Implantar e gerenciar os controles do AWS Control Tower usando o Terraform

Criado por Iker Reina Fuente (AWS) e Ivan Girardi (AWS)

Resumo

Esse padrão descreve como usar os controles da AWS Control Tower, o HashiCorp Terraform e a infraestrutura como código (IaC) para implementar e administrar controles de segurança preventivos, detectivos e proativos. Um controle (também conhecido como barreira de proteção) é uma regra de alto nível que fornece governança contínua para o ambiente geral da AWS Control Tower. Por exemplo, você pode usar controles para exigir o registro de suas contas da AWS e, em seguida, configurar notificações automáticas caso ocorram eventos específicos relacionados à segurança.

O AWS Control Tower ajuda você a implementar controles para prevenção, detecção e proativação que governam seus recursos da AWS e monitoram a conformidade em várias contas da AWS. Cada controle impõe uma única regra. Neste padrão, você usa um modelo de IaC fornecido para especificar quais controles você deseja implantar em seu ambiente.

Os controles da AWS Control Tower se aplicam a uma unidade organizacional (UO) inteira, e o controle afeta todas as contas da AWS dentro da UO. Portanto, quando os usuários realizam qualquer ação em qualquer conta em sua zona de pouso, a ação está sujeita aos controles que governam a UO.

A implementação dos controles da AWS Control Tower ajuda a estabelecer uma base sólida de segurança para sua Zona de Pouso da AWS. Ao usar esse padrão para implantar os controles como IaC por meio do Terraform, você pode padronizar os controles em sua zona de pouso e implantá-los e gerenciá-los com mais eficiência.

Para implantar os controles da AWS Control Tower como IaC, você também pode usar o AWS Cloud Development Kit (AWS CDK) em vez do Terraform. Para obter mais informações, consulte Implantar e gerenciar controles da AWS Control Tower usando o AWS CDK e a AWS CloudFormation.

Público-alvo

Esse padrão é recomendado para usuários com experiência com AWS Control Tower, Terraform e AWS Organizations.

Pré-requisitos e limitações

Pré-requisitos

Versões do produto

Arquitetura

Arquitetura de destino

Esta seção fornece uma visão geral de alto nível dessa solução e da arquitetura estabelecida pelo código de exemplo. O diagrama a seguir mostra os controles implantados nas várias contas na UO.

Os controles do AWS Control Tower são categorizados de acordo com seu comportamento e orientação.

Há três tipos principais de comportamentos de controle:

A orientação de controle é a prática recomendada de como aplicar cada controle às suas OUs. O AWS Control Tower fornece três categorias de orientações: obrigatórias, fortemente recomendadas e eletivas. A orientação de um controle é independente do comportamento dele. Para obter mais informações, consulte Controle de comportamento e orientação.

Ferramentas

Serviços da AWS

Outras ferramentas

Repositório de código

O código desse padrão está disponível nos controles GitHub Implante e gerencie o AWS Control Tower usando o repositório Terraform.

Práticas recomendadas

Épicos

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

Solução de problemas

Recursos relacionados

Documentação da AWS

Outros recursos

Mais informações

Exemplo de arquivo variables.tfvars

Veja a seguir um exemplo de um arquivo variables.tfvars atualizado.

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

Permissões de privilégio mínimo para o perfil do IAM

Esse padrão do APG exige que você assuma um perfil do IAM na conta de gerenciamento. A melhor prática é assumir um perfil com permissões temporárias e limitar as permissões de acordo com o princípio do privilégio mínimo. O exemplo de política a seguir permite as ações mínimas necessárias para ativar ou desativar os controles do AWS Control Tower.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}