Ravindra BagaleCourses & study guides English Track your progress

AWS Organizations आणि Control Tower: Multi-Account Landing Zone सोप्या भाषेत

By , trainer LinkedIn Last updated:

पूर्ण society ला एक key = वाईट. Organizations = प्रत्येक flat (account) ला key; society office (management + SCP) नियम. Control Tower = paved roads सह society.

या chapter मध्ये तुम्ही काय शिकाल

  • Multi-account एका जाड account पेक्षा का
  • OU, SCP, management/member
  • Control Tower landing zone
  • Account Factory + guardrails
  • Lab, errors, FAQ, interview

1. आधी रोजचं उदाहरण

हे का लागतं?

एक account: prod+labs+contractor. Demo AdminAccess विसरले. Blast radius = सर्व. वेगळे accounts = आग एका flat पुरती.

हे काय आहे?

Organizations = accounts + OUs. SCPs = कमाल permissions. Control Tower = landing zone + guardrails + Account Factory.

Landing zone sketchManagementOUs: Security/Sandbox/ProdOU वर SCPsLog archive + Audit
Management account वर apps नको.

2. मुख्य शब्द

Wordअर्थPicture
Management accountOrg rootSociety office
Member accountWorkload accountएक flat
OUAccounts ची folderBuilding wing
SCPIAM वर कमाल मर्यादाSociety bylaws
Control TowerLanding zone setupTownship builder
Account Factoryनवीन accounts व्हेंडिंगनवीन key

3. SCP mental model

IAM = principal ला काय करता येईल. SCP = account ला काय allow करता येईल. AdminAccess सुद्धा Deny SCP मोडत नाही. आधी sandbox OU.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "DenyLeaveOrg",
    "Effect": "Deny",
    "Action": ["organizations:LeaveOrganization"],
    "Resource": "*"
  }]
}

Ravindra Bagale's Tip

पहिलं SCP Prod OU वर नको. Sandbox मध्ये मोडा.

4. Industries

  • Enterprise: BU OUs + regulated prod.
  • SaaS: env accounts.
  • Agencies: client OU + spend SCP.
  • Edtech: student OU + region deny.
  • Banks: Security + Log Archive.

5. Mini lab outline (org-safe)

Org block नसेल तर ap-south-1 (Mumbai). आधी budget alert.

कसं करायचं (step by step)

  1. Org admin नसेल तर docs; work payer वर without approval org नको.
  2. Personal training payer (allow असेल) → Org + Sandbox OU.
  3. Mild SCP Sandbox ला.
  4. Member → Sandbox.
  5. Org trail → log archive.

Cleanup (billing थांबवा)

  1. Test SCPs काढा.
  2. Management delete नको.

6. सामान्य errors आणि fixes

प्रत्येक row = खरी चूक. Panic करण्याआधी fix वाचा.

Error / लक्षणFix
SCP सर्व ब्लॉकBreak-glass + test.
Management वर appsMember accounts.
OU spaghettiआधी कागदावर.
CT driftReview.
Email reuseUnique emails.
फक्त SCP AllowIAM अजून लागतं.
Log archive नाहीआधीच बनवा.
Region खूप घट्टGlobal services.
Invite pendingEmail/handshake/quota.
Billing surpriseConsolidated billing समजा.

7. Troubleshooting checklist

  1. Management sign-in.
  2. describe-organization.
  3. Sandbox first.
  4. CT regions.
  5. Support आधी IDs.

8. FAQ

प्र. मोफत?

Feature मोफत; resources bill.

प्र. CT सक्ती?

नाही — पण safe baseline जलद.

प्र. SCP vs boundary?

OU/account vs per-principal.

प्र. Move accounts?

OUs मध्ये हो.

प्र. किती accounts?

Automation सह अनेक छोटे.

9. Interview Q&A

प्र. Multi-account का?

Blast radius + billing + security.

प्र. SCP?

Maximum ceiling — grant करत नाही.

प्र. Management?

Governance — apps नको.

प्र. Control Tower?

Landing zone + guardrails + Factory.

प्र. Log Archive?

Central org logs.

प्र. Break-glass?

Emergency path — monitored.

10. Tips — English, मराठी आणि हिंदी

Ravindra Bagale's Tip (EN)

Draw the OU tree before you click Create Organization.

Ravindra Bagale's Tip (MR)

Create Organization आधी OU tree काढा.

Tip (HI)

Organization बनाते से पहले OU ट्री कागज़ पर बनाओ।

घरी करून बघा

  1. Security/Sandbox/Prod OU sketch.
  2. एक SCP English मध्ये.
  3. Delegated security admin कोण.

थोडक्यात सांगायचं तर

  1. Organizations = accounts+OUs+SCPs.
  2. Control Tower = landing zone.
  3. Management वर apps नको.
  4. SCP आधी Sandbox.

उजळणी, मुलाखत आणि तुलना cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

उजळणी card: AWS Organizations म्हणजे काय?. एक account = risk + messy bill. Accounts + OUs + billing + SCPs. Org → accounts → OUs. Separate Explorer; one payer.
उजळणी card: AWS Organizations म्हणजे काय? · PNG download करा · Card page उघडा
उजळणी card: Service Control Policies. Lab ला CloudTrail बंद करता कामा नये. SCP = max permissions guardrail. Deny leave + deny disable Trail. Admin सुद्धा Trail बंद करू शकत नाही.
उजळणी card: Service Control Policies · PNG download करा · Card page उघडा
उजळणी card: Control Tower म्हणजे काय?. Landing zone हाताने = weeks. Landing zone + guardrails + Account Factory. Launch → Account Factory. Log Archive + guardrails.
उजळणी card: Control Tower म्हणजे काय? · PNG download करा · Card page उघडा
उजळणी card: Multi-account कधी. लवकर multi = tickets; कधीच नाही = blast radius. Blast radius / security / bill-by-team. Sandbox + Workloads + Security. Sandbox ↛ prod data.
उजळणी card: Multi-account कधी · PNG download करा · Card page उघडा
उजळणी card: Consolidated billing. १२ invoices + discounts miss. One payer; per-account Explorer. Management ≈ empty of apps. One bill; chargeback via tags/accounts.
उजळणी card: Consolidated billing · PNG download करा · Card page उघडा
तुलना: SCP vs IAM policy. SCP: Org ceiling; काही grant नाही. IAM policy: Account आत grant/deny.
तुलना: SCP vs IAM policy · PNG download करा · Card page उघडा
तुलना: Organizational Unit vs Account. Organizational Unit: Accounts ची folder + shared SCPs. Account: Bill/isolation boundary.
तुलना: Organizational Unit vs Account · PNG download करा · Card page उघडा
मुलाखत card: Multi-account का?. Blast radius + isolation + billing. SCP guardrails. SCP blocks disable Trail.
मुलाखत card: Multi-account का? · PNG download करा · Card page उघडा
मुलाखत card: SCP access देते का?. SCP = ceiling, grant नाही. IAM अजूनही हवे. SCP allow ≠ IAM allow.
मुलाखत card: SCP access देते का? · PNG download करा · Card page उघडा
मुलाखत card: Control Tower एका ओळीत?. Landing zone + guardrails + Factory. Hand-built पेक्षा जलद सुरक्षित सुरुवात. Factory → Sandbox + logging.
मुलाखत card: Control Tower एका ओळीत? · PNG download करा · Card page उघडा
मुलाखत card: OUs कसे रचाल?. SDLC/function OUs + SCPs. Flat list टाळा. Sandbox SCP limits.
मुलाखत card: OUs कसे रचाल? · PNG download करा · Card page उघडा

अजून cards: Ravi Sir's Cards.

सराव Tasks

या scenario बद्दल

Nairobi Ride हा नैरोबी मधला वाहतूक व्यवसाय आहे. Wanjiru Kamau त्यांचं IT व cloud काम पाहतात. त्यांचे पैसे KES मध्ये मोजले जातात आणि AWS resources af-south-1 Region मध्ये चालतात. खालच्या tasks मध्ये तुम्ही या lesson मध्ये शिकलेलं वापरून त्यांची खरी कामं करता. सगळी नावं, account IDs, IP addresses व numbers सरावासाठी काल्पनिक आहेत.

0 / 16

सोपं Organization describe

का: Management account.

काय करायचं: Organization describe.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं Accounts दाखवा

का: Org inventory.

काय करायचं: Organization मधली accounts.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं Roots दाखवा

का: Root = top.

काय करायचं: Roots दाखवा.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं SCP policies

का: Guardrails.

काय करायचं: SERVICE_CONTROL_POLICY list.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

सोपं Management accounts

का: एक management.

काय करायचं: Organization ला किती management accounts?

कसं करायचं:
  1. Task मधले numbers लिहून घ्या.
  2. कागदावर step by step काढा.
  3. Box मध्ये फक्त final उत्तर लिहा.
  4. Check answer दाबा.

सोपं एक OU वर SCPs

का: Limits.

काय करायचं: 3 SCPs = number?

कसं करायचं:
  1. Task मधले numbers लिहून घ्या.
  2. कागदावर step by step काढा.
  3. Box मध्ये फक्त final उत्तर लिहा.
  4. Check answer दाबा.

सोपं Account चे parents

का: कोणती OU.

काय करायचं: child 104591109902 चे parents.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम Parent च्या OUs

का: Landing zone structure.

काय करायचं: parent nairobiride-root च्या OUs.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम OU बनवा

का: Workloads group.

काय करायचं: parent nairobiride-root खाली OU Workloads.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम Account OU मध्ये

का: नवीन accounts.

काय करायचं: account 104591109902 nairobiride-root → ou-nairobiride.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम Policy describe

का: SCP content.

काय करायचं: policy p-nairobiride.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

मध्यम CT core OUs

का: Security व Sandbox.

काय करायचं: Security+Sandbox = किती?

कसं करायचं:
  1. Task मधले numbers लिहून घ्या.
  2. कागदावर step by step काढा.
  3. Box मध्ये फक्त final उत्तर लिहा.
  4. Check answer दाबा.

अवघड Account बनवा

का: Account Factory.

काय करायचं: Email nairobiride@example.com AccountName nairobiride-app.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

अवघड OU ला policy

का: SCP लागू.

काय करायचं: policy p-nairobiride → ou-nairobiride.

कसं करायचं:
  1. Task वाचा आणि ते कोणत्या AWS service बद्दल आहे ते ठरवा.
  2. aws लिहा, मग service चं नाव, मग operation (action शब्द).
  3. प्रत्येक आवश्यक flag (--name) व त्यापुढे task मधली value लिहा.
  4. Flags कोणत्याही क्रमाने चालतात. Check answer दाबा.

अवघड SCP: org सोडण्यास मना

का: Account exit रोखा.

काय करायचं: Deny LeaveOrganization on *.

कसं करायचं:
  1. { "Version": "2012-10-17", "Statement": [ ... ] } ने सुरू करा.
  2. प्रत्येक statement मध्ये Effect, Action व Resource लिहा.
  3. Task ला लागेल तेवढंच द्या (least privilege).
  4. Double quotes व commas नीट वापरा. Check answer दाबा.

अवघड SCP फक्त ap-south-1

का: Region guardrail.

काय करायचं: Deny * when region not ap-south-1.

कसं करायचं:
  1. Task मधल्या top-level keys पासून सुरू करा.
  2. Child keys 2 spaces ने indent करा (tabs नकोत).
  3. प्रत्येक property मध्ये task मधली value भरा.
  4. Check answer दाबा. Keys चा क्रम महत्त्वाचा नाही.

सगळे सराव tasks Task Hub मध्ये पाहा →