检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
安全性：考虑上云后对数据安全性及相关法律法规要求，尽量避免存在安全风险或者违反相关法律法规情况。 可测试性：企业上云要通过试点迁移尽量验证方案并识别可能存在的问题，并不断测试和优化方法来保证上云成功，因此，要选择可测试性强的应用，能够充分验证方案，为后续规模上云铺路。 父主题： 上云试点
整体网络架构 Landing Zone的整体网络架构设计如下图所示。网络运营账号作为Landing Zone的网络枢纽，该账号集中管理多账号的边界网络出入口，并打通多账号下VPC之间的网络。在网络运营账号下集中部署企业路由器（Enterprise Router, ER），通过ER
网络服务选型 华为云提供的网络服务有虚拟私有云VPC、企业路由器ER、企业交换机ESW、云专线DC、虚拟专用网络VPN、全球加速GA、弹性负载均衡ELB、NAT网关、弹性公网IP等。以下是这些网络服务的选型建议： 云内同区域少量VPC互通用对等连接，跨区域VPC互通用云连接CC，
个子账号和下层组织单元。 运行环境隔离原则：生产环境要保持稳定、可靠和安全，而开发和测试环境更强调灵活性，所以生产环境与开发测试环境需要严格隔离。同时针对生产环境配置更严格的控制策略，针对开发测试环境配置更松的控制策略。 业务账号设计原则：针对业务部门，建议按照企业当前所定义的业
模拟测试 库存同步 第三方库存由于和测试环境的库存系统无法打通，所以在测试环境无法进行测试 针对无法测试的场景，讨论应对方案如直接调用库存同步接口模拟测试 支付 线上支付具备测试条件 线下POS支付由于和测试环境无法打通网络，不具备测试条件 针对无法测试的场景，讨论应对方案如：直接调用接口模拟测试等
如何构建平台工程 在云平台上构建平台工程，可以充分利用云平台提供的丰富服务和工具，降低构建和维护成本，并提高IDP的可靠性和可扩展性。以下是一些关键步骤。 明确平台工程的目标和需求 平台工程的核心目标是通过构建自助式内部开发平台（IDP），优化软件交付和生命周期管理，提高开发效率
切换演练 在功能测试和性能测试完成之后，如果云端应用程序和服务运行稳定，就可以开始进行业务切换了。 业务切换是将业务从源端旧系统切换到云上新系统的过程，需要仔细规划和协调，以确保切换过程中不会影响数据的完整以及业务运行。 一般情况下，业务切换需要进行一定的时间，逐步切换流量，同时
如何规划生产、开发和测试环境？ 公共资源如何在多个业务单元之间共享？ 如何统一监控、运维和管控多个业务单元的云资源？ 如何统一管控各业务单元的预算和成本？如何优化云成本？ 如何避免各业务单元过度使用云资源？ 如何将用户进行分组？又应该为用户组设置哪些权限？ 云资源、数据和应用如何
全方位数据边界基于身份控制策略、网络控制策略和资源控制策略构筑起一道坚固的数据安全屏障。确保只有经过严格验证的可信身份，在符合安全标准的可信网络环境中，方能获得对特定资源的访问权限，从而保障数据安全。如下图所示，可信身份从互联网（不可信网络）访问云资源的请求会被拒绝，不可信身份通过本地数据中心网络（可信网
云服务提供商通常会提供各个AZ的大致物理位置和网络延迟信息，不同AZ间可能在物理位置上相隔较远，导致网络延迟增加，实施跨AZ高可用方案要优先选择距离较近的AZ，可以降低网络延迟并提高应用的响应速度。 延迟验证 在正式实施双AZ高可用方案前，需要充分的测试和验证来评估应用程序在不同AZ之间的
和运行状态。 测试和部署：在容器化改造完成后，进行全面的测试，包括单元测试、集成测试和性能测试。确保应用程序在容器环境中正常运行。然后，使用自动化工具或脚本将容器部署到生产环境中。 持续集成与交付：建立持续集成与交付（CI/CD）流程，以便能够快速、可靠地构建、测试和部署新版本的容器化应用程序。
为了确保应用系统的安全性，所有云服务在发布前首先将由应用测试人员执行多轮安全测试，包括但不限于认证、鉴权、API安全、数据库安全等专项安全测试。测试用例覆盖安全设计阶段识别出的安全需求以及攻击者视角的渗透测试用例等。对于无法通过安全测试的应用系统，将禁止上线运营。 第三方软件安全管理
来增强服务的可见性、弹性和稳定性。这有助于减少故障和延迟，并提高问题定位的效率。 实施自动化测试：建立全面的自动化测试策略和工具链。通过单元测试、集成测试和端到端测试等各个层面的自动化测试，可以快速捕捉和解决问题，确保修改一个服务不会对其他服务造成意外影响。 强调文档和标准：建立
、集中网络管理、共享服务管理、统一安全管理、统一合规审计、统一运维管理、统一财务管理和数据边界总共9个领域。 图1 Landing Zone解决方案参考架构 这九大领域的实施需要在特定的账号内完成，比如组织与账号管理是在主账号（管理账号）中完成，而集中网络管理主要是在网络运营账号中完成。下表是九大领域对应的主要账号。
策略、网络控制策略和资源控制策略构筑起一道坚固的数据安全屏障。确保只有经过严格验证的可信身份，在符合安全标准的可信网络环境中，方能获得对特定资源的访问权限，从而保障数据安全。如下图所示，可信身份从互联网（不可信网络）访问云资源的请求会被拒绝，不可信身份通过本地数据中心网络（可信网
业务主管 IT主管、技术主管 财务专家 人力资源主管 云架构师、应用架构师、数据架构师、网络架构师 IT治理专家 运维主管、IT运维专家 CISO、安全专家、合规审计专家 应用开发专家、应用测试专家 应用运维专家 迁移实施工程师 项目经理 父主题： 云采用框架简介
维护这些公共IT服务，将其共享给公司内所有业务单元。华为云提供了三种资源共享的方式。 图1 资源共享方案 基于网络的共享：通过ER或VPC Peering将账号之间的网络打通，在此基础上进行资源共享，该方式仅限于拥有租户可见IP地址的资源，如NTP服务器、自建DNS服务器或者SFS文件存储等。
中心RGC、成本中心、IAM身份中心 网络运营账号 集中部署和管理企业的网络资源，包括网络边界安全防护资源，实现多账号环境下的统一网络资源管理和多账号下VPC网络的互通，尤其需要集中管理面向互联网的出入口和面向线下IDC机房的网络出入口 网络管理团队 ER、DNS、NATG、EI
基础设施建设需要巨额资本支出（Capex），购买服务器、存储设备、网络设备等硬件，并承担维护和更新成本，这需要企业一次性投入大量资金。云服务则采用按需付费模式，将资本支出转化为运营支出（Opex）。企业只需根据实际使用的计算资源、存储空间和网络带宽付费，如同水电费一样。这种模式可以显著降低企业的
开发账号的Tenant Administrator权限 DevOps账号下的开发人员权限 应用测试组 负责应用的测试工作和测试环境的管理工作 测试账号的Tenant Administrator权限 DevOps账号下的测试人员权限 权限设置 主账号的根用户或Admin用户属于超级管理员，拥有最大的
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
