AWS Control Tower से लैंडिंग ज़ोन

दर्जनों खातों को हाथ से बनाना असंगत और असुरक्षित सेटअप की ओर ले जाता है। लैंडिंग ज़ोन एक सुव्यवस्थित, बहु-खाता वातावरण है, जिसमें पहले दिन से सुरक्षा और शासन शामिल होते हैं।

AWS कंट्रोल टावर लैंडिंग ज़ोन बनाने और उसका शासन संभालने की प्रक्रिया को स्वचालित करता है, ताकि हर खाता एक जैसी सुरक्षित आधाररेखा से शुरू हो।

कंट्रोल टावर कई सेवाओं को एक शासित वातावरण में व्यवस्थित करता है:

• खातों की संरचना के लिए AWS ऑर्गनाइज़ेशंस।
• साइन-इन के लिए IAM आइडेंटिटी सेंटर।
• लॉगिंग और अनुपालन के लिए CloudTrail और कॉन्फ़िगरेशन।

यह इन सभी को उचित डिफ़ॉल्ट सेटिंग्स के साथ अपने-आप जोड़ देता है।

कंट्रोल टावर एक आधारभूत संरचना तैयार करता है:

• सबसे ऊपर एक प्रबंधन खाता।
• एक लॉग संग्रह खाता, जो CloudTrail और कॉन्फ़िगरेशन लॉग को केंद्रीकृत करता है।
• क्रॉस-अकाउंट सुरक्षा पहुँच के लिए एक ऑडिट (सुरक्षा) खाता।

यह अलगाव लॉग और सुरक्षा टूल को वर्कलोड से दूर रखता है।

कंट्रोल टावर सुरक्षा नियंत्रणों (जिन्हें कंट्रोल भी कहा जाता है) के माध्यम से शासन लागू करता है।

• निवारक सुरक्षा नियंत्रण प्रतिबंधित कार्रवाइयों को रोकने के लिए SCP का उपयोग करते हैं।
• जाँचकर्ता सुरक्षा नियंत्रण गैर-अनुपालक संसाधनों को चिह्नित करने के लिए कॉन्फ़िगरेशन नियमों का उपयोग करते हैं।
• सक्रिय सुरक्षा नियंत्रण तैनाती से पहले संसाधनों की जाँच करते हैं।

सुरक्षा नियंत्रणों को अनिवार्य, अत्यधिक अनुशंसित या वैकल्पिक के रूप में चिह्नित किया जाता है।

अकाउंट फ़ैक्टरी नए खाते उपलब्ध कराने का कंट्रोल टावर का टेम्पलेट-आधारित तरीका है।

हर नया खाता अपने-आप सही संगठनात्मक इकाई में शामिल हो जाता है, सुरक्षा नियंत्रण प्राप्त करता है और केंद्रीकृत लॉगिंग में पंजीकृत हो जाता है। टीमों को हाथ से सुरक्षा सेटअप किए बिना, अक्सर स्वयं-सेवा कैटलॉग के माध्यम से, अनुपालन करने वाले खाते मिल जाते हैं।

कंट्रोल टावर खातों को OUs (संगठनात्मक इकाइयों) में व्यवस्थित करता है, जो खातों को उनके उद्देश्य के आधार पर समूहित करती हैं, जैसे उत्पादन या सैंडबॉक्स।

सुरक्षा नियंत्रण OU स्तर पर लागू होते हैं, इसलिए OU में मौजूद हर खाता समान कंट्रोल प्राप्त करता है। इससे नीति सुसंगत रहती है और उसे समझना आसान होता है।

कंट्रोल टावर का डैशबोर्ड पूरे लैंडिंग ज़ोन में अनुपालन की स्थिति दिखाता है और विचलन का पता लगाता है: यानी जब कोई व्यक्ति कंट्रोल टावर के बाहर किसी प्रबंधित सेटिंग को बदल देता है।

उदाहरण के लिए, यदि किसी SCP को सीधे संपादित किया जाता है, तो कंट्रोल टावर विचलन की सूचना देता है, ताकि आप इच्छित आधाररेखा फिर से लागू कर सकें।

आप सीधे ऑर्गनाइज़ेशंस और SCP का उपयोग करके बहु-खाता सेटअप बना सकते हैं, लेकिन कंट्रोल टावर आपके लिए इनका एकीकरण करता है और इसे सुसंगत बनाए रखता है।

• मैन्युअल तरीका पूरा नियंत्रण देता है, लेकिन इसमें अधिक प्रयास और कमियों का अधिक जोखिम होता है।
• कंट्रोल टावर तेज़, स्पष्ट रूप से निर्धारित और सुव्यवस्थित आधाररेखा देता है।

कंट्रोल टावर के लिए अनुकूलन (CfCT) और Terraform के लिए अकाउंट फ़ैक्टरी आपको हर नए खाते पर लागू होने वाले अपने संसाधनों और कॉन्फ़िगरेशन जोड़कर आधाररेखा का विस्तार करने देते हैं।

इससे कंट्रोल टावर के सुरक्षा नियंत्रणों को संगठन-विशिष्ट आवश्यकताओं, जैसे आधारभूत IAM भूमिकाओं या नेटवर्क सेटअप, के साथ जोड़ा जा सकता है।

कंट्रोल टावर का ऑडिट खाता क्रॉस-अकाउंट सुरक्षा पहुँच के लिए पहले से कॉन्फ़िगर होता है, इसलिए यह GuardDuty, सुरक्षा हब और कॉन्फ़िगरेशन के प्रतिनिधि प्रशासकों के लिए स्वाभाविक स्थान है।

क्योंकि लॉगिंग और ऑडिट पहले दिन से केंद्रीकृत होते हैं, इसलिए पूरे संगठन में खतरे का पता लगाने और अनुपालन को जोड़ना बाद में अलग से करने के बजाय सीधा होता है।

जब आपको सुरक्षा की सर्वोत्तम प्रथाओं के साथ कई खातों को तेज़ी से स्थापित और शासित करना हो, तब कंट्रोल टावर चुनें।

परीक्षा में, "सुरक्षा नियंत्रणों और केंद्रीकृत लॉगिंग के साथ सुरक्षित बहु-खाता आधाररेखा स्थापित करना" AWS कंट्रोल टावर का स्पष्ट संकेत है।

आपने सीखा कि AWS कंट्रोल टावर शासित लैंडिंग ज़ोन कैसे बनाता है।

• यह ऑर्गनाइज़ेशंस, आइडेंटिटी सेंटर, CloudTrail और कॉन्फ़िगरेशन को व्यवस्थित करता है।
• सुरक्षा नियंत्रण (निवारक, जाँचकर्ता, सक्रिय) OU के आधार पर नीति लागू करते हैं।
• अकाउंट फ़ैक्टरी अनुपालन करने वाले खाते उपलब्ध कराती है और विचलन का पता लगाती है।