AWS CDK 및 AWS를 사용하여 AWS 컨트롤 타워 컨트롤을 배포하고 관리합니다. CloudFormation

작성자: Iker Reina Fuente(AWS)와 Ivan Girardi(AWS)

요약

이 패턴은 AWS CloudFormation 및 AWS Cloud Development Kit (AWS CDK) 를 사용하여 예방적, 탐지적, 사전 예방적 AWS Control Tower 제어를 코드형 인프라 (IaC) 로 구현하고 관리하는 방법을 설명합니다. 제어 (가드레일로 알려지기도 함)는 전반적인 AWS 환경에 대한 지속적인 거버넌스를 제공하는 상위 수준 규칙이입니다. 예를 들어 컨트롤을 사용하여 AWS 계정에 대한 로깅을 요구한 다음 특정 보안 관련 이벤트가 발생할 경우 자동 알림을 구성할 수 있습니다.

AWS Control Tower를 사용하면 AWS 리소스를 관리하고 여러 AWS 계정의 규정 준수를 모니터링하는 예방적, 탐지적, 사전 예방적 제어를 구현할 수 있습니다. 각 컨트롤은 단일 규칙을 적용합니다. 이 패턴에서는 제공된 IaC 템플릿을 사용하여 환경에 배포할 컨트롤을 지정합니다.

AWS Control Tower 규제 항목은 전체 조직 유닛(OU)에 적용되며, 제어는 OU 내의 모든 AWS 계정에 영향을 미칩니다. 따라서 사용자가 랜딩 존의 어떤 계정에서든 작업을 수행하는 경우 해당 작업에는 OU를 제어하는 컨트롤이 적용됩니다.

AWS Control Tower 제어를 구현하면 AWS 랜딩 존을 위한 강력한 보안 기반을 구축하는 데 도움이 됩니다. 이 패턴을 사용하여 AWS CDK를 통해 CloudFormation IaC로 컨트롤을 배포하면 랜딩 존의 컨트롤을 표준화하고 더 효율적으로 배포 및 관리할 수 있습니다. 이 솔루션은 배포 중에 cdk_nag를 사용하여 CDK 애플리케이션을 스캔합니다. 이 도구는 애플리케이션이 모범 사례를 준수하는지 확인합니다.

AWS 컨트롤 타워 컨트롤을 IaC로 배포하려면 AWS CDK 대신 HashiCorp Terraform을 사용할 수도 있습니다. 자세한 내용은 Terraform을 사용한 Control Tower 제어 배포 및 관리를 참조하십시오.

대상 청중

이 패턴은 AWS 컨트롤 타워 CloudFormation, AWS CDK 및 AWS Organizations를 사용해 본 경험이 있는 사용자에게 권장됩니다.

사전 조건 및 제한 사항

사전 조건 

제한 사항

제품 버전

아키텍처

대상 아키텍처

이 섹션에서는 이 솔루션과 샘플 코드를 통해 설정된 아키텍처에 대한 종합적 개요를 제공합니다. 다음 다이어그램은 OU의 다양한 계정 전반적으로 배포된 제어를 보여줍니다.

AWS Control Tower 컨트롤은 행동 및 지침에 따라 분류됩니다.

제어 동작에는 세 가지 기본 유형이 있습니다.

제어 지침에는 각 제어를 OU에 적용하는 방법에 대한 권장 사례를 참조합니다. Control Tower 에서는 세 가지 범주 지침, 즉 필수, 적극 권장 및 선택을 제공합니다. 컨트롤의 지침은 동작과 무관합니다. 자세한 내용은 제어 동작 및 지침을 참조하십시오.

도구

서비스

기타 도구

코드 리포지토리

이 패턴의 코드는 AWS CDK 리포지토리를 사용한 AWS Control Tower GitHub 배포 컨트롤에서 사용할 수 있습니다. cdk.json 파일을 사용하여 CDK 앱과 상호 작용하고, package.json 파일을 사용하여 npm 패키지를 설치합니다.

모범 사례

에픽

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

관련 리소스

설명서

기타 리소스

추가 정보

예제 constants.py 파일

다음은 업데이트된 constants.py 파일의 예입니다.

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

IAM 정책

다음 샘플 정책은 배포 계정에서 관리 계정으로 AWS CDK 스택을 배포할 때 Control Tower 제어를 활성화 또는 비활성화하는 데 필요한 최소 작업을 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

신뢰 정책

다음 사용자 지정 신뢰 정책은 배포 계정의 특정 IAM 역할이 관리 계정의 IAM 역할을 떠맡을 수 있도록 허용합니다. 다음을 바꿉니다.

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}