Enero a diciembre de 2023 - AWS Control Tower
Transición a una nueva AWS Service Catalog Tipo de producto externo (fase 3)AWSControl Tower landing zone versión 3.3Transición a una nueva AWS Service Catalog Tipo de producto externo (fase 2)AWSControl Tower anuncia controles para ayudar a la soberanía digitalAWSControl Tower apoya la zona de aterrizaje APIsAWSControl Tower admite el etiquetado para los controles habilitadosAWSTorre de Control disponible en la región Asia Pacífico (Melbourne)Transición a una nueva AWS Service Catalog Tipo de producto externo (fase 1)Nuevo control disponible APIAWSControl Tower añade controles adicionalesSe ha informado de un nuevo tipo de desviación: acceso de confianza desactivadoCuatro adicionales Regiones de AWSAWSTorre de Control disponible en la región de Tel AvivAWSControl Tower lanza 28 nuevos controles proactivosAWSControl Tower desaprueba dos controlesAWSControl Tower landing zone versión 3.2AWSControl Tower gestiona las cuentas en función de la identificaciónControles de detección adicionales del Security Hub disponibles en la biblioteca de controles de la Torre de AWS ControlAWSControl Tower publica tablas de metadatos de controlSoporte de Terraform para la personalización de Account FactoryAWS IAMLa autogestión del Identity Center está disponible para landing zoneAWSControl Tower aborda la gobernanza mixta para OUsHay controles proactivos adicionales disponiblesControles EC2 proactivos de Amazon actualizadosSiete adicionales Regiones de AWS available Seguimiento de solicitudes de personalización de cuentas de Account Factory for Terraform (AFT) AWSControl Tower landing zone versión 3.1Los controles proactivos están disponibles de forma general

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Enero a diciembre de 2023

En 2023, AWS Control Tower publicó las siguientes actualizaciones:

Transición a una nueva AWS Service Catalog Tipo de producto externo (fase 3)

14 de diciembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ya no es compatible con Terraform Open Source como tipo de producto (plano) al crear nuevos Cuentas de AWS. Para obtener más información e instrucciones sobre cómo actualizar los planes de tu cuenta, consulta Transition to the AWS Service Catalog Tipo de producto externo.

Si no actualiza los planes de su cuenta para utilizar el tipo de producto externo, solo podrá actualizar o cancelar las cuentas que haya aprovisionado mediante los planes de código abierto de Terraform.

AWSControl Tower landing zone versión 3.3

14 de diciembre de 2023

(Se requiere una actualización para la versión 3.3 de la zona de aterrizaje de AWS Control Tower. Para obtener más información, consulteActualiza tu landing zone).

Actualizaciones de la política de cubos de S3 en la cuenta AWS Control Tower Audit

Hemos modificado la política de segmentos de auditoría de Amazon S3 que AWS Control Tower implementa en las cuentas, de modo que se debe cumplir una aws:SourceOrgID condición para cualquier permiso de escritura. Con esta versión, AWS los servicios solo tienen acceso a sus recursos cuando la solicitud proviene de su organización o unidad organizativa (OU).

Puede usar la clave de aws:SourceOrgID condición y establecer el valor del ID de su organización en el elemento de condición de su política de bucket de S3. Esta condición garantiza que CloudTrail solo pueda escribir registros en nombre de las cuentas de su organización en su bucket de S3; evita que los CloudTrail registros ajenos a su organización se escriban en su bucket de S3 de la Torre de AWS Control Tower.

Hemos realizado este cambio para corregir una posible vulnerabilidad de seguridad, sin afectar a la funcionalidad de sus cargas de trabajo actuales. Para ver la política actualizada, consulte. Política de bucket de Amazon S3 en la cuenta de auditoría

Para obtener más información sobre la nueva clave de condición, consulte la IAM documentación y la entrada del IAM blog titulada «Use controles escalables para AWS servicios que acceden a sus recursos».

Actualizaciones de la política en el AWS Config SNStema

Hemos añadido la nueva clave de aws:SourceOrgID condición a la política de AWS Config SNSTema. Para ver la política actualizada, consulte La AWS Config SNSpolítica del tema.

Actualizaciones de la región de landing zone Deny control

  • Eliminadodiscovery-marketplace:. Esta acción está cubierta por la aws-marketplace:* exención.

  • Se ha agregado quicksight:DescribeAccountSubscription

Actualizado AWS CloudFormation plantilla

Hemos actualizado la AWS CloudFormation plantilla para la pila nombrada de BASELINE-CLOUDTRAIL-MASTER manera que no muestre una desviación cuando AWS KMS no se utiliza el cifrado.

Transición a una nueva AWS Service Catalog Tipo de producto externo (fase 2)

7 de diciembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

HashiCorp actualizaron sus licencias de Terraform. Como resultado, AWS Service Catalog cambió el soporte para los productos de código abierto de Terraform y los productos aprovisionados por un nuevo tipo de producto, denominado Externo.

Para evitar la interrupción de las cargas de trabajo existentes y AWS recursos en sus cuentas, siga los pasos de transición AWS de la Torre de Control en Transición a la AWS Service Catalog Tipo de producto externo antes del 14 de diciembre de 2023.

AWSControl Tower anuncia controles para ayudar a la soberanía digital

27 de noviembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower anuncia 65 nuevos AWS-controles gestionados, para ayudarle a cumplir sus requisitos de soberanía digital. En esta versión, podrás descubrir estos controles en un nuevo grupo de soberanía digital en la consola de la Torre de AWS Control. Puede usar estos controles para evitar acciones y detectar cambios en los recursos relacionados con la residencia de los datos, la restricción de acceso granular, el cifrado y las capacidades de resiliencia. Estos controles están diseñados para que le resulte más fácil abordar los requisitos a escala. Para obtener más información sobre los controles de soberanía digital, consulte Controles que mejoran la protección de la soberanía digital.

Por ejemplo, puede optar por habilitar controles que le ayuden a aplicar sus estrategias de cifrado y resiliencia, como Requerir un AWS AppSync APIalmacenar en caché para activar el cifrado en tránsito o requerir un AWS Network Firewall que se implementará en varias zonas de disponibilidad. También puede personalizar la Región de la Torre de AWS Control (denegar el control) para aplicar las restricciones regionales que mejor se adapten a sus necesidades empresariales específicas.

Esta versión incluye funciones mejoradas de denegación de regiones de la Torre de AWS Control. Puedes aplicar un nuevo control de denegación de región parametrizado a nivel de OU para aumentar la granularidad de la gobernanza y, al mismo tiempo, mantener una gobernanza regional adicional a nivel de landing zone. Este control de denegación regional personalizable le ayuda a aplicar las restricciones regionales que mejor se adapten a sus necesidades empresariales específicas. Para obtener más información sobre el nuevo control de denegación regional configurable, consulte el control de denegación regional aplicado a la OU.

Como nueva herramienta para la nueva mejora de denegación regional, esta versión incluye una nueva APIUpdateEnabledControl, que le permite restablecer los controles habilitados a la configuración predeterminada. Esto API resulta especialmente útil en casos de uso en los que es necesario resolver la desviación rápidamente o garantizar mediante programación que un control no se encuentre en un estado de desviación. Para obtener más información sobre la nuevaAPI, consulte la API Referencia de la Torre de AWS Control

Nuevos controles proactivos

  • CT.APIGATEWAY.PR.6: Exija que un REST dominio de Amazon API Gateway utilice una política de seguridad que especifique una versión mínima del TLS protocolo de TLSv1 .2

  • CT.APPSYNC.PR.2: Requiere una AWS AppSync GraphQL API se configurará con visibilidad privada

  • CT.APPSYNC.PR.3: Exija que un AWS AppSync GraphQL no API se autentica con claves API

  • CT.APPSYNC.PR.4: Requiere un AWS AppSync Almacene en API caché GraphQL para habilitar el cifrado en tránsito.

  • CT.APPSYNC.PR.5: Requiere un AWS AppSync APICaché GraphQL para habilitar el cifrado en reposo.

  • CT.AUTOSCALING.PR.9: Requerir un EBS volumen de Amazon configurado mediante una configuración de lanzamiento de Amazon EC2 Auto Scaling para cifrar los datos en reposo

  • CT.AUTOSCALING.PR.10: Requiere que un grupo de Amazon EC2 Auto Scaling lo use únicamente AWS Tipos de instancia de Nitro al anular una plantilla de lanzamiento

  • CT.AUTOSCALING.PR.11: Solo se requiere AWS Tipos de instancias Nitro que admiten el cifrado del tráfico de red entre instancias que se añadirán a un grupo de Amazon EC2 Auto Scaling al anular una plantilla de lanzamiento

  • CT.DAX.PR.3: Requerir un clúster de DynamoDB Accelerator para cifrar los datos en tránsito con Transport Layer Security () TLS

  • CT.DMS.PR.2: Requiere un AWS Database Migration Service (DMS) Endpoint para cifrar las conexiones de los puntos finales de origen y destino

  • CT.EC2.PR.15: Requiere una EC2 instancia de Amazon para usar un AWS Tipo de instancia Nitro al crear a partir del tipo de AWS::EC2::LaunchTemplate recurso

  • CT.EC2.PR.16: Requiere una EC2 instancia de Amazon para usar un AWS Tipo de instancia Nitro cuando se crea con el tipo de AWS::EC2::Instance recurso

  • CT.EC2.PR.17: Requiere un host EC2 dedicado de Amazon para usar un tipo de instancia AWS Nitro

  • CT.EC2.PR.18: Exigir que una EC2 flota de Amazon anule solo las plantillas de lanzamiento con AWS Tipos de instancias de Nitro

  • CT.EC2.PR.19: Exigir que una EC2 instancia de Amazon utilice un tipo de instancia nitro que admita el cifrado en tránsito entre instancias cuando se crea con el AWS::EC2::Instance tipo de recurso

  • CT.EC2.PR.20: Exigir que una EC2 flota de Amazon anule solo las plantillas de lanzamiento con AWS Tipos de instancias Nitro que admiten el cifrado en tránsito entre instancias

  • CT.ELASTICACHE.PR.8: Requerir un grupo de ElastiCache replicación de Amazon de versiones posteriores de Redis para activar la RBAC autenticación

  • CT.MQ.PR.1: Exija a un agente ActiveMQ de Amazon MQ que utilice el modo de implementación activo/en espera para obtener una alta disponibilidad

  • CT.MQ.PR.2: Exija a un agente MQ de Amazon MQ Rabbit que utilice el modo de clúster Multi-AZ para obtener una alta disponibilidad

  • CT.MSK.PR.1: Requerir un clúster de Amazon Managed Streaming for Apache Kafka (MSK) para aplicar el cifrado en tránsito entre los nodos del intermediario del clúster

  • CT.MSK.PR.2: Requiere que un clúster de Amazon Managed Streaming for Apache Kafka (MSK) esté configurado con deshabilitado PublicAccess

  • CT.NETWORK-FIREWALL.PR.5: Requiere un AWS El firewall de Network Firewall se implementará en múltiples zonas de disponibilidad

  • CT.RDS.PR.26: Requiere un proxy de Amazon RDS DB para requerir conexiones de Transport Layer Security (TLS)

  • CT.RDS.PR.27: Requerir un grupo de parámetros de clúster de Amazon RDS DB para requerir conexiones de Transport Layer Security (TLS) para los tipos de motores compatibles

  • CT.RDS.PR.28: Requerir un grupo de parámetros de Amazon RDS DB para requerir conexiones de Transport Layer Security (TLS) para los tipos de motores compatibles

  • CT.RDS.PR.29: Exigir que un RDS clúster de Amazon no esté configurado para que sea de acceso público mediante la propiedad PubliclyAccessible ''

  • CT.RDS.PR.30: Exija que una instancia RDS de base de datos de Amazon tenga el cifrado en reposo configurado para usar una KMS clave que especifique para los tipos de motores compatibles

  • CT.S3.PR.12: Exigir que un punto de acceso Amazon S3 tenga una configuración de Block Public Access (BPA) con todas las opciones configuradas en true

Nuevos controles preventivos

  • CT.APPSYNC.PV.1 Exija que un AWS AppSync GraphQL API está configurado con visibilidad privada

  • CT.EC2.PV.1 Exigir que se cree una EBS instantánea de Amazon a partir de un EC2 volumen cifrado

  • CT.EC2.PV.2 Exija que un EBS volumen de Amazon adjunto esté configurado para cifrar los datos en reposo

  • CT.EC2.PV.3 Exigir que una EBS instantánea de Amazon no pueda restaurarse públicamente

  • CT.EC2.PV.4 Exija que no APIs se llame a Amazon EBS Direct

  • CT.EC2.PV.5 No permitir el uso de la importación y exportación de Amazon EC2 VM

  • CT.EC2.PV.6 No permitir el uso de Amazon EC2 RequestSpotFleet y sus acciones en desuso RequestSpotInstances API

  • CT.KMS.PV.1 Requiere un AWS KMS política clave para tener una declaración que limite la creación de AWS KMS subvenciones a AWS servicios

  • CT.KMS.PV.2 Exija que un AWS KMS la clave asimétrica con el material RSA clave utilizado para el cifrado no tiene una longitud de clave de 2048 bits

  • CT.KMS.PV.3 Exija que un AWS KMS la llave está configurada con la verificación de seguridad de bloqueo de la política de elusión habilitada

  • CT.KMS.PV.4 Exija que un AWS KMS la clave gestionada por el cliente (CMK) está configurada con material clave procedente de AWS Nube HSM

  • CT.KMS.PV.5 Exija que un AWS KMS la clave gestionada por el cliente (CMK) está configurada con material clave importado

  • CT.KMS.PV.6 Exija que un AWS KMS la clave gestionada por el cliente (CMK) está configurada con material clave procedente de un almacén de claves externo () XKS

  • CT.LAMBDA.PV.1 Requiere un AWS Lambda función URL a utilizar AWS IAMautenticación basada en

  • CT.LAMBDA.PV.2 Requiere una AWS Lambda función URL que debe configurarse para que solo puedan acceder a ella los directores de su Cuenta de AWS

  • CT. MULTISERVICE.PV.1: Denegar el acceso a AWS en función de lo solicitado Región de AWS para una unidad organizativa

Los nuevos controles de detección que mejoran su postura de gobernanza de la soberanía digital forman parte de AWS Security Hub Torre de AWS Control Estándar gestionada por el servicio.

Nuevos controles detectivescos

  • SH.ACM.2: RSA los certificados gestionados por ACM deben utilizar una longitud de clave de al menos 2.048 bits

  • SH.AppSync.5: AWS AppSync GraphQL no APIs debe autenticarse con claves API

  • SH.CloudTrail.6: Asegúrese de que el depósito de S3 utilizado para almacenar CloudTrail los registros no sea de acceso público:

  • SH.DMS.9: los DMS puntos finales deberían usar SSL

  • SH.DocumentDB.3: Las instantáneas de clústeres manuales de Amazon DocumentDB no deben ser públicas

  • SH.DynamoDB.3: Los clústeres de DynamoDB Accelerator DAX () deben cifrarse en reposo

  • SH.EC2.23: EC2 Transit Gateways no debería aceptar automáticamente las solicitudes de archivos adjuntos VPC

  • SH.EKS.1: los puntos finales EKS del clúster no deberían ser de acceso público

  • SH.ElastiCache.3: los grupos ElastiCache de replicación deberían tener habilitada la conmutación por error automática

  • SH.ElastiCache.4: los grupos ElastiCache de replicación deberían estar habilitados encryption-at-rest

  • SH.ElastiCache.5: los grupos de ElastiCache replicación deberían estar encryption-in-transit habilitados

  • SH.ElastiCache.6: los grupos de ElastiCache replicación de versiones anteriores de Redis deberían tener AUTH Redis activado

  • SH.EventBridge.3: los buses de eventos EventBridge personalizados deben tener adjunta una política basada en los recursos

  • SH.KMS.4: AWS KMS la rotación de claves debe estar habilitada

  • SH.Lambda.3: Las funciones Lambda deben estar en un VPC

  • SH.MQ.5: Los corredores de ActiveMQ deberían utilizar el modo de despliegue activo/en espera

  • SH.MQ.6: Los corredores de RabbitMQ deberían usar el modo de despliegue de clústeres

  • SH.MSK.1: MSK los clústeres deben cifrarse en tránsito entre los nodos de los corredores

  • SH.RDS.12: IAM la autenticación debe configurarse para RDS los clústeres

  • SH.RDS.15: Los RDS clústeres de bases de datos deben configurarse para varias zonas de disponibilidad

  • SH.S3.17: Los buckets S3 deben cifrarse en reposo con AWS KMS claves

Para obtener más información sobre los controles añadidos a la AWS Security Hub Torre de AWS control estándar gestionada por servicio consulte Controles que se aplican a Estándar gestionado por servicio: Torre AWS de control en el AWS Security Hub .

Para obtener una lista de Regiones de AWS que no son compatibles con determinados controles que forman parte del AWS Security Hub Torre de AWS Control estándar gestionada por servicio, consulte Regiones no compatibles.

Nuevo control configurable para la denegación de regiones a nivel de unidad organizativa

CT. MULTISERVICE.PV.1: Este control acepta parámetros para especificar las regiones, los IAM principios y las acciones exentas que están permitidos, a nivel de unidad organizativa, en lugar de en toda la zona de AWS aterrizaje de la Torre de Control Tower. Se trata de un control preventivo, implementado mediante la política de control del servicio (). SCP

Para obtener más información, consulte el control de denegación regional aplicado a la OU.

El UpdateEnabledControl API

Esta versión AWS de Control Tower añade el siguiente API soporte para los controles:

  • La actualización EnableControl API puede configurar controles que son configurables.

  • La actualización GetEnabledControl API muestra los parámetros configurados en un control activado.

  • El nuevo UpdateEnabledControl API puede cambiar los parámetros de un control activado.

Para obtener más información, consulte la APIReferencia de la Torre de AWS Control.

AWSControl Tower apoya la zona de aterrizaje APIs

26 de noviembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ahora admite la configuración de la zona de aterrizaje y el uso de lanzamientoAPIs. Puede crear, actualizar, obtener, enumerar, restablecer y eliminar zonas de aterrizaje utilizandoAPIs.

Lo siguiente te APIs permite configurar y gestionar tu landing zone de forma programática mediante AWS CloudFormation o el AWS CLI.

AWSControl Tower admite lo siguiente APIs para las zonas de aterrizaje:

  • CreateLandingZone—Esta API llamada crea una zona de aterrizaje utilizando una versión de la zona de aterrizaje y un archivo de manifiesto.

  • GetLandingZoneOperation—Esta API llamada devuelve el estado de una operación de landing zone especificada.

  • GetLandingZone—Esta API llamada devuelve detalles sobre la landing zone especificada, incluida la versión, el archivo de manifiesto y el estado.

  • UpdateLandingZone—Esta API llamada actualiza la versión de la zona de aterrizaje o el archivo de manifiesto.

  • ListLandingZone—Esta API llamada devuelve un identificador de zona de aterrizaje (ARN) para una configuración de zona de aterrizaje en la cuenta de gestión.

  • ResetLandingZone—Esta API llamada restablece la zona de aterrizaje a los parámetros especificados en la última actualización, lo que puede reparar la deriva. Si la zona de aterrizaje no se ha actualizado, esta llamada restablece la zona de aterrizaje a los parámetros especificados en la creación.

  • DeleteLandingZone—Esta API convocatoria retira del servicio la landing zone.

Para empezar con landing zoneAPIs, consulta laComience a usar AWS Control Tower usando APIs.

AWSControl Tower admite el etiquetado para los controles habilitados

10 de noviembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSLa Torre de Control ahora admite el etiquetado de recursos para los controles habilitados, desde la consola de la Torre de AWS APIs Control o mediante. Puede añadir, eliminar o enumerar las etiquetas de los controles activados.

Con el lanzamiento de lo siguienteAPIs, puede configurar etiquetas para los controles que habilita en la Torre AWS de Control. Las etiquetas son útiles a la hora de administrar, identificar, organizar, buscar y filtrar recursos. Puede crear etiquetas para clasificar los recursos según su finalidad, propietario, entorno u otro criterio.

AWSControl Tower admite lo siguiente APIs para el etiquetado de control:

  • TagResource—Esta API llamada agrega etiquetas a los controles habilitados en la Torre AWS de Control.

  • UntagResource—Esta API llamada elimina las etiquetas de los controles habilitados en la Torre AWS de Control.

  • ListTagsForResource—Esta API llamada devuelve las etiquetas de los controles habilitados en la Torre AWS de Control.

AWSLos controles de la Torre de Control APIs están disponibles en Regiones de AWS donde la Torre de AWS Control esté disponible. Para obtener una lista completa de Regiones de AWS en el que la Torre de AWS Control esté disponible, consulte la AWS Tabla de regiones. Para obtener una lista completa de la Torre de AWS ControlAPIs, consulta la APIReferencia.

AWSTorre de Control disponible en la región Asia Pacífico (Melbourne)

3 de noviembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower está disponible en la región Asia Pacífico (Melbourne).

Si ya utilizas AWS Control Tower y quieres extender sus funciones de gobierno a esta región en tus cuentas, ve a la página de configuración del panel de control de la Torre de AWS Control, selecciona la región y, a continuación, actualiza tu landing zone. Tras una actualización de la zona de aterrizaje, debes actualizar todas las cuentas que estén gobernadas por AWS Control Tower para que tus cuentas estén OUs bajo el control de la nueva región. Para obtener más información, consulta Acerca de las actualizaciones.

Para ver una lista completa de las regiones en las que está disponible la Torre de AWS Control, consulta la Región de AWS Tabla.

Transición a una nueva AWS Service Catalog Tipo de producto externo (fase 1)

31 de octubre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

HashiCorp actualizaron sus licencias de Terraform. Como resultado, AWS Service Catalog actualizó el soporte para los productos de código abierto de Terraform y aprovisionó los productos a un nuevo tipo de producto, denominado Externo.

AWSControl Tower no admite personalizaciones de Account Factory que se basen en AWS Service Catalog Tipo de producto externo. Para evitar la interrupción de las cargas de trabajo existentes y AWS recursos en sus cuentas, siga los pasos de transición de la Torre de AWS Control en este orden sugerido, antes del 14 de diciembre de 2023:

  1. Actualice su motor de referencia Terraform actual para AWS Service Catalog para incluir soporte para los tipos de productos externos y de código abierto de Terraform. Para obtener instrucciones sobre cómo actualizar su motor de referencia de Terraform, consulte la AWS Service Catalog GitHub Repositorio.

  2. Vaya a AWS Service Catalog y duplique todos los planos de código abierto de Terraform existentes para utilizar el nuevo tipo de producto externo. No cancele los planos de código abierto de Terraform existentes.

  3. Siga utilizando sus planos de código abierto de Terraform existentes para crear o actualizar cuentas en AWS Control Tower.

Nuevo control disponible API

14 de octubre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSLa Torre de Control ahora admite una API función adicional que puede usar para implementar y administrar los controles de la Torre de AWS Control a escala. Para obtener más información sobre el AWS control de la Torre de ControlAPIs, consulte la APIReferencia.

AWSControl Tower agregó un nuevo controlAPI.

  • GetEnabledControl—La API llamada proporciona detalles sobre un control activado.

También lo actualizamosAPI:

ListEnabledControls—Esta API llamada muestra los controles habilitados por la Torre de AWS Control en la unidad organizativa especificada y las cuentas que contiene. Ahora devuelve información adicional de un EnabledControlSummary objeto.

Con ellasAPIs, puede realizar varias operaciones comunes mediante programación. Por ejemplo:

  • Obtén una lista de todos los controles que has activado en la biblioteca de controles de la Torre de AWS Control.

  • Para cualquier control activado, puedes obtener información sobre las regiones en las que se admite el control, el identificador del control (ARN), el estado de desviación del control y el resumen del estado del control.

AWSLos controles de la Torre de Control APIs están disponibles en Regiones de AWS donde la Torre de AWS Control esté disponible. Para obtener una lista completa de Regiones de AWS en el que la Torre de AWS Control esté disponible, consulte la AWS Tabla de regiones. Para obtener una lista completa de la Torre de AWS ControlAPIs, consulta la APIReferencia.

AWSControl Tower añade controles adicionales

5 de octubre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower anuncia nuevos controles proactivos y de detección.

Los controles proactivos en AWS Control Tower se implementan mediante AWS CloudFormation Hooks, que antes identifican y bloquean los recursos que no cumplen con las normas AWS CloudFormation los aprovisiona. Los controles proactivos complementan las capacidades de control preventivo y de detección existentes en AWS Control Tower.

Nuevos controles proactivos

  • [CT.ATHENA.PR.1] Requerir un grupo de trabajo de Amazon Athena para cifrar los resultados de las consultas de Athena en reposo

  • [CT.ATHENA.PR.2] Exija a un grupo de trabajo de Amazon Athena que cifre los resultados de las consultas de Athena en reposo con un AWS Key Management Service clave () KMS

  • [CT.CLOUDTRAIL.PR.4] Requiere una AWS CloudTrail Almacén de datos de eventos de Lake para permitir el cifrado en reposo con un AWS KMS key

  • [CT.DAX.PR.2] Requiere un DAX clúster de Amazon para implementar nodos en al menos tres zonas de disponibilidad

  • [CT.EC2.PR.14] Exija un EBS volumen de Amazon configurado a través de una plantilla de EC2 lanzamiento de Amazon para cifrar los datos en reposo

  • [CT.EKS.PR.2] Exigir que un EKS clúster de Amazon se configure con cifrado secreto mediante AWS Claves del Servicio de administración de claves (KMS)

  • [CT.ELASTICLOADBALANCING.PR.14] Requiere un Network Load Balancer para activar el equilibrio de carga entre zonas

  • [CT.ELASTICLOADBALANCING.PR.15] Exigir que un grupo objetivo de Elastic Load Balancing v2 no deshabilite explícitamente el equilibrio de cargas entre zonas

  • [CT.EMR.PR.1] Exigir que se configure una configuración de seguridad de Amazon EMR (EMR) para cifrar los datos en reposo en Amazon S3

  • [CT.EMR.PR.2] Exigir que se configure una configuración de seguridad de Amazon EMR (EMR) para cifrar los datos en reposo en Amazon S3 con un AWS KMS key

  • [CT.EMR.PR.3] Exigir que la configuración de seguridad de Amazon EMR (EMR) esté configurada con cifrado de EBS volumen de disco local mediante un AWS KMS key

  • [CT.EMR.PR.4] Exigir que se configure una configuración de seguridad de Amazon EMR (EMR) para cifrar los datos en tránsito

  • [CT.GLUE.PR.1] Requiere un AWS Glue job para tener una configuración de seguridad asociada

  • [CT.GLUE.PR.2] Requiere una AWS Configuración de seguridad de Glue para cifrar datos en objetivos de Amazon S3 mediante AWS KMSclaves

  • [CT.KMS.PR.2] Exija que un AWS KMS La clave asimétrica con el material RSA clave utilizado para el cifrado tiene una longitud de clave superior a 2048 bits

  • [CT.KMS.PR.3] Requiere un AWS KMS política clave para tener una declaración que limite la creación de AWS KMS subvenciones a AWS servicios

  • [CT.LAMBDA.PR.4] Requerir un AWS Lambda Permiso de capa para conceder acceso a un AWS organización o específico AWS cuenta

  • [CT.LAMBDA.PR.5] Requieren un AWS Lambda función URL a utilizar AWS IAMautenticación basada en

  • [CT.LAMBDA.PR.6] Requiere un AWS Lambda URLCORSpolítica de funciones para restringir el acceso a orígenes específicos

  • [CT.NEPTUNE.PR.4] Requiere un clúster de base de datos de Amazon Neptune para permitir la exportación de registros de Amazon para CloudWatch registros de auditoría

  • [CT.NEPTUNE.PR.5] Exija un clúster de base de datos de Amazon Neptune para establecer un período de retención de copias de seguridad superior o igual a siete días

  • [CT.REDSHIFT.PR.9] Exigir que un grupo de parámetros del clúster de Amazon Redshift esté configurado para usar Secure Sockets Layer (SSL) para el cifrado de los datos en tránsito

Estos nuevos controles proactivos están disponibles en tiendas Regiones de AWS donde la Torre de AWS Control esté disponible. Para obtener más información sobre estos controles, consulte Controles proactivos. Para obtener más información sobre dónde están disponibles los controles, consulte Limitaciones de control.

Nuevos controles de detección

Se agregaron nuevos controles al estándar gestionado por el servicio Security Hub: AWS Control Tower. Estos controles le ayudan a mejorar su postura de gobierno. Actúan como parte del estándar gestionado por el servicio Security Hub: AWS Control Tower, después de habilitarlos en una unidad organizativa específica.

  • [SH.Athena.1] Los grupos de trabajo de Athena deberían estar cifrados en reposo

  • [SH.Neptune.1] Los clústeres de bases de datos de Neptune deben cifrarse en reposo

  • [SH.Neptune.2] Los clústeres de bases de datos de Neptune deberían publicar los registros de auditoría en Logs CloudWatch

  • [SH.Neptune.3] Las instantáneas del clúster de base de datos de Neptune no deben ser públicas

  • [SH.Neptune.4] Los clústeres de base de datos de Neptune deberían tener habilitada la protección de eliminación

  • [SH.Neptune.5] Los clústeres de Neptune DB deberían tener habilitadas las copias de seguridad automatizadas

  • [SH.Neptune.6] Las instantáneas del clúster de base de datos de Neptune deben cifrarse en reposo

  • [SH.Neptune.7] Los clústeres de base de datos de Neptune deben tener habilitada la autenticación de IAM bases de datos

  • [SH.Neptune.8] Los clústeres de base de datos de Neptune deben configurarse para copiar etiquetas a las instantáneas

  • [SH.RDS.27] Los RDS clústeres de bases de datos deben cifrarse en reposo

El nuevo AWS Security Hub los controles de detección están disponibles en la mayoría Regiones de AWS donde la Torre de AWS Control esté disponible. Para obtener más información sobre estos controles, consulte Controles que se aplican a Service-Managed Standard: AWS Control Tower. Para obtener más información sobre dónde están disponibles los controles, consulte. Limitaciones de control

Se ha informado de un nuevo tipo de desviación: acceso de confianza desactivado

21 de septiembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

Después de configurar la zona de aterrizaje AWS de la Torre de Control, puedes deshabilitar el acceso de confianza a la Torre AWS de Control en AWS Organizations. Sin embargo, hacerlo provoca una deriva.

Con el tipo de deriva desactivado de acceso confiable, AWS Control Tower te avisa cuando se produce este tipo de deriva para que puedas reparar la zona de aterrizaje de tu AWS Control Tower. Para obtener más información, consulte Tipos de cambios en la gobernanza.

Cuatro adicionales Regiones de AWS

13 de septiembre de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ya está disponible en Asia Pacífico (Hyderabad), Europa (España y Zúrich) y Oriente Medio (UAE).

Si ya utilizas AWS Control Tower y quieres extender sus funciones de gobierno a esta región en tus cuentas, ve a la página de configuración del panel de control de la Torre de AWS Control, selecciona la región y, a continuación, actualiza tu landing zone. Tras una actualización de la zona de aterrizaje, debes actualizar todas las cuentas que estén gobernadas por AWS Control Tower para que tus cuentas estén OUs bajo el control de la nueva región. Para obtener más información, consulta Acerca de las actualizaciones.

Para ver una lista completa de las regiones en las que está disponible la Torre de AWS Control, consulta la Región de AWS Tabla.

AWSTorre de Control disponible en la región de Tel Aviv

28 de agosto de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower anuncia su disponibilidad en la región de Israel (Tel Aviv).

Si ya utilizas AWS Control Tower y quieres extender sus funciones de gobierno a esta región en tus cuentas, ve a la página de configuración del panel de control de la Torre de AWS Control, selecciona la región y, a continuación, actualiza tu landing zone. Tras una actualización de la zona de aterrizaje, debes actualizar todas las cuentas que estén gobernadas por AWS Control Tower para que tus cuentas estén OUs bajo el control de la nueva región. Para obtener más información, consulta Acerca de las actualizaciones.

Para ver una lista completa de las regiones en las que está disponible la Torre de AWS Control, consulta la Región de AWS Tabla.

AWSControl Tower lanza 28 nuevos controles proactivos

24 de julio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower agrega 28 nuevos controles proactivos para ayudarlo a administrar sus AWS entorno.

Los controles proactivos mejoran las capacidades de gobierno de AWS Control Tower en todas sus cuentas múltiples AWS entornos, al bloquear los recursos que no cumplen con las normas antes de que se aprovisionen. Estos controles ayudan a gestionar AWS servicios como Amazon CloudWatch, Amazon Neptune, Amazon, ElastiCache AWS Step Functions y Amazon DocumentDB. Los nuevos controles le ayudan a cumplir los objetivos de control, como establecer el registro y la supervisión, cifrar los datos en reposo o mejorar la resiliencia.

Esta es una lista completa de los nuevos controles:

  • [CT. APPSYNC.PR.1] Requiere un AWS AppSync GraphQL API habilitará el registro

  • [CT. CLOUDWATCH.PR.1] Requerir que una CloudWatch alarma de Amazon tenga una acción configurada para el estado de alarma

  • [CT. CLOUDWATCH.PR.2] Exigir que un grupo de CloudWatch registros de Amazon se conserve durante al menos un año

  • [CT. CLOUDWATCH.PR.3] Exigir que un grupo de CloudWatch registros de Amazon esté cifrado en reposo con un AWS KMSclave

  • [CT. CLOUDWATCH.PR.4] Requiere que se active una acción de CloudWatch alarma de Amazon

  • [CT. DOCUMENTDB.PR.1] Exigir que un clúster de Amazon DocumentDB esté cifrado en reposo

  • [CT. DOCUMENTDB.PR.2] Requiere que un clúster de Amazon DocumentDB tenga habilitadas las copias de seguridad automáticas

  • [CT. DYNAMODB.PR.2] Exigir que una tabla de Amazon DynamoDB se cifre en reposo mediante AWS KMS claves

  • [CT. EC2.PR.13] Requiere que una EC2 instancia de Amazon tenga habilitada la supervisión detallada

  • [CT. EKS.PR.1] Exigir que un EKS clúster de Amazon esté configurado con el acceso público desactivado al punto final del servidor API Kubernetes del clúster

  • [CT. ELASTICACHE.PR.1] Requerir que un clúster de Amazon ElastiCache for Redis tenga activadas las copias de seguridad automáticas

  • [CT. ELASTICACHE.PR.2] Requiere que un clúster de Amazon ElastiCache for Redis tenga activadas las actualizaciones automáticas de las versiones secundarias

  • [CT. ELASTICACHE.PR.3] Exigir que un grupo de replicación de Amazon ElastiCache for Redis tenga activada la conmutación por error automática

  • [CT. ELASTICACHE.PR.4] Exigir que un grupo de ElastiCache replicación de Amazon tenga activado el cifrado en reposo

  • [CT. ELASTICACHE.PR.5] Exigir que un grupo de replicación de Amazon ElastiCache for Redis tenga activado el cifrado en tránsito

  • [CT. ELASTICACHE.PR.6] Requiere un clúster de ElastiCache caché de Amazon para usar un grupo de subredes personalizado

  • [CT. ELASTICACHE.PR.7] Requerir un grupo de ElastiCache replicación de Amazon de versiones anteriores de Redis para tener la autenticación de Redis AUTH

  • [CT. ELASTICBEANSTALK.PR.3] Requiere un AWS El entorno de Elastic Beanstalk debe tener una configuración de registro

  • [CT. LAMBDA.PR.3] Requiere un AWS Lambda función para estar en una Amazon Virtual Private Cloud gestionada por el cliente () VPC

  • [CT. NEPTUNE.PR.1] Requiere un clúster de base de datos de Amazon Neptune para tener AWS Identity and Access Management (IAM) autenticación de base de datos

  • [CT. NEPTUNE.PR.2] Requiere que un clúster de base de datos de Amazon Neptune tenga habilitada la protección de eliminación

  • [CT. NEPTUNE.PR.3] Requerir que un clúster de base de datos de Amazon Neptune tenga activado el cifrado de almacenamiento

  • [CT. REDSHIFT.PR.8] Exigir que se cifre un clúster de Amazon Redshift

  • [CT.S3.PR.9] Requiere que un bucket de Amazon S3 tenga activado el bloqueo de objetos S3

  • [CT.S3.PR.10] Requiere que un bucket de Amazon S3 tenga configurado el cifrado del lado del servidor mediante AWS KMS claves

  • [CT.S3.PR.11] Requiere que un bucket de Amazon S3 tenga habilitado el control de versiones

  • [CT. STEPFUNCTIONS.PR.1] Requiere un AWS Step Functions estado de la máquina para tener el registro activado

  • [CT. STEPFUNCTIONS.PR.2] Requiere un AWS Step Functions la máquina de estado debe tener AWS X-Ray rastreo activado

Los controles proactivos en AWS Control Tower se implementan mediante AWS CloudFormation Hooks, que antes identifican y bloquean los recursos que no cumplen con las normas AWS CloudFormation los aprovisiona. Los controles proactivos complementan las capacidades de control preventivo y de detección existentes en AWS Control Tower.

Estos nuevos controles proactivos están disponibles en todos Regiones de AWS donde la Torre de AWS Control esté disponible. Para obtener más información sobre estos controles, consulte Controles proactivos.

AWSControl Tower desaprueba dos controles

18 de julio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower lleva a cabo revisiones periódicas de sus controles de seguridad para garantizar que estén actualizados y que sigan considerándose prácticas recomendadas. Los dos controles siguientes han quedado obsoletos y entraron en vigor el 18 de julio de 2023, y se eliminarán de la biblioteca de controles a partir del 18 de agosto de 2023. Ya no puedes activar estos controles en ninguna unidad organizativa. Puedes optar por desactivar estos controles antes de la fecha de retirada.

  • [SH.S3.4] Los buckets S3 deben tener habilitado el cifrado del lado del servidor

  • [CT.S3.PR.7] Requiere que un bucket de Amazon S3 tenga configurado el cifrado del lado del servidor

Motivo de la obsolescencia

A partir de enero de 2023, Amazon S3 configuró el cifrado predeterminado en todos los buckets no cifrados nuevos y existentes para aplicar el cifrado del lado del servidor con claves administradas de S3 (SSE-S3) como nivel base de cifrado para los nuevos objetos cargados en estos buckets. No se ha realizado ningún cambio en la configuración de cifrado predeterminada de un bucket existente que ya tenía cifrado -S3 o cifrado del lado del servidor con SSE AWS Servicio de administración de claves (AWS KMS) teclas (SSE-KMS) configuradas.

AWSControl Tower landing zone versión 3.2

16 de junio de 2023

(Se requiere una actualización para la versión 3.2 para la zona de aterrizaje de AWS Control Tower. Para obtener más información, consulteActualiza tu landing zone).

AWSLa versión 3.2 de Control Tower landing zone incluye los controles que forman parte del AWS Security Hub Estándar de gestión de servicios: AWS Control Tower para disponibilidad general. Introduce la posibilidad de ver el estado de desviación de los controles que forman parte de este estándar en la consola de la Torre de AWS Control.

Esta actualización incluye un nuevo rol vinculado al servicio (SLR), denominado. AWSServiceRoleForAWSControlTower Esta función ayuda a AWS Control Tower a crear una regla EventBridge gestionada, denominada AWSControlTowerManagedRuleen la cuenta de cada miembro. Esta regla gestionada recopila AWS Security Hub Al encontrar eventos con la Torre de AWS Control, se puede determinar la desviación de control.

Esta regla es la primera regla gestionada que crea AWS Control Tower. La regla no se implementa mediante una pila, sino que se implementa directamente desde EventBridge APIs. Puede ver la regla en la EventBridge consola o mediante el EventBridge APIs. Si el managed-by campo está lleno, mostrará el director de servicio AWS de la Torre de Control.

Anteriormente, AWS Control Tower asumió la AWSControlTowerExecutionfunción de realizar operaciones en las cuentas de los miembros. Esta nueva función y regla están mejor alineadas con el principio de mejores prácticas de permitir el mínimo de privilegios al realizar operaciones en una cuenta múltiple AWS entorno. La nueva función proporciona permisos restringidos que permiten específicamente: crear la regla administrada en las cuentas de los miembros, mantener la regla administrada, publicar notificaciones de seguridad y verificar los SNS errores. Para obtener más información, consulte AWSServiceRoleForAWSControlTower.

La actualización 3.2 de landing zone también incluye un nuevo StackSet recurso en la cuenta de administraciónBP_BASELINE_SERVICE_LINKED_ROLE, que inicialmente despliega la función vinculada al servicio.

Cuando se informa de una desviación de control del Security Hub (en la zona de aterrizaje 3.2 y versiones posteriores), AWS Control Tower recibe una actualización de estado diaria de Security Hub. Aunque los controles están activos en todas las regiones gobernadas, AWS Control Tower envía el AWS Security Hub Buscar eventos solo en la región de origen de la Torre de AWS Control. Para obtener más información, consulte Informes de desviaciones de control de Security Hub.

Actualización de la región: deniega el control

Esta versión de landing zone también incluye una actualización del control Region Deny.

Servicios globales y APIs añadidos

  • AWS Billing and Cost Management (billing:*)

  • AWS CloudTrail (cloudtrail:LookupEvents) para permitir la visibilidad de los eventos globales en las cuentas de los miembros.

  • AWS Facturación unificada (consolidatedbilling:*)

  • AWS Aplicación Mobile Console (consoleapp:*)

  • AWS Nivel gratuito (freetier:*)

  • Facturación de AWS (invoicing:*)

  • AWS IQ (iq:*)

  • AWS Notificaciones de usuario (notifications:*)

  • AWS Contactos de notificaciones de usuario (notifications-contacts:*)

  • Amazon Payments (payments:*)

  • AWS Configuración fiscal (tax:*)

Servicios globales y APIs eliminados

  • Se ha eliminado s3:GetAccountPublic porque no es una acción válida.

  • Se ha eliminado s3:PutAccountPublic porque no es una acción válida.

AWSControl Tower gestiona las cuentas en función de la identificación

14 de junio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ahora crea y administra las cuentas que usted crea en Account Factory mediante el seguimiento de AWS ID de cuenta, en lugar de la dirección de correo electrónico de la cuenta.

Al aprovisionar una cuenta, el solicitante de la cuenta siempre debe tener los permisos CreateAccount y los DescribeCreateAccountStatus permisos. Este conjunto de permisos forma parte de la función de administrador y se otorga automáticamente cuando el solicitante asume la función de administrador. Si delegas el permiso para aprovisionar cuentas, es posible que tengas que añadir estos permisos directamente a los solicitantes de la cuenta.

Controles de detección adicionales del Security Hub disponibles en la biblioteca de controles de la Torre de AWS Control

12 de junio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ha incorporado diez nuevos AWS Security Hub controles de detective a la biblioteca de controles AWS de la Torre de Control. Estos nuevos controles se dirigen a servicios como API Gateway, AWS CodeBuild, Amazon Elastic Compute Cloud (EC2), Amazon Elastic Load Balancer, Amazon Redshift, SageMaker Amazon y AWS WAF. Estos nuevos controles lo ayudan a mejorar su postura de gobierno al cumplir los objetivos de control, como establecer el registro y la supervisión, limitar el acceso a la red y cifrar los datos en reposo.

Estos controles actúan como parte del estándar gestionado por el servicio Security Hub: AWS Control Tower, después de habilitarlos en una unidad organizativa específica.

  • [Sh.Account.1] La información de contacto de seguridad debe proporcionarse para un Cuenta de AWS

  • [SH. APIGateway.8] Las rutas de API puerta de enlace deben especificar un tipo de autorización

  • [SH. APIGateway.9] El registro de acceso debe configurarse para las etapas de API Gateway V2

  • [SH. CodeBuild.3] Los registros de CodeBuild S3 deben estar cifrados

  • [SH. EC2.25] las plantillas de EC2 lanzamiento no deben asignar interfaces públicas IPs a las de red

  • [SH. ELB.1] Application Load Balancer debe configurarse para redirigir todas las HTTP solicitudes a HTTPS

  • [Sh.redshift.10] Los clústeres de Redshift deben estar cifrados en reposo

  • [SH. SageMaker.2] las instancias de SageMaker notebook deben lanzarse de forma personalizada VPC

  • [SH. SageMaker.3] Los usuarios no deberían tener acceso root a las instancias de SageMaker notebook

  • [SH. WAF.10] Una WAFV2 web ACL debe tener al menos una regla o grupo de reglas

La nueva AWS Security Hub los controles de detección están disponibles en todos Regiones de AWS donde la Torre de AWS Control esté disponible. Para obtener más información sobre estos controles, consulte Controles que se aplican a Service-Managed Standard: AWS Control Tower.

AWSControl Tower publica tablas de metadatos de control

7 de junio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ahora proporciona tablas completas de metadatos de control como parte de la documentación publicada. Al trabajar con el controlAPIs, puede buscar el de cada control APIcontrolIdentifier, que es único y está ARN asociado a cada uno Región de AWS. Las tablas incluyen los marcos y los objetivos de control que cubre cada control. Anteriormente, esta información solo estaba disponible en la consola.

Las tablas también incluyen los metadatos de los controles de Security Hub que forman parte del AWS Security Hub Estándar de gestión de servicios: AWS Control Tower. Para obtener más información, consulte Tablas de metadatos de control.

Para obtener una lista abreviada de identificadores de control y algunos ejemplos de uso, consulte Identificadores de recursos para APIs controles y controles.

Soporte de Terraform para la personalización de Account Factory

6 de junio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ofrece soporte regional para Terraform a través de Account Factory Customization ()AFC. A partir de esta versión, puede usar AWS Control Tower y Service Catalog juntos para definir los planes de AFC cuentas en el código abierto de Terraform. Puede personalizar los nuevos y los existentes Cuentas de AWS, antes de aprovisionar recursos en la Torre AWS de Control. De forma predeterminada, esta función te permite implementar y actualizar cuentas, con Terraform, en tu región de origen de la Torre de AWS Control.

Un plan de cuenta describe los recursos y las configuraciones específicos que se requieren cuando una Cuenta de AWS está aprovisionado. Puede utilizar el plano como plantilla para crear varios Cuentas de AWS a escala.

Para empezar, utilice el motor de referencia Terraform en GitHub. El motor de referencia configura el código y la infraestructura necesarios para que el motor de código abierto de Terraform funcione con Service Catalog. Este proceso de configuración, que se realiza una sola vez, lleva unos minutos. Después de eso, puede definir los requisitos de sus cuentas personalizadas en Terraform y, a continuación, implementarlas con el flujo de trabajo de fábrica de cuentas de AWS Control Tower bien definido. Los clientes que prefieran trabajar con Terraform pueden utilizar la personalización de cuentas de AWS Control Tower a gran escala y obtener acceso inmediato a cada cuenta una vez aprovisionada. AFC

Para obtener información sobre cómo crear estas personalizaciones, consulte Creación de productos y Introducción al código abierto de Terraform en la documentación de Service Catalog. Esta función está disponible en todos Regiones de AWS donde la Torre de AWS Control esté disponible.

AWS IAMLa autogestión del Identity Center está disponible para landing zone

6 de junio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ahora admite la opción de elegir un proveedor de identidad para una zona de aterrizaje de AWS Control Tower, que puedes configurar durante la configuración o la actualización. Por defecto, la landing zone está habilitada para usar AWS IAMIdentity Center, de acuerdo con la guía de mejores prácticas definida en Organizing Your AWS Entorno que utiliza varias cuentas. Ahora tiene tres alternativas:

  • Puedes aceptar la configuración predeterminada y permitir que AWS Control Tower se configure y administre AWS IAMIdentity Center para ti.

  • Puede elegir autogestionarse AWS IAMIdentity Center, para reflejar sus requisitos empresariales específicos.

  • Si lo desea, puede contratar y autogestionar un proveedor de identidad externo, conectándolo a través de IAM Identity Center, si es necesario. Debe utilizar la opción de proveedor de identidad si su entorno reglamentario requiere que utilice un proveedor específico o si trabaja en Regiones de AWS where AWS IAMEl Centro de identidad no está disponible.

Para obtener más información, consulte IAMGuía sobre el Centro de Identidad.

No se admite la selección de proveedores de identidad a nivel de cuenta. Esta función solo se aplica a la zona de aterrizaje en su conjunto. AWSLa opción de proveedor de identidad de Control Tower está disponible en todos Regiones de AWS donde la Torre de AWS Control esté disponible.

AWSControl Tower aborda la gobernanza mixta para OUs

1 de junio de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

Con esta versión, AWS Control Tower evita que los controles se desplieguen en una unidad organizativa (OU) si esa OU se encuentra en un estado de gobierno mixto. La gobernanza mixta se produce en una OU si las cuentas no se actualizan después de que AWS Control Tower amplíe la gobernanza a una nueva Región de AWS, o elimina la gobernanza. Esta versión le ayuda a mantener las cuentas de los miembros de esa OU en conformidad uniforme. Para obtener más información, consulte Evite la gobernanza mixta al configurar las regiones.

Hay controles proactivos adicionales disponibles

19 de mayo de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower agrega 28 nuevos controles proactivos para ayudarlo a administrar su entorno de múltiples cuentas y cumplir objetivos de control específicos, como el cifrado de datos en reposo o la limitación del acceso a la red. Los controles proactivos se implementan con AWS CloudFormation ganchos que comprueban sus recursos antes de aprovisionarlos. Los nuevos controles pueden ayudar a gobernar AWS servicios como Amazon OpenSearch Service, Amazon EC2 Auto Scaling, Amazon SageMaker, Amazon API Gateway y Amazon Relational Database Service RDS ().

Los controles proactivos son compatibles con todos los modelos comerciales Regiones de AWS donde la Torre de AWS Control esté disponible.

OpenSearch Servicio Amazon

  • [CT. OPENSEARCH.PR.1] Requiere un dominio de Elasticsearch para cifrar los datos en reposo

  • [CT. OPENSEARCH.PR.2] Requiere que se cree un dominio de Elasticsearch en un Amazon especificado por el usuario VPC

  • [CT. OPENSEARCH.PR.3] Requiere un dominio de Elasticsearch para cifrar los datos enviados entre nodos

  • [CT. OPENSEARCH.PR.4] Requiere un dominio de Elasticsearch para enviar los registros de errores a Amazon Logs CloudWatch

  • [CT. OPENSEARCH.PR.5] Requiere un dominio de Elasticsearch para enviar los registros de auditoría a Amazon Logs CloudWatch

  • [CT. OPENSEARCH.PR.6] Requiere que un dominio de Elasticsearch tenga reconocimiento de zona y al menos tres nodos de datos

  • [CT. OPENSEARCH.PR.7] Requiere que un dominio de Elasticsearch tenga al menos tres nodos maestros dedicados

  • [CT. OPENSEARCH.PR.8] Requiere un dominio de Elasticsearch Service para usar .2 TLSv1

  • [CT. OPENSEARCH.PR.9] Requiere un dominio de Amazon OpenSearch Service para cifrar los datos en reposo

  • [CT. OPENSEARCH.PR.10] Requiere que se cree un dominio de Amazon OpenSearch Service en un Amazon especificado por el usuario VPC

  • [CT. OPENSEARCH.PR.11] Requiere un dominio de Amazon OpenSearch Service para cifrar los datos enviados entre nodos

  • [CT. OPENSEARCH.PR.12] Requiere un dominio de Amazon OpenSearch Service para enviar los registros de errores a Amazon Logs CloudWatch

  • [CT. OPENSEARCH.PR.13] Requerir un dominio de Amazon OpenSearch Service para enviar los registros de auditoría a Amazon Logs CloudWatch

  • [CT. OPENSEARCH.PR.14] Requiere que un dominio de Amazon OpenSearch Service tenga reconocimiento de zona y al menos tres nodos de datos

  • [CT. OPENSEARCH.PR.15] Exija un dominio de Amazon OpenSearch Service para utilizar un control de acceso detallado

  • [CT. OPENSEARCH.PR.16] Se requiere un dominio de Amazon OpenSearch Service para usar .2 TLSv1

Amazon EC2 Auto Scaling

  • [CT. AUTOSCALING.PR.1] Exigir que un grupo de Amazon EC2 Auto Scaling tenga varias zonas de disponibilidad

  • [CT. AUTOSCALING.PR.2] Requiere una configuración de lanzamiento grupal de Amazon EC2 Auto Scaling para configurar las instancias de Amazon EC2 para IMDSv2

  • [CT. AUTOSCALING.PR.3] Requiere una configuración de lanzamiento de Amazon EC2 Auto Scaling para tener un límite de respuesta de metadatos de un solo salto

  • [CT. AUTOSCALING.PR.4] Requiere que un grupo de Amazon EC2 Auto Scaling asociado a un Amazon Elastic Load Balancing (ELB) tenga ELB activadas las comprobaciones de estado

  • [CT. AUTOSCALING.PR.5] Exigir que una configuración de lanzamiento grupal de Amazon EC2 Auto Scaling no tenga EC2 instancias de Amazon con direcciones IP públicas

  • [CT. AUTOSCALING.PR.6] Requerir que cualquier grupo de Amazon EC2 Auto Scaling utilice varios tipos de instancias

  • [CT. AUTOSCALING.PR.8] Requiere que un grupo de Amazon EC2 Auto Scaling tenga configuradas las plantillas de lanzamiento EC2

Amazon SageMaker

  • [CT. SAGEMAKER.PR.1] Requiere una instancia de Amazon SageMaker Notebook para evitar el acceso directo a Internet

  • [CT. SAGEMAKER.PR.2] Exigir que las instancias de Amazon SageMaker Notebook se desplieguen en un Amazon personalizado VPC

  • [CT. SAGEMAKER.PR.3] Exigir que las instancias de Amazon SageMaker Notebook tengan prohibido el acceso root

Amazon API Gateway

  • [CT. APIGATEWAY.PR.5] Requiere que Amazon API Gateway V2 Websocket y HTTP las rutas especifiquen un tipo de autorización

Amazon Relational Database Service RDS ()

  • [CT. RDS.PR.25] Requiere que un clúster de RDS base de datos de Amazon tenga configurado el registro

Para obtener más información, consulte Controles proactivos.

Controles EC2 proactivos de Amazon actualizados

2 de mayo de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ha actualizado dos controles proactivos: CT.EC2.PR.3 y CT.EC2.PR.4.

Para lo actualizado CT.EC2.PR.3 control, cualquier AWS CloudFormation se bloquea el despliegue de un despliegue que haga referencia a una lista de prefijos para un recurso de grupo de seguridad, a menos que sea para el puerto 80 o 443.

Para lo actualizado CT.EC2.PR.4 control, cualquier AWS CloudFormation la implementación que hace referencia a una lista de prefijos para un recurso de grupo de seguridad se bloquea si el puerto es 3389, 20, 23, 110, 143, 3306, 8080, 1433, 9200, 9300, 25, 445, 135, 21, 1434, 4333, 5432, 5500, 5601, 22, 3000, 5000, 8088, 8888.

Siete adicionales Regiones de AWS available

19 de abril de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

AWSControl Tower ahora está disponible en siete versiones adicionales Regiones de AWS: Norte de California (San Francisco), Asia-Pacífico (Hong Kong, Yakarta y Osaka), Europa (Milán), Oriente Medio (Bahréin) y África (Ciudad del Cabo). Estas regiones adicionales de AWS Control Tower, denominadas regiones opcionales, no están activas de forma predeterminada, excepto la región EE.UU. Oeste (norte de California), que está activa de forma predeterminada.

Algunos controles de la Torre de AWS Control no funcionan en algunos de estos controles adicionales Regiones de AWS donde la Torre de AWS Control esté disponible, porque esas regiones no admiten la funcionalidad subyacente requerida. Para obtener más información, consulte Limitaciones de control.

Entre estas nuevas regiones, cFCT no está disponible en Asia Pacífico (Yakarta y Osaka). Disponibilidad en otras Regiones de AWS no ha cambiado.

Para obtener más información sobre cómo la Torre de AWS Control gestiona las limitaciones de las regiones y los controles, consulteConsideraciones a la hora de activar las regiones con AWS suscripción.

Los VPCe puntos de enlace requeridos por no AFT están disponibles en la región de Oriente Medio (Bahréin). Los clientes que AFT realicen despliegues en esta región deben realizar el despliegue con un parámetroaft_vpc_endpoints=false. Para obtener más información, consulte el parámetro en el README archivo.

AWSControl Tower VPCs tiene dos zonas de disponibilidad en la región oeste de EE. UU. (norte de California) debido a una limitación en AmazonEC2. us-west-1 En el oeste de EE. UU. (norte de California), seis subredes se dividen en dos zonas de disponibilidad. Para obtener más información, consulte Información general sobre AWS Control Tower y las VPC.

AWSControl Tower agregó nuevos permisos AWSControlTowerServiceRolePolicy que permiten a AWS Control Tower realizar llamadas alEnableRegion,ListRegions, e GetRegionOptStatus APIs implementados por el AWS Servicio de administración de cuentas, para que sean adicionales Regiones de AWS disponible para sus cuentas compartidas en la zona de aterrizaje (cuenta de administración, cuenta de archivo de registros, cuenta de auditoría) y sus cuentas de miembros de OU. Para obtener más información, consulte Políticas administradas para AWS Control Tower.

Seguimiento de solicitudes de personalización de cuentas de Account Factory for Terraform (AFT)

16 de febrero de 2023

AFTadmite el seguimiento de las solicitudes de personalización de cuentas. Cada vez que envías una solicitud de personalización de una cuenta, AFT genera un token de rastreo único que pasa por una personalización AFT AWS Step Functions máquina de estados, que registra el token como parte de su ejecución. Puedes usar las consultas de estadísticas de Amazon CloudWatch Logs para buscar rangos de marcas de tiempo y recuperar el token de solicitud. Como resultado, puede ver las cargas útiles que acompañan al token, de modo que puede rastrear la solicitud de personalización de su cuenta a lo largo de todo el flujo de trabajo. AFT Para obtener más informaciónAFT, consulte Descripción general de AWS Control Tower Account Factory para Terraform. Para obtener información sobre CloudWatch Logs y Step Functions, consulte lo siguiente:

AWSControl Tower landing zone versión 3.1

9 de febrero de 2023

(Se requiere una actualización para la versión 3.1 de la zona de aterrizaje de AWS Control Tower. Para obtener más información, consulteActualiza tu landing zone)

AWSLa versión 3.1 de Control Tower landing zone incluye las siguientes actualizaciones:

  • Con esta versión, AWS Control Tower desactiva el registro de acceso innecesario para su depósito de registro de acceso, que es el depósito de Amazon S3 en el que se almacenan los registros de acceso en la cuenta de Log Archive, al tiempo que sigue habilitando el registro de acceso al servidor para los cubos de S3. Esta versión también incluye actualizaciones del control Region Deny, que permiten realizar acciones adicionales para los servicios globales, como AWS Support Planes y AWS Artifact.

  • La desactivación del registro de acceso al servidor para el depósito de registro de acceso de la Torre de AWS Control Tower hace que Security Hub busque el depósito de registro de acceso de la cuenta de Log Archive, debido a un AWS Security Hub Por regla general, [S3.9] El registro de acceso al servidor de bucket S3 debe estar habilitado. De acuerdo con Security Hub, le recomendamos que suprima este hallazgo concreto, tal y como se indica en la descripción de esta regla en Security Hub. Para obtener información adicional, consulte la información sobre los hallazgos suprimidos.

  • El registro de acceso al depósito de registro (normal) de la cuenta de Log Archive no ha cambiado en la versión 3.1. De acuerdo con las prácticas recomendadas, los eventos de acceso a ese depósito se registran como entradas de registro en el depósito de registro de acceso. Para obtener más información sobre el registro de acceso, consulte Registrar solicitudes mediante el registro de acceso al servidor en la documentación de Amazon S3.

  • Hemos actualizado el control de denegación de regiones. Esta actualización permite que más servicios globales realicen acciones. Para obtener más información al respectoSCP, consulte Denegar el acceso a AWS en función de lo solicitado Región de AWSy controles que mejoran la protección de la residencia de los datos.

    Se agregaron servicios globales:

    • AWS Account Management (account:*)

    • AWS Activar (activate:*)

    • AWS Artifact (artifact:*)

    • AWS Billing Conductor (billingconductor:*)

    • AWS Compute Optimizer (compute-optimizer:*)

    • AWS Data Pipeline (datapipeline:GetAccountLimits)

    • AWS Device Farm(devicefarm:*)

    • AWS Marketplace (discovery-marketplace:*)

    • Amazon ECR (ecr-public:*)

    • AWS License Manager (license-manager:ListReceivedLicenses)

    • AWS lightsail:Get*Lightsail ()

    • Explorador de recursos de AWS (resource-explorer-2:*)

    • Amazon S3 (s3:CreateMultiRegionAccessPoint,s3:GetBucketPolicyStatus,s3:PutMultiRegionAccessPointPolicy)

    • AWS Savings Plans (savingsplans:*)

    • IAMCentro de identidad (sso:*)

    • AWS Support App (supportapp:*)

    • AWS Support Planes (supportplans:*)

    • AWS Sostenibilidad (sustainability:*)

    • AWS Resource Groups Tagging API (tag:GetResources)

    • AWS Marketplace Información sobre los proveedores (vendor-insights:ListEntitledSecurityProfiles)

Los controles proactivos están disponibles de forma general

24 de enero de 2023

(No se requiere ninguna actualización para la zona de aterrizaje de la Torre de AWS Control).

Los controles proactivos opcionales, anunciados anteriormente en estado de vista previa, ya están disponibles de forma general. Estos controles se denominan proactivos porque comprueban sus recursos (antes de que se implementen los recursos) para determinar si los nuevos recursos cumplen con los controles que están activados en su entorno. Para obtener más información, consulte Los controles integrales ayudan a AWS aprovisionamiento y administración de recursos.