# 策略管理
数据安全屋新增自定义策略管理功能，为安全管理员提供 OBS 桶策略与 VPCEP 终端节点策略的一站式集中管理。支持 OBS 桶策略的IP白名单、VPC白名单及公共访问阻断（BPA）配置管理，支持自定义 VPCEP 端点策略的创建、查询、更新与删除，实现双端固定策略的快速配置，提升安全策略管理效率。
#### 前提条件
已[购买数据安全屋](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5112.html)。
#### 查看默认安全策略
在创建安全屋时由系统自动部署默认安全策略，为安全屋提供基础隔离能力，仅支持查看策略内容，不可编辑或删除。
1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。
2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。
3. 在左侧导航栏中，选择"策略管理"。
4. 在页面顶部，选择数据安全屋。
5. 在"默认安全策略"栏中，可查看系统提供的默认安全策略。 
   - DSC-Policy-DSZ-ZoneAccess-${zone-id}：IAM安全屋访问控制策略，非安全屋用户禁止访问安全屋标签资源。
   
   - DSC-Policy-DSZ-TagProtection：IAM标签保护策略，禁止IAM用户直接修改安全屋标签，非管理员禁止修改data-zone标签。
   
   - DSC-Policy-DSZ-NetworkDeny：IAM网络出口控制策略，禁止安全屋资源公网访问 (EIP/NAT/公网IP)，禁止VPC跨区域互联互通。
   
   - DSC-Policy-DSZ-OBSBucket：OBS桶策略，OBS桶ACL策略，限制访问范围。
   
   - DSC-Policy-DSZ-VPCEP：VPCEP策略，VPCEP终端服务仅允许安全屋用户访问。
   
   
   
   
6. 在策略所在行的"操作"列，单击"查看策略"，可查看策略详情。
 
#### 自定义安全策略
在此配置桶策略与VPCEP策略，进一步收敛安全屋资源的访问范围。所有策略均通过可视化表单配置，应用前需预览确认。
#### 桶策略（OBS）
1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。
2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。
3. 在左侧导航栏中，选择"策略管理"。
4. 在页面顶部，选择数据安全屋。
5. 在"自定义安全策略"栏中，选择"桶策略（OBS）"页签。 
   为您统计了**开放公网访问桶数量** 、**已配置IP白名单桶数量** 、**已配置VPC白名单桶数量**。
   
   
6. 查看自定义桶策略列表。 
   表1桶策略列表参数说明 
   | 参数名称    | 参数说明           |
   |:---|:---|
   | 策略名称    | 自定义安全策略的名称。    |
   | 目标OBS桶 | 策略关联的目标OBS桶名。  |
   | 防护能力   | 策略启用的防护能力项。     |
   | 创建时间    | 策略创建的时间戳。      |
   | 更新时间  | 策略最近一次更新的时间戳。  |
   | 状态    | 策略当前生效状态，如"已生效"。 |
      
   
   
7. 在目标桶策略所在行的"操作"列，单击"编辑"，可修改策略。 
   - "策略名称"和"目标OBS桶"不支持修改。
   
   - "防护能力配置"：可根据需要开启或关闭以下选项。
     - 一键关闭公网访问：拒绝所有来自公网IP的访问请求，桶仅能通过VPN、专线或云上VPC内访问。
     
     - 限制访问IP：仅允许指定IP或IP段访问桶资源，仅支持公网IP段。
     
     - 限制从指定VPC访问：仅允许从安全屋内的指定VPC访问桶资源，通过VPC ID进行校验。
      
   
   
   图1编辑桶策略   
   ![](https://support.huaweicloud.com/highsecurity-dsc/zh-cn_image_0000002733503624.png "点击放大")
   
   
8. 单击"下一步"，查看"策略预览"和"影响提示"信息，确认无误后，单击"确定"。
 
#### 新建VPCEP终端节点策略
VPCEP策略用于控制终端节点可访问的OBS桶及允许的操作，确保通过VPCEP访问的流量仅能访问安全屋授权的桶资源。
1. [登录DSC服务控制台](https://console.huaweicloud.com/dsc/)。
2. 在左侧导航栏中，选择"数据安全屋"，进入"数据安全屋"控制台。
3. 在左侧导航栏中，选择"策略管理"。
4. 在页面顶部，选择数据安全屋。
5. 在"自定义安全策略"栏中，选择"VPCEP终端节点策略"页签。
6. 单击"新建VPCEP策略"，在弹框中配置如下参数。 
   - "策略名称"：自定义VPCEP策略的名称，用于标识该策略，支持手动输入。
   
   - "VPCEP终端节点"：选择策略管控的VPCEP终端节点，从下拉列表中选择。
   
   - "允许访问的OBS桶"：选择该VPCEP策略允许访问的OBS桶，从下拉列表中选择。
   
   - "允许的操作"：选择该策略允许对OBS桶执行的操作类型（读取、写入、删除），从下拉列表中选择。
   
   
   
   
7. 单击"下一步"，查看"策略预览"和"影响提示"信息，确认无误后，单击"确定"。 
   - 在目标策略所在行的"操作"列，单击"编辑"，支持修改VPCEP终端节点策略。
   
   - 在目标策略所在行的"操作"列，单击"删除"，支持删除VPCEP终端节点策略。
   
   
   
   
 
#### 相关文档
- 策略为安全屋提供隔离能力，收敛安全屋资源的访问范围，更多关于数据安全屋的介绍，请参考[数据安全屋管理](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5102.html)。
- [安全屋总览](https://support.huaweicloud.com/highsecurity-dsc/dsc_01_5113.html)集中展示创建安全屋数、用户数、纳管资源数、未修复风险，同时提供安全屋列表，支持进入资源拓扑视图查看资产与数据流关系。