华为云用户手册

数据保护技术 Octopus通过多种数据保护手段和特性，保障存储在Octopus中的数据安全可靠。 表1 表1 多种数据保护手段 数据保护手段 简要说明 传输加密（HTTPS） 支持HTTP和HTTPS两种传输协议，为保证数据传输的安全性，推荐您使用更加安全的HTTPS协议。 数据备份 支持设置数据库的备份和恢复，来保障数据的可靠性。 权限最小化 临时AK/SK和SecurityToken是系统颁发给用户的临时访问令牌，通过接口设置有效期，范围为15分钟至24小时，过期后需要重新获取。临时AK/SK和SecurityToken遵循权限最小化原则。使用临时AK/SK鉴权时，临时AK/SK和SecurityToken必须同时使用。 父主题： 安全

工作空间隔离资源 工作空间：是Octopus自动驾驶云服务面向企业客户提供的一个高阶功能，用于进一步将用户的资源划分在多个逻辑隔离的空间中，并支持以空间维度进行访问的权限限定。 工作空间默认有一个“default”空间，在没有创建新的工作空间之前，您操作的所有资源均默认在该空间下。当您创建新的工作空间之后，相当于您拥有了一个新的“Octopus分身”，您可以通过菜单栏的左上角进行工作空间的切换，不同工作空间中的工作互不影响。只有被授权的用户才能访问特定的工作空间（在创建、编辑工作空间进行配置），像数据资产、仿真服务等，均可以借助工作空间做访问的限制。 图9 工作空间

Octopus CommonOperations策略内容 { "Version": "1.1", "Statement": [ { "Action": [ "octopus:annotation*:*", "octopus:common*:*", "octopus:dataCache:*", "octopus:dataCalibration:*", "octopus:dataExpress:create", "octopus:dataExpress:delete", "octopus:dataExpress:get", "octopus:dataExpress:list", "octopus:dataExpress:updateBaseInfo", "octopus:dataExpress:updateTaskConfig", "octopus:dataImportRecord:*", "octopus:dataJob:*", "octopus:dataMap:*", "octopus:dataOverview:get", "octopus:dataPackage:*", "octopus:dataProcessors:*", "octopus:dataReplay:get", "octopus:dataScenario:*", "octopus:dataset:*", "octopus:dataTag:*", "octopus:dataVehicle:*", "octopus:dataWarehouse:*", "octopus:imageRepo:*", "octopus:resource*:*", "octopus:sim*:*", "octopus:training*:*", "octopus:workspace:list", "octopus:workspace:get" ], "Effect": "Allow" } ]}

理解Octopus的权限与委托 如果您需要对华为云上购买的Octopus自动驾驶云服务资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用 统一身份认证 服务（Identity and Access Management，简称 IAM ）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。 通过IAM，您可以在华为云账号中给员工创建IAM用户，并使用策略来控制IAM用户对华为云资源的访问范围，例如您的员工中有负责软件开发的人员，您希望他们拥有Octopus的使用权限，但是不希望他们拥有删除通道等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用通道，但是不允许删除通道的权限策略，控制他们对通道资源的使用范围；在使用Octopus云资源过程中需要访问用户的其他服务，需要先获得用户的授权，这个动作就是一个“委托”，用户委托Octopus代表自己访问特定的云服务，已完成其在Octopus平台上的操作。 权限：使用Octopus自动驾驶云服务平台上的镜像仓库、运维配置、工作空间、数据资产、数据合规、数据处理、标注服务、训练服务、仿真服务的所有功能，均需要通过IAM权限体系进行正确权限授权。 委托：使用Octopus自动驾驶云服务平台上的智驾模型服务中的模型微调和2D图像生成功能需要访问 对象存储服务 （OBS），均需要获得用户的委托授权。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见《IAM产品介绍》。 如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用Octopus的其它功能。

Octopus权限管理 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。创建用户并授权使用八爪鱼自动驾驶云服务请参考创建用户并授权使用服务。 Octopus部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问Octopus时，需要先切换至授权区域。 图1 权限授权 IAM在对用户组授权的时候，并不是直接将具体的某个权限进行赋权，而是需要先将权限加入到“策略”当中，再把策略赋给用户组。为了方便用户的权限管理，各个云服务都提供了一些预置的“系统策略”供用户直接使用。如果预置的策略不能满足您的细粒度权限控制要求，则可以通过“自定义策略”来进行精细控制。请参考创建自定义策略。 如表1所示，包括了Octopus的所有系统权限。 表1 表1 Octopus系统策略 策略名称 描述 策略类别 角色/策略内容 Octopus FullAccess Octopus管理员权限，拥有该权限的用户可以操作并使用所有Octopus服务。 系统策略 Octopus FullAccess策略内容 Octopus CommonOperations Octopus操作权限，拥有该权限的用户拥有Octopus服务的除智驾模型服务、数据合规递送、创建工作空间、编辑工作空间、删除工作空间之外的所有操作权限。 系统策略 Octopus CommonOperations策略内容 表2列出了Octopus常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 Octopus常用操作与系统权限的授权关系 服务 功能 操作 Octopus FullAccess Octopus CommonOperations 镜像仓库 ALL ALL √ √ 运维配置 ALL ALL √ √ 标注服务 ALL ALL √ √ 训练服务 ALL ALL √ √ 仿真服务 ALL ALL √ √ 智驾模型服务 ALL ALL √ x 数据资产 ALL ALL √ √ 数据合规 数据合规递送 创建合规订单 √ x 获取合规订单列表 √ x 获取合规订单配置信息 √ x 更新合规订单状态 √ x 获取合规数据包列表 √ x 推送合规数据包 √ x 合规处理模板 创建合规处理模板 √ x 查询合规处理模板列表 √ x 查询合规处理模板详情 √ x 更新合规处理模板 √ x 删除合规处理模板 √ x 合规作业 查询合规作业列表 √ x 查询合规作业详情 √ x 创建合规作业 √ x 操作合规作业和作业队列 √ x 删除合规作业 √ x 数据处理 ALL ALL √ √ 工作空间 ALL 获取工作空间列表 √ √ 查看工作空间详情 √ √ 创建工作空间 √ x 编辑工作空间 √ x 删除工作空间 √ x 更详细的细粒度策略支持的授权项请参考《Octopus API参考》中“策略及授权项说明”章节。

续费 包年/包月自动驾驶云服务到期后会影响云服务器正常运行。如果您想继续使用，需要在指定的时间内为服务、资源、模型续费，否则将终止服务，系统中的数据也将被永久删除。在到期前续费成功，所有资源、数据得以保留，且服务的使用不受影响。 表1 续费相关功能 功能 说明 手动续费 包年/包月云服务、资源从购买到自动删除之前，您可以随时在自动驾驶云服务控制台续费，以延长使用时间。 自动续费 开通云服务时勾选自动续费选项，系统会在每次到期前为您自动续费，避免因忘记手动续费而导致资源、数据被自动删除。 图1 自动续费 父主题： 计费说明

配置SWR服务 本文档使用SWR来保存环境镜像，在执行任务前需要获取SWR登录指令、创建组织。 在CodeArts中单击导航“控制台”。在控制台中单击左上角搜索并进入SWR服务。 请检查页面左上方的“区域”列表，请确保与编译构建任务所在区域相同。如果区域不同，请选择相同区域。 单击“登录指令”，页面弹框显示登录指令。 其中， “-u”之后的字符串为用户名。 “-p”之后的字符串为密码。 最后的字符串为SWR服务器地址，此地址即为后续配置并执行任务中的参数“dockerServer”。 图1 登录指令 此处生成的登录指令为临时登录指令，有效期为24小时。如果需要长期有效的登录指令，请参见获取长期有效登录指令。 单击“创建组织”，在弹框中输入组织名称“phoenix”（如果页面提示“组织已存在”，请自定义其它名称），单击“确定”。 这里的组织名称，即为后续配置并执行任务中的参数“dockerOrg”。

设置定时执行任务 为了防止问题代码进入生产环境，确保应用总是处于可部署的状态，团队建议对应用进行持续不断的验证。 通过以下设置，可实现构建任务的定时执行。 在任务“phoenix-sample-ci”的详情页，单击“编辑”。 选择“执行计划”页签。 打开“启用定时执行”开关，根据需要选择执行日与执行时间，关闭“代码变化才执行”，保存任务。 本文档中勾选“全选”，执行时间为“12:00”（本文中使用默认时区，可以根据实际需要修改时区）。 验证配置结果：根据配置时间查看构建任务是否自动执行，本节不再赘述。

设置提交代码触发自动编译 通过以下配置，可实现代码变更后自动触发构建任务的执行，从而实现项目的持续集成。 在任务“phoenix-sample-ci”的详情页，单击“编辑”。 选择“执行计划”页签。 打开“提交代码触发执行”开关，保存任务。 由于在“参数设置”页签中“codeBranch”配置的默认值为“master”，因此本次设置的结果是当master有代码变更时自动触发构建。 验证配置结果：修改项目代码并提交至master，即可查看构建任务是否自动执行。

预置任务简介 样例项目中预置了以下5个构建任务。 表1 预置任务 预置任务 任务说明 phoenix-sample-ci 基本的构建任务。 phoenix-sample-ci-test 构建测试环境可用镜像的任务。 phoenix-sample-ci-worker 构建Worker功能镜像的任务。 phoenix-sample-ci-result 构建Result功能镜像的任务。 phoenix-sample-ci-vote 构建Vote功能镜像的任务。 本章节以任务“phoenix-sample-ci”为例进行讲解，此任务包含的步骤如下。 表2 构建步骤 构建步骤 说明 制作Vote镜像并推送到SWR仓库 依据代码仓库中的“vote/Dockerfile”文件制作Vote功能镜像，并将镜像推送到 容器镜像服务 。 制作Result镜像并推送到SWR仓库 依据代码仓库中的“result/Dockerfile”文件制作并推送Result功能镜像，并将镜像推送到容器 镜像服务 。 使用Maven安装Worker依赖包 使用Maven安装Worker功能所需的依赖。 制作Worker镜像并推送到SWR仓库 依据代码仓库中的“worker/Dockerfile”文件制作并推送Worker功能镜像，并将镜像推送到容器镜像服务。 生成Postgres and Redis Dockerfile 通过shell命令生成Dockerfile文件，用以制作Postgres（数据库）和Redis（缓存）镜像。 制作Postgres镜像并推送到SWR仓库 依据“生成Postgres and Redis Dockerfile”步骤中所生成的Dockerfile文件制作Postgres镜像，并将镜像推送到容器镜像服务。 制作Redis镜像并推送到SWR仓库 依据“生成Postgres and Redis Dockerfile”步骤中所生成的Dockerfile文件制作Redis镜像，并将镜像推送到容器镜像服务。 替换Docker-Compose部署文件镜像版本 为了将镜像部署到E CS 时，能够可以拉取到正确的镜像，使用shell命令进行完成以下操作。 使用sed命令，依次将文件“docker-compose-standalone.yml”中的参数替换为构建任务的参数“dockerServer”、“dockerOrg”、“BUILDNUMBER”进行替换。 使用tar命令，将文件“docker-compose-standalone.yml”压缩为“docker-stack.tar.gz”，将部署所需文件进行打包，以便于后续步骤将该文件上传归档。 替换Kubernetes部署文件镜像版本 为了将镜像部署到CCE时，能够可以拉取到正确的镜像，使用shell命令进行完成以下操作。 使用sed命令，将代码仓库中目录“kompose”下所有以“deployment”结尾的文件中的参数“docker-server”、“docker-org”，替换为构建任务的参数“dockerServer”、“dockerOrg”。 使用sed命令，将代码仓库中“result-deployment.yaml”、“vote-deployment.yaml”、“worker-deployment.yaml”三个文件中的参数“image-version”用构建任务参数“BUILDNUMBER”进行替换。 上传Kubernetes部署文件到软件发布库 将“替换Kubernetes部署文件镜像版本”步骤中修改后的所有“.yaml”文件上传到软件发布库中归档。 上传docker-compose部署文件到软件发布库 将“替换Docker-Compose部署文件镜像版本”步骤中压缩好的“docker-stack.tar.gz”上传到软件发布库中归档。

背景信息 CodeArts结合多年研发经验与业界先进的实践提出了一套可操作可落地的敏捷开发方法论：HE2E DevOps实施框架。 图1 HE2E DevOps实施框架 规划和设计 步骤①和②是业务（或者是客户）与技术之间进行产品规划，梳理产品整体脉络，以及进行产品规划实施设计，并控制需求粒度与拆分的过程。 软件开发的本质是为了解决问题，提供用户价值的，而不仅是为了提供功能。影响地图就是用来鉴别用户需求是什么，深层的根因是什么。 用户故事就是目标和需求的载体，以用户的场景来讲故事，便于在客户、业务与开发之间进行信息的传递。在这个过程中，独立的需求条目的堆积，很容易导致只能看到各个需求条目，不能从整个解决方案思考需求。用户故事以用户使用的场景为主线，将大的阶段点，及其细分的活动，以树状的结构进行梳理和展现，既可以看到独立的需求条目，又能够看到整体需求场景。 计划和跟踪、迭代开发 步骤③~⑩是Scrum框架过程，是主要的管理实践。 Scrum定义了一个相对完整的敏捷过程管理的框架。在CodeArts中，将Scrum的框架与团队日常的开发活动，很好的融合起来。主要的过程产物包括产品故事列表、迭代故事列表、潜在可交付的产品增量、以及过程中产生的问题列表；核心的团队活动包括Sprint计划会议、团队每日站会、Sprint演示会议、Sprint回顾会议等会议、以及团队的日常更新。 同时，将Kanban方法与Scrum框架进行了结合，团队借鉴Kanban方法中的精益思想，可视化价值流，发现并解决阻塞与瓶颈，加速价值流交付，并加快反馈回路，持续进行改进。 持续交付 从步骤⑪开始，进入到工程实践，也就是通常说的CI/CD过程。 持续交付以代码配置管理为基础，除了传统意义的代码资产安全与管控、多人并行开发、版本与基线管理外，也体现了团队的协作与沟通。 代码检查（即静态扫描）、自动化的构建、各阶段的自动化测试、以及相应的自动化部署过程，都被有机的串联在流水线上。 除了代码检查、构建、测试、部署等动态的阶段与活动，还有制品管理，以及各级的环境管理，包括开发环境、测试环境、准生产环境，以及生产环境。 持续交付流水线就是将整个持续交付中，都有哪些阶段，分别运行在什么环境，每个阶段执行什么活动，准入与准出的质量门禁，以及每个阶段的输入与输出的制品进行管理。

方案架构 “凤凰商城”示例程序架构 “凤凰商城”示例程序的架构图如图2所示。 图2 凤凰商城技术架构图 示例程序由表1中的5个可以独立开发、测试和部署的微服务组件构成。 表1 凤凰商城微服务组件表 微服务组件 说明 Web用户端服务器（对应样例代码中的“Vote”功能） 业务逻辑：用户可以通过浏览器访问此服务的WebUI。当用户在特定商品上单击“Like”时，服务将用户所选择物品的记录保存在Redis缓存中。 技术栈：Python、Flask框架。 应用服务器：Gunicorn。 Web管理端服务器（对应样例代码中的“Result”功能） 业务逻辑：用户可以通过浏览器访问此服务的WebUI，会动态显示用户端UI上用户单击“Like”的统计数据，此数据来自PostgreSQL数据库。 技术栈：Node.js、express框架。 应用服务器：server.js。 后台订单批处理程序（对应样例代码中的“Worker”功能） 业务逻辑：此服务为后台进程，会监控Redis缓存中物品记录，并将新纪录取出并保存在PostgreSQL数据库中，以便管理端UI可以抽取数据进行统计显示。 技术栈：.net core或者Java（此服务提供两种技术栈实现了同样的功能，可根据需要修改配置选择其中一个作为运行时进程）。 订单缓存 业务逻辑：此服务作为用户端UI服务的数据持久化服务存在。 技术栈：Redis 订单数据库 业务逻辑：此服务作为管理端UI服务的数据源。 技术栈：PostgreSQL “DevOps全流程样例项目”构成 “DevOps全流程样例项目”是一个Scrum类型的模板项目，项目中预置了部分服务的使用模板。项目实践过程中涉及到的产品及服务如下表。 表2 实践涉及产品/服务列表 服务 说明 软件开发生产线 需求管理 预置3个已规划并已完成的迭代、项目的模块设置、以及若干统计报表。 代码托管 预置代码仓库“phoenix-sample”，存放项目示例代码。 代码检查 预置4个任务，任务详情介绍请参见步骤四：检查代码。 编译构建 预置5个任务，任务详情介绍请参见步骤五：构建应用。 制品仓库 用于存储通过构建任务生成的软件包。 部署 预置3个应用，应用详情介绍请参见步骤六：部署应用（CCE篇）。 测试计划 功能测试用例库，预置十余个测试用例。 流水线 预置5条流水线，流水线详情介绍请参见步骤八：配置流水线，实现持续交付。 其它组件和服务 统一身份认证服务 用于管理账号。 容器镜像服务 用于存放构建任务生成的Docker镜像。 云容器引擎 用于软件包部署，与ECS部署属于两种不同的部署方式。 弹性云服务器 用于软件包部署，与CCE部署属于两种不同的部署方式。

购买并配置云容器引擎 本节中使用的是云容器引擎CCE。 通过控制台可购买CCE集群。 其中集群及节点的必要配置建议参照表2与表3，表中未涉及的可根据实际情况选择。 表2 CCE集群购买配置 配置分类 配置项 配置建议 基础配置 计费模式 选择“按需计费”。 集群版本 根据需要选择，建议选择最新版本。 网络配置 容器网络模型 选择“容器隧道网络”。 虚拟私有云 选择已有的虚拟私有云，如果列表中没有合适的选项，单击“新建虚拟私有云”完成创建。 子网 选择已有的子网，如果列表中没有合适的选项，单击“新建子网”完成创建。 容器网段 勾选“自动设置网段”。 表3 节点配置 配置分类 配置项 配置建议 计算配置 计费模式 选择“按需计费”。 节点类型 选择“弹性云服务器-虚拟机”。 节点规格 选择2核8G及以上规格即可。 操作系统 选择公共镜像中的Euler镜像。 节点名称 输入自定义名称 。 登录方式 选择“密码”。 密码 输入自定义密码 。 网络配置 节点IP 选择“自动分配”。 弹性公网IP 选择“自动创建”。

配置准出条件 为了控制代码的质量，代码必须经过扫描，并且错误数量控制在合理范围内，才允许发布。通过添加质量门禁可以有效的自动化控制流程。 在流水线任务“phoenix-workflow”详情页，单击“编辑”。 在阶段“代码检查”中，单击“准出条件”。 在“准出条件”窗口中，单击“标准策略准出条件”插件后的“添加”。 选择“系统策略”，单击“确定”。 单击“保存并执行”，启动流水线任务。 如果代码检查问题数未达到准出条件，流水线任务将执行失败。

预置流水线简介 示例项目中预置以下5个流水线任务，可根据需要查看并使用。 表1 预置流水线任务 预置流水线任务 任务说明 phoenix-workflow 基本的流水线任务。 phoenix-workflow-test 测试环境对应的流水线任务。 phoenix-workflow-work Worker功能对应的流水线任务。 phoenix-workflow-result Result功能对应的流水线任务。 phoenix-workflow-vote Vote功能对应的流水线任务。

跟踪项目状态 每日站立会议跟踪任务进度。 迭代开始后，项目组通过每日站立会议沟通每个工作项的当前进展，并对工作项状态进行更新。 使用卡片模式能够简单直观的查看迭代中各工作项的当前状态。 进入“迭代”页面，单击图标，切换到卡片模式。页面中展示了处于每种状态下的工作项卡片，通过拖拽工作项卡片即可更新其状态。 迭代评审会议验收迭代成果。 在到达迭代的预计结束时间前，项目组召开迭代评审会议，展示当前迭代的工作成果。 “迭代”页面提供了迭代统计图表，团队可以方便的统计当前迭代的进度情况，包括需求完成情况、迭代燃尽图、工作量等。 进入“迭代”页面，单击“统计”，即可展开迭代进度视图。

检视代码、合并分支 开发人员发起合并请求。 开发人员Chris完成代码开发，确认无误后，即可发起合并请求，将功能分支合并到master中。 进入代码仓库，选择“合并请求”页签，单击“新建合并请求”。 源分支选择“Feature-Store”，目标分支选择“master”，单击“下一步”。 参照表3编辑合并请求详情。 表3 合并请求配置 配置项 配置建议 标题 输入“添加门店网络列表”。 合并人 单击，在弹框中勾选“Maggie”，单击“确定”。 审核人 单击，在弹框中勾选“Maggie”，单击“确定”。 单击“新建合并请求”完成合并请求的创建。 项目经理评审并完成代码合入。 本文档中，合并请求的评审人与合并人均是项目经理Maggie。因此Maggie可评审合并请求内容，并在评审通过后完成分支合入。 进入代码仓库后，选择“合并请求”页签，可找到由开发人员Chris创建的合并请求。 单击该请求，查看合并请求详情。 可在页面中留下评审意见。单击审核门禁中“通过”完成审核。 单击“合入”，将分支合入“master”。 如果发起分支合并请求时勾选了“合并后删除源分支”，分支“Feature-Store”将在分支合并完成后被删除。

预置任务简介 样例项目中预置了以下4个代码检查任务。 表1 预置任务 预置任务 任务说明 phoenix-codecheck-worker 检查Worker功能对应代码的任务。 phoenix-codecheck-result 检查Result功能对应代码的任务。 phoenix-codecheck-vote 检查Vote功能对应代码的任务。 phoenix-sample-javas 检查整个代码仓库对应的JavaScript代码的任务。

操作流程 本文档将按照以下步骤介绍HE2E DevOps实践的操作流程。 图1 HE2E DevOps实践操作流程图 表1 HE2E DevOps实践操作流程说明 步骤 说明 实践准备 完成实践开始前的准备工作，包括创建项目、添加项目成员等操作。 管理项目规划 完成项目的整体规划，包括项目需求规划、迭代需求规划等。 管理项目配置 根据项目需求，对工作项变更的通知方式、工作项状态的流转方式等进行自定义设置。 开发代码 通过分支来进行代码的编写，包括创建分支、代码提交、合并分支等操作。 检查代码 对代码进行静态扫描，根据修复建议优化代码，提高代码质量。 构建应用 构建环境镜像、将代码编译打包成软件包。 部署应用 将构建好的环境镜像及软件包安装并运行在环境中，本文档提供两种环境的部署方法：CCE与ECS。 管理项目测试 为迭代创建测试计划、设计测试用例，并按照计划执行测试用例。 配置流水线 将代码检查、构建、部署等任务串联成流水线。当代码有更新时，可自动触发流水线，实现持续交付。 释放资源 实践完成，释放CodeArts、CCE等资源。

购买须知 购买实例的账号需具有“SES Administrator”和“BSS Administrator”角色。 SES Administrator：管理检测与响应服务的管理员权限。 BSS Administrator：对账号中心、费用中心、资源中心中的所有菜单项执行任意操作。项目级策略，在同项目中勾选。 等保建设助手价格与项目实际情况、IT系统所在地息息相关，MDR管理控制台上提供的费用仅做参考。 购买前，请拨打950808或直接联系您的客户经理，确定项目报价后再下单。 该订单服务周期为1年，订单下单后1年将自动失效；订单失效后将不再提供相关服务。

购买须知 购买实例的账号需具有“SES Administrator”和“BSS Administrator”角色。 SES Administrator：管理检测与响应服务的管理员权限。 BSS Administrator：对账号中心、费用中心、资源中心中的所有菜单项执行任意操作。项目级策略，在同项目中勾选。 密评建设助手价格与项目实际情况、IT系统所在地息息相关，费用仅做参考。 购买前，请拨打950808或直接联系您的客户经理，确定项目报价后再下单。 该订单服务周期为1年，订单下单后1年将自动失效；订单失效后将不再提供相关服务。

购买须知 购买实例的账号需具有“SES Administrator”和“BSS Administrator”角色。 SES Administrator：管理检测与响应服务的管理员权限。 BSS Administrator：对账号中心、费用中心、资源中心中的所有菜单项执行任意操作。项目级策略，在同项目中勾选。 企业版价格与项目实际情况、IT系统所在地息息相关，费用仅做参考。 购买前，请拨打950808或直接联系您的客户经理，确定项目报价后再下单。 该订单服务周期为1年，订单下单后1年将自动失效；订单失效后将不再提供相关服务。

购买须知 购买实例的账号需具有“SES Administrator”和“BSS Administrator”角色。 SES Administrator：管理检测与响应服务的管理员权限。 BSS Administrator：对账号中心、费用中心、资源中心中的所有菜单项执行任意操作。项目级策略，在同项目中勾选。 专项版价格与项目实际情况、IT系统所在地息息相关，MDR管理控制台上提供的费用仅做参考。 购买前，请拨打950808或直接联系您的客户经理，确定项目报价后再下单。 该订单服务周期为1年，订单下单后1年将自动失效；订单失效后将不再提供相关服务。

示例流程 图1 给用户授予权限流程 创建用户组并授权 在IAM控制台创建用户组，并授予管理检测与响应权限“SES Administrator”。 创建用户并加入用户组 在IAM控制台创建用户，并将其加入1中创建的用户组。 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限： 验证方式（参考）：在“服务列表”中选择除管理检测与响应外（假设当前权限仅包含“SES Administrator”角色）的任一服务，若提示权限不足，表示“SES Administrator”已生效。

云审计 服务支持的MDR操作列表 云审计服务（Cloud Trace Service， CTS ）记录管理检测与响应相关的操作事件，方便您日后的查询、审计和回溯，详情请参见云审计服务用户指南。 云审计服务支持的MDR操作列表如表1所示。 表1 云审计服务支持的MDR操作列表 操作名称 资源类型 事件名称 管理检测与响应-创建订单 PSDM createMdrOrder 管理检测与响应-租户申请交付 PSDM mdrCustomerApplication 租户侧上传附件 PSDM customerUploadAccessory 租户侧下载指定模板文件 PSDM customerDownloadTemplate 服务单附件下载 PSDM downLoadAccessories 服务单验收通过 PSDM professionalTicketsAcceptanceSuccess 服务单验收延期 PSDM professionalTicketsAcceptanceExtend 服务单评价 PSDM professionalTicketsEvaluate 父主题： 云审计服务

购买须知 购买实例的账号需具有“SES Administrator”和“BSS Administrator”角色。 SES Administrator：管理检测与响应服务的管理员权限。 BSS Administrator：对账号中心、费用中心、资源中心中的所有菜单项执行任意操作。项目级策略，在同项目中勾选。 DDOS攻击缓解助手价格与项目实际情况、IT系统所在地息息相关，MDR管理控制台上提供的费用仅做参考。 购买前，请拨打950808或直接联系您的客户经理，确定项目报价后再下单。 该订单服务周期为1年，订单下单后1年将自动失效；订单失效后将不再提供相关服务。

密评建设助手 密评建设助手面向政府和大型企事业单位提供“密评”合规、国密改造、密码安全评估咨询服务，根据密码应用情况提供密码合规参考意见、相关技术建议书以及密评条款分析情况汇总。密评建设助手详细服务内容请参见表 密评建设助手说明。 表4 密评建设助手说明 服务项 服务内容 交付件 用户调研 项目需求沟通 提供需求沟通会议纪要 信息收集与分析 填写《信息系统调研表》 调研表分析及评审 提供《信息系统调研表》 差距分析 密评技术条例分析 提供《差距分析报告》 密评管理条例分析 现状分析与差距评估 整改方案 密评技术条例整改指导 密评技术条例解读 根据测评结果判定，指导进行密评技术条例不满足项的整改 提供整改方案、管理制度模板 密评管理条例整改指导 密评管理条例解读 根据测评结果判定，指导进行密评管理条例不满足项的整改 技术及管理层面整改取证指导 方案评估 密评专家进行方案评估 密评专家进行方案评估，审查被测系统责任单位的密码应用/密码设计/实施/应急方案 专家评估结论输出 提供《评估报告》

企业版 企业版管理检测与响应结合您实际业务场景，通过云服务方式，为您提供华为 云安全 标准化的运维运营服务。企业版服务详细内容请参见表 企业版服务说明。 表1 企业版服务说明 服务内容 响应时间 交付件 网站安全体检：远程提供安全监测服务支持HTTP/HTTPS协议进行实时安全监测；支持网页木马、恶意篡改、坏链、对外开放服务、可用性、审计、脆弱性这七个维度对网站进行监测；支持WEB安全 漏洞扫描 及 域名 劫持进行实时安全监测； 定期推送网站安全体检报告。 8小时内响应 服务后5个工作日内提交测试报告 提供专业的《监控季度总结报告》和《年度总结报》。 主机安全体检：通过 日志分析 、漏洞扫描等技术手段对主机进行威胁识别；通过基线检查发现主机操作系统、中间件存在的错误配置、不符合项和弱口令等风险。 8小时内响应 5个工作日内评估主机安全 提供专业的《主机安全评估报告》。 安全加固：对主机服务器、中间件进行漏洞扫描、基线配置加固；分析操作系统及应用面临的安全威胁，分析操作系统补丁和应用系统组件版本；提供相应的整改方案，并在您的许可下完成相关漏洞的修复和补丁组件的加固工作。 8小时内响应 单次服务10-20个系统后10个工作日内提交测试报告。 提供专业的《安全加固交付报告》。 安全监测：通过远程查找及处置主机系统内的恶意程序，包括病毒、木马、蠕虫等；通过远程查找及处置Web系统内的可疑文件，包括Webshell、黑客工具和暗链等；提出业务快速恢复建议，协助您快速恢复业务。 工作日内8小时响应。 5个工作日内评估项目总体人工天与预计周期。 提供专业的《安全监测报告》。 应急响应：业务系统出现安全问题的情况下，提供24小时安全应急响应服务，由安全团队协助处理中毒、中木马等应急事宜，每次处理完成后华为侧提供应急响应报告，分析问题根因，并提供改进建议。 工作日1小时内响应，非工作日内4小时响应。 单次服务10台设备以内后3个工作日内以提交报告时间为准。 提供专业的《应急响应报告》。 安全配置服务：根据客户业务需求，如主机IP、主机系统版本、域名、流量、加密、数据库防护等级等信息。输出安全解决方案并制订安全防护体系包括安全服务规格、数量、策略。 工作日1小时内响应，非工作日内4小时响应。 提供专业的《安全配置方案》。 安全防护服务开通与部署：安全服务交付，如主机安全、WAF、DDoS高防、 堡垒机 、漏洞扫描等服务的部署。云安全设置，提供云安全设置服务，包括安全组、防火墙策略等的设置操作 工作日1小时内响应，非工作日内4小时响应。 提供专业的《安全服务交付报告》。 定期策略更新与维护：从主机安全、应用安全、网络安全、数据安全、安全管理等方面定期完成漏洞检测、基线扫描、策略优化、巡检监控等操作，并输出整改方案报告。 工作日8小时内响应。 7个工作日内评估项目总体人工天与预计周期。 提供专业的《安全运维服务周期性报告》。 安全漏洞预警：根据最新的安全漏洞、病毒木马、黑客技术和安全动态信息，结合客户实际的操作系统、中间件、应用和网络情况等，定期将相关安全信息如安全漏洞、病毒木马资讯、安全隐患/入侵预警和安全事件动态等内容，以电子邮件方式进行通报，并提出合理建议和解决方案等。 固定发送安全资讯周报 工作日1小时内响应，非工作日内4小时响应。 不定时发送漏洞预警 提供专业的《安全周报和漏洞预警》。 主动安全预警：主机存在被入侵并对外攻击问题，主动邮件或电话知会客户排查；针对主动发现的影响客户使用的安全问题，进行主动通知工作。 工作日1小时内响应，非工作日内4小时响应。 提供专业的《配置核查报告》、《安全策略优化报告》、《弱口令检查报告》。 安全设备维护：对各类安全设备开展基础维护，包括设备配置定期备份、设备特征库升级、设备版本升级、设备切换、设备配置调整等。 每周固定发送安全巡检周报，不定时发送设备维护报告 提供专业的《安全设备维护报告》。 漏洞管理：通过华为云主机安全、漏洞扫描等安全服务，对实现云上业务系统的web应用、操作系统、中间件等漏洞的统一管理。 工作日1小时内响应，非工作日内4小时响应。 单次服务结束后3个工作日内以提交报告时间为准。 提供专业《漏洞扫描报告》。

专项版 专项版通过业务信息收集、安全保障方案制定、安全自查与整改、安全防护加固、安全团队建设、现场+远程监控及响应、安全服务保障总结等方式，支撑各类会议稳定、圆满进行。 专项版提供云会议安全保障和特级安全保障两种服务类型，服务内容和典型应用场景如表 专项版说明所示。您可根据实际业务需求，选择购买需要的服务类型。 表3 专项版说明 服务类型 服务内容 服务特色 典型应用场景 云会议安全保障 业务信息收集 安全保障方案制定 安全自查与整改 安全防护加固 安全团队建设 现场+远程监控及响应 安全服务保障总结 针对您的业务问题提供修复建议 提供保障服务的历史漏洞和修复建议 安排专职专家远程职守、实时监控 适用于重大会议 特级安全保障 业务信息收集 安全保障方案制定 安全自查与整改 安全防护加固 安全团队建设 现场+远程监控及响应 安全服务保障总结 对您的业务问题进行修复并提供建议 对您的保障业务系统进行风险评估并整改 修复保障服务的历史漏洞并定期跟踪 安排专职专家现场职守、实时监控 适用于特级会议

等保建设助手 等保建设助手凭借华为安全团队自身及客户等保认证经验，为您提供等保定级和差距评估咨询，并根据系统情况提供定级参考意见和相关技术建议书以及等保条款分析情况汇总。 等保建设助手提供基础版和高级版两种服务类型，服务内容和典型应用场景如表 等保建设助手说明所示。您可根据实际业务需求，选择购买需要的服务类型。 表2 等保建设助手说明 服务类型 服务内容 典型应用场景 基础版 提供等保定级和差距评估咨询，根据系统情况提供定级参考意见和相关技术建议书以及等保条款分析情况汇总 等保安全加固方案：根据等级保护差距要求，远程方式提供安全加固建议 适用于您已找好等保测评机构，但缺乏对等保要求的深入了解，不知道如何整改且拖延整改周期。 高级版 提供等保定级和差距评估咨询，现场方式进行系统情况提供定级参考意见和相关技术建议书以及分析情况汇总 等保安全加固方案：根据等级保护差距要求，现场方式提供安全加固建议