亚马逊AWS官方博客
·
AWS DevOps Agent 接入 AWS 中国区（二）：多账号扩展、跨云接入与无长期 AK/SK 认证
内容提要
本文介绍了AWS DevOps Agent在中国区的接入，重点讨论多账号扩展、跨云接入及凭证管理。通过使用IAM Roles Anywhere替代长期AK/SK，提升了安全性和灵活性。采用Hub-Spoke架构简化多账号管理，确保跨云访问的安全性，并分享了实际部署过程中的经验教训及解决方案，强调长期运维的安全性与可扩展性。
关键要点
-
AWS DevOps Agent 在中国区的接入重点在于多账号扩展、跨云接入及凭证管理。
-
采用 IAM Roles Anywhere 替代长期 AK/SK，提升了安全性和灵活性。
-
Hub-Spoke 架构简化了多账号管理，确保跨云访问的安全性。
-
实际部署过程中分享了经验教训及解决方案，强调长期运维的安全性与可扩展性。
-
跨云接入时，阿里云仍需使用 AK/SK，Roles Anywhere 仅适用于 AWS 体系内。
-
新增账号的流程简化，不再需要创建 IAM 用户和生成 AK/SK，提升了管理效率。
-
成本分析显示，采用每账号一个独立 Task 的方案，额外成本较低，且提高了安全性。
延伸解读
IAM Roles Anywhere 的优势
IAM Roles Anywhere 通过使用 X.509 证书替代长期 AK/SK，显著提升了安全性和灵活性。证书一旦泄露，可以迅速吊销，避免了长期密钥带来的风险。这种机制特别适合需要频繁变更权限的环境，确保了在多账号管理中的安全性。
Hub-Spoke 架构的管理效率
Hub-Spoke 架构简化了多账号的管理流程。通过在 Hub 账号中配置 IAM Roles Anywhere，新增账号时只需在 Spoke 账号中部署角色，极大减少了操作负担。这种方式不仅提高了管理效率，还降低了因账号数量增加而带来的复杂性。
跨云接入的局限性
尽管 IAM Roles Anywhere 提供了更安全的认证方式，但在跨云接入时仍需依赖传统的 AK/SK 机制，例如阿里云。这意味着在多云环境中，用户需要同时管理不同的认证方式，增加了运维的复杂性和风险。
成本与安全的权衡
采用每账号一个独立 Task 的方案，虽然增加了少量成本，但在安全性和隔离性上带来了显著提升。对于账号数量较少的场景，AK/SK 方案可能仍可接受，但随着账号数量的增加，尽早切换到 Hub-Spoke 架构将更具长期收益。
延伸问答
AWS DevOps Agent 在中国区的接入主要解决了哪些问题？
主要解决了多账号扩展、跨云接入及凭证管理的问题。
IAM Roles Anywhere 如何提升安全性？
它通过使用证书换取临时凭证，避免了长期AK/SK的使用，从而提升了安全性和灵活性。
Hub-Spoke架构在多账号管理中有什么优势？
Hub-Spoke架构简化了多账号管理，只需在一个Hub账号中配置IAM Roles Anywhere，新增账号时只需部署Spoke Role，降低了操作负担。
跨云接入时，阿里云的认证方式是什么？
阿里云仍需使用AK/SK进行认证，Roles Anywhere仅适用于AWS体系内。
新增AWS账号的流程有什么变化？
新增账号的流程简化为只需配置Spoke Role和更新Hub的SpokeRoleArns参数，无需创建IAM用户和生成AK/SK。
采用每账号一个独立Task的方案有什么成本优势？
该方案的额外成本较低，且提高了安全性，确保了账号级别的隔离。
