5、AWS账户设置与管理指南

AWS账户设置与管理指南

1. AWS Control Tower基础

AWS Control Tower是一项有助于组织多账户环境的服务。它通过创建一组护栏（guardrails）来实现这一目标，这些护栏是治理规则的集合，规定了在此环境中创建的账户的默认操作和安全态势。它利用AWS SSO管理用户目录，无论是自管理目录还是本地Active Directory安装。同时，AWS Organizations和AWS Service Catalog为用户提供账户工厂，使用户能够创建自动符合公司最佳实践的账户。

当你创建公共存储桶时，S3控制台会明显提示，因为这被视为不良做法。之后，你需要退出控制台和SSO，再以管理员身份重新登录。如果自定义组织单元（OU）上的护栏有足够时间传播，你可以返回护栏屏幕，在“不符合规定的资源”下看到警告。

此时，你已在AWS上创建了安全、适合企业的账户基础。若不打算继续使用这些账户，务必清理各账户中的资源，以免产生未来费用。

2. Control Tower创建的账户类型

Control Tower在启动新环境时会创建多种账户，每种账户都有其特定作用：
| 账户类型 | 描述 |
| ---- | ---- |
| 主账户（Master Account） | 是多账户环境中所有协调工作的核心。需格外注意该账户的用户访问权限，因为在此账户中的操作可能会影响所有子账户。 |
| 日志存档账户（Log Archive Account） | 保存AWS CloudTrail和AWS Config日志的副本，作为每个预配置账户中用于操作目的日志副本的安全备份。将这些日志存储在仅审计人