# 运维边界
由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。
#### 安全策略
如[图2 生产环境子网、网络ACL分布图](https://support.huaweicloud.com/swp-sap/sap_03_0002.html#sap_03_0002__fig10955111315218)所示，网络ACL"NACL-PRD-MGMT"关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。
![](https://support.huaweicloud.com/swp-sap/public_sys-resources/note_3.0-zh-cn.png)
本节中提到的IP地址及端口号仅为示例，如有其它管理端口，可根据实际情况增加策略。
表1网络ACL"NACL-PRD-MGMT"入方向 
| 规则 # | 源 IP        | 协议  | 目的端口 | 允许/拒绝 | 说明                              |
|:---|:---|:---|:---|:---|:---|
| 对管理员 | 客户数据中心某子网-a | TCP | 22   | 允许    | 允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。 |
| 对管理员 | 客户数据中心某子网-a | TCP | 3389 | 允许    | 允许客户数据中心某子网-a中的管理员访问生产环境管理区的VM。 |
| \*   | 0.0.0.0/0   | ANY | ANY  | 拒绝    | 拒绝所有未经前置规则处理的数据流。               |
   
表2网络ACL"NACL-PRD-MGMT"出方向 
| 规则 # | 目的 IP     | 协议  | 目的端口 | 允许/拒绝 | 说明                  |
|:---|:---|:---|:---|:---|:---|
| 1    | 0.0.0.0/0 | ANY | ANY  | 允许    | 对于由管理区发起的出方向流量不做限制。 |
| \*   | 0.0.0.0/0 | ANY | ANY  | 拒绝    | 拒绝所有未经前置规则处理的数据流。   |
   
#### 安全服务
参考企业安全实践，通过堡垒机实现运维/运营人员不接触系统账户密码(各系统部件账号托管在堡垒机系统)，对运维人员通过堡垒机进行的操作范围进行权限控制，限制高危操作权限，并对运维人员操作全流程审计记录，做到事件可监控、可追踪、可回溯。堡垒机以云服务器模式部署于管理区子网中。