检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
避免暴露不必要的网络地址 网络地址对外暴露时，可能会引入安全风险，需要避免暴露不必要的网络地址。 风险等级 高 关键策略 通常对外网络地址需要尽可能集中管控，避免分散暴露，如使用网络服务ELB弹性负载均衡、公网NAT网关、Web云防火墙等作为公网访问入口。 对外的IP地址需要通过安全组
通过配置安全组和网络访问控制列表（ACL），控制进出云资源的网络流量，确保只有授权的流量能够访问特定的服务和端口。根据业务实际情况优化每个网络区域的ACL，并保证访问控制规则数量最小化。 避免暴露多余的公网IP，同时不应对外开放或未最小化开放高危端口、远程管理端口。 安全组仅开放
ECS弹性云服务器 弹性云服务器（Elastic Cloud Server，ECS）是由CPU、内存、操作系统、云硬盘组成的基础的计算组件。弹性云服务器创建成功后，就可以像使用自己的本地PC或物理服务器一样，在云上使用弹性云服务器。 可靠性功能 常见故障模式 父主题： 云服务可靠性介绍
自动化资产盘点：使用安全云服务或工具来自动发现和记录云上资源，包括主机、存储、数据库、网络等。这样可以确保资产清单的及时性和准确性。 标签和元数据：使用标签和元数据来对云资源进行分类和描述，以便更好地组织和管理资源清单。通过标签可以快速识别和过滤资源，有助于监控和安全审计。 相关云服务和工具 解决方案工作台
用独立的地址空间；并需要预留IP地址空间用于新建VPC。 针对每个VPC中，需要根据业务需要规划子网和IP地址空间；并需要预留IP地址空间用于新建子网。 针对每个子网，需要预留IP地址空间用于网络扩容。 当涉及与其他网络（如VPC、IDC或其他云）互连时，需要确保IP地址空间不重叠。
若CCE集群节点或节点池采用弹性云服务器ECS时，建议配置云服务器组反亲和，以避免CCE集群中的ECS节点运行在同一个物理服务器上。 相关云服务和工具 弹性云服务器 ECS：云服务器组 弹性伸缩服务 AS 云容器引擎 CCE 父主题： RES01 冗余
SEC08-01 明确隐私保护策略和原则 明确隐私保护策略和原则是指在处理个人数据时，明确规定和遵守的保护个人隐私数据的总体策略和原则。 风险等级 高 关键策略 明确个人数据的分级及影响。个人数据包括：自然人的email地址、电话号码、生物特征（指纹）、位置数据、IP地址、医疗信息、宗教信仰、
关键策略 拨测是利用软件系统以外，甚至现有账号或云Region外的系统，以系统用户使用场景为视角，模拟用户使用场景的测试。和普通的云拔测可实现对网络质量、页面性能、端口性能、文件传输、音视频体验等场景进行周期性监控，支持多维度分析性能指标。利用可视化性能数据及时对业务质量作出反应，保证业务稳定正常运行。
常见故障模式 ECS的CPU /内存/磁盘容量/磁盘IOPS使用率过高 检测：通过CES监控CPU/内存/磁盘容量/磁盘IOPS使用率。 恢复： 根据业务情况，手工变更规格以扩展资源或增加ECS实例进行负荷分担。 对于无状态业务，启动AS弹性伸缩，自动扩展资源。 应用层进行过载保护，保障优先业务的运行。
可靠性功能 数据备份和恢复 使用CBR云备份服务可对ECS的备份保护服务，支持基于多云硬盘一致性快照技术的备份服务，并支持利用备份数据恢复ECS数据。详见“云备份概述”。 故障自愈 当ECS支持自动恢复时，可以开启自动恢复能力，当物理服务器损坏时以冷迁移方式重启ECS实例，使弹性
、实例分区、实例分区的消费组、实例队列的消费组、实例的消费组等进行监控和告警。详见“支持的监控指标”。 RabbitMQ：配合CES服务，支持对RabbitMQ实例、实例节点、实例队列进行监控和告警等进行监控和告警。详见“支持的监控指标”。 RocketMQ：配合CES服务，支持
风险评估：对检查结果进行风险评估，识别不同级别的风险资源，如致命、高危、中危、低危和提示。 相关云服务和工具 华为云服务的安全特性：在云服务模式下，如何保障云上安全，成为大多数企业和客户的首要关注问题。华为云致力于保障其所提供的IaaS、PaaS和SaaS各类各项云服务自身的安全及基础设施安全，同时也为致
集中的身份管控： 使用单点登录：考虑使用单点登录解决方案，集中管理用户的身份认证信息，简化用户登录流程，提高安全性和用户体验。 多账号场景，对账号的集中管控。 相关云服务和工具 IAM身份提供商 华为账号使用的安全最佳实践 应用身份管理服务 OneAccess：使用OneAccess与您组织的HR系统关联实现单点登录。
访问方式 在ECS/BMS中通过网络协议挂载使用，支持NFS和CIFS的网络协议。需要指定网络地址进行访问，也可以将网络地址映射为本地目录后进行访问。 可以通过互联网或专线访问。需要指定桶地址进行访问，使用的是HTTP和HTTPS等传输协议。 只能在ECS/BMS中挂载使用，不能
日志监控：日志监控提供了针对日志内容的实时监控能力。通过云监控服务和云日志服务的结合，用户可以针对日志内容进行监控统计、设置告警规则等操作，降低用户监控日志的运维成本，简化用户使用监控日志的流程。 事件监控：事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源
风险等级 中 关键策略 定期咨询专家或 华为 合作伙伴，以便确定哪些服务和功能的成本更低。查看华为博客和其他信息源。如在非计算密集型场景，使用华为云的云耀系列服务器取代普通ECS服务器 父主题： COST07 管理和优化资源
配合弹性负载均衡ELB服务，可以对弹性伸缩组创建的弹性云服务器进行负载均衡。 健康检查 健康检查会将异常的实例从伸缩组中移除，伸缩组会重新创建新的实例以维持伸缩组的期望实例数和当前实例数保持一致，伸缩组的健康检查方式主要包括以下两种。 云服务器健康检查：是指对云服务器的运行状态进行检查，如关机、删除都是云服务器异常
仍可将流量转发到其他AZ的后端ECS处理，提高应用系统容灾能力。 监控告警 配合CES服务，支持对ELB的连接数、带宽、错误响应等进行监控和告警。详见“监控指标说明”。 父主题： ELB弹性负载均衡
（云内、云间） VPC 在逻辑隔离的虚拟网络中定义和启动华为资源，方便管理、配置内部网络。 ER 将VPC和本地网络连接到一个网关中，支持路由学习、动态选路以及链路切换，极大的提升网络的可扩展性及运维效率，从而保证业务的连续性。 ESW 将VPC和本地网络连接到一个网关中（二层互联），助力
性要求的网络流量和资源，从而增加网络的安全性。 风险等级 高 关键策略 通过网络分区，可以实现以下目的： 隔离敏感数据：将敏感数据和应用程序隔离在独立的网络分区中，以减少未经授权访问的风险。 可扩展性：分区和分层可以帮助管理和扩展复杂的网络架构，使其更易于维护和扩展。 限制网络流
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
