बढ़ते हुए इंजीनियरिंग संगठन के लिए क्लाउड account का ढांचा आप कैसे बनाएंगे?

tag वाले एक बड़े account के बजाय कई account को isolation की सीमा की तरह इस्तेमाल करें। environment अलग करें ताकि production हर workload या domain के लिए अपना account हो, networking, logging और identity जैसी साझा services अलग account में रखें, और उन्हें एक organization के नीचे guardrail के तौर पर service control policy के साथ रखें। account बनाना एक baseline से automate करें ताकि हर नया account logging, guardrail और नेटवर्क configuration पहले से लागू करके आए।

मैं account को उपलब्ध सबसे मजबूत isolation सीमा मानता हूं, इसलिए एक ही account के भीतर tag और policy से चीजें अलग करने की कोशिश के बजाय मैं बहुत सारे account इस्तेमाल करता हूं। production को हर workload या हर domain के लिए अपना account मिलता है, ताकि एक जगह की गलती दूसरी तक न पहुंचे और service quota किसी शोर मचाने वाले पड़ोसी के साथ साझा न हों। non production फिर से अलग है, जिससे मैं वहां डेवलपर को कहीं ज्यादा आजादी दे सकता हूं बिना production को छुए। फिर कुछ साझा account का छोटा सेट: एक networking के लिए ताकि transit hub और connectivity एक ही जगह रहें, एक जो सारे log लेता है और बाकी सबके लिए सिर्फ write है ताकि किसी workload account में घुसा हमलावर सबूत मिटा न सके, और एक identity तथा single sign on के लिए। यह सब एक organization के नीचे बैठता है जिसमें guardrail के तौर पर service control policy हैं, जो audit logging बंद करने या मंजूरी के बाहर वाले region में कुछ चलाने जैसी चीजें रोक देती हैं, जो permission से अलग है क्योंकि वह सीमा तय करती है कि कोई भी, administrator समेत, क्या कर सकता है। और account बनाना एक baseline से automated है, क्योंकि हाथ से बने account तुरंत अलग दिशा में बहने लगते हैं और किसी को याद नहीं रहता कि किनमें कोई कंट्रोल छूट गया।