检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云防火墙支持哪些维度的访问控制？ 云防火墙当前支持基于五元组、IP地址组、服务组、域名、应用、黑名单、白名单设置ACL访问控制策略；也支持基于IPS（intrusion prevention system，入侵防御系统）设置访问控制。IPS支持观察模式和阻断模式，当您选择阻断模式
身份认证与访问控制 CFW对接了统一身份认证服务（Identity and Access Management，IAM）服务。 IAM权限是作用于云资源的，IAM权限定义了允许和拒绝的访问操作，以此实现云资源权限访问控制。通过IAM，可以将用户加入到一个用户组中，并用策略来控制他们对华为云资源的访问范围。
访问控制策略管理 导入/导出防护策略 调整防护规则的优先级 管理防护规则 管理黑白名单 管理时间计划 父主题： 配置访问控制策略管控流量
访问控制策略概述 开启防护后，云防火墙默认放行所有流量，配置合适的访问控制策略能有效地帮助您对内部服务器与外网之间的流量进行精细化管控，防止内部威胁扩散，增加安全战略纵深。 访问控制策略类型 访问控制策略分为“防护规则”和“黑/白名单”两类功能，区别如表 防护规则和黑/白名单的区
在左侧导航栏中，选择“访问控制 > 访问策略管理”，进入“访问策略管理”页面。 在需要删除的防护规则所在行的“操作”列，单击“更多 > 删除”。 在弹出的“删除规则”界面，单击“确定”，完成删除。 删除规则后无法恢复，请谨慎操作。 父主题： 访问控制策略管理
对象组管理”，进入“对象组管理”界面。 切换至“服务组”页签，单击“添加服务组”，弹出“添加服务组”界面，填写服务组名称及描述。 表1 添加服务组的参数说明 参数 说明 服务组名称 需要添加的服务组名称。 描述 标识该服务组的使用场景和用途，以便后续运维时快速区分不同服务组的作用。 服务列表 协议：当前支持的协议为：TCP、UDP、ICMP。
object 查询访问控制日志返回数据 表5 data 参数 参数类型 描述 total Integer 查询访问控制日志记录总数 limit Integer 每页显示个数，范围为1-1024 records Array of records objects 查询访问控制日志记录 表6
配置访问控制策略管控流量 访问控制策略概述 通过配置防护规则拦截/放行流量 通过添加黑白名单拦截/放行流量 通过策略助手查看防护信息 访问控制策略管理 IP地址组管理 域名组管理 服务组管理
服务组管理 添加自定义服务组和服务 查看预定义服务组 删除自定义服务组 父主题： 配置访问控制策略管控流量
查看预定义服务组 云防火墙为您提供预定义服务组，包括“常用Web服务”、“常用数据库”和“常用远程登录和ping”，适用于防护Web、数据库和服务器。 预定义服务组仅支持查看，不支持添加、修改、删除操作。 查看预定义服务组 登录管理控制台。 单击管理控制台左上角的，选择区域。 在
有效识别和拦截该类绕过或破坏系统访问控制机制的行为，降低此类攻击的风险。 什么是访问控制攻击 访问控制攻击是指攻击者通过利用系统或应用中的访问控制漏洞，以非法方式获取或提升其在系统或应用中的访问权限，执行未授权的操作或访问敏感资源。 常见的访问控制攻击包括： 越权访问攻击 垂直越
来表示服务器IP），用户通过域名来访问网站。 www.example.com 目的域名组名称 “目的地址类型”选择“域名组”时，需填写“目的域名组名称”。 输入域名组名称。 域名组1 服务类型 选择服务或服务组。 服务：支持设置单个服务。 服务组：支持多个服务的集合。 服务 协议/源端口/目的端口
删除自定义服务组 服务组是多个端口的集合。通过使用服务组，可帮助您便捷防御高危端口，有效应对需要重复编辑访问规则的场景，并且方便管理这些访问规则。 本文指导您删除自定义服务组。 约束条件 被防护规则引用的服务组不支持删除，需优先调整/删除对应规则。 删除自定义服务组 登录管理控制台。
（可选）设置后，规则将在每周的固定时间段生效。 说明： 当资源所在时区和本地时区不一致时，需要配置“资源所在时区”，即当前region所属地区的时区。 绝对计划 时间设置方式 当资源所在时区和本地时区不一致时，需要选择“时间设置方式”。防火墙引擎执行时按照“资源所在时区”的时间执行。 本地时区：当前客户端浏览器所属时区
在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 访问策略管理”，进入“访问策略管理”页面。 在需要调整优先级的防护规则所在行的“操作”列，单击“设置优先级”。 选择“置顶”，或“移动至选中规则后”。
域名组管理 添加域名组 删除域名组 父主题： 配置访问控制策略管控流量
示例一：放行入方向中指定IP的访问流量 示例二：拦截某一地区的访问流量 示例三：放行业务访问某平台的流量 示例四：配置SNAT的防护规则 父主题： 配置访问控制策略管控流量
IP地址组管理 添加自定义IP地址组和IP地址 查看预定义地址组 删除自定义IP地址组 父主题： 配置访问控制策略管控流量
在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 访问策略管理”，进入“访问策略管理”界面。切换防护对象页签后，选择“黑名单”或“白名单”页签。 在需要编辑的规则所在行的“操作”列中，单击“编辑”。
如果一致，则命中对应的防护规则。 网络域名组：CFW会在后台获取DNS服务器解析出的IP地址（每15s获取一次），当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前保存的结果中（已从DNS服务器解析中获取到IP地址），则命中对应的防护规则。 单个域名最大支持解析
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
