华为云用户手册

安装包部署 添加边缘应用-应用配置 部署方式选择安装包部署 添加边缘应用-软件和运行配置 安装包地址为{桶名/对象名}。 如桶名为edge-monitor,对象名为monitor-app.zip， 则安装包为edge-monitor/monitor-app.zip。 添加边缘应用-端点和部署配置同容器化部署 根据需要进行配置。 输入端点输出端点与demo中的设置对应，如monitor-app中输入与输出端点设置为input和output,则配置为： 输入端点：input。 输出端点：output。 输入输出端点是非必需配置的，当有数据流转时需要配置，如OT应用（数据处理）。 驱动类应用和IT应用一般不需要配置。 配置确认,填写基本信息 单击“确认添加”，完成应用的创建；单击"立即发布"，完成应用创建并发布新版本

基本概念 账号 用户注册华为云时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用他们进行日常管理工作。 用户 由账号在 IAM 中创建的用户，是云服务的使用人员，具有身份凭证（密码和访问密钥）。 在我的凭证下，您可以查看账号ID和用户ID。通常在调用API的鉴权过程中，您需要用到账号、用户和密码等信息。 区域（Region） 从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 详情请参见区域和可用区。 可用区（AZ，Availability Zone） 一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 项目 华为云的区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中购买资源，然后以子项目为单位进行授权，使得用户仅能访问特定子项目中资源，使得资源的权限控制更加精确。 图1 项目隔离模型 父主题： 使用前必读

调用API获取项目ID 获取项目ID的接口为“GET https://{Endpoint}/v3/projects”，其中{Endpoint}为IAM的终端节点。接口的认证鉴权请参见认证鉴权。 响应示例如下，例如， 语音交互 服务部署的区域为“cn-north-4”，响应消息体中查找“name”为“cn-north-4”，其中projects下的“id”即为项目ID。 { "projects": [ { "domain_id": "65382450e8f64ac0870cd180d14e684b", "is_domain": false, "parent_id": "65382450e8f64ac0870cd180d14e684b", "name": "project_name", "description": "", "links": { "next": null, "previous": null, "self": "https://support-intl.huaweicloud.com/zh-cn/devg-apisign/api-sign-provide.htmlcd05f897d6b99" }, "id": "a4a5d4098fb4474fa22cd05f897d6b99", "enabled": true } ], "links": { "next": null, "previous": null, "self": "https://www.example.com/v3/projects" } }

云边协同引擎服务 销售项 报价项 规格 量纲 单价 备注（企业版） 云边协同引擎服务 IoT边缘企业版（订阅） 小规格（规格小于100CPU的边缘集群） 每集群/年 详细产品价格，请参考这里。 每套集群规格不超过100CPU，边缘服务器硬件需要客户提供，需满足边缘运行环境要求。 大规格（规格小于500CPU的边缘集群） 每集群/年 每套集群规格不超过500CPU，边缘服务器硬件需要客户提供，需满足边缘运行环境要求。 运维系统对接（一次性） 按系统个数 每系统/次 提供边缘集群上与第三方运维系统的对接，支持如 APM 等系统对接。 专业服务（一次性） 按人天 每人天 提供咨询规划、边缘部署、现场培训、告警配置、插件开发、交付实施、驻场、巡检等专业服务。 若需要运维系统对接服务，则需要单独购买专业服务，IoT边缘企业版不包含硬件资源，需要客户另购硬件。

客户端错误码 本章节介绍了Web SDK的客户端错误码RtcErrorCode的详细信息。 表1 错误码说明 类成员 错误码 描述 错误原因或建议处理方式 RTC_ERR_CODE_SUC CES S 0 success 成功。 RTC_ERR_CODE_RTC_SDK_ERROR 90000001 sdk internal error SDK内部错误，联系华为工程师。 RTC_ERR_CODE_WAIT_RSP_TIMEOUT 90000004 message response timeout 消息响应超时，联系华为工程师。 RTC_ERR_CODE_INVALID_PA RAM ETER 90000005 invalid parameter 参数传递错误，请参照API文档排查。 RTC_ERR_CODE_INVALID_OPERATION 90100001 illegal operation 非法操作，用户状态不正确。 RTC_ERR_CODE_NOT_SUPPORT_MEDIA_DEVICES 90100002 not support enumerate devices 浏览器不支持enumerateDevices方法。 RTC_ERR_CODE_NO_AVAILABLE_DEVICES 90100003 no available devices 没有找到可用设备，请排查设备是否就绪。 RTC_ERR_CODE_NO_AVAILABLE_VIDEO_INPUT_DEVICES 90100004 no available video input devices 没有找到可用摄像头设备，请排查视频采集设备是否就绪。 RTC_ERR_CODE_NO_AVAILABLE_AUDIO_INPUT_DEVICES 90100005 no available audio input devices 没有找到音频输入设备，请排查音频采集设备是否就绪。 RTC_ERR_CODE_NO_AVAILABLE_AUDIO_OUTPUT_DEVICES 90100006 no available audio output devices 没有找到音频输出设备。 RTC_ERR_CODE_STATUS_ERROR 90100007 room status error 房间状态不正确，检查是否入会成功。 RTC_ERR_CODE_WEBSOCKET_NOT_CONNECTED 90100008 websocket connection state is not "CONNECTED" websocket 链接未成功，检查链接情况。 RTC_ERR_CODE_WAIT_CONFIG_FAIL 90100009 wait server config fail 获取下发配置失败，请联系华为工程师。 RTC_ERR_CODE_PUBLISH_RESPONSE_FAIL 90100010 publish response fail 发布流响应失败，请联系华为工程师。 RTC_ERR_CODE_REGION_NOT_COVERED 90100011 current region is not covered, service unavailable 没有找到服务端地址，请联系华为工程师。 RTC_ERR_CODE_WEBSOCKET_CONNECT_TIMEOUT 90100012 websocket connect timeout websocket建链超时，请联系华为工程师。 RTC_ERR_CODE_WEBSOCKET_RECONNECT_TIMEOUT 90100013 websocket reconnect timeout websocket重连超时，请联系华为工程师。 RTC_ERR_CODE_WEBSOCKET_NOT_OPEN 90100014 websocket is not open websocket链接未打开，请联系华为工程师。 RTC_ERR_CODE_WEBSOCKET_INTERRUPTED 90100015 websocket connection state is idle, interrupt operation websocket链接被强制关闭，一般为离会或者重连。 RTC_ERR_CODE_WEBSOCKET_CONNECT_ERROR 90100016 websocket connect error websocket监听onerror，服务端主动断链。 RTC_ERR_CODE_CAPTURE_PERMISSION_DENIED 90100017 capture failed, permission denied 采集失败，音视频设备采集权限未被授权。建议提示用户授权摄像头/麦克风访问权限。 RTC_ERR_CODE_CAPTURE_OVER_CONSTRAINED 90100018 capture failed, Constraint parameter invalid 采集失败，音视频采集设备不支持设置的采集约束。 RTC_ERR_CODE_CAPTURE_DEVICE_NOT_FOUND 90100019 capture failed, requested device not found 采集失败，设备未找到。建议在通话开始前引导用户检查通话所需的摄像头或麦克风等设备是够就绪。 RTC_ERR_CODE_CAPTURE_DEVICE_NOT_READABLE 90100020 capture failed, maybe device is occupied by other application 采集失败，设备被占用，请检查使用状态。建议提示用户“暂时无法访问摄像头/麦克风，请确保当前没有其他应用请求访问摄像头/麦克风，并重试”。 RTC_ERR_CODE_PLAY_NOT_ALLOW 90100021 the user didn't interact with the document first, please trigger by gesture 不允许播放。 RTC_ERR_CODE_ROLE_NO_PERMISSION 90100022 the user role have no permission to operate 用户角色没有权限，请检查用户角色。 RTC_ERR_CODE_ANSWER_SDP_INVALID 90100023 the answer sdp is invalid SDP协商错误，请联系华为工程师。 RTC_ERR_CODE_MEDIA_UPSTREAM_UNSUPPORTED 90100024 the upstream media is not supported 浏览器不支持媒体采集。 RTC_ERR_CODE_MEDIA_NETWORK_ERROR 90100026 media connection establish failed, please switch network or try again later 媒体建链失败，请切换网络重试。 RTC_ERR_CODE_CLIENT_RELAY_ROOM_OVER_MAXNUM 90100027 relay room number over maxium number 跨房数量超过最大值。 RTC_ERR_CODE_CLIENT_RELAY_JOINER_OVER_MAXNUM 90100028 joiner already exist in relay rooms 跨房内主播人数超过最大值。 RTC_ERR_CODE_ROOM_STREAM_STATUS_PAUSED 90100029 room stream status paused 房间音视频暂停。 RTC_ERR_CODE_SIGNATURE_EXPIRED 90100030 signature expired 签名过期。 RTC_ERR_CODE_SIGNATURE_INVALID 90100031 signature invalid 签名非法。 RTC_ERR_CODE_RTC_A CS 90100100 server internal exception 服务端内部错误，请联系华为工程师。 RTC_ERR_CODE_RTC_CONTROL_ERROR 90100200 server internal exception 服务端内部错误，请联系华为工程师。 RTC_ERR_CODE_SFU_ERROR 90100300 server internal exception 服务端内部错误，请联系华为工程师。 父主题： 接口参考

步骤二：纳管VPC 在“VPC纳管”页面，单击“纳管”。 配置VPC纳管参数，配置参数如表2所示，配置完成后，单击“确定”。 纳管后该VPC会显示在VPC列表中。 表2 VPC纳管参数说明 参数名称 参数说明 HWS 账号 选择需要纳管的VPC所属的华为云账号。 HWS 区域 选择需要纳管的VPC所在的区域。 VPC名称 选择需要纳管的VPC。 终端节点子网 选择为需要纳管的VPC创建终端节点的子网。 说明： 如果该VPC下存在多个子网，其他子网需要与该子网保持网络互通。

修订记录 发布日期 修改记录 2024-04-15 第十一次正式发布。 优化： 跨云跨VPC线上线下统一运维最佳实践补充加密协议说明。 2023-05-11 第十次正式发布。 优化变更前必读章节描述，添加 堡垒机 支持变更的规格。 2022-10-31 第九次正式发布。 云堡垒机 等保最佳实践 跨云跨VPC线上线下统一运维最佳实践 如何使用堡垒机对安全事故进行事后追溯 2021-11-03 第八次正式发布。 资料优化。 2021-07-15 第七次正式发布。 原基础版更名为标准版，增强版更名为专业版。 2021-07-05 第六次正式发布。 本次更新说明如下： 修改了变更版本规格，入口修改。 2021-01-25 第五次正式发布。 本次更新说明如下： 修改了扩容前必读，新增1000资产规格。 2020-08-07 第四次正式发布。 本次更新说明如下： 修改了扩容前必读，新增500资产规格。 2020-06-05 第三次正式发布。 本次更新说明如下： 修改了扩容云堡垒机规格，按照变更规格前中后提供操作和说明指导。 2020-03-27 第二次正式发布。 本次更新说明如下： 新增了数据库运维高危操作的复核审批。 2019-07-02 第一次正式发布。 本次更新说明如下： 新增了升级云堡垒机规格。

CentOS8配置代理示例 执行如下命令，安装3proxy软件包 yum install -y epel-release yum install -y 3proxy 执行如下命令，进行极简配置 nscache 65536 timeouts 1 5 30 60 180 1800 15 60 #设置用户名：在users指令后输入您需要设置的用户名，本章节以test为例 密码：在CL指令后输入您需要设置的用户名，本章节以test为例。 users test:CL:test daemon log /var/log/3proxy/3proxy.log logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T" archiver gz /bin/gzip %F rotate 30 external 0.0.0.0 internal 0.0.0.0 auth strong allow test maxconn 20 socks flush 启动服务 systemctl start 3proxy

设置代理服务器 在需要对跨网络域的服务器进行管理运维前，需要在对端网络域中配置一台网络代理服务器。将该代理服务器与业务服务器通过内网进行互通，再将代理服务器到云堡垒机网络进行互通，即可完成云堡垒机到业务服务器之间跨域的网络互联。 该部分操作是达成堡垒机跨域纳管主机资源的前提。 为代理服务器启用网络代理服务 登录代理服务器，进行代理服务器（3proxy）设置。 步骤二至步骤四中的命令，均已CentOS7为例。如需CentOS8代码示例，请参见CentOS8配置代理示例。 上传3proxy压缩包并解压后，进入对应目录执行以下命令： bash install.sh 输入如下命令，添加3proxy用户 /etc/3proxy/add3proxyuser.sh myuser mypassword 重启代理服务3proxy systemctl restart 3proxy socks5代理协议（端口：1080）没有加密功能，若通过代理服务器运维使用了非加密的协议类型，请务必在安全组设置中禁止非必要的IP访问。 如果需要加密传输或数据安全的考量，在选择出入方向规则时建议选择有加密的协议类型：SSH、RDP、SFTP、SCP、Rlogin。 为代理服务器配置安全组规则 进行代理服务器入方向规则配置，允许堡垒机访问代理服务器，协议端口及源地址填写规则请见图2。 图2 入方向规则配置 在“协议端口”中填写socks5代理服务器默认的“1080”端口。 在“源地址”中填写堡垒机的IP地址。 进行代理服务器出方向规则配置，允许代理服务器访问待纳管的业务服务器，源地址填写规则请见图3。 图3 出方向规则配置

代维方式介绍 MSP（Managed Service Provider，管理服务供应商），一般是指为普通租户提供网络部署、管理、安全检测、安全防御以及运维等一系列工作的机构。MSP通常具备较为专业的业务管理和维护能力。 当普通租户购买华为乾坤后，发现本身不具备完备的网络建设、业务管理、安全运维能力时，可以委托专业的MSP管理，以降低企业人力和资金的投入。租户委托MSP后，MSP可以对委托业务进行日常状态管理、定期巡检，发现并处理业务运行中存在的异常和问题，同时给出风险评估和事件处置方法。 一个租户帐号可与多个MSP帐号建立委托关系，一个MSP帐号可代维多个租户帐号下的服务。 MSP支持以下两种代维方式： 以租户维度进行代维：MSP直接以租户身份进入租户页面进行操作。 以服务维度进行代维：MSP对单服务下所有代维租户进行管理和操作。 边界防护与响应服务的代维既支持按租户维度代维，也支持按服务维度代维。 父主题： MSP代维指导

连接业务线缆（USG67xxF） 图2以USG6710F为例，USG67xxF可参照该图连线。USG67xxF只支持光接口，请使用光纤连接光接口。 图2 USG6710F连接业务线缆 表2 接口使用说明 接口丝印 接口编号 说明 0 100GE0/0/0 业务下行口，为三层口，连接局域网交换机，此处以100GE0/0/0为例。 1 100GE0/0/1 业务上行口，为三层口，连接互联网，此处以100GE0/0/1为例。 MGMT MEth0/0/0 设备管理网口，连接管理PC，用于登录设备的配置界面进行业务配置。默认IP地址为192.168.0.1。

连接业务线缆（USG65xxF、USG66xxF、USG6000F-Exx） 图1以USG6615F为例，USG65xxF、USG66xxF、USG6000F-Exx可参照该图连线。 图1 USG6615F连接业务线缆 表1 接口使用说明 接口丝印 接口编号 说明 6 GE0/0/6 业务下行口，为三层口，连接局域网交换机，此处以GE0/0/6为例。 7 GE0/0/7 业务上行口，为三层口，连接互联网，此处以GE0/0/7为例。 MGMT MEth0/0/0 设备管理网口，连接管理PC，用于登录设备的配置界面进行业务配置。默认IP地址为192.168.0.1。 说明： USG6510F-D、USG6510F-DK、USG6510F-DL、USG6530F-D、USG6530F-DL、USG6307F-D、USG6311F-D、USG6331F-D使用GE0/0/0作为设备管理网口。

背景信息 天关的奇数编号接口（属于untrust区域）用于连接上行设备，偶数编号接口（属于trust区域）用于连接下行局域网设备，如果上下行连接错误，将影响华为乾坤威胁事件通知及展示。 华为乾坤根据过去24小时聚合的IPS事件和CDE事件，判断天关上下行接口连线接反的概率，例如CDE事件的概率为100%，则表示根据CDE事件判断，天关上下行接口连线100%接反。 华为乾坤将判断的结果提供给安全运营专家，安全运营专家根据IPS事件和CDE事件综合判断是否接反，如果确认接反，则在此界面提示用户存在设备安全域接反的情况。

套餐扣减方式 云日志 审计服务的套餐扣减方式为每天凌晨2:00定时在当前套餐余额的基础上扣减前一天的日志量。 具体扣减方式如下： 计算前一天所有资产上报的平均日志量。平均日志量不足0.6GB/天，按0.6GB扣减，超过0.6GB/天，按实际扣减。 公式：前一天的平均日志量=前一天总日志量/前一天上报日志的资产数 计算剩余套餐余额。 公式：剩余套餐余额 = 当前剩余的套餐余额 - 前一天上报日志的资产数*平均日志量 举例说明： 以线下购买“20个资产，1年”套餐为例，介绍详细扣减方式。 假设第5天时，剩余套餐余额为4320GB，当天有20个资产上报日志，日志总量为20GB，则平均日志量为1GB/天（超过0.6GB/天，按实际进行扣减），扣减量为20*1GB=20GB。第6天凌晨2:00，系统会对第5天的套餐余额进行扣减，则扣减后，第6天剩余套餐余额 =第5天的总套餐余额-第5天的扣减量=4320GB-20GB=4300GB。 当剩余套餐余额不足时，系统会发送告警，提醒用户追加购买套餐。 当剩余套餐余额为0时，将不再接收审计日志。 若套餐达到服务期限，但剩余套餐余额仍大于0的情况下，如果到期前未续购套餐，系统将不再接收审计日志，并清空剩余套餐余额。如果到期前及时续购套餐，则可以继续使用剩余套餐余额。 当一段时间内每天的平均日志上报量超过资产数*0.6G，则可能出现归档日志剩余存储容量为0，但剩余套餐余额大于0的情况，此时新的日志将会覆盖最早的日志。此情况下，客户的归档日志存储时间将达不到180天。

场景描述 根据日志存储方式的不同，将云端存储空间划分为实时数据存储空间和归档数据存储空间两种。 实时数据存储空间：存储空间小，存储不超过当前套餐容量的最新日志；可以进行实时全文检索，查询速度快。 归档数据存储空间：存储空间大，可以存储符合等保要求的日志存储量；可以进行全量查询，但查询速度较慢。 考虑到日志的存储量大，存储周期长，如果使用热存储方式存储全部数据会造成用户使用成本过高。因此，当用户日志存储容量超过套餐内可用实时数据（热存储方式）存储空间时，会将实时数据存储空间内最早存储的日志数据存储到归档数据（冷存储方式）存储空间中。

背景信息 IP黑名单是一种阻断措施，华为乾坤将IP黑名单下发给设备后，设备会丢弃命中IP黑名单的报文。 从威胁事件维度看，下发IP黑名单有如下几种方式。 外部攻击源：包括华为乾坤自动下发、安全运营专家下发、用户执行“封禁攻击源”下发。 失陷主机：用户可以执行“隔离主机”下发。 此外，用户还可以根据实际的网络环境或业务需要，从设备维度（针对某设备）手动下发IP黑名单，作为上述IP黑名单下发的补充手段，以提高安全防护的灵活性。 IP白名单是一种放通措施，华为乾坤将IP白名单下发给设备后，设备会放通命中IP白名单的报文。 高等级租户享有对自身及下级租户的IP黑白名单的创建、修改权限。 用户手动下发黑白名单时，如果设备黑白名单数量超规格，则会提示下发失败。 华为乾坤自动下发黑名单时，如果设备黑名单数量超过规格，华为乾坤将滚动删除之前自动下发的黑名单，以保证本次下发成功。当剩余的黑名单都由用户手动下发时，华为乾坤自动下发也会失败。

MSP基础操作 表1 MSP基础操作 操作任务 使用场景 操作入口 详细参考链接 登录控制台 当您使用服务时，需要使用MSP帐号登录控制台。 访问华为乾坤商城，单击右上角“登录”进行登录。 注册并登录控制台 个人中心设置 当您需要对个人帐号信息进行个性化设置，包括用户名、密码、邮箱、头像等修改。 单击控制台右上角个人帐号，选择“个人中心”。 个人中心设置 分权分域 支持分权分域管理。您可以根据组织结构划分不同的工作组，并为不同的工作组创建MSP帐号。 单击控制台右上角个人帐号，选择“权限管理”。 帐号管理 管理租户 支持MSP创建、查询、修改、导出租户信息。 单击控制台右上角“租户”。 租户管理 创建工单 当您使用服务时，一旦发现问题可立即创建工单。随后，华为乾坤工程师根据工单记录进行问题分析和处理。 单击控制台右上角个人帐号，选择“我的工单”。 工单管理 查看日志 日志主要包括操作日志和安全日志。 单击控制台右上角个人帐号，选择“日志”。 日志查看 查看公告 当您需要了解服务最新消息，如产品公告、安全公告、升级公告等，可以查看。 单击控制台右上角个人帐号，选择“公告”。 查看公告 父主题： 更多操作

配置天关/防火墙上线 本服务需要客户侧部署天关或防火墙才能正常使用。本服务配套的天关或防火墙的型号，如表1所示。 表1 天关或防火墙的型号 设备类型 设备型号 支持版本 天关 USG65xxE-C：USG6501E-C/USG6502E-C/USG6503E-C USG66xxF-C：USG6603F-C/USG6606F-C USG65xxE-C：V600R007C20SPC300及其后续版本。针对云日志审计服务，支持的版本为V600R007C20SPC500及其后续版本。 USG66xxF-C：V600R022C10及其后续版本 防火墙 USG65xxE：USG6515E/USG6525E/USG6530E/USG6550E/USG6555E/USG6560E/USG6565E/USG6575E-B/USG6580E/USG6585E USG65xxE-K：USG6520E-K/USG6560E-K/USG6590E-K USG66xxE：USG6610E/USG6620E/USG6630E/USG6650E/USG6680E/USG6605E-B/USG6620E-K/USG6640E-K USG67xxE：USG6712E/USG6716E USG65xxF：USG6525F/USG6555F/USG6565F/USG6585F/USG6520F-K/USG6560F-K/USG6590F-K/USG6510F-D/USG6530F-D/USG6510F-DK/USG6510F-DL/USG6530F-DL USG66xxF：USG6615F/USG6625F/USG6635F/USG6655F/USG6685F/USG6620F-K/USG6650F-K USG67xxF：USG6710F/USG6715F/USG6725F/USG6710F-K USG6530E：V600R007C20SPC600及其后续版本 USG66xxE、USG67xxE：V600R007C20SPC603及其后续版本 USG65xxF、USG66xxF、USG67xxF：V600R022C10 及其后续版本 说明： USG66xxF、USG67xxF在使用资产主动发现功能时，可能出现主机发现资产数小于实际资产数的情况，请参见FAQ进行处置。 其他型号：V600R007C20SPC500及其后续版本 由于边界防护与响应服务、 漏洞扫描服务 和云日志审计服务均需要使用天关或防火墙，故共用一套上线指南，具体操作请参见《天关和防火墙上线指南》。 父主题： 部署指南

租户基础操作 表1 租户基础操作 操作任务 使用场景 操作入口 详细参考链接 委托MSP管理 当您需要委托MSP（服务渠道商）进行日常运维时，需要执行委托操作。 单击控制台右上角个人帐号，选择“委托”。 委托MSP管理 创建工单 当您在使用服务时，一旦发现问题即可创建问题工单。随后，华为工程师根据工单记录进行问题分析和处理。 单击控制台右上角个人帐号，选择“我的工单”。 工单管理 新建用户 华为乾坤支持分权分域管理。您可以根据组织结构划分不同的工作组，并为不同的工作组创建用户。 单击控制台右上角个人帐号，选择“权限管理”。 创建用户 订阅 华为乾坤支持订阅功能。订阅之后，华为乾坤会向订阅接受者发送订阅主题相关的信息。 单击控制台右上角个人帐号，选择“订阅”。 订阅管理 查看日志 日志主要包括操作日志和安全日志。当您需要了解相关信息的时候，可以查看。 单击控制台右上角个人帐号，选择“日志”。 日志查看 父主题： 更多操作

Portal微信公众号认证（AP作为认证点） 访客可以通过关注微信公众号获取链接进行认证。用户关注公众号之后，在公众号中回复消息，公众号返回上网链接，用户单击链接认证，也可以直接在公众号单击上网菜单认证。支持单公众号认证和多公众号认证，多公众号适用于商家有多个公众号，用户不论关注哪个公众号，都能获取到认证链接上网的场合。 总体配置思路 配置微信公众平台 认证服务器侧的配置 认证控制点侧的配置（配置SSID） 结果验证 父主题： 配置用于访客上网的准入认证

创建三方系统接入用户 获取试用权限，当前仅限于华为内部测试用，可联系网络环境监控和用户体验保障服务研发团队进行支持，协助进行开通；外部帐号只能通过购买云管理网络服务获得试用权限。 登录华为乾坤控制台。 鼠标移动至登录用户名，在下拉菜单中单击“权限管理”，选择“用户管理”页签。 单击“创建”，创建用户。 在“基本信息”界面，“类型”选择“三方系统接入用户”，并依次设置访问API接口的用户名和密码，单击“下一步”。 在“选择角色”界面，勾选“云管理网络开放接口操作员”。 创建完成后，通过用户名和密码，调用IAM接口获取到Token。

Token认证 Token的有效期为30分钟，需要使用一个Token鉴权时，可以先缓存起来，避免频繁调用。 使用Token前请确保Token离过期有足够的时间，防止调用API的过程中Token过期导致调用API失败。 Token在计算机系统中代表令牌（临时）的意思，拥有Token就代表拥有某种权限。Token认证就是在调用API的时候将Token加到请求消息头，从而通过身份认证，获得操作API的权限。 Token可通过调用获取用户Token接口获取，请求body填写数据，参考如下所示。 POST https://openapi.qiankun-saas.huawei.com/v1/iam/tokens Content-Type: application/json { "user_name": "***", "password": "***" } 获取Token 后，再调用其他接口时，您需要在请求消息头中添加“x-auth-token”，其值即为Token。例如Token值为“ABCDEFJ....”，则调用接口时将“x-auth-token: ABCDEFJ....”加到请求消息头即可，如下所示。 GET https://openapi.qiankun-saas.huawei.com/v1/ci/expmonitor/common/basic?param={"id":"/","regionType":"site","level":0,"tenantId":"default-organization-id","startTime":1597766400000,"endTime":1597820400000,"settingRefresh":false,"metricType":"accessSuccessRate"} Content-Type: application/json x-auth-token: ABCDEFJ....

配置思路 图1是典型网络部署流程和步骤，如果您的网络业务有特殊需求，可以在此基础上进行调整。 图1 配置流程图 本案例以第三方路由器作为网关设备，整网设备均在华为乾坤云平台纳管。其中WAC、核心交换机通过Web网管、命令行方式上云，核心交换机下挂的设备通过DHCP Option方式上云，然后远程进行业务配置。 数据规划。 使用云网规工具自动规划AP的安装点位，确保AP的无线信号对大型卖场全覆盖。 规划网络信息，包括组网方案、设备款型、接口、无线业务、QoS策略、网络安全策略等。 配置前准备。 （可选）手机下载并安装华为乾坤APP软件，用于网络验收。 现场安装设备，包括硬装、连线、上电等，并确保两台核心交换机完成堆叠配置。 第三方路由器作为出口网关，已接入运营商网络，并确保其与核心交换机的对接，保证路由可达。 设备上线。 创建站点并添加设备：在华为乾坤云平台创建站点，将所有设备加入同一个站点，以便统一配置。 配置设备上线云平台。 核心交换机注册上线：采用命令行配置对接云平台。 核心交换机下挂设备注册上线：在核心交换机（作为DHCP Server）上配置下挂设备的地址池和DHCP Option148参数。接入交换机采用DHCP Option148方式注册上线，也就是从DHCP Server上获取IP地址的同时也获取华为乾坤云平台的IP/URL地址和端口号，完成注册上线。 WAC注册上线：工作模式切为云管理模式，采用Web网管配置对接云平台。 在华为乾坤云平台配置网络业务。 配置交换机业务。 配置核心交换机下行接口，以及接口允许通过的VLAN等参数。 配置接入交换机上行、下行接口，以及接口允许通过的VLAN等参数。 配置核心交换机的DHCP Server功能，为用户终端分配IP地址。 配置认证业务。 员工Wi-Fi采用802.1X认证，使用默认的认证授权配置。 访客Wi-Fi采用短信认证，配置华为乾坤云平台与短信平台对接，定制Portal推送页面、推送策略、认证规则等。 哑终端接入采用MAC认证。 配置员工和访客Wi-Fi，包括创建SSID、配置用户认证和QoS策略等。 结果验证。确认终端可以正常上网，可以在华为乾坤云平台监控各设备状态信息。 父主题： 仅核心交换机+接入交换机+AP+独立AC组网场景

设备款型约束 云管理网络支持纳管网络设备（交换机、AP、AR、WAC）、安全设备（防火墙）。 如果设备款型或版本不在设备清单里，可能无法保证设备配置下发正常，请选择正确的设备款型和配套版本。 网络设备支持的款型和版本请参见《华为乾坤云管理网络配套款型》。 安全设备（防火墙，云管模式）支持的款型如下： USG6106E、USG6305E、USG6306E、USG6308E、USG6312E、USG6322E、USG6332E、USG6350E、USG6305E、USG6309E、USG6315E、USG6325E、USG6335E、USG6355E、USG6365E、USG6385E、USG6395E、USG6525E、USG6515E、USG6550E、USG6560E、USG6580E、USG6555E、USG6565E、USG6575E-B、USG6585E、USG6605E-B。

配置思路 图1是典型网络部署流程和步骤，如果您的网络业务有特殊需求，可以在此基础上进行调整。 图1 配置流程图 本案例以防火墙（FW）作为网关设备，整网设备均在华为乾坤云平台纳管。其中FW、WAC、核心交换机通过Web网管、命令行方式上云，核心交换机下挂的设备通过DHCP Option方式上云，然后远程进行业务配置。 数据规划。 使用云网规工具自动规划AP的安装点位，确保AP的无线信号对校园全覆盖。 规划网络信息，包括组网方案、设备款型、接口、无线业务、QoS策略、网络安全策略等。 配置前准备。 （可选）手机下载并安装华为乾坤APP软件，用于网络验收。 现场安装设备，包括硬装、连线、上电等。 设备上线。 创建站点并添加设备：在华为乾坤云平台创建站点，将所有设备加入同一个站点，以便统一配置。 配置防火墙接入Internet：通过PPPoE拨号方式接入运营商网络，采用Web网管配置。 配置设备上线云平台。 防火墙注册上线：配置防火墙为双机热备镜像模式，工作模式切为云管理模式，采用Web网管配置对接云平台。 核心交换机注册上线：采用命令行配置对接云平台。 核心交换机下挂设备注册上线：在核心交换机（作为DHCP Server）上配置下挂设备的地址池和DHCP 148参数。接入交换机和AP采用DHCP Option148方式注册上线，也就是从DHCP Server上获取IP地址的同时也获取华为乾坤云平台的IP/URL地址和端口号，完成注册上线。 WAC注册上线：工作模式切为云管理模式，采用Web网管配置对接云平台。 在华为乾坤云平台配置网络业务。 配置交换机业务。 配置核心交换机下行接口，以及接口允许通过的VLAN等参数。 配置接入交换机上行、下行接口，以及接口允许通过的VLAN等参数。 配置核心交换机的DHCP Server功能，为用户终端分配IP地址。 配置认证业务。 员工Wi-Fi采用802.1X认证，使用默认的认证授权配置。 访客Wi-Fi采用短信认证，配置华为乾坤云平台与短信平台对接，定制Portal推送页面、推送策略、认证规则等。 哑终端接入采用MAC认证。 配置员工和访客Wi-Fi，包括创建SSID、配置用户认证和QoS策略等。 结果验证。确认终端可以正常上网，可以在华为乾坤云平台监控各设备状态信息。 父主题： 防火墙+核心交换机+接入交换机+AP+独立AC组网场景

操作步骤 单击“拓扑”页签。 在“VN”中选择已经建立的VN名称。 在“预定义拓扑”界面，依次选择“模式”、“拓扑模式”。 默认拓扑模式为“Full-Mesh”，单击“Hub-Spoke”进行切换，并设置中心站点和分支站点。 图1 配置Overlay拓扑 打开“分支互访”并在中心站点的“分支互通”开关，可以实现企业的分支之间的互通需求。 在中心站点中，打开“Hub间互通”开关，可以实现企业总部之间的互通需求。 单击“确定”。 重复以上步骤，完成各VN的Overlay拓扑配置。

配置思路 图 配置流程图是典型网络部署流程和步骤，如果您的网络业务有特殊需求，可以在此基础上进行调整。 图1 配置流程图 本案例以第三方路由器作为网关设备，核心交换机作为DHCP Server，且通过命令行配置上云，上云后可通过远程方式进行业务配置。核心交换机下挂的接入交换机和所有AP通过DHCP Option148方式注册上线。 数据规划。 使用工具自动规划AP的安装点位，确保AP的无线信号对酒店全覆盖。 规划网络信息，包括组网方案、设备款型、接口、无线业务等。 配置前准备。 （可选）手机下载并安装华为乾坤APP软件，用于网络验收。 现场安装设备，包括硬装、连线、上电，按组网图完成设备间连接以及两台核心交换机完成堆叠配置等。 第三方路由器作为出口网关，已接入运营商网络。 设备上线。 创建站点并添加设备：在华为乾坤云平台创建站点，将所有设备加入同一个站点，以便统一配置。 配置核心交换机接入Internet：通过第三方路由器接入运营商网络，采用命令行进行配置。 配置设备上线云平台： 核心交换机注册上线：采用命令行方式配置对接云平台。 核心交换机下挂设备注册上线：在核心交换机（作为DHCP Server）上配置下挂设备的地址池和DHCP Option148参数。接入交换机和AP采用DHCP Option148方式注册上线，也就是从DHCP Server上获取IP地址的同时也获取云管理平台的IP/URL地址和端口号，完成注册上线。 在华为乾坤云平台配置网络业务。 配置交换机业务。 配置核心交换机、接入交换机上行、下行接口，以及接口允许通过的VLAN等参数。 配置用户接入认证。 员工Wi-Fi采用802.1X认证。 访客Wi-Fi采用Portal+短信认证，配置华为乾坤云平台与短信平台对接，定制Portal推送页面、推送策略、认证规则等。 有线哑终端通过MAC认证：认证点在接入交换机，认证服务器是华为乾坤云平台。 结果验证：确认终端可以正常上网，可以在华为乾坤云平台监控各设备状态信息。 父主题： 仅核心交换机+接入交换机+云AP组网场景

操作步骤 登录华为乾坤控制台，单击左上角“大屏”，在大屏页面选择“租户网络大屏”。 若只购买开通了云管理网络，则默认进入租户网络大屏，无需选择。 （可选）在网络大屏上方，单击，可设置定时刷新时间。单击支持全屏显示。 单击页面上，支持用户自定义网络大屏，选择需要展示的模块。 表1 租户网络大屏模块说明 模块 说明 网规方案统计 网规设计方案：显示网络规划与设计中设计的方案总数。 无线网规方案：显示网络设计方案中使用了无线设计的方案总数。 开局站点统计 站点统计：显示租户当前创建的站点数量，以及不同状态的站点数量分布。 设备统计：显示租户当前添加的设备数量，以及不同状态的设备数量分布。 在线设备趋势 显示租户在线设备数量的趋势。默认显示近7天的在线设备数量，可单击卡片上修改。 24小时流量统计 显示租户所有在线设备累计转发的流量。 网络调优与收益 默认显示今天的网络调优与收益数据。 调优次数：显示全局调优次数、局部调优次数以及AI漫游引导次数。 调优收益：显示干扰率、下行带宽以及漫游成功率。 AP代际升级 显示当前时间窗内Wi-Fi 6款型AP和非Wi-Fi 6款型性能对比情况，以及AP的升级建议。 网络健康度评分 显示当前时间窗内网络健康度总体评分。默认显示今天的健康度评分。 已处理问题分布 显示当前时间窗内网络已处理无线接入问题，包括接入类问题、性能类问题以及漫游类问题。默认显示今天的已处理问题分布。 用户体验评估 显示各个评分等级的用户数。 应用总流量趋势 显示当前时间窗内的应用的流量分析，默认显示今天的应用总流量分布，可单击卡片上修改。 地图 显示当前站点部署、站点间VPN互联概况和站点配置概况。 在地图右下角菜单栏提供以下操作。 地图中红色站点表示该站点中有异常设备，绿色站点表示该站点设备正常或者为空站点。 地图默认展示自动视角。可单击地图右下角选择自定义模式视角，单击保存，则地图展示自定义视角。 滚动鼠标可以缩放地图，单击聚合站点或者单击地图页面右下角“+”、“-”图标，可放大地图分散站点。

配置思路 图1是典型网络部署流程和步骤，如果您的网络业务有特殊需求，可以在此基础上进行调整。 图1 配置流程图 本案例以第三方路由器作为网关设备，整网设备均在华为乾坤云平台纳管。其中随板AC通过命令行方式上云，随板AC下挂的设备通过DHCP Option方式上云，然后远程进行业务配置。 数据规划。 使用云网规工具自动规划AP的安装点位，确保AP的无线信号对大型卖场全覆盖。 规划网络信息，包括组网方案、设备款型、接口、无线业务、QoS策略、网络安全策略等。 配置前准备。 （可选）手机下载并安装华为乾坤APP软件，用于网络验收。 现场安装设备，包括硬装、连线、上电等。 设备上线。 创建站点并添加设备：在华为乾坤云平台创建站点，将所有设备加入同一个站点，以便统一配置。 配置设备上线云平台。 随板AC注册上线：采用命令行配置对接云平台。 随板AC下挂设备注册上线：在随板AC（作为DHCP Server）上配置下挂设备的地址池和DHCP 148参数。接入交换机和AP采用DHCP Option148方式注册上线，也就是从DHCP Server上获取IP地址的同时也获取云管理平台的IP/URL地址和端口号，完成注册上线。 在华为乾坤云平台配置网络业务。 配置交换机业务。 配置随板AC下行接口，以及接口允许通过的VLAN等参数。 配置随板AC的DHCP Server功能，为用户终端分配IP地址。 配置接入交换机上行、下行接口，以及接口允许通过的VLAN等参数。 配置认证业务。 员工Wi-Fi采用802.1X认证，使用默认的认证授权配置。 访客Wi-Fi采用短信认证，配置华为乾坤云平台与短信平台对接，定制Portal推送页面、推送策略、认证规则等。 哑终端接入采用MAC认证。 配置员工和访客Wi-Fi，包括创建SSID、配置用户认证和QoS策略等。 结果验证。确认终端可以正常上网，可以在华为乾坤云平台监控各设备状态信息。 父主题： 仅核心交换机+接入交换机+AP+随板AC组网场景

简介 用户体验保障围绕用户Wi-Fi网络接入、上网体验等进行全生命周期精准画像，并进行问题分析定位，让运维人员轻松处理用户报障，主动保障VIP用户网络体验。 基于“以设备为中心”的网络管理运维手段，无法满足数字化新空间的需求。“以设备为中心”的运维理念，需要升级为“以体验为中心”的运维理念。“以体验为中心”的运维理念，包含两个方面： 感知体验，对体验进行可视化管理，包括： 对单个用户的360°体验可视化和旅程回放 对全局用户的体验可视化 主动识别用户和业务的体验问题，发现潜在故障并识别根因，最终给出修复建议甚至自动修复，而非被动响应： 故障发生，第一时间感知 识别出体验差的用户和应用 识别潜在问题，提前消除问题 对问题或故障，进行根因定位，给出修复建议甚至自动修复 父主题： 用户体验保障