Plan sukcesji konta root AWS
Środowisko AWS może nadal obsługiwać klientów po utracie założyciela, a jednocześnie pozostawać o jedną wiadomość odzyskiwania od utraty kontroli. Problemem rzadko jest wyłącznie hasło. Często skrzynka należy prywatnie do założyciela, telefon jest na jego umowie, istnieje jedno urządzenie MFA, a żaden drugi administrator nie sprawdził dostępu.
Sukcesja zastępuje ten kruchy łańcuch trwałą kontrolą organizacji. Rozdziela codzienną administrację, uprawnienia biznesowe i wyjątkowe odzyskiwanie root.
Rozdziel uprawnienia, własność i dostęp
Użytkownik root ma pełny dostęp. AWS zaleca korzystanie z niego tylko do zadań, które naprawdę go wymagają. Codzienną pracę powinny obsługiwać IAM Identity Center, federacja lub role przypisane konkretnym osobom z poświadczeniami tymczasowymi.
Plan wskazuje, kto może prawnie reprezentować firmę, jaki podmiot jest klientem AWS, jak logują się pracownicy i kto zatwierdza odzyskanie root. Dostęp techniczny sam w sobie nie przenosi własności ani umocowania prawnego.
Zinwentaryzuj konta i zależności
Zapisz ID, adres root, cel, właściciela, płatnika, wsparcie i miejsce każdego konta w AWS Organizations. Oznacz konto zarządzające, konta członkowskie, dostawcę tożsamości, role awaryjne oraz domenę, DNS, pocztę, telefon, sejf haseł, bank i dokumenty prawne.
Jeśli tylko jedna osoba może przedłużyć domenę odbierającą pocztę root, firma nie kontroluje jeszcze odzyskiwania.
Przejmij kanały odzyskiwania
Użyj monitorowanego firmowego aliasu lub listy dystrybucyjnej dla poczty root. Co najmniej dwóch administratorów powinno zarządzać rejestratorem, DNS i odnowieniem domeny. Telefon odzyskiwania też musi należeć do organizacji, wraz z udokumentowaną umową, wymianą urządzenia i pieczą.
AWS zaleca, by pocztę root i telefon kontrolowały różne osoby lub zespoły. Aktualizuj też alternatywne kontakty rozliczeniowe, operacyjne i bezpieczeństwa.
Zbuduj niezależną administrację
Przygotuj dwie oddzielne ścieżki administratorów. Administrator zapasowy musi umieć się zalogować, przejść MFA, przyjąć właściwą rolę i znaleźć procedurę. Nie używaj root do automatyzacji ani wspólnego użytkownika IAM.
Dla root konta samodzielnego lub zarządzającego połącz unikalne hasło, kilka urządzeń MFA, rozdzieloną pieczę i rejestrowane zatwierdzenia. Usuń stałe klucze dostępu root.
Scentralizuj konta członkowskie
AWS Organizations może usunąć stałe hasła, klucze, certyfikaty i MFA kont członkowskich. Uprawnione osoby na koncie zarządzającym lub delegowany administrator IAM mogą używać krótkich, ograniczonych sesji root. Niektóre czynności mogą wymagać tymczasowego przywrócenia odzyskiwania i ponownego usunięcia poświadczeń.
Udokumentuj odpowiedzialnych, dostępne zadania, zatwierdzanie i monitoring. Centralizacja zwiększa znaczenie płaszczyzny zarządzania.
Przetestuj procedurę
Procedura opisuje uruchomienie, osoby uprawnione, inwentarz, opiekunów czynników, wsparcie AWS, rozliczenia i systemy zewnętrzne. Sekrety pozostają w odpowiednim sejfie; dokument tylko wskazuje autoryzowaną drogę do nich.
Co roku zasymuluj brak założyciela. Sprawdź pocztę grupową, telefon, MFA, administratorów zapasowych, płatności, DNS i tożsamość. Powtórz test po odejściach, przejęciach, migracjach domeny lub zmianach Organizations.
Podsumowanie
Dobra sukcesja AWS nie jest kopertą z potężnym hasłem. To system firmowych kanałów, niezależnych administratorów i wyjątkowego dostępu root pod wspólną kontrolą. Zinwentaryzuj konta, usuń prywatne zależności i sprawdź proces przed kryzysem.