Landing zones con AWS Control Tower

Crear manualmente decenas de cuentas da lugar a configuraciones incoherentes e inseguras. Una landing zone es un entorno de varias cuentas, bien diseñado, con la seguridad y la gobernanza integradas desde el primer día.

AWS Control Tower automatiza la creación y la gobernanza de una landing zone, de modo que todas las cuentas parten de la misma base segura.

Control Tower coordina varios servicios en un único entorno gobernado:

• AWS Organizations para la estructura de cuentas.
• IAM Identity Center para el inicio de sesión.
• CloudTrail y Config para el registro y el cumplimiento.

Los conecta automáticamente con valores predeterminados adecuados.

Control Tower configura una estructura de referencia:

• Una cuenta de administración en la parte superior.
• Una cuenta de Log Archive que centraliza los registros de CloudTrail y Config.
• Una cuenta de Audit (Security) para el acceso de seguridad entre cuentas.

Esta separación mantiene los registros y las herramientas de seguridad alejados de las cargas de trabajo.

Control Tower aplica la gobernanza mediante controles de protección (también llamados controles).

• Los controles de protección preventivos utilizan SCP para bloquear acciones no permitidas.
• Los controles de protección detectivos utilizan reglas de Config para señalar recursos que no cumplen los requisitos.
• Los controles de protección proactivos comprueban los recursos antes de la implementación.

Los controles de protección se clasifican como obligatorios, muy recomendados u opcionales.

Account Factory es el método basado en plantillas de Control Tower para aprovisionar cuentas nuevas.

Cada cuenta nueva se coloca automáticamente en la unidad organizativa adecuada, hereda los controles de protección y se registra en el registro centralizado. Los equipos obtienen cuentas que cumplen los requisitos sin tener que configurar manualmente la seguridad, normalmente mediante un catálogo de autoservicio.

Control Tower organiza las cuentas en OUs (unidades organizativas) que las agrupan según su finalidad, como Production o Sandbox.

Los controles de protección se aplican en el nivel de la OU, por lo que cada cuenta de una OU hereda los mismos controles. Esto hace que las políticas sean coherentes y fáciles de comprender.

El panel de Control Tower muestra el estado de cumplimiento en toda la landing zone y detecta la desviación: cuando alguien cambia una configuración administrada fuera de Control Tower.

Por ejemplo, si se edita directamente una SCP, Control Tower informa de la desviación para que pueda volver a aplicar la base prevista.

Puede crear una configuración de varias cuentas utilizando directamente Organizations y SCP, pero Control Tower se encarga de conectarlo todo y mantiene la coherencia.

• El enfoque manual ofrece control total, pero requiere más esfuerzo y presenta mayor riesgo de omisiones.
• Control Tower proporciona rápidamente una base bien diseñada y con criterios definidos.

Customizations for Control Tower (CfCT) y Account Factory for Terraform permiten ampliar la base con sus propios recursos y configuraciones, que se aplican a cada cuenta nueva.

Esto combina los controles de protección de Control Tower con requisitos específicos de la organización, como roles de IAM de referencia o configuraciones de red.

La cuenta Audit de Control Tower está preconfigurada para el acceso de seguridad entre cuentas, por lo que es el lugar natural para los administradores delegados de GuardDuty, Security Hub y Config.

Como el registro y la auditoría se centralizan desde el primer día, incorporar la detección de amenazas y el cumplimiento en toda la organización es sencillo, en lugar de tener que añadirlo posteriormente.

Elija Control Tower cuando necesite crear y gobernar muchas cuentas rápidamente, con las prácticas recomendadas de seguridad integradas.

En el examen, la frase «establecer una base segura de varias cuentas con controles de protección y registro centralizado» es una señal clara de AWS Control Tower.

Ha aprendido cómo AWS Control Tower crea una landing zone gobernada.

• Coordina Organizations, Identity Center, CloudTrail y Config.
• Los controles de protección (preventivos, detectivos y proactivos) aplican las políticas por OU.
• Account Factory aprovisiona cuentas que cumplen los requisitos y detecta desviaciones.