云企业网：云连接网授权

场景一：所有实例的账号相同

1. 登录云企业网管理控制台。

2. 在云企业网实例页面，找到目标云企业网实例，单击目标实例ID。

3. 在基本信息 > 转发路由器页签，根据PrivateZone服务关联的专有网络实例的地域，单击该地域的转发路由器实例ID。

4. 在转发路由器实例详情页面，单击访问Private Zone页签，然后单击点击授权。在访问控制快速授权页面，单击确认授权。

   说明

   只有在第一次设置访问PrivateZone服务时需要对智能接入网关进行授权。授权完成后，连接到转发路由器实例的云连接网（智能接入网关的组成部分）实例即被允许访问PrivateZone服务。

   授权后，系统会为当前账号自动添加一个名称为AliyunSmartAGAccessingPVTZRole的RAM角色。您可以在访问控制管理控制台的身份管理 > 角色页面，搜索角色并查看角色信息。

场景二：云连接网实例的账号不同

1. 在专有网络实例所属账号中操作授权，允许同账号的云连接网实例访问PrivateZone服务。

   1. 使用专有网络实例所属账号登录云企业网管理控制台。

   2. 在云企业网实例页面，找到目标云企业网实例，单击目标实例ID。

   3. 在基本信息 > 转发路由器页签，根据PrivateZone服务关联的专有网络实例的地域，单击该地域的转发路由器实例ID。

   4. 在转发路由器实例详情页面，单击访问Private Zone页签，然后单击点击授权。在云资源访问授权页面，单击同意授权。

      说明

      只有在第一次设置访问PrivateZone服务时需要对智能接入网关进行授权。授权完成后，连接到转发路由器实例的云连接网（智能接入网关的组成部分）实例即被允许访问PrivateZone服务。

2. 修改专有网络实例所属账号下AliyunSmartAGAccessingPVTZRole角色的信任策略，允许跨账号的云连接网实例访问PrivateZone服务。

   1. 使用专有网络实例所属账号登录访问控制管理控制台。

   2. 在左侧导航栏，选择身份管理 > 角色。

   3. 在角色页面的搜索框内输入AliyunSmartAGAccessingPVTZRole，搜索该角色，然后单击角色名称。

   4. 在角色详情页面，单击信任策略页签，然后单击编辑信任策略。

   5. 在Service中添加一条记录："云连接网实例所属阿里云账号ID@smartag.aliyuncs.com"，然后单击确定。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "smartag.aliyuncs.com",
                          "271598332402530847@smartag.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

场景三：转发路由器实例的账号不同

1. 使用专有网络实例所属账号登录访问控制管理控制台。

2. 在左侧导航栏，选择身份管理 > 角色。

3. 在角色页面，单击创建角色。

4. 在创建角色面板，根据以下信息创建角色。

   1. 信任主体类型：选择云服务。

   2. 信任主体名称：选择智能接入网关。

   3. 单击确定后，输入角色名称为AliyunSmartAGAccessingPVTZRole，最后单击确定。

   4. 回到角色页面。

5. 在角色页面，通过搜索框搜索新建的AliyunSmartAGAccessingPVTZRole角色，然后单击角色名称。

6. 在权限管理页签，单击新增授权，进入新增授权面板。

7. 在权限策略下的搜索框中输入pvtz关键字，勾选AliyunPvtzReadOnlyAccess策略，然后单击确认新增授权。

8. 在新增授权面板，单击完成，回到角色详情页面。

9. 在角色详情页面，单击信任策略页签，查看授权信息。

   信任策略的 JSON 内容中，Action 为 sts:AssumeRole，Effect 为 Allow，Principal.Service 为 smartag.aliyuncs.com，Version 为 1。

场景四：所有实例的账号均不相同

1. 参见场景三的方法，在专有网络实例所属的账号中创建一个角色并完成授权。

2. 参见场景二的方法，在专有网络实例所属的账号中添加对云连接网实例的授权。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "smartag.aliyuncs.com",
          "271598332402530847@smartag.aliyuncs.com",
          "244831332402557259@smartag.aliyuncs.com",
          "287683832402436789@smartag.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

后续步骤

配置访问PrivateZone服务