مناطق الهبوط باستخدام AWS Control Tower

يؤدي إنشاء عشرات الحسابات يدويًا إلى إعدادات غير متسقة وغير آمنة. منطقة الهبوط هي بيئة متعددة الحسابات مصممة وفق أفضل الممارسات، وتضم الأمان والحوكمة منذ اليوم الأول.

يعمل AWS Control Tower على أتمتة إنشاء منطقة الهبوط وإدارتها، بحيث يبدأ كل حساب من خط أساس آمن وموحّد.

ينسّق Control Tower عدة خدمات ضمن بيئة واحدة خاضعة للحوكمة:

• AWS Organizations لبنية الحسابات.
• IAM Identity Center لتسجيل الدخول.
• CloudTrail وConfig للتسجيل والامتثال.

ويربط هذه الخدمات معًا تلقائيًا باستخدام إعدادات افتراضية مناسبة.

ينشئ Control Tower بنية أساسية تتضمن:

• حساب الإدارة في القمة.
• حساب Log Archive لمركزة سجلات CloudTrail وConfig.
• حساب Audit (Security) لإتاحة الوصول الأمني عبر الحسابات.

يؤدي هذا الفصل إلى إبقاء السجلات وأدوات الأمان بعيدة عن أعباء العمل.

يفرض Control Tower الحوكمة من خلال الضوابط الوقائية (وتُسمى أيضًا عناصر التحكم).

• تستخدم الضوابط الوقائية سياسات SCP لحظر الإجراءات غير المسموح بها.
• تستخدم الضوابط التحقيقية قواعد Config لوضع علامة على الموارد غير المتوافقة.
• تتحقق الضوابط الاستباقية من الموارد قبل نشرها.

وتُصنّف الضوابط الوقائية إلى إلزامية، وموصى بها بشدة، واختيارية.

يُعد Account Factory الطريقة القائمة على القوالب في Control Tower لتوفير حسابات جديدة.

يُوضَع كل حساب جديد تلقائيًا في الوحدة التنظيمية المناسبة، ويرث الضوابط الوقائية، ويُسجَّل في التسجيل المركزي. وتحصل الفرق على حسابات متوافقة دون إعداد أمني يدوي، وغالبًا عبر كتالوج للخدمة الذاتية.

ينظّم Control Tower الحسابات ضمن OUs (الوحدات التنظيمية) التي تجمع الحسابات حسب الغرض، مثل Production أو Sandbox.

تُطبَّق الضوابط الوقائية على مستوى OU، لذلك يرث كل حساب في الوحدة الضوابط نفسها. وهذا يجعل السياسة متسقة وسهلة الفهم.

تُظهر لوحة معلومات Control Tower حالة الامتثال عبر منطقة الهبوط، وتكتشف الانحراف: أي عندما يغيّر شخص ما إعدادًا مُدارًا خارج Control Tower.

على سبيل المثال، إذا عُدّلت إحدى سياسات SCP مباشرةً، يُبلغ Control Tower عن الانحراف حتى تتمكنوا من إعادة تطبيق خط الأساس المقصود.

يمكنكم إنشاء إعداد متعدد الحسابات باستخدام Organizations وسياسات SCP الخام، لكن Control Tower يتولى الربط نيابةً عنكم ويحافظ على اتساقه.

• يوفّر الإعداد اليدوي تحكمًا كاملًا، لكنه يتطلب جهدًا أكبر وينطوي على خطر وجود ثغرات.
• يوفّر Control Tower خط أساس سريعًا ومحدد الرأي ومصممًا وفق أفضل الممارسات.

تتيح لكم Customizations for Control Tower (CfCT) وAccount Factory for Terraform توسيع خط الأساس بمواردكم وإعداداتكم الخاصة، وتطبيقها على كل حساب جديد.

يجمع ذلك بين الضوابط الوقائية في Control Tower والمتطلبات الخاصة بالمؤسسة، مثل أدوار IAM الأساسية أو إعدادات الشبكة.

يكون حساب Audit في Control Tower مُعدًّا مسبقًا من أجل الوصول الأمني عبر الحسابات، ما يجعله المكان الطبيعي للمسؤولين المفوّضين عن GuardDuty وSecurity Hub وConfig.

وبما أن التسجيل والتدقيق مركزيان منذ اليوم الأول، فإن إضافة اكتشاف التهديدات والامتثال على مستوى المؤسسة تكون مباشرةً بدلًا من إضافتها لاحقًا.

اختاروا Control Tower عندما تحتاجون إلى إنشاء حسابات كثيرة وإدارتها بسرعة مع تضمين أفضل ممارسات الأمان منذ البداية.

في الاختبار، تُعد عبارة "إنشاء خط أساس آمن متعدد الحسابات باستخدام الضوابط الوقائية والتسجيل المركزي" مؤشرًا قويًا على AWS Control Tower.

حدّدوا الخدمة المناسبة.

تعلّمتم كيف ينشئ AWS Control Tower منطقة هبوط خاضعة للحوكمة.

• ينسّق بين Organizations وIdentity Center وCloudTrail وConfig.
• تفرض الضوابط الوقائية (الوقائية والتحقيقية والاستباقية) السياسة على مستوى OU.
• يوفّر Account Factory حسابات متوافقة ويكتشف الانحراف.