26、AWS 多账户架构：安全与效率的完美融合

AWS 多账户架构：安全与效率的完美融合

1. 限制账户实例类型

在组织管理中，有时需要将资源控制权下放给子账户，但又要避免创建昂贵资源。例如，只允许团队成员创建 t2.micro 类型的 EC2 实例。这可以通过 IAM 策略实现，示例策略如下：

{
    "Sid": "RequireMicroInstanceType",
    "Effect": "Deny",
    "Action": "ec2:RunInstances",
    "Resource": "arn:aws:ec2:*:*:instance/*",
    "Condition": {
        "StringNotEquals": {
            "ec2:InstanceType": "t2.micro"
        }
    }
}

此策略可确保子账户无法创建非 t2.micro 类型的 EC2 实例。

2. 专用账户的应用

对于微服务架构，创建专用账户是利用 AWS 组织的好方法。专用账户是为组织中特定任务分配的账户，这些任务通常是跨领域的，如日志记录、监控、数据存档、加密和数据令牌化等。

专用账户能将关键的跨领域功能分离到单独的账户中，便于应用最小权限原则，限制访问用户数量，同时不影响其他应用的运行。例如，为不同领域的客户主密钥（CMKs）设置单独的账户。

以下是一个简单的表格展示专用账户的优势：
| 优势 | 说明 |
| ---- | ---- |
| 功能分离 | 将跨领域