# Infrastructure OU

基础设施OU由基础架构和运维团队拥有并管理。基础设施 OU 用于保存包含 AWS 基础设施资源的 AWS 账户，这些资源由组织内的账户共享、使用或用于管理。 这包括对组织的集中操作或监控。 该 OU 中不包含应用程序账户或应用程序工作负载。

<figure><img src="https://3752289132-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTfg4e0NhLEbwi6WFJp%2Fuploads%2F137u9Q04XcH9sat5zmuF%2Fimage.png?alt=media&#x26;token=35933918-84fb-498f-af63-713b13ab65ef" alt=""><figcaption><p><em>Example structure of Infrastructure OU</em></p></figcaption></figure>

### Backup account <a href="#backup-account" id="backup-account"></a>

备份帐户是备份和灾难恢复管理的专用集中枢纽。 它提供了一个统一的平台，用于在 AWS 组织内协调、监控和执行跨 AWS 账户的备份策略。

通过将备份流程整合到一个中央账户中，企业可以获得多种好处。 它无需在每个成员帐户中分别配置和维护备份设置，从而简化了备份管理，提高了运营效率并降低了出错的可能性。 它可确保在整个 AWS 基础架构中提供一致而全面的数据保护，无论使用的是何种特定 AWS 服务和资源。 这种方法还能**对备份和恢复活动进行集中审计和报告，从而加强合规性和治理工作**，使跟踪数据保护指标和维护合规性所需的记录变得更加容易。

使用到的服务：

* [AWS Backup](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-backup.html)：在 AWS 备份控制台中将Backup Account注册为委派管理员。
* [AWS Organizations: AWS Backup policy administration](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_delegate_policies.html)：通过在管理帐户中启用 AWS 组织授权，将 AWS 备份策略管理授权给Backup Account，并配置允许Backup Account创建备份策略。

### Identity account <a href="#identity-account" id="identity-account"></a>

身份账户是一个集中的身份联合账户，与 AWS 组织内的所有其他管理和工作负载活动隔离。 联合身份管理使您能够高效地管理 AWS 组织内账户的访问权限和对集成应用程序的授权。 通过集中管理身份和控制对环境的访问，您可以快速创建、更新和删除满足业务要求所需的权限和策略。

使用的服务：

* [IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/delegated-admin.html)：您可以委托该账户管理 IAM Identity Center，这样您就可以在管理账户之外管理 IAM Identity Center。
* [IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-settings.html#access-analyzer-delegated-administrator.html)：可以对 IAM 访问分析器进行配置，以检测组织（组织信任区）之外共享的资源。 默认情况下，这是由管理账户管理的。 可以委托给成员账户。 根据负责审核外部访问的人员（身份管理团队或安全团队）的不同，可将此功能委托给身份管理账户或安全工具账户。
* AWS Directory Services：如果您使用的是 AWS 托管目录或 AWS AD 连接器，您可以在 AWS IAM Identity Center 的同时在您的身份账户中创建和管理它们。

### Network account <a href="#network-account" id="network-account"></a>

网络账户是 AWS 组织内的网络中心。 您可以管理您的网络资源，并在您的环境、内部部署和出口/出口流量到互联网的账户之间路由流量。 在此账户中，网络管理员可以管理和建立安全措施，保护整个云环境的网络流量。

* [AWS Network Manger](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-network-manager.html)：在企业内的多个 AWS 账户中，使用中转网关及其附属资源集中管理和监控全球网络。
* [IPAM](https://docs.aws.amazon.com/vpc/latest/ipam/enable-integ-ipam.html)：授权给整个 AWS 组织的单一账户。 IPAM 将清查和跟踪整个 AWS 组织的所有活动 IP。
* [VPC Reachability Analyzer](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-ra.html)：追踪组织内各账户的路径。 您可以根据需要分配多个授权管理账户。
* Amazon VPC：如果您计划在 AWS 环境中实施集中式联网，我们建议您在网络账户内管理 VPC，并在 AWS 组织内跨账户共享资源。
* 共享你的 AWS Transit Gateway：在网络账户中创建 AWS Transit Gateway 资源，并使用 AWS Resource Access Manager (RAM) 在 AWS 组织内的账户间共享该资源。
* 共享你的Amazon Route 53 Endpoint Resolvers - 如果你计划在您的 AWS 组织中使用一个集中的  [Amazon Route 53 Public Data Plane](https://aws.amazon.com/route53/) 创建传递式网络，我们推荐管理和分享你的Route 53 Endpoint Resolvers。
* 在你的组织中共享你的 IPAM pools - 当你授权一个IPAM 账户，IPAM 允许其他组织中的成员账户从IPAM pools分配CIDRs，通过AWS Resource Access Manager (RAM) 共享。
* 构建集中的 [AWS Site-to-Site VPN connections](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html) - 通过使用集中在您的 Network 帐户中的传递性网络架构，可以建立站点到站点的 VPN，并在云环境中启用路由。
* 集中的 [AWS Direct Connect](https://aws.amazon.com/directconnect/) - 创建并添加 AWS Direct Connect 到你的传递性网络架构 with [AWS Transit Gateway](https://aws.amazon.com/transit-gateway/).
* 集中式网络检测点 - 建立通过网络账户路由的入站和出站网络流量检测点。

### Operations Tooling account <a href="#operations-tooling-accounts" id="operations-tooling-accounts"></a>

\
运维工具账户可用于整个组织的日常运营活动。运维工具账户托管集中运营所需的工具、仪表盘和服务，其中托管监控和指标跟踪。 这些工具有助于中央运行团队从中央位置与其环境进行交互。

* [AWS Account Management](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-account.html)：管理组织内所有账户的备用联系人信息。 在 AWS 组织内的一个区域和一个账户上进行授权。
* [AWS Application Migration Service (AMG)](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-application-migration.html)：AWS 应用程序迁移服务简化、加快并降低了将应用程序迁移到 AWS 的成本。 通过与 "组织 "集成，您可以使用全局视图功能管理跨多个账户的大规模迁移。
* [Amazon DevOps Guru](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-devops.html)：您可以与 AWS 组织集成，以管理来自整个组织所有账户的洞察力。 您可以委派一名管理员查看、排序和过滤来自所有账户的洞察，以了解整个组织内所有受监控应用的健康状况。
* [AWS Health](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-health.html)：了解可能影响 AWS 服务资源性能或可用性问题的事件。 您最多可以在组织中注册 5 个成员账户作为受权管理员。
* [AWS License Manager](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-license-manager.html)：如果您计划使用集中模式在组织内购买和共享许可证，我们建议您指定一个共享服务账户作为 AWS License Manager 的受权管理员。
* [AWS Systems Manager Change Manager](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-ssm.html)：您可以将 Systems Manager 的管理委托给 Operations Tooling 帐户，以便执行 Change Manager、资源管理器和 Ops Center 的管理任务。
* [AWS Systems Manager Explorer](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-ssm.html)
* [AWS CloudFormation Stacksets](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-cloudformation.html)：您可以在 AWS 组织中注册多个委托管理员帐户。 CloudFormation Stackset 委托将赋予 AWS 账户完全的管理权限，以便在组织中的其他 AWS 账户中部署资源。 授权只需在本地区进行。
* [VPC Reachability Analyzer](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-ra.html)：跟踪组织中跨账户的路径。 VPC 可及性分析仪可拥有多个授权管理账户。

**AWS Solutions**

[Account Assessment for AWS Organizations](https://aws.amazon.com/solutions/implementations/account-assessment-for-aws-organizations/)：该 AWS 解决方案以 Web UI 的形式呈现，可对 AWS 组织中的所有 AWS 账户运行可配置的扫描，帮助您识别基于资源的底层策略中的依赖性。

[Instance Scheduler on AWS](https://aws.amazon.com/solutions/implementations/instance-scheduler-on-aws/)：自动启动和停止亚马逊弹性计算云（Amazon EC2）和亚马逊关系数据库服务（Amazon RDS）实例。该解决方案可停止不使用的资源，并在需要时启动它们，从而帮助降低运营成本。 如果让所有实例持续满负荷运行，则可节省大量成本。

[Cost Optimizer for Amazon WorkSpaces](https://aws.amazon.com/solutions/implementations/cost-optimizer-for-amazon-workspaces/)：分析您的所有 Amazon WorkSpaces 使用数据，并根据您的个人使用情况，自动将 WorkSpace 转换为最具成本效益的计费选项（按小时或按月计费）。 您可以将此解决方案用于单个账户，也可以将 AWS 组织用于多个账户，以帮助您监控 WorkSpace 的使用情况并优化成本。

[Workload Discovery on AWS](https://aws.amazon.com/solutions/implementations/workload-discovery-on-aws/)：AWS 上的 Workload Discovery（以前称为 Amazon Personalize）是一种可视化 AWS 云工作负载的工具。 使用 Workload Discovery on AWS 可以根据 AWS .NET 的实时数据构建、自定义和共享工作负载的详细架构图。<br>

### Monitoring account <a href="#monitoring-account" id="monitoring-account"></a>

AWS 监控帐户可用于监控其他 AWS 帐户中的资源、应用程序、日志数据和性能。 AWS 提供了许多工具和服务，可用于管理和监控 AWS 账户中的资源和工作负载，包括 CloudWatch、Amazon Managed Service for Prometheus、Amazon Managed Grafana 和 Amazon OpenSearch。 这些工具可用于监控资源和应用程序的使用情况、性能、查看日志数据以及识别基础设施或应用程序中的潜在问题。<br>

* [Amazon S3 Storage Lens](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-s3lens.html)：将监控帐户注册为 Amazon S3 Storage Lens（在管理帐户中）的授权管理员，以便在整个组织范围内查看对象存储的使用情况和活动。 您可以使用 S3 Storage Lens 指标生成摘要洞察，例如了解整个组织的存储量或增长最快的存储桶和前缀。
* AWS CloudWatch - 配置 AWS [CloudWatch Cross Account observability](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch-Unified-Cross-Account.html) 并且配置成"monitoring account" or hub account.
* **CloudWatch dashboards** 创建成账户级别可以被共享给监控账户，允许分布式的集中监控管理。
* **3rd party monitoring tools** (such as ElasticSearch, Splunk, Prometheus, Grafana) 在 Monitoring account 创建和管理。
* **日志存档日志分析。** 为了分析日志存档账户中存储的日志数据，可以在监控账户中使用 Amazon Managed Grafana 或 Amazon QuickSight，通过连接日志存档账户中的 Amazon Athena 来分析日志存档账户中 S3 桶中的日志数据。
* **Amazon OpenSearch Service** 用于分析日志，监控应用，分析点击流。
* **Amazon QuickSight** 跨账户数据源可以被击中监控和报告。&#x20;
* **Amazon Managed Grafana** 集中监控容器， CloudWatch logs, 和应用，通过手机不通账户的数据，或者集中 CloudWatch 指标，日志和跟踪。

**AWS Solutions**

The following AWS solutions are commonly deployed or related to the functional operations of the Monitoring account:

* [Centralized Logging on AWS](https://aws.amazon.com/solutions/implementations/centralized-logging/)
* [Centralized Logging with OpenSearch](https://aws.amazon.com/solutions/implementations/centralized-logging-with-opensearch/)
* [DevOps Monitoring Dashboard on AWS](https://aws.amazon.com/solutions/implementations/devops-monitoring-dashboard-on-aws/)
* [Application Monitoring with Amazon CloudWatch](https://aws.amazon.com/solutions/implementations/application-monitoring-with-cloudwatch/)

### Shared Services accounts <a href="#shared-service-accounts" id="shared-service-accounts"></a>

共享服务账户是一个 AWS 账户，专门用于托管和管理 AWS 组织内多个其他 AWS 账户共享的集中 IT 服务和资源。 共享服务账户的主要目的是整合类似的共享服务，以提供单一的访问点来管理、连接和使用。 您可以根据需要创建多个共享服务账户，以安全隔离账户中分组服务的功能。

* [AWS Service Catalog](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-servicecatalog.html)：创建并管理经批准可在 AWS 上使用的 IT 服务目录。
* [AWS Compute Optimizer](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-compute-optimizer.html)：AWS Compute Optimizer 可委托给 AWS 组织中的一个 AWS 账户。 建议部署到共享服务账户或监控账户。
* EC2 Image Builder ：EC2 Image Builder 与 AWS Resource Access Manager（AWS RAM）集成，允许您与任何 AWS 账户或通过 AWS 组织共享某些资源。

参考资料

<https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/infrastructure-ou-and-accounts.html>

<br>
