c2.16 Adotar uma estrutura multi-conta
Use o AWS Control Tower para montar uma landing zone multi-conta: aplique guardrails centralmente, centralize e proteja os logs do CloudTrail em uma conta de logging dedicada, e delegue a administração de segurança para que uma equipe veja toda a organização.
Guia de implementação
Monte uma landing zone
O AWS Control Tower configura um ambiente multi-conta com boas práticas: aplica guardrails centralmente e centraliza os logs do CloudTrail em uma conta de logging dedicada e protegida. Se você precisar de mais personalização do que o Control Tower oferece, use o Landing Zone Accelerator on AWS.
Estruture as contas para conter incidentes
Divida as cargas entre contas: um conjunto de contas core (logging, auditoria, backups, rede) que dão suporte à organização, mais contas dev/test/prod por unidade de negócio ou carga. Se hoje você tem uma grande conta de produção, comece a mover cargas para reduzir o raio de impacto de um incidente. Contas separadas também evitam a contenção nos limites de serviço por conta.
Delegue a administração de segurança
Muitos serviços de segurança se integram ao AWS Organizations e suportam um administrador delegado, de modo que a equipe de segurança obtém visibilidade de toda a organização a partir de uma conta de segurança dedicada, incluindo AWS Security Hub CSPM, Amazon GuardDuty, Amazon Macie, Amazon Detective, AWS Firewall Manager, IAM Access Analyzer e Amazon Inspector.
Mantenha a conta de gerenciamento limpa
A conta de gerenciamento (raiz da organização) não é restringida por SCPs e não deve ser usada no dia a dia, então evite executar cargas nela. Você pode habilitar o Control Tower em uma organização existente.
Como se encaixa
Como validar
- Você implementou o AWS Control Tower (ou uma landing zone)?
- As cargas estão isoladas em várias contas?
- Existe uma conta que concentra a maioria das cargas da organização?
- Os serviços de segurança usam administração delegada a partir de uma conta de segurança dedicada?
Ameaças atendidas
- Se os logs não forem centralizados e protegidos em uma conta separada, um adversário pode adulterá-los ou desativá-los, dificultando a erradicação.
- Uma configuração de conta única não pode usar SCPs, então nada limita o que uma credencial comprometida pode fazer; cargas produtivas precisam de uma organização.
- Concentrar as cargas em uma conta aumenta o raio de impacto de qualquer comprometimento.
Serviços AWS
AWS Organizations 
AWS Control Tower 
AWS Security Hub 
Amazon GuardDuty Preços
O Control Tower não tem cobrança adicional além dos serviços que ele habilita (como o AWS Config). Veja os preços do Control Tower.