# 运维边界
由于管理区无公网访问需求，参考企业安全实践，仅需设置与IDC间的访问控制策略。
#### 安全策略
图1开发测试环境子网   
![](https://support.huaweicloud.com/swp-sap/zh-cn_image_0100206720.png)
如[图1 开发测试环境子网]所示，网络ACL"NACL-DEV-MGMT"关联生产环境管理区子网，对于由IDC发起的对生产环境的入方向策略(管理员)，可限制能够访问管理区主机的22/3389等管理端口。
![](https://support.huaweicloud.com/swp-sap/public_sys-resources/note_3.0-zh-cn.png)
本节中提到的IP地址及端口号仅为示例。管理员也可设置具备End Uesr角色相应的策略，使管理员可访问开发测试环境业务端口。
表1网络ACL"NACL-DEV-MGMT"入方向 
| 规则 # | 源 IP        | 协议  | 目的端口 | 允许/拒绝 | 说明                                |
|:---|:---|:---|:---|:---|:---|
| 对管理员 | 客户数据中心某子网-a | TCP | 22   | 允许    | 允许客户数据中心某子网-a中的管理员访问开发测试环境管理区的VM。 |
| 对管理员 | 客户数据中心某子网-a | TCP | 3389 | 允许    | 允许客户数据中心某子网-a中的管理员访问开发测试环境管理区的VM。 |
| \*   | 0.0.0.0/0   | ANY | ANY  | 拒绝    | 拒绝所有未经前置规则处理的数据流。                 |
   
表2网络ACL"NACL-DEV-MGMT"出方向 
| 规则 # | 目的 IP     | 协议  | 目的端口 | 允许/拒绝 | 说明                  |
|:---|:---|:---|:---|:---|:---|
| 1    | 0.0.0.0/0 | ANY | ANY  | 允许    | 对于由管理区发起的出方向流量不做限制。 |
| \*   | 0.0.0.0/0 | ANY | ANY  | 拒绝    | 拒绝所有未经前置规则处理的数据流。   |
   
安全组策略请见[2.1节](https://support.huaweicloud.com/swp-sap/sap_03_0010.html)中相关内容。
#### 安全服务
参考企业安全实践，通过堡垒机实现运维/运营人员不接触系统账户密码(各系统部件账号托管在堡垒机系统)，对运维人员通过堡垒机进行的操作范围进行权限控制，限制高危操作权限，并对运维人员操作全流程审计记录，做到事件可监控、可追踪、可回溯。堡垒机以云服务器模式部署于管理区子网中。