Implante e gerencie os controles da AWS Control Tower usando o AWS CDK e o AWS CloudFormation

Criado por Iker Reina Fuente (AWS) e Ivan Girardi (AWS)

Resumo

Esse padrão descreve como usar a AWS CloudFormation e o AWS Cloud Development Kit (AWS CDK) para implementar e administrar controles preventivos, detectivos e proativos do AWS Control Tower como infraestrutura como código (IaC). Um controle (também conhecido como barreira de proteção) é uma regra de alto nível que fornece governança contínua para o ambiente geral da AWS Control Tower. Por exemplo, você pode usar controles para exigir o registro de suas contas da AWS e, em seguida, configurar notificações automáticas caso ocorram eventos específicos relacionados à segurança.

O AWS Control Tower ajuda você a implementar controles para prevenção, detecção e proativação que governam seus recursos da AWS e monitoram a conformidade em várias contas da AWS. Cada controle impõe uma única regra. Neste padrão, você usa um modelo de IaC fornecido para especificar quais controles você deseja implantar em seu ambiente.

Os controles da AWS Control Tower se aplicam a uma unidade organizacional (UO) inteira, e o controle afeta todas as contas da AWS dentro da UO. Portanto, quando os usuários realizam qualquer ação em qualquer conta em sua zona de pouso, a ação está sujeita aos controles que governam a UO.

A implementação dos controles da AWS Control Tower ajuda a estabelecer uma base sólida de segurança para sua Zona de Pouso da AWS. Ao usar esse padrão para implantar os controles como IaC CloudFormation e AWS CDK, você pode padronizar os controles em sua landing zone e implantá-los e gerenciá-los com mais eficiência. Essa solução usa cdk_nag para escanear o aplicativo AWS CDK durante a implantação. Essa ferramenta verifica a adesão do aplicativo às práticas recomendadas da AWS.

Para implantar os controles do AWS Control Tower como IaC, você também pode usar o HashiCorp Terraform em vez do AWS CDK. Para obter mais informações, consulte Implantar e gerenciar controle da AWS Control Tower usando o Terraform.

Público-alvo

Esse padrão é recomendado para usuários com experiência com o AWS Control Tower CloudFormation, o AWS CDK e o AWS Organizations.

Pré-requisitos e limitações

Pré-requisitos

Limitações

Versões do produto

Arquitetura

Arquitetura de destino

Esta seção fornece uma visão geral de alto nível dessa solução e da arquitetura estabelecida pelo código de exemplo. O diagrama a seguir mostra os controles implantados nas várias contas na UO.

Os controles do AWS Control Tower são categorizados de acordo com seu comportamento e orientação.

Há três tipos principais de comportamentos de controle:

A orientação de controle se refere à prática recomendada de como aplicar cada controle às suas OUs. O AWS Control Tower fornece três categorias de orientações: obrigatórias, fortemente recomendadas e eletivas. A orientação de um controle é independente do comportamento dele. Para obter mais informações, consulte Controle de comportamento e orientação.

Ferramentas

Serviços da AWS

Outras ferramentas

Repositório de código

O código desse padrão está disponível nos controles GitHub Deploy AWS Control Tower usando o repositório AWS CDK. Você usa o arquivo cdk.json para interagir com o aplicativo AWS CDK e usa o arquivo package.json para instalar os pacotes npm.

Práticas recomendadas

Épicos

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

Recursos relacionados

Documentação da AWS

Outros recursos

Mais informações

Exemplo de arquivo constants.py

A seguir, um exemplo de um arquivo constants.py atualizado.

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

Política do IAM

O exemplo de política a seguir permite as ações mínimas necessárias para ativar ou desativar os controles do AWS Control Tower ao implantar pilhas de CDK da AWS de uma conta de implantação para a conta de gerenciamento.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

Política de confiança

A política de confiança personalizada a seguir permite que um perfil do IAM específico na conta de implantação assuma o perfil do IAM na conta de gerenciamento. Substitua o seguinte:

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}