Landing zone con AWS Control Tower

Creare manualmente decine di account porta a configurazioni incoerenti e non sicure. Una landing zone è un ambiente multi-account ben progettato, con sicurezza e governance integrate fin dal primo giorno.

AWS Control Tower automatizza la creazione e la governance di una landing zone, così ogni account parte dalla stessa baseline sicura.

Control Tower orchestra diversi servizi in un unico ambiente governato:

• AWS Organizations per la struttura degli account.
• IAM Identity Center per l'accesso.
• CloudTrail e Config per la registrazione dei log e la conformità.

Collega automaticamente questi servizi applicando impostazioni predefinite appropriate.

Control Tower configura una struttura di base:

• Un management account al livello superiore.
• Un account Log Archive che centralizza i log di CloudTrail e Config.
• Un account Audit (Security) per l'accesso di sicurezza tra account.

Questa separazione mantiene i log e gli strumenti di sicurezza lontani dai carichi di lavoro.

Control Tower applica la governance tramite i guardrail (chiamati anche controlli).

• I guardrail preventivi usano gli SCP per bloccare le azioni non consentite.
• I guardrail investigativi usano le regole di Config per segnalare le risorse non conformi.
• I guardrail proattivi controllano le risorse prima della distribuzione.

I guardrail sono classificati come obbligatori, fortemente consigliati o facoltativi.

Account Factory è il metodo basato su modelli di Control Tower per effettuare il provisioning di nuovi account.

Ogni nuovo account viene automaticamente inserito nell'unità organizzativa corretta, eredita i guardrail e viene registrato nella raccolta centralizzata dei log. I team ottengono account conformi senza dover configurare manualmente la sicurezza, spesso tramite un catalogo self-service.

Control Tower organizza gli account in OU (unità organizzative) che raggruppano gli account in base allo scopo, ad esempio Production o Sandbox.

I guardrail vengono applicati a livello di OU, quindi ogni account appartenente a un'OU eredita gli stessi controlli. In questo modo la policy è coerente e facile da comprendere.

La dashboard di Control Tower mostra lo stato di conformità nell'intera landing zone e rileva il drift, cioè quando qualcuno modifica un'impostazione gestita al di fuori di Control Tower.

Ad esempio, se uno SCP viene modificato direttamente, Control Tower segnala il drift, consentendo di applicare nuovamente la baseline prevista.

È possibile creare una configurazione multi-account usando direttamente Organizations e gli SCP, ma Control Tower esegue i collegamenti necessari e mantiene la coerenza della configurazione.

• La configurazione manuale offre il pieno controllo, ma richiede più impegno e comporta un rischio maggiore di lacune.
• Control Tower offre rapidamente una baseline predefinita, ben progettata e basata su opinioni architetturali precise.

Customizations for Control Tower (CfCT) e Account Factory for Terraform consentono di estendere la baseline con risorse e configurazioni personalizzate, applicate a ogni nuovo account.

In questo modo i guardrail di Control Tower si combinano con requisiti specifici dell'organizzazione, come ruoli IAM di base o configurazioni di rete.

L'account Audit di Control Tower è preconfigurato per l'accesso di sicurezza tra account, ed è quindi la sede naturale per gli amministratori delegati di GuardDuty, Security Hub e Config.

Poiché la registrazione dei log e l'audit sono centralizzati fin dal primo giorno, integrare il rilevamento delle minacce e la conformità a livello organizzativo è semplice, invece di doverlo fare in un secondo momento.

Scelga Control Tower quando deve configurare e governare rapidamente molti account, integrando fin dall'inizio le best practice di sicurezza.

Nel contesto dell'esame, "stabilire una baseline multi-account sicura con guardrail e registrazione centralizzata dei log" è un forte indicatore di AWS Control Tower.

Ha imparato come AWS Control Tower crea una landing zone governata.

• Orchestra Organizations, Identity Center, CloudTrail e Config.
• I guardrail (preventivi, investigativi e proattivi) applicano le policy a livello di OU.
• Account Factory esegue il provisioning di account conformi e rileva il drift.