Alibaba Cloud 上で事業を展開する企業は、通常、ビジネスリソースを分離するために複数のアカウントを使用します。BDRC のクロスアカウント管理機能により、企業内の複数アカウントにまたがるリソースのデータ保護を一元的に管理できます。この統合的なアプローチにより、運用コストが削減され、ディザスタリカバリの一貫性およびコンプライアンスが向上します。
仕組み
BDRC のクロスアカウント管理は、リソースディレクトリを基盤として構築されています。リソースディレクトリは、大規模企業が Alibaba Cloud 上でマルチアカウントの組織構造を構築し、リソースを一元管理できる基盤サービスです。BDRC は、リソースディレクトリの信頼できるサービスとして、その組織構造および権限付与メカニズムを活用して、組織内のメンバーアカウントにおけるリソースのデータ保護を一元管理します。
委任された管理者アカウント（管理アカウントから BDRC における管理タスクを実行する権限を付与されたメンバーアカウント）がクロスアカウント管理を有効化し、メンバーアカウントを追加すると、BDRC はメンバーアカウント内のリソースにアクセスするための AliyunServiceRoleForBdrcRd サービスリンクロールを作成します。その後、委任された管理者アカウントは BDRC コンソール上でメンバーアカウントの視点に切り替えて、そのデータ保護スコアおよびリソース情報を確認し、統一された保護ポリシーを設定できます。
以下の表は、クロスアカウント管理のシナリオにおいて、委任された管理者アカウントおよびメンバーアカウントが実行可能な操作を示しています。
メンバーアカウントのリソース | 委任された管理者の操作 | メンバーアカウントの操作 |
ECS、OSS、NAS、Tablestore |
|
|
OSS、Tablestore |
|
|
クロスアカウント管理の有効化
前提条件
リソースディレクトリの有効化を行い、メンバーアカウントを作成するか、既存の Alibaba Cloud アカウントをリソースディレクトリに招待します。詳細については、「メンバーアカウントの作成」または「Alibaba Cloud アカウントをリソースディレクトリに招待する」をご参照ください。
手順 1：BDRC の委任された管理者の設定
管理アカウントを使用して、Resource Management コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
BDRC を検索し、[操作] 列の 管理 をクリックします。
委任された管理者アカウント セクションで、追加 をクリックし、対象のメンバーアカウントを選択してから、OK をクリックします。
アカウントを委任された管理者として指定すると、そのアカウントにはリソースディレクトリの組織およびメンバーに関する情報へのアクセス権限が付与され、BDRC コンソールから管理操作を実行できるようになります。
手順 2：クロスアカウント管理の有効化
委任された管理者アカウントを使用して、BDRC コンソールにログインします。
左側のナビゲーションウィンドウで、クロスアカウント管理 を選択し、画面上の指示に従って機能を有効化します。
前提条件のチェックに失敗した場合は、画面上の指示に従って前提条件のタスクを完了し、委任された管理者を設定してください。
手順 3：メンバーアカウントの追加
左側のナビゲーションウィンドウで、クロスアカウント管理 を選択し、次に アカウント管理 をクリックします。
クロスアカウント管理の構成 ページで、管理対象とするメンバーアカウント、それらを含むフォルダ、またはリソースディレクトリ全体を選択し、OK をクリックします。
説明フォルダまたはリソースディレクトリを管理対象として指定した場合、新規に追加されたメンバーアカウントは自動的に管理対象に追加されます。逆に、フォルダまたはディレクトリから除外されたアカウントも管理対象から削除され、関連するデータはクリアされます。
アカウントが追加されると、それらはクロスアカウント管理リストに表示されます。
手順 4：メンバーアカウントのリソースの表示
これらの構成を完了した後、委任された管理者アカウントを使用して BDRC コンソール上でメンバーアカウントのデータ保護情報を表示および管理できます。追加済みのメンバーアカウント間を切り替えることができます。以下の表は、各ページにおけるアカウント切り替えのサポート状況を示しています。
ページ | アカウント切り替えのサポート |
概要 | 集約ビューとして複数のアカウントを選択するか、単一のアカウントに切り替えることができます。 |
単一のアカウントに切り替えることができます。 | |
リソースセンター（ECS、OSS、NAS、Tablestore） | 集約ビューとして複数のアカウントを選択するか、単一のアカウントに切り替えることができます。 |
リスク検出 | 集約ビューとして複数のアカウントを選択するか、単一のアカウントに切り替えることができます。 |
あるページでアカウントを切り替えた場合、その変更は他のアカウント切り替えをサポートするページにも継承されます。集約ビューをサポートするページから単一アカウントビューのみをサポートするページに切り替えた場合、コンソールは最初に選択されたアカウントのビューを表示します。
クロスアカウントスコアの表示
データ保護ダッシュボードの表示
概要 ページでは、委任された管理者アカウントが 1 つ以上のメンバーアカウントを選択して、個別または集約形式で表示できます。
デフォルトでは、ダッシュボードに現在のアカウントのスコアデータが表示されます。
複数のアカウントを手動で選択して、集約データを表示できます。
リソースグループフィルターは、現在のアカウントのリソースグループのみを表示します。たとえば、アカウント A およびアカウント B の両方を選択し、「重要」リソースグループ（アカウント A のリソースのみに関連付けられている）でフィルターを適用した場合、ダッシュボードにはアカウント A の「重要」リソースグループに属するリソースのスコアが表示されます。
データ保護レポートのダウンロード
アカウントおよびリソースグループでフィルターを適用した後、プレビューおよびレポートのダウンロード をクリックして、データ保護ステータスに関するレポートをダウンロードできます。
クロスアカウント保護ポリシーの設定
クロスアカウントリソースグループの設定
リソースグループ管理 機能を使用すると、タグを活用して複数のメンバーアカウントにまたがるリソースをグループ化でき、統合的な管理が可能になります。
委任された管理者アカウントを使用して、BDRC コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
リソースグループの作成 をクリックし、画面上の指示に従ってリソースグループを作成します。
説明リソースグループに関連付けられたタグは、すべての管理対象アカウントのリソースに対して照合されます。タグを選択した後、リソースの検出 をクリックすると、影響を受けるアカウント数およびリソース数を確認できます。
クロスアカウント保護ポリシーの設定
委任された管理者アカウントでは、統一された保護ポリシーを設定し、複数のメンバーアカウントに適用できます。
委任された管理者アカウントを使用して、BDRC コンソールにログインします。
左側のナビゲーションウィンドウで、保護ポリシーセンター を選択し、画面上の指示に従って保護ポリシーを作成します。
保護ポリシーの下位に作成されたサブポリシーは、メンバーアカウントではなく委任された管理者アカウントに所属し、既存の Cloud Backup ポリシーとは関連付けられません。これらのポリシーはリソースグループを介してアカウント間で適用されるため、各メンバーアカウントでの個別の設定は不要です。
クロスアカウント管理の無効化
手順 1：アカウントの削除
委任された管理者アカウントを使用して、BDRC コンソールにログインします。
左側のナビゲーションウィンドウで、クロスアカウント管理 を選択します。
メンバーアカウント一覧から対象のメンバーアカウントを見つけ、[操作] 列の 管理対象から削除 をクリックし、次に OK をクリックします。
フォルダ経由で自動管理されているメンバーアカウントは、個別に削除できません。代わりに、アカウント管理 ページに移動し、フォルダの管理構成を削除する必要があります。これを行うと、そのフォルダ内のすべてのメンバーアカウントが管理対象から削除されます。
メンバーアカウントを管理対象から削除すると、そのリソースに関連付けられた保護ポリシーおよびリソースグループは適用されなくなります。また、そのアカウントのリソースはすべての関連サブポリシーからも除外されます。
手順 2：（任意）委任された管理者の削除
委任された管理者アカウントの管理権限を取り消すには、以下の手順を実行します。
委任された管理者アカウントを削除する前に、そのアカウントが他のメンバーアカウントを管理していないことを確認してください。他のアカウントを管理中の委任された管理者アカウントは削除できません。
管理アカウントを使用して、Resource Management コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
BDRC を検索し、[操作] 列の 管理 をクリックします。
委任された管理者アカウント セクションで、対象の委任された管理者アカウントを見つけ、[操作] 列の RDから移動 をクリックし、次に OK をクリックします。
クォータおよび制限事項
クロスアカウント管理を有効化しても、メンバーアカウントによる BDRC の利用は制限されません。メンバーアカウント内の構成は、委任された管理者アカウントとは独立しています。リソースグループ、保護ポリシー、メッセージなどのリソースは共有されません。
課金
BDRC のクロスアカウント管理機能自体は無料です。ただし、データ保護スコアの向上やリスクの是正のために利用するサービス（クラウドディスクスナップショットや Cloud Backup など）については、それぞれの料金体系に基づいて課金されます。詳細については、「製品の料金」をご参照ください。