View a markdown version of this page

登录区更新的最佳实践 - AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

登录区更新的最佳实践

本部分将介绍在考虑升级 AWS Control Tower 中的登录区版本时应牢记的一些注意事项和最佳实践。从 2.0 登录区版本系列改为 3.0 登录区版本系列尤为重要。当您升级登录区时，AWS Control Tower 会自动将您移至最新的可用版本。

注意

建议更新到最新版本的登录区。

本部分介绍的最佳实践摘要

  • 最佳实践：出于安全和审计原因，强烈建议您对所有账户全面启用日志记录，并将日志记录信息发送到一个集中位置。在 AWS Control Tower 中，这个集中位置是日志存档账户，可提供 Amazon S3 日志记录存储桶。

  • 最佳实践：如果您选择退出 AWS Control Tower 中的组织级 CloudTrail 跟踪，请设置和管理自己的跟踪。

  • 最佳实践：在运行 AWS Control Tower 环境时，请设置一个测试环境。

从 2.x 登录区版本迁移到 3.x 登录区版本的好处

  • 仅记录所在区域的 AWS Config 资源，这样在管理全球资源时可以节省成本

  • 使用您自己的 KMS 密钥加密您的 AWS CloudTrail 跟踪

  • 自定义日志保留时间范围

  • 增强了强制性控件

  • 增加了可用控件的数量

  • 与集成 AWS Security Hub CSPM

  • Python 运行时更新

从 2.x 登录区版本迁移到 3.x 登录区版本的注意事项

  • 在 landing zone 3.0 及更高版本中，AWS Control Tower 不再支持可管理的 AWS 账户级 AWS CloudTrail 跟踪。

  • 您可以选择由 AWS Control Tower 管理的组织级跟踪，也可以选择退出该跟踪并管理自己的 CloudTrail 跟踪。

  • 有些情况下可能会产生双重成本，特别是如果一个 OU 中的某些账户没有注册 AWS Control Tower，并且有自己的账户级别跟踪，而您又想保留这些跟踪。

选择组织级 CloudTrail 跟踪的注意事项

  • 当您升级到 3.0 或更高版本时，AWS Control Tower 会在 24 小时后删除其最初创建的账户级别跟踪。[例外]

  • 这些跟踪中的数据不会丢失。即使移除了跟踪，您现有的日志也会被保留。

  • AWS Control Tower 在同一个 Amazon S3 存储桶中为跟踪创建了一条新路径，以区分账户级别跟踪和组织级别跟踪。

    • 账户跟踪日志路径的格式如下：/orgId/AWSLogs/...

    • 组织跟踪日志路径的格式如下：/orgId/AWSLogs/orgId/...

  • 您已部署的其他 CloudTrail 跟踪（未由 AWS Control Tower 部署的跟踪）不会被触及。

  • 如果未注册的账户是已注册 OU 的一部分，则所有账户都会被纳入组织级别跟踪，包括未在 AWS Control Tower 中注册的账户。

  • 关联账户中的 Amazon CloudWatch 警报不会被触发。

  • 如果您选择退出组织级别跟踪，AWS Control Tower 仍会创建该跟踪，但将其状态设置为关闭。

  • 作为最佳实践，如果您选择退出 AWS Control Tower 中的组织级跟踪，则应设置和管理自己的 CloudTrail 跟踪，

组织级别跟踪的好处

  • 组织跟踪适用于 OU 中的所有账户。

  • 记录的项目是标准化的，账户用户无法进行修改。

考虑一个测试环境

升级登录区时，AWS Control Tower 仅对共享账户和基础 OU 进行更改。它不会更改您的工作负载账户或 OU。但是，作为最佳实践，在运行 AWS Control Tower 环境时，我们建议您设置一个测试环境。在隔离的测试环境中，您可以测试 AWS Control Tower 登录区升级，以及您可能对服务控制策略（SCP）所做的任何更改，也可以测试要应用于该环境的控件。如果您从事受监管行业的相关工作，该建议尤为有用。

更新时常见错误清单

以下是您在将 AWS Control Tower 登录区从 2.x 版本更新为 3.x 版本时，可以执行的、旨在避免出现常见错误的简短任务列表。

基本更新清单

  • 检查登录区：

    – 转至 AWS Control Tower 服务，查看组织单元和账户页面，然后确认您的账户状态已设置为已登记和已注册。

    – 如果适用，请验证并确认您的自定义管道上次运行是否成功。

    – 检查审计账户中的 Amazon S3 集中日志记录存储桶，因为之前对存储桶策略所做的任何更改都将被覆盖。

  • 验证任何不属于 AWS Control Tower 的 SCP 都不会限制该 AWSControlTowerExecution 角色在成员账户中执行操作，或在管理账户中为执行更新的管理角色执行相关操作。