Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Einrichtung der Enterprise Blueprint Factory Dieser Abschnitt hilft Ihnen bei der Einrichtung der Enterprise Blueprint Factory in Ihrer Umgebung. AWS Er enthält detaillierte Anweisungen zur Einrichtung der erforderlichen Repositorys und der AWS Ressourcen für die Enterprise Blueprint Factory. ## Voraussetzungen Im Folgenden sind die Voraussetzungen für die Einrichtung der Enterprise Blueprint Factory in Ihrer Umgebung aufgeführt: AWS + Folgendes: AWS-Konten + Ein Konto, das zur Verwaltung der Enterprise Blueprint Factory und zur Veröffentlichung von Produkten verwendet wird + Ein oder mehrere Konten, die das veröffentlichte Produkt verwenden + Alle Konten sind: + Verwaltet als Organisation in [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html) + Befindet sich in derselben [Organisationseinheit (OU)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html#organizationalunit) + Die Organisation folgt dem [account-per-tenant Modell](https://aws.amazon.com/blogs/mt/managing-the-account-lifecycle-in-account-per-tenant-saas-environments-on-aws/) + AWS Command Line Interface (AWS CLI), [installiert](https://docs.aws.amazon.com/cli/latest/userguide/getting-started-install.html) und [konfiguriert](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-configure.html) + Berechtigungen zum Bereitstellen eines AWS CloudFormation Stacks, der die folgenden AWS Ressourcen erstellt: + Amazon CloudWatch Logs-Protokollgruppe + AWS CodePipeline Pipelines + AWS CodeBuild projekte + Richtlinien und Regeln für Amazon EventBridge Event Bus + AWS Identity and Access Management Rolle und Richtlinie (IAM) + AWS Key Management Service (AWS KMS) Schlüssel und wichtige Politik + AWS Service Catalog Portfolios, Produkte und bereitgestellte Produkte + Thema, Themenrichtlinie und Abonnement von Amazon Simple Notification Service (Amazon SNS) + Buckets für Amazon Simple Storage Service (Amazon S3) + AWS Systems Manager Parameter Parameter speichern Weitere Informationen zum Einrichten dieser Berechtigungen finden Sie in der [CloudFormation Dokumentation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/using-iam-template.html) und unter [Implementieren von Richtlinien für Berechtigungen mit den geringsten Rechten für](https://docs.aws.amazon.com/prescriptive-guidance/latest/least-privilege-cloudformation/introduction.html). AWS CloudFormation + Ein Konto GitHub ## Bewährte Methoden Wir empfehlen Ihnen, bei der Einrichtung der Enterprise Blueprint Factory in Ihrer AWS Umgebung die folgenden bewährten Methoden zu beachten: + Beachten Sie bei der Konfiguration der für die Bereitstellung von Enterprise Blueprint Factory erforderlichen Berechtigungen das Prinzip der geringsten Rechte und gewähren Sie nur die erforderlichen Mindestberechtigungen. Weitere Informationen finden Sie in der IAM-Dokumentation unter [Gewährung der geringsten Rechte](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#grant-least-priv) und [bewährte Methoden zur Sicherheit](https://docs.aws.amazon.com/IAM/latest/UserGuide/IAMBestPracticesAndUseCases.html). + Beachten Sie bei der Konfiguration des Zugriffs auf Service Catalog-Portfolios das Prinzip der geringsten Rechte und gewähren Sie nur bestimmten Rollen, Benutzern oder Administratoren Zugriff. Folgen Sie den [bewährten Sicherheitsmethoden](https://docs.aws.amazon.com/servicecatalog/latest/adminguide/security-best-practices.html) für Service Catalog. ## Die Repositorys erstellen Dieser Abschnitt hilft Ihnen bei der Einrichtung des [Konfigurations-Repositorys](architecture-components.md#architecture-config-repo) und des [Produkt-Repositorys](architecture-components.md#architecture-product-repo) für die Enterprise Blueprint Factory. [Um Ihre Repositorys einzurichten, teilen Sie die bereitgestellten Repositorys ein.](https://docs.github.com/en/pull-requests/collaborating-with-pull-requests/working-with-forks/fork-a-repo) GitHub Anschließend stellen Sie damit eine [Verbindung AWS CodeConnections](https://docs.aws.amazon.com/dtconsole/latest/userguide/connections-create-github.html) zu Ihrem GitHub Repository her. Anschließend klonen Sie die GitHub Repositorys auf Ihren lokalen Computer. **Um die Repositorys zu forken GitHub** 1. Melden Sie sich bei [GitHub](https://github.com/login) an. 1. Navigieren Sie zum [Configuration-Repo-Repository.](https://github.com/aws-samples/aws-enterprise-blueprint-factory-config-repo) GitHub 1. Wählen Sie **Fork**. 1. Geben Sie auf der Seite **Neuen Fork erstellen** im Feld **Repository-Name** den folgenden Text ein`ServiceCatalog-ConfigRepo`. 1. (Optional) Geben Sie eine Beschreibung ein. 1. Wählen Sie **Nur den Hauptzweig kopieren** aus. 1. Wählen Sie **Fork erstellen**. 1. Wiederholen Sie diese Schritte, um das [ GitHub Code-Repo-Repository](https://github.com/aws-samples/aws-enterprise-blueprint-factory-code-repo) zu forken. Geben Sie den Namen `ServiceCatalog-CodeRepo` für dieses Repository ein. 1. Wiederholen Sie diese Schritte, um das [ GitHub Produkt-Repo-Repository](https://github.com/aws-samples/aws-enterprise-blueprint-factory-blueprint-repo) zu forken. Geben Sie den Namen `ServiceCatalog-BlueprintProductRepo` für dieses Repository ein. **Um die CodeConnections Verbindung herzustellen** 1. Geben Sie in der AWS-CLI den folgenden Befehl ein, um eine CodeConnections Verbindung herzustellen zu GitHub: ``` aws codeconnections create-connection --provider-type GitHub --connection-name ``` 1. Verwenden Sie die AWS Developer Tools-Konsole, um die Verbindung herzustellen. Weitere Informationen finden Sie unter [Eine ausstehende Verbindung aktualisieren](https://docs.aws.amazon.com/dtconsole/latest/userguide/connections-update.html). **Um die geforkten Repositorys zu klonen** + Geben Sie die folgenden Befehle ein, um die GitHub Repositorys auf Ihre lokale Workstation zu klonen: ``` git clone git@github.com:/aws-enterprise-blueprint-factory-config-repo ServiceCatalog-ConfigRepo git clone git@github.com:/aws-enterprise-blueprint-factory-blueprint-repo ServiceCatalog-BlueprintProductRepo git clone git@github.com:/aws-enterprise-blueprint-factory-code-repo ServiceCatalog-CodeRepo ``` ## Einrichtung der Enterprise Blueprint Factory Die Anweisungen in diesem Abschnitt beschreiben, wie Sie die Enterprise Blueprint Factory in Ihrem Zielkonto einrichten. Das Produktrepo, aus dem Sie geklont haben, GitHub enthält zwei CloudFormation Beispielvorlagen, und. `BP-S3` `BP-SNS` Wenn Sie diese Anweisungen befolgen, stellen Sie diese beiden Beispiel-Blueprints als Produkte im Service Catalog bereit. **Um die Rollen einzurichten** 1. Erstellen Sie im Konto des Blueprint-Entwicklers die folgende Vertrauensrichtlinie und speichern Sie sie dann unter: `sc-enduserrole-trust-policy.json` ``` { "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::123456789012:role/ServiceCatalogEndUserRole" }, "Action": "sts:AssumeRole" } } ``` 1. Geben Sie den folgenden Befehl ein, um die `ServiceCatalogEndUserRole` IAM-Rolle zu erstellen: ``` aws iam create-role \ --role-name ServiceCatalogEndUserRole \ --assume-role-policy-document file://sc-enduserrole-trust-policy.json aws iam attach-role-policy \ --policy-arn arn:aws:iam::aws:policy/AWSServiceCatalogEndUserFullAccess \ -- role-name ServiceCatalogEndUserRole ``` **Anmerkung** Entwickler verwenden die `ServiceCatalogEndUserRole` Rolle, um das Service Catalog-Produkt bereitzustellen. Für diese Rolle sind keine Berechtigungen erforderlich, um die im Blueprint definierten Ressourcen zu erstellen. Dies entspricht den bewährten Methoden für Berechtigungen mit den geringsten Rechten und Aufgabentrennung. 1. Erstellen Sie die folgende Vertrauensrichtlinie und speichern Sie sie dann unter: `sc-launchconstraintrole-trust-policy.json` ``` { "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "servicecatalog.amazonaws.com" }, "Action": "sts:AssumeRole" } } ``` 1. Geben Sie den folgenden Befehl ein, um die `ServiceCataloglogLaunchConstraintRole` IAM-Rolle zu erstellen: ``` aws iam create-role \ --role-name ServiceCataloglogLaunchConstraintRole \ --assume-role-policy-document file://sc-launchconstraintrole-trust-policy.json aws iam attach-role-policy \ --policy-arn arn:aws:iam::aws:policy/AmazonSNSFullAccess \ --role-name ServiceCataloglogLaunchConstraintRole aws iam attach-role-policy \ --policy-arn arn:aws:iam::aws:policy/AWSCloudFormationFullAccess \ --role-name ServiceCataloglogLaunchConstraintRole ``` 1. Fügen Sie der `ServiceCataloglogLaunchConstraintRole` IAM-Rolle die folgende Richtlinie hinzu. Fügen Sie alle anderen Berechtigungen hinzu, die für die Produktressourcen erforderlich sind, wie [unter Konfiguration einer Launch Role](https://docs.aws.amazon.com/servicecatalog/latest/adminguide/constraints-launch.html#constraints-launch-role) in der Service Catalog-Dokumentation beschrieben: ``` { "Statement":[ { "Effect":"Allow", "Action":[ "s3:GetObject" ], "Resource":"*", "Condition":{ "StringEquals":{ "s3:ExistingObjectTag/servicecatalog:provisioning":"true" } } ] } ``` **Anmerkung** Service Catalog verwendet diese Rolle, um den CloudFormation Stack als Produkt in Service Catalog bereitzustellen. Die Vertrauensrichtlinie für diese Rolle stellt sicher, dass nur Service Catalog sie übernehmen kann. Andere Benutzer oder Dienste können diese Rolle nicht übernehmen. Dies entspricht der bewährten Praxis der Aufgabentrennung. 1. Erstellen Sie die folgende Vertrauensrichtlinie, und speichern Sie sie dann unter: `sc-codebuild-trust-policy.json` ``` { "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "codebuild.amazonaws.com" }, "Action": "sts:AssumeRole" } } ``` 1. Geben Sie den folgenden Befehl ein, um die `codebuild-servicecatalog-admin-role` IAM-Rolle zu erstellen: ``` aws iam create-role \ --role-name codebuild-servicecatalog-admin-role \ --assume-role-policy-document file://sc-codebuild-trust-policy.json aws iam attach-role-policy \ --policy-arn arn:aws:iam::aws:policy/AWSCodeBuildAdminAccess \ --role-name codebuild-servicecatalog-admin-role ``` **Anmerkung** Die CodeBuild Jobs in der Konfigurationspipeline verwenden diese Rolle. **So richten Sie den Amazon S3 S3-Bucket ein** + Um einen Amazon Simple Storage Service (Amazon S3) -Bucket zu erstellen, der zum Speichern der CodePipeline Artefakte verwendet wird, folgen Sie den Anweisungen unter [Bucket erstellen](https://docs.aws.amazon.com/AmazonS3/latest/userguide/create-bucket-overview.html) in der Amazon S3-Dokumentation. Folgen Sie den [bewährten Sicherheitsmethoden für Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/security-best-practices.html). **Um die AWS Systems Manager Parameter einzurichten** + Folgen Sie den Anweisungen unter [Parameter Store-Parameter in Systems Manager](https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-paramstore-su-create.html) erstellen, um die Systems Manager Manager-Parameter in der folgenden Tabelle zu erstellen. Diese Parameter werden in der CloudFormation Vorlage verwendet, die die Konfigurationspipeline bereitstellt. **** [See the AWS documentation website for more details](http://docs.aws.amazon.com/de_de/prescriptive-guidance/latest/enterprise-blueprint-factory/setup.html) **Um die Vorlagen zu aktualisieren CloudFormation** 1. Öffnen Sie im Code-Repository (`ServiceCatalog-CodeRepo`) die Datei **ServiceCatalog-Pipeline.yml**. 1. Bearbeiten Sie die Standardwerte für die folgenden Parameter in dieser Datei: + `ConfigRepositoryName`ist der Systems Manager Manager-Parameter, der das GitHub Repo speichert, in dem die Enterprise Blueprint Factory-Konfigurationsdateien gespeichert sind. Der Standardwert ist `/blueprints/resources/ConfigRepo`. + `CodeRepositoryName`ist der Systems Manager Manager-Parameter, der das GitHub Repository speichert, in dem der Enterprise Blueprint Factory-Konfigurationspipeline-Code und der `Bootstrapping-Admin-Product` Code gespeichert sind. Der Standardwert ist `/blueprints/resources/CodeRepo`. + `BlueprintRepositoryName`ist der Systems Manager Manager-Parameter, der das GitHub Repository speichert, in dem die Enterprise Blueprint Factory-Blueprints gespeichert sind. Der Standardwert ist `/blueprints/resources/BlueprintRepo`. + `BranchName`ist der Zweig des Konfigurations-Repositorys, in dem die Konfigurationsdatei gespeichert ist. Der Standardwert ist `main`. + `VPCID`ist der Systems Manager Manager-Parameter, der die ID der Ziel-VPC speichert. Der Standardwert ist `/blueprints/resources/vpc_id`. + `Subnets`ist der Systems Manager Manager-Parameter, IDs der die Zielsubnetze speichert. Der Standardwert ist `/blueprints/resources/subnets`. + `SecurityGroupIds`ist der Systems Manager Manager-Parameter, IDs der die Zielsicherheitsgruppen speichert. Der Standardwert ist `/blueprints/resources/securitygroups`. + `IamRoleName`ist der Name der IAM-Rolle, die die CodeBuild Jobs verwenden. Der Standardwert ist`codebuild-servicecatalog-admin-role`. + `EnvironmentType`ist die Umgebung, in der Sie die Enterprise Blueprint Factory bereitstellen. Der Standardwert ist `DEV`. + `ArtifactBucket`ist der Systems Manager Manager-Parameter, der den Amazon S3 S3-Bucket CodePipeline speichert, in dem Artefakte gespeichert werden. Der Standardwert ist`/blueprints/resources/artifacts-bucket-name`. + `CodeConnectionArn`ist der Amazon-Ressourcenname (ARN) der CodeConnections Verbindung zu GitHub. 1. Speichern und schließen Sie die Datei **ServiceCatalog-Pipeline.yml**. 1. Geben Sie die folgenden Befehle ein, um die Änderungen im Code-Repository zusammenzuführen: ``` cd ServiceCatalog-CodeRepo git add ServiceCatalog-Pipeline.yml git commit -m "" git push origin main ``` 1. Öffnen Sie im Konfigurations-Repository (`ServiceCatalog-ConfigRepo`) die Datei **bp\_config.yml**. 1. Aktualisieren Sie die Werte im Portfoliobereich nach Bedarf für Ihre Organisation. Aktualisieren Sie beispielsweise die `share_to_ou` Attribute `portfolio_access_roles` und. Weitere Informationen finden Sie in der [Konfigurationsdatei](architecture-components.md#architecture-config-file) in diesem Handbuch. 1. Speichern und schließen Sie die Datei **bp\_config.yml**. 1. Geben Sie die folgenden Befehle ein, um die Änderungen im Code-Repository zusammenzuführen: ``` cd ServiceCatalog-ConfigRepo git add bp_config.yml git commit -m "" git push origin main ``` **Um den CloudFormation Stack bereitzustellen** 1. Melden Sie sich beim Enterprise Blueprint Factory-Administratorkonto an. 1. Wechseln Sie zu einer IAM-Rolle mit [Administratorberechtigungen](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AdministratorAccess.html). 1. Öffnen Sie die [CloudFormation-Konsole](https://console.aws.amazon.com/cloudformation/). 1. Wählen Sie in der Navigationsleiste oben auf dem Bildschirm das Ziel AWS-Region aus. 1. Wählen Sie auf der Seite „**Stapel**“ oben rechts die Option „**Stapel erstellen**“ und dann „**Mit neuen Ressourcen (Standard)**“ aus. 1. Wählen Sie unter **Prepare template** (Vorlage vorbereiten) den Wert **Template is ready** (Vorlage ist bereit) aus. 1. Wählen **Sie unter Vorlage angeben** die Option **Eine Vorlagendatei hochladen** aus. 1. Wählen Sie **Datei auswählen**, navigieren Sie zu dem `ServiceCatalog-CodeRepo` Ordner und wählen Sie dann **ServiceCatalog-Pipeline.yml** aus. 1. Wählen Sie **Weiter**, um fortzufahren und die Vorlage zu validieren. 1. Geben Sie **unter Stackname** einen Namen für den Stack ein. 1. Ändern Sie im Abschnitt **Parameter** die Standardwerte nicht. 1. Wählen Sie **Weiter** aus. 1. Ändern Sie auf der Seite „**Stack-Optionen konfigurieren**“ die Standardwerte nicht und wählen Sie dann **Weiter**. 1. Überprüfen Sie auf der Seite **Überprüfen und erstellen** die Vorlagen- und Stack-Details und wählen Sie dann **Senden** aus. 1. Überwachen Sie den Fortschritt der Stack-Bereitstellung. Weitere Informationen finden Sie in der [CloudFormation-Dokumentation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/monitor-stack-progress.html). 1. Warten Sie, bis der Status zu geändert wird`CREATE_COMPLETE`. **Um die Bereitstellung zu validieren** 1. Öffnen Sie die [AWS Service Catalog -Konsole](https://console.aws.amazon.com/servicecatalog/). 1. Wählen Sie im Navigationsbereich **Produkte** aus. 1. Vergewissern Sie sich, dass **ServiceCatalog-Pipeline** in der Produktliste verfügbar ist. 1. Öffnen Sie die [AWS CodePipeline -Konsole](https://console.aws.amazon.com/codesuite/codepipeline/home). 1. Wählen Sie unter **Name** die Konfigurationspipeline aus. Standardmäßig lautet der Name der Pipeline`ServiceCatalog-Pipeline`. 1. Wählen Sie **View history (Verlauf anzeigen)**. 1. Zeigen Sie den Status der Pipeline und die Ausführung der Phase an. Weitere Informationen zum Status finden Sie in der CodePipeline Dokumentation unter [Ausführungsstatus anzeigen](https://docs.aws.amazon.com/codepipeline/latest/userguide/executions-view.html#pipelines-executions-status-console). 1. Warten Sie, bis der Status der Konfigurationspipeline lautet`Succeeded`. 1. Öffnen Sie die [Service Catalog-Konsole](https://console.aws.amazon.com/servicecatalog/). 1. Wählen Sie im Navigationsbereich **Produkte** aus. 1. Vergewissern Sie sich, dass das **BP-S3-Produkt und das **BP-SNS-Produkt**** verfügbar sind. Dies weist darauf hin, dass die Produktveröffentlichungspipelines für die Muster-Blueprints erfolgreich abgeschlossen wurden. 1. [Wenn Sie die Beispiel-Blueprints löschen möchten, die Sie beim Einrichten der Enterprise Blueprint Factory bereitgestellt haben, folgen Sie den Anweisungen unter Löschen eines Blueprints.](using-factory.md#using-factory-delete) ## Löschen Sie die Enterprise Blueprint Factory Wenn Sie die Enterprise Blueprint Factory nicht verwenden, können Sie sie löschen, um die mit ihren Ressourcen verbundenen Kosten zu vermeiden. AWS **Vorgehensweise zum Löschen der -Ressourcen** 1. Geben Sie die folgenden Befehle ein, um die IAM-Rollen zu löschen, die im Enterprise Blueprint Factory-Administratorkonto bereitgestellt wurden: ``` aws iam detach-role-policy \ --policy-arn arn:aws:iam::aws:policy/AWSServiceCatalogEndUserFullAccess \ --role-name ServiceCatalogEndUserRole aws iam delete-role --role-name ServiceCatalogEndUserRole aws iam detach-role-policy \ --policy-arn arn:aws:iam::aws:policy/AmazonSNSFullAccess \ --role-name ServiceCataloglogLaunchConstraintRole aws iam delete-role --role-name ServiceCataloglogLaunchConstraintRole ``` 1. Löschen Sie den CloudFormation Stack für die Enterprise Blueprint Factory. Anweisungen finden Sie unter [Löschen eines Stacks aus der CloudFormation Konsole](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-console-delete-stack.html) oder [Löschen eines Stacks aus dem AWS CLI](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/service_code_examples.html#delete-stack-sdk). 1. Löschen Sie den Amazon S3 S3-Bucket, der zum Speichern der CodePipeline Artefakte verwendet wird. Anweisungen finden Sie unter [Löschen eines Buckets](https://docs.aws.amazon.com/AmazonS3/latest/userguide/delete-bucket.html) in der Amazon S3 S3-Dokumentation. 1. Löschen Sie die folgenden Systems Manager Manager-Parameter aus dem Parameterspeicher: + `/blueprints/resources/vpc_id` + `/blueprints/resources/subnets` + `/blueprints/resources/securitygroups` + `/blueprints/resources/artifacts-bucket-name` + `/blueprints/resources/BlueprintRepo` + `/blueprints/resources/CodeRepo` + `/blueprints/resources/ConfigRepo` Anweisungen finden Sie unter [Löschen von Parametern aus dem Parameterspeicher](https://docs.aws.amazon.com/systems-manager/latest/userguide/deleting-parameters.html) in der Systems Manager Manager-Dokumentation.