Consolidate from multiple accounts to a single account - Cloud Firewall: Central de Documentação do Alibaba Cloud

Se você tem recursos em várias contas da Alibaba Cloud, gerencie instâncias separadas do Cloud Firewall gera lacunas de segurança e dificulta a administração. Use o recurso de gerenciamento de multiconta para proteger todos os recursos com uma única instância do Cloud Firewall. Este tópico descreve como consolidar várias instâncias do Cloud Firewall em uma única conta de gerenciamento.

Contexto

À medida que as organizações expandem sua presença na cloud, a gestão de um número crescente de recursos, projetos e permissões torna-se cada vez mais complexa. Uma única conta não consegue mais lidar com a carga operacional, tornando essencial uma estratégia de multiconta. Isso exige a administração centralizada de recursos entre contas, especialmente para segurança, conformidade, rede e operações.

Para atender a esses requisitos, o Cloud Firewall usa o recurso de service confiável do Alibaba Cloud Resource Directory. Isso permite agrupar várias contas da Alibaba Cloud em um único diretório de recursos, em que cada conta atua como conta membro. Depois, designe um membro como conta de administrador delegado. Essa conta é autorizada a acessar os recursos de todas as outras contas membro no diretório de recursos. Essa configuração possibilita a proteção centralizada do tráfego, a configuração de políticas, a análise de tráfego, a prevenção de intrusões, a defesa contra ataques, a detecção de ameaças e a auditoria de logs para os ativos de Internet e de VPC em todas as suas contas.

Antes de começar, compreenda as seguintes funções de conta:

Tipo de conta	Descrição	Permissões do diretório de recursos	Permissões do Cloud Firewall
conta de gerenciamento	Pode convidar outras contas da Alibaba Cloud fora de um diretório de recursos para ingressarem como membros e centralizar a administração.	Tem permissões administrativas para todos os ativos da empresa.	Pode gerencie todos os ativos protegidos pelo Cloud Firewall.
conta de administrador delegado	Conta membro designada pela conta de gerenciamento para administrar um service confiável específico. Após a designação, essa conta acessa as informações da organização e dos membros, além de gerencie o service em todo o diretório de recursos. Nota O uso de uma conta de administrador delegado separa as tarefas administrativas da organização das tarefas de gestão do service. A conta de gerenciamento executa as tarefas da organização, enquanto a conta de administrador delegado executa tarefas específicas do service confiável.	Tem permissões administrativas para todos os ativos da empresa.	Pode gerencie todos os ativos protegidos pelo Cloud Firewall.
conta membro	Conta que ingressou no diretório de recursos após ser convidada pela conta de gerenciamento.	Pode gerencie apenas seus próprios ativos.	Não pode comprar nem ative o Cloud Firewall.

Caso de uso

Uma empresa tem instâncias separadas do Cloud Firewall para as contas A, B e C da Alibaba Cloud. Essa configuração aumenta a complexidade da gestão e a sobrecarga administrativa. Para simplificar as operações, a empresa decide usar o recurso de gerenciamento de multiconta do Cloud Firewall. A empresa designa a conta A da Alibaba Cloud como conta de administrador delegado, tornando as contas B e C contas membro. Como resultado, apenas a conta A precisa de uma instância do Cloud Firewall, e a compartilha com as contas B e C.

Pré-requisitos

O Resource Directory está ativado para a conta de gerenciamento. Para mais informações, consulte Enable a resource directory.
A conta A da Alibaba Cloud tem uma assinatura do Cloud Firewall (edição Advanced, Enterprise ou Ultimate) ou a edição de pagamento conforme o uso ativada. Para mais informações, consulte Subscription 2.0.

Nota
Atualmente, apenas as edições de assinatura do Cloud Firewall suportam o gerenciamento de multiconta. Certifique-se de que a conta selecionada como administrador delegado utilize uma edição compatível. Diferentes edições de assinatura suportam quantidades distintas de contas membro. Para mais informações, consulte Subscription 2.0.

Se a quantidade padrão de contas membro suportadas não atender às suas necessidades, faça upgrade da sua edição do Cloud Firewall para aumentar o limite.

Etapa 1: Convidar membros para o Resource Directory

A conta de gerenciamento convida contas da Alibaba Cloud externas ao Resource Directory para ingressarem como contas membro e centralizar a administração de recursos.

Faça logon no console do Resource Directory com a conta de gerenciamento.
No painel de navegação à esquerda, escolha Resource Directory > Invite.
clique em Invite Member Account.
No painel Invite Member Account, insira os IDs das contas A, B e C da Alibaba Cloud no campo ID or Email Address of Invited Account. Em seguida, revise e marque a caixa de notificação de risco.

Nota
Use o endereço de e-mail usado para registrar a conta, em vez de um endereço secundário vinculado posteriormente. Para convidar várias contas da Alibaba Cloud de uma vez, separe os IDs das contas ou os e-mails de login com vírgulas (,).
clique em OK.

Etapa 2: Adicionar um administrador delegado para o Resource Directory

Usar uma conta de administrador delegado separa as tarefas administrativas da organização das tarefas de gestão do service. A conta de gerenciamento executa as tarefas da organização no Resource Directory, enquanto a conta de administrador delegado executa tarefas específicas de um service confiável. Neste cenário, a conta A da Alibaba Cloud é a conta de administrador delegado.

Faça logon no console do Resource Directory com a conta de gerenciamento.
No painel de navegação à esquerda, escolha Resource Directory > Trusted Services.
Na página Trusted Services, localize o service confiável do Cloud Firewall e clique em Manage na coluna Actions.
Na seção Delegated Administrator Account, clique em Add.
No painel Delegated Administrator Account, selecione o ID da conta A da Alibaba Cloud.
clique em OK.

Após adicionar a conta, ela acessa o módulo de gerenciamento de multiconta do service confiável e executa operações de gestão em todo o diretório de recursos.

Etapa 3: Cancelar a assinatura ou liberar o Cloud Firewall para os membros

Como as contas membro não podem ter instâncias próprias do Cloud Firewall, cancele a assinatura ou libere as instâncias das contas B e C antes de ingressarem na conta A. Siga as etapas abaixo de acordo com o seu método de faturamento (assinatura ou pagamento conforme o uso). Antes de prosseguir, revise as seguintes observações e regras de reembolso. Para regras de reembolso detalhadas, consulte Self-service unsubscription.

Observações

Após cancelar a assinatura ou liberar uma instância, os ativos anteriormente protegidos pelo firewall de Internet perdem a proteção.
Se houver um firewall de VPC ativado, desative-o antes de cancelar a assinatura ou liberar o Cloud Firewall. A desativação remove a proteção dos seus services. Esse processo pode causar interrupções nos negócios devido à alternância de rotas. Recomendamos executar essa operação fora do horário de pico.
O cancelamento da assinatura ou a liberação de uma instância exclui todas as políticas de controle de acesso e de prevenção de intrusões existentes.

Cancelar a assinatura do Cloud Firewall (modelo de assinatura)

Execute as seguintes etapas para as contas B e C da Alibaba Cloud:

acesse a página de Cancelamento de Assinatura de Recursos e clique em na guia Unsubscribe Resource.
Na guia Unsubscribe Resource, clique em Regular Cloud Resource e selecione o tipo Partial Refund.
Localize a instância de destino do Cloud Firewall e clique em Unsubscribe Resource na coluna Actions.
Na página Unsubscribe Resource, confirme as informações do recurso, leia atentamente e marque I have carefully read the Unsubscription Rules and confirm the refund amount e I have confirmed that the data of the unsubscribe instance is backed up and migrated..
clique em Unsubscribe , preencha as informações solicitadas e clique em OK.

Após envie a solicitação de cancelamento, acesse a página My Orders para visualize os detalhes do processamento.

Liberar um Cloud Firewall de pagamento conforme o uso

Faça logon no console do Cloud Firewall com as contas B e C da Alibaba Cloud, respectivamente.
Na página Overview, escolha More > Self-service Release no canto superior direito.
Na caixa de diálogo Warning, confirme as informações de liberação e clique em OK.

Etapa 4: Adicionar contas membro no Cloud Firewall

O Cloud Firewall usa o recurso de service confiável do Resource Directory para agrupar várias contas da Alibaba Cloud em um diretório de recursos e permitir o compartilhamento de recursos entre todas as contas membro.

Faça logon no console do Cloud Firewall com a conta A da Alibaba Cloud.
No painel de navegação à esquerda, escolha Settings > Multi-Account.
Na página Multi-Account, clique em Add Member.
Na caixa de diálogo Add Member, adicione os IDs das contas B e C da Alibaba Cloud à lista Selected Members à direita. Em seguida, clique em OK.

A conta A da Alibaba Cloud adicionou as contas B e C com sucesso como suas contas membro.

Importante

Após adicionar uma conta membro, o Cloud Firewall recebe autorização por padrão para acessar os recursos de cloud nessa conta. No entanto, se o firewall de VPC proteger instâncias de rede dentro de uma Cloud Enterprise Network (CEN) que inclua uma VPC de outra conta, autorize manualmente o Cloud Firewall a acesse os recursos dessa outra conta. Para mais informações, consulte Authorize Cloud Firewall to access cloud resources.

Etapa 5: configure o Cloud Firewall para recursos compartilhados

Como o cancelamento da assinatura exclui as políticas existentes, reative os firewalls para os recursos compartilhados e reconfigure suas políticas.

Observações

A ativação do firewall de Internet leva apenas alguns segundos.
A reativação do firewall de VPC pode causar interrupções nos negócios devido à alternância de rotas.
Reconfigure as políticas de controle de acesso e de prevenção de intrusões.

Faça logon no console do Cloud Firewall com a conta A da Alibaba Cloud.
No painel de navegação à esquerda, clique em Firewall.
Na página Firewall, clique em Synchronize Assets. O sistema sincroniza as informações dos ativos da conta atual e de suas contas membro.

Esse processo leva de 1 a 2 minutos.

Após concluir a sincronização de ativos, ative a proteção do Cloud Firewall para os recursos compartilhados.

Ative o firewall de Internet

Para mais informações, consulte Internet firewall.

Ative o firewall de VPC

selecione um dos três cenários de firewall de VPC suportados de acordo com os requisitos do seu negócio.

Tipo de Firewall de VPC	Cenário	Guia de Operação
Firewall de VPC para Transit Router da edição Enterprise	Suporta proteção para: Tráfego entre várias VPCs na mesma região Tráfego entre várias VPCs em diferentes regiões por meio do Transit Router da edição Enterprise Tráfego entre VPCs e Virtual Border Routers (VBRs) (ou seja, tráfego entre VPCs e data centers on-premises) Tráfego entre VPCs e Cloud Connect Networks (CCNs) Tráfego entre vários VBRs Tráfego entre CCNs e VBRs Tráfego entre VPCs e VPNs públicas Não suporta proteção para: Tráfego entre vários CCNs	Connect multiple CCNs
Firewall de VPC para Transit Router da edição Basic	Suporta proteção para: Tráfego entre várias VPCs na mesma região Tráfego entre várias VPCs em diferentes regiões por meio do Transit Router da edição Basic Tráfego entre VPCs e Virtual Border Routers (VBRs) (ou seja, tráfego entre VPCs e data centers on-premises) Tráfego entre VPCs e Cloud Connect Networks (CCNs) Não suporta proteção para: Tráfego entre vários VBRs Tráfego entre CCNs e VBRs Tráfego entre vários CCNs	Configure the VPC firewall for a Cloud Enterprise Network
Firewall de VPC para Express Connect	Suporta proteção para: Tráfego entre várias VPCs da mesma conta na mesma região no modo Express Connect VPC Tráfego entre várias VPCs na mesma região (incluindo mesma conta e entre contas) no modo VPC peering Não suporta proteção para: Tráfego entre contas e regiões diferentes entre várias VPCs no modo Express Connect VPC Tráfego de acesso mútuo entre VPC e Virtual Border Router (VBR) Nota Se você precisar proteger o tráfego de VPC entre regiões e contas diferentes, ou o tráfego entre VPCs e VBRs, recomendamos o uso da Cloud Enterprise Network. Para mais informações, envie um ticket.	Configure the VPC firewall for a peering connection

Configure políticas de controle de acesso

Para mais informações, consulte Configure an access control policy for an Internet firewall, Configure an access control policy for a VPC firewall e Configure security groups.
Configure políticas de prevenção de intrusões

Para mais informações, consulte Intrusion prevention.

Etapa 6: Verificar a estabilidade do service

verifique a contagem de correspondências das suas políticas de controle de acesso e revise os logs de tráfego para garantir que estejam alinhados com os padrões de tráfego esperados. Se as correspondências das políticas e os dados de log estiverem de acordo com suas expectativas e não apresentarem anomalias, a configuração está correta e os services estão estáveis. Visualize essas informações na página de Políticas de Controle de Acesso e na página de auditoria de logs.