Security<\/strong><\/p>\n\n\n\nPer quanto riguarda la tracciabilit\u00e0, \u00e8 d’obbligo centralizzare tutti gli Audit Log provenienti dai vari account AWS. <\/p>\n\n\n\n
Per quanto riguarda la sicurezza delle infrastrutture bisogna cercare di ridurre il pi\u00f9 possibile la superficie di attacco, tenendo privati tutti i dati evitando di esporre al pubblico protocolli di interscambio deboli e vulnerabili.<\/p>\n\n\n\n
Una corretta gestione dei backup dei propri dati e configurazioni \u00e8 fondamentale per tutelarsi da attacchi rivolti contro i nostri servizi.<\/p>\n\n\n\n
Governance e compliance<\/strong><\/p>\n\n\n\nPer poter distribuire centralmente e in maniera standard le configurazioni di base dei vari account \u00e8 imprescindibile l\u2019applicazione del principio dell\u2019Infrastructure-as-Code <\/strong>(IaC<\/strong>) tramite, ad esempio, il servizio CloudFormation Stack Sets<\/strong>. Questa modalit\u00e0 ci permette di controllare centralmente gli stack di configurazione di base dei vari account dell\u2019organization aziendale.<\/p>\n\n\n\nControllo dei costi<\/strong><\/p>\n\n\n\nPer tenere sotto controllo i costi \u00e8 di sicuro importante l\u2019implementazione degli allarmi sui budget<\/strong> definiti per ogni workload o account. <\/p>\n\n\n\nI costi, poi, possono essere ottimizzati con l\u2019applicazione dei Saving Plans<\/strong> che offrono uno sconto a fronte di un impegno almeno annuale e al pi\u00f9 triennale.<\/p>\n\n\n\nDisaster recovery<\/strong><\/p>\n\n\n\nNel caso di aziende con pochi workload \u00e8 meglio partire cercando di ridurre l\u2019impatto del Disaster Recovery sui costi. Per fare questo la strategia corretta \u00e8 quella del Backup&Restore<\/strong>. Vanno individuati i dati e replicati in maniera continua e l\u2019infrastruttura deve venire codificata in modo tale di automatizzare le procedure di ripristino. <\/p>\n\n\n\nLarge IT<\/h2>\n\n\n\n Organization<\/strong><\/p>\n\n\n\nAziende con reparti digital che contano molti team esigono un\u2019organizzazione complessa e molto stratificata. Occorre per\u00f2 evitare che la struttura esploda con il proliferare di troppi account.<\/p>\n\n\n\n
Per quanto riguarda i Foundational account si pu\u00f2 comunque pensare ad un\u2019unica OU principale che conta diversi account divisi fra security, logging, gestione accessi, gestione fatturazione e networking. <\/p>\n\n\n\n
L\u2019alberatura si complica quando si passa alla classificazione dei workload. Va trovato un trade-off fra workload che hanno dignit\u00e0 di essere separati e workload che possono essere raggruppati, perch\u00e8 gli account tendono ad esplodere in presenza di tanti ambienti di sviluppo. <\/p>\n\n\n\n
Per chi vuole fornire ai propri DevOps<\/strong> la possibilit\u00e0 di sperimentare in ambienti sandbox si pu\u00f2 costruire un\u2019Account Vending Machine<\/strong> che sia in grado di fare il provisioning e il deprovisioning automatico di account.<\/p>\n\n\n\nIdentity and Access management<\/strong><\/p>\n\n\n\nAvere una dashboard centralizzata dove gestire i permessi alle varie OU o ai diversi account \u00e8 di certo una necessit\u00e0. Avere una Landing Page per facilitare gli accessi quotidiani di chi deve utilizzare la console \u00e8 d\u2019obbligo. Se aggiungiamo la possibilit\u00e0 di integrarci con il nostro IdP allora il servizio che fa al caso nostro \u00e8 AWS SSO<\/strong>. Con AWS SSO \u00e8 possibile gestire centralmente le identit\u00e0 e la autorizzazioni di accesso alla nostra struttura multi-account.<\/p>\n\n\n\nNetworking<\/strong><\/p>\n\n\n\nPer chi ha una topografia di rete complessa \u00e8 difficile trovare una sintesi esaustiva. Sicuramente Transit Gateway \u00e8 necessario ed \u00e8 anche giusto sottolineare la possibilit\u00e0 di connettere due transit gateway presenti su region e account diversi. <\/p>\n\n\n\n
L\u2019AWS VPN Client<\/strong> si integrata a sua volta con AWS SSO per non dover gestire ulteriori credenziali di accesso. <\/p>\n\n\n\nPer quanto riguarda i nostri uffici o datacenter, al fine di ridurre latenze dovute al continuo trasferimento di dati vanno previsti collegamenti fisici tra le varie sedi e ambienti virtuali. La soluzione \u00e8 creare una rete mesh<\/em> di connessioni fisiche private tramite Direct Connect<\/strong>, supportate da VPN SiteToSite<\/strong> di backup.<\/p>\n\n\n\nIn un\u2019azienda complessa \u00e8 conveniente definire i requisiti di accesso alle reti identificando percorsi che potenzialmente non rispettano i requisiti stessi. Per questo \u00e8 utile sfruttare il servizio Network Access Analyzer<\/strong>.<\/p>\n\n\n\nSecurity<\/strong><\/p>\n\n\n\nAWS Security Hub<\/strong> ci permette di avere una dashboard centralizzata su cui raccogliere e incrociare tutte le nostre metriche basate sulle regole di sicurezza.<\/p>\n\n\n\nGrazie al fatto che viene sfruttato AWS Organization<\/strong>, si dispone Firewall Manager<\/strong> che \u00e8 un unico servizio per creare regole del firewall, creare policy di sicurezza e applicarle in modo coerente e gerarchico all’intera infrastruttura da un account amministratore centrale.<\/p>\n\n\n\nGovernance e compliance<\/strong><\/p>\n\n\n\nNel caso di aziende molto grandi \u00e8 utile fornire un portale self-service dal quale poter mettere in opera configurazioni validate dall\u2019azienda. Service Catalog<\/strong> in tandem con CloudFormation<\/strong> consente di ottenere una governance coerente e di soddisfare i requisiti di conformit\u00e0. <\/p>\n\n\n\nLe procedure vanno supportate dalla raccolta di metriche e con Audit Manager<\/strong>, \u00e8 pi\u00f9 facile valutare se le policy, procedure e i controlli stanno funzionando in modo efficiente.<\/p>\n\n\n\nControllo dei costi<\/strong><\/p>\n\n\n\nLa ripartizione dei costi pu\u00f2 essere fatta tramite il servizio Billing Conductor<\/strong> che permette di creare fatture ad hoc in caso di necessit\u00e0 complesse di ripartizione dei costi del business o dei clienti. <\/p>\n\n\n\nNecessaria \u00e8 una strategia di controllo continuo dei costi che deve passare attraverso un processo di ottimizzazione della parte computazionale (AWS Compute Optimizer<\/strong>) e seguire le raccomandazioni automatiche per i piani di Reservation<\/strong> e per i Saving Plans<\/strong>.<\/p>\n\n\n\nDisaster recovery<\/strong><\/p>\n\n\n\nWorkload critici con requisiti di business continuity stringenti prevedono l\u2019implementazione di una strategia multi-site active-active<\/strong>. Significa avere due workload situati in account e region differenti pronti a ricevere tutto il traffico di produzione, senza creare scenari di split-brain dei dati. <\/p>\n\n\n\nPer concludere<\/h2>\n\n\n\n Il Cloud \u00e8 uno strumento rivoluzionario, ma solo se usato bene; fondamentale \u00e8, quindi, avere un approccio informato e strutturato prima ancora che ai suoi servizi, alle dinamiche che ne stanno alla base. Da non sottovalurare quando si valuta un cambio di paradigma \u00e8 un\u2019adeguata formazione dei team IT finalizzata alla creazione, all\u2019interno dell\u2019azienda, di un Cloud Center of Excellence (CCoE). Questo gruppo deve essere in grado di guidare la trasformazione attraverso scelte strategiche sulla base delle nuove responsabilit\u00e0 e dei nuovi dati a disposizione. <\/p>\n\n\n\n
In questa serie di articoli ci siamo focalizzati sul concetto di Landing Zone, il primo degli aspetti che il CCoE deve essere in grado di comprendere e declinare. La collaborazione tra il CCoE e un partner esperto consente alle aziende di progettare i propri ambienti Cloud nel modo migliore possibile personalizzandolo in base alle esigenze peculiari che ogni azienda ha. Il tutto sempre in ottica evolutiva: come qualsiasi progetto tecnologico, la Landing Zone non \u00e8 un oggetto statico, ma qualcosa di dinamico che va adeguato alla continua mutazione aziendale e del mondo AWS.<\/p>\n","protected":false},"excerpt":{"rendered":"
Negli articoli precedenti abbiamo parlato di che cos\u2019\u00e8 una Landing Zone, perch\u00e9 \u00e8 importante per qualsiasi azienda progettarla e capire […]<\/p>\n","protected":false},"author":5,"featured_media":4714,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[467],"tags":[586,587,581,567],"class_list":["post-4717","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-management-governance","tag-aws-organizations","tag-aws-organizations-it","tag-governance-compliance-it","tag-landing-zone-it"],"yoast_head":"\n
Esempi di implementazione di Landing Zone - Proud2beCloud Blog<\/title>\n \n \n \n \n \n \n \n \n \n \n \n \n\t \n\t \n\t \n \n \n \n \n \n \n\t \n\t \n\t \n