翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ランディングゾーンを構築する

AWS Transform は、移行プロジェクトの一環としてラン AWS ディングゾーンを設計およびデプロイするガイドを提供します。ランディングゾーンは、ワークロードの基盤となるマルチアカウント AWS 環境です。これにより、ワークロードが到着する前に、組織の境界、ガバナンスコントロール、アカウント構造が設定されます。 AWS Transform は、移行インベントリとビジネス要件を分析します。この分析に基づいて、組織単位 (OU) とアカウント構造を推奨し、推奨されるサービスコントロールポリシー (SCPs) を適用し、Infrastructure as Code (IaC) を生成してデプロイします。通常、手動による計画と設定に数週間かかるため、 AWS Transform は 1 回の会話で完了できます。

ランディングゾーンエージェントは 2 つのフェーズを自動化します。

AWS Transform は、グリーンフィールド環境 (既存のランディングゾーンなし) とブラウンフィールド環境 (既存の OUs とアカウントがデプロイ済み) の両方をサポートしています。ブラウンフィールドシナリオでは、 AWS Transform は既存の組織構造を検出し、 AWS ベストプラクティスとのギャップを埋めるために必要な変更のみを推奨します。最初から開始したり、手動でギャップ分析を実行したりする必要はありません。

AWS Transform は、コネクタの設定と設定に基づいて 2 つのオペレーションモードをサポートしています。

コネクタのセットアップ

エージェントを続行する前に、組織の管理アカウントまたは委任管理者アカウントに接続します。コネクタタイプによって、運用モード、使用可能な機能、 AWS 変換に付与するアクセス許可が決まります。

コネクタを作成するときは、ターゲットを指定します AWS リージョン。これは Control Tower が有効になっているリージョンであり、Control Tower のホームリージョンとして機能します。Control Tower リージョンの詳細については、AWS 「Control Tower AWS リージョン の操作方法」を参照してください。

ランディングゾーンのセットアップの開始時に、 AWS Transform はコネクタ設定を取得し、確認のために AWS Organization 管理アカウント ID とターゲットリージョンを表示します。 AWS Transform はコネクタタイプとオペレーションモードも検出し、完全なデプロイと IaC のみの機能のどちらに進むかを通知します。詳細については、「AWS 変換コネクタ」を参照してください。

基盤のセットアップ

基盤の発見と計画

基盤設定の開始時に、 AWS Transform は検出を実行して現在の組織状態を理解し、ランディングゾーンに最適なアプローチを決定します。エージェントは次の重要な質問をします。

レスポンスに基づいて、 AWS Transform は選択したアプローチに合わせて基盤セットアップワークフローとレコメンデーションを調整します。Control Tower ベースのランディングゾーンの場合、完全なガバナンス基盤がデプロイされます。Organizations 専用ランディングゾーンの場合、 AWS Transform は OU 構造、アカウント組織、手動 SCP 設定に焦点を当てています。

基盤のセットアップ

基盤設定フェーズでは、AWS Control Tower を使用してコアランディングゾーンインフラストラクチャを確立します。ランディングゾーンエージェントは、完全な基盤 OU 構造を構築します。その一部は AWS Control Tower ベースラインであり、Control Tower は管理アカウントで自動的にプロビジョニングします。 AWS Transform は AWS ベストプラクティスに基づいて残りを追加します。作成前に構造をカスタマイズできます。

次の表は、基盤構造と各コンポーネントの出典を示しています。

Security OU とそのアカウントに加えて、 AWS Control Tower ベースラインには次のガバナンスリソースが含まれます。

Control Tower は CloudFormation StackSets を使用して、組織内のすべてのアカウントとリージョンにベースラインリソースを一貫してデプロイおよび管理します。サポートされている方法以外で Control Tower マネージドリソースを変更または削除しないでください。これにより、ランディングゾーンが不明な状態になる可能性があります。

ブラウンフィールドシナリオでは、 AWS Transform は既存の基盤をこの構造と比較し、ギャップのみをレポートします。例：「基盤にはセキュリティとインフラストラクチャの OUs」

アカウントの E メール規則

AWS では、アカウントごとに一意の E メールアドレスが必要です。これらの E メールは、アカウントに関する重要な通知を受け取ります。 AWS Transform は、 と アドレス指定を使用して、単一のメールボックスから一意のアカウント E メールを生成します。

形式: prefix+account-name@domain

プレフィックス ( などaws-admin) とドメイン ( などacme.com) を指定すると、 AWS 変換によってすべてのアカウント E メールが自動的に取得されます。例えば、次のようになります。

ブラウンフィールドシナリオでは、 AWS Transform は既存のアカウント E メールを検査して、既に使用されているプラスアドレス規則を推測し、同じパターンを続行することを提案します。

サービスコントロールポリシー (SCP)

SCPs は、組織内のすべてのアカウントに最大アクセス許可を設定する組織レベルのアクセス許可ガードレールです。 AWS アクセスを許可しません。代わりに、アカウント管理者であっても、アカウント内の誰も超えることができない境界を定義します。

Control Tower のデプロイの一環として、ベースラインガードレールが自動的に適用されます。 AWS Transform は、組織の体制を強化するために設計された追加の SCPs も推奨します。これらは、実行可能な最小ランディングゾーンの AWS ベストプラクティスに基づいています。

SCPs は、インフラストラクチャ、サンドボックス、ワークロード OUs に適用できます。Security OU は Control Tower によって管理され、このツールを通じて SCPsによってターゲットにすることはできません。

ブラウンフィールドシナリオでは、 AWS Transform はどの SCPs がすでに適用されているかをチェックし、ギャップを埋める SCP のみを推奨します。

Foundation のデプロイ

基盤設計が完了したら、デプロイ方法を選択します。

Control Tower の初期化

AWS Transform は、組織内で AWS Control Tower がまだ初期化されていないことを検出した場合、 AWS 変換コンソールページへのリンクをユーザーに提供します。リンクで オペレーションを生成すると、ターゲットリージョンの CloudFormation コンソールで Control Tower をブートストラップする CloudFormation スタックが作成されます。スタックが作成されると、 AWS Transform はデプロイを続行します。

ワークロードアカウント設計

ワークロードアカウント設計フェーズでは、 AWS Transform は、移行インベントリ、ビジネス要件、環境分離設定に基づいて、アプリケーションワークロードの OU とアカウント構造を設計します。

移行計画コンテキスト

AWS Transform は、ウェーブプラン、server-to-applicationマッピング、共有コンテキストなど、移行計画フェーズからデータを取得します。移行計画データが利用可能な場合、 AWS Transform は概要を表示し、確認または調整するよう求めます。移行計画データが利用できない場合、 AWS Transform は検出に直接質問をします。

発見

AWS Transform は、ワークロードの要件を理解するために質問します。質問はスキップできます。トピックは以下のとおりです。

提案されたワークロード構造

回答と移行計画データに基づいて、 AWS Transform はワークロード OU の下に OU とアカウント構造を提案します。この提案には、各設計決定の背後にある推論が含まれています。

AWS 変換は、次の設計原則に従います。

提案された各アカウントには、名前、目的、ターゲット OU、ビジネスユニットが含まれます。 AWS Transform は、使用されている命名規則を示します (例: <business-unit>-<environment>-<workload>)。

AWS Transform が変更を適用する前に、提案された構造を確認して変更できます。適用後、反復して、満足するまで追加の変更を加えることができます。

ワークロード SCP 設定

ワークロード構造が作成されると、 AWS Transform は使用可能な SCPs を提示し、ワークロード OUs。適用SCPs と OUs. AWS Transform が SCPsし、更新された組織ツリーを SCP 概要テーブルとともに表示します。

ワークロードのデプロイ

ワークロード設計が完了したら、デプロイ方法を選択します。

IaC 形式

自己デプロイを選択すると、 AWS Transform は次の形式で Infrastructure as Code アーティファクトを生成します。

形式を選択すると、 AWS Transform はアーティファクトを生成し、ダウンロードできるようにします。

ダウンロードしたファイルが破損または改ざんされていないことを確認するには、チェックサムを生成してダウンロードし、以下を使用してローカルに生成されたハッシュと比較します。

openssl dgst -sha256 -binary <file.zip> | base64

デプロイの承認プロセス

ランディングゾーンのデプロイリクエストには、実行前に明示的な承認が必要です。デプロイリクエストを送信すると、 AWS Transform Approvals タブを通じて、承認された承認者に自動的にルーティングされます。

承認者は CloudFormation テンプレートとランディングゾーンの設定を確認します。 AWS Transform の管理者ロールを持つユーザーのみがデプロイリクエストを承認できます。各送信は新しいレビューサイクルをトリガーし、デプロイは確認を受け取った後にのみ続行されます。

承認者がリクエストを拒否した場合は、直接連絡して必要な変更について話し合います。システムは、監査目的でのすべての承認決定を追跡し、デプロイ履歴を維持します。

ランディングゾーンリソースにタグを付ける

AWS 変換は、追跡のために、生成されたすべてのリソースに定義と実行 IDs "CreatedBy": "AWSTransform"とともに自動的にタグ付けします。

自動タグ

すべてのランディングゾーンリソースには、次のタグが付けられます。

変更の取り消し

削除できるのは、デプロイされていない要素のみです。OU またはアカウントがデプロイされると、ランディングゾーンエージェントを介して削除することはできません。

要素を削除するときは、順序付けが重要です。親の前に子を削除する必要があります。

関連リソース