View a markdown version of this page

Utilizzo di policy basate sull'identità (policy IAM) per AWS Control Tower - AWS Control Tower
AWS ControlTowerAdmin ruoloAWS ControlTowerServiceRolePolicyAWS ControlTowerIdentityCenterManagementPolicyAWS ControlTowerStackSetRoleAWS ControlTowerCloudTrailRolePolicyAWS ControlTowerBlueprintAccess requisiti di ruoloAWSServiceRoleForAWSControlTowerAWS ControlTowerAccountServiceRolePolicy

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di policy basate sull'identità (policy IAM) per AWS Control Tower

Questo argomento fornisce esempi di politiche basate sull'identità che dimostrano come un amministratore di account può associare politiche di autorizzazioni alle identità IAM (ovvero utenti, gruppi e ruoli) e quindi concedere le autorizzazioni per eseguire operazioni sulle risorse AWS Control Tower.

Importante

Ti consigliamo di esaminare innanzitutto gli argomenti introduttivi che spiegano i concetti e le opzioni di base disponibili per gestire l'accesso alle tue risorse AWS Control Tower. Per ulteriori informazioni, consulta Panoramica sulla gestione delle autorizzazioni di accesso alle risorse AWS Control Tower.

AWS ControlTowerAdmin ruolo

Questo ruolo fornisce ad AWS Control Tower l'accesso all'infrastruttura fondamentale per la manutenzione della zona di atterraggio. Il AWS ControlTowerAdmin ruolo richiede una policy gestita allegata e una policy di fiducia dei ruoli per il ruolo IAM. Una politica di fiducia dei ruoli è una politica basata sulle risorse, che specifica quali presidi possono assumere il ruolo.

Ecco un esempio di questa politica di fiducia dei ruoli:

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "controltower.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Per creare questo ruolo dalla AWS CLI e inserirlo in un file chiamatotrust.json, ecco un esempio di comando CLI:

aws iam create-role --role-name AWSControlTowerAdmin --path /service-role/ --assume-role-policy-document file://trust.json

Questo ruolo richiede due policy IAM.

  1. Una policy in linea, ad esempio:

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:DescribeAvailabilityZones",
            "Resource": "*"
        }
    ]
}

  2. La politica gestita che segue, che è laAWS ControlTowerServiceRolePolicy.

AWS ControlTowerServiceRolePolicy

AWS ControlTowerServiceRolePolicyÈ una policy AWS gestita che definisce le autorizzazioni per creare e gestire risorse AWS Control Tower, come AWS CloudFormation stackset e istanze di stack, file di AWS CloudTrail log, un aggregatore di configurazione per AWS Control Tower, nonché AWS Organizations account e unità organizzative (OU) governati da AWS Control Tower.

Gli aggiornamenti a questa policy gestita sono riepilogati nella tabella,. Policy gestite per AWS Control Tower

Per ulteriori informazioni, consultare AWS ControlTowerServiceRolePolicy la AWS Managed Policy Reference Guide.

Politica di fiducia dei ruoli:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "controltower.amazonaws.com"       
         ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

La politica in linea èAWS ControlTowerAdminPolicy:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "ec2:DescribeAvailabilityZones",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

AWS ControlTowerIdentityCenterManagementPolicy

Questa policy fornisce le autorizzazioni per configurare le risorse IAM Identity Center (iDC) negli account dei membri registrati con AWS Control Tower. Quando si seleziona IAM Identity Center come provider di identità durante la configurazione (o l'aggiornamento) della zona di destinazione in AWS Control Tower, questa policy viene associata al ruolo. AWS ControlTowerAdmin

Per visualizzare ulteriori dettagli sulla policy, inclusa la versione più recente del documento di policy JSON, consulta AWS ControlTowerIdentityCenterManagementPolicy nella Guida di riferimento alle policy gestite da AWS .

AWS ControlTowerStackSetRole

CloudFormation assume questo ruolo per distribuire set di stack negli account creati da AWS Control Tower. Policy inline:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/AWSControlTowerExecution"
            ],
            "Effect": "Allow"
        }
    ]
}

Policy di trust

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudformation.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

AWS ControlTowerCloudTrailRolePolicy

AWS Control Tower CloudTrail lo abilita come best practice e fornisce questo ruolo a. CloudTrail CloudTrail assume questo ruolo per creare e pubblicare CloudTrail i log.

Politica gestita: AWS ControlTowerCloudTrailRolePolicy

Questo ruolo utilizza la policy AWS-managedAWS ControlTowerCloudTrailRolePolicy, che concede le autorizzazioni necessarie per pubblicare CloudTrail i log di controllo su Amazon CloudWatch Logs per conto di AWS Control Tower. Questa policy gestita sostituisce la policy in linea utilizzata in precedenza per questo ruolo, consentendo di AWS aggiornarla senza l'intervento del cliente.

Per ulteriori informazioni, consulta AWS ControlTowerCloudTrailRolePolicy la AWS Managed Policy Reference Guide.

Gli aggiornamenti a questa policy gestita sono riepilogati nella tabella,Policy gestite per AWS Control Tower.

Nota

Prima dell'introduzione della policy gestita, questo ruolo utilizzava una policy in linea con autorizzazioni equivalenti. La policy in linea è stata sostituita dalla policy gestita per consentire aggiornamenti senza interruzioni.

Politica in linea precedente (per riferimento):

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "logs:CreateLogStream",
            "Resource": "arn:aws:logs:*:*:log-group:aws-controltower/CloudTrailLogs:*",
            "Effect": "Allow"
        },
        {
            "Action": "logs:PutLogEvents",
            "Resource": "arn:aws:logs:*:*:log-group:aws-controltower/CloudTrailLogs:*",
            "Effect": "Allow"
        }
    ]
}

Policy di trust

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

AWS ControlTowerBlueprintAccess requisiti di ruolo

AWS Control Tower richiede la creazione del AWS ControlTowerBlueprintAccess ruolo nell'account hub blueprint designato, all'interno della stessa organizzazione.

Role name (Nome ruolo)

Il nome del ruolo deve essereAWS ControlTowerBlueprintAccess.

Politica di fiducia dei ruoli

Il ruolo deve essere impostato in modo da fidarsi dei seguenti principi:

  • Il principale che utilizza AWS Control Tower nell'account di gestione.

  • Il AWS ControlTowerAdmin ruolo nell'account di gestione.

L'esempio seguente mostra una politica di fiducia con privilegi minimi. Quando crei la tua policy, sostituisci il termine YourManagementAccountId con l'ID account effettivo del tuo account di gestione AWS Control Tower e sostituisci il termine YourControlTowerUserRole con l'identificatore del ruolo IAM per il tuo account di gestione.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/service-role/AWSControlTowerAdmin",
                    "arn:aws:iam::111122223333:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

Autorizzazioni relative ai ruoli

È necessario allegare la policy gestita AWSServiceCatalogAdminFullAccess al ruolo.

AWSServiceRoleForAWSControlTower

Questo ruolo fornisce ad AWS Control Tower l'accesso all'account Log Archive, all'account Audit e agli account dei membri, per operazioni fondamentali per il mantenimento della zona di atterraggio, come la notifica della dispersione di risorse.

Il AWS ServiceRoleFor AWS ControlTower ruolo richiede una policy gestita allegata e una policy di fiducia dei ruoli per il ruolo IAM.

Politica gestita per questo ruolo: AWS ControlTowerAccountServiceRolePolicy

Politica di fiducia dei ruoli:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "controltower.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

AWS ControlTowerAccountServiceRolePolicy

Questa policy AWS gestita consente ad AWS Control Tower di chiamare AWS servizi che forniscono la configurazione automatica degli account e la governance centralizzata per tuo conto.

La policy contiene le autorizzazioni minime per AWS Control Tower per implementare l'inoltro dei AWS Security Hub CSPM risultati per le risorse gestite dai controlli CSPM di Security Hub che fanno parte dello Service-managed standard Security Hub CSPM: AWS Control Tower e impedisce le modifiche che limitano la capacità di gestire gli account dei clienti. Fa parte del processo di rilevamento della AWS Security Hub CSPM deriva in background che non viene avviato direttamente da un cliente.

La policy fornisce le autorizzazioni per creare EventBridge regole Amazon, in particolare per i controlli CSPM di Security Hub, in ciascun account membro e queste regole devono specificarne una precisa. EventPattern Inoltre, una regola può funzionare solo sulle regole gestite dal nostro responsabile del servizio.

Responsabile del servizio: controltower.amazonaws.com

Per ulteriori informazioni, consulta AWS ControlTowerAccountServiceRolePolicy la AWS Managed Policy Reference Guide.

Gli aggiornamenti a questa policy gestita sono riepilogati nella tabella,Policy gestite per AWS Control Tower.