¿Cómo estructurarías las cuentas de nube para una organización de ingeniería en crecimiento?

Usa muchas cuentas como fronteras de aislamiento en vez de una cuenta grande con etiquetas. Separa los entornos para que producción sea su propia cuenta por carga o por dominio, mantén los servicios compartidos como redes, logging e identidad en cuentas dedicadas, y agrúpalas bajo una organización con service control policies como barreras. Automatiza la creación de cuentas a partir de una base para que cada cuenta nueva llegue con el logging, las barreras y la configuración de red ya aplicados.

Trato la cuenta como la frontera de aislamiento más fuerte disponible, así que uso muchas en vez de intentar separar cosas con etiquetas y políticas dentro de una sola. Producción tiene su propia cuenta por carga o por dominio, así un error en un sitio no puede alcanzar otro y las cuotas de servicio no se comparten con un vecino ruidoso. Lo que no es producción va aparte otra vez, lo que me permite dar a los desarrolladores mucha más libertad ahí sin que toque producción. Luego un conjunto pequeño de cuentas compartidas: una para redes, donde vive el hub de tránsito y la conectividad en un solo sitio, una que recibe todos los logs y es de solo escritura para los demás, así un atacante en una cuenta de carga no puede borrar la evidencia, y una para identidad y single sign on. Todo eso está bajo una organización con service control policies como barreras, denegando cosas como apagar el registro de auditoría o levantar recursos en regiones no aprobadas, que es distinto de los permisos porque limita lo que puede hacer cualquiera incluido un administrador. Y la creación de cuentas está automatizada desde una base, porque las cuentas hechas a mano derivan de inmediato y nadie recuerda a cuáles les faltó un control.