複数アカウントから単一アカウントへの統合 - Cloud Firewall

複数の Alibaba Cloud アカウントにリソースが分散している場合、個別の Cloud Firewall インスタンスを管理すると、セキュリティのギャップが生じ、管理が複雑になります。マルチアカウント管理機能を使用すると、単一の Cloud Firewall インスタンスですべてのリソースを保護できます。このトピックでは、複数の Cloud Firewall インスタンスを単一の管理アカウントに統合する方法について説明します。

背景情報

組織がクラウド上でのプレゼンスを拡大するにつれて、増え続けるリソース、プロジェクト、権限の管理はますます複雑になります。単一のアカウントではもはや運用負荷に対応できなくなり、マルチアカウント戦略が不可欠となります。これにより、特にセキュリティ、コンプライアンス、ネットワーキング、運用の観点から、アカウントをまたいだリソースの集中管理が必要になります。

これらの要件を満たすため、Cloud Firewall は Alibaba Cloud のリソースディレクトリの信頼できるサービス機能を利用します。これにより、複数の Alibaba Cloud アカウントを単一のリソースディレクトリにグループ化でき、各アカウントはメンバーアカウントとなります。その後、1 つのメンバーを委任された管理者アカウントとして指定できます。このアカウントは、リソースディレクトリ内の他のすべてのメンバーアカウントのリソースにアクセスする権限を与えられます。この設定により、すべてのアカウントにまたがるインターネットアセットと VPC アセットに対して、トラフィック保護、ポリシー設定、トラフィック分析、侵入防止、攻撃防御、脅威検知、ログ監査の集中管理が可能になります。

開始する前に、次のアカウントロールについて理解してください：

アカウントタイプ	説明	リソースディレクトリの権限	Cloud Firewall の権限
管理アカウント	リソースディレクトリに属していない他の Alibaba Cloud アカウントをメンバーとして招待し、集中管理することができます。	企業のすべてのアセットに対する管理者権限を持ちます。	Cloud Firewall によって保護されているすべてのアセットを管理できます。
委任された管理者アカウント	管理アカウントが特定の信頼できるサービスを管理するために指定するメンバーアカウントです。指定されると、委任された管理者アカウントは組織とメンバーの情報にアクセスし、リソースディレクトリ全体でサービスを管理できます。説明委任された管理者アカウントを使用することで、組織管理タスクとサービス管理タスクを分離できます。管理アカウントは組織タスクを実行し、委任された管理者アカウントは信頼できるサービスのサービス固有のタスクを実行します。	企業のすべてのアセットに対する管理者権限を持ちます。	Cloud Firewall によって保護されているすべてのアセットを管理できます。
メンバーアカウント	管理アカウントによって招待され、リソースディレクトリに参加したアカウントです。	自身のアセットのみを管理できます。	Cloud Firewall の購入または有効化はできません。

利用シーン

ある企業が Alibaba Cloud アカウント A、Alibaba Cloud アカウント B、Alibaba Cloud アカウント C に対して、それぞれ個別の Cloud Firewall インスタンスを運用しています。この設定は管理の複雑さと管理オーバーヘッドを増大させます。運用を簡素化するため、この企業は Cloud Firewall のマルチアカウント管理機能を使用することを決定しました。Alibaba Cloud アカウント A を委任された管理者アカウントとして指定し、Alibaba Cloud アカウント B と C をメンバーアカウントとします。その結果、Alibaba Cloud アカウント A のみが Cloud Firewall インスタンスを必要とし、そのインスタンスがアカウント B と C と共有されます。

前提条件

管理アカウントでリソースディレクトリが有効になっていること。詳細については、「リソースディレクトリを有効にする」をご参照ください。
Alibaba Cloud アカウント A で Cloud Firewall のサブスクリプション (Advanced、Enterprise、または Ultimate Edition) または従量課金版を有効化していること。詳細については、「サブスクリプション 2.0」をご参照ください。

説明
現在、Cloud Firewall のサブスクリプション版のみがマルチアカウント管理をサポートしています。委任された管理者アカウントとして選択するアカウントが、サポートされているエディションを使用していることを確認してください。サブスクリプションのエディションによって、サポートされるメンバーアカウントの数が異なります。詳細については、「サブスクリプション 2.0」をご参照ください。

デフォルトでサポートされているメンバーアカウントの数がお客様のニーズを満たさない場合は、Cloud Firewall のエディションをスペックアップして上限を増やすことができます。

ステップ 1：リソースディレクトリへのメンバーの招待

管理アカウントは、リソースディレクトリ外の Alibaba Cloud アカウントをメンバーアカウントとして招待し、リソースを集中管理することができます。

管理アカウントを使用してリソースディレクトリコンソールにログインします。
左側のナビゲーションウィンドウで、リソースディレクトリ > 招待を選択します。
メンバーアカウントを招待 をクリックします。
メンバーアカウントを招待 パネルで、[招待されたアカウントの ID またはメールアドレス] フィールドに Alibaba Cloud アカウント A、Alibaba Cloud アカウント B、Alibaba Cloud アカウント C の ID を入力します。その後、リスク通知のチェックボックスを確認して選択します。

説明
アカウント登録時に使用したメールアドレスを使用してください。後からアカウントに紐付けたセカンダリメールアドレスは使用できません。アカウント ID またはログインメールをカンマ (,) で区切ることで、一度に複数の Alibaba Cloud アカウントを招待できます。
[OK] をクリックします。

ステップ 2：リソースディレクトリへの委任された管理者アカウントの追加

委任された管理者アカウントを使用することで、組織管理タスクとサービス管理タスクを分離できます。管理アカウントはリソースディレクトリで組織タスクを実行し、委任された管理者アカウントは信頼できるサービスのサービス固有のタスクを実行します。このシナリオでは、Alibaba Cloud アカウント A が委任された管理者アカウントです。

管理アカウントを使用してリソースディレクトリコンソールにログインします。
左側のナビゲーションウィンドウで、リソースディレクトリ > 信頼できるサービスを選択します。
信頼できるサービス ページで、Cloud Firewall の信頼できるサービスを見つけ、操作列の管理をクリックします。
[委任された管理者アカウント] セクションで、追加をクリックします。
[委任された管理者アカウント] パネルで、Alibaba Cloud アカウント A の ID を選択します。
[OK] をクリックします。

アカウントを追加すると、そのアカウントは信頼できるサービスのマルチアカウント管理モジュールにアクセスし、リソースディレクトリ全体で管理操作を実行できるようになります。

ステップ 3：メンバーの Cloud Firewall の登録解除またはリリース

メンバーアカウントは独自の Cloud Firewall インスタンスを持つことができないため、アカウント B と C がアカウント A に参加する前に、これらのインスタンスの登録を解除するか、リリースする必要があります。ご利用の課金方法 (サブスクリプションまたは従量課金) に基づいて、以下の手順に従ってください。続行する前に、以下の注意事項と返金ルールを確認してください。詳細な返金ルールについては、「セルフサービスの登録解除」をご参照ください。

注意事項

インスタンスの登録を解除またはリリースすると、以前インターネット境界ファイアウォールで保護されていたアセットは保護されなくなります。
VPC ファイアウォールを有効にしている場合は、Cloud Firewall の登録を解除またはリリースする前に無効にする必要があります。ファイアウォールを無効にすると、サービスから保護が解除されます。このプロセスはルート切り替えにより業務中断を引き起こす可能性があります。オフピーク時にこの操作を実行することを推奨します。
インスタンスの登録を解除またはリリースすると、既存のすべてのアクセス制御ポリシーと侵入防止ポリシーが削除されます。

サブスクリプション版 Cloud Firewall の登録解除

Alibaba Cloud アカウント B と Alibaba Cloud アカウント C の両方で、以下の手順を実行します：

[リソースの登録解除] ページに移動し、[リソースの登録解除] タブをクリックします。
[リソースの登録解除] タブで、[通常のクラウド製品] をクリックし、[部分的な登録解除] を選択します。
サブスクリプションの Cloud Firewall インスタンスを見つけ、[操作] 列の [リソースの登録解除] をクリックします。
[リソースの登録解除] ページで、リソース情報を確認し、[登録解除の理由] を設定します。その後、[登録解除ルールを注意深く読み、返金額を確認しました] と [登録解除するインスタンスのデータがバックアップおよび移行されたことを確認します] を読んで選択します。
[今すぐ登録解除] をクリックします。表示されるダイアログボックスで、情報を確認し、[OK] をクリックします。
登録解除リクエストが送信された後、[注文リスト] をクリックして処理の詳細を表示できます。

従量課金版 Cloud Firewall のリリース

Alibaba Cloud アカウント B と Alibaba Cloud アカウント C で、それぞれ Cloud Firewall コンソールにログインします。
概要ページの右上隅で、詳細 > セルフサービスリリース を選択します。
警告ダイアログボックスで、リリース情報を確認し、リリースを確認する をクリックします。

ステップ 4：Cloud Firewall へのメンバーアカウントの追加

Cloud Firewall はリソースディレクトリの信頼できるサービス機能を使用して、複数の Alibaba Cloud アカウントをリソースディレクトリにグループ化し、すべてのメンバーアカウント間でリソース共有を可能にします。

Alibaba Cloud アカウント A を使用して Cloud Firewall コンソールにログインします。
左側のナビゲーションウィンドウで、システム設定 > マルチアカウント統合管理 を選択します。
マルチアカウント統合管理 ページで、メンバーアカウントの追加 をクリックします。
メンバーアカウントの追加 ダイアログボックスで、Alibaba Cloud アカウント B と Alibaba Cloud アカウント C のアカウント ID を右側の Cloud Firewall インポートの選択済みメンバーアカウント リストに追加します。その後、[OK] をクリックします。

これで、Alibaba Cloud アカウント A はアカウント B と C をメンバーアカウントとして正常に追加しました。

重要

メンバーアカウントが追加されると、Cloud Firewall はデフォルトでそのアカウント内のクラウドリソースへのアクセスが許可されます。ただし、VPC ファイアウォールが別のアカウントの VPC を含む Cloud Enterprise Network (CEN) 内のネットワークインスタンスを保護している場合は、その別のアカウントのリソースにアクセスするために Cloud Firewall を手動で承認する必要があります。詳細については、「Cloud Firewall にクラウドリソースへのアクセスを承認する」をご参照ください。

ステップ 5：共有リソースに対する Cloud Firewall の設定

登録を解除すると既存のポリシーが削除されるため、共有リソースのファイアウォールを再有効化し、そのポリシーを再設定する必要があります。

注意事項

インターネット境界ファイアウォールは数秒で有効化できます。
VPC ファイアウォールを再有効化すると、ルート切り替えにより業務中断を引き起こす可能性があります。
アクセス制御ポリシーと侵入防止ポリシーを再設定する必要があります。

Alibaba Cloud アカウント A を使用して Cloud Firewall コンソールにログインします。
左側のナビゲーションウィンドウで、スイッチ をクリックします。
ファイアウォールスイッチ ページで、Synchronize Assets をクリックします。システムは現在のアカウントとそのメンバーアカウントのアセット情報を同期します。

このプロセスには 1〜2 分かかります。

アセットの同期が完了したら、共有リソースに対して Cloud Firewall の保護を有効にできます。

インターネット境界ファイアウォールの有効化

詳細については、「インターネット境界ファイアウォール」をご参照ください。

VPC ファイアウォールの有効化

ビジネス要件に応じて、サポートされている 3 つの VPC ファイアウォールシナリオのいずれかを選択します。

VPC ファイアウォールタイプ	シナリオ	操作ガイド
Enterprise Edition Transit Router 向け VPC ファイアウォール	以下の保護をサポートします：同一リージョン内の複数 VPC 間のトラフィック Enterprise Edition Transit Router を介したクロスリージョンの複数 VPC 間のトラフィック VPC と仮想ボーダールーター (VBR) 間のトラフィック (つまり、VPC とオンプレミスデータセンター間のトラフィック) VPC と Cloud Connect Network (CCN) 間のトラフィック複数の VBR 間のトラフィック CCN と VBR 間のトラフィック VPC とパブリック VPN 間のトラフィック以下の保護はサポートしていません：複数の CCN 間のトラフィック	複数の CCN を接続する
Basic Edition Transit Router 向け VPC ファイアウォール	以下の保護をサポートします：同一リージョン内の複数 VPC 間のトラフィック Basic Edition Transit Router を介したクロスリージョンの複数 VPC 間のトラフィック VPC と仮想ボーダールーター (VBR) 間のトラフィック (つまり、VPC とオンプレミスデータセンター間のトラフィック) VPC と Cloud Connect Network (CCN) 間のトラフィック以下の保護はサポートしていません：複数の VBR 間のトラフィック CCN と VBR 間のトラフィック複数の CCN 間のトラフィック	Cloud Enterprise Network 用の VPC ファイアウォールを設定する
Express Connect 向け VPC ファイアウォール	以下の保護をサポートします： Express Connect VPC モードでの同一リージョン内の同一アカウントの複数 VPC 間のトラフィック VPC ピアリングモードでの同一リージョン内の複数 VPC 間のトラフィック (同一アカウントおよびクロスアカウントを含む) 以下の保護はサポートしていません： Express Connect VPC モードでのクロスアカウントおよびクロスリージョンの複数 VPC 間のトラフィック VPC と仮想ボーダールーター (VBR) 間の相互アクセストラフィック説明クロスリージョン、クロスアカウントの VPC トラフィック、または VPC と VBR 間のトラフィックを保護する必要がある場合は、Cloud Enterprise Network の使用を推奨します。詳細については、チケットを起票してください。	ピアリング接続用の VPC ファイアウォールを設定する

アクセス制御ポリシーの設定

詳細については、「インターネット境界ファイアウォールのアクセス制御ポリシーを設定する」、「VPC ファイアウォールのアクセス制御ポリシーを設定する」、および「セキュリティグループを設定する」をご参照ください。
侵入防止ポリシーの設定

詳細については、「侵入防止」をご参照ください。

ステップ 6：サービスの安定性の検証

アクセス制御ポリシーのヒット数を確認し、トラフィックログをレビューして、想定されるトラフィックパターンと一致していることを確認します。ポリシーのヒット数とログデータが想定と一致し、異常がない場合、設定が正しく、サービスが安定していることが確認できます。この情報はアクセス制御ポリシーページとログ監査ページで表示できます。