Stellen Sie AWS Control Tower Account Factory für Terraform (AFT) bereit

Eine Heimatregion für Ihre AWS Control Tower-Landezone. Weitere Informationen finden Sie unter So AWS-Regionen arbeiten Sie mit dem AWS Control Tower.

Eine Landezone für den AWS Control Tower. Weitere Informationen finden Sie unter Planen Sie Ihre AWS Control Tower-Landezone.

Ein AFT-Verwaltungskonto, das Sie im AWS Control Tower bereitstellen oder auf andere Weise bereitstellen und sich bei AWS Control Tower registrieren können.

Eine Terraform-Version und -Distribution. Weitere Informationen finden Sie unter Terraform- und AFT-Versionen.

Ein VCS-Anbieter für die Verfolgung und Verwaltung von Änderungen an Code und anderen Dateien. Standardmäßig verwendet AWS CodeCommit AFT. Weitere Informationen finden Sie unter Was ist AWS CodeCommit? im AWS CodeCommit Benutzerhandbuch.

Wenn Sie AFT zum ersten Mal bereitstellen und kein vorhandenes CodeCommit Repository haben, müssen Sie einen externen VCS-Anbieter wie GitHub oder BitBucket auswählen. Weitere Informationen finden Sie unter Alternativen zur Versionskontrolle von Quellcode in AFT.

Eine Laufzeitumgebung, in der Sie das Terraform-Modul ausführen können, das AFT installiert.

AFT-Funktionsoptionen. Weitere Informationen finden Sie unter Funktionsoptionen aktivieren.

Legen Sie optional die Virtual Private Cloud (VPC) -Konfiguration fest

Das AFT-Modul enthält einen aft_enable_vpc Parameter, der angibt, ob AWS Control Tower Kontoressourcen innerhalb einer VPC im zentralen AFT-Verwaltungskonto bereitstellt. In der Standardeinstellung ist der Parameter auf true festgelegt. Wenn Sie diesen Parameter auf setzenfalse, stellt AWS Control Tower AFT ohne Verwendung einer VPC und privater Netzwerkressourcen wie NAT-Gateways oder VPC-Endpunkte bereit. Die Deaktivierung aft_enable_vpc kann bei einigen Nutzungsmustern dazu beitragen, die Betriebskosten von AFT zu senken. Durch das Hinzufügen von VPC-Konfigurationen wird der aft_enable_vpc Parameter, auf den gesetzt wurde, außer Kraft gesetzt. false

Anstatt eine neue VPC bereitzustellen, können Sie AFT so konfigurieren, dass eine vorhandene VPC in Ihrem Konto verwendet wird. Um Ihre eigene VPC zu verwenden, geben Sie die folgenden VPC-Konfigurationsparameter an:

Beispielkonfiguration:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # VPC configuration
  aft_customer_vpc_id = "vpc-0123456789abcdef0"
  aft_customer_private_subnets = ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"]
  
  # Other AFT parameters...
}
            

Konfigurieren Sie optional den Terraform-Projektnamen

Sie können den von AFT verwendeten Terraform-Projektnamen anpassen, indem Sie den Parameter festlegen. terraform_project_name Standardmäßig platziert AFT die Bereitstellung in das „Standard“ -Projekt in HCP Terraform oder Terraform Enterprise.

Beispielkonfiguration:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Project name configuration
  terraform_project_name = "my-organization-aft"
  
  # Other AFT parameters...
}
            

Wenden Sie optional benutzerdefinierte Tags auf AFT-Ressourcen an

Sie können benutzerdefinierte Tags auf alle AFT-Ressourcen anwenden, indem Sie den tags Parameter verwenden. Diese Tags helfen bei der Ressourcenorganisation, Kostenzuweisung und Zugriffskontrolle.

Beispielkonfiguration:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Custom tags configuration
  tags = {
    Environment = "Production"
    CostCenter = "IT-12345"
    Project = "AFT-Deployment"
    Owner = "platform-team@example.com"
  }
  
  # Other AFT parameters...
}
            

Diese Tags werden auf alle Ressourcen angewendet, die vom AFT-Modul erstellt wurden. AFT fügt allen Ressourcen automatisch ein managed_by = "AFT" Tag hinzu, das nicht durch benutzerdefinierte Tags überschrieben werden kann.

Wenden Sie optional einen AWS KMS vom Kunden verwalteten Verschlüsselungsschlüssel (CMK) auf CloudWatch Protokollgruppen und SNS-Themen an

Um die KMS-CMK-Verschlüsselung für Protokollgruppen und SNS-Themen zu aktivieren, legen Sie die Variablen und fest. cloudwatch_log_group_enable_cmk_encryption sns_topic_enable_cmk_encryption

Wenn Sie sich für diese Einstellungen entscheiden, verwendet AFT das vorhandene CMK alias/aft, um CloudWatch Protokolle und SNS-Themen zu verschlüsseln. Dieses CMK wird erstellt, wenn AFT im AFT-Verwaltungskonto bereitgestellt wird, und es kann auf Protokollgruppen und SNS-Themen angewendet werden.

Ändern Sie optional Ihren CodeBuild Berechnungstyp

Legen Sie während der Bereitstellung die Variable fest, um den Berechnungstyp zu ändern CodeBuild, für den AFT verwendetaft_codebuild_compute_type.

Informationen zu akzeptierten Berechnungstypen finden Sie unter Über On-Demand-Umgebungstypen. Der Standard-Berechnungstyp istBUILD_GENERAL1_MEDIUM.

Konfigurieren Sie optional OpenID Connect (OIDC) für Terraform

Kunden, die Terraform Enterprise oder HCP Terraform (ehemals Terraform Cloud) verwenden, können die Workload-Identitätstoken (oder dynamische Anbieteranmeldeinformationen) von Terraform verwenden, die auf dem OIDC-Protokoll basieren, um Arbeitsbereiche sicher mit AFT zu verbinden und zu authentifizieren.

Sie können die OIDC-Integration für AFT-Workspaces aktivieren, indem Sie den Parameter auf setzen. terraform_oidc_integration true Dieser Parameter ist standardmäßig auf false festgelegt. Wenn Sie diesen Parameter aktivieren, sollten die terraform_oidc_hostname Parameter terraform_oidc_aws_audience und überprüft und konfiguriert werdenapp.terraform.io, falls die Standardwerte (aws.workload.identitybzw.) nicht mit Ihrer Umgebung übereinstimmen.

Beispielkonfiguration:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Terraform distribution must be "tfc" or "tfe" for OIDC
  terraform_distribution = "tfc"

  # Terraform OIDC Configuration
  terraform_oidc_integration  = true
  terraform_oidc_aws_audience = "aws.workload.identity"  # default
  terraform_oidc_hostname     = "app.terraform.io"       # default; set to your TFE hostname if applicable
  
  # Other AFT parameters...
}