UO imbriquées dans AWS Control Tower

• Si tous les précontrôles sont réussis, AWS Control Tower commence à enregistrer automatiquement votre unité d'organisation.

• Si l'une des vérifications préalables échoue, AWS Control Tower arrête le processus d'enregistrement et vous fournit une liste des éléments à corriger avant que vous puissiez enregistrer votre unité d'organisation.

AWS Control Tower exécute les tâches suivantes

• Ajoute le AWSControlTowerExecution rôle à tous les comptes non inscrits dans cette unité d'organisation et à tous les comptes non inscrits dans ses unités d'organisation imbriquées.

• Enregistre les comptes de membres qui ne sont pas inscrits.

• Réinscrit les comptes des membres inscrits.

• Crée un identifiant IAM Identity Center pour les comptes de membres nouvellement inscrits.

• Met à jour les comptes des membres inscrits existants pour refléter les modifications de votre zone de landing zone.

• Met à jour les contrôles configurés pour cette unité d'organisation et ses comptes membres.

• Vous ne pouvez pas enregistrer une UO sous l'UO principale (UO de sécurité).

• Les unités d'organisation imbriquées doivent être enregistrées séparément.

• Vous ne pouvez pas enregistrer une UO si son UO parent n'est pas enregistrée.

• Vous ne pouvez pas enregistrer une UO à moins que toutes les UO situées plus haut dans l'arborescence n'aient été enregistrées avec succès à un moment ou à un autre (certaines ont peut-être été supprimées).

• Vous pouvez enregistrer une UO située sous une UO supérieure dérivée, mais cette action ne répare pas cette dérive.

• Les unités d'organisation peuvent être imbriquées à un maximum de 5 niveaux de profondeur sous la racine.

• Les unités d'organisation imbriquées sous l'unité d'organisation cible doivent être enregistrées ou réenregistrées séparément.

• Si l'unité d'organisation cible se situe au niveau 2 ou inférieur dans la hiérarchie, c'est-à-dire s'il ne s'agit pas d'une unité d'organisation de niveau supérieur, les contrôles préventifs activés sur les unités d'organisation supérieures sont automatiquement appliqués à cette unité d'organisation et à toutes les unités inférieures.

• Les échecs d'enregistrement de l'unité organisationnelle ne se propagent pas dans l'arborescence hiérarchique. Vous pouvez consulter les détails relatifs à l'état des unités d'organisation imbriquées sur la page de détails des unités d'organisation du parent.

• Les échecs d'enregistrement de l'unité organisationnelle ne se propagent pas dans l'arborescence hiérarchique.

• AWS Control Tower ne modifie pas les paramètres de votre VPC pour les comptes nouveaux ou existants.

Considérations relatives à la conformité des unités d'organisation et des comptes imbriqués

• La conformité d'une UO n'est pas déterminée en fonction de la conformité des UO qui lui sont imbriquées.

• L'état de conformité d'un contrôle est calculé pour toutes les unités d'organisation sur lesquelles le contrôle est activé, y compris les unités d'organisation imbriquées. Consultez l'état de conformité d'AWS Control Tower pour les unités d'organisation et les comptes.

• Une unité d'organisation est considérée comme non conforme uniquement si ses comptes ne le sont pas, quel que soit l'emplacement de l'unité d'organisation dans la hiérarchie des unités d'organisation.

• Si une UO imbriquée n'est pas conforme, son UO parent n'est pas automatiquement considérée comme non conforme.

• Sur la page de détail de l'unité d'organisation ou de détail du compte, vous pouvez consulter la liste des ressources non conformes qui peuvent être à l'origine du statut de non-conformité de vos unités d'organisation ou de vos comptes.

Attentes relatives à la dérive et aux unités d'organisation imbriquées

• Vous pouvez activer les contrôles sur les unités d'organisation dont les parents sont dérivés, mais pas directement sur les unités d'organisation dérivées.

• Vous êtes autorisé à activer les commandes de détection dans une unité d'organisation dérivée, à condition qu'il ne s'agisse pas d'une unité d'organisation dérivée de haut niveau.

• Les contrôles obligatoires sont activés uniquement sur les unités d'organisation de niveau supérieur. Les contrôles obligatoires sont ignorés lorsque vous enregistrez une unité d'organisation imbriquée.

• Un contrôle obligatoire protège les AWS Config ressources ; par conséquent, ce contrôle doit être dans un état non dérivé pour enregistrer des unités d'organisation imbriquées. En cas de dérive, AWS Control Tower bloque l'enregistrement des unités d'organisation imbriquées.

• Si l'unité d'organisation de niveau supérieur est en dérive, le contrôle qui protège les AWS Config ressources peut être en dérive. Dans ce cas, AWS Control Tower bloque toute action nécessitant la création ou la mise à jour de AWS Config ressources, y compris l'application de contrôles de détection.

Contrôles préventifs

• Des contrôles préventifs sont appliqués aux unités d'organisation imbriquées.

• Des contrôles préventifs obligatoires sont appliqués à tous les comptes relevant de l'UO et de ses UO imbriquées.

• Les contrôles préventifs concernent tous les comptes et unités d'organisation imbriqués sous l'unité d'organisation cible, même si ces comptes et unités d'organisation ne sont pas enregistrés.

Detective et contrôles proactifs

• Les unités d'organisation imbriquées n'héritent pas automatiquement des contrôles de détection ou proactifs ; ceux-ci doivent être activés séparément.

• Les contrôles Detective et proactifs ne sont déployés que sur les comptes enregistrés dans les régions opérationnelles de votre zone d'atterrissage.

• Le statut Hérité indique que le contrôle est activé uniquement par héritage et qu'il n'a pas été appliqué directement à l'unité d'organisation.

• Le statut Activé signifie que le contrôle est appliqué sur cette unité d'organisation, quel que soit son état sur les autres unités d'organisation.

• Le statut Failed signifie que le contrôle n'est pas appliqué sur cette unité d'organisation, quel que soit son état sur les autres unités d'organisation.