华为云 Landing Zone 多账号管理与治理参考架构

1. 用途和受众

1.1 预期用途

• 指导企业在华为云上从零构建规范化的云基础环境（Landing Zone），以多账号策略实现资源隔离与集中治理。
• 为售前、解决方案设计、实施和审查提供可重用的多账号治理架构模式。
• 作为企业上云底座（云治理中心）建设、交付包或实际部署的架构基础。
• 定义安全性、可靠性、性能、成本、运营和合规性护栏。

1.2 目标受众

• 云治理团队与平台管理员：负责多账号组织规划、账号基线设计与治理策略（SCP/Config）配置
• 安全合规工程师：关注账号强隔离、IAM 最小权限、CTS 审计留痕与合规护栏落地
• 交付架构师：负责 Landing Zone 方案落地交付、账号工厂自动化与基线实施
• FinOps 工程师：按账号维度进行成本分摊、预算管控与资源用量分析
• 企业客户（集团企业/多业务单元）：评估多账号治理模式，建设规范化企业上云底座
• 合作伙伴与 MSP：参与多账号治理运营、基线托管与合规稽核服务

2. 参考架构概述

2.1 架构描述

基于华为云组织（Organizations）构建的企业级 Landing Zone 多账号管理架构，通过"组织结构 → 账号基线 → 身份权限 → 护栏管控 → 集中审计日志 → 共享网络 → 安全监控"七步落地：管理账号统一管控多个组织单元（OU）下的成员账号，安全、审计、网络、开发测试生产工作负载按账号强隔离，治理与安全能力集中化、自动化。

2.2 业务背景

2.3 架构优点

• 多账号强隔离：按组织单元（管理/安全/共享服务/工作负载-开发/测试/生产）划分账号，天然资源与权限边界，爆炸半径最小化。
• 账号工厂自动化：新成员账号通过资源编排服务（RFS）自动应用账号基线（身份、审计、网络、预算、安全代理），保证"生而合规"。
• 护栏即策略：组织管控策略（SCP 类）+ Config（RMS）配置审计合规规则，事前预防 + 持续检测双保险，全局强制生效。
• 统一身份：IAM 统一权限模型 + OneAccess 对接企业 IdP 单点登录，MFA 与最小权限，杜绝账号共享。
• 集中审计与日志：CTS 操作审计与 LTS 日志统一归集到日志归档账号（OBS 长期留存），满足审计与合规取证。
• 共享网络集中化：共享网络账号通过企业路由器（ER）+ 云连接（CC）统一互联多账号 VPC 与本地 IDC，网络策略集中可控。
• 安全集中运营：SecMaster 安全云脑汇聚全局安全态势，CES 指标监控 + SMN 告警通知闭环。

2.4 设计关注点

2.5 典型架构

华为云 Landing Zone 多账号管理架构图

2.6 流程描述

1. ① 组织结构设计：输入为企业组织架构与账号规划；在组织中创建多账号结构并划分组织单元（管理、安全、共享服务、工作负载-开发/测试/生产）；输出为就绪的多账号组织骨架。
2. ② 账号基线自动下发：输入为新成员账号开通请求；账号工厂基于 RFS 资源编排模板自动应用基线（IAM 初始权限、CTS 审计、网络接入、预算、安全代理）；输出为"生而合规"的新账号。
3. ③ 统一身份与权限：输入为企业 IdP 用户身份；OneAccess/IAM 对接企业身份源实现 SSO，按用户组最小授权并强制 MFA；输出为跨账号统一身份与细粒度权限。
4. ④ 护栏管控：输入为治理与合规策略；组织管控策略对 OU/账号强制约束（禁删审计、禁公网暴露等），Config（RMS）持续评估资源配置合规性；输出为事前预防 + 持续检测的护栏体系。
5. ⑤ 集中审计与日志：输入为各账号操作事件与资源日志；CTS 跟踪与 LTS 日志统一归集至日志归档账号的 OBS 桶长期留存；输出为全局可审计、可取证的集中留痕。
6. ⑥ 共享网络互联：输入为多账号 VPC 与本地 IDC 互联需求；共享网络账号以企业路由器（ER）汇聚各账号 VPC，云连接（CC）打通跨地域与本地专线；输出为集中管控的混合云网络底座。
7. ⑦ 安全与监控运营：输入为全组织安全事件与资源指标；SecMaster 汇聚安全态势，CES 监控关键指标，SMN 推送告警；输出为集中安全运营闭环。

2.7 云服务产品清单

3. 参考链接

• 产品文档：
• 实施指南：
• 源代码或 IaC：
• 操作手册：
• 安全性和合规性映射：

4. 使用限制

• 组织与 OU 结构一经投产调整成本较高，实施前须完成账号规划评审（账号数量、层级、命名规范、网段规划）。
• 管控策略下发前必须在沙盒账号验证，避免误阻断存量业务运维操作。
• 集中日志归档账号的 OBS 存储成本随账号规模线性增长，须预置生命周期与归档策略。
• OneAccess 对接企业 IdP 依赖客户侧 SAML/OIDC 能力，老旧 IdP 需评估兼容性。
• 本架构为治理底座，业务工作负载架构（容器/大数据等）须另行按场景参考架构设计。

附录 A. 术语和缩略语