Terraform을 사용하여 AWS Control Tower 제어 배포 및 관리

작성자: Iker Reina Fuente(AWS) 및 Ivan Girardi(AWS)

요약

이 패턴은 AWS Control Tower 컨트롤, HashiCorp 지형 및 인프라를 코드(IaC)로 사용하여 예방, 탐지 및 사전 예방 보안 컨트롤을 구현하고 관리하는 방법을 설명합니다. 제어(가드레일이라고도 함)는 전체 AWS Control Tower 환경에 대한 지속적인 거버넌스를 제공하는 상위 수준 규칙입니다. 예를 들어 제어를 사용하여 AWS 계정에 대한 로깅을 요구한 다음 특정 보안 관련 이벤트가 발생할 경우 자동 알림을 구성할 수 있습니다.

AWS Control Tower는 AWS 리소스를 관리하고 여러 AWS 계정의 규정 준수를 모니터링하는 예방, 탐지 및 사전 예방 제어를 구현하는 데 도움이 됩니다. 각 컨트롤은 단일 규칙을 적용합니다. 이 패턴에서는 제공된 IaC 템플릿을 사용하여 환경에 배포할 컨트롤을 지정합니다.

AWS Control Tower 제어는 전체 조직 단위(OU)에 적용되며, 제어는 OU 내의 모든 AWS 계정에 영향을 미칩니다. 따라서 사용자가 랜딩 존의 어떤 계정에서든 작업을 수행하는 경우 해당 작업에는 OU를 제어하는 컨트롤이 적용됩니다.

AWS Control Tower 제어를 구현하면 AWS랜딩 존에 대한 강력한 보안 기반을 구축하는 데 도움이 됩니다. 이 패턴을 사용하여 Terraform을 통해 IaC로 컨트롤을 배포하면 랜딩 존의 컨트롤을 표준화하고 더 효율적으로 배포 및 관리할 수 있습니다.

AWS Control Tower 컨트롤을 IaC 로 배포하려면 Terraform 대신 AWS 클라우드 개발 키트(AWS CDK)를 사용할 수도 있습니다. 자세한 내용은 AWS CDK 및 를 사용하여 AWS Control Tower 컨트롤 배포 및 관리를 AWS CloudFormation참조하세요.

대상 청중

이 패턴은 AWS Control Tower, Terraform 및 AWSOrganizations에 대한 경험이 있는 사용자에게 권장됩니다.

사전 조건 및 제한 사항

사전 조건 

제품 버전

아키텍처

대상 아키텍처

이 섹션에서는 이 솔루션과 샘플 코드를 통해 설정된 아키텍처에 대한 종합적 개요를 제공합니다. 다음 다이어그램은 OU의 다양한 계정 전반적으로 배포된 제어를 보여줍니다.

AWS Control Tower 컨트롤은 동작 및 지침에 따라 분류됩니다.

제어 동작에는 세 가지 기본 유형이 있습니다.

제어 지침은 각 제어를 에 적용하는 방법에 대한 권장 방법입니다OUs. AWS Control Tower는 필수 , 강력 권장 및 선택적 의 세 가지 범주의 지침을 제공합니다. 컨트롤의 지침은 동작과 무관합니다. 자세한 내용은 제어 동작 및 지침을 참조하십시오.

도구

AWS 서비스

기타 도구

코드 리포지토리

이 패턴의 코드는 GitHub Terraform 리포지토리를 사용하여 AWS Control Tower 컨트롤 배포 및 관리에서 사용할 수 있습니다.

모범 사례

에픽

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

문제 해결

관련 리소스

AWS 설명서

기타 리소스

추가 정보

variables.tfvars 파일

다음은 업데이트된 variables.tfvars 파일의 예입니다.

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

IAM 역할에 대한 최소 권한 권한

이 APG 패턴을 사용하려면 관리 계정에서 IAM 역할을 맡아야 합니다. 가장 좋은 방법은 임시 권한이 있는 역할을 수임하고 최소 권한의 원칙에 따라 권한을 제한하는 것입니다. 다음 샘플 정책은 AWS Control Tower 제어를 활성화하거나 비활성화하는 데 필요한 최소 작업을 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}