使用代码存储库在 AWS Service Catalog 中配置 Terraform 产品

由 Rahul Sharad Gaikwad 博士 (AWS) 和 Tamilselvan P (AWS) 编写

Summary

AWS Service Catalog 支持自助配置，并对您的 HashiCorp Terraform 配置进行管理。如果您使用 Terraform，则可以使用 Service Catalog 作为单一工具，在 AWS 中大规模组织、管理和分发 Terraform 配置。您可以访问 Service Catalog 的主要功能，包括对标准化和预先批准的基础设施即代码 (IaC) 模板进行编目、访问控制、以最低权限配置云资源、版本控制、共享到数千个 AWS 账户以及标记。最终用户（例如工程师、数据库管理员和数据科学家）会看到他们有权访问的产品和版本列表，他们可以通过一个操作进行部署。

此模式可帮助您使用 Terraform 代码部署 AWS 资源。 GitHub 存储库中的 Terraform 代码可通过 Service Catalog 进行访问。使用这种方法，您可以将产品与现有的 Terraform 工作流程集成。管理员可以使用 Terraform 创建服务目录产品组合并向其中添加 AWS Launch Wizard 产品。

以下是此解决方案的好处：

有关 AWS Service Catalog 的总体优势的信息，请参阅什么是服务目录。

先决条件和限制

先决条件

架构

目标技术堆栈

目标架构

图表显示了以下工作流：

工具

Amazon Web Services 和工具

其他服务

代码存储库

如果您需要可通过 Service Catalog 部署的 Terraform 示例配置，则可以使用 Amazon Mac GitHub ie 组织设置使用 Terraform 存储库中的配置。不需要使用此存储库中的代码示例。

最佳实践

操作说明

相关资源

AWS 文档

Terraform 文档

其他信息

访问政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        },
        {
            "Action": [
                "s3:CreateBucket*",
                "s3:DeleteBucket*",
                "s3:Get*",
                "s3:List*",
                "s3:PutBucketTagging"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

信任策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GivePermissionsToServiceCatalog",
            "Effect": "Allow",
            "Principal": {
                "Service": "servicecatalog.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account_id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::accounti_id:role/TerraformEngine/TerraformExecutionRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogExternalParameterParserRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogTerraformOSParameterParserRole*"
                    ]
                }
            }
        }
    ]
}