阿里云Landing Zone系列--1云治理中心使用

阿里云Landing Zone系列

第一章 阿里云云治理中心使用
补充-业务场景说明
第二章 资源目录之–多账号

---

前言

对于Landing Zone来说，有多种实现方式， 人工，代码，或者云厂商推荐的工具，为了看一下阿里云自己的工具，我们选择先用云治理中心来做阿里云环境的治理工作，以此来做一个基准，看一下，使用阿里云自己的工具，实施云治理后，能够实现一个什么样的效果。

简单说，就是提供了一个工具，让用户在Portal中通过操作，快速搭建适合自己的Landing Zone

一、云治理中心是什么？

云治理中心是企业在阿里云上进行多账号集中IT治理的平台。通过步骤式向导和自动化流程帮助企业快速搭建Landing Zone，建立安全合规的多账号环境，并对企业在云上的多账号环境进行持续治理。

官网介绍
https://help.aliyun.com/document_detail/254854.html

二、云治理中心

1.开通并配置云治理中心服务

开通云治理账号时，需要注意几个问题：

• 资源目目录的管理账号必须是云账号，而非RAM账号，或者已有的资源账号，并且，指定的云账号不能已在另外一个资源目录中。
• 初始化时，需要指定（邀请其他账号作为财务结算账号）财务结算账号，若企业已经有财务结算账号，并且在其他的资源目录中，那么这个财务结算账号是无法被邀请的。

接下来，开始初始化，初始化包含4个任务

• 1资源结构初始化
• 2 审计日志投递初始化
• 3防护规则初始化
• 4 身份权限初始化

1 资源结构初始化 ：包含4个子任务
任务1.1: 确认管理账号 ：检查当前账号是否符合管理账号的要求
任务1.2 创建资源夹
任务1.3 指定财务结算账号
任务1.4 创建账号

2 审计日志投递初始化： 将配置审计和操作审计日志统一投递到日志账号。
这里面，主要是两个审计日志，一个是配置审计日志，一个是操作审计日志

3 防护规则初始化任务： 包含两个选项
A必选防护规则
*云治理中心指定存储审计日志的OSS存储空间未开启公共读写
*云治理中心指定存储审计日志的OSS存储空间开启服务端加密
*资源目录内所有云账号不存在Accesskey

• 资源目录内所有云账号开启MFA认证
  *云治理中心用于提供服务的指定角色存在

B 推荐防护规则
* 所有ECS数据磁盘开启加密 发现型
*安全组不允许对全部网段开启风险端口
*安全组入网设置有效 发现型
*所有OSS存储空间未开启公共读写
*RDS实例开启TDE加密 发现型
*使用专有网络类型的RDS实例
*RDS白名单未设置为全网段
*RAM用户密码策略符合要求
*RAM用户不存在闲置AccessKey
*ECS实例开启释放保护
*SLB实例开启释放保护
这一步，存在一个问题，当我选择了推荐的全部时，会提示规则不能超过20个

4 身份权限初始化任务：主要是通过配置，实现SSO，这部分因为没有搭建IDP，暂时没有做。

2. 配置完成后的状况

这一圈下来后，产出如下：
1 资源目录：创建了一个资源目录，并且资源目录下，有2 core,application 两个子文件夹，同时，资源目录下包含了两个资源账logarchive，sharedservices
2 审计服务：创建了配置审计服务，以及操作审计服务
3 防护规则：包含了5个必选规则，11个强烈推荐规则，8个可选规则，以及其他未开启规则

大概就长这个样子，红圈部分的服务，截止22年3月，我没有找到这些功能有单独的菜单可以进入，基本都是云治理中心单独有的，也可能是我没找仔细。 其他都还好，就是合规审计这部分，防护规则，只能在云治理中心配置，这么说，我要做合规审计，只能到云治理中心去？先挖个坑，回头再填吧。

总结

感觉云治理中心主要的功能是面向缺少资源的客户，但又希望云端资源能够规范化，满足合规要求，那么使用云治理中心是一个快速实现目标的选择。但以下问题是需要思考还没有答案的：

1 假如我有资源和能力自己来做云资源的治理，比如，直接通过企业-》资源管理来创建资源目录，资源账号，分配权限等，那么，我是否需要用云治理中心呢？
2 假如我已有了资源目录，并创建了一些资源账号，做了一部分的治理工作，那么，我是否有办法在云治理中心中，导入这些配置，并补齐尚未建立的配置呢？看文档是可以的，但我没有实验成功，后续需要再试试
3 一个集团情况下，使用一个云治理中心统管所有原资源，还是基于各个子集团/公司，来设置多个云治理中心，分别给不同的账号用，若是后者，那么多个云治理中心怎么关联和同步来确保大的审计合规和管理呢？
4 多云情况下，集团/公司的管理如何在不同平台实现呢？各自管各自的，还是通过第三方厂商？
5 感觉云治理中心，主要围绕资源目录来实现，这部分可以通过Terraform等一些IaC方案来实现，那么Portal, Terraform等，如何选择呢？