更新时间：2022-02-10 GMT+08:00
运维边界
由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。
安全策略
如图2 生产环境子网、网络ACL分布图所示，网络ACL“NACL-PRD-MGMT”关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。
本节中提到的IP地址及端口号仅为示例，如有其它管理端口，可根据实际情况增加策略。
|
规则 # |
源 IP |
协议 |
目的端口 |
允许/拒绝 |
说明 |
|---|---|---|---|---|---|
|
对管理员 |
客户数据中心某子网-a |
TCP |
22 |
允许 |
允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。 |
|
对管理员 |
客户数据中心某子网-a |
TCP |
3389 |
允许 |
允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。 |
|
* |
0.0.0.0/0 |
ANY |
ANY |
拒绝 |
拒绝所有未经前置规则处理的数据流。 |
|
规则 # |
目的 IP |
协议 |
目的端口 |
允许/拒绝 |
说明 |
|---|---|---|---|---|---|
|
1 |
0.0.0.0/0 |
ANY |
ANY |
允许 |
对于由管理区发起的出方向流量不做限制。 |
|
* |
0.0.0.0/0 |
ANY |
ANY |
拒绝 |
拒绝所有未经前置规则处理的数据流。 |
安全服务
参考企业安全实践，通过堡垒机实现运维/运营人员不接触系统账户密码(各系统部件账号托管在堡垒机系统)，对运维人员通过堡垒机进行的操作范围进行权限控制，限制高危操作权限，并对运维人员操作全流程审计记录，做到事件可监控、可追踪、可回溯。堡垒机以云服务器模式部署于管理区子网中。
父主题： 网络边界安全
