责任共担

客户责任：保障ECS内部的安全

客户负责保障ECS内部的安全性，包括：

• 客户内容，对数据进行加密、备份、传输加密，如开启OBS加密、私有镜像加密、云硬盘加密等。
  • 客户端加密：数据传输前，客户在本地加密数据，确保数据在传输过程中的安全性。客户需要对加密密钥的安全性（机密性、完整性、可用性）负责。
  • 服务端加密：数据存储、处理等过程中，客户加密数据，确保数据存储、处理的安全性。客户需要对加密密钥的安全性（机密性、完整性、可用性）负责。
  • 数据备份：及时对数据进行备份，防止数据丢失，以确保可以在关键时刻可以恢复业务。
  • 网络流量保护：使用安全的传输通道传输数据、启用身份认证、对数据进行完整性检查。
• 网络控制，对VPC、安全组、ACL等进行安全配置，如遵守最小化原则配置安全组规则等。
  • VPC：根据业务需要选择合适的VPC来划分网络，并进行安全配置，如指定VPC的IP地址范围，在VPC内划分子网来进一步细化IP地址范围、配置VPC内的路由表来控制网络流量走向等。
  • 安全组：根据业务需要选择合适的安全组来对实例进行防护，如在安全组中遵守最小化原则设置入方向和出方向规则，将实例加入安全组内后，该实例会受到安全组的保护。

    高危端口在网络安全方面存在较高的风险，容易被恶意利用，因此不建议对公网开放高危端口，同时建议您使用堡垒机等安全服务进行业务的远程管理。

  • ACL：根据业务需要选择合适的ACL来对整个子网进行防护，如在ACL中遵守最小化原则设置入方向和出方向规则，将子网关联至网络ACL，则子网内的所有实例都会受到网络ACL保护。
  表1为您提供了不同VPC访问控制策略的区别，您可以根据业务需求按需选择。

  表1 不同VPC访问控制策略的区别

  对比项	安全组	ACL
  防护范围	实例级别：防护安全组内的实例，比如弹性云服务器。	子网级别：防护整个子网，子网内所有实例都会受到网络ACL的保护。

• 操作系统，确保ECS实例内运行的操作系统（OS）的安全。
  • 及时安装操作系统的更新和安全补丁。
  • 对操作系统进行安全配置，如使用密钥对登录ECS实例以避免弱密码可能造成的安全风险。如果必须使用密码，则设置高强度密码、使用主机安全服务（Host Security Service，HSS）提升ECS整体安全性。
• 内容合规，对发布到华为云ECS上的内容合规负责。

  华为云《可接受的使用政策》、《弹性云服务器服务声明》的“使用限制”章节中进行了详细的条款说明。

华为云责任：保障ECS自身的安全

华为云负责保障ECS自身的安全性，包括：

• 基础设施，物理服务器、网络设备、存储设备等的安全性。
  • 基础设施包括物理服务器、网络设备、存储设备等，基础设施的安全性主要由云数据中心提供。
  • 华为云已制定并实施完善的物理和环境安全防护策略、规程和措施，满足GB50174《电子信息机房设计规范》A类和TIA942《数据中心机房通信基础设施标准》中的T3+标准。数据中心不但有妥善的选址，在设计施工和运营时，合理划分了机房物理 区域，合理布置了信息系统的组件，以防范物理和环境潜在危险（如火灾、电磁泄露 等）和非授权访问，而且提供了足够的物理空间、电源容量、网络容量、制冷容量， 以满足基础设施快速扩容的需求。同时，华为云运维运营团队严格执行访问控制、安保措施、例行监控审计、应急响应等措施，以确保华为云数据中心的物理和环境安全。
• 基础服务，ECS运行的底层基础服务，计算、存储、网络等管理控制服务的安全性。
  • 通过计算虚拟化、存储虚拟化、网络虚拟化等技术对外提供弹性云服务器。
  • 通过CPU隔离、内存隔离和I/O隔离等技术手段实现虚拟主机操作系统与访客虚拟机操作系统之间的隔离。
  • 通过Hypervisor让虚拟主机操作系统与访客虚拟机操作系统使用不同的权限运行，来保证平台系统资源的安全。
• ECS合规，ECS自身的合规性。

  华为云ECS负责自身的合规性，并提供合规审计报告下载，合规审计报告详见《合规中心》。

  《华为云安全白皮书》详细介绍了华为云安全性的构建思路与措施。

相关参考

华为云提供了一系列安全配置、最佳实践等建议，帮助客户提高ECS安全性，如表2所示。