Déployez AWS Control Tower Account Factory pour Terraform (AFT)

Une région d'origine pour la zone d'atterrissage de votre AWS Control Tower. Pour plus d'informations, consultez Régions AWS Comment utiliser AWS Control Tower.

Une zone d'atterrissage de la tour de contrôle AWS. Pour plus d'informations, consultez Planifier la zone d'atterrissage de votre AWS Control Tower.

Un compte de gestion AFT, que vous pouvez provisionner dans AWS Control Tower, ou provisionner par d'autres moyens et vous inscrire à AWS Control Tower.

Une version et une distribution de Terraform. Pour plus d'informations, consultez les versions Terraform et AFT.

Un fournisseur VCS pour le suivi et la gestion des modifications apportées au code et à d'autres fichiers. Par défaut, AFT utilise AWS CodeCommit. Pour plus d'informations, voir Qu'est-ce que c'est AWS CodeCommit ? dans le Guide de AWS CodeCommit l'utilisateur.

Si vous déployez AFT pour la première fois et que vous ne disposez pas d'un CodeCommit référentiel existant, vous devez choisir un fournisseur VCS externe, tel que GitHub ou BitBucket. Pour plus d'informations, voir Alternatives pour le contrôle de version du code source dans AFT.

Un environnement d'exécution dans lequel vous pouvez exécuter le module Terraform qui installe AFT.

Options de fonctionnalité AFT. Pour plus d'informations, consultez la section Activer les options des fonctionnalités.

Définissez éventuellement la configuration du cloud privé virtuel (VPC)

Le module AFT inclut un aft_enable_vpc paramètre qui spécifie si AWS Control Tower provisionne les ressources du compte au sein d'un VPC dans le compte de gestion AFT central. Par défaut, le paramètre est défini surtrue. Si vous définissez ce paramètre surfalse, AWS Control Tower déploie AFT sans utiliser de VPC ni de ressources réseau privées, telles que des passerelles NAT ou des points de terminaison VPC. La désactivation aft_enable_vpc peut contribuer à réduire les coûts d'exploitation de l'AFT pour certains modèles d'utilisation. L'ajout de configurations VPC remplace le aft_enable_vpc paramètre défini sur. false

Au lieu de provisionner un nouveau VPC, vous pouvez configurer AFT pour utiliser un VPC existant dans votre compte. Pour utiliser votre propre VPC, fournissez les paramètres de configuration VPC suivants :

Exemple de configuration :

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # VPC configuration
  aft_customer_vpc_id = "vpc-0123456789abcdef0"
  aft_customer_private_subnets = ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"]
  
  # Other AFT parameters...
}
            

Configurez éventuellement le nom du projet Terraform

Vous pouvez personnaliser le nom du projet Terraform utilisé par AFT en définissant le terraform_project_name paramètre. Par défaut, AFT place le déploiement dans le projet « par défaut » dans HCP Terraform ou Terraform Enterprise.

Exemple de configuration :

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Project name configuration
  terraform_project_name = "my-organization-aft"
  
  # Other AFT parameters...
}
            

Appliquez éventuellement des balises personnalisées aux ressources AFT

Vous pouvez appliquer des balises personnalisées à toutes les ressources AFT à l'aide du tags paramètre. Ces balises facilitent l'organisation des ressources, la répartition des coûts et le contrôle d'accès.

Exemple de configuration :

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Custom tags configuration
  tags = {
    Environment = "Production"
    CostCenter = "IT-12345"
    Project = "AFT-Deployment"
    Owner = "platform-team@example.com"
  }
  
  # Other AFT parameters...
}
            

Ces balises sont appliquées à toutes les ressources créées par le module AFT. AFT ajoute automatiquement une managed_by = "AFT" balise à toutes les ressources, qui ne peut pas être remplacée par des balises personnalisées.

Appliquez éventuellement une clé de chiffrement AWS KMS gérée par le client (CMK) aux groupes de CloudWatch journaux et aux rubriques SNS

Pour activer le chiffrement KMS CMK pour les groupes de journaux et les rubriques SNS, définissez les variables cloudwatch_log_group_enable_cmk_encryption etsns_topic_enable_cmk_encryption.

Si vous choisissez ces paramètres, AFT utilise la CMK existante pour chiffrer les alias/aft CloudWatch journaux et les sujets SNS. Ce CMK est créé lorsque l'AFT est déployé dans le compte de gestion AFT et peut être appliqué aux groupes de journaux et aux sujets SNS.

Modifiez éventuellement votre type de CodeBuild calcul

Pendant le déploiement, pour modifier le type de calcul utilisé par AFT CodeBuild, définissez la variableaft_codebuild_compute_type.

Pour plus d'informations sur les types de calcul acceptés, consultez À propos des types d'environnement à la demande. Le type de calcul par défaut estBUILD_GENERAL1_MEDIUM.

Configurez éventuellement OpenID Connect (OIDC) pour Terraform

Les clients utilisant Terraform Enterprise ou HCP Terraform (anciennement Terraform Cloud) peuvent utiliser les jetons d'identité Workload de Terraform (ou les informations d'identification dynamiques des fournisseurs), basés sur le protocole OIDC, pour connecter et authentifier en toute sécurité les espaces de travail avec AFT.

Vous pouvez activer l'intégration OIDC pour les espaces de travail AFT en définissant le terraform_oidc_integration paramètre sur. true Par défaut, ce paramètre est défini sur false. Lorsque vous activez ce paramètre, les terraform_oidc_hostname paramètres terraform_oidc_aws_audience et doivent être revus et configurés si les valeurs par défaut (aws.workload.identityetapp.terraform.io, respectivement) ne correspondent pas à votre environnement.

Exemple de configuration :

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Terraform distribution must be "tfc" or "tfe" for OIDC
  terraform_distribution = "tfc"

  # Terraform OIDC Configuration
  terraform_oidc_integration  = true
  terraform_oidc_aws_audience = "aws.workload.identity"  # default
  terraform_oidc_hostname     = "app.terraform.io"       # default; set to your TFE hostname if applicable
  
  # Other AFT parameters...
}