Registrazione centralizzata e barriere di sicurezza per più account

Avvia il modello Childaccount_ IAM CloudFormation _Role_all_accounts.yaml per creare il ruolo nella regione us-east-1. IAM

Per creare i IAM ruoli e le autorizzazioni richiesti, è necessario avviare manualmente questo modello in ogni account, uno per uno (account di registrazione centralizzato, account di sicurezza principale e tutti gli altri AWS account dell'organizzazione) nella regione us-east-1. Il Childaccount_IAM_role_All_Accounts.yaml modello si trova nella cartella del pacchetto. /templates/initial_deployment_templates Il IAM ruolo viene utilizzato quando si effettuano API chiamate per il provisioning e la configurazione del resto dell'architettura. Assicurati che il nome del IAM ruolo passato come parametro sia coerente in tutti gli account.

Nei parametri del modello, fornisci il nome del IAM ruolo.

Fornisci il IAM ruolo che CodeBuild, nell'account di sicurezza principale, può assumere in tutti gli altri account secondari. Il nome del ruolo predefinito è security_execute_child_stack_role.

Nei parametri, fornisci l'ID dell'account di sicurezza principale.

L'account di sicurezza principale è l'account su cui CodeBuild viene eseguito.

Nell'account di registrazione centralizzato, in us-east-1, avvia il modello S3Buckets-Centralized- .yaml. LoggingAccount CloudFormation

Per creare i bucket S3 nell'account di registrazione centralizzato, avvia il. S3Buckets-Centralized-LoggingAccount.yaml Il modello si trova nella /templates/initial_deployment_templates cartella del pacchetto. I bucket S3 memorizzeranno tutti i log, i modelli e i log di accesso di Amazon S3. Prendi nota di tutti i nomi dei bucket S3, che utilizzerai per modificare i file dei parametri nei passaggi seguenti.

Nei parametri del modello, fornisci il nome del bucket S3 per l'archiviazione dei AWS log.

Immettete un nome per il parametro. S3 Bucket Name for Centralized Logging in Logging Account Questo bucket funge da posizione centralizzata per archiviare AWS i log, come i log di flusso e i CloudTrail log, di tutti gli account. Prendi nota sia del nome del bucket che dell'Amazon Resource Name (ARN).

Fornisci il nome del bucket S3 per archiviare i log di accesso.

Immettete il nome di un bucket S3 per il parametro. S3 Bucket Name for Access Logs in Logging Account Questo bucket S3 memorizza i log di accesso per Amazon S3.

Fornisci il nome del bucket S3 per l'archiviazione dei modelli.

Inserisci il nome di un bucket S3 nel parametro. S3 Bucket Name for CloudFormation Template storage in Logging Account

Fornisci l'ID dell'organizzazione.

Per fornire l'accesso ai bucket S3 all'interno dell'organizzazione, inserisci l'ID dell'organizzazione nel Organization Id for Non-AMS accounts parametro.

Avvia il modello security-guard-rails-codepipeline -Centralized- SecurityAccount .yml. CloudFormation

Per implementare la pipeline CI/CD, avvia manualmente il security-guard-rails-codepipeline-Centralized-SecurityAccount.yml modello nell'account di sicurezza principale in us-east-1. Il modello si trova nella directory del pacchetto. /templates/initial_deployment_templates Questa pipeline implementerà tutta l'infrastruttura in tutti gli account secondari.

Fornisci un nome per il bucket S3 che memorizzerà i modelli nell'account di registrazione centralizzato.

Inserisci il nome del bucket S3 che hai fornito per il parametro nel passaggio 2. S3 Bucket Name for the CloudFormation Template storage in Logging Account

Fornisci il nome del IAM ruolo da utilizzare negli account per bambini.

Inserisci il nome che hai fornito per il Name of the IAM role parametro nel passaggio 1.

Fornisci un indirizzo email attivo per ricevere le notifiche di CodePipeline errore.

Inserisci l'indirizzo e-mail che desideri utilizzare per ricevere notifiche di CodePipeline errore e altre notifiche relative agli CloudWatch allarmi.

Modifica AccountList.json.

Nel Accountlist.json file, che si trova al livello più alto del pacchetto, aggiungi il numero di account di sicurezza principale e i numeri di account secondario. Tieni presente che il ChildAccountList campo include anche il numero dell'account di sicurezza principale. Vedi l'esempio nel deployment-instructions.md file contenuto nel pacchetto.

Modifica accounts.csv

Nel accounts.csv file, che si trova al livello più alto del pacchetto, aggiungi tutti gli account secondari insieme all'e-mail registrata con gli account. Vedi l'esempio nel deployment-instructions.md file.

Modifica parameters.config.

Nel parameters.config file, che si trova nella /templates cartella, aggiorna i seguenti sei parametri:

Per gli altri parametri, puoi mantenere i valori predefiniti. Per un esempio, consultate il deployment-instructions.md file contenuto nel pacchetto.

Accedi al CodeCommit repository che hai creato nel passaggio 3.

Dalla sezione Outputs dello CloudFormation stack di infrastruttura CI/CD (avviato nella fase 3), annota il nome del repository. CodeCommit URL Crea l'accesso al repository in modo che i file possano essere inviati al repository per l'implementazione dell'infrastruttura in tutti gli account di destinazione. Per ulteriori informazioni, consulta Configurazione per. AWS CodeCommit

Invia i file al CodeCommit repository.

Installa Git sulla tua macchina. Quindi esegui i comandi Git per clonare l'archivio vuoto, copiare i file dal laptop alla cartella del repository e inviare gli artefatti al repository. Controlla i comandi Git di esempio nel deployment-instructions.md file del pacchetto. Per i comandi Git di base, consulta la sezione Risorse correlate.

Conferma lo stato di CodePipeline and CodeBuild.

Dopo aver inviato gli artefatti al CodeCommit repository, verifica che la CodePipeline pipeline creata nel passaggio 3 sia stata avviata. Quindi controllate i CodeBuild log per confermare lo stato o gli errori.