As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Valide o código do Account Factory for Terraform (AFT) localmente
Criado por Alexandru Pop (AWS) e Michal Gorniak (AWS)
Ambiente: produção | Tecnologias: Infraestrutura DevOps; Modernização; DevelopmentAndTesting | Workload: código aberto |
Serviços da AWS: AWS Control Tower |
Resumo
Esse padrão mostra como testar localmente o código do HashiCorp Terraform que é gerenciado pelo AWS Control Tower Account Factory for Terraform (AFT). O Terraform é uma ferramenta de infraestrutura como código (IaC) de código aberto que ajuda você a usar o código para provisionar e gerenciar a infraestrutura e os recursos da nuvem. O AFT configura um pipeline do Terraform que ajuda você a provisionar e personalizar várias contas da AWS no AWS Control Tower.
Durante o desenvolvimento do código, pode ser útil testar sua infraestrutura como código (IaC) do Terraform localmente, fora do pipeline do AFT. Este padrão mostra como fazer o seguinte:
Recupere uma cópia local do código do Terraform que está armazenado nos CodeCommit repositórios da AWS em sua conta de gerenciamento do AFT.
Simular o pipeline AFT localmente usando o código recuperado.
Esse procedimento também pode ser usado para executar comandos do Terraform que não fazem parte do pipeline AFT normal. Por exemplo, você pode usar esse método para executar comandos como terraform validate
, terraform plan
, terraform destroy
e terraform import
.
Pré-requisitos e limitações
Pré-requisitos
Um ambiente ativo de várias contas da AWS que usa o AWS Control Tower
Um ambiente AFT totalmente implantado
AWS Command Line Interface (AWS CLI), instalada e configurada
Assistente de credenciais da AWS CLI para Code Commit, instalado e configurado
Python 3.x
Git
, instalado e configurado em sua máquina local git-remote-commit utilitário, instalado e configurado
Terraform
, instalado e configurado (a versão local do pacote Terraform deve corresponder à versão usada na implantação do AFT)
Limitações
Esse padrão não abrange as etapas de implantação necessárias para o AWS Control Tower, AFT ou qualquer módulo específico do Terraform.
A saída gerada localmente durante esse procedimento não é salva nos logs de runtime do pipeline AFT.
Arquitetura
Pilha de tecnologias de destino
Infraestrutura AFT implantada em uma implantação do AWS Control Tower
Terraform
Git
AWS CLI versão 2
Automação e escala
Esse padrão mostra como invocar localmente o código do Terraform para personalizações de contas globais do AFT em uma única conta da AWS gerenciada pelo AFT. Depois que seu código do Terraform for validado, você poderá aplicá-lo às contas restantes em seu ambiente de várias contas. Para obter mais informações, consulte Reinvocar personalizações na documentação do AWS Control Tower.
Você também pode usar um processo semelhante para executar personalizações de contas do AFT em um terminal local. Para invocar localmente o código do Terraform a partir das personalizações da conta AFT, clone o aft-account-customizations repositório em vez do repositório na sua conta de gerenciamento do aft-global-account-customizationsAFT. CodeCommit
Ferramentas
Serviços da AWS
O AWS Control Tower ajuda você a configurar e governar um ambiente de várias contas da AWS, seguindo as melhores práticas prescritivas.
A AWS Command Line Interface (AWS CLI) é uma ferramenta de código aberto que permite que você interaja com serviços da AWS usando comandos no shell da linha de comando.
Outros serviços
HashiCorp O Terraform
é uma ferramenta de infraestrutura como código (IaC) de código aberto que ajuda você a usar o código para provisionar e gerenciar a infraestrutura e os recursos da nuvem. O Git
é um sistema de controle de versão distribuído e de código aberto.
Código
Veja a seguir um exemplo de script bash que pode ser usado para executar localmente o código do Terraform gerenciado pelo AFT. Para usar o script, siga as instruções na seção Épicos desse padrão.
#! /bin/bash # Version: 1.1 2022-06-24 Unsetting AWS_PROFILE since, when set, it interferes with script operation # 1.0 2022-02-02 Initial Version # # Purpose: For use with AFT: This script runs the local copy of TF code as if it were running within AFT pipeline. # * Facilitates testing of what the AFT pipline will do # * Provides the ability to run terraform with custom arguments (like 'plan' or 'move') which are currently not supported within the pipeline. # # © 2021 Amazon Web Services, Inc. or its affiliates. All Rights Reserved. # This AWS Content is provided subject to the terms of the AWS Customer Agreement # available at http://aws.amazon.com/agreement or other written agreement between # Customer and either Amazon Web Services, Inc. or Amazon Web Services EMEA SARL or both. # # Note: Arguments to this script are passed directly to 'terraform' without parsing nor validation by this script. # # Prerequisites: # 1. local copy of ct GIT repositories # 2. local backend.tf and aft-providers.tf filled with data for the target account on which terraform is to be run # Hint: The contents of above files can be obtain from the logs of a previous execution of the AFT pipeline for the target account. # 3. 'terraform' binary is available in local PATH # 4. Recommended: .gitignore file containing 'backend.tf', 'aft_providers.tf' so the local copy of these files are not pushed back to git readonly credentials=$(aws sts assume-role \ --role-arn arn:aws:iam::$(aws sts get-caller-identity --query "Account" --output text ):role/AWSAFTAdmin \ --role-session-name AWSAFT-Session \ --query Credentials ) unset AWS_PROFILE export AWS_ACCESS_KEY_ID=$(echo $credentials | jq -r '.AccessKeyId') export AWS_SECRET_ACCESS_KEY=$(echo $credentials | jq -r '.SecretAccessKey') export AWS_SESSION_TOKEN=$(echo $credentials | jq -r '.SessionToken') terraform "$@"
Épicos
Tarefa | Descrição | Habilidades necessárias |
---|---|---|
Salve o código de exemplo como um arquivo local. |
| Administrador da AWS |
Torne o código de exemplo executável. | Abra uma janela do terminal e autentique-se em sua conta de gerenciamento do AWS AFT seguindo um destes procedimentos:
Observação: sua organização também pode ter uma ferramenta personalizada para fornecer credenciais de autenticação ao seu ambiente da AWS. | Administrador da AWS |
Verifique o acesso à conta de gerenciamento do AFT na região da AWS correta. | Importante: certifique-se de usar a mesma sessão de terminal com a qual você se autenticou em sua conta de gerenciamento do AFT.
| Administrador da AWS |
Crie um novo diretório local para armazenar o código do repositório do AFT. | Na mesma sessão de terminal, execute os comandos a seguir:
| Administrador da AWS |
Clone o código do repositório do AFT remoto. |
| Administrador da AWS |
Tarefa | Descrição | Habilidades necessárias |
---|---|---|
Abra um pipeline do AFT executado anteriormente e copie os arquivos de configuração do Terraform em uma pasta local. | Observação: os arquivos de configuração backend.tf e aft-providers.tf criados neste épico são necessários para que o pipeline do AFT seja executado localmente. Esses arquivos são criados automaticamente no pipeline do AFT baseado em nuvem, mas devem ser criados manualmente para que o pipeline seja executado localmente. Executar o pipeline do AFT localmente requer um conjunto de arquivos que representa a execução do pipeline em uma única conta da AWS.
Exemplo de instrução backend.tf gerada automaticamente
Observação: os arquivos | Administrador da AWS |
Tarefa | Descrição | Habilidades necessárias |
---|---|---|
Implemente as alterações de configuração do Terraform que você deseja validar. |
| Administrador da AWS |
Execute o script ct_terraform.sh e revise a saída. |
Importante:
| Administrador da AWS |
Tarefa | Descrição | Habilidades necessárias |
---|---|---|
Adicione referências aos arquivos backend.tf e aft-providers.tf a um arquivo .gitignore. | Adicione os arquivos
Observação: mover os arquivos para o arquivo | Administrador da AWS |
Confirme e envie suas alterações de código para o repositório do AFT remoto. |
Importante: as alterações de código que você introduz seguindo esse procedimento até o momento são aplicadas somente a uma conta da AWS. | Administrador da AWS |
Tarefa | Descrição | Habilidades necessárias |
---|---|---|
Implemente as alterações para todas as contas gerenciadas pelo AFT. | Para implementar as alterações em várias contas da AWS gerenciadas pelo AFT, siga as instruções em Reinvocar personalizações na documentação do AWS Control Tower. | Administrador da AWS |