As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Marque anexo do gateway de trânsito automaticamente usando o AWS Organizations *Richard Milner-Watts, Haris Bin Ayub e John Capps, Amazon Web Services* ## Resumo Na Amazon Web Services (AWS), você pode usar [AWS Resource Access Manager](https://aws.amazon.com/ram/)para compartilhar Conta da AWS além [AWS Transit Gateway](https://aws.amazon.com/transit-gateway/)dos limites. No entanto, quando você cria anexo do gateway de trânsito além dos limites da conta, os anexos são criados sem uma tag de nome. Isso pode tornar a identificação de anexos demorada.  Esta solução fornece um mecanismo automatizado destinado à coleta de informações sobre cada anexo do gateway de trânsito para as contas pertencentes a uma organização gerenciada pelo [AWS Organizations](https://aws.amazon.com/organizations/). O processo inclui pesquisar o intervalo [Encaminhamento Entre Domínios Sem Classificação ](https://en.wikipedia.org/wiki/Classless_Inter-Domain_Routing)(CIDR) na tabela de rotas do Transit Gateway. Em seguida, a solução aplica uma tag de nome na forma de `-` ao anexo na conta que contém o Transit Gateway. Essa solução pode ser usada junto com uma solução como o [Serverless Transit Network Orchestrator](https://aws.amazon.com/solutions/implementations/serverless-transit-network-orchestrator/) da Solutions Library. AWS O Serverless Transit Network Orchestrator possibilita a criação automatizada de anexos do gateway de trânsito em grande escala. ## Pré-requisitos e limitações **Pré-requisitos ** + Um ativo Conta da AWS + Uma AWS Organizations organização que contém todas as contas relacionadas + Acesso à conta de gerenciamento da organização, sob a raiz da organização, para criar a função AWS Identity and Access Management (IAM) necessária + Uma conta de membro da Rede Compartilhada contendo um ou mais gateways de trânsito que são compartilhados com a organização e têm anexos ## Arquitetura A captura de tela a seguir Console de gerenciamento da AWS mostra exemplos de anexos do Transit Gateway sem etiqueta de nome associada e dois anexos do Transit Gateway com etiquetas de nome geradas por essa solução. A estrutura da tag de nome gerada é `-`. ![\[Console mostrando anexos sem tags de nome e dois anexos com tags de nome.\]](http://docs.aws.amazon.com/pt_br/prescriptive-guidance/latest/patterns/images/pattern-img/4b10dfec-43be-4337-9945-c64df921934a/images/7e7d4a47-f07a-4708-8022-a1d22855bb5d.png) Essa solução é usada [AWS CloudFormation](https://aws.amazon.com/cloudformation/)para implantar um [AWS Step Functions](https://aws.amazon.com/step-functions/)fluxo de trabalho que gerencia a criação de tags de nome do Transit Gateway em todas as configurações Regiões da AWS. O fluxo de trabalho invoca funções do [AWS Lambda](https://aws.amazon.com/lambda/), que executam as tarefas subjacentes. Depois que a solução obtém os nomes das contas AWS Organizations, a máquina de estado Step Functions obtém todos os anexos do Transit Gateway IDs. Essas IDs são processadas em paralelo por região. Esse processamento inclui a pesquisa do intervalo CIDR para cada anexo. O intervalo CIDR é obtido pesquisando nas tabelas de rotas do Transit Gateway na região por uma ID de anexo do gateway de trânsito correspondente. Se todas as informações necessárias estiverem disponíveis, a solução aplicará uma tag de nome ao anexo. A solução não substituirá nenhuma tag de nome existente. A solução é executada em uma programação controlada por um EventBridge evento [da Amazon](https://aws.amazon.com/eventbridge/). O evento inicia a solução todos os dias às 06:00 UTC. **Pilha de tecnologias de destino** + Amazon EventBridge + AWS Lambda + AWS Organizations + AWS Transit Gateway + Amazon Virtual Private Cloud (Amazon VPC) + AWS X-Ray **Arquitetura de destino** A arquitetura da solução e o fluxo de trabalho são mostrados no diagrama a seguir. ![\[Processo em nove etapas que envolve contas gerenciais da organização e de rede compartilhada.\]](http://docs.aws.amazon.com/pt_br/prescriptive-guidance/latest/patterns/images/pattern-img/4b10dfec-43be-4337-9945-c64df921934a/images/873cc89f-c6e3-43cd-94ed-59b6ea2b8d49.png) 1. O evento agendado inicia a regra. 1. A EventBridge regra inicia a máquina de estado Step Functions. 1. A máquina de estado invoca a `tgw-tagger-organizations-account-query` função do Lambda. 1. A função do Lambda `tgw-tagger-organizations-account-query` assume a função na conta de gerenciamento da organização. 1. A função `tgw-tagger-organizations-account-query` Lambda chama a API Organizations para retornar Conta da AWS metadados. 1. A máquina de estado invoca a `tgw-tagger-attachment-query` função do Lambda. 1. Para cada região, paralelamente, a máquina de estado invoca a função do Lambda `tgw-tagger-rtb-query` para ler o intervalo CIDR de cada anexo. 1. Para cada região, paralelamente, a máquina de estado invoca a função do Lambda `tgw-tagger-attachment-tagger`****. 1. As tags de nome são criadas para anexo do gateway de trânsito na conta da Rede Compartilhada. **Automação e escala** A solução processa cada região em paralelo para reduzir a duração total da execução. ## Ferramentas **Serviços da AWS** + [AWS CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/Welcome.html)fornece uma maneira de modelar uma coleção de recursos relacionados AWS e de terceiros, provisioná-los de forma rápida e consistente e gerenciá-los em todo o ciclo de vida, tratando a infraestrutura como código. + CloudWatchA [Amazon](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/WhatIsCloudWatch.html) ajuda você a monitorar as métricas dos seus recursos da AWS e dos aplicativos em que você executa AWS em tempo real. + EventBridgeA [Amazon](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html) é um serviço de ônibus de eventos sem servidor que você pode usar para conectar seus aplicativos a dados de várias fontes. EventBridge recebe um evento, um indicador de uma mudança no ambiente, e aplica uma regra para rotear o evento até um alvo. As regras fazem a correspondência entre os eventos e os destinos com base na estrutura do evento, chamada padrão do evento ou em um schedule. + O [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html) é um serviço de computação que permite a execução de código sem a necessidade de provisionar ou gerenciar servidores. O Lambda executa o código somente quando necessário e dimensiona automaticamente, desde algumas solicitações por dia a milhares por segundo. Você paga apenas pelo tempo de computação consumido. Não haverá cobranças quando seu código não estiver em execução. + [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html)ajuda você a gerenciar e governar centralmente seu ambiente à medida que você cresce e escala seus AWS recursos. Usando o Organizations, você pode criar recursos novos Contas da AWS e alocar programaticamente, agrupar contas para organizar seus fluxos de trabalho, aplicar políticas a contas ou grupos para fins de governança e simplificar o faturamento usando um único método de pagamento para todas as suas contas. + [AWS Step Functions](https://docs.aws.amazon.com/step-functions/latest/dg/welcome.html)é um serviço de fluxo de trabalho visual de baixo código usado para orquestrar Serviços da AWS, automatizar processos de negócios e criar aplicativos sem servidor. Os fluxos de trabalho gerenciam falhas, novas tentativas, paralelização, integrações de serviços e observabilidade para que os desenvolvedores possam se concentrar em uma lógica de negócios de maior valor. + [AWS Transit Gateway](https://aws.amazon.com/transit-gateway/)conexões VPCs e redes locais por meio de um hub central. Isso simplifica sua rede e acaba com relacionamentos complexos de peering. Ele atua como um roteador na nuvem, de forma que cada nova conexão seja feita apenas uma vez. + [A Amazon Virtual Private Cloud (Amazon VPC)](https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html) é um serviço para lançar AWS recursos em uma rede virtual logicamente isolada que você define. + O [AWS X-Ray](https://docs.aws.amazon.com/xray/latest/devguide/aws-xray.html) coleta dados sobre as solicitações atendidas pela sua aplicação e fornece ferramentas que permitem visualizar, filtrar e obter insights sobre esses dados para identificar problemas e oportunidades de otimização. **Código ** O código-fonte dessa solução está disponível no GitHub repositório [Transit Gateway Attachment Tagger](https://github.com/aws-samples/tgw-attachment-tagger). O repositório inclui os seguintes arquivos: + `tgw-attachment-tagger-main-stack.yaml` cria todos os recursos para oferecer suporte a essa solução na conta de rede compartilhada. + `tgw-attachment-tagger-organizations-stack.yaml`** **cria uma função na conta de gerenciamento da organização. ## Épicos ### Implemente a pilha principal de soluções | Tarefa | Description | Habilidades necessárias | | --- | --- | --- | | Reúna as informações necessárias sobre os pré-requisitos. | Para configurar o acesso entre contas da função Lambda AWS Organizations à API, você precisa do ID da conta de gerenciamento da organização.****A ordem na qual as duas CloudFormation pilhas são criadas é importante. Primeiro, você deve implantar recursos na conta de rede compartilhada. A função na conta de rede compartilhada já deve existir antes de implantar recursos na conta de gerenciamento da organização. Para obter mais informações, consulte a [documentação do AWS](https://docs.amazonaws.cn/en_us/IAM/latest/UserGuide/id_roles_create_for-user.html). | DevOps engenheiro | | Inicie o CloudFormation modelo para a pilha principal de soluções. | O modelo para a pilha principal de soluções implantará as funções do IAM, o fluxo de trabalho Step Functions, as funções Lambda e o evento da Amazon CloudWatch .Abra o Console de gerenciamento da AWS para a conta de rede compartilhada e, em seguida, abra o console: &CFN.  Crie a pilha usando o modelo `tgw-attachment-tagger-main-stack.yaml` e especificando os seguintes valores:  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/prescriptive-guidance/latest/patterns/tag-transit-gateway-attachments-automatically-using-aws-organizations.html)Para obter mais informações sobre o lançamento de uma CloudFormation pilha, consulte a [AWS documentação](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-console-create-stack.html). | DevOps engenheiro | | Verifique se a solução foi iniciada com sucesso. | Aguarde até que a CloudFormation pilha alcance o status **CREATE\$1COMPLETE**. Isso deve levar menos de um minuto.Abra o console Step Functions e verifique se uma nova máquina de estado foi criada com o nome **tgw-attachment-tagger-state-machine**. | DevOps engenheiro | ### Implante a pilha do AWS Organizations | Tarefa | Description | Habilidades necessárias | | --- | --- | --- | | Reúna as informações necessárias sobre os pré-requisitos. | Para configurar o acesso entre contas da função do Lambda à API do AWS Organizations, você precisa do ID da conta da rede compartilhada. | DevOps engenheiro | | Inicie o CloudFormation modelo para a pilha Organizations | O modelo da pilha do AWS Organizations implantará o perfil do IAM na conta de gerenciamento da organização. Acesse o console da AWS para a conta de gerenciamento da organização e, em seguida, abra o CloudFormation console.  Crie a pilha usando o modelo `tgw-attachment-tagger-organizations-stack.yaml` e especificando os seguintes valores:[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/prescriptive-guidance/latest/patterns/tag-transit-gateway-attachments-automatically-using-aws-organizations.html)Para as outras opções de criação de pilha, use os padrões. | DevOps engenheiro | | Verifique se a solução foi iniciada com sucesso. | Aguarde até que a CloudFormation pilha alcance o status **CREATE\$1COMPLETE**. Isso deve levar menos de um minuto.Abra o console AWS Identity and Access Management (IAM) e verifique se uma nova função foi criada com o nome **tgw-attachment-tagger-organization-query-role**. | DevOps engenheiro | ### Verifique a solução | Tarefa | Description | Habilidades necessárias | | --- | --- | --- | | Execute uma máquina de estado. | Abra o console Step Functions para a conta Shared Networking e escolha **State machines** no painel de navegação.Selecione a máquina de estado **tgw-attachment-tagger-state-máquina** e escolha **Iniciar execução**.  Como a entrada para essa máquina de estado não é usada pela solução, você pode usar o valor padrão.
{
    "Comment": "Insert your JSON here"
}
Escolha **Start Execution**. | DevOps engenheiro | | Observe a máquina de estado até a conclusão. | Na nova página que se abre, você pode assistir à execução da máquina de estado. A duração dependerá do número de anexos do gateway de trânsito a serem processados.Nesta página, você pode examinar cada etapa da máquina de estado. Você pode visualizar as várias tarefas na máquina de estado e seguir os links para os CloudWatch registros das funções do Lambda. Para as tarefas que são executadas paralelamente no mapa, você pode usar a lista suspensa **Índice** para visualizar as implementações específicas para cada região. | DevOps engenheiro | | Verifique as etiquetas de anexo do gateway de trânsito. | Abra o console VPC da conta de rede compartilhada e escolha **anexo do gateway de trânsito**.  No console, uma tag de nome é fornecida para anexos que atendem aos critérios (o anexo é propagado para uma tabela de rotas do Transit Gateway e o proprietário do recurso é membro da organização). | DevOps engenheiro | | Verifique o início CloudWatch do evento. | Aguarde o início do CloudWatch evento. Isso está programado para às 06:00 UTC. Em seguida, abra o console Step Functions para a conta Shared Networking e escolha **State machines** no painel de navegação.Selecione a máquina de estado **tgw-attachment-tagger-state-máquina**. Verifique se a solução foi executada às 06:00 UTC. | DevOps engenheiro | ## Recursos relacionados + [AWS Organizations](https://aws.amazon.com/organizations/) + [AWS Resource Access Manager](https://aws.amazon.com/ram/) + [Orquestrador de rede de trânsito com tecnologia sem servidor](https://aws.amazon.com/solutions/implementations/serverless-transit-network-orchestrator/) + [Criação de perfis do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create.html) + [Criando uma pilha no console AWS CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-console-create-stack.html)