多账户设计原则

目录

• Organize based on security and operational needs 基于安全和运维需求设计

• Apply security guardrails to OUs rather than accounts 将安全护栏应用于 OU 而非账户

• Avoid deep OU hierarchies 避免过深的 OU 层次结构

• Start small and expand as needed 小规模起步，根据需要扩展

• Avoid deploying workloads to the organization’s management account 避免将工作负载部署到组织的管理账户上

• Separate production from non-production workloads 生产和非生产环境分开

• Assign a single or small set of related workloads to each production account 为每个生产账户分配一个或一小组相关工作负载

• Use federated access to help simplify managing human access to accounts 使用单点登录简化人员访问多个账户的需要

• Use automation to support agility and scale 利用自动化实现灵活性和规模化

• Use multi-factor authentication 使用MFA

• Break glass access 打破玻璃通道

以下是对每一条策略的扩展说明：

1. Organize based on security and operational needs 基于安全和运维需求设计

   • 设计AWS账户和组织结构时，应考虑安全要求和运维便利性，以确保资源得到适当的隔离和保护，同时便于管理和监控。这种设计有助于满足合规性要求，并提高运营效率。

2. Apply security guardrails to OUs rather than accounts 将安全护栏应用于 OU 而非账户

   • 通过在组织单元（OU）级别而非单个账户级别应用安全控制策略，可以更有效地管理和继承安全策略，减少重复配置，并确保整个组织的安全一致性。

3. Avoid deep OU hierarchies 避免过深的 OU 层次结构

   • 过于复杂的OU层次结构可能会增加管理难度和复杂性，因此建议保持OU结构的扁平化，以便于理解和维护。这有助于简化权限管理和策略应用。

4. Start small and expand as needed 小规模起步，根据需要扩展

   • 初始阶段，可以建立一个小型的、基础的云环境，然后根据业务需求和增长逐步扩展和完善。这种方法可以降低初期的复杂性和成本，同时允许灵活调整以适应变化。

5. Avoid deploying workloads to the organization’s management account 避免将工作负载部署到组织的管理账户上

   • 管理账户应专注于治理和策略管理，而不是运行工作负载，以保持职责分离和减少安全风险。这有助于确保管理账户的安全性和专注于核心管理任务。

6. Separate production from non-production workloads 生产和非生产环境分开

   • 生产环境和非生产环境（如开发、测试）应分别部署在不同的账户或OU中，以确保生产环境的稳定性和安全性，同时允许非生产环境进行实验和开发而不影响生产系统。

7. Assign a single or small set of related workloads to each production account 为每个生产账户分配一个或一小组相关工作负载

   • 将相关工作负载分组到同一个生产账户中，可以简化管理和监控，同时减少跨账户的依赖和复杂性。这有助于提高账户的专注性和效率。

8. Use federated access to help simplify managing human access to accounts 使用单点登录简化人员访问多个账户的需要

   • 通过使用联合身份验证（如SAML），用户可以使用单一身份访问多个AWS账户，从而简化身份管理和访问控制。这减少了管理多个凭证的复杂性，并提高了安全性。

9. Use automation to support agility and scale 利用自动化实现灵活性和规模化

   • 自动化部署和管理任务可以提高敏捷性，允许快速响应业务需求变化，并支持大规模操作，同时减少人为错误。自动化是云环境中提高效率和一致性的关键。

10. Use multi-factor authentication 使用MFA

    • 启用多因素认证（MFA）可以增加账户安全性，要求用户提供额外的身份验证形式，从而防止未经授权的访问，即使密码被泄露也能保护账户安全。

11. Break glass access 打破玻璃通道

    • 在紧急情况下，如安全事件或系统故障，需要一种快速访问系统的方法来恢复服务或进行修复。打破玻璃访问提供了一种在正常访问控制被禁用时的应急访问机制，以确保业务连续性。