AWS Control Tower ile Temel Bölgeler

Elle düzinelerce hesap oluşturmak, tutarsız ve güvensiz kurulumlara yol açar. Landing zone, güvenlik ve yönetişim ilk günden yerleşik olan, iyi tasarlanmış çok hesaplı bir ortamdır.

AWS Control Tower, landing zone oluşturma ve yönetme işlemlerini otomatikleştirir; böylece her hesap aynı güvenli temel yapıdan başlar.

Control Tower, çeşitli hizmetleri tek bir yönetilen ortamda düzenler:

• Hesap yapısı için AWS Organizations.
• Oturum açma için IAM Identity Center.
• Günlük kaydı ve uyumluluk için CloudTrail ve Config.

Bu hizmetleri makul varsayılan ayarlarla otomatik olarak birbirine bağlar.

Control Tower temel bir yapı kurar:

• En üstte bir yönetim hesabı.
• CloudTrail ve Config günlüklerini merkezileştiren bir Günlük Arşivi hesabı.
• Hesaplar arası güvenlik erişimi için bir Denetim (Güvenlik) hesabı.

Bu ayrım, günlükleri ve güvenlik araçlarını iş yüklerinden ayrı tutar.

Control Tower, yönetişimi koruma kuralları (kontroller olarak da adlandırılır) aracılığıyla uygular.

• Önleyici koruma kuralları, izin verilmeyen işlemleri engellemek için SCP'leri kullanır.
• Tespit edici koruma kuralları, uyumsuz kaynakları işaretlemek için Config kurallarını kullanır.
• Proaktif koruma kuralları, kaynakları dağıtımdan önce denetler.

Koruma kuraları zorunlu, güçlü biçimde önerilen veya isteğe bağlı olarak etiketlenir.

Account Factory, Control Tower'ın yeni hesapları hazırlamak için kullandığı şablon tabanlı yöntemdir.

Her yeni hesap otomatik olarak doğru kuruluş birimine yerleştirilir, koruma kurallarını devralır ve merkezî günlük kaydına dahil edilir. Ekipler, çoğu zaman self servis kataloğu aracılığıyla, elle güvenlik kurulumu yapmadan uyumlu hesaplar edinir.

Control Tower, hesapları OU'lar (kuruluş birimleri) içinde düzenler; hesapları Production veya Sandbox gibi amaçlarına göre gruplandırır.

Koruma kuralları OU düzeyinde uygulanır; bu nedenle bir OU'daki her hesap aynı kontrolleri devralır. Böylece ilke tutarlı hâle gelir ve anlaşılması kolaylaşır.

Control Tower gösterge tablosu, landing zone genelindeki uyumluluk durumunu gösterir ve sapmayı tespit eder: birinin yönetilen bir ayarı Control Tower dışında değiştirmesi.

Örneğin bir SCP doğrudan düzenlenirse Control Tower sapmayı bildirir; böylece amaçlanan temel yapıyı yeniden uygulayabilirsiniz.

Ham Organizations ve SCP'lerle çok hesaplı bir yapı oluşturabilirsiniz; ancak Control Tower bağlantıları sizin için kurar ve bunları tutarlı tutar.

• Elle kurulum tam denetim sağlar; ancak daha fazla emek ve boşluk oluşma riski getirir.
• Control Tower hızlı, görüş belirten ve iyi tasarlanmış bir temel yapı sağlar.

Control Tower için Özelleştirmeler (CfCT) ve Terraform için Account Factory, her yeni hesaba uygulanan kendi kaynaklarınız ve yapılandırmalarınızla temel yapıyı genişletmenize olanak tanır.

Bu yaklaşım, Control Tower'ın koruma kurallarını temel IAM rolleri veya ağ kurulumları gibi kuruluşa özgü gereksinimlerle birleştirir.

Control Tower'ın Denetim hesabı, hesaplar arası güvenlik erişimi için önceden yapılandırılmıştır; bu da hesabı GuardDuty, Security Hub ve Config'in yetkilendirilmiş yöneticileri için doğal bir merkez hâline getirir.

Günlük kaydı ve denetim ilk günden merkezileştirildiğinden, kuruluş genelinde tehdit tespiti ve uyumluluk sağlamak sonradan eklenen bir işlem değil, doğrudan gerçekleştirilebilen bir işlemdir.

Güvenlik en iyi uygulamaları yerleşik şekilde çok sayıda hesabı hızla oluşturmanız ve yönetmeniz gerektiğinde Control Tower'ı seçin.

Sınavda "koruma kuralları ve merkezî günlük kaydıyla güvenli, çok hesaplı bir temel yapı oluşturma" ifadesi AWS Control Tower için güçlü bir işarettir.

Doğru hizmeti belirleyin.

AWS Control Tower'ın yönetilen bir landing zone'u nasıl oluşturduğunu öğrendiniz.

• Organizations, Identity Center, CloudTrail ve Config'i düzenler.
• Koruma kuralları (önleyici, tespit edici, proaktif), ilkeleri OU temelinde uygular.
• Account Factory, uyumlu hesaplar oluşturur ve sapmaları tespit eder.