本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

步驟 2：使用 AWS Control Tower APIs啟動登陸區域

您可以使用 AWS Control Tower APIs來啟動您的登陸區域。本節說明如何建立所需的登陸區域資訊清單檔案，並將其與 CreateLandingZone API 操作搭配使用。

建立資訊清單檔案

資訊清單檔案是 JSON 文件，可指定您的登陸區域組態。使用登陸區域 4.0 版，許多元件現在是選用的，允許更靈活的部署。

資訊清單結構

以下是具有所有可用組態的資訊清單檔案的完整結構：

{
    "accessManagement": {
        "enabled": true    // Required - Controls IAM Identity Center integration
    },
    "backup": {
        "enabled": true,   // Required - Controls AWS Backup integration
        "configurations": {
            "backupAdmin": {
                "accountId": "111122223333"    // Backup administrator account
            },
            "centralBackup": {
                "accountId": "111122224444"    // Central backup account
            },
            "kmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
        }
    },
    "centralizedLogging": {
        "accountId": "111122225555",    // Log archive account
        "enabled": true,                // Required - Controls centralized logging
        "configurations": {
            "accessLoggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "loggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "kmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
        }
    },
    "config": {
        "accountId": "111122226666",    // Config aggregator account
        "enabled": true,                // Required - Controls AWS Config integration
        "configurations": {
            "accessLoggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "loggingBucket": {
                "retentionDays": 365    // Minimum value: 1
            },
            "kmsKeyArn": "arn:aws:kms:region:account-id:key/key-id"
        }
    },
    "governedRegions": [               // Optional - List of regions to govern
        "us-east-1",
        "us-west-2"
    ],
    "securityRoles": {
        "enabled": true,               // Required - Controls security roles creation
        "accountId": ""111122226666"    // Security/Audit account
    }
}
                    

重要說明

使用 CreateLandingZone API

若要使用 API 建立登陸區域：

                    aws controltower create-landing-zone --landing-zone-version 4.0 --manifest file://manifest.json
                

API 會傳回登陸區域操作 ID，您可用來追蹤登陸區域建立的進度。回應範例：

{
    "arn": "arn:aws:controltower:us-west-2:123456789012:landingzone/1A2B3C4D5E6F7G8H",
    "operationIdentifier": "55XXXXXX-e2XX-41XX-a7XX-446XXXXXXXXX"
}
                

您可以使用傳回狀態為 SUCCEEDED、 FAILED或 的 GetLandingZoneOperation API 來監控操作狀態IN_PROGRESS：

                    aws controltower get-landing-zone-operation --operation-identifier "55XXXXXX-eXXX-4XXX-aXXX-44XXXXXXXXXX"
                

登陸區域 4.0 版中的變更內容

資訊清單結構和要求的重要變更：