使用地形表單部署和管理 AWS Control Tower 控制

由伊克爾·雷納·富恩特（AWS）和伊万·吉拉迪（AWS）創建

Summary

此模式說明如何使用 AWS Control Tower 控制項、 HashiCorp Terraform 和基礎設施即程式碼 (IaC) 來實作和管理預防性、偵測和主動式安全控制。控制項 (也稱為護欄) 是一項高階規則，可為您的整體 AWS Control Tower 環境提供持續的管控。例如，您可以使用控制項要求 AWS 帳戶記錄，然後在發生特定安全性相關事件時設定自動通知。

AWS Control Tower 可協助您實作預防性、偵測和主動式控制，以管理 AWS 資源並監控多個 AWS 帳戶的合規。每個控制項都會強制執行單一規則。在此模式中，您可以使用提供的 IaC 範本來指定要在環境中部署的控制項。

AWS Control Tower 控制適用於整個組織單位 (OU)，而且控制會影響 OU 中的每個 AWS 帳戶。因此，當使用者在您的 landing zone 中的任何帳戶中執行任何動作時，動作會受到控制 OU 的控制項的約束。

實作 AWS Control Tower 控制有助於為您的 AWS landing zone 建立堅實的安全基礎。通過使用此模式將控件部署為 IaC 通過 Terraform，您可以標準化 landing zone 中的控件，並更有效地部署和管理它們。

若要將 AWS Control Tower 控制部署為 IaC，您也可以使用 AWS Cloud Development Kit (AWS CDK) 而非地形。如需詳細資訊，請參閱使用 AWS CDK 和 AWS 部署和管理 AWS Control Tower 控制。 CloudFormation

目標受眾

對於具有 AWS Control Tower、Terraform 和 AWS Organizations 相關經驗的使用者，建議使用此模式。

先決條件和限制

先決條件

產品版本

架構

目標架構

本節提供此解決方案的高階概觀，以及範例程式碼所建立的架構。下圖顯示在 OU 中各個帳戶中部署的控制項。

AWS Control Tower 控制項會根據其行為和指導進行分類。

控制行為有三種主要類型：

控制指引是如何將每個控制項套用至 OU 的建議作法。AWS Control Tower 提供三種類別的指導：強制性、強烈建議和選修。控制項的指導獨立於其行為。如需詳細資訊，請參閱控制行為和指引。

工具

AWS 服務

其他工具

代碼存儲庫

使用 Terraform 儲存庫，可在 GitHub 部署和管理 AWS Control Tower 控制中取得此模式的程式碼。

最佳實務

史诗

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

故障診斷

相關資源

AWS 文件

其他資源

其他資訊

範例變數 .tfvars 檔案

以下是更新的變數 .tfvars 檔案的範例。

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

IAM 角色的最低權限許可

此 APG 模式要求您在管理帳戶中擔任 IAM 角色。最佳做法是假設具有臨時權限的角色，並根據最小權限原則限制權限。以下範例政策允許啟用或停用 AWS Control Tower 控制所需的最低動作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}