Cloud Enterprise Network:Autorização de CCN

Cenário 1: Todas as instâncias pertencem à mesma conta

1. Faça login no console CEN.

2. Na página CEN Instance, clique em ID da instância CEN que você deseja gerenciar.

3. Na aba Basic Settings > Transit Router, localize o transit router na mesma região da VPC que hospeda o serviço PrivateZone e clique em ID do transit router.

4. Na página de detalhes da instância do transit router, clique na aba Access Private Zone e, em seguida, clique em Authorization. Na página de autorização rápida do Resource Access Management (RAM), clique em Authorize.

   Nota

   A autorização do Smart Access Gateway (SAG) é necessária apenas na primeira vez que você configura o acesso ao serviço PrivateZone. Como o CCN é um componente do SAG, essa autorização única permite que qualquer instância CCN conectada ao transit router acesse o serviço PrivateZone.

   Após a autorização, o sistema cria automaticamente uma função RAM chamada AliyunSmartAGAccessingPVTZRole em sua conta. Para visualizar a função, acesse o console RAM, escolha Identities > Roles e pesquise pela função.

Cenário 2: A instância CCN pertence a uma conta diferente

1. Realize a autorização inicial na conta proprietária da VPC.

   1. Utilize a conta proprietária da VPC para fazer login no console CEN.

   2. Na página CEN Instance, localize a instância CEN desejada e clique em seu ID.

   3. Na aba Basic Settings > Transit Router, encontre o transit router na mesma região da VPC que hospeda o serviço PrivateZone e clique em ID do transit router.

   4. Na página de detalhes da instância do transit router, clique na aba Access Private Zone e, em seguida, clique em Authorization. Na página Cloud Resource Access Authorization, clique em Agree to Authorization.

      Nota

      A autorização do Smart Access Gateway (SAG) é necessária apenas na primeira vez que você configura o acesso ao serviço PrivateZone. Como o CCN é um componente do SAG, essa autorização única permite que qualquer instância CCN conectada ao transit router acesse o serviço PrivateZone.

2. Na conta proprietária da VPC, modifique a política de confiança da função AliyunSmartAGAccessingPVTZRole para conceder acesso à instância CCN entre contas.

   1. Use a conta proprietária da VPC para fazer login no console RAM.

   2. No painel de navegação à esquerda, escolha Identities > Roles.

   3. Na página Roles, insira AliyunSmartAGAccessingPVTZRole na caixa de pesquisa, localize a função e clique em nome dela.

   4. Na página de detalhes da função, clique na aba Trust Policy e, em seguida, clique em Edit Trust Policy.

   5. Em Service, adicione um registro: "Cloud Connect Network instance's Alibaba Cloud account ID@smartag.aliyuncs.com" e clique em OK.

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "smartag.aliyuncs.com",
                          "271598332402530847@smartag.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

Cenário 3: A instância do transit router pertence a uma conta diferente

1. Faça login no console RAM usando a conta proprietária da VPC.

2. No painel de navegação à esquerda, escolha Identities > Roles.

3. Na página Roles, clique em Create Role.

4. No painel Create Role, crie uma função com as seguintes configurações:

   1. Para Principal Type, selecione AnyTunnel.

   2. Em Principal Name, selecione Smart Access Gateway.

   3. Clique em OK. Em seguida, defina o Role Name como AliyunSmartAGAccessingPVTZRole e clique em OK.

   4. Retorne à página Roles.

5. Na página Roles, pesquise e clique na função AliyunSmartAGAccessingPVTZRole.

6. Na aba Permissions, clique em Grant Permission para abrir o painel Grant Permission.

7. Na caixa de pesquisa sob Policies, insira a palavra-chave pvtz, selecione a política AliyunPvtzReadOnlyAccess e clique em OK.

8. No painel Grant Permission, clique em Complete.

9. Na página de detalhes da função, clique na aba Trust Policy para visualizar as informações de autorização.

   O JSON da política de confiança mostra que Action está definido como sts:AssumeRole, Effect está definido como Allow, Principal.Service é smartag.aliyuncs.com e Version é 1.

Cenário 4: Todas as instâncias pertencem a contas diferentes

1. Siga as etapas no Cenário 3 para criar uma função e concluir a autorização na conta proprietária da VPC.

2. Siga as etapas no Cenário 2 para adicionar permissões à instância CCN na conta proprietária da VPC.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "smartag.aliyuncs.com",
          "271598332402530847@smartag.aliyuncs.com",
          "244831332402557259@smartag.aliyuncs.com",
          "287683832402436789@smartag.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

Próximas etapas

Configurar acesso ao serviço PrivateZone