Terraform을 사용하여 AWS Control Tower 제어 배포 및 관리

작성자: Iker Reina Fuente(AWS) 및 Ivan Girardi(AWS)

요약

이 패턴은 AWS Control Tower 제어, HashiCorp Terraform 및 코드형 인프라(IaC)를 사용하여 예방, 탐지 및 사전 예방 보안 제어를 구현하고 관리하는 방법을 설명합니다. 제어(가드레일이라고도 함)는 전체 AWS Control Tower 환경에 지속적인 거버넌스를 제공하는 상위 수준 규칙입니다. 예를 들어 제어를 사용하여에 대한 로깅을 요구 AWS 계정 한 다음 특정 보안 관련 이벤트가 발생할 경우 자동 알림을 구성할 수 있습니다.

AWS Control Tower 는 AWS 리소스를 제어하고 여러에서 규정 준수를 모니터링하는 예방, 탐지 및 사전 예방 제어를 구현하는 데 도움이 됩니다 AWS 계정. 각 컨트롤은 단일 규칙을 적용합니다. 이 패턴에서는 제공된 IaC 템플릿을 사용하여 환경에 배포할 컨트롤을 지정합니다.

AWS Control Tower 제어는 전체 조직 단위(OU)에 적용되며 제어는 OU AWS 계정 내의 모든에 영향을 미칩니다. 따라서 사용자가 랜딩 존의 어떤 계정에서든 작업을 수행하는 경우 해당 작업에는 OU를 제어하는 컨트롤이 적용됩니다.

AWS Control Tower 제어를 구현하면 AWS 랜딩 존에 대한 강력한 보안 기반을 구축하는 데 도움이 됩니다. 이 패턴을 사용하여 Terraform을 통해 IaC로 컨트롤을 배포하면 랜딩 존의 컨트롤을 표준화하고 더 효율적으로 배포 및 관리할 수 있습니다.

AWS Control Tower 제어를 IaC로 배포하려면 Terraform AWS Cloud Development Kit (AWS CDK) 대신를 사용할 수도 있습니다. 자세한 내용은 AWS CDK 및를 사용하여 AWS Control Tower 제어 배포 및 관리를 AWS CloudFormation 참조하세요.

수강 대상

이 패턴은 AWS Control Tower Terraform 및에 대한 경험이 있는 사용자에게 권장됩니다 AWS Organizations.

사전 조건 및 제한 사항

사전 조건 

제한 사항

제품 버전

아키텍처

이 섹션에서는 이 솔루션과 샘플 코드를 통해 설정된 아키텍처에 대한 종합적 개요를 제공합니다. 다음 다이어그램은 OU의 다양한 계정 전반적으로 배포된 제어를 보여줍니다.

AWS Control Tower 제어는 동작 및 지침에 따라 분류됩니다.

제어 동작에는 세 가지 기본 유형이 있습니다.

제어 지침은 각 제어를에 적용하는 방법에 대한 권장 방법입니다OUs.는 필수, 강력 권장 및 선택의 세 가지 범주의 지침을 AWS Control Tower 제공합니다. 컨트롤의 지침은 동작과 무관합니다. 자세한 내용은 제어 동작 및 지침을 참조하십시오.

도구

AWS 서비스

기타 도구

코드 리포지토리

이 패턴의 코드는 GitHub Terraform 리포지토리를 사용하여 AWS Control Tower 제어 배포 및 관리에서 사용할 수 있습니다.

모범 사례

에픽

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

문제 해결

관련 리소스

AWS 설명서

기타 리소스

추가 정보

variables.tfvars 파일

다음은 업데이트된 variables.tfvars 파일의 예입니다. 이 샘플은 AWS-GR_ENCRYPTED_VOLUMES 제어(글로벌 ID: 503uicglhjkokaajywfpt6ros) 및 AWS-GR_SUBNET_AUTO_ASSIGNPUBLIC_IP_DISABLED 제어(글로벌 ID: )를 활성화합니다50z1ot237wl8u1lv5ufau6qqo. 전역의 목록은 AWS Control Tower 설명서의 모든 전역 식별자를 IDs참조하세요.

controls = [
    {
        control_names = [
            "503uicglhjkokaajywfpt6ros",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "50z1ot237wl8u1lv5ufau6qqo",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

IAM 역할에 대한 최소 권한 권한

이 패턴을 사용하려면 관리 계정에서 IAM 역할을 수임해야 합니다. 가장 좋은 방법은 임시 권한이 있는 역할을 수임하고 최소 권한의 원칙에 따라 권한을 제한하는 것입니다. 다음 샘플 정책은 AWS Control Tower 제어를 활성화하거나 비활성화하는 데 필요한 최소 작업을 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}