Planifique la zona de aterrizaje de su AWS Control Tower

Cuando realiza el proceso de configuración, AWS Control Tower lanza un recurso clave asociado a su cuenta, denominado landing zone, que sirve de base para sus organizaciones y sus cuentas.

nota

Puede tener una zona de inicio por organización.

Para obtener información sobre algunas de las prácticas recomendadas que debes seguir al planificar y configurar tu landing zone, consultaAWS estrategia de múltiples cuentas para su zona de aterrizaje de AWS Control Tower.

Formas de configurar la Torre de Control de AWS

Puede configurar una zona de aterrizaje de la Torre de Control de AWS en una organización existente o puede empezar por crear una nueva organización que contenga su zona de aterrizaje de la Torre de Control de AWS.

• Lance AWS Control Tower en una organización existente: Esta sección está destinada a los clientes que disponen de un AWS Organizations sistema operativo listo para incorporarlo a la gobernanza de AWS Control Tower.

• Lance AWS Control Tower en una nueva organización: Esta sección es para clientes que no tienen AWS Organizationsunidades organizativas ni cuentas existentes.

nota

Si ya tiene una zona de AWS Organizations aterrizaje, puede extender la gobernanza de AWS Control Tower desde la zona de aterrizaje existente a algunas o todas las OU y cuentas existentes dentro de una organización. Consulte Gobernar las organizaciones y cuentas existentes.

Compare la funcionalidad

He aquí una breve comparación de las diferencias entre añadir la Torre de Control de AWS a una organización existente o extender la gobernanza de la Torre de Control de AWS a las unidades organizativas y las cuentas. Además, se deben tener en cuenta algunas consideraciones especiales si se muda a AWS Control Tower desde la solución AWS Landing Zone.

Acerca de la incorporación a una organización existente: La incorporación de AWS Control Tower a una organización existente es algo que se puede lograr desde la AWS consola. En este caso, ya tiene una organización que ha creado en el AWS Organizations servicio, esa organización no está registrada actualmente en AWS Control Tower y, posteriormente, desea añadir una landing zone.

Al añadir una landing zone a una organización existente, AWS Control Tower establece una estructura paralela, a AWS Organizations nivel. No cambia las unidades organizativas ni las cuentas de su organización actual.

Acerca de la ampliación de la gobernanza: la ampliación de la gobernanza se aplica a unidades organizativas y cuentas específicas de una sola organización que ya esté registrada en AWS Control Tower, lo que significa que ya existe una landing zone para esa organización. Ampliar la gobernanza significa ampliar los controles de la Torre de Control de AWS para que sus restricciones se apliquen a las unidades organizativas y cuentas específicas de esa organización registrada. En este caso, no vas a lanzar una nueva landing zone, solo vas a expandir la landing zone actual de tu organización.

importante

Consideración especial: si actualmente utiliza la soluciónAWS Landing Zone (ALZ) AWS Organizations, consulte con su arquitecto de AWS soluciones antes de intentar habilitar AWS Control Tower en su organización. AWS Control Tower no puede realizar comprobaciones previas para determinar si AWS Control Tower puede interferir con su implementación actual en la zona de aterrizaje. Para obtener más información, consulte Tutorial: Cómo pasar de ALZ a la Torre de Control de AWS. Además, para obtener información sobre cómo mover cuentas de una landing zone a otra, consulta ¿Qué sucede si la cuenta no cumple los requisitos previos?

Lance AWS Control Tower en una organización existente

Al configurar una zona de aterrizaje de AWS Control Tower en una organización existente, puede empezar a trabajar inmediatamente, en paralelo con su AWS Organizations entorno actual. AWS Organizations Las demás unidades organizativas que haya creado en él permanecen inalteradas porque no están registradas en AWS Control Tower. Puede seguir utilizando tales unidades organizativas y cuentas exactamente como están.

AWS Control Tower se consolida mediante el uso de la cuenta de administración de su organización actual como cuenta de administración. No se necesita una nueva cuenta de administración. Puede lanzar su zona de aterrizaje de AWS Control Tower desde su cuenta de administración existente.

nota

Para configurar AWS Control Tower en una organización existente, los límites de servicio deben permitir la creación de al menos dos cuentas adicionales.

Efectos de añadir AWS Control Tower a su organización actual

AWS Control Tower crea dos cuentas en su organización: una cuenta de auditoría y una cuenta de registro. Estas cuentas mantienen un registro de las acciones realizadas por su equipo, en sus cuentas individuales de usuario final. Las cuentas de archivo de auditoría y registro aparecen en la unidad organizativa de seguridad de la zona de aterrizaje de AWS Control Tower.

Cuando configura su landing zone, las cuentas agregadas por AWS Control Tower pasan a formar parte de las que ya tiene y AWS Organizations, como tales, pasan a formar parte de la facturación de su organización actual.

Resumen de las capacidades

La habilitación de AWS Control Tower en una AWS Organizations organización existente proporciona varias mejoras importantes a la organización.

• Permite una facturación unificada en todos los grupos de su organización, ya que las cuentas añadidas por AWS Control Tower pasarán a formar parte de su organización actual.

• Le permite administrar todas las cuentas desde una sola cuenta de administración de su OU.

• Simplifica la forma de aplicar y hacer cumplir los controles que cubren la seguridad y el cumplimiento de las cuentas nuevas y existentes.

importante

Lanzar su zona de aterrizaje de AWS Control Tower en una AWS Organizations organización existente no le permite extender la gobernanza de la Torre de Control de AWS de esa organización a otras OU o cuentas que no estén registradas en AWS Control Tower.

Para lanzar AWS Control Tower en su organización actual, siga el proceso descrito enIntroducción a AWS Control Tower.

Para obtener más información sobre cómo la Torre de Control de AWS interactúa con AWS Organizations las organizaciones existentes, consulteControle las organizaciones y las cuentas con AWS Control Tower.

Lance AWS Control Tower en una nueva organización

Si es la primera vez que utiliza AWS Control Tower y aún no ha trabajado con AWS Organizationsél, el mejor lugar para empezar es con nuestro Configuración documento.

AWS Control Tower configura una organización automáticamente cuando no la tiene configurada.