Terapkan Pabrik Akun Menara Kontrol AWS untuk Terraform (AFT)

Wilayah rumah untuk zona pendaratan Menara Kontrol AWS Anda. Untuk informasi selengkapnya, lihat Cara Wilayah AWS bekerja dengan AWS Control Tower.

Zona pendaratan Menara Kontrol AWS. Untuk informasi selengkapnya, lihat Merencanakan zona pendaratan AWS Control Tower Anda.

Akun manajemen AFT, yang dapat Anda sediakan di AWS Control Tower, atau menyediakan dengan cara lain dan mendaftar ke AWS Control Tower.

Versi dan distribusi Terraform. Untuk informasi lebih lanjut, lihat versi Terraform dan AFT.

Penyedia VCS untuk melacak dan mengelola perubahan kode dan file lainnya. Secara default, AFT menggunakan AWS CodeCommit. Untuk informasi lebih lanjut, lihat Apa itu AWS CodeCommit? dalam Panduan AWS CodeCommit Pengguna.

Jika Anda menerapkan AFT untuk pertama kalinya dan Anda tidak memiliki CodeCommit repositori yang ada, Anda harus memilih penyedia VCS eksternal, seperti GitHub atau. BitBucket Untuk informasi selengkapnya, lihat Alternatif untuk kontrol versi kode sumber di AFT.

Lingkungan runtime tempat Anda dapat menjalankan modul Terraform yang menginstal AFT.

Opsi fitur AFT. Untuk informasi selengkapnya, lihat Mengaktifkan opsi fitur.

Secara opsional mengatur konfigurasi cloud pribadi virtual (VPC)

Modul AFT menyertakan aft_enable_vpc parameter, yang menentukan apakah AWS Control Tower menyediakan sumber daya akun dalam VPC di akun manajemen AFT pusat. Secara default, parameter diatur ketrue. Jika Anda menyetel parameter ini kefalse, AWS Control Tower menerapkan AFT tanpa menggunakan VPC dan sumber daya jaringan pribadi, seperti NAT Gateway atau titik akhir VPC. Men aft_enable_vpc onaktifkan dapat membantu mengurangi biaya operasi AFT untuk beberapa pola penggunaan. Menambahkan konfigurasi VPC akan menggantikan aft_enable_vpc parameter yang disetel. false

Alih-alih menyediakan VPC baru, Anda dapat mengonfigurasi AFT untuk menggunakan VPC yang ada di akun Anda. Untuk menggunakan VPC Anda sendiri, berikan parameter konfigurasi VPC berikut:

Contoh konfigurasi:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # VPC configuration
  aft_customer_vpc_id = "vpc-0123456789abcdef0"
  aft_customer_private_subnets = ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"]
  
  # Other AFT parameters...
}
            

Secara opsional mengkonfigurasi nama proyek Terraform

Anda dapat menyesuaikan nama proyek Terraform yang digunakan oleh AFT dengan mengatur parameter. terraform_project_name Secara default, AFT menempatkan penerapan dalam proyek “default” di HCP Terraform atau Terraform Enterprise.

Contoh konfigurasi:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Project name configuration
  terraform_project_name = "my-organization-aft"
  
  # Other AFT parameters...
}
            

Secara opsional menerapkan tag khusus ke sumber daya AFT

Anda dapat menerapkan tag kustom ke semua sumber daya AFT dengan menggunakan tags parameter. Tag ini membantu organisasi sumber daya, alokasi biaya, dan kontrol akses.

Contoh konfigurasi:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Custom tags configuration
  tags = {
    Environment = "Production"
    CostCenter = "IT-12345"
    Project = "AFT-Deployment"
    Owner = "platform-team@example.com"
  }
  
  # Other AFT parameters...
}
            

Tag ini diterapkan ke semua sumber daya yang dibuat oleh modul AFT. AFT secara otomatis menambahkan managed_by = "AFT" tag ke semua sumber daya, yang tidak dapat diganti oleh tag khusus.

Secara opsional menerapkan kunci enkripsi yang AWS KMS dikelola pelanggan (CMK) ke grup CloudWatch log dan topik SNS

Untuk mengaktifkan enkripsi KMS CMK untuk grup log dan topik SNS, atur variabel dan. cloudwatch_log_group_enable_cmk_encryption sns_topic_enable_cmk_encryption

Jika Anda memilih pengaturan ini, AFT menggunakan CMK yang ada, alias/aft, untuk mengenkripsi CloudWatch log dan topik SNS. CMK ini dibuat ketika AFT digunakan di akun manajemen AFT, dan dapat diterapkan ke grup log dan topik SNS.

Secara opsional mengubah jenis CodeBuild komputasi Anda

Selama penerapan, untuk mengubah tipe komputasi yang digunakan AFT CodeBuild, atur variabelaft_codebuild_compute_type.

Untuk informasi tentang jenis komputasi yang diterima, lihat Tentang jenis lingkungan sesuai permintaan. Jenis komputasi default adalahBUILD_GENERAL1_MEDIUM.

Konfigurasikan OpenID Connect (OIDC) secara opsional untuk Terraform

Pelanggan yang menggunakan Terraform Enterprise atau HCP Terraform (sebelumnya Terraform Cloud) dapat menggunakan token identitas Workload Terraform (atau kredentif penyedia dinamis), yang dibangun di atas protokol OIDC, untuk menghubungkan dan mengotentikasi ruang kerja dengan AFT dengan aman.

Anda dapat mengaktifkan integrasi OIDC untuk ruang kerja AFT dengan menyetel terraform_oidc_integration parameter ke. true Secara default, parameter ini diatur kefalse. Saat mengaktifkan parameter ini, terraform_oidc_hostname parameter terraform_oidc_aws_audience dan harus ditinjau dan dikonfigurasi jika default (aws.workload.identitydanapp.terraform.io, masing-masing) tidak cocok dengan lingkungan Anda.

Contoh konfigurasi:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Terraform distribution must be "tfc" or "tfe" for OIDC
  terraform_distribution = "tfc"

  # Terraform OIDC Configuration
  terraform_oidc_integration  = true
  terraform_oidc_aws_audience = "aws.workload.identity"  # default
  terraform_oidc_hostname     = "app.terraform.io"       # default; set to your TFE hostname if applicable
  
  # Other AFT parameters...
}