Januari - Desember 2023 - AWS Control Tower
Transisi ke jenis produk AWS Service Catalog eksternal baru (fase 3)AWS Control Tower landing zone versi 3.3Transisi ke jenis produk AWS Service Catalog eksternal baru (fase 2)AWS Control Tower mengumumkan kontrol untuk membantu kedaulatan digitalAWS Control Tower mendukung landing zone APIsAWS Control Tower mendukung penandaan untuk kontrol yang diaktifkanAWS Control Tower tersedia di Wilayah Asia Pasifik (Melbourne)Transisi ke jenis produk AWS Service Catalog eksternal baru (fase 1)API kontrol baru tersediaAWS Control Tower menambahkan kontrol tambahanJenis drift baru dilaporkan: akses tepercaya dinonaktifkanEmpat tambahan Wilayah AWSAWS Control Tower tersedia di Wilayah Tel AvivAWS Control Tower meluncurkan 28 kontrol proaktif baruAWS Control Tower menghentikan dua kontrolAWS Control Tower landing zone versi 3.2AWS Control Tower menangani akun berdasarkan IDKontrol detektif Security Hub tambahan tersedia di pustaka kontrol AWS Control TowerAWS Control Tower menerbitkan tabel metadata kontrolDukungan Terraform untuk Kustomisasi Account FactoryAWS Manajemen mandiri IAM Identity Center tersedia untuk landing zoneAWS Control Tower menangani tata kelola campuran untuk OUsTersedia kontrol proaktif tambahanKontrol EC2 proaktif Amazon yang diperbaruiTujuh tambahan Wilayah AWS tersedia Account Factory untuk penelusuran permintaan kustomisasi akun Terraform (AFT) AWS Control Tower landing zone versi 3.1Kontrol proaktif umumnya tersedia

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Januari - Desember 2023

Pada tahun 2023, AWS Control Tower merilis pembaruan berikut:

Transisi ke jenis produk AWS Service Catalog eksternal baru (fase 3)

Desember 14, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower tidak lagi mendukung Terraform Open Source sebagai jenis produk (cetak biru) saat membuat produk baru. Akun AWS Untuk informasi selengkapnya dan petunjuk tentang memperbarui cetak biru akun Anda, tinjau Transisi ke jenis produk AWS Service Catalog Eksternal.

Jika Anda tidak memperbarui cetak biru akun untuk menggunakan jenis produk Eksternal, Anda hanya dapat memperbarui atau menghentikan akun yang Anda sediakan menggunakan cetak biru Sumber Terraform Open Source.

AWS Control Tower landing zone versi 3.3

Desember 14, 2023

(Pembaruan diperlukan untuk landing zone AWS Control Tower ke versi 3.3. Untuk informasi, lihatPerbarui landing zone).

Pembaruan kebijakan bucket S3 di akun AWS Control Tower Audit

Kami telah memodifikasi kebijakan bucket Audit Amazon S3 yang diterapkan AWS Control Tower di akun, sehingga aws:SourceOrgID kondisi harus dipenuhi untuk izin menulis apa pun. Dengan rilis ini, AWS layanan memiliki akses ke sumber daya Anda hanya jika permintaan berasal dari organisasi atau unit organisasi (OU) Anda.

Anda dapat menggunakan kunci aws:SourceOrgID kondisi dan menyetel nilainya ke ID organisasi di elemen kondisi kebijakan bucket S3 Anda. Kondisi ini memastikan bahwa CloudTrail hanya dapat menulis log atas nama akun dalam organisasi Anda ke bucket S3 Anda; ini mencegah CloudTrail log di luar organisasi Anda menulis ke bucket AWS Control Tower S3 Anda.

Kami membuat perubahan ini untuk memulihkan potensi kerentanan keamanan, tanpa memengaruhi fungsionalitas beban kerja Anda yang ada. Untuk melihat kebijakan yang diperbarui, lihatKebijakan bucket Amazon S3 di akun audit.

Untuk informasi selengkapnya tentang kunci kondisi baru, lihat dokumentasi IAM dan posting blog IAM berjudul "Gunakan kontrol yang dapat diskalakan untuk AWS layanan yang mengakses sumber daya Anda.”

Pembaruan kebijakan dalam topik AWS Config SNS

Kami menambahkan kunci aws:SourceOrgID kondisi baru ke kebijakan untuk topik AWS Config SNS.Untuk melihat kebijakan yang diperbarui, lihat Kebijakan topik SNS. AWS Config

Pembaruan untuk kontrol wilayah Deny landing zone

  • Dihapusdiscovery-marketplace:. Tindakan ini dicakup oleh aws-marketplace:* pengecualian.

  • Ditambahkan quicksight:DescribeAccountSubscription

AWS CloudFormation Template yang diperbarui

Kami memperbarui AWS CloudFormation template untuk tumpukan bernama BASELINE-CLOUDTRAIL-MASTER sehingga tidak menunjukkan penyimpangan ketika AWS KMS enkripsi tidak digunakan.

Transisi ke jenis produk AWS Service Catalog eksternal baru (fase 2)

Desember 7, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

HashiCorp memperbarui lisensi Terraform mereka. Akibatnya, AWS Service Catalog mengubah dukungan untuk produk Terraform Open Source dan menyediakan produk ke jenis produk baru, yang disebut Eksternal.

Untuk menghindari gangguan pada beban kerja dan AWS sumber daya yang ada di akun Anda, ikuti langkah transisi AWS Control Tower dalam Transisi ke jenis produk AWS Service Catalog Eksternal paling lambat 14 Desember 2023.

AWS Control Tower mengumumkan kontrol untuk membantu kedaulatan digital

November 27, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower mengumumkan 65 kontrol AWS terkelola baru, untuk membantu Anda memenuhi persyaratan kedaulatan digital Anda. Dengan rilis ini, Anda dapat menemukan kontrol ini di bawah grup kedaulatan digital baru di konsol AWS Control Tower. Anda dapat menggunakan kontrol ini untuk membantu mencegah tindakan dan mendeteksi perubahan sumber daya terkait residensi data, pembatasan akses terperinci, enkripsi, dan kemampuan ketahanan. Kontrol ini dirancang untuk memudahkan Anda menangani persyaratan dalam skala besar. Untuk informasi lebih lanjut tentang kontrol kedaulatan digital, lihat Kontrol yang meningkatkan perlindungan kedaulatan digital.

Misalnya, Anda dapat memilih untuk mengaktifkan kontrol yang membantu menegakkan strategi enkripsi dan ketahanan Anda, seperti Memerlukan cache AWS AppSync API agar enkripsi saat transit diaktifkan atau Memerlukan Firewall AWS Jaringan untuk diterapkan di beberapa Availability Zone. Anda juga dapat menyesuaikan kontrol penolakan Wilayah AWS Control Tower untuk menerapkan batasan regional yang paling sesuai dengan kebutuhan bisnis unik Anda.

Rilis ini menghadirkan kemampuan penolakan Wilayah AWS Control Tower AWS yang disempurnakan dengan baik. Anda dapat menerapkan kontrol penolakan Wilayah berparameter baru di tingkat OU, untuk meningkatkan perincian tata kelola, sambil mempertahankan tata kelola Wilayah tambahan di tingkat landing zone. Kontrol penolakan Wilayah yang dapat disesuaikan ini membantu Anda menerapkan batasan regional yang paling sesuai dengan kebutuhan bisnis unik Anda. Untuk informasi selengkapnya tentang kontrol penolakan Wilayah baru yang dapat dikonfigurasi, lihat Kontrol penolakan Wilayah yang diterapkan ke OU.

Sebagai alat baru untuk peningkatan penolakan Wilayah baru, rilis ini menyertakan API baruUpdateEnabledControl, yang memungkinkan Anda mengatur ulang kontrol yang diaktifkan ke pengaturan default. API ini sangat membantu dalam kasus penggunaan di mana Anda perlu menyelesaikan drift dengan cepat, atau untuk menjamin secara terprogram bahwa kontrol tidak dalam keadaan drift. Untuk informasi selengkapnya tentang API baru, lihat Referensi AWS Control Tower API

Kontrol proaktif baru

  • CT.APIGATEWAY.PR.6: Memerlukan domain Amazon API Gateway REST untuk menggunakan kebijakan keamanan yang menentukan versi protokol TLS minimum .2 TLSv1

  • CT.APPSYNC.PR.2: Memerlukan AWS AppSync GraphQL API untuk dikonfigurasi dengan visibilitas pribadi

  • CT.APPSYNC.PR.3: Mengharuskan AWS AppSync GraphQL API tidak diautentikasi dengan kunci API

  • CT.APPSYNC.PR.4: Memerlukan cache AWS AppSync GraphQL API agar enkripsi saat transit diaktifkan.

  • CT.APPSYNC.PR.5: Memerlukan cache AWS AppSync GraphQL API agar enkripsi saat istirahat diaktifkan.

  • CT.AUTOSCALING.PR.9: Memerlukan volume Amazon EBS yang dikonfigurasi melalui konfigurasi peluncuran Amazon EC2 Auto Scaling untuk mengenkripsi data saat istirahat

  • CT.AUTOSCALING.PR.10: Memerlukan grup EC2 Auto Scaling Amazon untuk hanya menggunakan jenis instans AWS Nitro saat mengganti template peluncuran

  • CT.AUTOSCALING.PR.11: Hanya memerlukan jenis instans AWS Nitro yang mendukung enkripsi lalu lintas jaringan antar instans untuk ditambahkan ke grup Auto EC2 Scaling Amazon, saat mengganti template peluncuran

  • CT.DAX.PR.3: Memerlukan cluster DynamoDB Accelerator untuk mengenkripsi data dalam perjalanan dengan Transport Layer Security (TLS)

  • CT.DMS.PR.2: Memerlukan Endpoint AWS Database Migration Service (DMS) untuk mengenkripsi koneksi untuk titik akhir sumber dan target

  • CT.EC2.PR.15: Memerlukan EC2 instans Amazon untuk menggunakan jenis instans AWS Nitro saat membuat dari jenis AWS::EC2::LaunchTemplate sumber daya

  • CT.EC2.PR.16: Memerlukan EC2 instans Amazon untuk menggunakan jenis instans AWS Nitro saat dibuat menggunakan tipe AWS::EC2::Instance sumber daya

  • CT.EC2.PR.17: Memerlukan host EC2 khusus Amazon untuk menggunakan jenis instans AWS Nitro

  • CT.EC2.PR.18: Memerlukan EC2 armada Amazon untuk mengganti hanya template peluncuran dengan tipe instans AWS Nitro

  • CT.EC2.PR.19: Memerlukan EC2 instans Amazon untuk menggunakan jenis instans nitro yang mendukung enkripsi dalam transit antar instance saat dibuat menggunakan tipe sumber daya AWS::EC2::Instance

  • CT.EC2.PR.20: Memerlukan EC2 armada Amazon untuk mengganti hanya template peluncuran tersebut dengan tipe instans AWS Nitro yang mendukung enkripsi saat transit antar instance

  • CT.ELASTICACHE.PR.8: Memerlukan grup ElastiCache replikasi Amazon dari versi Redis yang lebih baru agar otentikasi RBAC diaktifkan

  • CT.MQ.PR.1: Memerlukan broker Amazon MQ ActiveMQ untuk menggunakan mode penerapan aktif/siaga untuk ketersediaan tinggi

  • CT.MQ.PR.2: Memerlukan broker MQ Amazon MQ Rabbit untuk menggunakan mode cluster multi-AZ untuk ketersediaan tinggi

  • CT.MSK.PR.1: Memerlukan klaster Amazon Managed Streaming for Apache Kafka (MSK) untuk menerapkan enkripsi saat transit antar node broker cluster

  • CT.MSK.PR.2: Memerlukan cluster Amazon Managed Streaming for Apache Kafka (MSK) untuk dikonfigurasi dengan dinonaktifkan PublicAccess

  • CT.NETWORK-FIREWALL.PR.5: Memerlukan firewall AWS Network Firewall untuk digunakan di beberapa Availability Zone

  • CT.RDS.PR.26: Memerlukan Proxy Amazon RDS DB untuk meminta koneksi Transport Layer Security (TLS)

  • CT.RDS.PR.27: Memerlukan grup parameter cluster Amazon RDS DB untuk meminta koneksi Transport Layer Security (TLS) untuk tipe engine yang didukung

  • CT.RDS.PR.28: Memerlukan grup parameter Amazon RDS DB untuk meminta koneksi Transport Layer Security (TLS) untuk jenis engine yang didukung

  • CT.RDS.PR.29: Memerlukan klaster Amazon RDS yang tidak dikonfigurasi agar dapat diakses publik melalui properti '' PubliclyAccessible

  • CT.RDS.PR.30: Mengharuskan instans database Amazon RDS memiliki enkripsi saat istirahat yang dikonfigurasi untuk menggunakan kunci KMS yang Anda tentukan untuk jenis engine yang didukung

  • CT.S3.PR.12: Memerlukan jalur akses Amazon S3 untuk memiliki konfigurasi Block Public Access (BPA) dengan semua opsi disetel ke true

Kontrol pencegahan baru

  • CT.APPSYNC.PV.1 Mengharuskan AWS AppSync GraphQL API dikonfigurasi dengan visibilitas pribadi

  • CT.EC2.PV.1 Memerlukan snapshot Amazon EBS dibuat dari volume terenkripsi EC2

  • CT.EC2.PV.2 Mengharuskan volume Amazon EBS terlampir dikonfigurasi untuk mengenkripsi data saat istirahat

  • CT.EC2.PV.3 Mengharuskan snapshot Amazon EBS tidak dapat dipulihkan secara publik

  • CT.EC2.PV.4 Mengharuskan Amazon EBS langsung APIs tidak dipanggil

  • CT.EC2.PV.5 Larang penggunaan impor dan ekspor Amazon EC2 VM

  • CT.EC2.PV.6 Larang penggunaan tindakan Amazon EC2 RequestSpotFleet dan API yang tidak digunakan lagi RequestSpotInstances

  • CT.KMS.PV.1 Memerlukan kebijakan AWS KMS kunci untuk memiliki pernyataan yang membatasi pembuatan AWS KMS hibah untuk layanan AWS

  • CT.KMS.PV.2 Mengharuskan kunci AWS KMS asimetris dengan bahan kunci RSA yang digunakan untuk enkripsi tidak memiliki panjang kunci 2048 bit

  • CT.KMS.PV.3 Mengharuskan AWS KMS kunci dikonfigurasi dengan pemeriksaan keamanan penguncian kebijakan bypass diaktifkan

  • CT.KMS.PV.4 Mengharuskan kunci yang AWS KMS dikelola pelanggan (CMK) dikonfigurasi dengan materi utama yang berasal dari CloudHSM AWS

  • CT.KMS.PV.5 Mengharuskan kunci yang AWS KMS dikelola pelanggan (CMK) dikonfigurasi dengan materi kunci yang diimpor

  • CT.KMS.PV.6 Mengharuskan kunci yang AWS KMS dikelola pelanggan (CMK) dikonfigurasi dengan materi kunci yang berasal dari penyimpanan kunci eksternal (XKS)

  • CT.LAMBDA.PV.1 Memerlukan URL AWS Lambda fungsi untuk menggunakan otentikasi AWS berbasis IAM

  • CT.LAMBDA.PV.2 Memerlukan URL AWS Lambda fungsi untuk dikonfigurasi untuk akses hanya oleh prinsipal di dalam Akun AWS

  • CT.MULTISERVICE.PV.1: Tolak akses berdasarkan permintaan untuk unit organisasi AWS Wilayah AWS

Kontrol detecive baru yang meningkatkan postur tata kelola kedaulatan digital Anda adalah bagian dari AWS Control Tower Standar yang Dikelola Layanan. AWS Security Hub

Kontrol detektif baru

  • SH.ACM.2: Sertifikat RSA yang dikelola oleh ACM harus menggunakan panjang kunci minimal 2.048 bit

  • SH.AppSync.5: AWS AppSync APIs GraphQL tidak boleh diautentikasi dengan kunci API

  • SH.CloudTrail.6: Pastikan bucket S3 yang digunakan untuk menyimpan CloudTrail log tidak dapat diakses publik:

  • SH.DMS.9: Titik akhir DMS harus menggunakan SSL

  • SH.DocumentDB.3: Snapshot cluster manual Amazon DocumentDB tidak boleh bersifat publik

  • SH.DynamoDB.3: Cluster DynamoDB Accelerator (DAX) harus dienkripsi saat istirahat

  • SH.EC2.23: EC2 Transit Gateways seharusnya tidak secara otomatis menerima permintaan lampiran VPC

  • SH.EKS.1: Titik akhir klaster EKS tidak boleh diakses publik

  • SH.ElastiCache.3: grup ElastiCache replikasi harus mengaktifkan failover otomatis

  • SH.ElastiCache.4: grup ElastiCache replikasi seharusnya diaktifkan encryption-at-rest

  • SH.ElastiCache.5: grup ElastiCache replikasi seharusnya diaktifkan encryption-in-transit

  • SH.ElastiCache.6: grup ElastiCache replikasi versi Redis sebelumnya harus mengaktifkan Redis AUTH

  • SH.EventBridge.3: bus acara EventBridge khusus harus memiliki kebijakan berbasis sumber daya terlampir

  • SH.KMS.4: rotasi AWS KMS kunci harus diaktifkan

  • SH.Lambda.3: Fungsi Lambda harus dalam VPC

  • SH.MQ.5: Pialang ActiveMQ harus menggunakan mode penerapan aktif/siaga

  • SH.MQ.6: Broker RabbitMQ harus menggunakan mode penerapan cluster

  • SH.MSK.1: Cluster MSK harus dienkripsi dalam perjalanan di antara node broker

  • SH.RDS.12: Autentikasi IAM harus dikonfigurasi untuk cluster RDS

  • SH.RDS.15: Cluster RDS DB harus dikonfigurasi untuk beberapa Availability Zone

  • SH.S3.17: Ember S3 harus dienkripsi saat istirahat dengan kunci AWS KMS

Untuk informasi selengkapnya tentang kontrol yang ditambahkan ke AWS Control Tower Standar yang AWS Security Hub Dikelola Layanan, lihat Kontrol yang berlaku untuk Standar yang Dikelola Layanan: AWS Control Tower dalam dokumentasi. AWS Security Hub

Untuk daftar yang tidak mendukung kontrol tertentu Wilayah AWS yang merupakan bagian dari AWS Control Tower Standar AWS Security Hub yang Dikelola Layanan, lihat Wilayah Tidak Didukung.

Kontrol baru yang dapat dikonfigurasi untuk penolakan Wilayah di tingkat OU

CT.MULTISERVICE.PV.1: Kontrol ini menerima parameter untuk menentukan Wilayah yang dikecualikan, prinsip IAM, dan Tindakan yang diizinkan, pada tingkat OU, bukan untuk seluruh zona landing AWS Control Tower. Ini adalah kontrol preventif, yang diterapkan oleh Kebijakan Kontrol Layanan (SCP).

Untuk informasi selengkapnya, lihat Kontrol penolakan wilayah yang diterapkan pada OU.

UpdateEnabledControlAPI

Rilis AWS Control Tower ini menambahkan dukungan API berikut untuk kontrol:

  • EnableControlAPI yang diperbarui dapat mengonfigurasi kontrol yang dapat dikonfigurasi.

  • GetEnabledControlAPI yang diperbarui menunjukkan parameter yang dikonfigurasi pada kontrol yang diaktifkan.

  • UpdateEnabledControlAPI baru dapat mengubah parameter pada kontrol yang diaktifkan.

Untuk informasi selengkapnya, lihat Referensi API AWS Control Tower.

AWS Control Tower mendukung landing zone APIs

November 26, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower sekarang mendukung konfigurasi dan peluncuran landing zone APIs. Anda dapat membuat, memperbarui, mendapatkan, membuat daftar, mengatur ulang, dan menghapus zona pendaratan menggunakan APIs.

Berikut ini APIs memungkinkan Anda untuk mengatur dan mengelola landing zone Anda secara terprogram menggunakan AWS CloudFormation atau. AWS CLI

AWS Control Tower mendukung hal berikut APIs untuk zona pendaratan:

  • CreateLandingZone—Panggilan API ini membuat landing zone menggunakan versi landing zone dan file manifes.

  • GetLandingZoneOperation—Panggilan API ini mengembalikan status operasi landing zone tertentu.

  • GetLandingZone—Panggilan API ini menampilkan detail tentang landing zone yang ditentukan, termasuk versi, file manifes, dan status.

  • UpdateLandingZone—Panggilan API ini memperbarui versi landing zone atau file manifes.

  • ListLandingZone—Panggilan API ini mengembalikan satu pengenal landing zone (ARN) untuk pengaturan landing zone di akun manajemen.

  • ResetLandingZone—Panggilan API ini me-reset landing zone ke parameter yang ditentukan pada pembaruan terbaru, yang dapat memperbaiki drift. Jika landing zone belum diperbarui, panggilan ini mengatur ulang landing zone ke parameter yang ditentukan saat pembuatan.

  • DeleteLandingZone—Panggilan API ini menonaktifkan landing zone.

Untuk memulai landing zone APIs, lihatMemulai AWS Control Tower menggunakan APIs.

AWS Control Tower mendukung penandaan untuk kontrol yang diaktifkan

November 10, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower sekarang mendukung penandaan sumber daya untuk kontrol yang diaktifkan, dari konsol AWS Control Tower atau melalui. APIs Anda dapat menambahkan, menghapus, atau mencantumkan tag untuk kontrol yang diaktifkan.

Dengan rilis berikut ini APIs, Anda dapat mengonfigurasi tag untuk kontrol yang Anda aktifkan di AWS Control Tower. Tag membantu Anda mengelola, mengidentifikasi, mengatur, mencari, dan memfilter sumber daya. Anda dapat membuat tag untuk mengategorikan sumber daya berdasarkan tujuan, pemilik, lingkungan, atau kriteria lainnya.

AWS Control Tower mendukung hal berikut APIs untuk penandaan kontrol:

  • TagResource—Panggilan API ini menambahkan tag ke kontrol yang diaktifkan di AWS Control Tower.

  • UntagResource—Panggilan API ini menghapus tag dari kontrol yang diaktifkan di AWS Control Tower.

  • ListTagsForResource—Panggilan API ini mengembalikan tag untuk kontrol yang diaktifkan di AWS Control Tower.

Kontrol AWS Control Tower APIs tersedia di Wilayah AWS tempat AWS Control Tower tersedia. Untuk daftar lengkap tentang Wilayah AWS AWS Control Tower yang tersedia, lihat Tabel AWS Wilayah. Untuk daftar lengkap AWS Control Tower APIs, lihat Referensi API.

AWS Control Tower tersedia di Wilayah Asia Pasifik (Melbourne)

November 3, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower tersedia di Wilayah Asia Pasifik (Melbourne).

Jika Anda sudah menggunakan AWS Control Tower dan ingin memperluas fitur tata kelola ke Wilayah ini di akun Anda, buka halaman Pengaturan di dasbor AWS Control Tower, pilih Wilayah, lalu perbarui landing zone Anda. Setelah pembaruan landing zone, Anda harus memperbarui semua akun yang diatur oleh AWS Control Tower, untuk membawa akun Anda dan OUs berada di bawah tata kelola di Wilayah baru. Untuk informasi selengkapnya, lihat Tentang Pembaruan.

Untuk daftar lengkap Wilayah di mana AWS Control Tower tersedia, lihat Wilayah AWS Tabel.

Transisi ke jenis produk AWS Service Catalog eksternal baru (fase 1)

Oktober 31, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

HashiCorp memperbarui lisensi Terraform mereka. Akibatnya, dukungan yang AWS Service Catalog diperbarui untuk produk Terraform Open Source dan menyediakan produk ke jenis produk baru, yang disebut Eksternal.

AWS Control Tower tidak mendukung penyesuaian Account Factory yang bergantung pada jenis produk AWS Service Catalog Eksternal. Untuk menghindari gangguan pada beban kerja dan AWS sumber daya yang ada di akun Anda, ikuti langkah transisi AWS Control Tower dalam urutan yang disarankan ini, sebelum 14 Desember 2023:

  1. Tingkatkan Mesin Referensi Terraform Anda yang ada AWS Service Catalog untuk menyertakan dukungan untuk jenis produk Sumber Terbuka Eksternal dan Terraform. Untuk petunjuk tentang memperbarui Mesin Referensi Terraform Anda, tinjau Repositori.AWS Service Catalog GitHub

  2. Buka AWS Service Catalog dan duplikat cetak biru Terraform Open Source yang ada untuk menggunakan jenis produk Eksternal yang baru. Jangan hentikan cetak biru Terraform Open Source yang ada.

  3. Lanjutkan menggunakan cetak biru Terraform Open Source yang ada untuk membuat atau memperbarui akun di AWS Control Tower.

API kontrol baru tersedia

Oktober 14, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower kini mendukung API tambahan yang dapat Anda gunakan untuk menerapkan dan mengelola kontrol AWS Control Tower, sesuai skala besar. Untuk informasi selengkapnya tentang kontrol AWS Control Tower APIs, lihat Referensi API.

AWS Control Tower menambahkan API kontrol baru.

  • GetEnabledControl—Panggilan API memberikan detail tentang kontrol yang diaktifkan.

Kami juga memperbarui API ini:

ListEnabledControls—Panggilan API ini mencantumkan kontrol yang diaktifkan oleh AWS Control Tower pada unit organisasi yang ditentukan dan akun yang dikandungnya. Sekarang mengembalikan informasi tambahan dalam suatu EnabledControlSummary objek.

Dengan ini APIs, Anda dapat melakukan beberapa operasi umum secara terprogram. Sebagai contoh:

  • Dapatkan daftar semua kontrol yang telah Anda aktifkan dari pustaka kontrol AWS Control Tower.

  • Untuk kontrol apa pun yang diaktifkan, Anda bisa mendapatkan informasi tentang Wilayah di mana kontrol didukung, pengenal kontrol (ARN), status drift kontrol, dan ringkasan status kontrol.

Kontrol AWS Control Tower APIs tersedia di Wilayah AWS tempat AWS Control Tower tersedia. Untuk daftar lengkap tentang Wilayah AWS AWS Control Tower yang tersedia, lihat Tabel AWS Wilayah. Untuk daftar lengkap AWS Control Tower APIs, lihat Referensi API.

AWS Control Tower menambahkan kontrol tambahan

Oktober 5, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower mengumumkan kontrol proaktif dan detektif baru.

Kontrol proaktif di AWS Control Tower diimplementasikan melalui AWS CloudFormation Hooks, yang mengidentifikasi dan memblokir sumber daya yang tidak sesuai sebelum menyediakannya. AWS CloudFormation Kontrol proaktif melengkapi kemampuan kontrol preventif dan detektif yang ada di AWS Control Tower.

Kontrol proaktif baru

  • [CT.ATHENA.PR.1] Memerlukan workgroup Amazon Athena untuk mengenkripsi hasil kueri Athena saat istirahat

  • [CT.ATHENA.PR.2] Memerlukan workgroup Amazon Athena untuk mengenkripsi hasil kueri Athena saat istirahat dengan kunci (KMS) AWS Key Management Service

  • [CT.CLOUDTRAIL.PR.4] Memerlukan penyimpanan data acara AWS CloudTrail Lake untuk mengaktifkan enkripsi saat istirahat dengan AWS KMS kunci

  • [CT.DAX.PR.2] Memerlukan klaster Amazon DAX untuk menyebarkan node ke setidaknya tiga Availability Zone

  • [CT.EC2.PR.14] Memerlukan volume Amazon EBS yang dikonfigurasi melalui template EC2 peluncuran Amazon untuk mengenkripsi data saat istirahat

  • [CT.EKS.PR.2] Memerlukan klaster Amazon EKS untuk dikonfigurasi dengan enkripsi rahasia menggunakan AWS kunci Layanan Manajemen Kunci (KMS)

  • [CT.ELASTICLOADBALANCING.PR.14] Memerlukan Network Load Balancer agar penyeimbangan beban lintas zona diaktifkan

  • [CT.ELASTICLOADBALANCING.PR.15] Mengharuskan grup target Elastic Load Balancing v2 tidak secara eksplisit menonaktifkan penyeimbangan beban lintas zona

  • [CT.EMR.PR.1] Mengharuskan konfigurasi keamanan Amazon EMR (EMR) dikonfigurasi untuk mengenkripsi data saat istirahat di Amazon S3

  • [CT.EMR.PR.2] Mengharuskan konfigurasi keamanan Amazon EMR (EMR) dikonfigurasi untuk mengenkripsi data saat istirahat di Amazon S3 dengan kunci AWS KMS

  • [CT.EMR.PR.3] Mengharuskan konfigurasi keamanan Amazon EMR (EMR) dikonfigurasi dengan enkripsi disk lokal volume EBS menggunakan kunci AWS KMS

  • [CT.EMR.PR.4] Mengharuskan konfigurasi keamanan Amazon EMR (EMR) dikonfigurasi untuk mengenkripsi data dalam perjalanan

  • [CT.GLUE.PR.1] Memerlukan pekerjaan AWS Glue untuk memiliki konfigurasi keamanan terkait

  • [CT.GLUE.PR.2] Memerlukan konfigurasi keamanan AWS Glue untuk mengenkripsi data di target AWS Amazon S3 menggunakan kunci KMS

  • [CT.KMS.PR.2] Mengharuskan kunci AWS KMS asimetris dengan bahan kunci RSA yang digunakan untuk enkripsi memiliki panjang kunci lebih besar dari 2048 bit

  • [CT.KMS.PR.3] Memerlukan kebijakan AWS KMS utama untuk memiliki pernyataan yang membatasi pembuatan AWS KMS hibah untuk layanan AWS

  • [CT.LAMBDA.PR.4] Memerlukan izin AWS Lambda lapisan untuk memberikan akses ke AWS organisasi atau AWS akun tertentu

  • [CT.LAMBDA.PR.5] Memerlukan URL AWS Lambda fungsi untuk menggunakan otentikasi AWS berbasis IAM

  • [CT.LAMBDA.PR.6] Memerlukan kebijakan CORS URL AWS Lambda fungsi untuk membatasi akses ke asal tertentu

  • [CT.NEPTUNE.PR.4] Memerlukan cluster DB Amazon Neptunus untuk mengaktifkan ekspor log CloudWatch Amazon untuk log audit

  • [CT.NEPTUNE.PR.5] Memerlukan cluster DB Amazon Neptunus untuk mengatur periode retensi cadangan lebih besar dari atau sama dengan tujuh hari

  • [CT.REDSHIFT.PR.9] Mengharuskan grup parameter cluster Amazon Redshift dikonfigurasi untuk menggunakan Secure Sockets Layer (SSL) untuk enkripsi data dalam perjalanan

Kontrol proaktif baru ini tersedia dalam komersial di Wilayah AWS mana AWS Control Tower tersedia. Untuk detail selengkapnya tentang kontrol ini, lihat Kontrol proaktif. Untuk detail selengkapnya tentang tempat kontrol tersedia, lihat Batasan kontrol.

Kontrol detektif baru

Kontrol baru ditambahkan ke Standar yang Dikelola Layanan Security Hub: AWS Control Tower. Kontrol ini membantu Anda meningkatkan postur tata kelola Anda. Mereka bertindak sebagai bagian dari Security Hub Service-Managed Standard: AWS Control Tower, setelah Anda mengaktifkannya di OU tertentu.

  • [SH.Athena.1] Kelompok kerja Athena harus dienkripsi saat istirahat

  • [SH.Neptune.1] Cluster DB Neptunus harus dienkripsi saat istirahat

  • [SH.Neptune.2] Cluster DB Neptunus harus menerbitkan log audit ke Log CloudWatch

  • [SH.Neptune.3] Snapshot cluster Neptunus DB seharusnya tidak bersifat publik

  • [SH.Neptune.4] Cluster DB Neptunus harus mengaktifkan perlindungan penghapusan

  • [SH.Neptune.5] Cluster DB Neptunus harus mengaktifkan cadangan otomatis

  • [SH.Neptune.6] Snapshot cluster DB Neptunus harus dienkripsi saat istirahat

  • [SH.Neptune.7] Cluster DB Neptunus harus mengaktifkan otentikasi basis data IAM

  • [SH.Neptune.8] Cluster DB Neptunus harus dikonfigurasi untuk menyalin tag ke snapshot

  • [SH.RDS.27] Cluster RDS DB harus dienkripsi saat istirahat

Kontrol AWS Security Hub detektif baru tersedia di sebagian besar Wilayah AWS tempat AWS Control Tower tersedia. Untuk detail selengkapnya tentang kontrol ini, lihat Kontrol yang berlaku untuk Service-Managed Standard: AWS Control Tower. Untuk detail selengkapnya tentang di mana kontrol tersedia, lihatKeterbatasan kontrol.

Jenis drift baru dilaporkan: akses tepercaya dinonaktifkan

September 21, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

Setelah menyiapkan zona landing zone AWS Control Tower, Anda dapat menonaktifkan akses tepercaya ke AWS Control Tower AWS Organizations. Namun, hal itu menyebabkan penyimpangan.

Dengan tipe drift yang dinonaktifkan akses tepercaya, AWS Control Tower memberi tahu Anda kapan jenis drift ini terjadi, sehingga Anda dapat memperbaiki zona landing zone AWS Control Tower. Untuk informasi selengkapnya, lihat Jenis penyimpangan tata kelola.

Empat tambahan Wilayah AWS

September 13, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower sekarang tersedia di Asia Pasifik (Hyderabad), Eropa (Spanyol dan Zurich), dan Timur Tengah (UEA).

Jika Anda sudah menggunakan AWS Control Tower dan ingin memperluas fitur tata kelola ke Wilayah ini di akun Anda, buka halaman Pengaturan di dasbor AWS Control Tower, pilih Wilayah, lalu perbarui landing zone Anda. Setelah pembaruan landing zone, Anda harus memperbarui semua akun yang diatur oleh AWS Control Tower, untuk membawa akun Anda dan OUs berada di bawah tata kelola di Wilayah baru. Untuk informasi selengkapnya, lihat Tentang Pembaruan.

Untuk daftar lengkap Wilayah di mana AWS Control Tower tersedia, lihat Wilayah AWS Tabel.

AWS Control Tower tersedia di Wilayah Tel Aviv

Agustus 28, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower mengumumkan ketersediaan di Wilayah Israel (Tel Aviv).

Jika Anda sudah menggunakan AWS Control Tower dan ingin memperluas fitur tata kelola ke Wilayah ini di akun Anda, buka halaman Pengaturan di dasbor AWS Control Tower, pilih Wilayah, lalu perbarui landing zone Anda. Setelah pembaruan landing zone, Anda harus memperbarui semua akun yang diatur oleh AWS Control Tower, untuk membawa akun Anda dan OUs berada di bawah tata kelola di Wilayah baru. Untuk informasi selengkapnya, lihat Tentang Pembaruan.

Untuk daftar lengkap Wilayah di mana AWS Control Tower tersedia, lihat Wilayah AWS Tabel.

AWS Control Tower meluncurkan 28 kontrol proaktif baru

Juli 24, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower menambahkan 28 kontrol proaktif baru, untuk membantu Anda mengelola AWS lingkungan.

Kontrol proaktif meningkatkan kemampuan tata kelola AWS Control Tower di seluruh AWS lingkungan multi-akun Anda, dengan memblokir sumber daya yang tidak sesuai sebelum disediakan. Kontrol ini membantu mengelola AWS layanan seperti Amazon CloudWatch, Amazon Neptunus, Amazon, dan ElastiCache AWS Step Functions Amazon DocumentDB. Kontrol baru membantu Anda memenuhi tujuan kontrol seperti membuat pencatatan dan pemantauan, mengenkripsi data saat istirahat, atau meningkatkan ketahanan.

Berikut adalah daftar lengkap kontrol baru:

  • [CT.APPSYNC.PR.1] Memerlukan GraphQL API agar logging diaktifkan AWS AppSync

  • [CT.CLOUDWATCH.PR.1] Memerlukan alarm CloudWatch Amazon agar tindakan dikonfigurasi untuk status alarm

  • [CT.CLOUDWATCH.PR.2] Memerlukan grup log CloudWatch Amazon untuk dipertahankan setidaknya selama satu tahun

  • [CT.CLOUDWATCH.PR.3] Memerlukan grup log CloudWatch Amazon untuk dienkripsi saat istirahat dengan kunci KMS AWS

  • [CT.CLOUDWATCH.PR.4] Memerlukan tindakan alarm Amazon untuk diaktifkan CloudWatch

  • [CT.DOCUMENTDB.PR.1] Memerlukan cluster Amazon DocumentDB untuk dienkripsi saat istirahat

  • [CT.DOCUMENTDB.PR.2] Memerlukan cluster Amazon DocumentDB agar pencadangan otomatis diaktifkan

  • [CT.DYNAMODB.PR.2] Memerlukan tabel Amazon DynamoDB untuk dienkripsi saat istirahat menggunakan kunci AWS KMS

  • [CT. EC2.PR.13] Memerlukan EC2 instans Amazon agar pemantauan terperinci diaktifkan

  • [CT.EKS.PR.1] Memerlukan klaster Amazon EKS untuk dikonfigurasi dengan akses publik yang dinonaktifkan ke titik akhir server API Kubernetes cluster

  • [CT.ELASTICACHE.PR.1] Memerlukan Amazon untuk cluster Redis agar cadangan otomatis diaktifkan ElastiCache

  • [CT.ELASTICACHE.PR.2] Memerlukan ElastiCache Amazon untuk cluster Redis agar upgrade versi minor otomatis diaktifkan

  • [CT.ELASTICACHE.PR.3] Memerlukan ElastiCache Amazon untuk grup replikasi Redis agar failover otomatis diaktifkan

  • [CT.ELASTICACHE.PR.4] Memerlukan grup replikasi Amazon ElastiCache agar enkripsi diaktifkan saat istirahat

  • [CT.ELASTICACHE.PR.5] Memerlukan ElastiCache Amazon untuk grup replikasi Redis agar enkripsi saat transit diaktifkan

  • [CT.ELASTICACHE.PR.6] Memerlukan cluster cache Amazon ElastiCache untuk menggunakan grup subnet khusus

  • [CT.ELASTICACHE.PR.7] Memerlukan grup replikasi ElastiCache Amazon dari versi Redis sebelumnya untuk memiliki otentikasi Redis AUTH

  • [CT.ELASTICBEANSTALK.PR.3] Memerlukan lingkungan Elastic Beanstalk untuk memiliki konfigurasi logging AWS

  • [CT.LAMBDA.PR.3] Memerlukan AWS Lambda fungsi untuk berada di Amazon Virtual Private Cloud (VPC) yang dikelola pelanggan

  • [CT.NEPTUNE.PR.1] Memerlukan cluster DB Amazon Neptunus untuk memiliki otentikasi basis data (IAM) AWS Identity and Access Management

  • [CT.NEPTUNE.PR.2] Memerlukan cluster DB Amazon Neptunus agar perlindungan penghapusan diaktifkan

  • [CT.NEPTUNE.PR.3] Memerlukan cluster DB Amazon Neptunus agar enkripsi penyimpanan diaktifkan

  • [CT.REDSHIFT.PR.8] Memerlukan cluster Amazon Redshift untuk dienkripsi

  • [CT.S3.PR.9] Mengharuskan bucket Amazon S3 mengaktifkan Kunci Objek S3

  • [CT.S3.PR.10] Memerlukan bucket Amazon S3 agar enkripsi sisi server dikonfigurasi menggunakan kunci AWS KMS

  • [CT.S3.PR.11] Memerlukan bucket Amazon S3 agar versi diaktifkan

  • [CT.STEPFUNCTIONS.PR.1] Memerlukan mesin status agar logging diaktifkan AWS Step Functions

  • [CT.STEPFUNCTIONS.PR.2] Memerlukan mesin status agar penelusuran diaktifkan AWS Step Functions AWS X-Ray

Kontrol proaktif di AWS Control Tower diimplementasikan melalui AWS CloudFormation Hooks, yang mengidentifikasi dan memblokir sumber daya yang tidak sesuai sebelum menyediakannya. AWS CloudFormation Kontrol proaktif melengkapi kemampuan kontrol preventif dan detektif yang ada di AWS Control Tower.

Kontrol proaktif baru ini tersedia di semua Wilayah AWS tempat AWS Control Tower tersedia. Untuk detail selengkapnya tentang kontrol ini, lihat Kontrol proaktif.

AWS Control Tower menghentikan dua kontrol

Juli 18, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower melakukan tinjauan rutin terhadap kontrol keamanannya untuk memastikan bahwa kontrol tersebut mutakhir dan masih dianggap sebagai praktik terbaik. Dua kontrol berikut telah ditinggalkan, efektif 18 Juli 2023, dan mereka akan dihapus dari pustaka kontrol, efektif 18 Agustus 2023. Anda tidak dapat lagi mengaktifkan kontrol ini pada unit organisasi mana pun. Anda dapat memilih untuk menonaktifkan kontrol ini sebelum tanggal penghapusan.

  • [SH.S3.4] Bucket S3 harus mengaktifkan enkripsi sisi server

  • [CT.S3.PR.7] Memerlukan bucket Amazon S3 agar enkripsi sisi server dikonfigurasi

Alasan penghentian

Mulai Januari 2023, Amazon S3 mengonfigurasi enkripsi default pada semua bucket tidak terenkripsi baru dan yang sudah ada untuk menerapkan enkripsi sisi server dengan kunci terkelola S3 (SSE-S3) sebagai tingkat dasar enkripsi untuk objek baru yang diunggah ke bucket ini. Tidak ada perubahan yang dilakukan pada konfigurasi enkripsi default untuk bucket yang sudah ada yang sudah memiliki enkripsi SSE-S3 atau sisi server dengan AWS kunci Key Management Service (AWS KMS) (SSE-KMS) yang dikonfigurasi.

AWS Control Tower landing zone versi 3.2

Juni 16, 2023

(Pembaruan diperlukan untuk landing zone AWS Control Tower ke versi 3.2. Untuk informasi, lihatPerbarui landing zone).

AWS Control Tower landing zone versi 3.2 menghadirkan kontrol yang merupakan bagian dari Standar yang AWS Security Hub Dikelola Layanan: AWS Control Tower ke ketersediaan umum. Ini memperkenalkan kemampuan untuk melihat status drift kontrol yang merupakan bagian dari standar ini di konsol AWS Control Tower.

Pembaruan ini mencakup peran terkait layanan (SLR) baru, yang disebut Menara. AWSService RoleFor AWSControl Peran ini membantu AWS Control Tower dengan membuat Aturan EventBridge Terkelola, yang disebut AWSControlTowerManagedRuledi setiap akun anggota. Aturan terkelola ini mengumpulkan peristiwa AWS Security Hub Finding, dari AWS Control Tower dapat menentukan penyimpangan kontrol.

Aturan ini adalah aturan terkelola pertama yang dibuat oleh AWS Control Tower. Aturan ini tidak digunakan oleh tumpukan; itu diterapkan langsung dari file. EventBridge APIs Anda dapat melihat aturan di EventBridge konsol, atau dengan cara EventBridge APIs. Jika managed-by bidang diisi, itu akan menampilkan prinsip layanan AWS Control Tower.

Sebelumnya, AWS Control Tower AWSControlTowerExecutionberperan untuk melakukan operasi di akun anggota. Peran dan aturan baru ini lebih selaras dengan prinsip praktik terbaik yang memungkinkan hak istimewa paling sedikit saat melakukan operasi di lingkungan AWS multi-akun. Peran baru ini memberikan izin cakupan ke bawah yang secara khusus memungkinkan: membuat aturan terkelola di akun anggota, mempertahankan aturan terkelola, menerbitkan pemberitahuan keamanan melalui SNS, dan memverifikasi penyimpangan. Untuk informasi selengkapnya, lihat AWSServiceRoleForAWSControlMenara.

Pembaruan landing zone 3.2 juga menyertakan StackSet sumber daya baru di akun manajemenBP_BASELINE_SERVICE_LINKED_ROLE, yang awalnya menyebarkan peran terkait layanan.

Saat melaporkan drift kontrol Security Hub (di landing zone 3.2 dan yang lebih baru), AWS Control Tower menerima pembaruan status harian dari Security Hub. Meskipun kontrol aktif di setiap Wilayah yang diatur, AWS Control Tower mengirimkan peristiwa AWS Security Hub Finding ke Wilayah home AWS Control Tower saja. Untuk informasi selengkapnya, lihat Security Hub mengontrol pelaporan drift.

Perbarui ke kontrol Tolak Wilayah

Versi landing zone ini juga menyertakan pembaruan ke kontrol Region Deny.

Layanan global dan APIs ditambahkan

  • AWS Billing and Cost Management (billing:*)

  • AWS CloudTrail (cloudtrail:LookupEvents) untuk memungkinkan visibilitas peristiwa global di akun anggota.

  • AWS Penagihan Konsolidasi () consolidatedbilling:*

  • AWS Aplikasi Mobile Console Manajemen (consoleapp:*)

  • AWS Tingkat Gratis (freetier:*)

  • AWS Invoicing (invoicing:*)

  • AWS IQ () iq:*

  • AWS Pemberitahuan Pengguna (notifications:*)

  • AWS Kontak Pemberitahuan Pengguna (notifications-contacts:*)

  • Amazon Payments (payments:*)

  • AWS Pengaturan Pajak (tax:*)

Layanan global dan APIs dihapus

  • Dihapus s3:GetAccountPublic karena ini bukan tindakan yang valid.

  • Dihapus s3:PutAccountPublic karena ini bukan tindakan yang valid.

AWS Control Tower menangani akun berdasarkan ID

Juni 14, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower kini membuat dan mengelola akun yang Anda buat di AWS Account Factory dengan melacak ID akun, bukan alamat email akun.

Saat menyediakan akun, pemohon akun selalu harus memiliki CreateAccount dan izin. DescribeCreateAccountStatus Set izin ini adalah bagian dari peran Admin, dan diberikan secara otomatis ketika pemohon mengasumsikan peran Admin. Jika Anda mendelegasikan izin ke akun penyediaan, Anda mungkin perlu menambahkan izin ini secara langsung untuk pemohon akun.

Kontrol detektif Security Hub tambahan tersedia di pustaka kontrol AWS Control Tower

12 Juni 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower telah menambahkan sepuluh kontrol AWS Security Hub detektif baru ke perpustakaan kontrol AWS Control Tower. Kontrol baru ini menargetkan layanan seperti API Gateway AWS CodeBuild, Amazon Elastic Compute Cloud (EC2), Amazon Elastic Load Balancer, Amazon Redshift, Amazon SageMaker AI, dan. AWS WAF Kontrol baru ini membantu Anda meningkatkan postur tata kelola dengan memenuhi tujuan kontrol, seperti Menetapkan pencatatan dan pemantauan, Batasi akses jaringan, dan Enkripsi data saat istirahat.

Kontrol ini bertindak sebagai bagian dari Standar yang Dikelola Layanan Security Hub: AWS Control Tower, setelah Anda mengaktifkannya di OU tertentu.

  • [SH.Account.1] Informasi kontak keamanan harus disediakan untuk Akun AWS

  • [SH. APIGateway.8] Rute API Gateway harus menentukan jenis otorisasi

  • [SH. APIGateway.9] Pencatatan akses harus dikonfigurasi untuk Tahapan API Gateway V2

  • [SH. CodeBuild.3] CodeBuild Log S3 harus dienkripsi

  • [SH. EC2.25] template EC2 peluncuran tidak boleh menetapkan publik IPs ke antarmuka jaringan

  • [SH.ELB.1] Application Load Balancer harus dikonfigurasi untuk mengalihkan semua permintaan HTTP ke HTTPS

  • [Sh.Redshift.10] Cluster Redshift harus dienkripsi saat istirahat

  • [SH. SageMaker.2] Instans notebook SageMaker AI harus diluncurkan dalam VPC khusus

  • [SH. SageMaker.3] Pengguna seharusnya tidak memiliki akses root ke instance notebook SageMaker AI

  • [SH.WAF.10] ACL WAFV2 web harus memiliki setidaknya satu aturan atau kelompok aturan

Kontrol AWS Security Hub detektif baru tersedia di semua Wilayah AWS tempat AWS Control Tower tersedia. Untuk detail selengkapnya tentang kontrol ini, lihat Kontrol yang berlaku untuk Service-Managed Standard: AWS Control Tower.

AWS Control Tower menerbitkan tabel metadata kontrol

Juni 7, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower sekarang menyediakan tabel lengkap metadata kontrol sebagai bagian dari dokumentasi yang diterbitkan. Saat bekerja dengan kontrol APIs, Anda dapat mencari ControliDentifier API masing-masing kontrol, yang merupakan ARN unik yang terkait dengan masing-masing. Wilayah AWS Tabel mencakup kerangka kerja dan tujuan kontrol yang dicakup oleh setiap kontrol. Sebelumnya, informasi ini hanya tersedia di konsol.

Tabel juga menyertakan metadata untuk kontrol Security Hub yang merupakan bagian dari AWS Security Hub Service-Managed Standard:AWS Control Tower. Untuk detail selengkapnya, lihat Tabel metadata kontrol.

Untuk daftar singkat pengidentifikasi kontrol, dan beberapa contoh penggunaan, lihat Pengenal sumber daya untuk APIs dan kontrol.

Dukungan Terraform untuk Kustomisasi Account Factory

Juni 6, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower menawarkan dukungan wilayah tunggal untuk Terraform melalui Kustomisasi Account Factory (AFC). Dimulai dengan rilis ini, Anda dapat menggunakan AWS Control Tower dan Service Catalog bersama-sama, untuk menentukan cetak biru akun AFC, di open source Terraform. Anda dapat menyesuaikan yang baru dan yang sudah ada Akun AWS, sebelum Anda menyediakan sumber daya di AWS Control Tower. Secara default, fitur ini memungkinkan Anda untuk menerapkan dan memperbarui akun, dengan Terraform, di Wilayah home AWS Control Tower Anda.

Cetak biru akun menjelaskan sumber daya dan konfigurasi spesifik yang diperlukan saat disediakan. Akun AWS Anda dapat menggunakan cetak biru sebagai templat untuk membuat beberapa Akun AWS dalam skala besar.

Untuk memulai, gunakan Mesin Referensi Terraform aktif. GitHub Mesin Referensi mengonfigurasi kode dan infrastruktur yang diperlukan agar mesin open source Terraform dapat bekerja dengan Service Catalog. Proses penyiapan satu kali ini membutuhkan waktu beberapa menit. Setelah itu, Anda dapat menentukan persyaratan akun khusus Anda di Terraform, lalu menerapkan akun Anda dengan alur kerja pabrik akun AWS Control Tower yang terdefinisi dengan baik. Pelanggan yang lebih suka bekerja dengan Terraform dapat menggunakan kustomisasi akun AWS Control Tower dalam skala besar dengan AFC, dan mendapatkan akses langsung ke setiap akun setelah disediakan.

Untuk mempelajari cara membuat kustomisasi ini, lihat Membuat Produk dan Memulai Terraform open source di dokumentasi Service Catalog. Fitur ini tersedia di semua Wilayah AWS tempat AWS Control Tower tersedia.

AWS Manajemen mandiri IAM Identity Center tersedia untuk landing zone

Juni 6, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower kini mendukung pilihan penyedia identitas opsional untuk landing zone AWS Control Tower, yang dapat Anda konfigurasikan selama penyiapan atau pembaruan. Secara default, landing zone dipilih untuk menggunakan AWS IAM Identity Center, selaras dengan panduan praktik terbaik yang ditentukan dalam Mengatur Lingkungan Anda Menggunakan Beberapa Akun. AWS Anda sekarang memiliki tiga alternatif:

  • Anda dapat menerima default dan mengizinkan AWS Control Tower menyiapkan dan mengelola Pusat Identitas AWS IAM untuk Anda.

  • Anda dapat memilih untuk mengelola sendiri Pusat AWS Identitas IAM, untuk mencerminkan kebutuhan bisnis spesifik Anda.

  • Anda dapat secara opsional membawa dan mengelola sendiri penyedia identitas pihak ketiga, dengan menghubungkannya melalui IAM Identity Center, jika diperlukan. Anda harus menggunakan opsionalitas penyedia identitas jika lingkungan peraturan Anda mengharuskan Anda untuk menggunakan penyedia tertentu, atau jika Anda beroperasi di Wilayah AWS tempat Pusat Identitas AWS IAM tidak tersedia.

Untuk informasi selengkapnya, lihat Panduan Pusat Identitas IAM.

Pemilihan penyedia identitas di tingkat akun tidak didukung. Fitur ini hanya berlaku untuk landing zone secara keseluruhan. Opsionalitas penyedia identitas AWS Control Tower tersedia di semua Wilayah AWS tempat AWS Control Tower tersedia.

AWS Control Tower menangani tata kelola campuran untuk OUs

Juni 1, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

Dengan rilis ini, AWS Control Tower mencegah kontrol diterapkan ke unit organisasi (OU), jika OU tersebut dalam keadaan tata kelola campuran. Tata kelola campuran terjadi di OU jika akun tidak diperbarui setelah AWS Control Tower memperluas tata kelola ke yang baru Wilayah AWS, atau menghapus tata kelola. Rilis ini membantu Anda menjaga akun anggota OU tersebut dalam kepatuhan yang seragam. Untuk informasi selengkapnya, lihat Hindari tata kelola campuran saat mengonfigurasi Wilayah.

Tersedia kontrol proaktif tambahan

19 Mei 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower menambahkan 28 kontrol proaktif baru untuk membantu Anda mengatur lingkungan multi-akun dan memenuhi tujuan kontrol tertentu, seperti enkripsi data saat istirahat, atau membatasi akses jaringan. Kontrol proaktif diimplementasikan dengan AWS CloudFormation kait yang memeriksa sumber daya Anda sebelum disediakan. Kontrol baru dapat membantu mengatur AWS layanan seperti Amazon OpenSearch Service, Amazon EC2 Auto Scaling, Amazon AI, Amazon SageMaker API Gateway, dan Amazon Relational Database Service (RDS).

Kontrol proaktif didukung di semua iklan di Wilayah AWS mana AWS Control Tower tersedia.

OpenSearch Layanan Amazon

  • [CT.OPENSEARCH.PR.1] Memerlukan domain Elasticsearch untuk mengenkripsi data saat istirahat

  • [CT.OPENSEARCH.PR.2] Memerlukan domain Elasticsearch untuk dibuat di VPC Amazon yang ditentukan pengguna

  • [CT.OPENSEARCH.PR.3] Memerlukan domain Elasticsearch untuk mengenkripsi data yang dikirim antar node

  • [CT.OPENSEARCH.PR.4] Memerlukan domain Elasticsearch untuk mengirim log kesalahan ke Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.5] Memerlukan domain Elasticsearch untuk mengirim log audit ke Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.6] Memerlukan domain Elasticsearch untuk memiliki kesadaran zona dan setidaknya tiga node data

  • [CT.OPENSEARCH.PR.7] Memerlukan domain Elasticsearch untuk memiliki setidaknya tiga node master khusus

  • [CT.OPENSEARCH.PR.8] Memerlukan domain Layanan Elasticsearch untuk menggunakan .2 TLSv1

  • [CT.OPENSEARCH.PR.9] Memerlukan domain Layanan Amazon OpenSearch untuk mengenkripsi data saat istirahat

  • [CT.OPENSEARCH.PR.10] Memerlukan domain Layanan Amazon untuk dibuat di OpenSearch VPC Amazon yang ditentukan pengguna

  • [CT.OPENSEARCH.PR.11] Memerlukan domain Layanan OpenSearch Amazon untuk mengenkripsi data yang dikirim antar node

  • [CT.OPENSEARCH.PR.12] Memerlukan domain Layanan Amazon untuk mengirim log kesalahan ke OpenSearch Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.13] Memerlukan domain Layanan Amazon untuk mengirim log audit ke OpenSearch Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.14] Memerlukan domain Layanan OpenSearch Amazon untuk memiliki kesadaran zona dan setidaknya tiga node data

  • [CT.OPENSEARCH.PR.15] Memerlukan domain Layanan Amazon OpenSearch untuk menggunakan kontrol akses berbutir halus

  • [CT.OPENSEARCH.PR.16] Memerlukan domain Layanan Amazon untuk menggunakan .2 OpenSearch TLSv1

EC2 Auto Scaling Amazon

  • [CT.AUTOSCALING.PR.1] Memerlukan grup Auto EC2 Scaling Amazon untuk memiliki beberapa Availability Zone

  • [CT.AUTOSCALING.PR.2] Memerlukan konfigurasi peluncuran grup EC2 Auto Scaling Amazon untuk mengonfigurasi instans Amazon EC2 IMDSv2

  • [CT.AUTOSCALING.PR.3] Memerlukan konfigurasi peluncuran Amazon Auto EC2 Scaling untuk memiliki batas respons metadata single-hop

  • [CT.AUTOSCALING.PR.4] Memerlukan grup Amazon Auto EC2 Scaling yang terkait dengan Amazon Elastic Load Balancing (ELB) agar pemeriksaan kesehatan ELB diaktifkan

  • [CT.AUTOSCALING.PR.5] Mengharuskan konfigurasi peluncuran grup Auto EC2 Scaling Amazon tidak memiliki instans Amazon dengan alamat IP publik EC2

  • [CT.AUTOSCALING.PR.6] Memerlukan grup Amazon Auto EC2 Scaling untuk menggunakan beberapa jenis instans

  • [CT.AUTOSCALING.PR.8] Memerlukan grup Amazon Auto EC2 Scaling agar templat peluncuran dikonfigurasi EC2

Amazon SageMaker AI

  • [CT.SAGEMAKER.PR.1] Memerlukan instance notebook Amazon AI untuk mencegah akses internet langsung SageMaker

  • [CT.SAGEMAKER.PR.2] Memerlukan instance notebook Amazon AI untuk digunakan dalam SageMaker VPC Amazon khusus

  • [CT.SAGEMAKER.PR.3] Memerlukan instance notebook Amazon SageMaker AI agar akses root tidak diizinkan

Amazon API Gateway

  • [CT.APIGATEWAY.PR.5] Memerlukan Amazon API Gateway V2 Websocket dan rute HTTP untuk menentukan jenis otorisasi

Amazon Relational Database Service (RDS)

  • [CT.RDS.PR.25] Memerlukan kluster basis data Amazon RDS agar logging dikonfigurasi

Untuk informasi selengkapnya, lihat Kontrol proaktif.

Kontrol EC2 proaktif Amazon yang diperbarui

2 Mei 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower telah memperbarui dua kontrol proaktif: CT.EC2.PR.3 and CT.EC2.PR.4.

Untuk yang diperbarui CT.EC2.PR.3 kontrol, AWS CloudFormation penyebaran apa pun yang mereferensikan daftar awalan untuk sumber daya grup keamanan diblokir dari penerapan, kecuali untuk port 80 atau 443.

Untuk yang diperbarui CT.EC2.PR.4 kontrol, setiap AWS CloudFormation penyebaran yang mereferensikan daftar awalan untuk sumber daya grup keamanan diblokir jika port 3389, 20, 23, 110, 143, 3306, 8080, 1433, 9200, 9300, 25, 445, 135, 21, 1434, 4333, 5432, 5500, 5601, 22, 3000, 5000, 8088, 8888.

Tujuh tambahan Wilayah AWS tersedia

April 19, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

AWS Control Tower sekarang tersedia dalam tujuh tambahan Wilayah AWS: California Utara (San Francisco), Asia Pasifik (Hong Kong, Jakarta, dan Osaka), Eropa (Milan), Timur Tengah (Bahrain), dan Afrika (Cape Town). Wilayah tambahan untuk AWS Control Tower ini, yang disebut Wilayah keikutsertaan, tidak aktif secara default, kecuali Wilayah AS Barat (California Utara), yang aktif secara default.

Beberapa kontrol di AWS Control Tower tidak beroperasi di beberapa tambahan ini Wilayah AWS jika AWS Control Tower tersedia, karena Wilayah tersebut tidak mendukung fungsionalitas dasar yang diperlukan. Untuk detailnya, lihat Keterbatasan kontrol.

Di antara wilayah-wilayah baru ini, CFCT tidak tersedia di Asia Pasifik (Jakarta dan Osaka). Ketersediaan di tempat lain Wilayah AWS tidak berubah.

Untuk informasi selengkapnya tentang cara AWS Control Tower mengelola batasan Wilayah dan kontrol, lihatPertimbangan untuk mengaktifkan AWS Wilayah keikutsertaan.

VPCe Titik akhir yang diperlukan oleh AFT tidak tersedia di Wilayah Timur Tengah (Bahrain). Pelanggan yang menerapkan AFT di Wilayah ini diharuskan untuk menerapkan dengan parameter. aft_vpc_endpoints=false Untuk informasi selengkapnya, lihat parameter dalam file README.

AWS Control Tower VPCs memiliki dua Availability Zone di Wilayah AS Barat (California Utara)us-west-1, karena keterbatasan di Amazon EC2. Di AS Barat (California Utara), enam subnet dibagi menjadi dua Availability Zone. Untuk informasi selengkapnya, lihat Sekilas tentang AWS Control Tower dan VPCs.

AWS Control Tower menambahkan izin baru AWSControlTowerServiceRolePolicy yang memungkinkan AWS Control Tower melakukan panggilan keEnableRegion,ListRegions, dan GetRegionOptStatus APIs diimplementasikan oleh layanan Manajemen AWS Akun, agar tambahan ini Wilayah AWS tersedia untuk akun bersama Anda di landing zone (Akun manajemen, akun arsip Log, akun Audit) dan akun anggota OU Anda. Untuk informasi selengkapnya, lihat Kebijakan terkelola untuk AWS Control Tower.

Account Factory untuk penelusuran permintaan kustomisasi akun Terraform (AFT)

Februari 16, 2023

AFT mendukung penelusuran permintaan kustomisasi akun. Setiap kali Anda mengirimkan permintaan kustomisasi akun, AFT menghasilkan token penelusuran unik yang melewati mesin AWS Step Functions status kustomisasi AFT, yang mencatat token sebagai bagian dari pelaksanaannya. Anda dapat menggunakan kueri wawasan Amazon CloudWatch Logs untuk mencari rentang stempel waktu dan mengambil token permintaan. Akibatnya, Anda dapat melihat muatan yang menyertai token, sehingga Anda dapat melacak permintaan penyesuaian akun Anda di seluruh alur kerja AFT. Untuk informasi selengkapnya tentang AFT, lihat Ikhtisar AWS Control Tower Account Factory untuk Terraform. Untuk informasi tentang CloudWatch Log dan Step Functions, lihat berikut ini:

AWS Control Tower landing zone versi 3.1

9 Februari 2023

(Pembaruan diperlukan untuk landing zone AWS Control Tower ke versi 3.1. Untuk informasi, lihatPerbarui landing zone)

AWS Control Tower landing zone versi 3.1 mencakup pembaruan berikut:

  • Dengan rilis ini, AWS Control Tower menonaktifkan pencatatan akses yang tidak perlu untuk bucket logging akses Anda, yang merupakan bucket Amazon S3 tempat log akses disimpan di akun Arsip Log, sambil terus mengaktifkan pencatatan akses server untuk bucket S3. Rilis ini juga mencakup pembaruan pada kontrol Region Deny yang memungkinkan tindakan tambahan untuk layanan global, seperti Dukungan Paket dan AWS Artifact.

  • Penonaktifan pencatatan akses server untuk bucket logging akses AWS Control Tower menyebabkan Security Hub membuat temuan untuk bucket logging akses akun Arsip Log, karena AWS Security Hub aturan, pencatatan akses server bucket [S3.9] S3 harus diaktifkan. Sejalan dengan Security Hub, sebaiknya Anda menekan temuan khusus ini, seperti yang dinyatakan dalam deskripsi Security Hub dari aturan ini. Untuk informasi tambahan, lihat informasi tentang temuan yang ditekan.

  • Pencatatan akses untuk bucket logging (reguler) di akun Arsip Log tidak berubah di versi 3.1. Sejalan dengan praktik terbaik, peristiwa akses untuk bucket tersebut direkam sebagai entri log di bucket logging akses. Untuk informasi selengkapnya tentang pencatatan akses, lihat Permintaan logging menggunakan pencatatan akses server di dokumentasi Amazon S3.

  • Kami membuat pembaruan kontrol Region Deny. Pembaruan ini memungkinkan tindakan oleh lebih banyak layanan global. Untuk detail SCP ini, lihat Tolak akses AWS berdasarkan permintaan Wilayah AWS dan Kontrol yang meningkatkan perlindungan residensi data.

    Layanan global menambahkan:

    • AWS Account Management (account:*)

    • AWS Aktifkan (activate:*)

    • AWS Artifact (artifact:*)

    • AWS Billing Conductor (billingconductor:*)

    • AWS Compute Optimizer (compute-optimizer:*)

    • AWS Data Pipeline (datapipeline:GetAccountLimits)

    • AWS Device Farm(devicefarm:*)

    • AWS Marketplace (discovery-marketplace:*)

    • Amazon ECR () ecr-public:*

    • AWS License Manager (license-manager:ListReceivedLicenses)

    • AWS Lightsail () lightsail:Get*

    • Penjelajah Sumber Daya AWS (resource-explorer-2:*)

    • Amazon S3 (s3:CreateMultiRegionAccessPoint,,s3:GetBucketPolicyStatus) s3:PutMultiRegionAccessPointPolicy

    • AWS Savings Plans (savingsplans:*)

    • Pusat Identitas IAM () sso:*

    • AWS Support App (supportapp:*)

    • Dukungan Rencana (supportplans:*)

    • AWS Keberlanjutan () sustainability:*

    • AWS Resource Groups Tagging API (tag:GetResources)

    • AWS Marketplace Wawasan Vendor () vendor-insights:ListEntitledSecurityProfiles

Kontrol proaktif umumnya tersedia

Januari 24, 2023

(Tidak diperlukan pembaruan untuk landing zone AWS Control Tower.)

Kontrol proaktif opsional, yang sebelumnya diumumkan dalam status pratinjau, sekarang tersedia secara umum. Kontrol ini disebut sebagai proaktif karena mereka memeriksa sumber daya Anda — sebelum sumber daya digunakan — untuk menentukan apakah sumber daya baru mematuhi kontrol yang diaktifkan di lingkungan Anda. Untuk informasi selengkapnya, lihat Kontrol komprehensif membantu dalam penyediaan dan manajemen AWS sumber daya.