코드 리포지토리를 사용하여 AWS Service Catalog에서 Terraform 제품을 프로비저닝합니다.

작성자: Dr. Rahul Sharad Gaikwad(AWS) 및 Tamilselvan P(AWS)

요약

AWS Service Catalog는 HashiCorp Terraform 구성에 대한 거버넌스를 통해 셀프 서비스 프로비저닝을 지원합니다. Terraform을 사용하는 경우 Service Catalog를 단일 도구로 사용하여 AWS 내에서 Terraform 구성을 대규모로 구성, 관리 및 배포할 수 있습니다. 표준화되고 사전 승인된 IaC (Infrastructure as Code) 템플릿의 카탈로그 작성, 액세스 제어, 최소 권한 액세스로 클라우드 리소스 프로비저닝, 버전 관리, 수천 개의 AWS 계정과의 공유, 태깅 등 Service Catalog의 주요 기능에 액세스할 수 있습니다. 엔지니어, 데이터베이스 관리자, 데이터 과학자와 같은 최종 사용자는 액세스 권한이 있는 제품 및 버전 목록을 확인하고 한 번의 작업으로 이를 배포할 수 있습니다.

이 패턴은 Terraform 코드를 사용하여 AWS 리소스를 배포하는 데 도움이 됩니다. GitHub 리포지토리의 Terraform 코드는 Service Catalog를 통해 액세스할 수 있습니다. 이 접근 방식을 사용하면 제품을 기존 Terraform 워크플로와 통합할 수 있습니다. 관리자는 Terraform을 사용하여 Service Catalog 포트폴리오를 생성하고 AWS Launch Wizard 제품을 포트폴리오에 추가할 수 있습니다.

이 솔루션의 이점은 다음과 같습니다.

AWS Service Catalog의 전반적인 이점에 대한 자세한 내용은 서비스 카탈로그란 무엇입니까? 를 참조하십시오.

사전 조건 및 제한 사항

사전 조건

아키텍처

대상 기술 스택

대상 아키텍처 

이 다이어그램은 다음 워크플로를 보여줍니다.

도구

AWS 서비스 및 도구

기타 서비스

코드 리포지토리

Service Catalog를 통해 배포할 수 있는 샘플 Terraform 구성이 필요한 경우 Terraform을 사용한 Amazon GitHub Macie 조직 설정 리포지토리의 구성을 사용할 수 있습니다. 이 리포지토리의 코드 샘플을 사용할 필요는 없습니다.

모범 사례

에픽

관련 리소스

설명서

Terraform 설명서

추가 정보

액세스 정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        },
        {
            "Action": [
                "s3:CreateBucket*",
                "s3:DeleteBucket*",
                "s3:Get*",
                "s3:List*",
                "s3:PutBucketTagging"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

신뢰 정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GivePermissionsToServiceCatalog",
            "Effect": "Allow",
            "Principal": {
                "Service": "servicecatalog.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account_id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::accounti_id:role/TerraformEngine/TerraformExecutionRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogExternalParameterParserRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogTerraformOSParameterParserRole*"
                    ]
                }
            }
        }
    ]
}