De janeiro a dezembro de 2023 - AWS Control Tower
Transição para um novo tipo de produto AWS Service Catalog externo (fase 3)Versão 3.3 da zona de pouso do AWS Control TowerTransição para um novo tipo de produto AWS Service Catalog externo (fase 2)AWS Control Tower anuncia controles para auxiliar a soberania digitalO AWS Control Tower é compatível com landing zone APIsAWS Control Tower permite a marcação de controles habilitadosAWS Control Tower disponível na região Ásia-Pacífico (Melbourne)Transição para um novo tipo de produto AWS Service Catalog externo (fase 1)Nova API de controle disponívelAWS Control Tower adiciona outros controlesNovo tipo de desvio relatado: acesso confiável desabilitadoQuatro adicionais Regiões da AWSAWS Control Tower disponível na região Tel AvivAWS Control Tower lança 28 novos controles proativosAWS Control Tower desativa dois controlesVersão 3.2 da zona de pouso do AWS Control TowerAWS Control Tower gerencia contas com base em IDControles de detecção adicionais do Security Hub disponíveis na biblioteca de controles do AWS Control TowerAWS Control Tower publica tabelas de metadados de controleSuporte do Terraform para o Account Factory CustomizationAWS Autogerenciamento do IAM Identity Center disponível para landing zoneO AWS Control Tower aborda a governança mista para OUsControles proativos adicionais disponíveisControles EC2 proativos atualizados da AmazonSete adicionais Regiões da AWS disponíveis Rastreamento de solicitações de personalização de conta do Account Factory for Terraform (AFT) Versão 3.1 da zona de pouso do AWS Control TowerControles proativos disponíveis ao público

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

De janeiro a dezembro de 2023

Em 2023, o AWS Control Tower lançou as seguintes atualizações:

Transição para um novo tipo de produto AWS Service Catalog externo (fase 3)

14 de dezembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower não oferece mais suporte ao Terraform Open Source como um tipo de produto (blueprint) ao criar um novo. Contas da AWS Para obter mais informações e instruções sobre como atualizar os esquemas da sua conta, consulte Transição para o tipo de produto AWS Service Catalog externo.

Se não atualizar os esquemas da conta para usar o tipo de produto External, você só poderá atualizar ou encerrar contas que provisionou usando esquemas do Terraform Open Source.

Versão 3.3 da zona de pouso do AWS Control Tower

14 de dezembro de 2023

(É necessário atualizar a zona de pouso do AWS Control Tower para a versão 3.3. Consulte informações em Atualizar a zona de pouso).

Atualizações na política de bucket do S3 na conta de auditoria do AWS Control Tower

Modificamos a política de bucket de auditoria do Amazon S3 que o AWS Control Tower implanta nas contas, de modo que uma condição aws:SourceOrgID deve ser atendida para qualquer permissão de gravação. Com essa versão, AWS os serviços têm acesso aos seus recursos somente quando a solicitação é originada da sua organização ou unidade organizacional (OU).

É possível usar a chave de condição aws:SourceOrgID e definir o valor do ID da organização no elemento de condição da política de bucket do S3. Essa condição garante que CloudTrail somente registros em nome de contas dentro de sua organização possam ser gravados em seu bucket do S3; ela impede que CloudTrail registros de fora da sua organização gravem em seu bucket S3 do AWS Control Tower.

Fizemos essa alteração para corrigir uma possível vulnerabilidade de segurança, sem afetar a funcionalidade das workloads existentes. Consulte a política atualizada em Política de bucket do Amazon S3 na conta de auditoria.

Para obter mais informações sobre a nova chave de condição, consulte a documentação do IAM e a postagem no blog do IAM intitulada “Use controles escaláveis para AWS serviços que acessam seus recursos”.

Atualizações da política no tópico do AWS Config SNS

Adicionamos a nova chave de aws:SourceOrgID condição à política do tópico AWS Config SNS. Para ver a política atualizada, consulte A política de tópicos do AWS Config SNS.

Atualizações no controle de negação de região da zona de pouso

  • discovery-marketplace: removido. Essa ação é coberta pela isenção aws-marketplace:*.

  • quicksight:DescribeAccountSubscription adicionado

AWS CloudFormation Modelo atualizado

Atualizamos o AWS CloudFormation modelo da pilha chamada para BASELINE-CLOUDTRAIL-MASTER que ela não mostre desvio quando a AWS KMS criptografia não for usada.

Transição para um novo tipo de produto AWS Service Catalog externo (fase 2)

7 de dezembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

HashiCorp atualizou seu licenciamento do Terraform. Como resultado, AWS Service Catalog alterou o suporte para produtos Terraform Open Source e provisionou produtos para um novo tipo de produto, chamado Externo.

Para evitar interrupções nas cargas de trabalho e nos AWS recursos existentes em suas contas, siga as etapas de transição do AWS Control Tower em Transição para o tipo de produto AWS Service Catalog externo até 14 de dezembro de 2023.

AWS Control Tower anuncia controles para auxiliar a soberania digital

27 de novembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower anuncia 65 novos controles AWS gerenciados para ajudar você a atender aos seus requisitos de soberania digital. Com esse lançamento, é possível descobrir esses controles sob um novo grupo de soberania digital no console do AWS Control Tower. É possível usar esses controles para ajudar a evitar ações e detectar alterações de recursos em relação à residência de dados, restrição de acesso granular, criptografia e recursos de resiliência. Esses controles foram projetados para simplificar o atendimento dos requisitos em grande escala. Consulte mais informações sobre controles de soberania digital em Controls that enhance digital sovereignty protection.

Por exemplo, você pode optar por ativar controles que ajudem a aplicar suas estratégias de criptografia e resiliência, como Exigir um cache de AWS AppSync API para ter a criptografia em trânsito ativada ou Exigir que um Firewall de AWS Rede seja implantado em várias zonas de disponibilidade. Você também pode personalizar o controle de negação de região do AWS Control Tower para aplicar restrições regionais que melhor atendam às suas necessidades comerciais exclusivas.

Esse lançamento traz recursos bem aprimorados de negação de região do AWS Control Tower. É possível aplicar um novo controle de negação de região parametrizado no nível da UO, para aumentar a granularidade da governança e, ao mesmo tempo, manter a governança adicional da região no nível da zona de pouso. Esse controle de negação de região personalizável ajuda você a aplicar restrições regionais que melhor atendam às suas necessidades comerciais exclusivas. Consulte mais informações sobre o novo controle de negação de região configurável em Region deny control applied to the OU.

Como uma nova ferramenta para o novo aprimoramento de negação de região, esse lançamento inclui uma nova API UpdateEnabledControl, que permite redefinir os controles habilitados para as configurações padrão. Essa API é especialmente útil em casos de uso em que você precisa resolver o desvio rapidamente ou para garantir de forma programática que um controle não esteja em um estado de desvio. Consulte mais informações sobre a nova API na Referência de API do AWS Control Tower.

Novos controles proativos

  • CT.APIGATEWAY.PR.6: Exija um domínio REST do Amazon API Gateway para usar uma política de segurança que especifique uma versão mínima do protocolo TLS de .2 TLSv1

  • CT.APPSYNC.PR.2: Exigir que uma API AWS AppSync GraphQL seja configurada com visibilidade privada

  • CT.APPSYNC.PR.3: Exija que uma API AWS AppSync GraphQL não seja autenticada com chaves de API

  • CT.APPSYNC.PR.4: Exigir um cache da API AWS AppSync GraphQL para ter a criptografia em trânsito ativada.

  • CT.APPSYNC.PR.5: Exigir um cache da API AWS AppSync GraphQL para ter a criptografia em repouso ativada.

  • CT.AUTOSCALING.PR.9: Exija um volume do Amazon EBS configurado por meio de uma configuração de lançamento do Amazon EC2 Auto Scaling para criptografar dados em repouso

  • CT.AUTOSCALING.PR.10: Exija que um grupo do Amazon EC2 Auto Scaling use somente tipos de instância AWS Nitro ao substituir um modelo de execução

  • CT.AUTOSCALING.PR.11: Exija que somente os tipos de instância AWS Nitro que suportem criptografia de tráfego de rede entre instâncias sejam adicionados a um grupo do Amazon EC2 Auto Scaling, ao substituir um modelo de execução

  • CT.DAX.PR.3: exija um cluster do DynamoDB Accelerator para criptografar dados em trânsito com o Transport Layer Security (TLS).

  • CT.DMS.PR.2: Exigir um endpoint do AWS Database Migration Service (DMS) para criptografar conexões para endpoints de origem e destino

  • CT.EC2.PR.15: Exija que uma EC2 instância da Amazon use um tipo de instância AWS Nitro ao criar a partir do tipo de AWS::EC2::LaunchTemplate recurso

  • CT.EC2.PR.16: Exija que uma EC2 instância da Amazon use um tipo de instância AWS Nitro quando criada usando o tipo AWS::EC2::Instance de recurso

  • CT.EC2.PR.17: Exigir um host EC2 dedicado da Amazon para usar um tipo de instância do AWS Nitro

  • CT.EC2.PR.18: Exija que uma EC2 frota da Amazon substitua somente os modelos de lançamento pelos tipos de instância AWS Nitro

  • CT.EC2.PR.19: Exija que uma EC2 instância da Amazon use um tipo de instância nitro que ofereça suporte à criptografia em trânsito entre instâncias quando criada usando o AWS::EC2::Instance tipo de recurso

  • CT.EC2.PR.20: Exija que uma EC2 frota da Amazon substitua somente os modelos de lançamento pelos tipos de instância AWS Nitro que ofereçam suporte à criptografia em trânsito entre instâncias

  • CT.ELASTICACHE.PR.8: Exija que um grupo de ElastiCache replicação da Amazon de versões posteriores do Redis tenha a autenticação RBAC ativada

  • CT.MQ.PR.1: exija que um agente do Amazon MQ ActiveMQ use o modo de implantação ativo/em espera para alta disponibilidade.

  • CT.MQ.PR.2: exija que um agente do Amazon MQ Rabbit MQ use o modo de cluster multi-AZ para alta disponibilidade.

  • CT.MSK.PR.1: exija um cluster do Amazon Managed Streaming for Apache Kafka (MSK) para aplicar a criptografia em trânsito entre os nós do agente de cluster.

  • CT.MSK.PR.2: Exija que um cluster Amazon Managed Streaming for Apache Kafka (MSK) seja configurado com desativado PublicAccess

  • CT.NETWORK-FIREWALL.PR.5: Exigir que um firewall de Firewall de AWS Rede seja implantado em várias zonas de disponibilidade

  • CT.RDS.PR.26: exija um proxy de banco de dados do Amazon RDS para requerer conexões de Transport Layer Security (TLS).

  • CT.RDS.PR.27: exija um grupo de parâmetros de cluster de banco de dados do Amazon RDS para requerer conexões de Transport Layer Security (TLS) para tipos de mecanismos compatíveis.

  • CT.RDS.PR.28: exija um grupo de parâmetros de banco de dados do Amazon RDS para requerer conexões de Transport Layer Security (TLS) para tipos de mecanismos compatíveis.

  • CT.RDS.PR.29: Exija que um cluster Amazon RDS não esteja configurado para ser acessível publicamente por meio da propriedade 'PubliclyAccessible'

  • CT.RDS.PR.30: exija que uma instância de banco de dados do Amazon RDS tenha a criptografia em repouso configurada para usar uma chave do KMS que você especifique para os tipos de mecanismos compatíveis.

  • CT.S3.PR.12: exija que um ponto de acesso Amazon S3 tenha uma configuração de Bloqueio de Acesso Público (BPA) com todas as opções definidas como verdadeiras.

Novos controles preventivos

  • CT.APPSYNC.PV.1 Exija que uma API AWS AppSync GraphQL esteja configurada com visibilidade privada

  • CT.EC2.PV.1 Exija que um snapshot do Amazon EBS seja criado a partir de um volume criptografado EC2

  • CT.EC2.PV.2 Exija que um volume anexado do Amazon EBS esteja configurado para criptografar dados em repouso

  • CT.EC2.PV.3 Exija que um snapshot do Amazon EBS não possa ser restaurado publicamente

  • CT.EC2.PV.4 Exija que o Amazon EBS direct não APIs seja chamado

  • CT.EC2.PV.5 Proibir o uso da importação e exportação da Amazon EC2 VM

  • CT.EC2.PV.6 Proibir o uso de ações obsoletas da Amazon e da API EC2 RequestSpotFleet RequestSpotInstances

  • CT.KMS.PV.1 Exija que uma política AWS KMS fundamental tenha uma declaração que limite a criação de AWS KMS subsídios a AWS serviços

  • CT.KMS.PV.2 Exija que uma chave AWS KMS assimétrica com material de chave RSA usado para criptografia não tenha um comprimento de chave de 2048 bits

  • CT.KMS.PV.3 Exija que uma AWS KMS chave seja configurada com a verificação de segurança de bloqueio de política de desvio ativada

  • CT.KMS.PV.4 Exija que uma chave AWS KMS gerenciada pelo cliente (CMK) seja configurada com material de chave proveniente do CloudHSM AWS

  • CT.KMS.PV.5 Exigir que uma chave AWS KMS gerenciada pelo cliente (CMK) seja configurada com material de chave importado

  • CT.KMS.PV.6 Exija que uma chave AWS KMS gerenciada pelo cliente (CMK) seja configurada com material de chaves proveniente de um armazenamento de chaves externo (XKS)

  • CT.LAMBDA.PV.1 Exigir um URL de AWS Lambda função para usar a autenticação AWS baseada em IAM

  • CT.LAMBDA.PV.2 Exija que um URL de AWS Lambda função seja configurado para acesso somente por diretores dentro de seu Conta da AWS

  • CT.MULTISERVICE.PV.1: Negar acesso AWS com base na solicitação de uma unidade organizacional Região da AWS

Os novos controles de detetives que aprimoram sua postura de governança de soberania digital fazem parte do AWS Control Tower padrão gerenciado AWS Security Hub por serviços.

Novos controles de detecção

  • SH.ACM.2: os certificados RSA gerenciados pelo ACM devem usar um comprimento de chave de pelo menos 2.048 bits

  • SH.AppSync.5: O AWS AppSync GraphQL não APIs deve ser autenticado com chaves de API

  • SH.CloudTrail.6: certifique-se de que o bucket do S3 usado para armazenar CloudTrail registros não esteja acessível ao público:

  • SH.DMS.9: os endpoints do DMS devem usar SSL.

  • SH.DocumentDB.3: os snapshots manuais do cluster do Amazon DocumentDB não devem ser públicos.

  • SH.DynamoDB.3: os clusters do DynamoDB Accelerator (DAX) devem ser criptografados em repouso.

  • SH.EC2.23: os EC2 Transit Gateways não devem aceitar automaticamente solicitações de anexos de VPC

  • SH.EKS.1: os endpoints do cluster do EKS não devem ser acessíveis ao público.

  • SH.ElastiCache.3: os grupos ElastiCache de replicação devem ter o failover automático ativado

  • SH.ElastiCache.4: os grupos ElastiCache de replicação deveriam estar habilitados encryption-at-rest

  • SH.ElastiCache.5: os grupos ElastiCache de replicação deveriam estar habilitados encryption-in-transit

  • SH.ElastiCache.6: grupos ElastiCache de replicação de versões anteriores do Redis devem ter o Redis AUTH ativado

  • SH.EventBridge.3: os ônibus de eventos EventBridge personalizados devem ter uma política baseada em recursos anexada

  • SH.KMS.4: a rotação de AWS KMS chaves deve estar ativada

  • SH.Lambda.3: as funções do Lambda devem estar em uma VPC.

  • SH.MQ.5: os agentes do ActiveMQ devem usar o modo de implantação ativo/em espera.

  • SH.MQ.6: os agentes do RabbitMQ devem usar o modo de implantação de cluster.

  • SH.MSK.1: os clusters do MSK devem ser criptografados em trânsito entre os nós do agente.

  • SH.RDS.12: a autenticação do IAM deve ser configurada para clusters do RDS.

  • SH.RDS.15: os clusters de banco de dados do RDS devem ser configurados com várias zonas de disponibilidade.

  • SH.S3.17: os buckets S3 devem ser criptografados em repouso com chaves AWS KMS

Para obter mais informações sobre controles adicionados ao padrão AWS Security Hub gerenciado por serviços (AWS Control Tower), consulte Controles que se aplicam ao Service-Managed Standard: AWS Control Tower na documentação. AWS Security Hub

Para obter uma lista dos Regiões da AWS que não oferecem suporte a determinados controles que fazem parte do AWS Control Tower padrão AWS Security Hub gerenciado por serviços, consulte Regiões sem suporte.

Novo controle configurável de negação de região no nível da UO

CT.MULTISERVICE.PV.1: esse controle aceita parâmetros para especificar regiões isentas, entidades principais do IAM e ações que são permitidas, no nível da UO, em vez de para toda a zona de pouso do AWS Control Tower. É um controle preventivo, implementado pela política de controle de serviços (SCP).

Consulte mais informações em Region deny control applied to the OU.

A API do UpdateEnabledControl

Esse lançamento do AWS Control Tower adiciona o seguinte suporte de API para controles:

  • A API EnableControl atualizada pode configurar controles que são configuráveis.

  • A API GetEnabledControl atualizada mostra os parâmetros configurados em um controle habilitado.

  • A nova API UpdateEnabledControl pode alterar os parâmetros em um controle habilitado.

Consulte mais informações na Referência de API do AWS Control Tower.

O AWS Control Tower é compatível com landing zone APIs

26 de novembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora suporta a configuração e o lançamento da landing zone usando APIs. Você pode criar, atualizar, obter, listar, redefinir e excluir zonas de pouso usando APIs.

O seguinte APIs permite que você configure e gerencie sua landing zone programaticamente usando AWS CloudFormation ou o. AWS CLI

O AWS Control Tower oferece suporte ao seguinte APIs para zonas de pouso:

  • CreateLandingZone: essa chamada de API cria uma zona de pouso usando uma versão da zona de pouso e um arquivo de manifesto.

  • GetLandingZoneOperation: essa chamada de API retorna o status de uma operação de zona de pouso especificada.

  • GetLandingZone: essa chamada de API retorna detalhes sobre a zona de pouso especificada, incluindo a versão, o arquivo de manifesto e o status.

  • UpdateLandingZone: essa chamada de API atualiza a versão da zona de pouso ou o arquivo de manifesto.

  • ListLandingZone: essa chamada de API retorna um identificador da zona de pouso (ARN) para uma configuração da zona de pouso na conta de gerenciamento.

  • ResetLandingZone: essa chamada de API redefine a zona de pouso para os parâmetros especificados na atualização mais recente, o que pode reparar o desvio. Se a zona de pouso não tiver sido atualizada, essa chamada a redefinirá para os parâmetros especificados na criação.

  • DeleteLandingZone: essa chamada de API desativa a zona de pouso.

Para começar a usar o landing zone APIs, veja Comece a usar o AWS Control Tower usando APIs o.

AWS Control Tower permite a marcação de controles habilitados

10 de novembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora oferece suporte à marcação de recursos para controles habilitados, a partir do console do AWS Control Tower ou por meio de APIs. É possível adicionar, remover ou listar tags para controles habilitados.

Com o lançamento do seguinte APIs, você pode configurar tags para os controles que você habilita no AWS Control Tower. As tags ajudam a gerenciar, identificar, organizar, pesquisar e filtrar recursos. Você pode criar tags para categorizar recursos por finalidade, proprietário, ambiente ou outros critérios.

O AWS Control Tower oferece suporte ao seguinte APIs para marcação de controle:

  • TagResource: essa chamada de API adiciona tags aos controles habilitados no AWS Control Tower.

  • UntagResource: essa chamada de API remove as tags dos controles habilitados no AWS Control Tower.

  • ListTagsForResource: essa chamada de API retorna tags para controles habilitados no AWS Control Tower.

Os controles da AWS Control Tower APIs estão disponíveis Regiões da AWS onde a AWS Control Tower está disponível. Para obter uma lista completa dos locais Regiões da AWS em que o AWS Control Tower está disponível, consulte a tabela de AWS regiões. Para obter uma lista completa do AWS Control Tower APIs, consulte a Referência da API.

AWS Control Tower disponível na região Ásia-Pacífico (Melbourne)

3 de novembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower está disponível na região Ásia-Pacífico (Melbourne).

Se você já usa o AWS Control Tower e deseja estender seus recursos de governança para essa região em suas contas, acesse a página Configurações no painel do AWS Control Tower, selecione a região e atualize a zona de pouso. Depois de atualizar a landing zone, você deve atualizar todas as contas que são governadas pelo AWS Control Tower para colocar suas contas OUs sob governança na nova região. Consulte mais informações em About Updates.

Consulte uma lista de regiões nas quais o AWS Control Tower está disponível na Tabela de Região da AWS.

Transição para um novo tipo de produto AWS Service Catalog externo (fase 1)

31 de outubro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

HashiCorp atualizou seu licenciamento do Terraform. Como resultado, AWS Service Catalog atualizou o suporte para produtos Terraform Open Source e provisionou produtos para um novo tipo de produto, chamado Externo.

O AWS Control Tower não permite personalizações do Account Factory que dependem do tipo de produto External do AWS Service Catalog . Para evitar interrupções nas cargas de trabalho e nos AWS recursos existentes em suas contas, siga as etapas de transição do AWS Control Tower nesta ordem sugerida, até 14 de dezembro de 2023:

  1. Atualize seu Terraform Reference Engine existente AWS Service Catalog para incluir suporte para os tipos de produtos externos e de código aberto do Terraform. Para obter instruções sobre como atualizar seu Terraform Reference Engine, consulte o AWS Service Catalog GitHub Repositório.

  2. Acesse AWS Service Catalog e duplique todos os blueprints existentes do Terraform Open Source para usar o novo tipo de produto externo. Não encerre os esquemas existentes do Terraform Open Source.

  3. Continue usando os esquemas existentes do Terraform Open Source para criar ou atualizar contas no AWS Control Tower.

Nova API de controle disponível

14 de outubro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora é compatível com uma API adicional que você pode usar para implantar e gerenciar controles do AWS Control Tower em grande escala. Para obter mais informações sobre o controle do AWS Control Tower APIs, consulte a Referência da API.

O AWS Control Tower adicionou uma nova API de controle.

  • GetEnabledControl: a chamada de API fornece detalhes sobre um controle habilitado.

Também atualizamos esta API:

ListEnabledControls: essa chamada de API lista os controles habilitados pelo AWS Control Tower na unidade organizacional especificada e as contas que ela contém. Agora, ela retorna informações adicionais em um objeto EnabledControlSummary.

Com eles APIs, você pode realizar várias operações comuns de forma programática. Por exemplo:

  • Consulte uma lista de todos os controles que você habilitou na biblioteca de controles do AWS Control Tower.

  • Para qualquer controle habilitado, é possível ter informações sobre as regiões compatíveis com o controle, além do identificador (ARN), do status de desvio e do resumo do status do controle.

Os controles da AWS Control Tower APIs estão disponíveis Regiões da AWS onde a AWS Control Tower está disponível. Para obter uma lista completa dos locais Regiões da AWS em que o AWS Control Tower está disponível, consulte a tabela de AWS regiões. Para obter uma lista completa do AWS Control Tower APIs, consulte a Referência da API.

AWS Control Tower adiciona outros controles

5 de outubro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower anuncia novos controles proativos e de detecção.

Os controles proativos no AWS Control Tower são implementados por meio de AWS CloudFormation Hooks, que identificam e bloqueiam recursos não compatíveis antes de provisioná-los. AWS CloudFormation Os controles proativos complementam os recursos existentes de controle preventivo e de detecção no AWS Control Tower.

Novos controles proativos

  • [CT.ATHENA.PR.1] Exija que um grupo de trabalho do Amazon Athena criptografe os resultados da consulta do Athena em repouso

  • [CT.ATHENA.PR.2] Exija que um grupo de trabalho do Amazon Athena criptografe os resultados da consulta do Athena em repouso com uma chave (KMS) AWS Key Management Service

  • [CT.CLOUDTRAIL.PR.4] Exigir um armazenamento de dados de eventos do AWS CloudTrail Lake para habilitar a criptografia em repouso com uma AWS KMS chave

  • [CT.DAX.PR.2] Exigir um cluster Amazon DAX para implantar nós em pelo menos três zonas de disponibilidade

  • [CT.EC2.PR.14] Exigir um volume do Amazon EBS configurado por meio de um modelo de EC2 lançamento da Amazon para criptografar dados em repouso

  • [CT.EKS.PR.2] Exigir que um cluster Amazon EKS seja configurado com criptografia secreta usando AWS chaves do Key Management Service (KMS)

  • [CT.ELASTICLOADBALANCING.PR.14] Exigir que um Network Load Balancer tenha o balanceamento de carga entre zonas ativado

  • [CT.ELASTICLOADBALANCING.PR.15] Exija que um grupo-alvo do Elastic Load Balancing v2 não desabilite explicitamente o balanceamento de carga entre zonas

  • [CT.EMR.PR.1] Exija que uma configuração de segurança do Amazon EMR (EMR) esteja configurada para criptografar dados em repouso no Amazon S3

  • [CT.EMR.PR.2] Exija que uma configuração de segurança do Amazon EMR (EMR) esteja configurada para criptografar dados em repouso no Amazon S3 com uma chave AWS KMS

  • [CT.EMR.PR.3] Exija que uma configuração de segurança do Amazon EMR (EMR) seja configurada com criptografia de disco local de volume do EBS usando uma chave AWS KMS

  • [CT.EMR.PR.4] Exija que uma configuração de segurança do Amazon EMR (EMR) esteja configurada para criptografar dados em trânsito

  • [CT.GLUE.PR.1] Exigir que uma tarefa AWS Glue tenha uma configuração de segurança associada

  • [CT.GLUE.PR.2] Exija uma configuração de segurança do AWS Glue para criptografar dados em destinos do Amazon S3 usando chaves KMS AWS

  • [CT.KMS.PR.2] Exigir que uma chave AWS KMS assimétrica com material de chave RSA usado para criptografia tenha um comprimento de chave maior que 2048 bits

  • [CT.KMS.PR.3] Exigir que uma política AWS KMS fundamental tenha uma declaração que limite a criação de AWS KMS subsídios a AWS serviços

  • [CT.LAMBDA.PR.4] Exigir uma permissão de AWS Lambda camada para conceder acesso a uma AWS organização ou AWS conta específica

  • [CT.LAMBDA.PR.5] Exigir um URL de AWS Lambda função para usar a autenticação AWS baseada em IAM

  • [CT.LAMBDA.PR.6] Exigir uma política de URL CORS de AWS Lambda função para restringir o acesso a origens específicas

  • [CT.NEPTUNE.PR.4] Exija um cluster de banco de dados Amazon Neptune para permitir a exportação de logs da CloudWatch Amazon para registros de auditoria

  • [CT.NEPTUNE.PR.5] Exija um cluster de banco de dados Amazon Neptune para definir um período de retenção de backup maior ou igual a sete dias

  • [CT.REDSHIFT.PR.9] Exija que um grupo de parâmetros de cluster do Amazon Redshift esteja configurado para usar o Secure Sockets Layer (SSL) para criptografia de dados em trânsito

Esses novos controles proativos estão disponíveis comercialmente Regiões da AWS onde o AWS Control Tower está disponível. Consulte mais detalhes sobre esses controles em Proactive controls. Consulte mais detalhes sobre onde os controles estão disponíveis em Control limitations.

Novos controles de detecção

Novos controles foram adicionados ao padrão gerenciado por serviços do Security Hub: AWS Control Tower. Esses controles ajudam a aprimorar o procedimento de governança. Eles agem como parte do padrão gerenciado por serviços do Security Hub: AWS Control Tower, depois que você os habilita em qualquer UO específica.

  • [SH.Athena.1] Os grupos de trabalho do Athena devem ser criptografados em repouso

  • [SH.Neptune.1] Os clusters de banco de dados Neptune devem ser criptografados em repouso

  • [SH.Neptune.2] Os clusters de banco de dados Neptune devem publicar registros de auditoria no Logs CloudWatch

  • [SH.Neptune.3] Os instantâneos do cluster de banco de dados Neptune não devem ser públicos

  • [SH.Neptune.4] Os clusters de banco de dados Neptune devem ter a proteção contra exclusão ativada

  • [SH.Neptune.5] Os clusters de banco de dados Neptune devem ter backups automatizados habilitados

  • [SH.Neptune.6] Os instantâneos do cluster de banco de dados Neptune devem ser criptografados em repouso

  • [SH.Neptune.7] Os clusters de banco de dados Neptune devem ter a autenticação de banco de dados do IAM habilitada

  • [SH.Neptune.8] Os clusters de banco de dados Neptune devem ser configurados para copiar tags para instantâneos

  • [SH.RDS.27] Os clusters de banco de dados do RDS devem ser criptografados em repouso

Os novos controles de AWS Security Hub detetive estão disponíveis na maioria dos Regiões da AWS lugares onde o AWS Control Tower está disponível. Consulte mais detalhes sobre esses controles em Controls that apply to Service-Managed Standard: AWS Control Tower. Consulte mais detalhes sobre onde os controles estão disponíveis em Limitações de controle.

Novo tipo de desvio relatado: acesso confiável desabilitado

21 de setembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

Depois de configurar a zona de pouso do AWS Control Tower, é possível desabilitar o acesso confiável ao AWS Control Tower no AWS Organizations. No entanto, isso causa um desvio.

Com o tipo de desvio de acesso confiável desabilitado, o AWS Control Tower notifica você quando esse tipo de desvio ocorre, para que seja possível reparar a zona de pouso do AWS Control Tower. Consulte mais informações em Types of governance drift.

Quatro adicionais Regiões da AWS

13 de setembro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower já está disponível nas regiões Ásia-Pacífico (Hyderabad), Europa (Espanha e Zurique) e Oriente Médio (EAU).

Se você já usa o AWS Control Tower e deseja estender seus recursos de governança para essa região em suas contas, acesse a página Configurações no painel do AWS Control Tower, selecione a região e atualize a zona de pouso. Depois de atualizar a landing zone, você deve atualizar todas as contas que são governadas pelo AWS Control Tower para colocar suas contas OUs sob governança na nova região. Consulte mais informações em About Updates.

Consulte uma lista de regiões nas quais o AWS Control Tower está disponível na Tabela de Região da AWS.

AWS Control Tower disponível na região Tel Aviv

28 de agosto de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower anuncia disponibilidade na região Israel (Tel Aviv).

Se você já usa o AWS Control Tower e deseja estender seus recursos de governança para essa região em suas contas, acesse a página Configurações no painel do AWS Control Tower, selecione a região e atualize a zona de pouso. Depois de atualizar a landing zone, você deve atualizar todas as contas que são governadas pelo AWS Control Tower para colocar suas contas OUs sob governança na nova região. Consulte mais informações em About Updates.

Consulte uma lista de regiões nas quais o AWS Control Tower está disponível na Tabela de Região da AWS.

AWS Control Tower lança 28 novos controles proativos

24 de julho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower está adicionando 28 novos controles proativos para ajudar a gerenciar o ambiente da AWS .

Os controles proativos aprimoram os recursos de governança do AWS Control Tower em seus AWS ambientes de várias contas, bloqueando recursos não compatíveis antes de serem provisionados. Esses controles ajudam a gerenciar AWS serviços como Amazon CloudWatch, Amazon Neptune, Amazon e ElastiCache AWS Step Functions Amazon DocumentDB. Os novos controles ajudam você a atingir objetivos de controle, como estabelecer registros e monitoramento, criptografar dados em repouso ou melhorar a resiliência.

Aqui está uma lista completa dos novos controles:

  • [CT.APPSYNC.PR.1] Exigir que uma AWS AppSync API GraphQL tenha o registro ativado

  • [CT.CLOUDWATCH.PR.1] Exija que um alarme da CloudWatch Amazon tenha uma ação configurada para o estado do alarme

  • [CT.CLOUDWATCH.PR.2] Exija que um grupo de registros da CloudWatch Amazon seja mantido por pelo menos um ano

  • [CT.CLOUDWATCH.PR.3] Exija que um grupo de registros da CloudWatch Amazon seja criptografado em repouso com uma chave KMS AWS

  • [CT.CLOUDWATCH.PR.4] Exigir que uma ação de alarme da Amazon seja ativada CloudWatch

  • [CT.DOCUMENTDB.PR.1]: exija que um cluster Amazon DocumentDB seja criptografado em repouso.

  • [CT.DOCUMENTDB.PR.2]: exija que um cluster do Amazon DocumentDB tenha backups automáticos habilitados.

  • [CT.DYNAMODB.PR.2] Exija que uma tabela do Amazon DynamoDB seja criptografada em repouso usando chaves AWS KMS

  • [CT. EC2.PR.13] Exija que uma EC2 instância da Amazon tenha o monitoramento detalhado ativado

  • [CT.EKS.PR.1]: exija que um cluster do Amazon EKS seja configurado com o acesso público desabilitado ao endpoint do servidor da API do Kubernetes do cluster.

  • [CT.ELASTICACHE.PR.1] Exija que um cluster Amazon ElastiCache for Redis tenha os backups automáticos ativados

  • [CT.ELASTICACHE.PR.2] Exija que um cluster ElastiCache Amazon for Redis tenha as atualizações automáticas de versões secundárias ativadas

  • [CT.ELASTICACHE.PR.3] Exija que um grupo de replicação ElastiCache Amazon for Redis tenha o failover automático ativado

  • [CT.ELASTICACHE.PR.4] Exija que um grupo de replicação da Amazon tenha a criptografia em repouso ElastiCache ativada

  • [CT.ELASTICACHE.PR.5] Exija que um grupo de replicação ElastiCache Amazon for Redis tenha a criptografia em trânsito ativada

  • [CT.ELASTICACHE.PR.6] Exigir um cluster de cache da Amazon para usar um grupo de sub-rede personalizado ElastiCache

  • [CT.ELASTICACHE.PR.7] Exija que um grupo de replicação da ElastiCache Amazon de versões anteriores do Redis tenha a autenticação do Redis AUTH

  • [CT.ELASTICBEANSTALK.PR.3]: exija que um ambiente do AWS Elastic Beanstalk tenha uma configuração de registro em log.

  • [CT.LAMBDA.PR.3]: exija que uma função do AWS Lambda esteja em uma Amazon Virtual Private Cloud (VPC) gerenciada pelo cliente.

  • [CT.NEPTUNE.PR.1] Exija que um cluster de banco de dados Amazon Neptune tenha autenticação de banco de dados (IAM) AWS Identity and Access Management

  • [CT.NEPTUNE.PR.2]: exija que um cluster de banco de dados do Amazon Neptune tenha a proteção contra exclusão habilitada.

  • [CT.NEPTUNE.PR.3]: exija que um cluster de banco de dados do Amazon Neptune tenha a criptografia de armazenamento habilitada.

  • [CT.REDSHIFT.PR.8]: exija que um cluster do Amazon Redshift seja criptografado.

  • [CT.S3.PR.9]: exija que um bucket do Amazon S3 tenha o Bloqueio de Objetos do S3 ativado.

  • [CT.S3.PR.10] Exija que um bucket Amazon S3 tenha a criptografia do lado do servidor configurada usando chaves AWS KMS

  • [CT.S3.PR.11]: exija que um bucket do Amazon S3 tenha o versionamento habilitado.

  • [CT.STEPFUNCTIONS.PR.1]: exija que uma máquina de estado do AWS Step Functions tenha o registro em log ativado.

  • [CT.STEPFUNCTIONS.PR.2] Exigir que uma máquina de estado tenha o rastreamento ativado AWS Step Functions AWS X-Ray

Os controles proativos no AWS Control Tower são implementados por meio de AWS CloudFormation Hooks, que identificam e bloqueiam recursos não compatíveis antes de provisioná-los. AWS CloudFormation Os controles proativos complementam os recursos existentes de controle preventivo e de detecção no AWS Control Tower.

Esses novos controles proativos estão disponíveis em todos os Regiões da AWS lugares onde o AWS Control Tower está disponível. Consulte mais detalhes sobre esses controles em Proactive controls.

AWS Control Tower desativa dois controles

18 de julho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower conduz análises regulares de seus controles de segurança para garantir que eles estejam atualizados e continuem sendo considerados como práticas recomendadas. Os dois controles a seguir foram desativados, a partir de 18 de julho de 2023, e serão removidos da biblioteca de controles a partir de 18 de agosto de 2023. Não é mais possível habilitar esses controles em nenhuma unidade organizacional. Você pode optar por desativar esses controles antes da data de remoção.

  • [SH.S3.4]: os buckets do S3 devem ter a criptografia no lado do servidor habilitada.

  • [CT.S3.PR.7]: exija que um bucket do Amazon S3 tenha a criptografia do lado do servidor configurada.

Motivo da desativação

Desde janeiro de 2023, o Amazon S3 configurou a criptografia padrão em todos os buckets não criptografados novos e existentes para aplicar a criptografia do lado do servidor com chaves gerenciadas do S3 (SSE-S3) como o nível básico de criptografia para novos objetos carregados nesses buckets. Nenhuma alteração foi feita na configuração de criptografia padrão de um bucket existente que já tinha a criptografia SSE-S3 ou do lado do servidor com as chaves do AWS Key Management Service (AWS KMS) (SSE-KMS) configuradas.

Versão 3.2 da zona de pouso do AWS Control Tower

16 de junho de 2023

(É necessário atualizar a zona de pouso do AWS Control Tower para a versão 3.2. Consulte informações em Atualizar a zona de pouso).

A versão 3.2 da zona de pouso do AWS Control Tower traz os controles que fazem parte do padrão AWS Security Hub gerenciado por serviços: AWS Control Tower para disponibilidade geral. Ele introduz a capacidade de visualizar o status de desvio dos controles que fazem parte desse padrão no console do AWS Control Tower.

Essa atualização inclui uma nova função vinculada ao serviço (SLR), chamada de Torre. AWSService RoleFor AWSControl Essa função auxilia o AWS Control Tower criando uma regra EventBridge gerenciada, chamada de AWSControlTowerManagedRuleem cada conta membro. Essa regra gerenciada coleta eventos de AWS Security Hub busca, com o AWS Control Tower que pode determinar o desvio do controle.

Essa regra é a primeira regra gerenciada a ser criada pelo AWS Control Tower. A regra não é implantada por uma pilha; ela é implantada diretamente do. EventBridge APIs Você pode ver a regra no EventBridge console ou por meio do EventBridge APIs. Se o campo managed-by for preenchido, ele mostrará a entidade principal do serviço AWS Control Tower.

Anteriormente, o AWS Control Tower assumia a AWSControlTowerExecutionfunção de realizar operações nas contas dos membros. Essa nova função e regra estão melhor alinhadas com o princípio de melhores práticas de permitir o mínimo de privilégios ao realizar operações em um ambiente com várias AWS contas. O novo perfil fornece permissões de escopo reduzido que permitem especificamente: criar a regra gerenciada nas contas-membros, manter a regra gerenciada, publicar notificações de segurança por meio do SNS e verificar o desvio. Para obter mais informações, consulte AWSServiceRoleForAWSControlTorre.

A atualização do landing zone 3.2 também inclui um novo StackSet recurso na conta de gerenciamentoBP_BASELINE_SERVICE_LINKED_ROLE, que inicialmente implanta a função vinculada ao serviço.

Ao relatar o desvio do controle do Security Hub (na zona de pouso 3.2 e posterior), o AWS Control Tower recebe uma atualização de status diária do Security Hub. Embora os controles estejam ativos em todas as regiões governadas, o AWS Control Tower envia os eventos AWS Security Hub Finding somente para a região de origem da AWS Control Tower. Consulte mais informações em Security Hub control drift reporting.

Atualização do controle de negação de região

Essa versão da zona de pouso também inclui uma atualização para o controle de negação de região.

Serviços globais e APIs adicionados

  • AWS Billing and Cost Management (billing:*)

  • AWS CloudTrail (cloudtrail:LookupEvents) para permitir a visibilidade de eventos globais nas contas dos membros.

  • AWS Faturamento consolidado () consolidatedbilling:*

  • AWS Management Console Mobile Application (consoleapp:*)

  • AWS Nível gratuito (freetier:*)

  • Faturamento da AWS (invoicing:*)

  • AWS QI () iq:*

  • AWS Notificações do usuário (notifications:*)

  • AWS Contatos de notificações do usuário (notifications-contacts:*)

  • Pagamentos da Amazon (payments:*)

  • AWS Configurações fiscais (tax:*)

Serviços globais e APIs removidos

  • Remoção de s3:GetAccountPublic porque não é uma ação válida.

  • Remoção de s3:PutAccountPublic porque não é uma ação válida.

AWS Control Tower gerencia contas com base em ID

14 de junho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora cria e gerencia contas que você cria no Account Factory rastreando o ID da AWS conta, em vez do endereço de e-mail da conta.

Ao provisionar uma conta, o solicitante da conta sempre deve ter as permissões CreateAccount e DescribeCreateAccountStatus. Esse conjunto de permissões faz parte do perfil de Administrador e é concedido automaticamente quando um solicitante assume esse perfil. Se você delegar permissão para provisionar contas, talvez seja necessário adicionar essas permissões diretamente aos solicitantes da conta.

Controles de detecção adicionais do Security Hub disponíveis na biblioteca de controles do AWS Control Tower

12 de junho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower adicionou dez novos controles de AWS Security Hub detetive à biblioteca de controles da AWS Control Tower. Esses novos controles têm como alvo serviços como API Gateway AWS CodeBuild, Amazon Elastic Compute Cloud (EC2), Amazon Elastic Load Balancer, Amazon Redshift, Amazon SageMaker AI e. AWS WAF Esses novos controles ajudam a aprimorar seu procedimento de governança atendendo aos objetivos de controle, como Estabelecer registro em log e monitoramento, Limitar o acesso à rede e Criptografar dados em repouso.

Esses controles agem como parte do Padrão gerenciado por serviços do Security Hub: AWS Control Tower, depois que você os habilita em qualquer UO específica.

  • [sh.Account.1] As informações de contato de segurança devem ser fornecidas para um Conta da AWS

  • [ELA. APIGateway.8] As rotas do API Gateway devem especificar um tipo de autorização

  • [ELA. APIGateway.9] O registro de acesso deve ser configurado para os estágios V2 do API Gateway

  • [ELA. CodeBuild.3] Os registros CodeBuild do S3 devem ser criptografados

  • [ELA. EC2.25] os modelos de EC2 lançamento não devem atribuir interfaces públicas IPs às de rede

  • [SH.ELB.1]: o Application Load Balancer deve ser configurado para redirecionar todas as solicitações HTTP para HTTPS.

  • [SH.Redshift.10]: os clusters do Redshift devem ser criptografados em repouso.

  • [ELA. SageMaker.2] As instâncias do notebook SageMaker AI devem ser iniciadas em uma VPC personalizada

  • [ELA. SageMaker.3] Os usuários não devem ter acesso root às instâncias do notebook SageMaker AI

  • [SH.WAF.10] Uma ACL WAFV2 da web deve ter pelo menos uma regra ou grupo de regras

Os novos controles de AWS Security Hub detetive estão disponíveis em todos os Regiões da AWS lugares onde o AWS Control Tower está disponível. Consulte mais detalhes sobre esses controles em Controls that apply to Service-Managed Standard: AWS Control Tower.

AWS Control Tower publica tabelas de metadados de controle

7 de junho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora fornece tabelas completas de metadados de controle como parte da documentação publicada. Ao trabalhar com o controle APIs, você pode consultar a API ControlIdentifier de cada controle, que é um ARN exclusivo associado a cada um. Região da AWS As tabelas incluem os frameworks e os objetivos de controle que cada controle abrange. Anteriormente, essas informações estavam disponíveis somente no console.

As tabelas também incluem os metadados dos controles do Security Hub que fazem parte do Padrão gerenciado por serviço do AWS Security Hub : AWS Control Tower. Consulte detalhes completos em Tables of control metadata.

Para obter uma lista abreviada de identificadores de controle e alguns exemplos de uso, consulte Identificadores de recursos e controles. APIs

Suporte do Terraform para o Account Factory Customization

6 de junho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower oferece suporte em uma única região para o Terraform por meio do Account Factory Customization (AFC). A partir desse lançamento, é possível usar o AWS Control Tower e o Service Catalog juntos para definir esquemas de contas do AFC no Terraform Open Source. Você pode personalizar seus recursos novos e existentes antes Contas da AWS de provisionar recursos no AWS Control Tower. Por padrão, esse recurso permite implantar e atualizar contas, com o Terraform, na sua região de origem do AWS Control Tower.

Um esquema de conta descreve os recursos e configurações específicos que são necessários quando uma Conta da AWS é provisionada. Você pode usar o blueprint como modelo para criar vários Contas da AWS em grande escala.

Para começar, use o Terraform Reference Engine ativado. GitHub O Reference Engine configura o código e a infraestrutura necessários para que o mecanismo de código aberto do Terraform funcione com o Service Catalog. Esse processo de configuração único leva alguns minutos. Depois disso, é possível definir seus requisitos de conta personalizados no Terraform e, depois, implantar suas contas com o fluxo de trabalho bem definido do Account Factory do AWS Control Tower. Os clientes que preferem trabalhar com o Terraform podem utilizar a personalização de conta do AWS Control Tower em grande escala com o AFC e ter acesso imediato a cada conta após o provisionamento.

Para saber como criar essas personalizações, consulte Creating Products e Getting started with Terraform open source na documentação do Service Catalog. Esse recurso está disponível em todos os Regiões da AWS lugares onde o AWS Control Tower está disponível.

AWS Autogerenciamento do IAM Identity Center disponível para landing zone

6 de junho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora oferece uma opção de provedor de identidades para uma zona de pouso do AWS Control Tower, que você pode definir durante a configuração ou atualização. Por padrão, a landing zone aceita usar o AWS IAM Identity Center, de acordo com as diretrizes de melhores práticas definidas em Organizando seu AWS ambiente usando várias contas. Agora você tem três alternativas:

  • Você pode aceitar o padrão e permitir que o AWS Control Tower configure e gerencie o Centro de Identidade do AWS IAM para você.

  • Você pode optar por autogerenciar o AWS IAM Identity Center para refletir seus requisitos comerciais específicos.

  • Opcionalmente, você pode trazer e autogerenciar um provedor de identidades de terceiros, conectando-o por meio do Centro de Identidade do IAM, se necessário. Você deve usar a opção de provedor de identidade se seu ambiente regulatório exigir o uso de um provedor específico ou se você operar em um Regiões da AWS local onde o AWS IAM Identity Center não esteja disponível.

Para obter mais informações, consulte Orientações sobre o Centro de Identidade do IAM.

A seleção de provedores de identidade no nível da conta não é permitida. Esse recurso se aplica somente à zona de pouso como um todo. A opcionalidade do provedor de identidade do AWS Control Tower está disponível em todos os Regiões da AWS lugares onde o AWS Control Tower está disponível.

O AWS Control Tower aborda a governança mista para OUs

1.º de junho de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

Com esse lançamento, o AWS Control Tower impede a implantação de controles em uma unidade organizacional (UO), se essa UO estiver em um estado de governança mista. A governança mista ocorre em uma OU se as contas não forem atualizadas depois que o AWS Control Tower estender a governança para uma nova Região da AWS ou remover a governança. Esse lançamento ajuda você a manter as contas-membros dessa UO em conformidade uniforme. Para obter mais informações, consulte Evitar governança mista ao configurar regiões.

Controles proativos adicionais disponíveis

19 de maio de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower está adicionando 28 novos controles proativos para ajudar a administrar o ambiente de várias contas e a cumprir objetivos de controle específicos, como criptografia de dados em repouso ou limitar o acesso à rede. Os controles proativos são implementados com AWS CloudFormation ganchos que verificam seus recursos antes de serem provisionados. Os novos controles podem ajudar a governar AWS serviços como Amazon OpenSearch Service, Amazon EC2 Auto Scaling, Amazon AI, SageMaker Amazon API Gateway e Amazon Relational Database Service (RDS).

Os controles proativos são suportados em todos os comerciais em Regiões da AWS que o AWS Control Tower está disponível.

OpenSearch Serviço Amazon

  • [CT.OPENSEARCH.PR.1]: exija um domínio do Elasticsearch para criptografar dados em repouso.

  • [CT.OPENSEARCH.PR.2]: exija que um domínio do Elasticsearch seja criado em uma Amazon VPC especificada pelo usuário.

  • [CT.OPENSEARCH.PR.3]: exija um domínio do Elasticsearch para criptografar dados enviados entre os nós.

  • [CT.OPENSEARCH.PR.4] Exigir um domínio do Elasticsearch para enviar registros de erros para o Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.5] Exigir um domínio do Elasticsearch para enviar registros de auditoria para o Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.6]: exija que um domínio do Elasticsearch tenha reconhecimento de zona e pelo menos três nós de dados.

  • [CT.OPENSEARCH.PR.7]: exija que um domínio do Elasticsearch tenha pelo menos três nós principais dedicados.

  • [CT.OPENSEARCH.PR.8] Exija que um domínio do Elasticsearch Service use .2 TLSv1

  • [CT.OPENSEARCH.PR.9] Exigir um domínio do OpenSearch Amazon Service para criptografar dados em repouso

  • [CT.OPENSEARCH.PR.10] Exija que um domínio do Amazon Service seja criado em uma OpenSearch Amazon VPC especificada pelo usuário

  • [CT.OPENSEARCH.PR.11] Exigir um domínio do OpenSearch Amazon Service para criptografar dados enviados entre os nós

  • [CT.OPENSEARCH.PR.12] Exigir um domínio do Amazon Service para enviar registros de erros para o OpenSearch Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.13] Exigir um domínio do Amazon Service para enviar registros de auditoria para o OpenSearch Amazon Logs CloudWatch

  • [CT.OPENSEARCH.PR.14] Exija que um domínio do OpenSearch Amazon Service tenha reconhecimento de zona e pelo menos três nós de dados

  • [CT.OPENSEARCH.PR.15] Exija um domínio do OpenSearch Amazon Service para usar um controle de acesso refinado

  • [CT.OPENSEARCH.PR.16] Exigir um domínio do Amazon Service para usar .2 OpenSearch TLSv1

Amazon EC2 Auto Scaling

  • [CT.AUTOSCALING.PR.1] Exija que um grupo do Amazon Auto EC2 Scaling tenha várias zonas de disponibilidade

  • [CT.AUTOSCALING.PR.2] Exija uma configuração de lançamento de grupo do Amazon Auto EC2 Scaling para configurar instâncias da Amazon para EC2 IMDSv2

  • [CT.AUTOSCALING.PR.3] Exija que uma configuração de lançamento do Amazon Auto EC2 Scaling tenha um limite de resposta de metadados de salto único

  • [CT.AUTOSCALING.PR.4] Exija que um grupo do Amazon Auto EC2 Scaling associado a um Amazon Elastic Load Balancing (ELB) tenha as verificações de saúde do ELB ativadas

  • [CT.AUTOSCALING.PR.5] Exija que uma configuração de lançamento de grupo do Amazon Auto EC2 Scaling não tenha instâncias da Amazon com endereços IP públicos EC2

  • [CT.AUTOSCALING.PR.6] Exija que qualquer grupo do Amazon Auto EC2 Scaling use vários tipos de instância

  • [CT.AUTOSCALING.PR.8] Exija que um grupo do Amazon Auto EC2 Scaling tenha modelos de lançamento configurados EC2

SageMaker Inteligência Artificial da Amazon

  • [CT.SAGEMAKER.PR.1] Exija uma instância de notebook Amazon SageMaker AI para impedir o acesso direto à Internet

  • [CT.SAGEMAKER.PR.2] Exija que as instâncias do notebook Amazon AI sejam implantadas em uma SageMaker Amazon VPC personalizada

  • [CT.SAGEMAKER.PR.3] Exija que as instâncias do notebook Amazon AI tenham acesso root não permitido SageMaker

Amazon API Gateway

  • [CT.APIGATEWAY.PR.5]: exija rotas de Websocket e HTTP do Amazon API Gateway V2 para especificar um tipo de autorização.

Amazon Relational Database Service (RDS)

  • [CT.RDS.PR.25]: exija que um cluster de banco de dados do Amazon RDS tenha o registro em log configurado.

Consulte mais informações em Proactive controls.

Controles EC2 proativos atualizados da Amazon

2 de maio de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower atualizou dois controles proativos: CT.EC2.PR.3 and CT.EC2.PR.4.

Para o atualizado CT.EC2.PR.3 controle, qualquer AWS CloudFormation implantação que faça referência a uma lista de prefixos para um recurso do grupo de segurança é bloqueada de ser implantada, a menos que seja para a porta 80 ou 443.

Para o atualizado CT.EC2.PR.4 controle, qualquer AWS CloudFormation implantação que faça referência a uma lista de prefixos para um recurso de grupo de segurança será bloqueada se a porta for 3389, 20, 23, 110, 143, 3306, 8080, 1433, 9200, 9300, 25, 445, 135, 21, 1434, 4333, 5432, 5500, 5601, 22, 3000, 5000, 8088, 8888.

Sete adicionais Regiões da AWS disponíveis

19 de abril de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

O AWS Control Tower agora está disponível em mais sete Regiões da AWS: Norte da Califórnia (São Francisco), Ásia-Pacífico (Hong Kong, Jacarta e Osaka), Europa (Milão), Oriente Médio (Bahrein) e África (Cidade do Cabo). Essas regiões adicionais do AWS Control Tower, chamadas de regiões opcionais, não estão ativas por padrão, exceto a região Oeste dos EUA (N. da Califórnia), que está ativa por padrão.

Alguns controles no AWS Control Tower não operam em algumas dessas Regiões da AWS adicionais onde o AWS Control Tower está disponível, porque essas regiões não são compatíveis com a funcionalidade subjacente necessária. Para obter detalhes, consulte Limitações de controle.

Dentre essas novas regiões, o CfCT não está disponível na região Ásia-Pacífico (Jacarta e Osaka). A disponibilidade em outros Regiões da AWS permanece inalterada.

Consulte mais informações sobre como o AWS Control Tower gerencia as limitações de regiões e controles em Considerações sobre como ativar as regiões opcionais da AWS.

Os VPCe endpoints exigidos pela AFT não estão disponíveis na região do Oriente Médio (Bahrein). Os clientes que implantam o AFT nesta região devem implantar com o parâmetro aft_vpc_endpoints=false. Consulte mais informações no parâmetro do arquivo README.

O AWS Control Tower VPCs tem duas zonas de disponibilidade na região Oeste dos EUA (Norte da Califórnia)us-west-1, devido a uma limitação na Amazon EC2. Na região Oeste dos EUA (N. da Califórnia), seis sub-redes são divididas em duas zonas de disponibilidade. Para obter mais informações, consulte Visão geral do AWS Control Tower e VPCs.

A AWS Control Tower adicionou novas permissões para permitir AWSControlTowerServiceRolePolicy que a AWS Control Tower faça chamadas paraEnableRegion,ListRegions, e GetRegionOptStatus APIs implementadas pelo serviço de gerenciamento de AWS contas, para Regiões da AWS disponibilizá-las para suas contas compartilhadas na landing zone (conta de gerenciamento, conta de arquivo de log, conta de auditoria) e suas contas de membros da OU. Para obter mais informações, consulte Políticas gerenciadas para o AWS Control Tower.

Rastreamento de solicitações de personalização de conta do Account Factory for Terraform (AFT)

16 de fevereiro de 2023

O AFT permite o rastreamento de solicitações de personalização de conta. Toda vez que você envia uma solicitação de personalização de conta, o AFT gera um token de rastreamento exclusivo que passa por uma máquina de AWS Step Functions estado de personalização do AFT, que registra o token como parte de sua execução. Você pode usar as consultas de insights do Amazon CloudWatch Logs para pesquisar intervalos de timestamp e recuperar o token da solicitação. Como resultado, é possível ver as cargas úteis que acompanham o token, para que você possa rastrear sua solicitação de personalização de conta em todo o fluxo de trabalho do AFT. Consulte mais informações sobre o AFT em Overview of AWS Control Tower Account Factory for Terraform. Para obter informações sobre CloudWatch Logs e Step Functions, consulte o seguinte:

Versão 3.1 da zona de pouso do AWS Control Tower

9 de fevereiro de 2023

(É necessário atualizar a zona de pouso do AWS Control Tower para a versão 3.1. Consulte informações em Atualizar a zona de pouso)

A versão 3.1 da zona de pouso do AWS Control Tower inclui as seguintes atualizações:

  • Com esse lançamento, o AWS Control Tower desativa o registro em log de acesso desnecessário para o bucket de registro em log de acesso, que é o bucket do Amazon S3 em que os logs de acesso são armazenados na conta de arquivamento de logs, enquanto continua habilitando o registro em log de acesso ao servidor para buckets do S3. Esta versão também inclui atualizações no controle Region Deny que permitem ações adicionais para serviços globais, como Suporte Planos AWS Artifact e.

  • A desativação do registro em log de acesso ao servidor para o bucket de registro em log de acesso do AWS Control Tower faz com que o Security Hub crie uma descoberta para o bucket de registro em log de acesso da conta de arquivamento de logs, devido a uma regra do AWS Security Hub : [S3.9] O registro em log de acesso ao servidor do bucket do S3 deve ser habilitado. Em alinhamento com o Security Hub, recomendamos que você suprima essa descoberta específica, conforme declarado na descrição dessa regra no Security Hub. Consulte informações adicionais sobre descobertas suprimidas.

  • O registro em log de acesso para o bucket de registro em log (regular) na conta de arquivamento de logs permanece inalterado na versão 3.1. De acordo com as práticas recomendadas, os eventos de acesso desse bucket são registrados como entradas de log no bucket de registro em log de acesso. Consulte mais informações sobre o registro em log de acesso em Registrar em log as solicitações com registro em log de acesso ao servidor na documentação do Amazon S3.

  • Fizemos uma atualização no controle de negação de região. Essa atualização permite ações de mais serviços globais. Para obter detalhes sobre esse SCP, consulte Negar acesso AWS com base na solicitação Região da AWS e Controles que aprimoram a proteção da residência de dados.

    Serviços globais adicionados:

    • AWS Account Management (account:*)

    • AWS Ativar (activate:*)

    • AWS Artifact (artifact:*)

    • AWS Billing Conductor (billingconductor:*)

    • AWS Compute Optimizer (compute-optimizer:*)

    • AWS Data Pipeline (datapipeline:GetAccountLimits)

    • AWS Device Farm(devicefarm:*)

    • AWS Marketplace (discovery-marketplace:*)

    • Amazon ECR (ecr-public:*)

    • AWS License Manager (license-manager:ListReceivedLicenses)

    • AWS lightsail:Get*Lightsail ()

    • Explorador de recursos da AWS (resource-explorer-2:*)

    • Amazon S3 (s3:CreateMultiRegionAccessPoint, s3:GetBucketPolicyStatus, s3:PutMultiRegionAccessPointPolicy)

    • AWS Savings Plans (savingsplans:*)

    • Centro de Identidade do IAM (sso:*)

    • AWS Support App (supportapp:*)

    • Suporte Planos (supportplans:*)

    • AWS Sustentabilidade (sustainability:*)

    • AWS Resource Groups Tagging API (tag:GetResources)

    • AWS Marketplace Informações do fornecedor () vendor-insights:ListEntitledSecurityProfiles

Controles proativos disponíveis ao público

24 de janeiro de 2023

(Não é necessário atualizar a zona de pouso do AWS Control Tower.)

Os controles proativos opcionais, anunciados anteriormente no status de prévia, já estão disponíveis ao público. Esses controles são chamados de proativos porque verificam seus recursos, antes de serem implantados, para determinar se os novos recursos estão em conformidade com os controles ativados no ambiente. Para obter mais informações, consulte Controles abrangentes auxiliam no provisionamento e gerenciamento de recursos da AWS.