本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
建置登陸區域
AWS 轉換會引導您設計和部署 AWS 登陸區域，做為遷移專案的一部分。登陸區域是多帳戶 AWS 環境，可做為工作負載的基礎。它會在任何工作負載到達之前，將組織邊界、控管控制和帳戶結構置於適當位置。 AWS Transform 會分析您的遷移庫存和業務需求。根據此分析，它建議組織單位 (OU) 和帳戶結構，套用建議的服務控制政策 (SCPs)，並產生和部署基礎設施作為程式碼 (IaC)。手動規劃和組態通常需要幾週的時間， AWS Transform 可以在單一對話中完成。
登陸區域代理程式會自動執行兩個階段：
-
基礎設定 – 建立核心登陸區域結構：AWS Control Tower、基礎 OUs和核心帳戶。
-
工作負載帳戶設計 – 根據您的遷移波紋、業務單位和環境分離需求設計和建立工作負載 OUs 和帳戶。
AWS 轉換同時支援綠地環境 （沒有現有的登陸區域） 和綠地環境 （現有的 OUs和已部署的帳戶）。在明視野案例中， AWS Transform 會偵測您現有的組織結構，並僅建議根據 AWS 最佳實務填補差距所需的變更。您不需要從頭開始或執行手動間隙分析。
AWS 轉換根據您的連接器組態和偏好設定，支援兩種操作模式：
-
完整部署模式 – AWS Transform 會分析您的組織、產生建議、建立 Infrastructure as Code (IaC) 成品，以及將登陸區域基礎設施直接部署到您的 AWS Organization。
-
僅限 IaC 模式 – AWS Transform 會分析您的組織、產生建議，並透過您自己的管道產生 IaC 成品供您檢閱和部署。代理程式不會直接部署基礎設施。如果您有現有的部署管道 （例如 AWS Landing Zone Accelerator、Terraform 或自訂 CI/CD)，或偏好透過內部變更管理登陸區域變更，則此模式非常有用。如需詳細資訊，請參閱產生不部署的登陸區域 IaC。
連接器設定
在客服人員可以繼續之前，您可以將其連線到組織的管理帳戶或委派管理員帳戶。連接器類型會決定您的操作模式、可用功能，以及您授予 AWS 轉換的許可：
| 連接器類型 | 功能和工作流程 |
|---|---|
| 管理帳戶 |
提供完整的部署功能。 AWS Transform 會分析您的組織、產生建議、建立基礎設施做為程式碼成品，以及將登陸區域基礎設施直接部署到您的 AWS 組織。您可以選擇 AWS 轉換是自動部署，還是只產生 IaC 成品供您檢閱。 當您想要 AWS 轉換直接佈建登陸區域基礎設施，或想要在保留直接部署選項的同時產生 IaC 成品時，請使用此選項。 許可 – 當您核准連接器請求時，您可以授予 AWS 轉換許可，以在目標 AWS 帳戶 和區域中佈建和管理登陸區域基礎設施。適用時，許可僅限於以
|
| 委派管理員 (DA) 帳戶 |
提供僅限 IaC 的模式。 AWS Transform 會分析您的組織、產生建議，並產生基礎設施做為程式碼成品，您可以透過自己的管道下載和部署。直接部署不適用於 DA 連接器，因為 AWS Control Tower 的技術限制是委派管理員帳戶無法佈建 AWS Control Tower 登陸區域。 在下列情況下使用此選項：
如果您需要直接部署功能，您可以重新設定連接器以鎖定 管理帳戶。 許可 – 在僅限 IaC 模式中，許可僅限於讀取和描述 AWS Organization 上的操作，以支援分析和差距評估。 若要建立委派管理員帳戶，請依照指示建立委派管理員。 |
建立連接器時，您可以指定目標 AWS 區域。這是啟用 Control Tower 的區域，它可做為您的 Control Tower 主區域。如需 Control Tower 區域的詳細資訊，請參閱如何使用 AWS 區域AWS Control Tower。
在登陸區域設定開始時， AWS Transform 會擷取您的連接器組態，並顯示 AWS 組織管理帳戶 ID 和目標區域以供確認。 AWS Transform 也會偵測您的連接器類型和操作模式，通知您是繼續進行完整部署還是僅限 IaC 功能。如需詳細資訊，請參閱AWS 轉換連接器。
重要
IAM Identity Center 區域相依性 – AWS 轉換需要 AWS IAM Identity Center。連接器區域必須符合 AWS Control Tower 主區域和 IAM Identity Center 區域。如果您的組織中已設定 IAM Identity Center，且連接器以不同的區域為目標， AWS Control Tower 初始化會失敗。如需詳細資訊，請參閱 Control Tower 使用者指南中的 AWS IAM Identity Center 客戶的考量事項。
注意
委派管理員連接器和 Control Tower 初始化：如果您使用委派管理員帳戶連接器， AWS Transform 會以僅限 IaC 模式運作。如果您的組織中尚未初始化 Control Tower， AWS Transform 會產生 IaC 成品來初始化 Control Tower，您可以透過管道檢閱和部署。
基礎設定
基礎探索和規劃
在基礎設定開始時， AWS Transform 會執行探索，以了解您目前的組織狀態，並決定登陸區域的最佳方法。客服人員詢問您下列重要問題：
-
您的組織是否已部署 AWS Control Tower？ AWS 轉換檢查 Control Tower 是否在您的組織中初始化。如果 Control Tower 已在執行， AWS Transform 會分析現有的登陸區域組態。
-
您想要使用哪種基礎方法？ 如果 Control Tower 尚未部署， AWS Transform 會為您提供兩個選項：
-
Control Tower 型登陸區域： AWS Transform 會將 AWS Control Tower 部署為登陸區域的基礎。這透過受管控制、強制性防護機制，以及自動化 OU 和帳戶管理，提供最全面的控管。這是大多數組織的建議方法。
-
僅限 Organizations 登陸區域： AWS Transform 僅使用 AWS Organizations 建立登陸區域，而不部署 Control Tower。這為您提供了基礎 OU 結構和帳戶組織，但不包含 Control Tower 的受管控制項和自動化護欄。如果您的組織有防止 Control Tower 部署的特定需求，請選擇此選項。
-
根據您的回應， AWS Transform 會量身打造基礎設定工作流程和建議，以符合您選擇的方法。對於 Control Tower 型登陸區域，會部署完整的控管基礎。對於僅限 Organizations 的登陸區域， AWS Transform 著重於 OU 結構、帳戶組織和手動 SCP 組態。
基礎設定
基礎設定階段會使用 AWS Control Tower 建立核心登陸區域基礎設施。登陸區域代理程式會建置完整的基礎 OU 結構。其中一部分是 AWS Control Tower 基準，Control Tower 會在您的管理帳戶中自動佈建。 AWS Transform 會根據 AWS 最佳實務新增其餘項目。您可以在建立之前自訂結構。
下表顯示基礎結構和每個元件的來源：
| 元件 | Type | 來源 | 用途 |
|---|---|---|---|
| Root | Root | AWS Control Tower 基準 | 包含登陸區域中所有 OUs的頂層父系。 |
| 安全 | OU | AWS Control Tower 基準 | 集中式稽核記錄和監控。在專用帳戶中隔離這些服務旨在協助將您的稽核線索與工作負載團隊分開。 |
| 稽核 | 帳戶 | AWS Control Tower 基準 | 所有帳戶的唯讀存取權，以進行安全性和合規審查。 |
| 日誌存檔 | 帳戶 | AWS Control Tower 基準 | 組織中所有 AWS API 活動和資源變更的集中式不可變記錄。 |
| 基礎設施 | OU | AWS 最佳實務新增 | 支援整個組織的共用基礎設施的父 OU。 |
| 網路 | OU | AWS 最佳實務新增 | 共用網路基礎設施，包括 Transit Gateway、VPN 和 DNS。集中這些服務有助於減少重複，並為您的網路團隊提供單一位置來管理所有帳戶的連線。 |
| 共用服務 | OU | AWS 最佳實務新增 | 在整個組織中使用的常見服務，例如支援多個工作負載帳戶的身分、記錄和監控解決方案。 |
| 沙盒 | OU | AWS 最佳實務新增 | 開發人員試驗支出限制和限制存取，而不會危及生產資源。 |
| 沙盒 | 帳戶 | AWS 最佳實務新增 | 帳戶開發人員使用 進行實驗。 |
| 工作負載 | OU | AWS 最佳實務新增 | 應用程式工作負載的父 OU。它已建立空白。工作負載 OUs 和 帳戶，例如生產、非生產和選擇性受監管，都會根據您的遷移需求在下一個階段進行設計。如需詳細資訊，請參閱工作負載帳戶設計。 |
除了安全 OU 及其帳戶之外， AWS Control Tower 基準還包含下列控管資源：
-
強制性控制 （護欄） – 在整個組織中套用的預防性和偵測性控制，以強制執行基準控管政策。這些無法停用。
-
IAM Identity Center 目錄 – 雲端原生目錄，具有預先設定的群組，以及登陸區域使用者的單一登入存取權。如需詳細資訊，請參閱 AWS IAM Identity Center。
注意
具有 Audit 和 Log Archive 帳戶的安全 OU 會建立為 AWS Control Tower 設定的一部分。這些帳戶無法在初始設定後重新命名或取代。 AWS Transform 會在您確認結構後另外建立最佳實務新增項目。
Control Tower 使用 CloudFormation StackSets 在您組織的所有帳戶和區域中一致地部署和管理其基準資源。請勿在支援的方法之外修改或刪除 Control Tower 受管資源。這樣做可能會導致您的登陸區域進入未知狀態。
在明視野案例中， AWS Transform 會將您現有的基礎與此結構進行比較，並僅報告差距。例如：「您的基礎具有安全和基礎設施 OUs但沒有沙盒 OU。」
帳戶電子郵件慣例
AWS 需要每個帳戶的唯一電子郵件地址。這些電子郵件會收到帳戶的重要通知。 AWS Transform 使用加上定址，從單一信箱產生唯一的帳戶電子郵件。
格式：prefix+account-name@domain
您提供字首 （例如 aws-admin) 和網域 （例如 acme.com)，而 AWS 轉換會自動衍生所有帳戶電子郵件。例如：
-
稽核帳戶：
aws-admin+audit@acme.com -
Log Archive 帳戶：
aws-admin+log-archive@acme.com -
沙盒帳戶：
aws-admin+sandbox@acme.com
在明視野案例中， AWS Transform 會檢查現有的帳戶電子郵件，以推斷已在使用中的加定地址慣例，並提議繼續使用相同的模式。
服務控制政策 (SCP)
SCPs 是組織層級的許可護欄，可為 AWS 組織中的所有帳戶設定最大許可。他們不會授予存取權，而是定義帳戶中沒有人可以超過的邊界，甚至是帳戶管理員。
做為 Control Tower 部署的一部分，會自動套用基準護欄。 AWS Transform 也建議旨在協助強化組織狀態的其他 SCPs。這些是根據最低可行登陸區域的 AWS 最佳實務。
SCPs可以套用至基礎設施、沙盒和工作負載 OUs。Security OU 由 Control Tower 管理，SCPs無法透過此工具鎖定目標。
重要
Security OU 是由 Control Tower 管理的基礎 OU。您無法透過登陸區域代理程式新增帳戶、SCPs 或任何資源。
在明視野案例中， AWS 轉換會檢查哪些 SCPs 已套用，並且只建議會填補差距的 SCP。
注意
明視野中的委派管理員帳戶限制：在已實作 AWS Control Tower 登陸區域的明視野環境中使用委派管理員帳戶連接器時， AWS Transform 無法檢視或修改由 Control Tower 管理SCPs。這是因為委派管理員帳戶對 Control Tower 受管政策的 SCP 操作具有有限的許可。您仍然可以為您想要在 Control Tower 管理範圍之外套用的新 SCPs 產生 IaC 成品，但現有的 Control Tower SCPs 將保持不變。如果您需要修改 Control Tower 受管 SCPs，請重新設定連接器以鎖定 管理帳戶。
基礎部署
基礎設計完成後，您可以選擇如何部署：
-
為我部署 – AWS Transform 會將基礎 OUs、帳戶和 SCPs 部署到您的 AWS 組織。
-
我將自行部署 – AWS Transform 會產生基礎設施即程式碼 (IaC) 成品，以您偏好的格式下載 （請參閱 IaC 格式)。
-
首先設計工作負載帳戶 – 略過部署並繼續工作負載帳戶設計階段。您可以稍後一起部署所有項目。
Control Tower 初始化
如果 AWS Transform 偵測到 AWS Control Tower 尚未在您的組織中初始化，它會為使用者提供 AWS 轉換主控台頁面的連結。在連結中產生 操作會建立 CloudFormation 堆疊，以在目標區域的 CloudFormation 主控台中引導 Control Tower。建立堆疊之後， AWS Transform 會繼續部署。
工作負載帳戶設計
在工作負載帳戶設計階段， AWS Transform 會根據您的遷移庫存、業務需求和環境分離偏好設定，為您的應用程式工作負載設計 OU 和帳戶結構。
遷移規劃內容
AWS Transform 會從遷移規劃階段擷取資料，包括波動計畫、server-to-application映射和共用內容。如果遷移規劃資料可用， AWS Transform 會顯示摘要，並要求您確認或調整摘要。如果沒有可用的遷移規劃資料， AWS Transform 會直接詢問探索問題。
探索
AWS Transform 會提出問題，以了解您的工作負載需求。您可以略過任何問題。主題包括：
-
使用 的業務單位或團隊數量 AWS
-
產業和任何適用的架構 (HIPAA、PCI-DSS、SOC2、FedRAMP)
-
工作負載是否處理敏感資料 (PII、PHI、財務）
-
環境分離偏好設定 (dev/test/staging/prod 作為個別帳戶或共用）
-
工作負載隔離要求
-
商業應用程式及其用途
-
伺服器分組至應用程式
-
成本追蹤和分配需求 （依業務單位、專案、環境）
-
未來 12-24 個月的預期成長
-
帳戶策略偏好設定 （每個帳戶、分組或以環境為基礎的單一應用程式）
建議的工作負載結構
根據您的答案和遷移規劃資料， AWS Transform 會在工作負載 OU 下提供 OU 和帳戶結構。提案包含每個設計決策背後的推理。
AWS 轉換遵循以下設計原則：
-
遷移波動中的所有伺服器都會前往相同的帳戶 — 波無法跨帳戶分割。這是波動執行期間的重新託管限制。
-
如果您請求隔離的環境， AWS Transform 會建立工作負載/生產和工作負載/非生產子 OUs。
-
如果識別適用的架構， AWS Transform 會建立 Workloads/Regulated and Workloads/Standard sub-OUs
-
如果多個業務單位需要不同的控管， AWS Transform 會在工作負載下建立business-unit-specific OUs。
-
關鍵或敏感資料應用程式會取得每個帳戶的單一應用程式。在這種情況下，您可能需要反覆執行波動計畫。
-
具有共用相依性的緊密耦合應用程式會分組在一個帳戶中。
每個提議的帳戶包括：名稱、用途、目標 OU 和業務單位。 AWS Transform 會顯示正在使用的命名慣例 （例如 <business-unit>-<environment>-<workload>)。
您可以在 AWS 轉換套用變更之前檢閱和修改提議的結構。套用後，您可以反覆執行 - 進行其他變更，直到您滿意為止。
工作負載 SCP 組態
建立工作負載結構之後， AWS Transform 會顯示可用的 SCPs並詢問您是否要將任何 套用至工作負載 OUs。您選取要套用的 SCPs 和 OUs. AWS Transform 套用的 SCPs並顯示具有 SCP 摘要資料表的已更新組織樹狀目錄。
工作負載部署
工作負載設計完成後，您可以選擇如何部署：
-
為我部署 – AWS Transform 會將工作負載 OUs、帳戶和 SCPs 部署到您的 AWS 組織。
-
我將自行部署 – AWS Transform 會產生 IaC 成品，以您偏好的格式下載 （請參閱 IaC 格式)。
IaC 格式
當您選擇自我部署時， AWS Transform 會以下列格式產生基礎設施做為程式碼成品：
-
AWS Cloud Development Kit (AWS CDK) – 用於程式設計基礎設施部署的 TypeScript 專案。
-
HashiCorp Terraform – 產生 HashiCorp 組態語言 (HCL) 範本來管理登陸區域資源。
-
登陸區域加速器 (LZA) – 根據 LZA 通用組態 1.1.0 版來設定 YAML 檔案。這些企業就緒範本可在 上使用登陸區域加速器 AWS 來建立多帳戶 AWS 環境。產生的檔案包含預先設定的控管、組織結構和聯網設定。這些設定符合 AWS 最佳實務。若要進一步了解，請參閱 LZA 通用組態。
注意
當您透過登陸區域加速器 (LZA) 管道部署 時， AWS 轉換帳戶和 LZA 安裝必須位於相同的 AWS 組織。如果 AWS 轉換和 LZA 中使用的 Organizations IDs 不相符，部署會失敗。若要了解如何使用 Organizations 設定 LZA 安裝，請參閱以 AWS Organizations 為基礎的安裝。
選取格式後， AWS Transform 會產生成品並可供下載。
若要驗證下載的檔案尚未損毀或遭到竄改，請產生和下載檢查總和，然後使用 將其與本機產生的雜湊進行比較：
openssl dgst -sha256 -binary <file.zip> | base64
部署核准程序
登陸區域部署請求在執行之前需要明確核准。當您提交部署請求時，它會自動透過 AWS 轉換核准索引標籤路由至授權核准者。
核准者會檢閱 CloudFormation 範本和登陸區域組態。只有在 AWS 轉換中具有管理員角色的使用者才能核准部署請求。每個提交都會觸發新的檢閱週期，而且只有在收到確認後才會繼續部署。
如果核准者拒絕您的請求，請直接聯絡他們以討論必要的修改。系統會針對稽核目的追蹤所有核准決策，並維護部署歷史記錄。
標記登陸區域資源
AWS 轉換會自動標記所有產生的資源"CreatedBy": "AWSTransform"，以及定義和執行 IDs以供追蹤之用。
自動標籤
所有登陸區域資源都會收到下列標籤：
-
CreatedBy– AWSTransform -
ATWorkspace– 工作區識別符
注意
如果您的遷移是 AWS Migration Acceleration Program (MAP 2.0) 的一部分，您可以包含所需的 MAP 標籤。金鑰為 map-migrated，值為 migMPE_ID，其中 MPE_ID 是您的 MPE 識別符。在連接器設定階段請求 MAP 標籤，而 AWS 轉換會在登陸區域部署期間套用這些標籤。
反轉變更
只能移除未部署的元素。部署 OU 或帳戶之後，就無法透過登陸區域代理程式將其移除。
移除元素時，順序很重要 — 您必須在父系之前移除子系：
-
首先移除帳戶 （透過電子郵件）。
-
從 OUs 移除 SCPs。
-
移除子 OUs — 如果 OU 仍有帳戶或巢狀 OUs，則無法移除。
相關資源
