华为云用户手册

非对称密钥加密 非对称密钥加密又称公开密钥加密。它需要使用一对密钥来分别完成加密和解密的操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。 优点：加密和解密使用密钥不同，所以安全性高。 缺点：加密和解密速度较慢。 适用场景：对敏感信息加密。 加密过程：假设发送方要给接收方发送消息“秘密计划”。发送方获取接收方的公钥（假设为“public_key_A”），使用该公钥将“秘密计划”加密为密文“@#$%^&”。接收方收到密文后，使用自己的私钥（假设为“private_key_A”）将密文解密为明文“秘密计划”。即使其他人获取了公钥，也无法解密密文，因为他们没有对应的私钥。 更多信息请参见密钥概述。

用户主密钥 用户主密钥（Customer Master Key，CMK）是加密系统中最高级别的密钥，用于生成和管理其他密钥（如会话密钥、 数据加密 密钥等），或者直接用于加密重要数据。它的安全性和保密性至关重要，因为一旦主密钥泄露，整个加密系统的安全性可能会受到严重威胁。 主密钥有以下特点： 高安全性：主密钥通常是系统中最敏感的密钥，需要严格保护，通常存储在安全的硬件设备（如硬件安全模块HSM）中。 长期使用：主密钥通常具有较长的生命周期，不会频繁更换，以确保系统的稳定性和一致性。 多用途：主密钥可以用于多种加密操作，包括生成子密钥、加密数据、签名验证等。 唯一性：在一个加密系统中，主密钥通常是唯一的，或者在分布式系统中，每个节点或区域可能有自己的主密钥。 主密钥包括自定义密钥和默认密钥。自定义密钥支持创建、查看、启用、禁用、计划删除、取消删除等操作。 自定义密钥可以通过创建副本密钥的方式实现跨区域使用。在不同区域生成密钥材料相同的副本密钥，便于在多个区域执行数据的加解密处理，提高业务效率。 自定义密钥分为“对称密钥”和“非对称密钥”。 对称密钥加密是最常用的数据加密保护方式。 相比对称密钥加密，非对称密钥通常用于在信任程度不对等的系统之间，实现数字签名验签或者加密传递敏感信息。非对称密钥由一对公钥和私钥组成，互相关联，其中的公钥可以被分发给任何人，而私钥必须被安全的保护起来，只有受信任者可以使用。 使用非对称密钥生成数字签名以及验证签名：签名者将验签公钥分发给消息接收者，使用签名私钥，对数据产生签名，并将数据以及签名传递给消息接收者。消息接收者获得数据和签名后，使用公钥针对数据验证签名的合法性。

副本密钥 副本密钥是指在数据加密服务中，通过对主密钥进行复制而生成的密钥。副本密钥是与主密钥具有相同密钥材料的密钥。它通常用于跨区域的数据加解密操作，以便在不同区域中使用相同的密钥进行数据处理。副本密钥在数据加密服务中提供了灵活性和高可用性，但需要合理管理以确保安全性和合规性。 副本密钥有以下特点： 跨区域使用：副本密钥可以在不同区域生成，从而实现跨区域的密钥共享。副本密钥在需要跨区域进行数据加解密的场景中非常有用，例如在分布式系统或云服务环境中。 高可用性：通过在多个区域创建副本密钥，可以提高系统的可用性，即使某个区域出现问题，其他区域的副本密钥仍可以继续工作。 操作限制： 副本密钥支持启用、禁用、在线加解密等操作，但不支持密钥轮换，密钥轮换需由主密钥发起。 仅支持对华北-北京四、华南-广州、西南-贵阳一、华东-上海一、亚太-新加坡、中东-利雅得区域的主密钥创建副本密钥。 同一个主密钥可以在多个不同区域创建副本密钥，但每个区域仅能创建一个主密钥对应的副本密钥。 表1 主密钥与副本密钥区域 主密钥区域 副本密钥支持区域 华北-北京四 华东-上海一 华南-广州 西南-贵阳一 华南-广州 华北-北京四 华东-上海一 西南-贵阳一 西南-贵阳一 华东-上海一 华南-广州 华北-北京四 华东-上海一 华北-北京四 华南-广州 西南-贵阳一 亚太-新加坡 中东-利雅得 中东-利雅得 亚太-新加坡 主密钥与副本密钥的关系： 主密钥是副本密钥的来源：副本密钥是从主密钥派生出来的，用于跨区域或分布式环境中的数据加密。 主密钥的更新影响副本密钥：如果主密钥需要更新或轮换，通常需要重新生成副本密钥，以确保整个系统的加密一致性。

与 统一身份认证 服务的关系 统一身份认证服务（Identity and Access Management， IAM ）为数据加密服务提供了权限管理的功能。 需要拥有KMS Administrator权限的用户才能使用DEW服务。 需要同时拥有KMS Administrator和Server Administrator权限的用户才能使用密钥对管理功能。 如需开通该权限，请联系拥有Security Administrator权限的用户，详细内容请参考《统一身份认证服务用户指南》。

KMS与其他云服务的加密关系 KMS为各云服务提供主密钥管理控制能力，为各云服务提供加密能力。使用KMS加密的云服务如下表所示： 表1 使用KMS加密的云服务列表 服务名称 如何使用 参考文档 对象存储服务 OBS 对象存储服务支持普通方式和服务端加密方式上传和下载对象。当用户使用服务端加密方式上传对象时，数据会在服务端加密成密文后安全地存储在对象存储服务中；用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。对象存储服务支持KMS托管密钥的服务端加密方式（即SSE-KMS加密方式），该加密方式是通过KMS提供密钥的方式进行服务端加密。 OBS服务端加密 云硬盘 EVS 在创建云硬盘时，用户启用云硬盘的加密功能，系统将使用用户主密钥产生的数据密钥对磁盘进行加密，则在使用该云硬盘时，存储到云硬盘的数据将会自动加密。 EVS服务端加密 镜像服务 IMS 用户通过外部镜像文件创建私有镜像时，可启用私有镜像加密功能，选择KMS提供的用户主密钥对镜像进行加密。 IMS服务端加密 弹性文件服务 SFS 用户通过弹性文件服务创建文件系统时，选择KMS提供的用户主密钥对文件系统进行加密，当使用该文件系统时，存储到文件系统的文件将会自动加密。 SFS服务端加密 云数据库 RDS 在购买数据库实例时，用户启用数据库实例的磁盘加密功能，选择KMS提供的用户主密钥对数据库实例的磁盘进行加密，选择磁盘加密后会提高数据的安全性。 RDS数据库加密 文档数据库服务 DDS 在购买文档数据库实例时，用户启用文档数据库实例的磁盘加密功能，选择KMS提供的用户主密钥对文档数据库实例的磁盘进行加密，选择磁盘加密后会提高数据的安全性。 DDS数据库加密 弹性云服务器 E CS 弹性云服务器是通过镜像加密或者数据盘加密来实现ECS资源加密。 在创建弹性云服务器时，您如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，加密方式与镜像保持一致。镜像加密请参见IMS服务端加密。 在创建弹性云服务器时，您也可以对添加的数据盘进行加密。 数据盘加密请参见EVS服务端加密。 ECS服务端加密 高性能弹性文件服务 SFS Turbo 创建SFS Turbo文件系统时，选择KMS提供的密钥对文件系统进行加密，使核心数据更安全。 创建SFS Turbo文件系统 专属主机 DeH 用户加密，是指用户通过提供的加密特性，对弹性云服务器资源进行加密，从而提升数据的安全性。用户加密功能包括镜像加密和云硬盘加密。 专属主机加密 函数工作流 FunctionGraph 若需在函数运行时解密敏感数据（如数据库密码、API密钥），可通过KMS SDK动态操作密钥。用户可以将加解密密钥托管在KMS，并在IAM服务为函数创建委托授权FunctionGraph访问KMS。 用户配置安全 云硬盘备份 VBS 云硬盘备份的加密功能依赖于密钥管理服务。加密云硬盘的备份数据会以加密方式存放。 创建云硬盘备份 云容器引擎 CCE 可以使用KMS密钥对CCE中存储的Kubernetes Secret对象进行信封加密，为应用程序的敏感数据提供安全保护。 使用KMS进行Secret落盘加密 专属分布式存储服务 DSS 当您由于业务需求从而需要对存储在磁盘的数据进行加密时，EVS为您提供加密功能，可以对新创建的磁盘进行加密。加密磁盘使用的密钥由数据加密服务（DEW，Data Encryption Workshop）中的密钥管理（KMS，Key Management Service）功能提供，无需您自行构建和维护密钥管理基础设施，安全便捷。 磁盘加密 云容器实例 CCI 云容器实例支持将云硬盘（EVS）挂载到容器中，将通过KMS对云硬盘进行加密。 云硬盘存储卷 容器镜像服务 SWR 容器镜像服务企业版支持使用数据加密服务（DEW）中创建的密钥对镜像进行签名，保障镜像分发部署过程中的一致性，避免中间人攻击和非法镜像更新及运行。 镜像签名 云数据库 TaurusDB 透明数据加密（Transparent Data Encryption，简称TDE），对数据文件执行实时I/O加密和解密，数据在写入磁盘之前进行加密，从磁盘读入内存时进行解密，能有效保护数据库及数据文件的安全。 开启TaurusDB透明数据加密 云运维中心 COC 为了更加安全地保护您的主机账号密码，云运维中心会使用KMS来加密您的主机账号密码。在使用密钥管理之前，请先在KMS创建好密钥。 密钥管理 数据仓库 服务 GaussDB (DWS) 在DWS中，可以为集群启用数据库加密，以保护静态数据。当您为集群启用加密时，该集群及其快照的数据都会得到加密处理。 DWS数据库加密 云数据迁移 CDM 在迁移文件到文件系统时，CDM支持通过KMS提供的密钥对文件加解密。 迁移文件时加解密 工业数字模型驱动引擎 iDME 数据建模引擎运行SDK资源规划，可对属性的值加密。 规划数据建模引擎SDK资源 数据安全中心 DSC 通过加密算法和加密主密钥生成一种加密配置，达到数据脱敏的效果。 加密脱敏

服务介绍 表1 服务介绍 名称 定义 更多信息 密钥管理服务 （Key Management Service, KMS） 密钥管理是一种安全、可靠、简单易用的密钥托管服务，帮助您轻松创建和管理密钥，保护密钥的安全。 KMS通过使用硬件安全模块（Hardware Security Module，HSM）保护密钥安全，HSM模块满足FIPS 140-2 Level 3安全要求。帮助用户轻松创建和管理密钥，所有的用户密钥都由HSM中的根密钥保护，避免密钥泄露。 密钥概述 云凭据管理服务 （Cloud Secret Management Service，C SMS ） 凭据管理是一种安全、可靠、简单易用的凭据托管服务。 用户或应用程序通过凭据管理服务，创建、检索、更新、删除凭据，轻松实现对敏感凭据的全生命周期和统一管理，有效避免程序硬编码或明文配置等问题导致的敏感信息泄密以及权限失控带来的业务风险。 创建凭据 密钥对管理服务 （Key Pair Service, KPS） 密钥对管理是一种安全、可靠、简单易用的SSH密钥对托管服务，帮助用户集中管理SSH密钥对，保护SSH密钥对的安全。 KPS是利用HSM产生的硬件真随机数来生成密钥对，并提供了一套完善和可靠的密钥对的管理方案，帮助用户轻松创建、导入和管理SSH密钥对。生成的SSH密钥对的公钥文件均保存在KPS中，私钥文件由用户自己下载保存在本地，从而保障了SSH密钥对的私有性和安全性。 创建密钥对 专属加密 （Dedicated Hardware Security Module，Dedicated HSM） 专属加密是一种云上数据加密的服务，可处理加解密、签名、验签、产生密钥和密钥安全存储等操作。 Dedicated HSM为您提供经国家密码管理局检测认证的加密硬件，帮助您保护弹性云服务器上数据的安全性和完整性，满足监管合规要求。同时，用户能够对专属加密实例生成的密钥进行安全可靠的管理，也能使用多种加密算法来对数据进行可靠的加解密运算。 专属加密 密码系统服务 （Cloud Platform Cryptosystem Service，CPCS） 云平台密码系统服务是一种云上的一站式密码服务管理平台。 CPCS为您提供经国家秘密管理局检测认证的密码服务，自动部署，简易管理，实时监控，简化了密码应用改造建设流程，提高了商用密码应用安全性评估（密评）效率，可以让用户的应用系统快速通过密评。 密码系统服务

配置流程 本文以华为云弹性服务器（Elastic Cloud Server）作为FTP服务器。关于华为云弹性云服务器如何配置安全组和公网IP，请参见安全组概述和获取EIP。 步骤 说明 准备工作 在购买全球加速实例、EIP、ECS等资源之前，请先 注册华为账号 并开通华为云、完成实名认证、为账户充值。 步骤一：安装FTP软件并配置FTP服务器 以华为云弹性云服务器Linux操作系统为例，安装并配置vsftpd。 当您使用不同操作系统和vsftpd软件版本时，可能需要根据实际情况调整命令和参数配置。 步骤二：创建全球加速实例 全球加速服务为全球化业务用户提供应用加速服务，使用全球加速服务前，用户必须先创建全球加速实例。 步骤三：配置监听器 创建全球加速实例后，您需要为全球加速实例配置监听器。监听器负责监听连接请求，并根据流量转发策略将请求流量分发至终端节点。 步骤四：配置终端节点组和终端节点 将具有相同特性的终端节点放在一个终端节点组组内，每个终端节点组都与特定的区域关联，全球加速实例进行流量分发时，流量分配策略以终端节点组为单位生效。 步骤五：配置验证 在本场景中，全球加速服务的监听器配置的是TCP协议，可以使用curl命令方式验证配置结果。

步骤四：配置终端节点组和终端节点 FTP协议在客户端和服务器之间建立了两条通信链路：控制链路和数据链路。控制链路用于传输FTP命令，而数据链路则负责数据的传输。 在服务所在地域（终端节点组所属地域），全球加速实例有多个终端节点出公网IP，但部分FTP服务器配置了连接检查，要求控制链路和数据链路的客户端IP必须相同。这时，您可以选择关闭FTP服务端的源IP检查。 根据界面提示配置相关参数。详细请参见表3。 图3 添加终端节点组 表3 添加终端节点组 类型 参数 示例 说明 终端节点组 名称 endpointgroup-test 终端节点组名称。 每个监听器下每个区域只允许关联一个终端节点组。 只能由中文、英文字母、数字、中划线组成。 长度范围：1-64个字符。 区域 华北-北京四 终端节点组所属区域。 描述 - 终端节点组描述。 长度范围：不超过255个字符。 流量调度 1 配置到不同终端节点组的流量比例。 如果增加流量调度比例，将有更多的请求分发到此终端节点组。 如果将流量调度比例设置为0，则不会将任何请求分发到此终端节点组。 取值范围为：[0-100]。 说明： 如果监听器中有多个终端节点组，分配流量时优先选择时延最低的终端节点组，并按照该终端节点组的流量调度值分配流量，然后再向其他终端节点组分配其余流量。 终端节点 1.92.xx.xx 终端节点充当客户端的接触点，加速实例跨正常运行的终端节点分发传入流量。 本实践选择“自定义IP”，输入FTP服务器的公网IP。 健康检查配置 是否开启 开启 开启或者关闭健康检查。 关闭健康检查可能会导致业务请求转发至异常的后端服务器。 前端协议 TCP 健康检查目前支持选择TCP协议或UDP协议。 默认：TCP协议。 前端端口 21 健康检查端口号。 取值范围：[1，65535]。 高级配置 检查间隔(秒) 5 每次健康检查响应的最大间隔时间。 取值范围：[1-60]。 超时时间(秒) 5 每次健康检查响应的最大超时时间。 取值范围：[1-60]。 最大重复次数 3 健康检查最大的重试次数。 取值范围：[1-10]。 单击“保存”，保存配置信息。 单击“下一步”，确认监听器、终端节点组、终端节点信息。 单击“提交”。 等待页面提示“创建加速器实例xxx成在”后，单击“完成”。

步骤一：安装FTP软件并配置FTP服务器 本节介绍在华为云弹性云服务器Linux操作系统安装并配置vsftpd。当您使用不同操作系统和vsftpd软件版本时，可能需要根据实际情况调整命令和参数配置。 远程登录弹性云服务器Linux操作系统。 详细请参见登录Linux ECS。 执行以下命令安装vsftpd。 yum install -y vsftpd 使用本地用户模式进行认证，创建用户。 # 创建linux用户 useradd ftpdemo # 修改用户ftpdemo的密码 passwd ftpdemo # 创建一个供FTP服务使用的文件目录 mkdir /var/ftp/demo # ftpdemo用户拥有此目录 chown -R ftpdemo:ftpdemo /var/ftp/demo 配置vsftpd。 vim /etc/vsftpd/vsftpd.conf 修改配置文件。 # 除下面提及的参数外，其他参数保持默认值即可 # 修改下列参数的值 # 禁止匿名登录FTP服务器 anonymous_enable=NO # 允许本地用户登录FTP服务器 local_enable=YES # 监听IPv4 sockets listen=YES # 关闭监听IPv6 sockets # listen_ipv6=NO # 添加下列参数 # 设置本地用户登录后所在目录 local_root=/var/ftp/demo # 开启被动模式 pasv_enable=YES # 关闭控制和数据连接IP地址的一致性检查，需配置为YES，否则FTP客户端不能上传文件到FTP服务器 pasv_promiscuous=YES # 设置被动模式下，建立数据传输可使用的端口范围的最小值 pasv_min_port=2100 # 设置被动模式下，建立数据传输可使用的端口范围的最大值 pasv_max_port=2120 # 设置被动模式下，使用GA的Anycast IP进行数据传输 pasv_address=GA Anycast IP 在FTP被动模式下，以FileZilla工具为例，客户端开启调试模式后，可以查看到服务器接收到PASV命令后返回的响应信息： 227 Entering Passive Mode (h1,h2,h3,h4,p1,p2) h1,h2,h3,h4：表示服务器的IP地址，采用点分十进制表示法，即h1.h2.h3.h4，该IP地址为pasv_address的配置值。 当服务器配置里未填写pasv_address时，将使用私网IP/主机IP。 p1,p2：用于计算数据传输端口号。 计算公式为：端口号 = p1 * 256 + p2 端口号范围：pasv_min_port 至 pasv_max_port 当端口被占用时，会导致数据传输失败。 按Esc退出编辑模式。 输入“:wq”并回车，保存并关闭文件。 执行以下命令启动vsftpd服务。 # 重启vsftpd服务 systemctl restart vsftpd.service # 查看vsftpd服务的状态 systemctl status vsftpd

步骤二：创建全球加速实例 全球加速服务为全球化业务用户提供应用加速服务，使用全球加速服务前，用户必须先创建全球加速实例。 登录全球加速控制台。 在全球加速服务页面，单击“购买全球加速服务”。 根据界面提示配置相关参数，详细请参见表1。 图1 创建全球实例 表1 创建全球加速实例 参数 示例 说明 名称 ga-test 用户将要创建的全球加速实例的名称。 只能由中文、英文字母、数字、中划线组成。 长度范围：1-64个字符。 企业项目 default 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 您可以使用已有企业项目，也可以新建企业项目。 加速区域 中国大陆 加速区域指需要进行访问加速的区域。 支持选择“中国大陆以外”或“中国大陆”。 默认：中国大陆以外。 本实践选择“中国大陆”。 IP地址类型 IPv4 全球加速实例的地址类型。 “加速区域”选择“中国大陆”时，支持选择“IPv4”或“IPv4+IPv6”。 本实践选择“IPv4”。 标签 example_key1 example_value1 为全球加速实例绑定标签，用来标识资源，支持修改。 描述 test 全球加速实例描述。 长度范围：不超过255个字符。 单击“下一步”，进入监听器配置页面。

步骤三：配置监听器 创建全球加速实例后，您需要为全球加速实例配置监听器。监听器负责监听连接请求，并根据流量转发策略将请求流量分发至终端节点。 根据界面提示配置相关参数，详细请参见表2。 图2 添加监听器 表2 添加监听器 参数 示例 说明 名称 listener-test 监听器名称。 只能由中文、英文字母、数字、中划线组成。 长度范围：1-64个字符。 前端协议 TCP 客户端与监听器建立流量分发连接的协议。 取值范围：TCP、UDP。 前端端口 21,2100-2120 客户端与监听器建立流量分发连接的端口。 端口取值在1-65535之间，端口范围用“-”连接，多个端口或端口范围以逗号隔开。 例如：1-10，11-50，51，52-200 本实践输入“21,2100-2120”。 客户端亲和性 按源IP保持会话 会话保持。 支持选择“关闭”或“按源IP保持会话”。 TCP和UDP协议仅支持“按源IP保持会话”。 按源IP保持会话：基于源IP地址的简单会话保持，将请求的源IP地址作为散列键（HashKey），从静态分配的散列表中找出对应的服务器。即来自同一IP地址的访问请求会被转发到同一台后端服务器上进行处理。 本实践选择“按源IP保持会话”。 标签 - 监听器的标识，包括键和值。可以为监听器创建20个标签。 描述 - 监听器描述。 长度范围：不超过255个字符。

应用场景 FTP（File Transfer Protocol）是一种文件传输协议，基于客户端和服务器架构，支持以下两种工作模式： 主动模式（Active Mode）：客户端向FTP服务器发送端口信息，由服务器主动连接该端口。 主动模式的工作流程如下： 工作流程 描述 ①双方建立控制连接 客户端向21端口发送控制连接请求，建立控制连接。 ②同步客户端数据传输端口 客户端向21端口报告可以用于数据传输的端口2100。 ③传输数据 服务端20端口主动连接客户端的2100端口，进行数据传输。 ④关闭连接 数据传输完成后，服务端主动关闭连接。 被动模式（Passive Mode）：FTP服务器开启并发送端口信息给客户端，由客户端连接该端口，服务器被动接受连接。 被动模式的工作流程如下： 工作流程 描述 ①双方建立控制连接 客户端向21端口发送控制连接请求，建立控制连接。 ②同步客户端数据传输端口 服务端告知客户端数据传输端口为2120。 ③传输数据 客户端重新开启一个端口连接服务端的数据传输端口2120，并进行数据传输。 ④关闭连接 数据传输完成后，服务端主动关闭连接。 GA目前仅支持FTP的被动模式。 FTP支持以下三种认证模式： 虚拟用户模式（推荐）：FTP服务器的专有用户。虚拟用户只能访问Linux系统为其提供的FTP服务，而不能访问Linux系统的其他资源，进一步增强了FTP服务器的安全性。 本地用户模式：通过Linux系统本地账号进行验证的模式，相较于匿名用户模式更安全。 匿名用户模式（存在安全隐患，不推荐）：任何人无需密码验证就可以直接登录到FTP服务器。这种模式最不安全，一般只用来保存不重要的公开文件，不推荐在生产环境中使用。

功能特性 云日志 服务提供数据加工功能，用于数据的规整、富化、脱敏和过滤。 数据规整：针对混乱格式的日志进行字段提取、格式转换，获取结构化数据以支持后续的流处理、数据仓库计算。 数据富化：对日志（例如订单日志）和维表（例如用户信息表）进行字段连接（JOIN），为日志添加更多维度的信息，用于数据分析。 数据脱敏：对数据中包含的密码、手机号、地址等敏感信息进行脱敏。 数据过滤：过滤出关键服务的日志，用于重点分析。

设置显示来电名片 开启来电识别后，会识别出来电者的姓名和所在组织。即使同事的电话没有存到本地，也依然能够识别出来电用户身份。 苹果手机用户 打开苹果手机系统，单击“设置”，单击“电话”，单击“来电阻止与身份识别”， 单击 开天企业工作台 右侧按钮。 该功能仅支持iOS 10.1以上系统。 安卓手机用户 无论什么方式拨打电话，只要安装了开天工业工作台客户端， 都会显示来电者的信息，包括：姓名、职位、组织名称、企业名称。 需要保证开天 企业工作台 的进程开启，才能正常显示来电名片。

邀请成员自注册 被赋予邀请成员权限的人员可在通讯录模块，单击页面中间“立即邀请”，进入邀请方式选择页面。 图1 app端邀请 可选择企业二维码、企业邀请码或企业邀请链接的方式，进入邀请页面。 选择“企业二维码”后，将二维码保存至相册并分享给成员，成员可通过开天工作台、浏览器等扫描工具扫描二维码加入企业。 选择“企业邀请码”后，单击“复制”将邀请码分享给成员，成员注册时输入邀请码即可快速加入企业。 选择“企业邀请链接”后，单击“复制邀请链接”可将Web端或App端的链接分享给成员，成员单击链接后加入企业。 邀请的成员加入的组织为人员所在组织。 若人员组织变更，邀请信息变化为调整组织后的邀请信息； 若人员离职，已经分享的邀请信息无影响。

查看消息 进入消息模块，可看到消息列表。 选择某一条消息，进入聊天对话框。长按消息，会显示对当前消息可进行的操作，如图1所示，相关操作说明参见表1。 图1 查看消息 表1 操作说明 操作 说明 回复 对消息进行回复。 转发 转发消息给其他人员。 复制 复制消息内容。 收藏 收藏消息，可在我的收藏查看。 删除 删除消息，删除仅是从我的聊天记录中删除，不影响对方的聊天记录。 稍后处理 加入消息模块的稍后处理列表。 发邮件 给对方发送邮件。需要登录邮箱服务。 创建提醒 将消息创建成为日程。 创建任务 将消息创建成为任务。 更多 多选消息。 快速响应 使用系统提供的表情快速响应消息。

最低配置要求 对Android的系统要求 最低配置：Android5.0，运行 RAM 4G，CPU Arm v7 A9架构双核1.4G，支持NEON加速技术，内部存储空间ROM 4G。 推荐配置：Android5.0~Android10.0，运行RAM 6G及以上，CPU Arm v7 A9架构八核1.6G及以上，支持NEON加速技术， 内部存储空间ROM 16G及以上。 对iOS的系统要求 最低配置：iOS10.0。 推荐配置：iOS10.0-iOS15.6。

设置/修改密码 若您之前没有设置过密码，请参考以下步骤。 在个人中心栏单击“设置密码”，显示设置密码弹窗，如图2所示。 图2 设置密码 在设置密码弹窗中，输入密码，单击“确定”。 设置密码完成后，您并不会退出登录，可继续使用工业工作台。当您下次登录时需要使用新密码进行登录。 若您需要修改密码，请参考以下步骤。 在个人中心栏单击“修改密码”，显示修改密码弹窗，如图3所示。 图3 修改密码 在修改密码弹窗中，输入原密码及新密码，单击“确认修改”。 修改密码完成后，会自动退出登录，请您使用新密码重新登录工业工作台。

订购应用 当在应用中心没有找到合适的应用，您可以进入应用市场进行浏览，将您需要的应用告知企业管理员，企业管理员进行订阅并授权给您。 在顶部导航栏，单击“应用”，进入应用模块。 在全部应用页面中单击最右侧“应用市场”，进入应用市场，如图1所示。 图1 应用市场 在应用市场中浏览，查看您所需要的应用。您可将应用的链接或名称通过聊天告知管理员。聊天参见发起1对1聊天。 管理员在应用市场进行订购，参见添加应用。 订阅完成后，管理员将应用授权给您，即可使用应用。应用授权参见设置应用可见范围。

操作步骤 审批模块下，单击“待我审批”，展示需要登录成员审批的内容，如图1所示。 图1 待我审批 单击列表，展示待我审批的申请详情。 在弹出的审批详情中，可查看审批的详细内容。查看信息后您可进行如下操作，如表1所示。 表1 参数说明 参数 说明 同意 该审批将通过，并通知对应审批人。 拒绝 该审批未通过，且会被退回至审批人。 评论 对该审批进行评论，不影响审批状态。 退回 将该审批退回，不做任何处理。 转交 将该审批转交给其他人进行审批。 加签 审批通过，在流程中增加其他人员进行审批。 操作完成后，您可在我已审批页面，进行查看。

操作步骤 在开天工业工作台用户工作台，选择界面上方菜单栏“审批”。 选择左侧导航栏的“我发起的”，右侧界面显示出可发起的审批类型。 单击“请假”，发起请假审批，请假内容如表1所示。 表1 参数说明 参数 说明 请假事由 请假审批的内容，一般为文本内容。 请假类型 请假的类型，系统已预置常见的请假类型如年休假、事假、病假等。 开始时间 请假的开始日期。 结束时间 请假的结束日期。 时长 系统通过结束时间与开始时间自动计算请假时长，以0.5天为最小单位。 图片附件 可上传请假的图片附件，最多9张图片。 文件附件 可上传请假的文件附件，最多20个附件。 审批人 审批请假的人员。 知会人 通知审批结果的人员。 加急 给指定的审批人发送消息。 填写审批内容，单击“保存”。 提交成功后，对应的审批人会收到您的审批请求，请耐心等待。

新建日程 在我的应用页面，单击“日程”。 在日程详情页，单击右上角“新建”，如图1所示。 图1 日程详情页 在弹出的下拉列表中，可选择新建会议、提醒、通知、日程，如图2所示。 图2 新建-下拉列表 在弹出的新建对话框中，配置对应的内容，单击“确定”。其中内容最多支持1000个字，内容附件中单个文件最大为20M；一次只能选择一个文件；附件可删除，最多上传9个附件，如图3、图4、图5、图6所示。 图3 新建-会议 图4 新建-提醒 图5 新建-通知 图6 新建-日程 您新建的内容将新增在日程列表中。

操作步骤 用户获取“用户访问 域名 ”，域名在管理员添加用户时，会通过短信或邮件的形式告知用户，添加用户详情请参考添加员工。或您可以直接登录开天工业工作台用户工作台。 登录方式有两种，一种是输入用户名和密码，另一种是输入手机和验证码，如图1所示，然后单击“登录”，进入用户门户首页。 图1 企业用户登录 通过管理员手动添加企业成员的方式创建的账号，首次登录或者未设置密码时，只可通过手机验证码的方式登录，登录后请根据弹窗提示前往设置密码，如图2所示。设置密码后，下次才可使用账号密码登录。如需修改密码，请参见设置/修改密码。 图2 设置密码

主页 主页是开天工业工作台应用的聚合，成员可在主页快速处理企业内相关事宜，如查看日程、查看新闻、查看待办事项。 开天工业工作台为各个行业预置了行业模板，企业可以直接使用。在管理后台的门户管理中，企业管理员可以自定义门户，详情请参考管理员配置企业门户。本章节以默认的行业模板向您介绍主页的布局及内容，如图1所示。 图1 默认主页详情 导航栏：工作台的导航窗格，用于切换不同功能的界面。 个人中心：可进入个人中心，查看当前账号的相关信息、帮助中心等内容。 应用：系统的应用栏目，由后台管理员订阅相关应用进行使用。 待办中心：当前用户需要处理及已处理的内容。 新闻：单位、行业及系统发布的新闻内容，可搜索或按分类查看历史新闻。 公告：单位及系统发布的公告内容，可搜索或按分类查看历史公告。 日程：日历功能，显示用户参与的会议、通知、提醒及日程。 父主题： 普通用户指南（web）

版本信息 版本信息包括：订购时间，到期时间，规格套餐，规格说明，规格详情等信息。 “总览”界面不显示版本信息的存量租户，可通过单击“转包周期”升级规格套餐。 若租户购买的规格套餐即将到期，可通过单击“续费”购买MIW服务，延长当前规格套餐的使用时间，或者通过单击“退订”停止使用MIW服务。 若租户购买的规格套餐非“专业版增强型”，可通过如下两种操作将规格套餐从低规格升级到高规格： 单击“升级”：完成升级操作后，系统自动为租户升级到目标规格套餐，新版本到期时间与原版本到期时间相同。 单击“续费新版本”：完成续费新版本操作后，系统在原规格套餐使用时间到期时，自动为租户切换到新版本规格套餐。

操作步骤 进入开通开天工业工作台界面，如图1所示。可单击“立即开通”或者在左侧导航栏选择“服务授权”。 图1 开通开天工业工作台 单击“立即开通”。 在“添加授权”弹框中单击“同意授权”，获取依赖服务的授权，如图2所示。 图2 服务授权 选择“服务授权”。 在跳转到的“服务授权”界面单击“添加授权”，如图3所示。 图3 添加授权 在“添加授权”弹框中单击“同意授权”，获取依赖服务的授权，如图4所示。 图4 同意授权 服务授权完成后，选择“总览”，单击“立即开通”。 请参见表1和表2填写企业信息和套餐信息，确认配置费用后，单击“立即购买”，如图5所示。 图5 立即购买 表1 企业信息 参数名称 参数说明 企业名称 该参数为可选参数，表示企业的名称。 取值范围：企业名称由中文、字母、数字或括号组成，不超过60个字符。 企业简称 该参数为必选参数，是区分企业的唯一标识，首次设置后不允许修改，请谨慎设置。用户登录请使用“用户账号@企业简称”作为输入账号进行登录。 取值范围：企业简称由字母或数字组成，不超过15个字符。 表2 套餐信息 参数名称 参数说明 实例版本 该参数为必选参数，表示开天工业工作台业务规格的版本类型。各版本类型的业务规格请参见《产品介绍》“计费说明”。 取值范围： 专业版基础型 专业版标准型 专业版增强型 默认值：专业版基础型 订购扩容包 当实例版本为专业版基础型或专业版标准型时，界面会展现该参数。该参数为必选参数，表示购买开天工业工作台服务时，是否订购扩容包。 取值范围： 暂不购买 立即购买 默认值：暂不购买 扩容包数量 当实例版本为专业版基础型或专业版标准型，且选择“立即购买”扩容包时，界面会展现该参数。该参数表示购买开天工业工作台服务时订购扩容包的数量，1个扩容包包含100个用户数和10条集成流。 当“实例版本”为“专业版基础型”时： 取值范围：1、2、3、4、5、6、7、8、9 当“实例版本”为“专业版标准型”时： 取值范围：1、2、3、4、5 默认值：1 购买时长 该参数为必选参数，表示购买开天工业工作台服务的时长。 取值范围：1、2、3 默认值：1 单位：年 自动续费 该参数为可选参数，表示购买开天工业工作台服务的时间年满后，是否再自动续费一年。 当勾选该参数时，表示自动续费周期为一年。 协议 该参数为必选参数，当勾选该参数时，表示“我已阅读并同意《工业工作台服务协议》和《开天 集成工作台 服务协议》”。 在跳转到的“购买工业工作台”页面，确认订单信息后，单击“确认付款”，完成支付。 开通成功后进入控制台总览，后续登录可直接使用工业工作台服务。

开天工业工作台使用对象 企业管理员 企业管理员是开通开天工业工作台时自动创建的企业管理员，是企业内的超级企业管理员，可对企业内的门户、组织成员（通讯录）、应用、权限、角色、新闻、公告及企业信息等内容进行管理。 业务管理员 业务管理员是由企业管理员在开天工业工作台角色权限处创建的角色，拥有对企业部分门户、组织成员（通讯录）、应用的管理权限。 普通用户 普通用户是具体使用开天工业工作台的人员，一般是由企业管理员或业务管理员在管理后台进行添加，添加完成后，用户账号自动开通，可登录华为工业工作台。

操作场景 工业数字模型驱动引擎-数据建模引擎（xDM Foundation，简称xDM-F）可以将待上传的文件分成多个分块分别上传，上传完成后再调用“file_mergeFiles”接口将这些分块合并成一个对象存储至某个数据模型中。完成文件的分块上传后，可在调用 数据实例 的创建/更新接口时，将文件与该数据实例进行关联，从而实现对象化管理文件。 本文仅指导您如何通过API接口，采用预签名URL的方式分块上传文件至对象存储（OBS/S3）服务。预签名URL上传通过后端生成临时访问凭证，客户端直接与对象存储服务交互，既保证了安全性又提高了上传效率。关于如何创建/更新数据实例的接口请参见全量数据服务。

操作步骤 闪传文件。 如果您已上传某个文件，再上传该文件时，您只需执行本步骤即可完成文件上传。 接口相关信息 表1 startBatchUpload接口 接口信息 说明 URI格式 POST http://{Endpoint}/rdm_{appID}_app/services/rdm/basic/api/file/startBatchUpload Endpoint：必填，String类型，承载REST服务端点的服务器域名或IP地址。 appID：必填，String类型，应用ID。 applicationId：必填，String类型，应用ID。 model_name：必填，String类型，数据模型的英文名称。 model_number：选填，String类型，数据模型的编码。 attribute_name：必填，String类型，数据模型的属性英文名称。 file_name：选填，String类型，待上传文件的名称。本参数与fileName参数必须二选一。不能同时为空，且优先级低于fileName。 file_size：必填，String类型，待上传文件的大小。 chunks：必填，String类型，待上传文件的分块数量。您可以根据构建数据模型时创建属性的约束（分块大小）计算待上传文件的分块数量。 check_code：必填，String类型，文件唯一校验码，即文件的哈希值。 instance_id：必填，String类型，数据实例的唯一编码。 username：必填，String类型，用户名称。 fileId：选填，String类型，文件ID。 encrypted：选填，Boolean类型，用户名称。 exaAttr：选填，String类型，是否为扩展属性。 0：非扩展属性 1：扩展属性 is_direct：选填，Boolean类型，是否为直链上传。 true：表示通过后端服务直接上传文件流，即直链上传。默认为true。 false：表示使用OBS/S3预签名URL进行上传，即预签名URL上传。 请求参数 Header参数 X-Auth-Token：必填，String类型，用户的token。 Body参数 fileName：选填，String类型，待上传文件的名称。本参数与file_name参数必须二选一。不能同时为空，且优先级高于file_name。 响应参数 result：String类型，调用是否成功。 SUC CES S：成功 FAIL：失败 data：List类型，调用的返回结果。 isMergedFile：是否合并文件。 true：合并文件。 false：不合并文件。 docId：文档ID。 fileId：文件ID。 errors：List类型，异常信息列表。 请求示例 新上传一个101MB的文件“testFile.zip”，由于在添加“文件”类型属性时“分块大小”为默认值（5MB），文件需分为21个分块。 POST https://dme.cn-north-4.huaweicloud.com/rdm_fce01234567d41828cf3473b07fa7ae2_app/services/rdm/basic/api/file/startBatchUpload?applicationId=fce01234567d41828cf3473b07fa7ae2&model_name=Craft_File&attribute_name=LargeFiles&file_name=testFile.zip&file_size=103424&chunks=21&check_code=1234567890&instance_id=1&username=XDM_User&is_direct=false X-Auth-Token: ABCDEFG.... 响应示例 { "result": "SUCCESS", "data": [ { "isMergedFile": false, "docId": "0000018BB1E33DC685E9C0045DFC7291", "fileId": "564032141298503680" } ], "errors": [] } 获取预签名URL。 根据调用startBatchUpload接口设置的分块数量，依次执行uploadLargeFile接口。 接口相关信息 表2 uploadLargeFile接口 接口信息 说明 URI格式 POST http://{Endpoint}/rdm_{appID}_app/services/rdm/basic/api/upload/uploadLargeFile Endpoint：必填，String类型，承载REST服务端点的服务器域名或IP地址。 appID：必填，String类型，应用ID。 applicationId：必填，String类型，应用ID。 modelNumber：必填，String类型，数据模型的编码。 modelName：必填，String类型，数据模型的英文名称。 attributeName：必填，String类型，数据模型的属性英文名称。 docId：必填，String类型，文档ID，即1返回的docId。 fileId：必填，String类型，文件ID，即1返回的fileId。 fileName：必填，String类型，待上传文件的名称。 checkCode：必填，String类型，文件的唯一校验码，即文件的哈希值。 chunk：必填，Integer类型，待上传的分块位数。例如您上传第5块分块，填写5。 storageType：选填，Integer类型，文件的存储类型。 0：对象存储。 1：BLOB。 exaAttr：选填，String类型，是否为扩展属性。 0：非扩展属性。 1：扩展属性。 username：选填，String类型，用户名。 uploadType：选填，String类型，文件上传类型。 DIRECT_LINK：直链上传。 OUTBOUND_LINK：预签名URL上传。 请求参数 Header参数 X-Auth-Token：必填，String类型，用户的token。 响应参数 result：String类型，调用是否成功。 SUCCESS：成功。 FAIL：失败。 data：List类型，调用的返回结果。 errors：List类型，异常信息列表。 请求示例 根据请求示例的文件分块数量，依次执行如下接口。为篇幅起见，这里以上传第1个分块为例。 POST https://dme.cn-north-4.huaweicloud.com/rdm_fce01234567d41828cf3473b07fa7ae2_app/services/rdm/basic/api/upload/uploadLargeFile?attributeName=LargeFiles&modelName=Craft_File&applicationId=fce01234567d41828cf3473b07fa7ae2&fileId=564032141298503680&fileName=testFile.zip&checkCode=1234567890&chunk=1&docId=0000018BB1E33DC685E9C0045DFC7291&modelNumber=DM00127285&uploadType=OUTBOUND_LINK X-Auth-Token: ABCDEFG.... 响应示例 { "result": "SUCCESS", "data": [ { "actualSignedRequestHeaders": { "Host": "xdm-982f57b0e0964361a126cbdeff782c25-cnsouth4.obs.cn-south-4.myhuaweicloud.com:443", "Content-Type": "application/octet-stream;charset=UTF-8" }, "signedUrl": "https://xdm-982f57b0e0964361a126cbdeff782c25-cnsouth4.obs.cn-south-4.myhuaweicloud.com:443/c73f29f8ea664f66b6e0c5df5882ecb8/TestFileDE/Att1/0a16bf70-c018-4e9f-b7b2-1943846d17a4.xdmfl?AccessKeyId=xxx&Expires=1744685806&partNumber=1&uploadId=00000196371F8DFAA18400B4B91C75DB&x-obs-security-token=xxx&Signature=xxx" } ], "errors": [] } 分块上传文件。 接口相关信息 表3 预签名URL 接口信息 说明 URI格式 PUT 2获取的预签名URL（即signedUrl参数对应值） 请求参数 Header参数 Content-Type：内容类型。 Body参数 binary（二进制文件流），必填项。 响应参数 Header参数 Etag：被请求变量的实体值。 请求示例 PUT https://xdm-982f57b0e0964361a126cbdeff782c25-cnsouth4.obs.cn-south-4.myhuaweicloud.com:443/c73f29f8ea664f66b6e0c5df5882ecb8/TestFileDE/Att1/0a16bf70-c018-4e9f-b7b2-1943846d17a4.xdmfl?AccessKeyId=xxx&Expires=1744685806&partNumber=1&uploadId=00000196371F8DFAA18400B4B91C75DB&x-obs-security-token=xxx&Signature=xxx Content-Type: application/octet-stream;charset=UTF-8 Binary File（二进制文件流） 响应示例 Etag: "e316ff262e7ad4461101357703f30ed2" 确认分块文件上传已完成。 接口相关信息 表4 confirm接口 接口信息 说明 URI格式 POST http://{Endpoint}/rdm_{appID}_app/services/rdm/basic/api/upload/v1/confirm Endpoint：必填，String类型，承载REST服务端点的服务器域名或IP地址。 appID：必填，String类型，应用ID。 请求参数 Header参数 X-Auth-Token：必填，String类型，用户的token。 Body参数 chunk：必填，int类型，当前分段数。 chunk_file_size：必填，int类型，分块文件大小。 doc_id：必填，String类型，文档ID，即1返回的docId。 e_tag：必填，String类型，被请求变量的实体值，即3返回的响应头Etag。 file_id：必填，String类型，文件ID。 file_name：必填，String类型，文件名称。 响应参数 result：String类型，调用是否成功。 SUCCESS：成功。 FAIL：失败。 data：List类型，调用的返回结果。 fileSize：文件的大小。 fileId：文件ID。 errors：List类型，异常信息列表。 请求示例 POST https://dme.cn-north-4.huaweicloud.com/rdm_fce01234567d41828cf3473b07fa7ae2_app/services/rdm/basic/apiupload/v1/confirm X-Auth-Token: ABCDEFG.... { "doc_id": "ZTU3ODA2Y2ItN2VlYy00ZTQ4LWJmNDUtOGI1YTMxZGVjMzg4LjViYzBkMWUxLWZiMmMtNGJlNS1iZDhmLThkMzBkN2VmMDdmZA", "file_id": "753573461103742976", "chunk": 4, "file_name": "test.tar", "chunk_file_size": 6410240, "e_tag": "e316ff262e7ad4461101357703f30ed2" } 响应示例 { "result": "SUCCESS", "data": [], "errors": [] } 分块合并。 接口相关信息 表5 mergeFiles接口 接口信息 说明 URI格式 POST http://{Endpoint}/rdm_{appID}_app/services/rdm/basic/api/file/mergeFiles Endpoint：必填，String类型，承载REST服务端点的服务器域名或IP地址。 appID：必填，String类型，应用ID。 applicationId：必填，String类型，应用ID。 modelName：必填，String类型，数据模型的英文名称。 attributeName：必填，String类型，数据模型的属性英文名称。 docId：必填，String类型，文档ID，即1返回的docId。 fileId：必填，String类型，文件ID，即1返回的fileId。 fileName：必填，String类型，待上传文件的名称。 checkCode：必填，String类型，文件的唯一校验码，即文件的哈希值。 instanceId：选填，String类型，数据实例的唯一编码。 exaAttr：选填，String类型，是否为扩展属性。 0：非扩展属性。 1：扩展属性。 请求参数 Header参数 X-Auth-Token：必填，String类型，用户的token。 响应参数 result：String类型，调用是否成功。 SUCCESS：成功。 FAIL：失败。 data：List类型，调用的返回结果。 fileSize：文件的大小。 fileId：文件ID。 errors：List类型，异常信息列表。 请求示例 POST https://dme.cn-north-4.huaweicloud.com/rdm_fce01234567d41828cf3473b07fa7ae2_app/services/rdm/basic/api/file/mergeFiles?applicationId=fce01234567d41828cf3473b07fa7ae2&modelNumber=DM00127285&modelName=Craft_File&attributeName=LargeFiles&fileName=testFile.zip&checkCode=1234567890&docId=0000018BB1E33DC685E9C0045DFC7291&exaAttr=0&fileId=564032141298503680 X-Auth-Token: ABCDEFG.... 响应示例 { "result": "SUCCESS", "data": [ { "fileSize": "103424", "fileId": "564032141298503680" } ], "errors": [] }

操作流程 使用分块上传文件之前，您必须先调用“文件管理”的“file_startBatchUpload”接口校验待上传的文件之前是否上传至某个数据模型中。如果您之前已经上传某个文件，现在需要重新上传，那么该文件具有闪传能力，会自动闪传至数据模型中，无需重新分块上传。如果您没有上传过该文件，调用“file_startBatchUpload”接口时，初始化分块上传，成功执行此请求后将返回“docId”和“fileId”，用于后续的分块请求。 初始化分块上传后，调用“文件管理”的“upload_uploadLargeFile”接口根据指定的“docId”、“fileId”、“chunk”等参数值获取预签名URL。 获取预签名URL后，使用PUT请求方式，将2返回的请求头设为本次请求头，以二进制文件形式上传预先切分好的文件分块。 完成分块上传后，调用“文件管理”的“upload_v1_confirm”接口来确认分块上传的状态，用以确保所有分块都已成功上传，并且文件的完整性得到了验证。 当使用“upload_uploadLargeFile”完成所有分块上传后，您必须调用“file_mergeFiles”来完成整个文件的分块上传。在使用该接口时，您必须在请求体中给出“docId”、“fileId”和“chunk”等参数值，用来校验每个分块的有效性。当所有的分块验证通过后，系统将把这些分块合并成一个完整的文件。