Pacotes de conformidade e trilhas da Organização

Os AWS Config Conformance Packs são coleções de regras do Config e ações de correção agrupadas como uma única unidade que pode ser implantada, usando um modelo YAML semelhante ao CloudFormation. Eles representam um conjunto de controles de conformidade para um padrão ou estrutura específica — como o CIS AWS Foundations Benchmark, PCI-DSS, HIPAA ou NIST 800-53. Em vez de implantar manualmente dezenas de regras individuais do Config, pode implantar um conformance pack e obter uma cobertura abrangente em poucos minutos.

A AWS disponibiliza dezenas de modelos de conformance packs de exemplo no GitHub e no console da AWS. Entre os exemplos estão: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (controles básicos de segurança), Operational-Best-Practices-for-PCI-DSS (controles do setor de cartões de pagamento) e Operational-Best-Practices-for-HIPAA-Security (controles de dados de saúde). Pode usar esses modelos sem alterações ou personalizá-los adicionando, removendo ou modificando regras individuais antes da implantação.

Um modelo de conformance pack é um documento YAML que contém uma seção Parameters e uma seção Resources. Cada recurso no modelo é uma definição de regra do Config que usa o tipo de recurso do CloudFormation AWS::Config::ConfigRule. Também pode incluir recursos AWS::Config::RemediationConfiguration para associar ações de correção automática. Os parâmetros tornam o modelo reutilizável — por exemplo, pode parametrizar qual bucket do S3 armazena os resultados ou qual função do IAM a correção assume.

Após a implantação, pode visualizar um resumo da conformidade de cada conformance pack — mostrando quantas regras foram aprovadas, quantas falharam e quantos recursos estão não conformes para cada regra. Pode detalhar a análise do nível do pack até o nível da regra e, depois, até o nível do recurso individual. Os dados de conformidade podem ser exportados para o S3 em um bucket de resultados especificado por você, permitindo ingeri-los em um SIEM ou painel de relatórios de conformidade.

Um Organisation Conformance Pack implanta simultaneamente um conformance pack em todas as contas de uma AWS Organisation a partir da conta de gerenciamento (ou de uma conta de administrador delegado). As contas-membro não podem excluir nem modificar as regras implantadas. As novas contas que ingressarem na organização receberão automaticamente o conformance pack. Essa é a maneira mais eficiente de impor baselines de conformidade em centenas de contas sem acessar cada conta individualmente.

Em uma AWS Organisation, pode designar uma conta de administrador delegado para o AWS Config, para que a conta de gerenciamento não precise ser usada nas operações diárias do Config. O administrador delegado pode implantar regras do Config da organização, conformance packs e agregadores, além de visualizar dados de conformidade de todas as contas-membro. Isso segue a prática recomendada de usar a conta de gerenciamento o mínimo possível nas tarefas operacionais.

Um organisation trail no AWS CloudTrail captura a atividade de API de todas as contas da AWS Organisation — membros atuais e futuros — e entrega os registros a um bucket centralizado do S3 na conta de gerenciamento. Diferentemente dos trails no nível da conta, que cada conta precisa manter, um organisation trail é criado uma única vez e aplicado automaticamente em todos os locais. As contas-membro podem ver o organisation trail no console do CloudTrail, mas não podem modificá-lo nem excluí-lo.

O bucket do S3 do organisation trail usa um prefixo de chave estruturado: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Essa hierarquia permite consultar os registros de todas as contas com uma única tabela do Athena particionada pelo ID da organização e pelo ID da conta, ou usar prefixos de objetos do S3 para conceder a contas específicas acesso de leitura somente aos próprios registros. A política do bucket deve permitir explicitamente que cloudtrail.amazonaws.com grave dados de todas as contas da organização.

As Service Control Policies (SCPs) nas AWS Organisations são um controle preventivo complementar que restringe o que as contas-membro podem fazer. Combinar SCPs com regras do Config cria uma defesa em camadas: as SCPs impedem que ações não conformes sejam executadas (por exemplo, negando a criação de volumes EBS não criptografados), enquanto as regras do Config detectam estados não conformes e acionam a correção. O exame SAA-C03 avalia sua capacidade de escolher entre controles preventivos (SCPs) e controles de detecção (Config) para diferentes cenários.

O AWS Security Hub ingere descobertas do Config (resultados de verificações de conformidade), do GuardDuty (detecções de ameaças), do Inspector (descobertas de vulnerabilidades), do Macie (sensibilidade dos dados) e de ferramentas de parceiros em uma única visão normalizada. Ele relaciona as descobertas a padrões de segurança como CIS Foundations, PCI-DSS e AWS Foundational Security Best Practices. Enquanto o Config se concentra no estado da configuração, o Security Hub é o local para obter uma pontuação geral de segurança e uma lista priorizada de descobertas em todos os serviços.

A arquitetura completa de governança empresarial usa vários serviços em conjunto: as SCPs impedem violações antes que ocorram; o AWS Config + Organisation Conformance Packs detecta e corrige violações automaticamente; o Organisation CloudTrail registra toda a atividade de API de forma centralizada; o Security Hub agrega as descobertas em uma pontuação de segurança priorizada; e o EventBridge + Lambda fornece respostas automatizadas a descobertas de alta gravidade. Essa abordagem em camadas é o que a AWS chama de modelo de defesa em profundidade para a governança na nuvem.

Teste sua compreensão dos conceitos de AWS Solutions Architect (SAA-C03) desta lição.

Nesta lição, você aprendeu que os Conformance Packs agrupam várias regras do Config em um único modelo YAML implantável para conformidade com estruturas; que os Organisation Conformance Packs são aplicados automaticamente a todas as contas da AWS Organisation e não podem ser modificados pelos membros; e que os Organisation Trails centralizam os registros de auditoria de API de todas as contas sem configuração por conta. A seguir, exploraremos os tipos de volume EBS no aprofundamento sobre armazenamento.