Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
À propos des comptes partagés
Trois offres spéciales Comptes AWS sont associées à AWS Control Tower : le compte de gestion, le compte d'audit et le compte d'archivage des journaux. Ces comptes sont généralement appelés comptes partagés, ou parfois comptes principaux.
-
Vous pouvez sélectionner des noms personnalisés pour les comptes d'audit et d'archivage des journaux lorsque vous configurez votre zone d'atterrissage. Pour plus d'informations sur la modification du nom d'un compte, consultez la section Modification externe des noms de ressources AWS Control Tower.
Vous pouvez également spécifier un compte de sécurité ou de journalisation existant Compte AWS en tant que compte de sécurité ou de journalisation AWS Control Tower, lors du processus initial de configuration de la zone d'atterrissage. Cette option évite à AWS Control Tower de créer de nouveaux comptes partagés. (Il s'agit d'une sélection unique.)
Pour plus d'informations sur les comptes partagés et leurs ressources associées, consultezRessources créées dans les comptes partagés.
Compte de gestion
Cela Compte AWS lance AWS Control Tower. Par défaut, l'utilisateur root de ce compte et l'utilisateur IAM ou l'administrateur IAM de ce compte ont un accès complet à toutes les ressources de votre zone de destination.
Note
Il est recommandé de vous connecter en tant qu'utilisateur IAM Identity Center avec des privilèges d'administrateur lorsque vous exécutez des fonctions administratives dans la console AWS Control Tower, au lieu de vous connecter en tant qu'utilisateur root ou administrateur IAM pour ce compte.
Pour plus d'informations sur les rôles et les ressources disponibles dans le compte de gestion, consultezRessources créées dans les comptes partagés.
Compte d'archivage des journaux
Le compte partagé des archives de journaux est configuré automatiquement lorsque vous créez votre zone d'atterrissage, si vous n'apportez pas spécifiquement un autre AWS compte.
Ce compte contient un compartiment Amazon S3 central qui permet de stocker une copie de tous les comptes AWS CloudTrail et les fichiers AWS Config journaux de tous les autres comptes de votre zone de destination. Il est recommandé de limiter l'accès aux comptes d'archivage des journaux aux équipes chargées de la conformité et des enquêtes, ainsi qu'à leurs outils de sécurité ou d'audit associés. Ce compte peut être utilisé pour des audits de sécurité automatisés ou pour héberger des fonctions personnalisées AWS Config Rules, telles que des fonctions Lambda, afin d'effectuer des actions correctives.
Politique relative aux compartiments Amazon S3
Pour la version 3.3 et les versions ultérieures d'AWS Control Tower landing zone, les comptes doivent remplir une aws:SourceOrgID condition pour toute autorisation d'écriture dans votre compartiment d'audit. Cette condition garantit que CloudTrail seuls les journaux peuvent écrire des journaux pour le compte des comptes de votre organisation dans votre compartiment S3 ; elle empêche CloudTrail les journaux extérieurs à votre organisation d'écrire dans votre compartiment S3 AWS Control Tower. Pour de plus amples informations, veuillez consulter Zone d'atterrissage de la tour de contrôle AWS, version 3.3.
Pour plus d'informations sur les rôles et les ressources disponibles dans le compte d'archivage des journaux, voir Ressources du compte d'archivage des journaux
Note
Ces journaux ne peuvent pas être modifiés. Tous les journaux sont stockés à des fins d'audit et d'enquêtes de conformité liées à l'activité du compte.
Compte d'audit
Ce compte partagé est configuré automatiquement lorsque vous créez votre zone d'atterrissage, si vous n'apportez pas spécifiquement un autre compte.
Le compte d'audit doit être réservé aux équipes chargées de la sécurité et de la conformité ayant des rôles intercomptes d'auditeur (lecture seule) et d'administrateur (accès complet) pour tous les comptes de la zone d'accueil. Ces rôles sont destinés à être utilisés par les équipes de sécurité et de conformité pour :
-
Réalisez des audits par le biais de AWS mécanismes tels que l'hébergement de fonctions Lambda à AWS Config règles personnalisées.
-
Effectuez des opérations de sécurité automatisées, telles que des actions correctives.
Le compte d'audit reçoit également des notifications via le service Amazon Simple Notification Service (Amazon SNS). Trois catégories de notifications peuvent être reçues :
-
Tous les événements de configuration : cette rubrique regroupe tous les comptes de votre zone d'atterrissage CloudTrail et les AWS Config notifications de tous les comptes.
-
Notifications de sécurité agrégées : cette rubrique regroupe toutes les notifications de sécurité relatives à des CloudWatch événements spécifiques, à des événements de modification de l'état de AWS Config Rules conformité et à des GuardDuty résultats.
-
Notifications de dérive : cette rubrique regroupe tous les avertissements de dérive découverts sur tous les comptes, utilisateurs, unités d'organisation et SCP de votre zone d'atterrissage. Pour plus d’informations sur la dérive, consultez Détectez et corrigez les dérives dans AWS Control Tower.
Les notifications d'audit déclenchées au sein d'un compte membre peuvent également envoyer des alertes sur une rubrique Amazon SNS locale. Cette fonctionnalité permet aux administrateurs de compte de s'abonner aux notifications d'audit spécifiques à un compte de membre individuel. Les administrateurs peuvent ainsi résoudre les problèmes qui concernent un compte individuel, tout en regroupant toutes les notifications de compte sur votre compte d'audit centralisé. Pour plus d'informations, consultez le Guide du développeur Amazon Simple Notification Service.
Pour plus d'informations sur les rôles et les ressources disponibles dans le compte d'audit, consultezRessources relatives au compte d'audit.
Pour plus d'informations sur l'audit programmatique, consultez la section Rôles programmatiques et relations de confiance pour le compte d'audit AWS Control Tower.
Important
L'adresse e-mail que vous fournissez pour le compte d'audit reçoit des e-mails de AWS notification et de confirmation d'abonnement de la part de toutes les Région AWS entités prises en charge par AWS Control Tower. Pour recevoir des e-mails de conformité sur votre compte d'audit, vous devez cliquer sur le lien Confirmer l'abonnement figurant dans chaque e-mail de chaque e-mail Région AWS pris en charge par AWS Control Tower.
