カスタマイズのための設定

次のセクションでは、カスタマイズプロセスのために Account Factory を設定する手順について説明します。これらの手順を開始する前に、ハブアカウントを委任管理者として設定することをお勧めします。

ステップ 1. 必要なロールを作成する

アカウントのカスタマイズを開始する前に、AWS Control Tower とハブアカウント間の信頼関係を含んでいるロールを設定する必要があります。このロールが継承されると、ハブアカウントを管理するためのアクセス権を AWS Control Tower に付与できます。ロールの名前は AWSControlTowerBlueprintAccess にする必要があります。

AWS Control Tower ではこのロールを継承することで、AWS Service Catalog に代わってポートフォリオリソースを作成して、ブループリントを Service Catalog 製品としてこのポートフォリオに追加し、アカウントのプロビジョニング中にこのポートフォリオとブループリントをメンバーアカウントと共有できます。

以下のセクションの説明に従って、AWSControlTowerBlueprintAccess ロールを作成します。

ブループリントハブアカウントが AWS Control Tower に登録されていない場合は、AWSControlTowerExecution ロールがアカウントに存在しないため、AWSControlTowerBlueprintAccess ロールのセットアップを続行する前にロールを継承する必要はありません。

AWSControlTowerBlueprintAccess ロールは、次の 2 つのプリンシパルに信頼を付与するように設定する必要があります。

次に信頼ポリシーの例を示します。これは、ロールに含める必要があるポリシーと似ています。このポリシーは、最小特権アクセスの付与のベストプラクティスを示しています。独自のポリシーを作成する場合は、YourManagementAccountId を AWS Control Tower 管理アカウントの実際のアカウント ID で置き換え、YourControlTowerUserRole を管理アカウントの IAM ロールの識別子で置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

必要なアクセス許可ポリシー

AWS Control Tower では、AWSServiceCatalogAdminFullAccess という名前の管理ポリシーを AWSControlTowerBlueprintAccess ロールにアタッチする必要があります。このポリシーによって、ポートフォリオと AWS Service Catalog 製品リソースの AWS Control Tower による管理を許可する際に AWS Service Catalog が必要とするアクセス許可が提供されます。このポリシーは、IAM コンソールでロールを作成するときにアタッチできます。

ステップ 2. AWS Service Catalog 製品を作成する

AWS Service Catalog 製品を作成するには、「AWS Service Catalog 管理者ガイド」の「製品の作成」の手順に従ってください。AWS Service Catalog 製品を作成するとき、アカウントのブループリントをテンプレートとして追加します。

AWS CloudFormation テンプレートは AWS Service Catalog リファレンスアーキテクチャリポジトリからダウンロードできます。そのリポジトリの例は、リソースのバックアッププランを設定するのに役立ちます。

以下は、Best Pets という架空の会社向けのテンプレートの例です。これは、ペットのデータベースへの接続を設定するのに役立ちます。

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

ステップ 3. カスタムブループリントを確認する

ブループリントは、AWS Service Catalog コンソールで確認できます。詳細については、「Service Catalog 管理者ガイド」の「製品の管理」を参照してください。

ステップ 4. ブループリントを呼び出して、カスタマイズされたアカウントを作成する

AWS Control Tower コンソールの[Create account] (アカウントの作成) ワークフローに従うと、オプションのセクションが表示され、アカウントのカスタマイズに使用できるブループリントに関する情報を入力できます。

詳細については、「ブループリントからカスタマイズされたアカウントを作成する」を参照してください。