使用 AWS Control Tower 构建落地区域

手动创建数十个账户会导致设置不一致且不安全。着陆区是一种设计完善的多账户环境，从第一天起就内置安全性和治理能力。

AWS 控制塔可以自动创建和治理着陆区，使每个账户都从相同的安全基线开始。

控制塔将多个服务编排到一个受治理的环境中：

• AWS Organizations负责账户结构。
• IAM 身份中心负责登录。
• CloudTrail 和配置负责日志记录和合规性。

它会自动使用合理的默认设置将这些服务连接起来。

控制塔会建立一个基线结构：

• 顶部是管理账户。
• 日志存档账户集中存储 CloudTrail 和配置日志。
• 审计（安全）账户用于跨账户安全访问。

这种隔离方式可以让日志和安全工具远离工作负载。

控制塔通过防护机制（也称为控制措施）实施治理。

• 预防性防护机制使用 SCP 阻止不允许的操作。
• 检测性防护机制使用配置规则标记不合规资源。
• 主动式防护机制会在部署前检查资源。

防护机制分为强制、强烈建议和可选三类。

账户工厂是控制塔用于预置新账户的模板化方式。

每个新账户都会自动进入正确的组织单位，继承防护机制，并加入集中式日志记录。团队无需手动进行安全设置即可获得合规账户，通常还可以通过自助式目录完成创建。

控制塔会将账户组织到OU（组织单位）中，按照用途对账户进行分组，例如生产环境或沙盒环境。

防护机制在 OU 层级应用，因此 OU 中的每个账户都会继承相同的控制措施。这样可以保持策略一致，也更易于理解和管理。

控制塔控制面板会显示整个着陆区的合规状态，并检测偏移：也就是有人在控制塔之外更改了受管理的设置。

例如，如果有人直接编辑 SCP，控制塔会报告偏移，以便您重新应用预期的基线。

您可以使用原生 Organizations 和 SCP 构建多账户设置，但控制塔会替您完成连接工作，并保持配置一致。

• 手动管理提供完全控制，但需要付出更多工作量，也更容易产生遗漏。
• 控制塔提供快速、具有明确设计理念且设计完善的基线。

控制塔自定义（CfCT）和适用于 Terraform 的账户工厂可以扩展基线，为每个新账户应用您自己的资源和配置。

这样既能使用控制塔的防护机制，又能满足组织特定的要求，例如基线 IAM 角色或网络设置。

控制塔的审计账户已预先配置好跨账户安全访问，因此非常适合作为 GuardDuty、安全中心和配置的委派管理员所在地。

由于从第一天起日志记录和审计就是集中进行的，因此接入整个组织范围的威胁检测和合规能力非常简单，无需事后补建。

当您需要快速建立并治理多个账户，并且希望内置安全最佳实践时，请选择控制塔。

在考试中，“使用防护机制和集中式日志记录建立安全的多账户基线”通常是 AWS 控制塔的明确信号。

识别正确的服务。

您了解了AWS 控制塔如何构建受治理的着陆区。

• 它会编排 Organizations、身份中心、CloudTrail 和配置。
• 防护机制（预防性、检测性、主动式）按 OU 强制执行策略。
• 账户工厂会预置合规账户并检测偏移。