ריבוי חשבונות - AWS MultiAccount

בלי כתוביותעם כתוביות

מילון מושגים:

AWS - שירותי הענן של אמזון (Amazon Web Services), המספקים שרתים, אחסון, מסדי נתונים ושירותים נוספים לפי שימוש.

ענן - אספקת משאבי מחשוב כשירות דרך האינטרנט, כמו שרתים, אחסון ותוכנות, במקום להחזיק אותם מקומית.

הרשאה - קביעה אילו פעולות ומשאבים מותרים למשתמש או לתהליך לאחר שזהותו אומתה. שולטת במי רשאי לעשות מה.

כפתור - רכיב בממשק המשתמש שהמשתמש לוחץ עליו כדי להפעיל פעולה, כמו שליחת טופס או מעבר לדף אחר.

מערכת הפעלה - התוכנה הבסיסית שמנהלת את חומרת המחשב ומשאביו ומריצה את שאר התוכנות, למשל Windows או Linux.

מסד נתונים - אוסף מאורגן של נתונים המאוחסן כך שאפשר לשמור, לחפש, לעדכן ולשלוף אותו ביעילות, לרוב באמצעות שפת שאילתות.

ריבוי חשבונות - AWS MultiAccount

בשיעור זה אנו מעמיקים את נושא החשבונות בענן של אמזון, לומדים למה מומלץ לעבוד עם מספר חשבונות תחת ארגון אחד, מה זה מעלה ומה הוא מספק, וכיצד מקימים את המבנה הזה בפועל.

נושאי הסיכום המוצגים בשיעור:

1. חזרה על הבסיס: בהרצאה הקודמת דיברנו על חשבון יחיד שבו מקימים את כל סביבת המחשוב, וכעת עוברים לרעיון של מספר חשבונות שמאוגדים יחד תחת ישות אחת שנקראת ארגון, יכולת שאמזון הוסיפו ב-2017.

2. ההמלצה של היום: מי שמקים חשבון ב-AWS מומלץ בהחלט לחתור לכיוון של מספר חשבונות תחת ארגון אחד, ולא להסתפק בחשבון בודד.

3. הסיבה הראשונה, הפרדה בין סביבות עבודה: בכל חשבון מקימים סביבה שונה, חשבון אחד לפרודקשן, חשבון לפיתוח או לסטייג'ינג, חשבון לסנדבוקס להתנסות ותרגול, וחשבון להדרכות בארגון, וזהו עיקרון ההפרדה בין עומסי העבודה.

4. הסיבה השנייה, חיוב מאוחד: כאשר כל החשבונות נמצאים בתוך אותו ארגון, אפשר לשלם על כולם מחשבון ראשי אחד, כלומר רק בחשבון הראשי משאירים את כרטיס האשראי או החשבון הבנקאי, ואת עלות השימוש בשירותים בכל החשבונות משלמים מחשבון אחד, דבר שחשוב מאוד לרוב החברות שרוצות חשבונית אחת.

5. חיוב מפורט לכל חשבון: אף על פי שהתשלום מתאחד בחשבון הראשי, ניתן עדיין לראות את השימוש ואת העלות של כל חשבון בנפרד, וכך אפשר לדעת כמה עולה הפיתוח, כמה עולה הסנדבוקס וכמה עולה לתפעל את הפרודקשן, רמת פירוט חיוב שאין לה אפשרות השוואה כשמקימים מרכז נתונים משלנו.

6. הסיבה השלישית, הצבעה על עלויות למחלקות: אפשר לגשת אל הארגון ולהגיד לכל מחלקה כמה היא עולה לנו, מה עולה הפרודקשן, מה עולה הפיתוח הראשון והשני, ואף לראות כמה עולה כל משאב בכל חשבון, מה שהופך את הניהול הכספי לשקוף לגמרי.

7. הסיבה הרביעית, הפרדה בין משתמשים: מבחינת אבטחה חשוב להפריד בין החשבונות, כיוון שיש אנשים בארגון שאיננו רוצים שיעבדו בחשבון מסוים או אפילו שיראו מה יש בו, ובחשבונות נפרדים אפשר לקבוע שיוזר אחד יעבוד בחשבון הפיתוח ויוזר אחר בחשבון הפרודקשן, ושאף אחד מהם לא יוכל להיכנס לחשבונות שאין לו הרשאה אליהם.

8. הסיבה החמישית, הקטנת הנזק אם משהו מתפרץ: ברמת האבטחה קריטי להקטין את הנזק במידה ומישהו, אפילו עובד מתוך הארגון, משתלט על חשבון או פוגע בו מסיבה כלשהי, כיוון שאם בחשבון יחיד יש גם את הפיתוח וגם את הסטייג'ינג וגם את הסנדבוקס, סיכוי לתקלה שתהרוס את כל החשבון גדול מאוד, ובהפרדה אסון בפיתוח או בסנדבוקס לא יפגע כלל בפרודקשן.

9. נוחות ניהולית והמחיר: נוח מאוד להקים חשבון לקורס הדרכה וכשאין בו עוד צורך למחוק את כל המשאבים ולסגור אותו, דבר שהיה מסוכן אם ההדרכה הייתה נעשית על חשבון הפרודקשן, וחשוב לזכור שהקמת חשבון עצמו אינה עולה כסף אפילו למאתיים חשבונות, מה שעולה כסף הוא השימוש בשירותים בתוכם, ולכן עשרים מכונות בחשבון אחד עולות בדיוק כמו ארבע מכונות בכל אחד מחמישה חשבונות, אך ניהול מספר חשבונות דורש קצת יותר סבל ולעיתים שכפול מערכות בכמה חשבונות.

10. כיצד מקימים את זה בפועל: מתחילים בהרשמה לחשבון יחיד, לוחצים על כפתור אחד ומייצרים את הארגון כך שהחשבון הזה הופך להיות החשבון הראשי של הארגון, ומבחינתנו בשום אופן לא מרימים בו עומסי עבודה, אף מערכת הפעלה או מסד נתונים, הוא יישאר כמעט ריק עם שירותי ניהול בלבד, ומשם פשוט מתחילים להקים חשבונות נוספים תחת החשבון הראשי.

11. שמות החשבונות והמבנה שלהם: החשבון הראשי נקרא חשבון המשלם או חשבון הניהול, והחשבונות האחרים שניצור נקראים חשבונות מחוברים, הם מחוברים אל החשבון הראשי, לכל אחד יש שם משלו כמו פרודקשן, פיתוח ראשון ושני וסנדבוקס, ובכל אחד מהם מקימים רשתות וירטואליות פרטיות ובהן כל עומסי העבודה של הארגון, והתשלום על הכול מתבצע מכרטיס האשראי או החשבון הבנקאי של החשבון הראשי.

12. המסקנה המעשית: זו הדרך הנכונה והיחידה לעבוד ב-AWS, ולשם כך חייבים להפעיל את היכולת של הארגון כדי שנוכל לייצר חשבונות נוספים תחת החשבון הראשי.

לסיכום, בשיעור זה למדנו את כל הסיבות לעבוד עם מספר חשבונות תחת ארגון אחד ב-AWS, הפרדת סביבות עבודה, חיוב מאוחד עם פירוט לכל חשבון, שקיפות עלויות למחלקות, הפרדת משתמשים והקטנת הנזק בתקלה או פריצה, הבנו שהקמת חשבון אינה עולה כסף ורק השימוש כן, וצפינו בתהליך ההקמה של הארגון סביב החשבון הראשי שנשאר ריק לניהול.

בשיעור הבא נעסוק בנושא הסבר על AWS Organizational Unit.

פרקי ההרצאה: ריבוי חשבונות - AWS MultiAccount

תמלול ההרצאה: ריבוי חשבונות - AWS MultiAccount

הטקסט המלא של הדקות הראשונות בהרצאה «ריבוי חשבונות - AWS MultiAccount» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
אז אנחנו ממשיכים לדבר על הרעיון של חשבונות ב-AWS, חשבונות בענן של אמזון. בסרטון הקודם, AWS Organization Part 1, בחלק הראשון דיברנו על חשבון יחיד.
00:14
מה קורה כאשר מישהו רוצה להרים חשבון אחד ב-AWS? לחלוטין זה אפשרי, ודיברנו על זה בפרק הקודם, שבו דיברנו על זה שאתה מרים חשבון יחיד, ואתה בחשבון הזה יכול להרים את הסביבה של ה-IT שלך.
00:29
אתה יכול לעשות ביגרציה, לאכול להרים דאטה-בייסים, מכונות, וירטואליות, וכן הלאה וכן הלאה. ואז אמרנו שיש את הרעיון של מולטיפול אקאונטס, הרעיון של מספר חשבונות, אבל לא סתם להרים מספר חשבונות, אלא אפשר להרים אותם תחת אנטיטי אחד שנקרא אורגניזיישן.
00:49
אז הרעיון הוא מאוד מאוד פשוט. הרעיון אומר שבדרך כלל ארגון מרים, או עושה פרוביז'ינינג, למספר של חשבונות AWS. אז למה לא לאגד אותם יחד תחת איזשהו אנטיטי אחד?
01:02
אז זה באמת מה ש-AWS עשו ב-2017, הם יצאו עם הרעיון, עם הפיצ'ר שנקרא Organization. וההמלצה היא, נכון להיום, אם אתם מרימים חשבון ב-AWS, ההמלצה היא לחלוטין לחתור לכיוון של Multiple Account, של מספר חשבונות.
01:19
מה הסיבות בעצם לכמה חשבונות, או למה זה טוב ללכת לכיוון הזה? קודם כל, בכל חשבון אתם תוכלו להרים סביבה שונה. למשל, חשבון אחד יהיה חשבון הפרודקשן, חשבון השני יהיה אולי חשבון של קסטומרס, חשבון שלישי יכול להיות שהוא הדיבלופמנט או סטייג'ינג, החשבון הרביעי יכול להיות שהוא סתם חשבון סנדבוקס
01:40
שאתם רוצים לשחק בו איזשהו, אתם יודעים, סתם לבדוק כל מיני שירותים ולתרגל משהו, חשבון נוסף יכול להיות להדרכה בארגון, אתם רוצים לעשות הדרכות של AWS וכן הלאה וכן הלאה.
01:53
אז הרעיון הראשוני אומר, אנחנו רוצים לעשות סגרגציה, להבדיל בין ה-Workloads, בין הסביבות עבודה, Production, Dev, Customers, Sandbox וכן הלאה וכן הלאה. הדבר הבא הוא נקרא Aggregated Billing.
02:07
ברגע שיש לי כמה חשבונות, אם הם בתוך אותו Organization, אני אוכל לשלם על כל החשבונות האלה בחשבון הראשי שלי. כלומר, רק בחשבון הראשי אני אשים את ה-Credit Card או את החשבון בנק, ואת העלות של ה-Usage של השימוש בשירותים השונים של AWS בכל החשבונות, כל זה אני אשלם מחשבון אחד.
02:28
מאוד חשוב לחברות, לרוב החברות זה מאוד מאוד חשוב לשלם את זה מחשבון אחד באיזשהו חשבונית אחת. בנוסף, אתם תוכלו לראות את הבילינג של כל חשבון וחשבון בנפרד.
02:42
נכון שתשלמו את הכל בחשבון העליון, בחשבון המנג'מנט, בפייר אקאונט, החשבון הראשון שיצרתם, אבל עדיין תוכלו לראות, ואנחנו נראה את זה עוד מעט, עדיין תוכלו לראות את הבילינג, את ה-usage בכל חשבון בנפרד, את העלות של כל חשבון.
03:00
מה זה אומר? אני אוכל לראות כמה עולה לי ה-dev, אני אוכל לראות כמה עולה לי החשבון משחקים שלנו, ה-sandbox, אני יכול לדעת כמה עולה לי חשבון ה-production, או שאני אומר כמה עולה לי, אני יכול לדעת כמה עולה לי לתפעל את ה-production
03:14
שלי. הדבר הזה הוא גאוני, הדבר הזה הוא באמת מיוחד. אין לכם שום אפשרות להגיע לרמה כזאת של בילינג כשאתם מרימים דאטה סנטר של עצמכם.
03:24
פשוט אין אפשרות כזו. אז הדבר השלישי, היכולת שלכם, כמו שאמרתי, זה לתת למחלקה המסוימת בארגון להגיד להם, חבר'ה, אתם צריכים לשלם איקס וכך כסף בגלל שזה מה שאתם עולים לנו, המשחקים שלכם, הטריינינג, הפרודקשן,
03:41
הקסטומר הזה והזה, זה מה שעולה לי. הדבר הנוסף הוא User Separation, מאוד חשוב לי מבחינת Security להבדיל בין החשבונות, כי יכול מאוד להיות שיש אנשים בארגון שאני לא רוצה שיעבדו בחשבון מסוים.
03:55
מכל מיני סיבות אני אפילו לא רוצה שיראו מה יש בחשבון הזה, ברגע