# 多账户设计原则

目录

* [Organize based on security and operational needs](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#organize-based-on-security-and-operational-needs) 基于安全和运维需求设计
* [Apply security guardrails to OUs rather than accounts](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#apply-security-guardrails-to-ous-rather-than-accounts) 将安全护栏应用于 OU 而非账户
* [Avoid deep OU hierarchies](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#avoid-deep-ou-hierarchies) 避免过深的 OU 层次结构
* [Start small and expand as needed](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#start-small-and-expand-as-needed) 小规模起步，根据需要扩展
* [Avoid deploying workloads to the organization’s management account](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#avoid-deploying-workloads-to-the-organizations-management-account) 避免将工作负载部署到组织的管理账户上
* [Separate production from non-production workloads](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#separate-production-from-non-production-workloads) 生产和非生产环境分开
* [Assign a single or small set of related workloads to each production account](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#assign-a-single-or-small-set-of-related-workloads-to-each-production-account) 为每个生产账户分配一个或一小组相关工作负载
* [Use federated access to help simplify managing human access to accounts](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#use-federated-access-to-help-simplify-managing-human-access-to-accounts) 使用单点登录简化人员访问多个账户的需要
* [Use automation to support agility and scale](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#use-automation-to-support-agility-and-scale) 利用自动化实现灵活性和规模化
* [Use multi-factor authentication](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#use-multi-factor-authentication) 使用MFA
* [Break glass access](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/break-glass-access.html) 打破玻璃通道

以下是对每一条策略的扩展说明：

1. **Organize based on security and operational needs 基于安全和运维需求设计**
   * 设计AWS账户和组织结构时，应考虑安全要求和运维便利性，以确保资源得到适当的隔离和保护，同时便于管理和监控。这种设计有助于满足合规性要求，并提高运营效率。
2. **Apply security guardrails to OUs rather than accounts 将安全护栏应用于 OU 而非账户**
   * 通过在组织单元（OU）级别而非单个账户级别应用安全控制策略，可以更有效地管理和继承安全策略，减少重复配置，并确保整个组织的安全一致性。
3. **Avoid deep OU hierarchies 避免过深的 OU 层次结构**
   * 过于复杂的OU层次结构可能会增加管理难度和复杂性，因此建议保持OU结构的扁平化，以便于理解和维护。这有助于简化权限管理和策略应用。
4. **Start small and expand as needed 小规模起步，根据需要扩展**
   * 初始阶段，可以建立一个小型的、基础的云环境，然后根据业务需求和增长逐步扩展和完善。这种方法可以降低初期的复杂性和成本，同时允许灵活调整以适应变化。
5. **Avoid deploying workloads to the organization’s management account 避免将工作负载部署到组织的管理账户上**
   * 管理账户应专注于治理和策略管理，而不是运行工作负载，以保持职责分离和减少安全风险。这有助于确保管理账户的安全性和专注于核心管理任务。
6. **Separate production from non-production workloads 生产和非生产环境分开**
   * 生产环境和非生产环境（如开发、测试）应分别部署在不同的账户或OU中，以确保生产环境的稳定性和安全性，同时允许非生产环境进行实验和开发而不影响生产系统。
7. **Assign a single or small set of related workloads to each production account 为每个生产账户分配一个或一小组相关工作负载**
   * 将相关工作负载分组到同一个生产账户中，可以简化管理和监控，同时减少跨账户的依赖和复杂性。这有助于提高账户的专注性和效率。
8. **Use federated access to help simplify managing human access to accounts 使用单点登录简化人员访问多个账户的需要**
   * 通过使用联合身份验证（如SAML），用户可以使用单一身份访问多个AWS账户，从而简化身份管理和访问控制。这减少了管理多个凭证的复杂性，并提高了安全性。
9. **Use automation to support agility and scale 利用自动化实现灵活性和规模化**
   * 自动化部署和管理任务可以提高敏捷性，允许快速响应业务需求变化，并支持大规模操作，同时减少人为错误。自动化是云环境中提高效率和一致性的关键。
10. **Use multi-factor authentication 使用MFA**
    * 启用多因素认证（MFA）可以增加账户安全性，要求用户提供额外的身份验证形式，从而防止未经授权的访问，即使密码被泄露也能保护账户安全。
11. **Break glass access 打破玻璃通道**
    * 在紧急情况下，如安全事件或系统故障，需要一种快速访问系统的方法来恢复服务或进行修复。打破玻璃访问提供了一种在正常访问控制被禁用时的应急访问机制，以确保业务连续性。
