Contas em escala: vending e baseline

Quando a separação em contas vira regra (SEC01-BP01), criar conta passa a ser rotina. Account vending é tratar isso como um produto: alguém pede uma conta por um canal padronizado e recebe, sem trabalho manual, uma conta já na OU certa, com acesso federado, logs, detecção e controles aplicados.

O objetivo é duplo: tirar o time central do caminho crítico (o pedido não espera aprovação manual de cada detalhe) e garantir que nenhuma conta exista sem a baseline. Uma conta criada à mão "só para um teste" é exatamente a que fica sem trail e sem GuardDuty.

Fora (ou além) do Control Tower, o CloudFormation StackSets implanta o mesmo template em várias contas e Regiões. Com permissões gerenciadas pelo serviço (service-managed), ele usa o Organizations: você aponta para OUs, o StackSets cria os papéis IAM necessários e o administrador pode ser a conta de gerenciamento ou um administrador delegado.

O recurso que faz diferença para baseline é a implantação automática: conta que entra numa OU-alvo recebe a stack; conta que sai pode ter a stack removida ou mantida; conta que muda de OU troca de stack.

1
2
3
4
5
6
7
8
9
10
11
12
13

# Rodar no administrador delegado do StackSets (ou na conta de gerenciamento)
aws cloudformation create-stack-set \
  --stack-set-name baseline-seguranca \
  --template-body file://baseline.yaml \
  --permission-model SERVICE_MANAGED \
  --auto-deployment Enabled=true,RetainStacksOnAccountRemoval=false \
  --call-as DELEGATED_ADMIN
 
aws cloudformation create-stack-instances \
  --stack-set-name baseline-seguranca \
  --deployment-targets OrganizationalUnitIds=ou-abcd-11111111 \
  --regions us-east-1 sa-east-1 \
  --call-as DELEGATED_ADMIN

Uma lista de partida — adapte aos seus objetivos de controle (lição 9):

• Logs: conta coberta pelo trail da organização e pela gravação do AWS Config, com entrega na Log Archive.
• Detecção: GuardDuty, Security Hub CSPM, IAM Access Analyzer e Inspector habilitados automaticamente pelo administrador delegado para contas novas.
• Contatos: contatos alternativos de segurança, faturamento e operações — que o Organizations permite atualizar centralmente pela conta de gerenciamento ou por um administrador delegado.
• Bloqueio de acesso público: S3 Block Public Access no nível da conta.
• Criptografia padrão do EBS: é configuração por Região, então habilite em todas as Regiões usadas.
• Acesso: só via IAM Identity Center com conjuntos de permissões padrão; sem usuários IAM com chaves de longo prazo.
• Rede: remover a VPC padrão (o AFT tem isso como opção) e ligar a conta à rede central quando necessário.
• Root: sem credenciais root na conta-membro (lição 20).

• Control Tower detecta drift de governança automaticamente — por exemplo, uma SCP gerenciada alterada ou desanexada de uma OU — e notifica por tópicos SNS agregados na conta de auditoria.
• StackSets oferece detecção de drift: compara cada recurso das stacks com o template e os parâmetros; se um recurso mudou fora do CloudFormation, a instância e o StackSet aparecem como drifted.
• AWS Config cobre o resto: regras detectivas apontam a configuração errada mesmo quando ela não foi criada por nenhuma dessas ferramentas.

Um cuidado: ao mover uma conta de OU, controles baseados em SCP e em regras do Config da OU anterior precisam ser removidos manualmente, segundo a documentação do Control Tower.

Account vending transforma criação de conta em produto padronizado. Account Factory, AFC, AFT e CfCT cobrem o caminho dentro do Control Tower; StackSets service-managed com implantação automática estende a baseline a qualquer OU. A baseline inclui logs, detecção, contatos, bloqueios e criptografia padrão — e precisa de detecção de drift para continuar valendo.

Liga duas boas práticas: SEC01-BP01, que cita criação e manutenção automatizada de contas, o Account Factory e o StackSets; e SEC01-BP06, que pede controles padrão como código, autosserviço para os times e detecção de drift. Base anterior: lição 7 e lição 12.

• Provision and manage accounts with Account Factory
• Overview of Account Factory for Terraform (AFT)
• Customizations for AWS Control Tower (CfCT)
• StackSets — implantação automática com Organizations
• Detect and resolve drift in AWS Control Tower