Implementa AWS Control Tower Account Factory per Terraform (AFT)

Una regione principale per la zona di destinazione di AWS Control Tower. Per ulteriori informazioni, consulta How Regioni AWS work with AWS Control Tower.

Una zona di atterraggio di AWS Control Tower. Per ulteriori informazioni, consulta Pianificare la zona di atterraggio di AWS Control Tower.

Un account di gestione AFT, di cui puoi eseguire il provisioning in AWS Control Tower o con altri mezzi e registrarlo in AWS Control Tower.

Una versione e una distribuzione Terraform. Per ulteriori informazioni, consulta le versioni Terraform e AFT.

Un provider VCS per il monitoraggio e la gestione delle modifiche al codice e ad altri file. Per impostazione predefinita, AFT utilizza AWS CodeCommit. Per ulteriori informazioni, vedere Che cos'è AWS CodeCommit? nella Guida AWS CodeCommit per l'utente.

Se stai implementando AFT per la prima volta e non disponi di un CodeCommit repository esistente, devi scegliere un provider VCS esterno, ad esempio o. GitHub BitBucket Per ulteriori informazioni, consulta Alternative per il controllo della versione del codice sorgente in AFT.

Un ambiente di runtime in cui è possibile eseguire il modulo Terraform che installa AFT.

Opzioni delle funzionalità AFT. Per ulteriori informazioni, vedete Abilitare le opzioni delle funzionalità.

Opzionalmente, imposta la configurazione del cloud privato virtuale (VPC)

Il modulo AFT include un aft_enable_vpc parametro che specifica se AWS Control Tower effettua il provisioning delle risorse dell'account all'interno di un VPC nell'account di gestione AFT centrale. Per impostazione predefinita, il parametro è impostato su. true Se imposti questo parametro sufalse, AWS Control Tower distribuisce AFT senza l'uso di un VPC e di risorse di rete private, come NAT Gateway o endpoint VPC. La disabilitazione aft_enable_vpc può aiutare a ridurre il costo operativo di AFT per alcuni modelli di utilizzo. L'aggiunta di qualsiasi configurazione VPC sostituisce il parametro su cui si sta impostandoaft_enable_vpc. false

Invece di effettuare il provisioning di un nuovo VPC, puoi configurare AFT per utilizzare un VPC esistente nel tuo account. Per utilizzare il tuo VPC, fornisci i seguenti parametri di configurazione VPC:

Configurazione di esempio:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # VPC configuration
  aft_customer_vpc_id = "vpc-0123456789abcdef0"
  aft_customer_private_subnets = ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"]
  
  # Other AFT parameters...
}
            

Facoltativamente, configura il nome del progetto Terraform

È possibile personalizzare il nome del progetto Terraform utilizzato da AFT impostando il parametro. terraform_project_name Per impostazione predefinita, AFT inserisce la distribuzione nel progetto «predefinito» in HCP Terraform o Terraform Enterprise.

Configurazione di esempio:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Project name configuration
  terraform_project_name = "my-organization-aft"
  
  # Other AFT parameters...
}
            

Facoltativamente, applica tag personalizzati alle risorse AFT

È possibile applicare tag personalizzati a tutte le risorse AFT utilizzando il tags parametro. Questi tag aiutano l'organizzazione delle risorse, l'allocazione dei costi e il controllo degli accessi.

Configurazione di esempio:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Custom tags configuration
  tags = {
    Environment = "Production"
    CostCenter = "IT-12345"
    Project = "AFT-Deployment"
    Owner = "platform-team@example.com"
  }
  
  # Other AFT parameters...
}
            

Questi tag vengono applicati a tutte le risorse create dal modulo AFT. AFT aggiunge automaticamente un managed_by = "AFT" tag a tutte le risorse, che non può essere sovrascritto da tag personalizzati.

Facoltativamente, è possibile applicare una chiave di crittografia (CMK) AWS KMS gestita dal cliente ai gruppi di log e agli CloudWatch argomenti SNS

Per abilitare la crittografia KMS CMK per i gruppi di log e gli argomenti SNS, imposta le variabili and. cloudwatch_log_group_enable_cmk_encryption sns_topic_enable_cmk_encryption

Se attivi queste impostazioni, AFT utilizza il CMK esistente per crittografare i log e alias/aft gli argomenti CloudWatch SNS. Questo CMK viene creato quando AFT viene distribuito nell'account di gestione AFT e può essere applicato ai gruppi di log e agli argomenti SNS.

Facoltativamente, modifica il tipo di elaborazione CodeBuild

Durante la distribuzione, per modificare il tipo di calcolo utilizzato da AFT CodeBuild, imposta la variabile. aft_codebuild_compute_type

Per informazioni sui tipi di elaborazione accettati, vedere Informazioni sui tipi di ambiente on-demand. Il tipo di elaborazione predefinito è. BUILD_GENERAL1_MEDIUM

Facoltativamente, configura OpenID Connect (OIDC) per Terraform

I clienti che utilizzano Terraform Enterprise o HCP Terraform (ex Terraform Cloud) possono utilizzare i token di identità Workload di Terraform (o le credenziali dinamiche del provider), basati sul protocollo OIDC, per connettere e autenticare in modo sicuro gli spazi di lavoro con AFT.

È possibile true abilitare l'integrazione OIDC per gli spazi di lavoro AFT impostando il parametro su. terraform_oidc_integration Il valore del parametro è false per impostazione predefinita. Quando si abilita questo parametro, i terraform_oidc_hostname parametri terraform_oidc_aws_audience and devono essere rivisti e configurati se i valori predefiniti (aws.workload.identityeapp.terraform.io, rispettivamente) non corrispondono all'ambiente.

Configurazione di esempio:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Terraform distribution must be "tfc" or "tfe" for OIDC
  terraform_distribution = "tfc"

  # Terraform OIDC Configuration
  terraform_oidc_integration  = true
  terraform_oidc_aws_audience = "aws.workload.identity"  # default
  terraform_oidc_hostname     = "app.terraform.io"       # default; set to your TFE hostname if applicable
  
  # Other AFT parameters...
}