Consejos administrativos para la configuración de la zona de aterrizaje

• La AWS región en la que trabajas más debe ser tu región de origen.

• Configure su zona de aterrizaje e implemente sus cuentas del generador de cuentas desde la región de inicio.

• Si invierte en varias AWS regiones, asegúrese de que sus recursos de nube estén en la región en la que realizará la mayor parte del trabajo administrativo de la nube y ejecutará sus cargas de trabajo.

• Al mantener sus cargas de trabajo y registros en la misma AWS región, reduce el costo que implicaría mover y recuperar la información de registros de una región a otra.

• La auditoría y otros depósitos de Amazon S3 se crean en la misma AWS región desde la que se lanza AWS Control Tower. Le recomendamos que no mueva estos buckets.

• Puede crear sus propios buckets de registro en la cuenta de archivo de registro, pero no se recomienda. Asegúrese de dejar los buckets creados por AWS Control Tower.

• Sus registros de acceso a Amazon S3 deben estar en la misma AWS región que los buckets de origen.

• Al lanzarlo, los puntos de enlace del AWS Security Token Service (STS) deben estar activados en la cuenta de administración para todas las regiones admitidas por AWS Control Tower. De lo contrario, el lanzamiento puede generar un error a mitad del proceso de configuración.

• AWS Control Tower solo admite etiquetado para los controles habilitados. Para obtener más información, consulte API de etiquetado de control de AWS Control Tower.

• Recomendamos habilitar la autenticación multifactor (MFA) para todas las cuentas que administra AWS Control Tower.

• Como alternativa, puede usar la función de administración del acceso AWS raíz, que permite realizar acciones raíz en las cuentas de los miembros y elimina la necesidad de habilitar la MFA en todas las cuentas. Para obtener más información, consulte Administración centralizada del acceso raíz para clientes utilizando AWS Organizations.

Consideraciones sobre las VPC

• La VPC creada por AWS Control Tower se limita a aquella Regiones de AWS en la que AWS Control Tower está disponible. Es posible que algunos clientes cuyas cargas de trabajo se ejecutan en regiones no compatibles deseen deshabilitar la VPC que se crea con su cuenta del generador de cuentas. Es posible que prefieran crear una VPC nueva utilizando la cartera de Service Catalog o una VPC personalizada que se ejecute únicamente en las regiones requeridas.

• La VPC creada por AWS Control Tower no es la misma que la VPC predeterminada que se crea para todas las Cuentas de AWS. En las regiones en las que se admite AWS Control Tower, AWS Control Tower elimina la VPC predeterminada cuando crea la VPC de AWS Control Tower.

• Si elimina la VPC predeterminada en su AWS región de origen, es mejor eliminarla en todas las demás AWS regiones.