企業が複数の Alibaba Cloud アカウントを所有している場合、Anti-DDoS Origin を使用すると、1 つのアカウントでインスタンスを購入し、他のアカウントと共有できます。この方法により、コストを削減し、包括的な資産保護を提供できます。このトピックでは、複数のアカウントで単一の Anti-DDoS Origin インスタンスを共有するように設定する方法について説明します。
サポートされるインスタンスタイプ
Anti-DDoS Origin 2.0 Enterprise (サブスクリプション) インスタンスおよび Anti-DDoS Origin 2.0 (従量課金) インスタンス。
マルチアカウント管理機能には承認が必要です。この機能を使用するには、ビジネス担当者にお問い合わせください。
アカウントタイプ
マルチアカウント管理機能を使用する前に、リソースディレクトリを作成する必要があります。リソースディレクトリには、次の 3 つのアカウントタイプが含まれます。詳細については、「リソースディレクトリとは」をご参照ください。
管理アカウント: 管理アカウントは、リソースディレクトリを有効にするために使用されます。管理アカウントはリソースディレクトリのスーパー管理者であり、リソースディレクトリ、フォルダ、およびメンバーを完全に制御できます。
委任された管理者アカウント: 管理アカウントは、リソースディレクトリ内のメンバーアカウントを委任された管理者アカウントとして指定できます。管理アカウントは、このアカウントにリソースディレクトリの組織およびメンバー情報にアクセスする権限を付与します。
メンバーアカウント: リソースディレクトリに新しいメンバーアカウントを作成するか、既存の Alibaba Cloud アカウントをリソースディレクトリに招待できます。
管理アカウントまたは委任された管理者アカウントによって購入された Anti-DDoS Origin インスタンスは、メンバーアカウントのパブリック IP アドレスが割り当てられている資産を保護できます。ただし、組織管理タスクには管理アカウントを使用し、ビジネス管理タスクには委任された管理者アカウントを使用することをお勧めします。これらのタスクを分離することで、管理の柔軟性と効率が向上します。
リソースディレクトリを設定した後、Traffic Security コンソールでメンバーアカウントを管理アカウントまたは委任された管理者アカウントに関連付ける必要もあります。これにより、Anti-DDoS がメンバーアカウントの資産を保護できるようになります。
メンバーアカウントは、管理アカウントまたは委任された管理者アカウントのいずれかに関連付けることができますが、両方に関連付けることはできません。
管理アカウントに属する Anti-DDoS Origin インスタンスは、関連付けられたメンバーアカウントの資産のみを保護できます。同様に、委任された管理者アカウントに属する Anti-DDoS Origin インスタンスは、関連付けられたメンバーアカウントの資産のみを保護できます。
使用上の注意
管理アカウント、委任された管理者アカウント、およびメンバーアカウントは、同じリソースディレクトリに属し、同じ企業 ID 検証を持っている必要があります。
メンバーアカウントは、独自の Anti-DDoS Origin インスタンスを購入することもできます。ただし、パブリック IP アドレスが割り当てられている資産は、1 つの Anti-DDoS Origin インスタンスによってのみ保護できます。
たとえば、メンバーアカウントの資産が、メンバーアカウントが購入した Anti-DDoS Origin インスタンスによってすでに保護されているとします。集中保護に委任された管理者アカウントを使用する場合は、まずメンバーアカウントのインスタンスから資産を削除する必要があります。その後、資産を委任された管理者アカウントの Anti-DDoS Origin インスタンスに追加できます。
管理アカウントまたは委任された管理者アカウントを使用して Traffic Security コンソールでメンバーアカウントの関連付けを解除すると、そのメンバーアカウントの資産から保護が自動的に削除されます。管理アカウントまたは委任された管理者アカウントのインスタンスは、それらの資産を保護しなくなります。
各 Alibaba Cloud アカウントは、管理アカウントか委任された管理者アカウントかにかかわらず、最大 50 のメンバーアカウントを追加できます。
課金
管理アカウントまたは委任された管理者アカウントの Anti-DDoS Origin インスタンスを使用してメンバーアカウントの資産を保護する場合、次の課金ルールが適用されます。
Anti-DDoS Origin 2.0 Enterprise (サブスクリプション) インスタンス: メンバーアカウントの資産を保護するための追加料金は発生しません。
Anti-DDoS Origin 2.0 (従量課金) インスタンス: メンバーアカウントの資産の保護から発生した料金は、インスタンスを所有するアカウントに請求されます。
メンバーアカウントの資産に関する情報の表示
管理アカウントまたは委任された管理者アカウントの Anti-DDoS Origin インスタンスを使用してメンバーアカウントの資産を保護する場合、コンソールでの資産統計の可視性はアカウントタイプによって異なります。次の表に詳細を示します。
: 統計に資産は含まれません。
: 統計に資産が含まれます。
コンソールページ | 管理アカウント/委任された管理者アカウント | メンバーアカウント |
概要 | ||
アセットセンター | ||
イベントセンター | ||
統計レポート | ||
ビジネスモニタリング | ||
保護対象オブジェクト | ||
緩和設定 | ||
攻撃分析 | ||
緩和ログ | ||
操作ログ | ||
CloudMonitor アラート | ||
課金センター |
次の手順では、組織管理タスクに管理アカウントを使用し、ビジネス管理タスクに委任された管理者アカウントを使用します。委任された管理者アカウントを設定しない場合は、管理アカウントを使用してすべての手順を実行できます。
ステップ 1: リソースディレクトリを有効にし、組織構造を構築する
マルチアカウント管理機能を使用する前に、企業 の Alibaba Cloud アカウントをリソースディレクトリに追加する必要があります。
管理アカウントで Resource Management コンソールにログインし、リソースディレクトリを有効にします。詳細については、「リソースディレクトリを有効にする」をご参照ください。
Resource Management コンソールで、管理アカウントを使用して企業の組織構造を構築します。新しいメンバーを作成したり、既存の Alibaba Cloud アカウントを組織に招待したりできます。
詳細については、「フォルダの作成」、「メンバーの作成」、および「Alibaba Cloud アカウントをリソースディレクトリに招待する」をご参照ください。
Resource Management コンソールで、管理アカウントを使用して、メンバーアカウントを委任された管理者アカウントとして指定します。詳細については、「委任された管理者アカウントの管理」をご参照ください。
ステップ 2: メンバーアカウントを委任された管理者アカウントに関連付ける
メンバーアカウントの資産を表示するには、メンバーアカウントを委任された管理者アカウントに関連付ける必要があります。
委任された管理者アカウントで Traffic Security コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
メンバーアカウントの追加 をクリックします。ダイアログボックスの情報を読み、次へ をクリックします。
重要メンバーアカウントを追加すると、委任された管理者アカウントはメンバーアカウントの資産へのアクセスを承認されます。
追加するメンバーアカウントを選択し、
アイコンをクリックしてから、[OK] をクリックします。メンバーアカウントが追加されると、委任された管理者アカウントのインスタンスを使用してメンバーアカウントの資産を保護できます。
ステップ 3: 委任された管理者アカウントのインスタンスを使用してメンバーアカウントの資産を保護する
メンバーアカウントの資産を保護するには、その資産を委任された管理者アカウントのインスタンスの保護対象オブジェクトに追加する必要があります。
メンバーアカウントに属する新しい Anti-DDoS (拡張) 付き EIP は、委任された管理者アカウントの保護対象オブジェクトに自動的に追加されます。メンバーアカウントにすでに従量課金インスタンスと既存の Anti-DDoS (拡張) 付き EIP がある場合、これらの EIP はメンバーアカウントのインスタンスによって保護されたままになります。保護を委任された管理者アカウントに移行するには、次の手順を実行します。
Anti-DDoS (拡張) 付き EIP をリリースします。
メンバーアカウントの従量課金インスタンスを無効にします。
メンバーアカウント用に新しい Anti-DDoS (拡張) 付き EIP を購入します。新しい EIP は、委任された管理者アカウントの保護対象オブジェクトに自動的に追加されます。
委任された管理者アカウントで Traffic Security コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
ターゲットの Anti-DDoS Origin インスタンスを選択し、保護対象の追加 をクリックしてから、メンバーアカウントの資産追加 タブをクリックします。
メンバーアカウントを選択します。選択するオブジェクト セクションで、保護する資産を選択し、
アイコンをクリックしてから、[OK] をクリックします。
ステップ 4: メンバーアカウントの資産の緩和ポリシーを設定する
メンバーアカウントの資産を保護対象オブジェクトに追加すると、保護テンプレート が デフォルト に設定されます。これは、資産が Anti-DDoS Origin のデフォルトの緩和機能によって保護されることを意味します。
ビジネスで特定の機能を持つサービストラフィックを許可またはブロックする必要がある場合は、委任された管理者アカウントで Traffic Security コンソールにログインし、カスタムのシナリオ固有のテンプレートを資産にアタッチできます。詳細については、「緩和設定」をご参照ください。
ステップ 5: メンバーアカウントの資産に対する攻撃イベントを表示する
委任された管理者アカウントで Traffic Security コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
アタック分析 ページで、アカウントの範囲を選択して攻撃イベントの詳細を表示します。
すべてのアカウント: 管理アカウントおよびパブリック IP アドレスが割り当てられているメンバーアカウントの資産が含まれます。
委任された管理者アカウント: このアカウントでパブリック IP アドレスが割り当てられている資産のみを表示できます。
メンバーアカウント: このアカウント内でパブリック IP アドレスが割り当てられている資産のみを表示できます。
