Automatice la creación de cuentas mediante el acelerador de zonas de aterrizaje en AWS

En el repositorio de AWS códigos del Landing Zone Accelerator, cree un archivo llamado. customizations-config.yaml Utilice este archivo para definir las personalizaciones de la solución principal. Para más información, consulte Personalización de la solución.

En el archivo customizations-config.yaml, cree una sección llamada cloudFormationStacks.

Descargue el account-creation-validation-rolearchivo.yaml de. GitHub

Guarde el archivo en la ubicación que se indica en la sección de plantillas del archivo customizations-config.yaml.

Abra el archivo customizations-config.yaml.

Añada el siguiente código a la sección cloudFormationStacks: Actualiza el objetivo Región de AWS según sea necesario para tu landing zone:

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management              
          description: IAM Role to allow Account Validation
          name: lza-account-creation-validation
          regions:
            - us-east-1
          template: cloudformation/account-creation-validation-role.yaml
          runOrder: 1 
          terminationProtection: true
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Guarde y cierre el archivo customizations-config.yaml.

Descargue el archivo account-tagging-to-ssm-parameter-role.yaml de. GitHub

Guarde el archivo en la ubicación que se indica en la sección de plantillas del archivo customizations-config.yaml.

Abra el archivo customizations-config.yaml.

Añada el siguiente código a la sección cloudFormationStacks: Actualiza el objetivo Región de AWS según sea necesario para tu landing zone:

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management
          description: IAM Role to create SSM Parameters based on Account Tagging
          name: lza-account-tagging-to-ssm-parameter
          regions:
            - us-east-1
          template: cloudformation/account-tagging-to-ssm-parameter-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Guarde y cierre el archivo customizations-config.yaml.

Descargue el config-log-validation-rolearchivo.yaml desde. GitHub

Guarde el archivo en la ubicación que se indica en la sección de plantillas del archivo customizations-config.yaml.

Abra el archivo customizations-config.yaml.

Añada el siguiente código a la sección cloudFormationStacks: Actualiza el objetivo Región de AWS según sea necesario para tu landing zone:

        - deploymentTargets:
            accounts:
              - LogArchive
          description: IAM Role to validate Config and Logs
          name: lza-config-log-validation-role
          regions:
            - us-east-1
          template: cloudformation/config-log-validation-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Guarde, cierre y confirme los cambios del archivo customizations-config.yaml.

En el centro de administración de Microsoft Entra ID, registre la aplicación create_aws_account. Para obtener instrucciones, consulte Registro de una aplicación en la documentación de Microsoft.

Siga las instrucciones en Actualización de los permisos solicitados de una aplicación en la documentación de Microsoft para configurar los siguientes permisos de Microsoft Graph para la aplicación create_aws_account:

En el centro de administración de Microsoft Entra ID, vaya a Registros de aplicaciones y, a continuación, elija create_aws_account.

En el panel izquierdo, elija Descripción general.

En la página de descripción general, anote los siguientes valores:

En el panel izquierdo, en Administrar, seleccione Certificados y secretos.

En la página Certificados y secretos, seleccione la pestaña Secretos del cliente y anote los siguientes valores:

En el centro de administración de Microsoft Entra ID, vaya a Aplicaciones de empresa y, a continuación, elija LZA2.

En el panel izquierdo, elija Descripción general.

En la página de descripción general, anote los siguientes valores:

En el panel izquierdo, en Administrar, elija Manifiesto.

En el archivo JSON, en la sección appRoles, busque el rol de aplicación denominado User.

Anote el valor id de este rol de aplicación.

En AWS CLI, introduzca el siguiente comando para crear las variables. Utilice los valores que ha recuperado de las aplicaciones create_aws_account y LZA2:

# Variables for create_aws_account app
  TENANT_ID='<Directory ID>'
  CLIENT_ID='<Application ID>'
  SECRET_ID='<Client secret ID>'
  SECRET_VALUE='<Client secret value>'

# Variables for LZA2 app
  OBJECT_ID='<Object ID>'
  APP_ROLE_ID='<App role ID>'
  ENTERPRISE_APP_NAME='<Name>'

Introduzca el siguiente comando para crear un secreto con el nombre GraphApiSecret AWS Secrets Manager siguiente:

aws secretsmanager create-secret \
  --name GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

Si necesita actualizar el secreto en el futuro, puede actualizar las variables y ejecutar el siguiente comando:

aws secretsmanager update-secret \
  --secret-id GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

Introduzca el siguiente comando para clonar el lza-account-creation-workflowrepositorio:

git clone https://github.com/aws-samples/lza-account-creation-workflow

Introduzca el siguiente comando para ir al directorio config del repositorio clonado.

cd lza-account-creation-workflow/config

Abra el archivo deploy-config.yaml.

Revise la plantilla y actualice los valores según sea necesario para la implementación en su AWS entorno. Por ejemplo, actualice los valores de los siguientes elementos:

Si va a realizar la integración con Microsoft Entra ID, haga lo siguiente:

Guarde y cierre el archivo deploy-config.yaml.

Introduzca el siguiente comando:

cdk bootstrap <account-number>/<Region>

Para obtener más información, consulte Bootstrapping en la documentación. AWS CDK

Introduzca el siguiente comando para sintetizar la plantilla: CloudFormation

cdk synth

Para obtener más información, consulte Configurar y realizar la síntesis de AWS CDK pilas en la AWS CDK documentación.

Introduzca el siguiente comando para implementar la solución.

cdk deploy

Para obtener más información, consulte Implementar AWS CDK aplicaciones en la AWS CDK documentación.

Introduzca el siguiente comando para ir al repositorio clonado:

cd lza-account-creation-workflow

Ejecute el script de Python que inicia el flujo de trabajo de Step Functions. A continuación, tiene un comando de ejemplo que incluye muestas de argumentos y valores:

python ./run-stepfunction.py \
  --account-name "lza-test-01" \
  --support-dl "johnsmith@example.com" \
  --managed-org-unit "Workloads/Workload-1" \
  --purpose "Testing new micro service" \
  --force-update true \
  --ad-integration "{\"CustomerAccountAdmin\": \"platform-admin\", \"CustomerAccountDev\": \"workload1-app1\"}" \
  --bypass-creation true \
  --tags APPLICATION=TestingMicroService

Espere hasta que reciba una notificación que indique que la cuenta se ha creado correctamente.

Introduzca el siguiente comando para ir al directorio del código fuente:

cd lza-account-creation-workflow

Introduzca el siguiente comando para configurar las variables de la clave de AWS acceso. Puede copiar las variables del portal de acceso AWS y, a continuación, pegarlas en un intérprete de comandos. A continuación, se muestra un ejemplo:

export AWS_ACCESS_KEY_ID="<id>"
export AWS_SECRET_ACCESS_KEY="<key>"
export AWS_SESSION_TOKEN="<token>"

Ingresa el siguiente comando para configurar las Región de AWS llamadas a la API:

export AWS_REGION=$(aws configure get region)

Introduzca el siguiente comando para recuperar el punto final de API Gateway de la lza-account-creation-workflow-application CloudFormation salida:

export API_GATEWAY_ENDPOINT=$(aws cloudformation describe-stacks --stack-name "lza-account-creation-workflow-application" --query 'Stacks[*].Outputs[?OutputKey==`oApiGatewayCreateAccountEndpoint`].OutputValue' --output text)

En la carpeta raíz del repositorio clonado, abra el archivo api_example.json.

Actualice los parámetros con los valores de la configuración.

{
    "account_name": "lza-test-01",
    "account_email": "johnsmith+lzatest01@example.com",
    "support_dl": "johnsmith@example.com",
    "managed_org_unit": "Workloads/Workload-1",
    "ad_integration": [
        {
            "PermissionSetName": "CustomerAccountAdmin",
            "ActiveDirectoryGroupName": "platform-admin"
        },
        {
            "PermissionSetName": "CustomerAccountDev",
            "ActiveDirectoryGroupName": "workload1-app1"
        }
    ],
    "force_update": "true",
    "bypass_creation": "false",
    "account_tags": [
        {
            "Key": "Environment",
            "Value": "Dev"
        }, {
            "Key": "DeploymentMethod",
            "Value": "ApiGateway"
        }
    ]
}

Guarde y cierre el archivo api_example.json.

Introduzca el siguiente comando para iniciar el flujo de trabajo de Step Functions:

awscurl --service execute-api \
    --data @api-example.json \
    --region ${AWS_REGION} \
    --access_key ${AWS_ACCESS_KEY_ID} \
    --secret_key ${AWS_SECRET_ACCESS_KEY} \
    --security_token ${AWS_SESSION_TOKEN} \
    -X POST ${API_GATEWAY_ENDPOINT}execute

En el resultado del comando anterior, anote la ejecución de Step Functions de Nombre de recurso de Amazon (ARN).

Si desea comprobar el estado del flujo de trabajo de Step Functions, introduzca el siguiente comando. Sustituya <STEP_FUNCTION_EXECUTION_NAME> por el nombre o el ARN de ejecución de Step Functions:

awscurl --service execute-api \
  --region ${AWS_REGION} \
  --access_key ${AWS_ACCESS_KEY_ID} \
  --secret_key ${AWS_SECRET_ACCESS_KEY} \
  --security_token ${AWS_SESSION_TOKEN} \
  -X GET ${API_GATEWAY_ENDPOINT}get_execution_status?execution=<STEP_FUNCTION_EXECUTION_NAME>

Espere hasta que reciba una notificación que indique que la cuenta se ha creado correctamente.