View a markdown version of this page

AWS strategi multi-akun untuk zona pendaratan AWS Control Tower Anda - Menara Kontrol AWS
Sejajarkan dengan AWS panduan multi-akunPedoman untuk mengatur lingkungan yang dirancang dengan baikContoh Menara Kontrol AWS dengan struktur OU multi-akun lengkapTentang Root

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS strategi multi-akun untuk zona pendaratan AWS Control Tower Anda

Pelanggan AWS Control Tower sering mencari panduan tentang cara mengatur AWS lingkungan dan akun mereka untuk hasil terbaik.AWS telah membuat serangkaian rekomendasi terpadu, yang disebut strategi multi-akun, untuk membantu Anda memanfaatkan AWS sumber daya sebaik-baiknya, termasuk zona pendaratan Menara Kontrol AWS Anda.

Pada dasarnya, AWS Control Tower bertindak sebagai lapisan orkestrasi yang bekerja dengan AWS layanan lain, yang membantu Anda menerapkan rekomendasi AWS multi-akun untuk AWS akun dan. AWS Organizations Setelah zona pendaratan Anda diatur, AWS Control Tower terus membantu Anda mempertahankan kebijakan perusahaan dan praktik keamanan di beberapa akun dan beban kerja.

Sebagian besar zona pendaratan berkembang seiring waktu. Seiring bertambahnya jumlah unit organisasi (OU) dan akun di zona pendaratan AWS Control Tower, Anda dapat memperluas penerapan AWS Control Tower dengan cara yang membantu mengatur beban kerja secara efektif. Bab ini memberikan panduan preskriptif tentang cara merencanakan dan mengatur zona pendaratan AWS Control Tower Anda, selaras dengan strategi AWS multi-akun, dan memperpanjangnya dari waktu ke waktu.

Untuk diskusi umum tentang praktik terbaik untuk unit organisasi, lihat Prakti k Terbaik untuk Unit Organisasi dengan AWS Organizations.

AWS strategi multi-akun: Panduan praktik terbaik

AWS praktik terbaik untuk lingkungan yang dirancang dengan baik merekomendasikan bahwa Anda harus memisahkan sumber daya dan beban kerja Anda menjadi beberapa akun. AWS Anda dapat menganggap AWS akun sebagai wadah sumber daya yang terisolasi: mereka menawarkan kategorisasi beban kerja, serta pengurangan radius ledakan ketika ada yang salah.

Definisi AWS akun

AWS Akun bertindak sebagai wadah sumber daya dan batas isolasi sumber daya.

catatan

AWS Akun tidak sama dengan akun pengguna, yang diatur melalui Federasi atau AWS Identity and Access Management (IAM).

Selengkapnya tentang AWS akun

AWS Akun menyediakan kemampuan untuk mengisolasi sumber daya dan untuk menahan ancaman keamanan untuk AWS beban kerja Anda. Akun juga menyediakan mekanisme untuk penagihan dan tata kelola lingkungan beban kerja.

AWS Akun adalah mekanisme implementasi utama untuk menyediakan wadah sumber daya untuk beban kerja Anda. Jika lingkungan Anda dirancang dengan baik, Anda dapat mengelola beberapa AWS akun secara efektif, dan dengan demikian, mengelola beberapa beban kerja dan lingkungan.

AWS Control Tower menyiapkan lingkungan yang dirancang dengan baik. Ini bergantung pada AWS akun, bersama dengan AWS Organizations, yang membantu mengatur perubahan lingkungan Anda yang dapat meluas ke beberapa akun.

Definisi lingkungan yang dirancang dengan baik

AWS mendefinisikan lingkungan yang dirancang dengan baik sebagai lingkungan yang dimulai dengan zona pendaratan.

AWS Control Tower menawarkan zona pendaratan yang diatur secara otomatis. Ini memberlakukan kontrol untuk memastikan kepatuhan terhadap pedoman perusahaan Anda, di beberapa akun di lingkungan Anda.

Definisi zona pendaratan

Zona pendaratan adalah lingkungan cloud yang menawarkan titik awal yang direkomendasikan, termasuk akun default, struktur akun, tata letak jaringan dan keamanan, dan sebagainya. Dari zona pendaratan, Anda dapat menerapkan beban kerja yang memanfaatkan solusi dan aplikasi Anda.

Pedoman untuk mengatur lingkungan yang dirancang dengan baik

Tiga komponen kunci dari lingkungan yang dirancang dengan baik, dijelaskan dalam bagian berikut, adalah:

  • Beberapa AWS akun

  • Beberapa unit organisasi (OU)

  • Struktur yang terencana dengan baik

Gunakan beberapa akun AWS

Satu akun tidak cukup untuk mengatur lingkungan yang dirancang dengan baik. Dengan menggunakan beberapa akun, Anda dapat mendukung tujuan keamanan dan proses bisnis Anda dengan sebaik-baiknya. Berikut adalah beberapa manfaat menggunakan pendekatan multi-akun:

  • Kontrol keamanan — Aplikasi memiliki profil keamanan yang berbeda, sehingga memerlukan kebijakan dan mekanisme kontrol yang berbeda. Misalnya, jauh lebih mudah untuk berbicara dengan auditor dan menunjuk ke satu akun yang menghosting beban kerja industri kartu pembayaran (PCI).

  • Isol asi — Akun adalah unit perlindungan keamanan. Potensi risiko dan ancaman keamanan dapat terkandung dalam akun tanpa mempengaruhi orang lain. Oleh karena itu, kebutuhan keamanan mungkin mengharuskan Anda untuk mengisolasi akun satu sama lain. Misalnya, Anda mungkin memiliki tim dengan profil keamanan yang berbeda.

  • Banyak tim — Tim memiliki tanggung jawab dan kebutuhan sumber daya yang berbeda. Dengan menyiapkan beberapa akun, tim tidak dapat mengganggu satu sama lain, seperti yang mungkin terjadi ketika menggunakan akun yang sama.

  • Isolasi Data — Mengisolasi penyimpanan data ke akun membantu membatasi jumlah orang yang memiliki akses ke data dan dapat mengelola penyimpanan data. Isolasi ini membantu mencegah paparan data yang sangat pribadi secara tidak sah. Misalnya, isolasi data membantu mendukung kepatuhan terhadap Peraturan Perlindungan Data Umum (GDPR).

  • Proses bisnis — Unit bisnis atau produk sering memiliki tujuan dan proses yang sama sekali berbeda. Akun individu dapat dibuat untuk melayani kebutuhan khusus bisnis.

  • Penagihan — Akun adalah satu-satunya cara untuk memisahkan item pada tingkat penagihan, termasuk hal-hal seperti biaya transfer dan sebagainya. Strategi multi-akun membantu membuat item terpisah yang dapat ditagih di seluruh unit bisnis, tim fungsional, atau pengguna individu.

  • Alokasi ku AWS ota — kuota diatur berdasarkan per akun. Memisahkan beban kerja ke dalam akun yang berbeda memberi setiap akun (seperti proyek) kuota individual yang terdefinisi dengan baik.

Gunakan beberapa unit organisasi

AWS Control Tower dan kerangka kerja orkestrasi akun lainnya dapat membuat perubahan yang melintasi batas akun. Oleh karena itu, praktik AWS terbaik mengatasi perubahan lintas akun, yang berpotensi dapat merusak lingkungan atau merusak keamanannya. Dalam beberapa kasus, perubahan dapat mempengaruhi lingkungan secara keseluruhan, di luar kebijakan. Oleh karena itu, kami menyarankan Anda untuk menyiapkan setidaknya dua akun wajib, Produksi dan Pementasan.

Selain itu, AWS akun sering dikelompokkan ke dalam unit organisasi (OU), untuk tujuan tata kelola dan kontrol. OU dirancang untuk menangani penegakan kebijakan di beberapa akun.

Rekomendasi kami adalah, setidaknya, Anda membuat lingkungan pra-produksi (atau Pementasan) yang berbeda dari lingkungan Produksi Anda—dengan kontrol dan kebijakan yang berbeda. Lingkungan Produksi dan Pementasan dapat dibuat dan diatur sebagai OU terpisah, dan ditagih sebagai akun terpisah. Selain itu, Anda mungkin ingin menyiapkan Sandbox OU untuk pengujian kode.

Gunakan struktur yang terencana dengan baik untuk OU di zona pendaratan Anda

AWS Control Tower menyiapkan beberapa OU untuk Anda secara otomatis. Saat beban kerja dan persyaratan Anda berkembang seiring waktu, Anda dapat memperluas konfigurasi zona pendaratan asli sesuai kebutuhan Anda.

catatan

Nama-nama yang diberikan dalam contoh mengikuti konvensi AWS penamaan yang disarankan untuk menyiapkan AWS lingkungan multi-akun. Anda dapat mengganti nama OU setelah menyiapkan zona pendaratan, dengan memilih Edit pada halaman detail OU.

Rekomendasi

Setelah AWS Control Tower menyiapkan OU pertama yang diperlukan untuk Anda — OU Keamanan — kami sarankan untuk membuat beberapa OU tambahan di zona pendaratan Anda.

Sebaiknya Anda mengizinkan AWS Control Tower untuk membuat setidaknya satu OU tambahan, yang disebut Sandbox OU. OU ini untuk lingkungan pengembangan perangkat lunak Anda. AWS Control Tower dapat mengatur Sandbox OU untuk Anda selama pembuatan zona pendaratan, jika Anda memilihnya.

Dua OU lain yang direkomendasikan dapat Anda atur sendiri: Infrastructure OU, untuk memuat layanan bersama dan akun jaringan Anda, dan OU untuk memuat beban kerja produksi Anda, yang disebut OU Beban Kerja. Anda dapat menambahkan OU tambahan di zona pendaratan melalui konsol AWS Control Tower di halaman Unit organisasi.

OU yang direkomendasikan selain yang diatur secara otomatis

  • Infrastruktur OU — Berisi layanan bersama dan akun jaringan Anda.

    catatan

    AWS Control Tower tidak menyiapkan Infrastruktur OU untuk Anda.

  • Sandbox OU — OU pengembangan perangkat lunak. Misalnya, mungkin memiliki batas pengeluaran tetap, atau mungkin tidak terhubung ke jaringan produksi.

    catatan

    AWS Control Tower merekomendasikan agar Anda menyiapkan Sandbox OU, tetapi ini opsional. Ini dapat diatur secara otomatis sebagai bagian dari konfigurasi zona pendaratan Anda.

  • Beban kerja OU — Berisi akun yang menjalankan beban kerja Anda.

    catatan

    AWS Control Tower tidak menyiapkan OU Beban Kerja untuk Anda.

Untuk informasi selengkapnya, lihat Organisasi Pemula Produksi dengan AWS Control Tower.

Contoh Menara Kontrol AWS dengan struktur OU multi-akun lengkap

AWS Control Tower mendukung hierarki OU bersarang, yang berarti Anda dapat membuat struktur OU hierarkis yang memenuhi persyaratan organisasi Anda. Anda dapat membangun lingkungan AWS Control Tower agar sesuai dengan panduan strategi AWS multi-akun.

Anda juga dapat membangun struktur OU yang lebih sederhana dan datar yang berkinerja baik dan selaras dengan panduan AWS multi-akun. Hanya karena Anda dapat membangun struktur OU hierarkis, itu tidak berarti bahwa Anda harus melakukannya.

Diagram pada halaman yang ditautkan menunjukkan bahwa lebih banyak OU Dasar dan lebih banyak OU Tambahan telah dibuat. OU ini melayani kebutuhan tambahan dari penyebaran yang lebih besar.

Di kolom OU Dasar, dua OU telah ditambahkan ke struktur dasar:

  • Security_Prod OU — Menyediakan area read-only untuk kebijakan keamanan, serta area audit keamanan pecahan kaca.

  • Infrastruktur OU — Anda mungkin ingin memisahkan OU Infrastruktur, yang direkomendasikan sebelumnya, menjadi dua OU, Infrastructure_Test (untuk infrastruktur pra-produksi) dan Infrastructure_Prod (untuk infrastruktur produksi).

Di area OU Tambahan, beberapa OU lagi telah ditambahkan ke struktur dasar. Berikut ini adalah OU yang direkomendasikan berikutnya untuk dibuat seiring pertumbuhan lingkungan Anda:

  • Beban Kerja OU — Beban Kerja OU, direkomendasikan sebelumnya tetapi opsional, telah dipisahkan menjadi dua OU, Workloads_Test (untuk beban kerja pra-produksi) dan Workloads_Prod (untuk beban kerja produksi).

  • PolicyStaging OU - Memungkinkan administrator sistem untuk menguji perubahan mereka pada kontrol dan kebijakan sebelum menerapkannya sepenuhnya.

  • OU yang ditangguhkan — Menawarkan lokasi untuk akun yang mungkin telah dinonaktifkan sementara.

Tentang Root

Root bukanlah OU. Ini adalah wadah untuk akun manajemen, dan untuk semua OU dan akun di organisasi Anda. Secara konseptual, Root berisi semua OU. Itu tidak dapat dihapus. Anda tidak dapat mengatur akun terdaftar di tingkat Root dalam AWS Control Tower. Sebaliknya, atur akun terdaftar dalam OU Anda. Untuk diagram yang bermanfaat, lihat AWS Organizations dokument asi.