使用 AWS CDK 和 AWS 部署和管理 AWS Control Tower 控制 CloudFormation

由伊克爾·雷納·富恩特（AWS）和伊万·吉拉迪（AWS）創建

Summary

此模式說明如何使用 AWS CloudFormation 和 AWS Cloud Development Kit (AWS CDK) 來實作和管理預防性、偵測和主動的 AWS Control Tower 控制作為基礎設施即程式碼 (IaC)。控制項 (也稱為護欄) 是一項高階規則，可為您的整體 AWS Control Tower 環境提供持續的管控。例如，您可以使用控制項要求 AWS 帳戶記錄，然後在發生特定安全性相關事件時設定自動通知。

AWS Control Tower 可協助您實作預防性、偵測和主動式控制，以管理 AWS 資源並監控多個 AWS 帳戶的合規。每個控制項都會強制執行單一規則。在此模式中，您可以使用提供的 IaC 範本來指定要在環境中部署的控制項。

AWS Control Tower 控制適用於整個組織單位 (OU)，而且控制會影響 OU 中的每個 AWS 帳戶。因此，當使用者在您的 landing zone 中的任何帳戶中執行任何動作時，動作會受到控制 OU 的控制項的約束。

實作 AWS Control Tower 控制有助於為您的 AWS landing zone 建立堅實的安全基礎。透過使用此模式將控制項部署為 IaC to CloudFormation 和 AWS CDK，您可以標準化 landing zone 域中的控制項，並更有效率地部署和管理它們。此解決方案會在部署期間使用 cdk_nag 掃描 AWS CDK 應用程式。此工具會檢查應用程式是否遵守 AWS 最佳實務。

若要將 AWS Control Tower 控制項部署為 I HashiCorp aC，您也可以使用地形來取代 AWS CDK。如需詳細資訊，請參閱使用 Terraform 部署和管理 AWS Control Tower 控制。

目標受眾

對於具有 AWS Control Tower、AWS CDK 和 AWS Organizations 相關經驗的使用者 CloudFormation，建議使用此模式。

先決條件和限制

先決條件

限制

產品版本

架構

目標架構

本節提供此解決方案的高階概觀，以及範例程式碼所建立的架構。下圖顯示在 OU 中各個帳戶中部署的控制項。

AWS Control Tower 控制項會根據其行為和指導進行分類。

控制行為有三種主要類型：

控制指引是指建議的做法，說明如何將每個控制項套用至 OU。AWS Control Tower 提供三種類別的指導：強制性、強烈建議和選修。控制項的指導獨立於其行為。如需詳細資訊，請參閱控制行為和指引。

工具

AWS 服務

其他工具

代碼存儲庫

此模式的程式碼可在使用 AWS CDK 儲存庫的 GitHub 部署 AWS Control Tower 控制中取得。您可以使用 cdk.json 檔案與 AWS CDK 應用程式互動，並使用封裝 .json 檔案來安裝 NPM 套件。

最佳實務

史诗

git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git

$ ./scripts/install_deps.sh

$ npx cdk synth
$ npx cdk deploy

相關資源

AWS 文件

其他資源

其他資訊

constants.py 檔案範例

以下是更新的 constants.py 檔案的範例。

ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
    {
        "Enable-Control": {
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        },
        "OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        "Enable-Control": {
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        },
        "OrganizationalUnitIds": ["ou-2222-22222222"...],
    },
]

IAM 政策

以下範例政策允許在將 AWS CDK 堆疊從部署帳戶部署到管理帳戶時啟用或停用 AWS Control Tower 控制所需的最低動作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DescribeOrganizationalUnit",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        }
    ]
}

信任政策

下列自訂信任政策允許部署帳戶中的特定 IAM 角色擔任管理帳戶中的 IAM 角色。取代以下項目：

{
    “Version”: “2012-10-17”,
    “Statement”: [
        {
            “Effect”: “Allow”,
            “Principal”: {
                “AWS”: “arn:aws:iam::<DEPLOYMENT-ACCOUNT-ID>:role/<DEPLOYMENT-ROLE-NAME>”
            },
            “Action”: “sts:AssumeRole”,
            “Condition”: {}
        }
    ]
}