检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
使用WAF对APIG进行安全防护 应用场景 企业为了保护APIG及后端服务器免受恶意攻击，可在APIG和外部网络之间部署WAF。 方案架构 图1 后端服务器访问原理 方案优势 方案一：API分组通过域名方式对外提供服务，具备更强的可扩展性。 方案一（推荐）：WAF侧注册对外访问域
的查看API网关各项监控指标。 关于APIG支持的监控指标，以及如何创建监控告警规则等内容，请参见API监控。 父主题： 安全
安全 责任共担 身份认证与访问控制 数据保护技术 审计与日志 监控安全风险 认证证书
API安全 使用WAF对APIG进行安全防护 使用DDoS防护服务为APIG抵御DDoS攻击
在“API列表”页签中新建API。详情请参考《用户指南》。 如果源站已配置防火墙或安装安全软件，为了防止高防回源IP被源站拦截或限速，需要将高防回源IP段添加到源站的防火墙或其它防护软件的白名单中，即放行高防回源IP段，以确保高防的回源IP不受源站安全策略影响。 调用API。调用成功表示对接DDoS成功。
怎样保证API网关调用后端服务器的安全？ 通过以下方法确保API网关调用后端服务器的安全： 为API绑定签名密钥。 在绑定签名密钥后，API网关到后端服务的请求增加签名信息，后端服务收到请求后计算签名信息，验证计算后的签名信息与API网关的签名信息是否一致。 使用HTTPS对请求进行加密。
怎样保护API的调用安全？ 使用身份认证 创建API时，为API调用增加身份认证，如使用IAM认证或API网关提供的APP认证，防止API被恶意调用。 设置访问控制策略 从IP地址（或地址区间）以及账号等不同维度，设置白名单/黑名单。 将API绑定流控策略，通过流控策略保护API。
使用DDoS防护服务为APIG抵御DDoS攻击资源规划 使用DDoS防护服务为APIG抵御DDoS攻击操作流程 使用DDoS防护服务为APIG抵御DDoS攻击实施步骤 父主题： API安全
审计与日志 审计 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，系统将开始记录APIG
Gateway）提供高性能、高可用、高安全的API托管服务，能快速将企业服务能力包装成标准API服务，帮助您轻松构建、管理和部署任意规模的API，并上架API市场进行售卖。借助API网关，可以简单、快速、低成本、低风险地实现内部系统集成、业务能力开放及业务能力变现。API网关帮助您变现
认证证书 合规证书 华为云服务及平台通过了多项国内外权威机构（ISO/SOC/PCI等）的安全合规认证，用户可自行申请下载合规资质证书。 图1 合规证书下载 资源中心 华为云还提供以下资源来帮助用户满足合规性要求，具体请查看资源中心。 图2 资源中心 销售许可证&软件著作权证书
API签名认证的内容是否包括Body体？ 包括。除了几个必选的请求头部参数，Body体也是签名要素之一。例如有一个使用POST方法上传文件的API，那么在签名过程中，会取这个文件的hash值，参与生成签名信息。 关于签名的详细指导，可参考：签名认证算法详解。 父主题： API认证
当用户后端服务器所在的VPC与创建实例所选择的VPC处于不同的场景时，通过跨VPC对接开放后端服务。 使用WAF对APIG进行安全防护 企业为了保护APIG及后端服务器免受恶意攻击，可在APIG和外部网络之间部署WAF。 使用APIG专享版的流量控制2.0策略实现API的精细流控 随着用户多样性以及需
数据保护技术 安全通道：APIG支持HTTPs协议，保证网络传输安全，同时支持创建安全通道访问后端服务。 防重放、防篡改：APIG通过内部算法，从数据入口屏蔽恶意调用。 父主题： 安全
黑白名单：APIG支持系统级和API级别的IP黑白名单，拒绝恶意访问。 后端流量控制：APIG提供后端负载均衡、自动熔断等能力保护后端业务。 父主题： 安全
使用APIG专享版实现不同后端服务的调用实施步骤 前提条件 已创建自定义认证函数，如果未创建请创建函数章节创建，并且在函数的返回值中已设置context字段，字段中包含键值对。其中键值对的值只支持字符串、布尔、整型三种数值类型，键值对对应“系统参数-前端认证参数”策略条件的参数名称和条件值。
企业项目 选择实例所属的企业项目，保持默认设置“default”。 网络 选择已创建的虚拟私有云“VPC1”和子网。 安全组 单击“管理安全组”，创建安全组，企业项目选择“default”后，即可创建。 描述 填写实例的描述信息。 单击“立即购买”。 规格确认无误后，勾选用户
使用APIG专享版开放云容器引擎CCE工作负载实施步骤 准备CCE工作负载信息 创建集群。 登录云容器引擎控制台，在“集群管理”页面购买CCE Standard集群或CCE Turbo集群。此处选择CCE Standard集群，容器网络模型为“VPC网络”，具体操作步骤请参见购买CCE集群。 集群创建完成后，记录容器网段。
和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全
API网关未能成功处理API请求，从而产生的错误响应。 默认的网关响应为“default”。 匹配模式 此处选择“前缀匹配”。 安全认证 选择API认证方式，此处选择“无认证”。（无认证模式，安全级别低，所有用户均可访问，不推荐在实际业务中使用） 根据下表参数说明，配置后端信息。配置完成后，单击“完成”。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
