クラウド製品アクセスを使用する場合、デフォルトでは、現在お使いの Alibaba Cloud アカウント配下のクラウド製品インスタンスのみをオンボードできます。他の Alibaba Cloud アカウントからクラウド製品インスタンスをオンボードするには、マルチアカウント管理を設定して、現在の Web Application Firewall (WAF) で対象アカウントを管理し、アカウントをまたいでアクセスと保護設定を統一的に管理します。
範囲
エディション要件： WAF の Enterprise Edition および Ultimate Edition のみがマルチアカウント管理をサポートします。他のエディションはこの機能をサポートしていません。
検証要件： リソースディレクトリを有効にするには、法人実名認証を完了した Alibaba Cloud アカウントを使用する必要があります。
アカウントの所属： 管理アカウントとメンバーアカウントは、同じリソースディレクトリに所属し、同じ認証済み法人エンティティに属している必要があります。
インスタンスの制限： メンバーアカウント配下で実行中の WAF インスタンスは許可されません。存在する場合は、オンボードする前にリリースする必要があります。
オンボード後の制限と管理ルール
インスタンス購入の制限： メンバーアカウントをオンボードすると、管理アカウントと同じリージョンに WAF インスタンスを購入することはできません。たとえば、管理アカウントが中国本土の WAF インスタンスを購入した場合、メンバーアカウントは中国本土のインスタンスを購入できず、中国本土以外のインスタンスのみ購入できます。
コンソールの権限制限： メンバーアカウントのクラウド製品アセットを管理アカウントの WAF インスタンスにオンボードした後、メンバーアカウントは管理アカウントの WAF コンソールで保護設定、概要、およびセキュリティレポートのみ表示できます。
アセットの自動削除： 管理アカウントが WAF コンソールでメンバーアカウントを削除すると、システムはそのメンバーアカウント配下で保護のためにオンボードされたクラウド製品アセットを自動的に削除します。
操作手順
ステップ 1：管理アカウントでのリソースディレクトリの有効化
マルチアカウント管理を使用する前に、企業のすべての Alibaba Cloud アカウントを同じリソースディレクトリに統合する必要があります。企業の管理アカウントで リソース管理コンソールにログインして、リソースディレクトリを有効にします。詳細な手順については、「リソースディレクトリの有効化」をご参照ください。
ステップ 2：メンバーの招待
招待されたアカウントがリソースディレクトリに参加すると、リソースディレクトリのメンバーとなり、リソースディレクトリによって一元的に管理されます。
管理アカウントでリソース管理コンソールにログインし、既存アカウントの招待または新規アカウントの作成によって組織構造を構築します。
既存アカウントの招待：詳細な手順については、「Alibaba Cloud アカウントの招待」をご参照ください。
新しいメンバーアカウントの作成：招待するメンバーアカウントがない場合は、リソースディレクトリで直接新しいメンバーを作成できます。詳細な手順については、「メンバーの作成」をご参照ください。
組織構造の構築：ビジネス関係に基づいてメンバーを分類・管理する必要がある場合は、「フォルダーの作成」をご参照ください。
ステップ 3：委任管理者アカウントの追加 (任意)
リソースディレクトリを有効化したプライマリアカウントで直接 WAF サービスを有効化・管理したくない場合は、委任管理者アカウントを設定して、組織管理とビジネスマネジメントのタスクを分離できます。これはセキュリティのベストプラクティスに沿ったものです。リソースディレクトリを有効化したアカウントで直接 WAF をデプロイする場合は、このステップをスキップしてください。
アカウント使用計画の例：
プライマリアカウント： リソースディレクトリの作成、資金管理、およびグローバルユーザー権限を担当します。
セキュリティアカウント (メンバーアカウント)： 委任管理者として機能し、WAF、Cloud Firewall、Bastionhost などのセキュリティ製品を一元的に管理します。
ビジネスアカウント (メンバーアカウント)： ビジネスアカウント 1 やビジネスアカウント 2 など、ECS インスタンスなどの実際のビジネスリソースをデプロイするために使用します。
詳細な手順については、「委任管理者アカウントの管理」をご参照ください。
ステップ 4：WAF コンソールでのメンバーアカウントの追加
次のいずれかのアカウントを使用してコンソールにログインします。
WAF 管理者が委任されていない場合は、リソースディレクトリを作成した管理アカウントを使用します。
WAF 管理者が委任されている場合は、委任されたメンバーアカウントを使用します。
WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土または中国本土以外を選択します。
ナビゲーションウィンドウで、マルチアカウント管理 をクリックします。
マルチアカウント管理 ページで、メンバーアカウントの追加 をクリックします。
メンバーアカウントの追加 ダイアログボックスで、左側の インポートできるメンバーアカウント リストからインポートするメンバーアカウントを選択し、中央の矢印ボタンを使用して右側の Web Application Firewall メンバーアカウントのインポートが選択されました リストに追加し、OK をクリックします。
ステップ 5：メンバーアカウントのクラウド製品アセットのオンボード
クラウド製品アセットタイプに基づいて、対応するオンボード操作を実行します。
[Application Load Balancer (ALB)]、[Classic Load Balancer (CLB)]、[Network Load Balancer (NLB)]、および [Elastic Compute Service (ECS)] クラウド製品の場合、アセットは WAF デプロイアカウントに自動的に同期されます。WAF デプロイアカウントのコンソールにログインして、メンバーアカウントのアセットのオンボードを完了します。
[Microservices Engine (MSE) - Cloud-native Gateway]、[Cloud Native API Gateway (APIG）]、[Global Accelerator (GA)]、および [Function Compute (FC)] の場合は、まず、メンバーアカウントの対応する製品コンソールにログインしてオンボードを完了し、次に WAF デプロイアカウントのコンソールで詳細を表示します。
詳細なオンボード操作については、「概要」をご参照ください。
よくある質問
マルチアカウント管理を設定できない場合の代替手段はありますか？
マルチアカウント管理を設定できない場合は、代替手段として CNAME アクセスを使用できます。この方法は、パブリックにアクセス可能なドメイン名のオンボードをサポートしており、アカウント間やクラウド間の環境に制限されません。