检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
足其IT系统管理的诉求。客户会把所有工作负载部署在一个账号内。以下是一个单账号的工作负载级的安全参考架构。 该架构主要的安全设计如下： 网络安全 防DDoS攻击使用AAD服务 Web类攻击采用WAF防护 采用SSL证书进行通信加密 互联网边界、VPC之间采用云防火墙 运行环境安全
SEC05-05 证书安全管理 证书的常见用途包括传输数据的加密和系统间的身份认证场景。集中管理每个证书的用途、有效期等信息，并及时对证书替换。 风险等级 中 关键策略 集中管理证书： 建立中心化的证书管理系统，用于存储、跟踪和管理所有证书。 确保每个证书都有清晰的标识，包括用途、所有者、有效期等信息。
DEW：提供密钥管理、凭据管理、密钥对管理、专属加密功能，安全可靠为用户解决数据安全、密钥安全、密钥管理复杂等问题。 云证书管理服务 CCM：为云上海量证书颁发和全生命周期管理的服务。目前它可以提供SSL证书管理和私有证书管理服务。 数据库安全服务 DBSS：基于机器学习机制和大数据分析
对于大型企业，涉及多账号统一安全管理和运营。集中收集来自多云环境、多账号和多云服务产品的日志、告警、配置、策略和资产数据等，提高安全运营和运维效率，实现企业的多账号与资源的统一管理。基于统一管理日志，可支持统一存储、统一分析、统一建模、统一威胁分析、统一编排响应、统一态势报告和统一安全策略管理等。 相关云服务和工具
的流量信息，帮助用户优化安全组和防火墙控制规则、监控网络流量、进行网络攻击分析等。关于安全日志更多见：SEC09-01 实施标准化管理日志 相关云服务和工具 VPC、VPCEP 企业路由器 ER 云连接 CC 云防火墙 CFW：提供云上互联网边界和VPC边界的防护，包括实时入侵检
负载均衡、公网NAT网关、Web云防火墙等作为公网访问入口。 对外的IP地址需要通过安全组、NAT等限制网络端口访问，减少安全风险。 相关云服务和工具 虚拟私有云VPC：安全组 弹性负载均衡器 ELB NAT网关 NAT Web云防火墙 WAF 父主题： RES05 网络高可用
文件包含、目录遍历、敏感文件访问、命令、代码注入、网页木马上传、第三方漏洞攻击等常见Web威胁问题。 相关云服务和工具 企业主机安全 HSS Web应用防火墙 WAF 父主题： SEC06 应用安全性
延伸到主动的诱捕溯源。 用户需求变化 产品层面：除传统的入侵防御、WAF和漏扫之外，对资产测绘、APT检测、安全情报和蜜罐的需求在不断增加。 服务层面：除保障期间的安全加固和值守服务外，对日常的安全巡检、安全培训和内部攻防演习需求不断增加。 父主题： SEC10 安全事件响应
问题和检查项 问题 检查项/最佳实践 SEC01 如何整体考虑云安全治理策略？ 建立安全管理队 建立安全基线 梳理资产清单 分隔工作负载 实施威胁建模分析 识别并验证安全措施 SEC02 如何管理人机接口和机机接口的身份认证？ 对账号进行保护 安全的登录机制 安全管理及使用凭证 一体化身份管理
资源，主要是做好以下管理工作： 统一组织和账号管理：创建和管理组织结构和组织单元，在组织单元下面创建成本账号，或者邀请已有账号作为组织单元的成员账号。 统一财务管理：针对整个企业在华为云上的所有账号进行统一财务管理，包括统一预算管理、统一账单管理、统一成本结算、统一成本分析等。
COST07 管理和优化资源 COST07-01 持续监控资源利用率指标 COST07-02 释放闲置资源 COST07-03 考虑不同的云资源技术选型 COST07-04 合理降配低负载资源或升配高负载资源 父主题： 成本优化支柱
规划企业组织，将组织结构，流程和成本管理相匹配 2. 规划IT治理体系，提高管理效率 3. 明确团队责任，建立和维护成本意识文化 4. 指定云资源管理策略和相应的权限管理机制 COST02 您是否有预算规划管理机制？ 1.建立云预算与预测流程 2.精细化预算管理和跟踪 COST03 您是否将成本分配到组织单元？
通过可观测性指标引入自动化措施 OPS07 是否进行故障分析与管理？ 1. 创建可操作的告警 2. 创新监控看板 3. 支持事件管理 4. 支持故障恢复流程 OPS08 是否有运营状态度量和持续改进机制？ 1. 使用度量指标衡量运营目标 2. 进行事故复盘和改进 3. 知识管理 父主题： 卓越运营支柱
问题和检查项 问题 检查项/最佳实践 PERF01 如何确立流程与规范？ 全生命周期性能管理 应用性能编程规范 PERF02 如何进行性能规划？ 定义性能目标 容量规划 PERF03 如何进行性能建模？ 选择合适类型的计算云服务 选择合适规格的虚拟机和容器节点 使用弹性伸缩 选择合适类型的网络云服务
OPS05 运维准备和变更管理 OPS05-01 进行生产准备度评审（Product Readiness Review） OPS05-02 进行变更风控 OPS05-03 定义变更流程 父主题： 卓越运营支柱
COST02-02 精细化预算管理和跟踪 风险等级 高 关键策略 针对企业不同项目/业务/应用，应该建立预算管理机制，精细化管理每个项目/业务/应用全生命周期的云开销。 企业的项目/业务是随时间变化而变化的，一般而言，新兴业务/项目常有更多云资源扩容的需求，而稳定的业务/项目则可
OPS07 进行故障分析和管理 OPS07-01 创建可操作的告警 OPS07-02 创建监控看板 OPS07-03 支持事件管理 OPS07-04 支持故障恢复流程 父主题： 卓越运营支柱
RES02 您如何备份应用程序中的关键数据？ 识别和备份应用中所有需要备份的关键数据 自动数据备份 定期进行备份数据恢复 RES03 您如何对应用程序进行跨AZ灾难恢复？ 集群跨AZ部署 跨AZ数据同步 对接容灾仲裁，支持自动切换 支持容灾管理 RES04 您如何对应用程序进行跨Region或跨云灾难恢复？
务，也使用不同的账号和环境。 然而即使账号/环境是分散的，云资源管理策略和权限管理机制应该是集中的。 企业的中心团队，如上文所提的云业务办公室、云卓越中心或 FinOps 团队需要为各个账号环境实施与策略一致的组和角色，控制每个组中谁可以创建、修改或停用实例和资源。同时依据企业的
优先通过自动化响应事件，避免占用业务交付和创新的时间。首先构建一个可重复的流程来缓解问题，然后关注自动缓解或解决根本问题以提升效率。 华为云相关云服务和工具 云监控服务 CES 云运维中心 COC 父主题： OPS07 进行故障分析和管理
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
