As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Construa uma zona de pouso

AWS O Transform orienta você na criação e implantação de uma zona de AWS aterrissagem como parte do seu projeto de migração. Uma zona de destino é um AWS ambiente de várias contas que serve como base para suas cargas de trabalho com limites organizacionais, controles de governança e estrutura de contas em vigor antes que qualquer carga de trabalho chegue. AWS O Transform analisa seu inventário de migração e os requisitos de negócios para recomendar uma unidade organizacional (OU) e uma estrutura de contas, aplicar as políticas de controle de serviços (SCPs) recomendadas e gerar a and/or implantação da infraestrutura como código (IaC). O que normalmente leva semanas de planejamento e configuração manuais, o AWS Transform pode ser concluído em uma única conversa.

O agente da zona de aterrissagem automatiza duas fases:

AWS O Transform oferece suporte a ambientes novos (sem zona de aterrissagem existente) e ambientes abandonados (OUs e contas existentes já implantadas). Em cenários abandonados, o AWS Transform detecta sua estrutura organizacional existente e recomenda somente as mudanças necessárias para preencher lacunas em relação às AWS melhores práticas, sem exigir que você comece do zero ou realize uma análise manual de lacunas.

Configuração do conector

Antes que o agente possa provisionar recursos, você o conecta à sua conta de gerenciamento da organização. O agente da zona de aterrissagem exige um Conta da AWS conector de destino com permissões para:

Ao aprovar a solicitação do conector, você concede permissões de AWS transformação para:

Ao criar o conector, você especifica um alvo Região da AWS. Essa região deve ser igual à região da torre de controle de sua casa. Para obter mais informações sobre as regiões da Torre de Controle, consulte Como Regiões da AWS trabalhar com a Torre AWS de Controle.

No início da configuração da zona de destino, o AWS Transform recupera a configuração do conector e apresenta o ID da conta de gerenciamento AWS da organização e a região de destino para confirmação. Para obter mais informações, consulte AWS Conectores de transformação.

Configuração da fundação

A fase de configuração da fundação estabelece a infraestrutura central da zona de pouso usando a Torre AWS de Controle. Quando a AWS Control Tower configura uma zona de aterrissagem, ela provisiona automaticamente um conjunto de recursos gerenciados em sua conta de gerenciamento que formam a base de governança de toda a sua AWS organização:

A Control Tower usa CloudFormation StackSets para implantar e gerenciar esses recursos de forma consistente em todas as contas e regiões da sua organização. Você não deve modificar ou excluir recursos gerenciados da Torre de Controle fora dos métodos suportados, pois isso pode fazer com que sua zona de aterrissagem entre em um estado desconhecido.

Convenção de e-mail da conta

AWS exige um endereço de e-mail exclusivo para cada conta. Esses e-mails recebem notificações importantes para a conta. AWS O Transform usa mais endereçamento para gerar e-mails de conta exclusivos a partir de uma única caixa de correio.

Formato: prefix+account-name@domain.

Você fornece um prefixo (por exemplo,aws-admin) e um domínio (por exemplo,acme.com), e o AWS Transform deriva todos os e-mails da conta automaticamente. Por exemplo:

Em cenários abandonados, o AWS Transform inspeciona os e-mails de contas existentes para inferir a convenção de endereçamento adicional já em uso e oferece a possibilidade de continuar com o mesmo padrão.

Estrutura de fundação recomendada

Com base nas AWS melhores práticas, a AWS Transform recomenda a seguinte estrutura básica de UO. Você pode personalizá-lo antes da criação.

Em cenários abandonados, o AWS Transform compara sua base existente com essa estrutura recomendada e relata apenas as lacunas. Por exemplo: “Sua fundação tem OUs de segurança e infraestrutura, mas nenhuma OU Sandbox”.

Políticas de controle de serviço (SCPs)

Os SCPs são barreiras de permissão no nível da organização que definem as permissões máximas para todas as contas em sua organização. AWS Eles não concedem acesso. Em vez disso, definem limites que ninguém na conta pode ultrapassar, nem mesmo os administradores da conta.

Como parte da implantação da Torre de Controle, as grades de proteção de linha de base são aplicadas automaticamente. AWS A Transform também recomenda SCPs adicionais projetados para ajudar a fortalecer a postura da sua organização. Eles são baseados nas AWS melhores práticas para uma zona mínima de pouso viável.

Os SCPs podem ser aplicados às OUs de infraestrutura, sandbox e cargas de trabalho. A OU de segurança é gerenciada pela Control Tower e não pode ser alvo de SCPs por meio dessa ferramenta.

Em cenários abandonados, o AWS Transform verifica quais SCPs já estão aplicados e recomenda apenas aqueles que preencheriam lacunas.

Implantação da Fundação

Depois que o projeto da base estiver concluído, você escolhe como implantar:

Inicialização da torre de controle

Se o AWS Transform detectar que a AWS Control Tower ainda não foi inicializada em sua organização, ele fornecerá ao usuário um link para a página do console AWS Transform. Gerar a operação no link criará uma CloudFormation pilha para inicializar a Torre de Controle. O processo criará essa pilha no CloudFormation console para sua região de destino. Depois que a criação da pilha for concluída, o AWS Transform continuará com a implantação.

Design da conta de carga de trabalho

Na fase de criação da conta da carga de trabalho, o AWS Transform projeta a OU e a estrutura da conta para suas cargas de trabalho de aplicativos com base no inventário de migração, nos requisitos de negócios e nas preferências de separação do ambiente.

Contexto de planejamento de migração

AWS O Transform recupera dados da sua fase de planejamento de migração, incluindo planos de onda, mapeamentos de servidor para aplicativo e contexto compartilhado. Se os dados do planejamento de migração estiverem disponíveis, o AWS Transform exibirá um resumo e solicitará que você o confirme ou ajuste. Se nenhum dado de planejamento de migração estiver disponível, o AWS Transform fará perguntas de descoberta diretamente.

Descoberta

AWS O Transform faz perguntas para entender seus requisitos de carga de trabalho. Você pode pular qualquer pergunta. Os tópicos incluem:

Estrutura de carga de trabalho proposta

Com base em suas respostas e dados de planejamento de migração, o AWS Transform propõe uma OU e uma estrutura de contas sob a OU de cargas de trabalho. A proposta inclui o raciocínio por trás de cada decisão de design.

AWS O Transform segue esses princípios de design:

Cada conta proposta inclui: nome, propósito, UO alvo e unidade de negócios. AWS Transformar mostra a convenção de nomenclatura que está sendo usada (por exemplo,<business-unit>-<environment>-<workload>).

Você pode revisar e modificar a estrutura proposta antes que o AWS Transform aplique as alterações. Depois de se inscrever, você pode iterar — fazendo alterações adicionais até ficar satisfeito.

Configuração do SCP da carga de trabalho

Depois que a estrutura da carga de trabalho é criada, o AWS Transform apresenta os SCPs disponíveis e pergunta se você deseja aplicar algum em suas OUs de carga de trabalho. Você seleciona quais SCPs devem ser aplicados e em quais OUs. AWS Transform aplica os SCPs e mostra a árvore organizacional atualizada com uma tabela de resumo do SCP.

Implantação da carga de trabalho

Depois que o design da carga de trabalho estiver concluído, você escolhe como implantar:

Formatos IaC

Quando você escolhe a autoimplantação, o AWS Transform gera artefatos de infraestrutura como código nos seguintes formatos:

Depois de selecionar um formato, o AWS Transform gera os artefatos e os disponibiliza para download.

Para verificar se o arquivo baixado não foi corrompido ou adulterado, gere e baixe uma soma de verificação e compare-a com um hash gerado localmente usando:

openssl dgst -sha256 -binary <file.zip> | base64

Processo de aprovação de implantação

As solicitações de implantação da zona de aterrissagem exigem aprovação explícita antes da execução. Quando você envia uma solicitação de implantação, ela encaminha automaticamente para aprovadores autorizados por meio da guia AWS Transformar aprovações.

Os aprovadores analisam os CloudFormation modelos e as configurações da zona de aterrissagem. Somente usuários com a função de administrador no AWS Transform podem aprovar solicitações de implantação. Cada envio aciona um novo ciclo de revisão, e as implantações só prosseguem após o recebimento da confirmação.

Se um aprovador negar sua solicitação, entre em contato diretamente com ele para discutir as modificações necessárias. O sistema rastreia todas as decisões de aprovação para fins de auditoria e mantém o histórico de implantação.

Marque os recursos da zona de pouso

AWS O Transform identifica automaticamente todos os recursos gerados "CreatedBy": "AWSTransform" junto com IDs de definição e execução para fins de rastreamento.

Etiquetas automáticas

Todos os recursos da zona de pouso recebem as seguintes tags:

Revertendo mudanças

Somente elementos não implantados podem ser removidos. Depois que uma OU ou conta é implantada, ela não pode ser removida por meio do agente da zona de destino.

Ao remover elementos, a ordem é importante — você deve remover os filhos antes dos pais:

Recursos relacionados