检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
适用于管理与监管服务的最佳实践 该示例模板中对应的合规规则的说明如下表所示: 表1 合规包示例模板说明 合规规则 规则中文名称 涉及云服务 规则描述 alarm-action-enabled-check 启用了CES告警操作 ces CES告警操作未启用,视为“不合规” alar
在CTS事件列表查看云审计事件 操作场景 用户进入云审计服务创建管理类追踪器后,系统开始记录云服务资源的操作。在创建数据类追踪器后,系统开始记录用户对OBS桶中数据的操作。云审计服务管理控制台会保存最近7天的操作记录。 本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录。 在新版事件列表查看审计事件
国香港金融管理局制定的云计算指南、SA-2(外包)、OR-2(运营恢复能力)和TM- G-1(技术风险管理总体原则)。 关于中国香港金融管理局合规标准的更多信息,请参见HKMA.2022.08.31、SA-2、OR-2、TM-G-1。 应用场景 适用于中国香港金融管理局的标准合规
可以执行的动作。桶ACL是对桶策略的补充,更多时候桶策略可以替代桶ACL管理桶的访问权限。桶ACL访问权限和桶策略动作的映射关系请参见桶策略和ACL的关系。 不使用桶ACL进行访问控制管理,可以降低访问管理的复杂性,避免授权非预期的操作。 修复项指导 删除非默认的桶ACL授权,详
无 应用场景 管理员创建用户组并授权后,将用户加入用户组中,使用户具备用户组的权限,实现对用户的授权。给已授权的用户组中添加或者移除用户,快速实现用户的权限变更。确保IAM用户组中至少有一个IAM用户,空置的IAM用户组为管理盲区,可能存在管理风险。 修复项指导 管理员创建用户组并
EVS资源的备份时间检查 周期触发 evs.volumes 云证书管理服务 CCM 检查私有CA是否过期 周期触发 pca.ca 检查私有证书是否过期 周期触发 pca.cert 检查私有根CA是否停用 周期触发 pca.ca 私有证书管理服务算法检查 配置变更 pca.ca、pca.cert
部属于admin用户组或共用一个企业管理员账号是不安全的。为更好的管控人员或应用程序对云资源的使用,可以使用统一身份认证服务(IAM)的用户管理功能,给员工或应用程序创建IAM用户。 修复项指导 进入IAM的“admin”用户组,删除企业管理员以外的IAM用户,详见用户组添加/移除用户。
可以通过恢复索引操作快速获得数据。索引的备份是通过创建集群快照实现。第一次备份时,建议将所有索引数据进行备份。 修复项指导 在“集群快照”管理页面,单击“集群快照开关”右侧开关,打开集群快照功能,详见设置自动创建快照。 检测逻辑 CSS集群未开启快照,视为“不合规”。 CSS集群开启了快照,视为“合规”。
标签 organizations 规则触发方式 周期触发 规则评估的资源类型 account 规则参数 domainId:账号所属组织的组织管理员账号ID,空字符串表示任意账号ID。 父主题: 组织 Organizations
Elasticsearch和OpenSearch集群备份的日志文件主要包括废弃操作日志、运行日志、慢索引日志、慢查询日志,用户可以使用日志定位问题,详见查询和管理Elasticsearch集群日志。 修复项指导 CSS集群默认记录慢日志,用户可以将其转储在OBS桶中,详见修改日志基础配置。 检测逻辑
修复项指导 使用该闲置的IAM用户登录管理控制台,或删除该闲置的IAM用户,详见IAM用户登录或删除IAM用户。 检测逻辑 IAM用户为“停用”状态,视为“合规”。 IAM用户未开启“管理控制台访问”,视为“合规”。 IAM用户为“启用”状态且开启“管理控制台访问”,若在指定时间内有登录行为,视为“合规”。
组织 Organizations 账号加入组织 父主题: 系统内置预设策略
确保IAM用户、用户组或委托仅拥有所需操作的相关权限。为了提高账号资源的安全性,不创建允许“*”或“*:*”或“*:*:*”管理权限的自定义策略。 修复项指导 管理员可以修改不合规的IAM自定义策略,详见修改、删除自定义策略。 检测逻辑 IAM自定义策略配置了Allow的全部云服务的
资源具有指定前后缀的标签键 资源标签非空 资源具有指定的标签 资源属于指定企业项目ID 资源在指定区域内 资源在指定类型内 不允许的资源类型 父主题: 系统内置预设策略
S桶中的数据的操作日志,例如上传、下载等。 修复项指导 用户首次进入云审计服务时,在追踪器页面单击“开通云审计服务”,系统会自动为您创建一个名为system的管理类事件追踪器,详见创建追踪器。 检测逻辑 账号未创建CTS追踪器,视为“不合规”。 账号已创建CTS追踪器,但均未启用,视为“不合规”。
云备份 CBR CBR备份被加密 CBR备份策略执行频率检查 CBR存储库最低保留天数 父主题: 系统内置预设策略
部署 CodeArts Deploy CodeArts项目下的主机集群为可用状态 CodeArts编译构建下的项目未设置参数加密 父主题: 系统内置预设策略
云硬盘创建后在指定天数内绑定资源实例 云硬盘闲置检测 已挂载的云硬盘开启加密 云硬盘开启加密 EVS资源在备份存储库保护中 EVS资源的备份时间检查 父主题: 系统内置预设策略
编程访问:启用访问密钥,用户仅能通过API、CLI、SDK等开发工具访问华为云服务。 管理控制台访问:启用登录密码,用户仅能登录华为云管理控制台访问云服务。 请用户不要通过密码方式进行编程访问。 修复项指导 修改IAM用户,访问方式只允许编程访问和管理控制台访问中的一种,并确保一个IAM用户上只配置登录密码和访问密钥中的一种。
NAT网关 NAT NAT私网网关绑定指定VPC资源 父主题: 系统内置预设策略