Muchas cuentas: Organizations y Control Tower

Una sola cuenta para todo funciona al principio. Después, desarrollo y producción comparten permisos, un error en pruebas borra datos reales y la factura no dice qué equipo gastó qué. La práctica recomendada es separar en varias cuentas y gobernarlas desde un solo lugar.

Por qué varias cuentas

• Aislamiento: un error o un incidente en una cuenta no alcanza a las demás. La cuenta es el límite de seguridad más fuerte de AWS.
• Permisos más simples: en la cuenta de desarrollo todos pueden experimentar; en producción, casi nadie toca nada.
• Costos claros: cada cuenta trae su propio gasto, por equipo, proyecto o cliente.
• Cuotas separadas: muchas cuotas de servicio son por cuenta y región; un equipo no se come las del otro.
• Cumplimiento: las cargas con datos regulados quedan en cuentas con controles más estrictos.

AWS Organizations: cuentas, OU y políticas

Una organización tiene una cuenta de administración (la que la creó y paga) y cuentas miembro. Las cuentas se agrupan en unidades organizativas (OU), que se pueden anidar: por ejemplo, una OU «Producción», otra «Desarrollo» y otra «Seguridad». Las políticas que pegas a una OU se heredan hacia abajo.

Las políticas de control de servicios (SCP) fijan el máximo de permisos que puede tener cualquier identidad dentro de las cuentas afectadas, incluido su usuario raíz. Ejemplos: «nadie puede usar regiones fuera de us-east-1 y sa-east-1», «nadie puede apagar CloudTrail», «nadie puede salir de la organización».

Organizations tiene otros tipos de políticas, como las de etiquetas, las de respaldo y las políticas de control de recursos (RCP), que ponen el techo desde el lado de los recursos. Para el CLF-C02, la protagonista es la SCP.

Facturación consolidada

Todas las cuentas de la organización llegan en una sola factura a la cuenta de administración, con el detalle por cuenta. Y hay beneficios concretos:

• Descuentos por volumen: el uso de todas las cuentas se suma para alcanzar antes los niveles de precio más bajos, como en S3 o en transferencia de datos.
• Descuentos compartidos: las Reserved Instances y los Savings Plans que compra una cuenta pueden aplicarse al uso de otras cuentas de la organización. Se puede desactivar por cuenta.
• Un solo método de pago y un solo lugar para presupuestos y reportes de costos.

Más sobre costos en Controlar costos y Modelos de precio.

AWS Control Tower y AWS RAM

Montar bien una organización tiene muchos pasos: cuentas de registro y de auditoría, CloudTrail centralizado, SCP básicas, acceso con Identity Center. AWS Control Tower lo automatiza.

• 

  AWS Organizations

  La constructora y su reglamento

  Agrupa cuentas en OU, aplica SCP y otras políticas, y consolida la facturación.
• 

  AWS Control Tower

  El plano maestro para construir conjuntos iguales

  Crea una landing zone (un entorno multicuenta con buenas prácticas), aplica controles y fabrica cuentas nuevas ya configuradas con Account Factory. Un panel muestra qué cuentas cumplen.
• 

  AWS Resource Access Manager

  Prestar la cancha a otro conjunto

  Comparte recursos entre cuentas sin copiarlos: subredes de una VPC, un Transit Gateway, reglas de Route 53 Resolver, entre otros.
• 

  AWS IAM Identity Center

  El portal de empleados

  El acceso de las personas a todas las cuentas. Control Tower lo configura al crear la landing zone.

Los controles de Control Tower (antes llamados guardrails) son reglas de gobierno de tres tipos: preventivos, que impiden una acción (se implementan con SCP); detectivos, que avisan cuando algo no cumple (con reglas de AWS Config); y proactivos, que revisan los recursos antes de crearlos con CloudFormation.