---
title: "CTP Topic 10 AWS Landing Zone (LZ) Data Collection, Tagging Related Security"
type: cloud-learning
source-type: video
category: "DevOps & SRE/01_AWS-Landing-Zone"
tags:
  - AWS
  - Landing-Zone
  - Tagging
  - Security
  - CTP
date-added: 2026-04-14
video-source: "nas:///volume2/work/Public Cloud Learning Sessions/CTP _ Topic 10_ AWS  Landing Zone (LZ) Data Collection, Tagging _ Related Security.mp4"
audio-source: ""
status: summarized (Gemini 摘要)
---

# CTP Topic 10 AWS Landing Zone (LZ) Data Collection, Tagging Related Security

**Source:** NAS `/volume2/work/Public Cloud Learning Sessions/CTP _ Topic 10_ AWS  Landing Zone (LZ) Data Collection, Tagging _ Related Security.mp4`

**Type:** VIDEO | **Category:** 01_AWS-Landing-Zone

**Status:** ✅ 已完成（Gemini 摘要）

---

## 摘要

> 本次视频是云转型计划（Cloud Transformation Program）的每周技术分享，重点探讨了 **AWS Landing Zones** 的部署流程、数据收集策略，以及如何利用标签（Tagging）和安全策略构建现代化的云安全架构。会议由 Steve Jarman 和 Pradeep 主讲，旨在帮助团队理解从传统网络安全向基于身份和元数据的云原生安全转型的过程。
>
> 核心内容分为三个部分：首先，Steve 介绍了 Landing Zone 的规划与自动化。他强调在部署前，必须深入了解业务部门（BU）的资产清单、IP 地址空间及数据敏感性，以便制定合适的安全姿态。目前，DNS、Transit Gateway 等基础服务的创建已通过 SRE 团队实现了高度自动化。
>
> 其次，视频详细讲解了**基于标签的安全控制机制**。与传统基于 IP 的防火墙规则不同，该方案利用 AWS 标签作为安全凭证。为了防止用户通过篡改标签绕过安全审计，架构中引入了 **OU（组织单元）** 和 **SCP（服务控制策略）**。通过 SCP 的“显式拒绝”逻辑，系统能够强制执行标签规范，确保资源在创建时即具备正确的归属（如 BU、产品、环境等）。
>
> 最后，Pradeep 演示了 **Checkpoint 防火墙** 中的“有序层（Ordered Layer）”逻辑。防火墙根据标签对流量进行分层过滤，包括地理屏蔽、BU 隔离、产品隔离及环境隔离（如开发环境与生产环境隔离）。这种设计确保了流量在跨 VPC、访问本地（On-prem）或互联网时，能够受到精细化的策略约束，同时支持 PSDC 等共享服务的合法访问。

---

## 关键概念

- **AWS Landing Zones**: 一种能够按照最佳实践快速设置、安全且多账号的 AWS 环境的基础架构框架。
- **Tagging Methodology**: 标签方法论，通过为资源定义标准化的元数据（如 Owner, BU, Product, Environment），作为自动化管理和安全策略执行的基础。
- **SCP (Service Control Policies)**: 服务控制策略，一种组织策略，用于管理组织中的权限，本视频中用于强制执行标签合规性，防止未经授权的标签更改。
- **OU (Organizational Unit)**: 组织单元，AWS Organizations 中账号的分组容器，用于分层应用安全策略（SCP）。
- **Checkpoint Firewall**: 部署在云环境中的虚拟防火墙，通过集成 AWS 标签实现动态的对象识别和流量过滤。
- **Transit Gateway**: 传输网关，作为网络中心枢纽，连接 VPC 与本地网络，是跨环境流量经过防火墙检查的关键节点。
- **Ordered Layer**: 有序层，防火墙策略的一种组织方式，按顺序执行地理屏蔽、BU 隔离、环境隔离等逻辑。
- **SRE (Site Reliability Engineering)**: 站点可靠性工程，负责 Landing Zone 部署中的自动化脚本编写与基础架构维护。

---

## 相关视频

> [!info]+ 交叉引用
> [[AWS_Organizations_and_SCP_Deep_Dive]] — 深入探讨如何编写和应用 SCP 策略以增强账号安全性。
> [[SRE_Automation_Services_Overview]] — 关联 SRE 团队在 Landing Zone 中实现的 DNS 与网络自动化工具。
> [[Hybrid_Cloud_Connectivity_Guide]] — 详细说明 Transit Gateway 如何连接 AWS 环境与本地数据中心。

## 相关视频

> 配对视频笔记链接（生成后填入）

---

*最后更新: 2026-04-14*
