华为云用户手册

获取软件和镜像 表2 获取软件和镜像 分类 名称 获取路径 插件代码包 AscendCloud-6.3.906-xxx.zip软件包中的AscendCloud-AIGC-6.3.906-xxx.zip 说明： 包名中的xxx表示具体的时间戳，以包名的实际时间为准。 获取路径：Support-E 说明： 如果没有下载权限，请联系您所在企业的华为方技术支持下载获取。 基础镜像 西南-贵阳一：swr.cn-southwest-2.myhuaweicloud.com/atelier/pytorch_2_1_ascend:pytorch_2.1.0-cann_8.0.rc2-py_3.9-hce_2.0.2312-aarch64-snt9b-20240606190017-b881580 从SWR拉取。

Step2 启动镜像 获取基础镜像。建议使用官方提供的镜像。镜像地址{image_url}参见获取镜像。 docker pull {image_url} 启动容器镜像。启动前请先按照参数说明修改${}中的参数。可以根据实际需要增加修改参数。推理默认使用单机单卡。 docker run -itd --net=host \ --device=/dev/davinci0 \ --device=/dev/davinci_manager \ --device=/dev/devmm_svm \ --device=/dev/hisi_hdc \ --shm-size=32g \ -v /usr/local/dcmi:/usr/local/dcmi \ -v /usr/local/Ascend/driver:/usr/local/Ascend/driver \ -v /var/log/npu/:/usr/slog \ -v /usr/local/bin/npu-smi:/usr/local/bin/npu-smi \ -v ${work_dir}:${container_work_dir} \ --name ${container_name} \ ${image_id} \ /bin/bash 参数说明： device=/dev/davinci0：挂载NPU设备，示例中挂载了1张卡davinci0。 ${work_dir}:${container_work_dir} 代表需要在容器中挂载宿主机的目录。宿主机和容器使用不同的文件系统，work_dir为宿主机中工作目录，目录下存放着训练所需代码、数据等文件。container_dir为要挂载到的容器中的目录。为方便两个地址可以相同。 shm-size：共享内存大小。 ${container_name}：容器名称，进入容器时会用到，此处可以自己定义一个容器名称。 ${image_id}：镜像ID，通过docker images查看刚拉取的镜像ID。 容器不能挂载到/home/ma-user目录，此目录为ma-user用户家目录。如果容器挂载到/home/ma-user下，拉起容器时会与基础镜像冲突，导致基础镜像不可用。 driver及npu-smi需同时挂载至容器。 不要将多个容器绑到同一个NPU上，会导致后续的容器无法正常使用NPU功能。 进入容器。需要将${container_name}替换为实际的容器名称。启动容器默认使用ma-user用户，后续所有操作步骤都在ma-user用户下执行。 docker exec -it ${container_name} bash

Step1 检查环境 请参考DevServer资源开通，购买DevServer资源，并确保机器已开通，密码已获取，能通过SSH登录，不同机器之间网络互通。 购买DevServer资源时如果无可选资源规格，需要联系华为云技术支持申请开通。 当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU卡状态。运行如下命令，返回NPU设备信息。 npu-smi info # 在每个实例节点上运行此命令可以看到NPU卡状态 npu-smi info -l | grep Total # 在每个实例节点上运行此命令可以看到总卡数 如出现错误，可能是机器上的NPU设备没有正常安装，或者NPU镜像被其他容器挂载。请先正常安装固件和驱动，或释放被挂载的NPU。 检查是否安装docker。 docker -v #检查docker是否安装 如尚未安装，运行以下命令安装docker。 yum install -y docker-engine.aarch64 docker-engine-selinux.noarch docker-runc.aarch64 配置IP转发，用于容器内的网络访问。执行以下命令查看net.ipv4.ip_forward配置项的值，如果为1，可跳过此步骤。 sysctl -p | grep net.ipv4.ip_forward 如果net.ipv4.ip_forward配置项的值不为1，执行以下命令配置IP转发。 sed -i 's/net\.ipv4\.ip_forward=0/net\.ipv4\.ip_forward=1/g' /etc/sysctl.conf sysctl -p | grep net.ipv4.ip_forward

Step6 开始训练 进入代码根目录。 cd ModelZoo-PyTorch/PyTorch/built-in/mlm/Qwen-VL 运行精度训练脚本train_full_8p.sh。运行前请先修改参数。 bash test/train_full_8p.sh --model_name=${预训练模型路径} --data_path=${训练数据集路径} --epochs=${训练epoch数量} # 8卡精度训练，混精bf16 例： bash test/train_full_8p.sh --model_name=path/Qwen-VL-Chat --data_path=path/xx.json --epochs=${训练epoch数量} 运行性能训练脚本train_performance_8p.sh。运行前请先修改参数。 # 运行性能训练脚本 bash test/train_performance_8p.sh --model_name=${预训练模型路径} --data_path=${训练数据集路径} # 8卡性能，混精bf16 训练后的产物路径说明如下。 #日志路径： ModelZoo-PyTorch/PyTorch/built-in/mlm/Qwen-VL/test/output/8p #训练输出权重路径： ModelZoo-PyTorch/PyTorch/built-in/mlm/Qwen-VL/output-qwen-vl 训练过程中，训练日志会在最后的Rank节点打印。 日志里存在lm loss参数，lm loss参数随着训练迭代周期持续性减小，并逐渐趋于稳定平缓。可以使用可视化工具TrainingLogParser查看loss收敛情况。

Step2 启动镜像 获取基础镜像。建议使用官方提供的镜像。镜像地址{image_url}参见获取软件和镜像。 docker pull {image_url} 启动容器镜像。启动前请先按照参数说明修改${}中的参数。可以根据实际需要增加修改参数。训练默认使用单机8卡。 docker run -itd --net=host \ --device=/dev/davinci0 \ --device=/dev/davinci1 \ --device=/dev/davinci2 \ --device=/dev/davinci3 \ --device=/dev/davinci4 \ --device=/dev/davinci5 \ --device=/dev/davinci6 \ --device=/dev/davinci7 \ --device=/dev/davinci_manager \ --device=/dev/devmm_svm \ --device=/dev/hisi_hdc \ --shm-size=64g \ -v /usr/local/dcmi:/usr/local/dcmi \ -v /usr/local/Ascend/driver:/usr/local/Ascend/driver \ -v /var/log/npu/:/usr/slog \ -v /usr/local/bin/npu-smi:/usr/local/bin/npu-smi \ -v ${work_dir}:${container_work_dir} \ --name ${container_name} \ ${image_id} \ /bin/bash 参数说明： device=/dev/davinci0，...， --device=/dev/davinci7：挂载NPU设备，示例中挂载了8张卡davinci0~davinci7。 ${work_dir}:${container_work_dir} 代表需要在容器中挂载宿主机的目录。宿主机和容器使用不同的文件系统，work_dir为宿主机中工作目录，目录下存放着训练所需代码、数据等文件。container_dir为要挂载到的容器中的目录。为方便两个地址可以相同。 shm-size：共享内存大小。 ${container_name}：容器名称，进入容器时会用到，此处可以自己定义一个容器名称。 ${image_id}：镜像ID，通过docker images查看刚拉取的镜像ID。 容器不能挂载到/home/ma-user目录，此目录为ma-user用户家目录。如果容器挂载到/home/ma-user下，拉起容器时会与基础镜像冲突，导致基础镜像不可用。 driver及npu-smi需同时挂载至容器。 不要将多个容器绑到同一个NPU上，会导致后续的容器无法正常使用NPU功能。 进入容器。需要将${container_name}替换为实际的容器名称。启动容器默认使用ma-user用户。 docker exec -it ${container_name} bash

Step4 准备训练环境 下载权重。从HuggingFace下载Qwen-VL-Chat，或将您已下载的权重文件上传到容器工作目录${container_work_dir}中。 # 模型结构如下： Qwen-VL-Chat/ ├── config.json ├── configuration_qwen.py ├── generation_config.jsons ├── modeling_qwen.py ├── pytorch_model-00001-of-00010.bin ├── pytorch_model-00002-of-00010.bin ├── pytorch_model-00003-of-00010.bin ├── pytorch_model-00004-of-00010.bin ├── pytorch_model-00005-of-00010.bin ├── pytorch_model-00006-of-00010.bin ├── pytorch_model-00007-of-00010.bin ├── pytorch_model-00008-of-00010.bin ├── pytorch_model-00009-of-00010.bin ├── pytorch_model-00010-of-00010.bin ├── pytorch_model.bin.index.json ├── qwen_generation_utils.py ├── qwen.tiktoken ├── README.md ├── SimSun.ttf ├── tokenization_qwen.py ├── tokenizer_config.json └── visual.py 赋予容器访问权重文件的权限。上传文件到宿主机时使用的是root用户，此处需要执行如下命令统一文件属主为ma-user用户。 #统一文件属主为ma-user用户 sudo chown -R ma-user:ma-group ${container_work_dir} # ${container_work_dir}:/home/ma-user/ws 容器内挂载的目录 #例如：sudo chown -R ma-user:ma-group /home/ma-user/ws 在容器中解压代码包并执行Qwen-VL安装脚本。 # 解压代码包 unzip AscendCloud-AIGC-6.3.906-*.zip rm -rf AscendCloud-AIGC-6.3.906-* # 执行安装脚本 # model_path 配置为Qwen-VL的权重路径，例：/home/ma-user/Qwen-VL-Chat git config --global http.sslVerify false bash multimodal_algorithm/QwenVL/6d0ab0efd0a/qwen_vl_install.sh {model_path} # 执行完成后，代码路径为ModelZoo-PyTorch/PyTorch/built-in/mlm/Qwen-VL # 安装bc命令 sudo yum install -y bc

Step1 检查环境 请参考DevServer资源开通，购买DevServer资源，并确保机器已开通，密码已获取，能通过SSH登录，不同机器之间网络互通。 购买DevServer资源时如果无可选资源规格，需要联系华为云技术支持申请开通。 当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU卡状态。运行如下命令，返回NPU设备信息。 npu-smi info # 在每个实例节点上运行此命令可以看到NPU卡状态 npu-smi info -l | grep Total # 在每个实例节点上运行此命令可以看到总卡数 如出现错误，可能是机器上的NPU设备没有正常安装，或者NPU镜像被其他容器挂载。请先正常安装固件和驱动，或释放被挂载的NPU。 检查是否安装docker。 docker -v #检查docker是否安装 如尚未安装，运行以下命令安装docker。 yum install -y docker-engine.aarch64 docker-engine-selinux.noarch docker-runc.aarch64 配置IP转发，用于容器内的网络访问。执行以下命令查看net.ipv4.ip_forward配置项的值，如果为1，可跳过此步骤。 sysctl -p | grep net.ipv4.ip_forward 如果net.ipv4.ip_forward配置项的值不为1，执行以下命令配置IP转发。 sed -i 's/net\.ipv4\.ip_forward=0/net\.ipv4\.ip_forward=1/g' /etc/sysctl.conf sysctl -p | grep net.ipv4.ip_forward

获取软件和镜像 表2 获取软件和镜像 分类 名称 获取路径 插件代码包 AscendCloud-6.3.906-xxx.zip软件包中的AscendCloud-AIGC-6.3.906-xxx.zip 说明： 包名中的xxx表示具体的时间戳，以包名的实际时间为准。 获取路径：Support-E 说明： 如果没有下载权限，请联系您所在企业的华为方技术支持下载获取。 基础镜像 西南-贵阳一：swr.cn-southwest-2.myhuaweicloud.com/atelier/pytorch_2_1_ascend:pytorch_2.1.0-cann_8.0.rc2-py_3.9-hce_2.0.2312-aarch64-snt9b-20240528150158-b521cc0 从SWR拉取。

Step4 下载并安装软件 从github下载ComfyUI代码并安装依赖。 cd /home/ma-user git clone https://github.com/comfyanonymous/ComfyUI.git cd ComfyUI git reset --hard 831511a1eecbe271e302f2f2053f285f00614180 pip install -r requirements.txt 如果出现报错SSL certificate problem: self signed certificate in certificate chain 图1 报错SSL certificate problem 可采取忽略SSL证书验证：使用以下命令来克隆仓库，它将忽略SSL证书验证。 git clone -c http.sslVerify=false https://github.com/comfyanonymous/ComfyUI.git 此处根据ComfyUI官网描述进行配置。 下载SD模型并安装。部署好ComfyUI环境和依赖后，还需要将模型放到对应位置。 下载模型，模型下载地址：SD1.5模型地址 ，SDXL模型下载地址。根据需要下载对应的模型，如下图，并将模型上传到容器内自定义挂载的工作目录，容器默认使用ma-user用户，请注意修改文件访问权限。 图2 模型列表 将模型复制到/home/ma-user/ComfyUI/models/checkpoints目录下。 将获取到的ComfyUI插件AscendCloud-AIGC-6.3.906-xxx.zip文件上传到容器的/home/ma-user/ComfyUI/custom_nodes目录下，并解压。获取路径参见表2。 cd /home/ma-user/ComfyUI/custom_nodes/ unzip AscendCloud-AIGC-*.zip -d ./AscendCloud mv AscendCloud/aigc_inference/torch_npu/comfyui/831511a1eecbe271/comfyui_ascend_node ./ rm -rf AscendCloud* 使用容器IP启动服务。 cd /home/ma-user/ComfyUI python main.py --port 8080 --listen ${docker_ip} --force-fp16 ${docker_ip}替换为容器实际的IP地址。可以在宿主机上通过docker inspect容器ID |grep IPAddress命令查询。

Step3 启动容器镜像 启动容器镜像。启动前请先按照参数说明修改${}中的参数。 export work_dir="自定义挂载的工作目录" export container_work_dir="自定义挂载到容器内的工作目录" export container_name="自定义容器名称" export image_name="镜像名称或ID" // 启动一个容器去运行镜像 docker run -itd --net=bridge \ -p 8080:8080 \ --device=/dev/davinci6 \ --device=/dev/davinci_manager \ --device=/dev/devmm_svm \ --device=/dev/hisi_hdc \ --shm-size=32g \ -v /usr/local/dcmi:/usr/local/dcmi \ -v /usr/local/Ascend/driver:/usr/local/Ascend/driver \ -v /var/log/npu/:/usr/slog \ -v /usr/local/sbin/npu-smi:/usr/local/sbin/npu-smi \ -v ${work_dir}:${container_work_dir} \ --name ${container_name} \ ${image_name} \ /bin/bash 参数说明： -v ${work_dir}:${container_work_dir}：代表需要在容器中挂载宿主机的目录。宿主机和容器使用不同的文件系统。work_dir为宿主机中工作目录，目录下存放着训练所需代码、数据等文件。container_work_dir为要挂载到的容器中的目录。为方便两个地址可以相同。 容器不能挂载到/home/ma-user目录，此目录为ma-user用户家目录。如果容器挂载到/home/ma-user下，拉起容器时会与基础镜像冲突，导致基础镜像不可用。 driver及npu-smi需同时挂载至容器。 --name ${container_name}：容器名称，进入容器时会用到，此处可以自己定义一个容器名称。 -p 8080:8080：开启一个端口，可以web访问（如冲突，可自行更换其他端口）。 ${image_name}：容器镜像的名称。 通过容器名称进入容器中。默认使用ma-user用户，后续所有操作步骤都在ma-user用户下执行。 docker exec -it ${container_name} bash

获取软件和镜像 表2 获取软件和镜像 分类 名称 获取路径 插件代码包 AscendCloud-6.3.906-xxx.zip软件包中的AscendCloud-AIGC-6.3.906-xxx.zip 说明： 包名中的xxx表示具体的时间戳，以包名的实际时间为准。 获取路径：Support-E 说明： 如果没有下载权限，请联系您所在企业的华为方技术支持下载获取。 基础镜像 西南-贵阳一：swr.cn-southwest-2.myhuaweicloud.com/atelier/pytorch_2_1_ascend:pytorch_2.1.0-cann_8.0.rc2-py_3.9-hce_2.0.2312-aarch64-snt9b-20240606190017-b881580 从SWR拉取。

Step1 准备环境 请参考DevServer资源开通，购买DevServer资源，并确保机器已开通，密码已获取，能通过SSH登录，不同机器之间网络互通。 当容器需要提供服务给多个用户，或者多个用户共享使用该容器时，应限制容器访问Openstack的管理地址（169.254.169.254），以防止容器获取宿主机的元数据。具体操作请参见禁止容器获取宿主机元数据。 SSH登录机器后，检查NPU设备检查。运行如下命令，返回NPU设备信息。 npu-smi info # 在每个实例节点上运行此命令可以看到NPU卡状态 npu-smi info -l | grep Total # 在每个实例节点上运行此命令可以看到总卡数 如出现错误，可能是机器上的NPU设备没有正常安装，或者NPU镜像被其他容器挂载。请先正常安装固件和驱动，或释放被挂载的NPU。 检查docker是否安装。 docker -v #检查docker是否安装 如尚未安装，运行以下命令安装docker。 yum install -y docker-engine.aarch64 docker-engine-selinux.noarch docker-runc.aarch64 配置IP转发，用于容器内的网络访问。执行以下命令查看net.ipv4.ip_forward配置项的值，如果为1，可跳过此步骤。 sysctl -p | grep net.ipv4.ip_forward 如果net.ipv4.ip_forward配置项的值不为1，执行以下命令配置IP转发。 sed -i 's/net\.ipv4\.ip_forward=0/net\.ipv4\.ip_forward=1/g' /etc/sysctl.conf sysctl -p | grep net.ipv4.ip_forward

Step5 服务调用 在浏览器中输入http://ip:8080访问界面，页面如下图。 图3 访问界面 加载Ascend插件节点来替换原节点。双击访问页面，并搜索“Ascend”，单击“AscendNode”，如下图。 图4 搜索Ascend 会得到一个新的关于NPU的checkpoint，如下图。 图5 NPU的checkpoint 根据上面checkpoint的箭头，对新的NPU的checkpoint进行规划，如下图所示。 图6 规划checkpoint 在ckpt_name中选择要使用的权重文件，device_id为要使用的NPU卡号，单击“Queue Prompt”加入推理队列进行推理，如下图。 图7 加入推理队列 成功之后结果如下图。 图8 推理成功 首次加载或切换模型进行推理时，需要加载模型并进行相关的初始化工作，首次推理时间较长，请耐心等待。

步骤四：运行工作流 在自动学习的运行总览页面，会产生一条工作流。工作流会自动从数据标注节点开始，依次运行数据集版本发布、数据校验、物体检测、模型注册、服务部署等节点，直至工作流全部运行完成。您需要做的是： 在数据标注节点，待数据标注节点变为橘色即为“等待操作”状态，双击数据标注节点，打开数据标注节点的运行详情页面。前往实例详情页确认所有图片是否都标注完成，确认无误后，回到工作流页面单击“继续运行”。 在“确认是否继续允许”的弹窗中，单击“确定”，工作流会继续从数据标注节点依次运行到服务部署节点。该段时间不需要用户做任何操作。 当工作流运行到“服务部署”节点，“服务部署”节点会变成橙色，双击“服务部署”节点。在服务部署页签中，可以看到状态变为了“等待输入”。 需要选择填写以下两个参数，其他参数均为默认值，保持不变。 计算节点规格：根据您的实际需求选择相应的规格。 是否自动停止：为避免资源浪费，建议打开自动停止开关，根据您的实际需要，选择自动停止时间，也可以自定义自动停止的时间。 图3 选择计算节点规格 图4 设置自动停止 参数填写完毕之后，单击运行状况右边的“继续运行”，单击确认弹窗中的“确定”即可继续完成工作流的运行。

步骤五：运行工作流 项目完成创建之后，会自动跳转到新版自动学习的运行总览页面。同时您的工作流会自动从数据标注节点开始运行。您需要做的是： 观察数据标注节点，待数据标注节点变为橙色即为“等待操作”状态。双击数据标注节点，打开数据标注节点的运行详情页面，单击“继续运行”。 在弹出的窗口中，单击“确定”，工作流会开始继续运行。当工作流运行到“服务部署”节点，状态会变为“等待输入”，您需要填写以下两个输入参数，其他参数保持默认。 计算节点规格：根据您的实际需求选择相应的规格，不同规格的配置费用不同，选择好规格后，配置费用处会显示相应的费用。 是否自动停止：为了避免资源浪费，建议您打开该开关，根据您的需求，选择自动停止时间，也可以自定义自动停止的时间。 图2 选择计算节点规格 图3 设置自动停止 参数填写完毕之后，单击运行状况右边的“继续运行”，单击确认弹窗中的“确定”即可继续完成工作流的运行。

场景描述 目标：构建安装如下软件的容器镜像，并在ModelArts平台上使用Ascend规格资源运行训练任务。 ubuntu-18.04 cann-6.3.RC2 (商用版本) python-3.7.13 mindspore-2.1.1 本教程以cann-6.3.RC2.、mindspore-2.1.1为例介绍。 本示例仅用于示意Ascend容器镜像制作流程，且在匹配正确的Ascend驱动/固件版本的专属资源池上运行通过。

请求示例 POST https://{endpoint}/v1/mmc/cqs/media/qos?conferenceid=969271421&appid=605876aefa163e971ba21f8a40097b51&confuuid=cabcf4ec031749f594cdfc26bf0dba9e { "users": [ { "pid": "913e3ce2345e11ef8dec5f2fea0eff1a", "accessMediaType": "MGR" } ] }

响应示例 状态码： 200 { "returnCode": 0, "returnDesc": "Success", "qosList": [ { "participantID": "913e3ce2345e11ef8dec5f2fea0eff1a", "netRate": "5", "bandWidthUp": 98, "bandWidthDown": 0, "lostPacketRateUp": 0, "lostPacketRateDown": 0, "delay": 77, "videoQos": { "upList": [], "downList": [] }, "audioQos": { "upList": [ { "codecType": "OPUS", "bandWidth": 81, "lostPacketRate": 0, "delay": 77, "jitter": 10, "resolutionHeight": 0, "resolutionWidth": 0, "frameRate": 0 } ], "downList": [] }, "auxQos": { "upList": [ { "codecType": "H.265", "bandWidth": 17, "lostPacketRate": 0, "delay": 121, "jitter": 11, "resolutionHeight": 0, "resolutionWidth": 0, "frameRate": 2, "codecUserId": "913e3ce2345e11ef8dec5f2fea0eff1a" } ], "downList": [] } } ] }

简单的IPsec VPN内网对连拓扑说明 如图1所示，假设您在云中已经申请了VPC，并申请了2个子网（192.168.1.0/24，192.168.2.0/24），您在自己的数据中心Router下也有2个子网（192.168.3.0/24，192.168.4.0/24）。您可以通过VPN使VPC内的子网与数据中心的子网互相通信。 图1 IPsec VPN 支持点到点VPN（Site-to-Site VPN），可实现VPC子网和用户数据中心局域网互访。在建立IPsec VPN前，请确认拟开通VPN的用户数据中心满足以下3个条件： 用户数据中心有支持标准IPsec协议的设备。 上述设备可以分配独立的公网IP（NAT IP也支持）。 VPC子网和用户数据中心子网不冲突，用户数据中心子网到上述设备可达。 满足以上条件后，配置IPsec VPN时，需要保证两端IKE策略以及IPsec策略配置一致，两端子网互为镜像。 配置完成后，需要通过私网数据流触发VPN协商。

变更计费模式概述 在购买VPN后，如果发现当前计费模式无法满足业务需求，您可以变更计费模式。 站点入云VPN经典版支持变更计费模式的VPN计费项如表 经典版VPN支持变更计费模式的VPN计费项所示。 表1 经典版VPN支持变更计费模式的VPN计费项 计费项 变更说明 相关文档 VPN网关 将VPN网关实例的计费模式从按需计费转为包年/包月，可以让您享受一定程度的价格优惠。 按需、按带宽计费VPN网关支持和按需、按流量计费VPN网关相互转换。 按需、按带宽计费VPN网关支持带宽升降配。 按需按带宽转包年/包月 按需按流量转包年/包月 VPN连接 包年/包月（非基础型）支持VPN连接数升配。 包年/包月资源支持到期后续费降配。 包年/包月VPN连接组数升降配 父主题： 变更计费模式

与其他服务的关系 VPN服务与其他云服务的关系如图1所示。 图1 与其他服务的关系 表1 与其他服务的关系 相关服务 交互功能 位置 虚拟私有云（Virtual Private Cloud，VPC） 通过VPC服务，创建VPC，用户数据中心才可以通过VPN上云。 虚拟私有云 弹性云服务器（Elastic Cloud Server，E CS ） 通过ECS服务，定义安全组中的规则，将VPC中的弹性云服务器划分成不同的安全域，以提升弹性云服务器访问的安全性。 弹性云服务器 企业路由器（Enterprise Router，ER） 通过企业路由器ER，用户数据中心上云可以实现VPN和专线双通道互备。 仅企业版VPN网关支持，经典版VPN网关不支持。 企业路由器 NAT网关（NAT Gateway） 通过NAT网关服务，可以实现用户数据中心服务器访问公网或为公网提供服务。 NAT网关 弹性公网IP（EIP） 通过弹性公网IP，可以实现VPN网关通过公网和对端网关进行网络互通。 仅企业版VPN支持，经典版VPN不支持。 弹性公网IP 云连接（Cloud Connect） 通过云连接服务，可以实现用户数据中心和跨境VPC之间的稳定网络连通。 云连接 云监控 （Cloud Eye） 通过 云监控服务 ，查看VPN资源的监控数据，还可以获取可视化监控图表。 云监控 统一身份认证 服务（Identity and Access Management， IAM ） 通过IAM服务，针对您在华为云上创建的VPN资源，向不同用户设置不同的使用权限，可以帮助您安全地控制华为云VPN资源的访问权限。 统一身份认证服务 标签管理服务（Tag Management Service，TMS） 使用标签来标识 虚拟专用网络 ，便于分类和搜索。 标签管理服务 云审计 服务（Cloud Trace Service， CTS ） 记录与VPN服务相关的操作事件。 云审计服务

VPN权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 VPN部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问VPN时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对VPN服务，管理员能够控制IAM用户仅能对某一类VPN资源进行指定的管理操作。 如表1所示，包括了VPN的所有系统权限。 表1 VPN系统权限 系统角色/策略名称 描述 依赖关系 VPN Administrator（不推荐使用） VPN服务的管理员权限，拥有该权限的用户拥有VPN服务所有执行权限。 拥有该权限的用户默认拥有Tenant Guest、VPC Administrator权限。 VPC Administrator：项目级策略，在同项目中勾选。 Tenant Guest：项目级策略，在同项目中勾选。 - VPN FullAccess（推荐使用） VPN服务的所有执行权限。 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： "tms:predefineTags:list" "scm:cert:list" "scm:cert:get" "scm:cert:download" VPN ReadOnlyAccess VPN服务只读权限，拥有该权限的用户仅能查看VPN服务下的资源信息。 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： "tms:predefineTags:list" "scm:cert:list" "scm:cert:get" 表 VPN常用操作与系统权限的关系列出了站点入云VPN常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 站点入云VPN常用操作与系统权限的关系 操作 VPN Administrator（不推荐使用） VPN FullAccess（推荐使用） VPN ReadOnlyAccess 创建VPN网关 √ 企业版VPN：√ 经典版VPN：× × 查询VPN网关 √ √ √ 查询VPN网关列表 √ √ √ 更新VPN网关 √ 企业版VPN：√ 经典版VPN：× × 删除VPN网关 √ 企业版VPN：√ 经典版VPN：× × 创建VPN连接 √ 企业版VPN：√ 经典版VPN：√ × 查询VPN连接 √ √ √ 查询VPN连接列表 √ √ √ 更新VPN连接 √ 企业版VPN：√ 经典版VPN：√ × 删除VPN连接 √ 企业版VPN：× 经典版VPN：√ × 创建对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 × 查询对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 √ 查询对端网关列表 √ 企业版VPN：√ 经典版VPN：不涉及 √ 更新对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 × 删除对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 × 创建连接监控 √ 企业版VPN：√ 经典版VPN：× × 查询连接监控 √ 企业版VPN：√ 经典版VPN：× √ 查询连接监控列表 √ 企业版VPN：√ 经典版VPN：× √ 删除连接监控 √ 企业版VPN：√ 经典版VPN：× × 表 终端入云VPN常用操作与系统权限的关系列出了终端入云VPN常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表3 终端入云VPN常用操作与系统权限的关系 操作 VPN Administrator（不推荐使用） VPN FullAccess（推荐使用） VPN ReadOnlyAccess 订购包周期终端入云VPN网关 √ √ × 变更包周期终端入云VPN网关规格 √ √ × 更新终端入云VPN网关 √ √ × 查询终端入云VPN网关详情 √ √ √ 查询终端入云VPN网关列表 √ √ √ 查询终端入云VPN连接列表 √ √ √ 创建VPN服务端 √ × 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： scm:cert:get scm:cert:list scm:cert:download × 查询一个网关下的服务端信息 √ √ √ 更新指定网关的服务端 √ × 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： scm:cert:get scm:cert:list scm:cert:download × 导出服务端对应的客户端配置信息 √ √ × 校验CA证书的合法性 √ √ √ 导入客户端CA证书 √ √ × 修改客户端CA证书 √ √ × 查询客户端CA证书 √ √ √ 删除客户端CA证书 √ √ × 查询租户下的所有服务端信息 √ √ √ 创建VPN用户 √ √ × 查询VPN用户列表 √ √ √ 修改VPN用户 √ √ × 查询VPN用户 √ √ √ 删除VPN用户 √ √ × 修改VPN用户密码 √ √ × 重置VPN用户密码 √ √ × 创建VPN用户组 √ √ × 查询VPN用户组列表 √ √ √ 修改VPN用户组 √ √ × 查询VPN用户组 √ √ √ 删除VPN用户组 √ √ × 添加VPN用户到组 √ √ × 删除组内VPN用户 √ √ × 查询组内VPN用户 √ √ √ 创建VPN访问策略 √ √ × 查询VPN访问策略列表 √ √ √ 修改VPN访问策略 √ √ × 查询VPN访问策略 √ √ √ 删除VPN访问策略 √ √ × 查询P2C VPN网关可用区 √ √ √ 批量添加资源标签 √ √ × 批量删除资源标签 √ √ × 通过资源标签查询资源实例列表 √ √ √ 查询标签下资源实例数量 √ √ √ 通过资源实例查询资源标签列表 √ √ √ 查询资源标签列表 √ √ √

修订记录 版本日期 变更说明 2024-6-13 第九次发布。 修改“权限配置”章节。 2024-5-9 第九次发布。 修改“消息接收配置”章节。 修改“语音接收配置”章节。 修改“接收人管理”章节 2024-04-26 第八次发布。 修改“消息接收配置”章节。 修改“语音接收配置”章节。 修改“接收人管理”章节。 2023-05-29 第七次发布。 修改“消息接收配置”章节。 修改“语音接收配置”章节。 修改“接收人管理”章节。 2022-01-24 第六次发布。 调整目录结构。 新增“权限管理”章节。 修改“消息接收管理”章节。 修改“消息接收配置”章节。 修改“接收人管理”章节。 2021-01-18 第五次发布。 调整目录结构。 新增“语音接收配置”章节。 修改“站内消息”章节。 修改“消息接收配置”章节。 修改“接收人管理”章节。 2019-07-08 第四次发布。 修改“消息类别介绍”中的消息类别、消息介绍。 修改“新增接收人”章节。 修改“订阅管理”章节。 2018-12-19 第三次发布。 “消息类别介绍”增加关于IAM子用户查看财务类消息的限制说明。 2018-10-30 第二次发布。 修改"消息接收管理"界面。 添加"接收人管理"界面。 2017-07-30 第一次正式发布。

消息类别介绍 消息类别目前有七大类，财务消息、产品消息、安全消息、运维消息、活动消息、备案消息、其他。每个大类下，又包含多种消息类型，具体介绍如下： 财务消息 消息类型 消息介绍 账户余额预警 账户欠费、账户余额低于阈值相关消息提醒。 账户变动通知 充值、退款、转账、拨款、付款、代金券额度发放/调整相关消息提醒。 伙伴预算提醒 伙伴调整转售子客户的预算，转售子客户月度消费的预算预警。 账单出账通知 用户账单出账相关通知。 发票信息通知 开票相关信息通知。 成本管理通知 成本管理相关通知 产品消息 消息类型 消息介绍 产品创建开通通知 产品创建及开通信息通知。 产品已释放通知 由于欠费或到期未续费导致产品已经释放通知。 伙伴子客户订单到期通知 子客户订单到期相关消息提醒。 伙伴子客户订单支付申请通知 子客户订单支付申请相关信息提醒。 产品到期通知 产品到期前提醒您及时续费或充值。 产品即将释放通知(欠费) 产品欠费或到期未续费时为避免产品释放提醒您及时充值或续费。 产品自动续费失败通知 产品自动续费失败的相关通知。 产品自动续费成功通知 产品自动续费成功的相关通知。 产品新功能上线通知 产品新功能上线相关信息通知。 产品信息变更通知 华为云产品 或系统升级、产品配置变化、价格变更等相关通知。 产品调整及价格变更通知 华为云产品（功能）调整、产品价格变更等相关通知。 产品使用指导 产品开通后的使用方法指导，用于用户开通某项云服务后推送给用户开通指引 CodeArts插件市场通知 CodeArts插件市场通知，其中包含评论审核结果提醒、下线提醒、审核结果提醒、上线审核结果提醒、评星审核结果提醒相关消息提醒。 域名 即将过期通知 域名即将到期提醒您及时续费或充值。 产品新特性更新通知 官网产品新特性页面内容更新的 消息通知 公测通知 公测申请、撤销、恢复、到期相关消息通知 安全消息 消息类型 消息介绍 安全事件通知 服务器安全、DDoS防护、 Web应用防火墙 等云服务安全消息提醒。 违法违规通知 对利用华为云服务资源进行违法活动的行为进行处罚的相关通知。 漏洞预警通知 安全漏洞相关通知。 运维消息 消息类型 消息介绍 运维提醒 升级、漏洞、备案、产品上架/下架、产品公测/转商、产品价格调整相关通知。 工单提醒 工单处理相关消息通知，默认接收人请谨慎勾选，如果勾选可能会收到重复的短信、邮件通知。 云监控主动报警 接收云监控服务产生的相关的告警消息通知。 故障提醒 云服务出现故障或不可用时接收消息通知。 服务单提醒 接收专业服务、支持计划权益履行过程中对应的服务单产生的消息通知。 产品升级通知 华为云产品及平台升级、运营商割接等相关通知。 活动消息 消息类型 消息介绍 营销活动 优惠券、 免费体验 、活动奖品发放、专属活动领取、线下活动、促销活动相关消息通知。 调查问卷 问卷调查相关消息通知。 专题活动 华为云技术资料、专题等活动资讯，比如华为云月刊等 华为云学堂 华为云学堂邮箱信息 售前服务 售前购买咨询、解决方案推荐、配置推荐等售前服务消息（该消息类型暂不支持修改消息接收人，敬请谅解） 备案消息 消息类型 消息介绍 备案通知 ICP备案策略调整等相关通知。 合同消息 消息类型 消息介绍 优惠折扣通知 商务通知函生效通知。 签约通知 授信激活电子协议在线签约通知。 合同商务到期提醒 合同商务到期通知。 父主题： 消息接收配置

策略授权的系统权限 消息中心支持基于策略授权的授权模型。如表1所示，包括了消息中心基于策略授权中的所有系统策略。 表1 消息中心系统策略 系统策略名称 描述 策略类别 MessageCenterFullAccessPolicy 消息中心的所有查看和执行权限。一般为管理员使用。 系统策略 MessageCenterReadOnlyPolicy 拥有消息中心站内信所有已读未读消息查看和执行权限，对于消息接收配置界面的相关信息只能查看，不可操作。 系统策略 MessageCenterRecipientManagementPolicy 只能查看和执行消息接收配置下的相关信息，不能查看站内信。 系统策略 表2列出了消息中心常用操作与系统策略的授权关系，您可以参照该表选择合适的系统策略。 表2 消息中心常用操作与系统权限的关系 功能 MessageCenterFullAccessPolicy MessageCenterReadOnlyPolicy MessageCenterRecipientManagementPolicy 查看操作站内信 √ √ × 查看消息接收配置信息 √ √ √ 操作消息接收配置信息 √ × √ 查看语音接收配置信息 √ √ √ 操作语音接收配置信息 √ × √ 查看消息接收人信息 √ √ √ 操作消息接收人信息 √ × √

示例流程 图1 给用户授予华为 云消息 中心权限流程 创建用户或创建用户组 在IAM控制台创建用户或用户组。 将系统策略附加至用户或用户组 为用户或用户组授予消息中心相关的系统策略“MessageCenterReadOnlyPolicy”，或将策略附加至用户或用户组。 用户登录并验证权限。 使用已授权的用户登录控制台，验证权限： 在华为云官网页面登录账号下拉列表中选择“未读消息”进入华为云消息中心，检查是否具有“站内消息—全部消息”页面的查看站内信的权限，如果有，表示“MessageCenterReadOnlyPolicy”已生效。 在华为云消息中心—消息接收管理—消息接收配置界面是否可以查看和操作相关配置信息，若界面操作按钮置灰，表示“MessageCenterReadOnlyPolicy”已生效。 （可选）如果系统预置的消息中心系统策略不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参考1.3 策略支持的授权项。 目前华为云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。 JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内容；也可以直接在编辑框内编写JSON格式的策略内容。 下面为您介绍常用的消息中心自定义策略样例。

消息中心自定义策略样例 示例1：授权更新账号信息的权限。 { "Version": "5.0", "Statement": [ { "Effect": "Allow", "Action": [ "messageCenter:recipient:view" ] } ] } 示例2：授权查看和操作接收人管理界面的权限。 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项。多个授权语句策略描述如下： { "Version": "5.0", "Statement": [ { "Effect": "Allow", "Action": [ "messageCenter:recipient:view", "messageCenter:recipient:update" ] } ] }

什么是区域、可用区 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。 图1 区域和可用区 目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。

如何选择区域？ 选择区域时，您需要考虑以下几个因素： 地理位置 一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。不过，在基础设施、BGP网络品质、资源的操作与配置等方面，中国大陆各个区域间区别不大，如果您或者您的目标用户在中国大陆，可以不用考虑不同区域造成的网络时延问题。 在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户，可以选择“南非-约翰内斯堡”区域。 在欧洲地区有业务的用户，可以选择“欧洲-巴黎”区域。 云服务之间的关系 如果多个云服务一起搭配使用，需要注意： 不同区域的弹性云服务器、关系型数据库、 对象存储服务 内网不互通。 不同区域的弹性云服务器不支持跨区域部署在同一负载均衡器下。 资源的价格 不同区域的资源价格可能有差异，请参见华为云服务价格详情。

查询文档审核作业结果 本章节对查询文档审核作业结果AK/SK方式使用SDK进行示例说明。 示例代码中需要配置使用RunQueryDocumentModerationJobRequest类的withJobId配置审核任务的id，配置完成后运行即可。 package main import ( "fmt" "github.com/huaweicloud/huaweicloud-sdk-go-v3/core/auth/basic" moderation "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/moderation/v3" "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/moderation/v3/model" region "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/moderation/v3/region" ) func main() { // 认证用的ak和sk硬编码到代码中或者明文存储都有很大的安全风险，建议在配置文件或者环境变量中密文存放，使用时解密，确保安全； // 本示例以ak和sk保存在环境变量中来实现身份验证为例，运行本示例前请先在本地环境中设置环境变量HUAWEICLOUD_SDK_AK和HUAWEICLOUD_SDK_SK。 ak := os.Getenv("HUAWEICLOUD_SDK_AK") sk := os.Getenv("HUAWEICLOUD_SDK_SK") auth := basic.NewCredentialsBuilder(). WithAk(ak). WithSk(sk). WithIamEndpointOverride(iamEndpoint). Build() client := moderation.NewModerationClient( moderation.ModerationClientBuilder(). WithRegion(region.ValueOf("xxx")). //把xxx替换成服务所在的区域，例如北京四：cn-north-4。 WithCredential(auth). Build()) request := &model.RunQueryDocumentModerationJobRequest{} request.JobId = "xxxx" response, err := client.RunQueryDocumentModerationJob(request) if err == nil { fmt.Printf("%+v\n", response) } else { fmt.Println(err) } } 控制台输出查询文档审核作业结果。 RunQueryDocumentModerationJobResponse {"job_id": "01693238400_cd7c8fd0a30b4c13b1fcaf9246c542c6", "status": "succeeded", "result": {"suggestion": "pass", "details": []}, "request_params": {"data": {"url": "http://xxxxx", "format": "pdf"}, "event_type": "default"}, "create_time": "2023-08-29T16:33:50.050Z", "update_time": "2023-08-29T16:33:50.050Z", "request_id": "e4eeb972aeb92f4269e8dfbb59ba7e3b"} 父主题： 文档审核