すべてのプロダクト
Search

このプロダクト

    Cloud Firewall:Cloud Firewall による企業の集中保護

    ドキュメントセンター

    Cloud Firewall:Cloud Firewall による企業の集中保護

    最終更新日:Jun 23, 2026

    マルチアカウント管理は、企業のセキュリティポリシーを統一し、管理上の見落としによるセキュリティインシデントを削減し、統一された保護と迅速な防御を提供し、ビジネスのセキュリティを強化します。このトピックでは、同一リージョン内の 2 つの Alibaba Cloud アカウントにまたがる VPC を管理する例を用いて、Cloud Firewall を使用して VPC リソースを共有し、安全なトラフィックを確保する方法について説明します。

    背景情報

    組織がクラウド上でのプレゼンスを拡大するにつれて、増え続けるリソース、プロジェクト、権限の管理はますます複雑になります。単一のアカウントではもはや運用負荷を処理できず、マルチアカウント戦略が不可欠となります。これにより、特にセキュリティ、コンプライアンス、ネットワーキング、運用のために、アカウント間でリソースを集中管理する必要があります。

    これらの要件を満たすため、Cloud Firewall は Alibaba Cloud Resource Directory の信頼できるサービス機能を利用します。これにより、複数の Alibaba Cloud アカウントを単一のリソースディレクトリにグループ化し、各アカウントをメンバーアカウントとすることができます。その後、1 つのメンバーを委任された管理者アカウントとして指定できます。このアカウントは、リソースディレクトリ内の他のすべてのメンバーアカウントのリソースにアクセスする権限を与えられます。この設定により、すべてのアカウントにわたるインターネット資産と VPC 資産に対して、トラフィックの集中保護、ポリシー設定、トラフィック分析、侵入防止、攻撃防御、脅威検知、ログ監査が可能になります。

    開始する前に、次のアカウントのロールを理解してください：

    アカウントタイプ

    説明

    リソースディレクトリの権限

    Cloud Firewall の権限

    管理アカウント

    リソースディレクトリに属していない他の Alibaba Cloud アカウントをメンバーとして招待し、集中管理することができます。

    企業のすべての資産に対する管理者権限を持ちます。

    Cloud Firewall によって保護されているすべての資産を管理できます。

    委任された管理者アカウント

    管理アカウントが特定の信頼できるサービスを管理するために指定するメンバーアカウントです。指定されると、委任された管理者アカウントは組織とメンバーの情報にアクセスし、リソースディレクトリ全体でサービスを管理できます。

    説明

    委任された管理者アカウントを使用することで、組織の管理タスクとサービスの管理タスクが分離されます。管理アカウントは組織のタスクを実行し、委任された管理者アカウントは信頼できるサービスのサービス固有のタスクを実行します。

    企業のすべての資産に対する管理者権限を持ちます。

    Cloud Firewall によって保護されているすべての資産を管理できます。

    メンバーアカウント

    管理アカウントによって招待され、リソースディレクトリに参加したアカウントです。

    自身の資産のみを管理できます。

    Cloud Firewall の購入や有効化はできません。

    VPC ファイアウォールの保護範囲の詳細については、「VPC ファイアウォールの概要」をご参照ください。

    このトピックでは、VPC ピアリング接続を例として使用します。

    サンプルシナリオ

    • ネットワークのデプロイメント

      ある企業が、中国 (北京) リージョンにある 2 つの Alibaba Cloud アカウントにリソースをデプロイしています。アカウント A には BJ-VPC1 と BJ-VPC2 の 2 つの VPC があり、それぞれに BJ-VPC1-ECS1 と BJ-VPC2-ECS2 という ECS インスタンスがあります。アカウント B にも BJ-VPC3 と BJ-VPC4 の 2 つの VPC があり、それぞれに BJ-VPC3-ECS3 と BJ-VPC4-ECS4 という ECS インスタンスがあります。この企業は VPC ピアリング接続を使用して、BJ-VPC1 と BJ-VPC2 間、および BJ-VPC3 と BJ-VPC4 間のトラフィックを許可しています。

    • 要件とソリューション

      この企業は、Alibaba Cloud アカウント A でのみ有効化された単一の Cloud Firewall インスタンスを使用して、VPC 間のトラフィックを検査したいと考えています。このソリューションは、BJ-VPC1 と BJ-VPC2 間、および BJ-VPC3 と BJ-VPC4 間のトラフィックを保護する必要があります。さらに、BJ-VPC1-ECS1 インスタンスから BJ-VPC2-ECS2 インスタンスへのアクセスをブロックする必要があります。これを実現するために、企業は Cloud Firewall のマルチアカウント管理、VPC ファイアウォール、およびアクセス制御機能を使用します。

    重要

    この例では、Alibaba Cloud アカウント A が委任された管理者アカウントとして機能します。実際のデプロイメントでは、ビジネス要件に基づいてこのロールを割り当てることができます。

    以下の図は、ネットワーク構成を示しています。

    场景

    前提条件

    • 管理アカウントでリソースディレクトリを有効にしていること。詳細については、「リソースディレクトリを有効にする」をご参照ください。

    • Alibaba Cloud アカウント A で Cloud Firewall の Premium、Enterprise、Ultimate、または従量課金版を有効にしていること。詳細については、「サブスクリプション 2.0」をご参照ください。

      説明

      メンバーアカウントを追加するには、より多くのアカウントをサポートするために Cloud Firewall プランをスペックアップする必要があります。

    • 同一リージョンに 4 つの VPC をデプロイしていること：Alibaba Cloud アカウント A に 2 つ、Alibaba Cloud アカウント B に 2 つ。詳細については、「VPC の作成と管理」をご参照ください。

    • Alibaba Cloud アカウント A と Alibaba Cloud アカウント B の両方で、各 VPC に 1 つの ECS インスタンスを作成していること。詳細については、「ECS インスタンスの作成」をご参照ください。

    • 各アカウント内の 2 つの VPC を接続するために VPC ピアリング接続を確立していること。詳細については、「VPC ピアリング接続の作成と管理」をご参照ください。

    次の表に、ネットワーク構成の概要を示します。

    リソース

    Alibaba Cloud アカウント A

    Alibaba Cloud アカウント B

    アカウント ID

    135809047715****

    166032244439****

    VPC

    BJ-VPC1

    • VPC ID：vpc-2zekde0udtz2s1hn9****

    • IPv4 CIDR ブロック：10.33.33.0/24

    • ルートテーブル ID：vtb-2zeo25fbkcvc2lx7j****

    • vSwitch ID：vsw-2zergkz3h7hfxnwjc****

    BJ-VPC2

    • VPC ID：vpc-2zey3h1i556yn5orn****

    • IPv4 CIDR ブロック：10.66.66.0/24

    • ルートテーブル ID：vtb-2zeng2qo4r5kqkwmv****

    • vSwitch ID：vsw-2ze61hhs23ar7k17s****

    BJ-VPC3

    • VPC ID：vpc-2ze9epancaw8t4sha****

    • IPv4 CIDR ブロック：10.10.10.0/24

    • ルートテーブル ID：vtb-2zekhldj6y24xm6vi****

    • vSwitch ID：vsw-2ze7jen232cnsip5w****

    BJ-VPC4

    • VPC ID：vpc-2ze3rb2rf1rqo3peo****

    • IPv4 CIDR ブロック：10.10.11.0/24

    • ルートテーブル ID：vtb-2zestg1kxe9it54yu****

    • vSwitch ID：vsw-2zen4zehanv3e9j21v****

    ECS

    BJ-VPC1-ECS1

    • ECS インスタンス ID：i-2ze8prly56kn5y4u****

    • プライベート IP アドレス：10.33.33.17

    BJ-VPC2-ECS2

    • ECS インスタンス ID：i-2zeg9h0nl4nyfyp5****

    • プライベート IP アドレス：10.66.66.94

    BJ-VPC3-ECS3

    • ECS インスタンス ID：i-2zef9h0nl4nyfyp5****

    • プライベート IP アドレス：10.10.10.44

    BJ-VPC4-ECS4

    • ECS インスタンス ID：i-2zedtril4bzhibk3****

    • プライベート IP アドレス：10.10.11.115

    構成

    ステップ 1：メンバーの招待

    管理アカウントは、リソースディレクトリ外の Alibaba Cloud アカウントをメンバーとして招待し、すべてのリソースを集中管理することができます。

    1. 管理アカウントを使用して Resource Management コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、リソースディレクトリ > 招待 を選択します。

    3. メンバーアカウントを招待 をクリックします。

    4. メンバーアカウントを招待 パネルの [アカウント ID またはログインメールアドレス] フィールドに、Alibaba Cloud アカウント A (135809047715****) と Alibaba Cloud アカウント B (166032244439****) の ID を入力します。その後、リスク通知を確認し、チェックボックスを選択します。

      説明

      メールアドレスは、アカウントの回復用メールアドレスではなく、ログインメールアドレスである必要があります。複数のアカウント ID またはログインメールアドレスを入力して、アカウントを一括で招待できます。各エントリはコンマ (,) で区切ります。

    5. OK をクリックします。

    ステップ 2：委任された管理者アカウントの追加

    委任された管理者アカウントは、組織の管理タスクとサービスの管理タスクを分離します。企業の管理アカウントはリソースディレクトリの組織タスクを実行し、委任された管理者アカウントは信頼できるサービスを管理します。この例では、Alibaba Cloud アカウント A が委任された管理者アカウントです。

    説明

    Cloud Firewall は最大 5 つの委任された管理者アカウントをサポートします。

    1. 管理アカウントを使用して Resource Management コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、リソースディレクトリ > 信頼できるサービス を選択します。

    3. 信頼できるサービス ページで、対象の信頼できるサービスを見つけ、操作 列の 管理 をクリックします。

    4. [委任された管理者アカウント] セクションで、追加 をクリックします。

    5. [委任された管理者アカウントの追加] パネルで、Alibaba Cloud アカウント A (ID: 135809047715****) を選択します。

    6. OK をクリックします。

      アカウントを追加した後、信頼できるサービスのマルチアカウント管理モジュールにアクセスし、リソースディレクトリ全体を管理できます。

    ステップ 3：メンバーアカウントの追加

    Cloud Firewall は Resource Directory の信頼できるサービス機能を使用して、複数の Alibaba Cloud アカウントを整理します。ディレクトリ内の各アカウントはメンバーアカウントになり、すべてのメンバーがリソースを共有できます。

    1. Alibaba Cloud アカウント A で Cloud Firewall コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、システム設定 > マルチアカウント統合管理 を選択します。

    3. マルチアカウント統合管理 ページで、メンバーアカウントの追加 をクリックします。

    4. メンバーアカウントの追加 ダイアログボックスで、Alibaba Cloud アカウント B (166032244439****) を Cloud Firewall インポートの選択済みメンバーアカウント リストに追加します。

    5. Cloud Firewall インポートの選択済みメンバーアカウント リストで、Alibaba Cloud アカウント B (166032244439****) を選択し、OK をクリックします。

      Alibaba Cloud アカウント A (135809047715****) は、Alibaba Cloud アカウント B (166032244439****) をメンバーアカウントとして追加しました。Alibaba Cloud アカウント B (UID: 166032244439****) は、[マルチアカウント管理] ページのメンバーアカウントリストに [正常] ステータスで表示されます。

    重要

    メンバーアカウントを追加すると、Cloud Firewall にそのアカウントのクラウドリソースへのデフォルトの権限が付与されます。VPC ファイアウォールが Cloud Enterprise Network 内のクロスアカウント VPC を保護する場合、VPC を所有する Alibaba Cloud アカウントのクラウドリソースへのアクセスを Cloud Firewall に手動で許可する必要があります。詳細については、「Cloud Firewall にクラウドリソースへのアクセスを許可する」をご参照ください。

    ステップ 4：VPC ファイアウォールの作成

    2 つの VPC が VPC ピアリング接続を介して接続されている場合、VPC ファイアウォールを作成してそれらの間のトラフィックを検査できます。

    重要

    VPC ファイアウォールを有効にすると、ルートのスイッチオーバーがトリガーされ、VPC 間のトラフィックが短時間中断される可能性があります。この操作はオフピーク時に実行することを推奨します。

    1. Alibaba Cloud アカウント A で Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、スイッチ をクリックします。

    2. ファイアウォールスイッチ ページで、VPC 境界ファイアウォール タブをクリックします。

    3. Express Connect タブで、VPC インスタンス が BJ-VPC1 で ピア VPC インスタンス が BJ-VPC2 のエントリを見つけ、操作 列の 作成する をクリックします。

      Cloud Firewall は 30 分ごとにリソースを同期するため、新しく作成されたリソースが表示されるまでに最大 30 分かかる場合があります。

    4. VPC ファイアウォールの作成 ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。

      パラメーター

      説明

      例

      インスタンス名

      VPC ファイアウォールインスタンスを識別するための、一意でわかりやすい名前。

      マルチアカウント管理テスト

      接続方式

      VPC 間、または VPC とデータセンター間の接続方法を指定します。このシナリオでは、タイプは自動的に Express Connect に設定されます。

      VPC ピアリング接続

      VPC 詳細

      VPC リージョンとインスタンスを確認します。保護する ルーティングテーブル を選択し、宛先 CIDR ブロック を入力します。

      ローカル VPC：

      • リージョン：中国 (北京)

      • VPC：vpc-2zekde0udtz2s1hn9****-BJ-VPC1

      • ファイアウォール IP/ENI：10.33.33.15-eni-2zeau3rre2q3llavidw0

      • ルートテーブル：vtb-2zeo25fbkcvc2lx7j****

      • 宛先 CIDR ブロック：10.66.66.0/24

      ピア VPC：

      • リージョン：中国 (北京)

      • VPC：vpc-2zey3h1i556yn5orn****-BJ-VPC2

      • ファイアウォール IP/ENI：10.66.66.92-eni-2zeau3rre2q3llavidw0

      • ルートテーブル：vtb-2zeo25****

      • 宛先 CIDR ブロック：10.33.33.0/24

      侵入防御

      Cloud Firewall の組み込み脅威検知エンジンは、インターネットからの南北のトラフィックと VPC 境界での東西のトラフィックの両方に対して、ネットワーク侵入をリアルタイムでブロックする侵入防止システム (IPS) を提供します。

      • IPS モード：ブロックモード - 緩い

      • IPS 機能：基本ルールと仮想パッチ

      VPC ファイアウォールを有効にする

      有効にすると、VPC ファイアウォールは作成時に自動的にアクティブ化されます。このオプションはデフォルトで無効になっています。

      有効

    5. Express Connect タブで、VPC インスタンス が BJ-VPC3 で ピア VPC インスタンス が BJ-VPC4 のエントリを見つけ、操作 列の 作成する をクリックします。

    6. VPC ファイアウォールの作成 ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。

      パラメーター

      説明

      例

      インスタンス名

      VPC ファイアウォールインスタンスを識別するための、一意でわかりやすい名前。

      マルチアカウント管理テスト02

      接続方式

      VPC 間、または VPC とデータセンター間の接続方法を指定します。このシナリオでは、タイプは自動的に Express Connect に設定されます。

      VPC ピアリング接続

      VPC 詳細

      VPC リージョンとインスタンスを確認します。保護する ルーティングテーブル を選択し、宛先 CIDR ブロック を入力します。

      ローカル VPC：

      • リージョン：中国 (北京)

      • VPC ID：vpc-2ze9epancaw8t4sha****-VPC3-ECS3

      • ファイアウォール IP/ENI：10.10.10.46-eni-2ze0if806m1f08w5****

      • ルートテーブル：vtb-2zekhldj6y24xm6vi****

      • 宛先 CIDR ブロック：10.10.11.0/24

      ピア VPC：

      • リージョン：中国 (北京)

      • VPC：vpc-2ze3rb2rf1rqo3peo****-BJ-VPC4

      • ファイアウォール IP/ENI：10.10.11.116-eni-2ze24sw34yq9n8ae****

      • ルートテーブル：vtb-2zestg1kxe9it54yu****

      • 宛先 CIDR ブロック：10.10.10.0/24

      侵入防御

      Cloud Firewall の組み込み脅威検知エンジンは、インターネットからの南北のトラフィックと VPC 境界での東西のトラフィックの両方に対して、ネットワーク侵入をリアルタイムでブロックする侵入防止システム (IPS) を提供します。

      • IPS モード：ブロックモード - 緩い

      • IPS 機能：基本ルールと仮想パッチ

      VPC ファイアウォールを有効にする

      有効にすると、VPC ファイアウォールは作成時に自動的にアクティブ化されます。このオプションはデフォルトで無効になっています。

      有効

    ステップ 5：アクセス制御ポリシーの設定

    VPC ファイアウォールは VPC 間のトラフィックを検査します。デフォルトでは、これらの VPC 間のすべてのトラフィックを許可します。VPC ファイアウォールにアクセス制御ポリシーを作成することで、資産へのトラフィックを詳細に制御できます。この例では、BJ-VPC1-ECS1 インスタンスから BJ-VPC2-ECS2 インスタンスへのアクセスを拒否するアクセス制御ポリシーを作成します。両方の Elastic Compute Service (ECS) インスタンスは、1 つの Alibaba Cloud アカウントに属しています。

    1. ご利用の Alibaba Cloud アカウントで Cloud Firewall コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、緩和設定 > アクセス制御 > ポリシーの構成 > VPC 境界 を選択します。

    3. VPC 境界 ページで、ポリシーの作成 をクリックします。

    4. ポリシーの作成 - VPC ボーダー パネルで、次のパラメーターを設定します。

      パラメーター

      説明

      値の例

      ソースタイプ

      トラフィックソースのタイプ。

      IP

      アクセスソース

      トラフィックのソースアドレス。

      10.33.33.17/32

      送信先タイプ

      トラフィックの宛先のタイプ。

      IP

      宛先

      トラフィックの宛先アドレス。

      10.66.66.94/32

      プロトコルタイプ

      トランスポート層プロトコル。

      TCP

      ポートタイプ

      ポートのタイプ。

      ポート

      ポート

      ポリシーが適用される宛先ポート。ポートタイプ の設定に応じて、ポート番号を入力するか、選択 をクリックして事前に設定された アドレス帳 から選択できます。

      80

      アプリケーション

      トラフィックが使用するアプリケーション。

      ANY

      アクション

      ポリシーに一致するトラフィックに対して実行するアクション。

      拒否

      記述

      ポリシーの目的を識別するためのオプションの説明。

      アカウント内管理のための拒否ポリシー

      優先度

      ポリシーの優先度。デフォルト値は最後です。

      最低

    5. OK をクリックします。

    ステップ 6：トラフィックログと侵入防止の表示

    ファイアウォールを設定した後、Cloud Firewall コンソールで VPC 間のトラフィックをモニターできます。VPC アクセス機能は、異常なトラフィックを特定し、トラブルシューティングするのに役立つリアルタイム情報を提供し、潜在的な攻撃の迅速な検出を可能にします。詳細については、「VPC アクセス」をご参照ください。また、トラフィックログと侵入防止データを確認して、設定を検証し、異常なトラフィックがないか確認することもできます。ビジネス要件に合わないトラフィックが見つかった場合は、アクセス制御ポリシーや保護設定を調整できます。

    VPC 間のトラフィックログの表示

    1. Alibaba Cloud アカウント A で Cloud Firewall コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、レスポンス検出 > ログ監査 を選択します。

    3. ログ監査 ページで、トラフィックログ タブをクリックし、次に VPC 境界 タブをクリックします。

    4. VPC 境界 タブで、Alibaba Cloud アカウント A と Alibaba Cloud アカウント B の下にデプロイされた VPC 間のトラフィックをクエリします。

      • BJ-VPC2-ECS2 から BJ-VPC1-ECS1 への成功したアクセスのトラフィックログをクエリするには、ソース IP を 10.66.66.94 (BJ-VPC2-ECS2) に、宛先 IP を 10.33.33.17 (BJ-VPC1-ECS1) に設定します。

        成功したアクセスは、Alibaba Cloud アカウント A の 2 つの VPC 間のトラフィックが Cloud Firewall を経由していることを示します。クエリ結果には、宛先ポートが 22 でアクションが [許可] のトラフィックログレコードが表示され、VPC 間の SSH アクセスが許可されていることが確認されます。

      • BJ-VPC3-ECS3 から BJ-VPC4-ECS4 への成功したアクセスのトラフィックログをクエリするには、ソース IP を 10.10.10.44 (BJ-VPC3-ECS3) に、宛先 IP を 10.10.11.115 (BJ-VPC4-ECS4) に設定します。

        成功したアクセスは、Alibaba Cloud アカウント B の 2 つの VPC 間のトラフィックが Cloud Firewall を経由していることを示します。クエリ結果には 2 つの ICMP トラフィックレコードが表示され、両方のアクションは [許可] です。

    5. VPC 境界 タブで、BJ-VPC1-ECS1 (ソース IP: 10.33.33.17) から BJ-VPC2-ECS2 (宛先 IP: 10.66.66.94) へのトラフィックログをクエリします。

      ログには、BJ-VPC1-ECS1 から BJ-VPC2-ECS2 へのトラフィックがインターセプトされたことが示されており、アクセス制御ポリシーが有効で、企業の資産が隔離されていることを示します。クエリ結果には、宛先ポート 80 の複数の TCP トラフィックレコードが表示されます。アクションは [ドロップ] で、一致したルールは [統一アカウント拒否ポリシー] という名前であり、VPC 境界ファイアウォール上のインターセプトポリシーが有効であることが確認されます。

    VPC 保護のための侵入防止の表示

    1. Alibaba Cloud アカウント A で Cloud Firewall コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティイベント > 侵入防御 を選択します。

    3. 侵入防御 ページで、VPC 保護 タブをクリックし、クエリ条件を設定して侵入防止情報を表示します。

      結果には ECS インスタンスの侵入イベントが表示され、Cloud Firewall が Alibaba Cloud アカウント A の BJ-VPC1-ECS1 と BJ-VPC2-ECS2 間の安全でない通信を検出し、企業の資産を保護できることを示します。クエリ結果には、10.66.66.94 (ソース IP) から 10.33.33.17 (宛先 IP) へのトラフィックに関する 2 つのセキュリティイベントが表示されます。これらのイベントでは、イベント名は [トロイの木馬バックドア通信]、リスクレベルは [高]、攻撃タイプは [トロイの木馬]、攻撃アプリケーションはトロイの木馬、検出ソースは [基本保護] で、イベント数はそれぞれ 7 と 4 です。

      説明

      BJ-VPC1-ECS1 から BJ-VPC2-ECS2 へのトラフィックにはすでに拒否ポリシーが設定されているため、トラフィックはアクセス制御ポリシーに一致し、ブロックされます。したがって、侵入防止ログには表示されません。

    4. 詳細 をクリックして、基本情報 パネルでイベントの詳細を表示します。