本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 Account Factory Customization（AFC）功能自定义账户

AWS Control Tower 允许您在从 AWS Control Tower 控制台配置新资源和现有资源 AWS 账户 时对其进行自定义。在您设置 Account Factory Customization 后，AWS Control Tower 会在将来进行预置时自动执行此流程，因此您无需维护任何管线。资源预置完成后，自定义账户就立即可供使用。

为新账户预置蓝图

您的自定义账户是在 AWS Control Tower Account Factory 中通过 CloudFormation 模板或 Terraform 进行配置的。您需要定义一个用作自定义账户蓝图的模板。该蓝图描述了预置账户时所需的特定资源和配置。还提供由 AWS 合作伙伴构建和管理的预定义蓝图。有关合作伙伴管理的蓝图的更多信息，请参阅 AWS Service Catalog 入门库。

将蓝图应用于现有账户

您也可以按照 AWS Control Tower 控制台中的更新账户步骤操作，将自定义蓝图应用于现有账户。有关更多信息，请参阅 在控制台中更新账户。

定义：您的中心账户

您的账户蓝图存储在中 AWS 账户，就我们而言，该账户被称为中心账户。蓝图以 Service Catalog 产品的形式存储。我们称此产品为蓝图，以将它与任何其他 Service Catalog 产品区分开来。要详细了解如何创建 Service Catalog 产品，请参阅《AWS Service Catalog 管理员指南》中的创建产品。

有关使用 AFC 的更多信息，请参阅 Automate account customization using Account Factory Customization in AWS Control Tower。

Account Factory Customization（AFC）的注意事项

如果出现蓝图错误

应用蓝图时出现错误

如果在将蓝图应用于账户（无论是新账户还是注册到 AWS Control Tower 的现有账户）的过程中出现错误，则恢复过程相同。该账户将存在，但它不是自定义的，也没有注册到 AWS Control Tower 中。要继续操作，请按照步骤将账户注册到 AWS Control Tower，并在注册时添加蓝图。

创建 AWSControlTowerBlueprintAccess 角色时出现错误，以及解决办法

当您通过 AWS Control Tower 账户创建 AWSControlTowerBlueprintAccess 角色时，必须使用 AWSControlTowerExecution 角色以主体身份登录。如果您以任何其他身份登录，则 CreateRole 操作会被 SCP 阻止，如以下构件所示：

{
            "Condition": {
                "ArnNotLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::*:role/AWSControlTowerExecution",
                        "arn:aws:iam::*:role/stacksets-exec-*"
                    ]
                }
            },
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:DeleteRolePermissionsBoundary",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:PutRolePermissionsBoundary",
                "iam:PutRolePolicy",
                "iam:UpdateAssumeRolePolicy",
                "iam:UpdateRole",
                "iam:UpdateRoleDescription"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-controltower-*",
                "arn:aws:iam::*:role/*AWSControlTower*",
                "arn:aws:iam::*:role/stacksets-exec-*"
            ],
            "Effect": "Deny",
            "Sid": "GRIAMROLEPOLICY"
        }

可采用以下解决办法：

根据以下内容为亚足联蓝图定制您的政策文件 CloudFormation

当您通过账户工厂启用蓝图时，AWS Control Tower 会指示 CloudFormation 您 StackSet 代表您创建蓝图。 CloudFormation 需要访问您的托管账户才能在中创建 CloudFormation 堆栈。 StackSet尽管 CloudFormation 已通过该AWSControlTowerExecution角色在托管账户中拥有管理员权限，但该角色不能由 CloudFormation担任。

作为启用蓝图的一部分，AWS Control Tower 在成员账户中创建一个角色，该角色 CloudFormation 可以假设该角色完成 StackSet 管理任务。通过 Account Factory 启用自定义蓝图的最简单方法是使用 allow-all 策略，因为这些策略与任何蓝图模板兼容。

但是，最佳实践建议您必须限制目标账户 CloudFormation 中的权限。您可以提供自定义策略，AWS Control Tower 将其应用于其创建的角色 CloudFormation 以供使用。例如，如果蓝图创建了一个名为 something-important 的 SSM 参数，则您可以提供以下策略：

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowCloudFormationActionsOnStacks",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": "arn:aws:cloudformation:*:*:stack/*"
        },
        {
            "Sid": "AllowSsmParameterActions",
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                 "ssm:DeleteParameter",
                 "ssm:GetParameter",
                 "ssm:GetParameters"
            ],
            "Resource": "arn:*:ssm:*:*:parameter/something-important"
        }
    ]
}

所有 AFC 自定义策略都需要该AllowCloudFormationActionsOnStacks声明； CloudFormation 使用此角色创建堆栈实例，因此需要权限才能对堆栈执行 CloudFormation 操作。AllowSsmParameterActions 部分特定于正在启用的模板。

解决权限问题

使用受限策略启用蓝图时，您可能会发现没有足够的权限来启用蓝图。要解决这些问题，请修改您的策略文件，并更新成员账户的蓝图首选项以使用更正后的策略。要检查该策略是否足以启用蓝图，请确保已授予 CloudFormation 权限，并且您可以使用该角色直接创建堆栈。

创建基于 Terraform 的 Service Catalog 产品所需的其他权限

使用适用于 AFC 的 Terraform 配置文件创建 AWS Service Catalog 外部产品时，除了创建模板中定义的资源所需的权限外，还 AWS Service Catalog 需要向 AFC 自定义 IAM 策略添加某些权限。如果您选择默认的完整 Admin 策略，则无需添加这些额外权限。

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        }
    ]
}

有关使用中的 “外部” 产品类型创建 Terraform 产品的更多信息 AWS Service Catalog，请参阅《Service Catalog 管理员指南》中的 “步骤 5：创建启动角色”。

过渡到 AWS Service Catalog 外部产品类型

AWS Service Catalog 将对 Terraform 开源产品的支持更改为一种名为 External 的新产品类型。要了解有关此过渡的更多信息，请查看《AWS Service Catalog 管理员指南》中的 Updating existing Terraform Open Source products and provisioned products to the External product type。

此更改会影响您通过 AWS Control Tower Account Factory 自定义创建或注册的现有账户。要将这些账户过渡到外部产品类型，您需要同时在 AWS Service Catalog 和 AWS Control Tower 中进行更改。