检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
以执行的动作。桶ACL是对桶策略的补充，更多时候桶策略可以替代桶ACL管理桶的访问权限。桶ACL访问权限和桶策略动作的映射关系请参见桶策略和ACL的关系。 不使用桶ACL进行访问控制管理，可以降低访问管理的复杂性，避免授权非预期的操作。 修复项指导 删除非默认的桶ACL授权，详见
如果您需要针对配置审计服务，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制华为云资源的访问。 通过IAM，
专属分布式存储服务 DSS 存储池（dss.dsspools） 专属主机 DeH 专属主机（deh.dedicatedhosts） 访问分析 AccessAnalyzer 访问分析器（accessanalyzer.analyzer） 父主题： 附录
obs-bucket-public-read-policy-check OBS桶禁止公开读 obs 桶可以被公开读，视为“不合规” obs-bucket-public-write-policy-check OBS桶禁止公开写 obs 桶可以被公开写，视为“不合规” obs-bucket-ssl-requests-only
规则评估的资源类型 obs.buckets 规则参数 无 应用场景 出于分析或审计等目的，用户可以开启日志记录功能。通过访问日志记录，桶的拥有者可以深入分析访问该桶的用户请求性质、类型或趋势。详见使用桶日志记录OBS日志信息。 修复项指导 通过使用桶日志记录OBS日志信息配置桶的日志记录。
具体场景：因为不同地区有不同的法律法规要求，假设您不希望您海外的OBS桶内的数据被公开访问，则可以按照如下操作步骤配置合规规则。 操作流程： 登录配置审计控制台。 在左侧导航栏，选择资源合规。 在规则页面，单击“添加规则”。 选择预设策略“OBS桶禁止公开读”，单击“下一步”。 在规则参数页面，保持默认的资源
无 应用场景 CSS集群内部的权限控制是通过安全集群实现的，当集群开启安全模式后，访问集群时需要进行身份认证，通过Kibana可以给集群创建用户进行授权。确保CSS集群启用了认证，详见身份认证与访问控制。 修复项指导 部分集群支持开启安全模式。用户可以通过安全模式修改API接口启用安全模式。
IAM用户为“停用”状态，视为“合规”。 IAM用户未开启“管理控制台访问”，视为“合规”。 IAM用户为“启用”状态且开启“管理控制台访问”，若在指定时间内有登录行为，视为“合规”。 IAM用户为“启用”状态且开启“管理控制台访问”，若在指定时间内没有登录行为，视为“不合规”。 父主题： 统一身份认证服务
控制对OBS桶及桶内对象的访问。 修复项指导 通过可视化视图或JSON视图修改桶策略内容，避免桶策略授权非预期的身份或网络。 检测逻辑 OBS桶策略授予的访问权限受您提供的访问身份和网络限制约束，视为“合规”。 OBS桶策略授予的访问权限不受您提供的访问身份和网络限制约束，视为“不合规”。
合规”。 根据SecureTransport或g:SecureTransport条件是否限制了桶策略所有授权的请求，来判定OBS桶策略是否禁止未SSL加密的请求。 父主题： 对象存储服务 OBS
RDS实例数据库引擎的版本低于指定版本，视为“不合规” rds-instance-port-check RDS实例默认端口检查 rds RDS实例的端口包含被禁止的端口，视为“不合规” rds-instance-ssl-enable RDS实例启用SSL加密通讯 rds RDS实例未启用SSL加密通讯，视为“不合规”
指定承载REST服务端点的服务器域名或IP，不同服务不同区域的Endpoint不同，您可以从地区和终端节点获取。 例如IAM服务在“华北-北京四”区域的Endpoint为“iam.cn-north-4.myhuaweicloud.com”。 resource-path 资源路径，即API访问路径。从具
无 应用场景 由于可能存在敏感数据，应当确保图引擎服务（GES）已通过KMS进行加密。加密可帮助您保护数据的机密性，从而降低未经授权的用户访问数据的风险。 修复项指导 在创建图实例时，您应当使用KMS对图实例进行加密，详见自定义创建图。 检测逻辑 GES图未通过KMS进行加密，视为“不合规”。
为IAM委托授予权限时，避免过大权限带来的安全隐患。账号中的委托仅授予能完成工作所需的必需权限，通过最小权限原则，可以帮助您安全地控制IAM委托对云资源的访问。 修复项指导 IAM委托绑定所有指定的IAM策略和权限，详见分配委托权限。 检测逻辑 IAM委托未绑定所有指定的IAM策略和权限，视为“不合规”。
对OBS桶及桶内对象的访问。 修复项指导 通过可视化视图或JSON视图修改桶策略内容，避免桶策略授权非预期的身份或网络。 检测逻辑 OBS桶策略授权controlPolicy以外的访问，视为“不合规”。 OBS桶策略未授权controlPolicy以外的访问，视为“合规”。 父主题：
到单个账号中，方便统一查询。 资源聚合器提供只读视图，仅用于查看聚合的源账号的资源信息和合规性数据。资源聚合器不提供对源账号资源数据的修改访问权限。例如，无法通过资源聚合器部署规则，也无法通过资源聚合器从源账号提取快照文件。 资源聚合器仅支持用户查询和浏览源账号中的云服务资源信息
iam.users 规则参数 无 应用场景 给IAM用户授权时建议您使用“继承所选用户组的策略”的方式，而不是“直接给用户授权”。这可以降低访问管理的复杂性，并减少IAM用户无意中接收或保留过多权限的风险。详见给IAM用户授权。 修复项指导 请创建IAM用户组，并将策略挂载到该用户
策略以API接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。 如果您需要允许或者禁止某个接口的操作权限，请使用策略。 账号具备所有接口的调用权限，如果使用账号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所
Kafka队列打开内网SSL加密访问 dms DMS kafkas队列未打开内网SSL加密访问，视为“不合规” dms-kafka-not-enable-public-ssl DMS Kafka队列打开公网SSL加密访问 dms DMS kafkas队列未打开公网SSL加密访问，视为“不合规”
全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。同时，您可以自定义安全组内与组间弹性云服务器的访问规则，加强弹性云服务器的安全保护。 虚拟私有云更多信息，详见虚拟私有云产品介绍。 修复项指导 ECS弹性云服务器创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
