本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定以進行自訂

接下來的章節提供了為自訂程序設定 Account Factory 的步驟。我們建議您先為 Hub 帳戶設定委派管理員，然後再開始執行這些步驟。

步驟 1. 建立必要的角色

在開始自訂帳戶之前，您必須設定包含 AWS Control Tower 和您的中樞帳戶之間信任關係的角色。假設此角色時，此角色會授予 AWS Control Tower 管理中樞帳戶的存取權。角色必須命名AWSControlTowerBlueprintAccess。

AWS Control Tower 擔任此角色代表您建立 Portfolio 資源 AWS Service Catalog，然後將藍圖作為 Service Catalog 產品新增至此產品組合，然後在帳戶佈建期間與您的成員帳戶共用此產品組合和您的藍圖。

您將建立AWSControlTowerBlueprintAccess角色，如以下各節所述。

如果您的藍圖中樞帳戶未在 AWS Control Tower 中註冊，則該AWSControlTowerExecution角色不會存在於帳戶中，而且在繼續設定角色之前不需要假設AWSControlTowerBlueprintAccess角色。

必須將AWSControlTowerBlueprintAccess角色設定為將信任授與兩個主體：

以下是信任政策範例，類似於您角色需要包含的信任政策。此原則示範授與最低權限存取權的最佳作法。當您制定自己的政策時，請使YourManagementAccountId用 AWS Control Tower 管理帳戶的實際會員 ID 取代該術語，並以管理帳戶YourControlTowerUserRole的 IAM 角色識別碼取代該術語。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                "arn:aws:iam::YourManagementAccountId:role/service-role/AWSControlTowerAdmin", 
                "arn:aws:iam::YourManagementAccountId:role/YourControlTowerUserRole"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

必要的權限原則

AWS Control Tower 要求AWSServiceCatalogAdminFullAccess必須將具名的受管政策附加到AWSControlTowerBlueprintAccess角色上。此政策提供許可，以 AWS Service Catalog 尋找何時允許 AWS Control Tower 管理您的產品組合和 AWS Service Catalog 產品資源。您可以在 IAM 主控台中建立角色時附加此政策。

步驟 2. 建立產 AWS Service Catalog 品

若要建立 AWS Service Catalog 產品，請遵循《AWS Service Catalog 管理員指南》中〈建立產品〉中的步驟。建立產品時，您會將帳戶藍圖新增為範 AWS Service Catalog 本。

您可以從 AWS Service Catalog 參考架構存儲庫下載 AWS CloudFormation 模板。該儲存庫中的一個範例有助於為您的資源設定備份計畫。

這是一個名為 B est Pets 的虛構公司的示例模板。它有助於建立到他們的寵物數據庫的連接。

Resources:
  ConnectionStringGeneratorLambdaRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - lambda.amazonaws.com
            Action:
              - "sts:AssumeRole"
  ConnectionStringGeneratorLambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: !Join ['-', ['ConnectionStringGenerator', !Select [4, !Split ['-', !Select [2, !Split ['/', !Ref AWS::StackId]]]]]]
      Description: Retrieves the connection string for this account to access the Pet Database
      Role: !GetAtt ConnectionStringGeneratorLambdaRole.Arn
      Runtime: nodejs16.x
      Handler: index.handler
      Timeout: 5
      Code:
        ZipFile: >
          const response = require("cfn-response");
          exports.handler = function (event, context) {
            const awsAccountId = context.invokedFunctionArn.split(":")[4]
            const connectionString= "fake connection string that's specific to account " + awsAccountId;
            const responseData = {
              Value: connectionString,
            }
            response.send(event, context, response.SUCCESS, responseData);
            return connectionString;
          };

  ConnectionString:
    Type: Custom::ConnectionStringGenerator
    Properties:
      ServiceToken: !GetAtt ConnectionStringGeneratorLambda.Arn

  PetDatabaseConnectionString:
    DependsOn: ConnectionString
    # For example purposes we're using SSM parameter store.
    # In your template, use secure alternatives to store
    # sensitive values such as connection strings.
    Type: AWS::SSM::Parameter
    Properties: 
      Name: pet-database-connection-string
      Description: Connection information for the BestPets pet database
      Type: String
      Value: !GetAtt ConnectionString.Value

步驟 3。檢閱您的自訂藍圖

您可以在 AWS Service Catalog 主控台中檢視藍圖。如需詳細資訊，請參閱《Service Catalog 管理員指南》中的〈管理產品〉。

步驟 4. 呼叫您的藍圖以建立自訂帳戶

在 AWS Control Tower 主控台中按照建立帳戶工作流程進行操作時，您會看到一個選擇性部分，您可以在其中輸入要用於自訂帳戶之藍圖的相關資訊。

如需詳細資訊，請參閱從藍圖建立自訂帳戶。