`為 `aws`。
**產品版本**
+ AWS Control Tower 3.2 版或更新版本
+ Python 3.9 版或更新版本
+ npm 8.9.0 版或更新版本
## Architecture
本節提供此解決方案的高階概觀，以及範例程式碼所建立的架構。下圖顯示部署在 OU 中各種帳戶的控制項。
AWS Control Tower 控制項會根據其*行為*及其*指引*進行分類。
控制行為有三種主要類型：
1. *預防性控制*旨在防止動作發生。這些會在 中使用[服務控制政策 SCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) 或[資源控制政策 RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) 實作 AWS Organizations。預防性控制的狀態為**強制執行****或未啟用**。所有 都支援預防性控制 AWS 區域。
1. *Detective 控制項*旨在偵測發生的特定事件，並記錄動作 AWS CloudTrail。這些是使用 [AWS Config 規則](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html)實作的。偵測性控制項的狀態為**明確**、**違規**或未**啟用**。Detective 控制項僅適用於 AWS 區域 支援的控制項 AWS Control Tower。
1. *主動控制*掃描由 佈建的資源， AWS CloudFormation 並檢查這些資源是否符合您的公司政策和目標。不會佈建不合規的資源。這些會使用[AWS CloudFormation 勾點](https://docs.aws.amazon.com/cloudformation-cli/latest/userguide/hooks.html)實作。主動控制的狀態為 **PASS**、**FAIL** 或 **SKIP**。
控制*指導*是指如何將每個控制套用至 OUs 的建議實務。 AWS Control Tower 提供三種類型的指導：*強制性*、*強烈建議*和*選擇性*。控制項的指引與其行為無關。如需詳細資訊，請參閱[控制行為和指引](https://docs.aws.amazon.com/controltower/latest/userguide/controls.html#control-behavior)。
## 工具
**AWS 服務**
+ [AWS Cloud Development Kit (AWS CDK)](https://docs.aws.amazon.com/cdk/v2/guide/home.html) 是一種軟體開發架構，可協助您在程式碼中定義和佈建 AWS 雲端 基礎設施。Toolkit [AWS CDK](https://docs.aws.amazon.com/cdk/v2/guide/cli.html)是與您的 AWS CDK 應用程式互動的主要工具。
+ [AWS CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/Welcome.html) 可協助您設定 AWS 資源、快速且一致地佈建資源，以及在整個 AWS 帳戶 和 生命週期中管理資源 AWS 區域。
+ [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/WhatIsConfig.html) 提供 中資源的詳細檢視 AWS 帳戶 及其設定方式。它可協助您識別資源彼此之間的關係，以及其組態如何隨著時間而改變。
+ [AWS Control Tower](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html) 可協助您設定和管理 AWS 多帳戶環境，並遵循規範性最佳實務。
+ [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html) 是一種帳戶管理服務，可協助您將多個 合併 AWS 帳戶 到您建立並集中管理的組織。
**其他工具**
+ [cdk\_nag](https://github.com/cdklabs/cdk-nag#readme) 是一種開放原始碼工具，使用規則套件的組合來檢查 AWS CDK 應用程式是否符合最佳實務。
+ [npm](https://docs.npmjs.com/about-npm/) 是在 Node.js 環境中執行的軟體登錄檔，用於共用或借用套件和管理私有套件的部署。
+ [Python](https://www.python.org/) 是一種一般用途的電腦程式設計語言。
**程式碼儲存庫**
此模式的程式碼可在 GitHub 部署控制項中使用儲存庫。 [AWS Control TowerAWS CDK](https://github.com/aws-samples/aws-control-tower-controls-cdk)您可以使用 **cdk.json** 檔案與 AWS CDK 應用程式互動，並使用 **package.json** 檔案安裝 npm 套件。
## 最佳實務
+ 遵循[最低權限原則](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#grant-least-privilege) (IAM 文件）。此模式中提供的範例 IAM 政策和信任政策包含所需的最低許可，而且在管理帳戶中建立的 AWS CDK 堆疊受限於這些許可。
+ 遵循[AWS Control Tower 管理員的最佳實務 ](https://docs.aws.amazon.com/controltower/latest/userguide/best-practices.html)(AWS Control Tower 文件）。
+ 遵循[使用 （文件） 開發和部署雲端基礎設施的最佳實務 AWS CDK](https://docs.aws.amazon.com/cdk/v2/guide/best-practices.html)。AWS CDK
+ 引導 時 AWS CDK，自訂引導範本以定義政策和信任的帳戶，這些帳戶應該能夠讀取和寫入管理帳戶中的任何資源。如需詳細資訊，請參閱[自訂引導](https://docs.aws.amazon.com/cdk/v2/guide/bootstrapping.html#bootstrapping-customizing)。
+ 使用程式碼分析工具掃描產生的 CloudFormation 範本，例如 [cfn\_nag](https://github.com/stelligent/cfn_nag)。cfn-nag 工具會在 CloudFormation 範本中尋找可能表示基礎設施不安全的模式。您也可以使用 CloudFormation-[include 模組，使用 cdk-nag 來檢查 CloudFormation](https://docs.aws.amazon.com/cdk/v2/guide/use_cfn_template.html) 範本。
## 史詩
### 準備啟用控制項
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 在管理帳戶中建立 IAM 角色。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/deploy-and-manage-aws-control-tower-controls-by-using-aws-cdk-and-aws-cloudformation.html) | DevOps 工程師，一般 AWS |
| 引導 AWS CDK。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/deploy-and-manage-aws-control-tower-controls-by-using-aws-cdk-and-aws-cloudformation.html) | DevOps 工程師、一般 AWS、Python |
| 複製儲存庫。 | 在 bash shell 中，輸入下列命令。這會複製使用 GitHub 儲存庫的[部署 AWS Control Tower 控制項 AWS CDK](https://github.com/aws-samples/aws-control-tower-controls-cdk)。git clone https://github.com/aws-samples/aws-control-tower-controls-cdk.git
| DevOps 工程師，一般 AWS |
| 編輯 AWS CDK 組態檔案。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/deploy-and-manage-aws-control-tower-controls-by-using-aws-cdk-and-aws-cloudformation.html) | DevOps 工程師，一般 AWS |
### 在管理帳戶中啟用控制項
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 擔任部署帳戶中的 IAM 角色。 | 在部署帳戶中，擔任具有在管理帳戶中部署 AWS CDK 堆疊許可的 IAM 角色。如需在 中擔任 IAM 角色的詳細資訊 AWS CLI，請參閱[在 中使用 IAM 角色 AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html)。 | DevOps 工程師，一般 AWS |
| 啟動環境。 | 如果您使用的是 Linux 或 MacOS：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/deploy-and-manage-aws-control-tower-controls-by-using-aws-cdk-and-aws-cloudformation.html)
如果您使用的是 Windows：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/deploy-and-manage-aws-control-tower-controls-by-using-aws-cdk-and-aws-cloudformation.html) | DevOps 工程師，一般 AWS |
| 安裝相依性。 | 啟用虛擬環境後，請輸入下列命令來執行 **install\_deps.sh **指令碼。此指令碼會安裝必要的相依性。$ ./scripts/install_deps.sh
| DevOps 工程師、一般 AWS、Python |
| 部署堆疊。 | 輸入下列命令來合成和部署 CloudFormation 堆疊。$ npx cdk synth
$ npx cdk deploy
| DevOps 工程師、一般 AWS、Python |
## 相關資源
**AWS 文件**
+ [關於控制項](https://docs.aws.amazon.com/controltower/latest/controlreference/controls.html) (AWS Control Tower 文件）
+ [控制項程式庫](https://docs.aws.amazon.com/controltower/latest/controlreference/controls-reference.html) (AWS Control Tower 文件）
+ [AWS CDK 工具組命令](https://docs.aws.amazon.com/cdk/v2/guide/cli.html#cli-commands) (AWS CDK 文件）
+ [使用 Terraform 部署和管理 AWS Control Tower 控制項](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/deploy-and-manage-aws-control-tower-controls-by-using-terraform.html) (AWS 方案指引）
**其他資源**
+ [Python](https://www.python.org/)
## 其他資訊
**範例 constants.py 檔案**
以下是更新 **constants.py** 檔案的範例。此範例會啟用 **AWS-GR\_DISALLOW\_CROSS\_REGION\_NETWORKING** 控制項 （全域 ID：`dvuaav61i5cnfazfelmvn9m6k`) 和 **AWS-GR\_SUBNET\_AUTO\_ASSIGN\_PUBLIC\_IP\_DISABLED** 控制項 （全域 ID：`50z1ot237wl8u1lv5ufau6qqo`)。如需全域 IDs 的清單，請參閱 AWS Control Tower 文件中的所有[全域識別碼](https://docs.aws.amazon.com/controltower/latest/controlreference/all-global-identifiers.html)。
```
ACCOUNT_ID = 111122223333
AWS_CONTROL_TOWER_REGION = us-east-2
ROLE_ARN = "arn:aws:iam::111122223333:role/CT-Controls-Role"
GUARDRAILS_CONFIGURATION = [
{
"Enable-Control": {
"dvuaav61i5cnfazfelmvn9m6k": { # AWS-GR_DISALLOW_CROSS_REGION_NETWORKING
"Parameters": {
"ExemptedPrincipalArns": ["arn:aws:iam::111122223333:role/RoleName"]
},
"Tags": [{"key": "Environment", "value": "Production"}]
},
...
},
"OrganizationalUnitIds": ["ou-1111-11111111", "ou-2222-22222222"...],
},
{
"Enable-Control": {
"50z1ot237wl8u1lv5ufau6qqo", # AWS-GR_SUBNET_AUTO_ASSIGN_PUBLIC_IP_DISABLED
...
},
"OrganizationalUnitIds": ["ou-2222-22222222"...],
},
]
```
**IAM 政策**
下列範例政策允許在將 AWS CDK 堆疊從部署帳戶部署至管理帳戶時，啟用或停用 AWS Control Tower 控制項所需的最低動作。
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"controltower:EnableControl",
"controltower:DisableControl",
"controltower:GetControlOperation",
"controltower:ListEnabledControls",
"organizations:AttachPolicy",
"organizations:CreatePolicy",
"organizations:DeletePolicy",
"organizations:DescribeOrganization",
"organizations:DescribeOrganizationalUnit",
"organizations:DetachPolicy",
"organizations:ListAccounts",
"organizations:ListAWSServiceAccessForOrganization",
"organizations:ListChildren",
"organizations:ListOrganizationalUnitsForParent",
"organizations:ListParents",
"organizations:ListPoliciesForTarget",
"organizations:ListRoots",
"organizations:UpdatePolicy",
"ssm:GetParameters"
],
"Resource": "*"
}
]
}
```
**信任政策**
下列自訂信任政策允許部署帳戶中的特定 IAM 角色擔任管理帳戶中的 IAM 角色。取代以下項目：
+ `` 是部署帳戶的 ID
+ `` 是部署帳戶中的角色名稱，允許 在管理帳戶中擔任該角色
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam:::role/"
},
"Action": "sts:AssumeRole",
"Condition": {}
}
]
}
```