Referência

Mapa das contas da AWS SRA

Contas, OUs e serviços de segurança delegados, em uma tabela.

Material complementar · Módulo 5 — Especialista

A árvore de contas

Estrutura das OUs e contas descrita na AWS Security Reference Architecture. É uma referência: adapte nomes e quantidade de contas ao seu ambiente.

Estrutura
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
Root (organização)
├── Org Management account
│     SCPs/RCPs, faturamento, trusted access, Control Tower
├── Security OU
│   ├── Security Tooling   (no Control Tower: conta "Audit")
│   │     admin delegado: GuardDuty, Security Hub e Security Hub CSPM,
│   │     Config, Access Analyzer, Macie, Inspector, Detective,
│   │     Audit Manager, Firewall Manager, CloudTrail, root centralizado
│   └── Log Archive
│         bucket central de logs; admin delegado do Security Lake
├── Infrastructure OU
│   ├── Network            conectividade (ex.: Transit Gateway), VPCs de entrada e saída
│   └── Shared Services    admin delegado do IAM Identity Center e do Systems Manager
└── Workloads OU
    └── Application        uma ou mais contas por workload/ambiente

Conta por conta

OU / contaPropósitoServiços de segurança típicosQuem acessa
Org Management Criar a organização, pagar a conta, aplicar guardrails universais. AWS Organizations (SCPs, RCPs), trusted access, registro de administradores delegados, AWS Control Tower. Pouquíssimos papéis, fortemente controlados. As SCPs não se aplicam a ela.
Security OU — Security Tooling Operar os serviços de segurança, monitorar todas as contas, automatizar alerta e resposta. Administrador delegado da maior parte dos serviços de segurança (veja a árvore) e do gerenciamento centralizado do acesso root. Time de segurança. Papéis somente leitura são comuns; papéis de escrita são poucos, monitorados e registrados.
Security OU — Log Archive Receber e arquivar logs de segurança de forma imutável. S3 com SSE-KMS, versionamento, Object Lock e ciclo de vida; destino do trail da organização e do Config; Security Lake. Mecanismos automatizados; leitura restrita para investigação e auditoria.
Infrastructure OU — Network Gateway entre as aplicações e a internet; conectividade entre contas e com on-premises. Transit Gateway (ou peering/PrivateLink), VPCs de entrada e de saída separadas, com inspeção e monitoramento. Time de rede/infraestrutura.
Infrastructure OU — Shared Services Serviços usados por várias contas. IAM Identity Center e AWS Systems Manager como administrador delegado; AWS Managed Microsoft AD. Time de plataforma/identidade.
Workloads OU — Application Rodar os workloads, separados por aplicação e ambiente. Serviços habilitados pelo administrador delegado (detectores, analisadores) e controles da aplicação. Times de produto, via IAM Identity Center, com permissões por conta.

Regras de bolso

  • Nada de workload na conta de gerenciamento; delegue sempre que o serviço permitir.
  • Os logs ficam numa conta onde quem gera o log não consegue apagá-lo.
  • Alinhe os administradores delegados de serviços que se integram (por exemplo, Security Hub CSPM e Detective) na mesma conta.
  • Na landing zone 4.0 do Control Tower a Security OU deixou de ser obrigatória; a separação de funções continua sendo a recomendação da SRA.
  • A lista de serviços com administrador delegado muda: confira em AWS services that you can use with AWS Organizations.

Onde aprofundar

Voltar para a trilha