云计算入门|运维云服务详解与实操

摘要：本文系统讲解华为云运维核心服务，涵盖运维基础知识、IAM统一身份认证、SMN消息通知、CES云监控、LTS云日志、CTS云审计六大模块，并通过三个综合实验演示CTS关键操作通知、CES CPU告警、LTS日志采集的完整实操流程，帮助读者快速掌握云上运维的权限管理、监控告警、日志审计与故障排查能力。

一、运维基础知识

1.1 什么是运维

运维（O&M，Operations and Maintenance）即运行维护。负责监控、管理服务器/网络等设备与业务系统，保障业务稳定运行；处理故障、优化系统，在成本、稳定性、效率三者取得平衡。

运维目标：保障系统稳定性、可靠性、安全性，提升性能可用性，保障业务连续高效运行。

运维人员工作内容：规划网络与业务资源，执行网络监控、事件预警、业务调度、排障升级，保障服务长期稳定可用。

1.2 传统运维 VS 自动化运维

对比项	传统运维	自动化运维
执行方式	人工操作处理	脚本、自动化工具自动执行
故障响应	人工介入，响应慢	自动检测快速响应
出错概率	人为操作容易出错	减少人为失误，操作一致
人力成本	投入大量人力	前期技术投入，后期降低人力成本

趋势：传统人工运维逐步向自动化运维演进，开发运维一体化（DevOps）越来越普及。

1.3 云时代运维的责任划分

云上运维区分云服务商责任和租户（用户）责任，按照IaaS、PaaS、SaaS模型划分：

• IaaS：云服务商管理物理机房、服务器、虚拟化层；用户负责操作系统、中间件、应用、数据。
• PaaS：云服务商管理底层硬件、操作系统、中间件；用户负责应用与业务数据。
• SaaS：全部底层平台由云服务商管理，用户仅管理业务数据。

1.4 华为云安全共担模型

• 绿色：华为云责任：基础设施、云平台自身服务安全。

• 蓝色：租户责任：租户内部业务、数据、网络配置、账号权限、密钥管理等。

  安全是华为云与租户双方共同承担的责任。

二、统一身份认证服务 IAM

IAM（Identity and Access Management）统一身份认证服务，是华为云权限管理基础服务，实现安全控制云资源访问权限，不需要共享主账号密码，通过创建IAM子用户实现多人协同。

2.1 IAM核心能力

1. 身份凭证：账号、IAM用户、密码、访问密钥AK/SK。
2. 安全管理：登录保护、密码策略。
3. 权限管理：角色、策略。
4. 资源委托：委托其他账号、委托云服务。
5. 身份提供商：企业本地账号联合登录华为云（单点登录SSO）。

2.2 权限管理：角色 vs 策略

1. 角色：粗粒度授权，早期能力，无法做到最小权限管控，部分云服务不支持。
2. 策略：细粒度授权，可以精确到操作、资源、条件，满足最小权限原则。
   • 系统策略：华为云预置，只可使用，不能修改。
   • 自定义策略：管理员自行编写，支持可视化视图、JSON视图，补充系统策略不足。

2.3 委托功能

委托分为两类：

1. 委托其他普通账号：把自己账号资源权限交给别的华为云账号，例如交给代运维公司，对方使用自己账号代维，随时可以撤销委托。
2. 委托云服务：云服务之间互相调用，例如CTS需要SMN发送通知，需要创建云服务委托，允许服务以你的身份调用其他云服务。

2.4 项目与企业项目

1. IAM项目：和区域绑定，用来隔离不同物理区域资源，可以创建子项目做权限隔离。
2. 企业项目：项目升级版，逻辑隔离，可以跨多个区域，资源支持迁入迁出，适合企业多业务分组管理。

2.5 IAM典型场景：多运维人员权限划分

企业不同岗位分配不同权限策略：

• 资源总运维：Tenant Administrator 全部资源权限
• 财务管理：BSS Administrator 费用账号中心权限
• 查看资源：Tenant Guest 全部资源只读权限
• 计算域运维：ECS、CCE、弹性伸缩全权限
• 网络域运维：VPC、EIP、ELB全权限
• 数据库运维：RDS、DDS全权限
• 安全域运维：Anti‑DDoS等安全服务权限

三、消息通知服务 SMN

SMN（Simple Message Notification）消息通知服务，可靠、可扩展的消息推送服务。可以主动推送消息，接收终端支持：短信、邮件、HTTP/HTTPS、函数工作流FunctionGraph。

3.1 核心模型：主题‑订阅模型（一对多通知）

1. 主题（Topic）：消息发布、订阅的通信通道。
2. 订阅：把接收终端（手机号、邮箱、URL）注册到主题。发布消息到主题，所有订阅者同时收到通知。
3. 消息模板：预定义消息格式，简化消息发布。

3.2 SMN优势

1. 简便易用：创建主题、添加订阅、发布消息即可完成通知。
2. 稳定可靠：多数据中心冗余存储，推送失败持久化重试。
3. 多协议通知：一次发布，多类型终端同时接收。
4. 安全隔离：基于主题隔离访问，未授权用户不能读取消息。

3.3 典型应用场景

1. 系统告警通知：云监控CES、云审计CTS触发告警，通过SMN发短信、邮件告知运维人员。
2. 云服务集成解耦：作为中间消息枢纽，连接多个云服务。
3. 错峰流控：消息堆积缓冲，缓解下游系统瞬时压力。

四、云监控服务 CES（Cloud Eye Service）

CES云监控，立体化监控平台，监控华为云各类资源，采集指标、设置告警，及时发现业务异常。

4.1 主要能力

1. 主机监控
   • 基础监控：云平台采集硬件、网络指标。
   • 操作系统监控：安装Agent，采集CPU、内存、磁盘等操作系统内部指标。
   • 进程监控：查看服务器各个进程资源占用。
2. 事件监控：记录各类资源操作事件，例如登录、删除ECS，可以对事件配置告警。
3. 云服务监控：自动对接各个云服务，内置监控指标。
4. 站点监控：模拟公网用户访问域名/IP，探测可用性、响应时间、丢包率，支持分布式探测点。
5. 告警功能：设置阈值，指标超标触发告警，对接SMN推送通知。
6. 监控面板：自定义仪表盘，聚合关注指标。

注意：CES基础部分免费，高级站点监控等增值功能收费。

4.2 架构流程

云资源（ECS/VPC/EVS）上报指标到CES指标库 → 监控数据存储展示；告警模块判断阈值，可推送通知给SMN、触发弹性伸缩AS。

五、云日志服务 LTS（Log Tank Service）

LTS云日志服务，集中采集主机、云服务日志，实现日志存储、搜索、分析、告警、转储。

5.1 基础概念

1. 日志组 LogGroup：日志管理大单元，可以设置日志保存时长，内部包含多个日志流。
2. 日志流 LogStream：日志读写的最小单元，用于分类存放日志。
3. ICAgent：部署在ECS主机上的采集代理，读取本地日志文件上报到LTS。

5.2 核心功能

1. 日志接入
   • 云服务接入：VPC、CTS等云服务直接上报日志。
   • 自建主机接入：安装ICAgent采集服务器本地日志。
   • API/SDK接入：业务程序直接调用API上传日志。
   • 跨账号接入：通过IAM委托读取其他账号日志。
2. 日志查询分析：关键词检索、SQL查询、日志结构化解析（正则、JSON、Nginx、分隔符模板）。
3. 日志可视化：结构化日志做SQL查询，生成图表。
4. 日志告警：配置关键词/SQL统计规则，日志命中条件后触发告警，对接SMN发送通知。
5. 日志转储：把长期需要保存的日志转储到OBS、DIS、DMS；日志组默认保存7天，最长设置365天。

5.3 应用场景

集中运维日志平台：收集多台ECS业务日志，统一检索排查故障；支持海量日志，按需计费。

六、云审计服务 CTS（Cloud Trace Service）

CTS云审计服务，记录账号下所有云资源的操作事件日志，记录：谁、什么时间、哪个IP、对哪个资源、做了什么操作、操作结果。

6.1 核心概念

1. 追踪器：开通CTS自动创建默认追踪器，记录账号全部操作事件；可以配置把事件转储OBS长期保存。
2. 事件：分为管理事件（资源增删改配置操作）、数据事件（OBS上传下载等数据读写操作）。
3. 关键操作通知：筛选高危操作（重启、删除ECS），一旦发生，调用SMN推送告警通知。

6.2 CTS价值

对比传统审计：传统靠人工记录，容易丢失；CTS实时采集控制台、API、系统内部操作，日志多副本，低成本长期保存到OBS桶。

典型用途：

1. 安全分析：追溯账号异常操作行为。
2. 资源变更追溯：排查资源什么时候被谁修改。
3. 故障定位：查看操作失败返回的错误原因。
4. 合规审计：满足等保、金融云、可信云审计留存要求。

6.3 典型架构

用户操作云资源 → 各云服务上报事件给CTS；CTS可以查看事件列表，事件可以转储OBS；配置关键操作通知后，通过SMN推送消息给运维人员；也可以对接函数工作流做进一步自动分析。

七、华为云运维综合实验

实验拓扑：ECS弹性云服务器作为被测资源，分别对接CTS云审计、CES云监控、LTS云日志三大运维服务，SMN提供消息通知能力。

实验1：云审计CTS配置关键操作通知

实验目标：当ECS发生删除、重启操作，手机收到短信告警。

1. 创建测试ECS：规格1核2G，40GB磁盘，CentOS7.8。
2. 控制台搜索「云审计 CTS」，开通云审计，系统自动生成追踪器，状态正常。
3. 左侧菜单选择【关键操作通知】→【创建关键操作通知】
   • 通知名称自定义；操作类型选择自定义；服务类型ECS，勾选操作：deleteServer、rebootServer。
   • SMN主题：需要提前在SMN服务创建主题。
4. 跳转至SMN消息通知服务：【主题管理】→【创建主题】，主题名ecs‑notify。
5. 创建完成主题，点击【添加订阅】，协议选择短信，填写自己手机号。
6. 手机收到订阅确认短信链接，打开链接确认订阅，订阅状态变为已确认。
7. SMN页面测试发布文本消息，手机可以收到测试短信，证明SMN可用。
8. 回到CTS创建关键操作通知页面，选择刚才建好的SMN主题，确认创建；系统会自动生成委托cts_admin_trust。
9. 测试：在ECS控制台执行重启云服务器操作。
10. 手机收到CTS推送的告警短信；CTS【事件列表】页面，可以看到rebootServer操作记录，包含操作者、时间、资源ID。

实验2：云监控CES监控ECS，配置CPU使用率告警

实验目标：模拟ECS CPU跑满，触发云监控告警。

1. 进入【云监控 CES】→【主机监控】，确认ECS主机Agent插件状态正常。
2. 在主机列表对应ECS实例，点击【创建告警规则】
   • 告警类型：指标；监控对象选择这台ECS。
   • 触发策略：Agent CPU使用率，原始值≥90%，连续3次触发，告警级别重要；关闭发送通知。保存告警规则。
3. 使用SSH远程登录ECS（root账号），执行压测命令把CPU占满：

echo "scale=800000;4*a(1)" | bc -l -q

1. 返回CES监控页面，查看CPU监控图表，CPU迅速飙升至接近100%。
2. 在CES【告警】→【告警记录】，看到告警状态变为「告警中」。
3. 故障处理：登录ECS执行top，找到bc进程PID，执行kill -9 PID终止压测进程。
4. CPU回落，等待监控周期，告警自动变为【已解决】。

实验3：云日志LTS采集ECS系统日志

实验目标：在LTS中收集ECS的系统日志/var/log/messages，可以在线检索日志。

1. 进入云日志LTS服务，【日志管理】→【创建日志组】，设置日志存储时间。
2. 在日志组内【创建日志流】。
3. 左侧【主机管理】→【安装ICAgent】。
   • 需要先在【我的凭证】→【访问密钥】，新增AK/SK密钥，下载保存密钥。
   • 复制页面生成的ICAgent安装脚本，替换AK、SK，在ECS的root下执行脚本。
   • 脚本输出ICAgent install success代表安装成功；控制台主机列表看到主机状态为运行。
4. 左侧【日志接入】→【接入中心】，选择弹性云服务器ECS‑文本日志。
5. 选择刚刚创建的日志组、日志流；新建主机组，把ECS加入主机组。
6. 配置采集路径填写：/var/log/messages，其余配置保持默认，提交采集规则。
7. 在ECS执行命令生成一条测试日志：

echo "hello test log" >> /var/log/messages

1. LTS控制台进入该日志流，切换【实时日志】，等待几分钟，即可看到采集上来的日志。
2. 使用日志搜索框输入关键词error，可以过滤检索包含error的系统日志。

实验结束：清理全部实验资源

做完实验务必删除资源，避免持续扣费

1. 删除ECS弹性云服务器实例。
2. CES：删除自定义告警规则。
3. LTS：删除日志流、日志组；ECS上卸载ICAgent。
4. CTS：删除关键操作通知；追踪器按需关闭转储。
5. SMN：删除订阅，删除主题。
6. IAM：删除实验生成的委托cts_admin_trust。

八、思考题参考答案

1.（判断题）云监控服务是一款免费的云服务。

答案：B 错误，基础监控免费，站点监控等高级功能计费。

2.（多选题）以下哪些是云审计服务的应用场景？

答案：关键操作通知、合规审计、问题定位分析；不包含数据价值挖掘。

九、本章小结

华为云运维类服务各司其职：

• IAM管账号权限，实现账号安全与多人协同；
• SMN作为消息中枢，为各类云服务提供短信、邮件告警推送；
• CES负责指标监控，看CPU内存等资源运行指标，指标异常告警；
• LTS聚焦日志，集中收集、检索、分析海量系统和业务日志；
• CTS聚焦操作审计，记录人对资源的每一步变更操作，用于安全审计、故障溯源。

五大服务互相配合，共同保障云上业务安全、可观测，是云运维工作的基础工具。

---

缩略语速查表

• IAM：统一身份认证
• SMN：消息通知服务
• CES：云监控（Cloud Eye）
• LTS：云日志服务
• CTS：云审计服务
• ECS：弹性云服务器
• AK/SK：访问密钥

---

存等资源运行指标，指标异常告警；

• LTS聚焦日志，集中收集、检索、分析海量系统和业务日志；
• CTS聚焦操作审计，记录人对资源的每一步变更操作，用于安全审计、故障溯源。

五大服务互相配合，共同保障云上业务安全、可观测，是云运维工作的基础工具。

---

缩略语速查表

• IAM：统一身份认证
• SMN：消息通知服务
• CES：云监控（Cloud Eye）
• LTS：云日志服务
• CTS：云审计服务
• ECS：弹性云服务器
• AK/SK：访问密钥

---