Landing Zones com o AWS Control Tower

Criar dezenas de contas manualmente resulta em configurações inconsistentes e inseguras. Uma zona de aterrissagem é um ambiente bem arquitetado e com várias contas, com segurança e governança incorporadas desde o primeiro dia.

A AWS Torre de Controle automatiza a criação e a governança de uma zona de aterrissagem, para que todas as contas comecem com a mesma base segura.

A Torre de Controle coordena vários serviços em um único ambiente governado:

• AWS Organizações para a estrutura de contas.
• Centro de Identidade do IAM para o login.
• CloudTrail e Config para registro e conformidade.

Ela conecta tudo isso automaticamente com padrões sensatos.

A Torre de Controle configura uma estrutura básica:

• Uma conta de gerenciamento no nível superior.
• Uma conta de Arquivo de Registros que centraliza os registros do CloudTrail e do Config.
• Uma conta de Auditoria (Segurança) para acesso de segurança entre contas.

Essa separação mantém os registros e as ferramentas de segurança afastados das cargas de trabalho.

A Torre de Controle impõe a governança por meio de controles de proteção (também chamados de controles).

• Os controles de proteção preventivos usam SCPs para bloquear ações não permitidas.
• Os controles de proteção detectivos usam regras do Config para sinalizar recursos em não conformidade.
• Os controles de proteção proativos verificam os recursos antes da implantação.

Os controles de proteção são classificados como obrigatórios, altamente recomendados ou opcionais.

A Fábrica de Contas é a forma baseada em modelos da Torre de Controle para provisionar novas contas.

Cada nova conta é automaticamente colocada na unidade organizacional correta, herda os controles de proteção e é incluída no registro centralizado. As equipes obtêm contas em conformidade sem configurar a segurança manualmente, muitas vezes por meio de um catálogo de autoatendimento.

A Torre de Controle organiza as contas em OUs (unidades organizacionais), que agrupam contas por finalidade, como Produção ou Área de testes.

Os controles de proteção são aplicados no nível da OU, portanto todas as contas em uma OU herdam os mesmos controles. Isso torna a política consistente e fácil de compreender.

O painel da Torre de Controle mostra o status de conformidade em toda a zona de aterrissagem e detecta desvios: quando alguém altera uma configuração gerenciada fora da Torre de Controle.

Por exemplo, se uma SCP for editada diretamente, a Torre de Controle informará o desvio para que você possa reaplicar a base pretendida.

Você pode criar uma configuração com várias contas usando apenas Organizações e SCPs, mas a Torre de Controle faz as conexões por você e mantém tudo consistente.

• A configuração manual oferece controle total, mas exige mais esforço e apresenta maior risco de lacunas.
• A Torre de Controle oferece rapidamente uma base opinativa e bem arquitetada.

As personalizações da Torre de Controle (CfCT) e a Fábrica de Contas para Terraform permitem estender a base com seus próprios recursos e configurações, aplicados a cada nova conta.

Isso combina os controles de proteção da Torre de Controle com requisitos específicos da organização, como funções básicas do IAM ou configurações de rede.

A conta de Auditoria da Torre de Controle vem pré-configurada para acesso de segurança entre contas, tornando-se o local natural para administradores delegados do GuardDuty, do Hub de Segurança e do Config.

Como o registro e a auditoria são centralizados desde o primeiro dia, integrar a detecção de ameaças e a conformidade em toda a organização é simples, em vez de exigir uma adaptação posterior.

Escolha a Torre de Controle quando precisar configurar e governar muitas contas rapidamente, com as práticas recomendadas de segurança incorporadas.

Na prova, "estabelecer uma base segura com várias contas, controles de proteção e registro centralizado" é um forte indicativo da AWS Torre de Controle.

Você aprendeu como a AWS Torre de Controle cria uma zona de aterrissagem governada.

• Ela coordena Organizações, Centro de Identidade, CloudTrail e Config.
• Os controles de proteção (preventivos, detectivos e proativos) impõem a política por OU.
• A Fábrica de Contas provisiona contas em conformidade e detecta desvios.