Distribuisci e gestisci i controlli di AWS Control Tower utilizzando AWS CDK e AWS CloudFormation

Creato da Iker Reina Fuente (AWS) e Ivan Girardi (AWS)

Riepilogo

Questo modello descrive come utilizzare AWS CloudFormation e AWS Cloud Development Kit (AWS CDK) per implementare e amministrare i controlli preventivi, investigativi e proattivi di AWS Control Tower come infrastruttura come codice (IaC). Un controllo (noto anche come guardrail) è una regola di alto livello che fornisce una governance continua per l'intero ambiente AWS Control Tower. Ad esempio, puoi utilizzare i controlli per richiedere la registrazione per i tuoi account AWS e quindi configurare notifiche automatiche se si verificano eventi specifici relativi alla sicurezza.

AWS Control Tower ti aiuta a implementare controlli preventivi, investigativi e proattivi che governano le tue risorse AWS e monitorano la conformità su più account AWS. Ogni controllo applica una singola regola. In questo modello, si utilizza un modello IaC fornito per specificare quali controlli si desidera implementare nel proprio ambiente.

I controlli di AWS Control Tower si applicano a un'intera unità organizzativa (OU) e il controllo influisce su ogni account AWS all'interno dell'unità organizzativa. Pertanto, quando gli utenti eseguono un'azione in qualsiasi account nella tua landing zone, l'azione è soggetta ai controlli che regolano l'unità organizzativa.

L'implementazione dei controlli AWS Control Tower aiuta a stabilire una solida base di sicurezza per la tua landing zone AWS. Utilizzando questo modello per distribuire i controlli come IAc tramite e CloudFormation AWS CDK, puoi standardizzare i controlli nella tua landing zone e distribuirli e gestirli in modo più efficiente. Questa soluzione utilizza cdk_nag per scansionare l'applicazione AWS CDK durante la distribuzione. Questo strumento verifica la conformità dell'applicazione alle best practice di AWS.

Per distribuire i controlli AWS Control Tower come IaC, puoi anche utilizzare HashiCorp Terraform anziché AWS CDK. Per ulteriori informazioni, consulta Distribuire e gestire i controlli AWS Control Tower utilizzando Terraform.

Destinatari

Questo modello è consigliato agli utenti che hanno esperienza con AWS Control Tower CloudFormation, AWS CDK e AWS Organizations.

Prerequisiti e limitazioni

Prerequisiti

Limitazioni

Versioni del prodotto

Architettura

Architettura Target

Questa sezione fornisce una panoramica di alto livello di questa soluzione e dell'architettura stabilita dal codice di esempio. Il diagramma seguente mostra i controlli distribuiti tra i vari account dell'unità organizzativa.

I controlli di AWS Control Tower sono classificati in base al loro comportamento e alle loro linee guida.

Esistono tre tipi principali di comportamenti di controllo:

Le linee guida sul controllo si riferiscono alla pratica consigliata su come applicare ciascun controllo alle unità organizzative. AWS Control Tower fornisce tre categorie di linee guida: obbligatorie, fortemente consigliate e facoltative. La guida di un controllo è indipendente dal suo comportamento. Per ulteriori informazioni, consulta Comportamento e guida al controllo.

Strumenti

Servizi AWS

Altri strumenti

Deposito di codice

Il codice per questo modello è disponibile nei controlli GitHub Deploy AWS Control Tower utilizzando il repository AWS CDK. Utilizzi il file cdk.json per interagire con l'app AWS CDK e usi il file package.json per installare i pacchetti npm.

Best practice

Epiche

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

Risorse correlate

Documentazione AWS

Altre risorse

Informazioni aggiuntive

Esempio di file constants.py

Di seguito è riportato un esempio di file constants.py aggiornato.

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

Policy IAM

La seguente policy di esempio consente le azioni minime richieste per abilitare o disabilitare i controlli AWS Control Tower durante la distribuzione di stack AWS CDK da un account di distribuzione all'account di gestione.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

Policy di trust

La seguente policy di fiducia personalizzata consente a un ruolo IAM specifico nell'account di distribuzione di assumere il ruolo IAM nell'account di gestione. Sostituisci quanto segue:

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}