View a markdown version of this page

什么是 AWS Control Tower？ - AWS Control Tower
功能AWS 控制塔如何与其他人互动 AWS 务您是 AWS 控制塔的 First-Time 用户吗？

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

什么是 AWS Control Tower？

AWS Control Tower 遵循规范性最佳实践，提供了一种设置和管理 AWS 多账户环境的简单方法。AWS Control Tower 协调了其他几项AWS 服务的功能 AWS Organizations，包括 AWS Service Catalog AWS IAM Identity Center、和，可在不到一小时的时间内建立一个着陆区。资源是代表您设置和管理的。

AWS 控制塔编排扩展了的能力。 AWS Organizations为了帮助确保您的组织和账户不会出现偏移（即偏离最佳实践），AWS Control Tower 应用控件（有时称为防护机制）。例如，您可以使用控件来帮助确保创建安全日志和必要的跨账户访问权限，且不会对其进行更改。

如果您要托管多个账户，那么拥有一个便于账户部署和账户管理的编排层会很有帮助。您可以采用 AWS Control Tower 作为预置账户和基础设施的主要方式。借助 AWS Control Tower，您可以更轻松地遵守公司标准、满足监管要求和遵循最佳实践。

AWS Control Tower 使分布式团队中的最终用户能够通过 AWS 账户工厂中的可配置账户模板快速预置新账户。同时，您的中央云管理员可以进行监控，了解是否所有账户都与制定的公司范围内的合规性政策保持一致。

简而言之，AWS Control Tower 根据与数千家企业合作建立的最佳实践，为设置和管理安全、合规的多账户 AWS 环境提供了最简单的方法。有关使用 AWS 控制塔的更多信息以及 AWS 多账户策略中概述的最佳实践，请参阅AWS 多账户策略：最佳实践指南。

功能

AWS Control Tower 具有以下功能：

  • 登录区：登录区是一个架构完善的多账户环境，它基于安全性和合规性最佳实践。它是企业范围的容器，其中包含您希望由合规性法规约束的所有组织单元（OU）、账户、用户和其他资源。登录区可以扩展以满足任何规模的企业的需求。

  • 控制 — 控制（有时称为护栏）是一项高级规则，可为您的整体 AWS 环境提供持续的治理。它以简明的语言表达。存在三种控件：预防性控件、检测性控件和主动性控件。针对各个控件，有以下三类指导：必需、强烈推荐或可选。有关控件的详细信息，请参阅 控件的工作原理。

  • Account Factory：Account Factory 是一种可配置的账户模板，有助于通过预先批准的账户配置对新账户进行标准化预置。AWS Control Tower 提供了一个内置的 Account Factory，可帮助您自动执行组织中的账户预置工作流。有关更多信息，请参阅 使用 Account Factory 预置和管理账户。

  • 控制面板：控制面板可以为中央云管理员团队提供对登录区的持续监督。使用控制面板可查看整个企业中的预置账户、为策略实施启用的控件、为策略不合规的连续检测启用的控件以及由账户和 OU 组织的不合规资源。

AWS 控制塔建立在可信和可靠的 AWS 服务之上 AWS Service Catalog，包括 AWS IAM Identity Center、和 AWS Organizations。有关更多信息，请参阅 集成服务。

您可以将 AWS 控制塔与其他 AWS 服务整合到一个解决方案中，以帮助您将现有工作负载迁移到 AWS。有关更多信息，请参阅如何利用 AWS 控制塔并将工作负载迁移 CloudEndure 到 AWS。

配置、治理和可扩展性

  • 自动账户配置：AWS Control Tower 通过 Account Factory（或“自动售货机”）自动部署和注册账户，Account Factory 是在 AWS Service Catalog中预置产品的基础上作为抽象构建的。Account Factory 可以创建和注册 AWS 账户，并自动执行对这些账户应用控制和政策的过程。有关创建和预置账户的更多信息，请参阅预置的方法。

  • 集中治理：通过利用的功能 AWS Organizations，AWS Control Tower 建立了一个框架，确保您的多账户环境保持一致的合规性和监管。该 AWS Organizations 服务为管理多账户环境提供了基本功能，包括账户的集中管理和管理、 AWS Organizations 通过 API 创建账户、服务控制策略 (SCP) 和资源控制策略 (RCP)。

  • 可扩展性：您可以直接在 AWS 控制塔控制台中 AWS Organizations工作来构建或扩展自己的 AWS 控制塔环境。注册现有组织并将现有账户注册到 AWS Control Tower 后，您可以看到您所做的更改反映在 AWS Control Tower 中。您可以更新您的 AWS Control Tower 登录区，以反映您所做的更改。如果您的工作负载需要进一步的高级功能，您可以利用其他 AWS 合作伙伴解决方案以及 AWS 控制塔。

您是 AWS 控制塔的 First-Time 用户吗？

如果您是此服务的新用户，建议您阅读以下内容：

  1. 如果您需要有关如何规划和组织登录区的更多信息，请参阅规划您的 AWS Control Tower 登录区和AWS 您的 AWS 控制塔着陆区的多账户策略。

  2. 如果您已准备好创建您的第一个登录区，请参阅 开始使用 AWS Control Tower。

  3. 有关偏移检测和预防的信息，请参阅 在 AWS Control Tower 中检测并解决偏移问题。

  4. 有关安全性详细信息，请参阅 AWS Control Tower 中的安全性。

  5. 有关更新登录区和成员账户的信息，请参阅 AWS Control Tower 中的配置更新管理。