Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration AWS AppConfig Agent permettant de récupérer les configurations de plusieurs comptes

Vous pouvez configurer AWS AppConfig l'agent pour récupérer les configurations de plusieurs utilisateurs Comptes AWS en saisissant des informations d'identification remplacées dans le manifeste de l' AWS AppConfig agent. Les remplacements d'informations d'identification incluent le nom de ressource Amazon (ARN) d'un rôle Gestion des identités et des accès AWS (IAM), un ID de rôle, un nom de session et la durée pendant laquelle l'agent peut assumer le rôle.

Vous saisissez ces informations dans la section « informations d'identification » du manifeste. La section « informations d'identification » utilise le format suivant :

{
    "application_name:environment_name:configuration_name": {
        "credentials": {
            "roleArn": "arn:partition:iam::account_ID:role/roleName",
            "roleExternalId": "string",
            "roleSessionName": "string",
            "credentialsDuration": "time_in_hours" 
        }
    }
}

Voici un exemple :

{
    "My2ndApp:Beta:MyEnableMobilePaymentsFeatureFlagConfiguration": {
        "credentials": {
            "roleArn": "arn:aws:us-west-1:iam::123456789012:role/MyTestRole",
            "roleExternalId": "00b148e2-4ea4-46a1-ab0f-c422b54d0aac",
            "roleSessionName": "AWSAppConfigAgent",
            "credentialsDuration": "2h" 
        }
    }
}

Avant de récupérer une configuration, l'agent lit les informations d'identification relatives à la configuration dans le manifeste, puis assume le rôle IAM spécifié pour cette configuration. Vous pouvez spécifier un ensemble différent de remplacements d'informations d'identification pour différentes configurations dans un seul manifeste. Le schéma suivant montre comment l' AWS AppConfig Agent, lorsqu'il s'exécute dans le compte A (le compte de récupération), assume des rôles distincts spécifiés pour les comptes B et C (les comptes fournisseur), puis appelle l'opération d'GetLatestConfigurationAPI pour récupérer les données de configuration lors de l' AWS AppConfig exécution sur ces comptes :

Configurer les autorisations pour récupérer les données de configuration des comptes fournisseurs

AWS AppConfig L'agent qui s'exécute dans le compte de récupération a besoin d'une autorisation pour récupérer les données de configuration des comptes fournisseurs. Vous accordez l'autorisation à l'agent en créant un rôle Gestion des identités et des accès AWS (IAM) dans chacun des comptes fournisseurs. AWS AppConfig L'agent du compte de récupération assume ce rôle pour obtenir les données des comptes fournisseurs. Suivez les procédures décrites dans cette section pour créer une politique d'autorisations IAM, un rôle IAM et ajouter des remplacements d'agent au manifeste.

Avant de commencer

Collectez les informations suivantes avant de créer une politique d'autorisation et un rôle dans IAM.

Création de la politique d'autorisations

Suivez la procédure suivante pour créer une politique d'autorisations à l'aide de la console IAM. Effectuez la procédure dans chaque cas Compte AWS qui enverra les données de configuration pour le compte de récupération.

Création du rôle IAM

Suivez la procédure suivante pour créer un rôle IAM à l'aide de la console IAM. Effectuez la procédure dans chaque cas Compte AWS qui enverra les données de configuration pour le compte de récupération.

Ajouter des remplacements d'informations d'identification au manifeste

Après avoir créé le rôle IAM dans votre compte fournisseur, mettez à jour le manifeste dans le compte de récupération. Plus précisément, ajoutez le bloc d'informations d'identification et l'ARN du rôle IAM pour récupérer les données de configuration depuis le compte fournisseur. Voici le format JSON :

{
    "vendor_application_name:vendor_environment_name:vendor_configuration_name": {
        "credentials": {
            "roleArn": "arn:partition:iam::vendor_account_ID:role/name_of_role_created_in_vendor_account",
            "roleExternalId": "string",
            "roleSessionName": "string",
            "credentialsDuration": "time_in_hours" 
        }
    }
}

Voici un exemple :

{
    "My2ndApp:Beta:MyEnableMobilePaymentsFeatureFlagConfiguration": {
        "credentials": {
            "roleArn": "arn:aws:us-west-1:iam::123456789012:role/MyTestRole",
            "roleExternalId": "00b148e2-4ea4-46a1-ab0f-c422b54d0aac",
            "roleSessionName": "AwsAppConfigAgent",
            "credentialsDuration": "2h" 
        }
    }
}

Validez que la récupération multi-comptes fonctionne

Vous pouvez vérifier que cet agent est capable de récupérer les données de configuration de plusieurs comptes en consultant les journaux de l' AWS AppConfig agent. Le journal des INFO niveaux des données initiales récupérées pour « YourApplicationName : YourEnvironmentName : YourConfigurationName » est le meilleur indicateur de la réussite des extractions. Si les extractions échouent, vous devriez voir un journal des ERROR niveaux indiquant la raison de l'échec. Voici un exemple de récupération réussie depuis le compte d'un fournisseur :

[appconfig agent] 2023/11/13 11:33:27 INFO AppConfig Agent 2.0.x
[appconfig agent] 2023/11/13 11:33:28 INFO serving on localhost:2772
[appconfig agent] 2023/11/13 11:33:28 INFO retrieved initial data for 'MyTestApplication:MyTestEnvironment:MyDenyListConfiguration' in XX.Xms