ネットワークインスタンスのクロスアカウント権限付与 - Cloud Enterprise Network

トランジットルーター (TR) を、別の Alibaba Cloud アカウントにあるネットワークインスタンス (VPC、VBR、CCN、ECR インスタンス、IPsec-VPN 接続など) に接続するには、まずネットワークインスタンス側で TR に権限を付与する必要があります。このトピックでは、権限付与のプロセスと関連する操作について説明します。

課金

Enterprise Edition トランジットルーターを VPC、VBR、ECR インスタンス、または IPsec-VPN 接続にアタッチすると、ネットワークアタッチメント料金とデータ処理料金が発生します。権限を付与する際に、ネットワークインスタンスを所有するアカウントと Enterprise Edition トランジットルーターを所有するアカウントのどちらを支払者にするかを指定できます。Enterprise Edition トランジットルーターの課金の詳細については、「課金」をご参照ください。

制限事項

トランジットルーターは、同じサイトタイプのアカウントに属するネットワークインスタンスにのみ接続できます。例えば、中国サイトのアカウントにあるトランジットルーターは、国際サイトのアカウントにあるネットワークインスタンスには接続できません。
アクティブなネットワークアタッチメントの支払者を変更するには、ネットワークインスタンスのアカウントとトランジットルーターのアカウントの両方で手順を実行する必要があり、単一の操作で変更することはできません。詳細については、「ネットワークインスタンスの支払者を変更する」をご参照ください。

前提条件

ネットワークインスタンスに権限を付与する前に、次の要件が満たされていることを確認してください。

ネットワークインスタンスを所有するアカウントとトランジットルーターを所有するアカウントが、同じサイトタイプ (両方とも中国サイト、または両方とも国際サイト) であること。
トランジットルーターは、同じサイトタイプのアカウントに属するネットワークインスタンスにのみ接続できます。例えば、中国サイトのアカウントにあるトランジットルーターは、国際サイトのアカウントにあるネットワークインスタンスには接続できません。
トランジットルーターインスタンスを所有する Alibaba Cloud アカウントの ID があること。
トランジットルーターが属する CEN インスタンスの ID があること。
VBR インスタンスに権限を付与する前に、必要な権限を申請する必要があります。詳細については、「クロスアカウント VBR を CEN インスタンスまたは VPC にアタッチするための申請」をご参照ください。
IPsec-VPN 接続に権限を付与する前に、どのリソースにもアタッチされていないことを確認してください。
- VPN Gateway インスタンスにアタッチされている IPsec-VPN 接続は、トランジットルーターにアタッチできません。
- IPsec-VPN 接続がすでにトランジットルーターにアタッチされている場合は、まずそれをデタッチする必要があります。詳細については、「ネットワークアタッチメントの削除」をご参照ください。

シナリオ

このシナリオでは、アカウント B のトランジットルーターを、アカウント A の複数のネットワークインスタンス (VPC インスタンス、VBR インスタンス、CCN インスタンス、ECR インスタンス、および IPsec-VPN 接続) に接続する必要があります。以下のセクションでは、アカウント A がアカウント B のトランジットルーターに権限を付与する方法について説明します。

ネットワークインスタンスの権限付与

VPC の権限付与

アカウント A で VPC コンソールにログインします。
トップナビゲーションバーで、対象の VPC インスタンスがデプロイされているリージョンを選択します。
VPC ページで、対象の VPC インスタンスを見つけてその ID をクリックします。
Cross-account Authorization タブをクリックします。[Cloud Enterprise Network] タブで、CEN クロスアカウント権限付与 をクリックします。

CEN にアタッチ ダイアログボックスで、パラメーターを設定し、[OK] をクリックします。

パラメーター	説明
ピアリングアカウント UID	トランジットルーターインスタンスを所有する Alibaba Cloud アカウントの ID。
ピアリングアカウント CEN ID	トランジットルーターが属する CEN インスタンスの ID。
支払者	料金を支払うアカウントを選択します。 CEN の所有者 (デフォルト)：トランジットルーターを所有するアカウントが、VPC のネットワークアタッチメント料金とデータ処理料金を支払います。 VPC の所有者：VPC を所有するアカウントが、VPC のネットワークアタッチメント料金とデータ処理料金を支払います。重要支払者は慎重に選択してください。支払者を変更すると、サービスに影響が及ぶ可能性があります。詳細については、「ネットワークインスタンスの支払者を変更する」をご参照ください。

設定を確認すると、権限付与が作成され、Cross-account Authorization タブに一覧表示されます。 VPC授权

VPC ID とアカウント A の ID を書き留めます。この情報は、VPC アタッチメントを作成する際に必要になります。詳細については、「VPC アタッチメントの作成」をご参照ください。
アカウント ID は [アカウント管理] ページで確認できます。

VBR の権限付与

アカウント A で Express Connect コンソールにログインします。
トップナビゲーションバーで、対象の VBR インスタンスがデプロイされているリージョンを選択します。
左側のナビゲーションウィンドウで、仮想ボーダールーター (VBR) をクリックします。
仮想ボーダールーター (VBR) ページで、対象の VBR インスタンスの ID をクリックします。
CEN 権限付与 タブで、クロスアカウントの CEN 権限付与 をクリックします。

クロスアカウントの CEN 権限付与 ペインで、パラメーターを設定し、OK をクリックします。

パラメーター	説明
[ピア CEN インスタンス ID]	トランジットルーターが属する CEN インスタンスの ID。
[ピアアカウント UID]	トランジットルーターインスタンスを所有する Alibaba Cloud アカウントの ID。
支払人	料金を支払うアカウントを選択します。 CEN の所有者 (デフォルト)：トランジットルーターを所有するアカウントが、VBR のネットワークアタッチメント料金とデータ処理料金を支払います。 VBR の所有者：VBR を所有するアカウントが、VBR のネットワークアタッチメント料金とデータ処理料金を支払います。重要支払者は慎重に選択してください。支払者を変更すると、サービスに影響が及ぶ可能性があります。詳細については、「ネットワークインスタンスの支払者の変更」をご参照ください。

設定を確認すると、権限付与が作成され、CEN 権限付与 タブに一覧表示されます。 VBR授权

VBR ID とアカウント A の ID を書き留めます。この情報は、VBR アタッチメントを作成する際に必要になります。詳細については、「VBR アタッチメントの作成」をご参照ください。
アカウント ID は [アカウント管理] ページで確認できます。

CCN の権限付与

アカウント A で Smart Access Gateway コンソールにログインします。
トップナビゲーションバーで、対象の CCN インスタンスが配置されているリージョンを選択します。
左側のナビゲーションウィンドウで、CCN をクリックします。
CCN ページで、対象の CCN インスタンスの ID をクリックします。
インスタンス詳細ページで、CEN Cross Account Authorization Information タブをクリックし、次に CEN Cross Account Authorization をクリックします。
Attach to CEN ダイアログボックスで、アカウント B の ID とアカウント B に属する CEN インスタンスの ID を入力し、OK をクリックします。
権限が付与されると、CEN Cross Account Authorization Information タブで権限付与情報を確認できます。
CCN ID とアカウント A の ID を書き留めます。この情報は、CCN アタッチメントを作成する際に必要になります。詳細については、「CCN アタッチメントの作成」をご参照ください。
アカウント ID は [アカウント管理] ページで確認できます。

IPsec-VPN の権限付与

VPN Gateway コンソールにログインします。
左側のナビゲーションウィンドウで、[相互接続] > [VPN] > IPsec 接続 を選択します。
トップナビゲーションバーで、IPsec-VPN 接続のリージョンを選択します。
IPsec 接続 ページで、対象の IPsec-VPN 接続を見つけてその ID をクリックします。
IPsec-VPN 接続の詳細ページで、CEN クロスアカウント権限付与 タブをクリックし、次に CEN クロスアカウント権限付与 をクリックします。

CEN にアタッチ ダイアログボックスで、パラメーターを設定し、[OK] をクリックします。

パラメーター	説明
ピアリングアカウント UID	トランジットルーターインスタンスを所有する Alibaba Cloud アカウントの ID です。
ピアリングアカウント CEN ID	トランジットルーターが属する CEN インスタンスの ID です。
支払者	料金を支払うアカウントを選択します。 CEN 所有者 (デフォルト)：トランジットルーターを所有するアカウントが、トランジットルーターが IPsec 接続にアタッチされた後のネットワークアタッチメント料金とデータ処理料金を支払います。 VPN 所有者：IPsec 接続を所有するアカウントが、トランジットルーターが IPsec 接続にアタッチされた後のネットワークアタッチメント料金とデータ処理料金を支払います。重要支払者は慎重に選択してください。支払者を変更すると、ご利用のサービスに影響が及ぶ可能性があります。詳細については、「ネットワークインスタンスの支払者の変更」をご参照ください。 IPsec 接続の所有者は、引き続きそのインスタンス料金とデータ転送料金を負担します。

権限が付与されると、CEN クロスアカウント権限付与 タブで権限付与情報を確認できます。 IPsec连接授权

IPsec-VPN 接続 ID とそれを所有する Alibaba Cloud アカウントの ID を書き留めます。この情報は、VPN アタッチメントを作成する際に必要になります。詳細については、「VPN アタッチメントの作成」をご参照ください。
アカウント ID は [アカウント管理] ページで確認できます。

ECR の権限付与

アカウント A で Express Connect コンソールにログインします。
左側のナビゲーションウィンドウで、[ECR] をクリックします。
[ECR] ページで、対象の ECR インスタンスの ID をクリックします。
CEN 権限付与 タブで、クロスアカウントの CEN 権限付与 をクリックします。

CEN に接続 ダイアログボックスで、パラメーターを設定し、[OK] をクリックします。

パラメーター	説明
対向 CEN インスタンス ID	トランジットルーターが属する CEN インスタンスの ID です。
対向アカウント UID	トランジットルーターインスタンスを所有する Alibaba Cloud アカウントの ID です。
支払人	料金を支払うアカウントを選択します。 CEN の所有者 (デフォルト)：トランジットルーターを所有するアカウントが、ECR のネットワークアタッチメント料金とデータ処理料金を支払います。 ECR オーナー：ECR を所有するアカウントが、ECR のネットワークアタッチメント料金とデータ処理料金を支払います。重要支払者は慎重に選択してください。支払者を変更すると、サービスに影響が及ぶ可能性があります。詳細については、「ネットワークインスタンスの支払者の変更」をご参照ください。

権限が付与されると、CEN 権限付与 タブで権限付与情報を確認できます。 ECR授权.png

ECR ID とアカウント A の ID を書き留めます。この情報は、ECR アタッチメントを作成する際に必要になります。詳細については、「ECR アタッチメントの作成」をご参照ください。
アカウント ID は [アカウント管理] ページで確認できます。

ネットワークインスタンスの支払者の変更

Enterprise Edition トランジットルーターがまだクロスアカウントのネットワークインスタンスにアタッチされていない場合は、リソースアカウント (ネットワークインスタンスを所有するアカウント) で権限付与を取り消し、新しい権限付与を再度行います。
Enterprise Edition トランジットルーターがすでにクロスアカウントのネットワークインスタンスにアタッチされている場合は、まずリソースアカウントで支払者を変更し、次に TR 側で支払者を変更する必要があります。変更は、次の時間の正時に有効になります。
支払者を変更できるのは、VPC、VBR、および VPN アタッチメントのみです。この機能は ECR アタッチメントではサポートされていません。
コンソール
この例では、クロスアカウント VPC アタッチメントの支払者を変更する方法を示します。前提は以下の通りです。
- アカウント A が CEN インスタンスを所有し、アカウント B が VPC インスタンスを所有しています。
- 現在の支払者はアカウント A (CEN インスタンスの所有者) です。
支払者をアカウント B (VPC 所有者) に変更するには、次の手順に従います。
1. アカウント B で、VPC インスタンスの詳細ページで支払者を変更します。
  対象の VPC インスタンスの詳細ページで、クロスアカウント権限付与 タブに移動します。対象の権限付与の Payer 列で編集をクリックし、VPC の所有者 を選択します。
2. アカウント A で、VPC アタッチメントの支払者を変更します。
  対象のトランジットルーターに移動し、対象の VPC アタッチメントを見つけ、課金先 列の編集をクリックし、[リソース所有者アカウント] を選択します。
3. 変更が有効になるのを待ちます。
  変更は、次の時間の正時に有効になります。
API
1. リソースアカウントから ModifyGrantInstanceToTransitRouter 操作を呼び出し、OrderType パラメーターを希望の支払者に設定します。
2. TR アカウントから支払者を変更します。
  - VPC アタッチメントの場合、UpdateTransitRouterVpcAttachmentAttribute 操作を呼び出し、OrderType パラメーターを希望の支払者に設定します。
  - VBR アタッチメントの場合、UpdateTransitRouterVbrAttachmentAttribute 操作を呼び出し、OrderType パラメーターを希望の支払者に設定します。
  - VPN アタッチメントの場合、UpdateTransitRouterVpnAttachmentAttribute 操作を呼び出し、OrderType パラメーターを希望の支払者に設定します。
3. 変更は、次の時間の正時に有効になります。その後、TR アカウントから DescribeGrantRulesToCen 操作を呼び出して、EffectiveOrderType パラメーターが新しい支払者に更新されたことを確認できます。

ネットワークインスタンスの権限付与の取り消し

ネットワークインスタンスの権限付与を取り消す前に、ネットワークアタッチメントを削除する必要があります。詳細については、「ネットワークアタッチメントの削除」をご参照ください。

VPC の権限付与の取り消し

アカウント A で VPC コンソールにログインします。
トップナビゲーションバーで、対象の VPC インスタンスがデプロイされているリージョンを選択します。
VPC ページで、対象の VPC インスタンスを見つけてその ID をクリックします。
Cross-account Authorization タブをクリックします。[クラウドエンタープライズネットワーク] タブで、対象の権限付与を見つけ、操作列の 権限取り消し をクリックします。
権限取り消し ダイアログボックスで、情報を確認し、[OK] をクリックします。

VBR の権限付与の取り消し

アカウント A で Express Connect コンソールにログインします。
トップナビゲーションバーで、対象の VBR インスタンスがデプロイされているリージョンを選択します。
左側のナビゲーションウィンドウで、仮想ボーダールーター (VBR) をクリックします。
仮想ボーダールーター (VBR) ページで、対象の VBR インスタンスの ID をクリックします。
CEN 権限付与 タブをクリックします。このタブで、対象の権限付与を見つけ、アクション 列の削除をクリックします。
権限の取り消し ダイアログボックスで、情報を確認し、OK をクリックします。

CCN の権限付与の取り消し

アカウント A で Smart Access Gateway コンソールにログインします。
トップナビゲーションバーで、対象の CCN インスタンスが配置されているリージョンを選択します。
左側のナビゲーションウィンドウで、CCN をクリックします。
CCN ページで、対象の CCN インスタンスの ID をクリックします。
CEN Cross Account Authorization Information タブをクリックします。このタブで、対象の権限付与を見つけ、Actions 列の Revoke Authorization をクリックします。
Note ダイアログボックスで、情報を確認し、[OK] をクリックします。

IPsec-VPN の権限付与の取り消し

アカウント A で VPN Gateway コンソールにログインします。
トップナビゲーションバーで、対象の IPsec-VPN 接続が配置されているリージョンを選択します。
左側のナビゲーションウィンドウで、[相互接続] > [VPN] > IPsec 接続 に移動します。
IPsec 接続 ページで、対象の IPsec-VPN 接続を見つけてその ID をクリックします。
IPsec-VPN 接続の詳細ページで、CEN クロスアカウント権限付与 タブで対象の権限付与を見つけ、操作列の 権限取り消し をクリックします。
権限取り消し ダイアログボックスで、情報を確認し、[OK] をクリックします。

ECR の権限付与の取り消し

アカウント A で Express Connect コンソールにログインします。
左側のナビゲーションウィンドウで、[ECR] をクリックします。
[ECR] ページで、対象の ECR インスタンスの ID をクリックします。
CEN 権限付与 タブをクリックします。このタブで、対象の権限付与を見つけ、アクション 列の削除をクリックします。
権限の取り消し ダイアログボックスで、情報を確認し、OK をクリックします。

課金