Resource Management:Visão geral da solução

Management of multiple accounts

Várias contas isoladas da Alibaba Cloud não possuem gerenciamento centralizado.

Communication among multiple accounts

A Cloud Enterprise Network (CEN) conecta VPCs entre diferentes contas. No entanto, com o aumento da complexidade, surgem problemas adicionais:

• O&M de rede complexo devido à implantação isolada de recursos de rede

  Recursos de rede distribuídos por várias contas dificultam o gerenciamento centralizado.

• Custos elevados causados por configurações frequentes de recursos de rede

  Configurações repetidas de VPC em diversas contas aumentam os custos de O&M e de instâncias.

• Maior complexidade de rede devido ao crescimento no número de VPCs

  A implantação de mais VPCs aumenta a complexidade da rede e pode atingir limites de cota de recursos, como o número máximo de VPCs associadas a uma instância CEN.

Use Resource Directory to manage multiple accounts

O Resource Directory permite organizar contas em pastas que espelham a estrutura da empresa, estabelecer relacionamentos multiníveis entre contas e recursos, e gerenciar centralmente finanças, segurança, auditoria e conformidade. Para mais informações, consulte Resource Directory.

Use Resource Sharing to share resources with members within the same resource directory

O Resource Sharing permite compartilhar recursos com um ou mais membros no diretório de recursos mediante a criação de um resource share e a adição de recursos e membros a ele. Para mais informações, consulte What is Resource Sharing?.

Share a VPC with members within the same resource directory

Compartilhe vSwitches em uma VPC pertencente a um membro (resource owner) com outros membros (principals) no mesmo resource directory. Os principals podem criar instâncias ECS, instâncias SLB, instâncias ApsaraDB RDS e outros recursos na VPC compartilhada. Todos os recursos dentro da VPC compartilhada podem se comunicar entre si. Para mais informações, consulte Shared VPC.

A figura a seguir ilustra o funcionamento do compartilhamento de VPC.

• vSwitch sharing among multiple accounts

  Compartilhe um vSwitch em uma VPC com várias contas, eliminando a necessidade de uma VPC separada por conta.

  

• Permissions of the vSwitch owner and principals

  Recurso	vSwitch owner	vSwitch participant
  Recursos de nuvem (como instâncias ECS e ApsaraDB for RDS)	Cada conta visualiza e gerencia apenas os recursos que cria. Não é possível acessar recursos criados por outras contas.
  Grupos de segurança	Cada conta visualiza e gerencia apenas os grupos de segurança que cria. Não é possível acessar grupos de segurança criados por outras contas.
  Interfaces de rede elásticas (ENIs)	Chame a operação DescribeNetworkInterfaces para visualizar ENIs criadas pelos participantes, mas não é possível gerenciá-las.	Visualize e gerencie apenas as ENIs que você criar.
  VPC, vSwitch, tabela de rotas, ACL de rede e bloco CIDR secundário	Todas as permissões	Somente visualização
  Blocos CIDR reservados	Todas as permissões	Sem permissões
  Gateway IPv6	Todas as permissões	Atribua ou desatribua endereços IPv6 privados para recursos como instâncias ECS, ENIs e instâncias NLB. Visualize endereços IPv6 dentro da própria conta. Gerencie a largura de banda pública para endereços IPv6 na sua conta, incluindo ativar ou desativar largura de banda e definir ou excluir regras somente de saída. O uso dessa largura de banda pública é cobrado.
  Logs de fluxo	Crie logs de fluxo no nível da VPC e no nível do vSwitch. Esses logs aplicam-se apenas a ENIs pertencentes ao proprietário do vSwitch. Crie logs de fluxo no nível da ENI. Esses logs aplicam-se apenas a ENIs pertencentes ao proprietário do vSwitch.	Crie apenas logs de fluxo no nível da ENI. Esses logs aplicam-se apenas a ENIs pertencentes ao participante do vSwitch.
  NAT gateway, VPN gateway, Cloud Enterprise Network, conexão de emparelhamento de VPC	Todas as permissões	Não é possível visualizar ou gerenciar esses recursos de rede, mas você pode usá-los para se conectar a redes fora da VPC.
  Tag	O compartilhamento não afeta o uso de tags. Tanto o proprietário do vSwitch quanto os participantes podem aplicar tags em seus próprios recursos. Essas tags são independentes e invisíveis para outras contas.

• Isolation

  Por padrão, vSwitches compartilhados na mesma VPC se comunicam entre si. Para isolá-los, use um dos métodos a seguir:

  • Configure uma lista de controle de acesso (ACL) de rede para isolar vSwitches.

  • Configure um grupo de segurança para isolar instâncias dentro dos vSwitches. É possível usar grupos de segurança de outras contas.

  

  Nota

  Regras de ACL isolam instâncias em diferentes vSwitches. Para isolar instâncias dentro do mesmo vSwitch, use regras de grupo de segurança. Você pode referenciar grupos de segurança de outras contas. Para isolar redes entre vSwitches e contas, configure endereços IP de source e destino nos grupos de segurança.

O departamento de O&M planeja, configura e gerencia VPCs centralmente, compartilhando vSwitches com o departamento de negócios.

O departamento de negócios visualiza e gerencia apenas recursos dentro dos vSwitches compartilhados, podendo criar ou excluir recursos como instâncias de nuvem e bancos de dados conforme necessário.

Uma arquitetura de rede e política de segurança unificadas permitem que o departamento de negócios foque nas necessidades do negócio.

Capacidades de rede e segurança são entregues como serviço ao departamento de negócios, padronizando o O&M e melhorando a eficiência de TI em toda a empresa.