`的 AWS 帳戶 ID 取代 ：{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam:::root"
},
"Action": [
"organizations:ListAccounts",
"organizations:DescribeOrganization",
"organizations:DescribeOrganizationalUnit",
"organizations:ListRoots",
"organizations:ListAWSServiceAccessForOrganization",
"organizations:ListDelegatedAdministrators"
],
"Resource": "*"
}
]
} | 雲端管理員 |
| 從範例儲存庫更新預設值。 | 若要將 RVM 設定為在特定環境中操作 AWS 區域，請執行下列動作：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/provision-least-privilege-iam-roles-by-deploying-a-role-vending-machine-solution.html) | DevOps 工程師 |
### 初始化基礎設施
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 引導 RVM 儲存庫。 | 此步驟是建立 RVM 管道本身使用的 OIDC 信任和 IAM 角色的必要步驟，因此可以開始操作和販賣其他角色。在您的 RVM 帳戶內容中，從 `scripts/bootstrap`目錄手動執行`terraform apply`命令。根據變數文件提供任何必要的值。 | DevOps 工程師 |
### 設定操作
| 任務 | Description | 所需的技能 |
| --- | --- | --- |
| 將 `github-workflow-rvm`和 `github-workflow-rvm-readonly`角色部署到所有 帳戶。 | 選擇符合您組織實務的部署方法，例如 AFT 或 StackSets。使用該方法將`scripts/assumed_role/main.tf`檔案中的兩個 IAM 角色 （預設名稱`github-workflow-rvm`和 `github-workflow-rvm-readonly`) 部署到您希望 RVM 能夠建立管道角色的每個帳戶。這些 IAM 角色具有信任政策，允許 RVM 帳戶的角色擔任角色 （或其`readonly`同等角色） 擔任該角色。這些角色也有 IAM 許可政策，允許他們讀取和寫入 （除非使用`readonly`角色） 符合 的角色`github-workflow-role-*`。 | AWS 管理員 |
| 執行`generate_providers_and_account_vars`工作流程。 | 若要設定 RVM 以準備好建立管道角色，請執行下列動作：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/provision-least-privilege-iam-roles-by-deploying-a-role-vending-machine-solution.html)工作流程完成後，RVM 已準備好：[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/prescriptive-guidance/latest/patterns/provision-least-privilege-iam-roles-by-deploying-a-role-vending-machine-solution.html) | DevOps 工程師 |
## 疑難排解
| 問題 | 解決方案 |
| --- | --- |
| 我使用 RVM 建立角色，但 GitHub 無法擔任該角色。 | 確認 GitHub 儲存庫的名稱符合提供給`github_workflow_roles`模組的名稱。角色的範圍是讓只有一個儲存庫可以擔任這些角色。同樣地，請確認 GitHub 管道中使用的分支符合提供給`github_workflow_roles`模組的分支名稱。一般而言，具有寫入許可的 RVM 建立角色只能由範圍為`main`分支的工作流程使用 （也就是從 取得的部署`main`)。 |
| 我的唯讀角色無法執行其管道，因為它缺少讀取特定資源的許可。 | 雖然`ReadOnlyAccess`政策提供廣泛的唯讀許可，但政策沒有某些讀取動作 （例如，某些 AWS Security Hub CSPM 動作）。您可以使用 `github-workflow-roles`模組的 `inline_policy_readonly` 參數來新增特定動作許可。 |
## 相關資源
+ [使用 AWS CloudFormation StackSets 的最佳實務](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-bestpractices.html)
+ [使用多個帳戶組織您的 AWS 環境](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/organizing-your-aws-environment.html)
+ [適用於 Terraform (AFT) AWS Control Tower 的帳戶工廠概觀](https://docs.aws.amazon.com/controltower/latest/userguide/aft-overview.html)
+ [政策最佳實務](https://docs.aws.amazon.com/codepipeline/latest/userguide/security_iam_service-with-iam-policy-best-practices.html)
## 其他資訊
**使用 GitHub 環境**
GitHub 環境是分支型角色存取限制的替代方法。如果您偏好使用 GitHub 環境，下列是 IAM 信任政策中其他條件的語法範例。此語法指定只有在 GitHub 動作在`Production`環境中執行時，才能使用角色。
```
"StringLike": {
"token.actions.githubusercontent.com:sub": "repo:octo-org/octo-repo:environment:Production"
}
```
範例語法使用下列預留位置值：
+ `octo-org` 是 GitHub 組織名稱。
+ `octo-repo` 是儲存庫名稱。
+ `Production` 是特定的 GitHub 環境名稱。