Efterträdarplanering för AWS-rootkontot
En AWS-miljö kan fortsätta betjäna kunder efter att grundaren försvunnit och ändå vara ett enda återställningsmejl från att förlora kontrollen. Risken är sällan bara ett lösenord. Ofta äger grundaren brevlådan, telefonen ligger på ett privat abonnemang, det finns en MFA-enhet och ingen reservadministratör har testat sin åtkomst.
Efterträdarplanering ersätter den bräckliga kedjan med varaktig organisatorisk kontroll. Den skiljer daglig administration, företagsbehörighet och exceptionell rootåterställning åt.
Skilj behörighet, ägande och åtkomst
Rootanvändaren har full åtkomst. AWS rekommenderar att den bara används för uppgifter som verkligen kräver root. IAM Identity Center, federation eller roller för namngivna personer med tillfälliga uppgifter bör hantera det vanliga arbetet.
Planen anger vem som lagligen får företräda företaget, vilken enhet som är AWS-kund, hur personal loggar in och vem som godkänner rootåterställning. Teknisk åtkomst överför inte i sig ägande eller juridisk behörighet.
Inventera konton och beroenden
Dokumentera konto-ID, root-e-post, syfte, ägare, betalare, support och plats i AWS Organizations. Markera hanteringskonto, medlemskonton, identitetsleverantör, nödroller och externa beroenden som domän, DNS, e-post, telefon, valv, bank och juridiska dokument.
Om bara en person kan förnya domänen som tar emot rootmeddelanden är återställningen ännu inte under verklig företagskontroll.
Kontrollera återställningskanalerna
Använd ett övervakat företagsalias eller en distributionslista för root-e-post. Minst två behöriga administratörer bör kunna hantera registrar, DNS och domänförnyelse. Återställningstelefonen ska också ägas av organisationen, med abonnemang, ersättning och förvaring dokumenterade.
AWS rekommenderar att rootmejl och återställningstelefon kontrolleras av olika personer eller team. Håll även alternativa kontakter för fakturering, drift och säkerhet aktuella.
Bygg oberoende administration
Förbered minst två separata administratörsvägar. Reservadministratören måste kunna logga in, klara MFA, anta rätt roll och hitta rutinen. Använd inte root för automatisering och dela inte IAM-användare.
För root på ett fristående konto eller hanteringskonto kombinerar ni ett unikt lösenord, flera MFA-enheter, delad förvaring och loggade godkännanden. Ta bort permanenta rootåtkomstnycklar.
Centralisera medlemskonton
AWS Organizations kan ta bort permanenta lösenord, nycklar, certifikat och MFA från medlemskonton. Behöriga i hanteringskontot eller en delegerad IAM-administratör kan använda korta, begränsade rootsessioner för uppgifter som stöds. Andra åtgärder kan kräva tillfällig återställning och därefter ny borttagning av uppgifterna.
Dokumentera ansvariga, tillgängliga uppgifter, godkännande och övervakning. Centralisering gör hanteringsplanet särskilt kritiskt.
Testa rutinen
Rutinen beskriver aktivering, behöriga personer, inventering, förvarare, AWS Support, fakturering och externa system. Hemligheter stannar i ett lämpligt valv; dokumentet visar bara hur behöriga hittar dem.
Simulera varje år att grundaren är otillgänglig. Kontrollera gruppmejl, telefon, MFA, reservadministratörer, betalningar, DNS och identitet. Upprepa efter avgångar, förvärv, domänflyttar eller förändringar i Organizations.
Slutsats
Tillförlitlig AWS-efterträdarplanering är inte ett kuvert med ett kraftfullt lösenord. Det är ett system av företagskanaler, oberoende administratörer och exceptionell rootåtkomst under delad kontroll. Inventera kontona, ta bort personliga beroenden och testa processen före nödläget.