Implemente y gestione los controles AWS de la Torre de Control mediante Terraform

Creada por Iker Reina Fuente (AWS) e Ivan Girardi () AWS

Resumen

Este patrón describe cómo usar los controles de la Torre de AWS Control, HashiCorp Terraform y la infraestructura como código (IaC) para implementar y administrar controles de seguridad preventivos, de detección y proactivos. Un control (también conocido como barandilla) es una regla de alto nivel que proporciona una gobernanza continua para el entorno general de la Torre de AWS Control. Por ejemplo, puede usar controles para exigir el registro de sus AWS cuentas y, a continuación, configurar las notificaciones automáticas si se producen eventos específicos relacionados con la seguridad.

AWSControl Tower lo ayuda a implementar controles preventivos, de detección y proactivos que rigen sus AWS recursos y supervisan el cumplimiento en varias AWS cuentas. Cada control aplica una única regla. En este patrón, debe utilizar la plantilla de IaC proporcionada para especificar qué controles desea implementar en su entorno.

AWSLos controles de la Torre de Control se aplican a toda una unidad organizativa (OU) y afectan a todas las AWS cuentas de la OU. Por lo tanto, cuando los usuarios realicen cualquier acción en cualquier cuenta de su zona de aterrizaje, la acción queda sujeta a los controles que rigen la OU.

La implementación AWS de los controles de la Torre de Control ayuda a establecer una base de seguridad sólida para tu AWS landing zone. Al usar este patrón para implementar los controles como IaC a través de Terraform, puede estandarizar los controles en su zona de aterrizaje e implementarlos y administrarlos de manera más eficiente.

Para implementar los controles de la Torre de AWS Control como iAC, también puedes usar AWS Cloud Development Kit (AWSCDK) en lugar de Terraform. Para obtener más información, consulte Implementar y administrar los controles de la Torre de AWS Control mediante AWS CDK y AWS CloudFormation.

Público objetivo

Este patrón se recomienda para los usuarios que tengan experiencia con AWS Control Tower, Terraform y AWS Organizations.

Requisitos previos y limitaciones

Requisitos previos 

Versiones de producto

Arquitectura

Arquitectura de destino

En esta sección se ofrece información general sobre esta solución y la arquitectura establecida en el código de ejemplo. El siguiente diagrama muestra los controles implementados en las distintas cuentas de la OU.

AWSLos controles de la Torre de Control se clasifican según su comportamiento y su orientación.

Existen tres tipos principales de comportamientos de control:

La guía de control es la práctica recomendada sobre cómo aplicar cada control a suOUs. AWSControl Tower ofrece tres categorías de orientación: obligatoria, muy recomendable y optativa. La directriz de un control es independiente de su comportamiento. Para obtener más información, consulte Directrices y comportamiento de control.

Herramientas

AWSservicios

Otras herramientas

Repositorio de código

El código de este patrón está disponible en el repositorio de Terraform para GitHub implementar y administrar los controles de la Torre de AWS Control.

Prácticas recomendadas

Epics

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

Resolución de problemas

Recursos relacionados

AWSdocumentación

Otros recursos

Información adicional

Ejemplo de archivo variables.tfvars

A continuación se muestra un ejemplo de un archivo variables.tfvars actualizado.

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

Permisos con privilegios mínimos para el rol IAM

Este APG patrón requiere que asuma un IAM rol en la cuenta de administración. La práctica recomendada es asumir un rol con permisos temporales y limitar los permisos según el principio del privilegio mínimo. El siguiente ejemplo de política permite realizar las acciones mínimas necesarias para activar o desactivar los controles de la Torre de AWS Control.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}