什么是 AWS Control Tower？ - AWS Control Tower
功能AWS Control Tower 如何与其他AWS服务交互您是 AWS Control Tower 的新用户吗？

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

什么是 AWS Control Tower？

AWS Control Tower 提供了一种按照规范性最佳实践设置和管理AWS多账户环境的简单方法。AWS Control Tower 协调了其他几项AWS服务的能力AWS Organizations，包括AWS Service CatalogAWS IAM Identity Center、和，在不到一小时的时间内建立着陆区。资源是代表您设置和管理的。

AWS Control Tower 编排扩展了的功能。AWS Organizations为了帮助确保您的组织和账户不会出现偏移（即偏离最佳实践），AWS Control Tower 应用控件（有时称为防护机制）。例如，您可以使用控件来帮助确保创建安全日志和必要的跨账户访问权限，且不会对其进行更改。

如果您要托管多个账户，那么拥有一个便于账户部署和账户管理的编排层会很有帮助。您可以采用 AWS Control Tower 作为预置账户和基础设施的主要方式。借助 AWS Control Tower，您可以更轻松地遵守公司标准、满足监管要求和遵循最佳实践。

AWS Control Tower 使分布式团队中的最终用户能够通过 Account Factory 中的可配置账户模板快速配置新AWS账户。同时，您的中央云管理员可以进行监控，了解是否所有账户都与制定的公司范围内的合规性政策保持一致。

简而言之，AWS Control Tower 基于与数千家企业合作建立的最佳实践，提供了设置和管理安全、合规的多账户AWS环境的最简单方法。有关使用 AWS Control Tower 的更多信息以及AWS多账户策略中概述的最佳实践，请参阅AWS多账户策略：最佳实践指南。

功能

AWS Control Tower 具有以下功能：

  • 登录区：登录区是一个架构完善的多账户环境，它基于安全性和合规性最佳实践。它是企业范围的容器，用于存放您想要遵守合规性监管的所有组织单位 (OUs)、账户、用户和其他资源。登录区可以扩展以满足任何规模的企业的需求。

  • 控制 — 控件（有时称为护栏）是一条高级规则，可为您的整体AWS环境提供持续的治理。它以简明的语言表达。存在三种控件：预防性控件、检测性控件和主动性控件。针对各个控件，有以下三类指导：必需、强烈推荐或可选。有关控件的详细信息，请参阅 控件的工作原理。

  • Account Factory：Account Factory 是一种可配置的账户模板，有助于通过预先批准的账户配置对新账户进行标准化预置。AWS Control Tower 提供了一个内置的 Account Factory，可帮助您自动执行组织中的账户预置工作流。有关更多信息，请参阅 使用 Account Factory 预置和管理账户。

  • 控制面板：控制面板可以为中央云管理员团队提供对登录区的持续监督。使用控制面板查看企业中已配置的账户、为策略实施启用的控件、为持续检测策略不合规性而启用的控件，以及按账户和组织的不合规资源。 OUs

AWS Control Tower 建立在值得信赖和可靠的AWS服务之上AWS Service Catalog，包括AWS IAM Identity Center、和AWS Organizations。有关更多信息，请参阅 集成服务。

您可以将 AWS Control Tower 与其他AWS服务整合到一个解决方案中，以帮助您将现有工作负载迁移到AWS。有关更多信息，请参阅如何利用 AWS Control Tower 以及 CloudEndure 如何将工作负载迁移到AWS。

配置、治理和可扩展性

  • 自动账户配置：AWS Control Tower 通过 Account Factory（或“自动售货机”）自动部署和注册账户，Account Factory 是在AWS Service Catalog中预置产品的基础上作为抽象构建的。Account Factory 可以创建和注册AWS账户，并自动执行对这些账户应用控制和策略的过程。有关创建和预置账户的更多信息，请参阅预置的方法。

  • 集中式治理：通过利用的功能AWS Organizations，AWS Control Tower 建立了一个框架，确保您的多账户环境中的合规性和监管一致性。该AWS Organizations服务为管理多账户环境提供了基本功能，包括账户的中央治理和管理、账户创建AWS Organizations APIs、服务控制策略 (SCPs) 和资源控制策略 (RCPs)。

  • 可扩展性：您可以直接在 AWS Control Tower 控制台中工作或在 AWS Control Tower 控制台中AWS Organizations工作来构建或扩展自己的 AWS Control Tower 环境。注册现有组织并将现有账户注册到 AWS Control Tower 后，您可以看到您所做的更改反映在 AWS Control Tower 中。您可以更新您的 AWS Control Tower 登录区，以反映您所做的更改。如果您的工作负载需要更多高级功能，则可以利用其他AWS合作伙伴解决方案以及 AWS Control Tower。

您是 AWS Control Tower 的新用户吗？

如果您是此服务的新用户，建议您阅读以下内容：

  1. 如果您需要有关如何规划和组织登录区的更多信息，请参阅规划您的 AWS Control Tower 登录区和AWS AWS Control Tower 着陆区的多账户策略。

  2. 如果您已准备好创建您的第一个登录区，请参阅 开始使用 AWS Control Tower。

  3. 有关偏移检测和预防的信息，请参阅 在 AWS Control Tower 中检测并解决偏移问题。

  4. 有关安全性详细信息，请参阅 AWS Control Tower 中的安全性。

  5. 有关更新登录区和成员账户的信息，请参阅 AWS Control Tower 中的配置更新管理。