De forma predeterminada, al acceder a los productos en la nube solo se pueden integrar las instancias que pertenecen a su cuenta actual de Alibaba Cloud. Para integrar instancias de otras cuentas de Alibaba Cloud, configure la gestión de múltiples cuentas. Esto le permite administrar las cuentas de destino dentro del sistema de Web Application Firewall (WAF) actual y gestionar de manera unificada el acceso y la configuración de protección entre todas las cuentas.
Alcance
Requisito de edición: Solo las ediciones WAF Enterprise y Ultimate admiten la gestión de múltiples cuentas. Las demás ediciones no son compatibles con esta función.
Requisito de verificación: Para habilitar un resource directory, debe usar una cuenta de Alibaba Cloud que haya completado la verificación de tipo empresarial.
Afiliación de cuentas: La cuenta de administración y las cuentas miembro deben pertenecer al mismo resource directory y estar registradas bajo la misma entidad empresarial verificada.
Restricción de instancias: No se permiten instancias de WAF en ejecución en las cuentas miembro. Si existen, debe liberarlas antes de integrarlas.
Restricciones y reglas de administración posteriores a la integración
Restricción de compra de instancias: Una vez integrada una cuenta miembro, esta no puede comprar una instancia de WAF en la misma región que la cuenta de administración. Por ejemplo, si la cuenta de administración compró una instancia de WAF en China continental, la cuenta miembro no podrá adquirir otra en esa zona, pero sí fuera de China continental.
Restricción de permisos en la consola: Cuando los activos de productos en la nube de una cuenta miembro se integran a la instancia de WAF de la cuenta de administración, la cuenta miembro solo puede consultar las configuraciones de protección, la descripción general y los informes de seguridad en la consola de WAF de la cuenta de administración.
Eliminación automática de activos: Si la cuenta de administración elimina una cuenta miembro desde la consola de WAF, el sistema quita automáticamente los activos de productos en la nube que estaban integrados para protección bajo dicha cuenta miembro.
Procedimiento
Paso 1: Habilitar un resource directory desde la cuenta de administración
Antes de usar la gestión de múltiples cuentas, consolide todas las cuentas de Alibaba Cloud de su empresa en un mismo resource directory. Inicie sesión en la consola de Resource Management con la cuenta de administración de su empresa y habilite el resource directory. Consulte Enable Resource Directory para conocer los pasos detallados.
Paso 2: Invitar miembros
Cuando la parte invitada se une correctamente al resource directory, se convierte en miembro y el resource directory la administra de forma centralizada.
Inicie sesión en la consola de Resource Management con la cuenta de administración y construya su estructura organizacional. Para ello, invite cuentas existentes o cree cuentas nuevas.
Invitar cuentas existentes: Consulte Invite an Alibaba Cloud account para conocer los pasos detallados.
Crear cuentas miembro nuevas: Si no necesita invitar cuentas existentes, cree miembros directamente en el resource directory. Consulte Create a member para conocer los pasos detallados.
Construir la estructura organizacional: Si necesita clasificar y administrar a los miembros según sus relaciones comerciales, consulte Create a folder.
Paso 3: Agregar una cuenta de administrador delegado (opcional)
Si prefiere que la cuenta principal que habilitó el resource directory no administre directamente el servicio de WAF, configure una cuenta de administrador delegado. Esta práctica separa la gestión organizacional de las tareas operativas y cumple con las mejores prácticas de seguridad. Si planea desplegar WAF directamente en la cuenta que habilitó el resource directory, omita este paso.
Ejemplo de plan de uso de cuentas:
Cuenta principal: Se encarga de crear el resource directory, administrar los fondos y gestionar los permisos globales de usuario.
Cuenta de seguridad (cuenta miembro): Actúa como administrador delegado para gestionar de forma centralizada productos de seguridad como WAF, Cloud Firewall y Bastionhost.
Cuenta comercial (cuenta miembro): Por ejemplo, Cuenta Comercial 1, Cuenta Comercial 2, etc. Se utiliza para desplegar los recursos reales del negocio, como instancias de ECS.
Consulte Manage delegated administrator accounts para conocer los pasos detallados.
Paso 4: Agregar cuentas miembro en la consola de WAF
Inicie sesión en la consola con una de las siguientes cuentas:
Si no se delegó ningún administrador de WAF, use la cuenta de administración que creó el resource directory.
Si ya se delegó un administrador de WAF, use la cuenta miembro delegada.
Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.
En el panel de navegación izquierdo, haga clic en Multi-account Management..
En la página Multi-account Management, haga clic en Add Member.
En el cuadro de diálogo Add Member, seleccione la cuenta miembro que desea importar de la lista Available Members de la izquierda. Luego, use el botón de flecha central para agregarla a la lista Selected Members de la derecha y haga clic en OK.
Paso 5: Integrar activos de productos en la nube de las cuentas miembro
Aplique el procedimiento de integración correspondiente según el tipo de activo del producto en la nube:
Los activos de los productos en la nube Classic Load Balancer (CLB), Network Load Balancer (NLB) y Elastic Compute Service (ECS) se sincronizan automáticamente con la cuenta de despliegue de WAF. Inicie sesión en la consola de la cuenta de despliegue de WAF para completar la integración de los activos de la cuenta miembro.
Para Application Load Balancer (ALB), Microservices Engine (MSE) - Cloud-native Gateway, Cloud-native API Gateway, AI Gateway AIG, Global Accelerator (GA) y Function Compute, inicie sesión primero en la consola del producto correspondiente de la cuenta miembro para completar la integración. Después, consulte los detalles en la consola de la cuenta de despliegue de WAF.
Consulte Overview para conocer los procedimientos de integración detallados.
Preguntas frecuentes
¿Qué alternativas existen si no puedo configurar la gestión de múltiples cuentas?
Si no es posible configurar la gestión de múltiples cuentas, utilice el acceso por CNAME como alternativa. Este método admite la integración de nombres de dominio con acceso público y no presenta limitaciones en entornos multicuenta o multinube.