Unità organizzative annidate in AWS Control Tower

• Se tutti i controlli preliminari vengono superati, AWS Control Tower inizia a registrare l'unità organizzativa automaticamente.

• Se i controlli preliminari falliscono, AWS Control Tower interrompe il processo di registrazione e fornisce un elenco di elementi che devono essere corretti prima di poter registrare l'unità organizzativa.

AWS Control Tower esegue le seguenti attività

• Aggiunge il AWSControlTowerExecution ruolo a tutti gli account non registrati in questa unità organizzativa e a tutti gli account non registrati nelle relative unità organizzative annidate.

• Registra gli account dei membri che non sono iscritti.

• Re-enrolls gli account dei membri registrati.

• Crea un login IAM Identity Center per gli account dei membri appena registrati.

• Aggiorna gli account dei membri iscritti esistenti per riflettere le modifiche alla zona di atterraggio.

• Aggiorna i controlli configurati per questa unità organizzativa e i relativi account membri.

• Non è possibile registrare un'unità organizzativa nell'unità organizzativa principale (unità organizzativa di sicurezza).

• Le unità organizzative annidate devono essere registrate separatamente.

• Non è possibile registrare un'unità organizzativa a meno che l'unità organizzativa principale non sia registrata.

• Non è possibile registrare un'unità organizzativa a meno che tutte le unità organizzative più in alto nell'albero non siano state registrate correttamente in un determinato momento (alcune potrebbero essere state eliminate).

• È possibile registrare un'unità organizzativa che si trova al di sotto di un'unità organizzativa più elevata, ma tale deviazione non viene riparata da tale azione.

• Le unità organizzative possono essere annidate a una profondità massima di 5 livelli sotto la radice.

• Le unità organizzative annidate nell'unità organizzativa di destinazione devono essere registrate o registrate nuovamente separatamente.

• Se l'unità organizzativa di destinazione è di livello 2 o inferiore nella gerarchia, ovvero se non è un'unità organizzativa di livello superiore, i controlli preventivi abilitati sulle unità organizzative superiori vengono applicati automaticamente a questa unità organizzativa e a tutte le unità organizzative inferiori.

• Gli errori di registrazione dell'unità organizzativa non si propagano verso l'alto nell'albero della gerarchia. Puoi visualizzare i dettagli sugli stati delle unità organizzative annidate nella pagina dei dettagli dell'unità organizzativa principale.

• Gli errori di registrazione dell'unità organizzativa non si propagano lungo l'albero della gerarchia.

• AWS Control Tower non modifica le impostazioni VPC per account nuovi o esistenti.

Considerazioni sulla conformità per le unità organizzative e gli account annidati

• La conformità di un'unità organizzativa non è determinata in base alla conformità delle unità organizzative annidate al suo interno.

• Lo stato di conformità di un controllo viene calcolato su tutte le unità organizzative su cui è abilitato il controllo, comprese le unità organizzative annidate. Visualizza lo stato di conformità di AWS Control Tower per le unità organizzative e gli account.

• Un'unità organizzativa viene indicata come non conforme solo se ha account non conformi, indipendentemente dalla posizione dell'unità organizzativa nella gerarchia dell'unità organizzativa.

• Se un'unità organizzativa annidata non è conforme, l'unità organizzativa principale non viene automaticamente considerata non conforme.

• Nella pagina dei dettagli dell'unità organizzativa o dell'account, puoi visualizzare un elenco di risorse non conformi che potrebbero causare la visualizzazione dello stato di non conformità delle unità organizzative o degli account.

Aspettative per le unità organizzative drift e annidate

• È possibile abilitare i controlli sulle unità organizzative con unità madri diverse, ma non direttamente sulle unità organizzative derivate.

• Puoi attivare i controlli investigativi in un'unità organizzativa diversa, purché non si tratti di un'unità organizzativa derivata di primo livello.

• I controlli obbligatori sono abilitati solo sulle unità organizzative di primo livello. I controlli obbligatori vengono ignorati quando si registra un'unità organizzativa annidata.

• Un controllo obbligatorio protegge AWS Config le risorse; pertanto, tale controllo deve essere in uno stato non alterato per registrare le unità organizzative annidate. Se deviato, AWS Control Tower blocca la registrazione delle unità organizzative annidate.

• Se l'unità organizzativa di primo livello è alterata, il controllo che protegge le AWS Config risorse potrebbe essere in errore. In questa situazione, AWS Control Tower blocca qualsiasi azione che richieda la creazione o l'aggiornamento di AWS Config risorse, inclusa l'applicazione di controlli investigativi.

Controlli preventivi

• I controlli preventivi vengono applicati alle unità organizzative annidate.

• I controlli preventivi obbligatori vengono applicati a tutti gli account appartenenti all'unità organizzativa e alle relative unità organizzative annidate.

• I controlli preventivi riguardano tutti gli account e le unità organizzative annidati nell'unità organizzativa di destinazione, anche se tali account e unità organizzative non sono registrati.

Controlli investigativi e proattivi

• Le unità organizzative annidate non ereditano automaticamente i controlli detective o proattivi; questi devono essere abilitati separatamente.

• I controlli investigativi e proattivi vengono implementati solo sugli account registrati nelle regioni operative della zona di atterraggio.

• Lo stato Ereditato indica che il controllo è abilitato solo per ereditarietà e non è stato applicato direttamente all'unità organizzativa.

• Lo stato Abilitato indica che il controllo viene applicato su questa unità organizzativa, indipendentemente dal relativo stato sulle altre unità organizzative.

• Lo stato Failed indica che il controllo non viene applicato su questa unità organizzativa, indipendentemente dal relativo stato su altre unità organizzative.