是什么
Landing Zone 是正式搬业务之前先搭好的地基：多账号与组织单元结构、网络分区与集中出口、日志与审计汇聚、统一的账单与权限基线。各家叫法不同（阿里云资源目录加成员账号、腾讯云组织、华为云组织与企业项目），思路一致：先把治理边界画清楚，业务再按账号边界一个个搬进来。地基没打好就开搬，后面每加一个系统都要还一次技术债。
基本信息
| 账号体系 | 多账号加组织单元，按业务线或环境切分，而不是全都堆在主账号 |
|---|---|
| 网络 | 集中出口、共享服务网段、分区互联与统一的路由规划 |
| 安全 | 日志与审计汇聚到独立账号，权限按最小化基线收敛 |
| 成本 | 统一标签规范与分账策略，账单可按业务线归属 |
| 落地方式 | 能用基础设施即代码定义的就不要手工点选，便于复制与审计 |
典型使用场景
- 集团或大部门上云，需要按业务线、环境隔离资源与账单
- 生产、测试、研发分账号，避免误操作影响生产资源
- 集中出口：所有出网流量经统一网段，配合防火墙做统一审计
- 日志、审计、备份汇聚到专用账号，防止业务侧有人能删掉证据
- 用角色扮演代替长期密钥做跨账号访问，密钥不再落地到各地
落地核对清单
落地核对清单
- 账号结构：主账号、成员账号、财务与审计账号是否分开
- 网络：地址段规划、集中出口、共享服务网段是否就位
- 权限：谁能改哪些资源，是否有越权审批路径
- 日志：操作审计与流量日志是否汇聚到不可篡改的位置
- 账单：标签规范是否强制，未打标签资源如何处理
- 交付：基础配置是否已代码化，能否一键复制到新账号分层落地与验收
| 层面 | 落地内容 | 验收方式 |
|---|---|---|
| 账号与权限 | 组织单元结构、角色与权限基线 | 用测试账号尝试越权操作，应被拒绝 |
| 网络 | 地址规划、集中出口、互联与路由 | 从各分区实测到公网与共享服务的连通性 |
| 可观测 | 审计日志、流量日志汇聚到独立账号 | 核对日志完整性，验证业务侧无法删除 |
| 成本 | 标签规范与分账报表 | 抽查资源标签覆盖率与账单归属是否准确 |
账号结构一旦跑起来再调整成本很高：成员账号之间的资源迁移、权限重建、账单历史都会受影响，所以结构设计要在搬业务之前定稿。
把主账号当成日常运维账号、或把长期密钥写进脚本与镜像，是地基最常见的破口；跨账号访问优先用角色扮演与临时凭证。