使用 AWS CodePipeline 和 Amazon Bedrock 将 AWS Organizations 政策作为代码进行管理

在克隆的存储库中，打开 variables.tf 文件。

对于 project_name，输入要应用于已部署资源名称的前缀。

对于 provider_type，输入远程存储库的提供者。文件中提供了有效值。

对于 full_repository_name，输入远程存储库的名称。

对于 branch_name，输入将用于部署策略的 Git 分支的名称。在此分支中执行推送或合并操作将启动管道。通常，这是主分支。

对于 terraform_version，请输入您正在使用的 Terraform 的版本。

对于 enable_bedrock，如果您想让 Amazon Bedrock 汇总更改，请输入 true。如果您不想生成更改摘要，请输入 false。

对于 tags，输入要作为标签分配给已部署资源的键值对。

保存并关闭 variables.tf 文件。

输入以下命令创建计划并查看更改：

terraform plan

输入以下命令应用计划并创建管道基础设施：

terraform apply

在 environments 文件夹中，打开 environments.json 文件。这是您 OUs 为 AWS 账户 和定义目标的文件 RCPs SCPs。

删除示例环境。

按以下格式添加目标环境：

[
    {
        "ID": "<environment-name>",
        "Target": [
            "<ou-name>:<ou-id>",
            "<account-name>:<account-id>"
        ]
    }
]

其中：

有关示例，请参阅源代码存储库。

保存并关闭 environments.json 文件。

导航到远程存储库中的 rcp-management/guardrails 文件夹。您可以在此文件夹中为 RCP 清单文件定义护栏。每个护栏必须放在单独的文件中。护栏文件可以包含一个或多个语句。

删除从源代码存储库复制的所有示例护栏。

创建新的 .json 文件并为其指定一个描述性名称。

打开您创建的 .json 文件。

按以下格式定义护栏：

[
    {
        "Sid": "<guardrail-name>",
        "Effect": "<effect-value>",
        "Action": [
            "<action-name>"
        ],
        "Resource": "<resource-arn>",
        "Condition": {
            "<condition-operator>": {
                "<condition-key>": [
                    "<condition-value>"
                ]
            }
        }
    }
]

其中：

例如 RCP 护栏，请参阅源代码存储库。

保存并关闭 .json 文件。

重复这些步骤，以根据需要创建任意多数量的 RCP 护栏。

在scp-management/guardrails文件夹中重复这些步骤，根据需要创建任意数量的护栏。 SCPs例如 SCP 护栏，请参阅源代码存储库。

导航到远程存储库中的 rcp-management/policies 文件夹。您可以在此文件夹中为 RCP 清单文件定义完整策略。每项政策必须是一个单独的文件。

删除从源代码存储库复制的所有示例策略。

创建新的 .json 文件并为其指定一个描述性名称。

打开您创建的 .json 文件。

定义 RCP。例如 RCPs，请参阅源代码存储库或参阅 AWS Organizations 文档中的资源控制策略示例。

保存并关闭 .json 文件。

重复这些步骤，根据需要创建任意数量 RCPs 的内容。

在scp-management/policies文件夹中重复这些步骤，根据需要创建 SCPs 任意数量的文件。例如 SCPs，请参阅源代码存储库或参阅 AWS Organizations 文档中的服务控制策略示例。

在 rcp-management 文件夹中，打开 rcp-management.json 文件。在此文件中，您可以定义哪些 RCP 护栏和完整版 RCPs 适用于您的目标环境。有关此文件的示例，请参阅源代码存储库。

删除示例语句。

按以下格式添加新语句：

[
    {
        "SID": "<statement-name>",
        "Target": {
            "Type": "<target-type>",
            "ID": "<target-name>"
        },
        "Guardrails": [
            "<guardrail-name>"
        ],
        "Policy": "<policy-name>",
        "Comments": "<comment-text>"
    }
]

其中：

重复这些步骤，根据需要添加任意数量的语句，以便 RCPs 为您的组织进行配置。

保存并关闭 rcp-management.json 文件。

在 scp-management 文件夹的 scp-management.json 文件中重复这些步骤。在此文件中，您可以定义哪些 SCP 护栏和完整版 SCPs 适用于您的目标环境。有关此文件的示例，请参阅源代码存储库。

打开通知消息。

如果有，请查看策略变更摘要。

按照中的批准或拒绝批准操作中的说明进行操作 CodePipeline。

以 AWS Organizations委派管理员身份的账户登录 AWS Organizations 控制台。

在 “服务控制策略” 页面上，确认已列出您创建的策略。 SCPs

选择通过管道管理的 SCP，并确认其适用于预期目标。

在资源控制策略页面上，确认已列出您创建的策略。 RCPs

选择通过管道管理的 RCP，并确认其适用于预期目标。