Multi-Account-Umgebungen Tipps zu AWS Control Tower

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Amazon Web Services Germany GmbH

Unternehmen, die auf AWS migrieren, müssen oft eine große Anzahl von Konten in verteilten Teams verwalten. Managementdienste wie AWS Organizations und AWS Config ermöglichen dabei eine detaillierte Kontrolle. Zusätzlich wünschen sich viele Unternehmen eine Schritt-für-Schritt-Anleitung und -Unterstützung bei der Einrichtung einer sicheren Umgebung. Der AWS Control Tower hilft dabei, diese Anforderungen zu erfüllen.

Der AWS Control Tower hilft Administratoren dabei, auf standardisierten Wegen eine vorkonfigurierte Umgebung zu konfigurieren, die nach den Best Practices von AWS aufgebaut ist. Er baut auf mehreren AWS-Diensten auf, darunter AWS Organizations, AWS Identity and Access Management (IAM) (einschließlich Service Control Policies), AWS Config und AWS Service Catalog. Über eine einheitliche Plattform können Unternehmen auf eine Sammlung von Workflows, Dashboards und Setup-Schritten zurückgreifen und dadurch eine neue Multi-Account-Umgebung mit wenigen Klicks bereitstellen. Der AWS Control Tower ist in den Regionen US East (N. Virginia), US East (Ohio), US West (Oregon) und Europa (Irland) verfügbar, weitere werden folgen.

Folgende Elemente werden durch den AWS Control Tower adressiert:

Landing Zone (Landezone) – Umsetzung einer Strategie für eine Multi-Account-Umgebung, die über AWS Control Tower eingerichtet wird, basierend auf einem neuen AWS-Konto.

Guardrails (Leitplanken) – Automatisierte Implementierung von Richtlinienkontrollen mit einem Schwerpunkt auf Sicherheit, Compliance und Kostenmanagement. Guardrails können präventiv (blockierende Maßnahmen bei Aktionen, die als riskant eingestuft werden) oder detektivisch (Warnung bei nicht konformen Aktionen) sein.

Blueprints – Vorgefertigte Muster, die für die Einrichtung der Landing Zones verwendet werden.

Umgebung – Ein AWS-Konto und die darin enthaltenen Ressourcen, konfiguriert für die Ausführung einer Anwendung. Benutzer stellen Anfragen (über den Servicekatalog) für neue Umgebungen und der Control Tower verwendet automatisierte Workflows, um sie bereitzustellen.

Bildergalerie

Bildergalerie mit 14 Bildern

Den Control Tower nutzen

Ausgehend von einem neuem, frischen und „leeren“ AWS-Konto, das sowohl Master Payer als auch Organization Master ist, wird die Control Tower Console geöffnet. Mit Set up landing zone (Landezone einrichten), geht es weiter.

AWS Control Tower erstellt weitere AWS-Konten für die Sammlung von Log-Daten (CloudTrail) und für die Auditierung und benötigt dazu E-Mail-Adressen, die nicht bereits mit einem AWS-Konto verknüpft sind. Anschließend sollten die Informationen innerhalb der Serviceberechtigungen unter Service permissions (Service Control Policies) überprüft werden. Außerdem benötigt der Control Tower die Berechtigung, AWS-übergreifend AWS-Ressourcen und -Services zu verwalten. Ein Klick auf Set up landing zone (Landezone einrichten) führt zum anschließenden Einrichtungsprozess. Dieser benötigt etwa eine Stunde. Dabei werden laufend Status-Updates ausgegeben.

Zu Beginn des Prozesses sendet der AWS Control Tower eine Reihe von E-Mail-Anfragen an die verwendeten E-Mail-Adressen, um das Eigentum an den neuen AWS-Konten zu überprüfen, den Kontoinhaber zur Teilnahme an AWS SSO einzuladen und dazu auffordern, einige SNS-Topics zu abonnieren. Die Anfragen enthalten außerdem Links zur Autorisierung, die angeklickt werden müssen, damit der Setup-Prozess weitergeht. Eine weitere E-Mail fordert dazu auf, ein AWS SSO-Passwort für das Konto zu erstellen. Nachdem das Setup abgeschlossen ist, zeigt der AWS Control Tower einen Statusbericht an. Außerdem empfiehlt die Konsole einige weitere Benutzeraktionen. An dieser Stelle werden ferner die vom Control-Tower vorgeschriebenen Guardrails eingerichtet. Es können weitere, optionale Guardrails aktiviert werden. In einer Übersicht werden schließlich die einzelnen Organisationseinheiten (Organizational Units (OUs)) und Konten sowie der Compliance-Status jedes einzelnen AWS-Accounts angezeigt.

Verwendung der Account Factory

Die Navigation auf der linken Seite ermöglicht den Zugriff auf die AWS-Ressourcen, die von AWS Control Tower erstellt und verwaltet werden. Sobald die Basisumgebung eingerichtet ist, lassen sich dort weitere, neue AWS-Konten für Teams und Anwendungen bereitstellen.

Ein Klick auf Account factory zeigt außerdem die jeweilige allgemeine Netzwerkkonfiguration für neue Netzwerkressourcen an und gibt Administratoren über Edit die Möglichkeit, diese zu bearbeiten oder sie einem weiteren Account bereitzustellen. Zudem kann ein VPC für neue Konten konfiguriert werden. Dabei können auch die AWS-Regionen ausgewählt werden, in denen VPCs erstellt werden, wenn ein Konto provisioniert wird.

Die Einstellungen der Account Factory werden automatisch zum AWS Service Catalog übertragen. Es ist möglich, bei Bedarf Managed Accounts zu provisionieren. Auch Entwickler sind dazu in der Lage. Mit einem Klick auf AWS Control Tower Account Factory geht es weiter. Es erscheint eine weitere Übersicht zur Überprüfung der Einstellungen, mit Launch Product startet die Einrichtung eines neuen Kontos.

Bildergalerie

Bildergalerie mit 14 Bildern

Arbeiten mit Guardrails

Die die einzelnen Guardrails werden mit Empfehlungen in den Kategorien Mandatory (verpflichtend) oder Strongly Recommened (dringend empfohlen) angezeigt. Sie werden über eine IAM Service Control Policy (SCP/Preventive) oder eine AWS Config-Regel (Detective Controll) umgesetzt und können granular für einzelne Organisationseinheiten definiert werden.

Über den Autor: Bertram Dorn ist Principal Solutions Architect Security and Compliance bei Amazon Web Services.

(ID:46371216)