View a markdown version of this page

Multi-account configuración (sin AWS Organizaciones) - AWS Centro de resiliencia

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Multi-account configuración (sin AWS Organizaciones)

Si los recursos de tu servicio abarcan varias AWS cuentas y no utilizas AWS Organizaciones, necesitas funciones multicuenta además de la función de invocador.

Paso 1: Crea funciones multicuenta

En cada cuenta que contenga recursos para tu servicio, crea un rol con:

  • ReadOnlyAccesspolítica adjunta.

  • Una política de confianza que permite al invocador asumirla, utilizando una ExternalId para evitar ataques confusos de subalternos. Utilice un ExternalId valor único por combinación de servicio y cuenta:

    {
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Service": "resiliencehub.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  },
  {
    "Effect": "Allow",
    "Principal": {
      "AWS": "arn:aws:iam::123456789012:role/AWSResilienceHubAssessmentRole"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "StringEquals": {
        "sts:ExternalId": "ngrh-my-service-111122223333"
      }
    }
  }]
}

Paso 2: Conceda permiso al rol de invocador para que asuma funciones multicuenta

Agregue una política integrada a su función de invocador que le permita asumir las funciones multicuenta:

{
  "Effect": "Allow",
  "Action": "sts:AssumeRole",
  "Resource": [
    "arn:aws:iam::111122223333:role/NGRHResourceRole",
    "arn:aws:iam::444455556666:role/NGRHResourceRole"
  ]
}

Paso 3: Configura los roles multicuenta en tu servicio

Especifique los ARN y los ID externos de los roles multicuenta al crear el servicio:

aws resiliencehubv2 create-service \
  --name "my-service" \
  --regions '["us-east-1"]' \
  --permission-model '{
    "invokerRoleName": "AWSResilienceHubAssessmentRole",
    "crossAccountRoles": [
      {
        "crossAccountRoleArn": "arn:aws:iam::111122223333:role/NGRHResourceRole",
        "externalId": "ngrh-my-service-111122223333"
      },
      {
        "crossAccountRoleArn": "arn:aws:iam::444455556666:role/NGRHResourceRole",
        "externalId": "ngrh-my-service-444455556666"
      }
    ]
  }'

Puede configurar hasta 5 ARN de roles multicuenta por servicio.