做好組織規劃是上好云的基礎，在上云之前應根據企業的實際情況做好相關的組織規劃，包括企業上云的組織架構梳理、賬號體系規劃、權限體系規劃等。

梳理組織架構

企業在上云之前需要做好組織架構梳理，建立和維護用云成本意識文化，組織用云成本管理活動和成本優化活動。組織管理活動因企業內部組織的不同而不同，可以有以下三種模式：

• 集中式管理： 通過指定的團隊集中管理和運營云環境和云資源，如集中管理財務運營、成本優化，并在全公司范圍內推動最佳實踐。比如成立云計算卓越中心（CCOE）團隊，它也可以是企業內部的一個團隊，還可以是一個由整個企業的關鍵財務、技術和組織利益相關者組成的新團隊。

• 分布式管理模式： 不同業務團隊和技術團隊分散管理云業務和用云成本，并支撐技術實現。

• 混合管理模式： 集中式管理和分散式管理相結合，共同開展成本優化工作。可以根據成本優化目標（如工作量效率指標）來衡量職能部門的運行和交付能力。

確定組織架構后，需要將組織架構合理的反映到云的賬號體系中，財務管理員等云上財務角色，使用財務工具進行資源管理。實現多組織跨部門的高效管理，云服務的精細化管理，經濟型使用。

規劃賬號體系

賬號不僅是資源的載體，更是企業組織架構的反映。財務管理與成本管理都依賴于賬號結構，一個有效規劃的賬號體系能為成本管理帶來更高的管理效率。

企業可以基于對業務的財務管控訴求，選擇使用多賬號或者共用一個賬號來完成阿里云上的企業財務經營管理全鏈路。企業也可以根據業務場景，組合使用多種財務管控解決方案靈活的完成財務賬號規劃，比如多賬號場景下，指定財務主賬號對其他業務賬號（財務子賬號）進行管理，部分業務使用財務管理方案，部分業務使用財務托管方案，并結合財務單元分賬方案完成成本分攤。

企業用戶可以參照合適場景進行賬號規劃：

場景1 “財務管控機制”不可共用/復用：如果企業擁有多個業務（或項目），同時希望對指定的業務做獨立的財務管控，比如，此業務的預算以及“停/復機管控機制”要與其他業務完全隔離；那么您可以創建多個賬號，每個賬號放1個業務，并將賬號之間建立為財務管理關系；并可以通過跨賬號財務管理解決方案下豐富的批量管理工具，實現獨立管控訴求下的1個主賬號批量運維多個子賬號的高效用云。

場景2 僅“財務管控機制”可共用/復用：如果企業擁有多個業務（或項目），每個業務之間需要IT資源隔離，但財務管控上并不需要精細化到每個業務，比如希望所有的業務先做合并，合并后做1個總預算以及對總可用額度做停/復機管控，則可以創建多個賬號，每個賬號放一個業務，并將賬號之間建立為財務托管關系；

場景3 “財務管控機制”以及“IT資源”均可共用/復用：如果企業擁有多個業務（或項目），每個業務所消耗的IT資源通過IT架構的調整就可做到跨業務復用/共用，所有的業務做合并后的財務管控；那么您需要評估是否能接受在IT資源復用/共用下產生的公攤費用，如果不能接受公攤費用，建議您參考場景2的跨賬號財務托管解決方案；如果能接受公攤費用，那么您可以創建一個賬號，所有業務共用此賬號。

對于包含多組織架構的企業級用戶，通過Landing Zone中對云上多賬號結構進行規劃，結合多組織財務管控方案進行多賬號財務管理及成本管理。

權限體系規劃

良好的身份和權限的規劃能夠確保只有授權的身份才能夠在指定的條件下訪問對應的云資源，明確身份并合理授權對于財務管理和成本管理十分重要。建議劃分財務職能角色，降低管理成本，阻止未經授權的訪問，保護云上資金和數據的安全。關于財務相關的身份及權限規劃部分建議如下：

• 規劃財務管理角色：人員身份通常代表組織中的個人，從云上財務視角出發，建議規劃財務管理員等云上財務角色。財務管理員負責對云上財務及成本進行統一管理，如財務關聯關系配置、資金管理、統一結算、成本分攤等，該角色通常由企業財務團隊或運維團隊承擔。

• 避免使用Root身份：注冊完一個阿里云賬號后，即可通過用戶名和密碼的方式登錄到阿里云控制臺，登錄成功后即獲得Root身份，該身份具有該賬號下所有的權限，一旦賬號密碼泄漏，風險極高。除極個別場景，應該盡可能的使用訪問控制 身份進行財務操作，對身份及權限進行精細化管理。

• 根據組織設置權限：建議將企業組織中日常運營身份與系統做好權限映射，保持權責一致原則。使系統權限與業務管理關系對應，減少運營成本。企業管理員可以授權二級管理員或下級管理員，企業管理員只做為管理職責，由被授權的管理員做業務管理。

• 區分程序和人員身份：建議將程序和人員身份進行區分，便于進行權限管理及操作追溯。一些企業會通過程序拉取賬單進行成本分析，該場景下應僅對程序身份授予賬單讀取權限。程序、人員身份共用的情況下，RAM用戶所關聯的權限需要包含所有身份的使用場景，可能導致權限擴大，一處泄漏會導致所有應用都受到影響，風險擴大，同時增加了泄漏后的止血難度。

• 權限最小化：云上的權限管理的核心原則就是權限最小化，只給財務相關身份授予必要的權限，確保權限最小夠用。對于財務管理相關身份，通過RAM僅授予財務工作職責相關的權限，阻止未經授權的資源訪問。

更多身份及權限管理實踐請參考安全合規支柱。