1. 服務概述

1.1 服務說明

Landing Zone咨詢服務是在客戶系統上云的過程中，提供基于阿里云產品體系的云治理方案設計與方案技術驗證。通過該服務幫助客戶進行資源管理、財務管理、身份管理、網絡規劃、安全防護、合規管理、運維管理、基礎設施即代碼的自動化方案（IaC）設計的技術服務。該服務指導客戶根據阿里云最佳實踐更快地設置安全的多賬戶阿里云環境。

Landing Zone咨詢服務包含4個版本，客戶可以結合自身業務需求進行購買，注意，任何未在本SOW中定義的工作內容或方案均不包含在本項目的交付范圍中。

Landing Zone咨詢服務：

• 輕量版：

  • 區別于基礎版和標準版咨詢服務，輕量版以標準化架構方式交付，只接受少量定制，定制部分主要體現在多賬號體系本身的構建，不含個性化的安全合規、網絡架構設計以及運維自動化的設計內容。

  • 輕量版的交付周期更短，一般為2周左右，以Landing Zone標準架構進行自動化落地，以最低的成本為企業上云打好基礎。

• 基礎版：

  • 基礎咨詢服務：基于客戶的需求進行方案設計，含資源管理、身份管理、網絡規劃和安全防護。

  • 包含基于以上方案的技術驗證工作，確保設定的技術方案具備落地能力。

  • 包含以上內容與客戶自建系統的對接技術方案，例如 SSO、CMDB、ITSM、財務系統，該集成只基于阿里云已有標準產品能力，客戶已有系統的重構、定制開發、配置工作不在服務范圍之內。

• 標準版：

  • 標準咨詢服務：基于客戶的需求進行方案設計，含資源管理、身份管理、網絡規劃、安全防護、合規審計、財務管理、運維管理、基礎設施即代碼的自動化方案（IaC）。

  • 包含基于以上方案的技術驗證工作，確保設定的技術方案具備落地能力。

  • 包含以上內容與客戶自建系統的對接技術方案，例如 SSO、CMDB、ITSM、財務系統，該集成只基于阿里云已有標準產品能力，客戶已有系統的重構、定制開發、配置工作不在服務范圍之內。

• 實施服務：

  • 如果客戶需要阿里云團隊提供具體的落地實施工作，則可購買實施服務，根據項目實際工作量來評估需要購買服務包的數量。

  • 實施服務負責落地項目中的全部設計，但不包括客戶自建系統或其他云平臺、SaaS 服務上的配置、改造、調試工作，范圍僅限于阿里云上的產品。

  • 本服務包以遠程服務為主，可結合項目需求與客戶實際情況進行調整。

  • 對于基礎版服務，推薦至少購買實施服務包 x 1，可結合具體項目情況進行調整。

  • 對于標準版服務，推薦至少購買實施服務包 x 2，可結合具體項目情況進行調整。

  • 如客戶有額外的集成需求，或項目范圍大于標準版，結合實際情況進行溝通。

2. 服務范圍

以下服務范圍按照4個版本分類，分別是Landing Zone咨詢服務輕量版，Landing Zone咨詢服務基礎版，Landing Zone咨詢服務標準版，Landing Zone咨詢服務實施版，不同版本類型服務范圍如下。

2.1 Landing Zone咨詢服務輕量版服務范圍

• 現狀調研：

  • 基于售前階段對輕量版Landing Zone服務的充分交流與演示，收集客戶輕量版Landing Zone實施所需的所有入參，包含客戶組織結構、資源組劃分、Region需求、安全需求、VPC網絡需求等，滿足標準架構搭建所需的必要條件 。

• 自定義需求確認：

  • 基于現狀調研的結果確認客戶自定義需求，主要體現在多賬號設計、財務管理方面。

• 自動化實施：

  • 基于調研輸入，結合自定義需求，通過自動化實施工具完成Landing Zone環境搭建。

• 演示與KT：

  • 為客戶演示云上Landing Zone搭建環境，并結合需求進行初步微調，微調的工作量不超過2人天。

  • 產出Landing Zone輕量版實施手冊，并通過知識傳遞方式傳達給客戶。

2.2 輕量版實施的標準Landing Zone框架：

架構明細說明：

調研需要的入參：

本服務不包含：

• 輕量版僅提供基于標準架構的自動化落地，接受少量必須結合組織結構、VPC規劃方面的定制，不支持詳細的個性化咨詢設計和實施，如有定制化的Landing Zone咨詢設計請購買Landing Zone咨詢服務標準版。

• 方案不涉及到對接客戶自有平臺，如SSO、CMDB、ITSM、計費平臺等，不提供詳細對接方案以及實施支持，如有對接需求請通過標準Landing Zone服務實現。

• 方案不涉及運維自動化（IaC）、日志采集接入等標準Landing Zone所包含的設計內容。

• 由甲方原因導致的進度不符合預期，乙方不承擔延期責任。

• 乙方不負責提供除阿里云官方文檔、項目交付范圍內文檔之外的任何技術文檔。

• 乙方不負責甲方業務系統規劃、架構設計、上云改造、應用過程中的任何實施與維護責任。

• 乙方不負責非阿里云平臺以外（第三方軟件、應用系統）問題處理、技術的支持和答疑工作。

• Landing Zone方案設計完成后的方案實施不在咨詢服務范圍之內，需要客戶結合自身情況落地實施，如有需要購買對應實施服務。

2.3 Landing Zone咨詢服務基礎版服務范圍

Landing Zone咨詢服務基礎版內容如下：

• 調研與評估：

  • 通過遠程信息收集或現場溝通的方式，對客戶的業務現狀及應用系統進行全面調研，了解客戶對于業務及應用的長期規劃。

  • 調研客戶現行IT治理規范，如安全規范、網絡規范、運維規范等，了解客戶的管理現狀以及在規范層面對治理方案的需求。

• 資源管理方案設計：

  • 基于調研與評估的結果，為客戶設計資源管理方案。包含：

    • 賬號架構：規劃阿里云上多賬號體系，規劃上云應用的資源部署原則。

    • 標簽體系：基于標簽進行資源的管理，設計標簽元數據和標簽的全生命周期流程。

• 身份管理方案設計：

  • 基于調研與評估的結果，為客戶設計身份管理方案，包含：

    • 身份認證：梳理身份使用場景，根據場景設計身份認證集成方案，實現與現有身份認證管理系統的集成。

    • 基于角色授權方案：梳理企業云上訪問的角色，基于“權限最小化”原則進行權限定義。

• 網絡規劃方案設計：

  • 基于調研與評估的結果，為客戶設計網絡治理方案，包含：

    • 網絡接入方案：規劃客戶環境與云平臺網絡接入方案，包括專線或VPN接入、應用層訪問接入，運維管理接入方案。

    • 云內部網絡方案：定義網絡架構規劃方案，包括VPC規劃、網段及IP地址規劃、云上DMZ區域設計。

    • 云間互聯方案：基于阿里云CEN，在不同的區域、不同的賬號、不同的本地數據中心建立VPC互聯。

• 安全防護方案設計：

  • 基于調研與評估的結果，為客戶設計安全防護方案，包含：

    • 網絡安全：主要指安全組配置，設計云上網絡安全域劃分方案，通過網絡安全區域進行應用的隔離，同時針對應用的具體需求進行聯通配置；

    • 主機安全：包括主機的漏洞、威脅和攻擊防護方案；

    • 數據安全：包括密鑰管理、數據庫訪問控制、存儲訪問控制，根據客戶需求設計滿足客戶安全要求的數據安全方案。

  • 需要注意的是，安全方案僅包含云平臺本身涉及到的安全，并遵循企業安全管理規范，不涉及客戶應用及其它安全需求。

• 技術驗證：

  • 根據以上資源管理方案、身份管理方案、網絡規劃方案，該階段的目標是為了對方案中所用的技術選型進行技術驗證。技術驗證范圍包括：

    • 企業多賬號體系驗證

    • 用戶身份、權限管理驗證

    • 網絡分配、網段劃分、網絡連通驗證

本服務不包含：

• Landing Zone僅包含客戶云上架構設計內容，不提供企業自身治理咨詢，如有需求請單獨購買相關服務。

• 方案涉及到安全治理僅包括云平臺層面的安全審計治理相關設計，不涉及客戶業務系統本身的應用安全、內容安全、數據安全與傳輸安全，不包含客戶的等保要求等。

• 方案涉及到對接客戶自有平臺，如SSO、CMDB、ITSM、計費平臺等，均只提供對接方案，不負責處理客戶自有平臺本身的技術問題以及不負責具體的對接實現，因為對接實現涉及到客戶現有的平臺代碼調整，不在阿里云服務范圍內。

• 由甲方原因導致的進度不符合預期，乙方不承擔延期責任。

• 乙方按照項目需要通過現場或遠程方式進行詳細調研以及咨詢方案設計，并產出最終結果。

• 乙方不負責提供除阿里云官方文檔、項目交付范圍內文檔之外的任何技術文檔。

• 乙方不負責甲方業務系統規劃、架構設計、上云改造、應用過程中的任何實施與維護責任。

• 乙方不負責非阿里云平臺以外（第三方軟件、應用系統）問題處理、技術的支持和答疑工作。

• 方案設計完成后的方案實施不在咨詢服務的服務范圍之內，需要客戶結合自身情況落地實施，如有需要購買對應實施服務。

2.4 Landing Zone咨詢服務標準版服務范圍

Landing Zone咨詢服務標準版內容如下：

• 調研與評估：

  • 通過遠程信息收集及現場溝通的方式，對客戶的業務現狀及應用系統進行全面調研，了解客戶對于業務及應用的長期規劃。

  • 調研客戶現行IT治理規范，如安全規范、網絡規范、運維規范等，了解客戶的管理現狀以及在規范層面對治理方案的需求。

• 資源管理方案設計：

  • 基于調研與評估的結果，為客戶設計資源管理方案，包含：

    • 賬號架構：規劃阿里云上多賬號體系，規劃上云應用的資源部署原則。

    • 標簽體系：基于標簽進行資源的管理，設計標簽元數據和標簽的全生命周期流程。

• 身份管理方案設計：

  • 基于調研與評估的結果，為客戶設計身份管理方案，包含：

    • 身份認證：梳理身份使用場景，根據場景設計身份認證集成方案，實現與現有身份認證管理系統的集成。

    • 基于角色授權方案：梳理企業云上訪問的角色，基于“權限最小化”原則進行權限定義。

• 網絡規劃方案設計：

  • 基于調研與評估的結果，為客戶設計身份管理方案，包含：

    • 網絡接入方案：規劃客戶環境與云平臺網絡接入方案，包括專線或VPN接入、應用層訪問接入，運維管理接入方案。

    • 云內部網絡方案：定義網絡架構規劃方案，包括VPC規劃、網段及IP地址規劃、云上DMZ區域設計。

    • 云間互聯方案：基于阿里云CEN，在不同的區域、不同的賬號、不同的本地數據中心建立VPC互聯，包括基于PLK實現跨賬號跨VPC服務調用。

    • 安全VPC方案：結合阿里云云防火墻與云企業網轉發路由器，設計安全VPC，將公共服務的流量經安全VPC再到生產服務。

• 安全防護方案設計：

  • 基于調研與評估的結果，為客戶設計身份管理方案，包含：

    • 網絡安全：主要指安全組配置，設計云上網絡安全域劃分方案，通過網絡安全區域進行應用的隔離，同時針對應用的具體需求進行聯通配置。

    • 主機安全：包括主機的漏洞、威脅和攻擊防護方案。

    • 數據安全：包括數據庫訪問控制、存儲訪問控制，根據客戶需求設計滿足客戶安全要求的數據安全方案。

    • 數據加密：從端到端的數據加密方案，包括HTTPS或SSL加密實現傳輸層加密、靜態數據加密（如OSS、云盤等）、通過KMS對用戶數據加密。

  • 需要注意的是，安全方案僅包含云平臺本身涉及到的安全，并遵循企業安全管理規范，不涉及客戶應用及其它安全需求。

• 合規審計方案設計：

  • 基于調研與評估的結果，為客戶設計合規審計方案，包含：

    • 事前防護：基于管控策略對于合規的紅線進行租戶級別的限制。

    • 事中審計：包含操作審計、賬號審計、日志審計等，結合企業審計要求定制服務企業要求的審計方案。

    • 預防性管控：設計符合企業合規紅線，禁止執行某些管理操作，基于管控策略實現租戶級的管控。

    • 發現性管控：設計合規基線并對企業資源進行持續監控，發現不合規資源時，進行記錄、報警乃至自動修復；包括行業標準CIS合規包、資源穩定性合規包。

    • 操作日志的審計：對云上操作、資源變更等日志進行持久化保存，以備審計之需。

    • 監控賬號風險事件：對賬號內異常操作事件定義風險等級并配置告警，及時追蹤到異常操作風險。

• 運維管理方案設計：

  • 基于調研與評估的結果，為客戶設計運維管理方案，包含：

    • 監控管理：基于阿里云已有的監控產品，以阿里云云監控+Arms+Prometheus 為基礎，幫助客戶設計應用和基礎設施監控的標準和規范。

    • 日志管理：基于阿里云已有日志服務產品SLS，結合客戶實際情況設計日志接入和管理規范；包括像VPC Flow Logs采集與告警配置。

• 基礎設施即代碼（IaC）的自動化資源管理方案設計：

  • 基于調研與評估的結果，為客戶設計自動化資源管理方案，包含：

    • 自動化基礎設施管理流程設計：基于客戶項目現狀，設計自動化基礎設施管理流程，包括基礎設施代碼研發、管理、部署規范；但不包含應用相關的自動化流程設計。

    • CI/CD 工具集成設計：設計針對客戶現有CI/CD工具的集成方案，包含CI/CD 工具部署基礎設施所需的阿里云環境網絡連通性方案以及基礎設施部署所需的阿里云上相關服務的認證授權方案。

    • IaC模板：構建服務目錄模板化資源創建，實現自助服務，包含RAM 身份創建模板、網絡基礎設施構建模板。

    • 賬號工廠：對于新增賬號，提供便捷地生成方式，可以內置客戶自身的合規基線。

• 技術驗證：

  • 根據以上資源管理方案、財務管理方案、身份管理方案、網絡規劃方案、合規審計方案、安全防護方案、運維管理方案、自動化管理方案，該階段的目標是為了對方案中所用的技術選型進行技術驗證。技術驗證范圍包括：

    • 企業多賬號體系驗證

    • 用戶身份、權限管理驗證

    • 網絡分配、網段劃分、網絡連通驗證

    • IP白名單、網絡安全組

    • 操作審計、配置審計驗證

    • 安全域隔離性、數據訪問白名單驗證

本服務不包含：

• Landing Zone僅包含客戶云上架構設計內容，不提供企業自身IT體系治理咨詢，如有需求請單獨購買相關服務。

• 方案涉及到安全治理僅包括云平臺層面的安全審計治理相關設計，不涉及客戶業務系統本身的應用安全、內容安全、數據安全與傳輸安全，不包含客戶的等保要求等。

• 方案涉及到對接客戶自有平臺，如SSO、CMDB、ITSM、計費平臺等，均只提供對接方案，不負責處理客戶自有平臺本身的技術問題以及不負責具體的對接實現。

• 方案涉及到的運維管理方案僅包括云平臺層面的運維管理規范設計，不包括客戶業務系統本身以及客戶自擁有IT 系統的運維和管理。

• 方案涉及到的自動化管理規范僅包括阿里云服務基礎設施自動化管理的流程與規范，不包括客戶業務應用、自擁有 IT 系統的研發、管理、部署規范。

• 由甲方原因導致的進度不符合預期，乙方不承擔延期責任。

• 乙方按照項目需要通過現場或遠程方式進行詳細調研以及咨詢方案設計，并產出最終結果。

• 乙方不負責提供除阿里云官方文檔、項目交付范圍內文檔之外的任何技術文檔。

• 乙方不負責甲方業務系統規劃、架構設計、上云改造、應用過程中的任何實施與維護責任。

• 乙方不負責非阿里云平臺以外（第三方軟件、應用系統）問題處理、技術的支持和答疑工作。

• 云化IT治理方案設計完成后的方案實施不在云化IT治理服務的服務范圍之內，需要客戶結合自身情況落地實施。

2.5 Landing Zone實施服務范圍

實施服務包含基于 Landing Zone咨詢與設計的結果，進行云上環境的落地與實施的服務，工作內容具體包含：

• 協助開通云資源、云賬號、完成云上基礎架構搭建、設置多賬號體系，設置云上授權體系，配置混合云網絡與相關安全防護。

• 對接客戶自有平臺，如SSO、CMDB、ITSM、計費平臺等，完成阿里云側的設置，并協助客戶團隊進行集成，提供過程中問題排查與解決方案。

• 優先使用基礎設施即代碼（IaC）的方式完成實施工作，對不支持 IaC 的云服務與配置，使用阿里云 OpenAPI 或手動配置。對于代碼庫與流水線，優先復用客戶已有 DevOps toolchain。

• 客戶可根據實際服務范圍采購多個實施服務包。

本服務不包含：

• 實施服務包必須和咨詢服務配合使用，不支持單獨購買。

• 實施階段不承諾提供任何書面交付物。

• 乙方服務過程中不負責甲方應用的部署、應用代碼的改造、數據代碼改造、數據遷移等具體的實施工作，具體的實施工作由甲方執行，在實施過程中乙方只負責阿里云側云上環境設置與集成，并協助甲方解決阿里云產品使用相關的問題。

• 由甲方原因導致的進度不符合預期，乙方不承擔延期責任。

3. 前提條件

• 客戶應提前至少15個自然日申請該服務，以便于阿里云評估客戶業務目標及時間計劃可行，確認是否承接該服務申請。

• 如客戶的申請涉及大批量資源需求，建議客戶提前一個月申請，具體視供應鏈評估情況協商。

• 客戶應及時向乙方提供所有需要的合理的文檔、信息、數據、圖表以及必要的系統權限、遠程訪問通道以使乙方可以提供服務。且所有這些資料將受到本協議項下的保密條款的約束。甲方同意向乙方已披露的或將要披露的所有信息是真實、準確并且不會產生誤導。

• Landing Zone咨詢服務基礎版和Landing Zone咨詢服務標準版，乙方的辦公地點不受項目約束，服務的提供方式主要以：電話、釘釘、郵件等方式。

• 本項目交付過程中，若未購買實施服務，則實施主體為甲方，乙方主要提供方案設計及技術驗證過程中的問題處理，具體的IT治理實施動作需要由甲方進行；若購買了實施服務，則方案實施主體為乙方，甲方提供實施必要的技術支持；

• 乙方將在正常業務時間，即星期一到星期五的正常業務時間，即北京時間上午 9:00 到下午 6:00（國家法定節假日除外）提供本項目的交付服務。

• 雙方在項目實施期間采用雙方同意的通訊方式，由雙方的項目經理負責傳遞本項目所需的書面信息，可選擇的通訊方式包括：釘釘，互聯網、FAX、電子郵件等。

• 所有項目交付物為中文（簡體），工作語言為中文。所有交付作品采用Microsoft Office（包括PPT，WORD，Excel，Visio）格式，并以電子拷貝方式提交。

• 甲方與乙方應須按雙方事先達成一致的工作計劃、人員資源計劃與系統確定的工作起止日期投入項目工作。如遇到甲方相關業務系統迭代延期上線，相關項目進度將會產生順延，乙方對此不承擔責任。

• 如需引入第三方，甲乙雙方應分別負責同各自第三方簽訂合同。乙方不對甲方的其他分包商或廠商（除乙方的分包商外）的行為負責、亦不對由其造成的延遲負責；甲方不對乙方的其他分包商或廠商（除甲方的分包商外）的行為負責、亦不對由其造成的延遲負責。

• 任何一方均不對本合同項下的特殊、附帶、或間接損害或后果性經濟損害（包括利潤或節省金額損失）負責，即便該方已被告知該等損害賠償的可能性。

4. 分工界面

4.1 客戶與阿里云

• 客戶購買Landing Zone咨詢服務，經過阿里云審核及交流后確認服務成立

• 針對該服務期限內，雙方商定并確認具體業務目標及范圍。

• 具體分工界面見下表

Landing Zone咨詢服務輕量版：

由于輕量版服務的特殊性，對其進行單獨說明，分工界面如下：

與基礎版&標準版的服務區別說明：

Landing Zone咨詢服務基礎版&實施版：

責任簡稱：R-Responsible執行人，A-Accountable負責人，C-Consulted征求意見人，I-Informed被告知人，S-Support負責配合“R”完成指標的工作。

4.1.1 客戶

• 客戶指定一名具備合適技能和經驗的項目經理作為與阿里云溝通的主要聯系人，代表客戶直接負責項目實施的計劃、協調、監督與控制以及升級問題與風險，同時全權代表客戶在本項目的各個方面做出決策。

• 根據項目情況，由甲方項目經理協調各方資源主導Landing Zone調研以及技術驗證工作。

• 項目開始由甲方提供企業內部Landing Zone相關的資料和規范文檔，并明確說明執行要求。

4.1.2 阿里云

• 指派一名有經驗的技術經理執行Landing Zone項目管理，并引入、管理乙方項目組人員，與甲方項目經理溝通。

• 通過現狀調研了解客戶系統的基本架構、業務使用場景、技術組件和開發框架等信息，并對Landing Zone規范進行評估。

• 基于現狀調研設計Landing Zone咨詢方案。

• 配合甲方進行Landing Zone咨詢方案技術驗證，協助解決技術驗證過程中遇到的各類問題。

4.1.3 完工標準

• Landing Zone咨詢服務輕量版完工標準：

  • 云上Landing Zone環境完成搭建并經過甲方確認。

  • 產出交付物：《Landing Zone咨詢服務輕量版實施手冊》。

• Landing Zone咨詢服務基礎版完工標準：

  • 企業云化IT治理方案設計完成并經過甲方確認，需包含資源管理、身份管理、網絡規劃及安全防護四項內容。

  • 產出交付物：《Landing Zone咨詢服務基礎版方案》。

• Landing Zone咨詢服務標準版完工標準：

  • 企業云化IT治理方案設計完成并經過甲方確認，需包含資源管理、身份管理、網絡規劃、安全防護、合規審計、財務管理、運維管理、IaC 自動化八項內容。

  • 產出交付物：《LandingZone咨詢服務標準版方案》。

• Landing Zone咨詢服務實施版完工標準：

  • 該服務為實施落地服務，客戶環境實施完成并經過甲方確認，實施部分應包含《Landing Zone咨詢服務基礎/標準方案》的所有需實施的內容。

4.2 服務目錄

服務內容：Landing Zone咨詢服務針對客戶的業務目標，包含以下服務：

5. 服務SLA

• 提供Landing Zone咨詢服務

• 在服務期間內向客戶提供方案技術驗證支持群以及按需的現場保障

• 按對應服務規格提供《Landing Zone咨詢服務基礎版方案》、《Landing Zone咨詢服務標準版方案》

6. 服務流程

Landing Zone咨詢服務流程：

7. 驗收標準

7.1 驗收分項清單

基礎版&標準版Landing Zone驗收清單：

輕量版Landing Zone驗收清單：

7.2 驗收標準

• 乙方項目交付過程中提供Landing Zone治理咨詢，并將關鍵信息記錄在文檔內，因此文檔類交付成果應著重文檔實質內容的驗收，確認乙方提交內容符合甲方需求。

• 若甲方業務流程要求在乙方提交交付成果前需進行各類內部評審，甲方應在約定的驗收時點前推動并及時完成其內部所需評審和匯報。

• 文檔內容經過評審會，若需要修改，乙方修改后提請甲方進行驗收，由甲方指定的代表進行簽收確認。驗收在公共云服務系統頁面上點擊驗收確認按鈕。

• Landing Zone咨詢服務輕量版驗收標準：

  • 《Landing Zone咨詢服務輕量版》按照標準架構搭建完成并符合預期。

• Landing Zone咨詢服務基礎版驗收標準：

  • 《Landing Zone咨詢服務基礎版方案》滿足預期。

• Landing Zone咨詢服務標準版驗收標：

  • 《Landing Zone咨詢服務標準版方案》滿足預期。

• Landing Zone咨詢服務實施收標準：

  • 在阿里云上完成《Landing Zone咨詢服務基礎/標準版方案》落地。

7.3 驗收計劃

根據《7.1驗收分項清單》所列示各階段的交付內容與交付物，本項目將按照以下驗收計劃進行項目驗收，甲方同意根據此驗收計劃對乙方的交付物進行驗收。

Landing Zone咨詢服務基礎版驗收計劃：

Landing Zone咨詢服務標準版驗收計劃：

企業云化IT治理實施服務驗收計劃：

8. 完成標志

客戶驗收完成。