Todos os produtos
Search

Este produto

    Cloud Enterprise Network:Cross-account authorization for network instances

    Central de documentação

    Cloud Enterprise Network:Cross-account authorization for network instances

    Última atualização: Oct 12, 2026

    Para conectar um transit router (TR) a uma instância de rede pertencente a outra conta da Alibaba Cloud, o proprietário da instância de rede deve autorizar primeiro a instância de transit router. Este tópico descreve como autorizar uma instância VPC, instância VBR, instância CCN, conexão IPsec-VPN ou instância ECR para um transit router, como alterar o pagador de uma instância de rede e como revogar a autorização.

    Faturamento

    Após conectar um transit router Enterprise Edition a uma instância VPC, instância VBR, conexão IPsec-VPN ou instância ECR, serão cobradas taxas de anexação de instância de rede e de encaminhamento de dados. Ao autorizar uma instância de rede, defina qual conta pagará essas taxas: a conta proprietária da instância de rede ou a da instância de transit router Enterprise Edition. Para mais informações, consulte Billing overview.

    Limites

    • Uma instância de transit router pertencente a uma conta do site da Alibaba Cloud na china conecta-se apenas a instâncias de rede pertencentes a contas do site da Alibaba Cloud na china. Uma instância de transit router pertencente a uma conta do site internacional da Alibaba Cloud conecta-se apenas a instâncias de rede pertencentes a contas do site internacional da Alibaba Cloud.

    • Após conectar uma instância de transit router Enterprise Edition a uma instância de rede entre contas, altere o pagador tanto na conta do recurso quanto na conta do transit router. A alteração entra em vigor no início da hora seguinte. Para mais informações, consulte Change the payer for a network instance.

    Pré-requisitos

    Antes de autorizar uma instância de rede, certifique-se de ter concluído as seguintes tarefas:

    • Confirme se a conta proprietária da instância de rede e a conta proprietária da instância de transit router são do mesmo tipo.

      Uma instância de transit router pertencente a uma conta do site da Alibaba Cloud na china conecta-se apenas a instâncias de rede pertencentes a contas do site da Alibaba Cloud na china. Uma instância de transit router pertencente a uma conta do site internacional da Alibaba Cloud conecta-se apenas a instâncias de rede pertencentes a contas do site internacional da Alibaba Cloud.

    • Obtenha o ID da conta da Alibaba Cloud (conta principal) proprietária da instância de transit router.

    • Obtenha o ID da instância CEN à qual a instância de transit router pertence.

    • Para autorizar uma instância VBR, solicite as permissões de autorização de instância VBR. Para obter instruções, consulte Connect a VBR to a cross-account CEN.

    • Para autorizar uma conexão IPsec-VPN, certifique-se de que a conexão IPsec-VPN não esteja anexada a nenhum recurso:

      • Se a conexão IPsec-VPN estiver anexada a uma instância VPN Gateway, não é possível anexá-la a uma instância de transit router na mesma conta ou em outra conta.

      • Se a conexão IPsec-VPN estiver anexada a uma instância de transit router, desvincule-a primeiro. Para obter instruções, consulte Delete a network instance connection.

    Cenário

    Este tópico utiliza o cenário da figura a seguir para descrever a autorização de instâncias de rede. Uma instância de transit router na Conta B precisa conectar-se a instâncias VPC, instâncias VBR, instâncias CCN, conexões IPsec-VPN e instâncias ECR na Conta A. As seções a seguir descrevem como a Conta A autoriza a instância de transit router na Conta B a conectar-se a esses recursos.

    image

    A tabela a seguir lista o console usado para autorizar cada tipo de instância de rede e se o pagador pode ser alterado após a autorização.

    Instância de rede

    console de autorização

    Alterar o pagador

    Instância VPC

    console VPC

    Suportado

    Instância VBR

    console Express Connect

    Suportado

    Instância CCN

    console Smart Access Gateway

    Não suportado

    Conexão IPsec-VPN

    console VPN Gateway

    Suportado

    Instância ECR

    console Express Connect

    Não suportado

    Autorizar uma instância de rede

    Autorizar uma instância VPC

    1. Faça login no console VPC com a Conta A.

    2. Na barra de menu superior, selecione a região da instância VPC de destino.

    3. Na página VPC, localize a instância VPC de destino e clique no ID da instância.

    4. Clique na aba Cross-account Authorization. Na aba CEN, clique em Cross-account Authorization.

    5. Na caixa de diálogo Attach to CEN, configure os seguintes parâmetros e clique em OK.

      Item de configuração

      Descrição

      Peer Account UID

      O ID da conta da Alibaba Cloud (conta principal) proprietária da instância de transit router.

      Peer CEN Instance ID

      O ID da instância CEN à qual a instância de transit router pertence.

      Payer

      Selecione um pagador.

      • CEN Instance Owner (padrão): A conta proprietária da instância de transit router paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas pela instância VPC.

      • VPC Users: A conta proprietária da instância VPC paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas pela instância VPC.

      Após a conclusão da configuração, a autorização é efetivada. Visualize as informações de autorização na aba Cross-account Authorization.

    6. Anote o ID da VPC e o ID da Conta A. Essas informações são necessárias para criar uma conexão VPC posteriormente. Para obter instruções, consulte Create a VPC connection.

      Visualize o ID da conta na página Central da Conta.

    Autorizar uma instância VBR

    Autorizar uma instância VBR

    1. Faça login no console Express Connect com a Conta A.

    2. Na barra de menu superior, selecione a região da instância VBR de destino.

    3. No painel de navegação à esquerda, clique em Virtual Border Routers (VBRs).

    4. Na página Virtual Border Routers (VBRs), clique no ID da instância VBR de destino.

    5. Clique na aba CEN Authorization. Nesta aba, clique em Authorize CEN of Another Account to Load Instance.

    6. No painel Authorize CEN of Another Account to Load Instance, configure os seguintes parâmetros e clique em OK.

      Item de configuração

      Descrição

      CEN Instance ID

      O ID da instância CEN à qual a instância de transit router pertence.

      CEN Account

      O ID da conta da Alibaba Cloud (conta principal) proprietária da instância de transit router.

      Payer

      Selecione um pagador.

      • CEN Instance Owner (padrão): A conta proprietária da instância de transit router paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas pela instância VBR.

      • VBR Owner: A conta proprietária da instância VBR paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas pela instância VBR.

      Após a conclusão da configuração, a autorização é efetivada. Visualize as informações de autorização na aba CEN Authorization.

    7. Anote o ID da VBR e o ID da Conta A. Essas informações são necessárias para criar uma conexão VBR posteriormente. Para obter instruções, consulte Connect a VBR to a transit router.

      Visualize o ID da conta na página Central da Conta.

    Autorizar uma instância CCN

    Autorizar uma instância CCN

    1. Faça login no console Smart Access Gateway com a Conta A.

    2. Na barra de menu superior, selecione a região da instância CCN de destino.

    3. No painel de navegação à esquerda, clique em CCN.

    4. Na página CCN, clique no ID da instância CCN de destino.

    5. Na página de detalhes da instância CCN, clique na aba CEN Cross Account Authorization Information. Nesta aba, clique em CEN Cross Account Authorization.

    6. Na caixa de diálogo Attach to CEN, insira o ID da conta e o ID da instância CEN da Conta B e clique em OK.

      Após a conclusão da configuração, a autorização é efetivada. Visualize as informações de autorização na aba CEN Cross Account Authorization Information.

    7. Anote o ID da CCN e o ID da Conta A. Essas informações são necessárias para criar uma conexão CCN posteriormente. Para obter instruções, consulte Create a CCN connection.

      Visualize o ID da conta na página Central da Conta.

    Autorizar uma conexão IPsec-VPN

    Autorizar uma conexão IPsec-VPN

    1. Faça login no console VPN Gateway.

    2. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

    3. Na barra de navegação superior, selecione a região da conexão IPsec-VPN.

    4. Na página IPsec Connections, localize uma conexão IPsec-VPN de destino e clique no ID da conexão IPsec-VPN.

    5. Na aba Cross-account Authorization da página de detalhes da conexão IPsec-VPN, clique em Cross-account Authorization.

    6. Na caixa de diálogo Attach to CEN, configure os seguintes parâmetros e clique em OK.

      Item de configuração

      Descrição

      Peer Account UID

      O ID da conta da Alibaba Cloud (conta principal) proprietária da instância de transit router.

      Peer CEN Instance ID

      O ID da instância CEN à qual a instância de transit router pertence.

      Payer

      Selecione um pagador.

      • CEN Instance Owner (padrão): A conta proprietária da instância de transit router paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas após a anexação da instância de transit router à conexão IPsec-VPN.

      • VPN Owner: A conta proprietária da conexão IPsec-VPN paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas após a anexação da instância de transit router à conexão IPsec-VPN.

      Importante

      • A conta proprietária da conexão IPsec-VPN continua responsável pela taxa da instância de conexão IPsec-VPN e pela taxa de transferência de dados da conexão IPsec-VPN geradas após a anexação da instância de transit router à conexão IPsec-VPN.

      Após a conclusão da configuração, a autorização é efetivada. Visualize as informações de autorização na aba Cross-account Authorization.

    7. Anote o ID da conexão IPsec-VPN e o ID da conta da Alibaba Cloud (conta principal) proprietária da conexão IPsec-VPN. Essas informações são necessárias para criar uma conexão IPsec-VPN posteriormente. Para obter instruções, consulte Create a VPN connection.

      Visualize o ID da conta na página Central da Conta.

    Autorizar uma instância ECR

    Autorizar uma instância ECR

    1. Faça login no console Express Connect com a Conta A.

    2. No painel de navegação à esquerda, clique em Express Connect Router (ECR).

    3. Na página Express Connect Router (ECR), clique no ID da instância ECR de destino.

    4. Clique na aba CEN Authorization. Nesta aba, clique em Authorize CEN of Another Account to Load Instance.

    5. Na caixa de diálogo Join CEN, configure os seguintes parâmetros e clique em OK.

      Item de configuração

      Descrição

      CEN Instance ID

      O ID da instância CEN à qual a instância de transit router pertence.

      CEN Account

      O ID da conta da Alibaba Cloud (conta principal) proprietária da instância de transit router.

      Payer

      Selecione um pagador.

      • CEN Owner (padrão): A conta proprietária da instância de transit router paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas pela instância ECR.

      • ECR Owner: A conta proprietária da instância ECR paga a taxa de anexação da instância de rede e a taxa de encaminhamento de dados geradas pela instância ECR.

      Após a conclusão da configuração, a autorização é efetivada. Visualize as informações de autorização na aba CEN Authorization.

    6. Anote o ID da ECR e o ID da Conta A. Essas informações são necessárias para criar uma conexão ECR posteriormente. Para obter instruções, consulte Create an ECR connection.

      Visualize o ID da conta na página Central da Conta.

    Alterar o pagador de uma instância de rede

    Apenas instâncias VPC, instâncias VBR e conexões IPsec-VPN permitem a alteração do pagador. Atualmente, as instâncias ECR não suportam essa operação. O procedimento a ser usado depende de o transit router Enterprise Edition já estar conectado à instância de rede entre contas:

    • Se um transit router Enterprise Edition não estiver conectado à instância de rede entre contas, revogue a autorização na conta do recurso (a conta proprietária da instância de rede) e crie a autorização novamente.

    • Se um transit router Enterprise Edition estiver conectado à instância de rede entre contas, altere primeiro o pagador na conta do recurso e, em seguida, altere o pagador no transit router. A alteração entra em vigor no início da hora seguinte.

      Altere o pagador pelo console ou chamando operações de API. O procedimento do console usa uma instância VPC entre contas como exemplo. O procedimento por API lista as operações para instâncias VPC, instâncias VBR e conexões IPsec-VPN.

    Console

    O exemplo a seguir mostra como alterar o pagador para uma instância VPC entre contas. As premissas são as seguintes:

    • A Conta A é a proprietária da instância VPC, e a Conta B é a proprietária da instância CEN e da instância de transit router.

    • A Conta B é o pagador atual (CEN Instance Owner).

      Para alterar o pagador para a Conta A (VPC Users), execute as seguintes etapas:

    1. Faça login na Conta A. Na página de detalhes da instância VPC de destino, clique na aba Cross-account Authorization. Na coluna Payer da entrada de autorização correspondente, clique em Edit e selecione VPC Users.

    2. Faça login na Conta B e acesse o transit router de destino. Na coluna Payer Account da conexão VPC correspondente, clique em Edit e selecione Resource Owner Account.

    3. Aguarde até o início da hora seguinte para que a alteração entre em vigor.

    API

    1. Faça login na conta do recurso e chame ModifyGrantInstanceToTransitRouter. Defina OrderType para o pagador desejado.

    2. Faça login na conta do transit router e altere o pagador:

    3. Aguarde até o início da hora seguinte para que a alteração entre em vigor. Verifique o resultado, faça login na conta do transit router, chame DescribeGrantRulesToCen e confirme se EffectiveOrderType é o pagador desejado.

    Revogar a autorização de instância de rede

    Antes de revogar a autorização de uma instância de rede, desvincule a instância de transit router da instância de rede. Para obter instruções, consulte Delete a network instance connection.

    Revogar a autorização de instância VPC

    1. Faça login no console VPC com a Conta A.

    2. Na barra de menu superior, selecione a região da instância VPC de destino.

    3. Na página VPC, localize a instância VPC de destino e clique no ID da instância.

    4. Clique na aba Cross-account Authorization. Na aba CEN, localize o registro de autorização correspondente e, na coluna Actions, clique em Revoke Permissions.

    5. Na caixa de diálogo Revoke Permissions, confirme as informações e clique em OK.

    Revogar a autorização de instância VBR

    1. Faça login no console Express Connect com a Conta A.

    2. Na barra de menu superior, selecione a região da instância VBR de destino.

    3. No painel de navegação à esquerda, clique em Virtual Border Routers (VBRs).

    4. Na página Virtual Border Routers (VBRs), clique no ID da instância VBR de destino.

    5. Clique na aba CEN Authorization. Nesta aba, localize o registro de autorização correspondente e, na coluna Actions, clique em Delete.

    6. Na caixa de diálogo Revoke Authorization, confirme as informações e clique em OK.

    Revogar a autorização de instância CCN

    1. Faça login no console Smart Access Gateway com a Conta A.

    2. Na barra de menu superior, selecione a região da instância CCN de destino.

    3. No painel de navegação à esquerda, clique em CCN.

    4. Na página CCN, clique no ID da instância CCN de destino.

    5. Clique na aba CEN Cross Account Authorization Information. Nesta aba, localize o registro de autorização correspondente e, na coluna Actions, clique em Revoke Authorization.

    6. Na caixa de diálogo Note, confirme as informações e clique em OK.

    Revogar a autorização de conexão IPsec-VPN

    1. Faça login no console VPN Gateway com a Conta A.

    2. Na barra de menu superior, selecione a região da conexão IPsec-VPN de destino.

    3. No painel de navegação à esquerda, escolha Network Interconnection > VPN > IPsec Connections.

    4. Na página IPsec Connections, localize a conexão IPsec-VPN de destino e clique no ID da conexão IPsec-VPN.

    5. Na aba Cross-account Authorization da página de detalhes da conexão IPsec-VPN, localize o registro de autorização correspondente e, na coluna Actions, clique em Revoke Permissions.

    6. Na caixa de diálogo Revoke Permissions, confirme as informações e clique em OK.

    Revogar a autorização de conexão ECR

    1. Faça login no console Express Connect com a Conta A.

    2. No painel de navegação à esquerda, clique em Express Connect Router (ECR).

    3. Na página Express Connect Router (ECR), clique no ID da instância ECR de destino.

    4. Clique na aba CEN Authorization. Nesta aba, localize o registro de autorização correspondente e, na coluna Actions, clique em Delete.

    5. Na caixa de diálogo Revoke Authorization, confirme as informações e clique em OK.