# 使用CFW防护企业资源
#### 背景信息
华为云提供了[企业项目管理](https://support.huaweicloud.com/usermanual-em/em_eps_01_0000.html)（Enterprise Project Management Service，EPS）服务，帮助企业管理云上的人、财、物、权、业务，规范企业在华为云上的操作，满足企业云上IT治理诉求。
用户可以根据组织架构规划企业项目，统一管理分布在不同区域的资源，还可以为每个企业项目设置拥有不同权限的"用户"和"用户组"。
#### 应用场景
大企业按照分公司或部门的维度管理业务时，难以划分账单和分配资源，此时可以使用企业项目管理服务：
- 将不同的业务赋予不同的企业项目，按照企业项目的维度产生账单，方便预算管理和分账处理。
- 通过给用户和用户组授权不同的企业项目，实现更精细化的资源管理。
本文介绍企业通过EPS管理业务时如何规划云防火墙。
#### 资源和成本规划
表1资源说明 
| 资源                                          | 资源说明                                                                      | 数量      | 成本说明                                                                                         |
|:---|:---|:---|:---|
| 企业项目（Enterprise Project Management Service） | EPS，管理企业资源。                                                               | 至少2个    | 企业项目管理为免费服务。                                                                                 |
| 云防火墙（Cloud Firewall）                        | CFW，提供云上资源防护。                                                             | 至少2个    | 具体的计费方式及标准请参考[CFW计费说明](https://support.huaweicloud.com/price-cfw/cfw_03_0001.html)。          |
| 弹性公网IP（Elastic IP）                          | （可选）EIP，云上资源。                                                             | 按业务需求配置 | 具体的计费方式及标准请参考[EIP计费说明](https://support.huaweicloud.com/price-eip/eip_billing_0002.html)。     |
| 虚拟私有云（Virtual Private Cloud）                | （可选）VPC，云上资源。                                                             | 按业务需求配置 | 具体的计费方式及标准请参考[VPC计费说明](https://support.huaweicloud.com/productdesc-vpc/vpc_price_0001.html)。 |
| 企业路由器（Enterprise Router）                    | （可选）ER，连接VPC到云防火墙的流量。 云防火墙防护VPC时，依赖ER服务引流。 | 至少1个    | 具体的计费方式及标准请参考[ER计费说明](https://support.huaweicloud.com/price-er/er_05_0001.html)。             |
   
#### 应用示例
某企业有A、B两个业务在云上，每个业务分为生产和测试两个业务团队，该企业按照以下维度创建企业项目：
- A、B两个业务需要分开管理，则该企业为A业务创建了企业项目"A_生产"、"A_测试"，为B业务创建了企业项目"B_生产"、"B_测试"；在购买云上资源时，将资源按业务团队绑定到对应的企业项目中。
- 该企业为安全部门创建了企业项目"安全"，在购买安全产品时，将产品绑定在"安全"下，以便财务团队区分账单以及管理安全相关的预算使用情况。
图1账号及企业项目   
![](https://support.huaweicloud.com/bestpractice-cfw/zh-cn_image_0000002073696174.png "点击放大")
该企业需要为子账号（业务A、业务B）提供隔离的生产环境和测试环境，并使用CFW提供防护，安全管理员为每个环境都独立购买一套云防火墙：
- 生产环境需要防护EIP和VPC，安全管理员购买了专业版防火墙；
- 测试环境需要防护EIP，安全管理员购买了标准版防火墙。
 
防火墙在每个环境中由AB两个业务共用，账单由安全部门承担，如[图2]所示。
图2资源划分及账单归属   
![](https://support.huaweicloud.com/bestpractice-cfw/zh-cn_image_0000002076071548.png "点击放大")
图3用户企业项目管理   
![](https://support.huaweicloud.com/bestpractice-cfw/zh-cn_image_0000002082079852.png "点击放大")
企业可以在统一身份认证（Identity and Access Management，IAM）中对子账号进行企业项目级别的授权，达到隔离不同业务资源的效果，以安全管理员和测试环境管理员为例：
- 该企业授权安全管理员所有企业项目的权限，因此安全管理员可以在两个防火墙上看到资源，在两个防火墙上配置不同的防护策略以及安全防护模式，在不同环境上开启防护：
  - 在生产环境的云防火墙上，针对企业项目"A_生产"、"B_生产"下的弹性公网IP以及虚拟私有云都开启了防护。
  
  - 在测试环境的云防火墙上，针对企业项目"A_测试"、"B_测试"下的弹性公网IP开启了防护。
   
- 该企业授权测试环境管理员"A_测试"、"B_测试"以及"安全"的企业项目，因此测试环境管理员可以操作账号中的两个防火墙，由于未获得生产环境资源的授权，测试管理员在防火墙的资源管理页，无法纳管生产环境的资源（EIP/VPC），只能看到测试环境上的资源信息。
#### 相关操作
- 创建企业项目，请参见[创建企业项目](https://support.huaweicloud.com/usermanual-em/zh-cn_topic_0108763964.html)。
- 购买云防火墙请参见[购买云防火墙](https://support.huaweicloud.com/usermanual-cfw/cfw_01_0252.html)。
- 通过IAM服务创建和授权用户组请参见[创建用户组并授权](https://support.huaweicloud.com/qs-iam/iam_01_0030.html)，通过IAM服务授权用户请参见[给IAM用户授权](https://support.huaweicloud.com/usermanual-iam/iam_01_0652.html)。