Como você estruturaria as contas de nuvem para uma organização de engenharia em crescimento?

Use muitas contas como fronteiras de isolamento em vez de uma conta grande com tags. Separe ambientes para produção ser a própria conta por carga de trabalho ou domínio, mantenha serviços compartilhados como rede, logging e identidade em contas dedicadas, e agrupe tudo sob uma organização com service control policies como guardrails. Automatize a criação de contas a partir de uma baseline para toda conta nova chegar com logging, guardrails e configuração de rede já aplicados.

Eu trato a conta como a fronteira de isolamento mais forte disponível, então uso muitas delas em vez de tentar separar coisas com tags e políticas dentro de uma só. Produção ganha a própria conta por carga de trabalho ou por domínio, para um erro em um lugar não alcançar outro e as cotas de serviço não serem compartilhadas com um vizinho barulhento. Fora de produção é separado de novo, o que me deixa dar bem mais liberdade aos desenvolvedores ali sem que isso toque produção. Depois um conjunto pequeno de contas compartilhadas: uma para rede, para o hub de trânsito e a conectividade viverem em um lugar só, uma que recebe todos os logs e é somente escrita para todo mundo, para um atacante em uma conta de carga de trabalho não conseguir apagar a evidência, e uma para identidade e single sign on. Tudo isso fica sob uma organização com service control policies como guardrails, negando coisas como desligar o log de auditoria ou subir recursos em regiões não aprovadas, o que é diferente de permissões porque limita o que qualquer um, inclusive um administrador, pode fazer. E a criação de conta é automatizada a partir de uma baseline, porque contas feitas à mão divergem na hora e ninguém lembra quais ficaram sem algum controle.