适用于Landing Zone基础场景的最佳实践

组织单元和账号设计

account-part-of-organizations

账号加入组织

在Organizations中集中管理华为云账号有助于确保账号合规。缺乏集中的组织单元和账号设计，这可能会暴露资源和敏感数据。

将账号正确加入组织中，并为其添加合适的SCP等限制。

组织单元和账号设计

iam-user-group-membership-check

IAM用户归属用户组

管理员创建用户组并授权后，将用户加入用户组中，使用户具备用户组的权限，实现用户的授权。给已授权的用户组中添加或者移除用户，快速实现用户的权限变更。

可以选择一个用户组，以管理员的身份，将不合规的IAM用户添加到用户组中。

组织单元和账号设计

iam-group-has-users-check

IAM用户组添加了IAM用户

管理员创建用户组并授权后，将用户加入用户组中，使用户具备用户组的权限，实现用户的授权。给已授权的用户组中添加或者移除用户，快速实现用户的权限变更。确保IAM组至少有一个用户，帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。

管理员在用户组列表中，单击新建的用户组，选择“用户组管理”，在“可选用户”中选择需要添加至用户组中的用户。

统一身份权限

root-account-mfa-enabled

根账号开启MFA认证

确保为root用户启用多因素认证（MFA），管理对华为云中资源的访问。多因素认证Multi-Factor Authentication（MFA）是一种非常简单的安全实践方法，它能够在用户名称和密码之外再额外增加一层保护。启用多因素认证后，用户进行操作时，除了需要提供用户名和密码外（第一次身份验证），还需要提供验证码（第二次身份验证），多因素身份认证结合起来将为您的账号和资源提供更高的安全保护。

您需要在智能设备上安装一个虚拟MFA应用程序后（例如：华为云App、Google Authenticator或Microsoft Authenticator），才能绑定虚拟MFA设备。

统一身份权限

mfa-enabled-for-iam-console-access

Console侧密码登录的IAM用户开启MFA认证

确保为所有能通过控制台登陆的IAM用户启用多因素认证（MFA），管理对华为云中资源的访问。MFA在用户名和密码的基础上增加了一层额外的保护。通过要求对用户进行MFA，您可以减少账号被盗用的事件，并防止敏感数据被未经授权的用户访问。

您需要在智能设备上安装一个虚拟MFA应用程序后（例如：华为云App、Google Authenticator或Microsoft Authenticator），才能绑定虚拟MFA设备。

统一身份权限

iam-root-access-key-check

IAM账号存在可使用的访问密钥

确保根访问密钥已删除。

用户可以根据规则评估结果删除账号可使用的访问密钥。

统一身份权限

iam-user-single-access-key

IAM用户单访问密钥

账号和IAM用户的访问密钥是单独的身份凭证，即账号和IAM用户仅能使用自己的访问密钥进行API调用。

用户可以根据规则评估结果删除或停用多余的访问密钥。

统一身份权限

iam-password-policy

IAM用户密码策略符合要求

确保IAM用户密码强度满足密码强度要求。

用户可以根据提示修改密码达到需要的密码强度。

统一身份权限

access-keys-rotated

IAM用户的AccessKey在指定时间内轮换

企业用户通常都会使用访问密钥（AK/SK）的方式对云上资源的进行API访问，但是访问密钥需要做到定期的自动轮换，以降低密钥泄露等潜在的安全风险。

用户可以通过使用API调用的方式轮换访问密钥。

统一身份权限

iam-user-last-login-check

IAM用户在指定时间内有登录行为

管理员创建IAM用户后，这个新建的IAM用户可以登录华为云。避免IAM用户资源闲置。

您可以在华为云登录页面或者打开IAM用户专属链接，输入用户名和密码的方式登录IAM用户。

统一身份权限

iam-policy-no-statements-with-admin-access

IAM策略不具备Admin权限

确保IAM用户操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。

管理员可以在IAM页面修改不合规的IAM用户的权限。

统一网络架构

eip-unbound-check

弹性公网IP未进行任何绑定

弹性公网IP（EIP）提供独立的公网IP资源，包括公网IP地址与公网出口带宽服务。可以与弹性云服务器、裸金属服务器、虚拟IP、弹性负载均衡、NAT网关等资源灵活地绑定及解绑。此规则确保弹性公网IP未闲置。

用户可以通过申请弹性公网IP并将弹性公网IP绑定到特定的资源上。

统一网络架构

elb-tls-https-listeners-only

ELB监听器配置HTTPS监听协议

确保弹性负载均衡的监听器均已配置HTTPS监听协议。HTTPS协议适用于需要加密传输的应用。由于可能存在敏感数据，因此启用传输中加密有助于保护该数据。

您可以添加一个HTTPS监听转发来自HTTPS协议的请求。独享型负载均衡前端协议为“HTTPS”时，后端协议可以选择“HTTP”或“HTTPS”。共享型负载均衡前端协议为“HTTPS”时，后端协议默认为“HTTP”，且不支持修改。如果您的独享型负载均衡实例类型为网络型（TCP/UDP），则无法创建HTTPS监听器。

统一网络架构

vpc-acl-unused-check

未与子网关联的网络ACL

网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的网络流量。此规则可确保现存网络ACL均与子网关联，实现对子网的防护。

您可以将网络ACL关联至VPC子网，为子网内的资源提供安全防护。

统一网络架构

vpc-sg-restricted-ssh

安全组入站流量限制SSH端口

当外部任意IP可以访问安全组内云服务器的SSH(22)端口时认为不合规，确保对服务器的远程访问安全性。

用户可以在不合规的安全组详情页面，修改出方向和入方向规则。

统一网络架构

vpc-default-sg-closed

默认安全组关闭出、入方向流量

确保虚拟私有云安全组能有效帮助管理网络访问，限制默认安全组上的所有流量有助于限制对华为云资源的远程访问。

用户可以在不合规的安全组详情页面，修改出方向和入方向规则。

统一网络架构

vpc-sg-ports-check

安全组端口检查

确保虚拟私有云安全组上的端口受到限制，管理对华为云中资源的访问。

用户可以修改不合规的安全组的规则。

统一网络架构

vpn-connections-active

VPN连接状态为“正常”

确保VPN连接状态正常。

VPN连接状态显示为“未连接”的可能原因有：VPN连接两端的连接配置不正确、华为云安全组和客户设备侧ACL配置不正确。可以检查VPN连接两端的连接配置和检查华为云安全组和客户设备侧ACL配置。

统一运维监控

alarm-obs-bucket-policy-change

CES配置监控OBS桶策略变更的事件监控告警

事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源的操作事件收集到云监控服务，并在事件发生时进行告警。事件即云监控服务保存并监控的云服务资源的关键操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作。CES事件监控可以支持对象存储服务(OBS)的相关事件，包含设置桶的策略和删除桶policy配置等。

用户可以在事件监控中创建告警规则，选择对应的监控对象，配置告警内容参数。

统一运维监控

alarm-vpc-change

CES配置监控VPC变更的事件监控告警

事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源的操作事件收集到云监控服务，并在事件发生时进行告警。事件即云监控服务保存并监控的云服务资源的关键操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作。CES事件监控可以支持弹性公网IP和带宽的相关事件，包含删除VPC和修改VPC等。

用户可以在事件监控中创建告警规则，选择对应的监控对象，配置告警内容参数。

统一运维监控

alarm-kms-disable-or-delete-key

CES配置监控KMS禁用或计划删除的事件监控告警

事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源的操作事件收集到云监控服务，并在事件发生时进行告警。事件即云监控服务保存并监控的云服务资源的关键操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作。CES事件监控可以支持密钥管理服务(KMS)的相关事件，包含禁用密钥和计划删除密钥等。

用户可以在事件监控中创建告警规则，选择对应的监控对象，配置告警内容参数。

统一合规审计

cts-lts-enable

CTS追踪器启用事件分析

确保使用云日志服务（LTS）集中收集云审计服务（CTS）的数据。

开通云审计日志后，系统会自动创建一个名为system的管理事件追踪器，并将当前租户的所有操作记录在该追踪器中。在追踪器中配置CTS转储到LTS，配置完成后会在LTS自动创建日志组日志流

统一合规审计

cts-support-validate-check

CTS追踪器打开事件文件校验

在安全和事故调查中，通常由于事件文件被删除或者被私下篡改，而导致操作记录的真实性受到影响，无法对调查提供有效真实的依据。事件文件完整性校验功能旨在帮助您确保事件文件的真实性。

在配置转储页面打开“文件校验”开关，即可开启事件文件完整性校验功能。

统一合规审计

cts-kms-encrypted-check

CTS追踪器通过KMS进行加密

确保云审计服务（CTS）的追踪器已配置KMS加密存储用于归档的审计事件。

建议您配置独立OBS桶并配置KMS加密存储专门用于归档审计事件。

统一合规审计

multi-region-cts-tracker-exists

在指定区域创建并启用CTS追踪器

云审计服务CTS提供对各种云资源操作记录的收集、存储和查询功能。首次开通云审计服务时，系统会自动为您创建一个名为system的管理追踪器。公有云的数据中心分布在全球不同区域，通过在指定区域开通云审计服务，可以将应用程序的设计更贴近特定客户的需求，或满足特定地区的法律或其他要求。数据追踪器会记录当前区域租户对OBS桶中的数据操作的详细信息。

您可以进入指定区域云审计服务页面，导航栏选择“追踪器”，单击“创建追踪器”，根据提示操作。

统一安全管控

cce-endpoint-public-access

CCE集群资源不具有公网IP

确保CCE集群资源不可以被公网访问。

用户可以解除集群与EIP的绑定。

统一安全管控

ecs-instance-no-public-ip

ECS资源不能公网访问

由于华为云ECS实例可能包含敏感信息，确保华为云ECS实例无法公开访问来管理对华为云的访问。

您可以登录弹性云服务器页面，在弹性云服务器列表中，在待调整带宽的弹性云服务器操作列下，单击“操作”列下的“更多 > 网络设置 > 解绑弹性公网IP”，将不合规的ecs资源解除弹性公网绑定。

统一安全管控

rds-instance-no-public-ip

RDS实例不具有公网IP

确保云数据库（RDS）无法公网访问，管理对华为云中资源的访问。华为云RDS数据库实例可能包含敏感信息，此类账号需要原则和访问控制。

对于不合规的RDS资源，用户可以解除其与弹性公网IP的绑定。

统一安全管控

pca-certificate-authority-expiration-check

检查私有CA是否过期

华为云云证书管理服务提供有PCA服务，可以帮助您通过简单的可视化操作，以低投入的方式创建企业内部CA并使用它签发证书。确保用户明确该私有CA的过期时间。此规则需要daysToExpiration（默认值14）。实际值应反映组织的策略。

用户可以进入私有CA管理界面，根据需要设置CA的有效期。

统一安全管控

pca-certificate-expiration-check

检查私有证书是否过期

PCA是一个私有CA和私有证书管理平台。它让用户可以通过简单的可视化操作，建立用户自己完整的CA层次体系并使用它签发证书。确保用户明确该私有证书的过期时间。此规则需要daysToExpiration（默认值14）。实际值应反映组织的策略。

通过云证书管理控制台创建并激活私有CA后，您就可以通过私有CA申请私有证书，在选择签发CA的过程中，您可以自定义私有证书有效期，该有效期不得超过当前已激活私有CA的有效期。

统一安全管控

volumes-encrypted-check

已挂载的云硬盘开启加密

由于敏感数据可能存在，为了帮助保护静态数据，确保已挂载的云硬盘已进行加密。

当您需要使用云硬盘加密功能时，需要授权EVS访问KMS。如果您拥有“Security Administrator”权限，则可直接授权。如果权限不足，需先联系拥有“Security Administrator”权限的用户授权EVS访问KMS，然后再重新操作。

统一安全管控

rds-instances-enable-kms

RDS实例开启存储加密

云数据库 RDS for MySQL实例已开通密钥管理服务（Key Management Service，KMS），加密使用的用户主密钥由KMS产生和管理，RDS不提供加密所需的密钥和证书。由于敏感数据可以静态存在于华为云RDS实例中，因此启用静态加密有助于保护该数据。

如需开通透明数据加密，您可以在管理控制台右上角，选择“工单 > 新建工单”，提交开通透明数据加密的申请。

可靠架构

rds-instance-enable-backup

RDS实例开启备份

RDS会在数据库实例的备份时段中创建数据库实例的自动备份，自动备份为全量备份。系统根据您指定的备份保留期保存数据库实例的自动备份。如果需要，您可以将数据恢复到备份保留期中的任意时间点。开启自动备份策略后，会自动触发一次全量备份，备份方式为物理备份。之后会按照策略中的备份时间段和备份周期进行全量备份。自动备份策略开启后，实例每五分钟会自动进行一次增量备份，以保证数据库可靠性。确保云数据库（rds）资源开启备份。

用户可根据需要修改备份策略。

可靠架构

rds-instance-multi-az-support

RDS实例支持多可用区

云数据库RDS支持在同一个可用区内或者跨可用区部署主备实例：主可用区和备可用区一致时，主机和备机会部署在同一个可用区；主可用区和备可用区不一致时，主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。

购买数据库实例时，选择主备实例，并设置主可用区和备可用区不同，实现跨可用区高可用。对于RDS for MySQL和RDS for PostgreSQL主备实例，购买成功后，可以将主备实例的备机迁移至同一区域内的其它可用区。

可靠架构

volume-unused-check

云硬盘闲置检测

云硬盘可以挂载至云服务器，用作提供系统盘和数据盘。此规则可以确保云硬盘（EVS）未闲置。

对非合规的EVS资源，用户可以在云硬盘页面或在弹性云服务器页面，将其挂载到云服务器上。