Déployez et gérez les contrôles d'AWS Control Tower à l'aide d'AWS CDK et d'AWS CloudFormation

Créée par Iker Reina Fuente (AWS) et Ivan Girardi (AWS)

Récapitulatif

Ce modèle décrit comment utiliser AWS CloudFormation et AWS Cloud Development Kit (AWS CDK) pour implémenter et administrer les contrôles préventifs, détectifs et proactifs de la tour de contrôle AWS Control Tower sous forme d'infrastructure sous forme de code (IaC). Un contrôle (également connu sous le nom de garde-corps) est une règle de haut niveau qui fournit une gouvernance continue pour l'ensemble de votre environnement AWS Control Tower. Par exemple, vous pouvez utiliser des contrôles pour exiger la journalisation de vos comptes AWS, puis configurer des notifications automatiques si des événements spécifiques liés à la sécurité se produisent.

AWS Control Tower vous aide à mettre en œuvre des contrôles préventifs, détectifs et proactifs qui régissent vos ressources AWS et surveillent la conformité sur plusieurs comptes AWS. Chaque contrôle applique une seule règle. Dans ce modèle, vous utilisez un modèle IaC fourni pour spécifier les contrôles que vous souhaitez déployer dans votre environnement.

Les contrôles d'AWS Control Tower s'appliquent à l'ensemble d'une unité organisationnelle (UO), et le contrôle affecte tous les comptes AWS au sein de l'UO. Par conséquent, lorsque les utilisateurs effectuent une action sur n'importe quel compte de votre zone de landing zone, cette action est soumise aux contrôles qui régissent l'unité d'organisation.

La mise en œuvre des contrôles AWS Control Tower permet d'établir une base de sécurité solide pour votre zone de landing zone AWS. En utilisant ce modèle pour déployer les commandes sous forme d'iAC via CloudFormation AWS CDK, vous pouvez standardiser les commandes dans votre zone de landing zone et les déployer et les gérer plus efficacement. Cette solution utilise cdk_nag pour scanner l'application AWS CDK pendant le déploiement. Cet outil vérifie que l'application est conforme aux meilleures pratiques d'AWS.

Pour déployer les contrôles AWS Control Tower sous forme d'iAc, vous pouvez également utiliser HashiCorp Terraform au lieu d'AWS CDK. Pour plus d'informations, consultez Déployer et gérer les contrôles AWS Control Tower à l'aide de Terraform.

Public cible

Ce modèle est recommandé aux utilisateurs qui ont de l'expérience avec AWS Control Tower CloudFormation, AWS CDK et AWS Organizations.

Conditions préalables et limitations

Prérequis

Limites

Versions du produit

Architecture

Architecture cible

Cette section fournit une présentation générale de cette solution et de l'architecture établie par l'exemple de code. Le schéma suivant montre les contrôles déployés sur les différents comptes de l'unité d'organisation.

Les commandes AWS Control Tower sont classées en fonction de leur comportement et de leurs instructions.

Il existe trois principaux types de comportements de contrôle :

Les directives de contrôle font référence à la pratique recommandée pour appliquer chaque contrôle à vos unités d'organisation. AWS Control Tower fournit trois catégories de conseils : obligatoires, fortement recommandés et facultatifs. Le guidage d'un contrôle est indépendant de son comportement. Pour plus d'informations, consultez la section Contrôle du comportement et instructions.

Outils

Services AWS

Autres outils

Référentiel de code

Le code de ce modèle est disponible dans le référentiel GitHub Deploy AWS Control Tower using AWS CDK. Vous utilisez le fichier cdk.json pour interagir avec l'application AWS CDK, et vous utilisez le fichier package.json pour installer les packages npm.

Bonnes pratiques

Épopées

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

Ressources connexes

Documentation AWS

Autres ressources

Informations supplémentaires

Exemple de fichier constants.py

Voici un exemple de fichier constants.py mis à jour.

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

Politique IAM

L'exemple de politique suivant autorise les actions minimales requises pour activer ou désactiver les contrôles AWS Control Tower lors du déploiement de piles AWS CDK d'un compte de déploiement vers le compte de gestion.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

Politique d’approbation

La politique de confiance personnalisée suivante permet à un rôle IAM spécifique dans le compte de déploiement d'assumer le rôle IAM dans le compte de gestion. Remplacez les éléments suivants :

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}