Compatibilidade das linhas de base da UO e das versões da zona de pouso - AWS Control Tower

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Compatibilidade das linhas de base da UO e das versões da zona de pouso

AWSAs linhas de base da Control Tower permitem que você defina um padrão de governança no nível da OU, em vez de no nível da landing zone, se sua empresa precisar. A linha de base chamada AWSControlTowerBaseline está disponível para ajudar a registrá-lo no OUs AWS Control Tower.

nota

Uma linha de base é um grupo de controles e recursos que funcionam em conjunto para estabelecer um ambiente de governança estável na zona de pouso.

Ao habilitar uma linha de base em uma OU, chamando-a EnableBaseline API na AWS Control Tower, você deve especificar uma versão de linha de base que seja compatível com sua versão atual da zona de pouso da AWS Control Tower. Depois de especificar uma linha de base, todas as contas-membros em uma UO seguem a linha de base fornecida para a UO. Em outras palavras, novas contas são provisionadas com a linha de base atualizada e as contas-membros existentes são governadas de acordo com a nova linha de base.

Se você não selecionar uma linha de base para suas contas OUs e contas existentes, a versão landing zone determinará toda a postura de governança, por padrão. No entanto, cada UO registrada na zona de pouso recebe uma versão da linha de base, que é a mais recente compatível com a versão atual da zona de pouso. Portanto, cada UO e conta-membro inscrita tem uma linha de base associada, mesmo que você nunca atribua uma linha de base especificamente.

Para a linha de base em nível de OUAWSControlTowerBaseline, a tabela a seguir mostra a compatibilidade das linhas de base com as versões da zona de pouso do Control AWS Tower.

Versão da linha de base Versões da zona de pouso Esquemas incluídos Controles incluídos Alteração em relação à linha de base anterior

1,0

De 2.0 a 2.7

BP_ _, BASELINE BP_ _CLOUDTRAIL, BP_ BASELINE _CLOUDWATCH, BP_ _, BASELINE BP_ _ _CONFIG, Recursos BASELINE ROLES BASELINE SERVICE ROLES IAM

Todos os controles obrigatórios

Nenhum

2,0

De 2.8 a 2.9

BP_ _, BASELINE BP_ _CLOUDTRAIL, BP_ BASELINE _CLOUDWATCH, BP_ _, BASELINE BP_ _ _CONFIG, ConfigBASELINE, recursos ROLES BASELINE SERVICE ROLES SLR IAM

Todos os controles obrigatórios

Foi adicionada a função AWS Config vinculada ao serviço (SLR) e o novo esquema Config para usar o SLR

3.0

De 3.0 a 3.1

BP_ _, BASELINE BP_ _CLOUDWATCH, BP_ BASELINE _CONFIG, BP_ _ BASELINE _, ROLES Config, recursos BASELINE SERVICE ROLES SLR IAM

Todos os controles obrigatórios

Novo AWS Config projeto. Alteração para recursos globais de registro somente na região de origem. CloudTrail Projeto removido

4,0

De 3.2 a 3.3

BP_ _, BASELINE BP_ _CLOUDWATCH, BP_ BASELINE _CONFIG, BP_ _ _ BASELINE _ROLES, BP_ _ BASELINE SERVICE _LINKED, Config, recursos ROLE BASELINE SERVICE ROLES SLR IAM

Todos os controles obrigatórios

Novo SLR projeto

Consulte mais informações sobre recursos específicos criados em contas ao configurar a zona de pouso em Resources created in the shared accounts.

Se você atualizar a zona de pouso para uma versão compatível com uma versão mais recente da linha de base AWSControlTowerBaseline, e a nova versão da zona de pouso for compatível com sua versão de linha de base existente, o estado da UO mudará para Atualização disponível.

  • É possível continuar usando a fábrica de contas e outros recursos sem atualizar a linha de base da UO imediatamente, exceto no caso de uma atualização da zona de pouso de 2.x para 3.x.

  • As novas contas inscritas nesta OU recebem recursos com base na versão básica existente até que a versão base seja atualizada (com o recurso de governança estendida no console ou por meio do). UpdateEnabledBaseline API

  • Depois de atualizar a versão da linha de base, todas as contas dentro dessa UO recebem recursos com base na nova versão da linha de base.

nota

Se você atualizar sua zona de pouso da AWS Control Tower de qualquer versão 2.X para qualquer versão 3.X, você também deverá atualizar a versão básica da suaOUs, devido à mudança de trilhas em nível de conta para trilhas em nível de organização. AWS CloudTrail No console, a UO mostrará o status de Atualização necessária.

Considerações sobre as linhas de base

  • Se a UO exigir uma atualização da linha de base, você não poderá provisionar novas contas nem inscrever contas existentes nessa UO.

  • Depois de uma atualização da zona de pouso, se você também planeja atualizar uma linha de base de UO, será necessário registrar novamente a UO ou atualizar a versão da linha de base da UO programaticamente.

  • Recomendamos que você atualize para a linha de base mais compatível com a versão da zona de pouso que está usando, para ter acesso a todos os benefícios da zona de pouso e da linha de base combinadas. Por exemplo, se atualizar para a versão 3.3 da zona de pouso, você ainda poderá usar a linha de base 3.0, mas não terá todos os benefícios da versão 3.3 da zona de pouso, a menos que também atualize para a linha de base 4.0.

  • As atualizações de linha de base não podem ser revertidas.

  • A habilitação da linha de base se destina a uma UO por vez. Portanto, os aninhados não OUs são atualizados automaticamente quando a OU principal é atualizada. Recomendamos que você atualize a OU principal antes de atualizar a aninhadaOUs.

  • Quando você chama UpdateEnabledBaseline API ou registra novamente uma OU a partir do console, a OU retém todos os controles que foram ativados antes da atualização da linha de base.

  • Quando várias versões de linha de base são compatíveis com sua versão de landing zone, você deve usar a versão de linha de base mais recente se habilitar uma linha de base em uma OU não gerenciada.