访问控制-华为云

云防火墙 CFW-添加防护规则:约束条件

约束条件最多添加20000条防护规则。单条防护规则最多关联5条服务组。每条防护规则最多关联2条“IP地址组”。单条防护规则最多添加20个源/目的IP地址。防护域名时不支持添加中文域名格式。仅入方向规则（“方向”配置为“外-内”）的“源”地址支持配置“预定义地址组”。开启NAT64防护后，使用IPv6访问时，请注意将198.19.0.0/16的网段放通。因为NAT64会将源IP转换成198.19.0.0/16的网段进行ACL访问控制

云防火墙 CFW 管理访问控制策略

分布式消息服务ROCKETMQ版-配置RocketMQ ACL用户:创建用户

创建用户在左侧导航栏，单击“用户管理”，进入“用户管理”页面。单击“创建用户”，弹出“创建用户”对话框。参考表1，填写用户名称和配置信息。表1 用户参数说明参数说明名称自定义用户名称，用于识别不同的用户。用户名创建成功后，不可修改。 IP白名单如果请求的来源IP为IP白名单中的地址，不需要校验用户密钥是否正确，且具有所有Topic和消费组的发布+订阅权限。 IP白名单可以配置为具体的IP地址，也可以配置为网段。如：192.168.1.2,192.168.2.3或者192.*.*.* 管理员开启管理员时，具有所有Topic和消费组的发布+订阅权限。默认Topic权限默认的Topic权限。如果为指定Topic设置特殊权限，特殊权限会覆盖默认权限，此Topic的实际权限为特殊权限。例如：默认权限为订阅，指定Topic的特殊权限为发布+订阅，则此Topic实际权限为发布+订阅。默认消费组权限默认的消费组权限。如果为指定消费组设置特殊权限，特殊权限会覆盖默认权限，此消费组的实际权限为特殊权限。例如：默认权限为订阅，指定消费组的权限为禁止，则此消费组实际权限为禁止。密钥设置用户的密钥。单击“确定”，完成用户的创建。

分布式消息服务ROCKETMQ版配置RocketMQ访问控制

云数据库 GAUSSDB-服务的访问控制:身份认证

身份认证用户访问云数据库 GaussDB时支持对数据库用户进行身份验证，包含密码验证和IAM验证两种方式。密码验证您需要对数据库实例进行管理，使用数据管理服务（Data Admin Service）登录数据库时，需要对账号密码进行验证，验证成功后方可进行操作。 IAM验证您可以使用统一身份认证服务（Identity and Access Management， IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制华为云资源的访问。您创建的IAM用户，需要通过验证用户和密码才可以使用GaussDB资源。具体请参见创建IAM用户并登录。

云数据库 GAUSSDB 身份认证与访问控制

云数据库 GAUSSDB-服务的访问控制:访问控制

访问控制权限控制购买实例之后，您可以使用IAM为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，通过IAM进行精细的权限管理。具体内容请参见权限管理。 VPC和子网虚拟私有云（Virtual Private Cloud， VPC）为云数据库构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。具体内容请参见创建虚拟私有云和子网。安全组安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求并相互信任的和GaussDB数据库实例提供访问策略。为了保障数据库的安全性和稳定性，在使用GaussDB数据库实例之前，您需要设置安全组，开通需访问数据库的IP地址和端口。具体请参见设置安全组规则。

云数据库 GAUSSDB 身份认证与访问控制

分布式缓存服务 DCS-配置Redis SSL数据加密传输:操作步骤

操作步骤登录分布式缓存服务管理控制台。在管理控制台左上角单击，选择实例所在的区域。单击左侧菜单栏的“缓存管理”。在“缓存管理”页面，单击需要执行操作的缓存实例名称。单击左侧菜单栏的“SSL设置”，进入SSL设置页面。单击“SSL证书”后的，可以开通或关闭SSL。开通或关闭SSL将会重启您的实例。实例会出现秒级的连接闪断，请在业务低峰期执行该操作并确保应用具备重连机制。重启操作无法撤销，单机实例及其他关闭了AOF持久化（参数配置appendonly为no）的实例，数据将清空，实例正在执行的备份任务会被停止，请谨慎操作。开启SSL后，实例的读写性能会有所下降。开通SSL功能后，单击“下载证书”，下载SSL证书。解压SSL证书，将解压后的“ca.crt”文件上传到Redis客户端所在的服务器上。在连接实例的命令中配置“ca.crt”文件所在的路径。例如，使用redis-cli连接实例时，请参考使用redis-cli连接Redis实例。

分布式缓存服务 DCS 配置Redis访问控制

内容分发网络 CDN-IP访问限频:配置示例

配置示例配置详情：域名www.example.com开启了IP访问限频，访问阈值设置为10000次/秒。触发IP限频的条件：单IP的单URL每秒访问单节点的次数达到10000次，才会触发访问限频。示例：IP地址为0.0.0.0的客户端，一秒内访问链接https://www.example.com/abc.jpg的次数达到了10000次，即触发访问限频，该IP再次请求https://www.example.com/abc.jpg时，阻断请求，返回403状态码，10分钟后解除阻断。

内容分发网络 CDN 访问控制

云防火墙 CFW-批量管理防护规则:导入规则模板参数-VPC防护规则表（VPC边界防护规则）

导入规则模板参数-VPC防护规则表（VPC边界防护规则）表2 VPC防护规则表参数说明参数名称参数说明取值样例顺序定义规则序号。 1 规则名称自定义规则名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 动作选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。放行启用状态选择该策略是否立即启用。启用：表示启用，规则生效；禁用：表示关闭，规则不生效。启用描述自定义规则描述。 test 源地址类型设置访问流量中发送数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。 IP地址源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 s_test 目的地址类型选择访问流量中的接收数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。 IP地址组目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。目的IP地址支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 d_test 服务类型选择服务或服务组。服务：支持设置单个服务。服务组：支持多个服务的集合。服务协议/源端口/目的端口设置需要限制的类型。协议类型当前支持：TCP、UDP、ICMP、Any。设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 TCP/443/443 服务组名称自定义服务组名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 service_test 分组标签用于标识规则，可通过标签实现对安全策略的分类和搜索。 k=a

云防火墙 CFW 管理访问控制策略

云防火墙 CFW-批量管理防护规则:导入规则模板参数-防护规则表（互联网边界防护规则）

导入规则模板参数-防护规则表（互联网边界防护规则）表1 防护规则表参数说明参数名称参数说明取值样例顺序定义规则序号。 1 规则名称自定义规则名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 防护规则选择安全策略的防护类型。 EIP防护：防护EIP的流量，仅支持配置公网IP。 NAT防护：防护NAT的流量，可以配置私网IP。 EIP防护方向选择防护方向：外-内：外网访问内部服务器。内-外：客户服务器访问外网。内到外动作选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。放行规则地址类型选择“IPv4”或者“IPv6”。设置防护的IP类型。 IPv4 启用状态选择该策略是否立即启用。启用：表示立即开启，规则生效；禁用：表示关闭，规则不生效。启用描述自定义规则描述。 test 源地址类型设置访问流量中发送数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。地域：支持按照地域防护。 IP地址源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 s_test 源大洲地域 “源地址类型”选择“地域”时，需填写“源大洲地域”。根据模板表格中“大洲信息表”页签，填写大洲信息。 AS:亚洲源国家地域 “源地址类型”选择“地域”时，需填写“源国家地域”。根据模板表格中“国家信息表”页签，填写国家信息。 CN:中国大陆目的地址类型选择访问流量中的接收数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。域名：由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。域名组：支持多个域名的集合。地域：支持地域防护。 IP地址组目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。目的IP地址支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 d_test 目的大洲地域 “目的地址类型”选择“地域”时，需填写“目的大洲地域”。根据模板表格中“大洲信息表”页签，填写大洲信息。 AS:亚洲目的国家地域 “目的地址类型”选择“地域”时，需填写“目的国家地域”。根据模板表格中“国家信息表”页签，填写国家信息。 CN:中国大陆域名 “目的地址类型”选择“域名”时，需填写“域名”。由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。 www.example.com 目的域名组名称 “目的地址类型”选择“域名组”时，需填写“目的域名组名称”。输入域名组名称。域名组1 服务类型选择服务或服务组。服务：支持设置单个服务。服务组：支持多个服务的集合。服务协议/源端口/目的端口设置需要限制的类型。协议类型当前支持：TCP、UDP、ICMP、Any。设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 TCP/443/443 服务组名称自定义服务组名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 service_test 分组标签用于标识规则，可通过标签实现对安全策略的分类和搜索。 k=a

云防火墙 CFW 管理访问控制策略

数据仓库服务 GAUSSDB(DWS)-行级访问控制

行级访问控制在业务开发过程中，存在多个用户共同访问和维护同一张表的场景，需要针对不同用户设置不同行数据的访问权限。例如只允许用户A查看跟自己相关的行数据，即相对于表的管理员能看到全部表数据而言，用户A执行SELECT * FROM table_name的时候，只能看到部分行数据，不能看到所有，以行级进行数据访问控制，对此GaussDB(DWS)行级访问控制特性实现了这一功能。将数据库访问控制精确到数据表行级别，使数据库达到行级访问控制的能力。不同用户执行相同的SQL查询操作，读取到的结果是不同的。用户可以在数据表创建行访问控制(Row Level Security)策略，该策略是指针对特定数据库用户、特定SQL操作生效的表达式。当数据库用户对数据表访问时，若SQL满足数据表特定的Row Level Security策略，在查询优化阶段将满足条件的表达式，按照属性(PERMISSIVE | RESTRICTIVE)类型，通过AND或OR方式拼接，应用到执行计划上。行级访问控制的目的是控制表中行级数据可见性，通过在数据表上预定义Filter，在查询优化阶段将满足条件的表达式应用到执行计划上，影响最终的执行结果。当前受影响的SQL语句包括SELECT，UPDATE，DELETE。了解更多请参见行级访问控制。父主题：身份认证与访问控制

数据仓库服务 GAUSSDB(DWS) 身份认证与访问控制

媒体处理 MPC-服务的访问控制:身份认证

身份认证身份凭证及其安全性 MPC支持通过账号和IAM用户两种身份访问，并且均支持通过用户名密码、访问密钥和临时访问密钥进行身份认证。如表1所示，每一种身份凭证，MPC都对其进行安全性设计，目的是保护用户数据，让用户更安全地访问MPC。表1 表1 MPC身份凭证和安全性设计访问凭证安全性简要说明详细介绍用户名、密码按需配置用户密钥字符种类和最小长度，支持配置密码有效期策略和密码最短使用时间策略。密码策略访问密钥华为云通过AK识别访问用户的身份，通过SK对请求数据进行签名验证，用于确保请求的机密性、完整性和请求者身份的正确性。访问密钥临时访问密钥临时访问密钥除了具备访问密钥特性，还具备时效性，可对有效期进行设置，到期后无法重复使用，只能重新获取。临时访问密钥登录保护及登录验证策略如表2所示，除了要求用户登录出示凭证并验证合法性，MPC还提供登录保护机制，支持登录验证策略，防止用户信息被非法盗用。表2 表2 登录保护和登录验证策略登录保护手段简要说明详细介绍登录保护除了在登录页面输入用户名和密码外（第一次身份验证），用户登录华为云还需要在登录验证页面输入验证码（第二次身份验证）。验证设备支持手机、邮箱和虚拟MFA设备，详见多因素认证。登录保护登录验证策略 MPC支持会话超时策略，超过规定时长未操作界面需重新登录；支持账号锁定策略，登录失败次数过多触发账号锁定；支持账号停用策略，长时间未登录触发账号停用；支持最近登录提示，用户可查看上次登录时间。登录验证策略

媒体处理 MPC 身份认证与访问控制

IAM 身份中心-更新指定实例的访问控制属性配置:响应参数

响应参数状态码： 400 表7 响应Body参数参数参数类型描述 error_code String 错误码。 error_msg String 错误信息。 request_id String 请求唯一标识。状态码： 403 表8 响应Body参数参数参数类型描述 error_code String 错误码。 error_msg String 错误信息。 request_id String 请求唯一标识。

IAM 身份中心实例访问控制属性配置管理

IAM 身份中心-更新指定实例的访问控制属性配置:请求示例

请求示例更新指定实例的访问控制属性配置。 PUT https://{hostname}/v1/instances/{instance_id}/access-control-attribute-configuration { "instance_access_control_attribute_configuration" : { "access_control_attributes" : [ { "key" : "email", "value" : { "source" : [ "${path:emails[primary eq true].value}" ] } }, { "key" : "nickName", "value" : { "source" : [ "${path:nickName}" ] } } ] } }

IAM 身份中心实例访问控制属性配置管理

IAM 身份中心-更新指定实例的访问控制属性配置:请求参数

请求参数表2 请求Header参数参数是否必选参数类型描述 X-Security-Token 否 String 如果正在使用临时安全凭据，则此header是必需的，该值是临时安全凭据的安全令牌（会话令牌）。最大长度：2048 表3 请求Body参数参数是否必选参数类型描述 instance_access_control_attribute_configuration 是 Object 更新ABAC配置的属性。表4 instance_access_control_attribute_configuration 参数是否必选参数类型描述 access_control_attributes 是 Array of objects IAM身份中心实例中ABAC配置的属性。数组长度：0 - 20 表5 access_control_attributes 参数是否必选参数类型描述 key 是 String 与您的身份源中的身份关联的属性的名称。最小长度：1 最大长度：128 value 是 Object 用于将指定属性映射到身份源的值。表6 value 参数是否必选参数类型描述 source 是 Array of strings 用于将指定属性映射到身份源的值。最小长度：0 最大长度：255 数组长度：1-1

IAM 身份中心实例访问控制属性配置管理

内容分发网络 CDN-远程鉴权配置:背景信息

背景信息远程鉴权功能类似URL鉴权，区别如下： URL鉴权：鉴权由CDN节点完成。远程鉴权：CDN节点转发用户请求到您指定的鉴权服务器，由鉴权服务器完成鉴权功能。远程鉴权用户请求流程如下：图1 远程鉴权流程表1 步骤说明步骤说明 ① 用户携带鉴权参数访问CDN节点。 ② CDN将用户请求转发至远程鉴权服务器。 ③ 远程鉴权服务器完成鉴权操作，给CDN节点返回响应状态码。 ④ CDN节点根据接收到的状态码判断是否给用户返回所请求的资源。

内容分发网络 CDN 访问控制

API网关 APIG-创建访问控制策略:绑定API

绑定API 在“访问控制”页面，通过以下任意一种方法，进入“绑定API”页面。在待绑定的访问控制策略所在行，单击“绑定API”，进入已绑定API列表页面。单击“绑定API”。单击策略名称，进入策略详情页面。单击“绑定API”。选择“API分组”、“环境”以及“API名称”，筛选所需的API。勾选API，单击“绑定”，完成API绑定策略。在访问控制策略绑定API后，如果API不需要调用此策略，单击“解除”，解除绑定。如果需要批量解绑API，则勾选待解绑的API，单击“解除”。最多同时解绑1000个API。

API网关 APIG 访问控制

云服务器内容精选

访问控制

7*24

备案

专业服务

退订

建议反馈

售前咨询热线