CasiScenario
Da un account a una landing zone
Una scaleup SaaS con tutto in un solo account AWS deve superare l'audit di un cliente enterprise.
Scenario tipo: non è il racconto di un cliente, è come imposterei un progetto di questo genere. I numeri sono indicativi.
01Il contesto
Una scaleup SaaS di 40 persone ha produzione, sviluppo e prove nello stesso account AWS, con utenti IAM e chiavi statiche. Un cliente enterprise chiede evidenze ISO 27001 prima di firmare.
02La decisione
Control Tower con tre OU (Security, Workloads, Sandbox) e un account per ambiente. Accesso solo con IAM Identity Center collegato al provider aziendale, niente più utenti IAM. SCP che bloccano le regioni fuori UE e la disattivazione di CloudTrail. Log di tutti gli account in un Log Archive con S3 Object Lock. Nuovi account creati con Account Factory for Terraform, così la configurazione è codice e passa da revisione.
Alternative scartate
- Organizations configurato a mano senza Control Tower: meno vincoli, ma tutta la manutenzione dei guardrail resta al team.
- Un account per team invece che per ambiente: utile più avanti, oggi moltiplica i costi fissi senza un beneficio per l'audit.
03Il risultato atteso
- Nuovo account prontocirca 30 minuti invece di giorni
- Chiavi IAM statichenessuna
- Evidenze per l'auditda un solo account, sempre aggiornate
- Costo aggiuntivoqualche decina di euro al mese, soprattutto Config e log
04Cosa rifarei diversamente
Deciderei naming e tag prima di creare il primo account. Cambiarli dopo costa più di tutto il resto.
Hai un problema simile? Mandami i tuoi numeri e ti dico come lo imposterei.