26、AWS 多账户架构管理与安全实践

AWS 多账户架构管理与安全实践

在云计算环境中，有效管理资源和保障安全是企业面临的重要挑战。本文将深入探讨 AWS 多账户架构下的资源管理、安全措施以及相关工具的使用，帮助企业提升运营效率和安全性。

限制账户实例类型

在企业环境中，为了控制成本，可能希望限制子账户创建昂贵资源。例如，只允许团队成员创建 t2.micro 类型的 EC2 实例。可以通过 IAM 策略实现这一目标，示例代码如下：

{
    "Sid": "RequireMicroInstanceType",
    "Effect": "Deny",
    "Action": "ec2:RunInstances",
    "Resource": "arn:aws:ec2:*:*:instance/*",
    "Condition": {
        "StringNotEquals": {
            "ec2:InstanceType": "t2.micro"
        }
    }
}

该策略会拒绝创建非 t2.micro 类型的 EC2 实例，确保子账户只能使用指定类型的实例。

专用账户的使用

对于微服务架构，创建专用账户是利用 AWS Organizations 的有效方式。专用账户是为特定任务分配的账户，通常处理跨多个领域的任务，如日志记录、监控、数据存档、加密和数据令牌化等。

专用账户的优势在于：
- 可以将关键的跨领域功能分离到单独的账户中，便于应用最小权限原则。
- 简化了对敏感功能的权限授予过程，避免将这些活动与其他领域逻辑捆绑在一起。

例如，某些组织可能会为 IAM、客户主密钥（CMKs）和日志维护设置专用账户。不同账户的用户可以通过信任边界假设角色来访问这些账户中的资源。

AWS 组织的最佳实践

确保单个账户的安全与确保整个组织的安全有所不同。在组织层面，需要考虑员工的流动情况，因此保障“管理账户”的安全至关重要。以下是一些保障管理账户安全的建议：
- 强身份保护 ：将管理账户视为高风险目标，攻击者可能会利用密码重置程序获取特权用户的密码。因此，恢复或重置根用户凭证的过程应具备制衡机制，防止单个用户危及管理账户的根访问权限。
- 启用多因素认证（MFA） ：为管理账户中的每个身份启用 MFA 至关重要。如果攻击者获得了管理账户的身份，可能会对整个组织造成更大的损害。
- 遵循最小权限原则（PoLP） ：仔细审查和授权每一次访问，并对该账户上的每个活动进行监控和记录，以便进行合规性审查。

AWS 资源访问管理器（RAM）

在拥有多个独立账户的情况下，需要一种方法使这些账户中的资源能够相互协作。AWS 资源访问管理器（RAM）提供了这样的解决方案。

AWS RAM 允许账户与其他外部账户共享特定资源，共享方式包括：
- 与任何特定的 AWS 账户共享
- 在组织单元（OU）内共享
- 在整个 AWS 组织内共享

共享后，外部账户可以像使用自己账户中的资源一样本地访问这些共享资源。需要注意的是，使用 AWS RAM 共享资源与允许跨账户访问有所不同，尽管共享账户仍然拥有、控制和维护共享资源，但外部账户可以将其视为自身账户的一部分进行访问。

例如，在微服务架构中，AWS VPC 是一种常见的受益于 AWS RAM 的资源。可以创建一个共享服务账户，其中包含一个 VPC，并将其作为共享资源提供给整个 AWS 组织。其他账户可以像使用自己的 VPC 一样应用路由规则，将日志数据和指标发送到这个共享 VPC。

以下是一个使用 AWS RAM 共享资源的流程：

graph LR
    A[创建共享资源] --> B[选择共享对象]
    B --> C{共享对象类型}
    C -->|特定 AWS 账户| D[指定账户 ID]
    C -->|OU 内| E[选择 OU]
    C -->|整个组织| F[选择组织]
    D --> G[完成共享设置]
    E --> G
    F --> G
    G --> H[外部账户访问资源]

AWS 单点登录（SSO）

AWS 单点登录（SSO）为企业提供了一种简化身份验证和权限管理的方式。它可以作为身份提供者为其他云服务提供 SSO 登录或访问，也可以作为第三方身份服务的消费者，实现身份联合。

AWS SSO 的优势包括：
- 简化用户登录流程，使用户可以在一个地方登录多个账户和应用程序。
- 集中管理用户权限，无需在每个账户中重复配置身份和访问相关活动。
- 简化用户终止流程，保障云资源免受离职员工的威胁。

可以在 AWS 管理控制台中启用 AWS SSO，通过添加身份源和管理 SSO 访问来配置账户。

账户中强制实施多因素认证

为了保障身份安全，企业应强调多因素认证（MFA）的重要性。作为管理员，可以在 IAM 策略中添加条件 "aws:MultiFactorAuthPresent": "true" 来确保只有通过 MFA 验证的用户才能访问特定资源。示例代码如下：

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"AWS": "ACCOUNT-B-ID"},
        "Action": "sts:AssumeRole",
        "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
    }
}

在多账户设置中使用 MFA 时，需要确保在用户首次认证的受信任账户中启用 MFA，并确保该账户的所有者遵循安全最佳实践。

使用 RBAC、SSO 和 AWS 组织简化复杂的领域驱动组织

通过结合使用 AWS 组织、基于角色的访问控制（RBAC）和 AWS SSO，可以简化复杂的领域驱动组织的身份管理和云架构。以下是具体步骤：
1. 使用 AWS 组织设置多账户结构 ：将应用程序拆分为与功能域对齐的有界上下文，并为每个有界上下文创建一个 AWS 账户。
2. 创建专用账户 ：为共享和跨领域服务（如日志存储、监控和身份管理）创建专用账户。
3. 使用 RBAC 定义角色和权限 ：在每个账户中使用角色来定义员工和服务的权限和特权，并应用最小权限原则。
4. 使用 AWS SSO 简化身份验证 ：将身份联合到第三方身份提供者（如 Microsoft Active Directory、Okta 等），以便 IT 服务管理员可以控制用户的访问和生命周期。
5. 使用服务控制策略（SCPs）控制账户权限 ：通过 SCPs 控制每个 AWS 账户的权限，确保其只能执行必要的任务。

这种设置的优点在于：
- 每个团队可以自主控制自己的有界上下文和 AWS 账户，提高了团队的自主性和灵活性。
- 简化了新团队的扩展过程，只需将管理、身份管理和安全责任委派给负责的团队。
- 提高了身份管理的效率，通过集中管理身份和权限，简化了员工的入职和离职流程。

通过合理运用这些工具和策略，企业可以在保障安全的前提下，提高运营效率，实现云环境下的高效管理。

AWS 多账户架构管理与安全实践

各工具和策略优势对比

为了更清晰地展示前文提到的各种工具和策略在不同方面的优势，我们可以通过以下表格进行对比：
|工具/策略|成本控制|安全保障|资源共享|身份管理|操作便捷性|
| ---- | ---- | ---- | ---- | ---- | ---- |
|限制账户实例类型|高，有效控制昂贵资源创建|中，一定程度规范资源使用|无|无|中，通过 IAM 策略配置|
|专用账户的使用|中，合理分配资源用于特定任务|高，分离关键功能便于应用最小权限原则|无|中，集中管理特定功能相关身份|中，需合理规划账户用途|
|AWS 资源访问管理器（RAM）|无|中，共享资源可控|高，支持多种共享方式|无|高，操作流程相对简单|
|AWS 单点登录（SSO）|无|高，集中管理权限且简化用户终止流程|无|高，简化身份验证和权限管理|高，在控制台即可配置|
|账户中强制实施多因素认证|无|高，增强身份验证安全性|无|高，确保通过 MFA 用户才能访问资源|中，需在 IAM 策略添加条件|
|使用 RBAC、SSO 和 AWS 组织|无|高，多方面保障安全|无|高，简化复杂组织身份管理|中，需多步骤配置|

案例分析：电商网站的 AWS 架构实践

假设我们有一个电商网站，提供多种服务给终端用户。按照前文的方法，我们可以这样构建其 AWS 架构：
1. 多账户结构搭建
- 为每个有界上下文（如商品管理、订单管理、用户管理等）创建一个 AWS 账户。例如，商品管理团队可以在自己的账户中自主管理商品相关的资源和权限。
- 创建专用账户，如日志管理账户用于存储所有日志文件，身份管理账户用于集中管理所有用户身份。
2. 权限和身份管理
- 在每个账户中使用 RBAC 定义角色和权限。以商品管理账户为例，创建“商品编辑员”角色，该角色仅具有编辑商品信息的权限。
- 员工先在身份管理账户进行身份验证，然后通过 AWS Security Token Service（STS）在其他账户中假设相应角色。
- 使用 AWS SSO 将身份联合到第三方身份提供者（如 Microsoft Active Directory），方便 IT 管理员控制用户的访问和生命周期。
3. 资源共享与安全保障
- 对于一些共享资源，如 VPC，可以使用 AWS RAM 进行共享。例如，创建一个共享的 VPC 账户，其他账户可以将日志数据发送到该 VPC 中的日志服务。
- 在管理账户和各个子账户中强制实施 MFA，确保只有通过 MFA 验证的用户才能访问资源。

以下是该电商网站 AWS 架构的简单 mermaid 流程图：

graph LR
    A[身份管理账户] --> B[员工身份验证]
    B --> C{选择账户}
    C -->|商品管理账户| D[假设商品编辑员角色]
    C -->|订单管理账户| E[假设订单处理员角色]
    C -->|日志管理账户| F[假设日志查看员角色]
    G[共享 VPC 账户] --> H[接收各账户日志数据]
    D --> I[编辑商品信息]
    E --> J[处理订单]
    F --> K[查看日志]
    L[MFA 验证] --> B

总结与展望

通过上述对 AWS 多账户架构管理与安全实践的介绍，我们可以看到，利用各种工具和策略可以在保障安全的前提下，提高企业在云环境中的运营效率和管理灵活性。无论是限制账户实例类型、使用专用账户，还是借助 AWS RAM、SSO 等工具，都为企业提供了有效的解决方案。

在未来的云建设中，企业可以根据自身的业务需求和发展阶段，灵活运用这些工具和策略。例如，随着业务的扩展，可以创建更多的有界上下文和专用账户；对于新的安全威胁，可以不断优化安全策略和身份验证机制。同时，持续关注 AWS 推出的新功能和工具，进一步提升云架构的性能和安全性。总之，合理规划和运用 AWS 多账户架构，将有助于企业在云计算时代取得更大的成功。