Automatisieren Sie die Kontobereitstellung im AWS Control Tower mithilfe von Service Catalog-APIs

AWS Control Tower ist in mehrere andere AWS Dienste integriert, z. AWS Service Catalog B. Sie können die APIs verwenden, um Ihre Mitgliedskonten im AWS Control Tower zu erstellen und bereitzustellen oder um bestehende Mitgliedskonten zu registrieren.

Das Video zeigt Ihnen, wie Sie Konten automatisiert und stapelweise bereitstellen, indem Sie die AWS Service Catalog APIs aufrufen. Für die Bereitstellung rufen Sie die ProvisionProduct API über die AWS Befehlszeilenschnittstelle (CLI) auf und geben eine JSON-Datei an, die die Parameter für jedes Konto enthält, das Sie einrichten möchten. Das Video veranschaulicht die Installation und Verwendung der AWS Cloud9-Entwicklungsumgebung für diese Arbeit. Die CLI-Befehle wären dieselben, wenn Sie AWS Cloudshell anstelle von AWS Cloud9 verwenden würden.

Als völlig andere Automatisierungsmethode können Sie, wenn Sie mit Terraform vertraut sind, Konten mit AWS Control Tower Account Factory for Terraform (AFT) bereitstellen.

Beispiel für eine Verwaltungsrolle im Bereich Automatisierung

Hier ist eine Beispielvorlage, mit der Sie Ihre Automatisierungsadministrationsrolle im Verwaltungskonto konfigurieren können. Sie würden diese Rolle in Ihrem Verwaltungskonto so konfigurieren, dass sie die Automatisierung mit Administratorzugriff in den Zielkonten durchführen kann.

AWSTemplateFormatVersion: 2010-09-09
Description: Configure the SampleAutoAdminRole

Resources:
  AdministrationRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: SampleAutoAdminRole
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              Service: cloudformation.amazonaws.com
            Action:
              - sts:AssumeRole
      Path: /
      Policies:
        - PolicyName: AssumeSampleAutoAdminRole
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Effect: Allow
                Action:
                  - sts:AssumeRole
                Resource:
                  - "arn:aws:iam::*:role/SampleAutomationExecutionRole"

Beispiel für eine Rolle zur Ausführung der Automatisierung

Im Folgenden finden Sie eine Beispielvorlage, mit der Sie die Automatisierungsausführungsrolle einrichten können. Sie würden diese Rolle in den Zielkonten konfigurieren.

AWSTemplateFormatVersion: "2010-09-09"
Description: "Create automation execution role for creating Sample Additional Role."

Parameters:
  AdminAccountId:
    Type: "String"
    Description: "Account ID for the administrator account (typically management, security or shared services)."
  AdminRoleName:
    Type: "String"
    Description: "Role name for automation administrator access."
    Default: "SampleAutomationAdministrationRole"
  ExecutionRoleName:
    Type: "String"
    Description: "Role name for automation execution."
    Default: "SampleAutomationExecutionRole"
  SessionDurationInSecs:
    Type: "Number"
    Description: "Maximum session duration in seconds."
    Default: 14400

Resources:
  # This needs to run after AdminRoleName exists.
  ExecutionRole:
    Type: "AWS::IAM::Role"
    Properties:
      RoleName: !Ref ExecutionRoleName
      MaxSessionDuration: !Ref SessionDurationInSecs
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: "Allow"
            Principal:
              AWS:
                - !Sub "arn:aws:iam::${AdminAccountId}:role/${AdminRoleName}"
            Action:
              - "sts:AssumeRole"
      Path: "/"
      ManagedPolicyArns:
        - "arn:aws:iam::aws:policy/AdministratorAccess"

Nachdem Sie diese Rollen konfiguriert haben, rufen Sie die AWS Service Catalog APIs auf, um die automatisierten Aufgaben auszuführen. Die CLI-Befehle sind im Video enthalten.

Beispiel für eine Bereitstellungseingabe für die Service Catalog API

Hier ist ein Beispiel für die Eingabe, die Sie an die Service ProvisionProduct Catalog-API geben können, wenn Sie die API verwenden, um neue AWS Control Tower-Konten bereitzustellen oder bestehende Mitgliedskonten zu registrieren:

{
  pathId: "lpv2-7n2o3nudljh4e",
  productId: "prod-y422ydgjge2rs",
  provisionedProductName: "Example product 1",
  provisioningArtifactId: "pa-2mmz36cfpj2p4",
  provisioningParameters: [
    {
      key: "AccountEmail",
      value: "abc@amazon.com"
    },
    {
      key: "AccountName",
      value: "ABC"
    },
    {
      key: "ManagedOrganizationalUnit",
      value: "Custom (ou-xfe5-a8hb8ml8)"
    },
    {
      key: "SSOUserEmail",
      value: "abc@amazon.com"
    },
    {
      key: "SSOUserFirstName",
      value: "John"
    },
    {
      key: "SSOUserLastName",
      value: "Smith"
    }
  ],
  provisionToken: "c3c795a1-9824-4fb2-a4c2-4b1841be4068"
}      
    

Weitere Informationen finden Sie in der API-Referenz für Service Catalog.

Video-Anleitung

Dieses Video (6:58) beschreibt, wie die Kontobereitstellung im AWS Control Tower automatisiert wird. Wählen Sie zur besseren Ansicht das Symbol in der rechten unteren Ecke des Videos, um es in voller Bildschirmgröße anzuzeigen. Es stehen Untertitel zur Verfügung.