SEC01-BP01 使用帳戶區隔工作負載 - AWS Well-Architected 架構
實作指引資源

SEC01-BP01 使用帳戶區隔工作負載

透過多帳戶策略在環境 (例如生產、開發和測試) 與工作負載之間建立共通的防護機制和隔離。強烈建議帳戶層級的區隔，因為這在安全性、帳單和存取方面提供了有力的隔離界限。

預期成果：一種帳戶結構，可將雲端作業、不相關的工作負載和環境隔離為單獨的帳戶，從而提高整個雲端基礎設施的安全性。

常見的反模式：

  • 將多個具有不同資料敏感度等級且不相關的工作負載置於相同的帳戶中。

  • 定義不良的組織單位 (OU) 結構。

建立此最佳實務的優勢：

  • 若工作負載遭到意外存取，縮小影響範圍。

  • 集中管控對 AWS 服務、資源和區域的存取。

  • 利用政策以及集中管理安全服務，維護雲端基礎設施的安全性。

  • 自動化帳戶建立和維護流程。

  • 集中稽核您的基礎設施以滿足合規性和法規需求。

未建立此最佳實務時的風險暴露等級：高

實作指引

AWS 帳戶 在以不同的敏感度等級操作的工作負載或資源之間提供安全隔離界限。AWS 提供工具透過多帳戶策略大規模管理您的雲端工作負載，以利用此隔離界限。如需有關 AWS 中的多帳戶策略的概念、模式和實作指引，請參閱 Organizing Your AWS Environment Using Multiple Accounts。

當您集中管理多個 AWS 帳戶 時，應該將您的帳戶組織成由組織單位 (OU) 層定義的階層。接著可以組織安全控制並套用至 OU 和成員帳戶，在組織內的成員帳戶上建立一致的預防性控制。安全控制是繼承的，讓您能夠篩選位於 OU 階層較低層級的成員帳戶可用的許可。良好的設計可利用此繼承關係來降低必要的安全政策數目和複雜度，達成每個成員帳戶預期的安全控制。

AWS Organizations 和 AWS Control Tower 是可以用來在 AWS 環境中實作和管理此多帳戶結構的兩個服務。AWS Organizations 可讓您將帳戶組織到由一個或多個 OU 層定義的階層中，每個 OU 都包含許多成員帳戶。服務控制政策 (SCP) 可讓組織管理員在成員帳戶上建立精細的預防性控制，並且 AWS Config 可用於在成員帳戶上建立主動性和偵測性控制。許多 AWS 服務與 AWS Organizations 整合，以提供委派的管理控制，並在組織的所有成員帳戶中執行服務特定任務。

AWS Control Tower 位於 AWS Organizations 之上，為具有登陸區域的多帳戶 AWS 環境提供一鍵式最佳實務設定。該登陸區域是通往由 Control Tower 所建立之多帳戶環境的進入點。與 AWS Organizations 相比，Control Tower 具有數個好處。提供改進的帳戶管控的三個優點是：

  • 整合式強制性安全控制，會自動套用至獲准加入組織的帳戶。

  • 選擇性控制，可針對指定 OU 集合開啟或關閉。

  • AWS Control Tower Account Factory 提供自動化帳戶部署，其中包含組織內部預先核准的基準和組態選項。

實作步驟

  1. 設計組織單位結構：設計合理的組織單位結構可減少建立及維護服務控制政策及其他安全性控制所需的管理負擔。您的組織單位結構應與業務需求、資料敏感度和工作負載結構保持一致。

  2. 為多帳戶環境建立登陸區域：登陸區域可提供一致的安全性和基礎設施基礎，您的組織可以從中快速開發、啟動和部署工作負載。可以使用自訂建置的登陸區域或 AWS Control Tower 來協調您的環境。

  3. 建立防護機制：透過登陸區域為您的環境實作一致的安全防護機制。AWS Control Tower 提供可部署的強制性控制與選擇性控制清單。實作 Control Tower 時會自動部署強制性控制。檢閱強烈建議的控制和選擇性控制清單，並實作符合您需求的控制。

  4. 限制對新增區域的存取：對於新 AWS 區域，IAM 資源 (例如使用者和角色) 只會傳播到您指定的區域。可以在使用 Control Tower 時透過主控台執行此動作，或在 AWS Organizations 中調整 IAM 權限政策。

  5. 考慮 AWS CloudFormation StackSets：StackSets 可協助您將資源 (包括 IAM 政策、角色和群組) 從核准的範本中部署到不同的 AWS 帳戶 帳戶和區域。

資源

相關的最佳實務：

相關文件：

相關影片：

相關研討會：