AWS Control Tower Account Factory for Terraform (AFT) のデプロイ

AWS Control Tower ランディングゾーンのホームリージョン。詳細については、「AWS Control Tower でAWS リージョンを使用する方法」を参照してください。

AWS Control Tower ランディングゾーン。詳細については、「AWS Control Tower のランディングゾーンを計画する」を参照してください。

AFT 管理アカウント。AWS Control Tower または他の方法でプロビジョニングして AWS Control Tower に登録することができます。

Terraform のバージョンとディストリビューション。詳細については、「Terraform と AFT のバージョン」を参照してください。

コードやその他のファイルへの変更を追跡および管理するための VCS プロバイダー。デフォルトでは、AFT は を使用しますAWS CodeCommit。詳細については、「 AWS CodeCommitユーザーガイド」の「What is AWS CodeCommit?」を参照してください。

AFT を初めてデプロイする場合に、既存の CodeCommit リポジトリがないときは、GitHub や BitBucket などの外部 VCS プロバイダーを選択する必要があります。詳細については、「Alternatives for version control of source code in AFT」を参照してください。

AFT をインストールする Terraform モジュールを実行できるランタイム環境。

AFT 機能のオプション。詳細については、「機能オプションを有効にする」を参照してください。

オプションで仮想プライベートクラウド (VPC) 設定を設定する

AFT モジュールには、AWS Control Tower が中央 AFT 管理アカウントの VPC 内にアカウントリソースをプロビジョニングするかどうかを指定する aft_enable_vpc パラメータが含まれています。デフォルトでは、パラメータは true に設定されています。このパラメータを false に設定すると、AWS Control Tower は VPC やプライベートネットワークリソース (NAT ゲートウェイや VPC エンドポイントなど) を使用せずに AFT をデプロイします。aft_enable_vpc を無効にすると、一部の使用パターンで AFT の運用コストを削減できる場合があります。VPC 設定を追加すると、false に設定されている aft_enable_vpc パラメータが上書きされます。

新しい VPC をプロビジョニングする代わりに、アカウント内の既存の VPC を使用するように AFT を設定できます。独自の VPC を使用するには、次の VPC 設定パラメータを指定します。

設定例:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # VPC configuration
  aft_customer_vpc_id = "vpc-0123456789abcdef0"
  aft_customer_private_subnets = ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"]
  
  # Other AFT parameters...
}
            

オプションで Terraform プロジェクト名を設定する

terraform_project_name パラメータを設定することで、AFT で使用される Terraform プロジェクト名をカスタマイズできます。デフォルトでは、AFT はデプロイを Terraform Cloud または Terraform Enterprise の「デフォルト」プロジェクトに配置します。

設定例:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Project name configuration
  terraform_project_name = "my-organization-aft"
  
  # Other AFT parameters...
}
            

オプションで AFT リソースにカスタムタグを適用する

tags パラメータを使用して、すべての AFT リソースにカスタムタグを適用できます。これらのタグは、リソースの整理、コスト配分、アクセスコントロールに役立ちます。

設定例:

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory"
  
  # Custom tags configuration
  tags = {
    Environment = "Production"
    CostCenter = "IT-12345"
    Project = "AFT-Deployment"
    Owner = "platform-team@example.com"
  }
  
  # Other AFT parameters...
}
            

これらのタグは、AFT モジュールによって作成されたすべてのリソースに適用されます。AFT は、カスタムタグで上書きできない managed_by = "AFT" タグを自動的にすべてのリソースに追加します。

オプションで、CloudWatch ロググループと SNS トピックにAWS KMSカスタマーマネージド暗号化キー (CMK) を適用する

ロググループと SNS トピックの KMS CMK 暗号化を有効化するには、cloudwatch_log_group_enable_cmk_encryption と sns_topic_enable_cmk_encryption の変数を設定します。

これらの設定をオプトインすると、AFT は既存の CMK、alias/aft を使用して CloudWatch ログと SNS トピックを暗号化します。この CMK は、AFT が AFT 管理アカウントにデプロイされたときに作成され、ロググループと SNS トピックに適用されます。

オプションで CodeBuild コンピューティングタイプを変更する

デプロイ中に、AFT が CodeBuild に使用するコンピューティングタイプを変更するには、変数 aft_codebuild_compute_type を設定します。

受け入れられるコンピューティングタイプの詳細については、「オンデマンド環境のタイプについて」を参照してください。デフォルトのコンピューティングタイプは BUILD_GENERAL1_MEDIUM です。