Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
gennaio - dicembre 2023
Nel 2023, AWS Control Tower ha rilasciato i seguenti aggiornamenti:
Transizione al nuovo AWS Service Catalog Tipo di prodotto esterno (fase 3)
Transizione al nuovo AWS Service Catalog Tipo di prodotto esterno (fase 2)
AWSControl Tower annuncia i controlli per favorire la sovranità digitale
AWSControl Tower supporta l'etichettatura per i controlli abilitati
-
AWSControl Tower disponibile nella regione Asia Pacifico (Melbourne)
-
Transizione al nuovo AWS Service Catalog Tipo di prodotto esterno (fase 1)
-
Nuovo tipo di deriva segnalato: accesso affidabile disabilitato
-
Supporto Terraform per la personalizzazione di Account Factory
-
AWS IAMAutogestione dell'Identity Center disponibile per la landing zone
-
Tracciamento delle richieste di personalizzazione dell'account Account Factory for Terraform (AFT)
Transizione al nuovo AWS Service Catalog Tipo di prodotto esterno (fase 3)
14 dicembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower non supporta più Terraform Open Source come tipo di prodotto (blueprint) durante la creazione di nuovi Account AWS. Per ulteriori informazioni e per istruzioni sull'aggiornamento dei blueprint del tuo account, consulta la sezione Transizione al AWS Service Catalog Tipo di prodotto esterno.
Se non aggiorni i blueprint del tuo account per utilizzare il tipo di prodotto esterno, puoi solo aggiornare o chiudere gli account che hai fornito utilizzando i blueprint Terraform Open Source.
AWSControl Tower landing zone versione 3.3
14 dicembre 2023
(Aggiornamento richiesto per la landing zone di AWS Control Tower alla versione 3.3. Per informazioni, vedereAggiorna la tua landing zone).
Aggiornamenti alla policy sui bucket S3 nell'account AWS Control Tower Audit
Abbiamo modificato la policy dei bucket di Amazon S3 Audit che AWS Control Tower implementa negli account, in modo che sia necessario soddisfare una aws:SourceOrgID condizione per qualsiasi autorizzazione di scrittura. Con questa versione, AWS i servizi hanno accesso alle risorse dell'utente solo quando la richiesta proviene dall'organizzazione o dall'unità organizzativa (OU).
Puoi utilizzare la chiave di aws:SourceOrgID condizione e impostare il valore dell'ID dell'organizzazione nell'elemento condition della tua policy sui bucket S3. Questa condizione garantisce che CloudTrail solo i log possano scrivere i log per conto degli account all'interno dell'organizzazione nel bucket S3; impedisce ai CloudTrail log esterni all'organizzazione di scrivere nel bucket Control Tower AWS S3.
Abbiamo apportato questa modifica per correggere una potenziale vulnerabilità di sicurezza, senza influire sulla funzionalità dei carichi di lavoro esistenti. Per visualizzare la politica aggiornata, consulta. Policy sui bucket di Amazon S3 nell'account di controllo
Per ulteriori informazioni sulla nuova chiave di condizione, consulta la IAM documentazione e il post del IAM blog intitolato "Use scalable controls for AWS servizi che accedono alle tue risorse».
Aggiornamenti alla politica nella AWS Config SNSargomento
Abbiamo aggiunto la nuova chiave di aws:SourceOrgID condizione alla politica per il AWS Config SNSARGOMENTO. Per visualizzare la politica aggiornata, vedere The AWS Config SNSpolitica dell'argomento.
Aggiornamenti alla landing zone Region Deny control
-
Rimosso.
discovery-marketplace:Questa azione è coperta dall'aws-marketplace:*esenzione. -
Aggiunto
quicksight:DescribeAccountSubscription
Aggiornato AWS CloudFormation modello
Abbiamo aggiornato il AWS CloudFormation il modello per lo stack denominato BASELINE-CLOUDTRAIL-MASTER in modo che non mostri la deriva quando AWS KMS la crittografia non viene utilizzata.
Transizione al nuovo AWS Service Catalog Tipo di prodotto esterno (fase 2)
7 dicembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
HashiCorp ha aggiornato la licenza Terraform. Di conseguenza, AWS Service Catalog ha modificato il supporto per i prodotti Terraform Open Source e ha fornito i prodotti a un nuovo tipo di prodotto, denominato External.
Per evitare interruzioni dei carichi di lavoro esistenti e AWS risorse nei tuoi account, segui i passaggi di transizione AWS di Control Tower in Transition to the AWS Service Catalog Tipo di prodotto esterno entro il 14 dicembre 2023.
AWSControl Tower annuncia i controlli per favorire la sovranità digitale
27 novembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ne annuncia 65 nuovi AWS-controlli gestiti, per aiutarvi a soddisfare i requisiti di sovranità digitale. Con questa versione, puoi scoprire questi controlli sotto un nuovo gruppo di sovranità digitale nella console AWS Control Tower. Puoi utilizzare questi controlli per prevenire azioni e rilevare le modifiche delle risorse relative alla residenza dei dati, alla restrizione granulare dell'accesso, alla crittografia e alle funzionalità di resilienza. Questi controlli sono progettati per semplificare la gestione dei requisiti su larga scala. Per ulteriori informazioni sui controlli della sovranità digitale, consulta Controlli che migliorano la protezione della sovranità digitale.
Ad esempio, puoi scegliere di abilitare i controlli che aiutano a far rispettare le tue strategie di crittografia e resilienza, come Require an AWS AppSync APIcache per abilitare la crittografia in transito o Richiedi un AWS Network Firewall da implementare su più zone di disponibilità. Puoi anche personalizzare la regione AWS Control Tower Deny Control per applicare le restrizioni regionali più adatte alle tue esigenze aziendali specifiche.
Questa versione offre funzionalità di negazione della regione AWS Control Tower ben avanzate. Puoi applicare un nuovo Region deny control parametrizzato a livello di unità organizzativa, per una maggiore granularità della governance, mantenendo al contempo una governance aggiuntiva della regione a livello di landing zone. Questo Region Deny Control personalizzabile consente di applicare le restrizioni regionali più adatte alle esigenze aziendali specifiche. Per ulteriori informazioni sul nuovo Region deny control configurabile, vedere Region deny control applicato all'unità organizzativa.
Come nuovo strumento del nuovo sistema Region Deny Enhancement, questa versione ne include uno nuovo APIUpdateEnabledControl, che consente di ripristinare i controlli abilitati alle impostazioni predefinite. Ciò API è particolarmente utile nei casi d'uso in cui è necessario risolvere rapidamente la deriva o garantire a livello di programmazione che un controllo non si trovi in uno stato di deriva. Per ulteriori informazioni sul nuovoAPI, consulta il AWS Control Tower API Reference
Nuovi controlli proattivi
-
CT.APIGATEWAY.PR.6: richiedi un REST dominio Amazon API Gateway per utilizzare una policy di sicurezza che specifichi una versione minima del TLS protocollo di .2 TLSv1
-
CT.APPSYNC.PR.2: Richiede un AWS AppSync GraphQL API da configurare con visibilità privata
-
CT.APPSYNC.PR.3: Richiedi che un AWS AppSync GraphQL non API è autenticato con chiavi API
-
CT.APPSYNC.PR.4: Richiede un AWS AppSync APICache GraphQL per abilitare la crittografia in transito.
-
CT.APPSYNC.PR.5: Richiede un AWS AppSync APICache GraphQL per abilitare la crittografia a riposo.
-
CT.AUTOSCALING.PR.9: Richiede un EBS volume Amazon configurato tramite una configurazione di avvio di Amazon EC2 Auto Scaling per crittografare i dati inattivi
-
CT.AUTOSCALING.PR.10: richiede solo un gruppo Amazon EC2 Auto Scaling per l'uso AWS Tipi di istanze Nitro quando si sovrascrive un modello di avvio
-
CT.AUTOSCALING.PR.11: Richiede solo AWS Tipi di istanze Nitro che supportano la crittografia del traffico di rete tra istanze da aggiungere a un gruppo Amazon Auto EC2 Scaling, quando si sovrascrive un modello di avvio
-
CT.DAX.PR.3: Richiede un cluster DynamoDB Accelerator per crittografare i dati in transito con Transport Layer Security () TLS
-
CT.DMS.PR.2: Richiede un AWS Database Migration Service (DMS) Endpoint per crittografare le connessioni per gli endpoint di origine e di destinazione
-
CT.EC2.PR.15: richiedi un'EC2istanza Amazon per utilizzare un AWS Tipo di istanza Nitro quando si crea dal tipo di
AWS::EC2::LaunchTemplaterisorsa -
CT.EC2.PR.16: richiedi un'EC2istanza Amazon per utilizzare un AWS Tipo di istanza Nitro se creata utilizzando il tipo di
AWS::EC2::Instancerisorsa -
CT.EC2.PR.17: richiede un host EC2 dedicato Amazon per utilizzare un tipo di istanza AWS Nitro
-
CT.EC2.PR.18: Richiedi a una EC2 flotta Amazon di sostituire solo i modelli di lancio con AWS Tipi di istanze Nitro
-
CT.EC2.PR.19: Richiedi a un'EC2istanza Amazon di utilizzare un tipo di istanza nitro che supporti la crittografia in transito tra istanze quando viene creata utilizzando il tipo di risorsa
AWS::EC2::Instance -
CT.EC2.PR.20: Richiedi a una EC2 flotta Amazon di sostituire solo i modelli di lancio con AWS Tipi di istanze Nitro che supportano la crittografia in transito tra istanze
-
CT.ELASTICACHE.PR.8: Richiedi un gruppo di ElastiCache replica Amazon di versioni Redis successive per attivare l'autenticazione RBAC
-
CT.MQ.PR.1: Richiedi un broker Amazon MQ ActiveMQ per utilizzare la modalità di distribuzione attiva/standby per un'elevata disponibilità
-
CT.MQ.PR.2: Richiedi un broker Amazon MQ Rabbit MQ per utilizzare la modalità cluster Multi-AZ per un'elevata disponibilità
-
CT.MSK.PR.1: Richiedi un cluster Amazon Managed Streaming for Apache MSK Kafka () per applicare la crittografia in transito tra i nodi del broker del cluster
-
CT.MSK.PR.2: Richiedi che un cluster Amazon Managed Streaming for Apache MSK Kafka () sia configurato con disabilitato PublicAccess
-
CT.NETWORK-FIREWALL.PR.5: Richiedi un AWS Firewall di rete: firewall da implementare su più zone di disponibilità
-
CT.RDS.PR.26: Richiede un proxy Amazon RDS DB per richiedere connessioni Transport Layer Security (TLS)
-
CT.RDS.PR.27: Richiede un gruppo di parametri del cluster Amazon RDS DB per richiedere connessioni Transport Layer Security (TLS) per i tipi di motore supportati
-
CT.RDS.PR.28: richiede un gruppo di parametri Amazon RDS DB per richiedere connessioni Transport Layer Security (TLS) per i tipi di motore supportati
-
CT.RDS.PR.29: Richiedi che un RDS cluster Amazon non sia configurato per essere accessibile pubblicamente tramite la proprietà PubliclyAccessible ''
-
CT.RDS.PR.30: Richiedi che un'istanza di RDS database Amazon abbia la crittografia a riposo configurata per utilizzare una KMS chiave specificata per i tipi di motore supportati
-
CT.S3.PR.12: Richiedi che un punto di accesso Amazon S3 disponga di una configurazione Block Public Access (BPA) con tutte le opzioni impostate su true
Nuovi controlli preventivi
-
CT.APPSYNC.PV.1 Richiedi che un AWS AppSync GraphQL API è configurato con visibilità privata
-
CT.EC2.PV.1 Richiedi la creazione di EBS uno snapshot Amazon da un volume crittografato EC2
-
CT.EC2.PV.2 Richiedi che un EBS volume Amazon collegato sia configurato per crittografare i dati inattivi
-
CT.EC2.PV.3 Richiedi che uno EBS snapshot Amazon non possa essere ripristinato pubblicamente
-
CT.EC2.PV.4 Richiedi che Amazon EBS Direct APIs non venga chiamato
-
CT.EC2.PV.5 Impedisci l'uso dell'importazione e dell'esportazione di Amazon EC2 VM
-
CT.EC2.PV.6 Impedisci l'uso di Amazon e azioni obsolete EC2 RequestSpotFleet RequestSpotInstances API
-
CT.KMS.PV.1 Richiedi un AWS KMS politica chiave per avere una dichiarazione che limiti la creazione di AWS KMS sovvenzioni a AWS services
-
CT.KMS.PV.2 Richiedi che un AWS KMS la chiave asimmetrica con materiale RSA chiave utilizzato per la crittografia non ha una lunghezza di 2048 bit
-
CT.KMS.PV.3 Richiedete che un AWS KMS la chiave è configurata con il controllo di sicurezza del blocco della politica di bypass abilitato
-
CT.KMS.PV.4 Richiedi che un AWS KMS la chiave gestita dal cliente (CMK) è configurata con materiale chiave proveniente da AWS Cloud HSM
-
CT.KMS.PV.5 Richiedi che un AWS KMS la chiave gestita dal cliente (CMK) è configurata con materiale chiave importato
-
CT.KMS.PV.6 Richiedi che un AWS KMS la chiave gestita dal cliente (CMK) è configurata con materiale chiave proveniente da un archivio di chiavi esterno () XKS
-
CT.LAMBDA.PV.1 Richiede un AWS Lambda funzione URL da usare AWS IAMautenticazione basata
-
CT.LAMBDA.PV.2 Richiede un AWS Lambda funzione URL da configurare per l'accesso solo ai responsabili interni Account AWS
-
CT. MULTISERVICE.PV.1: nega l'accesso a AWS in base alla richiesta Regione AWS per un'unità organizzativa
I nuovi controlli investigativi che migliorano la vostra posizione di governance della sovranità digitale fanno parte del AWS Security Hub AWSControl Tower Standard con gestione dei servizi.
Nuovi controlli investigativi
-
SH.ACM.2: RSA i certificati gestiti da ACM devono utilizzare una lunghezza di chiave di almeno 2.048 bit
-
SH.AppSync.5: AWS AppSync GraphQL non APIs deve essere autenticato con chiavi API
-
SH.CloudTrail.6: Assicurati che il bucket S3 utilizzato per archiviare CloudTrail i log non sia accessibile al pubblico:
-
SH.DMS.9: DMS gli endpoint devono utilizzare SSL
-
SH.DocumentDB.3: le istantanee manuali dei cluster di Amazon DocumentDB non devono essere pubbliche
-
SH.DynamoDB.3: i cluster DynamoDB Accelerator DAX () devono essere crittografati quando sono inattivi
-
SH.EC2.23: I EC2 Transit Gateway non dovrebbero accettare automaticamente le richieste di allegati VPC
-
SH.EKS.1: gli endpoint EKS del cluster non devono essere accessibili al pubblico
-
SH.ElastiCache.3: i gruppi di ElastiCache replica devono avere il failover automatico abilitato
-
SH.ElastiCache.4: i gruppi di ElastiCache replica avrebbero dovuto essere abilitati encryption-at-rest
-
SH.ElastiCache.5: i gruppi di ElastiCache replica avrebbero dovuto essere abilitati encryption-in-transit
-
SH.ElastiCache.6: i gruppi di ElastiCache replica delle versioni precedenti di Redis dovrebbero avere Redis abilitato AUTH
-
SH.EventBridge.3: i bus di eventi EventBridge personalizzati devono avere una politica basata sulle risorse allegata
-
SH.KMS.4: AWS KMS la rotazione dei tasti deve essere abilitata
-
SH.Lambda.3: Le funzioni Lambda devono trovarsi in un VPC
-
SH.MQ.5: i broker ActiveMQ devono utilizzare la modalità di distribuzione attiva/standby
-
SH.MQ.6: I broker RabbitMQ devono utilizzare la modalità di distribuzione cluster
-
SH.MSK.1: MSK i cluster devono essere crittografati durante il transito tra i nodi broker
-
SH.RDS.12: IAM l'autenticazione deve essere configurata per i cluster RDS
-
SH.RDS.15: i cluster RDS DB devono essere configurati per più zone di disponibilità
-
SH.S3.17: I bucket S3 devono essere crittografati quando sono inattivi con AWS KMS keys
Per ulteriori informazioni sui controlli aggiunti al AWS Security Hub Service-Managed Standard AWS Control Tower vedi i controlli che si applicano a Service-Managed Standard: Control Tower AWS nel AWS Security Hub documentazione.
Per un elenco di Regioni AWS che non supportano determinati controlli che fanno parte del AWS Security Hub Service Managed Standard AWS Control Tower, vedere Regioni non supportate.
Nuovo controllo configurabile per Region Deny a livello di unità organizzativa
CT. MULTISERVICE.PV.1: Questo controllo accetta parametri per specificare le regioni, i IAM principali e le azioni esentati consentiti, a livello di unità organizzativa, anziché per l'intera landing zone della Control TowerAWS. È un controllo preventivo, implementato dalla policy di controllo del servizio (). SCP
Per ulteriori informazioni, consulta Region Deny Control applicato all'unità organizzativa.
La UpdateEnabledControl API
Questa versione AWS di Control Tower aggiunge il seguente API supporto per i controlli:
-
La versione aggiornata
EnableControlAPI può configurare controlli configurabili. -
L'aggiornamento
GetEnabledControlAPI mostra i parametri configurati su un controllo abilitato. -
Il nuovo
UpdateEnabledControlAPI può modificare i parametri su un controllo abilitato.
Per ulteriori informazioni, consulta il AWS Control Tower APIReference.
AWSControl Tower supporta la landing zone APIs
26 novembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ora supporta la configurazione delle landing zone e l'utilizzo del lancioAPIs. Puoi creare, aggiornare, ottenere, elencare, ripristinare ed eliminare le zone di atterraggio utilizzandoAPIs.
Quanto segue ti APIs consente di configurare e gestire la tua landing zone in modo programmatico utilizzando AWS CloudFormation o il AWS CLI.
AWSControl Tower supporta quanto segue APIs per le zone di atterraggio:
-
CreateLandingZone—Questa API chiamata crea una landing zone utilizzando una versione di landing zone e un file manifest. -
GetLandingZoneOperation—Questa API chiamata restituisce lo stato di un'operazione di landing zone specificata. -
GetLandingZone—Questa API chiamata restituisce dettagli sulla landing zone specificata, tra cui la versione, il file manifest e lo status. -
UpdateLandingZone—Questa API chiamata aggiorna la versione della landing zone o il file manifest. -
ListLandingZone—Questa API chiamata restituisce un landing zone identifier (ARN) per una configurazione di landing zone nell'account di gestione. -
ResetLandingZone—Questa API chiamata ripristina la landing zone ai parametri specificati nell'ultimo aggiornamento, che può riparare la deriva. Se la landing zone non è stata aggiornata, questa chiamata reimposta la landing zone ai parametri specificati al momento della creazione. -
DeleteLandingZone—Questa API chiamata disattiva la landing zone.
Per iniziare con la landing zoneAPIs, consulta ilInizia a usare AWS Control Tower utilizzando APIs.
AWSControl Tower supporta l'etichettatura per i controlli abilitati
10 novembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ora supporta il tagging delle risorse per i controlli abilitati, dalla console AWS Control Tower o tramite. APIs È possibile aggiungere, rimuovere o elencare i tag per i controlli abilitati.
Con la versione seguenteAPIs, puoi configurare i tag per i controlli che abiliti in AWS Control Tower. I tag ti aiutano a gestire, identificare, organizzare, cercare e filtrare le risorse. È possibile creare tag per suddividere le risorse in categorie in base a scopo, proprietari, ambiente o ad altri criteri.
AWSControl Tower supporta quanto segue APIs per la codifica di controllo:
-
TagResource—Questa API chiamata aggiunge tag ai controlli abilitati in AWS Control Tower. -
UntagResource—Questa API chiamata rimuove i tag dai controlli abilitati in AWS Control Tower. -
ListTagsForResource—Questa API chiamata restituisce i tag per i controlli abilitati in AWS Control Tower.
AWSI controlli Control Tower APIs sono disponibili in Regioni AWS dove è disponibile AWS Control Tower. Per un elenco completo di Regioni AWS in cui è disponibile AWS Control Tower, vedi AWS Tabella delle regioni
AWSControl Tower disponibile nella regione Asia Pacifico (Melbourne)
3 novembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower è disponibile nella regione Asia Pacifico (Melbourne).
Se utilizzi già AWS Control Tower e desideri estenderne le funzionalità di governance a questa regione nei tuoi account, vai alla pagina Impostazioni nella dashboard della AWS Control Tower, seleziona la Regione e quindi aggiorna la tua landing zone. Dopo l'aggiornamento della landing zone, devi aggiornare tutti gli account governati da AWS Control Tower, per riportare i tuoi OUs account e riordinarli nella nuova Regione. Per ulteriori informazioni, consulta Informazioni sugli aggiornamenti.
Per un elenco completo delle regioni in cui è disponibile AWS Control Tower, consulta Regione AWS
Tabella
Transizione al nuovo AWS Service Catalog Tipo di prodotto esterno (fase 1)
31 ottobre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
HashiCorp ha aggiornato la licenza Terraform. Di conseguenza, AWS Service Catalog supporto aggiornato per i prodotti Terraform Open Source e ha fornito prodotti a un nuovo tipo di prodotto, denominato External.
AWSControl Tower non supporta le personalizzazioni di Account Factory che si basano su AWS Service Catalog Tipo di prodotto esterno. Per evitare interruzioni dei carichi di lavoro esistenti e AWS risorse nei tuoi account, segui i passaggi di transizione della AWS Control Tower nell'ordine suggerito, entro il 14 dicembre 2023:
-
Aggiorna il tuo Terraform Reference Engine esistente per AWS Service Catalog per includere il supporto per i tipi di prodotto External e Terraform Open Source. Per istruzioni sull'aggiornamento di Terraform Reference Engine, consulta il AWS Service Catalog GitHub
Deposito. -
Andare su AWS Service Catalog e duplica qualsiasi progetto Terraform Open Source esistente per utilizzare il nuovo tipo di prodotto esterno. Non terminate i progetti Terraform Open Source esistenti.
-
Continua a utilizzare i tuoi progetti Terraform Open Source esistenti per creare o aggiornare gli account in AWS Control Tower.
Nuovo controllo disponibile API
14 ottobre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ora supporta un componente aggiuntivo API che puoi utilizzare per implementare e gestire i controlli AWS della Control Tower, su larga scala. Per ulteriori informazioni sul AWS controllo Control TowerAPIs, vedere il APIReference.
AWSControl Tower ha aggiunto un nuovo controlloAPI.
-
GetEnabledControl—La API chiamata fornisce dettagli su un controllo abilitato.
Abbiamo anche aggiornato questoAPI:
ListEnabledControls—Questa API chiamata elenca i controlli abilitati da AWS Control Tower sull'unità organizzativa specificata e gli account in essa contenuti. Ora restituisce informazioni aggiuntive in un EnabledControlSummary oggetto.
Con questeAPIs, è possibile eseguire diverse operazioni comuni a livello di codice. Per esempio:
-
Ottieni un elenco di tutti i controlli che hai abilitato dalla libreria dei controlli AWS Control Tower.
-
Per ogni controllo abilitato, puoi ottenere informazioni sulle regioni in cui il controllo è supportato, sull'identificatore del controllo (ARN), sullo stato di deriva del controllo e sul riepilogo dello stato del controllo.
AWSI controlli Control Tower APIs sono disponibili in Regioni AWS dove è disponibile AWS Control Tower. Per un elenco completo di Regioni AWS in cui è disponibile AWS Control Tower, vedi AWS Tabella delle regioni
AWSControl Tower aggiunge controlli aggiuntivi
5 ottobre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower annuncia nuovi controlli proattivi e investigativi.
I controlli proattivi in AWS Control Tower sono implementati mediante AWS CloudFormation Hooks, che prima identificavano e bloccavano le risorse non conformi AWS CloudFormation li fornisce. I controlli proattivi completano le funzionalità di controllo preventivo e di rilevamento esistenti in AWS Control Tower.
Nuovi controlli proattivi
-
[CT.ATHENA.PR.1] Richiedi un gruppo di lavoro Amazon Athena per crittografare i risultati delle query Athena a riposo
-
[CT.ATHENA.PR.2] Richiedi a un gruppo di lavoro Amazon Athena di crittografare i risultati delle query Athena inattivi con un AWS Key Management Service chiave () KMS
-
[CT.CLOUDTRAIL.PR.4] Richiede un AWS CloudTrail Lake Event Data Store per abilitare la crittografia a riposo con un AWS KMS Chiave
-
[CT.DAX.PR.2] Richiedi un DAX cluster Amazon per distribuire i nodi in almeno tre zone di disponibilità
-
[CT.EC2.PR.14] Richiedi un EBS volume Amazon configurato tramite un modello di EC2 avvio Amazon per crittografare i dati inattivi
-
[CT.EKS.PR.2] Richiedi che un EKS cluster Amazon sia configurato con crittografia segreta utilizzando AWS Chiavi del servizio di gestione delle chiavi (KMS)
-
[CT.ELASTICLOADBALANCING.PR.14] Richiede un Network Load Balancer per attivare il bilanciamento del carico tra zone
-
[CT.ELASTICLOADBALANCING.PR.15] Richiede che un gruppo target Elastic Load Balancing v2 non disabiliti esplicitamente il bilanciamento del carico tra zone
-
[CT.EMR.PR.1] Richiede che una configurazione di sicurezza Amazon EMR (EMR) sia configurata per crittografare i dati inattivi in Amazon S3
-
[CT.EMR.PR.2] Richiedi che una configurazione di sicurezza Amazon EMR (EMR) sia configurata per crittografare i dati inattivi in Amazon S3 con un AWS KMS Chiave
-
[CT.EMR.PR.3] Richiede che una configurazione di sicurezza Amazon EMR (EMR) sia configurata con la crittografia del disco locale del EBS volume utilizzando un AWS KMS Chiave
-
[CT.EMR.PR.4] Richiedi che una configurazione di sicurezza Amazon EMR (EMR) sia configurata per crittografare i dati in transito
-
[CT.GLUE.PR.1] Richiede un AWS Glue job per avere una configurazione di sicurezza associata
-
[CT.GLUE.PR.2] Richiede un AWS Glue la configurazione di sicurezza per crittografare i dati nei target Amazon S3 utilizzando AWS KMSchiavi
-
[CT.KMS.PR.2] Richiedi che un AWS KMS la chiave asimmetrica con materiale RSA chiave utilizzato per la crittografia ha una lunghezza della chiave superiore a 2048 bit
-
[CT.KMS.PR.3] Richiede un AWS KMS politica chiave per avere una dichiarazione che limiti la creazione di AWS KMS sovvenzioni a AWS services
-
[CT.LAMBDA.PR.4] Richiede un AWS Lambda autorizzazione al livello per concedere l'accesso a un AWS organizzazione o specifica AWS account
-
[CT.LAMBDA.PR.5] Richiedi un AWS Lambda funzione URL da usare AWS IAMautenticazione basata
-
[CT.LAMBDA.PR.6] Richiede un AWS Lambda URLCORSpolitica delle funzioni per limitare l'accesso a origini specifiche
-
[CT.NEPTUNE.PR.4] Richiede un cluster Amazon Neptune DB per abilitare l'esportazione dei log di CloudWatch Amazon per i log di controllo
-
[CT.NEPTUNE.PR.5] Richiedi un cluster Amazon Neptune DB per impostare un periodo di conservazione dei backup maggiore o uguale a sette giorni
-
[CT.REDSHIFT.PR.9] Richiede che un gruppo di parametri del cluster Amazon Redshift sia configurato per utilizzare Secure Sockets Layer (SSL) per la crittografia dei dati in transito
Questi nuovi controlli proattivi sono disponibili in commercio Regioni AWS dove è disponibile AWS Control Tower. Per maggiori dettagli su questi controlli, consulta Controlli proattivi. Per maggiori dettagli su dove sono disponibili i controlli, consulta Limitazioni dei controlli.
Nuovi controlli investigativi
Sono stati aggiunti nuovi controlli al Security Hub Service-Managed Standard: AWS Control Tower. Questi controlli ti aiutano a migliorare la tua posizione di governance. Fanno parte del Security Hub Service-Managed Standard: AWS Control Tower, dopo averli abilitati su una specifica unità organizzativa.
-
[SH.Athena.1] I gruppi di lavoro Athena devono essere crittografati quando sono inattivi
-
[SH.Neptune.1] I cluster Neptune DB devono essere crittografati a riposo
-
[SH.Neptune.2] I cluster Neptune DB devono pubblicare i log di controllo su Logs CloudWatch
-
[SH.Neptune.3] Le istantanee del cluster Neptune DB non devono essere pubbliche
-
[SH.Neptune.4] I cluster Neptune DB devono avere la protezione da eliminazione abilitata
-
[SH.Neptune.5] I cluster Neptune DB dovrebbero avere i backup automatici abilitati
-
[SH.Neptune.6] Le istantanee del cluster Neptune DB devono essere crittografate a riposo
-
[SH.Neptune.7] I cluster Neptune DB devono avere l'autenticazione del database abilitata IAM
-
[SH.Neptune.8] I cluster Neptune DB devono essere configurati per copiare i tag nelle istantanee
-
[SH.RDS.27] I cluster RDS DB devono essere crittografati quando sono inattivi
Il nuovo AWS Security Hub i controlli investigativi sono disponibili nella maggior parte Regioni AWS dove è disponibile AWS Control Tower. Per maggiori dettagli su questi controlli, consulta Controlli che si applicano a Service-Managed Standard: AWS Control Tower. Per ulteriori dettagli su dove sono disponibili i controlli, consulta. Limitazioni di controllo
Nuovo tipo di deriva segnalato: accesso affidabile disabilitato
21 settembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
Dopo aver configurato la landing zone AWS della Control Tower, puoi disabilitare l'accesso affidabile alla AWS Control Tower in AWS Organizations. Tuttavia, così facendo si provoca una deriva.
Con il tipo di deriva affidabile con accesso disabilitato, AWS Control Tower ti avvisa quando si verifica questo tipo di deriva, così puoi riparare la zona di atterraggio della AWS Control Tower. Per ulteriori informazioni, consulta Types of governance drift.
Quattro aggiuntivi Regioni AWS
13 settembre 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower è ora disponibile in Asia Pacifico (Hyderabad), Europa (Spagna e Zurigo) e Medio Oriente (UAE).
Se utilizzi già AWS Control Tower e desideri estenderne le funzionalità di governance a questa regione nei tuoi account, vai alla pagina Impostazioni nella dashboard della AWS Control Tower, seleziona la Regione e quindi aggiorna la tua landing zone. Dopo l'aggiornamento della landing zone, devi aggiornare tutti gli account governati da AWS Control Tower, per riportare i tuoi OUs account e riordinarli nella nuova Regione. Per ulteriori informazioni, consulta Informazioni sugli aggiornamenti.
Per un elenco completo delle regioni in cui è disponibile AWS Control Tower, consulta Regione AWS
Tabella
AWSControl Tower disponibile nella regione di Tel Aviv
28 agosto 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower annuncia la disponibilità nella regione di Israele (Tel Aviv).
Se utilizzi già AWS Control Tower e desideri estenderne le funzionalità di governance a questa regione nei tuoi account, vai alla pagina Impostazioni nella dashboard della AWS Control Tower, seleziona la Regione e quindi aggiorna la tua landing zone. Dopo l'aggiornamento della landing zone, devi aggiornare tutti gli account governati da AWS Control Tower, per riportare i tuoi OUs account e riordinarli nella nuova Regione. Per ulteriori informazioni, consulta Informazioni sugli aggiornamenti.
Per un elenco completo delle regioni in cui è disponibile AWS Control Tower, consulta Regione AWS
Tabella
AWSControl Tower lancia 28 nuovi controlli proattivi
24 luglio 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower sta aggiungendo 28 nuovi controlli proattivi, per aiutarvi a gestire i AWS ambiente.
I controlli proattivi migliorano le capacità di governance di AWS Control Tower su più account AWS ambienti, bloccando le risorse non conformi prima che vengano fornite. Questi controlli aiutano a gestire AWS servizi come Amazon CloudWatch, Amazon Neptune, Amazon, ElastiCache AWS Step Functions e Amazon DocumentDB. I nuovi controlli ti aiutano a raggiungere obiettivi di controllo come stabilire la registrazione e il monitoraggio, crittografare i dati inattivi o migliorare la resilienza.
Ecco un elenco completo dei nuovi controlli:
-
[CT. APPSYNC.PR.1] Richiede un AWS AppSync GraphQL API per abilitare la registrazione
-
[CT. CLOUDWATCH.PR.1] Richiedi che un CloudWatch allarme Amazon abbia un'azione configurata per lo stato di allarme
-
[CT. CLOUDWATCH.PR.2] Richiedere la conservazione di un gruppo di CloudWatch log Amazon per almeno un anno
-
[CT. CLOUDWATCH.PR.3] Richiedi che un gruppo di CloudWatch log Amazon sia crittografato quando è inattivo con un AWS KMSchiave
-
[CT. CLOUDWATCH.PR.4] Richiedi l'attivazione di un'azione di CloudWatch allarme Amazon
-
[CT. DOCUMENTDB.PR.1] Richiede la crittografia di un cluster Amazon DocumentDB a riposo
-
[CT. DOCUMENTDB.PR.2] Richiede un cluster Amazon DocumentDB per abilitare i backup automatici
-
[CT. DYNAMODB.PR.2] Richiedi che una tabella Amazon DynamoDB venga crittografata quando è inattiva utilizzando AWS KMS keys
-
[CT. EC2.PR.13] Richiedi che un'EC2istanza Amazon abbia abilitato il monitoraggio dettagliato
-
[CT. EKS.PR.1] Richiede la configurazione di un EKS cluster Amazon con accesso pubblico disabilitato all'endpoint del server Kubernetes del cluster API
-
[CT. ELASTICACHE.PR.1] Richiedi un cluster Amazon ElastiCache for Redis per attivare i backup automatici
-
[CT. ELASTICACHE.PR.2] Richiedi l'attivazione degli aggiornamenti automatici delle versioni secondarie di un cluster Amazon ElastiCache for Redis
-
[CT. ELASTICACHE.PR.3] Richiede l'attivazione del failover automatico da parte di un gruppo di replica Amazon ElastiCache for Redis
-
[CT. ELASTICACHE.PR.4] Richiedere a un gruppo di ElastiCache replica Amazon di attivare la crittografia a riposo
-
[CT. ELASTICACHE.PR.5] Richiedere a un gruppo di replica Amazon ElastiCache for Redis di attivare la crittografia in transito
-
[CT. ELASTICACHE.PR.6] Richiedi un cluster di ElastiCache cache Amazon per utilizzare un gruppo di sottoreti personalizzato
-
[CT. ELASTICACHE.PR.7] Richiedi l'autenticazione Redis di un gruppo di ElastiCache replica Amazon con versioni Redis precedenti AUTH
-
[CT. ELASTICBEANSTALK.PR.3] Richiede un AWS Ambiente Elastic Beanstalk per avere una configurazione di registrazione
-
[CT. LAMBDA.PR.3] Richiede un AWS Lambda la funzione deve trovarsi in un Amazon Virtual Private Cloud () gestito dal cliente VPC
-
[CT. NEPTUNE.PR.1] È necessario disporre di un cluster Amazon Neptune DB AWS Identity and Access Management (IAM) autenticazione del database
-
[CT. NEPTUNE.PR.2] Richiede un cluster Amazon Neptune DB per abilitare la protezione da eliminazione
-
[CT. NEPTUNE.PR.3] Richiede un cluster Amazon Neptune DB per abilitare la crittografia dello storage
-
[CT. REDSHIFT.PR.8] Richiedi la crittografia di un cluster Amazon Redshift
-
[CT.S3.PR.9] Richiede che un bucket Amazon S3 abbia S3 Object Lock attivato
-
[CT.S3.PR.10] Richiede un bucket Amazon S3 per configurare la crittografia lato server utilizzando AWS KMS keys
-
[CT.S3.PR.11] Richiede un bucket Amazon S3 per abilitare il controllo delle versioni
-
[CT. STEPFUNCTIONS.PR.1] Richiede un AWS Step Functions state machine per attivare la registrazione
-
[CT. STEPFUNCTIONS.PR.2] Richiede un AWS Step Functions macchina statale da avere AWS X-Ray tracciamento attivato
I controlli proattivi in AWS Control Tower sono implementati mediante AWS CloudFormation Hooks, che prima identificavano e bloccavano le risorse non conformi AWS CloudFormation li fornisce. I controlli proattivi completano le funzionalità di controllo preventivo e di rilevamento esistenti in AWS Control Tower.
Questi nuovi controlli proattivi sono disponibili in tutti Regioni AWS dove è disponibile AWS Control Tower. Per maggiori dettagli su questi controlli, consulta Controlli proattivi.
AWSControl Tower depreca due controlli
18 luglio 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower effettua revisioni periodiche dei propri controlli di sicurezza per garantire che siano aggiornati e che siano ancora considerati le migliori pratiche. I due controlli seguenti sono obsoleti a partire dal 18 luglio 2023 e verranno rimossi dalla libreria dei controlli a partire dal 18 agosto 2023. Non puoi più abilitare questi controlli su nessuna unità organizzativa. Puoi scegliere di disattivare questi controlli prima della data di rimozione.
-
[SH.S3.4] I bucket S3 devono avere la crittografia lato server abilitata
-
[CT.S3.PR.7] Richiede un bucket Amazon S3 per configurare la crittografia lato server
Motivo della deprecazione
A partire da gennaio 2023, Amazon S3 ha configurato la crittografia predefinita su tutti i bucket non crittografati nuovi ed esistenti per applicare la crittografia lato server con chiavi gestite S3 SSE (-S3) come livello base di crittografia per i nuovi oggetti caricati in questi bucket. Non sono state apportate modifiche alla configurazione di crittografia predefinita per un bucket esistente che aveva già la crittografia -S3 o lato server con SSE AWS Servizio di gestione delle chiavi (AWS KMS) tasti (SSE-KMS) configurati.
AWSControl Tower landing zone versione 3.2
16 giugno 2023
(Aggiornamento richiesto per la landing zone di AWS Control Tower alla versione 3.2. Per informazioni, vedereAggiorna la tua landing zone).
AWSLa versione 3.2 della landing zone di Control Tower include i controlli che fanno parte del AWS Security Hub Service-Managed Standard: AWS Control Tower verso la disponibilità generale. Introduce la possibilità di visualizzare lo stato di deriva dei controlli che fanno parte di questo standard nella console AWS Control Tower.
Questo aggiornamento include un nuovo ruolo collegato al servizio (SLR), chiamato. AWSServiceRoleForAWSControlTower Questo ruolo assiste AWS Control Tower creando una regola EventBridge gestita, denominata AWSControlTowerManagedRulein ogni account membro. Questa regola gestita raccoglie AWS Security Hub La ricerca degli eventi, con AWS Control Tower, può determinare la deriva del controllo.
Questa regola è la prima regola gestita creata da AWS Control Tower. La regola non viene distribuita da uno stack; viene distribuita direttamente da. EventBridge APIs È possibile visualizzare la regola nella EventBridge console o tramite. EventBridge APIs Se il managed-by campo è compilato, mostrerà il principale del servizio AWS Control Tower.
In precedenza, AWS Control Tower aveva il AWSControlTowerExecutionruolo di eseguire operazioni negli account dei membri. Questo nuovo ruolo e questa nuova regola si allineano meglio con il principio delle migliori pratiche di concedere il minimo privilegio quando si eseguono operazioni in un account multiplo AWS ambiente. Il nuovo ruolo fornisce autorizzazioni ridotte che consentono in particolare: creare la regola gestita negli account dei membri, mantenere la regola gestita, pubblicare notifiche di sicurezza e verificare la derivaSNS. Per ulteriori informazioni, consulta AWSServiceRoleForAWSControlTower.
L'aggiornamento landing zone 3.2 include anche una nuova StackSet risorsa nell'account di gestioneBP_BASELINE_SERVICE_LINKED_ROLE, che inizialmente implementa il ruolo collegato ai servizi.
Quando segnala una deriva di controllo del Security Hub (nella landing zone 3.2 e successive), AWS Control Tower riceve un aggiornamento giornaliero dello stato da Security Hub. Sebbene i controlli siano attivi in ogni regione governata, AWS Control Tower invia AWS Security Hub Ricerca di eventi solo nella regione di origine del AWS Control Tower. Per ulteriori informazioni, consulta Security Hub control drift reporting.
Aggiorna il controllo Region Deny
Questa versione della landing zone include anche un aggiornamento del Region Deny control.
Servizi globali e aggiunti APIs
-
AWS Billing and Cost Management (
billing:*) -
AWS CloudTrail (
cloudtrail:LookupEvents) per consentire la visibilità degli eventi globali negli account dei membri. -
AWS Fatturazione consolidata ()
consolidatedbilling:* -
AWS Applicazione mobile per la console di gestione (
consoleapp:*) -
AWS Livello gratuito (
freetier:*) -
Fatturazione AWS (
invoicing:*) -
AWS IQ ()
iq:* -
AWS Notifiche utente ()
notifications:* -
AWS Contatti per le notifiche utente (
notifications-contacts:*) -
Amazon Payments (
payments:*) -
AWS Impostazioni fiscali (
tax:*)
Servizi globali e APIs rimossi
-
Rimossa
s3:GetAccountPublicperché non è un'azione valida. -
Rimossa
s3:PutAccountPublicperché non è un'azione valida.
AWSControl Tower gestisce gli account in base all'ID
14 giugno 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ora crea e gestisce gli account che crei in Account Factory tracciando il AWS l'ID dell'account, anziché l'indirizzo e-mail dell'account.
Quando si effettua il provisioning di un account, il richiedente dell'account deve sempre disporre delle autorizzazioni CreateAccount e delle DescribeCreateAccountStatus autorizzazioni. Questo set di autorizzazioni fa parte del ruolo di amministratore e viene fornito automaticamente quando un richiedente assume il ruolo di amministratore. Se deleghi l'autorizzazione a fornire account, potrebbe essere necessario aggiungere queste autorizzazioni direttamente per i richiedenti dell'account.
Controlli di rilevamento aggiuntivi del Security Hub disponibili nella libreria dei controlli AWS Control Tower
12 giugno 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ne ha aggiunti dieci nuovi AWS Security Hub controlli investigativi alla libreria dei controlli AWS Control Tower. Questi nuovi controlli riguardano servizi come API Gateway, AWS CodeBuild, Amazon Elastic Compute Cloud (EC2), Amazon Elastic Load Balancer, Amazon Redshift, Amazon e SageMaker AWS WAF. Questi nuovi controlli ti aiutano a migliorare la tua posizione di governance soddisfacendo gli obiettivi di controllo, come stabilire la registrazione e il monitoraggio, limitare l'accesso alla rete e crittografare i dati inattivi.
Questi controlli fanno parte del Security Hub Service-Managed Standard: AWS Control Tower, dopo averli abilitati su una specifica unità organizzativa.
-
[Sh.account.1] Le informazioni di contatto di sicurezza devono essere fornite per un Account AWS
-
[SH. APIGateway.8] Le rotte API gateway devono specificare un tipo di autorizzazione
-
[SH. APIGateway.9] La registrazione degli accessi deve essere configurata per API Gateway V2 Stages
-
[SH. CodeBuild.3] I log CodeBuild S3 devono essere crittografati
-
[SH. EC2.25] i modelli di EC2 avvio non devono assegnare interfacce pubbliche IPs alle interfacce di rete
-
[SH. ELB.1] Application Load Balancer deve essere configurato per HTTP reindirizzare tutte le richieste a HTTPS
-
[sh.redshift.10] I cluster Redshift devono essere crittografati a riposo
-
[SH. SageMaker.2] le istanze dei SageMaker notebook devono essere avviate in modo personalizzato VPC
-
[SH. SageMaker.3] Gli utenti non devono avere accesso root alle istanze dei SageMaker notebook
-
[SH. WAF.10] Un WAFV2 Web ACL dovrebbe avere almeno una regola o un gruppo di regole
Il nuovo AWS Security Hub i controlli investigativi sono disponibili in tutti Regioni AWS dove è disponibile AWS Control Tower. Per maggiori dettagli su questi controlli, consulta Controlli che si applicano a Service-Managed Standard: AWS Control Tower.
AWSControl Tower pubblica tabelle di metadati di controllo
7 giugno 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ora fornisce tabelle complete di metadati di controllo come parte della documentazione pubblicata. Quando si lavora con il controlloAPIs, è possibile cercare ogni controllo APIcontrolIdentifier, che è unico ARN associato a ciascuno Regione AWS. Le tabelle includono i framework e gli obiettivi di controllo coperti da ciascun controllo. In precedenza, queste informazioni erano disponibili solo nella console.
Le tabelle includono anche i metadati per i controlli Security Hub che fanno parte del AWS Security Hub Standard gestito dai servizi: AWS Control Tower. Per tutti i dettagli, consulta Tabelle dei metadati di controllo.
Per un elenco abbreviato di identificatori di controllo e alcuni esempi di utilizzo, vedi Identificatori di risorse e controlli. APIs
Supporto Terraform per la personalizzazione di Account Factory
6 giugno 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower offre supporto per una singola regione per Terraform tramite Account Factory Customization (). AFC A partire da questa versione, puoi utilizzare AWS Control Tower e Service Catalog insieme, per definire i progetti AFC degli account, in Terraform open source. Puoi personalizzare il tuo nuovo ed esistente Account AWS, prima di effettuare il provisioning delle risorse in AWS Control Tower. Per impostazione predefinita, questa funzionalità ti consente di distribuire e aggiornare gli account, con Terraform, nella tua regione di origine di AWS Control Tower.
Un modello di account descrive le risorse e le configurazioni specifiche richieste quando un Account AWS viene fornito. È possibile utilizzare il blueprint come modello per crearne di più Account AWS su larga scala.
Per iniziare, usa il motore di riferimento Terraform su GitHub
Per informazioni su come creare queste personalizzazioni, consulta Creazione di prodotti e Introduzione all'open source Terraform nella documentazione del Service Catalog. Questa funzionalità è disponibile in tutti Regioni AWS dove è disponibile AWS Control Tower.
AWS IAMAutogestione dell'Identity Center disponibile per la landing zone
6 giugno 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ora supporta una scelta opzionale di identity provider per una landing zone della AWS Control Tower, che puoi configurare durante la configurazione o l'aggiornamento. Per impostazione predefinita, è abilitato l'utilizzo della landing zone AWS IAMIdentity Center, in linea con le linee guida sulle migliori pratiche definite in Organizing Your AWS Ambiente che utilizza più account. Ora hai tre alternative:
-
È possibile accettare l'impostazione predefinita e consentire a AWS Control Tower di configurare e gestire AWS IAMIdentity Center per te.
-
Puoi scegliere di gestirla autonomamente AWS IAMIdentity Center, per riflettere i tuoi requisiti aziendali specifici.
-
Facoltativamente, puoi utilizzare e gestire autonomamente un provider di identità di terze parti, collegandolo tramite IAM Identity Center, se necessario. È consigliabile utilizzare l'opzione del provider di identità se l'ambiente normativo richiede l'utilizzo di un provider specifico o se si opera in Regioni AWS dove AWS IAMIdentity Center non è disponibile.
Per ulteriori informazioni, consulta IAMGuida all'Identity Center.
La selezione di provider di identità a livello di account non è supportata. Questa funzione si applica solo alla landing zone nel suo insieme. AWSL'opzione del provider di identità Control Tower è disponibile in tutti Regioni AWS dove è disponibile AWS Control Tower.
AWSControl Tower affronta la governance mista per OUs
1 giugno 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
Con questa versione, AWS Control Tower impedisce l'implementazione dei controlli su un'unità organizzativa (OU), se tale unità organizzativa si trova in uno stato di governance mista. La governance mista si verifica in un'unità organizzativa se gli account non vengono aggiornati dopo che AWS Control Tower ha esteso la governance a una nuova Regione AWS o rimuove la governance. Questa versione consente di garantire la conformità uniforme degli account dei membri di tale unità organizzativa. Per ulteriori informazioni, consulta Evita una governance mista durante la configurazione delle regioni.
Sono disponibili controlli proattivi aggiuntivi
19 maggio 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower sta aggiungendo 28 nuovi controlli proattivi per aiutarvi a gestire l'ambiente multi-account e a raggiungere obiettivi di controllo specifici, come la crittografia dei dati inattivi o la limitazione dell'accesso alla rete. I controlli proattivi sono implementati con AWS CloudFormation ganci che controllano le risorse prima che vengano fornite. I nuovi controlli possono aiutare a governare AWS servizi come Amazon OpenSearch Service, Amazon EC2 Auto Scaling, Amazon, Amazon API Gateway e SageMaker Amazon Relational Database Service (). RDS
I controlli proattivi sono supportati in tutte le applicazioni commerciali Regioni AWS dove è disponibile AWS Control Tower.
OpenSearch Servizio Amazon
-
[CT. OPENSEARCH.PR.1] Richiede un dominio Elasticsearch per crittografare i dati inattivi
-
[CT. OPENSEARCH.PR.2] Richiedi la creazione di un dominio Elasticsearch in un Amazon specificato dall'utente VPC
-
[CT. OPENSEARCH.PR.3] Richiede un dominio Elasticsearch per crittografare i dati inviati tra i nodi
-
[CT. OPENSEARCH.PR.4] Richiedi un dominio Elasticsearch per inviare i log degli errori ad Amazon Logs CloudWatch
-
[CT. OPENSEARCH.PR.5] Richiedi un dominio Elasticsearch per inviare i log di controllo ad Amazon Logs CloudWatch
-
[CT. OPENSEARCH.PR.6] Richiede che un dominio Elasticsearch disponga del riconoscimento delle zone e di almeno tre nodi dati
-
[CT. OPENSEARCH.PR.7] Richiedi che un dominio Elasticsearch abbia almeno tre nodi master dedicati
-
[CT. OPENSEARCH.PR.8] Richiede un dominio Elasticsearch Service da utilizzare .2 TLSv1
-
[CT. OPENSEARCH.PR.9] Richiedi un dominio Amazon OpenSearch Service per crittografare i dati inattivi
-
[CT. OPENSEARCH.PR.10] Richiedi la creazione di un dominio Amazon OpenSearch Service in un Amazon specificato dall'utente VPC
-
[CT. OPENSEARCH.PR.11] Richiedi un dominio Amazon OpenSearch Service per crittografare i dati inviati tra i nodi
-
[CT. OPENSEARCH.PR.12] Richiedi un dominio Amazon OpenSearch Service per inviare i log degli errori ad Amazon Logs CloudWatch
-
[CT. OPENSEARCH.PR.13] Richiedi un dominio Amazon OpenSearch Service per inviare i log di controllo ad Amazon Logs CloudWatch
-
[CT. OPENSEARCH.PR.14] Richiedi che un dominio Amazon OpenSearch Service disponga del riconoscimento delle zone e di almeno tre nodi dati
-
[CT. OPENSEARCH.PR.15] Richiedi un dominio Amazon OpenSearch Service per utilizzare un controllo granulare degli accessi
-
[CT. OPENSEARCH.PR.16] Richiedi un dominio Amazon OpenSearch Service da usare .2 TLSv1
Amazon EC2 Auto Scaling
-
[CT. AUTOSCALING.PR.1] Richiedi che un gruppo Amazon EC2 Auto Scaling disponga di più zone di disponibilità
-
[CT. AUTOSCALING.PR.2] Richiede una configurazione di avvio del gruppo Amazon EC2 Auto Scaling per configurare le istanze Amazon per EC2 IMDSv2
-
[CT. AUTOSCALING.PR.3] Richiedi una configurazione di avvio di Amazon EC2 Auto Scaling per avere un limite di risposta ai metadati a hop singolo
-
[CT. AUTOSCALING.PR.4] Richiedi un gruppo Amazon EC2 Auto Scaling associato a Amazon Elastic Load Balancing () per attivare i controlli di integrità ELB ELB
-
[CT. AUTOSCALING.PR.5] Richiede che una configurazione di avvio di un gruppo Amazon EC2 Auto Scaling non contenga istanze Amazon EC2 con indirizzi IP pubblici
-
[CT. AUTOSCALING.PR.6] Richiede a qualsiasi gruppo Amazon EC2 Auto Scaling di utilizzare più tipi di istanze
-
[CT. AUTOSCALING.PR.8] Richiede un gruppo Amazon EC2 Auto Scaling per configurare i modelli di lancio EC2
Amazon SageMaker
-
[CT. SAGEMAKER.PR.1] Richiede un'istanza Amazon SageMaker Notebook per impedire l'accesso diretto a Internet
-
[CT. SAGEMAKER.PR.2] Richiede la distribuzione delle istanze di SageMaker notebook Amazon all'interno di un Amazon personalizzato VPC
-
[CT. SAGEMAKER.PR.3] Richiede che alle istanze di SageMaker notebook Amazon non sia consentito l'accesso root
Amazon API Gateway
-
[CT. APIGATEWAY.PR.5] Richiedi Amazon API Gateway V2 Websocket e HTTP route per specificare un tipo di autorizzazione
Amazon Relational Database Service RDS ()
-
[CT. RDS.PR.25] Richiede un cluster di RDS database Amazon per configurare la registrazione
Per ulteriori informazioni, consulta Proactive controls.
Controlli EC2 proattivi Amazon aggiornati
2 maggio 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower ha aggiornato due controlli proattivi: CT.EC2.PR.3 e CT.EC2.PR.4.
Per l'aggiornamento CT.EC2.PR.3 controllo, qualsiasi AWS CloudFormation una distribuzione che fa riferimento a un elenco di prefissi per una risorsa del gruppo di sicurezza non può essere distribuita, a meno che non sia per la porta 80 o 443.
Per la versione aggiornata CT.EC2.PR.4 controllo, qualsiasi AWS CloudFormation una distribuzione che fa riferimento a un elenco di prefissi per una risorsa del gruppo di sicurezza è bloccata se la porta è 3389, 20, 23, 110, 143, 3306, 8080, 1433, 9200, 9300, 25, 445, 135, 21, 1434, 4333, 5432, 5500, 5601, 22, 3000, 5000, 8088, 8888.
Sette aggiuntive Regioni AWS disponibile
19 aprile 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
AWSControl Tower è ora disponibile in sette versioni aggiuntive Regioni AWS: California settentrionale (San Francisco), Asia Pacifico (Hong Kong, Giacarta e Osaka), Europa (Milano), Medio Oriente (Bahrein) e Africa (Città del Capo). Queste regioni aggiuntive per AWS Control Tower, chiamate regioni opt-in, non sono attive per impostazione predefinita, ad eccezione della regione Stati Uniti occidentali (California settentrionale), che è attiva per impostazione predefinita.
Alcuni controlli in AWS Control Tower non funzionano in alcuni di questi controlli aggiuntivi Regioni AWS dove AWS Control Tower è disponibile, perché tali regioni non supportano le funzionalità sottostanti richieste. Per informazioni dettagliate, consultare Limitazioni di controllo.
Tra queste nuove regioni, cFCT non è disponibile in Asia Pacifico (Giacarta e Osaka). Disponibilità in altre Regioni AWS è invariata.
Per ulteriori informazioni su come AWS Control Tower gestisce i limiti delle regioni e dei controlli, vedereConsiderazioni sull'attivazione delle regioni opt-in AWS.
Gli VPCe endpoint richiesti da non AFT sono disponibili nella regione del Medio Oriente (Bahrein). I clienti che effettuano l'implementazione AFT in questa regione devono eseguire la distribuzione con parametri. aft_vpc_endpoints=false Per ulteriori informazioni, consulta il parametro nel README
AWSControl Tower VPCs ha due zone di disponibilità nella regione Stati Uniti occidentali (California settentrionale)us-west-1, a causa di una limitazione in AmazonEC2. Negli Stati Uniti occidentali (California settentrionale), sei sottoreti sono suddivise in due zone di disponibilità. Per ulteriori informazioni, consulta Panoramica di AWS Control Tower e VPC.
AWSControl Tower ha aggiunto nuove autorizzazioni AWSControlTowerServiceRolePolicy che consentono a AWS Control Tower di effettuare chiamate verso EnableRegionListRegions, e GetRegionOptStatus APIs implementate da AWS Servizio di gestione degli account, per renderle aggiuntive Regioni AWS
disponibile per i tuoi account condivisi nella landing zone (account di gestione, account di archiviazione dei log, account di audit) e per i tuoi account membro dell'OU. Per ulteriori informazioni, consulta Policy gestite per AWS Control Tower.
Tracciamento delle richieste di personalizzazione dell'account Account Factory for Terraform (AFT)
16 febbraio 2023
AFTsupporta il tracciamento delle richieste di personalizzazione dell'account. Ogni volta che invii una richiesta di personalizzazione dell'account, AFT genera un token di tracciamento univoco che passa attraverso una personalizzazione AFT AWS Step Functions state machine, che registra il token come parte della sua esecuzione. Puoi utilizzare le query di Amazon CloudWatch Logs Insights per cercare intervalli di timestamp e recuperare il token di richiesta. Di conseguenza, puoi vedere i payload associati al token, in modo da poter tracciare la richiesta di personalizzazione dell'account durante l'intero flusso di lavoro. AFT Per ulteriori informazioni suAFT, vedere Panoramica di AWS Control Tower Account Factory for Terraform. Per informazioni su CloudWatch Logs and Step Functions, vedere quanto segue:
-
Che cos'è Amazon CloudWatch Logs? nella Guida per l'utente di Amazon CloudWatch Logs
-
Che cos'è AWS Step Functions? nel AWS Step Functions Guida per gli sviluppatori
AWSControl Tower landing zone versione 3.1
9 febbraio 2023
(Aggiornamento richiesto per la landing zone di AWS Control Tower alla versione 3.1. Per informazioni, vedereAggiorna la tua landing zone)
AWSLa versione 3.1 della landing zone Control Tower include i seguenti aggiornamenti:
-
Con questa versione, AWS Control Tower disattiva la registrazione degli accessi non necessaria per il bucket di registrazione degli accessi, che è il bucket Amazon S3 in cui i log di accesso sono archiviati nell'account Log Archive, continuando ad abilitare la registrazione degli accessi al server per i bucket S3. Questa versione include anche aggiornamenti al controllo Region Deny che consentono azioni aggiuntive per i servizi globali, come AWS Support Piani e AWS Artifact.
-
La disattivazione della registrazione degli accessi al server per il bucket di registrazione degli accessi AWS Control Tower fa sì che Security Hub crei una ricerca per il bucket di registrazione degli accessi dell'account Log Archive, a causa di un AWS Security Hub regola, [S3.9] La registrazione degli accessi al server bucket S3 deve essere abilitata. In linea con Security Hub, ti consigliamo di eliminare questo particolare risultato, come indicato nella descrizione di questa regola da parte del Security Hub. Per ulteriori informazioni, consulta le informazioni sui risultati soppressi.
-
La registrazione degli accessi per il (normale) bucket di registrazione nell'account Log Archive è rimasta invariata nella versione 3.1. In linea con le migliori pratiche, gli eventi di accesso per quel bucket vengono registrati come voci di registro nel bucket di registrazione degli accessi. Per ulteriori informazioni sulla registrazione degli accessi, consulta Registrazione delle richieste utilizzando la registrazione degli accessi al server nella documentazione di Amazon S3.
-
Abbiamo aggiornato il controllo Region Deny. Questo aggiornamento consente azioni da parte di più servizi globali. Per maggiori dettagliSCP, consulta Negare l'accesso a AWS in base alla richiesta Regione AWSe controlli che migliorano la protezione della residenza dei dati.
Servizi globali aggiunti:
-
AWS Account Management (
account:*) -
AWS Attiva (
activate:*) -
AWS Artifact (
artifact:*) -
AWS Billing Conductor (
billingconductor:*) -
AWS Compute Optimizer (
compute-optimizer:*) -
AWS Data Pipeline (
datapipeline:GetAccountLimits) -
AWS Device Farm(
devicefarm:*) -
Marketplace AWS (
discovery-marketplace:*) -
Amazon ECR (
ecr-public:*) -
AWS License Manager (
license-manager:ListReceivedLicenses) -
AWS Lightsail ()
lightsail:Get* -
Esploratore di risorse AWS (
resource-explorer-2:*) -
Amazon S3 (
s3:CreateMultiRegionAccessPoint,,s3:GetBucketPolicyStatus)s3:PutMultiRegionAccessPointPolicy -
AWS Savings Plans (
savingsplans:*) -
IAMIdentity Center (
sso:*) -
AWS Support App (
supportapp:*) -
AWS Support Piani (
supportplans:*) -
AWS Sostenibilità (
sustainability:*) -
AWS Resource Groups Tagging API (
tag:GetResources) -
Marketplace AWS Informazioni sui fornitori ()
vendor-insights:ListEntitledSecurityProfiles
-
Controlli proattivi generalmente disponibili
24 gennaio 2023
(Non è richiesto alcun aggiornamento per la landing zone di AWS Control Tower.)
I controlli proattivi opzionali, precedentemente annunciati in anteprima, sono ora disponibili a tutti. Questi controlli vengono definiti proattivi perché controllano le risorse, prima che le risorse vengano distribuite, per determinare se le nuove risorse sono conformi ai controlli attivati nell'ambiente. Per ulteriori informazioni, consulta I controlli completi aiutano a AWS fornitura e gestione delle risorse.
