借助 Cloud Foundations 产品工厂规划设计并一键部署云上多账户访问控制及权限策略等基础设施资源
内容提要
Cloud Foundations围绕云底座理念展开六大类三十项能力建设。工作负载隔离能力建设是重要的后续工作之一，旨在减少缺陷和威胁的影响。云上网络联通和访问权限控制是基础着陆区部署的两项架构建设。产品工厂功能满足定制化的云上资源自动化创建和管理需求。产品工厂的设计思想是基础设施即定义，通过阶段和变量抽象共通的属性，实现多部门相关访问控制资源的大批量运维管理。
延伸解读
产品工厂的定位：从标准化到定制化
基础着陆区对每个客户大同小异，而网络和权限架构则“大异小同”。产品工厂正是为满足这种定制化需求而设计，通过“基础设施即定义”简化云资源自动化创建和管理。它无需编程，只需JSON语法，降低了自动化门槛，让团队更专注于架构设计本身。
块与依赖：产品定义的核心逻辑
产品定义的最小单元是“块”，即特定账户、区域和服务下的一组资源。块内和块间存在依赖关系，例如IAM角色依赖客户策略，KMS密钥需先于S3桶创建。通过将块映射到流水线阶段，无依赖的块可并发执行，有依赖的则顺序执行，从而在满足依赖的同时提升部署效率。
多部门批量运维：阶段与变量的妙用
面对多部门相似的访问权限需求，复制产品定义会导致冗余和硬代码。产品工厂允许将成员账户和部门名称抽象为阶段和变量，通过单一产品定义动态生成适应不同部门的资源。例如，用${STAGE}和${DEPARTMENT}替换具体值，即可为肿瘤部、门诊部等批量部署，大幅简化后期维护。
账户创建蓝图：标准化账户配置
当阶段指定为账户号码时，产品部署即成为对该账户的资源创建过程，称为“账户创建蓝图”。账户工厂创建账户后，通过启动蓝图产品并以新账户号码为阶段，可自动完成账户标准化配置。与AWS Control Tower的AFT不同，Cloud Foundations允许一个账户同时适用多个蓝图产品，灵活性更高。
Q&A
Cloud Foundations 的主要功能是什么？
Cloud Foundations 主要围绕云底座理念展开六大类三十项能力建设，支持云上资源的自动化创建和管理。
什么是基础设施即定义？
基础设施即定义是 Cloud Foundations 的设计思想，简化了云资源的管理过程，只需了解 JSON 语法，无需掌握编程语言。
如何通过产品工厂进行访问权限控制的管理？
通过产品工厂，用户可以定义访问权限控制的产品，利用 JSON 格式创建和管理 IAM 角色、权限集等资源。
Cloud Foundations 如何支持多部门的资源管理？
Cloud Foundations 通过灵活运用阶段和变量，能够为多部门相关访问控制资源进行大批量运维管理，简化操作。
产品工厂的设计思想与基础设施即代码有何不同？
产品工厂的设计思想是基础设施即定义，简化了基础设施即代码的复杂性，无需编写代码，只需使用 JSON 语法。
在 Cloud Foundations 中，如何定义和部署产品？
用户需创建产品应用配置文件，启动产品并执行流水线以定义和部署所需的云资源。
