AWS-Beratung für IT-Leiter und Platform-Teams
AWS-Beratung und Cloud Engineering
Ob Neustart auf AWS, gewachsene Einzel-Account-Landschaft oder Umzug von eigener Infrastruktur: SKAFFON entwirft die Konto-Struktur, baut sie als Code und übernimmt auf Wunsch den Betrieb.
- Landing Zone mit Organizations und Control Tower
- Amazon EKS: Standard oder Auto Mode
- Alles als Terraform oder OpenTofu
01Plattformwahl
Wann AWS passt und wann ein Vergleich sinnvoller ist
AWS passt typischerweise, wenn eine Anwendung auf bestimmte verwaltete Dienste angewiesen ist, die andere Plattformen nicht in gleicher Breite bieten, wenn Ihre Landschaft bereits auf AWS liegt oder wenn Ihr Team AWS-Erfahrung mitbringt.
Stehen strenge Vorgaben zu Datenstandort und Betreiberkontrolle im Vordergrund, vergleichen Sie zuerst Alternativen: Einordnung auf der Cloud-Übersicht, STACKIT mit SKAFFON und souveräne Cloud.
02Was wir auf AWS übernehmen
Fünf Arbeitsfelder, von der Kontostruktur bis zur Kostenlast
-
Landing Zone und Architektur
Multi-Account-Struktur, Identität, Netzwerk, zentrale Protokollierung und Leitplanken. Die Bausteine stehen in der Tabelle weiter unten.
-
Migration nach AWS
Bestandsaufnahme, Wellenplanung, Cutover und Abnahme nach unserem Vorgehen in Cloud-Migration; bei Datenbanken ergänzt durch Datenbankmigration.
-
EKS und Plattformbetrieb
Kubernetes mit Amazon EKS, Basiskonfiguration, Upgrades und Beobachtbarkeit mit Amazon CloudWatch. Einführung nach Kubernetes-Beratung, Betrieb über Managed Kubernetes oder Cloud-Betrieb.
-
Rollen, Netz, Leitplanken
Berechtigungen mit AWS IAM, Segmentierung in der VPC, Leitplanken auf Organisationsebene. Vertiefung in Cloud Security.
-
Kostentransparenz
Kosten je Konto und Workload sichtbar machen und Kostentreiber bewerten. Die Bewertung ersetzt keine Preisberechnung des Anbieters.
03Landing Zone
Acht Bausteine einer AWS-Landing-Zone und wer sie danach verantwortet
Eine Landing Zone ist laut AWS Control Tower-Dokumentation eine Multi-Account-Umgebung nach Sicherheits- und Compliance-Best-Practices. AWS Control Tower orchestriert dafür AWS Organizations, AWS Service Catalog und AWS IAM Identity Center. Die Organisationseinheiten (OUs) folgen dem Whitepaper Organizing Your AWS Environment Using Multiple Accounts; AWS betont dort, dass die eigene OU-Struktur an Ihre Anforderungen anzupassen ist.
| Baustein | Offizieller Dienst / Begriff | Entscheidung, die wir mit Ihnen treffen | Verantwortlich danach |
|---|---|---|---|
| Mandantenstruktur | AWS Organizations, Organizational Units | Welche OUs braucht Ihre Organisation (empfohlen sind u. a. Security, Infrastructure, Workloads, Sandbox)? Welche Procedural-OUs (z. B. Exceptions, Transitional) lohnen sich? | Plattformteam |
| Sicherheits-OU | Security OU nach Control-Tower-Vorgabe | Die Security OU enthält nur die von Control Tower vorgesehenen Sicherheitskonten; weitere Sicherheitskonten liegen laut AWS in einer eigenen OU | Security / Plattform |
| Konto-Bereitstellung | Account Factory (AWS Control Tower, basiert auf AWS Service Catalog) | Standardisierte Kontovorlage, Namenskonvention, wer Konten anfordern darf | Plattformteam |
| Leitplanken | Controls (Guardrails): preventive, detective, proactive; Service Control Policies und Resource Control Policies in AWS Organizations | Welche Controls sind Pflicht, welche empfohlen oder optional, was wird verhindert und was nur erkannt? | Security |
| Identität | AWS IAM Identity Center | Anbindung an Ihren Identitätsanbieter, Rollenmodell je Konto, Umgang mit Notfallzugriff | Identity-/Security-Team |
| Netzwerk | Amazon VPC, Anbindung an Ihr Netz | Adressplan, zentrale oder dezentrale Netzwerkkonten, Hybrid-Anbindung, Egress-Kontrolle | Netzwerk / Plattform |
| Drift | Drift-Erkennung in AWS Control Tower | Wie werden Abweichungen erkannt und behoben, wer entscheidet über Ausnahmen? | Plattformteam |
| Reproduzierbarkeit | Terraform / OpenTofu | Modulzuschnitt, State je Konto und Umgebung, Review-Prozess | Plattformteam |
Ob Sie AWS Control Tower einsetzen oder die Struktur direkt in AWS Organizations und mit Infrastructure as Code aufbauen, entscheiden wir nach Teamgröße und Automatisierungstiefe. AWS beschreibt Control Tower als sinnvoll, sobald mehr als eine Handvoll Konten verwaltet werden; die Erweiterung über Organizations bleibt möglich.
04Organisationsbaum
So sieht die Konto-Struktur aus
Wurzel ist das Management-Konto in AWS Organizations. Darunter hängen die OUs; Controls liegen auf den OUs, IAM Identity Center verbindet alle Konten, die Account Factory erzeugt neue Konten.
05Netzwerk
VPC und Hybrid-Anbindung vor dem ersten Workload klären
Der Netzwerkbaustein entscheidet, wie spät und wie teuer Korrekturen werden. Wir legen mit Ihnen fest, wie Ihre Konten sich ins Netz einfügen, bevor Workloads einziehen.
- Adressplan für Amazon VPC und Anbindung an Ihr Netz
- Zentrale oder dezentrale Netzwerkkonten
- Hybrid-Anbindung und Egress-Kontrolle
06EKS-Entscheidung
Standard oder Auto Mode: drei Fragen an Ihr Betriebsmodell
Laut Amazon-EKS-Dokumentation gibt es zwei Hauptansätze: EKS Standard (AWS betreibt die Kubernetes-Control-Plane) und EKS Auto Mode (EKS verwaltet zusätzlich die Worker-Knoten, inklusive Instanzauswahl, Skalierung und Betriebssystem-Patching).
- 01
Wer verantwortet Knoten und Kapazität?
Frage 1Wenn Ihr Team Knoten, Betriebssystem-Updates und Kapazität nicht übernehmen soll, spricht das für Auto Mode. Müssen Sie Knotentypen, Images oder Sonderkonfigurationen selbst steuern, spricht das für Standard.
- 02
Braucht die Anwendung Sonderfälle?
Frage 2Spezielle Instanztypen, eigene Netzwerk-Plugins, Daemon-Sets mit erhöhten Rechten: Prüfen Sie das vorab gegen die Einschränkungen des Auto Mode in der AWS-Dokumentation.
- 03
Wo entsteht Bindung an AWS?
Frage 3EKS selbst basiert auf Kubernetes; Bindung entsteht eher durch angrenzende Dienste wie Identität, Load Balancer und Speicher. Wir kennzeichnen diese Stellen in der Architektur, damit Sie die Abhängigkeiten bewusst eingehen.
Dokumentiert
Die EKS-Entscheidung wird schriftlich festgehalten
Wir halten die Wahl samt Annahmen und verworfenen Alternativen schriftlich fest. So lässt sich später nachvollziehen, warum Ihr Cluster so betrieben wird. Zum Hintergrund von Cluster-Betriebsmodellen über Plattformen hinweg.
Kubernetes-Beratung07Reproduzierbar
Jede Ressource als Code
Alle Ressourcen beschreiben wir als Infrastructure as Code mit Terraform oder OpenTofu. So ist Ihre Umgebung reproduzierbar und prüfbar, jede Änderung läuft durch Review.
08Zusammenarbeit
Geteilte Verantwortung: AWS, Sie und wir
AWS beschreibt für EKS das Modell der geteilten Verantwortung: AWS verantwortet die Plattform, Sie die Konfiguration Ihrer Workloads, Berechtigungen und Daten (siehe Security in Amazon EKS).
Für unsere Arbeit heißt das: Wir vergeben Berechtigungen nach dem Prinzip der minimalen Rechte. Anwendungslogik und Fachdaten verändern wir nicht ohne eigenen Auftrag.
09Kosten
Woraus sich Ihre AWS-Rechnung zusammensetzt
Kosten entstehen bei AWS je Dienst und Nutzung. Für EKS nennt AWS in der Dokumentation eine Preislogik pro Cluster, ergänzt um separat berechnete Ressourcen (zum Beispiel Rechenleistung, Speicher und IPv4-Adressen) sowie Datenübertragung. Aktuelle Preise stehen auf der AWS-EKS-Preisseite.
Wir weisen keine Beispielpreise aus. In der Beratung bewerten wir Kostentreiber wie Anzahl der Konten und Cluster, Datenabfluss, Speicher und Auslastung. Mehr zur Kostenlogik: Cloud-Beratung.
10Abgrenzung
Für wen die AWS-Beratung gedacht ist
Das passt zu Ihnen, wenn Sie …
- neu auf AWS starten, eine gewachsene Konto-Landschaft ordnen oder Workloads von eigener Infrastruktur verlagern.
- eine Landing Zone mit Architektur, Leitplanken und Code statt reiner Preisbewertung suchen.
Das passt nicht, wenn Sie …
- AWS-Lizenzberatung oder den Wiederverkauf von AWS-Leistungen suchen.
- eine Preisbewertung ohne Architektur wollen.
- wegen Datenstandort und Betreiberkontrolle keinen US-Anbieterkonzern einsetzen dürfen: Dann beraten wir zu souveräner Cloud oder STACKIT.
- eine einzelne, kleine Anwendung ohne Plattformbedarf haben.
Ihre Ausgangslage
Neu auf AWS, gewachsene Konten oder Migration?
Beschreiben Sie Ihre Ausgangslage und Ihre wichtigsten Randbedingungen. Zurück zur Cloud-Übersicht oder zu allen Leistungen.