华为云用户手册

参考链接 社区v1.9与v1.11版本之间的CHANGE LOG v1.10到v1.11的变化： https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.11.md v1.9到v1.10的变化： https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.10.md

查看CustomedHPA策略 您可以查看CustomedHPA策略的规则和最新状态，参照界面中的报错提示有针对性的解决异常事件。 登录CCE控制台，单击集群名称进入集群。 在左侧导航栏中单击“策略”，切换至“CustomedHPA策略”页签，单击要查看的CustomedHPA策略前方的。 在展开的区域中，可以看到规则页签，若策略异常，请单击“最新状态”栏中的“详情”，参照展开的详细信息进行定位处理。 您还可以在工作负载详情页中查看已创建的HPA策略： 登录CCE控制台，单击集群名称进入集群。 在左侧导航栏中单击“工作负载”，单击工作负载名称查看详情。 在该工作负载详情页的“弹性伸缩”页签下可以看到HPA / CustomedHPA策略，您在“策略”页面配置的伸缩策略也会在这里显示。

查看HPA策略 您可以查看HPA策略的规则、状态和事件，参照界面中的报错提示有针对性的解决异常事件。 登录CCE控制台，单击集群名称进入集群。 在左侧导航栏中单击“策略”，切换至“HPA策略”页签，单击要查看的HPA策略前方的。 在展开的区域中，可以看到规则、状态页签，单击策略操作区域的“事件”，可以看到事件页签。若策略异常，请参照界面中的报错提示进行定位处理。 您还可以在工作负载详情页中查看已创建的HPA策略： 登录CCE控制台，单击集群名称进入集群。 在左侧导航栏中单击“工作负载”，单击工作负载名称查看详情。 在该工作负载详情页的“弹性伸缩”页签下可以看到HPA / CustomedHPA策略，您在“策略”页面配置的伸缩策略也会在这里显示。 表1 事件类型及名称 事件类型 事件名称 描述 正常 SuccessfulRescale 扩缩容成功 异常 InvalidTargetRange 无效的TargetRange InvalidSelector 无效选择器 FailedGetObjectMetric 获取对象失败数 FailedGetPodsMetric 获取Pod列表失败指标 FailedGetResourceMetric 获取资源失败数 FailedGetExternalMetric 获取外部指标失败 InvalidMetricSourceType 无效的指标来源类型 FailedConvertHPA 转换HPA失败 FailedGetScale 获取比例尺失败 FailedComputeMetricsReplicas 计算指标副本数失败 FailedGetScaleWindow 获取ScaleWindow失败 FailedRescale 扩缩容失败

其他废弃和移除 移除OutOfDisk node condition，改为使用DiskPressure。 scheduler.alpha.kubernetes.io/critical-pod annotation已被移除，如需要改为设置priorityClassName。 beta.kubernetes.io/os和beta.kubernetes.io/arch在1.14版本中已经废弃，计划在1.18版本中移除。 禁止通过--node-labels设置kubernetes.io和k8s.io为前缀的标签，老版本中kubernetes.io/availablezone该label在1.17中移除，整改为failure-domain.beta.kubernetes.io/zone获取AZ信息。 beta.kubernetes.io/instance-type被废弃，使用node.kubernetes.io/instance-type替代。 移除{kubelet_root_dir}/plugins路径。 移除内置集群角色system:csi-external-provisioner和system:csi-external-attacher。

资源变更与弃用 apps/v1beta1和apps/v1beta2下所有资源不再提供服务，使用apps/v1替代。 extensions/v1beta1下daemonsets、deployments、replicasets不再提供服务，使用apps/v1替代。 extensions/v1beta1下networkpolicies不再提供服务，使用networking.k8s.io/v1替代。 extensions/v1beta1下podsecuritypolicies不再提供服务，使用policy/v1beta1替代。 extensions/v1beta1 ingress v1.20版本不再提供服务，当前可使用networking.k8s.io/v1beta1。 scheduling.k8s.io/v1beta1 and scheduling.k8s.io/v1alpha1下的PriorityClass计划在1.17不再提供服务，迁移至scheduling.k8s.io/v1。 events.k8s.io/v1beta1中event series.state字段已废弃，将在1.18版本中移除。 apiextensions.k8s.io/v1beta1下CustomResourceDefinition已废弃，将再1.19不在提供服务，使用apiextensions.k8s.io/v1。 admissionregistration.k8s.io/v1beta1 MutatingWebhookConfiguration和ValidatingWebhookConfiguration已废弃，将在1.19不在提供服务，使用admissionregistration.k8s.io/v1替换。 rbac.authorization.k8s.io/v1alpha1 and rbac.authorization.k8s.io/v1beta1被废弃，使用rbac.authorization.k8s.io/v1替代，v1.20会正式停止服务。 storage.k8s.io/v1beta1 CS INode object废弃并会在未来版本中移除。

重要说明 在Kubernetes 1.28版本，调度框架发生变化，减少无用的重试，从而提高调度程序的整体性能。如果开发人员在集群中使用了自定义调度程序插件，请参见调度框架变化进行适配升级。 在Kubernetes 1.28 版本，Ceph FS 树内插件已在 v1.28 中弃用，并计划在 v1.31 中删除（社区没有计划进行 CSI 迁移）。 建议使用 Ceph CSI 第三方存储驱动程序作为替代方案。 在Kubernetes 1.28 版本，Ceph RBD 树内插件已在 v1.28 中弃用，并计划在 v1.31 中删除（社区没有计划进行 CSI 迁移）。建议使用 RBD 模式的 Ceph CSI 第三方存储驱动程序作为替代方案。

特性门禁及命令行参数 在Kubernetes 1.28版本，kubelet移除了flag –short。因此kubectl version 默认输出与kubectl version –short相同。 在Kubernetes 1.28版本，kube-controller-manager废弃flag--volume-host-cidr-denylist和--volume-host-allow-local-loopback。--volume-host-cidr-denylist是用逗号分隔的一个CIDR范围列表，禁止使用这些地址上的卷插件。--volume-host-allow-local-loopback为false时，禁止本地回路IP地址和--volume-host-cidr-denylist中所指定的CIDR范围。 在Kubernetes 1.28版本，kubelet --azure-container-registry-config 被弃用并在未来的版本中会被删除。 请使用 --image-credential-provider-config 和 --image-credential-provider-bin-dir 来设置。 在Kubernetes 1.28版本，kube-scheduler: 删除了 --lock-object-namespace 和 --lock-object-name。 请使用 --leader-elect-resource-namespace 和 --leader-elect-resource-name 或 ComponentConfig 来配置这些参数。（--lock-object-namespace用来定义锁对象的命名空间，--lock-object-name用来定义锁对象的名称） 在Kubernetes 1.28版本，KMSv1 已弃用，以后只会接收安全更新。请改用 KMSv2。在未来版本中， 设置 --feature-gates=KMSv1=true 以使用已弃用的 KMSv1 功能。 在Kubernetes 1.28版本，移除了如下特性门禁：DelegateFSGroupToCSIDriver、DevicePlugins、KubeletCredentialProviders、MixedProtocolLBService、ServiceInternalTrafficPolicy、ServiceIPStaticSubrange、EndpointSliceTerminatingCondition。

新增特性及特性增强 社区特性的Alpha阶段默认禁用、Beta阶段一般默认启用、GA阶段将一直默认启用，且不能禁用（会在后续版本中删除这个开关功能）。CCE对新特性的策略与社区保持一致。 版本偏差策略扩展至3个版本 从1.28控制平面/1.25 工作节点开始，Kubernetes版本偏差策略将支持的控制平面/工作节点偏差扩展到 3 个版本。 这使得节点的年度次要版本升级成为可能，同时保持受支持的次要版本。更多细节请参考版本偏差策略。 可追溯的默认 StorageClass 进阶至 GA 在Kubernetes 1.28版本，可追溯默认 StorageClass 赋值现已进阶至GA。 这项增强特性极大地改进了默认的StorageClasses为PersistentVolumeClaim (PVC) 赋值的方式。 PersistentVolume (PV) 控制器已修改为：当未设置 storageClassName 时，自动向任何未绑定的 PersistentVolumeClaim 分配一个默认的 StorageClass。此外，API 服务器中的 PersistentVolumeClaim 准入验证机制也已调整为允许将值从未设置状态更改为实际的 StorageClass 名称。更多使用细节请参考默认StorageClass赋值。 原生边车容器（Alpha） 在Kubernetes 1.28版本，原生边车容器以Alpha版本正式发布。其在 Init 容器中添加了一个新的 restartPolicy 字段， 该字段在 SidecarContainers 特性门控启用时可用。需要注意的是，原生边车容器目前仍有些问题需要解决，因此K8S社区建议仅在 Alpha 阶段的短期测试集群中使用边车功能。 更多使用细节请参考原生边车容器。 混合版本代理（Alpha） 在Kubernetes 1.28版本，发布了用于改进集群安全升级的新机制（混合版本代理）。该特性为Alpha特性。 当集群进行升级时，集群中不同版本的 kube-apiserver 为不同的内置资源集（组、版本、资源）提供服务。在这种情况下资源请求如果由任一可用的 apiserver 提供服务，请求可能会到达无法解析此请求资源的 apiserver 中，导致请求失败。该特性能解决该问题。（主要注意的是，CCE本身提供的升级能力即可做到无损升级，因此不存在该特性涉及的场景）。更多使用细节请参考混合版本代理。 节点非体面关闭特性达到 GA 在Kubernetes 1.28版本，节点非体面关闭特性达到GA阶段。当一个节点被关闭但没有被 Kubelet 的 Node Shutdown Manager 检测到时，StatefulSet 的 Pod 将会停留在终止状态，并且不能移动到新运行的节点上。当用户确认该节点已经处于不可恢复的情况下，可以手动为Node打上out-of-service的污点，以使得该节点上的StatefulSet的Pod和VolumeAttachments被强制删除，并在健康的Node上创建相应的Pod。更多使用细节请参考节点非体面关闭。 NodeSwap特性达到Beta 在Kubernetes 1.28版本，NodeSwap能力进阶至Beta版本。目前仍然处于默认关闭状态，需要使用NodeSwap门控打开。该特性可以为Linux节点上运行的Kubernetes工作负载逐个节点地配置内存交换。需要注意的是，该特性虽然进阶至Beta特性，但仍然存在一些需要增强的问题和安全风险。更多使用细节请参考NodeSwap特性。 Job相关特性 在Kubernetes 1.28版本，增加了Pod更换策略和基于索引的回退限制两个alpha特性。 Pod更换策略 默认情况下，当 Pod 进入终止（Terminating）状态（例如由于抢占或驱逐机制）时，Kubernetes 会立即创建一个替换的 Pod，因此这时会有两个 Pod 同时运行。 在Kubernetes 1.28版本中可以使用JobPodReplacementPolicy 来启用该特性。可以在Job的Spec中定义podReplacementPolicy，目前仅可设置为Failed。在设置为Failed之后，Pod 仅在达到 Failed 阶段时才会被替换，而不是在它们处于终止过程中（Terminating）时被替换。此外，你可以检查 Job 的 .status.termination 字段。该字段的值表示终止过程中的 Job 所关联的 Pod 数量。 逐索引的回退限制 默认情况下，带索引的 Job（Indexed Job）的 Pod 失败情况会被统计下来，受 .spec.backoffLimit 字段所设置的全局重试次数限制。这意味着，如果存在某个索引值的 Pod 一直持续失败，则会 Pod 会被重新启动，直到重试次数达到限制值。 一旦达到限制值，整个 Job 将被标记为失败，并且对应某些索引的 Pod 甚至可能从不曾被启动。此时逐索引的回退限制就显得有用。 在Kubernetes 1.28版本中，可以通过启用集群的 JobBackoffLimitPerIndex 特性门控来启用此特性。开启之后，允许在创建带索引的 Job（Indexed Job）时指定 .spec.backoffLimitPerIndex 字段。当某个Job的失败次数超过设定的上限时，将不再进行重试。 CEL相关特性 在Kubernetes 1.28版本，CEL能力进行了相应的增强。 CRD 使用 CEL 进行 Validate 的特性进阶至Beta 该特性在v1.25版本就已经升级为Beta版本。通过将 CEL 表达式直接集成在 CRD 中， 可以使开发者在不使用 Webhook 的情况下解决大部分对 CR 实例进行验证的用例。在未来的版本，将继续扩展 CEL 表达式的功能，以支持默认值和 CRD 转换。 基于CEL的准入控制进阶至Beta 基于通用表达式语言 (CEL) 的准入控制是可定制的，对于 kube-apiserver 接受到的请求，可以使用 CEL 表达式来决定是否接受或拒绝请求，可作为 Webhook 准入控制的一种替代方案。在 v1.28 中，CEL 准入控制被升级为 Beta，同时添加了一些新功能，包括但不限于： ValidatingAdmissionPolicy 类型检查现在可以正确处理 CEL 表达式中的 “authorizer” 变量。 ValidatingAdmissionPolicy 支持对 messageExpression 字段进行类型检查。 kube-controller-manager 组件新增 ValidatingAdmissionPolicy 控制器，用来对 ValidatingAdmissionPolicy 中的 CEL 表达式做类型检查，并将原因保存在状态字段中。 支持变量组合，可以在 ValidatingAdmissionPolicy 中定义变量，然后在定义其他变量时使用它。 新增 CEL 库函数支持对 Kubernetes 的 resource.Quantity 类型进行解析。 其它特性说明 在Kubernetes 1.28版本，ServiceNodePortStaticSubrange 特性为beta，允许保留静态端口范围，避免与动态分配端口冲突。具体细节请参考为NodePort Service分配端口时避免冲突。 在Kubernetes 1.28版本，增加了alpha特性ConsistentListFromCache，允许kube-apiserver从缓存中提供一致性列表，Get和List请求可以从缓存中读取数据，而不需要从etcd中获取。 在Kubernetes 1.28版本，kubelet能够配置drop-in目录（alpha特性）。该特性允许向kubelet添加对“--config-dir”标志的支持，以允许用户指定一个插入目录，该目录将覆盖位于/etc/kubernetes/kubelet.conf位置的Kubelet的配置。 在Kubernetes 1.28版本，ExpandedDNSConfig 升级至GA，默认会被打开。该参数用于允许扩展DNS的配置。 在Kubernetes 1.28版本，提供Alpha特性CRD Validation Ratcheting。该特性允许Patch或者Update请求没有更改任何不合法的字段，将允许CR验证失败。 在Kubernetes 1.28版本，kube-controller-manager添加了--concurrent-cron-job-syncs flag用来设置cron job controller的workers数。

API变更与弃用 在Kubernetes 1.28版本，移除特性NetworkPolicyStatus，因此Network Policy不再有status属性。 在Kubernetes 1.28版本，Job对象中增加了新的annotationbatch.kubernetes.io/cronJob-scheduled-timestamp，表示Job的创建时间。 在Kubernetes 1.28版本，Job API中添加podReplacementPolicy和terminating字段，当前一旦先前创建的pod终止，Job就会立即启动替换pod。添加字段允许用户指定是在先前的Pod终止后立即更换Pod（原行为），还是在现有的Pod完全终止后才替换Pod（新行为）。这是一项 Alpha 级别特性，您可以通过在集群中启用JobPodReplacementPolicy 来启用该特性。 在Kubernetes 1.28版本，Job支持BackoffLimitPerIndex字段。当前使用的运行Job的策略是Job中的整个Pod共享一个Backoff机制，当Job达到次Backoff的限制时，整个Job都会被标记为失败，并清理资源，包括尚未运行的index。此字段允许对单个的index设置Backoff。更多信息请参见逐索引的回退限制。 在Kubernetes 1.28版本，添加ServedVersions字段到 StorageVersion API中。该变化由混合代理版本特性引入。该增加字段ServedVersions用于表明 API服务 器可以提供的版本。 在Kubernetes 1.28版本，SelfSubjectReview 添加到到authentication.k8s.io/v1中，并且kubectl auth whoami走向GA。 在Kubernetes 1.28版本，PersistentVolume有了一个新的字段LastPhaseTransitionTime，用来保存最近一次volume转变Phase的时间。 在Kubernetes 1.28版本，PVC.Status中移除resizeStatus，使用AllocatedResourceStatus替代。resizeStatus表示调整存储大小操作的状态，默认为空字符串。 在Kubernetes 1.28版本，设置了hostNetwork: true并且定义了ports的Pods，自动设置hostport字段。 在Kubernetes 1.28版本，StatefulSet的Pod索引设置为Pod的标签statefulset.kubernetes.io/pod-index。 在Kubernetes 1.28版本，Pod的Condition字段中的PodHasNetwork重命名为PodReadyToStartContainers，用来表明网络、卷等已成功创建，sandbox pod已经创建完成，可以启动容器。 在Kubernetes 1.28版本，在KubeSchedulerConfiguration中添加了新的配置选项 delayCacheUntilActive， 该参数为true时，非master节点的kube-scheduler不会缓存调度信息。这为非主节点的内存减缓了压力，但会导致主节点发生故障时，减慢故障转移的速度。 在Kubernetes 1.28版本，在admissionregistration.k8s.io/v1alpha1.ValidatingAdmissionPolicy中添加namespaceParamRef字段。 在Kubernetes 1.28版本，在CRD validation rules中添加reason和fieldPath，允许用户指定验证失败的原因和字段路径。 在Kubernetes 1.28版本，ValidatingAdmissionPolicy的CEL表达式通过namespaceObject支持namespace访问。 在Kubernetes 1.28版本，将API groups ValidatingAdmissionPolicy 和ValidatingAdmissionPolicyBinding 提升到betav1。 在Kubernetes 1.28版本，ValidatingAdmissionPolicy 扩展了messageExpression字段，用来检查已解析类型。

参考链接 社区v1.13与v1.15版本之间的CHANGELOG v1.14到v1.15的变化： https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.15.md v1.13到v1.14的变化： https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.14.md

资源变更与弃用 extensions/v1beta1中Ingress已弃用，1.19正式暂停使用，迁移到networking.k8s.io/v1beta1 extensions/v1beta1中NetworkPolicy 1.16正式暂停使用，迁移到networking.k8s.io/v1 extensions/v1beta1中PodSecurityPolicy 1.16正式暂停使用，迁移到policy/v1beta1 extensions/v1beta1、apps/v1beta1或apps/v1beta2的DaemonSet、Deployment、和ReplicaSet，迁移至apps/v1，1.16版本暂停使用 PriorityClass升级到scheduling.k8s.io/v1，scheduling.k8s.io/v1beta1和scheduling.k8s.io/v1alpha1 1.17正式废弃 events.k8s.io/v1beta1 Event API中series.state字段废弃，将在1.18版本中移除

背景信息 线下购买云服务License后，需要在华为乾坤激活线下订单。本服务配套的天关或防火墙型号，如表1所示。 表1 设备型号 设备型号 激活方式 USG6000E-C天关 请参见操作步骤。 USG6000F-C天关 USG6000E防火墙 USG6000F防火墙 USG12000防火墙 当前可开通边界防护与响应服务，并指定租户可以使用的版本（边界防护标准版、边界防护专业版）。 边界防护标准版、边界防护专业版的功能差异如表2所示。 表2 边界防护各版本差异 关键能力 能力描述 标准版 标准版+自动阻断 专业版 入侵检测防御 基于已知攻击防护签名拦截来自外网的攻击，阻拦恶意软件（如病毒、木马）的传输行为，发现内网问题主机并切断问题主机外联行为，有效保护用户业务的安全性和稳定性。 √ √ √ 事件自动分析 利用智能分析能力对设备检测到的安全事件进行分析确认，保障攻击拦截以及安全告警的准确性，及时优化攻击检测规则，提升现网防护效果。 √ √ √ 事件紧急通知 基于安全防护事件提取紧急通知，同时通过短信、邮件多种方式通知用户。 √ √ √ 黑白名单功能 用户可基于Portal快速人工完成黑白名单设置，快速阻断威胁。 √ √ √ 定期安全报告 基于安全防护事件，定期生成周报、月报，并通过邮件发送至用户邮箱。 √ √ √ 基础安全大屏 通过对安全事件的综合分析，实时呈现TOP威胁类型、失陷类型、最新威胁事件等信息，帮助用户快速感知综合安全态势。 √ √ √ 威胁自动阻断 基于安全事件分析结果，对外部高危攻击源进行黑名单自动下发，直接阻断其后续的攻击行为。 基于DNS日志实现DGA、挖矿、恶意软件、远控、勒索等高级 威胁检测 ，识别恶意 域名 访问行为，并对恶意域名实现自动化封禁。 × √ √ 专业态势大屏 支持差异化大屏组件功能，用户可使用大屏自定义能力快速定制专业化安全态势大屏。 × × √ 互联网暴露面风险监测 通过对租户网络出口网关设备的IP的监测，帮助租户统计网关设备暴露在公网中的IP，并识别其中存在暴露风险的端口或服务。 × × √

后续操作 方案管理页面显示了方案名称、状态、创建时间等信息，支持搜索、编辑、删除、分享等操作。 快速搜索方案。输入方案关键词，单击左侧或按回车键搜索。 不同状态下方案支持的操作不同，具体如表4所示。 表4 不同状态支持的操作 状态 说明 支持的操作 草稿 方案未设计完成 编辑：单击方案列表中按钮，跳转到上次方案编辑的页面。 删除：单击方案列表中，删除一条方案记录。 待开局 已生成网规方案且可预览，在等待方案部署 分享：单击方案列表中，选择待分享的租户，单击“确定”。方案分享1次后，方案名称左上角会打上“多次分享”标签。 编辑：单击方案列表中，跳转到上次方案编辑的页面。 删除：单击方案列表中，删除一条方案记录。

日志查看 前提条件 成功登录华为乾坤控制台，并拥有“审计日志服务”相关权限。 背景信息 日志系统是华为乾坤提供的能够帮助用户快速了解服务运行状态、操作等信息的系统。 目前系统支持查看操作日志和安全日志，可查看6个月内的日志，超过6个月但不超过1年的日志仅支持下载到本地查看。 操作日志记录用户进行失陷主机处置、威胁事件处置、设备管理等相关操作。 安全日志记录用户登录、创建下级工作组帐号等安全相关操作。 操作步骤 单击控制台页面右上角帐号，选择“日志”进入日志详情页面。 支持查看操作日志和安全日志，其操作流程基本一致，以操作日志为例： 选择“操作日志”页签，查看日志列表，包含当前帐号的操作名称、对象、结果等信息。 图1 日志列表 单击日志列表的“详细信息”栏中任意一项，可以查看日志的详细记录。 图2 日志详情 单击日志列表上方“高级搜索”，根据表1设置筛选条件，单击“搜索”即可。 表1 筛选条件参数表 参数 说明 时间 设置起始时间，筛选该时间段内的日志。 操作名称 操作行为。 级别 日志级别分为紧急、报警、严重、错误、警告、通知、提示、调试，程度递减。 操作用户 操作行为对应的帐号。 详细信息 操作行为的具体描述。 操作对象 操作行为的具体对象，如套餐、设备、站点等。 操作结果 日志操作结果分为成功、失败、部分成功。 来源 日志来源模块。 如果单击“重置”，日志筛选条件恢复成默认条件： 最近48小时内的记录。 所有日志级别类型。 所有操作结果类型。 下载日志。 日志界面可查看6个月内的日志，超过6个月但不超过1年的日志可单击右上方“点击此处”下载。

首页介绍 图1 运营工作台首页 整体信息概览：页面上方可以查看当前帐号下客户信息概览，支持按月度、季度和年度查看。 健康状态分布：查看当前租户健康状态分布情况。 客户分级统计：查看当前高端客户、大客户、中客户、小客户等分级统计情况。 客户数统计：查看当前待续费客户、已流失客户、待转商客户和未转商用户的客户数量。 我的客户： 创建租户：单击租户列表右上方“创建”，可创建自建租户。具体操作请参见创建租户帐号。 搜索租户：在租户列表上方搜索框内输入租户/公司名称，单击图标或按回车键搜索。或单击租户列表上“高级搜索”按条件搜索租户。 申请试用：单击租户列表右上方“申请试用”，填写租户名称、试用产品、企业名称、申请人姓名、申请人电话、申请原因等，单击“确定”完成试用申请。 导出客户：单击租户列表右上方“导出全部”，会自动下载当前所有租户信息。 查看客户信息：单击租户列表右上方“全部客户”，可以查看当前全部客户信息，详细信息请参见客户中心。 查看租户详情：单击租户列表中租户名，可查看当前租户标签和详情信息。 图2 租户详情 客户概览：支持查看客户健康度、工单统计、客户信息、未完成任务、跟进记录、联系人和服务小组。 编辑客户信息：单击页面右上角“编辑”，可修改当前客户信息，包括客户分类、服务状态、对接情况等。 未完成任务：支持新建、查看任务，详细信息请参见任务管理。 跟进记录：单击页面右上角“添加跟进记录”或单击“跟进记录”页面上“新建”，填写跟进方式、业务主题和跟进内容，单击“确定”添加记录。 服务小组：单击任务页面“服务小组”，支持设置“负责人”、“客户成功经理”和“销售人员”。 资源信息：支持查看当前客户设备信息，包括设备实时状态、设备类型分布和设备列表。 产品信息：支持查看当前客户订单相关信息，包括订单与产品统计、套餐统计和套餐列表。 联系人：支持查看当前联系人信息。 新增联系人：单击页面上“新增联系人”，填写名称、电话等信息，单击“确定”完成联系人创建。 编辑联系人：鼠标悬停在已有联系人上，单击“编辑”，可修改当前联系人名称、电话等信息。 删除联系人：鼠标悬停在已有联系人上，单击“删除”，可删除当前联系人。 时间轴：显示当前事件，包括租户创建、申请试用、申请商用、健康值变化、任务管理等事件类型。 任务管理：页面右侧展示任务管理页面。 新建任务：单击页面上“新建”，填写业务主题、任务标题、执行人、截止时间、优先级等相关信息，单击“确定”完成任务创建。 任务管理：单击页面上“全部任务”，可以查看当前全部任务以及自己名下的任务。 任务搜索：在列表上方输入客户/执行人名称，单击图标或回车键进行搜索。或单击页面上“高级搜索”按条件搜索任务。 任务详情：单击任务列表中任务名称，可以查看当前任务详情，包括优先级、截止时间、执行人等信息。 添加跟进：单击列表中“添加跟进”，可添加跟进记录。 完成任务：单击列表中“完成任务”标记已完成任务。 服务小组：单击任务页面“服务小组”，支持设置“负责人”、“客户成功经理”和“销售人员”。 只有加到团队管理下客户成功和销售团队的成员，才能设置为负责人、参与人。

租户管理 前提条件 成功登录华为乾坤控制台，并拥有“用户租户服务”中租户管理权限。 背景信息 华为乾坤为MSP提供了租户信息管理功能。MSP可以快速创建、查询、修改、导出租户信息。 一级MSP工作组用户以及下层MSP工作组用户均可创建租户。 操作步骤 单击控制台页面右上方“租户”，进入租户管理页面。 创建租户帐号。 选择“自建租户”，单击租户列表右上角“创建”。 填写租户信息后单击“下一步”。 图1 自建租户信息 创建租户时，授权MSP开关默认为“否”不开启，开启后需要选择委托时间以及勾选风险告知协议。 创建租户时，屏蔽本MSP信息开关默认为“否”不开启，开启后租户不感知当前MSP信息。 默认自动委托当前新建租户的所有角色。租户创建完成后，租户因新购买的服务而产生的服务类角色会自动委托给MSP。 设置租户管理员信息，密码设置请参考密码设置规范，单击“完成”。 图2 自建租户管理员信息 （可选）创建租户标签。 在“代维租户”界面，单击租户列表左上方，进入“标签管理”页面。 图3 标签管理 单击列表中“租户数量”数字，支持给多个租户设置该标签。 在“标签管理”页面单击“创建”，支持为租户创建标签。 图4 创建标签 在“打标签”页面输入标签名称，选择租户，单击“确定”。 单击用户名后可为单个用户设置用户标签，列表中该租户名下展示该标签。 一个标签下最多支持100个租户，一个MSP帐号下最多可以有100个标签。 单个租户最多支持打5个标签。 后续处理 按标签过滤租户。选择“代维租户”，单击租户列表左上方，可以按标签过滤代维租户。 设置租户标签：单击租户名后可为单个租户设置租户标签，在弹框中单击“+添加标签”，可以为当前租户添加标签，最多可添加5个。 图5 设置标签 删除租户标签：如果不需要该标签，可以单击标签名后的“删除”。 搜索租户信息。选择“自建租户”或“代维租户”，在租户列表左上方输入关键信息，单击图标或按回车键搜索。 导出租户信息。选择“自建租户”或“代维租户”，单击租户列表右上方“导出全部”。 注意，导出的EXCEL文件中包含用户名、用户帐号等个人隐私数据，请妥善保存。 自建租户支持按创建时间排序。单击自建租户列表中创建时间后的，可以将租户按创建时间排序。 修改自建租户信息。单击自建租户列表里“修改”，可以修改租户名称、手机号、邮箱等。 代替租户申请试用。单击自建租户列表里“申请试用”，填写试用产品、企业名称、联系人姓名、电话及申请原因后，可以为租户申请试用1个或多个产品，待运营专员通过审批后即可试用。 当MSP为租户申请边界防护与响应服务产品试用时，系统会自动判断该租户是否可申请威胁自动阻断套餐试用。 图6 申请试用 代建帐号初始密码修改。租户使用MSP代建帐号首次登录华为乾坤控制台时，需要立即修改密码，具体参见《华为乾坤租户操作指南》。

MSP职责介绍 面向普通租户： 当普通租户购买华为乾坤后，发现本身不具备完备的网络建设、业务管理、安全运维能力时，可以委托专业的MSP管理，以降低企业人力和资金的投入。 面向华为乾坤运营人员： 华为乾坤运营人员主要负责华为乾坤拉新促活工作。 MSP是华为乾坤运营团队的重要合作伙伴，协助其推广和销售华为乾坤产品。 因此，MSP经常被称为华为乾坤的代理商。 MSP、普通租户、华为乾坤运营人员之间有密切的联系，详细关系和职责如表1所示。 表1 用户职责和关系表 用户分类 由谁来创建 主要职责 租户（Tenant） 支持自注册 MSP管理员创建 根据具备的IT能力分为2种： 租户管理员自行完成设备上线、网络部署、服务运维等，即租户自建自维。 租户管理员向MSP申请代建代维服务，即MSP代建代维。 管理服务提供商（MSP） 平台运营人员审批和创建 代建：MSP帮助租户设备上线、网络部署。 代维：租户委托MSP后，MSP可以对委托业务进行日常状态查看、定期巡检，发现并处理业务运行中存在的异常和问题，同时给出风险评估和事件处置方法。 推广和销售华为乾坤。 说明： 部分服务可以通过MSP线下购买，如边界防护与响应服务，具体购买流程请参考对应的服务文档。 华为乾坤运营人员（Operator） 安装华为乾坤平台后自行创建 负责华为乾坤拉新促活，开展营销工作。 管理和创建MSP。

基本概念 华为乾坤面向两大用户群体，即普通租户和MSP（Managed Service Provider，管理服务供应商）。 普通租户一般是企业级的用户或组织。他们基于自身业务发展需求，出资购买所需的云服务和设备。 MSP一般是指为普通租户提供网络部署、管理、安全检测、安全防御以及运维等一系列工作的机构。他们通常具备较为专业的业务管理和维护能力。 针对网络安全领域的MSP，又称为MSSP（Managed Security Service Provider，安全管理服务提供商）。

操作步骤 单击控制台页面右上角帐号，选择“委托”进入委托界面。 审批委托申请。 在“待我审批”的申请中，可以查看租户提供的说明及委托服务，您可以选择“拒绝”或“同意”。 同意：若选择同意，输入接受说明，勾选“受托方需在授权范围内行使权利，超授权行为自行承担相应法律后果”，单击“确定”即可。 拒绝：若选择拒绝，直接输入审批说明，单击“确定”即可。 图1 租户委托服务申请 删除委托关系。 删除委托关系后，无法再代维委托方的数据，请确保委托方已知晓，并且与委托方已达成一致。 在委托条目上，单击可以发起删除委托关系申请，当租户审批同意后，该委托关系将被删除。 查看委托记录。 在委托页面，单击“委托记录”，可以查看发起的申请和审批的申请。对于处于待审批中的申请，单击可以撤销委托。

后续操作 接收人管理： 搜索：在列表左上方搜索框内输入接收人名称，单击左侧或者按回车键直接搜索。 消息接收配置：单击接收人列表中“消息接收配置”，可以为当前接收人设置接受的消息类型等。 修改接收人信息：单击接收人列表中“修改”，可以修改接收人相关信息，包括名称、手机号、邮箱等。 删除接收人： 单个删除：单击接收人列表中“删除”，可以删除当前接收人。 批量删除：选中需要删除的接收人，单击列表右上方“删除”。

License管理页面介绍 资源概览。支持查看各状态下的资源数量以及资源总数。 正常：当前资源使用时间距离预期过期时间超过30天时，显示为“正常”状态。 即将欠费：当前资源使用时间距离预期过期时间小于30天，显示为“即将欠费”状态。 欠费：当前资源使用时间超过预期到期时间不超过90天时，显示为“欠费”状态。 停用：当前资源使用时间超过预期到期时间大于90天时，显示为“停用”状态。 资源详情。支持通过“资源视图”和“租户视图”两种视图查看资源详情。 资源视图。支持从套餐维度查看资料详情，包括资源名称、产品名称、状态、剩余（台/天）、消耗（台/天）、总数（台/天）、预期过期时间、停用时间等。单击列表可以查看当前资源分配情况。 租户视图。支持从租户维度查看资料详情，包括租户名称、关联资源、激活时间等。单击列表可以查看当前租户资源信息。 资源搜索： 关键字搜索：在列表上方输入资源名称，单击图标或回车键进行搜索。 高级搜索：单击“高级搜索”，根据资源状态、停用时间搜索。 资源排序：当前支持按资源名称、资源状态和停用时间对列表资源进行排序。

服务价值 企业分支多、设备类型多样、安全威胁增多，企业对网络统一管控、统一运维、统一安全处置的诉求激增。华为乾坤实现云、网、端一体化管控保障，解决企业诉求，主要价值如表1所示。 表1 华为乾坤价值 用户诉求 华为乾坤价值 无专业网络运维能力，希望快速开局、云端统一运维 网络自动化部署和编排，扫码开局、智能校验；云端网络巡检、健康监测，降低运维难度。 无专业安全运维能力，而且满足国家等保要求难度比较大 安全事件云端自动处置+安全专家7*24小时云端值守，提供等保方案包一站式满足等保要求。 应用体验保障优化 提供3D WiFi仿真、网络大屏等应用可视和应用保障服务，提升应用体验。 摄像头、传感器、电表等物联终端统一纳管 提供物联感知、物联安全服务，使终端快速接入网络、统一运维、统一监控安全风险。

如何 免费体验 华为乾坤 当前华为乾坤支持用户免费体验，用户可以通过免费体验快速了解华为乾坤。 免费体验操作步骤如下： 进入华为乾坤商城首页。 单击商城右上角“体验Demo”。根据页面提示填写相关信息，并勾选“我已阅读并同意免费体验隐私政策声明”和“我同意对体验活动进行回访”。 图1 免费体验 单击“立即体验”，跳转登录华为乾坤控制台，支持体验全部云服务，具体服务详情介绍请参见各服务用户文档。 若在体验之后想申请试用服务，单击页面右侧“注册并申请试用”。 图2 申请试用 申请试用。 当前手机号未注册正式帐号，需要在弹窗中注册帐号，输入密码后单击“确定”自动登录华为乾坤平台。 图3 注册帐号 当前手机号已注册正式帐号，在弹窗中确认当前正式帐号，系统自动切换正式帐号登录。 在申请试用页面，选择需要试用的服务并填写相关信息，提交试用申请。 图4 免费试用 父主题： 常见问题

准备工作 腾讯云不支持公网迁出，需要通过ECS做数据转发实现迁移功能。 通过专线迁移 需要在腾讯侧购买一台ECS，确保能连接到华为云GeminiDB Redis。 配置数据转发，将本地端口接收的流量转发到目标端，实现从腾讯云Redis迁移至GeminiDB Redis。 ssh -g -L (转发端口):(华为侧Redis 负载均衡IP):(华为侧Redis端口) -N -f root@（本地ECS IP） 通过弹性公网IP迁移 需要在腾讯侧购买一台ECS，购买并绑定腾讯侧弹性公网IP。 提前购买华为侧弹性公网IP，确保带宽大于源库流量，并绑定在GeminiDB Redis其中一个节点上。 配置数据转发，将本地端口接收的流量转发到目标端，实现从腾讯云Redis迁移至GeminiDB Redis。 ssh -g -L (转发端口):(华为侧弹性公网 IP):(华为侧Redis端口) -N -f root@（本地ECS IP）

使用须知 腾讯云侧源端需与华为侧目标端网络互通，需要开通专线或绑定公网IP。 腾讯云DTS数据同步功能实时收费，使用前请确保腾讯云账户余额充足。 华为云GeminiDB Redis容量不得小于腾讯云数据库Redis的内存容量。 注意放开源端和目标端安全组正确配置。 腾讯云不支持公网迁出，需要通过ECS做一层转发到华为云。 腾讯云Redis未开放sync/psync命令，需提交工单放开。 腾讯云DTS未开放下云白名单，需提交工单放开。 腾讯侧部分Redis比较特殊，无法实现在线全量加增量迁移，需要使用全量扫描方式来迁出，请参考开源Redis全量扫描迁移到GeminiDB Redis。

准备工作 通过公网IP迁移 提前购买华为侧弹性公网IP，带宽需要大于源库流量。 将弹性公网IP绑定到华为云GeminiDB Redis其中一个节点上。 配置DTS时选择目标库接入方式为公网IP。 通过专线迁移 提前购买阿里侧ECS，确保能连通到华为云GeminiDB Redis。 配置数据转发，将本地端口接收的流量转发到目标端，实现从阿里云Redis迁移至GeminiDB Redis。 ssh -g -L (转发端口):(华为侧Redis 负载均衡IP):(华为侧Redis端口) -N -f root@（本地ECS IP） 配置DTS时选择目标库接入方式为ECS自建数据库。

购买DTS数据同步功能 源端选择阿里云侧 Redis服务，如果使用弹性公网IP迁移，目标端选择公网IP，主机名称填写弹性公网IP；如果使用专线迁移，目标端选择ECS自建Redis，主机名称填写ECS 对应IP，端口号填写转发端口号，并输入数据库密码，单击测试链接，若测试无异常跳转至下一页面，否则检查整条链路是否正常，白名单配置是否正确。 图1 源端和目标端配置 根据需要选择迁移类型（全量迁移或全量迁移+增量迁移）。选择预检查并报错拦截，选择所需要迁移的DB。 若客户使用多DB功能，需要勾选需要迁移的DB。若没有使用多DB功能，则只选择DB0。 图2 待迁移DB 图3 根据需要设置告警及重试时间等参数，根据需要设置校验配置 待预检查完成后，单击“下一步购买”。 图4 预检查 选择迁移时的带宽，单击“购买并启动”。 图5 带宽配置 使用全量迁移+增量迁移时，迁移任务不会自动结束。当观察到无延迟（延迟0毫秒），则全量同步已完成。 图6 任务状态

使用须知 阿里云侧源端需与华为侧目标端网络互通，需要开通专线或绑定公网IP。 阿里云DTS数据迁移功能实时收费，使用前请确保阿里云账户余额充足。 华为云GeminiDB Redis容量不得小于阿里云数据库Redis的内存容量。 注意放开源端和目标端安全组配置。 阿里侧部分Redis比较特殊，例如Tair混合存储型，无法实现在线全量加增量迁移，需要使用全量扫描方式来迁出，请参考开源Redis全量扫描迁移到GeminiDB Redis。

防暴力破解 防暴力破解安全机制 GeminiDB Redis默认开启auth认证的防暴力破解功能，当auth认证错误次数累计超过5次，该IP会被后台锁定，不能继续进行auth认证。 自动解除机制 当一个IP被锁定超过5秒后，该IP会被自动解锁，此后可以重新进行认证。 人工解锁 如需人工解锁IP，或关闭实例的防暴力破解功能，请联系客服提交工单，进行授权确认。 为进一步提高安全性，可根据实际情况提交工单，由技术人员协助进行认证次数及锁定时长的调节。 为保证安全性，请您充分评估风险，谨慎关闭或调整该安全策略，关闭后由此带来的安全风险及事故，将不计入服务SLA中，由客户自行承担。 父主题： 账号与安全

响应参数 状态码： 200 表2 响应Body参数 参数 参数类型 描述 charge_mode String 账号的计费模式 product_type String 加速类型 effective_time Long 该模式生效时间 create_time Long 创建时间 service_area String 该模式的区域 status String 状态,首次开通状态为active,之后修改为upcoming 状态码： 400 表3 响应Body参数 参数 参数类型 描述 error ErrMsg object 用于返回具体的错误码和错误消息 表4 ErrMsg 参数 参数类型 描述 error_code String 错误码 error_msg String 错误描述