企业阿里云多账号统一管理实践

喜欢ヅ旅行 2024-05-05 07:15 7阅读 0赞

## ![19ca6cbb97388f0c17b094865e43e40b.gif][] ##

新钛云服已累计为您分享**777**篇技术干货

![4d60874e5fd684f7a026b9ec471293ca.gif][]

**1.多账号架构设计**

使用阿里云资源目录RD，就像在一个大仓库中整理和分类存放物品一样，为了帮助我们建立一个清晰的云资源层级结构，基于资源目录可以方便地管理和查找所有的云资源，提高资源的利用率和安全性，并简化管理工作，让我们更轻松地掌控和管理云上的各项资源。

根据阿里云最佳实践、当前公司的实际情况和未来的可扩展情况，资源目录配置建议采用以下架构进行配置：

![bc7c8608d8219120761ec245d85a449e.jpeg][]

**账号类型说明**

*  **企业管理账号**：（Master Account，简称MA）作为多账号体系的根账号存在，负责对整体组织进行管理。承担以下职责：
    
     *  开通和管理资源目录。
     *  创建和组织其他账号。
     *  拥有企业所有账号的管理员权限。
     *  可以管理所有资源的账单和支付相关的财务信息。
 *  **日志账号**：（Logging Account）用于聚合与审计日志的账号。承担以下职责：
    
     *  聚合及保存所有日志方便进行统一的查看与审计。
     *  使用者为安全团队。
 *  **应用账号**：（Application Account）作为一般的业务账号用于部署应用。承担以下职责：
    
     *  在权限范围内根据业务需求开通并管理各类云资源例如ECS、RDS、OSS、SLB、ACK等。

**资源夹说明**

资源夹类似于文件夹，用于组织和管理云上的资源。在阿里云资源目录中，资源夹是用来管理多个账号下的所有资源实例的概念。

**2.资源目录配置**

1、使用企业管理账号，在资源管理-资源目录-概览处开通资源目录

![04fb6f59ac6dc99f2cc732d398bdcb94.png][]

开通资源目录后，系统会为您创建一个Root资源夹，并将当前的登录账号设置为管理账号。

![01526d400683e6a6354610e26683f9de.png][]

2、按下表要求新建资源夹，点击“创建资源夹”按钮，在右侧弹出界面中输入要创建的文件夹名称，点击确认按钮完成资源夹的创建。

<table> 
 <tbody> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">归属资源夹</p></td> 
   <td colspan="1"><p style="text-align:center;">新建资源夹名称</p></td> 
  </tr> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">Root</p></td> 
   <td colspan="1"><p style="text-align:center;">Core</p></td> 
  </tr> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">Root</p></td> 
   <td colspan="1"><p style="text-align:center;">Project</p></td> 
  </tr> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">Core</p></td> 
   <td colspan="1"><p style="text-align:center;">Management</p></td> 
  </tr> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">Core</p></td> 
   <td colspan="1"><p style="text-align:center;">Shared</p></td> 
  </tr> 
 </tbody> 
</table>

![361da6180358516b0fd8423a98c418ae.png][]

**3.邀请成员**

1、在资源管理-资源目录-邀请成员处，点击“邀请成员”按钮，在右侧弹出界面中，填写应用主账号的UID，“归属资源夹”选择“Project”,勾选“我已了解此风险”，点击“确定”按钮。

![fa9ecbd52ec83a56a150e39122ddf643.png][]

2、使用应用账号（被邀请的账号），在资源管理-资源目录-概览处，点击“查看邀请”，在操作列单击“处理邀请”。在**处理邀请**对话框，仔细阅读邀请信息，然后选中风险提示框，最后单击“接受邀请”。被邀请方成功加入资源目录后，可以在资源目录的**设置**页面，查看到资源目录相关信息。

3、在资源管理-资源目录-概览处，选择“成员列表”，可以看到已接受邀请的账号。

![0bd6e901087b82309dd8163a1edbb970.png][]

**4.新建日志账号**

1、使用企业管理账号，在资源管理-资源目录-创建成员处，点击“创建成员”按钮，按日志账号命名规范，在“创建成员”界面填写“阿里云账号名称”和“显示名称”。

<table> 
 <tbody> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">阿里云账号名称</p></td> 
   <td colspan="1"><p style="text-align:center;">显示名</p></td> 
   <td colspan="1"><p style="text-align:center;">结算方式</p></td> 
   <td colspan="1"><p style="text-align:center;">归属资源夹</p></td> 
  </tr> 
  <tr> 
   <td colspan="1"><p style="text-align:center;">XXX-Ali-Logging</p></td> 
   <td colspan="1"><p style="text-align:center;">XXX-Ali-Logging</p></td> 
   <td colspan="1"><p style="text-align:center;">使用管理账号为新成员付款</p></td> 
   <td colspan="1"><p style="text-align:center;">Management</p></td> 
  </tr> 
 </tbody> 
</table>

因财务托管目前支持阿里云直客与Reseller伙伴关联客户,我们账号的客户身份暂不支持开通财务托管，所以无法选择使用管理账号为新成员付款。

![c91b224b28d1cd6ac08385d1a744e926.png][]

选择第二种“使用已有成员为新成员付款”，提示“Trusteeship is only available for alibaba directselling accounts and alibaba channel partner (except Agency) enduser.”，与阿里云联系后知道当前账号做财务关联，只能使用财务管理的模式，不能使用财务托管。

![7240eb319083d57fbe0664645d25314c.png][]

所以，这里我们选择“新成员自主付款”，完成上述配置后点击“确定”按钮。

![0f52d5b0dcaf8af55486d9c0d1dc4fac.png][]

2、创建账号默认会放到Root资源夹下，在资源管理-资源目录-概览处，选择成员列表，找到刚创建的日志账号，点击右边的移动按钮。

![a0d6268ecdb3a40160b8fc8de5c035e0.png][]

选择Root-Core-Management资源夹，点击“确定”按钮。

![61de6a60525bbaa90a2ba128bedb9659.png][]

如下图所示，日志账号已移动到root/Core/Management目录下。

![8da5e787dfa18e0e411e24b37e045272.png][]

3、通过管理账号的RAM用户扮演成员RAM角色的方式登录日志账号的阿里云控制台。给需要登录日志账号的ram账号，至少授予以下权限：

*  AliyunSTSAssumeRoleAccess：调用STS服务AssumeRole接口的权限。
 *  AliyunResourceDirectoryFullAccess：管理资源目录服务（ResourceDirectory）的权限。

**说明**

如果该RAM用户用作管理员，您也可以直接授予AdministratorAccess权限。

登录该RAM账号，在资源管理-资源目录-概览处，选择“成员列表”选项卡，找到刚创建的日志账号，点击该账号右侧的“登录账号”按钮，登录日志账号进行日志和审计相关配置。

![e5350dde7a089e5389fc30227c5bcb93.png][]

**5.日志账号配置财务关联**

**5.1邀请日志账号归属**

使用企业管理账号的**主账号**，点击https://usercenter2.aliyun.com/finance/link-account/list此链接，邀请日志账号归属。

![1cad6e2dacd88037e581f33724bef42e.png][]

**5.2资源账号转为云账号**

**第一步、为资源账号设置安全手机号码**

用企业管理账号，点击此链接https://resourcemanager.console.aliyun.com/resource-directory/folders/，登录资源管理控制台。在左侧导航栏，选择**资源目录 > 概览**。单击**资源组织**页签。找到日志账号，单击目标资源账号**操作**列的**绑定安全手机**。

![8188ad245f7436b3086e97e29323976c.png][]

在**绑定安全手机**对话框，输入安全手机号码，然后获取并输入验证码。单击**确定**。

![c6005e7aef6523c9d29b606594aff0dd.png][]

**第二步、为资源账号设置安全****邮箱**

用企业管理账号，点击此链接https://resourcemanager.console.aliyun.com/resource-directory/folders/，登录资源管理控制台。在左侧导航栏，选择**资源目录 > 概览**。单击**资源组织**页签。找到日志账号，单击目标成员显示名称。

![142c9d5e558b817ae0d783f12f51f333.png][]

在**成员详情**面板，单击成员**账号名称**旁边的**修改**。

![e7b8350d779636a3a8b09ebf21f5b3e4.png][]

在**修改账号****邮箱**对话框，输入新的电子邮箱地址，然后单击**确定**。系统会自动向您设置的电子邮箱发送验证邮件，您需要在24小时之内进行确认。未确认之前，您可以重发验证邮件或者取消本次修改。登录对应的电子邮箱，进行修改确认。确认后，该成员的账号名称和安全邮箱将会被同时修改。

![d8413e2df66d7ccb3b5ba2e06ce99e62.png][]

**第三步、资源账号切换为云账号**

用企业管理账号，点击此链接https://resourcemanager.console.aliyun.com/resource-directory/folders/，登录资源管理控制台。在左侧导航栏，选择**资源目录 > 概览**。单击**资源组织**页签。找到日志账号，单击目标成员**操作**列的**切换为云账号**。

![731839df2abd15ecf259f2d4c6bb0f3b.png][]

在**切换为云账号**对话框，阅读风险提示并选中风险提示框，然后单击**确定**。

![0e94afedcb052bb6fd6cb8988a611590.png][]

第四步、云账号找回密码点击https://passport.aliyun.com/ac/pc/password\_find\_v\_2.htm?fromSite=6&appName=aliyun&lang=zh\_CN\#\#returnUrl\#\#此链接，输入刚绑定的手机号或邮箱找回密码。

![028b4c6b9034893fa2a7376e663bc2cb.png][]

**5.3接受归属**

找回密码后，点击此链接https://account.aliyun.com/login/login.htm登录日志账号的主账号。

![f14784096cd2475eaa5e15f34b6e26d8.png][]

点击https://usercenter2.aliyun.com/finance/link-account/list此链接,选择待确认的关联邀请，点击“立即处理”按钮。

![f1263ff0d0a0380f5d6b9c3bd42dfdba.png][]

点击“同意加入”，完成企业归属。

![05d859f0154ea304cb3a025a58ffa9ca.png][]

**5.4配置财务关联**

**第一步、账号移动**

使用企业管理账号的**主账号**，点击https://ea.console.aliyun.com/account-manage/此链接，登录企业账号中心控制台，选择左侧导航栏中的“组织与账号”，在组织目录右侧的列表页，选择要操作的日志账号，点击“移动”。

![7d0c51b67226093c485569f7cf47e958.png][]

移动到指定组织节点，然后点击“确认移动”。

![982becd8835fff501f9320efd179e8a3.png][]

**第二步、账号授权及结算策略**

使用企业管理账号，点击https://ea.console.aliyun.com/account-manage/此链接，登录企业账号中心控制台，选择左侧导航栏中的“组织与账号”，在组织目录右侧的列表页，选择要操作的日志账号，点击“详情”进入。

![3e7843b28dcf8057acacb9206df61c6b.png][]

在“高级配置”中找到“账号角色”，选择“基础账号成员”。“财务结算策略”，点击”修改“，在弹框中选择“财务管理后，点击确定。

![0edfcbfe9b0e2c8cbfb8601f2559ba9a.png][]

**第三步、共享信控**

若结算策略为“财务管理”，则使用企业管理账号，点击https://usercenter2.aliyun.com/finance/union-account/overview此链接，设置日志账号的所需额度。

![f01b55d78d84b5b0a9942681a3583ea8.png][]

**5.5云账号转为资源账号**

![86df482953389c6c605854f806fef297.png][]

**6.跨账号资源搜索**

完成资源目录搭建企业的多账号体系结构后，使用企业管理账号，在资源管理-资源中心-跨账号资源搜索处，点击“开始使用”按钮，开通跨账号资源搜索。

![9ec89eb21b478fe9f2a7de4a1e187acb.png][]

选择要查看的账号或账号下的资源组，即可看到对应的所有资源。

![2d4cbc103ec4e00d1042ba1478719628.png][]

支持自定义SQL语句去做资源查询，无需再通过阿里云OpenAPI的方式编写代码去批量查询所需信息。通过保存使用频率较高的SQL，并提供一键查询功能，可以提高便利性和降低使用SQL的门槛。

![870da96ec8fbe36b29fb8c45e59f8b94.png][]

**7.更多应用场景**

**资源目录管控策略**

资源目录管控策略是一种基于资源结构（资源夹或成员）的访问控制策略，可以统一管理资源目录各层级内资源访问的权限边界，建立企业整体访问控制原则或局部专用原则。管控策略只定义权限边界，并不真正授予权限，您还需要在某个成员中使用访问控制（RAM）设置权限后，相应身份才具备对资源的访问权限。

![0128495de3d4a915069dc274e5dcc5a4.png][]

**使用资源目录和共享VPC实现多账号网络互通**

企业可以采用云企业网CEN（Cloud Enterprise Network）将多个账号间的专有网络VPC（Virtual Private Cloud）进行连接，以实现多账号间的网络互通。但随着业务复杂度的增加，会面临如下的新问题，比如说：分散配置导致无法进行网络集中运维、重复网络资源配置导致成本增加、VPC数量增多导致网络复杂度提升等等。为了避免上述问题，企业可以使用资源目录RD（Resource Directory）将多账号有序组织和管理，然后通过共享VPC快速实现多账号间的网络互通。

![379427d32867bbfb65afb438fc9a3956.png][]

**使用云SSO统一管理企业多账号的身份和权限**

云SSO提供基于阿里云资源目录RD（Resource Directory）的多账号统一身份管理与访问控制。云SSO管理员可以创建多个云SSO用户，统一配置云SSO用户对RD内任意成员的访问权限（访问配置）。当云SSO用户登录用户门户时，可以查看自己有权限访问的RD成员列表，以及在每个RD成员中拥有的访问权限（访问配置），然后以访问配置中的权限访问RD成员中对应资源。

**推荐阅读**

**![d4ca761465c37e018510ea42818cf0bb.png][]**

![c3cf045dacd287ab3a62cd6048c16cdf.png][]

**推荐视频**

[19ca6cbb97388f0c17b094865e43e40b.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/536bad93f9d542f1a70a99c75df1a273.gif
[4d60874e5fd684f7a026b9ec471293ca.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/87b85e6492694931b23934a0430988cf.gif
[bc7c8608d8219120761ec245d85a449e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/94edeb9d11b04c0089fbab4359799aef.jpeg
[04fb6f59ac6dc99f2cc732d398bdcb94.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/6e1e02d47c8544668f99a284242c7878.png
[01526d400683e6a6354610e26683f9de.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/55bf16a8933d440fb466bca2226f823a.png
[361da6180358516b0fd8423a98c418ae.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/4f6a4a2a12244bcebf94b78d0b10afb8.png
[fa9ecbd52ec83a56a150e39122ddf643.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/92d7b4f5785b4a4199f0df3c829aa281.png
[0bd6e901087b82309dd8163a1edbb970.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/f2f04ab65bdb4e3f970e707a39d39b63.png
[c91b224b28d1cd6ac08385d1a744e926.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/0900443e13994fb1ae4307079f6419ca.png
[7240eb319083d57fbe0664645d25314c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/dc3a3c333de645689c121d1873142cdd.png
[0f52d5b0dcaf8af55486d9c0d1dc4fac.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/11517b5395984df6bebd5bc0c02f1820.png
[a0d6268ecdb3a40160b8fc8de5c035e0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/136a4ba8e9274243b6ce7d1e399c7e00.png
[61de6a60525bbaa90a2ba128bedb9659.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/1f82fb06cb7a4374a9207d4663922c6c.png
[8da5e787dfa18e0e411e24b37e045272.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/d0b44e4609a54cdcbc44ed9b7b2545eb.png
[e5350dde7a089e5389fc30227c5bcb93.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/f48afc332acc458f86d4709c4faf1a30.png
[1cad6e2dacd88037e581f33724bef42e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/5f5e1392bc0e416fb79deee0b6e5eef7.png
[8188ad245f7436b3086e97e29323976c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/2175f40f6e704824ac34e036026bafad.png
[c6005e7aef6523c9d29b606594aff0dd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/c4146810ef8b49e1b11488086b3ecaf2.png
[142c9d5e558b817ae0d783f12f51f333.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/db89ed65e402450aa50f37fbdcc97f32.png
[e7b8350d779636a3a8b09ebf21f5b3e4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/b16cba356fe94024aa18208750d2027c.png
[d8413e2df66d7ccb3b5ba2e06ce99e62.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/0789fab0d06845148946c4cf40c7dce3.png
[731839df2abd15ecf259f2d4c6bb0f3b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/9a5d5071ed9840249fc5e258c0367f1d.png
[0e94afedcb052bb6fd6cb8988a611590.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/28a2ab3a28b34991b5a1443b017d8ede.png
[028b4c6b9034893fa2a7376e663bc2cb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/6858a11d656741adb5ce5f15033f7fb5.png
[f14784096cd2475eaa5e15f34b6e26d8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/56fb007d4ce4405abf3934417a409eef.png
[f1263ff0d0a0380f5d6b9c3bd42dfdba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/1b09be20e1dc400c8b46c9c18b1b5c57.png
[05d859f0154ea304cb3a025a58ffa9ca.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/a050659994c04322845fd308f8994791.png
[7d0c51b67226093c485569f7cf47e958.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/6e85e7bf370b4aa7b693f7cfe0be704b.png
[982becd8835fff501f9320efd179e8a3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/15958a71221040f098c51f47c3aa1777.png
[3e7843b28dcf8057acacb9206df61c6b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/ff9710d47b4d47568c10baaf56ec8bec.png
[0edfcbfe9b0e2c8cbfb8601f2559ba9a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/d63f70e43cf04249aedaa0cbae837e8a.png
[f01b55d78d84b5b0a9942681a3583ea8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/3fb6176c876141e0b6f0405c1aa9388b.png
[86df482953389c6c605854f806fef297.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/b4b4277e2e744822b6e99c9214284345.png
[9ec89eb21b478fe9f2a7de4a1e187acb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/4d89168783b4437fbe013e4621f3dfa1.png
[2d4cbc103ec4e00d1042ba1478719628.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/57c6c922ac1949eb932e383abb15559c.png
[870da96ec8fbe36b29fb8c45e59f8b94.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/6c97cf53d2df4479b4bbe00ce8175a6b.png
[0128495de3d4a915069dc274e5dcc5a4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/40db358f367348ec89b5e2275c6087e7.png
[379427d32867bbfb65afb438fc9a3956.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/b38eaf17535a4423b6e25209657d5b96.png
[d4ca761465c37e018510ea42818cf0bb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/b9c6cf74b021486d96514a025468a3de.png
[c3cf045dacd287ab3a62cd6048c16cdf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/05/f991e031fc2c4505ad4df06bb9a37044.png