AWS Control Tower – 设置和管理多账户 AWS 环境

本月早些时候，我遇到了一位企业级 AWS 客户。他们告诉我，他们计划全面迁移到 AWS，并希望从我们大规模设置和运行 AWS 的成功经验中受益。除了建立卓越云中心之外，他们还希望为团队建立一个安全的环境，以便根据我们的建议和最佳实践预置开发和生产账户。

AWS Control Tower
今天，我们宣布正式发布 AWS Control Tower。此服务可自动完成设置新基准多账户 AWS 环境的过程，该环境具有安全、架构完善且可随时可用的特点。Control Tower 融合了 AWS 专业服务在与成千上万的成功客户接洽过程中获得的知识，同时还借鉴了我们的白皮书、文档、架构完善的框架和培训中的建议。Control Tower 提供的指南观点鲜明、严谨规范，旨在加速您的云之旅！

AWS Control Tower 基于多种 AWS 服务构建而成，这些服务包括 AWS Organizations、AWS Identity and Access Management (IAM)（包括服务控制策略）、AWS Config、AWS CloudTrail 和 AWS Service Catalog。您可以通过一系列工作流程、控制面板和设置步骤获得统一的体验。 AWS Control Tower 自动化登录区以设置基准环境，其中包括：

使用 AWS Organizations 的多账户环境。
使用 AWS Single Sign-On (SSO) 的身份管理。
使用 AWS SSO 对账户进行联合访问。
从存储在 Amazon S3 中的 AWS CloudTrail 和 AWS Config 集中进行日志记录。
使用 AWS IAM 和 AWS SSO 进行跨账户安全审计。

在深入研究之前，让我们回顾几个关键的 Control Tower 术语：

登录区 – Control Tower 为您设置的整体多账户环境，从全新的 AWS 账户开始。

防护机制 – 自动实施策略控制，重点关注安全性、合规性和成本管理。防护机制可以是预防性的（阻止被视为有风险的操作）或探测性的（针对不符合要求的操作发出警报）。

蓝图 – 用于设置登录区的架构完善的设计模式。

环境 – AWS 账户及其中的资源，配置为运行应用程序。用户针对新环境发出请求（通过Service Catalog），然后 Control Tower 使用自动化工作流来配置它们。

使用 Control Tower
从同时为主付款人和组织主账户的全新 AWS 账户开始，我打开 Control Tower 控制台并单击设置登录区来开始：

AWS Control Tower 将为日志存档和审计创建 AWS 账户，并且需要尚未与 AWS 账户关联的电子邮件地址。我输入两个地址，查看服务权限内的信息，授予 Control Tower 管理 AWS 资源和服务的权限，然后单击设置登录区：

设置过程运行大约一个小时，并提供状态更新：

在此过程的早期，Control Tower 会发送一些电子邮件请求来验证账户的所有权，邀请账户加入 AWS SSO，以及订阅某些 SNS 主题。请求包含我必须单击的链接，以便继续进行设置。第二封电子邮件还要求我为该账户创建 AWS SSO 密码。设置完成后，AWS Control Tower 将显示状态报告：