As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Personalizar contas com Account Factory Customization (AFC)

O AWS Control Tower permite que você personalize recursos novos e existentes Contas da AWS ao provisionar seus recursos a partir do console do AWS Control Tower. Depois de configurar a personalização do Account Factory, o AWS Control Tower automatiza esse processo para provisionamento futuro, para que você não precise manter nenhum pipeline. Contas personalizadas estão disponíveis para uso imediatamente após o provisionamento dos recursos.

Provisione novas contas com esquemas

Suas contas personalizadas são provisionadas na AWS Control Tower Account Factory, por meio de CloudFormation modelos ou com o Terraform. Você definirá um modelo que serve como esquema de conta personalizado. Seu esquema descreve os recursos e configurações específicos que você precisa quando uma conta é provisionada. Pre-defined plantas, criadas e gerenciadas por AWS parceiros, também estão disponíveis. Consulte mais informações sobre esquemas gerenciados por parceiros em AWS Service Catalog Getting Started Library.

Aplicar esquemas às contas existentes

Você também pode aplicar esquemas personalizados às contas existentes seguindo as etapas de Atualizar conta no console do AWS Control Tower. Para obter detalhes, consulte Atualizar a conta no console.

Definição: sua conta central

Os planos de sua conta são armazenados em uma Conta da AWS, que para nossos propósitos é chamada de conta hub. Os esquemas são armazenados na forma de um produto do Service Catalog. Chamamos esse produto de esquema, para diferenciá-lo de qualquer outro produto do Service Catalog. Consulte mais sobre como criar produtos do Service Catalog em Creating products no Guia do administrador do AWS Service Catalog .

Consulte mais informações sobre como trabalhar com o AFC em Automate account customization using Account Factory Customization in AWS Control Tower.

Considerações sobre o Account Factory Customizations (AFC)

Em caso de erro de esquema

Erro ao aplicar um esquema

Se ocorrer um erro durante o processo de aplicação de um esquema em uma conta: seja uma conta nova ou existente que você esteja inscrevendo no AWS Control Tower: o procedimento de recuperação será o mesmo. A conta existirá, mas não será personalizada nem estará inscrita no AWS Control Tower. Para continuar, siga as etapas para inscrever a conta no AWS Control Tower e adicionar o esquema no momento da inscrição.

Erro ao criar o perfil AWSControlTowerBlueprintAccess e soluções alternativas

Ao criar o perfil AWSControlTowerBlueprintAccess por uma conta do AWS Control Tower, você deve ter feito login como entidade principal usando o perfil AWSControlTowerExecution. Se você tiver feito login de qualquer outra forma, a operação CreateRole será impedida por uma SCP, conforme mostrado no artefato a seguir:

{
            "Condition": {
                "ArnNotLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:role/AWSControlTowerExecution",
                        "arn:aws:iam::*:role/stacksets-exec-*"
                    ]
                }
            },
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:DeleteRolePermissionsBoundary",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePermissionsBoundary",
                "iam:PutRolePolicy",
                "iam:UpdateAssumeRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-controltower-*",
                "arn:aws:iam::*:role/*AWSControlTower*",
                "arn:aws:iam::*:role/stacksets-exec-*"
            ],
            "Effect": "Deny",
            "Sid": "GRIAMROLEPOLICY"
        }

Estas soluções alternativas estão disponíveis:

Personalizando seu documento de política para esquemas da AFC com base em CloudFormation

Quando você habilita um esquema por meio da fábrica de contas, a AWS Control Tower orienta CloudFormation a criação de um StackSet em seu nome. CloudFormation requer acesso à sua conta gerenciada para criar CloudFormation pilhas no StackSet. Embora CloudFormation já tenha privilégios de administrador na conta gerenciada por meio da AWSControlTowerExecution função, essa função não pode ser assumida por. CloudFormation

Como parte da habilitação de um esquema, a Torre de Controle da AWS cria uma função na conta do membro, que CloudFormation pode presumir a conclusão das tarefas StackSet de gerenciamento. A maneira mais simples de habilitar seu esquema personalizado por meio do Account Factory é usar uma política de permissão total, pois essas políticas são compatíveis com qualquer modelo de esquema.

No entanto, as melhores práticas sugerem que você deve restringir as permissões CloudFormation na conta de destino. Você pode fornecer uma política personalizada, que a AWS Control Tower aplica à função que ela cria CloudFormation para ser usada. Por exemplo, se o esquema criar um parâmetro do SSM chamado something-important, você poderá fornecer a seguinte política:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFormationActionsOnStacks",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": "arn:aws:cloudformation:*:*:stack/*"
        },
        {
            "Sid": "AllowSsmParameterActions",
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                 "ssm:DeleteParameter",
                 "ssm:GetParameter",
                 "ssm:GetParameters"
            ],
            "Resource": "arn:*:ssm:*:*:parameter/something-important"
        }
    ]
}

A AllowCloudFormationActionsOnStacks declaração é obrigatória para todas as políticas personalizadas da AFC; CloudFormation usa essa função para criar instâncias de pilha, portanto, requer permissão para realizar CloudFormation ações em pilhas. A seção AllowSsmParameterActions é específica para o modelo que está sendo habilitado.

Resolver problemas de permissão

Ao habilitar um esquema com uma política restrita, você pode descobrir que não há permissões suficientes para habilitar o esquema. Para resolver esses problemas, revise seu documento de política e atualize as preferências do esquema da conta-membro para usar a política corrigida. Para verificar se a política é suficiente para ativar o blueprint, verifique se as CloudFormation permissões foram concedidas e se você pode criar uma pilha diretamente usando essa função.

Permissões adicionais necessárias para criar um produto do Terraform-based Service Catalog

Quando você está criando um produto AWS Service Catalog externo com um arquivo de configuração do Terraform para AFC, é AWS Service Catalog necessário adicionar determinadas permissões à sua política de IAM personalizada da AFC, além das permissões necessárias para criar os recursos definidos em seu modelo. Se escolher a política de administração completa padrão, você não precisará adicionar essas permissões extras.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        }
    ]
}

Para obter mais informações sobre como criar produtos Terraform usando o tipo de produto externo AWS Service Catalog, consulte Etapa 5: Criar funções de lançamento no Guia do administrador do Service Catalog.

Transição para o AWS Service Catalog Tipo de produto externo

AWS Service Catalog mudou o suporte para produtos Terraform Open Source e produtos provisionados para um novo tipo de produto, chamado External. Para saber mais sobre essa transição, revise Updating existing Terraform Open Source products and provisioned products to the External product type no Guia do administrador do AWS Service Catalog .

Essa alteração afeta as contas existentes que você criou ou inscreveu com a o Account Factory Customization do AWS Control Tower. Para fazer a transição dessas contas para o tipo de produto External, você precisa fazer alterações tanto no AWS Service Catalog quanto no AWS Control Tower.