Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Siapkan untuk kustomisasi

Bagian selanjutnya memberikan langkah-langkah untuk menyiapkan Account Factory untuk proses kustomisasi. Kami menyarankan Anda menyiapkan admin yang didelegasikan untuk akun hub, sebelum memulai langkah-langkah ini.

Langkah 1. Buat peran yang diperlukan

Sebelum mulai menyesuaikan akun, Anda harus menyiapkan peran yang berisi hubungan kepercayaan antara AWS Control Tower dan akun hub Anda. Saat diasumsikan, peran tersebut memberikan akses AWS Control Tower untuk mengelola akun hub. Peran itu harus diberi nama AWSControlTowerBlueprintAccess.

AWS Control Tower mengasumsikan peran ini untuk membuat sumber daya Portofolio atas nama Anda AWS Service Catalog, lalu menambahkan cetak biru Anda sebagai Produk Katalog Layanan ke Portofolio ini, dan kemudian membagikan Portofolio ini, dan cetak biru Anda, dengan akun anggota Anda selama penyediaan akun.

Anda akan membuat AWSControlTowerBlueprintAccess peran, seperti yang dijelaskan di bagian berikut.

Jika akun hub cetak biru Anda tidak terdaftar di AWS Control Tower, AWSControlTowerExecution peran tersebut tidak akan ada di akun, dan tidak perlu berasumsi sebelum melanjutkan pengaturan peran. AWSControlTowerBlueprintAccess

AWSControlTowerBlueprintAccessPeran harus diatur untuk memberikan kepercayaan kepada dua kepala sekolah:

Berikut adalah contoh kebijakan kepercayaan, mirip dengan yang perlu Anda sertakan untuk peran Anda. Kebijakan ini menunjukkan praktik terbaik dalam memberikan akses hak istimewa paling sedikit. Saat Anda membuat kebijakan sendiri, ganti istilah YourManagementAccountIddengan ID acccount aktual akun manajemen AWS Control Tower Anda, dan ganti istilah tersebut YourControlTowerUserRoledengan pengenal peran IAM untuk akun manajemen Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Kebijakan izin yang diperlukan

AWS Control Tower mengharuskan kebijakan terkelola yang diberi nama AWSServiceCatalogAdminFullAccess harus dilampirkan ke AWSControlTowerBlueprintAccess peran. Kebijakan ini memberikan izin yang AWS Service Catalog dicari ketika AWS Control Tower mengizinkan AWS Control Tower mengelola portofolio dan sumber daya AWS Service Catalog Produk Anda. Anda dapat melampirkan kebijakan ini saat membuat peran di konsol IAM.

Langkah 2. Buat AWS Service Catalog produk

Untuk membuat AWS Service Catalog produk, ikuti langkah-langkah di Membuat produk di Panduan AWS Service Catalog Administrator. Anda akan menambahkan cetak biru akun Anda sebagai templat saat membuat produk. AWS Service Catalog

Anda dapat mengunduh AWS CloudFormation template dari repositori arsitektur AWS Service Catalog referensi. Salah satu contoh dari repositori itu membantu menyiapkan rencana cadangan untuk sumber daya Anda.

Berikut adalah contoh template, untuk perusahaan fiktif bernama Best Pets. Ini membantu mengatur koneksi ke database hewan peliharaan mereka.

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

Langkah 3. Tinjau cetak biru kustom Anda

Anda dapat melihat cetak biru Anda di konsol. AWS Service Catalog Untuk informasi selengkapnya, lihat Mengelola produk di Panduan Adminstrator Service Catalog.

Langkah 4. Hubungi cetak biru Anda untuk membuat akun yang disesuaikan

Saat mengikuti alur kerja Buat akun di konsol AWS Control Tower, Anda akan melihat bagian opsional tempat Anda dapat memasukkan informasi tentang cetak biru yang ingin Anda gunakan untuk menyesuaikan akun.

Untuk detail selengkapnya, lihat Buat akun yang disesuaikan dari cetak biru.