APM安全配置建议

正确使用APM访问密钥并进行自定义加密

1. 建议妥善保管并轮换APM访问密钥

   APM访问密钥（AK/SK，Access Key ID/Secret Access Key）是您在华为云APM服务的长期身份凭证，探针携带密钥ID（AK）上报数据，华为云通过该AK识别访问用户的身份，通过SK对请求数据进行签名认证，用于确保上报请求的机密性、完整性和请求者身份的正确性。建议您妥善保管APM访问密钥；同时您可以通过访问密钥界面的创建、删除与禁用功能进行密钥轮换操作。

2. 建议自定义函数对认证信息进行自定义加密

   为了更好地保护您的身份认证信息，华为APM服务提供了一个密钥自定义加密通道。您可以通过自定义函数对AK/SK进行加密，并将解密函数放置到探针指定目录中。业务启动时探针将通过您提供的自定义解密函数进行密钥解析，从而更好地保护用户隐私，防止身份认证信息泄露。详情请参见访问密钥。

通过APM提供的访问控制能力合理分配用户权限

1. 建议对不同角色的IAM用户设置不同的权限，避免权限过大导致数据泄露或被误操作

   为更好地进行权限隔离和管理，建议您配置独立的IAM管理员，授予IAM管理员IAM策略的管理权限。IAM管理员可以根据您业务的实际诉求创建不同的用户组，用户组对应不同的数据访问场景，通过将用户添加到用户组并将IAM策略绑定到对应用户组，IAM管理员可以为不同职能部门的员工按照最小权限原则授予不同的数据访问权限。详情请参见登录保护及登录验证策略。

2. 建议通过企业项目进行业务逻辑隔离

   您在华为云账号中给员工创建IAM用户组后，可以在企业管理服务控制台创建企业项目，并在企业项目中为用户组授予相应的权限，实现人员授权及权限控制。企业项目可将企业分布在不同区域的资源按照企业项目进行统一管理，同时可以为每个企业项目设置拥有不同权限的用户组。详情请参见通过IAM为企业中的用户和用户组进行授权

通过数据脱敏进行隐私及敏感信息数据保护

当业务调用请求中包含用户敏感信息时，建议您通过数据脱敏功能对敏感信息进行脱敏处理。 您可以前往数据脱敏界面创建针对业务组件的自定义脱敏配置，平台将通过标志化或掩码方式对敏感信息进行处理。完成配置并生效后，您可前往调用链界面查看上报数据详情。

建议使用新版本探针获得更好的监控体验和更强的安全能力

为了获得更好的监控体验和更强的安全能力，建议您定期升级并使用新版本探针。最新版本探针在对应界面下载，对应指导请参见探针更新说明。