3.3 KiB
3.3 KiB
title, type, tags, date
| title | type | tags | date | |||||
|---|---|---|---|---|---|---|---|---|
| CTP Topic 7 SaaS Landing Zone Design | source |
|
2026-04-14 |
Source File
Summary
- 核心主题：生产环境 SaaS Landing Zone 的高级设计
- 问题域：多账号架构、基础设施自动化、安全隔离
- 方法/机制：单一 Landing Zone 策略、Terraform 模块化部署、TerraGrant 权限管理
- 结论/价值：统一 Landing Zone 降低开销和复杂度，与开发实验室的每产品组（PG） Landing Zone 模式区分
Key Claims
- SaaS 生产环境采用单一 Landing Zone 策略，服务所有产品组，降低基础设施开销和运维复杂度
- Shared Account 托管硬化的 SRE-provided AMIs 和主 Jenkins 服务器，通过 Lambda 函数触发各账号的 Jenkins slaves 执行部署任务
- Logs Account 集中收集所有账号的 CloudTrail、Config、Flowlogs，安全团队拥有完全访问权限，产品团队仅可访问自身日志
- Security Account 承载跨账号继承的 IAM Role，各账号所有者可附加额外策略限制 Role 使用范围
Key Quotes
"The SAS landing zone will use a single landing zone for all the product groups." — 单一 Landing Zone 策略的核心声明
"The workload itself is going to be under private subnet." — 产品账号工作负载部署模式
Key Concepts
- Multi-Account Strategy：AWS 推荐的企业级云架构模式，通过将工作负载分离到多个 AWS 账号提升安全性和治理能力
- Gruntwork Landing Zone：基于 Grant 工作参考架构的预配置 AWS 基础架构框架
- Terraform：基础设施即代码工具，用于自动化部署和管理 AWS 资源
- SRE-provided AMIs：SRE 团队预构建的机器镜像，内置自动域加入脚本
- Domain Join：通过 SRE-provided AMIs 实现自动化将实例加入 AD 域的技术
Key Entities
- AWS：全球最大公有云平台，提供计算、存储、网络等基础架构服务
- Gruntwork：Gruntwork Landing Zones 框架提供商
- Jenkins：开源自动化服务器，用于持续集成和持续部署
- Route 53：AWS DNS 服务，用于管理域名解析
- Active Directory：Microsoft 目录服务，用于身份验证和资源访问控制
- CloudFront：AWS 内容分发网络（CDN），用于加速静态内容分发
- WAF：Web Application Firewall，Web 应用防火墙，用于保护 Web 应用免受攻击
- Check Point：网络安全公司，提供防火墙和 VPN 解决方案
- Pulse Secure：VPN 解决方案供应商，提供安全的远程访问
Connections
- ctp-topic-35-aws-landing-zone-design-refresher-saas-labs ← similar_architecture ← ctp-topic-7-saas-landing-zone-design
- ctp-topic-1-gruntwork-landing-zone-architecture ← builds_on ← ctp-topic-7-saas-landing-zone-design
- ctp-topic-10-aws-landing-zone-lz-data-collection-tagging-related-security ← relates_to ← ctp-topic-7-saas-landing-zone-design
- ctp-topic-17-active-directory-services-in-gruntwork-aws-lzs ← depends_on ← ctp-topic-7-saas-landing-zone-design
Contradictions
- 与 Labs 环境的区别：生产环境采用单一 Landing Zone，Labs 环境采用每个产品组独立的 Landing Zone