DisableBaseline EnableBaseline GetBaseline GetBaselineOperation GetEnabledBaseline ListBaselines ListEnabledBaselines ResetEnabledBaseline UpdateEnabledBaseline

Exemplos de uso da API de linha de base

Esta seção contém exemplos de parâmetros de entrada e saída para a linha de base APIs do AWS Control Tower.

`DisableBaseline`

Para obter mais informações sobre essa operação de API, consulte DisableBaseline.

Entrada de DisableBaseline:


{
    "enabledBaselineIdentifier": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/AB12CD34EF56GH789"
}

Saída de DisableBaseline:


{
    "operationIdentifier": "58f12232-26be-4735-a3e9-dd30d90f021f"
}

Exemplo da CLI de DisableBaseline:


aws controltower disable-baseline \
    --enabled-baseline-identifier arn:aws:controltower:us-west-2:123456789012:enabledbaseline/AB12CD34EF56GH789 \
    --region us-west-2

`EnableBaseline`

Para obter mais informações sobre essa operação de API, consulte EnableBaseline.

Entrada de EnableBaseline:


{
    "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline:17BSJV3IGJ2QSGA2",
    "targetIdentifier": "arn:aws:organizations::123456789012:ou/o-kgj0txdhpa/ou-r9mj-4j3mzjql",
    "baselineVersion": "3.0",
    "parameters": [
        {
            "key": "IdentityCenterEnabledBaselineArn",
            "value": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ"
        }
    ]
}

Saída de EnableBaseline, retornando um novo recurso:


{
    "operationIdentifier": "58f12232-26be-4735-a3e9-dd30d90f021f",
    "arn": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAGF7TNOHRD7ES5VV"
}

Exemplo da CLI de EnableBaseline:

Este exemplo mostra como habilitar uma linha de base para uma AWS Organizations organização que tem a landing zone ativada para acessar o AWS IAM Identity Center, gerenciado pelo AWS Control Tower. Para recuperar seu identificador EnabledBaseline do Centro de Identidade, chame a API ListEnabledBaselines, filtrando pela linha de base do Centro de Identidade: (arn:aws:controltower:Region::baseline/LN25R72TTG6IGPTQ)


aws controltower list-enabled-baselines \
    --filter baselineIdentifiers=arn:aws:controltower:us-west-2::baseline/LN25R72TTG6IGPTQ \
    --region us-west-2

A resposta mostrará o detalhe EnabledBaseline, que mostra seu identificador.


{
    "enabledBaselines": [
        {
            "arn": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHXS7P6C4I453EZC",
            "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline/LN25R72TTG6IGPTQ",
            "targetIdentifier": "arn:aws:organizations::123456789012:account/o-aq21sw43de5/123456789012",
            "statusSummary": {
                "status": "SUCCEEDED"
            }
        }
    ]
}

nota

Anote o valor do ARN da resposta e passe esse valor como um parâmetro para habilitar a linha de base padrão.


aws controltower enable-baseline \
    --baseline-identifier arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2 \
    --baseline-version 3.0 \
    --target-identifier arn:aws:organizations::123456789012:ou/o-aq21sw43de5/ou-po90-lk87jh65 \
    --parameters '[{"key":"IdentityCenterEnabledBaselineArn","value":"arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHXS7P6C4I453EZC"}]' \
    --region us-west-2

Para uma organização com a zona de pouso excluída do gerenciamento do AWS Control Tower do Centro de Identidade do IAM, habilite a linha de base sem o parâmetro.


aws controltower enable-baseline \
    --baseline-identifier arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2 \
    --baseline-version 3.0 \
    --target-identifier arn:aws:organizations::123456789012:ou/o-aq21sw43de5/ou-po90-lk87jh65 \
    --region us-west-2

`GetBaseline`

Para obter mais informações sobre essa operação de API, consulte GetBaseline.

Entrada de GetBaseline:


{
    "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2"
}

Saída de GetBaseline:


{
    "arn": "arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2",
    "name": "AWSControlTowerBaseline",
    "description": "Sets up resources and mandatory controls for member accounts within the target OU, required for AWS Control Tower governance.",
}

Exemplo da CLI de GetBaseline:


aws controltower get-baseline \
    --baseline-identifier arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2 \
    --region us-west-2

`GetBaselineOperation`

Para obter mais informações sobre essa operação de API, consulte GetBaselineOperation.

Entrada de GetBaselineOperation:


{
    "operationIdentifier": "58f12232-26be-4735-a3e9-dd30d90f021f"
}

Saída de GetBaselineOperation:


{
    "baselineOperation": {
        "operationIdentifier": "58f12232-26be-4735-a3e9-dd30d90f021f",
        "operationType": "DISABLE_BASELINE",
        "status": "FAILED",
        "startTime": "2023-01-12T19:05:00Z",
        "endTime": "2023-01-12T19:45:00Z",
        "statusMessage": "Can't perform DisableBaseline on a parent target with governed child OUs"
    }
}

Exemplo da CLI de GetBaselineOperation:


aws controltower get-baseline-operation \
    --operation-identifier 58f12232-26be-4735-a3e9-dd30d90f021f \
    --region us-west-2

`GetEnabledBaseline`

Para obter mais informações sobre essa operação de API, consulte GetEnabledBaseline.

Entrada de GetEnabledBaseline:


{
    "enabledBaselineIdentifier": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ"
}

Saída de GetEnabledBaseline:


{
    "enabledBaselineDetails": {
        "arn": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ",
        "baselineIdentifier": "arn:aws:controltower:us-west-2::baseline:17BSJV3IGJ2QSGA2",
        "baselineVersion": "3.0",
        "targetIdentifier": "arn:aws:organizations::123456789012:ou/o-kgj0txdhpa/ou-r9mj-4j3mzjql",
        "statusSummary": {
            "status": "SUCCEEDED",
            "lastOperationIdentifier": "58f12232-26be-4735-a3e9-dd30d90f021f"
        },
        "parameters": [
            {
                "key": "IdentityCenterEnabledBaselineArn",
                "value": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ"
            }
        ]
    }
}

Exemplo da CLI de GetEnabledBaseline:


aws controltower get-enabled-baseline \
    --enabled-baseline-identifier arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHXS7P6C4I453EZC \
    --region us-west-2

`ListBaselines`

Para obter mais informações sobre essa operação de API, consulte ListBaselines.

Entrada de ListBaselines (usando entradas opcionais):


{
    "nextToken": "AbCd1234",
    "maxResults": "4"
}

Saída de ListBaselines:


{
    "baselines": [
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/4T4HA1KMO10S6311",
            "name": "AuditBaseline",
            "description": "Sets up resources to monitor security and compliance of accounts in your organization."
        },
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/J8HX46AHS5MIKQPD",
            "name": "LogArchiveBaseline",
            "description": "Sets up a central repository for logs of API activities and resource configurations from accounts in your organization."
        },
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/LN25R72TTG6IGPTQ",
            "name": "IdentityCenterBaseline",
            "description": "Sets up shared resources for AWS Identity Center, which prepares the AWSControlTowerBaseline to set up Identity Center access for accounts."
        },
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/17BSJV3IGJ2QSGA2",
            "name": "AWSControlTowerBaseline",
            "description": "Sets up resources and mandatory controls for member accounts within the target OU, required for AWS Control Tower governance."
        },
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/3WPD0NA6TJ9AOMU2",
            "name": "BackupCentralVaultBaseline",
            "description": "Sets up central AWS Backup vault in your organization."
        },
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/H6C5JFCJJ3CPU3J5",
            "name": "BackupManagerBaseline",
            "description": "Sets up delegated admin and AWS Backup Audit Manager."
        },
        {
            "arn": "arn:aws:controltower:us-east-1::baseline/APO9ATVPBKFRRGLK",
            "name": "BackupBaseline",
            "description": "Sets up local Backup vault and attach Backup policy."
        }
    ]
}

Exemplo da CLI de ListBaselines:


aws controltower list-baselines \
    --region us-west-2

`ListEnabledBaselines`

A ListEnabledBaselines API tem um parâmetro opcional que permite que você visualize as linhas de base conforme elas se aplicam às contas que são membros de uma OU. Os exemplos a seguir mostram alguns comandos da CLI que você pode usar para visualizar as linhas de base de uma conta. O AWS Control Tower se refere a essas linhas de base, que são habilitadas na OU, mas se aplicam a cada conta dentro da OU, como linhas de base habilitadas para crianças, porque elas derivam sua configuração de governança das linhas de base que são aplicadas na OU.

Para obter mais informações sobre essa operação de API, consulte ListEnabledBaselines.

ListEnabledBaselinesentrada para mostrar linhas de base habilitadas para crianças:


aws controltower list-enabled-baselines --include-children

ListEnabledBaselinessaída para visualizar as linhas de base habilitadas para crianças:


{
    "enabledBaselines": [
        {
            "arn": "arn:aws:controltower:us-east-1:666355521292:enabledbaseline/XO2UQ1PC6BB5085S5",
            "baselineIdentifier": "arn:aws:controltower:us-east-1::baseline/APO9ATVPBKFRRGLK",
            "baselineVersion": "1.0",
            "statusSummary": {
                "lastOperationIdentifier": "07d6d2b8-e357-4f96-ba00-98ea88143445",
                "status": "SUCCEEDED"
            },
            "targetIdentifier": "arn:aws:organizations::666355521292:ou/o-vaex10vaey/ou-k86y-ld9k8vpu"
        },
        {
            "arn": "arn:aws:controltower:us-east-1:666355521292:enabledbaseline/XAFPKQQXOJB50ZWQH",
            "baselineIdentifier": "arn:aws:controltower:us-east-1::baseline/APO9ATVPBKFRRGLK",
            "baselineVersion": "1.0",
            "parentIdentifier": "arn:aws:controltower:us-east-1:666355521292:enabledbaseline/XOIZ4G08CWB50ZWON",
            "statusSummary": {
                "lastOperationIdentifier": "3508793e-48c8-4895-965b-3dc6abd52b6b",
                "status": "SUCCEEDED"
            },
            "targetIdentifier": "arn:aws:organizations::666355521292:account/o-vaex10vaey/183295447314"
        }
]

nota

No exemplo anterior, o parentIdentifier campo mostra a linha de base ativada da OU principal para essa linha de base habilitada para crianças.

Visualize todas as linhas de base aplicadas em um alvo específico (OU ou conta):


aws controltower list-enabled-baselines \
    --filter '{
        "targetIdentifiers": ["TARGET_ARN"]
    }

Veja todos os OUs que têm uma linha de base específica:


aws controltower list-enabled-baselines \
    --filter '{
        "baselineIdentifiers": ["BASELINE_ARN"]
    }'

Veja todas as contas OUs e contas que têm uma linha de base específica:


aws controltower list-enabled-baselines \
    --filter '{
        "baselineIdentifiers": ["BASELINE_ARN"]
    }'  \
    --include-children

Visualize todas as contas em uma OU que tenham a Linha de Base B ativada:


### First fetch the enabled baseline record for Baseline B on the OU
 aws controltower list-enabled-baselines \
    --filter '{
        "targetIdentifiers": ["OU_TARGET_ARN"],
        "baselineIdentifiers": ["BASELINE_ARN_FOR_BASELINE_B"]
    }'
    
### Call ListEnabled baseline to fetch all accounts that have their parent as the enabled baseline record on the OU
aws controltower list-enabled-baselines \
    --filter '{
        "parentIdentifiers": ["ENABLED_BASELINE_ARN_FOR_OU"]
    }' \
    --include-children

Mais sobre linhas de base habilitadas para crianças

Você pode usar a GetEnabledBaseline API para visualizar informações detalhadas sobre uma linha de base específica habilitada para crianças
Você pode usar a GetBaselineOperation API para visualizar uma operação realizada na linha de base habilitada para crianças.
Você não pode chamar diretamente nenhuma gravação APIs, comoEnableBaseline,, ResetEnabledBaseline ou UpdateEnabledBaselineDisableBaseline, em uma linha de base habilitada para crianças.
Os recursos básicos habilitados para crianças podem ser modificados somente por meio do serviço AWS Control Tower, por meio de operações que são realizadas na OU principal ou por meio do Account Factory.

Exemplos de uso de filtros:

Entrada de ListEnabledBaselines (sem filtros):


{
    "nextToken": "bde7-XX0c6fXXXXXX",
    "maxResults": 5
}

Entrada ListEnabledBaselines (somente filtro baselineIdentifiers):


{
    "filter": {
        "baselineIdentifiers": ['arn:aws:controltower:us-east-1::baseline/17BSJV3IGJ2QSGA2', 'arn:aws:controltower:us-east-1::baseline/12GZU8CKZKVMS2AW']
    },
    "nextToken": "bde7-XX0c6fXXXXXX",
    "maxResults": 5
}

Entrada ListEnabledBaselines (somente filtro targetIdentifiers):


{
    "filter": {
        "targetIdentifiers": ['arn:aws:organizations::123456789012:ou/o-s9511vn103/ou-xqj7-fex1u317', 'arn:aws:organizations::123456789012:ou/o-s9511vn103/ou-xqj7-11q6n2cf']
    },
    "nextToken": "bde7-XX0c6fXXXXXX",
    "maxResults": 2
}

Entrada de ListEnabledBaselines (filtros baselineIdentifiers e targetIdentifiers):


{
    "filter": {
        "baselineIdentifiers": ['arn:aws:controltower:us-east-1::baseline/17BSJV3IGJ2QSGA2']
        "targetIdentifiers": ['arn:aws:organizations::123456789012:ou/o-s9511vn103/ou-xqj7-fex1u317']
    },
    "nextToken": "bde7-XX0c6fXXXXXX",
    "maxResults": 5
}

Saída de ListEnabledBaselines:


{
    "enabledBaselines": [
        {
            "arn": "arn:aws:controltower:us-east-1:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ",
            "baselineIdentifier": "arn:aws:controltower:us-east-1::baseline:17BSJV3IGJ2QSGA2",
            "baselineVersion": "3.0",
            "targetIdentifier": "arn:aws:organizations::123456789012:ou/o-kgj0txdhpa/ou-r9mj-4j3mzjql",
            "statusSummary": {
                "status": "SUCCEEDED",
                "lastOperationIdentifier": "58f12232-26be-4735-a3e9-dd30d90f021f"
            }
        },
        {
            "arn": "arn:aws:controltower:us-east-1:123456789012:enabledbaseline/XAJ9NKW88AA4W9CLL",
            "baselineIdentifier": "arn:aws:controltower:us-east-1::baseline:17BSJV3IGJ2QSGA2",
            "baselineVersion": "4.0",
            "targetIdentifier": "arn:aws:organizations::123456789012:ou/o-s9511vn103/ou-xqj7-fex1u317",
            "statusSummary": {
            "status": "FAILED",
                "lastOperationIdentifier": "81e02df1-2b4d-48f0-838f-3833b93dcdc0"
            }
        }
    ],
    "nextToken": "e2bXXXXX6cab"
}

Exemplo de CLI com um tipo de filtro (filtro baselineIdentifiers):


aws controltower list-enabled-baselines \
    --filter baselineIdentifiers=arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2,arn:aws:controltower:us-west-2::baseline/LN25R72TTG6IGPTQ \
    --region us-west-2

Exemplo de CLI usando vários filtros (filtros baselineIdentifiers e targetIdentifiers):


aws controltower list-enabled-baselines \
    --filter targetIdentifiers=arn:aws:organizations::123456789012:ou/o-aq21sw43de5/ou-po90-lk87jh65,baselineIdentifiers=arn:aws:controltower:us-west-2::baseline/17BSJV3IGJ2QSGA2 \
    --region us-west-2

`ResetEnabledBaseline`

Para obter mais informações sobre essa operação de API, consulte ResetEnabledBaseline.

Entrada de ResetEnabledbaseline:


{
    "enabledBaselineIdentifier": "arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAJ9NKW88AA4W9CLL"
}

Saída de ResetEnabledBaseline:


{
    "operationIdentifier": "81e02df1-2b4d-48f0-838f-3833b93dcdc0"
}

Exemplo da CLI de ResetEnabledBaseline:


aws controltower reset-enabled-baseline \
    --enabled-baseline-identifier arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHXS7P6C4I453EZC \
    --region us-west-2

`UpdateEnabledBaseline`

Para obter mais informações sobre essa operação de API, consulte UpdateEnabledBaseline.

Entrada de UpdateEnabledBaseline:


{
    "enabledBaselineIdentifier": "arn:aws:controltower:us-east-1:123456789012:enabledbaseline/XAJ9NKW88AA4W9CLL",
    "baselineVersion": "4.0",
    "parameters": [
        {
            "key": "IdentityCenterEnabledBaselineArn",
            "value": "arn:aws:controltower:us-east-1:123456789012:enabledbaseline/XAHCR4CJTSI4W07MZ"
        }
    ] 
}

Saída de UpdateEnabledBaseline:


{
    "operationIdentifier": "81e02df1-2b4d-48f0-838f-3833b93dcdc0"
}

Exemplo da CLI de UpdateEnabledBaseline:


aws controltower update-enabled-baseline \
    --enabled-baseline-identifier arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHXS7P6C4I453EZC \
    --baseline-version 4.0
    --parameters '[{"key":"IdentityCenterEnabledBaselineArn","value":"arn:aws:controltower:us-west-2:123456789012:enabledbaseline/XAHXS7P6C4I453EZC"}]' \
    --region us-west-2

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Exemplos: registre uma OU do AWS Control Tower com APIs apenas

Mais informações