一个AWS账户塞下所有东西？这才是安全隐患

很多团队的第一反应是"先跑起来再说"，把生产环境、测试代码、部署流水线全塞进同一个AWS账户。这在创业初期确实省事，但等系统稳定后，安全债就开始计息了。

一位工程师最近分享了他们的整改经历：原本所有应用共享一个账户，现在要按AWS最佳实践拆成多账户架构。核心挑战不是"要不要拆"，而是怎么让现有的持续交付流水线（CI/CD）跨账户工作。

为什么账户隔离是安全基线

AWS架构完善框架的安全支柱明确建议：用账户级别隔离不同环境（生产、开发、测试）和工作负载。这不是可选优化，而是SEC01-BP01这条基础最佳实践的核心要求。

账户隔离提供的是硬边界——安全事件不会跨账户蔓延，计费可以精确拆分，权限管控也更清晰。原文提到的反模式正是很多团队的现状：把不同敏感等级的无关工作负载塞进同一个账户，"这正好就是我们的情况"。

整改方案分五步推进。前三个步骤相对直接，真正的技术难点在最后两步：如何让CodePipeline跨账户部署，以及如何设计网络架构。

共享子网 vs 每个账户自建网络

多账户架构有个常见误区：让每个应用账户都独立搭建虚拟私有云（VPC）和子网。这会带来运维噩梦——IP地址规划冲突、路由表爆炸、安全组管理碎片化。

原文采用的方案是共享子网模型。从安全和运维双重视角看，这有几个明显收益：网络配置集中管控，减少重复建设；安全策略统一收口，避免各自为战；运维复杂度显著降低，工程师不用在十几个账户之间切换排查。

具体实现上，需要让原有的CI/CD组件具备跨账户操作能力。这涉及IAM角色信任链、制品（Artifact）跨账户传递、以及部署阶段的权限委托——每一步都需要精细设计，否则流水线会在账户边界处卡住。

CodePipeline的跨账户改造

改造前的流水线全在一个账户内运转：代码提交→构建→打包→部署，所有环节共享同一套凭证和权限。拆分到多账户后，这个闭环被打破了。

关键设计是让生产账户"信任"工具账户的流水线。具体做法是：在生产账户中创建IAM角色，明确允许工具账户的CodePipeline服务代入（AssumeRole）。这样流水线本身留在工具账户，但部署动作以生产账户的身份执行，实现权限最小化。

制品传递也需要重新设计。S3存储桶不能简单跨账户访问，需要配置存储桶策略，允许目标账户读取。或者更干净的做法：让每个账户的流水线阶段自己从授权来源拉取，避免长距离权限穿透。

原文展示的简化架构图里，最终形态清晰分离了三个层次：共享网络基础设施、集中式工具链（CodePipeline、ECR镜像仓库、S3制品桶）、以及按工作负载隔离的应用账户。每个应用账户只包含运行中的工作负载，不存放部署工具。

为什么这件事值得现在做

多账户架构的改造成本确实不低——网络重构、流水线重写、权限重新梳理。但原文的案例说明了一个判断标准：当系统已经稳定运行，正是还安全债的窗口期。等业务再膨胀，耦合更深，迁移成本会指数级上升。

另一个启示是"共享子网"这个设计选择。很多团队一想到隔离就走向极端，每个账户完全自治。但云架构的精髓在于找到控制与敏捷的平衡点：账户边界提供安全隔离，共享基础设施降低运维负担，两者并不矛盾。

对于正在AWS上构建系统的团队，这个案例的价值在于展示了从"单账户凑合"到"多账户规范"的具体路径。不是抽象的最佳实践宣讲，而是带着真实约束的改造记录——包括哪些步骤直截了当，哪些需要重点攻坚。

最后留个判断：账户隔离正在从"大公司专属"变成"基础标配"。随着合规要求收紧和供应链攻击频发，权限爆炸半径的控制能力会成为技术选型的核心指标。能在架构早期就预留账户隔离扩展性的团队，后期会少很多凌晨救火的事故。