使用 Terraform 部署和管理 AWS Control Tower 控制項

由 Iker Reina Fuente (AWS) 和 Ivan Girardi (AWS) 建立

Summary

此模式說明如何使用 AWS Control Tower 控制項、 HashiCorp Terraform 和基礎設施做為程式碼 (IaC) 來實作和管理預防性、偵測性和主動式安全控制。控制項 （也稱為護欄) 是高階規則，可為您的整體 AWS Control Tower 環境提供持續的控管。例如，您可以使用控制項來要求記錄您的 ， AWS 帳戶 然後在發生特定安全相關事件時設定自動通知。

AWS Control Tower 可協助您實作預防性、偵測性和主動性控制，以管理 資源並監控多個 AWS 資源的合規性 AWS 帳戶。每個控制項都會強制執行單一規則。在此模式中，您可以使用提供的 IaC 範本來指定要在環境中部署的控制項。

AWS Control Tower 控制項適用於整個組織單位 (OU)，而控制項會影響 OU AWS 帳戶 中的每個單位。因此，當使用者在您登陸區域的任何帳戶中執行任何動作時，該動作會受到 OU 的控制。

實作 AWS Control Tower 控制項有助於為您的 AWS 登陸區域建立強大的安全基礎。透過使用此模式透過 Terraform 將控制項部署為 IaC，您可以標準化登陸區域中的控制項，並更有效率地部署和管理它們。

若要將 AWS Control Tower 控制項部署為 IaC，您也可以使用 AWS Cloud Development Kit (AWS CDK) 而非 Terraform。如需詳細資訊，請參閱使用 和 部署和管理 AWS Control Tower 控制項 AWS CDKAWS CloudFormation。

目標對象

對於具有 AWS Control Tower、Terraform 和 經驗的使用者，建議使用此模式 AWS Organizations。

先決條件和限制

先決條件

限制

產品版本

架構

本節提供此解決方案的高階概觀，以及範例程式碼建立的架構。下圖顯示部署在 OU 中各種帳戶的控制項。

AWS Control Tower 控制項會根據其行為及其指引進行分類。

控制行為有三種主要類型：

控制指引是將每個控制項套用至 的建議實務OUs。 AWS Control Tower 提供三種類型的指引：強制性、強烈建議和選擇性。控制項的指引與其行為無關。如需詳細資訊，請參閱控制行為和指導。

工具

AWS 服務

其他工具

程式碼儲存庫

此模式的程式碼可在 GitHub Deploy 中使用，並使用 Terraform 儲存庫管理 AWS Control Tower 控制項。

最佳實務

史詩

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

故障診斷

相關資源

AWS 文件

其他資源

其他資訊

範例 variables.tfvars 檔案

以下是已更新 variables.tfvars 檔案的範例。此範例會啟用 AWS-GR_ENCRYPTED_VOLUMES 控制項 （全域 ID：503uicglhjkokaajywfpt6ros) 和 AWS-GR_SUBNET_AUTO_ASSIGNPUBLIC_IP_DISABLED 控制項 （全域 ID：50z1ot237wl8u1lv5ufau6qqo)。如需全域 的清單IDs，請參閱 AWS Control Tower 文件中的所有全域識別碼。

controls = [
    {
        control_names = [
            "503uicglhjkokaajywfpt6ros",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "50z1ot237wl8u1lv5ufau6qqo",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

IAM角色的最低權限許可

此模式需要您在 管理帳戶中擔任 IAM角色。最佳實務是擔任具有暫時許可的角色，並根據最低權限原則限制許可。下列範例政策允許啟用或停用 AWS Control Tower 控制項所需的最低動作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}