AWS Control Tower

Définition

AWS Control Tower est un service AWS qui automatise la mise en place d'un environnement multi-compte sécurisé et gouverné, basé sur AWS Organizations. Il déploie une landing zone préconfigurée avec les meilleures pratiques AWS intégrées : structure de comptes, guardrails de sécurité (preventive et detective), journalisation centralisée, et tableau de bord de conformité. AWS Control Tower déploie automatiquement plusieurs composants critiques lors de son initialisation : le Management Account (racine), le Log Archive Account (CloudTrail et Config logs centralisés), l'Audit Account (accès en lecture aux findings de sécurité), AWS Config activé dans toutes les régions, CloudTrail multi-région activé dans tous les comptes, et AWS Security Hub avec les standards de sécurité de base. Les guardrails de Control Tower sont des politiques de gouvernance catégorisées en obligatoires (non modifiables), fortement recommandées, et électives. Les guardrails préventifs sont des SCP bloquant des actions dangereuses (interdire la désactivation de CloudTrail, de CloudTrail logging, des régions non autorisées). Les guardrails détectifs sont des règles AWS Config signalant les écarts (MFA non activé, S3 public, chiffrement manquant). Account Factory est le mécanisme de Control Tower pour provisionner de nouveaux comptes AWS conformes de manière automatisée. Account Factory for Terraform (AFT) permet de gérer le provisioning de comptes via Terraform, intégrant les personnalisations de sécurité spécifiques à votre organisation dans le pipeline IaC. L'intégration de Control Tower avec AWS Service Catalog permet aux équipes de provisionner des comptes en self-service dans un catalogue avec des guardrails pré-appliqués, réduisant les délais d'onboarding de semaines à heures tout en maintenant les standards de sécurité.