Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Étape 1 : Configurez votre zone d'atterrissage

Le processus de configuration de votre zone d'atterrissage AWS Control Tower comporte plusieurs étapes. Certains aspects de la zone d'atterrissage de votre AWS Control Tower sont configurables, mais les autres choix ne peuvent pas être modifiés après la configuration. Pour en savoir plus sur ces considérations importantes avant de lancer votre zone d'atterrissage, consultez la section Attentes relatives à la configuration de la zone d'atterrissage.

Avant d'utiliser les API de zone d'atterrissage d'AWS Control Tower, vous devez d'abord appeler les API d'autres AWS services pour configurer votre zone d'atterrissage avant le lancement. Le processus comprend trois étapes principales :

Étape 1. Créez l'organisation qui contiendra votre zone d'atterrissage :

Appelez l'CreateOrganizationAPI AWS Organizations et activez toutes les fonctionnalités pour créer l'unité d'organisation fondamentale. AWS Control Tower recommande également de créer une unité d'organisation de sécurité désignée. Cette unité d'organisation de sécurité doit contenir tous vos comptes d'intégration de services. Il s'agirait du compte d'archivage des journaux et du compte d'audit pour les versions précédentes de Landing Zone.

aws organizations create-organization --feature-set ALL
                

AWS Control Tower peut configurer une ou plusieurs unités d'organisation supplémentaires. Nous vous recommandons de prévoir au moins une unité d'organisation supplémentaire dans votre zone d'atterrissage, en plus de l'unité d'organisation de sécurité. Si cette unité d'organisation supplémentaire est destinée à des projets de développement, nous vous recommandons de l'appeler unité d'organisation Sandbox, comme indiqué dans la stratégie multi-comptes AWS pour votre zone d'atterrissage AWS Control Tower.

Étape 2. Provisionnez des comptes d'intégration de services si nécessaire :

Pour configurer votre zone d'atterrissage, AWS Control Tower permet aux clients de configurer les intégrations de services AWS. Chacune de ces intégrations de services peut nécessiter un ou plusieurs comptes centraux d'intégration de services. Si vous utilisez les API de zone de destination pour configurer AWS Control Tower pour la première fois, vous devez fournir le compte d'intégration central pour chaque intégration de service AWS activée. Vous pouvez utiliser des comptes AWS existants ou provisionner ces comptes via la console AWS Control Tower ou AWS les API des organisations. Assurez-vous que ces comptes d'intégration de services se trouvent dans l'unité d'organisation de sécurité désignée qui se trouve au niveau racine de votre organisation.

Étape 3. Créez les rôles de service requis

Créez les rôles de service IAM suivants dans le chemin /service-role/ IAM afin de permettre à AWS Control Tower d'effectuer les appels d'API nécessaires à la configuration de votre zone d'atterrissage :

Pour plus d'informations sur ces rôles et leurs politiques, consultezUtilisation de politiques basées sur l'identité (politiques IAM) pour AWS Control Tower.

Pour créer un rôle IAM :

Créez un rôle IAM avec les autorisations nécessaires pour appeler toutes les API de zone d'atterrissage. Vous pouvez également créer un utilisateur IAM Identity Center et lui attribuer les autorisations nécessaires.

{
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "backup:UpdateGlobalSettings",
                "controltower:CreateLandingZone",
                "controltower:UpdateLandingZone",
                "controltower:ResetLandingZone",
                "controltower:DeleteLandingZone",
                "controltower:GetLandingZoneOperation",
                "controltower:GetLandingZone",
                "controltower:ListLandingZones",
                "controltower:ListLandingZoneOperations",
                "controltower:ListTagsForResource",
                "controltower:TagResource",
                "controltower:UntagResource",
                "servicecatalog:*",
                "organizations:*",
                "organizations:RegisterDelegatedAdministrator",
                "organizations:EnableAWSServiceAccess",
                "organizations:DeregisterDelegatedAdministrator",
                "organizations:ListDelegatedAdministrators",
                "sso:*",
                "sso-directory:*",
                "logs:*",
                "cloudformation:*",
                "kms:*",
                "iam:GetRole",
                "iam:CreateRole",
                "iam:GetSAMLProvider",
                "iam:CreateSAMLProvider",
                "iam:CreateServiceLinkedRole",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy",
                "iam:ListAttachedRolePolicies",
                "iam:AttachRolePolicy",
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy"
            ],
            "Resource": "*"
        }
    ]
}