正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
概念模型 华为云的客户在注册账号后,每个账号下可以创建多个IAM用户。 对于大型企业的客户,可能会管理多个账号,这些账号可以被统一管理。客户可通过一个企业主账号结合多个企业子账号来统一管理账号。
启用审计日志:启用审计日志功能,以监控账号的活动。审计日志可以帮助检测异常行为并及时采取措施。 多账号管理场景:需指定一个账号作为中央账号(企业主账号),由这个账号再添加成员账号(企业子账号)。优先保证中央账号的安全,再考虑成员账号。
以下是上述账号的详细说明,其中安全运营账号和日志账号针对企业所有账号行使集中的安全管理职责,需要在其他账号下按需开通相应的安全云服务,使得安全运营账号和日志账号能够统一汇聚其他账号的安全态势、安全审计日志等数据,安全运营账号的安全策略和事件响应指令也可以统一下发给其他账号。
多账号场景,对账号的集中管控。 相关云服务和工具 IAM身份提供商 华为账号使用的安全最佳实践 应用身份管理服务 OneAccess:使用OneAccess与您组织的HR系统关联实现单点登录。 父主题: SEC02 身份认证
应用身份管理服务 OneAccess:为云提供的应用身份管理服务,具备集中式的身份管理、认证和授权能力,保证企业用户根据权限访问受信任的云端和本地应用系统,并对异常访问行为进行有效防范。 资源治理中心 RGC:提供搭建安全、可扩展的多账号环境并持续治理的能力。
工作负载级参考架构 对于一些中小企业,使用华为云单账号即能满足其IT系统管理的诉求。客户会把所有工作负载部署在一个账号内。以下是一个单账号的工作负载级的安全参考架构。
如上文所说的,可以使用账号隔离不同组织/部门的资源,甚至于在同一个组织/部门内部,开发,测试,核心业务,非核心业务,也使用不同的账号和环境。 然而即使账号/环境是分散的,云资源管理策略和权限管理机制应该是集中的。
如果您有多个华为云账号,您可以创建一次资源,并使用RAM服务将该资源共享给其他账号使用,这样您就不需要在每个账号中创建重复的资源。 父主题: SEC03 权限管理
当账号委托给另一个账号时,设置到期时间。 通过IAM用户的“最近一次登录时间”,判断该用户是否为长期未登录的用户,及时管理他们的身份凭证及权限。 相关云服务和工具 统一身份认证服务 IAM 父主题: SEC03 权限管理
拥有超过3200万注册会员、超过1000家企业客户及合作伙伴。
云堡垒机(CBH) 云堡垒机(Cloud Bastion Host,CBH)是华为云的一款统一安全管控平台,为企业提供集中的账号(Account)、授权(Authorization)、认证(Authentication)和审计(Audit)管理服务。
例如,在云账号申请和云资源申请的时候,就需要建立完善的流程,以便于将组织,项目和其所使用的云账号,云资源进行关联,并确保每个部门或团队都对其使用的资源负责。
OPS03-04 对生产环境进行拨测 风险等级 高 关键策略 拨测是利用软件系统以外,甚至现有账号或云Region外的系统,以系统用户使用场景为视角,模拟用户使用场景的测试。
针对用户的注册信息,必须为用户提供修改其注册信息的途径。 用户修改隐私偏好的设置和选项要便于用户发现和使用。 对于收集、处理、存储个人数据的系统,应提供数据主体限制其个人数据处理机制。 对于收集、处理、存储个人数据的系统,应提供数据主体提供的个人数据导出的机制。
针对Landing Zone搭建的云上多账号环境,利用IAM身份中心集中管理多个账号的用户身份,并集中为这些用户配置能够访问多个账号下云资源的权限,无需在每个账号的IAM系统分别创建IAM用户并配置权限,简化多账号环境下身份权限管理的工作量。
组织 Organizations:多账号场景使用Organizations云服务的服务控制策略(SCP)。组织管理账号可以使用SCP指定组织中成员账号的权限边界,限制账号内用户的操作。服务控制策略可以关联到组织、组织单元和成员账号。
配合微服务引擎可实现服务注册发现、配置管理和服务治理,请参考微服务开发指南。 应用运维:通过日志、监控、告警支持应用运维管理。 父主题: 卓越运营云服务介绍
相关服务和工具 对于大型企业或集团公司,推荐优先使用企业组织+多账号的方式,通过账号隔离资源和成本,方便业务快速拓展。 中小型企业以及单账号客户,可以使用企业项目来映射组织。如果存在更多维度、更细粒度规划的诉求,可以使用标签作为组织规划的补充。
通过多账号分隔工作负载:将不同的工作负载部署在不同的华为云账号中,每个账号具有独立的身份验证、访问控制和资源隔离。这种方法可以实现更严格的隔离和安全性。为每个账号分配最小必要权限,避免权限过度赋予。这有助于减少潜在的安全风险和权限滥用。
IAM用户 由帐号在IAM中创建的用户,是云服务的使用人员,具有独立的身份凭证(密码和访问密钥),根据帐号授予的权限使用资源。 账号与IAM用户可以类比为父子关系,账号是资源归属以及计费的主体,对其拥有的资源具有所有权限。