Implémentez Account Factory for Terraform (AFT) en utilisant un pipeline bootstrap

Créée par Vinicius Elias (AWS) et Edgar Costa Filho (AWS)

Récapitulatif

Ce modèle fournit une méthode simple et sécurisée pour déployer AWS Control Tower Account Factory for Terraform (AFT) à partir du compte de gestion de. AWS Organizations Le cœur de la solution est un AWS CloudFormation modèle qui automatise la configuration AFT en créant un pipeline Terraform, qui est structuré de manière à être facilement adaptable pour le déploiement initial ou les mises à jour ultérieures.

La sécurité et l'intégrité des données étant des priorités absolues AWS, le fichier d'état Terraform, qui est un composant essentiel permettant de suivre l'état de l'infrastructure et des configurations gérées, est stocké en toute sécurité dans un bucket Amazon Simple Storage Service (Amazon S3). Ce bucket est configuré avec plusieurs mesures de sécurité, notamment le chiffrement côté serveur et des politiques visant à bloquer l'accès public, afin de garantir que votre état Terraform est protégé contre les accès non autorisés et les violations de données.

Le compte de gestion orchestre et supervise l'ensemble de l'environnement. Il constitue donc une ressource essentielle dans. AWS Control Tower Ce modèle suit les AWS meilleures pratiques et garantit que le processus de déploiement est non seulement efficace, mais également conforme aux normes de sécurité et de gouvernance, afin de proposer un moyen complet, sécurisé et efficace de déployer AFT dans votre AWS environnement.

Pour plus d'informations sur l'AFT, consultez la AWS Control Tower documentation.

Conditions préalables et limitations

Prérequis

Limites

Versions du produit

Architecture

Pile technologique cible

Architecture cible

Le schéma suivant illustre la mise en œuvre décrite dans ce modèle.

Le flux de travail comprend trois tâches principales : créer les ressources, générer le contenu et exécuter le pipeline.

Création des ressources

Le CloudFormation modèle fourni avec ce modèle crée et configure toutes les ressources requises, en fonction des paramètres que vous sélectionnez lorsque vous déployez le modèle. Le modèle crée au minimum les ressources suivantes :

En outre, si vous définissez le Generate AFT Files paramètre dans le CloudFormation modèle surtrue, le modèle crée les ressources supplémentaires suivantes pour générer le contenu :

Génération du contenu

Pour générer les fichiers bootstrap AFT et leur contenu, la solution utilise une fonction Lambda et un compartiment S3. La fonction crée un dossier dans le compartiment, puis crée deux fichiers dans le dossier : main.tf etbackend.tf. La fonction traite également les CloudFormation paramètres fournis et remplit ces fichiers avec du code prédéfini, en remplaçant les valeurs de paramètres respectives.

Pour consulter le code utilisé comme modèle pour générer les fichiers, consultez le GitHub référentiel de la solution. En gros, les fichiers sont générés comme suit.

main.tf

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory?ref=<aft_version>"

  # Required variables
  ct_management_account_id  = "<ct_management_account_id>"
  log_archive_account_id    = "<log_archive_account_id>"
  audit_account_id          = "<audit_account_id>"
  aft_management_account_id = "<aft_management_account_id>"
  ct_home_region            = "<ct_home_region>"

  # Optional variables
  tf_backend_secondary_region = "<tf_backend_secondary_region>"
  aft_metrics_reporting       = "<false|true>"

  # AFT Feature flags
  aft_feature_cloudtrail_data_events      = "<false|true>"
  aft_feature_enterprise_support          = "<false|true>"
  aft_feature_delete_default_vpcs_enabled = "<false|true>"

  # Terraform variables
  terraform_version      = "<terraform_version>"
  terraform_distribution = "<terraform_distribution>"

}

backend.tf

terraform {
  backend "s3" {
    region = "<aft-main-region>"
    bucket = "<s3-bucket-name>"
    key    = "aft-setup.tfstate"
  }
}

Lors de la création du CodeCommit référentiel, si vous définissez le Generate AFT Files paramètre surtrue, le modèle utilise le compartiment S3 contenant le contenu généré comme source de la main branche pour remplir automatiquement le référentiel.

Gestion du pipeline

Une fois les ressources créées et les fichiers bootstrap configurés, le pipeline s'exécute. La première étape (Source) récupère le code source depuis la branche principale du référentiel, et la deuxième étape (Build) exécute la commande Terraform plan et génère les résultats à examiner. Au cours de la troisième étape (Approbation), le pipeline attend une action manuelle pour approuver ou rejeter la dernière étape (Déploiement). À la dernière étape, le pipeline exécute la commande Terraform en utilisant le résultat de la apply commande Terraform plan précédente comme entrée. Enfin, un rôle entre comptes et les autorisations du compte de gestion sont utilisés pour créer les ressources AFT dans le compte de gestion AFT.

Outils

Services AWS

Autres outils

Référentiel de code

Le code de ce modèle est disponible dans le référentiel de pipeline GitHub AFT bootstrap.

Pour le référentiel AFT officiel, consultez AWS Control Tower Account Factory for Terraform dans. GitHub

Bonnes pratiques

Lorsque vous déployez AFT à l'aide du CloudFormation modèle fourni, nous vous recommandons de suivre les meilleures pratiques pour garantir une mise en œuvre sûre, efficace et réussie. Les principales directives et recommandations pour la mise en œuvre et le fonctionnement de l'AFT sont les suivantes.

Épopées

Résolution des problèmes

Ressources connexes

Pour implémenter ce modèle avec succès, consultez les ressources suivantes. Ces ressources fournissent des informations et des conseils supplémentaires qui peuvent être inestimables pour configurer et gérer l'AFT en utilisant AWS CloudFormation.

AWSdocumentation :

Politiques et meilleures pratiques en matière d'IAM :

Terraform sur : AWS

Service AWS quotas :