AWS Control Tower 的托管策略 - AWS Control Tower

AWS Control Tower 的托管策略

AWS通过提供由AWS创建和管理的独立 IAM 策略来满足许多常用案例的要求。托管策略可针对常见使用案例授予必要权限，因此，您无需自行调查具体需要哪些权限。有关更多信息，请参阅《IAM 用户指南》中的 AWS 托管式策略。

更改 描述 日期

AWSControlTowerIdentityCenterManagementPolicy - 新策略

AWS Control Tower 新增了一项策略，即，允许客户在注册了 AWS Control Tower 的账户中配置 IAM Identity Center 资源，并允许 AWS Control Tower 在自动注册账户时纠正某些类型的偏移。

需要进行此更改，以便客户可以在 AWS Control Tower 中配置 IAM Identity Center，并使 AWS Control Tower 能够纠正自动注册偏移。

 2025 年 10 月 10 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

AWS Control Tower 新增了 CloudFormation 权限，即，允许 AWS Control Tower 在自动向 AWS Control Tower 注册账户时查询堆栈集资源并将其部署到成员账户。

 2025 年 10 月 10 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

AWS Control Tower 新增了权限，即，允许客户启用和禁用服务相关 AWS Config 规则。

需要进行此项更改，以便客户可以管理由 Config 规则部署的控件。

 2025 年 6 月 5 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

AWS Control Tower 新增了权限，即，允许 AWS Control Tower 在 AWS::ControlTower types 中调用 AWS CloudFormation 服务 API ActivateType、DeactivateType 和 SetTypeConfiguration。

此更改允许客户在不部署私有 CloudFormation 钩子类型的情况下预置主动性控件。

 2024 年 12 月 10 日

AWSControlTowerAccountServiceRolePolicy - 新策略

AWS Control Tower 添加了一个新的服务相关角色，允许 AWS Control Tower 创建和管理事件规则，并基于这些规则管理与 Security Hub 相关的控件的偏移检测。

之所以需要进行这一变更，是为了在发生偏移的资源与 Security Hub 服务托管标准：AWS Control Tower 中的 Security Hub 控件相关的情况下，让客户能够在控制台中查看这些资源。

 2023 年 5 月 22 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

AWS Control Tower 添加了新的权限，允许 AWS Control Tower 调用 AWS 账户管理服务实施的 EnableRegion、ListRegions 和 GetRegionOptStatus API，从而使登录区中的客户账户（管理账户、日志存档账户、审计账户、OU 成员账户）可以使用选择加入 AWS 区域。

这项更改的目的是，让客户可以选择将 AWS Control Tower 的区域监管扩展到可选择加入的区域。

 2023 年 4 月 6 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

AWS Control Tower 添加了新的权限，允许 AWS Control Tower 在蓝图（中心）账户中担任 AWSControlTowerBlueprintAccess 角色，该账户是组织中的专用账户，包含存储在一个或多个 Service Catalog 产品中的预定义蓝图。AWS Control Tower 担任 AWSControlTowerBlueprintAccess 角色来执行三项任务：创建 Service Catalog 产品组合，添加请求的蓝图产品，以及在预置账户时将产品组合分享到请求的成员账户。

这项更改的目的是，让客户可以通过 AWS Control Tower Account Factory 配置自定义账户。

 2022 年 10 月 28 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

从登录区版本 3.0 开始，AWS Control Tower 添加了新的权限，允许客户设置组织级别的 AWS CloudTrail 跟踪。

基于组织的 CloudTrail 功能要求客户为 CloudTrail 服务启用可信访问权限，并且 IAM 用户或角色必须有权在管理账户中创建组织级别跟踪。

 2022 年 6 月 20 日

AWSControlTowerServiceRolePolicy – 对现有策略的更新

AWS Control Tower 添加了新的权限，允许客户使用 KMS 密钥加密。

借助 KMS 功能，客户可以提供自己的 KMS 密钥来加密他们的 CloudTrail 日志。客户还可以在登录区更新或修复期间更改 KMS 密钥。更新 KMS 密钥时，AWS CloudFormation 需要具备调用 AWS CloudTrail PutEventSelector API 的权限。更改该策略的目的是允许 AWSControlTowerAdmin 角色调用 AWS CloudTrail PutEventSelector API。

 2021 年 7 月 28 日

AWS Control Tower 开始跟踪更改

AWS Control Tower 开始跟踪其 AWS 托管式策略的更改。

 2021 年 5 月 27 日