c2.16 Adoptar una estructura multi-cuenta
Use AWS Control Tower para levantar una landing zone multi-cuenta: aplique guardrails centralmente, centralice y proteja los logs de CloudTrail en una cuenta de logging dedicada, y delegue la administración de seguridad para que un equipo vea toda la organización.
Guía de implementación
Levante una landing zone
AWS Control Tower configura un entorno multi-cuenta según buenas prácticas: aplica guardrails centralmente y centraliza los logs de CloudTrail en una cuenta de logging dedicada y protegida. Si necesita más personalización de la que ofrece Control Tower, use el Landing Zone Accelerator on AWS.
Estructure las cuentas para contener incidentes
Divida las cargas entre cuentas: un conjunto de cuentas core (logging, auditoría, backups, red) que dan soporte a la organización, más cuentas dev/test/prod por unidad de negocio o carga. Si hoy tiene una gran cuenta de producción, empiece a mover cargas para reducir el radio de impacto de un incidente. Las cuentas separadas también evitan la contención en los límites de servicio por cuenta.
Delegue la administración de seguridad
Muchos servicios de seguridad se integran con AWS Organizations y soportan un administrador delegado, de modo que el equipo de seguridad obtiene visibilidad de toda la organización desde una cuenta de seguridad dedicada, incluyendo AWS Security Hub CSPM, Amazon GuardDuty, Amazon Macie, Amazon Detective, AWS Firewall Manager, IAM Access Analyzer y Amazon Inspector.
Mantenga limpia la cuenta de administración
La cuenta de administración (raíz de la organización) no está restringida por SCPs y no debería usarse a diario, así que evite ejecutar cargas allí. Puede habilitar Control Tower en una organización existente.
Cómo encaja
Cómo validar
- ¿Ha implementado AWS Control Tower (o una landing zone)?
- ¿Las cargas están aisladas en múltiples cuentas?
- ¿Hay una cuenta que concentra la mayoría de las cargas de la organización?
- ¿Los servicios de seguridad usan administración delegada desde una cuenta de seguridad dedicada?
Amenazas que atiende
- Si los logs no se centralizan y protegen en una cuenta separada, un adversario puede alterarlos o desactivarlos, dificultando la erradicación.
- Una configuración de una sola cuenta no puede usar SCPs, así que nada limita lo que una credencial comprometida puede hacer; las cargas productivas necesitan una organización.
- Concentrar las cargas en una cuenta agranda el radio de impacto de cualquier compromiso.
Servicios AWS
AWS Organizations 
AWS Control Tower 
AWS Security Hub 
Amazon GuardDuty Precios
Control Tower no tiene cargo adicional más allá de los servicios que habilita (como AWS Config). Vea precios de Control Tower.