Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Folgen Sie diesen Empfehlungen, um Sie durch die Verwaltung einer Umgebung mit mehreren Konten AWS Organizations mithilfe von Organisationseinheiten (OUs) zu führen.
Themen
Verstehen AWS Organizations
Die Grundlage einer gut strukturierten AWS Umgebung mit mehreren Konten ist AWS Organizations, dass Sie mehrere Konten zentral verwalten und verwalten können. Eine Organisationseinheit (OU) ist eine logische Gruppierung von Konten in einer Organisation. OUs ermöglicht es Ihnen, Ihre Konten in einer Hierarchie zu organisieren, und hilft Ihnen bei der Anwendung von Verwaltungskontrollen. Die Richtlinien von Organizations definieren die Kontrollen, die Sie auf eine Gruppe von Personen anwenden können AWS-Konten. Eine Service Control Policy (SCP) ist beispielsweise eine Richtlinie, die die AWS-Service Aktionen, wie Amazon EC2 Run Instance, definiert, die Konten in Ihrer Organisation ausführen können.
Sie könnten Ihre AWS Reise mit einem einzigen Konto beginnen, AWS empfiehlt jedoch, mehrere Konten einzurichten, wenn Ihre Workloads an Größe und Komplexität zunehmen. Die Verwendung einer Umgebung mit mehreren Konten ist eine AWS bewährte Methode, die mehrere Vorteile bieten kann:
Schnelle Innovation mit unterschiedlichen Anforderungen: Sie können verschiedene Teams, Projekte oder Produkte innerhalb Ihres Unternehmens zuweisen AWS-Konten , um sicherzustellen, dass jeder von ihnen schnell innovativ sein kann und gleichzeitig seine eigenen Sicherheitsanforderungen berücksichtigt.
Vereinfachte Abrechnung: Durch die Verwendung mehrerer Rechnungen AWS-Konten können Sie die AWS Kostenzuweisung vereinfachen, da Sie leichter erkennen können, welches Produkt oder welche Dienstleistungslinie für eine Gebühr verantwortlich ist. AWS
Flexible Sicherheitskontrollen: Sie können mehrere verwenden AWS-Konten , um Workloads oder Anwendungen zu isolieren, die spezifische Sicherheitsanforderungen haben oder strenge Compliance-Richtlinien wie HIPAA oder PCI erfüllen müssen.
Passen Sie sich an Geschäftsprozesse an: Sie können mehrere AWS-Konten so organisieren, dass sie den unterschiedlichen Anforderungen der Geschäftsprozesse Ihres Unternehmens, die unterschiedliche betriebliche, regulatorische und budgetäre Anforderungen haben, am besten gerecht werden.
Empfohlene grundlegende Organisationseinheit () OUs
Ihre Organisationseinheit (OUs) sollte auf Funktionen oder gemeinsamen Kontrollmechanismen basieren, anstatt die Berichtsstruktur Ihres Unternehmens widerzuspiegeln. AWS empfiehlt, zunächst Sicherheit und Infrastruktur im Hinterkopf zu haben. Die meisten Unternehmen verfügen über zentralisierte Teams, die sich um die gesamte Organisation kümmern, um diese Anforderungen zu erfüllen. Wir empfehlen, eine Reihe von Grundlagen OUs für diese spezifischen Funktionen zu erstellen:
Sicherheit: Wird für Sicherheitsdienste verwendet. Erstellen Sie Konten für Protokollarchive, schreibgeschützten Sicherheitszugriff, Sicherheitstools und Break-Glass.
Infrastruktur: Wird für gemeinsam genutzte Infrastrukturdienste wie Netzwerk- und IT-Dienste verwendet. Erstellen Sie Konten für jeden Typ von Infrastrukturdienst, den Sie benötigen.
Angesichts der Tatsache, dass die meisten Unternehmen unterschiedliche Richtlinienanforderungen für Produktionsworkloads haben, können Infrastruktur und Sicherheit für den Einsatz außerhalb der Produktion (SDLC) und OUs für die Produktion (Prod) verschachtelt sein. Konten in der SDLC-Organisationseinheit hosten Workloads, die nicht zur Produktion gehören, und sollten keine Produktionsabhängigkeiten von anderen Konten haben. Wenn es zwischen den Lebenszyklusphasen Unterschiede in den OU-Richtlinien gibt, kann SDLC in mehrere Phasen aufgeteilt werden OUs (z. B. Entwicklungs- und Pre-Prod-Version). Konten in der Prod-Organisationseinheit hosten die Produktionsworkloads.
Wenden Sie Richtlinien auf OU-Ebene an, um die Prod- und SDLC-Umgebung Ihren Anforderungen entsprechend zu steuern. Im Allgemeinen ist die Anwendung von Richtlinien auf OU-Ebene besser als die Anwendung auf Ebene einzelner Konten, da sie die Richtlinienverwaltung und mögliche Problembehebungen vereinfacht.
Das folgende Diagramm zeigt die Grundlagen OUs (Prod und SDLC) für Sicherheit und Infrastruktur:
Empfohlene zusätzliche Organisationseinheit () OUs
Sobald die zentralen Dienste eingerichtet sind, empfehlen wir, diese einzurichten, OUs die in direktem Zusammenhang mit der Entwicklung oder dem Betrieb Ihrer Produkte oder Dienstleistungen stehen. Viele AWS Kunden bauen OUs nach der Gründung eines Fundaments Folgendes auf:
Sandbox: AWS-Konten Speichert, mit AWS-Services denen einzelne Entwickler experimentieren können. Stellen Sie sicher, dass diese Konten von internen Netzwerken getrennt werden können.
Workloads: Enthält AWS-Konten , die Ihre externen Anwendungsdienste hosten. Sie sollten eine Struktur OUs in SDLC- und Prod-Umgebungen (ähnlich wie bei den grundlegenden Umgebungen OUs) einrichten, um Produktionsworkloads zu isolieren und streng zu kontrollieren.
Wir empfehlen außerdem, je nach Ihren spezifischen OUs Anforderungen zusätzliche Geräte für die Wartung und kontinuierliche Erweiterung hinzuzufügen. Im Folgenden finden Sie einige allgemeine Themen, die auf den Praktiken von AWS Bestandskunden basieren:
Staging von Richtlinien: Enthält AWS Konten, auf denen Sie vorgeschlagene Richtlinienänderungen testen können, bevor Sie sie allgemein in der Organisation anwenden. Implementieren Sie zunächst Änderungen auf Kontoebene in der geplanten Organisationseinheit und setzen Sie sie dann langsam auf andere Konten und den Rest der Organisation um. OUs
Gesperrt: AWS-Konten Inhalte, die geschlossen wurden und darauf warten, aus der Organisation gelöscht zu werden. Hängen Sie dieser Organisationseinheit einen SCP an, der alle Aktionen ablehnt. Stellen Sie sicher, dass die Konten zur Rückverfolgbarkeit mit Details versehen sind, falls sie wiederhergestellt werden müssen.
Einzelne Geschäftsbenutzer: Eine Organisationseinheit mit beschränktem Zugriff, die AWS-Konten für Geschäftsanwender (nicht für Entwickler) vorgesehen ist, die möglicherweise Anwendungen zur Steigerung der Geschäftsproduktivität erstellen müssen, z. B. einen S3-Bucket einrichten müssen, um Berichte oder Dateien mit einem Partner zu teilen.
Ausnahmen: Holds, die für geschäftliche Anwendungsfälle AWS-Konten verwendet werden, für die sehr individuelle Sicherheits- oder Prüfanforderungen gelten, die sich von denen unterscheiden, die in der Workloads-Organisationseinheit definiert sind. Zum Beispiel die Einrichtung einer neuen Anwendung oder Funktion, AWS-Konto die speziell für vertrauliche Zwecke bestimmt ist. Verwenden Sie es SCPs auf Kontoebene, um individuelle Anforderungen zu erfüllen. Erwägen Sie die Einrichtung eines Detect and React-Systems mithilfe von Amazon EventBridge und AWS Config Regeln.
Bereitstellungen: Enthält AWS-Konten für die kontinuierliche Integration und delivery/deployment (CI/CD deployments). You can create this OU if you have a different governance and operational model for CI/CD deployments as compared to accounts in the Workloads OUs (Prod and SDLC). Distribution of CI/CD helps reduce the organizational dependency on a shared CI/CD environment operated by a central team. For each set of SDLC/Prod AWS-Konten für eine Anwendung in der Organisationseinheit Workloads. Erstellen Sie unter Deployments OU ein Konto für CI/CD.
Übergangszeit: Dieser Bereich dient als temporärer Speicherbereich für bestehende Konten und Workloads, bevor diese in Standardbereiche Ihres Unternehmens verschoben werden. Dies kann daran liegen, dass Konten Teil einer Akquisition sind, die zuvor von einem Drittanbieter verwaltet wurde, oder ältere Konten aus einer alten Organisationsstruktur.
Das folgende Diagramm zeigt zusätzliche Informationen OUs für Sandbox-Konten, Workloads, Policy-Staging, gesperrte Konten, einzelne Geschäftsbenutzer, Ausnahmen, Bereitstellungen und Übergangskonten:
Schlussfolgerung
Eine gut durchdachte Strategie für mehrere Konten kann Ihnen helfen, innovativ zu sein und gleichzeitig sicherzustellen AWS, dass Sie Ihre Sicherheits- und Skalierbarkeitsanforderungen erfüllen. Das in diesem Thema beschriebene Framework stellt AWS bewährte Methoden dar, die Sie als Ausgangspunkt für Ihre Reise verwenden sollten. AWS
Das folgende Diagramm zeigt die empfohlenen Grundlagen OUs und zusätzliche Informationen OUs:
