View a markdown version of this page

Ejemplos: Registro de una unidad organizativa de AWS Control Tower solo con API - AWS Control Tower

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejemplos: Registro de una unidad organizativa de AWS Control Tower solo con API

Este tutorial de ejemplos es un documento complementario. Para obtener explicaciones, advertencias y más información, consulte tipos de líneas de base.

Requisitos previos

Debe tener una unidad organizativa (OU) existente que no esté registrada en AWS Control Tower y que desee registrar. O bien, debe tener una OU registrada que desee volver a registrar para actualizarla.

Registro de una OU

  1. Compruebe si IdentityCenterBaseline está habilitada para la zona de aterrizaje. Si es así, obtenga el identificador de base de referencia habilitado para Identity Center.

    aws controltower list-baselines --query 'baselines[?name==`IdentityCenterBaseline`].[arn]'
    aws controltower list-enabled-baselines --query 'enabledBaselines[?baselineIdentifier==`<Identity Center Baseline Arn>`].[arn]'

  2. Obtenga el ARN de la OU de destino.

    aws organizations describe-organizational-unit --organizational-unit-id <Organizational Unit ID> --query 'OrganizationalUnit.[Arn]'

  3. Obtenga el ARN de la línea de base de AWSControlTowerBaseline.

    aws controltower list-baselines --query 'baselines[?name==`AWSControlTowerBaseline`].[arn]'

  4. Cree la base de referencia de AWSControlTowerBaseline en la OU de destino.

    Si la base de referencia de Identity Center está habilitada:

    aws controltower enable-baseline --baseline-identifier <AWSControlTowerBaseline ARN> --baseline-version <BASELINE VERSION> --target-identifier <OU ARN> --parameters '[{"key":"IdentityCenterEnabledBaselineArn","value":"<Identity Center Enabled Baseline ARN>"}]'

    Si la base de referencia de Identity Center no está habilitada, omita la marca parameters de la siguiente manera:

    
aws controltower enable-baseline --baseline-identifier <AWSControlTowerBaseline ARN> --baseline-version <BASELINE VERSION> --target-identifier <OU ARN>

Re-register ¿Una OU

Después de actualizar la configuración de la zona de aterrizaje o de actualizar la versión de la zona de destino, debes incluir Re-register en las unidades organizativas los cambios más recientes. Sigue estos pasos para volver a registrar una unidad organizativa mediante programación, restableciendo el recurso asociado y todos los EnabledBaseline recursos asociados. EnabledControl

importante

Si la OU tiene habilitados los controles opcionales, también debes llamar a la ResetEnabledControl API para cada control opcional habilitado después de restablecer la línea base. Este paso garantiza que los controles opcionales se mantengan coherentes con la configuración más reciente de la zona de aterrizaje. Si omite este paso, es posible que los controles opcionales de la OU no reflejen los cambios más recientes en la zona de aterrizaje. Si no tienes ningún control opcional activado, este paso no es obligatorio.

  1. Obtenga el ARN de la OU de destino para volver a registrarla.

    aws organizations describe-organizational-unit --organizational-unit-id <OU ID> --query 'OrganizationalUnit.[Arn]'

  2. Obtenga el ARN del recurso EnabledBaseline para la OU de destino. 

    aws controltower list-enabled-baselines --query 'enabledBaselines[?targetIdentifier==`<OUARN>`].[arn]'

  3. Restablezca la base de referencia habilitada.

    aws controltower reset-enabled-baseline --enabled-baseline-identifier <EnabledBaselineArn>

  4. Si la unidad organizativa tiene habilitados los controles opcionales, enumere los controles habilitados para la unidad organizativa y restablezca cada uno de ellos para que se ajusten a la configuración más reciente de la zona de aterrizaje.

    Enumere los controles habilitados en la OU de destino:

    aws controltower list-enabled-controls --target-identifier <OU ARN>

    Para cada control opcional habilitado devuelto, restablézcalo llamando a:

    aws controltower reset-enabled-control --enabled-control-identifier <EnabledControlArn>

    Para obtener más información, consulte ResetEnabledControl la referencia de la API de AWS Control Tower.