Secure Access Service Edge:Cross-region acceleration best practices

Etapa 1: Criar uma origem de identidade

1. Acesse a página Identity Access e selecione a aba Identity synchronization.

2. Clique em Create IdP. Este documento utiliza um Custom IdP como exemplo.

   Nota

   Em ambientes de produção, integre o SASE ao provedor de identidade corporativo (IdP), como Active Directory (AD), LDAP, DingTalk ou WeCom.

   1. Na seção Basic Configurations, insira o IdP Name e a Description. Defina o IdP Status como Enabled e clique em Next.

   2. Na seção Logon Settings, defina o PC Logon Method e o Mobile Device Logon Method. Este exemplo usa as configurações padrão. Se necessário, ative a Two-factor Authentication.

   3. Confirme as configurações e clique em Ok.

Etapa 2: Criar usuários e grupos de usuários

1. Acesse a página Identity Access e selecione a aba Employee Center. Na lista suspensa à esquerda, selecione a origem de identidade criada e clique em Add User.

2. No painel Add User, insira o nome de usuário, a senha e outras informações obrigatórias. No campo Department, atribua o usuário a um departamento da origem de identidade selecionada.

   Outros campos do formulário incluem:

   • Position

   • Email (obrigatório)

   • Phone

   • Employment Status: Selecione status como "Active".

   • Account Expiration Time: A conta é congelada automaticamente após o vencimento.

   • Remarks

3. Selecione a aba User Group Management. Clique em Create User Group, defina um nome como dev-group e escolha o Group Scope conforme necessário.

   Na área Group Scope, filtre usuários por Organization, Account Name, Email ou Phone Number e defina a relação de configuração como Equal to ou Not equal to.

4. Clique em OK.

Etapa 1: Adicionar um conector SASE****

1. Faça login no console do SASE. No painel de navegação à esquerda, escolha Private Access > Network Settings.

2. Na aba Non-Alibaba Cloud services, adicione um conector.

   1. Na aba Connectors, clique em Add Connector.

   2. Na caixa de diálogo Add Connector, configure os parâmetros conforme necessário e clique em OK.

      Parâmetro	Descrição
      Region	Selecione a região mais próxima do servidor para garantir qualidade de acesso ideal.
      Instance Name	Insira um nome para o conector.
      Instance Switch	Os usuários finais do SASE só conseguem acessar os aplicativos associados ao conector quando a chave da instância estiver no estado Enable. Também é possível ativar a chave da instância na lista de conectores ou no painel Details do conector. Importante Se você desativar a chave da instância do conector, os usuários finais não poderão usar o cliente SASE para acessar aplicativos internos. Proceda com cautela.

      O conector aparecerá na lista de conectores.

3. Ative o Global Accelerator.

   1. Na instância de conector criada, clique em Details na coluna Actions.

   2. Na página de detalhes da instância, localize a seção Global Acceleration e ative-a.

   3. Na caixa de diálogo Enable GA, insira as seguintes informações:

      Importante

      Ao ativar o Global Accelerator pela primeira vez, o sistema solicitará autorização para criar automaticamente as funções vinculadas ao serviço AliyunServiceRoleForGaCdt e AliyunServiceRoleForGaVpcEndpoint. O Global Accelerator utiliza essas funções para acessar seus recursos no SASE.

      Parâmetro	Descrição
      GA Instance Name	Obrigatório. Insira um nome para a instância do Global Accelerator. Importante As taxas do Global Accelerator incluem custos de instância, custos de unidade de capacidade (CU) e custos de transferência de dados.
      Resource Group	Selecione um grupo de recursos.
      Terms of service	Ao clicar em enviar, você concorda com os termos de serviço relevantes.

      Clique em Next.

   4. Configure a Acceleration Region e a opção Allocate Bandwidth.

      Parâmetro	Descrição
      Acceleration Region	Escolha a região mais próxima dos usuários. Nota A região de Dubai não é suportada como região de aceleração.
      Allocate Bandwidth	Intervalo: 2 a 10.000 Mbit/s. Métodos de alocação: Allocate Bandwidth by Region: Especifique uma largura de banda de pico para cada região de aceleração. Batch Set: Defina uma largura de banda de pico uniforme para todas as regiões de aceleração.

      Após concluir a configuração, clique em OK. A instância de aceleração será criada em alguns minutos.

   5. Após a criação da instância, os detalhes aparecerão na página de detalhes.

      A página de detalhes exibe os seguintes itens de configuração:

      • Instance Switch: Enabled

      • Global Acceleration: Enabled

      • Status da Acceleration Instance: Available

      • Acceleration Instance ID: Começa com ga-

Etapa 2: Implantar o conector

1. Na coluna Operation do conector adicionado, clique em Deploy. No painel Deploy, copie o comando de implantação.

2. Faça login no servidor ou máquina virtual onde deseja implantar o conector como usuário root e execute o comando de implantação. No painel Deploy, também estão disponíveis comandos para atualizar o conector, desinstalá-lo e exportar logs.

   • Os conectores suportam implantação em vários servidores para alta disponibilidade (HA), conectando-se ao gateway de confiança zero do Private Access por meio de conexões TLS reversas criptografadas.

   • Especificações recomendadas para o servidor: sistema operacional CentOS 7.0+/Ubuntu 18.04+/Debian 12+, CPU de 4 núcleos, largura de banda de 200 Mbps e memória de 8 GB.

   • Comando de implantação/atualização: curl -sSL https://sase-app.oss-cn-hangzhou.aliyuncs.com/connector/install_connector.default_v2.sh | ALIUID=xxx bash

3. Após a implantação, o status da instância mudará para Connected. Outras informações, como o ID da instância, também ficam visíveis.

Etapa 3: Configurar uma política de aceleração corporativa

1. Na página Access control, selecione a aba Enterprise Acceleration e clique em Create Policy.

2. No painel Create Policy, configure os parâmetros conforme necessário e clique em OK.

   Parâmetro	Descrição
   Policy Name	Nome da política de aceleração corporativa.
   Description	Descrição da política.
   Priority	Valores válidos: 1 a 100. Um valor menor indica maior prioridade.
   Acceleration Instance	Tipos de instância suportados: CEN: É necessário inserir o Instance IP Address e a Instance Port. Connector: Selecione uma instância de conector. Nota Selecione a instância de conector criada na etapa Add an SASE connector.
   Acceleration Mode	Modos suportados: Global Acceleration: Roteia todo o tráfego de Internet pela conexão acelerada. A aceleração é interrompida quando o usuário clica no botão "Stop acceleration" no cliente. Custom Acceleration: Exige a configuração de endereços de aceleração personalizados após a criação da política. Apenas o tráfego destinado aos endereços especificados utiliza a conexão acelerada.
   Accelerated User Group	Selecione um ou mais grupos de usuários para aceleração.
   Display on Client	Ao marcar esta opção, os usuários podem escolher entre diferentes políticas de aceleração no cliente SASE.

3. Caso tenha selecionado Acceleration Mode como Custom Acceleration, configure os endereços de aceleração:

   1. Na política criada, clique em Accelerated URL na coluna Actions.

   2. No painel Accelerated URL, clique em Add Accelerated URL e configure os endereços de aceleração:

      Parâmetro	Descrição
      Acceleration address	Insira manualmente os endereços de aceleração. É possível adicionar até 500 endereços.
      Local bulk upload	Utilize um arquivo de modelo para carregar endereços de aceleração em massa. O arquivo deve estar no formato .xlsx e não pode exceder 100 MB.

   3. Clique em OK.

Etapa 4 (opcional): Configurar objetos gerenciados

Altere o Transmission network quality type para melhorar a qualidade da transmissão de rede.

1. Acesse a página Instances no console do Global Accelerator para visualizar os objetos gerenciados e seus status.

   A coluna de status da instância exibe as tags Available e Managed, com uma dica de ferramenta indicando que o serviço cloud gerenciado é o CSAS.

2. Se a conta atual suportar o Cross-border Express Connect, a instância GA gerenciada criada automaticamente usará o modo Cross-border Express Connect por padrão. Caso contrário, a instância usará o modo BGP (Multi-ISP) Pro mode.

   Na área Transmission Network Quality Type, na parte inferior da página Instance Information da instância GA, o cartão Cross-border Express Connect mostra o status Enabled, e o status gerenciado da instância exibe Managed (CSAS).