Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Empfehlungen für die Einrichtung von Gruppen, Rollen und Richtlinien
Wenn Sie Ihre Landing Zone einrichten, sollten Sie im Voraus entscheiden, welche Benutzer Zugriff auf bestimmte Konten benötigen und warum. Beispielsweise sollte ein Sicherheitskonto nur für das Sicherheitsteam zugänglich sein, das Verwaltungskonto sollte nur für das Team der Cloud-Administratoren zugänglich sein und so weiter.
Weitere Informationen zu diesem Thema finden Sie unter. Identitäts- und Zugriffsmanagement im AWS Control Tower
Empfohlene Einschränkungen
Sie können den Umfang des Administratorzugriffs auf Ihre Organisationen einschränken, indem Sie eine IAM-Rolle oder -Richtlinie einrichten, die es Administratoren ermöglicht, nur AWS Control Tower-Aktionen zu verwalten. Es wird empfohlen, die IAM-Richtlinie zu verwenden. arn:aws:iam::aws:policy/service-role/AWSControlTowerServiceRolePolicy Wenn die AWSControlTowerServiceRolePolicy Rolle aktiviert ist, kann ein Administrator nur den AWS Control Tower verwalten. Stellen Sie sicher, dass Sie in jedem Konto den entsprechenden Zugriff auf AWS Organizations für die Verwaltung Ihrer präventiven Kontrollen und SCPs sowie für die Verwaltung von Detektivkontrollen angeben. AWS Config
Wenn Sie das freigegebene Auditkonto in Ihrer Landing Zone einrichten, empfehlen wir, die AWSSecurityAuditors-Gruppe allen externen Auditoren Ihrer Konten zuzuweisen. Diese Gruppe erteilt ihren Mitgliedern eine schreibgeschützte Berechtigung. Ein Konto darf keine Schreibberechtigungen für die Umgebung haben, die von ihm überwacht wird, da dies gegen die Einhaltung der Anforderungen der Aufgabentrennung für Prüfer verstoßen kann.
Sie können in Ihren Richtlinien zur Rollenvertrauensstellung Bedingungen festlegen, um die Konten und Ressourcen einzuschränken, die mit bestimmten Rollen im AWS Control Tower interagieren. Wir empfehlen dringend, den Zugriff auf die AWSControlTowerAdmin Rolle einzuschränken, da sie weitreichende Zugriffsberechtigungen gewährt. Weitere Informationen finden Sie unter Optionale Bedingungen für Ihre Rollenvertrauensbeziehungen.
