Mengotomatiskan pembuatan akun dengan menggunakan Akselerator Zona Landing di AWS

Di Landing Zone Accelerator pada repositori AWS kode, buat file bernama. customizations-config.yaml Anda menggunakan file ini untuk menentukan kustomisasi untuk solusi inti. Untuk informasi selengkapnya, lihat Menyesuaikan solusinya.

Dalam customizations-config.yaml file, buat bagian yang disebutcloudFormationStacks.

Unduh account-creation-validation-rolefile.yaml dari file. GitHub

Simpan file ke lokasi yang ditunjukkan di bagian templat customizations-config.yaml file.

Buka file customizations-config.yaml.

Di cloudFormationStacks bagian ini, tambahkan kode berikut. Perbarui target Wilayah AWS sesuai kebutuhan untuk landing zone Anda:

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management              
          description: IAM Role to allow Account Validation
          name: lza-account-creation-validation
          regions:
            - us-east-1
          template: cloudformation/account-creation-validation-role.yaml
          runOrder: 1 
          terminationProtection: true
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Simpan dan tutup file customizations-config.yaml.

Unduh file account-tagging-to-ssm-parameter-role.yaml dari. GitHub

Simpan file ke lokasi yang ditunjukkan di bagian templat customizations-config.yaml file.

Buka file customizations-config.yaml.

Di cloudFormationStacks bagian ini, tambahkan kode berikut. Perbarui target Wilayah AWS sesuai kebutuhan untuk landing zone Anda:

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management
          description: IAM Role to create SSM Parameters based on Account Tagging
          name: lza-account-tagging-to-ssm-parameter
          regions:
            - us-east-1
          template: cloudformation/account-tagging-to-ssm-parameter-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Simpan dan tutup file customizations-config.yaml.

Unduh config-log-validation-rolefile.yaml dari file. GitHub

Simpan file ke lokasi yang ditunjukkan di bagian templat customizations-config.yaml file.

Buka file customizations-config.yaml.

Di cloudFormationStacks bagian ini, tambahkan kode berikut. Perbarui target Wilayah AWS sesuai kebutuhan untuk landing zone Anda:

        - deploymentTargets:
            accounts:
              - LogArchive
          description: IAM Role to validate Config and Logs
          name: lza-config-log-validation-role
          regions:
            - us-east-1
          template: cloudformation/config-log-validation-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Simpan, tutup, dan komit perubahan yang dibuat pada customizations-config.yaml file.

Di pusat admin Microsoft Entra ID, daftarkan create_aws_account aplikasi. Untuk petunjuk, lihat Mendaftarkan aplikasi di dokumentasi Microsoft.

Ikuti petunjuk di Perbarui izin yang diminta aplikasi dalam dokumentasi Microsoft untuk mengonfigurasi izin Microsoft Graph berikut untuk aplikasi: create_aws_account

Di pusat admin Microsoft Entra ID, navigasikan ke Pendaftaran aplikasi, lalu pilih. create_aws_account

Di panel kiri, pilih Ikhtisar.

Pada halaman Ikhtisar, catat nilai-nilai berikut:

Di panel kiri, di bawah Kelola, pilih Sertifikat & rahasia.

Pada halaman Sertifikat & Rahasia, pilih tab Rahasia klien, lalu catat nilai-nilai berikut:

Di pusat admin Microsoft Entra ID, navigasikan ke aplikasi Enterprise, lalu pilihLZA2.

Di panel kiri, pilih Ikhtisar.

Pada halaman Ikhtisar, catat nilai-nilai berikut:

Di panel kiri, di bawah Kelola, pilih Manifest.

Di file JSON, di appRoles bagian ini, cari peran aplikasi bernamaUser.

Catat id nilai untuk peran aplikasi ini.

Dalam AWS CLI, masukkan perintah berikut untuk membuat variabel. Gunakan nilai yang Anda ambil untuk LZA2 aplikasi create_aws_account dan:

# Variables for create_aws_account app
  TENANT_ID='<Directory ID>'
  CLIENT_ID='<Application ID>'
  SECRET_ID='<Client secret ID>'
  SECRET_VALUE='<Client secret value>'

# Variables for LZA2 app
  OBJECT_ID='<Object ID>'
  APP_ROLE_ID='<App role ID>'
  ENTERPRISE_APP_NAME='<Name>'

Masukkan perintah berikut untuk membuat rahasia bernama GraphApiSecret AWS Secrets Manager:

aws secretsmanager create-secret \
  --name GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

Jika Anda perlu memperbarui rahasia di masa depan, Anda dapat memperbarui variabel dan menjalankan perintah berikut:

aws secretsmanager update-secret \
  --secret-id GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

Masukkan perintah berikut untuk mengkloning lza-account-creation-workflowrepositori:

git clone https://github.com/aws-samples/lza-account-creation-workflow

Masukkan perintah berikut untuk menavigasi ke config direktori repositori kloning:

cd lza-account-creation-workflow/config

Buka file deploy-config.yaml.

Tinjau template dan perbarui nilai yang diperlukan untuk penerapan di AWS lingkungan Anda. Misalnya, perbarui nilai untuk yang berikut ini:

Jika Anda berintegrasi dengan Microsoft Entra ID, lakukan hal berikut:

Simpan dan tutup file deploy-config.yaml.

Masukkan perintah berikut:

cdk bootstrap <account-number>/<Region>

Untuk informasi selengkapnya, lihat Bootstrapping di dokumentasi. AWS CDK

Masukkan perintah berikut untuk mensintesis CloudFormation template:

cdk synth

Untuk informasi selengkapnya, lihat Mengkonfigurasi dan melakukan sintesis AWS CDK tumpukan dalam AWS CDK dokumentasi.

Masukkan perintah berikut untuk menyebarkan solusi.

cdk deploy

Untuk informasi selengkapnya, lihat Menerapkan AWS CDK aplikasi dalam AWS CDK dokumentasi.

Masukkan perintah berikut untuk menavigasi ke repositori kloning:

cd lza-account-creation-workflow

Jalankan skrip Python yang memulai alur kerja Step Functions. Berikut ini adalah contoh perintah yang mencakup contoh argumen dan nilai-nilai:

python ./run-stepfunction.py \
  --account-name "lza-test-01" \
  --support-dl "johnsmith@example.com" \
  --managed-org-unit "Workloads/Workload-1" \
  --purpose "Testing new micro service" \
  --force-update true \
  --ad-integration "{\"CustomerAccountAdmin\": \"platform-admin\", \"CustomerAccountDev\": \"workload1-app1\"}" \
  --bypass-creation true \
  --tags APPLICATION=TestingMicroService

Tunggu hingga Anda menerima pemberitahuan bahwa akun telah berhasil dibuat.

Masukkan perintah berikut untuk menavigasi ke direktori kode sumber:

cd lza-account-creation-workflow

Masukkan perintah berikut untuk mengatur variabel kunci AWS akses. Anda dapat menyalin variabel dari portal AWS akses dan kemudian menempelkannya ke dalam shell. Berikut ini adalah contohnya:

export AWS_ACCESS_KEY_ID="<id>"
export AWS_SECRET_ACCESS_KEY="<key>"
export AWS_SESSION_TOKEN="<token>"

Masukkan perintah berikut untuk mengatur panggilan API Wilayah AWS untuk:

export AWS_REGION=$(aws configure get region)

Masukkan perintah berikut untuk mengambil titik akhir API Gateway dari output: lza-account-creation-workflow-application CloudFormation

export API_GATEWAY_ENDPOINT=$(aws cloudformation describe-stacks --stack-name "lza-account-creation-workflow-application" --query 'Stacks[*].Outputs[?OutputKey==`oApiGatewayCreateAccountEndpoint`].OutputValue' --output text)

Di folder root repositori kloning, buka file. api_example.json

Perbarui parameter dengan nilai konfigurasi Anda:

{
    "account_name": "lza-test-01",
    "account_email": "johnsmith+lzatest01@example.com",
    "support_dl": "johnsmith@example.com",
    "managed_org_unit": "Workloads/Workload-1",
    "ad_integration": [
        {
            "PermissionSetName": "CustomerAccountAdmin",
            "ActiveDirectoryGroupName": "platform-admin"
        },
        {
            "PermissionSetName": "CustomerAccountDev",
            "ActiveDirectoryGroupName": "workload1-app1"
        }
    ],
    "force_update": "true",
    "bypass_creation": "false",
    "account_tags": [
        {
            "Key": "Environment",
            "Value": "Dev"
        }, {
            "Key": "DeploymentMethod",
            "Value": "ApiGateway"
        }
    ]
}

Simpan dan tutup file api_example.json.

Masukkan perintah berikut untuk memulai alur kerja Step Functions:

awscurl --service execute-api \
    --data @api-example.json \
    --region ${AWS_REGION} \
    --access_key ${AWS_ACCESS_KEY_ID} \
    --secret_key ${AWS_SECRET_ACCESS_KEY} \
    --security_token ${AWS_SESSION_TOKEN} \
    -X POST ${API_GATEWAY_ENDPOINT}execute

Pada output dari perintah sebelumnya, catat eksekusi Step Functions Amazon Resource Name (ARN).

Jika Anda ingin memeriksa status alur kerja Step Functions, masukkan perintah berikut. Ganti <STEP_FUNCTION_EXECUTION_NAME> dengan eksekusi Step Functions ARN atau nama:

awscurl --service execute-api \
  --region ${AWS_REGION} \
  --access_key ${AWS_ACCESS_KEY_ID} \
  --secret_key ${AWS_SECRET_ACCESS_KEY} \
  --security_token ${AWS_SESSION_TOKEN} \
  -X GET ${API_GATEWAY_ENDPOINT}get_execution_status?execution=<STEP_FUNCTION_EXECUTION_NAME>

Tunggu hingga Anda menerima pemberitahuan bahwa akun telah berhasil dibuat.