Alles in einem Konto. Jetzt mit Struktur.

Beides ist verteidigbar, und die Antwort hängt an zwei Fragen: Wie viel Struktur wollen Sie geschenkt bekommen, und wie viel Eigenart müssen Sie abbilden. Control Tower nimmt viel Arbeit ab, richtet Protokollkonto, Leitplanken und Kontenfabrik ein und hält sie auf einem Versionsstand. Der Preis ist Bindung: Der von AWS ausgerollte Teil bleibt in dessen Hand, und Ihre Landing Zone folgt seinen Versionen. Immerhin lässt sich eine Landing Zone ab Version 3.1 reparieren und aktualisieren, ohne gleich auf die neueste Version zu springen, und mit Landing Zone 4.0 vom November 2025 sind einzelne Integrationen abschaltbar. Ein eigener Aufbau in Terraform passt, wenn Sie schon eine gewachsene Organisation, eigene Identitätsanbindung oder Anforderungen haben, die sich in Control Tower nur umgehen lassen. Beschrieben wird in beiden Fällen so viel wie möglich als Code.

Control Tower selbst kostet nichts, das steht so in der AWS-Preisdokumentation. Bezahlt werden die Dienste darunter: Service Catalog für die Kontenfabrik, CloudTrail für die Protokolle, Config für den Zustand, dazu S3, SNS und CloudWatch. Der Posten, der Menschen überrascht, ist AWS Config, und zwar dann, wenn viele kurzlebige Ressourcen entstehen und wieder verschwinden – AWS nennt das ausdrücklich. Der zweite ist ein selbst betriebener CloudTrail-Trail parallel zum verwalteten: Dann zahlen Sie zweimal für dieselben Ereignisse. Beides ist entscheidbar, wenn man es vorher weiß, deshalb steht es hier.

Nein. Bestehende Konten werden in die Struktur aufgenommen, nicht ersetzt: Sie kommen unter eine OU, bekommen die Leitplanken und die Protokollierung und tauchen danach in der zentralen Sicht auf. Das läuft in Wellen, unkritisches zuerst, und zwischen zwei Wellen ist die Umgebung in einem gültigen Zustand. Was dabei regelmäßig auffällt, ist ein Konto, das niemand mehr braucht – das wird dann nicht aufgenommen, sondern geschlossen.

Weniger als Ihnen jemand verkaufen will, und mehr als eins. Geschnitten wird nach Isolationsgrenzen, nicht nach Organigramm: Produktion getrennt von allem Nichtproduktiven, ein eigenes Konto für sicherheitsrelevante Protokolle, geteilte Dienste dort, wo sie tatsächlich geteilt werden. Ein Konto je Team klingt sauber und veraltet mit der nächsten Umstrukturierung. Die technische Grenze ist längst keine: Seit August 2024 passen bis zu tausend Konten in eine einzelne OU, und OUs dürfen verschachtelt sein.

Sie greifen an drei verschiedenen Stellen, und das wird oft vermischt. Eine SCP begrenzt, was Handelnde in Ihren Konten dürfen – sie erteilt keine Rechte, sie deckelt sie. Eine RCP begrenzt, was an einer Ressource erlaubt sein kann, und wirkt damit auch gegen Handelnde, die nicht zu Ihrer Organisation gehören; das ist der Fall, den eine SCP nicht abdeckt. Eine deklarative Richtlinie setzt keinen Rahmen um Aufrufe, sondern einen Sollzustand von Dienstmerkmalen, und wird in der Steuerebene des jeweiligen Dienstes erzwungen. Praktisch heißt das: SCP für „darf nicht", RCP für „auch nicht von außen", deklarative Richtlinien für „soll immer so eingestellt sein".

Nein, und das ist eine Festlegung. Ein Review liefert eine Bewertung, und dieselbe Bewertung gibt es bei AWS-Partnern kostenlos, teils gefördert mit Credits. Was hier entsteht, ist eine Änderung: eine Organisation mit OUs, ein Protokollkonto, Zugang über SSO, Leitplanken und Terraform-Code, den Ihr Team danach selbst weiterführt. Wenn am Ende ein Dokument stünde und sonst nichts, wäre die Seite falsch benannt.

Selten, und meistens nicht am Anfang. Der Landing Zone Accelerator ist für stark regulierte Umgebungen gebaut, die viele vorgefertigte Kontrollen und eine ausgeprägte Netztopologie brauchen. Er bringt entsprechend Umfang mit, und Umfang muss jemand verstehen und pflegen. Wenn Ihre Anforderung „wir müssen ein Audit bestehen und wollen unsere Konten trennen" lautet, ist eine schlanke, selbst beschriebene Landing Zone leichter zu betreiben. Wenn Ihre Anforderung ein Katalog von Kontrollen aus einem Regelwerk ist, sehen wir uns den Accelerator an.

Abgerechnet wird nach Aufwand, Struktur und Fundament als abgegrenztes Drei- bis Sechs-Wochen-Mandat. Ein Festpreispaket gibt es hier bewusst nicht: Zwischen einem einzelnen Konto und zwanzig gewachsenen Konten mit drei Identitätsquellen und einer bestehenden Control-Tower-Installation liegt zu unterschiedliche Arbeit. Nach der Bestandsaufnahme kann ich den Rest zum Festpreis anbieten, vorher wäre es geraten.

Nein. Ich baue die Struktur, beschreibe sie als Code und übergebe sie. Eine Kontenstruktur, deren Regeln nur ein Externer versteht, ist genau dann ein Problem, wenn es schnell gehen muss – etwa beim Notfallzugang. Was bleibt, sind Fragen, die ich gern beantworte, und keine Zuständigkeit.