第一章：阿里云简介

阿里云

致力于打造公共、开放的以数据为中心的云计算服务平台，借助技术创新，不断提升计算能力和规模效益，将云服务变成真正意义上的公共服务，为下一代信息经济构建新的基础设施。
为阿里提供基础服务支持
拥有最优质的 CDN 网络、多运营商 BGP 介入、规模最大的集群
理念：大规模效应降低成本、服务化方式开放、多地域多可用区容灾

产品线

• 储存与 CDN--CDN、对象储存 OSS、块储存、归档储存 Archive Storage
• 弹性计算及网络服务：云服务器 ECS、弹性伸缩、负载均衡、专有网络
• 数据储存及计算服务：云数据库 EDS、表格存储 Table Store、云数据 vk 库 Memcache、数据传输、数据集成、批量计算
• 大规模计算服务：大数据计算服务、采云间 DPC、分析型数据库、数据集成、批量计算
• 应用及中间件服务：日志服务、开放搜索、邮件推送、消息队列、媒体转码、EDAS、API 网关
• 安全与管理服务：DDoS 基础防护、云监控、DDoS 高防 IP、安骑士、阿里绿网

基础架构

1. BLS 负载均衡，流量入口
2. ECS 运行应用，如 web 应用采用 CentOS 6.3 Linux Server，无状态的 nginx+fastcgi
   Web 应用，可水平扩展
3. 文件持久化在 OSS，数据库使用 RDS for MySQL 5.6

ECS

云服务器（Elastic Compute Server），弹性、安全、按使用付费、应用的运行环境

可弹性伸缩的计算服务

SLB

负载均衡（Server Load Balancer）是对多台云服务器进行流量分发的负载均衡服务，通过消除单点故障提升系统可用性

高可用、低成本、安全、按量付费

RDS 关系型数据库服务

云数据库（Relational Database Server）是稳定可靠、可弹性伸缩的在线数据库系统，提供数据库容灾、备份、恢复、监控、迁移等

快速部署、高可用、可弹性升级、易维护

OSS 对象存储服务

对象储存（Object Storage Server）是海量、安全和高可靠的云储存服务

海量、弹性、低成本、按量付费

第二章：掌握云服务器 ECS

ECS

在产品体系中最基础的计算服务

优势：稳定、弹性、安全、成本、易用性、可扩展性

产品概念：实例 Instance、磁盘 Disk、快照 Snapshot、镜像 Image、安全组 Security group

计费方式：包年包月 / 按量付费

磁盘

• SSD 云盘：采用 SSD 云盘作为储存介质
• 高效云盘：采用固态硬盘与机械硬盘混合介质
• 普通云盘：采用机械磁盘作为储存介质

创建、卸载、挂载、释放、回滚、扩容、更换系统盘（系统盘扩容）

1> 快照

最常见的用途是备份数据，当应用程序或者人为误删除数据时可以通过快照找回
通过系统盘快照可以创建自定义镜像，批量复制与目前系统完全一样的服务器实例

数据盘快照用于快速复制数据
分为手动快照或自动快照

2> 镜像

运行环境模板 / 系统盘镜像

1. 阿里云官方公共镜像
2. 镜像市场提供第三方镜像
3. 根据已有 ECS 实例创建自定义镜像
4. 其他阿里云用户共享镜像

远程登录 ECS

ECS 数据盘分区以及挂载

输入如下命令，查询当前系统中的数据盘。
fdisk -l

执行如下命令，对数据盘进行分区：
fdisk /dev/vdb

在弹出的命令行中需要输入的参数是：
Command（m for help）输入 n
Command action输入 p
Partition number（1-4，default 1）输入 1
First cylinder和Last cylinder处直接输入回车，使用默认的配置
Command（m for help）输入 w，从而使上面的配置生效

使用如下命令，对数据盘进行格式化：
mkfs.ext3 /dev/vdb1

然后，使用如下命令，将磁盘挂载上去。
mount /dev/vdb1 /alidata

第三章：云数据 RDS

目标

• 将耗时耗力的数据库管理任务承担下来，使用户能专心于应用开发和业务发展
• 用户可根据业务需求对 RDS 进行弹性伸缩

可靠性

• RDS 采用主从架构，拥有三份以上的数据备份，具有高可用性和数据可靠性
• RDS 承诺 99.95% 的服务可用性和 99.9999% 的数据可靠性

支持信息

功能

• 专业数据库管理平台 DMS
• 轻松实现数据回溯
• 专业的数据库优化建议
• 完善的监控体系

选择 RDS

• 购买方式：包年包月 / 按量付费 / 小时计费
• 地域：与服务器相同或接近
• 数据库类型：MySQL/SQL Server/PostgreSQL/PPAS
• 网络类型：经典网络 / 专有网络
• 储存空间：内存 / 储存
• 购买时长：一个月起

DMS

DMS（原 iDB Cloud）是一款访问管理云端数据的 WEB 服务，支持 MySQL、SQL Server、PostgreSQL 和 ADS 等数据源，覆盖 RDS、ADS 和万网等服务。

提供数据管理、对象管理、数据流转和实例管理等功能。

数据迁入

RDS 提供专业工具和向导式迁移服务来帮助用户将数据迁入 RDS

• 结构迁移

DTS 会将迁移对象的结构定义迁移到目标实例，支持表、视图、触发器、存储过程、储存函数

• 全量迁移

DTS 会将原数据库全部迁移至目标实例

• 增量迁移

将迁移过程进行数据变更同步到目标实例，迁移期间的 DDl 不会迁移到目标实例。

RDS for SQL Server

不仅覆盖了微软的 license 支持特性，而且附带高可用架构和任意时间点的数据恢复功能，强力支撑各种企业应用

RDS for PostgreSQL

• 作为学院派关系型数据库管理系统的鼻祖
• 对 SQL 规范的完整实现
• 丰富多样的数据类型支持（JSOn 数据，IP 数据和几何数据等）

RDS for PPAS

• 稳定，安全且可扩展的企业关系型数据库
• 基于全球最先进的开源数据库 PostgreSQL
• 在性能、应用方案和兼容性上进行增强，提供直接运行 Oracle 的能力

创建 RDS 数据库帐号

创建 RDS 数据库

登录 RDS 数据库

导入测试数据

查看诊断报告

实验：数据库上云迁移的实现

1. 查询数据库

mysql -u root -p

Enter password: （输入 123456，输入的密码不会显示）

执行如下命令查看数据库信息

mysql> show databases;

执行如下命令，切换数据库为 bakery：

mysql> use bakery;

行如下命令，查看表中数据：

mysql> show columns from customer;
mysql> show columns from product;
mysql> select * from customer;
mysql> select * from product;

2. 创建迁移任务

选择迁移对象

完成预检查

确认购买

迁移成功

第四章：阿里云 OSS

介绍

对象储存服务（Object Storage Server）是阿里云对外提供的云储存服务。RESTFul API 的平台无关性，容量和处理能力的弹性扩展，按照实际容量付费，真正使用户专注与核心业务。

主要功能

是一种面向互联网的分布式储存服务，用户可以通过 API 或者 Web 页面在任何应用、任何时间、任何地点上次和下载数据。

弹性扩展、大规模、图片处理、按需付费

基本概念

1.Object

• 每一个用户文件都是 Object
• 文件大小限制（Put Object 方式限制最大不能超过 5GB，multipart 上传方式的 Object 不能超过 48.8TB）
• Object 包含 key、data 和 meta data

2.Bucket

• 每个 Object 必须包含在 Bucket 中
• BUcket 名在整个 OSS 中具有全局唯一性，且不能修改
• 一个用户最多创建 10 个 Bucket
• 每个 Bucket 中存放的 Object 数量和大小没有限制
• 一个应用可以对应一个或多个 Bucket

3.Server

• 提供给用户的虚拟储存空间，可以在存储空间中拥有一个或多个 Bucket

4.Access ID & Access Key（API 密钥）

• 用于标识用户，为 OSS 做签名认证

OSS 访问域名

bucketname.endpoint

endpoint 根据 bucket 所在的数据中心不同，内外网访问方式不同而区分

oss.aliyun.com 默认指向杭州节点外网，oss-internal.aliyun.com 默认指向杭州节点内网

实验：云存储 OSS 使用初体验

登录到 ECS 服务器后，执行如下命令，进入网站系统的根目录。

cd /alidata/www/default

然后，使用如下查看命令，查看保存在根目录下的四张图片 01.png，02.png，03.png 和 04.png，也就是图片分享网站所展示的 4 张小图片。

ls

使用如下命令，查看网站首页的源码，可以看到图片分享网页中显示的图片，是从网站根目录 /alidata/www/default 中，读取图片 01.png，02.png，03.png 和 04.png 拼接的。

cat index.html

返回 ECS 实例终端页面，执行下面命令进入 alidata/www/default 目录。

cd /alidata/www/default

删除所有图片

rm -rf *.png

执行如下命令返回 ECS 服务器的 /alidata/www/default 目录下，并进入服务器访问首页 index.html 的编辑界面。

cd /alidata/www/default
vim index.html

将链接地址替换成 OSS 储存地址

实验：使用云存储 OSS 的 API 上传和下载文件

1. 调用 OSS API 上传小文件

登录到 ECS 服务器后，在使用 OSS API 进行文件上传和下载之前，用户需配置阿里云账号的 AccessKeyID， AccessKeySecret 和 Endpoint 信息（均可从 实验资源 获取），以便于通过 OSS 的权限验证。在 ECS 命令行中，使用命令 cd aliyun-lab 进入 aliyun-lab 目录。 然后，使用命令 vim configure.json ，configure.json 文件用于提供调用 OSS API 时所需的公共参数。

id－参数值为本实验中，实验资源 分配的AK ID;
secret－参数值为本实验中，实验资源 分配的AK Secret;
endpoint－参数值为本实验中，实验资源 的“地域”对应的“外网Endpoint”数值。比如：提供的“地域”为“华东 1(杭州)”，则选择“华东 1(杭州)”的“外网Endpoint”。

OSS 地域与外网 Endpoint 的对应关系如下表：

完成 OSS 的基本配置信息后，在 aliyun-lab 路径下，执行命令 vim object_upload.py ，修改脚本文件 object_upload.py 。此脚本通过调用 OSS API，上传本地文件 (__file_name：本地文件路径) 到 bucket 中，并重命名 object (__object_name：Bucket 中 Object 名称) 。在代码的 #调用 OSS API 的 put_object() 上传文件 下方，添加如下的代码，完成修改后，保存脚本并退出编辑页面。

注意代码缩进：

with open(__file_name,'rb') as fileobj:
    bucket.put_object(__object_name, fileobj)

执行如下命令，运行脚本程序。将本地文件 lab.txt 上传到本实验分配 OSS bucket 的 Object 路径下，并重命名为 lab_object.txt 。

python object_upload.py <oss bucket名称> lab.txt <oss object路径>/lab_object.txt

2. 调用 OSS API 下载小文件

在 ECS 的 aliyun-lab 目录下，执行命令 vim object_download.py ，修改脚本文件 object_download.py 。此脚本通过调用 OSS API，下载 OSS 的 bucket 中名称为 __object_name 的 object 到本地，并重命名为 __local_name 。在代码的 #调用 OSS API 的 get_object_to_file() 下载 object 下方。添加如下的代码，完成修改后，保存脚本。

bucket.get_object_to_file(__object_name, __local_name)

执行如下命令，将 OSS 存储的文件 lab_object.txt 下载到本地, 并重命名为 lab_local.txt 。下载成功后，执行命令 ls ，列出当前目录下所有的文件，可以看到文件 lab_local.txt 已经保存在当前目录下。请注意替换 <oss bucket 名称 > 和 <oss object 路径 > 为 实验资源 提供的信息。

python object_download.py <oss bucket 名称> <oss object路径>/lab_object.txt lab_local.txt

执行命令 cat lab_local.txt 和 cat lab.txt ，分别查看原文件与下载后的文件，对比两个文件中的内容，可以发现两个文件中的内容一致，证明 object 下载并成功保存到本地。

3. 调用 OSS API 删除 Object

返回 ECS 服务器访问终端界面，然后，执行 vim object_delete.py ，修改脚本文件 object_delete.py 。此脚本通过调用 OSS API ，删除 OSS Bucket 中的 object。在代码的 #调用 OSS API batch_delete_objects()，批量删除 objects 下方。添加如下的代码，完成修改后，保存脚本。

result = bucket.batch_delete_objects([__object_name])

执行命令 python object_delete.py <Bucket 名称> <Object路径>/lab_object.txt 。删除 bucket 中的指定路径的 object 。

4. 创建 OSS Bucket

在 ECS 服务器访问终端界面中，执行命令： cd aliyun-lab/ ，进入 aliyun-lab/ 目录下。输入命令：vim bucket_create.py ，修改脚本文件 bucket_create.py 。修改创建 bucket 的 python 脚本。用户可以使用此脚本调用 OSS 创建 Bucket 的 API。在代码的 #调用 OSS API 的 create_bucket() 创建 bucket 下方。添加如下的代码，完成修改后，保存并退出。

result = bucket.create_bucket()

执行命令：python bucket_create.py lab ，其中 lab 为用户自定义的 bucket 名称，运行脚本程序，创建一个新的 bucket lab-xxxx 。

注意：创建的新 bucket 名称为：< 用户输入的自定义 bucket 名称 >－< Access Key ID 信息 >。这是由于 OSS bucket 全局唯一，避免 bucket 名称已存在而导致创建错误, 此脚本会自动将 Access KeyID 信息，作为 bucket 名称的后缀。输入 bucket 名称时，必须符合如下的 Bucket 命名规则，否则，无法成功创建 bucket。

5. 删除 OSS Bucket

在 ECS 服务器访问终端界面中，执行命令：cd aliyun-lab/ ，进入 aliyun-lab/ 目录下，输入命令：vim bucket_delete.py ，修改脚本文件 bucket_delete.py 。修改删除 bucket 的 python 脚本。用户可以使用此脚本调用 OSS 删除 Bucket 的 API。在代码的 #调用 delete_bucket() 删除 bucket 下方。添加如下的代码，完成修改后，保存脚本。

bucket.delete_bucket()

执行命令 python bucket_delete.py <Bucket 名称> ，例如，某空 Bucket 名为 lab-xxxx 。运行结束，提示成功删除 bucket 。

第五章：掌握负载均衡 SLB

负载均衡（Server Load Balancer）是对多台云服务器进行流量分发的服务，可以通过流量分发扩展应用系统对外的服务能力，通过消除单点故障提高应用系统的可用性。

用途

• SLB 可以通过流量分发扩展系统对外的服务能力，通过消除单点故障提高应用系统的可用性
• 通过设置虚拟服务地址，将同一地域的多台云服务器资源虚拟成一个高可用，高性能的应用服务池
• SLB 服务会检查云服务池中 ECS 的健康程度，自动隔离状态异常的 ECS，提高应用整体的服务能力
• SLB 还具备 TCP 与 HTTP 抗 DDoS 的特性，增强了应用服务器的防护能力

组成

1. LoadBalancer 代表一个 SLB 实例
2. Listener 代表用户定制的负载均衡策略和转发规则
3. BackendServer 是后端的一组云服务器

术语

主要功能

• 当前提供 4 层（TCP/UDP 协议）和 7 层（HT/ 4（ tcp/udp）（HTTP/HTTPst 协议）的负载均衡服务
• 可以对后端 ECS 进行健康检查，自动屏蔽异常状态的 ECS，待该 ECS 恢复正常后自动解除屏蔽
• 提供会话保持功能，在 Session 的生命周期内，可以将同一客户端请求转发到同一台后端 ECS 上
• 支持加权轮询（WRR），加权最小连接数（WLC）转发方式，后端 ECS 权重越高被分发的几率也越大
• 支持针对监听来分配其对应服务所能达到的带宽峰值
• 可以支持公网或私网类型的负载均衡服务
• 提供丰富的监控数据，实时了解 SLB 运行状态
• 结合云盾，提供 WAF 及防 DDOS 攻击能力，包括 CC SYN FLOOD 等
• 支持同一地域（ REGION）跨数据中心容灾，结合 DNS 还可以支持跨 REGION 容灾
• 针对 HTTPS 协议提供统一的证书管理服务，证书无需上传后端 ECS，解密处理在 SLB 上进行， ECS 降低后端 CPU 开销
• 提供控制台，API，SDK 多种管理方式

提高 SLB 本身可用性

• 在同一地域创建多个 SLB 实例，通过 DNS 轮询的方式对外提供服务，从而提高本地可用性
• 在不同地域创建多个 SLB 实例，通过 DNS 轮询的方式对外提供服务，从而提高本地可用性

确保 ECS 之间数据同步

目前，有很多类似的工具可以实现服务器之间的数据同步，比如: rsync 具体使用及选择，还请通过其他途径获得更多的介绍资料及指导信息。
您也可以将您的 ECS 配置成无状态的应用服务器，而数据和文件统一存放在 RDS 和 OSS 服务上。

实验：负载均衡使用初体验

配置监听

选择默认服务器组，勾选 ECS

端口设置为 80

默认开启健康检查

常见问题

问：如果需要对负载均衡后端的某台 ECS 实例 A 中的应用服务器进行升级，如何在不影响用户使用的前提下，平滑升级？

答：将需要升级的 ECS 的权重修改为 0，请求即不会转发到该 ECS 上，然后进行升级；升级完成后重新修改它的权重。

实验：高并发访问时流量分发和会话保持的实现

会话保持功能

第六章：云上安全防护

2014 年重大安全事件

1. 1.21 中国互联网 DNS 大劫难
   2014 年 1 月 21 日下午 3 点 10 分左右，国内.cn 根域名服务器出现异常，超过 85% 的用户遭遇到 DNS 故障，引发网速变慢和打不开网站等情况，持续数小时
2. 中国快递 1400 万条信息泄露
   2014 年 4 月，国内某黑客对两个大型物流公司的内部系统发起网络攻击，非法获取快递用户个人信息 1400 多万条
3. 12306 用户数据泄漏
   2014 年 12 月 25 日，乌云漏洞报告平台报告称，大量 12306 用户数据在互联网疯传，内容包括用户帐号、明文密码、身份证号码、手机号码和电子邮箱等
4. OpenSSL 心脏出血漏洞
   2014 年 4 月爆 Heartbleed 出了漏洞，该漏洞是近年来影响范围最广的高危漏洞，涉及各大网银、门户网站等。该漏洞可被用于窃取服务器敏感信息，实时抓取用户的账号密码。

常见威胁

• DDos 攻击
• • 每周 2000 起左右
• • 近一般攻击事件超过 5G
• • 几乎每周都有单 IP 超过 100G 的大流量攻击
• 口令暴力破解
• • 每周数亿次攻击
• • 以 SSH、RDP 协议为主
• Web 应用攻击
• • 每周数百万次攻击
• • 以 SQL 注入攻击为主

安全体系

相关概念

基础运营商（移动联通电信）、骨干网、IDC 数据中心

BGP 边际网关协议、ABTN 阿里巴巴骨干网、路由器

交换机、防火墙、安全策略

DDoS

• DDoS（Distributed Denial of Server）即分布式拒绝服务攻击
• 攻击目标主要是让指定目标无法提供正常服务，是最强大、最难防御的攻击之一
• 今年出现的 DRDoS（分布式反射攻击）让 DDoS 攻击水平迅速提高

DDoS 防护流程

• 攻击流量的发现、牵引和自动处理
• 能够有效抵御各类基于网络层、应用层的 DDoS 工具，包括 DNS Query Flood、NTP reply Flood
• 大数据分析实现全自动匹配
• • 攻击策略全自动匹配
• • 总体响应时间 <2 秒
• • 清洗服务可用性 99.99%

高防接入步骤

1. DNS 服务器更换对外服务 IP, 在 DNS 服务器把原域名 IP1 更换为 VIP1
2. 流量完成切换。客户端向源站的访问流量直接流向 VIP1，安全防护由高防接管。
3. 回源正常用户。回注方式与传统方式不同传统是要打上 VPN 标签进行回注隔离主机路由，我们采用协议栈更换技术，把处理完成的流量再送给源站 IP1 实现回注。

阿里云云盾 -WAF

Web 应用防火墙（Web Application Firewall，简称 WAF）是一款网站必备的安全产品。
阿里云云盾 Web 应用防火墙: 基于云安全大数据能力实现运营＋数据＋攻防体系、综合打造网站应用安全。通过防御 SQL 注入、XSS 跨站脚本、常见 Web 服务器插件漏洞、木马上传、非授权核心资源访问等 OWASP 常见攻击；过滤海量恶意 C 攻击；禁止恶意的接口滥刷，数据爬取；避免您的网站资产数据泄露，保障网站的安全与可用性。

可用性。

阿里云云盾 - 安骑士

是云盾安全防护体系中的主机安全防护模块，基于云端联动防御，可以为云服务器提供防黑客入侵的服务

• 木马查杀
• 防暴力密码破解
• 异地登录检测
• 漏洞检测修复

阿里云 - 云监控

云监控（ CloudMonitor）是一项针对阿里云资源和互联网应用进行监控的服务。云监控服务可用于收集获取阿里云资源的监控指标，探测互联网服务可用性，以及针对指标设置警报。云监控服务能够监控云服务器 ECS、云数据库 RD 和负载均衡等各种阿里云服务资源，同时也能够通过 HTTP，ICMP 等通用网络协议监控互联网应用的可用性。借助云监控服务，您可以全面了解您在阿里云上的资源使用情况、性能和运行状况。借助报警服务，您可以及时做出反应，保证应用程序顺畅运行

• 站点监控
  提供对 http、ping、dns、tcp.、udp、smtp、pop3、ftp 等服务的可用性和响应时间的统计、监控、报警服务。
• 云产品监控
  提供对 ecs、rds、slb、cdn、ocs、oss 等云服务的监控报警服务。
• 自定义监控
  对用户开放自定义监控的服务，允许用户自定义个性化监控需求。
• 报警及联系人管理
  提供对报警规则，报警联系人的统一、批量管理服务

支持多报警方式: 短信、邮件、旺旺

实验：云安全中心之初体验

1. 安骑士配置白名单

选择弹性公网 EIP，输入本机 IP 地址

2. 添加常用登录地

只有使用上海的 IP 地址，远程登陆到设置常用登陆地的 ECS 实例，才会记录为 正常访问。而其余地域远程登陆均被记录为 异地登录。

3. 使用攻击者服务器 hacker-server 异地登录 站点服务器

实验：云监控初体验

云监控（CloudMonitor）作为云服务的监控管理入口，能让用户快速了解各产品实例的状态和性能。云监控从站点监控、云服务监控、自定义监控三个方面来为用户提供服务。通过云监控管理控制台，用户可以看到当前服务的监控项数据图表，清晰了解服务运行情况。并通过设置报警规则，管理监控项状态，及时获取异常信息。云监控目前免费限量为用户提供监控服务。

登录到 ECS 实例后，输入如下命令，增加 ECS 实例的 CPU 使用率。

stress --cpu 8 --io 4 --vm 2 --vm-bytes 128M --timeout 10m