Account Factory for Terraform を使用して複数のアカウントのアクセス許可セットを管理する

Anand Krishna Varanasi と Siamak Heshmati、Amazon Web Services

概要

このパターンは、AWS Control Tower Account Factory Terraform (AFT) を と統合AWS IAM Identity Centerして、複数の に対するアクセス許可を AWS アカウント 大規模に設定するのに役立ちます。このアプローチでは、カスタム AWS Lambda 関数を使用して、組織として管理 AWS アカウント される へのアクセス許可セットの割り当てを自動化します。これにより、プラットフォームエンジニアリングチームからの手動介入を必要としないため、プロセスが合理化されます。このソリューションは、運用効率、セキュリティ、一貫性を高めることができます。これにより、 の安全で標準化されたオンボーディングプロセスが促進され AWS Control Tower、クラウドインフラストラクチャの俊敏性と信頼性を優先する企業にとって不可欠です。

前提条件と制限

前提条件

制約事項

アーキテクチャ

AFT の概要

AFT は、アカウントのプロビジョニングとカスタマイズに役立つ Terraform パイプラインを設定します AWS Control Tower。AFT は、アカウントプロビジョニングのプロセスを自動化する GitOps モデルに従います AWS Control Tower。アカウントリクエスト Terraform ファイルを作成し、リポジトリにコミットします。これにより、アカウントプロビジョニングの AFT ワークフローが開始されます。アカウントのプロビジョニングが完了すると、AFT は追加のカスタマイズステップを自動的に実行できます。詳細については、 AWS Control Tower ドキュメントの「AFT アーキテクチャ」を参照してください。

AFT には、次のメインリポジトリがあります。

ソリューションの概要

このカスタムソリューションには、 AWS Step Functions ステートマシンと、複数のアカウントのユーザーとグループに権限セットを割り当てる AWS Lambda 関数が含まれています。このパターンでデプロイされたステートマシンは、既存の AFT aft_account_provisioning_customizationsステートマシンと組み合わせて動作します。ユーザーは、新しい AWS アカウント の作成時またはアカウントの作成後に、IAM Identity Center のユーザーとグループの割り当てを更新するリクエストを送信します。これを行うには、リポジトリに変更をプッシュしますaft-account-request。アカウントを作成または更新するリクエストは、Amazon DynamoDB Streams でストリームを開始します。これにより、ターゲットの IAM Identity Center ユーザーとグループを更新する Lambda 関数が開始されます AWS アカウント。

以下は、ターゲットユーザーとグループへのアクセス許可セットの割り当てのために Lambda 関数で指定できるパラメータの例です。

custom_fields = {
    "InstanceArn"         = "<Organization ID>",
    "PermissionSetArn"    = "<Permission set ARN>",
    "PrincipalId"         = "<Principal ID>",
  }

このステートメントのパラメータは次のとおりです。

InstanceArn 値は一貫している必要がありますが、Lambda 関数を変更して、複数のアクセス許可セットを複数のターゲット ID に割り当てることができます。アクセス許可セットのパラメータは で終わる必要がありPermissionSetArn、ユーザーとグループのパラメータは で終わる必要がありますPrincipalId。両方の属性を定義する必要があります。以下は、複数のアクセス許可セットとターゲットユーザーおよびグループを定義する方法の例です。

custom_fields = {
    "InstanceArn"                    = "<Organization ID>",
    "AdminAccessPermissionSetArn"    = "<Admin privileges permission set ARN>",
    "AdminAccessPrincipalId"         = "<Admin principal ID>",
    "ReadOnlyAccessPermissionSetArn" = "<Read-only privileges permission set ARN>",
    "ReadOnlyAccessPrincipalId"      = "<Read-only principal ID>",
  }

次の図は、ソリューションがターゲット内のユーザーとグループのアクセス許可セットを AWS アカウント 大規模に更新する方法のstep-by-stepのワークフローを示しています。ユーザーがアカウント作成リクエストを開始すると、AFT は aft-account-provisioning-framework Step Functions ステートマシンを開始します。このステートマシンは extract-alternate-sso Lambda 関数を開始します。Lambda 関数は、ターゲット内のユーザーとグループに権限セットを割り当てます AWS アカウント。これらのユーザーまたはグループは、IAM Identity Center で設定された任意の ID ソースから取得できます。ID ソースの例としては、Okta、Active Directory、Ping Identity などがあります。

この図は、新しいアカウントが作成されたときの次のワークフローを示しています。

自動化とスケール

AFT は、スケーラビリティの高い CodePipeline、 AWS CodeBuild、DynamoDB、Lambda AWS のサービス などを使用して大規模に動作します。さらなる自動化のために、このソリューションを Jira などのチケットまたは問題管理システムと統合できます。詳細については、このパターンの「追加情報」セクションを参照してください。

ツール

AWS のサービス

その他のツール

コードリポジトリ

AFT のコードリポジトリは、GitHub AWS Control Tower Account Factory for Terraform リポジトリで入手できます。このパターンのコードは、Govern SSO Assignments for AWS アカウント using Account Factory for Terraform (AFT) リポジトリで入手できます。

ベストプラクティス

エピック

トラブルシューティング

追加情報

チケット管理ツールとの統合

このソリューションを Jira や ServiceNow などのチケットまたは問題管理ツールと統合することを選択できます。次の図は、このオプションのワークフローの例を示しています。チケット管理ツールを AFT ソリューションリポジトリと統合するには、ツールのコネクタを使用します。Jira コネクタについては、「Jira と GitHub の統合」を参照してください。ServiceNow コネクタについては、GitHub との統合」を参照してください。プルリクエストの承認の一環としてユーザーにチケット ID の提供を要求するカスタムソリューションを構築することもできます。AFT AWS アカウント を使用して新しい を作成するリクエストが承認された場合、そのイベントは aft-account-request GitHub リポジトリにカスタムフィールドを追加するワークフローを開始できます。ユースケースの要件を満たすカスタムワークフローを設計できます。

この図表は、次のワークフローを示しています：