借助 Cloud Foundations 共享网络产品于多个网络账户规划设计并一键部署云上跨区域互联的多张网络
内容提要
亚马逊云科技的Cloud Foundations在多账户多区域多可用区构建复杂网络方面的工作。通过增强网络建设能力，支持多张网络的构建，以满足客户的需求。共享网络和共享网关两种模式下构建多张网络的步骤和架构。多阶段流水线产品的使用和网络架构组织形式的选择。Cloud Foundations在多张网络构建方面的支持，并鼓励用户提供反馈和建议。
延伸解读
多张网络隔离的典型场景
文章分享了一个客户案例：需要构建多张共享中转网关网络，网络之间隔离互不联通，并根据VPC类型和互联网联通性划分成两类网络，部署在不同网络账号，由不同团队运维。每张网络有独立的检查VPC设计，分别采用Palo Alto和Fortinet防火墙进行流量检查。这反映了多账号多网络隔离在安全与运维分工上的实际需求。
阶段属性如何支持多张网络
Cloud Foundations为流水线引入“阶段”属性，默认阶段名为空，保持向下兼容。部署默认阶段后，可继续构建其他阶段（如开发、生产）。网络产品本质是流水线产品，借助阶段属性可构建相互独立的多张网络，并在启动流水线时指定不同网络账户，实现分账户管理。多阶段部署必须首先部署默认阶段。
共享网络与共享网关的关键差异
共享网络模式要求各账户在同一原生组织内，通过RAM共享子网，主区域和管控区域使用不同流水线产品，且为一阶流水线。共享网关模式不要求同一组织，通过RAM共享中转网关，主区域和管控区域使用相同流水线产品，但为二阶流水线，需先执行一阶生成二阶再部署资源。混合模式需使用不同默认配置文件名避免冲突。
网络架构组织形式的决策维度
文章指出可从网络账户（相同或不同）、区域（单区域或多区域）、模式（共享网络或共享网关）、网络（单张或多张）四个维度构建组织形式，至少16种组合。同一张网络内不同中转网关的ASN必须不同；若后期考虑联通多张网络，其中的中转网关ASN也必须不同。用户可根据业务需求、网络复杂度、管理粒度和安全隔离要求综合决策。
Q&A
Cloud Foundations 如何支持在多个网络账户中构建多张网络？
Cloud Foundations 通过引入“阶段”属性来支持多张网络的构建。每个阶段可以独立定义网络配置，并指定不同的网络账户进行部署，从而实现分账户管理多张网络。
共享网络和共享网关两种模式在构建多张网络时有什么主要区别？
共享网络模式要求各账户在同一原生组织内，通过一阶流水线部署；共享网关模式不要求同一组织，通过二阶流水线部署。共享网络共享子网，共享网关共享中转网关。
如何为多张网络定义不同的配置？
通过流水线产品中的“变量”指定不同的网络定义配置文件。默认阶段使用 network-vpc 配置文件，非默认阶段通过变量如 {"profile": "network-prod"} 指定自定义配置文件。
构建多张网络时，网络架构可以从哪些维度进行组织？
可以从网络账户（相同或不同）、区域（单区域或多区域）、模式（共享网络或共享网关）和网络数量（单张或多张）四个维度组织，形成至少16种组织形式。
在共享网络模式下构建多张多区域网络的具体步骤是什么？
先构建默认阶段：在基础账户定义 network-vpc 配置文件，启动 network/vpc 产品部署主区域，再启动 network/vpc/regional 产品部署各管控区域。然后构建其他阶段：定义 network-test 配置文件，启动产品时指定阶段和变量，部署到不同网络账户。
混合模式构建多张网络时需要注意什么？
混合模式同时构建共享网络和共享网关的多张网络时，建议不使用默认配置文件名，而是使用不同的默认配置文件名（如 network-vpc-main、network-tgw-main）以避免冲突。必须先部署两种模式的默认阶段，再部署其他阶段。
