2024華為云安全白皮書-92正式版

華為云安全白皮書文檔版本發(fā)布日期3.52024-3-29華為云計(jì)算技術(shù)有限公司版權(quán)所有

?華為云計(jì)算技術(shù)有限公司

2023。

保留一切權(quán)利。非經(jīng)本公司書面許可，任何單位和個(gè)人不得擅自摘抄、復(fù)制本文檔內(nèi)容的部分或全部，并不得以任何形式傳播。商標(biāo)聲明和其他華為商標(biāo)均為華為技術(shù)有限公司的商標(biāo)。本文檔提及的其他所有商標(biāo)或注冊商標(biāo)，由各自的所有人擁有。注意您購買的產(chǎn)品、服務(wù)或特性等應(yīng)受華為云計(jì)算技術(shù)有限公司商業(yè)合同和條款的約束，本文檔中描述的全部或部分產(chǎn)品、服務(wù)或特性可能不在您的購買或使用范圍之內(nèi)。除非合同另有約定，華為云計(jì)算技術(shù)有限公司對本文檔內(nèi)容不做任何明示或暗示的聲明或保證。由于產(chǎn)品版本升級或其他原因，本文檔內(nèi)容會不定期進(jìn)行更新。除非另有約定，本文檔僅作為使用指導(dǎo)，本文檔中的所有陳述、信息和建議不構(gòu)成任何明示或暗示的擔(dān)保。華為云計(jì)算技術(shù)有限公司地址：網(wǎng)址：貴州省貴安新區(qū)黔中大道交興功路華為云數(shù)據(jù)中心郵編：550029/文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司i華為云安全白皮書1導(dǎo)讀1導(dǎo)讀2017年初，華為云部（CloudBusinessUnit,akaCloudBU）正式成立，重新啟程，開啟華為云新時(shí)代。過去幾年中，華為云與所有云服務(wù)供應(yīng)商（CSP–

CloudServiceProvider）和客戶一樣，面臨著層出不窮的云安全挑戰(zhàn)，不斷探索，收獲頗多。華為云迎難而上，視挑戰(zhàn)為機(jī)遇，恪守業(yè)務(wù)邊界，攜手生態(tài)伙伴，共同打造安全、可信的云服務(wù)，為客戶業(yè)務(wù)賦能增值、保駕護(hù)航。華為云通過結(jié)合業(yè)界先進(jìn)的云安全理念，華為長年積累的網(wǎng)絡(luò)安全經(jīng)驗(yàn)和優(yōu)勢以及在云安全領(lǐng)域的技術(shù)積累與運(yùn)營實(shí)踐，參考世界領(lǐng)先的

CSP優(yōu)秀安全實(shí)踐、摸索出了一整套行之有效的云安全戰(zhàn)略和實(shí)踐。華為云已經(jīng)構(gòu)建起多維立體、縱深防御和合規(guī)遵從的基礎(chǔ)設(shè)施架構(gòu)，用以支撐并不斷完善涵蓋了

IaaS、

PaaS和

SaaS等具有優(yōu)良安全功能的常用云服務(wù)。在這背后，是華為云高度自治的扁平化組織，具備高度安全意識和能力的研發(fā)運(yùn)維運(yùn)營團(tuán)隊(duì)，先進(jìn)的云服務(wù)

DevOps/DevSecOps1流程，以及日益繁榮的云安全生態(tài)圈。華為云將一如既往，本著租戶業(yè)務(wù)優(yōu)先的原則，攜手生態(tài)伙伴，不斷發(fā)布高質(zhì)量的云服務(wù)增值安全功能、高級云安全服務(wù)和安全咨詢服務(wù)，切實(shí)保護(hù)租戶利益，幫助租戶持續(xù)擴(kuò)大業(yè)務(wù)，提升華為云市場競爭力，實(shí)現(xiàn)用戶、合作伙伴、華為云三者的長期共贏。藉此，華為云隆重推出《華為云安全白皮書》（簡稱“白皮書”），將華為云對云安全的豐富經(jīng)驗(yàn)，分享給用戶，分享給業(yè)界，以求相互了解，相互借鑒，共同推動云行業(yè)、云安全行業(yè)的開放與發(fā)展。本白皮書面向各行業(yè)、各地區(qū)的廣大讀者群：???從租戶、生態(tài)伙伴和社區(qū)到互聯(lián)網(wǎng)用戶從大中小型企業(yè)客戶到個(gè)人用戶從決策層、管理層到

IT、安全和隱私保護(hù)等云服務(wù)相關(guān)的技術(shù)崗位人員，以及其他相關(guān)崗位人員

(主要包括營銷、采購/合同、合規(guī)審計(jì)等云服務(wù)相關(guān)人員)。說明1.DevOps和

DevSecOps目前尚沒有很好的統(tǒng)一中文譯名。DevOps是隨著云服務(wù)發(fā)展而由高科技公司的實(shí)踐派而非理論派創(chuàng)造并逐漸成熟的從研發(fā)到運(yùn)營的全線工程流程和工具鏈實(shí)踐。由于

DevOps需要支撐云服務(wù)和其他線上功能的持續(xù)集成持續(xù)部署

（CI/CD–

ContinuousIntegration/ContinuousDeployment），傳統(tǒng)的瀑布流程和敏捷流程下的安全周期管理（SDL–

SecurityDevelopment文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司1華為云安全白皮書1導(dǎo)讀Lifecycle）大部分已不適應(yīng)新的節(jié)奏。安全必須無縫嵌入并實(shí)現(xiàn)高度自動化，DevOps也就自然而然地形成了稱為

DevSecOps的全新安全周期管理實(shí)踐。通過華為對國內(nèi)外業(yè)界主流云服務(wù)和其他線上服務(wù)公司的調(diào)研，一個(gè)不爭的事實(shí)是這些公司已經(jīng)越來越普遍地大范圍采用

DevOps/DevSecOps工程流程和工具鏈實(shí)踐。將安全無縫嵌入的

DevOps/DevSecOps非但不會削弱安全，反而通過高度自動化對安全有高效的提升。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司2華為云安全白皮書2云安全戰(zhàn)略的安全保障體系。華為云將與有關(guān)政府、客戶及行業(yè)伙伴，以開放透明的方式，共同應(yīng)對云安全挑戰(zhàn)，全面滿足云服務(wù)用戶的安全需求。圖2-1華為云安全防護(hù)框架?在組織方面，全球網(wǎng)絡(luò)安全與隱私保護(hù)委員會（GSPC–

GlobalSecurity&PrivacyCommittee）作為華為公司的最高網(wǎng)絡(luò)安全管理機(jī)構(gòu)，負(fù)責(zé)決策和批準(zhǔn)公司總體網(wǎng)絡(luò)安全戰(zhàn)略。全球網(wǎng)絡(luò)安全與用戶隱私保護(hù)官（GSPO–

GlobalSecurity&PrivacyOfficer）是

GSPC的重要成員，負(fù)責(zé)領(lǐng)導(dǎo)團(tuán)隊(duì)制定安全戰(zhàn)略，統(tǒng)一規(guī)劃、管理和監(jiān)督研發(fā)、供應(yīng)鏈、市場與銷售、工程交付及技術(shù)服務(wù)等相關(guān)體系的安全組織和業(yè)務(wù)，確保網(wǎng)絡(luò)安全保障體系在各體系、各區(qū)域、全流程的實(shí)施，積極推動與政府、客戶、合作伙伴、員工等各利益相關(guān)方的溝通。華為云建立并完善其適合云服務(wù)持續(xù)集成、持續(xù)部署的扁平化組織。?在業(yè)務(wù)流程方面，安全保障活動融入研發(fā)、供應(yīng)鏈、市場與銷售、工程交付及技術(shù)服務(wù)等各主業(yè)務(wù)流程中。安全作為質(zhì)量管理體系的基本要求，通過管理制度和技術(shù)規(guī)范來確保其有效實(shí)施。華為通過內(nèi)部審計(jì)和接受各國政府安全部門、第三方獨(dú)立機(jī)構(gòu)的安全認(rèn)證和審計(jì)等來監(jiān)督和改進(jìn)各項(xiàng)業(yè)務(wù)流程。2004年起，華為的安全管理體系通過了

BS7799-2/ISO27001認(rèn)證。華為云在公司級的業(yè)務(wù)流程基礎(chǔ)上，大膽地將已在華為全面采用的安全周期管理（SDL–

SecurityDevelopmentLifecycle）集成于當(dāng)前適合云服務(wù)的

DevOps工程流程和技術(shù)能力，形成有華為特色的

DevSecOps方法論和工具鏈，既支撐云業(yè)務(wù)的敏捷上線，又確保研發(fā)部署的全線安全質(zhì)量。??在人員管理方面，華為云嚴(yán)格執(zhí)行華為長期以來行之有效的人事和人員管理機(jī)制。華為全體員工、合作伙伴及外部顧問都必須遵從公司相關(guān)安全政策，接受安全培訓(xùn)，使安全理念融入整個(gè)組織之中。華為對積極執(zhí)行網(wǎng)絡(luò)安全保障政策的員工給予獎(jiǎng)勵(lì)，對違反的員工給予處罰，違反相關(guān)法律法規(guī)的員工，還將依法承擔(dān)法律責(zé)任。在云安全技術(shù)能力方面，依托華為自身強(qiáng)大的安全研發(fā)能力，以數(shù)據(jù)保護(hù)為核心，開發(fā)并采用世界領(lǐng)先的云安全技術(shù)，致力于實(shí)現(xiàn)高可靠、智能化的云安全防護(hù)和自動化的云安全運(yùn)維運(yùn)營體系。同時(shí)，通過對現(xiàn)網(wǎng)安全態(tài)勢的大數(shù)據(jù)分析，有目的地識別出華為云存在的重要安全風(fēng)險(xiǎn)、威脅和攻擊，并采取防范、削減和文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司4華為云安全白皮書2云安全戰(zhàn)略解決措施；通過多維、立體、完善的云安全防御、監(jiān)控、分析和響應(yīng)等技術(shù)體系支撐云服務(wù)運(yùn)維運(yùn)營安全，實(shí)現(xiàn)對云安全風(fēng)險(xiǎn)、威脅和攻擊的快速發(fā)現(xiàn)、快速隔離和快速恢復(fù)，讓租戶受益于華為云先進(jìn)技術(shù)帶來的便捷、安全與業(yè)務(wù)增值。?在云安全合規(guī)方面，面向提供云服務(wù)的地區(qū)，華為云積極與監(jiān)管機(jī)構(gòu)對話，理解他們的擔(dān)憂和要求，貢獻(xiàn)華為云的知識和經(jīng)驗(yàn)，不斷鞏固華為在云技術(shù)、云服務(wù)和云安全方面與相關(guān)法律法規(guī)的契合度。同時(shí)，華為也將法律法規(guī)的分析結(jié)果共享給租戶，避免信息缺失導(dǎo)致的違規(guī)風(fēng)險(xiǎn)，通過合同明確雙方的安全職責(zé)。華為一方面通過跨行業(yè)、跨區(qū)域的云安全認(rèn)證滿足監(jiān)管機(jī)構(gòu)要求，另一方面通過獲得重點(diǎn)行業(yè)、重點(diǎn)區(qū)域所要求的安全認(rèn)證，建立并鞏固華為云業(yè)務(wù)的客戶信賴度，最終在法律法規(guī)制定者、管理者、租戶三者間共建安全的云環(huán)境。?在云安全生態(tài)方面，華為云認(rèn)識到單靠一個(gè)公司、一個(gè)組織的力量不足以應(yīng)對日益復(fù)雜的云安全威脅與風(fēng)險(xiǎn)。因此，華為云誠邀全球所有安全伙伴，攜手共建云安全商業(yè)和技術(shù)生態(tài)體系，共同向租戶提供安全保障與服務(wù)。華為云的云市場（Marketplace）歡迎具備技術(shù)競爭力的安全技術(shù)企業(yè)、組織和個(gè)人發(fā)布云安全服務(wù)；同時(shí)，華為云誠邀云業(yè)務(wù)商業(yè)合作伙伴，利用自身對云服務(wù)云安全行業(yè)的獨(dú)到經(jīng)驗(yàn)和見解，組合安全服務(wù)，形成行業(yè)級云安全解決方案。華為云愿意與所有志同道合的伙伴分享云安全市場。同時(shí)，華為積極、持續(xù)地參與著國內(nèi)外云安全組織和電信標(biāo)準(zhǔn)組織的安全標(biāo)準(zhǔn)制定，努力保障全球客戶的安全，為行業(yè)的健康發(fā)展作出應(yīng)有的貢獻(xiàn)?？傊?，華為愿意以開放透明的心態(tài)，與各國政府、客戶、行業(yè)組織和行業(yè)伙伴開展各種形式的安全交流與合作，共同應(yīng)對全球云安全的威脅與挑戰(zhàn)！文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司5華為云安全白皮書3責(zé)任共擔(dān)模型3責(zé)任共擔(dān)模型云安全的重點(diǎn)是保證所有應(yīng)用和服務(wù)的高性能、穩(wěn)定和安全，不會有宕機(jī)的風(fēng)險(xiǎn)。這包括從內(nèi)部數(shù)據(jù)中心運(yùn)維到面向客戶的

IaaS、PaaS和

SaaS。然而，運(yùn)行云服務(wù)的數(shù)據(jù)中心與面向傳統(tǒng)

IT的數(shù)據(jù)中心有很大不同。在整體安全設(shè)計(jì)和實(shí)踐方面，云服務(wù)數(shù)據(jù)中心比傳統(tǒng)

IT數(shù)據(jù)中心更重視為租戶提供全面、多維度、定制化、組合式的安全和隱私保護(hù)功能和配置，涵蓋基礎(chǔ)設(shè)施、平臺、應(yīng)用和數(shù)據(jù)安全。同時(shí)，華為云安全服務(wù)支持根據(jù)每個(gè)租戶的安全需求，定制各種高級安全設(shè)置。這些安全服務(wù)與多層架構(gòu)的安全特性、設(shè)置和控制深度集成，多個(gè)孤島技術(shù)的無縫編排，以及日益自動化的云安全運(yùn)維。在接下來的章節(jié)中，我們將介紹華為云如何在研發(fā)和運(yùn)維過程中堅(jiān)持安全最佳實(shí)踐的同時(shí)，實(shí)現(xiàn)先進(jìn)的云安全體系，本章介紹華為云服務(wù)的責(zé)任共擔(dān)模式。華為云根據(jù)業(yè)界廣泛的實(shí)踐對模型進(jìn)行了定義，如下圖所示。圖3-1責(zé)任共擔(dān)模型綠色部分由華為云負(fù)責(zé)，藍(lán)色部分由租戶負(fù)責(zé)。華為云負(fù)責(zé)提供安全的云服務(wù)，租戶負(fù)責(zé)云服務(wù)的內(nèi)部安全和安全使用。?數(shù)據(jù)安全：對租戶在華為云中的業(yè)務(wù)數(shù)據(jù)進(jìn)行安全管理，包括數(shù)據(jù)完整性認(rèn)證、加密、訪問控制等。?應(yīng)用安全：對華為云中支撐運(yùn)維和用戶業(yè)務(wù)的應(yīng)用系統(tǒng)進(jìn)行安全管理，包括應(yīng)用的設(shè)計(jì)、開發(fā)、發(fā)布、配置和使用。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司6華為云安全白皮書3責(zé)任共擔(dān)模型?平臺安全：華為云微服務(wù)、管理、中間件等平臺的安全管理，包括設(shè)計(jì)、開發(fā)、發(fā)布、配置、使用等。??基礎(chǔ)業(yè)務(wù)安全：華為云提供的計(jì)算、網(wǎng)絡(luò)、存儲的安全管理，包括云計(jì)算、存儲、數(shù)據(jù)庫等業(yè)務(wù)的底層管理（如虛擬化控制層）和使用管理（如虛擬機(jī)管理），虛擬網(wǎng)絡(luò)、負(fù)載均衡、安全網(wǎng)關(guān)、VPN、專線等管理。物理基礎(chǔ)設(shè)施安全：華為云區(qū)域、可用區(qū)、終端的機(jī)房和環(huán)境安全管理，物理服務(wù)器和網(wǎng)絡(luò)設(shè)備的管理。華為云主要負(fù)責(zé)開發(fā)和運(yùn)營其數(shù)據(jù)中心的物理基礎(chǔ)設(shè)施，提供的

IaaS、PaaS和

SaaS服務(wù)，以及各種服務(wù)的內(nèi)置安全功能。華為云除了提供跨層身份認(rèn)證（IAM）功能外，還負(fù)責(zé)構(gòu)建縱深防御的多層防護(hù)體系，覆蓋物理層、基礎(chǔ)設(shè)施層、平臺層、應(yīng)用層和數(shù)據(jù)層。同時(shí)，還能保證運(yùn)維的安全。租戶在華為云上訂購的虛擬網(wǎng)絡(luò)、平臺、應(yīng)用、數(shù)據(jù)、管理、安全等云服務(wù)，主要負(fù)責(zé)定制配置和運(yùn)營。包括對華為云服務(wù)的定制化，以及租戶在華為云上部署的任何平臺、應(yīng)用和

IAM服務(wù)的運(yùn)維。租戶還負(fù)責(zé)自定義虛擬網(wǎng)絡(luò)層、平臺層、應(yīng)用層、數(shù)據(jù)層和跨層

IAM功能的安全設(shè)置，以及租戶的運(yùn)維安全和有效的用戶身份管理。3.1華為云的安全責(zé)任華為云的安全責(zé)任在于保障其所提供的

IaaS、PaaS和

SaaS各類各項(xiàng)云服務(wù)自身的安全，涵蓋華為云數(shù)據(jù)中心的物理環(huán)境設(shè)施和運(yùn)行其上的基礎(chǔ)服務(wù)、平臺服務(wù)、應(yīng)用服務(wù)等。這不但包括華為云基礎(chǔ)設(shè)施和各項(xiàng)云服務(wù)技術(shù)的安全功能和性能本身，也包括運(yùn)維運(yùn)營安全，以及更廣義的安全合規(guī)遵從（第

4.1章節(jié)有專門介紹，在此不贅述）。?華為云一方面確保各項(xiàng)云技術(shù)的安全開發(fā)、配置和部署；另一方面，華為云負(fù)責(zé)所提供云服務(wù)的運(yùn)維運(yùn)營安全，例如，對安全事件實(shí)現(xiàn)快速發(fā)現(xiàn)、快速隔離、快速響應(yīng)，確保云服務(wù)的快速恢復(fù)。同時(shí)采用適合云服務(wù)的漏洞管理機(jī)制，對云服務(wù)安全漏洞及時(shí)應(yīng)急響應(yīng)，保證適合

CSP運(yùn)維周期的快速發(fā)布和不影響租戶服務(wù)的持續(xù)部署，包括不斷優(yōu)化云產(chǎn)品默認(rèn)安全配置、補(bǔ)丁裝載前置于研發(fā)階段和靈活簡化安全補(bǔ)丁部署周期等措施。另外，華為云的安全責(zé)任還表現(xiàn)在開發(fā)有強(qiáng)大市場競爭力、為華為云租戶業(yè)務(wù)增值的云安全服務(wù)。?華為云將其基礎(chǔ)設(shè)施的安全與隱私保護(hù)視為運(yùn)維運(yùn)營安全的重中之重?；A(chǔ)設(shè)施主要包括支撐云服務(wù)的物理環(huán)境，華為自研的軟硬件，以及運(yùn)維運(yùn)營包括計(jì)算、存儲、網(wǎng)絡(luò)、數(shù)據(jù)庫、平臺、應(yīng)用、身份管理和高級安全服務(wù)等各項(xiàng)云服務(wù)的系統(tǒng)設(shè)施。同時(shí)，華為云深度集成第三方安全技術(shù)或服務(wù)，并負(fù)責(zé)對其進(jìn)行安全運(yùn)維。??華為云還負(fù)責(zé)其支撐的各項(xiàng)云服務(wù)的自身安全配置和版本維護(hù)。華為云對租戶數(shù)據(jù)提供機(jī)密性、完整性、可用性、持久性、認(rèn)證、授權(quán)、以及不可否認(rèn)性等方面的全面數(shù)據(jù)保護(hù)功能，并對相關(guān)功能的安全性負(fù)責(zé)。但是，華為云只是租戶數(shù)據(jù)托管者，租戶對其數(shù)據(jù)擁有所有權(quán)和控制權(quán)。華為云絕不允許運(yùn)維運(yùn)營人員在未經(jīng)授權(quán)的情況下訪問租戶數(shù)據(jù)。華為云關(guān)注內(nèi)外部合規(guī)要求的變化，負(fù)責(zé)遵從華為云服務(wù)所必需的安全法律法規(guī)，開展所服務(wù)行業(yè)的安全標(biāo)準(zhǔn)評估，并且向租戶分享我們的合規(guī)實(shí)踐，保持應(yīng)有的透明度。?華為云攜手云安全商業(yè)合作伙伴向租戶提供咨詢服務(wù)，例如協(xié)助租戶對虛擬網(wǎng)絡(luò)、虛擬機(jī)（包括虛擬主機(jī)和訪客虛擬機(jī)）進(jìn)行安全配置；對系統(tǒng)和數(shù)據(jù)庫進(jìn)行文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司7華為云安全白皮書3責(zé)任共擔(dān)模型安全補(bǔ)丁管理；對虛擬網(wǎng)絡(luò)防火墻、API網(wǎng)關(guān)（APIGW–

APIGateway）和高級安全服務(wù)進(jìn)行定制配置；以及協(xié)助租戶進(jìn)行

DoS/DDoS攻擊防范演練、租戶安全事件的應(yīng)急響應(yīng)及災(zāi)難恢復(fù)演練。3.2租戶的安全責(zé)任華為云租戶的安全責(zé)任在于對使用的

IaaS、PaaS和

SaaS類各項(xiàng)云服務(wù)內(nèi)部的安全以及對租戶定制配置進(jìn)行安全有效的管理，包括但不限于虛擬網(wǎng)絡(luò)、虛擬主機(jī)和訪客虛擬機(jī)的操作系統(tǒng)，虛擬防火墻、API網(wǎng)關(guān)和高級安全服務(wù)，各項(xiàng)云服務(wù)，租戶數(shù)據(jù)，以及身份賬號和密鑰管理等方面的安全配置。??租戶的安全責(zé)任細(xì)節(jié)由最終所使用的云服務(wù)來決定，具體到租戶負(fù)責(zé)執(zhí)行什么默認(rèn)和定制的安全配置。對于華為云的各項(xiàng)云服務(wù)，華為云只提供租戶執(zhí)行特定安全任務(wù)所需的資源、功能和性能，而租戶需負(fù)責(zé)各項(xiàng)租戶可控資源的安全配置工作。租戶負(fù)責(zé)部署配置：（1）其虛擬網(wǎng)絡(luò)的防火墻，網(wǎng)關(guān)和高級安全服務(wù)等的策略配置；（2）租戶的虛擬網(wǎng)絡(luò)、虛擬主機(jī)和訪客虛擬機(jī)和容器等云服務(wù)所必需的安全配置和管理任務(wù)（包括更新和安全補(bǔ)?。⑷萜靼踩芾恚òㄈ萜骷骸⒐?jié)點(diǎn)和容器的安全配置、訪問控制安全配置等）、大數(shù)據(jù)分析等平臺服務(wù)的租戶配置；（3）其他各項(xiàng)租戶租用的云服務(wù)內(nèi)部的安全配置等；（4）其自行部署在華為云的任何應(yīng)用程序軟件或?qū)嵱贸绦蜻M(jìn)行安全管理。????在配置云服務(wù)時(shí)，租戶負(fù)責(zé)各項(xiàng)安全配置，在部署到生產(chǎn)環(huán)境前應(yīng)做好充分測試，以免對其應(yīng)用和業(yè)務(wù)造成負(fù)面影響。對大多數(shù)云服務(wù)的安全性而言，租戶只需配置賬戶對資源的訪問控制并妥當(dāng)保管賬戶憑證。少數(shù)云服務(wù)需要執(zhí)行其他任務(wù)，才能達(dá)到應(yīng)有的安全性。各項(xiàng)監(jiān)控管理服務(wù)和高級安全服務(wù)具有較多安全配置選項(xiàng)，租戶可尋求華為云和其合作伙伴的技術(shù)支持，以確保安全性。使用

MapReduce服務(wù)（MRS）時(shí)租戶應(yīng)負(fù)責(zé)：（1）管理其購買的

MRS大數(shù)據(jù)集群的彈性

IP、虛擬網(wǎng)絡(luò)防火墻等策略配置；（2）配置訪問控制策略，如彈性

IP綁定的端口僅對信任的網(wǎng)絡(luò)或主機(jī)開放，避免大數(shù)據(jù)集群直接暴露在互聯(lián)網(wǎng)；（3）負(fù)責(zé)大數(shù)據(jù)集群的用戶管理、大數(shù)據(jù)組件的安全配置，并且妥當(dāng)保管相關(guān)的賬戶憑證；（4）以及對其部署在大數(shù)據(jù)集群上的應(yīng)用進(jìn)行安全管理。使用數(shù)據(jù)庫服務(wù)時(shí)租戶應(yīng)負(fù)責(zé)：數(shù)據(jù)庫引擎的生命周期管理及數(shù)據(jù)庫安全管理，包括（1）缺省使用最新的實(shí)例版本、及時(shí)根據(jù)官網(wǎng)提示和漏洞通告升級版本等；（2）梳理資產(chǎn)分類及制定數(shù)據(jù)庫實(shí)例防護(hù)策略，如數(shù)據(jù)庫主備及集群設(shè)計(jì)、數(shù)據(jù)災(zāi)備及恢復(fù)策略、VPC及安全組配置、互聯(lián)網(wǎng)訪問配置、訪問通道加密配置、數(shù)據(jù)庫認(rèn)證和鑒權(quán)配置、數(shù)據(jù)庫審計(jì)配置以及其他安全配置。無論使用哪一項(xiàng)華為云服務(wù)，租戶始終是其數(shù)據(jù)的所有者和控制者。租戶負(fù)責(zé)各項(xiàng)具體的數(shù)據(jù)安全配置，對其保密性、完整性、可用性以及數(shù)據(jù)訪問的身份驗(yàn)證和鑒權(quán)進(jìn)行有效保障。在使用統(tǒng)一身份認(rèn)證服務(wù)（IAM）和數(shù)據(jù)加密服務(wù)（DEW）時(shí)，租戶負(fù)責(zé)妥善保管其自行配置的服務(wù)登錄賬戶、密碼和密鑰，并負(fù)責(zé)執(zhí)行密碼密鑰設(shè)定、更新和重設(shè)規(guī)則的業(yè)界優(yōu)秀實(shí)踐。租戶負(fù)責(zé)設(shè)置個(gè)人賬戶和多因子驗(yàn)證

(MFA)，規(guī)范使用安全傳輸協(xié)議與華為云資源通信，并且設(shè)置用戶活動日志記錄用于監(jiān)測和審計(jì)。租戶負(fù)責(zé)對其自行部署于華為云上、不屬于華為云提供的各項(xiàng)應(yīng)用和服務(wù)所必需的安全法律法規(guī)，并自行開展所服務(wù)行業(yè)的安全標(biāo)準(zhǔn)評估。華為云提供安全基線文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司8華為云安全白皮書3責(zé)任共擔(dān)模型配置指南（/cloudbu-site/china/zh-cn/TrustCenter/WithePaper/1714458024886507633.pdf），供租戶配置參考。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司9華為云安全白皮書4安全合規(guī)與隱私保護(hù)4安全合規(guī)與隱私保護(hù)4.1安全合規(guī)與標(biāo)準(zhǔn)遵從為了實(shí)現(xiàn)全面高效的安全與隱私保護(hù)合規(guī)治理，華為云以業(yè)界

16個(gè)主流全球安全標(biāo)準(zhǔn)為參考基礎(chǔ)，同時(shí)融合了三十年安全運(yùn)營管理經(jīng)驗(yàn)和技術(shù)積累，打造了云原生安全治理框架——服務(wù)網(wǎng)絡(luò)安全與合規(guī)標(biāo)準(zhǔn)（CloudServiceCybersecurity&ComplianceStandard,簡稱“3CS”）?！?CS”體系的基礎(chǔ)理念是基于云服務(wù)各業(yè)務(wù)模塊的流程，劃分相對應(yīng)的安全控制領(lǐng)域，使安全控制要求得以嵌入到云服務(wù)管理流程中，同步確保安全管理責(zé)任清晰明確、可度量、可追溯?！?CS”體系幫助華為云充分利用了華為云全球合規(guī)治理經(jīng)驗(yàn)，大大提升了獲得法規(guī)及行業(yè)標(biāo)準(zhǔn)認(rèn)證的效率，從而實(shí)現(xiàn)全面高效的安全治理，持續(xù)提升云服務(wù)可信能力。圖4-13CS-云服務(wù)網(wǎng)絡(luò)安全與合規(guī)標(biāo)準(zhǔn)框架華為云充分發(fā)揮其基于“3CS”的強(qiáng)大合規(guī)治理能力，一如既往地確保其基礎(chǔ)設(shè)施和云服務(wù)通過業(yè)界權(quán)威的獨(dú)立第三方安全組織的測評及認(rèn)證，僅向客戶提供安全合規(guī)的基礎(chǔ)設(shè)施與云服務(wù)。截止目前，華為云共獲得了

100+個(gè)國內(nèi)外權(quán)威安全合規(guī)認(rèn)證。這些安全測評和認(rèn)證向客戶展示了華為云在策略、流程、組織、技術(shù)等多方面的安全風(fēng)險(xiǎn)文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司10華為云安全白皮書4安全合規(guī)與隱私保護(hù)管控措施，使得客戶能夠深入了解華為云對保障云上業(yè)務(wù)與用戶數(shù)據(jù)安全方面的投入以及有效管控能力。以華為云通過的云安全聯(lián)盟

CSASTAR為例（CSA–

CloudSecurityAlliance，STAR–

Security，

Trust&AssuranceRegistry），該認(rèn)證在

ISO/IEC27001的基礎(chǔ)上，增加了云安全控制矩陣（CCM–

CloudControlMatrix）和其他安全要求，涵蓋了風(fēng)險(xiǎn)治理、數(shù)據(jù)安全、應(yīng)用安全、基礎(chǔ)設(shè)施安全、開發(fā)和設(shè)計(jì)等

16個(gè)控制領(lǐng)域。取得CSASTAR標(biāo)志著華為云的運(yùn)營安全管理和技術(shù)能力獲得了國際權(quán)威的認(rèn)可，其安全合規(guī)性已處于世界領(lǐng)先水平。華為云將基于安全責(zé)任共擔(dān)模型，持續(xù)主動的構(gòu)建并提升包括物理環(huán)境、網(wǎng)絡(luò)、平臺等各層基礎(chǔ)設(shè)施與云服務(wù)的安全合規(guī)能力，全面保障用戶業(yè)務(wù)與數(shù)據(jù)的安全與合規(guī)。目前，華為云部分標(biāo)準(zhǔn)類認(rèn)證/鑒證示例：???????ISO27001:2022ISO27017:2015ISO27018:2019TL9000&ISO9001ISO20000-1:2018ISO22301:2019CSASTAR認(rèn)證ISO27701:2019BS10012:2017ISO29151:2017PCIDSS1????????PCI3DSISO27799:2016ISO27034SOC審計(jì)報(bào)告關(guān)于更多華為云的安全合規(guī)信息以及獲取相關(guān)合規(guī)證書，可參見華為云官網(wǎng)“信任中心-合規(guī)中心”另外，華為云主動識別并遵從業(yè)界優(yōu)秀安全實(shí)踐。例如，華為云參考互聯(lián)網(wǎng)安全中心（CIS–

CenterofInternetSecurity）安全基線并將其融入華為云服務(wù)

DevSecOps流程。CIS安全基線是一套用于網(wǎng)絡(luò)系統(tǒng)安全配置和操作的業(yè)界優(yōu)秀實(shí)踐，覆蓋技術(shù)（軟件、硬件）、流程（系統(tǒng)和網(wǎng)絡(luò)管理）、人員（最終用戶和管理行為），標(biāo)志著華為云在安全合規(guī)與標(biāo)準(zhǔn)遵從上一如既往地與業(yè)界看齊。說明1.PCIDSS(PaymentCardIndustryDataSecurityStandard)即支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)，對使用主要支付卡品牌執(zhí)行信用卡和現(xiàn)金卡收付功能的組織提供信息安全標(biāo)準(zhǔn)。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司11華為云安全白皮書4安全合規(guī)與隱私保護(hù)4.2隱私保護(hù)華為云秉承公司以網(wǎng)絡(luò)安全和隱私保護(hù)為最高綱領(lǐng)，以國內(nèi)外隱私保護(hù)的法律法規(guī)為基石，依托于華為公司的隱私保護(hù)體系，借鑒業(yè)界廣泛認(rèn)可的優(yōu)秀實(shí)踐，已形成適合華為云的隱私保護(hù)體系。華為云投入大量的專業(yè)人員和資源支撐新技術(shù)的研究和應(yīng)用以及保障隱私保護(hù)體系的有效運(yùn)轉(zhuǎn)，確保華為云的隱私保護(hù)處于行業(yè)領(lǐng)先的位置，實(shí)現(xiàn)華為云隱私保護(hù)的目標(biāo)：遵守嚴(yán)格的服務(wù)邊界，保護(hù)客戶個(gè)人數(shù)據(jù)安全，助力客戶實(shí)現(xiàn)隱私保護(hù)。華為云建立完善、規(guī)范和統(tǒng)一隱私保護(hù)體系確保云平臺的隱私保護(hù)得以實(shí)現(xiàn)，并幫助客戶實(shí)施隱私保護(hù)。華為云制定隱私保護(hù)七大原則（合法、正當(dāng)、透明，目的限制，數(shù)據(jù)最小化，準(zhǔn)確性，存儲期限最小化，完整性與保密性，可歸責(zé)），同時(shí)采用業(yè)界認(rèn)可和先進(jìn)的理念

PbD1（PrivacybyDesign）作為指導(dǎo)，結(jié)合華為云實(shí)際情況形成華為云隱私保護(hù)理念。隱私保護(hù)理念廣泛應(yīng)用在華為云的組織和人員管理、云平臺個(gè)人數(shù)據(jù)安全管理以及為客戶提供的隱私服務(wù)等各個(gè)方面。同時(shí)，華為云使用

PIA2（PrivacyImpactAssessment）識別隱私風(fēng)險(xiǎn)并采取恰當(dāng)?shù)姆绞较蚪档惋L(fēng)險(xiǎn)。華為云尊重用戶的隱私權(quán)利，在官網(wǎng)明顯處提供清晰的《隱私政策聲明》以及客戶反饋通道，幫助客戶了解華為云隱私保護(hù)的信息。華為云研究團(tuán)隊(duì)同時(shí)致力研發(fā)各類隱私增強(qiáng)技術(shù)（PET–

PrivacyEnhancingTechnology），積累隱私保護(hù)工程技術(shù)能力，以滿足客戶不同需要實(shí)施隱私保護(hù)。華為云現(xiàn)已擁有的一系列

PET，包括等價(jià)類匿名、差分隱私、防跟蹤技術(shù)、區(qū)塊鏈私人支付以及隱私保存計(jì)算等。更多關(guān)于華為云隱私保護(hù)的政策和表述，可以查閱《華為云隱私保護(hù)白皮書》和華為云的官方網(wǎng)站。說明1.最早作為針對產(chǎn)品研發(fā)周期隱私保護(hù)的方法。經(jīng)過近幾年的發(fā)展，逐漸演變成隱私保護(hù)的管理理念。PbD提倡全面、提前、主動將隱私保護(hù)融入業(yè)務(wù)和各項(xiàng)活動中，幫助組織在隱私保護(hù)中取得主動地位。2.隱私影響評估作為業(yè)界通用的隱私評估與設(shè)計(jì)工具被廣泛使用和認(rèn)可。PIA幫助組織識別并減少業(yè)務(wù)的隱私風(fēng)險(xiǎn)，識別和最小化潛在隱私風(fēng)險(xiǎn)的過程文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司12華為云安全白皮書5安全組織和人員5安全組織和人員5.1安全組織華為把網(wǎng)絡(luò)安全作為公司重要戰(zhàn)略之一，通過自上而下的治理結(jié)構(gòu)來實(shí)現(xiàn)。在組織方面，GSPC作為最高網(wǎng)絡(luò)安全管理機(jī)構(gòu)，決策和批準(zhǔn)公司總體網(wǎng)絡(luò)安全戰(zhàn)略。GSPO及其辦公室負(fù)責(zé)制定和執(zhí)行華為端到端網(wǎng)絡(luò)安全保障體系。GSPO直接向公司

CEO匯報(bào)。秉承華為網(wǎng)絡(luò)安全戰(zhàn)略和規(guī)范，華為云安全團(tuán)隊(duì)對本領(lǐng)域安全工作進(jìn)行自主規(guī)劃和管理。全面實(shí)現(xiàn)云服務(wù)業(yè)務(wù)和云安全業(yè)務(wù)的研發(fā)運(yùn)維運(yùn)營組織合一，組織結(jié)構(gòu)趨于扁平化，以便適應(yīng)云服務(wù)必需的

DevOps/DevSecOps流程。扁平化的組織結(jié)構(gòu)和適應(yīng)云服務(wù)的流程一方面滿足云服務(wù)快速持續(xù)集成、交付與部署的進(jìn)度要求，另一方面保證云服務(wù)達(dá)到必需的安全質(zhì)量標(biāo)準(zhǔn)，有效控制安全風(fēng)險(xiǎn)。依托云服務(wù)安全工程能力、云安全服務(wù)與解決方案的設(shè)計(jì)和開發(fā)、云服務(wù)安全運(yùn)維運(yùn)營等職能，構(gòu)建華為云服務(wù)的安全合規(guī)遵從和安全運(yùn)維運(yùn)營能力，切實(shí)保障華為云租戶利益。基于云安全對華為云的特殊重要性，云安全團(tuán)隊(duì)直接向華為云總裁匯報(bào)。5.2安全與隱私保護(hù)人員華為的安全技術(shù)團(tuán)隊(duì)包括全球各地業(yè)界優(yōu)秀的信息安全、產(chǎn)品安全、應(yīng)用安全、系統(tǒng)安全、網(wǎng)絡(luò)安全、云服務(wù)安全、運(yùn)維運(yùn)營安全、隱私保護(hù)等方面的專家專才。華為云安全團(tuán)隊(duì)的主要職責(zé)如下：??????開發(fā)并執(zhí)行云服務(wù)

DevOps/DevSecOps流程和云安全審計(jì)流程，開發(fā)推廣全流程安全工具鏈；積極實(shí)施安全質(zhì)量保證和安全評估，開展內(nèi)部和第三方滲透測試和安全評估，監(jiān)控、排查并解決安全威脅；構(gòu)建、開發(fā)、運(yùn)維運(yùn)營華為云基礎(chǔ)設(shè)施安全防護(hù)體系，商務(wù)和

IT應(yīng)用以及對數(shù)據(jù)和知識產(chǎn)權(quán)的安全管控和隱私保護(hù)；構(gòu)建、開發(fā)、運(yùn)維運(yùn)營華為云的

IaaS、PaaS和

SaaS各類各項(xiàng)服務(wù)的安全功能和整體云安全解決方案；遵從各行業(yè)、各區(qū)域、各國政府的數(shù)據(jù)隱私保護(hù)法律法規(guī)要求，倡導(dǎo)云技術(shù)、云服務(wù)的隱私保護(hù)優(yōu)秀實(shí)踐，推動發(fā)布符合隱私保護(hù)標(biāo)準(zhǔn)的云技術(shù)、云服務(wù)；制定和發(fā)展可持續(xù)云安全技術(shù)及業(yè)務(wù)生態(tài)。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司13華為云安全白皮書5安全組織和人員5.3內(nèi)部審計(jì)人員華為內(nèi)部審計(jì)團(tuán)隊(duì)直接向董事會和公司高層管理者匯報(bào)，嚴(yán)格的審計(jì)活動在推動網(wǎng)絡(luò)安全流程和標(biāo)準(zhǔn)落地，保障結(jié)果交付上起著關(guān)鍵的作用。華為建立了專門的安全審計(jì)團(tuán)隊(duì)，審查全球安全法律法規(guī)及公司內(nèi)部安全要求的遵從情況。審計(jì)團(tuán)隊(duì)每年投入

10+人力對全球范圍運(yùn)營的華為云至少開展

1次，為期

2個(gè)月的審計(jì)，重點(diǎn)關(guān)注華為云在法律和流程遵從、業(yè)務(wù)目標(biāo)達(dá)成、決策信息的可靠性、安全運(yùn)維和安全運(yùn)營上的風(fēng)險(xiǎn)。審計(jì)結(jié)果向董事會和公司高層管理者匯報(bào)，保證發(fā)現(xiàn)的問題得到解決并最終閉環(huán)。5.4人力資源管理華為云安全的人力資源管理框架和公司的整體人力資源管理框架一致，都是建立在法律基礎(chǔ)之上。云安全對

HR的訴求主要是保證我們的員工背景和資歷適合華為云業(yè)務(wù)的需要。員工行為符合所有法律、政策、流程以及華為商業(yè)行為準(zhǔn)則的要求。員工有履行其職責(zé)必備的知識、技能和經(jīng)驗(yàn)。整體模型如下：（此模型較為簡明，故不贅述）圖5-1華為云安全融入人力資源流程5.4.1安全意識教育為了提升全員的網(wǎng)絡(luò)安全意識，規(guī)避網(wǎng)絡(luò)安全違規(guī)風(fēng)險(xiǎn)，保證業(yè)務(wù)的正常運(yùn)營，華為從意識教育普及、宣傳活動開展、BCG及承諾書簽署三個(gè)方面開展安全意識教育：??意識教育普及：定期開展網(wǎng)絡(luò)安全意識教育學(xué)習(xí)，要求員工持續(xù)學(xué)習(xí)網(wǎng)絡(luò)安全知識，了解相關(guān)的政策和制度，知道哪些行為是可以接受，哪些是不能接受的，意識到即使主觀上沒有惡意，也要對自己的行為負(fù)責(zé)，并承諾按要求執(zhí)行；宣傳活動開展：面向全員開展形式多樣的網(wǎng)絡(luò)安全宣傳活動，包括網(wǎng)絡(luò)安全社區(qū)運(yùn)營、網(wǎng)絡(luò)安全典型案例宣傳、網(wǎng)絡(luò)安全活動周、網(wǎng)絡(luò)安全動畫宣傳片等；文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司14華為云安全白皮書5安全組織和人員BCG及承諾書簽署：將網(wǎng)絡(luò)安全納入《華為員工商業(yè)行為準(zhǔn)則》（BCG–?BusinessConductGuide），通過公司統(tǒng)一開展的年度例行

BCG學(xué)習(xí)、考試和簽署活動來傳遞公司對全員在網(wǎng)絡(luò)安全領(lǐng)域的要求，提高員工網(wǎng)絡(luò)安全意識。簽署網(wǎng)絡(luò)安全承諾書，承諾遵守公司各項(xiàng)網(wǎng)絡(luò)安全政策和制度要求。5.4.2網(wǎng)絡(luò)安全能力提升參考業(yè)界優(yōu)秀實(shí)踐，華為建立了完備的網(wǎng)絡(luò)安全培訓(xùn)體系。在員工入職、在崗、晉升等環(huán)節(jié)納入多種形式的安全技能培訓(xùn)，提升員工安全技能，確保員工有能力向客戶交付安全、合規(guī)的產(chǎn)品、解決方案與服務(wù)。?網(wǎng)絡(luò)安全基礎(chǔ)培訓(xùn)：華為根據(jù)不同角色、崗位制定相應(yīng)的安全基礎(chǔ)能力培訓(xùn)計(jì)劃。新員工轉(zhuǎn)正前必須通過有關(guān)網(wǎng)絡(luò)安全與隱私保護(hù)的上崗培訓(xùn)和考試；在崗員工需根據(jù)不同業(yè)務(wù)角色，選擇相應(yīng)課程進(jìn)行學(xué)習(xí)與考試。管理者需參加網(wǎng)絡(luò)安全必須的培訓(xùn)和研討。???精準(zhǔn)培訓(xùn)：通過大數(shù)據(jù)分析識別產(chǎn)品研發(fā)過程中的典型安全問題和問題關(guān)聯(lián)責(zé)任人，并向其精準(zhǔn)推送安全典型培訓(xùn)方案（包括案例、培訓(xùn)課程、練習(xí)題等），持續(xù)改進(jìn)安全質(zhì)量。實(shí)戰(zhàn)演練：引進(jìn)業(yè)界優(yōu)秀實(shí)踐，開發(fā)網(wǎng)絡(luò)安全實(shí)戰(zhàn)演練平臺，開展紅藍(lán)對抗，提供場景化的實(shí)戰(zhàn)演練環(huán)境供員工練習(xí)和交流，提升員工的安全技能和安全響應(yīng)能力。安全能力任職牽引：為了讓員工更加自覺、有效地進(jìn)行網(wǎng)絡(luò)安全學(xué)習(xí)，華為將網(wǎng)絡(luò)安全要求融入到任職資格標(biāo)準(zhǔn)中。員工在任職晉升過程中需要學(xué)習(xí)相應(yīng)的網(wǎng)絡(luò)安全課程，通過相應(yīng)的網(wǎng)絡(luò)安全技能考試，提升自身網(wǎng)絡(luò)安全能力。5.4.3重點(diǎn)崗位管理為了內(nèi)部有序管理，消減人員管理風(fēng)險(xiǎn)對業(yè)務(wù)連續(xù)性和安全性帶來的潛在影響，華為云對運(yùn)維工程師等重點(diǎn)崗位實(shí)施專項(xiàng)管理。具體如下：?上崗安全審查：針對新上崗人員，開展上崗人員安全審查，確保上崗人員背景和資歷符合云安全業(yè)務(wù)要求。?在崗安全培訓(xùn)賦能：圍繞網(wǎng)絡(luò)安全意識、客戶網(wǎng)絡(luò)服務(wù)的業(yè)務(wù)規(guī)范、用戶數(shù)據(jù)及隱私保護(hù)要求進(jìn)行網(wǎng)絡(luò)安全學(xué)習(xí)和考試，并根據(jù)業(yè)務(wù)變化定期刷新學(xué)習(xí)和考試大綱。??上崗資格管理：重點(diǎn)崗位員工必須通過網(wǎng)絡(luò)安全上崗證的考試，并取得證書。通過證書管理平臺對已通過安全上崗證考試的員工發(fā)放有效期不超過兩年的電子證書，證書到期前提醒員工重新參加考試。離崗安全審查：按照調(diào)動、離職安全審查清單，對內(nèi)部調(diào)離、離職人員進(jìn)行離崗安全審查，包括離崗權(quán)限賬號的清理或修改等。5.5安全違規(guī)問責(zé)華為建立了嚴(yán)密的安全責(zé)任體系，貫徹違規(guī)問責(zé)機(jī)制。一方面，華為云恪守責(zé)任共擔(dān)模型，履行華為云的各項(xiàng)責(zé)任，對華為云一方造成的安全違規(guī)，華為云對租戶直接負(fù)責(zé)，最大限度控制對租戶業(yè)務(wù)的影響。另一方面，華為云要求每個(gè)員工都對自己工作中的行為和結(jié)果負(fù)責(zé)，不僅要對技術(shù)和服務(wù)負(fù)責(zé)，也要承擔(dān)法律的責(zé)任。華為云員工文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司15華為云安全白皮書5安全組織和人員深知，安全問題一旦發(fā)生，可能會對租戶、公司帶來極大影響。因此不管故意還是無意，華為云都會以行為和結(jié)果為主要依據(jù)對員工進(jìn)行問責(zé)。根據(jù)華為云員工安全違規(guī)的性質(zhì)，以及造成的后果確定問責(zé)處理等級，分級處理。對觸犯法律法規(guī)的，移送司法機(jī)關(guān)處理。直接管理者和間接管理者存在管理不力或知情不作為的，須承擔(dān)管理責(zé)任。違規(guī)事件處理根據(jù)違規(guī)個(gè)人態(tài)度與調(diào)查配合情況予以加重或減輕處理。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司16華為云安全白皮書6基礎(chǔ)設(shè)施安全6基礎(chǔ)設(shè)施安全6.1物理與環(huán)境安全華為云已制定并實(shí)施完善的物理和環(huán)境安全防護(hù)策略、規(guī)程和措施，滿足

GB50174《電子信息機(jī)房設(shè)計(jì)規(guī)范》A類和

TIA942《數(shù)據(jù)中心機(jī)房通信基礎(chǔ)設(shè)施標(biāo)準(zhǔn)》中的T3+標(biāo)準(zhǔn)。數(shù)據(jù)中心不但有妥善的選址，在設(shè)計(jì)施工和運(yùn)營時(shí)，合理劃分了機(jī)房物理區(qū)域，合理布置了信息系統(tǒng)的組件，以防范物理和環(huán)境潛在危險(xiǎn)（如火災(zāi)、電磁泄露等）和非授權(quán)訪問，而且提供了足夠的物理空間、電源容量、網(wǎng)絡(luò)容量、制冷容量，以滿足基礎(chǔ)設(shè)施快速擴(kuò)容的需求。同時(shí)，華為云運(yùn)維運(yùn)營團(tuán)隊(duì)嚴(yán)格執(zhí)行訪問控制、安保措施、例行監(jiān)控審計(jì)、應(yīng)急響應(yīng)等措施，以確保華為云數(shù)據(jù)中心的物理和環(huán)境安全。6.1.1物理安全?機(jī)房選址：華為云數(shù)據(jù)中心機(jī)房選址一定程度上決定面臨的自然災(zāi)害以及可能的環(huán)境威脅。華為云數(shù)據(jù)中心選址一律避開自然災(zāi)害不利或危險(xiǎn)的地區(qū)，減少周邊環(huán)境對數(shù)據(jù)中心產(chǎn)生的干擾，如

400米內(nèi)無實(shí)驗(yàn)室、化工廠等危險(xiǎn)區(qū)域。同時(shí)，選址上保證了數(shù)據(jù)中心正常運(yùn)營需要的配套資源，如市電、水、通信線路等。?訪問控制：華為云數(shù)據(jù)中心嚴(yán)格管理人員及設(shè)備進(jìn)出，在數(shù)據(jù)中心園區(qū)及建筑的門口設(shè)置了全天候（一天

24小時(shí)、一周

7天，即

7*24小時(shí)）保安人員進(jìn)行登記盤查，限制并監(jiān)控來訪人員授權(quán)活動范圍。門禁控制系統(tǒng)在不同的區(qū)域采取不同安全策略的門禁控制系統(tǒng)，嚴(yán)格審核人員出入權(quán)限。數(shù)據(jù)中心的重要配件，由倉儲系統(tǒng)中的專門電子加密保險(xiǎn)箱存放，且由專人進(jìn)行保險(xiǎn)箱的開關(guān)；數(shù)據(jù)中心的任何配件，都必須提供授權(quán)工單方能領(lǐng)取，且領(lǐng)取時(shí)須在倉儲管理系統(tǒng)中登記。由專人定期對所有物理訪問設(shè)備和倉儲系統(tǒng)物資進(jìn)行綜合盤點(diǎn)追蹤。機(jī)房管理員不但開展例行安檢，而且不定期審計(jì)數(shù)據(jù)中心訪問記錄，確保非授權(quán)人員不可訪問數(shù)據(jù)中心。?安保措施：華為云數(shù)據(jù)中心采用當(dāng)前通用的機(jī)房安保技術(shù)監(jiān)測，并消除物理隱患。對機(jī)房外圍、出入口、走廊、電梯、機(jī)房等進(jìn)行

7*24小時(shí)閉路電視監(jiān)控，并與紅外感應(yīng)、門禁等聯(lián)動。保安人員對數(shù)據(jù)中心定時(shí)巡查，并設(shè)置在線巡更系統(tǒng)。對非法闖入和其他安保事件及時(shí)進(jìn)行聲光報(bào)警。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司17華為云安全白皮書6基礎(chǔ)設(shè)施安全6.1.2環(huán)境安全?電力保障：華為云數(shù)據(jù)中心采用多級保護(hù)方案保障業(yè)務(wù)

7*24小時(shí)持續(xù)運(yùn)行，日常電力供應(yīng)采用來自不同變電站的雙路市電供電。配備柴油發(fā)電機(jī)，在市電斷電時(shí)可啟動柴油機(jī)供電，以備不時(shí)之需。并配備了不間斷電源（UPS–UninterruptedPowerSupply），提供短期備用電力供應(yīng)。在機(jī)房供電線路上配置了穩(wěn)壓器和過壓防護(hù)設(shè)備。在供電設(shè)備及線路上還設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電。??溫濕度控制：通過精密空調(diào)、集中加濕器自動調(diào)節(jié)，華為云數(shù)據(jù)中心機(jī)房溫濕度保持在設(shè)備運(yùn)行所允許的范圍內(nèi)，使設(shè)備元器件處于良好運(yùn)行狀態(tài)。機(jī)柜冷熱通道有合理的布置，利用架空地板下空間作為靜壓箱來給機(jī)柜送風(fēng)，并設(shè)置了冷通道密閉，以防止局部熱點(diǎn)。消防能力：華為云數(shù)據(jù)中心建筑防火等級均按一級設(shè)計(jì)施工，使用了

A級防火材料，滿足國家消防規(guī)范。采用了阻燃、耐火電纜，在管內(nèi)或線槽鋪設(shè)，并設(shè)置了漏電檢測裝置。部署了自動報(bào)警和自動滅火系統(tǒng)，能夠迅速準(zhǔn)確發(fā)現(xiàn)并通報(bào)火情。自動報(bào)警系統(tǒng)與供電、監(jiān)控、通風(fēng)設(shè)備聯(lián)動，即使意外情況造成無人值守，也能開啟自動滅火系統(tǒng)，得以控制火情。??例行監(jiān)控：華為云數(shù)據(jù)中心的電力、溫濕度、消防等環(huán)境運(yùn)行狀態(tài)通過日常巡檢制度得到例行監(jiān)控，安全隱患能被及時(shí)發(fā)現(xiàn)并修復(fù)，確保設(shè)備穩(wěn)定運(yùn)行。供水排水：華為云數(shù)據(jù)中心的供水和排水系統(tǒng)均有合理規(guī)劃，保證了總閥門正常可用，確保關(guān)鍵人員知曉閥門位置，以免信息系統(tǒng)受到漏水事故破壞。機(jī)房建筑和樓層均有抬高場地，在外圍設(shè)置了綠化地排水溝，加速排水，以降低場地積水倒灌風(fēng)險(xiǎn)。建筑滿足防水一級標(biāo)準(zhǔn)，保證了雨水不能通過屋頂、墻壁向機(jī)房滲透。數(shù)據(jù)中心也配備了及時(shí)排水的設(shè)施，供水災(zāi)時(shí)使用。?防靜電：華為云數(shù)據(jù)中心機(jī)房鋪設(shè)了防靜電地板，導(dǎo)線連接地板支架與接地網(wǎng)，機(jī)器接地以導(dǎo)走靜電。在機(jī)房大樓頂部設(shè)置了避雷帶，供電線路安裝了多級避雷器，導(dǎo)走電流。6.2網(wǎng)絡(luò)安全華為云數(shù)據(jù)中心節(jié)點(diǎn)眾多、功能區(qū)域復(fù)雜。為了簡化網(wǎng)絡(luò)安全設(shè)計(jì)，阻止網(wǎng)絡(luò)攻擊在華為云中的擴(kuò)散，最小化攻擊影響，華為云參考

ITUE.408安全區(qū)域的劃分原則并結(jié)合業(yè)界網(wǎng)絡(luò)安全的優(yōu)秀實(shí)踐，對華為云網(wǎng)絡(luò)進(jìn)行安全區(qū)域、業(yè)務(wù)層面的劃分和隔離。安全區(qū)域內(nèi)部的節(jié)點(diǎn)具有相同的安全等級。華為云從網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)、設(shè)備選型配置到運(yùn)行維護(hù)諸方面綜合考慮，對承載網(wǎng)絡(luò)采用各種針對物理和虛擬網(wǎng)絡(luò)的多層安全隔離，接入控制和邊界防護(hù)技術(shù)，同時(shí)嚴(yán)格執(zhí)行相應(yīng)的管控措施，確保華為云安全。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司18華為云安全白皮書6基礎(chǔ)設(shè)施安全提供精細(xì)化的

DDoS防護(hù)服務(wù)，租戶可以根據(jù)業(yè)務(wù)的應(yīng)用類型，配置流量閾值參數(shù)，并查看攻擊和防御狀態(tài)。?網(wǎng)絡(luò)入侵檢測與攔截

（IDS/IPS–

IntrusionDetectionSystem/IntrusionPreventionSystem）：為了感知來自互聯(lián)網(wǎng)以及租戶虛擬網(wǎng)絡(luò)之間東西向的攻擊，并針對攻擊實(shí)施阻斷，華為云在網(wǎng)絡(luò)邊界部署了

IPS設(shè)備，包括但不限于外網(wǎng)邊界、安全區(qū)域邊界和租戶空間邊界等。IPS具備網(wǎng)絡(luò)實(shí)時(shí)流量分析和阻斷能力，能防護(hù)異常協(xié)議攻擊、暴力攻擊、端口/漏洞掃描、病毒/木馬、針對漏洞的攻擊等各種入侵行為?；诰W(wǎng)絡(luò)流量，IPS可以提供信息幫助定位和調(diào)查網(wǎng)絡(luò)異常，分配定向流量的限制策略，并采用相應(yīng)的自定義檢測規(guī)則，保障生產(chǎn)環(huán)境內(nèi)的應(yīng)用程序和網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全。?Web安全防護(hù)：華為云部署了

Web應(yīng)用防火墻應(yīng)對

Web攻擊，如

Web應(yīng)用層的

DDoS攻擊、SQL注入、跨站腳本攻擊（XSS-Cross-SiteScripting）、跨站請求偽造（CSRF–

Cross-SiteRequestForgery）、組件漏洞攻擊、身份偽造等，以保護(hù)部署在

DMZ區(qū)、面向外網(wǎng)的

Web應(yīng)用服務(wù)和系統(tǒng)。說明1.作為高級邊界防護(hù)的主要技術(shù)之一，防火墻技術(shù)已經(jīng)成熟，得到廣泛使用，并且在白皮書第

7章

7.1.1彈性云服務(wù)器（ECS）和

6.2.1虛擬私有云服務(wù)（VPC）中有具體介紹，在此不做贅述。6.3平臺安全作為華為云平臺操作系統(tǒng)，華為統(tǒng)一虛擬化平臺（UVP-UnifiedVirtualizationPlatform）通過對服務(wù)器物理資源的抽象，將

CPU、內(nèi)存、I/O等物理資源轉(zhuǎn)化為一組統(tǒng)一管理、可靈活調(diào)度、可動態(tài)分配的邏輯資源，并基于這些邏輯資源，在單個(gè)物理服務(wù)器上構(gòu)建多個(gè)同時(shí)運(yùn)行、相互隔離的虛擬機(jī)執(zhí)行環(huán)境。在中國可信云認(rèn)證中，華為云平臺的云主機(jī)獲得最高級的五星+認(rèn)證。為保證平臺安全，華為云對主機(jī)操作系統(tǒng)進(jìn)行最小化裁剪并對服務(wù)做安全加固。同時(shí)，對接入主機(jī)操作系統(tǒng)的華為云管理員執(zhí)行嚴(yán)格的權(quán)限訪問控制

(PAM–

PrivilegeAccessManagement)，對其所執(zhí)行的各項(xiàng)運(yùn)維運(yùn)營操作實(shí)行全面的日志審計(jì)。華為云管理員必須經(jīng)過雙因子認(rèn)證后，才能通過堡壘機(jī)接入管理平面，所有操作都會記錄日志并及時(shí)傳送到集中日志審計(jì)系統(tǒng)。UVP直接運(yùn)行于物理服務(wù)器之上，提供虛擬化能力，為虛擬機(jī)提供運(yùn)行環(huán)境。UVP通過

CPU隔離、內(nèi)存隔離和

I/O隔離等技術(shù)手段實(shí)現(xiàn)虛擬主機(jī)操作系統(tǒng)與訪客虛擬機(jī)操作系統(tǒng)之間的隔離，并通過

Hypervisor讓虛擬主機(jī)操作系統(tǒng)與訪客虛擬機(jī)操作系統(tǒng)使用不同的權(quán)限運(yùn)行，來保證平臺系統(tǒng)資源的安全。以下分別從

CPU、內(nèi)存和

I/O隔離三個(gè)方面介紹

UVP的資源安全隔離實(shí)現(xiàn)機(jī)制。6.3.1CPU隔離CPU隔離主要是指虛擬化平臺與虛擬機(jī)之間的隔離，虛擬機(jī)內(nèi)部的權(quán)限分配和虛擬機(jī)與虛擬機(jī)之間的隔離。CPU隔離是通過

Root和

Non-Root兩種運(yùn)行模式的切換、各運(yùn)行模式下的運(yùn)行權(quán)限分配以及以

VCPU（VirtualCPU）

的形式呈現(xiàn)的虛擬計(jì)算資源的分配與切換等方式來實(shí)現(xiàn)的。通過

CPU隔離機(jī)制，UVP可以控制虛擬機(jī)對物理文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司21華為云安全白皮書6基礎(chǔ)設(shè)施安全設(shè)備以及虛擬化運(yùn)行環(huán)境的訪問權(quán)限，從而實(shí)現(xiàn)虛擬化平臺與虛擬機(jī)之間以及不同虛擬機(jī)之間在信息和資源上的隔離，也就是說，一個(gè)虛擬機(jī)無法獲取到其他虛擬機(jī)或虛擬化平臺的信息和資源。6.3.2內(nèi)存隔離虛擬化平臺還負(fù)責(zé)為虛擬機(jī)提供內(nèi)存資源，保證每個(gè)虛擬機(jī)只能訪問到其自身的內(nèi)存。為實(shí)現(xiàn)這個(gè)目標(biāo)，虛擬化平臺管理虛擬機(jī)內(nèi)存與真實(shí)物理內(nèi)存之間的映射關(guān)系。保證虛擬機(jī)內(nèi)存與物理內(nèi)存之間形成一一映射關(guān)系。虛擬機(jī)對內(nèi)存的訪問都會經(jīng)過虛擬化層的地址轉(zhuǎn)換，保證每個(gè)虛擬機(jī)只能訪問到分配給它的物理內(nèi)存，無法訪問屬于其他虛擬機(jī)或虛擬化平臺自身使用的內(nèi)存。6.3.3I/O隔離虛擬化平臺還給虛擬機(jī)提供了虛擬

I/O設(shè)備，包括磁盤、網(wǎng)卡、鼠標(biāo)、鍵盤等。虛擬化平臺為每個(gè)虛擬機(jī)提供獨(dú)立的設(shè)備，避免多個(gè)虛擬機(jī)共享設(shè)備造成的信息泄露。每個(gè)虛擬磁盤對應(yīng)虛擬化平臺上的一個(gè)鏡像文件或邏輯卷，虛擬化平臺控制只有一個(gè)虛擬機(jī)的一個(gè)虛擬磁盤設(shè)備跟一個(gè)鏡像文件關(guān)聯(lián)。實(shí)現(xiàn)了虛擬機(jī)使用的虛擬設(shè)備與虛擬化平臺

I/O管理對象之間一一對應(yīng)的關(guān)系，保證虛擬機(jī)之間無法相互訪問

I/O設(shè)備，實(shí)現(xiàn)

I/O路徑的隔離。6.4API應(yīng)用安全華為云各服務(wù)可通過公開的

API進(jìn)行配置管理，對接企業(yè)已有的

IT管理和審計(jì)系統(tǒng)?？紤]到

API對云服務(wù)承載的重要功能和其在

HTTP應(yīng)用層面臨的安全威脅，業(yè)界普遍把

API視為云服務(wù)至關(guān)重要的安全邊界，采用多重機(jī)制和措施進(jìn)行重點(diǎn)保護(hù)。調(diào)用華為云開放的

API是通過華為自研的

API網(wǎng)關(guān)實(shí)現(xiàn)的。API網(wǎng)關(guān)支持以下機(jī)制和場景使

API得到有效保護(hù)：?身份認(rèn)證及鑒權(quán)：華為云對每個(gè)

API請求通過與華為云

IAM的集成進(jìn)行身份驗(yàn)證，確保只有經(jīng)過身份驗(yàn)證的用戶才能訪問和管理云監(jiān)控信息，且傳輸通道通過TLS加密。租戶通過

API命令接口來管理虛擬機(jī)，API命令的權(quán)限管理直接關(guān)系到虛擬機(jī)的安全性。華為云

API網(wǎng)關(guān)對用戶命令支持二級權(quán)限管理。用戶發(fā)出命令時(shí)，不僅需要通過

IAM的身份登錄和鑒權(quán)，而且命令也需要經(jīng)過

API網(wǎng)關(guān)的檢查鑒權(quán)。用戶有權(quán)限執(zhí)行該命令時(shí)，命令才可以通過

API網(wǎng)關(guān)并下發(fā)到平臺層或應(yīng)用層執(zhí)行。平臺層或應(yīng)用層接到命令后，會再次對用戶的權(quán)限進(jìn)行檢查判斷，只有用戶確實(shí)擁有當(dāng)前

API命令的執(zhí)行權(quán)限，命令才允許執(zhí)行。所有的訪問請求可以通過兩種方式認(rèn)證：?令牌

(token)認(rèn)證：認(rèn)證請求會包含一個(gè)認(rèn)證的

token，該

token由租戶通過使用

IAM注冊的用戶名及密碼調(diào)用

IAM接口獲取。?訪問密鑰

ID/訪問密鑰（AK/SK–

AccessKeyID/SecretAccessKey）認(rèn)證：認(rèn)證請求會包含

AK/SK的鑒權(quán)信息，API網(wǎng)關(guān)的

AK/SK鑒權(quán)機(jī)制要求客戶端在獲取

AK/SK信息后，通過

API網(wǎng)關(guān)發(fā)布的官方

SDK進(jìn)行簽名，將包含簽名信息的請求發(fā)送到

API網(wǎng)關(guān)，API網(wǎng)關(guān)將對簽名信息進(jìn)行認(rèn)證校驗(yàn)。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司22華為云安全白皮書6基礎(chǔ)設(shè)施安全?傳輸保護(hù)：API調(diào)用需使用

TLS加密以保證傳輸?shù)臋C(jī)密性。目前

API網(wǎng)關(guān)所有對外網(wǎng)開放的

API均使用

TLS1.2版本加密協(xié)議，并且支持

PFS（PerfectForwardSecrecy）安全特性。?邊界防護(hù)：API網(wǎng)關(guān)結(jié)合

Anti-DDoS、入侵防御系統(tǒng)（IPS）和

Web應(yīng)用防火墻（WAF）等多層高級邊界防護(hù)機(jī)制針對不同的威脅和攻擊進(jìn)行有效防范。通過負(fù)載均衡器對

TLS加密傳輸進(jìn)行解密，多層高級邊界防護(hù)機(jī)制可對

API網(wǎng)關(guān)流量明文進(jìn)行監(jiān)控，對攻擊執(zhí)行阻斷。在高級邊界防護(hù)的基礎(chǔ)上，API網(wǎng)關(guān)作為云服務(wù)特有的安全邊界還提供以下多種防護(hù)措施：??API注冊：只有在

API網(wǎng)關(guān)上注冊的

API接口，才能被租戶訪問。ACL規(guī)則限制：該功能允許租戶自行配置特定的租戶信息和網(wǎng)段信息。租戶可根據(jù)訪問控制列表（ACL–

AccessControlList）配置信息，API網(wǎng)關(guān)能有限開放

API給特定租戶訪問，或者有限開放

API從特定網(wǎng)段訪問。??防重放攻擊：當(dāng)

API網(wǎng)關(guān)接受過期請求時(shí)，將會執(zhí)行拒絕措施防止重放攻擊。防暴力破解：當(dāng)接受某個(gè)

AK/SK請求時(shí)，API網(wǎng)關(guān)的防暴力破解機(jī)制一旦監(jiān)測到失敗請求次數(shù)已超出

API網(wǎng)關(guān)所設(shè)定允許次數(shù)，會拒絕該請求并執(zhí)行限時(shí)鎖定。?API流量控制：API網(wǎng)關(guān)實(shí)現(xiàn)對用戶調(diào)用

API的頻率的適當(dāng)流量控制，確保基于

API的訪問的高可用性和連續(xù)性。API網(wǎng)關(guān)提供針對

API級別和租戶級別的秒級流控配置。每個(gè)開放的

API在

API網(wǎng)關(guān)需要配置對應(yīng)的流控信息，在單位時(shí)間內(nèi)，每個(gè)

API基于所有華為云租戶調(diào)用該

API次數(shù)的配額、每個(gè)華為云租戶調(diào)用該

API次數(shù)的配額分別進(jìn)行流控。6.5數(shù)據(jù)安全數(shù)據(jù)安全指對用戶數(shù)據(jù)信息資產(chǎn)的機(jī)密性、完整性、可用性、持久性、、以及可追溯性等方面的全面保護(hù)。華為云高度重視用戶的數(shù)據(jù)信息資產(chǎn)，把數(shù)據(jù)保護(hù)作為華為云安全策略的核心。華為云將繼續(xù)遵循數(shù)據(jù)安全生命周期管理的業(yè)界先進(jìn)標(biāo)準(zhǔn)，在身份認(rèn)證、權(quán)限管理、訪問控制、數(shù)據(jù)隔離、傳輸安全、存儲安全、數(shù)據(jù)刪除、物理銷毀等方面，采用優(yōu)秀技術(shù)、實(shí)踐和流程，為用戶提供最切實(shí)有效的數(shù)據(jù)保護(hù)能力，保證租戶對其數(shù)據(jù)的隱私權(quán)、所有權(quán)和控制權(quán)不受侵犯。6.5.1訪問隔離?身份認(rèn)證和訪問控制：華為云的訪問控制能力是通過統(tǒng)一身份認(rèn)證服務(wù)（IAM–IdentityandAccessManagement）提供的。IAM是面向企業(yè)租戶的安全管理服務(wù)，通過

IAM，租戶可以集中管理用戶、安全憑證（例如訪問密鑰），以及控制用戶管理權(quán)限和用戶可訪問的云資源權(quán)限。使用

IAM，租戶管理員可以管理用戶賬號，并且可以控制這些用戶賬號對租戶名下資源具有的操作權(quán)限。當(dāng)租戶企業(yè)存在多用戶協(xié)同操作資源時(shí)，使用

IAM可以避免與其他用戶共享賬號密鑰，按需為用戶分配最小權(quán)限，也可以通過設(shè)置登錄驗(yàn)證策略、密碼策略、訪問控制列表來確保用戶賬戶的安全，從而降低租戶的企業(yè)信息安全風(fēng)險(xiǎn)。?數(shù)據(jù)隔離：華為云對云端數(shù)據(jù)的隔離是通過虛擬私有云（VPC–

VirtualPrivateCloud）實(shí)施的，VPC采用網(wǎng)絡(luò)隔離技術(shù)，實(shí)現(xiàn)不同租戶間在三層網(wǎng)絡(luò)的完全隔文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司23華為云安全白皮書6基礎(chǔ)設(shè)施安全離，租戶可以完全掌控自己的虛擬網(wǎng)絡(luò)構(gòu)建與配置：一方面，結(jié)合

VPN或云專線，將

VPC與租戶內(nèi)網(wǎng)的傳統(tǒng)數(shù)據(jù)中心互聯(lián)，實(shí)現(xiàn)租戶應(yīng)用和數(shù)據(jù)從租戶內(nèi)網(wǎng)向云上的平滑遷移；另一方面，利用

VPC的

ACL、安全組功能，按需配置安全與訪問規(guī)則，滿足租戶更細(xì)粒度的網(wǎng)絡(luò)隔離需要。6.5.2傳輸安全對于華為云平臺客戶端到服務(wù)端、服務(wù)端之間的數(shù)據(jù)通過公共信息通道進(jìn)行傳輸?shù)膱鼍埃瑐鬏斨袛?shù)據(jù)的保護(hù)通過如下方式提供：?虛擬專用網(wǎng)絡(luò)（VPN）：VPN用于在遠(yuǎn)端網(wǎng)絡(luò)和

VPC之間建立一條符合行業(yè)標(biāo)準(zhǔn)的安全加密通信隧道，將已有數(shù)據(jù)中心無縫擴(kuò)展到華為云上，為租戶提供端到端的數(shù)據(jù)傳輸機(jī)密性保障。通過

VPN在傳統(tǒng)數(shù)據(jù)中心與

VPC之間建立通信隧道，租戶可方便地使用華為云的云服務(wù)器、塊存儲等資源，通過將應(yīng)用程序轉(zhuǎn)移到云中、啟動額外的

Web服務(wù)器來增加網(wǎng)絡(luò)的計(jì)算容量，實(shí)現(xiàn)了企業(yè)的混合云架構(gòu)的同時(shí)，也降低了企業(yè)核心數(shù)據(jù)非法擴(kuò)散的風(fēng)險(xiǎn)。目前，華為云采用硬件實(shí)現(xiàn)的

IKE（密鑰交換協(xié)議）和

IPSecVPN結(jié)合的方法對數(shù)據(jù)傳輸通道進(jìn)行加密，確保傳輸安全。?應(yīng)用層

TLS與證書管理：華為云服務(wù)提供

REST和

Highway方式進(jìn)行數(shù)據(jù)傳輸：REST網(wǎng)絡(luò)通道是將服務(wù)以標(biāo)準(zhǔn)

RESTful的形式向外發(fā)布，調(diào)用端直接使用HTTP客戶端，通過標(biāo)準(zhǔn)

RESTful形式對

API進(jìn)行調(diào)用，實(shí)現(xiàn)數(shù)據(jù)傳輸；Highway通道是高性能私有協(xié)議通道，在有特殊性能需求場景時(shí)可選用。上述兩種數(shù)據(jù)傳輸方式均支持使用傳輸層安全協(xié)議（TLS–

TransportLayerSecurity）1.2版本進(jìn)行加密傳輸，同時(shí)也支持基于

X.509證書的目標(biāo)網(wǎng)站身份認(rèn)證。證書管理服務(wù)（SSLCertificateService）則是華為云聯(lián)合全球知名數(shù)字證書服務(wù)機(jī)構(gòu)，為租戶提供的一站式

X.509證書的全生命周期管理服務(wù)，實(shí)現(xiàn)目標(biāo)網(wǎng)站的可信身份認(rèn)證與安全數(shù)據(jù)傳輸。6.5.3存儲安全?密鑰保護(hù)與管理密鑰管理服務(wù)（KMS–

KeyManagementService）是一種安全、可靠、簡單易用的密鑰托管服務(wù)，幫助用戶集中管理密鑰，保護(hù)密鑰安全。它通過使用硬件安全模塊（HSM–

HardwareSecurityModule），為租戶創(chuàng)建和管理密鑰，防止密鑰明文暴漏在

HSM之外，從而防止密鑰泄露。HSM是一種安全產(chǎn)生、存儲、管理及使用密鑰并提供加密處理服務(wù)的硬件設(shè)備。為保護(hù)租戶密鑰安全，減少密鑰外泄風(fēng)險(xiǎn)，華為云提供不同廠商、不同規(guī)格（標(biāo)準(zhǔn)加密算法、國密算法等）、不同強(qiáng)度的云

HSM供租戶選擇，滿足不同租戶的實(shí)際需求，例如通過

FIPS140-2國際權(quán)威認(rèn)證的第三方

HSM。KMS對密鑰的所有操作都會進(jìn)行訪問控制及日志跟蹤，滿足審計(jì)和合規(guī)性要求。目前已對接

KMS服務(wù)的華為云服務(wù)包括：云硬盤（ElasticVolumeService，簡稱

EVS）、對象存儲（ObjectStorageService，簡稱OBS）、云備份（CloudBackupandRecovery，簡稱

CBR）及鏡像服務(wù)（ImageManagementService，簡稱

IMS）等。??專屬加密專屬加密滿足租戶更高合規(guī)性要求的加密場景，采用通過國家密碼局認(rèn)證或

FIPS140-2第

3級驗(yàn)證的硬件加密機(jī)，對租戶業(yè)務(wù)進(jìn)行專屬加密，默認(rèn)雙機(jī)架構(gòu)以提高可靠性。數(shù)據(jù)機(jī)密性及可靠性保證文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司24華為云安全白皮書6基礎(chǔ)設(shè)施安全存儲

服務(wù)描述類型機(jī)密性保證可靠性保證RDS關(guān)系型數(shù)據(jù)庫服通過靜態(tài)加密、表空間加密、同態(tài)加密對數(shù)據(jù)進(jìn)行加密。華為云關(guān)系型數(shù)據(jù)庫服務(wù)支持對存儲到數(shù)據(jù)庫中的數(shù)據(jù)加密后存儲，加密密鑰關(guān)系型數(shù)據(jù)庫服務(wù)采用熱備架構(gòu)，故障系統(tǒng)

1分鐘自動切換。每天自動備份數(shù)據(jù)，上傳到

OBS桶，備份文件保留

732天，支持一鍵式恢復(fù)。務(wù)（RelationalDatabaseService，簡稱RDS）是一種基于云計(jì)算平臺的即開即用、穩(wěn)定可靠、彈性伸縮、便捷管理的在線關(guān)系型數(shù)據(jù)庫服務(wù)。由KMS進(jìn)行管理。IMS鏡像服務(wù)提供靈活的自助服務(wù)和完善的鏡像管理能力，用戶可以從豐富的公共鏡像庫中選擇或創(chuàng)建私有鏡像，快速創(chuàng)建或批量復(fù)制彈性云服務(wù)器。由

KMS提供密鑰。CMK由

KMS生成、管理和銷毀，用于加密和解密數(shù)據(jù)加密密鑰。華為云提供兩種方式創(chuàng)建加密鏡像：通過加密彈性云服務(wù)器創(chuàng)建和通過外部鏡像文件創(chuàng)建。使用多份冗余存儲私用鏡像，數(shù)據(jù)持久性高達(dá)99.999999999%。說明1.SSE–

Server-SideEncryption.C在

SSE-C中是指客戶（customer）。6.5.4數(shù)據(jù)刪除與銷毀在用戶確認(rèn)刪除數(shù)據(jù)后，華為云會徹底刪除用戶數(shù)據(jù)，確保數(shù)據(jù)不泄露：???內(nèi)存刪除：華為云在云操作系統(tǒng)將內(nèi)存重新分配給用戶之前，會對分配的內(nèi)存進(jìn)行清零操作，即寫“零”處理，防止通過物理內(nèi)存恢復(fù)刪除數(shù)據(jù)造成的數(shù)據(jù)泄露。加密數(shù)據(jù)防泄露：華為云建議租戶對要上云的重要數(shù)據(jù)進(jìn)行加密存儲，數(shù)據(jù)需要?jiǎng)h除時(shí)，通過直接刪除相關(guān)數(shù)據(jù)加密密鑰，防止數(shù)據(jù)在被徹底刪除前被恢復(fù)為明文后造成泄露。存儲數(shù)據(jù)刪除：當(dāng)租戶刪除存儲數(shù)據(jù)時(shí)，數(shù)據(jù)和對應(yīng)的元數(shù)據(jù)在系統(tǒng)中一并刪除，底層存儲區(qū)域被回收以供系統(tǒng)重新覆蓋寫入，已刪除數(shù)據(jù)無法再被讀取。當(dāng)租戶刪除存儲資源時(shí)，對應(yīng)的元數(shù)據(jù)會立即標(biāo)記刪除，確保無法繼續(xù)訪問存儲資源中的存儲數(shù)據(jù)，同時(shí)，會啟動后臺任務(wù)，徹底刪除元數(shù)據(jù)以及對應(yīng)的存儲數(shù)據(jù)，回收存儲資源對應(yīng)的物理空間。物理空間清零后才會再次被分配，新建的存儲資源已分配的存儲空間，在首次寫入數(shù)據(jù)前，讀取返回全部為零。針對客戶誤刪除的操作場景，通過

EVS服務(wù)的回收站功能、OBS服務(wù)的多版本控制功能，用戶可以最終決定數(shù)據(jù)的恢復(fù)或徹底刪除。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司26華為云安全白皮書6基礎(chǔ)設(shè)施安全?磁盤數(shù)據(jù)刪除：華為云對刪除虛擬卷采用清零措施，確保數(shù)據(jù)不可恢復(fù)，有效防止被惡意租戶使用數(shù)據(jù)恢復(fù)軟件讀出磁盤數(shù)據(jù)，杜絕信息泄漏風(fēng)險(xiǎn)。?物理磁盤報(bào)廢：當(dāng)物理磁盤報(bào)廢時(shí)，華為云通過對存儲介質(zhì)進(jìn)行消磁、完全破碎等方式清除數(shù)據(jù)，并對數(shù)據(jù)清除操作保存完整記錄，滿足行業(yè)標(biāo)準(zhǔn)，確保用戶隱私和數(shù)據(jù)不受未授權(quán)訪問。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司27華為云安全白皮書7租戶服務(wù)與租戶安全7租戶服務(wù)與租戶安全7.1計(jì)算7.1.1彈性云服務(wù)器（ECS）彈性云服務(wù)器（ECS–

ElasticCloudServer）是華為云為租戶提供的一種可隨時(shí)自助獲取，按需租用虛擬計(jì)算資源的云服務(wù)。租戶購買的云服務(wù)器實(shí)例是一個(gè)虛擬的計(jì)算環(huán)境，包含了

CPU、內(nèi)存、操作系統(tǒng)、磁盤、帶寬等最基礎(chǔ)的服務(wù)器組件。一個(gè)實(shí)例就是一臺虛擬機(jī)。對自己創(chuàng)建的實(shí)例，租戶擁有管理員權(quán)限，可以進(jìn)行多項(xiàng)基本操作，如掛載磁盤、添加網(wǎng)卡、創(chuàng)建鏡像、部署環(huán)境等。華為云

ECS提供了多層次的安全防護(hù)和保障，包括主機(jī)操作系統(tǒng)安全、虛擬機(jī)隔離、安全組等。通過從虛擬機(jī)到主機(jī)再到整個(gè)組網(wǎng)的整體安全設(shè)計(jì)，為用戶打造安全可靠、靈活高效的應(yīng)用環(huán)境。?主機(jī)安全：主機(jī)操作系統(tǒng)使用華為統(tǒng)一虛擬化平臺（UVP），對

CPU，內(nèi)存和I/O資源隔離管理。UVP安全性能已在第

6章

6.3平臺安全一節(jié)詳細(xì)介紹，在此不再贅述。?虛擬機(jī)安全?鏡像加固：華為云通過鏡像工廠，由專業(yè)安全團(tuán)隊(duì)對虛擬機(jī)操作系統(tǒng)公共鏡像進(jìn)行安全分析，并及時(shí)修復(fù)系統(tǒng)安全漏洞，最終生成安全更新了的公共鏡像，并通過鏡像服務(wù)（IMS）持續(xù)提供給租戶。同時(shí)華為云保持對公共鏡像漏洞的實(shí)時(shí)監(jiān)測，并定期更新公共鏡像以確保高危漏洞得到修復(fù)。由客戶根據(jù)相關(guān)應(yīng)用運(yùn)行及安全運(yùn)維策略，選擇直接使用最新的公共鏡像重新創(chuàng)建虛擬機(jī)或自行創(chuàng)建已安裝安全補(bǔ)丁的私有鏡像。??網(wǎng)絡(luò)與平臺隔離：主機(jī)內(nèi)由

Hypervisor提供的虛擬交換機(jī)（vSwitch）通過設(shè)置

VLAN、VXLAN、ACL等屬性確保虛擬機(jī)在網(wǎng)絡(luò)層的邏輯隔離。多臺主機(jī)之間的網(wǎng)絡(luò)依然使用傳統(tǒng)的物理網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)等）進(jìn)行物理隔離。同時(shí)，UVP支撐的

CPU、內(nèi)存、I/O隔離進(jìn)一步實(shí)現(xiàn)虛擬機(jī)在平臺層的邏輯隔離。IP/MAC仿冒控制：為了避免由于租戶任意修改虛擬機(jī)

IP或

MAC引起的網(wǎng)絡(luò)混亂，通過

DHCPsnooping技術(shù)，增加

IP與

MAC之間的綁定關(guān)系，然后通過

IP源側(cè)防護(hù)

(IPSourceGuard)與動態(tài)

ARP檢測（DAI–DynamicARPInspection）對非綁定關(guān)系的報(bào)文進(jìn)行過濾，可以防止用戶虛擬機(jī)

IP和

MAC地址的仿冒。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司28華為云安全白皮書7租戶服務(wù)與租戶安全?安全組：UVP還提供安全組功能，用于多臺虛擬機(jī)之間的分組隔離。多臺虛擬機(jī)之間如果要相互訪問，可以建立安全組。同一個(gè)安全組內(nèi)的多臺虛擬機(jī)默認(rèn)可相互訪問，處于不同安全組的任何兩臺虛擬機(jī)默認(rèn)禁止相互通信。但可定制配置為允許通信。此外，用戶可以對多臺彈性云服務(wù)器進(jìn)行批量更改/加入/移出安全組的操作。第

7章

7.2.1虛擬私有云服務(wù)（VPC）一節(jié)對安全組做詳盡的介紹，請參考。?遠(yuǎn)程訪問認(rèn)證：租戶可通過

SSH遠(yuǎn)程訪問虛擬機(jī)操作系統(tǒng)來進(jìn)行系統(tǒng)維護(hù)。但是，開放的

SSH接口也是虛擬機(jī)的一個(gè)較高安全風(fēng)險(xiǎn)。為保證遠(yuǎn)程訪問控制安全，租戶可選擇使用賬號口令或公/私鑰對完成遠(yuǎn)程訪問的接入認(rèn)證，建議租戶默認(rèn)使用更為安全的公/私鑰對認(rèn)證方式。???資源管理認(rèn)證：租戶通過

API來管理華為云

ECS計(jì)算資源。租戶發(fā)出

API接入請求后，必須先完成基于

IAM的身份認(rèn)證和鑒權(quán)，才能接入

API對計(jì)算資源進(jìn)行管理。VNC

安全：租戶通過

VNC（VirtualNetworkComputing）方式遠(yuǎn)程訪問虛擬機(jī)，使用賬號口令進(jìn)行身份認(rèn)證，采用

TLS1.2版本進(jìn)行加密傳輸，確保數(shù)據(jù)傳輸安全。事件管理功能：在彈性云服務(wù)器日常運(yùn)維中，華為云會對實(shí)例所在底層宿主機(jī)的軟硬件故障進(jìn)行預(yù)測和主動規(guī)避。當(dāng)宿主機(jī)上的故障風(fēng)險(xiǎn)無法規(guī)避時(shí)，為避免因ECS

實(shí)例的資源可用性或性能受損對用戶的業(yè)務(wù)造成的更大影響，系統(tǒng)會對受影響的實(shí)例生成事件并進(jìn)行上報(bào)。您可以對系統(tǒng)上報(bào)的事件進(jìn)行響應(yīng)操作。7.1.2鏡像服務(wù)（IMS）鏡像是一個(gè)包含了軟件及必要配置的云服務(wù)器或裸金屬服務(wù)器模版，至少包含操作系統(tǒng)，還可以包含各種預(yù)裝的應(yīng)用軟件（例如，數(shù)據(jù)庫軟件）。鏡像分為公共鏡像、私有鏡像、共享鏡像和市場鏡像。公共鏡像是華為云為操作系統(tǒng)提供的標(biāo)準(zhǔn)鏡像；私有鏡像是用戶自行創(chuàng)建的鏡像；共享鏡像是用戶自己定義并分享給其他用戶的鏡像，由用戶社區(qū)在自愿基礎(chǔ)上維護(hù)；市場鏡像是提供預(yù)裝操作系統(tǒng)、應(yīng)用環(huán)境和各類軟件的優(yōu)質(zhì)第三方鏡像。華為云鏡像服務(wù)（IMS–

ImageManagementService）提供簡單方便的鏡像自助管理功能。客戶可通過服務(wù)控制臺或

API對自己的鏡像進(jìn)行管理。華為云負(fù)責(zé)公共鏡像的定期更新與維護(hù)，向用戶提供安裝安全補(bǔ)丁的公共鏡像和相關(guān)安全加固和補(bǔ)丁信息，以便用戶在部署測試、故障排除等運(yùn)維活動時(shí)參考。用戶可以直接使用公共鏡像，或者通過已有的云服務(wù)器或使用外部鏡像文件自行創(chuàng)建私有鏡像，也可以參與創(chuàng)建和維護(hù)共享鏡像。用戶能靈活選擇上述任何鏡像申請彈性云服務(wù)器。IMS基于華為云統(tǒng)一身份認(rèn)證服務(wù)（IAM）來進(jìn)行認(rèn)證，支持鏡像的傳輸和存儲加密以及完整性檢測。IMS的所有數(shù)據(jù)都存儲于信任子網(wǎng)內(nèi)的鏡像倉庫，并且采用對象存儲分桶機(jī)制，也就是將公共鏡像和私有鏡像分別存放在不同的桶中。IMS提供了安全的加密算法和功能，讓用戶選擇對鏡像進(jìn)行加密存儲。在基于鏡像創(chuàng)建虛擬機(jī)時(shí)，系統(tǒng)會自動檢查鏡像完整性，以確保創(chuàng)建的虛擬機(jī)包含完整的鏡像內(nèi)容。IMS對租戶的所有操作進(jìn)行權(quán)限判斷，只有符合權(quán)限要求才允許執(zhí)行，并對所有關(guān)鍵操作進(jìn)行審計(jì)記錄。審計(jì)日志實(shí)現(xiàn)持久化，租戶可以對其進(jìn)行長期而且精確的回溯。文檔版本

3.5(2024-03-29)版權(quán)所有

?華為云計(jì)算技術(shù)有限公司29華為云安全白皮書7租戶服務(wù)與租戶安全7.1.3彈性伸縮服務(wù)

(AS)彈性伸縮服務(wù)（AS–

Auto-Scaling）是根據(jù)租戶的業(yè)務(wù)需求，通過用戶預(yù)先定義的策略自動按需調(diào)整資源的服務(wù)。AS在運(yùn)行中無需人工干預(yù)，就可使資源使用量符合業(yè)務(wù)當(dāng)前的需求。在業(yè)務(wù)增長時(shí)實(shí)現(xiàn)應(yīng)用系統(tǒng)自動擴(kuò)容，業(yè)務(wù)下降時(shí)實(shí)現(xiàn)應(yīng)用系統(tǒng)自動減容。從而既能幫助租戶節(jié)約資源和人力成本，又能保證其業(yè)務(wù)平穩(wěn)健康運(yùn)行。AS對執(zhí)行資源調(diào)配和管控策略的自動化特性有助于避免資源爭奪類攻擊或租戶管理人員在調(diào)配資源時(shí)人為操作失誤所造成的安全風(fēng)險(xiǎn)。AS支持自動地將加入的實(shí)例添加到負(fù)載均衡監(jiān)聽器，訪問流量將通過負(fù)載均衡監(jiān)聽器自動分發(fā)到伸縮組內(nèi)的所有實(shí)例，相比直接訪問單個(gè)后端服務(wù)器和服務(wù)具有更高的防DDoS攻擊的能力。AS可以實(shí)時(shí)檢測實(shí)例的運(yùn)行狀況，并啟動新實(shí)例以替換運(yùn)行狀況不佳的實(shí)例。同時(shí)支持配置使用多個(gè)可用區(qū)（AZ–

AvailabilityZone），在多個(gè)可用分區(qū)中平均分配實(shí)例，保證伸縮組中部署應(yīng)用的容災(zāi)能力，提升系統(tǒng)可用性。7.1.4專屬主機(jī)服務(wù)

(DeH)專屬主機(jī)服務(wù)（DeH–

DedicatedHostService）是在華為云

ECS的基礎(chǔ)上，提供的一種靈活的以主機(jī)為單位出租的彈性計(jì)算服務(wù)，它繼承了

ECS服務(wù)的所有功能以及安全特性。DeH由于以主機(jī)為單位出租，在安全上有物理層主機(jī)隔離的優(yōu)勢：單個(gè)租戶擁有整個(gè)主機(jī)，可以避免其他租戶對系統(tǒng)資源的搶占，防止惡意租戶通