Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Fase 1: Configura la tua zona di atterraggio

Il processo di configurazione della zona di destinazione di AWS Control Tower prevede diversi passaggi. Alcuni aspetti della zona di destinazione di AWS Control Tower sono configurabili, ma altre scelte non possono essere modificate dopo la configurazione. Per saperne di più su queste importanti considerazioni prima di lanciare la tua zona di atterraggio, consulta le aspettative sulla configurazione della zona di atterraggio.

Prima di utilizzare le API delle zone di destinazione di AWS Control Tower, devi prima chiamare le API di altri AWS servizi per configurare la tua zona di destinazione prima del lancio. Il processo include tre fasi principali:

Passaggio 1. Crea l'organizzazione che conterrà la tua zona di atterraggio:

Chiama l'CreateOrganizationAPI AWS Organizations e abilita tutte le funzionalità per creare l'unità organizzativa fondamentale. AWS Control Tower consiglia inoltre di creare un'unità organizzativa di sicurezza designata. Questa unità organizzativa di sicurezza deve contenere tutti gli account di integrazione dei servizi. Questi sarebbero l'account di archiviazione dei log e l'account di controllo per le versioni precedenti di Landing Zone.

aws organizations create-organization --feature-set ALL
                

AWS Control Tower può configurare una o più unità organizzative aggiuntive. Ti consigliamo di effettuare il provisioning di almeno un'unità organizzativa aggiuntiva nella tua zona di atterraggio, oltre all'unità di sicurezza. Se questa unità organizzativa aggiuntiva è destinata a progetti di sviluppo, ti consigliamo di denominarla Sandbox OU, come indicato nella strategia multi-account di AWS per la tua zona di destinazione AWS Control Tower.

Passaggio 2. Fornisci account di integrazione dei servizi, se necessario:

Per configurare la tua zona di destinazione, AWS Control Tower consente ai clienti di configurare le integrazioni dei servizi AWS. Ognuna di queste integrazioni di servizi può richiedere uno o più account centrali di integrazione dei servizi. Se utilizzi le API della zona di destinazione per configurare AWS Control Tower per la prima volta, devi fornire l'account di integrazione centrale per ogni integrazione del servizio AWS abilitata. Puoi utilizzare account AWS esistenti o effettuare il provisioning di questi account tramite la console AWS Control Tower o AWS le API di Organizations. Assicurati che questi account di integrazione dei servizi si trovino nell'unità organizzativa di sicurezza designata che si trova al livello principale della tua organizzazione.

Fase 3. Crea i ruoli di servizio richiesti

Crea i seguenti ruoli di servizio IAM nel percorso /service-role/ IAM che consentono ad AWS Control Tower di eseguire le chiamate API necessarie per configurare la tua zona di destinazione:

Per ulteriori informazioni su questi ruoli e le relative politiche, consultaUtilizzo di policy basate sull'identità (policy IAM) per AWS Control Tower.

Per creare un ruolo IAM:

Crea un ruolo IAM con le autorizzazioni necessarie per chiamare tutte le API delle zone di atterraggio. In alternativa, puoi creare un utente IAM Identity Center e assegnare le autorizzazioni necessarie.

{
    "Version": "2012-10-17",                   
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "backup:UpdateGlobalSettings",
                "controltower:CreateLandingZone",
                "controltower:UpdateLandingZone",
                "controltower:ResetLandingZone",
                "controltower:DeleteLandingZone",
                "controltower:GetLandingZoneOperation",
                "controltower:GetLandingZone",
                "controltower:ListLandingZones",
                "controltower:ListLandingZoneOperations",
                "controltower:ListTagsForResource",
                "controltower:TagResource",
                "controltower:UntagResource",
                "servicecatalog:*",
                "organizations:*",
                "organizations:RegisterDelegatedAdministrator",
                "organizations:EnableAWSServiceAccess",
                "organizations:DeregisterDelegatedAdministrator",
                "organizations:ListDelegatedAdministrators",
                "sso:*",
                "sso-directory:*",
                "logs:*",
                "cloudformation:*",
                "kms:*",
                "iam:GetRole",
                "iam:CreateRole",
                "iam:GetSAMLProvider",
                "iam:CreateSAMLProvider",
                "iam:CreateServiceLinkedRole",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy",
                "iam:ListAttachedRolePolicies",
                "iam:AttachRolePolicy",
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy"
            ],
            "Resource": "*"
        }
    ]
}