Comment structureriez-vous les comptes cloud pour une organisation d'ingénierie en croissance ?

Utilisez de nombreux comptes comme frontières d'isolation plutôt qu'un gros compte avec des tags. Séparez les environnements pour que la production soit son propre compte par charge de travail ou par domaine, gardez les services partagés comme le réseau, la journalisation et l'identité dans des comptes dédiés, et regroupez le tout sous une organisation avec des service control policies comme garde-fous. Automatisez la création de comptes à partir d'un socle pour que chaque nouveau compte arrive avec la journalisation, les garde-fous et la configuration réseau déjà appliqués.

Je traite le compte comme la plus forte frontière d'isolation disponible, donc j'en utilise beaucoup plutôt que d'essayer de séparer les choses avec des tags et des politiques dans un seul. La production a son propre compte par charge de travail ou par domaine, pour qu'une erreur à un endroit ne puisse pas en atteindre un autre et que les quotas de service ne soient pas partagés avec un voisin bruyant. Le hors production est encore séparé, ce qui me permet de donner beaucoup plus de liberté aux développeurs là-bas sans que ça touche la production. Ensuite un petit ensemble de comptes partagés : un pour le réseau, pour que le hub de transit et la connectivité vivent au même endroit, un qui reçoit tous les journaux et qui est en écriture seule pour tous les autres, pour qu'un attaquant dans un compte de charge de travail ne puisse pas effacer les preuves, et un pour l'identité et le SSO. Tout ça est sous une organisation avec des service control policies comme garde-fous, qui refusent des choses comme couper la journalisation d'audit ou démarrer dans des régions non approuvées, ce qui est différent des permissions parce que ça plafonne ce que n'importe qui, administrateur compris, peut faire. Et la création de comptes est automatisée depuis un socle, parce que les comptes faits à la main dérivent tout de suite et que personne ne se souvient lesquels ont raté un contrôle.