AWS Control Tower Custom-built landing zone 推荐方法

构建登录区

你可以通过几个选项来创建你的着陆区 AWS。您可以选择托管服务来协调您的环境，也可以与合作伙伴合作构建自己的环境。 AWS 提供 AWS Control Tower，一项托管服务。我们建议所有用户都从开始 AWS Control Tower。然而，了解每种方法的差异和功能对于您为组织做出最佳决策而言非常重要。

着陆区域的选项 AWS：

AWS Control Tower
Custom-built landing zone

交付机制：

每种方法的优点和权衡措施：

解决方案	优势	Trade-offs
AWS Control Tower	完全托管式服务。 AWS提供的控制措施与合规策略默认启用。提供用于监控和显示合规状态的中央控制面板。提供用于预置新账户的账户工厂。控制面板中提供了一些自定义设置（例如区域选择和可选控件）。	Terraform 的自定义 (cfcT) 和 Acco unt Factory for Terraform AWS Control Tower (AFT) 提供了额外的可扩展性和自定义性。 AWS Control Tower 在 AWS 区域服务列表中显示的AWS 区域中受支持。
AWS Organizations 使用客户或合作伙伴构建的定制解决方案	Custom-built 解决方案。	客户或合作伙伴负责所有开发和编码工作。客户或合作伙伴负责集成和实施。

所有多账户环境产品均由提供支持。 AWS Organizations AWS Organizations 提供底层基础架构和功能，供您构建和管理您的 AWS 环境。借 AWS Organizations助，您可以参考提供的 AWS 多账户策略指导，自行定制您的环境，以最好地满足您的业务需求。如果您是现有客户，并且对当前的 AWS Organizations 实施感到满意，则应继续运营当前的 AWS 环境。

AWS Control Tower

AWS Control Tower 作为 AWS 托管服务运行。在寻找开箱即用的预打包环境解决方案时，您可以使用它来 AWS Control Tower 获得规范性指导和完全托管的环境。该服务根据多账户最佳实践设置一个登录区，集中管理身份和访问权限，并建立预先配置的安全和合规监管规则。

AWS Control Tower 使用最佳实践、身份蓝图、联合访问和账户结构，自动设置新 landing zone。于 AWS Control Tower 实施的一些蓝图包括：

多账户环境使用 AWS Organizations
Cross-account 使用 AWS Identity and Access Management (IAM) 进行安全审计 AWS IAM Identity Center
使用身份中心默认目录进行身份管理
从 AWS CloudTrail亚马逊简单存储服务 (Amazon S3) 集中记录并 AWS Config 存储在亚马逊简单存储服务 (Amazon S3)

控制机制是为您的整个 AWS 环境提供持续治理的高级规则。控制机制可以是预防性的，也可以是侦测性的。预防性控制是通过使用服务控制策略 (SCP) 来实施的，服务控制策略是其中的一部分。 AWS Organizations Detective 控件是通过使用实现的 AWS Config。 AWS Control Tower 控件的示例包括：

禁止为根用户创建访问密钥
禁止通过 RDP 连接 Internet
禁止对 S3 存储桶进行公共写入访问
禁止未绑定至 Amazon Elastic Compute Cloud (Amazon EC2) 实例的 Amazon Elastic Block Store (Amazon EBS) 卷

注意

AWS Control Tower 是着陆区的起点。在构建登录区时，您需要根据自己的独特要求来确定您的联网、访问管理和安全策略。

Custom-built landing zone

您可以选择为自己构建定制登录区解决方案。在这种情况下，您必须实施基准环境才能开始身份和访问管理、治理、数据安全、网络设计和日志记录。如果您想从头开始构建所有环境组件，或者您的要求只有自定义解决方案才能支持，我们建议您采用这种方法。解决方案部署后，您必须具备足够的专业知识 AWS 来管理、升级、维护和操作解决方案。