Implemente y gestione los controles de la Torre de Control de AWS mediante AWS CDK y AWS CloudFormation

Creado por Iker Reina Fuente (AWS) e Ivan Girardi (AWS)

Resumen

Este patrón describe cómo usar AWS CloudFormation y el AWS Cloud Development Kit (AWS CDK) para implementar y administrar controles preventivos, detectivescos y proactivos de la Torre de Control de AWS como infraestructura como código (IaC). Un control (también conocido como barrera de protección) es una regla de alto nivel que proporciona gobernanza continua para su entorno general de AWS Control Tower. Por ejemplo, puede usar controles para exigir registrarse en sus cuentas de AWS y, a continuación, configurar notificaciones automáticas si se producen eventos específicos relacionados con la seguridad.

AWS Control Tower ayuda a implementar controles preventivos, de detección y proactivos que regulen sus recursos de AWS y supervisen el cumplimiento en varias cuentas de AWS. Cada control aplica una única regla. En este patrón, debe utilizar la plantilla de IaC proporcionada para especificar qué controles desea implementar en su entorno.

Los controles de AWS Control Tower se aplican a toda una unidad organizativa (OU), y el control afecta a todas las cuentas de AWS de la OU. Por lo tanto, cuando los usuarios realicen cualquier acción en cualquier cuenta de su zona de aterrizaje, la acción queda sujeta a los controles que rigen la OU.

La implementación de los controles de AWS Control Tower ayuda a establecer una base de seguridad sólida para su AWS landing zone. Al usar este patrón para implementar los controles como IaC o AWS CDK, puede estandarizar los controles en su landing zone CloudFormation e implementarlos y administrarlos de manera más eficiente. Esta solución utiliza cdk_nag para analizar la aplicación AWS CDK durante la implementación. Esta herramienta comprueba si la aplicación cumple con las prácticas recomendadas de AWS.

Para implementar los controles de la Torre de Control de AWS como iAC, también puede usar HashiCorp Terraform en lugar de AWS CDK. Para obtener más información, consulte Implementación y administración de los controles de AWS Control Tower mediante Terraform.

Público objetivo

Este patrón se recomienda para los usuarios que tengan experiencia con AWS Control Tower CloudFormation, AWS CDK y AWS Organizations.

Requisitos previos y limitaciones

Requisitos previos 

Limitaciones

Versiones de producto

Arquitectura

Arquitectura de destino

En esta sección se ofrece información general sobre esta solución y la arquitectura establecida en el código de ejemplo. El siguiente diagrama muestra los controles implementados en las distintas cuentas de la OU.

Los controles de AWS Control Tower se clasifican según su comportamiento y sus directrices.

Existen tres tipos principales de comportamientos de control:

Las directrices de los controles se refieren a la práctica recomendada relativa a cómo aplicar cada control a las unidades organizativas. AWS Control Tower ofrece tres categorías de directrices: obligatorias, altamente recomendadas y opcionales. La directriz de un control es independiente de su comportamiento. Para obtener más información, consulte Directrices y comportamiento de control.

Herramientas

Servicios de AWS

Otras herramientas

Repositorio de código

El código de este patrón está disponible en el repositorio GitHub Implementar controles de la Torre de Control de AWS mediante AWS CDK. El archivo cdk.json se utiliza para interactuar con la aplicación AWS CDK y el archivo package.json se utiliza para instalar los paquetes npm.

Prácticas recomendadas

Epics

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

Recursos relacionados

Documentación de AWS

Otros recursos

Información adicional

Ejemplo de archivo constants.py

El siguiente es un ejemplo de un archivo constants.py.

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

Política de IAM

El siguiente ejemplo de política permite realizar las acciones mínimas necesarias para habilitar o deshabilitar los controles de AWS Control Tower al implementar pilas de AWS CDK desde una cuenta de implementación a la cuenta de administración.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

Política de confianza

La siguiente política de confianza personalizada permite que un rol de IAM específico en la cuenta de implementación asuma el rol de IAM en la cuenta de administración. Sustituya lo siguiente:

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}