访问控制与系统管理

本页说明如何限制业务访问、分配平台权限以及维护常用系统设置。界面菜单和按钮会按账号权限隐藏或禁用；看到设置页面不代表能够修改配置或恢复备份。

访问控制

访问控制用于限制 经过 HiHTTPS 的业务网站请求，不是管理后台的登录账号，也不能代替服务器防火墙。规则创建后，必须绑定到访问服务才会作用于该服务。

同一条访问控制可以被多个服务使用。修改前先确认使用范围，避免影响其他网站。

创建规则

1. 进入 访问控制 -> 添加访问控制。
2. 在 详情 中填写便于识别的 名称，例如“办公网与运维账号”。
3. 在 用户管理 中按需添加 Basic Auth 用户名和密码。这些账号用于访问业务网站，与 HiHTTPS 平台用户相互独立。
4. 在 IP黑白名单 中按需添加 允许 或 拒绝 规则，填写客户端 IP 或 CIDR 网段，例如 192.168.8.0/24。
5. 同时使用账号和 IP 规则时，在 详情 -> 认证方式 中选择组合方式。
6. 点击 保存。至少配置一项用户或 IP 规则，用户名不能重复。

IP 规则按界面顺序匹配，先命中的规则决定该 IP 是否被允许。配置了 IP 规则后，末尾 all 规则用于处理未匹配的来源，默认拒绝所有，可切换为允许。

选择认证方式

以下对比假设已配置“允许办公网 192.168.8.0/24、末尾拒绝 all”，并添加了一个 Basic Auth 用户：

访问情况	用户及IP	用户或IP
办公网 IP，未提供正确账号密码	拒绝	允许
办公网 IP，账号密码正确	允许	允许
办公网以外 IP，账号密码正确	拒绝	允许
办公网以外 IP，账号密码错误或未提供	拒绝	拒绝

• 用户及IP：已配置的账号认证和 IP 检查都必须通过，适合要求“来自指定网络且知道密码”的场景。
• 用户或IP：任一检查通过即可，适合“指定网络免密码，其他网络凭密码”的场景。它不是更严格的模式。

只需要密码认证时，可不填写 IP 规则；只需要限制来源时，可不添加 Basic Auth 用户。单项检查建议使用 用户及IP，不要用“用户或IP”把未配置的另一项当作额外保护。

使用 HTTPS，并谨慎透传账号

Basic Auth 不提供独立的传输加密，应绑定到 HTTPS 访问服务。

账户密码透传后端 用于把认证信息继续交给后端应用。只有后端确实需要这些信息时才开启；默认不要把用于入口认证的账号密码传给不需要它的应用。

绑定到访问服务并验证

1. 进入 访问服务，编辑目标服务。
2. 在 详细内容 中展开 高级设置，找到 访问控制，选择刚创建的规则。
3. 保存服务，确认没有配置测试或加载错误。
4. 从允许和不允许的来源网络分别访问业务地址；使用 Basic Auth 时，再分别测试正确密码、错误密码和未提供密码的请求。

例如，从预期允许的客户端执行以下命令。只提供用户名，按终端提示输入密码，避免把密码写进命令历史：

curl -i --user operator https://app.example.com/

完成检查：实际结果与所选认证方式相符。Basic Auth 失败通常表现为 401，IP 拒绝可能表现为 403；还需区分后端应用自己返回的拒绝响应。

有 CDN、负载均衡或上游代理时，先确认 HiHTTPS 实际识别到的客户端 IP。不要在未经验证的情况下把上游代理地址当作所有用户的可信来源，也不要只测允许访问、不测拒绝访问。

用户与权限

创建平台用户

管理员进入 用户 -> 添加用户：

1. 填写姓名、昵称和未被使用的邮箱。邮箱用于登录，同一邮箱不能重复创建。
2. 设置初始密码并确认，满足页面提示的密码要求。
3. 选择角色，保存后通过受控渠道向使用者交付登录信息，不在工单或公开聊天中发送密码。
4. 由新用户登录，确认能看到工作所需的菜单，并且没有超出职责的操作权限。

角色	默认能力	适用人员
管理员	管理全部模块，包括用户、系统设置和备份恢复	负责平台维护的人员
操作员	管理访问服务、端口转发、证书和访问控制，查看业务日志；默认不管理用户和设置、不查看操作日志	日常发布与证书维护人员
审计员	查看相关模块及操作日志，不修改业务配置	检查配置与操作记录的人员

实际能力还受模块权限和数据可见范围影响。管理员调整其他用户的角色后，应重新核对该用户的权限；当前登录用户不能修改自己的角色。

不再需要账号时

管理员可按需要禁用或删除账号。操作前先确认该账号负责的资源和集成，不要直接删除仍在使用的运维账号。账号失效后，其登录访问以及关联的 API Key 调用也可能被拒绝。

审计日志

两类日志的用途不同：

日志	适合排查的问题	使用说明
操作日志	谁修改了服务、证书、用户或系统设置	管理员和有相应权限的审计员可查看；当前页面不提供导出按钮
业务日志	某个请求是否到达、返回何种状态、代理是否报错	按页面提供的条件筛选访问/错误日志，可在权限允许时导出 JSON 或 CSV

1. 记录问题发生时间、业务域名和现象。
2. 在 审计日志 下选择对应日志类型，使用页面提供的筛选条件缩小范围。
3. 核对请求、操作者或变更对象；界面信息不足时，由运维人员检查应用日志。
4. 向支持人员提供日志前，检查并移除敏感请求参数、认证信息及其他不应外发的内容。

没有查到记录不等于操作或请求从未发生，也可能与筛选条件、权限、日志采集或保留范围有关。

配置 CertCloud 账号

这是 HiHTTPS 访问 CertCloud 的系统级凭据，不是下文由 HiHTTPS 创建的 API Key。

首次接入时，先登录计划关联的 CertCloud 账号，进入自动化 → OpenAPI创建或取得 API 凭据。没有账号或没有创建权限时，请联系贵司 CertCloud 账号管理员或 TrustAsia 支持人员准备账号与凭据。Auth ID 和 Auth Key 必须成对、来自同一账号，不要使用 HiHTTPS 管理员的登录密码代替。

如果 CertCloud 账号设置了 IP 白名单，还需允许 HiHTTPS 服务器访问 CertCloud 时实际使用的出口 IP。凭据只应通过受控渠道交付，不放进截图、日志或公开聊天。

1. 管理员进入 设置 -> CertCloud 账号设置 -> CertCloud OpenAPI 凭证。
2. 填写同一 CertCloud 账号的 CertCloud OpenAPI Auth ID 和 CertCloud OpenAPI Auth Key。
3. 点击 保存。已保存的 Key 不会再次显示；后续编辑时留空表示保持原值，不是清空 Key。
4. 打开 套餐包信息，核对当前账号的套餐情况；没有套餐不一定表示保存失败，应结合账号计费方式判断。
5. 需要同步已有证书时，切换到 订单同步，按订单同步操作，并检查实际结果。

默认交付连接 https://api.certcloud.cn。使用其他经确认的 CertCloud 地址时，在部署配置阶段指定，详见安装部署。

更换账号会影响自动续期

保存不同 CertCloud 账号的凭据时，页面会要求确认，并暂停原账号订单的自动续期。不要为了临时查看另一个账号而直接替换生产凭据；先确认现有证书的维护安排。新账号不能自动接管原账号订单。

配置管理后台 HTTPS

默认管理入口已经使用 HTTPS，但初次安装采用自签证书。配置正式证书可以让受信任客户端通过匹配的管理域名访问，不需要为此修改管理端口。

1. 准备管理域名，例如 admin.example.com，使管理客户端能够将它解析到 HiHTTPS 地址。管理入口仍应只向管理网或 VPN 开放。
2. 在 证书管理 中导入或申请覆盖该管理域名的有效证书，确保证书链和私钥完整。
3. 进入 设置 -> 管理后台 HTTPS，开启 使用自定义证书。
4. 选择 TLS 证书；确需商密访问时，可另选材料齐全的 TLCP 双证书（商密）。
5. 点击 保存，确认没有配置错误，再用 https://admin.example.com:81/ 重新打开管理界面。
6. 查看浏览器证书，确认域名、有效期和信任关系正确。

该页面不负责修改管理端口，也不会替您创建域名解析。证书只覆盖管理域名时，继续使用 IP 地址访问仍可能出现不匹配提示。

需要切回默认自签证书时，关闭 使用自定义证书 并保存；这不是关闭 HTTPS。变更前确保保留受控的管理访问和服务器排障途径。

API Key 管理

API Key 供外部程序调用 HiHTTPS OpenAPI 使用，不能替代 CertCloud OpenAPI 凭据或平台登录密码。

1. 进入 设置 -> API Key 管理，点击 添加 API Key。
2. 填写便于识别用途的名称，选择所需 权限范围，设置合适的到期时间。
3. 创建后立即将完整 Key 保存到受控的凭据存储中。完整值只显示一次，关闭窗口后无法再次查看。
4. 日后通过列表查看状态、到期时间和最近使用情况；可编辑权限、禁用或删除不再需要的 Key。

仅授予集成实际需要的权限。Key 泄露时应及时禁用或删除并更换调用方配置；删除后，依赖该 Key 的集成会中断。

其他设置

设置项	用途与注意事项
加密套件规则组	管理访问服务使用的 TLS 协议和密码套件。调整后验证目标客户端兼容性，不为消除报错而随意启用弱协议。
主机白名单	控制请求 Host 的允许范围。它与按客户端 IP 过滤的访问控制不同；调整后同时验证正常业务域名与非预期 Host。
默认页面	设置请求落入默认站点时的响应。请求还受主机白名单等策略影响，不是所有未知域名都会展示默认页面。
备份与恢复	导出系统加密备份，或覆盖恢复配置与证书。操作前阅读升级、备份与恢复。

不同设置模块需要分别保存。修改证书、白名单或其他运行设置后，都应通过实际客户端确认效果，不能只看表单中的新值。