更新时间：2026-10-29 GMT+08:00

策略管理

数据安全屋新增自定义策略管理功能，为安全管理员提供 OBS 桶策略与 VPCEP 终端节点策略的一站式集中管理。支持 OBS 桶策略的IP白名单、VPC白名单及公共访问阻断（BPA）配置管理，支持自定义 VPCEP 端点策略的创建、查询、更新与删除，实现双端固定策略的快速配置，提升安全策略管理效率。

前提条件

已购买数据安全屋。

查看默认安全策略

在创建安全屋时由系统自动部署默认安全策略，为安全屋提供基础隔离能力，仅支持查看策略内容，不可编辑或删除。

登录DSC服务控制台。
在左侧导航栏中，选择“数据安全屋”，进入“数据安全屋”控制台。
在左侧导航栏中，选择“策略管理”。
在页面顶部，选择数据安全屋。
在“默认安全策略”栏中，可查看系统提供的默认安全策略。
- DSC-Policy-DSZ-ZoneAccess-${zone-id}：IAM安全屋访问控制策略，非安全屋用户禁止访问安全屋标签资源。
- DSC-Policy-DSZ-TagProtection：IAM标签保护策略，禁止IAM用户直接修改安全屋标签，非管理员禁止修改data-zone标签。
- DSC-Policy-DSZ-NetworkDeny：IAM网络出口控制策略，禁止安全屋资源公网访问 (EIP/NAT/公网IP)，禁止VPC跨区域互联互通。
- DSC-Policy-DSZ-OBSBucket：OBS桶策略，OBS桶ACL策略，限制访问范围。
- DSC-Policy-DSZ-VPCEP：VPCEP策略，VPCEP终端服务仅允许安全屋用户访问。
在策略所在行的“操作”列，单击“查看策略”，可查看策略详情。

自定义安全策略

在此配置桶策略与VPCEP策略，进一步收敛安全屋资源的访问范围。所有策略均通过可视化表单配置，应用前需预览确认。

桶策略（OBS）

登录DSC服务控制台。
在左侧导航栏中，选择“数据安全屋”，进入“数据安全屋”控制台。
在左侧导航栏中，选择“策略管理”。
在页面顶部，选择数据安全屋。
在“自定义安全策略”栏中，选择“桶策略（OBS）”页签。

为您统计了开放公网访问桶数量、已配置IP白名单桶数量、已配置VPC白名单桶数量。

查看自定义桶策略列表。

表1 桶策略列表参数说明
参数名称	参数说明
策略名称	自定义安全策略的名称。
目标OBS桶	策略关联的目标OBS桶名。
防护能力	策略启用的防护能力项。
创建时间	策略创建的时间戳。
更新时间	策略最近一次更新的时间戳。
状态	策略当前生效状态，如“已生效”。

在目标桶策略所在行的“操作”列，单击“编辑”，可修改策略。
- “策略名称”和“目标OBS桶”不支持修改。
- “防护能力配置”：可根据需要开启或关闭以下选项。
  - 一键关闭公网访问：拒绝所有来自公网IP的访问请求，桶仅能通过VPN、专线或云上VPC内访问。
  - 限制访问IP：仅允许指定IP或IP段访问桶资源，仅支持公网IP段。
  - 限制从指定VPC访问：仅允许从安全屋内的指定VPC访问桶资源，通过VPC ID进行校验。
图1 编辑桶策略
单击“下一步”，查看“策略预览”和“影响提示”信息，确认无误后，单击“确定”。

新建VPCEP终端节点策略

VPCEP策略用于控制终端节点可访问的OBS桶及允许的操作，确保通过VPCEP访问的流量仅能访问安全屋授权的桶资源。

登录DSC服务控制台。
在左侧导航栏中，选择“数据安全屋”，进入“数据安全屋”控制台。
在左侧导航栏中，选择“策略管理”。
在页面顶部，选择数据安全屋。
在“自定义安全策略”栏中，选择“VPCEP终端节点策略”页签。
单击“新建VPCEP策略”，在弹框中配置如下参数。
- “策略名称”：自定义VPCEP策略的名称，用于标识该策略，支持手动输入。
- “VPCEP终端节点”：选择策略管控的VPCEP终端节点，从下拉列表中选择。
- “允许访问的OBS桶”：选择该VPCEP策略允许访问的OBS桶，从下拉列表中选择。
- “允许的操作”：选择该策略允许对OBS桶执行的操作类型（读取、写入、删除），从下拉列表中选择。
单击“下一步”，查看“策略预览”和“影响提示”信息，确认无误后，单击“确定”。
- 在目标策略所在行的“操作”列，单击“编辑”，支持修改VPCEP终端节点策略。
- 在目标策略所在行的“操作”列，单击“删除”，支持删除VPCEP终端节点策略。