で Landing Zone Accelerator を使用してアカウントの作成を自動化する AWS

AWS コードリポジトリの Landing Zone Accelerator で、 という名前のファイルを作成しますcustomizations-config.yaml。このファイルを使用してコアソリューションのカスタマイズを定義します。詳細については「Customizing the solution」を参照してください。

customizations-config.yaml ファイルで、cloudFormationStacks というセクションを作成します。

GitHub から account-creation-validation-role.yaml ファイルをダウンロードします。

customizations-config.yaml ファイルのテンプレートセクションに示されている場所にこのファイルを保存します。

customizations-config.yaml ファイルを開きます。

次のコードを cloudFormationStacks セクションに追加します。ランディングゾーンの AWS リージョン 必要に応じてターゲットを更新します。

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management              
          description: IAM Role to allow Account Validation
          name: lza-account-creation-validation
          regions:
            - us-east-1
          template: cloudformation/account-creation-validation-role.yaml
          runOrder: 1 
          terminationProtection: true
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

customizations-config.yaml ファイルを保存して閉じます。

GitHub から account-tagging-to-ssm-parameter-role.yaml ファイルをダウンロードします。

customizations-config.yaml ファイルのテンプレートセクションに示されている場所にこのファイルを保存します。

customizations-config.yaml ファイルを開きます。

次のコードを cloudFormationStacks セクションに追加します。ランディングゾーンの AWS リージョン 必要に応じてターゲットを更新します。

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management
          description: IAM Role to create SSM Parameters based on Account Tagging
          name: lza-account-tagging-to-ssm-parameter
          regions:
            - us-east-1
          template: cloudformation/account-tagging-to-ssm-parameter-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

customizations-config.yaml ファイルを保存して閉じます。

GitHub から config-log-validation-role.yaml ファイルをダウンロードします。

customizations-config.yaml ファイルのテンプレートセクションに示されている場所にこのファイルを保存します。

customizations-config.yaml ファイルを開きます。

次のコードを cloudFormationStacks セクションに追加します。ランディングゾーンの AWS リージョン 必要に応じてターゲットを更新します。

        - deploymentTargets:
            accounts:
              - LogArchive
          description: IAM Role to validate Config and Logs
          name: lza-config-log-validation-role
          regions:
            - us-east-1
          template: cloudformation/config-log-validation-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

customizations-config.yaml ファイルに加えた変更を保存して閉じ、コミットします。

Microsoft Entra ID 管理センターで、create_aws_account アプリケーションを登録します。手順は、Microsoft ドキュメントの「Register an application」を参照してください。

Microsoft ドキュメントの「Update an app's requested permissions」の手順に従い、create_aws_account アプリケーションに対して次の Microsoft Graph アクセス許可を設定します。

Microsoft Entra ID 管理センターで、[App registrations] に移動し、create_aws_account を選択します。

左側のペインで [Overview] を選択します。

[Overview] ページで、次の値を書き留めます。

左のナビゲーションペインの [Manage] で [Certificates & secrets] を選択します。

[Certificates & secrets] ページで、[Client secrets] タブを選択し、次の値を書き留めます。

Microsoft Entra ID 管理センターで、[Enterprise applications] に移動し、LZA2 を選択します。

左側のペインで [Overview] を選択します。

[Overview] ページで、次の値を書き留めます。

左側のペインの [Manage] で [Manifest] を選択します。

JSON ファイルの appRoles セクションで、User という名前のアプリケーションロールを見つけます。

このアプリロールの id の値を書き留めます。

で AWS CLI、次のコマンドを入力して変数を作成します。create_aws_account と LZA2 のアプリケーション用に取得した値を使用します。

# Variables for create_aws_account app
  TENANT_ID='<Directory ID>'
  CLIENT_ID='<Application ID>'
  SECRET_ID='<Client secret ID>'
  SECRET_VALUE='<Client secret value>'

# Variables for LZA2 app
  OBJECT_ID='<Object ID>'
  APP_ROLE_ID='<App role ID>'
  ENTERPRISE_APP_NAME='<Name>'

次のコマンドを入力して、 GraphApiSecret という名前のシークレットを作成します AWS Secrets Manager。

aws secretsmanager create-secret \
  --name GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

今後シークレットを更新する必要がある場合は、この変数を更新して次のコマンドを実行します。

aws secretsmanager update-secret \
  --secret-id GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

次のコマンドを入力して、lza-account-creation-workflow リポジトリのクローンを作成します。

git clone https://github.com/aws-samples/lza-account-creation-workflow

次のコマンドを入力して、クローンを作成したリポジトリ内の config ディレクトリに移動します。

cd lza-account-creation-workflow/config

deploy-config.yaml ファイルを開きます。

テンプレートを確認し、 AWS 環境へのデプロイに必要な値を更新します。例えば、次の値を更新します。

Microsoft Entra ID と統合する場合は、次の操作を行います。

deploy-config.yaml ファイルを保存して閉じます。

次のコマンドを入力します。

cdk bootstrap <account-number>/<Region>

詳細については、 AWS CDK ドキュメントの「ブートストラップ」を参照してください。

次のコマンドを入力して CloudFormation テンプレートを合成します。

cdk synth

詳細については、 AWS CDK ドキュメントのAWS CDK 「スタック合成の設定と実行」を参照してください。

次のコマンドを入力してソリューションをデプロイします。

cdk deploy

詳細については、 AWS CDK ドキュメントのAWS CDK 「アプリケーションのデプロイ」を参照してください。

次のコマンドを入力してクローンが作成されたリポジトリに移動します。

cd lza-account-creation-workflow

Step Functions ワークフローを開始する Python スクリプトを実行します。以下は、引数と値のサンプルを含むコマンドの例です。

python ./run-stepfunction.py \
  --account-name "lza-test-01" \
  --support-dl "johnsmith@example.com" \
  --managed-org-unit "Workloads/Workload-1" \
  --purpose "Testing new micro service" \
  --force-update true \
  --ad-integration "{\"CustomerAccountAdmin\": \"platform-admin\", \"CustomerAccountDev\": \"workload1-app1\"}" \
  --bypass-creation true \
  --tags APPLICATION=TestingMicroService

アカウントが正常に作成されたことを知らせる通知が届くまで待機します。

次のコマンドを入力して、ソースコードディレクトリに移動します。

cd lza-account-creation-workflow

次のコマンドを入力して、 AWS アクセスキー変数を設定します。変数は AWS アクセスポータルからコピーし、シェルに貼り付けることができます。以下に例を示します。

export AWS_ACCESS_KEY_ID="<id>"
export AWS_SECRET_ACCESS_KEY="<key>"
export AWS_SESSION_TOKEN="<token>"

次のコマンドを入力して、 API コール AWS リージョン の を設定します。

export AWS_REGION=$(aws configure get region)

次のコマンドを入力して、lza-account-creation-workflow-application CloudFormation の出力から API Gateway エンドポイントを取得します。

export API_GATEWAY_ENDPOINT=$(aws cloudformation describe-stacks --stack-name "lza-account-creation-workflow-application" --query 'Stacks[*].Outputs[?OutputKey==`oApiGatewayCreateAccountEndpoint`].OutputValue' --output text)

クローンが作成されたリポジトリのルートフォルダで api_example.json ファイルを開きます。

設定値を使ってパラメータを更新します。

{
    "account_name": "lza-test-01",
    "account_email": "johnsmith+lzatest01@example.com",
    "support_dl": "johnsmith@example.com",
    "managed_org_unit": "Workloads/Workload-1",
    "ad_integration": [
        {
            "PermissionSetName": "CustomerAccountAdmin",
            "ActiveDirectoryGroupName": "platform-admin"
        },
        {
            "PermissionSetName": "CustomerAccountDev",
            "ActiveDirectoryGroupName": "workload1-app1"
        }
    ],
    "force_update": "true",
    "bypass_creation": "false",
    "account_tags": [
        {
            "Key": "Environment",
            "Value": "Dev"
        }, {
            "Key": "DeploymentMethod",
            "Value": "ApiGateway"
        }
    ]
}

api_example.json ファイルを保存して閉じます。

次のコマンドを入力して Step Functions ワークフローを開始します。

awscurl --service execute-api \
    --data @api-example.json \
    --region ${AWS_REGION} \
    --access_key ${AWS_ACCESS_KEY_ID} \
    --secret_key ${AWS_SECRET_ACCESS_KEY} \
    --security_token ${AWS_SESSION_TOKEN} \
    -X POST ${API_GATEWAY_ENDPOINT}execute

前のコマンドの出力で、Step Functions の実行 Amazon リソースネーム (ARN) を書き留めます。

Step Functions ワークフローのステータスをチェックするには、次のコマンドを入力します。<STEP_FUNCTION_EXECUTION_NAME> を Step Functions 実行の ARN または名前に置き換えます。

awscurl --service execute-api \
  --region ${AWS_REGION} \
  --access_key ${AWS_ACCESS_KEY_ID} \
  --secret_key ${AWS_SECRET_ACCESS_KEY} \
  --security_token ${AWS_SESSION_TOKEN} \
  -X GET ${API_GATEWAY_ENDPOINT}get_execution_status?execution=<STEP_FUNCTION_EXECUTION_NAME>

アカウントが正常に作成されたことを知らせる通知が届くまで待機します。