Landing zones med AWS Control Tower

Hvis du opretter dusinvis af konti manuelt, fører det til inkonsistente og usikre opsætninger. En landing zone er et veldesignet miljø med flere konti, hvor sikkerhed og styring er indbygget fra første dag.

AWS Control Tower automatiserer oprettelsen og styringen af en landing zone, så hver konto starter fra den samme sikre grundkonfiguration.

Control Tower orkestrerer flere tjenester i ét styret miljø:

• AWS Organizations til kontostrukturen.
• IAM Identity Center til login.
• CloudTrail og Config til logning og overholdelse af krav.

Det forbinder automatisk disse tjenester med fornuftige standardindstillinger.

Control Tower opretter en grundstruktur:

• En administrationskonto øverst.
• En Log Archive-konto, der centraliserer CloudTrail- og Config-logge.
• En Audit (Security)-konto til sikkerhedsadgang på tværs af konti.

Denne adskillelse holder logge og sikkerhedsværktøjer væk fra arbejdsbelastningerne.

Control Tower håndhæver styring gennem sikkerhedsrækværk (også kaldet kontroller).

• Forebyggende sikkerhedsrækværk bruger SCP'er til at blokere handlinger, der ikke er tilladt.
• Detekterende sikkerhedsrækværk bruger Config-regler til at markere ressourcer, der ikke overholder kravene.
• Proaktive sikkerhedsrækværk kontrollerer ressourcer før implementering.

Sikkerhedsrækværk er mærket som obligatoriske, stærkt anbefalede eller valgfrie.

Account Factory er Control Towers skabelonbaserede måde at klargøre nye konti på.

Hver ny konto placeres automatisk i den rigtige organisatoriske enhed, arver sikkerhedsrækværk og tilmeldes centraliseret logning. Teams får konti, der overholder kravene, uden manuel sikkerhedsopsætning, ofte via et selvbetjeningskatalog.

Control Tower organiserer konti i OU'er (organisatoriske enheder), der grupperer konti efter formål, f.eks. Produktion eller Sandkasse.

Sikkerhedsrækværk gælder på OU-niveau, så alle konti i en OU arver de samme kontroller. Det gør politikken ensartet og nem at forstå.

Control Tower-dashboardet viser status for overholdelse af krav på tværs af landing zonen og registrerer afvigelser: når nogen ændrer en administreret indstilling uden for Control Tower.

Hvis en SCP f.eks. redigeres direkte, rapporterer Control Tower en afvigelse, så du kan anvende den tilsigtede grundkonfiguration igen.

Du kan opbygge en opsætning med flere konti ved hjælp af rå Organizations og SCP'er, men Control Tower klarer forbindelserne for dig og holder dem ensartede.

• Manuel opsætning giver fuld kontrol, men kræver mere arbejde og indebærer større risiko for mangler.
• Control Tower giver en hurtig, holdningsbaseret og veldesignet grundkonfiguration.

Customizations for Control Tower (CfCT) og Account Factory for Terraform giver dig mulighed for at udvide grundkonfigurationen med dine egne ressourcer og konfigurationer, der anvendes på hver ny konto.

Det kombinerer Control Towers sikkerhedsrækværk med organisationsspecifikke krav, f.eks. grundlæggende IAM-roller eller netværksopsætninger.

Control Towers Audit-konto er forudkonfigureret til sikkerhedsadgang på tværs af konti, hvilket gør den til det naturlige hjem for delegerede administratorer af GuardDuty, Security Hub og Config.

Fordi logning og audit er centraliseret fra første dag, er det enkelt at tilslutte trusselsregistrering og overholdelse af krav på tværs af organisationen i stedet for at eftermontere det.

Vælg Control Tower, når du har brug for at oprette og styre mange konti hurtigt med indbyggede sikkerhedspraksisser.

På eksamen er "etabler en sikker grundkonfiguration med flere konti, sikkerhedsrækværk og centraliseret logning" et stærkt signal om AWS Control Tower.

Du har lært, hvordan AWS Control Tower opbygger en styret landing zone.

• Det orkestrerer Organizations, Identity Center, CloudTrail og Config.
• Sikkerhedsrækværk (forebyggende, detekterende og proaktive) håndhæver politikker efter OU.
• Account Factory klargør konti, der overholder kravene, og registrerer afvigelser.