检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
与生产环境边界 由于测试环境仍属于安全级别较低的区域，安全风险较高，如需与生产环境互联，此边界需要特别关注，采用较严格的访问控制策略：由开发测试环境发起对生产环境的访问，需严格控制(默认失败)，仅能访问生产环境中必要的[IP]:[PORT] (最小化)。由生产环境发起的对开发测试
与开发测试环境边界 由于测试环境仍属于安全级别较低的区域，安全风险较高，如需与生产环境互联，此边界需要特别关注，采用较严格的访问控制策略：由开发测试环境发起对生产环境的访问，需严格控制(默认失败)，仅能访问生产环境中必要的[IP]:[PORT] (最小化)；由生产环境发起的对开发
运维边界 由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。 安全策略 如图2 生产环境子网、网络ACL分布图所示，网络ACL“NACL-PRD-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。
申请子网并设置安全组 为了使SAP HANA系统中，各服务器能正常通信，需要为云服务器申请子网，并设置合适的安全组信息。 操作步骤 申请子网。 登录管理控制台。 在管理控制台左上角单击，选择区域和项目。 在左侧导航栏，单击，选择“网络 > 虚拟私有云”。 在左侧导航栏，单击“子网”
网络隔离与访问控制 SAP生产环境安全解决方案如图1 生产环境安全解决方案全景图所示。 图1 生产环境安全解决方案全景图 根据业务特点，参考企业安全实践，建议将云上系统(生产环境、开发测试环境)划分为不同安全级别的多个子区域(以子网为粒度进行隔离)，包括管理区、应用区、SAP DB区、DMZ区。
申请子网并设置安全组 为了使SAP HANA系统中，各服务器能正常通信，需要为云服务器申请子网，并设置合适的安全组信息。 操作步骤 申请子网。 登录管理控制台。 在管理控制台左上角单击，选择区域和项目。 在左侧导航栏，单击，选择“网络 > 虚拟私有云”。 在左侧导航栏，单击“子网”
网络隔离与访问控制 SAP生产环境安全解决方案如图1 生产环境安全解决方案全景图所示。 图1 开发测试环境安全解决方案全景图 根据业务特点，由于开发测试环境仅供企业内部开发、测试使用，并参考企业安全实践，开发测试环境内部可采用稍弱的网络隔离与访问控制策略，提高网络部署灵活性。 但
业务边界 根据业务特点，由于生产环境需对公网提供服务，同时也需要与其它IDC进行互联，需建立与企业内网(IDC)互联的VPN通道，同时需要设置云上与云下以及云上与互联网之间的访问控制策略。 针对DMZ区、内网应用区、管理区，由于能够被外部访问，建议采取相应的边界防护措施。 VPN
业务边界 根据业务特点，由于开发测试环境需与企业内部开放、测试使用，也有公网访问需求，需建立与企业内网(IDC)互联的VPN通道，同时需要设置云上与云下以及云上与互联网之间的访问控制策略。 VPN 由于开发测试环境供企业内部开放、测试使用，多为静态连接需求，综合考虑安全性与时延，
运维边界 由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。 安全策略 图1 开发测试环境子网 如图1 开发测试环境子网所示，网络ACL“NACL-DEV-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够
网络信息规划 网络信息规划 网络平面规划（单节点无HA） 单节点（无HA）场景的网络如图1所示。 网段信息与IP地址信息均为示例，请根据实际规划。 图1 单节点（无HA）场景网络 说明如下： 在该场景下，每个节点只使用一块网卡，作为网络通信平面。 规划的网络信息如表1所示。 表1
安全组规划 SAP HANA安全组规划 SAP HANA安全组规则如表1所示。 网段信息与IP地址信息均为示例，请根据实际规划。下面的安全组规则仅是推荐的最佳实践，租户根据自己的特殊要求，可设置自己的安全组规则。 下表中，##表示SAP HANA的实例编号，例如“00”。此处需要与安装SAP
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
