Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Sesuaikan akun dengan Kustomisasi Pabrik Akun (AFC)

AWS Control Tower memungkinkan Anda menyesuaikan yang baru dan yang sudah ada Akun AWS saat Anda menyediakan sumber daya mereka dari konsol AWS Control Tower. Setelah Anda mengatur kustomisasi Account Factory, AWS Control Tower mengotomatiskan proses ini untuk penyediaan di masa mendatang, sehingga Anda tidak perlu memelihara pipeline apa pun. Akun yang disesuaikan tersedia untuk digunakan segera setelah sumber daya disediakan.

Menyediakan akun baru dengan cetak biru

Akun kustom Anda disediakan di Pabrik Akun AWS Control Tower, melalui CloudFormation templat, atau dengan Terraform. Anda akan menentukan template yang berfungsi sebagai cetak biru akun yang disesuaikan. Cetak biru Anda menjelaskan sumber daya dan konfigurasi tertentu yang Anda perlukan saat akun disediakan. Pre-defined cetak biru, dibangun dan dikelola oleh AWS mitra, juga tersedia. Untuk informasi selengkapnya tentang cetak biru yang dikelola mitra, lihat Perpustakaan Mem AWS Service Catalog ulai.

Menerapkan cetak biru ke akun yang ada

Anda juga dapat menerapkan cetak biru khusus ke akun yang ada, dengan mengikuti langkah-langkah Per barui akun di konsol AWS Control Tower. Lihat perinciannya di Perbarui akun di konsol.

Definisi: Akun hub Anda

Cetak biru akun Anda disimpan dalam Akun AWS, yang untuk tujuan kami disebut sebagai akun hub. Cetak biru disimpan dalam bentuk produk Katalog Layanan. Kami menyebut produk ini cetak biru, untuk membedakannya dari produk Katalog Layanan lainnya. Untuk mempelajari selengkapnya tentang cara membuat produk Katalog Layanan, lihat Membuat produk di Panduan AWS Service Catalog Administrator.

Untuk informasi selengkapnya tentang bekerja dengan AFC, lihat Men gotomatiskan kustomisasi akun menggunakan Kustomisasi Pabrik Akun di AWS Control Tower.

Pertimbangan untuk Kustomisasi Pabrik Akun (AFC)

Jika terjadi kesalahan cetak biru

Kesalahan saat menerapkan cetak biru

Jika terjadi kesalahan selama proses penerapan cetak biru ke akun—baik akun baru atau akun yang sudah ada yang Anda daftarkan ke AWS Control Tower—prosedur pemulihannya sama. Akun akan ada, tetapi tidak disesuaikan, dan tidak terdaftar ke AWS Control Tower. Untuk melanjutkan, ikuti langkah-langkah untuk mendaftarkan akun ke AWS Control Tower, dan tambahkan cetak biru pada saat pendaftaran.

Kesalahan saat membuat AWSControlTowerBlueprintAccess peran, dan solusinya

Saat membuat AWSControlTowerBlueprintAccess peran dari akun AWS Control Tower, Anda harus masuk sebagai kepala sekolah menggunakan AWSControlTowerExecution peran tersebut. Jika Anda masuk seperti yang lain, CreateRole operasi dicegah oleh SCP, seperti yang ditunjukkan pada artefak berikut:

{
            "Condition": {
                "ArnNotLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:role/AWSControlTowerExecution",
                        "arn:aws:iam::*:role/stacksets-exec-*"
                    ]
                }
            },
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:DeleteRolePermissionsBoundary",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePermissionsBoundary",
                "iam:PutRolePolicy",
                "iam:UpdateAssumeRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-controltower-*",
                "arn:aws:iam::*:role/*AWSControlTower*",
                "arn:aws:iam::*:role/stacksets-exec-*"
            ],
            "Effect": "Deny",
            "Sid": "GRIAMROLEPOLICY"
        }

Solusi berikut tersedia:

Menyesuaikan dokumen kebijakan Anda untuk cetak biru AFC berdasarkan CloudFormation

Saat Anda mengaktifkan cetak biru melalui pabrik akun, AWS Control Tower mengarahkan CloudFormation untuk membuat sebuah StackSet atas nama Anda. CloudFormation memerlukan akses ke akun terkelola Anda untuk membuat CloudFormation tumpukan di StackSet. Meskipun CloudFormation sudah memiliki hak administrator di akun terkelola melalui AWSControlTowerExecution peran, peran ini tidak dapat diasumsikan oleh CloudFormation.

Sebagai bagian dari mengaktifkan cetak biru, AWS Control Tower membuat peran di akun anggota, yang CloudFormation dapat diasumsikan untuk menyelesaikan tugas StackSet manajemen. Cara termudah untuk mengaktifkan cetak biru khusus melalui pabrik akun adalah dengan menggunakan kebijakan al low-all, karena kebijakan tersebut kompatibel dengan template cetak biru apa pun.

Namun, praktik terbaik menyarankan Anda harus membatasi izin untuk CloudFormation akun target. Anda dapat memberikan kebijakan khusus, yang diterapkan AWS Control Tower untuk peran yang dibuat CloudFormation untuk digunakan. Misalnya, jika cetak biru Anda membuat Parameter SSM yang disebut som ething-important, Anda dapat memberikan kebijakan berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFormationActionsOnStacks",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": "arn:aws:cloudformation:*:*:stack/*"
        },
        {
            "Sid": "AllowSsmParameterActions",
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                 "ssm:DeleteParameter",
                 "ssm:GetParameter",
                 "ssm:GetParameters"
            ],
            "Resource": "arn:*:ssm:*:*:parameter/something-important"
        }
    ]
}

Per AllowCloudFormationActionsOnStacks nyataan ini diperlukan untuk semua kebijakan kustom AFC; CloudFormation menggunakan peran ini untuk membuat instans tumpukan, oleh karena itu diperlukan izin untuk melakukan CloudFormation tindakan pada tumpukan. AllowSsmParameterActionsBagian ini khusus untuk template yang diaktifkan.

Menyelesaikan masalah izin

Saat Anda mengaktifkan cetak biru dengan kebijakan terbatas, Anda mungkin menemukan bahwa tidak ada cukup izin untuk mengaktifkan cetak biru. Untuk mengatasi masalah ini, revisi dokumen kebijakan Anda dan perbarui preferensi cetak biru akun anggota untuk menggunakan kebijakan yang diperbaiki. Untuk memeriksa apakah kebijakan cukup untuk mengaktifkan cetak biru, pastikan CloudFormation izin diberikan, dan Anda dapat membuat tumpukan secara langsung menggunakan peran tersebut.

Izin tambahan diperlukan untuk membuat produk Katalog Terraform-based Layanan

Saat Anda membuat produk AWS Service Catalog Eksternal dengan file konfigurasi Terraform untuk AFC, AWS Service Catalog memerlukan izin tertentu untuk ditambahkan ke kebijakan IAM kustom AFC Anda, selain izin yang diperlukan untuk membuat sumber daya yang ditentukan dalam template Anda. Jika Anda memilih kebijakan Admin lengkap default, Anda tidak perlu menambahkan izin tambahan ini.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya tentang membuat produk Terraform menggunakan jenis produk Eksternal di AWS Service Catalog, lihat Langkah 5: Membuat peran peluncuran di Panduan Administrator Katalog Layanan.

Transisi ke AWS Service Catalog Jenis produk eksternal

AWS Service Catalog mengubah dukungan untuk produk Terraform Open Source dan produk yang disediakan ke jenis produk baru, yang disebut Eksternal. Untuk mempelajari lebih lanjut tentang transisi ini, tinj au Memperbarui produk Terraform Open Source yang ada dan produk yang disediakan ke jenis produk Eksternal di panduan administrator. AWS Service Catalog

Perubahan ini memengaruhi akun yang sudah ada yang Anda buat atau daftarkan dengan kustomisasi pabrik akun AWS Control Tower. Untuk mengalihkan akun ini ke jenis produk Eksternal, Anda perlu membuat perubahan di kedua AWS Service Catalog dan AWS Control Tower.