跨账户的组织跟踪

大型组织会运行几十甚至数百个 AWS 账户。分别为每个账户配置 CloudTrail 繁琐且容易出错，而漏掉一个账户就会形成盲区。

组织跟踪可以解决这个问题：它从一个位置记录 AWS Organizations 中所有账户的活动。

组织跟踪在AWS Organizations的管理账户或委派管理员账户中创建，并自动应用于所有成员账户。

每个账户的事件都会流入一个中央跟踪和 S3 存储桶，无需逐个账户设置，即可获得完整且统一的覆盖范围。

其核心优势是提供单一事实来源。整个组织中的所有 API 活动都会进入一个存储桶，该存储桶通常位于专用的日志存档账户中。

调查人员只需查询一个位置即可查看任何账户中的活动，也不必担心某个账户悄悄缺少跟踪。

最佳实践是将中央跟踪的 S3 存储桶放在单独且严格限制访问的日志存档账户中，只允许少数人员访问。

将日志隔离在此处意味着，即使攻击者入侵了某个工作负载账户，也无法访问或删除审计记录，这是防篡改日志记录的基石。

一个关键的安全特性是：成员账户无法关闭或修改应用于它们的组织跟踪。

只有管理账户或委派管理员账户可以控制它，因此遭到入侵或被恶意控制的成员账户无法停止记录自身活动，从而确保覆盖范围保持一致。

您可以将跟踪管理委派给专用的安全账户，而不是直接使用管理账户。

这符合管理账户的最小权限原则，也能让安全团队负责日志记录，而无需持有组织中最敏感的根级访问权限。

中央 S3 存储桶需要一项策略，允许来自每个成员账户的 CloudTrail 向其中写入日志。

AWS 会为组织跟踪自动配置此策略，按账户限制写入，并添加相应条件，在确保存储桶安全的同时接收整个组织的日志。

组织跟踪非常适合与组织范围的 GuardDuty、Security Hub 和 Config 配合使用，并由同一个委派安全账户统一管理。

它们共同构成集中式安全运营模型：在统一视图中整合整个组织的检测、审计和配置跟踪。

请使用KMS密钥加密中央跟踪存储桶，并在日志存档账户中严格控制该密钥的策略。

这可以保护静态存储的审计数据，并增加一道防线：即使攻击者能够访问存储桶，如果没有密钥，也无法读取日志。将加密与对象锁定结合使用，可以同时实现保密性和不可篡改性。

组织跟踪的一项强大特性是，新成员账户加入组织后，其活动会立即自动开始记录。

您不必担心忘记为新创建的账户配置 CloudTrail。覆盖范围会随组织扩展，从而消除逐账户管理跟踪时常见的盲区。

一个组织跟踪比许多单独跟踪更经济、更可靠。即使跨越多个账户，管理事件的第一份副本通常也是免费的。

只需一次配置即可获得完整覆盖范围：组件更少、没有遗漏，并且比逐个账户管理跟踪需要更少的运维投入。

了解组织跟踪为何能够抵御篡改。

组织跟踪在 AWS Organizations 的管理账户或委派管理员账户中创建，并自动将每个成员账户的日志记录到一个中央存储桶中——理想情况下，该存储桶位于严格限制访问的日志存档账户中。成员账户无法将其禁用，因此能够保证防篡改且无遗漏的覆盖范围。请将管理权限委派给安全账户以遵循最小权限原则，将其与组织范围的 GuardDuty 和 Config 配合使用，并以低于多个独立跟踪的费用获得完整覆盖。