Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
landing zone bauen
AWS Transform führt Sie durch den Entwurf und die Implementierung einer AWS landing zone im Rahmen Ihres Migrationsprojekts. Eine landing zone ist eine AWS Umgebung mit mehreren Konten, die als Grundlage für Ihre Workloads dient. Sie legt organisatorische Grenzen, Kontrollmechanismen und Kontostrukturen fest, bevor Workloads eintreffen. AWS Transform analysiert Ihren Migrationsbestand und Ihre Geschäftsanforderungen. Auf der Grundlage dieser Analyse empfiehlt es eine Organisationseinheit (OU) und eine Kontostruktur, wendet empfohlene Service Control Policies (SCPs) an und generiert und implementiert die Infrastruktur als Code (IaC). Was in der Regel wochenlange manuelle Planung und Konfiguration in Anspruch nimmt, kann AWS Transform in einem einzigen Gespräch erledigen.
Der landing zone Agent automatisiert zwei Phasen:
-
Aufbau der Foundation — Richten Sie die Struktur der zentralen landing zone ein: AWS Control Tower, grundlegende Organisationseinheiten und Kernkonten.
-
Workload-Kontodesign — Entwerfen und erstellen Sie Workload-Organisationseinheiten und Konten auf der Grundlage Ihrer Migrationswellen, Geschäftsbereiche und Anforderungen an die Trennung der Umgebung.
AWS Transform unterstützt sowohl Greenfield-Umgebungen (keine bestehende landing zone) als auch Brownfield-Umgebungen (bestehende Organisationseinheiten und Konten wurden bereits bereitgestellt). In Brownfield-Szenarien erkennt AWS Transform Ihre bestehende Organisationsstruktur und empfiehlt nur die Änderungen, die erforderlich sind, um Lücken im Vergleich zu bewährten Verfahren zu schließen. AWS Sie müssen nicht bei Null anfangen oder eine manuelle Lückenanalyse durchführen.
AWS Transform unterstützt zwei Betriebsmodi, die auf Ihrer Connector-Konfiguration und Ihren Einstellungen basieren:
-
Vollständiger Bereitstellungsmodus — AWS Transform analysiert Ihr Unternehmen, generiert Empfehlungen, erstellt Infrastructure as Code (IaC) -Artefakte und stellt die Landingzone-Infrastruktur direkt in Ihrem AWS Unternehmen bereit.
-
IaC-only Modus — AWS Transform analysiert Ihre Organisation, generiert Empfehlungen und erstellt IaC-Artefakte, die Sie überprüfen und über Ihre eigene Pipeline bereitstellen können. Der Agent stellt die Infrastruktur nicht direkt bereit. Dieser Modus ist nützlich, wenn Sie über bestehende Deployment-Pipelines (wie AWS landing zone Accelerator, Terraform oder benutzerdefiniert CI/CD) verfügen oder Landingzone-Änderungen lieber über Ihren internen Change-Management-Prozess verwalten möchten. Weitere Informationen finden Sie unter Generieren Sie Landezone-IaC ohne Bereitstellung.
Connector-Setup
Bevor der Agent fortfahren kann, verbinden Sie ihn mit dem Verwaltungskonto oder dem Delegierten Administratorkonto Ihrer Organisation. Der Konnektortyp bestimmt Ihren Betriebsmodus, die verfügbaren Funktionen und die Berechtigungen, die Sie AWS Transform gewähren:
| Konnektortyp | Funktionen und Arbeitsablauf |
|---|---|
| Verwaltungskonto |
Bietet umfassende Bereitstellungsfunktionen. AWS Transform analysiert Ihr Unternehmen, generiert Empfehlungen, erstellt Infrastructure-as-Code-Artefakte und stellt die Landingzone-Infrastruktur direkt in Ihrem AWS Unternehmen bereit. Sie entscheiden, ob AWS Transform automatisch bereitgestellt wird oder nur IaC-Artefakte für Ihre Überprüfung generiert. Verwenden Sie diese Option, wenn AWS Transform die Landingzone-Infrastruktur direkt bereitstellen soll, oder wenn Sie IaC-Artefakte generieren und gleichzeitig die Option für die direkte Bereitstellung beibehalten möchten. Berechtigungen — Wenn Sie die Connector-Anfrage genehmigen, gewähren Sie AWS Transform Berechtigungen zur Bereitstellung und Verwaltung der Landingzone-Infrastruktur im Ziel AWS-Konto und in der Region. Gegebenenfalls sind die Berechtigungen auf Ressourcen beschränkt, die mit
|
| Delegiertes Administratorkonto (DA) |
Stellt IaC-only Modus bereit. AWS Transform analysiert Ihre Organisation, generiert Empfehlungen und erstellt Infrastructure-as-Code-Artefakte, die Sie herunterladen und über Ihre eigene Pipeline bereitstellen können. Eine direkte Bereitstellung ist mit DA-Anschlüssen nicht möglich, da AWS Control Tower aufgrund der technischen Einschränkung, dass delegierte Administratorkonten keine AWS Control Tower-Landezonen bereitstellen können. Verwenden Sie diese Option, wenn:
Wenn Sie die Möglichkeit der direkten Bereitstellung benötigen, können Sie Ihren Connector so neu konfigurieren, dass er auf das Verwaltungskonto abzielt. Berechtigungen — Im IaC-only Modus sind die Berechtigungen auf das Lesen und Beschreiben von Vorgängen in der AWS Organisation beschränkt, um Analysen und die Bewertung von Lücken zu unterstützen. |
Wenn Sie den Connector erstellen, geben Sie ein Ziel an. AWS-Region Dies ist die Region, in der der Control Tower aktiviert ist, und sie dient als Ihre Control Tower Tower-Heimatregion. Weitere Informationen zu Control Tower-Regionen finden Sie unter So AWS-Regionen arbeiten Sie mit AWS Control Tower.
Zu Beginn der Einrichtung der landing zone ruft AWS Transform Ihre Connector-Konfiguration ab und präsentiert die Konto-ID der AWS Organisationsverwaltung und die Zielregion zur Bestätigung. AWS Transform erkennt auch Ihren Konnektortyp und Betriebsmodus und informiert Sie darüber, ob Sie mit der vollständigen Bereitstellung oder IaC-only den Funktionen fortfahren. Weitere Informationen finden Sie unter AWS Konnektoren transformieren.
Wichtig
Abhängigkeit von der Region von IAM Identity Center — AWS Transform erfordert AWS IAM Identity Center. Ihre Connector-Region muss sowohl mit Ihrer AWS Control Tower Tower-Heimatregion als auch mit Ihrer IAM Identity Center-Region übereinstimmen. Wenn IAM Identity Center in Ihrer Organisation bereits konfiguriert ist und der Connector auf eine andere Region abzielt, schlägt die AWS Control Tower Tower-Initialisierung fehl. Weitere Informationen finden Sie unter Überlegungen für IAM Identity Center-Kunden im AWS Control Tower Tower-Benutzerhandbuch.
Anmerkung
Delegierte Admin-Konnektoren und Control Tower Tower-Initialisierung: Wenn Sie einen Connector für delegierte Administratorkonten verwenden, arbeitet AWS Transform im Modus. IaC-only Wenn Control Tower in Ihrer Organisation noch nicht initialisiert wurde, generiert AWS Transform IaC-Artefakte zur Initialisierung von Control Tower, die Sie überprüfen und über Ihre Pipeline bereitstellen können.
Einrichtung der Stiftung
Entdeckung und Planung der Stiftung
Zu Beginn der Foundation-Setup führt AWS Transform eine Untersuchung durch, um Ihren aktuellen Unternehmensstatus zu verstehen, und bestimmt den besten Ansatz für Ihre landing zone. Der Agent stellt Ihnen die folgenden wichtigen Fragen:
-
Hat Ihr Unternehmen den AWS Control Tower bereits im Einsatz? AWS Transform prüft, ob Control Tower in Ihrer Organisation initialisiert ist. Wenn der Control Tower bereits läuft, analysiert AWS Transform die bestehende Landezonenkonfiguration.
-
Welchen Grundlagenansatz möchten Sie verwenden? Wenn Control Tower noch nicht bereitgestellt ist, bietet AWS Transform Ihnen zwei Optionen:
-
Tower-based Kontrolllandezone: AWS Transform setzt den AWS Control Tower als Grundlage für deine landing zone ein. Dies bietet die umfassendste Steuerung mit verwalteten Kontrollen, verbindlichen Leitplanken und automatisierter OU- und Kontoverwaltung. Dies ist der empfohlene Ansatz für die meisten Organisationen.
-
Organizations-only landing zone: AWS Transform erstellt eine landing zone, in der nur AWS Organizations verwendet werden, ohne den Control Tower einzusetzen. Auf diese Weise erhalten Sie eine grundlegende Organisationsstruktur und Kontoorganisation, aber die verwalteten Kontrollen und automatisierten Leitplanken von Control Tower sind nicht enthalten. Wählen Sie diese Option, wenn Ihr Unternehmen spezielle Anforderungen hat, die den Einsatz von Control Tower verhindern.
-
Basierend auf Ihren Antworten passt AWS Transform den Workflow und die Empfehlungen für die Einrichtung der Foundation an den von Ihnen gewählten Ansatz an. Für Control Tower-based Landing Zones wird die gesamte Governance-Grundlage bereitgestellt. Bei Organizations-only Landing Zones konzentriert sich AWS Transform auf die Organisationsstruktur, die Kontoorganisation und die manuelle SCP-Konfiguration.
Einrichtung der Stiftung
In der Phase der Einrichtung des Fundaments wird mithilfe des AWS Control Tower die Infrastruktur der Kernlandezone eingerichtet. Der landing zone Agent erstellt die gesamte OU-Struktur des Fundaments. Ein Teil davon ist die AWS Control Tower-Baseline, die Control Tower automatisch in Ihrem Verwaltungskonto bereitstellt. AWS Transform fügt den Rest auf der Grundlage von AWS Best Practices hinzu. Sie können die Struktur vor der Erstellung anpassen.
Die folgende Tabelle zeigt die Fundamentstruktur und woher die einzelnen Komponenten stammen:
| Komponente | Typ | Quelle | Zweck |
|---|---|---|---|
| Root | Root | AWS Kontrollturm-Basislinie | Das übergeordnete Element der obersten Ebene, das alle OUs in Ihrer landing zone enthält. |
| Sicherheit | Organisationseinheit | AWS Kontrollturm-Basislinie | Zentralisierte Protokollierung und Überwachung von Audits. Die Isolierung dieser Dienste in speziellen Konten soll dazu beitragen, dass Ihr Audit-Trail von den Workload-Teams getrennt bleibt. |
| Audit | Account | AWS Kontrollturm-Basislinie | Read-only Zugriff auf alle Konten zur Überprüfung der Sicherheit und Einhaltung von Vorschriften |
| Log-Archiv | Account | AWS Kontrollturm-Basislinie | Zentralisierte, unveränderliche Protokollierung aller AWS API-Aktivitäten und Ressourcenänderungen in Ihrem Unternehmen. |
| Infrastruktur | Organisationseinheit | AWS Hinzufügung bewährter Verfahren | Übergeordnete Organisationseinheit für eine gemeinsam genutzte Infrastruktur, die Ihr gesamtes Unternehmen unterstützt. |
| Netzwerk | Organisationseinheit | AWS Ergänzung bewährter Verfahren | Gemeinsam genutzte Netzwerkinfrastruktur, einschließlich Transit Gateway, VPN und DNS. Die Zentralisierung dieser Dienste trägt dazu bei, Doppelarbeit zu vermeiden, und bietet Ihrem Netzwerkteam einen zentralen Ort, an dem die Konnektivität aller Konten verwaltet werden kann. |
| Gemeinsam genutzte Services | Organisationseinheit | AWS Ergänzung bewährter Verfahren | Allgemeine Dienste, die im gesamten Unternehmen verwendet werden, z. B. Identitäts-, Protokollierungs- und Überwachungslösungen, die mehrere Workload-Konten unterstützen. |
| Sandbox | Organisationseinheit | AWS Ergänzung bewährter Verfahren | Entwickler experimentieren mit Ausgabenlimits und eingeschränktem Zugriff, ohne Produktionsressourcen zu gefährden. |
| Sandbox | Account | AWS Hinzufügung bewährter Verfahren | Das Konto, das Entwickler zum Experimentieren verwenden. |
| Workloads | Organisationseinheit | AWS Hinzufügung bewährter Verfahren | Übergeordnete Organisationseinheit für Ihre Anwendungs-Workloads. Sie wurde leer erstellt. Workload-Organisationseinheiten und Konten, wie z. B. „Produktion“ und optional „Reguliert“, werden in der nächsten Phase auf der Grundlage Ihrer Migrationsanforderungen entworfen. Non-Production Weitere Informationen finden Sie unter Entwurf des Workload-Kontos. |
Zusätzlich zur Security OU und ihren Konten umfasst die AWS Control Tower Tower-Baseline die folgenden Governance-Ressourcen:
-
Obligatorische Kontrollen (Guardrails) — Präventive und detektive Kontrollen werden unternehmensweit angewendet, um grundlegende Governance-Richtlinien durchzusetzen. Diese können nicht deaktiviert werden.
-
IAM Identity Center-Verzeichnis — Ein cloudnatives Verzeichnis mit vorkonfigurierten Gruppen und Single Sign-On-Zugriff für Ihre landing zone Zone-Benutzer. Weitere Informationen finden Sie unter IAM Identity Center AWS .
Anmerkung
Die Sicherheits-OU mit den Konten Audit und Log Archive wird im Rahmen des AWS Control Tower Tower-Setups erstellt. Diese Konten können nach der Ersteinrichtung nicht umbenannt oder ersetzt werden. AWS Transform erstellt die Best-Practice-Ergänzungen separat, nachdem Sie die Struktur bestätigt haben.
Control Tower verwendet CloudFormation StackSets, um seine Basisressourcen konsistent für alle Konten und Regionen in Ihrem Unternehmen bereitzustellen und zu verwalten. Ändern oder löschen Sie keine von Control Tower verwalteten Ressourcen außerhalb der unterstützten Methoden. Dies kann dazu führen, dass Ihre landing zone in einen unbekannten Zustand übergeht.
In Brownfield-Szenarien vergleicht AWS Transform Ihr vorhandenes Fundament mit dieser Struktur und meldet nur die Lücken. Zum Beispiel: „Ihre Stiftung hat Sicherheits- und Infrastruktur-Organisationseinheiten, aber keine Sandbox-Organisationseinheit.“
Konvention für Konto-E-Mail-Adressen
AWS erfordert eine eindeutige E-Mail-Adresse für jedes Konto. Diese E-Mails erhalten wichtige Benachrichtigungen für das Konto. AWS Transform verwendet die Plus-Adressierung, um eindeutige Konto-E-Mails aus einem einzigen Postfach zu generieren.
Format: prefix+account-name@domain
Sie geben ein Präfix (zum Beispielaws-admin) und eine Domain (zum Beispielacme.com) an, und AWS Transform leitet alle Konto-E-Mails automatisch ab. Beispiel:
-
Konto prüfen:
aws-admin+audit@acme.com -
Konto protokollieren:
aws-admin+log-archive@acme.com -
Sandbox-Konto:
aws-admin+sandbox@acme.com
In Brownfield-Szenarien untersucht AWS Transform bestehende Konto-E-Mails, um auf die bereits verwendete Plus-Adressierungskonvention zu schließen, und bietet an, mit demselben Muster fortzufahren.
Service-Kontrollrichtlinien (Service Control Policies, SCPs)
SCPs sind Berechtigungsrichtlinien auf Organisationsebene, die die maximalen Berechtigungen für alle Konten in Ihrer Organisation festlegen. AWS Sie gewähren keinen Zugriff, sondern definieren Grenzen, die niemand im Konto überschreiten darf, nicht einmal Kontoadministratoren.
Im Rahmen der Installation des Control Tower werden automatisch Basisplanken angebracht. AWS Transform empfiehlt außerdem zusätzliche SCPs, die dazu beitragen sollen, die Position Ihres Unternehmens zu stärken. Diese basieren auf AWS bewährten Verfahren für eine möglichst lebensfähige landing zone.
SCPs können auf die Organisationseinheiten Infrastruktur, Sandbox und Workloads angewendet werden. Die Security OU wird vom Control Tower verwaltet und kann mit diesem Tool nicht von SCPs angegriffen werden.
Wichtig
Die Security OU ist eine grundlegende Organisationseinheit, die von Control Tower verwaltet wird. Sie können ihm keine Konten, SCPs oder Ressourcen über den landing zone Agent hinzufügen.
In Brownfield-Szenarien überprüft AWS Transform, welche SCPs bereits angewendet wurden, und empfiehlt nur solche, die Lücken schließen würden.
Anmerkung
Beschränkung delegierter Administratorkonten in Brownfield-Szenarien: Wenn Sie einen Connector für delegierte Administratorkonten in einer Brownfield-Umgebung verwenden, in der die AWS Control Tower-Landing landing zone bereits implementiert ist, kann AWS Transform bestehende SCPs, die von Control Tower verwaltet werden, nicht anzeigen oder ändern. Dies liegt daran, dass delegierte Administratorkonten nur begrenzte Berechtigungen für SCP-Operationen im Rahmen von Kontrollrichtlinien haben. Tower-managed Sie können weiterhin IaC-Artefakte für neue SCPs generieren, die Sie außerhalb des Verwaltungsbereichs von Control Tower anwenden möchten, aber bestehende Control Tower-SCPs bleiben unverändert. Wenn Sie Tower-managed Control-SCPs ändern müssen, konfigurieren Sie Ihren Connector neu, sodass er auf das Verwaltungskonto abzielt.
Bereitstellung von Foundation
Nachdem der Foundation-Entwurf abgeschlossen ist, entscheiden Sie, wie Sie Folgendes bereitstellen möchten:
-
Für mich bereitstellen — AWS Transform stellt die grundlegenden Organisationseinheiten, Konten und SCPs in Ihrem AWS Unternehmen bereit.
-
Ich führe die Bereitstellung selbst durch — AWS Transform generiert Infrastructure as Code (IaC) -Artefakte zum Herunterladen in Ihrem bevorzugten Format (siehe). IaC-Formate
-
Entwerfen Sie zuerst Workload-Konten — Überspringen Sie die Bereitstellung und fahren Sie mit der Entwurfsphase für Workload-Konten fort. Sie können später alles zusammen bereitstellen.
Control Tower Tower-Initialisierung
Wenn AWS Transform feststellt, dass AWS Control Tower in Ihrer Organisation noch nicht initialisiert ist, wird dem Benutzer ein Link zur AWS Transform-Konsolenseite angezeigt. Durch das Generieren der Operation im Link wird ein CloudFormation Stack erstellt, um den Control Tower in der CloudFormation Konsole für Ihre Zielregion zu booten. Nachdem der Stack erstellt wurde, setzt AWS Transform die Bereitstellung fort.
Entwurf des Workload-Kontos
In der Phase des Workload-Kontodesigns entwirft AWS Transform die Organisationseinheit und die Kontostruktur für Ihre Anwendungs-Workloads auf der Grundlage Ihres Migrationsinventars, Ihrer Geschäftsanforderungen und Ihrer Präferenzen zur Trennung der Umgebung.
Kontext der Migrationsplanung
AWS Transform ruft Daten aus Ihrer Migrationsplanungsphase ab, darunter Wellenpläne, Zuordnungen von Servern zu Anwendungen und gemeinsamen Kontexten. Wenn Daten zur Migrationsplanung verfügbar sind, zeigt AWS Transform eine Zusammenfassung an und fordert Sie auf, diese zu bestätigen oder anzupassen. Wenn keine Daten zur Migrationsplanung verfügbar sind, stellt AWS Transform direkt Ermittlungsfragen.
Erkennung
AWS Transform stellt Fragen, um Ihre Workload-Anforderungen zu verstehen. Sie können jede Frage überspringen. Zu den Themen gehören:
-
Anzahl der Geschäftsbereiche oder Teams, die AWS
-
Branche und alle anwendbaren Frameworks (HIPAA, SOC2 PCI-DSS, FedRAMP)
-
Ob Workloads sensible Daten verarbeiten (PII, PHI, Finanzdaten)
-
Präferenzen für die Trennung von Umgebungen (dev/test/staging/prod als separate Konten oder als gemeinsam genutzte Konten)
-
Anforderungen an die Isolierung von Arbeitslasten
-
Geschäftsanwendungen und ihre Zwecke
-
Gruppierung von Servern in Anwendungen
-
Anforderungen an Kostenverfolgung und -zuweisung (nach Geschäftseinheit, Projekt, Umgebung)
-
Erwartetes Wachstum in den nächsten 12 bis 24 Monaten
-
Präferenz für die Kontostrategie (einzelne App pro Konto, gruppiert oder umgebungsabhängig)
Vorgeschlagene Arbeitslaststruktur
Basierend auf Ihren Antworten und Daten zur Migrationsplanung schlägt AWS Transform eine Organisationseinheit und eine Kontostruktur im Rahmen der Workloads-Organisationseinheit vor. Der Vorschlag enthält die Gründe für jede Entwurfsentscheidung.
AWS Transform folgt diesen Gestaltungsprinzipien:
-
Alle Server in einer Migrationswelle werden demselben Konto zugewiesen — Wellen können nicht auf mehrere Konten aufgeteilt werden. Dies ist eine Rehost-Beschränkung während der Wave-Ausführung.
-
Wenn Sie isolierte Umgebungen anfordern, erstellt AWS Transform Workloads/Production Workloads/Non-Production Unter-OUs.
-
Wenn geeignete Frameworks identifiziert werden, erstellt AWS Transform Workloads/Regulated Workloads/Standard Unter-OUs.
-
Wenn mehrere Geschäftsbereiche unterschiedliche Governance erfordern, erstellt AWS Transform unter Workloads unternehmensbereichsspezifische Organisationseinheiten.
-
Anwendungen mit kritischen oder sensiblen Daten erhalten eine einzige App pro Konto. In diesem Fall werden Sie möglicherweise aufgefordert, Ihren Wave-Plan erneut zu bearbeiten.
-
Eng verbundene Anwendungen mit gemeinsamen Abhängigkeiten sind in einem Konto zusammengefasst.
Jedes vorgeschlagene Konto umfasst: Name, Zweck, Ziel-OU und Geschäftseinheit. AWS Transform zeigt die verwendete Benennungskonvention (z. B.<business-unit>-<environment>-<workload>).
Sie können die vorgeschlagene Struktur überprüfen und ändern, bevor AWS Transform die Änderungen anwendet. Nach der Anwendung können Sie iterieren und weitere Änderungen vornehmen, bis Sie zufrieden sind.
Workload-SCP-Konfiguration
Nachdem die Workload-Struktur erstellt wurde, präsentiert AWS Transform die verfügbaren SCPs und fragt Sie, ob Sie welche auf Ihre Workload-OU anwenden möchten. Sie wählen aus, welche SCPs und auf welche Organisationseinheiten angewendet werden sollen. AWS Transform wendet die SCPs an und zeigt den aktualisierten Organisationsbaum mit einer SCP-Übersichtstabelle an.
Bereitstellung von Workloads
Nachdem der Workload-Entwurf abgeschlossen ist, entscheiden Sie, wie Sie Folgendes bereitstellen möchten:
-
Für mich bereitstellen — AWS Transform stellt die Workload-OUs, Konten und SCPs für Ihr AWS Unternehmen bereit.
-
Ich führe die Bereitstellung selbst durch — AWS Transform generiert IaC-Artefakte zum Herunterladen in Ihrem bevorzugten Format (siehe). IaC-Formate
IaC-Formate
Wenn Sie Self-Deployment wählen, generiert AWS Transform Infrastructure-as-Code-Artefakte in den folgenden Formaten:
-
AWS Cloud Development Kit (AWS CDK)— TypeScript Projekt für die programmatische Infrastrukturbereitstellung.
-
HashiCorp Terraform — Generiert HCL-Vorlagen ( HashiCorp Configuration Language) für die Verwaltung von landing zone Zone-Ressourcen.
-
Landing Zone Accelerator (LZA) — YAML-Konfigurationsdateien, die auf der LZA Universal Configuration Version 1.1.0 basieren. Diese für Unternehmen geeigneten Vorlagen können zusammen mit dem Landing Zone Accelerator verwendet werden, um Umgebungen mit mehreren Konten einzurichten. AWS AWS Die generierten Dateien enthalten vorkonfigurierte Einstellungen für Verwaltung, Organisationsstruktur und Netzwerke. Diese Einstellungen entsprechen den AWS bewährten Methoden. Weitere Informationen finden Sie unter LZA Universal Configuration.
Anmerkung
Wenn Sie die Bereitstellung über die Landing Zone Accelerator (LZA) -Pipeline durchführen, müssen sich Ihr AWS Transform-Konto und Ihre LZA-Installation in derselben Organisation befinden. AWS Die Bereitstellung schlägt fehl, wenn die in AWS Transform und LZA verwendeten Organisations-IDs nicht übereinstimmen. Informationen zum Einrichten Ihrer LZA-Installation mithilfe von AWS Organizations finden Sie unter Organisationsbasierte Installation.
Nachdem Sie ein Format ausgewählt haben, generiert AWS Transform die Artefakte und stellt sie zum Herunterladen zur Verfügung.
Um sicherzustellen, dass die heruntergeladene Datei nicht beschädigt oder manipuliert wurde, generieren Sie eine Prüfsumme, laden Sie sie herunter und vergleichen Sie sie dann mit einem lokal generierten Hash mithilfe von:
openssl dgst -sha256 -binary <file.zip> | base64
Genehmigungsverfahren für die Bereitstellung
Anfragen zur Bereitstellung von Landezonen müssen vor der Ausführung ausdrücklich genehmigt werden. Wenn Sie eine Bereitstellungsanfrage einreichen, wird sie über die Registerkarte „Genehmigungen AWS umwandeln“ automatisch an autorisierte Genehmiger weitergeleitet.
Genehmigende Personen überprüfen CloudFormation Vorlagen und Landezonenkonfigurationen. Nur Benutzer mit der Administratorrolle in AWS Transform können Bereitstellungsanfragen genehmigen. Jede Einreichung löst einen neuen Überprüfungszyklus aus, und Bereitstellungen werden erst nach Erhalt der Bestätigung fortgesetzt.
Wenn ein Genehmiger Ihre Anfrage ablehnt, wenden Sie sich direkt an ihn, um die erforderlichen Änderungen zu besprechen. Das System verfolgt alle Genehmigungsentscheidungen zu Prüfungszwecken und führt den Verlauf der Bereitstellung.
Tag: Ressourcen für die landing zone
AWS Transform markiert automatisch alle generierten Ressourcen "CreatedBy": "AWSTransform" zusammen mit Definitions- und Ausführungs-IDs zur Nachverfolgung.
Automatische Tags
Alle Landingzone-Ressourcen erhalten die folgenden Tags:
-
CreatedBy— AWS-Transform -
ATWorkspace— Workspace-ID
Anmerkung
Wenn Ihre Migration Teil des AWS Migration Acceleration Program (MAP 2.0) ist, können Sie das erforderliche MAP-Tag hinzufügen. Der Schlüssel ist map-migrated und der Wert istmigMPE_ID, wobei MPE_ID Ihre MPE-ID ist. Das MAP-Tag wird während der Connector-Setup-Phase angefordert, und AWS Transform wendet diese Tags während der Bereitstellung der landing zone an.
Änderungen rückgängig machen
Nur Elemente, die nicht bereitgestellt wurden, können entfernt werden. Nachdem eine Organisationseinheit oder ein Konto bereitgestellt wurde, kann es nicht mehr über den landing zone Agent entfernt werden.
Beim Entfernen von Elementen kommt es auf die Reihenfolge an. Sie müssen die Kinder vor den Eltern entfernen:
-
Entfernen Sie zuerst Konten (per E-Mail).
-
Entfernen Sie SCPs aus OUs.
-
Untergeordnete Organisationseinheiten entfernen — Eine Organisationseinheit kann nicht entfernt werden, wenn sie noch Konten oder verschachtelte Organisationseinheiten hat.
Zugehörige Ressourcen
