Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Funcionamiento de AWS Control Tower
En esta sección se describe de forma general cómo funciona AWS Control Tower. Su zona de destino es un entorno de cuentas múltiples bien diseñado para todos sus recursos. AWS Puedes usar este entorno para hacer cumplir las normas de cumplimiento en todas tus cuentas. AWS
Estructura de una zona de aterrizaje de AWS Control Tower
La estructura de una zona de aterrizaje de AWS Control Tower es la siguiente:
-
Raíz: el elemento principal que contiene todas las demás unidades organizativas de la zona de aterrizaje.
-
OU de seguridad: esta OU contiene las cuentas de archivo de registro y auditoría. Estas cuentas suelen denominarse cuentas compartidas. Al lanzar su zona de destino, puede elegir nombres personalizados para estas cuentas compartidas y tiene la opción de incorporar AWS las cuentas existentes a AWS Control Tower por motivos de seguridad y registro. Sin embargo, no se les puede cambiar el nombre más adelante y las cuentas existentes no se pueden añadir por motivos de seguridad y registro tras el lanzamiento inicial.
-
OU de entorno de pruebas: la OU de entorno de pruebas se crea cuando lanza la zona de aterrizaje, si la habilita. Esta y otras UO registradas contienen las cuentas inscritas con las que trabajan los usuarios para llevar a cabo sus cargas de trabajo de AWS .
-
Directorio de IAM Identity Center: de forma predeterminada, este directorio contiene los usuarios de IAM Identity Center. Define el ámbito de los permisos para cada usuario de IAM Identity Center. Si lo desea, puede administrar automáticamente el control de identidad y acceso. Para obtener más información, consulte Cómo trabajar con AWS IAM Identity Center y AWS Control Tower.
-
Usuarios del IAM Identity Center: son las identidades que sus usuarios pueden asumir para realizar sus AWS cargas de trabajo en su zona de destino.
Qué sucede cuando se configura una zona de aterrizaje
Al configurar una zona de aterrizaje, AWS Control Tower realiza en su nombre las siguientes acciones en su cuenta de administración:
-
Crea dos unidades AWS Organizations organizativas (OU): la de seguridad y la de espacio aislado (opcional), que se encuentran dentro de la estructura raíz de la organización.
-
Crea o agrega dos cuentas compartidas en la OU de seguridad: la cuenta del archivo de registro y la cuenta de auditoría.
-
Crea un directorio nativo en la nube en IAM Identity Center, con grupos preconfigurados y acceso de inicio de sesión único, si elige la configuración predeterminada de AWS Control Tower de AWS, o si le permite administrar automáticamente su proveedor de identidades.
-
Aplica todos los controles preventivos obligatorios para aplicar políticas.
-
Aplica todos los controles de detección obligatorios para detectar infracciones de la configuración.
-
Los controles preventivos no se aplican a la cuenta de administración.
-
Excepto en el caso de la cuenta de administración, los controles se aplican a la organización en su conjunto.
Administración segura de los recursos en su zona de aterrizaje y sus cuentas de AWS Control Tower
-
Cuando creas tu zona de aterrizaje, se crean varios AWS recursos. Para utilizar AWS Control Tower, no debe modificar ni eliminar estos recursos administrados de AWS Control Tower fuera de los métodos admitidos descritos en esta guía. Eliminar o modificar estos recursos hará que su zona de aterrizaje entre en un estado desconocido. Para obtener más información, consulte Guía para la creación y modificación de recursos de AWS Control Tower
-
Cuando habilita los controles opcionales (aquellos cuya orientación es altamente recomendada o optativa), AWS Control Tower crea AWS los recursos que administra en sus cuentas. No modifique ni elimine los recursos creados por AWS Control Tower. Si lo hace, puede provocar que los controles cambien a un estado desconocido.
Cómo funciona AWS Control Tower con StackSets
AWS Control Tower se utiliza CloudFormation StackSets para configurar los recursos de sus cuentas de forma predeterminada. Cada conjunto de pilas tiene StackInstances lo que corresponde a las cuentas y a Regiones de AWS cada cuenta. AWS Control Tower implementa una instancia de conjunto de pilas por cuenta y región.
AWS Control Tower aplica las actualizaciones a determinadas cuentas y de Regiones de AWS forma selectiva, en función de CloudFormation los parámetros. Cuando las actualizaciones se aplican a algunas instancias de la pila, otras instancias de la pila pueden quedar en estado Outdated (Obsoleto). Este es el comportamiento esperado y normal.
Cuando una instancia de pila cambia al estado Outdated (Obsoleto), normalmente significa que la pila correspondiente a esa instancia de pila no está alineada con la última plantilla del conjunto de pilas. La pila permanece en la plantilla más antigua, por lo que es posible que no incluya los últimos recursos o parámetros. La pila sigue siendo completamente utilizable.
A continuación se ofrece un rápido resumen del comportamiento que se puede esperar, basado en los parámetros de CloudFormation que se especifican durante una actualización:
Si la actualización del conjunto de pilas incluye cambios en la plantilla (es decir, si se especifican TemplateURL las propiedades TemplateBody o propiedades), o si se especifica la Parameters propiedad, CloudFormation marca todas las instancias de pila con el estado Desactualizadas antes de actualizar las instancias de pila en las cuentas especificadas y Regiones de AWS. Si la actualización del conjunto de pilas no incluye cambios en la plantilla o los parámetros, CloudFormation actualiza las instancias de pila en las cuentas y regiones especificadas, dejando todas las demás instancias de pila con su estado de instancia de pila actual. Para actualizar todas las instancias de pila asociadas a un conjunto de pilas, no especifique las propiedades Accounts ni Regions.
Para obtener más información, consulta cómo actualizar tu conjunto de pilas en la guía del CloudFormation usuario.
