Landing zone com AWS Control Tower

Uma landing zone é um ambiente multi-conta bem arquitetado, construído sobre boas práticas de segurança e conformidade. É o ponto de entrada onde os times "pousam" workloads novos: as contas, OUs, identidades, logs e guardrails já estão lá, configurados do mesmo jeito para todos.

A SEC01-BP01 lista a landing zone como passo de implementação: ela dá uma base consistente de segurança e infraestrutura para desenvolver e implantar workloads rapidamente. Você pode usar o AWS Control Tower ou construir uma landing zone própria.

O AWS Control Tower orquestra outros serviços (AWS Organizations, AWS Service Catalog, AWS IAM Identity Center, AWS CloudFormation StackSets) para criar e governar a landing zone. Na configuração pelo console, ele cria:

• OU Security e, se você habilitar, a OU Sandbox.
• Duas contas de integração de serviços: uma de log archive (centraliza CloudTrail e AWS Config em buckets S3) e uma de audit (acesso de segurança entre contas, agregador do AWS Config, tópicos de notificação).
• Uma trilha do CloudTrail para a organização e a configuração do AWS Config nas contas registradas.
• Os controles obrigatórios e o produto Account Factory no Service Catalog.

1
2
3
4
5
6

Root
├── Conta de gerenciamento   (Control Tower, Organizations, faturamento)
├── Security
│   ├── Log Archive          (logs do CloudTrail e do AWS Config)
│   └── Audit                (acesso de segurança e agregação)
└── Sandbox                  (opcional)

Um controle é uma regra de alto nível, em linguagem simples, que dá governança contínua ao ambiente. O Control Tower classifica cada controle de duas formas:

A orientação de cada controle é obrigatória (protege os recursos do próprio Control Tower; a partir da landing zone versão 4.0, deixou de ser aplicada por padrão, então confira a sua versão), fortemente recomendada ou eletiva. Exemplos fortemente recomendados: impedir a criação de access keys para o root e impedir ações como root nas contas-membro. Há também o controle de negação de regiões, que bloqueia o uso de regiões não aprovadas. Os tipos de controle são aprofundados na lição 18.

O Account Factory é um modelo configurável de conta. Quando você pede uma conta nova, o Control Tower chama o Organizations para criá-la e depois aplica blueprints e os controles da OU de destino. Toda conta nasce com o mesmo baseline, o que conecta esta lição à SEC01-BP06 (automatizar a implantação de controles padrão). Para escala e customização, veja a lição 19.

No acesso humano, a configuração padrão cria um diretório no IAM Identity Center com grupos e permission sets pré-configurados, para acesso federado a todas as contas. Você também pode optar por gerenciar a identidade por conta própria, por exemplo conectando o seu provedor de identidade (veja provedores de identidade na trilha de IAM).

Para a maioria dos casos, comece pelo Control Tower e estenda. Requisitos regulatórios mais complexos podem ser atendidos com o Landing Zone Accelerator on AWS, que a própria AWS recomenda implantar sobre o Control Tower. Uma armadilha frequente: alterar ou apagar à mão recursos criados pelo Control Tower; isso deixa a landing zone em estado desconhecido. Mude sempre pelos caminhos suportados.

Landing zone é o ambiente multi-conta pronto, com contas, OUs, identidade, logs e guardrails padronizados. O Control Tower cria a OU Security com as contas de log archive e audit, aplica controles obrigatórios, oferece controles opcionais e provisiona contas pelo Account Factory, integrado ao IAM Identity Center. Comece por ele e estenda conforme a necessidade.

• SEC01-BP01 Separate workloads using accounts — criar a landing zone e estabelecer guardrails.
• SEC01-BP06 Automate deployment of standard security controls — contas e controles provisionados de forma automática e repetível.

• What Is AWS Control Tower?
• How AWS Control Tower works
• Resources created in the service integration accounts
• Working with AWS IAM Identity Center and AWS Control Tower