检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
例如，对于企业内部管理员，可访问管理区堡垒机远程登录端口，而其他一般用户，或内部系统则无法访问。对于企业内部一般用户，应仅能访问内网应用区的SAP业务端口。系统内部各区域间(子网隔离)，应使用网络ACL限制默认拒绝所有流量，业务必须流量已白名单方式添加。 本章节将主要描述生产环境内部区域间的访问控制策
海外的用户如何访问国内华为云上的SAP系统？ 华为云推出云连接服务（Cloud Connect），打造全球一张网，方便客户在全球任何节点轻松连入华为云的全球骨干网，不管是企业出海还是海外企业进中国，都能轻松满足。 父主题： 产品篇
网络隔离与访问控制 SAP生产环境安全解决方案如图1 生产环境安全解决方案全景图所示。 图1 开发测试环境安全解决方案全景图 根据业务特点，由于开发测试环境仅供企业内部开发、测试使用，并参考企业安全实践，开发测试环境内部可采用稍弱的网络隔离与访问控制策略，提高网络部署灵活性。 但
产环境互联，此边界需要特别关注，采用较严格的访问控制策略：由开发测试环境发起对生产环境的访问，需严格控制(默认失败)，仅能访问生产环境中必要的[IP]:[PORT] (最小化)；由生产环境发起的对开发测试环境的访问，可以采用稍弱的访问控制策略。 安全策略 网络ACL“NACL-P
产环境互联，此边界需要特别关注，采用较严格的访问控制策略：由开发测试环境发起对生产环境的访问，需严格控制(默认失败)，仅能访问生产环境中必要的[IP]:[PORT] (最小化)。由生产环境发起的对开发测试环境的访问，可以采用稍弱的访问控制策略。 安全策略 如图1 开发测试环境网络
由于开发环境同时需要与企业内部通信，还需提供互联网的业务访问，综合考虑通过网络ACL进行相应的访问控制策略。 图1 开发测试环境子网 如图1 开发测试环境子网所示，网络ACL“NACL-DEV-APP”关联开发测试环境相应子网，需严格控制访问企业内网环境(IDC)的出方向策略，限制其仅能访问企业内网环境(IDC)中特定的[IP]:[PORT]。
保护需求并相互信任的云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当云服务器加入该安全组后，即受到这些访问规则的保护。了解更多关于安全组的信息，请参见安全组简介。 操作步骤 创建SAP 安全组。 在网络控制台，选择“访问控制 > 安全组”，然后单击“创建安全组”。
保护需求并相互信任的云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当云服务器加入该安全组后，即受到这些访问规则的保护。了解更多关于安全组的信息，请参见安全组简介 。 操作步骤 创建SAP 安全组。 在网络控制台，选择“访问控制 > 安全组”，然后单击“创建安全组”。
BS服务、创建IAM用户以及获取访问密钥（AK和SK）等环境准备操作。为确保账号及资源的安全性，不建议使用注册账号直接访问OBS。建议通过统一身份认证服务（Identity and Access Management，IAM）创建具有OBS资源访问权限的用户，用以在OBS客户端执行数据存取操作。
保护需求并相互信任的云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当云服务器加入该安全组后，即受到这些访问规则的保护。了解更多关于安全组的信息，请参见安全组简介 。 操作步骤 创建SAP 安全组。 在网络控制台，选择“访问控制 > 安全组”，然后单击“创建安全组”。
由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。 安全策略 图1 开发测试环境子网 如图1 开发测试环境子网所示，网络ACL“NACL-DEV-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。
由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。 安全策略 如图2 生产环境子网、网络ACL分布图所示，网络ACL“NACL-PRD-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。
由于开发环境同时需要与企业内部通信，还需提供互联网的业务访问，综合考虑通过网络ACL进行相应的访问控制策略。 网络ACL “NACL-DMZ-SAP-Router”关联生产环境相应子网，需严格控制互联网访问的入方向策略，限制特定外网网段能够访问特定的[IP]:[PORT]。 本节中提到的I
专属企业存储服务”，进入专属企业存储信息页面。 单击对应专属企业存储，进入详细信息页面。 可通过以下任意一种方式挂载磁盘。 单击对应磁盘后面的“挂载”，进入挂载磁盘页面。 单击对应磁盘的名称，进入详细信息页面，单击左上角“挂载”，进入挂载磁盘页面。 勾选需要挂载的BMS。 挂载页面自动查询可以用来挂载
周期性上传的备份文件，可能只需要保留一个星期或一个月，到期后要删除它们。 某些文件在一段时间内经常访问，但是超过一定时间后便可能不再访问了。这些文件需要在一定时间后转化为低频访问存储，归档存储或者删除。 对于上述场景中的对象，您可以创建对象的生命周期管理规则，通过这些规则实现对象的生命周期管理。
创建安全组 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当云服务器加入该安全组后，即受到这些访问规则的保护。了解更多关于安全组的信息，请参见安全组简介 。 您需要创建两个安全组，一个提供给SAP
的对接信息，包括OBS终端节点地址（Endpoint）和访问密钥（AK和SK）。获得OBS的认证后，才能使用obsutil执行OBS桶和对象的相关操作。 前提条件 已成功下载obsutil，具体请参见下载软件。 已获取访问密钥（AK和SK），具体操作请参见准备环境中的3。 操作步骤
S），可为云上多个弹性云服务器（Elastic Cloud Server，ECS），容器（CCE&CCI），裸金属服务器（BMS）提供共享访问。了解更多关于SFS的信息，请参见弹性文件服务简介 。 在SAP HANA系统中，Backup卷由SFS提供，您可根据实际需要创建一个SFS，提供共享路径给SAP
操作场景 在SAP系统中，除了SAP HANA节点使用裸金属服务器外，其他节点都使用弹性云服务器。 Jump Host弹性云服务器，用户可通过访问该服务器后，再通过SSH协议跳转到SAP HANA及SAP应用节点。同时用于部署SAP客户端软件（例如SAP GUI、SAP HANA Studio等）。
操作场景 在SAP系统中，除了SAP HANA节点使用裸金属服务器外，其他节点都使用弹性云服务器。 Jump Host弹性云服务器，用户可通过访问该服务器后，再通过SSH协议跳转到SAP HANA及SAP应用节点。同时用于部署SAP客户端软件（例如SAP GUI、SAP HANA Studio等）。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
