SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场landing-zones

landing-zones

部署与运维

查看项目

更新于 10-15 08:17

技能介绍

用途

OCI Landing Zones 是一套面向 Oracle Cloud Infrastructure（OCI）的专家级架构技能，适用于以下场景：设计多租户 OCI 环境、搭建 landing zone Terraform 栈、强制执行 Security Zones、规划 hub-spoke 网络拓扑。

主要能力

该技能以“绝不要这样做（NEVER Do This）”的反面清单形式组织内容，覆盖以下核心领域：

分区层级设计

  • 禁止创建扁平分区结构（如 tenancy/app1-dev、app1-test、app1-prod 平铺），因为无法对全部开发环境应用单一策略、无法按团队委派管理、成本报告无结构、策略重复随团队数量呈 O(n) 增长。
  • 推荐层级结构：tenancy/ 下分 Network（Hub、Spokes）、Security（Vault、Logging）、Workloads（App1 的 Dev/Test/Prod、App2 的 Dev/Test/Prod）、Shared-Services（Identity、Monitoring）。策略继承沿树向下流动，在 Workloads/ 上的一条策略即可应用于所有工作负载。

VCN CIDR 分配

  • 禁止在不同 VCN 间复用 10.0.0.0/16。VCN CIDR 不可变，错误的 CIDR 意味着完全重建加停机。
  • 推荐非重叠分配：Hub VCN 10.0.0.0/16、Dev VCN 10.10.0.0/16、Test VCN 10.20.0.0/16、Prod VCN 10.30.0.0/16。

Security Zones

  • 禁止在生产分区跳过 Security Zones。无护栏的分区中任何人都可以创建公网 IP、未加密的存储桶等。
  • Security Zones 在资源创建之前阻止违规，而审计只能在入侵之后发现问题。
  • 提供 CLI 示例：使用 oci cloud-guard security-zone-recipe create 创建配方（如 CIS-Prod-Recipe，含 deny-public-ip、deny-public-bucket 策略），再用 oci cloud-guard security-zone create 创建安全区。

根分区与资源隔离

  • 禁止将工作负载资源放在根分区。根分区仅用于租户级 IAM（用户、组、策略），根分区中的资源绕过治理、无法委派、违反 CIS OCI Foundations Benchmark。根分区应只包含顶层子分区和租户级 IAM 策略。
  • 禁止在同一分区混用开发和生产资源，否则拥有开发权限的开发者可能误删生产资源，且无法按环境设置不同的备份策略、标签策略或预算告警。

标签策略

  • 禁止跳过标签策略，否则无法进行成本分摊、无法识别浪费。
  • 提供 CLI 示例：创建标签命名空间（如 Organization），创建 CostCenter、Environment、Owner 标签，在分区级别应用 tag-defaults 自动应用到所有资源。

出口流量控制

  • 禁止允许 spoke VCN 直接访问互联网出口，否则数据外泄无法检测、出口成本高昂（每个 spoke 每月 3k-5k 美元）、无 DPI 或出口过滤。
  • 推荐 hub-spoke 集中控制：Spoke → DRG → Hub VCN → Network Firewall → NAT Gateway → Internet，实现单一出口点、防火墙策略、通过 VCN Flow Logs 获得完整可见性。

多区域容灾

  • 禁止对需要 SLA 的生产工作负载使用单区域，区域故障即完全停机。
  • 多区域模式：主区域 us-ashburn-1 + 灾备 us-phoenix-1，使用 Autonomous Data Guard 实现数据库近零 RPO、Traffic Manager 实现 DNS 故障转移（RTO 约 15 分钟）、对象存储跨区域复制、在灾备区域镜像分区结构。

多租户 IAM 决策树

  • 单租户工作负载：采用以环境为中心的模型，分区为 Network、Shared-Services、Workloads/App/Dev-Test-Prod，IAM 按环境组（DevAdmins、ProdOps）限定到环境分区。
  • 多租户 SaaS：若需严格租户隔离，采用每租户一分区（Org/TenantA、Org/TenantB），为每个租户 VCN 建立动态组用于实例主体认证，策略如 allow dynamic-group TenantA-VMs to manage all-resources in compartment TenantA；若无需严格隔离，则共享分区加按租户打标签（设置更快，但爆炸半径共享）。
  • 每租户多环境：嵌套为 TenantA/Dev、TenantA/Test、TenantA/Prod，策略沿树自动继承。
  • 集中式共享服务：Shared-Services 分区（Logging、Monitoring、Identity），授予租户级运维组最小权限只读访问。
  • 提供多租户 IAM 策略模板与护栏：绝不在根授予租户特定策略，限定到租户分区层级；添加新租户前要求 DRG 路由审批工作流。

Security Zone 上线检查清单

  1. 清点分区——导出按标签 Environment=Prod 过滤的 JSON。
  2. 创建/更新配方——克隆 Oracle CIS 配方，追加自定义策略（禁止公网 LB、要求 CMEK）。
  3. 通过 CLI/Terraform 应用——循环分区或使用 Terraform 模块。
  4. 每晚检测漂移——oci cloud-guard security-zone list-problems，对 PROBLEM 状态告警。
  5. 回滚流程——仅在 CISO 批准后移除安全区；所有安全区移除后才能删除配方。

使用方式

该技能通过按需加载参考文件来提供深入指导：

  • 选择分区层级模式（以工作负载为中心 vs 以环境为中心 vs 以租户为中心）、设计带 DRG 的 hub-spoke 网络拓扑、设置标签策略与跨分区成本分摊时，加载 references/landing-zone-patterns.md。
  • 通过 CLI 创建分区层级、批量配置 Security Zones 和 Cloud Guard、设置标签默认值与标签命名空间、创建带成本跟踪的预算时，加载 references/landing-zone-cli.md。
  • 跨多个分区上线或更新 Security Zone 配方、修复漂移、为 Cloud Guard 配方编写 Terraform 自动化时，加载 references/security-zone-automation.md（批量变更时视为强制）。
  • 从零开始设计新 landing zone、准备架构评审或合规审计、比较 Core Landing Zone 与 Operating Entities Landing Zone、需要 Oracle 关于五大支柱（安全、可靠性、性能、成本、运营）的官方指导时，加载 references/oci-well-architected-framework.md。

适用场景

  • 设计多租户 OCI 环境
  • 搭建 landing zone Terraform 栈
  • 强制执行 Security Zones
  • 规划 hub-spoke 网络拓扑
  • 多租户 IAM 策略设计
  • Security Zone 批量上线与漂移修复
  • 架构评审与合规审计准备

限制

该技能的具体收费、价格、平台支持范围、实际效果等事实在提供的资料中暂未提供。