View a markdown version of this page

Configurer le contrôle de refus des régions - AWS Control Tower

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer le contrôle de refus des régions

AWS Control Tower propose deux contrôles de refus régionaux. Une commandeAWS-GR_REGION_DENY, lorsqu'elle est activée, s'applique à l'ensemble de la zone d'atterrissage. Une autre commandeCT.MULTISERVICE.PV.1, lorsqu'elle est activée, peut s'appliquer à des éléments spécifiques OUs que vous spécifiez. Pour plus d'informations, consultez la section Refuser l'accès en AWS fonction de la demande Région AWS et le contrôle de refus régional appliqué à l'unité d'organisation.

Considérations relatives à la région : refus de contrôler la zone d'atterrissage

La Région de refus de contrôle AWS-GR_REGION_DENYest unique, car elle s'applique à la zone d'atterrissage dans son ensemble, plutôt qu'à une unité d'organisation spécifique. Pour configurer le refus de contrôle par région, rendez-vous sur la page des paramètres de la zone d'atterrissage et sélectionnez Modifier les paramètres.

  • Ce paramètre peut être modifié ultérieurement.

  • Lorsqu'elle est activée, cette commande s'applique à toutes les personnes OUs dont la valeur AWSControlTowerBaseline est activée.

  • Ce contrôle ne peut pas être configuré pour un individu OUs.

Note

Avant d'activer le refus de contrôle par région, assurez-vous que vous ne disposez pas de ressources existantes dans ces régions, car vous n'aurez pas accès à vos ressources une fois le contrôle appliqué. Tant que le contrôle est activé, vous ne pourrez pas déployer de ressources dans les régions interdites.

Lorsque vous activez le contrôle, il s'applique à tous les niveaux supérieurs où le OUs paramètre est AWSControlTowerBaseline activé, et il est hérité par le niveau OUs inférieur de la hiérarchie de l'organisation. Lorsque vous supprimez le contrôle, il est supprimé sur toutes les régions précédemment appliquées OUs, toutes les régions non gouvernées d'AWS Control Tower conservent le statut Non gouvernées et vous pouvez déployer des ressources dans des régions où AWS Control Tower n'est pas disponible.

Exceptions

Vous ne pouvez pas refuser l'accès à votre région d'origine. Certains AWS services internationaux, tels que IAM et AWS Organizations, sont exemptés du refus de contrôle de la Région. Pour en savoir plus, consultez la section Refuser l'accès AWS en fonction de la demande Région AWS.

  • Nom du contrôle complet : refuser l'accès AWS en fonction de la AWS région demandée pour la zone d'atterrissage

  • Description du contrôle : interdit l'accès aux opérations non répertoriées dans les services mondiaux et régionaux en dehors des régions spécifiées pour la zone d'atterrissage.

  • Il s'agit d'un contrôle électif avec des conseils préventifs.

Pour consulter le modèle du SCP de refus de contrôle régional, consultez la section Refuser l'accès en AWS fonction de ce qui est demandé Région AWS dans la référence AWS Control Tower Control. Le SCP d'AWS Control Tower est similaire au SCP de AWS Organizations, mais il n'est pas identique.

Vous pouvez déterminer les points de terminaison des services régionaux sur la page des services régionaux.