规划一套云上 Landing Zone 架构

Landing Zone 不是一组资源，而是一套"上云之前就该想清楚"的规则。

什么是 Landing Zone

简单说：Landing Zone 是云上的"地基 + 承重墙"。

你在云上建业务，就像在一片空地上盖楼。不能直接往上垒砖——先得有土地规划、承重结构、水电管线、消防通道。Landing Zone 就是把这些基础设施和治理规则提前定义好，让后续每个业务团队"拎包入住"，而不是各自为政。

为什么需要它

没有 Landing Zone 的云环境，通常长这样：

• 每个团队各建各的 VPC，网络互通靠"拉网线"
• 权限随便给，AK/SK 满天飞
• 没有统一的日志和监控，出了事全靠猜
• 资源命名混乱，标签缺失，成本算不清
• 安全组开口子越开越大，最后全通

Landing Zone 的目标就是从源头避免这些问题。

核心设计要素

一套完整的 Landing Zone 至少覆盖以下六个维度：

1. 账号与组织结构

按环境或业务线划分账号（或项目），形成多层级结构：

组织根
├── 共享服务账号（网络、安全、日志）
├── 安全审计账号
├── 生产环境账号
│   ├── 业务线 A
│   └── 业务线 B
└── 非生产环境账号
    ├── 开发
    └── 测试

原则：生产和非生产必须隔离，最好在不同账号下。

2. 网络架构

采用 Hub-Spoke 模式：

• Hub VPC：集中部署共享服务——NAT 网关、VPN/专线网关、安全审计设备
• Spoke VPC：各业务团队各自使用，通过 VPC 对等连接或 Transit Gateway 回到 Hub
• 子网规划：按公网、私网、数据库、管理面分段，安全组默认拒绝

        ┌─────────────┐
        │   Hub VPC   │
        │  NAT/VPN/   │
        │  审计/日志   │
        └──────┬──────┘
               │
      ┌────────┼────────┐
      │                 │
┌─────┴─────┐     ┌─────┴─────┐
│ Spoke VPC  │     │ Spoke VPC  │
│  业务线 A  │     │  业务线 B  │
└────────────┘     └────────────┘

3. 身份与权限

• 统一身份源，通过 IAM 组 + 策略实现最小权限
• 临时凭证优先，避免长期 AK/SK
• 区分平台管理员、安全审计员、业务开发者三类角色
• 关键操作走审批流，不留单点

4. 安全基线

• 所有 VPC 默认不开公网，需要时通过 NAT/ELB 受控暴露
• 安全组遵循"默认拒绝 + 按需放通"
• 开启云上安全中心，统一收集告警
• 密钥、证书统一托管，定期轮换

5. 可观测性

• 日志：操作审计日志、应用日志统一汇聚到一个中心账号
• 监控：核心指标（CPU、内存、网络、磁盘）默认开启，设基线告警
• 可追溯：所有资源打标签，能从标签反查到团队、环境、成本归属

6. 成本治理

• 每个账号/项目设预算阈值，超支告警
• 资源强制打标签（env、team、cost-center）
• 非生产环境设自动关机策略
• 定期出成本报告，按标签拆分到团队

落地路径

别想一步到位。推荐分三阶段：

阶段一搞定后，业务团队就能开始安全地部署了。阶段二、三可以和业务并行推进。

用 Terraform 落地

Landing Zone 天然适合 IaC——因为它就是"一套可复用的基础设施 + 治理规则"。

核心思路：

1. 模块化：网络、IAM、安全、监控各拆成独立 Terraform module
2. 分层部署：先 apply 基础层（账号、网络），再 apply 治理层（策略、监控）
3. 状态隔离：不同环境、不同层的 state 文件分开管理
4. 版本控制：所有变更走 PR，review 后才 apply

landing-zone/
├── modules/
│   ├── network/       # Hub-Spoke 网络模块
│   ├── iam-baseline/  # IAM 组与策略基线
│   ├── security/      # 安全组、审计配置
│   ├── monitoring/    # 日志汇聚、告警基线
│   └── budgets/       # 成本预算与告警
├── environments/
│   ├── shared/        # 共享服务账号
│   ├── production/    # 生产环境
│   └── non-prod/      # 非生产环境
└── README.md

写在最后

Landing Zone 的本质不是技术问题，是治理问题。

技术方案可以照搬，但"你的组织怎么划分环境、谁有什么权限、成本怎么分摊"——这些只有你自己能回答。先想清楚这些，再动手写 Terraform，比反过来高效得多。

记住一句话：地基不牢，楼越高越危险。