本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

第 2 步：使用 AWS Control Tower 启动您的着陆区 APIs

您可以使用 AWS Control Tower APIs 启动您的着陆区。本节介绍如何创建所需的 land ing zone 清单文件并将其用于 CreateLandingZone API 操作。

创建清单文件

清单文件是一个 JSON 文档，用于指定您的着陆区配置。在 landing zone 4.0 版本中，许多组件现在都是可选的，因此可以更灵活地部署。

清单结构

以下是包含所有可用配置的清单文件的完整结构：

{
    "accessManagement": {
        "enabled": true    // Required - Controls IAM Identity Center integration
    },
    "backup": {
        "enabled": true,   // Required - Controls AWS Backup integration
        "configurations": {
            "backupAdmin": {
                "accountId": "111122223333"    // Backup administrator account
            },
            "centralBackup": {
                "accountId": "111122224444"    // Central backup account
            },
            "kmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
        }
    },
    "centralizedLogging": {
        "accountId": "111122225555",    // Log archive account
        "enabled": true,                // Required - Controls centralized logging
        "configurations": {
            "accessLoggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "loggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "kmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
        }
    },
    "config": {
        "accountId": "111122226666",    // Config aggregator account
        "enabled": true,                // Required - Controls AWS Config integration
        "configurations": {
            "accessLoggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "loggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "kmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
        }
    },
    "governedRegions": [               // Optional - List of regions to govern
        "us-east-1",
        "us-west-2"
    ],
    "securityRoles": {
        "enabled": true,               // Required - Controls security roles creation
        "accountId": ""111122226666"    // Security/Audit account
    }
}
                    

重要提示

使用 CreateLandingZone API

要使用 API 创建您的着陆区，请执行以下操作：

                    aws controltower create-landing-zone --landing-zone-version 4.0 --manifest file://manifest.json
                

API 将返回一个着陆区操作 ID，您可以使用它来跟踪着陆区的创建进度。示例响应:

{
    "arn": "arn:aws:controltower:us-west-2:123456789012:landingzone/1A2B3C4D5E6F7G8H",
    "operationIdentifier": "55XXXXXX-e2XX-41XX-a7XX-446XXXXXXXXX"
}
                

您可以使用 GetLandingZoneOperation API 监控操作状态，API 返回的状态为SUCCEEDEDFAILED、或IN_PROGRESS：

                    aws controltower get-landing-zone-operation --operation-identifier "55XXXXXX-eXXX-4XXX-aXXX-44XXXXXXXXXX"
                

landing zone 版本 4.0 中有什么变化

清单结构和要求的重要更改：