Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Paso 1: configuración de la zona de aterrizaje

El proceso de configuración de la zona de aterrizaje de AWS Control Tower consta de varios pasos. Es posible configurar algunos de los aspectos de la zona de aterrizaje de AWS Control Tower, sin embargo, hay otras opciones no se pueden modificar después de la configuración. Para obtener más información sobre estas importantes consideraciones antes de lanzar su zona de aterrizaje, consulte las expectativas para la configuración de la zona de aterrizaje.

Antes de usar las API de la zona de destino de AWS Control Tower, primero debe llamar a las API de otros AWS servicios para configurar la zona de destino antes del lanzamiento. El proceso incluye tres pasos principales:

Paso 1. Creación de la organización que contendrá la zona de aterrizaje:

Llame a la CreateOrganization API de AWS Organizations y habilite todas las funciones para crear la unidad organizativa básica. AWS Control Tower también recomienda crear una OU de seguridad designada. Esta unidad organizativa de seguridad debe contener todas sus cuentas de integración de servicios. Estas serían la cuenta de archivo de registros y la cuenta de auditoría de las versiones anteriores de Landing Zone.

aws organizations create-organization --feature-set ALL
                

AWS Control Tower puede configurar una o varias OU adicionales. Le recomendamos que aprovisione al menos una OU adicional en la zona de aterrizaje, además de la OU de seguridad. Si esta unidad organizativa adicional está destinada a proyectos de desarrollo, le recomendamos que la llame unidad organizativa sandbox, tal y como se indica en la estrategia multicuenta de AWS para la zona de destino de la torre de control de AWS.

Paso 2. Aprovisione cuentas de integración de servicios si es necesario:

Para configurar su zona de aterrizaje, AWS Control Tower permite a los clientes configurar las integraciones de servicios de AWS. Cada una de estas integraciones de servicios puede requerir una o más cuentas centrales de integración de servicios. Si utiliza las API de la zona de destino para configurar AWS Control Tower por primera vez, debe proporcionar la cuenta de integración central para cada integración de servicios de AWS habilitada. Puede usar las cuentas de AWS existentes o aprovisionarlas a través de la consola de AWS Control Tower o AWS las API de Organizations. Asegúrese de que estas cuentas de integración de servicios estén en la unidad organizativa de seguridad designada que se encuentra en el nivel raíz de su organización.

Paso 3. Creación de los roles de servicio requeridos

Cree los siguientes roles de servicio de IAM en la ruta de /service-role/ IAM que permiten a AWS Control Tower realizar las llamadas a la API necesarias para configurar la zona de aterrizaje:

Para obtener más información acerca de estos roles y sus políticas, consulte Uso de políticas basadas en identidad (políticas de IAM) para AWS Control Tower.

Para crear un rol de IAM:

Cree un rol de IAM con los permisos necesarios para llamar a todas las API de zona de aterrizaje. Como alternativa, puede crear un usuario de IAM Identity Center y asignar los permisos necesarios.

{
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "backup:UpdateGlobalSettings",
                "controltower:CreateLandingZone",
                "controltower:UpdateLandingZone",
                "controltower:ResetLandingZone",
                "controltower:DeleteLandingZone",
                "controltower:GetLandingZoneOperation",
                "controltower:GetLandingZone",
                "controltower:ListLandingZones",
                "controltower:ListLandingZoneOperations",
                "controltower:ListTagsForResource",
                "controltower:TagResource",
                "controltower:UntagResource",
                "servicecatalog:*",
                "organizations:*",
                "organizations:RegisterDelegatedAdministrator",
                "organizations:EnableAWSServiceAccess",
                "organizations:DeregisterDelegatedAdministrator",
                "organizations:ListDelegatedAdministrators",
                "sso:*",
                "sso-directory:*",
                "logs:*",
                "cloudformation:*",
                "kms:*",
                "iam:GetRole",
                "iam:CreateRole",
                "iam:GetSAMLProvider",
                "iam:CreateSAMLProvider",
                "iam:CreateServiceLinkedRole",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy",
                "iam:ListAttachedRolePolicies",
                "iam:AttachRolePolicy",
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy"
            ],
            "Resource": "*"
        }
    ]
}