某知名车企，在不同时期的多个业务项目陆续迁移到了火山引擎，不同项目的资源由不同团队进行负责。项目下同时又区分生产、测试、UAT几个环境，需要确保资源之间的隔离和管理。
由于历史原因，来源于公司不同预算的资源，都开通了账号。随着业务逐渐发展，管理难度增加，运维团队开始要求实现账号及资源的统一治理和管控，需要逐渐收敛账号的创建和管理。

• 对不同项目预算来源的云资源，如何进行统一管理。

• 不同项目组在同一云账号下面的资源，如何实现权限隔离和分账；

方案介绍

1. 使用企业组织功能，对企业云账号统一管控

在企业管理和使用云的过程中，云账号是一个最基础的独立单元。可以把账号理解为一栋大厦的独立房间，每个房间具备了完整的配套服务，客户可以方便的租用这个房间并使用其中的全套服务设置。因此有些场景下也经常将账号称作租户。对于大型企业，不同的部门或者不同预算来源的项目，通常会使用独立账号来使用云资源。但如果开通太多账号，从管理的角度也会带来一定的复杂度。
火山引擎提供了企业组织功能，帮助企业统一管理多个账号。使用企业组织，可以实现：

• 组织和管理云账号：在企业组织内一目了然查看所有云账号，使用企业组织节点（OU）对云账号进行分类。

• 全局的权限设置：通过企业组织管控策略SCP，对组织内所有的账号进行全局权限策略，比如限制业务账号设置网络架构、禁止修改安全组等等。

• 多账号统一配置：通过企业组织的可信服务，实现多个账号统一身份管理、资源配额模板、收集日志审计等能力。

企业组织中，主要包含以下几个重要概念：

使用企业组织，可以将不同预算来源的账号统一纳管，确保这些账号符合企业管理规范。企业内的IT预算通常是以企业部门、产品、业务线等维度管理。下图是一个简单的组织管理框架：

该企业启用了企业组织，将历史上其他预算来源的账号纳入到整个组织，并对新纳入的账号设置了管控策略，限制该账号创建业务不涉及的云资源，避免预期之外的成本产生。

2. 使用项目功能进行资源规划和管理权限

在单账号内，如果需要进行进一步的资源划分，可以使用项目这一种资源管理方式。正如其名称，该功能主要用于对不同项目使用的云资源进行分组管理。对比使用账号来进行资源隔离，使用项目可确保云资源之间默认可互相访问，对于跨项目之间的资源互访更加容易。比如一个账号内VPC之间打通会更加简单，负载均衡也默认可添加本账号内的服务器组。于此同时，项目也可以提供权限级的隔离和基础分账。
使用项目管理资源，需要理解以下几个概念：

结合在方案1中的企业组织和账号，通常一个企业内的完整资源管理分为以下几层：

根据管控需求，在项目和环境的维度进行资源划分。在设置好项目之后，将对应的资源移入。
建立项目之后，可以使用访问控制中的IAM用户组对三类身份进行分类：

• 管理员：拥有账号所有操作权限

• 只读用户：拥有所有资源的读操作，并按照两个项目分别授权

• 普通用户：拥有所有资源的读写操作，并按照两个项目分别授权

在访问控制中，对管理员授予全局权限，而只读用户和普通用户，根据用户所负责的项目，将项目作为权限生效的范围。

3. 参考Landing Zone最佳实践持续演进云上IT治理方案

根据业务的持续发展，我们推荐采用Landing Zone模式规划账号架构。Landing Zone是一套顶层多账号架构设计方案，帮助客户安全、高效的部署云服务，并支持业务的可持续扩展。完整的Landing Zone提供安全、网络、身份权限管理、合规性和监控功能等能力，帮助企业通过自动化的方式实现上云架构部署。一个简单的Landing Zone架构可用参考下图：

使用Landing Zone，可为客户带来以下的优势：

1. 安全合规

   1. 业务隔离： 采用多账号架构，实现资源、身份、权限和费用的隔离，保障安全和财税履约合规；

   2. 合规管控： 搭建事前、事中和事后的管理策略，全面保障企业内的安全和合规。

2. 高效管理

   1. 统一管控： 通过统一的控制面，实现多账号下整体的费用、资源、网络和安全架构设计，简化运维管理流程；

   2. 自动化： 通过OpenAPI和IaC实现自动化运维和管理，快速部署云基础设施环境。

3. 业务易扩展

   1. 模块化：基于可扩展的账号架构，设置账号基线，快速响应业务需求并模块化部署对应的资源；

   2. 可定制性：根据企业需求进行账号结构和基线设计，满足不同的业务和管理需求。

上述方案，应用到以下的火山引擎产品功能