Planen Ihrer Landing Zone von AWS Control Tower

Wenn Sie den Einrichtungsprozess durchlaufen, startet AWS Control Tower eine Schlüsselressource, die Ihrem Konto zugeordnet ist, die als Landing Zone bezeichnet wird und als Heimat für Ihre Organisationen und deren Konten dient.

Anmerkung

Sie können eine Landing Zone pro Organisation haben.

Informationen zu einigen bewährten Methoden, die Sie bei der Planung und Einrichtung Ihrer Landing Zone befolgen sollten, finden Sie unter AWS Strategie für mehrere Konten für Ihre Landing Zone von AWS Control Tower.

Möglichkeiten zur Einrichtung von AWS Control Tower

Sie können eine Landing Zone von AWS Control Tower in einer vorhandenen Organisation einrichten oder zunächst eine neue Organisation erstellen, die Ihre Landing Zone von AWS Control Tower enthält.

• Starten von AWS Control Tower in einer vorhandenen Organisation: Dieser Abschnitt richtet sich an Kunden, die bereits AWS Organizations bereit sind, die Governance von AWS Control Tower einzuführen.

• Starten von AWS Control Tower in einer neuen Organisation: Dieser Abschnitt richtet sich an Kunden ohne bestehende AWS Organizations-, OUsKonten.

Anmerkung

Wenn Sie bereits über eine AWS Organizations Landing Zone verfügen, können Sie die AWS Control Tower-Governance von der vorhandenen Landing Zone auf einige oder alle Ihrer vorhandenen OUs und Konten innerhalb einer Organisation erweitern. Siehe Vorhandene Organisationen und Konten steuern.

Vergleichen der Funktionalität

Im Folgenden finden Sie einen kurzen Vergleich der Unterschiede zwischen dem Hinzufügen von AWS Control Tower zu einer bestehenden Organisation oder der Erweiterung der AWS Control Tower-Governance auf OUs und Konten. Außerdem gelten einige besondere Überlegungen, wenn Sie von der AWS Landing Zone-Lösung zu AWS Control Tower wechseln.

Informationen zum Hinzufügen zu einer vorhandenen Organisation: Das Hinzufügen von AWS Control Tower zu einer vorhandenen Organisation ist etwas, das Sie in der AWS Konsole ausführen können. In diesem Fall haben Sie bereits eine Organisation, die Sie im AWS Organizations Service erstellt haben, diese Organisation ist derzeit nicht bei AWS Control Tower registriert und Sie möchten danach eine Landing Zone hinzufügen.

Wenn Sie einer bestehenden Organisation eine Landing Zone hinzufügen, richtet AWS Control Tower eine parallele Struktur auf der AWS Organizations Ebene ein. Die OUs und Konten innerhalb Ihrer bestehenden Organisation werden dadurch nicht geändert.

Informationen zur Erweiterung der Governance: Die Erweiterung der Governance gilt für bestimmte OUs und Konten innerhalb einer einzelnen Organisation, die bereits bei AWS Control Tower registriert ist, was bedeutet, dass für diese Organisation bereits eine Landing Zone vorhanden ist. Die Erweiterung der Governance bedeutet, dass die Kontrollen von AWS Control Tower erweitert werden, sodass ihre Einschränkungen für die spezifischen OUs und Konten innerhalb dieser registrierten Organisation gelten. In diesem Fall starten Sie keine neue Landing Zone, sondern erweitern nur die aktuelle Landing Zone für Ihre Organisation.

Wichtig

Besondere Überlegungen: Wenn Sie derzeit die AWS Landing Zone-Lösung (ALZ) für verwenden AWS Organizations, wenden Sie sich an Ihren AWS Lösungsarchitekten, bevor Sie versuchen, AWS Control Tower in Ihrer Organisation zu aktivieren. AWS Control Tower kann keine Vorabprüfungen durchführen, die bestimmen, ob AWS Control Tower Ihre aktuelle Bereitstellung der Landing Zone stören kann. Weitere Informationen finden Sie unter Walkthrough: Von ALZ zu AWS Control Tower wechseln. Informationen zum Verschieben von Konten von einer Landing Zone zu einer anderen finden Sie unter . Was ist, wenn das Konto die Voraussetzungen nicht erfüllt?

Starten von AWS Control Tower in einer vorhandenen Organisation

Durch die Einrichtung einer Landing Zone von AWS Control Tower in einer vorhandenen Organisation können Sie sofort parallel zu Ihrer vorhandenen AWS Organizations Umgebung arbeiten. Ihre anderen in OUs AWS Organizations sind unverändert, da sie nicht bei AWS Control Tower registriert sind. Sie können diese OUs und Konten weiterhin genau so verwenden, wie sie sind.

AWS Control Tower konsolidiert mithilfe des Verwaltungskontos Ihrer bestehenden Organisation als Verwaltungskonto. Es wird kein neues Verwaltungskonto benötigt. Sie können Ihre Landing Zone von AWS Control Tower über Ihr vorhandenes Verwaltungskonto starten.

Anmerkung

Um AWS Control Tower in einer vorhandenen Organisation einzurichten, müssen Ihre Service-Limits die Erstellung von mindestens zwei zusätzlichen Konten ermöglichen.

Auswirkungen des Hinzufügens von AWS Control Tower zu Ihrer bestehenden Organisation

AWS Control Tower erstellt zwei Konten in Ihrer Organisation: ein Audit-Konto und ein Protokollierungskonto. Diese Konten führen Aufzeichnungen über die von Ihrem Team durchgeführten Aktionen in ihren individuellen Endbenutzerkonten. Die Audit -und Protokollarchivkonten werden in der Sicherheits-OU innerhalb Ihrer AWS Control Tower-Landing Zone angezeigt.

Wenn Sie Ihre Landing Zone einrichten, werden die von AWS Control Tower hinzugefügten Konten Teil Ihrer vorhandenen AWS Organizations, und daher werden sie Teil der Abrechnung für Ihre bestehende Organisation.

Zusammenfassung der Funktionen

Die Aktivierung von AWS Control Tower in einer vorhandenen AWS Organizations Organisation bietet mehrere wichtige Verbesserungen für die Organisation.

• Sie ermöglicht eine einheitliche Abrechnung über die Gruppen Ihrer Organisation hinweg, da von AWS Control Tower hinzugefügte Konten Teil Ihrer bestehenden Organisation werden.

• Sie haben die Möglichkeit, alle Konten von einem Verwaltungskonto in Ihrer Organisationseinheit aus zu verwalten.

• Es vereinfacht die Anwendung und Durchsetzung von Kontrollen, die Sicherheit und Compliance für bestehende und neue Konten abdecken.

Wichtig

Durch das Starten Ihrer Landing Zone von AWS Control Tower in einer vorhandenen AWS Organizations Organisation können Sie die AWS Control Tower-Governance von dieser Organisation auf andere OUs oder Konten erweitern, die nicht bei AWS Control Tower registriert sind.

Um AWS Control Tower in Ihrer vorhandenen Organisation zu starten, folgen Sie dem unter beschriebenen VerfahrenErste Schritte mit AWS Control Tower.

Weitere Informationen darüber, wie AWS Control Tower mit bestehenden AWS Organizations Organisationen interagiert, finden Sie unter Kontrollieren von Organisationen und Konten mit AWS Control Tower.

Starten von AWS Control Tower in einer neuen Organisation

Wenn Sie AWS Control Tower noch nicht kennen und noch nicht mit gearbeitet haben AWS Organizations, sollten Sie am besten mit unserem Einrichtung Dokument beginnen.

AWS Control Tower richtet automatisch eine Organisation für Sie ein, wenn Sie keine eingerichtet haben.