AWS Organizations

Définition

AWS Organizations est un service permettant de regrouper plusieurs comptes AWS sous une hiérarchie managée centralement. Il permet de créer des comptes AWS programmatiquement, de les organiser dans une structure d'unités organisationnelles (OU - Organizational Units), d'appliquer des Service Control Policies (SCP) et de consolider la facturation. AWS Organizations est la base de toute architecture multi-compte AWS sécurisée. L'architecture multi-compte AWS recommandée par AWS (via Control Tower et le compte de gestion) comprend plusieurs types de comptes spécialisés : le Management Account (racine de l'organisation, à protéger strictement), le Log Archive Account (journalisation centralisée immuable), le Security Account (agrégation des findings de sécurité via AWS Security Hub), le Shared Services Account (services partagés : DNS, Active Directory, outils de déploiement), et les comptes Workload organisés par environnement (Dev, Staging, Production) ou par équipe métier. Les avantages de sécurité d'AWS Organizations sont multiples. L'isolation par compte fournit une barrière naturelle entre les workloads : une compromission dans un compte applicatif ne se propage pas automatiquement aux autres comptes. Les SCP permettent d'établir des guardrails de sécurité s'appliquant à tous les comptes d'une OU : interdire la désactivation de CloudTrail, restreindre les régions autorisées, bloquer la création de ressources publiques, etc. La gouvernance des accès dans une organisation AWS nécessite AWS SSO (maintenant IAM Identity Center) pour fournir un accès centralisé à tous les comptes depuis un IdP unique. Les utilisateurs s'authentifient une fois et peuvent accéder à n'importe quel compte AWS avec les permissions appropriées, sans gérer de credentials par compte. AWS Control Tower automatise la mise en place d'une landing zone multi-compte sécurisée avec des guardrails pré-configurés alignés sur les meilleures pratiques AWS et les benchmarks CIS.