AWS CodePipeline と Amazon Bedrock を使用して AWS Organizations ポリシーをコードとして管理する

クローンされたリポジトリで、 variables.tf ファイルを開きます。

にはproject_name、デプロイされたリソースの名前に適用するプレフィックスを入力します。

にはprovider_type、リモートリポジトリのプロバイダーを入力します。有効な値は ファイルで提供されます。

にはfull_repository_name、リモートリポジトリの名前を入力します。

にはbranch_name、ポリシーのデプロイに使用する Git ブランチの名前を入力します。このブランチのプッシュまたはマージにより、パイプラインが開始されます。通常、これはメインブランチです。

にはterraform_version、使用している Terraform のバージョンを入力します。

でenable_bedrock、Amazon Bedrock に変更を要約するtrue場合は、「」と入力します。変更の概要を生成falseしない場合は、 を入力します。

にはtags、デプロイされたリソースにタグとして割り当てるキーと値のペアを入力します。

variables.tf ファイルを保存して閉じます。

次のコマンドを入力してプランを作成し、変更を確認します。

terraform plan

次のコマンドを入力してプランを適用し、パイプラインインフラストラクチャを作成します。

terraform apply

environments フォルダで、 environments.json ファイルを開きます。これは、RCPs AWS アカウント と SCP のターゲットと OUs を定義するファイルです。 SCPs

サンプル環境を削除します。

次の形式でターゲット環境を追加します。

[
    {
        "ID": "<environment-name>",
        "Target": [
            "<ou-name>:<ou-id>",
            "<account-name>:<account-id>"
        ]
    }
]

コードの説明は以下のとおりです。

例については、ソースコードリポジトリを参照してください。

environments.json ファイルを保存して閉じます。

リモートリポジトリの rcp-management/guardrailsフォルダに移動します。これは、RCP マニフェストファイルのガードレールを定義するフォルダです。各ガードレールは、個々のファイルに含める必要があります。ガードレールファイルには、1 つ以上のステートメントを含めることができます。

ソースコードリポジトリからコピーされたガードレールの例をすべて削除します。

新しい .json ファイルを作成し、わかりやすい名前を付けます。

作成した .json ファイルを開きます。

ガードレールを次の形式で定義します。

[
    {
        "Sid": "<guardrail-name>",
        "Effect": "<effect-value>",
        "Action": [
            "<action-name>"
        ],
        "Resource": "<resource-arn>",
        "Condition": {
            "<condition-operator>": {
                "<condition-key>": [
                    "<condition-value>"
                ]
            }
        }
    }
]

コードの説明は以下のとおりです。

RCP ガードレールの例については、ソースコードリポジトリを参照してください。

.json ファイルを保存して閉じます。

これらのステップを繰り返して、必要な数の RCP ガードレールを作成します。

scp-management/guardrails フォルダでこれらのステップを繰り返して、SCPs に必要な数のガードレールを作成します。SCP ガードレールの例については、ソースコードリポジトリを参照してください。

リモートリポジトリの rcp-management/policiesフォルダに移動します。これは、RCP マニフェストファイルの完全なポリシーを定義するフォルダです。各ポリシーは個別のファイルである必要があります。

ソースコードリポジトリからコピーされたポリシーの例をすべて削除します。

新しい .json ファイルを作成し、わかりやすい名前を付けます。

作成した .json ファイルを開きます。

RCP を定義します。RCPs「リソースコントロールポリシーの例」を参照してください。 https://github.com/aws-samples/organizations-policy-pipeline/tree/main/sample-repository/rcp-management/policies AWS Organizations

.json ファイルを保存して閉じます。

これらのステップを繰り返して、必要な数の RCPsを作成します。

scp-management/policies フォルダでこれらのステップを繰り返して、必要な数の SCPsを作成します。SCPs「サービスコントロールポリシーの例」を参照してください。 https://github.com/aws-samples/organizations-policy-pipeline/tree/main/sample-repository/scp-management/policies AWS Organizations

rcp-management フォルダで、 rcp-management.json ファイルを開きます。これは、ターゲット環境に適用する RCP ガードレールと完全な RCPs を定義するファイルです。このファイルの例については、ソースコードリポジトリを参照してください。

サンプルステートメントを削除します。

次の形式で新しいステートメントを追加します。

[
    {
        "SID": "<statement-name>",
        "Target": {
            "Type": "<target-type>",
            "ID": "<target-name>"
        },
        "Guardrails": [
            "<guardrail-name>"
        ],
        "Policy": "<policy-name>",
        "Comments": "<comment-text>"
    }
]

コードの説明は以下のとおりです。

これらのステップを繰り返して、組織の RCPs を設定するために必要な数のステートメントを追加します。

rcp-management.json ファイルを保存して閉じます。

scp-management フォルダで、 scp-management.json ファイルでこれらのステップを繰り返します。これは、ターゲット環境に適用する SCP ガードレールと完全な SCPs を定義するファイルです。このファイルの例については、ソースコードリポジトリを参照してください。

通知メッセージを開きます。

可能な場合は、ポリシーの変更の概要を確認します。

CodePipeline の承認アクションを承認または拒否するの指示に従います。

委任管理者であるアカウントの AWS Organizations コンソールにサインインします AWS Organizations。

サービスコントロールポリシーページで、作成した SCPsが一覧表示されていることを確認します。

パイプラインを通じて管理される SCP を選択し、目的のターゲットに適用されることを確認します。

リソースコントロールポリシーページで、作成した RCPsが一覧表示されていることを確認します。

パイプラインを通じて管理される RCP を選択し、目的のターゲットに適用されることを確認します。