本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

2022 年 1 月 – 12 月

2022 年，AWS Control Tower 发布了以下更新：

并发账户操作

2022 年 12 月 16 日

（AWS Control Tower 登录区无需更新。）

AWS Control Tower 现在支持在 Account Factory 中执行并发操作。您一次可以创建、更新或注册最多五（5）个账户。连续提交最多五个操作，并查看每个请求的完成状态，而您的账户将在后台完成构建。例如，在更新另一个账户或重新注册整个组织单元（OU）之前，您不必再等待每个流程完成。

Account Factory Customization（AFC）

2022 年 11 月 28 日

（AWS Control Tower 登录区无需更新。）

Account Factory 自定义支持在 AWS Control Tower 控制台中自定义新账户和现有账户。这些新的自定义功能使您可以灵活地定义账户蓝图，这些 CloudFormation 模板包含在专门的服务目录产品中。蓝图可预置完全自定义的资源和配置。您还可以选择使用由 AWS 合作伙伴构建和管理的预定义蓝图，以帮助针对特定用例自定义账户。

此前，AWS Control Tower Account Factory 不支持在控制台中自定义账户。随着此次 Account Factory 更新，您可以预定义账户要求，并将其作为明确定义的工作流的一部分来实施。您可以应用蓝图创建新账户、将其他 AWS 账户注册到 AWS 控制塔以及更新现有的 AWS 控制塔账户。

在 Account Factory 中预置、注册或更新账户时，您将选择要部署的蓝图。蓝图中指定的资源将在您的账户中进行预置。当您的账户完成构建后，所有自定义配置即可立即投入使用。

要开始自定义账户，您可以在 Service Catalog 产品中为预期用例定义资源。您也可以从 AWS 入门库中选择合作伙伴管理的解决方案。有关更多信息，请参阅 使用 Account Factory Customization（AFC）功能自定义账户。

全面的控制措施有助于 AWS 资源调配和管理

2022 年 11 月 28 日

（AWS Control Tower 登录区无需更新。）

AWS Control Tower 现在支持全面的控制管理，包括通过 CloudFormation 挂钩实施的新的、可选的主动控制。这些控件之所以被称为主动性控件，是因为它们会在部署资源之前检查您的资源，以确定新资源是否符合在您的环境中激活的控件。

超过 130 项新的主动控制措施可帮助您实现 AWS 控制塔环境的特定政策目标；满足行业标准合规框架的要求；以及管理 AWS 控制塔与其他二十多种 AWS 服务之间的互动。

AWS 控制塔控制库根据相关的 AWS 服务和资源对这些控件进行分类。有关更多详细信息，请参阅 Proactive controls。

在此版本中，AWS 控制塔还通过新的安全中心 CSPM Service-Managed 标准集成了 AWS 控制塔，后者支持 AWS 基础安全最佳实践 (FSBP) 标准。 AWS Security Hub CSPM您可以在控制台中查看 160 多个安全中心 CSPM 控件以及 AWS 控制塔控件，还可以获得 AWS 控制塔环境的安全中心 CSPM 安全分数。有关更多信息，请参阅 Security Hub controls。

所有人均可查看合规状态 AWS Config 规则

2022 年 11 月 18 日

（AWS Control Tower 登录区无需更新。）

AWS 控制塔现在显示部署到在 AWS 控制塔注册的组织单位中的所有 AWS Config 规则的合规性状态。您可以查看影响您在 AWS 控制塔中注册或未注册账户的所有 AWS Config 规则的合规状态，无需在 AWS 控制塔控制台之外导航。客户可以选择在 AWS 控制塔中设置称为侦探控制的配置规则，也可以直接通过该 AWS Config 服务进行设置。显示了部署 AWS Config 的规则，以及 AWS 控制塔部署的规则。

以前，通过该 AWS Config 服务部署的 AWS Config 规则在 AWS 控制塔控制台中不可见。客户必须导航到该 AWS Config 服务才能识别不合规的 AWS Config 规则。现在，您可以在 AWS 控制塔控制台中识别任何不合规的 AWS Config 规则。要查看所有 Config 规则的合规性状态，请导航到 AWS Control Tower 控制台中的账户详细信息页面。您将看到一个列表，其中显示了由 AWS Control Tower 管理的控件以及部署在 AWS Control Tower 之外的 Config 规则的合规状态。

控件的 API 和新的 CloudFormation 资源

2022 年 9 月 1 日

（AWS Control Tower 登录区无需更新。）

AWS Control Tower 现在支持通过一组 API 调用对控件（也称为防护机制）进行编程式管理。同时，一个新的 CloudFormation 资源也支持控件的 API 功能。有关更多详细信息，请参阅 在 AWS Control Tower 中自动执行任务 和 Create AWS Control Tower 资源与 AWS CloudFormation。

这些 API 支持您启用和禁用 AWS Control Tower 库中的控件，以及查看其应用状态。这些 API 包括对的支持 CloudFormation，因此您可以以基础设施即代码 (IaC) 的形式管理 AWS 资源。AWS Control Tower 提供可选的预防和侦探控制措施，以表达您对整个组织单位 (OU) 和 OU 内每个 AWS 账户的政策意图。当您创建新账户或更改现有账户时，这些规则仍然有效。

要查看可选控件的控件名称列表，请参阅《AWS Control Tower 用户指南》中的 Resource identifiers for APIs and controls。

CfCT 支持删除堆栈集

2022 年 8 月 26 日

（AWS Control Tower 登录区无需更新。）

Customizations for AWS Control Tower（CfCT）现在支持通过在 manifest.yaml 文件中设置参数来删除堆栈集。有关更多信息，请参阅 删除堆栈集。

自定义日志保留

2022 年 8 月 15 日

（AWS Control Tower 登录区需要更新。有关信息，请参阅 更新您的登录区）

AWS 控制塔现在能够为存储您的 AWS 控制塔 CloudTrail 日志的 Amazon S3 存储桶自定义保留策略。您可以自定义 Amazon S3 日志保留策略，以天或年为增量，最长不超过 15 年。

如果您选择不自定义日志保留期，则标准账户日志记录的默认设置为 1 年，访问日志记录的默认设置为 10 年。

当现有客户更新或修复登录区时，可通过 AWS Control Tower 使用此功能；新客户则可在 AWS Control Tower 设置中使用该功能

支持角色偏移修复

2022 年 8 月 11 日

（AWS Control Tower 登录区无需更新。）

AWS Control Tower 现在支持修复角色偏移。您无需修复整个登录区，即可恢复所需的角色。如果需要这种类型的偏移修复，控制台错误页面会提供恢复角色的步骤，以便您的登录区再次正常运行。

AWS Control Tower 登录区版本 3.0

2022 年 7 月 29 日

（AWS Control Tower 登录区需要更新到版本 3.0。有关信息，请参阅 更新您的登录区）

AWS Control Tower 登录区版本 3.0 包括以下更新：

以下各部分提供了有关每种新功能的更多详细信息。

Organization-level CloudTrail AWS 控制塔中的步道

随着登录区版本 3.0 的推出，AWS Control Tower 现在支持组织级别的 AWS CloudTrail 跟踪。

当您将 AWS 控制塔着陆区更新到 3.0 版时，您可以选择组织级别的 AWS CloudTrail 跟踪作为您的日志记录首选项，也可以选择退出由 AWS 控制塔管理的 CloudTrail 跟踪。当您更新到版本 3.0 时，AWS Control Tower 会在等待 24 小时后删除已注册账户的现有账户级别跟踪。AWS Control Tower 不会删除未注册账户的账户级别跟踪。在极少数情况下，如果您的登录区更新失败，但发生在 AWS Control Tower 创建组织级别跟踪之后，则在更新操作能够成功完成之前，您可能会为组织级别和账户级别的跟踪支付重复费用。

从着陆区 3.0 开始，AWS 控制塔不再支持可管理的 AWS 账户级跟踪。取而代之，AWS Control Tower 会根据您的选择创建组织级别跟踪，该跟踪可以处于活动状态或非活动状态。

您的汇总账户日志不会丢失任何日志记录数据，因为这些日志仍保留在存储它们的现有 Amazon S3 存储桶中。仅删除跟踪，不删除现有日志。如果您选择添加组织级别跟踪的选项，AWS Control Tower 会在 Amazon S3 存储桶中打开一条指向新文件夹的新路径，并继续向该位置发送日志记录信息。如果您选择不使用由 AWS Control Tower 管理的跟踪，您现有的日志会原封不动地保留在存储桶中。

AWS Control Tower 为您的组织级 CloudTrail 跟踪创建的路径与手动创建的组织级跟踪的默认路径不同，后者将采用以下形式：

有关 CloudTrail 路径命名的更多信息，请参阅查找 CloudTrail 日志文件。

您可以随时选择创建新的账户级别或组织级别的 CloudTrail跟踪并自行管理。在任何着陆区更新到 3.0 或更高版本期间，都可以选择由 AWS 控制塔管理的组织级 CloudTrail步道。每当您更新登录区时，您都可以选择加入和退出组织级别跟踪。

如果您的日志由第三方服务管理，请务必为您的服务指定新的路径名。

仅在家乡地区记录 AWS Config 资源

在登录区版本 3.0 中，AWS Control Tower 更新了 AWS Config 的基准配置，使其仅在主区域中记录全局资源。更新到版本 3.0 后，将仅在您的主区域中启用全局资源记录。

此配置被视为最佳实践。它是由 AWS Security Hub CSPM 和推荐的 AWS Config，它通过减少创建、修改或删除全局资源时创建的配置项目数量来节省成本。此前，每次创建、更新或删除全局资源时（无论是由客户还是 AWS 服务完成），都会为每个受监管区域中的每个项目创建一个配置项。

用于 AWS CloudTrail 日志记录的两项新的检测性控件

作为组织级 AWS CloudTrail 跟踪变更的一部分，AWS Control Tower 引入了两个新的侦探控件，用于检查 CloudTrail 是否启用。第一个控件具有强制性指导原则，并在设置或更新到 3.0 及更高版本的登录区时，它会在安全 OU 上启用。第二个控件具有强烈推荐指导原则，可以选择性地应用于除已实施强制性控制保护的安全 OU 之外的任何 OU。

强制控制：检测安全组织单位下的共享账户是否已启用 AWS CloudTrail 或 CloudTrail Lake

强烈建议进行控制：检测账户是否已启用 CloudTrail Lake AWS CloudTrail 或 Lake

有关新控件的更多信息，请参阅 The AWS Control Tower controls library。

区域拒绝控件的更新

我们更新了 “拒绝控制” 区域中的NotAction列表，将一些额外服务的操作包括在内，如下所示：

            "chatbot:*",
            "s3:GetAccountPublic",
            "s3:DeleteMultiRegionAccessPoint", 
            "s3:DescribeMultiRegionAccessPointOperation", 
            "s3:GetMultiRegionAccessPoint", 
            "s3:GetMultiRegionAccessPointPolicy", 
            "s3:GetMultiRegionAccessPointPolicyStatus",
            "s3:ListMultiRegionAccessPoints",
            "s3:GetStorageLensConfiguration", 
            "s3:GetStorageLensDashboard", 
            "s3:ListStorageLensConfigurations"
            "s3:GetAccountPublicAccessBlock",
            "s3:PutAccountPublic", 
            "s3:PutAccountPublicAccessBlock", 

视频演练

此视频（3:07）描述了如何将现有的 AWS Control Tower 登录区更新到版本 3。为了更好地观看，请选择视频右下角的图标以将其放大为全屏。可以使用字幕。

组织页面结合了 OU 和账户的视图

2022 年 7 月 18 日

（AWS Control Tower 登录区无需更新）

AWS Control Tower 中的新组织页面会显示所有组织单元（OU）和账户的分层（树）视图。它整合了此前存在的 OU 和账户页面的信息。

在该新页面上，您可以查看父 OU 与其嵌套 OU 和账户之间的关系。您可以对资源分组采取操作。您还可以配置页面视图。例如，您可以展开或折叠分层视图，筛选视图以仅查看账户或 OU，选择仅查看您的已注册账户和已注册 OU，或者查看相关资源组。这样能更轻松地确保整个组织得到妥善更新。

简化了账户创建和注册

2022 年 6 月 30 日

（AWS Control Tower 登录区无需更新。）

AWS Control Tower 现在提供用于创建和注册账户的简化工作流。无需导航到 Service Catalog 控制台，即可在单个工作流中创建新账户或注册现有账户。有关更多信息，请参阅 从 AWS Control Tower 控制台注册现有账户。

AFT 支持对共享的 AWS Control Tower 账户进行自动化自定义

2022 年 5 月 27 日

（AWS Control Tower 登录区无需更新）

Account Factory for Terraform（AFT）现在可以通过编程方式自定义和更新由 AWS Control Tower 管理的任何账户，包括管理账户、审计账户和日志存档账户，以及已注册的账户。您可以集中进行账户自定义和更新管理，同时保护账户配置的安全性，因为您可以限定执行此项工作的角色的作用范围。

现有 AWSAFTExecution 角色现在可以在所有账户中部署自定义项。您可以根据自己的业务和安全要求，设置带有边界的 IAM 权限，以此限制 AWSAFTExecution 角色的访问权限。您还可以通过编程方式将该角色中已批准的自定义权限委托给受信任的用户。作为最佳实践，建议您将权限限定于部署所需自定义项所需的权限。

AFT 现在会创建新的 AWSAFTService 角色，用于在所有托管账户（包括共享账户和管理账户）中部署 AFT 资源。此前，这些资源由 AWSAFTExecution 角色进行部署。

AWS Control Tower 共享和管理账户不是通过账户工厂配置的，因此它们中没有相应的预配置产品。 AWS Service Catalog因此，您无法更新 Service Catalog 中的共享账户和管理账户。

所有可选控件可并发操作

2022 年 5 月 18 日

（AWS Control Tower 登录区无需更新）

AWS Control Tower 现在支持预防性控件和检测性控件的并发操作。

有了这项新功能，现在可以同时应用或删除任何可选控件，从而提高所有可选控件的易用性和性能。您可以启用多个可选控件，而无需等待单个控件操作完成。唯一的限制时间是 AWS Control Tower 正在设置登录区或将监管范围扩展到新组织时。

您可以在所有已发布的 AWS Control Tower 版本中体验到控件并发操作方面的这些改进。

当您对嵌套 OU 应用预防性控件时，预防性控件会影响嵌套在目标 OU 下的所有账户和 OU，即使这些账户和 OU 未在 AWS Control Tower 中注册。使用服务控制策略 (SCP) 实施预防性控制，服务控制策略是其中的一 AWS Organizations部分。侦探控制是使用 AWS Config 规则实现的。当您创建新账户或更改现有账户时，防护机制仍然有效，并且 AWS Control Tower 会提供一份摘要报告，说明每个账户对已启用策略的遵循情况。有关可用控件的完整列表，请参阅 The AWS Control Tower controls library。

现有的安全账户和日志记录账户

2022 年 5 月 16 日

（在初始设置期间可用。）

在初始着陆区设置过程中，AWS 控制塔现在为您提供了将现有 AWS 账户指定为 AWS 控制塔安全或日志账户的选项。此选项使得 AWS Control Tower 无需创建新的共享账户。安全账户（默认称为审计账户）是一个受限账户，允许您的安全和合规团队访问您登录区中的所有账户。日志记录账户（默认称为日志存档账户）用作存储库。它存储着您登录区中所有账户的 API 活动和资源配置日志。

通过引入现有的安全账户和日志记录账户，可以更轻松地将 AWS Control Tower 监管扩展到现有组织，或者从备用登录区迁移到 AWS Control Tower。在登录区初始设置过程中，会显示供您使用现有账户的选项。它包括在设置过程中进行检查，以确保成功部署。AWS Control Tower 会对您的现有账户实施必要的角色和控件。它不会删除或合并这些账户中存在的任何现有资源或数据。

限制：如果您计划将现有 AWS 账户作为审计和日志存档账户引入 AWS 控制塔，并且这些账户有现有 AWS Config 资源，则必须先删除现有 AWS Config 资源，然后才能将账户注册到 AWS 控制塔。

AWS Control Tower 登录区版本 2.9

2022 年 4 月 22 日

（AWS Control Tower 登录区需要更新到版本 2.9。有关信息，请参阅 更新您的登录区）

AWS Control Tower 登录区版本 2.9 将通知转发器 Lambda 更新为使用 Python 版本 3.9 运行时。此次更新解决了计划于 2022 年 7 月弃用 Python 3.6 的问题。有关最新信息，请参阅 Python 弃用页面。

AWS Control Tower 登录区版本 2.8

2022 年 2 月 10 日

（AWS Control Tower 登录区需要更新到版本 2.8。有关信息，请参阅 更新您的登录区）

AWS Control Tower 登录区版本 2.8 添加了 与AWS 基础安全最佳实践的近期更新相匹配的功能。

要将登录区更新到版本 2.8，请导航到登录区设置页面，选择 2.8 版本，然后选择更新。更新登录区后，您必须更新受 AWS Control Tower 监管的所有账户，如 AWS Control Tower 中的配置更新管理 中所示。