Landing Zones z AWS Control Tower

Ręczne tworzenie dziesiątek kont prowadzi do niespójnych i niezabezpieczonych konfiguracji. Landing zone to poprawnie zaprojektowane środowisko wielokontowe, w którym bezpieczeństwo i zarządzanie są wbudowane od pierwszego dnia.

AWS Control Tower automatyzuje tworzenie landing zone i zarządzanie nią, dzięki czemu każde konto zaczyna od tej samej bezpiecznej konfiguracji bazowej.

Control Tower koordynuje kilka usług w ramach jednego zarządzanego środowiska:

• AWS Organizations zapewnia strukturę kont.
• IAM Identity Center obsługuje logowanie.
• CloudTrail i Config zapewniają rejestrowanie zdarzeń i zgodność.

Usługa automatycznie łączy je za pomocą rozsądnych ustawień domyślnych.

Control Tower konfiguruje strukturę bazową:

• Znajdujące się na szczycie konto zarządzające.
• Konto Log Archive, które centralizuje logi CloudTrail i Config.
• Konto Audit (Security) zapewniające dostęp do zabezpieczeń między kontami.

Taki podział oddziela logi i narzędzia bezpieczeństwa od obciążeń.

Control Tower egzekwuje zasady zarządzania za pomocą funkcji guardrails (nazywanych także kontrolami).

• Guardrails zapobiegawcze używają SCP do blokowania niedozwolonych działań.
• Guardrails detekcyjne używają reguł Config do oznaczania niezgodnych zasobów.
• Guardrails proaktywne sprawdzają zasoby przed wdrożeniem.

Guardrails są oznaczane jako wymagane, zdecydowanie zalecane lub opcjonalne.

Account Factory to oparty na szablonach sposób Control Tower na aprowizowanie nowych kont.

Każde nowe konto automatycznie trafia do właściwej jednostki organizacyjnej, dziedziczy guardrails i zostaje objęte scentralizowanym rejestrowaniem. Zespoły otrzymują zgodne z wymaganiami konta bez ręcznej konfiguracji zabezpieczeń, często za pośrednictwem katalogu samoobsługowego.

Control Tower organizuje konta w OU (jednostki organizacyjne), które grupują konta według przeznaczenia, na przykład Production lub Sandbox.

Guardrails są stosowane na poziomie OU, dlatego każde konto w danej OU dziedziczy te same kontrole. Dzięki temu zasady są spójne i łatwe do zrozumienia.

Panel Control Tower pokazuje stan zgodności w całej landing zone i wykrywa drift: sytuację, w której ktoś zmieni zarządzane ustawienie poza Control Tower.

Na przykład jeśli SCP zostanie zmodyfikowana bezpośrednio, Control Tower zgłosi drift, aby można było ponownie zastosować zamierzoną konfigurację bazową.

Konfigurację wielokontową można utworzyć za pomocą samych Organizations i SCP, ale Control Tower wykonuje integrację za Państwa i zapewnia jej spójność.

• Konfiguracja ręczna zapewnia pełną kontrolę, ale wymaga więcej pracy i zwiększa ryzyko powstania luk.
• Control Tower zapewnia szybki, ukierunkowany i poprawnie zaprojektowany punkt wyjścia.

Customizations for Control Tower (CfCT) oraz Account Factory for Terraform pozwalają rozszerzyć konfigurację bazową o własne zasoby i konfiguracje stosowane do każdego nowego konta.

Łączy to guardrails Control Tower z wymaganiami charakterystycznymi dla organizacji, takimi jak bazowe role IAM lub konfiguracje sieci.

Konto Audit w Control Tower jest wstępnie skonfigurowane pod kątem dostępu do zabezpieczeń między kontami, dzięki czemu stanowi naturalne miejsce dla delegowanych administratorów GuardDuty, Security Hub i Config.

Ponieważ rejestrowanie i audyt są scentralizowane od pierwszego dnia, podłączenie wykrywania zagrożeń i kontroli zgodności w całej organizacji jest proste, a nie wymaga późniejszej przebudowy.

Proszę wybrać Control Tower, gdy trzeba szybko utworzyć i zarządzać wieloma kontami, korzystając z wbudowanych najlepszych praktyk bezpieczeństwa.

Na egzaminie sformułowanie „ustanowienie bezpiecznej konfiguracji bazowej obejmującej wiele kont, z guardrails i scentralizowanym rejestrowaniem” jest silnym sygnałem wskazującym na AWS Control Tower.

Proszę wskazać właściwą usługę.

Dowiedzieli się Państwo, jak AWS Control Tower tworzy zarządzaną landing zone.

• Koordynuje Organizations, Identity Center, CloudTrail i Config.
• Guardrails (zapobiegawcze, detekcyjne i proaktywne) egzekwują zasady na poziomie OU.
• Account Factory aprowizuje zgodne z wymaganiami konta i wykrywa drift.