使用引導管道實作 Account Factory for Terraform （AFT）

由 Vinicius Elias （AWS） 和 Edgar Costa Filho （AWS） 建立

Summary

請注意： AWS CodeCommit 不再提供給新客戶。的現有客戶 AWS CodeCommit 可以繼續正常使用服務。進一步了解

此模式提供一種簡單且安全的方法來從 的管理帳戶部署 AWS Control Tower Account Factory for Terraform （AFT） AWS Organizations。解決方案的核心是 AWS CloudFormation 範本，它透過建立 Terraform 管道來自動化AFT組態，其結構可輕鬆適應初始部署或後續更新。

安全性和資料完整性是 的首要任務 AWS，因此 Terraform 狀態檔案是追蹤受管基礎設施和組態狀態的關鍵元件，可安全地存放在 Amazon Simple Storage Service （Amazon S3） 儲存貯體中。此儲存貯體設定了數個安全措施，包括伺服器端加密和封鎖公有存取的政策，以協助確保您的 Terraform 狀態不受未經授權的存取和資料外洩。

管理帳戶會協調和監督整個環境，因此它是 中的重要資源 AWS Control Tower。此模式遵循 AWS 最佳實務，並確保部署程序不僅有效率，而且還符合安全和治理標準，以提供全面、安全且有效率的方式AFT，以便在您的 AWS 環境中部署。

如需 的詳細資訊AFT，請參閱 AWS Control Tower 文件 。

先決條件和限制

先決條件

限制

產品版本

架構

目標技術堆疊

目標架構

下圖說明此模式討論的實作。

工作流程包含三個主要任務：建立資源、產生內容和執行管道。

建立 資源

CloudFormation 隨此模式提供的範本會建立和設定所有必要資源，具體取決於您在部署範本時選取的參數。範本至少會建立下列資源：

此外，如果您將 CloudFormation 範本中的 Generate AFT Files 參數設定為 true，範本會建立這些其他資源來產生內容：

產生內容

若要產生AFT引導檔案及其內容，解決方案會使用 Lambda 函數和 S3 儲存貯體。函數會在儲存貯體中建立資料夾，然後在資料夾內建立兩個檔案： main.tf和 backend.tf。函數也會處理提供的 CloudFormation 參數，並以預先定義的程式碼填入這些檔案，取代個別的參數值。

若要檢視用來產生檔案的範本程式碼，請參閱解決方案的GitHub 儲存庫 。基本上，檔案的產生方式如下。

main.tf

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory?ref=<aft_version>"

  # Required variables
  ct_management_account_id  = "<ct_management_account_id>"
  log_archive_account_id    = "<log_archive_account_id>"
  audit_account_id          = "<audit_account_id>"
  aft_management_account_id = "<aft_management_account_id>"
  ct_home_region            = "<ct_home_region>"

  # Optional variables
  tf_backend_secondary_region = "<tf_backend_secondary_region>"
  aft_metrics_reporting       = "<false|true>"

  # AFT Feature flags
  aft_feature_cloudtrail_data_events      = "<false|true>"
  aft_feature_enterprise_support          = "<false|true>"
  aft_feature_delete_default_vpcs_enabled = "<false|true>"

  # Terraform variables
  terraform_version      = "<terraform_version>"
  terraform_distribution = "<terraform_distribution>"

}

backend.tf

terraform {
  backend "s3" {
    region = "<aft-main-region>"
    bucket = "<s3-bucket-name>"
    key    = "aft-setup.tfstate"
  }
}

在儲存 CodeCommit 庫建立期間，如果您將 Generate AFT Files 參數設定為 true，範本會使用 S3 儲存貯體搭配產生的內容作為main分支的來源，以自動填入儲存庫。

執行管道

建立資源並設定引導檔案後，管道就會執行。第一階段 （來源 ） 從儲存庫的主分支擷取原始程式碼，第二階段 （建置 ） 會執行 Terraform 計劃命令，並產生要檢閱的結果。在第三個階段 （核准 ） 中，管道會等待手動動作核准或拒絕最後一個階段 （部署 ）。在最後一個階段，管道會使用先前 Terraform apply命令的結果作為輸入，來執行 Terraform plan命令。最後，管理帳戶中的跨帳戶角色和許可會用來建立AFT管理帳戶中AFT的資源。

工具

AWS 服務

其他工具

程式碼儲存庫

此模式的程式碼可在 GitHub AFT引導管道儲存庫 中使用。

如需官方AFT儲存庫，請參閱 中的 AWS Control Tower Account Factory for Terraform GitHub。

最佳實務

當您AFT使用提供的 CloudFormation 範本進行部署時，建議您遵循最佳實務，以協助確保安全、高效且成功的實作。實作和操作 的重要準則和建議AFT包括以下內容。

史詩

故障診斷

相關資源

若要成功實作此模式，請檢閱下列資源。這些資源提供其他資訊和指引，這些資訊和指引對於AFT使用 設定和管理來說非常重要 AWS CloudFormation。

AWS 文件：

IAM 政策和最佳實務：

上的 Terraform AWS：

AWS 服務 配額：