Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Costruisci una landing zone

AWS Transform ti guida nella progettazione e implementazione di una AWS landing zone come parte del tuo progetto di migrazione. Una landing zone è un AWS ambiente multi-account che funge da base per i carichi di lavoro con confini organizzativi, controlli di governance e struttura degli account in atto prima dell'arrivo dei carichi di lavoro. AWS Transform analizza l'inventario delle migrazioni e i requisiti aziendali per consigliare un'unità organizzativa (OU) e una struttura degli account, applicare le Service Control Policies (SCP) consigliate e generare la and/or distribuzione dell'infrastruttura come codice (IaC).

L'agente della landing zone ti guida attraverso due fasi:

AWS Transform supporta sia ambienti greenfield (nessuna landing zone esistente) che ambienti brownfield (unità organizzative esistenti e account già distribuiti). Negli scenari dismessi, AWS Transform rileva la struttura organizzativa esistente e consiglia solo le modifiche necessarie per colmare le lacune rispetto alle best practice. AWS

Configurazione del connettore

L'agente di landing zone richiede un Account AWS connettore di destinazione per fornire risorse nell'account di gestione dell'organizzazione. Il connettore dispone delle autorizzazioni per:

Quando approvi la richiesta del connettore, concedi le autorizzazioni AWS Transform a:

Quando si crea il connettore, si specifica una destinazione. Regione AWS Questa regione deve essere la stessa della regione Control Tower della tua casa. Per ulteriori informazioni sulle regioni Control Tower, vedi Come Regioni AWS lavorare con AWS Control Tower.

All'inizio della configurazione della landing zone, AWS Transform recupera la configurazione del connettore e presenta l'ID dell'account di gestione dell' AWS organizzazione e la regione di destinazione per la conferma. Per ulteriori informazioni, consulta AWS Connettori Transform.

Configurazione Foundation

La fase di configurazione delle fondamenta stabilisce l'infrastruttura principale delle landing zone utilizzando AWS Control Tower. Quando AWS Control Tower configura una landing zone, fornisce automaticamente una serie di risorse gestite nel tuo account di gestione che costituiscono la base di governance per l'intera AWS organizzazione:

Control Tower utilizza CloudFormation StackSetsper distribuire e gestire queste risorse in modo coerente in tutti gli account e le regioni dell'organizzazione. Non devi modificare o eliminare le risorse gestite da Control Tower al di fuori dei metodi supportati, poiché così facendo la landing zone potrebbe entrare in uno stato sconosciuto.

Convenzione relativa alla posta elettronica dell'account

AWS richiede un indirizzo e-mail univoco per ogni account. Queste e-mail ricevono notifiche importanti per l'account. AWS Transform utilizza l'indirizzamento plus per generare email di account uniche da un'unica casella di posta.

Formato: prefix+account-name@domain

Fornisci un prefisso (ad esempio,aws-admin) e un dominio (ad esempio,acme.com) e AWS Transform ricava automaticamente tutte le email dell'account. Ad esempio:

Negli scenari dismessi, AWS Transform ispeziona le e-mail degli account esistenti per dedurre la convenzione plus-address già in uso e offre la possibilità di continuare con lo stesso schema.

Struttura di base consigliata

In base alle AWS best practice, AWS Transform consiglia la seguente struttura di unità organizzative di base. È possibile personalizzarlo prima della creazione.

Negli scenari dismessi, AWS Transform confronta la base esistente con questa struttura consigliata e riporta solo le lacune. Ad esempio: «La tua fondazione dispone di unità organizzative per la sicurezza e l'infrastruttura ma nessuna unità organizzativa Sandbox».

Policy di controllo dei servizi (SCP)

Gli SCP sono barriere di autorizzazione a livello di organizzazione che impostano le autorizzazioni massime per tutti gli account dell'organizzazione. AWS Non concedono l'accesso, ma definiscono limiti che nessun membro dell'account può superare, nemmeno gli amministratori dell'account.

Come parte dell'implementazione del Control Tower, i guardrail di base vengono applicati automaticamente. AWS Transform consiglia inoltre SCP aggiuntivi progettati per contribuire a rafforzare la posizione dell'organizzazione. Questi si basano sulle AWS migliori pratiche per una landing zone minima praticabile.

Gli SCP possono essere applicati alle unità organizzative Infrastructure, Sandbox e Workloads. L'unità organizzativa di sicurezza è gestita da Control Tower e non può essere presa di mira dagli SCP tramite questo strumento.

Negli scenari dismessi, AWS Transform verifica quali SCP sono già applicati e consiglia solo quelli in grado di colmare le lacune.

Distribuzione della Fondazione

Una volta completata la progettazione delle fondamenta, scegli come implementare:

Inizializzazione Control Tower

Se AWS Transform rileva che AWS Control Tower non è ancora inizializzato nell'organizzazione, fornisce all'utente un collegamento alla pagina della console AWS Transform. La generazione dell'operazione nel link creerà uno CloudFormation stack per avviare Control Tower. Il processo creerà questo stack nella CloudFormation console per la regione di destinazione. Una volta completata la creazione dello stack, AWS Transform continua con la distribuzione.

Progettazione dell'account Workload

Nella fase di progettazione dell'account per il carico di lavoro, AWS Transform progetta l'unità organizzativa e la struttura degli account per i carichi di lavoro delle applicazioni in base all'inventario di migrazione, ai requisiti aziendali e alle preferenze di separazione dell'ambiente.

Contesto di pianificazione della migrazione

AWS Transform recupera i dati dalla fase di pianificazione della migrazione, inclusi piani d'ondata, mappature tra server e applicazioni e contesto condiviso. Se i dati di pianificazione della migrazione sono disponibili, AWS Transform visualizza un riepilogo e chiede di confermarli o modificarli. Se non sono disponibili dati sulla pianificazione della migrazione, AWS Transform pone direttamente domande di scoperta.

Individuazione

AWS Transform pone domande per comprendere i requisiti del carico di lavoro. Puoi saltare qualsiasi domanda. Gli argomenti includono:

Struttura del carico di lavoro proposta

Sulla base delle risposte fornite e dei dati di pianificazione della migrazione, AWS Transform propone un'unità organizzativa e una struttura di account nell'ambito dell'unità organizzativa Workloads. La proposta include il ragionamento alla base di ogni decisione di progettazione.

AWS Transform segue questi principi di progettazione:

Ogni account proposto include: nome, scopo, unità organizzativa di destinazione e unità aziendale. AWS Transform mostra la convenzione di denominazione utilizzata (ad esempio,<business-unit>-<environment>-<workload>).

È possibile esaminare e modificare la struttura proposta prima che AWS Transform applichi le modifiche. Dopo l'applicazione, puoi iterare, apportando ulteriori modifiche finché non sei soddisfatto.

Configurazione SCP del carico di lavoro

Dopo aver creato la struttura del carico di lavoro, AWS Transform presenta gli SCP disponibili e chiede se desideri applicarli alle unità organizzative del carico di lavoro. L'utente seleziona quali SCP applicare e a quali unità organizzative. AWS Transform applica gli SCP e mostra l'albero organizzativo aggiornato con una tabella riassuntiva SCP.

Distribuzione del carico di lavoro

Una volta completata la progettazione del carico di lavoro, scegli come implementare:

Formati IAc

Quando si sceglie l'implementazione automatica, AWS Transform genera artefatti Infrastructure as Code nei seguenti formati:

Dopo aver selezionato un formato, AWS Transform genera gli artefatti e li rende disponibili per il download.

Per verificare che il file scaricato non sia stato danneggiato o manomesso, genera e scarica un checksum, quindi confrontalo con un hash generato localmente utilizzando:

openssl dgst -sha256 -binary <file.zip> | base64

Processo di approvazione dell'implementazione

Le richieste di implementazione delle zone di atterraggio richiedono un'approvazione esplicita prima dell'esecuzione. Quando invii una richiesta di distribuzione, questa viene indirizzata automaticamente agli approvatori autorizzati tramite la scheda AWS Transform Approvals.

Gli approvatori esaminano i CloudFormation modelli e le configurazioni delle landing zone. Solo gli utenti con il ruolo di amministratore in AWS Transform possono approvare le richieste di distribuzione. Ogni invio attiva un nuovo ciclo di revisione e le distribuzioni procedono solo dopo aver ricevuto la conferma.

Se un approvatore rifiuta la tua richiesta, contattalo direttamente per discutere delle modifiche necessarie. Il sistema tiene traccia di tutte le decisioni di approvazione a fini di controllo e conserva la cronologia delle implementazioni.

Etichetta: risorse per le landing zone

AWS Transform etichetta automaticamente tutte le risorse generate "CreatedBy": "AWSTransform" insieme agli ID di definizione e di esecuzione per scopi di tracciamento.

Tag automatici

Tutte le risorse delle landing zone ricevono i seguenti tag:

Inversione delle modifiche

È possibile rimuovere solo gli elementi non distribuiti. Una volta che un'unità organizzativa o un account sono stati implementati, non possono essere rimossi tramite l'agente di landing zone.

Quando si rimuovono elementi, l'ordine è importante: è necessario rimuovere i bambini prima dei genitori:

Risorse correlate