安全性-华为云

云数据库 RDS-修改数据库端口:请求消息

请求消息表2 参数说明名称是否必选参数类型说明 port 是 Integer 端口号。 RDS for MySQL端口号范围：大于等于1024，小于等于65535，不包含12017、33062和33071。 RDS for PostgreSQL端口号范围：2100～9500。对于RDS for SQL Server 2022 EE、2022 SE、2022 Web版、2019 EE、2019 SE、2019 Web版、2017 EE、2017 SE、2017 Web版：端口设置范围为1433和2100~9500（其中5050、5353、5355、5985和5986不可设置）。除此之外的其他版本：端口设置范围为1433和2100~9500（其中5355、5985和5986不可设置）。

云数据库 RDS 数据库安全性

迁移中心 MGC-安全特性:数据上传

数据上传传输加密：数据在上传至MgC服务侧时，使用加密通道来保护数据在传输过程中的安全。通道认证：只有经过验证的用户账号才能上传数据，增加了数据传输的安全性。审计日志: 上传操作会被记录在后台日志中，这些日志可以用于审计和监控数据上传活动，确保所有操作都是可追踪和可验证的。操作权限与最小权限原则：无论哪种采集方式，都需要具备相应的操作权限，并且遵循最小权限原则，即只授予完成特定任务所需的最小权限。 MgC服务侧权限要求：云账号需要具备对应权限才能使用MgC和访问MgC调研数据，MgC相关权限请参考权限管理。

迁移中心 MGC 采集安全性说明

迁移中心 MGC-安全特性:采集安全性

采集安全性采集时长受控：采集任务在有限的时间内完成，采集避免长时间占用系统资源。加密保存凭证：所有用于数据采集的凭证都经过加密处理，以保护凭证的安全。线上采集的凭证仅在线上环境中保存。操作权限与最小权限原则：无论哪种采集方式，都需要具备相应的操作权限，并且遵循最小权限原则，即只授予完成特定任务所需的最小权限。 MgC服务侧权限要求：云账号需要具备对应权限才能使用MgC和访问MgC调研数据，MgC相关权限请参考权限管理。数据采集项透明性：数据采集的具体项目参见采集项列表。

迁移中心 MGC 采集安全性说明

文档数据库服务 DDS-设置SSL数据加密:使用须知

使用须知开启或关闭SSL会导致实例重启，请谨慎操作。在开启或关闭SSL时，文档数据库服务会进行一次重启，重启过程中每个节点会有一次约30秒的闪断，建议您安排好业务并确保应用有重连机制。开启SSL，可以通过SSL方式连接数据库，具有更高的安全性。目前已禁用不安全的加密算法，支持的安全加密算法对应的加密套件参考如下。版本支持的TLS版本支持的加密算法套件 3.4 TLS 1.2 AES256-GCM-SHA384 AES128-GCM-SHA256 4.0 TLS 1.2 DHE-RSA-AES256-GCM-SHA384 DHE-RSA-AES128-GCM-SHA256 用户的客户端所在服务器需要支持对应的TLS版本以及对应的加密算法套件，否则会连接失败。关闭SSL，可以采用非SSL方式连接数据库。

文档数据库服务 DDS 数据安全性

云架构中心-SEC06-04 应用安全配置

SEC06-04 应用安全配置对应用运行时的各项配置进行加固，以避免因安全配置错误而产生的安全漏洞和风险。风险等级高关键策略根据安全配置规范，对您工作负载中的应用，如Nginx、Tomcat、Apache、Jetty、JBoss、PHP、Redis等完成安全配置加固和Web攻击防护。系统越权，例如系统是否存在capability提权、suid文件提权、定时任务提权、sudo文件配置提权等系统提权问题。服务运行用户，例如服务运行的用户是否为最低权限用户，禁止使用root用户运行服务。 Web攻击，例如Web应用是否存在SQL注入、XSS跨站脚本、文件包含、目录遍历、敏感文件访问、命令、代码注入、网页木马上传、第三方漏洞攻击等常见Web威胁问题。相关云服务和工具企业主机安全 HSS Web应用防火墙 WAF 父主题： SEC06 应用安全性

云架构中心 SEC06 应用安全性

云架构中心-安全性云服务介绍

安全性云服务介绍安全治理统一身份认证服务 IAM ：提供权限管理、访问控制和身份认证的基础服务，安全地控制华为云服务和资源的访问权限。组织 Organizations：为企业用户提供多账号关系的管理能力。用户可以将多个华为云账号整合到创建的组织中，并可以在组织中设置治理策略。应用身份管理服务 OneAccess ：为云提供的应用身份管理服务，具备集中式的身份管理、认证和授权能力，保证企业用户根据权限访问受信任的云端和本地应用系统，并对异常访问行为进行有效防范。资源治理中心 RGC：提供搭建安全、可扩展的多账号环境并持续治理的能力。资源访问管理 RAM ：为用户提供安全的跨帐号共享资源的能力。您可以创建一次资源，并使用RAM服务将该资源共享给指定对象（包括组织、组织单元以及帐号） IAM 身份中心：为客户提供基于华为云组织（Organizations）的多帐号统一身份管理与访问控制。可以统一管理企业中使用华为云的用户，一次性配置企业的身份管理系统与华为云的单点登录，以及所有用户对组织下帐号的访问权限。网络安全云防火墙 CFW：新一代的云原生防火墙服务，弹性灵活降低部署成本，智能极简助力高效运维。 DDoS防护 AAD：华为云DDoS防护提供全球化服务，以应对DDoS攻击挑战，可提供毫秒级攻击响应、多维度行为分析及机器学习、防御策略自动调优，精确识别各种复杂DDoS攻击，以保护您的业务连续性。威胁检测 Web应用防火墙 WAF：保护网站等Web应用程序免受常见Web攻击，保障业务持续稳定运行，满足合规和监管要求。配置审计 Config：为用户提供全局资源配置的检索，配置历史追溯，以及基于资源配置的持续的审计评估能力，确保云上资源配置变更符合客户预期。企业主机安全 HSS：帮助客户方便地管理主机、容器的安全风险，实时发现勒索、挖矿、渗透、逃逸等入侵行为，是等保合规、护网、重保必备服务。漏洞管理服务 CodeArts Inspector：面向软件研发和服务运维提供的一站式漏洞管理能力，通过实时持续评估系统和应用等资产，内置风险量化管理和在线风险分析处置能力，帮助组织快速感知和响应漏洞，并及时有效地完成漏洞修复工作，更好地应对潜在的安全威胁。数据安全数据安全中心 DSC：新一代的云原生数据安全平台，提供数据分类分级，敏感数据扫描，数据安全体检，数据水印溯源，数据脱敏等基础数据安全能力。通过数据安全资产地图整合数据安全生命周期各阶段状态，对外整体呈现云上数据安全态势。数据加密服务 DEW：提供密钥管理、凭据管理、密钥对管理、专属加密功能，安全可靠为用户解决数据安全、密钥安全、密钥管理复杂等问题。云证书管理服务 CCM：为云上海量证书颁发和全生命周期管理的服务。目前它可以提供SSL证书管理和私有证书管理服务。数据库安全服务 DBSS：基于机器学习机制和大数据分析技术，提供数据库审计，SQL注入攻击检测，风险操作识别等功能，保障云上数据库的安全。合规与隐私保护合规中心：为您提供全方位的合规遵从性指导和资源云审计服务 CTS ：提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景配置审计 Config：为用户提供全局资源配置的检索，配置历史追溯，以及基于资源配置的持续的审计评估能力，确保云上资源配置变更符合客户预期。安全运营安全云脑 SecMaster：华为云原生的新一代安全运营中心，集成华为云多年安全经验，基于云原生安全，提供云上资产管理、安全态势管理、安全信息和事件管理、安全编排与自动响应等能力，可以鸟瞰整个云上安全，精简云安全配置、云防护策略的设置与维护，提前预防风险，同时，可以让威胁检测和响应更智能、更快速，帮助您实现一体化、自动化安全运营管理，满足您的安全需求。威胁检测服务 MTD ：威胁检测服务持续发现恶意活动和未经授权的行为，从而保护账户和工作负载。该服务通过集成AI智能引擎、威胁黑白名单、规则基线等检测模型，识别各类云服务日志中的潜在威胁并输出分析结果，从而提升用户告警、事件检测准确性，提升运维运营效率，同时满足等保合规。父主题：安全性支柱

云架构中心安全性支柱

迁移中心 MGC-内网采集权限与原理:性能采集

性能采集权限要求： Windows系统：需要提供具有Administrator权限的账号。 Linux系统：需要提供root账号。采集原理： Windows 系统：使用Windows远程管理（WinRM）服务，通过Edge远程访问Windows主机，将PowerShell脚本安全传输至C:/Edge-Scripts路径并执行，以自动化采集系统信息。 Linux 系统：通过SSH协议从Edge访问Linux主机，将Shell脚本传输至/root/rda目录并执行，以自动化采集系统信息。

迁移中心 MGC 采集安全性说明

迁移中心 MGC-内网采集权限与原理:主机深度采集

主机深度采集权限要求： Windows系统：需要提供具有Administrator权限的账号。 Linux系统：需要提供root账号。采集原理： Windows系统：通过WinRM服务从Edge访问Windows主机，执行PowerShell脚本采集系统信息。 Linux系统：通过SSH协议从Edge访问Linux主机，将Shell脚本传输至/root/rda目录并执行，以自动化采集系统信息。

迁移中心 MGC 采集安全性说明

智能边缘小站 CLOUDPOND-用户在保证自身业务数据安全性上需要采取哪些措施？

用户在保证自身业务数据安全性上需要采取哪些措施？建议用户在如下一些方面采取足够的措施以保障业务数据安全性：对CloudPond所部署的地理位置及其相关基础设施的安全负责，并确保CloudPond与中心云之间的网络安全性和可用性。建议用户对数据进行识别和分类；对敏感的数据默认加密；使用安全组、网络ACL（Access Control Lists）对资源实施网络访问控制。此外建议您使用云审计服务（Cloud Trace Service，CTS），对用户访问数据的行为进行审计。当用户停止使用CloudPond前，请先对CloudPond上需要保留的数据进行转储。 CloudPond用户需要对IAM的账号授权进行严格管理，遵从最小授权的原则，为其他用户开通完成工作所需的最小权限，并定期对其权限范围进行审核。更多细节请参见IAM安全使用最佳实践。父主题：安全性

智能边缘小站 CLOUDPOND 安全性

MAPREDUCE服务 MRS-MRS安全认证原理和认证机制:认证代码实例讲解

认证代码实例讲解 package com.huawei.bigdata.hdfs.examples; import java.io.IOException; import org.apache.hadoop.conf.Configuration; import org.apache.hadoop.fs.FileStatus; import org.apache.hadoop.fs.FileSystem; import org.apache.hadoop.fs.Path; import org.apache.hadoop.security.UserGroupInformation; public class KerberosTest { private static String PATH_TO_HDFS_SITE_XML = KerberosTest.class.getClassLoader().getResource("hdfs-site.xml") .getPath(); private static String PATH_TO_CORE_SITE_XML = KerberosTest.class.getClassLoader().getResource("core-site.xml") .getPath(); private static String PATH_TO_KEYTAB = KerberosTest.class.getClassLoader().getResource("user.keytab").getPath(); private static String PATH_TO_KRB5_CONF = KerberosTest.class.getClassLoader().getResource("krb5.conf").getPath(); private static String PRNCIPAL_NAME = "develop"; private FileSystem fs; private Configuration conf; /** * initialize Configuration */ private void initConf() { conf = new Configuration(); // add configuration files conf.addResource(new Path(PATH_TO_HDFS_SITE_XML)); conf.addResource(new Path(PATH_TO_CORE_SITE_XML)); } /** * login Kerberos to get TGT, if the cluster is in security mode * @throws IOException if login is failed */ private void login() throws IOException { // not security mode, just return if (! "kerberos".equalsIgnoreCase(conf.get("hadoop.security.authentication"))) { return; } //security mode System.setProperty("java.security.krb5.conf", PATH_TO_KRB5_CONF); UserGroupInformation.setConfiguration(conf); UserGroupInformation.loginUserFromKeytab(PRNCIPAL_NAME, PATH_TO_KEYTAB); } /** * initialize FileSystem, and get ST from Kerberos * @throws IOException */ private void initFileSystem() throws IOException { fs = FileSystem.get(conf); } /** * An example to access the HDFS * @throws IOException */ private void doSth() throws IOException { Path path = new Path("/tmp"); FileStatus fStatus = fs.getFileStatus(path); System.out.println("Status of " + path + " is " + fStatus); //other thing } public static void main(String[] args) throws Exception { KerberosTest test = new KerberosTest(); test.initConf(); test.login(); test.initFileSystem(); test.doSth(); } } Kerberos认证时需要配置Kerberos认证所需要的文件参数，主要包含keytab路径，Kerberos认证的用户名称，Kerberos认证所需要的客户端配置krb5.conf文件。方法login()为调用hadoop的接口执行Kerberos认证，生成TGT票据。方法doSth()调用hadoop的接口访问文件系统，此时底层RPC会自动携带TGT去Kerberos认证，生成ST票据。以上代码可在安全模式下的HDFS二次开发样例工程中创建KerberosTest.java，运行并查看调测结果，具体操作过程请参考HDFS开发指南（安全模式）。

MAPREDUCE服务 MRS 安全性说明

云架构中心-参考架构

参考架构为了构建安全、可信、合规的云上工作负载，华为云提供了大量的与安全相关的云服务。华为云客户基于Well-Architected架构的最佳实践会组合使用到这些云服务。我们的解决方案架构师在与客户进行沟通时，客户通常会提出以下疑问：是否有一个全局性的视图可以表达构建安全工作负载的整体情况？在多账号环境以及单账号环境中应该使用哪些云服务？如何从全局到局部、自顶向下及从不同视角考虑工作负载的安全？基于以上诉求，我们构建了安全参考架构。安全参考架构旨在帮助客户有效地使用华为云服务构建出安全工作负载的指南。它提供了不同层次视角下的架构图、安全云服务分组的方法和云服务集成参考。需要说明的是，安全参考架构是一个参考范式，而不是绝对的标准。客户需要根据其具体情况和需求进行定制和实施。组织级参考架构工作负载级参考架构父主题：安全性支柱

云架构中心安全性支柱

云架构中心-SEC06-01 安全合规使用开源软件

SEC06-01 安全合规使用开源软件开源软件在现代软件开发中的重要性不言而喻。越来越多的企业选择使用开源软件来开发和部署软件应用程序。开源软件的使用必须严格遵守合法合规的底线，包括开源软件的来源、漏洞管理、可追溯、归一化及生命周期管理等方面。风险等级高关键策略来源可靠。由于开源软件是公开的，因此黑客和攻击者可以更容易地找到其中的漏洞和安全隐患，从而进行攻击和入侵。确保引入的开源软件来源于正规社区官网、供应商官网或厂家官网。明确软件许可要求。确保引入的开源软件有明确的许可证或签订有相关使用协议。确保按许可要求使用开源，遵守相关的开源许可证和法律法规要求，避免知识产权、License带来的法律风险。应当履行开源义务，避免导致产品或企业的声誉受损。归一化管理。企业应进行开源软件归一化管理，对开源软件的引入进行归一，建立优选库、路标库，减少开源的种类和数量。牵引团队使用优选的开源软件，保障使用质量和安全。降低开源漏洞的影响。开源软件的安全漏洞传播快，影响大。一旦出现安全漏洞，快速排查受影响的产品并进行修复是降低影响的关键。可追溯。对开源软件的变更过程可控、有记录可查，建立产品版本与第三方软件及漏洞的关系。父主题： SEC06 应用安全性

云架构中心 SEC06 应用安全性

云架构中心-SEC06-02 建立安全编码规范

SEC06-02 建立安全编码规范应用安全涉及需求、设计、实现、部署多个环节，实现的安全是应用安全的重要一环。建立安全编码规范有助于团队编写更安全、更高质量的代码，减少甚至规避由于编码错误引入的安全风险。风险等级高关键策略发布团队常用编程语言的安全编码规范。通用的安全编码规范应包含程序输入校验、程序输出编码、身份验证、访问控制、安全加解密算法、异常处理、IO操作、文件上传、序列化、输出格式化等。对于在Web应用场景使用的语言如Java、Python，还要考虑安全会话管理、防SQL注入、防跨站脚本攻击XSS、防跨站请求伪造 CS RF等编码规范。对于C/C++语言，要考虑缓冲区溢出漏洞、命令注入、危险函数、内存泄露、指针越界、数组读写越界等安全风险。对于JavaScript语言，要考虑容易受到XSS攻击的安全风险。父主题： SEC06 应用安全性

云架构中心 SEC06 应用安全性

云架构中心-设计原则

设计原则国际标准化组织（ISO）对计算机系统安全的定义为：确保信息资产（包括硬件、软件、网络、数据等）受到保护，以确保其机密性、完整性和可用性。计算机系统安全的目标是保护信息系统免受未经授权的访问、使用、披露、破坏、修改、中断或不可用的威胁，同时确保信息系统能够持续地提供服务。系统安全的基本要素包括机密性、完整性、可用性、可审计、不可抵赖性等。其中最基本的三个要素是机密性（Confidentiality）、完整性（Integrity）、可用性（Availability），简称CIA。为实现系统安全所定义的基本要素，业界根据大量的实践，提炼出一些共性的安全设计原则：零信任原则（Zero Trust）零信任遵循“永不信任，始终验证”的安全理念，假设任何人或程序都不可信，无论是内部用户、外部用户还是网络设备。系统内的组件进行任何通信之前都将通过显式的验证，减少系统信任带来的攻击面。零信任把现有的基于实体鉴别和默认授权的静态信任模型（非黑即白），变成基于持续风险评估和逐次授权的动态信任模型。零信任不根据网络空间位置决定可信度，其重心在于保护资源，而不是网段。与传统安全理念对比，它将网络防御的重心从静态的、基于网络的边界转移到了用户、设备和资源上。所有的资源（如人/物/终端/应用/网络/数据/供应链）都需要进行持续身份验证和信任评估，从全局视角执行动态安全策略。零信任通过动态、持续性的实体风险评估，缩小受攻击面，保证系统安全。纵深防御原则（Defense In Depth）多点、多重的安全防护机制来分层保护组织的网络、资产和资源。不依赖单层安全防护能力，不因单一安全防护能力失效而完全暴露。假设系统受到攻击，系统有一定的韧性能力保持最小化系统运行，可以提供最小化服务。最小化原则（Least Privilege）最小化身份：尽可能减少非必要的系统管理员，定时清理过期的身份。最小化权限：给予用户或实体最小必要权限来执行其工作，以降低潜在的安全风险。最小化暴露面：对不同的访问区域和访问对象，仅暴露最小的服务端点和最少的服务应用接口。最小化凭证：尽量消除对长期的、静态凭证的依赖。数据安全保护原则（Data Security）数据分类分级，定义不同级别的数据防护措施。确保对数据进行适当的加密、备份和访问控制，以保护数据的机密性、完整性和可用性。维护个人隐私权利，保护隐私数据的机密性和完整性。 DevSecOps DevSecOps的核心理念是将安全性纳入到整个软件开发生命周期中，从需求分析、设计、开发、测试、部署、运维、运营的每个阶段都考虑安全性，以确保系统的安全性和稳定性。通过将安全性与DevOps的自动化流程相结合，DevSecOps可更快地检测和修复安全漏洞，并提高软件开发的效率和质量。父主题：安全性支柱

云架构中心安全性支柱

云数据库 GAUSSDB(FOR MYSQL)-数据库安全设置:账户密码等级设置

账户密码等级设置 GaussDB (for MySQL)管理控制台上数据库密码复杂度，请参见购买实例中的数据库配置表格。 GaussDB(for MySQL)对在客户端新创建的数据库用户，设置了密码安全策略：口令长度8~32个字符。口令至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@#%^*-_=+?,()&$|.特殊字符。不能与用户名或倒序的用户名相同。创建实例时，为用户提供了密码复杂度校验，由于root用户可以修改密码复杂度，安全起见，建议修改后的密码复杂度不低于GaussDB(for MySQL)数据库的初始化设置。

云数据库 GAUSSDB(FOR MYSQL) 数据安全性

云服务器内容精选

安全性

7*24

备案

专业服务

退订

建议反馈

售前咨询热线