기준 유형

• AWS Control Tower에 등록된 OU 또는 기준을 적용하여 등록하려는 OU에 한 가지 유형을 적용할 수 있습니다.

• 초기 설정 또는 랜딩 존 업데이트 중에 랜딩 존 또는 공유 계정에 3가지 기준 유형을 적용할 수 있습니다.

OU 등록 및 업데이트를 위해 OU 수준에서 적용되는 기준 유형

• 이름: AWSControlTowerBaseline

  설명: AWS Control Tower 거버넌스에 필요한 대상 OU 내의 멤버 계정에 대해 리소스 및 필수 제어를 설정합니다.

  고려 사항: 이 기준은 랜딩 존 리전 거부 제어의 설정을 유지합니다. 즉, 특정 리전이 랜딩 존 수준에서 허용되지 않는 경우 EnableBaseline API를 직접 호출하여 OU를 등록할 때 해당 리전은 이 OU에 허용되지 않습니다.

  참고

  OU 수준 리전 거부 제어는 랜딩 존 리전 거부 제어가 허용하지 않는 리전을 허용할 수 없습니다.

  자세한 내용은 AWS Organizations 설명서의 SCP가 거부와 함께 작동하는 방식을 참조하세요.

  권장 사항: OU에 대해 EnableBaseline API를 직접 호출하기 전에 대상 OU가 워크로드를 실행하고 있는 리전을 확인하고 그 결과를 랜딩 존 리전 거부 제어와 비교하여 확인하는 것이 좋습니다. 그러지 않으면 특정 리전의 리소스에 대한 액세스 권한이 손실될 수 있습니다.

랜딩 존 또는 공유 계정에 적용될 수 있는 기준 유형

• 이름: AuditBaseline

  설명: 조직 내 계정의 보안 및 규정 준수를 모니터링하는 리소스를 설정합니다. 이 기준은 AWS Control Tower에서 배포하므로 변경할 수 없습니다.

• 이름: LogArchiveBaseline

  설명: 조직 내 계정의 API 활동 및 리소스 구성의 로그를 위한 중앙 리포지토리를 설정합니다. 이 기준은 AWS Control Tower에서 배포하므로 변경할 수 없습니다.

• 이름: IdentityCenterBaseline

  설명: 계정에 대한 Identity Center 액세스를 설정하기 위해 AWSControlTowerBaseline을 준비하는 IAM Identity Center에 대한 공유 리소스를 설정합니다.

  고려 사항: 이 기준은 랜딩 존을 처음 설정할 때 IAM Identity Center를 ID 공급자로 선택한 경우 또는 이후 랜딩 존 설정을 변경하여 랜딩 존에 대해 IAM Identity Center를 활성화한 경우에만 작동합니다. 다른 ID 공급자를 사용하는 경우 이 기준을 활성화할 수 있는 액세스 권한이 없습니다.

차이

• 등록 및 프로비저닝된 제품

  콘솔을 통해 OU를 등록하면 AWS Control Tower는 각 계정 등록의 일부로 OU의 멤버 계정에 대한 Service Catalog 제품을 생성합니다. EnableBaseline API와 AWSControlTowerBaseline을 사용하여 OU를 등록할 때 AWS Control Tower는 OU의 멤버 계정에 대해 프로비저닝된 제품을 생성하지 않습니다.

• OU 등록 취소

  OU 등록을 취소할 때마다 먼저 모든 멤버 계정과 중첩된 OU를 제거해야 합니다. 그러면 AWS Control Tower가 OU에 적용되는 모든 제어를 제거합니다.

  • 콘솔에서 OU 삭제를 선택하면 AWS Control Tower가 등록 취소를 진행한 다음 조직에서 OU를 삭제합니다.

  • 그러나 DisableBaseline API를 직접 호출하여 OU에서 AWSControlTowerBaseline을 제거하는 방식으로 OU의 등록을 취소하는 경우 AWS Control Tower는 조직에서 OU를 삭제하지 않으며, 해당 OU는 등록되지 않은 상태로 계속 조직에 존재하게 됩니다.