翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Account Factory Customization を使用してアカウントをカスタマイズする (AFC）

AWS Control Tower では、Control Tower コンソールからリソースをプロビジョニング AWS アカウント するときに、新規および既存の AWS をカスタマイズできます。Account Factory のカスタマイズを設定すると、AWSControl Tower は今後のプロビジョニングのためにこのプロセスを自動化するため、パイプラインを維持する必要はありません。カスタマイズされたアカウントは、リソースがプロビジョニングされるとすぐに使用できます。

カスタマイズされたアカウントは、Account Factory、 AWS CloudFormation テンプレート、または Terraform を使用してプロビジョニングされます。カスタマイズされたアカウントのブループリントとして機能するテンプレートは、ユーザーが定義します。ブループリントでは、アカウントのプロビジョニング時に必要な特定のリソースと設定が記述されています。 AWS パートナーによって構築および管理される事前定義された設計図も利用できます。パートナーが管理するブループリントの詳細については、「AWS Service Catalog 入門ライブラリ」を参照してください。

アカウントのブループリントは に保存されます。このため AWS アカウント、ハブアカウントと呼ばれます。ブループリントは Service Catalog 製品の形式で保存されます。他の Service Catalog 製品と区別するために、この製品をブループリントと呼びます。Service Catalog 製品の作成方法の詳細については、「AWS Service Catalog 管理者ガイド」の「製品の作成」を参照してください。

既存のアカウントにブループリントを適用

AWS Control Tower コンソールのアカウントの更新ステップに従って、カスタマイズされたブループリントを既存のアカウントに適用することもできます。詳細については、「コンソールでアカウントを更新する」を参照してください。

の操作の詳細についてはAFC、AWS「Control Tower の Account Factory Customization を使用してアカウントのカスタマイズを自動化する」を参照してください。

Account Factory のカスタマイズに関する考慮事項 (AFC）

ブループリントエラーが発生した場合

ブループリントの適用中のエラー

AWS Control Tower に登録する新しいアカウントまたは既存のアカウントのいずれかにブループリントを適用するプロセス中にエラーが発生した場合、復旧手順は同じです。アカウントは存在しますが、カスタマイズされておらず、AWSControl Tower に登録されていません。続行するには、手順に従ってアカウントを AWS Control Tower に登録し、登録時にブループリントを追加します。

AWSControlTowerBlueprintAccess ロール作成中のエラーと回避策

AWS Control Tower アカウントからAWSControlTowerBlueprintAccessロールを作成するときは、AWSControlTowerExecutionロールを使用してプリンシパルとしてサインインする必要があります。他の としてサインインしている場合、次のアーティファクトに示すようにSCP、 CreateRole オペレーションは によって防止されます。

{
            "Condition": {
                "ArnNotLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:role/AWSControlTowerExecution",
                        "arn:aws:iam::*:role/stacksets-exec-*"
                    ]
                }
            },
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:DeleteRolePermissionsBoundary",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePermissionsBoundary",
                "iam:PutRolePolicy",
                "iam:UpdateAssumeRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-controltower-*",
                "arn:aws:iam::*:role/*AWSControlTower*",
                "arn:aws:iam::*:role/stacksets-exec-*"
            ],
            "Effect": "Deny",
            "Sid": "GRIAMROLEPOLICY"
        }

以下の回避策を使用できます。

に基づくAFC設計図のポリシードキュメントのカスタマイズ CloudFormation

Account Factory を通じてブループリントを有効にすると、AWSControl Tower は StackSet ユーザーに代わって を作成する AWS CloudFormation ように に指示します。 では、 でスタックを作成 AWS CloudFormation するために、マネージドアカウントへのアクセス AWS CloudFormation が必要です StackSet。には、 AWSControlTowerExecutionロールを通じてマネージドアカウントの管理者権限が AWS CloudFormation 既にありますが、このロールは によって引き受けることはできません AWS CloudFormation。

設計図の有効化の一環として、AWSControl Tower はメンバーアカウントにロールを作成します。このロールは、 が StackSet 管理タスクを完了するために引き受ける AWS CloudFormation 場合があります。Account Factory を使用してカスタマイズ済みブループリントを有効にする最も簡単な方法は、allow-all ポリシーを使用することです。このようなポリシーはすべてのブループリントテンプレートと互換性があるためです。

ただし、ベストプラクティスでは、ターゲットアカウントの AWS CloudFormation のアクセス許可を制限する必要があることを提案しています。Control AWS Tower が作成するロールに適用して AWS CloudFormation 使用するためにカスタマイズされたポリシーを指定できます。例えば、設計図で何か重要なSSMパラメータを作成する場合は、次のポリシーを指定できます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFormationActionsOnStacks",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": "arn:aws:cloudformation:*:*:stack/*"
        },
        {
            "Sid": "AllowSsmParameterActions",
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                 "ssm:DeleteParameter",
                 "ssm:GetParameter",
                 "ssm:GetParameters"
            ],
            "Resource": "arn:*:ssm:*:*:parameter/something-important"
        }
    ]
}

AllowCloudFormationActionsOnStacks ステートメントはすべてのAFCカスタムポリシーに必要です。このロール AWS CloudFormation を使用してスタックインスタンスを作成するため、スタックで AWS CloudFormation アクションを実行するアクセス許可が必要です。AllowSsmParameterActions セクションは、有効になっているテンプレートに固有です。

権限に関する問題の解決

制限付きポリシーを使用してブループリントを有効にするとき、ブループリントを有効にする権限が不足していることがあります。このような問題を解決するには、ポリシードキュメントを改訂し、修正されたポリシーを使用するようにメンバーアカウントのブループリント設定を更新します。ポリシーが設計図を有効にするのに十分であることを確認するには、 AWS CloudFormation アクセス許可が付与されていること、およびそのロールを使用してスタックを直接作成できることを確認します。

Terraform ベースの Service Catalog 製品の作成に必要な追加のアクセス許可

の Terraform 設定ファイルを使用して AWS Service Catalog External 製品を作成する場合AFC、 AWS Service Catalog では、テンプレートで定義されたリソースの作成に必要なアクセス許可に加えて、AFCカスタムIAMポリシーに特定のアクセス許可を追加する必要があります。デフォルトのフル Admin ポリシーを選択した場合は、これらの追加のアクセス許可を追加する必要はありません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        }
    ]
}

で External 製品タイプを使用して Terraform 製品を作成する方法の詳細については AWS Service Catalog、「Service Catalog 管理者ガイド」の「ステップ 5: 起動ロールを作成する」を参照してください。