方案概述

无序、散落的多个阿里云账号不便于集中管理，企业需要进一步做精细化管控。

企业可以采用云企业网CEN（Cloud Enterprise Network）将多个账号间的专有网络VPC（Virtual Private Cloud）进行连接，以实现多账号间的网络互通。但随着业务复杂度的增加，会面临如下的新问题：

• 分散配置导致无法进行网络集中运维

  企业网络架构是一张经过规划的大网，当网络设施分散在每个业务账号之下时，企业网络运维人员很难做到网络的集中控制。

• 重复网络资源配置导致成本增加

  在每个账号内进行VPC的配置，使得企业的配置维护成本和实例费用成本都在增加。

• VPC数量增多导致网络复杂度提升

  为了满足企业的业务需要，VPC数量会不断攀升，随之而来的是网络复杂度、管理难度和配额（例如：CEN可挂载的VPC数量限制）等问题。

阿里云资源目录是面向企业提供的一套多级资源和账号关系管理服务。企业可以基于自身的组织结构或业务形态，在资源目录中构建目录结构，将企业的多个账号分布到这个目录结构中的相应位置，从而形成资源间的多层级关系。企业可依赖设定的组织关系进行资源的集中管理，满足企业资源在财资、安全、审计及合规方面的管控需要。更多信息，请参见资源目录。

在资源目录内，企业可以使用阿里云提供的资源共享服务，将一个账号下的指定资源共享给一个或多个目标账号使用，通过共享单元建立成员间的共享关系。更多信息，请参见资源共享概述。

企业可以基于资源共享机制，在资源目录内，将一个成员的VPC交换机（vSwitch）共享给其他成员使用，使多个成员在一个集中管理、共享的VPC内创建云资源，例如：云服务器ECS、负载均衡SLB、云数据库RDS等。资源所有者和资源使用者在同一VPC内创建的云资源默认私网互通。更多信息，请参见共享VPC概述。

共享VPC的具体实现细节如下：

• 多账号共享同一个交换机

  企业可将VPC的交换机在多账号间进行共享，不用为每个账号单独配置VPC，极大减少了VPC的使用数量。

  
• 资源所有者与资源使用者的权限

  资源所有者将交换机共享给资源使用者后，资源所有者与资源使用者对共享交换机及共享交换机内云资源的操作权限如下表所示。

  角色	支持的操作	不支持的操作
  资源所有者	支持创建、查看、修改、删除共享交换机中的由自身创建的资源。 支持查看资源使用者在共享交换机中所创建的资源属性，当前只允许查看弹性网卡的资源属性，仅限： 实例ID。 私网IP地址。 资源所属账号。	不支持修改、删除资源使用者在共享交换机中创建的任何资源。
  资源使用者	当交换机处于共享状态时，资源使用者支持在共享交换机中创建、修改、删除云资源。	当交换机处于共享状态时，资源使用者不支持查看、修改、删除共享交换机中其他账号（包含资源所有者和资源使用者）的任何资源。
  	当交换机处于取消共享状态时，资源使用者支持继续使用共享交换机中由自身创建的已有资源，也支持查看、修改、删除共享交换机中由自身创建的已有资源。	当交换机处于取消共享状态时，资源使用者不支持查看与共享交换机相关联的资源（例如VPC、路由表、私网网段、网络ACL），也不支持在已经取消共享的交换机中创建资源。

  资源所有者与资源使用者对其它网络资源的操作权限如下表所示。

  网络资源	资源所有者可执行的操作	资源使用者可执行的操作
  VPC	全部操作权限。	仅支持查看共享给自己的交换机所属的VPC。
  交换机	全部操作权限（包含开启和关闭交换机的IPv6功能）。 说明 如果要删除交换机，请确保交换机已取消共享，且该交换机中的资源（包括资源所有者和资源使用者创建的资源）已全部删除。	查看共享的交换机。 在共享的交换机内创建、修改、删除云资源。
  路由表	全部操作权限。	仅支持查看共享给自己的交换机绑定的路由表以及路由条目。
  网络ACL	全部操作权限。	支持在共享给自己的交换机内绑定、解绑、查看网络ACL。
  网段	查看VPC及VPC内所有交换机的网段。	仅支持查看共享给自己的交换机的网段。
  流日志	支持创建VPC或交换机粒度的流日志，对资源使用者的交换机下的弹性网卡生效。 支持创建弹性网卡粒度的流日志，仅对资源所有者的弹性网卡生效。	支持创建弹性网卡粒度的流日志，仅对资源所有者的弹性网卡生效。
  NAT网关	公网NAT网关和VPC NAT网关的全部操作权限。 说明 交换机中的资源（包括资源所有者和资源使用者创建的资源）可以通过公网NAT网关与互联网通信。 公网NAT网关仅支持绑定资源所有者的弹性公网IP。	无操作权限。
  VPN网关	全部操作权限。 说明 交换机中的资源（包括资源所有者和资源使用者创建的资源）可以通过VPN网关与VPC外部网络互通。	无操作权限。
  云企业网	全部操作权限。 说明 交换机中的资源（包括资源所有者和资源使用者创建的资源）可以通过云企业网与VPC外部网络互通。	无操作权限。
  VPC对等连接	全部操作权限。 说明 交换机中的资源（包括资源所有者和资源使用者创建的资源）可以通过VPC对等连接与VPC外部网络互通。	无操作权限。
  标签	共享行为不影响资源所有者为资源配置的标签。 资源所有者将交换机共享给资源使用者后，资源所有者与资源使用者都可以为各自的资源配置标签，且标签互不可见也互不影响。当共享交换机取消共享后，系统会删除资源使用者在该共享交换机上配置的标签。

• 安全隔离

  企业将单个VPC中的不同交换机共享给不同账号后，网络是默认连通的。在某些场景下，企业希望将不同的交换机进行隔离。企业可通过以下两种方式进行隔离：

  • 网络ACL：实现跨交换机级别的访问控制。
  • 安全组：实现实例级别的访问控制，并且支持跨账号安全组的互相引用。
  
  说明 使用安全组设置两个实例间禁止访问规则实现网络隔离，该方法主要用以弥补在相同交换机内的实例之间无法采用网络ACL进行网络隔离的缺失。当然，企业仍然可以使用安全组跨账号引用能力，在安全组内配置源IP地址和目标IP地址，实现不同交换机、不同账号间的网络隔离。