AWS Organizations
Servicio de gestión de cuentas que administra centralmente múltiples cuentas AWS como una organización, aplicando control mediante facturación consolidada y políticas de control de servicios
Descripción general
AWS Organizations es un servicio que gestiona centralmente múltiples cuentas AWS como una organización. Proporciona facturación consolidada, políticas de control de servicios (SCP) para establecer barreras de protección, y gestión jerárquica mediante unidades organizativas (OU). Permite aplicar gobernanza a escala mientras se mantiene el aislamiento de seguridad y facturación entre cuentas.
Diseño de barreras de protección con SCP y relación con IAM
Las políticas de control de servicios (SCP) definen los permisos máximos disponibles para las cuentas miembro. A diferencia de las políticas IAM que otorgan permisos, las SCP establecen límites superiores: incluso si una política IAM otorga un permiso, si la SCP lo deniega, la acción se bloquea. Este modelo de doble barrera permite que los equipos de plataforma establezcan límites organizacionales mientras los equipos de aplicación gestionan sus propios permisos IAM dentro de esos límites. Las SCP se aplican jerárquicamente: las políticas en la raíz afectan a toda la organización, las de OU afectan a las cuentas en esa OU, y se pueden adjuntar directamente a cuentas individuales. Las estrategias comunes incluyen denegar regiones no aprobadas, prevenir la desactivación de CloudTrail y restringir tipos de instancia EC2 a los aprobados.
Diseño de estructura de OU y uso de administradores delegados
La estructura de unidades organizativas (OU) refleja la estrategia de gobernanza de la organización. Los patrones comunes incluyen separación por entorno (Producción, Desarrollo, Sandbox), por función (Seguridad, Infraestructura, Cargas de trabajo) o híbridos. La cuenta de gestión debe usarse exclusivamente para la administración de la organización, no para cargas de trabajo. Los administradores delegados permiten que cuentas específicas gestionen servicios como Security Hub, GuardDuty o Config sin requerir acceso a la cuenta de gestión. Esto sigue el principio de mínimo privilegio a nivel organizacional. Las OUs anidadas permiten políticas granulares, pero la profundidad excesiva complica la resolución de problemas de permisos.
Facturación consolidada y diseño de compartición de RI/Savings Plans
La facturación consolidada agrega los cargos de todas las cuentas miembro en una sola factura, simplificando la gestión financiera. Los descuentos por volumen se aplican al uso agregado, beneficiando a toda la organización. Las instancias reservadas (RI) y Savings Plans se comparten automáticamente entre cuentas de la organización, maximizando la utilización. Sin embargo, esta compartición puede desactivarse si se requiere atribución de costos estricta por cuenta. Las etiquetas de asignación de costos permiten rastrear gastos por proyecto, equipo o entorno independientemente de la estructura de cuentas. Cost Explorer proporciona vistas a nivel de organización para identificar tendencias y anomalías de gasto entre cuentas.