DDoS防护 AAD
DDoS防护 AAD
- 最新动态
- 功能总览
- 产品介绍
- 计费说明
- 快速入门
- 用户指南
- 最佳实践
- API参考
- SDK参考
-
常见问题
- 公共问题
-
DDoS原生基础防护常见问题
- 产品咨询类
-
基本功能类
- 当遭受超过500Mbps的攻击时如何处理?
- Anti-DDoS流量清洗服务能帮助缓解哪些类型的攻击?
- 当业务经常被DDoS攻击时如何处理?
- ELB防护和ECS防护有什么区别?
- 为什么同一个公网IP地址的清洗次数和攻击次数不一致?
- Anti-DDoS攻击防护是不是默认开启的?
- Anti-DDoS防护是一个区域,还是用户的单个IP?
- 用户注销账号是否需要清理Anti-DDoS流量清洗服务的资源?
- 如何查看Anti-DDoS流量清洗次数?
- 如何查看Anti-DDoS防护统计信息?
- Anti-DDoS如何查看公网IP监控详情?
- 如何查看Anti-DDoS拦截报告?
- 是否能彻底关闭流量清洗功能?
- 如何判断入网流量是否经过了Anti-DDoS流量清洗服务?
- 阈值及黑洞类
- 告警通知类
- 业务故障类
- DDoS原生高级防护常见问题
-
DDoS高防常见问题
- 功能规格
-
接入配置
- 部署在华为云外的业务系统能否接入DDoS高防?
- 接入防护域名后,如何测试防护域名是否配置正确?
- 如何解决上传HTTPS/WebSockets证书时出现“错误的请求”提示的问题?
- 如何将非PEM格式的证书转换为PEM格式?
- DDoS高防和WAF同时使用,怎么配置?
- 如何将业务系统接入高防服务?
- 如何实现CNAME接入?
- DDoS高防在配置多个源站时如何分发流量?
- 用户在完成高防防护配置后,如何检查是否完成源站白名单添加了高防回源IP的配置?
- 如何修改已暴露的源站IP?
- 如何查看高防回源IP段?
- 接入防护域名后,可以进行企业项目资源迁移吗?
- 能否在华为云服务器自行搭建DDoS防御?
- 高防配置黑白名单,如何设置保护客户的服务器?
- DDoS防护策略中配置黑白名单后,还需要在WAF防护策略里配置吗?
- 一个域名如何同时接入IPv4和IPv6?
- 域名接入失败,提示“域名已存在”等信息
- 故障反馈
-
产品咨询
- 什么是被防护的IP地址?
- DDoS高防支持权重回源吗?
- DDoS高防可以跨区域使用吗?
- 什么是CNAME?
- 什么是BGP?
- 什么是DDoS高防的源站端口?
- 什么是DDoS高防源站IP?
- 什么是需要防护的网站IP地址?
- 什么是业务带宽?
- 什么是转发协议?
- 接入DDoS高防时业务会中断吗?
- 同一个域名可以绑定多个高防吗?
- 客户端访问的IP为什么是华为的高防IP?
- 为什么接入DDoS高防后IP地址流量增长?
- IP流量增长是否会暴露源站IP?
- DDoS高防如何防护业务?
- DDoS高防是否支持SSL双向认证?
- 证书上传到DDoS高防后,可以编辑和删除吗?
- 超过DDoS高防业务带宽会有什么影响?
- DDoS高防是软件高防还是硬件高防?
- DDoS高防支持防护IPv6吗?
- 为什么DDoS高防和ELB的流量不一致?
- 计费问题
- 更多文档
- 通用参考
链接复制成功!
DDoS原生高级防护
如果您需要对华为云上购买的CNAD资源,为企业中的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全的控制华为云资源的访问。
通过IAM,您可以在账号中给员工创建IAM用户,并授权控制员工对云上资源的访问范围。例如您的员工中有负责软件开发的人员,您希望这些员工拥有CNAD的使用权限,但是不希望这些员工拥有删除CNAD资源等高危操作的权限,那么您可以使用IAM为开发人员创建用户,通过授予仅能使用CNAD,但是不允许删除CNAD资源的权限,控制员工对CNAD资源的使用范围。
如果账号已经能满足您的要求,不需要创建独立的IAM用户进行权限管理,您可以跳过本章节,不影响您使用CNAD的其它功能。
CNAD权限
默认情况下,管理员创建的IAM用户没有任何权限,需要将其加入用户组,并给用户组授予策略或角色,才能使得用户组中的用户获得对应的权限,这一过程称为授权。授权后,用户就可以基于被授予的权限对云服务进行操作。
CNAD部署时不区分物理区域,为全局级服务。授权时,在全局级服务中设置权限,访问CNAD时,不需要切换区域。
根据授权精细程度分为角色和策略。
- 角色:IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度,提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系,因此给用户授予角色时,可能需要一并授予依赖的其他角色,才能正确完成业务。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。
- 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。例如:针对CNAD服务,管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。
如表1所示,包括了CNAD的所有系统角色。
CNAD FullAccess策略内容
{ "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "cnad:*:*" ] } ] }
CNAD ReadOnlyAccess策略内容
{ "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "cnad:*:get*", "cnad:*:list*" ] } ] }
父主题: 权限管理