程时的启动时间 + 超时处理设定的时间。 全票通过：超时处理触发时间 = 审批任务数量 * （每个流程提交/审批时的启动时间 + 超时处理设定的时间）。 按同意比例通过：超时处理触发时间 = （同意人数 / 总人数） * （每个流程提交/审批时的启动时间 + 超时处理设定的时间）。

CloudDC方案有哪些独特价值？ 灵活高效省钱： 按需调度：CloudDC部署区+公有云统一调度，固定+弹性按需调度，TCO降低30%； 保护投资：对客户已有第三方服务器提供裸机纳管服务； 免专线：CloudDC部署区与公有云网络内部互联，无需额外专线。 简单易用省力： 免组网：提供云化200G网络服务，服务器即插即用； 无缝衔接云服务：云服务按需使用，业务快速上线。 安全可靠性省心： 高质量机房：Tier3+建设标准，零断电，零高温； 确定性运维：7*24h机房专人值守，专业工具故障定位，快速恢复； 运维可视化：可视化运维监控，变更流程化控制。 父主题： 通用场景

在线购买智能机柜、智能裸机和云化网络服务 资产服务化场景需要同时购买智能机柜、智能裸机纳管和云化网络服务。 使用华为账号登录CloudDC控制台。单击控制台左上角的，选择区域。 单击“立即使用”。 单击“总览页”右上角的“购买资源”。进入“购买云化数据中心资源”页面。 根据业务规划 依次按照如下规格配置iRack智能机柜服务、iMetal智能裸机纳管服务、CloudDCN云化网络服务，并单击“加入清单”加入资源包清单。 参数规格 智能机柜 智能裸机纳管 云化网络 计费模式 包年/包月 包年/包月 包年/包月 区域 华南-广州 华南-广州 华南-广州 套餐规格 8KW智能机柜 iMetal 裸机纳管 CloudDCN通用网络-2*25G网口 购买时长 1个月 1个月 1个月 自动续费 勾选 勾选 勾选 购买数量 1 1 1 说明： 云化网络数量需和机柜托付数量保持一致。 单击“立即购买”，进入“配置详情”页面，核对资源信息正确后单击“去支付”。 界面弹出“以下订单需要通过审核才能支付，请耐心等待审核”提示框。 单击“返回我的订单”，在费用中心可查看“订单状态”为“待审核”。 等待华为云审核通过后，“订单状态”变更为“待支付”。 单击订单右侧的“支付”，完成支付。

操作流程 操作步骤 操作说明 准备工作 您需要 注册华为账号 ，并为账户充值。 申请公测 公测期间，首次登录CloudDC控制台需要申请公测并提交审核，审核通过后可使用CloudDC服务。 首次使用CloudDC并进行授权 由于CloudDC在运行中对计算、网络等云服务资源都存在依赖关系，因此当您首次登录CloudDC控制台时，CloudDC将自动请求获取当前区域下的云资源权限。 在线购买智能机柜、智能裸机和云化网络服务 资产服务化场景需要同时购买机柜托付、智能裸机纳管和云化网络服务。 服务器寄出、上架及验收 用户寄出服务器后，由华为云机房运维人员完成设备上架、组网连线及iMetal服务器信息导入，用户登录CloudDC控制台完成验收。 上电iMetal服务器 通过CloudDC控制台远程启动iMetal服务器。 制作并上传私有镜像 iMetal仅支持使用私有镜像安装OS，安装操作系统前，需要制作并上传私有镜像。 创建CloudDCN子网 iMetal服务器通过CloudDCN子网接入到云上的私有网络中，您可以快速为iMetal服务器构建隔离，私密、高性能的虚拟网络环境。 安装iMetal服务器操作系统 使用私有镜像安装iMetal服务器操作系统。 通过管理控制台登录iMetal服务器 通过CloudDC控制台远程登录iMetal服务器，实现对服务器的使用和运维。

计费模式 云化数据中心计费模式为包年/包月付费，不支持按需付费。 包年/包月是一种预付费模式，即先付费再使用，按照订单的购买周期进行结算。对于云化数据中心中iMetal服务器纳管商品，购买周期越长，享受的折扣越大，其中付10个月费用即可享受一年使用期。对于适用于对资源需求稳定且希望降低成本的用户，对于长期使用者，推荐包年购买。 本文将介绍包年/包月云化数据中心资源的计费规则。 CloudDC暂不支持变更配置，涉及线下交付和人工开通，先进行相关退订后再重新下单。 计费模式概述 包年/包月

计费模式概述 CloudDC提供包年/包月的计费模式，本文将介绍从CloudDC控制台购买包年/包月资源的计费规则。以下是一些适用于包年/包月计费模式的业务场景： 稳定业务需求：对于长期运行且资源需求相对稳定的业务，如企业官网、在线商城、博客等，包年/包月计费模式能提供较高的成本效益。 长期项目：对于周期较长的项目，如科研项目、大型活动策划等，包年/包月计费模式可以确保在整个项目周期内资源的稳定使用。 数据安全要求高：对于对数据安全性要求较高的业务，包年/包月计费模式可确保资源的持续使用，降低因资源欠费而导致的数据安全风险。 父主题： 计费模式

计费概述 通过阅读本文，您可以快速了解云化数据中心 CloudDC的计费模式、计费项、续费、欠费等主要计费信息。 计费模式 云化数据中心的计费模式为包年/包月。包年/包月是一种预付费模式，即先付费再使用，按照订单的购买周期进行结算，因此在购买之前，您必须确保账户余额充足。关于计费模式的详细介绍请参见计费模式。 计费项 云化数据中心的计费项由智能机柜费用、iMetal服务器纳管费用和云化网络费用组成。了解每种计费项的计费因子、计费公式等信息，请参考计费项。 续费 包年/包月云化数据中心在到期后会影响客户资产服务器的正常使用。如果您想继续使用云化数据中心服务，需要在规定的时间内为CloudDC资源进行续费，否则智能机柜、智能服务器纳管以及云化网络等资源将会释放，业务也可能中断，数据也可能会丢失。续费包括手动续费和自动续费两种方式，您可以根据需求选择。了解更多关于续费的信息，请参见续费概述。

本地使用Linux操作系统 使用Linux操作系统的弹性云服务器，您可以在计算机的命令行中运行ssh命令，登录iMetal服务器。 登录管理控制台 （可选）创建对等连接。 当弹性云服务器所在VPC与iMetal服务器不同时，需要配置对等连接。 当弹性云服务器所在VPC与iMetal服务器相同时，无需配置对等连接，可跳过本步骤。 创建对等连接的详细操作，请参见创建相同账户下的对等连接。 在添加VPC对等连接路由时，需要确保弹性云服务器侧VPC的“目的地址”填写为iMetal服务器所属VPC的CloudDCN子网网段。 弹性云服务器的安全组需放通22号端口。 远程登录弹性云服务器。 执行以下命令，登录iMetal服务器。 ssh iMetal服务器的私网IP地址

示例流程 图1 给用户授予CloudDC权限流程 创建用户组并授权 在 IAM 控制台创建用户组，并授予云化数据中心服务权限“CloudDC FullAccess”。 创建用户并加入用户组 在IAM控制台创建用户，并将其加入1中创建的用户组。 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限： 在“服务列表”中选择云化数据中心（CloudDC），单击“立即使用”，进入CloudDC总览页面，表示“CloudDC FullAccess”已生效。

CloudDCN子网的使用限制 CloudDCN子网相比已有的通用VPC子网，不支持以下功能： CloudDCN子网不支持设置DHCP租约时间。 CloudDCN子网不支持修改DNS服务器地址。 CloudDCN子网不支持虚拟IP地址。 CloudDCN子网不支持IPv6地址。 CloudDCN子网关联默认路由表，不支持修改关联的路由表。 CloudDCN子网内的物理服务器不支持绑定安全组。 不支持共享CloudDCN子网。 CloudDCN子网不支持组播。 CloudDCN子网内不支持创建E CS 实例以及BMS实例。 CloudDCN子网不支持流日志，即无法采集CloudDCN子网内的iMetal服务器的流日志。 CloudDCN子网不支持作为ELB的前端子网和后端子网。 当您需要将CloudDCN子网内的iMetal服务器添加为ELB的后端服务器时，有以下限制： 添加后端服务器时仅支持选择“IP类型后端”，详细方法请参见配置不同VPC的服务器作为后端服务器（IP类型后端）。 当iMetal服务器作为后端服务器时，不支持ELB四层监听器的“获取客户端IP”功能，即开启后该功能也不会生效。

EulerOS/OpenEuler 执行以下命令，检查Cloud-Init开机自启动服务是否设置成功。 systemctl status cloud-init-local systemctl status cloud-init systemctl status cloud-config systemctl status cloud-final 下图所示回显信息“enabled”，说明开机自启动服务已经设置成功。 如果没有设置开机自启动，则执行以下命令开启对应阶段的开机自启动服务： systemctl enable cloud-init-local systemctl enable cloud-init systemctl enable cloud-config systemctl enable cloud-final 执行以下命令，运行Cloud-Init服务命令。 systemctl start cloud-init-local systemctl start cloud-init systemctl start cloud-config systemctl start cloud-final 执行步骤1中命令，查看Cloud-Init状态是否为active，如图。

Ubuntu 16.04/Ubuntu 18.04 执行下列命令： systemctl status cloud-init systemctl status cloud-init-local systemctl status cloud-config systemctl status cloud-final 如下图，若红框部分是“enable”状态，则表示服务已被自启动。 如果Cloud-Init四个阶段的服务未被自启动，在命令行执行： systemctl enable cloud-init systemctl enable cloud-init-local systemctl enable cloud-config systemctl enable cloud-final 执行以下命令，运行Cloud-Init服务命令。 systemctl start cloud-init-local systemctl start cloud-init systemctl start cloud-config systemctl start cloud-final 执行步骤1中命令，查看Cloud-Init状态是否为active，如图。

Red Hat 6系列/CentOS 6系列/Oracle Linux 6系列 执行下列命令： chkconfig --list | grep cloud 如下图，若红框部分处于“on”状态，则表示服务已被自启动。 如果Cloud-Init四个阶段的服务未被自启动，在命令行执行： chkconfig cloud-init on chkconfig cloud-init-local on chkconfig cloud-config on chkconfig cloud-final on

Ubuntu 14.04 执行下列命令： initctl status cloud-init initctl status cloud-init-local initctl status cloud-config initctl status cloud-final 如果安装成功，则回显Cloud-Init组件安装信息。 [root@ubuntu:~]# initctl status cloud-initcloud-init stop/waiting[root@ubuntu:~]# initctl status cloud-init-localcloud-init-local stop/waiting[root@ubuntu:~]# initctl status cloud-configcloud-config stop/waiting[root@ubuntu:~]# initctl status cloud-finalcloud-final stop/waiting

SUSE 12 SP2/SUSE 12 SP3/SUSE 15/Oracle Linux 7系列/Red Hat 7系列/CentOS 7系列/CentOS 8系列/XenServer 7系列 执行以下命令，检查Cloud-Init开机自启动服务是否设置成功。 systemctl status cloud-init-local systemctl status cloud-init systemctl status cloud-config systemctl status cloud-final 下图所示回显信息“enabled”，说明开机自启动服务已经设置成功。 如果没有设置开机自启动，则执行以下命令开启对应阶段的开机自启动服务： systemctl enable cloud-init-local systemctl enable cloud-init systemctl enable cloud-config systemctl enable cloud-final 执行以下命令，运行Cloud-Init服务命令。 systemctl start cloud-init-local systemctl start cloud-init systemctl start cloud-config systemctl start cloud-final 执行步骤1中命令，查看Cloud-Init状态是否为active，如图。

支持审计的关键操作列表 操作名称 资源类型 事件名称 云审下载iMetal BMC日志 imetals downloadLog 操作电源 imetals operatePower 安装OS imetals installOS 卸载OS imetals uninstallOS 更新多个iRack机柜 iracks updateIracks 更新单个iRack机柜 iracks updateIrack 更新机房信息 idcs updateIdcs 更新备件 spareparts updateSpareparts 更新设备维修信息 repairs updateRepairsInfo

SUSE 12 SP1 执行以下命令，检查Cloud-Init开机自启动服务是否设置成功。 查看Cloud-Init服务状态，执行yast命令，使用上下键，选择“System”，然后按“Tab”键，使用上下键选择“System Manager”。 可以看到上图中Cloud-Init的四个服务均为“enable”，表示已经自启动服务。active表示处于开启状态。对于Cloud-Init四个阶段的服务，如果某个服务没有自启动，首先用上下键选中，然后按“Tab”，选中“Enable/Disable”，即可设置该服务为自启动服务。

iMetal服务器私有镜像制作简介 为了使部署至CloudDC的iMetal服务器能够在管理控制台正常登录和使用，在购买完成后您还需要为iMetal服务器安装操作系统。在安装操作系统前，您需要先通过华为云的 镜像服务 （IMS）将外部镜像注册为IMS私有镜像。 本文档提供了完整的私有镜像制作流程，并枚举了多种类型的操作系统，指导您完成私有镜像的制作。 您还可以根据实际需要选择安装其他软件，定制您的私有镜像。

使用限制 单账号跟踪的事件可以通过 云审计 控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到 对象存储服务 (OBS)或 云日志 服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。

约束与限制 仅支持使用Linux操作系统制作镜像。 仅支持x86架构镜像。 当前版本支持通过导入镜像文件的方式制作iMetal服务器的私有镜像。 镜像文件支持如下格式：VMDK、VHD、QCOW2、RAW、VHDX、QED、VDI、QCOW、ZVHD2和ZVHD。 镜像文件大小不超过128GB。 如果镜像大小介于128GB和1TB之间，需要将镜像文件转换为RAW或ZVHD2格式，然后使用快速导入功能进行导入。 参考“通过qemu-img-hw工具转换镜像格式”转换镜像格式。 参考“快速导入镜像文件”了解快速导入功能。 支持的操作系统版本请参考“外部镜像文件支持的格式和操作系统类型”。

制作流程 支持通过以下两种方式制作镜像： 场景一：外部镜像还未从原服务器或虚拟机中导出，可以在原服务器或虚拟机上完成Cloud-Init等工具和网络相关服务的安装配置后，再导出外部镜像，再将外部镜像上传至华为云OBS桶中，并通过导入私有镜像的方式注册为iMetal服务器使用的私有镜像。 私有镜像制作过程如图1所示。 图1 系统盘镜像创建过程（场景一） 详细操作步骤请参考场景一：未从原服务器/虚拟机导出外部镜像。 场景二：已从原服务器或虚拟中导出外部镜像文件（VMDK、VHD、QCOW2、RAW、VHDX、QED、VDI、QCOW、ZVHD2和ZVHD格式文件），需要使用该镜像文件在华为云创建ECS服务器，在ECS服务器上完成Cloud-Init等工具和网络相关服务的安装配置后，通过云服务器创建私有镜像的方式创建iMetal服务器使用的私有镜像。 私有镜像制作过程如图1所示。 图2 系统盘镜像创建过程（场景二） 详细操作步骤请参考场景二：已从原服务器/虚拟机导出外部镜像。

操作背景 Cloud-Init是为云环境中虚拟机或iMetal服务器的初始化而开发的工具，作用是在使用镜像创建虚拟机或iMetal服务器时，可自定义服务器的网络配置、hostname、hosts文件，以及用户名密码等。使用镜像创建的虚拟机如需由系统生成随机密码，也需要使用此工具实现。 由于Cloud-Init安装文件需要适配不同厂商的Linux版本，当前仅支持从网络安装，因此制作Linux镜像时，需要可接入Internet。

操作场景 iMetal服务器创建成功后，您可以通过iMetal服务器的“管理状态”栏查看服务器的状态。 iMetal服务器的管理状态如表1所示。 表1 iMetal服务器的管理状态 iMetal服务器状态（中文） iMetal服务器状态（英文） 说明 已上架 Onboard 导入iMetal服务器成功。 验证中 Verifying 导入iMetal服务器数据验证中 已就绪 Ready 导入iMetal服务器数据验证成功。 安装中 Deploying 安装iMetal服务器操作系统中。 运行中 Running 安装iMetal服务器操作系统成功。 卸载中 Undeploying 卸载iMetal服务器操作系统中。 验证失败 RegisterError 注册iMetal服务器校验失败。 安装失败 DeployError 安装iMetal服务器操作系统失败。 卸载失败 UndeployError 卸载iMetal服务器操作系统失败。 删除中 Deleting 删除iMetal服务器中。 删除失败 DeleteError 删除iMetal服务器失败。 本节介绍如何查看iMetal服务器的管理状态。

iMetal服务器架构 通过和其他服务组合，iMetal服务器可以实现计算、存储、网络、镜像安装等功能： iMetal服务器在不同可用区中部署（可用区之间通过内网连接），部分可用区发生故障后不会影响同一区域内的其他可用区。 可以通过虚拟私有云（Virtual Private Cloud，VPC）建立专属的网络环境，设置子网、网络ACL，并通过弹性公网IP实现外网链接（需带宽支持）。 通过镜像服务，可以对iMetal服务器安装镜像。 通过iMetal服务器自带本地盘实现数据存储。 图1 iMetal产品架构

操作场景 您可以在CloudDCN专用网络ACL中添加入方向和出方向规则，用于控制流入和流出CloudDCN子网的流量。添加CloudDCN专用网络ACL规则时，您可以使用系统默认的规则生效顺序，也可以指定规则生效顺序，详细如下： 添加CloudDCN专用网络ACL规则（默认生效顺序）：系统会按照规则添加的时间生成生效顺序，先添加的规则排序靠前，即优先匹配流量，不支持您指定生效顺序。 如表1所示，CloudDCN专用网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的生效顺序为1，自定义规则B的生效顺序为2，默认规则的生效顺序排在末尾。此时添加规则C，则系统指定规则C的生效顺序为3，生效顺序晚于规则A和规则B，高于默认规则。 表1 规则排序示例说明（默认生效顺序） 添加规则C前的排序情况 添加规则C后的排序情况 自定义规则A 1 自定义规则A 1 -- -- 自定义规则B 2 自定义规则B 2 自定义规则C 3 默认规则 * 默认规则 * 添加CloudDCN专用网络ACL规则（自定义生效顺序）：如果您新增的CloudDCN专用网络ACL规则生效顺序需要早于或者晚于已有的某条规则，则可以在对应规则前面或者后面插入新的规则。 如表2所示，CloudDCN专用网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的生效顺序为1，自定义规则B的生效顺序为2，默认规则的生效顺序排在末尾。比如，当新增规则C的生效顺序需要高于规则B时，则可以在规则B前面插入规则C。规则C添加完成后，规则C的生效顺序为2，规则B的生效顺序顺延为3，规则C的生效顺序高于规则B。 表2 规则排序示例说明（自定义生效顺序） 插入规则C前的排序情况 插入规则C后的排序情况 自定义规则A 1 自定义规则A 1 -- -- 自定义规则C 2 自定义规则B 2 自定义规则B 3 默认规则 * 默认规则 *

CloudDCN专用网络ACL及规则的工作原理 CloudDCN专用网络ACL创建完成后，需要将CloudDCN专用网络ACL关联至目标CloudDCN子网，CloudDCN专用网络ACL规则才能控制出入该CloudDCN子网的流量。CloudDCN专用网络ACL可以同时关联多个CloudDCN子网，但一个CloudDCN子网只能关联一个CloudDCN专用网络ACL。 CloudDCN专用网络ACL是无状态的。如果您从实例发送一个出站请求，且该CloudDCN专用网络ACL的出方向规则是放通的话，那么您还需要放通入方向规则，才会允许该出站请求的响应流量流入。同理，如果该CloudDCN专用网络ACL的入方向规则是放通的，那还需要放通出方向规则，才会允许该入站请求的响应流量流出。 在CloudDCN专用网络ACL中，存在如表1所示的默认规则。当CloudDCN专用网络ACL中没有其他允许流量出入的自定义规则时，则匹配默认规则，拒绝任何流量流入或流出CloudDCN子网。在您将CloudDCN专用网络ACL关联至目标CloudDCN子网时，请确保已添加自定义规则放通业务流量，或者CloudDCN子网内无实际业务，避免默认规则造成业务流量中断。 表1 CloudDCN专用网络ACL默认规则说明 方向 生效顺序 策略 协议 源地址 源端口范围 目的地址 目的端口范围 入方向 * 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 出方向 * 拒绝 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 CloudDCN专用网络ACL规则不会匹配筛选表2中的流量，即对应的流量被允许流入或者流出CloudDCN子网，不受CloudDCN专用网络ACL默认规则以及自定义规则限制。 表2 不受CloudDCN专用网络ACL规则限制的流量 方向 规则说明 入方向 放通当前CloudDCN子网内的流量，即允许同一个CloudDCN子网内实例互通。 放通目的地址为255.255.255.255/32的广播流量。 放通目的地址为224.0.0.0/24的组播流量。 出方向 放通当前CloudDCN子网内的流量，即允许同一个CloudDCN子网内实例互通。 放通目的地址为255.255.255.255/32的广播流量。 放通目的地址为224.0.0.0/24的组播流量。 放通基于TCP协议，目的地址为169.254.169.254/32 ，目的端口为80的云服器元数据(metadata)流量。 放通目的地址为100.125.0.0/16的流量，该网段是云上公共服务预留地址，比如DNS服务器地址、NTP服务器地址等。

CloudDCN专用网络ACL规则 CloudDCN专用网络ACL中包括入方向规则和出方向规则，用来控制CloudDCN子网入方向和出方向的网络流量。 入方向规则：控制外部请求访问CloudDCN子网内的实例，即流量流入CloudDCN子网。 出方向规则：控制CloudDCN子网内实例访问外部的请求，即流量流出CloudDCN子网。 CloudDCN专用网络ACL规则由协议、源端口/目的端口、源地址/目的地址等组成，关键信息说明如下： 生效顺序：CloudDCN专用网络ACL规则按照生效顺序依次排列，序号越小，排序越靠前，表示流量优先匹配该规则。 默认CloudDCN专用网络ACL规则的序号为*，排在末尾，表示流量最后匹配该规则。 状态：CloudDCN专用网络ACL规则有“启用”和“停用”状态。启用时，CloudDCN专用网络ACL规则生效，停用时，CloudDCN专用网络ACL规则不生效。 策略：支持允许或拒绝。当流量的协议、源端口/目的端口、源地址/目的地址成功匹配某个CloudDCN专用网络ACL规则后，会对流量执行规则对应的策略，允许或拒绝流量。 协议：匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。 源地址/目的地址：匹配流量的源地址或者目的地址。 源端口范围/目的端口范围：匹配流量的源端口或者目的端口，取值范围为1～65535。

流量匹配CloudDCN专用网络ACL规则的顺序 一个CloudDCN子网只能绑定一个CloudDCN专用网络ACL，当CloudDCN专用网络ACL存在多条规则时，流量按照规则的生效顺序进行匹配。序号越小，排序越靠前，越先执行该规则。默认CloudDCN专用网络ACL规则的序号为*，排在末尾，流量最后匹配该规则。 以入方向的流量为例，CloudDCN子网的网络流量将按照以下原则匹配CloudDCN专用网络ACL规则，入方向和出方向的流量匹配顺序相同。 当流量匹配上自定义规则，则根据规则策略决定流量走向。 当策略为拒绝时，则拒绝该流量流入CloudDCN子网。 当策略为允许时，则允许该流量流入CloudDCN子网。 当流量未匹配上任何自定义规则，则执行默认规则，拒绝流量流入CloudDCN子网。 图1 CloudDCN专用网络ACL匹配顺序

CloudDCN专用网络ACL配置流程 图2 CloudDCN专用网络ACL配置流程 表3 CloudDCN专用网络ACL配置流程说明 序号 步骤 说明 操作指导 1 创建CloudDCN专用网络ACL CloudDCN专用网络ACL创建完成后，自带入方向和出方向默认规则，拒绝出入CloudDCN子网的流量。 创建CloudDCN专用网络ACL 2 配置CloudDCN专用网络ACL规则 CloudDCN专用网络ACL默认规则不支持删除和修改，您需要根据业务需求添加自定义规则，用于控制流入或流出CloudDCN子网的流量，流量将会优先匹配自定义规则。 添加CloudDCN专用网络ACL规则 3 将CloudDCN子网关联至CloudDCN专用网络ACL 您需要将CloudDCN子网关联至CloudDCN专用网络ACL，并且当CloudDCN专用网络ACL状态为“已开启”时，CloudDCN专用网络ACL规则会对出入CloudDCN子网的流量生效。 一个CloudDCN子网只能关联一个CloudDCN专用网络ACL。 将CloudDCN子网关联至CloudDCN专用网络ACL