本文将为您介绍如何通过企业安全组进行配额管理及添加规则等操作。
说明：
前提条件
需已将云防火墙 升级到企业版或旗舰版。
说明：
日志投递功能需要对云防火墙服务角色 CFW_QcsRole，关联策略 QcloudAccessForCFWRoleIn EnterpriseSecurityGroup 、QcloudAccessForCFWRoleInLogService 权限。
开通 CLS（日志服务）。当您完成 CAM 授权后，网络流日志会投递到您的腾讯云 CLS（日志服务）中。若您尚未开通此功能，请按照控制台提示，手动开启。开启 CLS 后，即可在云防火墙的访问控制日志 > 企业安全组 页面，查看相关日志内容。
操作步骤
步骤1：配额管理
企业安全组会占用您的安全组配额，您可以在企业安全组页面查看并管理相关安全组配额。
1. 登录 云防火墙控制台，在左侧导航中，选择访问控制 > 企业安全组。
2. 在企业安全组页面，单击安全组可视化。
3. 在安全组可视化页面，可查看各地域实例的配额信息，当配额达到限制时，单击管理配额前往配额管理工具进行调整。
4. 在安全组可视化页面下方，可查看关联实例、安全组列表、安全组规则。
关联实例：展示当前地域所有的实例信息。单击安全组或安全组规则列的数字，可以跳转到实例所对应的安全组列表或安全组规则详情页面。
单击查看详情，可以跳转到实例的详情页面。
安全组列表：展示当前地域的所有安全组列表信息。单击关联实例或安全组规则列的数字，可以跳转到实例所对应的安全组列表或安全组规则详情页面。
单击查看详情，可跳转到私有网络控制台安全组详情页面。
安全组规则：展示当前地域所有安全组的入站规则和出站规则，单击
5. 登录 私有网络控制台，在左侧导航中，选择安全 > 安全组，并选择目标地域和项目。
6. 单击任意一条安全组 ID/名称，即可查看该安全组所对应的入站规则、出站规则以及关联的实例。
7. （可选）安全组的配额是有限的，当您完成一次添加规则、插入规则或编辑规则的操作后，若安全组配额不足，系统会提示您调整相应的安全组配额，在企业安全组页面的规则列表概况右上角，单击管理配额，去工单系统中申请安全组的相关配额即可。
步骤2：添加规则
规则分为入站规则和出站规则，规则列表在同一时间只允许一个用户进行操作，本文将以入站规则为例进行说明（出站规则同理）。
1. 在 企业安全组页面，左上角选择需要操作的地域。
说明：
每个地域都有独立的企业安全组的入站规则列表和出站规则列表。
2. 在企业安全组页面下方，选择入站规则 > 添加规则。
3. 在添加入站规则的弹窗中，填写相关字段，单击确定。
访问源类型：包括 IP 地址、参数模板及资产分组，并根据不同访问源类型，填写相关字段。
访问目的类型：包括资产实例、资源标签、资产分组及全局策略，并根据不同访问目的类型，填写相关字段。
规则优先级：最先是将新规则插入到规则列表的最前方，优先级最高。最后是将新规则插入到规则列表的最后，优先级最低。
自动双向下发：当访问源地址填写为实例、子网、私有网络地址时，可通过自动双向下发，分配一条相同的出站规则（执行顺序为最高），适用于内网对内网的双向放行的场景。
注意：
当资产绑定唯一安全组时，安全组默认阻断全部。
若您的资产中存在没有绑定任何安全组的资产实例，下发企业安全组策略会为这些资产绑定唯一安全组，存在较高安全风险，请谨慎操作。
4. 添加完成，该入站规则将出现在入站规则列表中。
5. 添加完入站规则后，在私有网络控制台的 安全组页面 中，可查看企业安全组自动生成的安全组，自动配置了安全组规则和关联实例。
注意
请您不要在其他位置手动修改云防火墙维护的安全组或路由表（如 NAT 路由表、CVM 安全组等），请统一在云防火墙的控制台中进行操作。
步骤3：编辑规则
编辑规则：在目标规则右侧，单击编辑，即可修改规则配置，修改完成后，单击完成即可。
停用规则：在目标规则的状态栏，可以控制规则是否生效。若关闭开关，即停用规则，此规则不再参与规则匹配。
注意：
企业安全组规则被停用后，安全组中的对应规则会被删除，但此规则依然会保留在企业安全组的规则列表中。
插入规则：在目标规则右侧，单击插入，可在当前规则的前方新增一条规则，优先级高于当前规则。
删除规则：在目标规则右侧，单击删除，二次确认后，可以删除目标规则。
注意：
删除规则后，企业安全组和安全组会同时删除此规则，且操作不可撤销。
快速排序：
1.1 规则在列表中的顺序，决定了执行的优先级。在入站规则列表上方，单击快速排序。
1.2 可以通过对规则的拖拽操作，快速完成规则优先级的调整。
1.3 调整完成后，单击保存，调整后的优先级即可生效，企业安全组会自动将新的规则优先级下发到实例。
导出规则：在规则列表的右上角，单击导出按钮，可以导出全量的入站规则或出站规则的 Excel 文件。
注意：
导出规则操作忽略了检索条件和规则开关状态。
访问控制设置
1. 登录 云防火墙控制台，在左侧导航栏中，选择访问控制，单击右上角的访问控制设置。
2. 在访问控制设置中，设置每次添加、插入、导入规则时，新规则的默认启用状态：
默认启用：新规则导入后处于启用状态。
默认不启用：新规则导入后处于停用状态，需手动启用。
常见问题
企业安全组到期后，云防火墙维护的安全组会被删除吗？
不会，云防火墙到期后，不会清除私有网络控制台中安全组配置。
可以在私有网络控制台，直接修改云防火墙维护的安全组吗？
不可以。在私有网络控制台手动修改后的安全组规则，不会体现在 企业安全组页面 中，容易产生规则管理上的纰漏，影响网络安全防护，同时企业安全组的规则更新后，会同步规则到安全组，手动修改的安全组配置会被覆盖。
