# 场景二：中型企业------华为云上统一运维平台
#### 适用场景
- 企业拥有10-30个华为云账号，涵盖生产、测试、开发等环境。
- 有基本的运维团队（3-10人），运维人员需要管理多账号的资源。
- 暂无大规模自建运维平台，期望利用云运维服务快速构建运维能力。
- 有基本的安全合规需求（日志集中存储、操作审计等）。
 
#### 参考架构
1. **多账号运维架构图**
   图1多账号运维架构图   
   ![](https://support.huaweicloud.com/cloud-foundation-om-ctf/zh-cn_image_0000002686524205.png)
   **核心账号配置**：
   - **管理账号**：通过Organizations、RGC统一管理组织结构和账号。
   
   - **运维监控账号**：集中部署AOM、CES、LTS、CBH等运维服务。
   
   - **日志账号** ：集中存储审计日志，通过CTS组织追踪器实现日志汇聚。
     详细账号设计请参考《Landing Zone 企业组织与多账号架构最佳实践与参考架构》
     
    
2. 设计原则
   - **精简高效**：IT管理账号合并运维、日志、安全职能到2-3个账号，降低管理成本。
   
   - **运维云服务优先**：最大化利用华为云原生运维服务（AOM、LTS、CES、CBH），减少自建系统投入。
   
   - **集中监控**：运维监控账号作为统一运维入口，运维团队只需登录一个账号即可全局管理。
   
   - **快速落地**：借助RGC快速搭建Landing Zone基础环境，自动创建日志账号和审计账号。
    
3. 参考架构说明
   - 可观测
     1. **日志**：各业务账号的CTS审计日志通过组织追踪器自动汇聚到日志账号的LTS和OBS。应用日志由业务账号LTS采集，运维监控账号通过LTS多账号日志汇聚功能拉取关键应用日志至一个日志组，便于跨账号检索和分析。详细内容可以参考《华为云Landing Zone日志汇聚与归档最佳实践》。
     
     2. **监控**：AOM作为统一监控入口，自动发现并采集各账号的CES指标和应用性能数据。创建集中的监控仪表盘，按业务系统展示健康状态。CES告警模板统一定义并应用到所有业务账号；所有告警通过SMN发送到邮件、短信或群聊机器人。
      
   
   - 运维自动化
     1. 在运维监控账号纳管所有业务账号下的计算实例。
     
     2. 通过脚本管理，上传通用的运维脚本（如采集日志、重启服务、磁盘清理等），批量对目标实例执行，提升效率。
     
     3. 利用定时作业功能，实现开发/测试环境的非工作时间自动关机、生产环境关键服务定时健康检查等基本自动化。
     
     4. 变更管理可依据团队实际流程，定义简单的审批工作流，确保生产变更受控。
      
   
   - 运维安全通道
     1. 在运维监控账号部署CBH，通过企业路由器ER或VPC对等连接打通与各业务账号的网络。
     
     2. 运维人员必须通过CBH登录生产环境云主机，所有操作被记录和审计。
     
     3. 配置基于角色的访问控制，不同运维人员仅可见和操作授权的资源。
     
     4. 开启命令审计和关键命令告警，强化操作安全。