2022-10-03

Apa itu AWS Control Tower

Apa itu AWS Control Tower

Seiring dengan perpindahan bisnis ke cloud, pengelolaan keamanan, kepatuhan, dan tata kelola beberapa akun AWS semakin kompleks. Untuk membantu organisasi mempertahankan kendali atas lingkungan AWS mereka sambil memastikan skalabilitas dan kecepatan, Amazon Web Services memperkenalkan AWS Control Tower.

AWS Control Tower adalah layanan manajemen multi-akun yang sepenuhnya dikelola, yang menyederhanakan proses pengaturan, konfigurasi, dan pemeliharaan lingkungan AWS. Ini menyediakan dashboard terpusat dan sekumpulan aturan tata kelola yang telah dikonfigurasi sebelumnya, yang disebut guardrails, untuk membantu bisnis menegakkan kebijakan yang konsisten di seluruh akun AWS mereka.

Architecture
What is AWS Control Tower?

Konsep Inti dan Terminologi

Dalam bab ini, saya akan membahas konsep inti dan terminologi yang digunakan dalam AWS Control Tower.

Organizational Units (OU)

Organizational Units (OU) adalah kelompok akun AWS yang memiliki karakteristik yang sama, seperti fungsi, departemen, atau proyek. OU membantu Anda mengelola akun Anda dengan lebih efektif dengan menerapkan kebijakan dan guardrails yang konsisten di seluruh akun dalam OU yang sama. Anda dapat membuat hierarki OU untuk mencerminkan struktur organisasi Anda.

Akun

AWS Control Tower mengelola akun AWS individual, yang merupakan kontainer untuk resource AWS. Setiap akun terkait dengan satu OU dan dapat ditugaskan ke beberapa pengguna. Control Tower menyediakan proses yang mudah untuk membuat dan mendaftarkan akun, memungkinkan Anda untuk menegakkan kebijakan dan guardrails yang konsisten di seluruh lingkungan AWS Anda.

Service Control Policies (SCP)

Service Control Policies (SCP) adalah dokumen JSON yang menentukan izin untuk layanan dan tindakan AWS yang tersedia untuk pengguna dalam OU atau akun. SCP membantu Anda mempertahankan kendali terperinci atas izin yang diberikan ke akun AWS Anda, memastikan bahwa pengguna memiliki tingkat akses yang sesuai untuk resource dan layanan.

Guardrails

Guardrails adalah aturan yang telah dikonfigurasi sebelumnya yang membantu Anda menegakkan kebijakan tata kelola dan kepatuhan di seluruh akun AWS Anda. Control Tower menawarkan tiga jenis guardrails:

Mandatory Guardrails
Ini selalu diaktifkan dan tidak dapat dinonaktifkan. Mereka menyediakan fitur keamanan dan tata kelola yang penting.
Strongly Recommended Guardrails
Guardrails ini memberikan manfaat keamanan dan kepatuhan tambahan dan direkomendasikan oleh AWS, tetapi dapat dinonaktifkan jika diperlukan.
Elective Guardrails
Guardrails ini memungkinkan Anda menyesuaikan kebijakan Anda sesuai dengan persyaratan organisasi Anda dan dapat diaktifkan atau dinonaktifkan sesuai kebutuhan.

Blueprints

Blueprints adalah konfigurasi infrastruktur AWS yang sudah dikemas sebelumnya yang menyederhanakan pembuatan akun dan membantu Anda mempertahankan konsistensi di seluruh lingkungan AWS Anda. AWS Control Tower menawarkan dua jenis blueprint:

Account Factory
Blueprint Account Factory mengotomatisasi proses pembuatan akun, memastikan bahwa semua akun baru mematuhi kebijakan dan guardrails organisasi Anda.
Landing Zone
Blueprint Landing Zone menyediakan arsitektur multi-akun yang aman yang sejalan dengan praktik terbaik AWS. Ini mencakup serangkaian akun inti, seperti akun manajemen, akun arsip log, dan akun audit keamanan, yang membantu Anda mengelola, memantau, dan memeriksa lingkungan AWS Anda.

Menyiapkan dan Mengonfigurasi AWS Control Tower

Dalam bab ini, saya akan membimbing Anda melalui proses menyiapkan dan mengonfigurasi AWS Control Tower untuk mengelola lingkungan AWS Anda secara efektif.

Persyaratan

Sebelum Anda memulai, pastikan bahwa Anda memenuhi persyaratan berikut:

Anda harus memiliki akun AWS dengan akses pengguna root.
Akun AWS Anda harus bebas dari organisasi atau pengaturan Control Tower yang ada untuk menghindari konflik selama implementasi.

Implementasi AWS Control Tower

Untuk mengimplementasikan AWS Control Tower, ikuti langkah-langkah berikut:

Masuk ke AWS Management Console menggunakan kredensial pengguna root Anda.
Buka konsol AWS Control Tower di https://console.aws.amazon.com/controltower/.
Di halaman utama AWS Control Tower, klik Set up Control Tower.
AWS Control Tower akan memeriksa persyaratan dan menampilkan status. Pastikan semua persyaratan terpenuhi dan klik Set up Control Tower lagi.
Berikan alamat email untuk akun arsip log, dan klik Next.
Tinjau pengaturan dan klik Set up Control Tower untuk memulai implementasi.

AWS Control Tower akan mulai mengimplementasikan resource, dan proses ini mungkin memakan waktu hingga satu jam untuk diselesaikan.

Setelah implementasi selesai, AWS Control Tower akan menampilkan pesan konfirmasi, dan Anda dapat mulai menggunakan layanan.

Mengonfigurasi AWS Control Tower

Setelah mengimplementasikan AWS Control Tower, Anda dapat mengonfigurasi layanan sesuai dengan persyaratan organisasi Anda. Bagian ini mencakup tugas konfigurasi utama.

Membuat Organizational Units (OU)

Organizational Units (OU) membantu Anda mengelola akun AWS Anda dengan mengelompokkannya berdasarkan kriteria tertentu, seperti unit bisnis, departemen, atau proyek. Untuk membuat OU:

Buka konsol AWS Control Tower.
Di menu sebelah kiri, klik Organizational Units.
Klik Create Organizational Unit.
Berikan nama dan deskripsi opsional untuk OU, dan klik Create Organizational Unit.

Menambahkan dan Mengelola Akun AWS

Untuk menambahkan dan mengelola akun AWS di OU Anda, ikuti langkah-langkah berikut:

Buka konsol AWS Control Tower.
Di menu sebelah kiri, klik Accounts.
Klik Enroll Account untuk menambahkan akun baru atau Register Account untuk membawa akun AWS yang sudah ada di bawah kendali AWS Control Tower.
Isi detail akun yang diperlukan dan pilih OU untuk akun tersebut.
Klik Enroll Account atau Register Account untuk menyelesaikan proses.

Mengonfigurasi Guardrails

Guardrails membantu Anda menegakkan kebijakan dan mempertahankan kepatuhan di seluruh akun AWS Anda. Untuk mengonfigurasi guardrails:

Buka konsol AWS Control Tower.
Di menu sebelah kiri, klik Guardrails.
Telusuri daftar guardrails dan pilih yang ingin Anda aktifkan.
Klik Enable guardrail atau Disable guardrail untuk mengalihkan status.

Menjalankan Governance dan Compliance dengan Guardrails

Guardrails adalah fitur sentral AWS Control Tower, dirancang untuk membantu organisasi menegakkan kebijakan konsisten dan mempertahankan kepatuhan di seluruh akun AWS mereka. Guardrails tersedia dalam tiga kategori:

Mandatory Guardrails
Strongly Recommended Guardrails
Elective Guardrails

Mandatory Guardrails

Mandatory Guardrails selalu aktif di AWS Control Tower dan tidak dapat dinonaktifkan. Mereka memberikan fitur keamanan dan governance yang penting untuk membantu memastikan lingkungan yang aman dan patuh. Beberapa contoh Mandatory Guardrails termasuk:

Larangan pembuatan kunci akses untuk pengguna root
Aktifkan AWS Config di semua wilayah
Aktifkan validasi file log AWS CloudTrail

Dengan menegakkan langkah-langkah keamanan fundamental ini, Mandatory Guardrails membantu melindungi lingkungan AWS Anda dan mengurangi risiko akses tidak sah atau kesalahan konfigurasi.

Strongly Recommended Guardrails

Strongly Recommended Guardrails memberikan manfaat keamanan dan kepatuhan tambahan di luar Mandatory Guardrails. Meskipun mereka dapat dinonaktifkan, AWS sangat menyarankan agar Anda tetap mengaktifkannya untuk mengoptimalkan posisi keamanan lingkungan Anda. Beberapa contoh Strongly Recommended Guardrails meliputi:

Larangan akses baca publik ke bucket Amazon S3
Larangan akses tulis publik ke bucket Amazon S3
Aktifkan Amazon GuardDuty

Guardrails ini meningkatkan keamanan Anda dengan mencegah kebocoran data dan memungkinkan kemampuan deteksi ancaman, lebih lanjut mengurangi risiko insiden keamanan.

Elective Guardrails

Elective Guardrails memungkinkan Anda menyesuaikan kebijakan sesuai dengan persyaratan spesifik organisasi Anda. Mereka dapat diaktifkan atau dinonaktifkan sesuai kebutuhan. Beberapa contoh Elective Guardrails meliputi:

Larangan akses internet untuk instance Amazon RDS
Memerlukan MFA untuk akses AWS Management Console
Memerlukan enkripsi untuk objek Amazon S3

Elective Guardrails memberi Anda fleksibilitas untuk menyesuaikan kebijakan governance dan kepatuhan Anda dengan kebutuhan unik organisasi Anda, sambil tetap mempertahankan lingkungan yang aman dan patuh.