使用适用于 Terraform 的 Account Factory 来管理多个账户的权限集 - AWS Prescriptive Guidance
摘要先决条件和限制架构工具最佳实践操作说明故障排除其他信息

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用适用于 Terraform 的 Account Factory 来管理多个账户的权限集

Amazon Web Services 的 Anand Krishna Varanasi 和 Siamak Heshmati

摘要

这种模式可以帮助你将 Account F actory Terraform (AFT) 与AWS IAM Identity Center集成，以便大规模配置多个AWS Control TowerAWS 账户 账户的权限。这种方法使用自定义 AWS Lambda 函数自动向作为一个组织进行管理 AWS 账户 的权限集分配。这简化了流程，因为它不需要平台工程团队的人工干预。该解决方案可以提高运营效率、安全性和一致性。它促进了安全、标准化的入职流程 AWS Control Tower，因此对于优先考虑云基础架构敏捷性和可靠性的企业来说，这是必不可少的。

先决条件和限制

先决条件

限制

架构

AFT 概述

AFT 建立了一个 Terraform 管道，可以帮助你在中配置和自定义账户。 AWS Control Tower AFT 遵循一种自动执行账户配置过程的 GitOps 模型。 AWS Control Tower您创建一个账户请求 Terraform 文件并将其提交到存储库。这将启动账户配置的 AFT 工作流程。账户配置完成后，AFT 可以自动运行其他自定义步骤。有关更多信息，请参阅 AWS Control Tower 文档中的 AFT 架构。

AFT 提供以下主要存储库：

  • aft-account-request— 此存储库包含要创建或更新的 Terraform 代码。 AWS 账户

  • aft-account-customizations— 此存储库包含 Terraform 代码，用于按账户创建或自定义资源。

  • aft-global-customizations— 此存储库包含 Terraform 代码，用于为所有账户大规模创建或自定义资源。

  • aft-account-provisioning-customizations— 此存储库管理的自定义项仅应用于由 AFT 创建并通过 AFT 管理的特定帐户。例如，您可以使用此存储库在 IAM Identity Center 中自定义用户或群组分配或自动关闭账户。

解决方案概述

此自定义解决方案包括 AWS Step Functions 状态机和向多个账户的用户和组分配权限集的 AWS Lambda 功能。通过此模式部署的状态机与预先存在的 AFT aft_account_provisioning_customizations 状态机配合运行。用户提交请求，要求在创建新账户时或创建账户之后更新 IAM Identity Cen AWS 账户 ter 用户和群组分配。他们通过将更改推送到aft-account-request存储库来做到这一点。创建或更新账户的请求会在 Amazon DynamoDB 直播中启动直播。这将启动 Lambda 函数，该函数更新目标的 IAM 身份中心用户和群组。 AWS 账户

以下是您可以在 Lambda 函数中为目标用户和群组分配权限集提供的参数示例：

custom_fields = {
    "InstanceArn"         = "<Organization ID>",
    "PermissionSetArn"    = "<Permission set ARN>",
    "PrincipalId"         = "<Principal ID>",
  }

以下是此语句中的参数：

  • InstanceArn— 该组织的亚马逊资源名称 (ARN)

  • PermissionSetArn— 权限集的 ARN

  • PrincipalId— 将对其应用权限集的 IAM Identity Center 中的用户或群组的标识符

注意

在运行此解决方案之前，必须创建目标权限集、用户和组。

虽然该InstanceArn值必须保持一致，但您可以修改 Lambda 函数以将多个权限集分配给多个目标身份。权限集的参数必须以结尾PermissionSetArn，用户和组的参数必须以结尾PrincipalId。必须同时定义这两个属性。以下是如何定义多个权限集并以用户和组为目标的示例：

custom_fields = {
    "InstanceArn"                    = "<Organization ID>",
    "AdminAccessPermissionSetArn"    = "<Admin privileges permission set ARN>",
    "AdminAccessPrincipalId"         = "<Admin principal ID>",
    "ReadOnlyAccessPermissionSetArn" = "<Read-only privileges permission set ARN>",
    "ReadOnlyAccessPrincipalId"      = "<Read-only principal ID>",
  }

下图显示了解决方案如何大规模更新目标 AWS 账户 用户和群组权限集 step-by-step的工作流程。当用户发起账户创建请求时，AFT 会启动 aft-account-provisioning-framework Step Functions 状态机。此状态机启动 extract-alternate-sso Lambda 函数。Lambda 函数将权限集分配给目标中的用户和群组。 AWS 账户这些用户或群组可以来自 IAM Identity Center 中任何已配置的身份来源。身份来源的示例包括 Okta、Active Directory 或 Ping 身份。

创建或更新账户时更新权限集的工作流程。

该图显示了创建新账户时的以下工作流程：

  1. 用户将custom_fields更改推送到aft-account-request存储库。

  2. AWS CodePipeline 启动一项 AWS CodeBuild 任务，将用户定义的元数据记录到 aft-request-audit Amazon DynamoDB 表中。此表具有用于记录用户定义元数据的属性。该ddb_event_name属性定义了 AFT 操作的类型：

    • 如果值为INSERT，则在创建新 AWS 账户 身份时，解决方案会将设置的权限分配给目标身份。

    • 如果该值为UPDATE，则解决方案将在创建后将权限设置分配给目标身份。 AWS 账户

  3. 亚马逊 DynamoDB Streams 启动 Lambda 函数。aft_alternate_sso_extract

  4. aft_alternate_sso_extractLambda 函数在 AWS Control Tower 管理账户中扮演一个 AWS Identity and Access Management (IAM) 角色。

  5. Lambda 函数通过向 IAM 身份中心发出 适用于 Python (Boto3) 的 AWS SDK create_account_assignment API 调用，将权限集分配给目标用户和群组。它从 aft-request-audit Amazon DynamoDB 表中检索权限集和身份分配。

  6. Step Functions 工作流程完成后，权限集将分配给目标身份。

自动化和扩缩

AFT 使用 AWS 服务 诸如 CodePipeline、 AWS CodeBuild、DynamoDB 和 Lambda 之类的高度可扩展性来大规模运行。为了进一步实现自动化，您可以将此解决方案与工单或问题管理系统（例如 Jira）集成。有关更多信息，请参阅此模式的其他信息部分。

工具

AWS 服务

  • A@@ ccount Factory for Terraform (AFT) 是该解决方案中的主要工具。aft-account-provisioning-customizations存储库包含用于为其创建自定义项的 Terraform 代码 AWS 账户，例如自定义 IAM Identity Center 用户或群组分配。

  • Amazon DynamoDB 是一项完全托管的 NoSQL 数据库服务，可提供快速、可预测和可扩展的性能。

  • AWS Lambda 是一项计算服务，可帮助您运行代码，无需预置或管理服务器。它仅在需要时运行您的代码，并且能自动扩缩，因此您只需为使用的计算时间付费。

  • AWS Step Functions是一项无服务器编排服务，可帮助您组合 AWS Lambda 功能和其他功能 AWS 服务 来构建关键业务应用程序。

其他工具

  • Python 是通用的计算机编程语言。

  • Terraform 是一款基础设施即代码 (IaC) 工具 HashiCorp ，可帮助您创建和管理云和本地资源。

代码存储库

AFT 的代码存储库可在 Account F actory fo GitHub AWS Control Tower r Terraform 存储库中找到。此模式的代码可在使用 Account Factory for Terraform (AFT) 的 “管理 SSO 分配” 存储库中找到。 AWS 账户

最佳实践

操作说明

Task描述所需技能

创建一个 IAM 角色。

在 AWS Control Tower 管理账户中，使用 Terraform 创建 IAM 角色。此角色具有跨账户访问权限和允许身份提供商进行联合访问的信任策略。它还具有通过向其他账户授予访问权限的权限 AWS Control Tower。Lambda 函数将担任此角色。执行以下操作：

  1. 从 GitHub 代码仓库下载AFTCrossAccountRole.tf文件。

  2. 根据您的 AWS 环境需要修改该AFTCrossAccountRole.tf文件。

  3. 在 Terraform 中，输入以下命令来创建此 IAM 角色：

    terraform init
terraform plan
terraform apply

  4. 验证角色是否已成功部署并具有预期的跨账户访问权限。

AWS DevOps，云架构师

为您的环境定制解决方案。

  1. 输入以下命令，将AWS 账户 使用 Account Factory for Terraform (AFT) 存储库的管理 SSO 分配克隆到本地工作站。

    git clone https://github.com/aws-samples/aft-custom-sso-assignment.git

  2. 在aft-account-provisioning-customizations/terraform文件夹中，打开variables.tf文件。

  3. 根据您的环境需要修改变量。

  4. 保存并关闭 variables.tf文件。

  5. 打开aft-account-request存储库中的account-request.tf文件。

  6. 修改custom_fields参数以定义权限集以及目标用户和组。有关更多信息，请参阅此模式的 “架构” 部分。

  7. 保存并关闭 account-request.tf文件。

AWS DevOps，云架构师

部署解决方案。

  1. 在克隆的存储库中，复制terraform文件夹的内容，然后将其粘贴到aft-account-provisioning-customizations存储库中的terraform文件夹中。

  2. 在 AFT 管理账户中，启动ct-aft-account-provisioning-customizations管道。这将部署自定义解决方案。有关说明，请参阅中的启动管道 CodePipeline。

  3. 验证资源是否已成功部署到 AFT 管理账户中。

AWS DevOps，云架构师

设置代码存储库连接。

在用于存储配置文件的代码存储库和您的代码存储库之间建立连接 AWS 账户。有关说明，请参阅 AWS CodePipeline 文档中使用 CodeConnections的 “向管道添加第三方源提供商”。

AWS DevOps，云架构师
Task描述所需技能

启动 AFT 管道以部署新账户。

按照向 AFT 配置新账户中的说明进行操作，启动在您的 AWS Control Tower 环境 AWS 账户 中创建新账户的管道。等待账户创建过程完成。

AWS DevOps，云架构师

验证更改。

  1. 打开 AWS IAM Identity Center 管理控制台。

  2. 在账户列表中，选择新创建的账户。

  3. 验证是否已分配权限集以向目标用户和组授予访问权限。

AWS DevOps，云架构师

故障排除

事务解决方案

权限集分配不起作用。

确保群组 ARN、组织 ID 和 Lambda 参数正确无误。有关示例，请参阅此模式的解决方案概述部分。

更新存储库中的代码不会启动管道。

此问题与您 AWS 账户 和存储库之间的连接有关。在中 AWS 管理控制台，验证连接是否处于活动状态。有关更多信息，请参阅 AWS CodePipeline 文档中的GitHub 连接。

其他信息

与工单管理工具集成

您可以选择将此解决方案与工单或问题管理工具（例如 Jira 或 ServiceNow）集成。下图显示了此选项的示例工作流程。您可以使用工具的连接器将票证管理工具与 AFT 解决方案存储库集成。有关 Jira 连接器的信息，请参阅将 Jira 与集成。 GitHub有关 ServiceNow 连接器的信息，请参阅与集成 GitHub。您甚至可以构建自定义解决方案，要求用户提供工单 ID 作为拉取请求批准的一部分。如果使用 AFT 创建新 AWS 账户 字段的请求获得批准，则该事件可能会启动向aft-account-request GitHub 存储库添加自定义字段的工作流程。您可以设计任何符合用例要求的自定义工作流程。

使用 GitHub 操作和工单管理工具的工作流程。

图表显示了以下工作流：

  1. 用户在票证管理工具（例如 Jira）中请求自定义权限集分配。

  2. 案例获得批准后，工作流开始更新权限集分配。（可选）您可以使用插件实现此步骤的自定义自动化。

  3. 操作员将包含更新的权限集参数的 Terraform 代码发送到aft-account-request存储库中的开发分支或功能分支。

  4. GitHub 操作 AWS CodeBuild 通过使用 OpenID Connect (OIDC) 调用启动。 CodeBuild 使用 t fsec 和 checkov 等工具执行基础设施即代码 (IaC) 安全扫描。它会警告操作员注意任何安全违规行为。

  5. 如果未发现任何违规 GitHub 行为，Actions 会创建自动拉取请求并将代码审查分配给代码所有者。它还会为拉取请求创建标签。

  6. 如果代码所有者批准了代码审查，则会启动另一个 GitHub 操作工作流程。它检查拉取请求标准，包括：

    • 拉取请求标题是否符合要求。

    • 如果拉取请求正文包含已批准的案例编号。

    • 拉取请求是否已正确标记。

  7. 如果拉取请求符合标准，Acti GitHub ons 将启动 AFT 产品工作流程。它使用启动ct-aft-account-request管道 AWS CodePipeline。此管道在 Step Functions 中启动aft-account-provisioning-framework自定义状态机。此状态机的工作原理如之前在此模式的 “解决方案概述” 部分中所述。