Je eerste architectuurkeuzes op AWS hebben impact op de lange termijn. Een goed ontworpen landing zone geeft je team een veilige, schaalbare basis en voorkomt dat complexiteit langzaam binnensluipt naarmate je groeit.
Forrict helpt je bij het bouwen van AWS-fundamenten die helder, voorspelbaar en volledig onder jouw controle zijn.
Wat is een AWS landing zone?
AWS omschrijft een landing zone als een goed ontworpen omgeving met meerdere AWS-accounts, gebaseerd op best practices voor security en compliance. Het is de container waarin al je organisatie-eenheden (OU’s), accounts, gebruikers en andere resources zitten die aan je regels moeten voldoen. (bron)
Kort gezegd: niet één account waarin alles door elkaar staat, maar een vaste structuur waarin elk nieuw account vanaf de eerste minuut veilig is ingericht.
Waarom landing zones belangrijk zijn
Zonder een solide basis groeien AWS-omgevingen vaak organisch en onvoorspelbaar. Accounts vermenigvuldigen zich, permissies gaan schuiven, kosten worden lastiger te volgen en security-maatregelen verzwakken langzaam.
Een sterke landing zone helpt je om:
- veilig te schalen over teams en omgevingen
- security- en compliance-risico’s te verkleinen
- kosten inzichtelijk en voorspelbaar te houden
- herwerk later te voorkomen
Het is veel eenvoudiger om dit vanaf het begin goed neer te zetten dan het achteraf te moeten repareren.
De bouwstenen van een Forrict landing zone
Elke landing zone is maatwerk, maar deze onderdelen zitten er altijd in.
Account vending
Nieuwe accounts in minuten
Een nieuw account komt automatisch in de juiste OU, met netwerk, logging, security-instellingen, toegang en budgetalerts al ingericht. Geen tickets, geen vergeten stappen.
Guardrails
SCPs en AWS Config
Service Control Policies leggen vast wat nergens mag, zoals CloudTrail uitzetten of buiten de afgesproken regio's deployen. AWS Config-regels signaleren wat toch afwijkt.
Netwerk
Transit Gateway en DNS
Een vast adresplan, verbindingen tussen VPC's, shared services en on-premises, en duidelijke keuzes voor uitgaand verkeer, DNS en firewalls.
Identity en toegang
IAM Identity Center
Medewerkers loggen in via je bestaande identity provider, met rechten per rol. Applicaties gebruiken IAM-rollen, geen langlevende access keys.
Logging en security
Centraal en gescheiden
CloudTrail, VPC Flow Logs, Config-historie en GuardDuty- en Security Hub-bevindingen komen samen in een apart Log Archive-account. Security tooling draait in een eigen account.
Kosten
Tags en budgetten
Verplichte tags, budgetalerts en anomaly detection zitten vanaf dag één in de basis, zodat je altijd ziet welk team en welke omgeving wat kost.
Alles gebouwd volgens AWS best practices en met AWS-services. Hoe we elk onderdeel technisch aanpakken, lees je in AWS Landing Zones met CDK.
Een voorbeeld van de accountstructuur
AWS raadt aan om accounts te groeperen in organisatie-eenheden (OU’s) met elk een eigen doel. (bron) Een veelgebruikte basis ziet er zo uit:
| OU | Doel volgens AWS | Voorbeelden van accounts |
|---|---|---|
| Security | Accounts die security-, governance- en compliancecontroles voor de hele organisatie toepassen | Log Archive, Security Tooling |
| Infrastructure | Gedeelde infrastructuur en netwerkservices | Netwerk (Transit Gateway), shared services |
| Workloads | Je eigen applicaties, productie en niet-productie | Ontwikkel-, test- en productieaccounts per team |
| Sandbox | Experimenteren, testen en ontwikkelen, meestal met beperkte toegang tot productie | Sandbox-accounts voor developers |
De precieze indeling stemmen we af op jouw teams, omgevingen en compliance-eisen.
Drie soorten guardrails
AWS onderscheidt drie soorten controls (guardrails) in een landing zone. (bron)
| Soort | Wat het doet | Hoe het werkt |
|---|---|---|
| Preventief | Voorkomt dat een actie wordt uitgevoerd | Service Control Policies (SCPs) en Resource Control Policies (RCPs) |
| Detectief | Signaleert wanneer iets afwijkt | AWS Config-regels |
| Proactief | Controleert resources vóórdat ze worden aangemaakt | CloudFormation hooks |
Een SCP geeft zelf geen rechten. Het bepaalt de maximale rechten die gebruikers en rollen in een account kunnen krijgen, wat er in hun IAM-policies ook staat. SCPs gelden voor de member accounts, niet voor het management-account. (bron) Ons advies: begin streng. Een guardrail versoepelen voor een terechte uitzondering is veel makkelijker dan er achteraf een afdwingen.
Governance zonder bureaucratie
Governance hoeft teams niet af te remmen. Bij Forrict betekent governance het neerzetten van duidelijke kaders die teams juist sneller en veiliger laten werken — niet het toevoegen van extra goedkeuringslagen.
Wij focussen op:
- Guardrails in plaats van handmatige controles
- Automatisering boven documentatie
- Duidelijk eigenaarschap en verantwoordelijkheden
- Zichtbaarheid in plaats van beperking
Zo weet iedereen wat wel kan, wat niet, en waarom.
Gebouwd als code, en van jou
We bouwen je landing zone als code met AWS CDK, en behandelen die code als software:
- Getest. Assertion tests controleren of de CDK-code de verwachte CloudFormation oplevert, en
cdk-nagdraait in de pipeline. - Veilig bij te werken. Met
cdk diffzie je vooraf wat een wijziging doet, en updates rollen gefaseerd uit. - Van jou. De Git-repository, de pipeline en het deploymentproces zijn van jou. Je kunt je landing zone zelf onderhouden en verder ontwikkelen, ook zonder ons.
Hoe we dit samen opbouwen
- Begrijpen van jullie context Jullie teams, workloads, risico’s en groeiplannen.
- Ontwerpen van de basis Een heldere architectuur die past bij jullie organisatie — geen generiek template.
- Open bouwen Alles is gedocumenteerd, toegelicht en inzichtelijk.
- Jullie team in staat stellen We zorgen dat jullie team de setup begrijpt en er met vertrouwen mee kan werken.
Geen black boxes. Geen vendor lock-in.
Wat je krijgt
- Een veilige en schaalbare AWS-fundering
- Heldere account- en permissiestructuren
- Sterke security- en compliance-baselines
- Eenvoudiger beheer en betere kostencontrole
- Een setup die je team écht begrijpt
Je bent klaar om te groeien, zonder de controle te verliezen.
Wanneer dit waardevol is
Landing Zones & Governance zijn vooral zinvol als je:
- Net start met AWS
- Groeit voorbij één enkele AWS-account
- Betere security- of compliance-maatregelen nodig hebt
- Wilt standaardiseren over teams heen
- Klaar bent met het steeds opnieuw oplossen van fundamentele problemen
Veelgestelde vragen
Wat is een AWS landing zone? Een omgeving met meerdere AWS-accounts die volgens vaste regels is opgezet: een duidelijke accountstructuur, centrale toegang, netwerk, logging en guardrails. Elk nieuw account voldoet daardoor meteen aan je security- en complianceafspraken.
Waarom meerdere AWS-accounts in plaats van één? Een account is de sterkste scheiding die AWS biedt, sterker dan een VPC of een IAM-policy. Gaat er in een ontwikkelaccount iets mis, dan blijft productie daarbuiten. Daarnaast zie je per account precies wat het kost.
Wat is het verschil tussen een SCP en een IAM-policy? Een IAM-policy geeft rechten. Een SCP geeft geen rechten, maar legt de grens vast van wat er in een account maximaal mag. (bron)
Van wie is de code? Van jou. De CDK-code, de repository en de pipeline worden van jouw organisatie, zodat je niet aan ons vastzit.
Waar zit Forrict? Forrict is gevestigd in ‘s-Gravenmoer, in Noord-Brabant.
Lees verder
- AWS Landing Zones met CDK: de technische aanpak, stap voor stap
- Overlappende IP-ranges koppelen zonder hernummeren: 1:1 NAT in Transit Gateway en Cloud WAN
- AWS Security Assessment: weten hoe je huidige omgeving ervoor staat
Klaar om je AWS-fundament te bouwen?
Laten we een landing zone ontwerpen die je groei ondersteunt — nu en in de toekomst. Mail naar info@forrict.nl om kennis te maken.