检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
应该监控加密和解密密钥的使用，并根据数据用途、类型和分类来选择不同的加密密钥。 相关云服务和工具 数据加密服务 DEW：DEW与OBS、云硬盘（EVS）、镜像服务（IMS）等服务集成，可以通过密钥管理服务（KMS）管理这些服务的密钥，并对云服务中的数据进行加密，还可以通过KMS API完成本地数据的加密。
干预。 华为云提供AS弹性伸缩服务，可以根据伸缩组内的负载情况，及伸缩规则，自动调整ECS实例、带宽等资源。当业务需求增长时，AS自动增加弹性云服务器（ECS）实例或带宽资源，以保证业务能力；当业务需求下降时，AS自动缩减弹性云服务器（ECS）实例或带宽资源，以节约成本。 此外，
监控。基础监控为 ECS自动上报的监控指标，操作系统监控通过在ECS中安装Agent插件，为用户提供服务器的系统级、主动式、细颗粒度监控服务。主要关注：CPU_UTIL、DISK_READ_BYTES_RATE、带外网络流入速率等指标 用户线下 组件监控 对用户的线下组件统一监控，主要支持：线下
使用IAM用户组控制人员的访问权限，并设置权限的到期时间。 如果用户组的职责产生变化，应该及时调整用户组的权限。 当账号委托给另一个账号时，设置到期时间。 通过IAM用户的“最近一次登录时间”，判断该用户是否为长期未登录的用户，及时管理他们的身份凭证及权限。 相关云服务和工具 统一身份认证服务
非关键路径透传数据库，建议对访问数据库进行限流。 建议 - 从Redis获取数据未命中时，访问只读数据库实例。可通过域名等方式对接多个只读实例。 建议 核心是未命中的缓存数据不会打到主库上。 用域名对接多个只读数据库实例，一旦出现问题，可以增加只读实例应急。 不用作消息队列 发布订阅场景下，不建议作为消息队列使用。
TaurusDB读写分离最佳实践 读写分离是指通过一个读写分离的连接地址实现读写请求的自动转发。创建实例后，您可以开通读写分离功能，通过云数据库 TaurusDB的代理地址，写请求自动访问主节点，读请求按照读权重配比或者活跃连接数情况分发到各个节点。 开通读写分离时，需选择加入代理的节点（包括主节点和只读节点）。
确保日志存储时长满足需求。主机和云服务的日志数据上报至云日志服务（LTS）后，在默认存储事件过期后会被自动删除。因此，需要用户根据业务需求配置存储时长。对于需要长期存储的日志数据，应在 LTS中配置日志转储。 对于大型企业，涉及多账号统一安全管理和运营。集中收集来自多云环境、多账号和多云服务产品的日志、
安全云脑SecMaster、云审计服务CTS、配置审计Config 公共服务账号 集中部署和管理企业的公共资源、服务和应用系统，并共享给其他所有成员账号使用 公共服务管理团队 镜像服务IMS、容器镜像服务SWR、弹性文件服务SFS、对象存储服务OBS、自建NTP服务器、自建AD服务器等公共资源 安全
最小化服务。 最小化原则（Least Privilege） 最小化身份：尽可能减少非必要的系统管理员，定时清理过期的身份。 最小化权限：给予用户或实体最小必要权限来执行其工作，以降低潜在的安全风险。 最小化暴露面：对不同的访问区域和访问对象，仅暴露最小的服务端点和最少的服务应用接口。
其中两条物理专线接入同区域的两个华为云专线接入点，并通过BGP路由协议接入同一个VPC，用户可设置虚拟接口的优先级以决定业务的主备链路。具体的方案参见“用户通过双专线双接入点BGP协议访问VPC”。 双VPN冗余：用户数据中心与华为云VPC之间采用两条VPN连接保证可靠性；当其中
输出件是可执行性能测试方案。 用户原子行为：识别测试场景，通过识别用户在与服务系统交互时大量执行的步骤和操作，模拟真实的用户行为和系统负载模式。 例如登录、执行搜索、批操场景、导入导出、提交表单或访问特定功能等活动。 将每个方案分解为表示用户与服务系统交互的特定场景步骤和操作。
SEC09-03 实施安全审计 对云服务的关键操作开启安全审计，审计覆盖到每个用户。对审计日志进行保护并定期备份，避免受到未预期的删除、修改或覆盖。 风险等级 高 关键策略 云服务的关键操作包含高危操作（如创建IAM用户、删除IAM用户、重启虚拟机、变更安全配置等）、成本敏感操作（
在后端节点故障的情况下，需要自动将业务分发给其他健康节点处理，以避免业务失败。 相关云服务和工具 弹性负载均衡 ELB：支持业务负载均衡处理，还支持后端服务器健康状态检测，自动隔离异常状态的ECS。 父主题： RES13 过载保护
秒杀、流控、系统解耦等场景。 详细版本对比可参考官方文档。 相关云服务和工具： 分布式消息服务Kafka版 分布式消息服务RocketMQ版 分布式消息服务RabbitMQ版 父主题： 选择合适的应用中间件云服务资源
负载测试：是指在一定的软件、硬件及网络环境下，运行一种或多种业务，在不同虚拟用户数量的情况下，测试环境的性能指标是否在用户的要求范围内，以此确定系统所能承载的最大用户数、最大有效用户数以及不同用户数下系统响应时间及硬件设备或云服务的资源利用率，负载测试强调的是在一定的环境下系统能够达到的峰值指标。
CCE突发弹性引擎（对接CCI） 将Kubernetes API扩展到无服务器的容器平台（如CCI），无需关心节点资源。 适合在线突增流量、CI/CD、大数据作业等场景。 CCE容器实例弹性伸缩到CCI服务 相关云服务和工具 弹性伸缩 AS 云容器引擎 CCE 云容器实例 CCI 父主题： 选择合适的计算资源
员工入职、调岗和离职时可以触发用户的创建、变更和删除。 针对Landing Zone搭建的云上多账号环境，利用IAM身份中心集中管理多个账号的用户身份，并集中为这些用户配置能够访问多个账号下云资源的权限，无需在每个账号的IAM系统分别创建IAM用户并配置权限，简化多账号环境下身份权限管理的工作量。
云日志服务提供多种接入方式实现海量日志接入LTS，支持日志搜索引擎、SQL分析引擎、日志加工引擎，详细请参考下图。 端云全场景日志接入：40+云服务、主机/容器、移动端、跨云、多语言SDK、多账号汇聚，满足全场景客户丰富的日志接入需求。 海量日志存储搜索：百亿日志秒级搜索，千亿日志迭代搜索，PB级智能冷存储。
在关键节点处检测和清除恶意代码：应在关键网络节点处对恶意代码进行检查和清除，并维护恶意代码防护机制的升级和更新。 相关云服务和工具 企业主机安全 HSS 安全云脑 SecMaster 漏洞管理服务 CodeArts Inspector 父主题： SEC05 运行环境安全
通过加固操作系统、减少未使用的组件和外部服务，以及使用工具加强云安全，减少资源的攻击面。 风险等级 高 关键策略 强化操作系统和减少组件：通过减少未使用的组件、库和外部服务，可以缩小系统在意外访问下的危险。这包括操作系统程序包、应用程序以及代码中的外部软件模块。 创建安全的虚拟机镜像或者容器镜像。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
