控制策略管理-华为云

资源治理中心 RGC-控制策略概述:控制策略类型介绍

控制策略类型介绍预防性控制策略：策略主体为SCP服务控制策略，任何在策略中显性拒绝的操作都会被拦截。预防性控制策略在指定OU上生效之后，该OU所有直系子级账号均会继承该策略。检测性控制策略：策略主体为Config合规规则，不合规的资源配置会被检测发现并反馈给用户，用户可以在资源治理中心服务控制台查看不合规的资源列表。检测性控制策略在指定OU上生效后，该OU所有直系子级账号均会根据规则要求检测不合规配置的发生。

资源治理中心 RGC 控制策略管理

资源治理中心 RGC-控制策略概述:实施类型

实施类型必选：这部分策略在开启RGC服务并设置Landing Zone后，便在核心OU和核心账号上强制自动生效，而且无法禁用。强烈推荐：基于华为云治理最佳实践强烈推荐的合规遵从管控策略，大部分企业用户在云上治理多账号环境时大概率会涉及相关场景和服务，建议Landing Zone搭建完成之后，企业用户自主启用。可选：企业云上治理过程中，部分企业用户可能会涉及相关控制策略，可以根据具体情况灵活选用相关策略。

资源治理中心 RGC 控制策略管理

云防火墙 CFW-导入/导出防护策略:导入参数示例——内到外的阻断规则

导入参数示例——内到外的阻断规则原规则 rule id：123 src-zone：trust dst-zone：untrust src-addr：0.0.0.0/0 dst-addr：xx.xx.xx.9 service ：SSH action：deny name：example123 转换后填写规则顺序：1 规则名称：example123 防护规则：EIP防护方向：内到外动作：阻断规则地址类型：IPv4 启用状态：禁用描述：一个样例源地址类型：IP地址源IP地址：0.0.0.0/0 目的地址类型：IP地址目的IP地址：xx.xx.xx.9 服务类型：服务协议/源端口/目的端口：TCP/1-65535/22

云防火墙 CFW 访问控制策略管理

云防火墙 CFW-导入/导出防护策略:导入参数示例——地址组成员对域名组成员的访问

导入参数示例——地址组成员对域名组成员的访问地址信息表地址组名称：地址组1 地址组描述：业务A 地址组地址类型：IPv4 地址组成员 IP地址：10.1.1.2；描述：E CS 1 IP地址：10.1.1.3；描述：ECS2 IP地址：10.1.1.4；描述：ECS3 域名组信息表域名组名称：域名组1 域名组类型：URL过滤域名组描述：业务A对外访问域名域名组成员域名成员：www.example.test.api；域名描述：api 域名成员：www.test.example.com；域名描述：一个域名域名成员：www.example.example.test；域名描述：XX系统防护规则表顺序：1 规则名称：业务A外联防护规则：NAT规则方向：内到外动作：放行规则地址类型：IPv4 启用状态：禁用源地址类型：IP地址组源地址组名称：地址组1 目的地址类型：域名组目的域名组名称：域名组1 服务类型：服务协议/源端口/目的端口：TCP/0-65535/8080

云防火墙 CFW 访问控制策略管理

云防火墙 CFW-导入/导出防护策略:导入规则模板参数-VPC防护规则表（VPC边界防护规则）

导入规则模板参数-VPC防护规则表（VPC边界防护规则）表2 VPC边界防护规则表参数说明参数名称参数说明取值样例顺序定义规则序号。 1 规则名称自定义规则名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 动作选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。放行启用状态选择该策略是否立即启用。启用：表示启用，规则生效；禁用：表示关闭，规则不生效。启用描述自定义规则描述。 test 源地址类型设置访问流量中发送数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。 IP地址源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 说明：如果您希望输入多个单IP地址或多个IP地址段，需要配置多条规则。这些规则的IP地址（段）不同，其他参数相同。 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 s_test 目的地址类型选择访问流量中的接收数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。 IP地址组目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。目的IP地址支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 说明：如果您希望输入多个单IP地址或多个IP地址段，需要配置多条规则。这些规则的IP地址（段）不同，其他参数相同。 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 d_test 服务类型选择服务或服务组。服务：支持设置单个服务。服务组：支持多个服务的集合。服务协议/源端口/目的端口设置需要限制的类型。协议类型当前支持：TCP、UDP、ICMP、Any。设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 TCP/443/443 服务组名称自定义服务组名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 service_test 分组标签用于标识规则，可通过标签实现对安全策略的分类和搜索。 k=a

云防火墙 CFW 访问控制策略管理

云防火墙 CFW-导入/导出防护策略:导入规则模板参数-防护规则表（互联网边界防护规则）

导入规则模板参数-防护规则表（互联网边界防护规则）表1 互联网边界防护规则表参数说明参数名称参数说明取值样例顺序定义规则序号。 1 规则名称自定义规则名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 防护规则选择安全策略的防护类型。 EIP防护：防护EIP的流量，仅支持配置公网IP。 NAT防护：防护NAT的流量，可以配置私网IP。 EIP防护方向选择防护方向：外-内：外网访问内部服务器。内-外：客户服务器访问外网。内到外动作选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。放行规则地址类型选择“IPv4”或者“IPv6”。设置防护的IP类型。 IPv4 启用状态选择该策略是否立即启用。启用：表示立即开启，规则生效；禁用：表示关闭，规则不生效。启用描述自定义规则描述。 test 源地址类型设置访问流量中发送数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。地域：支持按照地域防护。 IP地址源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 说明：如果您希望输入多个单IP地址或多个IP地址段，需要配置多条规则。这些规则的IP地址（段）不同，其他参数相同。 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 s_test 源大洲地域 “源地址类型”选择“地域”时，需填写“源大洲地域”。您可以切换模板表格至“大洲信息表”页签，查看大洲信息。 AS:亚洲源国家地域 “源地址类型”选择“地域”时，需填写“源国家地域”。您可以切换模板表格至“国家信息表”页签，查看国家信息。 CN:中国大陆目的地址类型选择访问流量中的接收数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。域名：由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。域名组：支持多个域名的集合。地域：支持地域防护。 IP地址组目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。目的IP地址支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 说明：如果您希望输入多个单IP地址或多个IP地址段，需要配置多条规则。这些规则的IP地址（段）不同，其他参数相同。 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 d_test 目的大洲地域 “目的地址类型”选择“地域”时，需填写“目的大洲地域”。您可以切换模板表格至“大洲信息表”页签，查看大洲信息。 AS:亚洲目的国家地域 “目的地址类型”选择“地域”时，需填写“目的国家地域”。您可以切换模板表格至“国家信息表”页签，查看国家信息。 CN:中国大陆域名 “目的地址类型”选择“域名”时，需填写“域名”。由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。 www.example.com 目的域名组名称 “目的地址类型”选择“域名组”时，需填写“目的域名组名称”。输入域名组名称。域名组1 服务类型选择服务或服务组。服务：支持设置单个服务。服务组：支持多个服务的集合。服务协议/源端口/目的端口设置需要限制的类型。协议类型当前支持：TCP、UDP、ICMP、Any。设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 TCP/443/443 服务组名称自定义服务组名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 service_test 分组标签用于标识规则，可通过标签实现对安全策略的分类和搜索。 k=a

云防火墙 CFW 访问控制策略管理

组织 ORGANIZATIONS-支持SCP的云服务:安全与合规

安全与合规序号服务名称相关文档 1 原生基础防护（Anti-DDoS）原生基础防护 Anti-DDoS 2 DDoS原生高级防护（CNAD）原生高级防护 CNAD 3 DDoS高防（AAD） DDoS高防 AAD 4 数据加密服务（DEW），包含如下微服务：密钥管理服务（KMS）云凭据管理服务（C SMS ）密钥对管理服务（KPS）专属加密（DHSM）数据加密服务 DEW 5 主机安全服务（HSS）主机安全服务 HSS 6 安全云脑（SecMaster）安全云脑 SecMaster 7 云防火墙（CFW）云防火墙 CFW 8 数据安全中心（DSC）数据安全中心 DSC 9 私有证书管理服务（PCA）私有证书管理服务 PCA 10 SSL证书管理服务（SCM） SSL证书管理服务 SCM 11 云堡垒机（CBH）云堡垒机 CBH 12 数据库安全服务（DBSS）数据库安全服务 DBSS 13 Web应用防火墙（WAF） Web应用防火墙 WAF

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-支持SCP的云服务:管理与监管

管理与监管序号服务名称相关文档 1 消息通知服务（ SMN ）消息通知服务 SMN 2 云日志服务（LTS）云日志服务 LTS 3 统一身份认证（ IAM ）统一身份认证 IAM 4 安全令牌服务（STS）安全令牌服务 STS 5 资源编排服务（ RFS ）资源编排服务 RFS 6 IAM身份中心（IdentityCenter） IAM身份中心 7 组织（Organizations）组织 Organizations 8 资源访问管理（ RAM ）资源访问管理 RAM 9 企业项目管理服务（EPS）企业项目管理 EPS 10 标签管理服务（TMS）标签管理服务 TMS 11 配置审计（Config）（原资源管理服务 RMS ）配置审计 Config 12 访问分析（AccessAnalyzer）访问分析 IAM Access Analyzer 13 云审计服务（ CTS ）云审计服务 CTS 14 资源治理中心（RGC）资源治理中心 RGC 15 应用运维管理（ AOM ）应用运维管理 AOM 16 云监控服务（ CES ）云监控服务 CES 17 云运维中心（COC）云运维中心 COC

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-支持SCP的云服务:网络

网络序号服务名称相关文档 1 虚拟私有云（VPC）虚拟私有云 VPC 2 弹性公网IP（EIP）弹性公网IP EIP 3 NAT网关（NAT） NAT网关 NAT 4 弹性负载均衡（ELB）弹性负载均衡 ELB 5 VPC终端节点（VPCEP） VPC终端节点 VPCEP 6 云专线（DC）云专线 DC 7 企业路由器（ER）企业路由器 ER 8 全球加速服务（GA）全球加速服务 GA 9 云连接（CC）云连接 CC

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-启用和禁用SCP功能:启用SCP

启用SCP 在创建SCP并将其附加到组织单元和账号之前，必须先启用SCP，且只能使用组织的管理账号启用SCP。启用SCP后，组织将自动给所有OU和账号绑定FullAccess策略，默认允许所有操作。以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台。进入策略管理页，单击“服务控制策略”操作列的“启用”。在弹窗中勾选确认框，然后单击“确定”，完成SCP功能启用。图1 启用SCP

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-启用和禁用SCP功能:禁用SCP

禁用SCP 如果您不想再使用SCP管理组织权限，可以禁用SCP，且只能使用组织的管理账号禁用SCP。禁用SCP后，所有SCP会自动从组织中的所有实体解绑，包括所有OU和账号，但是策略本身不会被删除。若禁用SCP后再重新启用SCP，则组织中的所有实体将恢复到只绑定FullAccess的状态。实体与其他SCP的绑定关系将丢失，如需恢复则需要用户重新绑定。以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台。进入策略管理页，单击“服务控制策略”操作列的“禁用”。图2 禁用SCP 在弹窗中单击“确定”，完成SCP功能禁用。

组织 ORGANIZATIONS 服务控制策略管理

应用与数据集成平台 ROMA CONNECT-配置流量控制策略:概述

概述流量控制可限制单位时间内API的被调用次数，保护后端服务。为了提供持续稳定的服务，您可以创建流控策略，对绑定策略的API进行流量控制。流量控制策略和API本身是相互独立的，只有将API绑定流量控制策略后，流量控制策略才对API生效。同一个API在同一个环境中只能绑定一个流控策略，一个流控策略可以绑定多个API。若API被触发流量控制，则流控期间该API的所有调用请求都将被丢弃，并向调用方返回失败响应。

应用与数据集成平台 ROMA CONNECT 控制策略管理

应用与数据集成平台 ROMA Connect-配置客户端配额策略:概述

概述客户端配额可限制单位时间内客户端调用API的总次数，保护后端服务。您可以创建客户端配额策略，对绑定策略的客户端进行调用次数限制。客户端配额策略和客户端本身是相互独立的，只有将客户端绑定客户端配额策略后，客户端配额策略才对客户端生效。仅具有Tenant Administrator权限的用户才可查看和配置客户端配额策略。同一个客户端只能绑定一个客户端配额策略，一个客户端配额策略可以绑定多个客户端。

应用与数据集成平台 ROMA Connect 控制策略管理

云服务器内容精选

控制策略管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线