As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar para personalização

As próximas seções fornecem etapas para configurar o Account Factory para o processo de personalização. Recomendamos que você configure o administrador delegado para a conta do hub antes de iniciar essas etapas.

Etapa 1. Crie a função necessária

Antes de começar a personalizar contas, você deve configurar uma função que contenha uma relação de confiança entre o AWS Control Tower e sua conta do hub. Quando assumida, a função concede à AWS Control Tower acesso para administrar a conta do hub. A função deve ser nomeada AWSControlTowerBlueprintAccess.

O AWS Control Tower assume essa função para criar um recurso de portfólio em seu nome e AWS Service Catalog, em seguida, adicionar seu plano como um produto do Service Catalog a esse portfólio e, em seguida, compartilhar esse portfólio e seu plano com sua conta membro durante o provisionamento da conta.

Você criará a AWSControlTowerBlueprintAccess função, conforme explicado nas seções a seguir.

Se sua conta do Blueprint Hub não estiver inscrita no AWS Control Tower, a AWSControlTowerExecution função não existirá na conta e não há necessidade de assumi-la antes de continuar com a configuração da AWSControlTowerBlueprintAccess função.

A AWSControlTowerBlueprintAccessfunção deve ser configurada para conceder confiança a dois diretores:

Aqui está um exemplo de política de confiança, semelhante à que você precisará incluir para sua função. Essa política demonstra a melhor prática de conceder acesso com privilégios mínimos. Ao criar sua própria política, substitua o termo YourManagementAccountIdpelo ID real da conta de gerenciamento da sua conta de gerenciamento do AWS Control Tower e substitua o termo YourControlTowerUserRolepelo identificador da função do IAM para sua conta de gerenciamento.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Política de permissões necessárias

O AWS Control Tower exige que a política gerenciada nomeada AWSServiceCatalogAdminFullAccess seja anexada à AWSControlTowerBlueprintAccess função. Essa política fornece permissões que você AWS Service Catalog verifica quando permite que o AWS Control Tower administre seu portfólio e os recursos AWS Service Catalog do produto. Você pode anexar essa política ao criar a função no console do IAM.

Etapa 2. Crie o AWS Service Catalog produto

Para criar um AWS Service Catalog produto, siga as etapas em Criação de produtos no Guia AWS Service Catalog do administrador. Você adicionará o modelo da sua conta como modelo ao criar o AWS Service Catalog produto.

Você pode baixar um AWS CloudFormation modelo do repositório de arquitetura de AWS Service Catalog referência. Um exemplo desse repositório ajuda a configurar um plano de backup para seus recursos.

Aqui está um exemplo de modelo para uma empresa fictícia chamada Best Pets. Isso ajuda a configurar uma conexão com o banco de dados de animais de estimação.

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

Etapa 3. Revise seu plano personalizado

Você pode ver seu blueprint no AWS Service Catalog console. Para obter mais informações, consulte Gerenciando produtos no Service Catalog Adminstrator Guide.

Etapa 4. Ligue para seu blueprint para criar uma conta personalizada

Ao seguir o fluxo de trabalho Criar conta no console do AWS Control Tower, você verá uma seção opcional na qual poderá inserir informações sobre o plano que gostaria de usar para personalizar contas.

Para obter mais detalhes, consulte Crie uma conta personalizada a partir de um plano.