Schritt 2: Starte deine landing zone - AWS Control Tower

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Schritt 2: Starte deine landing zone

Die AWS Control Tower CreateLandingZone API erfordert eine Landingzone-Version und eine Landingzone-Manifestdatei als Eingabeparameter. Sie können die Manifestdatei für die landing zone von AWS Control Tower verwenden, um die folgenden Funktionen zu konfigurieren:

Nachdem Sie Ihre Manifestdatei kompiliert haben, können Sie eine neue landing zone erstellen.

Weitere Informationen zu den Inhalten der Manifestdatei finden Sie unter Anzeigen der Details Ihrer Landingzone-Manifestdatei.

Weitere Informationen zu Landezonenschemas, die für die Landingzone-Manifestdatei gelten, finden Sie unter Landingzone-Schemas.

Anmerkung

AWS Control Tower unterstützt die Option „Region Deny Control“ nicht, wenn sie APIs für die Konfiguration und den Start einer landing zone verwendet wird. Nachdem Sie Ihre landing zone erfolgreich gestartet haben APIs, können Sie mit der AWS Control Tower Tower-Konsole die Region Deny Control konfigurieren.

  1. Rufen Sie die AWS Control Tower CreateLandingZone API auf. Für diese API sind eine Landingzone-Version und eine Landingzone-Manifestdatei als Eingabe erforderlich. 

    aws controltower create-landing-zone --landing-zone-version 3.3 --manifest "file://LandingZoneManifest.json"

    Weitere Informationen zum Inhalt der Landingzone-Manifestdatei finden Sie unterSehen Sie sich die Details Ihrer landing zone Zone-Manifest-Datei an.

    Das folgende Beispiel zeigt ein LandingZoneManifest.json-Manifest, das Einstellungen für verwaltete Regionen und zentralisierte Protokollierung enthält: 

    {
   "governedRegions": ["us-west-2","us-west-1"],
   "organizationStructure": {
       "security": {
           "name": "CORE"
       },
       "sandbox": {
           "name": "Sandbox"
       }
   },
   "centralizedLogging": {
        "accountId": "222222222222",
        "configurations": {
            "loggingBucket": {
                "retentionDays": 60
            },
            "accessLoggingBucket": {
                "retentionDays": 60
            },
            "kmsKeyArn": "arn:aws:kms:us-west-1:123456789123:key/e84XXXXX-6bXX-49XX-9eXX-ecfXXXXXXXXX"
        },
        "enabled": true
   },
   "securityRoles": {
        "accountId": "333333333333"
   },
   "accessManagement": {
        "enabled": true
   }
}
    Anmerkung

    Wie im Beispiel gezeigt, müssen die SecurityRoles Konten AccountIdfür CentralizedLogging und unterschiedlich sein.

    Das folgende Beispiel zeigt eine LandingZoneManifestJSON-Manifestdatei, die Einstellungen für das Backup und die zentrale Protokollierung enthält: 

    {
        "landingZoneIdentifier": "LANDING ZONE ARN",
        "manifest": {
            "accessManagement": {
                "enabled": true
            },
            "securityRoles": {
                "accountId": "333333333333"
            },
            "backup": {
                "configurations": {
                    "centralBackup": {
                        "accountId": "CENTRAL BACKUP ACCOUNT ID"
                    },
                    "backupAdmin": {
                        "accountId": "BACKUP MANAGER ACCOUNT ID"
                    },
                    "kmsKeyArn": "arn:aws:kms:us-west-1:123456789123:key/e84XXXXX-6bXX-49XX-9eXX-ecfXXXXXXXXX"
                },
                "enabled": true
            },
            "governedRegions": [
                "us-west-1"
            ],
            "organizationStructure": {
                "sandbox": {
                    "name": "Sandbox"
                },
                "security": {
                    "name": "Security"
                }
            },
            "centralizedLogging": {
                "accountId": "222222222222",
                "configurations": {
                    "loggingBucket": {
                        "retentionDays": 365
                    },
                    "accessLoggingBucket": {
                        "retentionDays": 3650
                    }
                },
                "enabled": true
            }
        },
        "version": "3.3"
}

    Ausgabe: 

    {
   "arn": "arn:aws:controltower:us-west-2:123456789012:landingzone/1A2B3C4D5E6F7G8H",
   "operationIdentifier": "55XXXXXX-e2XX-41XX-a7XX-446XXXXXXXXX"
}

  2. Rufen Sie die GetLandingZoneOperation API auf, um den Status des CreateLandingZone Vorgangs zu überprüfen. Die GetLandingZoneOperation API gibt den Status SUCCEEDEDFAILED, oder zurückIN_PROGRESS. 

    aws controltower get-landing-zone-operation --operation-identifier "55XXXXXX-eXXX-4XXX-aXXX-44XXXXXXXXXX"

    Ausgabe: 

    {
    "operationDetails": {
        "operationType": "CREATE",
        "startTime": "Thu Nov 09 20:39:19 UTC 2023",
        "endTime": "Thu Nov 09 21:02:01 UTC 2023",
        "status": "SUCCEEDED"
    }
}

  3. Wenn der Status als zurückkehrtSUCCEEDED, können Sie die GetLandingZone API aufrufen, um die Konfiguration der landing zone zu überprüfen. 

    aws controltower get-landing-zone --landing-zone-identifier "arn:aws:controltower:us-west-2:123456789123:landingzone/1A2B3C4D5E6F7G8H"

    Ausgabe: 

    {
    "landingZone": {
        "arn": "arn:aws:controltower:us-west-2:123456789012:landingzone/1A2B3C4D5E6F7G8H",
        "driftStatus": {
            "status": "IN_SYNC"
        },
        "latestAvailableVersion": "3.3",
        "manifest": {
            "accessManagement": {
                "enabled": true
            },
            "securityRoles": {
                "accountId": "333333333333"
            },
            "governedRegions": [
                "us-west-1",
                "eu-west-3",
                "us-west-2"
            ],
            "organizationStructure": {
                "sandbox": {
                    "name": "Sandbox"
                },
                "security": {
                    "name": "Security"
                }
            },
            "centralizedLogging": {
                "accountId": "222222222222",
                "configurations": {
                    "loggingBucket": {
                        "retentionDays": 60
                    },
                    "kmsKeyArn": "arn:aws:kms:us-west-1:123456789123:key/e84XXXXX-6bXX-49XX-9eXX-ecfXXXXXXXXX",
                    "accessLoggingBucket": {
                        "retentionDays": 60
                    }
                },
                "enabled": true
            }
        },
        "status": "PROCESSING",
        "version": "3.3"
    }
}