Déployez et gérez les contrôles AWS Control Tower à l'aide de Terraform

Créé par Iker Reina Fuente (AWS) et Ivan Girardi () AWS

Récapitulatif

Ce modèle décrit comment utiliser les contrôles AWS Control Tower, HashiCorp Terraform et l'infrastructure en tant que code (iAc) pour mettre en œuvre et administrer des contrôles de sécurité préventifs, de détection et proactifs. Un contrôle (également connu sous le nom de garde-corps) est une règle de haut niveau qui fournit une gouvernance continue de l'ensemble de votre environnement AWS Control Tower. Par exemple, vous pouvez utiliser des contrôles pour exiger la journalisation de vos AWS comptes, puis configurer des notifications automatiques en cas d'événements spécifiques liés à la sécurité.

AWSControl Tower vous aide à mettre en œuvre des contrôles préventifs, de détection et proactifs qui régissent vos AWS ressources et surveillent la conformité sur plusieurs AWS comptes. Chaque contrôle applique une seule règle. Dans ce modèle, vous utilisez un modèle IaC fourni pour spécifier les contrôles que vous souhaitez déployer dans votre environnement.

AWSLes contrôles de la Control Tower s'appliquent à l'ensemble d'une unité organisationnelle (UO), et le contrôle affecte tous les AWS comptes au sein de l'UO. Par conséquent, lorsque les utilisateurs effectuent une action sur n'importe quel compte de votre zone de landing zone, cette action est soumise aux contrôles qui régissent l'unité d'organisation.

La mise en œuvre des contrôles de la AWS Control Tower permet d'établir une base de sécurité solide pour votre zone AWS d'atterrissage. En utilisant ce modèle pour déployer les commandes sous forme d'iAc via Terraform, vous pouvez standardiser les commandes dans votre zone d'atterrissage et les déployer et les gérer plus efficacement.

Pour déployer les commandes AWS Control Tower sous forme d'iAc, vous pouvez également utiliser AWS Cloud Development Kit (AWSCDK) au lieu de Terraform. Pour plus d'informations, voir Déployer et gérer les commandes AWS de la Control Tower à l'aide de AWS CDK et AWS CloudFormation.

Public cible

Ce modèle est recommandé aux utilisateurs qui ont de l'expérience avec AWS Control Tower, Terraform et AWS Organizations.

Conditions préalables et limitations

Prérequis

Versions du produit

Architecture

Architecture cible

Cette section fournit une présentation générale de cette solution et de l'architecture établie par l'exemple de code. Le schéma suivant montre les contrôles déployés sur les différents comptes de l'unité d'organisation.

AWSLes commandes de la Control Tower sont classées en fonction de leur comportement et de leurs indications.

Il existe trois principaux types de comportements de contrôle :

Les conseils de contrôle sont la pratique recommandée pour savoir comment appliquer chaque contrôle à votreOUs. AWSControl Tower propose trois catégories de conseils : obligatoires, fortement recommandés et facultatifs. Le guidage d'un contrôle est indépendant de son comportement. Pour plus d'informations, consultez la section Contrôle du comportement et instructions.

Outils

AWSservices

Autres outils

Référentiel de code

Le code de ce modèle est disponible dans le répertoire GitHub Deploy and manage AWS Control Tower control à l'aide du référentiel Terraform.

Bonnes pratiques

Épopées

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

Résolution des problèmes

Ressources connexes

AWSdocumentation

Autres ressources

Informations supplémentaires

Exemple de fichier variables.tfvars

Voici un exemple de fichier variables.tfvars mis à jour.

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

Autorisations avec le moindre privilège pour le IAM rôle

Ce APG modèle nécessite que vous assumiez un IAM rôle dans le compte de gestion. La meilleure pratique consiste à assumer un rôle avec des autorisations temporaires et à limiter les autorisations conformément au principe du moindre privilège. L'exemple de politique suivant autorise les actions minimales requises pour activer ou désactiver les commandes AWS de la Control Tower.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}