使用 AWS CDK 和 AWS 部署和管理 AWS Control Tower 控件 CloudFormation

由 Iker Reina Fuente (AWS) 和 Ivan Girardi (AWS) 编写

Summary

此模式描述了如何使用 AWS CloudFormation 和 AWS Cloud Development Kit (AWS CDK) 以基础设施即代码 (IaC) 的形式实施和管理预防、侦查和主动式 AWS Control Tower 控制措施。控制（也称为防护机制）是一项高级规则，可为您的整个 AWS Control Tower 环境提供持续的管理。例如，您可以使用控件来要求记录您的 Amazon Web Services account，然后配置在发生特定安全相关事件时的自动通知。

AWS Control Tower 可帮您实施预防性、侦查性和主动控制措施，以管理您的 AWS 资源并监控多个 Amazon Web Services account 的合规性。每个控件都会强制执行一条规则。在此模式中，您使用提供的 IaC 模板来指定要在环境中部署哪些控件。

AWS Control Tower 控制适用于整个组织单位 (OU)，该控制会影响组织单位内的每个 Amazon Web Services account。因此，当用户在您的登录区中的任何账户中执行任何操作时，该操作将受到管理 OU 的控制的约束。

实施 AWS Control Tower 控制，有助于为您的 AWS 登录区建立强大的安全基础。通过使用这种模式将控件部署为 IaC through CloudFormation 和 AWS CDK，您可以标准化着陆区域中的控件，并更有效地部署和管理它们。此解决方案在部署期间使用 cdk_nag 扫描 AWS CDK 应用程序。此工具会检查应用程序是否符合 AWS 最佳实践标准。

要将 AWS Control Tower 控件作为 IaC 部署，您也可以使用 HashiCorp Terraform 代替 AWS CDK。有关更多信息，请参阅使用 Terraform 部署和管理 AWS Control Tower 控件。

目标受众

建议具有使用 AWS Control Tower、AWS CDK 和 AWS Org CloudFormation anizations 经验的用户使用此模式。

先决条件和限制

先决条件

限制

产品版本

架构

目标架构

本部分概括介绍此解决方案，以及由示例代码建立的架构。下图显示了跨 OU 中的各个账户部署的控件。

AWS Control Tower 控件是根据其行为和指导分类的。

控制行主要包含三种类型：

控制指南是指有关如何将每个控制应用于您的 OU 的推荐做法。AWS Control Tower 提供三类指导：强制性、强烈推荐和选择性。控制指导与其行为无关。有关更多信息，请参阅控制行为和指导。

工具

Amazon Web Services

其他工具

代码存储库

此模式的代码可在使用 AWS CDK 存储库 GitHub 部署 AWS Control Tower 控件中找到。您使用 cdk.json 文件与 AWS CDK 应用程序交互，然后使用 package.json 文件安装 npm 软件包。

最佳实践

操作说明

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

相关资源

AWS 文档

其他资源

其他信息

constants.py 文件示例

下面是更新后的 constants.py 文件的示例。

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

IAM policy

以下示例策略允许在将 AWS CDK 堆栈从部署账户部署到管理账户时启用或禁用 AWS Control Tower 控制所需最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

信任策略

以下自定义信任策略允许部署账户中特定 IAM 角色承担管理账户中的 IAM 角色。替换以下内容：

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}