使用 Terraform 部署和管理 AWS Control Tower 控制項

由 Iker Reina Fuente （AWS） 和 Ivan Girardi （AWS） 建立

Summary

此模式說明如何使用 AWS Control Tower 控制項、 HashiCorp Terraform 和基礎設施作為程式碼 IaC），以實作和管理預防性、偵測性和主動安全控制項。控制項 （也稱為護欄 ） 是高階規則，可為您的整體 AWS Control Tower 環境提供持續的治理。例如，您可以使用控制項來要求AWS記錄您的帳戶，然後在發生特定安全相關事件時設定自動通知。

AWS Control Tower 可協助您實作預防性、偵測性和主動性控制，以管理 AWS 資源並監控多個AWS帳戶的合規性。每個控制項都會強制執行單一規則。在此模式中，您可以使用提供的 IaC 範本來指定要在環境中部署的控制項。

AWS Control Tower 控制項適用於整個組織單位 （OU），且控制項會影響 OU 中的每個AWS帳戶。因此，當使用者在您的登陸區域的任何帳戶中執行任何動作時，該動作會受到 OU 的控制。

實作 AWS Control Tower 控制項有助於為您的AWS登陸區域建立強大的安全基礎。透過使用此模式透過 Terraform 將控制項部署為 IaC，您可以標準化登陸區域中的控制項，並更有效率地部署和管理它們。

若要將 AWS Control Tower 控制項部署為 IaC ，您也可以使用AWS雲端開發套件 （AWS CDK） 而非 Terraform。如需詳細資訊，請參閱使用 和 部署和管理 AWS Control Tower AWS CDK 控制項AWS CloudFormation。

目標受眾

具有 AWS Control Tower、Terraform 和 AWSOrganizations 經驗的使用者建議使用此模式。

先決條件和限制

先決條件

產品版本

架構

目標架構

本節提供此解決方案的高階概觀，以及範例程式碼建立的架構。下圖顯示部署在 OU 中各種帳戶的控制項。

AWS Control Tower 控制項會根據其行為及其指引進行分類。

控制行為有三種主要類型：

控制指南是建議的做法，說明如何將每個控制套用至您的 OUs。AWS Control Tower 提供三種類別的指引：強制性 、強烈建議 和選擇性 。控制項的指引與其行為無關。如需詳細資訊，請參閱控制行為和指引。

工具

AWS 服務

其他工具

程式碼儲存庫

此模式的程式碼可在 GitHub 使用 Terraform 儲存庫的部署和管理 AWS Control Tower 控制項中取得。

最佳實務

史詩

git clone https://github.com/aws-samples/aws-control-tower-controls-terraform.git

$ terraform destroy -var-file="variables.tfvars"

故障診斷

相關資源

AWS 文件

其他資源

其他資訊

variables.tfvars 檔案範例

以下是已更新 variables.tfvars 檔案的範例。

controls = [
    {
        control_names = [
            "AWS-GR_ENCRYPTED_VOLUMES",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111", "ou-2222-22222222"...],
    },
    {
        control_names = [
            "AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED",
            ...
        ],
        organizational_unit_ids = ["ou-1111-11111111"...],
    },
] 

IAM角色的最低權限許可

此APG模式會要求您在 管理帳戶中擔任 IAM角色。最佳實務是擔任具有臨時許可的角色，並根據最低權限原則限制許可。下列範例政策允許啟用或停用 AWS Control Tower 控制項所需的最低動作。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "controltower:EnableControl",
                "controltower:DisableControl",
                "controltower:GetControlOperation",
                "controltower:ListEnabledControls",
                "organizations:AttachPolicy",
                "organizations:CreatePolicy",
                "organizations:DeletePolicy",
                "organizations:DescribeOrganization",
                "organizations:DetachPolicy",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListParents",
                "organizations:ListPoliciesForTarget",
                "organizations:ListRoots",
                "organizations:UpdatePolicy"
            ],
            "Resource": "*"
        }
    ]
}