기준 유형

AWS Control Tower의 기준은 대상에 적용할 수 있는 리소스 및 특정 구성의 그룹입니다. 가장 일반적인 기준 대상은 조직 단위(OU)일 수 있습니다. 예를 들어 OU가 대상으로 선택된 기준을 활성화하여 해당 OU를 AWS Control Tower에 등록할 수 있습니다.

랜딩 존 설정 시 기준 대상은 공유 계정 또는 랜딩 존 전체가 될 수 있습니다. 랜딩 존 설정 및 구성에 따라 특정 기준을 활성화하고 업데이트할 수 있습니다. AWS Control Tower는 기준에서 지정하는 방식으로 리소스를 생성하고 대상에 배포합니다.

대상에 대한 기준을 활성화하면 기준이 AWS CloudFormation 리소스라고 하는 EnabledBaseline 리소스로 표시됩니다.

AWS Control Tower에는 두 가지 일반적인 유형의 기준이 포함되어 있습니다.

• AWS Control Tower에 등록된 OU 또는 기준을 적용하여 등록하려는 OU에 적용할 수 있는 기준 유형입니다.

• 초기 설정 또는 랜딩 존 업데이트 중에 랜딩 존 또는 공유 계정에 적용할 수 있는 기준 유형입니다.

OU 등록 및 업데이트를 위해 OUs 수준에서 적용되는 기준 유형

• 이름: AWSControlTowerBaseline

  설명: AWS Control Tower 거버넌스에 필요한 대상 OU 내의 멤버 계정에 대해 리소스 및 필수 제어를 설정합니다.

  고려 사항: 이 기준은 랜딩 존 리전 거부 제어의 설정을 유지합니다. 즉, 특정 리전이 랜딩 존 수준에서 허용되지 않는 경우 EnableBaseline API를 직접 호출하여 OU를 등록할 때 해당 리전은 이 OU에 허용되지 않습니다.

  참고

  OU 수준 리전 거부 제어는 랜딩 존 리전 거부 제어가 허용하지 않는 리전을 허용할 수 없습니다.

  자세한 내용은 AWS Organizations 설명서의 SCPs 거부와 함께 작동하는 방식을 참조하세요.

  권장 사항: OU에 대해 EnableBaseline API를 직접 호출하기 전에 대상 OU가 워크로드를 실행하고 있는 리전을 확인하고 그 결과를 랜딩 존 리전 거부 제어와 비교하여 확인하는 것이 좋습니다. 그러지 않으면 특정 리전의 리소스에 대한 액세스 권한이 손실될 수 있습니다.

• 이름: BackupBaseline

  설명:이 기준은 대상 OU 내의 멤버 계정에 대한 리소스 및 제어를 설정합니다. 이는 와의 통합이 데이터 백업을 자동화 AWS 서비스하고 백업 정책 관리를 중앙 집중화할 AWS Backup 수 있도록 하기 위해 필요합니다.

  고려 사항: 대상 OUBackupBaseline에서를 활성화하기 전에 대상 OU에서가 활성화AWSControlTowerBaseline되어 있는지 확인합니다. 즉, 대상 OU를 AWS Control Tower에 등록해야 합니다.

  • AWS Control Tower 랜딩 존을 생성하는 AWS Backup 프로세스 중에 또는 랜딩 존 업데이트 프로세스 중에를 활성화하도록 선택할 수 있습니다.

  • BackupBaseline는 랜딩 존 버전 3.1 이상과 호환됩니다.

  • BackupBaseline는 관리 계정에 적용되지 않습니다.

참고

랜딩 존 기준은 OU 수준 기준과 다르게 작동합니다.

랜딩 존 또는 공유 계정에 적용될 수 있는 기준 유형

AWS Control Tower는 랜딩 존 설정 및 업데이트 프로세스의 일부로 랜딩 존 수준에서 자동으로 적용되는 기준을 활성화합니다. 랜딩 존 설정을 변경하면 랜딩 존의 기준이 변경될 수 있습니다. 예를 들어, IAM Identity Center를 옵트인하면 AWS Control Tower가 랜딩 존에서 IdentityCenterBaseline 기준의 최신 버전을 활성화할 수 있습니다.

ListEnabledBaselines API 직접 호출을 통해 랜딩 존에 대해 활성화된 기준을 볼 수 있습니다.

참고

EnableBaseline API를 사용하여 만 직접 적용할 AWSControlTowerBaseline 수 있습니다. 다른 기준은 자동으로 관리됩니다(AuditBaseline, LogArchiveBaseline). 를 적용할 때의 상태가 정보로 IdentityCenterBaseline 제공됩니다AWSControlTowerBaseline.

• 이름: AuditBaseline

  설명: 조직 내 계정의 보안 및 규정 준수를 모니터링하는 리소스를 설정합니다. 이 기준은 AWS Control Tower에서 배포하므로 변경할 수 없습니다.

• 이름: LogArchiveBaseline

  설명: 조직 내 계정의 API 활동 및 리소스 구성의 로그를 위한 중앙 리포지토리를 설정합니다. 이 기준은 AWS Control Tower에서 배포하므로 변경할 수 없습니다.

• 이름: IdentityCenterBaseline

  설명: 계정에 대한 Identity Center 액세스를 설정하기 위해 AWSControlTowerBaseline을 준비하는 IAM Identity Center에 대한 공유 리소스를 설정합니다.

  고려 사항: 이 기준은 랜딩 존을 처음 설정할 때 IAM Identity Center를 ID 공급자로 선택한 경우 또는 이후 랜딩 존 설정을 변경하여 랜딩 존에 대해 IAM Identity Center를 활성화한 경우에만 작동합니다. 다른 ID 공급자를 사용하는 경우 이 기준을 활성화할 수 있는 액세스 권한이 없습니다.

• 이름: BackupCentralVaultBaseline

  설명: 조직의 중앙 AWS Backup 볼트를 설정합니다.

• 이름: BackupAdminBaseline

  설명: 위임된 관리자와 AWS Backup Audit Manager를 설정합니다.

활성화된 기준 및 멤버 계정

OU에서 기준을 활성화하면 해당 구성은 OU의 멤버 계정에 의해 상속됩니다. 상속의 사실로 인해 계정을 참조할 때 이를 하위 활성화 기준이라고 합니다. OU에 적용되는 기준을 상위 활성화 기준이라고 합니다. 상위 활성화 기준은 하위 활성화 기준의 구성을 제어합니다. OU에서 제어를 활성화하면 OU 내의 모든 계정에 적용되는 방식과 비슷합니다.

계정의 기준 상태 보기

AWS Control Tower에서는 기준과 함께 계정을 직접 대상으로 지정할 수 없습니다. 그러나 상속된 하위 활성화 기준을 통해 각 멤버 계정의 활성화 및 드리프트 상태를 추적할 수 있습니다. 계정 상태를 보려면 includeChildren 기능 플래그를 사용하여 ListEnabledBaselines API를 호출하면 됩니다.

기준 및 버전 관리 기본값

AWS Control Tower 랜딩 존이 이미 설정되어 있고 랜딩 존 기준을 활성화하기로 선택한 경우 AWS Control Tower는 랜딩 존 버전과 호환되는 최신 버전의 기준을 활성화합니다. AWS Control Tower에 아직 등록되지 않은 OU에 대해 기준을 활성화하도록 선택하는 경우 AWS Control Tower는 해당 OU에 대해 호환되는 최신 버전의 기준을 자동으로 제공합니다.