本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
多账户架构的网络连接
连接 VPC
许多公司在 Amazon Virtual Private Cloud（Amazon VPC）中使用 VPC 对等来连接开发和生产 VPC。您可以使用 VPC 对等连接并使用私有 IP 寻址，在两个 VPC 之间路由流量。连接的 VPC 可以是不同 AWS 账户 的，也可以是不同 AWS 区域的。有关更多信息，请参阅什么是 VPC 对等连接（Amazon VPC 文档）。随着公司的发展和 VPC 数量的增加，维护所有 VPC 之间的对等连接可能会成为维护负担。您可能还会受到每个 VPC 的最大 VPC 对等连接数量的限制。有关更多信息，请参阅 VPC 对等连接限额（Amazon VPC 文档）。
如果您有多个开发、测试和暂存环境，这些环境跨多个托管非生产数据 AWS 账户，则可能需要在所有这些 VPC 之间提供网络连接，但不允许对生产环境进行任何访问。此时可以使用 AWS Transit Gateway 跨多个账户连接多个 VPC。您可以将路由表分开，以防止开发 VPC 通过充当集中式路由器的中转网关与生产 VPC 通信。有关更多信息，请参阅集中式路由器（Transit Gateway 文档）。
Transit Gateway 还支持与其他中转网关进行对等连接，包括位于不同 AWS 账户 或 AWS 区域中的中转网关。由于 Transit Gateway 是一项完全托管式、高度可用的服务，因此您只需为每个区域预置一个中转网关。
有关更多信息和详细的网络架构，请参阅构建可扩展且安全的 Multi-VPC AWS 网络基础架构（AWS 白皮书）。
连接应用程序
如果您需要在同一环境（例如生产） AWS 账户 中不同应用程序之间建立通信，则可以使用以下选项之一：
-
如果您想开放对多个 IP 地址和端口的广泛访问，VPC 对等或 AWS Transit Gateway 可以在网络级别提供连接。
-
AWS PrivateLink 在 VPC 的私有子网中创建端点，并将这些端点注册为 Amazon Route 53 Resolver 中的 DNS 条目。通过使用 DNS，应用程序可以解析端点，并连接到注册的服务，而无需在 VPC 中使用 NAT 网关或互联网网关。
-
Amazon VPC Lattice 跨多个账户和 VPC 关联服务（例如应用程序），并将它们收集到服务网络中。VPC 中与服务网络关联的客户端可以向与服务网络关联的所有其他服务发送请求，无论他们是否在同一个账户中。VPC Lattice 与 AWS Resource Access Manager (AWS RAM) 集成，因此您可以与其他账户或通过 AWS Organizations其他账户共享资源。只能将一个 VPC 与一个服务网络相关联。此解决方案不需要使用 VPC 对等或 AWS Transit Gateway 跨账户通信。
网络连接最佳实践
-
创建 AWS 账户 用于集中式联网的。将此账户命名为 n etwork-prod，并将其用于 AWS Transit Gateway Amazon VPC IP 地址管理器 (IPAM)。将此账户添加到Infrastructure_Prod组织单位。
-
使用 AWS Resource Access Manager（AWS RAM）与组织其他成员共享中转网关、VPC Lattice 服务网络和 IPAM 池。这样，您组织 AWS 账户 中的任何人都可以与这些服务进行交互。
-
您可以使用 IPAM 池集中管理 IPv4 和 IPv6 地址分配，从而允许最终用户使用 AWS Service Catalog
自行预置 VPC。这可以帮助您适当调整 VPC 的大小，并防止 IP 地址空间重叠。 -
对绑定到互联网的流量使用集中式出口方法，对从互联网进入您环境的流量使用分散式入口方法。有关更多信息，请参阅集中式出口和分散式入口。
