</>Học Dev
Bài học

Tuần 3 - Ngày 2: Multi-Account Patterns

Tuần 3 – Ngày 2

Tuần 3 - Ngày 2: Multi-Account Patterns

Mục tiêu học tập

  • Hiểu các multi-account patterns phổ biến
  • Nắm vững cách thiết kế account structure
  • Biết cross-account access patterns

1. Tại sao cần Multi-Account?

Single Account Problems

SingleAccount:┌─────────────────────────────────────────────┐│Account││┌─────────┐┌─────────┐┌─────────┐│││Dev││Test││Prod│││└─────────┘└─────────┘└─────────┘││││Problems:││-Blastradius(mistakeaffectsall)││-Permissioncomplexity││-Resourcelimitsshared││-Billingnotseparated││-Compliancechallenges│└─────────────────────────────────────────────┘

Benefits of Multi-Account

Multi-Account:┌───────────┐┌───────────┐┌───────────┐│Dev││Test││Prod││Account││Account││Account│└───────────┘└───────────┘└───────────┘│││└─────────────┴─────────────┘│┌──────────────┴──────────────┐│SecurityAccount││(Centralizedlogging)│└─────────────────────────────┘Benefits:✓Workloadisolation✓Clearsecurityboundaries✓Separatebilling✓Independentservicelimits✓Simplifiedcompliance

2. Common Account Patterns

Pattern 1: Environment-based

┌─────────────────────────────────────────────┐│Organization││││┌─────────────────────────────────────┐│││WorkloadsOU││││┌─────────┐┌─────────┐┌───────┐│││││Dev││Stage││Prod││││││Account││Account││Account│││││└─────────┘└─────────┘└───────┘│││└─────────────────────────────────────┘│└─────────────────────────────────────────────┘Usecase:Simpleapplications,smallteams

Pattern 2: Team-based

┌─────────────────────────────────────────────┐│Organization││││┌──────────────┐┌──────────────┐│││TeamAOU││TeamBOU││││┌───┐┌───┐││┌───┐┌───┐│││││Dev││Prd││││Dev││Prd│││││└───┘└───┘││└───┘└───┘│││└──────────────┘└──────────────┘│└─────────────────────────────────────────────┘Usecase:Autonomousteams,microservices

Pattern 3: Application-based

┌─────────────────────────────────────────────┐│Organization││││┌────────────┐┌────────────┐│││App1OU││App2OU││││┌────────┐││┌────────┐│││││Dev│Prd││││Dev│Prd│││││└────────┘││└────────┘│││└────────────┘└────────────┘│└─────────────────────────────────────────────┘Usecase:Multipleproducts,differentcompliance

3. AWS Landing Zone Pattern

Recommended Structure

Root│├──CoreOU│├──ManagementAccount(root/payer)│├──LogArchiveAccount││└──Centralizedlogs(CloudTrail,Config,etc.)│├──SecurityAccount││└──Securitytools(GuardDuty,SecurityHub)│└──AuditAccount│└──Read-onlyaccessforauditors│├──InfrastructureOU│├──NetworkAccount││└──TransitGateway,DirectConnect│└──SharedServicesAccount│└──AD,DNS,CI/CDtools│├──SandboxOU│└──Developerexperimentationaccounts│├──WorkloadsOU│├──ProductionOU││└──Productionaccounts│└──Non-ProductionOU│└──Dev,Test,Stagingaccounts│└──SuspendedOU└──Accountspendingdeletion

4. Cross-Account Access

Method 1: IAM Roles (Recommended)

┌─────────────────┐┌─────────────────┐│AccountA││AccountB││(Source)││(Target)││││││┌───────────┐│Assume│┌───────────┐│││IAMUser││──────────►││IAMRole││││orRole││Role│││││└───────────┘││└───────────┘││││││Needs:││Needs:││sts:AssumeRole││TrustPolicy││permission││allowingAccA│└─────────────────┘└─────────────────┘

Trust Policy (Account B):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111111111111:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "unique-external-id"
        }
      }
    }
  ]
}

Method 2: Resource-based Policies

┌─────────────────┐┌─────────────────┐│AccountA││AccountB││││││┌───────────┐│Direct│┌───────────┐│││IAMUser││──────────►││S3Bucket││││││Access│││││└───────────┘││└───────────┘││││││Needs:││Needs:││s3:GetObject││BucketPolicy││permission││allowingAccA│└─────────────────┘└─────────────────┘

Bucket Policy (Account B):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111111111111:user/username"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::bucket-name/*"
    }
  ]
}

When to use which?

ScenarioMethod
Access multiple resourcesIAM Role
Temporary accessIAM Role
Single resource accessResource Policy
S3, SQS, SNS, KMSEither
Audit requirementsIAM Role (better audit)

5. Centralized Services Pattern

Centralized Logging

┌─────────────────────────────────────────────────────────┐│LogArchiveAccount││││┌─────────────────────────────────────────────────┐│││S3Bucket(Logs)││││││││CloudTrail←Allaccounts││││Config←Allaccounts││││VPCFlows←Allaccounts││││CloudWatch←Allaccounts│││└─────────────────────────────────────────────────┘││││Features:││-Bucketpolicypreventsdeletion││-S3ObjectLockforcompliance││-Lifecyclepoliciesforcostoptimization│└─────────────────────────────────────────────────────────┘

Centralized Security

┌─────────────────────────────────────────────────────────┐│SecurityAccount││(DelegatedAdmin)││││┌──────────┐┌──────────┐┌──────────┐┌──────────┐│││GuardDuty││Security││Config││Inspector││││Admin││Hub││Aggregator││Admin│││└──────────┘└──────────┘└──────────┘└──────────┘││││││││└────────────┴────────────┴────────────┘│││││Aggregatesfindingsfrom││allmemberaccounts│└─────────────────────────────────────────────────────────┘

Centralized Network

┌─────────────────────────────────────────────────────────┐│NetworkAccount││││┌─────────────────────────────────────────────────┐│││TransitGateway│││││││││┌──────────────┼──────────────┐│││││││││││▼▼▼││││VPCAVPCBVPCC││││(Acc1)(Acc2)(Acc3)│││└─────────────────────────────────────────────────┘││││Alsocontains:││-DirectConnectGateway││-VPNconnections││-DNS(Route53Resolver)│└─────────────────────────────────────────────────────────┘

6. Account Vending

AWS Service Catalog

AccountRequest→ServiceCatalog→CloudFormation│▼┌─────────────────────┐│NewAccount││││-StandardVPC││-IAMRoles││-SecurityConfig││-Loggingenabled│└─────────────────────┘

AWS Control Tower Account Factory

┌─────────────────┐│ControlTower││AccountFactory│└────────┬────────┘│┌──────────────┼──────────────┐│││▼▼▼┌──────────┐┌──────────┐┌──────────┐│Apply││Create││Apply││Guardrails││Account││Baseline│└──────────┘└──────────┘└──────────┘

7. Câu hỏi ôn tập

  1. 3 common multi-account patterns là gì?

    Xem đáp án

    (1) Environment separation: Prod, Dev, Test, Staging trong separate accounts — blast radius isolation, different IAM policies per environment. (2) Workload/team separation: mỗi team hay product trong account riêng — ownership clarity, independent billing, IAM isolation. (3) Security/Shared services: dedicated accounts cho Log Archive, Security/Audit, Network Hub, Shared Services (CI/CD, monitoring). Thường kết hợp cả 3 patterns.

  2. Cross-account access bằng IAM Role cần gì ở cả 2 phía?

    Xem đáp án

    Account A (có role được assume): Role trust policy allow principal từ Account B assume role (sts:AssumeRole). Account B (muốn assume role): Identity có IAM policy với sts:AssumeRole permission trên role ARN của Account A. Cả hai điều kiện phải thỏa mãn — không thể bypass. Optionally: External ID trong trust policy cho additional security với 3rd-party vendors.

  3. Log Archive Account nên chứa những gì?

    Xem đáp án

    Tất cả audit/compliance logs: CloudTrail (Organization Trail ghi logs của mọi account), CloudWatch Logs (centralized), Config snapshots, S3 Access Logs, ALB Access Logs. Policies: S3 bucket policy chỉ cho phép append (không delete), Vault Lock trên AWS Backup, MFA delete trên S3 bucket. Access: chỉ Security/Compliance team có read access. Member accounts chỉ có write, không có delete.

  4. Network Account thường manage những services nào?

    Xem đáp án

    Transit Gateway (hub routing giữa VPCs và on-premises), Direct Connect connections, AWS Network Firewall, Route 53 Resolver (central DNS), VPC Sharing (share subnets từ centralized VPC đến member accounts), NAT Gateways (centralized egress). Centralized networking giảm cost (không cần mỗi account có DX riêng), tăng visibility và control traffic flow.

  5. Account vending machine hoạt động như thế nào?

    Xem đáp án

    Account Factory (trong Control Tower) tự động tạo accounts với: pre-configured guardrails, SSO access, baseline VPC, logging setup. Process: team fill form → Account Factory trigger Service Catalog → tạo AWS account mới → apply SCPs, baselines, SSO configuration → notify requester. Account ready to use trong phút thay vì days của manual process. Customizable với Account Factory Customization (hooks).

8. Bài tập thực hành

  • Thiết kế multi-account structure cho công ty fictitious
  • Setup cross-account role
  • Configure centralized CloudTrail
  • Explore Control Tower Account Factory

Tài liệu tham khảo chính thức

Ngày tiếp theo: IAM Identity Center (AWS SSO)