Governança de várias contas

Pontos-chave

• Conta de gerenciamento: cria a organização, convida e remove contas, anexa políticas e paga todas as cobranças. Não rode workloads nela, porque SCPs não a restringem.
• OUs: agrupam contas por workload ou ambiente. A hierarquia pode ter 5 níveis abaixo da raiz, e as políticas são herdadas para baixo.
• Conjuntos de recursos: all features (recomendado, exigido para SCPs, RCPs e políticas declarativas) ou só consolidated billing.
• Faturamento consolidado: uma fatura, uso somado para descontos por volume, descontos de Reserved Instances e Savings Plans compartilhados, sem custo extra.
• Participação: uma conta pertence a apenas uma organização por vez.

Pontos-chave

• SCP: limita usuários e roles do IAM nas contas membro, inclusive o root da conta membro. Não afeta a conta de gerenciamento nem service-linked roles.
• FullAWSAccess: anexada por padrão. Uma estratégia de deny list a mantém e acrescenta instruções Deny. Removê-la sem substituta faz todas as ações falharem.
• Herança: uma conta só tem o que todos os pais acima dela permitem, da raiz até a conta.
• RCP: limita o que qualquer um, inclusive principals de fora da organização, pode fazer em recursos de serviços suportados, como S3, KMS, SQS, Secrets Manager, DynamoDB e STS.
• Perímetro de dados: uma RCP garante que só identidades da sua organização alcancem os recursos, e uma SCP limita serviços ou Regiões que seus principals podem usar.

Pontos-chave

• Landing zone: ambiente com várias contas bem arquitetado. Versões anteriores criam uma Security OU com as contas Log Archive e Audit, e a landing zone 4.0 permite definir a sua própria estrutura.
• Account Factory: template configurável que provisiona contas novas com configurações e controles pré-aprovados.
• Controles preventivos: implementados com SCPs e RCPs, bloqueiam ações antes que aconteçam.
• Controles detectivos: implementados com regras do AWS Config, sinalizam recursos fora de conformidade.
• Controles proativos: implementados com hooks do CloudFormation, barram recursos fora de conformidade antes do provisionamento.
• Orientação: os controles são obrigatórios (sempre ativos), fortemente recomendados ou eletivos.

Pontos-chave

• Exemplos compartilháveis: subnets de VPC, transit gateways, regras do Route 53 Resolver, prefix lists, configurações do License Manager, políticas do Network Firewall, clusters Aurora e Private CA.
• VPC sharing: o dono compartilha subnets com participantes da mesma organização. Os participantes criam os próprios recursos ali, mas não veem nem alteram os recursos dos outros.
• Convites: com o compartilhamento via Organizations ativado, contas da organização não precisam de convite. Contas de fora precisam aceitar um.
• Managed permissions: definem o que as contas consumidoras podem fazer com o recurso compartilhado. As políticas do IAM e as SCPs delas continuam valendo.
• Custo: o AWS RAM em si não cobra nada. O recurso compartilhado é cobrado normalmente.

Pontos-chave

• Por quê: SCPs não restringem a conta de gerenciamento, então as ferramentas de segurança devem rodar numa conta membro dedicada.
• Serviços de segurança: GuardDuty, Security Hub CSPM, Macie, Inspector, Detective, Firewall Manager, IAM Access Analyzer e AWS Config aceitam administrador delegado.
• Trusted access: permite que um serviço atue em todas as contas, como uma trilha de organização no CloudTrail ou StackSets com permissões gerenciadas pelo serviço.
• Limites: só a conta de gerenciamento cria ou convida contas. Um administrador delegado não pode.
• Guardrails continuam valendo: o administrador delegado é uma conta membro, então SCPs e RCPs o afetam.

Pontos-chave

• Tag policies: padronizam chaves, valores e maiúsculas das tags. A aplicação obrigatória bloqueia operações de tag fora do padrão nos tipos de recurso escolhidos, mas recursos sem tag não são avaliados.
• Conformidade de tags: o AWS Resource Groups mostra as tags fora do padrão, e a conta de gerenciamento enxerga todas as contas.
• Backup policies: aplicam planos de backup aos recursos de todas as contas da organização.
• Políticas do Amazon EC2: declaram e impõem configurações do EC2 em escala, mantidas mesmo quando o serviço ganha recursos ou APIs novas.
• Políticas de opt-out de serviços de IA: controlam a coleta de dados pelos serviços de IA da AWS em todas as contas.