Implementación del generador de cuentas para Terraform (AFT) de AWS Control Tower

Una región de origen para la zona de aterrizaje de AWS Control Tower. Para obtener más información, consulte How Regiones de AWS work with AWS Control Tower.

Una zona de aterrizaje de AWS Control Tower. Para obtener más información, consulte Plan your AWS Control Tower landing zone.

Una cuenta de administración de AFT, que puede aprovisionar en AWS Control Tower o aprovisionar por otros medios e inscribirla en AWS Control Tower.

Una versión y distribución de Terraform. Para obtener más información, consulte Terraform and AFT versions.

Un proveedor de VCS para rastrear y administrar cambios en el código y otros archivos. De forma predeterminada, AFT usa AWS CodeCommit. Para obtener más información, consulte ¿Qué es AWS CodeCommit? en la Guía AWS CodeCommit del usuario.

Si va a implementar AFT por primera vez y no tiene un CodeCommit repositorio existente, debe elegir un proveedor de VCS externo, como GitHub o BitBucket. Para obtener más información, consulte Alternatives for version control of source code in AFT.

Un entorno de tiempo de ejecución en el que pueda ejecutar el módulo Terraform que instala AFT.

Opciones de características de AFT. Para obtener más información, consulte Enable feature options.

De manera opcional, establezca la configuración de la nube privada virtual (VPC)

El módulo de AFT incluye un parámetro aft_enable_vpc que especifica si AWS Control Tower aprovisiona recursos de cuenta dentro de una VPC en la cuenta de administración de AFT central. De forma predeterminada, el parámetro está definido como true. Si establece este parámetro en false, AWS Control Tower implementa AFT sin utilizar una VPC ni recursos de red privados, como puertas de enlace NAT o puntos de conexión de VPC. La deshabilitación de aft_enable_vpc puede ayudar a reducir el costo operativo de AFT en algunos patrones de uso. Al agregar cualquier configuración de VPC se anula el parámetro aft_enable_vpc que se está configurando en false.

En lugar de aprovisionar una VPC nueva, puede configurar AFT para que use una VPC existente en su cuenta. Para usar su propia VPC, proporcione los siguientes parámetros de configuración de VPC:

Ejemplo de configuración:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # VPC configuration
  aft_customer_vpc_id = "vpc-0123456789abcdef0"
  aft_customer_private_subnets = ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"]
  
  # Other AFT parameters...
}
            

Si lo desea, configure el nombre del proyecto de Terraform

Puede personalizar el nombre del proyecto de Terraform utilizado por AFT configurando el parámetro terraform_project_name. De forma predeterminada, AFT coloca la implementación en el proyecto “predeterminado” en Terraform Cloud o Terraform Enterprise.

Ejemplo de configuración:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Project name configuration
  terraform_project_name = "my-organization-aft"
  
  # Other AFT parameters...
}
            

Opcionalmente, aplique etiquetas personalizadas a recursos de AFT

Puede aplicar etiquetas personalizadas a todos los recursos de AFT mediante el parámetro tags. Estas etiquetas ayudan a organizar recursos, asignar costos y controlar el acceso.

Ejemplo de configuración:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Custom tags configuration
  tags = {
    Environment = "Production"
    CostCenter = "IT-12345"
    Project = "AFT-Deployment"
    Owner = "platform-team@example.com"
  }
  
  # Other AFT parameters...
}
            

Estas etiquetas se aplican a todos los recursos creados por el módulo AFT. AFT agrega automáticamente una etiqueta managed_by = "AFT" a todos los recursos, que no puede ser anulada por etiquetas personalizadas.

Si lo desea, aplique una clave de cifrado AWS KMS administrada por el cliente (CMK) a los grupos de registros y a los temas de SNS CloudWatch

Para habilitar el cifrado CMK de KMS para grupos de registros y temas de SNS, defina las variables cloudwatch_log_group_enable_cmk_encryption y sns_topic_enable_cmk_encryption.

Si opta por esta configuración, AFT utilizará la CMK existente, alias/aft, para cifrar los registros y los temas de SNS. CloudWatch Esta CMK se crea cuando AFT se implementa en la cuenta de administración de AFT y se puede aplicar a grupos de registros y temas de SNS.

Si lo desea, cambie el tipo de cómputo CodeBuild

Durante la implementación, para cambiar el tipo de cómputo que utiliza AFT CodeBuild, defina la variableaft_codebuild_compute_type.

Para obtener información sobre los tipos de computación aceptados, consulte Acerca de los tipos de entornos bajo demanda. El tipo de computación predeterminado es BUILD_GENERAL1_MEDIUM.