AWS Service Catalog 使用程式碼儲存庫在 中佈建 Terraform 產品

由 Dr. Rahul Sharad Gaikwad (AWS) 和 Tamilselvan P (AWS) 建立

Summary

AWS Service Catalog 支援自助式佈建，並控管 HashiCorp Terraform 組態。如果您使用 Terraform，則可以使用 Service Catalog 做為單一工具， AWS 在 內大規模組織、管理和分發 Terraform 組態。您可以存取 Service Catalog 金鑰功能，包括將標準化和預先核准的基礎設施編目為程式碼 (IaC) 範本、存取控制、具有最低權限存取的雲端資源佈建、版本控制、共用到數千個 AWS 帳戶和標記。例如工程師、資料庫管理員和資料科學家等最終使用者，會看到他們可存取的產品和版本清單，而且可以透過單一動作部署。

此模式可協助您使用 Terraform 程式碼部署 AWS 資源。儲存 GitHub 庫中的 Terraform 程式碼可透過 Service Catalog 存取。使用此方法，您可以將產品與現有的 Terraform 工作流程整合。管理員可以建立 Service Catalog 產品組合，並使用 Terraform 將 AWS Launch Wizard 產品新增至這些產品組合。

以下是此解決方案的優點：

如需 整體優勢的相關資訊 AWS Service Catalog，請參閱什麼是 Service Catalog。

先決條件和限制

先決條件

架構

該圖顯示以下工作流程：

工具

AWS 服務

其他服務

程式碼儲存庫

如果您需要可透過 Service Catalog 部署的 Terraform 組態範例，您可以使用 GitHub 使用 Terraform 儲存庫的Amazon Macie Organization Setup 中的組態。不需要在此儲存庫中使用程式碼範例。

最佳實務

史詩

相關資源

AWS 文件

Terraform 文件

其他資訊

存取政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/servicecatalog:provisioning": "true"
                }
            }
        },
        {
            "Action": [
                "s3:CreateBucket*",
                "s3:DeleteBucket*",
                "s3:Get*",
                "s3:List*",
                "s3:PutBucketTagging"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "resource-groups:CreateGroup",
                "resource-groups:ListGroupResources",
                "resource-groups:DeleteGroup",
                "resource-groups:Tag"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "tag:TagResources",
                "tag:UntagResources"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

信任政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GivePermissionsToServiceCatalog",
            "Effect": "Allow",
            "Principal": {
                "Service": "servicecatalog.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account_id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::accounti_id:role/TerraformEngine/TerraformExecutionRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogExternalParameterParserRole*",
                        "arn:aws:iam::accounti_id:role/TerraformEngine/ServiceCatalogTerraformOSParameterParserRole*"
                    ]
                }
            }
        }
    ]
}