Bereitstellung und Verwaltung von AWS Control Tower Tower-Steuerungen mithilfe von AWS CDK und AWS CloudFormation

Erstellt von Iker Reina Fuente (AWS) und Ivan Girardi (AWS)

Übersicht

Dieses Muster beschreibt, wie AWS CloudFormation und das AWS Cloud Development Kit (AWS CDK) verwendet werden, um präventive, detektive und proaktive AWS Control Tower Tower-Kontrollen als Infrastructure as Code (IaC) zu implementieren und zu verwalten. Eine Kontrolle (auch als Guardrail bezeichnet) ist eine Regel auf hoher Ebene, die eine kontinuierliche Steuerung Ihrer gesamten AWS Control Tower Tower-Umgebung gewährleistet. Sie können beispielsweise Kontrollen verwenden, um die Protokollierung für Ihre AWS-Konten vorzuschreiben und dann automatische Benachrichtigungen zu konfigurieren, wenn bestimmte sicherheitsrelevante Ereignisse eintreten.

AWS Control Tower unterstützt Sie bei der Implementierung präventiver, detektiver und proaktiver Kontrollen, die Ihre AWS-Ressourcen steuern und die Einhaltung der Vorschriften für mehrere AWS-Konten überwachen. Jede Kontrolle erzwingt eine einzelne Regel. In diesem Muster verwenden Sie eine bereitgestellte IaC-Vorlage, um anzugeben, welche Steuerelemente Sie in Ihrer Umgebung bereitstellen möchten.

Die Kontrollen von AWS Control Tower gelten für eine gesamte Organisationseinheit (OU), und die Kontrolle wirkt sich auf jedes AWS-Konto innerhalb der OU aus. Wenn Benutzer eine Aktion in einem Konto in Ihrer landing zone ausführen, unterliegt diese Aktion daher den Kontrollen, die für die Organisationseinheit gelten.

Die Implementierung von AWS Control Tower Controls trägt dazu bei, eine solide Sicherheitsgrundlage für Ihre AWS-Landezone zu schaffen. Indem Sie dieses Muster verwenden, um die Kontrollen als IaC über CloudFormation und AWS CDK bereitzustellen, können Sie die Kontrollen in Ihrer landing zone standardisieren und sie effizienter bereitstellen und verwalten. Diese Lösung verwendet cdk_nag, um die AWS-CDK-Anwendung während der Bereitstellung zu scannen. Dieses Tool überprüft, ob die Anwendung den bewährten AWS-Methoden entspricht.

Um AWS Control Tower Tower-Steuerelemente als IaC bereitzustellen, können Sie anstelle von AWS CDK auch HashiCorp Terraform verwenden. Weitere Informationen finden Sie unter Bereitstellen und Verwalten von AWS Control Tower Tower-Steuerelementen mithilfe von Terraform.

Zielpublikum

Dieses Muster wird Benutzern empfohlen, die Erfahrung mit AWS Control Tower CloudFormation, AWS CDK und AWS Organizations haben.

Voraussetzungen und Einschränkungen

Voraussetzungen

Einschränkungen

Produktversionen

Architektur

Zielarchitektur

Dieser Abschnitt bietet einen allgemeinen Überblick über diese Lösung und die durch den Beispielcode geschaffene Architektur. Das folgende Diagramm zeigt die Steuerelemente, die für die verschiedenen Konten in der Organisationseinheit eingesetzt werden.

Die Kontrollen von AWS Control Tower werden nach ihrem Verhalten und ihren Richtlinien kategorisiert.

Es gibt drei Haupttypen von Kontrollverhalten:

Die Anleitung zur Steuerung bezieht sich auf die empfohlene Vorgehensweise zur Anwendung der einzelnen Kontrollen auf Ihre Organisationseinheiten. AWS Control Tower bietet drei Kategorien von Anleitungen: verpflichtend, dringend empfohlen und optional. Die Leitlinien einer Kontrolle sind unabhängig von ihrem Verhalten. Weitere Informationen finden Sie unter Verhalten und Steuerung der Steuerung.

Tools

AWS-Services

Andere Tools

Code-Repository

Der Code für dieses Muster ist im Repository GitHub Deploy AWS Control Tower Controls using AWS CDK verfügbar. Sie verwenden die Datei cdk.json, um mit der AWS CDK-App zu interagieren, und Sie verwenden die Datei package.json, um die npm-Pakete zu installieren.

Bewährte Methoden

Epen

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

Zugehörige Ressourcen

AWS-Dokumentation

Sonstige Ressourcen

Zusätzliche Informationen

Beispiel für eine Datei constants.py

Im Folgenden finden Sie ein Beispiel für eine aktualisierte Datei constants.py.

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

IAM-Richtlinie

Die folgende Beispielrichtlinie ermöglicht die Mindestaktionen, die erforderlich sind, um AWS Control Tower Controls zu aktivieren oder zu deaktivieren, wenn AWS CDK-Stacks von einem Bereitstellungskonto auf das Verwaltungskonto bereitgestellt werden.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

Vertrauensrichtlinie

Die folgende benutzerdefinierte Vertrauensrichtlinie ermöglicht es einer bestimmten IAM-Rolle im Bereitstellungskonto, die IAM-Rolle im Verwaltungskonto anzunehmen. Ersetzen Sie Folgendes:

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}