多账号多VPC企业组网

1 多账号多 VPC企业组网 最佳实践 业务架构 背景描述 针对一些刚开始上云的企业，他们往往业务 先行，需要在很短的时间内完成业务系统的 搬迁，在迁移过程中，账号体系的设计和网 络的规划必不可少。账号是资源的容器，对 于有多个法律实体分公司的集团，各个分公 司有差异化的结算关系，只有一个账号无法 满足集团管理需求，拥有多个阿里云账号， 能够很好的应对这些问题。网络架构，关系 到企业业务的运行、应用之间的调用、业务 的扩展等，我们根据多家企业云上的实践， 总结了多账号多 VPC企业组网方案。 适用场景 产品列表 ⚫ 企业上云初期，希望每个项目能够独立分账，对分账 ⚫ 资源管理 Resource Management 有较高要求。 ⚫ 专有网络 VPC ⚫ VPC与 VPC之间通过 CEN组网。基础架构团队统 ⚫ 网络 ACL 一搭建基础网络架构，各业务团队维护业务相关资源 ⚫ 云服务器 ECS 如 SLB、ECS、RDS等。 ⚫ NAT网关 ⚫ 弹性公网 IP EIP 方案优势 最佳实践频道 阿里云最佳实践技术分享群 ⚫ 按照企业组织结构构建账号系统，通过 资源目录有效将账号组织起来。 ⚫ 典型网络规划，满足企业为了不同业务 的发展以及分权分账等诉求。 ⚫ 采用增强型 NAT网关，支持一个 VPC 下挂载多个 NAT实例。

2云服务器 ECS（产品名称） 文档模板（手册名称）/文档版本信息 阿里云 多账号多VPC企业组网 最佳实践 文档版本：20210210 文档版本：20150122（发布日期） II

3多账号多VPC企业组网 文档版本信息 文档版本信息 文本信息 属性 内容 文档名称 多账号多 VPC企业组网最佳实践 文档编号 197 文档版本 V1.0 版本日期 2021-02-10 文档状态 对外发布 制作人 七凌、遥方、侒然 审阅人 阿瑟、天裵 文档变更记录 版本编号 日期 作者 审核人 说明 V1.0 2021-02-10 七凌、遥方、侒然 阿瑟、天裵 创建

4多账号多VPC企业组网 法律声明 法律声明

5多账号多VPC企业组网 前言 前言 产品介绍 ⚫ 资源管理（Resource Management）：阿里云资源管理服务是一系列企业 IT治理 产品和服务的集合，主要包括资源目录、资源组、资源共享和标签。您可以使用资 源目录在云上构建企业业务组织关系，使用资源组和标签分层次管理云上资源。 更多信息，请参见 https://www.aliyun.com/product/entconsole ⚫ 专有网络 VPC（Virtual Private Cloud）：帮助您基于阿里云构建出一个隔离的网络 环境，并可以自定义 IP 地址范围、网段、路由表和网关等；此外，也可以通过专 线/VPN/GRE等连接方式实现云上 VPC与传统 IDC的互联，构建混合云业务。更 多信息，请参见 https://www.aliyun.com/product/vpc ⚫ 网络 ACL（Network Access Control List）：是专有网络 VPC中的网络访问控制功 能。您可以自定义设置网络 ACL规则，并将网络 ACL与交换机绑定，实现对交换 机中云服务器 ECS 实例的流量的访问控制。更多信息，请参见 https://help.aliyun.com/document_detail/116626.html ⚫ 弹性公网 IP：独立的公网 IP资源，可以与阿里云专有网络 VPC类型的 ECS、 NAT网关、ENI网卡、私网负载均衡 SLB绑定，并可以动态解绑，实现公网 IP与 ECS、NAT网关、ENI网卡、SLB的解耦，满足灵活管理的要求。更多信息，请 参见 https://www.aliyun.com/product/eip ⚫ 云服务器 ECS（Elastic Compute Service）：是一种简单高效、处理能力可弹性伸 缩的计算服务。帮助您构建更稳定、安全的应用，提升运维效率，降低 IT成本， 使 您 更 专 注 于 核 心 业 务 创 新 。 更 多 信 息 ， 请 参 见 https://www.aliyun.com/product/ecs ⚫ NAT网关：帮助您在 VPC环境下构建一个公网流量的出入口，通过自定义 SNAT， DNAT规则灵活使用网络资源，支持多 IP，支持共享公网带宽。更多信息，请参 见 https://www.aliyun.com/product/network/nat

6多账号多VPC企业组网 目录 目录 文档版本信息 .............................................................................................................................................................. I 法律声明 ..................................................................................................................................................................... II 前言 ............................................................................................................................................................................ III 目录 ............................................................................................................................................................................ IV 最佳实践概述 ............................................................................................................................................................. 1 前置条件 ..................................................................................................................................................................... 2 1. 账号体系搭建 ..................................................................................................................................................... 3 1.1. 资源目录 ............................................................................................................................................. 3 1.2. 资源结构 ............................................................................................................................................. 4 1.2.1. 资源结构搭建 ............................................................................................................................. 4 1.2.2. 创建资源夹 ................................................................................................................................. 5 1.2.3. 创建成员账号 ............................................................................................................................. 5 1.2.4. 登录成员账号 ............................................................................................................................. 9 2. 基础环境配置 ................................................................................................................................................... 12 2.1. 部署网络 ........................................................................................................................................... 12 2.2. 网络ACL ............................................................................................................................................ 22 2.2.1. 准备工作 ................................................................................................................................... 22 2.2.2. 绑定交换机 ............................................................................................................................... 22 2.3. 网络互通 ........................................................................................................................................... 25 2.3.1. 加载同账号VPC ........................................................................................................................ 25 2.3.2. 加载跨账号VPC ........................................................................................................................ 27 3. 网络连通测试 ................................................................................................................................................... 30 3.1. 跨账号测试网络连通性 ................................................................................................................... 30 4. 代码指南（可选） ........................................................................................................................................... 32

7多账号多VPC企业组网 最佳实践概述 最佳实践概述 方案架构 本篇实践模拟一家集团公司，该公司有多家分公司，结合企业的组织结构，通过资源 目录来管理账号体系，多账号下分别创建 VPC, 根据项目独立分账的要求，对应 VSwitch下单独挂载增强型 NAT网关。项目之间通过 NACL彼此隔离，都以其项目所 在 VSwitch的 NAT网关作为流量出口（典型的分布式部署方式，另外一种典型的部 署方式是集中式共享 NAT网关），NAT实例通过 Tag来做分账，VPC与 VPC之间通 过 CEN组网. 方案优势 ⚫ 按照企业组织结构构建账号系统，通过资源目录有效将账号组织起来。 ⚫ 典型网络规划，满足企业为了不同业务的发展以及分权分账等诉求。 ⚫ 采用增强型 NAT网关，支持一个 VPC下挂载多个 NAT实例。

8多账号多VPC企业组网 前置条件 前置条件 为了顺利完成本实践，您需要提前完成以下准备工作： ⚫ 注册阿里云账号，并完成实名认证。您可以登录阿里云控制台，并前往实名认证页 面（https://account.console.aliyun.com/v2/#/authc/home）查看是否已经完成实名 认证，并完成企业实名认证（https://help.aliyun.com/document_detail/37195.html） ⚫ 阿里云账户余额大于 100 元。您可以登录阿里云控制台，并前往账户总览页面 （https://expense.console.aliyun.com/#/account/home）查看账户余额。 ⚫ 管理账号加固，企业管理账号拥有企业整体账号结构中的最高管理权限，因此需 要进行非常严格的安全管控（开启 MFA，创建 RAM子账号，请参考官方文档和 最佳实践：https://help.aliyun.com/knowledge_list/37218.html ） ⚫ 开通网络 ACL白名单，请提交工单申请开通： （https://page.aliyun.com/form/act312133232/index.htm）