安全-华为云

安全云脑 SECMASTER-什么是安全云脑:为什么选择安全云脑

为什么选择安全云脑一键安全合规：一键生成遵从报告，华为积累的全球安全合规经验服务化，帮助用户快速实现云上业务安全/隐私保护遵从。一屏全面感知：采集各类安全服务的告警事件，并进行大数据关联、检索、排序，全面评估安全运营态势，支持大屏展示安全运营动态。一云全局分析：结合华为云积累的每日数亿威胁情报定位威胁，多维关联分析，消除无效告警、识别潜在高级威胁。一体全程处置：服务内置多种处理剧本，实现99%以上的安全事件分钟级自动化响应。更多安全云脑产品优势请参见产品优势。

安全云脑 SECMASTER

部署 CODEARTS DEPLOY-责任共担

责任共担华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。安全性是华为云与您的共同责任，如图1所示。华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的 IaaS、PaaS 和 SaaS 类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的 IaaS、PaaS 和 SaaS 类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API 网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。图1 华为云安全责任共担模型父主题：安全

部署 CODEARTS DEPLOY 安全

MAPREDUCE服务 MRS-用户账号一览表:数据库用户

数据库用户系统数据库用户包含OMS数据库用户、DBService数据库用户。类别默认用户初始密码描述密码修改方法 OMS数据库 ommdba MRS 3.2.0之前版本：dbChangeMe@123456 MRS 3.2.0及之后版本：随机密码 OMS数据库管理员用户，用于创建、启动和停止等维护操作。请参见修改OMS数据库管理员密码。 omm MRS 3.2.0之前版本：ChangeMe@123456 MRS 3.2.0及之后版本：随机密码 OMS数据库数据访问用户。请参见修改OMS数据库访问用户密码。 DBService数据库 omm MRS 3.2.0之前版本：dbserverAdmin@123 MRS 3.2.0及之后版本：随机密码 DBService组件中GaussDB数据库的管理员用户。请参见重置DBService数据库omm用户密码。 compdbuser 随机密码 MRS 3.1.2及之后版本中存在，DBService组件中GaussDB数据库的管理员用户，用于业务运维场景。该账户密码首次使用需重置。请参见修改DBService数据库compdbuser用户密码。 hetu 随机密码 HetuEngine连接DBService数据库hetumeta的用户。该用户仅在MRS 3.1.2及之后版本中存在。 MRS 3.1.2之前版本：请参见修改组件数据库用户密码。 MRS 3.1.2及之后版本：请参见重置组件数据库用户密码。 hive MRS 3.1.2之前版本：HiveUser@ MRS 3.1.2及之后版本：随机密码 Hive连接DBService数据库hivemeta的用户。 hue MRS 3.1.2之前版本：HueUser@123 MRS 3.1.2及之后版本：随机密码 Hue连接DBService数据库hue的用户。 sqoop MRS 3.1.2之前版本：SqoopUser@ MRS 3.1.2及之后版本：随机密码 Loader连接DBService数据库sqoop的用户。 oozie MRS 3.1.2之前版本：OozieUser@ MRS 3.1.2及之后版本：随机密码 Oozie连接DBService数据库oozie的用户。 rangeradmin MRS 3.1.2之前版本：Admin12! MRS 3.1.2及之后版本：随机密码 Ranger连接DBservice数据库ranger的用户。 kafkaui 随机密码 KafkaUI连接DBService数据库kafka的用户。该用户仅在MRS 3.1.2及之后版本中存在。 flink 随机密码 Flink连接DBService数据库flink的用户。该用户仅在MRS 3.1.2及之后版本中存在。 cdl 随机密码 CDL连接DBService数据库cdl的用户。该用户仅在MRS 3.2.0及之后版本中存在。 jobgateway 随机密码 JobGateway连接DBService数据库jobmeta的用户。该用户仅在MRS 3.3.0及之后版本中存在。

MAPREDUCE服务 MRS 安全概述

MAPREDUCE服务 MRS-用户账号一览表:用户分类

用户分类 MRS集群提供以下3类用户，请系统管理员定期修改密码，不建议使用默认密码。本章节介绍MRS集群内的相关默认用户信息。用户类型使用说明系统用户通过FusionInsight Manager创建，是系统操作运维与业务场景中主要使用的用户，包含两种类型： “人机”用户：用于在FusionInsight Manager的操作运维场景，以及在组件客户端操作的场景。创建此类型用户时需要参考创建用户设置“密码”和“确认密码”。 “机机”用户：用于系统应用开发的场景。用于OMS系统进程运行的用户。系统内部用户集群提供的用于Kerberos认证、进程通信、保存用户组信息和关联用户权限的内部用户。系统内部用户不建议在操作与维护的场景下使用。请通过admin用户操作，或联系系统管理员根据业务需要创建新用户。数据库用户用于OMS数据库管理和数据访问的用户。用于业务组件（Hue、Hive、HetuEngine、Loader、Oozie、Ranger、JobGateway和DBService）数据库的用户。

MAPREDUCE服务 MRS 安全概述

MAPREDUCE服务 MRS-用户账号一览表:系统用户

系统用户需要使用操作系统中root用户，所有节点root用户需设置为统一的密码。需要使用操作系统中ldap用户，此账号不能删除，否则可能导致集群无法正常工作。密码管理策略由操作系统管理员维护。类别用户名称初始密码描述密码修改方法系统管理员 admin 用户创建集群时自定义 FusionInsight Manager的管理员。说明： admin用户默认不具备其他组件的管理权限，例如访问组件原生界面时，需要使用具备对应组件管理权限的用户才可以访问到完整内容。请参见修改admin密码。节点操作系统用户 ommdba 随机密码创建系统数据库的用户。在管理节点生成，属于操作系统用户，无需设置为统一的密码。该用户不能用于远程登录。请参见修改操作系统用户密码。 omm 随机密码系统的内部运行用户。在全部节点生成，属于操作系统用户，无需设置为统一的密码。

MAPREDUCE服务 MRS 安全概述

虚拟私有云 VPC-查询安全组列表:URI

URI GET /v3/{project_id}/vpc/security-groups 表1 参数说明名称是否必选参数类型说明 project_id 是 String 项目ID。获取方法请参见获取项目ID。表2 Query参数参数是否必选参数类型描述 limit 否 Integer 功能说明：每页返回的个数。取值范围：0-2000。 marker 否 String 分页查询起始的资源ID，为空时查询第一页。 id 否 String 功能说明：安全组资源ID。可以使用该字段精确过滤安全组，支持多个ID。 name 否 Array of strings 功能说明：安全组名称。可以使用该字段精确过滤满足条件的安全组，支持传入多个name过滤。 description 否 Array of strings 功能说明：安全组描述新增。可以使用该字段精确过滤安全组，支持传入多个描述进行过滤。 enterprise_project_id 否 String 功能说明：企业项目ID。可以使用该字段过滤某个企业项目下的安全组。取值范围：最大长度36字节，带“-”连字符的UUID格式，或者是字符串“0”。“0”表示默认企业项目。约束：若需要查询当前用户所有有权限查看企业项目绑定的安全组，请传参all_granted_eps。

虚拟私有云 VPC 安全组

虚拟私有云 VPC-查询安全组列表:响应示例

响应示例状态码为 200 时: OK { "request_id": "d31cb32ca06f3c1a294fa24e6cbc5a56", "security_groups": [ { "id": "0552091e-b83a-49dd-88a7-4a5c86fd9ec3", "name": "Sys-FullAccess--", "project_id": "060576782980d5762f9ec014dd2f1148", "description": "~!@#¥", "enterprise_project_id": "0", "created_at": "2019-10-16T11:11:14Z", "updated_at": "2020-03-25T10:53:46Z", "tags": [] }, { "id": "0b8cb773-197c-4c91-94f1-e051f0563e5a", "name": "test-sg", "project_id": "060576782980d5762f9ec014dd2f1148", "description": "通用Web服务器,默认放通22、3389、80、443端口和ICMP协议。适用于需要远程登录、公网ping及用于网站服务的云服务器场景。", "enterprise_project_id": "0", "created_at": "2019-12-03T09:02:11Z", "updated_at": "2019-12-03T09:02:11Z", "tags": [] } ], "page_info": { "previous_marker": "0552091e-b83a-49dd-88a7-4a5c86fd9ec3", "current_count": 2 } }

虚拟私有云 VPC 安全组

MAPREDUCE服务 MRS-MRS集群保留JDK说明

MRS集群保留JDK说明 MRS集群是租户完全可控的大数据应用开发平台，用户基于平台开发业务后，将业务程序部署到大数据平台运行。由于需要具备开发调测能力，因此要在MRS集群中保留JDK。此外，MRS集群功能中如下关键特性也强依赖JDK。 HBase BulkLoad HBase BulkLoad支持用户自定义proto文件将数据文件中的字段导入HBase，该特性需要使用JDK将用户自定义的proto文件转换成Java文件，然后编译成Class文件运行。组件进程堆栈信息采集 MRS集群内角色或实例的堆栈信息采集功能依赖于JDK，具体参见“采集堆栈信息”章节。安全风险说明：JDK中包含javac、jmap、jdb等调测工具，攻击者可以利用调测工具调试业务进程，可能造成进程中敏感信息泄露。但是此类攻击需要攻击者拿到集群节点的Shell权限后才可以执行，MRS集群部署在VPC内，有安全组控制访问，故不将MRS集群暴露给不可信网络即可消解该风险。父主题：安全

MAPREDUCE服务 MRS 安全

分布式缓存服务 DCS-数据保护技术

数据保护技术 DCS通过多种数据保护手段和特性，保障DCS的数据安全可靠。表1 DCS的数据保护手段和特性数据保护手段简要说明详细介绍容灾和多活根据对数据与服务的不同可靠性要求，您可以选择将缓存实例部署在单可用区内（单机房），或者跨可用区（同城灾备）。容灾多活策略副本冗余副本通过增量数据同步的方式保持缓存数据一致，当网络发生异常或节点故障时，通过冗余副本自动故障切换，并且故障恢复后进行一次全量同步，保持数据一致性。数据复制数据持久化业务系统日常运行中可能出现一些小概率的异常事件。部分可靠性要求非常高的业务系统，除了要求缓存实例高可用，还要求缓存数据安全、可恢复，甚至永久保存，以便在缓存实例发生异常后能够使用备份数据进行恢复，保障业务正常运行。备份与恢复父主题：安全

分布式缓存服务 DCS 安全

分布式缓存服务 DCS-安全白皮书:数据复制

数据复制 DCS的主备和集群实例支持部署高可用实例。租户可选择在单可用区或多可用区中部署实例。当租户选择跨AZ实例时，DCS实例会主动建立和维护Redis同步复制。在实例主节点故障的情况下，缓存实例会自动将备实例升为主节点，从而达到高可用的目的。如果租户使用缓存实例时，业务中读取数据比例大，可以选择4.0以上版本的读写分离实例或者集群多副本实例，缓存实例会自动维护主节点和多个备节点之间的数据同步复制，租户可以根据业务需要连接不同的地址进行读写分离。

分布式缓存服务 DCS 安全

分布式缓存服务 DCS-安全白皮书:网络隔离

网络隔离 VPC允许租户通过配置VPC入站IP范围，来控制连接缓存实例的IP地址段。DCS实例运行在租户独立的VPC内。租户可以创建一个跨可用区的子网组，之后可以根据业务需要，将部署DCS的高可用实例选择此子网完成，DCS在创建完实例后会为租户分配此子网的IP地址，用于缓存实例。DCS实例部署在租户VPC后，租户可通过VPN使其它VPC能够访问实例所在VPC，也可以在VPC内部创建ECS，通过私有IP连接缓存实例。租户可以综合运用子网、安全组、白名单等配置，来完成DCS实例的隔离，提升DCS实例的安全性。

分布式缓存服务 DCS 安全

分布式缓存服务 DCS-安全白皮书:访问控制

访问控制租户创建DCS实例时，可以选择配置安全组（仅Redis 3.0/Redis 6.0企业版/Memcached实例支持）或者白名单（仅Redis 4.0、Redis 5.0和Redis 6.0基础版支持）。租户可以通过VPC，对DCS实例所在的安全组或白名单入站、出站规则进行限制，从而控制可以连接实例的网络范围。配置安全组/白名单不需要重启实例。租户创建DCS实例时，建议将访问方式设置为密码访问，并为实例设置访问密码，防止未经认证的客户端误操作实例，以达到对客户端进行认证访问的目的，提高实例使用的安全性。

分布式缓存服务 DCS 安全

分布式缓存服务 DCS-安全白皮书:传输和存储加密

传输和存储加密 Redis的传输协议RESP在Redis 6.0之前的版本仅支持明文传输。Redis 6.0基础版实例支持RESP3传输协议，支持SSL传输加密。当前DCS实例在开启公网访问时（仅Redis 3.0实例支持），支持基于Stunnel的客户端与服务端TLS加密传输（参考文档：Stunnel安装和配置）。在开启公网访问时，指定的CA会为每个实例生成唯一的服务证书。客户端可以使用从服务控制台上下载的CA根证书，并在连接实例时提供该证书，对实例服务端进行认证并达到加密传输的目的。由于需要兼容开源RESP协议，在未开启公网访问时，如果客户有传输加密诉求，建议在数据存储前使用加密算法进行加密后传输（例如AES 256等），并且控制在信任域内进行访问，加密后的数据在落盘保存时同样也会加密保存。

分布式缓存服务 DCS 安全

鲲鹏-审计与日志

审计与日志审计云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 AOS支持审计的操作事件，请参见云审计服务支持的AOS操作列表。日志用户开通云审计服务并创建和配置追踪器后，CTS可记录与AOS相关的操作事件，方便您进行事后审计。您可以在CTS控制台，事件列表菜单中，搜索AOS的事件来源，即可查看所有AOS相关的审计日志。审计日志查看方法，请参见查看云审计日志。父主题：安全

鲲鹏安全

鲲鹏-审计与日志

审计与日志审计云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 AOS支持审计的操作事件，请参见云审计服务支持的AOS操作列表。日志用户开通云审计服务并创建和配置追踪器后，CTS可记录与AOS相关的操作事件，方便您进行事后审计。您可以在CTS控制台，事件列表菜单中，搜索AOS的事件来源，即可查看所有AOS相关的审计日志。审计日志查看方法，请参见查看云审计日志。父主题：安全

鲲鹏安全

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线