Landing Zones med AWS Control Tower

Att manuellt skapa dussintals konton leder till inkonsekventa och osäkra konfigurationer. En landing zone är en välarkitektad miljö med flera konton, där säkerhet och styrning är inbyggda från första dagen.

AWS Control Tower automatiserar skapandet och styrningen av en landing zone, så att varje konto börjar från samma säkra baslinje.

Control Tower samordnar flera tjänster till en och samma styrda miljö:

• AWS Organizations för kontostrukturen.
• IAM Identity Center för inloggning.
• CloudTrail och Config för loggning och regelefterlevnad.

Det kopplar automatiskt ihop dessa med väl avvägda standardinställningar.

Control Tower konfigurerar en baslinjestruktur:

• Ett hanteringskonto högst upp.
• Ett Log Archive-konto som centraliserar CloudTrail- och Config-loggar.
• Ett Audit (Security)-konto för säkerhetsåtkomst mellan konton.

Denna uppdelning håller loggar och säkerhetsverktyg åtskilda från arbetsbelastningarna.

Control Tower upprätthåller styrningen genom guardrails (som även kallas controls).

• Preventive guardrails använder SCP:er för att blockera otillåtna åtgärder.
• Detective guardrails använder Config-regler för att upptäcka resurser som inte följer kraven.
• Proactive guardrails kontrollerar resurser före driftsättning.

Guardrails klassificeras som obligatoriska, starkt rekommenderade eller valfria.

Account Factory är Control Towers mallbaserade sätt att provisionera nya konton.

Varje nytt konto placeras automatiskt i rätt organisatoriska enhet, ärver guardrails och ansluts till centraliserad loggning. Team får konton som uppfyller kraven utan manuell säkerhetskonfiguration, ofta via en självbetjäningskatalog.

Control Tower organiserar konton i OU:er (organisatoriska enheter) som grupperar konton efter användningsområde, till exempel Production eller Sandbox.

Guardrails tillämpas på OU-nivå, så att alla konton i en OU ärver samma kontroller. Det gör policyn konsekvent och lätt att förstå.

Control Towers instrumentpanel visar status för regelefterlevnaden i hela landing zone och upptäcker drift: när någon ändrar en hanterad inställning utanför Control Tower.

Om någon till exempel redigerar en SCP direkt rapporterar Control Tower drift, så att ni kan tillämpa den avsedda baslinjen igen.

Ni kan bygga en miljö med flera konton med enbart Organizations och SCP:er, men Control Tower kopplar ihop allt åt er och håller konfigurationen konsekvent.

• Manuell hantering ger full kontroll men kräver mer arbete och medför större risk för luckor.
• Control Tower ger en snabb, opinionsbildande och välarkitektad baslinje.

Customizations for Control Tower (CfCT) och Account Factory for Terraform låter er utöka baslinjen med egna resurser och konfigurationer som tillämpas på varje nytt konto.

Detta kombinerar Control Towers guardrails med organisationsspecifika krav, till exempel IAM-roller eller nätverkskonfigurationer för baslinjen.

Control Towers Audit-konto är förkonfigurerat för säkerhetsåtkomst mellan konton, vilket gör det till den naturliga platsen för delegerade administratörer av GuardDuty, Security Hub och Config.

Eftersom loggning och granskning är centraliserade från första dagen blir det enkelt att ansluta hotdetektering och regelefterlevnad för hela organisationen, i stället för att behöva införa detta i efterhand.

Välj Control Tower när ni behöver skapa och styra många konton snabbt, med inbyggda säkerhetsrekommendationer.

På provet är "upprätta en säker baslinje med flera konton, guardrails och centraliserad loggning" en tydlig signal för AWS Control Tower.

Ni har lärt er hur AWS Control Tower bygger en styrd landing zone.

• Det samordnar Organizations, Identity Center, CloudTrail och Config.
• Guardrails (preventive, detective, proactive) upprätthåller policyn per OU.
• Account Factory provisionerar konton som uppfyller kraven och upptäcker drift.