--- title: "AWS-Beratung und Cloud Engineering | SKAFFON" description: "AWS-Beratung von SKAFFON: Multi-Account-Landing-Zone mit Organizations und Control Tower, EKS, Migration und Betrieb. Mit Baustein-Tabelle." url: https://skaffon.de/cloud/aws-beratung/ --- ![Nahaufnahme eines Server-Racks mit grün leuchtenden Status-LEDs und Netzwerkanschlüssen in einem Rechenzentrum](/_astro/server-rack-nahaufnahme-leds.BzwaHusV_Z2Aj2d.jpg) 1. [Startseite](/) 2. [Cloud](/cloud/) 3. AWS-Beratung und Cloud Engineering AWS-Beratung für IT-Leiter und Platform-Teams # AWS-Beratung und Cloud Engineering Ob Neustart auf AWS, gewachsene Einzel-Account-Landschaft oder Umzug von eigener Infrastruktur: SKAFFON entwirft die Konto-Struktur, baut sie als Code und übernimmt auf Wunsch den Betrieb. [Projekt anfragen](/projekt-anfragen/) [Zur Cloud-Übersicht](/cloud/) - Landing Zone mit Organizations und Control Tower - Amazon EKS: Standard oder Auto Mode - Alles als Terraform oder OpenTofu Autor: [Ibrahim Yesilay](/unternehmen/ibrahim-yesilay/), Gründer und Geschäftsführer Stand: 13.11.2026 Plattformwahl ## Wann AWS passt und wann ein Vergleich sinnvoller ist AWS passt typischerweise, wenn eine Anwendung auf bestimmte verwaltete Dienste angewiesen ist, die andere Plattformen nicht in gleicher Breite bieten, wenn Ihre Landschaft bereits auf AWS liegt oder wenn Ihr Team AWS-Erfahrung mitbringt. Stehen strenge Vorgaben zu Datenstandort und Betreiberkontrolle im Vordergrund, vergleichen Sie zuerst Alternativen: Einordnung auf der [Cloud-Übersicht](/cloud/), [STACKIT mit SKAFFON](/stackit/) und [souveräne Cloud](/infrastruktur/souveraene-cloud/). Rechtsfragen Rechts- und Zugriffsfragen eines US-Anbieterkonzerns bewertet Ihr Datenschutz, gegebenenfalls mit Rechtsberatung. Das gehört nicht zu unseren Leistungen. Was wir auf AWS übernehmen ## Fünf Arbeitsfelder, von der Kontostruktur bis zur Kostenlast - ### Landing Zone und Architektur Multi-Account-Struktur, Identität, Netzwerk, zentrale Protokollierung und Leitplanken. Die Bausteine stehen in der Tabelle weiter unten. - ### Migration nach AWS Bestandsaufnahme, Wellenplanung, Cutover und Abnahme nach unserem Vorgehen in [Cloud-Migration](/leistungen/cloud-migration/); bei Datenbanken ergänzt durch [Datenbankmigration](/daten/datenbank-migration/). - ### EKS und Plattformbetrieb Kubernetes mit Amazon EKS, Basiskonfiguration, Upgrades und Beobachtbarkeit mit Amazon CloudWatch. Einführung nach [Kubernetes-Beratung](/leistungen/kubernetes-beratung/), Betrieb über [Managed Kubernetes](/managed-services/managed-kubernetes/) oder [Cloud-Betrieb](/managed-services/cloud-betrieb/). - ### Rollen, Netz, Leitplanken Berechtigungen mit AWS IAM, Segmentierung in der VPC, Leitplanken auf Organisationsebene. Vertiefung in [Cloud Security](/cybersecurity/cloud-security/). - ### Kostentransparenz Kosten je Konto und Workload sichtbar machen und Kostentreiber bewerten. Die Bewertung ersetzt keine Preisberechnung des Anbieters. Landing Zone ## Acht Bausteine einer AWS-Landing-Zone und wer sie danach verantwortet Eine Landing Zone ist laut [AWS Control Tower-Dokumentation](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html) eine Multi-Account-Umgebung nach Sicherheits- und Compliance-Best-Practices. AWS Control Tower orchestriert dafür AWS Organizations, AWS Service Catalog und AWS IAM Identity Center. Die Organisationseinheiten (OUs) folgen dem Whitepaper [Organizing Your AWS Environment Using Multiple Accounts](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/recommended-ous-and-accounts.html); AWS betont dort, dass die eigene OU-Struktur an Ihre Anforderungen anzupassen ist. __Bausteine einer AWS-Landing-Zone mit Entscheidung und späterer Verantwortung__ | Baustein | Offizieller Dienst / Begriff | Entscheidung, die wir mit Ihnen treffen | Verantwortlich danach | | -------------------- | ------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------- | | Mandantenstruktur | AWS Organizations, Organizational Units | Welche OUs braucht Ihre Organisation (empfohlen sind u. a. Security, Infrastructure, Workloads, Sandbox)? Welche Procedural-OUs (z. B. Exceptions, Transitional) lohnen sich? | Plattformteam | | Sicherheits-OU | Security OU nach Control-Tower-Vorgabe | Die Security OU enthält nur die von Control Tower vorgesehenen Sicherheitskonten; weitere Sicherheitskonten liegen laut AWS in einer eigenen OU | Security / Plattform | | Konto-Bereitstellung | Account Factory (AWS Control Tower, basiert auf AWS Service Catalog) | Standardisierte Kontovorlage, Namenskonvention, wer Konten anfordern darf | Plattformteam | | Leitplanken | Controls (Guardrails): preventive, detective, proactive; Service Control Policies und Resource Control Policies in AWS Organizations | Welche Controls sind Pflicht, welche empfohlen oder optional, was wird verhindert und was nur erkannt? | Security | | Identität | AWS IAM Identity Center | Anbindung an Ihren Identitätsanbieter, Rollenmodell je Konto, Umgang mit Notfallzugriff | Identity-/Security-Team | | Netzwerk | Amazon VPC, Anbindung an Ihr Netz | Adressplan, zentrale oder dezentrale Netzwerkkonten, Hybrid-Anbindung, Egress-Kontrolle | Netzwerk / Plattform | | Drift | Drift-Erkennung in AWS Control Tower | Wie werden Abweichungen erkannt und behoben, wer entscheidet über Ausnahmen? | Plattformteam | | Reproduzierbarkeit | Terraform / OpenTofu | Modulzuschnitt, State je Konto und Umgebung, Review-Prozess | Plattformteam | Ob Sie AWS Control Tower einsetzen oder die Struktur direkt in AWS Organizations und mit Infrastructure as Code aufbauen, entscheiden wir nach Teamgröße und Automatisierungstiefe. AWS beschreibt Control Tower als sinnvoll, sobald mehr als eine Handvoll Konten verwaltet werden; die Erweiterung über Organizations bleibt möglich. Organisationsbaum ## So sieht die Konto-Struktur aus Wurzel ist das Management-Konto in AWS Organizations. Darunter hängen die OUs; Controls liegen auf den OUs, IAM Identity Center verbindet alle Konten, die Account Factory erzeugt neue Konten. Netzwerk ## VPC und Hybrid-Anbindung vor dem ersten Workload klären Der Netzwerkbaustein entscheidet, wie spät und wie teuer Korrekturen werden. Wir legen mit Ihnen fest, wie Ihre Konten sich ins Netz einfügen, bevor Workloads einziehen. - Adressplan für Amazon VPC und Anbindung an Ihr Netz - Zentrale oder dezentrale Netzwerkkonten - Hybrid-Anbindung und Egress-Kontrolle ![Türkisfarbene Glasfaser-Patchkabel in einem Patchfeld, Sinnbild für Netzwerkanbindung und VPC-Konnektivität](/_astro/glasfaser-patchfeld-netzwerk.BXsFzyjN_Z1kKgY0.jpg) EKS-Entscheidung ## Standard oder Auto Mode: drei Fragen an Ihr Betriebsmodell Laut [Amazon-EKS-Dokumentation](https://docs.aws.amazon.com/eks/latest/userguide/what-is-eks.html) gibt es zwei Hauptansätze: EKS Standard (AWS betreibt die Kubernetes-Control-Plane) und EKS Auto Mode (EKS verwaltet zusätzlich die Worker-Knoten, inklusive Instanzauswahl, Skalierung und Betriebssystem-Patching). 1. 01 ### Wer verantwortet Knoten und Kapazität? Frage 1 Wenn Ihr Team Knoten, Betriebssystem-Updates und Kapazität nicht übernehmen soll, spricht das für Auto Mode. Müssen Sie Knotentypen, Images oder Sonderkonfigurationen selbst steuern, spricht das für Standard. 2. 02 ### Braucht die Anwendung Sonderfälle? Frage 2 Spezielle Instanztypen, eigene Netzwerk-Plugins, Daemon-Sets mit erhöhten Rechten: Prüfen Sie das vorab gegen die Einschränkungen des Auto Mode in der AWS-Dokumentation. 3. 03 ### Wo entsteht Bindung an AWS? Frage 3 EKS selbst basiert auf Kubernetes; Bindung entsteht eher durch angrenzende Dienste wie Identität, Load Balancer und Speicher. Wir kennzeichnen diese Stellen in der Architektur, damit Sie die Abhängigkeiten bewusst eingehen. Dokumentiert ## Die EKS-Entscheidung wird schriftlich festgehalten Wir halten die Wahl samt Annahmen und verworfenen Alternativen schriftlich fest. So lässt sich später nachvollziehen, warum Ihr Cluster so betrieben wird. Zum Hintergrund von Cluster-Betriebsmodellen über Plattformen hinweg. [Kubernetes-Beratung](/leistungen/kubernetes-beratung/) Reproduzierbar ## Jede Ressource als Code Alle Ressourcen beschreiben wir als Infrastructure as Code mit Terraform oder OpenTofu. So ist Ihre Umgebung reproduzierbar und prüfbar, jede Änderung läuft durch Review. [Infrastructure as Code](/leistungen/infrastructure-as-code/) ![Programmcode im dunklen Farbschema auf einem Bildschirm, Sinnbild für Infrastructure as Code](/_astro/quellcode-dunkles-theme.B3zdg0gH_Z1AA1iW.jpg) Zusammenarbeit ## Geteilte Verantwortung: AWS, Sie und wir AWS beschreibt für EKS das Modell der geteilten Verantwortung: AWS verantwortet die Plattform, Sie die Konfiguration Ihrer Workloads, Berechtigungen und Daten (siehe [Security in Amazon EKS](https://docs.aws.amazon.com/eks/latest/userguide/security.html)). Für unsere Arbeit heißt das: Wir vergeben Berechtigungen nach dem Prinzip der minimalen Rechte. Anwendungslogik und Fachdaten verändern wir nicht ohne eigenen Auftrag. Kosten ## Woraus sich Ihre AWS-Rechnung zusammensetzt Kosten entstehen bei AWS je Dienst und Nutzung. Für EKS nennt AWS in der Dokumentation eine Preislogik pro Cluster, ergänzt um separat berechnete Ressourcen (zum Beispiel Rechenleistung, Speicher und IPv4-Adressen) sowie Datenübertragung. Aktuelle Preise stehen auf der [AWS-EKS-Preisseite](https://aws.amazon.com/eks/pricing/). Wir weisen keine Beispielpreise aus. In der Beratung bewerten wir Kostentreiber wie Anzahl der Konten und Cluster, Datenabfluss, Speicher und Auslastung. Mehr zur Kostenlogik: [Cloud-Beratung](/leistungen/cloud-beratung/). Angebot Den Aufwand bestimmen Zahl der Konten und Umgebungen, Hybrid-Anbindung, Anforderungen an Sicherheit und Nachweise, Zahl und Art der Workloads und der Anteil von Beratung, Umsetzung und Betrieb. Das Angebot beschreibt Umfang und Ergebnisse je Phase. Abgrenzung ## Für wen die AWS-Beratung gedacht ist ### Das passt zu Ihnen, wenn Sie … - neu auf AWS starten, eine gewachsene Konto-Landschaft ordnen oder Workloads von eigener Infrastruktur verlagern. - eine Landing Zone mit Architektur, Leitplanken und Code statt reiner Preisbewertung suchen. ### Das passt nicht, wenn Sie … - AWS-Lizenzberatung oder den Wiederverkauf von AWS-Leistungen suchen. - eine Preisbewertung ohne Architektur wollen. - wegen Datenstandort und Betreiberkontrolle keinen US-Anbieterkonzern einsetzen dürfen: Dann beraten wir zu [souveräner Cloud](/infrastruktur/souveraene-cloud/) oder [STACKIT](/stackit/). - eine einzelne, kleine Anwendung ohne Plattformbedarf haben. Ihre Ausgangslage ## Neu auf AWS, gewachsene Konten oder Migration? Beschreiben Sie Ihre Ausgangslage und Ihre wichtigsten Randbedingungen. Zurück zur [Cloud-Übersicht](/cloud/) oder zu allen [Leistungen](/leistungen/). [Projekt anfragen](/projekt-anfragen/) [Zur Cloud-Übersicht](/cloud/)