사용자 지정 설정

다음 섹션에서는 사용자 지정 프로세스를 위해 Account Factory를 설정하는 단계를 설명합니다. 이 단계를 시작하기 전에 허브 계정에 대한 위임된 관리자를 설정하는 것이 좋습니다.

1단계. 필요한 역할 생성

계정 사용자 지정을 시작하기 전에 AWS Control Tower와 허브 계정 간 신뢰 관계가 포함된 역할을 설정해야 합니다. 이 역할은 허브 계정을 관리할 수 있는 액세스 권한을 AWS Control Tower에 부여합니다. 이 역할의 이름은 AWSControlTowerBlueprintAccess여야 합니다.

AWS Control Tower는 이 역할을 통해 AWS Service Catalog에서 사용자를 대신하여 포트폴리오 리소스를 생성한 다음 블루프린트를 이 포트폴리오에 Service Catalog 제품으로 추가하고 계정 프로비저닝 중에 이 포트폴리오와 블루프린트를 멤버 계정과 공유합니다.

다음 섹션에 설명된 대로 AWSControlTowerBlueprintAccess 역할을 생성합니다.

블루프린트 허브 계정이 AWS Control Tower에 등록되지 않은 경우 AWSControlTowerExecution 역할은 계정에 존재하지 않으므로 AWSControlTowerBlueprintAccess 역할 설정을 계속하기 전에 이를 수임할 필요가 없습니다.

AWSControlTowerBlueprintAccess 역할은 다음 두 보안 주체에 신뢰를 부여하도록 설정해야 합니다.

다음은 역할에 포함해야 하는 것과 유사한 신뢰 정책의 예제입니다. 이 정책은 최소 권한 액세스를 부여하는 모범 사례를 보여줍니다. 자체 정책을 만들 때 YourManagementAccountId라는 용어를 AWS Control Tower 관리 계정의 실제 계정 ID로 바꾸고, YourControlTowerUserRole이라는 용어를 관리 계정의 IAM 역할 식별자로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

필요한 권한 정책

AWS Control Tower에서는 AWSServiceCatalogAdminFullAccess이라는 관리형 정책을 AWSControlTowerBlueprintAccess 역할에 연결해야 합니다. 이 정책은 AWS Control Tower가 포트폴리오 및 AWS Service Catalog 제품 리소스를 관리할 수 있도록 허용할 때 AWS Service Catalog가 찾는 권한을 제공합니다. IAM 콘솔에서 역할을 생성할 때 이 정책을 연결할 수 있습니다.

2단계. AWS Service Catalog 제품 생성

AWS Service Catalog 제품을 생성하려면 AWS Service Catalog 관리자 안내서의 Creating products 섹션에 나와 있는 단계를 따라야 합니다. AWS Service Catalog 제품을 생성할 때 계정 블루프린트를 템플릿으로 추가합니다.

AWS Service Catalog 참조 아키텍처 리포지토리에서 AWS CloudFormation 템플릿을 다운로드할 수 있습니다. 해당 리포지토리의 한 가지 예제는 리소스에 대한 백업 계획을 설정하는 데 도움이 됩니다.

다음은 Best Pets라는 가상 회사에 대한 예제 템플릿입니다. 이 템플릿은 반려동물 데이터베이스에 대한 연결을 설정하는 데 도움이 됩니다.

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

3단계. 사용자 지정 블루프린트 검토

AWS Service Catalog 콘솔에서 블루프린트를 볼 수 있습니다. 자세한 내용은 Service Catalog 관리자 가이드의 Managing products 섹션을 참조하세요.

4단계. 블루프린트를 직접 호출하여 사용자 지정 계정을 생성합니다.

AWS Control Tower 콘솔에서 계정 생성 워크플로를 따르면 계정 사용자 지정에 사용할 블루프린트에 대한 정보를 입력할 수 있는 선택적 섹션이 표시됩니다.

자세한 내용은 블루프린트에서 사용자 지정 계정 생성를 참조하세요.