Landing Zones med AWS Control Tower

Hvis du oppretter dusinvis av kontoer manuelt, fører det til inkonsistente og usikre oppsett. En landing zone er et velarkitekturert miljø med flere kontoer, der sikkerhet og styring er innebygd fra første dag.

AWS Control Tower automatiserer oppretting og styring av en landing zone, slik at hver konto starter med samme sikre grunnlinje.

Control Tower orkestrerer flere tjenester i ett styrt miljø:

• AWS Organizations for kontostrukturen.
• IAM Identity Center for pålogging.
• CloudTrail og Config for logging og samsvar.

Det kobler disse automatisk sammen med fornuftige standardinnstillinger.

Control Tower oppretter en grunnleggende struktur:

• En administrasjonskonto øverst.
• En Log Archive-konto som sentraliserer CloudTrail- og Config-logger.
• En Audit (Security)-konto for sikkerhetstilgang på tvers av kontoer.

Denne adskillelsen holder logger og sikkerhetsverktøy atskilt fra arbeidsbelastningene.

Control Tower håndhever styring gjennom guardrails (også kalt kontroller).

• Forebyggende guardrails bruker SCP-er til å blokkere handlinger som ikke er tillatt.
• Detektive guardrails bruker Config-regler til å flagge ressurser som ikke oppfyller kravene.
• Proaktive guardrails kontrollerer ressurser før utrulling.

Guardrails er merket som obligatoriske, sterkt anbefalte eller valgfrie.

Account Factory er Control Towers malbaserte metode for å klargjøre nye kontoer.

Hver nye konto plasseres automatisk i riktig organisasjonsenhet, arver guardrails og registreres i sentralisert logging. Teamene får kontoer som oppfyller kravene, uten manuelt sikkerhetsoppsett, ofte via en selvbetjeningskatalog.

Control Tower organiserer kontoer i OU-er (organisasjonsenheter) som grupperer kontoer etter formål, for eksempel Production eller Sandbox.

Guardrails gjelder på OU-nivå, slik at alle kontoer i en OU arver de samme kontrollene. Dette gjør policyen konsekvent og enkel å forstå.

Control Tower-dashbordet viser samsvarsstatus på tvers av landing zonen og oppdager avvik: når noen endrer en styrt innstilling utenfor Control Tower.

Hvis en SCP for eksempel redigeres direkte, rapporterer Control Tower avviket, slik at du kan bruke den tiltenkte grunnlinjen på nytt.

Du kan bygge et oppsett med flere kontoer ved hjelp av rå Organizations og SCP-er, men Control Tower gjør sammenkoblingen for deg og holder den konsekvent.

• Manuell konfigurering gir full kontroll, men krever mer arbeid og medfører større risiko for mangler.
• Control Tower gir en rask, meningsbærende og velarkitekturert grunnlinje.

Customizations for Control Tower (CfCT) og Account Factory for Terraform lar deg utvide grunnlinjen med egne ressurser og konfigurasjoner som brukes på hver nye konto.

Dette kombinerer Control Towers guardrails med organisasjonsspesifikke krav, for eksempel grunnleggende IAM-roller eller nettverksoppsett.

Control Towers Audit-konto er forhåndskonfigurert for sikkerhetstilgang på tvers av kontoer, noe som gjør den til det naturlige stedet for delegerte administratorer av GuardDuty, Security Hub og Config.

Fordi logging og revisjon er sentralisert fra første dag, er det enkelt å koble til trusseldeteksjon og samsvarskontroll for hele organisasjonen, i stedet for å ettermontere dette.

Velg Control Tower når du trenger å opprette og styre mange kontoer raskt, med beste praksis for sikkerhet innebygd.

På eksamen er «etablere en sikker grunnlinje for flere kontoer med guardrails og sentralisert logging» et tydelig signal om AWS Control Tower.

Du har lært hvordan AWS Control Tower bygger en styrt landing zone.

• Den orkestrerer Organizations, Identity Center, CloudTrail og Config.
• Guardrails (forebyggende, detektive og proaktive) håndhever policyer per OU.
• Account Factory klargjør kontoer som oppfyller kravene, og oppdager avvik.