Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Costruisci una landing zone
AWS Transform ti guida nella progettazione e implementazione di una AWS landing zone come parte del tuo progetto di migrazione. Una landing zone è un AWS ambiente multi-account che funge da base per i carichi di lavoro. Definisce i confini organizzativi, i controlli di governance e la struttura degli account prima che arrivino i carichi di lavoro. AWS Transform analizza l'inventario delle migrazioni e i requisiti aziendali. Sulla base di questa analisi, consiglia un'unità organizzativa (OU) e una struttura di account, applica le politiche di controllo dei servizi (SCP) consigliate e genera e distribuisce l'infrastruttura come codice (IaC). Ciò che in genere richiede settimane di pianificazione e configurazione manuali, AWS Transform può essere completato in un'unica conversazione.
L'agente di landing zone automatizza due fasi:
-
Configurazione della base: stabilisci la struttura principale della landing zone: AWS Control Tower, unità organizzative di base e account principali.
-
Progettazione degli account per i carichi di lavoro: progetta e crea unità organizzative e account per i carichi di lavoro in base alle ondate di migrazione, alle unità aziendali e ai requisiti di separazione degli ambienti.
AWS Transform supporta sia ambienti greenfield (nessuna landing zone esistente) che ambienti brownfield (unità organizzative esistenti e account già distribuiti). Negli scenari dismessi, AWS Transform rileva la struttura organizzativa esistente e consiglia solo le modifiche necessarie per colmare le lacune rispetto alle best practice. AWS Non è necessario iniziare da zero o eseguire un'analisi manuale delle lacune.
AWS Transform supporta due modalità operative in base alla configurazione e alle preferenze del connettore:
-
Modalità di implementazione completa: AWS Transform analizza la tua organizzazione, genera consigli, crea artefatti Infrastructure as Code (IaC) e distribuisce l'infrastruttura delle landing zone direttamente nella tua organizzazione. AWS
-
IaC-only modalità: AWS Transform analizza l'organizzazione, genera consigli e produce artefatti IaC da esaminare e implementare attraverso la propria pipeline. L'agente non implementa direttamente l'infrastruttura. Questa modalità è utile se disponi di pipeline di distribuzione esistenti (come AWS Landing Zone Accelerator, Terraform o custom CI/CD) o preferisci gestire le modifiche alla landing zone tramite il processo interno di gestione delle modifiche. Per ulteriori informazioni, consulta Genera IaC per la landing zone senza dispiegamento.
Configurazione del connettore
Prima che l'agente possa procedere, lo colleghi all'account di gestione o all'account Amministratore delegato dell'organizzazione. Il tipo di connettore determina la modalità operativa, le funzionalità disponibili e le autorizzazioni concesse a AWS Transform:
| Tipo di connettore | Funzionalità e flusso di lavoro |
|---|---|
| Account di gestione |
Fornisce funzionalità di implementazione complete. AWS Transform analizza la tua organizzazione, genera consigli, crea Infrastructure as Code artefact e implementa l'infrastruttura delle landing zone direttamente nella tua organizzazione. AWS Puoi scegliere se AWS Transform si distribuisce automaticamente o genera solo artefatti IAc da esaminare. Usa questa opzione quando desideri che AWS Transform effettui il provisioning diretto dell'infrastruttura delle landing zone o quando desideri generare artefatti IaC mantenendo l'opzione per l'implementazione diretta. Autorizzazioni: quando approvi la richiesta del connettore, concedi a AWS Transform le autorizzazioni per il provisioning e la gestione dell'infrastruttura delle landing zone nella destinazione Account AWS e nella regione. Ove applicabile, le autorizzazioni sono limitate alle risorse contrassegnate con e.
|
| Account amministratore delegato (DA) |
Fornisce la IaC-only modalità. AWS Transform analizza l'organizzazione, genera raccomandazioni e produce elementi di Infrastructure as Code che puoi scaricare e implementare tramite la tua pipeline. L'implementazione diretta non è disponibile con i connettori DA a causa della limitazione tecnica di AWS Control Tower secondo cui gli account Delegated Admin non possono effettuare il provisioning AWS delle zone di atterraggio della Control Tower. Utilizzate questa opzione quando:
Se è necessaria la funzionalità di distribuzione diretta, è possibile riconfigurare il connettore in modo che abbia come destinazione l'account di gestione. Autorizzazioni: in IaC-only modalità, le autorizzazioni sono limitate alla lettura e alla descrizione delle operazioni sull' AWS organizzazione a supporto dell'analisi e della valutazione delle lacune. Per creare un account amministratore delegato, segui le istruzioni per creare un amministratore delegato. |
Quando crei il connettore, specifichi una destinazione. Regione AWS Questa è la regione in cui è abilitata la Control Tower e funge da regione principale della Control Tower. Per ulteriori informazioni sulle regioni Control Tower, consulta How Regioni AWS work with AWS Control Tower.
All'inizio della configurazione della landing zone, AWS Transform recupera la configurazione del connettore e presenta l'ID dell'account di gestione dell' AWS organizzazione e la regione di destinazione per la conferma. AWS Transform rileva anche il tipo di connettore e la modalità operativa, informando l'utente se si sta procedendo con l'implementazione completa o con le funzionalità. IaC-only Per ulteriori informazioni, consulta AWS Trasforma i connettori.
Importante
Dipendenza dalla regione di IAM Identity Center: AWS Transform richiede AWS IAM Identity Center. La regione del connettore deve corrispondere sia alla regione di origine AWS del Control Tower che alla regione dell'IAM Identity Center. Se IAM Identity Center è già configurato nell'organizzazione e il connettore si rivolge a una regione diversa, l'inizializzazione AWS del Control Tower non riesce. Per ulteriori informazioni, consulta Considerazioni per i clienti di IAM Identity Center nella AWS Control Tower User Guide.
Nota
Connettori Delegated Admin e inizializzazione Control Tower: se si utilizza un connettore di account Delegated Administrator, AWS Transform funziona in modalità. IaC-only Se Control Tower non è ancora stato inizializzato nell'organizzazione, AWS Transform genera artefatti IaC per inizializzare Control Tower, che possono essere esaminati e distribuiti attraverso la pipeline.
Configurazione Foundation
Scoperta e pianificazione delle fondamenta
All'inizio della configurazione della base, AWS Transform esegue il rilevamento per comprendere lo stato attuale dell'organizzazione e determina l'approccio migliore per la landing zone. L'agente ti pone le seguenti domande chiave:
-
La tua organizzazione ha già installato AWS Control Tower? AWS Transform verifica se Control Tower è inizializzato nell'organizzazione. Se Control Tower è già in esecuzione, AWS Transform analizza la configurazione della landing zone esistente.
-
Quale approccio di base vuoi usare? Se Control Tower non è ancora stato implementato, AWS Transform offre due opzioni:
-
Controlla la zona di Tower-based atterraggio: AWS Transform utilizza la AWS Control Tower come base per la tua landing zone. Ciò fornisce la governance più completa con controlli gestiti, barriere obbligatorie e gestione automatizzata delle unità organizzative e degli account. Questo è l'approccio consigliato per la maggior parte delle organizzazioni.
-
Organizations-only landing zone: AWS Transform crea una landing zone utilizzando solo AWS Organizations senza implementare Control Tower. Ciò fornisce la struttura delle unità organizzative di base e l'organizzazione degli account, ma non include i controlli gestiti e i guardrail automatici di Control Tower. Scegli questa opzione se la tua organizzazione ha requisiti specifici che impediscono l'implementazione di Control Tower.
-
In base alle vostre risposte, AWS Transform personalizza il flusso di lavoro di configurazione di base e i consigli in base all'approccio scelto. Per le zone di Tower-based atterraggio Control, viene implementata la base di governance completa. Per le zone di Organizations-only atterraggio, AWS Transform si concentra sulla struttura delle unità organizzative, sull'organizzazione degli account e sulla configurazione manuale SCP.
Configurazione Foundation
La fase di configurazione delle fondamenta stabilisce l'infrastruttura principale delle landing zone utilizzando AWS Control Tower. L'agente della landing zone costruisce l'intera struttura dell'unità organizzativa di base. In parte è costituita dalla AWS Control Tower baseline, che Control Tower fornisce automaticamente nel tuo account di gestione. AWS Transform aggiunge il resto in base alle AWS best practice. È possibile personalizzare la struttura prima della creazione.
La tabella seguente mostra la struttura di base e la provenienza di ogni componente:
| Componente | Tipo | Origine | Scopo |
|---|---|---|---|
| Root | Root | AWS Linea di base della Control Tower | Il genitore di primo livello che contiene tutte le unità organizzative presenti nella landing zone. |
| Sicurezza | OU | AWS Linea di base della Control Tower | Registrazione e monitoraggio centralizzati degli audit. L'isolamento di questi servizi in account dedicati è progettato per aiutare a mantenere l'audit trail separato dai team addetti al carico di lavoro. |
| Audit | Account | AWS Linea di base della Control Tower | Read-only accesso a tutti gli account per la verifica della sicurezza e della conformità. |
| Archivio dei log | Account | AWS Linea di base della Control Tower | Registrazione centralizzata e immutabile per tutte le attività delle AWS API e le modifiche alle risorse all'interno dell'organizzazione. |
| Infrastruttura | OU | AWS aggiunta alle migliori pratiche | Unità organizzativa principale per un'infrastruttura condivisa che supporta l'intera organizzazione. |
| Rete | OU | AWS aggiunta alle migliori pratiche | Infrastruttura di rete condivisa, tra cui Transit Gateway, VPN e DNS. La centralizzazione di questi servizi aiuta a ridurre la duplicazione e offre al team di rete un unico posto per gestire la connettività tra tutti gli account. |
| Servizi condivisi | OU | AWS aggiunta alle migliori pratiche | Servizi comuni utilizzati in tutta l'organizzazione, come soluzioni di identità, registrazione e monitoraggio che supportano più account di carico di lavoro. |
| Sandbox | OU | AWS aggiunta alle migliori pratiche | Sperimentazione degli sviluppatori con limiti di spesa e accesso limitato, senza mettere a rischio le risorse di produzione. |
| Sandbox | Account | AWS aggiunta alle migliori pratiche | Gli account utilizzati dagli sviluppatori per la sperimentazione. |
| Carichi di lavoro | OU | AWS aggiunta alle migliori pratiche | Parent OU per i carichi di lavoro delle tue applicazioni. È stata creata vuota. Le unità organizzative e gli account per i carichi di lavoro Non-Production, ad esempio Production e, facoltativamente, Regulated, vengono progettati nella fase successiva in base ai requisiti di migrazione. Per ulteriori informazioni, consulta Progettazione dell'account Workload. |
Oltre alla Security OU e ai relativi account, la baseline di AWS Control Tower include le seguenti risorse di governance:
-
Controlli obbligatori (guardrail): controlli preventivi e investigativi applicati in tutta l'organizzazione per applicare le politiche di governance di base. Questi non possono essere disabilitati.
-
Directory IAM Identity Center: una directory nativa del cloud con gruppi preconfigurati e accesso Single Sign-On per gli utenti delle landing zone. Per ulteriori informazioni, consulta IAM Identity Center.AWS
Nota
L'unità organizzativa di sicurezza con gli account Audit e Log Archive viene creata come parte della configurazione AWS Control Tower. Questi account non possono essere rinominati o sostituiti dopo la configurazione iniziale. AWS Transform crea separatamente le aggiunte relative alle best practice dopo aver confermato la struttura.
Control Tower utilizza CloudFormation StackSetsper distribuire e gestire le proprie risorse di base in modo coerente in tutti gli account e le regioni dell'organizzazione. Non modificare o eliminare le risorse gestite da Control Tower al di fuori dei metodi supportati. In questo modo la landing zone potrebbe entrare in uno stato sconosciuto.
Negli scenari in aree dismesse, AWS Transform confronta le fondamenta esistenti con questa struttura e riporta solo le lacune. Ad esempio: «La tua fondazione dispone di unità organizzative per la sicurezza e l'infrastruttura ma nessuna unità organizzativa Sandbox».
Convenzione sulla posta elettronica dell'account
AWS richiede un indirizzo e-mail univoco per ogni account. Queste e-mail ricevono notifiche importanti per l'account. AWS Transform utilizza l'indirizzamento plus per generare email di account uniche da un'unica casella di posta.
Formato: prefix+account-name@domain
Fornisci un prefisso (ad esempio,aws-admin) e un dominio (ad esempio,acme.com) e AWS Transform ricava automaticamente tutte le email dell'account. Ad esempio:
-
Account di controllo:
aws-admin+audit@acme.com -
Account di archiviazione dei log:
aws-admin+log-archive@acme.com -
Account Sandbox:
aws-admin+sandbox@acme.com
Negli scenari dismessi, AWS Transform ispeziona le e-mail degli account esistenti per dedurre la convenzione plus-address già in uso e offre la possibilità di continuare con lo stesso schema.
Policy di controllo dei servizi (SCP)
Gli SCP sono barriere di autorizzazione a livello di organizzazione che stabiliscono le autorizzazioni massime per tutti gli account dell'organizzazione. AWS Non concedono l'accesso, ma definiscono limiti che nessun membro dell'account può superare, nemmeno gli amministratori dell'account.
Come parte dell'implementazione del Control Tower, i guardrail di base vengono applicati automaticamente. AWS Transform consiglia inoltre SCP aggiuntivi progettati per contribuire a rafforzare la posizione dell'organizzazione. Questi si basano sulle AWS migliori pratiche per una landing zone minima praticabile.
Gli SCP possono essere applicati alle unità organizzative Infrastructure, Sandbox e Workloads. L'unità organizzativa di sicurezza è gestita da Control Tower e non può essere presa di mira dagli SCP tramite questo strumento.
Importante
La Security OU è un'unità organizzativa di base gestita da Control Tower. Non puoi aggiungere account, SCP o risorse tramite l'agente della landing zone.
Negli scenari dismessi, AWS Transform verifica quali SCP sono già applicati e consiglia solo quelli in grado di colmare le lacune.
Nota
Limitazione dell'account Delegated Administrator negli scenari brownfield: quando si utilizza un connettore di account Delegated Administrator in un ambiente brownfield in cui è già implementata la landing zone di Control AWS Tower AWS , Transform non può visualizzare o modificare gli SCP esistenti gestiti da Control Tower. Questo perché gli account Delegated Administrator dispongono di autorizzazioni limitate per le operazioni SCP sulle politiche di controllo. Tower-managed È ancora possibile generare artefatti IaC per nuovi SCP che si desidera applicare al di fuori dell'ambito di gestione di Control Tower, ma gli SCP Control Tower esistenti rimarranno invariati. Se devi modificare Control Tower-managed SCP, riconfigura il connettore in modo che abbia come destinazione l'account di gestione.
Distribuzione della Fondazione
Una volta completata la progettazione delle fondamenta, scegli come implementare:
-
Implementa per me: AWS Transform implementa le unità organizzative, gli account e gli SCP di base nella tua organizzazione. AWS
-
Lo implementerò da solo: AWS Transform genera artefatti Infrastructure as Code (IaC) da scaricare nel formato preferito (vedi). Formati IAc
-
Progetta innanzitutto gli account per i carichi di lavoro: salta la distribuzione e continua con la fase di progettazione degli account per il carico di lavoro. Potrai distribuire tutto insieme in un secondo momento.
Inizializzazione Control Tower
Se AWS Transform rileva che AWS Control Tower non è ancora inizializzato nell'organizzazione, fornisce all'utente un collegamento alla pagina della console AWS Transform. La generazione dell'operazione nel link crea uno CloudFormation stack per avviare Control Tower nella CloudFormation console per la regione di destinazione. Dopo la creazione dello stack, AWS Transform continua con la distribuzione.
Progettazione dell'account Workload
Nella fase di progettazione dell'account per il carico di lavoro, AWS Transform progetta l'unità organizzativa e la struttura degli account per i carichi di lavoro delle applicazioni in base all'inventario di migrazione, ai requisiti aziendali e alle preferenze di separazione dell'ambiente.
Contesto di pianificazione della migrazione
AWS Transform recupera i dati dalla fase di pianificazione della migrazione, inclusi piani d'ondata, mappature tra server e applicazioni e contesto condiviso. Se i dati di pianificazione della migrazione sono disponibili, AWS Transform visualizza un riepilogo e chiede di confermarli o modificarli. Se non sono disponibili dati sulla pianificazione della migrazione, AWS Transform pone direttamente domande di scoperta.
Individuazione
AWS Transform pone domande per comprendere i requisiti del carico di lavoro. Puoi saltare qualsiasi domanda. Gli argomenti includono:
-
Numero di unità aziendali o team che utilizzano AWS
-
Settore e qualsiasi framework applicabile (HIPAA, SOC2 PCI-DSS, FedRAMP)
-
Se i carichi di lavoro gestiscono dati sensibili (PII, PHI, finanziari)
-
Preferenze di separazione degli ambienti (dev/test/staging/prod come account separati o condivisi)
-
Requisiti di isolamento del carico di lavoro
-
Applicazioni aziendali e relative finalità
-
Raggruppamento dei server in applicazioni
-
Esigenze di tracciamento e allocazione dei costi (per unità aziendale, progetto, ambiente)
-
Crescita prevista nei prossimi 12-24 mesi
-
Preferenza relativa alla strategia dell'account (app singola per account, raggruppata o basata sull'ambiente)
Struttura del carico di lavoro proposta
Sulla base delle risposte fornite e dei dati di pianificazione della migrazione, AWS Transform propone un'unità organizzativa e una struttura di account nell'ambito dell'unità organizzativa Workloads. La proposta include il ragionamento alla base di ogni decisione di progettazione.
AWS Transform segue questi principi di progettazione:
-
Tutti i server in un'ondata di migrazione accedono allo stesso account: le ondate non possono essere suddivise tra account. Si tratta di una limitazione del rehost durante l'esecuzione dell'ondata.
-
Se richiedi ambienti isolati, AWS Transform crea un sistema operativo Workloads/Production Workloads/Non-Production secondario.
-
Se vengono identificati i framework applicabili, AWS Transform crea Workloads/Regulated e Sub-OUS. Workloads/Standard
-
Se più unità aziendali richiedono una governance diversa, AWS Transform crea unità organizzative specifiche per unità aziendali nell'ambito dei carichi di lavoro.
-
Alle applicazioni con dati critici o sensibili viene fornita un'unica app per account. In questo caso, ti potrebbe essere chiesto di modificare il tuo piano d'onda.
-
Le applicazioni strettamente accoppiate con dipendenze condivise sono raggruppate in un unico account.
Ogni account proposto include: nome, scopo, unità organizzativa di destinazione e unità aziendale. AWS Transform mostra la convenzione di denominazione utilizzata (ad esempio,<business-unit>-<environment>-<workload>).
È possibile esaminare e modificare la struttura proposta prima che AWS Transform applichi le modifiche. Dopo l'applicazione, puoi iterare, apportando ulteriori modifiche finché non sei soddisfatto.
Configurazione SCP del carico di lavoro
Dopo aver creato la struttura del carico di lavoro, AWS Transform presenta gli SCP disponibili e chiede se desideri applicarli alle unità organizzative del carico di lavoro. L'utente seleziona quali SCP applicare e a quali unità organizzative. AWS Transform applica gli SCP e mostra l'albero organizzativo aggiornato con una tabella riassuntiva SCP.
Distribuzione del carico di lavoro
Una volta completata la progettazione del carico di lavoro, scegli come implementare:
-
Implementa per me: AWS Transform distribuisce le unità organizzative, gli account e gli SCP del carico di lavoro nella tua organizzazione. AWS
-
Lo implementerò da solo: AWS Transform genera artefatti IAc da scaricare nel formato preferito (vedi). Formati IAc
Formati IAc
Quando si sceglie l'implementazione automatica, AWS Transform genera artefatti Infrastructure as Code nei seguenti formati:
-
AWS Cloud Development Kit (AWS CDK)— TypeScript progetto per l'implementazione programmatica dell'infrastruttura.
-
HashiCorp Terraform: genera modelli HCL ( HashiCorp Configuration Language) per la gestione delle risorse delle landing zone.
-
Landing Zone Accelerator (LZA) — File di configurazione YAML basati sulla versione 1.1.0 di LZA Universal Configuration. Questi modelli pronti per l'uso aziendale funzionano con Landing Zone Accelerator per creare ambienti con più account. AWS AWS I file generati includono impostazioni preconfigurate per la governance, la struttura organizzativa e il networking. Queste impostazioni sono in linea con le AWS migliori pratiche. Per ulteriori informazioni, consulta LZA Universal Configuration.
Nota
Quando esegui la distribuzione tramite la pipeline Landing Zone Accelerator (LZA), l'account AWS Transform e l'installazione di LZA devono trovarsi nella stessa organizzazione. AWS La distribuzione fallisce se gli Organizations ID utilizzati in AWS Transform e LZA non corrispondono. Per informazioni su come configurare l'installazione LZA utilizzando Organizations, consulta AWS Organizations based installation.
Dopo aver selezionato un formato, AWS Transform genera gli artefatti e li rende disponibili per il download.
Per verificare che il file scaricato non sia stato danneggiato o manomesso, genera e scarica un checksum, quindi confrontalo con un hash generato localmente utilizzando:
openssl dgst -sha256 -binary <file.zip> | base64
Processo di approvazione dell'implementazione
Le richieste di implementazione delle zone di atterraggio richiedono un'approvazione esplicita prima dell'esecuzione. Quando invii una richiesta di distribuzione, questa viene indirizzata automaticamente agli approvatori autorizzati tramite la scheda AWS Transform Approvals.
Gli approvatori esaminano i CloudFormation modelli e le configurazioni delle landing zone. Solo gli utenti con il ruolo di amministratore in AWS Transform possono approvare le richieste di distribuzione. Ogni invio attiva un nuovo ciclo di revisione e le distribuzioni procedono solo dopo aver ricevuto la conferma.
Se un approvatore rifiuta la tua richiesta, contattalo direttamente per discutere delle modifiche necessarie. Il sistema tiene traccia di tutte le decisioni di approvazione a fini di controllo e conserva la cronologia delle implementazioni.
Etichetta: risorse per le landing zone
AWS Transform etichetta automaticamente tutte le risorse generate "CreatedBy": "AWSTransform" insieme agli ID di definizione e di esecuzione per scopi di tracciamento.
Tag automatici
Tutte le risorse delle landing zone ricevono i seguenti tag:
-
CreatedBy— AWS Transform -
ATWorkspace— Identificatore dell'area di lavoro
Nota
Se la migrazione fa parte del AWS Migration Acceleration Program (MAP 2.0), puoi includere il tag MAP richiesto. La chiave è map-migrated e il valore èmigMPE_ID, dove MPE_ID è l'identificatore MPE. Il tag MAP viene richiesto durante la fase di configurazione del connettore e AWS Transform applica questi tag durante l'implementazione della landing zone.
Inversione delle modifiche
È possibile rimuovere solo gli elementi non distribuiti. Una volta che un'unità organizzativa o un account sono stati implementati, non possono essere rimossi tramite l'agente della landing zone.
Quando si rimuovono elementi, l'ordine è importante: è necessario rimuovere i bambini prima dei genitori:
-
Rimuovi prima gli account (tramite e-mail).
-
Rimuovi gli SCP dalle unità organizzative.
-
Rimuovi unità organizzative secondarie: un'unità organizzativa non può essere rimossa se dispone ancora di account o unità organizzative annidate.
Risorse correlate
