使用 AWS Organizations 確保安全 - AWS 規範指引

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 AWS Organizations 確保安全

進行簡短的調查，影響 AWS 安全參考架構 (AWS SRA) 的未來。

隨著 AWS 資源的成長和擴展，Word Organizations 可協助您集中管理和管理環境。 AWS透過使用 AWS Organizations，您可以以程式設計方式建立新的 AWS 帳戶、配置資源、將帳戶分組以組織工作負載，以及將政策套用至帳戶或帳戶群組以進行管理。AWS 組織會合併您的 AWS 帳戶，以便您以單一單位管理它們。它有一個管理帳戶以及零個或多個成員帳戶。您的大多數工作負載都位於成員帳戶中，但某些集中受管程序必須位於管理帳戶中，或指派給特定 AWS 服務的委派管理員的帳戶除外。您可以從中央位置提供工具和存取權，讓您的安全團隊代表 AWS 組織管理安全需求。您可以在 AWS 組織內共用關鍵資源，以減少資源重複。您可以將帳戶分組為 AWS 組織單位 (OUs)，根據工作負載的需求和目的，可以代表不同的環境。

透過 AWS Organizations，您可以使用服務控制政策 (SCPs) 在 AWS Organization、OU 或帳戶層級套用許可防護機制。這些防護機制適用於組織帳戶中的主體，但管理帳戶 （這是不在此帳戶中執行工作負載的一個原因） 除外。當您將 SCP 連接至 OU 時，它由子 OUs 和 OU 下的帳戶繼承。SCPs 不會授予任何許可。相反地，SCPs 會指定 AWS 組織、OU 或帳戶的最大許可。您仍然需要將身分型或資源型政策連接到 AWS 帳戶中的主體或資源，以實際授予許可。例如，如果 SCP 拒絕存取所有 Amazon S3，則受到 SCP 影響的主體將無法存取 Amazon S3，即使他們透過 IAM 政策明確授予存取權。如需有關如何評估 IAM 政策、SCPs 角色以及如何最終授予或拒絕存取權的詳細資訊，請參閱 IAM 文件中的政策評估邏輯。 

AWS Control Tower 提供一種簡化的方式來設定和管理多個帳戶。它可自動設定 AWS 組織中的帳戶、自動佈建、套用防護機制 （包括預防性和偵測性控制），並提供儀表板讓您清楚可見。額外的 IAM 管理政策，即許可界限，會連接至特定 IAM 實體 （使用者或角色），並設定身分型政策可授予 IAM 實體的最大許可。

AWS Organizations 可協助您設定適用於所有帳戶的 AWS 服務。例如，您可以使用 AWS CloudTrailWord設定 AWS 組織執行的所有動作的中央記錄，並防止成員帳戶停用記錄。您也可以使用 AWS Config 集中彙總已定義規則的資料，以便稽核工作負載是否合規，並快速回應變更。您可以使用 AWSStackSets CloudFormation Word來集中管理 CloudFormation AWS 組織中跨帳戶和 OUs 的 AWS 堆疊，以便自動佈建新帳戶以符合您的安全需求。 

AWS Organizations 的預設組態支援使用 SCPs 作為拒絕清單。透過使用拒絕清單策略，成員帳戶管理員可以委派所有服務和動作，直到您建立和連接拒絕特定服務或動作集的 SCP 為止。拒絕陳述式需要的維護比允許清單更少，因為當 AWS 新增新服務時，您不需要更新它們。拒絕陳述式的長度通常較短，因此更容易保持在 SCPs 的大小上限內。在 Effect 元素值為 的陳述式中Deny，您也可以限制對特定資源的存取，或定義 SCPs 生效時的條件。相比之下，SCP 中的允許陳述式適用於所有資源 ("*")，且不受條件限制。如需詳細資訊和範例，請參閱 SCPs Organizations 文件中的使用 Word 的策略。 AWS

設計考量

  • 或者，若要使用 SCPs 作為允許清單，您必須將 AWS 受管 FullAWSAccess SCP 取代為 SCP，該 Word 明確允許您只允許使用那些服務和動作。若要為指定帳戶啟用許可，每個 SCP （從根到帳戶直接路徑中的每個 OU，甚至連接到帳戶本身） 必須允許該許可。此模型本質上具有更嚴格的限制性，可能適用於高度受監管和敏感的工作負載。此方法要求您明確允許 IAM 帳戶到 OU 路徑中的每個 AWS 服務或動作。

  • 理想情況下，您會使用拒絕清單和允許清單策略的組合。使用允許清單來定義核准在 AWS 組織中使用的允許 AWS 服務清單，並將此 SCP 附加到 AWS 組織的根目錄。如果每個開發環境允許不同的一組服務，則每個 OU 都會連接對應的 SCPs。然後，您可以使用拒絕清單，明確拒絕特定 IAM 動作來定義企業防護機制。