View a markdown version of this page

建造着陆区 - AWS 转换
连接器设置基础设置工作负载账户设计IaC 格式部署批准流程标签 landing zone 资源撤消更改相关资源

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

建造着陆区

AWS 作为迁移项目的一部分，Transform 将指导您设计和部署 AWS 着陆区。landing zone 是一种多账户 AWS 环境，可作为工作负载的基础。它会在任何工作负载到来之前建立组织边界、治理控制和账户结构。 AWS Transform 会分析您的迁移清单和业务需求。根据此分析，它推荐组织单位 (OU) 和账户结构，应用推荐的服务控制策略 (SCP)，并生成和部署基础设施即代码 (IaC)。T AWS ransform 通常需要数周的手动规划和配置，只需一次对话即可完成。

landing zone 代理可以自动执行两个阶段：

  • 基础设置 — 建立核心着陆区结构：Cont AWS rol Tower、基础 OU 和核心账户。

  • 工作负载账户设计 — 根据您的迁移流程、业务部门和环境分离要求设计和创建工作负载 OU 和帐户。

AWS Transform 同时支持绿地环境（没有现有 landing zone）和棕地环境（现有 OU 和已部署的账户）。在棕地场景中，T AWS ransform 会检测您现有的组织结构，并根据 AWS 最佳实践仅建议填补空白所需的更改。您不必从头开始或手动进行差距分析。

AWS 根据您的连接器配置和首选项，Transform 支持两种操作模式：

  • 完整部署模式 — T AWS ransform 会分析您的组织，生成建议，创建基础设施即代码 (IaC) 工件，并将着陆区基础设施直接部署到您的 AWS 组织。

  • IaC-only 模式 — T AWS ransform 会分析您的组织，生成建议，并生成 IaC 工件，供您通过自己的管道进行审查和部署。代理不直接部署基础架构。如果您已有部署管道（例如 Landing Zone Accelerator、Terraform 或自定义 CI/CD），或者更喜欢通过内部变更管理流程管理着陆区变更，则此模式非常有用。 AWS 有关更多信息，请参阅 无需部署即可生成 landing zone iaC。

连接器设置

在代理可以继续操作之前，您需要将其连接到您组织的管理帐户或委派管理员帐户。连接器类型决定了您的操作模式、可用功能以及您授予 Trans AWS form 的权限：

连接器类型 功能和工作流程
管理账户

提供全面的部署功能。 AWS Transform 会分析您的组织，生成建议，创建 “基础设施即代码” 工件，然后将 landing zone 基础架构直接部署到您的 AWS 组织。您可以选择 Trans AWS form 是自动部署还是仅生成 IaC 工件供您查看。

如果您想让 T AWS ransform 直接置备 landing zone 基础架构，或者想要在保留直接部署选项的同时生成 IaC 工件，请使用此选项。

权限-批准连接器请求后，即授予 Trans AWS form 权限，以便在目标 AWS 账户 和区域中配置和管理着陆区基础设施。在适用的情况下，权限仅限于标有CreatedBy:AWSTransform和的资源ATWorkspace:{workspace-id}。这包括：

  • AWS Cont@@ rol Tower 操作（设置和管理着陆区、启用基线和控制）

  • AWS O rganizations 管理（创建和管理组织单位、创建账户和移动账户）

  • 通过 Control Tower 管理@@ 服务 AWS 控制策略 (SCP)

  • CloudFormation landing zone 堆栈的堆栈部署和变更集管理

  • AWS S@@ ervice Catalo g 配置对象管理

  • 以开头的存储桶的 S3 存储桶操作（创建、读取、写入、删除）transform-vmware-landing-zone-
委派管理员 (DA) 帐户

提供 IaC-only 模式。 AWS Transform 会分析您的组织，生成建议，并生成基础设施即代码工件，您可以通过自己的管道下载和部署这些构件。由于 Control Tower 存在技术限制，即委托管理员帐户无法配置 AWS Cont AWS rol Tower 着陆区，因此无法使用 DA 连接器进行直接部署。

在以下情况下使用此选项：

  • 您的安全或监管政策限制了对管理账户的编程访问权限

  • 您已建立用于 AWS 组织 Organizations 操作的委托管理员帐户

  • 您更喜欢通过自己的部署管道（着AWS 陆区加速器、Terraform CloudFormation、CDK 或自定义）部署着陆区基础设施 CI/CD

如果您需要直接部署功能，则可以将连接器重新配置为以管理帐户为目标。

权限-在 IaC-only模式下，权限仅限于阅读和描述 AWS 组织上的操作，以支持分析和差距评估。

要创建委派管理员帐户，请按照说明创建委派管理员。

创建连接器时，需要指定一个目标 AWS 区域。这是启用控制塔的区域，也是您的控制塔主区域。有关控制塔区域的更多信息，请参阅如何 AWS 区域 使用 AWS 控制塔。

在 l AWS anding zone 设置开始时，Transform 会检索您的连接器配置，并显示 AWS 组织管理账户 ID 和目标区域以供确认。 AWS Transform 还会检测您的连接器类型和操作模式，告知您是否正在进行全面部署或 IaC-only 功能。有关更多信息，请参阅 AWS 转换连接器。

重要

IAM 身份中心区域依赖关系 — AWS 转换需要 AWS IAM 身份中心。您的连接器区域必须同时匹配您的 Cont AWS rol Tower 主区域和 IAM 身份中心区域。如果您的组织中已经配置了 IAM Identity Center，并且连接器针对不同的区域，则 Cont AWS rol Tower 初始化将失败。有关更多信息，请参阅 Cont AWS rol Tower 用户指南中的 IAM 身份中心客户注意事项。

注意

委派管理员连接器和 Control Tower 初始化：如果您使用委派管理员帐户连接器，则 AWS 转换将在 IaC-only 模式下运行。如果您的组织中尚未初始化 Control Tower，Trans AWS form 会生成 IaC 工件来初始化 Control Tower，您可以通过管道查看和部署这些构件。

基础设置

基金会的发现和规划

在基础设置开始时，Trans AWS form 会执行发现以了解您当前的组织状态，并确定适合您的 landing zone 的最佳方法。代理会问您以下关键问题：

  • 您的组织是否已经部署了 Cont AWS rol Tower？ AWS Transform 会检查您的组织中是否已初始化 Control Tower。如果 Control Tower 已经在运行， AWS Transform 会分析现有的着陆区配置。

  • 你想使用什么基础方法？ 如果 Control Tower 尚未部署，Tr AWS ansform 会为你提供两个选项：

    • 控制 Tower-based 着陆区：Tr AWS ansform 会部署 Cont AWS rol Tower 作为着陆区的基础。这提供了最全面的治理，包括托管控制、强制性护栏以及自动化 OU 和账户管理。对于大多数组织来说，这是推荐的方法。

    • Organizations-only 着陆区：T AWS ransform 在不部署 Control Tower 的情况下仅使用 AWS 组织来创建着陆区。这为您提供了基本的 OU 结构和账户组织，但不包括 Control Tower 的托管控件和自动护栏。如果您的组织有阻止部署 Control Tower 的特定要求，请选择此选项。

根据您的回复，T AWS ransform 会根据您选择的方法量身定制基础设置工作流程和建议。对于控制 Tower-based 着陆区，已部署完整的治理基础。对于 Organizations-only 着陆区域，T AWS ransform 侧重于 OU 结构、账户组织和手动 SCP 配置。

基础设置

基础设置阶段使用 Cont AWS rol Tower 建立核心着陆区基础架构。landing zone 代理构建了完整的基础 OU 结构。其中一部分是 Cont AWS rol Tower 基准，Control Tower 会在您的管理账户中自动配置该基准。 AWS Transform 会根据 AWS 最佳实践添加其余部分。可以在创建之前对结构进行自定义。

下表显示了基础结构以及每个组件的来源：

组件 类型 源 用途
根 根 AWS Control Tower 基准 包含着陆 zone 中所有 OU 的顶级父级。
安全性 OU AWS Control Tower 基准 集中式审计记录和监控。将这些服务隔离在专用账户中旨在帮助将您的审计跟踪与工作负载团队分开。
  审核 Account AWS Control Tower 基准 Read-only 访问所有账户以进行安全与合规审查。
  日志存档 Account AWS Control Tower 基准 对组织中的所有 AWS API 活动和资源变更进行集中化、不可变的日志记录。
Infrastructure OU AWS 最佳实践补充 为整个组织提供支持的共享基础架构的父 OU。
  Network OU AWS 最佳实践补充 共享网络基础设施，包括 Transit Gateway、VPN 和 DNS。集中这些服务有助于减少重复，并为您的网络团队提供一个地方来管理所有账户的连接。
  共享服务 OU AWS 最佳实践补充 整个组织中使用的常用服务，例如支持多个工作负载帐户的身份、日志记录和监控解决方案。
沙盒 OU AWS 最佳实践补充 开发人员在不冒生产资源风险的情况下尝试支出限制和访问限制。
  沙盒 Account AWS 最佳实践补充 开发者用于实验的账户。
工作负载 OU AWS 最佳实践补充 应用程序工作负载的父 OU。它被创建为空。下一阶段将根据您的迁移要求设计工作负载OU和帐户（例如生产和可选的受管制）。 Non-Production有关更多信息，请参阅 工作负载账户设计。

除了安全 OU 及其账户外，Cont AWS rol Tower 基准还包括以下监管资源：

  • 强制性控制措施（护栏）— 在整个组织中应用预防和侦查控制，以强制执行基线治理政策。它们不能被禁用。

  • IAM Identit y Center 目录 — 一个云原生目录，其中包含预配置的群组和登陆区域用户的单点登录访问权限。有关更多信息，请参阅 AWS IAM 身份中心。

注意

带有审核和日志存档帐户的安全 OU 是在 Cont AWS rol Tower 设置中创建的。这些帐户在初始设置后无法重命名或替换。 AWS 确认结构后，Transform 会单独创建最佳实践添加项。

Control Tower 用于CloudFormation StackSets在组织中的所有账户和区域中一致地部署和管理其基准资源。请勿在支持的方法之外修改或删除 Control Tower 托管的资源。这样做可能会导致您的着陆区进入未知状态。

在棕地场景中，T AWS ransform 会将您的现有基础与该结构进行比较，并仅报告差距。例如：“您的基金会有安全和基础架构 OU，但没有沙盒 OU。”

账户电子邮件惯例

AWS 要求每个账户都有一个唯一的电子邮件地址。这些电子邮件会收到有关该帐户的重要通知。 AWS Transform 使用加地址从单个邮箱生成唯一的账户电子邮件。

格式：prefix+account-name@domain

您提供前缀（例如aws-admin）和域（例如acme.com），Transform 会 AWS 自动派生所有账户电子邮件。例如：

  • 审计账户：aws-admin+audit@acme.com

  • 日志存档账户：aws-admin+log-archive@acme.com

  • 沙盒账号：aws-admin+sandbox@acme.com

在棕地场景中，T AWS ransform 会检查现有的账户电子邮件以推断出已经在使用的加号寻址惯例，并提议继续使用相同的模式。

服务控制策略 (SCP)

SCP 是组织级别的权限护栏，用于设置组织中所有账户的最大权限。 AWS 他们不授予访问权限，相反，他们定义了账户中任何人都不能超越的界限，即使是账户管理员也是如此。

作为 Control Tower 部署的一部分，将自动应用基线护栏。 AWS Transform 还会推荐其他旨在帮助增强组织地位的 SCP。它们基于 AWS 最小可行着陆区的最佳实践。

SCP 可以应用于基础架构、沙盒和工作负载 OU。安全 OU 由 Control Tower 管理，SCP 无法通过此工具将其作为目标。

重要

安全 OU 是由 Control Tower 管理的基础组织单元。您无法通过 landing zone 代理向其添加账户、SCP 或任何资源。

在棕地场景中，Trans AWS form 会检查已应用了哪些 SCP，并且只推荐能够填补空白的 SCP。

注意

棕地场景中的委托管理员帐户限制：在已实现 Control Tower 着陆区的棕地环境中使用委派管理员帐户连接器时，Trans AWS form 无法查看或修改由 Contro AWS l Tower 管理的现有 SCP。这是因为委派管理员账户对控制 Tower-managed 策略的 SCP 操作权限有限。您仍然可以为要在控制塔管理范围之外应用的新 SCP 生成 IaC 工件，但现有的 Control Tower SCP 将保持不变。如果您需要修改控制 Tower-managed SCP，请重新配置连接器以将管理帐户作为目标。

基础部署

基础设计完成后，您可以选择部署方式：

  • 为我部署 — Tr AWS ansform 将基础 OU、账户和 SCP 部署到您的 AWS 组织。

  • 我将自己部署 — Trans AWS form 生成基础设施即代码 (IaC) 工件，以你的首选格式下载（参见IaC 格式）。

  • 首先设计工作负载帐户-跳过部署，继续工作负载帐户设计阶段。您可以稍后将所有内容一起部署。

Control Tower 初始化

如果 AWS Transform 检测到您的组织中尚未初始化 Cont AWS rol Tower，它会为用户提供指向 T AWS ransform 控制台页面的链接。在链接中生成操作会创建一个 CloudFormation 堆栈，以便在控制 CloudFormation 台中为目标区域引导 Control Tower。创建堆栈后，Trans AWS form 会继续进行部署。

工作负载账户设计

在工作负载账户设计阶段，T AWS ransform 会根据您的迁移清单、业务需求和环境分离首选项为您的应用程序工作负载设计 OU 和账户结构。

迁移规划背景

AWS Transform 会检索迁移计划阶段的数据，包括波浪计划、服务器到应用程序的映射和共享上下文。如果迁移计划数据可用，T AWS ransform 会显示摘要并要求您进行确认或调整。如果没有可用的迁移计划数据，Trans AWS form 会直接询问发现问题。

Discovery

AWS Transform 会询问问题以了解您的工作负载需求。你可以跳过任何问题。主题包含：

  • 使用的业务部门或团队的数量 AWS

  • 行业和任何适用的框架（HIPAA、SOC2 PCI-DSS、FedRAMP）

  • 工作负载是否处理敏感数据（PII、PHI、财务）

  • 环境分离首选项（dev/test/staging/prod 作为单独账户或共享）

  • 工作负载隔离要求

  • 业务应用程序及其用途

  • 将服务器分组为应用程序

  • 成本跟踪和分配需求（按业务部门、项目、环境划分）

  • 未来 12-24 个月的预期增长

  • 账户策略偏好（每个账户单个应用程序、分组或基于环境）

拟议的工作量结构

根据您的答案和迁移计划数据，Trans AWS form 在工作负载组织单元下提出组织单位和账户结构。该提案包括每个设计决策背后的理由。

AWS 变换遵循以下设计原则：

  • 迁移浪潮中的所有服务器都使用同一个账户——不能在不同账户之间分配。这是波次执行期间的重新托管限制。

  • 如果您请求隔离环境，Trans AWS form 会创建 Workloads/Production 和 Workloads/Non-Production 子 OU。

  • 如果确定了适用的框架，则Trans AWS form会创建 Workloads/Regulated Workloads/Standard 子OU。

  • 如果多个业务部门需要不同的治理，T AWS ransform 会在工作负载下创建特定于业务部门的 OU。

  • 关键或敏感数据应用程序每个账户只能获得一个应用程序。在这种情况下，可能会要求您迭代波浪计划。

  • 具有共享依赖关系的紧密耦合应用程序分组到一个帐户中。

每个建议的账户包括：名称、用途、目标 OU 和业务部门。 AWS 转换显示正在使用的命名约定（例如，<business-unit>-<environment>-<workload>）。

在 Trans AWS form 应用更改之前，您可以查看和修改建议的结构。申请后，您可以进行迭代，即进行其他更改，直到您满意为止。

工作负载 SCP 配置

创建工作负载结构后，Tr AWS ansform 会显示可用的 SCP，并询问您是否要将任何 SCP 应用于工作负载 OU。您可以选择要应用哪些 SCP 以及哪些 OU。 AWS 转换应用 SCP，并使用 SCP 摘要表显示更新的组织树。

工作负载部署

工作负载设计完成后，您可以选择部署方式：

  • 为我部署 — Tr AWS ansform 会将工作负载 OU、账户和 SCP 部署到您的 AWS 组织。

  • 我将自己部署 — Trans AWS form 生成 IaC 工件以你的首选格式供下载（参见IaC 格式）。

IaC 格式

选择自行部署时，Trans AWS form 会生成以下格式的 “基础设施即代码” 构件：

  • AWS Cloud Development Kit (AWS CDK)— 程序化基础架构部署 TypeScript 项目。

  • HashiCorp Terraform — 生成用于管理着陆区资源的 HashiCorp 配置语言 (HCL) 模板。

  • 着陆区域加速器 (LZA) — 基于 LZA 通用配置版本 1.1.0 的配置 YAML 文件。这些企业就绪模板与着陆区加速器配合使用 AWS ，可以建立多账户环境 AWS 。生成的文件包括预先配置的治理、组织结构和网络设置。这些设置符合 AWS 最佳实践。要了解更多信息，请参阅 LZA 通用配置。

注意

当您通过着陆区加速器 (LZA) 管道进行部署时，您的 Trans AWS form 帐户和 LZA 安装必须位于同一个 AWS 组织中。如果 Trans AWS form 和 LZA 中使用的组织 ID 不匹配，则部署将失败。要了解如何使用 Organizations 设置 LZA 安装，请参阅基于AWS 组织的安装。

选择格式后，Transf AWS orm 会生成工件并使其可供下载。

要验证下载的文件没有被损坏或篡改，请生成并下载校验和，然后使用以下命令将其与本地生成的哈希值进行比较：

openssl dgst -sha256 -binary <file.zip> | base64

部署批准流程

着陆区部署请求需要明确批准才能执行。当您提交部署请求时，它会通过 “ AWS 转换批准” 选项卡自动发送给授权批准者。

批准者会审查 CloudFormation 模板和着陆区配置。只有在 Trans AWS form 中具有管理员角色的用户才能批准部署请求。每次提交都会触发一个新的审核周期，并且只有在收到确认后才会进行部署。

如果批准者拒绝了您的请求，请直接与他们联系以讨论必要的修改。系统会跟踪所有批准决策以供审计，并维护部署历史记录。

标签 landing zone 资源

AWS Transform 会自动标记所有生成的资源"CreatedBy": "AWSTransform"以及用于跟踪目的的定义和执行 ID。

自动标记

所有 landing zone 资源都将获得以下标签：

  • CreatedBy— awsTransform

  • ATWorkspace— 工作区标识符

注意

如果您的迁移是迁 AWS 移加速计划 (MAP 2.0) 的一部分，则可以添加所需的 MAP 标签。密钥为，值为 map-migratedmigMPE_ID，其中 MPE_ID 是您的 MPE 标识符。MAP 标签是在连接器设置阶段请求的，Trans AWS form 会在部署着陆区期间应用这些标签。

撤消更改

只能移除未部署的元素。部署 OU 或账户后，无法通过 landing zone 代理将其删除。

移除元素时，顺序很重要——你必须在父元素之前移除子元素：

  1. 请先删除账户（通过电子邮件）。

  2. 从 OU 中移除 SCP。

  3. 移除子 OU — 如果 OU 仍有帐户或嵌套 OU，则无法将其删除。