本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 多账户架构的网络连接
<a name="network-connectivity"></a>

## 正在连接 VPCs
<a name="connecting-vpcs"></a>

许多公司在亚马逊虚拟私有云（亚马逊 VPC）中使用 VPC 对等连接来连接开发和生产 VPCs。使用 VPC 对等连接，您可以使用私有 IP 寻址在两 VPCs 者之间路由流量。连接的 VPCs 可以是不同 AWS 账户 的，也可以是不同的 AWS 区域。有关更多信息，请参阅[什么是 VPC 对等连接](https://docs.aws.amazon.com/vpc/latest/peering/what-is-vpc-peering.html)（Amazon VPC 文档）。随着公司的发展和数量的 VPCs 增加，在所有公司之间保持对等连接 VPCs 可能会成为维护负担。您可能还会受到每个 VPC 的最大 VPC 对等连接数量的限制。有关更多信息，请参阅 [VPC 对等连接限额](https://docs.aws.amazon.com/vpc/latest/userguide/amazon-vpc-limits.html#vpc-limits-peering)（Amazon VPC 文档）。

如果您有多个开发、测试和暂存环境，这些环境跨多个托管非生产数据 AWS 账户，则可能需要在所有这些环境之间提供网络连接， VPCs 但不允许对生产环境进行任何访问。您可以使用[AWS Transit Gateway](https://docs.aws.amazon.com/vpc/latest/tgw/what-is-transit-gateway.html)跨多个账户连接 VPCs 多个账户。您可以将路由表分开，以 VPCs 防止开发人员 VPCs 通过充当集中式路由器的传输网关与生产部门通信。有关更多信息，请参阅[集中式路由器](https://docs.aws.amazon.com/vpc/latest/tgw/transit-gateway-centralized-router.html)（Transit Gateway 文档）。

Transit Gateway 还支持与其他中转网关进行对等连接，包括位于不同 AWS 账户 或 AWS 区域中的中转网关。由于 Transit Gateway 是一项完全托管式、高度可用的服务，因此您只需为每个区域预置一个中转网关。

有关更多信息和详细的网络架构，请参阅[构建可扩展且安全的多 vPC AWS 网络基础架构](https://docs.aws.amazon.com/whitepapers/latest/building-scalable-secure-multi-vpc-network-infrastructure/welcome.html)（AWS 白皮书）。

## 连接应用程序
<a name="connecting-applications"></a>

如果您需要在同一环境（例如生产） AWS 账户 中不同应用程序之间建立通信，则可以使用以下选项之一：
+ 如果您想开放对多个 IP 地址和端口的广泛访问，[VPC 对等](https://docs.aws.amazon.com/vpc/latest/peering/what-is-vpc-peering.html)或 [AWS Transit Gateway](https://docs.aws.amazon.com/vpc/latest/tgw/what-is-transit-gateway.html) 可以在网络级别提供连接。
+ [AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink.html) 在 VPC 的私有子网中创建端点，并将这些端点注册为 [Amazon Route 53 Resolver](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resolver.html) 中的 DNS 条目。通过使用 DNS，应用程序可以解析端点，并连接到注册的服务，而无需在 VPC 中使用 NAT 网关或互联网网关。
+ [Amazon VPC Lattice](https://docs.aws.amazon.com/vpc-lattice/latest/ug/what-is-vpc-service-network.html) 跨多个账户关联服务（例如应用程序） VPCs 并将其收集到服务网络中。与服务网络 VPCs 关联的客户端可以向与服务网络关联的所有其他服务发送请求，无论他们是否在同一个账户中。VPC Lattice 与 AWS Resource Access Manager (AWS RAM) 集成，因此您可以与其他账户或通过 AWS Organizations其他账户共享资源。只能将一个 VPC 与一个服务网络相关联。此解决方案不需要使用 VPC 对等或 AWS Transit Gateway 跨账户通信。

## 网络连接最佳实践
<a name="connectivity-best-practices"></a>
+ 创建 AWS 账户 用于集中式联网的。将此账户命名为 n **etwork-prod**，并将其用于 AWS Transit Gateway Amazon [VPC IP 地址管理器](https://docs.aws.amazon.com/vpc/latest/ipam/what-it-is-ipam.html) (IPAM)。将此账户添加到 **Infrastructure\_Prod** 组织单位。
+ 使用 [AWS Resource Access Manager](https://docs.aws.amazon.com/ram/latest/userguide/what-is.html)（AWS RAM）与组织其他成员共享中转网关、VPC Lattice 服务网络和 IPAM 池。这样，您组织 AWS 账户 中的任何人都可以与这些服务进行交互。
+ 通过使用 IPAM 池集中 IPv4 管理和 IPv6 处理分配，您可以允许最终用户使用自行 VPCs 配置。[AWS Service Catalog](https://aws.amazon.com/servicecatalog/)这可以帮助您适当调整大小 IP 地址空间 VPCs 并防止重叠。
+ 对绑定到互联网的流量使用集中式出口方法，对从互联网进入您环境的流量使用分散式入口方法。有关更多信息，请参阅[集中式出口](centralized-egress.md)和[分散式入口](decentralized-ingress.md)。