跨账号组网与授权是什么
集团多账号、并购来的子账号、代运维项目都会遇到跨账号组网：VPC 分别属于不同账号，但要放进同一张网络互通。流程由授权方向决定——资源所属账号先授权，组网账号再发起关联。这里的关键不是技术上能不能打通，而是授权边界怎么定：默认全互通的组网会把两个账号的故障域与安全边界合并，因此互通清单要先明确，授权范围要尽量小，并且要有人负责在关系变更后回收。
基本信息
| 典型场景 | 集团多账号、并购子账号、代运维项目 |
|---|---|
| 流程 | 资源所属账号授权 → 组网账号发起关联 → 确认实例状态 |
| 授权范围 | 按需最小化，明确到具体网络实例与网段 |
| 台账 | 记录每次授权的用途、期限与责任人 |
| 回收 | 关系变更或项目结项后取消授权并解除关联 |
| 审计 | 授权记录与互通清单是审计重点 |
典型使用场景
- 集团内多个业务账号需要与共享服务账号互通
- 并购后短期需要打通但不希望深度整合账号体系
- 代运维项目：运维方账号需要访问客户 VPC，权限按项目期限
- 多云场景下不同供应商账号间的网络对接
- 项目结项后的权限回收与网络关系清理
授权与关联的关键动作
| 动作 | 执行方 | 注意点 |
|---|---|---|
| 发起授权 | 资源所属账号 | 限定到具体实例，避免整账号授权 |
| 接受并关联 | 组网账号 | 确认关联对象与网段清单一致 |
| 路由规划 | 双方共同 | 明确哪些网段互通、哪些保持隔离 |
| 变更记录 | 双方共同 | 记录时间、操作人、变更原因 |
| 权限回收 | 资源所属账号 | 项目结束后主动取消授权并解除关联 |
查看组网与授权关系
查看组网与授权关系
aliyun cen DescribeCens --RegionId cn-hangzhou # 云企业网实例
aliyun cen DescribeCenAttachedChildInstances --CenId cen-xxxx # 已挂载的网络实例
tccli vpc DescribeCcnAttachedInstances --CcnId ccn-xxxx # 腾讯云云联网关联关系
# 逐项核对：实例归属账号、关联时间、是否仍在用
aliyun cen DescribeCenGrantRules
跨账号授权是审计重点：默认互通范围过大会同时放大故障域与安全边界。授权前先把互通清单写清楚——哪个账号的哪个 VPC、需要访问哪些网段、持续到什么时候。
跨账号场景下排障链路更长：出问题时要同时确认两边的路由、安全组与授权状态，任何一方缺权限都会表现为「配置看起来都对但就是不通」。变更前把双方值班联系人与账号 ID 记录在案。