翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ランディングゾーンを構築する

AWS Transform は、移行プロジェクトの一環としてラン AWS ディングゾーンを設計およびデプロイするガイドを提供します。ランディングゾーンは、ワークロードが到着する前に、組織の境界、ガバナンスコントロール、アカウント構造を備えたワークロードの基盤として機能するマルチアカウント AWS 環境です。 AWS Transform は、移行インベントリとビジネス要件を分析して、組織単位 (OU) とアカウント構造を推奨し、推奨されるサービスコントロールポリシー (SCPs) を適用し、Infrastructure as Code (IaC) を生成および/またはデプロイします。

ランディングゾーンエージェントは、次の 2 つのフェーズを順を追って説明します。

AWS Transform は、グリーンフィールド環境 (既存のランディングゾーンなし) とブラウンフィールド環境 (既存の OUs とアカウントがデプロイ済み) の両方をサポートしています。ブラウンフィールドシナリオでは、 AWS Transform は既存の組織構造を検出し、 AWS ベストプラクティスとのギャップを埋めるために必要な変更のみを推奨します。

コネクタのセットアップ

ランディングゾーンエージェントには、組織管理アカウントにリソースをプロビジョニングするためのターゲット AWS アカウント コネクタが必要です。コネクタには、次のアクセス許可があります。

コネクタリクエストを承認すると、 AWS 変換アクセス許可が付与されます。

コネクタを作成するときは、ターゲットを指定します AWS リージョン。このリージョンは、ホーム Control Tower リージョンと同じである必要があります。Control Tower リージョンの詳細については、AWS 「Control Tower AWS リージョン の操作方法」を参照してください。

ランディングゾーンのセットアップの開始時に、 AWS Transform はコネクタ設定を取得し、確認のために AWS Organization 管理アカウント ID とターゲットリージョンを表示します。詳細については、「AWS 変換コネクタ」を参照してください。

基盤のセットアップ

基盤設定フェーズでは、AWS Control Tower を使用してコアランディングゾーンインフラストラクチャを確立します。 AWS Control Tower がランディングゾーンを設定すると、管理アカウントに一連のマネージドリソースが自動的にプロビジョニングされ、 AWS 組織全体のガバナンス基盤を形成します。

Control Tower は CloudFormation StackSets を使用して、組織内のすべてのアカウントとリージョンにこれらのリソースを一貫してデプロイおよび管理します。ランディングゾーンが不明な状態になる可能性があるため、サポートされている方法以外で Control Tower マネージドリソースを変更または削除しないでください。

アカウントの E メール規則

AWS では、アカウントごとに一意の E メールアドレスが必要です。これらの E メールは、アカウントに関する重要な通知を受け取ります。 AWS Transform は、 と アドレス指定を使用して、単一のメールボックスから一意のアカウント E メールを生成します。

形式: prefix+account-name@domain

プレフィックス ( などaws-admin) とドメイン ( などacme.com) を指定すると、 AWS 変換によってすべてのアカウント E メールが自動的に取得されます。例えば、次のようになります。

ブラウンフィールドシナリオでは、 AWS Transform は既存のアカウント E メールを検査して、既に使用されているプラスアドレス規則を推測し、同じパターンを続行することを提案します。

推奨される基盤構造

AWS ベストプラクティスに基づいて、 AWS Transform は次の基盤 OU 構造を推奨します。作成前にカスタマイズできます。

ブラウンフィールドシナリオでは、 AWS Transform は既存の基盤をこの推奨構造と比較し、ギャップのみをレポートします。例：「基盤にはセキュリティとインフラストラクチャの OUs」

サービスコントロールポリシー (SCP)

SCPs は、組織内のすべてのアカウントに最大アクセス許可を設定する組織レベルのアクセス許可ガードレールです。 AWS アクセスを許可しません。代わりに、アカウント管理者であっても、アカウント内の誰も超えることができない境界を定義します。

Control Tower のデプロイの一環として、ベースラインガードレールが自動的に適用されます。 AWS Transform は、組織の体制を強化するために設計された追加の SCPs も推奨します。これらは、実行可能な最小ランディングゾーンの AWS ベストプラクティスに基づいています。

SCPs は、インフラストラクチャ、サンドボックス、ワークロード OUs に適用できます。Security OU は Control Tower によって管理され、このツールを通じて SCPsによってターゲットにすることはできません。

ブラウンフィールドシナリオでは、 AWS Transform はどの SCPs がすでに適用されているかをチェックし、ギャップを埋める SCP のみを推奨します。

Foundation のデプロイ

基盤設計が完了したら、デプロイ方法を選択します。

Control Tower の初期化

AWS Transform は、組織内で AWS Control Tower がまだ初期化されていないことを検出した場合、 AWS 変換コンソールページへのリンクをユーザーに提供します。リンクで オペレーションを生成すると、Control Tower をブートストラップする CloudFormation スタックが作成されます。このプロセスでは、ターゲットリージョンの CloudFormation コンソールにこのスタックが作成されます。スタックの作成が完了すると、 AWS Transform はデプロイを続行します。

ワークロードアカウント設計

ワークロードアカウント設計フェーズでは、 AWS Transform は、移行インベントリ、ビジネス要件、環境分離設定に基づいて、アプリケーションワークロードの OU とアカウント構造を設計します。

移行計画コンテキスト

AWS Transform は、ウェーブプラン、server-to-applicationマッピング、共有コンテキストなど、移行計画フェーズからデータを取得します。移行計画データが利用可能な場合、 AWS Transform は概要を表示し、確認または調整するよう求めます。移行計画データが利用できない場合、 AWS Transform は検出に直接質問をします。

発見

AWS Transform は、ワークロードの要件を理解するために質問します。質問はスキップできます。トピックは以下のとおりです。

提案されたワークロード構造

回答と移行計画データに基づいて、 AWS Transform はワークロード OU の下に OU とアカウント構造を提案します。この提案には、各設計決定の背後にある推論が含まれています。

AWS 変換は、次の設計原則に従います。

提案された各アカウントには、名前、目的、ターゲット OU、ビジネスユニットが含まれます。 AWS Transform は、使用されている命名規則を示します (例: <business-unit>-<environment>-<workload>)。

AWS Transform が変更を適用する前に、提案された構造を確認して変更できます。適用後、反復して、満足するまで追加の変更を加えることができます。

ワークロード SCP 設定

ワークロード構造が作成されると、 AWS Transform は使用可能な SCPs を提示し、ワークロード OUs。適用SCPs と OUs. AWS Transform が SCPsし、更新された組織ツリーを SCP 概要テーブルとともに表示します。

ワークロードのデプロイ

ワークロード設計が完了したら、デプロイ方法を選択します。

IaC 形式

自己デプロイを選択すると、 AWS Transform は次の形式で Infrastructure as Code アーティファクトを生成します。

形式を選択すると、 AWS Transform はアーティファクトを生成し、ダウンロードできるようにします。

ダウンロードしたファイルが破損または改ざんされていないことを確認するには、チェックサムを生成してダウンロードし、以下を使用してローカルに生成されたハッシュと比較します。

openssl dgst -sha256 -binary <file.zip> | base64

デプロイの承認プロセス

ランディングゾーンのデプロイリクエストには、実行前に明示的な承認が必要です。デプロイリクエストを送信すると、 AWS Transform Approvals タブを介して承認済承認者に自動的にルーティングされます。

承認者は CloudFormation テンプレートとランディングゾーンの設定を確認します。 AWS Transform の管理者ロールを持つユーザーのみがデプロイリクエストを承認できます。各送信は新しいレビューサイクルをトリガーし、デプロイは確認を受け取った後にのみ続行されます。

承認者がリクエストを拒否した場合は、直接連絡して必要な変更について話し合います。システムは、監査目的でのすべての承認決定を追跡し、デプロイ履歴を維持します。

ランディングゾーンリソースにタグを付ける

AWS 変換は、追跡のために、生成されたすべてのリソースに定義と実行 IDs "CreatedBy": "AWSTransform"とともに自動的にタグ付けします。

自動タグ

すべてのランディングゾーンリソースには、次のタグが付けられます。

変更の取り消し

削除できるのは、デプロイされていない要素のみです。OU またはアカウントがデプロイされると、ランディングゾーンエージェントを介して削除することはできません。

要素を削除する場合、順序は重要です。親の前に子を削除する必要があります。

関連リソース