Criar AWS CloudFormation StackSets com permissões gerenciadas pelo serviço
Com permissões gerenciadas pelo serviço, você pode implantar pilhas em contas gerenciadas pelo AWS Organizations em regiões específicas. Com esse modelo, você não precisa criar os perfis do IAM necessários. O CloudFormation criará esses perfis do IAM em seu nome. Para obter mais informações, consulte Ativar o acesso confiável.
Tópicos
Considerações
Antes de criar um StackSet com permissões gerenciadas pelo serviço, considere o seguinte:
-
Os StackSets com permissões gerenciadas pelo serviço são criados na conta gerencial, incluindo os StacKSets criados por administradores delegados.
-
O StackSet pode ter como destino toda a sua organização (inclui todas as contas) ou unidades organizacionais (UOs) especificadas. Se seu StackSet tiver uma UO principal como destino, ele também terá qualquer UO secundária como destino. Quando seu StackSet tem como destino UOs específicas, todas as contas dentro dessas UOs são incluídas por padrão. No entanto, você pode ter contas específicas como destino usando as opções de filtro de contas.
-
Vários StackSets podem ter como destino a mesma organização ou UO.
-
O StackSet não pode ter contas fora da organização como destino.
-
Seu StackSet não pode implantar pilhas aninhadas.
-
O CloudFormation não implanta pilhas na conta gerencial da organização, mesmo que ela esteja na sua organização ou em uma UO da sua organização.
-
A implantação automática é definida no nível do StackSet. Não é possível ajustar implantações automáticas seletivamente para OUs, contas ou regiões.
-
As permissões da entidade principal do IAM (usuário, função ou grupo) que você usa para fazer login na conta de gerenciamento determinam se você está autorizado a implantar com o StackSets. Para obter um exemplo de política do IAM que concede permissões para implantar em uma organização, consulte Restringir operações de conjunto de pilhas com base na região e nos tipos de recursos.
-
Os administradores delegados têm permissões completas para implantar em contas em sua organização. A conta gerencial não pode limitar as permissões de administrador delegado para implantar em UOs específicas ou para executar operações específicas do StackSet.
Criar um StackSet com permissões gerenciadas pelo serviço (console)
Para criar um StackSet
-
Faça login no AWS Management Console e abra o console AWS CloudFormation em https://console.aws.amazon.com/cloudformation
. -
Na barra de navegação na parte superior da tela, escolha a Região da AWS em que você deseja gerenciar o StackSet.
-
No painel de navegação, escolha StackSets.
-
Na parte superior da página StackSets, escolha Criar StackSet.
-
Em Permissions (Permissões), escolha Service-managed permissions (Permissões gerenciadas pelo serviço).
nota
Se o acesso confiável com o AWS Organizations estiver desabilitado, será exibido um banner. É necessário o acesso confiável para criar ou atualizar um StackSet com permissões gerenciadas pelo serviço. Somente o administrador na conta de gerenciamento da organização tem permissões para Ativar o acesso confiável para StackSets com o AWS Organizations.
-
Em Pré-requisito: prepare o modelo, escolha O modelo está pronto.
-
Em Specify template (Especificar modelo), escolha especificar o URL para o bucket do S3 que contém o modelo de pilha ou fazer upload de um arquivo de modelo de pilha. Em seguida, escolha Próximo.
-
Na página Especificar detalhes do StackSet, forneça um nome para o StackSet, especifique quaisquer parâmetros e escolha Avançar.
-
Na página Configure StackSet options (Configurar opções do StackSet) em Tags, especifique todas as tags a serem aplicadas aos recursos em sua pilha. Para obter mais informações sobre como as tags são usadas na AWS, consulte Organizar e acompanhar custos usando tags de alocação de custos da AWS no Guia do usuário do Gerenciamento de Faturamento e Custos da AWS.
-
Em Configuração de execução, escolha Ativo para habilitar o tratamento otimizado de operações do CloudFormation:
-
As operações não conflitantes são executadas simultaneamente para tempos de implantação mais rápidos.
-
As operações conflitantes são automaticamente colocadas em fila e processadas na ordem em que foram solicitadas.
Quando há operações sendo executas ou na fila, o CloudFormation coloca na fila todas as operações recebidas, mesmo que elas não gerem conflitos. Você não pode alterar as configurações de execução durante esse período.
-
-
Se o seu modelo contém recursos do IAM, em Recursos, escolha Eu reconheço que este modelo pode criar recursos do IAM para especificar que você deseja usar recursos do IAM no modelo. Para obter mais informações, consulte Confirmar recursos do IAM em modelos do CloudFormation.
-
Escolha Próximo para continuar e habilitar o acesso confiável caso ainda não esteja habilitado.
-
Na página Definir opções de implantação, em Destinos de implantação, faça o seguinte:
-
Para implantar em todas as contas em sua organização, escolha Implantar na organização.
-
Para implantar em todas as contas em OUs específicas, escolha Implantar em unidades organizacionais (OUs). Escolha Add an OU (Adicionar uma OU) e cole o ID de destino na caixa de texto. Repita para cada nova OU de destino.
Se você escolher Implantar em unidades organizacionais (UOs), em Tipo de filtro de conta, você pode definir seus alvos de implantação como contas individuais específicas escolhendo uma das opções a seguir e fornecendo números de conta.
-
Nenhuma (padrão): implantar pilhas em todas as contas nas UOs especificadas.
-
Interseção: implantar pilhas apenas de determinadas contas individuais nas UOs selecionadas.
-
Diferença: implantar pilhas em todas as contas nas UOs selecionadas, exceto determinadas contas.
-
União: implantar pilhas nas UOs especificadas e também em contas individuais adicionais.
-
-
Em Implantação automática, escolha se implantará automaticamente em contas que serão adicionadas à organização de destino ou em UOs no futuro. Para obter mais informações, consulte Habilite ou desabilite implantações automáticas de StackSets no AWS Organizations.
-
Se você habilitou a implantação automática, em Account removal behavior (Comportamento de remoção de conta), escolha se os recursos de pilha serão retidos ou excluídos quando uma conta for removida de uma organização ou OU de destino.
nota
Com a opção Reter pilhas selecionada, as pilhas são removidas do StackSet, mas as pilhas e os recursos associados a elas são retidos. Os recursos permanecem em seu estado atual, mas não farão mais parte do StackSet.
-
Em Especificar regiões, escolha as regiões nas quais você deseja implantar as pilhas.
-
Em Opções de implantação, faça o seguinte:
-
Em Máximo de contas simultâneas, especifique quantas contas são processadas simultaneamente.
-
Em Tolerância a falhas, especifique o número máximo de falhas de conta permitidas por região. A operação será interrompida e não prosseguirá para outras regiões quando esse limite for atingido.
-
Em Simultaneidade de regiões, escolha o modo de processar as regiões: Sequencial (uma região de cada vez) ou Paralelo (várias regiões simultaneamente).
-
Em Modo de simultaneidade, escolha como a simultaneidade se comporta durante a execução de uma operação.
-
Tolerância a falhas estrita: reduz o nível de simultaneidade da conta quando ocorrem falhas, permanecendo dentro da faixa de Tolerância a falhas +1.
-
Tolerância a falhas flexível: mantém o nível de simultaneidade especificado (o valor de Máximo de contas simultâneas) a despeito de falhas.
-
-
-
Escolha Próximo para continuar.
-
Na página Analisar, verifique se o StackSet será implantado nas contas corretas nas regiões corretas e escolha Criar StackSet.
A página StackSet details (Detalhes do StackSet) é aberta. Você pode visualizar o progresso e o status da criação das pilhas em seu StackSet.
Criar um StackSet com permissões gerenciadas pelo serviço (AWS CLI)
Siga as etapas nesta seção para usar o AWS CLI para:
-
Crie o contêiner do StackSet.
-
Implante instâncias de pilha.
nota
Ao atuar como um administrador delegado, você deve incluir --call-as
DELEGATED_ADMIN no comando.
