c1.2 Selecione Regiões e bloqueie o restante
Decida em quais Regiões da AWS você opera e bloqueie as demais em todas as contas — com Service Control Policies (ou o controle de negação de Regiões do AWS Control Tower) — para reduzir a superfície de ataque e conter o custo.
Guia de implementação
Restrinja onde os recursos podem ser criados
Escolha a(s) Região(ões) que sua organização usa e negue o restante. Aplique isso em todas as contas com Service Control Policies do AWS Organizations ou, se você usa o AWS Control Tower, com o controle de negação de Regiões na landing zone.
É um guardrail fundamental: reduz a superfície de ataque (adversários costumam criar recursos em Regiões sem uso para minerar cripto ou rodar botnets), mantém os dados em jurisdições aprovadas e reduz o que você precisa monitorar. Consulte o controle de guardrails relacionado para ver como as SCPs se encaixam.
Exemplo de SCP de negação de Regiões
Esta política nega ações fora das suas Regiões aprovadas, permitindo os serviços globais que operam por meio de uma Região específica. Ajuste as Regiões permitidas e anexe-a a uma OU (teste primeiro em não produção):
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "DenyOutsideApprovedRegions",
"Effect": "Deny",
"NotAction": [
"iam:*", "cloudfront:*", "route53:*",
"organizations:*", "sts:*", "support:*"
],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:RequestedRegion": ["us-east-1", "eu-west-1"]
}
}
}]
}Notas
Alguns serviços globais (como IAM, CloudFront e Route 53) operam por meio de uma Região específica e devem ser permitidos na sua política. Teste as SCPs de negação de Regiões primeiro em uma OU de não produção, pois uma negação ampla demais pode bloquear operações legítimas.
Como validar
- A organização definiu em quais Regiões opera?
- Há cargas de trabalho em Regiões que sua política proíbe?
- As Regiões proibidas estão efetivamente bloqueadas (SCP ou Control Tower), não apenas documentadas?
Ameaças atendidas
- Regiões sem uso são um ponto cego: adversários criam recursos ali (cryptomining, botnets) justamente porque ninguém está observando. Bloquear as Regiões sem uso remove essa oportunidade e limita o custo associado.
Serviços AWS
AWS Organizations 
AWS Control Tower Preços
O AWS Organizations e as SCPs são gratuitos. O AWS Control Tower não tem taxa adicional — você paga apenas pelos serviços que ele habilita (como o AWS Config). Consulte os preços do Control Tower.