AWS Control Tower trong 40 ngày
Tuần 1: Chiến lược Multi-Account & Nguyên lý thiết kế Landing Zone
Ngày 1 - Vì sao cần landing zone, không chỉ là "nhiều tài khoản AWS"
Sáng: Landing zone là gì trong kiến trúc doanh nghiệp; phân biệt landing zone vs. single-account setup; các driver production (blast radius, tách biệt billing, compliance, tốc độ đội ngũ).
Chiều: Các mô hình OU phổ biến (theo môi trường: dev/stage/prod; theo business unit; theo compliance boundary) và cách chọn mô hình phù hợp với tổ chức thật.
Bài tập: Vẽ sơ đồ OU cho một tổ chức giả định (3 business unit, yêu cầu PCI cho 1 unit) - đây sẽ là baseline cho capstone cuối khóa.
Ngày 2 - Account vending strategy
Sáng: Khi nào tạo tài khoản mới (per-app? per-team? per-environment?); account sprawl và cách kiểm soát.
Chiều: Tài khoản nền tảng bắt buộc trong production landing zone: Management, Log Archive, Security/Audit, Network Hub, Shared Services.
Bài tập: Liệt kê danh sách tài khoản nền tảng cần thiết + lý do cho từng tài khoản, áp vào tổ chức giả định ở Ngày 1.
Ngày 3 - AWS Control Tower trong bức tranh lớn
Sáng: Control Tower giải quyết phần nào (guardrails, account factory) và không giải quyết phần nào (networking, IaC pipeline, cost tooling) - bạn vẫn phải tự thiết kế các phần đó.
Chiều: Landing Zone (Control Tower) vs. tự xây bằng Organizations + Terraform thuần - khi nào chọn cái nào.
Bài tập: So sánh ưu/nhược điểm Control Tower vs. self-managed landing zone cho tổ chức của bạn (hoặc giả định), viết thành bảng quyết định.
Ngày 4 - Well-Architected cho môi trường đa tài khoản
Sáng: Áp dụng 6 trụ cột Well-Architected ở cấp landing zone (không phải cấp ứng dụng).
Chiều: Reliability & Operational Excellence pillar cho landing zone: ai chịu trách nhiệm gì, runbook nào cần có trước khi go-live.
Bài tập: Viết checklist "production-readiness" cho landing zone (10-15 mục), dùng lại xuyên suốt khóa học.
Ngày 5 - Thiết lập Control Tower cơ bản (thực hành)
Sáng: Pre-check (Organizations, IAM), quy trình setup qua console.
Chiều: Cấu hình Landing Zone: logging, mã hóa, chọn home region, OU mặc định.
Bài tập: Khởi chạy Landing Zone trong sandbox theo đúng sơ đồ OU đã vẽ ở Ngày 1.
Tuần 2: Networking cho Landing Zone
Ngày 6 - Kiến trúc mạng multi-account: hub-and-spoke
Sáng: Vì sao không thể mỗi account tự VPC độc lập; mô hình hub-spoke với Transit Gateway.
Chiều: Centralized egress (NAT tập trung), centralized ingress, network account riêng biệt.
Bài tập: Vẽ sơ đồ network hub-spoke cho landing zone giả định, gồm TGW, egress VPC, shared services VPC.
Ngày 7 - IP address management
Sáng: VPC CIDR planning để tránh chồng lấn khi có hàng chục account; giới thiệu Amazon VPC IPAM.
Chiều: Chiến lược cấp phát CIDR theo OU/region, dự phòng cho tăng trưởng.
Bài tập: Thiết kế bảng phân bổ CIDR cho ít nhất 10 account/region trong tổ chức giả định.
Ngày 8 - DNS và service discovery đa tài khoản
Sáng: Route 53 Resolver rules, private hosted zone sharing qua Organizations.
Chiều: Kết nối VPC (peering vs. TGW), khi nào dùng cái nào; PrivateLink cho shared services.
Bài tập: Thiết kế DNS resolution flow giữa network account và các spoke account.
Ngày 9 - Kết nối on-premises/hybrid
Sáng: Direct Connect, VPN, và cách chúng gắn vào network hub account.
Chiều: Route propagation qua TGW cho traffic hybrid; cân nhắc bandwidth và failover.
Bài tập: Vẽ sơ đồ kết nối hybrid hoàn chỉnh nối vào landing zone.
Ngày 10 - Network trong Control Tower & VPC do Control Tower tạo
Sáng: Quan hệ giữa Control Tower's Account Factory VPC mặc định và kiến trúc hub-spoke tự thiết kế.
Chiều: Walkthrough: cấu hình Control Tower không dùng VPC mặc định, tự quản network qua IaC.
Bài tập: Triển khai một spoke account nối vào TGW hub trong sandbox.
Tuần 3: Security & Compliance Baseline
Ngày 11 - Guardrails/Controls: bắt buộc, chủ động, phát hiện
Sáng: Ba loại control (preventive/proactive/detective) và cách chọn control nào cho baseline production.
Chiều: Service Control Policies (SCP) nâng cao: deny-list vs allow-list, cách tránh SCP conflict khi OU lồng nhau.
Bài tập: Viết 5 SCP cho baseline production (chặn region ngoài whitelist, chặn tắt CloudTrail, v.v.)
Ngày 12 - Logging & audit tập trung
Sáng: Kiến trúc Log Archive account: CloudTrail org-trail, VPC Flow Logs, Config aggregator.
Chiều: Chính sách S3 bucket cho log account (immutability, cross-account write, retention/lifecycle).
Bài tập: Thiết kế chính sách lifecycle cho log bucket (hot/cold storage, retention theo compliance).
Ngày 13 - Threat detection tổ chức
Sáng: GuardDuty organization-wide, delegated admin account.
Chiều: Security Hub tổng hợp findings toàn tổ chức, tiêu chuẩn CIS/NIST/PCI.
Bài tập: Kích hoạt GuardDuty + Security Hub delegated admin trong sandbox, map 3 finding vào action plan.
Ngày 14 - Chiến lược KMS và mã hóa
Sáng: Key strategy multi-account (key per account vs. shared CMK), cross-account key policy.
Chiều: Mã hóa dữ liệu tại rest/in-transit theo baseline compliance (PCI/HIPAA nếu áp dụng).
Bài tập: Viết key policy mẫu cho một CMK dùng chung giữa 3 account.
Ngày 15 - Data residency & digital sovereignty controls
Sáng: Region deny ở cấp Landing Zone và cấp OU; data residency controls.
Chiều: Khi nào cần các control chủ quyền số (cho khách hàng EU/chính phủ).
Bài tập: Cấu hình region-deny control cho một OU trong sandbox và xác minh tài khoản con không thể tạo resource ngoài whitelist.
Tuần 4: Identity & Access
Ngày 16 - IAM Identity Center (SSO) cho multi-account
Sáng: Kiến trúc identity center: identity source (AD/Okta/IdP), permission sets.
Chiều: Nhóm người dùng, gán permission set theo OU/account, tránh over-privilege.
Bài tập: Thiết kế ma trận permission set x nhóm người dùng cho tổ chức giả định (ít nhất 4 role: admin, developer, security-auditor, read-only).
Ngày 17 - Cross-account roles & confused deputy
Sáng: AWSControlTowerExecution role, external ID, điều kiện tin cậy an toàn.
Chiều: Ngăn chặn confused-deputy attack; least-privilege cho automation roles.
Bài tập: Viết trust policy an toàn cho một cross-account automation role.
Ngày 18 - Permission boundaries & SCP kết hợp IAM
Sáng: Permission boundary cho developer self-service (cho phép tạo IAM role nhưng giới hạn quyền tối đa).
Chiều: Managed policies AWS cung cấp cho Control Tower vs. policy tự viết.
Bài tập: Thiết kế permission boundary cho phép team dev tự tạo Lambda role nhưng không vượt quá baseline security.
Ngày 19 - Enrollment tài khoản hiện có
Sáng: Enrollment tài khoản có sẵn (không phải tạo mới) vào landing zone - điều kiện tiên quyết, rủi ro.
Chiều: Chiến lược migrate workload production đang chạy vào landing zone mới mà không downtime.
Bài tập: Viết migration runbook: enroll 1 account production giả định, gồm rollback plan.
Ngày 20 - Data perimeter: Resource Control Policies (RCP) & VPC endpoint policies
Sáng: Khái niệm data perimeter - ngăn dữ liệu rời khỏi tổ chức dù identity hợp lệ; RCP (Resource Control Policies) là gì, khác SCP ở chỗ nào (SCP kiểm soát identity, RCP kiểm soát resource).
Chiều: VPC endpoint policy để giới hạn API call chỉ trong network nội bộ; kết hợp điều kiện
aws:PrincipalOrgIDtrong resource policy (S3, KMS, Secrets Manager) để chặn truy cập từ ngoài tổ chức kể cả khi credential bị lộ.Bài tập: Viết RCP + S3 bucket policy + VPC endpoint policy kết hợp để đảm bảo dữ liệu trong 1 bucket chỉ được truy cập từ trong tổ chức, dù có credential hợp lệ nhưng gọi từ internet.
Tuần 5: Infrastructure as Code & Automation cho Landing Zone
Ngày 21 - Vì sao landing zone phải là code, không phải click console
Sáng: Rủi ro của cấu hình thủ công ở quy mô production; GitOps cho landing zone.
Chiều: Customizations for Control Tower (CfCT) - kiến trúc, khi nào dùng.
Bài tập: Viết CloudFormation template triển khai 1 SCP qua CfCT trong sandbox.
Ngày 22 - Account Factory for Terraform (AFT)
Sáng: Kiến trúc AFT, so với Account Factory Customization (AFC) qua console.
Chiều: Vendor tài khoản mới bằng Terraform, xử lý request hàng loạt.
Bài tập: Provision 1 account mới qua AFT trong sandbox, review pipeline chạy qua.
Ngày 23 - CI/CD pipeline cho hạ tầng landing zone
Sáng: Thiết kế pipeline: PR review → plan → approval → apply, cho thay đổi OU/SCP/network.
Chiều: Quản lý state Terraform an toàn ở quy mô tổ chức (remote state, locking, module structure).
Bài tập: Thiết kế sơ đồ pipeline (không cần code đầy đủ) cho việc thay đổi 1 SCP an toàn qua CI/CD.
Ngày 24 - Quản lý drift
Sáng: Governance drift là gì, vì sao xảy ra khi ai đó sửa tay ngoài IaC.
Chiều: Công cụ phát hiện & khắc phục drift (Config, Control Tower drift detection).
Bài tập: Tạo giả lập drift trong sandbox (sửa tay 1 resource được quản lý) và viết quy trình khắc phục.
Ngày 25 - Tự động hóa provisioning tự phục vụ
Sáng: Service Catalog để dev tự provision resource trong giới hạn cho phép.
Chiều: Step Functions/Lambda cho workflow cung cấp tài khoản end-to-end.
Bài tập: Thiết kế workflow tự động: request account → approval → provision → notify (sơ đồ, không cần code đầy đủ).
Tuần 6: Multi-region, Disaster Recovery & Vận hành
Ngày 26 - Multi-region landing zone
Sáng: Home region vs. governed regions; khi nào mở rộng landing zone sang region thứ hai.
Chiều: Region-deny control và opt-in region tại cấp OU.
Bài tập: Thiết kế chiến lược mở rộng landing zone sang 1 region mới cho tổ chức giả định.
Ngày 27 - Disaster recovery ở cấp landing zone
Sáng: Backup chiến lược cho account nền tảng (Management, Log Archive) - đây là single point of failure nếu không có kế hoạch.
Chiều: Runbook khôi phục khi Management account bị compromise hoặc region hub gặp sự cố.
Bài tập: Viết DR runbook cho kịch bản "Log Archive account không truy cập được".
Ngày 28 - Giám sát vận hành landing zone
Sáng: Dashboard CloudWatch cho chỉ số landing zone (số account, OU, control active, drift count).
Chiều: Thông báo sự kiện vòng đời (account tạo/xóa, control update) qua SNS/EventBridge.
Bài tập: Thiết kế dashboard + alerting cho 5 chỉ số vận hành quan trọng nhất.
Ngày 29 - Troubleshooting
Sáng: Kỹ thuật debug lỗi triển khai, xung đột SCP, lỗi đăng ký OU phổ biến.
Chiều: Baseline drift, cách dùng CloudTrail để điều tra sự cố governance.
Bài tập: Điều tra 1 lỗi giả lập (SCP conflict khi đăng ký OU) và viết root-cause + fix.
Ngày 30 - Ngăn xếp hủy bỏ/decommission an toàn
Sáng: Quy trình hủy Landing Zone hoặc account đúng cách, tránh mất log/compliance record.
Chiều: Kế hoạch decommission cho account không còn dùng trong OU production.
Bài tập: Viết checklist decommission an toàn cho 1 account (backup, export log, xoá).
Tuần 7: Chi phí, Compliance mapping & Tích hợp dịch vụ
Ngày 31 - Cost governance ở quy mô tổ chức
Sáng: Consolidated billing, cost allocation tags bắt buộc qua SCP, budget theo OU.
Chiều: AWS Budgets + Cost Anomaly Detection tổ chức-wide; showback/chargeback giữa business unit.
Bài tập: Thiết kế cấu trúc tag bắt buộc + budget alert cho 3 OU khác nhau.
Ngày 32 - Mapping control vào compliance framework
Sáng: Cách map control trong Control Tower vào yêu cầu PCI-DSS/HIPAA/SOC2 cụ thể (không chỉ theo tên control).
Chiều: Gap analysis: control nào Control Tower cung cấp sẵn, control nào bạn phải tự bổ sung (không phải mọi yêu cầu compliance đều có control tương ứng).
Bài tập: Chọn 1 framework (PCI hoặc HIPAA), map 10 yêu cầu compliance vào control cụ thể + ghi chú gap.
Ngày 33 - Tích hợp dịch vụ mở rộng
Sáng: Firewall Manager cho security group tập trung, Network Firewall cho egress inspection.
Chiều: Tích hợp SIEM bên thứ ba (Splunk/Datadog) nhận log từ landing zone.
Bài tập: Thiết kế luồng log từ CloudTrail/VPC Flow Logs ra SIEM ngoài.
Ngày 34 - Migration từ kiến trúc cũ
Sáng: Chuyển từ AWS Landing Zone (ALZ) cũ hoặc từ single-account sang Control Tower landing zone.
Chiều: Chiến lược migrate không downtime: chạy song song, cutover theo giai đoạn.
Bài tập: Viết migration plan theo giai đoạn cho tổ chức giả định (giả sử đang ở single-account).
Ngày 35 - Tối ưu chi phí nâng cao ở quy mô tổ chức
Sáng: Savings Plans/Reserved Instances quản lý tập trung (mua ở Management account, share cho toàn tổ chức qua Organizations); Compute Optimizer org-wide để phát hiện over-provisioning.
Chiều: S3 Storage Lens cho visibility chi phí storage toàn tổ chức; Cost Categories để nhóm chi phí theo business unit không phụ thuộc cấu trúc account.
Bài tập: Thiết kế chiến lược mua Savings Plans tập trung + cấu trúc Cost Categories cho tổ chức giả định, ước tính % tiết kiệm so với on-demand từng account riêng lẻ mua.
Tuần 8: Capstone - Thiết kế Landing Zone hoàn chỉnh
Ngày 36-38 - Thiết kế
Chọn 1 bối cảnh: (a) công ty SaaS B2B đa vùng, (b) tổ chức tài chính cần PCI-DSS, hoặc (c) tập đoàn có nhiều business unit độc lập.
Giao sản phẩm: sơ đồ OU, sơ đồ network hub-spoke, danh sách SCP/control baseline, chiến lược IAM/SSO, kiến trúc logging/security, kế hoạch chi phí.
Ngày 39 - Threat modeling & incident response cho landing zone
Sáng: Xây threat model kiểu STRIDE cho chính thiết kế của bạn - điểm nào compromise Management account là thảm họa, điểm nào SCP/RCP có thể bị bypass, điểm nào cross-account role bị lạm dụng.
Chiều: Viết incident response runbook cho 2 kịch bản nghiêm trọng nhất tìm được ở threat model (ví dụ: root credential Management account bị lộ, hoặc security account bị compromise) - ai làm gì, thứ tự cô lập, khôi phục.
Bài tập: Hoàn thiện threat model + 2 runbook incident response, đính kèm vào bộ tài liệu thiết kế.
Ngày 40 - Trình bày & kế hoạch triển khai thực tế
Viết roadmap triển khai thực tế theo giai đoạn (phase 1: foundation accounts, phase 2: network, phase 3: security baseline, phase 4: migrate workload).
Trình bày toàn bộ thiết kế như một architecture decision record (ADR) hoàn chỉnh.
Tài liệu đọc thêm
AWS Prescriptive Guidance: "Landing zone design considerations"
AWS Whitepaper: "Organizing Your AWS Environment Using Multiple Accounts"
AWS Well-Architected Framework - Management and Governance Lens