检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
启用WAF防护策略地理位置访问控制规则 规则详情 表1 规则详情 参数 说明 规则名称 waf-policy-enable-geoip 规则展示名 启用WAF防护策略地理位置访问控制规则 规则描述 如果账号未配置并启用WAF防护策略的地理位置访问控制规则,视为“不合规”。 标签 waf
无 应用场景 开启HTTPS访问后,访问集群将进行通讯加密。关闭HTTPS访问后,会使用HTTP协议与集群通信,无法保证数据安全性,并且无法开启公网访问功能。详见切换安全模式下的协议。 修复项指导 CSS集群的安全模式启用时,开启HTTPS访问,访问集群将进行通讯加密。用户可以通过安全模式修改API接口启用安全模式。
maxAccessKeyAge:访问密钥最大更换天数,默认值为90。 应用场景 企业用户通常都会使用访问密钥(AK/SK)的方式对云上的资源进行API访问,但是访问密钥需要做到定期的自动轮换,以降低密钥泄露等潜在的安全风险。 修复项指导 轮换访问密钥可以通过创建两个访问密钥进行,将两个访问密钥作为一主
clusters 规则参数 无 应用场景 非安全模式的集群无需安全认证即可访问,采用HTTP协议明文传输数据。建议确认访问环境的安全性,勿将访问接口暴露到公网环境上。安全模式的集群需要通过安全认证才能访问,且支持对集群进行授权、加密等功能。采用HTTPS协议进行通信加密,使数据更
如果您需要针对配置审计服务,给企业中的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全地控制华为云资源的访问。 通过IAM,
根据规则评估结果删除相关IAM用户被创建时设置的访问密钥。 检测逻辑 IAM用户为“停用”状态,视为“合规”。 IAM用户未开启“管理控制台访问”,视为“合规”。 IAM用户不具有创建时就存在的访问密钥,视为“合规”。 IAM用户不满足以上条件,视为“不合规”。 父主题: 统一身份认证服务 IAM
无 应用场景 CSS集群内部的权限控制是通过安全集群实现的,当集群开启安全模式后,访问集群时需要进行身份认证,通过Kibana可以给集群创建用户进行授权。确保CSS集群启用了认证,详见身份认证与访问控制。 修复项指导 部分集群支持开启安全模式。用户可以通过安全模式修改API接口启用安全模式。
资源清单常见问题 “资源清单”页面中怎么无法删除资源? “资源清单”页面只提供查看、导出资源功能,如果要对资源进行删除等管理类的操作,请单击右侧操作列的“查看详情”,跳转至资源所属的服务页面进行操作。 图1 查看资源详情 为什么云服务资源发生了变化,“资源清单”中相应资源未发生变化?
IAM用户为“停用”状态,视为“合规”。 IAM用户未开启“管理控制台访问”,视为“合规”。 IAM用户为“启用”状态且开启“管理控制台访问”,若在指定时间内有登录行为,视为“合规”。 IAM用户为“启用”状态且开启“管理控制台访问”,若在指定时间内没有登录行为,视为“不合规”。 父主题: 统一身份认证服务
根据企业项目筛选资源的功能必须要先开通企业项目才可以使用,因此该筛选条件并非对每个用户可见。 操作步骤 登录管理控制台。 单击页面左上角的图标,在弹出的服务列表中,选择“管理与监管”下的“配置审计 Config”,进入“资源清单”页面。 在“资源清单”页面中部搜索框中,可通过名称、资源ID、资源状态、标签和企业项目筛选出您需要查看的资源。
避免桶策略授权非预期的身份或网络。 检测逻辑 OBS桶策略授予的访问权限受您提供的访问身份和网络限制约束,视为“合规”。 OBS桶策略授予的访问权限不受您提供的访问身份和网络限制约束,视为“不合规”。 满足sourceIp条件或满足sourceVpc条件或满足sourceVpce条件,都视为满足网络限制。
云账号整合到创建的组织中,并可以集中管理组织下的所有账号。用户可以在组织中设置访问策略,帮助用户更好地满足业务的安全性和合规性需求。 账号 用户注册时的账号,账号对其所拥有的资源及云服务具有完全的访问权限,可以重置用户密码、分配用户权限等。由于账号是付费主体,为了确保账号安全,建
iam-root-access-key-check 根用户存在可使用的访问密钥 iam 根用户存在可使用的访问密钥,视为“不合规” C.CS.FOUNDATION.G_1.R_2 确保管理员账号已启用 MFA root-account-mfa-enabled 根用户开启MFA认证 iam 根用户未开启MFA认证,视为“不合规”
导出资源列表 操作场景 在“资源清单”页面您可以导出资源列表中的资源信息。 操作步骤 登录管理控制台。 单击页面左上角的图标,在弹出的服务列表中,选择“管理与监管”下的“配置审计 Config”,进入“资源清单”页面。 单击列表左上方的“导出资源列表”按钮,导出列表中的资源信息。
无 应用场景 由于可能存在敏感数据,应当确保图引擎服务(GES)已通过KMS进行加密。加密可帮助您保护数据的机密性,从而降低未经授权的用户访问数据的风险。 修复项指导 在创建图实例时,您应当使用KMS对图实例进行加密,详见自定义创建图。 检测逻辑 GES图未通过KMS进行加密,视为“不合规”。
性云服务器的访问规则,加强弹性云服务器的安全保护。 虚拟私有云更多信息,详见虚拟私有云产品介绍。 修复项指导 ECS弹性云服务器创建完成后不支持切换虚拟私有云,请谨慎选择所属虚拟私有云。 检测逻辑 ECS实例使用的VPC不是指定的VPC,视为“不合规”。 ECS实例使用的VPC是指定的VPC,视为“合规”。
聚合器不提供对源账号资源数据的修改访问权限。例如,无法通过资源聚合器部署规则,也无法通过资源聚合器从源账号提取快照文件。 资源聚合器仅支持用户查询和浏览源账号中的云服务资源信息,如果要对资源进行修改、删除等管理类的操作,请前往资源所属的服务页面进行操作。 配置流程 使用资源聚合器
Request 服务器未能处理请求。 401 Unauthorized 被请求的页面需要用户名和密码。 403 Forbidden 对被请求页面的访问被禁止。 404 Not Found 服务器无法找到被请求的页面。 405 Method Not Allowed 请求中指定的方法不被允许。
为IAM委托授予权限时,避免过大权限带来的安全隐患。账号中的委托仅授予能完成工作所需的必需权限,通过最小权限原则,可以帮助您安全地控制IAM委托对云资源的访问。 修复项指导 IAM委托绑定所有指定的IAM策略和权限,详见分配委托权限。 检测逻辑 IAM委托未绑定所有指定的IAM策略和权限,视为“不合规”。
规则参数 blockedActionsPatterns:KMS的阻拦action列表,数组类型。 应用场景 帮助您将最小权限和职责分离的原则与访问权限和授权结合起来,限制策略在数据加密服务上包含阻止的操作,防止非预期的身份拥有对数据的解密或加密能力。 修复项指导 用户可以根据合规评估