Clearwater Analytics 如何利用 AWS Cloud Governance 管理 200% 以上的资源

Clearwater 成立于 2004 年，通过其软件即服务模式的投资会计解决方案，为超过 6.4 万亿美元的资产提供汇总、核对和报告服务。该公司自成立以来不断发展壮大，并于 2021 年进行了首次公开募股。

由于 Clearwater 是一家投资会计公司，因此其峰值流量对应于月度、季度和年度财务报告周期。随着公司业务的扩展，Clearwater 对硬件进行了投资，以确保其基础设施（包括三个数据中心和数千台虚拟服务器）能够应对周期性的流量高峰。然而，为了部署新功能或进行更新，Clearwater 需要提前数月进行规划和采购设备。其他供应链问题进一步加剧了这一状况。

Clearwater 在 2023 年迁移到 AWS 后，实现了根据需求灵活扩展和缩减资源的能力，同时提高了可靠性。Clearwater 利用了 AWS Cloud Governance 服务。这些服务包括 AWS Organizations 和 AWS Control Tower。AWS Control Tower 代表公司协调多个 AWS 服务，同时维护安全性和合规性需求。Clearwater 利用这些 AWS Cloud Governance 服务建立了强大的治理基础，实施了服务控制策略，并分散了访问权限，以支持开发人员的工作效率和创新。“AWS 提供了自主开发的控制能力。”Clearwater 云工程师 Ryan Gewondjan 表示：“借助服务控制策略，开发人员可以在最小限度的监督下独立进行操作。”

Clearwater 通过使用多种 AWS 服务来实施基础的安全和治理控制措施。这一过程历时 10 个月，是一个迭代的过程，该公司随着时间的推移不断增加功能。“我们的工程师团队非常精干。”Gewondjan 说：“通过 AWS，我们可以使用 Cloudformation Stacksets 和服务控制策略等内置功能，这是一个巨大的优势。”

它使用 AWS CloudFormation StackSets，只需一次操作即可跨多个账户和 AWS 区域创建、更新或删除堆栈。它使用 AWS CloudFormation StackSets，只需一次操作即可跨多个账户和 AWS 区域创建、更新或删除堆栈。无需修改现有代码，即可为新账户自动预置配置。“我们可以通过简单地添加、删除或更新 AWS CloudFormation StackSets 来扩展账户的预置。”Gewondjan 表示：“我们只需更改一次本地化配置，即可更新所有账户的基准基础架构。”

Clearwater 在 AWS 上构建了沙盒架构，这意味着其开发人员可以自由、快速地进行实验。此外，为了高效启动即将推出的应用程序所需的新 AWS 账户，该公司还开发了定制的自动化服务，该服务运行在 AWS Lambda（一种无服务器、事件驱动的计算服务）和 AWS Control Tower 上。现在，开发人员只需 5 分钟就能在沙盒环境中访问 AWS 资源，为项目设置 AWS 账户也只需 2 小时而不是 2 周。

该公司在很大程度上依赖 AWS Organizations 来隔离账户，以提高灵活性和安全性。Clearwater 还使用 AWS Resource Access Manager (AWS RAM) 服务，这项服务便于在多个账户之间进行简单、安全的 AWS 资源共享，以支持生产账户之间的通信。

Clearwater 在联合访问模式下运营。通过 AWS Identity and Access Management (AWS IAM)，Clearwater 可以指定谁或什么能够访问 AWS 中的服务和资源、集中管理精细权限，并分析访问权限以优化跨 AWS 的权限。该公司使用 AWS IAM Identity Center 安全地创建或连接工作人员身份，并集中管理 350 多个 AWS 账户和 450 个应用程序的访问权限。

利用 AWS Organizations、AWS Control Tower 和 AWS CloudFormation，Clearwater 可以管理比本地多 200% 的资源。它还通过与工作流程系统的集成，支持其多账户策略和自助服务方法。“我们的 AWS 架构使我们能够转向分散的开发运维模式。”Gewondjan 表示：“为分散的团队赋予适当级别的权限，可以消除不必要的瓶颈，使他们能够快速且自主地进行更改。”

Clearwater 自项目启动之初便采用了 AWS 的预防性控制措施，每周节省的工程设计工作时间相当于三天，从而避免了追踪和修复不合规资源所耗费的时间。Clearwater 杰出工程师 Darrel Cherry 表示：“AWS Cloud Governance 服务的控制元素为我们的开发人员提供了安全保障，让他们能够在 AWS 上接受技术培训、迁移工作负载和开发新的工作负载。”