Danh sách các API được thêm vào trong cập nhật này:

• EnableBaseline/UpdateEnabledBaseline/DisableBaseline: Kích hoạt, cập nhật, vô hiệu hóa baseline trên OU
• GetEnabledBaseline/ListEnabledBaselines: Lấy thông tin về baseline đã kích hoạt
• GetBaselineOperation: Giám sát hoạt động của một OU cụ thể
• ResetEnabledBaseline: Sử dụng baseline đã kích hoạt để sửa đổi sự lệch tài nguyên của OU
• GetBaseline/ListBaselines: Lấy thông tin về các baseline được quản lý bởi AWS Control Tower
• Các AWS Control Tower baselines được kích hoạt bao gồm cấu hình, kiểm soát và tài nguyên cần thiết cho  AWS Control Tower governance.

Ngoài ra, API đã hỗ trợ cho AWS CloudFormation, giúp quản lý OU trên Infrastructure as Code (IaC).

Điều kiện để vận hành bằng API

• Nếu OU yêu cầu cập nhật baseline, bạn không thể tạo mới hoặc đăng ký tài khoản hiện có vào OU tương ứng.  
• Nếu dự định cập nhật OU baseline sau khi cập nhật landing zone, bạn phải đăng ký lại OU hoặc cập nhật lại phiên bản OU baseline thông qua program.
• Nên cập nhật phiên bản baseline cao nhất tương thích với phiên bản landing zone đang sử dụng.
• Không thể khôi phục lại phiên bản baseline trước đó.
• Việc kích hoạt baseline chỉ áp dụng cho một OU trong một thời điểm. Do đó, kể cả khi OU được cập nhật thì OU lồng nhau cũng không được tự động cập nhật. Cần cập nhật OU gốc trước khi cập nhật OU lồng nhau.
• Khi gọi API UpdateEnabledBaseline hoặc đăng ký lại OU từ console, tất cả các control đã được kích hoạt trước khi cập nhật baseline sẽ được OU lưu lại.
• Nếu có nhiều phiên bản baseline tương thích với phiên bản của landing zone, khi kích hoạt baseline trên unmanaged OU, bạn cần phải sử dụng phiên bản baseline mới nhất.

aws controltower disable-baseline \ --enabled-baseline-identifier arn:aws:controltower:us-west-2:123456789012:enabledbaseline/AB12CD34EF56GH789 \ --region us-west-2

Cách kích hoạt Baseline (EnableBaseline)

{
"baselineIdentifier": "arn:aws:controltower:us-west-2::baseline:17BSJV3IGJ2QSGA2",
"targetIdentifier": "arn:aws:organizations::123456789012:ou/o-kgj0txdhpa/ou-r9mj-4j3mzjql",
"baselineVersion": "3.0",
"parameters": [
{
"key": "IdentityCenterEnabledBaselineArn",
"value": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ"
}
]
}

AWS Control Tower có thể vận hành bằng các API khác

Trong bản cập nhật tháng 11 năm 2023, bạn đã có thể sử dụng API để tự động hóa vận hành landing zone của AWS Control Tower.

Dưới đây là các API được hỗ trợ thêm vào thời điểm đó:

• GetLandingZone/ListLandingZones – Phát hiện các tùy chọn cấu hình của landing zone.
• CreateLandingZone/UpdateLandingZone/DeleteLandingZone – Quản lý các tài nguyên của landing zone.
• ResetLandingZone – Sửa chữa sự sai lệch của landing zone.
• GetLandingZoneOperation – Theo dõi các thay đổi đang tiến hành.

Tổng kết

Trước đây các công việc này chỉ được thực hiện qua Management Console, nhưng bây giờ bạn đã có thể dễ dàng thực hiện qua API level mà không cần sử dụng GUI. Vì vậy, khi UI thay đổi có thể đối ứng mà không cần chỉnh sửa tài liệu hướng dẫn, và có thể hỗ trợ quản lý tập trung thông qua IaC (Infrastructure as Code).

Tham khảo : 【アップデート】APIを利用して、AWS Control TowerのOUが操作できるようになりました | SunnyCloud

The post Organizational Unit của AWS Control Tower hiện có thể được vận hành bằng API appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

Proactive control của AWS Control Tower là gì?

Trước đây Control Tower có hai loại Guardrails (rào chắn) là Preventive guardrails (rào chắn dự phòng) và detective guardrails (rào chắn nhận biết). Proactive Guardrails (rào chắn chủ động) là loại mới được công bố trong bản cập nhật năm 2022

Preventive guardrails (rào chắn dự phòng)

Chế độ dự phòng loại bỏ các hành động dẫn đến vi phạm chính sách, vì vậy tài khoản có thể duy trì việc tuân thủ chính sách. Trạng thái điều khiển dự phòng có thể là enable (kích hoạt) hoặc disable (vô hiệu hóa).

Detective guardrails (rào chắn nhận biết)

Chế độ phát hiện tìm ra các tài nguyên trong tài khoản không tuân thủ chính sách, và cung cấp cảnh báo thông qua dashboard. Nó sẽ phát hiện những vi phạm khi kết hợp với AWS Config.

Proactive Guardrails (rào chắn chủ động)

Sử dụng AWS CloudFormation Hooks để ngăn chặn việc tạo ra các tài nguyên vi phạm trước từ AWS CloudFormation. Các Proactive control của AWS Control Tower nâng cao khả năng điều khiển dự phòng và điều khiển nhận biết vốn có của AWS Control Tower.

Trên bảng điều khiển AWS Control Tower, bạn có thể xem các control được nhóm theo danh mục được chỉ định của chúng, phân bổ như sau:

• Control objectives: Mục tiêu cụ thể để triển khai control trong môi trường.
• Frameworks: Khung tuân thủ tiêu chuẩn ngành.
• ervices: Các dịch vụ AWS có thể được quản lý bằng control.

Nội dung cập nhật

Được quản lý bởi AWS Control Tower bạn có thể sử dụng các control như mã hóa dữ liệu truyền tải, mã hóa dữ liệu lưu trữ, sử dụng xác thực mạnh.

Proactive control sẽ chặn các tài nguyên không tuân thủ chính sách trước khi cung cấp các dịch vụ như Amazon Athena, Amazon EMR, AWS Glue, Amazon DynamoDB Accelerator (DAX), Amazon Neptune.

Bản cập nhật này đã mở rộng phạm vi kiểm soát trong thư viện control của AWS Control Tower, và đã thêm vào control của các dịch vụ như Amazon Athena, Amazon EMR, Amazon Neptune.

Danh sách các tiền tố:

• Các control Guardrails đã được cung cấp nhiều năm: ‘AWS-GR.’
• Các control mới (bao gồm Proactive Control): ‘CT.’
• Các control ‘Best Practices Security’ của Security Hub: ‘SH.’.

Danh sách các Proactive control mới trong bản cập nhật 2023

[CT.ATHENA.PR.1] Require an Amazon Athena workgroup to encrypt Athena query results at rest
[CT.ATHENA.PR.2] Require an Amazon Athena workgroup to encrypt Athena query results at rest with an AWS Key Management Service (KMS) key
[CT.CLOUDTRAIL.PR.4] Require an AWS CloudTrail Lake event data store to enable encryption at rest with an AWS KMS key
[CT.DAX.PR.2] Require an Amazon DAX cluster to deploy nodes to at least three Availability Zones
[CT.EC2.PR.14] Require an Amazon EBS volume configured through an Amazon EC2 launch template to encrypt data at rest
[CT.EKS.PR.2] Require an Amazon EKS cluster to be configured with secret encryption using AWS Key Management Service (KMS) keys
[CT.ELASTICLOADBALANCING.PR.14] Require a Network Load Balancer to have cross-zone load balancing activated
[CT.ELASTICLOADBALANCING.PR.15] Require that an Elastic Load Balancing v2 target group does not explicitly disable cross-zone load balancing
[CT.EMR.PR.1] Require that an Amazon EMR (EMR) security configuration is configured to encrypt data at rest in Amazon S3
[CT.EMR.PR.2] Require that an Amazon EMR (EMR) security configuration is configured to encrypt data at rest in Amazon S3 with an AWS KMS key
[CT.EMR.PR.3] Require that an Amazon EMR (EMR) security configuration is configured with EBS volume local disk encryption using an AWS KMS key
[CT.EMR.PR.4] Require that an Amazon EMR (EMR) security configuration is configured to encrypt data in transit
[CT.GLUE.PR.1] Require an AWS Glue job to have an associated security configuration
[CT.GLUE.PR.2] Require an AWS Glue security configuration to encrypt data in Amazon S3 targets using AWS KMS keys
[CT.KMS.PR.2] Require that an AWS KMS asymmetric key with RSA key material used for encryption has a key length greater than 2048 bits
[CT.KMS.PR.3] Require an AWS KMS key policy to have a statement that limits creation of AWS KMS grants to AWS services
[CT.LAMBDA.PR.4] Require an AWS Lambda layer permission to grant access to an AWS organization or specific AWS account
[CT.LAMBDA.PR.5] Require an AWS Lambda function URL to use AWS IAM-based authentication
[CT.LAMBDA.PR.6] Require an AWS Lambda function URL CORS policy to restrict access to specific origins
[CT.NEPTUNE.PR.4] Require an Amazon Neptune DB cluster to enable Amazon CloudWatch log export for audit logs
[CT.NEPTUNE.PR.5] Require an Amazon Neptune DB cluster to set a backup retention period greater than or equal to seven days
[CT.REDSHIFT.PR.9] Require that an Amazon Redshift cluster parameter group is configured to use Secure Sockets Layer (SSL) for encryption of data in transit

Danh sách các security control mới trong bản cập nhật 2023

[SH.Athena.1] Athena workgroups should be encrypted at rest
[SH.Neptune.1] Neptune DB clusters should be encrypted at rest
[SH.Neptune.2] Neptune DB clusters should publish audit logs to CloudWatch Logs
[SH.Neptune.3] Neptune DB cluster snapshots should not be public
[SH.Neptune.4] Neptune DB clusters should have deletion protection enabled
[SH.Neptune.5] Neptune DB clusters should have automated backups enabled
[SH.Neptune.6] Neptune DB cluster snapshots should be encrypted at rest
[SH.Neptune.7] Neptune DB clusters should have IAM database authentication enabled
[SH.Neptune.8] Neptune DB clusters should be configured to copy tags to snapshots
[SH.RDS.27] RDS DB clusters should be encrypted at rest

Tham khảo

【アップデート】AWS Control Tower が22種類の新しいプロアクティブコントロールと10種類のAWS Security Hub 検出コントロールをサポートしました

The post AWS Control Tower cung cấp hỗ trợ cho 22 loại proactive control mới và 10 loại AWS Security Hub detection control appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

Tại sao phải quản lý multiple accounts

Một số người dùng vẫn đang vận hành môi trường production và môi trường test trong cùng một tài khoản AWS. Nhưng AWS khuyến nghị rằng sử dụng multiple accounts là phương pháp tốt nhất.

Việc phân chia tài khoản theo tính năng rất quan trọng trong việc thực hiện multiple accounts. Nó không chỉ ngăn chặn được các hoạt động ngoài ý muốn, mà còn giảm thiểu quyền truy cập cho từng tài khoản.

Để thực hiện quản lý multiple accounts, nên sử dụng AWS Organizations và thiết lập xác thực số điện thoại và địa chỉ email nhóm phòng khi có sự thay đổi người quản lý.

Quản lý multiple accounts với AWS Control Tower

AWS Control Tower là dịch vụ tốt nhất để kiểm soát tài khoản AWS.

Sử dụng Control Tower, bạn có thể dễ dàng thiết kế tài khoản và chính sách trong môi trường multiple accounts.

Điểm mấu chốt là có thể tạo ra môi trường tài khoản được kiểm soát tốt (Landing Zone). 

Sau đây là hai điểm quan trọng:

✓ Tự động thiết lập

✓ Duy trì kiểm soát Security log

Một số thuật ngữ thường được sử dụng trong Control Tower:

・ Control (còn được gọi là Guardrails)

Đây là quy tắc áp dụng quản lý liên tục trên môi trường AWS. Có ba loại control: control phòng ngừa, control phát hiện và control chủ động.

Áp dụng ba loại categories: Required, Highly Recommended, và Optional.

Ví dụ: Control có chọn lọc [Disallow Changes to Bucket Policy for Amazon S3 Buckets] (không cho phép thay đổi Bucket policy của Amazon S3 buckets) (trước đây gọi là Disallow Policy Changes to Log Archive), kiểm soát việc chia sẻ log archive. Bạn sẽ không thể thay đổi IAM policy trong tài khoản chia sẻ log archive.

・Landing Zone

Landing Zone là một môi trường AWS multi-account có kiến trúc tốt, được cấu thành bởi tính bảo mật và sự tuân thủ. Việc triển khai Landing Zone cho phép quản lý và giám sát tập trung các tài nguyên AWS dưới quyền quản lý của Organizations.

Trong các bài tập của AWS, một tài khoản “Audit” kiểm tra tất cả các tài khoản và một “Log Archive” tổng hợp và quản lý nhật ký từ tất cả các tài khoản sẽ được tạo tự động. AWS Control Tower sẽ tự động thiết lập các tài khoản cần thiết và cấu hình chuyển tiếp log.

Tài khoản Audit là tài khoản bị hạn chế được thiết kế cho phép truy cập đọc và ghi với tất cả các tài khoản trong landing zone. Từ tài khoản Audit, bạn có thể truy cập vào các tài khoản khác thông qua chương trình sử dụng role chuyên biệt chỉ được cấp cho các hàm Lambda.

Tài khoản Audit không cho phép đăng nhập thủ công vào các tài khoản khác.

Tài khoản log archive được sử dụng làm kho lưu trữ log cho tất cả hoạt động API và cấu hình tài nguyên từ tất cả các tài khoản trong landing zone.

・Dashboard

AWS Control Tower cung cấp một Dashboard giúp quản lý môi trường đã tạo một cách hiệu quả. Nó hiển thị tổng hợp số lượng các nhóm và tài khoản được tạo, số lượng guardrails và số lượt vi phạm được phát hiện đối với các guardrails đã kích hoạt.

・Account Factory

Account Factory là một account template có thể cấu hình, giúp tiêu chuẩn hóa việc cấp phát các tài khoản mới với các cài đặt đã được phê duyệt trước đó.

Quy trình áp dụng template diễn ra theo trình tự sau:

1) Xác định  Account baseline

2) Cấp phát tài khoản thông qua AWS Service Catalog

3) Áp dụng guardrails

Ứng dụng của AWS Control Tower

Có thể bạn nghĩ rằng số lượng tài khoản của mình vẫn còn ít nên chưa cần thiết phải sử dụng, nhưng thực tế việc thiết lập từ sớm sẽ giúp quản lý và vận hành sau này trở nên dễ dàng hơn, đó cũng là ưu điểm của Control Tower.

・Security Controls

Khả năng quản lý toàn diện của AWS Control Tower giúp dễ dàng xác định, lập bản đồ và quản lý các điều khiển cần thiết để đạt được mục tiêu kiểm soát thông thường như áp dụng nguyên tắc phân quyền tối thiểu, giới hạn truy cập mạng, áp dụng mã hóa dữ liệu, v.v.

Trong “tài khoản audit” có cơ chế xác định lộ trình truy cập để nhân viên an ninh dễ dàng xử lý các thiết lập rủi ro khi được phát hiện. 

Ngoài ra, còn cung cấp nền tảng cần thiết để tự động sửa chữa các cấu hình rủi ro.

・ Quản lý Centralized log  (CloudTrail và Config)

Quản lý Centralized AWS CloudTrail log và AWS Config log được lưu trữ trong Amazon Simple Storage Service (Amazon S3). Điều này giúp điều tra và giải quyết sự cố, làm sáng tỏ toàn bộ sự việc, đồng thời có thể chịu trách nhiệm giải thích với các bên liên quan.

・ Dễ dàng điều tra khi có sự cố xảy ra (log archive account)

Quản lý log trong tài khoản lưu trữ log riêng biệt với tài khoản sử dụng thông thường, giúp log trở thành bằng chứng hiệu quả khi có sự cố. Log được lưu trữ trong một tài khoản khác nên chỉ có số lượng người có quyền truy cập hạn chế, giúp giảm thiểu rủi ro làm sai lệch thông tin.

Best Practices của Control Tower

Phần mà Control Tower có thể xử lý chủ yếu bao gồm CloudTrail và Config. Do đó, việc sử dụng SecurityHub để trực quan hoá và chuẩn bị cho các mối đe dọa chưa xác định bằng GuardDuty sẽ rất hiệu quả. 

Có thể không cần cùng cấp độ an ninh với Production account, nhưng việc phục hồi sau sự cố sẽ tốn chi phí tương tự ở các môi trường khác. 

Quản lý tập trung chuẩn bị cho mối đe dạo từ Organizations bằng các dịch vụ AWS là bài kiểm tra tốt khi sử dụng Control Tower.

Customization for Control Tower (CfCT)

Khi muốn tùy chỉnh AWS Control Tower, hãy sử dụng Customization for Control Tower (CfCT).

CfCT giúp tùy chỉnh Landing Zone của AWS Control Tower và tiếp tục tuân thủ các phương pháp hay nhất của AWS. Việc tùy chỉnh được thực hiện qua các template AWS CloudFormation và chính sách điều khiển dịch vụ (SCP).

Tính năng CfCT này được tích hợp với lifecycle events của AWS Control Tower, vì vậy việc triển khai tài nguyên sẽ luôn được đồng bộ hóa với Landing Zone. Ví dụ, khi sử dụng Account Factory để tạo một tài khoản mới, tất cả tài nguyên gắn liền với tài khoản đó sẽ tự động được triển khai. Bạn cũng có thể triển khai các mẫu tùy chỉnh và chính sách đến các tài khoản cá nhân và đơn vị tổ chức (OU) trong tổ chức.

Hơn nữa, khi sử dụng CfCT cùng với lifecycle events, bạn có thể thực hiện việc triển khai tài nguyên dựa trên việc hoàn thành một loạt sự kiện trước đó.

Sử dụng lifecycle events, bạn có thể tự động triển khai tài nguyên đến các tài khoản và OU.

Tổng kết

Control Tower là một dịch vụ cho phép bạn xây dựng một Landing Zone theo các phương pháp hay nhất của AWS.

– Bạn có thể thực hiện kiểm soát như lưu trữ bằng chứng và áp dụng guardrails.

– Bạn cũng có thể đáp ứng các yêu cầu độc lập bằng cách áp dụng các quy tắc tùy chỉnh.

The post Bắt đầu quản lý multiple accounts với AWS Control Tower appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.