Verwaltete Richtlinien für AWS Control Tower

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat die cloudformation:BatchDescribeTypeConfigurations Berechtigung von der ressourcenspezifischen Hooks-Anweisung in eine neue Anweisung mit verschobenResource: "*", da Berechtigungen auf Ressourcenebene für diese API CloudFormation nicht unterstützt werden.

AWS ControlTowerAccountServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue Berechtigungen hinzugefügt, die es AWS Control Tower ermöglichen, Aufrufe an die AWS CloudFormation Service-API BatchDescribeTypeConfigurations zu tätigen, um eine interne Verbesserung der serviceverknüpften Hooks vorzunehmen.

AWS ControlTowerAccountServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat eine bestehende Richtlinie aktualisiert, um die Validierungspräzision für EventBridge Amazon-Regelbedingungen zu verbessern. Das Update verschiebt die events:detail-type Bedingung von 1 StringEquals auf, ForAllValues:StringEquals um eine bessere Kontrolle über den Abgleich von Ereignismustern zu gewährleisten und gleichzeitig die gleichen funktionalen Berechtigungen beizubehalten.

AWS ControlTowerAccountServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat eine neue Richtlinie hinzugefügt, die die folgenden Berechtigungen erweitert:

AWS ControlTowerServiceRolePolicy— Aktualisierte verwaltete Richtlinie

AWS Control Tower hat das Amazon CloudWatch Logs-Ressourcenmuster aktualisiert, AWS ControlTowerServiceRolePolicy um die optionale AWS CloudTrail Integration von Landing Zone 4.0 zu unterstützen. Das Muster wurde von aws-controltower/CloudTrailLogs:* zu geändert. Danach wurde ein Platzhalterzeichen hinzugefügtaws-controltower/CloudTrailLogs*:*, CloudTrailLogs um die Verwaltung von Protokollgruppen mit einem beliebigen Suffix zu ermöglichen.

Dieses Update ermöglicht die optionale AWS CloudTrail Integration von Landing Zone 4.0, die es Kunden ermöglicht, die AWS CloudTrail Integration mehrfach zu aktivieren und zu deaktivieren. Jedes Mal, wenn die Integration aktiviert wird, werden Amazon CloudWatch Logs-Protokollgruppen mit eindeutigen Suffixen neu erstellt, um Namenskonflikte zu vermeiden. Das Update ist abwärtskompatibel mit vorhandenen Bereitstellungen.

AWS ControlTowerCloudTrailRolePolicy— Neue verwaltete Richtlinie

AWS Control Tower führte die AWS ControlTowerCloudTrailRolePolicy verwaltete Richtlinie ein, die es ermöglicht, Log-Streams CloudTrail zu erstellen und Protokollereignisse in den Control Tower-managed Amazon CloudWatch Logs-Protokollgruppen zu veröffentlichen.

Diese verwaltete Richtlinie ersetzt die zuvor von der verwendete Inline-Richtlinie und ermöglicht es AWS ControlTowerCloudTrailRole, die Richtlinie ohne Eingreifen des Kunden AWS zu aktualisieren. Die Richtlinie ist auf Protokollgruppen beschränkt, deren Namen dem Muster entsprechen. aws-controltower/CloudTrailLogs*

AWS ControlTowerIdentityCenterManagementPolicy— Eine neue Richtlinie

AWS Control Tower hat eine neue Richtlinie hinzugefügt, die es Kunden ermöglicht, IAM Identity Center-Ressourcen in Konten zu konfigurieren, die bei AWS Control Tower registriert sind, und sie ermöglicht es AWS Control Tower, einige Arten von Abweichungen bei der automatischen Registrierung von Konten zu beheben.

Diese Änderung ist erforderlich, damit Kunden das IAM Identity Center im AWS Control Tower konfigurieren können und AWS Control Tower die automatische Registrierung korrigieren kann.

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue CloudFormation Berechtigungen hinzugefügt, die es AWS Control Tower ermöglichen, Stack-Set-Ressourcen abzufragen und für Mitgliedskonten bereitzustellen, wenn die Konten automatisch bei AWS Control Tower registriert werden.

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue Berechtigungen hinzugefügt, die es Kunden ermöglichen, serviceverknüpfte AWS Config Regeln zu aktivieren und zu deaktivieren.

Diese Änderung ist erforderlich, damit Kunden Kontrollen verwalten können, die anhand von Config-Regeln bereitgestellt werden.

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue Berechtigungen hinzugefügt, die es AWS Control Tower ermöglichen, Aufrufe an die AWS CloudFormation Service-APIs zu tätigen ActivateTypeDeactivateType, undSetTypeConfiguration, weiterAWS::ControlTower types.

Diese Änderung ermöglicht es Kunden, proaktive Kontrollen bereitzustellen, ohne private CloudFormation Hook-Typen einsetzen zu müssen.

AWS ControlTowerAccountServiceRolePolicy— Eine neue Richtlinie

AWS Control Tower hat eine neue serviceverknüpfte Rolle hinzugefügt, die es AWS Control Tower ermöglicht, Ereignisregeln zu erstellen und zu verwalten und auf der Grundlage dieser Regeln die Drift-Erkennung für Kontrollen zu verwalten, die sich auf Security Hub CSPM beziehen.

Diese Änderung ist erforderlich, damit Kunden auf der Konsole abgelenkte Ressourcen sehen können, wenn sich diese Ressourcen auf Security Hub CSPM-Steuerelemente beziehen, die Teil des Security Hub CSPM-Standards sind: AWS Control Tower. Service-managed

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue Berechtigungen hinzugefügt, die es AWS Control Tower ermöglichen EnableRegionListRegions, Aufrufe an die und vom AWS Account Management Service implementierten GetRegionOptStatus APIs zu tätigen, um das Opt-In für Kundenkonten in der Landing Zone AWS-Regionen verfügbar zu machen (Verwaltungskonto, Protokollarchivkonto, Auditkonto, OU-Mitgliedskonten).

Diese Änderung ist erforderlich, damit Kunden die Option haben, die Region-Governance durch AWS Control Tower auf die Opt-in-Regionen auszudehnen.

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue Berechtigungen hinzugefügt, die es AWS Control Tower ermöglichen, die AWSControlTowerBlueprintAccess Rolle im Blueprint-Konto (Hub-Konto) zu übernehmen. Dabei handelt es sich um ein dediziertes Konto in einer Organisation, das vordefinierte Blueprints enthält, die in einem oder mehreren Service Catalog-Produkten gespeichert sind. AWS Control Tower übernimmt die AWSControlTowerBlueprintAccess Aufgabe, drei Aufgaben auszuführen: ein Service Catalog-Portfolio erstellen, das angeforderte Blueprint-Produkt hinzufügen und das Portfolio zum Zeitpunkt der Kontobereitstellung für ein angefordertes Mitgliedskonto freigeben.

Diese Änderung ist erforderlich, damit Kunden benutzerdefinierte Konten über AWS Control Tower Account Factory bereitstellen können.

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat ab Version 3.0 der Landing Zone neue Berechtigungen hinzugefügt, die es Kunden ermöglichen, AWS CloudTrail Trails auf Organisationsebene einzurichten.

Die organisationsbasierte CloudTrail Funktion erfordert, dass Kunden den vertrauenswürdigen Zugriff für den CloudTrail Service aktiviert haben, und der IAM-Benutzer oder die IAM-Rolle muss die Berechtigung haben, im Verwaltungskonto einen Trail auf Organisationsebene zu erstellen.

AWS ControlTowerServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

AWS Control Tower hat neue Berechtigungen hinzugefügt, die es Kunden ermöglichen, die KMS-Schlüsselverschlüsselung zu verwenden.

Die KMS-Funktion ermöglicht es Kunden, ihren eigenen KMS-Schlüssel zum Verschlüsseln ihrer CloudTrail Protokolle bereitzustellen. Kunden können den KMS-Schlüssel auch während der Aktualisierung oder Reparatur der Landezone ändern. Beim Aktualisieren des KMS-Schlüssels sind AWS CloudFormation Berechtigungen zum Aufrufen der AWS CloudTrail PutEventSelector API erforderlich. Die Änderung an der Richtlinie besteht darin, dass die AWS ControlTowerAdmin Rolle die AWS CloudTrail PutEventSelector API aufrufen kann.

AWS Control Tower hat begonnen, Änderungen zu verfolgen

AWS Control Tower hat damit begonnen, Änderungen für die von AWS ihm verwalteten Richtlinien zu verfolgen.