Kompatibilität von OU-Baselines und landing zone Zone-Versionen

Mit AWS Control Tower Tower-Baselines können Sie einen Governance-Standard auf OU-Ebene und nicht auf Landingzone-Ebene festlegen, falls Ihr Unternehmen dies erfordert. Die aufgerufene Baseline AWSControlTowerBaseline ist verfügbar, um Sie bei der Registrierung OUs bei AWS Control Tower zu unterstützen.

Anmerkung

Eine Baseline ist eine Gruppe von Kontrollen und Ressourcen, die zusammenarbeiten, um ein stabiles Governance-Umfeld in Ihrer landing zone zu schaffen.

Wenn Sie eine Baseline auf einer Organisationseinheit aktivieren, indem Sie die EnableBaseline API in AWS Control Tower aufrufen, müssen Sie eine Basisversion angeben, die mit Ihrer aktuellen AWS Control Tower Tower-Landingzone-Version kompatibel ist. Nachdem Sie eine Baseline angegeben haben, folgen alle Mitgliedskonten in einer OU der für die OU angegebenen Baseline. Mit anderen Worten, neue Konten werden mit der aktualisierten Baseline bereitgestellt, und bestehende Mitgliedskonten werden entsprechend der neuen Baseline verwaltet.

Wenn Sie keine Baseline für Ihre bestehenden Konten OUs und Konten auswählen, bestimmt die Landingzone-Version standardmäßig den gesamten Governance-Status. Jeder registrierten Organisationseinheit in Ihrer landing zone wird jedoch eine Baseline-Version zugewiesen. Dabei handelt es sich um die neueste Baseline-Version, die mit Ihrer aktuellen Landingzone-Version kompatibel ist. Daher ist jeder Organisationseinheit und jedem registrierten Mitgliedskonto eine Basisversion zugeordnet, auch wenn Sie nie speziell eine Basisversion zuweisen.

Für die Baseline auf OU-Ebene zeigt die folgende Tabelle die Kompatibilität der Baselines mit den Versionen der AWS Control Tower landing zone. AWSControlTowerBaseline

Basisversion	Versionen für Landezonen	Enthaltene Baupläne	Enthaltene Bedienelemente	Änderung gegenüber dem vorherigen Basisplan
1,0	2,0 auf 2,7	BP_BASELINE_CLOUDTRAIL, BP_BASELINE_CLOUDWATCH, BP_BASELINE_CONFIG, BP_BASELINE_ROLES, BP_BASELINE_SERVICE_ROLES, IAM-Ressourcen	Alle obligatorischen Kontrollen	Keine
2.0	2.8 bis 2.9	BP_BASELINE_CLOUDTRAIL, BP_BASELINE_CLOUDWATCH, BP_BASELINE_CONFIG, BP_BASELINE_ROLES, BP_BASELINE_SERVICE_ROLES, Config SLR, IAM-Ressourcen	Alle obligatorischen Kontrollen	AWS Config Service-Linked Role (SLR) und neuer Config-Blueprint zur Verwendung der SLR hinzugefügt
3.0	3.0 bis 3.1	BP_BASELINE_CLOUDWATCH, BP_BASELINE_CONFIG, BP_BASELINE_ROLES, BP_BASELINE_SERVICE_ROLES, Config SLR, IAM-Ressourcen	Alle obligatorischen Kontrollen	Neuer AWS Config Entwurf. Ändern Sie, um globale Ressourcen nur in der Heimatregion aufzuzeichnen. Der CloudTrail Blueprint wurde entfernt
4,0	3.2 bis 3.3	BP_BASELINE_CLOUDWATCH, BP_BASELINE_CONFIG, BP_BASELINE_ROLES, BP_BASELINE_SERVICE_LINKED_ROLE, BP_BASELINE_SERVICE_ROLES, Config SLR, IAM-Ressourcen	Alle obligatorischen Kontrollen	Neuer SLR-Blueprint

Weitere Informationen zu bestimmten Ressourcen, die bei der Einrichtung Ihrer landing zone in Konten erstellt wurden, finden Sie unter In geteilten Konten erstellte Ressourcen.

Wenn Sie Ihre landing zone auf eine Version aktualisieren, die eine neuere AWSControlTowerBaseline Basisversion unterstützt, und die neue landing zone Zone-Version mit Ihrer vorhandenen Basisversion kompatibel ist, ändert sich Ihr OU-Status in Update verfügbar.

• Sie können Account Factory und andere Funktionen weiterhin verwenden, ohne die OU-Baseline sofort zu aktualisieren, es sei denn, es handelt sich um ein landing zone Zone-Update von 2.x auf 3.x.

• Neue Konten, die in dieser Organisationseinheit registriert sind, erhalten Ressourcen auf der Grundlage der vorhandenen Basisversion, bis die Basisversion aktualisiert wird (mit der Funktion „Verwaltung erweitern“ in der Konsole oder mithilfe der UpdateEnabledBaseline API).

• Nachdem Sie die Basisversion aktualisiert haben, erhalten alle Konten in dieser Organisationseinheit Ressourcen, die auf der neuen Basisversion basieren.

Anmerkung

Wenn Sie Ihre AWS Control Tower Tower-Landing landing zone von einer beliebigen Version 2.X auf eine beliebige Version 3.X aktualisieren, müssen Sie aufgrund des Wechsels von Trails auf Kontoebene auch die Basisversion auf Ihrer OUs Unternehmensebene aktualisieren. AWS CloudTrail In der Konsole zeigt Ihre Organisationseinheit den Status Update erforderlich an.

Überlegungen zu Baselines

• Wenn für Ihre Organisationseinheit ein Basisupdate erforderlich ist, können Sie keine neuen Konten bereitstellen oder bestehende Konten für diese Organisationseinheit registrieren.

• Wenn Sie nach einem landing zone Zone-Update auch eine OU-Baseline aktualisieren möchten, müssen Sie die OU erneut registrieren oder Ihre OU-Baseline-Version programmgesteuert aktualisieren.

• Wir empfehlen Ihnen, auf die höchste kompatible Baseline für die von Ihnen verwendete landing zone Zone-Version zu aktualisieren, damit Sie alle Vorteile der landing zone und der Baseline zusammen nutzen können. Wenn Sie beispielsweise auf landing zone Version 3.3 aktualisieren, können Sie Baseline 3.0 weiterhin verwenden, aber Sie können nicht alle Vorteile von landing zone Version 3.3 nutzen, es sei denn, Sie aktualisieren auch auf Baseline 4.0.

• Baseline-Updates können nicht rückgängig gemacht werden.

• Die Baseline-Aktivierung zielt jeweils auf eine Organisationseinheit ab. Daher OUs werden verschachtelte Organisationseinheiten nicht automatisch aktualisiert, wenn die übergeordnete Organisationseinheit aktualisiert wird. Es wird empfohlen, die übergeordnete Organisationseinheit zu aktualisieren, bevor Sie die OUs verschachtelte Organisationseinheit aktualisieren.

• Wenn Sie die UpdateEnabledBaseline API aufrufen oder eine Organisationseinheit von der Konsole aus erneut registrieren, behält die Organisationseinheit alle Steuerelemente bei, die vor dem Baseline-Update aktiviert wurden.

• Wenn mehrere Basisversionen mit Ihrer landing zone Zone-Version kompatibel sind, müssen Sie die neueste Basisversion verwenden, wenn Sie eine Baseline-Version auf einer nicht verwalteten Organisationseinheit aktivieren.