# AWS - Control Tower Enum

{{#include ../../../../banners/hacktricks-training.md}}

## Control Tower

> [!NOTE]
> In sintesi, Control Tower è un servizio che consente di definire politiche per tutti i tuoi account all'interno della tua organizzazione. Quindi, invece di gestire ciascuno di essi, puoi impostare politiche da Control Tower che verranno applicate su di essi.

AWS Control Tower è un **servizio fornito da Amazon Web Services (AWS)** che consente alle organizzazioni di configurare e governare un ambiente multi-account sicuro e conforme in AWS.

AWS Control Tower fornisce un **insieme predefinito di blueprint delle migliori pratiche** che possono essere personalizzati per soddisfare specifici **requisiti organizzativi**. Questi blueprint includono servizi e funzionalità AWS preconfigurati, come AWS Single Sign-On (SSO), AWS Config, AWS CloudTrail e AWS Service Catalog.

Con AWS Control Tower, gli amministratori possono rapidamente configurare un **ambiente multi-account che soddisfa i requisiti organizzativi**, come **sicurezza** e conformità. Il servizio fornisce un dashboard centrale per visualizzare e gestire account e risorse, e automatizza anche il provisioning di account, servizi e politiche.

Inoltre, AWS Control Tower fornisce guardrails, che sono un insieme di politiche preconfigurate che garantiscono che l'ambiente rimanga conforme ai requisiti organizzativi. Queste politiche possono essere personalizzate per soddisfare esigenze specifiche.

In generale, AWS Control Tower semplifica il processo di configurazione e gestione di un ambiente multi-account sicuro e conforme in AWS, rendendo più facile per le organizzazioni concentrarsi sui loro obiettivi aziendali principali.

### Enumeration

Per enumerare i controlli di controltower, devi prima **aver enumerato l'org**:

{{#ref}}
../aws-organizations-enum.md
{{#endref}}
```bash
# Get controls applied in an account
aws controltower list-enabled-controls --target-identifier arn:aws:organizations::<acc_id>:ou/<ou-id>
```
> [!WARNING]
> Control Tower può anche utilizzare **Account factory** per eseguire **CloudFormation templates** in **account e eseguire servizi** (privesc, post-exploitation...) in quegli account

### Post Exploitation & Persistence

{{#ref}}
../../aws-post-exploitation/aws-control-tower-post-exploitation/README.md
{{#endref}}

{{#include ../../../../banners/hacktricks-training.md}}
