Облак и платформа
AWS landing zone с множество акаунти
Организация с отделни акаунти, SCP политики, централен журнал и Transit Gateway като основа за екипите.
Измислен сценарий. Примерна ситуация за илюстрация на подхода. Не е клиентски проект и не описва измерени резултати.
Бизнес проблем
Измислена софтуерна компания работи в един AWS акаунт за всичко. Разходите и правата са трудни за разделяне.
Допускания
- Има AWS Organizations.
- Използва се единен вход.
- Инфраструктурата е код.
Ограничения
- Отделни акаунти за продукция и тестове.
- Журналите не могат да бъдат изтрити от екипите.
- Регион в ЕС по подразбиране.
Референтна архитектура
Схема на компонентите по етапи — илюстрация, не работеща система и не сертифициран дизайн.
01Организация
- Organizational units
- SCP политики
02Идентичност
- IAM Identity Center
- Роли по акаунт
03Мрежа
- Transit Gateway
- Споделени VPC
- Централен изход
04Сигурност
- CloudTrail за организацията
- Security Hub
- Акаунт за журнали
Схемата като списък
| Етап | Компоненти |
|---|---|
| Организация | Organizational units, SCP политики |
| Идентичност | IAM Identity Center, Роли по акаунт |
| Мрежа | Transit Gateway, Споделени VPC, Централен изход |
| Сигурност | CloudTrail за организацията, Security Hub, Акаунт за журнали |
Интерфейси
| От | Към | Чрез |
|---|---|---|
| Акаунти | Transit Gateway | Прикачване |
| Акаунти | Журнали | Организационен CloudTrail |
| Екипи | Акаунти | Роли през единен вход |
Поток на данните
- Акаунт се създава от шаблон.
- SCP ограниченията важат веднага.
- Журналите отиват в отделен акаунт.
- Трафикът минава през централни точки.
- Разходите се разпределят по акаунти.
Граници на сигурността
- SCP забраняват изключване на журналите.
- Без дългосрочни ключове за хора.
- Шифроване с KMS по подразбиране.
Къде одобрява човек
- Изключения от SCP.
- Нови акаунти за продукция.
Фази на внедряване
01 · Дизайн
Структура на OU, мрежа, идентичност.
02 · Основа
Организация, журнали, сигурност като код.
03 · Миграция
Натоварвания от общия акаунт.
04 · Експлоатация
Преглед на правата и разходите.
Ограничения
- Не е сертифицирана архитектура.
- Миграцията от един акаунт отнема време.
Компромиси
- Много акаунти — изолация срещу сложност.
- Централен изход — контрол срещу цена.
Свързани услуги
Свързани оценки
Използвани интеграционни модели
Работни срещи и оценки
Имате подобна задача?
Ще започнем с оценка на текущото състояние и ще предложим реалистичен първи етап.