Penggunaan AWS Organizations untuk keamanan

AWS Organizationsmembantu Anda mengelola dan mengatur lingkungan Anda secara terpusat saat Anda tumbuh dan meningkatkan sumber daya Anda AWS . Dengan menggunakan AWS Organizations, Anda dapat membuat yang baru secara terprogram Akun AWS, mengalokasikan sumber daya, mengelompokkan akun untuk mengatur beban kerja, dan menerapkan kebijakan ke akun atau grup akun untuk tata kelola. Sebuah AWS organisasi mengkonsolidasikan Anda Akun AWS sehingga Anda dapat mengelolanya sebagai satu unit. Ini memiliki satu akun manajemen bersama dengan nol atau lebih akun anggota. Sebagian besar beban kerja Anda berada di akun anggota, kecuali untuk beberapa proses yang dikelola secara terpusat yang harus berada di akun manajemen atau di akun yang ditetapkan sebagai administrator yang didelegasikan untuk spesifik. Layanan AWS Anda dapat menyediakan alat dan akses dari lokasi pusat untuk tim keamanan Anda untuk mengelola kebutuhan keamanan atas nama AWS organisasi. Anda dapat mengurangi duplikasi sumber daya dengan berbagi sumber daya penting dalam AWS organisasi Anda. Anda dapat mengelompokkan akun ke dalam unit AWS organisasi (OU), yang dapat mewakili lingkungan yang berbeda berdasarkan persyaratan dan tujuan beban kerja. AWS Organizations juga menyediakan beberapa kebijakan yang memungkinkan Anda menerapkan kontrol keamanan tambahan secara terpusat ke semua akun anggota di organisasi Anda. Bagian ini berfokus pada kebijakan kontrol layanan (SCP), kebijakan kontrol sumber daya (RCP), dan kebijakan deklaratif.

Dengan AWS Organizations, Anda dapat menggunakan SCP dan RCP untuk menerapkan pagar pembatas izin di tingkat AWS organisasi, OU, atau akun. SCP adalah pagar pembatas yang berlaku untuk kepala sekolah dalam akun organisasi, dengan pengecualian akun manajemen (yang merupakan salah satu alasan untuk tidak menjalankan beban kerja di akun ini). Ketika Anda melampirkan SCP ke OU, SCP diwarisi oleh OU anak dan akun di bawah OU tersebut. SCP tidak memberikan izin apa pun. Sebagai gantinya, mereka menentukan izin maksimum yang tersedia untuk kepala sekolah Anda di AWS organisasi, OU, atau akun. Anda masih perlu melampirkan kebijakan berbasis identitas atau berbasis sumber daya ke prinsipal atau sumber daya di Anda untuk benar-benar memberikan izin kepada mereka. Akun AWS Misalnya, jika SCP menolak akses ke semua Amazon S3, prinsipal yang terpengaruh oleh SCP tidak akan memiliki akses ke Amazon S3 bahkan jika mereka secara eksplisit diberikan akses melalui kebijakan IAM. Untuk informasi lebih lanjut tentang bagaimana kebijakan IAM dievaluasi, peran SCP, dan bagaimana akses akhirnya diberikan atau ditolak, lihat Logika evaluasi kebijakan dalam dokumentasi IAM.

RCP adalah pagar pembatas yang berlaku untuk sumber daya dalam akun organisasi, terlepas dari apakah sumber daya milik organisasi yang sama. Seperti SCP, RCP tidak memengaruhi sumber daya di akun manajemen dan tidak memberikan izin apa pun. Saat Anda melampirkan RCP ke OU, RCP diwarisi oleh OU anak dan akun di bawah OU. RCP menyediakan kontrol pusat atas izin maksimum yang tersedia untuk sumber daya di organisasi Anda dan saat ini mendukung sebagian dari. Layanan AWS Saat Anda mendesain SCP untuk OU Anda, kami sarankan Anda mengevaluasi perubahan dengan menggunakan simulator kebijakan IAM. Anda juga harus meninjau data layanan yang terakhir diakses di IAM dan menggunakannya AWS CloudTrail untuk mencatat penggunaan layanan di tingkat API untuk memahami potensi dampak perubahan SCP.

SCP dan RCP adalah kontrol independen. Anda dapat memilih untuk mengaktifkan hanya SCP atau RCP, atau menggunakan kedua jenis kebijakan secara bersamaan berdasarkan kontrol akses yang ingin Anda terapkan. Misalnya, jika Anda ingin mencegah prinsipal organisasi mengakses sumber daya di luar organisasi, Anda menerapkan kontrol ini dengan menggunakan SCP. Jika Anda ingin membatasi atau mencegah identitas eksternal mengakses sumber daya Anda, Anda menerapkan kontrol ini dengan menggunakan RCP. Untuk informasi selengkapnya dan kasus penggunaan untuk RCP dan SCP, lihat Menggunakan SCP dan RCP dalam dokumentasi. AWS Organizations

Anda dapat menggunakan kebijakan AWS Organizations deklaratif untuk mendeklarasikan dan menerapkan konfigurasi yang Anda inginkan secara terpusat pada skala tertentu Layanan AWS di seluruh organisasi. Misalnya, Anda dapat memblokir akses internet publik ke sumber daya Amazon VPC di seluruh organisasi Anda. Tidak seperti kebijakan otorisasi seperti SCP dan RCP, kebijakan deklaratif diberlakukan di bidang kontrol layanan. AWS Kebijakan otorisasi mengatur akses ke API, sedangkan kebijakan deklaratif diterapkan langsung di tingkat layanan untuk menegakkan maksud tahan lama. Kebijakan ini membantu memastikan bahwa konfigurasi dasar untuk sebuah selalu Layanan AWS dipertahankan, bahkan ketika layanan memperkenalkan fitur atau API baru. Konfigurasi dasar juga dipertahankan ketika akun baru ditambahkan ke organisasi atau ketika prinsip dan sumber daya baru dibuat. Kebijakan deklaratif dapat diterapkan ke seluruh organisasi atau ke OU atau akun tertentu.

Setiap Akun AWS memiliki satu pengguna root yang memiliki izin penuh untuk semua AWS sumber daya secara default.  Sebagai praktik keamanan terbaik, kami menyarankan Anda untuk tidak menggunakan pengguna root kecuali untuk beberapa tugas yang secara eksplisit memerlukan pengguna root. Jika Anda mengelola beberapa Akun AWS melalui AWS Organizations, Anda dapat menonaktifkan login root secara terpusat dan kemudian melakukan tindakan hak istimewa root atas nama semua akun anggota. Setelah Anda mengelola akses root untuk akun anggota secara terpusat, Anda dapat menghapus kata sandi pengguna root, kunci akses, dan menandatangani sertifikat, dan menonaktifkan otentikasi multi-faktor (MFA) untuk akun anggota. Akun baru yang dibuat di bawah akses root yang dikelola secara terpusat tidak memiliki kredenal pengguna root secara default. Akun anggota tidak dapat masuk dengan pengguna root mereka atau melakukan pemulihan kata sandi untuk pengguna root mereka.

AWS Control Towermenawarkan cara yang disederhanakan untuk mengatur dan mengatur beberapa akun. Ini mengotomatiskan pengaturan akun di AWS organisasi Anda, mengotomatiskan penyediaan, menerapkan kontrol (yang mencakup kontrol preventif dan detektif), dan memberi Anda dasbor untuk visibilitas. Kebijakan manajemen IAM tambahan, batas izin, dilampirkan ke prinsipal IAM tertentu (pengguna atau peran) dan menetapkan izin maksimum yang dapat diberikan oleh kebijakan berbasis identitas kepada prinsipal IAM.

AWS Organizations membantu Anda mengonfigurasi Layanan AWSyang berlaku untuk semua akun Anda. Misalnya, Anda dapat mengonfigurasi pencatatan pusat dari semua tindakan yang dilakukan di seluruh AWS organisasi dengan menggunakan CloudTrail, dan mencegah akun anggota menonaktifkan pencatatan. Anda juga dapat menggabungkan data secara terpusat untuk aturan yang telah Anda tetapkan dengan menggunakan AWS Config, sehingga Anda dapat mengaudit beban kerja Anda untuk kepatuhan dan bereaksi cepat terhadap perubahan. Anda dapat menggunakan AWS CloudFormation StackSetsuntuk mengelola CloudFormation tumpukan secara terpusat di seluruh akun dan OU di AWS organisasi Anda, sehingga Anda dapat secara otomatis menyediakan akun baru untuk memenuhi persyaratan keamanan Anda.

Konfigurasi default AWS Organizations dukungan menggunakan SCP sebagai daftar penolakan. Dengan menggunakan strategi daftar tolak, administrator akun anggota dapat mendelegasikan semua layanan dan tindakan sampai Anda membuat dan melampirkan SCP yang menolak layanan atau serangkaian tindakan tertentu. Pernyataan penolakan memerlukan pemeliharaan yang lebih sedikit daripada daftar izinkan, karena Anda tidak perlu memperbaruinya saat AWS menambahkan layanan baru. Pernyataan penolakan biasanya lebih pendek dalam panjang karakter, jadi lebih mudah untuk tetap dalam ukuran maksimum untuk SCP. Dalam sebuah pernyataan di mana elemen Effect memiliki nilai Deny, Anda juga dapat membatasi akses ke sumber daya tertentu, atau menentukan syarat ketika SCP berlaku. Sebaliknya, Allow pernyataan dalam SCP berlaku untuk semua sumber daya ("*") dan tidak dapat dibatasi oleh kondisi. Untuk informasi dan contoh selengkapnya, lihat Strategi untuk menggunakan SCP dalam AWS Organizations dokumentasi.