AWS Control Tower를 활용한 랜딩 존

수십 개의 계정을 수작업으로 만들면 일관되지 않고 안전하지 않은 설정으로 이어집니다. 랜딩 존은 첫날부터 보안과 거버넌스가 내장된, 잘 설계된 다중 계정 환경입니다.

AWS 컨트롤 타워는 랜딩 존의 생성과 거버넌스를 자동화하므로 모든 계정이 동일한 보안 기준선에서 시작합니다.

컨트롤 타워는 여러 서비스를 하나의 거버넌스 환경으로 조정합니다.

• 계정 구조를 위한 AWS 조직
• 로그인을 위한 IAM 자격 증명 센터
• 로깅과 규정 준수를 위한 CloudTrail 및 구성

이러한 서비스를 합리적인 기본 설정으로 자동 연결합니다.

컨트롤 타워는 다음과 같은 기준선 구조를 설정합니다.

• 맨 위에 있는 관리 계정
• CloudTrail 및 구성 로그를 중앙 집중화하는 로그 보관 계정
• 계정 간 보안 액세스를 위한 감사(보안) 계정

이렇게 분리하면 로그와 보안 도구를 워크로드에서 분리할 수 있습니다.

컨트롤 타워는 가드레일(컨트롤이라고도 함)을 통해 거버넌스를 적용합니다.

• 예방적 가드레일은 SCP를 사용해 허용되지 않은 작업을 차단합니다.
• 탐지적 가드레일은 구성 규칙을 사용해 규정을 준수하지 않는 리소스를 표시합니다.
• 선제적 가드레일은 배포 전에 리소스를 확인합니다.

가드레일에는 필수, 강력 권장, 선택 사항이라는 레이블이 지정됩니다.

계정 팩토리는 새 계정을 프로비저닝하는 컨트롤 타워의 템플릿 기반 방식입니다.

각 새 계정은 자동으로 올바른 조직 단위에 배치되고, 가드레일을 상속하며, 중앙 집중식 로깅에 등록됩니다. 팀은 수작업으로 보안을 설정하지 않아도 규정을 준수하는 계정을 사용할 수 있으며, 대개 셀프 서비스 카탈로그를 통해 이를 수행합니다.

컨트롤 타워는 계정을 OU(조직 단위)로 구성하여 프로덕션 또는 샌드박스처럼 목적별로 그룹화합니다.

가드레일은 OU 수준에서 적용되므로 OU에 속한 모든 계정이 동일한 컨트롤을 상속합니다. 따라서 정책을 일관되게 적용하고 쉽게 파악할 수 있습니다.

컨트롤 타워 대시보드는 랜딩 존 전체의 규정 준수 상태를 보여 주고, 누군가 컨트롤 타워 외부에서 관리되는 설정을 변경했을 때 발생하는 드리프트를 감지합니다.

예를 들어 SCP를 직접 편집하면 컨트롤 타워가 드리프트를 보고하므로 의도한 기준선을 다시 적용할 수 있습니다.

기본 조직 및 SCP를 사용해 다중 계정 설정을 직접 구축할 수도 있지만, 컨트롤 타워는 연결 작업을 대신 수행하고 일관성을 유지합니다.

• 수동 구성은 완전한 제어권을 제공하지만 더 많은 노력과 누락 위험이 따릅니다.
• 컨트롤 타워는 빠르고 일관된 의견이 반영된, 잘 설계된 기준선을 제공합니다.

컨트롤 타워용 사용자 지정(CfCT) 및 Terraform용 계정 팩토리를 사용하면 모든 새 계정에 적용할 자체 리소스와 구성을 추가하여 기준선을 확장할 수 있습니다.

이를 통해 컨트롤 타워의 가드레일과 기준선 IAM 역할 또는 네트워크 설정 같은 조직별 요구 사항을 함께 적용할 수 있습니다.

컨트롤 타워의 감사 계정은 계정 간 보안 액세스를 사용하도록 미리 구성되어 있으므로 GuardDuty, 보안 허브, 구성의 위임된 관리자를 배치하기에 적합합니다.

첫날부터 로깅과 감사가 중앙 집중화되므로 조직 전체의 위협 탐지와 규정 준수를 쉽게 연결할 수 있으며, 나중에 다시 구축할 필요가 없습니다.

보안 모범 사례가 내장된 여러 계정을 신속하게 구축하고 거버넌스를 적용해야 할 때 컨트롤 타워를 선택하십시오.

시험에서는 "가드레일과 중앙 집중식 로깅을 사용해 안전한 다중 계정 기준선 수립"이라는 표현이 AWS 컨트롤 타워를 가리키는 강력한 신호입니다.

올바른 서비스를 식별하십시오.

AWS 컨트롤 타워가 거버넌스가 적용된 랜딩 존을 구축하는 방법을 학습했습니다.

• 조직, 자격 증명 센터, CloudTrail 및 구성을 조정합니다.
• 가드레일(예방적, 탐지적, 선제적)은 OU별로 정책을 적용합니다.
• 계정 팩토리는 규정을 준수하는 계정을 프로비저닝하고 드리프트를 감지합니다.