场景二：中型企业——华为云上统一运维平台

适用场景

企业拥有10-30个华为云账号，涵盖生产、测试、开发等环境。
有基本的运维团队（3-10人），运维人员需要管理多账号的资源。
暂无大规模自建运维平台，期望利用云运维服务快速构建运维能力。
有基本的安全合规需求（日志集中存储、操作审计等）。

参考架构

多账号运维架构图
图1 多账号运维架构图

核心账号配置：
- 管理账号：通过Organizations、RGC统一管理组织结构和账号。
- 运维监控账号：集中部署AOM、CES、LTS、CBH等运维服务。
- 日志账号：集中存储审计日志，通过CTS组织追踪器实现日志汇聚。
  详细账号设计请参考《Landing Zone 企业组织与多账号架构最佳实践与参考架构》
设计原则
- 精简高效：IT管理账号合并运维、日志、安全职能到2-3个账号，降低管理成本。
- 运维云服务优先：最大化利用华为云原生运维服务（AOM、LTS、CES、CBH），减少自建系统投入。
- 集中监控：运维监控账号作为统一运维入口，运维团队只需登录一个账号即可全局管理。
- 快速落地：借助RGC快速搭建Landing Zone基础环境，自动创建日志账号和审计账号。
参考架构说明
- 可观测
  1. 日志：各业务账号的CTS审计日志通过组织追踪器自动汇聚到日志账号的LTS和OBS。应用日志由业务账号LTS采集，运维监控账号通过LTS多账号日志汇聚功能拉取关键应用日志至一个日志组，便于跨账号检索和分析。详细内容可以参考《华为云Landing Zone日志汇聚与归档最佳实践》。
  2. 监控：AOM作为统一监控入口，自动发现并采集各账号的CES指标和应用性能数据。创建集中的监控仪表盘，按业务系统展示健康状态。CES告警模板统一定义并应用到所有业务账号；所有告警通过SMN发送到邮件、短信或群聊机器人。
- 运维自动化
  1. 在运维监控账号纳管所有业务账号下的计算实例。
  2. 通过脚本管理，上传通用的运维脚本（如采集日志、重启服务、磁盘清理等），批量对目标实例执行，提升效率。
  3. 利用定时作业功能，实现开发/测试环境的非工作时间自动关机、生产环境关键服务定时健康检查等基本自动化。
  4. 变更管理可依据团队实际流程，定义简单的审批工作流，确保生产变更受控。
- 运维安全通道
  1. 在运维监控账号部署CBH，通过企业路由器ER或VPC对等连接打通与各业务账号的网络。
  2. 运维人员必须通过CBH登录生产环境云主机，所有操作被记录和审计。
  3. 配置基于角色的访问控制，不同运维人员仅可见和操作授权的资源。
  4. 开启命令审计和关键命令告警，强化操作安全。