华为云用户手册

概述 欢迎使用专属主机（Dedicated Host，DeH）。专属主机是指用户可独享的专属物理主机资源。您可以将云服务器创建在您的专属主机上，满足您对隔离性、安全性、性能的更高要求。同时，您还可以在迁移业务至专属主机时，继续使用迁移前的服务器端软件许可，即支持自带许可（BYOL），提高对云服务器的自治。 您可以使用本文档提供API对专属主机进行相关操作，如查询、删除、更新等。支持的全部操作请参见API概览。 在调用专属主机API之前，请确保已经充分了解专属主机相关概念，详细信息请参见“专属主机产品介绍”。

基本概念 账号 用户注册时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用用户进行日常管理工作。 用户 由账号在 IAM 中创建的用户，是云服务的使用人员，具有身份凭证（密码和访问密钥）。 在我的凭证下，您可以查看账号ID和IAM用户ID。通常在调用API的鉴权过程中，您需要用到账号、用户和密码等信息。 区域（Region） 从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 详情请参见区域和可用区。 可用区（AZ，Availability Zone） 一个可用区是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 项目 区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中创建资源，然后以子项目为单位进行授权，使得用户仅能访问特定子项目中的资源，使得资源的权限控制更加精确。 图1 项目隔离模型 同样在我的凭证下，您可以查看项目ID。 企业项目 企业项目是项目的升级版，针对企业不同项目间的资源进行分组和管理，是逻辑隔离。企业项目中可以包含多个区域的资源，且项目中的资源可以迁入迁出。 关于企业项目ID的获取及企业项目特性的详细信息，请参见《企业管理用户指南》。

操作场景 使用网络研讨会前，需要先进行资源分配与激活。 一次性资源 一次性资源分配之后需要激活才可以召开正式会议，激活后72小时内可无限次使用，激活前只能召开受限的测试会议（最大5嘉宾+10观众接入，限时45分钟）。 一次性资源最大有效期是1年，购买后请一年内激活使用，否则会自动过期。 一个网络研讨会资源同时只能分配给一个用户。 分配了网络研讨会资源的用户，才可以创建网络研讨会；若用户仅加入网络研讨会，则无需网络研讨会资源。 企业管理员可给同一个用户分配最多10个网络研讨会资源。

操作场景 管理员添加企业用户后，用户下载华为云会议桌面客户端即可登录使用。 操作系统要求 类型 最低要求 建议配置 Windows客户端 Windows 10及以上版本（32位或64位） Windows 10及以上版本（32位或64位） Mac客户端 macOS 10.12及以上版本 macOS 10.15及以上版本 硬件要求 类型 最低要求 建议配置 Windows客户端 CPU：i5 双核 内存：4G 硬盘可用空间：3G CPU： Intel i7 四核及以上 内存： 8GB及以上 硬盘可用空间： 8GB及以上 Mac客户端 CPU：4核 内存：4G 硬盘可用空间：3G CPU：4核 内存：4G 硬盘可用空间：8GB及以上 最低要求的设备，将受限于CPU处理性能，视频清晰度最高只能达到360P。

操作步骤 请单击下载，下载并安装桌面客户端。 推荐您从官方渠道下载客户端，如果您是从非官方渠道获取的客户端安装文件，请您确认软件合法性。 Windows软件合法性校验方法如下： 右键“xxx.exe”安装文件。 选择“属性”。 在上方导航栏选择“数字签名”页签。 在签名列表中，查看签名者姓名是否为“Huawei Technologies xxxx”，如果不是，请不要使用该软件包安装客户端。 Mac软件合法性在安装时系统会进行校验，请留意系统提示，如果不合法，请您不要继续安装客户端。 企业用户从短信或邮件中获取用户账号密码，登录桌面端。 图1 登录客户端

操作场景 管理员添加企业用户后，用户下载华为云会议移动客户端即可登录使用。 操作系统要求 类型 最低要求 建议配置 Android客户端 Android 6.0/Harmony 2.0 Android 10.0及以上/Harmony 2.0及以上 iOS客户端 iOS 11 iOS 14 及以上版本 硬件要求 类型 最低要求 建议配置 Android客户端 CPU：双核 1.5GHz 内存：2G 硬盘可用空间：800M CPU： 四核2GHz及以上 内存： 6G及以上 硬盘可用空间： 1G iOS客户端 CPU：- 内存：1G 硬盘可用空间：500M CPU：- 内存：3G 硬盘可用空间：1GB

方案架构 根据企业对会议功能应用需求，使用华为云会议方案，如表3。 表3 会议功能需求与方案 会议功能需求 云会议方案 多端接入 支持华为云会议桌面端/移动端、硬件终端、第三方硬件终端多种会议终端接入，满足各类会议场景。 会议控制 桌面端/移动端、华为云会议管理平台，多端超强会控能力。 资源管理 资源管理、业务发放、会议管理融为一体，企业管理员轻松掌握企业资源使用情况。 音视频质量 提供高清视频、共享画面，高效协同。 会议录播 1080P高清录制，高效转码，视频、音频、辅流多流录制。 安全可靠 从云、管、端三个层面全方位确保云会议业务安全可靠，为会议业务保驾护航。

应用场景 A企业下属有多个子公司和项目组，广泛分布于全国多个区域。为满足企业日常运作中线上会议交流、远程协作的需求，也为应对在家办公场景，A企业部署了华为云会议，让内部工作沟通、远程商务交流等更加顺畅。 A企业当前有5个子公司，各地共有100个项目组，总人数3000人，主要使用的会议类型如表 A企业主要会议类型所示。 表1 A企业主要会议类型 会议类型 说明 线上会议 员工与员工、员工与客户的业务交流场景 单次会议参会人数2~500 单个用户随时随地接入会议 会议室+线上会议 员工与不同项目组会议室/办公区、员工与商务伙伴的业务交流场景 单次会议参会人数2~500 会议室、单个用户接入会议 会议室+会议室线上会议 不同地域、会议室、办公区的业务交流场景 单次会议参会人数2~500 会议室接入会议 网络研讨会 大型会议场景 单次会议参会人数500~5000 会议室、单个用户接入会议 会议室会议 小组会议讨论场景 单次会议参会人数2~15 会议设备线下使用 A企业当前会议使用场景详情如表 会议使用情况所示。 表2 会议使用情况 会议场景 使用范围 入会终端类型 所属类型 部门例会、客户交流、线上面试 企业内全员可用 外部人员可入会 桌面端/移动端 线上会议 跨企业、跨地区业务沟通 企业内全员可用 会议室/办公区可用 桌面端/移动端、硬件终端 会议室+线上会议 业务培训 会议室/办公区可用 硬件终端 会议室+会议室线上会议 企业全员大型会议、线上招聘宣讲会 企业内全员可用 会议室/办公区可用 外部人员可入会 桌面端/移动端/Web端、硬件终端 网络研讨会 临时小组讨论、项目头脑风暴 会议室/办公区可用 硬件终端 会议室会议

数据迁移方案 表2 数据迁移方案 源数据库 迁移工具 特点 操作指导 RDS for MySQL DRS 支持全部数据、库级或表级数据迁移 支持全量和增量数据迁移 业务中断最小化 适用任何数据量 将MySQL迁移到TaurusDB TaurusDB mysqldump 支持全量数据迁移 业务中断影响较大 适合小型数据量 使用mysqldump迁移TaurusDB数据 DAS 支持全量数据迁移 业务中断影响较大 适合中型数据量 使用DAS导出导入功能迁移TaurusDB数据 本地自建MySQL数据库 E CS 自建MySQL数据库 DRS 支持全部数据、库级或表级数据迁移 支持全量和增量数据迁移 业务中断最小化 适用任何数据量 自建MySQL迁移到TaurusDB 其他云上MySQL数据库 DRS 支持全部数据、库级或表级数据迁移 支持全量和增量数据迁移 业务中断最小化 适用任何数据量 其他云MySQL迁移到TaurusDB

常用迁移工具介绍 表1 常用工具介绍 工具名称 工具介绍 计费说明 了解更多 DRS（推荐使用） DRS提供了实时迁移和实时同步功能，可以快速解决多场景下，数据库之间的数据流通问题，操作便捷、简单，仅需分钟级就能搭建完成迁移任务。通过服务化迁移，免去了传统的DBA人力成本和硬件成本，帮助您降低数据传输的成本。 按需计费。 具体的计费详情请参见计费说明。 什么是 数据复制服务 （DRS） mysqldump mysqldump是MySQL自带的一个命令行工具，用于备份和恢复MySQL数据库。 免费 什么是mysqldump DAS 当进行数据备份或迁移时，可以使用DAS的数据导出功能，获取完整的数据信息，再将数据从本地或者从OBS桶导入目标数据表。 免费 什么是数据管理服务（DAS）

TaurusDB多主实例简介 TaurusDB提供了多主版实例，在一个实例中通过多个读写节点来实现多写多读。多主版实例包含最少2个最多63个读写节点，没有只读节点。 在多主版实例中，读写节点通过共享元数据的方式对实例的元数据进行统一管理，用户可以通过数据库代理地址访问整个TaurusDB实例，数据库代理会自动转发用户的SQL命令到正确的读写节点。 相比于单主实例，多主版实例支持不同库或表在不同节点上并发写入，最多支持在63个节点同时写入数据，极大的提升了并发读写能力。 父主题： 多主实例（公测）

优势 支持全球范围部署，本地就近读取数据 具有区域/洲际的业务形态，主实例所产生的数据能直接在从实例就近读取到，无需直接访问主实例上的节点。 跨区域复制延迟低 无间断地从DFV存储中直接读取Redo Log进行异步复制，结合高吞吐的并行数据同步能力，使得复制延迟小于1秒成为现实。 数据同步对主节点的业务无影响 主实例复制节点直接从DFV存储中的不同节点并行地读取数据进行同步。主节点无需直接向从实例同步数据，只需向主实例复制节点更新Redo Log在存储中的位点信息即可。这样，主节点的业务不会受到RegionlessDB复制的影响。 超高扩展的只读节点 支持最多创建5个从实例，每个从实例最多支持15个只读节点。 创建实例时最多可批量申请10个只读节点。 支持Region级别的快速容灾恢复 主实例Region级别故障，相较于传统的容灾方案，RegionlessDB能够在选定的从实例中快速地完成主从切换, 达到分钟级的RTO和秒级的RPO时间。 如需使用快速容灾恢复，请提交工单处理。 RPO（Recovery Point Objective）主要指的是业务系统所能容忍的数据丢失量。 RTO（Recovery Time Objective）主要指的是所能容忍的业务停止服务的最长时间，也就是从灾难发生到业务系统恢复服务功能所需要的最短时间周期。

后续操作 返回实例列表，在左侧导航栏，选择“任务中心”，查看规格变更任务的执行进度。 对于变更方式为“立即变更”的任务： 在“即时任务”页签，搜索“TaurusDB实例规格变更”任务，查看执行进度。即时任务不支持取消。 对于变更方式为“可维护时间段”的任务： 在“定时任务”页签，搜索实例ID，查看该实例下规格变更的任务执行情况。 如果任务为“待执行”状态，单击“取消”，取消执行该任务。 更多操作，请参见查看TaurusDB实例任务。

免责声明 华为云为产品开通的正常功能可满足大部分客户日常需求，对于触发器类的功能，建议您在业务程序侧实现。如您确实需要开通事件定时器功能，因为一些已知的社区风险等，需要了解以下风险内容： 事件定时器实际触发时间与设置时间不符。 事件定时器未触发。 因为事件定时器特性的特殊性，可能实际执行情况与业务初始预期不符。 数据库使用遇到问题时，可能因为事件定时器的原因影响分析判断。 无法使用异构容灾特性。 其它未知问题。

账号类型 表1 账号说明 账号类型 说明 管理员账号root 创建实例页面只提供管理员root账户，支持的权限请参见TaurusDB约束与限制。 说明： 建议用户谨慎对root账户执行revoke、drop user、rename user操作，避免影响业务正常使用。 系统账户 创建TaurusDB实例时，系统会自动为实例创建如下系统账户（用户不可使用），用于给数据库实例提供完善的后台运维管理服务。 rdsAdmin：管理账户，拥有最高的superuser权限，用于查询和修改实例信息、故障排查、迁移、恢复等操作。 rdsRepl：复制账户，用于只读节点在主实例上同步数据。 rdsBackup：备份账户，用于后台的备份。 rdsMetric：指标监控账户，用于watchdog采集数据库状态数据。 rdsProxy：数据库代理账户，该账户在 开通读写分离 时才会自动创建，用于通过代理地址连接数据库时鉴权使用。 其他账号 在控制台或SQL语句中创建的账号。 创建后可以自行设置权限，请参见修改TaurusDB数据库账号权限。

使用须知 设置事务拆分需要满足数据库代理内核版本为2.3.9.5及以上。内核版本的查询方法请参见如何查看云数据库 TaurusDB实例的版本号。 在默认的“REPEATABLE_READ”隔离级别下，云数据库TaurusDB不支持事务拆分功能。 仅“READ-UNCOMMITTED”和“READ-COMMITTED”级别允许事务拆分。 仅读写模式的数据库代理支持事务拆分功能。 当事务拆分功能开启后，仅支持将事务隔离级别修改为“READ-UNCOMMITTED”或“READ-COMMITTED”，若需要将事务隔离级别修改至更高的级别，需要关闭事务拆分功能。

使用须知 只读节点删除后，不可恢复，请谨慎操作。 当实例中的只读节点个数≥2个时，才可选择删除只读节点，即实例中至少需要保留1个只读节点。 执行操作中的实例不能手动删除只读节点。 可用区类型选择多可用区，只读节点删除后必须保证所有节点不能在同一个可用区内。 例如有2个可用区，可用区一有1个主节点和1个只读节点，可用区二有1个只读节点，那么可用区二的只读节点是不允许被删除的。 删除最后一个Serverless节点时，需要确保Serverless增删只读功能开关已关闭。

注意事项 开启备份加密后，不会对开启前的备份进行加密，新增的备份文件会自动加密存储。 关闭备份加密后，新增的备份文件不会加密存储，关闭前创建的备份文件不会进行解密。 当前仅支持SM4和AES_256两种密钥算法，开启备份加密后无法修改密钥。 密钥在使用过程中不能被禁用、删除或冻结，否则会导致已加密的备份不可用。 在管理控制台使用备份直接恢复数据，不需要您手动解密，后端会自动解密后执行恢复操作。 开启过备份加密的实例仅支持恢复到新实例和当前实例，不支持恢复到已有实例。 不允许同时开启跨区域备份和备份加密。 实例开启备份加密时，只能选择对应企业项目的密钥，无法选择其他密钥。可通过 数据加密 服务控制台查看密钥对应的企业项目，详细内容请参考查看密钥。

计费周期 按需计费WAF资源按秒计费，每一个小时整点结算一次费用（以UTC+8时间为准），结算完毕后进入新的计费周期。计费的起点以WAF实例创建成功的时间点为准，终点以实例删除时间为准。 例如，您在2023/06/8 8:45:30购买了1个WAF独享引擎实例，然后在8:55:00将其删除，则计费周期为8:00:00 ~ 9:00:00，在8:45:30 ~ 8:55:30间产生费用，该计费周期内的计费时长为600秒。

计费项 专业服务项 服务子项 计费项 量纲 价格（元） 数字内容交付实施服务 解决方案 3D写实数字人IP 个 1,088,000 3D美型数字人IP 个 928,000 3D卡通数字人IP 个 627,000 3D风格化数字人制作 个 500 纯CG海报制作 个 60,000 虚实结合海报制作 个 66,000 纯CG视频制作 秒 6,800 虚实结合视频制作 秒 15,040 纯CG虚拟直播 场 256,000 虚实结合虚拟直播 场 398,000 新闻播报类纯CG视频制作 秒 1,534 新闻播报类虚实融合视频制作 秒 1,665 3D物品展示纯CG视频制作 秒 13,440 3D物品展示虚实融合视频制作 秒 15,040 云笙3D数字人视频制作 秒 16,800 云霄3D数字人视频制作 秒 16,800 风格化3D数字人视频制作 分钟 1,000 数字人视频播报-基础版 分钟 120 数字人视频播报-高阶版 分钟 6,000 集成实施 3D空间集成实施服务 人天 33,600 3D素材 3D写实发型模型制作 个 110,400 3D美型发型模型制作 个 78,400 3D卡通发型模型制作 个 39,840 3D写实服饰模型制作 个 124,800 3D美型服饰模型制作 个 86,400 3D卡通服饰模型制作 个 42,400 3D写实配饰模型制作 个 28,290 3D美型配饰模型制作 个 18,800 3D卡通配饰模型制作 个 16,400 3D场景模型制作 人天 10,000 3D数字人模型动态特效 人天 10,000 3D数字人动作动画 人天 10,000 3D物品建模 人天 10,000 3D场景扫描建模 人天 10,000 3D模型减面 人天 10,000 2D数字人直播 分身数字人视频素材制作 分钟 16 分身数字人直播内容执行 场 1,650 分身数字人视频交互执行 场 2,750 分身数字人形象模型制作 个 20,000 分身数字人声音模型制作 个 18,000

责任分工 共同责任 双方商定并确认具体数字人服务目标及范围。 完成合同签订。 客户责任 提供详细准确的需求和场景。 开通华为云账户并进行充值（建议不低于5000元），用于数字人模型相关云产品和资源的购买。 审核并确认华为提供的指导计划和交付件。 华为责任 模型制作前，按照客户所选服务项，制定制作计划和报价清单供客户审核确认。 模型制作期间，依确认后的计划为指定客户进行模型制作输出，并阶段和确认制作结果。 模型制作后，根据所选模型制作服务项，出具交付件清单。 责任矩阵

服务交付件 大类 子类 服务 交付件 数字内容交付实施服务 解决方案 3D写实数字人IP 3D写实数字人模型 3D美型数字人IP 3D美型数字人模型 3D卡通数字人IP 3D卡通数字人模型 3D风格化数字人制作 3D风格化数字人制作 纯CG海报制作 纯CG海报 虚实结合海报制作 虚实结合海报 纯CG视频制作 纯CG视频 虚实结合视频制作 虚实结合视频 纯CG虚拟直播 纯CG虚拟直播 虚实结合虚拟直播 虚实结合虚拟直播 新闻播报类纯CG视频制作 新闻播报类纯CG视频制作 新闻播报类虚实融合视频制作 新闻播报类虚实融合视频制作 3D物品展示纯CG视频制作 3D物品展示纯CG视频制作 3D物品展示虚实融合视频制作 3D物品展示虚实融合视频制作 云笙3D数字人视频制作 云笙3D数字人视频制作 云霄3D数字人视频制作 云霄3D数字人视频制作 风格化3D数字人视频制作 风格化3D数字人视频制作 数字人视频播报-基础版 数字人视频播报-基础版 数字人视频播报-高阶版 数字人视频播报-高阶版 集成实施 3D空间集成实施服务 技术支持 3D素材 3D写实发型模型制作 3D写实发型模型 3D美型发型模型制作 3D美型发型模型 3D卡通发型模型制作 3D卡通发型模型 3D写实服饰模型制作 3D写实服饰模型 3D美型服饰模型制作 3D美型服饰模型 3D卡通服饰模型制作 3D卡通服饰模型 3D写实配饰模型制作 3D写实配饰模型 3D美型配饰模型制作 3D美型配饰模型 3D卡通配饰模型制作 3D卡通配饰模型 3D场景模型制作 3D场景模型 3D数字人模型动态特效 3D数字人模型动态特效 3D数字人动作动画 3D数字人动作动画 3D物品建模 3D物品建模 3D场景扫描建模 3D场景扫描建模 3D模型减面 3D模型减面 2D数字人直播 分身数字人视频素材制作 分身数字人视频素材制作 分身数字人直播内容执行 分身数字人直播内容执行 分身数字人视频交互执行 分身数字人视频交互执行 分身数字人形象模型制作 分身数字人形象模型制作 分身数字人声音模型制作 分身数字人声音模型制作 最终交付件根据具体项目在制定计划时与客户商定。

身份认证与访问控制 SecMaster对接了 统一身份认证 服务（Identity and Access Management，IAM）服务。SecMaster租户身份认证与访问控制通过IAM权限控制。 统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助SecMaster服务安全地控制访问权限。通过IAM，可以将用户加入到一个用户组中，并用策略来控制他们对SecMasterr资源的访问范围。SecMaster权限可以通过细粒度定义允许和拒绝的访问操作，以此实现SecMaster资源的权限访问控制。 父主题： 安全

SecMaster控制台功能依赖的角色或策略 IAM主账号给IAM子账号授予区域级SecMaster FullAccess权限后，在 安全云脑 控制台使用服务委托授权操作时，还需要给子账号授予IAM创建委托权限、委托授权策略权限，具体说明如下： 表2 SecMaster控制台依赖服务的角色或策略 控制台功能 依赖服务 需配置角色/策略 服务委托授权 统一身份认证服务 IAM IAM子账号设置了区域级SecMaster FullAccess权限后，需要增加IAM创建委托权限、委托授权策略权限，具体操作请参见IAM子账号补充授权操作。

SecMaster ReadOnlyAccess策略内容 { "Version": "1.1", "Statement": [ { "Action": [ "secmaster:*:get*", "secmaster:*:list*" ], "Effect": "Allow" }, { "Action": [ "vpc:vpcs:list", "vpc:subnets:get", "vpcep:endpoints:get", "vpcep:endpoints:list" ], "Effect": "Allow" }, { "Action": [ "obs:bucket:ListBucketVersions" ], "Effect": "Allow" }, { "Action": [ "iam:permissions:checkRoleForAgencyOnDomain", "iam:permissions:checkRoleForAgencyOnProject", "iam:permissions:checkRoleForAgency", "iam:policies:get*", "iam:policies:list*", "iam:agencies:get*", "iam:agencies:list*", "iam:roles:get*", "iam:roles:list*", "iam:users:listUsers" ], "Effect": "Allow" }, { "Action": [ "organizations:organizations:get", "organizations:delegatedAdministrators:list", "organizations:roots:list", "organizations:ous:list", "organizations:accounts:list" ], "Effect": "Allow" }, { "Action": [ "ecs:cloudServers:list" ], "Effect": "Allow" }, { "Action": [ "lts:log*:list*" ], "Effect": "Allow" } ] }

SecMaster FullAccess策略内容 { "Version": "1.1", "Statement": [ { "Action": [ "secmaster:*:*" ], "Effect": "Allow" }, { "Action": [ "vpc:vpcs:list", "vpc:subnets:get", "vpcep:endpoints:*" ], "Effect": "Allow" }, { "Action": [ "obs:bucket:ListBucketVersions" ], "Effect": "Allow" }, { "Action": [ "iam:permissions:checkRoleForAgencyOnDomain", "iam:permissions:checkRoleForAgencyOnProject", "iam:permissions:checkRoleForAgency", "iam:permissions:grantRoleToAgency", "iam:permissions:grantRoleToAgencyOnDomain", "iam:permissions:grantRoleToAgencyOnProject", "iam:policies:*", "iam:agencies:*", "iam:roles:*", "iam:users:listUsers", "iam:tokens:assume" ], "Effect": "Allow" }, { "Action": [ "organizations:organizations:get", "organizations:delegatedAdministrators:list", "organizations:roots:list", "organizations:ous:list", "organizations:accounts:list" ], "Effect": "Allow" }, { "Action": [ "ecs:cloudServers:list" ], "Effect": "Allow" }, { "Action": [ "sts:agencies:assume" ], "Effect": "Allow" }, { "Action": [ "lts:log*:list*" ], "Effect": "Allow" } ] }

SecMaster权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 SecMaster部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问SecMaster时，需要先切换至授权区域。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对SecMaster服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。 如表1所示，包括了SecMaster的所有系统权限。 表1 SecMaster系统权限 系统角色/策略名称 描述 类别 SecMaster FullAccess 安全云脑的所有权限。 系统策略 SecMaster ReadOnlyAccess 安全云脑只读权限，拥有该权限的用户仅能查看安全云脑数据，不具备安全云脑配置权限。 系统策略

IAM子账号补充授权操作 SecMaster部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效。 当给IAM子账号进行区域级项目授权SecMaster FullAccess授权后，由于安全云脑对其他云服务资源有依赖，因此，还需要给IAM子账号进行全局级Action操作授权。具体添加权限如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "iam:roles:listRoles", "iam:agencies:listAgencies", "iam:permissions:checkRoleForAgencyOnDomain", "iam:permissions:checkRoleForAgencyOnProject", "iam:permissions:checkRoleForAgency", "iam:agencies:createAgency", "iam:permissions:grantRoleToAgencyOnDomain", "iam:permissions:grantRoleToAgencyOnProject", "iam:permissions:grantRoleToAgency" ] } ] } 其中，“iam:permissions:grantRoleToAgencyOnDomain”、“iam:permissions:grantRoleToAgency”、“iam:permissions:grantRoleToAgencyOnProject”、“iam:agencies:createAgency”为使用安全云脑时的服务委托授权操作权限，非IAM子账号必选权限，请根据需要进行配置，授权情况说明如下： 未授权：仅IAM主账号可进行服务委托授权操作，且IAM子账号进行服务委托授权操作时会出现报错提示。 授权：IAM主账号及已授权的IAM子账号均可以进行服务委托授权操作。

监控安全风险 SecMaster已对接 云监控服务 （Cloud Eye， CES ），可以通过管理控制台，查看SecMaster的相关运行指标，及时了解SecMaster运行状况。CES服务是华为云为用户提供一个针对各种云上资源的立体化监控平台，用户通过 云监控 服务可以全面了解云上的资源使用情况、业务的运行状况，并及时收到异常告警做出反应，保证业务顺畅运行。 SecMaster自身作为云上安全运营作战平台，可以接入其他云服务的安全告警，按照告警类型和等级统一维度呈现，可以准确实时监控云上威胁攻击、检测您资产中的安全告警事件；定义威胁告警通知，设置每日定时告警通知和实时告警通知，通过接收 消息通知 及时了解威胁风险。定义监控的威胁名单、告警类型、告警级别等，选择性呈现关注的威胁告警。帮助用户及时了解安全状况，从而起到预警作用。 CES的详细介绍和开通配置方法，请参见CES快速入门。 表1 监控 事件来源 事件名称 事件级别 事件说明 处理建议 事件影响 SYS.SecMaster 独享引擎创建失败 重要 一般是由于底层资源不足等原因导致。 提交工单让运维在后台协调资源再重试。 无法创建独享引擎 SYS.SecMaster 独享引擎运行异常 紧急 一般是由于流量过大或者恶意流程，插件导致。 排查流程，插件执行是否占用资源过多。 查看实例监控，短期内是否实例数量暴增。 无法执行实例 SYS.SecMaster 剧本实例执行失败 一般 一般是由于剧本，流程配置出错导致。 通过实例监控查看失败原因，修改剧本，流程配置。 无 SYS.SecMaster 剧本实例突增 一般 一般是由于剧本，流程配置出错导致。 通过实例监控查看突增原因，修改剧本，流程配置。 无 SYS.SecMaster 日志消息突增 重要 上游服务产生大量日志，导致消息快速增加。 需要排查上游服务业务是否正常。 无 SYS.SecMaster 日志消息突减 重要 上游服务产生日志突然变小。 需要排查上游业务是否正常 无 告警监控相关内容详细操作请参见： 漏洞管理 基线检查 安全报告 父主题： 安全

响应参数 状态码： 200 表2 响应Body参数 参数 参数类型 描述 operation_id String 操作ID。 percentage_complete Integer 完成进度百分比。 status String 状态。 percentage_details Array of OrganizationalPercentageDetail objects 创建账号、纳管注册OU、纳管账号的详细进度信息。 message String 创建账号、纳管注册OU、纳管账号的错误信息描述。 表3 OrganizationalPercentageDetail 参数 参数类型 描述 percentage_name String 进度名称。 percentage_status String 创建账号、注册OU、纳管账号的进度完成状态。