AWS Organizations orientações

Você pode encontrar orientações sobre as melhores práticas para proteger a segurança da sua conta de gerenciamento da Torre de Controle da AWS e das contas dos membros na AWS Organizations documentação.

Não atualize políticas de controle de serviços (SCPs) existentes anexadas a uma UO registrada com o AWS Control Tower. Isso pode fazer com que os controles entrem em um estado desconhecido, o que exigirá que você redefina a zona de pouso ou registre novamente sua UO no AWS Control Tower. Em vez disso, você pode usar AWS Organizations para criar novos SCPs e anexá-los às OUs em vez de editar os SCPs que a AWS Control Tower criou.

Mover contas individuais, já inscritas, para o AWS Control Tower, de fora de uma UO registrada, causa um desvio que deve ser resolvido. Consulte Tipos de desvio de governança.

Se você usa AWS Organizations para criar, convidar ou mover contas dentro de uma organização registrada na AWS Control Tower, essas contas não serão cadastradas pela AWS Control Tower e essas alterações não serão registradas. Se for necessário acessar essas contas por meio de SSO, consulte Acesso à conta-membro.

Se você usa AWS Organizations para mover uma OU para uma organização criada pela AWS Control Tower, a OU externa não é registrada pela AWS Control Tower.

A AWS Control Tower lida com a filtragem de permissões de forma diferente do que AWS Organizations faz. Se suas contas forem provisionadas com a fábrica de contas da AWS Control Tower, os usuários finais poderão ver os nomes e os pais de todas as OUs no console da Torre de Controle da AWS, mesmo que não tenham permissão para recuperar esses nomes e pais diretamente. AWS Organizations

O AWS Control Tower não é compatível com permissões mistas em organizações, como permissão para visualizar a UO principal de uma UO, mas não para ver os nomes de UO. Por esse motivo, espera-se que os administradores do AWS Control Tower tenham permissões completas.

O AWS Organizations FullAWSAccess SCP deve ser aplicado e não deve ser mesclado com outros SCPs. A alteração nessa SCP não é relatada como um desvio. No entanto, algumas mudanças poderão afetar a funcionalidade do AWS Control Tower de maneiras imprevisíveis, se o acesso a determinados recursos for negado. Por exemplo, se o SCP for desanexado ou modificado, uma conta poderá perder o acesso a um AWS Config gravador ou criar uma lacuna no registro. CloudTrail

Não use a AWS Organizations DisableAWSServiceAccess API para desativar o acesso ao serviço da Torre de Controle da AWS na organização em que você configurou sua zona de aterrissagem. Se você fizer isso, certos recursos de detecção de desvios do AWS Control Tower poderão não funcionar adequadamente sem o suporte de mensagens do AWS Organizations. Esses recursos de detecção de desvios ajudam a garantir que o AWS Control Tower possa relatar o status de conformidade de unidades organizacionais, contas e controles em sua organização com precisão. Para obter mais informações, consulte API_DisableAWSServiceAccess na Referência AWS Organizations da API.