コードリポジトリを使用して AWS Service Catalog で Terraform 製品をプロビジョニングする

作成者: Dr. Rahul Sharad Gaikwad (AWS) と Tamilselvan P (AWS)

[概要]

AWS Service Catalog は、HashiCorp Terraform 設定のガバナンスによるセルフサービスプロビジョニングをサポートしています。Terraform を使用する場合は、Service Catalog を単一のツールとして使用して、AWS 内で Terraform 設定を大規模に整理、管理、配布できます。Service Catalog の主な機能には、標準化および事前承認されたコードとしてのインフラストラクチャ (IaC) テンプレートのカタログ化、アクセス制御、最小特権アクセスによるクラウドリソースのプロビジョニング、バージョニング、数千の AWS アカウントへの共有、タグ付けなどがあります。エンジニア、データベース管理者、データサイエンティストなどのエンドユーザーは、アクセスできる製品とバージョンのリストを表示し、1 回のアクションでデプロイできます。

このパターンは、Terraform コードを使用して AWS リソースをデプロイするのに役立ちます。 GitHub リポジトリ内の Terraform コードには、Service Catalog からアクセスできます。このアプローチを使用して、製品を既存の Terraform ワークフローと統合します。管理者は、Terraform を使用して Service Catalog ポートフォリオを作成し、AWS Launch Wizard 製品を追加できます。

このソリューションの利点は次のとおりです。

AWS Service Catalog の全体的な利点については、「Service Catalog とは」を参照してください。

前提条件と制限

前提条件

アーキテクチャ

ターゲットテクノロジースタック

ターゲット アーキテクチャ

この図表は、次のワークフローを示しています：

ツール

AWS のサービスとツール

その他のサービス

コードリポジトリ

Service Catalog を通じてデプロイできるサンプル Terraform 設定が必要な場合は、 GitHub Terraform を使用した Amazon Macie Organization Setup リポジトリの設定を使用できます。このリポジトリでコードサンプルを使用する必要はありません。

ベストプラクティス

エピック

関連リソース

AWS ドキュメント

Terraformのドキュメント

追加情報

アクセスポリシー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        },
        {
            "Action": [
                "s3:CreateBucket*",
                "s3:DeleteBucket*",
                "s3:Get*",
                "s3:List*",
                "s3:PutBucketTagging"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

信頼ポリシー

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GivePermissionsToServiceCatalog",
            "Effect": "Allow",
            "Principal": {
                "Service": "servicecatalog.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account_id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::accounti_id:role/TerraformEngine/TerraformExecutionRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogExternalParameterParserRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogTerraformOSParameterParserRole*"
                    ]
                }
            }
        }
    ]
}