设置以进行自定义

以下几节将介绍针对自定义流程设置 Account Factory 的步骤。在开始这些步骤之前，建议您为中心账户设置委派管理员。

第 1 步：创建所需的角色

在开始自定义账户之前，您必须设置一个包含 AWS Control Tower 和您的中心账户之间的信任关系的角色。担任该角色后，将授予 AWS Control Tower 用于管理中心账户的访问权限。必须将该角色命名为 AWSControlTowerBlueprintAccess。

AWS Control Tower 将担任此角色，在 AWS Service Catalog 中代表您创建产品组合资源，并将您的蓝图作为 Service Catalog 产品添加到该产品组合中，然后在账户预置期间与您的成员账户共享该产品组合和蓝图。

您需要按照以下几节中的说明创建 AWSControlTowerBlueprintAccess 角色。

如果您的蓝图中心账户未在 AWS Control Tower 中注册，则该账户中将不存在 AWSControlTowerExecution 角色，因此在继续设置 AWSControlTowerBlueprintAccess 角色之前，无需先担任该角色。

必须设置 AWSControlTowerBlueprintAccess 角色才能向以下两个主体授予信任：

下面是一个信任策略示例，与您需要为自己的角色添加的策略类似。此策略展示了授予最低访问权限的最佳实践。当您制定自己的策略时，请将 YourManagementAccountId 替换为您的 AWS Control Tower 管理账户的实际账户 ID，并将 YourControlTowerUserRole 替换为管理账户的 IAM 角色标识符。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

所需的权限策略

AWS Control Tower 要求必须将名为 AWSServiceCatalogAdminFullAccess 的托管策略附加到 AWSControlTowerBlueprintAccess 角色。当 AWS Service Catalog 允许 AWS Control Tower 管理您的产品组合和 AWS Service Catalog 产品资源时，此策略为其提供所需的权限。当您在 IAM 控制台中创建角色时，可以附加此策略。

第 2 步：创建 AWS Service Catalog 产品

要创建 AWS Service Catalog 产品，请按照《AWS Service Catalog 管理员指南》的创建产品中的步骤操作。创建 AWS Service Catalog 产品时，您需要将账户蓝图添加为模板。

您可以从 AWS Service Catalog 参考架构存储库下载 AWS CloudFormation 模板。请查看该存储库中的一个示例，以帮助您针对您的资源制定备份计划。

下面是一个示例模板，用于一家名为 Best Pets 的虚构公司。它可以帮助建立与公司宠物数据库的连接。

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

第 3 步：审查您的自定义蓝图

您可以在 AWS Service Catalog 控制台中查看您的蓝图。有关更多信息，请参阅《Service Catalog 管理员指南》中的管理产品。

第 4 步：调用您的蓝图以创建自定义账户

在 AWS Control Tower 控制台中执行创建账户工作流时，您将看到一个可选部分，可在其中输入要用于自定义账户的蓝图的相关信息。

有关更多详细信息，请参阅从蓝图创建自定义账户。