防火墙管理 成员管理

一、概述

注意：说明：

成员管理是多账号管理的入口，用于查看成员账号、分配身份与共享角色、设置所属账号组、设置规格共享角色、控制纳管开关等。

二、前置条件

使用多账号管理功能前，需先开通集团账号服务。

1. 使用管理员账号登录 集团账号管理控制台，在左侧导航栏中，选择基本信息。

2. 在基本信息页面，完成企业实名认证并创建集团组织，详见 创建集团组织。

3. 在左侧导航栏中，选择成员账号管理。

4. 在成员账号管理页面，邀请其他主账号加入集团组织，详见 添加组织成员。

三、设置委派管理员

委派管理员由管理员在集团账号管理控制台指定，可设多个，被指定后拥有防火墙管理全部权限。成员管理页面提供快捷跳转入口，实际授权在集团账号管理侧完成。

1. 使用管理员身份账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 在成员列表页顶部单击设置委派管理员，跳转至 集团账号管理控制台。

3. 设置委派管理员具体操作详见 管理委派管理员账号。

4. 返回成员管理页面，在成员列表的身份列可看到变更后的结果。

注意：说明：

四、管理账号组

账号组是一组成员账号的集合，作为规则组的下发作用范围使用：同一账号组下发相同策略，组内新增成员会自动继承该组全部已有规则。账号组本身不直接持有规则，规则通过规则组绑定。

1. 使用管理员或委派管理员身份账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 在成员列表上方单击账号组管理进入账号组管理面板。

3. 在账号组管理面板，可进行如下操作：

·新增账号组：填写账号组名称，单击确定后即可在成员列表的所属账号组列选用。

·编辑账号组：修改账号组名称，单击确定后立即生效。

·删除账号组：删除账号组，单击确认后不可恢复。

注意：说明：

注意：若账号组内存在账号或存在关联已下发规则，暂不允许删除账号组，可取消关联后重试。

五、设置所属账号组

同一账号组内的账号会统一下发该组策略；新账号加入后系统自动为其下发组内全部已有策略。账号组配置较高危，仅支持单账号编辑。

1. 使用管理员或委派管理员身份账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 在成员列表中定位目标账号，单击所属账号组名称。

3. 选择已配置的账号组，二次确认后生效。

注意：说明：

六、设置云防火墙纳管

1. 使用管理员或委派管理员身份账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 单击成员列表云防火墙纳管列的开关，系统按账号当前状态弹出对应提示：

3. 再次单击开关可以关闭云防火墙纳管。关闭云防火墙纳管前，系统会校验是否存在已下发策略。若有关联的账号组规则，请先将其移至未分组；若存在其他已下发规则，则开关会被禁用且无法关闭。

七、设置私有网络纳管

开启后将纳管该成员账号下的私有网络安全组资产，并统一管理。适配多账号、跨地域场景。

1. 使用管理员或委派管理员身份账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 单击成员列表私有网络纳管列的开关。

3. 在是否开启私有网络纳管弹窗中单击开启。

4. 再次单击开关可以关闭私有网络纳管。

八、设置云防火墙共享角色

在多账号规格场景下，防火墙管理支持以资源池形式由 1 个共享者统一开通云防火墙、将规格共享给多个使用者（先用先得），可节约成本、优化资源利用率。

共享角色与身份相互独立，决定账号在规格共享中的角色：

·无共享角色：不参与规格共享。

·共享者：开通云防火墙并对外共享规格。全局唯一，仅由管理员或委派管理员担任。

·使用者：使用共享者提供的规格池，可由任意身份担任。当规格共享的使用者账号数达到上限、无法新增使用者时，需由防火墙管理的购买者前往 购买页 扩充规格共享配额，详情请参见 购买方式。

身份变更与共享角色相互独立：身份变更在集团账号管理中操作，不会自动改变共享角色。

1. 使用管理员或委派管理员身份账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 在成员列表中定位目标账号，单击云防火墙共享角色名称。变更共享角色遵循以下规则：

九、附身登录

附身登录用于管理员子账号临时切换至成员账号的云防火墙控制台或私有网络控制台进行运维操作。

注意：说明：

注意：仅管理员子账号可附身登录其他成员账号。

十、权限配置

1. 使用管理员或管理员子账号登录 访问管理控制台，在左侧导航栏中，选择策略，检查是否存在以下策略：

·云防火墙全读写访问权限：QcloudCFWFullAccess

·云防火墙服务角色关联：QcloudAccessForCFWRoleInEnterpriseSecurityGroup

·私有网络全读写访问权限：QcloudVPCFullAccess

注意：说明：

注意：若策略不存在，需向访问管理 提交工单 咨询。

2. 使用管理员或管理员子账号登录 集团账号管理控制台，在左侧导航栏中，选择成员登录权限设置，单击新建登录权限。

2.1 权限名称建议命名为fwmuse，描述按实际场景填写，单击下一步。

2.2 勾选预设策略，选择 QcloudCFWFullAccess、QcloudCFWReadOnlyAccess、QcloudAccessForCFWRoleInEnterpriseSecurityGroup 权限，单击确定。

3. 在 集团账号管理控制台 左侧导航栏中，选择多成员授权管理 > 成员权限配置，勾选需要附身登录的账号（可多选），单击配置权限。

4. 选中刚才配置的权限（如fwmuse），单击下一步。

5. 预览无误后单击完成。

6. 在 集团账号管理控制台 左侧导航栏中，选择多成员授权管理 > 添加子用户授权，单击添加授权。

6.1 选择需要附身登录的成员账号，登录权限选择刚才配置的权限（如fwmuse），授权策略名称建议填写fwmuse，单击下一步。

6.2 选择需要登录的管理员子账号（可多选），单击完成。

注意：说明：

注意：详细操作及取消授权等操作详见 授权登录成员账号。

十一、操作步骤

注意：说明：

注意：以附身登录云防火墙为例，附身登录私有网络操作相同。

1. 使用管理员子账号登录 防火墙管理控制台，在左侧导航栏中，选择成员管理。

2. 在成员列表中定位目标账号，单击操作列的附身登录云防火墙。

3. 在登录账号弹窗中，单击登录成员账号，会跳转到对应成员账号的云防火墙控制台。

4. 在右上角头像中，单击退出角色，可以返回原本账号。