上云之后的账号体系规划

上云之后，控制台里第一个要回答的问题是：谁能登录，各自能做什么。主账号密码存在一个人手机里、全员共用一个登录方式的状态，不该带进云上。 一、主账号只做管理 主账号是权限的最高点，日常操作不该用它。合理姿势是主账号开启多因素验证，密码只由一两个人掌握，用来管理子账号和处理付费；日常控制台操作全部走子账号。这样即使某个子账号密钥泄露，影响也被它的权限范围兜住。 二、子账号按角色分组 子账号不按人头一一定制，按角色建权限组再挂人：运维组给实例和网络的完整权限；开发组给测试环境权限加生产环境只读；财务只看账单；外包人员按项目开短时效账号。新人入职挂组，离职当天移出，权限变化都落在组上，不用逐项改。每个子账号独立密钥，不共用，出了问题也好单独吊销。权限组每半年复审一次：成员还在不在、权限还合不合适，一次十分钟的核对能挡住权限悄悄膨胀。 三、审计日志确认开着 控制台的操作审计多数默认在记录，重点是确认开启并知道去哪查：谁在什么时间改了安全组、释放了哪台实例、动了解析记录。出了问题倒查，审计日志就是第一现场。保留期也确认一下，有条件的话定期导出一份到对象存储留档，控制台侧的保留期通常有限。每月翻一遍高危操作记录，也是成本很低的巡检。 四、小团队起步建议 两三人的团队可以简化成三档：管理档（主账号）、运维档（全功能子账号）、只读档（看监控和账单）。团队扩大再细分，规则先行，人来了往组里挂。 账号体系的核心是把"能做什么"和"是谁"绑在一起。规划花不了半天，省下的是以后每一次权责不清的扯皮。