Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione per la personalizzazione

Le sezioni successive illustrano i passaggi per configurare Account Factory per il processo di personalizzazione. Si consiglia di configurare l'amministratore delegato per l'account hub prima di iniziare questi passaggi.

Fase 1: Crea il ruolo richiesto

Prima di iniziare a personalizzare gli account, devi configurare un ruolo che contenga una relazione di fiducia tra AWS Control Tower e il tuo account hub. Se assunto, il ruolo concede ad AWS Control Tower l'accesso per amministrare l'account dell'hub. Il ruolo deve essere denominato. AWSControlTowerBlueprintAccess

AWS Control Tower assume questo ruolo per creare una risorsa Portfolio per tuo conto in AWS Service Catalog, quindi aggiungere il tuo blueprint come prodotto Service Catalog a questo portafoglio e quindi condividere questo portafoglio e il tuo blueprint con il tuo account membro durante il provisioning dell'account.

Sarai tu a creare il AWSControlTowerBlueprintAccess ruolo, come spiegato nelle sezioni seguenti.

Se il tuo account blueprint hub non è registrato in AWS Control Tower, il AWSControlTowerExecution ruolo non esisterà nell'account e non è necessario assumerlo prima di continuare con la configurazione del AWSControlTowerBlueprintAccess ruolo.

Il AWSControlTowerBlueprintAccessruolo deve essere impostato in modo da garantire la fiducia a due responsabili:

Ecco un esempio di policy di fiducia, simile a quella che dovrai includere per il tuo ruolo. Questa politica dimostra la migliore pratica di concedere l'accesso con privilegi minimi. Quando crei la tua policy, sostituisci il termine YourManagementAccountIdcon l'ID account effettivo del tuo account di gestione AWS Control Tower e sostituisci il termine YourControlTowerUserRolecon l'identificatore del ruolo IAM per il tuo account di gestione.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Policy sulle autorizzazioni richieste

AWS Control Tower richiede che la policy AWSServiceCatalogAdminFullAccess gestita denominata sia associata al AWSControlTowerBlueprintAccess ruolo. Questa policy fornisce le autorizzazioni necessarie quando consente ad AWS Control Tower di amministrare il portafoglio e le risorse AWS Service Catalog del prodotto. AWS Service Catalog Puoi allegare questa policy quando crei il ruolo nella console IAM.

Fase 2: Crea il prodotto AWS Service Catalog

Per creare un AWS Service Catalog prodotto, segui la procedura descritta in Creazione di prodotti nella Guida per l'AWS Service Catalog amministratore. Aggiungerai il blueprint del tuo account come modello quando creerai il AWS Service Catalog prodotto.

Puoi scaricare un AWS CloudFormation modello dal repository dell'architettura AWS Service Catalog di riferimento. Un esempio tratto da quel repository aiuta a configurare un piano di backup per le risorse.

Ecco un modello di esempio, per un'azienda fittizia chiamata Best Pets. Aiuta a configurare una connessione al loro database di animali domestici.

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

Fase 3. Rivedi il tuo progetto personalizzato

Puoi visualizzare il tuo blueprint nella AWS Service Catalog console. Per ulteriori informazioni, vedere Managing products nella Service Catalog Adminstrator Guide.

Fase 4. Chiama il tuo blueprint per creare un account personalizzato

Quando segui il flusso di lavoro Create account nella console AWS Control Tower, vedrai una sezione opzionale in cui puoi inserire informazioni sul blueprint che desideri utilizzare per personalizzare gli account.

Per ulteriori dettagli, consulta Crea un account personalizzato a partire da un blueprint.