华为云用户手册

SFS Turbo控制台功能依赖的角色或策略 表5 SFS Turbo控制台依赖服务的角色或策略 控制台功能 依赖服务 需配置角色/策略 创建文件系统 虚拟私有云 VPC 费用中心 BSS 专属存储服务 DSS 弹性云服务器 E CS IAM 用户设置了SFS Turbo FullAccess权限后，权限集中包含了VPC FullAccess，这是创建文件系统所需要的权限，用户不需额外添加VPC FullAccess 系统策略。 如果需要创建包年包月文件系统，需要设置BSS Administrator权限。 如果需要在专属项目下创建文件系统，需要设置DSS FullAccess 和 ECS FullAccess权限。 查询文件系统详情 虚拟私有云 VPC IAM 用户设置了 SFS Turbo ReadOnlyAccess权限后，权限集中包含了 VPC ReadOnlyAccess权限，这是查询文件系统详情依赖的权限，用户不需要额外添加。 创建 OBS 后端存储库 对象存储服务 OBS 如果需要创建 OBS 后端存储库，用户需要额外配置OBS Adminstrator权限。

SFS权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 SFS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如上海一）对应的项目（cn-east-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问SFS时，需要先切换至授权区域。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，SFS支持的API授权项请参见策略及授权项说明。 如表1所示，包括了SFS的所有系统权限。 表1 SFS容量型系统权限 策略名称 描述 策略类别 依赖关系 SFS FullAccess 弹性文件服务管理员权限，拥有该权限的用户可以操作并使用所有文件系统。 系统策略 无 SFS ReadOnlyAccess 弹性文件服务只读权限，拥有该权限的用户仅能查看文件系统数据。 系统策略 无 SFS Administrator 操作权限： 创建、删除、查询、修改文件系统。 添加、修改、删除文件系统的访问规则。 创建、查询、删除文件系统标签。 扩容、缩容文件系统。 查询可用区。 拥有Tenant Guest权限时，即拥有对所有云服务的只读权限。 系统角色 依赖Tenant Guest角色，在同项目中勾选。 如表2所示，包括了SFS Turbo的所有系统权限。 表2 SFS Turbo系统权限 策略名称 描述 策略类别 依赖关系 SFS Turbo FullAccess SFS Turbo管理员权限，拥有该权限的用户可以操作并使用所有SFS Turbo文件系统。 系统策略 无 SFS Turbo ReadOnlyAccess SFS Turbo只读权限，拥有该权限的用户仅能查看SFS Turbo文件系统数据。 系统策略 无 如表3所示，包括了通用文件系统的所有系统权限。 由于缓存的存在，对用户、用户组以及企业项目授予通用文件系统相关的策略后，大概需要等待10~15分钟权限才能生效。 表3 通用文件系统权限 策略名称 描述 策略类别 依赖关系 SFS3 FullAccess 通用文件系统管理员权限，拥有该权限的用户可以操作并使用所有通用文件系统。 系统策略 无 SFS3 ReadOnlyAccess 通用文件系统只读权限，拥有该权限的用户仅能查看通用文件系统数据。 系统策略 无 表4列出了SFS容量型文件系统常用操作与系统策略的授权关系，您可以参照该表选择合适的系统策略。 表4 SFS容量型文件系统常用操作与系统策略的关系 操作 SFS FullAccess SFS ReadOnlyAccess SFS Administrator 创建文件系统 √ x √ 查询文件系统 √ √ √ 修改文件系统 √ x √ 删除文件系统 √ x √ 添加文件系统的访问规则 （为文件系统添加VPC或添加授权地址） √ x √ 修改文件系统的访问规则（修改文件系统的VPC或授权地址） √ x √ 删除文件系统的访问规则（删除文件系统的VPC或授权地址） √ x √ 扩容文件系统 √ x √ 缩容文件系统 √ x √ 创建文件系统标签 √ x √ 查询文件系统标签 √ √ √ 删除文件系统标签 √ x √ 查询可用区 √ √ √

发布待发布的发布单 登录ServiceStage控制台。 单击“发布管理”，进入“发布管理”列表页面。 选择“发布状态”为“待发布”的目标发布单。 直接发布：单击“操作”列的“发布”。 确认发布单详情后发布：单击目标发布单名称，进入该发布单的“发布管理”页面确认各组件的配置无误后，单击“发布”。 单击“确认”。 批量部署发布单：您可以查看该发布单的发布记录和发布单信息，执行克隆批量部署发布单、删除发布单操作。 批量升级发布单：您可以查看该发布单的发布记录和发布单信息，执行回滚已发布的批量升级发布单、克隆批量升级发布单、删除发布单操作。 批量克隆发布单：您可以查看该发布单的发布记录和发布单信息，执行克隆批量升级发布单、删除发布单操作。

配置泳道组流量入口网关路由（基于流量配置） 登录ServiceStage控制台。 单击“全链路流量控制”。 单击待操作泳道组名称，进入“全链路流量控制”页面。 单击泳道组当前关联的流量入口网关卡片上的“网关路由配置”。 “配置方式”选择“基于流量配置”。 根据您的实际业务需要，输入各泳道的流量配置百分比。 各泳道的流量配置取值范围为[0, 100]之间的整数，全部泳道流量配置百分比之和必须等于100%。 单击“确定”，完成基于流量的网关路由配置。 配置会对泳道组下所有泳道生效。

配置泳道组流量入口网关路由（基于内容配置） 登录ServiceStage控制台。 单击“全链路流量控制”。 单击待操作泳道组名称，进入“全链路流量控制”页面。 单击泳道组当前关联的流量入口网关卡片上的“网关路由配置”。 “配置方式”选择“基于内容配置”。 单击以对应灰度泳道名称命名的页签，进入为指定灰度泳道配置网关路由页面。 单击切换开关，设置路由规则生效方式。 或：默认生效方式，匹配任意一条路由规则就生效。 且：匹配所有路由规则才生效。 单击“新增匹配规则”，参考下表设置路由匹配规则。 参数名称 参数说明 匹配类型 支持的路由规则匹配类型。 当前仅支持基于“请求头”类型的匹配。 参数名称 “匹配类型”对应的key值。 条件类型 “条件值”满足的匹配规则。 前缀匹配：以前缀作为匹配条件。 精确匹配：即完全匹配。 正则匹配：以正则表达式作为匹配条件。 条件值 “匹配类型”对应的value值。 单击“确定”，完成基于内容的网关路由配置。 配置会对泳道组下对应灰度泳道的所有组件立即生效。如果业务请求无法匹配到灰度泳道所配置的路由规则，则网关将业务请求转发至基线泳道的组件处理。

编辑泳道组 登录ServiceStage控制台。 单击“全链路流量控制”。 选择以下任意方式弹出泳道组编辑对话框： 单击待操作泳道组所在行“操作”列“编辑”。 单击待操作泳道组名称，进入“全链路流量控制”页面，单击“编辑”。 参考下表填写泳道组信息，其中带“*”标志的参数为必填参数。 参数名称 参数说明 *泳道组名称 泳道组的名称。 长度2到64个字符，可以包含英文字母、数字、下划线（_）或中划线（-），以英文字母开头、英文字母或数字结尾。 流量入口网关 流量入口网关即微服务应用网关，用于通过标签控制流量转发到对应泳道的目标服务组件。 您可以根据实际业务需要，在下拉列表选择已创建好的微服务应用网关。 单击“创建应用网关”，您可以根据实际业务需要创建新的微服务应用网关以供选择。创建微服务应用网关，请参考创建应用网关。 *目标服务 设置了“流量入口网关”参数时，需要选择通过该网关转发流量的目标服务。 您可以根据实际业务需要，在下拉列表选择已创建好的目标服务。 说明： 可选择的目标服务需要未被其他泳道组使用，其对应的微服务未被其他泳道组使用且支持路由。 单击“创建目标服务”，您可以根据实际业务需要创建新的目标服务以供选择。创建目标服务，请参考创建服务。 描述 泳道组的描述信息，长度不超过128个字符。 单击“确定”，完成泳道组编辑。

删除Sermant Injector后的影响 删除Sermant Injector插件，会删除如下表所示的内容。 名称 说明 配置项 安装Sermant Injector时选择的CCE集群cse命名空间下创建的名为sermant-injector的配置项。关于配置项，请参考管理配置项。 密钥 安装Sermant Injector时选择的CCE集群cse命名空间下创建的名为sermant-injector-secret的密钥。关于密钥，请参考管理密钥。 工作负载 安装Sermant Injector时选择的CCE集群cse命名空间下创建的sermant-injector插件工作负载。关于工作负载，请参考工作负载概述。 服务 安装Sermant Injector时选择的CCE集群cse命名空间下创建的sermant-injector服务（Service）。关于Service，请参考服务概述。

支持的监控指标 指标是对资源性能的数据描述或状态描述。 容器部署组件支持的监控指标 容器部署组件的资源基础监控包含CPU、内存、磁盘等，具体请参考表1。 表1 资源监控指标 监控指标 指标含义 取值范围 单位 CPU内核总量(cpuCoreLimit) 该指标用于统计测量对象申请的CPU核总量。 ≥1 核（Core） CPU内核占用(cpuCoreUsed) 该指标用于统计测量对象已经使用的CPU核个数。 ≥0 核（Core） CPU使用率(cpuUsage) 该指标用于统计测量对象的CPU使用率。服务实际使用的与申请的CPU核数量比率。 0～100% 百分比（Percent） 物理内存总量(memCapacity) 该指标用于统计测量对象申请的物理内存总量。 ≥0 兆字节（Megabytes） 物理内存使用率(memUsage) 该指标用于统计测量对象已使用内存占申请物理内存总量的百分比。 0～100% 百分比（Percent） 物理内存使用量(memUsed) 该指标用于统计测量对象实际已经使用的物理内存（Resident Set Size）。 ≥0 兆字节（Megabytes） 磁盘读取速率(diskReadRate) 该指标用于统计每秒从磁盘读出的数据量。 ≥0 千字节/秒（Kilobytes/Second） 磁盘写入速率(diskWriteRate) 该指标用于统计每秒写入磁盘的数据量。 ≥0 千字节/秒（Kilobytes/Second） 下行Pps(recvPackRate) 每秒网卡接收的数据包个数。 ≥0 个/秒（Packets/Second） 文件系统容量(filesystemCapacity) 该指标用于统计测量对象文件系统的容量。仅支持1.11及其更高版本的kubernetes集群中驱动模式为devicemapper的容器。 ≥0 兆字节（Megabytes） 下行Bps(recvBytesRate) 该指标用于统计测试对象的入方向网络流速。 ≥0 字节/秒（Bytes/Second） 下行包错率(recvErrPackRate) 每秒网卡接收的错误包个数。 ≥0 个/秒（Packets/Second） 上行Pps(sendPackRate) 该指标用于统计测试对象的出方向网络流速。 ≥0 字节/秒（Bytes/Second） 上行包错率(sendErrPackRate) 每秒网卡发送的错误包个数。 ≥0 个/秒（Packets/Second） 上行Bps(sendBytesRate) 该指标用于统计测试对象的出方向网络流速。 ≥0 字节/秒（Bytes/Second） 容器错包个数(rxPackErrors) 该指标用于统计测量对象收到错误包的数量。 ≥0 个（Packets） 线程数(threadsCount) 该指标用于统计主机中当前创建的线程数量。 ≥0 无 文件系统可用(filesystemAvailable) 该指标用于统计测量对象文件系统的可用大小。仅支持1.11及其更高版本的Kubernetes集群中驱动模式为devicemapper的容器。 ≥0 兆字节（Megabytes） 文件系统使用率(filesystemUsage) 该指标用于统计测量对象文件系统使用率。实际使用量与文件系统容量的百分比。仅支持1.11及其更高版本的Kubernetes集群中驱动模式为devicemapper的容器。 ≥0 百分比（Percent） 句柄数(handleCount) 该指标用于统计测量对象使用的句柄数。 ≥0 无 组件状态(status) 该指标用于统计应用组状态是否正常。 0：表示正常 1：表示异常 无 虚拟内存总量（virMemCapacity） 该指标用于统计测量对象申请的虚拟内存总量。 ≥0 兆字节（Megabytes） 虚拟机部署组件支持的监控指标 AOM 中，虚拟机部署的组件指的是进程，虚拟机组件指标指的就是进程指标，具体请参考表2。 表2 进程指标 指标名称 指标含义 取值范围 单位 CPU内核总量（cpuCoreLimit） 该指标用于统计测量对象申请的CPU核总量。 ≥1 核（Core） CPU内核占用（cpuCoreUsed） 该指标用于统计测量对象已经使用的CPU核个数。 ≥0 核（Core） CPU使用率（cpuUsage） 该指标用于统计测量对象的CPU使用率。服务实际使用的与申请的CPU核数量比率。 0～100% 百分比（Percent） 句柄数（handleCount） 该指标用于统计测量对象使用的句柄数。 ≥0 无 物理内存总量（memCapacity） 该指标用于统计测量对象申请的物理内存总量。 ≥0 兆字节（Megabytes） 物理内存使用率（memUsage） 该指标用于统计测量对象已使用内存占申请物理内存总量的百分比。 0～100% 百分比（Percent） 物理内存使用量（memUsed） 该指标用于统计测量对象实际已经使用的物理内存（Resident Set Size）。 ≥0 兆字节（Megabytes） 状态（status） 该指标用于统计进程状态是否正常。 0表示正常 1表示异常 无 线程数（threadsCount） 该指标用于统计测量对象使用的线程数。 ≥0 无 虚拟内存总量（virMemCapacity） 该指标用于统计测量对象申请的虚拟内存总量。 ≥0 兆字节（Megabytes）

设置监控及告警 ServiceStage支持容器和虚拟机两种组件部署方式。 设置容器部署组件监控及告警 CCE会配合AOM对集群进行全方位的监控，在创建节点时会默认安装AOM的ICAgent（在集群kube-system命名空间下名为icagent的DaemonSet），ICAgent默认采集集群底层资源以及运行在集群上负载的监控数据并上传到AOM。另外，自定义组件运行指标后，ICAgent还能采集负载的自定义指标监控数据并上传到AOM。 参考设置资源监控告警阈值，完成阈值告警规则设置后，组件运行过程中产生的各种告警会上传到AOM。 设置虚拟机部署组件监控 选择虚拟机部署组件时，需要先在虚拟机上安装虚拟机Agent。而安装虚拟机Agent时会默认安装AOM的ICAgent，将虚拟机部署组件的监控指标上传到AOM。

云审计 服务支持的ServiceStage操作列表 ServiceStage通过云审计服务（Cloud Trace Service， CTS ）为您提供ServiceStage应用管理操作的操作记录，供您查询、审计和回溯使用。 开通云审计服务后，系统开始记录ServiceStage资源的操作，CTS控制台可以保存最近7天的操作记录。 表1 云审计服务支持的ServiceStage操作 操作名称 资源类型 事件名称 创建组件 component createComponent 删除组件 component deleteComponent 升级组件 component updateComponent 启动组件 component startComponent 停止组件 component stopComponent 重启组件 component restartComponent 伸缩组件 component scaleComponent 回滚组件 component rollbackComponent 部署组件 component provisionComponent 卸载组件 component deprovisionComponent 创建应用 application createApplication 删除应用 application deleteApplication 更新应用 application updateApplication 注册VM Agent vmagent registerVmagent 注销VM Agent vmagent unregisterVmagent 创建环境 environment createEnvironment 删除环境 environment deleteEnvironment 父主题： 云审计服务支持的关键操作

系统管理概述 同一个微服务引擎可能会有多个用户共同使用，而不同的用户根据其责任和权限，需要具备不同的微服务引擎访问和操作权限。 开启了“安全认证”的微服务引擎专享版，通过微服务控制台提供了基于RBAC（Role-Based Access Control，基于角色的访问控制）的系统管理功能。 开启了“安全认证”的微服务引擎专享版，支持Spring Cloud、Java Chassis微服务框架正常接入。 基于RBAC的系统管理功能与IAM权限管理无关，仅是CSE内部的权限管理机制。 如果您通过微服务引擎控制台操作微服务引擎，必须同时具备IAM和RBAC的操作权限，且IAM权限优先级要高于RBAC权限。 如果您通过API接口或者微服务框架操作微服务引擎，则只需具备RBAC相关权限。 您可以使用关联了admin角色权限的账号创建新账号，根据实际业务需求把合适的角色同账号关联。使用该账号的用户则具有对该微服务引擎的相应的访问和操作权限。 创建开启了“安全认证”的微服务引擎专享版时，系统自动创建1个关联了admin角色权限的root账号。不能编辑、删除root账号。 您可以使用创建该微服务引擎的root账号或者该微服务引擎下关联了admin角色权限的账号创建新账号。创建和管理账号，请参考账号管理。 您可以使用关联了admin角色权限的账号创建自定义角色，根据业务需求把合适的微服务引擎访问和操作权限赋予该角色。 系统默认内置两种角色：管理员（admin）、开发者（developer）。不能编辑、删除内置角色。 您可以使用创建该微服务引擎的root账号或者该微服务引擎下关联了admin角色权限的账号创建自定义角色。创建和管理角色，请参考角色管理。 角色权限说明，请参见表1。 表1 角色权限说明 角色 权限说明 admin 具有该微服务引擎下所有微服务、账号和角色的所有操作权限。 developer 具有该微服务引擎下所有微服务的所有操作权限。 自定义角色 根据实际业务需求创建角色，给角色分配相应微服务、配置的操作权限。 父主题： 系统管理

治理策略说明 支持负载均衡、限流、容错、降级、熔断、错误注入和黑白名单等策略的配置，具体说明见下表。 名称 说明 负载均衡 应用场景 微服务一般会部署多个实例，负载均衡控制微服务消费者访问微服务提供者的多个实例的策略，以达到流量均衡的目的。策略包括轮询、随机、响应时间权值、会话粘滞等。 该治理策略的配置示例及在POM中添加依赖可参考负载均衡中相关内容。 限流 应用场景 用于控制访问微服务的请求量大小，避免由于流量冲击对系统造成破坏。 该治理策略的配置示例及在POM中添加依赖可参考限流中相关内容。 降级 应用场景 用于控制微服务调用其他微服务的时候，强制返回缺省值或者抛出异常，而不将请求发送到目标微服务，以达到屏蔽对目标微服务的访问和降低其压力的目的。 该治理策略的配置示例及在POM中添加依赖可参考降级中相关内容。 容错 应用场景 当微服务消费者访问提供者出现异常，比如实例网络不通等，需要将请求转发到其他可用的实例。这里的容错，常被称为重试。 该治理策略的配置示例及在POM中添加依赖可参考容错中相关内容。 熔断 应用场景 当微服务消费者访问提供者出现异常，比如实例网络不通、请求超时等，并且异常积累到一定的程度，需要停止访问提供者，返回一个异常或者缺省值，防止雪崩效应。 熔断提供了自动熔断策略。自动熔断需要结合错误率等判断是否熔断。 该治理策略的配置示例及在POM中添加依赖可参考熔断中相关内容。 错误注入 应用场景 错误注入可以模拟一个调用失败，主要用于功能验证、故障场景演示等场景。 Java Chassis开发框架接入的微服务治理，该治理策略的配置示例及在POM中添加依赖可参考错误注入中相关内容。 说明： 该服务治理策略只适用于Java Chassis开发框架接入的微服务。 黑白名单 应用场景 基于公钥认证机制，微服务引擎提供了黑白名单功能。通过黑白名单，可以控制微服务允许其他哪些服务访问。 Java Chassis开发框架接入的微服务治理 只有启用了公钥认证，设置的黑白名单才能生效，请参考公钥认证。 说明： 该服务治理策略只适用于Java Chassis开发框架接入的微服务。

前提条件 微服务引擎运行于虚拟私有云，创建微服务引擎前，需保证有可用的虚拟私有云和子网。 创建虚拟私有云和子网，请参考创建虚拟私有云和子网。 如果引擎创建账号的权限为创建引擎的最小权限，如微服务引擎细粒度权限依赖说明中的“cse:engine:create”所示。则需要由主账号为其预置VPC默认安全组cse-engine-default-sg，并添加如表1所示规则。 添加安全组规则，请参考添加安全组规则。 表1 默认安全组cse-engine-default-sg规则说明 方向 优先级 策略 协议端口 类型 源地址 入方向 1 允许 ICMP : 全部 IPv6 ::/0 1 允许 TCP : 30100-30130 IPv6 ::/0 1 允许 全部 IPv6 cse-engine-default-sg 1 允许 TCP : 30100-30130 IPv4 0.0.0.0/0 1 允许 ICMP : 全部 IPv4 0.0.0.0/0 出方向 100 允许 全部 IPv4 0.0.0.0/0 100 允许 全部 IPv6 ::/0

创建微服务引擎 进入购买微服务引擎专享版页面。 每个项目默认最多可以创建5个微服务引擎专享版，如果您想创建更多，可以提交工单申请扩大配额。 关于项目，请参考项目。 参考下表设置参数，参数前面带*号的是必须设置的参数。 参数 说明 *计费模式 选择计费方式，目前支持： 包年/包月 按需计费 *企业项目 选择微服务引擎所在的项目，可在下拉框中搜索和选择需要的企业项目。 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 参考开通企业项目，创建并启用新的企业项目后可以使用，默认选择default。 说明： 微服务引擎使用期间，请勿停用企业项目，否则会导致该引擎在引擎列表中不可见，影响正常使用。 *规格 选择微服务实例数配额。 须知： 微服务引擎创建成功后，不支持规格变更。 *引擎类型 选择微服务引擎的类型。 引擎类型为集群，其为集群模式部署，主机级容灾。 *微服务引擎名称 输入微服务引擎的名称，名称以字母开头，由字母、数字和-组成，且不能以-结尾，长度为3~24个字符。引擎创建后不能修改名称。 须知： 微服务引擎名称不允许命名为“default”。 *可用区 选择可用区。 根据环境可用区数量，为引擎选择1个或者3个可用区。 选择1个可用区，可提供主机级别容灾能力。 选择3个可用区，可提供可用区级别容灾能力。 说明： 已创建的微服务引擎不支持更换可用区。 同一个区域内的可用区内网互通。 多可用区可加强容灾能力。 *网络 为引擎选择虚拟私有云及其子网，可以为您的引擎构建隔离的、自主配置和管理的虚拟网络环境。 使用已创建的VPC，可在下拉列表中搜索和选择当前账号已创建的虚拟私有云和子网。 使用新的VPC，在下拉列表中单击“创建新虚拟私有云”，创建新的虚拟私有云，具体操作请参考创建虚拟私有云和子网。 说明： 当引擎创建完成后，不支持变更虚拟私有云。 描述 单击，输入引擎描述信息。 安全认证 开启了“安全认证”的微服务引擎专享版，通过微服务引擎控制台提供了基于RBAC（Role-Based Access Control，基于角色的访问控制）的系统管理功能。 选择“开启安全认证”： 根据业务需要确认是否需要开启“编程接口安全认证”。 开启编程接口安全认证后，需要在微服务的配置文件中添加对应用户的账号密码，否则服务无法注册到引擎。 关闭编程接口安全认证，微服务的配置文件中无需配置账号密码即可将服务注册到引擎，效率性能更高，建议用于VPC内访问时使用。 输入root账号的“密码”，并在“再次输入密码”输入框输入密码进行确认。 密码请妥善保管，以免遗失。 选择“关闭安全认证”： 关闭安全认证功能，可以在实例创建完成后再设置开启。 购买时长 计费模式选择“包年/包月”时需要设置。可设置是否开通自动续费。 单击“立即购买”，进入引擎信息确认界面。 单击“提交”，等待引擎创建完毕。 微服务引擎创建完成，大约需要31分钟。 微服务引擎创建成功后，“状态”为“可用”。查看微服务引擎状态，请参考查看微服务引擎信息。 如果微服务引擎创建失败，可在操作日志页面上查看失败原因并处理后可进行以下操作： 可在“微服务引擎信息”区域，单击“重试”重新创建。 如果重试失败，可删除创建失败的微服务引擎，删除微服务引擎，请参考删除微服务引擎专享版。

微服务引擎概述 微服务引擎（Cloud Service Engine，CSE）提供服务注册、服务治理、配置管理等全场景能力；帮助您实现微服务应用的快速开发和高可用运维。支持多语言、多运行时；支持Spring Cloud、Apache ServiceComb Java Chassis（Java Chassis）框架。 您可以直接使用名称为“Cloud Service Engine”的微服务引擎专业版，也可以创建微服务引擎专享版。 微服务引擎专享版采用物理隔离的方式部署，租户独占微服务引擎。 微服务引擎专业版不支持多可用区（AZ）。 微服务引擎专享版在创建时可以设置多可用区（AZ）。 创建微服务引擎后，可用区不支持修改，请根据需要设置。 不支持创建跨CPU架构的微服务引擎专享版实例。 父主题： 微服务引擎

前提条件 已经创建集群，请参考购买集群。您可以根据您的实际业务需要选择创建 CCE Turbo 集群或者CCE Standard集群。 构建任务会在CCE集群节点上启动一个构建容器，执行构建相关的操作。为了确保构建的安全性，建议您对CCE集群节点进行安全加固，请参考禁止容器获取宿主机元数据进行操作。 构建任务依赖预置在构建容器中的JDK、Golang、Maven、Gradle、Ant或Node.js编译工具。 支持同一个账号下的不同IAM用户操作同一个构建集群。如需对特定IAM用户取消构建权限，请参考创建ServiceStage自定义策略为该用户设置自定义策略，将“servicestage:assembling:create”、“servicestage:assembling:modify”和“servicestage:assembling:delete”权限设置为拒绝策略。 已为构建节点绑定弹性公网IP，请参考将弹性公网IP绑定至实例。

前提条件 已经创建集群，请参考购买集群。您可以根据您的实际业务需要选择创建CCE Turbo集群或者CCE Standard集群。 构建任务会在CCE集群节点上启动一个构建容器，执行构建相关的操作。为了确保构建的安全性，建议您对CCE集群节点进行安全加固，请参考禁止容器获取宿主机元数据进行操作。 如果您创建的是CCE Turbo集群，需要为集群配置SNAT规则，使之能够通过NAT网关访问公网用于拉取源码。否则，会导致执行源码构建任务的时候因为无法访问公网导致拉取源码失败，从而导致构建失败。为集群配置SNAT规则，请参考从容器访问公网。 构建任务依赖预置在构建容器中的JDK、Golang、Maven、Gradle、Ant或Node.js编译工具。 支持同一个账号下的不同IAM用户操作同一个构建集群。如需对特定IAM用户取消构建权限，请参考创建ServiceStage自定义策略为该用户设置自定义策略，将“servicestage:assembling:create”、“servicestage:assembling:modify”和“servicestage:assembling:delete”权限设置为拒绝策略。 已为构建节点绑定弹性公网IP，请参考将弹性公网IP绑定至实例。

目录结构 软件包需要确保在解压缩后能够正常执行生命周期指定的命令脚本。 建议软件包目录结构如下： ├── scripts/ │ │ ├── pre-stop.sh │ │ ├── stop.sh │ │ ├── uninstall.sh │ │ ├── install.sh │ │ ├── start.sh │ │ ├── check.sh │ │ ├── post-start.sh ├── packages/ │ │ ├── xxx.jar/xxx.war ├── config/ ├── appspec.yml

查看组件运行环境 组件部署成功以后，您可以在组件“基础设施”页面查看组件运行所依赖的资源（例如CCE集群、微服务引擎等）以及资源的状态及使用情况。 登录ServiceStage控制台。 选择以下任意方式进入组件“基础设施”页面： 在“应用管理”页面，单击组件所属应用名称，在“组件列表”单击待操作组件名称，在左侧导航栏单击“基础设施”。 在“组件管理”页面，单击待操作组件名称，在左侧导航栏单击“基础设施”。 在组件“基础设施”页面，选择组件运行资源，查看资源状态及使用情况。 父主题： 组件管理

修改组件访问 域名 登录ServiceStage控制台。 选择以下任意方式进入组件“访问方式”页面： 在“应用管理”页面，单击组件所属应用名称，在“组件列表”单击待操作组件名称，在左侧导航栏单击“访问方式”。 在“组件管理”页面，单击待操作组件名称，在左侧导航栏单击“访问方式”。 单击“设置域名”： 输入已获取的“应用域名”。 输入“监听端口”。 （可选）开启“HTTPS”。 单击“使用已有”选择已经创建的证书。 单击“新创建”创建新的服务器证书。创建服务器证书请参考创建证书。

查看组件详情 登录ServiceStage控制台。 选择以下任意方式进入组件“概览”页面。 在“应用管理”页面，单击组件所属应用名称，在“组件列表”单击待操作组件名称。 在“组件管理”页面，单击待操作组件名称。 在组件“概览”页面，查看组件状态等详细信息。 组件运行状态说明，请参考表1。单击组件状态，可以查看组件的部署记录。 表1 组件运行状态说明 状态 说明 初始化 创建并部署组件时，单击“创建并部署”后，组件处于此状态。 升级/回滚中 单批发布方式升级组件版本配置、滚动发布方式升级组件版本配置、批量升级组件版本配置、回滚组件版本配置、单批发布方式重新部署组件或滚动发布方式重新部署组件过程中，组件处于此状态。 伸缩中 设置手动伸缩策略后，策略执行过程中组件处于此状态。 失败 对组件的操作不成功。例如，组件部署、升级、回滚失败。 您可以单击“失败”进入“部署记录”页面查看失败的原因。 运行中 成功完成对组件的操作，组件状态正常。例如，组件部署、升级、回滚成功。 删除中 删除组件过程中，组件处于此状态。 启动中 参考启停组件实例启动停止的组件过程中，组件处于此状态。 停止中 参考启停组件实例停止组件运行过程中，组件处于此状态。 停止 参考启停组件实例停止组件运行成功后，组件处于此状态。 重启中 参考启停组件实例重启组件过程中，组件处于此状态。 未就绪 状态为“运行中”的组件实例数小于组件全部实例数时，组件处于此状态。 未知 容器部署方式部署的组件，从组件所在CCE同步状态返回Unknown时，组件处于此状态。 异常 容器部署方式部署的组件，组件所在CCE集群被删除或者工作负载被删除时，组件处于此状态。 灰度发布中 单批发布方式升级组件版本配置、灰度发布方式重新部署组件过程中，组件处于此状态。 重启失败 参考启停组件实例重启组件失败，组件处于此状态。

自定义策略样例 如下以定制一个IAM用户禁止创建及删除微服务引擎的策略为例。 { "Version": "1.1", "Statement": [ { "Action": [ "cse:*:*" ], "Effect": "Allow" }, { "Action": [ "cse:engine:create", "cse:engine:delete" ], "Effect": "Deny" } ] } 拒绝策略需要同时配合其他策略使用，否则没有实际作用。IAM用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。 权限授予成功后，您可以使用IAM用户通过控制台以及REST API等多种方式验证。 此处以上述自定义策略为例，介绍如何通过登录ServiceStage控制台验证自定义禁止创建微服务引擎的权限： 使用新创建的用户登录华为云，登录方法选择为“IAM用户”。 租户名为该IAM用户所属华为云账号的名称。 IAM用户名和IAM用户密码为以租户名在IAM创建用户时输入的用户名和密码。 在“微服务引擎”页面，创建微服务引擎，返回403错误，表示权限配置正确并已生效。

注意事项 如下情况不能进行提现申请： 当前存在处理中的提现申请时，不能再次申请提现。 合同中约定不允许退款的，不能提现。 充值有返奖励金或者送代金券时，充值金额不能进行提现。 伙伴子客户有欠费时，欠费金额不能提现。 当实际提现金额扣减欠票金额后小于0的，不可进行提现。客户退票或增加相应开票金额后，原欠票金额即可恢复可提现操作。 可提现金额说明： 可提现金额=现金金额-欠票金额-未入账金额-子用户欠费总额。 欠费详情请点击客户管理-可用额度筛选欠费选项进行查看。

月结95峰值计费产品 产品名称 产品介绍 内容分发网络 https://www.huaweicloud.com/product/cdn.html DDoS防护 https://www.huaweicloud.com/product/aad.html 对象存储服务 https://www.huaweicloud.com/product/obs.html 视频直播 https://www.huaweicloud.com/product/live.html 虚拟私有云 https://www.huaweicloud.com/product/vpc.html 云连接 https://www.huaweicloud.com/product/cc.html 云专线 https://www.huaweicloud.com/product/dc.html 父主题： 客户消费

关联失败的原因及操作提示 提示说明 伙伴操作 系统繁忙，请稍后重试！ 请联系客服处理。 邀请链接不存在。 建议重新发送邀请邮件。 邀请链接已失效。 建议重新发送邀请邮件。 邀请码已被使用。 建议重新发送邀请邮件。 邀请链接已被使用。 建议重新发送邀请邮件。 客户已被其他伙伴报备，无法关联伙伴。 该状况客户无法关联伙伴。 已经归属授权销售支持中心，无法关联伙伴。 该状况伙伴可申请人工审核报备该客户，审核通过后可重新发送邀请邮件邀请客户关联。 客户已经被华为线上销售团队跟进，无法关联伙伴。 该状况伙伴可申请人工审核报备该客户，审核通过后可重新发送邀请邮件邀请客户关联。 客户有信用账户，无法以代售模式关联伙伴。 该状况客户无法以代售模式关联伙伴。 客户已是合作伙伴或者正在申请成为合作伙伴，无法成为伙伴子客户。 该状况客户无法关联伙伴。 客户已关联其他伙伴，无法再次关联。 该状况客户无法关联伙伴。 客户有特殊合同，无法关联伙伴。 该状况客户无法关联伙伴，建议客户失效合同后重新申请关联。 客户是华为内部账号，无法关联伙伴。 该状况客户无法关联伙伴。 客户是消费者云用户，无法关联伙伴。 该状况客户无法关联伙伴。 客户已被华为云报备，无法关联伙伴。 该状况客户无法关联伙伴。 客户已加入华为云奖励推广计划，无法关联伙伴。 该状况客户无法关联伙伴，建议客户更换账号重新申请关联。 客户作为企业主账号，且已经关联了非财务托管企业子账号，无法以代售模式关联伙伴。 该状况客户无法以代售模式关联伙伴。 客户作为企业子账号，无法以代售模式关联。 该状况客户无法以代售模式关联伙伴。 客户有充值送余额，无法以代售模式关联伙伴。 提醒客户提工单或者联系客服进行关联。 客户有消费记录，无法关联伙伴。 提醒客户提工单或者联系客服进行关联。 当前充值账户有余额，并且欠票金额大于限定值，无法关联伙伴。 提醒客户提工单或者联系客服进行关联。 客户注册时间超过限制，无法关联伙伴。 提醒客户提工单或者联系客服进行关联。 客户已欠费，无法关联伙伴。 提醒客户充值还款后再提工单或者联系客服进行关联。 客户有未消费完的储值卡，无法以代售模式关联伙伴。 等客户消费完后再提工单或者联系客服进行关联。

后续操作 提交开票申请后，您还可以执行以下操作： 针对“待签收”的开票申请，合作伙伴收到发票后，需要单击“操作”列的“签收”进行回执确认操作。 当开票申请状态为“待审核”时，合作伙伴可以撤销该开票申请。 单击“操作”列的“撤销”，即可撤销“待审核”状态的开票申请。 非ISV平台管理费类型的纸质发票，发票状态为“开票中”时，合作伙伴可以撤销该开票申请，单击“操作”列的“撤销”，即可撤销“开票中”状态的开票申请。 已撤销的开票申请状态变更为“已撤销”，您可以删除后再次提交。 若开票申请审核不通过，发票状态将更新为“草稿”。 如果想查询哪些订单已经开具发票，可以输入订单号进行查询。 如果发票处于快递状态，伙伴可以在发票的详情页面单击“快递单号”查看快递状态。

注意事项 抬头类型为企业时，才可以开具增值税专用发票。 按账期索取发票时，如果该账期为欠费状态，则需要还清欠款后才能进行开票操作。 开票金额小于100元，且发票介质为纸质票时，合作伙伴自行承担快递费用。 按账期和按需资源消费在索取发票时只能在每个月的3号后才能选择上个月的账期进行开票。 若您客户的订单支付来自不同签约主体划拨的金额，需要按签约主体分别开票。 提交开票申请后，如信息无误，华为会在3个工作日内完成开具与邮寄。 向华为云索取发票时，发票由华为云开具。可开票产品包括 华为云产品 和华为云商店严选商品。 当伙伴签约主体为 华为云计算 技术有限公司时，增值税专用发票支持开具数电发票和纸质票。当伙伴签约主体不是华为云计算技术有限公司时，增值税专用发票不支持电子票，仅支持纸质票。

注意事项 客户账号在3个月内提交过解除关联的申请，伙伴需在客户提交解除关联申请的3个月后才能发起与该客户解除关联或切换关联类型的申请。 伙伴在3个月内仅可以发起一次与同一客户解除关联或切换关联类型的申请。 客户账号为企业主账号且名下有非财务托管企业子账号，伙伴需要通知客户先解除与非财务托管企业子账号的关联关系后伙伴再申请切换关联类型或解除关联关系。 客户账号为非财务托管企业子账号，伙伴需要通知客户解除与企业主账号的关联关系后伙伴再申请切换关联类型或解除关联关系。 客户存在未失效预留实例，伙伴需要通知客户先退订预留实例后伙伴再申请切换关联类型。 客户账号下有待合作伙伴支付的订单，伙伴需要通知客户取消订单或者代客户支付订单后伙伴再申请解除关联关系或切换关联类型。 对于顾问销售模式的客户： 客户账户余额需特殊处理，伙伴需联系客服线下切换关联类型，并申请退款。 客户账户有欠款，伙伴需要通知客户先充值还清欠款后伙伴再申请解除关联关系或切换关联类型。 客户账号存在欠票，伙伴需要通知客户处理欠票后伙伴再申请切换关联类型。 客户账号在切换关联关系前的原有现金余额客户无法消费，需要客户自行申请提现操作。 对于代售模式的客户： 客户账户有欠款，伙伴需要给客户拨款核销欠款后伙伴再申请解除关联关系或切换关联类型。 客户存在未失效预留实例或合作伙伴支持计划产品，伙伴需要通知客户先退订后再申请解除关联关系。 客户有正在生效的特殊合同，伙伴需要联系您的华为云生态经理处理后，才能申请解除关联关系或切换关联类型。 客户有未使用的提货券，伙伴需要通知客户使用完提货券后伙伴才能申请解除关联关系或者切换关联类型。 客户与伙伴解除关联关系或与伙伴的关联模式切换后，对客户的影响请单击这里查看。

其他操作 查看客户列表 单击“操作”列的“查看客户列表”，在“查看客户列表”页面，可以查看伙伴客户经理信息以及已经为该客户经理分配的客户信息。 收回客户 收回客户后，客户不再归属于该客户经理管理，后续客户产生的消费和业绩也不再归属于该客户经理。 单个收回客户 单击“操作”列的“查看客户列表”，在“查看客户列表”页面，单击“操作”列的“收回客户”，在系统弹出的“收回客户”页面，单击“确定”。 批量收回客户 单击“操作”列的“查看客户列表”，在“查看客户列表”页面，勾选需要收回的客户，单击“批量回收客户”，在系统弹出的“收回客户”页面，单击“确定”。

注意事项 客户账号在3个月内提交过解除关联的申请，伙伴需在客户提交解除关联申请的3个月后才能发起与该客户解除关联或切换关联类型的申请。 伙伴在3个月内仅可以发起一次与同一客户解除关联或切换关联类型的申请。 客户账号为企业主账号且名下有非财务托管企业子账号，伙伴需要通知客户先解除与非财务托管企业子账号的关联关系后伙伴再申请切换关联类型或解除关联关系。 客户账号为非财务托管企业子账号，伙伴需要通知客户解除与企业主账号的关联关系后伙伴再申请切换关联类型或解除关联关系。 客户存在未失效预留实例，伙伴需要通知客户先退订预留实例后伙伴再申请切换关联类型。 对于顾问销售模式的客户： 客户账户有欠款，伙伴需要通知客户先充值还清欠款后伙伴再申请解除或切换关联类型。 客户账号存在欠票，伙伴需要通知客户处理欠票后伙伴再申请切换关联类型。 客户账号在切换关联关系前的原有现金余额需要客户提工单进行提现。 客户账号为非财务托管模式企业子账号，伙伴只能与客户解除关联关系，无法切换关联类型。 对于代售模式的客户： 客户账户有欠款，伙伴需要给客户拨款核销欠款后伙伴再申请解除关联关系或切换关联类型。 客户存在未失效预留实例，伙伴需要通知客户先退订预留实例后伙伴再申请解除关联关系。 客户有正在生效的特殊合同，伙伴需要联系您的华为云生态经理处理后，才能申请解除关联关系或切换关联类型。 客户账号下有待合作伙伴支付的订单，伙伴需要通知客户取消订单或者代客户支付订单后伙伴再申请解除关联关系或切换关联类型。 客户与伙伴解除关联关系或与伙伴的关联模式切换后，对客户的影响请单击这里查看。