检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
账号关系的管理能力。Organizations支持用户将多个华为云账号整合到创建的组织中,并可以集中管理组织下的所有账号。用户可以在组织中设置访问策略,帮助用户更好地满足业务的安全性和合规性需求。 可信服务是指可与Organizations服务集成,提供组织级相关能力的华为云服务
安全性是华为云与您的共同责任,如图1所示。 华为云:负责云服务自身的安全,提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全,涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安
已在云审计服务中成功创建数据类追踪器。 停用/启用数据类事件追踪器 登录管理控制台。 在管理控制台左上角单击图标,选择区域和项目。 单击左上角,选择“管理与监管 > 云审计服务 CTS”,进入云审计服务详情页面。 单击左侧导航树的“追踪器”,进入追踪器信息页面。 在数据类追踪器信息右侧,单击操作下的“停用”。
在左侧导航栏选择“追踪器”,单击右上方的“开通云审计服务”按钮,系统会自动为您创建一个名为system的管理类事件追踪器。 管理类事件追踪器记录用户对所有云服务资源的相关操作,例如创建、登录、删除等。云审计服务当前支持的云服务的详细信息,请参见支持审计的服务及操作列表。 创建委托 登录
踪器配置的转储事件文件将永久保存,数据类追踪器配置的转储事件按照转储的时间保存。 事件文件加密存储:在开通事件转储的基础上,需要使用数据加密服务(DEW)对存储在OBS桶中的事件文件进行加密。 日志转储:CTS提供将审计日志转储至LTS的功能,但依赖云日志服务(LTS)的日志存储功能收费。
踪器页面查看配置的追踪器的详细信息。 步骤二:在LTS中查询事件 在云审计控制台的追踪器页面,单击system追踪器右侧的LTS日志流名称,进入到system-trace日志流详情页面。 图3 单击日志流名称 图4 system-trace日志流页面 单击右上角的“15分钟(相对)”,设置查询的时间范围。
组织云服务(Organizations)为企业用户提供多账号关系的管理能力。Organizations支持用户将多个华为云账号整合到创建的组织中,并可以集中管理组织下的所有账号。用户可以在组织中设置访问策略,帮助用户更好地满足业务的安全性和合规性需求。 云审计服务支持组织云服务的多账号关系的管理能力: 使用组织管理员
摘要文件 摘要文件简介及存储路径 摘要文件均包含前一小时内提交到OBS桶事件文件的名称、事件文件的哈希值以及前一摘要文件的数字签名。同时摘要文件的数字签名存储在摘要文件对象的元数据属性中。 OBS桶名>CloudTraces>地区标示>时间标示:年>时间标示:月>时间标示:日>t
data_bucket_name 否 String 数据类追踪器追踪对象的桶名。 当启用或者停用数据类追踪器时,该参数为必选。 管理类追踪器无此参数。 追踪器一旦创建追踪桶无法修改。 data_event 否 Array of strings 数据类追踪器追踪的操作类型。 当启用或者停用数据类追踪器时,该参数为必选。
访问控制 对企业中的员工设置不同的CTS访问权限,以达到不同员工之间的权限隔离,使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全的控制华为云资源的访问。详细参见权限管理。
能,可以帮助您安全的控制华为云资源的访问。 通过IAM,您可以在华为云账号中给员工创建IAM用户,并使用策略来控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员,您希望他们拥有CTS的使用权限,但是不希望他们拥有删除CTS等高危操作的权限,那么您可以使用IAM为开
结合函数工作流对登录/登出进行审计分析 案例概述 准备 构建程序 添加事件源 处理结果
当OBS所属用户选择“当前用户”时,可以为事件配置加密密钥。 “加密事件文件”开关打开时,云审计会从数据加密服务(DEW)获取当前用户的密钥ID,在下拉选项可以直接选择密钥。 说明: 使用数据加密服务(DEW)中的密钥对OBS桶中的对象进行全量加密或者部分加密,详细操作请参见OBS服务端加密。 表2 配置转储到LTS参数说明
监控安全风险 CTS通过关键操作通知监控安全风险,保障数据安全可靠。 表1 CTS的监控安全风险 监控安全风险 简要说明 详细介绍 关键操作通知 云审计服务在记录某些特定关键操作时,支持对这些关键操作通过消息通知服务实时向相关订阅者发送通知,该功能由云审计服务触发,消息通知服务(SMN)完成通知发送。
约束与限制 云审计服务中的追踪器数量和关键操作通知有限定的配额,均不支持修改,云审计服务的具体限制如下。 表1 CTS约束与限制 限制项 使用限制 一个华为云账号允许创建的追踪器数目 管理追踪器:1个 数据追踪器:100个 一个华为云账号允许配置的关键操作通知数目 100个 一个追踪器允许配置的OBS桶数目
CTS安全最佳实践 安全性是华为云与您的共同责任。华为云负责云服务自身的安全,提供安全的云;作为租户,您应当使用云服务提供的安全能力对业务及数据安全保护,安全地使用云。详情请参见责任共担。 本文提供了CTS使用过程中的安全最佳实践,旨在为提高整体安全能力提供可操作的规范性指导。根据该指导文
服务。 多AZ容灾 CTS支持跨AZ容灾,当一个AZ异常时,不影响CTS实例持续提供服务。 数据容灾 通过日志数据多副本方式实现数据容灾。 父主题: 安全
云审计服务提供的追踪器分两类,包括管理类事件追踪器和数据类事件追踪器。 管理类事件追踪器用于记录管理事件,即针对所有云资源的操作日志,例如创建、登录、删除等。数据类事件追踪器用于记录数据事件,即针对租户对OBS桶中的数据的操作日志,例如上传、下载等。 本章节介绍管理类追踪器的相关操作。
单击左侧导航栏的“追踪器”,进入追踪器信息页面。 在管理类追踪器(system)的右侧,单击操作下的“配置”。 图1 追踪器配置 设置追踪器的基本信息,单击“下一步”。 参数名称 说明 本实践要求 追踪器名称 默认为system,不可修改。 system 企业项目 如果您的账号开通了
根据企业用户的职能,设置不同的访问权限,以达到用户之间的权限隔离。 将CTS资源委托给更专业、高效的其他华为云帐号或者云服务,这些帐号或者云服务可以根据权限进行代运维。 如果华为云帐号已经能满足您的要求,不需要创建独立的IAM用户,您可以跳过本章节,不影响您使用CTS服务的其它功能。