將AWS組織引入公司結構/系統的】注意事項【指南

📅 發布日: 2025/05/05, 更新日: 2025/05/05 ⏱️ 預計閱讀時間約11分鐘 (4,299字)

在構建AWS環境時，通常使用多帳戶結構來分隔環境、許可權和AWS使用成本。
透過使用AWS Organizations ，您可以集中管理AWS帳戶。
本文概述了AWS組織，並提供了在考慮引入AWS時需要檢查的要點。

什麼是 AWS 組織？
採用注意事項
設計考慮因素
相關檔案

什麼是 AWS 組織？

AWS Organizations 是一項用於 集中管理多個 AWS 賬戶 的服務。
它簡化了 AWS 賬戶之間的資源共享、策略管理和訪問控制。

採用注意事項

① 您的AWS賬戶模型（合同型別）是什麼？

在使用 AWS Organizations 之前， 請務必檢查您的賬戶模型（合同型別）並確認管理賬戶功能是否可用 。
主要的帳戶模式是“直接合同”和“經銷商合同”。
透過與 AWS 簽訂“直接合同”，賬戶所有者可以完全控制所有資源，讓您能夠充分利用所有 AWS Organizations 功能。
相反，透過“經銷商合同”，經銷商保留部分控制權。某些 AWS Organizations 功能可能受到限制，因此您需要確認哪些功能可用。
相關資源：
針對 AWS 解決方案提供商的 AWS Control Tower 最佳實踐 |AWS 合作伙伴網路 (APN) 部落格

② 您會使用AWS Control Tower嗎？

AWS Control Tower 是一項 AWS 託管服務，可使用 AWS Organizations 部署安全性和合規性治理。
透過使用 AWS Control Tower，您可以集中整個組織的安全策略和賬戶管理，從而提高運營效率。
但是，在實施之前一定要考慮成本和功能。
有關 AWS Control Tower 的更多資訊，請參閱此部落格上的以下文章：

將AWS Control Tower引入公司結構/系統【的設計指南】注意事項

作為組織中AWS環境安全措施的一部分，制定“指南”來定義系統開發和運營的標準做法已成為常態。一種方法是使用AWS Control Tower ，它可以按照AWS最佳實踐快速部署環境。本文概述了AWS ... [閱讀更多]

相關資源：
AWS Control Tower 的工作原理 - AWS Control Tower

③ 如果用於測試，您會訂閱 AWS 支援計劃嗎？

AWS 支援計劃提供 AWS 專家的技術支援。
業務和開發人員支援計劃按帳戶計費。僅向註冊了支援計劃的賬戶提供支援，因此，如果您使用多個 AWS 賬戶進行測試，您可能需要為每個賬戶訂閱支援計劃。
如果您僅訂閱一個 AWS 賬戶的開發人員支援計劃進行測試，您可能需要考慮不立即使用 AWS Organizations 以降低持續成本。
相關資源：
AWS 支援計劃

設計考慮因素

1. 組織利益相關者

在設計組織結構時， 明確組織內利益相關者的角色非常重要 。
請參閱下表瞭解每個利益相關者的角色，並在“3. AWS 賬戶訪問策略注意事項”和本頁的其他部分中使用此角色組織。
基於【標準化指南制定最佳實踐|亞馬遜網路服務部落格](https://aws.amazon.com/jp/blogs/news/standardization-guideline-bestpractice-jp/)。
注意：上面連結的相關資源是用日語編寫的。
在某些組織中，四個角色（CCoE、通用平臺管理員、安全性和會計/財務）可能由同一部門或人員處理。

不	利益相關者	角色	任務
01	中央教育中心	促進和運營雲的使用	制定指導方針
02	通用平臺管理	提供跨系統通用平臺/功能	構建和運營通用平臺
03	安全	維護雲環境的安全	定義安全策略、構建/操作安全功能、監控安全
04	系統管理員	構建/作業系統在雲上執行的系統	構建/運營AWS資源和系統
05	運營	管理雲環境中的操作	監控和作業系統
06	會計/金融	分配和最佳化AWS使用成本	考慮成本分配、購買選項、監控成本、支付 AWS 費用

② 考慮AWS賬戶結構

考慮如何劃分“普通賬戶”和“個人賬戶”。

普通賬戶

“普通賬戶”使用的功能（AWS服務）包括：
僅列出AWS服務名稱，但也可能提供SaaS、AD、WSUS等作為常用功能。

不	類別	通用 AWS 賬戶名稱	代表性 AWS 服務
01	身份和訪問管理	堡壘、ID 管理	AWS IAM、AWS IAM 身份中心
02	偵探控制	審計、安全監控	AWS SecurityHub、AWS Cloudrail、AWS Config、Amazon GuardDuty、Amazon EventBridge
03	網路基礎設施保護	普通網路、外部連線	AWS Transit Gateway、AWS Direct Connect、AWS 網路防火牆
04	資料保護	日誌管理	亞馬遜 S3
05	監控	系統監控	Amazon CloudWatch、Amazon EventBridge、Amazon SNS、AWS 使用者通知
06	基礎設施配置（CI/CD）	持續整合/持續交付	AWS CodeCommit、AWS CodePipeline、AWS CodeBuild、AWS CodeDeploy
07	運營管理	運營管理	AWS 系統經理
08	成本管理	管理賬戶*1	AWS 預算、AWS Cost Explorer、AWS 成本異常檢測

*1：自2023年7月11日起，個人賬戶的成本管理資訊只能由管理賬戶檢視。

在 AWS Control Tower 中，“身份和訪問管理（堡壘）”是管理賬戶，“Detective Controls（安全監控）”是稽核賬戶，“資料保護（日誌管理）”是日誌存檔賬戶。
參考：關於 AWS Control Tower 中的 AWS 賬戶 - AWS Control Tower
如果您提供其他類別作為常用功能，請考慮建立專用的常用帳戶。
首先考慮採用哪些常用功能，然後在“③ AWS 賬戶訪問策略考慮”中組織誰將訪問它們並考慮賬戶劃分。

個人賬戶

考慮根據以下角度劃分“個人賬戶”：
由於下面未列出的其他角度，例如“系統計費目的地”和“AWS資源配額”也可以考慮，但過多劃分AWS賬戶會使管理變得複雜，因此不建議這樣做。

系統：按系統劃分，將每個系統的資源分開。
環境：按生產、測試、開發等環境劃分。生產和非生產環境分離，提高生產安全性。
控制：對於大型系統，您可以出於管理原因進一步劃分。

③ 考慮OU結構

在 AWS Organizations 中，AWS 賬戶可以在稱為 OU 的分層結構中進行管理。
OU 設計應針對您的組織進行最佳化，但從基本 OU 結構開始並根據需要進行自定義。
以下文章描述了 OU 設計的最佳實踐：
參考： AWS Organizations 組織單位的最佳實踐 |AWS 雲運營部落格
文章介紹了以下基本OU結構：
在 AWS Control Tower 中，預設情況下僅建立安全 OU，但請考慮根據需要建立其他 OU。

組織單位名稱	細分的注意事項	必需/可選	目的
安全	生產或非生產	必需的	儲存與安全相關的AWS帳戶
基礎設施	生產或非生產	選修的	儲存共享基礎設施AWS帳戶
沙盒	-	選修的	儲存用於 PoC 或 AWS 學習的 AWS 帳戶
工作負載	生產/非生產、系統名稱	必需的	儲存提供軟體生命週期的 AWS 賬戶

考慮根據需要建立以下 OU：

組織單位名稱	必需/可選	目的
政策分期	選修的	儲存用於測試 SCP 和護欄的 AWS 帳戶
暫停	選修的	商店暫停了 AWS 賬戶
個人企業使用者	選修的	為企業使用者儲存 AWS 賬戶
例外情況	選修的	儲存分配了特殊安全策略的 AWS 賬戶
部署	選修的	儲存 CI/CD 的 AWS 帳戶

④ 組織每個參與者訪問哪些AWS賬戶

在此階段， 組織哪些人訪問哪些 AWS 賬戶。
下表是組織哪些參與者訪問哪些 AWS 賬戶的示例。
這只是一個例子；根據您的組織進行組織。

演員	1.ID管理	2.審計	3.公共網路	4.日誌管理	5.系統監控	6.CI/CD	7.運營管理	8.管理	a.生產系統	b.非生產系統
中央教育中心	RW	RW	RW	右	RW	RW	RW	RW	RW	RW
通用平臺管理	RW	右	RW	右	RW	RW	RW	右	右	右
安全	-	右	RW	右	-	-	-	-	RW	RW
系統管理員	-	-	-	-	RW	RW	RW	-	RW	RW
運營	-	-	-	-	RW	RW	RW	-	RW	RW
會計/金融	-	-	-	-	-	-	-	-	右	右

如果訪問“1.ID Mgmt”到“8.Management”常用賬戶的參與者相同，請考慮合併 AWS 賬戶。
例如，在上表中，“5.系統監控”、“6.CI/CD”和“7.操作管理”由相同的參與者訪問，因此請考慮將它們合併到一個 AWS 賬戶中。

⑤ 組織運營專案

下面整理了以下三個操作專案。

AWS 賬戶建立/刪除

考慮誰將建立/刪除 AWS 賬戶以及建立工作流程。
對於建立賬戶時提供的 AWS 資源，如果可選，允許在申請表中進行選擇。

服務控制策略建立/修改/刪除

考慮誰將建立/修改/刪除應用於個人帳戶的服務控制策略以及執行此操作的工作流程。

Root使用者的使用/更新

考慮在需要時使用根使用者的工作流程。
AWS 賬戶根使用者 - AWS Identity and Access Management
存在以下情況：個人賬戶的根使用者無法登入，並且透過管理賬戶聯絡 AWS Support，但 AWS Support 請求從管理賬戶的根使用者（而不是 IAM 使用者）聯絡。
這是不正常情況，但請確保在需要時可以使用root使用者。