使用 Terraform 部署和管理 Control Tower AWS 控件

由 Iker Reina Fuente (AWS) 和 Ivan Girardi () 创作 AWS

Summary

此模式描述了如何使用 Control Tower AWS 控件、 HashiCorp Terraform 和基础设施即代码 (IaC) 来实施和管理预防、侦查和主动安全控制。控件（也称为护栏）是一条高级规则，可为您的整个 Cont AWS rol Tower 环境提供持续的管理。例如，您可以使用控件要求您的AWS账户进行登录，然后在发生特定的安全相关事件时配置自动通知。

AWSControl Tower 可帮助您实施预防性、侦查性和主动控制措施，以管理您的AWS资源并监控多个AWS账户的合规性。每个控件都会强制执行一条规则。在此模式中，您使用提供的 IaC 模板来指定要在环境中部署哪些控件。

AWSControl Tower 控件适用于整个组织单位 (OU)，该控制会影响组织单位内的每个AWS帐户。因此，当用户在您的登录区中的任何账户中执行任何操作时，该操作将受到管理 OU 的控制的约束。

实施 Contro AWS l Tower 控制有助于为您的AWS着陆区奠定坚实的安全基础。通过使用此模式通过 Terraform 将控件部署为 IaC，可以标准化登录区中的控件，并更有效地部署和管理它们。

要将 Cont AWS rol Tower 控件部署为 IaC，你也可以使用 AWS Cloud Development Kit (AWSCDK) 代替 Terraform。有关更多信息，请参阅使用AWSCDK和部署和管理 Cont AWS rol Tower 控件AWS CloudFormation。

目标受众

建议有使用 Cont AWS rol Tower、Terraform 和 Organizations 经验的用户使用此模式。AWS

先决条件和限制

先决条件

产品版本

架构

目标架构

本部分概括介绍此解决方案，以及由示例代码建立的架构。下图显示了跨 OU 中的各个账户部署的控件。

AWSControl Tower 控件根据其行为和指导进行分类。

控制行主要包含三种类型：

控制指导是如何将每种控制应用于您的控制的推荐做法OUs。AWSControl Tower 提供三类指导：必修、强烈推荐和选修。控制指导与其行为无关。有关更多信息，请参阅控制行为和指导。

工具

AWS服务

其他工具

代码存储库

此模式的代码可在使用 Terraform 存储库 GitHub 部署和管理 Control Tower AWS 控件中找到。

最佳实践

操作说明

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

故障排除

相关资源

AWS文档

其他资源

其他信息

Example variables.tfvars 文件

以下是更新的 variables.tfvars 文件的示例。

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

该IAM角色的最低特权权限

这种APG模式要求您在管理账户中IAM扮演一个角色。最佳做法是承担具有临时权限的角色，并根据最低权限原则限制权限。以下示例策略允许执行启用或禁用 Cont AWS rol Tower 控件所需的最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}