View a markdown version of this page

示例：仅使用 API 注册 AWS Control Tower 组织单元（OU） - AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

示例：仅使用 API 注册 AWS Control Tower 组织单元（OU）

本示例演练是一份配套文档。有关解释、注意事项等更多信息，请参阅 基准的类型。

先决条件

您必须有一个未向 AWS Control Tower 注册但希望注册的现有 OU。或者，您必须有一个已注册的 OU，并希望重新注册以进行更新。

注册 OU

  1. 检查登录区是否启用了 IdentityCenterBaseline。如果是，请获取已启用 Identity Center 的基准标识符。

    aws controltower list-baselines --query 'baselines[?name==`IdentityCenterBaseline`].[arn]'
    aws controltower list-enabled-baselines --query 'enabledBaselines[?baselineIdentifier==`<Identity Center Baseline Arn>`].[arn]'

  2. 获取目标 OU 的 ARN。

    aws organizations describe-organizational-unit --organizational-unit-id <Organizational Unit ID> --query 'OrganizationalUnit.[Arn]'

  3. 获取 AWSControlTowerBaseline 基准的 ARN。

    aws controltower list-baselines --query 'baselines[?name==`AWSControlTowerBaseline`].[arn]'

  4. 在目标 OU 上创建 AWSControlTowerBaseline 基准。

    如果启用了 Identity Center 基准：

    aws controltower enable-baseline --baseline-identifier <AWSControlTowerBaseline ARN> --baseline-version <BASELINE VERSION> --target-identifier <OU ARN> --parameters '[{"key":"IdentityCenterEnabledBaselineArn","value":"<Identity Center Enabled Baseline ARN>"}]'

    如果未启用 Identity Center 基准，请省略该 parameters 标志，如下所示：

    
aws controltower enable-baseline --baseline-identifier <AWSControlTowerBaseline ARN> --baseline-version <BASELINE VERSION> --target-identifier <OU ARN>

Re-register 一个 OU

更新着陆区设置或更新着陆区版本后，你Re-register必须为他们提供最新的更改。按照以下步骤，通过重置关联EnabledBaseline资源和任何关联资源，以编程方式重新注册 OU。EnabledControl

重要

如果 OU 启用了可选控件，则在重置基准后，您还必须为每个已启用的可选控件调用 ResetEnabledControl API。此步骤可确保可选控件与最新的着陆区配置保持一致。如果您跳过此步骤，OU 上的可选控件可能无法反映最新的着陆区域变化。如果您未启用任何可选控件，则不需要执行此步骤。

  1. 获取要重新注册的目标 OU 的 ARN。

    aws organizations describe-organizational-unit --organizational-unit-id <OU ID> --query 'OrganizationalUnit.[Arn]'

  2. 获取目标 OU 的 EnabledBaseline 资源的 ARN。

    aws controltower list-enabled-baselines --query 'enabledBaselines[?targetIdentifier==`<OUARN>`].[arn]'

  3. 重置 EnabledBaseline。

    aws controltower reset-enabled-baseline --enabled-baseline-identifier <EnabledBaselineArn>

  4. 如果 OU 启用了可选控件，请列出 OU 已启用的控件并重置每个控件，使其与最新的着陆区配置保持一致。

    列出目标 OU 上已启用的控件：

    aws controltower list-enabled-controls --target-identifier <OU ARN>

    对于返回的每个已启用的可选控件，请通过调用以下方法将其重置：

    aws controltower reset-enabled-control --enabled-control-identifier <EnabledControlArn>

    有关更多信息，请参阅 AWS 控制塔 API 参考ResetEnabledControl中的内容。