Landing Zones mit AWS Control Tower

Das manuelle Einrichten dutzender Konten führt zu uneinheitlichen und unsicheren Umgebungen. Eine Landing Zone ist eine gut konzipierte Umgebung mit mehreren Konten, in die Sicherheit und Governance von Anfang an integriert sind.

AWS Control Tower automatisiert die Erstellung und Verwaltung einer Landing Zone, sodass jedes Konto mit derselben sicheren Ausgangsbasis beginnt.

Control Tower orchestriert mehrere Services in einer einzigen verwalteten Umgebung:

• AWS Organizations für die Kontostruktur.
• IAM Identity Center für die Anmeldung.
• CloudTrail und Config für Protokollierung und Compliance.

Diese Services werden automatisch mit sinnvollen Standardeinstellungen miteinander verbunden.

Control Tower richtet eine grundlegende Struktur ein:

• Ein Verwaltungskonto an der Spitze.
• Ein Log Archive-Konto, das CloudTrail- und Config-Protokolle zentralisiert.
• Ein Audit (Security)-Konto für kontenübergreifenden Sicherheitszugriff.

Durch diese Trennung bleiben Protokolle und Sicherheitstools von den Workloads getrennt.

Control Tower setzt Governance mithilfe von Guardrails (auch Controls genannt) durch.

• Präventive Guardrails verwenden SCPs, um unzulässige Aktionen zu blockieren.
• Detektive Guardrails verwenden Config-Regeln, um nicht konforme Ressourcen zu kennzeichnen.
• Proaktive Guardrails prüfen Ressourcen vor der Bereitstellung.

Guardrails sind als verpflichtend, dringend empfohlen oder optional gekennzeichnet.

Account Factory ist die vorlagenbasierte Methode von Control Tower, um neue Konten bereitzustellen.

Jedes neue Konto wird automatisch in der richtigen Organisationseinheit angelegt, übernimmt die Guardrails und wird für die zentrale Protokollierung registriert. Teams erhalten konforme Konten ohne manuelle Sicherheitseinrichtung, häufig über einen Self-Service-Katalog.

Control Tower organisiert Konten in OUs (Organisationseinheiten), die Konten nach ihrem Zweck gruppieren, beispielsweise Production oder Sandbox.

Guardrails gelten auf OU-Ebene, sodass jedes Konto in einer OU dieselben Controls übernimmt. Dadurch werden Richtlinien konsistent und leicht nachvollziehbar.

Das Control-Tower-Dashboard zeigt den Compliance-Status in der gesamten Landing Zone und erkennt Drift: Änderungen an einer verwalteten Einstellung, die außerhalb von Control Tower vorgenommen wurden.

Wenn beispielsweise eine SCP direkt bearbeitet wird, meldet Control Tower Drift, sodass Sie die vorgesehene Ausgangsbasis erneut anwenden können.

Sie können eine Umgebung mit mehreren Konten mithilfe von Organizations und SCPs direkt aufbauen. Control Tower übernimmt jedoch die Verknüpfung für Sie und sorgt für Konsistenz.

• Die manuelle Methode bietet vollständige Kontrolle, erfordert aber mehr Aufwand und birgt ein höheres Risiko für Lücken.
• Control Tower bietet schnell eine vorgegebene, gut konzipierte Ausgangsbasis.

Mit Customizations for Control Tower (CfCT) und Account Factory for Terraform können Sie die Ausgangsbasis um eigene Ressourcen und Konfigurationen erweitern, die auf jedes neue Konto angewendet werden.

So verbinden Sie die Guardrails von Control Tower mit organisationsspezifischen Anforderungen, etwa grundlegenden IAM-Rollen oder Netzwerkkonfigurationen.

Das Audit-Konto von Control Tower ist für den kontenübergreifenden Sicherheitszugriff vorkonfiguriert und daher der natürliche Ort für delegierte Administratoren von GuardDuty, Security Hub und Config.

Da Protokollierung und Auditierung von Anfang an zentralisiert sind, lässt sich die organisationsweite Bedrohungserkennung und Compliance unkompliziert integrieren, statt sie nachträglich einzurichten.

Wählen Sie Control Tower, wenn Sie viele Konten schnell einrichten und verwalten müssen und bewährte Sicherheitspraktiken von Anfang an integriert sein sollen.

In einer Prüfung ist die Formulierung "eine sichere Ausgangsbasis mit mehreren Konten, Guardrails und zentraler Protokollierung schaffen" ein starkes Indiz für AWS Control Tower.

Ermitteln Sie den richtigen Service.

Sie haben gelernt, wie AWS Control Tower eine verwaltete Landing Zone aufbaut.

• Der Dienst orchestriert Organizations, Identity Center, CloudTrail und Config.
• Guardrails (präventiv, detektiv, proaktiv) setzen Richtlinien auf OU-Ebene durch.
• Account Factory stellt konforme Konten bereit und erkennt Drift.