Seminar AWS AFO Multi-Account- und Multi-Region-Implementierung

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar plant und implementiert eine skalierbare AFO-Landschaft mit zentraler Steuerung, regionalen Beweis- und Ausführungspfaden, standardisierter Kontoanbindung und belastbaren Betriebsgrenzen.

Der fachliche Schwerpunkt liegt auf produktionsnahe AFO-Implementierung über mehrere Konten und Regionen. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Vier Tage sind notwendig, weil Organisationsdesign, regionale Datenhaltung, Cross-Account-Berechtigungen, standardisierte Rollouts, Failover-Entscheidungen und eine mehrstufige Integrationsübung gemeinsam umgesetzt werden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für produktionsnahe AFO-Implementierung über mehrere Konten und Regionen fachlich einordnen;
• Organisations- und Kontenlandkarte in einen kontrollierten AFO-Prozess überführen;
• Regionalisierungs- und Datenresidenzmodell mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Zentrale und regionale Architekturvarianten anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Cross-Account-IAM und KMS im Maßstab systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Organisations- und Kontenlandkarte

Organisationseinheiten, Security-Hub-Administration, Forensik-Konten, Anwendungskonten, Delegated Administration und Zuständigkeiten werden erhoben.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Organisations- und Kontenlandkarte“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn organisationseinheiten, Security-Hub-Administration, Forensik-Konten, Anwendungskonten, Delegated Administration und Zuständigkeiten werden erhoben. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Regionalisierungs- und Datenresidenzmodell

Finding-Aggregation, regionale Ausführung, Beweisspeicher, KMS-Schlüssel, Snapshot-Kopien, Analyseorte und rechtliche Grenzen werden entschieden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Regionalisierungs- und Datenresidenzmodell“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn finding-Aggregation, regionale Ausführung, Beweisspeicher, KMS-Schlüssel, Snapshot-Kopien, Analyseorte und rechtliche Grenzen werden entschieden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Zentrale und regionale Architekturvarianten

Ein zentrales Forensik-Konto, regionale Forensik-Konten und hybride Modelle werden anhand von Latenz, Resilienz, Kosten und Isolation verglichen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Zentrale und regionale Architekturvarianten“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ein zentrales Forensik-Konto, regionale Forensik-Konten und hybride Modelle werden anhand von Latenz, Resilienz, Kosten und Isolation verglichen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Cross-Account-IAM und KMS im Maßstab

Rollen, Trust Policies, Organisationsbedingungen, Key Policies, Grants, Namensstandards und Rezertifizierung werden als wiederverwendbare Muster umgesetzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Cross-Account-IAM und KMS im Maßstab“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn rollen, Trust Policies, Organisationsbedingungen, Key Policies, Grants, Namensstandards und Rezertifizierung werden als wiederverwendbare Muster umgesetzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Security-Hub- und EventBridge-Topologie

Aggregator, Regionsrouting, Event Buses, Regeln, Eingabetransformation, Deduplizierung und kontrollierte Weiterleitung werden implementiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Security-Hub- und EventBridge-Topologie“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn aggregator, Regionsrouting, Event Buses, Regeln, Eingabetransformation, Deduplizierung und kontrollierte Weiterleitung werden implementiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Standardisierte Kontoanbindung

CDK-Stacks, Pipeline- oder StackSet-Muster, Parameter, Tags, Vorbedingungen, Abnahme und Abweichungsmanagement werden für neue Konten entwickelt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Standardisierte Kontoanbindung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn cDK-Stacks, Pipeline- oder StackSet-Muster, Parameter, Tags, Vorbedingungen, Abnahme und Abweichungsmanagement werden für neue Konten entwickelt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Beweisdaten und Lifecycle über Regionen

S3- und Snapshot-Speicherung, Verschlüsselung, Replikationsentscheidungen, Retention, Zugriffswege und Wiederherstellung werden pro Datenklasse gestaltet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Beweisdaten und Lifecycle über Regionen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn s3- und Snapshot-Speicherung, Verschlüsselung, Replikationsentscheidungen, Retention, Zugriffswege und Wiederherstellung werden pro Datenklasse gestaltet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. Skalierung, Quotas und Parallelität

Vorfallspitzen, Lambda- und Step-Functions-Kapazität, Snapshot-Grenzen, Analyseinstanzen, IP-Bedarf und regionale Serviceverfügbarkeit werden dimensioniert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Skalierung, Quotas und Parallelität“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn vorfallspitzen, Lambda- und Step-Functions-Kapazität, Snapshot-Grenzen, Analyseinstanzen, IP-Bedarf und regionale Serviceverfügbarkeit werden dimensioniert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

9. Resilienz und Wiederanlauf

Ausfall einer Region, nicht erreichbare Anwendungskonten, verzögerte Findings, unvollständige Kopien und manuelle Ersatzverfahren werden als Szenarien geprobt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Resilienz und Wiederanlauf“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ausfall einer Region, nicht erreichbare Anwendungskonten, verzögerte Findings, unvollständige Kopien und manuelle Ersatzverfahren werden als Szenarien geprobt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

10. Rollout, Abnahme und Governance

Pilotgruppen, Wellenplanung, Ausnahmeregeln, Sicherheits- und Funktionstests, Betriebsübergabe, Kennzahlen und regelmäßige Architekturprüfung werden festgelegt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Rollout, Abnahme und Governance“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn pilotgruppen, Wellenplanung, Ausnahmeregeln, Sicherheits- und Funktionstests, Betriebsübergabe, Kennzahlen und regelmäßige Architekturprüfung werden festgelegt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Implementierung einer zentral gesteuerten AFO-Plattform für zwei Regionen, mehrere Organisationseinheiten und unterschiedlich kritische Anwendungskonten.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Cloud- und Security-Architektur, Plattformengineering, AWS-Organizations-Teams, SOC Engineering und technische Programmverantwortliche.

Voraussetzungen: Gute Kenntnisse zu AWS Organizations, Control Tower oder vergleichbaren Kontenmodellen, IAM, KMS, VPC, Security Hub, EventBridge, CDK und Incident Response.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.