检查报告的组成

百度智能云顾问在完成自动化检查完后，会向用户预留的邮箱发送完整版PDF版本报告，报告包括如下内容：

1.基本信息： 用户ID、报告生成时间。

2.检查结果汇总： 图形化展示安全、可用性、性能、成本这四个维度下，处于高危、警告、正常的检查项个数。

3.检查结果明细：

• 检查项
• 检查项分类
• 检查项状态等级
• 检查项描述
• 检查项状态判定标准
• 优化建议
• 更多参考
• 典型实践
• 高危或警告检查项关联的资源数量及其信息明细表

检查项等级状态说明

检查项具有高危、警告、正常3种风险等级。

检查项风险等级	等级含义
高危（红色）	检查项的结果存在对系统、资源的安全、可用性的严重威胁
警告（橙色）	检查项的结果存在一定风险，建议优化
正常（绿色）	检查项的结果与各种配置的典型实践一致

检查项明细

当前百度智能云顾问为用户提供的检查项及其警报条件、优化建议等信息请参考下列分维度检查项明细一览表。

安全检查项（27）

检查项	检查维度	关联服务	检查项含义	警报条件	优化建议	更多参考
BCC-共享镜像	安全	BCC	检查BCC实例是否存在与其他用户共享的自定义镜像，避免长期共享镜像导致的安全风险。	警告：存在与其他用户共享的镜像。	重新判断是否仍需要与其他用户共享镜像，如不需要则尽快取消镜像共享。	BCC共享自定义镜像
BCC-操作系统版本	安全	BCC	检查BCC实例操作系统（OS）与该系列操作系统最新版的版本差异情况。 新版操作系统可能具有更高的安全性。	警告：BCC实例操作系统（OS）与该系列操作系统的最新版相差2个及以上版本。	考虑升级BCC实例的操作系统版本以获得更高的安全性保障。如果版本过老，可考虑停机及数据备份后重装操作系统。	BCC重装操作系统
BCC-安装主机安全客户端	安全	BCC、BSS	检查BCC实例上是否安装了主机安全客户端。 主机安全客户端（Hosteye）能够针对云服务器提供登录审计、异地登录报警、暴力破解攻击拦截，木马后门检查等多种安全功能，提升云服务器安全性，降低被黑客入侵的可能性。	高危：BCC实例未安装主机安全客户端。	建议为BCC实例安装百度智能云原厂配置主机安全客户端。	linux平台主机安全客户端安装指南 Windows平台主机安全客户端安装指南
BCC-安全检测服务SRD检测结果	安全	BCC、SRD	针对BCC实例进行安全检查，反馈最近1次的安全检测服务SRD检查出的web漏洞和系统威胁检查结果。 安全检测服务可以帮助用户快速的发现业务系统中存在的问题，及时修复，提升业务安全性和稳定性。注意：SRD是从公网发起检测，没有公网IP地址的云服务器无法检测。	高危：存在web漏洞。即，云服务器Web业务中存在SQL注入、XSS跨站、信息泄漏等安全漏洞；存在系统威胁。即，云服务器存在“特定软件威胁”或“弱密码威胁“。	建议立即进入安全控制台-安全检测服务SRD页面了解SRD发现的web漏洞或系统威胁具体情况，根据检测报告中的漏洞类型、URL地址、漏洞参数、修复方案等信息来修复漏洞、处理威胁。	安全检测服务SRD
BCC-主机暴力破解登录与拦截	安全	BCC	针对已安装主机安全客户端的BCC实例进行安全检查，反馈最近14天的主机安全检测出来的暴力破解风险，密码暴力破解对云服务器的危害很大，如果被破解成功，会窃取管理员权限，从而危害用户信息和权益。	警告：14天内存在拦截暴力破解的情况，即云服务器存在有密码暴力破解的尝试登录行为被防护的情况。 高危：14天内存在暴力破解登录的情况，即云服务器存在通过被认定有暴力破解行为IP成功登录的情况。	建议如果存在暴力破解威胁，建议您立即进入安全控制台-主机安全页面了解主机安全发现的安全威胁具体情况，并通过控制台-登录管理设置消除威胁。如已经被暴力破解登录，建议您立即修改您的主机及相关服务密码。	登录管理
BCC-主机异地登录监测	安全	BCC	针对已安装主机安全客户端的BCC实例进行安全检查，反馈最近14天的主机安全检测出来的异地登录风险，异地登录威胁检测根据云服务器的异地登录进行分析并建立模型，避免非法登录可能造成的伤害。	高危：14天内存在被成功异地登录的情况，即云服务器存在被异地登录的行为	建议：如果存在异地登录威胁，建议您立即进入安全控制台-主机安全页面了解主机安全发现的安全威胁具体情况，通过控制台-登录管理设置消除威胁，可以根据异地登录的IP进行一键加黑（非预期登录IP）或一键加白（预期登录IP）操作。	登录管理
安全组-特定端口不受限制	安全	BCC-安全组	检查安全组中允许对特定端口进行不受限制访问(0.0.0.0/0) 的规则。 不受限制的访问将增加发生恶意活动（非法访问、拒绝服务攻击、数据丢失）的机会。	警告：低风险端口，访问端口 80、25、443 或465 不受限制。 警告：高风险端口，访问端口20、21、1433、1434、3306、3389、4333、5432 或 5500 不受限制。 警告：访问其他任何端口不受限制。	应当设置仅允许有此需求的IP 地址访问特定端口。要限制访问特定 IP 地址，将后缀设置为 /32（例如，192.0.2.10/32）。在创建较为严格的规则后，务必删除过于宽松的规则。	配置安全组
安全组-不受限制的访问	安全	BCC-安全组	检查安全组中允许对资源进行不受限制访问的规则。 不受限制的访问将增加发生恶意活动（非法访问、拒绝服务攻击、数据丢失）的机会。	警告：对于25，80 或 443 以外的端口，安全组规则有一个后缀为 /0 的源 IP 地址。	应当尽量避免将安全组规则中的源IP地址配置为后缀为/0。在创建较为严格的规则后，务必删除过于宽松的规则。	配置安全组
BLB-监听安全	安全	BLB	检查带监听器的BLB加密通信是否未使用推荐的安全配置。百度智能云建议使用安全协议（HTTPS 或SSL）；如果从前端到BLB的连接使用安全协议，则客户端与BLB之间的请求会进行加密，这样更加安全。	警告：BLB不包含任何使用安全协议（HTTPS 或 SSL）的监听器。	如果您需要保证传输到负载均衡器的流量安全，可以为前端连接使用HTTPS 或 SSL 协议。将负载均衡器的预先定义 SSL 安全政策升级到最新版本。只使用推荐的密码和协议，加密选项推荐：TLSv1.2协议。立即前往控制台管理普通型BLB，或管理应用型BLB。	普通型BLB监听器配置 应用型BLB监听器配置 申购SSL证书 安全认证-管理证书
BOS-Bucket权限	安全	BOS	检查 BOS中具有开放访问权限或允许任何已通过身份验证的百度智能云用户访问的Bucket。授予“允许所有用户读”访问权限可能会导致Bucket产生高于预期的费用。授予“允许所有用户读写”访问权限的Bucket权限会因允许用户在Bucket中添加、修改或删除项而造成潜在安全漏洞。	警告: 允许所有用户读Bucket信息及内容。 高危：允许所有用户读写Bucket信息及内容。	请确认Bucket是否真正需要完全开放访问。如果不是，请更新Bucket权限，只允许Bucket所有者或特定用户访问。	更新Bucket权限
BOS-Bucket日志记录	安全	BOS	检查Bucket的日志记录配置。当一个Bucket开启访问日志功能后，会自动将对这个Bucket的访问请求，以小时为单位，按照固定的命名规则，生成日志文件写入用户指定的Bucket。日志记录功能可以应用在访问统计和安全审核等方面，每条访问日志记录了单个访问请求的详细信息，包括请求者、Bucket名称、请求时间和请求操作等信息。默认情况下日志功能不开启。	警告：此Bucket没有启用服务器访问日志功能；或者，目标Bucket权限不包括根账户，所以ABC Cloud Advisor 不能检查它。 高危：目标Bucket不存在；或者，目标Bucket与源Bucket的所有者不同；或者，日志提交者没有目标Bucket的写入权限。	建议您为大部分Bucket启用日志记录。如果目标Bucket权限不包括根账户并且想用 ABC Cloud Advisor 来检查日志记录状态，把根账户作为被授权者。 如果目标Bucket不存在，请选择现有Bucket作为目标，或创建一个新Bucket 如果目标Bucket和源Bucket的所有者不同，请将目标Bucket更改为所有者与源Bucket相同的Bucket。 如果日志提交者没有目标的写入权限 (写权限未启用)，请向日志提交组授予上传/删除权限。立即前往控制台-BOS页面管理Bucket权限。	设置Bucket访问日志 更新Bucket权限
BOS-服务端加密	安全	BOS	检查Bucket是否开启了服务端加密功能。开启服务端加密功能后，数据上传时实现256位加密算法保护。	警告：Bucket未开启服务端加密功能。	建议为多数重要Bucket开启服务端加密功能。目前BOS支持两种加密方式：BOS托管密钥和KMS服务托管密钥。	Bucket设置服务端加密
RDS-白名单访问风险	安全	RDS	检查RDS的白名单配置，并在白名单规则过于宽松时发出警告。 推荐您将白名单配置为，仅允许从特定的IP 地址进行访问。	警告：RDS白名单允许全局访问（白名单存在0.0.0.0/0）。	审查RDS白名单，只授权给希望允许访问的IP地址或IP范围。如需编辑RDS白名单，请使用前往百度智能云管理控制台，RDS实例详情页面。	RDS白名单
RDS-开放公网访问	安全	RDS	检查RDS针对哪些实例设置了开放公网访问。	高危：RDS对公网开放即报警。	建议关闭这些实例的公网访问设置。	-
SCS-白名单访问风险	安全	SCS	检查SCS的白名单配置，并在白名单规则过于宽松时发出警告。 推荐仅允许特定的IP地址访问实例。	警告：SCS白名单允许全局访问（白名单存在0.0.0.0/0）。	审查SCS白名单，只授权给希望允许访问的IP地址或IP范围。如需编辑SCS白名单，请使用前往百度智能云管理控制台，SCS实例详情页面。	SCS白名单
SCS-高危命令检查	安全	SCS	检查 Redis 实例禁用命令配置，若高危命令未禁用，容易出现应用阻塞，数据误删等风险。	警告：Redis 未禁用 flushall、flushdb、keys、hgetall、eval、evalsha、script 等高危命令。	建议在SCS控制台进行策略配置禁用命令，提升实例的安全性。	禁用危险命令
IAM-使用主子用户	安全	IAM	检查您对 Identity and Access Management (IAM) 的使用情况。 使用IAM可以实现精细化权限管理，更好保障账户和资源安全。	警告：没有为此账户创建 IAM 用户。	您可以使用 IAM 在百度智能云中创建用户、组和角色，并且可以使用权限来控制对百度智能云资源的访问。	管理IAM用户
IAM-主用户开启MFA	安全	IAM	检查IAM主用户MFA的开启状态。 双因素验证（MFA）是一种简单有效的安全认证方法。它能够在用户名和密码之外，再增加一层保护。目前双因素认证可以提供登录保护和操作保护。	警告：未为主用户开启MFA。	为主用户开启MFA。	IAM MFA
MCT-视频版权保护	安全	MCT	检测当前用户创建的转码模板是否启用了内容加密功能。 存在非法用户对视频内容进行复制和扩散的风险。	警告：当前账号下，用户创建的转码模板没有启用内容加密功能。	为了防止非法用户对视频内容进行复制和扩散，建议您对视频内容进行加密。目前版权保护服务仅针对HLS格式的视频提供保护，对于其他格式的视频，须先转码为HLS，再进行加密处理。	音视频转码MCT-版权保护服务
MCT-回调HTTPS	安全	MCT	检测当前用户创建的转码模板是否启用了内容加密功能。	回调地址是HTTP，而非HTTPS。	回调地址推荐使用HTTPS。	通知管理
LSS-推流域名或源站未开启安全策略	安全	LSS	检测各域名是否配置了安全策略，并且安全策略是否均开启了推流认证和播放认证。	警告：域名未关联安全策略，或安全策略中未开启推流认证和播放认证。	建议：建议进入域名管理页面中，为相关域名配置关联安全策略，并将关联的安全策略开启推流认证和播放认证。	安全策略
BAEPRO-未配置HTTPS监听协议	安全	BAEPRO	针对BAE专业版中的应用的各个环境进行是否配置了HTTPS监听协议的检查。（注：当前仅进行“华北-北京”区域的应用检查）。	警告：应用中存在未配置HTTPS监听协议的环境。	建议立即配置HTTPS监听协议，并绑定有效SSL证书。	监听配置
CAS-SSL证书即将到期或者已经到期	安全	CAS	检测使用中的SSL证书是否有待续费的情况，如果证书到期未更换或付费，则届时无法使用到HTTPS/SSL的加密访问能力，会带来较大的安全隐患。	警告：存在待续费的使用中的SSL证书。 高危：存在已经过期的使用中的SSL证书。	建议尽快续费或者更换有风险的SSL证书。	证书管理
CAS-SSL免费证书升级	安全	CAS	检测使用中的SSL证书类型是否为在百度云申请的免费版DV证书，由于免费版证书协议支持单一，且不享受任何售后支持和安全赔付保障，建议您升级成专业版证书。	警告：使用中的SSL证书存在免费版的DV证书。	建议升级成专业版证书，可以提供更优质的安全保障。	申请证书
CDN-域名未开启HTTPS配置	安全	CDN	针对CDN的域名进行是否启动HTTPS配置的检查。	警告：域名未开启HTTPS配置。	建议立即开启HTTPS配置，并绑定有效SSL证书。	配置HTTPS
CCE-命名空间安全检查	安全	CCE	检查是否有相关设置使得容器存在以某些特权运行的情形。在 Kubernetes 中保护工作负载是整个集群安全的一个重要部分，总体目标应该是确保容器以尽可能少的特权运行。这包括避免权限提升、不使用 root 用户运行容器以及尽可能使用只读文件系统。	高危：命名空间存在如下情形：设置了hostIPC/hostPID，允许了特权升级，作为 root 账户执行，特权模式执行，capabilities 中有危险选项如 ALL/SYS_ADMIN/NET_ADMIN。 警告：命名空间没有设置文件系统为只读。	建议修改命名空间的相应特权设置。	集群服务画像
EIP-绑定安全风险	安全	EIP	检查EIP是否存在直接绑定BCC/BBC/DCC的情况，若直接绑定，可能会导致安全风险。	警告：EIP直接绑定BCC/BBC/DCC。	建议公网访问需求，通过 NAT网关或BLB实现，避免安全风险。	-

可用性检查项（40）

检查项	检查维度	关联服务	检查项含义	警报条件	优化建议	更多参考
BCC-实例停用	可用性	BCC	检测BCC实例中，是否有15天内（小于等于15天）即将过期的BCC实例或已经停用的实例。 BCC实例到期后，如果未完成续费操作，该BCC实例的服务将被暂停，并在7天后释放该实例。	警告：BCC实例中，有15天内即将即将过期的BCC实例。 高危：BCC实例中，有已经停用（包括已到期的预实例和欠费停用的后实例）的BCC实例。	如果您不打算继续使用即将过期或已到期的实例，建议您及时备份数据； 如果您希望继续使用即将过期或已到期的预付费实例，建议您提前续费，或开启自动续费； 如果您希望继续使用已停用的后付费实例，建议您及时为百度智能云账户充值。	BCC实例续费 百度智能云账户充值
BCC-可用区分布	可用性	BCC	检查所有实例的可用区分布，在有1个以上BCC分布的区域内，BCC是否至少有两个以上的可用区分布。 实例位于多个可用区可提高业务整体的可用性。	警告：在有1个以上BCC的区域内，只有一个可用区有BCC分布。	请将同一区域内的多个BCC实例分布在2个以上可用区。当前，BCC实例不能跨可用区迁移，您可在新建BCC实例时，选择与之前实例不同的可用区。	可用区
BCC-内存使用率过高	可用性	BCC	检查近3天内存平均使用率高于80%的BCC实例，内存使用率过高容易引起服务响应速度变慢、产生OOM等。	警告：在过去3天内，实例内存平均使用率高于80%。	建议您前往控制台-BCC页面提高实例配置、增加实例数量，或前往控制台-弹性伸缩页面开启Auto Scaling。	BCC监控 Auto Scaling BCC配置变更
CDS-云磁盘停用	可用性	CDS	检测是否存在15天内（小于等于15天）即将过期的CDS云磁盘或已经停用的实例。 CDS到期后，如果未完成续费操作，该云磁盘的服务将被暂停，并在7天后释放磁盘。	警告：存在15天内即将过期的CDS云磁盘。 高危：存在已经停用（包括已到期预实例和欠费停用后实例）的CDS云磁盘。	如果您不打算继续使用即将过期或已到期的CDS，建议您及时通过创建快照备份数据； 如果您希望继续使用即将过期或已到期的CDS，建议您提前续费，或开启自动续费； 如果您希望继续使用已停用的后付费CDS，建议您及时为百度智能云账户充值。	CDS续费与自动续费 CDS快照 百度智能云账户充值
CDS-快照时效	可用性	CDS	检查 （可用或使用中的）CDS的快照创建时间。新创建的快照通常具有更高的数据时效性。 CDS快照一直存放于对象存储BOS中，用于持久存储和时间点恢复。	警告：最新的CDS快照创建于距今在7 - 30 天之间。 高危：最新的CDS快照创建于 距今30 天或更久之前。 高危：CDS没有快照。	立即创建CDS快照，建议为CDS磁盘关联自动快照策略。	创建CDS快照 CDS自动快照策略
CDS-吞吐异动	可用性	CDS	检查您的 CDS吞吐是否存在异常的突增或突减。	警告: CDS流量吞吐存在异常变动。将1天内每个1小时的CDS吞吐与过去14天同一时段的CDS吞吐平均值对比，发现吞吐增加超过100%或减少超过50%。	考虑检查相关服务情况以确认CDS连接正常及性能利用情况	CDS监控
CDS-自动快照策略	可用性	CDS	检查云磁盘是否关联了自动快照策略，以防止意外删除或损坏。	警告：存在未关联自动快照策略的云磁盘。	建议将云磁盘关联自动快照策略，您可在磁盘列表页面为BCC实例下的磁盘关联自动快照策略	云磁盘自动快照策略
BLB-负载均衡	可用性	BLB	检查已经配置了后端服务器（BCC或DCC）的BLB，后端服务器数量、是否分布在不同可用区、在不同可用区分布是否均衡。 将BLB后端服务器分布在不同可用区可提高业务整体可用性。	警告：BLB后端服务器均分布在同一可用区。 警告：BLB后端服务器分布在不同可用区，但并不均衡（某一可用区服务器数量>服务器总数量70%）。 高危：BLB后端服务器只有1个。	BLB后端服务器数量应大于1个以充分发挥BLB的作用。 推荐将BLB后端服务器均衡得分布在不同可用区。	配置普通型BLB后端服务器 配置应用型BLB后端服务器 BLB产品优势
BLB-实例停用	可用性	BLB	检查后付费BLB实例是否已经到期。 过期的实例不可用，可能导致业务停止服务。	高危：BLB实例中，有已经停用（欠费停用的后付费实例）的BLB实例。	请检查实例的停用是否符合您的预期。如果您希望继续使用已停用的后付费实例，建议您及时为百度智能云账户充值。	百度智能云账户充值
BLB-5xx错误率高	可用性	BLB	检查7层BLB的5xx错误率是否过高。 BLB的5xx错误率高，可能代表业务的服务端出现异常	警告：最近14天内，出现4次及以上错误率过高的情况（1个小时内，5xx占比>5%）。	查看BLB监控详情，排查错误率高原因。	-
BOS-Bucket开启回收站	可用性	BOS	检查Bucket是否开启了回收站（Trash）功能。 为了提高BOS的数据可靠性，用户可以通过配置回收站的功能，保证删除后的数据在回收站内继续保留，用于后续对删除数据的找回。	警告：Bucket未开启回收站。	建议为大多数重要Bucket开启回收站功能。	Bucket回收站
BOS-Bucket额度即将达到上限	可用性	BOS	检查BOS的Bucket的数量额度是否快达到上限，如果达到上限则会导致创建Bucket失败。	警告：当前的Bucket数量达到上限的95%以上。	删除无用的Bucket或者提高Bucket数量额度。	额度管理
RDS-多可用区	可用性	RDS	检查RDS实例（不包括单机版RDS）是否部署在单个可用区中。 多可用区部署的RDS实例，通过同步复制到不同可用区中的备用实例来增强数据库可用性。	警告：RDS实例部署在单一可用区。	如果您的业务要求数据库具备更高可用性，您可以使用原有单可用区实例克隆出一个新的多可用区数据库实例。	RDS克隆实例 RDS多可用区实例
RDS-磁盘打满	可用性	RDS	根据数据库磁盘使用率的历史表现，预测未来数据库的使用趋势。 磁盘打满将影响写入，进而威胁服务可用性。	警告：存在过去30天内，存储空间持续增长并且涨幅超过10%，当前存储使用量在70%以上的实例。	存储空间持续增长或使用量高，推荐升级存储空间。	RDS 配置变更
RDS-实例停用	可用性	RDS	检测RDS实例中，是否有15天内（小于等于15天）即将过期的RDS实例或已经停用的实例。 RDS实例到期后，如果未完成续费操作，该RDS实例的服务将被暂停，并在7天后释放实例。	警告：RDS实例中，有小于等于15天即将过期的RDS实例。 高危：RDS实例中，有已经停用（包括已到期预实例和欠费停用后实例）的RDS实例。	如果您不打算继续使用即将过期或已到期的实例，建议您及时备份数据； 如果您希望继续使用即将过期或已到期的预付费实例，建议您提前续费，或开启自动续费； 如果您希望继续使用已停用的后付费实例，建议您及时为百度智能云账户充值。	RDS数据备份 RDS手动续费 RDS自动续费 账户充值
RDS-备份可用	可用性	RDS	检查RDS是否有自动备份或手动备份成功的可用备份数据；如果没有及时备份RDS数据，则可能出现数据需要恢复时无法正常恢复，造成数据丢失的问题。	高危：最新的备份文件状态不可用。 警告：最新的备份文件状态可用，但7天内存在不可用状态的备份文件。	建议排查备份失败的备份文件，并手动进行备份。	备份概述
SCS-多可用区	可用性	SCS	检查是否存在部署在单个可用区中的SCS实例。 SCS采用多可用区部署架构时，主节点与备节点分布在不同可用区，实现增强服务可用性。	警告：存在部署在单一可用区的SCS实例。	如果您的业务有高可用性要求，请将单可用区实例转换为多可用区实例。
SCS-实例停用	可用性	SCS	检测SCS实例中，是否有15天内（小于等于15天）即将过期或已经停用的实例。 SCS实例到期后，如果未完成续费操作，该实例将被暂停服务，并在7天后释放。	警告：SCS实例中，存在将于15天内过期的实例。 高危：SCS实例中，存在已经停用（包括已到期预实例和欠费停用后实例）的实例。	如果您不打算继续使用即将过期或已到期的实例，建议您及时备份数据； 如果您希望继续使用即将过期或已到期的预付费实例，建议您提前续费，或开启自动续费； 如果您希望继续使用已停用的后付费实例，建议您及时为百度智能云账户充值。	SCS续费 百度智能云账户充值
SCS-Redis实例连接数超限	可用性	SCS	检查Redis实例连接数是否过高。Redis实例连接数过高可能是设计需要，也可能是Redis选配不合理导致。	警告：过去一天的Redis实例连接数达到限额的80%。	建议检查相关实例，判断是否存在读写不合理的情况，或是升级Redis实例规格。	Redis规格
账户欠费	可用性	财务中心	检查账户欠费情况，给出充值建议，避免因欠费导致云盘资源不可访问，影响线上业务。	高危：账户已欠费。	为欠费的百度智能云账户充值。	百度智能云账户充值
LSS-CNAME配置检查	可用性	LSS	检测当前用户的域名是否正确配置CNAME。	警告：当前账号下，用户存在未正确配置CNAME的域名。	为了确保您能够正常推流和播放，请正确配置域名的CNAME。	配置CNAME
域名实名认证状态检测	可用性	BCD	检查域名注册后是否已完成实名认证，未完成域名实名认证，会导致添加的解析不生效，无法备案等。	警告：注册域名未完成实名认证。	建议进入域名管理页面中，完成对应域名实例的实名认证流程。	域名实名认证
CDN-域名容量巡检	可用性	CDN	检查当前账户小剩余可添加CDN域名实例数量，如果达到上限会无法继续添加域名。	警告：当前账户下域名配额余量<20%（每个账户上限2000个）。	删除无用域名配置或提交工单申请增加域名个数。	接入域名
CDN-错误率异常巡检	可用性	CDN	检查当前账户下的CDN域名实例错误率情况，如果错误率太高的话，业务访问可能存在异常风险。	警告：CDN域名实例错误率较高异常（近14天出现>=3次1小时内5xx占比>5%的情况）。	当前域名实例存在错误率高的情况，可先排查业务侧是否有异常或是否符合预期；如有帮助可以提交工单协助排查处。	状态码类数据
CDS-快照服务欠费	可用性	CDS	检查是否因为账户欠费导致快照策略失效。账户欠费会使得快照服务使用受限，快照数据也会在7天内清除；如果此时遇到服务器或磁盘需要进行数据恢复，则可能会产生无法恢复的情况。	高危：账号内存在自动快照链，且账户已经欠费。	建议您尽快为账户充值，或及时清理不需要的快照实例，避免浪费。	欠费提醒及使用限制
SMS-短信发送配额超限	可用性	SMS	检测账号下短信发送量，如果即将到达每日发送配额或每月发送配额，则存在超限风险，如果超限将停止发送短信。	警告：今日发送短信已达每日配额的90%或本月发送短信已达每月配额的90%。	建议控制后续的发送数量，如有需求请通过SMS控制台的系统设置提升配额。	发送配额配置
MCT-转码失败	可用性	MCT	检测MCT的视频转码任务是否存在执行失败。	高危：1天内转码失败10次。	建议查看转码失败的具体原因，并修复问题。	-
MCT-源文件问题导致转码失败	可用性	MCT	检测MCT的视频转码任务是否因为源文件问题导致错误码。	高危：1天内出现10个或以上源文件问题导致的错误码。	建议找出源文件的问题所在，并修复。	-
账户余额预估预警	可用性	财务中心	检查用户近30天的后付费消费水平，预估当前账户余额是否可以支撑未来7天以上的消费（不考虑代金券）；如果账户欠费，部分后付费资源的使用可能会受限，影响资源正常服务。	警告：预估账户余额无法支撑7天及以上的后付费消费。	建议您尽快为账户进行充值，避免部分服务由于欠费而无法正常服务。	财务充值
CCE-命名空间镜像检查	可用性	CCE	检查命名空间是否声明镜像版本（tag)，以及镜像拉取策略是否正确。 - 未声明镜像版本：检测镜像地址是否声明tag或者tag是latest。不指定tag可能会导致各种各样的问题，如同一时刻不同pod可能运行了不同的程序。另外，没有版本标识的镜像在发布时无法区分版本号，无法进行回滚操作。 - 镜像拉取策略不是always：依赖缓存的镜像可能会成为一个问题，尤其是配置了 latest 的 tag 时会直接使用本地缓存的镜像，不去拉取最新镜像。建议配置为 Always，不配置时默认就是 Always。	高危：命名空间镜像地址没有声明 tag或者 tag 为 latest。 警告：命名空间镜像拉取策略不是always。	建议为这些命名空间声明镜像版本（tag）或者配置镜像拉取策略为always。	集群服务画像
CCE-命名空间应用检查	可用性	CCE	检查命名空间是否配置了资源请求(request)、限制(limit)、readinessProbe 和 livenessProbe。设置适当的 request 将确保所有应用程序都有足够的计算资源，设置适当的 limit 将确保应用程序不会占用太多资源，readinessProbe 和 livenessProbe可以帮助维护运行在 Kubernetes 中应用程序的健康状态。	高危：如下6个值存在没有配置的情形，cpu resource request，cpu resource limit，memory resource request，memory resource limit，readinessProbe，livenessProbe。	建议配置命名空间缺少的相应值。	集群服务画像
BLB-后端服务停用	可用性	BLB	检查BLB绑定的后端服务器端口停用的实例数量及比例，判断是否会对业务的负载均衡造成影响。	高危：BLB绑定的后端服务器端口停用的实例达到100%。 警告：BLB绑定的后端服务器端口停用的实例超过50%。	建议根据实际业务判断服务器端口停用是否会对业务造成影响，可考虑重新启用后端服务器端口。
BOS-错误率异常巡检	可用性	BOS	检查BOS的5xx错误率是否过高。BOS的5xx错误率高，可能代表业务的服务端出现异常，或者网络错误。	警告: 最近14天内，出现4次及以上错误率过高的情况(1个小时内，5xx占比>5%)。	建议查看BOS监控详情，排查错误率高原因。	统计与监控
RDS-空间使用率过高	可用性	RDS	每一小时检查一次检查RDS数据空间磁盘使用率和系统空间磁盘使用率是否过高。如果数据磁盘空间使用100%，则RDS实例会被设置为只读模式，用户无法写入数据。如果系统空间磁盘使用100%，则因为磁盘写满导致无法继续写入数据。	警告：数据空间磁盘使用率或系统空间磁盘使用率在一天内超过80%的次数大于等于3次。	建议授权dba查看磁盘增长快速的原因。可尝试合理升配磁盘套餐，优化sql，清理异常产生的log文件系统磁盘。	RDS监控报警配置
BCC-磁盘使用率过高	可用性	BCC	检查过去一天BCC实例是否存在磁盘使用率过高的情况。若磁盘使用率较高，出现日志文件突增的情况，可能会导致服务器异常。	警告：存在BCC实例的磁盘使用率超过80%。	建议在原有磁盘容量基础上，扩充到您想要的目标容量。扩容磁盘后，之前磁盘上的数据仍会保留。	系统盘扩容 云磁盘定价
BBC-内存使用率过高	可用性	BBC	检查过去3天内存平均使用率高于90%的BBC实例，内存使用率过高容易引起服务响应速度变慢、产生OOM等。	警告：过去3天内存平均使用率高于90%的BBC实例。	建议您查看占用内存大的资源，若需要更高配的BBC支持您的业务，可以前往控制台-BBC页面考虑更换性能更好的实例，并将现有业务迁移至新的实例，或者将业务进行拆分，部署到不同的BBC上使用。	购买弹性裸金属服务器 监控
BBC-空间使用率过高	可用性	BBC	检查过去一天HOME磁盘空间使用率和根磁盘空间使用率。	警告：过去一天内出现3次及以上磁盘使用率超过90%的情况。	建议您查看磁盘中是否存在日志突增等情况，若经检查确认磁盘空间无法满足业务需求，可以前往控制台-BBC页面购买更多BBC实例，并将现有业务进行拆分，部署到不同的BBC上使用。	购买弹性裸金属服务器 监控
EIP-实例不可用	可用性	EIP	检查EIP实例的状态，若为不可用，则可能受到DDOS攻击或账户欠费。	警告：检测过去一天EIP的状态为「不可用」。	建议您检查短信等接收信息的渠道确认是否收到DDOS攻击超出阈值的消息，若不是受到攻击，请检查账户是否欠费，若无法排查原因，请提交工单处理。	弹性公网IP实例
BOS-存储读写异常	可用性	BOS	检查过去7天内BOS的各类存储读写异常数的比例，每小时检查一次。包括标准存储，归档存储，低频存储，冷存储。	警告：检查过去7天内BOS的各类存储读写异常数的比例，有4天或以上读写错误率在5%以上的情况。	读写请求错误可能由于网络抖动、上传文件中断、内部异常等，需要根据实际的情况来判断。建议您通过重试来尝试解决，若错误率持续较高，建议通过提交工单并提供具体请求返回的requestiid，bucketname，时间点等信息来具体排查。	BOS-管理控制台 BOS-统计与监控
配额检查	可用性	配额中心	检查产品数量是否达到配额数量的80%，则向您发出警告。	警告：检查产品数量是否达到配额数量的80%。	建议合理规划资源使用情况或提工单提升配额。	配额中心

成本检查项（16）

检查项	检查维度	关联服务	检查项含义	警报条件	优化建议	更多参考
BCC-低使用率	成本	BCC	检查在过去14天内运行的 BCC 实例，如果在14 天内有4 天以上，每天CPU 平均使用率未超过10%，且网络 I/O 未超过 5 MB，则向您发出警告，避免成本浪费。检查在过去 14 天内时间运行的 BCC实例，如果实例在4天以上的时间，每天CPU 使用率未超过10%，且网络 I/O 未超过 5 MB，则向您发出警告，避免成本浪费。	警告：在过去 14 天中至少有 4 天，实例日均 CPU 使用率未超过 10%，且网络 I/O 未超过 5 MB。	考虑降低实例配置、释放实例，或通过使用 Auto Scaling 调控实例。 注：当前后付费实例支持升配和降配，预付费实例只支持升配。 开启Auto Scaling请前往弹性伸缩产品页面。	BCC配置变更 BCC监控
BCC-内存低使用率	成本	BCC	检查近3天内存平均使用率低于10%的BCC实例。	警告：在过去3天内，实例内存平均使用率低于10%。	建议您前往控制台-BCC页面降低实例配置、减少实例数量，或前往控制台-BCC页面开启Auto Scaling。	BCC配置变更 BCC监控 Auto Scaling
CDS-未挂载的云磁盘	成本	CDS	检查是否存在处于待挂载状态的CDS云磁盘资源。 磁盘从创建时就开始收费，未挂载的CDS将造成资源成本浪费。	警告：存在未挂载的CDS资源。	如果希望继续使用未挂载的CDS云磁盘，尽快将CDS挂载到BCC实例。 如果确认不再使用未挂载的CDS云磁盘，为CDS创建快照后，释放云磁盘。	挂载CDS云磁盘 CDS快照
CDS-低使用率	成本	CDS	检查已挂载的CDS云磁盘是否存在使用率低的问题。 如果磁盘读写活动非常少，则该磁盘很可能处于未被充分使用状态，造成资源成本浪费。	警告：已挂载的CDS磁盘在过去 7 天里没有任何读写。	如果您不打算继续使用低使用率的CDS，建议您及时通过创建快照备份数据，并释放磁盘； 如果您继续使用使用低使用率的CDS，可以考虑检查相关服务情况以提升CDS利用率。	CDS快照 CDS监控
CDS-过期的快照实例	成本	CDS	检查CDS的快照创建时间，时效性过久的快照对于数据恢复意义并不大，而且还会产生额外的费用。	警告：CDS快照创建时间距今超过30天。	请先确认此快照实例是否有用，如果无用则可进行删除；如果过期的快照实例是手动创建，可直接删除此实例，如果是关联快照策略，可修改自动快照策略中的“保留时间”；如果数据有用仅为冷备，则建议转存到BOS的低频存储或冷存储或归档存储中，以降低费用。	快照相关操作
EIP-未绑定的弹性公网IP	成本	EIP	检查是否存在未绑定的弹性公网IP。 若弹性公网IP处于闲置状态（未绑定任何BLB及主机），会产生不必要的成本。	警告：存在未绑定的EIP。	请将该EIP实例绑定BCC或BLB，或释放该EIP。	将EIP实例与BCC实例绑定 将EIP实例与BLB实例绑定/解绑 释放EIP实例
EIP-使用率低	成本	BLB	检查已绑定BLB或BCC的EIP的带宽使用率是否过低。 当带宽使用率较低时，会造成资源成本的浪费。	警告：EIP在过去14 天中出向带宽使用率和入向带宽使用率都不超过20%。	请通过增加已绑定的云服务器或BLB流量的方式提高EIP的资源利用率，或如果确认不使用，可以释放该资源。	查看EIP监控数据
BLB-没有后端服务器	成本	BLB	检查未配置有效后端服务器（BCC或DCC）的BLB。 任何已购买的BLB都会产生费用，未充分利用将产生不必要成本。	警告：BLB没有配置任何后端服务器。 警告：BLB没有正常运行的后端实例，即所有后端服务器均未通过健康检查（当前此条警告只针对普通型BLB不包括应用型BLB）。	如果您的BLB没有正常运行的后端实例，则考虑配置后端服务器删除BLB。	配置普通型BLB后端服务器 配置应用型BLB后端服务器
RDS-闲置实例	成本	RDS	检查可能存在闲置的RDS实例。如果RDS实例长时间处于连接数极低状态，您可以释放该实例以降低成本。	警告：处于活跃状态的RDS实例在过去7天内连接数都小于等于2个。	如如果您确认RDS实例是否处于闲置状态，且不打算继续使用，请创建数据备份，并将数据导出，然后释放该实例。	RDS数据备份
SCS-闲置实例	成本	SCS	检查是否存在可能闲置的SCS实例。如果SCS实例长时间没有任何缓存访问请求，表示该实例可能存在闲置。	警告：处于运行状态的SCS实例在过去7天内命中率为零。	建议排查SCS没有缓存访问请求的原因。如果确定不再使用实例，先为闲置的SCS实例创建数据备份，并将数据导出，然后释放该实例。
共享带宽-使用率低	成本	共享带宽、EIP	检查EIP共享带宽包中网络带宽使用率是否过低。 当带宽使用率较低时，会造成资源成本的浪费。	警告：共享带宽在过去14 天中出向带宽使用率和入向带宽使用率都不超过20%。	请通过增加已绑定的云服务器或BLB流量、绑定更多云服务器或BLB等方式提高共享带宽的资源利用率，或如果确认不使用，可以释放该资源。	查看共享带宽监控数据 将共享EIP实例与BCC/DCC/BLB实例绑定
对等连接-使用率低	成本	对等连接	检查对等连接的带宽使用率是否过低。 当带宽使用率较低时，会造成资源成本的浪费。	警告：对等连接在过去14 天中出向带宽使用率和入向带宽使用率都不超过20%	释放对等连接，或提高对等连接利用率	查看监控数据
代金券即将过期	成本	财务中心	检查是否有即将到期的代金券，如果过期则无法使用。	警告：存在7天内即将到期的代金券。	为建议进入“财务中心”-“代金券”中进行查看并尽快使用，避免造成不必要的损失。	查看代金券
CAS-闲置证书	成本	CAS	检测当前管理中的SSL证书是否有还未使用的，如果没有使用则此SSL证书处于闲置状态，可能会带来资源和成本的浪费。	警告：存在未使用的SSL证书。	建议将未使用的SSL证书进行绑定部署。	部署证书
SCS-CPU使用率过低	成本	SCS	检查在过去7天内运行的 SCS 实例，如果CPU使用量过低，则向您发出警告，避免成本浪费。	警告：在过去7天中至少有4天，实例日均CPU使用率未超过10%。	建议您前往云数据库SCS管理控制台降低实例配置，减少实例数量。仅后付费的实例支持实例降配，若实例为预付费方式，可先转为后付费方式再进行降配操作。	实例规格 变更配置 变更计费说明
SCS-内存使用率过低	成本	SCS	检查在过去7天内运行的 SCS 实例，如果内存使用量过低，则向您发出警告，避免成本浪费。	警告：在过去7天中至少有4天，实例日均内存使用率未超过10%。	建议您前往云数据库SCS管理控制台降低实例配置，减少实例数量。仅后付费的实例支持实例降配，若实例为预付费方式，可先转为后付费方式再进行降配操作。	实例规格 变更配置 变更计费说明

性能检查项（19）

检查项	检查维度	关联服务	检查项含义	警报条件	优化建议	更多参考
BCC-高使用率	性能	BCC	检查在过去14天内运行的 BCC 实例，如果在14 天内有4 天以上，每天CPU 平均使用率为90%以上，则将向您发出警告。 持续的高使用率可能表示BCC性能稳定、得到充分利用，但也可能表示应用程序拥有的资源不足。	警告：实例在过去14 天中至少有 4 天日均 CPU 使用率超过 90%。	提高实例配置、增加实例数量，或开启Auto Scaling。 开启Auto Scaling请前往弹性伸缩产品页面。	BCC配置变更 BCC监控 Auto Scaling
CDS-高使用率	性能	CDS	检查CDS云磁盘是否存在过度使用的问题，以及是否应当使用性能更优的CDS云磁盘。 过高的CDS使用率可能带来性能瓶颈。	警告：在过去14天的至少7天内，（非顶配的）CDS云磁盘每日IO使用率大于 95%。	选择更高性能的CDS云磁盘类型。普通磁盘考虑升级到高性能磁盘；高性能磁盘考虑升级到SSD磁盘。	CDS磁盘类型 CDS监控
RDS-高使用率	性能	RDS	根据RDS实例的CPU、连接数、IO使用率历史表现，预测未来数据库的性能趋势，在性能瓶颈出现前，提前给出合理的规格建议。	警告：存在过去24小时内，CPU使用率超过70% 或连接数超过70% 并且累计超过60分钟的实例。	CPU及连接数高，推荐升级CPU内存配置。	RDS 配置变更
RDS-慢SQL报表/诊断	性能	RDS	检查用户是否开启了RDS for MySQL（不包括单机版RDS）的慢SQL报表/诊断功能。 慢SQL指执行时间过长的SQL语句，出现慢SQL会影响运行性能。	警告：存在RDS for MySQL未开启慢SQL报表/诊断功能。	在RDS实例详情-日志管理页面开启RDS for MySQL的慢SQL报表/诊断功能后，您可以通过日志管理查看慢日志明细，定位和解决性能问题。	慢SQL报表/诊断
SCS-CPU使用率过高	性能	SCS	检查是否存在SCS实例CPU使用率过高的情况，根据SCS实例使用情况，在性能瓶颈出现前，提前给出合理的规格建议。	警告：检查近14天的CPU使用率，有4天以上CPU使用率>90%	若CPU使用率过高，建议您及时进行配置升级。	-
SCS-内存使用率过高	性能	SCS	检查是否存在SCS实例内存使用率过高的情况，根据SCS实例使用情况，在性能瓶颈出现前，提前给出合理的规格建议。	警告：检查近14天的CPU和内存使用率，有4天以上内存使用率>90%	若内存使用率过高，建议您及时进行配置升级。	-
EIP-使用率高	性能	EIP	检查已绑定BLB或BCC的EIP网络流出带宽使用率是否过高。 当带宽使用率过高时，有可能发生丢包、服务响应时间延长等问题。	警告：EIP在过去14 天中至少有 4 天日均出向带宽使用率或入向带宽使用率超过80%。	您可查看EIP的监控数据，排查是否存在异常，然后按照需要对EIP做带宽升级。	查看EIP监控数据 升级EIP实例带宽
BLB-响应时延突增	性能	BLB	检查BLB实例的响应时延（RT）是否存在突然的增长。 RT的突增可能说明服务发生了变更导致相应时间的变化，或服务因某种故障导致响应变慢。	警告：近14天内，出现3次或以上响应延迟突增的情况（BLB延迟日均值相比前一天的BLB延迟日均值增长50%以上）。	查看BLB监控详情，排查响应时延高原因。	-
共享带宽-使用率高	性能	共享带宽、EIP	检查EIP共享带宽包中网络带宽使用率是否过高。 当带宽使用率过高时，有可能发生丢包、服务响应时间延长等问题。	警告：共享带宽在过去14 天中至少有 4 天日均出向带宽使用率或入向带宽使用率超过80%。	您可查看共享带宽包的监控数据，排查是否存在异常，然后按照业务需要对共享带宽包做带宽升级。	查看共享带宽监控数据 将共享EIP实例与BCC/DCC/BLB实例绑定
对等连接-高使用率	性能	对等连接	检查对等连接的带宽使用率是否过高。 当带宽使用率过高时，有可能发生丢包、服务响应时间延长等问题。	高危：对等连接在过去14 天中至少有 4 天日均 出向带宽使用率或入向带宽使用率超过80%	对等连接带宽升级，提升对等连接带宽上限	查看监控数据
CDN-缓存规则配置巡检	性能	CDN	检测是否有缓存配置。 该配置影响静态加速性能。	警告：域名未配置任何相关缓存规则	检测到您当前账号下CDN域名实例未配置相关缓存规则（未配置缓存规则可能会影响加速性能），为了提高加速效果，请您检查缓存过期时间配置和忽略参数配置，及时增加缓存规则。如符合业务预期，请忽略。	配置缓存过期时间 配置忽略参数
CDN-可预热容量巡检	性能	CDN	检测当前账户下CDN可预热数量剩余。 预热业务存在无法正常工作的风险。	当前账号下，CDN刷新预热数量剩余已不足10%。	检测您当前账号下CDN预热数量剩余已不足10%，为避免您的预热业务受到影响，请提工单申请配额。可通过提交工单申请增加账户预热数量。	缓存预加载
CDN-可刷新URL容量巡检	性能	CDN	检测到当前账号下CDN刷新URL数量剩余量。 URL刷新业务存在无法正常工作的风险。	警告：当前账号下，CDN刷新URL数量剩余已不足10%。	您当前账号下CDN刷新URL数量剩余已不足10%，为避免您的刷新业务受到影响，请提升配额。可通过提交工单申请增加账户刷新URL数量。	缓存清除
CDN-缓存命中率异常巡检	性能	CDN	检查当前账户下的CDN域名实例命中率指标情况，如果命中率指标低于50%的话，业务访问性能可能会受到影响。	警告：CDN域名实例命中率指标较低警告（近14天出现>=3次1小时内命中率<50%的情况）。	当前域名实例存在命中率低的情况，可先排查业务侧是否有异常或是否符合预期；如有帮助可以提交工单协助排查处理。	命中率类数据 缓存配置
MCT-队列容量	性能	MCT	检测当前用户创建的任务队列容量。 队列容量达到上限后，将不能添加进行中的转码任务。	警告：用户队列容量已使用超过80%	提交工单申请扩容队列容量	管理队列
CCE-命名空间网络检查	性能	CCE	检查命名空间是否配置了可以访问主机网络空间的pod，以及是否设置了hostPort属性。 - 配置了可以访问主机网络空间的pod：检查hostNetwork是否启用，在启用 hostNetwork 属性的情况下运行的 pod 将可以访问环回设备、监听本地主机的服务，并可用于窥探同一节点上其他 pod 的网络活动。一些特殊的系统组件可以将hostNetwork设置为true，如node-exporter。 - 开启了hostPortSet: 在容器上设置 hostPort 属性将确保它可以在部署到的每个节点上的特定端口上访问。但如果指定了 hostPort 将限制在集群中调度pod的能力。	警告：设置了 hostNetwork或者设置了 hostPort。	建议为命名空间取消设置hostNetwork和 hostPort。	集群服务画像
BBC-CPU使用率过高	性能	BBC	检查在过去7天内运行的BBC实例，持续的高使用率可能表示BBC性能稳定、得到充分利用，但也可能表示应用程序拥有的资源不足。	警告：实例在过去7天中至少有 4 天日均 CPU 使用率超过 90%。	建议您查看CPU使用率较大的资源，若需要更高配的BBC支持您的业务，可以前往控制台-BBC页面考虑更换性能更好的实例，并将现有业务迁移至新的实例，或者将业务进行拆分，部署到不同的BBC上使用。	购买弹性裸金属服务器 监控
专线ET-使用率过高	性能	专线ET	检查过去1天内专线ET的使用率情况，如果使用率峰值超过80%，则向您发出警告。	警告：在过去1天内，专线ET的网关带宽使用率峰值超过80%。	若专线ET的使用率过高，建议您升级专线网关带宽配置或扩容专线带宽。	-
专线ET-丢包率检查	性能	专线ET	检查过去1天内专线ET的丢包率情况，如果有丢包率峰值超过1%，则向您发出警告。若丢包率异常可能会影响业务流畅。	警告：在过去1天内，专线ET的网关丢包率峰值超过1%。	若专线ET的丢包率异常，建议联系专线供应商，排查专线问题，避免业务受到影响。	-