Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Personalizza gli account con Account Factory Customization (AFC)

AWS Control Tower ti consente di personalizzare nuove ed esistenti Account AWS quando esegui il provisioning delle loro risorse dalla console AWS Control Tower. Dopo aver impostato la personalizzazione di Account Factory, AWS Control Tower automatizza questo processo per il provisioning futuro, in modo da non dover mantenere alcuna pipeline. Gli account personalizzati sono disponibili per l'uso subito dopo il provisioning delle risorse.

Effettua il provisioning di nuovi account con blueprint

Il provisioning degli account personalizzati viene eseguito in AWS Control Tower Account Factory, tramite CloudFormation modelli o con Terraform. Definirai un modello che funge da modello di account personalizzato. Il tuo blueprint descrive le risorse e le configurazioni specifiche necessarie per il provisioning di un account. Pre-defined Sono disponibili anche i blueprint, creati e gestiti dai AWS partner. Per ulteriori informazioni sui blueprint gestiti dai partner, consulta la Getting Started Library. AWS Service Catalog

Applica i blueprint agli account esistenti

Puoi applicare blueprint personalizzati agli account esistenti, inoltre, seguendo la procedura di aggiornamento dell'account nella console AWS Control Tower. Per informazioni dettagliate, vedi Aggiorna l'account nella console.

Definizione: il tuo account hub

I blueprint del tuo account sono archiviati in un Account AWS, che per i nostri scopi viene definito account hub. I blueprint vengono archiviati sotto forma di un prodotto del Service Catalog. Chiamiamo questo prodotto un progetto, per distinguerlo da qualsiasi altro prodotto del Service Catalog. Per saperne di più su come creare prodotti Service Catalog, vedi Creazione di prodotti nella Guida per l'AWS Service Catalog amministratore.

Per ulteriori informazioni sull'utilizzo di AFC, consulta Automatizzare la personalizzazione degli account utilizzando Account Factory Customization in AWS Control Tower.

Considerazioni sulle personalizzazioni di Account Factory (AFC)

In caso di errore del blueprint

Errore durante l'applicazione di un blueprint

Se si verifica un errore durante il processo di applicazione di un blueprint a un account, un nuovo account o un account esistente che stai registrando in AWS Control Tower, la procedura di ripristino è la stessa. L'account esisterà, ma non è personalizzato e non è registrato in AWS Control Tower. Per continuare, segui i passaggi per registrare l'account in AWS Control Tower e aggiungere il blueprint al momento della registrazione.

Errore durante la creazione del ruolo e soluzioni AWSControlTowerBlueprintAccess alternative

Quando si crea il AWSControlTowerBlueprintAccess ruolo da un account AWS Control Tower, è necessario accedere come principale utilizzando il ruolo. AWSControlTowerExecution Se hai effettuato l'accesso come qualsiasi altro utente, l'CreateRoleoperazione viene impedita da un SCP, come mostrato nell'artefatto che segue:

{
            "Condition": {
                "ArnNotLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:role/AWSControlTowerExecution",
                        "arn:aws:iam::*:role/stacksets-exec-*"
                    ]
                }
            },
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:DeleteRolePermissionsBoundary",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePermissionsBoundary",
                "iam:PutRolePolicy",
                "iam:UpdateAssumeRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-controltower-*",
                "arn:aws:iam::*:role/*AWSControlTower*",
                "arn:aws:iam::*:role/stacksets-exec-*"
            ],
            "Effect": "Deny",
            "Sid": "GRIAMROLEPOLICY"
        }

Sono disponibili le seguenti soluzioni alternative:

Personalizzazione del documento programmatico per i progetti AFC in base a CloudFormation

Quando abiliti un blueprint tramite account factory, AWS Control Tower ordina di crearne uno CloudFormation per tuo conto. StackSet CloudFormation richiede l'accesso al tuo account gestito per creare CloudFormation stack in. StackSet Sebbene disponga CloudFormation già dei privilegi di amministratore nell'account gestito tramite il AWSControlTowerExecution ruolo, questo ruolo non è assumibile da. CloudFormation

Come parte dell'abilitazione di un progetto, AWS Control Tower crea un ruolo nell'account membro, che CloudFormation può assumere il completamento delle StackSet attività di gestione. Il modo più semplice per abilitare il tuo blueprint personalizzato tramite account factory è utilizzare una policy all-allow, perché tali policy sono compatibili con qualsiasi modello di blueprint.

Tuttavia, le best practice suggeriscono di limitare le autorizzazioni per CloudFormation l'account di destinazione. Puoi fornire una policy personalizzata, che AWS Control Tower applica al ruolo creato CloudFormation per essere utilizzato. Ad esempio, se il tuo progetto crea un parametro SSM chiamato something-important, potresti fornire la seguente policy:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFormationActionsOnStacks",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": "arn:aws:cloudformation:*:*:stack/*"
        },
        {
            "Sid": "AllowSsmParameterActions",
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                 "ssm:DeleteParameter",
                 "ssm:GetParameter",
                 "ssm:GetParameters"
            ],
            "Resource": "arn:*:ssm:*:*:parameter/something-important"
        }
    ]
}

La AllowCloudFormationActionsOnStacks dichiarazione è obbligatoria per tutte le politiche personalizzate AFC; CloudFormation utilizza questo ruolo per creare istanze di stack, pertanto richiede l'autorizzazione per eseguire azioni sugli stack. CloudFormation La AllowSsmParameterActions sezione è specifica per il modello da abilitare.

Risolvi i problemi di autorizzazione

Quando abiliti un blueprint con una policy limitata, potresti scoprire che non ci sono autorizzazioni sufficienti per abilitare il blueprint. Per risolvere questi problemi, rivedi il documento della politica e aggiorna le preferenze del blueprint dell'account membro per utilizzare la politica corretta. Per verificare che la policy sia sufficiente per abilitare il blueprint, assicurati che le CloudFormation autorizzazioni siano concesse e che tu possa creare uno stack utilizzando direttamente quel ruolo.

Sono necessarie autorizzazioni aggiuntive per creare un Terraform-based prodotto Service Catalog

Quando si crea un prodotto AWS Service Catalog esterno con un file di configurazione Terraform per AFC, è AWS Service Catalog necessario aggiungere determinate autorizzazioni alla politica IAM personalizzata di AFC, oltre alle autorizzazioni necessarie per creare le risorse definite nel modello. Se scegli la politica di amministrazione completa predefinita, non è necessario aggiungere queste autorizzazioni aggiuntive.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        }
    ]
}

Per ulteriori informazioni sulla creazione di prodotti Terraform utilizzando il tipo di prodotto esterno in AWS Service Catalog, consulta la Fase 5: Create launch roles nella Service Catalog Administrator Guide.

Transizione al AWS Service Catalog Tipo di prodotto esterno

AWS Service Catalog ha modificato il supporto per i prodotti Terraform Open Source e i prodotti predisposti con un nuovo tipo di prodotto, chiamato External. Per saperne di più su questa transizione, consulta Aggiornamento dei prodotti Terraform Open Source esistenti e dei prodotti predisposti al tipo di prodotto esterno nella guida per l'amministratore. AWS Service Catalog

Questa modifica ha effetto sugli account esistenti che hai creato o registrato con la personalizzazione di fabbrica degli account AWS Control Tower. Per passare da questi account al tipo di prodotto esterno, è necessario apportare modifiche sia in AWS Control Tower che AWS Service Catalog in AWS Control Tower.