Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Construye landing zone
AWS Transform lo guía a través del diseño y la implementación de una AWS landing zone como parte de su proyecto de migración. Una landing zone es un AWS entorno de varias cuentas que sirve de base para sus cargas de trabajo. Establece los límites organizacionales, los controles de gobierno y la estructura contable antes de que lleguen las cargas de trabajo. AWS Transform analiza el inventario de migración y los requisitos empresariales. Basándose en este análisis, recomienda una unidad organizativa (OU) y una estructura contable, aplica las políticas de control de servicios (SCP) recomendadas y genera e implementa la infraestructura como código (IaC). AWS Transform puede realizar lo que normalmente requiere semanas de planificación y configuración manuales en una sola conversación.
El agente de landing zone automatiza dos fases:
-
Configuración básica: establezca la estructura principal de la zona de aterrizaje: Torre de AWS Control, unidades organizativas fundamentales y cuentas principales.
-
Diseño de cuentas de carga de trabajo: diseñe y cree unidades organizativas y cuentas de carga de trabajo en función de sus oleadas de migración, unidades de negocio y requisitos de separación del entorno.
AWS Transform es compatible tanto con entornos totalmente nuevos (sin zona de aterrizaje existente) como con entornos abandonados (unidades organizativas y cuentas existentes ya desplegadas). En los escenarios abandonados, AWS Transform detecta la estructura organizativa existente y recomienda solo los cambios necesarios para subsanar las deficiencias en relación con las mejores prácticas. AWS No es necesario empezar desde cero ni realizar un análisis manual de las deficiencias.
AWS Transform admite dos modos de funcionamiento según la configuración y las preferencias del conector:
-
Modo de despliegue completo: AWS Transform analiza tu organización, genera recomendaciones, crea artefactos de Infrastructure as Code (IaC) e implementa la infraestructura de landing zone directamente en tu AWS organización.
-
IaC-only modo: AWS Transform analiza su organización, genera recomendaciones y produce artefactos de IaC para su revisión e implementación a través de su propio proceso. El agente no despliega la infraestructura directamente. Este modo resulta útil si tienes pipelines de despliegue existentes (como AWS Landing Zone Accelerator, Terraform o custom CI/CD) o prefieres gestionar los cambios en las zonas de aterrizaje a través de tu proceso interno de gestión de cambios. Para obtener más información, consulte Genere la zona de aterrizaje IaC sin despliegue.
Configuración del conector
Antes de que el agente pueda continuar, debe conectarlo a la cuenta de administración o a la cuenta de administrador delegado de su organización. El tipo de conector determina el modo de funcionamiento, las capacidades disponibles y los permisos que se conceden a AWS Transform:
| Tipo de conector | Capacidades y flujo de trabajo |
|---|---|
| Cuenta de administración |
Proporciona capacidades de despliegue completas. AWS Transform analiza tu organización, genera recomendaciones, crea artefactos de Infrastructure as Code e implementa la infraestructura de landing zone directamente en tu AWS organización. Tú eliges si AWS Transform se despliega automáticamente o solo genera artefactos de IaC para que los revises. Utilice esta opción cuando desee que AWS Transform aprovisione directamente la infraestructura de las zonas de landing zone o cuando desee generar artefactos de IaC sin perder la opción de despliegue directo. Permisos: cuando apruebas la solicitud de conector, concedes permisos a AWS Transform para aprovisionar y gestionar la infraestructura de las zonas de landing en el destino Cuenta de AWS y la región. Cuando proceda, los permisos están restringidos a los recursos etiquetados con
|
| Cuenta de administrador delegado (DA) |
Proporciona un IaC-only modo. AWS Transform analiza su organización, genera recomendaciones y produce artefactos de infraestructura como código que puede descargar e implementar a través de su propia cartera. El despliegue directo no está disponible con los conectores DA debido a la limitación técnica de la Torre de AWS Control de que las cuentas de administrador delegado no pueden aprovisionar las zonas de aterrizaje de la Torre de AWS Control. Use esta opción cuando:
Si necesita una capacidad de despliegue directo, puede volver a configurar el conector para que se dirija a la cuenta de administración. Permisos: en IaC-only este modo, los permisos se limitan a leer y describir las operaciones de la AWS organización para facilitar el análisis y la evaluación de las deficiencias. Para crear una cuenta de administrador delegado, siga las instrucciones para crear una cuenta de administrador delegado. |
Al crear el conector, se especifica un destino. Región de AWS Esta es la región en la que la Torre de Control está habilitada y sirve como región de origen de la Torre de Control. Para obtener más información sobre las regiones de la Torre de Control, consulta Cómo Regiones de AWS trabajar con la Torre AWS de Control.
Al inicio de la configuración de la zona de aterrizaje, AWS Transform recupera la configuración del conector y presenta el ID de la cuenta de administración de la AWS organización y la región de destino para su confirmación. AWS Transform también detecta el tipo de conector y el modo de funcionamiento, y le informa de si está procediendo con el despliegue completo o con todas IaC-only las funciones. Para obtener más información, consulte AWS Transforma los conectores.
importante
Dependencia regional del IAM Identity Center: AWS Transform requiere el AWS IAM Identity Center. La región del conector debe coincidir tanto con la región de origen AWS de la Torre de Control como con la región del Centro de Identidad de IAM. Si el IAM Identity Center ya está configurado en su organización y el conector se dirige a una región diferente, se produce un error en la inicialización de la Torre de AWS Control. Para obtener más información, consulte Consideraciones para los clientes de IAM Identity Center en la Guía del usuario de AWS Control Tower.
nota
Conectores de administración delegada e inicialización de la Torre de Control: si utiliza un conector de cuenta de administrador delegado, AWS Transform funciona en modo. IaC-only Si la Torre de Control aún no se ha inicializado en su organización, AWS Transform genera artefactos de IaC para inicializar la Torre de Control, que puede revisar e implementar a lo largo de su proceso.
Configuración básica
Descubrimiento y planificación de bases
Al principio de la configuración básica, AWS Transform realiza un descubrimiento para comprender el estado actual de tu organización y determina el mejor enfoque para tu landing zone. El agente le hace las siguientes preguntas clave:
-
¿Su organización ya tiene instalada la Torre de AWS Control? AWS Transform comprueba si la Torre de Control está inicializada en su organización. Si Control Tower ya está funcionando, AWS Transform analiza la configuración de landing zone existente.
-
¿Qué enfoque básico desea utilizar? Si la Torre de Control aún no está desplegada, AWS Transform le ofrece dos opciones:
-
Controla la zona de Tower-based aterrizaje: AWS Transform despliega la Torre de AWS Control como base para tu zona de aterrizaje. Esto proporciona la gobernanza más completa con controles gestionados, barreras obligatorias y administración automatizada de cuentas y unidades organizativas. Este es el enfoque recomendado para la mayoría de las organizaciones.
-
Organizations-only landing zone: AWS Transform crea una zona de aterrizaje utilizando únicamente AWS Organizations sin desplegar Control Tower. Esto le proporciona la estructura básica de la unidad organizativa y la organización de las cuentas, pero no incluye los controles gestionados ni las barandillas automatizadas de Control Tower. Elija esta opción si su organización tiene requisitos específicos que impiden el despliegue de la Torre de Control.
-
En función de sus respuestas, AWS Transform adapta el flujo de trabajo de configuración básica y las recomendaciones para que se adapten al enfoque elegido. En el caso de las zonas de Tower-based aterrizaje de Control, se despliega toda la base de la gobernanza. Para las zonas de Organizations-only aterrizaje, AWS Transform se centra en la estructura de las unidades organizativas, la organización de las cuentas y la configuración manual del SCP.
Configuración básica
La fase de configuración de los cimientos establece la infraestructura central de la zona de aterrizaje mediante la Torre AWS de Control. El agente de landing zone construye toda la estructura organizativa de la base. Parte de ello es la línea base AWS de Control Tower, que Control Tower aprovisiona automáticamente en su cuenta de administración. AWS Transform añade el resto en función de las AWS mejores prácticas. Puede personalizar la estructura antes de crearla.
La siguiente tabla muestra la estructura de cimentación y la procedencia de cada componente:
| Componente | Tipo | origen | Finalidad |
|---|---|---|---|
| Raíz | Raíz | AWS Base de referencia de la Torre de Control | El elemento principal de nivel superior que contiene todas las unidades organizativas de tu landing zone. |
| Seguridad | OU | AWS Base de referencia de la Torre de Control | Registro y monitoreo de auditorías centralizados. El aislamiento de estos servicios en cuentas dedicadas está diseñado para ayudar a mantener su registro de auditoría separado del de los equipos de carga de trabajo. |
| Auditoría | Cuenta | AWS Base de referencia de la Torre de Control | Read-only acceso a todas las cuentas para revisar la seguridad y el cumplimiento. |
| Archivo de registro | Cuenta | AWS Base de referencia de la Torre de Control | Registro centralizado e inmutable de todos los cambios en los recursos y la actividad de la AWS API en su organización. |
| Infraestructura | OU | AWS adición a las mejores prácticas | Unidad organizativa principal para una infraestructura compartida que da soporte a toda la organización. |
| Network | OU | AWS adición a las mejores prácticas | Infraestructura de red compartida, que incluye Transit Gateway, VPN y DNS. La centralización de estos servicios ayuda a reducir la duplicación y brinda a su equipo de red un único lugar para administrar la conectividad en todas las cuentas. |
| Servicios compartidos | OU | AWS adición a las mejores prácticas | Servicios comunes que se utilizan en toda la organización, como las soluciones de identidad, registro y supervisión que admiten varias cuentas de carga de trabajo. |
| Entorno de pruebas | OU | AWS adición a las mejores prácticas | Los desarrolladores experimentan con límites de gasto y acceso restringido, sin poner en riesgo los recursos de producción. |
| Entorno de pruebas | Cuenta | AWS adición a las mejores prácticas | La cuenta que utilizan los desarrolladores para experimentar. |
| Cargas de trabajo | OU | AWS adición de mejores prácticas | Unidad organizativa principal para las cargas de trabajo de sus aplicaciones. Se ha creado en blanco. Las unidades organizativas y cuentas de carga de trabajo, como las de producción y Non-Production, opcionalmente, las reguladas, se diseñan en la siguiente fase en función de sus requisitos de migración. Para obtener más información, consulte Diseño de cuentas de carga de trabajo. |
Además de la unidad organizativa de seguridad y sus cuentas, la base de AWS Control Tower incluye los siguientes recursos de gobierno:
-
Controles obligatorios (barreras): controles preventivos y de detección que se aplican en toda la organización para hacer cumplir las políticas de gobierno básicas. No se pueden deshabilitar.
-
Directorio de IAM Identity Center: un directorio nativo de la nube con grupos preconfigurados y acceso de inicio de sesión único para los usuarios de tu landing zone. Para obtener más información, consulte el Centro de identidades de IAM.AWS
nota
La unidad organizativa de seguridad con las cuentas de Audit y Log Archive se crea como parte de la configuración de la Torre de AWS Control. Estas cuentas no se pueden cambiar de nombre ni reemplazar después de la configuración inicial. AWS Transform crea las adiciones recomendadas por separado después de confirmar la estructura.
Control Tower utiliza CloudFormation StackSetspara implementar y administrar sus recursos básicos de manera uniforme en todas las cuentas y regiones de su organización. No modifique ni elimine los recursos gestionados por la Torre de Control que no sean los métodos admitidos. Si lo haces, puedes hacer que tu landing zone entre en un estado desconocido.
En los escenarios de zonas industriales AWS abandonadas, Transform compara la base existente con esta estructura e informa solo de las lagunas. Por ejemplo: «Su base tiene unidades organizativas de seguridad e infraestructura, pero no una unidad organizativa tipo sandbox».
Convención de correo electrónico de cuentas
AWS requiere una dirección de correo electrónico única para cada cuenta. Estos correos electrónicos reciben notificaciones importantes para la cuenta. AWS Transform utiliza el direccionamiento positivo para generar correos electrónicos de cuentas únicas desde un único buzón.
Formato: prefix+account-name@domain
Usted proporciona un prefijo (por ejemploaws-admin) y un dominio (por ejemplo,acme.com), y AWS Transform obtiene todos los correos electrónicos de la cuenta automáticamente. Por ejemplo:
-
Cuenta de auditoría:
aws-admin+audit@acme.com -
Cuenta de Log Archive:
aws-admin+log-archive@acme.com -
Cuenta Sandbox:
aws-admin+sandbox@acme.com
En situaciones de abandono industrial, AWS Transform inspecciona los correos electrónicos de las cuentas existentes para deducir la convención de direcciones adicionales que ya se utiliza y ofrece seguir con el mismo patrón.
Políticas de control de servicios (SCP)
Los SCP son barreras de protección de permisos a nivel de organización que establecen los permisos máximos para todas las cuentas de la organización. AWS No conceden acceso, sino que definen límites que nadie en la cuenta puede superar, ni siquiera los administradores de la cuenta.
Como parte del despliegue de la Torre de Control, las barandillas de referencia se colocan automáticamente. AWS Transform también recomienda SCP adicionales diseñados para ayudar a fortalecer la postura de su organización. Se basan en las AWS mejores prácticas para una landing zone mínima viable.
Los SCP se pueden aplicar a las unidades organizativas de infraestructura, entorno aislado y cargas de trabajo. La OU de seguridad está gestionada por la Torre de Control y los SCP no pueden atacarla mediante esta herramienta.
importante
La unidad organizativa de seguridad es una unidad organizativa básica gestionada por Control Tower. No puedes añadirle cuentas, SCP ni ningún recurso a través del agente de landing zone.
En escenarios abandonados, AWS Transform comprueba qué SCP ya se han aplicado y solo recomienda aquellos que puedan cubrir los vacíos.
nota
Limitación de cuentas de administrador delegado en escenarios abandonados: cuando se utiliza un conector de cuentas de administrador delegado en un entorno industrial abandonado en el que la zona de AWS aterrizaje de la Torre de Control ya está implementada, AWS Transform no puede ver ni modificar los SCP existentes administrados por Control Tower. Esto se debe a que las cuentas de administrador delegado tienen permisos limitados para las operaciones de SCP en el marco de las políticas de Control. Tower-managed Aún puedes generar artefactos de IaC para los nuevos SCP que desees aplicar fuera del ámbito de gestión de la Torre de Control, pero los SCP de la Torre de Control existentes permanecerán inalterados. Si necesita modificar los Tower-managed SCP de control, vuelva a configurar el conector para que se dirija a la cuenta de administración.
Despliegue básico
Una vez finalizado el diseño básico, usted elige cómo implementarlo:
-
Implemente por mí: AWS Transform implementa las unidades organizativas, las cuentas y los SCP básicos en su AWS organización.
-
Lo implementaré por mi cuenta: AWS Transform genera artefactos de infraestructura como código (IaC) para descargarlos en el formato que prefiera (consulte). Formatos iAc
-
Diseñe primero las cuentas de carga de trabajo: omita la implementación y continúe con la fase de diseño de la cuenta de carga de trabajo. Puede implementar todo junto más adelante.
Inicialización de Control Tower
Si AWS Transform detecta que AWS Control Tower aún no se ha inicializado en su organización, proporciona al usuario un enlace a la página de la consola de AWS Transform. Al generar la operación en el enlace, se crea una CloudFormation pila para iniciar Control Tower en la CloudFormation consola de la región de destino. Una vez creada la pila, AWS Transform continúa con el despliegue.
Diseño de cuentas de carga de trabajo
En la fase de diseño de la cuenta de carga de trabajo, AWS Transform diseña la unidad organizativa y la estructura contable para las cargas de trabajo de las aplicaciones en función del inventario de migración, los requisitos empresariales y las preferencias de separación del entorno.
Contexto de planificación de la migración
AWS Transform recupera los datos de la fase de planificación de la migración, incluidos los planes de oleada, las asignaciones del servidor a la aplicación y el contexto compartido. Si hay datos de planificación de la migración disponibles, AWS Transform muestra un resumen y le pide que lo confirme o lo ajuste. Si no hay datos de planificación de la migración disponibles, AWS Transform formula directamente las preguntas de detección.
Discovery
AWS Transform formula preguntas para comprender sus requisitos de carga de trabajo. Puede omitir cualquier pregunta. Los temas incluyen:
-
Número de unidades de negocio o equipos que utilizan AWS
-
Industria y cualquier marco aplicable (HIPAA, SOC2 PCI-DSS, FedRAMP)
-
Si las cargas de trabajo gestionan datos confidenciales (PII, PHI, financieros)
-
Preferencias de separación de entornos (dev/testo staging/prod como cuentas separadas o compartidas)
-
Requisitos de aislamiento de cargas de trabajo
-
Aplicaciones empresariales y sus finalidades
-
Agrupación de servidores en aplicaciones
-
Necesidades de seguimiento y asignación de costos (por unidad de negocio, proyecto o entorno)
-
Crecimiento esperado en los próximos 12 a 24 meses
-
Preferencia de estrategia de cuenta (aplicación única por cuenta, agrupada o basada en el entorno)
Estructura de carga de trabajo propuesta
Basándose en sus respuestas y en los datos de planificación de la migración, AWS Transform propone una unidad organizativa y una estructura de cuentas en el marco de la unidad organizativa Workloads. La propuesta incluye el razonamiento en el que se basa cada decisión de diseño.
AWS Transform sigue estos principios de diseño:
-
Todos los servidores de una oleada de migración van a la misma cuenta; las oleadas no se pueden dividir entre cuentas. Esta es una limitación de rehospedaje durante la ejecución de una oleada.
-
Si solicita entornos aislados, AWS Transform crea una Workloads/Non-Production subunidad Workloads/Production organizativa.
-
Si se identifican los marcos aplicables, AWS Transform crea una Workloads/Regulated Workloads/Standard sub-OUS.
-
Si varias unidades de negocio requieren una gobernanza diferente, AWS Transform crea unidades organizativas específicas para cada unidad de negocio en el marco de Workloads.
-
Las aplicaciones de datos críticos o confidenciales tienen una sola aplicación por cuenta. En este caso, es posible que se te pida que modifiques tu plan de oleaje.
-
Las aplicaciones estrechamente acopladas con dependencias compartidas se agrupan en una sola cuenta.
Cada cuenta propuesta incluye: nombre, finalidad, unidad organizativa objetivo y unidad de negocio. AWS Transform muestra la convención de nomenclatura que se utiliza (por ejemplo,<business-unit>-<environment>-<workload>).
Puede revisar y modificar la estructura propuesta antes de que AWS Transform aplique los cambios. Una vez realizada la solicitud, puede realizar iteraciones y realizar cambios adicionales hasta que quede satisfecho.
Configuración de SCP de carga de trabajo
Una vez creada la estructura de la carga de trabajo, AWS Transform presenta los SCP disponibles y le pregunta si desea aplicar alguno a las unidades organizativas de la carga de trabajo. Usted selecciona qué SCP se van a aplicar y a qué OU. AWS Transform aplica los SCP y muestra el árbol organizativo actualizado con una tabla de resumen de los SCP.
Despliegue de carga
Una vez finalizado el diseño de la carga de trabajo, usted elige cómo implementarla:
-
Implemente por mí: AWS Transform implementa las unidades organizativas, las cuentas y los SCP de la carga de trabajo en su AWS organización.
-
Lo implementaré yo mismo: AWS Transform genera artefactos de IaC para descargarlos en el formato que prefiera (consulte). Formatos iAc
Formatos iAc
Si elige la implementación automática, AWS Transform genera artefactos de infraestructura como código en los siguientes formatos:
-
Kit de desarrollo de la nube de AWS (AWS CDK)— TypeScript proyecto para el despliegue de una infraestructura programática.
-
HashiCorp Terraform: genera plantillas de lenguaje HashiCorp de configuración (HCL) para administrar los recursos de las zonas de landing zone.
-
Landing Zone Accelerator (LZA): archivos YAML de configuración basados en la versión 1.1.0 de LZA Universal Configuration. Estas plantillas aptas para empresas funcionan con el Landing Zone Accelerator para establecer entornos con varias cuentas. AWS AWS Los archivos generados incluyen ajustes preconfigurados para la gobernanza, la estructura de la organización y las redes. Estos ajustes se ajustan a las prácticas AWS recomendadas. Para obtener más información, consulte Configuración universal de LZA.
nota
Al realizar la implementación mediante la canalización de Landing Zone Accelerator (LZA), la cuenta de AWS Transform y la instalación de LZA deben estar en la misma organización. AWS La implementación falla si los ID de Organizations utilizados en AWS Transform y LZA no coinciden. Para obtener información sobre cómo configurar la instalación de LZA mediante Organizations, consulte Instalación basada en AWS organizaciones.
Tras seleccionar un formato, AWS Transform genera los artefactos y los pone a disposición para su descarga.
Para comprobar que el archivo descargado no está dañado o manipulado, genera y descarga una suma de comprobación y, a continuación, compárala con un hash generado localmente mediante:
openssl dgst -sha256 -binary <file.zip> | base64
Proceso de aprobación de despliegues
Las solicitudes de despliegue en la zona de aterrizaje requieren una aprobación explícita antes de su ejecución. Cuando envías una solicitud de despliegue, se envía automáticamente a los aprobadores autorizados a través de la pestaña AWS Transformar aprobaciones.
Los aprobadores revisan CloudFormation las plantillas y las configuraciones de las zonas de landing zone. Solo los usuarios con el rol de administrador en AWS Transform pueden aprobar las solicitudes de despliegue. Cada envío desencadena un nuevo ciclo de revisión y las implementaciones solo se llevan a cabo después de recibir la confirmación.
Si un responsable de la aprobación deniega tu solicitud, ponte en contacto con él directamente para hablar de las modificaciones necesarias. El sistema realiza un seguimiento de todas las decisiones de aprobación con fines de auditoría y mantiene el historial de implementación.
Etiqueta: landing zone resources
AWS Transform etiqueta automáticamente todos los recursos generados "CreatedBy": "AWSTransform" junto con los identificadores de definición y ejecución para fines de seguimiento.
Etiquetas automáticas
Todos los recursos de la zona de landing zone reciben las siguientes etiquetas:
-
CreatedBy— AWS Transform -
ATWorkspace— Identificador del espacio de trabajo
nota
Si su migración forma parte del AWS Migration Acceleration Program (MAP 2.0), puede incluir la etiqueta MAP requerida. La clave es map-migrated y el valor esmigMPE_ID, donde MPE_ID es su identificador MPE. La etiqueta MAP se solicita durante la fase de configuración del conector y AWS Transform aplica estas etiquetas durante el despliegue de la zona de landing zone.
Revertir los cambios
Solo se pueden eliminar los elementos no desplegados. Una vez desplegada una OU o una cuenta, no se puede eliminar a través del agente de landing zone.
A la hora de eliminar elementos, el orden importa: hay que eliminar a los niños antes que a los padres:
-
Elimine primero las cuentas (por correo electrónico).
-
Elimine los SCP de las unidades organizativas.
-
Eliminar unidades organizativas secundarias: no se puede eliminar una unidad organizativa si todavía tiene cuentas o unidades organizativas anidadas.
Recursos relacionados
