​​Использование Control Tower для управления организацией в мульти-аккаунт схеме:

https://aws.amazon.com/blogs/apn/reducing-the-cost-of-managing-multiple-aws-accounts-using-aws-control-tower/

Расписаны отличия Control Tower от AWS Landing Zone и что в нём было урезано в последней версии для упрощения развёртывания.

#ControlTower #multi_account_strategy

​​При настройке в Control Tower конфигурации Account factory нужно быть осторожным. Если решите поставить себе автосоздание VPC в нужных вам регионах (Control Tower → Account factory → Configuration) с приватными подсетями (что правильно по безопасности), то обязательно учитывайте, что в результате создадутся NAT GW по штуке на на каждую AZ.

Поставив вполне популярную конфигурацию 2 региона, 2 подсети и 3 зоны (на картинке) и наклепав себе десяток аккаунтов, типа для тренировки на будущее — в конце месяца будет ожидать сюрприз! 💸💸

Т.к. к приватным подсетям создаются NAT GW по штуке на подзону. Итого стольник на каждый регион на каждый аккаунт. Потому, даже ничего не делая, десяток аккаунтов "потренируют" на пару тысяч $$.

https://aws.amazon.com/vpc/pricing

Итого — лучше не включать автосоздание VPC в Control Tower - Account factory, создавая их когда потребуется самостоятельно.

#ControlTower

​​Хорошее видео с онлайн-митапа AWS User Group India, где Ian Mckay, создатель Console Recorder и Former2 рассказал и показал их в действии:

https://youtu.be/JeKEi-me01k?t=456

Там же полноценный 40-минутный доклад несравненной Zamira Jaupaj, которая рассказала про работу Control Tower и AWS Landing Zone — всё очень детально и хорошо разложено по полочкам с реальными примерами, очень рекомендую:

https://youtu.be/JeKEi-me01k?t=1676

Ссылка одна и та же, с разными отметками времени - на начало докладов.

#ControlTower