# NAT网关安全最佳实践
1. **加强权限管理，提高访问控制能力。**
   如果您需要对您所拥有的NAT网关（NAT Gateway）进行精细的权限管理，您可以使用[统一身份认证服务](https://support.huaweicloud.com/usermanual-iam/iam_01_0001.html)（Identity and Access Management，简称IAM），详情请参见[权限管理](https://support.huaweicloud.com/usermanual-natgateway/nat_permission_0002.html)
   
2. **建议您妥善管理身份认证信息，减小因凭证泄漏导致的数据泄露风险。**
   NAT网关服务基于统一身份认证服务（Identity and Access Management，IAM），支持三种身份认证方式：用户名密码、访问密钥、临时访问密钥。同时还提供[登录保护](https://support.huaweicloud.com/usermanual-iam/iam_07_0002.html#section1)及[登录验证策略](https://support.huaweicloud.com/usermanual-iam/iam_01_0704.html)。
   1. **建议使用临时AK/SK进行业务处理，减小凭证泄漏导致您数据泄露的风险** 。
      使用NAT API/SDK管理相关资源时，都需要进行身份凭证认证，用于确保请求的机密性、完整性和请求者身份的正确性。建议您为应用程序或服务配置IAM委托或临时AK/SK，通过IAM委托可以获取一组临时AK/SK，临时AK/SK到期自动过期失效，可以有效降低凭证泄露造成的数据泄露风险。详情请参见[临时访问密钥](https://support.huaweicloud.com/usermanual-ca/ca_01_0005.html)和[获取委托的临时访问密钥和securitytoken](https://support.huaweicloud.com/api-iam/iam_04_0101.html)。
      
   
   2. **定期轮转永久AK/SK，减小凭证泄漏导致您数据泄露的风险** 。
      如您必须使用永久AK/SK，建议对永久AK/SK进行定期凭证轮转，同时加密存储，避免凭证长期使用过程中预置的明文凭证泄露导致数据泄露。详情请参见[访问密钥](https://support.huaweicloud.com/usermanual-ca/ca_05_0003.html)。
      
   
   3. **定期修改用户名密码，避免使用弱密码** 。
      定期重置密码是提高系统和应用程序安全性的重要措施之一，不仅可以降低密码泄露的风险，还可以帮助用户满足合规要求，减少内部威胁，提高用户的安全意识。同时建议您配置提高密码的复杂度，避免使用弱密码。详情请参见[密码策略](https://support.huaweicloud.com/usermanual-iam/iam_01_0607.html)。
      
    
3. **使用最新版本的SDK获得更好的操作体验和更强的安全能力** 。
   建议您升级SDK并使用最新版本，可以在您使用NAT网关服务的过程中对您的数据提供更好的保护。最新版本SDK在各语言对应界面下载，请参见[NAT SDK](https://support.huaweicloud.com/sdkreference-natgateway/nat_sdk_0001.html)。
   
4. **建议DNAT规则避免使用高危端口** 。
   对于公网NAT网关，可以添加DNAT规则，通过端口映射的方式为您VPC内的云主机对互联网提供服务。但是对于部分运营商判断的高危端口，默认会被屏蔽。建议您将端口修改为其他端口，请参见[哪些端口无法访问](https://support.huaweicloud.com/natgateway_faq/nat_faq_0008.html)。