5.3 腾讯云监控、备案与合规

5.3 腾讯云监控、备案与合规

本节摘要：腾讯云在国内合规领域的能力与阿里云大致持平——ICP 备案、公安备案、等保 2.0、密评、信创等资质都齐全。本节讲清云监控告警配置、CLS 日志查询、ICP 备案完整流程（首次备案 / 新增备案 / 接入备案）、CloudAudit 操作审计、费用中心预算告警。国内 C 端业务"不备案 = 无法上线"——这是与海外云最大的差异。

学习目标

阅读完本节，你应当能够：

1. 配置腾讯云云监控告警：CVM CPU > 80% 持续 5 分钟触发电话/短信/钉钉通知。
2. 用 CLS（日志服务）查询应用日志：类 SQL 语法聚合、统计、告警。
3. 走通 ICP 备案的完整流程：从准备材料、提交申请、腾讯云初审、到管局审核、最终通过。
4. 理解"等保 2.0 / 密评 / 信创"的差异：知道什么场景必须做哪个合规。

一、为什么需要备案：80 端口没备案直接断网

某游戏公司 2020 年在腾讯云上开了一台 CVM 跑官网，没做 ICP 备案就直接开了 80 端口。3 天后收到腾讯云邮件："您的 CVM 因未备案被限制 80 端口访问"。7 天内未整改则释放资源。

正解：国内大陆 Region 的 80/443 端口必须先 ICP 备案。这是工信部的要求，不是腾讯云的规定。任何声称"免备案"的大陆云服务都是骗局（除了"内网穿透"这类非公开服务）。

二、核心原理：云监控 + CLS + 备案

2.1 云监控告警配置

# 创建告警接收人
tccli monitor CreateAlarmNotice --Module monitor \
  --Name ops-team \
  --NoticeType "RECIVER" \
  --UserIds '[12345678]'

# 创建告警策略：CVM CPU > 80% 持续 5 分钟
tccli monitor CreateAlarmPolicy \
  --Module cvm \
  --PolicyName cvm-high-cpu \
  --PolicyConditionList '[{
    "MetricName":"CPUUsage",
    "Period":300,
    "Operator":"gt",
    "Threshold":80,
    "ContinuePeriod":1
  }]' \
  --NoticeIdList '["notice-xxxxxx"]'
​

2.2 CLS 日志服务

# 创建日志主题
tccli cls CreateTopic --TopicName my-app-logs --LogsetId ls-xxxxxx

# 把 CVM 上的应用日志接入 CLS
# （在 CVM 上装 LogListener 客户端，配置采集路径 /var/log/myapp/*.log）

# 用类 SQL 查询最近 1 小时的 ERROR
tccli cls SearchLog \
  --TopicId topic-xxxxxx \
  --From $(date -d '1 hour ago' +%s) \
  --To $(date +%s) \
  --Query '* | SELECT COUNT(*) as cnt WHERE level="ERROR"'
​

2.3 ICP 备案完整流程

步骤 1：准备材料
  → 企业备案：营业执照、法人身份证、网站负责人身份证、公章
  → 个人备案：身份证正反面、本人手持身份证照片
  → 域名证书（域名注册商提供的所有者证明）

步骤 2：腾讯云初审（1-3 个工作日）
  → 登录腾讯云备案系统
  → 填写主办单位信息、网站信息、负责人信息
  → 上传证件材料
  → 等待腾讯云客服电话核验
  → 初审通过

步骤 3：工信部管局审核（3-20 个工作日）
  → 腾讯云提交到企业注册地所在省管局
  → 管局短信核验（法人或负责人手机号）
  → 管局审核通过

步骤 4：备案完成
  → 获得 ICP 备案号（如 京ICP备12345678号）
  → 在网站底部展示备案号
  → 链接到工信部备案系统
​

关键时间：企业备案从提交到通过通常 7-20 个工作日。项目启动前就要做，不要等网站做好了再备案。

2.4 等保 2.0 / 密评 / 信创的差异

关键工程差异：

• 等保 2.0 关注"安全制度 + 技术措施"——主要是审计、权限、漏洞管理、灾备。
• 密评 关注"密码应用"——加密算法、密钥管理、密码机部署。
• 信创 关注"国产化替代"——操作系统（统信 UOS/麒麟）、数据库（达梦/人大金仓）、中间件（东方通）必须是国产。

国内做 ToB/ToG 业务，几乎一定要做其中一个或多个。

三、工程实践要点：监控与合规闭环

3.1 告警分级

3.2 资源标签（Tag）治理

# 给 CVM 打标签
tccli cvm ModifyInstancesAttribute --InstanceIds '["ins-xxxxxx"]' \
  --InstanceName "my-app-web1"  # 实际标签 API 在 tag 模块

# 腾讯云标签模块
tccli tag AddResourceTag \
  --ResourceList '[{"Resource":"ins-xxxxxx","Region":"ap-shanghai","Service":"cvm"}]' \
  --TagList '[{"TagKey":"Department","TagValue":"Engineering"}]'

# 按 Tag 查询资源
tccli tag GetResources \
  --ResourceList '[{"Service":"cvm","Region":"ap-shanghai"}]' \
  --TagFilters '[{"TagKey":"Project","TagValue":"my-app"}]'
​

3.3 真实案例：某游戏公司的成本治理

某游戏公司月账单 28 万，做了以下动作后降到 17 万（节省 39%）：

4.5 人天换 11 万/月，年化节省 132 万——ROI 极高。

3.4 反例：常见监控与合规误区

3.5 CloudAudit 操作审计

# 开通 CloudAudit
tccli audit CreateAudit --AuditName my-app-audit \
  --AuditStorage '{
    "StorageType":"cos",
    "StorageRegion":"ap-shanghai",
    "StorageBucket":"audit-logs-1250000000"
  }' \
  --IsEnableCmqNotify 1 \
  --CmqRegion ap-shanghai \
  --CmqTopicName audit-notify

# 查询最近 1 小时的所有"删除"操作
tccli audit LookUpEvents \
  --StartTime $(date -d '1 hour ago' +%s) \
  --EndTime $(date +%s) \
  --LookupAttributes '[{"AttributeKey":"EventName","AttributeValue":"TerminateInstances"}]'
​

等保 2.0 三级及以上系统必须开操作审计——审计日志保留 180 天以上，且日志本身不可被删除（防止管理员销毁证据）。

⚠️ 常见坑：备案和合规不是免费的。

• ICP 备案本身免费，但域名注册要 60-100 元/年。
• 等保 2.0 三级测评要 8-20 万（一次性 + 每年复测）。
• 密评要 10-30 万（一次性 + 每年复测）。
• 信创改造要 50-500 万（一次性 + 每年维护）。

国内 ToB/ToG 业务，预算时把这部分算进去。

💡 关键直觉：国内云的"合规"是隐形的硬约束。海外项目可以"先跑起来再说"，国内项目必须账号注册时就开始规划备案、实名、合规——后期补的成本是初期的 3-5 倍。

本节小结

• 云监控告警分级：P0/P1/P2/P3 配不同通知方式，避免告警疲劳。
• CLS 日志服务是类 SQL 查询的瑞士军刀：90 天保留 + 归档到 COS 是工业级标配。
• ICP 备案是国内 C 端业务的硬要求：未备案开 80/443 会被云厂商断网。
• 等保 2.0 / 密评 / 信创的差异：等保关注安全制度，密评关注密码应用，信创关注国产化。
• CloudAudit 操作审计是等保合规的硬要求：日志保留 180 天 + 不可删除。
• 资源标签治理 ROI 极高：3-5 人天换 10-15 万/月节省。
• 备案与合规不是免费的：等保 8-20 万、密评 10-30 万、信创 50-500 万——预算时算进去。

至此第五章结束，本书全部章节完结。下一步建议：选一家云厂商做认证（AWS SAP / 阿里云 ACP / 腾讯云 TCA），把"会用"升级为"精通"。