将AWS组织引入公司结构/系统的】注意事项【指南

📅 发布日: 2025/05/05, 更新日: 2025/05/05 ⏱️ 预计阅读时间约11分钟 (4,283字)

在构建AWS环境时，通常使用多帐户结构来分隔环境、权限和AWS使用成本。
通过使用AWS Organizations ，您可以集中管理AWS帐户。
本文概述了AWS组织，并提供了在考虑引入AWS时需要检查的要点。

什么是 AWS 组织？
采用注意事项
设计考虑因素
相关文件

什么是 AWS 组织？

AWS Organizations 是一项用于 集中管理多个 AWS 账户 的服务。
它简化了 AWS 账户之间的资源共享、策略管理和访问控制。

采用注意事项

① 您的AWS账户模型（合同类型）是什么？

在使用 AWS Organizations 之前， 请务必检查您的账户模型（合同类型）并确认管理账户功能是否可用 。
主要的帐户模式是“直接合同”和“经销商合同”。
通过与 AWS 签订“直接合同”，账户所有者可以完全控制所有资源，让您能够充分利用所有 AWS Organizations 功能。
相反，通过“经销商合同”，经销商保留部分控制权。某些 AWS Organizations 功能可能受到限制，因此您需要确认哪些功能可用。
相关资源：
针对 AWS 解决方案提供商的 AWS Control Tower 最佳实践 |AWS 合作伙伴网络 (APN) 博客

② 您会使用AWS Control Tower吗？

AWS Control Tower 是一项 AWS 托管服务，可使用 AWS Organizations 部署安全性和合规性治理。
通过使用 AWS Control Tower，您可以集中整个组织的安全策略和账户管理，从而提高运营效率。
但是，在实施之前一定要考虑成本和功能。
有关 AWS Control Tower 的更多信息，请参阅此博客上的以下文章：

将AWS Control Tower引入公司结构/系统【的设计指南】注意事项

作为组织中AWS环境安全措施的一部分，制定“指南”来定义系统开发和运营的标准做法已成为常态。一种方法是使用AWS Control Tower ，它可以按照AWS最佳实践快速部署环境。本文概述了AWS ... [阅读更多]

相关资源：
AWS Control Tower 的工作原理 - AWS Control Tower

③ 如果用于测试，您会订阅 AWS 支持计划吗？

AWS 支持计划提供 AWS 专家的技术支持。
业务和开发人员支持计划按帐户计费。仅向注册了支持计划的账户提供支持，因此，如果您使用多个 AWS 账户进行测试，您可能需要为每个账户订阅支持计划。
如果您仅订阅一个 AWS 账户的开发人员支持计划进行测试，您可能需要考虑不立即使用 AWS Organizations 以降低持续成本。
相关资源：
AWS 支持计划

设计考虑因素

1. 组织利益相关者

在设计组织结构时， 明确组织内利益相关者的角色非常重要 。
请参阅下表了解每个利益相关者的角色，并在“3. AWS 账户访问策略注意事项”和本页的其他部分中使用此角色组织。
基于【标准化指南制定最佳实践|亚马逊网络服务博客](https://aws.amazon.com/jp/blogs/news/standardization-guideline-bestpractice-jp/)。
注意：上面链接的相关资源是用日语编写的。
在某些组织中，四个角色（CCoE、通用平台管理员、安全性和会计/财务）可能由同一部门或人员处理。

不	利益相关者	角色	任务
01	中央教育中心	促进和运营云的使用	制定指导方针
02	通用平台管理	提供跨系统通用平台/功能	构建和运营通用平台
03	安全	维护云环境的安全	定义安全策略、构建/操作安全功能、监控安全
04	系统管理员	构建/操作系统在云上运行的系统	构建/运营AWS资源和系统
05	运营	管理云环境中的操作	监控和操作系统
06	会计/金融	分配和优化AWS使用成本	考虑成本分配、购买选项、监控成本、支付 AWS 费用

② 考虑AWS账户结构

考虑如何划分“普通账户”和“个人账户”。

普通账户

“普通账户”使用的功能（AWS服务）包括：
仅列出AWS服务名称，但也可能提供SaaS、AD、WSUS等作为常用功能。

不	类别	通用 AWS 账户名称	代表性 AWS 服务
01	身份和访问管理	堡垒、ID 管理	AWS IAM、AWS IAM 身份中心
02	侦探控制	审计、安全监控	AWS SecurityHub、AWS Cloudrail、AWS Config、Amazon GuardDuty、Amazon EventBridge
03	网络基础设施保护	普通网络、外部连接	AWS Transit Gateway、AWS Direct Connect、AWS 网络防火墙
04	数据保护	日志管理	亚马逊 S3
05	监控	系统监控	Amazon CloudWatch、Amazon EventBridge、Amazon SNS、AWS 用户通知
06	基础设施配置（CI/CD）	持续集成/持续交付	AWS CodeCommit、AWS CodePipeline、AWS CodeBuild、AWS CodeDeploy
07	运营管理	运营管理	AWS 系统经理
08	成本管理	管理账户*1	AWS 预算、AWS Cost Explorer、AWS 成本异常检测

*1：自2023年7月11日起，个人账户的成本管理信息只能由管理账户查看。

在 AWS Control Tower 中，“身份和访问管理（堡垒）”是管理账户，“Detective Controls（安全监控）”是审核账户，“数据保护（日志管理）”是日志存档账户。
参考：关于 AWS Control Tower 中的 AWS 账户 - AWS Control Tower
如果您提供其他类别作为常用功能，请考虑创建专用的常用帐户。
首先考虑采用哪些常用功能，然后在“③ AWS 账户访问策略考虑”中组织谁将访问它们并考虑账户划分。

个人账户

考虑根据以下角度划分“个人账户”：
由于下面未列出的其他角度，例如“系统计费目的地”和“AWS资源配额”也可以考虑，但过多划分AWS账户会使管理变得复杂，因此不建议这样做。

系统：按系统划分，将每个系统的资源分开。
环境：按生产、测试、开发等环境划分。生产和非生产环境分离，提高生产安全性。
控制：对于大型系统，您可以出于管理原因进一步划分。

③ 考虑OU结构

在 AWS Organizations 中，AWS 账户可以在称为 OU 的分层结构中进行管理。
OU 设计应针对您的组织进行优化，但从基本 OU 结构开始并根据需要进行自定义。
以下文章描述了 OU 设计的最佳实践：
参考： AWS Organizations 组织单位的最佳实践 |AWS 云运营博客
文章介绍了以下基本OU结构：
在 AWS Control Tower 中，默认情况下仅创建安全 OU，但请考虑根据需要创建其他 OU。

组织单位名称	细分的注意事项	必需/可选	目的
安全	生产或非生产	必需的	存储与安全相关的AWS帐户
基础设施	生产或非生产	选修的	存储共享基础设施AWS帐户
沙盒	-	选修的	存储用于 PoC 或 AWS 学习的 AWS 帐户
工作负载	生产/非生产、系统名称	必需的	存储提供软件生命周期的 AWS 账户

考虑根据需要创建以下 OU：

组织单位名称	必需/可选	目的
政策分期	选修的	存储用于测试 SCP 和护栏的 AWS 帐户
暂停	选修的	商店暂停了 AWS 账户
个人企业用户	选修的	为企业用户存储 AWS 账户
例外情况	选修的	存储分配了特殊安全策略的 AWS 账户
部署	选修的	存储 CI/CD 的 AWS 帐户

④ 组织每个参与者访问哪些AWS账户

在此阶段， 组织哪些人访问哪些 AWS 账户。
下表是组织哪些参与者访问哪些 AWS 账户的示例。
这只是一个例子；根据您的组织进行组织。

演员	1.ID管理	2.审计	3.公共网络	4.日志管理	5.系统监控	6.CI/CD	7.运营管理	8.管理	a.生产系统	b.非生产系统
中央教育中心	RW	RW	RW	右	RW	RW	RW	RW	RW	RW
通用平台管理	RW	右	RW	右	RW	RW	RW	右	右	右
安全	-	右	RW	右	-	-	-	-	RW	RW
系统管理员	-	-	-	-	RW	RW	RW	-	RW	RW
运营	-	-	-	-	RW	RW	RW	-	RW	RW
会计/金融	-	-	-	-	-	-	-	-	右	右

如果访问“1.ID Mgmt”到“8.Management”常用账户的参与者相同，请考虑合并 AWS 账户。
例如，在上表中，“5.系统监控”、“6.CI/CD”和“7.操作管理”由相同的参与者访问，因此请考虑将它们合并到一个 AWS 账户中。

⑤ 组织运营项目

下面整理了以下三个操作项目。

AWS 账户创建/删除

考虑谁将创建/删除 AWS 账户以及创建工作流程。
对于创建账户时提供的 AWS 资源，如果可选，允许在申请表中进行选择。

服务控制策略创建/修改/删除

考虑谁将创建/修改/删除应用于个人帐户的服务控制策略以及执行此操作的工作流程。

Root用户的使用/更新

考虑在需要时使用根用户的工作流程。
AWS 账户根用户 - AWS Identity and Access Management
存在以下情况：个人账户的根用户无法登录，并且通过管理账户联系 AWS Support，但 AWS Support 请求从管理账户的根用户（而不是 IAM 用户）联系。
这是不正常情况，但请确保在需要时可以使用root用户。