코드 리포지토리를 AWS Service Catalog 사용하여에서 Terraform 제품 프로비저닝

작성자: Dr. Rahul Sharad Gaikwad(AWS) 및 Tamilselvan P(AWS)

요약

AWS Service Catalog 는 HashiCorp Terraform 구성에 대한 거버넌스를 통한 셀프 서비스 프로비저닝을 지원합니다. Terraform을 사용하는 경우 서비스 카탈로그를 단일 도구로 사용하여 AWS 대규모로 내에서 Terraform 구성을 구성, 관리 및 배포할 수 있습니다. 표준화되고 사전 승인된 코드형 인프라(IaC) 템플릿의 카탈로그 작성, 액세스 제어, 최소 권한 액세스를 통한 클라우드 리소스 프로비저닝, 버전 관리, 수천 개에 대한 공유 AWS 계정, 태그 지정 등 Service Catalog 주요 기능에 액세스할 수 있습니다. 엔지니어, 데이터베이스 관리자, 데이터 과학자와 같은 최종 사용자는 액세스할 수 있는 제품 및 버전 목록을 보고 단일 작업을 통해 배포할 수 있습니다.

이 패턴은 Terraform 코드를 사용하여 AWS 리소스를 배포하는 데 도움이 됩니다. GitHub 리포지토리의 Terraform 코드는 Service Catalog를 통해 액세스합니다. 이 접근 방식을 사용하면 제품을 기존 Terraform 워크플로와 통합할 수 있습니다. 관리자는 Terraform을 사용하여 Service Catalog 포트폴리오를 생성하고 AWS Launch Wizard 제품을 추가할 수 있습니다.

다음은이 솔루션의 이점입니다.

의 전반적인 이점에 대한 자세한 내용은 서비스 카탈로그란 무엇입니까?를 AWS Service Catalog참조하세요.

사전 조건 및 제한 사항

사전 조건 

아키텍처

이 다이어그램은 다음 워크플로를 보여줍니다.

도구

AWS 서비스

기타 서비스

코드 리포지토리

Service Catalog를 통해 배포할 수 있는 샘플 Terraform 구성이 필요한 경우 GitHub Terraform 리포지토리를 사용한 Amazon Macie Organization Setup에서 구성을 사용할 수 있습니다. 이 리포지토리에서 코드 샘플을 사용할 필요는 없습니다.

모범 사례

에픽

관련 리소스

AWS 설명서

Terraform 설명서

추가 정보

액세스 정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        },
        {
            "Action": [
                "s3:CreateBucket*",
                "s3:DeleteBucket*",
                "s3:Get*",
                "s3:List*",
                "s3:PutBucketTagging"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

신뢰 정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GivePermissionsToServiceCatalog",
            "Effect": "Allow",
            "Principal": {
                "Service": "servicecatalog.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account_id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::accounti_id:role/TerraformEngine/TerraformExecutionRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogExternalParameterParserRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogTerraformOSParameterParserRole*"
                    ]
                }
            }
        }
    ]
}