多账号统一管理

适用范围

• 版本要求：仅支持 WAF 企业版与旗舰版，其他版本不支持多账号统一管理功能。

• 认证要求：开通资源目录须使用企业类型的阿里云账号。

• 账号归属：管理账号与成员账号必须属于同一个资源目录，且必须为同一个企业实名认证主体。

• 实例限制：成员账号下不得存在运行中的 WAF 实例；若已存在，须先释放实例后方可进行纳管操作。

纳管后限制与管理规则

• 实例购买限制：成员账号被纳管后，无法购买与管理账号相同地域的 WAF 实例。例如：若管理账号已购买中国内地 WAF 实例，成员账号将不支持购买中国内地实例，但可购买非中国内地实例。

• 控制台权限限制：成员账号的云产品资产接入管理账号的 WAF 实例后，成员账号仅支持在管理账号的 WAF 控制台中查看防护配置、总览及安全报表等功能。

• 资产自动移除：若管理账号在 WAF 控制台中删除该成员账号，系统将自动移除该成员账号下已接入防护的云产品资产。

步骤一：管理账号开通资源目录

在使用多账号统一管理功能前，需先将企业的多个阿里云账号汇总至同一资源目录中。请使用企业管理账号登录资源管理控制台，完成资源目录的开通。具体操作步骤，请参见开通资源目录。

步骤二：邀请成员

被邀请方成功加入资源目录后，即成为资源目录成员，由资源目录进行统一管理。

请使用管理账号登录资源管理控制台，通过邀请已有账号或创建新账号的方式，搭建企业的组织结构。

• 邀请已有账号：具体操作请参见邀请阿里云账号加入资源目录。

• 创建新成员账号：若暂无需要邀请的成员账号，可直接在资源目录中创建新成员。具体操作请参见创建成员。

• 搭建组织结构：如需按业务关系对成员进行分类管理，具体操作请参见创建资源夹。

步骤三：添加委派管理员账号（可选）

若您不希望由开通资源目录的主账号直接开通和管理 WAF 服务，可通过设置委派管理员账号的方式，将组织管理任务与业务管理任务相分离，符合安全最佳实践。若您计划在当前开通资源目录的账号下直接部署 WAF，请跳过此步骤。

账号用途规划示例：

• 主账号：负责创建资源目录、管理资金及全局用户权限等。

• 安全账号（成员账号）：作为委派管理员，集中管理 WAF、云防火墙、堡垒机等安全产品。

• 业务账号（成员账号）：如业务账号 1、业务账号 2 等，用于部署 ECS 实例等实际业务资源。

具体操作步骤，请参见管理委派管理员账号。

步骤四：在WAF控制台添加成员账号

请使用以下账号登录控制台：

• 若未委派 WAF 管理员，请使用创建资源目录的管理账号。

• 若已委派 WAF 管理员，请使用被委派的成员账号。

1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

2. 在左侧导航栏，单击多账号统一管理。

3. 在多账号统一管理页面，单击添加成员账号。

4. 在添加成员账号对话框中，在左侧可导入成员账号列表中选择待纳管的成员账号，通过中间箭头按钮，将其添加至右侧已选导入Web应用防火墙成员账号列表中，单击确定。

步骤五：接入成员账号的云产品资产

根据云产品资产类型，进行相应的接入操作：

• 对于应用型负载均衡 ALB、传统型负载均衡 CLB、网络型负载均衡 NLB及云服务器 ECS云产品，支持自动同步至 WAF 部署账号。请直接登录 WAF 部署账号的控制台，完成上述成员账号资产的接入操作。

• 对于云原生网关 MSE、云原生API网关 APIG、全球加速 GA及函数计算 FC。请先登录成员账号对应的产品控制台完成接入，随后在 WAF 部署账号的控制台中查看相关详情。

具体接入操作，请参见接入概述。

无法配置多账号统一管理，有什么代替方案吗？

若无法配置多账号统一管理，可采用 CNAME 接入方式作为替代。该方式支持接入可公网访问的域名，且不受跨账号、跨云等环境限制。