16、多云着陆区创建与策略管理

多云着陆区创建与策略管理

1. 创建不同云平台的着陆区

1.1 创建 AWS 着陆区

AWS 提供基于 Node.js 运行时的 AWS Landing Zone 完整解决方案。为节省启动时间，它会设置好基本配置，并部署 AWS 账户自动售货机（AVM），通过单点登录来配置新账户。

AWS Landing Zone 包含四个遵循 AWS 云采用框架（CAF）的账户：
- 组织账户 ：用于控制着陆区的成员账户和配置，S3 存储桶中有清单文件，该文件设置区域和组织策略参数，还涉及 AWS CloudFormation 服务。
- 共享服务账户 ：默认通过单点登录（SSO）管理相关账户，SSO 集成和 AWS 托管的 AD 托管在此账户，AVM 在此发挥重要作用。
- 日志存档账户 ：使用 CloudTrail 和配置日志，CloudTrail 监控并记录 AWS 环境中的账户活动。
- 安全账户 ：包含密钥库和 AWS 提供的两个安全服务 GuardDuty 和 Amazon SNS，着陆区实施初始安全基线。

AVM 用 Node.js 模板设置组织单元，启动着陆区的基本账户，其中包括允许联合访问 AWS 账户的 AWS SSO 目录。

1.2 创建 GCP 着陆区

GCP 与 Azure 和 AWS 有很大不同，更侧重于容器。在 GCP 着陆区，需创建虚拟专用云（VPC）网络并设置 Kubernetes 网络策略，定义隔离和非隔离 Pod 的