Verwenden AWS Organizations aus Sicherheitsgründen

AWS Organizationshilft Ihnen dabei, Ihre Umgebung zentral zu verwalten und zu steuern, während Sie Ihre AWS Ressourcen erweitern und skalieren. Mithilfe dieser Funktion können Sie programmgesteuert neue Konten erstellen AWS Organizations, Ressourcen zuweisen AWS-Konten, Konten gruppieren, um Ihre Workloads zu organisieren, und Richtlinien für die Verwaltung auf Konten oder Gruppen von Konten anwenden. Eine AWS Organisation konsolidiert Ihre, AWS-Konten sodass Sie sie als eine einzige Einheit verwalten können. Sie hat ein Verwaltungskonto sowie null oder mehr Mitgliedskonten. Die meisten Ihrer Workloads befinden sich in Mitgliedskonten, mit Ausnahme einiger zentral verwalteter Prozesse, die entweder im Verwaltungskonto oder in Konten gespeichert sein müssen, die bestimmten Benutzern als delegierte Administratoren zugewiesen wurden. AWS-Services Sie können Ihrem Sicherheitsteam Tools und Zugriff von einem zentralen Ort aus zur Verfügung stellen, um die Sicherheitsanforderungen im Namen einer Organisation zu verwalten. AWS Sie können die Verdoppelung von Ressourcen reduzieren, indem Sie wichtige Ressourcen innerhalb Ihrer AWS Organisation gemeinsam nutzen. Sie können Konten in AWS Organisationseinheiten (OUs) gruppieren, die je nach den Anforderungen und dem Zweck des Workloads unterschiedliche Umgebungen repräsentieren können. AWS Organizations bietet außerdem mehrere Richtlinien, mit denen Sie zusätzliche Sicherheitskontrollen zentral auf alle Mitgliedskonten in Ihren Organisationen anwenden können. Dieser Abschnitt konzentriert sich auf Service Control Policies (SCPs), Resource Control Policies (RCPs) und deklarative Richtlinien.

Mit können Sie SCPs und RCPs verwenden AWS Organizations, um Zugriffsberechtigungen auf AWS Organisations-, OU- oder Kontoebene festzulegen. SCPs sind Guardrails, die für Principals innerhalb eines Unternehmenskontos gelten, mit Ausnahme des Verwaltungskontos (was ein Grund dafür ist, Workloads nicht in diesem Konto auszuführen). Wenn Sie einer Organisationseinheit ein SCP zuordnen, wird das SCP von den untergeordneten Organisationseinheiten und den Konten dieser Organisationseinheit übernommen. SCPs gewähren keine Berechtigungen. Stattdessen geben sie die maximalen Berechtigungen an, die Ihren Prinzipalen in einer AWS Organisation, Organisationseinheit oder einem Konto zur Verfügung stehen. Sie müssen den Prinzipalen oder Ressourcen in Ihrer Umgebung dennoch identitäts- oder ressourcenbasierte Richtlinien zuordnen, um ihnen tatsächlich Berechtigungen AWS-Konten zu erteilen. Wenn ein SCP beispielsweise den Zugriff auf Amazon S3 verweigert, hat ein vom SCP betroffener Principal keinen Zugriff auf Amazon S3, selbst wenn ihm der Zugriff durch eine IAM-Richtlinie ausdrücklich gewährt wird. Weitere Informationen darüber, wie IAM-Richtlinien bewertet werden, welche Rolle SCPs spielen und wie der Zugriff letztlich gewährt oder verweigert wird, finden Sie unter Bewertungslogik für Richtlinien in der IAM-Dokumentation.

RCPs sind Leitplanken, die für Ressourcen innerhalb der Konten einer Organisation gelten, unabhängig davon, ob die Ressourcen derselben Organisation gehören. Wie SCPs wirken sich RCPs nicht auf die Ressourcen im Verwaltungskonto aus und gewähren keine Berechtigungen. Wenn Sie ein RCP an eine Organisationseinheit anhängen, wird das RCP von den untergeordneten Organisationseinheiten und den Konten unter der Organisationseinheit übernommen. RCPs bieten die zentrale Kontrolle über die maximal verfügbaren Berechtigungen für Ressourcen in Ihrer Organisation und unterstützen derzeit eine Teilmenge davon. AWS-Services Wenn Sie SCPs für Ihre Organisationseinheiten entwerfen, empfehlen wir Ihnen, die Änderungen mithilfe des IAM-Richtliniensimulators zu bewerten. Sie sollten auch die Daten, auf die der Dienst zuletzt zugegriffen hat, in IAM überprüfen und die Dienstnutzung auf API-Ebene protokollieren, um die potenziellen Auswirkungen von SCP-Änderungen zu verstehen.AWS CloudTrail

SCPs und RCPs sind unabhängige Kontrollen. Je nach den Zugriffskontrollen, die Sie durchsetzen möchten, können Sie entweder nur SCPs oder RCPs aktivieren oder beide Richtlinientypen zusammen verwenden. Wenn Sie beispielsweise verhindern möchten, dass die Prinzipale Ihrer Organisation auf Ressourcen außerhalb Ihrer Organisation zugreifen, setzen Sie diese Kontrolle mithilfe von SCPs durch. Wenn Sie den Zugriff externer Identitäten auf Ihre Ressourcen einschränken oder verhindern möchten, setzen Sie diese Kontrolle mithilfe von RCPs durch. Weitere Informationen und Anwendungsfälle für RCPs und SCPs finden Sie in der Dokumentation unter Verwenden von SCPs und RCPs. AWS Organizations

Sie können AWS Organizations deklarative Richtlinien verwenden, um Ihre gewünschte Konfiguration für eine bestimmte Größe AWS-Service im gesamten Unternehmen zentral zu deklarieren und durchzusetzen. Sie können beispielsweise den öffentlichen Internetzugang zu Amazon VPC-Ressourcen in Ihrer gesamten Organisation blockieren. Im Gegensatz zu Autorisierungsrichtlinien wie SCPs und RCPs werden deklarative Richtlinien in der Kontrollebene eines AWS Dienstes durchgesetzt. Autorisierungsrichtlinien regeln den Zugriff auf APIs, wohingegen deklarative Richtlinien direkt auf Serviceebene angewendet werden, um dauerhafte Absichten durchzusetzen. Diese Richtlinien tragen dazu bei, dass die Basiskonfiguration für einen immer beibehalten AWS-Service wird, auch wenn der Dienst neue Funktionen oder APIs einführt. Die Basiskonfiguration wird auch beibehalten, wenn einer Organisation neue Konten hinzugefügt werden oder wenn neue Prinzipale und Ressourcen erstellt werden. Deklarative Richtlinien können auf eine gesamte Organisation oder auf bestimmte Organisationseinheiten oder Konten angewendet werden.

Jeder AWS-Konto hat einen einzelnen Root-Benutzer, der standardmäßig über vollständige Berechtigungen für alle AWS Ressourcen verfügt.  Aus Sicherheitsgründen empfehlen wir, den Root-Benutzer nicht zu verwenden, außer für einige Aufgaben, für die ausdrücklich ein Root-Benutzer erforderlich ist. Wenn Sie mehrere Konten verwalten AWS-Konten AWS Organizations, können Sie die Root-Anmeldung zentral deaktivieren und dann für alle Mitgliedskonten Aktionen mit Root-Rechten ausführen. Nachdem Sie den Root-Zugriff für Mitgliedskonten zentral verwaltet haben, können Sie das Root-Benutzerkennwort, die Zugriffsschlüssel und die Signaturzertifikate löschen und die Multi-Faktor-Authentifizierung (MFA) für Mitgliedskonten deaktivieren. Neue Konten, die im Rahmen des zentral verwalteten Root-Zugriffs erstellt werden, haben standardmäßig keine Root-Benutzeranmeldedaten. Mitgliedskonten können sich nicht mit ihrem Root-Benutzer anmelden oder eine Passwortwiederherstellung für ihren Root-Benutzer durchführen.

AWS Control Towerbietet eine vereinfachte Möglichkeit, mehrere Konten einzurichten und zu verwalten. Es automatisiert die Einrichtung von Konten in Ihrem AWS Unternehmen, automatisiert die Bereitstellung, wendet Kontrollen an (einschließlich präventiver und detektiver Kontrollen) und bietet Ihnen ein Dashboard für mehr Transparenz. Eine zusätzliche IAM-Verwaltungsrichtlinie, eine Berechtigungsgrenze, ist bestimmten IAM-Prinzipalen (Benutzern oder Rollen) zugeordnet und legt die maximalen Berechtigungen fest, die eine identitätsbasierte Richtlinie einem IAM-Prinzipal gewähren kann.

AWS Organizations hilft Ihnen bei der Konfiguration, die für alle Ihre Konten AWS-Servicesgilt. Sie können beispielsweise die zentrale Protokollierung aller Aktionen konfigurieren, die in Ihrer AWS Organisation ausgeführt werden, indem Sie die Protokollierung durch Mitgliedskonten deaktivieren CloudTrail, und verhindern, dass Mitgliedskonten die Protokollierung deaktivieren. Sie können auch Daten für Regeln, die Sie mithilfe von Use definiert haben, zentral aggregieren AWS Config, sodass Sie Ihre Workloads auf Einhaltung überprüfen und schnell auf Änderungen reagieren können. Sie können CloudFormation Stacks AWS CloudFormation StackSetsfür Konten und AWS Organisationseinheiten in Ihrem Unternehmen zentral verwalten, sodass Sie automatisch ein neues Konto einrichten können, das Ihren Sicherheitsanforderungen entspricht.

Die Standardkonfiguration von AWS Organizations unterstützt die Verwendung von SCPs als Sperrlisten. Mithilfe einer Strategie für Ablehnungslisten können Administratoren von Mitgliedskonten alle Dienste und Aktionen delegieren, bis Sie einen SCP erstellen und anhängen, der einen bestimmten Dienst oder eine Reihe von Aktionen verweigert. Ablehnungsbefehle erfordern weniger Wartung als eine Zulassungsliste, da Sie sie nicht aktualisieren müssen, wenn neue Dienste AWS hinzugefügt werden. Deny-Anweisungen haben normalerweise eine kürzere Zeichenlänge, sodass es einfacher ist, die maximale Größe für SCPs einzuhalten. Bei einer Anweisung, in der das Element Effect den Wert Deny hat, können Sie außerdem den Zugriff auf bestimmte Ressourcen beschränken oder Bedingungen dafür festlegen, wann die SCPs wirksam sind. Im Gegensatz dazu gilt eine Allow Aussage in einem SCP für alle Ressourcen ("*") und kann nicht durch Bedingungen eingeschränkt werden. Weitere Informationen und Beispiele finden Sie in der Dokumentation unter Strategien für die Verwendung von SCPs. AWS Organizations