View a markdown version of this page

组件服务 - AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

组件服务

当您部署 AFT 时，会通过这些 AWS 服务将组件添加到您的 AWS 环境中。

  • AWS Control Tower - AFT 使用 AWS Control Tower 管理账户中的 AWS Control Tower Account Factory 来预置账户。

  • Amazon DynamoDB - AFT 会在 AFT 管理账户中创建 Amazon DynamoDB 表，用于存储账户请求、账户更新的审计历史记录、账户元数据以及 AWS Control Tower 生命周期事件。AFT 还会创建 DynamoDB Lambda 触发器来启动下游流程，例如启动 AFT 账户预置工作流。

  • 亚马逊简单存储服务 — AFT 在 AFT 管理账户和 AWS 控制塔日志存档账户中创建亚马逊简单存储服务 (S3) 存储桶，后者存储由 AFT 管道所需的 AWS 服务生成的日志。AFT 还在 Primary 和 secondary 中创建了一个 Terraform 后端 S3 存储桶 AWS 区域，用于存储 AFT 管道工作流程期间生成的 Terraform 状态。

  • Amazon Simple Notification Service - AFT 会在 AFT 管理账户中创建 Amazon Simple Notification Service（SNS）主题，用于存储处理每个 AFT 账户请求后的成功和失败通知。您可以使用自己选择的协议来接收这些消息。

  • Amazon Simple Queuing Service - AFT 会在 AFT 管理账户中创建一个 Amazon Simple Queuing Service（Amazon SQS）FIFO 队列。该队列支持并行提交多个账户请求，但它一次只能向 AWS Control Tower Account Factory 发送一个请求以按顺序处理。

  • AWS CodeBuild — AFT在AFT管理账户中创建AWS CodeBuild 构建项目，以在各个构建阶段初始化、编译、测试和应用AFT源代码的Terraform计划。

  • AWS CodePipeline — AFT 在 AFT 管理账户中创建 AWS CodePipeline 管道，以便与您选择的、支持的 AWS CodeStar 连接提供商集成 AFT 源代码，并在 AWS 中触发构建任务 CodeBuild。

  • AWS Lambda - AFT 可在 AFT 管理账户中创建 AWS Lambda 函数和层，以便在账户请求、AFT 账户预置和账户自定义过程中执行步骤。

  • AWS Systems Manager Parameter Store - AFT 可在 AFT 管理账户中设置 AWS Systems Manager Parameter Store，用于存储 AFT 管道流程所需的配置参数。

  • 亚马逊 CloudWatch — AFT在AFT管理账户中创建亚马逊 CloudWatch 日志组，以存储由AFT管道使用的AWS服务生成的日志。 CloudWatch 日志的保留期设置为Never Expire。

  • Amazon VPC - AFT 可创建 Amazon Virtual Private Cloud（VPC），用于将 AFT 管理账户中的服务和资源隔离到单独的网络环境中，从而增强安全性。

  • AWS KMS - AFT 可在 AFT 管理账户和 AWS Control Tower 日志存档账户中使用 AWS Key Management Service（KMS）。AFT 还可以创建密钥来加密 Terraform 状态、存储在 DynamoDB 表中的数据以及 SNS 主题。这些日志和构件是在 AFT 部署 AWS 资源和服务时生成的。默认情况下，AFT 创建的 KMS 密钥已启用每年轮换功能。

  • AWS 身份和访问管理 (IAM) — AFT 遵循推荐的最低权限模型。它根据需要在 AFT 管理账户、AWS 控制塔账户和 AFT 预置账户中创建 AWS 身份和访问管理 (IAM) 角色和策略，以执行 AFT 管道工作流程中所需的操作。

  • AWS 步进函数 — AFT 在 AFT 管理账户中创建 AWS 步进函数状态机。这些状态机可以协调并自动执行 AFT 账户预置框架和自定义的流程和步骤。

  • 亚马逊 EventBridge — AFT在AFT和AWS控制塔管理账户中创建亚马逊 EventBridge事件总线，以捕获AWS控制塔生命周期事件并将其长期存储在AFT管理账户的DynamoDB表中。AFT 在 AFT 管理和 AWS 控制塔管理账户中创建亚马逊 CloudWatch 事件规则，这些规则会触发 AFT 管道工作流程运行期间所需的多个步骤

  • AWS CloudTrail （可选）— 启用此功能后，AFT 会在 AWS 控制塔管理账户中创建 AWS CloudTrail 组织跟踪，用于记录 Amazon S3 存储桶和 AWS Lambda 函数的数据事件。AFT 会将这些日志发送到 AWS Control Tower 日志存档账户中的中央 S3 存储桶。

  • AWS 支持（可选）— 启用此功能后，AFT 将为 AFT 提供的帐户启用 AWS 企业支持计划。默认情况下， AWS 帐户是在启用 AWS 基本支持计划的情况下创建的。