Landing zonet AWS Control Towerilla

Useiden kymmenien tilien luominen käsin johtaa epäyhtenäisiin ja suojaamattomiin määrityksiin. Landing zone on hyvin suunniteltu usean tilin ympäristö, jossa tietoturva ja hallinto on rakennettu sisään alusta alkaen.

AWS Control Tower automatisoi landing zonen luomisen ja hallinnan, joten jokainen tili aloittaa samasta turvallisesta perustasosta.

Control Tower yhdistää useita palveluita yhdeksi hallituksi ympäristöksi:

• AWS Organizations tilirakennetta varten.
• IAM Identity Center kirjautumista varten.
• CloudTrail ja Config lokitusta ja vaatimustenmukaisuutta varten.

Se yhdistää nämä automaattisesti järkevien oletusasetusten avulla.

Control Tower määrittää perustason mukaisen rakenteen:

• Ylimpänä oleva hallintatili.
• Log Archive -tili, joka keskittää CloudTrail- ja Config-lokit.
• Audit (Security) -tili tilien välisiä tietoturvakäyttöoikeuksia varten.

Tämä erottelu pitää lokit ja tietoturvatyökalut erillään työkuormista.

Control Tower toteuttaa hallintaa suojauksilla (joita kutsutaan myös kontrolleiksi).

• Ennalta estävät suojaukset käyttävät SCP-käytäntöjä estämään kielletyt toiminnot.
• Havaitsevat suojaukset käyttävät Config-sääntöjä vaatimustenvastaisten resurssien ilmoittamiseen.
• Ennakoivat suojaukset tarkistavat resurssit ennen käyttöönottoa.

Suojaukset luokitellaan pakollisiksi, vahvasti suositelluiksi tai valinnaisiksi.

Account Factory on Control Towerin mallipohjainen tapa ottaa uusia tilejä käyttöön.

Jokainen uusi tili sijoitetaan automaattisesti oikeaan organisaatioyksikköön, se perii suojaukset ja liitetään keskitettyyn lokitukseen. Tiimit saavat vaatimustenmukaiset tilit ilman manuaalista tietoturvamääritystä, usein itsepalveluluettelon kautta.

Control Tower järjestää tilit OU-yksiköihin (organisaatioyksiköihin), jotka ryhmittelevät tilit käyttötarkoituksen mukaan, kuten Production tai Sandbox.

Suojaukset kohdistetaan OU-tasolla, joten jokainen OU:n tili perii samat kontrollit. Näin käytännöt pysyvät yhdenmukaisina ja niiden vaikutuksia on helppo arvioida.

Control Towerin koontinäyttö näyttää landing zonen vaatimustenmukaisuuden tilan ja havaitsee poikkeamat: tilanteet, joissa joku muuttaa hallittua asetusta Control Towerin ulkopuolella.

Jos esimerkiksi SCP:tä muokataan suoraan, Control Tower ilmoittaa poikkeamasta, jotta voitte ottaa halutun perustason uudelleen käyttöön.

Voitte rakentaa usean tilin ympäristön käyttämällä suoraan Organizationsia ja SCP-käytäntöjä, mutta Control Tower hoitaa yhdistämisen puolestanne ja pitää kokonaisuuden yhdenmukaisena.

• Manuaalinen toteutus antaa täyden hallinnan, mutta vaatii enemmän työtä ja lisää puutteiden riskiä.
• Control Tower tarjoaa nopeasti käyttöön otettavan, ohjaavan ja hyvin suunnitellun perustason.

Control Towerin mukautukset (CfCT) ja Account Factory for Terraform mahdollistavat perustason laajentamisen omilla resursseilla ja määrityksillä, jotka otetaan käyttöön jokaisella uudella tilillä.

Näin Control Towerin suojaukset voidaan yhdistää organisaation omiin vaatimuksiin, kuten IAM-roolien tai verkkojen perustason määrityksiin.

Control Towerin Audit-tili on esimääritetty tilien välisiä tietoturvakäyttöoikeuksia varten, joten se on luonteva paikka GuardDutyn, Security Hubin ja Configin delegoiduille ylläpitäjille.

Koska lokitus ja auditointi keskitetään heti alusta alkaen, koko organisaation kattavan uhkien tunnistamisen ja vaatimustenmukaisuuden käyttöönotto on suoraviivaista eikä jälkikäteen tehtävää korjaustyötä.

Valitkaa Control Tower, kun tarvitsette useiden tilien nopean käyttöönoton ja hallinnan siten, että tietoturvan parhaat käytännöt ovat valmiiksi mukana.

Tutkintotehtävissä ilmaus ”suojauksilla ja keskitetyllä lokituksella varustetun turvallisen usean tilin perustason luominen” viittaa vahvasti AWS Control Toweriin.

Opitte, miten AWS Control Tower rakentaa hallitun landing zonen.

• Se yhdistää Organizationsin, Identity Centerin, CloudTrailin ja Configin.
• Suojaukset (ennalta estävät, havaitsevat ja ennakoivat) toteuttavat käytäntöjä OU-kohtaisesti.
• Account Factory ottaa käyttöön vaatimustenmukaisia tilejä ja havaitsee poikkeamat.