链接复制成功!
组织和账号设计
Landing Zone解决方案的目标是在云上构建安全合规、易扩展的多账号运行环境,首先要规划组织和账号架构。按照康威定律,企业在华为云上的账号结构要与企业的组织和业务架构总体保持一致,但也不用完全照搬复制。不需要把企业内部的完整组织结构映射到华为云上,只把那些负责建设和运维业务系统或IT管理系统的组织单元(如子公司、分公司、部门)和使用IT资源的用户映射到华为云上。
例如HR部门不管理、不查看、不操作任何云上IT资源,就不需要在华为云上创建一个对应HR部门的组织单元;财务小张不负责IT系统的成本核算、分析和预算管理,就无需为小张在华为云上创建一个拥有财务管理权限的用户。
华为云提供以下组织单元和账号的参考架构,建议按照业务架构、地理架构、IT职能等维度设计华为云上的组织单元的层级结构和账号群。

业务账号规划
按照业务架构在华为云上创建不同层级的组织单元OU,每个业务OU下面可以挂载多个业务账号,每个业务账号上可以承载一至多个业务系统。
原则上,业务账号的规划需要跟组织定义的业务单元(业务单元之间要求强隔离)保持一致,业务单元可以是子公司、事业部、产品线、部门、项目组或业务系统等。业务单元的粒度越细,组织对精益治理的诉求越强。根据华为云为大量企业和政府客户设计和实施Landing Zone方案的经验,总结了如下三种规划业务账号的模式。

- 模式1是按照业务系统规划业务账号,相当于将业务单元细化到业务系统这个粒度,通过不同的子账号严格隔离不同的业务系统。同时按照生产环境和非生产环境规划不同的子账号,通过独立的子账号严格隔离生产环境和非生产环境,这种模式适合金融、运营商、汽车等管控严格的企业。
- 模式2是按照子公司规划业务账号,相当于将业务单元定义到子公司,也就是只需要在子公司层面进行严格的隔离。不同子公司的业务系统集中部署在子公司对应的子账号里面。在账号内部可以基于VPC为各个业务系统规划生产环境和非生产环境。这种模式适合很多民营企业集团,这些企业集团往往拥有数十上百个子公司,从公司治理角度要求子公司之间进行严格的业务隔离,但当前还不需要细化到在业务系统之间进行隔离。
- 模式3是按照产品规划业务账号,相当于将业务单元细化到产品粒度,这里面提到的产品是指企业面向它的外部客户提供服务的软件系统,如直播系统、网络游戏、SaaS软件等。不同的产品部署在不同的子账号中,产品之间保持严格隔离,在账号内部可以基于VPC为各个产品规划生产环境和非生产环境。这种模式特别适合互联网企业和SaaS软件企业。
IT管理账号规划
针对企业的中心IT部门,在华为云上创建对应的组织单元,并在其下面创建安全和基础设施两个下级组织单元,分别容纳安全管理的子账号群和基础设施管理的子账号群。这些IT管理账号可以对企业范围内所有子账号进行统一的IT管理。
原则上,IT管理能账号的规划需要跟组织当前的IT组织规模和职责划分保持一致,避免打破当前利益平衡。根据华为云为大量企业和政府客户设计和实施Landing Zone方案的经验,总结了如下三种规划IT管理账号的模式。

- 模式1是全量规划,针对大型IT组织,这些IT组织通常有数十上百个IT管理人员,内部已经按照安全运营、日志审计、网络运营、运维监控、公共服务、数据平台、DevOps等职责划分了独立的IT职能小组。为了保障IT部门内部的职责隔离,将这些IT职能小组分别映射到独立的账号,这些账号行使独立的IT职责,所以称为IT管理账号或IT职能账号,如下表所示。
表1 IT管理账号 账号名称
账号履行的IT职能
责任团队
建议开通的云服务
主账号或管理账号
针对整个企业进行统一组织和账号管理、统一财务管理、统一控制策略管理和统一身份权限管理
CIO或IT主管
组织Organizations、资源治理中心RGC、成本中心、IAM身份中心
网络运营账号
集中部署和管理企业的网络资源,包括网络边界安全防护资源,实现多账号环境下的统一网络资源管理和多账号下VPC网络的互通,尤其需要集中管理面向互联网的出入口和面向线下IDC机房的网络出入口
网络管理团队
ER、DNS、NATG、EIP、VPC、DC、CC、VPN、CFW、WAF、AAD等
公共服务账号
集中部署和管理企业的公共资源、服务和应用系统,并共享给其他所有成员账号使用
公共服务管理团队
镜像服务IMS、容器镜像服务SWR、弹性文件服务SFS、对象存储服务OBS、自建NTP服务器、自建AD服务器等公共资源
安全运营账号
作为企业安全运营中心,统一管控整个企业内所有账号的安全策略、安全规则和安全资源,为成员账号设置安全配置基线,对整个企业的信息安全负责
安全管理团队
统一部署具备跨账号安全管控的服务,如安全云脑SecMaster、企业主机安全HSS、数据安全中心DSC、数据加密服务DEW、云证书服务CCM、漏洞管理服务CodeArts Inspector
运维监控账号
统一监控和运维各个成员账号下的资源和应用,统一进行告警管理、事件处理和变更管理,并提供运维安全保障措施
运维团队
应用运维管理AOM、COC、云日志服务LTS、应用性能管理APM、云堡垒机CBH等
日志账号
集中存储和查看所有账号的审计日志和安全相关的日志(如VPC流日志和OBS访问日志等)
合规审计团队
云审计服务CTS、云日志服务LTS、、配置审计服务Config、对象存储服务OBS等
数据平台账号
集中部署企业的大数据平台,将其他账号的业务数据统一采集到数据平台进行存储、处理和分析
数据处理团队
数据湖、大数据分析平台、数据接入服务、数据治理平台
沙箱账号
用于进行各种云服务的功能测试、控制策略的测试等
测试团队
按需部署各种需要测试验证的资源和服务
除了上述子账号之外,中心IT部门可以根据自己的职责和权限隔离需求创建更多的子账号。比如独立的应用集成账号等。
- 模式2是标准规划,针对中型IT组织,这些IT组织通常只有十几到二十几个IT管理人员,所以也不可能像大型IT组织那样将IT职责划分的那么细,但通常会划分独立的安全运营、网络运营、运维监控等IT职能小组。我们建议只需要创建独立的安全运营、网络运营、公共服务和运维管理等IT管理账号。跟模式1的全量规划相比,模式2的安全运营账号相当于合并了模式1中安全运营账号和日志账号的职能。模式2的公共服务和管理账号合并了模式1中运维监控账号、公共服务账号、数据平台账号和DevOps账号的职能。
- 模式3是最小规划,针对的小型IT组织,通常只有少数几个IT管理人员,这种情况下仅需创建一个公共服务和管理账号,将模式1的安全运营账号、日志账号、网络运营账号、运维监控账号、公共服务账号、数据平台账号和DevOps账号的职能全部合并。
地理区域账号规划
地理区域账号的规划比较简单,可以按照地理架构在华为云上划分不同层级的组织单元OU,每个OU下面可以按照国家或地区创建对应的子账号,在上面可部署本地的客户关系管理系统、客户服务系统和经营管理系统等。上述参考架构把中国区等区域组织映射为华为云的OU,为其下属的北京、上海等分公司创建独立的子账号以承载本地化的应用系统。
主账号规划
需要注意的是在组织的根下面会关联一个主账号(也叫管理账号),主账号下不建议部署任何云资源,主要是做好以下管理工作:
- 统一组织和账号管理:创建和管理组织结构和组织单元,为组织单元创建子账号,或者邀请已有账号作为组织单元的子账号。
- 统一财务管理:针对整个企业的所有账号进行统一财务管理,包括统一预算管理、统一成本分析、统一账单管理、统一资金管理、统一申请代金券、统一成本结算和统一开票等。
- 统一策略管理:为各个组织单元和子账号设置(包括服务控制策略和标签策略),强制限定子账号下用户(包括账号管理员)的权限上限,避免用户权限过大带来安全风险,创建控制策略时可以将其应用到某一个组织单元,该策略可以继承到关联的子账号和下层组织单元。
- 统一身份管理:基于IAM身份中心,统一创建用户和用户群,或者统一配置与外部IdP(Identity Provider)的身份联邦,然后根据最小授权原则,为这些用户统一配置能够访问多个账号内云资源的权限。
在每个子账号下面还可以通过企业项目(Enterprise Project, EP)或者标签对资源进行细粒度的逻辑分组,比如将一个应用系统的子系统映射为华为云上的一个企业项目或标签,用户还可以按照企业项目或标签进行成本分摊和细粒度授权。