Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kustomisasi akun dengan Kustomisasi Account Factory (AFC)

AWS Control Tower memungkinkan Anda menyesuaikan yang baru dan yang sudah ada Akun AWS saat Anda menyediakan sumber daya mereka dari konsol AWS Control Tower. Setelah menyiapkan kustomisasi pabrik akun, AWS Control Tower mengotomatiskan proses ini untuk penyediaan di masa mendatang, sehingga Anda tidak perlu memelihara saluran pipa apa pun. Akun yang disesuaikan tersedia untuk digunakan segera setelah sumber daya disediakan.

Akun khusus Anda disediakan di pabrik akun, melalui AWS CloudFormation templat, atau dengan Terraform. Anda akan menentukan template yang berfungsi sebagai cetak biru akun yang disesuaikan. Cetak biru Anda menjelaskan sumber daya dan konfigurasi spesifik yang Anda perlukan saat akun disediakan. Cetak biru yang telah ditentukan sebelumnya, dibangun dan dikelola oleh AWS mitra, juga tersedia. Untuk informasi selengkapnya tentang cetak biru yang dikelola mitra, lihat Pustaka Memulai.AWS Service Catalog

Cetak biru akun Anda disimpan dalam Akun AWS, yang untuk tujuan kami disebut sebagai akun hub. Blueprints disimpan dalam bentuk produk Service Catalog. Kami menyebut produk ini cetak biru, untuk membedakannya dari produk Service Catalog lainnya. Untuk mempelajari lebih lanjut tentang cara membuat produk Service Catalog, lihat Membuat produk di Panduan AWS Service Catalog Administrator.

Terapkan cetak biru ke akun yang ada

Anda juga dapat menerapkan cetak biru yang disesuaikan ke akun yang ada, dengan mengikuti langkah-langkah Perbarui akun di konsol AWS Control Tower. Lihat perinciannya di Perbarui akun di konsol.

Untuk informasi selengkapnya tentang bekerja dengan AFC, lihat Mengotomatiskan penyesuaian akun menggunakan Kustomisasi Account Factory di AWS Control Tower.

Pertimbangan untuk Kustomisasi Account Factory (AFC)

Jika terjadi kesalahan cetak biru

Kesalahan saat menerapkan cetak biru

Jika terjadi kesalahan selama proses penerapan cetak biru ke akun — baik akun baru atau akun yang sudah ada yang Anda daftarkan ke AWS Control Tower — prosedur pemulihannya sama. Akun akan ada, tetapi tidak disesuaikan, dan tidak terdaftar ke AWS Control Tower. Untuk melanjutkan, ikuti langkah-langkah untuk mendaftarkan akun ke AWS Control Tower, dan tambahkan cetak biru pada saat pendaftaran.

Kesalahan saat membuat AWSControlTowerBlueprintAccess peran, dan solusi

Saat membuat AWSControlTowerBlueprintAccess peran dari akun AWS Control Tower, Anda harus masuk sebagai prinsipal menggunakan AWSControlTowerExecution peran tersebut. Jika Anda masuk seperti yang lain, CreateRole operasi dicegah oleh SCP, seperti yang ditunjukkan dalam artefak berikut:

{
            "Condition": {
                "ArnNotLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:role/AWSControlTowerExecution",
                        "arn:aws:iam::*:role/stacksets-exec-*"
                    ]
                }
            },
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:DeleteRolePermissionsBoundary",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePermissionsBoundary",
                "iam:PutRolePolicy",
                "iam:UpdateAssumeRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-controltower-*",
                "arn:aws:iam::*:role/*AWSControlTower*",
                "arn:aws:iam::*:role/stacksets-exec-*"
            ],
            "Effect": "Deny",
            "Sid": "GRIAMROLEPOLICY"
        }

Solusi berikut tersedia:

Menyesuaikan dokumen kebijakan Anda untuk cetak biru AFC berdasarkan CloudFormation

Saat Anda mengaktifkan cetak biru melalui pabrik akun, AWS Control Tower mengarahkan AWS CloudFormation untuk membuat atas nama Anda. StackSet AWS CloudFormation memerlukan akses ke akun terkelola Anda untuk membuat AWS CloudFormation tumpukan di. StackSet Meskipun AWS CloudFormation sudah memiliki hak administrator di akun yang dikelola melalui AWSControlTowerExecution peran, peran ini tidak dapat diasumsikan oleh. AWS CloudFormation

Sebagai bagian dari mengaktifkan cetak biru, AWS Control Tower menciptakan peran dalam akun anggota, yang AWS CloudFormation dapat diasumsikan untuk menyelesaikan tugas manajemen. StackSet Cara termudah untuk mengaktifkan cetak biru khusus Anda melalui pabrik akun adalah dengan menggunakan kebijakan izinkan semua, karena kebijakan tersebut kompatibel dengan templat cetak biru apa pun.

Namun, praktik terbaik menyarankan bahwa Anda harus membatasi izin untuk AWS CloudFormation di akun target. Anda dapat memberikan kebijakan yang disesuaikan, yang diterapkan AWS Control Tower pada peran yang dibuatnya AWS CloudFormation untuk digunakan. Misalnya, jika cetak biru Anda membuat Parameter SSM yang disebut sesuatu yang penting, Anda dapat memberikan kebijakan berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFormationActionsOnStacks",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": "arn:aws:cloudformation:*:*:stack/*"
        },
        {
            "Sid": "AllowSsmParameterActions",
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                 "ssm:DeleteParameter",
                 "ssm:GetParameter",
                 "ssm:GetParameters"
            ],
            "Resource": "arn:*:ssm:*:*:parameter/something-important"
        }
    ]
}

AllowCloudFormationActionsOnStacksPernyataan ini diperlukan untuk semua kebijakan kustom AFC; AWS CloudFormation menggunakan peran ini untuk membuat instance tumpukan, oleh karena itu memerlukan izin untuk melakukan AWS CloudFormation tindakan pada tumpukan. AllowSsmParameterActionsBagian ini khusus untuk template yang diaktifkan.

Selesaikan masalah izin

Ketika Anda mengaktifkan cetak biru dengan kebijakan terbatas, Anda mungkin menemukan bahwa tidak ada cukup izin untuk mengaktifkan cetak biru. Untuk mengatasi masalah ini, revisi dokumen kebijakan Anda dan perbarui preferensi cetak biru akun anggota untuk menggunakan kebijakan yang diperbaiki. Untuk memastikan bahwa kebijakan tersebut cukup untuk mengaktifkan cetak biru, pastikan AWS CloudFormation izin diberikan, dan Anda dapat membuat tumpukan secara langsung menggunakan peran tersebut.

Izin tambahan diperlukan untuk membuat produk Service Catalog berbasis Terraform

Saat Anda membuat produk AWS Service Catalog Eksternal dengan file konfigurasi Terraform untuk AFC, AWS Service Catalog izin tertentu harus ditambahkan ke kebijakan IAM kustom AFC Anda, selain izin yang diperlukan untuk membuat sumber daya yang ditentukan dalam templat Anda. Jika Anda memilih kebijakan Admin lengkap default, Anda tidak perlu menambahkan izin tambahan ini.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya tentang membuat produk Terraform menggunakan jenis produk Eksternal AWS Service Catalog, lihat Langkah 5: Membuat peran peluncuran di Panduan Administrator Service Catalog.