在多个 AD 中具有多个订阅的 Azure VNet 对等互连。可能的？

Question

我和我的同事拥有 Azure 帐户（使用 BizSpark 计划）。我们都在每个中创建了 VNet 和一些 VM。现在，他想要访问我创建的一些虚拟机，因此我们尝试在这些帐户之间设置 VNet 对等互连。有可能这样做吗？

PS：我们尝试了 VNet 对等互连选项，因为 VPN 成本高。

更多信息：

• 没有重叠的 IP 范围。
• 所有 VM 都位于同一区域（美国中南部）。
• 订阅有不同的租户 ID

PPS：更多信息请关注 the tutorial

我有两个订阅：

Sub1：
订阅名称：Visual Studio 企业版：BizSpark
订阅号：79409421-0edc-40c5-a55b-4ef3ccfb0d53
租户 ID：b726dcac-a1f2-420b-8713-cbee132aa6cc
用户登录 ID：aaaa@example.com
VNet 名称：vnet1
资源组：newRG

Sub2：

订阅名称：Visual Studio Enterprise：BizSpark
订阅 ID：3a97ecb8-5b69-4f7b-a46b-a678eb05ae00
租户 ID：88cc20a7-90cf-4854-9201-6f1424ebf7fa
用户登录 ID：bbbb@example.com
VNet 名称：vnet2
资源组：newRG

我打开了两个Powershell窗口，运行命令如下

Window1（用于 Sub 1）：

Login-AzureRmAccount ( logged in with aaaa@example.com )  
 Get-AzureRmSubscription  
 Select-AzureRmSubscription -SubscriptionId "79409421-0edc-40c5-a55b-4ef3ccfb0d53"  

 New-AzureRmRoleAssignment -SignInName "bbbb@example.com" -RoleDefinitionName "Network Contributor" -Scope /subscriptions/79409421-0edc-40c5-a55b-4ef3ccfb0d53/resourceGroups/newRG/providers/Microsoft.Network/VirtualNetworks/vnet2  

当我运行上面的命令时，我得到的错误是

 New-AzureRmRoleAssignment : The provided information does not map to an AD object id.
 At line:1 char:1
 + New-AzureRmRoleAssignment -SignInName "bbbb@example.com" -RoleDefi ...
 + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : CloseError: (:) [New-AzureRmRoleAssignment], KeyNotFoundException
    + FullyQualifiedErrorId : Microsoft.Azure.Commands.Resources.NewAzureRoleAssignmentCommand

然后当我运行命令时

 $vnet1 = Get-AzureRmVirtualNetwork -ResourceGroupName newRG -Name vnet1

 Add-AzureRmVirtualNetworkPeering -name LinkTovnet2 -VirtualNetwork $vnet1 -RemoteVirtualNetworkId "/subscriptions/3a97ecb8-5b69-4f7b-a46b-a678eb05ae00/resourceGroups/newRG/providers/Microsoft.Network/virtualNetworks/vnet2" -BlockVirtualNetworkAccess

错误是

 Add-AzureRmVirtualNetworkPeering : The client has permission to perform action 'Microsoft.Network/virtualNetworks/peer/action' on scope     '/subscriptions/79409421-0edc-40c5-a55b-4ef3ccfb0d53/resourceGroups/newRG/providers/Microsoft.Network/virtualNetworks/vnet1/virtualNetworkPeerings/LinkTovnet2', however the linked subscription '3a97ecb8-5b69-4f7b-a46b-a678eb05ae00'is not in current tenant 'b726dcac-a1f2-420b-8713-cbee132aa6cc'.
 StatusCode: 403
 ReasonPhrase: Forbidden
 OperationID : 'a2e1807b-df0d-4ef5-b832-a166a781bfbe'
 At line:1 char:1
 + Add-AzureRmVirtualNetworkPeering -name LinkTovnet2 -VirtualNet ...
 + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : CloseError: (:) [Add-AzureRmVirtualNetworkPeering], NetworkCloudException
    + FullyQualifiedErrorId :  Microsoft.Azure.Commands.Network.AddAzureVirtualNetworkPeeringCommand

Window2（用于 Sub 2）：

 Login-AzureRmAccount( logged in with bbbb@example.com )
 Get-AzureRmSubscription
 Select-AzureRmSubscription -SubscriptionId "79409421-0edc-40c5-a55b-4ef3ccfb0d53"

 New-AzureRmRoleAssignment -SignInName "aaaa@example.com" - RoleDefinitionName "Network Contributor" -Scope /subscriptions/3a97ecb8-5b69-4f7b-a46b-a678eb05ae00/resourceGroups/newRG/providers/Microsoft.Network/VirtualNetworks/vnet1

当我运行上述命令时，得到与上述相同的错误

Answer 1

是的，“只要两个订阅的特权用户授权对等互连并且订阅关联到同一个 Active Directory 租户，就可以在两个不同订阅的虚拟网络之间建立对等互连。”

我在下面链接到的页面上还有一些其他警告，例如。你不能有重叠的 IP 地址范围。

见Azure vnet peering