多账户架构
Organizations、OU 设计、账户自动开通、护栏，共享服务、工作负载与开发/测试环境之间清晰分离。
- AWS Organizations
- Control Tower
- SCPs
云计算 · 落地区
一切赖以运行的基础。
坚实可靠的基础：从第一天起就达到生产就绪。
落地区是每个工作负载都将继承的账户结构、网络拓扑、身份体系、安全基线和治理能力。在起步时就做对，能为以后省去数年的改造返工。
Phoenix 在 AWS（Control Tower + Organizations）上交付落地区，并在 Azure 和华为云上交付同等架构，映射到客户的运营模型，而不是套用通用模板。
服务范围。
网络拓扑
Transit Gateway 或中心辐射型 VPC 设计、混合连接、DNS 策略：随系统规模扩展的路由。
- Transit Gateway
- VPC design
- Direct Connect
身份与访问
IAM Identity Center（SSO）、与现有 IdP 的联邦、最小权限角色设计、应急访问（break-glass）流程。
- IAM Identity Center
- SSO
- MFA
安全基线
GuardDuty、Security Hub、Config、默认加密、KMS 策略、密钥管理。合规映射到客户的监管体系。
- Security Hub
- GuardDuty
- KMS
- Secrets Manager
治理与护栏
预防性和检测性控制、标签策略、预算与告警从第一天起就内置，而非事后补装。
- Tag policies
- Budgets
- Config Rules
日志与可观测性
集中式 CloudTrail、VPC 流日志、应用日志、仪表盘，以及每个下游工作负载都会使用的告警主干。
- CloudTrail
- CloudWatch
- OpenSearch
交付方法。
-
01
调研
现状评估：现有账户、网络、安全态势、合规义务、运营模型。
-
02
设计
目标落地区架构、决策日志、从现状（如有）的迁移路径。代码运行前先签批。
-
03
部署
基础设施即代码（Terraform / CDK）构建、流水线搭建、护栏与安全服务启用，首个试点工作负载落地。
-
04
移交
运行手册、IaC 仓库、管理员培训，以及客户云团队清晰的运营模型。
明确的交付物。
每个项目都交付具体的成果物，而非一堆幻灯片。
- 经签批的目标架构与决策日志
- 以基础设施即代码部署的落地区：可复现、可版本化、可评审
- 安全基线上线（GuardDuty、Security Hub、Config、默认加密）
- 与客户 IdP 的身份联邦
- 一个工作负载作为试点完成迁移，验证基础
- 运行手册与运营文档
常见问题
你们使用 AWS Control Tower 还是 Landing Zone Accelerator？
两者都用，取决于规模和企业政策。Control Tower 是中小型系统的快速路径；当涉及受监管工作负载、定制护栏或复杂组织结构时，选择 Landing Zone Accelerator。决策在评估阶段做出，而非默认。
你们能为现有 AWS 账户补建治理吗？
可以，这是常见的起点。Phoenix 针对现有账户运行落地区整改计划：基线审计、护栏部署、组织架构调整和 IAM/SSO 切换，按避免影响在运工作负载的节奏执行。
你们如何决定多账户组织结构？
锚定您的运营模型：业务单元、环境（生产/非生产）、工作负载敏感度和爆炸半径考量。参考 AWS Well-Architected 多账户指南，具体形态因客户而异。
基线安全态势包含什么？
默认在每个账户启用 GuardDuty、Security Hub 和 Config；IAM Identity Center 提供 SSO；SCP 强制执行边界策略；CloudTrail 集中化；VPC 基线与网络分段；加密密钥集中管理。超出部分按范围另行界定。
达到生产就绪的落地区需要多久？
通常 6 到 10 周：调研、基线设计、部署、工作负载试点和切换。绿地无现有账户时更快；如需对 legacy 账户进行大规模整改则更久。
