Web Application Firewall:Gerenciamento de várias contas

Escopo

• Requisito de edição: Apenas as edições WAF Enterprise e Ultimate oferecem suporte ao gerenciamento de várias contas. As demais edições não incluem esse recurso.

• Requisito de verificação: Para ativar um diretório de recursos, use uma conta Alibaba Cloud que tenha concluído a verificação do tipo empresarial.

• Vinculação de contas: A conta de gerenciamento e as contas membro devem pertencer ao mesmo diretório de recursos e estar associadas à mesma entidade empresarial verificada.

• Restrição de instância: Não é permitido ter instâncias do WAF em execução nas contas membro. Caso existam, libere-as antes de iniciar a integração.

Restrições pós-integração e regras de gerenciamento

• Limitação na compra de instâncias: Após a integração de uma conta membro, ela não pode adquirir uma instância do WAF na mesma região da conta de gerenciamento. Por exemplo, se a conta de gerenciamento comprou uma instância do WAF na China Continental, a conta membro não pode comprar uma instância nessa região, mas pode adquirir instâncias fora da China Continental.

• Restrição de permissões no console: Depois que os ativos de products cloud de uma conta membro forem integrados à instância do WAF da conta de gerenciamento, a conta membro só poderá visualizar configurações de proteção, visões gerais e relatórios de segurança no console do WAF da conta de gerenciamento.

• Remoção automática de ativos: Se a conta de gerenciamento excluir uma conta membro no console do WAF, o sistema removerá automaticamente os ativos de products cloud integrados para proteção sob essa conta membro.

Etapa 1: A conta de gerenciamento ativa um diretório de recursos

Antes de usar o gerenciamento de várias contas, consolide todas as contas Alibaba Cloud da sua empresa no mesmo diretório de recursos. Use a conta de gerenciamento da sua empresa para fazer logon no console do Resource Management e ative o diretório de recursos. Para obter etapas detalhadas, consulte Enable Resource Directory.

Etapa 2: Convide membros

Após entrar com sucesso no diretório de recursos, o convidado torna-se um membro do diretório e passa a ser gerenciado centralmente por ele.

Faça logon no console do Resource Management com a conta de gerenciamento e construa sua estrutura organizacional convidando contas existentes ou criando novas contas.

• Convidar contas existentes: Para etapas detalhadas, consulte Invite an Alibaba Cloud account.

• Criar novas contas membro: Se não houver contas membro para convidar, crie novos membros diretamente no diretório de recursos. Para etapas detalhadas, consulte Create a member.

• Construir estrutura organizacional: Caso precise classificar e gerenciar membros com base em relações de negócios, consulte Create a folder.

Etapa 3: Adicione uma conta de administrador delegado (opcional)

Se você não desejar que a conta principal responsável por ativar o diretório de recursos gerencie diretamente o service WAF, defina uma conta de administrador delegado. Essa abordagem separa o gerenciamento organizacional das tarefas de gestão de negócios, alinhando-se às melhores práticas de segurança. Caso pretenda implantar o WAF diretamente na conta que ativou o diretório de recursos, pule esta etapa.

Exemplo de plano de uso de contas:

• Conta principal: Responsável por criar o diretório de recursos, gerenciar fundos e definir permissões globais de usuários.

• Conta de segurança (conta membro): Atua como administrador delegado para gerenciar centralmente products de segurança, como WAF, Cloud Firewall e Bastionhost.

• Conta de negócios (conta membro): Como Conta de Negócios 1, Conta de Negócios 2, entre outras, utilizadas para implantar recursos reais de negócios, como instâncias ECS.

Para etapas detalhadas, consulte Manage delegated administrator accounts.

Etapa 4: Adicione contas membro no console do WAF

Faça logon no console utilizando uma das seguintes contas:

• Caso nenhum administrador do WAF tenha sido delegado, utilize a conta de gerenciamento que criou o diretório de recursos.

• Se um administrador do WAF já tiver sido delegado, utilize a conta membro delegada.

1. Faça logon no console do Web Application Firewall 3.0. Na barra de menus superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.

2. No painel de navegação à esquerda, clique em Multi-account Management..

3. Na página Multi-account Management, clique em Add Member.

4. Na caixa de diálogo Add Member, selecione a conta membro a ser importada na lista Available Members à esquerda. Em seguida, use o botão de seta no centro para adicioná-la à lista Selected Members à direita e clique em OK.

Etapa 5: Integre ativos de products cloud das contas membro

Execute a operação de integração correspondente com base no tipo de ativo do product cloud:

• Para os products cloud Classic Load Balancer (CLB), Network Load Balancer (NLB) e Elastic Compute Service (ECS), os ativos podem ser sincronizados automaticamente com a conta de implantação do WAF. Faça logon no console da conta de implantação do WAF para concluir a integração dos ativos da conta membro.

• No caso do Application Load Balancer (ALB), Microservices Engine (MSE) - Cloud-native Gateway, Cloud-native API Gateway, AI Gateway AIG, Global Accelerator (GA) e Function Compute: primeiro, faça logon no console do product correspondente da conta membro para concluir a integração e, depois, visualize os detalhes no console da conta de implantação do WAF.

Para operações detalhadas de integração, consulte Overview.

Quais alternativas existem caso eu não possa configurar o gerenciamento de várias contas?

Se não for possível configurar o gerenciamento de várias contas, utilize o acesso CNAME como alternativa. Esse método permite a integração de nomes de domínio acessíveis publicamente e não possui limitações relacionadas a ambientes entre contas ou entre clouds.