Birden fazla Alibaba Cloud hesabında kaynaklarınız varsa, ayrı Cloud Firewall örneklerini yönetmek güvenlik açıklarına yol açar ve yönetimi karmaşıklaştırır. Tüm kaynaklarınızı tek bir Cloud Firewall örneği ile korumak için çoklu hesap yönetimi özelliğini kullanın. Bu konuda, birden fazla Cloud Firewall örneğinin tek bir yönetim hesabı altında nasıl birleştirileceği açıklanmaktadır.
Arka plan
Kuruluşlar cloud varlıklarını genişlettikçe artan sayıda kaynağı, projeyi ve izni yönetmek giderek daha karmaşık hale gelir. Tek bir hesap operasyonel yükü karşılayamaz duruma geldiğinden çoklu hesap stratejisi zorunlu hale gelir. Bu durum, özellikle güvenlik, uyumluluk, ağ ve operasyon alanlarında hesaplar arası kaynakların merkezi olarak yönetilmesini gerektirir.
Cloud Firewall, bu gereksinimleri karşılamak için Alibaba Cloud Resource Directory'nin güvenilir hizmet özelliğini kullanır. Bu özellik, birden fazla Alibaba Cloud hesabını tek bir kaynak dizininde gruplamanıza olanak tanır; burada her hesap bir üye hesaptır. Daha sonra üyelerden birini yetkili yönetici hesabı olarak atayabilirsiniz. Bu hesap, kaynak dizini içindeki diğer tüm üye hesapların kaynaklarına erişim yetkisine sahip olur. Bu yapı, Internet varlıkları ve VPC varlıkları için trafik koruması, ilke yapılandırması, trafik analizi, saldırı önleme, saldırı savunması, tehdit algılama ve günlük denetlemesinin tüm hesaplarınızda merkezi olarak yapılmasını sağlar.
Başlamadan önce aşağıdaki hesap rollerini anlayın:
|
Hesap türü |
Açıklama |
Kaynak dizini izinleri |
Cloud Firewall izinleri |
|
yönetim hesabı |
Kaynak dizininde olmayan diğer Alibaba Cloud hesaplarını üye olarak davet edip merkezi yönetim için gruba ekleyebilir. |
Kuruluşun tüm varlıkları üzerinde yönetici izinlerine sahiptir. |
Cloud Firewall tarafından korunan tüm varlıkları yönetebilir. |
|
yetkili yönetici hesabı |
Yönetim hesabının belirli bir güvenilir hizmeti yönetmesi için atadığı üye hesaptır. Atandıktan sonra yetkili yönetici hesabı, organizasyon ve üye bilgilerine erişebilir ve hizmetin tüm kaynak dizini genelinde yönetimini yapabilir. Not
Yetkili yönetici hesabı kullanmak, organizasyon yönetimi görevlerini hizmet yönetimi görevlerinden ayırır. Yönetim hesabı organizasyon görevlerini yürütürken, yetkili yönetici hesabı güvenilir hizmet için hizmete özel görevleri yerine getirir. |
Kuruluşun tüm varlıkları üzerinde yönetici izinlerine sahiptir. |
Cloud Firewall tarafından korunan tüm varlıkları yönetebilir. |
|
üye hesap |
Yönetim hesabı tarafından davet edilerek kaynak dizinine katılan hesaptır. |
Yalnızca kendi varlıklarını yönetebilir. |
Cloud Firewall satın alamaz veya etkinleştiremez. |
Kullanım senaryosu
Bir kuruluş, Alibaba Cloud hesabı A, Alibaba Cloud hesabı B ve Alibaba Cloud hesabı C için ayrı Cloud Firewall örneklerine sahiptir. Bu kurulum yönetim karmaşıklığını ve idari yükü artırır. Operasyonları basitleştirmek için kuruluş, Cloud Firewall çoklu hesap yönetimi özelliğini kullanmaya karar verir. Alibaba Cloud hesabı A'yı yetkili yönetici hesabı olarak atayarak Alibaba Cloud hesapları B ve C'yi üye hesap haline getirir. Sonuç olarak, yalnızca Alibaba Cloud hesabı A'nın bir Cloud Firewall örneğine ihtiyacı vardır ve bu örnek hesaplar B ve C ile paylaşılır.
Ön koşullar
Yönetim hesabı için bir Resource Directory etkinleştirilmiş olmalıdır. Daha fazla bilgi için bkz. Resource Directory'yi etkinleştirme.
-
Alibaba Cloud hesabı A için bir Cloud Firewall aboneliği (Advanced, Enterprise veya Ultimate Edition) ya da kullandıkça öde sürümünü etkinleştirmiş olmanız gerekir. Daha fazla bilgi için bkz. Abonelik 2.0.
NotŞu anda yalnızca Cloud Firewall'un abonelik sürümleri çoklu hesap yönetimini desteklemektedir. Yetkili yönetici hesabı olarak seçtiğiniz hesabın desteklenen bir sürüm kullandığından emin olun. Farklı abonelik sürümleri farklı sayıda üye hesabı destekler. Daha fazla bilgi için bkz. Abonelik 2.0.
Varsayılan olarak desteklenen üye hesap sayısı ihtiyaçlarınızı karşılamıyorsa limiti artırmak için Cloud Firewall sürümünüzü yükseltebilirsiniz.
Adım 1: Üyeleri Resource Directory'ye davet edin
Yönetim hesabı, Resource Directory dışındaki Alibaba Cloud hesaplarını merkezi kaynak yönetimi için üye hesap olarak katılmaya davet edebilir.
Yönetim hesabını kullanarak Resource Directory konsolu üzerinde oturum açın.
Sol gezinme bölmesinde seçeneklerini seçin.
Invite Member Account seçeneğini tıklayın.
-
Invite Member Account panelinde, ID or Email Address of Invited Account alanına Alibaba Cloud hesabı A, Alibaba Cloud hesabı B ve Alibaba Cloud hesabı C'nin ID'lerini girin. Ardından risk bildirimini gözden geçirip onay kutusunu işaretleyin.
NotHesabı kaydederken kullandığınız e-posta adresini kullanın, hesaba daha sonra bağlanan ikincil e-posta adresini değil. Hesap ID'lerini veya giriş e-postalarını virgül (,) ile ayırarak birden fazla Alibaba Cloud hesabını aynı anda davet edebilirsiniz.
OK seçeneğini tıklayın.
Adım 2: Resource Directory için yetkili yönetici ekleyin
Yetkili yönetici hesabı kullanmak, organizasyon yönetimi görevlerini hizmet yönetimi görevlerinden ayırır. Yönetim hesabı Resource Directory'deki organizasyonel görevleri yürütürken, yetkili yönetici hesabı güvenilir bir hizmet için hizmete özel görevleri yerine getirir. Bu senaryoda Alibaba Cloud hesabı A, yetkili yönetici hesaptır.
Yönetim hesabını kullanarak Resource Directory konsolu üzerinde oturum açın.
Sol gezinme bölmesinde seçeneklerini seçin.
Trusted Services sayfasında Cloud Firewall için güvenilir hizmeti bulun ve Actions sütunundaki Manage seçeneğini tıklayın.
Delegated Administrator Account bölümünde Add seçeneğini tıklayın.
Delegated Administrator Account panelinde Alibaba Cloud hesabı A'nın ID'sini seçin.
-
OK seçeneğini tıklayın.
Hesabı ekledikten sonra hesap, güvenilir hizmetin çoklu hesap yönetimi modülüne erişebilir ve tüm kaynak dizini genelinde yönetim işlemlerini yapabilir.
Adım 3: Üyeler için Cloud Firewall aboneliğini iptal edin veya örneği serbest bırakın
Üye hesapların kendi Cloud Firewall örnekleri olamayacağından B ve C hesaplarının A hesabına katılabilmesi için bu hesaplardaki örneklerin aboneliğini iptal etmeniz veya serbest bırakmanız gerekir. Faturalandırma yönteminize (abonelik veya kullandıkça öde) bağlı olarak aşağıdaki adımları izleyin. İşleme devam etmeden önce aşağıdaki notları ve iade kurallarını inceleyin. Ayrıntılı iade kuralları için bkz. Kendi kendine abonelik iptali.
Notlar
Bir örneğin aboneliğini iptal ettikten veya serbest bıraktıktan sonra Internet güvenlik duvarı tarafından daha önce korunan varlıklar artık korunmayacaktır.
Etkin bir VPC güvenlik duvarınız varsa Cloud Firewall aboneliğini iptal etmeden veya örneği serbest bırakmadan önce bunu devre dışı bırakmanız gerekir. Güvenlik duvarını devre dışı bırakmak hizmetlerinizdeki korumayı kaldırır. Bu işlem rota geçişi nedeniyle iş kesintilerine neden olabilir. Bu işlemi yoğun saatler dışında yapmanızı öneririz.
Bir örneğin aboneliğini iptal etmek veya serbest bırakmak mevcut tüm erişim kontrolü ve saldırı önleme ilkelerini siler.
Abonelik tabanlı Cloud Firewall aboneliğini iptal etme
Hem Alibaba Cloud hesabı B hem de Alibaba Cloud hesabı C için aşağıdaki adımları uygulayın:
Kaynak Abonelik İptali sayfasına gidin ve Unsubscribe from Resource sekmesini tıklayın.
Unsubscribe from Resource sekmesinde Regular Cloud Products seçeneğini tıklayın ve Partial Unsubscription seçeneğini belirleyin.
Abonelik tabanlı Cloud Firewall örneğini bulun ve Operation sütununda Unsubscribe from Resource seçeneğini tıklayın.
Unsubscribe from Resource sayfasında kaynak bilgilerini onaylayın ve Reason for Unsubscription alanını doldurun. Ardından I have carefully read the Unsubscription Rules and confirm the refund amount ve I confirm that the data of the unsubscribed instance has been backed up and migrated seçeneklerini okuyup işaretleyin.
-
Unsubscribe Now seçeneğini tıklayın. Görüntülenen iletişim kutusunda bilgileri onaylayın ve OK seçeneğini tıklayın.
Abonelik iptali isteği gönderildikten sonra işlem ayrıntılarını görüntülemek için Order List seçeneğini tıklayabilirsiniz.
Kullandıkça öde Cloud Firewall örneğini serbest bırakma
Sırasıyla Alibaba Cloud hesabı B ve Alibaba Cloud hesabı C ile Cloud Firewall konsolu üzerinde oturum açın.
Overview sayfasında sağ üst köşede seçeneklerini seçin.
Warning iletişim kutusunda serbest bırakma bilgilerini onaylayın ve OK seçeneğini tıklayın.
Adım 4: Cloud Firewall'a üye hesaplar ekleyin
Cloud Firewall, tüm üye hesaplar arasında kaynak paylaşımını sağlamak için Resource Directory'nin güvenilir hizmet özelliğini kullanarak birden fazla Alibaba Cloud hesabını bir kaynak dizininde gruplar.
Alibaba Cloud hesabı A'yı kullanarak Cloud Firewall konsolu üzerinde oturum açın.
Sol gezinme bölmesinde seçeneklerini seçin.
Multi-Account sayfasında Add Member seçeneğini tıklayın.
-
Add Member iletişim kutusunda Alibaba Cloud hesabı B ve Alibaba Cloud hesabı C'nin hesap ID'lerini sağ taraftaki Selected Members listesine ekleyin. Ardından OK seçeneğini tıklayın.
Alibaba Cloud hesabı A, B ve C hesaplarını başarıyla üye hesap olarak eklemiştir.
Bir üye hesap eklendikten sonra Cloud Firewall varsayılan olarak o hesaptaki cloud kaynaklarına erişim iznine sahip olur. Ancak VPC güvenlik duvarınız başka bir hesaptan bir VPC içeren Cloud Enterprise Network (CEN) içindeki ağ örneklerini koruyorsa Cloud Firewall'a o diğer hesaptaki kaynaklara erişim izni vermeniz gerekir. Daha fazla bilgi için bkz. Cloud Firewall'a cloud kaynaklarına erişim izni verme.
Adım 5: Paylaşılan kaynaklar için Cloud Firewall yapılandırması
Abonelik iptali mevcut ilkeleri sildiğinden paylaşılan kaynaklar için güvenlik duvarlarını yeniden etkinleştirmeniz ve ilkelerini yeniden yapılandırmanız gerekir.
Notlar
Internet güvenlik duvarı saniyeler içinde etkinleştirilebilir.
VPC güvenlik duvarının yeniden etkinleştirilmesi rota geçişi nedeniyle iş kesintilerine neden olabilir.
Erişim kontrolü ve saldırı önleme ilkelerini yeniden yapılandırmanız gerekir.
Alibaba Cloud hesabı A'yı kullanarak Cloud Firewall konsolu üzerinde oturum açın.
Sol gezinme bölmesinde Firewall seçeneğini tıklayın.
-
Firewall sayfasında Synchronize Assets seçeneğini tıklayın. Sistem mevcut hesabın ve üye hesaplarının varlık bilgilerini senkronize eder.
Bu işlem 1-2 dakika sürer.
-
Varlık senkronizasyonu tamamlandıktan sonra paylaşılan kaynaklar için Cloud Firewall korumasını etkinleştirebilirsiniz.
-
Internet güvenlik duvarını etkinleştirin
Daha fazla bilgi için bkz. Internet güvenlik duvarı.
-
VPC güvenlik duvarını etkinleştirin
İş gereksinimlerinize göre desteklenen üç VPC güvenlik duvarı senaryosundan birini seçin.
VPC Güvenlik Duvarı Türü
Senaryo
İşlem Kılavuzu
Enterprise Edition Transit Router için VPC Güvenlik Duvarı
Şunlar için koruma desteklenir:
Aynı bölgedeki birden fazla VPC arasındaki trafik
Enterprise Edition Transit Router aracılığıyla bölgeler arası birden fazla VPC arasındaki trafik
VPC'ler ve Sanal Sınır Yönlendiriciler (VBR) arasındaki trafik (yani VPC'ler ile şirket içi veri merkezleri arasındaki trafik)
VPC'ler ve Cloud Connect Networks (CCN) arasındaki trafik
Birden fazla VBR arasındaki trafik
CCN'ler ve VBR'ler arasındaki trafik
VPC'ler ve genel VPN'ler arasındaki trafik
Şunlar için koruma desteklenmez: Birden fazla CCN arasındaki trafik
Basic Edition Transit Router için VPC Güvenlik Duvarı
Şunlar için koruma desteklenir:
Aynı bölgedeki birden fazla VPC arasındaki trafik
Basic Edition Transit Router aracılığıyla bölgeler arası birden fazla VPC arasındaki trafik
VPC'ler ve Sanal Sınır Yönlendiriciler (VBR) arasındaki trafik (yani VPC'ler ile şirket içi veri merkezleri arasındaki trafik)
VPC'ler ve Cloud Connect Networks (CCN) arasındaki trafik
Şunlar için koruma desteklenmez:
Birden fazla VBR arasındaki trafik
CCN'ler ve VBR'ler arasındaki trafik
Birden fazla CCN arasındaki trafik
Cloud Enterprise Network için VPC güvenlik duvarını yapılandırma
Express Connect için VPC Güvenlik Duvarı
Şunlar için koruma desteklenir:
Express Connect VPC modunda aynı bölgedeki aynı hesabın birden fazla VPC'si arasındaki trafik
VPC eşleme modunda aynı bölgedeki birden fazla VPC arasındaki trafik (aynı hesap ve hesaplar arası dahil)
Şunlar için koruma desteklenmez:
Express Connect VPC modunda birden fazla VPC arasındaki hesaplar arası ve bölgeler arası trafik
VPC ve Sanal Sınır Yönlendirici (VBR) (VBR) (Sanal Sınır Yönlendirici) karşılıklı erişim trafiği
NotBölgeler arası, hesaplar arası VPC trafiğini veya VPC'ler ile VBR'ler arasındaki trafiği korumanız gerekiyorsa Cloud Enterprise Network kullanmanızı öneririz. Daha fazla bilgi için bir destek bileti gönderin.
-
Erişim kontrol ilkelerini yapılandırın
Daha fazla bilgi için bkz. Internet güvenlik duvarı için erişim kontrol ilkesi yapılandırma, VPC güvenlik duvarı için erişim kontrol ilkesi yapılandırma ve Güvenlik gruplarını yapılandırma.
-
Saldırı önleme ilkelerini yapılandırın
Daha fazla bilgi için bkz. Saldırı önleme.
-
Adım 6: Hizmet kararlılığını doğrulayın
Erişim kontrol ilkelerinizin hit sayısını kontrol edin ve trafik günlüklerini inceleyerek beklenen trafik desenleriyle uyumlu olduklarından emin olun. İlke hitleri ve günlük verileri beklentilerinizle uyumluysa ve herhangi bir anormallik göstermiyorsa yapılandırmanızın doğru olduğu ve hizmetlerinizin kararlı olduğu teyit edilir. Bu bilgilere Erişim Kontrolü İlkesi sayfasından ve günlük denetleme sayfasından ulaşabilirsiniz.