A seção de recursos do arquivo de manifesto cFct - AWS Control Tower

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

A seção de recursos do arquivo de manifesto cFct

Este tópico descreve a seção de recursos do arquivo de manifesto cFct, na qual você definirá os recursos necessários para suas personalizações. Essa seção do arquivo de manifesto cFct começa nos recursos da palavra-chave e continua até o final do arquivo.

A seção de recursos do arquivo de manifesto especifica o AWS CloudFormation StackSets, ou AWS Organizations SCPs e RCPs, qual cFct implanta automaticamente por meio do pipeline de código. Você pode listar OUs, contas e regiões para implantar instâncias de pilha.

As instâncias Stack são implantadas no nível da conta em vez do nível da OU. SCPs e RCPs são implantados no nível da OU. Consulte mais informações em Build your own customizations.

O modelo de exemplo a seguir descreve as possíveis entradas que estão disponíveis para a seção de recursos do arquivo de manifesto. 

resources: # List of resources
  - name: [String]
    resource_file: [String] [Local File Path, S3 URI, S3 URL] 
    deployment_targets: # account and/or organizational unit names
      accounts: # array of strings, [0-9]{12}
        - 012345678912
        - AccountName1
      organizational_units: #array of strings
        - OuName1
        - OuName2 
    deploy_method: scp | stack_set | rcp
    parameters: # List of parameters [SSM, Alfred, Values]
      - parameter_key: [String]
        parameter_value: [String]  
    export_outputs: # list of ssm parameters to store output values
      - name: /org/member/test-ssm/app-id
        value: $[output_ApplicationId]    
    regions: #list of strings
    - [String]

O restante deste tópico fornece definições detalhadas para as palavras-chave mostradas no exemplo de código anterior.

nome — O nome associado ao AWS CloudFormation StackSets. A string que você fornece atribui um nome mais fácil de usar para um conjunto de pilhas.

  • Type: string

  • Obrigatório: Sim

  • Valores válidos: a-z, A-Z, 0-9 e um sublinhado (_). Qualquer outro caractere é automaticamente substituído por um sublinhado (_).

descrição: a descrição do recurso.

  • Type: string

  • Obrigatório: não

resource_file — Esse arquivo pode ser especificado como a localização relativa do arquivo manifesto, um URI ou URL do Amazon S3 que aponta para um AWS CloudFormation modelo ou política de controle de AWS Organizations serviço em JSON para criar recursos, ou. AWS CloudFormation SCPs RCPs

  • Type: string

  • Obrigatório: Sim

  1. O exemplo a seguir mostra o resource_file, fornecido como um local relativo ao arquivo de recursos dentro do pacote de configuração.

    resources:
  - name: SecurityRoles
    resource_file: templates/custom-security.template

  2. O exemplo a seguir mostra o arquivo de recurso fornecido como um URI do Amazon S3. 

    resources:
  - name: SecurityRoles
    resource_file: s3://amzn-s3-demo-bucket/[key-name]

  3. O exemplo a seguir mostra o arquivo de recurso fornecido como um URL HTTPS do Amazon S3. 

    resources:
  - name: SecurityRoles
    resource_file: https://bucket-name.s3.Region.amazonaws.com/key-name
    nota

    Se você fornecer um URL do Amazon S3, verifique se a política do bucket permite acesso de leitura para a conta de gerenciamento do AWS Control Tower pela qual você está implantando o CfCT. Se você fornecer um URL HTTPS do Amazon S3, verifique se o caminho usa notação de pontos. Por exemplo, S3.us-west-1. O CfCT não é compatível com endpoints que contenham um traço entre o S3 e a região, como S3‐us-west-2.

  4. O exemplo a seguir mostra uma política de bucket do Amazon S3 e um ARN em que os recursos estão armazenados.

    {
   "Version": "2012-10-17",
   "Statement": [
       {
        "Effect": "Allow",
        "Principal": {"AWS": "arn:aws:iam::AccountId:root"},
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::my-bucket/*”
       }
   ]
}



    Você substituirá a AccountId variável mostrada no exemplo pelo ID da AWS conta de gerenciamento que está implantando o cFct. Consulte mais exemplos em Exemplos de políticas de bucket do Amazon S3 no Guia do usuário do Amazon Simple Storage Service.

parâmetros: especifica o nome e o valor dos parâmetros do AWS CloudFormation .

  • Type MapList:

  • Obrigatório: não

A seção de parâmetros contém pares de parâmetros de chave/valor. O pseudomodelo a seguir descreve a seção de parâmetros.

parameters:
  - parameter_key: [String]
    parameter_value: [String]

  • parameter_key: a chave associada ao parâmetro.

    • Type: string

    • Obrigatório: sim (na propriedade de parâmetros)

    • Valores válidos: a-z, A-Z e 0-9

  • parameter_value: o valor de entrada associado ao parâmetro.

    • Type: string

    • Obrigatório: sim (na propriedade de parâmetros)

deploy_method: o método de implantação para implantar recursos na conta. Atualmente, deploy_method suporta a implantação de recursos usando a stack_set opção de implantação de recursos por meio de AWS CloudFormation StackSets, a scp opção se você estiver implantando SCPs ou a rcp opção se estiver implantando. RCPs

  • Type: string

  • Valores válidos: stack_set | scp | rcp

  • Obrigatório: Sim

deployment_targets — Lista de contas ou unidades organizacionais (OUs), nas quais o cFCT implantará os AWS CloudFormation recursos, especificados como contas ou unidades_organizacionais.

nota

Se você quiser implantar um SCP ou RCP, o destino deve ser uma OU, não uma conta.

  • Tipo: lista de strings account name ou account number para indicar que esse recurso será implantado em determinada lista de contas ou OU names para indicar que esse recurso será implantado em determinada lista de UOs.

  • Obrigatório: pelo menos uma de accounts or organizational_units.

    • accounts:

      Tipo: lista de strings account name ou account number para indicar que esse recurso será implantado na lista de contas especificada.

    • organizational_units:

      Tipo: lista de strings OU names para indicar que esse recurso será implantado em uma lista de UOs especificada. Se você fornecer uma UO que não contenha contas e a propriedade de accounts não for adicionada, o CfCT criará apenas o conjunto de pilhas.

      nota

      O ID da conta de gerenciamento da organização não é um valor permitido. O cFct não oferece suporte à implantação de instâncias de pilha na conta de gerenciamento da organização, por padrão. Se você tiver um caso de uso especial, consulte Root OU.

export_outputs: lista de pares de nome/valor que denotam chaves de parâmetros do SSM. Essas chaves de parâmetros do SSM permitem que você armazene as saídas do modelo no armazenamento de parâmetros do SSM. A saída é destinada à referência por outros recursos, definidos anteriormente no arquivo de manifesto.

export_outputs: # List of SSM parameters
  - name: [String]
    value: [String]

  • Tipo: uma lista de pares de nome e valor. O nome contém a string name de uma chave de armazenamento de parâmetros do SSM e o valor contém string value do parâmetro.

  • Valores válidos: qualquer string ou $[output_CfnOutput-Logical-ID] variável que CfnOutput-Logical-ID corresponda à variável de saída do modelo. Para obter mais informações sobre a seção Saídas em um AWS CloudFormation modelo, consulte Saídas no Guia do AWS CloudFormation usuário.

  • Obrigatório: não

Por exemplo, o trecho de código a seguir armazena a variável da saída VPCID do modelo na chave de parâmetro do SSM chamada /org/member/audit/vpc_id.

export_outputs: # List of SSM parameters
  - name: /org/member/audit/VPC-ID
    value: $[output_VPCID]
nota

O nome da chave export_outputs pode conter um valor diferente de output. Por exemplo, se o nome for /org/environment-name, o valor poderá ser production.

regiões — Lista de regiões nas quais o cFCT implantará as instâncias da AWS CloudFormation pilha.

  • Tipo: qualquer lista de nomes de regiões AWS comerciais, para indicar que esse recurso será implantado em uma determinada lista de regiões. Se essa palavra-chave não existir no arquivo de manifesto, os recursos serão implantados somente na região de origem.

  • Obrigatório: não