---
title: "CTP Topic 25 Labs Landing Zone overview - ITOM teams"
type: source
tags:
  - AWS
  - Landing-Zone
  - Labs
  - ITOM
  - CTP
category: DevOps & SRE/01_AWS-Landing-Zone
date-added: 2026-04-18
sources:
  - raw/Cloud & DevOps/Public-Cloud-Learning-Sessions/01_AWS-Landing-Zone/ctp-topic-25-labs-landing-zone-overview-itom-teams.md
---

## Source File
- [[raw/Cloud & DevOps/Public-Cloud-Learning-Sessions/01_AWS-Landing-Zone/ctp-topic-25-labs-landing-zone-overview-itom-teams.md]]

## Summary
- 核心主题：Labs Landing Zone 架构概述，基于 Gruntwork reference architecture 和 AWS 标准，采用多账号策略
- 问题域：企业级 AWS 云基础设施规划与部署
- 方法/机制：IaC（Terraform）管理、标签驱动防火墙策略、CI/CD 自动化（Jenkins + Terragrunt）
- 结论/价值：Labs Landing Zone 提供标准化的多账号基础设施框架，通过代码实现一致性、版本控制和自动化治理

## Key Claims
- Labs Landing Zone 基于 Gruntwork reference architecture 和 AWS 标准构建
- 整个技术栈通过 Terraform 管理，所有资源必须使用代码机制部署
- Shared Account 托管 Jenkins 主服务器、hardened AMIs 和 Docker 容器存储
- Logs Account 安全存储 AWS Config 和 CloudTrail 日志，访问权限由安全团队控制
- Security Account 管理用户账户和跨账户访问，采用联合身份认证
- Active Directory 账户管理 Windows 实例和 IDPs（使用 swimford.net 域名）
- DNS 账户管理 AWS Swimford.net，允许本地域或引用更广泛的基础设施
- Network Account 是网络通信中心，通过 Transit Gateway 和 JetPult 防火墙管理流量
- 所有互联网访问通过该账户路由，通过标签由网络团队管理
- Shared Service Accounts 提供监控服务（如 45 arc site）和 Qualys 安全服务
- Product Account 是主要工作环境，使用标准化 IaC 模块构建，可包含多个账户（production、staging、development）
- 部署 Product Account 时需定义 IP 地址范围，并与网络团队协商防火墙访问的标签
- Jenkins 流水线持续扫描 GitHub Enterprise 仓库，根据分支运行 Terragrunt plan 或 apply
- 互联网连接受限，访问特定企业网络位置需向网络服务团队申请

## Key Concepts
- [[Gruntwork Landing Zone]]：Gruntwork 提供的预配置 AWS 基础架构框架
- [[Multi-Account Strategy]]：AWS 推荐的多账号策略，通过分离工作负载提升安全性和治理能力
- [[Infrastructure as Code]]：通过代码实现基础设施管理，确保一致性和版本控制
- [[Terraform]]：HashiCorp 开发的 IaC 工具，用于声明式定义云资源
- [[Transit Gateway]]：AWS 中心网络路由服务，连接 VPCs 和本地网络
- [[Service Control Policies]]：AWS Organizations 的策略类型，管理组织内账户的最大权限边界

## Key Entities
- [[Gruntwork]]：Landing Zone 框架提供商
- [[Jenkins]]：开源自动化服务器，用于 CI/CD 流水线
- [[swinford.net]]：R&D Labs 环境的 Active Directory 域名

## Connections
- [[Gruntwork Landing Zone]] ← builds_on ← [[AWS Organizations]]
- [[Product Account]] ← deploys_via ← [[Terraform]]
- [[Network Account]] ← manages ← [[Transit Gateway]]
- [[Logs Account]] ← stores ← [[CloudTrail]]

## Contradictions
- （暂无）