1. 多账号治理全景
当企业从“一个 AWS 账号跑所有业务”走向多账号时，最先遇到的并不是技术难题，而是边界问题：哪些能力属于组织层，哪些属于账号层，哪些属于网络层？如果边界不清，就会出现两种典型失败：一种是把所有权限都堆到管理账号，导致管理账号成为单点风险；另一种是每个账号各自建 VPC、各自买 NAT 网关，网络成本与运维复杂度迅速失控。本节先建立一张“治理全景图”，明确 AWS Organizations、Control Tower、RAM、VPC 共享与网络治理各自负责什么，再给出账号规划原则与实战目标。
一、五个治理组件的职责边界
AWS Organizations 是多账号治理的“组织骨架”。它提供组织单元（OU）、服务控制策略（SCP）、集中账单与账号创建能力。Organizations 的核心价值在于：用 OU 表达业务与安全分层，用 SCP 设定权限上限，用合并账单获得用量折扣。它不负责网络连通，也不负责账号内的具体资源配置。
AWS Control Tower 是建立在 Organizations 之上的“治理自动化层”。它通过 Landing Zone 自动创建日志归档账号、审计账号、安全工具账号，并部署防护规则（Guardrails）。Control Tower 解决的是“新账号如何合规地加入组织”，而不是“VPC 之间如何互通”。
RAM（Resource Access Manager） 是跨账号资源共享服务。它最常用于共享 VPC 子网、Transit Gateway、Route 53 Resolver 规则等。RAM 解决的是“资源归属一个账号、使用在另一个账号”的问题，它本身不创建网络，也不管理路由。
VPC 共享 是 RAM 的典型应用：网络账号拥有 VPC 与子网，业务账号通过 RAM 共享加入子网并部署资源。共享子网中的资源仍属于业务账号，但子网的路由表、NACL 由网络账号控制。这是“网络集中管理、业务分散部署”的关键机制。
网络治理 是上述能力的组合运用：用 Organizations 划分 OU，用 Control Tower 保证合规基线，用 RAM 共享网络资源，用 Transit Gateway 或 VPC Peering 实现连通，用集中出口与集中 DNS 降低重复建设。网络治理的目标不是“连通一切”，而是“按需连通、可审计、可扩展”。
二、账号规划原则：先分层，再分账号
账号规划不是“越多越好”，而是“边界清晰、职责单一”。推荐按以下原则设计：
- 管理账号只做治理：不部署业务资源，不存放业务数据。管理账号承担 Organizations 管理、账单、Control Tower 管理职责，一旦被攻破影响全局。
- 按 OU 表达安全与业务分层：常见 OU 包括 Security（日志归档、审计、安全工具）、Infrastructure（网络、共享服务）、Workloads（生产、预发、开发）、Sandbox（实验）。SCP 绑定在 OU 上，而不是逐个账号绑定。
- 网络账号独立：VPC、Transit Gateway、集中出口、DNS 解析规则由网络账号统一持有，业务账号通过 RAM 共享使用。这样避免每个业务账号重复购买 NAT 网关。
- 环境隔离用账号，不用标签：生产、预发、开发应使用不同账号，而不是同一账号内用标签区分。账号是强隔离边界，标签只是逻辑标记。
- 账号命名与标签规范：例如
prod-payment、stg-order、net-core，并在 Organizations 标签中记录成本中心、负责人、数据分级。
三、实战目标与示例参数
本课程的实战目标是在一个模拟企业中落地多账号网络治理。示例企业“Acme”规划如下（以下参数为教学示例，非实测结果）：
| 账号 | 所属 OU | 核心职责 | 网络角色 |
|---|---|---|---|
| mgmt | Root | Organizations、账单、Control Tower | 不承载网络 |
| log-archive | Security | 集中日志存储 | 不承载业务网络 |
| audit | Security | 安全审计、合规检查 | 只读访问 |
| net-core | Infrastructure | VPC、TGW、集中出口、DNS | 网络资源所有者 |
| prod-payment | Workloads/Prod | 支付业务 | 共享子网使用者 |
| stg-order | Workloads/Stg | 订单预发 | 共享子网使用者 |
| sandbox-dev | Sandbox | 实验与学习 | 独立 VPC，不接 TGW |
网络侧的关键示例参数：net-core 账号创建 VPC 10.0.0.0/16，划分三个子网：10.0.1.0/24（共享给 prod-payment）、10.0.2.0/24（共享给 stg-order）、10.0.3.0/24（网络账号自用，放 NAT 网关与 TGW 附件）。Transit Gateway 使用 10.255.0.0/16 作为 TGW 网段，各 VPC 通过 TGW 附件接入。集中出口由 net-core 的 NAT 网关承担，业务账号子网路由表中 0.0.0.0/0 指向 TGW，再由 TGW 路由到 net-core 的 NAT 网关。
四、常见误区与判断依据
第一个误区是“用 SCP 做网络隔离”。SCP 只控制 API 权限，不控制数据包流向。要隔离网络，必须用安全组、NACL、路由表和 TGW 路由域。第二个误区是“共享 VPC 等于共享一切”。共享的是子网，安全组仍由各账号自己管理，NACL 由网络账号管理，两者职责不同。第三个误区是“Sandbox 也要接 TGW”。Sandbox 应保持独立，避免实验流量影响生产路由，也避免实验账号通过 TGW 访问生产资源。