Wie würdest du Cloud-Accounts für eine wachsende Engineering-Organisation strukturieren?

Nutz viele Accounts als Isolationsgrenzen statt eines großen Accounts mit Tags. Trenn die Umgebungen, sodass Production ein eigener Account pro Workload oder Domäne ist, halt Shared Services wie Netzwerk, Logging und Identity in dedizierten Accounts, und gruppier sie unter einer Organization mit Service Control Policies als Guardrails. Automatisier die Account-Erstellung aus einem Baseline-Template, damit jeder neue Account mit Logging, Guardrails und Netzwerkkonfiguration ankommt.

Ich behandle den Account als stärkste verfügbare Isolationsgrenze, ich nutze also viele davon, statt Dinge mit Tags und Policies innerhalb eines einzigen zu trennen. Production bekommt einen eigenen Account pro Workload oder pro Domäne, sodass ein Fehler an einer Stelle nicht die andere erreicht und Service Quotas nicht mit einem lauten Nachbarn geteilt werden. Non-Production ist nochmal getrennt, was mir erlaubt, Entwicklern dort viel mehr Freiheit zu geben, ohne dass es Production berührt. Dazu ein kleiner Satz geteilter Accounts: einer fürs Netzwerk, damit Transit-Hub und Konnektivität an einem Ort leben, einer, der alle Logs empfängt und für alle anderen nur schreibbar ist, damit ein Angreifer in einem Workload-Account die Beweise nicht löschen kann, und einer für Identity und Single Sign-on. Das Ganze sitzt unter einer Organization mit Service Control Policies als Guardrails, die Dinge verbieten wie Audit-Logging abschalten oder in nicht freigegebenen Regionen hochfahren, und das ist etwas anderes als Permissions, weil es deckelt, was irgendwer inklusive eines Administrators tun kann. Und die Account-Erstellung ist aus einer Baseline automatisiert, denn handgemachte Accounts driften sofort und niemand erinnert sich, welchen ein Control gefehlt hat.