AWS SRA: contas de segurança e administração delegada

A AWS Security Reference Architecture (AWS SRA) é um guia público do AWS Prescriptive Guidance que mostra onde implantar e administrar cada serviço de segurança da AWS em um ambiente multi-conta, e como esses serviços conversam entre si. Ela parte de um diagrama de uma página, construído em torno de uma aplicação web simples de três camadas, e detalha conta por conta.

Duas observações importantes do próprio guia: a SRA é uma referência, não um padrão obrigatório — você adapta ao seu risco e às suas necessidades —, e ela é atualizada periodicamente conforme surgem serviços e recursos novos. Nem todo workload precisa de todos os serviços do diagrama.

A arquitetura organiza as contas em OUs com papéis bem separados:

• Org Management account: cria a organização, aplica políticas (SCPs, RCPs) e paga a conta. Deve ter o mínimo possível de recursos e de acesso.
• Security OU — Security Tooling: onde o time de segurança opera os serviços de segurança, monitora todas as contas e automatiza alertas e resposta.
• Security OU — Log Archive: dedicada a receber e arquivar os logs de segurança da organização.
• Infrastructure OU: contas Network (conectividade centralizada) e Shared Services (serviços compartilhados, como o diretório e o IAM Identity Center).
• Workloads OU: contas de aplicação, separadas por workload e ambiente.

1
2
3
4
5
6
7
8
9
10

Root (organização)
├── Org Management account     ← políticas, faturamento, mínimo de recursos
├── Security OU
│   ├── Security Tooling       ← administrador delegado dos serviços de segurança
│   └── Log Archive            ← logs centralizados e imutáveis
├── Infrastructure OU
│   ├── Network
│   └── Shared Services
└── Workloads OU
    └── Application (uma ou mais contas por workload/ambiente)

Vários serviços da AWS integrados ao Organizations permitem registrar uma conta-membro como administradora daquele serviço para toda a organização. Essa conta habilita o serviço nas demais contas, centraliza findings e define a configuração padrão — sem que ninguém precise operar a partir da conta de gerenciamento.

Por que não usar a conta de gerenciamento? Ela tem um poder único: as SCPs não a afetam, e quem a controla pode criar, remover e mover contas e trocar políticas da organização inteira. Cada pessoa ou automação que trabalha ali aumenta o risco. A SRA recomenda limitar o acesso a ela e delegar a administração dos serviços de segurança para a Security Tooling.

Exemplos de serviços que suportam administrador delegado (confira a lista atualizada em AWS services that you can use with AWS Organizations):

• Amazon GuardDuty, AWS Security Hub e AWS Security Hub CSPM, Amazon Detective, Amazon Inspector, Amazon Macie.
• IAM Access Analyzer (analisador com a organização como zona de confiança) e o gerenciamento centralizado do acesso root do IAM (lição 20).
• AWS Config (regras e agregação da organização), AWS CloudTrail (trail da organização), AWS Firewall Manager, AWS Audit Manager.

Na SRA, quase todos eles ficam delegados à Security Tooling. Exceções intencionais: o IAM Identity Center é delegado à Shared Services, e o Amazon Security Lake é delegado à Log Archive.

1
2
3
4
5
6
7

# Exemplo: delegar o GuardDuty para a conta de Security Tooling (111111111111).
# Teste em uma organização isolada antes de usar em produção.
aws guardduty enable-organization-admin-account \
  --admin-account-id 111111111111
 
# Conferir quem é administrador delegado de cada serviço
aws organizations list-delegated-administrators

A Log Archive tem um objetivo simples: armazenamento imutável, acessado só por mecanismos controlados, automatizados e monitorados. Os logs principais na SRA são o trail da organização no CloudTrail, VPC Flow Logs, logs de acesso do CloudFront e do AWS WAF e logs de DNS do Route 53; logs de aplicação e de banco também podem ir para lá.

1. O trail da organização, criado na conta de gerenciamento ou no administrador delegado do CloudTrail, registra eventos de todas as contas.
2. Os eventos são entregues a um bucket S3 central na Log Archive, de preferência com SSE-KMS (uma segunda camada de controle de acesso pela key policy).
3. O bucket é protegido com versionamento, S3 Object Lock e regras de ciclo de vida para integridade e retenção.
4. Controles detectivos (por exemplo, regras do AWS Config) alertam sobre mudanças inesperadas nas permissões desse bucket.

O ponto central é a separação de funções: quem opera workloads não consegue apagar ou alterar a evidência do que fez, porque ela mora em outra conta.

A AWS SRA indica onde cada serviço de segurança mora: Security Tooling opera e administra os serviços como administrador delegado, Log Archive guarda os logs de forma imutável e a conta de gerenciamento fica mínima. O administrador delegado é o mecanismo que torna isso possível sem perder a visão da organização.

Esta lição aprofunda a SEC01-BP01 Separate workloads using accounts, Entre os benefícios que ela lista estão a administração centralizada dos serviços de segurança e a auditoria centralizada da infraestrutura, e ela cita a integração dos serviços com o Organizations para administração delegada em todas as contas-membro. Reveja a base nas lições 5 e 6 e no mapa das contas da SRA.

• AWS Security Reference Architecture (AWS SRA)
• SRA — Management account, trusted access e administradores delegados
• SRA — Security OU: Security Tooling account
• SRA — Security OU: Log Archive account
• AWS services that you can use with AWS Organizations