安全-华为云

智能数据洞察 DATAARTS INSIGHT-责任共担

责任共担华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。安全性是华为云与您的共同责任，如图1所示。华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。图1 华为云安全责任共担模型父主题：安全

智能数据洞察 DATAARTS INSIGHT 安全

专业服务-产品介绍:验收标准

验收标准存储安全诊断服务华为按各服务子项提交标准交付件，客户在华为云官网Console确认验收，或线下签字且盖章《xx项目存储安全优化与提升服务验收报告》作为服务验收通过依据。存储安全优化设计服务存储安全规划设计包：华为按各服务子项提交标准交付件，客户在华为云官网Console确认验收，或线下签字且盖章《xx项目存储安全优化与提升服务验收报告》作为服务验收通过依据。存储安全技术支持包：客户在华为云官网Console确认验收，或线下签字且盖章《xx项目存储安全优化与提升服务验收报告》作为服务验收通过依据。

专业服务存储安全优化与提升服务

专业服务-产品介绍:责任矩阵

责任矩阵共同责任双方商定并确认具体的业务需求及目标。双方商定并确认项目管理计划。双方商定并确认方案内容并评审。完成合同签订。华为责任接收客户的需求申请，协调专家远程或者现场进行相关服务的实施与护航。服务前，根据客户所选服务项，制定服务计划和报价清单供客户审核确认。服务期间，依确认后的服务计划进行实施，编写交付件。服务结束后，根据所选服务项，出具交付件清单。华为云需明确此次项目的负责人，因特殊情况导致华为人员变更，需要提前3个工作日知会客户，至项目最终验收完成。华为云得到客户授权后，授权数据仅限用于本次服务中涉及的服务内容，不得超出限定范围。客户责任客户指派一位项目负责人协助华为云实施服务。此负责人应负责双方之间的协调及管理，负责审核、验收华为云提供的服务。客户必须配合进行需求调研，提供准确的业务需求、提供业务系统相关的信息（包括但不限于应用架构、部署架构、资源数量和性能）。客户应提供必要的授权，授权华为云对客户的业务数据进行读取分析以展开服务。责任分工矩阵表以下为职责描述案例，可酌情修改。 R=责任方/Responsibility S=协助方/Support 表1 存储安全诊断服务序号服务流程工作内容华为客户 1 需求调研明确服务目标、所需数据授权 R R 2 制定服务方案 R S 3 诊断评估静态数据资产评估 R S 4 动态访问行为评估 R S 5 云存储业务系统安全性评估 R S 6 安全风险等级评估 R S 7 报告输出及评审 R R 8 服务验收方案验收 S R 9 向客户传递数据安全诊断报告，提供报告解读 R S 表2 存储安全优化设计服务序号服务流程工作内容华为客户 1 需求调研明确服务目标 R R 2 制定服务方案 R S 3 方案设计评估客户云上云下业务环境 R S 4 制定安全规划设计方案 R S 5 沟通和确认 R R 6 服务验收方案验收，移交相关交付文档 S R 7 指导客户团队进行安全方案落地 R S

专业服务存储安全优化与提升服务

专业服务-产品介绍:服务内容

服务内容存储安全诊断服务服务规格服务内容适用场景存储安全诊断基础包对客户的云存储业务内容展开评估，从静态数据资产和动态访问行为两个维度对客户的云存储业务进行调研及总结，并以报告的形式传递给客户。对客户的云存储业务系统展开评估，围绕客户的业务数据调研，结合数据安全能力成熟度模型（Data Security Capability Maturity Mode，简称DSMM），对客户存储业务系统的访问控制策略、传输安全、存储安全、合规处理等维度开展评估，分析和评估客户的云上业务数据安全能力，识别客户的潜在数据安全风险，并以报告的形式传递给客户。面向具有复杂的业务数据使用场景的中大型企业，帮助客户评估安全能力成熟度，识别潜在风险，应对相关安全审查。存储安全诊断增量包存储安全优化设计服务服务规格服务内容适用场景存储安全规划设计基础包针对客户的复杂业务场景，给出存储安全方案，包括账号划分、权限策略配置、数据加密、数据合规处理、数据留存、数据删除、备份、容灾、防勒索等。针对安全诊断服务中已识别出的数据安全风险，设计优化提升方案。面向具有复杂的业务数据使用场景，且已购买存储安全诊断包的客户，帮助客户针对已识别风险进行设计优化、配置推荐。存储安全规划设计增量包存储安全技术支持包根据存储安全规划设计提供的方案，指导客户完成复杂的策略配置，落地存储数据传输/存储/删除等最佳安全实践。面向具有复杂的业务数据使用场景，且已购买存储安全诊断包、存储安全规划设计包的客户，协助客户团队实现方案落地。

专业服务存储安全优化与提升服务

专业服务-产品介绍:服务范围

服务范围服务覆盖范围在整个过程中，华为云负责以下内容：存储安全诊断：对客户的云存储业务内容展开评估，从静态数据资产和动态访问行为两个维度对客户的云存储业务进行调研及总结，以报告的形式传递给客户；对客户的云存储业务系统展开评估，围绕客户的业务数据调研，结合数据安全能力成熟度模型（Data Security Capability Maturity Mode，简称DSMM），对客户存储业务系统的访问控制策略、传输安全、存储安全、合规处理等维度开展评估，分析和评估客户的云上业务数据安全能力，识别客户的潜在数据安全风险，并以报告的形式传递给客户。存储安全规划设计：针对客户的复杂业务场景，给出存储安全方案，包括账号划分、权限策略配置、数据加密、数据合规处理、数据留存、数据删除、备份、容灾、防勒索等；针对已诊断识别的数据安全风险，设计优化提升方案。存储安全技术支持：基于存储安全规划设计服务给出的存储安全优化提升方案，指导客户团队落地。服务不覆盖范围客户侧的方案实施工作，包括但不限于：不同系统的集成实施工作。服务区域全球。

专业服务存储安全优化与提升服务

专业服务-产品介绍:服务流程

服务流程存储安全诊断服务服务阶段里程碑说明需求调研明确服务目标：调研当前客户的存储服务使用现状与基本诉求，对齐客户数据安全建设目标及范围、相关数据查看范围授权，访谈客户并与客户在服务目标上达成一致。制定服务方案：与客户对齐详细的服务方案，包括服务内容、流程、时间表、费用等方面的细节，确保服务方案能够满足客户的需求并具有可行性。诊断评估评估静态数据资产：对客户的云存储中的数据资产进行分析和评估，包括存储的数据类型、存量分布、加密存储占比等。评估动态访问行为：分析客户在云存储中的数据访问模式和行为，包括访问频率、访问IP归属地、访问高峰低谷等。评估云存储业务系统安全性：调研客户的云存储相关特性开启情况，结合DSMM及上文总结的客户业务动静态模型，对客户存储业务系统的访问控制策略、传输安全、存储安全、合规处理等维度开展评估，识别潜在安全风险。评估安全风险等级：对已识别的风险源，从风险危害程度和风险发生可能性两个角度进行评估，给出数据安全风险等级及粗略应对措施。输出报告：将以上三项内容以报告的形式展示。服务验收方案验收，移交相关交付文档。向客户传递数据安全诊断报告，并提供报告解读。存储安全优化设计服务服务阶段里程碑说明需求调研明确服务目标：对齐客户数据安全建设目标、项目预算及设计应用范围，访谈客户并与客户达成一致。制定服务方案：与客户对齐详细的服务方案，包括服务内容、流程、时间表、费用等方面的细节，确保服务方案能够满足客户的需求并具有可行性。方案设计评估客户云上云下业务环境：在安全诊断报告的基础上，对客户的云下基础设施建设程度、人员组织规模进行调研，为提供合适的安全设计提供支撑。制定安全规划设计方案：根据客户的需求和现有环境资源，结合行业标准及华为云的最佳实践，制定详细的安全规划设计方案。包括安全目标、策略和措施，安全相关特性的选择及具体配置指南。确保规划设计符合客户的业务需求，并能够有效地提升其云存储业务的安全能力。沟通和确认：与客户沟通设计方案，解释方案的重点和关键内容。确保客户理解并认可规划设计方案，如果有必要，进行适当的调整和修改，直至达成共识。服务验收方案验收，移交相关交付文档。指导客户团队进行安全方案落地。

专业服务存储安全优化与提升服务

主机迁移服务 SMS-资产识别与管理

资产识别与管理在使用 SMS 服务的过程中，主要涉及数据资产和配置资产。数据资产：源端服务器磁盘上的持久化数据。迁移Agent不会对客户源端的数据资产做任何变更，仅将客户数据资产传输到目的端并做必要的配置，使目的端能正常启动。数据资产在源端和目的端点对点传输，不经过第三方转发，推荐客户配置目的端安全组为“仅允许源端IP访问”以保障传输安全。配置资产：客户在迁移实施时，注册的源端信息和配置的迁移任务等信息。配置资产用于控制迁移进程，其保存在SMS的数据库中。迁移结束后客户可以删除所有配置资产。父主题：安全

主机迁移服务 SMS 安全

统一身份认证服务 IAM-修改账号控制台访问策略:响应参数

响应参数表7 响应Body参数参数参数类型描述 console_acl_policy object Console访问控制策略。表8 console_acl_policy 参数参数类型描述 allow_address_netmasks Array of objects 允许访问的IP地址或网段，仅在设置了允许访问的IP地址或网段才会返回此字段。 allow_ip_ranges Array of objects 允许访问的IP地址区间，仅在设置了允许访问的IP地址区间才会返回此字段。表9 allow_address_netmasks 参数参数类型描述 address_netmask String IP地址或网段，例如:192.168.0.1/24。 description String 描述信息。表10 allow_ip_ranges 参数参数类型描述 description String 描述信息。 ip_range String IP地址区间，例如:0.0.0.0-255.255.255.255。

统一身份认证服务 IAM 安全设置

统一身份认证服务 IAM-修改账号控制台访问策略:请求参数

请求参数表2 请求Header参数参数是否必选参数类型描述 X-Auth-Token 是 String 访问令牌，承载用户的身份、权限等信息。 token所需权限请参见授权项。表3 请求Body参数参数是否必选参数类型描述 console_acl_policy 是 object 控制台访问控制策略。表4 console_acl_policy 参数是否必选参数类型描述 allow_address_netmasks 否 Array of objects 允许访问的IP地址或网段。allow_address_netmasks与 allow_ip_ranges两个参数二选一即可。 allow_ip_ranges 否 Array of objects 允许访问的IP地址区间。allow_address_netmasks与 allow_ip_ranges两个参数二选一即可。表5 allow_address_netmasks 参数是否必选参数类型描述 address_netmask 是 String IP地址或网段，例如:192.168.0.1/24。 description 否 String 描述信息。表6 allow_ip_ranges 参数是否必选参数类型描述 description 否 String 描述信息。 ip_range 是 String IP地址区间，例如:0.0.0.0-255.255.255.255。

统一身份认证服务 IAM 安全设置

统一身份认证服务 IAM-修改账号控制台访问策略:请求示例

请求示例修改账号的控制台访问策略：允许访问的IP地址区间为“0.0.0.0-255.255.255.255”。 PUT https://iam.myhuaweicloud.com/v3.0/OS-SECURITYPOLICY/domains/{domain_id}/console-acl-policy { "console_acl_policy": { "allow_ip_ranges": [ { "ip_range": "0.0.0.0-255.255.255.255" } ] } }

统一身份认证服务 IAM 安全设置

迁移中心 MGC-采集项列表:平台（含深度采集）

平台（含深度采集）采集项说明作用 id ID 用于规格评估 name 名称用于规格评估 platformType 平台类型用于规格评估 regionId 区域ID 用于规格评估 credentialId 凭证ID 用于规格评估 ip 连接地址用于规格评估 serverNum 主机数用于规格评估 databaseNum 数据库资源个数用于规格评估 kubernetesNum 容器资源个数用于规格评估 obsNum 对象存储资源个数用于规格评估 eipNum 弹性公网IP个数用于规格评估 elbNum 负载均衡个数用于规格评估 vpcNum VPC个数用于规格评估 securityGroupNum 安全组个数用于规格评估 natNum NAT网关个数用于规格评估 sfsNum 文件存储个数用于规格评估 redisNum Redis个数用于规格评估 kafkaNum Kafka个数用于规格评估 bigdataNum 大数据集群个数用于规格评估 pubDomainNum 公网域名数量用于规格评估 vpcDomainNum VPC域名数量用于规格评估 routeTableNum 路由表个数用于规格评估 vpnNum VPN网关个数用于规格评估 dcNum 专线个数用于规格评估 cloudConnectNum 云连接个数用于规格评估 rocketmqNum RocketMQ个数用于规格评估 collectResourceCategory 采集资源列表用于规格评估

迁移中心 MGC 采集安全性说明

迁移中心 MGC-采集项列表:数据库（含深度采集）

数据库（含深度采集）采集项说明作用 id ID 用于迁移前评估 name 数据库名称用于迁移前评估 connectAddress 连接地址用于迁移前评估 dbType 数据库类型用于迁移前评估 dbName 数据库名称用于迁移前评估 dbVersion 数据库版本用于迁移前评估 useSsl 是否使用SSL 用于迁移前评估 credentialId 凭证ID 用于迁移前评估 instanceId 实例ID 用于迁移前评估 vpcId VPC的ID 用于迁移前评估 vpcName VPC名称用于迁移前评估 subnetId 子网ID 用于迁移前评估 subnetName 子网名称用于迁移前评估 platformId 平台ID 用于迁移前评估 platformName 平台名称用于迁移前评估 platformType 平台类型用于迁移前评估 regionId 区域ID 用于迁移前评估 privateAddress 内网地址用于迁移前评估 publicAddress 公网地址用于迁移前评估 type 类型用于迁移前评估 nodes 集群节点信息用于迁移前评估 ids ID列表用于迁移前评估 assessStatus TCO评估状态用于迁移前评估

迁移中心 MGC 采集安全性说明

迁移中心 MGC-采集项列表:容器（含深度采集）

容器（含深度采集）采集项说明作用 id 编号用于规格评估 name 名称用于规格评估 credentialId 绑定的凭证ID 用于规格评估 collectInfo 采集器返回的原始信息用于规格评估 collectError 采集出错时的错误信息用于规格评估 assessStatus 评估状态用于规格评估 clusterVersion K8S集群版本用于规格评估 totalNamespaces 总命名空间数用于规格评估 totalCpuCores 总CPU核数用于规格评估 totalMemory 总内存大小(byte) 用于规格评估 totalNodes 总节点数用于规格评估 nodes 集群节点信息用于规格评估 storages 持久卷存储信息用于规格评估 ingressClass ingress资源用于规格评估 networkPolicy networkPolicy状态用于规格评估 loadbalancerServices loadbalancer型service资源用于规格评估 runtimeClass 容器运行底座用于规格评估 schedulers 调度器（用于组织将POD放到合适节点的机制）用于规格评估 platformType 云平台类型用于规格评估 platformId 云平台ID 用于规格评估 platformName 云平台名用于规格评估 regionId 区域ID 用于规格评估 instanceId 集群实例ID 用于规格评估 status 集群状态用于规格评估 billingMode 付费模式用于规格评估 creationTime 集群创建时间用于规格评估 clusterType 集群类型用于规格评估 clusterSpecs 集群规格用于规格评估 kubeProxyMode 服务转发模式(网络模式)：iptables、IPVS等用于规格评估 networkModel 网络模型：VPC模式、Tunnel、GlobalRouter等用于规格评估 vpcId VPC的ID 用于规格评估 vpcName VPC名称用于规格评估 subnetId 子网ID 用于规格评估 subnetName 子网名称用于规格评估 subnetCidr 子网网段用于规格评估 containerCidr 容器网段用于规格评估 serviceCidr 服务网段用于规格评估 highAvailable 是否高可用用于规格评估 containerEngine 容器引擎用于规格评估 cpuAllocation CPU分配率用于规格评估 cpuUsage CPU使用率用于规格评估 memoryAllocation 内存分配率用于规格评估 memoryUsage 内存使用率用于规格评估

迁移中心 MGC 采集安全性说明

迁移中心 MGC-采集项列表:主机（含深度采集）

主机（含深度采集）采集项说明作用 name 主机名称用于迁移前评估 hostName 主机名用于迁移前评估 eip 主机公网IP 用于迁移前评估 eipId 主机EIP的资源ID 用于迁移前评估 privateIp 主机内网IP 用于迁移前评估 ip 主机IP 用于迁移前评估 port 主机端口用于迁移前评估 collectStatus 主机采集状态用于迁移前评估 lastCollectTime 最新采集时间用于迁移前评估 serverStatus 主机状态用于迁移前评估 mac 主机MAC地址用于迁移前评估 cpuType CPU类型用于迁移前评估 cpuCores CPU核数用于迁移前评估 mem 内存用于迁移前评估 hostType 主机类型用于迁移前评估 virtualType 虚拟化类型用于迁移前评估 osType 操作系统类型用于迁移前评估 osInfo 操作系统信息用于迁移前评估 architecture 处理器架构用于迁移前评估 firmware 固件用于迁移前评估 kernel 内核用于迁移前评估 disk 磁盘信息用于迁移前评估 frequency 主频用于迁移前评估 isOpenOverclock 是否超频用于迁移前评估 virtioDriver 是否有virtio驱动用于迁移前评估 filterIds 主机ID过滤集合用于迁移前评估 instanceId 平台采集，云服务器资源ID 用于迁移前评估 platformName 平台名称用于迁移前评估 platformType 云平台类型（平台采集）用于迁移前评估 regionId 区域ID（平台采集）用于迁移前评估 serverType 主机类型用于迁移前评估 flavor 规格用于迁移前评估 cpuUsage CPU使用率用于迁移前评估 memUsage 内存使用率用于迁移前评估 diskUsage 磁盘使用率用于迁移前评估 networkInThroughput 内网入带宽，单位byte/s 用于迁移前评估 networkOutThroughput 内网出带宽，单位byte/s 用于迁移前评估 networkPpsIn 网络PPS（个/秒）网络入包用于迁移前评估 networkPpsOut 网络PPS（个/秒）网络出包用于迁移前评估 networkConnections 网络连接数用于迁移前评估 availableZone 可用区用于迁移前评估 securityGroupList 安全组用于迁移前评估 clusterId 大数据集群ID 用于迁移前评估 chargeMode 付费模式用于迁移前评估 assessStatus 主机TCO评估状态用于迁移前评估 nodeType 大数据节点类型用于迁移前评估

迁移中心 MGC 采集安全性说明

安全云脑 SECMASTER-接入日志数据:操作场景

操作场景安全云脑支持一键接入WAF、HSS、OBS等多种华为云云产品的日志数据。接入后，可以统一管理日志信息，以及检索并分析所有收集到的日志。具体支持接入的云服务日志请参见支持接入的云服务日志。每个Region的首个工作空间可自动加载当前Region推荐接入的日志数据（未全部接入）。后续新增的用于自定义运营的工作空间，不会自动加载数据，需要用户自定义接入。建议将安全云脑管理的资产以及资产的告警、基线检查结果、漏洞数据、日志数据接入同一个工作空间，便于统一运营，进行安全分析关联。本章节介绍如何接入数据并查看日志存储位置。

安全云脑 SECMASTER 数据集成

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线