Account Factory for Terraform을 사용하여 여러 계정에 대한 권한 세트 관리

Anand Krishna Varanasi 및 Siamak Heshmati, Amazon Web Services

요약

이 패턴은 AWS Control Tower Account Factory Terraform(AFT)을와 통합하여 대규모로 여러 AWS IAM Identity Center에 대한 권한을 구성하는 데 도움이 AWS 계정 됩니다. 이 접근 방식은 사용자 지정 AWS Lambda 함수를 사용하여 조직으로 관리 AWS 계정 되는에 대한 권한 세트 할당을 자동화합니다. 이렇게 하면 플랫폼 엔지니어링 팀의 수동 개입이 필요하지 않으므로 프로세스가 간소화됩니다. 이 솔루션은 운영 효율성, 보안 및 일관성을 향상시킬 수 있습니다. 안전하고 표준화된 온보딩 프로세스를 촉진 AWS Control Tower하므로 클라우드 인프라의 민첩성과 신뢰성을 우선시하는 기업에 없어서는 안 됩니다.

사전 조건 및 제한 사항

사전 조건 

제한 사항

아키텍처

AFT 개요

AFT는 계정을 프로비저닝하고 사용자 지정하는 데 도움이 되는 Terraform 파이프라인을 설정합니다 AWS Control Tower. AFT는 계정 프로비저닝 프로세스를 자동화하는 GitOps 모델을 따릅니다 AWS Control Tower. 계정 요청 Terraform 파일을 생성하고 리포지토리에 커밋합니다. 이렇게 하면 계정 프로비저닝을 위한 AFT 워크플로가 시작됩니다. 계정 프로비저닝이 완료되면 AFT는 추가 사용자 지정 단계를 자동으로 실행할 수 있습니다. 자세한 내용은 AWS Control Tower 설명서의 AFT 아키텍처를 참조하세요.

AFT는 다음과 같은 기본 리포지토리를 제공합니다.

솔루션 개요

이 사용자 지정 솔루션에는 AWS Step Functions 상태 시스템과 여러 계정의 사용자 및 그룹에 권한 세트를 할당하는 AWS Lambda 함수가 포함되어 있습니다. 이 패턴을 통해 배포된 상태 시스템은 기존 AFT aft_account_provisioning_customizations 상태 시스템과 함께 작동합니다. 사용자는 새가 AWS 계정 생성되거나 계정이 생성된 후 IAM Identity Center 사용자 및 그룹 할당을 업데이트하라는 요청을 제출합니다. aft-account-request 리포지토리에 변경 사항을 푸시하여이 작업을 수행합니다. 계정 생성 또는 업데이트 요청은 Amazon DynamoDB Streams에서 스트림을 시작합니다. 그러면 대상에 대한 IAM Identity Center 사용자 및 그룹을 업데이트하는 Lambda 함수가 시작됩니다 AWS 계정.

다음은 대상 사용자 및 그룹에 권한 세트를 할당하기 위해 Lambda 함수에 제공할 수 있는 파라미터의 예입니다.

custom_fields = {
    "InstanceArn"         = "<Organization ID>",
    "PermissionSetArn"    = "<Permission set ARN>",
    "PrincipalId"         = "<Principal ID>",
  }

다음은이 문의 파라미터입니다.

InstanceArn 값은 일관되게 유지되어야 하지만 Lambda 함수를 수정하여 여러 대상 자격 증명에 여러 권한 세트를 할당할 수 있습니다. 권한 세트의 파라미터는 로 끝나야 PermissionSetArn하고 사용자 및 그룹의 파라미터는 로 끝나야 합니다PrincipalId. 두 속성을 모두 정의해야 합니다. 다음은 여러 권한 세트와 대상 사용자 및 그룹을 정의하는 방법의 예입니다.

custom_fields = {
    "InstanceArn"                    = "<Organization ID>",
    "AdminAccessPermissionSetArn"    = "<Admin privileges permission set ARN>",
    "AdminAccessPrincipalId"         = "<Admin principal ID>",
    "ReadOnlyAccessPermissionSetArn" = "<Read-only privileges permission set ARN>",
    "ReadOnlyAccessPrincipalId"      = "<Read-only principal ID>",
  }

다음 다이어그램은 솔루션이 대상의 사용자 및 그룹에 대한 권한 세트를 AWS 계정 대규모로 업데이트하는 방법에 대한 step-by-step 워크플로를 보여줍니다. 사용자가 계정 생성 요청을 시작하면 AFT는 aft-account-provisioning-framework Step Functions 상태 시스템을 시작합니다. 이 상태 시스템은 extract-alternate-sso Lambda 함수를 시작합니다. Lambda 함수는 대상의 사용자 및 그룹에 권한 세트를 할당합니다 AWS 계정. 이러한 사용자 또는 그룹은 IAM Identity Center에 구성된 모든 자격 증명 소스에서 가져올 수 있습니다. 자격 증명 소스의 예로는 Okta, Active Directory 또는 Ping Identity가 있습니다.

다이어그램은 새 계정이 생성될 때 다음 워크플로를 보여줍니다.

자동화 및 규모 조정

AFT는 확장성이 뛰어난 CodePipeline, AWS CodeBuild, DynamoDB 및 Lambda AWS 서비스 와 같은를 사용하여 대규모로 작동합니다. 추가 자동화를 위해이 솔루션을 Jira와 같은 티켓 또는 문제 관리 시스템과 통합할 수 있습니다. 자세한 내용은 이 패턴의 추가 정보 섹션을 참조하세요.

도구

AWS 서비스

기타 도구

코드 리포지토리

AFT용 코드 리포지토리는 GitHub AWS Control Tower Account Factory for Terraform 리포지토리에서 사용할 수 있습니다. 이 패턴의 코드는 Account Factory for Terraform(AFT) 리포지토리 AWS 계정 를 사용하기 위한 관리 SSO 할당에서 사용할 수 있습니다.

모범 사례

에픽

문제 해결

추가 정보

티켓 관리 도구와 통합

이 솔루션을 Jira 또는 ServiceNow와 같은 티켓 또는 문제 관리 도구와 통합하도록 선택할 수 있습니다. 다음 다이어그램은이 옵션의 워크플로 예제를 보여줍니다. 도구의 커넥터를 사용하여 티켓 관리 도구를 AFT 솔루션 리포지토리와 통합할 수 있습니다. Jira 커넥터는 Jira를 GitHub와 통합을 참조하세요. ServiceNow 커넥터는 GitHub와 통합을 참조하세요. 사용자가 풀 요청 승인의 일부로 티켓 ID를 제공해야 하는 사용자 지정 솔루션을 구축할 수도 있습니다. AFT를 AWS 계정 사용하여 새를 생성하라는 요청이 승인되면 해당 이벤트는 aft-account-request GitHub 리포지토리에 사용자 지정 필드를 추가하는 워크플로를 시작할 수 있습니다. 사용 사례의 요구 사항을 충족하는 사용자 지정 워크플로를 설계할 수 있습니다.

이 다이어그램은 다음 워크플로를 보여줍니다.