使用 Terraform 部署和管理 AWS Control Tower 控件

由 Iker Reina Fuente (AWS) 和 Ivan Girardi () 创作 AWS

摘要

此模式描述了如何使用 AWS Control Tower 控件、 HashiCorp Terraform 和基础设施即代码 (IaC) 来实施和管理预防、侦查和主动安全控制。控制（也称为护栏）是一条高级规则，可为您的整体 AWS Control Tower 环境提供持续的治理。例如，您可以使用控件要求记录您的信息， AWS 账户 然后在发生特定的安全相关事件时配置自动通知。

AWS Control Tower 帮助您实施预防、侦查和主动控制，以管理您的 AWS 资源并监控多个资源的合规性 AWS 账户。每个控件都会强制执行一条规则。在此模式中，您使用提供的 IaC 模板来指定要在环境中部署哪些控件。

AWS Control Tower 控件适用于整个组织单位 (OU)，而控制会影响组织单位 AWS 账户 内的每个单位。因此，当用户在您的登录区中的任何账户中执行任何操作时，该操作将受到管理 OU 的控制的约束。

实施 AWS Control Tower 控制措施有助于为您的 AWS 着陆区（Landing zone）奠定坚实的安全基础。通过使用此模式通过 Terraform 将控件部署为 IaC，可以标准化登录区中的控件，并更有效地部署和管理它们。

要将 AWS Control Tower 控件部署为 IaC，也可以使用 AWS Cloud Development Kit (AWS CDK) 代替 Terraform。有关更多信息，请参阅使用 AWS CDK 和部署和管理 AWS Control Tower 控件 AWS CloudFormation。

目标受众

建议有使用 Terraform 和经验的 AWS Control Tower用户使用此模式。 AWS Organizations

先决条件和限制

先决条件

限制

产品版本

架构

本部分概括介绍此解决方案，以及由示例代码建立的架构。下图显示了跨 OU 中的各个账户部署的控件。

AWS Control Tower 控件根据其行为和指导进行分类。

控制行主要包含三种类型：

控制指导是如何将每种控制应用于您的控制的推荐做法OUs。 AWS Control Tower 提供三类指导：必修指导、强烈推荐指导和选修指导。控制指导与其行为无关。有关更多信息，请参阅控制行为和指导。

工具

AWS 服务

其他工具

代码存储库

此模式的代码可在使用 Terraform 存储库 GitHub 部署和管理 AWS Control Tower 控件中找到。

最佳实践

操作说明

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

故障排除

相关资源

AWS 文档

其他资源

其他信息

Example variables.tfvars 文件

以下是更新的 variables.tfvars 文件的示例。此示例启用 AWS-GR ENCRYPTED _ VOLUMES 控件（全局 ID:503uicglhjkokaajywfpt6ros）和 AWS-GR_ _ _ PUBLIC _IP SUBNET AUTO ASSIGN _ DISABLED 控件（全局 ID:）。50z1ot237wl8u1lv5ufau6qqo有关全局标识符的列表IDs，请参阅 AWS Control Tower 文档中的所有全局标识符。

controls = [
    {
        control_names = [
            "503uicglhjkokaajywfpt6ros",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "50z1ot237wl8u1lv5ufau6qqo",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

该IAM角色的最低权限权限

这种模式要求您在管理账户中IAM扮演角色。最佳做法是承担具有临时权限的角色，并根据最低权限原则限制权限。以下示例策略允许启用或禁用 AWS Control Tower 控件所需的最少操作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}