AWS Landing Zone: Was sie ist und wie Sie eine bauen, die Bestand hat
Eine Landing Zone ist das Fundament, auf dem jeder AWS-Workload steht. Machen Sie es richtig, starten neue Projekte in Tagen. Machen Sie es falsch, können die Folgen Sie jahrelang begleiten.
Das Fundament hinter einer gut geführten AWS-Umgebung
Eine gute Landing Zone macht AWS leichter beherrschbar, während Ihre Umgebung wächst. Teams wissen, wohin neue Projekte gehören, Security Reviews werden berechenbarer, und neue AWS-Konten lassen sich in Stunden statt in Wochen bereitstellen.
Ohne dieses Fundament häufen sich Probleme leise an. Konten entstehen ad hoc, Logs liegen verstreut, IAM ist in jedem Konto anders konfiguriert, und die Antwort auf eine einfache Compliance-Frage braucht eine Tabellenkalkulation. Die Workloads laufen zwar weiter, doch jedes neue Projekt erhöht die Komplexität.
Was eine AWS Landing Zone tatsächlich ist
AWS definiert eine Landing Zone als gut strukturierte Multi-Account-Umgebung, die einen Ausgangspunkt für die Bereitstellung von Workloads bietet. Sie legt die Grundlage für Kontenstruktur, Identität und Zugriff, Governance, Datensicherheit, Netzwerk und Protokollierung fest, bevor darauf Workloads bereitgestellt werden.
Zwei Punkte sind der Klarheit halber wichtig, weil die Begriffe leicht verwirren. Erstens ist eine Landing Zone ein Muster, kein Produkt. Zweitens ist die ursprüngliche AWS-Landing-Zone-Lösung ein eigenständiges Produkt, das sich heute im Long-Term Support befindet und keine neuen Funktionen mehr erhält. AWS empfiehlt den Wechsel zu AWS Control Tower, der beim Aufbau und der Steuerung einer Landing Zone als Managed Service hilft.
Was Sie konkret erhalten
Eine Control-Tower-Landing-Zone ist in rund 30 Minuten eingerichtet. Sie erstellt eine AWS-Organizations-Hierarchie, richtet IAM Identity Center für den Zugriff ein und stellt drei gemeinsam genutzte Konten bereit: ein Management-Konto, ein Log-Archiv-Konto, das CloudTrail- und Config-Logs der verwalteten Konten zentralisiert, und ein Audit-Konto für Security- und Compliance-Werkzeuge.
Die Control-Ebene hilft anschliessend, Ihre Grundkonfiguration durchzusetzen. Präventive Controls blockieren Aktionen mit Service Control Policies, bevor sie stattfinden. Detektivische Controls erkennen nicht konforme Ressourcen über AWS-Config-Regeln. Proaktive Controls verhindern mit CloudFormation Hooks, dass nicht konforme Ressourcen überhaupt entstehen. Account Factory stellt neue Konten dann mit derselben Grundkonfiguration bereit.
Vier Entscheidungen, die sich kaum revidieren lassen
Die meisten Landing-Zone-Probleme lassen sich auf wenige frühe Entscheidungen zurückführen.
- Ihre Home Region. Sie wird beim Erstellen der Landing Zone festgelegt und lässt sich später nicht mehr ändern. Wählen Sie die Region, in der die meisten Ihrer Workloads und Daten liegen werden.
- Ihr OU-Design. Ordnen Sie OUs nach Funktionen und gemeinsamen Controls, nicht nach Ihrer Berichtsstruktur. Beginnen Sie mit grundlegenden OUs für Security und Infrastruktur und ergänzen Sie Workload-OUs nach Bedarf. Konten später zu verschieben bedeutet oft, Berechtigungen und Controls zu entwirren.
- Was im Management-Konto läuft. Die Antwort sollte so nah wie möglich an „nichts“ liegen.
- Ihre AWS-Config-Konfiguration. Config rechnet pro Konfigurationselement ab, und kurzlebige Workloads wie Spot Instances oder EMR-Jobs erzeugen laufend welche. Die Landing Zone aktuell zu halten ist ebenfalls wichtig, denn neuere Versionen behandeln globale Ressourcen anders und erfassen sie nur in der Home Region.
Erweitern, ohne es zu zerbrechen
Eine Standard-Landing-Zone ist ein Ausgangspunkt, keine fertige Plattform. Die meisten Organisationen brauchen mit der Zeit mehr – etwa eine eigene Netzwerktopologie, zusätzliche Compliance-Frameworks oder Ressourcen, die automatisch in jedes neue Konto ausgerollt werden.
Drei AWS-Optionen erweitern Control Tower, statt ihn zu ersetzen. Customizations for AWS Control Tower rollt CloudFormation-Vorlagen und Richtlinien als Reaktion auf Lifecycle-Ereignisse der Landing Zone aus. Account Factory for Terraform gibt Terraform-Teams einen GitOps-basierten Bereitstellungsprozess. Landing Zone Accelerator ergänzt Unterstützung für regulierte Workloads und komplexere Compliance-Anforderungen.
Das Vorgehen ist einfach: Control Tower als Fundament nutzen und dann erweitern, wenn die Anforderungen wachsen.
Einmal bauen – und am Leben halten
Eine Landing Zone ist kein Projekt mit Enddatum. Controls ändern sich, AWS veröffentlicht neue Landing-Zone-Versionen, Konten driften auseinander, und eine Struktur, die für 40 Konten funktioniert hat, gerät bei 400 ins Wanken. Die Organisationen, die den grössten Nutzen aus ihrer Landing Zone ziehen, behandeln sie als Produkt mit einem Verantwortlichen – nicht als einmal erledigte Einrichtungsaufgabe.
Trustsoft entwirft, baut und betreibt als AWS Premier Tier Services Partner AWS Landing Zones. Ob Sie mit einem einzigen Konto starten oder jahrelangen Cloud-Wildwuchs aufräumen: Entdecken Sie unseren Service Landing Zone oder sprechen Sie mit unserem Team.
