Anexar automaticamente uma política gerenciada pela AWS para Systems Manager aos perfis de instância do EC2 usando o Cloud Custodian e o AWS CDK

Configure o CodeCommit repositório.

Para obter mais informações sobre isso, consulte Criação de um CodeCommit repositório na CodeCommit documentação da AWS.

Instale as ferramentas necessárias

Use o arquivo install-prerequisites.sh para instalar todas as ferramentas necessárias no Amazon Linux. Não inclui a AWS CLI porque ela vem pré-instalada.

Para obter mais informações, consulte Pré-requisitos na seção de Conceitos básicos do AWS CDK na documentação do AWS CDK.

Instale os pacotes AWS CDK obrigatórios.

Os pacotes a seguir são exigidos pelo AWS CDK e estão incluídos no arquivo requirements.txt:

Atualize as variáveis necessárias.

Abra o vars.py arquivo na pasta raiz do seu CodeCommit repositório e atualize as seguintes variáveis:

Atualize o arquivo account.yml com as informações da conta do membro.

Para executar a ferramenta c7n-org Cloud Custodian em várias contas, você deve colocar o arquivo de configuração accounts.yml na raiz do repositório. Veja a seguir um exemplo de arquivo de configuração do Cloud Custodian para AWS:

accounts:
- account_id: '123123123123'
  name: account-1
  regions:
  - us-east-1
  - us-west-2
  role: arn:aws:iam::123123123123:role/CloudCustodian
  vars:
    charge_code: xyz
  tags:
  - type:prod
  - division:some division
  - partition:us
  - scope:pci

Inicialize a conta de segurança.

Inicialize deploy_account com o aplicativo cloudcustodian_stack executando o seguinte comando:

cdk bootstrap -a 'python3 
cloudcustodian/cloudcustodian_stack.py

Opção 1: inicialize automaticamente as contas dos membros.

Se a variável cdk_bootstrap_member_accounts for definida como para True no arquivo vars.py, as contas especificadas na variável member_accounts serão automaticamente inicializadas pelo pipeline.

Se necessário, é possível atualizar *cdk_bootstrap_role* com um perfil do IAM que você pode assumir a partir da conta de segurança e que tem as permissões necessárias para inicializar o AWS CDK.

Novas contas adicionadas à variável member_accounts  são inicializadas automaticamente pelo pipeline para que os perfis necessários possam ser implantados.

Opção 2: inicialize manualmente as contas dos membros.

Embora não seja recomendável usar essa abordagem, você pode definir o valor de cdk_bootstrap_member_accounts para False e executar essa etapa manualmente executando o seguinte comando:

$ cdk bootstrap -a 'python3 cloudcustodian/member_account_roles_stack.py' \

--trust {security_account_id} \

--context assume-role-credentials:writeIamRoleName={role_name} \

--context assume-role-credentials:readIamRoleName={role_name} \

--mode=ForWriting \

--context bootstrap=true \

--cloudformation-execution-policies arn:aws:iam::aws:policy/AdministratorAccess

Importante: certifique-se de atualizar os valores {security_account_id} e {role_name} com o nome de um perfil do IAM que você possa assumir na conta de segurança e que tenha as permissões necessárias para inicializar o AWS CDK.

Você também pode usar outras abordagens para inicializar as contas dos membros, por exemplo, com a AWS CloudFormation. Para obter mais informações, consulte Inicialização na documentação do AWS CDK.

Crie os perfis do IAM nas contas dos membros.

Execute o seguinte comando para implantar a pilha member_account_roles_stack e criar os perfis do IAM nas contas-membro:

cdk deploy --all -a 'python3 cloudcustodian/member_account_roles_stack.py' --require-approval never

Implante a pilha de pipeline do Cloud Custodian.

Execute o seguinte comando para criar o pipeline cloudcustodian_stack.py do Cloud Custodian que é implantado na conta de segurança:

cdk deploy -a 'python3 cloudcustodian/cloudcustodian_stack.py'