使用 AWS CodePipeline 和 Amazon Bedrock 以程式碼形式管理 AWS Organizations 政策

在複製的儲存庫中，開啟 variables.tf 檔案。

針對 project_name，輸入您要套用至已部署資源名稱的字首。

針對 provider_type，輸入遠端儲存庫的提供者。檔案中會提供有效值。

針對 full_repository_name，輸入遠端儲存庫的名稱。

針對 branch_name，輸入您要用來部署政策的 Git 分支名稱。此分支中的推送或合併會啟動管道。一般而言，這是主要分支。

針對 terraform_version，輸入您正在使用的 Terraform 版本。

對於 enable_bedrock，true如果您希望 Amazon Bedrock 摘要這些變更，請輸入 。false 如果您不想產生變更的摘要，請輸入 。

針對 tags，輸入您要指派為已部署資源標籤的鍵/值對。

儲存並關閉 variables.tf 檔案。

輸入下列命令來建立計劃並檢閱變更：

terraform plan

輸入下列命令以套用計劃並建立管道基礎設施：

terraform apply

在 environments資料夾中，開啟 environments.json 檔案。這是您為 RCPs AWS 帳戶 和 SCPs OUs 的檔案。

刪除範例環境。

以下列格式新增您的目標環境：

[
    {
        "ID": "<environment-name>",
        "Target": [
            "<ou-name>:<ou-id>",
            "<account-name>:<account-id>"
        ]
    }
]

其中：

如需範例，請參閱原始程式碼儲存庫。

儲存並關閉 environments.json 檔案。

導覽至遠端儲存庫中的 rcp-management/guardrails 資料夾。這是您為 RCP 資訊清單檔案定義護欄的資料夾。每個護欄都必須在個別檔案中。護欄檔案可以包含一或多個陳述式。

刪除從原始程式碼儲存庫複製的任何護欄範例。

建立新的 .json 檔案，並提供描述性名稱。

開啟您建立的 .json 檔案。

以下列格式定義護欄：

[
    {
        "Sid": "<guardrail-name>",
        "Effect": "<effect-value>",
        "Action": [
            "<action-name>"
        ],
        "Resource": "<resource-arn>",
        "Condition": {
            "<condition-operator>": {
                "<condition-key>": [
                    "<condition-value>"
                ]
            }
        }
    }
]

其中：

如需 RCP 護欄的範例，請參閱原始程式碼儲存庫。

儲存並關閉 .json 檔案。

重複這些步驟，視需要建立任意數量的 RCP 護欄。

在 scp-management/guardrails 資料夾中重複這些步驟，視需要為 SCPs 建立任意數量的護欄。如需 SCP 護欄範例，請參閱原始程式碼儲存庫。

導覽至遠端儲存庫中的 rcp-management/policies 資料夾。這是您為 RCP 資訊清單檔案定義完整政策的資料夾。每個政策必須是個別檔案。

刪除從原始程式碼儲存庫複製的任何範例政策。

建立新的 .json 檔案，並提供描述性名稱。

開啟您建立的 .json 檔案。

定義 RCP。如需 RCPs範例，請參閱原始程式碼儲存庫，或參閱 AWS Organizations 文件中的資源控制政策範例。

儲存並關閉 .json 檔案。

重複這些步驟，視需要建立任意數量RCPs。

在 scp-management/policies 資料夾中重複這些步驟，視需要建立任意數量SCPs。如需 SCPs範例，請參閱原始程式碼儲存庫，或參閱 AWS Organizations 文件中的服務控制政策範例。

在 rcp-management資料夾中，開啟 rcp-management.json 檔案。這是您定義哪些 RCP 護欄和完整 RCPs 適用於目標環境的檔案。如需此檔案的範例，請參閱原始程式碼儲存庫。

刪除範例陳述式。

以下列格式新增陳述式：

[
    {
        "SID": "<statement-name>",
        "Target": {
            "Type": "<target-type>",
            "ID": "<target-name>"
        },
        "Guardrails": [
            "<guardrail-name>"
        ],
        "Policy": "<policy-name>",
        "Comments": "<comment-text>"
    }
]

其中：

重複這些步驟，視需要新增任意數量的陳述式，為您的組織設定 RCPs。

儲存並關閉 rcp-management.json 檔案。

在 scp-management 資料夾中，重複 scp-management.json 檔案中的這些步驟。這是您定義哪些 SCP 護欄和完整 SCPs 適用於目標環境的檔案。如需此檔案的範例，請參閱原始程式碼儲存庫。

開啟通知訊息。

如果可用，請檢閱政策變更的摘要。

遵循 CodePipeline 中的核准或拒絕核准動作中的指示。

登入委派管理員帳戶中的 AWS Organizations 主控台 AWS Organizations。

在服務控制政策頁面上，確認您建立SCPs 已列出。

選擇透過管道管理的 SCP，並確認它適用於預期目標。

在資源控制政策頁面上，確認您建立RCPs 已列出。

選擇透過管道管理的 RCP，並確認它適用於預期目標。