某企业的云上业务主要分为两类，一类业务需要连接公网，一类业务不需要连接公网。为了规范管理各类资源，该企业使用账号A作为IT管理账号，用来管理基础公共资源，主要包括VPC、子网、路由表等。同时，账号A需要将子网共享给其他账号共同使用（账号B，账号C以及账号D），其他账号可以在子网内创建各自的资源，例如ECS、RDS以及ELB等。共享VPC的业务规划示意图如图1所示，详细账号和资源规划请参见表1。
图1 共享VPC业务规划示意图
表1 共享VPC业务规划说明
账号 |
账号角色 |
资源说明 |
账号A |
共享VPC和子网的所有者 |
- 账号A创建VPC和子网，并将子网共享给其他账号。
- 账号A创建NAT网关以及EIP资源，通过配置SNAT使子网Subnet-01连通公网。
|
账号B |
共享子网的使用者 |
账号B在子网Subnet-01创建ECS和RDS资源，用来部署面向公网的应用程序。 |
账号C和账号D |
共享子网的使用者 |
账号C和账号D共同使用子网Subnet-02，在子网内创建各自业务所需的ECS、RDS以及ELB等资源，不需要连通公网。 |
同一个VPC内的不同子网网络默认互通，但是由于不同账号下的资源需要关联各自的安全组，不同安全组之间网络隔离，因此如果有网络互通需求，需要放通资源对应安全组之间的网络。
- 账号A内的资源属于安全组Sg-A。
- 账号B内的资源属于安全组Sg-B。
- 账号C内的资源属于安全组Sg-C。
- 账号D内的资源属于安全组Sg-D。
如果需要账号C和账号D内的资源网络互通，则需要在Sg-C和Sg-D的入方向分别添加以下规则：
表2 放通Sg-C和Sg-D的网络
安全组 |
方向 |
优先级 |
策略 |
类型 |
协议端口 |
源地址 |
Sg-C |
入方向 |
1 |
允许 |
IPv4 |
根据业务需求选择该项。 示例：全部协议 |
安全组：Sg-D |
Sg-D |
入方向 |
1 |
允许 |
IPv4 |
根据业务需求选择该项。 示例：全部协议 |
安全组：Sg-C |
