在 AWS Organizations 中选择单组织或多组织
TL;DR · AI 摘要
单组织或多组织策略各有优劣，但长期来看，单一组织更利于成本优化和集中管理。
核心要点
- 单一组织适合大多数企业，支持集中治理和资源共享。
- 多组织适用于独立业务单元或受监管行业，隔离风险。
- 合并账单和资源共享是单一组织的主要优势。
结构提纲
按章节快速跳转。
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- AWS 组织策略
- 单一组织
- 集中治理
- 资源共享
- 成本优化
- 多组织
- 独立业务单元
- 受监管行业
- 隔离风险
金句 / Highlights
值得收藏与分享的关键句。
单一组织适合大多数企业，支持集中治理和资源共享。
多组织提供更强的隔离能力，适用于独立业务单元或受监管行业。
合并账单和资源共享是单一组织的主要优势。
[AWS 架构博客](https://aws.amazon.com/blogs/architecture/)
企业面临的关键架构决策可能会影响其未来多年的操作。最近，我有机会与一位云迁移顾问合作，探讨许多企业在其云采用过程中面临的挑战性问题：是维持单一组织还是实施多个组织更好？同样的问题也在 re:Post 上被提出。
这个问题不仅仅是学术上的讨论——它触及了企业在云环境中如何平衡治理、安全性、成本效率和操作灵活性的核心。随着许多合作伙伴和客户通过收购、重组或有机扩展而增长，理解 AWS Organizations 的影响变得越来越重要。
这次讨论产生了对决策者在评估其云组织战略时应考虑的关键标准的全面分析。虽然短期内维护单独的组织可能会提供更强的隔离和定制化的治理，但长期来看，整合的好处——包括批量折扣、简化资源共享以及减少运营开销——通常会使最终迁移到单一组织的理由更具说服力。
在这篇文章中，我解释了两种方法的主要优缺点以及每种模型最适合的场景。
AWS Organizations：多账户策略的基础
AWS Organizations 提供了一种集中管理多个 AWS 账户的方式。使用 AWS Organizations，您可以：
- 在账户间合并账单。
- 使用服务控制策略（SCPs）集中应用策略。
- 在账户之间共享资源，例如虚拟私有云（VPCs）和目录服务。
- 通过组织单元（OUs）强制执行一致的治理。
工作原理
大多数 AWS 客户采用单一组织并在其中创建多个账户。然而，一些企业——尤其是那些业务部门高度独立、有严格的监管要求或正在经历并购的企业——会探索创建多个组织的选择。
使用 AWS Organizations，您可以通过以下步骤管理您的账户：
- 添加账户。 创建新账户或将现有账户邀请到您的组织中。
- 分组账户。 按用例或工作流将账户分组到组织单元（OUs）中。
- 应用策略。 将策略应用于账户或 OUs，例如服务控制策略（SCPs），以创建权限边界。
- 启用 AWS 服务。 启用与 AWS Organizations 集成的 AWS 服务。
何时使用单一组织
对于大多数客户来说，单一组织提供了控制、成本效率和治理之间的正确平衡。当以下情况适用时，这种方法效果很好：
- 您希望在整个 AWS 账户中获得集中可见性和治理。
- 团队和业务部门在共享公司安全政策下运作。
- 您希望合并账单并优化批量折扣。
- 您希望在账户之间共享资源（例如网络或目录服务）。
- 您希望通过 SCPs、AWS Config 和 AWS Security Hub 实施集中合规性检查。
一个单一组织更受青睐的案例是一家大型全球零售商，拥有区域团队和应用程序所有者。每个团队都在中央 IT 治理框架下创建自己的 AWS 账户。一个核心团队负责在整个公司范围内集中管理法规和安全标准。
何时考虑多个组织
有时创建多个组织可能是有意义的。这些情况通常出现在以下情况下：
- 您有独立的业务部门，具有不同的领导层、治理需求和安全要求（例如子公司或特许经营商）。
- 您所在的行业受到严格监管，法律上要求实体之间严格分割（例如银行业或医疗保健业）。
- 您正在管理并购，其中新收购的公司保留其现有的 AWS 基础设施。
- 您希望最大限度地隔离潜在问题的影响，以便一个组织中的错误配置、安全事件或策略更改不会影响其他组织。
一个多个组织更受青睐的例子是一家跨国金融服务公司，拥有独立的零售银行、投资银行和保险部门。每个部门都有自己的监管机构和独特的安全要求，因此它们各自管理自己的组织。
另一个例子可能是一家全球软件公司，使用一个单独的组织作为沙盒，用于开发和测试护栏和 SCPs，然后再将其应用到主要组织中。
运营效率与风险隔离的对比
在决定使用单一组织或多组织时，企业必须在运营效率和风险隔离之间取得平衡。单一组织提供了简化的管理、批量折扣以及更容易的资源共享和治理。将企业结构化为多个组织意味着更强的安全性和故障隔离、更大的治理灵活性以及更好的支持组织自主权。
下表总结了这两种方法的核心差异。
标准 单一组织 多数组织 计费 账户间统一计费并享受总量折扣 每个组织独立计费；无跨组织折扣 治理 账户的集中式服务控制策略（SCPs）和策略 每个组织定义自己的治理策略 安全隔离 共享的安全边界；SCPs 全局适用 组织间强隔离 访问管理 中央化的 AWS 身份与访问管理（IAM）角色和跨账户访问设置 无内置跨组织访问；完全独立的 IAM 可扩展性 单个组织内支持数千个账户 每个组织独立；按需单独扩展组织 资源共享 易于在组织内部共享 VPC、Amazon Machine Images (AMIs) 和其他资源 无内置跨组织资源共享 运营开销 较低；集中化治理减少重复工作 较高；治理、安全和运营在每个组织中重复 合规性和审计 账户间集中日志记录、AWS CloudTrail 和 AWS Config 每个组织需要独立的审计跟踪 风险隔离 配置错误可能影响账户 配置错误限制在单个组织内 灵活性 账户间标准化控制 每个组织可根据具体需求定制控制措施
结论
大多数企业，尤其是那些采用 AWS 作为集中式 IT 战略一部分的企业，发现单一组织是最适合的选择。然而，对于集团企业、受监管行业以及通过收购成长的企业来说，多个组织可能是更合适的选择。
在帮助客户设计 AWS 多账户战略时，我建议从单一组织开始，并仅在隔离需求超过集中化带来的操作优势时考虑多个组织。
如需更多信息，请参考以下资源：
- * *