AWS CodePipeline と Amazon Bedrock を使用して AWS Organizations ポリシーをコードとして管理する

クローンしたリポジトリで variables.tf ファイルを開きます。

project_name には、デプロイされたリソースの名前に適用するプレフィックスを入力します。

provider_type には、リモートリポジトリのプロバイダーを入力します。有効な値がファイルで指定されます。

full_repository_name には、リモートリポジトリの名前を入力します。

branch_name には、ポリシーをデプロイするために使用する Git ブランチの名前を入力します。このブランチでのプッシュまたはマージによりパイプラインが開始されます。通常、これはメインブランチとなります。

terraform_version には、使用している Terraform のバージョンを入力します。

Amazon Bedrock で変更を要約する場合、enable_bedrock には、true を入力します。変更の概要を生成しない場合は、false を入力します。

tags には、デプロイされたリソースにタグとして割り当てるキーと値のペアを入力します。

variables.tf ファイルを保存して閉じます。

プランを作成して、変更を確認するには、次のコマンドを入力します。

terraform plan

プランを適用して、パイプラインインフラストラクチャを作成するには、次のコマンドを入力します。

terraform apply

environments フォルダで、environments.json ファイルを開きます。これは、RCPs AWS アカウント と SCP のターゲットと OUs を定義するファイルです。 SCPs

環境の例を削除します。

次の形式でターゲット環境を追加します。

[
    {
        "ID": "<environment-name>",
        "Target": [
            "<ou-name>:<ou-id>",
            "<account-name>:<account-id>"
        ]
    }
]

コードの説明は以下のとおりです。

例については、「ソースコードリポジトリ」を参照してください。

environments.json ファイルを保存して閉じます。

リモートリポジトリの rcp-management/guardrails フォルダに移動します。これは、RCP マニフェストファイルのガードレールを定義するフォルダです。各ガードレールは個別のファイルに含まれている必要があります。ガードレールファイルには、1 つ以上のステートメントを含めることができます。

ソースコードリポジトリからコピーされたガードレールの例をすべて削除します。

新しい .json ファイルを作成し、わかりやすい名前を付けます。

作成した .json ファイルを開きます。

次の形式でガードレールを定義します。

[
    {
        "Sid": "<guardrail-name>",
        "Effect": "<effect-value>",
        "Action": [
            "<action-name>"
        ],
        "Resource": "<resource-arn>",
        "Condition": {
            "<condition-operator>": {
                "<condition-key>": [
                    "<condition-value>"
                ]
            }
        }
    }
]

コードの説明は以下のとおりです。

RCP ガードレールの例については、「ソースコードリポジトリ」を参照してください。

.json ファイルを保存して閉じます。

これらのステップを繰り返して、必要な数の RCP ガードレールを作成します。

scp-management/guardrails フォルダ内でこれらのステップを繰り返して、SCP に必要な数のガードレールを作成します。SCP ガードレールの例については、「ソースコードリポジトリ」を参照してください。

リモートリポジトリの rcp-management/policies フォルダに移動します。これは、RCP マニフェストファイルの完全なポリシーを定義するフォルダです。各ポリシーは、個別のファイルである必要があります。

ソースコードリポジトリからコピーされたポリシーの例をすべて削除します。

新しい .json ファイルを作成し、わかりやすい名前を付けます。

作成した .json ファイルを開きます。

RCP を定義します。RCPs「リソースコントロールポリシーの例」を参照してください。 https://github.com/aws-samples/organizations-policy-pipeline/tree/main/sample-repository/rcp-management/policies AWS Organizations

.json ファイルを保存して閉じます。

これらのステップを繰り返して、必要な数の RCP を作成します。

scp-management/policies フォルダ内でこれらのステップを繰り返して、必要な数の SCP を作成します。SCPs「サービスコントロールポリシーの例」を参照してください。 https://github.com/aws-samples/organizations-policy-pipeline/tree/main/sample-repository/scp-management/policies AWS Organizations

rcp-management フォルダで、rcp-management.json ファイルを開きます。これは、ターゲット環境に適用する RCP ガードレールと完全な RCP を定義するファイルです。このファイルの例については、「ソースコードリポジトリ」を参照してください。

ステートメントの例を削除します。

次の形式で新しいステートメントを追加します。

[
    {
        "SID": "<statement-name>",
        "Target": {
            "Type": "<target-type>",
            "ID": "<target-name>"
        },
        "Guardrails": [
            "<guardrail-name>"
        ],
        "Policy": "<policy-name>",
        "Comments": "<comment-text>"
    }
]

コードの説明は以下のとおりです。

これらのステップを繰り返して、組織の RCP を設定するために必要な数のステートメントを追加します。

rcp-management.json ファイルを保存して閉じます。

scp-management フォルダ内の scp-management.json ファイルで、これらのステップを繰り返します。これは、ターゲット環境に適用する SCP ガードレールと完全な SCP を定義するファイルです。このファイルの例については、「ソースコードリポジトリ」を参照してください。

通知メッセージを開きます。

可能な場合は、ポリシー変更の概要を確認します。

「CodePipeline で承認アクションを承認または拒否する」の手順に従います。

AWS Organizationsの委任管理者アカウントで AWS Organizations コンソールにサインインします。

[サービスコントロールポリシー] ページで、作成した SCP が一覧表示されていることを確認します。

パイプラインを通じて管理される SCP を選択し、それが目的のターゲットに適用されることを確認します。

[リソースコントロールポリシー] ページで、作成した RCP が一覧表示されていることを確認します。

パイプラインを通じて管理される RCP を選択し、それが目的のターゲットに適用されることを確認します。