Pipeline de provisionnement de comptes AFT

Une fois la phase de provisionnement des comptes du pipeline terminée, le cadre AFT se poursuit. Il exécute automatiquement une série d'étapes pour s'assurer que les informations relatives aux comptes nouvellement provisionnés sont en place, avant le début de l'Personnaliser le compteétape.

Voici les prochaines étapes du pipeline AFT.

1. Valide la saisie de la demande de compte.

2. Récupère des informations sur le compte provisionné, par exemple l'identifiant du compte.

3. Stocke les métadonnées du compte dans une table DynamoDB du compte de gestion AFT.

4. Crée le rôle AWSAFTExecutionIAM dans le compte nouvellement provisionné. AFT assume ce rôle pour effectuer l'étape de personnalisation des comptes, car ce rôle donne accès au portefeuille Account Factory.

5. Applique les balises de compte que vous avez fournies dans le cadre des paramètres de saisie de la demande de compte.

6. Applique les options de fonctionnalité AFT que vous avez choisies au moment du déploiement de l'AFT.

7. Applique les personnalisations de provisionnement du compte AFT que vous avez fournies. La section suivante explique comment configurer ces personnalisations avec une machine d'état AWS Step Functions, dans un git référentiel. Cette étape est parfois appelée étape du cadre de provisionnement des comptes. Cela fait partie du processus de provisionnement de base, mais vous avez déjà mis en place un framework qui fournit des intégrations personnalisées dans le cadre de votre flux de travail de provisionnement de comptes, avant que des personnalisations supplémentaires ne soient ajoutées aux comptes à l'étape suivante.

8. Pour chaque compte provisionné, il crée un compte de gestion intégré AWS CodePipeline à l'AFT, qui sera exécuté pour effectuer l'Personnaliser le compteétape (globale suivante).

9. Invoque le pipeline de personnalisation des comptes pour chaque compte provisionné (et ciblé).

10. Envoie une notification de réussite ou d'échec à la rubrique SNS, à partir de laquelle vous pouvez récupérer les messages.

Configurer les personnalisations de la structure de provisionnement des comptes avec une machine à états

Si vous configurez des intégrations personnalisées autres que Terraform avant de provisionner vos comptes, ces personnalisations sont incluses dans le flux de travail de provisionnement de votre compte AFT. Par exemple, vous pouvez avoir besoin de certaines personnalisations pour garantir que tous les comptes créés par AFT sont conformes aux normes et politiques de votre organisation, telles que les normes de sécurité, et ces normes peuvent être ajoutées aux comptes avant une personnalisation supplémentaire. Ces personnalisations du cadre de provisionnement des comptes sont mises en œuvre sur chaque compte provisionné, avant que la phase de personnalisation globale du compte ne commence ensuite.

Note

La fonctionnalité AFT décrite dans cette section est destinée aux utilisateurs avancés qui comprennent le fonctionnement d'AWS Step Functions. Nous vous recommandons également de travailler avec les assistants globaux lors de la phase de personnalisation du compte.

Le framework de provisionnement des comptes AFT fait appel à une machine d'état AWS Step Functions, que vous définissez, pour implémenter vos personnalisations. Reportez-vous à la documentation AWS Step Functions pour en savoir plus sur les intégrations possibles de machines à états.

Voici quelques intégrations courantes.

• AWS Lambda fonctionne dans la langue de votre choix

• Tâches AWS ECS ou AWS Fargate, à l'aide de conteneurs Docker

• Activités AWS Step Functions utilisant des travailleurs personnalisés, hébergées sur AWS ou sur site

• Intégrations Amazon SNS ou SQS

Si aucune machine d'état AWS Step Functions n'est définie, l'étape passe sans opération. Pour créer un compte AFT provisionnant une machine à états de personnalisation, suivez les instructions figurant dans. Créez votre compte AFT, provisionnement, personnalisation, machine à états Avant d'ajouter des personnalisations, assurez-vous que les prérequis sont en place.

Ces types d'intégrations ne font pas partie d'AWS Control Tower et ne peuvent pas être ajoutés pendant la phase globale de pré-API de personnalisation du compte AFT. Le pipeline AFT vous permet plutôt de configurer ces personnalisations dans le cadre du processus de provisionnement, et elles sont exécutées dans le flux de travail de provisionnement. Vous devez implémenter ces personnalisations en créant votre machine à états à l'avance, avant de lancer la phase de provisionnement du compte AFT, comme décrit dans les sections suivantes.

Conditions préalables à la création d'une machine à états

• Un AFT entièrement déployé. Voir Déployez AWS Control Tower Account Factory pour Terraform (AFT) pour plus d'informations sur le déploiement de l'AFT.

• Configurez un git référentiel dans votre environnement pour personnaliser le provisionnement des comptes AFT. Pour plus d’informations, consultez Étapes postérieures au déploiement.

Créez votre compte AFT, provisionnement, personnalisation, machine à états

Étape 1 : modifier la définition de la machine à états

Modifiez l'exemple de définition de la machine à customizations.asl.json états. L'exemple est disponible dans le git référentiel que vous avez configuré pour stocker les personnalisations de provisionnement des comptes AFT, lors des étapes post-déploiement. Reportez-vous au guide du développeur AWS Step Functions pour en savoir plus sur les définitions des machines à états.

Étape 2 : inclure la configuration Terraform correspondante

Incluez les fichiers Terraform avec l'.tfextension dans le même git référentiel avec la définition de la machine à états pour votre intégration personnalisée. Par exemple, si vous choisissez d'appeler une fonction Lambda dans votre définition de tâche State Machine, vous devez inclure le lambda.tf fichier dans le même répertoire. Assurez-vous d'inclure les rôles et autorisations IAM requis pour vos configurations personnalisées.

Lorsque vous fournissez les informations appropriées, le pipeline AFT invoque automatiquement votre machine d'état et déploie vos personnalisations dans le cadre de l'étape du cadre de provisionnement des comptes AFT.

Pour redémarrer le cadre de provisionnement des comptes AFT et les personnalisations

AFT gère le cadre de provisionnement des comptes et les étapes de personnalisation pour chaque compte vendu via le pipeline AFT. Pour relancer les personnalisations de provisionnement des comptes, vous pouvez utiliser l'une des deux méthodes suivantes :

1. Apportez toute modification à un compte existant dans le dépôt des demandes de compte.

2. Ouvrez un nouveau compte auprès de l'AFT.