AWS Organizations
Quản lý nhiều tài khoản
Gom nhiều tài khoản AWS vào một tổ chức: thanh toán chung, chia nhóm (OU), áp chính sách giới hạn quyền (SCP).
- Chi phí$ Rẻ
- Độ khó●●●●●
- Để không có tốn tiền?Không
- AWS quản lý
- Có trong đềCLF · SAA · SOA
Hình dungNhư công ty mẹ quản lý các công ty con và đặt luật chung.
Organizations đứng ở đâu trong hệ thống?
OrganizationsOrganizations gọi tới
Một ví dụ thật, từng bước
- Công ty có tài khoản riêng cho dev, test, production và từng phòng ban, hoá đơn rải rác khắp nơi.
- Bạn tạo tổ chức trong AWS Organizations và mời các tài khoản vào, chia theo OU: Production, Development, Sandbox.
- Một SCP gắn vào OU Sandbox chặn mọi region ngoài Singapore và cấm tạo loại máy đắt tiền.
- Kể cả admin trong tài khoản Sandbox cũng không vượt được SCP đó.
- Cuối tháng tài khoản quản lý nhận một hoá đơn chung, mức dùng cộng gộp để được giá tốt hơn.
Khi nào nên dùng
✓ Nên dùng khi
Có từ 2 tài khoản trở lên (tách dev/prod, theo đội).
Ví dụ hay gặp
- Tách tài khoản dev / staging / prod
- Thanh toán tập trung, chia sẻ giảm giá Savings Plans/RI
- Áp SCP để chặn Region hoặc dịch vụ không dùng
Organizations, IAM hay IAM Identity Center?
| Organizations |  IAM |  IAM Identity Center | |
|---|---|---|---|
| Phạm vi | Nhiều tài khoản | Một tài khoản | Đăng nhập vào nhiều tài khoản |
| Kiểm soát quyền | SCP: trần quyền tối đa, không cấp quyền | Policy: cấp quyền cụ thể | Permission set: quyền tạm thời |
| Hoá đơn | Gộp chung một hoá đơn | Không | Không |
| Phí | Miễn phí | Miễn phí | Miễn phí |
Tốn bao nhiêu tiền?
- Cách tính: Miễn phí.
- Miễn phí: Miễn phí.
Không có bẫy; ngược lại còn giúp tiết kiệm nhờ gộp hoá đơn để hưởng giá bậc thang.
Chặn region hay dịch vụ cho cả nhóm tài khoản, kể cả admin → SCP. SCP không cấp quyền, chỉ giới hạn. Dựng môi trường nhiều tài khoản theo chuẩn → Control Tower. Bật GuardDuty/CloudTrail/Config cho cả tổ chức từ một chỗ.
Thử sức với câu hỏi thi thật
1A company uses AWS Organizations to create dedicated AWS accounts for each business unit to manage each business unit's account independently upon request. The root email recipient missed a notification that was sent to the root user email address of one account. The company wants to ensure that all future notifications are not missed. Future notifications must be limited to account administrators. Which solution will meet these requirements?
- AConfigure the company's email server to forward notification email messages that are sent to the AWS account root user email address to all users in the organization.
- BConfigure all AWS account root user email addresses as distribution lists that go to a few administrators who can respond to alerts. Configure AWS account alternate contacts in the AWS Organizations console or programmatically.
- CConfigure all AWS account root user email messages to be sent to one administrator who is responsible for monitoring alerts and forwarding those alerts to the appropriate groups.
- DConfigure all existing AWS accounts and all newly created accounts to use the same root user email address. Configure AWS account alternate contacts in the AWS Organizations console or programmatically.
Xem đáp án
Đáp án đúng: B
Đặt email root của mỗi tài khoản là một danh sách nhận thư gửi tới vài quản trị viên, và cấu hình alternate contacts trong AWS Organizations. Dùng chung một email root cho mọi tài khoản là không được.
2A company's cloud operations team wants to standardize resource remediation. The company wants to provide a standard set of governance evaluations and remediations to all member accounts in its organization in AWS Organizations. Which self-managed AWS service can the company use to meet these requirements with the LEAST amount of operational effort?
- AAWS Security Hub compliance standards
- BAWS Config conformance packs
- CAWS CloudTrail
- DAWS Trusted Advisor
Xem đáp án
Đáp án đúng: B
AWS Config conformance packs gói sẵn bộ rule và cách khắc phục, triển khai một lần cho mọi tài khoản trong tổ chức. Trusted Advisor và CloudTrail không tự khắc phục cấu hình.
Câu hỏi thường gặp
Consolidated billing là gì?
Tài khoản quản lý nhận một hoá đơn chung cho mọi tài khoản thành viên. Mức dùng được cộng gộp để hưởng giá bậc thang, và Reserved Instances hay Savings Plans có thể chia sẻ giữa các tài khoản.
AWS Organizations có tính phí không?
Không tính phí. Bạn chỉ trả cho tài nguyên mà các tài khoản thành viên sử dụng.
Đề thi AWS hay hỏi gì về Organizations?
Dùng SCP để chặn region hay dịch vụ không được phép, gom tài khoản theo OU, consolidated billing, Control Tower để dựng môi trường nhiều tài khoản theo chuẩn, và bật dịch vụ như CloudTrail hay GuardDuty cho cả tổ chức.