云防火墙企业多账号统一管理

网络规划

请参考表格中的说明和方案默认示例值为每个规划项做详细规划并在实际部署时将默认示例值修改为您的实际规划。

规划云资源

请参考表格中的说明和方案默认示例值为每个规划项做详细规划并在实际部署时将默认示例值修改为您的实际规划。

部署资源目录

开通资源目录的阿里云账号默认为资源目录的管理账号，具有管理资源目录的所有权限，承担对资源目录中的所有业务账号及其下资源的管理责任。建议您使用企业管理员账号开通资源目录，然后通过委派管理员账号，将组织管理任务与业务管理任务相分离，企业管理账号执行资源目录的组织管理任务，委派管理员账号执行可信服务的业务管理任务。

1. 使用管理账号登录资源管理控制台。

2. 开通资源目录。

   1. 在左侧导航栏，选择资源目录 > 概览，单击开通资源目录。

   2. 选择使用当前账号开通，然后单击开通。

   3. 在安全校验对话框中，通过手机号码或电子邮箱完成安全验证，然后单击确定。

      开通资源目录后，系统会为您创建一个Root资源夹，并将当前的登录账号设置为管理账号。同时，系统会在管理账号内自动创建一个服务关联角色（AliyunServiceRoleForResourceDirectory），用于设置资源目录可信服务的访问权限。关于服务关联角色的更多信息，请参见资源目录中的RAM角色。

3. 邀请资源目录的成员账号。

   1. 在左侧导航栏，选择资源目录 > 邀请成员。

   2. 在邀请成员页面，单击邀请成员。

   3. 在邀请成员面板，填写邀请的账号UID/账号登录邮箱为阿里云账号A的ID和阿里云账号B的ID，确认并勾选风险提示。

      此处邮箱是注册账号时的登录邮箱，而非注册账号后绑定的备用邮箱。您可以一次性输入多个阿里云账号实现批量邀请，使用半角逗号（,）分隔。

   4. 单击确定。

4. 委派购买了云防火墙实例的账号为委派管理员。本方案以阿里云账号A为例。

   1. 在左侧导航栏，选择资源目录 > 可信服务。

   2. 在可信服务页面，找到云防火墙产品，在操作列单击管理。

      

   3. 在委派管理员账号区域，单击添加。

   4. 在委派管理员账号面板，选中阿里云账号A账号。

   5. 单击确定。

      添加成功后，使用该委派管理员账号访问对应可信服务的多账号管理模块，即可进行资源目录组织范围内的管理操作。

通过ROS一键部署VPC和ECS

参考以下步骤，分别在账号A和账号B下各创建一个VPC和ECS，并且为ECS绑定EIP。

1. 使用阿里云账号A登录阿里云控制台。

2. 单击一键部署模板（账号A）进入ROS控制台，在顶部选择华东1（杭州）。

3. 查看模板参数，配置以下参数，其他参数可使用默认值或按需修改。

   • 实例规格：选择x86计算架构、共享型的突发性能实例 t5。

   • 系统盘类型：选择SSD云盘。

   • 实例密码：自定义ECS实例的登录密码。

   

4. 查看页面右下角的资源价格，确认无误后单击创建。

   等待资源栈创建，资源部署时间约为10分钟，请耐心等候。当资源栈状态显示为创建成功时，即为成功部署相关资源。

5. 使用阿里云账号B登录阿里云控制台，单击一键部署模板（账号B）进入ROS控制台，参考上述步骤创建资源栈。

开通云防火墙包年包月版

1. 使用阿里云账号A访问云防火墙购买页。

2. 选择付费模式为包年包月。

   目前仅云防火墙包年包月版支持开通多账号统一管理，云防火墙按量付费版暂不支持。

3. 按照业务需求，配置如下购买项。

   项目	说明	示例
   当前版本	选择云防火墙的版本。不同的版本支持的功能不同，您可以单击某个版本，在版本描述下查看当前版本的功能说明。更多信息，请参见功能特性。 关于不同版本的定价信息，请参见包年包月。	高级版
   可防护公网IP数	互联网边界隔离防护支持添加保护的公网IP的数量。	20个
   公网流量处理能力	云防火墙可以防护的公网方向的流量峰值，建议与您业务的公网带宽保持一致。	10 Mbps
   访问控制全局扩展	支持的访问控制策略授权规格。	0
   多账号统一管理	是否开通多账号统一管理。	是
   多账号管控数	支持添加阿里云成员账号的数量。	2
   日志分析	是否开启日志分析功能。 云防火墙默认存储最近7天的日志，如果需要存储更长时间的日志或满足等保要求，您需要开启云防火墙的即日志分析功能。	否
   购买时长	服务购买时长。根据您的实际需求开启到期自动续费。	1个月

4. 单击立即购买并完成支付。

1. 添加云防火墙成员账号

1. 使用阿里云账号A登录云防火墙控制台。

2. 在左侧导航栏，选择设置 > 统一账号管理。

3. 在统一账号管理页面，单击添加成员账号。

4. 在添加成员账号对话框，将阿里云账号B的ID添加到右侧已选导入云防火墙成员账号列表。

5. 在右侧已选导入云防火墙成员账号列表，选择阿里云账号B的ID，单击确定。

   完成添加成员账号后，默认授权云防火墙可以访问成员账号下的云资源。

2. 开启互联网边界防火墙

如果您在开启新增资产自动保护功能，则无需执行此步骤，云防火墙自动开启ECS资产防护。

1. 使用阿里云账号A登录云防火墙控制台。

2. 在左侧导航栏，单击防火墙开关。

3. 在互联网边界防火墙页签，单击同步资产，系统为您同步当前账号及其成员账号的资产信息。整个过程预计需要1~2分钟。

   您可以通过IP列的UID信息，判断当前资产所属的阿里云账号。

   

4. 在资产列表中找到需要开启防护的云资产，在操作列单击开启保护。

   开启互联网边界防火墙后，防火墙状态更新为保护中，表示互联网边界防火墙的防护已生效。

3. 配置访问控制策略

通过创建访问控制策略，管控ECS访问公网流量。按照本方案架构，ECS-1可以访问互联网，ECS-2无法访问互联网。云防火墙互联网边界访问控制策略默认放行所有流量，因此您只需要创建拦截ECS-2访问互联网的流量策略即可。

1. 使用阿里云账号A登录云防火墙控制台。

2. 在左侧导航栏，选择访问控制 > 互联网边界。

3. 在出向页签，单击创建策略。

4. 在创建出向策略面板，设置策略，然后单击确定。

   配置项	说明	示例值
   源类型	选择访问源的类型，本方案中为ECS-2的对外访问类型。	IP
   访问源	输入ECS-2的公网IP地址。	47.111.XX.XX/32
   目的类型	选择目的地址类型。	IP
   目的	设置接收流量的目的地址。	0.0.0.0/0 说明 0.0.0.0/0表示所有主机的IP地址。
   协议类型	设置该内到外访问流量的协议类型。	ANY
   端口	设置需要放开或限制的端口。	0/0 说明 0/0表示主机的所有端口。
   应用	设置该内到外访问流量的应用类型。	ANY
   动作	设置允许或拒绝该流量通过互联网边界防火墙。	拒绝
   优先级	选择该策略的优先级，默认为最后，表示优先级最低。	最后
   启用状态	设置策略是否启用。	启用