Organizations, OU i strategia SCP

AWS Organizations umożliwia centralne zarządzanie wieloma kontami AWS jako jedną strukturą. W jej ramach Service Control Policies (SCPs) wyznaczają górne limity uprawnień, a Organizational Units (OUs) grupują konta na potrzeby kierowania polityk. Dobre zaprojektowanie tej hierarchii jest podstawową umiejętnością w obszarze zarządzania na egzaminie SCS-C02.

Organizacja ma na szczycie konto zarządzające (dawniej konto główne), kontener root oraz OU, które można zagnieżdżać w celu grupowania kont członkowskich. Polityki dołączone na dowolnym poziomie są przekazywane do wszystkiego, co znajduje się poniżej. To drzewo pozwala stosować kontrole szeroko lub wąsko za pomocą jednego dołączenia.

Organizational Unit (OU) grupuje konta o podobnych wymaganiach dotyczących zarządzania, na przykład OU „Production”, OU „Sandbox” i OU „Security”. Dołączenie SCP do OU powoduje zastosowanie jej do każdego konta znajdującego się w tej jednostce, dlatego konta należy organizować według polityk, które powinny dziedziczyć.

SCP są dziedziczone w dół drzewa: na konto wpływają łącznie SCP z katalogu głównego, nadrzędnych OU oraz samego konta. Aby działanie było dozwolone, musi być dozwolone na każdym poziomie. Odmowa w dowolnym miejscu łańcucha je blokuje. Ten kumulacyjny efekt ma kluczowe znaczenie przy projektowaniu SCP.

Istnieją dwie strategie. Lista zabronionych rozpoczyna się od domyślnej FullAWSAccess i dodaje jawne odmowy dla działań, których nigdy nie chcą Państwo zezwalać, takich jak wyłączenie CloudTrail. Lista dozwolonych usuwa FullAWSAccess i jawnie wymienia wyłącznie dozwolone usługi, co zapewnia znacznie bardziej restrykcyjne ustawienia. Większość organizacji zaczyna od listy zabronionych ze względu na elastyczność.

Ta SCP zabrania wszystkim zatrzymywania rejestrowania CloudTrail — jest to typowe zabezpieczenie stosowane w całej organizacji, dzięki któremu żadne konto członkowskie nie może oślepić śladu audytowego.

Ważna zasada: SCP nigdy nie nadają uprawnień — określają tylko ich maksymalny zakres. Aby działanie było dozwolone, musi na nie zezwalać zarówno SCP, jak i polityka IAM na koncie. SCP typu allow-list jedynie sprawia, że usługi są dostępne do nadania; IAM nadal musi nadać odpowiednie uprawnienia.

SCP nie dotyczą konta zarządzającego i nie mają wpływu na role połączone z usługami. W niektórych przypadkach nie wpływają również na uprawnienia nadane w politykach opartych na zasobach spoza organizacji. Znajomość tych wyjątków zapobiega wybieraniu błędnych odpowiedzi, gdy scenariusz zakłada, że SCP zablokuje coś, czego nie może zablokować.

Dwa klasyczne ochronne SCP odmawiają prawa do opuszczenia organizacji (organizations:LeaveOrganization) oraz uniemożliwiają kontom członkowskim wyłączanie usług bezpieczeństwa, takich jak GuardDuty, Security Hub, Config i CloudTrail. Zastosowane w katalogu głównym zapewniają, że żadne konto członkowskie nie odłączy się od mechanizmów zarządzania ani nie oślepi systemów wykrywania organizacji — jest to zdecydowanie zalecana konfiguracja bazowa.

Typowy projekt obejmuje bazowe SCP typu deny-list w katalogu głównym (ochrona CloudTrail, blokowanie opuszczenia organizacji, ograniczenie regionów), bardziej restrykcyjne SCP dla OU Production oraz mniej restrykcyjne dla OU Sandbox. Grupowanie kont według profilu ryzyka w OU pozwala precyzyjnie dostosować zasady zarządzania przy minimalnym rozroście polityk.

Organizations porządkuje konta w OU znajdujące się pod katalogiem głównym i kontem zarządzającym. SCP są dziedziczone w dół drzewa, a działanie wymaga zezwolenia na każdym poziomie. Należy wybrać strategię deny-list (elastyczną) albo allow-list (restrykcyjną), pamiętać, że SCP tylko ograniczają, nigdy nie nadają uprawnień, oraz że nie dotyczą konta zarządzającego ani ról połączonych z usługami.

Sprawdź swoją strategię SCP.

AWS Organizations grupuje konta w OU pod katalogiem głównym i kontem zarządzającym. SCP są dziedziczone w dół drzewa i wymagają zezwolenia na każdym poziomie; każda odmowa blokuje działanie. Należy używać strategii deny-list (elastycznej) albo allow-list (restrykcyjnej). SCP tylko ograniczają, nigdy nie nadają uprawnień i nie dotyczą konta zarządzającego ani ról połączonych z usługami.