2021年AWS服务中隔离个人不同类型项目的最佳方案是什么

直接说结论：AWS Organizations 搭配多账户分层是完全匹配你需求的最佳选择，完全符合AWS官方的安全最佳实践，也完美覆盖你的两个核心要求。

方案适配性说明 #

• 满足核心服务防误操作需求
  把两类服务拆分到两个完全独立的AWS子账户：核心低变更服务（比如主域名Route53配置）放在专门的核心业务账户，实验类/侧项目放在独立的沙箱账户。两个账户天然资源完全隔离，沙箱里不管你用Serverless Framework批量操作资源、还是CloudFront配置改错、甚至误删全账户资源，都完全碰不到核心账户的内容。
  你还可以给核心账户加额外的防护规则：比如给所有核心资源开删除保护、核心操作强制要求MFA二次验证、收紧核心账户的访问权限，彻底杜绝误操作的可能，比在单个账户里靠复杂IAM策略隔离靠谱得多，不会出现策略写错漏开权限的低级风险。
• 满足统一账单无需分开结算的需求
  用AWS Organizations把所有子账户都纳管到同一个组织下，指定一个主账户作为付款账户，所有子账户的消费会自动合并到主账户的账单里，你不需要单独给每个账户付费，还能统一查看所有消费明细，预留实例、Savings Plans这类折扣也可以在组织内所有账户共享，不会因为多账户浪费优惠。

个人用户简化操作建议 #

不用搞复杂的多组织单元结构，3个账户足够用：

1. 组织主账户：只用来管理组织、接收账单，不要在这个账户里部署任何业务资源，避免主账户出问题影响所有业务
2. 核心业务账户：仅存放低变更的核心资源，非必要不做操作
3. 实验沙箱账户：所有频繁变更的侧项目、测试业务都放在这里，随便折腾不用怕影响核心业务
   日常管理可以用AWS IAM Identity Center（原AWS SSO）配置统一访问入口，你一个人用同一套身份就能快速切换不同账户，不需要记多套账号密码。如果有跨账户调用需求（比如实验项目要用到核心账户的域名解析），配个跨账户IAM角色授权就行，不用把核心资源挪到沙箱里。

其他方案的问题 #

• 单账户内用IAM/资源组隔离：不管权限配的多细，都存在误操作风险，比如给Serverless Framework的权限开多了，很容易误删核心资源，隔离粒度远不如多账户。
• 纯多账户不用Organizations：需要每个账户单独结算，不符合你统一账单的需求，也没法统一管理权限，操作起来更麻烦。

内容的提问来源于stack exchange，提问作者Piotr Nowicki