Strategi Organizations, OU, dan SCP

AWS Organizations memungkinkan Anda mengelola banyak akun AWS secara terpusat sebagai satu struktur. Di dalamnya, Service Control Policies (SCPs) menetapkan batas atas izin, dan Organizational Units (OUs) mengelompokkan akun untuk penargetan kebijakan. Merancang hierarki ini dengan baik merupakan keterampilan utama dalam domain tata kelola ujian SCS-C02.

Sebuah organisasi memiliki akun manajemen (sebelumnya disebut akun master) di bagian teratas, sebuah wadah root, dan OU yang dapat disusun bertingkat untuk mengelompokkan akun anggota. Kebijakan yang dilampirkan pada tingkat mana pun mengalir ke semua yang berada di bawahnya. Struktur pohon ini memungkinkan Anda menerapkan kontrol secara luas atau terarah hanya dengan satu pelampiran.

Organizational Unit (OU) mengelompokkan akun yang memiliki kebutuhan tata kelola yang sama, misalnya OU "Produksi", OU "Sandbox", dan OU "Keamanan". Melampirkan SCP ke sebuah OU akan menerapkannya pada setiap akun di dalamnya, sehingga Anda mengatur akun berdasarkan kebijakan yang harus diwarisinya.

SCP diwariskan ke bawah dalam struktur pohon: sebuah akun diatur oleh SCP pada root, OU induknya, dan dirinya sendiri secara gabungan. Agar suatu tindakan diizinkan, tindakan tersebut harus diizinkan pada setiap tingkat. Penolakan di mana pun dalam rantai akan memblokirnya. Dampak kumulatif ini merupakan inti dari desain SCP.

Ada dua strategi. Daftar tolak dimulai dari FullAWSAccess bawaan lalu menambahkan penolakan eksplisit untuk hal-hal yang tidak pernah diinginkan, seperti menonaktifkan CloudTrail. Daftar izinkan menghapus FullAWSAccess dan secara eksplisit mencantumkan hanya layanan yang diizinkan, sehingga posturnya jauh lebih ketat. Sebagian besar organisasi memulai dengan daftar tolak demi fleksibilitas.

SCP ini menolak siapa pun untuk menghentikan logging CloudTrail, sebuah pengaman umum yang diterapkan di seluruh organisasi agar tidak ada akun anggota yang dapat membutakan jejak audit.

Aturan penting: SCP tidak pernah memberikan izin; SCP hanya menetapkan batas maksimum. Suatu tindakan harus diizinkan oleh keduanya, yaitu SCP dan kebijakan IAM dalam akun tersebut. SCP daftar-izin hanya membuat layanan tersedia untuk diberikan izinnya; IAM tetap harus memberikan izin tersebut.

SCP tidak berlaku untuk akun manajemen, dan tidak memengaruhi peran yang tertaut ke layanan. Dalam beberapa kasus, SCP juga tidak memengaruhi pemberian izin melalui kebijakan berbasis sumber daya dari luar organisasi. Dengan mengetahui pengecualian ini, Anda dapat menghindari jawaban yang keliru ketika sebuah skenario mengharapkan SCP memblokir sesuatu yang sebenarnya tidak dapat diblokirnya.

Dua SCP perlindungan yang umum menolak keluar dari organisasi (organisasi:LeaveOrganization) dan menolak akun anggota menonaktifkan layanan keamanan seperti GuardDuty, Security Hub, Config, dan CloudTrail. Jika diterapkan pada akar, SCP ini memastikan tidak ada akun anggota yang dapat melepaskan diri dari tata kelola atau membutakan kemampuan deteksi organisasi. Ini adalah dasar perlindungan yang sangat direkomendasikan.

Desain yang umum: SCP daftar-penolakan dasar pada akar (melindungi CloudTrail, menolak keluar dari organisasi, dan membatasi wilayah), SCP yang lebih ketat pada OU Produksi, serta SCP yang lebih longgar pada OU Kotak Pasir. Mengelompokkan akun berdasarkan profil risiko ke dalam OU memungkinkan Anda menyesuaikan tata kelola secara tepat dengan kebijakan yang tetap ringkas.

Organisasi menyusun akun ke dalam OU di bawah akar dan akun manajemen. SCP diwariskan ke bawah dalam pohon, dan suatu tindakan memerlukan izin pada setiap tingkat. Pilih strategi daftar-penolakan (fleksibel) atau daftar-izin (ketat), ingat bahwa SCP hanya membatasi, tidak pernah memberikan izin, serta tidak berlaku untuk akun manajemen atau peran yang tertaut ke layanan.

Uji strategi SCP Anda.

AWS Organisasi mengelompokkan akun ke dalam OU di bawah akar dan akun manajemen. SCP diwariskan ke bawah dalam pohon dan memerlukan izin pada setiap tingkat; penolakan apa pun akan memblokir tindakan. Gunakan strategi daftar-penolakan (fleksibel) atau daftar-izin (ketat). SCP hanya membatasi, tidak pernah memberikan izin, dan tidak berlaku untuk akun manajemen atau peran yang tertaut ke layanan.