云服务器内容精选
-
约束与限制 仅DAYU Administrator、Tenant Administrator或者数据安全管理员可以执行还原操作，其他普通用户无权限操作。 由于 MRS 纳管角色是继承的MRS数据源已有角色，非定义的数据安全数据，因此删除的纳管角色数据不会进入回收站。 权限集和动态脱敏策略被删除进入回收站后，将同步状态将统一置为未同步，从回收站还原后也需要手动进行同步才能生效。 回收站中的数据最多保存30天，删除时间超过30天的数据将被自动清理。 单实例下回收站中的权限集和动态脱敏策略分别最多保存1000条数据，超过1000条后会自动清理更早删除的数据。 数据还原操作时，如果“同名处理方式”参数配置为“名称添加时间戳”，则如果同名会在还原数据的原名称后添加时间戳信息（原名称_13位时间戳）。如果添加时间戳后总长度超过64，会对原名称进行截断操作，确保总长度不会超出64的限制。 从回收站还原被误删的权限集时，会校验权限集之间的关联关系，若不满足则无法还原。例如某权限集的父权限集已被删除，则其无法直接还原，必须先还原父权限集。 批量还原时，每次最多还原20条数据。
-
还原回收站数据 在 DataArts Studio 控制台首页，选择实例，单击“进入控制台”，选择对应工作空间的“数据安全”模块，进入数据安全页面。 图1 选择数据安全 单击左侧导航树中的“回收站”，进入回收站页面。 图2 进入回收站页面 在回收站页面，您可以通过切换页签，查看并还原已删除的权限集（包含空间权限集、权限集以及通用角色）或动态脱敏策略数据。 不同数据还原时的操作基本一致，后续步骤以还原权限集数据为例，为您介绍如何还原数据。 在权限集页签，找到待还原的权限集，单击列表操作栏中的“还原”进行数据还原。或者勾选待还原的权限集，单击列表上方的“还原”，进行批量还原。 图3 数据还原 在弹出的确认窗口中，您需要选择同名处理方式，以避免还原的数据与现有数据冲突。然后单击“确定”，完成数据的还原。 报错：如果有重名数据，则报错且不还原重名的数据。 名称添加时间戳：如果有重名数据，则在还原数据的原名称后添加时间戳信息（原名称_13位时间戳）。如果添加时间戳后总长度超过64，会对原名称进行截断操作，确保总长度不会超出64的限制。 图4 选择同名处理方式 完成还原后，您可以在相应空间权限集、权限集、通用角色或动态脱敏策略的入口，检查还原后的数据，并手动进行同步，以确保还原后的数据生效。
-
开启敏感操作保护 操作保护默认关闭，您可以参考以下步骤开启操作保护。 登录 GaussDB (DWS)管理控制台。 在“控制台”页面，鼠标移动至右上方的用户名，在下拉列表中单击“安全设置”。 在“安全设置”页面中，切换至“敏感操作”页签，单击“操作保护”区域的“立即启用”。 图1 敏感操作 在“操作保护设置”页面中，选择“开启”，单击“确定”后，开启操作保护。 用户如果进行敏感操作，将进入“操作保护”页面，选择认证方式，包括邮箱、手机和虚拟MFA三种认证方式。 如果用户只绑定了手机，则认证方式只能选择手机。 如果用户只绑定了邮箱，则认证方式只能选择邮件。 如果用户未绑定邮箱、手机和虚拟MFA，进行敏感操作时，系统将提示用户绑定邮箱、手机或虚拟MFA。 如需修改验证手机号、邮件地址，请在账户中心修改。详情请参见 IAM 基本信息。 当您开启操作保护，在进行敏感操作时，系统会先进行敏感操作保护。 例如在您进行删除集群操作时，会弹出敏感操作保护验证框，需要选择一种验证方式进行验证，避免误操作带来的风险和损失。
-
服务韧性 华为云数据中心按规则部署在全球各地，所有数据中心都处于正常运营状态，无一闲置。数据中心互为灾备中心，如一地出现故障，系统在满足合规政策前提下自动将客户应用和数据转离受影响区域，保证业务的连续性。为了减小由硬件故障、自然灾害或其他灾难带来的服务中断，华为云为所有数据中心提供灾难恢复计划。 当发生故障时，CFW的五级可靠性架构支持不同层级的可靠性，因此具有更高的可用性、容错性和可扩展性。 华为云CFW已面向全球用户服务，并在多个分区部署，同时CFW的所有管理面、引擎等组件均采用主备或集群方式部署。分区部署详情参见地区和终端节点。 父主题： 安全
-
应用场景 HTTPS协议是由TLS（Transport Layer Security，传输层安全性协议）+HTTP协议构建的可进行加密传输、身份认证的网络协议。当 域名 接入WAF时，如果客户端采用HTTPS协议请求访问服务器，即防护域名的“对外协议”配置为“HTTPS”时，您可以通过为域名配置最低TLS版本和加密套件来确保网站安全，详细说明如下： 最低TLS版本 最低TLS版本是客户端通过TLS访问网站时，被允许访问网站的最低TLS版本。配置最低TLS版本后，只有满足最低TLS版本的请求，才能正常访问网站，可以满足行业网站的安全需求。 截止目前，TLS已发布了三个版本（TLS v1.0、TLS v1.1、TLS v1.2），TLS v1.0和TLS v1.1版本由于发布时间久远，某些加密算法（如SHA1、RC4算法）很容易被黑客攻击，且在性能上，TLS v1.0和TLS v1.1已经无法满足呈几何级增长的数据传输加密，存在安全隐患。同时，为了保障通信协议的安全，满足支付卡行业数据安全标准（PCI DSS），支付卡行业安全标准委员会（PCI SSC）规定，TLS v1.0安全通信协议于2018年6月30日不再生效。火狐、Safari、Chrome、Edge等主流浏览器厂商也声明将于2020年全面停止支持TLS v1.0和TLS v1.1。 您可以通过查看网站TLS版本，检测网站支持的TLS版本。 加密套件 加密套件是多种加密算法的集合。配置安全性更高的加密套件，可以保障网站的保密性和数据完整性。
-
支持配置的最低TLS版本说明 WAF默认配置的最低TLS版本为“TLS v1.0”，为了确保网站安全，建议您根据业务实际需求进行配置，支持配置的最低TLS版本如表2所示。 表2 支持配置的最低TLS版本说明 场景 最低TLS版本（推荐） 防护效果 网站安全性能要求很高（例如，银行金融、证券、电子商务等有重要商业信息和重要数据的行业） TLS v1.2 WAF将自动拦截TLS v1.0和TLS v1.1协议的访问请求。 网站安全性能要求一般（例如，中小企业门户网站） TLS v1.1 WAF将自动拦截TLS1.0协议的访问请求。 客户端APP无安全性要求，可以正常访问网站 TLS v1.0 所有的TLS协议都可以访问网站。
-
支持配置的加密套件说明 WAF默认配置的加密套件为“加密套件1”，可以满足浏览器兼容性和安全性，各加密套件相关说明如表3所示。 表3 加密套件说明 加密套件名称 支持的加密算法 不支持的加密算法 说明 默认加密套件 说明： WAF默认给网站配置的是“加密套件1”，但是如果请求信息不携带sni信息，WAF就会选择缺省的“默认加密套件”。 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL DH EDH AESGCM 兼容性：较好，支持的客户端较为广泛 安全性：一般 加密套件1 ECDHE-ECDSA-AES256-GCM-SHA384 HIGH MEDIUM LOW aNULL eNULL DES MD5 PSK RC4 kRSA 3DES DSS EXP CAMELLIA 推荐配置。 兼容性：较好，支持的客户端较为广泛 安全性：较高 加密套件2 EECDH+AESGCM EDH+AESGCM - 兼容性：一般，严格符合PCI DSS的FS要求，较低版本浏览器可能无法访问。 安全性：高 加密套件3 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-SHA384 RC4 HIGH MD5 aNULL eNULL NULL DH EDH 兼容性：一般，较低版本浏览器可能无法访问。 安全性：高，支持ECDHE、DHE-GCM、RSA-AES-GCM多种算法。 加密套件4 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL EDH 兼容性：较好，支持的客户端较为广泛 安全性：一般，新增支持GCM算法。 加密套件5 AES128-SHA:AES256-SHA AES128-SHA256:AES256-SHA256 HIGH MEDIUM LOW aNULL eNULL EXPORT DES MD5 PSK RC4 DHE 仅支持RSA-AES-CBC算法。 加密套件6 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 - 兼容性：一般 安全性：较好 WAF提供的加密套件对于高版本的浏览器及客户端都可以兼容，不能兼容部分老版本的浏览器。TLS版本不同，加密套件的浏览器或客户端兼容情况也不同。以TLS v1.0协议为例，加密套件的浏览器及客户端兼容性说明如表4所示。 建议您以实际客户端环境测试的兼容情况为准，避免影响现网业务。 表4 加密套件不兼容的浏览器/客户端参考说明（TLS v1.0） 浏览器/客户端 默认加密套件 加密套件1 加密套件2 加密套件3 加密套件4 加密套件5 加密套件6 Google Chrome 63 /macOS High Sierra 10.13.2 × √ √ √ × √ √ Google Chrome 49/ Windows XP SP3 × × × × × √ √ Internet Explorer 6/Windows XP × × × × × × × Internet Explorer 8/Windows XP × × × × × × × Safari 6/iOS 6.0.1 √ √ × √ √ √ √ Safari 7/iOS 7.1 √ √ × √ √ √ √ Safari 7/OS X 10.9 √ √ × √ √ √ √ Safari 8/iOS 8.4 √ √ × √ √ √ √ Safari 8/OS X 10.10 √ √ × √ √ √ √ Internet Explorer 7/Windows Vista √ √ × √ √ × √ Internet Explorer 8～10/Windows 7 √ √ × √ √ × √ Internet Explorer 10/Windows Phone 8.0 √ √ × √ √ × √ Java 7u25 √ √ × √ √ × √ OpenSSL 0.9.8y × × × × × × × Safari 5.1.9/OS X 10.6.8 √ √ × √ √ × √ Safari 6.0.4/OS X 10.8.4 √ √ × √ √ × √
-
资源与成本规划 表1 资源和成本规划 资源 资源说明 每月费用 Web应用防火墙 云模式-标准版： 计费模式：包年/包月 域名数量：10个防护域名（最多支持1个一级域名） QPS配额：2,000QPS业务请求 支持带宽峰值：云内100Mbps/云外30Mbps 独享模式： 计费模式：按需计费 域名数量：2,000个（支持2,000个一级域名） WAF实例规格选择WI-500，参考性能： HTTP业务：建议QPS 5,000；极限QPS 10,000 HTTPS业务：建议QPS 4,000；极限QPS 8,000 Websocket业务：支持最大并发连接5,000 最大回源长连接：60,000 WAF实例规格选择WI-100，参考性能： HTTP业务：建议QPS 1,000；极限QPS 2,000 HTTPS业务：建议QPS 800；极限QPS 1,600 Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 具体的计费方式及标准请参考计费说明。
-
安全评估 对于Web站点及关键主机，建议定期进行安全评估(安全体检服务-专业安全评估)，以及时发现、规避安全风险。 服务测试范围包括： 网站类：SQL注入、XSS跨站、文件包含、任意文件上传、任意文件下载、Web弱口令、服务弱口令。 主机类：远程 漏洞扫描 、弱口令扫描、高危端口识别、高危服务识别、基线检查。 华为安全专家团队会对专业机构提交的体检报告进行审核，引导专业机构提高服务质量，给客户更佳的用户体验。 提供准确的漏洞信息和对应的修复建议，并可为用户定制整体安全解决方案，帮助用户构筑完善的安全防御机制。
-
网站监控 非法篡改监控(监测网页篡改行为，特别是一些越权篡改、暗链篡改等)。 坏链检测（如链接目的页面已经删除或转移;网站搬家导致链接无效，设置静态链接导致原内文章链接地址无法访问等）。 脆弱性检测（SQL注入、XSS跨站、文件包含、敏感信息泄露、任意文件下载等）。 可用性检测（通过全国多地监测和DNS解析监测监控网站的可用性）。 对外服务开放监测（定期对网站开放服务进行扫描，检测是否开放多余服务）。 敏感内容审计（定期对网站内容进行检测，对出现敏感内容页面进行告警）。 协同预警（协同技术小组根据最新漏洞与威胁跟踪结果提供预警）。
-
安全评估 对于Web站点及关键主机，建议定期进行安全评估(安全体检服务-专业安全评估)，以及时发现、规避安全风险。 服务测试范围包括： 网站类：SQL注入、XSS跨站、文件包含、任意文件上传、任意文件下载、Web弱口令、服务弱口令。 主机类：远程漏洞扫描、弱口令扫描、高危端口识别、高危服务识别、基线检查。 华为安全专家团队会对专业机构提交的体检报告进行审核，引导专业机构提高服务质量，给客户更佳的用户体验。 提供准确的漏洞信息和对应的修复建议，并可为用户定制整体安全解决方案，帮助用户构筑完善的安全防御机制。
-
网站监控 非法篡改监控(监测网页篡改行为，特别是一些越权篡改、暗链篡改等)。 坏链检测（如链接目的页面已经删除或转移，网站搬家导致链接无效，设置静态链接导致原内文章链接地址无法访问等）。 脆弱性检测（SQL注入、XSS跨站、文件包含、敏感信息泄露、任意文件下载等）。 可用性检测（通过全国多地监测和DNS解析监测监控网站的可用性）。 对外服务开放监测（定期对网站开放服务进行扫描，检测是否开放多余服务）。 敏感内容审计（定期对网站内容进行检测，对出现敏感内容页面进行告警）。 协同预警（协同技术小组根据最新漏洞与威胁跟踪结果提供预警）。
-
安全策略 如图1 开发测试环境网络ACL分布图所示，网络ACL“NACL-DEV-APP”关联开发测试环境子相应网，需严格按照最小化的原则控制访问生产环境的出方向策略，限制其仅能访问生产环境中特定的[IP]:[PORT]；对于由生产环境发起的对开发测试环境的入方向策略，这里可以根据实际情况设置稍弱的访问控制策略。 强的、安全性高的、复杂的访问控制策略，会一定程度增加部署配置及运维成本，可以根据企业自身情况适当减少策略。 图1 开发测试环境网络ACL分布图 与生产环境边界的策略主要包括对PRD-DMZ区、对PRD-应用区、对PRD-DB区的策略，详细请参考下方表1 网络ACL“NACL-DEV-APP”出方向与表2。 本节中提到的IP地址及端口号仅为示例，如有其它业务流，可根据实际情况增加策略。本节仅涉及开发测试区与生产环境策略。 表1 网络ACL“NACL-DEV-APP”出方向 规则 # 目的 IP 协议 目的端口 允许/拒绝 说明 对PRD-DMZ区 172.22.7.0/24 TCP 1433 允许 允许测试环境子网中的 VM访问生产环境PRD-DMZ区中服务器1433端口进行软件/代码推送更新。 对PRD-应用区 172.22.8.0/24 TCP 2433 允许 允许测试环境子网中的 VM访问生产环境PRD-应用区中服务器2433端口进行软件/代码推送更新。 对PRD-DB区 172.22.9.0/24 TCP 3443 允许 允许测试环境子网中的 VM访问生产环境PRD-DB区中服务器3443端口进行软件/代码推送更新。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则处理的入站数据流。 表2 网络ACL“NACL-DEV-APP”入方向 规则 # 源 IP 协议 目的端口 允许/拒绝 说明 对PRD-DMZ区 172.22.7.0/24 TCP ANY 允许 允许生产环境PRD-DMZ区中的 VM访问本区域中服务器任意TCP端口。 对PRD-应用区 172.22.8.0/24 TCP ANY 允许 允许生产环境PRD-应用区中的 VM访问本区域中服务器任意TCP端口。 对PRD-DB区 172.22.9.0/24 TCP ANY 允许 允许生产环境PRD-DB区中的 VM访问本区域中服务器任意TCP端口。 * 0.0.0.0/0 ANY ANY 拒绝 拒绝所有未经前置规则 (不可修改) 处理的出站数据流。 安全组策略请见2.1节中相关内容。
-
网络拓扑 数据规划如下： 表1 数据规划 序号 产品 数量 规格 1 虚拟私有云（VPC） 1 192.168.0.0/16 子网（subnet） 1 192.168.0.0/24 2 弹性云服务器（E CS ） 2 1vCPUs 1GB CentOS 7.4 64bit 子网IP（subnet IP） 2 ecs-HA1：192.168.0.10 ecs-HA2：192.168.0.20 3 弹性公网IP（EIP） 1 122.xx.xx.189 虚拟IP（VIP） 1 192.168.0.100 实现方式如下： 将2台同子网的弹性 云服务器配置 Keepalived，一台为主服务器，一台为备份服务器。 将这2台弹性云服务器绑定同一个虚拟IP。 将虚拟IP与弹性公网IP绑定，从互联网可以访问绑定了该虚拟IP地址的主备云服务器。 图1 组网图
-
验证结果 执行reboot分别重启ecs-HA1和ecs-HA2。 通过管理控制台远程登录到ecs-HA1。 执行以下命令，查看虚拟IP是否有绑定到ecs-HA1的eth0网卡上。 ip addr show 如图5，表示虚拟IP已经绑定到ecs-HA1的eth0网卡上。 图5 查看ecs-HA1的虚拟IP 通过浏览器访问弹性公网IP，验证是否可以访问到ecs-HA1节点上的Web页面。 如图6所示，表示访问正常。 图6 访问验证ecs-HA1 执行以下命令，停止ecs-HA1上的keepalived服务。 systemctl stop keepalived.service 执行以下命令，查看服务器ecs-HA2是否有接管虚拟IP。 ip addr show 图7 查看ecs-HA2的虚拟IP 通过浏览器访问弹性公网IP，验证是否可以访问到ecs-HA2节点上的Web页面。 如图8所示，表示访问正常。 图8 访问验证ecs-HA2
更多精彩内容
CDN加速
GaussDB
文字转换成语音
免费的服务器
如何创建网站
域名网站购买
私有云桌面
云主机哪个好
域名怎么备案
手机云电脑
SSL证书申请
云点播服务器
免费OCR是什么
电脑云桌面
域名备案怎么弄
语音转文字
文字图片识别
云桌面是什么
网址安全检测
网站建设搭建
国外CDN加速
SSL免费证书申请
短信批量发送
图片OCR识别
云数据库MySQL
个人域名购买
录音转文字
扫描图片识别文字
OCR图片识别
行驶证识别
虚拟电话号码
电话呼叫中心软件
怎么制作一个网站
Email注册网站
华为VNC
图像文字识别
企业网站制作
个人网站搭建
华为云计算
免费租用云托管
云桌面云服务器
ocr文字识别免费版
HTTPS证书申请
图片文字识别转换
国外域名注册商
使用免费虚拟主机
云电脑主机多少钱
鲲鹏云手机
短信验证码平台
OCR图片文字识别
SSL证书是什么
申请企业邮箱步骤
免费的企业用邮箱
云免流搭建教程
域名价格
