Configuración para la personalización

En las secciones siguientes se indican los pasos para configurar el generador de cuentas para el proceso de personalización. Le recomendamos que configure un administrador delegado para la cuenta central antes de comenzar con estos pasos.

Paso 1. Creación del rol necesario

Antes de empezar a personalizar las cuentas, debe configurar un rol que contenga una relación de confianza entre AWS Control Tower y la cuenta central. Cuando se asume, el rol otorga acceso a AWS Control Tower para administrar la cuenta central. El rol debe denominarse AWSControlTowerBlueprintAccess.

AWS Control Tower asume este rol para crear un recurso de cartera en su nombre en AWS Service Catalog, añadir su esquema como producto de Service Catalog a esta cartera y compartir esta cartera y el esquema con su cuenta de miembro durante el aprovisionamiento de la cuenta.

Deberá crear el rol AWSControlTowerBlueprintAccess, como se explica en las siguientes secciones.

Si la cuenta central de esquema no está inscrita en AWS Control Tower, el rol AWSControlTowerExecution no existirá en la cuenta y no será necesario asumirlo antes de continuar con la configuración del rol AWSControlTowerBlueprintAccess.

El rol AWSControlTowerBlueprintAccess debe configurarse para otorgar confianza a dos entidades principales:

A continuación, se muestra un ejemplo de política de confianza, similar a la que tendrá que incluir para su rol. Esta política constituye una práctica recomendada para otorgar el acceso a los privilegios mínimos. Cuando cree su propia política, sustituya el término YourManagementAccountId por el ID real de la cuenta de administración de AWS Control Tower y sustituya el término YourControlTowerUserRole por el identificador del rol de IAM de la cuenta de administración.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Política de permisos necesaria

AWS Control Tower requiere que la política administrada denominada AWSServiceCatalogAdminFullAccess esté asociada al rol AWSControlTowerBlueprintAccess. Esta política proporciona los permisos que AWS Service Catalog busca cuando permite a AWS Control Tower administrar la cartera y los recursos de productos de AWS Service Catalog. Puede asociar esta política al crear el rol en la consola de IAM.

Paso 2. Creación del producto de AWS Service Catalog

Para crear un producto de AWS Service Catalog, siga los pasos que se indican en la sección Creating products de la Guía del administrador de AWS Service Catalog. Añadirá su esquema de cuenta como plantilla cuando cree el producto de AWS Service Catalog.

Puede descargar una plantilla de AWS CloudFormation del repositorio de arquitectura de referencia de AWS Service Catalog. Un ejemplo de ese repositorio ayuda a configurar un plan de copia de seguridad para los recursos.

A continuación, se muestra un ejemplo de plantilla para una empresa ficticia llamada Best Pets. Ayuda a establecer una conexión con su base de datos de mascotas.

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

Paso 3. Revisión del esquema personalizado

Puede ver su esquema en la consola de AWS Service Catalog. Para obtener más información, consulte Managing products en la Guía del administrador de Service Catalog.

Paso 4. Llamada al esquema para crear una cuenta personalizada

Cuando siga el flujo de trabajo Crear cuenta en la consola de AWS Control Tower, verá una sección opcional en la que puede introducir información sobre el esquema que desea utilizar para personalizar las cuentas.

Para obtener más información, consulte Creación de una cuenta personalizada a partir de un esquema.