AWS Organizations e estrutura de OUs

O AWS Organizations gerencia várias contas de forma central. Uma organização é uma árvore com estas peças:

Para usar políticas, a organização precisa estar com all features habilitado (o padrão). O modo só de consolidated billing não permite políticas nem integrações com serviços.

A conta de gerenciamento é a dona final da organização, e as SCPs não restringem usuários nem roles dentro dela. Por isso a AWS recomenda:

• Não colocar workloads nem dados nela; só o que precisa ser feito ali.
• Limitar e revisar periodicamente quem tem acesso (e-mail, senha, MFA e telefone do root).
• Delegar administração de serviços para contas-membro (administrador delegado), como as contas de segurança e de logs.

Políticas anexadas a uma OU valem para todas as contas e OUs abaixo dela, somadas às que estão anexadas diretamente nos níveis inferiores. Um bom desenho usa essa herança para ter poucas políticas, aplicadas no nível certo.

1
2
3
4
5
6
7
8
9

Root                       ← SCP: negar sair da organização
├── Security               ← SCP: proteger trilhas e logs
│   ├── log-archive
│   └── security-tooling
└── Workloads
    ├── Prod               ← SCP: negar regiões não aprovadas
    │   └── pagamentos-prod   (herda Root + Workloads + Prod)
    └── Test
        └── pagamentos-test   (herda Root + Workloads + Test)

Nas SCPs, um Deny em qualquer nível acima alcança a conta; e uma ação só fica disponível se for permitida em todos os níveis do caminho. Detalhes de avaliação e exemplos estão na lição de guardrails com SCP e RCP da trilha de IAM.

A AWS divide as políticas do Organizations em duas categorias:

A lista de tipos cresce com frequência; confira a página Managing organization policies antes de planejar. Cada tipo precisa ser habilitado no root da organização antes do uso.

O whitepaper Organizing Your AWS Environment Using Multiple Accounts agrupa as OUs recomendadas em categorias:

Você não precisa criar todas no primeiro dia. Para o propósito de cada uma e as políticas típicas, veja a referência Estrutura de OUs recomendada.

O AWS Organizations organiza contas em uma árvore: root, OUs e contas. Políticas anexadas em um nível são herdadas abaixo dele. SCPs e RCPs limitam permissões e não afetam a conta de gerenciamento, que deve ficar sem workloads. As OUs fundamentais são Security e Infrastructure; as demais entram conforme a necessidade.

SEC01-BP01 Separate workloads using accounts — o primeiro passo de implementação é desenhar a estrutura de OUs alinhada ao negócio, à sensibilidade dos dados e aos workloads.

• Terminology and concepts for AWS Organizations
• Best practices for the management account
• Managing organization policies with AWS Organizations
• Recommended OUs and accounts (whitepaper)