Automatize a criação de contas usando o Landing Zone Accelerator em AWS

No Landing Zone Accelerator no repositório de AWS código, crie um arquivo chamado. customizations-config.yaml Você usa esse arquivo para definir personalizações para a solução principal. Para obter mais informações, consulte Customizing the solution.

No arquivo customizations-config.yaml, crie uma seção chamada cloudFormationStacks.

Faça o download do account-creation-validation-rolearquivo.yaml em. GitHub

Salve o arquivo no local indicado na seção de modelos do arquivo customizations-config.yaml.

Abra o arquivo customizations-config.yaml.

Na seção cloudFormationStacks, adicione o código a seguir. Atualize o alvo Região da AWS conforme necessário para sua landing zone:

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management              
          description: IAM Role to allow Account Validation
          name: lza-account-creation-validation
          regions:
            - us-east-1
          template: cloudformation/account-creation-validation-role.yaml
          runOrder: 1 
          terminationProtection: true
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Salve e feche o arquivo customizations-config.yaml.

Baixe o arquivo account-tagging-to-ssm-parameter-role.yaml em. GitHub

Salve o arquivo no local indicado na seção de modelos do arquivo customizations-config.yaml.

Abra o arquivo customizations-config.yaml.

Na seção cloudFormationStacks, adicione o código a seguir. Atualize o alvo Região da AWS conforme necessário para sua landing zone:

        - deploymentTargets:
            organizationalUnits:
              - Root
            excludedAccounts:
              - Management
          description: IAM Role to create SSM Parameters based on Account Tagging
          name: lza-account-tagging-to-ssm-parameter
          regions:
            - us-east-1
          template: cloudformation/account-tagging-to-ssm-parameter-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Salve e feche o arquivo customizations-config.yaml.

Faça o download do config-log-validation-rolearquivo.yaml em. GitHub

Salve o arquivo no local indicado na seção de modelos do arquivo customizations-config.yaml.

Abra o arquivo customizations-config.yaml.

Na seção cloudFormationStacks, adicione o código a seguir. Atualize o alvo Região da AWS conforme necessário para sua landing zone:

        - deploymentTargets:
            accounts:
              - LogArchive
          description: IAM Role to validate Config and Logs
          name: lza-config-log-validation-role
          regions:
            - us-east-1
          template: cloudformation/config-log-validation-role.yaml
          runOrder: 1 
          terminationProtection: true          
          parameters:
            - name: pManagementAccountId
              value: "{{ account Management }}"

Salve, feche e confirme as alterações feitas no arquivo customizations-config.yaml.

No centro de administração do Microsoft Entra ID, registre a aplicação create_aws_account. Para obter instruções, consulte Register an application na documentação da Microsoft.

Siga as instruções em Update an app’s requested permissions na documentação da Microsoft para configurar as seguintes permissões do Microsoft Graph para a aplicação create_aws_account:

No centro de administração do Microsoft Entra ID, navegue até Registros de aplicação e escolha create_aws_account.

No painel esquerdo, escolha Visão geral.

Na página Visão geral, anote os seguintes valores:

No painel esquerdo, em Gerenciar, selecione Certificados e segredos.

Na página Certificados e segredos, escolha a guia Segredos do cliente e anote os seguintes valores:

No centro de administração do Microsoft Entra ID, navegue até Aplicações empresariais e escolha LZA2.

No painel esquerdo, escolha Visão geral.

Na página Visão geral, anote os seguintes valores:

No painel esquerdo, em Gerenciar, escolha Manifesto.

No arquivo JSON, na seção appRoles, localize o perfil da aplicação chamada User.

Anote o valor id desse perfil da aplicação.

No AWS CLI, insira o comando a seguir para criar as variáveis. Use os valores que você recuperou para as aplicações create_aws_account e LZA2:

# Variables for create_aws_account app
  TENANT_ID='<Directory ID>'
  CLIENT_ID='<Application ID>'
  SECRET_ID='<Client secret ID>'
  SECRET_VALUE='<Client secret value>'

# Variables for LZA2 app
  OBJECT_ID='<Object ID>'
  APP_ROLE_ID='<App role ID>'
  ENTERPRISE_APP_NAME='<Name>'

Digite o comando a seguir para criar um segredo com o nome GraphApiSecret em AWS Secrets Manager:

aws secretsmanager create-secret \
  --name GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

Se precisar atualizar o segredo no futuro, você pode atualizar as variáveis e executar o seguinte comando:

aws secretsmanager update-secret \
  --secret-id GraphApiSecret \
  --secret-string "{\"client_id\": \"${CLIENT_ID}\", \"tenant_id\": \"${TENANT_ID}\", \"object_id\": \"${OBJECT_ID}\", \"app_role_id\": \"${APP_ROLE_ID}\", \"secret_value\": \"${SECRET_VALUE}\", \"secret_id\": \"${SECRET_ID}\"}"

Digite o comando a seguir para clonar o lza-account-creation-workflowrepositório:

git clone https://github.com/aws-samples/lza-account-creation-workflow

Insira o seguinte comando para navegar até o diretório config do repositório clonado:

cd lza-account-creation-workflow/config

Abra o arquivo deploy-config.yaml.

Revise o modelo e atualize os valores conforme necessário para implantação em seu AWS ambiente. Por exemplo, atualize para os seguintes valores:

Se você estiver integrando ao Microsoft Entra ID, faça o seguinte:

Salve e feche o arquivo deploy-config.yaml.

Digite o comando:

cdk bootstrap <account-number>/<Region>

Para obter mais informações, consulte Bootstrapping na documentação. AWS CDK

Insira o comando a seguir para sintetizar o CloudFormation modelo:

cdk synth

Para obter mais informações, consulte Configurar e realizar a síntese de AWS CDK pilha na AWS CDK documentação.

Insira o comando a seguir para implantar a solução.

cdk deploy

Para obter mais informações, consulte Implantar AWS CDK aplicativos na AWS CDK documentação.

Insira o seguinte comando para navegar até o repositório clonado:

cd lza-account-creation-workflow

Execute o script Python que inicia o fluxo de trabalho do Step Functions. Veja a seguir um exemplo de comando que inclui exemplos de argumentos e valores:

python ./run-stepfunction.py \
  --account-name "lza-test-01" \
  --support-dl "johnsmith@example.com" \
  --managed-org-unit "Workloads/Workload-1" \
  --purpose "Testing new micro service" \
  --force-update true \
  --ad-integration "{\"CustomerAccountAdmin\": \"platform-admin\", \"CustomerAccountDev\": \"workload1-app1\"}" \
  --bypass-creation true \
  --tags APPLICATION=TestingMicroService

Espere até receber uma notificação de que a conta foi criada com sucesso.

Insira o seguinte comando para navegar até o diretório do código-fonte:

cd lza-account-creation-workflow

Digite o comando a seguir para definir as variáveis da chave de AWS acesso. Você pode copiar as variáveis do portal de acesso da AWS e depois colá-las em um shell. Este é um exemplo:

export AWS_ACCESS_KEY_ID="<id>"
export AWS_SECRET_ACCESS_KEY="<key>"
export AWS_SESSION_TOKEN="<token>"

Insira o comando a seguir para definir o Região da AWS para chamadas de API:

export AWS_REGION=$(aws configure get region)

Insira o comando a seguir para recuperar o endpoint do API Gateway da lza-account-creation-workflow-application CloudFormation saída:

export API_GATEWAY_ENDPOINT=$(aws cloudformation describe-stacks --stack-name "lza-account-creation-workflow-application" --query 'Stacks[*].Outputs[?OutputKey==`oApiGatewayCreateAccountEndpoint`].OutputValue' --output text)

Na pasta-raiz do repositório clonado, abra o arquivo api_example.json.

Atualize os parâmetros com seus valores de configuração.

{
    "account_name": "lza-test-01",
    "account_email": "johnsmith+lzatest01@example.com",
    "support_dl": "johnsmith@example.com",
    "managed_org_unit": "Workloads/Workload-1",
    "ad_integration": [
        {
            "PermissionSetName": "CustomerAccountAdmin",
            "ActiveDirectoryGroupName": "platform-admin"
        },
        {
            "PermissionSetName": "CustomerAccountDev",
            "ActiveDirectoryGroupName": "workload1-app1"
        }
    ],
    "force_update": "true",
    "bypass_creation": "false",
    "account_tags": [
        {
            "Key": "Environment",
            "Value": "Dev"
        }, {
            "Key": "DeploymentMethod",
            "Value": "ApiGateway"
        }
    ]
}

Salve e feche o arquivo api_example.json.

Insira o seguinte comando para iniciar o fluxo de trabalho do Step Functions:

awscurl --service execute-api \
    --data @api-example.json \
    --region ${AWS_REGION} \
    --access_key ${AWS_ACCESS_KEY_ID} \
    --secret_key ${AWS_SECRET_ACCESS_KEY} \
    --security_token ${AWS_SESSION_TOKEN} \
    -X POST ${API_GATEWAY_ENDPOINT}execute

Na saída do comando anterior, anote o nome do recurso da Amazon (ARN) da execução do Step Functions.

Se você quiser conferir o status do fluxo de trabalho do Step Functions, insira o comando a seguir. Substitua <STEP_FUNCTION_EXECUTION_NAME> pelo nome ou o ARN de execução do Step Functions:

awscurl --service execute-api \
  --region ${AWS_REGION} \
  --access_key ${AWS_ACCESS_KEY_ID} \
  --secret_key ${AWS_SECRET_ACCESS_KEY} \
  --security_token ${AWS_SESSION_TOKEN} \
  -X GET ${API_GATEWAY_ENDPOINT}get_execution_status?execution=<STEP_FUNCTION_EXECUTION_NAME>

Espere até receber uma notificação de que a conta foi criada com sucesso.