集中式日志记录和多账户安全防护机制

启动 Childaccount_ IAM _role_all_accounts.yaml 模板，在 us-east-1 区域创建角色 CloudFormation 。IAM

要创建所需的IAM角色和权限，您必须在 us-east-1 区域的每个账户（集中登录账户、家长安全账户和组织中的所有其他AWS账户）中逐个手动启动此模板。Childaccount_IAM_role_All_Accounts.yaml 模板位于软件包的 /templates/initial_deployment_templates 目录中。该IAM角色用于API调用配置和设置架构的其余部分。确保作为参数传递的IAM角色名称在所有账户中保持一致。

在模板参数中，提供IAM角色的名称。

提供家长安全账户中可在所有其他子女账户中扮演的IAM角色。 CodeBuild默认角色名为 security_execute_child_stack_role。

在参数中，提供父安全账户的账户 ID。

父安全账户是 CodeBuild 运行的账户。

在集中式日志账户中，在 us-east-1 中，启动 S3Buckets-Centridation-.yaml 模板。LoggingAccount CloudFormation

要在集中式日志记录账户中创建 S3 存储桶，请启动 S3Buckets-Centralized-LoggingAccount.yaml。模板位于软件包的 /templates/initial_deployment_templates 目录中。S3 存储桶将存储所有日志、模板以及 Amazon S3 访问日志。记下所有 S3 存储桶名称，您将在以下步骤中使用这些名称修改参数文件。

在模板参数中，提供用于存储AWS日志的 S3 存储桶的名称。

输入 S3 Bucket Name for Centralized Logging in Logging Account 参数的名称。此存储桶充当存储来自所有账户的AWS日志（例如流 CloudTrail 日志和日志）的集中位置。记下存储桶名称和 Amazon 资源名称 (ARN)。

提供用于存储访问日志的 S3 存储桶的名称。

为 S3 Bucket Name for Access Logs in Logging Account 参数输入 S3 存储桶名称。此 S3 存储桶存储 Amazon S3 的访问日志。

提供用于存储模板的 S3 存储桶的名称。

在 S3 Bucket Name for CloudFormation Template storage in Logging Account 参数中输入 S3 存储桶名称。

还要提供组织 ID。

要提供对组织内的 S3 存储桶的访问权限，请在 Organization Id for Non-AMS accounts 参数中输入组织的 ID。

启动 security-guard-rails-codepipeline-集中化-SecurityAccount .yml 模板。 CloudFormation

要部署 CI/CD 管道，请在 us-east-1 的父安全账户中手动启动 security-guard-rails-codepipeline-Centralized-SecurityAccount.yml 模板。模板位于软件包的 /templates/initial_deployment_templates 目录中。该管道将在所有子账户中部署所有基础设施。

提供将在集中日志记录账户中存储模板的 S3 存储桶的名称。

输入您在步骤 2 中为 S3 Bucket Name for the CloudFormation Template storage in Logging Account 参数提供的 S3 存储桶的名称。

提供要在子账户中使用的IAM角色的名称。

输入您在第 1 步骤中为 Name of the IAM role 参数提供的名称。

提供用于接收 CodePipeline 失败通知的有效电子邮件地址。

输入您要用于接收 CodePipeline 失败通知和其他 CloudWatch 警报相关通知的电子邮件地址。

修改 Accountlist.json。

在文件包的顶层 Accountlist.json 文件中，添加父级安全账号和子级账号。请注意，该 ChildAccountList 字段还包括父级安全账号。参见软件包中 deployment-instructions.md 文件中的示例。

修改 accounts.csv

在 accounts.csv 文件包的顶层文件中，添加所有子级账户以及向这些账户注册的电子邮件。参阅 deployment-instructions.md 文件中的示例：

修改 parameters.config。

在 /templates 文件夹中的 parameters.config 文件中，更新以下六项参数：

对于其他参数，您可保留默认值。例如，请参阅软件包中的 deployment-instructions.md 文件。

访问您在步骤 3 中创建的 CodeCommit 存储库。

在 CI/CD 基础架构 CloudFormation 堆栈（在步骤 3 中启动）的 “输出” 部分，记下存储库的 CodeCommit 名称。URL创建对存储库的访问权限，以便可以将文件推送至存储库，以便在所有目标账户中部署基础设施。有关更多信息，请参阅设置AWS CodeCommit。

将文件推送到 CodeCommit 存储库。

在您的计算机上安装 Git。然后运行 Git 命令克隆空存储库，将文件从笔记本电脑复制到存储库文件夹，然后将工件推送至存储库。在包中的 deployment-instructions.md 文件中查看示例 Git 命令。有关基本的 Git 命令，请参阅相关资源部分。

确认 CodePipeline 和的状态 CodeBuild。

将构件推送到 CodeCommit 存储库后，请确认您在步骤 3 中创建的 CodePipeline 管道已启动。然后检查 CodeBuild 日志以确认状态或错误。