检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
许和拒绝的访问操作，以此实现云资源权限访问控制。 管理员创建IAM用户后，需要将用户加入到一个用户组中，IAM可以对这个组授予ER所需的权限，组内用户自动继承用户组的所有权限。 IAM的详细介绍，请参见IAM功能介绍。 ER所需的权限，请参见权限管理。 父主题： 安全
验证网络互通情况 登录弹性云服务器。 弹性云服务器有多种登录方法，具体请参见登录弹性云服务器。 本示例是通过管理控制台远程登录（VNC方式）。 在弹性云服务器的远程登录窗口，执行以下步骤，验证网络情况。 执行以下命令，验证VPC网络互通情况。 ping 弹性云服务器IP地址 以登录ecs-
通过企业路由器和NAT网关实现多个VPC共享SNAT访问公网 方案概述 规划组网和资源 创建资源 配置网络 验证网络互通情况
方案概述 背景信息 XX企业在华为云区域A内部署了4个虚拟私有云VPC，VPC1、VPC2、VPC3需要互相访问，并且可以共享VPC4的SNAT访问公网。 图1 VPC共享SNAT 您可以使用企业路由器的共享功能，将不同账号下的虚拟私有云添加至同一个企业路由器中构建组网。 操作流程
配置网络 在企业路由器中配置VPC连接 在NAT网关中配置SNAT规则 父主题： 通过企业路由器和NAT网关实现多个VPC共享SNAT访问公网
在默认路由表中创建“虚拟私有云（VPC）”连接的传播，路由自动学习VPC网段，路由信息如表5所示。 在ER路由表中，添加静态路由，网段为0.0.0.0/0，表示将访问公网的流量路由至VPC4。 ECS 3个ECS分别位于3个不同的VPC内，VPC中的ECS如果位于不同的安全组，需要在安全组中添加规则放通对端安全组的网络。
创建资源 创建企业路由器 创建VPC和ECS 创建EIP和公网NAT网关 父主题： 通过企业路由器和NAT网关实现多个VPC共享SNAT访问公网
在NAT网关中配置SNAT规则 操作场景 本章节指导用户在公网NAT网关中添加SNAT规则，实现访问公网。 操作步骤 在公网NAT网关中，配置SNAT规则。 配置SNAT规则，具体方法请参见添加SNAT规则。 本示例中SNAT规划详情请参见表7。 父主题： 配置网络
创建VPC和ECS 操作场景 本章节指导用户创建虚拟私有云VPC和弹性云服务器ECS。 操作步骤 在区域A内，创建4个VPC和3个ECS。 创建VPC及子网，具体方法请参见创建虚拟私有云和子网。 创建ECS，具体方法请参见自定义购买ECS。 本示例中的VPC和子网资源规划详情请参见表8。
创建企业路由器 操作场景 本章节指导用户创建企业路由器。 操作步骤 在区域A内，创建1个企业路由器。 创建企业路由器，具体方法请参见创建企业路由器。 企业路由器资源规划详情请参见表6。 父主题： 创建资源
在默认路由表中创建传播，并自动学习VPC网段路由信息。 在ER路由表中创建下一跳为VPC4连接的静态路由，网段为0.0.0.0/0，表示将访问公网的流量路由至VPC4。 创建静态路由，具体方法请参见创建静态路由。 创建VPC4的静态路由后，可以删除VPC4的传播路由，具体方法请参见删除传播。
创建EIP和公网NAT网关 操作场景 本章节指导用户创建弹性公网IP和公网NAT网关。 操作步骤 在区域A内，创建EIP。 创建EIP，具体方法请参见申请弹性公网IP。 在区域A内，创建公网NAT网关。 创建公网NAT网关，具体方法请参见购买公网NAT网关。 本示例中公网NAT网关资源规划详情请参见表7。
需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 ER部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应
用户注册时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用用户进行日常管理工作。 用户 由账号在IAM中创建的用户，是云服务的使用人员，具有身份凭证（密码和访问密钥）。 在我的凭证
方案概述 背景信息 XX企业在华为云区域A内部署了2个虚拟私有云VPC，这2个VPC需要互相访问，并且共享同一条云专线DC访问客户线下的IDC。 在区域A内创建一个企业路由器ER，将VPC和DC的虚拟网关接入ER内，ER可以在接入的VPC和虚拟网关之间转发流量，实现2个VPC共享DC。
如Peering2连接 、VGW1连接、VPN1连接、VPC1连接。 通过在ER自定义路由表手动创建传播学习的路由，比如VGW1连接、VPC1连接、VPN2连接、VGW2连接。 静态路由：手动在ER自定义路由表中创建路由，比如VPC2连接、Peering3连接 。 静态路由 手动创建的路由，支持修改和删除。
根据企业的业务组织，在您的华为账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用ER资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将ER资源委托给更专业、高效的其他华为账号或者云服务，这些华为账号或者云服务可以根据权限进行代运维。 如
共享概述 共享简介 依托于资源访问管理服务（Resource Access Manager，简称RAM），可以实现跨账号共享企业路由器，您可以将账号A所属的企业路由器同时共享给多个其他账号，比如账号B、账号C以及账号D等。通过共享企业路由器功能，可以实现统一配置和运维多个账号下的
支持的授权项 策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下： 权限：允许或拒绝对指定资源在特定条件下进行某项操作。 对应API接口：自定义策略实际调用的API接口。
C边界防火墙时选择企业路由器，则会在企业路由器的连接列表中看到对应的“云防火墙（CFW）”连接。 VPC边界防火墙支持VPC之间通信流量的访问控制，可以实现VPC内业务互访活动的可视化与安全防护。 操作步骤 您需要通过云防火墙控制台添加CFW连接，具体操作请参见VPC边界防火墙概述。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
