将AWS Control Tower引入公司结构/系统【的设计指南】注意事项

📅 发布日: 2023/06/19, 更新日: 2025/06/20 ⏱️ 预计阅读时间约30分钟 (12,114字)

作为组织中AWS环境安全措施的一部分，制定“指南”来定义系统开发和运营的标准做法已成为常态。
一种方法是使用AWS Control Tower ，它可以按照AWS最佳实践快速部署环境。本文概述了AWS Control Tower ，并介绍了在考虑引入AWS Control Tower时需要检查的要点。

什么是 AWS 控制塔？
实施注意事项
设计考虑因素
相关文件

什么是 AWS 控制塔？

AWS Control Tower (CT) 是一项用于设置和管理多账户 AWS 环境的服务。
大规模管理多个账户，同时确保安全性、合规性和运营效率，需要对各种 AWS 服务有广泛的了解。
CT 旨在应对这些挑战。

CT 实施预防性控制，例如“AWS Organizations”和“AWS IAM Identity Center Management”，以及检测性控制，包括“AWS CloudTrail”、“AWS Config”和“Amazon EventBridge + AWS Lambda + Amazon SNS”。

预防控制
旨在防止未经授权的操作或安全漏洞的控制措施。
这些措施可以在问题发生之前降低风险，例如限制或禁止某些操作。
侦探控制
旨在在问题发生后检测问题并做出适当响应的控制措施。
这里的问题不仅指故障，还指设计错误或禁止的操作。
下表总结了创建的 AWS 资源。
由于正式创建的AWS资源列表并未明确用户可以选择性创建哪些资源，因此“必需/可选”列将可以选择性创建的资源表示为“可选”。

<详情>

CT 创建的 AWS 资源列表

不	AWS 账户名称	地区	AWS 服务名称	AWS 资源类型名称	必需/可选	AWS 资源名称
1	管理账户	全球的	Amazon Organizations	帐户	必需的	审核 *可以在设置期间更改
2	〃	〃	〃	〃	必需的	日志存档 *可以在设置过程中更改
3	〃	〃	〃	或者	必需的	安全性 *可以在设置过程中更改
4	〃	〃	〃	〃	选修的	（指定的 OU 名称）
5	〃	〃	〃	服务控制政策	必需的	aws-guardrails-* *根据选定的护栏创建
6	〃	〃	AWS IAM	角色	必需的	AWSControlTowerAdmin
7	〃	〃	〃	〃	必需的	AWSControlTowerStackSetRole
8	〃	〃	〃	〃	必需的	AWSControlTowerConfigAggregatorRoleForOrganizations
9	〃	〃	〃	〃	选修的	AWSControlTowerCloudTrailRole
10	〃	〃	〃	客户管理政策	必需的	AWSControlTowerServiceRolePolicy
11	〃	〃	〃	〃	必需的	AWSControlTowerAdmin策略
12	〃	〃	〃	〃	选修的	AWSControlTowerCloudTrailRolePolicy
13	〃	〃	〃	〃	必需的	AWSControlTowerStackSetRolePolicy
14	〃	(家乡地区)	AWS IAM 身份中心管理	目录组	必需的	AWS账户工厂
15	〃	〃	〃	〃	必需的	AWSAuditAccountAdmins
16	〃	〃	〃	〃	必需的	AWSControlTower管理员
17 号	〃	〃	〃	〃	必需的	AWSLogArchive管理员
18	〃	〃	〃	〃	必需的	AWSLogArchiveViewers
19	〃	〃	〃	〃	必需的	AWS安全审计员
20	〃	〃	〃	〃	必需的	AWSSecurityAuditPowerUsers
21	〃	〃	〃	〃	必需的	AWSServiceCatalogAdmins
22	〃	〃	〃	权限设置	必需的	AWS管理员访问
23	〃	〃	〃	〃	必需的	AWSPowerUserAccess
24	〃	〃	〃	〃	必需的	AWSServiceCatalogAdminFullAccess
25	〃	〃	〃	〃	必需的	AWSServiceCatalog最终用户访问
26	〃	〃	〃	〃	必需的	AWS 只读访问
27	〃	〃	〃	〃	必需的	AWS组织完全访问
28	〃	〃	Amazon CloudTrail	步道（多区域步道）	必填*1	aws-controltower-BaselineCloudTrail
29	〃	〃	AWS 服务目录	产品	必需的	AWS Control Tower 账户工厂
30	〃	〃	亚马逊云观察	日志组	选修的	aws-controltower/CloudTrailLogs
31	〃	〃	AWS 云形成	堆	选修的	AWSControlTowerBP-BASELINE-CLOUDTRAIL-MASTER
32	〃	〃	〃	〃	必需的	AWSControlTowerBP-BASELINE-CONFIG-MASTER
33	〃	〃	〃	堆栈集	必需的	AWSControlTowerBP-BASELINE-CLOUDWATCH
34	〃	〃	〃	〃	必需的	AWSControlTowerBP-基线-配置
35	〃	〃	〃	〃	必需的	AWSControlTowerBP-基线-角色
36	〃	〃	〃	〃	必需的	AWSControlTowerBP-基线-服务-角色
37	〃	〃	〃	〃	必需的	AWSControlTowerBP-安全主题
38	〃	〃	〃	〃	必需的	AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1
39	〃	〃	〃	〃	必需的	AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED
40	〃	〃	〃	〃	必需的	AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED
41	〃	〃	〃	〃	必需的	AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS
42	〃	〃	〃	〃	必需的	AWSControlTowerLoggingResources
43	〃	〃	〃	〃	必需的	AWSControlTower安全资源
44	〃	〃	〃	〃	必需的	AWSControlTowerExecutionRole
45	日志存档帐户	全球的	AWS	角色	必需的	aws-controltower-AdministratorExecutionRole
46	〃	〃	〃	〃	选修的	aws-controltower-CloudWatchLogsRole
47	〃	〃	〃	〃	必需的	aws-controltower-ConfigRecorderRole
48	〃	〃	〃	〃	必需的	aws-controltower-ForwardSnsNotificationRole
49	〃	〃	〃	〃	必需的	aws-controltower-ReadOnlyExecutionRole
50	〃	〃	〃	〃	必需的	AWSControlTower执行
51	〃	〃	〃	客户管理政策	必需的	AWSControlTowerServiceRolePolicy
52	〃	所有管理区域	AWS配置	规则	选修的	AWSControlTower_AWS-GR_DETECT_CLOUDTRAIL_ENABLED_ON_SHARED_ACCOUNTS
53	〃	〃	〃	〃	必需的	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_READ_PROHIBITED
54	〃	〃	〃	〃	必需的	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_WRITE_PROHIBITED
55	〃	〃	亚马逊事件桥	活动规则	必需的	aws-controltower-ConfigComplianceChangeEventRule
56	〃	〃	亚马逊云观察	日志组	选修的	aws-controltower/CloudTrailLogs
57	〃	〃	〃	〃	必需的	/aws/lambda/aws-controltower-NotificationForwarder
58	〃	〃	亚马逊社交网络服务	话题	必需的	aws-controltower-安全通知
59	〃	〃	〃	主题政策	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
60	〃	〃	〃	订阅	必需的	*
61	〃	〃	AWS Lambda	应用	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
62	〃	〃	〃	功能	必需的	aws-controltower-NotificationForwarder
63	〃	〃	AWS 云形成	堆	必需的	StackSet-AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS-*
64	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED-*
65	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED-*
66	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
67	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
68	〃	(家乡地区)	Amazon CloudTrail	步道（多区域步道）	选修的	aws-controltower-BaselineCloudTrail
69	〃	〃	亚马逊 S3	桶	必需的	aws-controltower-logs-*
70	〃	〃	〃	〃	必需的	aws-controltower-s3-access-logs-*
71	〃	〃	AWS 云形成	堆	选修的	StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-*
72	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*
73	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
74	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerLoggingResources-*
75	审计账户	全球的	AWS IAM	角色	必需的	aws-controltower-AdministratorExecutionRole
76	〃	〃	〃	〃	选修的	aws-controltower-CloudWatchLogsRole
77	〃	〃	〃	〃	必需的	aws-controltower-ConfigRecorderRole
78	〃	〃	〃	〃	必需的	aws-controltower-ForwardSnsNotificationRole
79	〃	〃	〃	〃	必需的	aws-controltower-ReadOnlyExecutionRole
80	〃	〃	〃	〃	必需的	aws-controltower-AuditAdministratorRole
81	〃	〃	〃	〃	必需的	aws-controltower-AuditReadOnlyRole
82	〃	〃	〃	〃	必需的	AWSControlTower执行
83	〃	〃	〃	政策	必需的	AWSControlTowerServiceRolePolicy
84	〃	所有管理区域	AWS配置	规则	选修的	AWSControlTower_AWS-GR_DETECT_CLOUDTRAIL_ENABLED_ON_SHARED_ACCOUNTS
85	〃	〃	〃	〃	必需的	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_READ_PROHIBITED
86	〃	〃	〃	〃	必需的	AWSControlTower_AWS-GR_AUDIT_BUCKET_PUBLIC_WRITE_PROHIBITED
87	〃	〃	亚马逊社交网络服务	话题	必需的	aws-controltower-AggregateSecurityNotifications
88	〃	〃	〃	〃	必需的	aws-controltower-AllConfigNotifications
89	〃	〃	〃	〃	必需的	aws-controltower-安全通知
90	〃	〃	〃	主题政策	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
91	〃	〃	〃	主题政策	必需的	StackSet-AWSControlTowerBP-SECURITY-SNSAllConfigurationTopicPolicy-*
92	〃	〃	〃	主题政策	必需的	StackSet-AWSControlTowerBP-SECURITY-SNSAllConfigurationTopicPolicy–*
93	〃	〃	〃	订阅	必需的	*
94	〃	〃	〃	〃	必需的	*
95	〃	〃	〃	〃	必需的	*
96	〃	〃	AWS Lambda	功能	必需的	aws-controltower-NotificationForwarder
97	〃	〃	亚马逊事件桥	活动规则	必需的	aws-controltower-ConfigComplianceChangeEventRule
98	〃	〃	亚马逊云观察	日志组	选修的	aws-controltower/CloudTrailLogs
99	〃	〃	〃	〃	必需的	/aws/lambda/aws-controltower-NotificationForwarder
100	〃	〃	AWS 云形成	堆	必需的	StackSet-AWSControlTowerGuardrailAWS-GR-DETECT-CLOUDTRAIL-ENABLED-ON-SHARED-ACCOUNTS-*
101	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-READ-PROHIBITED-*
102	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerGuardrailAWS-GR-AUDIT-BUCKET-PUBLIC-WRITE-PROHIBITED-*
103	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
104	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
105	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-SECURITY-TOPICS-*
106	〃	(家乡地区)	Amazon CloudTrail	步道（多区域步道）	选修的	aws-controltower-BaselineCloudTrail
107	〃	〃	AWS配置	聚合器	必需的	aws-controltower-GuardrailsComplianceAggregator
108	〃	〃	AWS 云形成	堆	选修的	StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-*
109	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*
110	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
111	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerSecurityResources-*
112	生产账户	全球的	AWS IAM	角色	必需的	aws-controltower-ConfigRecorderRole
113	〃	〃	〃	〃	必需的	aws-controltower-ForwardSnsNotificationRole
114	〃	〃	〃	〃	必需的	aws-controltower-AdministratorExecutionRole
115	〃	〃	〃	〃	必需的	aws-controltower-ReadOnlyExecutionRole
116	〃	所有管理区域	AWS配置	配置记录器	必需的	aws-controltower-BaselineConfigRecorder
117	〃	〃	〃	发货渠道	必需的	aws-controltower-BaselineConfigDeliveryChannel
118	〃	〃	Amazon VPC	VPC流日志	选修的	*
119	〃	〃	〃	路由表	选修的	aws-controltower-PrivateSubnet1ARouteTable
120	〃	〃	〃	〃	选修的	aws-controltower-PrivateSubnet2ARouteTable
121	〃	〃	〃	〃	选修的	aws-controltower-PrivateSubnet3ARouteTable
122	〃	〃	〃	子网	选修的	aws-controltower-PrivateSubnet1A
123	〃	〃	〃	〃	选修的	aws-controltower-PrivateSubnet2A
124	〃	〃	〃	〃	选修的	aws-controltower-PrivateSubnet3A
125	〃	〃	〃	DHCP 选项集	选修的	aws-controltower-DHCPOptionsSet
126	〃	〃	〃	专有网络	选修的	AWS-controltower-VPC
127	〃	〃	〃	VPC端点	选修的	com.amazonaws.${region_name}.s3
128	〃	〃	亚马逊事件桥	活动规则	必需的	aws-controltower-ConfigComplianceChangeEventRule
129	〃	〃	AWS Lambda	功能	必需的	aws-controltower-NotificationForwarder
130	〃	〃	〃	允许	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH--SNSInvokeLambdaPermission-
131	〃	〃	亚马逊云观察	日志组	必需的	/aws/lambda/aws-controltower-NotificationForwarder
132	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1--VPCFlowLogsLogGroup-
133	〃	〃	亚马逊社交网络服务	话题	必需的	aws-controltower-安全通知
134	〃	〃	〃	主题政策	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWAT-SNSNotificationPolicy-*
135	〃	〃	〃	订阅	必需的	*
136	〃	〃	AWS 云形成	堆	选修的	StackSet-AWSControlTowerBP-VPC-ACCOUNT-FACTORY-V1-*
137	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-*
138	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-CONFIG-*
139	〃	(家乡地区)	Amazon CloudTrail	步道（多区域步道）	选修的	aws-controltower-BaselineCloudTrail
140	〃	〃	AWS 云形成	堆	必需的	StackSet-AWSControlTowerBP-BASELINE-ROLES-*
141	〃	〃	〃	〃	必需的	StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-*

*1：在 Landing Zone 版本 3.0 中，现在可以选择组织单位 AWS CloudTrail 跟踪。但是，即使禁用，仍会创建跟踪。

相关资料
AWS Control Tower 的工作原理 - AWS Control Tower

实施注意事项

1. AWS 账户合同类型是什么？

CT 是从管理帐户启用的。
由于 CT 使用 AWS Organizations，因此检查合同类型并确保管理账户功能可用非常重要。
有关更多详细信息，请参阅指南：AWS Organizations |Moderniser.repo 。

2. 您是否使用自定义着陆区？

在使用 CT 之前，请检查您是否已设置自定义着陆区。
“登陆区”不是 AWS 服务，而是根据您组织的策略进行多账户设置的机制。

如果您已使用 AWS Organizations 或 StackSets 运行自定义登陆区，请评估迁移到 CT 的影响并考虑是否采用 CT。
如果您的自定义着陆区已经完善并且迁移会产生重大影响，那么采用 CT 的好处可能会受到限制。由于 CT 的设计不断更新，您可以考虑根据 CT 的更新按需更新您的自定义着陆区。

3. AWS Control Tower 支持您使用的区域吗？

如果您只使用东京地区，一般不用担心。
但是，如果您使用其他区域来节省成本或进行全球扩张，请检查 CT 是否支持这些区域。
截至 2023 年 5 月 14 日，只有 3 个区域不受支持，2023 年 4 月又增加了 7 个区域（包括大阪）。

地区名称	地区代码	需要选择加入	支持CT
美国东部（弗吉尼亚北部）	美国东部1	-	○
美国东部（俄亥俄州）	美国东部2	-	○
美国西部（加利福尼亚北部）	美国西1号	-	○
美国西部（俄勒冈州）	美国西2号	-	○
亚太地区（孟买）	ap-南-1	-	○
亚太地区（大阪）	ap-东北-3	-	○
亚太地区（首尔）	ap-东北-2	-	○
亚太地区（新加坡）	ap-东南-1	-	○
亚太地区（悉尼）	ap-东南-2	-	○
亚太地区（东京）	ap-东北-1	-	○
加拿大（中部）	ca-中央-1	-	○
欧洲（法兰克福）	欧盟中央-1	-	○
欧洲（爱尔兰）	欧盟-西-1	-	○
欧洲（伦敦）	欧盟-西-2	-	○
欧洲（巴黎）	欧盟-西-3	-	○
欧洲（斯德哥尔摩）	欧盟-north-1	-	○
南美洲（圣保罗）	萨东-1	-	○
非洲（开普敦）	of-south-1	○	○
亚太地区（香港）	ap-东-1	○	○
亚太地区（海得拉巴）	ap-南-2	○	-
亚太地区（雅加达）	ap-东南-3	○	○
亚太地区（墨尔本）	ap-东南-4	○	-
欧洲（米兰）	欧盟-南方-1	○	-

4. 评估 Control Tower 部署的 AWS 资源的影响

关于CT部署的AWS资源的影响，请检查以下五点：

是否启用了管理事件的 CloudTrail 跟踪？（最重要）

CT 为所有 AWS 账户的管理事件创建跟踪。
无论帐户是否由 CT 管理，都会发生这种情况，因此如果您已经有跟踪，则会重复。由于管理事件的额外跟踪会产生额外费用，因此这会增加成本。
如果路径已存在，请考虑在部署前将其删除或禁用，或者暂时禁用CT创建的组织路径并逐步切换。
注意：在后一种情况下，新帐户将没有有效的管理事件跟踪，因此您可能需要创建临时跟踪以用于审计目的。

您是否使用 IAM 身份中心 (IIC)？

如果已设置IIC，则必须在与IIC 相同的区域启用CT。

AWS Config 是否已启用？

如果要向 CT 注册的现有 AWS 账户具有 Config 记录器、传输通道或聚合器，则必须事先将其删除。
与 CloudTrail 不同，Config 仅为 CT 管理的账户创建，因此您在设置 CT 时无需删除它们。

您是否使用了为 CT 选择的区域以外的区域？

如果您使用不受 CT 管理的区域，请决定如何控制这些区域。
如果没有，您可以通过CT的区域拒绝控制来禁止使用，这样您就无需担心这些区域的资源部署问题。

你是否正在使用SCP禁止的行为？

如果您启用通过 SCP 实施预防性控制的控制，请检查现有账户中是否使用了相关 API。
强制控制通常仅影响 CT 管理的资源和账户，因此您通常无需担心。
可选控制可能会禁止特定操作，因此请小心。
参考：
先决条件：管理账户启动前检查 - AWS Control Tower

设计考虑因素

1. 着陆区设置

CT 允许您通过其设置构建自定义着陆区。
下表列出了 CT 文档中定义的集成服务以及可为每个服务定制的设计项。这些项目可在 CT 着陆区设置中自定义。
例如，如在 AWS Control Tower 环境中自定义 AWS Config 资源跟踪 |AWS博客，有用于定制CT的OSS和工具，但它们未包含在下表中。定制方法稍后介绍。

综合服务	概述	设计项目
Amazon Organizations	将 Control Tower 管理的 OU 和 AWS 账户部署到组织中	没有任何
AWS 身份和访问管理	将 IAM Identity Center 资源（权限集、用户、组）部署到管理账户中	启用/禁用自动创建 IAM 身份中心资源
云踪	部署组织跟踪以捕获管理事件	启用/禁用组织跟踪
安全中心	为 CT 管理的 AWS 账户启用 Security Hub 控制	启用/禁用控件
AWS配置	将 AWS Config 资源（记录器、交付通道）部署到由 CT 管理的 AWS 账户	没有任何
AWS Lambda	部署 Lambda 函数以发送着陆区的偏差和合规性通知	没有任何
亚马逊VPC*1	将 VPC 资源（VPC、子网、路由表、DHCP 选项集、NAT 网关、EIP）部署到 CT 管理的 AWS 账户	启用/禁用自动 VPC 创建、VPC 配置部署
步进功能	（列为集成服务，但未找到具体部署的AWS资源）	没有任何
亚马逊社交网络服务	部署 SNS 主题以发送着陆区的偏差和合规性通知	SNS主题订阅设置
亚马逊 S3	在日志存档账户中部署 S3 存储桶以存储 AWS Config 和 CloudTrail 日志	S3 存储桶生命周期策略
AWS 密钥管理服务	加密存储在 S3 存储桶中的 AWS Config 和 CloudTrail 日志	启用/禁用加密
云观察	部署监控工具来执行 CT 的自动化操作	没有任何
AWS备份	将 AWS Backup 资源（备份文件库、计划、服务角色）部署到组织中的所有 AWS 账户（包括那些不由 CT 管理的账户）	启用/禁用自动创建 AWS Backup 资源
AWS 云形成	创建堆栈来管理 CT 的 AWS 资源	没有任何
AWS 服务目录	将 AWS 账户部署到 CT 的账户工厂	没有任何

*1：以下参考资料中未列为集成服务，但可以在账户工厂中配置自动创建VPC。

参考
集成服务 - AWS Control Tower

2. 启用/禁用控件

准备中

3. 定制控制塔

准备中

4、经营项目

准备中