Pipeline de provisionamento de contas AFT

Após a conclusão do estágio de provisionamento da conta do pipeline, a estrutura do AFT continua. Ele executa automaticamente uma série de etapas para garantir que as contas recém-provisionadas tenham os detalhes definidos antes do início da Personalizações da conta etapa.

Aqui estão as próximas etapas que o pipeline AFT executa.

1. Valida a entrada da solicitação da conta.

2. Recupera informações sobre a conta provisionada, por exemplo, o ID da conta.

3. Armazena os metadados da conta em uma tabela do DynamoDB na conta de gerenciamento do AFT.

4. Cria a função AWSAFTExecutiondo IAM na conta recém-provisionada. A AFT assume essa função para realizar o estágio de personalização da conta, porque essa função concede acesso ao portfólio da fábrica de contas.

5. Aplica as tags de conta que você forneceu como parte dos parâmetros de entrada da solicitação de conta.

6. Aplica as opções de recursos do AFT que você escolheu no momento da implantação do AFT.

7. Aplica as personalizações de provisionamento da conta AFT que você forneceu. A próxima seção explica mais sobre como configurar essas personalizações com uma máquina de estado do AWS Step Functions, em um git repositório. Às vezes, esse estágio é chamado de estágio da estrutura de provisionamento de contas. Isso faz parte do processo principal de provisionamento, mas você já configurou uma estrutura que fornece integrações personalizadas como parte do fluxo de trabalho de provisionamento de contas, antes que personalizações adicionais sejam adicionadas às contas na próxima etapa.

8. Para cada conta provisionada, ele cria uma conta AWS CodePipeline de gerenciamento do AFT, que será executada para realizar a próxima etapa (global)Personalizações da conta.

9. Invoca o pipeline de personalizações da conta para cada conta provisionada (e direcionada).

10. Envia uma notificação de sucesso ou falha para o tópico do SNS, a partir da qual você pode recuperar as mensagens.

Configure as personalizações da estrutura de provisionamento de contas com uma máquina de estado

Se você configurar integrações personalizadas que não sejam do Terraform antes de provisionar suas contas, essas personalizações serão incluídas no fluxo de trabalho de provisionamento de contas do AFT. Por exemplo, você pode exigir determinadas personalizações para garantir que todas as contas criadas pela AFT estejam em conformidade com os padrões e políticas da sua organização, como os padrões de segurança, e esses padrões podem ser adicionados às contas antes da personalização adicional. Essas personalizações da estrutura de provisionamento de contas são implementadas em todas as contas provisionadas, antes do próximo estágio de personalização da conta global começar.

nota

O recurso AFT descrito nesta seção é destinado a usuários avançados que entendem o funcionamento do AWS Step Functions. Como alternativa, recomendamos que você trabalhe com os ajudantes globais no estágio de personalização da conta.

A estrutura de provisionamento de contas AFT chama uma máquina de estado do AWS Step Functions, que você define, para implementar suas personalizações. Consulte a documentação do AWS Step Functions para saber mais sobre as possíveis integrações de máquinas de estado.

Aqui estão algumas integrações comuns.

• O AWS Lambda funciona na linguagem de sua escolha

• Tarefas do AWS ECS ou AWS Fargate, usando contêineres Docker

• Atividades do AWS Step Functions usando trabalhadores personalizados, hospedados na AWS ou localmente

• Integrações com Amazon SNS ou SQS

Se nenhuma máquina de estado do AWS Step Functions for definida, o estágio passa sem operação. Para criar uma máquina de estado de personalizações de provisionamento de contas AFT, siga as instruções em. Crie sua conta AFT, provisionando, personalizações, máquina de estado Antes de adicionar personalizações, verifique se você tem os pré-requisitos em vigor.

Esses tipos de integrações não fazem parte do AWS Control Tower e não podem ser adicionados durante o estágio global de pré-API da personalização da conta AFT. Em vez disso, o pipeline AFT permite que você configure essas personalizações como parte do processo de provisionamento, e elas são executadas no fluxo de trabalho de provisionamento. Você deve implementar essas personalizações criando sua máquina de estado com antecedência, antes de iniciar o estágio de provisionamento da conta AFT, conforme descrito nas seções a seguir.

Pré-requisitos para criar uma máquina de estado

• Um AFT totalmente implantado. Consulte Implante o AWS Control Tower Account Factory for Terraform (AFT) para obter mais informações sobre a implantação do AFT.

• Configure um git repositório em seu ambiente para personalizações de provisionamento de contas AFT. Consulte Etapas de pós-implantação para obter mais informações.

Crie sua conta AFT, provisionando, personalizações, máquina de estado

Etapa 1: Modificar a definição da máquina de estado

Modifique a definição de exemplo da máquina de customizations.asl.json estado. O exemplo está disponível no git repositório que você configurou para armazenar personalizações de provisionamento de contas AFT, em suas etapas de pós-implantação. Consulte o Guia do desenvolvedor do AWS Step Functions para saber mais sobre as definições de máquina de estado.

Etapa 2: incluir a configuração correspondente do Terraform

Inclua arquivos do Terraform com a .tf extensão no mesmo git repositório com a definição da máquina de estado para sua integração personalizada. Por exemplo, se você optar por chamar uma função Lambda na definição da tarefa da sua máquina de estado, inclua o lambda.tf arquivo no mesmo diretório. Certifique-se de incluir as funções e permissões do IAM necessárias para suas configurações personalizadas.

Quando você fornece a entrada apropriada, o pipeline do AFT invoca automaticamente sua máquina de estado e implanta suas personalizações como parte do estágio da estrutura de provisionamento de contas do AFT.

Para reiniciar a estrutura e as personalizações de provisionamento de contas AFT

A AFT executa a estrutura de provisionamento de contas e as etapas de personalização para cada conta vendida por meio do pipeline da AFT. Para reiniciar as personalizações de provisionamento de contas, você pode usar um desses dois métodos:

1. Faça qualquer alteração em uma conta existente no repositório de solicitações de conta.

2. Provisione uma nova conta com a AFT.