游戏开发者可以从 Epic Games 的云治理策略中学到 6 节课

本博客由 Epic Games 云治理首席工程师 Reza Nikoopour 共同撰写。

对于大大小小的游戏工作室来说，智能云治理策略可以在降低成本和提高直播服务游戏的安全性方面大有帮助。以下是 Epic Games 与亚马逊云科技合作中的一些重要经验，游戏开发人员在制定云治理策略时应考虑这些经验。

自 2017 年推出 Fortnite 以来，Epic 的玩家群已达到 5 亿个注册账户。Fortnite 建立在亚马逊云科技上，使用 Amazon EC2 等服务作为其后端基础架构。如今，Epic 继续依赖亚马逊云科技技术来支持其全球游戏服务器机群。

借助亚马逊云科技，随着游戏的持续增长，Epic 可以根据玩家需求的波动自动扩展计算容量。

"当我们在 Epic 组建云治理小组时，亚马逊云科技在为我们提供指导方面发挥了重要作用。我们已经能够将云支出减少约 20%，并且全面提高了资源的可见性。" ——Epic Games 技术服务副总裁 Shane Smith。

这在一定程度上要归功于 2022 年启动的一项计划，该计划旨在提高云效率，而不仅仅是熟练程度，并对 Epic 的后端进行数字化改造，以更好地支持 Fortnite 的新发展。

建立护栏

游戏开发者通常梦想发布一款红极一时的游戏，但受欢迎程度可能很难预测。在升级模式下，通常无法确定有效的标记、权限管理和云资源治理策略的优先顺序。然后，当一款游戏迅速登上排行榜时，开发者的注意力几乎完全集中在保持体验上。

但是，云治理至关重要，因为它提供了一套指导组织优秀实践的规则、流程和报告。花点时间确保对云资源的全面可见性并了解游戏的关键路径，可以更好地为开发人员做好准备，实现长期成功。

利用亚马逊云科技的专业知识

为了改善云治理，Epic 成立了一个由内部技术领导和亚马逊云科技账户团队代表组成的指导委员会。委员会早期的讨论包括云成熟度和优秀实践，以及亚马逊云科技如何帮助 Epic 提高运营效率。此后，Epic 与亚马逊云科技专业服务及其亚马逊云科技客户解决方案经理密切合作。他们召集了来自公司各地的多元化云爱好者组建了云治理团队，也称为云卓越中心（CCoE）。

了解所有权

为了做出有意义的更改，Epic 需要采用标准方式与在亚马逊云科技账户中工作的工程师和开发人员进行交流，以确定所有权。云治理团队确定了负责每个账户的一组人员，然后创建了实时沟通渠道以轻松交换信息。该基础使 Epic 能够在其云环境中建立和实施额外的控制措施。

授予访问权限

Epic 的云治理团队专注于结合使用 GitHub、Okta、SailPoint 和 Amazon IAM Identity Center 向亚马逊云科技提供自助访问请求。GitHub 将基础设施作为代码保存，用于定义用户的 Amazon Identity and Access Management (IAM) 角色及其部署位置。Amazon IAM Identity Center 在 Epic 的亚马逊云科技账户中分配标准 IAM 角色。Okta 提供身份和群组成员资格，用于控制对账户中角色的访问权限。SailPoint 使客户经理能够批准或拒绝对其账户的访问请求。

自动配置

在确定了自助访问和权限后，Epic 的云治理团队使用 Amazon Step Functions 在 Epic 的环境中部署了每个账户的基准配置。这包括部署 IAM 角色等默认结构，以及成本预防措施，例如为所有 Amazon Lambda 函数启用日志到期。它还包括安全措施，例如在每个地区默认启用 Amazon EBS 加密。通过使用 Amazon Step Functions 和 Amazon Lambda，Epic 现在可以专注于核心配置任务，无需担心工作流程编排，并且可以确信每个账户的配置都正确无误。

执行标准

在 Epic 的云治理团队实施政策之前，他们首先必须建立正确的机制，因此 Epic 与治理解决方案提供商合作。Epic 使用 Amazon EventBridge 将来自所有账户的事件转发到一个位置进行检查和采取行动。因此，云治理团队可以强制使用一组提供所有权和成本归因信息的最低标签。

强制执行会立即执行，并自动从 Epic 的环境中移除缺少所需标签的资源。该团队为 Amazon RDS 和 Amazon ElastiCache 建立了类似的执行机制，要求这些服务在具有成本效益的亚马逊云科技 Graviton 实例类型上运行，同时允许根据请求例外情况。每当资源受到自动化策略的影响时，它都会触发向相关利益相关者的通知以提高可见性。

除了之前的实时强制措施外，Epic 还希望将扫描基础设施即代码 (IaC) 更改纳入其中。Epic 引入了必需的工作流程，每当在拉取请求中检测到 IaC 更改时，该工作流程就会在每个 GitHub 组织中运行。发现的任何问题都会在拉取请求中直接发表评论。这将信息直接输入到开发人员的工作流程中，这样他们就可以在部署之前修复问题。