云上测试授权与报备
云环境测试除客户授权外，通常还需在云平台提交渗透测试申请：说明目标、时间与测试方式，获得批复后再开展。适用对象包括云主机、托管数据库、云 WAF 后端、对象存储等。报备流程一般是：通过云平台的工单或表单提交材料，等待批复，然后严格按批复的范围与时间执行。批复通常限定具体 IP、域名与时段，超出即在平台侧失去授权；测试方主体信息与联系人也需一并提交。各厂商的报备入口与要求不同，以所用云平台的帮助文档为准，不要凭经验套用其他平台的做法。
基本信息
| 适用对象 | 云主机、托管数据库、云 WAF 后端、对象存储 |
|---|---|
| 流程 | 云平台工单或表单报备，批复后按批复执行 |
| 报备材料 | 目标 IP 与域名、时间窗口、测试方式、主体信息 |
| 限制 | 批复通常限定范围与时间，需严格遵守 |
| 依据 | 各厂商要求不同，以所用云平台帮助文档为准 |
典型使用场景
- 云主机测试：公网 IP 与域名需在报备清单内
- 托管数据库：测试前确认平台是否允许相关探测
- 云 WAF：验证规则有效性需避开平台误判与拦截
- 对象存储：权限与配置核查是否在允许范围内
- 多云环境：不同平台分别报备，不能互相替代
报备材料要点
报备材料要点
# 目标公网 IP 与域名
# 测试时间窗口
# 测试方式（扫描、验证、不含 DoS）
# 测试方主体信息与联系人
# 批复编号与批复范围（留存备查）报备要点与常见问题
| 要点 | 说明 | 常见问题 |
|---|---|---|
| 目标清单 | 逐项列明 IP 与域名 | 批复只含部分 IP，顺手测了其他主机 |
| 时间窗口 | 精确到日期与时段 | 报备时间外执行测试 |
| 测试方式 | 说明是否含主动扫描 | 未说明扫描方式被平台按攻击处置 |
| 主体信息 | 公司名、测试人员与联系人 | 主体信息与实际实施方不一致 |
| 批复留存 | 保存批复记录 | 被拦截时无法举证 |
各厂商报备入口与要求不同，以所用云平台的帮助文档为准；批复通常限定范围与时间，严格遵守是最低要求。
批复只含某几个 IP 却顺手测了同 VPC 其他主机，在平台侧属于超范围；这类越界往往同时违反客户授权与平台条款。