本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 宗旨 3. 制定明确的战略和治理来支持它
<a name="tenet-3"></a>

决定推行多云战略是不够的；您必须制定实现目标的策略，包括明确管理哪些工作负载将流向何处以及为什么。应使用评估标准来优化工作负载及其依赖关系。如果 CSPs 将评估留给个人，那么不协调的蔓延可能会侵蚀多云战略的价值。我们建议您定期评估 CSP 工作负载性能，并将评估作为对 CSP 选择、标准和 future 使用情况的关键输入。

有效的治理策略需要了解整个企业中使用的服务、应用程序和组件的总数。其中不可或缺的是一种强大的标记策略，该策略涵盖 CSPs 并明确了所有已部署资源的所有权、使用情况和环境（例如开发、QA、暂存和生产）。所有内容都应标记为所有者；如果未标记或无法识别所有者，则应将其删除。我们与一家大型金融服务组织密切合作，该组织会自动查找和删除任何未标记的资源，无论它给开发团队带来什么不便，我们都认为这是一种最佳实践。这种标记方法编纂了治理规则并实现了执法自动化，而不是阻碍进展（也就是说，它实施的是护栏，而不是大门）。成本、运营和安全必须以同样的方式进行跟踪、监控和采取行动，同时保持同样的数据深度和透明度 CSPs。

在实施多云战略时，跨云提供商建立清晰一致的客户结构对于维护运营控制和安全至关重要。我们建议采用一种 hub-and-spoke模型，即 AWS 账户 为不同的业务部门单独创建。这些账户由两个关键的中央账户支撑：一个用于整合合规和安全监控的 security/audit 账户，以及一个用于管理互联的中央网络账户。（这种方法已编入的[AWS Control Tower](https://aws.amazon.com/controltower/)设计中。 但是，最低特权和职责分离的原则同样适用于其他云层。 Well-Ar [chitected Framework 详细讨论了这些概念，强烈建议技术AWS 受众](https://docs.aws.amazon.com/wellarchitected/latest/framework/welcome.html)使用。） 这种基础方法应在云提供商之间进行反映，以保持治理和运营的一致性。工作负载帐户应按环境（开发、暂存、生产）或职能进行组织，并为帐户的创建和删除制定明确的流程。

**我们的指导方针：**
+ 实施全面的标签策略，在所有云资源中保持明确的所有权和使用模式。通过一致的标签策略跟踪环境、成本中心、应用程序和业务部门。移除缺少适当标签的资源，以强制执行治理标准并保持环境清晰度。
+ 建立统一的合规框架，在您的多云环境中映射监管要求。保留清晰的文档，说明每个云提供商的控制措施和认证如何支持您的合规义务。
+ 通过自动化而不是使用手动批准流程自动执行治理。将您的治理规则编码到自动化系统中，以便在违反政策的行为发生之前加以防范。这样可以消除人为错误，同时保持开发速度。
+ 在具有集中安全和网络控制的 hub-and-spoke模型中构建帐户。创建用于安全审计和网络管理的专用帐户，以集中管理关键功能。此基础可在整个组织中实现一致的安全策略和网络连接。
+ 要保持运营边界，请为不同的环境和功能创建单独的账户、订阅或项目（取决于您的 CSP 的命名法）。按开发、暂存和生产环境划分工作负载。这种分离可以防止安全事件的蔓延，并保持清晰的操作域。
+ 通过整个环境中一致的指标来监控成本、运营和安全性。对资源利用率、安全事件和支出模式实施统一监控。使用这些数据来优化工作负载放置和资源分配决策。
+ 通过组织策略和自动控制来防止未经授权的云使用。为账户创建和资源配置定义明确的流程。实施[服务控制策略 (SCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)，强制所有账户都遵守组织标准。
+ 建立侦查和预防性控制措施，防止影子 IT 通过未经授权的提供商帐户出现。通过费用报告和网络流量监控未经授权的云使用情况。阻止未经授权的提供商访问，同时保持经批准的创新路径。